ＤｏＳ攻撃あるいはＤＤｏＳ攻撃に対処する方法、ネットワーク装置、および分析装置
【課題】 ネットワークシステムにおいて、すべてのパケットを分析することなく、分析できないパケットが発生し、攻撃フローを特定できない問題を解決する。
【解決手段】 ＩＰルータ２においてパケットをサンプリングして分析装置８に転送する。分析装置８は一定時間以内に規定値以上のパケットが同一ホストに対して送信されていることを検出すると、その通信をホストへの攻撃フローと判断し、フローに関する情報を分析装置８からＩＰルータ２に伝える。これを受けたＩＰルータ２はそのフローに関するパケットのみ抽出して、分析装置８に送る。分析装置８が、該サンプリングされたＩＰパケットを解析し、ＤｏＳ攻撃あるいはＤＤｏＳ攻撃を正確に識別し、該識別したＩＰパケットを一定時間廃棄し、あるいは該ＩＰパケットに対して帯域制御を行なうようにＩＰルータに指示する。
【解決手段】 ＩＰルータ２においてパケットをサンプリングして分析装置８に転送する。分析装置８は一定時間以内に規定値以上のパケットが同一ホストに対して送信されていることを検出すると、その通信をホストへの攻撃フローと判断し、フローに関する情報を分析装置８からＩＰルータ２に伝える。これを受けたＩＰルータ２はそのフローに関するパケットのみ抽出して、分析装置８に送る。分析装置８が、該サンプリングされたＩＰパケットを解析し、ＤｏＳ攻撃あるいはＤＤｏＳ攻撃を正確に識別し、該識別したＩＰパケットを一定時間廃棄し、あるいは該ＩＰパケットに対して帯域制御を行なうようにＩＰルータに指示する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インターネット上のサーバを標的にしたＤｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ ａｔｔａｃｋ（以下ＤｏＳ攻撃と略記する）、あるいはＤｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ ａｔｔａｃｋ（以下ＤＤｏＳ攻撃と略記する）等に対処可能なネットワークシステムに関する。
【背景技術】
【０００２】
インターネットにおけるＤＤｏＳ攻撃とは、ネットワーク上のサーバが提供するサービスを妨害することで、そのサービスを機能しなくさせる攻撃のことを示す。この攻撃の実行手段は標的となるサーバに大量にＩＰパケットを送信することでネットワークやサーバのリソースを消費し、サービスを妨害および拒否する方法である。近年では、ネットワーク回線を食いつぶすようなＤＤｏＳ攻撃が増加しており、すでに社会インフラとなりつつあるインターネットの安定したサービス提供を行うことは必要であることから、キャリア網においても積極的に対策を採る必要が増してきている。
【０００３】
このようなＤＤｏＳ攻撃を防御する方法として、たとえば、特許文献１、特許文献２などに開示されている技術がある。
【特許文献１】特開２００２−３３５２４６号公報
【特許文献２】特開２００３−２８３５５４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記、従来のトラヒックに対してインラインで検出・防御を行うネットワーク型システムでは、今後予想されるトラヒックを処理するだけの十分な処理性能を監視するネットワークの帯域の増加に合わせて確保するのが困難であるとともに、そのようなシステムは非常に高価であるといった問題があった。また、スイッチのミラーポートやＴＡＰによりミラーしたパケットを分析システムで分析を行い、防御をネットワーク型で行う方法は、詳細なトラヒック分析処理が可能であるが、ポートミラーリングやネットワークタップにより常に全てのパケットを転送するため大量の攻撃を受けた場合、全てのトラヒックを転送できないため、トラヒック分析を正確に行えない問題があった。また、特定の確率でサンプリングをするパケットサンプリング法によりパケットサンプリングし、サンプルパケットの情報を分析システムで統計学的手法により分析を行い攻撃を検知する方法は、サンプリング手法であるため少ないパケット情報でネットワーク全体のトラヒックを監視することが可能であるが、全てのトラヒックを均等に扱うサンプリングであるため、双方向のトラヒックを監視するステート監視によりＤＤｏＳ攻撃フローの特定を正確に行うことが困難であり、誤って正常ユーザトラヒックまで廃棄してしまう問題があった。
【０００５】
本発明の目的は、すべてのパケットを分析することなく、分析できないパケットが発生し、攻撃フローを特定できない問題を解決する、ＤｏＳ攻撃あるいはＤＤｏＳ攻撃に対処する方法、ネットワーク装置、および分析装置を提供することにある。
【課題を解決するための手段】
【０００６】
本発明のＤｏＳ攻撃あるいはＤＤｏＳ攻撃に対処する方法は、
ネットワーク装置が、該ネットワーク装置に収容されたアクセス網に接続された全ホストへのトラフィックをサンプリングし、サンプリングされたＩＰパケットを分析装置に転送するステップと、
前記分析装置が、該サンプリングされたＩＰパケットを解析し、ＤｏＳ攻撃あるいはＤＤｏＳ攻撃を検出し、ＤｏＳ攻撃あるいはＤＤｏＳ攻撃を検出したホストを収容するアクセス網と接続されたネットワーク装置に対して、検出した該ホスト宛てのパケットのうち特定のビットパターンと一致するＩＰパケットのみを選択してサンプリングするように指示するステップと、
前記分析装置から前記指示を受けたネットワーク装置が、特定のビットパターンと一致するＩＰパケットを選択してサンプリングし、サンプリングされたＩＰパケットを前記分析装置に転送するステップと、
前記分析装置が、該サンプリングされたＩＰパケットを解析し、ＤｏＳ攻撃あるいはＤＤｏＳ攻撃を正確に識別し、該識別したＩＰパケットを一定時間廃棄し、あるいは該ＩＰパケットに対して帯域制御を行なうように前記ネットワーク装置に対して指示するステップと、
該指示を受けたネットワーク装置が、後続のＩＰパケットを一定時間廃棄し、あるいは該パケットに対し帯域制御を行うステップと
を有する。
【０００７】
ネットワーク装置（たとえばＩＰルータ）は、自身に収容したアクセス網に接続された全ホストへのトラヒックをサンプリング部によりＩＰパケットをサンプリングし、分析装置で、収集されたサンプルＩＰパケットの解析を行うことでネットワーク全体のトラヒックを監視する。そして、同一ホストに対して定められた時間内に、閾値以上連続的に送信されたことを検出することにより、ＤｏＳ攻撃あるいはＤＤｏＳ攻撃を検知し、検出した注目すべきトラヒックについてのみ収集するようにネットワーク装置に指示することにより、検出した注目すべきトラヒックについてのみ収集して正確にＤＤｏＳ攻撃パケットフローの判断を行い、誤って攻撃を受けているホストと通信を行っている正常ユーザトラヒックまで廃棄することなくＤＤｏＳ攻撃トラヒックのみ、トラヒックの帯域制限（ポリシング、シェービング等）により、またはフィルタすることによりＤＤｏＳ攻撃を防御する。
【発明の効果】
【０００８】
本発明によれば、すべてのパケットを分析することなく、分析できないパケットが発生し、攻撃フローを特定できない問題を解決することができる。
【発明を実施するための最良の形態】
【０００９】
次に、本発明の実施の形態について図面を参照して説明する。
【００１０】
図１は、本発明の一実施形態の、インターネット上のサーバを標的にしたＤｏＳ攻撃、あるいはＤＤｏＳ攻撃に対処可能なネットワークシステムの構成を示す図である。
【００１１】
本実施形態のネットワークシステムは、キャリアネットワーク１と、ＩＰルータ２，３，４と、ＤＤｏＳ攻撃の攻撃対象のサーバ５と、サーバ５と通信を行うユーザ端末６と、サーバ５に対してＤＤｏＳ攻撃を行うユーザ端末７と、分析装置８を有している。
【００１２】
図２はＩＰルータ２〜４の構成図である。ＩＰルータ２〜４はネットワークインタフェース１１，１２と、サンプリング選択部１４を含むサンプリング部１３と、転送部１５と、フィルタ部１６と、制御部１７を有している。なお、図２においては、ＩＰルータが元来有している構成は省略されている。サンプリング部１３はアクセス網１０に接続された全ホストへのトラヒックについてＩＰパケットをサンプリングする。転送部１５はサンプリングされたＩＰパケットを分析装置８に転送する。サンプリング選択部１３は、特定のビットパターンと一致するＩＰパケットをサンプリングする。フィルタ部１６は検出したＩＰパケットを一定時間廃棄し、あるいは該ＩＰパケットに対して帯域制御を行う。
【００１３】
図３は分析装置８の構成を示す図である。分析装置８はネットワークインタフェース２１と制御部２２と分析部２３を有している。ＩＰルータ２の転送部１５より転送されたパケットサンプリングデータは、ネットワーク１‘を経由してネットワークインタフェース２１によって受信される。ネットワークインタフェース２１は、パケットサンプリングデータを受信すると、該パケットサンプリングデータを制御部２２によって分析部２３へ渡す。分析部２３は、ハードウェアまたはソフトウェア、またはハードウェアおよびソフトウェアで構成され、統計学的手段によりネットワーク全体のトラヒックを監視し、あるターゲット宛トラヒックが閾値を越えてレートが高いことを検出する。
【００１４】
ここで、上記のように構成されたネットワークシステムの動作について説明する。ＩＰルータ２，３，４では、自身に収容したアクセス網１０に接続された全ホストへのトラヒックについてサンプリング部１３によりＩＰパケットをサンプリングする。そして、転送部１５にて、サンプリングされたＩＰパケットを分析装置８に転送する。分析装置８では分析部２３によって、収集されたサンプルＩＰパケットの解析を行い、ネットワーク全体のトラヒックを監視する。そして、特定のパケットが、同一ホストに対して定められた時間内に、閾値以上連続的に送信されたことを検出することにより、ＤｏＳ攻撃あるいはＤＤｏＳ攻撃を検出する。
【００１５】
次に、該ホスト宛のＤＤｏＳ攻撃を検出した分析装置８では、該ホストを収容するアクセス網１０と接続したＩＰルータに対して、検出した該ホスト宛のパケットのうち特定のビットパターン（ＩＰパケットの宛先ＩＰアドレス、送信元ＩＰアドレス、送信元ポート番号、宛先ポート番号、プロトコルなど）と一致するＩＰパケットのみ選択してサンプリングするように指示する。
【００１６】
分析装置８から指示を受けたＩＰルータ２では、サンプリング選択部１３で、特定のビットパターン（ＩＰパケットの宛先ＩＰアドレス、送信元ＩＰアドレス、送信元ポート番号、宛先ポート番号、プロトコルなど）と一致するＩＰパケットをサンプリングし、転送部１５にて、サンプリングしたＩＰパケットを分析装置８に転送する。
【００１７】
分析装置８では、収集された注目すべき該ホストのサンプルＩＰパケットの解析を行い、該ホスト宛に対して定められた時間内に、閾値以上連続的に送信されたことを検出することと、双方向のトラヒックを分析したステート監視（上り、下りのステート遷移定義に基きフローの正常性の確認）を行うことにより、ＤＤｏＳ攻撃パケットフローを正確に識別し、該ＩＰルータに対して、ＤＤｏＳ攻撃パケットフローを識別したＩＰパケットフローを一定時間廃棄し、あるいは、ＩＰパケットフローに対して帯域制御を行うように指示する。
【００１８】
最後に、分析装置８から指示を受けたＩＰルータでは、検出されたＩＰパケットをフィルタ部１６にて一定時間廃棄、あるいは、帯域制御を行う。
【００１９】
サンプリング部１３はパケットをサンプリングする方法として、一定時間間隔でパケットをサンプリングしてもよい。あるいは、通過したパケットの数をカウントし、一定数ごとにパケットをサンプリングしてもよい。また、サンプリングしたパケットはコピーしてもよいし、ヘッダ情報のみ抽出してもよい。
【００２０】
いま、ユーザ端末６と通信を行っているサーバ５に対して攻撃者７がＤＤｏＳ攻撃を行っている場合を考える。この場合、ＩＰルータ４では、サーバ５宛のトラヒックについてサンプリング部１３によりＩＰパケットをサンプリングし、転送部１５にてサンプリングしたＩＰパケットを分析装置８に転送する。分析装置８では、収集されたサンプルＩＰパケットの解析を行い、サーバ５宛に対して定められた時間内に、閾値以上連続的に送信されたことを検出することにより、ＤＤｏＳ攻撃を検出する。
【００２１】
次に、サーバ５宛のＤＤｏＳ攻撃を検出した分析装置８では、ＩＰルータ４に対して、検出したサーバ５宛のパケットとサーバ５からの応答パケットのみ選択してサンプリングするように指示する。ここで、分析装置８からの指示には、特定のビットパターン（ＩＰパケットの宛先ＩＰアドレス、送信元ＩＰアドレス、送信元ポート番号、宛先ポート番号、プロトコルなど）情報が含まれている。
【００２２】
分析装置８から指示を受けたＩＰルータ４では、サンプリング選択部１４で、分析装置８で検出したサーバ５宛パケットとその応答パケットのみ選択して全てサンプリングし、サンプリングしたＩＰパケットを転送部１５にて分析装置８に転送する。
【００２３】
分析装置８では、収集された注目すべきサーバ５宛パケットとその応答パケットのサンプルＩＰパケットの解析を行い、サーバ５宛に対して定められた時間内に、閾値以上連続的に送信されたことを検出することと、双方向のトラヒックを分析したステート監視を行うことにより、ＤＤｏＳ攻撃パケットフローを正確に識別し、該ＩＰルータ２に対してＤＤｏＳ攻撃パケットフローを識別したＩＰパケットフローを一定時間廃棄、あるいはＩＰパケットフローに対して帯域制御を行うように指示する。
【００２４】
最後に、分析装置８から指示を受けたＩＰルータ２では、検出したＩＰパケットをフィルタ部１６にて一定時間廃棄し、あるいは帯域制御を行う。
【００２５】
次に、図１のネットワークシステムにおけるＤＤｏＳ攻撃防御法を図４のシーケンスチャートを用いて説明する。
【００２６】
いま、ユーザ端末６と通信を行っているサーバ５に対して攻撃者７がＤＤｏＳ攻撃を行っている場合を考える。
【００２７】
ＩＰルータ４では、サーバ５宛のトラヒックについてサンプリング部１３によりＩＰパケットをサンプリングし（ステップ１０１、１０２）、サンプリングされたサンプリングパケット２０１を転送部１５にて分析装置８に転送する（ステップ１０３）。分析装置８では、収集されたサンプルパケット２０１の解析を分析部２３で行い（ステップ１０４）、サーバ５宛に対して定められた時間内に、閾値以上連続的に送信されたことを検出することにより、ＤＤｏＳ攻撃を検出する（ステップ１０５）。
【００２８】
ＤＤｏＳ攻撃が検出された場合、分析装置８では、ＩＰルータ４に対して、検出した、サーバ５宛のパケットとサーバ５からの応答パケットのみ選択してサンプリングするように制御部２２が特定トラヒックサンプリング指示２０２を行う。ここで、分析装置８からの特定トラヒックサンプリング指示２０２には、特定のビットパターン（ＩＰパケットの宛先ＩＰアドレス、送信元ＩＰアドレス、送信元ポート番号、宛先ポート番号、プロトコルなど）の情報が含まれている。
【００２９】
分析装置８から指示を受けたＩＰルータ４では、サンプリング選択部１４で、分析装置８で検出したサーバ５宛パケットとその応答パケットのみ選択して全てのパケットをサンプリングし、サンプリングしたサンプリングパケット２０３を分析装置８に転送する。
【００３０】
分析装置８では、収集された注目すべきサーバ５宛パケットとその応答パケットのサンプルパケット２０３について分析部２３により解析を行い、サーバ５宛に対して定められた時間内に、閾値以上連続的に送信されたことを検出することと、双方向のトラヒックを分析したステート監視を行うことにより、ＤＤｏＳ攻撃パケットフローを正確に識別し、ＩＰルータ４に対して、ＤＤｏＳ攻撃パケットフローを識別したＩＰパケットフローを一定時間廃棄、あるいは、帯域制御を行うようにフィルタ指示２０４を出す。
【００３１】
最後に、分析装置８からフィルタ指示２０４を受けたＩＰルータ４では、検出したＩＰパケットをフィルタ部１６にて一定時間廃棄、あるいは、帯域制御を行う。
【００３２】
図５は、ＩＰルータ２，３，４が分析装置８からの特定トラヒックサンプリング指示２０２あるいはフィルタ指示２０４を管理する方法を説明するための図である。各ＩＰルータ２，３，４にはテーブル３００があり、このテーブル３００にはフィルタ情報と、特定トラヒックをサンプリングする情報の２種類の情報が記載されており、ＩＰパケットの送信元ＩＰアドレス（ＳＡ）、宛先ＩＰアドレス（ＤＰ）、送信元ポート番号（ＳＰ）、宛先ポート番号（ＤＰ）、プロトコル（Ｐｒｏｔｏｃｏｌ）などの情報により表されている。
【００３３】
本発明の第２の実施形態として、ユーザ端末５と通信を行っているサーバ５に対して攻撃者６がＤＤｏＳ攻撃を行っており、攻撃者６に最も近いＩＰルータ（ＩＰルータ２）でＩＰパケットのみ選択サンプリングおよびフィルタする場合を考える。この場合、ＩＰルータ２では、サーバ５宛のトラヒックをサンプリング部１３によりＩＰパケットをサンプリングし、転送部１５にて、サンプリングしたＩＰパケットを分析装置８に転送する。そして、分析装置８で、収集されたサンプルＩＰパケットの解析を行い、サーバ５宛に対して定められた時間内に、閾値以上連続的に送信されたことを検出することにより、ＤＤｏＳ攻撃を検出する。
【００３４】
次に、サーバ５宛にＤＤｏＳ攻撃を検出した分析装置８では、各ＩＰルータ２，３に対して検出した、サーバ５宛のパケットとサーバ５からの応答パケットのみ選択してサンプリングするように指示する。ここで、分析装置８からの指示には、特定のビットパターン（ＩＰパケットの宛先ＩＰアドレス、送信元ＩＰアドレス、送信元ポート番号、宛先ポート番号、プロトコルなど）情報が含まれている。
【００３５】
分析装置８から指示を受けたＩＰルータ２，３では、サンプリング選択部１４で、分析装置８で検出されたサーバ５宛パケットとその応答パケットのみ選択して全てサンプリングし、転送部１５にてサンプリングしたＩＰパケットを分析装置８に転送する。
【００３６】
分析装置８では、収集された注目すべきサーバ５宛パケットとその応答パケットのサンプルＩＰパケットの解析を行い、サーバ５宛に対して定められた時間内に、閾値以上連続的に送信されたことを検出することと、双方向のトラヒックを分析したステート監視を行うことにより、ＤＤｏＳ攻撃パケットフローを正確に識別し、攻撃者７に最も近いＩＰルータ２に対してＤＤｏＳ攻撃パケットフローを識別したＩＰパケットフローを一定時間廃棄、あるいは、帯域制御を行うように指示する。
【００３７】
最後に、分析装置８から指示を受けた、攻撃者７に最も近いＩＰルータ２では、検出したＩＰパケットをフィルタ部１６にて一定時間廃棄し、あるいは、帯域制御を行う。
【００３８】
なお、以上の実施形態では、ＤＤｏＳ攻撃を受けた場合についてその動作を説明したが、ＤｏＳ攻撃を受けた場合もその動作は同様である。
【図面の簡単な説明】
【００３９】
【図１】インターネット上のサーバを標的にしたＤｏＳ攻撃あるいはＤＤｏＳ攻撃に対処可能な本発明の一実施形態によるネットワークシステムの構成を示す図である。
【図２】図１のネットワークシステムにおけるＩＰルータの構成図である。
【図３】図１のネットワークシステムにおける分析装置の構成図である。
【図４】図１のネットワークシステムのＤＤｏＳ攻撃防御法を示したシーケンスチャートである。
【図５】各ＩＰルータ２，３，４が分析装置８からの特定トラヒックサンプリング指示２０２あるいはフィルタ指示２０４を管理する方法を説明するための図である。
【符号の説明】
【００４０】
１ キャリアネットワーク
１‘ ネットワーク
２，３，４ ＩＰルータ
５ サーバ
６ ユーザ端末
７ 攻撃者
８ 分析装置
９ キャリアネットワーク
１０ アクセス網
１１，１２ ネットワークインタフェース
１３ サンプリング部
１４ サンプリング選択部
１５ 転送部
１６ フィルタ部
１７ 制御部
２１ ネットワークインタフェース
２２ 制御部
２３ 分析部
１０１〜１０９ ステップ
２０１，２０３ サンプリングパケット
２０２ 特定トラヒックサンプリング指示
２０４ フィルタ指示
３００ テーブル
【技術分野】
【０００１】
本発明は、インターネット上のサーバを標的にしたＤｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ ａｔｔａｃｋ（以下ＤｏＳ攻撃と略記する）、あるいはＤｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ ａｔｔａｃｋ（以下ＤＤｏＳ攻撃と略記する）等に対処可能なネットワークシステムに関する。
【背景技術】
【０００２】
インターネットにおけるＤＤｏＳ攻撃とは、ネットワーク上のサーバが提供するサービスを妨害することで、そのサービスを機能しなくさせる攻撃のことを示す。この攻撃の実行手段は標的となるサーバに大量にＩＰパケットを送信することでネットワークやサーバのリソースを消費し、サービスを妨害および拒否する方法である。近年では、ネットワーク回線を食いつぶすようなＤＤｏＳ攻撃が増加しており、すでに社会インフラとなりつつあるインターネットの安定したサービス提供を行うことは必要であることから、キャリア網においても積極的に対策を採る必要が増してきている。
【０００３】
このようなＤＤｏＳ攻撃を防御する方法として、たとえば、特許文献１、特許文献２などに開示されている技術がある。
【特許文献１】特開２００２−３３５２４６号公報
【特許文献２】特開２００３−２８３５５４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記、従来のトラヒックに対してインラインで検出・防御を行うネットワーク型システムでは、今後予想されるトラヒックを処理するだけの十分な処理性能を監視するネットワークの帯域の増加に合わせて確保するのが困難であるとともに、そのようなシステムは非常に高価であるといった問題があった。また、スイッチのミラーポートやＴＡＰによりミラーしたパケットを分析システムで分析を行い、防御をネットワーク型で行う方法は、詳細なトラヒック分析処理が可能であるが、ポートミラーリングやネットワークタップにより常に全てのパケットを転送するため大量の攻撃を受けた場合、全てのトラヒックを転送できないため、トラヒック分析を正確に行えない問題があった。また、特定の確率でサンプリングをするパケットサンプリング法によりパケットサンプリングし、サンプルパケットの情報を分析システムで統計学的手法により分析を行い攻撃を検知する方法は、サンプリング手法であるため少ないパケット情報でネットワーク全体のトラヒックを監視することが可能であるが、全てのトラヒックを均等に扱うサンプリングであるため、双方向のトラヒックを監視するステート監視によりＤＤｏＳ攻撃フローの特定を正確に行うことが困難であり、誤って正常ユーザトラヒックまで廃棄してしまう問題があった。
【０００５】
本発明の目的は、すべてのパケットを分析することなく、分析できないパケットが発生し、攻撃フローを特定できない問題を解決する、ＤｏＳ攻撃あるいはＤＤｏＳ攻撃に対処する方法、ネットワーク装置、および分析装置を提供することにある。
【課題を解決するための手段】
【０００６】
本発明のＤｏＳ攻撃あるいはＤＤｏＳ攻撃に対処する方法は、
ネットワーク装置が、該ネットワーク装置に収容されたアクセス網に接続された全ホストへのトラフィックをサンプリングし、サンプリングされたＩＰパケットを分析装置に転送するステップと、
前記分析装置が、該サンプリングされたＩＰパケットを解析し、ＤｏＳ攻撃あるいはＤＤｏＳ攻撃を検出し、ＤｏＳ攻撃あるいはＤＤｏＳ攻撃を検出したホストを収容するアクセス網と接続されたネットワーク装置に対して、検出した該ホスト宛てのパケットのうち特定のビットパターンと一致するＩＰパケットのみを選択してサンプリングするように指示するステップと、
前記分析装置から前記指示を受けたネットワーク装置が、特定のビットパターンと一致するＩＰパケットを選択してサンプリングし、サンプリングされたＩＰパケットを前記分析装置に転送するステップと、
前記分析装置が、該サンプリングされたＩＰパケットを解析し、ＤｏＳ攻撃あるいはＤＤｏＳ攻撃を正確に識別し、該識別したＩＰパケットを一定時間廃棄し、あるいは該ＩＰパケットに対して帯域制御を行なうように前記ネットワーク装置に対して指示するステップと、
該指示を受けたネットワーク装置が、後続のＩＰパケットを一定時間廃棄し、あるいは該パケットに対し帯域制御を行うステップと
を有する。
【０００７】
ネットワーク装置（たとえばＩＰルータ）は、自身に収容したアクセス網に接続された全ホストへのトラヒックをサンプリング部によりＩＰパケットをサンプリングし、分析装置で、収集されたサンプルＩＰパケットの解析を行うことでネットワーク全体のトラヒックを監視する。そして、同一ホストに対して定められた時間内に、閾値以上連続的に送信されたことを検出することにより、ＤｏＳ攻撃あるいはＤＤｏＳ攻撃を検知し、検出した注目すべきトラヒックについてのみ収集するようにネットワーク装置に指示することにより、検出した注目すべきトラヒックについてのみ収集して正確にＤＤｏＳ攻撃パケットフローの判断を行い、誤って攻撃を受けているホストと通信を行っている正常ユーザトラヒックまで廃棄することなくＤＤｏＳ攻撃トラヒックのみ、トラヒックの帯域制限（ポリシング、シェービング等）により、またはフィルタすることによりＤＤｏＳ攻撃を防御する。
【発明の効果】
【０００８】
本発明によれば、すべてのパケットを分析することなく、分析できないパケットが発生し、攻撃フローを特定できない問題を解決することができる。
【発明を実施するための最良の形態】
【０００９】
次に、本発明の実施の形態について図面を参照して説明する。
【００１０】
図１は、本発明の一実施形態の、インターネット上のサーバを標的にしたＤｏＳ攻撃、あるいはＤＤｏＳ攻撃に対処可能なネットワークシステムの構成を示す図である。
【００１１】
本実施形態のネットワークシステムは、キャリアネットワーク１と、ＩＰルータ２，３，４と、ＤＤｏＳ攻撃の攻撃対象のサーバ５と、サーバ５と通信を行うユーザ端末６と、サーバ５に対してＤＤｏＳ攻撃を行うユーザ端末７と、分析装置８を有している。
【００１２】
図２はＩＰルータ２〜４の構成図である。ＩＰルータ２〜４はネットワークインタフェース１１，１２と、サンプリング選択部１４を含むサンプリング部１３と、転送部１５と、フィルタ部１６と、制御部１７を有している。なお、図２においては、ＩＰルータが元来有している構成は省略されている。サンプリング部１３はアクセス網１０に接続された全ホストへのトラヒックについてＩＰパケットをサンプリングする。転送部１５はサンプリングされたＩＰパケットを分析装置８に転送する。サンプリング選択部１３は、特定のビットパターンと一致するＩＰパケットをサンプリングする。フィルタ部１６は検出したＩＰパケットを一定時間廃棄し、あるいは該ＩＰパケットに対して帯域制御を行う。
【００１３】
図３は分析装置８の構成を示す図である。分析装置８はネットワークインタフェース２１と制御部２２と分析部２３を有している。ＩＰルータ２の転送部１５より転送されたパケットサンプリングデータは、ネットワーク１‘を経由してネットワークインタフェース２１によって受信される。ネットワークインタフェース２１は、パケットサンプリングデータを受信すると、該パケットサンプリングデータを制御部２２によって分析部２３へ渡す。分析部２３は、ハードウェアまたはソフトウェア、またはハードウェアおよびソフトウェアで構成され、統計学的手段によりネットワーク全体のトラヒックを監視し、あるターゲット宛トラヒックが閾値を越えてレートが高いことを検出する。
【００１４】
ここで、上記のように構成されたネットワークシステムの動作について説明する。ＩＰルータ２，３，４では、自身に収容したアクセス網１０に接続された全ホストへのトラヒックについてサンプリング部１３によりＩＰパケットをサンプリングする。そして、転送部１５にて、サンプリングされたＩＰパケットを分析装置８に転送する。分析装置８では分析部２３によって、収集されたサンプルＩＰパケットの解析を行い、ネットワーク全体のトラヒックを監視する。そして、特定のパケットが、同一ホストに対して定められた時間内に、閾値以上連続的に送信されたことを検出することにより、ＤｏＳ攻撃あるいはＤＤｏＳ攻撃を検出する。
【００１５】
次に、該ホスト宛のＤＤｏＳ攻撃を検出した分析装置８では、該ホストを収容するアクセス網１０と接続したＩＰルータに対して、検出した該ホスト宛のパケットのうち特定のビットパターン（ＩＰパケットの宛先ＩＰアドレス、送信元ＩＰアドレス、送信元ポート番号、宛先ポート番号、プロトコルなど）と一致するＩＰパケットのみ選択してサンプリングするように指示する。
【００１６】
分析装置８から指示を受けたＩＰルータ２では、サンプリング選択部１３で、特定のビットパターン（ＩＰパケットの宛先ＩＰアドレス、送信元ＩＰアドレス、送信元ポート番号、宛先ポート番号、プロトコルなど）と一致するＩＰパケットをサンプリングし、転送部１５にて、サンプリングしたＩＰパケットを分析装置８に転送する。
【００１７】
分析装置８では、収集された注目すべき該ホストのサンプルＩＰパケットの解析を行い、該ホスト宛に対して定められた時間内に、閾値以上連続的に送信されたことを検出することと、双方向のトラヒックを分析したステート監視（上り、下りのステート遷移定義に基きフローの正常性の確認）を行うことにより、ＤＤｏＳ攻撃パケットフローを正確に識別し、該ＩＰルータに対して、ＤＤｏＳ攻撃パケットフローを識別したＩＰパケットフローを一定時間廃棄し、あるいは、ＩＰパケットフローに対して帯域制御を行うように指示する。
【００１８】
最後に、分析装置８から指示を受けたＩＰルータでは、検出されたＩＰパケットをフィルタ部１６にて一定時間廃棄、あるいは、帯域制御を行う。
【００１９】
サンプリング部１３はパケットをサンプリングする方法として、一定時間間隔でパケットをサンプリングしてもよい。あるいは、通過したパケットの数をカウントし、一定数ごとにパケットをサンプリングしてもよい。また、サンプリングしたパケットはコピーしてもよいし、ヘッダ情報のみ抽出してもよい。
【００２０】
いま、ユーザ端末６と通信を行っているサーバ５に対して攻撃者７がＤＤｏＳ攻撃を行っている場合を考える。この場合、ＩＰルータ４では、サーバ５宛のトラヒックについてサンプリング部１３によりＩＰパケットをサンプリングし、転送部１５にてサンプリングしたＩＰパケットを分析装置８に転送する。分析装置８では、収集されたサンプルＩＰパケットの解析を行い、サーバ５宛に対して定められた時間内に、閾値以上連続的に送信されたことを検出することにより、ＤＤｏＳ攻撃を検出する。
【００２１】
次に、サーバ５宛のＤＤｏＳ攻撃を検出した分析装置８では、ＩＰルータ４に対して、検出したサーバ５宛のパケットとサーバ５からの応答パケットのみ選択してサンプリングするように指示する。ここで、分析装置８からの指示には、特定のビットパターン（ＩＰパケットの宛先ＩＰアドレス、送信元ＩＰアドレス、送信元ポート番号、宛先ポート番号、プロトコルなど）情報が含まれている。
【００２２】
分析装置８から指示を受けたＩＰルータ４では、サンプリング選択部１４で、分析装置８で検出したサーバ５宛パケットとその応答パケットのみ選択して全てサンプリングし、サンプリングしたＩＰパケットを転送部１５にて分析装置８に転送する。
【００２３】
分析装置８では、収集された注目すべきサーバ５宛パケットとその応答パケットのサンプルＩＰパケットの解析を行い、サーバ５宛に対して定められた時間内に、閾値以上連続的に送信されたことを検出することと、双方向のトラヒックを分析したステート監視を行うことにより、ＤＤｏＳ攻撃パケットフローを正確に識別し、該ＩＰルータ２に対してＤＤｏＳ攻撃パケットフローを識別したＩＰパケットフローを一定時間廃棄、あるいはＩＰパケットフローに対して帯域制御を行うように指示する。
【００２４】
最後に、分析装置８から指示を受けたＩＰルータ２では、検出したＩＰパケットをフィルタ部１６にて一定時間廃棄し、あるいは帯域制御を行う。
【００２５】
次に、図１のネットワークシステムにおけるＤＤｏＳ攻撃防御法を図４のシーケンスチャートを用いて説明する。
【００２６】
いま、ユーザ端末６と通信を行っているサーバ５に対して攻撃者７がＤＤｏＳ攻撃を行っている場合を考える。
【００２７】
ＩＰルータ４では、サーバ５宛のトラヒックについてサンプリング部１３によりＩＰパケットをサンプリングし（ステップ１０１、１０２）、サンプリングされたサンプリングパケット２０１を転送部１５にて分析装置８に転送する（ステップ１０３）。分析装置８では、収集されたサンプルパケット２０１の解析を分析部２３で行い（ステップ１０４）、サーバ５宛に対して定められた時間内に、閾値以上連続的に送信されたことを検出することにより、ＤＤｏＳ攻撃を検出する（ステップ１０５）。
【００２８】
ＤＤｏＳ攻撃が検出された場合、分析装置８では、ＩＰルータ４に対して、検出した、サーバ５宛のパケットとサーバ５からの応答パケットのみ選択してサンプリングするように制御部２２が特定トラヒックサンプリング指示２０２を行う。ここで、分析装置８からの特定トラヒックサンプリング指示２０２には、特定のビットパターン（ＩＰパケットの宛先ＩＰアドレス、送信元ＩＰアドレス、送信元ポート番号、宛先ポート番号、プロトコルなど）の情報が含まれている。
【００２９】
分析装置８から指示を受けたＩＰルータ４では、サンプリング選択部１４で、分析装置８で検出したサーバ５宛パケットとその応答パケットのみ選択して全てのパケットをサンプリングし、サンプリングしたサンプリングパケット２０３を分析装置８に転送する。
【００３０】
分析装置８では、収集された注目すべきサーバ５宛パケットとその応答パケットのサンプルパケット２０３について分析部２３により解析を行い、サーバ５宛に対して定められた時間内に、閾値以上連続的に送信されたことを検出することと、双方向のトラヒックを分析したステート監視を行うことにより、ＤＤｏＳ攻撃パケットフローを正確に識別し、ＩＰルータ４に対して、ＤＤｏＳ攻撃パケットフローを識別したＩＰパケットフローを一定時間廃棄、あるいは、帯域制御を行うようにフィルタ指示２０４を出す。
【００３１】
最後に、分析装置８からフィルタ指示２０４を受けたＩＰルータ４では、検出したＩＰパケットをフィルタ部１６にて一定時間廃棄、あるいは、帯域制御を行う。
【００３２】
図５は、ＩＰルータ２，３，４が分析装置８からの特定トラヒックサンプリング指示２０２あるいはフィルタ指示２０４を管理する方法を説明するための図である。各ＩＰルータ２，３，４にはテーブル３００があり、このテーブル３００にはフィルタ情報と、特定トラヒックをサンプリングする情報の２種類の情報が記載されており、ＩＰパケットの送信元ＩＰアドレス（ＳＡ）、宛先ＩＰアドレス（ＤＰ）、送信元ポート番号（ＳＰ）、宛先ポート番号（ＤＰ）、プロトコル（Ｐｒｏｔｏｃｏｌ）などの情報により表されている。
【００３３】
本発明の第２の実施形態として、ユーザ端末５と通信を行っているサーバ５に対して攻撃者６がＤＤｏＳ攻撃を行っており、攻撃者６に最も近いＩＰルータ（ＩＰルータ２）でＩＰパケットのみ選択サンプリングおよびフィルタする場合を考える。この場合、ＩＰルータ２では、サーバ５宛のトラヒックをサンプリング部１３によりＩＰパケットをサンプリングし、転送部１５にて、サンプリングしたＩＰパケットを分析装置８に転送する。そして、分析装置８で、収集されたサンプルＩＰパケットの解析を行い、サーバ５宛に対して定められた時間内に、閾値以上連続的に送信されたことを検出することにより、ＤＤｏＳ攻撃を検出する。
【００３４】
次に、サーバ５宛にＤＤｏＳ攻撃を検出した分析装置８では、各ＩＰルータ２，３に対して検出した、サーバ５宛のパケットとサーバ５からの応答パケットのみ選択してサンプリングするように指示する。ここで、分析装置８からの指示には、特定のビットパターン（ＩＰパケットの宛先ＩＰアドレス、送信元ＩＰアドレス、送信元ポート番号、宛先ポート番号、プロトコルなど）情報が含まれている。
【００３５】
分析装置８から指示を受けたＩＰルータ２，３では、サンプリング選択部１４で、分析装置８で検出されたサーバ５宛パケットとその応答パケットのみ選択して全てサンプリングし、転送部１５にてサンプリングしたＩＰパケットを分析装置８に転送する。
【００３６】
分析装置８では、収集された注目すべきサーバ５宛パケットとその応答パケットのサンプルＩＰパケットの解析を行い、サーバ５宛に対して定められた時間内に、閾値以上連続的に送信されたことを検出することと、双方向のトラヒックを分析したステート監視を行うことにより、ＤＤｏＳ攻撃パケットフローを正確に識別し、攻撃者７に最も近いＩＰルータ２に対してＤＤｏＳ攻撃パケットフローを識別したＩＰパケットフローを一定時間廃棄、あるいは、帯域制御を行うように指示する。
【００３７】
最後に、分析装置８から指示を受けた、攻撃者７に最も近いＩＰルータ２では、検出したＩＰパケットをフィルタ部１６にて一定時間廃棄し、あるいは、帯域制御を行う。
【００３８】
なお、以上の実施形態では、ＤＤｏＳ攻撃を受けた場合についてその動作を説明したが、ＤｏＳ攻撃を受けた場合もその動作は同様である。
【図面の簡単な説明】
【００３９】
【図１】インターネット上のサーバを標的にしたＤｏＳ攻撃あるいはＤＤｏＳ攻撃に対処可能な本発明の一実施形態によるネットワークシステムの構成を示す図である。
【図２】図１のネットワークシステムにおけるＩＰルータの構成図である。
【図３】図１のネットワークシステムにおける分析装置の構成図である。
【図４】図１のネットワークシステムのＤＤｏＳ攻撃防御法を示したシーケンスチャートである。
【図５】各ＩＰルータ２，３，４が分析装置８からの特定トラヒックサンプリング指示２０２あるいはフィルタ指示２０４を管理する方法を説明するための図である。
【符号の説明】
【００４０】
１ キャリアネットワーク
１‘ ネットワーク
２，３，４ ＩＰルータ
５ サーバ
６ ユーザ端末
７ 攻撃者
８ 分析装置
９ キャリアネットワーク
１０ アクセス網
１１，１２ ネットワークインタフェース
１３ サンプリング部
１４ サンプリング選択部
１５ 転送部
１６ フィルタ部
１７ 制御部
２１ ネットワークインタフェース
２２ 制御部
２３ 分析部
１０１〜１０９ ステップ
２０１，２０３ サンプリングパケット
２０２ 特定トラヒックサンプリング指示
２０４ フィルタ指示
３００ テーブル
【特許請求の範囲】
【請求項１】
ネットワークシステムにおける、インターネット上のサーバを標的にしたＤｏＳ攻撃あるいはＤＤｏＳ攻撃に対処する方法であって、
ネットワーク装置が、該ネットワーク装置に収容されたアクセス網に接続された全ホストへのＩＰパケットをサンプリングし、サンプリングされたＩＰパケットを分析装置に転送するステップと、
前記分析装置が、該サンプリングされたＩＰパケットを解析し、ＤｏＳ攻撃あるいはＤＤｏＳ攻撃を検出し、ＤｏＳ攻撃あるいはＤＤｏＳ攻撃を検出したホストを収容するアクセス網と接続されたネットワーク装置に対して、検出した該ホスト宛てのパケットのうち特定のビットパターンと一致するＩＰパケットのみを選択してサンプリングするように指示するステップと、
前記分析装置から前記指示を受けたネットワーク装置が、特定のビットパターンと一致するＩＰパケットを選択してサンプリングし、サンプリングされたＩＰパケットを前記分析装置に転送するステップと、
前記分析装置が、該サンプリングされたＩＰパケットを解析し、ＤｏＳ攻撃あるいはＤＤｏＳ攻撃を正確に識別し、該識別したＩＰパケットを一定時間廃棄し、あるいは該ＩＰパケットに対して帯域制御を行なうように前記ネットワーク装置に対して指示するステップと、
該指示を受けたネットワーク装置が、後続のＩＰパケットを一定時間廃棄し、あるいは該パケットに対し帯域制御を行うステップと
を有する、ＤｏＳ攻撃あるいはＤＤｏＳ攻撃に対処する方法。
【請求項２】
前記ネットワーク装置は、時間ベースのサンプリング、あるいはカウントベースのサンプリングにより取得したサンプルパケットをコピーするか、パケットからパケットヘッダ情報を抽出する、請求項１に記載の方法。
【請求項３】
前記分析装置では、取得したサンプルパケットの情報を統計学的手段により分析し、あるターゲット宛トラヒックが閾値を超えてレートが高いことを検出した場合は、前記ネットワーク装置に対して、検出した注目すべきターゲット間の双方向パケットのみ選択して全てのパケットをサンプリングするように指示し、前記分析装置で注目すべきターゲットの双方向トラヒックについてのみ収集する、請求項１または２に記載の方法。
【請求項４】
ネットワーク装置において、
該ネットワーク装置に収容されたアクセス網に接続された全ホストへのＩＰパケットをサンプリングするサンプリング部と、
該サンプリング部によりサンプリングされたＩＰパケットを分析装置に転送する転送部と、
該サンプリング部に対してサンプリングするＩＰパケットの選択を行い、前記分析装置からの指示により特定のビットパターンと一致するＩＰパケットをサンプリングし、サンプリングしたＩＰパケットを前記転送部より前記分析装置に転送するサンプリング選択制御部と、
前記分析装置からの指示により、検出されたパケットを一定時間廃棄し、あるいは該パケットに対して帯域制御を行なうフィルタ部と
を有すること特徴とするネットワーク装置。
【請求項５】
ネットワーク装置により送信されたパケットサンプリングデータを、ネットワークを継由して受信するネットワークインタフェースと、
該サンプリングされたＩＰパケットを解析し、ＤｏＳ攻撃あるいはＤＤｏＳ攻撃を検出し、ＤｏＳ攻撃あるいはＤＤｏＳ攻撃を検出したホストを収容するアクセス網と接続されたネットワーク装置に対して、検出した該ホスト宛てのパケットのうち特定のビットパターンと一致するＩＰパケットのみを選択してサンプリングするように指示し、該指示に応答して前記ネットワーク装置でサンプリングされたＩＰパケットを解析し、ＤｏＳ攻撃あるいはＤＤｏＳ攻撃を正確に識別し、該識別したＩＰパケットを一定時間廃棄し、あるいは該ＩＰパケットに対して帯域制御を行なうように前記ネットワーク装置に対して指示する分析手段と
を有する分析装置。
【請求項１】
ネットワークシステムにおける、インターネット上のサーバを標的にしたＤｏＳ攻撃あるいはＤＤｏＳ攻撃に対処する方法であって、
ネットワーク装置が、該ネットワーク装置に収容されたアクセス網に接続された全ホストへのＩＰパケットをサンプリングし、サンプリングされたＩＰパケットを分析装置に転送するステップと、
前記分析装置が、該サンプリングされたＩＰパケットを解析し、ＤｏＳ攻撃あるいはＤＤｏＳ攻撃を検出し、ＤｏＳ攻撃あるいはＤＤｏＳ攻撃を検出したホストを収容するアクセス網と接続されたネットワーク装置に対して、検出した該ホスト宛てのパケットのうち特定のビットパターンと一致するＩＰパケットのみを選択してサンプリングするように指示するステップと、
前記分析装置から前記指示を受けたネットワーク装置が、特定のビットパターンと一致するＩＰパケットを選択してサンプリングし、サンプリングされたＩＰパケットを前記分析装置に転送するステップと、
前記分析装置が、該サンプリングされたＩＰパケットを解析し、ＤｏＳ攻撃あるいはＤＤｏＳ攻撃を正確に識別し、該識別したＩＰパケットを一定時間廃棄し、あるいは該ＩＰパケットに対して帯域制御を行なうように前記ネットワーク装置に対して指示するステップと、
該指示を受けたネットワーク装置が、後続のＩＰパケットを一定時間廃棄し、あるいは該パケットに対し帯域制御を行うステップと
を有する、ＤｏＳ攻撃あるいはＤＤｏＳ攻撃に対処する方法。
【請求項２】
前記ネットワーク装置は、時間ベースのサンプリング、あるいはカウントベースのサンプリングにより取得したサンプルパケットをコピーするか、パケットからパケットヘッダ情報を抽出する、請求項１に記載の方法。
【請求項３】
前記分析装置では、取得したサンプルパケットの情報を統計学的手段により分析し、あるターゲット宛トラヒックが閾値を超えてレートが高いことを検出した場合は、前記ネットワーク装置に対して、検出した注目すべきターゲット間の双方向パケットのみ選択して全てのパケットをサンプリングするように指示し、前記分析装置で注目すべきターゲットの双方向トラヒックについてのみ収集する、請求項１または２に記載の方法。
【請求項４】
ネットワーク装置において、
該ネットワーク装置に収容されたアクセス網に接続された全ホストへのＩＰパケットをサンプリングするサンプリング部と、
該サンプリング部によりサンプリングされたＩＰパケットを分析装置に転送する転送部と、
該サンプリング部に対してサンプリングするＩＰパケットの選択を行い、前記分析装置からの指示により特定のビットパターンと一致するＩＰパケットをサンプリングし、サンプリングしたＩＰパケットを前記転送部より前記分析装置に転送するサンプリング選択制御部と、
前記分析装置からの指示により、検出されたパケットを一定時間廃棄し、あるいは該パケットに対して帯域制御を行なうフィルタ部と
を有すること特徴とするネットワーク装置。
【請求項５】
ネットワーク装置により送信されたパケットサンプリングデータを、ネットワークを継由して受信するネットワークインタフェースと、
該サンプリングされたＩＰパケットを解析し、ＤｏＳ攻撃あるいはＤＤｏＳ攻撃を検出し、ＤｏＳ攻撃あるいはＤＤｏＳ攻撃を検出したホストを収容するアクセス網と接続されたネットワーク装置に対して、検出した該ホスト宛てのパケットのうち特定のビットパターンと一致するＩＰパケットのみを選択してサンプリングするように指示し、該指示に応答して前記ネットワーク装置でサンプリングされたＩＰパケットを解析し、ＤｏＳ攻撃あるいはＤＤｏＳ攻撃を正確に識別し、該識別したＩＰパケットを一定時間廃棄し、あるいは該ＩＰパケットに対して帯域制御を行なうように前記ネットワーク装置に対して指示する分析手段と
を有する分析装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図２】
【図３】
【図４】
【図５】
【公開番号】特開２００６−１６４０３８（Ｐ２００６−１６４０３８Ａ）
【公開日】平成１８年６月２２日（２００６．６．２２）
【国際特許分類】
【出願番号】特願２００４−３５６８６１（Ｐ２００４−３５６８６１）
【出願日】平成１６年１２月９日（２００４．１２．９）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
【公開日】平成１８年６月２２日（２００６．６．２２）
【国際特許分類】
【出願日】平成１６年１２月９日（２００４．１２．９）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
[ Back to top ]