偽装されたネットワーク情報を検出する方法および装置
【課題】偽装されたソースＩＰアドレスを有するネットワーク情報を検出するための、確実かつ有効な方法および装置を提供すること。
【解決手段】偽装されたＩＰネットワーク情報を検出するための方法および装置が提示される。複数のデータソースから収集されるルーティング情報に基づいて、ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルが作成される。ターゲットネットワークの各インタフェースにおいて、トレーニング情報フローからＩＰアドレスプレフィックスが獲得され、マッピングテーブルに基づいてＡＳ番号に更に変換される。予想ＡＳ番号テーブルには、インタフェースごとに収集されるＡＳ番号が格納される。予想ＡＳ番号テーブルは、オペレーショナル情報フローがネットワークに入ることを許可されるか否かを判定するために用いられる。
【解決手段】偽装されたＩＰネットワーク情報を検出するための方法および装置が提示される。複数のデータソースから収集されるルーティング情報に基づいて、ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルが作成される。ターゲットネットワークの各インタフェースにおいて、トレーニング情報フローからＩＰアドレスプレフィックスが獲得され、マッピングテーブルに基づいてＡＳ番号に更に変換される。予想ＡＳ番号テーブルには、インタフェースごとに収集されるＡＳ番号が格納される。予想ＡＳ番号テーブルは、オペレーショナル情報フローがネットワークに入ることを許可されるか否かを判定するために用いられる。
【発明の詳細な説明】
【技術分野】
【０００１】
本出願は、一般に、偽装されたＩＰ（インターネットプロトコル）情報を、それがＩＳＰ（インターネットサービスプロバイダ）のネットワークに入る際に検出することに関し、特に、ＡＳ（自律システム）メンバーシップ情報を過去の情報フローと組み合わせることによって、偽装されたソースＩＰアドレスを有するパケットを検出する方法および装置に関する。
【背景技術】
【０００２】
偽装されたＩＰ情報（正しくないソースＩＰアドレスを有するパケットを含む情報）は、トレースバックのリスクを減らし、かつネットワークベースのセンサによって、攻撃が検出されることを回避しようとする、匿名性を狙ったインターネットベースの攻撃者によって、用いられることが多い。攻撃者は、多くの場合、ネットワーク通信のソースアドレスを偽造することによって、攻撃を行うために用いる機械の識別情報を偽装または見せかける。このことにより、攻撃情報のソースを検出して特定することがより困難になり、ときには攻撃者から無実の第三者へと注意が逸らされることもある。
【０００３】
最も広く使われているオペレーティングシステムから発せられる攻撃情報において、正しくないソースＩＰアドレスを用いることは、巧みな攻撃者にとって一般的なことである。ＩＰルーティングは、デスティネーションに基づいているため、偽装されたＩＰパケットは、偽装されていないＩＰパケットと同様に、意図されたターゲットへと配信される。偽装されたＩＰパケットは、ＤＤｏＳ（分散型サービス妨害）攻撃において、特に一般的であり、攻撃者は、ターゲットのホストまたはネットワークに対して累積的に大量のＩＰ情報フローが集中するように、多数の中間的な感染ホストを強制的に操作できる。偽装は、個々のホストからの情報量を少なく見せることを確実にするので、ネットワークベースのセンサによって、そのようなＤＤｏＳ攻撃を検出することは困難である。
【０００４】
ＤＤｏＳのような大量攻撃に加えて、比較的人目を盗んだ攻撃もまた、偽装されたＩＰパケットを使用することがある。顕著な例は、デスティネーションノードを感染させる、シングルソースＩＰの偽装されたＵＤＰ（ユーザデータグラムプロトコル）パケットを送信するスラマー（Ｓｌａｍｍｅｒ）ワームである。従って、偽装されたＩＰ情報を検出するということは、攻撃ごとに特殊化された検出器を用いるのではなく、いくつかの異なる種類のネットワーク攻撃を検出するための一般的な手段である。このような問題は、非特許文献１〜３において言及されている。
【０００５】
上記の問題を解決するために努力が払われてきた。
【０００６】
偽装されたＩＰ情報を検出して阻止する最も一般的な解決策の１つに、出口フィルタリングがある（非特許文献４）。この方法は、ネットワーク境界ルータのアウトバウンドインタフェースにおいて、フィルタリングルールを用いるものである。これらのフィルタリングルールは、当該ネットワークに合法的に割り当てられたもの以外のソースＩＰアドレスを有する情報がネットワークから出ることを防止する。従って、出口フィルタリングは、そのソースにおいて、偽装された情報の検出および阻止に対処することを試みるものである。しかしながら、出口フィルタリングが直面する短所は、それを実行するＩＳＰ側にとっては一般的に不本意なものであるということである。出口フィルタリングを実行する利点は、フィルタリングを実行するＩＳＰには認められない。従って、ＩＳＰがそのようにする動機はほとんどない。更に、出口フィルタのメンテナンスは時間のかかるプロセスであり、旧式のおよび／または正しくない出口フィルタは、本物の情報をブロックしてしまうことがある。従って、たとえ出口フィルタリングを実行するメカニズムがインターネットのほとんどのルータにおいて、利用可能であっても、現在、多数のＩＳＰがそれを実行していない。結果として、これらのＩＳＰのホストにおいて、偽装された情報が制約なしに発生し得る。
【０００７】
偽装されたＩＰ情報を検出して阻止する別の方法としては、ユニキャストリバースパス転送（ＵＲＰＦ）がある（非特許文献５）。パケットのソースＩＰアドレスに戻るアウトバウンドパスが、所与のインタフェースを用いていない場合には、ＵＲＰＦ対応エッジルータは、所与のインタフェースにおいて、着信ＩＰパケットを遮断する。換言すると、ＵＲＰＦは、ソースとデスティネーションとの間の対称的なルーティングに依存し、この対称性を破るいかなるパケットも遮断する。ＵＲＰＦは、インターネットにおける２つのエンドポイントの間のパスについてルーティング対称性の存在を想定している。しかしながら、インターネットルーティングプロトコルの動的性質と、ルータが常にこれらのプロトコルに基づいてデスティネーションへの最善のパスを選択するという事実とによって、ソースからデスティネーションへの最善のネットワークパスが、最善のリバースパスとは全く異なるものになり得る可能性が高い。結果として、ＵＲＰＦベースの情報フィルタリングが、有効なソースＩＰアドレスを有する情報を遮断してしまうことが多くあり得る。従って、ＵＲＰＦは、一定の特定の状況においてのみ有効であり、偽装されたＩＰ情報を検出するという問題に対する完全な解決策ではない。
【０００８】
多種多様な検出方法は、（能動的または受動的な）ホストベースの方法とルーティングベースの方法とに分類される。ホストベースの方法は、偽装されている可能性のある情報のデスティネーションであるホストにおいて、追加的な機能を組み込む必要がある。ルーティングベースの検出方法は、ネットワークに対する外部アドレスと内部アドレスとを区別することに焦点をあてる。しかしながら、ホストベースの方法は、方法を展開する必要のあるエンドポイントの数が多いという単なる理由によって、容易には実行できない。従って、問題を全体として解決するためにホストベースの方法を大規模に実行することは実用的ではない。一方、ルーティングベースの検出方法は、ネットワークに対する内部アドレスと外部アドレスとの区別を試みるものであり、偽装検出問題を解決できる程度が限定されている。アウトバウンドパケット上の外部ソースアドレスを検出することは、出口フィルタリング（上記に記載）と基本的に同一のものであり、従って同一の限界に直面する。着信パケット上の内部ソースアドレスを検出することは、着信パケットが外部ソースＩＰアドレスを運ぶ場合には偽装を検出できないので、問題に対して提供する解決策は限定されている。
【０００９】
更に、攻撃ターゲットの近くにおけるＩＰソースアドレスのフィルタリングに基づいてＤＤｏＳ攻撃に対して防御する、という別のスキームも、ネットワークの管理者および設計者の間で考察されてきた。このスキームによると、各エッジルータは、ネットワーク内に以前に現れたすべての本物のＩＰアドレスの履歴を保持する。エッジルータに過負荷がかけられたときに、着信ＩＰパケットを認可するべきか否かを決定するために、この履歴が用いられる。しかしながら、このスキームは、単一のエッジルータのみにおいて、観察されたソースＩＰアドレスの履歴セットを利用するため、問題に対して限定された解決策しか提供しない。着信パケット上のソースＩＰアドレスが、エッジルータの履歴セットの中にはないが有効である、という場合でさえも、偽装されたものとして遮断され得る。
【００１０】
更に、別の公知のスキームは、デスティネーションの近くの情報において、偽装されたソースＩＰアドレスを検出するために、「ＩｎＦｉｌｔｅｒ」仮説を利用した予測的な入口フィルタリング手法を提示する。この方法は、多数のエッジルータにわたる過去のソースＩＰアドレス情報を利用することにより、観察された情報における偽装活動を推論するものである（非特許文献６、非特許文献７）。このスキームは、多数のエッジルータにわたるソースＩＰアドレス履歴を用いることによって、直面する問題をいくぶん軽減する。着信パケット上のソースＩＰアドレスが、着信エッジルータの履歴セットの中にはなく、別のエッジルータの履歴セットの中にある場合には、パケットは通過を許可されず、誤ったエッジに到着したものとして無視されることになる。しかしながら、この方法は、履歴情報が集められている期間の最中に、ＩＳＰのネットワーク内のいずれのエッジルータにおいても一定のソースＩＰアドレスが見られない場合には、やはり限定を受けてしまう。そのＩＰアドレスは、後で観察されたとしても、偽装されたものとして遮断されてしまう。
【先行技術文献】
【非特許文献】
【００１１】
【非特許文献１】リッチ（Ｒｉｃｈ Ｐｅｔｈｉａ）、外２名、「分散ＤｏＳ攻撃を破るための指針」（“Ｃｏｎｓｅｎｓｕｓ Ｒｏａｄｍａｐ ｆｏｒ Ｄｅｆｅａｔｉｎｇ Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ Ａｔｔａｃｋｓ”）、Ｖｅｒ．１．１０ ２０００年２月、インターネット＜ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｓａｎｓ．ｏｒｇ／ｄｏｓｓｔｅｐ／ｒｏａｄｍａｐ．ｐｈｐ＞
【非特許文献２】「インフラストラクチャセキュリティ」（“ＷＯＲＬＤＷＩＤＥ ＩＮＦＲＡＳＴＲＵＣＴＵＲＥ ＳＥＣＵＲＩＴＹ ＲＥＰＯＲＴ”）、２００８年１０月 Ａｒｂｏｒ Ｎｅｔｗｏｒｋｓ．、インターネット＜ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ａｒｂｏｒｎｅｔｗｏｒｋｓ．ｃｏｍ／ｒｅｐｏｒｔ＞
【非特許文献３】ロバート（Ｇ． Ｒｏｂｅｒｔ Ｍａｌａｎ）、「サービス不能攻撃についての観測と経験」（“Ｏｂｓｅｒｖａｔｉｏｎｓ ａｎｄ Ｅｘｐｅｒｉｅｎｃｅｓ Ｔｒａｃｋｉｎｇ Ｄｅｎｉａｌ−Ｏｆ−Ｓｅｒｖｉｃｅ Ａｔｔａｃｋｓ Ａｃｒｏｓｓ ａ Ｒｅｇｉｏｎａｌ ＩＳＰ”）、インターネット＜ＵＲＬ： ｈｔｔｐ：／／ｗｗｗ．ａｒｂｏｒｎｅｔｗｏｒｋｓ．ｃｏｍ／ｉｎｄｅｘ．ｐｈｐ？ｏｐｔｉｏｎ＝ｃｏｍ＿ｄｏｃｍａｎ＆ｔａｓｋ＝ｄｏｃ＿ｄｏｗｎｌｏａｄ＆ｇｉｄ＝９７＞
【非特許文献４】クリス（Ｃｈｒｉｓ Ｂｒｅｎｔｏｎ）、「出口フィルタリング」（“Ｅｇｒｅｓｓ Ｆｉｌｔｅｒｉｎｇ ＦＡＱ”）、２００６年４月、インターネット＜ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｓａｎｓ．ｏｒｇ／ｒｅａｄｉｎｇ＿ｒｏｏｍ／ｗｈｉｔｅｐａｐｅｒｓ／ｆｉｒｅｗａｌｌｓ／ｅｇｒｅｓｓ＿ｆｉｌｔｅｒｉｎｇ＿ｆａｑ＿１０５９？ｓｈｏｗ＝１０５９．ｐｈｐ＆ｃａｔ＝ｆｉｒｅｗａｌｌｓ＞
【非特許文献５】バリー（Ｂａｒｒｙ Ｒａｖｅｅｎｄｒａｎ Ｇｒｅｅｎｅ）、外１名（Ｎｅｉｌ Ｊａｒｖｉｓ）、「ＩＳＰ−ＩＳＰのためのｕＲＰＦ」（“Ｕｎｉｃａｓｔ Ｒｅｖｅｒｓｅ Ｐａｔｈ Ｆｏｒｗａｒｄｉｎｇ （ｕＲＰＦ） Ｅｎｈａｎｃｅｍｅｎｔｓ ｆｏｒ ｔｈｅ ＩＳＰ−ＩＳＰ Ｅｄｇｅ”）、２００１年２月、Ｃｉｓｃｏ Ｓｙｓｔｅｍｓ，Ｉｎｃ．、インターネット＜ＵＲＬ：ｆｔｐ：／／ｆｔｐ−ｅｎｇ．ｃｉｓｃｏ．ｃｏｍ／ｃｏｎｓ／ｉｓｐ／ｓｅｃｕｒｉｔｙ／ＵＲＰＦ−ＩＳＰ．ｐｄｆ＞
【非特許文献６】ペン（Ｔ．Ｐｅｎｇ）、外２名（Ｃ．Ｌｅｃｋｉｅ，Ｒ．Ｋｏｔａｇｉｒｉ）「ＩＰフィルタリングを使用する分散ＤｏＳ攻撃からの保護」（“Ｐｒｏｔｅｃｔｉｏｎ ｆｒｏｍ Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ Ａｔｔａｃｋ Ｕｓｉｎｇ Ｈｉｓｔｏｒｙ−ｂａｓｅｄ ＩＰ Ｆｉｌｔｅｒｉｎｇ，”）、２００３年３月、ＩＥＥＥ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ （ＩＣＣ ２００３），Ａｎｃｈｏｒａｇｅ，Ａｌａｓｋａ，ＵＳＡ．
【非特許文献７】ゴッシュ（Ａ． Ｇｈｏｓｈ）、外３名（Ｌ． Ｗｏｎｇ，Ｇ． Ｄｉ Ｃｒｅｓｃｅｎｚｏ，Ｒ． Ｔａｌｐａｄｅ）、「偽装されたＩＰ情報を検出するための入口フィルタリング」（“ＩｎＦｉｌｔｅｒ：Ｐｒｅｄｉｃｔｉｖｅ Ｉｎｇｒｅｓｓ Ｆｉｌｔｅｒｉｎｇ ｔｏ Ｄｅｔｅｃｔ Ｓｐｏｏｆｅｄ ＩＰ Ｔｒａｆｆｉｃ”）、２００５年、ＩＣＤＣＳＷ‘０５−Ｖｏｌｕｍｅ ０２
【発明の概要】
【発明が解決しようとする課題】
【００１２】
従って、偽装されたソースＩＰアドレスを有するネットワーク情報を検出するための、確実かつ有効な方法および装置に対するニーズがある。
【課題を解決するための手段】
【００１３】
本発明の一態様によると、複数のインタフェースを有するネットワークに向けられた偽装されたインターネットプロトコル（ＩＰ）情報を検出する方法が提供される。前記方法は、複数のデータソースからのルーティング情報を処理することで、ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルを作成する工程を含む。前記方法は、インタフェースごとに、インタフェースに入るトレーニング情報フローからＩＰアドレスプレフィックスを獲得し、前記マッピングテーブルに基づいて前記ＩＰアドレスプレフィックスをＡＳ番号に変換し、なおかつ前記ＡＳ番号に基づいてインタフェース用予想ＡＳ番号テーブルを生成する工程を更に含む。前記方法は、前記インタフェース用予想ＡＳ番号テーブルに基づいてオペレーショナル情報フローが前記ネットワークに入ることを許可されるか否かを判定する工程を更に含む。
【００１４】
本明細書に記載する方法を実行する機械によって実行可能な命令のプログラムを具体的に実現する、機械によって読み込み可能なコンピュータ可読媒体などのプログラム記憶装置も提供されてよい。
【００１５】
本発明の別の態様によると、偽装防止装置が提供される。前記装置は、複数のデータソースからのルーティング情報を処理することによって、ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルを作成するマッピングコンポーネント（マッピング部）を備える。前記装置は、複数のトレーニング情報フローからＩＰアドレスプレフィックスを獲得し、獲得された前記ＩＰアドレスプレフィックスを前記マッピングテーブルに基づいてＡＳ番号に変換し、なおかつ前記ＡＳ番号に基づいて予想ＡＳ番号テーブルを生成する学習コンポーネント（学習部）を更に備える。前記装置は、着信オペレーショナル情報フローのＩＰプレフィックスを獲得し、前記マッピングテーブルに基づいて前記ＩＰプレフィックスをＡＳ番号に変換し、なおかつ前記着信オペレーショナル情報フローが前記ネットワークに入ることを許可されるか否かを判定する判定コンポーネント（判定部）を更に備える。
【００１６】
本発明の更に別の態様によると、偽装された着信ＩＰ情報を検出することができるネットワークシステムが提供される。前記ネットワークシステムは、情報フローを受信および転送するための複数のインタフェースと、前記情報フローから情報を収集するために前記複数のインタフェースと通信する複数の情報モニタと、前記ネットワークシステム内の前記情報フローを制御するために前記複数の情報モニタと通信する少なくとも１つのサーバとを備える。前記サーバは、偽装防止装置を備える。前記装置は、複数のデータソースからのルーティング情報を処理することによって、ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルを作成するマッピングコンポーネント（マッピング部）を備える。前記装置は、複数のトレーニング情報フローからＩＰアドレスプレフィックスを獲得し、獲得された前記ＩＰアドレスプレフィックスを前記マッピングテーブルに基づいてＡＳ番号に変換し、なおかつ前記ＡＳ番号に基づいて予想ＡＳ番号テーブルを生成する学習コンポーネント（学習部）を更に備える。前記装置は、着信オペレーショナル情報フローのＩＰプレフィックスを獲得し、前記マッピングテーブルに基づいて前記ＩＰプレフィックスをＡＳ番号に変換し、なおかつ前記着信オペレーショナル情報フローが前記ネットワークに入ることを許可されるか否かを判定する判定コンポーネント（判定部）を更に備える。
【図面の簡単な説明】
【００１７】
本発明の非限定的な例示的実施形態を通して、言及される図面を参照しながら、以下の詳細な説明において、本発明を更に説明する。すべての図面にわたって、類似の参照符号は、類似の部分を表す。しかしながら、本発明は、図示される通りの配置および手段に限定されるものではない、ということが理解されるべきである。図面の説明は以下の通りである。
【００１８】
【図１】本発明の一態様による方法を適用できる例示的なネットワークを示す図である。
【図２】本発明の一態様による偽装されたＩＰ情報を検出する方法のステップを図示する例示的なフローチャートである。
【図３】ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルを作成するステップを図示する例示的なフローチャートである。
【図４】トレーニング情報フローを用いて各ネットワークインタフェースをプロファイリングするステップを図示する例示的なフローチャートである。
【図５】オペレーショナル情報フローにおける異常なソースＡＳ番号を検出するステップを図示する例示的なフローチャートである。
【図６】本発明の別の態様による例示的な偽装防止装置を示すブロック図である。
【図７】本発明の更に別の態様による例示的なネットワークシステムを示すブロック図である。
【発明を実施するための形態】
【００１９】
ここで図面を参照して明細書を説明する。類似の参照符号は、類似の要素を指すために用いられる。以下の記載において、説明を目的として、本明細書の徹底的な理解を提供するために、数多くの具体的な詳細を述べる。しかしながら、これらの具体的な詳細なしに明細書の内容を実施できることは明白であり得る。他の場合において、明細書の記載を容易にするために、周知の構造および装置をブロック図の形態で示す。
【００２０】
図１は、複数のインタフェースを有するターゲットネットワーク１００を図示するものであり、これらのインタフェースを介してネットワークとの間のトラフィックを実現できる。例えば、ターゲットネットワーク１００は、複数のエッジルータ１２０を含む。エッジルータ１２０の各々は、ＩＳＰ＿Ｗ２２０、ＩＳＰ＿Ｘ２４０、ＩＳＰ＿Ｙ２６０およびＩＳＰ＿Ｚ２８０などの複数の外部ネットワークから情報を受信し、当該情報をターゲットネットワーク１００に更に転送する。ターゲットネットワーク１００は、複数のコアルータ１４０を更に含む。コアルータ１４０は、ネットワーク内にあり、ネットワーク内で情報フローをルーティングする。複数の情報モニタ１６０もネットワーク内にあり、ネットワークを横断する情報に関する情報を収集する。そのような情報は、ソースＩＰアドレス、デスティネーションＩＰアドレス、ソースポート、デスティネーションポート、パケットサイズ、およびネットワークに対する着信パケットが観察された時間などを含むが、これらに限定されるものではない。
【００２１】
情報モニタ１６０は、エッジルータ１２０、コアルータ１４０およびサーバ３００と通信する。サーバ３００は、ターゲットネットワーク１００内の情報フローと、ターゲットネットワーク１００と外部ネットワークとの間の情報フローとを制御する。例えば、サーバ３００は、ターゲットネットワーク１００におけるエッジルータ１２０に対して、各ルータがデータを送信してもよいタイミング、または各ルータがデータを送信してもよい時間の長さを指示し得る。サーバ３００は、ターゲットネットワーク１００におけるエッジルータ１２０に対して、各ルータが送信してもよいデータの種類と、当該送信をどこに向けるべきかとを更に指示し得る。
【００２２】
サーバ３００と通信するデータベース４００を提供することもできる。データベース４００は、ＡＳ番号に関連するデータを格納できる。ターゲットネットワーク１００は、エッジルータ１２０の１つおよび顧客ネットワーク５００のエッジルータ５２０を介して、顧客ネットワーク５００との間で情報の受信および送信をすることが更にできる。ターゲットネットワーク１００は、エッジルータ１２０の１つを介して、企業ネットワーク６００との間で情報の受信および送信をすることが更にできる。
【００２３】
本発明の一態様によると、同一の発信ＡＳからのパケットは、デスティネーションネットワークに入る際に、一般的に同一の「着信（ｌａｓｔ ｈｏｐ）」ＡＳを用いる。従って、デスティネーションネットワークの観点から、ロードバランシングを実現する場合には、同一の発信ＡＳから発信するパケットは、一般的に同一のインターネット境界ルータまたは境界ルータのセットに到達する、ということを意味する。従って、ネットワークのインプリメンテーションに関して、冗長なまたはロードバランシングのネットワーク構成の場合には、同一の発信ＡＳからのＩＰアドレスプレフィックスは、同一のネットワークインタフェース若しくはネットワーク相互接続ポイント、またはインタフェースのセットにおいて、観察される。
【００２４】
特定のネットワークインタフェースについて有効とみなされるＡＳ番号のセットである予想ＡＳ（ＥＡＳ）番号テーブルを構成するために、上記の理解が用いられる。ＥＡＳ番号テーブルは、特定のネットワークインタフェースに関連する過去の情報トレースを調べることにより構築される。ＢＧＰ（ボーダーゲートウェイプロトコル）のルーティング情報またはルーティングレジストリを利用することによって、ＩＰパケットにおけるソースＩＰアドレスは、発信ＡＳ情報と相関させられる。発信ＡＳａを有するパケットがインタフェースｉにおいて観察された場合には、ＡＳａがインタフェースｉ用のＥＡＳ番号テーブルセットに追加される。
【００２５】
本発明によるＥＡＳベースの偽装検出スキームは、ＡＳ境界ルータにおけるインタフェースにおいて実現する場合に、最も有効である。それに加えて、ＥＡＳベースの偽装検出スキームはまた、コアルータにおける過去の情報トレース、および／またはネットワークにおける専用情報収集ポイントを観察することによっても実現できる。
【００２６】
図２は、本発明の一態様による偽装されたＩＰ情報を検出する方法１０００を図示するフローチャートである。
【００２７】
ステップ１２００において、ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルが作成される。ステップ１２００は、マッピングテーブルを作成するために複数のデータソースからのＢＧＰルーティング情報を処理することを含む。一実施形態において、特定のソースＩＰアドレスプレフィックスに関連するＢＧＰルーティング情報は、ネットワークオペレータのルータ（ローカルＢＧＰルータ）、ＲｏｕｔｅＶｉｅｗｓサーバ、および／またはＩＲＲ（インターネットルーティングレジストリ）データベースから、ローカルに収集できる。例えば、ルーティング情報は、ＡＳ発信またはメンバーシップ情報を含む。
【００２８】
一般的に、ＩＲＲデータベースは、登録されたＩＰアドレスプレフィックスを、対応するＡＳにマッピングする信頼すべき情報を含む。しかしながら、ＡＳに対するＩＰアドレスプレフィックスのマッピングは、一対一ではなくてもよい。例えば、いくつかのＡＳ番号を用いて１つのＩＰアドレスプレフィックスを登録できる。更に、登録されたＩＰアドレスプレフィックスは、登録されたネットワークにおいて、特定のプレフィックスが用いられることを必ずしも示すわけではない。それに加えて、すべてのＩＰアドレスプレフィックスがＩＲＲデータベースの所与のセットに必ずしも登録されるというわけではない。
【００２９】
一般的に、ＲｏｕｔｅＶｉｅｗｓサーバは、情報を転送するためにインターネットにおいて、ルータによって用いられる実際の情報を表す実際のＢＧＰルーティングデータを含む。このデータはまた、所与のＩＰアドレスプレフィックスのための対応するＡＳ番号を推論するために用いることもできる。しかしながら、これらのサーバにおいて、ＩＰアドレスプレフィックスを認識できないことがあるので、サーバの所与のセットからのＲｏｕｔｅＶｉｅｗｓデータは、所与のＩＰアドレスプレフィックスに関する情報を含まないことがある。
【００３０】
一般的に、ネットワークオペレータのローカルＢＧＰルータは、ＲｏｕｔｅＶｉｅｗｓサーバに類似した制約を受けるので、ＩＰアドレスプレフィックスからＡＳ番号へのマッピングの信頼すべきソースではあり得ない。
【００３１】
上述のデータソースからのＢＧＰルーティング情報における欠点を考慮して、マッピングテーブルを作成するステップ１２００は、図３に示すフローチャートに従って実現される。
【００３２】
図示するように、サブステップ１２１０において、ＢＧＰルーティング情報は、ローカルＢＧＰルータ、ＲｏｕｔｅＶｉｅｗｓサーバ、およびＩＲＲデータベースから、それぞれ収集される。サブステップ１２２０において、ローカルＢＧＰルータ、ＲｏｕｔｅＶｉｅｗｓサーバ、およびＩＲＲデータベースから獲得されたそれぞれのルーティングデータ間にコンフリクトが存在するか否かが判定される。差分データソースからのそれぞれのＢＧＰルーティングデータがコンフリクトしていない場合には（１２２０＝ＮＯ）、サブステップ１２３０において、様々なＢＧＰルーティングデータが組み合わせられるかまたは結合される。その後、サブステップ１２４０において、処理された情報を用いて、ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルを作成する。
【００３３】
しかしながら、サブステップ１２２０において、判定された異なるデータソースからのＢＧＰルーティングデータ間にコンフリクトがある場合には（１２２０＝ＹＥＳ）、サブステップ１２５０において、コンフリクトしているルーティングデータを含む各データソースにプライオリティが割り当てられる。その後、比較して、より高いプライオリティを有するデータソースからのルーティングデータは、サブステップ１２６０において、更に処理され得る（例えば、コンフリクトしているルーティングデータを含まない他のデータソースからのルーティングデータと組み合わせられる）。その後、サブステップ１２４０において、処理された情報を用いて、ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルを作成する。
【００３４】
１つの例示的実施形態において、ＩＲＲデータベースおよびＲｏｕｔｅＶｉｅｗｓサーバが、同一のＩＰアドレスプレフィックスに関してコンフリクトしているＡＳデータを含む場合には、比較して、より高いプライオリティがＩＲＲデータベースに割り当てられ、比較して、より低いプライオリティがＲｏｕｔｅＶｉｅｗｓサーバに割り当てられる。その後、ＩＲＲデータベースからのルーティングデータが、ネットワークオペレータのローカルＢＧＰルータからのルーティングデータと組み合わせられることにより、ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルが作成される。それに加えて、複数のデータ資源からのデータ間に多数のコンフリクトがある場合には、すべてのコンフリクトが解決されるまで、上記のサブステップ１２２０乃至１２６０を繰り返すことができる。
【００３５】
再び図２を参照して、マッピングテーブルが作成された後、方法１０００は、ステップ１４００に進み、トレーニング情報フローおよびステップ１２００において作成されたマッピングテーブルを用いて、各ネットワークインタフェース（例えば図１に示すエッジルータ１２０の各々）がプロファイリングされる。
【００３６】
図４は、ネットワークの各インタフェースをプロファイリングするサブステップを図示するフローチャートである。本発明による各インタフェースのプロファイリングは、トレーニング情報フローを用いることにより、ネットワーク内の専用情報収集ポイントにおける各ネットワークインタフェースをＡＳ番号と関連づける。
【００３７】
サブステップ１４１０において、ソースＩＰアドレスプレフィックスは、インタフェースごとに、ネットワークインタフェースにおいて観察されるトレーニング情報フローから抽出される。例えば、ＩＰアドレスプレフィックスをそれぞれ含む着信パケットのグループは、第１プリセット時間について監視される。第１プリセット時間は、調節可能である。
【００３８】
サブステップ１４２０において、ステップ１２００において作成される（ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示す）マッピングテーブルに基づいて、ＩＰアドレスプレフィックスがＡＳ番号に変換される。サブステップ１４３０において、サブステップ１４２０において、変換されたＡＳ番号に基づいて、インタフェース用ＥＡＳ番号テーブルが生成される。ＥＡＳ番号テーブルは、各情報収集ポイントにおける各ネットワークインタフェースを、インタフェースにおいて観察されるＡＳ番号のセットにマッピングする。
【００３９】
それに加えて、サブステップ１４４０において、各ネットワークインタフェース用のＥＡＳ番号テーブルを、定期的にアップデートすることができる。例えば、ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルの変更またはアップデートに基づいて、ＥＡＳ番号テーブルをアップデートすることができる。トレーニング情報フローの新たなセット（ターゲットネットワーク内の、またはターゲットネットワークに接続されたインターネットの一部における、ルーティングトポロジの変化によって発生し得るもの）を用いて、ＥＡＳ番号テーブルを更新することも可能である。
【００４０】
更に、別の例示的実施形態によると、偽装されたソースアドレスを有する可能性のあるＩＰパケットをトレーニング情報フローから排除するための手段が講じられる。例えば、手段としては、異常に高い負荷が見られるデスティネーションに向かうすべての情報を排除することによって、攻撃の被害者に向けられたフローをフィルタリング除去することが挙げられる。同一の発信ＡＳから発信するパケットは一般的に同一のインターネット境界ルータに到達する、という上述の理解に基づいて、所与のネットワークインタフェースについてＥＡＳセットが相当に安定することが予想される。
【００４１】
再び図２を参照して、ステップ１４００において、インタフェースごとにＥＡＳ番号テーブルを生成することによって、各ネットワークインタフェースがプロファイリングされた後、方法１０００はステップ１６００に進み、インタフェースごとのそれぞれのＥＡＳ番号テーブルに基づいて包括的ＥＡＳ番号テーブルを生成することによって、ネットワークがプロファイリングされる。例えば、包括的ＥＡＳ番号テーブルは、複数のエントリを含むことができ、各エントリは、特定のインタフェースと関連し、インタフェース用ＥＡＳ番号テーブルを含む。包括的ＥＡＳ番号テーブルは、ネットワークインタフェースを、ネットワークの各インタフェースにおいて観察されるＡＳ番号のグループにマッピングする。
【００４２】
ステップ１８００において、オペレーショナル情報フローにおける異常なソースＡＳ番号が検出される。
【００４３】
図５は、異常なソースＡＳ番号を検出するサブステップを図示するフローチャートである。サブステップ１８１０において、オペレーショナル情報フローからＩＰアドレスプレフィックスが獲得される。このサブステップにおいて、例えば、オペレーショナル情報フローの少なくとも１つの着信パケットは、特定のインタフェースを介してネットワークに入り、第２プリセット時間において、パケットを監視することによって、パケットのＩＰアドレスプレフィックスを抽出する。第２プリセット時間は、調節可能である。
【００４４】
獲得されたＩＰアドレスプレフィックスは、ステップ１２００において作成されるマッピングテーブルに基づいて、サブステップ１８２０において、少なくとも１つのＡＳ番号に変換される。変換されたＡＳ番号は、サブステップ１８３０において、ステップ１６００において生成された包括的ＥＡＳ番号テーブルの各エントリのＡＳ番号と、比較される。
【００４５】
サブステップ１８４０において、変換されたＡＳ番号と、包括的ＥＡＳ番号テーブルのエントリのＡＳ番号との間に一致があるか否かが判定される。一致がない場合には（１８４０＝ＮＯ）、サブステップ１８５０において、ネットワークに対してオペレーショナル情報フローが許可されないことを示す第１アラートを生成する。変換されたＡＳ番号と、エントリの少なくとも１つのＡＳ番号との間に一致がある場合には（１８４０＝ＹＥＳ）、サブステップ１８６０において、エントリに関連するインタフェースを特定する。
【００４６】
その後、サブステップ１８７０において、特定されたインタフェースと、オペレーショナル情報フローがネットワークに入る際に通ったインタフェースとを比較する。サブステップ１８８０において、２つのインタフェースの間に一致があるか否かが判定される。一致がない場合には（１８８０＝ＮＯ）、サブステップ１８９０において、オペレーショナル情報フローがネットワークに対しては許可されるが、特定のインタフェースに対しては許可されないということを示す第２アラートを生成する。一致がある場合には（１８８０＝ＹＥＳ）、サブステップ１８９２において、オペレーショナル情報が特定のインタフェースを介してネットワークに入ることを許可する。
【００４７】
本発明の上記の例示的実施形態による方法は、過去の情報フローを、ＡＳレベルルーティング情報と相関させて、異常なソースＡＳ番号を特定することによって、偽装されたＩＰ情報を検出する。ＩＰアドレスに注目することにより偽装された情報を検出することに代わって、本発明のこれらの実施形態による方法は、ＩＰパケットの発信ＡＳを利用して、偽装されたパケットを検出する。インターネットルーティングテーブルにおいて、アクティブＩＰプレフィックスの数は約３３０Ｋであるが、アクティブＡＳ番号の数は約３２Ｋである。従って、本発明のこれらの実施形態による方法は、はるかに拡張性のある検出メカニズムをもたらす。それに加えて、ＩＰアドレスではなくＡＳ番号を利用するフィルタは、サイズが１桁小さいので、方法の利用可能性および実用性を更に高める。
【００４８】
更に、本発明の上記の例示的実施形態による方法は、ＩＰアドレスをＡＳ番号にマッピングする。従って、同一の発信ＡＳから一部の情報が観察されてさえいれば、これまで一度も観察されなかったＩＰアドレスを有する情報を、本物かまたは偽装されたものかに分類できる。従って、検出アルゴリズムをトレーニングするために必要な時間量、および偽装検出アルゴリズムにより特定される誤検出の数において、著しい低減を達成できる。
【００４９】
図６は、本発明の別の態様による例示的な偽装防止装置７００を示すブロック図である。偽装防止装置７００は、複数のインタフェースを有するネットワークに向けられた偽装されたＩＰ情報を検出するために使用されることができる。装置は、本物のＡＳ番号のセットと対応するＩＰアドレスとの間の相関関係を動的に学習し、更には着信情報フローのＩＰアドレスが本物のＡＳ番号に対応するか否かを検証することによって、攻撃情報がネットワークに入ることを回避することができる。情報フローのＡＳ番号とＥＡＳ番号テーブルとを比較することによって、偽装された情報フローが判定される。
【００５０】
一般的に、偽装防止装置７００は、マッピングコンポーネント（マッピング部）７２０と、学習コンポーネント（学習部）７４０と、判定コンポーネント（判定部）７６０とを備える。
【００５１】
マッピングコンポーネント（マッピング部）７２０は、複数のデータソースから発信されるルーティング情報を受信および処理することにより、ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルを作成する。マッピングテーブルは、データベース７２２に格納することができる。
【００５２】
学習コンポーネント（学習部）７４０は、ネットワークに入る複数のトレーニング情報フローから、ＩＰアドレスプレフィックスを獲得する。マッピングコンポーネント（マッピング部）７２０によって作成されるマッピングテーブルを参照することによって、学習コンポーネント（学習部）７４０は、獲得されたＩＰアドレスプレフィックスをＡＳ番号に変換し、ＡＳ番号はＥＡＳ番号テーブルを生成するために用いられる。ＥＡＳ番号テーブルは、データベース７４２に格納することができる。
【００５３】
判定コンポーネント（判定部）７６０は、着信オペレーショナル情報フローのＩＰプレフィックスを獲得し、マッピングコンポーネント（マッピング部）７２０によって作成されるマッピングテーブルに基づいて、ＩＰプレフィックスをＡＳ番号に変換する。更に、判定コンポーネント（判定部）７６０は、着信オペレーショナル操作情報フローがネットワークに入ることを許可されるか否かを判定する。例えば、判定コンポーネント（判定部）７６０は、変換されたＡＳ番号と、学習コンポーネント（学習部）７４０によって生成されるＥＡＳ番号テーブルのＡＳ番号とを比較する比較コンポーネント（比較部）７６２を備えることができる。変換されたＡＳ番号とＥＡＳ番号テーブルのＡＳ番号との間に一致がない場合には、判定コンポーネント（判定部）７６０は、アラート通知を生成することができ、アラート通知はデータベース７６４に格納されることができる。
【００５４】
図７は、本発明の更に別の態様によるネットワークシステム８００のブロック図である。ネットワークシステム８００は、複数のエッジルータ８２０と、複数の情報モニタ８４０と、複数のコアルータ８６０とを備え、いずれも図１に示すターゲットネットワーク１００のそれらと同一または同様である。ネットワークシステム８００は、図７に示す偽装防止装置７００を組み込むサーバ８８０を更に備える。偽装防止装置７００を組み込むことによって、ネットワークシステム８００は、システムに向けられた偽装されたＩＰ情報を検出することができる。
【００５５】
本明細書において、用いられる用語は、特定の実施形態を説明することのみを目的としており、本発明を限定することを意図しない。本明細書において、用いられる「１つの（ａ、ａｎ）」および「その（ｔｈｅ）」という語の単数形は、文脈が特に明示しない限り、複数形も含むことを意図される。本明細書において、用いられる「備える（ｃｏｍｐｒｉｓｅｓ／ｃｏｍｐｒｉｓｉｎｇ）」という用語は、記載される特徴、整数、ステップ、操作、要素および／または構成要素の存在を指定するものであるが、他の１つ以上の特徴、整数、ステップ、操作、要素、構成要素および／またはそれらの群の存在または追加を除外するものではない。
【００５６】
本開示の様々な態様は、コンピュータまたは機械によって、使用可能または読み込み可能な媒体において、実現されるプログラム、ソフトウェアまたはコンピュータ命令として実現されてもよく、それらは、コンピュータ、プロセッサおよび／または機械上で実行される際に、コンピュータまたは機械に方法のステップを実行させるものである。本開示において、記載される様々な機能および方法を実行する機械によって、実行可能な命令のプログラムを具体的に実現する、機械によって読み込み可能なプログラム記憶装置も提供される。
【００５７】
本開示のシステムおよび方法は、汎用コンピュータまたは特殊目的コンピュータシステム上で実現および実行されてもよい。コンピュータシステムは、すでに公知のまたはいずれ公知となる任意の種類のシステムであってもよく、一般的に、プロセッサ、メモリデバイス、記憶装置、入出力装置、内部バス、および／または通信用ハードウェアおよびソフトウェアと併用して他のコンピュータシステムと通信するための通信インタフェースを含んでもよい。
【００５８】
本発明の記載は、図解および説明のために提示したが、開示された形態において、本発明を網羅または限定することを意図するものではない。本発明の範囲および趣旨から逸脱することなく、多くの修正および変更が当業者にとって明らかである。本実施形態は、本発明の原理およびその実際の応用例を最もよく説明するために選択され説明されたものであり、これにより、考えられる特定の使用法に合わせた様々な変更を有する様々な実施形態について、当業者が本発明を理解できる。
【符号の説明】
【００５９】
１００ ターゲットネットワーク
１２０、８２０ エッジルータ
１４０、８６０ コアルータ
１６０、８４０ 情報モニタ
７００ 偽装防止装置
７２０ マッピングコンポーネント
７４０ 学習コンポーネント
７６０ 判定コンポーネント
【技術分野】
【０００１】
本出願は、一般に、偽装されたＩＰ（インターネットプロトコル）情報を、それがＩＳＰ（インターネットサービスプロバイダ）のネットワークに入る際に検出することに関し、特に、ＡＳ（自律システム）メンバーシップ情報を過去の情報フローと組み合わせることによって、偽装されたソースＩＰアドレスを有するパケットを検出する方法および装置に関する。
【背景技術】
【０００２】
偽装されたＩＰ情報（正しくないソースＩＰアドレスを有するパケットを含む情報）は、トレースバックのリスクを減らし、かつネットワークベースのセンサによって、攻撃が検出されることを回避しようとする、匿名性を狙ったインターネットベースの攻撃者によって、用いられることが多い。攻撃者は、多くの場合、ネットワーク通信のソースアドレスを偽造することによって、攻撃を行うために用いる機械の識別情報を偽装または見せかける。このことにより、攻撃情報のソースを検出して特定することがより困難になり、ときには攻撃者から無実の第三者へと注意が逸らされることもある。
【０００３】
最も広く使われているオペレーティングシステムから発せられる攻撃情報において、正しくないソースＩＰアドレスを用いることは、巧みな攻撃者にとって一般的なことである。ＩＰルーティングは、デスティネーションに基づいているため、偽装されたＩＰパケットは、偽装されていないＩＰパケットと同様に、意図されたターゲットへと配信される。偽装されたＩＰパケットは、ＤＤｏＳ（分散型サービス妨害）攻撃において、特に一般的であり、攻撃者は、ターゲットのホストまたはネットワークに対して累積的に大量のＩＰ情報フローが集中するように、多数の中間的な感染ホストを強制的に操作できる。偽装は、個々のホストからの情報量を少なく見せることを確実にするので、ネットワークベースのセンサによって、そのようなＤＤｏＳ攻撃を検出することは困難である。
【０００４】
ＤＤｏＳのような大量攻撃に加えて、比較的人目を盗んだ攻撃もまた、偽装されたＩＰパケットを使用することがある。顕著な例は、デスティネーションノードを感染させる、シングルソースＩＰの偽装されたＵＤＰ（ユーザデータグラムプロトコル）パケットを送信するスラマー（Ｓｌａｍｍｅｒ）ワームである。従って、偽装されたＩＰ情報を検出するということは、攻撃ごとに特殊化された検出器を用いるのではなく、いくつかの異なる種類のネットワーク攻撃を検出するための一般的な手段である。このような問題は、非特許文献１〜３において言及されている。
【０００５】
上記の問題を解決するために努力が払われてきた。
【０００６】
偽装されたＩＰ情報を検出して阻止する最も一般的な解決策の１つに、出口フィルタリングがある（非特許文献４）。この方法は、ネットワーク境界ルータのアウトバウンドインタフェースにおいて、フィルタリングルールを用いるものである。これらのフィルタリングルールは、当該ネットワークに合法的に割り当てられたもの以外のソースＩＰアドレスを有する情報がネットワークから出ることを防止する。従って、出口フィルタリングは、そのソースにおいて、偽装された情報の検出および阻止に対処することを試みるものである。しかしながら、出口フィルタリングが直面する短所は、それを実行するＩＳＰ側にとっては一般的に不本意なものであるということである。出口フィルタリングを実行する利点は、フィルタリングを実行するＩＳＰには認められない。従って、ＩＳＰがそのようにする動機はほとんどない。更に、出口フィルタのメンテナンスは時間のかかるプロセスであり、旧式のおよび／または正しくない出口フィルタは、本物の情報をブロックしてしまうことがある。従って、たとえ出口フィルタリングを実行するメカニズムがインターネットのほとんどのルータにおいて、利用可能であっても、現在、多数のＩＳＰがそれを実行していない。結果として、これらのＩＳＰのホストにおいて、偽装された情報が制約なしに発生し得る。
【０００７】
偽装されたＩＰ情報を検出して阻止する別の方法としては、ユニキャストリバースパス転送（ＵＲＰＦ）がある（非特許文献５）。パケットのソースＩＰアドレスに戻るアウトバウンドパスが、所与のインタフェースを用いていない場合には、ＵＲＰＦ対応エッジルータは、所与のインタフェースにおいて、着信ＩＰパケットを遮断する。換言すると、ＵＲＰＦは、ソースとデスティネーションとの間の対称的なルーティングに依存し、この対称性を破るいかなるパケットも遮断する。ＵＲＰＦは、インターネットにおける２つのエンドポイントの間のパスについてルーティング対称性の存在を想定している。しかしながら、インターネットルーティングプロトコルの動的性質と、ルータが常にこれらのプロトコルに基づいてデスティネーションへの最善のパスを選択するという事実とによって、ソースからデスティネーションへの最善のネットワークパスが、最善のリバースパスとは全く異なるものになり得る可能性が高い。結果として、ＵＲＰＦベースの情報フィルタリングが、有効なソースＩＰアドレスを有する情報を遮断してしまうことが多くあり得る。従って、ＵＲＰＦは、一定の特定の状況においてのみ有効であり、偽装されたＩＰ情報を検出するという問題に対する完全な解決策ではない。
【０００８】
多種多様な検出方法は、（能動的または受動的な）ホストベースの方法とルーティングベースの方法とに分類される。ホストベースの方法は、偽装されている可能性のある情報のデスティネーションであるホストにおいて、追加的な機能を組み込む必要がある。ルーティングベースの検出方法は、ネットワークに対する外部アドレスと内部アドレスとを区別することに焦点をあてる。しかしながら、ホストベースの方法は、方法を展開する必要のあるエンドポイントの数が多いという単なる理由によって、容易には実行できない。従って、問題を全体として解決するためにホストベースの方法を大規模に実行することは実用的ではない。一方、ルーティングベースの検出方法は、ネットワークに対する内部アドレスと外部アドレスとの区別を試みるものであり、偽装検出問題を解決できる程度が限定されている。アウトバウンドパケット上の外部ソースアドレスを検出することは、出口フィルタリング（上記に記載）と基本的に同一のものであり、従って同一の限界に直面する。着信パケット上の内部ソースアドレスを検出することは、着信パケットが外部ソースＩＰアドレスを運ぶ場合には偽装を検出できないので、問題に対して提供する解決策は限定されている。
【０００９】
更に、攻撃ターゲットの近くにおけるＩＰソースアドレスのフィルタリングに基づいてＤＤｏＳ攻撃に対して防御する、という別のスキームも、ネットワークの管理者および設計者の間で考察されてきた。このスキームによると、各エッジルータは、ネットワーク内に以前に現れたすべての本物のＩＰアドレスの履歴を保持する。エッジルータに過負荷がかけられたときに、着信ＩＰパケットを認可するべきか否かを決定するために、この履歴が用いられる。しかしながら、このスキームは、単一のエッジルータのみにおいて、観察されたソースＩＰアドレスの履歴セットを利用するため、問題に対して限定された解決策しか提供しない。着信パケット上のソースＩＰアドレスが、エッジルータの履歴セットの中にはないが有効である、という場合でさえも、偽装されたものとして遮断され得る。
【００１０】
更に、別の公知のスキームは、デスティネーションの近くの情報において、偽装されたソースＩＰアドレスを検出するために、「ＩｎＦｉｌｔｅｒ」仮説を利用した予測的な入口フィルタリング手法を提示する。この方法は、多数のエッジルータにわたる過去のソースＩＰアドレス情報を利用することにより、観察された情報における偽装活動を推論するものである（非特許文献６、非特許文献７）。このスキームは、多数のエッジルータにわたるソースＩＰアドレス履歴を用いることによって、直面する問題をいくぶん軽減する。着信パケット上のソースＩＰアドレスが、着信エッジルータの履歴セットの中にはなく、別のエッジルータの履歴セットの中にある場合には、パケットは通過を許可されず、誤ったエッジに到着したものとして無視されることになる。しかしながら、この方法は、履歴情報が集められている期間の最中に、ＩＳＰのネットワーク内のいずれのエッジルータにおいても一定のソースＩＰアドレスが見られない場合には、やはり限定を受けてしまう。そのＩＰアドレスは、後で観察されたとしても、偽装されたものとして遮断されてしまう。
【先行技術文献】
【非特許文献】
【００１１】
【非特許文献１】リッチ（Ｒｉｃｈ Ｐｅｔｈｉａ）、外２名、「分散ＤｏＳ攻撃を破るための指針」（“Ｃｏｎｓｅｎｓｕｓ Ｒｏａｄｍａｐ ｆｏｒ Ｄｅｆｅａｔｉｎｇ Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ Ａｔｔａｃｋｓ”）、Ｖｅｒ．１．１０ ２０００年２月、インターネット＜ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｓａｎｓ．ｏｒｇ／ｄｏｓｓｔｅｐ／ｒｏａｄｍａｐ．ｐｈｐ＞
【非特許文献２】「インフラストラクチャセキュリティ」（“ＷＯＲＬＤＷＩＤＥ ＩＮＦＲＡＳＴＲＵＣＴＵＲＥ ＳＥＣＵＲＩＴＹ ＲＥＰＯＲＴ”）、２００８年１０月 Ａｒｂｏｒ Ｎｅｔｗｏｒｋｓ．、インターネット＜ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ａｒｂｏｒｎｅｔｗｏｒｋｓ．ｃｏｍ／ｒｅｐｏｒｔ＞
【非特許文献３】ロバート（Ｇ． Ｒｏｂｅｒｔ Ｍａｌａｎ）、「サービス不能攻撃についての観測と経験」（“Ｏｂｓｅｒｖａｔｉｏｎｓ ａｎｄ Ｅｘｐｅｒｉｅｎｃｅｓ Ｔｒａｃｋｉｎｇ Ｄｅｎｉａｌ−Ｏｆ−Ｓｅｒｖｉｃｅ Ａｔｔａｃｋｓ Ａｃｒｏｓｓ ａ Ｒｅｇｉｏｎａｌ ＩＳＰ”）、インターネット＜ＵＲＬ： ｈｔｔｐ：／／ｗｗｗ．ａｒｂｏｒｎｅｔｗｏｒｋｓ．ｃｏｍ／ｉｎｄｅｘ．ｐｈｐ？ｏｐｔｉｏｎ＝ｃｏｍ＿ｄｏｃｍａｎ＆ｔａｓｋ＝ｄｏｃ＿ｄｏｗｎｌｏａｄ＆ｇｉｄ＝９７＞
【非特許文献４】クリス（Ｃｈｒｉｓ Ｂｒｅｎｔｏｎ）、「出口フィルタリング」（“Ｅｇｒｅｓｓ Ｆｉｌｔｅｒｉｎｇ ＦＡＱ”）、２００６年４月、インターネット＜ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｓａｎｓ．ｏｒｇ／ｒｅａｄｉｎｇ＿ｒｏｏｍ／ｗｈｉｔｅｐａｐｅｒｓ／ｆｉｒｅｗａｌｌｓ／ｅｇｒｅｓｓ＿ｆｉｌｔｅｒｉｎｇ＿ｆａｑ＿１０５９？ｓｈｏｗ＝１０５９．ｐｈｐ＆ｃａｔ＝ｆｉｒｅｗａｌｌｓ＞
【非特許文献５】バリー（Ｂａｒｒｙ Ｒａｖｅｅｎｄｒａｎ Ｇｒｅｅｎｅ）、外１名（Ｎｅｉｌ Ｊａｒｖｉｓ）、「ＩＳＰ−ＩＳＰのためのｕＲＰＦ」（“Ｕｎｉｃａｓｔ Ｒｅｖｅｒｓｅ Ｐａｔｈ Ｆｏｒｗａｒｄｉｎｇ （ｕＲＰＦ） Ｅｎｈａｎｃｅｍｅｎｔｓ ｆｏｒ ｔｈｅ ＩＳＰ−ＩＳＰ Ｅｄｇｅ”）、２００１年２月、Ｃｉｓｃｏ Ｓｙｓｔｅｍｓ，Ｉｎｃ．、インターネット＜ＵＲＬ：ｆｔｐ：／／ｆｔｐ−ｅｎｇ．ｃｉｓｃｏ．ｃｏｍ／ｃｏｎｓ／ｉｓｐ／ｓｅｃｕｒｉｔｙ／ＵＲＰＦ−ＩＳＰ．ｐｄｆ＞
【非特許文献６】ペン（Ｔ．Ｐｅｎｇ）、外２名（Ｃ．Ｌｅｃｋｉｅ，Ｒ．Ｋｏｔａｇｉｒｉ）「ＩＰフィルタリングを使用する分散ＤｏＳ攻撃からの保護」（“Ｐｒｏｔｅｃｔｉｏｎ ｆｒｏｍ Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ Ａｔｔａｃｋ Ｕｓｉｎｇ Ｈｉｓｔｏｒｙ−ｂａｓｅｄ ＩＰ Ｆｉｌｔｅｒｉｎｇ，”）、２００３年３月、ＩＥＥＥ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ （ＩＣＣ ２００３），Ａｎｃｈｏｒａｇｅ，Ａｌａｓｋａ，ＵＳＡ．
【非特許文献７】ゴッシュ（Ａ． Ｇｈｏｓｈ）、外３名（Ｌ． Ｗｏｎｇ，Ｇ． Ｄｉ Ｃｒｅｓｃｅｎｚｏ，Ｒ． Ｔａｌｐａｄｅ）、「偽装されたＩＰ情報を検出するための入口フィルタリング」（“ＩｎＦｉｌｔｅｒ：Ｐｒｅｄｉｃｔｉｖｅ Ｉｎｇｒｅｓｓ Ｆｉｌｔｅｒｉｎｇ ｔｏ Ｄｅｔｅｃｔ Ｓｐｏｏｆｅｄ ＩＰ Ｔｒａｆｆｉｃ”）、２００５年、ＩＣＤＣＳＷ‘０５−Ｖｏｌｕｍｅ ０２
【発明の概要】
【発明が解決しようとする課題】
【００１２】
従って、偽装されたソースＩＰアドレスを有するネットワーク情報を検出するための、確実かつ有効な方法および装置に対するニーズがある。
【課題を解決するための手段】
【００１３】
本発明の一態様によると、複数のインタフェースを有するネットワークに向けられた偽装されたインターネットプロトコル（ＩＰ）情報を検出する方法が提供される。前記方法は、複数のデータソースからのルーティング情報を処理することで、ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルを作成する工程を含む。前記方法は、インタフェースごとに、インタフェースに入るトレーニング情報フローからＩＰアドレスプレフィックスを獲得し、前記マッピングテーブルに基づいて前記ＩＰアドレスプレフィックスをＡＳ番号に変換し、なおかつ前記ＡＳ番号に基づいてインタフェース用予想ＡＳ番号テーブルを生成する工程を更に含む。前記方法は、前記インタフェース用予想ＡＳ番号テーブルに基づいてオペレーショナル情報フローが前記ネットワークに入ることを許可されるか否かを判定する工程を更に含む。
【００１４】
本明細書に記載する方法を実行する機械によって実行可能な命令のプログラムを具体的に実現する、機械によって読み込み可能なコンピュータ可読媒体などのプログラム記憶装置も提供されてよい。
【００１５】
本発明の別の態様によると、偽装防止装置が提供される。前記装置は、複数のデータソースからのルーティング情報を処理することによって、ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルを作成するマッピングコンポーネント（マッピング部）を備える。前記装置は、複数のトレーニング情報フローからＩＰアドレスプレフィックスを獲得し、獲得された前記ＩＰアドレスプレフィックスを前記マッピングテーブルに基づいてＡＳ番号に変換し、なおかつ前記ＡＳ番号に基づいて予想ＡＳ番号テーブルを生成する学習コンポーネント（学習部）を更に備える。前記装置は、着信オペレーショナル情報フローのＩＰプレフィックスを獲得し、前記マッピングテーブルに基づいて前記ＩＰプレフィックスをＡＳ番号に変換し、なおかつ前記着信オペレーショナル情報フローが前記ネットワークに入ることを許可されるか否かを判定する判定コンポーネント（判定部）を更に備える。
【００１６】
本発明の更に別の態様によると、偽装された着信ＩＰ情報を検出することができるネットワークシステムが提供される。前記ネットワークシステムは、情報フローを受信および転送するための複数のインタフェースと、前記情報フローから情報を収集するために前記複数のインタフェースと通信する複数の情報モニタと、前記ネットワークシステム内の前記情報フローを制御するために前記複数の情報モニタと通信する少なくとも１つのサーバとを備える。前記サーバは、偽装防止装置を備える。前記装置は、複数のデータソースからのルーティング情報を処理することによって、ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルを作成するマッピングコンポーネント（マッピング部）を備える。前記装置は、複数のトレーニング情報フローからＩＰアドレスプレフィックスを獲得し、獲得された前記ＩＰアドレスプレフィックスを前記マッピングテーブルに基づいてＡＳ番号に変換し、なおかつ前記ＡＳ番号に基づいて予想ＡＳ番号テーブルを生成する学習コンポーネント（学習部）を更に備える。前記装置は、着信オペレーショナル情報フローのＩＰプレフィックスを獲得し、前記マッピングテーブルに基づいて前記ＩＰプレフィックスをＡＳ番号に変換し、なおかつ前記着信オペレーショナル情報フローが前記ネットワークに入ることを許可されるか否かを判定する判定コンポーネント（判定部）を更に備える。
【図面の簡単な説明】
【００１７】
本発明の非限定的な例示的実施形態を通して、言及される図面を参照しながら、以下の詳細な説明において、本発明を更に説明する。すべての図面にわたって、類似の参照符号は、類似の部分を表す。しかしながら、本発明は、図示される通りの配置および手段に限定されるものではない、ということが理解されるべきである。図面の説明は以下の通りである。
【００１８】
【図１】本発明の一態様による方法を適用できる例示的なネットワークを示す図である。
【図２】本発明の一態様による偽装されたＩＰ情報を検出する方法のステップを図示する例示的なフローチャートである。
【図３】ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルを作成するステップを図示する例示的なフローチャートである。
【図４】トレーニング情報フローを用いて各ネットワークインタフェースをプロファイリングするステップを図示する例示的なフローチャートである。
【図５】オペレーショナル情報フローにおける異常なソースＡＳ番号を検出するステップを図示する例示的なフローチャートである。
【図６】本発明の別の態様による例示的な偽装防止装置を示すブロック図である。
【図７】本発明の更に別の態様による例示的なネットワークシステムを示すブロック図である。
【発明を実施するための形態】
【００１９】
ここで図面を参照して明細書を説明する。類似の参照符号は、類似の要素を指すために用いられる。以下の記載において、説明を目的として、本明細書の徹底的な理解を提供するために、数多くの具体的な詳細を述べる。しかしながら、これらの具体的な詳細なしに明細書の内容を実施できることは明白であり得る。他の場合において、明細書の記載を容易にするために、周知の構造および装置をブロック図の形態で示す。
【００２０】
図１は、複数のインタフェースを有するターゲットネットワーク１００を図示するものであり、これらのインタフェースを介してネットワークとの間のトラフィックを実現できる。例えば、ターゲットネットワーク１００は、複数のエッジルータ１２０を含む。エッジルータ１２０の各々は、ＩＳＰ＿Ｗ２２０、ＩＳＰ＿Ｘ２４０、ＩＳＰ＿Ｙ２６０およびＩＳＰ＿Ｚ２８０などの複数の外部ネットワークから情報を受信し、当該情報をターゲットネットワーク１００に更に転送する。ターゲットネットワーク１００は、複数のコアルータ１４０を更に含む。コアルータ１４０は、ネットワーク内にあり、ネットワーク内で情報フローをルーティングする。複数の情報モニタ１６０もネットワーク内にあり、ネットワークを横断する情報に関する情報を収集する。そのような情報は、ソースＩＰアドレス、デスティネーションＩＰアドレス、ソースポート、デスティネーションポート、パケットサイズ、およびネットワークに対する着信パケットが観察された時間などを含むが、これらに限定されるものではない。
【００２１】
情報モニタ１６０は、エッジルータ１２０、コアルータ１４０およびサーバ３００と通信する。サーバ３００は、ターゲットネットワーク１００内の情報フローと、ターゲットネットワーク１００と外部ネットワークとの間の情報フローとを制御する。例えば、サーバ３００は、ターゲットネットワーク１００におけるエッジルータ１２０に対して、各ルータがデータを送信してもよいタイミング、または各ルータがデータを送信してもよい時間の長さを指示し得る。サーバ３００は、ターゲットネットワーク１００におけるエッジルータ１２０に対して、各ルータが送信してもよいデータの種類と、当該送信をどこに向けるべきかとを更に指示し得る。
【００２２】
サーバ３００と通信するデータベース４００を提供することもできる。データベース４００は、ＡＳ番号に関連するデータを格納できる。ターゲットネットワーク１００は、エッジルータ１２０の１つおよび顧客ネットワーク５００のエッジルータ５２０を介して、顧客ネットワーク５００との間で情報の受信および送信をすることが更にできる。ターゲットネットワーク１００は、エッジルータ１２０の１つを介して、企業ネットワーク６００との間で情報の受信および送信をすることが更にできる。
【００２３】
本発明の一態様によると、同一の発信ＡＳからのパケットは、デスティネーションネットワークに入る際に、一般的に同一の「着信（ｌａｓｔ ｈｏｐ）」ＡＳを用いる。従って、デスティネーションネットワークの観点から、ロードバランシングを実現する場合には、同一の発信ＡＳから発信するパケットは、一般的に同一のインターネット境界ルータまたは境界ルータのセットに到達する、ということを意味する。従って、ネットワークのインプリメンテーションに関して、冗長なまたはロードバランシングのネットワーク構成の場合には、同一の発信ＡＳからのＩＰアドレスプレフィックスは、同一のネットワークインタフェース若しくはネットワーク相互接続ポイント、またはインタフェースのセットにおいて、観察される。
【００２４】
特定のネットワークインタフェースについて有効とみなされるＡＳ番号のセットである予想ＡＳ（ＥＡＳ）番号テーブルを構成するために、上記の理解が用いられる。ＥＡＳ番号テーブルは、特定のネットワークインタフェースに関連する過去の情報トレースを調べることにより構築される。ＢＧＰ（ボーダーゲートウェイプロトコル）のルーティング情報またはルーティングレジストリを利用することによって、ＩＰパケットにおけるソースＩＰアドレスは、発信ＡＳ情報と相関させられる。発信ＡＳａを有するパケットがインタフェースｉにおいて観察された場合には、ＡＳａがインタフェースｉ用のＥＡＳ番号テーブルセットに追加される。
【００２５】
本発明によるＥＡＳベースの偽装検出スキームは、ＡＳ境界ルータにおけるインタフェースにおいて実現する場合に、最も有効である。それに加えて、ＥＡＳベースの偽装検出スキームはまた、コアルータにおける過去の情報トレース、および／またはネットワークにおける専用情報収集ポイントを観察することによっても実現できる。
【００２６】
図２は、本発明の一態様による偽装されたＩＰ情報を検出する方法１０００を図示するフローチャートである。
【００２７】
ステップ１２００において、ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルが作成される。ステップ１２００は、マッピングテーブルを作成するために複数のデータソースからのＢＧＰルーティング情報を処理することを含む。一実施形態において、特定のソースＩＰアドレスプレフィックスに関連するＢＧＰルーティング情報は、ネットワークオペレータのルータ（ローカルＢＧＰルータ）、ＲｏｕｔｅＶｉｅｗｓサーバ、および／またはＩＲＲ（インターネットルーティングレジストリ）データベースから、ローカルに収集できる。例えば、ルーティング情報は、ＡＳ発信またはメンバーシップ情報を含む。
【００２８】
一般的に、ＩＲＲデータベースは、登録されたＩＰアドレスプレフィックスを、対応するＡＳにマッピングする信頼すべき情報を含む。しかしながら、ＡＳに対するＩＰアドレスプレフィックスのマッピングは、一対一ではなくてもよい。例えば、いくつかのＡＳ番号を用いて１つのＩＰアドレスプレフィックスを登録できる。更に、登録されたＩＰアドレスプレフィックスは、登録されたネットワークにおいて、特定のプレフィックスが用いられることを必ずしも示すわけではない。それに加えて、すべてのＩＰアドレスプレフィックスがＩＲＲデータベースの所与のセットに必ずしも登録されるというわけではない。
【００２９】
一般的に、ＲｏｕｔｅＶｉｅｗｓサーバは、情報を転送するためにインターネットにおいて、ルータによって用いられる実際の情報を表す実際のＢＧＰルーティングデータを含む。このデータはまた、所与のＩＰアドレスプレフィックスのための対応するＡＳ番号を推論するために用いることもできる。しかしながら、これらのサーバにおいて、ＩＰアドレスプレフィックスを認識できないことがあるので、サーバの所与のセットからのＲｏｕｔｅＶｉｅｗｓデータは、所与のＩＰアドレスプレフィックスに関する情報を含まないことがある。
【００３０】
一般的に、ネットワークオペレータのローカルＢＧＰルータは、ＲｏｕｔｅＶｉｅｗｓサーバに類似した制約を受けるので、ＩＰアドレスプレフィックスからＡＳ番号へのマッピングの信頼すべきソースではあり得ない。
【００３１】
上述のデータソースからのＢＧＰルーティング情報における欠点を考慮して、マッピングテーブルを作成するステップ１２００は、図３に示すフローチャートに従って実現される。
【００３２】
図示するように、サブステップ１２１０において、ＢＧＰルーティング情報は、ローカルＢＧＰルータ、ＲｏｕｔｅＶｉｅｗｓサーバ、およびＩＲＲデータベースから、それぞれ収集される。サブステップ１２２０において、ローカルＢＧＰルータ、ＲｏｕｔｅＶｉｅｗｓサーバ、およびＩＲＲデータベースから獲得されたそれぞれのルーティングデータ間にコンフリクトが存在するか否かが判定される。差分データソースからのそれぞれのＢＧＰルーティングデータがコンフリクトしていない場合には（１２２０＝ＮＯ）、サブステップ１２３０において、様々なＢＧＰルーティングデータが組み合わせられるかまたは結合される。その後、サブステップ１２４０において、処理された情報を用いて、ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルを作成する。
【００３３】
しかしながら、サブステップ１２２０において、判定された異なるデータソースからのＢＧＰルーティングデータ間にコンフリクトがある場合には（１２２０＝ＹＥＳ）、サブステップ１２５０において、コンフリクトしているルーティングデータを含む各データソースにプライオリティが割り当てられる。その後、比較して、より高いプライオリティを有するデータソースからのルーティングデータは、サブステップ１２６０において、更に処理され得る（例えば、コンフリクトしているルーティングデータを含まない他のデータソースからのルーティングデータと組み合わせられる）。その後、サブステップ１２４０において、処理された情報を用いて、ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルを作成する。
【００３４】
１つの例示的実施形態において、ＩＲＲデータベースおよびＲｏｕｔｅＶｉｅｗｓサーバが、同一のＩＰアドレスプレフィックスに関してコンフリクトしているＡＳデータを含む場合には、比較して、より高いプライオリティがＩＲＲデータベースに割り当てられ、比較して、より低いプライオリティがＲｏｕｔｅＶｉｅｗｓサーバに割り当てられる。その後、ＩＲＲデータベースからのルーティングデータが、ネットワークオペレータのローカルＢＧＰルータからのルーティングデータと組み合わせられることにより、ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルが作成される。それに加えて、複数のデータ資源からのデータ間に多数のコンフリクトがある場合には、すべてのコンフリクトが解決されるまで、上記のサブステップ１２２０乃至１２６０を繰り返すことができる。
【００３５】
再び図２を参照して、マッピングテーブルが作成された後、方法１０００は、ステップ１４００に進み、トレーニング情報フローおよびステップ１２００において作成されたマッピングテーブルを用いて、各ネットワークインタフェース（例えば図１に示すエッジルータ１２０の各々）がプロファイリングされる。
【００３６】
図４は、ネットワークの各インタフェースをプロファイリングするサブステップを図示するフローチャートである。本発明による各インタフェースのプロファイリングは、トレーニング情報フローを用いることにより、ネットワーク内の専用情報収集ポイントにおける各ネットワークインタフェースをＡＳ番号と関連づける。
【００３７】
サブステップ１４１０において、ソースＩＰアドレスプレフィックスは、インタフェースごとに、ネットワークインタフェースにおいて観察されるトレーニング情報フローから抽出される。例えば、ＩＰアドレスプレフィックスをそれぞれ含む着信パケットのグループは、第１プリセット時間について監視される。第１プリセット時間は、調節可能である。
【００３８】
サブステップ１４２０において、ステップ１２００において作成される（ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示す）マッピングテーブルに基づいて、ＩＰアドレスプレフィックスがＡＳ番号に変換される。サブステップ１４３０において、サブステップ１４２０において、変換されたＡＳ番号に基づいて、インタフェース用ＥＡＳ番号テーブルが生成される。ＥＡＳ番号テーブルは、各情報収集ポイントにおける各ネットワークインタフェースを、インタフェースにおいて観察されるＡＳ番号のセットにマッピングする。
【００３９】
それに加えて、サブステップ１４４０において、各ネットワークインタフェース用のＥＡＳ番号テーブルを、定期的にアップデートすることができる。例えば、ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルの変更またはアップデートに基づいて、ＥＡＳ番号テーブルをアップデートすることができる。トレーニング情報フローの新たなセット（ターゲットネットワーク内の、またはターゲットネットワークに接続されたインターネットの一部における、ルーティングトポロジの変化によって発生し得るもの）を用いて、ＥＡＳ番号テーブルを更新することも可能である。
【００４０】
更に、別の例示的実施形態によると、偽装されたソースアドレスを有する可能性のあるＩＰパケットをトレーニング情報フローから排除するための手段が講じられる。例えば、手段としては、異常に高い負荷が見られるデスティネーションに向かうすべての情報を排除することによって、攻撃の被害者に向けられたフローをフィルタリング除去することが挙げられる。同一の発信ＡＳから発信するパケットは一般的に同一のインターネット境界ルータに到達する、という上述の理解に基づいて、所与のネットワークインタフェースについてＥＡＳセットが相当に安定することが予想される。
【００４１】
再び図２を参照して、ステップ１４００において、インタフェースごとにＥＡＳ番号テーブルを生成することによって、各ネットワークインタフェースがプロファイリングされた後、方法１０００はステップ１６００に進み、インタフェースごとのそれぞれのＥＡＳ番号テーブルに基づいて包括的ＥＡＳ番号テーブルを生成することによって、ネットワークがプロファイリングされる。例えば、包括的ＥＡＳ番号テーブルは、複数のエントリを含むことができ、各エントリは、特定のインタフェースと関連し、インタフェース用ＥＡＳ番号テーブルを含む。包括的ＥＡＳ番号テーブルは、ネットワークインタフェースを、ネットワークの各インタフェースにおいて観察されるＡＳ番号のグループにマッピングする。
【００４２】
ステップ１８００において、オペレーショナル情報フローにおける異常なソースＡＳ番号が検出される。
【００４３】
図５は、異常なソースＡＳ番号を検出するサブステップを図示するフローチャートである。サブステップ１８１０において、オペレーショナル情報フローからＩＰアドレスプレフィックスが獲得される。このサブステップにおいて、例えば、オペレーショナル情報フローの少なくとも１つの着信パケットは、特定のインタフェースを介してネットワークに入り、第２プリセット時間において、パケットを監視することによって、パケットのＩＰアドレスプレフィックスを抽出する。第２プリセット時間は、調節可能である。
【００４４】
獲得されたＩＰアドレスプレフィックスは、ステップ１２００において作成されるマッピングテーブルに基づいて、サブステップ１８２０において、少なくとも１つのＡＳ番号に変換される。変換されたＡＳ番号は、サブステップ１８３０において、ステップ１６００において生成された包括的ＥＡＳ番号テーブルの各エントリのＡＳ番号と、比較される。
【００４５】
サブステップ１８４０において、変換されたＡＳ番号と、包括的ＥＡＳ番号テーブルのエントリのＡＳ番号との間に一致があるか否かが判定される。一致がない場合には（１８４０＝ＮＯ）、サブステップ１８５０において、ネットワークに対してオペレーショナル情報フローが許可されないことを示す第１アラートを生成する。変換されたＡＳ番号と、エントリの少なくとも１つのＡＳ番号との間に一致がある場合には（１８４０＝ＹＥＳ）、サブステップ１８６０において、エントリに関連するインタフェースを特定する。
【００４６】
その後、サブステップ１８７０において、特定されたインタフェースと、オペレーショナル情報フローがネットワークに入る際に通ったインタフェースとを比較する。サブステップ１８８０において、２つのインタフェースの間に一致があるか否かが判定される。一致がない場合には（１８８０＝ＮＯ）、サブステップ１８９０において、オペレーショナル情報フローがネットワークに対しては許可されるが、特定のインタフェースに対しては許可されないということを示す第２アラートを生成する。一致がある場合には（１８８０＝ＹＥＳ）、サブステップ１８９２において、オペレーショナル情報が特定のインタフェースを介してネットワークに入ることを許可する。
【００４７】
本発明の上記の例示的実施形態による方法は、過去の情報フローを、ＡＳレベルルーティング情報と相関させて、異常なソースＡＳ番号を特定することによって、偽装されたＩＰ情報を検出する。ＩＰアドレスに注目することにより偽装された情報を検出することに代わって、本発明のこれらの実施形態による方法は、ＩＰパケットの発信ＡＳを利用して、偽装されたパケットを検出する。インターネットルーティングテーブルにおいて、アクティブＩＰプレフィックスの数は約３３０Ｋであるが、アクティブＡＳ番号の数は約３２Ｋである。従って、本発明のこれらの実施形態による方法は、はるかに拡張性のある検出メカニズムをもたらす。それに加えて、ＩＰアドレスではなくＡＳ番号を利用するフィルタは、サイズが１桁小さいので、方法の利用可能性および実用性を更に高める。
【００４８】
更に、本発明の上記の例示的実施形態による方法は、ＩＰアドレスをＡＳ番号にマッピングする。従って、同一の発信ＡＳから一部の情報が観察されてさえいれば、これまで一度も観察されなかったＩＰアドレスを有する情報を、本物かまたは偽装されたものかに分類できる。従って、検出アルゴリズムをトレーニングするために必要な時間量、および偽装検出アルゴリズムにより特定される誤検出の数において、著しい低減を達成できる。
【００４９】
図６は、本発明の別の態様による例示的な偽装防止装置７００を示すブロック図である。偽装防止装置７００は、複数のインタフェースを有するネットワークに向けられた偽装されたＩＰ情報を検出するために使用されることができる。装置は、本物のＡＳ番号のセットと対応するＩＰアドレスとの間の相関関係を動的に学習し、更には着信情報フローのＩＰアドレスが本物のＡＳ番号に対応するか否かを検証することによって、攻撃情報がネットワークに入ることを回避することができる。情報フローのＡＳ番号とＥＡＳ番号テーブルとを比較することによって、偽装された情報フローが判定される。
【００５０】
一般的に、偽装防止装置７００は、マッピングコンポーネント（マッピング部）７２０と、学習コンポーネント（学習部）７４０と、判定コンポーネント（判定部）７６０とを備える。
【００５１】
マッピングコンポーネント（マッピング部）７２０は、複数のデータソースから発信されるルーティング情報を受信および処理することにより、ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルを作成する。マッピングテーブルは、データベース７２２に格納することができる。
【００５２】
学習コンポーネント（学習部）７４０は、ネットワークに入る複数のトレーニング情報フローから、ＩＰアドレスプレフィックスを獲得する。マッピングコンポーネント（マッピング部）７２０によって作成されるマッピングテーブルを参照することによって、学習コンポーネント（学習部）７４０は、獲得されたＩＰアドレスプレフィックスをＡＳ番号に変換し、ＡＳ番号はＥＡＳ番号テーブルを生成するために用いられる。ＥＡＳ番号テーブルは、データベース７４２に格納することができる。
【００５３】
判定コンポーネント（判定部）７６０は、着信オペレーショナル情報フローのＩＰプレフィックスを獲得し、マッピングコンポーネント（マッピング部）７２０によって作成されるマッピングテーブルに基づいて、ＩＰプレフィックスをＡＳ番号に変換する。更に、判定コンポーネント（判定部）７６０は、着信オペレーショナル操作情報フローがネットワークに入ることを許可されるか否かを判定する。例えば、判定コンポーネント（判定部）７６０は、変換されたＡＳ番号と、学習コンポーネント（学習部）７４０によって生成されるＥＡＳ番号テーブルのＡＳ番号とを比較する比較コンポーネント（比較部）７６２を備えることができる。変換されたＡＳ番号とＥＡＳ番号テーブルのＡＳ番号との間に一致がない場合には、判定コンポーネント（判定部）７６０は、アラート通知を生成することができ、アラート通知はデータベース７６４に格納されることができる。
【００５４】
図７は、本発明の更に別の態様によるネットワークシステム８００のブロック図である。ネットワークシステム８００は、複数のエッジルータ８２０と、複数の情報モニタ８４０と、複数のコアルータ８６０とを備え、いずれも図１に示すターゲットネットワーク１００のそれらと同一または同様である。ネットワークシステム８００は、図７に示す偽装防止装置７００を組み込むサーバ８８０を更に備える。偽装防止装置７００を組み込むことによって、ネットワークシステム８００は、システムに向けられた偽装されたＩＰ情報を検出することができる。
【００５５】
本明細書において、用いられる用語は、特定の実施形態を説明することのみを目的としており、本発明を限定することを意図しない。本明細書において、用いられる「１つの（ａ、ａｎ）」および「その（ｔｈｅ）」という語の単数形は、文脈が特に明示しない限り、複数形も含むことを意図される。本明細書において、用いられる「備える（ｃｏｍｐｒｉｓｅｓ／ｃｏｍｐｒｉｓｉｎｇ）」という用語は、記載される特徴、整数、ステップ、操作、要素および／または構成要素の存在を指定するものであるが、他の１つ以上の特徴、整数、ステップ、操作、要素、構成要素および／またはそれらの群の存在または追加を除外するものではない。
【００５６】
本開示の様々な態様は、コンピュータまたは機械によって、使用可能または読み込み可能な媒体において、実現されるプログラム、ソフトウェアまたはコンピュータ命令として実現されてもよく、それらは、コンピュータ、プロセッサおよび／または機械上で実行される際に、コンピュータまたは機械に方法のステップを実行させるものである。本開示において、記載される様々な機能および方法を実行する機械によって、実行可能な命令のプログラムを具体的に実現する、機械によって読み込み可能なプログラム記憶装置も提供される。
【００５７】
本開示のシステムおよび方法は、汎用コンピュータまたは特殊目的コンピュータシステム上で実現および実行されてもよい。コンピュータシステムは、すでに公知のまたはいずれ公知となる任意の種類のシステムであってもよく、一般的に、プロセッサ、メモリデバイス、記憶装置、入出力装置、内部バス、および／または通信用ハードウェアおよびソフトウェアと併用して他のコンピュータシステムと通信するための通信インタフェースを含んでもよい。
【００５８】
本発明の記載は、図解および説明のために提示したが、開示された形態において、本発明を網羅または限定することを意図するものではない。本発明の範囲および趣旨から逸脱することなく、多くの修正および変更が当業者にとって明らかである。本実施形態は、本発明の原理およびその実際の応用例を最もよく説明するために選択され説明されたものであり、これにより、考えられる特定の使用法に合わせた様々な変更を有する様々な実施形態について、当業者が本発明を理解できる。
【符号の説明】
【００５９】
１００ ターゲットネットワーク
１２０、８２０ エッジルータ
１４０、８６０ コアルータ
１６０、８４０ 情報モニタ
７００ 偽装防止装置
７２０ マッピングコンポーネント
７４０ 学習コンポーネント
７６０ 判定コンポーネント
【特許請求の範囲】
【請求項１】
複数のインタフェースを有するネットワークに向けられた偽装されたインターネットプロトコル情報を偽装防止装置が検出する方法であって、
複数のデータソースからのルーティング情報を処理することで、ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルを作成する工程と、
前記インタフェースごとに、前記インタフェースに入るトレーニング情報フローからＩＰアドレスプレフィックスを獲得し、前記マッピングテーブルに基づいて前記ＩＰアドレスプレフィックスをＡＳ番号に変換し、なおかつ前記ＡＳ番号に基づいて前記インタフェースのためのインタフェース用予想ＡＳ番号テーブルを生成する工程と、
前記インタフェース用予想ＡＳ番号テーブルに基づいてオペレーショナル情報フローが前記ネットワークに入ることを許可されるか否かを判定する工程とを含む、方法。
【請求項２】
前記ＩＰアドレスプレフィックスを獲得する工程は、第１プリセット時間にわたって前記インタフェースに入る着信パケットのグループを監視する工程を含み、前記着信パケットのグループの各々はＩＰアドレスプレフィックスを含む、請求項１に記載の方法。
【請求項３】
インタフェースごとに生成される前記インタフェース用予想ＡＳ番号テーブルに基づいて包括的予想ＡＳ番号テーブルを生成する工程と、前記包括的予想ＡＳ番号テーブルに基づいてオペレーショナル情報フローが前記ネットワークに入ることを許可されるか否かを判定する工程とを更に含む、請求項１に記載の方法。
【請求項４】
前記包括的予想ＡＳ番号テーブルを生成する工程は、
前記インタフェース用に生成される前記予想ＡＳ番号テーブルに基づいて各インタフェースに関連するエントリを生成する工程と、
前記エントリを前記包括的予想ＡＳ番号テーブルに組み合わせる工程とを含む、請求項３に記載の方法。
【請求項５】
前記オペレーショナル情報フローが前記ネットワークに入ることを許可されるか否かを判定する工程は、
第２プリセット時間の間に前記複数のネットワークインタフェースのうちの少なくとも１つを介して、ＩＰアドレスプレフィックスを含む少なくとも１つの着信パケットを受信する工程と、
ＩＰアドレスプレフィックスを獲得する工程と、
前記マッピングテーブルに基づいて前記ＩＰアドレスプレフィックスを少なくとも１つのＡＳ番号に変換する工程と、
前記変換されたＡＳ番号と前記包括的予想ＡＳ番号テーブルの各エントリのＡＳ番号とを比較する工程と、
前記変換されたＡＳ番号と前記包括的予想ＡＳ番号テーブルの各エントリの前記ＡＳ番号との間に一致があるか否かを判定する工程とを含む、請求項４に記載の方法。
【請求項６】
前記変換されたＡＳ番号と前記包括的予想ＡＳ番号テーブルの各エントリの前記ＡＳ番号との間に一致がない場合に、前記オペレーショナル情報フローが前記ネットワークに入ることを許可されないことを示す第１アラートを生成する工程と、
前記変換されたＡＳ番号と前記包括的予想ＡＳ番号テーブルのエントリの前記ＡＳ番号との間に一致がある場合に、前記エントリに関連するインタフェースを特定する工程と、
前記エントリに関連する前記インタフェースと、前記少なくとも１つの着信パケットが前記ネットワークに入る際に通る前記インタフェースのうちの前記少なくとも１つとを比較する工程と、
前記エントリに関連する前記インタフェースと、前記少なくとも１つの着信パケットが前記ネットワークに入る際に通る前記インタフェースのうちの前記少なくとも１つとの間に一致があるか否かを判定する工程とを更に含む、請求項５に記載の方法。
【請求項７】
前記エントリに関連する前記インタフェースと、前記少なくとも１つの着信パケットが前記ネットワークに入る際に通る前記インタフェースのうちの前記少なくとも１つとの間に一致がない場合に、前記オペレーショナル情報フローが前記ネットワークに入ることは許可されるが、前記インタフェースのうちの前記少なくとも１つに入ることは許可されないということを示す第２アラートを生成する工程を更に含む、請求項６に記載の方法。
【請求項８】
前記複数のデータソースからのルーティング情報を処理することは、前記データソースからの前記ルーティング情報の間にコンフリクトがあるか否かを判定する工程を含む、請求項１に記載の方法。
【請求項９】
前記データソースからの前記ルーティング情報の間にコンフリクトがない場合に、前記データソースからのルーティング情報を組み合わせる工程と、
前記データソースからの前記ルーティング情報の間にコンフリクトがある場合に、コンフリクトしているルーティング情報を含む前記データソースの各々についてプライオリティを割り当てて、比較して、より高いプライオリティを有する前記データソースからの前記ルーティング情報を処理する工程とを更に含む、請求項８に記載の方法。
【請求項１０】
前記複数のデータソースからのルーティング情報を処理することによって、前記マッピングテーブルを定期的にアップデートする工程と、
前記マッピングテーブルに基づいてインタフェースごとに前記予想ＡＳ番号テーブルを定期的にアップデートする工程とを更に含む、請求項１に記載の方法。
【請求項１１】
複数のインタフェースを有するネットワークに向けられた偽装されたインターネットプロトコル情報を検出するための、コンピュータ上で稼働するコンピュータ可読プログラムを記録したコンピュータ可読媒体であって、
前記プログラムは、
複数のデータソースからのルーティング情報を処理することによって、ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルを作成する工程と、
前記インタフェースごとに、前記インタフェースに入るトレーニング情報フローからＩＰアドレスプレフィックスの獲得をし、前記マッピングテーブルに基づいて前記ＩＰアドレスプレフィックスをＡＳ番号に変換し、なおかつ前記ＡＳ番号に基づいて前記インタフェースのためのインタフェース用予想ＡＳ番号テーブルを生成する工程と、
前記インタフェース用予想ＡＳ番号テーブルに基づいてオペレーショナル情報フローが前記ネットワークに入ることを許可されるか否かを判定する工程とを含む、コンピュータ可読媒体。
【請求項１２】
前記ＩＰアドレスプレフィックスの獲得は、第１プリセット時間にわたって前記インタフェースに入る着信パケットのグループを監視する工程を含み、前記着信パケットのグループの各々はＩＰアドレスプレフィックスを含む、請求項１１に記載のコンピュータ可読媒体。
【請求項１３】
インタフェースごとに生成される前記インタフェース用予想ＡＳ番号テーブルに基づいて包括的予想ＡＳ番号テーブルを生成する工程と、前記包括的予想ＡＳ番号テーブルに基づいてオペレーショナル情報フローが前記ネットワークに入ることを許可されるか否かを判定する工程とを更に含む、請求項１１に記載のコンピュータ可読媒体。
【請求項１４】
前記包括的予想ＡＳ番号テーブルを生成する工程は、
前記インタフェース用に生成される前記予想ＡＳ番号テーブルに基づいて各インタフェースに関連するエントリを生成する工程と、
前記エントリを前記包括的予想ＡＳ番号テーブルに組み合わせる工程とを含む、請求項１３に記載のコンピュータ可読媒体。
【請求項１５】
前記オペレーショナル情報フローが前記ネットワークに入ることを許可されるか否かを判定する工程は、
第２プリセット時間の間に前記複数のネットワークインタフェースのうちの少なくとも１つを介して、ＩＰアドレスプレフィックスを含む少なくとも１つの着信パケットを受信する工程と、
ＩＰアドレスプレフィックスを獲得する工程と、
前記マッピングテーブルに基づいて前記ＩＰアドレスプレフィックスを少なくとも１つのＡＳ番号に変換する工程と、
前記変換されたＡＳ番号と前記包括的予想ＡＳ番号テーブルの各エントリのＡＳ番号とを比較する工程と、
前記変換されたＡＳ番号と前記包括的予想ＡＳ番号テーブルの各エントリの前記ＡＳ番号との間に一致があるか否かを判定する工程とを含む、請求項１４に記載のコンピュータ可読媒体。
【請求項１６】
前記変換されたＡＳ番号と前記包括的予想ＡＳ番号テーブルの各エントリの前記ＡＳ番号との間に一致がない場合に、前記オペレーショナル情報フローが前記ネットワークに入ることを許可されないことを示す第１アラートを生成する工程と、
前記変換されたＡＳ番号と前記包括的予想ＡＳ番号テーブルのエントリの前記ＡＳ番号との間に一致がある場合に、前記エントリに関連するインタフェースを特定する工程と、
前記エントリに関連する前記インタフェースと、前記少なくとも１つの着信パケットが前記ネットワークに入る際に通る前記インタフェースのうちの前記少なくとも１つとを比較する工程と、
前記エントリに関連する前記インタフェースと、前記少なくとも１つの着信パケットが前記ネットワークに入る際に通る前記インタフェースのうちの前記少なくとも１つとの間に一致があるか否かを判定する工程とを更に含む、請求項１５に記載のコンピュータ可読媒体。
【請求項１７】
前記エントリに関連する前記インタフェースと、前記少なくとも１つの着信パケットが前記ネットワークに入る際に通る前記インタフェースのうちの前記少なくとも１つとの間に一致がない場合に、前記オペレーショナル情報フローが前記ネットワークに入ることは許可されるが、前記インタフェースの前記少なくとも１つに入ることは許可されないということを示す第２アラートを生成する工程を更に含む、請求項１６に記載のコンピュータ可読媒体。
【請求項１８】
前記複数のデータソースからのルーティング情報を処理することは、前記データソースからの前記ルーティング情報の間にコンフリクトがあるか否かを判定する工程を含む、請求項１１に記載のコンピュータ可読媒体。
【請求項１９】
前記データソースからの前記ルーティング情報の間にコンフリクトがない場合に、前記データソースからのルーティング情報を組み合わせる工程と、
前記データソースからの前記ルーティング情報の間にコンフリクトがある場合に、コンフリクトしているルーティング情報を含む前記データソースの各々についてプライオリティを割り当てて、比較して、より高いプライオリティを有する前記データソースからの前記ルーティング情報を処理する工程とを更に含む、請求項１８に記載のコンピュータ可読媒体。
【請求項２０】
前記複数のデータソースからのルーティング情報を処理することによって、前記マッピングテーブルを定期的にアップデートする工程と、
前記マッピングテーブルに基づいてインタフェースごとに前記予想ＡＳ番号テーブルを定期的にアップデートする工程とを更に含む、請求項１１に記載のコンピュータ可読媒体。
【請求項２１】
偽装防止装置であって、
複数のデータソースからのルーティング情報を処理することによって、ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルを作成するマッピングコンポーネントと、
ネットワークに入る複数のトレーニング情報フローからＩＰアドレスプレフィックスを獲得し、獲得された前記ＩＰアドレスプレフィックスを前記マッピングテーブルに基づいてＡＳ番号に変換し、なおかつ前記ＡＳ番号に基づいて予想ＡＳ番号テーブルを生成する学習コンポーネントと、
着信オペレーショナル情報フローのＩＰプレフィックスを獲得し、前記マッピングテーブルに基づいて前記ＩＰプレフィックスをＡＳ番号に変換し、なおかつ前記着信オペレーショナル情報フローが前記ネットワークに入ることを許可されるか否かを判定する判定コンポーネントと、を備える、偽装防止装置。
【請求項２２】
前記判定コンポーネントが、前記変換されたＡＳ番号と前記予想ＡＳ番号テーブルの前記ＡＳ番号とを比較する比較コンポーネントを備え、前記判定コンポーネントが、前記比較の結果に基づいてアラート通知を生成する、請求項２１に記載の装置。
【請求項２３】
ネットワークに向けられた偽装されたインターネットプロトコル情報を検出するネットワークシステムであって、
情報フローを受信および転送するための複数のインタフェースと、
前記情報フローから情報を収集するために前記複数のインタフェースと通信する複数の情報モニタと、
前記ネットワークシステム内の情報フローを制御するために前記複数の情報モニタと通信する少なくとも１つのサーバとを備え、
前記サーバは、偽装防止装置を備え、
前記偽装防止装置は、
複数のデータソースからのルーティング情報を処理することによって、ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルを作成するマッピングコンポーネントと、
複数のトレーニング情報フローからＩＰアドレスプレフィックスを獲得し、獲得された前記ＩＰアドレスプレフィックスを前記マッピングテーブルに基づいてＡＳ番号に変換し、なおかつ前記ＡＳ番号に基づいて予想ＡＳ番号テーブルを生成する学習コンポーネントと、
着信オペレーショナル情報フローのＩＰプレフィックスを獲得し、前記マッピングテーブルに基づいて前記ＩＰプレフィックスをＡＳ番号に変換し、なおかつ前記着信オペレーショナル情報フローが前記ネットワークに入ることを許可されるか否かを判定する判定コンポーネントと、を備える、ネットワークシステム。
【請求項２４】
前記判定コンポーネントが、前記変換されたＡＳ番号と前記予想ＡＳ番号テーブルの前記ＡＳ番号とを比較する比較コンポーネントを備え、前記判定コンポーネントが、前記比較の結果に基づいてアラート通知を生成する、請求項２３に記載のネットワークシステム。
【請求項１】
複数のインタフェースを有するネットワークに向けられた偽装されたインターネットプロトコル情報を偽装防止装置が検出する方法であって、
複数のデータソースからのルーティング情報を処理することで、ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルを作成する工程と、
前記インタフェースごとに、前記インタフェースに入るトレーニング情報フローからＩＰアドレスプレフィックスを獲得し、前記マッピングテーブルに基づいて前記ＩＰアドレスプレフィックスをＡＳ番号に変換し、なおかつ前記ＡＳ番号に基づいて前記インタフェースのためのインタフェース用予想ＡＳ番号テーブルを生成する工程と、
前記インタフェース用予想ＡＳ番号テーブルに基づいてオペレーショナル情報フローが前記ネットワークに入ることを許可されるか否かを判定する工程とを含む、方法。
【請求項２】
前記ＩＰアドレスプレフィックスを獲得する工程は、第１プリセット時間にわたって前記インタフェースに入る着信パケットのグループを監視する工程を含み、前記着信パケットのグループの各々はＩＰアドレスプレフィックスを含む、請求項１に記載の方法。
【請求項３】
インタフェースごとに生成される前記インタフェース用予想ＡＳ番号テーブルに基づいて包括的予想ＡＳ番号テーブルを生成する工程と、前記包括的予想ＡＳ番号テーブルに基づいてオペレーショナル情報フローが前記ネットワークに入ることを許可されるか否かを判定する工程とを更に含む、請求項１に記載の方法。
【請求項４】
前記包括的予想ＡＳ番号テーブルを生成する工程は、
前記インタフェース用に生成される前記予想ＡＳ番号テーブルに基づいて各インタフェースに関連するエントリを生成する工程と、
前記エントリを前記包括的予想ＡＳ番号テーブルに組み合わせる工程とを含む、請求項３に記載の方法。
【請求項５】
前記オペレーショナル情報フローが前記ネットワークに入ることを許可されるか否かを判定する工程は、
第２プリセット時間の間に前記複数のネットワークインタフェースのうちの少なくとも１つを介して、ＩＰアドレスプレフィックスを含む少なくとも１つの着信パケットを受信する工程と、
ＩＰアドレスプレフィックスを獲得する工程と、
前記マッピングテーブルに基づいて前記ＩＰアドレスプレフィックスを少なくとも１つのＡＳ番号に変換する工程と、
前記変換されたＡＳ番号と前記包括的予想ＡＳ番号テーブルの各エントリのＡＳ番号とを比較する工程と、
前記変換されたＡＳ番号と前記包括的予想ＡＳ番号テーブルの各エントリの前記ＡＳ番号との間に一致があるか否かを判定する工程とを含む、請求項４に記載の方法。
【請求項６】
前記変換されたＡＳ番号と前記包括的予想ＡＳ番号テーブルの各エントリの前記ＡＳ番号との間に一致がない場合に、前記オペレーショナル情報フローが前記ネットワークに入ることを許可されないことを示す第１アラートを生成する工程と、
前記変換されたＡＳ番号と前記包括的予想ＡＳ番号テーブルのエントリの前記ＡＳ番号との間に一致がある場合に、前記エントリに関連するインタフェースを特定する工程と、
前記エントリに関連する前記インタフェースと、前記少なくとも１つの着信パケットが前記ネットワークに入る際に通る前記インタフェースのうちの前記少なくとも１つとを比較する工程と、
前記エントリに関連する前記インタフェースと、前記少なくとも１つの着信パケットが前記ネットワークに入る際に通る前記インタフェースのうちの前記少なくとも１つとの間に一致があるか否かを判定する工程とを更に含む、請求項５に記載の方法。
【請求項７】
前記エントリに関連する前記インタフェースと、前記少なくとも１つの着信パケットが前記ネットワークに入る際に通る前記インタフェースのうちの前記少なくとも１つとの間に一致がない場合に、前記オペレーショナル情報フローが前記ネットワークに入ることは許可されるが、前記インタフェースのうちの前記少なくとも１つに入ることは許可されないということを示す第２アラートを生成する工程を更に含む、請求項６に記載の方法。
【請求項８】
前記複数のデータソースからのルーティング情報を処理することは、前記データソースからの前記ルーティング情報の間にコンフリクトがあるか否かを判定する工程を含む、請求項１に記載の方法。
【請求項９】
前記データソースからの前記ルーティング情報の間にコンフリクトがない場合に、前記データソースからのルーティング情報を組み合わせる工程と、
前記データソースからの前記ルーティング情報の間にコンフリクトがある場合に、コンフリクトしているルーティング情報を含む前記データソースの各々についてプライオリティを割り当てて、比較して、より高いプライオリティを有する前記データソースからの前記ルーティング情報を処理する工程とを更に含む、請求項８に記載の方法。
【請求項１０】
前記複数のデータソースからのルーティング情報を処理することによって、前記マッピングテーブルを定期的にアップデートする工程と、
前記マッピングテーブルに基づいてインタフェースごとに前記予想ＡＳ番号テーブルを定期的にアップデートする工程とを更に含む、請求項１に記載の方法。
【請求項１１】
複数のインタフェースを有するネットワークに向けられた偽装されたインターネットプロトコル情報を検出するための、コンピュータ上で稼働するコンピュータ可読プログラムを記録したコンピュータ可読媒体であって、
前記プログラムは、
複数のデータソースからのルーティング情報を処理することによって、ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルを作成する工程と、
前記インタフェースごとに、前記インタフェースに入るトレーニング情報フローからＩＰアドレスプレフィックスの獲得をし、前記マッピングテーブルに基づいて前記ＩＰアドレスプレフィックスをＡＳ番号に変換し、なおかつ前記ＡＳ番号に基づいて前記インタフェースのためのインタフェース用予想ＡＳ番号テーブルを生成する工程と、
前記インタフェース用予想ＡＳ番号テーブルに基づいてオペレーショナル情報フローが前記ネットワークに入ることを許可されるか否かを判定する工程とを含む、コンピュータ可読媒体。
【請求項１２】
前記ＩＰアドレスプレフィックスの獲得は、第１プリセット時間にわたって前記インタフェースに入る着信パケットのグループを監視する工程を含み、前記着信パケットのグループの各々はＩＰアドレスプレフィックスを含む、請求項１１に記載のコンピュータ可読媒体。
【請求項１３】
インタフェースごとに生成される前記インタフェース用予想ＡＳ番号テーブルに基づいて包括的予想ＡＳ番号テーブルを生成する工程と、前記包括的予想ＡＳ番号テーブルに基づいてオペレーショナル情報フローが前記ネットワークに入ることを許可されるか否かを判定する工程とを更に含む、請求項１１に記載のコンピュータ可読媒体。
【請求項１４】
前記包括的予想ＡＳ番号テーブルを生成する工程は、
前記インタフェース用に生成される前記予想ＡＳ番号テーブルに基づいて各インタフェースに関連するエントリを生成する工程と、
前記エントリを前記包括的予想ＡＳ番号テーブルに組み合わせる工程とを含む、請求項１３に記載のコンピュータ可読媒体。
【請求項１５】
前記オペレーショナル情報フローが前記ネットワークに入ることを許可されるか否かを判定する工程は、
第２プリセット時間の間に前記複数のネットワークインタフェースのうちの少なくとも１つを介して、ＩＰアドレスプレフィックスを含む少なくとも１つの着信パケットを受信する工程と、
ＩＰアドレスプレフィックスを獲得する工程と、
前記マッピングテーブルに基づいて前記ＩＰアドレスプレフィックスを少なくとも１つのＡＳ番号に変換する工程と、
前記変換されたＡＳ番号と前記包括的予想ＡＳ番号テーブルの各エントリのＡＳ番号とを比較する工程と、
前記変換されたＡＳ番号と前記包括的予想ＡＳ番号テーブルの各エントリの前記ＡＳ番号との間に一致があるか否かを判定する工程とを含む、請求項１４に記載のコンピュータ可読媒体。
【請求項１６】
前記変換されたＡＳ番号と前記包括的予想ＡＳ番号テーブルの各エントリの前記ＡＳ番号との間に一致がない場合に、前記オペレーショナル情報フローが前記ネットワークに入ることを許可されないことを示す第１アラートを生成する工程と、
前記変換されたＡＳ番号と前記包括的予想ＡＳ番号テーブルのエントリの前記ＡＳ番号との間に一致がある場合に、前記エントリに関連するインタフェースを特定する工程と、
前記エントリに関連する前記インタフェースと、前記少なくとも１つの着信パケットが前記ネットワークに入る際に通る前記インタフェースのうちの前記少なくとも１つとを比較する工程と、
前記エントリに関連する前記インタフェースと、前記少なくとも１つの着信パケットが前記ネットワークに入る際に通る前記インタフェースのうちの前記少なくとも１つとの間に一致があるか否かを判定する工程とを更に含む、請求項１５に記載のコンピュータ可読媒体。
【請求項１７】
前記エントリに関連する前記インタフェースと、前記少なくとも１つの着信パケットが前記ネットワークに入る際に通る前記インタフェースのうちの前記少なくとも１つとの間に一致がない場合に、前記オペレーショナル情報フローが前記ネットワークに入ることは許可されるが、前記インタフェースの前記少なくとも１つに入ることは許可されないということを示す第２アラートを生成する工程を更に含む、請求項１６に記載のコンピュータ可読媒体。
【請求項１８】
前記複数のデータソースからのルーティング情報を処理することは、前記データソースからの前記ルーティング情報の間にコンフリクトがあるか否かを判定する工程を含む、請求項１１に記載のコンピュータ可読媒体。
【請求項１９】
前記データソースからの前記ルーティング情報の間にコンフリクトがない場合に、前記データソースからのルーティング情報を組み合わせる工程と、
前記データソースからの前記ルーティング情報の間にコンフリクトがある場合に、コンフリクトしているルーティング情報を含む前記データソースの各々についてプライオリティを割り当てて、比較して、より高いプライオリティを有する前記データソースからの前記ルーティング情報を処理する工程とを更に含む、請求項１８に記載のコンピュータ可読媒体。
【請求項２０】
前記複数のデータソースからのルーティング情報を処理することによって、前記マッピングテーブルを定期的にアップデートする工程と、
前記マッピングテーブルに基づいてインタフェースごとに前記予想ＡＳ番号テーブルを定期的にアップデートする工程とを更に含む、請求項１１に記載のコンピュータ可読媒体。
【請求項２１】
偽装防止装置であって、
複数のデータソースからのルーティング情報を処理することによって、ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルを作成するマッピングコンポーネントと、
ネットワークに入る複数のトレーニング情報フローからＩＰアドレスプレフィックスを獲得し、獲得された前記ＩＰアドレスプレフィックスを前記マッピングテーブルに基づいてＡＳ番号に変換し、なおかつ前記ＡＳ番号に基づいて予想ＡＳ番号テーブルを生成する学習コンポーネントと、
着信オペレーショナル情報フローのＩＰプレフィックスを獲得し、前記マッピングテーブルに基づいて前記ＩＰプレフィックスをＡＳ番号に変換し、なおかつ前記着信オペレーショナル情報フローが前記ネットワークに入ることを許可されるか否かを判定する判定コンポーネントと、を備える、偽装防止装置。
【請求項２２】
前記判定コンポーネントが、前記変換されたＡＳ番号と前記予想ＡＳ番号テーブルの前記ＡＳ番号とを比較する比較コンポーネントを備え、前記判定コンポーネントが、前記比較の結果に基づいてアラート通知を生成する、請求項２１に記載の装置。
【請求項２３】
ネットワークに向けられた偽装されたインターネットプロトコル情報を検出するネットワークシステムであって、
情報フローを受信および転送するための複数のインタフェースと、
前記情報フローから情報を収集するために前記複数のインタフェースと通信する複数の情報モニタと、
前記ネットワークシステム内の情報フローを制御するために前記複数の情報モニタと通信する少なくとも１つのサーバとを備え、
前記サーバは、偽装防止装置を備え、
前記偽装防止装置は、
複数のデータソースからのルーティング情報を処理することによって、ＩＰアドレスプレフィックスとＡＳ番号との間の相関関係を示すマッピングテーブルを作成するマッピングコンポーネントと、
複数のトレーニング情報フローからＩＰアドレスプレフィックスを獲得し、獲得された前記ＩＰアドレスプレフィックスを前記マッピングテーブルに基づいてＡＳ番号に変換し、なおかつ前記ＡＳ番号に基づいて予想ＡＳ番号テーブルを生成する学習コンポーネントと、
着信オペレーショナル情報フローのＩＰプレフィックスを獲得し、前記マッピングテーブルに基づいて前記ＩＰプレフィックスをＡＳ番号に変換し、なおかつ前記着信オペレーショナル情報フローが前記ネットワークに入ることを許可されるか否かを判定する判定コンポーネントと、を備える、ネットワークシステム。
【請求項２４】
前記判定コンポーネントが、前記変換されたＡＳ番号と前記予想ＡＳ番号テーブルの前記ＡＳ番号とを比較する比較コンポーネントを備え、前記判定コンポーネントが、前記比較の結果に基づいてアラート通知を生成する、請求項２３に記載のネットワークシステム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【公開番号】特開２０１１−２３４３３１（Ｐ２０１１−２３４３３１Ａ）
【公開日】平成２３年１１月１７日（２０１１．１１．１７）
【国際特許分類】
【出願番号】特願２０１０−１４９２６２（Ｐ２０１０−１４９２６２）
【出願日】平成２２年６月３０日（２０１０．６．３０）
【出願人】（５０４４７３６７０）テルコーディア・テクノロジーズ・インコーポレーテッド (72)
【出願人】（０００２０８８９１）ＫＤＤＩ株式会社 (2,700)
【Ｆターム（参考）】
【公開日】平成２３年１１月１７日（２０１１．１１．１７）
【国際特許分類】
【出願日】平成２２年６月３０日（２０１０．６．３０）
【出願人】（５０４４７３６７０）テルコーディア・テクノロジーズ・インコーポレーテッド (72)
【出願人】（０００２０８８９１）ＫＤＤＩ株式会社 (2,700)
【Ｆターム（参考）】
[ Back to top ]