JP4545647B2 - 攻撃検知・防御システム - Google Patents

Description

本発明は、ネットワーク上での不正アクセスに対するセキュリティシステムに関し、特にサービス妨害（ＤｏＳ：Denial of Service）攻撃を早期に検知し防御する機能を有す
る攻撃検知・防御システムに関する。

ネットワーク上での脅威として、ＤｏＳ攻撃などの不正アクセスがある。ＤｏＳ攻撃は、ネットワークにおいて、例えば攻撃元端末からサーバに連続してサービス要求などを行うことによってサーバを高負荷にさせ、攻撃元端末以外の端末へのサービス実施を不能にさせる攻撃行動である。このＤｏＳ攻撃には、単独の攻撃元からのＤｏＳ攻撃（Ｓｉｎｇｌｅ ＤｏＳ攻撃）と、複数の攻撃元から妨害攻撃するＤＤｏＳ攻撃（Ｄｉｓｔｒｉｂｕｔｅｄ ＤｏＳ攻撃）とがある。

ＤＤｏＳ攻撃では、例えば攻撃対象と無関係な多数の端末を乗っ取り、各端末から標的のサーバを一斉に攻撃する手法が採られる。この攻撃が成功すると、サーバがサービスを提供できなくなってしまう。ネットワークにおいては、特に、このＤＤｏＳ攻撃への対策が切望されている。

従来技術としては、各端末及びサーバにおけるセキュリティ対策がある。具体的には、端末またはサーバ単位で行う、ＯＳ（Operating System）やアプリケーションのパッチ当てや、ウィルス対策ソフトの定義ファイルの更新である。この手法では、各端末などの管理者の運用に依存してしまい、故意または過失等により穴（セキュリティホール）が空いてしまう可能性がある。

別の従来技術しては、ネットワークにＩＤＰ（Intrusion Detection and Prevention）（登録商標）と呼ばれる装置（攻撃検知・防御装置）を設置する手法がある。攻撃検知・防御装置は、各種攻撃の検知及び遮断（阻止）を行う機能を有する。サーバの手前に攻撃検知・防御装置をインライン設置することで、一旦攻撃と検知すると、以降そのフローを遮断可能であり、これによりサーバを攻撃から防御することが可能となる。

しかし、この攻撃検知・防御装置では、大量攻撃を受けたことを事後的に検知する。その理由は、誤検知を防止するために、トラフィック量が定量的または定性的なパラメータによる判定基準（閾値）をある程度上回るまで遮断できないからである。そのため、トラフィック量が上記閾値を超えたとき、サーバ手前で遮断されるまでの間、攻撃者がサーバにアクセスできてしまう問題が残る。

攻撃検知のための閾値を下げればよいかというと、誤検知が増えてしまうため、これは解とならない。また、閾値を超えないトラフィック量で攻撃が行われると、やはりサーバにアクセスできてしまうことを免れない。

また、被攻撃サーバ手前にて遮断されたとしても、攻撃者は別サーバに対して攻撃可能であること、及び攻撃トラフィックがネットワークの資源（リソース）を無駄に消費し続けることが問題として残り、対策としては不十分である。

更に別の従来技術としては、サーバ手前だけでなく、ネットワーク間の境界箇所に攻撃検知・防御装置を設置し、あるサーバ手前位置の攻撃検知・防御装置が攻撃を検知すると、その攻撃検知・防御装置がネットワークの入口側の攻撃検知・防御装置へ攻撃検知を通
知することにより、遮断の実行箇所を論理的に移動させる手法がある。

この手法では、処理負荷を分散させ、ネットワーク内のトラフィックを抑制する効果があるものの、検知そのものは上述の別の従来技術と本質的に変わらないので、ネットワークの入口箇所の攻撃検知・防御装置で遮断が完了するまでの間は、同じ問題、つまり遮断までの時間、及び攻撃トラフィック量が閾値以下だとアクセスできてしまう問題を抱えることになる。

上述したように、従来の各技術は、被攻撃サイトで大量の攻撃を受けた後に、検知及び遮断を行うものであって、ＤＤｏＳ攻撃（不特定多数に向けた特定手法の攻撃行動）などを効果的に検知し、攻撃者が存在するサイト内において、大量の攻撃トラフィックが中継ネットワークへ流出することを早期に防止することはできない。
特開２００４−３２０６３６号公報

本発明の課題は、ＤＤｏＳ攻撃などの攻撃行動を効果的に検知し、攻撃者が存在するサイト内において、大量の攻撃トラフィックが中継ネットワークへ流出することを早期に（リアルタイムに）防止することが可能なネットワークのセキュリティ技術を提供することにある。

上記課題を解決するために、本発明の攻撃検知・防御装置は、サービス妨害攻撃を検知して対応フローを遮断する攻撃検知・防御装置であって；
前記攻撃を検知するために互いにレベルの異なる、少なくとも１つの攻撃被疑閾値と攻撃確定閾値とを保持する保持手段と；
前記攻撃検知対象のフローにおけるフレーム数が前記攻撃被疑閾値を超えたときに攻撃被疑状態を検知し、前記フレーム数が前記攻撃確定閾値を超えたときに攻撃確定状態を検知する検知手段と；
前記攻撃被疑状態が検知されたとき、対応フローの情報とともに前記攻撃被疑状態を通知する通知手段と；
前記攻撃被疑状態が通知されたとき、前記フレームの送信元端末及び前記フローの少なくとも一方の信頼度に基づいて、そのフローを遮断するか否かを決定する判定手段と；
前記攻撃確定状態が検知されたとき、対応フローの情報通知とともに遮断依頼を行う依頼手段とを備える。

この構成において、前記遮断決定及び前記遮断依頼のいずれかに基づいて、対応フローを遮断する遮断手段を更に備える。

また、前記フローに属する前記フレーム数の増減の度合いを加速度値として検知する第２の検知手段を更に備え；
前記保持手段は、前記加速度値と比較される互いにレベルの異なる、第２の攻撃被疑閾値及び第２の攻撃確定閾値を保持し；
前記検知手段は、前記攻撃検知対象のフローにおける前記加速度値が前記第２の攻撃被疑閾値を超えたときに攻撃被疑状態を検知し、前記加速度値が前記第２の攻撃確定閾値を超えたときに攻撃確定状態を検知する。

また、前記保持手段に互いにレベルの異なる複数の攻撃被疑閾値がそれぞれの信頼度を示す情報とともに保持され；
前記検知手段は、前記フレーム数が前記攻撃被疑閾値のいずれかを超えたときに攻撃被
疑状態を検知し；
前記通知手段は、前記攻撃被疑状態が検知されたとき、対応の信頼度を示す情報とともに前記攻撃被疑状態を通知し；
前記判定手段は、前記攻撃被疑状態が前記信頼度を示す情報とともに通知されたとき、前記通知された信頼度を示す情報に基づいて、対応のフローを遮断するか否かを決定する。

ここで、前記判定手段が前記対応のフローを遮断しないことを決定したとき、前記通知された信頼度を示す情報に応じてそのフローのＱｏＳ制御レベルを決定するＱｏＳ判定手段を更に備えてもよい。

本発明によれば、攻撃被疑の時点で検知行動を開始し、端末などの信頼度に基づいて遮断判定を行うことで、不特定多数に向けた攻撃行動などのＤｏＳ攻撃をより高い精度で検知し防止することができる。

本発明の他の課題、特徴及び利点は、図面及び併記の特許請求の範囲とともに取り上げられる際に、以下に記載される明細書（本発明の実施の形態）を読むことにより明らかになるであろう。

以下、添付図面を参照して、本発明について更に詳細に説明する。図面には本発明の好ましい実施形態が示されている。しかし、本発明は、多くの異なる形態で実施されることが可能であり、本明細書に記載される実施形態に限定されると解釈されてはならない。むしろ、これらの実施形態は、本明細書の開示が徹底的かつ完全となり、当業者に本発明の範囲を十分に伝えるように提供される。なお、添付図面の全図を通して、一部の構成要素は“手段”で表示している。

［システムの基本構成及び機能］
本発明の一実施の形態におけるシステムの基本構成を示す図１を参照すると、この攻撃検知・防御システムＳＹＳは、信頼度が低い端末またはネットワークを攻撃被疑の時点で遮断可能とするために、攻撃の検知を行う１次検知ノード１０と、攻撃の疑いがある場合に遮断するかどうかを決定する２次検知ノード２０（２０Ａ，２０Ｂ）と、攻撃の遮断を行う遮断ノード３０（３０Ａ，３０Ｂ，３０Ｃ）とを備えている。１次検知ノード１０、２次検知ノード２０、及び遮断ノード３０は、それぞれＩＤＰ（登録商標）装置（攻撃検知・防御装置）として単独にインライン配置するか、ルータなどの中継装置（中継ノード）に攻撃検知防御機能として組み込むことが可能である。

この攻撃検知・防御システムＳＹＳにおいて、１次検知ノード１０は、特定パターンに合致するフレームの単位時間（予め定めた時間）当たりの受信フレーム数を計数して閾値保持部１２に記憶（格納）するフレーム数カウンタ１１と、攻撃検知のための閾値として攻撃被疑レベル及び攻撃確定レベルに段階分けした値を受信フレーム数とともに宛先ＩＰアドレスＤｓｔＩＰが同一のレコードに保持する閾値保持部１２とを有する。

１次検知ノード１０は、閾値保持部１２に保持されている、閾値及びカウント値（フレーム数）を比較し、被疑レベルの閾値超え時には攻撃被疑を検知し、確定レベルの閾値超え時には攻撃確定を検知する攻撃検知部１３と、攻撃被疑を検知したフローの情報を２次検知ノード２０に通知する被疑通知部１４と、攻撃確定を検知したフローの情報を遮断ノード３０に通知する遮断依頼部１５とを更に有する。１次検知ノード１０及び遮断ノード３０Ｃはサーバ４０（４０Ａ，４０Ｂ）に対して前置される。

２次検知ノード２０（２０Ａ，２０Ｂ）は、アドレス情報と信頼度情報とを対応付けて保持する端末情報データベース２１と、攻撃被疑を通知されたフローの情報を基にデータベース２１を検索し、端末及びフローの信頼度によりそのフローを遮断するかどうかを決める遮断判定部２２と、遮断対象としたフローの情報を遮断ノード３０に通知する遮断依頼部２３とを有する。また、各遮断ノード３０（３０Ａ，３０Ｂ，３０Ｃ）は、フロー毎に中継するか遮断するかを決定するフィルタ３１を有する。

この攻撃検知・防御システムＳＹＳにおいては、１次検知ノード１０の攻撃検知部１３が攻撃確定を検知した時は、遮断依頼部１５が１次検知ノード１０及び２次検知ノード２０（２０Ａ，２０Ｂ）対応の遮断ノード３０（３０Ａ，３０Ｂ，３０Ｃ）に対し、ネットワーク通信回線を通して、そのフローの遮断を依頼する。また、１次検知ノード１０の攻撃検知部１３が攻撃被疑を検知すると、被疑通知部１４が２次検知ノード２０に対し、ネットワークＮＷ１などの通信回線を通して、攻撃の被疑があることをフロー情報とともに通知する。

通知する情報は、攻撃被疑対象を特定するために必要なフレームのヘッダ情報及びデータ情報や、当該フレームの受信物理ポート番号及び受信論理ポート番号などの所謂フロー情報を基本とするが、更にタイムスタンプや、サーバの重要度または負荷状況に応じた対応の緊急度などの付加的な情報を含めてもよい。

このとき、通知先の２次検知ノード２０は、ネットワークシステム内の全ての攻撃検知・防御装置であってもよいし、管理者が指定した少なくとも１つの攻撃検知・防御装置であってもよい。また、フレームの送信元端末を収容する攻撃検知・防御装置だけであってもよい。

通知を受けた２次検知ノード２０（２０Ａ，２０Ｂ）は、端末情報データベース２１を参照し、遮断判定部２２によりそのフローを遮断対象とするかどうか決定する。遮断対象とする場合は、対応の遮断ノード３０（３０Ａ，３０Ｂ）に対して当該フローの遮断を依頼する。遮断依頼を受けた遮断ノード３０は、フローの遮断を行い、以降当該フローがネットワークＮＷ１内に中継されないようにする。

このように、この攻撃検知・防御システムＳＹＳにおいては、閾値として攻撃被疑レベル及び攻撃確定レベルの複数の閾値を導入し、攻撃被疑の時点で、攻撃元端末を収容する（もしくは攻撃元端末に近い）攻撃検知・防御装置が、自己保持している端末情報を基に遮断すべきかどうかを判定することで、攻撃者が存在するサイト（サブネット）内において、大量の攻撃トラフィックが中継ネットワークへ流出することを早期に（リアルタイムに）防止することが可能となる。

［システムの具体例］
次に、図１に示す基本構成を採る攻撃検知・防御システムＳＹＳにおける具体的構成及び動作例を説明する。ここでは、攻撃検知・防御システムＳＹＳの適用先として企業網を想定する。

〈適用アドレス体系〉
図２を参照すると、攻撃検知・防御システムＳＹＳにおいては、固定アドレス及び動的アドレスの２種類のアドレスを用いる。ここで、固定アドレスは、端末アドレスとしてＩＰ（Internet Protocol）アドレスを設定すると、認証等の手続き無しにネットワークシ
ステムにアクセスできるアドレスである。一方、動的アドレスは、その割当をＤＨＣＰ（Dynamic Host Configuration Protocol）サーバ及び認証ＶＬＡＮ（Virtual Local Area
Network）網が行い、端末アドレスとして動的アドレスを設定すると、認証等の手続きを
クリアした場合のみ、ネットワークシステムにアクセスできるアドレスである。

各サブネット（イントラネット）ＮＷ３，ＮＷ４の入口（エッジ）に位置する２次検知ノード２０（２０Ａ，２０Ｂ）は対応のサブネットを管理する役割を担うものとし、上記アドレスや認証情報の管理は対応の２次検知ノード２０が行う。端末情報データベース２１には、アドレスの種別（動的（ＤＨＣＰ）アドレスまたは固定アドレス）に連動して信頼度の高低データが図２に一例を示すように登録されている。

〈攻撃の想定〉
ここでは、ＤＤｏＳ攻撃の種類はＳＹＮフラッド攻撃（ＳＹＮ Ｆｌｏｏｄ攻撃）とする。ＳＹＮ Ｆｌｏｏｄ攻撃とは、複数の攻撃元端末から、実在しないＩＰアドレスを送信元としたＴＣＰ（Transmission Control Protocol）のＳＹＮパケットを特定サーバに
対して大量に送りつけることで、サービスを妨害及び中断させる攻撃である。

図３に示すように、１次検知ノード１０の攻撃検知部１３においては、このＳＹＮ Ｆｌｏｏｄ攻撃を検知するために、端末とサーバ間で送受信されたフレームに基づいてセッションの状態を記憶しておき、ある一定時間（予め定めた時間）内にＴＣＰの３ｗａｙ ｈａｎｄｓｈａｋｅが完了しない場合、つまりＳＹＮ＋ＡＣＫパケットに対応するＡＣＫパケットを受信しない場合、エラーセッションとしてカウントする。特定サーバに対してエラー数がある閾値を超えることで、ＳＹＮ Ｆｌｏｏｄ攻撃として検知する。攻撃検知は、攻撃の集約箇所であるサーバ手前、つまりサーバ４０（４０Ａ，４０Ｂ）の存在するネットワークまたはサブネット（イントラネット）ＮＷ２の入口（エッジ）位置で行う。

ここで、サブネットＮＷ３配置の端末１ｂ及びサブネットＮＷ４配置の端末２ｂが固定アドレス端末であり、悪意を持った者（攻撃者）がネットワークシステムに不正にアクセス可能な状態にあり、同一サブネット内の空き固定アドレス（例えば、１．１．１．５または２．２．２．５）を詐称してネットワークＮＷ２配置のサーバ４０（４０Ｂ）に攻撃を始める状況を仮定する。なお、詐称アドレスとしてサブネット内アドレスに限定した理由は、サブネット外アドレスについては、遮断ノード３０（３０Ａ，３０Ｂ）のフィルタ３１における設定（ＩＰアドレスフィルタリング）で廃棄され、攻撃足りえないためである。

〈攻撃検知・防御の動作手順〉
図４を参照して、攻撃検知・防御システムＳＹＳにおける攻撃検知及び攻撃防御の動作手順について説明する。上記攻撃の想定と同様に、端末１ｂ及び２ｂが、送信元アドレスＳｒｃＩＰを詐称してサーバ４０（４０Ｂ）に対しＳＹＮ Ｆｌｏｏｄ攻撃をしかけたとする。

１次検知ノード１０においては、図３を参照して説明したＳＹＮ Ｆｌｏｏｄ攻撃の検知機能を有する攻撃検知部１３は、特定パターンに合致する、つまり３ｗａｙ ｈａｎｄｓｈａｋｅが完了しないＴＣＰセッションの単位時間（予め定めた時間）当たりの受信フレーム数をカウンタ１１で計数させた後、閾値保持部１２に記憶させる。

攻撃検知部１３は、カウンタ１１に記憶されているカウント値（フレーム数）と、閾値保持部１２に保持されている攻撃被疑閾値及び攻撃確定閾値とを比較する。この結果、攻撃検知部１３は、受信フレーム数が確定閾値を超えていれば、その時点で遮断依頼部１５にその旨を通知する。攻撃検知部１３から確定閾値超えを通知された遮断依頼部１５は、各遮断ノード３０（３０Ａ，３０Ｂ，３０Ｃ）にフィルタ登録依頼を行う。

フィルタ登録依頼の内容は、送信元アドレスＳｒｃＩＰ毎の遮断とする。依頼先とする遮断ノード３０は、ネットワークシステム内の全中継ノード（管理者決め打ち、つまり予め設定した静的な内容）であってもよいし、送信元アドレスＳｒｃＩＰに対応する端末の手前の中継ノードとしてもよい。端末手前の中継ノードのアドレス情報は、ｔｒａｃｅｒｏｕｔｅなどの既存ツールを使うことで求めるか、あるいは網のトポロジ制御サーバ及びツールとの連動により求める。なお、ｔｒａｃｅｒｏｕｔｅは、あるノード上でこのツールを起動し、ＩＰアドレスをキーとして動作させると、その経路途中のルータのＩＰアドレスを表示する機能を有する。端末手前の中継ノードの位置は、端末の存在するサブネットの入口（エッジ）位置である。

１次検知ノード１０からネットワーク（インターネット）ＮＷ１及びサブネットＮＷ２，ＮＷ３，ＮＷ４の通信回線を通してフィルタ登録依頼を受けた各遮断ノード３０（３０Ａ，３０Ｂ，３０Ｃ）は、例えば図５に示すように、フィルタ３１によってフィルタリングテーブル３２に端末からの送信フレームの遮断設定を行う、つまり送信元アドレスＳｒｃＩＰ対応に“ｄｅｎｙ”を設定することで、その端末による以降の攻撃を防ぐことが可能となる。

なお、図２及び図５では、受信ポートＲｘＰｏｒｔ及び送信元アドレスＳｒｃＩＰによる遮断を例示したが、その他のキー情報による遮断であってもよい。例えば、図６に例示するように、通知されたＩＰアドレスをキー情報として、遮断ノード３０が有するＡＲＰ（Address Resolution Protocol）テーブル３３を参照し、ＩＰアドレスに対応するＭＡ
Ｃアドレスを導出した上で、ＭＡＣアドレスによる遮断を行ってもよい。

この攻撃検知・防御システムＳＹＳにおいては、確定閾値以下であっても、被疑閾値を超えていれば、攻撃の可能性があるため、１次検知ノード１０の被疑通知部１４から各２次検知ノード２０（２０Ａ，２０Ｂ）に被疑通知を行う。攻撃被疑に該当するケースとしては、例えば次の（１）〜（４）が考えられる。
（１）ＤＤｏＳ攻撃の攻撃元端末間で開始タイミングがずれており、攻撃の立ち上がり時期に、確定閾値未満のトラフィック量で攻撃がなされた。
（２）ＤＤｏＳ攻撃の攻撃元端末数が少なく、確定閾値未満のトラフィック量で攻撃がなされた。
（３）ＤＤｏＳ攻撃の確定閾値の設定値が大きな値であり、それ未満のトラフィック量で攻撃がなされた。
（４）たまたまＳＹＮ Ｆｌｏｏｄ攻撃と類似するフレームシーケンスが多数発生した。

ここでは、被疑通知内容は送信元アドレスＳｒｃＩＰとする。通知先とする２次検知ノード２０については、ネットワークシステム内の全２次検知ノード（管理者決め打ち）を想定するが、ネットワークシステムのトポロジ制御ツールにより特定の２次検知ノード２０を求めてもよい。また、既存ツールのｔｒａｃｅｒｏｕｔｅにより端末手前の遮断ノード３０を求め、遮断ノード３０に問い合わせて、対応する２次検知ノード２０を求めてもよい。さらに、２次検知ノード２０が遮断ノード３０と物理的に同一体であれば、ｔｒａｃｅｒｏｕｔｅにより直接に２次検知ノード２０を求めてもよい。

１次検知ノード１０の被疑通知部１４からネットワークＮＷ１〜ＮＷ４の通信回線を通して被疑通知を受けた２次検知ノード２０の遮断判定部２２は、端末情報データベース２１を参照し、信頼度情報に基づいて遮断判定を行う。遮断判定のキー情報は、通知された送信元アドレスＳｒｃＩＰ（ここでは、１．１．１．５または２．２．２．５）とする。

このネットワークシステムでは、固定アドレスであるときは信頼度が低いため、遮断判定部２２は固定アドレスであると判定した時点で遮断対象とする。遮断判定部２２による
判定結果が遮断である場合、遮断依頼部２３は各遮断ノード３０（３０Ａ，３０Ｂ）にフィルタ登録依頼を行う。以降は確定閾値超え時と同様の処理手順により、攻撃遮断が実施される（図５参照）。

この攻撃検知・防御システムＳＹＳにおいては、上述した動作により、攻撃者の可能性の高い端末を早期に（攻撃タイミングのずれ発生時にも早めに）、トラフィック量だけでなく端末及びユーザ（使用者）の信頼度に応じてより精度高く検知し、遮断することが可能となる。

［システムの各種変形例］
次に、図１及び図２に示す基本構成を採る攻撃検知・防御システムＳＹＳにおける各種変形例を説明する。

〈第１の変形例〉
図１及び図２に示す攻撃検知・防御システムＳＹＳにおいて、サーバ前置の１次検知ノード１０は、サーバ４０（４０Ａ，４０Ｂ）の重要度を示すデータベース（図示省略）を更に有し、かつサーバ４０（４０Ａ，４０Ｂ）との通信により、サーバ負荷状況を認識する機能を有してもよい。

１次検知ノード１０は、被疑通知部１４から２次検知ノード２０（２０Ａ，２０Ｂ）にフロー情報を通知する際に、被疑対象のノードを特定するためのフロー情報だけでなく、更にサーバ４０（４０Ａ，４０Ｂ）の重要度や負荷状況に応じた対応の緊急度など、付加的な情報も含める。

２次検知ノード２０は、端末情報データベース２１上での信頼度情報を複数段階設けておく。被疑通知を受けた２次検知ノード２０は、サーバ４０の重要度が「高」や、サーバ４０の負荷状況が「高」を通知された場合、端末情報データベース２１より求めた信頼度と上記重要度情報や負荷状況情報との組み合わせで、遮断するかどうかを決めてもよい。

この動作により、サーバ４０の種類または状態に応じて、攻撃遮断が可能となり、サーバ４０が過負荷になる前に問題を検知することが可能となる。

なお、２次検知ノード２０は、サーバ４０を守ることを優先し、サーバ４０が重要度「高」や負荷状況「高」の状態であれば、端末情報データベース２１での信頼度情報とは無関係に、そのトラフィックを遮断してもよい。また、サーバ４０が重要度「高」や負荷状況「高」状態であれば、その時点で１次検知ノード１０が各遮断ノード３０（３０Ａ，３０Ｂ，３０Ｃ）に遮断依頼を行ってもよい。

〈第２の変形例〉
図１及び図２に示す攻撃検知・防御システムＳＹＳにおいて、各遮断ノード３０（３０Ａ，３０Ｂ）は中継ログを持ってもよい。

１次検知ノード１０は、被疑通知部１４によりフロー情報を通知する際に、被疑ノードを特定するためのフロー情報だけでなく、タイムスタンプ情報も含める。２次検知ノード２０は、上記では遮断対象を被疑通知されたフロー、つまり詐称されたＩＰアドレス１．１．１．５を送信元アドレスＳｒｃＩＰのフローとした（図５参照）。これに代替して、２次検知ノード２０は、送信元アドレスＳｒｃＩＰやタイムスタンプ情報を基に、中継ログを参照した結果の送信元端末情報、つまり送信元アドレス（送信元ＩＰアドレス）ＳｒｃＩＰでフレームを送信した端末の送信元アドレス（送信元ＭＡＣアドレス）ＳｒｃＭＡＣや、受信物理ポート番号または受信論理ポート番号毎などに遮断する。

これにより、攻撃元端末が後で別のアドレスを詐称したとしても、既に遮断設定が完了していることになり、一層セキュリティ耐性の高い遮断設定が行える。

なお、上記中継ログは遮断判定の際に使ってもよい。即ち、送信元ＭＡＣアドレスＳｒｃＭＡＣが同一であるにも関わらず、複数の送信元ＩＰアドレスＳｒｃＩＰを付けて送信したような端末については信頼度「低」とみなし、被疑通知を受けた際には遮断する。

〈第３の変形例〉
図１及び図２に示す攻撃検知・防御システムＳＹＳにおいて、各端末におけるウィルス対処機能をリモート実行可能であってもよい。

１次検知ノード１０及び２次検知ノード２０は、遮断ノード３０に遮断依頼を行う際に、併せてこのウィルス対処機能を強制的に動作させる。また、１次検知ノード１０は２次検知ノード２０に被疑通知を行う時点で、かつ２次検知ノード２０は１次検知ノード１０から被疑通知を受けた時点で、ウィルス対処機能をそれぞれ強制的に動作させる。これにより、ネットワークシステムからのウィルス駆除をより早期に行うことが可能となる。

〈第４の変形例〉
図１及び図２に示す攻撃検知・防御システムＳＹＳにおいて、１次検知ノード１０における被疑通知部１４及び遮断依頼部１５や、２次検知ノード２０における遮断依頼部２３は、遮断ノード３０に対してだけでなく、攻撃者と思われる端末に対して警告通知を行ってもよい。

つまり、１次検知ノード１０及び２次検知ノード２０は、被疑通知及び／または遮断依頼を行う際に、攻撃元端末と思われる端末に対し、攻撃被疑があることを警告通知する。これにより、悪意を持つものに端末を乗っ取られたユーザが、問題をより容易に、かつ早期に知ることが可能となり、セキュリティ上の対処を早期に行える可能性が高まる。

なお、１次検知ノード１０や２次検知ノード２０が、ノード内情報だけを基に、攻撃元端末と通信するのではなく、ネットワークシステム内のトポロジやノード状態の管理サーバ（図示省略）を経由して、この管理サーバから端末情報を入手した上で、攻撃元端末に警告通知してもよい。また、管理サーバに対して攻撃の被疑通知依頼または確定通知依頼を行い、この管理サーバから端末に警告通知を行ってもよい。

〈第５の変形例〉
図１及び図２に示す攻撃検知・防御システムＳＹＳにおいて、端末におけるウィルス対処機能に対してウィルス定義ファイルを提供可能なサーバが、業務ネットワーク（ネットワークＮＷ１など）とは切り離された論理ネットワーク（検疫ネットワーク）ＶＮＷ上に設置されているネットワークシステム構成を採ってもよい（図７参照）。

遮断依頼を受けた遮断ノード３０は、業務ネットワークから遮断すると同時に、検疫ネットワークＶＮＷにのみ接続可能なようにフィルタ設定する。これにより、ネットワークシステムからのウィルス駆除がより早期に実施可能となる。

なお、検疫ネットワークＶＮＷへの接続環境の提供は、レイヤ２またはレイヤ３の宛先検索機能等、フィルタ３１以外によるものであってもよい。

〈第６の変形例〉
図１及び図２に示す攻撃検知・防御システムＳＹＳにおいて、認証機能を導入する。

端末は、基本的に認証が完了しないと、ネットワークシステムに接続できない。しかし、認証機能未サポート端末を考慮し、特定ＭＡＣアドレスを持つ端末だけは、認証無しにネットワークシステムに接続可能とする。２次検知ノード２０の端末情報データベース２１における信頼度情報は、認証済かどうか、及び認証不要ＭＡＣアドレスであるかどうかに関連付けておく。２次検知ノード２０は、端末との間で認証が完了すると、認証の状態と合わせて信頼度情報をデータベース２１に登録する。認証無しにネットワークシステムに接続可能なＭＡＣアドレスについては信頼度を下げておく（図８参照）。

これにより、攻撃者かどうかの判別精度を上げることが可能となる。なお、認証不完全で終わった場合は、データベース２１の信頼度情報を「低」に設定する。また、認証自体は他の認証ノードで行い、その結果を２次検知ノード２０に通知することで、データベース２１を構築してもよい。

〈第７の変形例〉
図１及び図２に示す攻撃検知・防御システムＳＹＳにおいて、上述した第６の変形例の認証機能に加え、各端末の使用者を管理する機能を有する。

２次検知ノード２０の端末情報データベース２１における信頼度情報は、端末の使用者に関連付ける。２次検知ノード２０は、端末との間で認証が完了すると、認証ユーザの役職に応じて信頼度情報をデータベース２１に登録する（図９参照）。

これにより、攻撃者かどうかの判別精度を上げることが可能となる。なお、認証とは無関係に、端末のアドレス（送信元ＭＡＣアドレスＳｒｃＭＡＣまたは送信元ＩＰアドレスＳｒｃＩＰ）に対して静的に役職及び信頼度に関する情報が対応付けられていてもよい。

〈第８の変形例〉
図１及び図２に示す攻撃検知・防御システムＳＹＳにおいて、各端末のセキュリティパッチの適用度合いや、ウィルス感染状況を管理する。

２次検知ノード２０の端末情報データベース２１における信頼度情報は、セキュリティパッチの適用度合いや、ウィルス感染状況に動的に関連付ける。２次検知ノード２０は、各端末の上記パッチ及びウィルス状況を定期的に監視してデータベース２１に登録するとともに、その状況に応じた信頼度情報をデータベース２１に登録する機能を有する。

図１０はそのデータベース２１の一例を示す。図１０中の信頼度は、次のように設定している。
（１）ウィルスに感染していることが分かっている場合は、信頼度「無し」。
（２）ウィルスには最後に検査された時点で感染していないが、端末に最新のパッチが適用されていない場合は、信頼度「低」。
（３）ウィルスには最後に検査された時点で感染しておらず、かつ端末に最新のパッチが適用されている場合は、信頼度「高」。

２次検知ノード２０における遮断判定部２２は、通知を受けた端末の信頼度が「高」または「低」であった場合は、図４を参照して上述した動作手順のとおりに動作する。しかし、遮断判定部２２は、信頼度が「無し」であった場合、ウィルスに感染している端末であるので、遮断依頼部２３に遮断依頼を行う。なお、信頼度が「無し」の場合、更なる追加処理があってもよい。即ち、既にウィルス感染していると、システムが認識しているにも関わらず、その端末の遮断が完了してないことを判別し、例えばシステム内のノード管理サーバに異常通知を行うなどの特別措置を行ってもよい。

これにより、攻撃者かどうかの判別精度を上げることが可能となる。なお、パッチ及びウィルス状況の監視及び登録は他のノードで行い、その結果を２次検知ノード２０に通知することで、データベース２１を構築してもよい。

〈第９の変形例〉
図１及び図２に示す攻撃検知・防御システムＳＹＳにおいて、攻撃被疑及び攻撃確定の判定を一定時間（予め定めた時間）内の受信フレーム数だけでなく、受信フレーム数の増減（加速度）により行う形態を採ってもよい。

図１１を参照すると、１次検知ノード１０は、受信フレームに関して単位時間（予め定めた時間）内のフレーム数をカウンタ１１によってカウントする際に、１つ前の単位時間当たりのカウント値と現在の単位時間当たりのカウント値との増減（加速度）、つまり差分の絶対値（加速度値）をフロー毎に検出して閾値保持部１２に記憶（格納）する加速度センサ１６を更に有する。

この変形例の構成を採る攻撃検知・防御システムＳＹＳにおいては、ＤＤｏＳ攻撃の種類はＩＣＭＰ（Internet Control Message Protocol） Ｆｌｏｏｄ攻撃とする。ＩＣＭ
Ｐ Ｆｌｏｏｄ攻撃とは、一時期に大量のＩＣＭＰ Ｅｃｈｏ 要求を行い、ネットワークシステムを過負荷にして、この要求への応答でネットワークシステムのリソースを枯渇させる攻撃行動である。

この攻撃を検知するために攻撃検知・防御システムＳＹＳにおいては、サーバ４０に対するＩＣＭＰ Ｅｃｈｏ要求パケット（Ｐｉｎｇパケット）の数が予め定めた時間内に閾値以上であれば、エラーとして検知する。

ここでは、サーバ（＃２）４０Ｂに対しては元々恒常的にＰｉｎｇパケットの送信が行われており、サーバ（＃１）４０Ａに対してＩＣＭＰ Ｆｌｏｏｄ攻撃が行われたことを想定している。図１１に例示するように、攻撃検知部１３は、単位時間（ここでは、１００ｍｓ）当たりのＩＣＭＰ Ｐｉｎｇのフレーム数とともに加速度値について被疑閾値及び確定閾値と比較して、攻撃被疑及び攻撃確定の判定を行う。

サーバ（＃２）４０Ｂについては、加速度値「１０」が被疑閾値「１５」以下であるため、攻撃検知部１３による比較の結果、攻撃被疑としては検知されない。一方、攻撃検知部１３は、サーバ（＃１）４０Ａについては、フレーム数「２０」及び加速度値「２０」の双方が被疑閾値「１８」，「１５」を超えているため、攻撃被疑と判断し、２次検知ノード２０に被疑通知を行う。これにより、ネットワークシステム上の通常トラフィックと攻撃とを一層高精度に判別することが可能となる。

なお、攻撃として、例えばＢｌａｓｔｅｒと呼ばれるコンピュータワームなどのように、ある瞬間に激しく攻撃をしかけ、その後暫く攻撃を休止するものも存在するため、そのような攻撃を検知するためには、このような加速度による検知が一層効果的である。攻撃検知部１３による判定条件は加速度値だけであってもよい。

〈第１０の変形例〉
図１及び図２に示す攻撃検知・防御システムＳＹＳにおいて、攻撃被疑及び攻撃確定の判定を同一アドレスに関する被疑通知の回数に応じて行う形態を採ってもよい。

この第１０の変形例の攻撃検知・防御システムＳＹＳにおいては、図１２に示すように、２次検知ノード２０が、被疑通知回数及びその閾値を保持する被疑通知回数記憶部２４
を更に有する。２次検知ノード２０においては、１次検知ノード１０の被疑通知部１４からネットワーク通信回線を通して被疑通知を受けると、通知されたフロー毎に（ＩＰアドレス毎に）、通知された回数を被疑通知回数記憶部２４が計数して自己保持する。

遮断判定の仕方として、遮断判定部２２は、上述したように端末情報データベース２１内の信頼度情報に基づくことに加え、被疑通知回数記憶部２４内の被疑検知回数がその閾値を超えた場合に攻撃と確定する。遮断判定部２２によるこの遮断判定に応じて遮断依頼部２３は、対応の遮断ノード３０にフィルタ登録依頼を行う。

このように被疑通知回数を判断条件とすることで、真の攻撃者かどうかの判別精度を上げることが可能となる。なお、遮断判定部２２による遮断判定は、被疑通知回数のみによるものであってもよい。

〈第１１の変形例〉
図１及び図２に示す攻撃検知・防御システムＳＹＳにおいて、１次検知ノード１０の閾値保持部１２に予め設定される被疑閾値が複数段階（レベル）である形態を採ってもよい。

この第１１の変形例の攻撃検知・防御システムＳＹＳにおいては、図１３に示すように、閾値保持部１２に攻撃被疑検知用の被疑閾値を８つ（８レベル）設定可能としておき、各々の被疑閾値超えに対して信頼度レベル１〜８を割り付ける。この信頼度レベルの数値が高いほど信頼度が低くなり、信頼度レベル９は攻撃確定を意味する。

１次検知ノード１０の攻撃検知部１３において、例えば信頼度レベル８対応の被疑検知が行われたとする。１次検知ノード１０の被疑通知部１４は、２次検知ノード２０にネットワーク通信回線を通してこの信頼度レベル値を含めた被疑通知を行う。

２次検知ノード２０では、遮断判定部２２が、通知された信頼度レベル値に対し、端末情報データベース２１から得られた信頼度レベル値を加算する。その結果、信頼度レベル値が「９」以上となった場合は、遮断依頼部２３は遮断ノード３０に対してネットワーク通信回線を通して遮断依頼を行う。例えば、攻撃被疑のフロー対応のＩＰアドレスが１．１．１．５であるとすると、信頼度レベルは８＋２＝１０となり、９以上であるため、遮断依頼対象となる。このように、信頼度の粒度を細かくすることで、検知精度の向上が可能となる。

〈第１２の変形例〉
図１及び図２に示す攻撃検知・防御システムＳＹＳにおいて、２次検知ノード２０の端末情報データベース２１に保持される信頼度情報の信頼度レベルをＱｏＳ（Quality of Service：サービス品質）の優先度レベルに対応付ける形態を採ってもよい。

この第１２の変形例の攻撃検知・防御システムＳＹＳにおいては、図１４に示すように、２次検知ノード２０は、信頼度レベルをＱｏＳの優先度に対応付けるＱｏＳ判定部２５を更に有する。遮断依頼部２３は、フローの遮断指示だけでなく、被疑フローのＱｏＳ優先度指定依頼の機能を有する。

１次検知ノード１０の攻撃検知部１３において、例えば信頼度レベル８の攻撃被疑検知が行われたとする。１次検知ノード１０の被疑通知部１４から被疑通知を受けた２次検知ノード２０では、遮断判定部２２が、端末情報データベース２１内の信頼度情報を参照して最終的な（加算）信頼度レベル（上記第１１の変形例参照）を得る。ＱｏＳ判定部２５は、遮断判定部２２から最終的な信頼度レベルを得た後、この信頼度レベルをＱｏＳの優
先度に変換する。ＱｏＳ判定部２５はこの変換を図１４に示す対応付けに基づいて行う。

ここでは、最終的な信頼度レベルが「８」、即ち非常に攻撃の被疑度が高いフローであった場合を想定している。ＱｏＳ判定部２５から遮断依頼部２３に通知される信頼度レベル８に対応するＱｏＳ優先度は「８」であるので、遮断依頼部２３は遮断ノード３０に対して当該フローに関しては次の処理を行うように依頼する。

遮断依頼部２３からＱｏＳ優先度指定依頼を受けた遮断ノード３０における直前の処理状態が遮断指示「なし」及びＱｏＳ優先度「７」であるとすると、遮断ノード３０においては当該フローに関するＱｏＳ優先度を「８」に変更する。ＱｏＳ優先度８については、最もＱｏＳ優先度が低いため、通常トラフィックが多い場合には、遮断ノード３０内で当該フローが廃棄されることになる。これにより、攻撃によるネットワークシステムのリソースの枯渇を防ぐことができる。

なお、信頼度レベルからＱｏＳ優先度への変換アルゴリズムは、被疑閾値対応のレベルをそのままＱｏＳ優先度の値としてもよい。また、２次検知ノード２０を経由せず、１次検知ノード１０と各遮断ノード３０（３０Ａ，３０Ｂ）との間で、信頼度レベルを直接受け渡し、信頼度レベルを遮断ノード３０のＱｏＳレベルにマッピングしてもよい。

〈第１３の変形例〉
図１及び図２に示す攻撃検知・防御システムＳＹＳにおいて、１次検知ノード１０、２次検知ノード２０、及び遮断ノード３０の各機能は、その一部または全てが同一ノード内に同居していてもよい（図１５参照）。また、１次検知ノード１０の機能は、サーバ４０が持ってもよい（図１６参照）。これにより、少ないノードの台数で上記と同等の各機能を実現できる。

〈他の変形例〉
（１）攻撃被疑及び攻撃確定の検知は、上述したように受信フレーム数によるものでなく、例えばサーバからの送信フレームの数に基づいてもよい。
（２）端末情報データベース２１において、信頼度情報と対応付けられるのは、ＩＰアドレス以外のアドレス情報であってもよい。

［実施の形態の効果］
（１）攻撃被疑の時点で検知行動を開始し、端末やサーバ情報に基づき遮断判定を行うことで、不特定多数に向けた攻撃行動などのＤｏＳ攻撃をより高い精度で検知し防止することが可能となる。
（２）また、攻撃確定と判定する閾値よりも早く、攻撃判定の初動措置が始まるので、より早期の攻撃の遮断が可能となる。これは、ノード間でメッセージをやり取りする形態において、通信時間のタイムラグによる攻撃の漏れを減らす効果がある。また、ノード内でメッセージをやり取りする形態においても、同様の効果が期待できる。
（３）更に、攻撃によっては、攻撃タイミングのずれが発生することがあり、単一の攻撃確定閾値では検知しきれなかった攻撃の立ち上がりトラフィックについても検知できる。（４）更に、ネットワークシステムのウィルス機能、トポロジ管理サーバ、端末、サーバとの連携により、より早期にかつ容易にユーザに対して警告でき、セキュリティ対処が早期に行える。
（５）更に、ＱｏＳとの連携により、攻撃によるネットワークシステムのリソースの枯渇を防ぐことができる。

［変形例］
上述した一実施の形態における処理はコンピュータで実行可能なプログラムとして提供
され、ＣＤ−ＲＯＭやフレキシブルディスクなどの記録媒体、さらには通信回線を経て提供可能である。

また、上述した一実施の形態における各処理はその任意の複数または全てを選択し組合せて実施することもできる。

［その他］
（付記１）サービス妨害攻撃を検知して対応フローを遮断する攻撃検知・防御装置であって；
前記攻撃を検知するために互いにレベルの異なる、少なくとも１つの攻撃被疑閾値と攻撃確定閾値とを保持する保持手段と；
前記攻撃検知対象のフローにおけるフレーム数が前記攻撃被疑閾値を超えたときに攻撃被疑状態を検知し、前記フレーム数が前記攻撃確定閾値を超えたときに攻撃確定状態を検知する検知手段と；
前記攻撃被疑状態が検知されたとき、対応フローの情報とともに前記攻撃被疑状態を通知する通知手段と；
前記攻撃被疑状態が通知されたとき、前記フレームの送信元端末及び前記フローの少なくとも一方の信頼度に基づいて、そのフローを遮断するか否かを決定する判定手段と；
前記攻撃確定状態が検知されたとき、対応フローの情報通知とともに遮断依頼を行う依頼手段と；
を備える攻撃検知・防御装置。（１）
（付記２）前記遮断決定及び前記遮断依頼のいずれかに基づいて、対応フローを遮断する遮断手段
を更に備える付記１記載の攻撃検知・防御装置。（２）
（付記３）予め定めた時間において特定パターンに合致する前記フレームの数を計数する計数手段
を更に備える付記１記載の攻撃検知・防御装置。

（付記４）前記フレームの送信元端末のアドレス情報と前記信頼度とを対応付けた記憶手段を更に備え；
前記判定手段は、前記攻撃被疑状態が前記フローの情報とともに通知されたとき、このフローの情報を参照して前記記憶手段を検索し、前記フレームの送信元端末及び前記フローの少なくとも一方の信頼度に基づいて、そのフローを遮断するか否かを決定する
付記１記載の攻撃検知・防御装置。

（付記５）なりすましが比較的容易な固定アドレスの前記送信元端末を前記攻撃被疑状態の時点で遮断可能とするために、前記アドレス情報として動的アドレス及び固定アドレスを識別するための情報が前記信頼度に対応付けられている
付記４記載の攻撃検知・防御装置。

（付記６）なりすましが比較的容易な非認証アドレスの前記送信元端末を前記攻撃被疑状態の時点で遮断可能とするために、前記アドレス情報が認証済か否かが前記信頼度に対応付けられている
付記４記載の攻撃検知・防御装置。

（付記７）攻撃者による乗っ取りまたはウィルス感染の発生確率が高い前記送信元端末を前記攻撃被疑状態の時点で遮断可能とするために、前記記憶手段において、前記送信元端末へのセキュリティパッチの適用状況及びウィルス感染状況の少なくとも一方が前記信頼度に対応付けられている
付記４記載の攻撃検知・防御装置。

（付記８）前記攻撃被疑状態の時点で遮断可能とするために、前記記憶手段において、前記送信元端末の使用者情報が前記信頼度に対応付けられている
付記４記載の攻撃検知・防御装置。

（付記９）前記フローに属する前記フレーム数の増減の度合いを加速度値として検知する第２の検知手段を更に備え；
前記保持手段は、前記加速度値と比較される互いにレベルの異なる、第２の攻撃被疑閾値及び第２の攻撃確定閾値を保持し；
前記検知手段は、前記攻撃検知対象のフローにおける前記加速度値が前記第２の攻撃被疑閾値を超えたときに攻撃被疑状態を検知し、前記加速度値が前記第２の攻撃確定閾値を超えたときに攻撃確定状態を検知する
付記１記載の攻撃検知・防御装置。（３）
（付記１０）前記判定手段は、前記攻撃被疑状態が通知されたとき、同一フローに関する通知回数に基づいて、そのフローを遮断するか否かを決定する
付記１記載の攻撃検知・防御装置。

（付記１１）前記保持手段に互いにレベルの異なる複数の攻撃被疑閾値がそれぞれの信頼度を示す情報とともに保持され；
前記検知手段は、前記フレーム数が前記攻撃被疑閾値のいずれかを超えたときに攻撃被疑状態を検知し；
前記通知手段は、前記攻撃被疑状態が検知されたとき、対応の信頼度を示す情報とともに前記攻撃被疑状態を通知し；
前記判定手段は、前記攻撃被疑状態が前記信頼度を示す情報とともに通知されたとき、前記通知された信頼度を示す情報に基づいて、対応のフローを遮断するか否かを決定する；
付記１記載の攻撃検知・防御装置。（４）
（付記１２）前記判定手段は、前記攻撃被疑状態が前記信頼度を示す情報とともに通知されたとき、前記フレームの送信元端末の信頼度及び前記通知された信頼度を示す情報の双方を加味した加算信頼度に基づいて、対応のフローを遮断するか否かを決定する；
付記１１記載の攻撃検知・防御装置。

（付記１３）前記判定手段が前記対応のフローを遮断しないことを決定したとき、前記通知された信頼度を示す情報に応じてそのフローのＱｏＳ制御レベルを決定するＱｏＳ判定手段
を更に備える付記１１記載の攻撃検知・防御装置。（５）
（付記１４）前記判定手段が前記対応のフローを遮断しないことを決定したとき、前記加算信頼度に応じてそのフローのＱｏＳ制御レベルを決定するＱｏＳ判定手段
を更に備える付記１２記載の攻撃検知・防御装置。

（付記１５）サービス妨害攻撃を検知して対応フローを遮断する攻撃検知・防御方法であって；
前記攻撃を検知するために互いにレベルの異なる、少なくとも１つの攻撃被疑閾値と攻撃確定閾値とを保持し；
前記攻撃検知対象のフローにおけるフレーム数が前記攻撃被疑閾値を超えたときに攻撃被疑状態を検知し、前記フレーム数が前記攻撃確定閾値を超えたときに攻撃確定状態を検知し；
前記攻撃被疑状態が検知されたとき、対応フローの情報とともに前記攻撃被疑状態を通知し；
前記攻撃被疑状態が通知されたとき、前記フレームの送信元端末及び前記フローの少な
くとも一方の信頼度に基づいて、そのフローを遮断するか否かを決定し；
前記攻撃確定状態が検知されたとき、対応フローの情報通知とともに遮断依頼を行う
攻撃検知・防御方法。

（付記１６）前記遮断決定及び前記遮断依頼のいずれかに基づいて、対応フローを遮断する
付記１５記載の攻撃検知・防御方法。

（付記１７）前記フローに属する前記フレーム数の増減の度合いを加速度値として検知し；
前記加速度値と比較される互いにレベルの異なる、第２の攻撃被疑閾値及び第２の攻撃確定閾値を保持し；
前記攻撃検知対象のフローにおける前記加速度値が前記第２の攻撃被疑閾値を超えたときに攻撃被疑状態を検知し、前記加速度値が前記第２の攻撃確定閾値を超えたときに攻撃確定状態を検知する
付記１５記載の攻撃検知・防御方法。

（付記１８）互いにレベルの異なる複数の攻撃被疑閾値をそれぞれの信頼度を示す情報とともに保持し；
前記フレーム数が前記攻撃被疑閾値のいずれかを超えたときに攻撃被疑状態を検知し；
前記攻撃被疑状態が検知されたとき、対応の信頼度を示す情報とともに前記攻撃被疑状態を通知し；
前記攻撃被疑状態が前記信頼度を示す情報とともに通知されたとき、前記通知された信頼度を示す情報に基づいて、対応のフローを遮断するか否かを決定する
付記１５記載の攻撃検知・防御方法。

（付記１９）前記対応のフローを遮断しないことを決定したとき、前記通知された信頼度を示す情報に応じてそのフローのＱｏＳ制御レベルを決定する
付記１８記載の攻撃検知・防御方法。

本発明の一実施の形態の攻撃検知・防御システムの基本構成を示すブロック図。 本発明の一実施の形態の攻撃検知・防御システムの具体的構成を示すブロック図。 ＳＹＮ Ｆｌｏｏｄ攻撃を説明するための図。 攻撃検知及び攻撃防御の動作手順を説明するための図。 攻撃元端末の遮断設定を説明するための図。 攻撃元端末の遮断設定を説明するための図。 検疫ネットワークとの連携を説明するための図。 端末情報データベースの変形例を説明するための図。 端末情報データベースの変形例を説明するための図。 端末情報データベースの変形例を説明するための図。 １次検知ノードの変形例を説明するための図。 ２次検知ノードの変形例を説明するための図。 複数の攻撃被疑閾値を設定した変形例を説明するための図。 ２次検知ノードの変形例を説明するための図。 各ノードの変形例を説明するための図。 １次検知ノードの変形例を説明するための図。

符号の説明

ＳＹＳ 攻撃検知・防御システム
１０ １次検知ノード
１１ フレーム数カウンタ
１２ 閾値保持部
１３ 攻撃検知部
１４ 被疑通知部
１５ 遮断依頼部
２０ ２次検知ノード
２１ 端末情報データベース
２２ 遮断判定部
２３ 遮断依頼部
３０ 遮断ノード
３１ フィルタ
４０ サーバ

Claims (7)

1. サービス妨害攻撃を検知するために互いにレベルの異なる、少なくとも１つの攻撃被疑閾値と攻撃確定閾値とを保持する保持手段と；
   前記サービス妨害攻撃の検知対象であるフローにおけるフレーム数が前記攻撃被疑閾値を超えたときに攻撃被疑状態を検知し、前記フレーム数が前記攻撃確定閾値を超えたときに攻撃確定状態を検知する検知手段と；
   前記攻撃被疑状態が検知されたとき、検知されたフローの情報とともに前記攻撃被疑状態を通知する通知手段と；
   前記攻撃被疑状態が通知されたとき、前記フレームの送信元端末及び前記検知されたフローの少なくとも一方の信頼度に基づいて、前記検知されたフローを遮断するか否かを決定する判定手段と；
   前記攻撃確定状態が検知されたとき、前記検知されたフローの情報通知とともに遮断依頼を行う依頼手段と；
   を備える攻撃検知・防御装置。
2. 前記検知されたフローを遮断する決定または前記遮断依頼に基づいて、前記検知されたフローを遮断する遮断手段
   を更に備える請求項１記載の攻撃検知・防御装置。
3. 前記サービス妨害攻撃の検知対象であるフローに属する前記フレーム数の増減の度合いを加速度値として検知する第２の検知手段を更に備え；
   前記保持手段は、前記加速度値と比較される互いにレベルの異なる、第２の攻撃被疑閾値及び第２の攻撃確定閾値を保持し；
   前記第２の検知手段は、前記検知対象のフローにおける前記加速度値が前記第２の攻撃被疑閾値を超えたときに攻撃被疑状態を検知し、前記加速度値が前記第２の攻撃確定閾値を超えたときに攻撃確定状態を検知する
   請求項１記載の攻撃検知・防御装置。
4. 前記保持手段に互いにレベルの異なる複数の攻撃被疑閾値がそれぞれの信頼度を示す情報
   とともに保持され；
   前記検知手段は、前記フレーム数が前記攻撃被疑閾値のいずれかを超えたときに攻撃被疑状態を検知し；
   前記通知手段は、前記攻撃被疑状態が検知されたとき、対応の信頼度を示す情報とともに前記攻撃被疑状態を通知し；
   前記判定手段は、前記攻撃被疑状態が前記信頼度を示す情報とともに通知されたとき、前記通知された信頼度を示す情報に基づいて、前記検知されたフローを遮断するか否かを決定する；
   請求項１記載の攻撃検知・防御装置。
5. 前記判定手段が前記検知されたフローを遮断しないことを決定したとき、前記通知された信頼度を示す情報に応じて前記検知されたフローのＱｏＳ制御レベルを決定するＱｏＳ判定手段
   を更に備える請求項４記載の攻撃検知・防御装置。
6. サービス妨害攻撃を検知するために互いにレベルの異なる、少なくとも１つの攻撃被疑閾値と攻撃確定閾値とを保持する保持手段と；
   前記サービス妨害攻撃の検知対象であるフローにおけるフレーム数が前記攻撃被疑閾値を超えたときに攻撃被疑状態を検知し、前記フレーム数が前記攻撃確定閾値を超えたときに攻撃確定状態を検知する検知手段と；
   前記攻撃被疑状態が検知されたとき、検知されたフローの情報とともに前記攻撃被疑状態を通知する通知手段と；
   前記攻撃被疑状態が通知されたとき、前記フレームの送信元端末及び前記検知されたフローの少なくとも一方の信頼度に基づいて、前記検知されたフローを遮断するか否かを決定する判定手段と；
   前記攻撃確定状態が検知されたとき、前記検知されたフローの情報通知とともに遮断依頼を行う依頼手段と；
   して攻撃検知・防御装置を機能させるプログラム。
7. サービス妨害攻撃を検知するために互いにレベルの異なる、少なくとも１つの攻撃被疑閾値と攻撃確定閾値とを保持し；
   前記サービス妨害攻撃の検知対象であるフローにおけるフレーム数が前記攻撃被疑閾値を超えたときに攻撃被疑状態を検知し、前記フレーム数が前記攻撃確定閾値を超えたときに攻撃確定状態を検知し；
   前記攻撃被疑状態が検知されたとき、検知されたフローの情報とともに前記攻撃被疑状態を通知し；
   前記攻撃被疑状態が通知されたとき、前記フレームの送信元端末及び前記検知されたフローの少なくとも一方の信頼度に基づいて、前記検知されたフローを遮断するか否かを決定し；
   前記攻撃確定状態が検知されたとき、前記検知されたフローの情報通知とともに遮断依頼を行う；
   ことを攻撃検知・防御装置が実行する方法。

Images