ＤｏＳ攻撃検出方法及びＤｏＳ攻撃検出装置
【課題】大規模ユーザからの発呼を誤ってＤｏＳ攻撃として検出しないこと。
【解決手段】加入者系ＳＩＰサーバ２ａに送信されたＳＩＰ信号の送信元に対して設定された加入者データ毎最大ＳＩＰセッション数２４１ａが、大規模ユーザ分類対象ＳＩＰセッション数２４２ａを越える場合に、そのＳＩＰ信号の送信元が大規模ユーザであると判定し、大規模ユーザであると判定された場合に、そのＳＩＰ信号の受信数と、小規模ユーザ用と区別して設定された大規模ユーザ用のユーザ分類別ＤｏＳ攻撃検出閾値２４３ａとを比較して、ＳＩＰ信号の受信数が当該ユーザ分類別ＤｏＳ攻撃検出閾値２４３ａを超えない場合に、上記ＳＩＰ信号はＤｏＳ攻撃でないと判定して、非ＤｏＳ攻撃であると検出する。
【解決手段】加入者系ＳＩＰサーバ２ａに送信されたＳＩＰ信号の送信元に対して設定された加入者データ毎最大ＳＩＰセッション数２４１ａが、大規模ユーザ分類対象ＳＩＰセッション数２４２ａを越える場合に、そのＳＩＰ信号の送信元が大規模ユーザであると判定し、大規模ユーザであると判定された場合に、そのＳＩＰ信号の受信数と、小規模ユーザ用と区別して設定された大規模ユーザ用のユーザ分類別ＤｏＳ攻撃検出閾値２４３ａとを比較して、ＳＩＰ信号の受信数が当該ユーザ分類別ＤｏＳ攻撃検出閾値２４３ａを超えない場合に、上記ＳＩＰ信号はＤｏＳ攻撃でないと判定して、非ＤｏＳ攻撃であると検出する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＳＩＰサーバに送信されたＳＩＰ信号がＤｏＳ攻撃であるかを検出する技術に関する。
【背景技術】
【０００２】
従来より、インターネット上のウェブサーバ等が提供するサービスを妨害する方法として、ＤｏＳ攻撃（Denial of Service attack）がある。近年では、ＳＩＰ（Session Initiation Protocol）を用いたＩＰ（Internet Protocol）電話サービスの普及に伴い、ＳＩＰサーバへのＤｏＳ攻撃の発生が懸念され、このＤｏＳ攻撃の検出および防御機能が必要となっている。
【０００３】
従来のＤｏＳ攻撃の検出機能としては、ＳＩＰサーバの稼働状況を収集し、その稼働状況が閾値を超えた場合にＤｏＳ攻撃が発生したことを検出し、一定の比率で新規のＳＩＰメッセージを受付け、その他の新規のＳＩＰメッセージを破棄するものがある。この時、セッション継続のための再送ＳＩＰメッセージや、受付済みＳＩＰメッセージの後続信号は受付ける。
【０００４】
これにより、ＳＩＰメッセージを大量に送りつけることによってＳＩＰサーバのシステムダウンを誘発させるＤｏＳ攻撃に対しても、システムダウンを発生させることなく、ＳＩＰによるサービスを提供できる（特許文献１参照）。
【０００５】
しかしながら、ＤｏＳ攻撃として検出された場合に一定比率で新規のＳＩＰメッセージを破棄すると、悪意のないユーザがサービスを受けられなくなる可能性がある。そのため、原因となるＳＩＰメッセージの送信元アドレスを元に破棄することが必要である。この場合でも、従来、ＤｏＳ攻撃の検出閾値はシステム内で１つであり、ユーザ毎に閾値を保持していない。そのため、ＩＰ電話サービスの加入者の接続形態によって、一般ユーザと大規模ユーザでは利用可能なセッション数（最大ＳＩＰセッション数）が異なり、この違いにより同一の閾値ではＤｏＳ攻撃の誤検出になる可能性がある。
【０００６】
また、他のＤｏＳ攻撃の検出機能としては、ＳＩＰトランザクションで処理されるＳＩＰパケットを監視し、ＳＩＰトランザクション処理の状態と監視されるＳＩＰパケットから異常パケットを検出し、ＤｏＳ攻撃として検出するものがある。ＳＩＰトランザクション処理の状態は、ＳＩＰパケットのヘッダから取得し、当該の処理状態では意図しないＳＩＰパケットを受信した場合に、ＳＩＰパケットを異常パケットとして検出する。また、同一のトランザクション処理の状態でＳＩＰパケットの再送回数が所定の閾値を超えた場合に、ＳＩＰパケットを異常パケットとして検出する。検出した異常パケットの数が予め設定した閾値を超えた場合に、ＤｏＳ攻撃として検出する。
【０００７】
これにより、何らかの原因で突発的に発生した異常パケットを直ちにＤｏＳ攻撃と判断しない等、より正確にＤｏＳ攻撃を検出できる（特許文献２参照）。
【０００８】
しかしながら、ＤｏＳ攻撃の中には、正常なＳＩＰパケットとの違いが見られないケースがあり、この場合に対処することができない。このため、ＳＩＰパケットの通信量により判定する必要がある。この場合、従来、ＤｏＳ攻撃の検出閾値はシステム内で１つであり、ユーザ毎に閾値を保持していない。そのため、ＩＰ電話サービスの加入者の接続形態によって、一般ユーザと大規模ユーザでは利用可能なセッション数（最大ＳＩＰセッション数）が異なり、この違いにより同一の閾値ではＤｏＳ攻撃の誤検出になる可能性がある。
【先行技術文献】
【特許文献】
【０００９】
【特許文献１】特開２００４−３４３５８０号公報
【特許文献２】特開２００７−２６７１５１号公報
【発明の概要】
【発明が解決しようとする課題】
【００１０】
以上説明したように、従来のＳＩＰ信号によるＤｏＳ攻撃対策では、ＳＩＰサーバの稼働状況によりその閾値を超えた場合にＤｏＳ攻撃として検出し、一定の比率で新規のＳＩＰメッセージを規制する方法があるが、悪意のないユーザがサービスを受けられなくなる可能性がある。
【００１１】
また、ＳＩＰトランザクション処理の状態により異常パケットを判定し、ＤｏＳ攻撃として検出する方法があるが、ＤｏＳ攻撃の中には、正常なＳＩＰパケットとの違いが見られないケースがあり、この場合に対処できない。
【００１２】
更に、規定秒間のＳＩＰ信号数（ＩＰパケット数）によるＤｏＳ攻撃検出を実施している方法があるが、大規模ユーザを収容している場合等では、一般のユーザに比べて利用可能セッション数が多いため、通常使用の範囲内であっても誤ってＤｏＳ攻撃として検出し、規制機能が動作してしまう場合がある。
【００１３】
すなわち、加入者系ＳＩＰサーバにおけるＳＩＰ信号のＤｏＳ攻撃の検出に際して、上記に述べた従来の技術では、ユーザ分類について、大規模ユーザを識別する仕組み、大規模ユーザの検出閾値の設定の仕組みが備わっていないため、一般ユーザと同じ一律の閾値でＤｏＳ攻撃検出が動作し、一般ユーザに比べ利用可能なＳＩＰセッション数が多い大規模ユーザでは、通常使用の範囲内であっても誤ってＤｏＳ攻撃として検出し、規制機能が動作してしまう課題があった。
【００１４】
本発明は、上記課題を鑑みてなされたものであり、その課題とするところは、大規模ユーザからの発呼を誤ってＤｏＳ攻撃として検出しないことにある。
【課題を解決するための手段】
【００１５】
請求項１記載のＤｏＳ攻撃検出方法は、ＳＩＰサーバに送信されたＳＩＰ信号がＤｏＳ攻撃であるかを判定し検出するＤｏＳ攻撃検出装置で行うＤｏＳ攻撃検出方法において、大規模ユーザ用のＤｏＳ攻撃検出閾値を小規模ユーザ用と区別して記憶手段に設定する設定ステップと、前記ＤｏＳ攻撃検出閾値を用いて前記検出を行う前に、前記ＳＩＰ信号の送信元が大規模ユーザであるかを、送信元毎に設定された最大ＳＩＰセッション数に基づいて判定する検出ステップと、を有することを特徴とする。
【００１６】
請求項２記載のＤｏＳ攻撃検出方法は、請求項１記載のＤｏＳ攻撃検出方法において、前記検出ステップは、前記ＳＩＰ信号の送信元に対して設定された最大ＳＩＰセッション数が、所定の基準ＳＩＰセッション数を越える場合に、前記ＳＩＰ信号の送信元が大規模ユーザであると判定するステップと、大規模ユーザであると判定された場合に、前記ＳＩＰ信号の受信数と、前記大規模ユーザ用のＤｏＳ攻撃検出閾値とを比較し、当該受信数が当該閾値を超えない場合には、前記ＳＩＰ信号はＤｏＳ攻撃でないと判定して、非ＤｏＳ攻撃であると検出するステップと、を有することを特徴とする。
【００１７】
本発明によれば、ＳＩＰサーバに送信されたＳＩＰ信号の送信元に対して設定された最大ＳＩＰセッション数が、所定の基準ＳＩＰセッション数を越える場合に、そのＳＩＰ信号の送信元が大規模ユーザであると判定し、大規模ユーザであると判定された場合に、そのＳＩＰ信号の受信数と、小規模ユーザ用と区別して設定された大規模ユーザ用のＤｏＳ攻撃検出閾値とを比較して、ＳＩＰ信号の受信数がＤｏＳ攻撃検出閾値を超えない場合に、上記ＳＩＰ信号はＤｏＳ攻撃でないと判定して、非ＤｏＳ攻撃であると検出するため、大規模ユーザからの発呼を誤ってＤｏＳ攻撃として検出しないことができる。
【００１８】
請求項３記載のＤｏＳ攻撃検出装置は、ＳＩＰサーバに送信されたＳＩＰ信号がＤｏＳ攻撃であるかを判定し検出するＤｏＳ攻撃検出装置において、大規模ユーザ用のＤｏＳ攻撃検出閾値を小規模ユーザ用と区別して記憶手段に設定する設定手段と、前記ＤｏＳ攻撃検出閾値を用いて前記検出を行う前に、前記ＳＩＰ信号の送信元が大規模ユーザであるかを、送信元毎に設定された最大ＳＩＰセッション数に基づいて判定する検出手段と、を有し、前記検出手段は、前記ＳＩＰ信号の送信元に対して設定された最大ＳＩＰセッション数が、所定の基準ＳＩＰセッション数を越える場合に、前記ＳＩＰ信号の送信元が大規模ユーザであると判定する手段と、大規模ユーザであると判定された場合に、前記ＳＩＰ信号の受信数と、前記大規模ユーザ用のＤｏＳ攻撃検出閾値とを比較し、当該受信数が当該閾値を超えない場合には、前記ＳＩＰ信号はＤｏＳ攻撃でないと判定して、非ＤｏＳ攻撃であると検出する手段と、を有することを特徴とする。
【００１９】
本発明によれば、ＳＩＰサーバに送信されたＳＩＰ信号の送信元に対して設定された最大ＳＩＰセッション数が、所定の基準ＳＩＰセッション数を越える場合に、そのＳＩＰ信号の送信元が大規模ユーザであると判定し、大規模ユーザであると判定された場合に、そのＳＩＰ信号の受信数と、小規模ユーザ用と区別して設定された大規模ユーザ用のＤｏＳ攻撃検出閾値とを比較して、ＳＩＰ信号の受信数がＤｏＳ攻撃検出閾値を超えない場合に、上記ＳＩＰ信号はＤｏＳ攻撃でないと判定して、非ＤｏＳ攻撃であると検出するため、大規模ユーザからの発呼を誤ってＤｏＳ攻撃として検出しないことができる。
【発明の効果】
【００２０】
本発明によれば、大規模ユーザからの発呼を誤ってＤｏＳ攻撃として検出しないことができる。
【図面の簡単な説明】
【００２１】
【図１】本発明を適用するシステムの全体接続構成を示す図である。
【図２】一実施例に係るシステムの接続構成を示す図である。
【図３】ＤｏＳ攻撃検出装置の機能ブロック構成を示す図である。
【図４】ＤｏＳ攻撃検出装置の動作処理の流れを示すフローチャートである。
【発明を実施するための形態】
【００２２】
本発明は、ユーザ分類毎にＤｏＳ攻撃検出閾値を設けて検出を行うことを特徴としている。特に、大規模ユーザの適用を想定した大規模ユーザ用のＤｏＳ攻撃検出閾値を一般ユーザ（小規模ユーザ用のＤｏＳ攻撃検出閾値）と区別して設定することを可能とし、そのＤｏＳ攻撃検出閾値に基づいてＤｏＳ攻撃検出および規制を行う。但し、大規模ユーザ用のＤｏＳ攻撃検出閾値は、加入者の最大ＳＩＰセッション数を元に決定する。
【００２３】
以下、本発明について図面を用いて説明する。但し、本発明は多くの異なる様態で実施することが可能であり、本実施の形態の記載内容に限定して解釈すべきではない。
【００２４】
図１は、本発明を適用するシステムの全体接続構成を示す図である。本システムは、中継系ＳＩＰサーバ１と、加入者系ＳＩＰサーバ２ａ，２ｂと、アプリケーションサーバ収容ルータ３ａと、加入者収容ルータ３ｂ，３ｃと、アプリケーションサーバ４ａａ〜４ａｃと、一般ユーザ端末装置４ｂａ，４ｂｂ，４ｃａ，４ｃｂと、大規模ユーザ端末装置４ｂｃ，４ｃｃとで主に構成される。
【００２５】
加入者系ＳＩＰサーバ２ａおよび加入者系ＳＩＰサーバ２ｂは、中継ルータ（不図示）を介して相互に接続され、かつ中継系ＳＩＰサーバ１に接続されている。アプリケーションサーバ収容ルータ３ａおよび加入者収容ルータ３ｂは、加入者系ＳＩＰサーバ２ａに接続され、加入者収容ルータ３ｃは、加入者系ＳＩＰサーバ２ｂに接続されている。
【００２６】
また、アプリケーションサーバ４ａａ〜４ａｃはアプリケーションサーバ収容ルータ３ａに接続され、一般ユーザ端末装置４ｂａ，４ｂｂおよび大規模ユーザ端末装置４ｂｃは、加入者収容ルータ３ｂに接続され、一般ユーザ端末装置４ｃａ，４ｃｂおよび大規模ユーザ端末装置４ｃｃは、加入者収容ルータ３ｃに接続されている。以下、それら各サーバ等の機能について説明する。
【００２７】
中継系ＳＩＰサーバ１は、ＳＩＰによる中継系のセッション制御機能や、他の通信ネットワークとの接続制御機能を有するサーバである。
【００２８】
加入者系ＳＩＰサーバ２ａ，２ｂは、本発明が適用される装置であり、ＳＩＰによる加入者系のセッション制御機能や、ＤｏＳ攻撃の検出および規制を実施する機能を有するサーバである。
【００２９】
アプリケーションサーバ収容ルータ３ａは、アプリケーションサーバ４ａａ〜４ａｃを収容するルータである。加入者収容ルータ３ｂは、一般ユーザ端末装置４ｂａ，４ｂｂおよび大規模ユーザ端末装置４ｂｃを収容するルータである。加入者収容ルータ３ｃは、一般ユーザ端末装置４ｃａ，４ｃｂおよび大規模ユーザ端末装置４ｃｃを収容するルータである。
【００３０】
アプリケーションサーバ４ａａ〜４ａｃは、高度なアプリケーションサービス（付加サービス）を提供する機能を有するサーバである。一般ユーザ端末装置４ｂａ，４ｂｂ，４ｃａ，４ｃｂ、大規模ユーザ端末装置４ｂｃ，４ｃｃは、ユーザが操作する端末装置である。
【００３１】
このような全体構成を有するシステムにおいて、本発明では、加入者系ＳＩＰサーバ２ａおよび加入者系ＳＩＰサーバ２ｂに、ユーザ分類毎に区別したＤｏＳ攻撃検出閾値を設けて検出機能を適用する。以下、それを実現する一例について説明する。
【実施例】
【００３２】
最初に、本実施例のシステム概要について説明する。図２は、本実施例に係るシステムの接続構成例を示す図である。同図は、図１の一部分を示しており、本発明に関係する部分のみを概念的に示している。
【００３３】
同図は、本システムが、加入者系ＳＩＰサーバ２ａと、アプリケーションサーバ収容ルータ３ａと、加入者収容ルータ３ｂと、アプリケーションサーバ４ａａと、一般ユーザ端末装置４ｂａと、大規模ユーザ端末装置４ｂｃとを有して構成されることを示している。
【００３４】
加入者系ＳＩＰサーバ２ａは、アプリケーションサーバ収容ルータ３ａおよび加入者収容ルータ３ｂに接続され、アプリケーションサーバ４ａａは、アプリケーションサーバ収容ルータ３ａに接続され、一般ユーザ端末装置４ｂａおよび大規模ユーザ端末装置４ｂｃは、ホームゲートウェイ（不図示）を介して加入者収容ルータ３ｂに接続されている。
【００３５】
加入者系ＳＩＰサーバ２ａは、ＳＩＰによる加入者系のセッション制御機能を有するサーバである。ユーザの分類に応じたＤｏＳ攻撃検出閾値を保持し、各分類のユーザからのＳＩＰパケットＰ１〜Ｐ３を識別して、ＤｏＳ攻撃の検出および規制を行う機能を有している。
【００３６】
アプリケーションサーバ収容ルータ３ａは、アプリケーションサーバ４ａａを収容するルータである。また、加入者収容ルータ３ｂは、一般ユーザ端末装置４ｂａおよび大規模ユーザ端末装置４ｂｃを収容するルータである。
【００３７】
アプリケーションサーバ４ａａは、高度なアプリケーションサービス（付加サービス）を提供する機能を有するサーバである。また、一般ユーザ端末装置４ｂａおよび大規模ユーザ端末装置４ｂｃは、ユーザが操作する端末装置である。
【００３８】
次に、システムの機能について説明する。前述したように、本発明に係るＤｏＳ攻撃検出装置は、加入者系ＳＩＰサーバ２ａで動作し、その加入者系ＳＩＰサーバ２ａに送信されたＳＩＰ信号がＤｏＳ攻撃であるかを判定し検出する装置である。
【００３９】
図３は、図２に示したＤｏＳ攻撃検出装置の機能ブロック構成を示す図である。なお、同図は、本発明に関係する部分のみを概念的に示している。
【００４０】
ＤｏＳ攻撃検出装置２ａは、ＳＩＰメッセージ送受信部２１ａと、規制処理部２２ａと、セッション制御部２３ａと、データ蓄積部２４ａと、データ設定部２５ａとで主に構成される。以下、それら各部の機能について詳述する。
【００４１】
ＳＩＰメッセージ送受信部２１ａは、一般ユーザ端末装置４ｂａや大規模ユーザ端末装置４ｂｃ（以下、単に端末装置という場合もある）、アプリケーションサーバ４ａａから送信されるＳＩＰメッセージ（ＳＩＰ信号）を受信して、後段の規制処理部２２ａに渡す機能を有している。また、セッション制御部２３ａからの情報に基づいて、端末装置やアプリケーションサーバにＳＩＰメッセージを送信する機能を有している。
【００４２】
規制処理部２２ａは、ＳＩＰメッセージ送受信部２１ａから受け取ったＳＩＰメッセージの送信元アドレス（例えば、ＩＰアドレス等）を使用して、規制中の送信元アドレスを管理している規制管理テーブル（不図示）を検索し、検索でヒットすることにより当該の送信元アドレスが規制中である場合には、当該のＳＩＰメッセージを破棄する機能を有している。
【００４３】
一方、検索でヒットしないことにより規制中でない場合には、内部に具備されたＤｏＳ攻撃検出部２２１ａにＳＩＰメッセージ情報を渡し、そのＤｏＳ攻撃検出部２２１ａにより、ＤｏＳ攻撃検出を実行させる機能を有している。
【００４４】
また、規制処理部２２ａは、ＤｏＳ攻撃検出部２２１ａによって、送信されたＳＩＰメッセージがＤｏＳ攻撃として検出された場合に、当該のＳＩＰメッセージを破棄し、ＤｏＳ攻撃として検出されなかったＳＩＰメッセージについては、セッション制御部２３ａに通知する機能を有している。
【００４５】
更に、規制処理部２２ａは、規制対象中の加入者について規制時間を測定し、設定された規制時間を過ぎた場合には、上記規制管理テーブルから当該の送信元アドレスを削除することにより規制を解除し、該当の送信元アドレスのＳＩＰメッセージの破棄を停止する機能を有している。
【００４６】
規制処理部２２ａ内で動作するＤｏＳ攻撃検出部２２１ａは、ＳＩＰメッセージ送受信部２１ａから受け取ったＳＩＰメッセージの送信元アドレスを使用して、単位時間当たりのＳＩＰメッセージの受信回数をカウントし、カウント中の送信元アドレステーブル（不図示）を更新する機能を有している。この送信元アドレステーブルには、ＳＩＰメッセージの送信元アドレスと、単位時間当たりのＳＩＰメッセージの受信回数とが対応付けて保持されている。
【００４７】
また、ＤｏＳ攻撃検出部２２１ａは、当該の送信元アドレスに対応する加入者データ毎最大ＳＩＰセッション数２４１ａをデータ蓄積部２４ａから取得し、大規模ユーザ分類対象ＳＩＰセッション数２４２ａを更に取得して、加入者データ毎最大ＳＩＰセッション数２４１ａが大規模ユーザ分類対象ＳＩＰセッション数２４２ａを越えるか否かに基づいて、ＳＩＰメッセージの送信元が大規模ユーザであるか否かを判定する機能を有している。
【００４８】
更に、ＤｏＳ攻撃検出部２２１ａは、ＳＩＰメッセージの送信元が大規模ユーザであると判定された場合に、大規模ユーザ用として設定されたユーザ分類別ＤｏＳ攻撃検出閾値２４３ａをデータ蓄積部２４ａから取得し、単位時間当たりのＳＩＰメッセージの受信回数が当該ユーザ分類別ＤｏＳ攻撃検出閾値２４３ａを超えているか否かに基づいて、送信されたＳＩＰメッセージがＤｏＳ攻撃であるか否かを判定して、ＤｏＳ攻撃／非ＤｏＳ攻撃であると検出する機能を有している。
【００４９】
また、ＤｏＳ攻撃検出部２２１ａは、ＤｏＳ攻撃と判定された場合に、そのＳＩＰメッセージの送信元アドレスを上記規制管理テーブルに追加し、当該の送信元アドレスからのＳＩＰメッセージを以降破棄するように規制処理部２２ａに通知する機能を有している。
【００５０】
セッション制御部２３ａは、規制されていない加入者からのＳＩＰメッセージを受け取り、セッション制御の処理を実施し、送信する応答メッセージをＳＩＰメッセージ送受信部２１ａに通知する機能を有している。
【００５１】
データ蓄積部２４ａは、送信元毎に区別して設定された加入者データ毎最大ＳＩＰセッション数２４１ａと、大規模ユーザに分類するか否かを識別する大規模ユーザ分類対象ＳＩＰセッション数２４２ａ（基準ＳＩＰセッション数）と、大規模ユーザ用と一般ユーザ用とで区別して設定されたユーザ分類別ＤｏＳ攻撃検出閾値２４３ａとの各データを蓄積する機能を有し、ＤｏＳ攻撃検出部２２１ａから参照される。
【００５２】
データ設定部２５ａは、保守運用装置（不図示）から送信された最大ＳＩＰセッション数，ＳＩＰセッション数，ＤｏＳ攻撃検出閾値の各値を用いて、データ蓄積部２４ａの各データの値を設定および変更する機能を有している。すなわち、加入者データ毎最大ＳＩＰセッション数２４１ａに応じた大規模ユーザ分類対象ＳＩＰセッション数２４２ａの設定や、加入者データ毎最大ＳＩＰセッション数２４１ａに応じたユーザ分類別ＤｏＳ攻撃検出閾値２４３ａを設定等する。
【００５３】
なお、ＳＩＰメッセージ送受信部２１ａと、規制処理部２２ａと、ＤｏＳ攻撃検出部２２１ａと、セッション制御部２３ａと、データ設定部２５ａとは、ＣＰＵ等の制御手段により実現でき、データ蓄積部２４ａは、メモリ等の記憶手段により実現できる。また、それら各部で行う各処理は、コンピュータプログラムにより実現可能に実行される。
【００５４】
次に、上述した機能を有するＤｏＳ攻撃機能装置の動作処理の流れについて説明する。図４は、ＤｏＳ攻撃機能装置の動作処理の流れを示すフローチャートである。なお、同図は、本発明に関係する部分のみを概念的に示している。
【００５５】
まず、ＳＩＰメッセージ送受信部２１ａにより、端末装置及び／又はアプリケーションサーバから送信されたＳＩＰメッセージが受信され（Ｓ１）、そのＳＩＰメッセージの送信元アドレスが規制管理テーブルに含まれているか否かに基づいて、その送信元アドレスからのＳＩＰメッセージが規制中であるか否かが判定される（Ｓ２）。
【００５６】
次に、Ｓ２の判定で規制中と判定された場合には、そのＳＩＰメッセージは破棄され（Ｓ８）、規制中でないと判定された場合には、ＤｏＳ攻撃検出部２２１ａにより、送信元アドレス毎に単位時間当たりのメッセージ受信数がカウントアップされて、送信元アドレステーブルが更新される（Ｓ３）。
【００５７】
引き続き、ＤｏＳ攻撃検出部２２１ａにより、受信したＳＩＰメッセージの送信元アドレスに対応する加入者データ毎最大ＳＩＰセッション数２４１ａがデータ蓄積部２４ａから取得され、大規模ユーザ分類対象ＳＩＰセッション数２４２ａを用いて、そのＳＩＰメッセージの送信元が大規模ユーザであるか否かが判定される（Ｓ４）。
【００５８】
すなわち、当該の送信元アドレスに対応する加入者データ毎最大ＳＩＰセッション数２４１ａが、大規模ユーザ分類対象ＳＩＰセッション数２４２ａを超える場合には、大規模ユーザであると判定され、一方、超えない場合には、大規模ユーザ以外（一般ユーザ）であると判定される。
【００５９】
その後、Ｓ４で大規模ユーザと判定された場合には、大規模ユーザ用のユーザ分類別ＤｏＳ攻撃検出閾値２４３ａが取得され（Ｓ５）、Ｓ３でカウントした単位時間当たりのメッセージ受信数が大規模ユーザ用の当該閾値を超えているか否かに基づいて、送信されたＳＩＰメッセージがＤｏＳ攻撃であるか否かが判定され、ＤｏＳ攻撃／非ＤｏＳ攻撃が検出される（Ｓ７）。
【００６０】
すなわち、単位時間当たりのメッセージ受信数が大規模ユーザ用のユーザ分類別ＤｏＳ攻撃検出閾値２４３ａを超えている場合には、ＤｏＳ攻撃であると判定され、ＤｏＳ攻撃として検出され、一方、超えない場合には、ＤｏＳ攻撃でないと判定され、非ＤｏＳ攻撃として検出される。
【００６１】
一方、Ｓ４で大規模ユーザ以外であると判定された場合には、インタフェースによる閾値が取得され（Ｓ６）、Ｓ３でカウントした単位時間当たりのメッセージ受信数がインタフェースによる当該閾値を超えているか否かに基づいて、送信されたＳＩＰメッセージがＤｏＳ攻撃であるか否かが判定され、ＤｏＳ攻撃／非ＤｏＳ攻撃が検出される（Ｓ７）。
【００６２】
Ｓ７でＤｏＳ攻撃として検出された場合には、規制処理部２２ａにより、規制管理テーブルに当該送信元のＩＰアドレスが登録され、ＳＩＰメッセージを破棄する規制中に移行する（Ｓ８）。
【００６３】
一方、非ＤｏＳ攻撃として検出された場合には、セッション制御部２３ａにより、セッション処理が実行され（Ｓ９）、応答すべきＳＩＰメッセージの送信が行われる（Ｓ１０）。
【００６４】
本実施例によれば、加入者系ＳＩＰサーバ２ａに送信されたＳＩＰ信号の送信元に対して設定された加入者データ毎最大ＳＩＰセッション数２４１ａが、大規模ユーザ分類対象ＳＩＰセッション数２４２ａを越える場合に、そのＳＩＰ信号の送信元が大規模ユーザであると判定し、大規模ユーザであると判定された場合に、そのＳＩＰ信号の受信数と、小規模ユーザ用と区別して設定された大規模ユーザ用のユーザ分類別ＤｏＳ攻撃検出閾値２４３ａとを比較して、ＳＩＰ信号の受信数が当該ユーザ分類別ＤｏＳ攻撃検出閾値２４３ａを超えない場合に、上記ＳＩＰ信号はＤｏＳ攻撃でないと判定して、非ＤｏＳ攻撃であると検出するので、大規模ユーザからの発呼を誤ってＤｏＳ攻撃として検出しないことができる。
【００６５】
これにより、大規模ユーザにとっては、誤ってＤｏＳ攻撃として検出され、加入者系ＳＩＰサーバの提供サービスを受けられなくなることが防止されることから、加入者系ＳＩＰサーバでのサービス性や信頼性が向上する。
【００６６】
また、通信事業者にとっては、ユーザの規模に対応した細かなＤｏＳ攻撃対策を実施でき、システム運用性が向上する。
【符号の説明】
【００６７】
１…中継系サーバ
２ａ，２ｂ…加入者系ＳＩＰサーバ（ＤｏＳ攻撃検出装置）
３ａ…アプリケーションサーバ収容ルータ
３ｂ，３ｃ…加入者収容ルータ
４ａａ〜４ａｃ…アプリケーションサーバ
４ｂａ，４ｂｂ，４ｃａ，４ｃｂ…一般ユーザ端末装置
４ｂｃ，４ｃｃ…大規模ユーザ端末装置
２１ａ…ＳＩＰメッセージ送受信部
２２ａ…規制処理部
２２１ａ…ＤｏＳ攻撃検出部
２３ａ…セッション制御部
２４ａ…データ蓄積部
２４１ａ…加入者データ毎最大ＳＩＰセッション数
２４２ａ…大規模ユーザ分類対象ＳＩＰセッション数
２４３ａ…ユーザ分類別ＤｏＳ攻撃検出閾値
２５ａ…データ設定部
Ｓ１〜Ｓ１０…処理ステップ
【技術分野】
【０００１】
本発明は、ＳＩＰサーバに送信されたＳＩＰ信号がＤｏＳ攻撃であるかを検出する技術に関する。
【背景技術】
【０００２】
従来より、インターネット上のウェブサーバ等が提供するサービスを妨害する方法として、ＤｏＳ攻撃（Denial of Service attack）がある。近年では、ＳＩＰ（Session Initiation Protocol）を用いたＩＰ（Internet Protocol）電話サービスの普及に伴い、ＳＩＰサーバへのＤｏＳ攻撃の発生が懸念され、このＤｏＳ攻撃の検出および防御機能が必要となっている。
【０００３】
従来のＤｏＳ攻撃の検出機能としては、ＳＩＰサーバの稼働状況を収集し、その稼働状況が閾値を超えた場合にＤｏＳ攻撃が発生したことを検出し、一定の比率で新規のＳＩＰメッセージを受付け、その他の新規のＳＩＰメッセージを破棄するものがある。この時、セッション継続のための再送ＳＩＰメッセージや、受付済みＳＩＰメッセージの後続信号は受付ける。
【０００４】
これにより、ＳＩＰメッセージを大量に送りつけることによってＳＩＰサーバのシステムダウンを誘発させるＤｏＳ攻撃に対しても、システムダウンを発生させることなく、ＳＩＰによるサービスを提供できる（特許文献１参照）。
【０００５】
しかしながら、ＤｏＳ攻撃として検出された場合に一定比率で新規のＳＩＰメッセージを破棄すると、悪意のないユーザがサービスを受けられなくなる可能性がある。そのため、原因となるＳＩＰメッセージの送信元アドレスを元に破棄することが必要である。この場合でも、従来、ＤｏＳ攻撃の検出閾値はシステム内で１つであり、ユーザ毎に閾値を保持していない。そのため、ＩＰ電話サービスの加入者の接続形態によって、一般ユーザと大規模ユーザでは利用可能なセッション数（最大ＳＩＰセッション数）が異なり、この違いにより同一の閾値ではＤｏＳ攻撃の誤検出になる可能性がある。
【０００６】
また、他のＤｏＳ攻撃の検出機能としては、ＳＩＰトランザクションで処理されるＳＩＰパケットを監視し、ＳＩＰトランザクション処理の状態と監視されるＳＩＰパケットから異常パケットを検出し、ＤｏＳ攻撃として検出するものがある。ＳＩＰトランザクション処理の状態は、ＳＩＰパケットのヘッダから取得し、当該の処理状態では意図しないＳＩＰパケットを受信した場合に、ＳＩＰパケットを異常パケットとして検出する。また、同一のトランザクション処理の状態でＳＩＰパケットの再送回数が所定の閾値を超えた場合に、ＳＩＰパケットを異常パケットとして検出する。検出した異常パケットの数が予め設定した閾値を超えた場合に、ＤｏＳ攻撃として検出する。
【０００７】
これにより、何らかの原因で突発的に発生した異常パケットを直ちにＤｏＳ攻撃と判断しない等、より正確にＤｏＳ攻撃を検出できる（特許文献２参照）。
【０００８】
しかしながら、ＤｏＳ攻撃の中には、正常なＳＩＰパケットとの違いが見られないケースがあり、この場合に対処することができない。このため、ＳＩＰパケットの通信量により判定する必要がある。この場合、従来、ＤｏＳ攻撃の検出閾値はシステム内で１つであり、ユーザ毎に閾値を保持していない。そのため、ＩＰ電話サービスの加入者の接続形態によって、一般ユーザと大規模ユーザでは利用可能なセッション数（最大ＳＩＰセッション数）が異なり、この違いにより同一の閾値ではＤｏＳ攻撃の誤検出になる可能性がある。
【先行技術文献】
【特許文献】
【０００９】
【特許文献１】特開２００４−３４３５８０号公報
【特許文献２】特開２００７−２６７１５１号公報
【発明の概要】
【発明が解決しようとする課題】
【００１０】
以上説明したように、従来のＳＩＰ信号によるＤｏＳ攻撃対策では、ＳＩＰサーバの稼働状況によりその閾値を超えた場合にＤｏＳ攻撃として検出し、一定の比率で新規のＳＩＰメッセージを規制する方法があるが、悪意のないユーザがサービスを受けられなくなる可能性がある。
【００１１】
また、ＳＩＰトランザクション処理の状態により異常パケットを判定し、ＤｏＳ攻撃として検出する方法があるが、ＤｏＳ攻撃の中には、正常なＳＩＰパケットとの違いが見られないケースがあり、この場合に対処できない。
【００１２】
更に、規定秒間のＳＩＰ信号数（ＩＰパケット数）によるＤｏＳ攻撃検出を実施している方法があるが、大規模ユーザを収容している場合等では、一般のユーザに比べて利用可能セッション数が多いため、通常使用の範囲内であっても誤ってＤｏＳ攻撃として検出し、規制機能が動作してしまう場合がある。
【００１３】
すなわち、加入者系ＳＩＰサーバにおけるＳＩＰ信号のＤｏＳ攻撃の検出に際して、上記に述べた従来の技術では、ユーザ分類について、大規模ユーザを識別する仕組み、大規模ユーザの検出閾値の設定の仕組みが備わっていないため、一般ユーザと同じ一律の閾値でＤｏＳ攻撃検出が動作し、一般ユーザに比べ利用可能なＳＩＰセッション数が多い大規模ユーザでは、通常使用の範囲内であっても誤ってＤｏＳ攻撃として検出し、規制機能が動作してしまう課題があった。
【００１４】
本発明は、上記課題を鑑みてなされたものであり、その課題とするところは、大規模ユーザからの発呼を誤ってＤｏＳ攻撃として検出しないことにある。
【課題を解決するための手段】
【００１５】
請求項１記載のＤｏＳ攻撃検出方法は、ＳＩＰサーバに送信されたＳＩＰ信号がＤｏＳ攻撃であるかを判定し検出するＤｏＳ攻撃検出装置で行うＤｏＳ攻撃検出方法において、大規模ユーザ用のＤｏＳ攻撃検出閾値を小規模ユーザ用と区別して記憶手段に設定する設定ステップと、前記ＤｏＳ攻撃検出閾値を用いて前記検出を行う前に、前記ＳＩＰ信号の送信元が大規模ユーザであるかを、送信元毎に設定された最大ＳＩＰセッション数に基づいて判定する検出ステップと、を有することを特徴とする。
【００１６】
請求項２記載のＤｏＳ攻撃検出方法は、請求項１記載のＤｏＳ攻撃検出方法において、前記検出ステップは、前記ＳＩＰ信号の送信元に対して設定された最大ＳＩＰセッション数が、所定の基準ＳＩＰセッション数を越える場合に、前記ＳＩＰ信号の送信元が大規模ユーザであると判定するステップと、大規模ユーザであると判定された場合に、前記ＳＩＰ信号の受信数と、前記大規模ユーザ用のＤｏＳ攻撃検出閾値とを比較し、当該受信数が当該閾値を超えない場合には、前記ＳＩＰ信号はＤｏＳ攻撃でないと判定して、非ＤｏＳ攻撃であると検出するステップと、を有することを特徴とする。
【００１７】
本発明によれば、ＳＩＰサーバに送信されたＳＩＰ信号の送信元に対して設定された最大ＳＩＰセッション数が、所定の基準ＳＩＰセッション数を越える場合に、そのＳＩＰ信号の送信元が大規模ユーザであると判定し、大規模ユーザであると判定された場合に、そのＳＩＰ信号の受信数と、小規模ユーザ用と区別して設定された大規模ユーザ用のＤｏＳ攻撃検出閾値とを比較して、ＳＩＰ信号の受信数がＤｏＳ攻撃検出閾値を超えない場合に、上記ＳＩＰ信号はＤｏＳ攻撃でないと判定して、非ＤｏＳ攻撃であると検出するため、大規模ユーザからの発呼を誤ってＤｏＳ攻撃として検出しないことができる。
【００１８】
請求項３記載のＤｏＳ攻撃検出装置は、ＳＩＰサーバに送信されたＳＩＰ信号がＤｏＳ攻撃であるかを判定し検出するＤｏＳ攻撃検出装置において、大規模ユーザ用のＤｏＳ攻撃検出閾値を小規模ユーザ用と区別して記憶手段に設定する設定手段と、前記ＤｏＳ攻撃検出閾値を用いて前記検出を行う前に、前記ＳＩＰ信号の送信元が大規模ユーザであるかを、送信元毎に設定された最大ＳＩＰセッション数に基づいて判定する検出手段と、を有し、前記検出手段は、前記ＳＩＰ信号の送信元に対して設定された最大ＳＩＰセッション数が、所定の基準ＳＩＰセッション数を越える場合に、前記ＳＩＰ信号の送信元が大規模ユーザであると判定する手段と、大規模ユーザであると判定された場合に、前記ＳＩＰ信号の受信数と、前記大規模ユーザ用のＤｏＳ攻撃検出閾値とを比較し、当該受信数が当該閾値を超えない場合には、前記ＳＩＰ信号はＤｏＳ攻撃でないと判定して、非ＤｏＳ攻撃であると検出する手段と、を有することを特徴とする。
【００１９】
本発明によれば、ＳＩＰサーバに送信されたＳＩＰ信号の送信元に対して設定された最大ＳＩＰセッション数が、所定の基準ＳＩＰセッション数を越える場合に、そのＳＩＰ信号の送信元が大規模ユーザであると判定し、大規模ユーザであると判定された場合に、そのＳＩＰ信号の受信数と、小規模ユーザ用と区別して設定された大規模ユーザ用のＤｏＳ攻撃検出閾値とを比較して、ＳＩＰ信号の受信数がＤｏＳ攻撃検出閾値を超えない場合に、上記ＳＩＰ信号はＤｏＳ攻撃でないと判定して、非ＤｏＳ攻撃であると検出するため、大規模ユーザからの発呼を誤ってＤｏＳ攻撃として検出しないことができる。
【発明の効果】
【００２０】
本発明によれば、大規模ユーザからの発呼を誤ってＤｏＳ攻撃として検出しないことができる。
【図面の簡単な説明】
【００２１】
【図１】本発明を適用するシステムの全体接続構成を示す図である。
【図２】一実施例に係るシステムの接続構成を示す図である。
【図３】ＤｏＳ攻撃検出装置の機能ブロック構成を示す図である。
【図４】ＤｏＳ攻撃検出装置の動作処理の流れを示すフローチャートである。
【発明を実施するための形態】
【００２２】
本発明は、ユーザ分類毎にＤｏＳ攻撃検出閾値を設けて検出を行うことを特徴としている。特に、大規模ユーザの適用を想定した大規模ユーザ用のＤｏＳ攻撃検出閾値を一般ユーザ（小規模ユーザ用のＤｏＳ攻撃検出閾値）と区別して設定することを可能とし、そのＤｏＳ攻撃検出閾値に基づいてＤｏＳ攻撃検出および規制を行う。但し、大規模ユーザ用のＤｏＳ攻撃検出閾値は、加入者の最大ＳＩＰセッション数を元に決定する。
【００２３】
以下、本発明について図面を用いて説明する。但し、本発明は多くの異なる様態で実施することが可能であり、本実施の形態の記載内容に限定して解釈すべきではない。
【００２４】
図１は、本発明を適用するシステムの全体接続構成を示す図である。本システムは、中継系ＳＩＰサーバ１と、加入者系ＳＩＰサーバ２ａ，２ｂと、アプリケーションサーバ収容ルータ３ａと、加入者収容ルータ３ｂ，３ｃと、アプリケーションサーバ４ａａ〜４ａｃと、一般ユーザ端末装置４ｂａ，４ｂｂ，４ｃａ，４ｃｂと、大規模ユーザ端末装置４ｂｃ，４ｃｃとで主に構成される。
【００２５】
加入者系ＳＩＰサーバ２ａおよび加入者系ＳＩＰサーバ２ｂは、中継ルータ（不図示）を介して相互に接続され、かつ中継系ＳＩＰサーバ１に接続されている。アプリケーションサーバ収容ルータ３ａおよび加入者収容ルータ３ｂは、加入者系ＳＩＰサーバ２ａに接続され、加入者収容ルータ３ｃは、加入者系ＳＩＰサーバ２ｂに接続されている。
【００２６】
また、アプリケーションサーバ４ａａ〜４ａｃはアプリケーションサーバ収容ルータ３ａに接続され、一般ユーザ端末装置４ｂａ，４ｂｂおよび大規模ユーザ端末装置４ｂｃは、加入者収容ルータ３ｂに接続され、一般ユーザ端末装置４ｃａ，４ｃｂおよび大規模ユーザ端末装置４ｃｃは、加入者収容ルータ３ｃに接続されている。以下、それら各サーバ等の機能について説明する。
【００２７】
中継系ＳＩＰサーバ１は、ＳＩＰによる中継系のセッション制御機能や、他の通信ネットワークとの接続制御機能を有するサーバである。
【００２８】
加入者系ＳＩＰサーバ２ａ，２ｂは、本発明が適用される装置であり、ＳＩＰによる加入者系のセッション制御機能や、ＤｏＳ攻撃の検出および規制を実施する機能を有するサーバである。
【００２９】
アプリケーションサーバ収容ルータ３ａは、アプリケーションサーバ４ａａ〜４ａｃを収容するルータである。加入者収容ルータ３ｂは、一般ユーザ端末装置４ｂａ，４ｂｂおよび大規模ユーザ端末装置４ｂｃを収容するルータである。加入者収容ルータ３ｃは、一般ユーザ端末装置４ｃａ，４ｃｂおよび大規模ユーザ端末装置４ｃｃを収容するルータである。
【００３０】
アプリケーションサーバ４ａａ〜４ａｃは、高度なアプリケーションサービス（付加サービス）を提供する機能を有するサーバである。一般ユーザ端末装置４ｂａ，４ｂｂ，４ｃａ，４ｃｂ、大規模ユーザ端末装置４ｂｃ，４ｃｃは、ユーザが操作する端末装置である。
【００３１】
このような全体構成を有するシステムにおいて、本発明では、加入者系ＳＩＰサーバ２ａおよび加入者系ＳＩＰサーバ２ｂに、ユーザ分類毎に区別したＤｏＳ攻撃検出閾値を設けて検出機能を適用する。以下、それを実現する一例について説明する。
【実施例】
【００３２】
最初に、本実施例のシステム概要について説明する。図２は、本実施例に係るシステムの接続構成例を示す図である。同図は、図１の一部分を示しており、本発明に関係する部分のみを概念的に示している。
【００３３】
同図は、本システムが、加入者系ＳＩＰサーバ２ａと、アプリケーションサーバ収容ルータ３ａと、加入者収容ルータ３ｂと、アプリケーションサーバ４ａａと、一般ユーザ端末装置４ｂａと、大規模ユーザ端末装置４ｂｃとを有して構成されることを示している。
【００３４】
加入者系ＳＩＰサーバ２ａは、アプリケーションサーバ収容ルータ３ａおよび加入者収容ルータ３ｂに接続され、アプリケーションサーバ４ａａは、アプリケーションサーバ収容ルータ３ａに接続され、一般ユーザ端末装置４ｂａおよび大規模ユーザ端末装置４ｂｃは、ホームゲートウェイ（不図示）を介して加入者収容ルータ３ｂに接続されている。
【００３５】
加入者系ＳＩＰサーバ２ａは、ＳＩＰによる加入者系のセッション制御機能を有するサーバである。ユーザの分類に応じたＤｏＳ攻撃検出閾値を保持し、各分類のユーザからのＳＩＰパケットＰ１〜Ｐ３を識別して、ＤｏＳ攻撃の検出および規制を行う機能を有している。
【００３６】
アプリケーションサーバ収容ルータ３ａは、アプリケーションサーバ４ａａを収容するルータである。また、加入者収容ルータ３ｂは、一般ユーザ端末装置４ｂａおよび大規模ユーザ端末装置４ｂｃを収容するルータである。
【００３７】
アプリケーションサーバ４ａａは、高度なアプリケーションサービス（付加サービス）を提供する機能を有するサーバである。また、一般ユーザ端末装置４ｂａおよび大規模ユーザ端末装置４ｂｃは、ユーザが操作する端末装置である。
【００３８】
次に、システムの機能について説明する。前述したように、本発明に係るＤｏＳ攻撃検出装置は、加入者系ＳＩＰサーバ２ａで動作し、その加入者系ＳＩＰサーバ２ａに送信されたＳＩＰ信号がＤｏＳ攻撃であるかを判定し検出する装置である。
【００３９】
図３は、図２に示したＤｏＳ攻撃検出装置の機能ブロック構成を示す図である。なお、同図は、本発明に関係する部分のみを概念的に示している。
【００４０】
ＤｏＳ攻撃検出装置２ａは、ＳＩＰメッセージ送受信部２１ａと、規制処理部２２ａと、セッション制御部２３ａと、データ蓄積部２４ａと、データ設定部２５ａとで主に構成される。以下、それら各部の機能について詳述する。
【００４１】
ＳＩＰメッセージ送受信部２１ａは、一般ユーザ端末装置４ｂａや大規模ユーザ端末装置４ｂｃ（以下、単に端末装置という場合もある）、アプリケーションサーバ４ａａから送信されるＳＩＰメッセージ（ＳＩＰ信号）を受信して、後段の規制処理部２２ａに渡す機能を有している。また、セッション制御部２３ａからの情報に基づいて、端末装置やアプリケーションサーバにＳＩＰメッセージを送信する機能を有している。
【００４２】
規制処理部２２ａは、ＳＩＰメッセージ送受信部２１ａから受け取ったＳＩＰメッセージの送信元アドレス（例えば、ＩＰアドレス等）を使用して、規制中の送信元アドレスを管理している規制管理テーブル（不図示）を検索し、検索でヒットすることにより当該の送信元アドレスが規制中である場合には、当該のＳＩＰメッセージを破棄する機能を有している。
【００４３】
一方、検索でヒットしないことにより規制中でない場合には、内部に具備されたＤｏＳ攻撃検出部２２１ａにＳＩＰメッセージ情報を渡し、そのＤｏＳ攻撃検出部２２１ａにより、ＤｏＳ攻撃検出を実行させる機能を有している。
【００４４】
また、規制処理部２２ａは、ＤｏＳ攻撃検出部２２１ａによって、送信されたＳＩＰメッセージがＤｏＳ攻撃として検出された場合に、当該のＳＩＰメッセージを破棄し、ＤｏＳ攻撃として検出されなかったＳＩＰメッセージについては、セッション制御部２３ａに通知する機能を有している。
【００４５】
更に、規制処理部２２ａは、規制対象中の加入者について規制時間を測定し、設定された規制時間を過ぎた場合には、上記規制管理テーブルから当該の送信元アドレスを削除することにより規制を解除し、該当の送信元アドレスのＳＩＰメッセージの破棄を停止する機能を有している。
【００４６】
規制処理部２２ａ内で動作するＤｏＳ攻撃検出部２２１ａは、ＳＩＰメッセージ送受信部２１ａから受け取ったＳＩＰメッセージの送信元アドレスを使用して、単位時間当たりのＳＩＰメッセージの受信回数をカウントし、カウント中の送信元アドレステーブル（不図示）を更新する機能を有している。この送信元アドレステーブルには、ＳＩＰメッセージの送信元アドレスと、単位時間当たりのＳＩＰメッセージの受信回数とが対応付けて保持されている。
【００４７】
また、ＤｏＳ攻撃検出部２２１ａは、当該の送信元アドレスに対応する加入者データ毎最大ＳＩＰセッション数２４１ａをデータ蓄積部２４ａから取得し、大規模ユーザ分類対象ＳＩＰセッション数２４２ａを更に取得して、加入者データ毎最大ＳＩＰセッション数２４１ａが大規模ユーザ分類対象ＳＩＰセッション数２４２ａを越えるか否かに基づいて、ＳＩＰメッセージの送信元が大規模ユーザであるか否かを判定する機能を有している。
【００４８】
更に、ＤｏＳ攻撃検出部２２１ａは、ＳＩＰメッセージの送信元が大規模ユーザであると判定された場合に、大規模ユーザ用として設定されたユーザ分類別ＤｏＳ攻撃検出閾値２４３ａをデータ蓄積部２４ａから取得し、単位時間当たりのＳＩＰメッセージの受信回数が当該ユーザ分類別ＤｏＳ攻撃検出閾値２４３ａを超えているか否かに基づいて、送信されたＳＩＰメッセージがＤｏＳ攻撃であるか否かを判定して、ＤｏＳ攻撃／非ＤｏＳ攻撃であると検出する機能を有している。
【００４９】
また、ＤｏＳ攻撃検出部２２１ａは、ＤｏＳ攻撃と判定された場合に、そのＳＩＰメッセージの送信元アドレスを上記規制管理テーブルに追加し、当該の送信元アドレスからのＳＩＰメッセージを以降破棄するように規制処理部２２ａに通知する機能を有している。
【００５０】
セッション制御部２３ａは、規制されていない加入者からのＳＩＰメッセージを受け取り、セッション制御の処理を実施し、送信する応答メッセージをＳＩＰメッセージ送受信部２１ａに通知する機能を有している。
【００５１】
データ蓄積部２４ａは、送信元毎に区別して設定された加入者データ毎最大ＳＩＰセッション数２４１ａと、大規模ユーザに分類するか否かを識別する大規模ユーザ分類対象ＳＩＰセッション数２４２ａ（基準ＳＩＰセッション数）と、大規模ユーザ用と一般ユーザ用とで区別して設定されたユーザ分類別ＤｏＳ攻撃検出閾値２４３ａとの各データを蓄積する機能を有し、ＤｏＳ攻撃検出部２２１ａから参照される。
【００５２】
データ設定部２５ａは、保守運用装置（不図示）から送信された最大ＳＩＰセッション数，ＳＩＰセッション数，ＤｏＳ攻撃検出閾値の各値を用いて、データ蓄積部２４ａの各データの値を設定および変更する機能を有している。すなわち、加入者データ毎最大ＳＩＰセッション数２４１ａに応じた大規模ユーザ分類対象ＳＩＰセッション数２４２ａの設定や、加入者データ毎最大ＳＩＰセッション数２４１ａに応じたユーザ分類別ＤｏＳ攻撃検出閾値２４３ａを設定等する。
【００５３】
なお、ＳＩＰメッセージ送受信部２１ａと、規制処理部２２ａと、ＤｏＳ攻撃検出部２２１ａと、セッション制御部２３ａと、データ設定部２５ａとは、ＣＰＵ等の制御手段により実現でき、データ蓄積部２４ａは、メモリ等の記憶手段により実現できる。また、それら各部で行う各処理は、コンピュータプログラムにより実現可能に実行される。
【００５４】
次に、上述した機能を有するＤｏＳ攻撃機能装置の動作処理の流れについて説明する。図４は、ＤｏＳ攻撃機能装置の動作処理の流れを示すフローチャートである。なお、同図は、本発明に関係する部分のみを概念的に示している。
【００５５】
まず、ＳＩＰメッセージ送受信部２１ａにより、端末装置及び／又はアプリケーションサーバから送信されたＳＩＰメッセージが受信され（Ｓ１）、そのＳＩＰメッセージの送信元アドレスが規制管理テーブルに含まれているか否かに基づいて、その送信元アドレスからのＳＩＰメッセージが規制中であるか否かが判定される（Ｓ２）。
【００５６】
次に、Ｓ２の判定で規制中と判定された場合には、そのＳＩＰメッセージは破棄され（Ｓ８）、規制中でないと判定された場合には、ＤｏＳ攻撃検出部２２１ａにより、送信元アドレス毎に単位時間当たりのメッセージ受信数がカウントアップされて、送信元アドレステーブルが更新される（Ｓ３）。
【００５７】
引き続き、ＤｏＳ攻撃検出部２２１ａにより、受信したＳＩＰメッセージの送信元アドレスに対応する加入者データ毎最大ＳＩＰセッション数２４１ａがデータ蓄積部２４ａから取得され、大規模ユーザ分類対象ＳＩＰセッション数２４２ａを用いて、そのＳＩＰメッセージの送信元が大規模ユーザであるか否かが判定される（Ｓ４）。
【００５８】
すなわち、当該の送信元アドレスに対応する加入者データ毎最大ＳＩＰセッション数２４１ａが、大規模ユーザ分類対象ＳＩＰセッション数２４２ａを超える場合には、大規模ユーザであると判定され、一方、超えない場合には、大規模ユーザ以外（一般ユーザ）であると判定される。
【００５９】
その後、Ｓ４で大規模ユーザと判定された場合には、大規模ユーザ用のユーザ分類別ＤｏＳ攻撃検出閾値２４３ａが取得され（Ｓ５）、Ｓ３でカウントした単位時間当たりのメッセージ受信数が大規模ユーザ用の当該閾値を超えているか否かに基づいて、送信されたＳＩＰメッセージがＤｏＳ攻撃であるか否かが判定され、ＤｏＳ攻撃／非ＤｏＳ攻撃が検出される（Ｓ７）。
【００６０】
すなわち、単位時間当たりのメッセージ受信数が大規模ユーザ用のユーザ分類別ＤｏＳ攻撃検出閾値２４３ａを超えている場合には、ＤｏＳ攻撃であると判定され、ＤｏＳ攻撃として検出され、一方、超えない場合には、ＤｏＳ攻撃でないと判定され、非ＤｏＳ攻撃として検出される。
【００６１】
一方、Ｓ４で大規模ユーザ以外であると判定された場合には、インタフェースによる閾値が取得され（Ｓ６）、Ｓ３でカウントした単位時間当たりのメッセージ受信数がインタフェースによる当該閾値を超えているか否かに基づいて、送信されたＳＩＰメッセージがＤｏＳ攻撃であるか否かが判定され、ＤｏＳ攻撃／非ＤｏＳ攻撃が検出される（Ｓ７）。
【００６２】
Ｓ７でＤｏＳ攻撃として検出された場合には、規制処理部２２ａにより、規制管理テーブルに当該送信元のＩＰアドレスが登録され、ＳＩＰメッセージを破棄する規制中に移行する（Ｓ８）。
【００６３】
一方、非ＤｏＳ攻撃として検出された場合には、セッション制御部２３ａにより、セッション処理が実行され（Ｓ９）、応答すべきＳＩＰメッセージの送信が行われる（Ｓ１０）。
【００６４】
本実施例によれば、加入者系ＳＩＰサーバ２ａに送信されたＳＩＰ信号の送信元に対して設定された加入者データ毎最大ＳＩＰセッション数２４１ａが、大規模ユーザ分類対象ＳＩＰセッション数２４２ａを越える場合に、そのＳＩＰ信号の送信元が大規模ユーザであると判定し、大規模ユーザであると判定された場合に、そのＳＩＰ信号の受信数と、小規模ユーザ用と区別して設定された大規模ユーザ用のユーザ分類別ＤｏＳ攻撃検出閾値２４３ａとを比較して、ＳＩＰ信号の受信数が当該ユーザ分類別ＤｏＳ攻撃検出閾値２４３ａを超えない場合に、上記ＳＩＰ信号はＤｏＳ攻撃でないと判定して、非ＤｏＳ攻撃であると検出するので、大規模ユーザからの発呼を誤ってＤｏＳ攻撃として検出しないことができる。
【００６５】
これにより、大規模ユーザにとっては、誤ってＤｏＳ攻撃として検出され、加入者系ＳＩＰサーバの提供サービスを受けられなくなることが防止されることから、加入者系ＳＩＰサーバでのサービス性や信頼性が向上する。
【００６６】
また、通信事業者にとっては、ユーザの規模に対応した細かなＤｏＳ攻撃対策を実施でき、システム運用性が向上する。
【符号の説明】
【００６７】
１…中継系サーバ
２ａ，２ｂ…加入者系ＳＩＰサーバ（ＤｏＳ攻撃検出装置）
３ａ…アプリケーションサーバ収容ルータ
３ｂ，３ｃ…加入者収容ルータ
４ａａ〜４ａｃ…アプリケーションサーバ
４ｂａ，４ｂｂ，４ｃａ，４ｃｂ…一般ユーザ端末装置
４ｂｃ，４ｃｃ…大規模ユーザ端末装置
２１ａ…ＳＩＰメッセージ送受信部
２２ａ…規制処理部
２２１ａ…ＤｏＳ攻撃検出部
２３ａ…セッション制御部
２４ａ…データ蓄積部
２４１ａ…加入者データ毎最大ＳＩＰセッション数
２４２ａ…大規模ユーザ分類対象ＳＩＰセッション数
２４３ａ…ユーザ分類別ＤｏＳ攻撃検出閾値
２５ａ…データ設定部
Ｓ１〜Ｓ１０…処理ステップ
【特許請求の範囲】
【請求項１】
ＳＩＰサーバに送信されたＳＩＰ信号がＤｏＳ攻撃であるかを判定し検出するＤｏＳ攻撃検出装置で行うＤｏＳ攻撃検出方法において、
大規模ユーザ用のＤｏＳ攻撃検出閾値を小規模ユーザ用と区別して記憶手段に設定する設定ステップと、
前記ＤｏＳ攻撃検出閾値を用いて前記検出を行う前に、前記ＳＩＰ信号の送信元が大規模ユーザであるかを、送信元毎に設定された最大ＳＩＰセッション数に基づいて判定する検出ステップと、
を有することを特徴とするＤｏＳ攻撃検出方法。
【請求項２】
前記検出ステップは、
前記ＳＩＰ信号の送信元に対して設定された最大ＳＩＰセッション数が、所定の基準ＳＩＰセッション数を越える場合に、前記ＳＩＰ信号の送信元が大規模ユーザであると判定するステップと、
大規模ユーザであると判定された場合に、前記ＳＩＰ信号の受信数と、前記大規模ユーザ用のＤｏＳ攻撃検出閾値とを比較し、当該受信数が当該閾値を超えない場合には、前記ＳＩＰ信号はＤｏＳ攻撃でないと判定して、非ＤｏＳ攻撃であると検出するステップと、
を有することを特徴とする請求項１記載のＤｏＳ攻撃検出方法。
【請求項３】
ＳＩＰサーバに送信されたＳＩＰ信号がＤｏＳ攻撃であるかを判定し検出するＤｏＳ攻撃検出装置において、
大規模ユーザ用のＤｏＳ攻撃検出閾値を小規模ユーザ用と区別して記憶手段に設定する設定手段と、
前記ＤｏＳ攻撃検出閾値を用いて前記検出を行う前に、前記ＳＩＰ信号の送信元が大規模ユーザであるかを、送信元毎に設定された最大ＳＩＰセッション数に基づいて判定する検出手段と、を有し、
前記検出手段は、
前記ＳＩＰ信号の送信元に対して設定された最大ＳＩＰセッション数が、所定の基準ＳＩＰセッション数を越える場合に、前記ＳＩＰ信号の送信元が大規模ユーザであると判定する手段と、
大規模ユーザであると判定された場合に、前記ＳＩＰ信号の受信数と、前記大規模ユーザ用のＤｏＳ攻撃検出閾値とを比較し、当該受信数が当該閾値を超えない場合には、前記ＳＩＰ信号はＤｏＳ攻撃でないと判定して、非ＤｏＳ攻撃であると検出する手段と、
を有することを特徴とするＤｏＳ攻撃検出装置。
【請求項１】
ＳＩＰサーバに送信されたＳＩＰ信号がＤｏＳ攻撃であるかを判定し検出するＤｏＳ攻撃検出装置で行うＤｏＳ攻撃検出方法において、
大規模ユーザ用のＤｏＳ攻撃検出閾値を小規模ユーザ用と区別して記憶手段に設定する設定ステップと、
前記ＤｏＳ攻撃検出閾値を用いて前記検出を行う前に、前記ＳＩＰ信号の送信元が大規模ユーザであるかを、送信元毎に設定された最大ＳＩＰセッション数に基づいて判定する検出ステップと、
を有することを特徴とするＤｏＳ攻撃検出方法。
【請求項２】
前記検出ステップは、
前記ＳＩＰ信号の送信元に対して設定された最大ＳＩＰセッション数が、所定の基準ＳＩＰセッション数を越える場合に、前記ＳＩＰ信号の送信元が大規模ユーザであると判定するステップと、
大規模ユーザであると判定された場合に、前記ＳＩＰ信号の受信数と、前記大規模ユーザ用のＤｏＳ攻撃検出閾値とを比較し、当該受信数が当該閾値を超えない場合には、前記ＳＩＰ信号はＤｏＳ攻撃でないと判定して、非ＤｏＳ攻撃であると検出するステップと、
を有することを特徴とする請求項１記載のＤｏＳ攻撃検出方法。
【請求項３】
ＳＩＰサーバに送信されたＳＩＰ信号がＤｏＳ攻撃であるかを判定し検出するＤｏＳ攻撃検出装置において、
大規模ユーザ用のＤｏＳ攻撃検出閾値を小規模ユーザ用と区別して記憶手段に設定する設定手段と、
前記ＤｏＳ攻撃検出閾値を用いて前記検出を行う前に、前記ＳＩＰ信号の送信元が大規模ユーザであるかを、送信元毎に設定された最大ＳＩＰセッション数に基づいて判定する検出手段と、を有し、
前記検出手段は、
前記ＳＩＰ信号の送信元に対して設定された最大ＳＩＰセッション数が、所定の基準ＳＩＰセッション数を越える場合に、前記ＳＩＰ信号の送信元が大規模ユーザであると判定する手段と、
大規模ユーザであると判定された場合に、前記ＳＩＰ信号の受信数と、前記大規模ユーザ用のＤｏＳ攻撃検出閾値とを比較し、当該受信数が当該閾値を超えない場合には、前記ＳＩＰ信号はＤｏＳ攻撃でないと判定して、非ＤｏＳ攻撃であると検出する手段と、
を有することを特徴とするＤｏＳ攻撃検出装置。
【図１】
【図２】
【図３】
【図４】
【図２】
【図３】
【図４】
【公開番号】特開２０１２−２５７１０２（Ｐ２０１２−２５７１０２Ａ）
【公開日】平成２４年１２月２７日（２０１２．１２．２７）
【国際特許分類】
【出願番号】特願２０１１−１２９２８８（Ｐ２０１１−１２９２８８）
【出願日】平成２３年６月９日（２０１１．６．９）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
【公開日】平成２４年１２月２７日（２０１２．１２．２７）
【国際特許分類】
【出願日】平成２３年６月９日（２０１１．６．９）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
[ Back to top ]