ＮＡＴ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステム及びその制御方法
【課題】ＤＤＯＳ攻撃防御装備のためのＮＡＴにおいて正常ユーザーの遮断を防止するシステムを提供する。
【解決手段】同一の外部ＩＰアドレスを有しているＮＡＴから構成された網において同一のＩＰアドレスを有する攻撃者ＰＣと正常ユーザーＰＣとを区分するシステムであって、攻撃者はブラックリストルールテーブルにより遮断し、正常ユーザーのトラフィックはウェブサーバーホストアドレスを仮想ＩＰアドレスに変更し、ブラックリストルールテーブルにより遮断されずに通過させ、正常ユーザーのウェブサービスを可能にする。
【解決手段】同一の外部ＩＰアドレスを有しているＮＡＴから構成された網において同一のＩＰアドレスを有する攻撃者ＰＣと正常ユーザーＰＣとを区分するシステムであって、攻撃者はブラックリストルールテーブルにより遮断し、正常ユーザーのトラフィックはウェブサーバーホストアドレスを仮想ＩＰアドレスに変更し、ブラックリストルールテーブルにより遮断されずに通過させ、正常ユーザーのウェブサービスを可能にする。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＮＡＴ技術が適用されたネットワークにおいて、攻撃者がウェブサーバーに過度なＴＣＰセッションの接続要請やウェブページの要請などの過度なトラフィックを送ることで正常ユーザーの円滑なウェブサービスの利用を不可能にするＤＤＯＳ攻撃を遮断し、また、攻撃者と同一のＩＰアドレスを使用する正常ユーザーとを分別し、正常ユーザーがウェブサービスを正常的に利用できるようにするＮＡＴを支援するＤＤＯＳ保安装備に関するものである。
【背景技術】
【０００２】
一般的に、ＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ）においては、現在、インターネットのアドレス体系は３２ビットであり、インターネットの公認ＩＰアドレスの個数は限定されている。
【０００３】
ＮＡＴ技術を使用すると、１つの公認ＩＰアドレスを通じて、内部ネットワークの複数台のＰＣが同時に、同一の外部ＩＰアドレスを使用することができる。
【０００４】
また、ＮＡＴ技術は、外部の攻撃からユーザーを保護する手段として活用することができ、一般的なネットワーク網において広く使用される技術である。
【０００５】
ここで、攻撃ＰＣがＮＡＴを使用するネットワーク網にある場合、同一の公認ＩＰアドレスを使用するＮＡＴ網にある全ての正常ユーザーは、一台の攻撃ＰＣのＩＰアドレス遮断により、インターネットサービスを受けることができない。
【０００６】
現在、広く使用されるＤＤＯＳ装備はウェブサーバーを保護し、また、過度なネットワークトラフィックを防止するために、ＩＰアドレスベースの遮断方法を使用している。
【０００７】
ところが、従来の保安装備は、ネットワークから設定したトラフィック閾値以上のＴＣＰ接続が検知されると、該当のＩＰアドレスを一定時間遮断するので、同一のＩＰアドレスを使用するユーザーＰＣもネットワークサービスを使用することができない。
【発明の概要】
【発明が解決しようとする課題】
【０００８】
本発明は、このような問題点を解決するためのもので、その目的は、ＤＤＯＳ（Ｄｉｓｔｒｉｂｕｔｅ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃として検知されるＩＰアドレスをブラックリストに登録し、攻撃トラフィックを遮断し、また、ＮＡＴ網において同一のＩＰアドレスを使用する正常ユーザーは遮断されることなくウェブサービスを利用できるようにするための技術である。
【０００９】
即ち、ＤＤＯＳ攻撃を検知する保安装備が、閾値以上の過度なトラフィックを検知する場合、該当のＩＰアドレスをブラックリストに登録するので、ブラックリストに登録された該当のＩＰアドレスを遮断する場合、ＮＡＴ網にある全ての正常ユーザーも遮断される問題点を解決することを目的とする。
【００１０】
したがって、本発明のウェブサービスへの正常ユーザーの遮断を防止するためのシステムには、パケット送受信処理器、ブラックリストルールテーブル、ＴＣＰ ＳＹＮプロキシ処理器、ＵＲＬ Ｒｅｄｉｒｅｃｔ処理装置、仮想ＩＰ復元装置、仮想ＩＰ変換装置が具備される。
【課題を解決するための手段】
【００１１】
上記のような目的を達成するための本発明は、クライアントからデータを受信するパケット受信部と、受信したデータをクライアントに伝送するパケット送信部と、前記パケット受信部からパケット情報を受信し、パケット送信部にデータを伝送するＮＡＴデータ処理部３０とを含み、前記ＮＡＴデータ処理部３０には、ブラックリストルールテーブルに貯蔵されたパケット情報のデータとマッチングされるか否かを判別し、マッチングされる該当のクライアントのＴＣＰセッション接続以外のパケットを遮断させるブラックリストルールテーブルマッチング部（ＢＬＡＣＫ ＬＩＳＴ ＲＵＬＥ ＴＡＢＬＥ ＭＡＴＣＨＥＲ）３１と、クライアントが要請するデータが該当のウェブサーバーのウェブページ要請パケットである場合に、該当のウェブサーバーの仮想ＩＰアドレスに変換された応答データと、クライアントがウェブサーバーに対するセッション接続を切断して、仮想ＩＰアドレスを通じて接続するように指示するデータとを該当のクライアント側に転送させるＵＲＬ Ｒｅｄｉｒｅｃｔ処理部（ＵＲＬ Ｒｅｄｉｒｅｃｔ ＰＲＯＣＥＳＳＯＲ）３３と、が含まれることを特徴とする、ＮＡＴ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステムを提供する。
【００１２】
ここで、ＮＡＴデータ処理部３０には、クライアントが要請するデータが、ＴＣＰセッション接続パケットである場合に、ウェブサーバーの代わりに、ＴＣＰ ＳＹＮ−ＡＣＫ応答を生成して転送するＴＣＰ ＳＹＮプロキシ処理部（ＴＣＰ ＳＹＮ ＰＲＯＸＹ ＰＲＯＣＥＳＳＯＲ）３２と、クライアントからパケットを受信し、仮想ウェブサーバーＩＰアドレスを実際ウェブサーバーＩＰアドレスに復元し、実際ウェブサーバー側にパケットを伝送させる仮想ＩＰ復元部（ＶＩＲＴＵＡＬ ＩＰ ＲＥＳＴＯＲＡＴＯＲ）３５と、クライアントの要請に応じてウェブサーバーから受信したパケットに対して、ウェブサーバーからクライアントに転送されたウェブサーバーの仮想ＩＰアドレスに変換し、パケット送信を行う仮想ＩＰ変換部（ＶＩＲＴＵＡＬ ＩＰ ＴＲＡＮＳＬＡＴＯＲ）３４とが含まれる。前記ＵＲＬ Ｒｅｄｉｒｅｃｔ処理部３３は、仮想ＩＰアドレスを通じて接続させるＵＲＬ Ｍｏｖｅｄ又はＵＲＬ Ｒｅｄｉｒｅｃｔ ＨＴＴＰデータを含み、パケット送信部２３を通じて該当のクライアント側に転送し、また、前記ブラックリストルールテーブルマッチング部３１のブラックリストルールテーブルには、攻撃者クライアントのソースＩＰデータ、ウェブサーバーのあて先ＩＰデータ、ウェブサーバーのあて先ポートデータが含まれる。
【００１３】
また、本発明は、クライアントとウェブサーバーとの間に位置し、クライアントからウェブサーバーの情報要請に対するデータを受信し、ブラックリストルールテーブルに貯蔵されたパケット情報とマッチングされるか否かを判別し、マッチングすると判別された該当のクライアントのＴＣＰセッション接続以外のパケットは遮断し、また、該当のウェブサーバーの仮想ＩＰ情報データと現在のセッション接続を切るように指示するデータを、クライアント側に伝送し、また、該当のクライアント側から該当のウェブサーバーに対する仮想ＩＰ情報を通じてウェブサーバーの情報を要請した場合には、正常ユーザーとして判別して処理することを特徴とする、ＮＡＴ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステムを提供することができる。
【００１４】
さらに、本発明は、クライアント側からウェブサーバーの情報を要請するデータを受信するウェブサーバー情報要請受信段階（Ｓ０１）と、ＮＡＴデータ処理部３０のブラックリストルールテーブルマッチング部３１を通じてクライアントから転送されたデータとブラックリストルールテーブルのデータとがマッチングするか否かを判別するブラックリストマッチング判別段階（Ｓ０２）と、前記ブラックリストマッチング判別段階（Ｓ０２）によって該当のクライアントの情報がブラックリストルールテーブルのデータとマッチングされる場合には、該当のクライアントのＴＣＰセッション接続以外のパケットは遮断させるマッチング遮断段階（Ｓ０３）と、前記マッチング遮断段階（Ｓ０３）によってマッチングされたクライアントのパケットがＴＣＰセッション接続パケットである場合、ＴＣＰ ＳＹＮプロキシ処理部３２が、ウェブサーバーの代わりにＴＣＰ ＳＹＮ−ＡＣＫ応答を生成して、パケットを転送させる応答データ伝送段階（Ｓ０４）と、前記マッチング遮断段階（Ｓ０３）によってマッチングされたクライアントのパケットが、ウェブページ要請パケットである場合、ＵＲＬ Ｒｅｄｉｒｅｃｔ処理部３３を通じて該当のウェブサーバーに対する仮想ＩＰ情報に変換された情報データと、ウェブページを再要請するデータと、現在のセッション接続を切るように指示するデータとが含まれた信号を、該当のクライアント側に伝送するＵＲＬ Ｒｅｄｉｒｅｃｔ処理段階（Ｓ０５）と、が含まれることを特徴とする、ＮＡＴ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステムを制御するための制御方法を提供することができる。
【００１５】
ここで、前記ＵＲＬ Ｒｅｄｉｒｅｃｔ処理段階（Ｓ０５）によって、該当のクライアント側から該当のウェブサーバーに対する仮想ＩＰデータが受信された場合には、正常クライアントとして判別し、仮想ＩＰ復元部３５を通じて該当のウェブサーバーに対する仮想ＩＰ情報が実際ＩＰ情報に復元され、該当のウェブサーバーに情報要請データを伝送し、また、仮想ＩＰ変換部３４を通じて該当のウェブサーバーに対する仮想ＩＰ情報と、クライアントが要請した該当のウェブサーバー情報データとを転送する。
【発明の効果】
【００１６】
上記のように構成される本発明は、ＤＤＯＳ防御と関連して、ウェブサーバーに閾値以上の過度なトラフィックが検知される場合、該当のＩＰアドレスをブラックリストに登録し、そのＩＰアドレスの全てのトラフィックを遮断し、また、ＮＡＴ網において、同一の外部ＩＰアドレスを使用するユーザーを一次的に遮断し、攻撃トラフィック以外の正常ユーザーのトラフィックのみを許容する。特に、本発明は、このような同一のＩＰアドレスを使用する攻撃者と正常ユーザーとを区分することによって、攻撃者トラフィックは遮断し、正常ユーザーはウェブサービスを使用できるようにする。
【図面の簡単な説明】
【００１７】
【図１】本発明による正常ユーザーの遮断を防止するためのシステムを示す構成図である。
【図２】本発明による正常ユーザーの遮断を防止するためのシステムのブラックリストルールテーブルマッチング部による処理過程を示す例示図である。
【図３】本発明による正常ユーザーの遮断を防止するためのシステムによる正常ユーザーの遮断を防止するためのパケット処理を示す例示図である。
【図４】本発明による正常ユーザーの遮断を防止するためのシステムに関するパケット処理の段階別の処理過程を示す例示図である。
【図５】本発明による正常ユーザーの遮断を防止するためのシステムのブラックリストルールテーブルを示す例示図である。
【図６】本発明による正常ユーザーの遮断を防止するためのシステムの制御方法を示すフローチャートである。
【発明を実施するための形態】
【００１８】
以下、添付の図面を参照して、本発明の好適な実施例を詳細に説明する。
【００１９】
即ち、本発明によるＤＤＯＳ攻撃防御装備のためのＮＡＴ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステム（ＮＡＴ−ＥＮＡＢＬＥＤ ＳＹＳＴＥＭ ＴＯ ＰＲＥＶＥＮＴ ＴＨＥＢＬＯＣＫＩＮＧ ＯＦ Ａ ＮＯＲＭＡＬ ＣＬＩＥＮＴ’Ｓ ＷＥＢ ＳＥＲＶＩＣＥ ＵＳＩＮＧ ＮＡＴ ＦＲＯＭ Ａ ＤＤＯＳ ＤＥＦＥＮＳＥ ＳＹＳＴＥＭ）２０は、図１乃至図６に示すように、クライアントからパケットを受信するパケット受信部２２、２５と、受信したデータをクライアントに伝送するパケット送信部２３、２４と、前記パケット受信部からパケット情報を受信し、パケット送信部にデータを伝送するＮＡＴデータ処理部３０と、を含む。
【００２０】
また、前記ＮＡＴデータ処理部３０には、ブラックリストルールテーブルに貯蔵されたパケット情報のデータとマッチングされるか否かを判別し、マッチングされる該当のクライアントとのＴＣＰセッション接続以外のパケットを切るように指示するブラックリストルールテーブルマッチング部３１と、前記ブラックリストルールテーブルマッチング部３１を通じてマッチングすると判別された該当のクライアントが要請したデータが、ＴＣＰセッション接続パケットである場合に、ウェブサーバーの代わりにＴＣＰ ＳＹＮ−ＡＣＫ応答を生成して転送させるＴＣＰ ＳＹＮプロキシ処理部３２と、が含まれる。
【００２１】
また、図５に示すように、ブラックリストルールテーブルマッチング部３１のブラックリストルールテーブルには、異常な接続要請及び過度なウェブページ要請のトラフィックが検知されるクライアントを、攻撃者として分類し判別して、該当の攻撃者に対する情報が貯蔵される。
【００２２】
したがって、該当のクライアントが攻撃者として判別される場合には、ＴＣＰセッション接続パケットを遮断し、ウェブサーバーを保護することができる。
【００２３】
また、このように攻撃者として判別される場合には、ＴＣＰ ＳＹＮプロキシ処理部３２がウェブサーバーの代わりに、ＴＣＰ ＳＹＮ−ＡＣＫプロセシングを行うように指示するので、該当のウェブサーバーを保護することができる。
【００２４】
また、前記ＮＡＴデータ処理部３０には、該当のクライアントが要請するデータが、該当のウェブサーバーのウェブページ要請パケットである場合に、該当のウェブサーバーの仮想ＩＰアドレスに変換された応答データと、クライアントが該当のウェブサーバーに対する実際ウェブサーバーのセッション接続を切るようにし、仮想ＩＰアドレスを通じて接続させるＵＲＬ Ｒｅｄｉｒｅｃｔ又はＵＲＬ Ｍｏｖｅｄ ＨＴＴＰデータとを含み、パケット送信部２３を通じて該当のクライアント側に転送させるＵＲＬ Ｒｅｄｉｒｅｃｔ処理部３３が、さらに具備される。
【００２５】
特に、このようなＵＲＬ Ｒｅｄｉｒｅｃｔ処理部３３によって、実際ウェブサーバーに対する情報としてデータが処理されるのではなく、仮想ＩＰアドレスが含まれたデータとして処理されるように送受信されるので、該当のウェブサーバーを攻撃者に露出させずに保護することができる。
【００２６】
また、前記ＮＡＴデータ処理部３０には、このように仮想ＩＰアドレスと、実際ＩＰアドレスのデータ変換のために、ＴＣＰ ＳＹＮ−ＡＣＫ応答を行うクライアントからデータを受信し、仮想ウェブサーバーＩＰアドレスを実際ウェブサーバーＩＰアドレスに復元し、実際ウェブサーバー側にデータを伝送させる仮想ＩＰ復元部３５と、クライアントの要請に応じてウェブサーバーから受信したパケットに対して、クライアントに転送された該当のウェブサーバーの仮想ＩＰアドレスに変換し、パケット送信を行う仮想ＩＰ変換部３４と、が含まれる。
【００２７】
したがって、もし、ブラックリストルールテーブルとのマッチング過程で攻撃者として判別されたクライアントとしても、正常ユーザーである場合、ブラックリストルールテーブルによるブラックリストのマッチング条件にマッチングされないので遮断されない。反面、攻撃者は、ブラックリストルールテーブルのマッチング条件により遮断され、該当のウェブサーバーを保護することができる。また、ＴＣＰ ＳＹＮプロキシ処理部３２、ＵＲＬ Ｒｅｄｉｒｅｃｔ処理部３３、仮想ＩＰ変換部３４、仮想ＩＰ復元部３５などを通じて正常クライアントであるか否かを判別するのでウェブサーバーを保護しながら、該当の正常ユーザーのクライアントが該当のウェブサーバーを安定的に利用することができる。
【００２８】
このような、本発明によるＤＤＯＳ攻撃防御装備のためのＮＡＴ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステム２０において、前記ブラックリストルールテーブルマッチング部３１のブラックリストルールテーブルには、攻撃者クライアントのソースＩＰデータ、ウェブサーバーのあて先ＩＰデータ、ウェブサーバーのあて先ポートデータが含まれる。
【００２９】
また、本発明によるＤＯＳ、ＤＤＯＳ攻撃のように、攻撃者クライアントによる異常な接続要請及び過度なウェブページ要請のトラフィックが受信される際、攻撃防御装備のためのＮＡＴ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステム２０を制御するための制御方法において、まず、クライアント側からウェブサーバーの情報要請に対するデータを受信するウェブサーバー情報要請受信段階（Ｓ０１）が行われる。このようなウェブサーバー情報要請受信段階において、ＤＯＳ、ＤＤＯＳ攻撃のように、異常な接続要請及び過度なウェブページ要請のトラフィックを送るクライアントである場合には、攻撃者として分類し、ブラックリストルールテーブルに該当の情報を貯蔵する。したがって、攻撃者であるか否かをマッチングにより判別する。
【００３０】
即ち、ＮＡＴデータ処理部３０のブラックリストルールテーブルマッチング部３１によって、クライアントから転送されたデータと、ブラックリストルールテーブルのデータとがマッチングするか否かを判別するブラックリストマッチング判別段階（Ｓ０２）が行われる。
【００３１】
したがって、前記ブラックリストマッチング判別段階（Ｓ０２）によって該当のクライアントの情報がブラックリストルールテーブルのデータとマッチングされる場合には、該当のクライアントに対するＴＣＰセッション接続以外のパケットは遮断させるマッチング遮断段階（Ｓ０３）が行われるので、該当のウェブサーバーを保護することができる。
【００３２】
また、前記マッチング遮断段階（Ｓ０３）によってマッチングされたクライアントのパケットがＴＣＰセッション接続パケットである場合、ＴＣＰ ＳＹＮプロキシ処理部３２がウェブサーバーの代わりにＴＣＰ ＳＹＮ−ＡＣＫ応答を生成して、パケット転送させる応答データ伝送段階（Ｓ０４）が行われる。したがって、正常クライアントであるか否かを判別する過程を進行することができる。
【００３３】
また、前記マッチング遮断段階（Ｓ０３）によってマッチングされたクライアントのパケットがウェブページ要請パケットである場合、ＵＲＬ Ｒｅｄｉｒｅｃｔ処理部３３を通じて該当のウェブサーバーに対する仮想ＩＰ情報に変換された情報データと、ウェブページを再要請するデータと、現在のセッション接続を切るように指示するデータとが含まれた信号を、該当のクライアント側に伝送するＵＲＬ Ｒｅｄｉｒｅｃｔ処理段階（Ｓ０５）が行われるので、該当のウェブサーバーに接続しようとするクライアントが正常クライアントであるか否かを判別することができる。
【００３４】
また、このような、前記ＵＲＬ Ｒｅｄｉｒｅｃｔ処理段階（Ｓ０５）によって該当のクライアント側から、該当のウェブサーバーに対する仮想ＩＰデータが含まれたデータが受信された場合には、正常クライアントとして判別し、仮想ＩＰ復元部３５を通じて該当のウェブサーバーに対する仮想ＩＰ情報から実際ＩＰ情報に復元させ、該当のウェブサーバーに情報を要請するデータを伝送し、また、仮想ＩＰ変換部３４を通じて該当のウェブサーバーに対する仮想ＩＰ情報と、クライアントが要請した該当のウェブサーバーの情報データとを該当のクライアント側に転送させる。
【００３５】
以下、本発明による詳細な構成について添付の図面を参照し説明する。ウェブサービスへの正常ユーザーの遮断を防止するためのシステム２０は、ユーザー（正常ユーザー１１、攻撃者１２）とウェブサーバー１３との間に位置して、図１のように、パケット受信部２２、２５と、パケット送信部２３、２４と、また、これらを連結するＮＡＴデータ処理部３０と、で構成される。
【００３６】
また、このようなＮＡＴデータ処理部３０（ＮＡＴ ＤＡＴＡ ＰＲＯＣＥＳＳＯＲ）は、ブラックリストルールテーブルマッチング部（ＢＬＡＣＫ ＬＩＳＴ ＲＵＬＥ ＴＡＢＬＥ ＭＡＴＣＨＥＲ）３１と、ＴＣＰ ＳＹＮプロキシ処理部（ＴＣＰ ＳＹＮ ＰＲＯＸＹ ＰＲＯＣＥＳＳＯＲ）３２と、ＵＲＬ Ｒｅｄｉｒｅｃｔ処理部３３（ＵＲＬ Ｒｅｄｉｒｅｃｔ ＰＲＯＣＥＳＳＯＲ）と、サーバーのＩＰアドレスを仮想ＩＰアドレスに変換するための仮想ＩＰ変換部（ＶＩＲＴＵＡＬ ＩＰ ＴＲＡＮＳＬＡＴＯＲ）３４と、仮想ＩＰアドレスを実際ＩＰアドレスに復元するための仮想ＩＰ復元部（ＶＩＲＴＵＡＬ ＩＰ ＲＥＳＴＯＲＡＴＯＲ）３５と、で構成される。
【００３７】
ここで、パケット受信部２２は、正常ユーザー１１、攻撃者１２などのパケット情報をネットワークから受信し、ＮＡＴデータ処理部３０に、その受信されたパケットデートを伝送して、ＮＡＴデータ処理部３０では転送されたデータを受信し、ブラックリストルールテーブルマッチング部３１によって攻撃者の情報であるか否かをマッチング過程を通じて検査する。
【００３８】
したがって、ブラックリストルールテーブルマッチング部３１によって攻撃者であるか否かを判別し、攻撃者として判別する場合には、その攻撃者として判別されたパケットを直ちに遮断させる。即ち、正常のＴＣＰセッション接続以外の攻撃者の接続として判別されると、直ちに、その攻撃者として判別されたパケットを遮断させる。
【００３９】
反面、攻撃者の情報以外の正常ユーザーの情報である場合、ブラックリストルールテーブルマッチング部３１でのマッチング判別処理過程において、正常ＴＣＰセッション接続パケットとして判別された場合には、図４のように、ＴＣＰ ＳＹＮプロキシ処理部３２を通じてウェブサーバー１３の代わりにＴＣＰ ＳＹＮ−ＡＣＫ応答を生成して、パケット送信部２３を通じてパケットをユーザー側に送る。
【００４０】
また、ユーザーから転送されたデータ情報がＨＴＴＰウェブページ要請パケットである場合には、ＵＲＬ Ｒｅｄｉｒｅｃｔ処理部３３を通じてＵＲＬ Ｒｅｄｉｒｅｃｔパケットを生成して、パケット送信装置に伝送する。ＨＴＴＰウェブページ要請が仮想ウェブサーバーアドレスである場合、仮想ＩＰ復元部３５を通じて実際ウェブサーバー１３のＩＰアドレスに変換し、パケット送信部２４を通じてウェブサーバー１３にパケットを伝送する。また、ウェブサーバー１３からパケット受信部２５を通じて受信したパケットは、正常ユーザー１１に送信された仮想ＩＰアドレスに、仮想ＩＰ変換部３４を通じて変換し、パケット送信部２３を通じてユーザーに転送し、ＤＤＯＳ攻撃防御装備のためのＮＡＴ網用パケットデータ処理装備を構成する。
【００４１】
続いて、本発明によるＤＤＯＳ攻撃防御装備のためのＮＡＴ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステム２０による攻撃者防御の過程について説明する。
【００４２】
即ち、図２のウェブサービスの正常ユーザーの遮断を防止するためのシステム２０は、ＤＤＯＳ防御用ＮＡＴ処理装備の構成に示すように、検知エンジンを通じて攻撃者の異常な接続要請、及びウェブサーバーに対する過度なウェブページ要請トラフィックが検知される場合、ブラックリストルールテーブルマッチング部３１のデータベースに、ＮＡＴ及びウェブサーバーに対する情報が貯蔵させる。この際、ＮＡＴ公認ＩＰアドレス（１０．１０．１０．１）、ウェブサーバーＩＰアドレス（２１１．２２２．１９５．５）、ウェブサーバーポート８０をブラックリストルールテーブルマッチング部３１のデータベースのテーブルに登録させる。
【００４３】
ＤＤＯＳ攻撃防御用ＮＡＴ処理装備を通じて受信されるパケットをクライアントＩＰアドレス（１０．１０．１０．１）、ウェブサーバーＩＰアドレス（２１１．２２２．１９５．５）、ウェブサーバーポート８０である場合とそれぞれ分析し、ブラックリストルールテーブルマッチング部３１のデータテーブルとマッチングされ、攻撃者として判別されると、ブラックリストルールテーブルマッチング部３１ではＴＣＰセッション接続以外の攻撃者パケットは、直ちに遮断させるように制御信号を他の制御部材に伝送する。
【００４４】
また、ＴＣＰセッション接続に関連するパケットは、ＴＣＰ ＳＹＮプロキシ処理部３２に転送される。ここで、ＴＣＰ ＳＹＮプロキシ処理部３２は、ウェブサーバー１３の代わりにＴＣＰ ＳＹＮセッション接続要請に対するＳＹＮ−ＡＣＫ応答を行う装置として作動される。即ち、このようなＴＣＰ ＳＹＮプロキシ処理部３２には異常なＴＣＰ接続要請をウェブサーバー１３に伝達せずに遮断するのに利用されるプロキシ装置が適用される。
【００４５】
このようなＴＣＰ ＳＹＮプロキシ処理部３２を通じてウェブサーバー１３へのＳＹＮフラッディング攻撃（Ｓｙｎ Ｆｌｏｏｄｉｎｇ Ａｔｔａｃｋ）やセッション接続要請による攻撃を全て遮断することができる。ＳＹＮフラッディングとは、ＴＣＰセッション接続要請によってサーバーがＳＹＮパケットを受信する際、メモリーを割り当てるので、ＳＹＮフラッディング攻撃が発生されると多量のＳＹＮパケットを受信して、過大なメモリー容量を使用することで、正常的なＴＣＰ接続処理を不可能にする攻撃方法である。したがって、このような本発明によるブラックリストルールテーブルマッチング部３１及びＴＣＰ ＳＹＮプロキシ処理部３２によって、攻撃者として判別されるデータをウェブサーバー１３に伝達せずに遮断することができるので、正常的なユーザーの情報を保護することができる。
【００４６】
続いて、本発明によるＤＤＯＳ攻撃防御装備のためのＮＡＴ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステムにおいて、正常ユーザーに対する処理過程について説明する。
【００４７】
即ち、図３に示すように、クライアントが“ＧＥＴ／ｉｎｄｅｘ．Ｈｔｍｌ ＨＴＴＰ １．１”のようにウェブページ要請を行った場合、現在のＴＣＰセッション接続を切断して、仮想のホストを通じて接続するようにウェブサーバーのホストアドレスをｗｗｗ．ｎａｖｅｒ１．ｃｏｍに変更し、正常ユーザーであるかを確認するための応答パケットをユーザー側に送る。
【００４８】
ここで、ＵＲＬ Ｒｅｄｉｒｅｃｔ処理部３３では、現在のセッション接続を切るように、クライアントにＴＣＰヘッダーにＦＩＮ、ＰＵＳＨ、ＡＣＫ＝１に設定し、ＨＴＴＰプロトコル標準であるＵＲＬ Ｍｏｖｅｄ又はＵＲＬ Ｒｅｄｉｒｅｃｔ３０１／３０２コードとロケーション：ｗｗｗ．ｎａｖｅｒ１．ｃｏｍの応答パケットを生成して送る。ＴＣＰ ＦＩＮ、ＰＵＳＨ、ＡＣＫ＝１に設定し、クライアントに現在のセッション接続を切断して、新しいＴＣＰセッション要請を行うように指示するためである。ＨＴＴＰ ＵＲＬ Ｒｅｄｉｒｅｃｔは、クライアントに、現在、要請したページのアドレスが変更されたこと、及びロケーションフィールドに明示されたアドレスに再要請することを知らせるためのＨＴＴＰ応答パケットである。また、下記のようにパケットを生成して構成することができる。
【００４９】
（ａ） Ｉｎｔｅｒｎｅ Ｐｒｏｔｏｃｏｌ、ｓｒｃ：１０．１０．１０．１、ｄｓｔ：２１１．２２２．１９５．５
（ｂ） Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ：ｄｓｔ＿ｐｏｒｔ：ｈｔｔｐ（８０）、ＦＩＮ：１、ＰＵＳＨ：１、ＡＣＫ：１
（ｃ） Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ：
ＨＴＴＰ１．１ ３０１ Ｍｏｖｅｄ Ｐｅｒｍａｎｅｎｔｌｙ
Ｃｏｎｔｅｎｔ−Ｌｅｎｇｔｈ：０
Ｌｏｃａｔｉｏｎ：ｈｔｔｐ：／／ｗｗｗ．ｎａｖｅｒ１．ｃｏｍ
Ｃｏｎｎｅｃｔｉｏｎ：ｃｌｏｓｅ
また、上記の（ａ）はＩＰヘッダーに関するもので、ソースとあて先ＩＰアドレスを含んでいる構成を示したものであり、（ｂ）はソースとあて先のポート、ＴＣＰフラッグを含んでいることを示したものである。そして（Ｃ）はＨＴＴＰヘッダー情報を含んでＨＴＴＰ １．１ ３０１状態のコードでＵＲＬ Ｍｏｖｅｄ／Ｒｅｄｉｒｅｃｔされたという応答コードに関するもので、ロケーションフィールドは変更されたサーバーのＵＲＬアドレスを表示する。
【００５０】
前記のような実施例において、パケット情報はアドレスがｗｗｗ．ｎａｖｅｒ．ｃｏｍからｗｗｗ．ｎａｖｅｒ１．ｃｏｍに変更されたことを知らせるためのＨＴＴＰパケット情報を伝送する。ユーザーＡ（１０．１０．１０．１）が仮想のウェブサーバー（２１１．２２２．１９５．６：ｗｗｗ．ｎａｖｅｒ１．ｃｏｍ：８０）にウェブページを要請する際、正常ユーザー１１である場合には、ブラックリストルールテーブルマッチング部３１でマッチングされないので遮断されない。
【００５１】
そして、仮想ＩＰ復元部３５では仮想のウェブサーバーアドレス（２１１．２２２．１９５．６：ｗｗｗ．ｎａｖｅｒ１．ｃｏｍ：８０）を、実際のサーバーＩＰアドレス（２１１．２２２．１９５．５：ｗｗｗ．ｎａｖｅｒ１．ｃｏｍ：８０）に復元し、ウェブサーバーＡに伝送する。
【００５２】
続いて、ウェブサーバーＡから受信されるパケットは、仮想ＩＰ変換部３４を通じてウェブサーバーＡからユーザーＡに送るソースアドレスを仮想ＩＰアドレス（２１１．２２２．１９５．６）に変換し、ユーザーＡに伝送する。これはウェブサーバーＡから受信されるパケットがブラックリストルールテーブルマッチング部３１に貯蔵された情報とマッチングされることなく正常ユーザー１１として判別し、ブラックリストルールテーブルマッチング部３１を通じて遮断されることを防止するための過程である。
【００５３】
一般的に使用する大部分のＤＤＯＳ攻撃ツールの方法は、サーバーに対する応答をしなくて、単方向に多量のトラフィックをサーバーに送って攻撃する方法を使用する。したがって、攻撃者ＰＣ（１０．１０．１０．１）１２によるウェブページ要請の場合には、図２の３番段階（３．ＡＣＫ）のパケットに対する応答をせずにウェブページ要請のみを行う。
【００５４】
したがって、ウェブページ要請パケットであるウェブサーバー（２１１．２２２．１９５．５：８０）“ＧＥＴ／ｉｎｄｅｘ．ｈｔｍｌＨＴＴＰ１．１“と、攻撃者ＰＣ（１０．１０．１０．１）情報と、ウェブサーバー（２１１．２２２．１９５．５：８０）に対する情報とを要請するパケットを受信すると、ブラックリストルールテーブルマッチング部３１ではこのような攻撃者による接近を遮断させる。
【００５５】
反面、ブラックリストルールテーブルマッチング部３１のデータベースのテーブルに攻撃者リストとして登録されていないとともに、新しいＡＣＫに対する要請に対して仮想ウェブサーバーの情報でもってウェブページ要請を行う場合には、ブラックリストルールテーブルマッチング部３１では正常ユーザーとして分類し、したがって、仮想ＩＰ復元３５及び仮想ＩＰ変換部３４を通じて正常ユーザー１１側に該当のウェブサーバーに対する情報を伝送する。
【００５６】
したがって、ＮＡＴ網において同一のＩＰアドレスを使用するユーザーＡと攻撃者ＰＣとを区分し、同一のＩＰアドレスを使用する場合にも、要請される要請情報によってマッチングテーブルから判別することで、攻撃者ＰＣは遮断させ、正常ユーザーに対するインターネットサービスの遮断を防止させて正常使用を可能にする。
【００５７】
以上では本発明の実施例に挙げて詳細に説明してきたが、これらの実施例は、本明の属する技術分野における通常の知識を有する者が、本発明を容易に実施できるように記載したもので、上記の実施例により本発明の技術思想が制限されることはない。
【符号の説明】
【００５８】
１１ 正常ユーザー
１２ 攻撃者
１３ ウェブサーバー
２０ 正常ユーザーの遮断を防止するためのシステム
２２、２５ パケット受信部
２３、２４ パケット送信部
３０ ＮＡＴデータ処理部
３１ ブラックリストルールテーブルマッチング部
３２ ＴＣＰ ＳＹＮプロキシ処理部
３３ ＵＲＬ Ｒｅｄｉｒｅｃｔ処理部
３４ 仮想ＩＰ変換部
３５ 仮想ＩＰ復元部
【技術分野】
【０００１】
本発明は、ＮＡＴ技術が適用されたネットワークにおいて、攻撃者がウェブサーバーに過度なＴＣＰセッションの接続要請やウェブページの要請などの過度なトラフィックを送ることで正常ユーザーの円滑なウェブサービスの利用を不可能にするＤＤＯＳ攻撃を遮断し、また、攻撃者と同一のＩＰアドレスを使用する正常ユーザーとを分別し、正常ユーザーがウェブサービスを正常的に利用できるようにするＮＡＴを支援するＤＤＯＳ保安装備に関するものである。
【背景技術】
【０００２】
一般的に、ＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ）においては、現在、インターネットのアドレス体系は３２ビットであり、インターネットの公認ＩＰアドレスの個数は限定されている。
【０００３】
ＮＡＴ技術を使用すると、１つの公認ＩＰアドレスを通じて、内部ネットワークの複数台のＰＣが同時に、同一の外部ＩＰアドレスを使用することができる。
【０００４】
また、ＮＡＴ技術は、外部の攻撃からユーザーを保護する手段として活用することができ、一般的なネットワーク網において広く使用される技術である。
【０００５】
ここで、攻撃ＰＣがＮＡＴを使用するネットワーク網にある場合、同一の公認ＩＰアドレスを使用するＮＡＴ網にある全ての正常ユーザーは、一台の攻撃ＰＣのＩＰアドレス遮断により、インターネットサービスを受けることができない。
【０００６】
現在、広く使用されるＤＤＯＳ装備はウェブサーバーを保護し、また、過度なネットワークトラフィックを防止するために、ＩＰアドレスベースの遮断方法を使用している。
【０００７】
ところが、従来の保安装備は、ネットワークから設定したトラフィック閾値以上のＴＣＰ接続が検知されると、該当のＩＰアドレスを一定時間遮断するので、同一のＩＰアドレスを使用するユーザーＰＣもネットワークサービスを使用することができない。
【発明の概要】
【発明が解決しようとする課題】
【０００８】
本発明は、このような問題点を解決するためのもので、その目的は、ＤＤＯＳ（Ｄｉｓｔｒｉｂｕｔｅ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃として検知されるＩＰアドレスをブラックリストに登録し、攻撃トラフィックを遮断し、また、ＮＡＴ網において同一のＩＰアドレスを使用する正常ユーザーは遮断されることなくウェブサービスを利用できるようにするための技術である。
【０００９】
即ち、ＤＤＯＳ攻撃を検知する保安装備が、閾値以上の過度なトラフィックを検知する場合、該当のＩＰアドレスをブラックリストに登録するので、ブラックリストに登録された該当のＩＰアドレスを遮断する場合、ＮＡＴ網にある全ての正常ユーザーも遮断される問題点を解決することを目的とする。
【００１０】
したがって、本発明のウェブサービスへの正常ユーザーの遮断を防止するためのシステムには、パケット送受信処理器、ブラックリストルールテーブル、ＴＣＰ ＳＹＮプロキシ処理器、ＵＲＬ Ｒｅｄｉｒｅｃｔ処理装置、仮想ＩＰ復元装置、仮想ＩＰ変換装置が具備される。
【課題を解決するための手段】
【００１１】
上記のような目的を達成するための本発明は、クライアントからデータを受信するパケット受信部と、受信したデータをクライアントに伝送するパケット送信部と、前記パケット受信部からパケット情報を受信し、パケット送信部にデータを伝送するＮＡＴデータ処理部３０とを含み、前記ＮＡＴデータ処理部３０には、ブラックリストルールテーブルに貯蔵されたパケット情報のデータとマッチングされるか否かを判別し、マッチングされる該当のクライアントのＴＣＰセッション接続以外のパケットを遮断させるブラックリストルールテーブルマッチング部（ＢＬＡＣＫ ＬＩＳＴ ＲＵＬＥ ＴＡＢＬＥ ＭＡＴＣＨＥＲ）３１と、クライアントが要請するデータが該当のウェブサーバーのウェブページ要請パケットである場合に、該当のウェブサーバーの仮想ＩＰアドレスに変換された応答データと、クライアントがウェブサーバーに対するセッション接続を切断して、仮想ＩＰアドレスを通じて接続するように指示するデータとを該当のクライアント側に転送させるＵＲＬ Ｒｅｄｉｒｅｃｔ処理部（ＵＲＬ Ｒｅｄｉｒｅｃｔ ＰＲＯＣＥＳＳＯＲ）３３と、が含まれることを特徴とする、ＮＡＴ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステムを提供する。
【００１２】
ここで、ＮＡＴデータ処理部３０には、クライアントが要請するデータが、ＴＣＰセッション接続パケットである場合に、ウェブサーバーの代わりに、ＴＣＰ ＳＹＮ−ＡＣＫ応答を生成して転送するＴＣＰ ＳＹＮプロキシ処理部（ＴＣＰ ＳＹＮ ＰＲＯＸＹ ＰＲＯＣＥＳＳＯＲ）３２と、クライアントからパケットを受信し、仮想ウェブサーバーＩＰアドレスを実際ウェブサーバーＩＰアドレスに復元し、実際ウェブサーバー側にパケットを伝送させる仮想ＩＰ復元部（ＶＩＲＴＵＡＬ ＩＰ ＲＥＳＴＯＲＡＴＯＲ）３５と、クライアントの要請に応じてウェブサーバーから受信したパケットに対して、ウェブサーバーからクライアントに転送されたウェブサーバーの仮想ＩＰアドレスに変換し、パケット送信を行う仮想ＩＰ変換部（ＶＩＲＴＵＡＬ ＩＰ ＴＲＡＮＳＬＡＴＯＲ）３４とが含まれる。前記ＵＲＬ Ｒｅｄｉｒｅｃｔ処理部３３は、仮想ＩＰアドレスを通じて接続させるＵＲＬ Ｍｏｖｅｄ又はＵＲＬ Ｒｅｄｉｒｅｃｔ ＨＴＴＰデータを含み、パケット送信部２３を通じて該当のクライアント側に転送し、また、前記ブラックリストルールテーブルマッチング部３１のブラックリストルールテーブルには、攻撃者クライアントのソースＩＰデータ、ウェブサーバーのあて先ＩＰデータ、ウェブサーバーのあて先ポートデータが含まれる。
【００１３】
また、本発明は、クライアントとウェブサーバーとの間に位置し、クライアントからウェブサーバーの情報要請に対するデータを受信し、ブラックリストルールテーブルに貯蔵されたパケット情報とマッチングされるか否かを判別し、マッチングすると判別された該当のクライアントのＴＣＰセッション接続以外のパケットは遮断し、また、該当のウェブサーバーの仮想ＩＰ情報データと現在のセッション接続を切るように指示するデータを、クライアント側に伝送し、また、該当のクライアント側から該当のウェブサーバーに対する仮想ＩＰ情報を通じてウェブサーバーの情報を要請した場合には、正常ユーザーとして判別して処理することを特徴とする、ＮＡＴ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステムを提供することができる。
【００１４】
さらに、本発明は、クライアント側からウェブサーバーの情報を要請するデータを受信するウェブサーバー情報要請受信段階（Ｓ０１）と、ＮＡＴデータ処理部３０のブラックリストルールテーブルマッチング部３１を通じてクライアントから転送されたデータとブラックリストルールテーブルのデータとがマッチングするか否かを判別するブラックリストマッチング判別段階（Ｓ０２）と、前記ブラックリストマッチング判別段階（Ｓ０２）によって該当のクライアントの情報がブラックリストルールテーブルのデータとマッチングされる場合には、該当のクライアントのＴＣＰセッション接続以外のパケットは遮断させるマッチング遮断段階（Ｓ０３）と、前記マッチング遮断段階（Ｓ０３）によってマッチングされたクライアントのパケットがＴＣＰセッション接続パケットである場合、ＴＣＰ ＳＹＮプロキシ処理部３２が、ウェブサーバーの代わりにＴＣＰ ＳＹＮ−ＡＣＫ応答を生成して、パケットを転送させる応答データ伝送段階（Ｓ０４）と、前記マッチング遮断段階（Ｓ０３）によってマッチングされたクライアントのパケットが、ウェブページ要請パケットである場合、ＵＲＬ Ｒｅｄｉｒｅｃｔ処理部３３を通じて該当のウェブサーバーに対する仮想ＩＰ情報に変換された情報データと、ウェブページを再要請するデータと、現在のセッション接続を切るように指示するデータとが含まれた信号を、該当のクライアント側に伝送するＵＲＬ Ｒｅｄｉｒｅｃｔ処理段階（Ｓ０５）と、が含まれることを特徴とする、ＮＡＴ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステムを制御するための制御方法を提供することができる。
【００１５】
ここで、前記ＵＲＬ Ｒｅｄｉｒｅｃｔ処理段階（Ｓ０５）によって、該当のクライアント側から該当のウェブサーバーに対する仮想ＩＰデータが受信された場合には、正常クライアントとして判別し、仮想ＩＰ復元部３５を通じて該当のウェブサーバーに対する仮想ＩＰ情報が実際ＩＰ情報に復元され、該当のウェブサーバーに情報要請データを伝送し、また、仮想ＩＰ変換部３４を通じて該当のウェブサーバーに対する仮想ＩＰ情報と、クライアントが要請した該当のウェブサーバー情報データとを転送する。
【発明の効果】
【００１６】
上記のように構成される本発明は、ＤＤＯＳ防御と関連して、ウェブサーバーに閾値以上の過度なトラフィックが検知される場合、該当のＩＰアドレスをブラックリストに登録し、そのＩＰアドレスの全てのトラフィックを遮断し、また、ＮＡＴ網において、同一の外部ＩＰアドレスを使用するユーザーを一次的に遮断し、攻撃トラフィック以外の正常ユーザーのトラフィックのみを許容する。特に、本発明は、このような同一のＩＰアドレスを使用する攻撃者と正常ユーザーとを区分することによって、攻撃者トラフィックは遮断し、正常ユーザーはウェブサービスを使用できるようにする。
【図面の簡単な説明】
【００１７】
【図１】本発明による正常ユーザーの遮断を防止するためのシステムを示す構成図である。
【図２】本発明による正常ユーザーの遮断を防止するためのシステムのブラックリストルールテーブルマッチング部による処理過程を示す例示図である。
【図３】本発明による正常ユーザーの遮断を防止するためのシステムによる正常ユーザーの遮断を防止するためのパケット処理を示す例示図である。
【図４】本発明による正常ユーザーの遮断を防止するためのシステムに関するパケット処理の段階別の処理過程を示す例示図である。
【図５】本発明による正常ユーザーの遮断を防止するためのシステムのブラックリストルールテーブルを示す例示図である。
【図６】本発明による正常ユーザーの遮断を防止するためのシステムの制御方法を示すフローチャートである。
【発明を実施するための形態】
【００１８】
以下、添付の図面を参照して、本発明の好適な実施例を詳細に説明する。
【００１９】
即ち、本発明によるＤＤＯＳ攻撃防御装備のためのＮＡＴ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステム（ＮＡＴ−ＥＮＡＢＬＥＤ ＳＹＳＴＥＭ ＴＯ ＰＲＥＶＥＮＴ ＴＨＥＢＬＯＣＫＩＮＧ ＯＦ Ａ ＮＯＲＭＡＬ ＣＬＩＥＮＴ’Ｓ ＷＥＢ ＳＥＲＶＩＣＥ ＵＳＩＮＧ ＮＡＴ ＦＲＯＭ Ａ ＤＤＯＳ ＤＥＦＥＮＳＥ ＳＹＳＴＥＭ）２０は、図１乃至図６に示すように、クライアントからパケットを受信するパケット受信部２２、２５と、受信したデータをクライアントに伝送するパケット送信部２３、２４と、前記パケット受信部からパケット情報を受信し、パケット送信部にデータを伝送するＮＡＴデータ処理部３０と、を含む。
【００２０】
また、前記ＮＡＴデータ処理部３０には、ブラックリストルールテーブルに貯蔵されたパケット情報のデータとマッチングされるか否かを判別し、マッチングされる該当のクライアントとのＴＣＰセッション接続以外のパケットを切るように指示するブラックリストルールテーブルマッチング部３１と、前記ブラックリストルールテーブルマッチング部３１を通じてマッチングすると判別された該当のクライアントが要請したデータが、ＴＣＰセッション接続パケットである場合に、ウェブサーバーの代わりにＴＣＰ ＳＹＮ−ＡＣＫ応答を生成して転送させるＴＣＰ ＳＹＮプロキシ処理部３２と、が含まれる。
【００２１】
また、図５に示すように、ブラックリストルールテーブルマッチング部３１のブラックリストルールテーブルには、異常な接続要請及び過度なウェブページ要請のトラフィックが検知されるクライアントを、攻撃者として分類し判別して、該当の攻撃者に対する情報が貯蔵される。
【００２２】
したがって、該当のクライアントが攻撃者として判別される場合には、ＴＣＰセッション接続パケットを遮断し、ウェブサーバーを保護することができる。
【００２３】
また、このように攻撃者として判別される場合には、ＴＣＰ ＳＹＮプロキシ処理部３２がウェブサーバーの代わりに、ＴＣＰ ＳＹＮ−ＡＣＫプロセシングを行うように指示するので、該当のウェブサーバーを保護することができる。
【００２４】
また、前記ＮＡＴデータ処理部３０には、該当のクライアントが要請するデータが、該当のウェブサーバーのウェブページ要請パケットである場合に、該当のウェブサーバーの仮想ＩＰアドレスに変換された応答データと、クライアントが該当のウェブサーバーに対する実際ウェブサーバーのセッション接続を切るようにし、仮想ＩＰアドレスを通じて接続させるＵＲＬ Ｒｅｄｉｒｅｃｔ又はＵＲＬ Ｍｏｖｅｄ ＨＴＴＰデータとを含み、パケット送信部２３を通じて該当のクライアント側に転送させるＵＲＬ Ｒｅｄｉｒｅｃｔ処理部３３が、さらに具備される。
【００２５】
特に、このようなＵＲＬ Ｒｅｄｉｒｅｃｔ処理部３３によって、実際ウェブサーバーに対する情報としてデータが処理されるのではなく、仮想ＩＰアドレスが含まれたデータとして処理されるように送受信されるので、該当のウェブサーバーを攻撃者に露出させずに保護することができる。
【００２６】
また、前記ＮＡＴデータ処理部３０には、このように仮想ＩＰアドレスと、実際ＩＰアドレスのデータ変換のために、ＴＣＰ ＳＹＮ−ＡＣＫ応答を行うクライアントからデータを受信し、仮想ウェブサーバーＩＰアドレスを実際ウェブサーバーＩＰアドレスに復元し、実際ウェブサーバー側にデータを伝送させる仮想ＩＰ復元部３５と、クライアントの要請に応じてウェブサーバーから受信したパケットに対して、クライアントに転送された該当のウェブサーバーの仮想ＩＰアドレスに変換し、パケット送信を行う仮想ＩＰ変換部３４と、が含まれる。
【００２７】
したがって、もし、ブラックリストルールテーブルとのマッチング過程で攻撃者として判別されたクライアントとしても、正常ユーザーである場合、ブラックリストルールテーブルによるブラックリストのマッチング条件にマッチングされないので遮断されない。反面、攻撃者は、ブラックリストルールテーブルのマッチング条件により遮断され、該当のウェブサーバーを保護することができる。また、ＴＣＰ ＳＹＮプロキシ処理部３２、ＵＲＬ Ｒｅｄｉｒｅｃｔ処理部３３、仮想ＩＰ変換部３４、仮想ＩＰ復元部３５などを通じて正常クライアントであるか否かを判別するのでウェブサーバーを保護しながら、該当の正常ユーザーのクライアントが該当のウェブサーバーを安定的に利用することができる。
【００２８】
このような、本発明によるＤＤＯＳ攻撃防御装備のためのＮＡＴ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステム２０において、前記ブラックリストルールテーブルマッチング部３１のブラックリストルールテーブルには、攻撃者クライアントのソースＩＰデータ、ウェブサーバーのあて先ＩＰデータ、ウェブサーバーのあて先ポートデータが含まれる。
【００２９】
また、本発明によるＤＯＳ、ＤＤＯＳ攻撃のように、攻撃者クライアントによる異常な接続要請及び過度なウェブページ要請のトラフィックが受信される際、攻撃防御装備のためのＮＡＴ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステム２０を制御するための制御方法において、まず、クライアント側からウェブサーバーの情報要請に対するデータを受信するウェブサーバー情報要請受信段階（Ｓ０１）が行われる。このようなウェブサーバー情報要請受信段階において、ＤＯＳ、ＤＤＯＳ攻撃のように、異常な接続要請及び過度なウェブページ要請のトラフィックを送るクライアントである場合には、攻撃者として分類し、ブラックリストルールテーブルに該当の情報を貯蔵する。したがって、攻撃者であるか否かをマッチングにより判別する。
【００３０】
即ち、ＮＡＴデータ処理部３０のブラックリストルールテーブルマッチング部３１によって、クライアントから転送されたデータと、ブラックリストルールテーブルのデータとがマッチングするか否かを判別するブラックリストマッチング判別段階（Ｓ０２）が行われる。
【００３１】
したがって、前記ブラックリストマッチング判別段階（Ｓ０２）によって該当のクライアントの情報がブラックリストルールテーブルのデータとマッチングされる場合には、該当のクライアントに対するＴＣＰセッション接続以外のパケットは遮断させるマッチング遮断段階（Ｓ０３）が行われるので、該当のウェブサーバーを保護することができる。
【００３２】
また、前記マッチング遮断段階（Ｓ０３）によってマッチングされたクライアントのパケットがＴＣＰセッション接続パケットである場合、ＴＣＰ ＳＹＮプロキシ処理部３２がウェブサーバーの代わりにＴＣＰ ＳＹＮ−ＡＣＫ応答を生成して、パケット転送させる応答データ伝送段階（Ｓ０４）が行われる。したがって、正常クライアントであるか否かを判別する過程を進行することができる。
【００３３】
また、前記マッチング遮断段階（Ｓ０３）によってマッチングされたクライアントのパケットがウェブページ要請パケットである場合、ＵＲＬ Ｒｅｄｉｒｅｃｔ処理部３３を通じて該当のウェブサーバーに対する仮想ＩＰ情報に変換された情報データと、ウェブページを再要請するデータと、現在のセッション接続を切るように指示するデータとが含まれた信号を、該当のクライアント側に伝送するＵＲＬ Ｒｅｄｉｒｅｃｔ処理段階（Ｓ０５）が行われるので、該当のウェブサーバーに接続しようとするクライアントが正常クライアントであるか否かを判別することができる。
【００３４】
また、このような、前記ＵＲＬ Ｒｅｄｉｒｅｃｔ処理段階（Ｓ０５）によって該当のクライアント側から、該当のウェブサーバーに対する仮想ＩＰデータが含まれたデータが受信された場合には、正常クライアントとして判別し、仮想ＩＰ復元部３５を通じて該当のウェブサーバーに対する仮想ＩＰ情報から実際ＩＰ情報に復元させ、該当のウェブサーバーに情報を要請するデータを伝送し、また、仮想ＩＰ変換部３４を通じて該当のウェブサーバーに対する仮想ＩＰ情報と、クライアントが要請した該当のウェブサーバーの情報データとを該当のクライアント側に転送させる。
【００３５】
以下、本発明による詳細な構成について添付の図面を参照し説明する。ウェブサービスへの正常ユーザーの遮断を防止するためのシステム２０は、ユーザー（正常ユーザー１１、攻撃者１２）とウェブサーバー１３との間に位置して、図１のように、パケット受信部２２、２５と、パケット送信部２３、２４と、また、これらを連結するＮＡＴデータ処理部３０と、で構成される。
【００３６】
また、このようなＮＡＴデータ処理部３０（ＮＡＴ ＤＡＴＡ ＰＲＯＣＥＳＳＯＲ）は、ブラックリストルールテーブルマッチング部（ＢＬＡＣＫ ＬＩＳＴ ＲＵＬＥ ＴＡＢＬＥ ＭＡＴＣＨＥＲ）３１と、ＴＣＰ ＳＹＮプロキシ処理部（ＴＣＰ ＳＹＮ ＰＲＯＸＹ ＰＲＯＣＥＳＳＯＲ）３２と、ＵＲＬ Ｒｅｄｉｒｅｃｔ処理部３３（ＵＲＬ Ｒｅｄｉｒｅｃｔ ＰＲＯＣＥＳＳＯＲ）と、サーバーのＩＰアドレスを仮想ＩＰアドレスに変換するための仮想ＩＰ変換部（ＶＩＲＴＵＡＬ ＩＰ ＴＲＡＮＳＬＡＴＯＲ）３４と、仮想ＩＰアドレスを実際ＩＰアドレスに復元するための仮想ＩＰ復元部（ＶＩＲＴＵＡＬ ＩＰ ＲＥＳＴＯＲＡＴＯＲ）３５と、で構成される。
【００３７】
ここで、パケット受信部２２は、正常ユーザー１１、攻撃者１２などのパケット情報をネットワークから受信し、ＮＡＴデータ処理部３０に、その受信されたパケットデートを伝送して、ＮＡＴデータ処理部３０では転送されたデータを受信し、ブラックリストルールテーブルマッチング部３１によって攻撃者の情報であるか否かをマッチング過程を通じて検査する。
【００３８】
したがって、ブラックリストルールテーブルマッチング部３１によって攻撃者であるか否かを判別し、攻撃者として判別する場合には、その攻撃者として判別されたパケットを直ちに遮断させる。即ち、正常のＴＣＰセッション接続以外の攻撃者の接続として判別されると、直ちに、その攻撃者として判別されたパケットを遮断させる。
【００３９】
反面、攻撃者の情報以外の正常ユーザーの情報である場合、ブラックリストルールテーブルマッチング部３１でのマッチング判別処理過程において、正常ＴＣＰセッション接続パケットとして判別された場合には、図４のように、ＴＣＰ ＳＹＮプロキシ処理部３２を通じてウェブサーバー１３の代わりにＴＣＰ ＳＹＮ−ＡＣＫ応答を生成して、パケット送信部２３を通じてパケットをユーザー側に送る。
【００４０】
また、ユーザーから転送されたデータ情報がＨＴＴＰウェブページ要請パケットである場合には、ＵＲＬ Ｒｅｄｉｒｅｃｔ処理部３３を通じてＵＲＬ Ｒｅｄｉｒｅｃｔパケットを生成して、パケット送信装置に伝送する。ＨＴＴＰウェブページ要請が仮想ウェブサーバーアドレスである場合、仮想ＩＰ復元部３５を通じて実際ウェブサーバー１３のＩＰアドレスに変換し、パケット送信部２４を通じてウェブサーバー１３にパケットを伝送する。また、ウェブサーバー１３からパケット受信部２５を通じて受信したパケットは、正常ユーザー１１に送信された仮想ＩＰアドレスに、仮想ＩＰ変換部３４を通じて変換し、パケット送信部２３を通じてユーザーに転送し、ＤＤＯＳ攻撃防御装備のためのＮＡＴ網用パケットデータ処理装備を構成する。
【００４１】
続いて、本発明によるＤＤＯＳ攻撃防御装備のためのＮＡＴ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステム２０による攻撃者防御の過程について説明する。
【００４２】
即ち、図２のウェブサービスの正常ユーザーの遮断を防止するためのシステム２０は、ＤＤＯＳ防御用ＮＡＴ処理装備の構成に示すように、検知エンジンを通じて攻撃者の異常な接続要請、及びウェブサーバーに対する過度なウェブページ要請トラフィックが検知される場合、ブラックリストルールテーブルマッチング部３１のデータベースに、ＮＡＴ及びウェブサーバーに対する情報が貯蔵させる。この際、ＮＡＴ公認ＩＰアドレス（１０．１０．１０．１）、ウェブサーバーＩＰアドレス（２１１．２２２．１９５．５）、ウェブサーバーポート８０をブラックリストルールテーブルマッチング部３１のデータベースのテーブルに登録させる。
【００４３】
ＤＤＯＳ攻撃防御用ＮＡＴ処理装備を通じて受信されるパケットをクライアントＩＰアドレス（１０．１０．１０．１）、ウェブサーバーＩＰアドレス（２１１．２２２．１９５．５）、ウェブサーバーポート８０である場合とそれぞれ分析し、ブラックリストルールテーブルマッチング部３１のデータテーブルとマッチングされ、攻撃者として判別されると、ブラックリストルールテーブルマッチング部３１ではＴＣＰセッション接続以外の攻撃者パケットは、直ちに遮断させるように制御信号を他の制御部材に伝送する。
【００４４】
また、ＴＣＰセッション接続に関連するパケットは、ＴＣＰ ＳＹＮプロキシ処理部３２に転送される。ここで、ＴＣＰ ＳＹＮプロキシ処理部３２は、ウェブサーバー１３の代わりにＴＣＰ ＳＹＮセッション接続要請に対するＳＹＮ−ＡＣＫ応答を行う装置として作動される。即ち、このようなＴＣＰ ＳＹＮプロキシ処理部３２には異常なＴＣＰ接続要請をウェブサーバー１３に伝達せずに遮断するのに利用されるプロキシ装置が適用される。
【００４５】
このようなＴＣＰ ＳＹＮプロキシ処理部３２を通じてウェブサーバー１３へのＳＹＮフラッディング攻撃（Ｓｙｎ Ｆｌｏｏｄｉｎｇ Ａｔｔａｃｋ）やセッション接続要請による攻撃を全て遮断することができる。ＳＹＮフラッディングとは、ＴＣＰセッション接続要請によってサーバーがＳＹＮパケットを受信する際、メモリーを割り当てるので、ＳＹＮフラッディング攻撃が発生されると多量のＳＹＮパケットを受信して、過大なメモリー容量を使用することで、正常的なＴＣＰ接続処理を不可能にする攻撃方法である。したがって、このような本発明によるブラックリストルールテーブルマッチング部３１及びＴＣＰ ＳＹＮプロキシ処理部３２によって、攻撃者として判別されるデータをウェブサーバー１３に伝達せずに遮断することができるので、正常的なユーザーの情報を保護することができる。
【００４６】
続いて、本発明によるＤＤＯＳ攻撃防御装備のためのＮＡＴ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステムにおいて、正常ユーザーに対する処理過程について説明する。
【００４７】
即ち、図３に示すように、クライアントが“ＧＥＴ／ｉｎｄｅｘ．Ｈｔｍｌ ＨＴＴＰ １．１”のようにウェブページ要請を行った場合、現在のＴＣＰセッション接続を切断して、仮想のホストを通じて接続するようにウェブサーバーのホストアドレスをｗｗｗ．ｎａｖｅｒ１．ｃｏｍに変更し、正常ユーザーであるかを確認するための応答パケットをユーザー側に送る。
【００４８】
ここで、ＵＲＬ Ｒｅｄｉｒｅｃｔ処理部３３では、現在のセッション接続を切るように、クライアントにＴＣＰヘッダーにＦＩＮ、ＰＵＳＨ、ＡＣＫ＝１に設定し、ＨＴＴＰプロトコル標準であるＵＲＬ Ｍｏｖｅｄ又はＵＲＬ Ｒｅｄｉｒｅｃｔ３０１／３０２コードとロケーション：ｗｗｗ．ｎａｖｅｒ１．ｃｏｍの応答パケットを生成して送る。ＴＣＰ ＦＩＮ、ＰＵＳＨ、ＡＣＫ＝１に設定し、クライアントに現在のセッション接続を切断して、新しいＴＣＰセッション要請を行うように指示するためである。ＨＴＴＰ ＵＲＬ Ｒｅｄｉｒｅｃｔは、クライアントに、現在、要請したページのアドレスが変更されたこと、及びロケーションフィールドに明示されたアドレスに再要請することを知らせるためのＨＴＴＰ応答パケットである。また、下記のようにパケットを生成して構成することができる。
【００４９】
（ａ） Ｉｎｔｅｒｎｅ Ｐｒｏｔｏｃｏｌ、ｓｒｃ：１０．１０．１０．１、ｄｓｔ：２１１．２２２．１９５．５
（ｂ） Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ：ｄｓｔ＿ｐｏｒｔ：ｈｔｔｐ（８０）、ＦＩＮ：１、ＰＵＳＨ：１、ＡＣＫ：１
（ｃ） Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ：
ＨＴＴＰ１．１ ３０１ Ｍｏｖｅｄ Ｐｅｒｍａｎｅｎｔｌｙ
Ｃｏｎｔｅｎｔ−Ｌｅｎｇｔｈ：０
Ｌｏｃａｔｉｏｎ：ｈｔｔｐ：／／ｗｗｗ．ｎａｖｅｒ１．ｃｏｍ
Ｃｏｎｎｅｃｔｉｏｎ：ｃｌｏｓｅ
また、上記の（ａ）はＩＰヘッダーに関するもので、ソースとあて先ＩＰアドレスを含んでいる構成を示したものであり、（ｂ）はソースとあて先のポート、ＴＣＰフラッグを含んでいることを示したものである。そして（Ｃ）はＨＴＴＰヘッダー情報を含んでＨＴＴＰ １．１ ３０１状態のコードでＵＲＬ Ｍｏｖｅｄ／Ｒｅｄｉｒｅｃｔされたという応答コードに関するもので、ロケーションフィールドは変更されたサーバーのＵＲＬアドレスを表示する。
【００５０】
前記のような実施例において、パケット情報はアドレスがｗｗｗ．ｎａｖｅｒ．ｃｏｍからｗｗｗ．ｎａｖｅｒ１．ｃｏｍに変更されたことを知らせるためのＨＴＴＰパケット情報を伝送する。ユーザーＡ（１０．１０．１０．１）が仮想のウェブサーバー（２１１．２２２．１９５．６：ｗｗｗ．ｎａｖｅｒ１．ｃｏｍ：８０）にウェブページを要請する際、正常ユーザー１１である場合には、ブラックリストルールテーブルマッチング部３１でマッチングされないので遮断されない。
【００５１】
そして、仮想ＩＰ復元部３５では仮想のウェブサーバーアドレス（２１１．２２２．１９５．６：ｗｗｗ．ｎａｖｅｒ１．ｃｏｍ：８０）を、実際のサーバーＩＰアドレス（２１１．２２２．１９５．５：ｗｗｗ．ｎａｖｅｒ１．ｃｏｍ：８０）に復元し、ウェブサーバーＡに伝送する。
【００５２】
続いて、ウェブサーバーＡから受信されるパケットは、仮想ＩＰ変換部３４を通じてウェブサーバーＡからユーザーＡに送るソースアドレスを仮想ＩＰアドレス（２１１．２２２．１９５．６）に変換し、ユーザーＡに伝送する。これはウェブサーバーＡから受信されるパケットがブラックリストルールテーブルマッチング部３１に貯蔵された情報とマッチングされることなく正常ユーザー１１として判別し、ブラックリストルールテーブルマッチング部３１を通じて遮断されることを防止するための過程である。
【００５３】
一般的に使用する大部分のＤＤＯＳ攻撃ツールの方法は、サーバーに対する応答をしなくて、単方向に多量のトラフィックをサーバーに送って攻撃する方法を使用する。したがって、攻撃者ＰＣ（１０．１０．１０．１）１２によるウェブページ要請の場合には、図２の３番段階（３．ＡＣＫ）のパケットに対する応答をせずにウェブページ要請のみを行う。
【００５４】
したがって、ウェブページ要請パケットであるウェブサーバー（２１１．２２２．１９５．５：８０）“ＧＥＴ／ｉｎｄｅｘ．ｈｔｍｌＨＴＴＰ１．１“と、攻撃者ＰＣ（１０．１０．１０．１）情報と、ウェブサーバー（２１１．２２２．１９５．５：８０）に対する情報とを要請するパケットを受信すると、ブラックリストルールテーブルマッチング部３１ではこのような攻撃者による接近を遮断させる。
【００５５】
反面、ブラックリストルールテーブルマッチング部３１のデータベースのテーブルに攻撃者リストとして登録されていないとともに、新しいＡＣＫに対する要請に対して仮想ウェブサーバーの情報でもってウェブページ要請を行う場合には、ブラックリストルールテーブルマッチング部３１では正常ユーザーとして分類し、したがって、仮想ＩＰ復元３５及び仮想ＩＰ変換部３４を通じて正常ユーザー１１側に該当のウェブサーバーに対する情報を伝送する。
【００５６】
したがって、ＮＡＴ網において同一のＩＰアドレスを使用するユーザーＡと攻撃者ＰＣとを区分し、同一のＩＰアドレスを使用する場合にも、要請される要請情報によってマッチングテーブルから判別することで、攻撃者ＰＣは遮断させ、正常ユーザーに対するインターネットサービスの遮断を防止させて正常使用を可能にする。
【００５７】
以上では本発明の実施例に挙げて詳細に説明してきたが、これらの実施例は、本明の属する技術分野における通常の知識を有する者が、本発明を容易に実施できるように記載したもので、上記の実施例により本発明の技術思想が制限されることはない。
【符号の説明】
【００５８】
１１ 正常ユーザー
１２ 攻撃者
１３ ウェブサーバー
２０ 正常ユーザーの遮断を防止するためのシステム
２２、２５ パケット受信部
２３、２４ パケット送信部
３０ ＮＡＴデータ処理部
３１ ブラックリストルールテーブルマッチング部
３２ ＴＣＰ ＳＹＮプロキシ処理部
３３ ＵＲＬ Ｒｅｄｉｒｅｃｔ処理部
３４ 仮想ＩＰ変換部
３５ 仮想ＩＰ復元部
【特許請求の範囲】
【請求項１】
クライアントからデータを受信するパケット受信部と、
受信したデータをクライアントに伝送するパケット送信部と、
前記パケット受信部からパケット情報を受信し、パケット送信部にデータを伝送するＮＡＴデータ処理部（３０）とを含み、
前記ＮＡＴデータ処理部（３０）には、
ブラックリストルールテーブルに貯蔵されたパケット情報のデータとマッチングされるか否かを判別し、マッチングされる該当のクライアントとのＴＣＰセッション接続以外のパケットを遮断させるブラックリストルールテーブルマッチング部（３１）と、
クライアントが要請するデータが該当のウェブサーバーのウェブページ要請パケットである場合に、該当のウェブサーバーの仮想ＩＰアドレスに変換された応答データと、クライアントがウェブサーバーに対するセッション接続を切断して、仮想ＩＰアドレスを通じて接続するように指示するデータとを該当のクライアント側に転送させるＵＲＬ Ｒｅｄｉｒｅｃｔ処理部（３３）と、が含まれることを特徴とする、ＮＡＴ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステム。
【請求項２】
前記ＮＡＴデータ処理部（３０）には、
クライアントが要請するデータが、ＴＣＰセッション接続パケットである場合に、ウェブサーバーの代わりに、ＴＣＰ ＳＹＮ−ＡＣＫ応答を生成して転送するＴＣＰ ＳＹＮプロキシ処理部（３２）と、
クライアントからパケットを受信し、仮想ウェブサーバーＩＰアドレスを実際ウェブサーバーＩＰアドレスに復元し、実際ウェブサーバー側にパケットを伝送させる仮想ＩＰ復元部（３５）と、
クライアントの要請によってウェブサーバーから受信したパケットに対して、ウェブサーバーからクライアントに転送されたウェブサーバーの仮想ＩＰアドレスに変換し、パケット送信を行う仮想ＩＰ変換部（３４）とが含まれて、
前記ＵＲＬ Ｒｅｄｉｒｅｃｔ処理部（３３）は、仮想ＩＰアドレスを通じて接続させるＵＲＬ Ｍｏｖｅｄ又はＵＲＬ Ｒｅｄｉｒｅｃｔ ＨＴＴＰデータを含み、パケット送信部（２３）を通じて該当のクライアント側に転送し、また、
前記ブラックリストルールテーブルマッチング部（３１）のブラックリストルールテーブルには、攻撃者クライアントのソースＩＰデータ、ウェブサーバーのあて先ＩＰデータ、ウェブサーバーのあて先ポートデータが含まれることを特徴とする、請求項１に記載のＮＡＴ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステム。
【請求項３】
クライアントとウェブサーバーとの間に位置し、
クライアントからウェブサーバーの情報要請に対するデータを受信し、
ブラックリストルールテーブルに貯蔵されたパケット情報とマッチングされるか否かを判別し、マッチングすると判別された該当のクライアントのＴＣＰセッション接続以外のパケットは遮断して、
該当のウェブサーバーの仮想ＩＰ情報データと現在のセッション接続を切るように指示するデータを、クライアント側に伝送し、また、
該当のクライアント側から該当のウェブサーバーに対する仮想ＩＰ情報でもってウェブサーバーの情報を要請した場合には、正常ユーザーとして判別して処理することを特徴とする、ＮＡＴ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステム。
【請求項４】
クライアント側からウェブサーバーの情報を要請するデータを受信するウェブサーバー情報要請受信段階（Ｓ０１）と、
ＮＡＴデータ処理部（３０）のブラックリストルールテーブルマッチング部（３１）を通じてクライアントから転送されたデータとブラックリストルールテーブルのデータとがマッチングするか否かを判別するブラックリストマッチング判別段階（Ｓ０２）と、
前記ブラックリストマッチング判別段階（Ｓ０２）によって該当のクライアントの情報がブラックリストルールテーブルのデータとマッチングされる場合には、該当のクライアントのＴＣＰセッション接続以外のパケットは遮断させるマッチング遮断段階（Ｓ０３）と、
前記マッチング遮断段階（Ｓ０３）によってマッチングされたクライアントのパケットがＴＣＰセッション接続パケットである場合、ＴＣＰ ＳＹＮプロキシ処理部（３２）が、ウェブサーバーの代わりにＴＣＰ ＳＹＮ−ＡＣＫ応答をして、パケットを転送させる応答データ伝送段階（Ｓ０４）と、
前記マッチング遮断段階（Ｓ０３）によってマッチングされたクライアントのパケットが、ウェブページ要請パケットである場合、ＵＲＬ Ｒｅｄｉｒｅｃｔ処理部（３３）を通じて該当のウェブサーバーに対する仮想ＩＰ情報に変換された情報データと、ウェブページを再要請するデータと、現在のセッション接続を切るように指示するデータとが含まれた信号を、該当のクライアント側に伝送するＵＲＬ Ｒｅｄｉｒｅｃｔ処理段階（Ｓ０５）と、
が含まれることを特徴とする、ＮＡＴ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステムを制御するための制御方法。
【請求項５】
前記ＵＲＬ Ｒｅｄｉｒｅｃｔ処理段階（Ｓ０５）によって、
該当のクライアント側から、該当のウェブサーバーに対する仮想ＩＰデータが含まれたデータが受信された場合には、正常クライアントとして判別し、仮想ＩＰ復元部（３５）を通じて該当のウェブサーバーに対する仮想ＩＰ情報から実際ＩＰ情報に復元させ、該当のウェブサーバーに情報を要請するデータを伝送し、また、仮想ＩＰ変換部（３４）を通じて該当のウェブサーバーに対する仮想ＩＰ情報と、クライアントが要請した該当のウェブサーバーの情報データとを転送させることを特徴とする、請求項４に記載のＮＡＴ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステムを制御するための制御方法。
【請求項１】
クライアントからデータを受信するパケット受信部と、
受信したデータをクライアントに伝送するパケット送信部と、
前記パケット受信部からパケット情報を受信し、パケット送信部にデータを伝送するＮＡＴデータ処理部（３０）とを含み、
前記ＮＡＴデータ処理部（３０）には、
ブラックリストルールテーブルに貯蔵されたパケット情報のデータとマッチングされるか否かを判別し、マッチングされる該当のクライアントとのＴＣＰセッション接続以外のパケットを遮断させるブラックリストルールテーブルマッチング部（３１）と、
クライアントが要請するデータが該当のウェブサーバーのウェブページ要請パケットである場合に、該当のウェブサーバーの仮想ＩＰアドレスに変換された応答データと、クライアントがウェブサーバーに対するセッション接続を切断して、仮想ＩＰアドレスを通じて接続するように指示するデータとを該当のクライアント側に転送させるＵＲＬ Ｒｅｄｉｒｅｃｔ処理部（３３）と、が含まれることを特徴とする、ＮＡＴ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステム。
【請求項２】
前記ＮＡＴデータ処理部（３０）には、
クライアントが要請するデータが、ＴＣＰセッション接続パケットである場合に、ウェブサーバーの代わりに、ＴＣＰ ＳＹＮ−ＡＣＫ応答を生成して転送するＴＣＰ ＳＹＮプロキシ処理部（３２）と、
クライアントからパケットを受信し、仮想ウェブサーバーＩＰアドレスを実際ウェブサーバーＩＰアドレスに復元し、実際ウェブサーバー側にパケットを伝送させる仮想ＩＰ復元部（３５）と、
クライアントの要請によってウェブサーバーから受信したパケットに対して、ウェブサーバーからクライアントに転送されたウェブサーバーの仮想ＩＰアドレスに変換し、パケット送信を行う仮想ＩＰ変換部（３４）とが含まれて、
前記ＵＲＬ Ｒｅｄｉｒｅｃｔ処理部（３３）は、仮想ＩＰアドレスを通じて接続させるＵＲＬ Ｍｏｖｅｄ又はＵＲＬ Ｒｅｄｉｒｅｃｔ ＨＴＴＰデータを含み、パケット送信部（２３）を通じて該当のクライアント側に転送し、また、
前記ブラックリストルールテーブルマッチング部（３１）のブラックリストルールテーブルには、攻撃者クライアントのソースＩＰデータ、ウェブサーバーのあて先ＩＰデータ、ウェブサーバーのあて先ポートデータが含まれることを特徴とする、請求項１に記載のＮＡＴ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステム。
【請求項３】
クライアントとウェブサーバーとの間に位置し、
クライアントからウェブサーバーの情報要請に対するデータを受信し、
ブラックリストルールテーブルに貯蔵されたパケット情報とマッチングされるか否かを判別し、マッチングすると判別された該当のクライアントのＴＣＰセッション接続以外のパケットは遮断して、
該当のウェブサーバーの仮想ＩＰ情報データと現在のセッション接続を切るように指示するデータを、クライアント側に伝送し、また、
該当のクライアント側から該当のウェブサーバーに対する仮想ＩＰ情報でもってウェブサーバーの情報を要請した場合には、正常ユーザーとして判別して処理することを特徴とする、ＮＡＴ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステム。
【請求項４】
クライアント側からウェブサーバーの情報を要請するデータを受信するウェブサーバー情報要請受信段階（Ｓ０１）と、
ＮＡＴデータ処理部（３０）のブラックリストルールテーブルマッチング部（３１）を通じてクライアントから転送されたデータとブラックリストルールテーブルのデータとがマッチングするか否かを判別するブラックリストマッチング判別段階（Ｓ０２）と、
前記ブラックリストマッチング判別段階（Ｓ０２）によって該当のクライアントの情報がブラックリストルールテーブルのデータとマッチングされる場合には、該当のクライアントのＴＣＰセッション接続以外のパケットは遮断させるマッチング遮断段階（Ｓ０３）と、
前記マッチング遮断段階（Ｓ０３）によってマッチングされたクライアントのパケットがＴＣＰセッション接続パケットである場合、ＴＣＰ ＳＹＮプロキシ処理部（３２）が、ウェブサーバーの代わりにＴＣＰ ＳＹＮ−ＡＣＫ応答をして、パケットを転送させる応答データ伝送段階（Ｓ０４）と、
前記マッチング遮断段階（Ｓ０３）によってマッチングされたクライアントのパケットが、ウェブページ要請パケットである場合、ＵＲＬ Ｒｅｄｉｒｅｃｔ処理部（３３）を通じて該当のウェブサーバーに対する仮想ＩＰ情報に変換された情報データと、ウェブページを再要請するデータと、現在のセッション接続を切るように指示するデータとが含まれた信号を、該当のクライアント側に伝送するＵＲＬ Ｒｅｄｉｒｅｃｔ処理段階（Ｓ０５）と、
が含まれることを特徴とする、ＮＡＴ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステムを制御するための制御方法。
【請求項５】
前記ＵＲＬ Ｒｅｄｉｒｅｃｔ処理段階（Ｓ０５）によって、
該当のクライアント側から、該当のウェブサーバーに対する仮想ＩＰデータが含まれたデータが受信された場合には、正常クライアントとして判別し、仮想ＩＰ復元部（３５）を通じて該当のウェブサーバーに対する仮想ＩＰ情報から実際ＩＰ情報に復元させ、該当のウェブサーバーに情報を要請するデータを伝送し、また、仮想ＩＰ変換部（３４）を通じて該当のウェブサーバーに対する仮想ＩＰ情報と、クライアントが要請した該当のウェブサーバーの情報データとを転送させることを特徴とする、請求項４に記載のＮＡＴ網用ウェブサービスへの正常ユーザーの遮断を防止するためのシステムを制御するための制御方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図２】
【図３】
【図４】
【図５】
【図６】
【公開番号】特開２０１１−２２１９９３（Ｐ２０１１−２２１９９３Ａ）
【公開日】平成２３年１１月４日（２０１１．１１．４）
【国際特許分類】
【出願番号】特願２０１１−４５５９７（Ｐ２０１１−４５５９７）
【出願日】平成２３年３月２日（２０１１．３．２）
【出願人】（５１１０５５８７６）ウィンス テックネット カンパニー，リミテッド (1)
【Ｆターム（参考）】
【公開日】平成２３年１１月４日（２０１１．１１．４）
【国際特許分類】
【出願日】平成２３年３月２日（２０１１．３．２）
【出願人】（５１１０５５８７６）ウィンス テックネット カンパニー，リミテッド (1)
【Ｆターム（参考）】
[ Back to top ]