JP6740264B2

JP6740264B2 - 監視システム、監視方法及び監視プログラム

Info

Publication number: JP6740264B2
Application number: JP2018023363A
Authority: JP
Inventors: 弘倉上
Original assignee: Nippon Telegraph and Telephone Corp; NTT Inc USA
Current assignee: NTT Inc; NTT Inc USA
Priority date: 2018-02-13
Filing date: 2018-02-13
Publication date: 2020-08-12
Anticipated expiration: 2038-02-13
Also published as: JP2019140573A; US20200351304A1; WO2019159989A1

Description

本発明は、監視システム、監視方法及び監視プログラムに関する。

近年、ＩＰネットワークにおいて、ＤＤｏＳ（Distributed Denial of Service）攻撃に代表されるネットワークへの攻撃が大規模、巧妙化しており、ネットワーク監視の重要性が増している。

ＤＤｏＳ攻撃を検出する技術として、ＮｅｔＦｌｏｗ、ｓＦｌｏｗ、ＩＰＦＩＸ（Internet Protocol Flow Information Export）等のネットワーク機器が出力するフロー情報やパケットを用いて攻撃先ＩＰアドレス宛のトラフィックを監視し、検出を行うものが知られている。

例えば、宛先ＩＰアドレスごと、かつＴＣＰＳＹＮ等の攻撃タイプごとにトラフィックを監視し、トラフィック量に基づいて攻撃を判断するＤＤｏＳ攻撃検出システムが知られている。また、フロー情報に基づいて宛先ＩＰアドレスごとにトラフィックを監視してＤＤｏＳ攻撃を検出する装置が知られている（例えば、特許文献１を参照）。

特開２００９−０８９２４１号公報

しかしながら、従来の技術には、ＤＤｏＳ攻撃を精度良く検出することができない場合があるという問題がある。例えば、従来の技術では、リフレクション型ＤＤｏＳ攻撃によるトラフィックの集中と、正規のトラフィックの集中とを区別することが困難な場合がある。そのような場合、ＤＤｏＳ攻撃を見逃してしまうこと、又は正規のトラフィックをＤＤｏＳ攻撃によるものであると判断してしまうこと等により、検出精度が低下することが考えられる。

上述した課題を解決し、目的を達成するために、本発明の監視システムは、ネットワークのトラフィックを監視する監視部と、インターネットで使用されていないアドレスに対して送信されてきた第１のパケットに関する情報である第１の情報、及び、おとりとして設定された特定の宛先に対して送信されてきた第２のパケットに関する情報である第２の情報のうち、少なくとも一方を収集する収集部と、前記監視部によって監視されたトラフィックの情報及び前記収集部によって収集された情報を基に、攻撃が発生しているか否かを判定する判定部と、を有することを特徴とする。

本発明によれば、ＤＤｏＳ攻撃を精度良く検出することができる。

図１は、第１の実施形態に係る監視システムの構成の一例を示す図である。図２は、第１の実施形態に係る監視装置の構成の一例を示す図である。図３は、第１の実施形態に係る攻撃情報のデータ構成の一例を示す図である。図４は、第１の実施形態に係る監視装置の収集処理の流れを示すフローチャートである。図５は、第１の実施形態に係る監視装置の収集処理の流れを示すフローチャートである。図６は、第１の実施形態に係る監視装置の判定処理の流れを示すフローチャートである。図７は、監視プログラムを実行するコンピュータの一例を示す図である。

以下に、本願に係る監視システム、監視方法及び監視プログラムの実施形態を図面に基づいて詳細に説明する。なお、本発明は、以下に説明する実施形態により限定されるものではない。

［第１の実施形態の構成］
まず、図１を用いて、第１の実施形態に係る監視システムの構成について説明する。図１は、第１の実施形態に係る監視システムの構成の一例を示す図である。図１に示すように、監視システム１は、監視装置１０、ルータ２１、２２及び２３を有する。

ルータ２１は、インターネット２と接続されている。また、ルータ２２及び２３は、ユーザネットワーク３と接続されている。また、ユーザネットワーク３には、１０．０．０．０／２４で示されるＩＰアドレスが割り当てられている。

ルータ２１は、インターネット２から受信したパケットをルータ２２又は２３に転送する。また、ルータ２２及び２３は、ルータ２１から受信したパケットを、ユーザネットワーク３の所定のＩＰアドレス宛てに転送する。また、監視装置１０は、ルータ２１、ルータ２２及び２３からトラフィックに関する情報を取得する。

ここで、図２を用いて、監視装置１０の構成について説明する。図２は、第１の実施形態に係る監視装置の構成の一例を示す図である。図２に示すように、監視装置１０は、通信部１１、記憶部１２及び制御部１３を有する。

通信部１１は、ネットワークを介して、他の装置との間でデータ通信を行う。例えば、通信部１１はＮＩＣ（Network Interface Card）である。通信部１１は、ルータ２１、２２及び２３との間でデータ通信を行う。

記憶部１２は、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、光ディスク等の記憶装置である。なお、記憶部１２は、ＲＡＭ（Random Access Memory）、フラッシュメモリ、ＮＶＳＲＡＭ（Non Volatile Static Random Access Memory）等のデータを書き換え可能な半導体メモリであってもよい。記憶部１２は、監視装置１０で実行されるＯＳ（Operating System）や各種プログラムを記憶する。さらに、記憶部１２は、プログラムの実行で用いられる各種情報を記憶する。また、記憶部１２は、攻撃情報１２５を記憶する。

制御部１３は、監視装置１０全体を制御する。制御部１３は、例えば、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）等の電子回路や、ＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field Programmable Gate Array）等の集積回路である。また、制御部１３は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部１３は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部１３は、監視部１３１、第１の収集部１３２、第２の収集部１３３及び判定部１３４を有する。なお、第１の収集部１３２、第２の収集部１３３は、収集部の一例である。

監視部１３１は、ネットワークのトラフィックを監視する。監視部１３１は、ルータ２１、ルータ２２及び２３からトラフィック情報を収集する。

例えば、監視部１３１は、トラフィック情報として、Ｎｅｔｆｌｏｗ、ｓＦｌｏｗ及びＩＰＦＩＸ等のフロー情報を収集することができる。また、監視部１３１は、トラフィック情報として、各ルータが受信したパケットのコピーを収集してもよい。

例えば、トラフィック情報は、トラフィックに含まれるパケットを受信したルータインタフェースごと、又はＶＬＡＮＩＤごとに各情報を時系列で並べたものである。トラフィック情報には、パケットの送信元ＩＰアドレス、宛先ＩＰアドレス、プロトコル、送信元ポート番号、宛先ポート番号、ＴＣＰフラグ、ｐｐｓ（packets per second）及びｂｐｓ（bits per second）等が含まれる。

さらに、監視部１３１は、トラフィック情報に基づいて攻撃を検出する。例えば、監視部１３１は、所定のトラフィック量がトラフィックパターンごとに設定された検出閾値を超えた場合に攻撃を検出する。例えば、監視部１３１は、ＴＣＰ／ＳＹＮパケットのトラフィック量を宛先ＩＰアドレスごとに集計し、いずれかの宛先ＩＰアドレスについてのｐｐｓが検出閾値１００００ｐｐｓを超えた場合、又は、ｂｐｓが検出閾値１０Ｍｂｐｓを超えた場合に攻撃を検出する。

監視部１３１は、攻撃を検出した場合、受信タイムスタンプ、攻撃タイプ、検出閾値、送信元ＩＰアドレス、宛先ＩＰアドレス、プロトコル、ポート番号、ＴＣＰフラグ、バイト数及びパケット数等の検出情報を、判定部１３４に提供する。

また、監視装置１０は、インターネットで使用されていないアドレスに対して送信されてきた第１のパケットに関する情報である第１の情報、及びおとりとして設定された特定の宛先に対して送信されてきた第２のパケットに関する情報である第２の情報のうち、少なくとも一方を収集する。

第１の収集部１３２は、第１の情報を収集する。第１の収集部１３２は、インターネットで使用されていないＩＰアドレスを宛先としたパケット、すなわちダークネット宛てのパケットに関する情報を収集する。これは、ダークネット宛てのパケットに、バックスキャッターパケットが含まれている可能性があるためである。

バックスキャッターパケットとは、送信元のＩＰアドレスを詐称するタイプの攻撃において、送信元のＩＰアドレスを詐称した攻撃元からパケットの返送要求を受けた攻撃先サイトが、当該詐称したＩＰアドレスに対して送信するパケットである。このとき、詐称したＩＰアドレスが実際には使用されていない場合がある。さらに、正規の通信では使用されていないＩＰアドレスに対してパケットが送信されることは少ないと考えられるため、ダークネット宛てのパケットには、バックスキャッターパケットが含まれている可能性があると考えられる。

また、監視装置１０は、インターネットで使用されていないＩＰアドレスの宛先を監視装置１０宛てであるようにルーティングプロトコルで経路広告しておくことで、ダークネット宛てのパケットを受信することができる。

さらに、第１の収集部１３２は、ダークネット宛てのパケットから、バックスキャッターパケットを抽出する。例えば、第１の収集部１３２は、送信元ＩＰアドレスを詐称したＴＣＰＳＹＮ攻撃へのバックスキャッターパケットとしてＳＹＮ／ＡＣＫパケットを抽出する。また、例えば、第１の収集部１３２は、ＴＣＰ攻撃パケットにおけるバックスキャッターパケットとしてＲＳＴ／ＡＣＫパケットを抽出する。また、例えば、第１の収集部１３２は、サービス外ポートへのスキャンに対するバックスキャッターパケットとしてＩＣＭＰ Port Unreachableパケットを抽出する。

また、例えば、第１の収集部１３２が、バックスキャッターパケットとしてＳＹＮ／ＡＣＫパケットを抽出した場合、当該ＳＹＮ／ＡＣＫパケットの送信元がＴＣＰＳＹＮ攻撃を受けていることがわかる。また、例えば、第１の収集部１３２が抽出したバックスキャッターパケットの送信元ＩＰアドレスが、１０．０．０．１、１０．０．０．２、１０．０．０．３のように近傍のＩＰアドレス空間に含まれるものである場合、１０．０．０．０／３０に含まれる３つのＩＰアドレスに対して攻撃が行われていることがわかる。

第１の収集部１３２は、収集したバックスキャッターパケットがＴＣＰ又はＵＤＰのパケットである場合、バックスキャッターパケットの情報として、受信タイムスタンプ、送信元ＩＰアドレス、宛先ＩＰアドレス、プロトコル、ポート番号、ＴＣＰフラグ及びバイト数等の収集情報を、判定部１３４に提供する。

また、第１の収集部１３２は、収集したバックスキャッターパケットがＩＣＭＰパケットである場合、バックスキャッターパケットの情報として、受信タイムスタンプ、送信元ＩＰアドレス、宛先ＩＰアドレス、プロトコル、タイプ、コード及びバイト数等の収集情報を、判定部１３４に提供する。

なお、第１の収集部１３２が提供する収集情報のうち、送信元ＩＰアドレスは攻撃を受けているサイトのＩＰアドレスであり、宛先ＩＰアドレスは攻撃者が詐称したＩＰアドレスである。

第２の収集部１３３は、第２の情報を収集する。第２の収集部１３３は、おとりとして機能し、おとりとして設定された特定のＩＰアドレスに対して送信されてきたパケットの情報を収集する。例えば、第２の収集部１３３は、おとり宛に送信されてきたパケットのうち、宛先のＵＤＰポート番号が１２３番であるパケットを受信する。

また、第２の収集部１３３は、おとりとして設定された特定のＩＰアドレスに対して送信されてきたパケットのうちのスキャンパケットに対して応答パケットを送信し、さらに応答パケットの送信先から送信されてきたパケットの情報を収集する。

つまり、第２の収集部１３３は、リフレクション型攻撃において一例としてＤＮＳ（Domain Name System）サーバ及びＮＰＴ（Network Time Protocol）サーバ等のリフレクターとして機能する。また、すべてのスキャンパケットに対して応答する場合、リフレクション型攻撃への加担することになる場合があるため、第２の収集部１３３は、応答パケットを送信する送信先ごとに、送信する応答パケットの数の上限を設けてもよい。

第２の収集部１３３は、応答パケットの送信先から送信されてきた指示パケットを、当該パケットの送信元ごとに集計し、集計値が一定時間内に設定された閾値以上になった場合、当該送信元がリフレクション型攻撃を受けていると判定し、受信タイムスタンプ、攻撃タイプ、閾値、送信元ＩＰアドレス、宛先ＩＰアドレス、プロトコル、ポート番号、バイト数及びパケット数等の収集情報を、判定部１３４に提供する。

なお、第２の収集部１３３は、受信した指示パケットがＮＴＰ monlistリクエストパケット等のリフレクション型攻撃で用いられるパケットである場合に、送信元が攻撃を受けていると判定してもよい。

判定部１３４は、監視部１３１によって監視されたトラフィックの情報及び第１の収集部１３２及び第２の収集部１３３のうちの少なくともいずれか一方によって収集された情報を基に、攻撃が発生しているか否かを判定する。

言い換えると、判定部１３４は、監視部１３１から提供された検出情報と、第１の収集部１３２及び第２の収集部１３３から提供された収集情報とを比較し、検出情報が示す検出結果を収集情報で裏付けることができる場合、監視部１３１による検出結果が高精度なものであったと判定する。

また、判定部１３４は、監視部１３１が高い精度で攻撃を検出したと判定した場合、収集情報と検出情報に基づく攻撃情報１２５を記憶部１２に格納する。図３は、第１の実施形態に係る攻撃情報のデータ構成の一例を示す図である。

例えば、判定部１３４は、第１の収集部１３２から提供された収集情報と監視部１３１から提供された検出情報を比較し、受信タイムスタンプが同一時間帯かつ第１の収集部１３２から提供された収集情報の送信元ＩＰアドレスが監視部１３１から提供された検出情報の宛先ＩＰアドレスと同一の情報があった場合、判定部１３４は、監視部１３１が高い精度で送信元ＩＰアドレスを詐称するタイプの攻撃を検出したと判定する。

例えば、図３に示すように、判定部１３４は、2018/1/22 4:48に発生した、送信元ＩＰアドレスが１０．０．０．１、宛先ＩＰアドレスが１０．０．０．１０１、プロトコルがＵＤＰであるトラフィックが、ＩＰアドレス詐称タイプの攻撃によるものであるとの検出結果が高精度なものであると判定した場合、当該情報を攻撃情報１２５として記憶部１２に格納する。

また、例えば、判定部１３４は、第２の収集部１３３から提供された収集情報と監視部１３１から提供された検出情報を比較し、受信タイムスタンプが同一時間帯かつ第２の収集部１３３から提供された収集情報の送信元ＩＰアドレスが監視部１３１から提供された検出情報の宛先ＩＰアドレスと同一の情報があった場合、判定部１３４は、監視部１３１が高い精度でリフレクション型攻撃を検出したと判定する。

例えば、図３に示すように、判定部１３４は、2018/1/23 2:42に発生した、送信元ＩＰアドレスが１０．０．０．３、宛先ＩＰアドレスが１０．０．０．２００、プロトコルがＵＤＰであるトラフィックが、ＤＮＳサーバを対象としたリフレクション型攻撃によるものであるとの検出結果が高精度なものであると判定した場合、当該情報を攻撃情報１２５として記憶部１２に格納する。

また、監視装置１０は、第１の収集部１３２や第２の収集部１３３では攻撃されているＩＰアドレスを複数検出できることから、第１の情報及び第２の情報のうち少なくとも一方を収集して同一ネットワークに対する複数ＩＰアドレスへの攻撃判定に利用する。また、判定部１３４は、監視部１３１によって監視されたトラフィックの量であって、第１の情報及び第２の情報が示す複数の送信元ＩＰアドレスを宛先とするトラフィックの量の合計を基に、攻撃が発生しているか否かを判定する。

ここで、ＤＤｏＳ攻撃の攻撃者は、１つのネットワークへのアクセス回線を輻輳させるため、同一ネットワーク内の１０．０．０．１、１０．０．０．２、１０．０．０．３のような複数のＩＰアドレスへアクセスを分散させる場合がある。このような場合、攻撃が発生していたとしても、宛先ＩＰアドレス単位のトラフィック量が監視部１３１で設定された検出閾値に達しないことがあり得る。

そこで、判定部１３４は、監視部１３１に、複数のＩＰアドレスのトラフィック量を集計させ、集計結果を基に閾値による検出を実行させ、その結果を基に判定を行うことができる。

［第１の実施形態の処理］
図４から６を用いて、監視装置１０による収集処理及び判定処理について説明する。例えば、第１の収集部１３２及び第２の収集部１３３による収集処理が行われ、各収集情報が提供された後に、判定部１３４による判定処理が行われる。

図４を用いて、第１の収集部１３２による収集処理について説明する。図４は、第１の実施形態に係る監視装置の収集処理の流れを示すフローチャートである。図４に示すように、まず、第１の収集部１３２は、ダークネット宛てのパケットを監視装置１０宛てであるように経路広告しておく（ステップＳ１０１）。また、第１の収集部１３２は、受信したダークネット宛てのパケットからバックスキャッターパケットを抽出する（ステップＳ１０２）。そして、第１の収集部１３２は、バックスキャッターパケットの情報を判定部１３４に提供する（ステップＳ１０３）。

図５を用いて、第２の収集部１３３による収集処理について説明する。図５は、第１の実施形態に係る監視装置の収集処理の流れを示すフローチャートである。図５に示すように、まず、第２の収集部１３３は、リフレクター探索のスキャンパケットを受信する（ステップＳ２０１）。次に、第２の収集部１３３は、受信したスキャンパケットの送信元に応答パケットを返送する（ステップＳ２０２）。そして、第２の収集部１３３は、応答パケットの送信先から送信された指示パケットを受信し、カウントする（ステップＳ２０３）。

ここで、一定時間内のカウント数が閾値を超えた場合（ステップＳ２０４、Ｙｅｓ）、第２の収集部１３３は、リフレクション型攻撃が発生していると判定し、指示パケットの情報を判定部１３４に提供する（ステップＳ２０５）。一方、一定時間内のカウント数が閾値を超えていない場合（ステップＳ２０４、Ｎｏ）、第２の収集部１３３は、ステップＳ２０３に戻り、さらにカウントを続ける。

図６を用いて、判定部１３４による判定処理について説明する。図６は、第１の実施形態に係る監視装置の判定処理の流れを示すフローチャートである。図６に示すように、判定部１３４は、監視部１３１から提供される検出情報を取得する（ステップＳ３０１）。また、判定部１３４は、第１の収集部１３２及び第２の収集部１３３から提供される収集情報を取得する（ステップＳ３０２）。そして、判定部１３４は、収集情報を基に、検出情報が高精度なものであるか否かを判定し、実際に攻撃が発生していることがいえるか否かを判定する（ステップＳ３０３）。

［第１の実施形態の効果］
監視装置１０は、ネットワークのトラフィックを監視する。また、監視装置１０は、インターネットで使用されていないアドレスに対して送信されてきた第１のパケットに関する情報である第１の情報、及びおとりとして設定された特定の宛先に対して送信されてきた第２のパケットに関する情報である第２の情報のうち、少なくとも一方を収集する。また、監視装置１０は、監視装置１０によって監視されたトラフィックの情報及び監視装置１０によって収集された情報を基に、攻撃が発生しているか否かを判定する。このように、本実施形態では、ＤＤｏＳ攻撃の発生を、トラフィックの面だけでなく、バックスキャッターパケット及びリフレクション攻撃の少なくとも一方の発生状況を考慮して判定することができる。そのため、本実施形態によれば、ＤＤｏＳ攻撃を精度良く検出することができる。

また、トラフィックのみに基づく検出では、ネットワーク内の特定のＩＰアドレスについて攻撃を検出することができない場合がある。これに対し、本実施形態によれば、バックスキャッターパケットの送信元等の特定のＩＰアドレスについての攻撃の検出精度を高めることができる。

監視装置１０は、第１のパケットとして受信した送信元ＩＰアドレスを詐称する攻撃パケットに対する応答パケットの情報を第１の情報として収集する。これにより、ＩＰアドレス詐称型攻撃を受けているサイトのＩＰアドレスを特定し、トラフィックに基づくＩＰアドレス詐称型攻撃の検出精度の高低を判定することができる。

監視装置１０は、第２のパケットとして受信したリフレクション攻撃パケットの情報を第２の情報として収集する。これにより、リフレクション型攻撃を受けているサイトのＩＰアドレスを特定し、トラフィックに基づくリフレクション型攻撃の検出精度の高低を判定することができる。

第１の収集部１３２で収集された収集情報と、監視部１３１から提供された検出情報を比較し、受信タイムスタンプが同一時間帯かつ第１の収集部１３２から提供された収集情報の送信元ＩＰアドレスが監視部１３１から提供された検出情報の宛先ＩＰアドレスと同一の情報があった場合、監視装置１０は、送信元ＩＰアドレスを詐称するタイプの攻撃を検出したと判定する。これにより、ＩＰアドレスを詐称するタイプの攻撃の検出精度を高めることができる。

第２の収集部１３３で収集された収集情報と、監視部１３１から提供された検出情報を比較し、受信タイムスタンプが同一時間帯かつ第２の収集部１３３から提供された収集情報の送信元ＩＰアドレスが監視部１３１から提供された検出情報の宛先ＩＰアドレスと同一の情報があった場合、監視装置１０は、リフレクション型攻撃を検出したと判定する。これにより、リフレクション型攻撃の検出精度を高めることができる。

監視装置１０は、異なる複数のＩＰアドレスを送信元とするパケットのそれぞれについて、第１の情報及び第２の情報のうち少なくとも一方を収集する。また、監視装置１０は、監視装置１０によって監視されたトラフィックの量であって、複数のアドレスを宛先とするトラフィックの量の合計を基に、攻撃が発生しているか否かを判定する。これにより、同一ネットワーク内の複数のＩＰアドレスにアクセスを分散させたＤＤｏＳ攻撃を検出することができる。

［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

［プログラム］
一実施形態として、監視装置１０は、パッケージソフトウェアやオンラインソフトウェアとして上記の監視を実行する監視プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の監視プログラムを情報処理装置に実行させることにより、情報処理装置を監視装置１０として機能させることができる。ここで言う情報処理装置には、デスクトップ型又はノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal Handyphone System）等の移動体通信端末、さらには、ＰＤＡ（Personal Digital Assistant）等のスレート端末等がその範疇に含まれる。

また、監視装置１０は、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の監視に関するサービスを提供する監視サーバ装置として実装することもできる。例えば、監視サーバ装置は、フロー情報又はパケットのコピーを入力とし、判定結果を出力とする監視サービスを提供するサーバ装置として実装される。この場合、監視サーバ装置は、Ｗｅｂサーバとして実装することとしてもよいし、アウトソーシングによって上記の監視に関するサービスを提供するクラウドとして実装することとしてもかまわない。

図７は、監視プログラムを実行するコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。

ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、監視装置１０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、監視装置１０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤにより代替されてもよい。

また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０は、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した実施形態の処理を実行する。

なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

１監視システム
２インターネット
３ユーザネットワーク
１０監視装置
１１通信部
１２記憶部
１３制御部
２１、２２、２３ルータ
１２５攻撃情報
１３１監視部
１３２第１の収集部
１３３第２の収集部
１３４判定部

Claims

ネットワークのトラフィックを監視する監視部と、
インターネットで使用されていないアドレスに対して送信されてきた第１のパケットに関する情報である第１の情報、及び、おとりとして設定された特定の宛先に対して送信されてきた第２のパケットに関する情報である第２の情報のうち、少なくとも一方を収集する収集部と、
前記監視部によって監視されたトラフィックの情報及び前記収集部によって収集された情報を基に、攻撃が発生しているか否かを判定する判定部と、
を有し、
前記判定部は、前記収集部で収集した第１の情報と、前記監視部で監視されたトラフィック情報を比較し、受信時刻が同一時間帯、かつ、第１の情報の送信元ＩＰアドレスがトラフィック情報の宛先ＩＰアドレスと同一であった場合、送信元ＩＰアドレスを詐称する攻撃を検出したと判定することを特徴とする監視システム。
ネットワークのトラフィックを監視する監視部と、
インターネットで使用されていないアドレスに対して送信されてきた第１のパケットに関する情報である第１の情報、及び、おとりとして設定された特定の宛先に対して送信されてきた第２のパケットに関する情報である第２の情報のうち、少なくとも一方を収集する収集部と、
前記監視部によって監視されたトラフィックの情報及び前記収集部によって収集された情報を基に、攻撃が発生しているか否かを判定する判定部と、
を有し、
前記判定部は、前記収集部で収集した第２の情報と、前記監視部で監視されたトラフィック情報を比較し、受信時刻が同一時間帯、かつ、第２の情報の送信元ＩＰアドレスがトラフィック情報の宛先ＩＰアドレスと同一であった場合、リフレクション攻撃を検出したと判定することを特徴とする監視システム。
前記収集部は、前記第１のパケットとして受信した送信元ＩＰアドレスを詐称する攻撃パケットに対する応答パケットの情報を前記第１の情報として収集することを特徴とする請求項１又は２に記載の監視システム。
前記収集部は、前記第２のパケットとして受信したリフレクション攻撃パケットの情報を前記第２の情報として収集することを特徴とする請求項１又は２に記載の監視システム。
前記収集部は、同一ネットワーク内の異なる複数のアドレスを送信元とするパケットのそれぞれについて、前記第１の情報及び前記第２の情報のうち少なくとも一方を収集し、前記監視部へ通知し、
前記判定部は、前記監視部によって監視されたトラフィックの量であって、前記複数のアドレスを宛先とするトラフィックの量の合計を基に、攻撃が発生しているか否かを判定することを特徴とする請求項１から４のいずれか１項に記載の監視システム。
監視システムで実行される監視方法であって、
ネットワークのトラフィックを監視する監視工程と、
インターネットで使用されていないアドレスに対して送信されてきた第１のパケットに関する情報である第１の情報、及び、おとりとして設定された特定の宛先に対して送信されてきた第２のパケットに関する情報である第２の情報のうち、少なくとも一方を収集する収集工程と、
前記監視工程によって監視されたトラフィックの情報及び前記収集工程によって収集された情報を基に、攻撃が発生しているか否かを判定する判定工程と、
を含み、
前記判定工程は、前記収集工程で収集した第１の情報と、前記監視工程で監視されたトラフィック情報を比較し、受信時刻が同一時間帯、かつ、第１の情報の送信元ＩＰアドレスがトラフィック情報の宛先ＩＰアドレスと同一であった場合、送信元ＩＰアドレスを詐称する攻撃を検出したと判定することを特徴とする監視方法。
監視システムで実行される監視方法であって、
ネットワークのトラフィックを監視する監視工程と、
インターネットで使用されていないアドレスに対して送信されてきた第１のパケットに関する情報である第１の情報、及び、おとりとして設定された特定の宛先に対して送信されてきた第２のパケットに関する情報である第２の情報のうち、少なくとも一方を収集する収集工程と、
前記監視工程によって監視されたトラフィックの情報及び前記収集工程によって収集された情報を基に、攻撃が発生しているか否かを判定する判定工程と、
を含み、
前記判定工程は、前記収集工程で収集した第２の情報と、前記監視工程で監視されたトラフィック情報を比較し、受信時刻が同一時間帯、かつ、第２の情報の送信元ＩＰアドレスがトラフィック情報の宛先ＩＰアドレスと同一であった場合、リフレクション攻撃を検出したと判定することを特徴とする監視方法。
コンピュータを、請求項１から５のいずれか１項に記載の監視システムとして機能させるための監視プログラム。