JP6740191B2 - 攻撃対処システム及び攻撃対処方法 - Google Patents

Description

本発明は、攻撃対処システム及び攻撃対処方法に関する。

近年、ＤＮＳ（Domain Name System）、ＮＴＰ（Network Time Protocol）、ＳＳＤＰ（Simple Service Discovery Protocol）等のプロトコルの特性を利用し、脆弱性があるサーバ等をリフレクターとして特定のサーバ等を攻撃するリフレクション攻撃が増加している（例えば、非特許文献１参照）。

リフレクション攻撃とは、攻撃パケットにおいて、送信元ＩＰ（Internet Protocol）アドレスを詐称して攻撃ターゲットとなるサーバ等のＩＰアドレスを設定し、宛先ＩＰアドレスにリフレクター（例えば、ＤＮＳサーバ）のＩＰアドレスを設定して、攻撃元ネットワークに含まれるボット等を制御して攻撃を行うというものである。

リフレクション攻撃に対して、攻撃ターゲットが含まれる被害者ネットワーク側で取り得る対策としては、攻撃ターゲットへ宛てたＤＮＳやＮＴＰのアクセス制御や、ＦＷ（Fire Wall）導入を実施することが考えられる。しかし、被害者ネットワーク側で対処を行うことは、装置の性能限界があるので、リフレクターが含まれる収容ネットワーク側で対処することが望ましい。装置の性能限界は、例えば、セキュリティ対策が脆弱なＩｏＴデバイスの増加が一要因である。

そこで、収容ネットワーク側のＦＷ等において、例えば、特定ＩＰアドレスに対するＤＮＳやＮＴＰ等のパケット量が閾値を超えた場合に、リフレクション攻撃を検知する方式（振る舞い検知技術）が提案されている（例えば、非特許文献２参照）。

"リフレクション攻撃の増加でDDoS攻撃が大規模化"、さくらインターネット株式会社、［online］、［平成29年7月24日検索］、インターネット＜http://knowledge.sakura.ad.jp/cyber-security/6348/＞ "FortiDDoS DDoS攻撃ミティゲーション（減災）アプライアンス"、Fortinet社、［online］、［平成29年7月24日検索］、インターネット＜URL：http://www.fortinet.co.jp/doc/FortiDDoS_DS.pdf＞

しかしながら、上述の従来技術では、例えば、特定ＩＰアドレスからの通信量又は特定ＩＰアドレスへの通信量が閾値を超えた場合がリフレクション攻撃によるものである、という推測に基づく。よって、リフレクション攻撃を検知した際であっても、正常通信も含む可能性があるので、収容ネットワーク側では、リフレクション攻撃の的確な検知判定が困難である。そのため、被害者ネットワーク側からすると、攻撃元ネットワークが確定できないため、検知したリフレクション攻撃に対して的確に対処できないという問題がある。

本願が開示する実施形態の一例は、上述に鑑みてなされたものであって、リフレクション攻撃に対して的確に対処できる攻撃対処システム及び攻撃対処方法を提供することを目的とする。

本願の実施形態の一例において、攻撃対処システムは、第１のネットワークに含まれる攻撃対処装置及び第２のネットワークに含まれる攻撃検証装置を有する。前記攻撃対処装置は、攻撃検知装置により検知された前記第２のネットワークへのリフレクション攻撃の検知情報から、特定プロトコルによる前記リフレクション攻撃の可能性を示す攻撃可能性情報を生成する可能性情報生成部と、前記攻撃可能性情報を前記攻撃検証装置へ送信する可能性情報送信部と、前記攻撃検証装置から、前記攻撃可能性情報が示す前記リフレクション攻撃に対して対処を要するか否かを示す攻撃可能性判定結果情報を受信する判定結果情報受信部と、前記攻撃可能性判定結果情報が示す前記リフレクション攻撃が確定である場合に、前記検知情報に係る前記リフレクション攻撃の送信元アドレスからの前記特定プロトコルによる通信を遮断するよう前記攻撃検知装置に対して指示する指示部とを備えた。また、前記攻撃検証装置は、前記攻撃対処装置から前記攻撃可能性情報を受信する可能性情報受信部と、前記第２のネットワークにおける通信を監視する通信監視装置から取得した監視ログに、前記送信元アドレスから前記第１のネットワークへの通信履歴が存在するか否かを判定し、存在する場合に、前記リフレクション攻撃が確定でないとし、存在しない場合に、前記リフレクション攻撃が確定であるとする前記攻撃可能性判定結果情報を生成する攻撃検証部と、前記攻撃可能性判定結果情報を前記攻撃対処装置へ送信する判定結果情報送信部とを備えた。

本願の実施形態の一例によれば、例えば、リフレクション攻撃に的確に対処できる。

図１は、実施形態に係る通信システムの構成の一例を示す図である。 図２は、実施形態に係る攻撃対処システムの構成の一例を示すブロック図である。 図３は、実施形態における検知情報の一例を示す図である。 図４は、実施形態における攻撃可能性情報の一例を示す図である。 図５は、実施形態における攻撃可能性判定結果情報の一例を示す図である。 図６は、実施形態において攻撃検証のために監視ログを確認する通信条件のプロトコルの一例であるＤＮＳプロトコルを示す図である。 図７は、実施形態に係るリフレクション攻撃対処処理の一例を示すシーケンス図である。 図８は、プログラムが実行されることにより、攻撃対処装置及び攻撃検証装置が実現されるコンピュータの一例を示す図である。

以下、本願に係る攻撃対処システム及び攻撃対処方法の実施形態を説明する。なお、以下の実施形態は、一例を示すに過ぎず、本願を限定するものではない。以下の実施形態において、既出の同一構成及び同一処理については、説明を省略する。

なお、以下の実施形態で示すＦＷ（Fire Wall）、サーバ、ルータ、ネットワークカメラ等は、ネットワーク装置の例を示すに過ぎない。

［実施形態］
（実施形態に係る通信システム）
図１は、実施形態に係る通信システムの構成の一例を示す図である。図１に示すように、通信システム１は、例えばＮＧＮ（Next Generation Network）である。通信システム１は、収容ＮＷ（NetWork）_Ｎ１、ＮＷ_Ａ_Ｎ２、ＮＷ_Ｂ_Ｎ３を有する。通信システム１は、例えばＢＧＰ（Border Gateway Protocol）準拠のネットワークである。

収容ＮＷ_Ｎ１は、外部ネットワークからアクセス可能なネットワークの一例である。収容ＮＷ_Ｎ１は、攻撃対処装置１０、セキュリティ装置３０Ａ、ルータＲ１−１，Ｒ１−２，Ｒ１−３を有する。セキュリティ装置３０Ａは、例えば統合セキュリティアプライアンス装置である。セキュリティ装置３０Ａは、攻撃対処装置１０、ルータＲ１−１〜Ｒ１−３それぞれと接続されている。攻撃対処装置１０は、ＩＲＲ（Internet Routing Registry）４０と接続されている。攻撃対処装置１０は、後述のＮＷ_Ｂ_Ｎ３が有する攻撃検証装置２０と接続されている。攻撃対処装置１０の詳細については、後述する。

ルータＲ１−１には、ネットワークカメラＣ１、サーバＳ１−１，Ｓ１−２が接続されている。同様に、ルータＲ１−２には、ネットワークカメラＣ２、サーバＳ２−１，Ｓ２−２が接続され、ルータＲ１−３には、ネットワークカメラＣ３、サーバＳ３−１，Ｓ３−２が接続されている。サーバＳ１−１〜Ｓ３−２は、例えばオープンリゾルバである。

ＮＷ_Ａ_Ｎ１は、リフレクション攻撃を行う攻撃元ネットワークの一例である。ＮＷ_Ａ_Ｎ２は、サーバＳ２を有する。サーバＳ２は、後述のＮＷ_Ｂ_Ｎ３が有するサーバＳ３のＩＰ（Internet Protocol）アドレスを詐称してサーバＳ３を攻撃する攻撃サーバの一例であり、例えばボットである。

ＮＷ_Ｂ_Ｎ３は、リフレクション攻撃を受ける被害者ネットワークの一例である。ＮＷ_Ｂ_Ｎ２は、攻撃検証装置２０、セキュリティ装置３０Ｂ、サーバＳ３を有する。セキュリティ装置３０Ｂは、例えば統合セキュリティアプライアンス装置である。サーバＳ３は、リフレクション攻撃を受ける攻撃対象サーバの一例であり、ＩＰアドレスが、例えばＩＰアドレスＡである。攻撃検証装置２０は、収容ＮＷ_Ｎ１が有する攻撃対処装置１０と接続されている。攻撃検証装置２０の詳細については、後述する。

例えば、攻撃元サーバであるサーバＳ２は、攻撃対象サーバであるサーバＳ３のＩＰアドレスＡを送信元アドレスとして詐称したＤＮＳ（Domain Name System）（問合わせ）の攻撃パケットを、ネットワークカメラＣ１、サーバＳ１−１，Ｓ１−２へ送信する。攻撃パケットは、収容ＮＷ_Ｎ１のセキュリティ装置３０Ａ及びルータＲ１−１を経由してネットワークカメラＣ１、サーバＳ１−１，Ｓ１−２へ到達する。

そして、例えば、ＤＮＳ（問合わせ）の攻撃パケットを受信したネットワークカメラＣ１、サーバＳ１−１，Ｓ１−２は、真正なＩＰアドレスＡのサーバＳ３へ、攻撃パケットに対するＤＮＳ（応答）の応答パケットを送信する。応答パケットは、収容ＮＷ_Ｎ１のセキュリティ装置３０Ａ及びＮＷ_Ｂ_Ｎ３のセキュリティ装置３０Ｂを経由して、サーバＳ３へ到達する。

すなわち、攻撃サーバであるサーバＳ２は、攻撃対象サーバであるサーバＳ３のＩＰアドレスを詐称して、収容ＮＷ_Ｎ１に収容されたネットワークカメラＣ１〜Ｃ３、サーバＳ１−１〜Ｓ３−２等に対して所定の通信プロトコルの問合わせを行い、ＩＰアドレスが詐称された攻撃対象サーバであるサーバＳ３へ問合わせに対する応答が送信されるようにする。ネットワークカメラＣ１〜Ｃ３、サーバＳ１−１〜Ｓ３−２等は、ＩＰアドレスが詐称された問合わせに対して真正なＩＰアドレスのサーバＳ３へ応答を返すことから、リフレクターと呼ばれる。ここで、所定の通信プロトコルとは、ＮＴＰ、ＳＳＤＰ、ＣＨＡＲＧＥＮ等の、問合わせクエリ（通信）に対して応答クエリ（通信）が発生する片方向通信の通信プロトコルである。

（実施形態に係る攻撃対処システム）
図２は、実施形態に係る攻撃対処システムの構成の一例を示すブロック図である。実施形態に係る攻撃対処システム１００は、収容ＮＷ_Ｎ１に含まれる攻撃対処装置１０及びＮＷ_Ｂ_Ｎ３に含まれる攻撃検証装置２０を有する。攻撃対処装置１０及び攻撃検証装置２０は、相互通信可能に接続されている。攻撃対処装置１０は、ＩＲＲ４０と接続されている。また、攻撃対処装置１０は、セキュリティ装置３０Ａと接続されている。また、攻撃検証装置２０は、セキュリティ装置３０Ｂと接続されている。

セキュリティ装置３０Ａは、リフレクション攻撃の監視を行い、リフレクション攻撃を検知する。セキュリティ装置３０Ａは、攻撃検知装置の一例である。セキュリティ装置３０Ａは、検知したリフレクション攻撃に関する情報として、攻撃種別、送信元ＩＰアドレス、宛先ＩＰアドレスを含む検知情報を出力する。ここで、攻撃種別は、ＤＮＳａｍｐ、ＮＴＰ（Network Time Protocol）ａｍｐ等のリフレクション攻撃の種別を示す情報である。送信元ＩＰアドレスは、収容ＮＷ_Ｎ１におけるリフレクターのＩＰアドレスである。宛先ＩＰアドレスは、ＮＷ_Ｂ_Ｎ３に含まれる攻撃対象サーバであるサーバＳ３のＩＰアドレスである。以下、リフレクターのＩＰアドレスを、例えば“ＩＰアドレスＢ”とする。

攻撃対処装置１０は、ログ取得部１１、判断部１２、宛先解決部１３、脅威情報送信部１４、脅威情報受信部１５、制御指示部１６を有する。攻撃検証装置２０は、脅威情報受信部２１、ログ取得部２２、攻撃検証部２３、脅威情報送信部２４を有する。

ログ取得部１１は、セキュリティ装置３０Ａが出力する検知情報５１をＳｙｓｌｏｇ等により取得する。図３は、実施形態における検知情報の一例を示す図である。判断部１２は、宛先解決部１３へ、宛先解決指示を出力する。宛先解決部１３は、判断部１２からの指示により、セキュリティ装置３０Ａが出力した検知情報５１に含まれる宛先ＩＰアドレスを元にＩＲＲ４０に問合わせを行い、ＡＳ（Autonomous System）番号を取得する。そして、宛先解決部１３は、取得したＡＳ番号を判断部１２へ通知する。これにより、判断部１２は、検知情報５１に含まれる宛先ＩＰアドレスに該当するＮＷ_Ｂ_Ｎ３のＮＷアドレスを認識する。

そして、判断部１２は、収容ＮＷ_Ｎ１がＮＷ_Ｂ_Ｎ３に対してリフレクション攻撃の攻撃パケットを送信している可能性があることを示す攻撃可能性情報５２を生成し、生成した攻撃可能性情報５２を、脅威情報送信部１４を介して、ＮＷ_Ｂ_Ｎ３の攻撃検証装置２０へ送信する。図４は、実施形態における攻撃可能性情報の一例を示す図である。

具体的には、判断部１２は、脅威情報送信部２４を介して、例えばＢＧＰコミュニティ通知を利用し、攻撃可能性情報５２を、攻撃検証装置２０へ送信する。ＢＧＰコミュニティ通知は、ＢＧＰの経路情報のＵｐｄａｔａの一部である。攻撃可能性情報５２は、送信元ＡＳ番号、宛先ＡＳ番号、送信元ＩＰアドレスセグメント、宛先ＩＰアドレス、攻撃種別、ＢＧＰコミュニティ属性を含む。判断部１２は、攻撃可能性情報５２を生成する可能性情報生成部の一例である。

ここで、ＢＧＰコミュニティ属性は、ＢＧＰのネットワークにおける経路情報を操作するための属性値であり、本実施形態では、“ｎｏ−ｅｘｐｏｒｔ”（他のＡＳに経路情報を転送しない）がセットされる。

攻撃検証装置２０側では、脅威情報受信部２１が、攻撃対処装置１０から送信された攻撃可能性情報５２を受信する。脅威情報受信部２１は、攻撃可能性情報５２を受信すると、ログ取得部２２に対して、セキュリティ装置３０Ｂが記録する監視ログをＳｙｓｌｏｇ等で取得するよう指示する。ログ取得部２２は、脅威情報受信部２１からの指示に応じて、セキュリティ装置３０Ｂが記録する監視ログをＳｙｓｌｏｇ等で取得する。

そして、攻撃検証部２３は、脅威情報受信部２１が受信した攻撃可能性情報５２と、ログ取得部２２が取得した監視ログとを参照し、収容ＮＷ_Ｎ１側からのパケット送信がリフレクション攻撃であるか否かを判定する攻撃検証を実行する。具体的には、攻撃検証部２３は、攻撃対象サーバの可能性があるサーバＳ３が、攻撃可能性情報５２に含まれる攻撃種別の通信プロトコルを使って収容ＮＷ_Ｎ１側へ過去に通信したことがあるか否かについて監視ログを調査する。

攻撃検証部２３は、攻撃対象サーバの可能性があるサーバＳ３が、攻撃可能性情報５２に含まれる攻撃種別と同一の通信プロトコルを使って収容ＮＷ_Ｎ１側へ過去に通信した記録が監視ログに記録されている場合には、攻撃可能性情報５２はリフレクション攻撃を示していない（リフレクション攻撃未確定）と判定する。一方、攻撃検証部２３は、攻撃対象サーバの可能性があるサーバＳ３が、攻撃可能性情報５２に含まれる攻撃種別と同一の通信プロトコルを使って収容ＮＷ_Ｎ１側へ過去に通信した記録が監視ログに記録されていない場合には、攻撃可能性情報５２はリフレクション攻撃を示している（リフレクション攻撃確定）と判定する。つまり、攻撃検証部２３は、攻撃可能性情報５２に基づきリフレクション攻撃確定か否かを判定する。

そして、攻撃検証部２３は、リフレクション攻撃確定か否かを示す攻撃可能性判定結果情報５３を生成し、生成した攻撃可能性判定結果情報５３を、脅威情報送信部２４を介して、攻撃対処装置１０へ送信する。図５は、実施形態における攻撃可能性判定結果情報の一例を示す図である。

具体的には、攻撃検証部２３は、脅威情報送信部２４を介して、例えばＢＧＰコミュニティ通知を利用し、攻撃可能性判定結果情報５３を、攻撃対処装置１０へ送信する。攻撃可能性判定結果情報５３は、送信元ＡＳ番号、宛先ＡＳ番号、判定結果を含む。なお、攻撃可能性判定結果情報５３において、送信元ＡＳ番号は、対応する攻撃可能性情報５２における宛先ＡＳ番号と同一であり、宛先ＡＳ番号は、対応する攻撃可能性情報５２における送信元ＡＳ番号と同一である。また、判定結果は、攻撃検証部２３が攻撃可能性情報５２に基づきリフレクション攻撃確定か否かを判定した結果であり、リフレクション攻撃確定又はリフレクション攻撃未確定のいずれかである。

図６は、実施形態において攻撃検証のために監視ログを確認する通信条件のプロトコルの一例であるＤＮＳプロトコルを示す図である。例えば、攻撃種別がＤＮＳａｍｐである場合、送信元ＩＰアドレスは収容ＮＷ_Ｎ１のいずれかのＩＰアドレスであり、攻撃種別の通信プロトコルはＤＮＳであり、監視ログを調査する対象の過去の通信内容はＤＮＳクエリである。このように、監視ログに、ＤＮＳクエリの通信内容が記録されている場合には攻撃可能性情報５２に基づきリフレクション攻撃未確定と判定され、ＤＮＳクエリの通信内容が記録されていない場合には攻撃可能性情報５２に基づきリフレクション攻撃確定と判定できるのは、ＤＮＳが片方向通信であるＵＤＰ（User Datagram Protocol）であり、問合わせ通信を前提として応答通信が発生するためである。ＮＴＰ、ＳＳＤＰ、ＣＨＡＲＧＥＮ等も、ＤＮＳと同様である。

脅威情報受信部１５は、攻撃検証装置２０から攻撃可能性判定結果情報５３を受信する。判断部１２は、脅威情報受信部１５が攻撃検証装置２０から受信した攻撃可能性判定結果情報５３を元に、制御指示部１６を制御して、セキュリティ装置３０Ａに対して、攻撃可能性判定結果情報５３に含まれる判定結果に応じて、送信元ＩＰアドレスがＮＷ_Ｂ_Ｎ３のサーバＳ３のＩＰアドレスＡである通信を遮断又は許可する。遮断とは、例えば、パケットのドロップである。なお、遮断されるＮＷ_Ｂ_Ｎ３のサーバＳ３のＩＰアドレスＡは、ＮＷ_Ａ_Ｎ２に含まれるサーバＳ２により詐称されたＩＰアドレスである。

（実施形態に係るリフレクション攻撃対処処理）
図７は、実施形態に係るリフレクション攻撃対処処理の一例を示すシーケンス図である。先ず、ステップＳ１１では、セキュリティ装置３０Ａは、リフレクション攻撃を検知する。検知情報５１は、例えば、攻撃種別：ＤＮＳａｍｐ、送信元ＩＰアドレス：ＩＰアドレスＢ、宛先ＩＰアドレス：ＩＰアドレスＡである。なお、この段階では、セキュリティ装置３０Ａにより検知されたリフレクション攻撃は、リフレクション攻撃であるか否かは、未確定である。

次に、ステップＳ１２では、セキュリティ装置３０Ａは、攻撃対処装置１０のＳｙｓｌｏｇ等により取得し、攻撃対処装置１０へ検知情報５１を送信する。ステップＳ１３では、攻撃対処装置１０は、セキュリティ装置３０Ａから検知情報５１を受信する。

次に、ステップＳ１４では、攻撃対処装置１０は、ステップＳ１３で受信した検知情報５１に含まれる宛先ＩＰアドレスを、ＩＲＲ４０へ送信する。ステップＳ１５では、ＩＲＲ４０は、検知情報５１に含まれる宛先ＩＰアドレスを受信する。ステップＳ１６では、ステップＳ１５で受信した宛先ＩＰアドレスから宛先ＡＳ番号を取得する。ステップＳ１７では、ＩＲＲ４０は、ステップＳ１６で取得した宛先ＡＳ番号を、攻撃対処装置１０へ送信する。

次に、ステップＳ１８では、攻撃対処装置１０は、ＩＲＲ４０から宛先ＡＳ番号を受信する。例えば、攻撃対処装置１０は、検知情報５１の宛先ＩＰアドレス：ＩＰアドレスＡから宛先ＡＳ番号：１０００を取得する。

ステップＳ１９では、攻撃対処装置１０は、ステップＳ１３で受信した検知情報５１にステップＳ１８で取得した宛先ＡＳ番号及び自装置が含まれる収容ＮＷ_Ｎ１のＡＳ番号を送信元ＡＳ番号として含む攻撃可能性情報５２を、ＢＧＰコミュニティ通知を利用して、ＮＷ_Ｂ_Ｎ２に含まれる攻撃検証装置２０へ送信する。攻撃可能性情報５２は、例えば、送信元ＡＳ番号：１００、宛先ＡＳ番号：１０００、送信元ＩＰアドレスセグメント：ＩＰアドレスＢ、宛先ＩＰアドレス：ＩＰアドレスＡ、攻撃種別ＤＮＳａｍｐ、ＢＧＰコミュニティ属性：ｎｏ−ｅｘｐｏｒｔである。

次に、ステップＳ２０では、攻撃検証装置２０は、攻撃対処装置１０から攻撃可能性情報５２を受信する。ステップＳ２１では、攻撃検証装置２０は、セキュリティ装置３０Ｂへ、ＮＷ_Ｂ_Ｎ２と外部との通信履歴を含む監視ログを取得する監視ログ要求を送信する。ステップＳ２２では、セキュリティ装置３０Ｂは、攻撃検証装置２０から監視ログ要求を受信する。ステップＳ２３では、セキュリティ装置３０Ｂは、ステップＳ２３で監視ログ要求を受信したことに応じて、攻撃検証装置２０へ監視ログを送信する。攻撃検証装置２０により収集される監視ログは、例えば、送信元ＩＰアドレス：ＩＰアドレスＡ、宛先ＩＰアドレス：収容ＮＷ_Ｎ１のいずれかのＩＰアドレス、通信プロトコル：ＤＮＳに該当する監視ログである。

次に、ステップＳ２４では、攻撃検証装置２０は、セキュリティ装置３０Ｂから監視ログを受信する。ステップＳ２５では、攻撃検証装置２０は、ステップＳ２４で受信した監視ログに、所定の通信条件に合致する通信履歴が存在するか否かを判定する攻撃検証処理を行う。所定の通信条件は、例えば、送信元ＩＰアドレス：ＩＰアドレスＡ、宛先ＩＰアドレス：ＩＰアドレスＢ又は宛先ＡＳ番号：１００、通信プロトコル：ＤＮＳ（問合わせ）である。

そして、攻撃検証装置２０は、所定の通信条件に合致する通信履歴が監視ログに含まれる場合にはリフレクション攻撃未確定と判定し、所定の通信条件に合致する通信履歴が監視ログに含まれない場合にはリフレクション攻撃確定と判定する。

次に、ステップＳ２６では、攻撃検証装置２０は、ステップＳ２５の攻撃検証処理による判定結果を含む攻撃可能性判定結果情報５３を、ＢＧＰコミュニティ通知を利用して、攻撃対処装置１０へ送信する。攻撃可能性判定結果情報５３は、例えば、送信元ＡＳ番号：１００、宛先ＡＳ番号：１０００、判定結果：リフレクション攻撃確定である。

次に、ステップＳ２７では、攻撃対処装置１０は、攻撃検証装置２０から攻撃可能性判定結果情報５３を受信する。ステップＳ２８では、攻撃対処装置１０は、ステップＳ２７で受信した攻撃可能性判定結果情報５３において、判定結果がリフレクション攻撃確定であるか否かを判定する。ステップＳ２９では、攻撃対処装置１０は、ステップＳ２８での判定結果がリフレクション攻撃確定である場合に、セキュリティ装置３０Ａに対して、ステップＳ１１で検知した攻撃に係る検知情報に含まれる攻撃種別と同一の通信プロトコルであって、同検知情報に含まれる宛先ＩＰアドレスを送信元ＩＰアドレスとするパケットを遮断する攻撃対処指示を送信する。攻撃対処指示は、例えば、送信元ＩＰアドレス：ＩＰアドレスＡ、通信プロトコル：ＤＮＳ（問合わせ）、対処：遮断である。

次に、ステップＳ３０では、セキュリティ装置３０Ａは、攻撃対処装置１０から攻撃対処指示を受信する。ステップＳ３１では、セキュリティ装置３０Ａは、攻撃対処装置１０から受信した攻撃対処指示に応じて、パケットを遮断する制御を行う。

実施形態によれば、収容ＮＷ_Ｎ１及びＮＷ_Ｂ_Ｎ３の網間連携により、被害者ネットワークであるＮＷ_Ｂ＿Ｎ２側では把握不可能なリフレクション攻撃に対する最適な対処箇所の特定を容易かつ的確に行うことができる。また、実施形態によれば、ネットワーク装置に実装されるプロトコルレベルで、リフレクション攻撃に対する最適な対処箇所の特定を自動的に行うことができる。また、実施形態によれば、転送機能を有するネットワーク装置が持つ既存機能に拡張を加えることにより、リフレクション攻撃に対する最適な対処箇所の特定を容易かつ的確に行うことができる。

［実施形態の変形例］
（ＡＳ番号の取得について）
上述の実施形態では、攻撃対処装置１０の宛先解決部１３は、ＩＲＲ４０からＡＳ番号を取得するとした。しかし、これに限られず、宛先解決部１３は、ＷｈｏｉｓプロトコルやＣＲＩＳＰ（Cross Registry Information Service Protocol）、その他のプロトコルに基づいてＡＳ番号を取得するとしてもよい。

（攻撃可能性情報及び攻撃可能性判定結果情報の送受信について）
上述の実施形態では、攻撃対処装置１０は、攻撃検証装置２０へ、ＢＧＰを用いて攻撃可能性情報５２を送信するとした。また、攻撃検証装置２０は、攻撃対処装置１０へ、ＢＧＰを用いて攻撃可能性判定結果情報５３を送信するとした。しかし、攻撃可能性情報５２又は攻撃可能性判定結果情報５３の送受信は、ＢＧＰを用いることに限られるものではない。

（セキュリティ装置について）
上述の実施形態では、セキュリティ装置３０Ａ，３０Ｂは、統合セキュリティアプライアンス装置であるとした。しかし、これに限られず、セキュリティ装置３０Ａ及びセキュリティ装置３０Ｂの少なくとも一方又は両方が、他の装置、例えばＦＷが実装されたルータ等であってもよい。

（攻撃対処装置及び攻撃検証装置の装置構成について）
図２に示す攻撃対処装置１０及び攻撃検証装置２０の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、攻撃対処装置１０及び攻撃検証装置２０の機能の分散及び統合の具体的形態は図示のものに限られず、全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散又は統合して構成することができる。

また、攻撃対処装置１０及び攻撃検証装置２０は、それぞれの構成要素を全て備え、同一名称の構成要素の重複を省いた１つの攻撃対処検証装置として提供されてもよい。例えば、攻撃対処検証装置は、ログ取得部１１（ログ取得部２２）、判断部１２、宛先解決部１３、脅威情報送信部１４（脅威情報送信部２４）、脅威情報受信部１５（脅威情報受信部２１）、制御指示部１６、攻撃検証部２３を備える。

そして、攻撃対処検証装置は、攻撃対処装置１０として機能する場合には、ログ取得部１１（ログ取得部２２）、判断部１２、宛先解決部１３、脅威情報送信部１４（脅威情報送信部２４）、脅威情報受信部１５（脅威情報受信部２１）、制御指示部１６の機能が有効とされる。また、攻撃対処検証装置は、攻撃検証装置２０として機能する場合には、ログ取得部１１（ログ取得部２２）、宛先解決部１３、脅威情報送信部１４（脅威情報送信部２４）、脅威情報受信部１５（脅威情報受信部２１）の機能が有効となる。

なお、攻撃対処検証装置においても、機能の全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散又は統合して構成することができる。

また、実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともできる。もしくは、実施形態において説明した各処理のうち、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上記及び図示の処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて適宜変更することができる。

（プログラムについて）
図８は、プログラムが実行されることにより、攻撃対処装置及び攻撃検証装置が実現されるコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。コンピュータ１０００において、これらの各部はバス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ（Random Access Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。

ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、攻撃対処装置１０及び攻撃検証装置２０の各処理を規定する各プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュール１０９３として、例えばハードディスクドライブ１０３１に記憶される。例えば、攻撃対処装置１０における機能構成と同様の情報処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。また、攻撃検証装置２０における機能構成と同様の情報処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。

また、実施形態での各処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。

なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３やプログラムデータ１０９４は、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

以上の実施形態は、本願が開示する技術に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１０ 攻撃対処装置
１１ ログ取得部
１２ 判断部
１３ 宛先解決部
１４ 脅威情報送信部
１５ 脅威情報受信部
１６ 制御指示部
２０ 攻撃検証装置
２１ 脅威情報受信部
２２ ログ取得部
２３ 攻撃検証部
２４ 脅威情報送信部
３０Ａ，３０Ｂ セキュリティ装置
５１ 検知情報
５２ 攻撃可能性情報
５３ 攻撃可能性判定結果情報
１００ 攻撃対処システム
１０００ コンピュータ
１０１０ メモリ
１０３０ ハードディスクドライブインタフェース
１０９０ ハードディスクドライブ
１０４０ ディスクドライブインタフェース
１１００ ディスクドライブ
１０５０ シリアルポートインタフェース
１１１０ マウス
１１２０ キーボード
１０６０ ビデオアダプタ
１１３０ ディスプレイ
１０７０ ネットワークインタフェース
１０８０ バス
１０９１ ＯＳ
１０９２ アプリケーションプログラム
１０９３ プログラムモジュール
１０９４ プログラムデータ

Claims (4)

1. 第１のネットワークに含まれる攻撃対処装置及び第２のネットワークに含まれる攻撃検証装置を有する攻撃対処システムであって、
   前記攻撃対処装置は、
   攻撃検知装置により検知された前記第２のネットワークへのリフレクション攻撃の検知情報から、特定プロトコルによる前記リフレクション攻撃の可能性を示す攻撃可能性情報を生成する可能性情報生成部と、
   前記攻撃可能性情報を前記攻撃検証装置へ送信する可能性情報送信部と、
   前記攻撃検証装置から、前記攻撃可能性情報が示す前記リフレクション攻撃に対して対処を要するか否かを示す攻撃可能性判定結果情報を受信する判定結果情報受信部と、
   前記攻撃可能性判定結果情報が示す前記リフレクション攻撃が確定である場合に、前記検知情報に係る前記リフレクション攻撃の送信元アドレスからの前記特定プロトコルによる通信を遮断するよう前記攻撃検知装置に対して指示する指示部と
   を備え、
   前記攻撃検証装置は、
   前記攻撃対処装置から前記攻撃可能性情報を受信する可能性情報受信部と、
   前記第２のネットワークにおける通信を監視する通信監視装置から取得した監視ログに、前記送信元アドレスから前記第１のネットワークへの通信履歴が存在するか否かを判定し、存在する場合に、前記リフレクション攻撃が確定でないとし、存在しない場合に、前記リフレクション攻撃が確定であるとする前記攻撃可能性判定結果情報を生成する攻撃検証部と、
   前記攻撃可能性判定結果情報を前記攻撃対処装置へ送信する判定結果情報送信部と
   を備えた
   ことを特徴とする攻撃対処システム。
2. 前記攻撃可能性情報及び前記攻撃可能性判定結果情報の少なくとも一方又は両方が、ＢＧＰ（Border Gateway Protocol）を用いて送受信される
   ことを特徴とする請求項１に記載の攻撃対処システム。
3. 前記攻撃検知装置及び前記通信監視装置の少なくとも一方又は両方が、統合セキュリティアプライアンス装置である
   ことを特徴とする請求項１又は２に記載の攻撃対処システム。
4. 第１のネットワークに含まれる攻撃対処装置及び第２のネットワークに含まれる攻撃検証装置を有する攻撃対処システムにおいて実行される攻撃対処方法であって、
   前記攻撃対処装置が実行する、
   攻撃検知装置により検知された前記第２のネットワークへのリフレクション攻撃の検知情報から、特定プロトコルによる前記リフレクション攻撃の可能性を示す攻撃可能性情報を生成する可能性情報生成工程と、
   前記攻撃可能性情報を前記攻撃検証装置へ送信する可能性情報送信工程と、
   前記攻撃検証装置から、前記攻撃可能性情報が示す前記リフレクション攻撃に対して対処を要するか否かを示す攻撃可能性判定結果情報を受信する判定結果情報受信工程と、
   前記攻撃可能性判定結果情報が示す前記リフレクション攻撃が確定である場合に、前記検知情報に係る前記リフレクション攻撃の送信元アドレスからの前記特定プロトコルによる通信を遮断するよう前記攻撃検知装置に対して指示する指示工程と
   を含み、
   前記攻撃検証装置が実行する、
   前記攻撃対処装置から前記攻撃可能性情報を受信する可能性情報受信工程と、
   前記第２のネットワークにおける通信を監視する通信監視装置から取得した監視ログに、前記送信元アドレスから前記第１のネットワークへの通信履歴が存在するか否かを判定し、存在する場合に、前記リフレクション攻撃が確定でないとし、存在しない場合に、前記リフレクション攻撃が確定であるとする前記攻撃可能性判定結果情報を生成する攻撃検証工程と、
   前記攻撃可能性判定結果情報を前記攻撃対処装置へ送信する判定結果情報送信工程と
   を含んだ
   ことを特徴とする攻撃対処方法。

Images