JP3609381B2 - 分散型サービス不能攻撃防止方法及びゲート装置、通信装置ならびにプログラム - Google Patents
分散型サービス不能攻撃防止方法及びゲート装置、通信装置ならびにプログラム Download PDFInfo
- Publication number
- JP3609381B2 JP3609381B2 JP2002081905A JP2002081905A JP3609381B2 JP 3609381 B2 JP3609381 B2 JP 3609381B2 JP 2002081905 A JP2002081905 A JP 2002081905A JP 2002081905 A JP2002081905 A JP 2002081905A JP 3609381 B2 JP3609381 B2 JP 3609381B2
- Authority
- JP
- Japan
- Prior art keywords
- communication device
- upstream
- attack
- gate
- traffic
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
- Small-Scale Networks (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、ネットワークに接続された機器をネットワーク経由での攻撃から防御するための、サービス不能攻撃の防止方法およびその装置ならびにそのコンピュータプログラムに関するものである。
【０００２】
【従来の技術】
従来、ＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ ｃｏｎｔｒｏｌ ｐｒｏｔｏｃｏｌ／ｉｎｔｅｒｎｅｔ ｐｒｏｔｏｃｏｌ）などのネットワークプロトコルは、オープンとなっており、互いに信用されるグループで使われるように設計されている。このため、コンピュータのオペレーティングシステムでは、大量の通信トラフィック（データ等）を攻撃目標のサーバに送信することによって、ネットワークの伝送帯域やサーバの資源を消費して正当な利用者の利用を妨げようとするサービス不能攻撃（以下、「ＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃」と記す）を防ぐことは考慮されていない。このようなＤｏＳ攻撃に対する防御の方法は増えてきているが、複数箇所から同時に連携してＤｏＳ攻撃を行う「ＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃」に対する防御の方法は未だ効果的な方法が開発されていない。
【０００３】
このＤＤｏＳ攻撃に対する一防御の方法として、ＵＵＮＥＴ社のＣｅｎｔｅｒＴｒａｃｋがある。これは、インターネットのルータに診断機能を付加し、ＤＤｏＳ攻撃の送信元を追跡する技術である。
【０００４】
また、ＤＤｏＳ攻撃を検出したノードより攻撃元に近い上流ノードで攻撃トラヒックを制限するための技術としては、本出願の発明者等が出願済みの分散型サービス不能攻撃の防止方法（特願２００１−２７４０１６）、ＡＴ＆Ｔ社論文（Ｒ．Ｍａｈａｊａｎ， Ｓ．Ｍ．Ｂｅｌｌｏｖｉｎ， Ｓ．Ｆｌｏｙｄ， Ｊ．Ｉｏａｎｎｉｄｉｓ， Ｖ．Ｐａｘｓｏｎ ａｎｄ Ｓ．Ｓｈｅｎｋｅｒ： “Ｃｏｎｔｒｏｌｌｉｎｇ ｈｉｇｈ ｂａｎｄｗｉｄｔｈ ａｇｇｒｅｇａｔｅｓ ｉｎ ｔｈｅ ｎｅｔｗｏｒｋ − ｅｘｔｅｎｄｅｄ ｖｅｒｓｉｏｎ”（２００１））、ＩＤＩＰ（Ｉｎｔｒｕｄｅｒ Ｄｅｔｅｃｔｉｏｎ ａｎｄ Ｉｓｏｌａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）（Ｄ．Ｓｃｈｎａｃｋｅｎｂｅｒｇ， Ｋ．Ｄｊａｈａｎｄａｒｉ ａｎｄ Ｄ．Ｓｔｅｒｎｅ： “Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ ｆｏｒ ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ａｎｄ ｒｅｓｐｏｎｓｅ”， Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ＤＡＲＰＡ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｕｒｖｉｖａｂｉｌｉｔｙ Ｃｏｎｆｅｒｅｎｃｅ ａｎｄ Ｅｘｐｏｓｉｔｉｏｎ（ＤＩＳＣＥＸ）， Ｓｏｕｔｈ Ｃａｒｏｌｉｎａ（２０００））などがある。ＡＴ＆Ｔ社論文及びＩＤＩＰは、攻撃検出イベントを攻撃経路の上流ノードへ伝達し、上流ノードで伝送帯域制限を行うための方式やプロトコルである。本出願の発明者等が出願済みの分散型サービス不能攻撃の防止方法は、ルータにインストールされている移動型パケットフィルタリングプログラムが、自らのプログラムの複製を作成し、その複製を上流ルータ移動させ、各上流ルータへ移動してきた移動型パケットフィルタリングプログラムは、それぞれＤＤｏＳ攻撃者のホストからサーバに向けて送られているトラフィック全てを通過させないようする技術である。
【０００５】
【発明が解決しようとする課題】
Ｃｅｎｔｅｒ Ｔｒａｃｋは、攻撃を受けた被害者が攻撃者を特定することを助ける技術ではあるが、実際に攻撃を受けているときにその攻撃を防御することはできない。加えて、複数箇所に分散された分散型ＤｏＳの攻撃元になっているコンピュータやそのコンピュータが接続されているネットワークの管理者に連絡をしないと、攻撃そのものを止めることはできないため、実質的には攻撃を止めるまでに何時間、あるいは何日もの時間がかかってしまうという問題点がある。
【０００６】
また、この出願の同発明者等が出願済みの分散型サービス不能攻撃の防止方法、ＡＴ＆Ｔ論文及びＩＤＩＰにおては、攻撃パケットと特定されたパケットを次ノードへ送出せず、全て破棄してまう。よって、標的となるサーバのダウンやルータ装置の過負荷等によりサービスが停止する一次被害を防止することはできるが、正規利用者からのパケットを攻撃パケットと識別する方法がないため、誤って正規利用者からの正規パケットも攻撃パケットとして破棄してしまう可能性があり、正規利用者の利用性が低下するといった二次被害を引き起こしてしまうという問題がある。
【０００７】
本発明は、上記事情を考慮してなされたものであり、その目的は、正規利用者へのサービス性を低下させる被害を軽減しながらＤＤｏＳ攻撃を防御できる、分散型サービス不能攻撃防止方法及び装置ならびにプログラムを提供することにある。
【０００８】
【課題を解決するための手段】
この発明は、上記の課題を解決すべくなされたもので、請求項１に記載の発明は、複数の通信装置を網目状に接続してなるネットワークと、防御対象であるコンピュータおよびＬＡＮと、前記ＬＡＮおよびネットワークの間に介挿されたゲート装置とを有するネットワークシステムにおいて、前記ゲート装置は、入力される通信トラヒックから攻撃容疑トラヒックを検出した場合に、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の前記通信装置へ送信する処理を行い、前記通信装置は、前記攻撃容疑トラヒックの伝送帯域を下流のゲート装置または通信装置から受信した前記伝送帯域制限値に制限すると共に、前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信する処理を行い、前記攻撃容疑パケット送出元の最上流の前記通信装置に達するまで再帰的に、前記攻撃容疑パケットの伝送帯域の制限と、前記攻撃容疑トラヒックの伝送帯域制限値送信との処理を行い、前記ゲート装置は、前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信する処理を行い、前記上流の通信装置は、前記下流のゲート装置または通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域問合せを受信して、当該通信装置における前記攻撃容疑トラヒックの平均入力伝送帯域値を前記下流のゲート装置または通信装置へ送信する処理を行い、前記ゲート装置は、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信する処理を行い、前記通信装置は、前記攻撃容疑トラヒックの伝送帯域を下流のゲート装置または通信装置から受信した前記伝送帯域制限調整値に制限すると共に、前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信する処理と、前記下流の通信装置から受信した伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信する処理とを行い、前記攻撃容疑パケット送出元の最上流の前記通信装置に達するまで再帰的に、伝送帯域制限調整値に前記攻撃容疑パケットの伝送帯域の制限と共に、前記攻撃容疑トラヒックの伝送帯域制限調整値の送信との処理を行う、ことを特徴とする分散型サービス不能攻撃防止方法である。
【０００９】
請求項２に記載の発明は、請求項１に記載の分散型サービス不能攻撃防止方法であって、前記伝送帯域制限値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
【数１１】
により算出されることを特徴とする。
【００１０】
請求項３に記載の発明は、請求項１または請求項２に記載の分散型サービス不能攻撃防止方法であって、前記伝送帯域制限調整値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの平均入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
【数１２】
により算出されることを特徴とする。
【００１１】
請求項４に記載の発明は、複数の通信装置を網目状に接続してなるネットワークと、防御対象であるコンピュータおよびＬＡＮとの間に介挿されたゲート装置において、入力される通信トラヒックをチェックし、分散型サービス不能攻撃の攻撃容疑トラヒックを検出するトラヒック監視手段と、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記トラヒック監視手段によって検出された攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信する帯域制限指示手段と、前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問い合わせる伝送帯域問合せ手段と、前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信する伝送帯域値受信手段と、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信する帯域制限調整手段と、を備えることを特徴とするゲート装置である。
【００１２】
請求項５に記載の発明は、請求項４に記載のゲート装置であって、前記帯域制限指示手段は、前記伝送帯域制限値を、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
【数１３】
により算出し、前記帯域制限調整手段は、前記伝送帯域調整値を、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの平均入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
【数１４】
により算出することを特徴とする。
【００１３】
請求項６に記載の発明は、防御対象であるコンピュータおよびＬＡＮを防御するゲート装置が接続されたネットワークのノードを構成する通信装置において、下流のゲート装置あるいは通信装置から攻撃容疑トラヒックの伝送帯域制限値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限値に制限する帯域制御手段と、前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信する帯域制限指示手段と、前記下流のゲート装置あるいは通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域問い合わせを受信し、当該通信装置における前記攻撃容疑トラヒックの平均入力伝送帯域値を前記下流のゲート装置あるいは通信装置へ送信する帯域通知手段と、前記下流のゲート装置あるいは通信装置から攻撃容疑トラヒックの伝送帯域制限調整値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限調整値に制限する帯域制御調整手段と、前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問い合わせる伝送帯域問合せ手段と、前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信する伝送帯域値受信手段と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値と前記受信した伝送帯域制限調整値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して、前記上流の通信装置へ送信する帯域制限調整手段と、を備えることを特徴とする通信装置である。
【００１４】
請求項７に記載の発明は、請求項６に記載の通信装置であって、前記帯域制限指示手段は、前記伝送帯域制限値を、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
【数１５】
により算出し、前記帯域制限調整手段は、前記伝送帯域調整値を、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの平均入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
【数１６】
により算出することを特徴とする。
【００１５】
請求項８に記載の発明は、複数の通信装置を網目状に接続してなるネットワークと、防御対象であるコンピュータおよびＬＡＮとの間に介挿されたゲート装置上で実行されるコンピュータプログラムであって、入力される通信トラヒックをチェックし、分散型サービス不能攻撃の攻撃容疑トラヒックを検出した場合に、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信するステップと、前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信するステップと、前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信するステップと、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信するステップと、をコンピュータに実行させることを特徴とする分散型サービス不能攻撃防止プログラムである。
【００１６】
請求項９に記載の発明は、防御対象であるコンピュータおよびＬＡＮを防御するゲート装置が接続されるたネットワークのノードを構成する通信装置上で実行されるコンピュータプログラムであって、下流のゲート装置又は通信装置から攻撃容疑トラヒックの伝送帯域制限値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限値に制限するステップと、前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して、上流の通信装置へ送信するステップと、前記下流のゲート装置又は通信装置から攻撃容疑トラヒックの平均入力伝送帯域を問い合わせる伝送帯域問合せを受信し、前記攻撃容疑トラヒックの平均入力伝送帯域値を前記下流のゲート装置又は通信装置へ送信するステップと、前記下流のゲート装置又は通信装置から伝送帯域制限調整値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限調整値に制限するステップと、前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信するステップと、前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信するステップと、前記受信した伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信するステップと、をコンピュータに実行させることを特徴とする分散型サービス不能攻撃防止プログラムである。
【００１７】
請求項１０に記載の発明は、請求項８または請求項９に記載の分散型サービス不能攻撃防止プログラムであって、前記伝送帯域制限値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
【数１７】
により算出され、前記伝送帯域制限調整値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの平均入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
【数１８】
により算出されることを特徴とする。
【００１８】
請求項１１に記載の発明は、複数の通信装置を網目状に接続してなるネットワークと、防御対象であるコンピュータおよびＬＡＮとの間に介挿されたゲート装置上で実行されるコンピュータプログラムを記緑したコンピュータ読み取り可能な記録媒体であって、入力される通信トラヒックをチェックし、分散型サービス不能攻撃の攻撃容疑トラヒックを検出した場合に、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信するステップと、前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信するステップと、前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信するステップと、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信するステップと、の各処理をコンピュータに実行させる分散型サービス不能攻撃防止プログラムを記録することを特徴とする記録媒体である。
【００１９】
請求項１２に記載の発明は、防御対象であるコンピュータおよびＬＡＮを防御するゲート装置が接続されたネットワークのノードを構成する通信装置上で実行されるコンピュータプログラムを記緑したコンピュータ読み取り可能な記録媒体であって、下流のゲート装置又は通信装置から攻撃容疑トラヒックの伝送帯域制限値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限値に制限するステップと、前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して、上流の通信装置へ送信するステップと、前記下流のゲート装置又は通信装置から攻撃容疑トラヒックの平均入力伝送帯域を問い合わせる伝送帯域問合せを受信し、前記攻撃容疑トラヒックの平均入力伝送帯域値を前記下流のゲート装置又は通信装置へ送信するステップと、前記下流のゲート装置又は通信装置から伝送帯域制限調整値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限調整値に制限するステップと、前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信するステップと、前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信するステップと、前記受信した伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信するステップと、の各処理をコンピュータに実行させる分散型サービス不能攻撃防止プログラムを記録することを特徴とする記録媒体である。
【００２０】
請求項１３に記載の発明は、請求項１１または請求項１２に記載の分散型サービス不能攻撃防止プログラムを記録することを特徴とする記録媒体であって、前記伝送帯域制限値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
【数１９】
により算出され、
前記伝送帯域制限調整値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの平均入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
【数２０】
により算出されることを特徴とする。
【００２１】
【発明の実施の形態】
以下図面を参照し、この発明の一実施の形態について説明する。図１は、同実施の形態を適用したネットワークの構成図である。この図において、２０００はサーバ、２００１はこの発明の一実施形態によるゲート装置（ゲートウェイ）、２００２〜２００６はこの発明の一実施形態による通信装置（ルータ）、２００７〜２０１０は端末装置である。ＤＤｏＳ攻撃の被攻撃者のサーバ２０００が収容されているＬＡＮ（ローカルエリアネットワーク）は、ゲート装置２００１によって外部のネットワークに接続されている。そして、ネットワークは通信装置２００２、２００３、２００４、２００５、２００６を有している。ＤＤｏＳ攻撃者によって操作された端末装置２００７、２００８が、攻撃パケットを被攻撃者のサーバ２０００に向かって送信すると、攻撃パケットが被攻撃者収容ＬＡＮに集中して混雑が発生することにより、ゲート装置２００１の資源を消費してしまい、ＤＤｏＳ攻撃者とは無関係な正規利用者の端末２００９、２０１０からサーバ２０００に接続できなくなるという現象が起こる。
【００２２】
ゲート装置２００１は、予めサーバ２０００を保有する利用者が設定した攻撃容疑検出条件を記憶している。図２に攻撃容疑検出条件の設定の例を示す。さらに、ゲート装置２００１は、防御対象のサーバ２０００及びサーバ２０００が収容されているＬＡＮの所有者によって予め設定された伝送帯域制限値を記憶している。
【００２３】
図２における攻撃容疑検出条件は、検出属性、検出閾値及び検出間隔の組からなる３組のレコードで構成される。ここでは、番号はレコードを特定するために便宜上使用される。攻撃容疑検出条件は、受信パケットが攻撃パケットである可能性がある攻撃容疑パケットを検出するために使用され、３組のレコードの内のいずれかのレコードの条件にトラヒックが一致した場合、このトラヒックの通信パケットは攻撃容疑パケットであると認識される。検出属性は、ＩＰパケットの第３／４層属性種別とそれら属性値の組を指定するが、第３層属性であるＩＰの「Ｄｅｓｔｉｎａｔｉｏｎ ＩＰ Ａｄｄｒｅｓｓ（宛先ＩＰアドレス）」という属性種別は必ず指定される。図２において、番号１のレコードの検出属性は、「Ｄｅｓｔｉｎａｔｉｏｎ ＩＰ Ａｄｄｒｅｓｓ（宛先ＩＰアドレス）」が「１９２．１６８．１．１／３２」であり（ｄｓｔ＝１９２．１６８．１．１／３２）、ＩＰの上位層（第４層）のプロトコル種別を示す「Ｐｒｏｔｏｃｏｌ（プロトコル）」が「ＴＣＰ」であり（Ｐｒｏｔｏｃｏｌ＝ＴＣＰ）、かつ、第４層プロトコルがどのアプリケーションの情報かを示す「Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ（宛先ポート番号）」が「８０」である（Ｐｏｒｔ＝８０）という属性種別とそれら属性値の組で指定される。番号２のレコード検出属性は、「Ｄｅｓｔｉｎａｔｉｏｎ ＩＰ Ａｄｄｒｅｓｓ（宛先ＩＰアドレス）」が「１９２．１６８．１．２／３２」であり（ｄｓｔ＝１９２．１６８．１．２／３２）、かつ、「Ｐｒｏｔｏｃｏｌ（プロトコル）」が「ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ ｐｒｏｔｏｃｏｌ）」である（Ｐｒｏｔｏｃｏｌ＝ＵＤＰ）という属性種別とそれら属性値の組で指定される。また、番号３のレコード検出属性は、「Ｄｅｓｔｉｎａｔｉｏｎ ＩＰ Ａｄｄｒｅｓｓ（宛先ＩＰアドレス）」が「１９２．１６８．１．０／２４」である属性種別とその属性値で指定される。検出閾値は、同じレコードで指定される検出属性を持つ受信パケットのトラヒックを攻撃容疑トラヒックとして検出するための最低の伝送帯域を、検出間隔は同じく最低の連続時間を示している。
【００２４】
また、ゲート装置２００１及び通信装置２００２〜２００６は、攻撃容疑パケットのトラヒックを分析し、不正トラヒックを検出するための不正トラヒック検出条件を保有する。図３に不正トラヒック検出条件の設定の例を示す。ここでは、番号はレコードを特定するために便宜上使用される。不正トラヒック条件は、既知のＤＤｏＳ攻撃の複数のトラヒックパターンから構成され、攻撃容疑パケットのトラヒックがいずれかのトラヒックパターンに合致した場合に、不正トラヒックであると認識される。図３の番号１の不正トラヒック条件は、「伝送帯域Ｔ１Ｋｂｐｓ以上のパケットがＳ１秒以上連続送信されている」というトラヒックパターンを示している。また、番号２の不正トラヒック条件は、「伝送帯域Ｔ２Ｋｂｐｓ以上、第３層プロトコルであるＩＣＭＰ（Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｏｌ）上のエコー応答（Ｅｃｈｏ Ｒｅｐｌｙ）メッセージのパケットがＳ２秒以上連続送信されている」というトラヒックパターンを示している。番号３の不正トラヒック条件は、「伝送帯域Ｔ３Ｋｂｐｓ以上、データが長すぎるためパケットに含まれるデータは複数ＩＰパケットに分割して送信していることを示すフラグメントパケットがＳ３秒以上連続送信されている」というトラヒックパターンを示している。
【００２５】
ここで、ゲート装置２００１及び通信装置２００２〜２００６が備える帯域制御モデルを説明する。図４は本実施の形態におけるゲート装置２００１及び通信装置２００２〜２００６が備える帯域制御モデルを示す。帯域制御モデルは、入力パケットをクラス別に分類し、このクラスに従ってパケットの出力帯域制御を実現するためのモデルを示す。フィルタ２０２１は、入力されたパケットを正規クラス２０２２、容疑クラス２０２６、不正クラス２０２４の３つのクラスに分類する。なお、このフィルタ２０２１の分類アルゴリズムは後述する。正規クラス２０２２はデフォルトクラスであり、正規クラス２０２２に分類されたパケットは正規キュー２０２３につながれ、伝送帯域を制限せずに出力される。容疑クラス２０２６に分類されたパケットは、容疑パケットか否かを判断するための防御対象のサーバ２０００及びサーバ２０００が収容されているＬＡＮ毎に発生する容疑キュー２０２７につながれ、防御対象のサーバ２０００及びサーバ２０００が収容されているＬＡＮの所有者によって予め設定された伝送帯域制限値に出力伝送帯域が制限される。なお、容疑シグネチャの生成については後述する。サーバ２０００を収容しているゲート装置２００１の容疑キューの伝送帯域制限値は防御対象のサーバ２０００及びサーバ２０００が収容されているＬＡＮの所有者によって予め設定された伝送帯域制限値を使用するが、上流の通信装置２００２〜２００６では、下流の通信装置から受信した伝送帯域制限値を使用する。不正クラス２０２４に分類されたパケットは、不正キュー２０２５につながれ、サーバ所有者やネットワークのポリシーに関わらず、０または０に近い伝送帯域に制限される。
【００２６】
続いて、ゲート装置２００１及び通信装置２００２〜２００６が伝送帯域制限を実行するための、フィルタ２０２１の分類アルゴリズムについて説明する。ゲート装置２００１及び通信装置２００２〜２００６は、当該通信装置に入力される全ての通信パケットをこの分類アルゴリズムで分類する。図５はフィルタ２０２１における分類アルゴリズムを示す。まず、ステップＳ３００３において、フィルタ２０２１は、入力されたパケットが不正シグネチャと合致するか判断する。不正シグネチャに合致した場合、パケットは不正クラス２０２４に分類される（ステップＳ３００４）。不正シグネチャに合致しなかった場合は、ステップＳ３００５に進み、パケットが容疑シグネチャであるか判断し、容疑シグネチャに合致すれば容疑クラス２０２６へ分類され（ステップＳ３００６）、合致しない場合には正規クラス２０２２へ分類される（ステップＳ３００７）。このようにして各クラスに分類されたパケットは、正規キューであれば伝送帯域を制限せずに出力され、容疑キュー及び不正キューであればそれぞれの伝送帯域制限値に従って伝送帯域が制限されて出力される。なお、容疑シグネチャ及び不正シグネチャの生成については後述する。
【００２７】
次に、ＤＤｏＳ攻撃に対する対策方式の処理手順を示す。まず、図６のゲート装置２００１の攻撃容疑パケット検出時の動作を示すフローチャート、図８の通信装置２００２、２００３の伝送帯域制限指示受信時の動作を示すフローチャート及び図９のゲート装置２００１及び通信装置２００２〜２００６の不正トラヒック検出時の動作を示すフローチャートを用いてＤＤｏＳ攻撃発生と同時に初期の伝送帯域制限を実施する処理手順を説明する。
【００２８】
図６のステップＳ３０１１において、ゲート装置２００１は、攻撃容疑検出条件（図２）に従って、検出間隔で指定されているより長い時間連続して、検出閾値で指定されている以上の伝送帯域を使用している、検出属性に合致するトラヒックをチェックし、３組のレコードの内のいずれかのレコードに合致した場合、このトラヒックを攻撃容疑トラヒックとして検出する。すると、ステップＳ３０１２において、この検出された攻撃容疑トラヒックが満たしている攻撃容疑検出条件のレコードの検出属性を、容疑シグネチャとして生成する。容疑シグネチャは、攻撃容疑トラヒックの通信パケット、すなわち攻撃容疑パケットを識別するために用いられる。例えば、図２の設定例を用いて説明すると、番号１のレコードの条件で検出されるパケットの容疑シグネチャは｛ｄｓｔ＝１９２．１６８．１．１／３２， Ｐｒｏｔｏｃｏｌ＝ＴＣＰ， Ｐｏｒｔ＝８０｝となる。
【００２９】
次いで、ステップＳ３０１３において、ゲート装置２００１は、ステップＳ３０１２において生成した容疑シグネチャをフィルタ２０２１に登録する。次に、防御対象のサーバ２０００及びサーバ２０００が収容されているＬＡＮの所有者によって予め設定された伝送帯域制限値に攻撃容疑トラヒックの伝送帯域を制限するための容疑キュー２０２７を生成する。なお、同一防御対象に関する容疑キューが既に生成済みの場合は、新たな容疑キューの生成は行わない。これにより、以後、図４に示す帯域制御モデルと図５に示すフィルタ２０２１の分類アルゴリズムに従って、容疑シグネチャに合致する攻撃容疑パケットの伝送帯域の制限が実行される。
【００３０】
そして、ゲート装置２００１は、ステップＳ３０１４において、容疑シグネチャと算出した攻撃容疑パケットの伝送帯域制限値とを含んだ伝送帯域制限指示を１つ上流にある通信装置２００２、２００３に送信する。ここで、伝送帯域制限値の算出方法を説明する。なお、本明細書においては、ゲート装置あるいは通信装置を識別するための添え字を持つ
【数２１】
などの変数を便宜上Ｓｓ（ｄ＋１，ｉ，ｋ）、Ｓｓ（ｄ，ｉ）、ｎｕ（ｄ，ｉ）のように記述する。ネットワークにおいて、ゲート装置２００１の存在する階層を初期値０として通信装置がゲート装置２００１から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別される通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流（すなわち深さｄ＋１）にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流（深さｄ＋１）にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流（深さｄ＋１）にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とする。このとき、伝送帯域制限値は、以下の式で算出される。
【数２２】
よって、ゲート装置２００１は、上記の式により、通信装置２００２、２００３に指示する伝送帯域制限値を算出する。これは、ゲート装置２００１は、自身が持つ伝送帯域制限値を１つ上流の通信装置全てに均等に割り当てることを示す。図７は図１の構成における伝送帯域制限値の算出の例を示す図である。この図において、ゲート装置２００１は深さｄ＝０であり、この深さｄ＝０には１つの装置のみが存在するためゲート装置２００１のｉは１である。ゲート装置２００１の伝送帯域制限値の初期値Ｓｓ（０，１）は、攻撃容疑トラヒックを検出したときのレコードに対応した伝送帯域制限値である。ここでは例として、伝送帯域制限値が８００ｋｂｐｓであったとする。そして、ゲート装置２００１には２つの１つ上流の通信装置２００２、２００３が存在するため、１つ上流の通信装置数ｎｕ（０，１）は２である。よって、ゲート装置２００１には、１番目の１つ上流の通信装置２００２の伝送帯域制限値Ｓｓ（１，１，１）及び２番目の１つ上流の通信装置２００３の伝送帯域制限値Ｓｓ（１，１，２）は、Ｓｓ（０，１）＝８００ｋｂｐｓをｎｕ（０，１）＝２で除算した４００ｋｂｐｓとなる。
【００３１】
次に、伝送帯域制限指示受信時の通信装置２００２、２００３の動作を説明する。図８のステップＳ３０２１において、通信装置２００２、２００３は、ゲート装置２００１が送信した（ステップＳ３０１４）伝送帯域制限指示を受信する。次に、ステップＳ３０２２に進み、通信装置２００２、２００３は、受信した伝送帯域制限指示に含まれる容疑シグネチャをフィルタ２０２１に登録し、容疑シグネチャ及び攻撃容疑パケットの伝送帯域制限値に対応した容疑キュー２０２７を生成する。これにより、以後、図４に示す帯域制御モデルと図５に示すフィルタ２０２１の分類アルゴリズムに従って容疑シグネチャに合致する攻撃容疑パケットの伝送帯域の制限が実行される。
【００３２】
通信装置２００２はステップＳ３０２３において、その上流にある通信装置２００４に、通信装置２００３はその上流にある通信装置２００５及び２００６に、受信した容疑シグネチャと、受信した伝送帯域制限値から算出した伝送帯域制限値とを含んだ伝送帯域制限指示を送信する。このときの算出方法は、ゲート装置２００１のステップＳ３００３と同様である。すなわち、通信装置２００２、２００３は、ゲート装置２００１から受信した伝送帯域制限値を１つ上流の通信装置全てに均等に割り当てる。図７を用いて説明すると、通信装置２００２、２００３の深さｄは１であり、この深さｄ＝１には２つの通信装置が存在し、その１番目の通信装置２００２のｉは１、２番目の通信装置２００３のｉは２である。通信装置２００２の伝送帯域制限値Ｓｓ（１，１）及び通信装置２００３の伝送帯域制限値Ｓｓ（１，２）は、それぞれゲート装置２００１から受信した伝送帯域制限値Ｓｓ（１，１，１）、Ｓｓ（１，１，２）であり、すなわち４００ｋｂｐｓである。そして、通信装置２００２には１つの上流の通信装置２００４が存在するため、１つ上流の通信装置数ｎｕ（１，１）は１である。よって、通信装置２００４の伝送帯域制限値Ｓｓ（２，１，１）は、Ｓｓ（１，１）＝４００ｋｂｐｓをｎｕ（１，１）＝１で除算した４００ｋｂｐｓとなる。一方、通信装置２００３には２つの上流の通信装置２００５、２００６が存在するため１つ上流の通信装置数ｎｕ（１，２）は２である。よって、通信装置２００５の伝送帯域制限値Ｓｓ（２，２，１）及び通信装置２００６の伝送帯域制限値Ｓｓ（２，２，２）は、Ｓｓ（１，２）＝４００ｋｂｐｓをｎｕ（１，２）＝２で除算した２００ｋｂｐｓとなる。
【００３３】
そして、通信装置２００４は通信装置２００２から、通信装置２００５、２００６は通信装置２００３から伝送帯域制限指示を受信し、通信装置２００２、２００３におけるステップＳ３０２１〜Ｓ３０２２と同様に動作する。通信装置２００４〜２００６は、ルーチングテーブルなどにより上流に通信装置がないと判断できるため、ステップＳ３０２３は実行しない。
【００３４】
次に、ゲート装置２００１及び通信装置２００２〜２００６の不正トラヒック検出時の動作を説明する。図９のステップＳ３０３１において、ゲート装置２００１及び通信装置２００２〜２００６は、ＤＤｏＳ攻撃者がパケットを送出しているネットワークを特定するため入力パケットを分析して、不正トラヒック条件のいずれかのパターンに合致するトラヒックを検出する。すると、ゲート装置２００１及び通信装置２００２〜２００６は、ステップＳ３０３２において、この検出された不正トラヒック条件を満たすパケットの送信元ＩＰアドレスを不正アドレス範囲として特定し、この不正アドレス範囲であり、かつ、容疑シグネチャに合致するという条件を不正シグネチャとする。そして、ゲート装置２００１及び通信装置２００２〜２００６は、ステップＳ３０３３においてこの不正シグネチャをフィルタ２０２１に登録する。これにより、以後、図４に示す帯域制御モデルと図５に示すフィルタ２０２１の分類アルゴリズムに従って不正シグネチャで識別される攻撃パケットの伝送帯域はさらに制限される。すなわち、攻撃パケットは不正クラス２０２４に分類され、正規利用者からのパケットである正規パケットのみが攻撃容疑パケットとして容疑クラス２０２６に分類される。
【００３５】
以上説明した初期の伝送帯域制限を実施することにより、早期にネットワークの伝送帯域の溢れを防いだ後、攻撃容疑パケットの入力トラヒックに応じて、伝送帯域制限値の調整を実施する処理手順を説明する。図１０は伝送帯域制限調整値の算出の例、図１１はゲート装置２００１及び通信装置２００２〜２００６の伝送帯域制限値の調整の動作を示すフローチャートである。
【００３６】
図１０において、図７に示す初期の伝送帯域制限後、端末装置２００７から２Ｍｂｐｓ、端末装置２００８から２Ｍｂｐｓの攻撃パケットが送信されており、また、端末装置２００９から６００ｋｂｐｓ、端末装置２０１０からは１００ｋｂｐｓの攻撃容疑パケットが送信されている。
【００３７】
通信装置２００４は、端末装置２００７から入力される攻撃パケットを不正クラス２０２４に分類しており、当該通信装置２００４に入力される全攻撃容疑トラヒックは端末装置２００９から受信される６００ｋｂｐｓである。これは、初期の伝送帯域制限の手順で受信した伝送帯域制限値Ｓｓ（２，１，１）＝４００ｋｂｐｓより大きいため、下流の通信装置２００２には、攻撃容疑トラヒックを４００ｋｂｐｓに帯域制限して出力している。通信装置２００２は、上流の通信装置２００４から入力される攻撃容疑トラヒックの伝送帯域が４００ｋｂｐｓであり、初期の伝送帯域制限の手順で受信した伝送帯域制限値Ｓｓ（１，１，１）＝４００ｋｂｐｓ以下であるため、下流のゲート装置２００１には４００ｋｂｐｓの攻撃容疑トラヒックを出力している。
【００３８】
一方、通信装置２００５は、端末装置２００８から入力される攻撃パケットを不正クラス２０２４に分類しているため、下流の通信装置２００３に出力している攻撃容疑トラヒックは０ｋｂｐｓである。また、通信装置２００６に入力される攻撃容疑トラヒックは、端末装置２０１０から受信される１００ｋｂｐｓである。これは初期の伝送帯域制限の手順で受信した伝送帯域制限値Ｓｓ（２，２，２）＝２００ｋｂｐｓ以下であるため、下流の通信装置２００３には、そのまま１００ｋｂｐｓの攻撃容疑トラヒックを出力している。よって、通信装置２００３は、上流の通信装置２００５、２００６から入力される攻撃容疑トラヒックの伝送帯域の合計が１００ｋｂｐｓと、初期の伝送帯域制限の手順で受信した伝送帯域制限値Ｓｓ（１，１，２）＝４００ｋｂｐｓ以下であるため、下流のゲート装置２００１には１００ｋｂｐｓの攻撃容疑トラヒックを出力している。
【００３９】
図１１のステップＳ３０４１において、ゲート装置２００１は、初期伝送帯域制限実施から一定時間後、全上流の通信装置２００２、２００３に当該ゲート装置２００１に入力される攻撃容疑トラヒックの平均入力伝送帯域を問い合わせる。すると、ステップＳ３０５１において、通信装置２００２、２００３は、平均入力伝送帯域の問合せを受信する。そして、ステップＳ３０５２において、通信装置２００２、２００３は、自身の攻撃容疑トラヒックの平均入力伝送帯域値をゲート装置２００１に通知する。
【００４０】
次に、ステップＳ３０４２においてゲート装置２００１は、通信装置２００２，２００３から攻撃容疑トラヒックの平均入力伝送帯域値を受信する。すると、ステップＳ３０４３において、ゲート装置２００１は、受信した平均入力伝送帯域値を基に算出した攻撃容疑パケットの伝送帯域制限調整値を含んだ伝送帯域制限調整指示を、全上流の通信装置２００２、２００３に送信する。ここで、伝送帯域制限値の算出方法を説明する。なお、本明細書においては、ゲート装置あるいは通信装置を識別するための添え字を持つ
【数２３】
などの変数を便宜上Ｓｓ’（ｄ＋１，ｉ，ｋ）、Ｂ（ｄ＋１，ｉ，ｋ）、Ｓｓ’（ｄ，ｉ）のように記述する。ネットワークにおいて、ゲート装置２００１の存在する階層を初期値０として通信装置がゲート装置２００１から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの平均入力伝送帯域値Ｂ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値Ｓｓ’（ｄ＋１，ｉ，ｋ） とする。このとき、伝送帯域制限調整値は、以下の式で算出される。
【数２４】
よって、ゲート装置２００１は、上記の式により、通信装置２００２、２００３に指示する伝送帯域制限調整値を算出する。これは、ゲート装置２００１は、上流の通信装置の攻撃容疑トラヒックの平均入力伝送帯域の比率に従って、攻撃容疑トラヒックの伝送帯域値を調整することを示している。ただし、ゲート装置２００１の伝送帯域制限調整値の初期値Ｓｓ’（０，１）は伝送帯域制限値の初期値Ｓｓ（０，１）と同じである。
【００４１】
図１０の送帯域制限調整値の算出の例を用いて説明する。ゲート装置２００１の１番目の１つ上流の通信装置２００２からゲート装置２００１に入力される攻撃容疑トラヒックの平均入力伝送帯域値Ｂ（１，１，１）は４００ｋｂｐｓ、２番目の１つ上流の通信装置２００３からゲート装置２００１に入力される攻撃容疑トラヒックの平均入力伝送帯域値Ｂ（１，１，２）は１００ｋｂｐｓである。よって、（数２４）の右辺の分母は、全上流の通信装置からの平均入力伝送帯域値の合計を示していることより、Ｂ（１，１，１）＋Ｂ（１，１，２）＝５００ｋｂｐｓと算出される。また、伝送帯域制限調整値の初期値Ｓｓ’（０，１）＝Ｓｓ（０，１）であるため、図７の例より、Ｓｓ’（０，１）は８００ｋｂｐｓである。従って、１番目の１つ上流の通信装置２００２の攻撃容疑トラヒックの伝送帯域制限調整値Ｓｓ’（１，１，１）は、Ｂ（１，１，１）＝４００ｋｂｐｓを分母５００ｋｂｐｓで除算し、伝送帯域制限調整値の初期値Ｓｓ’（０，１）＝８００ｋｂｐｓを乗算した６４０ｋｂｐｓとなる。一方、２番目の１つ上流の通信装置２００３の攻撃容疑トラヒックの伝送帯域制限調整値Ｓｓ’（１，１，２）は、Ｂ（１，１，２）＝１００ｋｂｐｓを分母５００ｋｂｐｓで除算し、伝送帯域制限調整値の初期値Ｓｓ’（０，１）＝８００ｋｂｐｓを乗算した１６０ｋｂｐｓとなる。
【００４２】
そして、図１１のステップＳ３０５３において、通信装置２００２、２００３は、ゲート装置２００１から伝送帯域制限調整指示を受信する。すると、ステップＳ３０５４に進み、通信装置２００２、２００３は、容疑キュー２０２７の伝送帯域制限値を受信した伝送帯域制限調整指示に含まれる伝送帯域制限調整値に変更する。これにより、以後、図４に示す帯域制御モデルと図５に示すフィルタ２０２１の分類アルゴリズムに従って容疑シグネチャに合致する攻撃容疑パケットの伝送帯域は伝送帯域制限調整値に制限される。
【００４３】
次に、図１１のステップ３０５５へ進み、通信装置２００２はその上流にある通信装置２００４に当該通信装置２００２に入力される攻撃容疑トラヒックの平均入力伝送帯域を、通信装置２００３はその上流にある通信装置２００５及び２００６に当該通信装置２００３に入力される攻撃容疑トラヒックの平均入力伝送帯域を問い合わせる。通信装置２００４〜２００６は、ステップＳ３０６１において、平均入力伝送帯域の問合せを受信する。するとステップＳ３０６２において、通信装置２００４は、通信装置２００２に、通信装置２００５、２００６は、通信装置２００３に自身の攻撃容疑トラヒックの平均入力伝送帯域値を通知する。
【００４４】
続いて、ステップＳ３０５６において、通信装置２００２、２００３は、通信装置２００４〜２００６から受信した平均入力伝送帯域値を受信する。すると、ステップＳ３０５７において、通信装置２００２、２００３は、受信した平均入力伝送帯域値を基に算出した攻撃容疑パケットの伝送帯域制限調整値を含んだ伝送帯域制限調整指示を、全上流の通信装置、すなわち、通信装置２００２はその上流にある通信装置２００４に、通信装置２００３はその上流にある通信装置２００５及び２００６に送信する。このときの算出方法は、ゲート装置２００１のステップＳ３０４３と同様である。
【００４５】
図１０の送帯域制限調整の算出の例を用いて説明する。通信装置２００２の１番目の１つ上流の通信装置２００４の平均入力伝送帯域値Ｂ（２，１，１）は４００ｋｂｐｓである。よって、（数２４）の右辺の分母は、全上流の通信装置からの平均入力伝送帯域値の合計を示していることより、Ｂ（２，１，１）と同値になる。また、通信装置２００２の伝送帯域制限調整値の初期値Ｓｓ’（１，１）＝Ｓｓ’（１，１，１）であるため、ステップＳ３０４３より、Ｓｓ’（１，１）は６４０ｋｂｐｓである。よって、通信装置２００２の１番目の１つ上流の通信装置２００４の攻撃容疑トラヒックの伝送帯域制限調整値Ｓｓ’（２，１，１）は、Ｂ（２，１，１）＝４００ｋｂｐｓを分母４００ｋｂｐｓで除算し、伝送帯域制限調整値の初期値Ｓｓ’（１，１）＝６４０ｋｂｐｓを乗算した６４０ｋｂｐｓとなる。
【００４６】
一方、通信装置２００３の１番目の１つ上流の通信装置２００５から通信装置２００３に入力される攻撃容疑トラヒックの平均入力伝送帯域値Ｂ（２，２，１）は０ｋｂｐｓ、２番目の１つ上流の通信装置２００６から通信装置２００３に入力される攻撃容疑トラヒックの平均入力伝送帯域値Ｂ（２，２，２）は１００ｋｂｐｓである。よって、（数２４）の右辺の分母は、全上流の通信装置からの平均入力伝送帯域値の合計を示していることより、Ｂ（２，２，１）＋Ｂ（２，２，２）＝１００ｋｂｐｓと算出される。また、通信装置２００３の伝送帯域制限調整値の初期値Ｓｓ’（１，２）＝Ｓｓ’（１，１，２）であるため、ステップＳ３０４３より、Ｓｓ’（１，２）は１６０ｋｂｐｓである。従って、通信装置２００５の攻撃容疑トラヒックの伝送帯域制限調整値Ｓｓ’（２，２，１）は、Ｂ（２，２，１）＝０ｋｂｐｓを分母１００ｋｂｐｓで除算し、伝送帯域制限調整値の初期値Ｓｓ’（１，２）＝１６０ｋｂｐｓを乗算した０ｋｂｐｓとなり、通信装置２００６の攻撃容疑トラヒックの伝送帯域制限調整値Ｓｓ’（２，２，２）は、Ｂ（２，２，２）＝１００ｋｂｐｓを分母１００ｋｂｐｓで除算し、伝送帯域制限調整値の初期値Ｓｓ’（１，２）＝１６０ｋｂｐｓを乗算した１６０ｋｂｐｓとなる。
【００４７】
そして、図１１のステップ３０６３において、通信装置２００４〜２００６は、通信装置２００２、２００３から伝送帯域制限調整指示を受信する。ステップＳ３０６４に進み、通信装置２００４〜２００６は、容疑キュー２０２７の伝送帯域制限値を受信した伝送帯域制限指示に含まれる伝送帯域制限調整値に変更する。これにより、以後、図４に示す帯域制御モデルと図５に示すフィルタ２０２１の分類アルゴリズムに従って容疑シグネチャに合致する攻撃容疑パケットの伝送帯域は伝送帯域制限調整値に制限される。
【００４８】
一方、ステップＳ３０４４において、ゲート装置２００１は、上記の伝送帯域制限調整から一定時間後、あるいは、受信する攻撃容疑パケットの伝送帯域が伝送帯域調整前と調整後である一定の割合変化した場合などのトリガを検出すると、再び伝送帯域調整を実行するステップＳ３０４１から伝送帯域制限調整値の調整を繰り返す。
【００４９】
ところで、以上説明した動作は、以下に記述するアクティブネットワーク上で実行される。
【００５０】
以下、図面を参照しこの発明の一実施形態を実行できるアクティブネットワークについて説明する。
図１２は、本実施形態が前提とするネットワークの構成である。図１２に示すように、通信ネットワークは、複数の通信装置７００１によって接続されている。そして、通信装置７００１には１台または複数台のユーザのコンピュータ７０００を接続することができるようになっている。ユーザのコンピュータ７０００相互間で通信データのやりとりを行う際には、送信元のユーザのコンピュータ７０００が送信したパケットを通信ネットワーク上の各ノードに位置する通信装置７００１が順次転送することにより、そのパケットを宛先のユーザのコンピュータ７０００に届けるようにする。
【００５１】
次に、通信装置の構成について説明する。図１３は、通信装置７００１の内部の構成を示すブロック図である。図１３に示すように、通信装置７００１には通信線７０２４ａ、７０２４ｂ、７０２４ｃ、７０２４ｄが接続されており、通信装置７００１はこれらの通信線を介して隣接する他の通信装置との間でパケットを交換することができるようになっている。また、通信装置７００１には、上記の各通信線７０２４ａ〜７０２４ｄに対応したインタフェース部７０２３ａ〜７０２３ｄと、パケットを転送する処理を行うための転送処理部７０２１と、パケットの転送の際の転送先の情報を記憶する転送先テーブル７０２２と、アクティブパケットに対する処理を行うためのアクティブネットワーク実行環境（Ａｃｔｉｖｅ Ｎｅｔｗｏｒｋ Ｅｘｅｃｕｔｉｏｎ Ｅｎｖｉｒｏｎｍｅｎｔ）７０１０とが設けられている。なお、アクティブネットワーク実行環境７０１０は、内部に、アクティブコード（プログラム）を実行するためのコード実行部７０１１と、アクティブコードを記憶しておくためのコード記憶部７０１２とを備えている。なお、ここでアクティブコードとは、アクティブネットワークにおいてパケットに対する作用を行うコンピュータプログラムのコードである。
【００５２】
ここで、図１３を参照しながら、この通信装置７００１の動作例の概要を説明する。隣接する他の通信装置から通信線７０２４ｄを介してパケットが到着すると、インタフェース部７０２３ｄがそのパケットを受信し転送処理部７０２１に渡す。転送処理部７０２１は、渡されたパケットのヘッダ部分に格納されている送信元（ｓｏｕｒｃｅ）アドレスと宛先（ｄｅｓｔｉｎａｔｉｏｎ）アドレスとを読み取り、さらにそれらのアドレスをキーとして転送先テーブル記憶部７０２２に記憶されている転送先テーブルを参照することによって、そのパケットにどう対処するかを決定する。
【００５３】
パケットへの対処は大きく２通りに分けられる。そのパケットに対してアクティブコードを適用する場合と、そのパケットをそのまま他の通信装置に転送する場合とである。
転送先テーブルを参照した結果、そのパケットに対してアクティブコードを適用すべきものである場合には、転送処理部７０２１は、そのパケットをアクティブネットワーク実行環境７０１０に渡す。アクティブネットワーク実行環境７０１０においては、コード実行部７０１１がそのパケットを受け取り、そのパケットに対して適用すべきアクティブコードをコード記憶部７０１２から読み出して実行する。なお、コード実行部７０１１は、アクティブコードを実行した結果、必要な場合には処理対象となったパケットを再び転送処理部７０２１に渡して他の通信装置に対して転送することもある。
転送先テーブルを参照した結果、そのパケットにアクティブコードを適用せずそのまま他の転送装置に転送するべきものである場合には、転送処理部７０２１は、適切な転送先に対応したインタフェース部（７０２３ａや７０２３ｂや７０２３ｃなど）に渡し、そのインタフェース部が通信線（７０２４ａや７０２４ｂや７０２４ｃなど）を介してパケットを他の通信装置に転送する。
【００５４】
なお、ここでは通信線７０２４ｄを介して他の通信装置からパケットが到着した場合を例として説明したが、他の通信線を介してパケットが到着した場合の処理も同様である。
【００５５】
次に、通信装置７００１内の転送処理部７０２１がいかにしてパケットに対する処置（アクティブコードを適用するか、単純に他の通信装置に転送するか）を決定するかを具体的に説明する。
【００５６】
本実施形態が基礎とするフレームワークでは、アクティブネットワーク実行環境はパケットの中において指定されているＩＰアドレスに基づいて起動される。ここで、全ての（グローバル）ＩＰアドレスの集合をＩと表わすものとする。また、送信元ＩＰアドレスがｓであり宛先ＩＰアドレスがｄであるようなパケットを（ｓ，ｄ）と表わすものとする。また、通信装置のアクティブネットワーク実行環境に格納されているすべてのアクティブコードはそれぞれ特定のユーザに属するものとし、ある特定のユーザの所有するＩＰアドレスの集合をＯと表わすものとする。
【００５７】
本フレームワークでは、上記特定のユーザに属する個々のアクティブコードは、次に示す式による集合Ａで表されるパケットであって、かつ当該アクティブネットワーク実行環境を備えた通信装置（ノード）によって受信されたパケットに対してアクセスする権限を持つ。すなわち、
Ａ＝｛（ｓ，ｄ）∈［（Ｏ×Ｉ）∪（Ｉ×Ｏ）］｜ｓ≠ｄ｝
である。つまり、この式が意味するところの概略は、特定のユーザに属するアクティブコードは、当該ユーザが所有する全てのＩＰアドレスのいずれかを送信元または宛先のアドレスとするようなパケットに対してアクセス権を有するということである。
【００５８】
当該ユーザに属するｎ個のアクティブコードがある通信装置（ノード）に格納されているとき、ｉ番目（１≦ｉ≦ｎ）のアクティブコードは、集合Ｃ（ｉ）（Ｃ（ｉ）⊆Ａ）に属するパケットをキャプチャーして処理することをアクティブネットワーク実行環境に対して予め要求しておく。つまり、当該ユーザに関して、アクティブネットワーク実行環境は、ｃ（１）∪ｃ（２）∪・・・・・・∪ｃ（ｎ）なる和集合の要素であるパケット（ｓ，ｄ）によって起動されるものであり、このようなパケットを「アクティブパケット」と呼ぶことができる。
【００５９】
図１４は、図１３に示した転送先テーブル記憶部７０２２に記憶されている転送先テーブルの一例を示す概略図である。上記のフレームワークを実現するために必要な情報は、このような転送先テーブルに格納することが可能である。
【００６０】
図１４に示すように、転送先テーブルは、タイプ（Ｔｙｐｅ）と宛先アドレス（Ｄｅｓｔｉｎａｔｉｏｎ）と送信元アドレス（Ｓｏｕｒｃｅ）と転送先（Ｓｅｎｄ ｔｏ）の各項目を含んでいる。タイプの項目は、テーブルのエントリーのタイプを表わすものであり、「アクティブ（Ａｃｔｉｖｅ）」あるいは「通常（Ｒｅｇｕｌａｒ）」のいずれかの値をとる。宛先アドレスおよび送信元アドレスの項目は、転送対象のパケットの宛先ＩＰアドレスおよび送信元ＩＰアドレスにそれぞれ対応するものである。転送先の項目はは、宛先アドレスと送信元アドレスの組み合せがマッチしたパケットに関して、適用すべきアクティブコードの識別情報あるいは転送先の通信装置のＩＰアドレスを表わすものである。
【００６１】
タイプの値が「アクティブ」であるエントリーは、対象のパケットに適用するアクティブコードを指定するものであり、その転送先の項目にはアクティブコードを識別する情報が書かれている。
タイプの値が「通常」であるエントリーは、対象のパケットの転送先の通信装置のアドレスを指定するものであり、その転送先の項目には転送先の通信装置のＩＰアドレスが書かれている。
【００６２】
図１４に示す転送先テーブルの例において、第１のエントリーでは、タイプが「アクティブ」であり、宛先アドレスが「１．２．３．４」であり、送信元アドレスが「Ａｎｙ（何でもよい）」であり、転送先が「アクティブコードＡ」となっている。これは、送信元アドレスがいかなるアドレスであっても、宛先アドレスが「１．２．３．４」にマッチする場合には、該当するパケットをトリガーとしてアクティブネットワーク実行環境が起動され、アクティブコードＡが実行されることを表わしている。
また、第２のエントリーでは、タイプが「アクティブ」であり、宛先アドレスが「１０．５０．０．０」であり、送信元アドレスが「１１．１２．１３．１４」であり、転送先が「アクティブコードＢ」となっている。これは、宛先アドレスと送信元アドレスの両方がそれぞれ上記の値にマッチした場合には、該当するパケットをトリガーとしてアクティブネットワーク実行環境が起動され、アクティブコードＢが実行されることを表わしている。
また、第３のエントリーでは、タイプが「アクティブ」であり、宛先アドレスが「Ａｎｙ（何でもよい）」であり、送信元アドレスが「１５７．２．３．０」であり、転送先が「アクティブコードＣ」となっている。これは、宛先アドレスがいかなるアドレスであっても、送信元アドレスが「１５７．２．３．０」にマッチする場合には該当するパケットをトリガーとしてアクティブネットワーク実行環境が起動され、アクティブコードＣが実行されることを表している。
【００６３】
なお、図１４に示すように、転送先テーブルにおいては、タイプが「アクティブ」であるエントリーのほうが、タイプが「通常」であるエントリーよりも上に存在している。そして、タイプが「アクティブ」であるエントリーのほうが、タイプが「通常」であるエントリーよりも優先的に適用される。また、各エントリーは、通信装置へ到着したパケットのみに対して適用され、転送のために送出されるパケットに対しては適用されない。
【００６４】
以上説明した通信装置の構成をまとめる。
図１３に示したインタフェース部は、通信線毎に設けられており、当該通信線から到着するパケットを受信するとともに当該通信線に対してパケットを送出する処理を行う。
また、転送先テーブル記憶部は、パケットの送信元アドレスまたは宛先アドレスまたはそれら両方のアドレスのパターンと、該パターンに対応するプログラム（アクティブコード）の情報あるいは該パターンに対応する転送先アドレスの情報とが登録された転送先テーブルを記憶する。
また、アクティブネットワーク実行環境は、前記プログラムを予め記憶しているとともに、このプログラムを実行する。
また、転送処理部は、通信線から到着した受信パケットを前記インタフェース部から渡された際に、当該受信パケットの送信元アドレスまたは宛先アドレスに基づいて前記転送先テーブルを参照し、前記転送先テーブルに当該受信パケットのアドレスのパターンに対応する転送先アドレスの情報が登録されていた場合には当該受信パケットを所定の転送先アドレスに向けて送出するように当該転送先アドレスに対応したインタフェース部に渡すとともに、前記転送先テーブルに当該受信パケットのアドレスのパターンに対応するプログラムの情報が登録されていた場合には前記アクティブネットワーク実行環境部において当該プログラムを起動させるとともに当該プログラムに当該受信パケットを渡す。
【００６５】
次に、本実施形態におけるアクティブコードのセキュリティに関するモデルについて説明する。このセキュリティのモデルは、各々のアクティブコードが、アクティブコードの所有者に関わるパケットのみに対して作用することを保証するためのものである。そのために、このセキュリティのモデルは、公開鍵のインフラストラクチャの存在を前提として、それを利用することとする。
【００６６】
図１５は、上記のセキュリティモデルとそのモデルにおける処理の手順を示す概略図である。図１５において、符号７０５１はユーザＡのユーザ端末装置、７０６１は認証局（Ｃｅｒｔｉｆｉｃａｔｉｏｎ Ａｕｔｈｏｒｉｔｙ ）装置である。この認証局の機能は、公の機関によって提供されるものであっても良いし、あるいはＩＳＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ，インターネット接続サービス提供者）などによって提供されるものであっても良い。
なお、図１５に示す例では、ユーザ端末装置７０５１のＩＰアドレスは「１．２．３．４」である。以下では、ユーザＡが、アクティブコードＡを通信装置７００１に登録するための処理の手順を説明する。なお、以下において、ユーザＡはアクティブコードＡの開発者であっても良いが、その必然性はなく、他の開発者が開発したアクティブコードＡをユーザＡが入手し、それを通信装置７００１に登録するものでも良い。
【００６７】
まず（１）で示すように、ユーザＡのユーザ端末装置７０５１は、周知技術を用いて鍵のペアすなわち公開鍵と秘密鍵とを生成する。
そして（２）で示すように、ユーザ端末装置７０５１は、上で生成された公開鍵を認証局装置７０６１に登録する。このとき、認証局装置７０６１は、ユーザ端末装置７０５１のＩＰアドレスを検証する。この検証が正しく行なわれると、公開鍵そのものと、ユーザＡを識別するための情報と、ユーザ端末装置７０５１のＩＰアドレス「１．２．３．４」が認証局装置７０６１に記憶される。
【００６８】
次に（３）で示すように、ユーザ端末装置７０５１は、上で生成された秘密鍵を用いてアクティブコードＡに電子署名する処理を行う。
そして（４）で示すように、ユーザ端末装置７０５１は、秘密鍵で署名されたアクティブコードＡを通信装置７００１に登録する処理を行う。
【００６９】
これを受けて通信装置７００１は、（５）で示すように、アクティブコードＡの登録を行ったユーザＡの電子証明書を認証局装置７０６１から取得する。この電子証明書には、ユーザＡを識別する情報と、そのＩＰアドレス「１．２．３．４」と、上の（２）において登録された公開鍵そのものとが含まれている。
そして（６）で示すように、通信装置７００１は、上記の電子証明書から取り出したユーザＡの公開鍵を用いて、上の（４）において登録されたアクティブコードＡの電子署名を検証する。そして、これが正しく検証された場合には、通信装置７００１は、アクティブコードＡをアクティブネットワーク実行環境に導入する処理を行う。また、これに応じて、転送先テーブルに必要なエントリーが追加される。
【００７０】
なお、この（１）および（２）の処理が行われて一旦ユーザＡの公開鍵が認証局装置７０６１に登録されると、ユーザ端末装置７０５１はその公開鍵に対応する秘密鍵を用いてアクティブモジュールをいくつでも通信装置７００１に登録することも可能である。
【００７１】
つまり、通信装置７００１は登録部（図示せず）を備えており、この登録部は、ユーザの端末装置から当該ユーザの秘密鍵で電子署名されたプログラムを受信し、当該ユーザの電子証明書を認証局装置から受信し、受信した電子証明書に含まれる当該ユーザの公開鍵を用いて前記電子署名されたプログラムの検証を行い、この検証が成功した場合には当該プログラムに対応するアドレスのパターンと当該プログラムの情報とを前記転送先テーブルに登録し、この検証が失敗した場合には当該プログラムの情報の前記転送先テーブルへの登録は行わないようにするものである。
【００７２】
なお、上で説明した通信装置へのアクティブコードの登録の手順が有効に機能するためには、次の２点が前提となる。
第１の前提として、ユーザがどの通信装置（ノード）にアクティブコードを登録すれば良いかは事前にわかっている。あるいは、どの通信装置（ノード）にアクティブコードを登録すればよいかがわかるためのディレクトリサービスが提供されている。
第２の前提として、通信装置（ノード）は、目的の認証局の公開鍵を事前にオフラインで取得しているか、他の認証局から取得するか、あるいは他の何らかの手段で取得できる。
【００７３】
次に、矛盾の解消のための制御について説明する。
ある通信装置（ノード）において、ｎ個のアクティブコードが登録されており、ｉ番目（１≦ｉ≦ｎ）とｊ番目（１≦ｊ≦ｎ）のアクティブコードが、それぞれ集合Ｃ（ｉ）（Ｃ（ｉ）⊆Ａ）と集合Ｃ（ｊ）（Ｃ（ｊ）⊆Ａ）に属するパケットに対するものであると定義されているとき、集合（ｃ（ｉ）∩ｃ（ｊ））が空集合ではないようなｉおよびｊの組み合せ（但しｉ≠ｊ）が存在する場合があり得る。つまり、あるパケットがｉ番目のアクティブコードにもｊ番目のアクティブコードにも適用されるような定義が行われている場合である。このような矛盾は、次の２通りのシナリオのいずれかによって解消することとする。
【００７４】
第１の矛盾の解消のシナリオは、パケット（ｓ，ｄ）に関して、
（ｓ∈Ｏ（ｋ）Λｄ∈Ｏ（ｌ））Λ（ｋ≠ｌ）
であるために、
（ｓ，ｄ）∈ｃ（ｉ）∩ｃ（ｊ）
となる場合に関するものである。但し、Ｏ（ｋ）およびＯ（ｌ）は、それぞれユーザｋおよびｌによって所有されるＩＰアドレスの集合である。
つまり、あるパケットに関して、送信元のユーザ用のアクティブコードと宛先のユーザ用のアクティブコードとの両方が通信装置に登録されており、そのような通信装置にこのパケット（ｓ，ｄ）が到着した場合である。このような場合には、宛先のユーザのアクティブコードを優先的に適用することが望ましいと考えられる。
【００７５】
つまり、転送先テーブルに登録されているパターンに、送信元アドレスのみが指定されていて宛先アドレスが何でもよいとされている第１のエントリーと、宛先アドレスのみが指定されていて送信元アドレスが何でもよいとされている第２のエントリーとが含まれており、受信パケットがこれら第１のエントリーと第２のエントリーとの両方にマッチしたときには、第１のエントリーよりも第２のエントリーを優先させて、当該第２のエントリーのパターンに対応するプログラムを起動するようにする。
【００７６】
このように、送信元のユーザのアクティブコードよりも宛先のユーザのアクティブコードを優先させることは、アクティブネットワークの機能を用いてＤＤｏＳ（分散型ＤｏＳ，Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ ）攻撃を防御するメカニズムを構築する場合に特に重要となる。そのようにすることによって、宛先のユーザつまり被攻撃者となり得る者のアクティブコードが、攻撃者となる可能性があるもののアクティブコードよりも優先されるためである。
【００７７】
第２の矛盾の解消のシナリオは、あるパケット（ｓ，ｄ）に関して適用されるべき２つ以上のアクティブコードが同一のユーザによって登録されている場合に関するものである。このような場合には、該当するアクティブコードのうちの最も古く登録されたものが、他のものよりも優先的に適用されるようにすることが望ましいと考えられる。こうすることにより、ユーザが新しいアクティブコードを登録しようとする際には、新しいアクティブコードを有効にするために事前に古いアクティブコードを削除することが保証されるからである。
【００７８】
次に、これまでに述べたようなアクティブネットワークのノードとして機能する通信装置のインプリメンテーションの例について説明する。図１６は、Ｌｉｎｕｘ上のＪａｖａ（登録商標）仮想マシン（ＪＶＭ）を用いてアクティブパケットの処理を行う通信装置を実現した場合の概略図である。
【００７９】
図１６に示す例では、専用のＩＰスタックを処理（ｐｒｏｃｅｓｓ）の一部として構築している。これによって、図１４に示したような転送先テーブルを実現し、実行環境（アクティブネットワーク実行環境）からこの転送先テーブルにエントリーの追加や削除を行えるようにしている。また、これに伴い、カーネル（ｋｅｒｎｅｌ）内のＩＰスタックは不要となるため、カーネルにおけるルーティングを不活性化している。そして、到着パケットのコピーがデータリンク部分から作成され、そのパケットがライブラリｌｉｂｐｃａｐを通してＪａｖａ（登録商標）仮想マシンで補足できるようにしている。
【００８０】
処理の一部として構築した専用のＩＰスタックは、アクティブパケット、つまり転送先テーブル上での所定の定義にマッチするＩＰアドレス（宛先ＩＰアドレス、送信元ＩＰアドレス、あるいはそれらの組み合せ）を有するパケットは、実行環境上で起動されるアクティブコードに対して渡される。一方、アクティブパケット以外の通常のパケットは、カーネルにおけるＩＰスタックと同様の方法で隣接する通信装置等へ向けた転送が行われる。アクティブパケットであれ通常パケットであれ、この通信装置から送出されるすべてのパケットは、ライブラリｌｉｂｎｅｔを通して送出される。こうすることにより、各々処理されたパケットのヘッダに記録された送信元アドレスは、元々の送信元アドレスのままの状態で、ネットワークに送出されることとなる。
【００８１】
また、標準のＪａｖａ（登録商標）のＡＰＩ（アプリケーションプログラムインタフェース）である「ｊａｖａ．ｓｅｃｕｒｉｔｙ 」を用いることによってセキュリティモデルをインプリメンテーションすることが可能である。この標準ＡＰＩは、セキュリティモデルを構築するために必要な機能のほとんどを提供している。また、証明書のための形式としては「Ｘ．５０９」証明書形式を用いることが可能であり、アクティブコードの所有者のＩＰアドレスを「Ｘ．５０９」の識別名（ＤＮ， ｄｉｓｔｉｎｇｕｉｓｈｅｄ ｎａｍｅ）の一部に含めることにより、本実施形態のセキュリティモデルを実現することができる。
【００８２】
なお、言うまでもなく、上記インプリメンテーションではコンピュータシステムを用いることによってアクティブネットワーク実行環境を備えた通信装置を構築している。そして、上述した一連の処理、すなわち到着パケットの複製の作成とその捕捉や、転送先テーブルを参照しながらのアクティブパケットおよび通常パケットの転送の処理や、アクティブネットワーク実行環境上でのアクティブコードの起動とその処理の実行や、処理されたパケットのネットワークへの送出などの各処理の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータが読み出して実行することによって、上記処理が行われる。
【００８３】
なお、上述した各コンピュータプログラムは、コンピュータ読取可能な記録媒体に記録されており、通信装置等に搭載されたＣＰＵ（中央処理装置）がこの記録媒体からコンピュータプログラムを読み取って、攻撃防御あるいはサービスモジュール提供等のための各処理を実行する。また、「コンピュータ読み取り可能な記録媒体」とは、磁気ディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００８４】
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されても良い。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
【００８５】
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムに既に記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【００８６】
また、下流のゲート装置または通信装置から上流の通信装置へのデータの送信は、アクティブネットワークの使用に限定するものではなく、任意の通信プロトコルの使用が可能である。
【００８７】
また、ゲート装置及び通信装置はゲートウェイやルータに限られるものではなく、ブリッジ、イーサネット（登録商標）、インタフェース変換装置など、ＩＰアドレスを持つ任意の通信ノードであっても良い。
【００８８】
以上、図面を参照してこの発明の実施形態を詳述してきたが、具体的な構成はこれらの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。
【００８９】
【発明の効果】
以上説明したように、ＤＤｏＳ攻撃の被攻撃者の通信装置がＤＤｏＳ攻撃の攻撃の容疑トラヒックを検出すると、初期の伝送帯域制御により、その上流の各通信装置で攻撃容疑トラヒックの伝送帯域を制限することが可能になるため、早期にネットワークの輻輳を改善することが可能となり、ＤＤｏＳ被攻撃者のサービスの停止を抑止することが可能になるとともに、正規利用者からの通信パケットの割合を増加させることが可能になる。
【００９０】
また、初期の伝送帯域制御による攻撃容疑パケットの帯域制限後は、各通信装置の攻撃容疑パケットの入力伝送帯域に応じて伝送帯域制限値が調整することが可能になるため、伝送帯域をネットワーク上の各通信装置に有効に分配することが可能となり、攻撃容疑パケットとして分類された正規パケットの伝送帯域を増加させ、正規ユーザのサービス性の低下を段階的に改善することが可能になる。
【図面の簡単な説明】
【図１】本発明の実施の形態を適用できるネットワークの構成図である。
【図２】同実施の形態による攻撃容疑検出条件の設定の例である。
【図３】同実施の形態による不正トラヒック検出条件の設定の例である。
【図４】同実施の形態によるゲート装置２００１及び通信装置２００２〜２００６が備える帯域制御モデルである。
【図５】同実施の形態によるフィルタ２０２１における分類アルゴリズムである。
【図６】同実施の形態によるゲート装置２００１の攻撃容疑パケット検出時の動作を示すフローチャートである。
【図７】同実施の形態による図１の構成における伝送帯域制限値の算出の例である。
【図８】同実施の形態による通信装置２００２、２００３の伝送帯域制限指示受信時の動作を示すフローチャートである。
【図９】同実施の形態によるゲート装置２００１及び通信装置２００２〜２００６の不正トラヒック検出時の動作を示すフローチャートである。
【図１０】同実施の形態による図１の構成における伝送帯域制限調整値の算出の例である。
【図１１】同実施の形態によるゲート装置２００１及び通信装置２００２〜２００６の伝送帯域制限値の調整の動作を示すフローチャートである。
【図１２】同実施の形態を実行できるアクティブネットワークが前提とするネットワークの構成である。
【図１３】同実施の形態を実行できるアクティブネットワークによる通信装置内部の構成を示すブロック図である。
【図１４】同実施の形態を実行できるアクティブネットワークによる転送先テーブル記憶部に記憶されている転送先テーブルの一例を示す概略図である。
【図１５】同実施の形態を実行できるアクティブネットワークによるセキュリティモデルとそのモデルにおける処理の手順を示す概略図である。
【図１６】同実施の形態を実行できるアクティブネットワークの通信装置をＬｉｎｕｘ上のＪａｖａ（登録商標）仮想マシン（ＪＶＭ）を用いてアクティブパケットの処理を行うように実現した場合の概略図である。
【符号の説明】
２０００…サーバ
２００１…ゲート装置
２００２〜２００６…通信装置
２００７〜２０１０…端末装置
２０２１…フィルタ
２０２２…正規クラス
２０２３…正規キュー
２０２４…不正クラス
２０２５…不正キュー
２０２６…容疑クラス
２０２７…容疑キュー
７０００…ユーザのコンピュータ
７００１…通信装置
７０１０…アクティブネットワーク実行環境
７０１１…コード実行部
７０１２…コード記憶部
７０２１…転送処理部
７０２２…転送先テーブル記憶部
７０２３ａ、７０２３ｂ…インタフェース部
７０２４ａ、７０２４ｂ…通信線
７０５１…ユーザ端末装置
７０６１…認証局装置
【発明の属する技術分野】
本発明は、ネットワークに接続された機器をネットワーク経由での攻撃から防御するための、サービス不能攻撃の防止方法およびその装置ならびにそのコンピュータプログラムに関するものである。
【０００２】
【従来の技術】
従来、ＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ ｃｏｎｔｒｏｌ ｐｒｏｔｏｃｏｌ／ｉｎｔｅｒｎｅｔ ｐｒｏｔｏｃｏｌ）などのネットワークプロトコルは、オープンとなっており、互いに信用されるグループで使われるように設計されている。このため、コンピュータのオペレーティングシステムでは、大量の通信トラフィック（データ等）を攻撃目標のサーバに送信することによって、ネットワークの伝送帯域やサーバの資源を消費して正当な利用者の利用を妨げようとするサービス不能攻撃（以下、「ＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃」と記す）を防ぐことは考慮されていない。このようなＤｏＳ攻撃に対する防御の方法は増えてきているが、複数箇所から同時に連携してＤｏＳ攻撃を行う「ＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃」に対する防御の方法は未だ効果的な方法が開発されていない。
【０００３】
このＤＤｏＳ攻撃に対する一防御の方法として、ＵＵＮＥＴ社のＣｅｎｔｅｒＴｒａｃｋがある。これは、インターネットのルータに診断機能を付加し、ＤＤｏＳ攻撃の送信元を追跡する技術である。
【０００４】
また、ＤＤｏＳ攻撃を検出したノードより攻撃元に近い上流ノードで攻撃トラヒックを制限するための技術としては、本出願の発明者等が出願済みの分散型サービス不能攻撃の防止方法（特願２００１−２７４０１６）、ＡＴ＆Ｔ社論文（Ｒ．Ｍａｈａｊａｎ， Ｓ．Ｍ．Ｂｅｌｌｏｖｉｎ， Ｓ．Ｆｌｏｙｄ， Ｊ．Ｉｏａｎｎｉｄｉｓ， Ｖ．Ｐａｘｓｏｎ ａｎｄ Ｓ．Ｓｈｅｎｋｅｒ： “Ｃｏｎｔｒｏｌｌｉｎｇ ｈｉｇｈ ｂａｎｄｗｉｄｔｈ ａｇｇｒｅｇａｔｅｓ ｉｎ ｔｈｅ ｎｅｔｗｏｒｋ − ｅｘｔｅｎｄｅｄ ｖｅｒｓｉｏｎ”（２００１））、ＩＤＩＰ（Ｉｎｔｒｕｄｅｒ Ｄｅｔｅｃｔｉｏｎ ａｎｄ Ｉｓｏｌａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）（Ｄ．Ｓｃｈｎａｃｋｅｎｂｅｒｇ， Ｋ．Ｄｊａｈａｎｄａｒｉ ａｎｄ Ｄ．Ｓｔｅｒｎｅ： “Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ ｆｏｒ ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ａｎｄ ｒｅｓｐｏｎｓｅ”， Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ＤＡＲＰＡ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｕｒｖｉｖａｂｉｌｉｔｙ Ｃｏｎｆｅｒｅｎｃｅ ａｎｄ Ｅｘｐｏｓｉｔｉｏｎ（ＤＩＳＣＥＸ）， Ｓｏｕｔｈ Ｃａｒｏｌｉｎａ（２０００））などがある。ＡＴ＆Ｔ社論文及びＩＤＩＰは、攻撃検出イベントを攻撃経路の上流ノードへ伝達し、上流ノードで伝送帯域制限を行うための方式やプロトコルである。本出願の発明者等が出願済みの分散型サービス不能攻撃の防止方法は、ルータにインストールされている移動型パケットフィルタリングプログラムが、自らのプログラムの複製を作成し、その複製を上流ルータ移動させ、各上流ルータへ移動してきた移動型パケットフィルタリングプログラムは、それぞれＤＤｏＳ攻撃者のホストからサーバに向けて送られているトラフィック全てを通過させないようする技術である。
【０００５】
【発明が解決しようとする課題】
Ｃｅｎｔｅｒ Ｔｒａｃｋは、攻撃を受けた被害者が攻撃者を特定することを助ける技術ではあるが、実際に攻撃を受けているときにその攻撃を防御することはできない。加えて、複数箇所に分散された分散型ＤｏＳの攻撃元になっているコンピュータやそのコンピュータが接続されているネットワークの管理者に連絡をしないと、攻撃そのものを止めることはできないため、実質的には攻撃を止めるまでに何時間、あるいは何日もの時間がかかってしまうという問題点がある。
【０００６】
また、この出願の同発明者等が出願済みの分散型サービス不能攻撃の防止方法、ＡＴ＆Ｔ論文及びＩＤＩＰにおては、攻撃パケットと特定されたパケットを次ノードへ送出せず、全て破棄してまう。よって、標的となるサーバのダウンやルータ装置の過負荷等によりサービスが停止する一次被害を防止することはできるが、正規利用者からのパケットを攻撃パケットと識別する方法がないため、誤って正規利用者からの正規パケットも攻撃パケットとして破棄してしまう可能性があり、正規利用者の利用性が低下するといった二次被害を引き起こしてしまうという問題がある。
【０００７】
本発明は、上記事情を考慮してなされたものであり、その目的は、正規利用者へのサービス性を低下させる被害を軽減しながらＤＤｏＳ攻撃を防御できる、分散型サービス不能攻撃防止方法及び装置ならびにプログラムを提供することにある。
【０００８】
【課題を解決するための手段】
この発明は、上記の課題を解決すべくなされたもので、請求項１に記載の発明は、複数の通信装置を網目状に接続してなるネットワークと、防御対象であるコンピュータおよびＬＡＮと、前記ＬＡＮおよびネットワークの間に介挿されたゲート装置とを有するネットワークシステムにおいて、前記ゲート装置は、入力される通信トラヒックから攻撃容疑トラヒックを検出した場合に、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の前記通信装置へ送信する処理を行い、前記通信装置は、前記攻撃容疑トラヒックの伝送帯域を下流のゲート装置または通信装置から受信した前記伝送帯域制限値に制限すると共に、前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信する処理を行い、前記攻撃容疑パケット送出元の最上流の前記通信装置に達するまで再帰的に、前記攻撃容疑パケットの伝送帯域の制限と、前記攻撃容疑トラヒックの伝送帯域制限値送信との処理を行い、前記ゲート装置は、前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信する処理を行い、前記上流の通信装置は、前記下流のゲート装置または通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域問合せを受信して、当該通信装置における前記攻撃容疑トラヒックの平均入力伝送帯域値を前記下流のゲート装置または通信装置へ送信する処理を行い、前記ゲート装置は、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信する処理を行い、前記通信装置は、前記攻撃容疑トラヒックの伝送帯域を下流のゲート装置または通信装置から受信した前記伝送帯域制限調整値に制限すると共に、前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信する処理と、前記下流の通信装置から受信した伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信する処理とを行い、前記攻撃容疑パケット送出元の最上流の前記通信装置に達するまで再帰的に、伝送帯域制限調整値に前記攻撃容疑パケットの伝送帯域の制限と共に、前記攻撃容疑トラヒックの伝送帯域制限調整値の送信との処理を行う、ことを特徴とする分散型サービス不能攻撃防止方法である。
【０００９】
請求項２に記載の発明は、請求項１に記載の分散型サービス不能攻撃防止方法であって、前記伝送帯域制限値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
【数１１】
【００１０】
請求項３に記載の発明は、請求項１または請求項２に記載の分散型サービス不能攻撃防止方法であって、前記伝送帯域制限調整値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの平均入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
【数１２】
【００１１】
請求項４に記載の発明は、複数の通信装置を網目状に接続してなるネットワークと、防御対象であるコンピュータおよびＬＡＮとの間に介挿されたゲート装置において、入力される通信トラヒックをチェックし、分散型サービス不能攻撃の攻撃容疑トラヒックを検出するトラヒック監視手段と、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記トラヒック監視手段によって検出された攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信する帯域制限指示手段と、前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問い合わせる伝送帯域問合せ手段と、前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信する伝送帯域値受信手段と、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信する帯域制限調整手段と、を備えることを特徴とするゲート装置である。
【００１２】
請求項５に記載の発明は、請求項４に記載のゲート装置であって、前記帯域制限指示手段は、前記伝送帯域制限値を、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
【数１３】
【数１４】
【００１３】
請求項６に記載の発明は、防御対象であるコンピュータおよびＬＡＮを防御するゲート装置が接続されたネットワークのノードを構成する通信装置において、下流のゲート装置あるいは通信装置から攻撃容疑トラヒックの伝送帯域制限値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限値に制限する帯域制御手段と、前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信する帯域制限指示手段と、前記下流のゲート装置あるいは通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域問い合わせを受信し、当該通信装置における前記攻撃容疑トラヒックの平均入力伝送帯域値を前記下流のゲート装置あるいは通信装置へ送信する帯域通知手段と、前記下流のゲート装置あるいは通信装置から攻撃容疑トラヒックの伝送帯域制限調整値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限調整値に制限する帯域制御調整手段と、前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問い合わせる伝送帯域問合せ手段と、前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信する伝送帯域値受信手段と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値と前記受信した伝送帯域制限調整値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して、前記上流の通信装置へ送信する帯域制限調整手段と、を備えることを特徴とする通信装置である。
【００１４】
請求項７に記載の発明は、請求項６に記載の通信装置であって、前記帯域制限指示手段は、前記伝送帯域制限値を、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
【数１５】
【数１６】
【００１５】
請求項８に記載の発明は、複数の通信装置を網目状に接続してなるネットワークと、防御対象であるコンピュータおよびＬＡＮとの間に介挿されたゲート装置上で実行されるコンピュータプログラムであって、入力される通信トラヒックをチェックし、分散型サービス不能攻撃の攻撃容疑トラヒックを検出した場合に、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信するステップと、前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信するステップと、前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信するステップと、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信するステップと、をコンピュータに実行させることを特徴とする分散型サービス不能攻撃防止プログラムである。
【００１６】
請求項９に記載の発明は、防御対象であるコンピュータおよびＬＡＮを防御するゲート装置が接続されるたネットワークのノードを構成する通信装置上で実行されるコンピュータプログラムであって、下流のゲート装置又は通信装置から攻撃容疑トラヒックの伝送帯域制限値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限値に制限するステップと、前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して、上流の通信装置へ送信するステップと、前記下流のゲート装置又は通信装置から攻撃容疑トラヒックの平均入力伝送帯域を問い合わせる伝送帯域問合せを受信し、前記攻撃容疑トラヒックの平均入力伝送帯域値を前記下流のゲート装置又は通信装置へ送信するステップと、前記下流のゲート装置又は通信装置から伝送帯域制限調整値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限調整値に制限するステップと、前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信するステップと、前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信するステップと、前記受信した伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信するステップと、をコンピュータに実行させることを特徴とする分散型サービス不能攻撃防止プログラムである。
【００１７】
請求項１０に記載の発明は、請求項８または請求項９に記載の分散型サービス不能攻撃防止プログラムであって、前記伝送帯域制限値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
【数１７】
【数１８】
【００１８】
請求項１１に記載の発明は、複数の通信装置を網目状に接続してなるネットワークと、防御対象であるコンピュータおよびＬＡＮとの間に介挿されたゲート装置上で実行されるコンピュータプログラムを記緑したコンピュータ読み取り可能な記録媒体であって、入力される通信トラヒックをチェックし、分散型サービス不能攻撃の攻撃容疑トラヒックを検出した場合に、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信するステップと、前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信するステップと、前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信するステップと、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信するステップと、の各処理をコンピュータに実行させる分散型サービス不能攻撃防止プログラムを記録することを特徴とする記録媒体である。
【００１９】
請求項１２に記載の発明は、防御対象であるコンピュータおよびＬＡＮを防御するゲート装置が接続されたネットワークのノードを構成する通信装置上で実行されるコンピュータプログラムを記緑したコンピュータ読み取り可能な記録媒体であって、下流のゲート装置又は通信装置から攻撃容疑トラヒックの伝送帯域制限値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限値に制限するステップと、前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して、上流の通信装置へ送信するステップと、前記下流のゲート装置又は通信装置から攻撃容疑トラヒックの平均入力伝送帯域を問い合わせる伝送帯域問合せを受信し、前記攻撃容疑トラヒックの平均入力伝送帯域値を前記下流のゲート装置又は通信装置へ送信するステップと、前記下流のゲート装置又は通信装置から伝送帯域制限調整値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限調整値に制限するステップと、前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信するステップと、前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信するステップと、前記受信した伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信するステップと、の各処理をコンピュータに実行させる分散型サービス不能攻撃防止プログラムを記録することを特徴とする記録媒体である。
【００２０】
請求項１３に記載の発明は、請求項１１または請求項１２に記載の分散型サービス不能攻撃防止プログラムを記録することを特徴とする記録媒体であって、前記伝送帯域制限値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
【数１９】
前記伝送帯域制限調整値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの平均入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
【数２０】
【００２１】
【発明の実施の形態】
以下図面を参照し、この発明の一実施の形態について説明する。図１は、同実施の形態を適用したネットワークの構成図である。この図において、２０００はサーバ、２００１はこの発明の一実施形態によるゲート装置（ゲートウェイ）、２００２〜２００６はこの発明の一実施形態による通信装置（ルータ）、２００７〜２０１０は端末装置である。ＤＤｏＳ攻撃の被攻撃者のサーバ２０００が収容されているＬＡＮ（ローカルエリアネットワーク）は、ゲート装置２００１によって外部のネットワークに接続されている。そして、ネットワークは通信装置２００２、２００３、２００４、２００５、２００６を有している。ＤＤｏＳ攻撃者によって操作された端末装置２００７、２００８が、攻撃パケットを被攻撃者のサーバ２０００に向かって送信すると、攻撃パケットが被攻撃者収容ＬＡＮに集中して混雑が発生することにより、ゲート装置２００１の資源を消費してしまい、ＤＤｏＳ攻撃者とは無関係な正規利用者の端末２００９、２０１０からサーバ２０００に接続できなくなるという現象が起こる。
【００２２】
ゲート装置２００１は、予めサーバ２０００を保有する利用者が設定した攻撃容疑検出条件を記憶している。図２に攻撃容疑検出条件の設定の例を示す。さらに、ゲート装置２００１は、防御対象のサーバ２０００及びサーバ２０００が収容されているＬＡＮの所有者によって予め設定された伝送帯域制限値を記憶している。
【００２３】
図２における攻撃容疑検出条件は、検出属性、検出閾値及び検出間隔の組からなる３組のレコードで構成される。ここでは、番号はレコードを特定するために便宜上使用される。攻撃容疑検出条件は、受信パケットが攻撃パケットである可能性がある攻撃容疑パケットを検出するために使用され、３組のレコードの内のいずれかのレコードの条件にトラヒックが一致した場合、このトラヒックの通信パケットは攻撃容疑パケットであると認識される。検出属性は、ＩＰパケットの第３／４層属性種別とそれら属性値の組を指定するが、第３層属性であるＩＰの「Ｄｅｓｔｉｎａｔｉｏｎ ＩＰ Ａｄｄｒｅｓｓ（宛先ＩＰアドレス）」という属性種別は必ず指定される。図２において、番号１のレコードの検出属性は、「Ｄｅｓｔｉｎａｔｉｏｎ ＩＰ Ａｄｄｒｅｓｓ（宛先ＩＰアドレス）」が「１９２．１６８．１．１／３２」であり（ｄｓｔ＝１９２．１６８．１．１／３２）、ＩＰの上位層（第４層）のプロトコル種別を示す「Ｐｒｏｔｏｃｏｌ（プロトコル）」が「ＴＣＰ」であり（Ｐｒｏｔｏｃｏｌ＝ＴＣＰ）、かつ、第４層プロトコルがどのアプリケーションの情報かを示す「Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ（宛先ポート番号）」が「８０」である（Ｐｏｒｔ＝８０）という属性種別とそれら属性値の組で指定される。番号２のレコード検出属性は、「Ｄｅｓｔｉｎａｔｉｏｎ ＩＰ Ａｄｄｒｅｓｓ（宛先ＩＰアドレス）」が「１９２．１６８．１．２／３２」であり（ｄｓｔ＝１９２．１６８．１．２／３２）、かつ、「Ｐｒｏｔｏｃｏｌ（プロトコル）」が「ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ ｐｒｏｔｏｃｏｌ）」である（Ｐｒｏｔｏｃｏｌ＝ＵＤＰ）という属性種別とそれら属性値の組で指定される。また、番号３のレコード検出属性は、「Ｄｅｓｔｉｎａｔｉｏｎ ＩＰ Ａｄｄｒｅｓｓ（宛先ＩＰアドレス）」が「１９２．１６８．１．０／２４」である属性種別とその属性値で指定される。検出閾値は、同じレコードで指定される検出属性を持つ受信パケットのトラヒックを攻撃容疑トラヒックとして検出するための最低の伝送帯域を、検出間隔は同じく最低の連続時間を示している。
【００２４】
また、ゲート装置２００１及び通信装置２００２〜２００６は、攻撃容疑パケットのトラヒックを分析し、不正トラヒックを検出するための不正トラヒック検出条件を保有する。図３に不正トラヒック検出条件の設定の例を示す。ここでは、番号はレコードを特定するために便宜上使用される。不正トラヒック条件は、既知のＤＤｏＳ攻撃の複数のトラヒックパターンから構成され、攻撃容疑パケットのトラヒックがいずれかのトラヒックパターンに合致した場合に、不正トラヒックであると認識される。図３の番号１の不正トラヒック条件は、「伝送帯域Ｔ１Ｋｂｐｓ以上のパケットがＳ１秒以上連続送信されている」というトラヒックパターンを示している。また、番号２の不正トラヒック条件は、「伝送帯域Ｔ２Ｋｂｐｓ以上、第３層プロトコルであるＩＣＭＰ（Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｏｌ）上のエコー応答（Ｅｃｈｏ Ｒｅｐｌｙ）メッセージのパケットがＳ２秒以上連続送信されている」というトラヒックパターンを示している。番号３の不正トラヒック条件は、「伝送帯域Ｔ３Ｋｂｐｓ以上、データが長すぎるためパケットに含まれるデータは複数ＩＰパケットに分割して送信していることを示すフラグメントパケットがＳ３秒以上連続送信されている」というトラヒックパターンを示している。
【００２５】
ここで、ゲート装置２００１及び通信装置２００２〜２００６が備える帯域制御モデルを説明する。図４は本実施の形態におけるゲート装置２００１及び通信装置２００２〜２００６が備える帯域制御モデルを示す。帯域制御モデルは、入力パケットをクラス別に分類し、このクラスに従ってパケットの出力帯域制御を実現するためのモデルを示す。フィルタ２０２１は、入力されたパケットを正規クラス２０２２、容疑クラス２０２６、不正クラス２０２４の３つのクラスに分類する。なお、このフィルタ２０２１の分類アルゴリズムは後述する。正規クラス２０２２はデフォルトクラスであり、正規クラス２０２２に分類されたパケットは正規キュー２０２３につながれ、伝送帯域を制限せずに出力される。容疑クラス２０２６に分類されたパケットは、容疑パケットか否かを判断するための防御対象のサーバ２０００及びサーバ２０００が収容されているＬＡＮ毎に発生する容疑キュー２０２７につながれ、防御対象のサーバ２０００及びサーバ２０００が収容されているＬＡＮの所有者によって予め設定された伝送帯域制限値に出力伝送帯域が制限される。なお、容疑シグネチャの生成については後述する。サーバ２０００を収容しているゲート装置２００１の容疑キューの伝送帯域制限値は防御対象のサーバ２０００及びサーバ２０００が収容されているＬＡＮの所有者によって予め設定された伝送帯域制限値を使用するが、上流の通信装置２００２〜２００６では、下流の通信装置から受信した伝送帯域制限値を使用する。不正クラス２０２４に分類されたパケットは、不正キュー２０２５につながれ、サーバ所有者やネットワークのポリシーに関わらず、０または０に近い伝送帯域に制限される。
【００２６】
続いて、ゲート装置２００１及び通信装置２００２〜２００６が伝送帯域制限を実行するための、フィルタ２０２１の分類アルゴリズムについて説明する。ゲート装置２００１及び通信装置２００２〜２００６は、当該通信装置に入力される全ての通信パケットをこの分類アルゴリズムで分類する。図５はフィルタ２０２１における分類アルゴリズムを示す。まず、ステップＳ３００３において、フィルタ２０２１は、入力されたパケットが不正シグネチャと合致するか判断する。不正シグネチャに合致した場合、パケットは不正クラス２０２４に分類される（ステップＳ３００４）。不正シグネチャに合致しなかった場合は、ステップＳ３００５に進み、パケットが容疑シグネチャであるか判断し、容疑シグネチャに合致すれば容疑クラス２０２６へ分類され（ステップＳ３００６）、合致しない場合には正規クラス２０２２へ分類される（ステップＳ３００７）。このようにして各クラスに分類されたパケットは、正規キューであれば伝送帯域を制限せずに出力され、容疑キュー及び不正キューであればそれぞれの伝送帯域制限値に従って伝送帯域が制限されて出力される。なお、容疑シグネチャ及び不正シグネチャの生成については後述する。
【００２７】
次に、ＤＤｏＳ攻撃に対する対策方式の処理手順を示す。まず、図６のゲート装置２００１の攻撃容疑パケット検出時の動作を示すフローチャート、図８の通信装置２００２、２００３の伝送帯域制限指示受信時の動作を示すフローチャート及び図９のゲート装置２００１及び通信装置２００２〜２００６の不正トラヒック検出時の動作を示すフローチャートを用いてＤＤｏＳ攻撃発生と同時に初期の伝送帯域制限を実施する処理手順を説明する。
【００２８】
図６のステップＳ３０１１において、ゲート装置２００１は、攻撃容疑検出条件（図２）に従って、検出間隔で指定されているより長い時間連続して、検出閾値で指定されている以上の伝送帯域を使用している、検出属性に合致するトラヒックをチェックし、３組のレコードの内のいずれかのレコードに合致した場合、このトラヒックを攻撃容疑トラヒックとして検出する。すると、ステップＳ３０１２において、この検出された攻撃容疑トラヒックが満たしている攻撃容疑検出条件のレコードの検出属性を、容疑シグネチャとして生成する。容疑シグネチャは、攻撃容疑トラヒックの通信パケット、すなわち攻撃容疑パケットを識別するために用いられる。例えば、図２の設定例を用いて説明すると、番号１のレコードの条件で検出されるパケットの容疑シグネチャは｛ｄｓｔ＝１９２．１６８．１．１／３２， Ｐｒｏｔｏｃｏｌ＝ＴＣＰ， Ｐｏｒｔ＝８０｝となる。
【００２９】
次いで、ステップＳ３０１３において、ゲート装置２００１は、ステップＳ３０１２において生成した容疑シグネチャをフィルタ２０２１に登録する。次に、防御対象のサーバ２０００及びサーバ２０００が収容されているＬＡＮの所有者によって予め設定された伝送帯域制限値に攻撃容疑トラヒックの伝送帯域を制限するための容疑キュー２０２７を生成する。なお、同一防御対象に関する容疑キューが既に生成済みの場合は、新たな容疑キューの生成は行わない。これにより、以後、図４に示す帯域制御モデルと図５に示すフィルタ２０２１の分類アルゴリズムに従って、容疑シグネチャに合致する攻撃容疑パケットの伝送帯域の制限が実行される。
【００３０】
そして、ゲート装置２００１は、ステップＳ３０１４において、容疑シグネチャと算出した攻撃容疑パケットの伝送帯域制限値とを含んだ伝送帯域制限指示を１つ上流にある通信装置２００２、２００３に送信する。ここで、伝送帯域制限値の算出方法を説明する。なお、本明細書においては、ゲート装置あるいは通信装置を識別するための添え字を持つ
【数２１】
【数２２】
【００３１】
次に、伝送帯域制限指示受信時の通信装置２００２、２００３の動作を説明する。図８のステップＳ３０２１において、通信装置２００２、２００３は、ゲート装置２００１が送信した（ステップＳ３０１４）伝送帯域制限指示を受信する。次に、ステップＳ３０２２に進み、通信装置２００２、２００３は、受信した伝送帯域制限指示に含まれる容疑シグネチャをフィルタ２０２１に登録し、容疑シグネチャ及び攻撃容疑パケットの伝送帯域制限値に対応した容疑キュー２０２７を生成する。これにより、以後、図４に示す帯域制御モデルと図５に示すフィルタ２０２１の分類アルゴリズムに従って容疑シグネチャに合致する攻撃容疑パケットの伝送帯域の制限が実行される。
【００３２】
通信装置２００２はステップＳ３０２３において、その上流にある通信装置２００４に、通信装置２００３はその上流にある通信装置２００５及び２００６に、受信した容疑シグネチャと、受信した伝送帯域制限値から算出した伝送帯域制限値とを含んだ伝送帯域制限指示を送信する。このときの算出方法は、ゲート装置２００１のステップＳ３００３と同様である。すなわち、通信装置２００２、２００３は、ゲート装置２００１から受信した伝送帯域制限値を１つ上流の通信装置全てに均等に割り当てる。図７を用いて説明すると、通信装置２００２、２００３の深さｄは１であり、この深さｄ＝１には２つの通信装置が存在し、その１番目の通信装置２００２のｉは１、２番目の通信装置２００３のｉは２である。通信装置２００２の伝送帯域制限値Ｓｓ（１，１）及び通信装置２００３の伝送帯域制限値Ｓｓ（１，２）は、それぞれゲート装置２００１から受信した伝送帯域制限値Ｓｓ（１，１，１）、Ｓｓ（１，１，２）であり、すなわち４００ｋｂｐｓである。そして、通信装置２００２には１つの上流の通信装置２００４が存在するため、１つ上流の通信装置数ｎｕ（１，１）は１である。よって、通信装置２００４の伝送帯域制限値Ｓｓ（２，１，１）は、Ｓｓ（１，１）＝４００ｋｂｐｓをｎｕ（１，１）＝１で除算した４００ｋｂｐｓとなる。一方、通信装置２００３には２つの上流の通信装置２００５、２００６が存在するため１つ上流の通信装置数ｎｕ（１，２）は２である。よって、通信装置２００５の伝送帯域制限値Ｓｓ（２，２，１）及び通信装置２００６の伝送帯域制限値Ｓｓ（２，２，２）は、Ｓｓ（１，２）＝４００ｋｂｐｓをｎｕ（１，２）＝２で除算した２００ｋｂｐｓとなる。
【００３３】
そして、通信装置２００４は通信装置２００２から、通信装置２００５、２００６は通信装置２００３から伝送帯域制限指示を受信し、通信装置２００２、２００３におけるステップＳ３０２１〜Ｓ３０２２と同様に動作する。通信装置２００４〜２００６は、ルーチングテーブルなどにより上流に通信装置がないと判断できるため、ステップＳ３０２３は実行しない。
【００３４】
次に、ゲート装置２００１及び通信装置２００２〜２００６の不正トラヒック検出時の動作を説明する。図９のステップＳ３０３１において、ゲート装置２００１及び通信装置２００２〜２００６は、ＤＤｏＳ攻撃者がパケットを送出しているネットワークを特定するため入力パケットを分析して、不正トラヒック条件のいずれかのパターンに合致するトラヒックを検出する。すると、ゲート装置２００１及び通信装置２００２〜２００６は、ステップＳ３０３２において、この検出された不正トラヒック条件を満たすパケットの送信元ＩＰアドレスを不正アドレス範囲として特定し、この不正アドレス範囲であり、かつ、容疑シグネチャに合致するという条件を不正シグネチャとする。そして、ゲート装置２００１及び通信装置２００２〜２００６は、ステップＳ３０３３においてこの不正シグネチャをフィルタ２０２１に登録する。これにより、以後、図４に示す帯域制御モデルと図５に示すフィルタ２０２１の分類アルゴリズムに従って不正シグネチャで識別される攻撃パケットの伝送帯域はさらに制限される。すなわち、攻撃パケットは不正クラス２０２４に分類され、正規利用者からのパケットである正規パケットのみが攻撃容疑パケットとして容疑クラス２０２６に分類される。
【００３５】
以上説明した初期の伝送帯域制限を実施することにより、早期にネットワークの伝送帯域の溢れを防いだ後、攻撃容疑パケットの入力トラヒックに応じて、伝送帯域制限値の調整を実施する処理手順を説明する。図１０は伝送帯域制限調整値の算出の例、図１１はゲート装置２００１及び通信装置２００２〜２００６の伝送帯域制限値の調整の動作を示すフローチャートである。
【００３６】
図１０において、図７に示す初期の伝送帯域制限後、端末装置２００７から２Ｍｂｐｓ、端末装置２００８から２Ｍｂｐｓの攻撃パケットが送信されており、また、端末装置２００９から６００ｋｂｐｓ、端末装置２０１０からは１００ｋｂｐｓの攻撃容疑パケットが送信されている。
【００３７】
通信装置２００４は、端末装置２００７から入力される攻撃パケットを不正クラス２０２４に分類しており、当該通信装置２００４に入力される全攻撃容疑トラヒックは端末装置２００９から受信される６００ｋｂｐｓである。これは、初期の伝送帯域制限の手順で受信した伝送帯域制限値Ｓｓ（２，１，１）＝４００ｋｂｐｓより大きいため、下流の通信装置２００２には、攻撃容疑トラヒックを４００ｋｂｐｓに帯域制限して出力している。通信装置２００２は、上流の通信装置２００４から入力される攻撃容疑トラヒックの伝送帯域が４００ｋｂｐｓであり、初期の伝送帯域制限の手順で受信した伝送帯域制限値Ｓｓ（１，１，１）＝４００ｋｂｐｓ以下であるため、下流のゲート装置２００１には４００ｋｂｐｓの攻撃容疑トラヒックを出力している。
【００３８】
一方、通信装置２００５は、端末装置２００８から入力される攻撃パケットを不正クラス２０２４に分類しているため、下流の通信装置２００３に出力している攻撃容疑トラヒックは０ｋｂｐｓである。また、通信装置２００６に入力される攻撃容疑トラヒックは、端末装置２０１０から受信される１００ｋｂｐｓである。これは初期の伝送帯域制限の手順で受信した伝送帯域制限値Ｓｓ（２，２，２）＝２００ｋｂｐｓ以下であるため、下流の通信装置２００３には、そのまま１００ｋｂｐｓの攻撃容疑トラヒックを出力している。よって、通信装置２００３は、上流の通信装置２００５、２００６から入力される攻撃容疑トラヒックの伝送帯域の合計が１００ｋｂｐｓと、初期の伝送帯域制限の手順で受信した伝送帯域制限値Ｓｓ（１，１，２）＝４００ｋｂｐｓ以下であるため、下流のゲート装置２００１には１００ｋｂｐｓの攻撃容疑トラヒックを出力している。
【００３９】
図１１のステップＳ３０４１において、ゲート装置２００１は、初期伝送帯域制限実施から一定時間後、全上流の通信装置２００２、２００３に当該ゲート装置２００１に入力される攻撃容疑トラヒックの平均入力伝送帯域を問い合わせる。すると、ステップＳ３０５１において、通信装置２００２、２００３は、平均入力伝送帯域の問合せを受信する。そして、ステップＳ３０５２において、通信装置２００２、２００３は、自身の攻撃容疑トラヒックの平均入力伝送帯域値をゲート装置２００１に通知する。
【００４０】
次に、ステップＳ３０４２においてゲート装置２００１は、通信装置２００２，２００３から攻撃容疑トラヒックの平均入力伝送帯域値を受信する。すると、ステップＳ３０４３において、ゲート装置２００１は、受信した平均入力伝送帯域値を基に算出した攻撃容疑パケットの伝送帯域制限調整値を含んだ伝送帯域制限調整指示を、全上流の通信装置２００２、２００３に送信する。ここで、伝送帯域制限値の算出方法を説明する。なお、本明細書においては、ゲート装置あるいは通信装置を識別するための添え字を持つ
【数２３】
【数２４】
【００４１】
図１０の送帯域制限調整値の算出の例を用いて説明する。ゲート装置２００１の１番目の１つ上流の通信装置２００２からゲート装置２００１に入力される攻撃容疑トラヒックの平均入力伝送帯域値Ｂ（１，１，１）は４００ｋｂｐｓ、２番目の１つ上流の通信装置２００３からゲート装置２００１に入力される攻撃容疑トラヒックの平均入力伝送帯域値Ｂ（１，１，２）は１００ｋｂｐｓである。よって、（数２４）の右辺の分母は、全上流の通信装置からの平均入力伝送帯域値の合計を示していることより、Ｂ（１，１，１）＋Ｂ（１，１，２）＝５００ｋｂｐｓと算出される。また、伝送帯域制限調整値の初期値Ｓｓ’（０，１）＝Ｓｓ（０，１）であるため、図７の例より、Ｓｓ’（０，１）は８００ｋｂｐｓである。従って、１番目の１つ上流の通信装置２００２の攻撃容疑トラヒックの伝送帯域制限調整値Ｓｓ’（１，１，１）は、Ｂ（１，１，１）＝４００ｋｂｐｓを分母５００ｋｂｐｓで除算し、伝送帯域制限調整値の初期値Ｓｓ’（０，１）＝８００ｋｂｐｓを乗算した６４０ｋｂｐｓとなる。一方、２番目の１つ上流の通信装置２００３の攻撃容疑トラヒックの伝送帯域制限調整値Ｓｓ’（１，１，２）は、Ｂ（１，１，２）＝１００ｋｂｐｓを分母５００ｋｂｐｓで除算し、伝送帯域制限調整値の初期値Ｓｓ’（０，１）＝８００ｋｂｐｓを乗算した１６０ｋｂｐｓとなる。
【００４２】
そして、図１１のステップＳ３０５３において、通信装置２００２、２００３は、ゲート装置２００１から伝送帯域制限調整指示を受信する。すると、ステップＳ３０５４に進み、通信装置２００２、２００３は、容疑キュー２０２７の伝送帯域制限値を受信した伝送帯域制限調整指示に含まれる伝送帯域制限調整値に変更する。これにより、以後、図４に示す帯域制御モデルと図５に示すフィルタ２０２１の分類アルゴリズムに従って容疑シグネチャに合致する攻撃容疑パケットの伝送帯域は伝送帯域制限調整値に制限される。
【００４３】
次に、図１１のステップ３０５５へ進み、通信装置２００２はその上流にある通信装置２００４に当該通信装置２００２に入力される攻撃容疑トラヒックの平均入力伝送帯域を、通信装置２００３はその上流にある通信装置２００５及び２００６に当該通信装置２００３に入力される攻撃容疑トラヒックの平均入力伝送帯域を問い合わせる。通信装置２００４〜２００６は、ステップＳ３０６１において、平均入力伝送帯域の問合せを受信する。するとステップＳ３０６２において、通信装置２００４は、通信装置２００２に、通信装置２００５、２００６は、通信装置２００３に自身の攻撃容疑トラヒックの平均入力伝送帯域値を通知する。
【００４４】
続いて、ステップＳ３０５６において、通信装置２００２、２００３は、通信装置２００４〜２００６から受信した平均入力伝送帯域値を受信する。すると、ステップＳ３０５７において、通信装置２００２、２００３は、受信した平均入力伝送帯域値を基に算出した攻撃容疑パケットの伝送帯域制限調整値を含んだ伝送帯域制限調整指示を、全上流の通信装置、すなわち、通信装置２００２はその上流にある通信装置２００４に、通信装置２００３はその上流にある通信装置２００５及び２００６に送信する。このときの算出方法は、ゲート装置２００１のステップＳ３０４３と同様である。
【００４５】
図１０の送帯域制限調整の算出の例を用いて説明する。通信装置２００２の１番目の１つ上流の通信装置２００４の平均入力伝送帯域値Ｂ（２，１，１）は４００ｋｂｐｓである。よって、（数２４）の右辺の分母は、全上流の通信装置からの平均入力伝送帯域値の合計を示していることより、Ｂ（２，１，１）と同値になる。また、通信装置２００２の伝送帯域制限調整値の初期値Ｓｓ’（１，１）＝Ｓｓ’（１，１，１）であるため、ステップＳ３０４３より、Ｓｓ’（１，１）は６４０ｋｂｐｓである。よって、通信装置２００２の１番目の１つ上流の通信装置２００４の攻撃容疑トラヒックの伝送帯域制限調整値Ｓｓ’（２，１，１）は、Ｂ（２，１，１）＝４００ｋｂｐｓを分母４００ｋｂｐｓで除算し、伝送帯域制限調整値の初期値Ｓｓ’（１，１）＝６４０ｋｂｐｓを乗算した６４０ｋｂｐｓとなる。
【００４６】
一方、通信装置２００３の１番目の１つ上流の通信装置２００５から通信装置２００３に入力される攻撃容疑トラヒックの平均入力伝送帯域値Ｂ（２，２，１）は０ｋｂｐｓ、２番目の１つ上流の通信装置２００６から通信装置２００３に入力される攻撃容疑トラヒックの平均入力伝送帯域値Ｂ（２，２，２）は１００ｋｂｐｓである。よって、（数２４）の右辺の分母は、全上流の通信装置からの平均入力伝送帯域値の合計を示していることより、Ｂ（２，２，１）＋Ｂ（２，２，２）＝１００ｋｂｐｓと算出される。また、通信装置２００３の伝送帯域制限調整値の初期値Ｓｓ’（１，２）＝Ｓｓ’（１，１，２）であるため、ステップＳ３０４３より、Ｓｓ’（１，２）は１６０ｋｂｐｓである。従って、通信装置２００５の攻撃容疑トラヒックの伝送帯域制限調整値Ｓｓ’（２，２，１）は、Ｂ（２，２，１）＝０ｋｂｐｓを分母１００ｋｂｐｓで除算し、伝送帯域制限調整値の初期値Ｓｓ’（１，２）＝１６０ｋｂｐｓを乗算した０ｋｂｐｓとなり、通信装置２００６の攻撃容疑トラヒックの伝送帯域制限調整値Ｓｓ’（２，２，２）は、Ｂ（２，２，２）＝１００ｋｂｐｓを分母１００ｋｂｐｓで除算し、伝送帯域制限調整値の初期値Ｓｓ’（１，２）＝１６０ｋｂｐｓを乗算した１６０ｋｂｐｓとなる。
【００４７】
そして、図１１のステップ３０６３において、通信装置２００４〜２００６は、通信装置２００２、２００３から伝送帯域制限調整指示を受信する。ステップＳ３０６４に進み、通信装置２００４〜２００６は、容疑キュー２０２７の伝送帯域制限値を受信した伝送帯域制限指示に含まれる伝送帯域制限調整値に変更する。これにより、以後、図４に示す帯域制御モデルと図５に示すフィルタ２０２１の分類アルゴリズムに従って容疑シグネチャに合致する攻撃容疑パケットの伝送帯域は伝送帯域制限調整値に制限される。
【００４８】
一方、ステップＳ３０４４において、ゲート装置２００１は、上記の伝送帯域制限調整から一定時間後、あるいは、受信する攻撃容疑パケットの伝送帯域が伝送帯域調整前と調整後である一定の割合変化した場合などのトリガを検出すると、再び伝送帯域調整を実行するステップＳ３０４１から伝送帯域制限調整値の調整を繰り返す。
【００４９】
ところで、以上説明した動作は、以下に記述するアクティブネットワーク上で実行される。
【００５０】
以下、図面を参照しこの発明の一実施形態を実行できるアクティブネットワークについて説明する。
図１２は、本実施形態が前提とするネットワークの構成である。図１２に示すように、通信ネットワークは、複数の通信装置７００１によって接続されている。そして、通信装置７００１には１台または複数台のユーザのコンピュータ７０００を接続することができるようになっている。ユーザのコンピュータ７０００相互間で通信データのやりとりを行う際には、送信元のユーザのコンピュータ７０００が送信したパケットを通信ネットワーク上の各ノードに位置する通信装置７００１が順次転送することにより、そのパケットを宛先のユーザのコンピュータ７０００に届けるようにする。
【００５１】
次に、通信装置の構成について説明する。図１３は、通信装置７００１の内部の構成を示すブロック図である。図１３に示すように、通信装置７００１には通信線７０２４ａ、７０２４ｂ、７０２４ｃ、７０２４ｄが接続されており、通信装置７００１はこれらの通信線を介して隣接する他の通信装置との間でパケットを交換することができるようになっている。また、通信装置７００１には、上記の各通信線７０２４ａ〜７０２４ｄに対応したインタフェース部７０２３ａ〜７０２３ｄと、パケットを転送する処理を行うための転送処理部７０２１と、パケットの転送の際の転送先の情報を記憶する転送先テーブル７０２２と、アクティブパケットに対する処理を行うためのアクティブネットワーク実行環境（Ａｃｔｉｖｅ Ｎｅｔｗｏｒｋ Ｅｘｅｃｕｔｉｏｎ Ｅｎｖｉｒｏｎｍｅｎｔ）７０１０とが設けられている。なお、アクティブネットワーク実行環境７０１０は、内部に、アクティブコード（プログラム）を実行するためのコード実行部７０１１と、アクティブコードを記憶しておくためのコード記憶部７０１２とを備えている。なお、ここでアクティブコードとは、アクティブネットワークにおいてパケットに対する作用を行うコンピュータプログラムのコードである。
【００５２】
ここで、図１３を参照しながら、この通信装置７００１の動作例の概要を説明する。隣接する他の通信装置から通信線７０２４ｄを介してパケットが到着すると、インタフェース部７０２３ｄがそのパケットを受信し転送処理部７０２１に渡す。転送処理部７０２１は、渡されたパケットのヘッダ部分に格納されている送信元（ｓｏｕｒｃｅ）アドレスと宛先（ｄｅｓｔｉｎａｔｉｏｎ）アドレスとを読み取り、さらにそれらのアドレスをキーとして転送先テーブル記憶部７０２２に記憶されている転送先テーブルを参照することによって、そのパケットにどう対処するかを決定する。
【００５３】
パケットへの対処は大きく２通りに分けられる。そのパケットに対してアクティブコードを適用する場合と、そのパケットをそのまま他の通信装置に転送する場合とである。
転送先テーブルを参照した結果、そのパケットに対してアクティブコードを適用すべきものである場合には、転送処理部７０２１は、そのパケットをアクティブネットワーク実行環境７０１０に渡す。アクティブネットワーク実行環境７０１０においては、コード実行部７０１１がそのパケットを受け取り、そのパケットに対して適用すべきアクティブコードをコード記憶部７０１２から読み出して実行する。なお、コード実行部７０１１は、アクティブコードを実行した結果、必要な場合には処理対象となったパケットを再び転送処理部７０２１に渡して他の通信装置に対して転送することもある。
転送先テーブルを参照した結果、そのパケットにアクティブコードを適用せずそのまま他の転送装置に転送するべきものである場合には、転送処理部７０２１は、適切な転送先に対応したインタフェース部（７０２３ａや７０２３ｂや７０２３ｃなど）に渡し、そのインタフェース部が通信線（７０２４ａや７０２４ｂや７０２４ｃなど）を介してパケットを他の通信装置に転送する。
【００５４】
なお、ここでは通信線７０２４ｄを介して他の通信装置からパケットが到着した場合を例として説明したが、他の通信線を介してパケットが到着した場合の処理も同様である。
【００５５】
次に、通信装置７００１内の転送処理部７０２１がいかにしてパケットに対する処置（アクティブコードを適用するか、単純に他の通信装置に転送するか）を決定するかを具体的に説明する。
【００５６】
本実施形態が基礎とするフレームワークでは、アクティブネットワーク実行環境はパケットの中において指定されているＩＰアドレスに基づいて起動される。ここで、全ての（グローバル）ＩＰアドレスの集合をＩと表わすものとする。また、送信元ＩＰアドレスがｓであり宛先ＩＰアドレスがｄであるようなパケットを（ｓ，ｄ）と表わすものとする。また、通信装置のアクティブネットワーク実行環境に格納されているすべてのアクティブコードはそれぞれ特定のユーザに属するものとし、ある特定のユーザの所有するＩＰアドレスの集合をＯと表わすものとする。
【００５７】
本フレームワークでは、上記特定のユーザに属する個々のアクティブコードは、次に示す式による集合Ａで表されるパケットであって、かつ当該アクティブネットワーク実行環境を備えた通信装置（ノード）によって受信されたパケットに対してアクセスする権限を持つ。すなわち、
Ａ＝｛（ｓ，ｄ）∈［（Ｏ×Ｉ）∪（Ｉ×Ｏ）］｜ｓ≠ｄ｝
である。つまり、この式が意味するところの概略は、特定のユーザに属するアクティブコードは、当該ユーザが所有する全てのＩＰアドレスのいずれかを送信元または宛先のアドレスとするようなパケットに対してアクセス権を有するということである。
【００５８】
当該ユーザに属するｎ個のアクティブコードがある通信装置（ノード）に格納されているとき、ｉ番目（１≦ｉ≦ｎ）のアクティブコードは、集合Ｃ（ｉ）（Ｃ（ｉ）⊆Ａ）に属するパケットをキャプチャーして処理することをアクティブネットワーク実行環境に対して予め要求しておく。つまり、当該ユーザに関して、アクティブネットワーク実行環境は、ｃ（１）∪ｃ（２）∪・・・・・・∪ｃ（ｎ）なる和集合の要素であるパケット（ｓ，ｄ）によって起動されるものであり、このようなパケットを「アクティブパケット」と呼ぶことができる。
【００５９】
図１４は、図１３に示した転送先テーブル記憶部７０２２に記憶されている転送先テーブルの一例を示す概略図である。上記のフレームワークを実現するために必要な情報は、このような転送先テーブルに格納することが可能である。
【００６０】
図１４に示すように、転送先テーブルは、タイプ（Ｔｙｐｅ）と宛先アドレス（Ｄｅｓｔｉｎａｔｉｏｎ）と送信元アドレス（Ｓｏｕｒｃｅ）と転送先（Ｓｅｎｄ ｔｏ）の各項目を含んでいる。タイプの項目は、テーブルのエントリーのタイプを表わすものであり、「アクティブ（Ａｃｔｉｖｅ）」あるいは「通常（Ｒｅｇｕｌａｒ）」のいずれかの値をとる。宛先アドレスおよび送信元アドレスの項目は、転送対象のパケットの宛先ＩＰアドレスおよび送信元ＩＰアドレスにそれぞれ対応するものである。転送先の項目はは、宛先アドレスと送信元アドレスの組み合せがマッチしたパケットに関して、適用すべきアクティブコードの識別情報あるいは転送先の通信装置のＩＰアドレスを表わすものである。
【００６１】
タイプの値が「アクティブ」であるエントリーは、対象のパケットに適用するアクティブコードを指定するものであり、その転送先の項目にはアクティブコードを識別する情報が書かれている。
タイプの値が「通常」であるエントリーは、対象のパケットの転送先の通信装置のアドレスを指定するものであり、その転送先の項目には転送先の通信装置のＩＰアドレスが書かれている。
【００６２】
図１４に示す転送先テーブルの例において、第１のエントリーでは、タイプが「アクティブ」であり、宛先アドレスが「１．２．３．４」であり、送信元アドレスが「Ａｎｙ（何でもよい）」であり、転送先が「アクティブコードＡ」となっている。これは、送信元アドレスがいかなるアドレスであっても、宛先アドレスが「１．２．３．４」にマッチする場合には、該当するパケットをトリガーとしてアクティブネットワーク実行環境が起動され、アクティブコードＡが実行されることを表わしている。
また、第２のエントリーでは、タイプが「アクティブ」であり、宛先アドレスが「１０．５０．０．０」であり、送信元アドレスが「１１．１２．１３．１４」であり、転送先が「アクティブコードＢ」となっている。これは、宛先アドレスと送信元アドレスの両方がそれぞれ上記の値にマッチした場合には、該当するパケットをトリガーとしてアクティブネットワーク実行環境が起動され、アクティブコードＢが実行されることを表わしている。
また、第３のエントリーでは、タイプが「アクティブ」であり、宛先アドレスが「Ａｎｙ（何でもよい）」であり、送信元アドレスが「１５７．２．３．０」であり、転送先が「アクティブコードＣ」となっている。これは、宛先アドレスがいかなるアドレスであっても、送信元アドレスが「１５７．２．３．０」にマッチする場合には該当するパケットをトリガーとしてアクティブネットワーク実行環境が起動され、アクティブコードＣが実行されることを表している。
【００６３】
なお、図１４に示すように、転送先テーブルにおいては、タイプが「アクティブ」であるエントリーのほうが、タイプが「通常」であるエントリーよりも上に存在している。そして、タイプが「アクティブ」であるエントリーのほうが、タイプが「通常」であるエントリーよりも優先的に適用される。また、各エントリーは、通信装置へ到着したパケットのみに対して適用され、転送のために送出されるパケットに対しては適用されない。
【００６４】
以上説明した通信装置の構成をまとめる。
図１３に示したインタフェース部は、通信線毎に設けられており、当該通信線から到着するパケットを受信するとともに当該通信線に対してパケットを送出する処理を行う。
また、転送先テーブル記憶部は、パケットの送信元アドレスまたは宛先アドレスまたはそれら両方のアドレスのパターンと、該パターンに対応するプログラム（アクティブコード）の情報あるいは該パターンに対応する転送先アドレスの情報とが登録された転送先テーブルを記憶する。
また、アクティブネットワーク実行環境は、前記プログラムを予め記憶しているとともに、このプログラムを実行する。
また、転送処理部は、通信線から到着した受信パケットを前記インタフェース部から渡された際に、当該受信パケットの送信元アドレスまたは宛先アドレスに基づいて前記転送先テーブルを参照し、前記転送先テーブルに当該受信パケットのアドレスのパターンに対応する転送先アドレスの情報が登録されていた場合には当該受信パケットを所定の転送先アドレスに向けて送出するように当該転送先アドレスに対応したインタフェース部に渡すとともに、前記転送先テーブルに当該受信パケットのアドレスのパターンに対応するプログラムの情報が登録されていた場合には前記アクティブネットワーク実行環境部において当該プログラムを起動させるとともに当該プログラムに当該受信パケットを渡す。
【００６５】
次に、本実施形態におけるアクティブコードのセキュリティに関するモデルについて説明する。このセキュリティのモデルは、各々のアクティブコードが、アクティブコードの所有者に関わるパケットのみに対して作用することを保証するためのものである。そのために、このセキュリティのモデルは、公開鍵のインフラストラクチャの存在を前提として、それを利用することとする。
【００６６】
図１５は、上記のセキュリティモデルとそのモデルにおける処理の手順を示す概略図である。図１５において、符号７０５１はユーザＡのユーザ端末装置、７０６１は認証局（Ｃｅｒｔｉｆｉｃａｔｉｏｎ Ａｕｔｈｏｒｉｔｙ ）装置である。この認証局の機能は、公の機関によって提供されるものであっても良いし、あるいはＩＳＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ，インターネット接続サービス提供者）などによって提供されるものであっても良い。
なお、図１５に示す例では、ユーザ端末装置７０５１のＩＰアドレスは「１．２．３．４」である。以下では、ユーザＡが、アクティブコードＡを通信装置７００１に登録するための処理の手順を説明する。なお、以下において、ユーザＡはアクティブコードＡの開発者であっても良いが、その必然性はなく、他の開発者が開発したアクティブコードＡをユーザＡが入手し、それを通信装置７００１に登録するものでも良い。
【００６７】
まず（１）で示すように、ユーザＡのユーザ端末装置７０５１は、周知技術を用いて鍵のペアすなわち公開鍵と秘密鍵とを生成する。
そして（２）で示すように、ユーザ端末装置７０５１は、上で生成された公開鍵を認証局装置７０６１に登録する。このとき、認証局装置７０６１は、ユーザ端末装置７０５１のＩＰアドレスを検証する。この検証が正しく行なわれると、公開鍵そのものと、ユーザＡを識別するための情報と、ユーザ端末装置７０５１のＩＰアドレス「１．２．３．４」が認証局装置７０６１に記憶される。
【００６８】
次に（３）で示すように、ユーザ端末装置７０５１は、上で生成された秘密鍵を用いてアクティブコードＡに電子署名する処理を行う。
そして（４）で示すように、ユーザ端末装置７０５１は、秘密鍵で署名されたアクティブコードＡを通信装置７００１に登録する処理を行う。
【００６９】
これを受けて通信装置７００１は、（５）で示すように、アクティブコードＡの登録を行ったユーザＡの電子証明書を認証局装置７０６１から取得する。この電子証明書には、ユーザＡを識別する情報と、そのＩＰアドレス「１．２．３．４」と、上の（２）において登録された公開鍵そのものとが含まれている。
そして（６）で示すように、通信装置７００１は、上記の電子証明書から取り出したユーザＡの公開鍵を用いて、上の（４）において登録されたアクティブコードＡの電子署名を検証する。そして、これが正しく検証された場合には、通信装置７００１は、アクティブコードＡをアクティブネットワーク実行環境に導入する処理を行う。また、これに応じて、転送先テーブルに必要なエントリーが追加される。
【００７０】
なお、この（１）および（２）の処理が行われて一旦ユーザＡの公開鍵が認証局装置７０６１に登録されると、ユーザ端末装置７０５１はその公開鍵に対応する秘密鍵を用いてアクティブモジュールをいくつでも通信装置７００１に登録することも可能である。
【００７１】
つまり、通信装置７００１は登録部（図示せず）を備えており、この登録部は、ユーザの端末装置から当該ユーザの秘密鍵で電子署名されたプログラムを受信し、当該ユーザの電子証明書を認証局装置から受信し、受信した電子証明書に含まれる当該ユーザの公開鍵を用いて前記電子署名されたプログラムの検証を行い、この検証が成功した場合には当該プログラムに対応するアドレスのパターンと当該プログラムの情報とを前記転送先テーブルに登録し、この検証が失敗した場合には当該プログラムの情報の前記転送先テーブルへの登録は行わないようにするものである。
【００７２】
なお、上で説明した通信装置へのアクティブコードの登録の手順が有効に機能するためには、次の２点が前提となる。
第１の前提として、ユーザがどの通信装置（ノード）にアクティブコードを登録すれば良いかは事前にわかっている。あるいは、どの通信装置（ノード）にアクティブコードを登録すればよいかがわかるためのディレクトリサービスが提供されている。
第２の前提として、通信装置（ノード）は、目的の認証局の公開鍵を事前にオフラインで取得しているか、他の認証局から取得するか、あるいは他の何らかの手段で取得できる。
【００７３】
次に、矛盾の解消のための制御について説明する。
ある通信装置（ノード）において、ｎ個のアクティブコードが登録されており、ｉ番目（１≦ｉ≦ｎ）とｊ番目（１≦ｊ≦ｎ）のアクティブコードが、それぞれ集合Ｃ（ｉ）（Ｃ（ｉ）⊆Ａ）と集合Ｃ（ｊ）（Ｃ（ｊ）⊆Ａ）に属するパケットに対するものであると定義されているとき、集合（ｃ（ｉ）∩ｃ（ｊ））が空集合ではないようなｉおよびｊの組み合せ（但しｉ≠ｊ）が存在する場合があり得る。つまり、あるパケットがｉ番目のアクティブコードにもｊ番目のアクティブコードにも適用されるような定義が行われている場合である。このような矛盾は、次の２通りのシナリオのいずれかによって解消することとする。
【００７４】
第１の矛盾の解消のシナリオは、パケット（ｓ，ｄ）に関して、
（ｓ∈Ｏ（ｋ）Λｄ∈Ｏ（ｌ））Λ（ｋ≠ｌ）
であるために、
（ｓ，ｄ）∈ｃ（ｉ）∩ｃ（ｊ）
となる場合に関するものである。但し、Ｏ（ｋ）およびＯ（ｌ）は、それぞれユーザｋおよびｌによって所有されるＩＰアドレスの集合である。
つまり、あるパケットに関して、送信元のユーザ用のアクティブコードと宛先のユーザ用のアクティブコードとの両方が通信装置に登録されており、そのような通信装置にこのパケット（ｓ，ｄ）が到着した場合である。このような場合には、宛先のユーザのアクティブコードを優先的に適用することが望ましいと考えられる。
【００７５】
つまり、転送先テーブルに登録されているパターンに、送信元アドレスのみが指定されていて宛先アドレスが何でもよいとされている第１のエントリーと、宛先アドレスのみが指定されていて送信元アドレスが何でもよいとされている第２のエントリーとが含まれており、受信パケットがこれら第１のエントリーと第２のエントリーとの両方にマッチしたときには、第１のエントリーよりも第２のエントリーを優先させて、当該第２のエントリーのパターンに対応するプログラムを起動するようにする。
【００７６】
このように、送信元のユーザのアクティブコードよりも宛先のユーザのアクティブコードを優先させることは、アクティブネットワークの機能を用いてＤＤｏＳ（分散型ＤｏＳ，Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ ）攻撃を防御するメカニズムを構築する場合に特に重要となる。そのようにすることによって、宛先のユーザつまり被攻撃者となり得る者のアクティブコードが、攻撃者となる可能性があるもののアクティブコードよりも優先されるためである。
【００７７】
第２の矛盾の解消のシナリオは、あるパケット（ｓ，ｄ）に関して適用されるべき２つ以上のアクティブコードが同一のユーザによって登録されている場合に関するものである。このような場合には、該当するアクティブコードのうちの最も古く登録されたものが、他のものよりも優先的に適用されるようにすることが望ましいと考えられる。こうすることにより、ユーザが新しいアクティブコードを登録しようとする際には、新しいアクティブコードを有効にするために事前に古いアクティブコードを削除することが保証されるからである。
【００７８】
次に、これまでに述べたようなアクティブネットワークのノードとして機能する通信装置のインプリメンテーションの例について説明する。図１６は、Ｌｉｎｕｘ上のＪａｖａ（登録商標）仮想マシン（ＪＶＭ）を用いてアクティブパケットの処理を行う通信装置を実現した場合の概略図である。
【００７９】
図１６に示す例では、専用のＩＰスタックを処理（ｐｒｏｃｅｓｓ）の一部として構築している。これによって、図１４に示したような転送先テーブルを実現し、実行環境（アクティブネットワーク実行環境）からこの転送先テーブルにエントリーの追加や削除を行えるようにしている。また、これに伴い、カーネル（ｋｅｒｎｅｌ）内のＩＰスタックは不要となるため、カーネルにおけるルーティングを不活性化している。そして、到着パケットのコピーがデータリンク部分から作成され、そのパケットがライブラリｌｉｂｐｃａｐを通してＪａｖａ（登録商標）仮想マシンで補足できるようにしている。
【００８０】
処理の一部として構築した専用のＩＰスタックは、アクティブパケット、つまり転送先テーブル上での所定の定義にマッチするＩＰアドレス（宛先ＩＰアドレス、送信元ＩＰアドレス、あるいはそれらの組み合せ）を有するパケットは、実行環境上で起動されるアクティブコードに対して渡される。一方、アクティブパケット以外の通常のパケットは、カーネルにおけるＩＰスタックと同様の方法で隣接する通信装置等へ向けた転送が行われる。アクティブパケットであれ通常パケットであれ、この通信装置から送出されるすべてのパケットは、ライブラリｌｉｂｎｅｔを通して送出される。こうすることにより、各々処理されたパケットのヘッダに記録された送信元アドレスは、元々の送信元アドレスのままの状態で、ネットワークに送出されることとなる。
【００８１】
また、標準のＪａｖａ（登録商標）のＡＰＩ（アプリケーションプログラムインタフェース）である「ｊａｖａ．ｓｅｃｕｒｉｔｙ 」を用いることによってセキュリティモデルをインプリメンテーションすることが可能である。この標準ＡＰＩは、セキュリティモデルを構築するために必要な機能のほとんどを提供している。また、証明書のための形式としては「Ｘ．５０９」証明書形式を用いることが可能であり、アクティブコードの所有者のＩＰアドレスを「Ｘ．５０９」の識別名（ＤＮ， ｄｉｓｔｉｎｇｕｉｓｈｅｄ ｎａｍｅ）の一部に含めることにより、本実施形態のセキュリティモデルを実現することができる。
【００８２】
なお、言うまでもなく、上記インプリメンテーションではコンピュータシステムを用いることによってアクティブネットワーク実行環境を備えた通信装置を構築している。そして、上述した一連の処理、すなわち到着パケットの複製の作成とその捕捉や、転送先テーブルを参照しながらのアクティブパケットおよび通常パケットの転送の処理や、アクティブネットワーク実行環境上でのアクティブコードの起動とその処理の実行や、処理されたパケットのネットワークへの送出などの各処理の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータが読み出して実行することによって、上記処理が行われる。
【００８３】
なお、上述した各コンピュータプログラムは、コンピュータ読取可能な記録媒体に記録されており、通信装置等に搭載されたＣＰＵ（中央処理装置）がこの記録媒体からコンピュータプログラムを読み取って、攻撃防御あるいはサービスモジュール提供等のための各処理を実行する。また、「コンピュータ読み取り可能な記録媒体」とは、磁気ディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００８４】
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されても良い。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
【００８５】
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムに既に記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【００８６】
また、下流のゲート装置または通信装置から上流の通信装置へのデータの送信は、アクティブネットワークの使用に限定するものではなく、任意の通信プロトコルの使用が可能である。
【００８７】
また、ゲート装置及び通信装置はゲートウェイやルータに限られるものではなく、ブリッジ、イーサネット（登録商標）、インタフェース変換装置など、ＩＰアドレスを持つ任意の通信ノードであっても良い。
【００８８】
以上、図面を参照してこの発明の実施形態を詳述してきたが、具体的な構成はこれらの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。
【００８９】
【発明の効果】
以上説明したように、ＤＤｏＳ攻撃の被攻撃者の通信装置がＤＤｏＳ攻撃の攻撃の容疑トラヒックを検出すると、初期の伝送帯域制御により、その上流の各通信装置で攻撃容疑トラヒックの伝送帯域を制限することが可能になるため、早期にネットワークの輻輳を改善することが可能となり、ＤＤｏＳ被攻撃者のサービスの停止を抑止することが可能になるとともに、正規利用者からの通信パケットの割合を増加させることが可能になる。
【００９０】
また、初期の伝送帯域制御による攻撃容疑パケットの帯域制限後は、各通信装置の攻撃容疑パケットの入力伝送帯域に応じて伝送帯域制限値が調整することが可能になるため、伝送帯域をネットワーク上の各通信装置に有効に分配することが可能となり、攻撃容疑パケットとして分類された正規パケットの伝送帯域を増加させ、正規ユーザのサービス性の低下を段階的に改善することが可能になる。
【図面の簡単な説明】
【図１】本発明の実施の形態を適用できるネットワークの構成図である。
【図２】同実施の形態による攻撃容疑検出条件の設定の例である。
【図３】同実施の形態による不正トラヒック検出条件の設定の例である。
【図４】同実施の形態によるゲート装置２００１及び通信装置２００２〜２００６が備える帯域制御モデルである。
【図５】同実施の形態によるフィルタ２０２１における分類アルゴリズムである。
【図６】同実施の形態によるゲート装置２００１の攻撃容疑パケット検出時の動作を示すフローチャートである。
【図７】同実施の形態による図１の構成における伝送帯域制限値の算出の例である。
【図８】同実施の形態による通信装置２００２、２００３の伝送帯域制限指示受信時の動作を示すフローチャートである。
【図９】同実施の形態によるゲート装置２００１及び通信装置２００２〜２００６の不正トラヒック検出時の動作を示すフローチャートである。
【図１０】同実施の形態による図１の構成における伝送帯域制限調整値の算出の例である。
【図１１】同実施の形態によるゲート装置２００１及び通信装置２００２〜２００６の伝送帯域制限値の調整の動作を示すフローチャートである。
【図１２】同実施の形態を実行できるアクティブネットワークが前提とするネットワークの構成である。
【図１３】同実施の形態を実行できるアクティブネットワークによる通信装置内部の構成を示すブロック図である。
【図１４】同実施の形態を実行できるアクティブネットワークによる転送先テーブル記憶部に記憶されている転送先テーブルの一例を示す概略図である。
【図１５】同実施の形態を実行できるアクティブネットワークによるセキュリティモデルとそのモデルにおける処理の手順を示す概略図である。
【図１６】同実施の形態を実行できるアクティブネットワークの通信装置をＬｉｎｕｘ上のＪａｖａ（登録商標）仮想マシン（ＪＶＭ）を用いてアクティブパケットの処理を行うように実現した場合の概略図である。
【符号の説明】
２０００…サーバ
２００１…ゲート装置
２００２〜２００６…通信装置
２００７〜２０１０…端末装置
２０２１…フィルタ
２０２２…正規クラス
２０２３…正規キュー
２０２４…不正クラス
２０２５…不正キュー
２０２６…容疑クラス
２０２７…容疑キュー
７０００…ユーザのコンピュータ
７００１…通信装置
７０１０…アクティブネットワーク実行環境
７０１１…コード実行部
７０１２…コード記憶部
７０２１…転送処理部
７０２２…転送先テーブル記憶部
７０２３ａ、７０２３ｂ…インタフェース部
７０２４ａ、７０２４ｂ…通信線
７０５１…ユーザ端末装置
７０６１…認証局装置
Claims (13)
- 複数の通信装置を網目状に接続してなるネットワークと、防御対象であるコンピュータおよびＬＡＮと、前記ＬＡＮおよびネットワークの間に介挿されたゲート装置とを有するネットワークシステムにおいて、
前記ゲート装置は、
入力される通信トラヒックから攻撃容疑トラヒックを検出した場合に、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の前記通信装置へ送信する処理を行い、
前記通信装置は、
前記攻撃容疑トラヒックの伝送帯域を下流のゲート装置または通信装置から受信した前記伝送帯域制限値に制限すると共に、前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信する処理を行い、
前記攻撃容疑パケット送出元の最上流の前記通信装置に達するまで再帰的に、前記攻撃容疑パケットの伝送帯域の制限と、前記攻撃容疑トラヒックの伝送帯域制限値送信との処理を行い、
前記ゲート装置は、
前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信する処理を行い、
前記上流の通信装置は、
前記下流のゲート装置または通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域問合せを受信して、当該通信装置における前記攻撃容疑トラヒックの平均入力伝送帯域値を前記下流のゲート装置または通信装置へ送信する処理を行い、
前記ゲート装置は、
当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信する処理を行い、
前記通信装置は、
前記攻撃容疑トラヒックの伝送帯域を下流のゲート装置または通信装置から受信した前記伝送帯域制限調整値に制限すると共に、前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信する処理と、前記下流の通信装置から受信した伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信する処理とを行い、
前記攻撃容疑パケット送出元の最上流の前記通信装置に達するまで再帰的に、伝送帯域制限調整値に前記攻撃容疑パケットの伝送帯域の制限と共に、前記攻撃容疑トラヒックの伝送帯域制限調整値の送信との処理を行う、
ことを特徴とする分散型サービス不能攻撃防止方法。 - 前記伝送帯域制限値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
- 前記伝送帯域制限調整値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの平均入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
- 複数の通信装置を網目状に接続してなるネットワークと、防御対象であるコンピュータおよびＬＡＮとの間に介挿されたゲート装置において、
入力される通信トラヒックをチェックし、分散型サービス不能攻撃の攻撃容疑トラヒックを検出するトラヒック監視手段と、
当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記トラヒック監視手段によって検出された攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信する帯域制限指示手段と、
前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問い合わせる伝送帯域問合せ手段と、
前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信する伝送帯域値受信手段と、
当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信する帯域制限調整手段と、
を備えることを特徴とするゲート装置。 - 前記帯域制限指示手段は、前記伝送帯域制限値を、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
前記帯域制限調整手段は、前記伝送帯域調整値を、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの平均入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
ことを特徴とする請求項４に記載のゲート装置。 - 防御対象であるコンピュータおよびＬＡＮを防御するゲート装置が接続されたネットワークのノードを構成する通信装置において、
下流のゲート装置あるいは通信装置から攻撃容疑トラヒックの伝送帯域制限値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限値に制限する帯域制御手段と、
前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信する帯域制限指示手段と、
前記下流のゲート装置あるいは通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域問い合わせを受信し、当該通信装置における前記攻撃容疑トラヒックの平均入力伝送帯域値を前記下流のゲート装置あるいは通信装置へ送信する帯域通知手段と、
前記下流のゲート装置あるいは通信装置から攻撃容疑トラヒックの伝送帯域制限調整値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限調整値に制限する帯域制御調整手段と、
前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問い合わせる伝送帯域問合せ手段と、
前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信する伝送帯域値受信手段と、
前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値と前記受信した伝送帯域制限調整値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して、前記上流の通信装置へ送信する帯域制限調整手段と、
を備えることを特徴とする通信装置。 - 前記帯域制限指示手段は、前記伝送帯域制限値を、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
前記帯域制限調整手段は、前記伝送帯域調整値を、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの平均入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
ことを特徴とする請求項６に記載の通信装置。 - 複数の通信装置を網目状に接続してなるネットワークと、防御対象であるコンピュータおよびＬＡＮとの間に介挿されたゲート装置上で実行されるコンピュータプログラムであって、
入力される通信トラヒックをチェックし、分散型サービス不能攻撃の攻撃容疑トラヒックを検出した場合に、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信するステップと、
前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信するステップと、
前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信するステップと、
当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信するステップと、
をコンピュータに実行させることを特徴とする分散型サービス不能攻撃防止プログラム。 - 防御対象であるコンピュータおよびＬＡＮを防御するゲート装置が接続されたネットワークのノードを構成する通信装置上で実行されるコンピュータプログラムであって、
下流のゲート装置又は通信装置から攻撃容疑トラヒックの伝送帯域制限値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限値に制限するステップと、
前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して、上流の通信装置へ送信するステップと、
前記下流のゲート装置又は通信装置から攻撃容疑トラヒックの平均入力伝送帯域を問い合わせる伝送帯域問合せを受信し、前記攻撃容疑トラヒックの平均入力伝送帯域値を前記下流のゲート装置又は通信装置へ送信するステップと、
前記下流のゲート装置又は通信装置から伝送帯域制限調整値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限調整値に制限するステップと、
前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信するステップと、
前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信するステップと、
前記受信した伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信するステップと、
をコンピュータに実行させることを特徴とする分散型サービス不能攻撃防止プログラム。 - 前記伝送帯域制限値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
前記伝送帯域制限調整値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの平均入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
ことを特徴とする請求項８または請求項９に記載の分散型サービス不能攻撃防止プログラム。 - 複数の通信装置を網目状に接続してなるネットワークと、防御対象であるコンピュータおよびＬＡＮとの間に介挿されたゲート装置上で実行されるコンピュータプログラムを記緑したコンピュータ読み取り可能な記録媒体であって、
入力される通信トラヒックをチェックし、分散型サービス不能攻撃の攻撃容疑トラヒックを検出した場合に、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信するステップと、
前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信するステップと、
前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信するステップと、
当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信するステップと、
の各処理をコンピュータに実行させる分散型サービス不能攻撃防止プログラムを記録することを特徴とする記録媒体。 - 防御対象であるコンピュータおよびＬＡＮを防御するゲート装置が接続されたネットワークのノードを構成する通信装置上で実行されるコンピュータプログラムを記緑したコンピュータ読み取り可能な記録媒体であって、
下流のゲート装置又は通信装置から攻撃容疑トラヒックの伝送帯域制限値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限値に制限するステップと、
前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して、上流の通信装置へ送信するステップと、
前記下流のゲート装置又は通信装置から攻撃容疑トラヒックの平均入力伝送帯域を問い合わせる伝送帯域問合せを受信し、前記攻撃容疑トラヒックの平均入力伝送帯域値を前記下流のゲート装置又は通信装置へ送信するステップと、
前記下流のゲート装置又は通信装置から伝送帯域制限調整値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限調整値に制限するステップと、
前記上流の通信装置へ前記攻撃容疑トラヒックの平均入力伝送帯域を問合せを送信するステップと、
前記上流の通信装置から前記攻撃容疑トラヒックの平均入力伝送帯域値を受信するステップと、
前記受信した伝送帯域制限調整値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの平均入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信するステップと、
の各処理をコンピュータに実行させる分散型サービス不能攻撃防止プログラムを記録することを特徴とする記録媒体。 - 前記伝送帯域制限値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
前記伝送帯域制限調整値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの平均入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
ことを特徴とする請求項１１または請求項１２に記載の分散型サービス不能攻撃防止プログラムを記録することを特徴とする記録媒体。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002081905A JP3609381B2 (ja) | 2002-03-22 | 2002-03-22 | 分散型サービス不能攻撃防止方法及びゲート装置、通信装置ならびにプログラム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002081905A JP3609381B2 (ja) | 2002-03-22 | 2002-03-22 | 分散型サービス不能攻撃防止方法及びゲート装置、通信装置ならびにプログラム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2003283555A JP2003283555A (ja) | 2003-10-03 |
| JP3609381B2 true JP3609381B2 (ja) | 2005-01-12 |
Family
ID=29230352
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002081905A Expired - Fee Related JP3609381B2 (ja) | 2002-03-22 | 2002-03-22 | 分散型サービス不能攻撃防止方法及びゲート装置、通信装置ならびにプログラム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3609381B2 (ja) |
Families Citing this family (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005184792A (ja) | 2003-11-27 | 2005-07-07 | Nec Corp | 帯域制御装置、帯域制御方法及び帯域制御プログラム |
| CN100370757C (zh) * | 2004-07-09 | 2008-02-20 | 国际商业机器公司 | 识别网络内分布式拒绝服务攻击和防御攻击的方法和系统 |
| JP4292213B2 (ja) * | 2004-10-12 | 2009-07-08 | 日本電信電話株式会社 | サービス不能攻撃防御システム、サービス不能攻撃防御方法およびサービス不能攻撃防御プログラム |
| WO2006046345A1 (ja) * | 2004-10-28 | 2006-05-04 | Nippon Telegraph And Telephone Corporation | サービス不能攻撃検知システムおよびサービス不能攻撃検知方法 |
| JP2008199138A (ja) | 2007-02-09 | 2008-08-28 | Hitachi Industrial Equipment Systems Co Ltd | 情報処理装置及び情報処理システム |
| CN101060531B (zh) * | 2007-05-17 | 2010-10-13 | 华为技术有限公司 | 网络设备攻击防范的方法和装置 |
-
2002
- 2002-03-22 JP JP2002081905A patent/JP3609381B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2003283555A (ja) | 2003-10-03 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| Wheeler et al. | Techniques for cyber attack attribution | |
| US9094372B2 (en) | Multi-method gateway-based network security systems and methods | |
| Schnackengerg et al. | Cooperative intrusion traceback and response architecture (CITRA) | |
| US7409714B2 (en) | Virtual intrusion detection system and method of using same | |
| US8356349B2 (en) | Method and system for intrusion prevention and deflection | |
| US7222366B2 (en) | Intrusion event filtering | |
| US20030145226A1 (en) | Integrated intrusion detection services | |
| EP1775910B1 (en) | Application layer ingress filtering | |
| JP3609382B2 (ja) | 分散型サービス不能攻撃防止方法及びゲート装置、通信装置ならびにプログラム | |
| JP3699941B2 (ja) | 分散型サービス不能攻撃防止方法及びゲート装置、通信装置、分散型サービス不能攻撃防止プログラム及び記録媒体 | |
| JPWO2015174100A1 (ja) | パケット転送装置、パケット転送システム及びパケット転送方法 | |
| KR20080028381A (ko) | 타겟 희생자 자체-식별 및 제어에 의해 ｉｐ네트워크들에서 서비스 거부 공격들에 대한 방어 방법 | |
| Gonzalez et al. | A trust-based approach against IP-spoofing attacks | |
| JP3609381B2 (ja) | 分散型サービス不能攻撃防止方法及びゲート装置、通信装置ならびにプログラム | |
| US20070166051A1 (en) | Repeater, repeating method, repeating program, and network attack defending system | |
| Singh | Intrusion Detection Systems (IDS) and Intrusion Prevention Systems (IPS) For Network Security: A Critical Analysis | |
| JP3790486B2 (ja) | パケット中継装置、パケット中継システムおよびオトリ誘導システム | |
| WO2025087143A1 (zh) | 告警方法、装置及系统 | |
| JP3657569B2 (ja) | パケット処理方法および通信装置 | |
| US20060225141A1 (en) | Unauthorized access searching method and device | |
| Pandey et al. | APTIKOM Journal on Computer Science and Information Technologies | |
| Sobh et al. | IP Tracing and Active Network Response | |
| Einstein et al. | Insertion, Evasion, and Denial of Service: Eluding Network Intrusion Detection |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20040123 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20040908 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20041005 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20041013 |
|
| LAPS | Cancellation because of no payment of annual fees |