JP6629174B2 - 通信監視装置、通信監視方法及び通信監視プログラム - Google Patents

Description

本発明は、大量通信による攻撃を検知する通信監視装置、通信監視方法及び通信監視プログラムに関する。

従来、複数の端末から大量の通信パケットを送信してサービスを妨害するＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃が課題となっている。このような攻撃を検知し対処するためには、ネットワーク上のルータ等に監視装置を設置し、通信量が著しく大きい場合に攻撃と判定して、問題の原因となっている通信を廃棄するという方法が取られる。

このような監視装置は、ＩＰパケットのヘッダ情報であるＮｅｔＦｌｏｗ又はｓＦｌｏｗと呼ばれるフロー情報を監視して、攻撃を判定している（例えば、非特許文献１及び２参照）。
また、攻撃の検知には、以下の判定条件が利用されている。
（条件１）通信量が予め決められた閾値を上回る。
（条件２）通信量が過去の水準を上回る。
（条件３）通信に含まれるプロトコルに異常が見られる。
（条件４）パケットのペイロードを分析した結果、アプリケーションレイヤに異常がある。
（条件５）ダークＩＰと呼ばれる未使用のＩＰアドレスが送信元になっている。
（条件６）ウィルス等が悪用していると考えられる所定のＩＰアドレスが送信元になっている。

Ａｒｂｏｒ Ｎｅｔｗｏｒｋｓ社、Ａｒｂｏｒ ＳＰ、インターネット＜https://www.arbornetworks.com/images/documents/Data%20Sheets/DS_SP_EN.pdf＞ ＧｅｎｉｅＮｅｔｗｏｒｋｓ社、ＧｅｎｉｅＡＴＭ、インターネット＜http://www.genie-networks.com/images/Download_Files/GenieATM_ServiceWhitepaper_v5.6_ENG.pdf＞

ネットワーク運用の観点では、大量通信が不正に実施されたか否かという観点での検知精度が求められず、運用に影響を及ぼす又は障害につながる可能性が高いか否かという観点での検知精度が求められる。しかしながら、従来の攻撃検知方法では、不正に発生させた通信か否かという観点に基づいて攻撃検知を行っているため、ネットワーク運用の観点から検知する必要がない攻撃を検知してしまったり、検知すべき攻撃を見逃してしまったりする場合があり、実被害又は実影響に基づいた高い検知精度を得られなかった。

本発明は、ネットワーク設備に影響を与える可能性が高い攻撃を高精度に検知できる通信監視装置、通信監視方法及び通信監視プログラムを提供することを目的とする。

本発明に係る通信監視装置は、通信パケットの情報に基づいて測定した宛先アドレス毎の通信量に基づいて、大量通信による被害ホスト候補を検知する検知部と、監視対象のネットワークから選定された対象ルータに対して、定期的にエコー要求を行い、通常の応答を得られない障害ルータを特定する状態推定部と、前記障害ルータが前記被害ホスト候補の上位のルータである場合、前記被害ホスト候補に対する前記通信パケットを障害の原因と判定する判定部と、を備える。

前記通信監視装置は、監視対象のネットワークから通信経路を抽出し、ルータのトポロジを導出する構成推定部を備え、前記状態推定部は、前記トポロジに基づいて、前記対象ルータを選定し、前記判定部は、前記トポロジに基づいて、前記障害ルータが前記被害ホスト候補の上位のルータであることを判定してもよい。

前記検知部は、前記通信パケットのフロー情報に基づいて、宛先アドレス毎の通信量を測定してもよい。

本発明に係る通信監視方法は、通信パケットの情報に基づいて測定した宛先アドレス毎の通信量に基づいて、大量通信による被害ホスト候補を検知する検知ステップと、監視対象のネットワークから選定された対象ルータに対して、定期的にエコー要求を行い、通常の応答を得られない障害ルータを特定する状態推定ステップと、前記障害ルータが前記被害ホスト候補の上位のルータである場合、前記被害ホスト候補に対する前記通信パケットを障害の原因と判定する判定ステップと、をコンピュータが実行する。

本発明に係る通信監視プログラムは、通信パケットの情報に基づいて測定した宛先アドレス毎の通信量に基づいて、大量通信による被害ホスト候補を検知する検知ステップと、監視対象のネットワークから選定された対象ルータに対して、定期的にエコー要求を行い、通常の応答を得られない障害ルータを特定する状態推定ステップと、前記障害ルータが前記被害ホスト候補の上位のルータである場合、前記被害ホスト候補に対する前記通信パケットを障害の原因と判定する判定ステップと、をコンピュータに実行させる。

本発明によれば、ネットワーク設備に影響を与える可能性が高い攻撃を高精度に検知できる。

実施形態に係る通信監視装置の機能構成を示す図である。 実施形態に係る被害ホスト候補と障害ルータとの関係を示す図である。 本実施形態に係るネットワーク構成推定処理を示すフローチャートである。 実施形態に係るネットワーク状態推定処理を示すフローチャートである。 実施形態に係る通信監視処理を示すフローチャートである。

以下、本発明の実施形態の一例について説明する。
図１は、本実施形態に係る通信監視装置１の機能構成を示す図である。
通信監視装置１は、主にネットワーク内の上位階層のルータ（コアルータ）に配置される。通信監視装置１は、大量通信による被害ホスト候補を検知すると共に、この被害ホスト候補を宛先とする通信のうち、実被害のある又は実影響の大きい通信を判定し評価情報を出力する。

通信監視装置１は、サーバ装置又はパーソナルコンピュータ等の情報処理装置（コンピュータ）であり、制御部１０及び記憶部２０の他、各種データの入出力デバイス又は通信デバイス等を備える。

制御部１０は、通信監視装置１の全体を制御する部分であり、記憶部２０に記憶された各種プログラムを適宜読み出して実行することにより、本実施形態における各種機能を実現している。制御部１０は、ＣＰＵであってよい。

記憶部２０は、ハードウェア群を通信監視装置１として機能させるための各種プログラム、及び各種データ等の記憶領域であり、ＲＯＭ、ＲＡＭ、フラッシュメモリ又はハードディスク（ＨＤＤ）等であってよい。具体的には、記憶部２０は、本実施形態の各機能を制御部１０に実行させる通信監視プログラムを記憶する。

制御部１０は、検知部１１と、構成推定部１２と、状態推定部１３と、判定部１４とを備える。また、記憶部２０は、ネットワーク構成データベース（ＤＢ）２１と、ネットワーク状態データベース（ＤＢ）２２とを備える。

検知部１１は、通信パケット、又は通信パケットのフロー情報に基づいて宛先ＩＰアドレス毎の通信量を測定し、測定した宛先アドレス毎の通信量に基づいて、大量通信を受け取っている可能性が高い被害ホスト候補を検知し、判定部１４へ通知する。
検知部１１は、検知した被害ホスト候補を所定のデータベースに登録又は更新し、判定部１４に参照させてもよい。

構成推定部１２は、保護すべき監視対象のネットワークのＩＰアドレス群に対して、ｔｒａｃｅｒｏｕｔｅ等のネットワーク診断を実施し、ルータのパス（通信経路）を抽出することにより、このネットワーク全体のルータのトポロジを導出する。
このトポロジは、ネットワーク内の複数のルータの接続関係と、それぞれのルータに対する配下のＩＰアドレス群とを含む情報である。トポロジは、ネットワーク構成データベース２１に格納され、状態推定部１３及び判定部１４により利用される。

状態推定部１３は、推定されたトポロジに基づいて、監視対象のネットワークから選定された主要な対象ルータに対して、定期的にＩＣＭＰ（Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｏｌ）のエコー要求を行い、通常の応答を得られない障害ルータを特定する。エコー要求による検診結果は、ネットワーク状態データベース２２に格納され、例えば、応答までの時間が長くなった、又は応答頻度が低下したルータは、障害が発生していると推定される。特定された障害ルータは、判定部１４に直接、又はネットワーク状態データベース２２を介して通知される。

判定部１４は、推定されたトポロジに基づいて、障害ルータの下位のＩＰアドレスを参照し、これら下位のＩＰアドレスに被害ホスト候補のＩＰアドレスが含まれるか否かを判定する。あるいは、判定部１４は、推定されたトポロジに基づいて、被害ホスト候補の上位のルータを参照し、これら上位のルータに障害ルータが含まれるか否かを判定する。障害ルータが被害ホスト候補の上位のルータである場合、判定部１４は、被害ホスト候補に対する通信パケットを障害の原因と判定し、フロー情報を出力する。

図２は、本実施形態に係る被害ホスト候補と障害ルータとの関係を示す図である。
計測された通信量に基づいて大量通信の被害ホスト候補として検知されたホストＨには、推定されたトポロジから、上位にルータＡ、Ｂ、Ｃが通信経路として存在することが確認される。
このとき、通信経路上のルータ、例えばルータＢが障害ルータとして特定されている場合、同時期に検知された大量通信がこの障害の原因である可能性が高いと判定される。

図３は、本実施形態に係る通信監視装置１によるネットワーク構成推定処理を示すフローチャートである。
本処理は、定期的に、又はネットワーク設備の変更があったとき等の所定のタイミングで実行される。

ステップＳ１において、制御部１０（構成推定部１２）は、監視対象のネットワーク内のＩＰアドレス群に対して、ｔｒａｃｅｒｏｕｔｅ等のネットワーク診断を実施し、ルータのパスを取得する。

ステップＳ２において、制御部１０（構成推定部１２）は、ステップＳ１で取得したルータのパスから、ネットワーク全体のトポロジを導出する。
ステップＳ３において、制御部１０（構成推定部１２）は、ステップＳ２で導出したトポロジを、ネットワーク構成データベース２１に格納する。

図４は、本実施形態に係る通信監視装置１によるネットワーク状態推定処理を示すフローチャートである。
本処理は、定期的に繰り返し実行される。

ステップＳ１１において、制御部１０（状態推定部１３）は、ネットワーク構成データベース２１から監視対象のネットワークのトポロジを読み込む。

ステップＳ１２において、制御部１０（状態推定部１３）は、ステップＳ１１で読み込んだトポロジから、所定の規則に従って主要なルータを選択する。例えば、上位階層のルータ、又は配下のＩＰアドレスの数が多いルータが優先的に選択されてもよい。

ステップＳ１３において、制御部１０（状態推定部１３）は、ステップＳ１２で選択したルータに対して、ＩＣＭＰのエコー要求を行う。

ステップＳ１４において、制御部１０（状態推定部１３）は、ステップＳ１３の検診結果としてエコー応答の状況（応答の有無、応答までの時間等）を、ネットワーク状態データベース２２に格納する。

ステップＳ１５において、制御部１０（状態推定部１３）は、選択すべきルータが他にあるか否かを判定する。この判定がＹＥＳの場合、処理はステップＳ１２に移り、判定がＮＯの場合、処理は終了する。

図５は、本実施形態に係る通信監視装置１による通信監視処理を示すフローチャートである。
本処理は、通信の監視を実施している間、繰り返し実行される。
なお、本処理に先立って、構成推定部１２により監視対象のネットワークのトポロジが導出され、ネットワーク構成データベース２１に格納されているものとする。

ステップＳ２１において、制御部１０（判定部１４）は、検知部１１により測定された宛先アドレス毎の通信量に基づいて、大量通信を受け取っている可能性が高い被害ホスト候補が検知されたか否かを判定する。この判定がＹＥＳの場合、処理はステップＳ２２に移り、判定がＮＯの場合、処理は終了する。

ステップＳ２２において、制御部１０（判定部１４）は、ネットワーク状態データベース２２を参照し、又は状態推定部１３からの通知に基づいて、状態推定部１３により障害ルータが検知されているか否かを判定する。この判定がＹＥＳの場合、処理はステップＳ２３に移り、判定がＮＯの場合、処理は終了する。

ステップＳ２３において、制御部１０（判定部１４）は、ネットワーク構成データベース２１から監視対象のネットワークのトポロジを読み込む。

ステップＳ２４において、制御部１０（判定部１４）は、ステップＳ２３で読み込んだトポロジを参照し、被害ホスト候補の上位に障害ルータがあるか否かを判定する。この判定がＹＥＳの場合、処理はステップＳ２５に移り、判定がＮＯの場合、処理は終了する。

ステップＳ２５において、制御部１０（判定部１４）は、被害ホスト候補を宛先とする通信パケットを障害の原因と判定し、この通信パケットの情報、例えばフロー情報を出力する。

本実施形態によれば、通信監視装置１は、エコー要求に対する応答の状況からネットワーク内の障害ルータを特定し、この障害ルータの配下に大量通信による被害ホスト候補が存在する場合、この被害ホスト候補を宛先とする通信パケットを障害の原因と判定する。
したがって、通信監視装置１は、ルータに障害が発生した同時期に、このルータの配下を宛先とする大量通信が発生していることを検知でき、実際の宛先とは異なるネットワーク設備（ルータ）に影響を与える可能性が高い大量通信による攻撃を高精度に検知できる。

通信監視装置１は、ネットワーク診断によりルータのトポロジを導出するので、監視対象のネットワークの構成が不明な場合であっても、トポロジを推定し、ネットワーク設備に影響を与える可能性が高い攻撃を高精度に検知できる。

通信監視装置１は、通信パケットをサンプリングしたフロー情報を用いることにより、大規模なネットワークにおいて大量に観測される通信パケットを効率的に処理し、処理負荷を低減できる。

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、本実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本実施形態に記載されたものに限定されるものではない。

通信監視装置１による通信監視方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ−ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。

１ 通信監視装置
１０ 制御部
１１ 検知部
１２ 構成推定部
１３ 状態推定部
１４ 判定部
２０ 記憶部
２１ ネットワーク構成データベース
２２ ネットワーク状態データベース

Claims (5)

1. 通信パケットの情報に基づいて測定した宛先アドレス毎の通信量に基づいて、大量通信による被害ホスト候補を検知する検知部と、
   監視対象のネットワークから選定された対象ルータに対して、定期的にエコー要求を行い、通常の応答を得られない障害ルータを特定する状態推定部と、
   前記障害ルータが前記被害ホスト候補の上位のルータである場合、前記被害ホスト候補に対する前記通信パケットを障害の原因と判定する判定部と、を備える通信監視装置。
2. 監視対象のネットワークから通信経路を抽出し、ルータのトポロジを導出する構成推定部を備え、
   前記状態推定部は、前記トポロジに基づいて、前記対象ルータを選定し、
   前記判定部は、前記トポロジに基づいて、前記障害ルータが前記被害ホスト候補の上位のルータであることを判定する請求項１に記載の通信監視装置。
3. 前記検知部は、前記通信パケットのフロー情報に基づいて、宛先アドレス毎の通信量を測定する請求項１又は請求項２に記載の通信監視装置。
4. 通信パケットの情報に基づいて測定した宛先アドレス毎の通信量に基づいて、大量通信による被害ホスト候補を検知する検知ステップと、
   監視対象のネットワークから選定された対象ルータに対して、定期的にエコー要求を行い、通常の応答を得られない障害ルータを特定する状態推定ステップと、
   前記障害ルータが前記被害ホスト候補の上位のルータである場合、前記被害ホスト候補に対する前記通信パケットを障害の原因と判定する判定ステップと、をコンピュータが実行する通信監視方法。
5. 通信パケットの情報に基づいて測定した宛先アドレス毎の通信量に基づいて、大量通信による被害ホスト候補を検知する検知ステップと、
   監視対象のネットワークから選定された対象ルータに対して、定期的にエコー要求を行い、通常の応答を得られない障害ルータを特定する状態推定ステップと、
   前記障害ルータが前記被害ホスト候補の上位のルータである場合、前記被害ホスト候補に対する前記通信パケットを障害の原因と判定する判定ステップと、をコンピュータに実行させるための通信監視プログラム。

Images