JP6957675B2 - ネットワーク攻撃防御システムおよび方法 - Google Patents

Description

他の出願の相互参照
本願は、２０１６年７月２２日出願の中国特許出願第２０１６１０５８６６７３．９号「Ａ ＮＥＴＷＯＲＫ ＡＴＴＡＣＫ ＤＥＦＥＮＳＥ ＳＹＳＴＥＭ， ＭＥＴＨＯＤ ＡＮＤ ＤＥＶＩＣＥ」の優先権を主張する。当該出願は、すべての目的のために参照により本明細書に組み込まれる。

本願は、一般に、ネットワークセキュリティに関し、特に、ネットワーク攻撃防御システムおよびネットワークに関する。

ハイパーテキスト・トランスポート・プロトコル（ＨＴＴＰ）は、クライアントとサーバとの間のアプリケーション層通信のための最も一般的なメカニズムである。他の通信プロトコルのように、ＨＴＴＰベースの通信は、フラッド攻撃または分散型サービス妨害（ＤＤｏＳ）攻撃に脆弱である。例えば、攻撃者が十分に大量の”ＧＥＴ”パケットをＨＴＴＰサーバに送信して、サーバによって提供されるリソースへのアクセスを要求すると、ＨＴＴＰサーバは最終的に、”ＧＥＴ”パケットの処理の最大能力に達し、正規ユーザへの応答に利用できなくなる。

現在、ＨＴＴＰフラッド攻撃を検出するためのいくつかの手段が知られている。例えば、特定のソースＩＰまたは特定のソースＩＰのクッキーの統計値に基づいて、頻度統計値が所定の閾値を超えた場合に、特定のソースＩＰは攻撃に関与していると判定される。また、要求の特定の特徴（例えば、プロキシヘッダが存在するか否か）を用いて、攻撃を検出することができる。さらに、特定のソースＩＰからのデータパケットのための特定のフィールドの分布の統計を用いて、攻撃を検出することができる。最後に、チャレンジ応答テストを利用し、認証コードページ、ＪａｖａＳｃｒｉｐｔ（登録商標）ページ、ＨＴＴＰ ｓｅｔ ｃｏｏｋｉｅヘッダなど（攻撃プログラムまたはボットではなく、正規のクライアントまたは人間ユーザによって応答される）を含めるようにＨＴＴＰホストによって修正されたページを返すことによって、攻撃を検出することができる。

しかしながら、ネットワーク環境が常に変化しており、固定的な防御戦略がしばしば、時と共に、フォルスポジティブ（誤検出：例えば、正常なトラフィックを誤認して遮断する）および／またはフォルスネガティブ（検出漏れ：例えば、攻撃トラフィックをネットワークに通過させる）の割合を増すという事実にもかかわらず、上述の手段は、通例、固定的な防御戦略に依存するという欠点を有する。したがって、フォルスポジティブおよびフォルスネガティブの可能性を減らしつつ防御効率を高めることが求められている。

以下の詳細な説明と添付の図面において、本発明の様々な実施形態を開示する。

ここで説明する図面は、本発明の理解を深めるよう意図されており、本願の一部を形成する。本願の典型的な実施形態およびその説明は、本発明を説明するよう意図されており、本発明の範囲の不適切な限定となるものではない。以下の図面が含まれる：

本開示の１または複数の実施形態に従って、ネットワーク攻撃防御のためにプログラムされたコンピュータシステムの一実施形態を示す機能図。

本開示の１または複数の実施形態に従って、通信システムの例で図示したネットワーク攻撃防御システムの一例の図。

本開示の１または複数の実施形態に従って、ネットワーク攻撃防御の処理の一例を示すフローチャート。

本開示の１または複数の実施形態に従って、トラフィックデータパケットリトリーブサブ処理の一例を示すフローチャート。

本開示の１または複数の実施形態に従って、サイト統計サブ処理の一例を示すフローチャート。

本開示の１または複数の実施形態に従って、サイト状態監視サブ処理の一例を示すフローチャート。

本開示の１または複数の実施形態に従って、防御レベルの間および防御アルゴリズムでの間の動作の移行の例を示す概略図。 本開示の１または複数の実施形態に従って、防御レベルの間および防御アルゴリズムでの間の動作の移行の例を示す概略図。 本開示の１または複数の実施形態に従って、防御レベルの間および防御アルゴリズムでの間の動作の移行の例を示す概略図。

本発明は、処理、装置、システム、物質の組成、コンピュータ読み取り可能な格納媒体上に具現化されたコンピュータプログラム製品、および／または、プロセッサ（プロセッサに接続されたメモリに格納および／またはそのメモリによって提供される命令を実行するよう構成されたプロセッサ）を含め、様々な形態で実装されうる。本明細書では、これらの実装または本発明が取りうる任意の他の形態を、技術と呼ぶ。一般に、開示された処理の工程の順序は、本発明の範囲内で変更されてもよい。特に言及しない限り、タスクを実行するよう構成されるものとして記載されたプロセッサまたはメモリなどの構成要素は、ある時間にタスクを実行するよう一時的に構成された一般的な構成要素として、または、タスクを実行するよう製造された特定の構成要素として実装されてよい。本明細書では、「プロセッサ」という用語は、１または複数のデバイス、回路、および／または、コンピュータプログラム命令などのデータを処理するよう構成された処理コアを指すものとする。

以下では、本発明の原理を示す図面を参照しつつ、本発明の１または複数の実施形態の詳細な説明を行う。本発明は、かかる実施形態に関連して説明されているが、どの実施形態にも限定されない。本発明の範囲は、特許請求の範囲によってのみ限定されるものであり、本発明は、多くの代替物、変形物、および、等価物を含む。以下の説明では、本発明の完全な理解を提供するために、多くの具体的な詳細事項が記載されている。これらの詳細事項は、例示を目的としたものであり、本発明は、これらの具体的な詳細事項の一部または全てがなくとも特許請求の範囲に従って実施可能である。簡単のために、本発明に関連する技術分野で周知の技術事項については、本発明が必要以上にわかりにくくならないように、詳細には説明していない。

当業者が本発明をよりよく理解できるように、本発明の実施形態に含まれる図面に照らして本発明の技術的解決策を以下に明確かつ完全に説明する。明らかに、記載した実施形態は、本発明の実施形態の一部にすぎず、可能な実施形態すべてを表すものではない。本願に含まれる実施形態に基づいて、創造的な作業の努力なしに当業者によって得られるすべての他の実施形態も本願の保護範囲内に含まれる。

「第１」、「第２」などの用語は、本願の記載および請求項ならびに図面において、類似した対象を区別するために用いられ、必ずしも特定の順番または順序を記載する意図はない。このように用いられたデータは、適切な状況で交換可能であり、その場合、本明細書に記載の本願の実施形態は、本明細書に図示または記載した順序以外の順序でも実施できることを理解されたい。さらに、「含む」および「有する」という用語、ならびに、それらの任意の変化形は、非排他的な包含を網羅するよう意図されたものであり；例えば、一連の工程またはユニットを含む処理、方法、システム、製品、または、装置が、明確に列挙された工程またはユニットに必ずしも限定されることはなく、明確に列挙されていない他の工程またはユニット、もしくは、これらの処理、方法、システム、製品、または、装置に固有の他の工程またはユニットを含んでもよい。

本開示の実施形態の理解を容易にするために、実施形態に用いられる用語を以下のように定義する。

本明細書で用いられる用語「サイト」は、サーバ、サーバアプリケーション、ソフトウェアモジュール、ハードウェアモジュール、および／または、同様のものによってコンピュータネットワーク上でホストされたアプリケーションまたはサービスのウェブサイトを指す。ウェブブラウザからサービスを見つけてアクセスするための普遍的メカニズムとして、特定のサイトが、それに関連付けられた特定のポインタ（例えば、ＵＲＬ（ユニフォームリソースロケータ））を有する。サイトＵＲＬは、サーバドメイン名（ｗｗｗ．ｓｉｎａ．ｃｏｍ．ｃｎ、ｗｗｗ．ｓｏｈｕ．ｃｏｍなど）を含む。

本明細書で用いられる用語「サイト属性」は、動作中のサイトの特徴を特徴付ける属性のことである。例えば、サイト属性は、サイトが毎秒受信する要求の数、サイトが毎秒送信する通常応答の数、アプリケーションがエラー（例えば、アプリケーションエラーとしてのエラー５００、および、ｐａｇｅ ｎｏｔ ｆｏｕｎｄ（ページが見つかりません）エラーとしてのエラー４０４）を示唆するために毎秒送信する応答の数、サイトで毎秒受信される攻撃疑いと見なされる要求の数、特定の宛先ＩＰに対して開かれている同時接続の数、ＨＴＴＰパケットフィールド（例えば、ヘッダフィールド）に示された共通ユーザエージェントの数、特定のウェブブラウザに対して生成される同時ＨＴＴＰクッキーの数、および／または、同様のものでありうる。

本明細書で用いられる用語「防御戦略」は、ネットワーク攻撃に対する防御において、サイトによって配備または適用される手段またはルールを指す。例えば、防御戦略は、フォルスネガティブ率を示す段階的な防御レベルの範囲、ならびに／もしくは、１セットの１または複数の防御アルゴリズムを含みうるが、これらに限定されない。以下で論じる例において、防御アルゴリズムは、フォルスポジティブ率と関連する。防御アルゴリズムの例は、クラスタアルゴリズム、Ｋー近傍法アルゴリズムのためのトランスダクティブコンフィデンス機械（ｔｒａｎｓｄｕｃｔｉｖｅ ｃｏｎｆｉｄｅｎｃｅ ｍａｃｈｉｎｅ）などを含む。

本明細書で用いられる用語「分散型サービス妨害（ＤＤｏＳ）」は、例えば、クライアント−サーバ技術を用いて、サービス妨害の力を指数関数的に増大させて、１または複数の標的に複数のコンピュータからＤＤｏＳ攻撃を開始することである。一般に、攻撃者は、盗まれたアカウントを用いて、１つのコンピュータにＤＤｏＳ主制御プログラムをインストールし、そのコンピュータは、所定の期間内に、ネットワーク上の数多くのコンピュータにすでにインストールされている多数のエージェントプログラムと通信する。主制御プログラムからの命令の受信後、エージェントプログラムは、それに従って攻撃を開始する。クライアントサーバ技術を用いて、主制御プログラムは、数百ないし数千のエージェントプログラムを数秒以内に起動して攻撃動作を行わせる。

本明細書で用いられる用語「ハイパーテキスト・トランスファー・プロトコル（ＨＴＴＰ）」とは、ウェブページまたはウェブファイルすべてが従うインターネット上で一般的なネットワーク通信プロトコルのことである。

本明細書で用いられる用語「ＨＴＴＰフラッド」または「ＨＴＴＰ ＧＥＴフラッド」または「ＣＣ攻撃」とは、攻撃者が、例えば、エージェントサーバを活用して正規のＨＴＴＰ ＧＥＴ要求を生成し、それらのＧＥＴ要求を被害ホストへ向けて、攻撃者のソースまたは正体に関する情報を明かすことなしにＤＤｏＳを達成する特定のタイプのＤＤｏＳ攻撃のことである（チャレンジ・コラプサ（ＣＣ：ｃｈａｌｌｅｎｇｅ ｃｏｌｌａｐｓａｒ）としても知られる）。現在、ますます多くの人々がウェブベースサービスを用いて情報を取得および分散しており、インターネット上のウェブセキュリティが、ネットワークセキュリティ研究の注目の話題になった。ウェブベースサービスのための重要なプロトコルとして、ＨＴＴＰパケットが、しばしば、ＨＴＴＰフラッド／ＨＴＴＰ ＧＥＴフラッド／ＣＣ攻撃として知られるＤＤｏＳ攻撃を開始するためにハッカーによって用いられる。これらの攻撃の特徴は、正規の要求および非正規の要求の内容が非常に類似しているために、かかる攻撃の検出および防御が困難になっていることである。

図１は、本開示の一実施形態に従って、ネットワーク攻撃防御システムの一例を実施するよう構成されたプログラムコンピュータシステムの一実施形態を示すブロック図である。システム１００は、必要に応じて、（図２に示す）第１デバイス、ネットワーク、ウェブサーバシステム、および／または、第２デバイスを実装するために利用できる。明らかに、ネットワーク攻撃防御のためのシステムおよび方法を実施するために、他のコンピュータシステムアーキテクチャおよび構成を用いることも可能である。以下に述べるような様々なサブシステムを備えるコンピュータシステム１００は、少なくとも１つのマイクロプロセッササブシステム（プロセッサまたは中央処理装置（ＣＰＵ）とも呼ばれる）１０２ａ、１０２ｂ、．．．、１０２ｎを備える。プロセッサ１０２ａ、．．．、１０２ｎは、マイクロプロセッサ（ＭＣＵ）またはプログラム可能論理デバイス（ＦＰＧＡ）によって実装できる。メモリ１０４からリトリーブされた命令を用いて、プロセッサ１０２ａ、１０２ｂ、．．．、１０２ｎは、入力データの受信および操作、ならびに、出力デバイス（例えば、ディスプレイ１２４）上でのデータの出力および表示を制御する。

プロセッサ１０２ａ、．．．、１０２ｎは、メモリ１０４と双方向的に接続されており、メモリ１０４は、第１プライマリストレージ（通例は、ランダムアクセスメモリ（ＲＡＭ））および第２プライマリストレージ領域（通例は、リードオンリーメモリ（ＲＯＭ））を含みうる。当業者に周知のように、プライマリストレージは、一般的な記憶領域として、および、スクラッチパッドメモリとして利用可能であり、また、入力データおよび処理済みデータを格納するために利用可能である。プライマリストレージは、さらに、プロセッサ１０２ａ、．．．、１０２ｎ上で実行される処理のための他のデータおよび命令に加えて、データオブジェクトおよびテキストオブジェクトの形態で、プログラミング命令およびデータを格納できる。また、当業者に周知のように、プライマリストレージは、通例、機能（例えば、プログラムされた命令）を実行するためプロセッサ１０２ａ、．．．、１０２ｎによって用いられる基本的な動作命令、プログラムコード、データ、および、オブジェクトを備える。

ネットワークインターフェース１０５は、ネットワークを介してデータを送受信するために用いられる。ネットワークの具体例は、コンピュータシステム１００に対して通信サービスプロバイダによって提供された無線ネットワークを含みうる。一実施形態において、ネットワークインターフェース１０５は、基地局を通して他のネットワーク機器にリンクできるネットワークインターフェースコントローラ（ＮＩＣ）を備えているため、インターネットとの通信を可能にする。一実施形態において、ネットワークインターフェース１０５は、高周波（ＲＦ）モジュールであってよく、ＲＦモジュールは、インターネットと無線通信するために用いられる。

ディスプレイ１２４は、例えば、タッチスクリーン液晶ディスプレイ（ＬＣＤ）であってよく、これは、ユーザがコンピュータシステム１００のユーザインターフェース１０７と相互作用することを可能にするよう構成される。

プロセッサ１０２ａ、．．．、１０２ｎがストレージサブシステムにアクセスできるようにすることに加えて、バス１０６が、その他のサブシステムおよびデバイスへのアクセスを可能にするために用いられてもよい。図に示すように、これらは、ディスプレイ１２４、ネットワークインターフェース１０５、キーボード１２２、および、カーソルコントロール１２０、ならびに、必要に応じて、補助入力／出力デバイスインターフェース、サウンドカード、スピーカ、および、その他のサブシステムを含みうる。例えば、カーソルコントロール１２０は、マウス、スタイラス、トラックボール、または、タブレットであってよく、グラフィカルユーザインターフェースと相互作用するのに有用である。

補助Ｉ／Ｏデバイスインターフェース（図示せず）が、コンピュータシステム１００と共に用いられてよい。補助Ｉ／Ｏデバイスインターフェースはプロセッサ１０２ａ、．．．、１０２ｎがデータを送信すること、ならびに、より典型的には、他のデバイス（マイクロフォン、タッチセンサ方式ディスプレイ、トランスデューサカードリーダ、テープリーダ、音声または手書き認識装置、バイオメトリクスリーダ、カメラ、携帯型マスストレージデバイス、および、他のコンピュータなど）からデータを受信することを可能にする汎用インターフェースおよびカスタマイズされたインターフェースを含みうる。

図２は、本開示の一実施形態に従って、通信システムの一例の中で動作するネットワーク攻撃防御システムの一例を示すブロック図である。通信システム２００は、１または複数の第１デバイス２０２（本明細書ではその内の１つだけを図示する）と、ネットワーク２０４と、１または複数の第２デバイス２０６を含むウェブサーバシステム２０８とを備える。その他の通信システムにおいて、第２デバイスは、ウェブサーバシステムの外側にあってもよい。ウェブサーバシステム２０８は、ネットワーク２０４を介してサービスを提供する保護されたサイトをホストする。１または複数の第１デバイス２０２は、ウェブサーバシステム２０８でホストされたサービスを要求して受けるために、ネットワーク２０４を通してパケットを送信する。いくつかの実施形態において、 第１デバイス２０２、ネットワーク２０４、ウェブサーバシステム２０８、および、第２デバイス２０６は、例えば、図１のコンピュータシステム１００によって実施できる。

第１デバイス２０２は、クライアントコンピュータデバイスでありえ、ネットワーク２０４への１または複数の有線、無線、または、任意のその他の適切な通信接続を備えた１または複数のコンピュータデバイス（パーソナルコンピュータ、ラップトップ、パーソナルデジタルアシスタント（ＰＤＡ）、スマートフォン、ウェアラブルデバイス、スタンドアロンサーバ、分散型サーバなど）を含みうる。

ネットワーク２０４は、ＩＳＰのネットワークおよびその他の中間ネットワークを含みうる。第１デバイス２０２から第２デバイス２０６への通信接続は、第１デバイス２０２から第２デバイス２０６へのデータパケットの送信およびその逆の送信ために、これらのネットワークの一部を用いて形成される。１つの第１デバイス２０２、１つのネットワーク２０４、１つのウェブサーバシステム２０８、および、１つの第２デバイス２０６が例示の目的で図２に示されているが、本開示の実施形態は、複数の第１デバイス、ネットワーク、ウェブサーバシステム、および、第２デバイスなどに適用可能であることに注意されたい。

第１デバイス２０２は、対象ユーザが、保護サイトに正規のサービス要求を送信するコンピュータデバイスでありうる。一方で、第１デバイス２０２は、保護サイトに対してＤＤｏＳ攻撃などのネットワーク攻撃を開始するために攻撃者によって遠隔操作された攻撃者コンピュータデバイス（例えば、ゾンビＰＣなど）である可能性もある。後者のシナリオでは、複数の第１デバイス２０２が、第２デバイス２０６へサービス要求を送信するように一斉に動作して、保護されたサイトで利用可能なコンピュータリソースを消費することで、そのサイトへの攻撃を開始することができる。

この例において、第２デバイス２０６は、保護サイトをホストするウェブサーバである。したがって、第１デバイス２０２は、第２デバイス２０６でホストされた保護サイトにサービス要求を送信するよう構成される。いくつかの別の実施形態において、第２デバイス２０６、および、ウェブサーバシステム２０８において保護サイトをホストするサーバは、異なるネットワークエンティティでありうる。第２デバイス２０６は、複数のウェブサーバシステムの動作を監視し、通信システム２００にインストールされた監視デバイスであってもよい。例えば、第２デバイス２０６は、ウェブサーバシステム２０８の構成要素としてのネットワーク２０４上のルータに、または、ファイアウォール（図示せず）に、インストールされうる。

様々な実施形態において、第２デバイス２０６は、第１デバイス２０２によって送信され、保護サイトをホストするサーバで受信されたサービス要求から情報を収集することによって、保護サイトの統計的属性を取得するよう構成される。この例において、第２デバイス２０６は、保護サイトで受信されたサービス要求の統計情報を収集する。統計的属性は、第１のあらかじめ定められた期間内に保護サイトのサイト属性について取得される。取得された統計的属性を用いることにより、保護サイトは、現在の動作モードから目標動作モードに移行すると決定される。現在の動作モードは、現在の防御戦略を有し、目標動作モードは、目標防御戦略を有し、現在の防御戦略は、目標防御戦略と異なる。保護サイトが現在の動作モードから目標動作モードへ移行しないとの決定に応じて、現在の戦略は維持される。そうでなければ、保護サイトは、現在の動作モードから目標動作モードへ移行し、保護サイトのための目標防御戦略を適用する。

いくつかの実施形態において、第２デバイス２０６は、保護サイトで受信されたＨＴＴＰパケットをリトリーブし、受信されたＨＴＴＰパケットからサイト属性を抽出するよう構成される。サイト属性は、例えば、以下のカテゴリの測定値を含むがこれらに限定されない：サイトが毎秒受信する要求の数、サイトが毎秒送信する通常応答の数、アプリケーションがエラーを示唆するために毎秒送信する応答の数、サイトで毎秒受信される攻撃の疑いがある要求の数、特定の宛先ＩＰに開かれている同時接続の数、ＨＴＴＰパケットフィールドに示された共通ユーザエージェントの数、および、特定のウェブブラウザに対して生成される同時ＨＴＴＰクッキーの数。同じカテゴリのサイト属性のデータを解析することにより、様々なタイプの統計的属性が、保護サイトに対して取得される。

いくつかの実施形態において、第２デバイス２０６は、上述の統計的属性の移動平均を取得するよう構成される。かかる移動平均は、累積移動平均または加重移動平均の形態で計算できる。例えば、累積移動平均アプローチは、現在までの１または複数の期間中に保護サイトが毎秒受信した要求の数を取得するために適用できる。加重移動平均アプローチは、例えば、現在までの１または複数の期間中の異なる時点にサンプリングされたデータに対して異なる重みとして１または複数の倍率を適用して、保護サイトが毎秒受信した要求の数を取得するために適用できる。また、第２デバイス２０６は、保護サイトが現在の動作モードにあった期間の値を取得するよう構成される。上述の統計的属性の移動平均と期間の値を併用して、保護サイトが現在の動作モードから目標動作モードへ移行するか否かが決定される。

この例において、第２デバイス２０６は、上述の移動平均、統計的属性、および、期間の値をブール関数に入力して、結果値を生成するよう構成される。結果値に従って、保護サイトは、現在の動作モードから目標動作モードに移行するか否かが決定される。

本明細書で用いられているように、防御戦略は、１または複数の防御レベルを有する１または複数の防御アルゴリズムを含む。この例において、防御レベルは、保護サイトのための保護の範囲または程度を示す。例えば、防御レベル１は、フォルスポジティブ率が低くフォルスネガティブ率が高い最低レベルでサイトが保護されていることを示唆し、防御レベル３は、フォルスポジティブ率が高くフォルスネガティブ率が低い最高レベルで保護されていることを示唆する。

図３は、本開示の一実施形態に従って、ネットワーク攻撃防御の処理の一例を示すフローチャートである。処理３００は、例えば、図２の第２デバイス２０６によって実施されうるが、これに限定れない。

処理３００は、統計的属性が第１のあらかじめ定められた期間内に保護サイトのサイト属性について取得される工程３０２で始まる。

この例において、統計的属性は、例えば、保護サイトで受信されたＨＴＴＰパケットの情報をリトリーブすることによって取得されるが、これに限定されない。サイト属性が、受信されたＨＴＴＰパケットから抽出され、統計解析が、サイト属性データについて実行され、サイト属性データは、上述のように、それぞれのカテゴリに従ってソートされる。いくつかの実施形態において、サイト属性は、ＨＴＴＰ要求ヘッダフィールドを解析して同じタイプの属性データを取得することによって抽出される。かかるタイプは、例えば、要求メソッドのＨＴＴＰフィールドのカテゴリ、要求ＵＲＩ（ユニフォームリソース識別子）、クッキー、要求パラメータおよび要求パラメータに対応するキーなどでありうる。したがって、上述のヘッダフィールドに埋め込まれた情報は、それぞれのタイプに従って取得されうる。さらに、かかるタイプは、構成ベースでありうる、同一または異なりうる（しかし、同じタイプとして特定される）、などである。

現在のウェブサーバ技術（Ａｐａｃｈｅなど）を用いて、ウェブサーバは、１つのＩＰアドレスで複数のウェブサイトをホストできる。したがって、この例において、第２デバイス２０６は、保護サイトを含む複数のウェブサイトをホストし、複数のサイトについてＨＴＴＰトラフィックパケットを取得できる。この状況において、工程３０２で、複数のデータソース（例えば、複数のクライアント）に送信されたＨＴＴＰパケットが取得され、それぞれの宛先サイトに従って分類される。次いで、保護サイトに向けたＨＴＴＰパケットが、保護サイト情報をクエリとして用いて、分類されたデータパケットから取得される。

工程３０４で、取得された統計的属性に基づいて、保護サイトが、現在の動作モードから目標動作モードへ移行するか否かが決定され、ここで、現在の動作モードのために構成された防御戦略は、目標動作モードのために構成されたものとは異なる。

いくつかの実施形態において、上述の決定を行うために、上述の統計的属性の移動平均、保護サイトが現在の動作モードにあった期間の値が、さらに取得される。取得された移動平均、統計的属性、および、期間の値を用いることにより、保護サイトが移行して現在の動作モードから目標動作モードへ切り替えるか否かが決定される。

様々な実施形態において、期間、移動平均、および、統計的属性に基づいた決定は、様々なルールまたはポリシーに従ってなされうる。例えば、いくつかの実施形態において、これらの属性（期間、移動平均、および、統計的属性）は、それぞれの比較結果を生成するために、それぞれの閾値と比較される。比較結果の一部に基づいて、保護サイトが現在の動作モードから目標動作モードへ移行するか否かの最終決定が、それに従ってなされる。いくつかの実施形態において、１または２または３つの比較結果が所定の条件を満たす時に、保護サイトが現在の動作モードから目標動作モードへ移行すると決定される。そうでなければ、保護サイトは現在の動作モードから目標動作モードに移行しないと決定される。本開示のいくつかの別の実施形態では、保護サイトに対応するブール関数を用いて、決定がなされる。移動平均、統計的属性、および、期間は、結果値を生成するためにブール関数に入力される。生成された結果値に基づいて、保護サイトが現在の動作モードから目標動作モードに移行するか否かが決定される。

工程３０６で、決定に応じて、対応する防御戦略が、保護サイトの保護のために配備される。保護サイトが現在の動作モードから目標動作モードへ移行すると決定されると、目標動作モードに対応する防御戦略が配備される。保護サイトが現在の動作モードから目標動作モードへ移行しないと決定された場合、現在の動作モードに対応する防御戦略が配備され続ける。

本開示の様々な実施形態において、防御戦略は、防御レベルおよび／または防御アルゴリズムを含むが、これらに限定されない。この例において、防御レベルは、保護サイトのための保護の範囲または程度を示す。いくつかの実施形態において、ネットワーク攻撃に対する保護の範囲または程度は、フォルスネガティブ率によって示される。防御戦略に関連するフォルスネガティブ率が低いほど、それによってもたらされる保護の程度は高くなる。例えば、防御レベルは、以下の３つのレベルに分類されうる：レベル１、レベル２、および、レベル３。各レベルは、減少する値の異なる防御閾値を有する。例えば、レベル１は、最低のフォルスネガティブ率に、レベル２は中間のフォルスネガティブに、レベル３は最高のフォルスネガティブに対応しうる。いくつかの別の実施形態において、保護の範囲は、正規のトラフィックのグッドプット（例えば、アプリケーションレベルのスループット）、遅延、および、損失率など、様々な性能指標で測定されてもよい。

様々な実施形態において、上述の防御レベルの調整は、以下の例を用いて実施できるが、これに限定されない。所定の第２期間中に、フォルスポジティブ率が、既知のテストデータパケットを用いて保護サイトの統計値を収集することによって取得される。保護サイトには、現在の防御戦略が配備されている。フォルスポジティブ率がそれぞれの閾値を超えると時、現在配備されている防御アルゴリズムが変更される。さらに、または、別個に、所定の第３期間中に、既知のテストデータパケットを用いて、フォルスネガティブ率が、防御戦略を配備された保護サイトについて取得される。フォルスネガティブ率がそれぞれの閾値を超えると、防御レベルが調整される。防御レベルおよび防御アルゴリズムの調整の詳細については、図７Ａ、図７Ｂ、および、図７Ｃを参照して後述する。上述の調整は、保護サイトが現在の動作モードから目標動作モードへ移行するか否かの決定に応じて、保護サイトが現在の動作モードに対応する防御戦略または目標動作モードに対応する防御モードのいずれかを配備された後に実行される。

本開示の様々な実施形態において、ネットワーク攻撃防御の処理は、以下によって実施されうる：

１）トラフィックデータパケットリトリーブサブ処理

２）サイト統計サブ処理

３）サイト動作モードおよびルール管理サブ処理

４）サイト状態監視サブ処理

５）ソースベースセキュリティ検出および防御戦略配備サブ処理

図４は、本開示の一実施形態に従って、トラフィックデータパケットリトリーブサブ処理の一例を示すフローチャートである。サブ処理４００は、部分的に、例えば、処理３００の工程３０２を実施するために実行されてよい。

この例において、サブ処理４００は、パケットログ解析、サイドネットワークパケット監視、および、レイヤ７負荷バランシングデバイスを用いて、ＨＴＴＰヘッダフィールドに含まれるサイト属性データを取得するために実施される。次に、これらの特徴は集計されて、サイト統計サブ処理ならびにソースベース検出および防御戦略配備サブ処理に送られる。

サブ処理４００は、ＨＴＴＰパケットが１または複数のデータソースから取得される工程４０２で始まる。

工程４０４で、取得されたＨＴＴＰパケットが、要求メソッド、要求ＵＲＩ、クッキー、要求パラメータおよびそれぞれのキーなどのＨＴＴＰフィールドに対応するタイプのデータにパースされる。

工程４０６で、パースされたＨＴＴＰデータの結果が、異なるデータタイプに従って蓄積または集計される。工程４０６の詳細については、図５の工程５０６に関連して後に詳述する。

工程４０８で、蓄積または集計されたデータは、統計サブ処理ならびにソースベース検出および防御戦略配備サブ処理に送られる。

図５は、本開示の一実施形態に従って、サイト統計サブ処理の一例を示すフローチャートである。サブ処理５００は、部分的に、例えば、処理３００の工程３０２を実施するために実行されてよい。

この例において、サブ処理５００は、サブ処理４００によって取得および分類されて蓄積または集計されたＨＴＴＰデータに統計解析を実行するために実施される。統計サイト属性は、以下を含むが、これらに限定されない：毎秒の要求の数、毎秒の通常応答の数、毎秒の異常応答またはエラー応答の数、毎秒の攻撃疑いと見なされた要求の数、上述の４つの統計値の任意のピーク値変動の存在、様々な期間（例えば、１５秒／６００秒／１８００秒）中の上述の最初の４つの統計値の移動平均、特定のＩＰに開かれている同時接続の数、サイトから割り当てられた同時クッキーの数、同時の共通したユーザエージェントの数、など。

サブ処理５００は、工程５０２で始まり、ここで、工程５０２〜５０６は、上記の工程４０２〜４０６と同様に実行されうる。

工程５０６で、様々なタイプの統計が、サイトの統計的属性を導出するために、取得されたＨＴＴＰデータに実行される。この例では、１または複数の処理スレッドが、ＨＴＴＰデータに特定タイプの統計を実行するために実装される。かかるスレッドまたは処理は、以下を取得するためのスレッドまたはプロセスを含むが、これらに限定されない：（１）毎秒の要求の数、（２）毎秒の通常応答の数、（３）毎秒の異常応答またはエラー応答の数、（４）毎秒の攻撃疑いと見なされた要求の数、（５）特定のＩＰに開かれている同時接続の数、（６）同時の共通したユーザエージェントの数、（７）サイトから割り当てられた同時クッキーの数、など。

工程５０８で、上述の統計値すべての移動平均値が、図２を参照して上述したように、所定の期間（例えば、サイト管理者によって設定された期間など）にわたって計算される。移動平均値は、値の中でも特に、保護サイトが現在の動作モードから目標動作モードへ移行するか否かの二分決定を示す結果値を生成するために、ブール関数に入力される。

工程５１０で、結果は、サイト状態監視サブ処理など、ネットワーク攻撃防御の他の処理またはサブ処理による利用に向けて出力される。

図６は、本開示の一実施形態に従って、サイト状態監視サブ処理の一例を示すフローチャートである。サブ処理６００は、例えば、処理３００の工程３０４および３０６を実施するために実行されてよい。

この例において、サブ処理６００は、サイト統計サブ処理５００によって計算された統計的属性をリトリーブし、必要であれば、サイト動作モードおよびルール管理サブ処理（図示せず）によって提供されたルールで、動作状態および対応するモード移行を決定する。動作モード移行時に、サブ処理６００は、さらに、目標動作モードに関連するサイト固有の検出ルールを動的に構成する。

サブ処理６００は、サイト固有の動作ルールまたはポリシーが取得される工程６０２で始まる。例えば、サイト固有の動作ルールは、例えば、トラフィック異常検出閾値、トラフィック異常検出関数などを指定できる。

工程６０４で、サイト動作モードを示す１セットの１または複数のサイト状態機械が１セットの１または複数の保護サイトに対応するように、サイト動作モードテーブルが初期化される。

工程６０６で、統計的属性が、例えば、統計サブ処理５００を用いて、サイトから取得される。

工程６０８で、保護サイトのドメイン名を用いて、保護サイトに対応する状態機械が、サイト動作モードテーブルからルックアップされる。

工程６１０で、動作モード移行条件が満たされたか否かが判定される。判定の方法については、図７Ａ〜図７Ｃに関連して後に詳述する。かかる条件が満たされたとの判定に応じて、方法は、工程６１２へのＹＥＳ経路に従う。そうでない場合、サブ処理６００は、工程６０６に戻るＮＯ経路に従い、保護サイトの統計的属性を収集および監視し続ける。

工程６１２で、動作モードが、現在の動作モードから目標動作モードへ移行され、目標動作モードに対応するポリシー構成が実行される。

この例では、ソースベースセキュリティ検出および防御戦略配備サブ処理（図示せず）が、サイト状態監視サブ処理６００によって発行されたルールを用いて、ソースベースの統計値、特定の要求特徴、および、特定のソースフィールドの分布統計値をマッチングする。一致が成功すると、ソースベースセキュリティ検出および防御戦略配備サブ処理は、さらに、ページブロックまたはヒューマンマシンインターフェースチャレンジなど、対応する具体的な防御を実行する。

図７Ａは、本開示の一実施形態に従って、防御レベルの間および防御アルゴリズムでの間の動作モードの移行の一例を示す概略図である。かかる移行は、防御戦略調整サブ処理によって実行でき、そのサブ処理は、例えば、処理３００の工程３０６を実施するために実行されうる。

この例において、防御戦略調整サブ処理は、現在の動作モードにおける防御戦略に関連したフォルスネガティブ率およびフォルスポジティブ率を解析するためのサイト統計サブ処理５００を用いて、防御戦略が調整されるか否かを決定するために、サイト状態監視サブ処理６００によって実行されうる。フォルスネガティブ率および／またはフォルスポジティブ率がそれぞれの閾値を超えた場合、防御戦略は調整される。いくつかの実施形態において、現在の防御戦略の調整は、対応する防御アルゴリズムの調整、対応する防御レベルの調整、または、それら両方を含む。

本明細書で示すように、動作モード移行ポリシーまたはルールは、ｎ個の変数を有するブール関数として実施され、ｎ個の変数は、サブ処理５００から出力された統計的属性である。特に、変数は、以下のタイプの属性を含む：毎秒の要求の数、毎秒の通常応答の数、毎秒のエラー応答の数、毎秒の攻撃疑いのある要求の数、特定ＩＰに開かれている同時接続の数、同時の共通したユーザエージェントの数、同時クッキーの統計数など。変数は、さらに、これらの統計的属性の移動平均と、保護サイトが現在の動作モードで動作していた期間の値とを含む。具体的な入力変数（例えば、動作属性）のセットが与えられると、ブール関数は、１または０の結果を提供する（もしくは、ｙｅｓまたはｎｏなど、２つの異なる状態を示すその他の結果）。ブール関数は、論理関数のセット、および／または、入力変数をｙｅｓまたはｎｏの決定にマッピングするマッピング関数として実装できる。

いくつかの実施形態において、ブール関数は、動作モード移行決定を生成するために、上述の属性に従って生成される。換言すると、動作モード移行決定は、保護サイトが目標動作モードへの動作モード移行を受ける必要があるか、または、現在の動作モードにとどまるかを記述する。

本明細書に示すように、動作モード移行ポリシーは、第１次元および第２次元に沿った複数の個々の状態を含む状態機械である。状態１．．．状態ｎの行は、ｎ個の防御の程度（例えば、対応する防御戦略に関連するフォルスネガティブ率のレベル）を表す。特定のフォルスネガティブ率の各レベル内で、各レベルのサブ状態（例えば、状態１−１、状態１−２，．．．、状態１−ｎ）は、それぞれ、同じ防御レベル１のフォルスポジティブ率の様々なレベルに対応する様々な防御アルゴリズムを表す。防御レベルの数および防御アルゴリズムの数は、説明の目的で（図７Ａ〜図７Ｃに示すように）同じ数ｎになっているが、本開示は、防御レベルの数および防御アルゴリズムの数が異なる数である状態機械にも適用できることに注意されたい。

一実施形態において、工程７０２で、状態機械は、ＤＤｏＳ攻撃が検出されず、したがって、防御戦略が配備されていない初期通常モード（状態０）で開始する。ＨＴＴＰパケットがサブ処理４００によって取得および解析されると、状態機械は、状態１−１の工程７０４へ移行し、ここで、防御レベルはレベル１に設定され、防御アルゴリズムはアルゴリズム１に設定される。

工程７０６−１−１で、ｎ個の変数は、状態切り替えを行うべきか否かを判定するために、ブール関数に入力される。この例において、ブール関数の入力パラメータは以下を含む：

１）マクロ統計モジュールによって出力された毎秒の要求の数、毎秒の通常応答の数、毎秒のエラー応答の数、毎秒の攻撃疑いの要求の数、表形式の同時ＩＰの数、表形式の同時ユーザエージェントの数、および、表形式の同時クッキーの数の数値。

２）マクロ統計モジュールによって出力された数値の移動平均値。

３）現在の状態への移行以来の期間。

入力値が与えられると、ブール関数は、異なるモードへの移行をするか否かの指示を出力する。ｎｏの場合、現在の動作モードが保護サイトに望ましい保護を提供することを意味する。ｙｅｓの場合、状態機械は、状態１−２に移行し、その場合、防御レベルは１、利用されるアルゴリズムはアルゴリズム２になる。工程７０６−１−２で、ブール関数は、現在の入力値を用いて再び呼び出される。この例において、処理は、統計値がリフレッシュされる前に、所定の間隔にわたって待機せざるをえない。

ブール関数を呼び出して、同じ防御レベルの次の防御アルゴリズムに対応する次の状態へ移行することは、動作モードが新しいモードへ移行する必要がないという判定にブール関数が至る必要がある限りは反復される。

状態機械が工程７０７−１において１つの防御レベル（例えば、状態１−ｎ）で最終状態に到達した場合、ブール関数は、異なるモードへの移行をするか否かの指示を出力するために呼び出される。ｎｏの場合、現在の動作モードが保護サイトに望ましい保護を提供することを意味する。ｙｅｓの場合、状態機械は、状態２−１に移行し、その場合、防御レベルは２、利用されるアルゴリズムはアルゴリズム１になる。ここでも、ブール関数を呼び出して、同じ防御レベルの次の防御アルゴリズムに対応する次の状態へ移行することは、動作モードが新しいモードへ移行する必要がないという判定にブール関数が至る必要がある限りは反復される。

図７Ｂに示すこの例において、状態機械は、フォルスネガティブ率をできるだけ低く維持することを可能にするためにできる限り同じレベル内で切り替えが起きるように設計される。別の実施形態において、図７Ｃに示すように、状態機械は、異なるレベルに沿って同じアルゴリズムについて切り替えが起きるように設計される。

特に、図７Ｂは、本開示の一実施形態に従って、それぞれの動作状態の間で移行する状態機械の一例を示す二次元グラフである。ここで、軸ｘは、防御レベルを表し、軸ｙは、防御アルゴリズムを表す。したがって、状態機械の複数の動作状態が、グラフの複数の点として表されており、各点は、対応する防御レベルを前に、防御アルゴリズムを後ろに示した数のペアに関連する。状態機械は、原点の状態（０，０）に始まり、次いで、状態（１，１）に移行する。現在の動作モードが新たな動作状態に移行する必要があるという判定にブール関数が到達し続けると、動作モードが新たなモードに移行する必要がないという判定にブール関数が至る必要がある限り、状態機械は、水平方向に（１，１）から（１，２）、．．．、（１，ｎ）に至り、その後、垂直方向に移行して（２，１）、（２，２）などと移行する。

図７Ｃは、本開示の一実施形態に従って、それぞれの動作状態の間で移行する状態機械の別の例を示す二次元グラフである。ここで、状態機械は、原点の状態（０，０）に始まり、次いで、状態（１，１）に移行する。現在の動作モードが新たな動作状態に移行する必要があるという判定にブール関数が到達し続けると、動作モードが新たなモードに移行する必要がないという判定にブール関数が至る必要がある限り、状態機械は、垂直方向に（１，１）から（２，１）、．．．、（ｎ，１）に至り、その後、水平方向に移行して、以下同様となる。

本記載に含まれる実施形態は、漸進的に記載されている。各実施形態の説明は、他の実施形態と異なる領域に焦点を当てており、実施形態の記載は、各実施形態の同一または類似の部分について相互に参照できる。

当業者は、本願の実施形態が、方法、デバイス、または、コンピュータプログラム製品を提供しうることを理解されたい。したがって、本願の実施形態は、完全にハードウェアである実施形態、完全にソフトウェアである実施形態、ならびに、ハードウェアおよびソフトウェアの態様を組み合わせた実施形態の形を取りうる。さらに、本願は、コンピュータ動作可能なコンピュータコードを含むコンピュータ動作可能な記憶媒体（磁気ディスク記憶デバイス、ＣＤ−ＲＯＭ、および、光学記憶デバイスを含むがこれらに限定されない）を実装するコンピュータ製品の内の１または複数の形態を取りうる。

典型的な一構成において、コンピュータ装置は、１または複数のプロセッサ（ＣＰＵ）と、入力／出力インターフェースと、ネットワークインターフェースと、メモリとを備える。メモリは、コンピュータ読み取り可能な媒体内の揮発性ストレージデバイス、ランダムアクセスメモリ（ＲＡＭ）、および／または、リードオンリーメモリ（ＲＯＭ）またはフラッシュメモリ（フラッシュＲＡＭ）などの不揮発性メモリなどの形態を含みうる。メモリは、コンピュータ読み取り可能な媒体の一例である。コンピュータ読み取り可能な媒体は、永続的および非永続的な媒体、着脱可能および着脱不可能な媒体を含み、任意の方法または技術によって情報の格納を実現できる。情報は、コンピュータ読み取り可能な命令、データ構造、プログラムモジュール、または、その他のデータであってよい。コンピュータ記憶媒体の例は、以下を含むがこれらに限定されない：相変化メモリ（ＰＲＡＭ）、スタティックランダムアクセスメモリ（ＳＲＡＭ）、ダイナミックランダムアクセスメモリ（ＤＲＡＭ）、その他のタイプのランダムアクセスメモリ（ＲＡＭ）、リードオンリーメモリ（ＲＯＭ）、電気消去可能プログラム可能リードオンリーメモリ（ＥＥＰＲＯＭ）、フラッシュメモリ、または、その他のメモリ技術、コンパクトディスクリードオンリーメモリ（ＣＤ−ＲＯＭ）、デジタル多機能ディスク（ＤＶＤ）、または、その他の光学ストレージ、磁気カセット、磁気テープまたは磁気ディスクストレージ、または、その他の磁気ストレージ装置、または、コンピュータにアクセス可能な情報を格納するために利用できる任意のその他の非伝送媒体。本明細書で規定されているように、コンピュータ読み取り可能な媒体は、変調データ信号および搬送波など、一時的なコンピュータ読み取り可能媒体（一時的媒体）を含まない。

本願の実施形態は、本願の実施形態の方法、端末装置（システム）、および、コンピュータプログラム製品に基づいたフローチャートおよび／またはブロック図を参照して記載されている。フローチャートおよび／またはブロック図内の各フローチャートおよび／またはブロック図、ならびに、フローチャートおよび／またはブロック図内のフローチャートおよび／またはブロック図の組み合わせは、コンピュータ命令によって実現されうることに注意されたい。これらのコンピュータプログラム命令は、マシンを生成するために、汎用コンピュータ、専用コンピュータ、組み込みプロセッサデバイスのプロセッサ、または、その他のプログラム可能データ処理端末のプロセッサに提供されうる。コンピュータまたはその他のプログラム可能なデータ処理端末装置のプロセッサによって実行された命令は、その結果として、フローチャートの１または複数の処理および／またはブロック図の１または複数のブロックに記載された機能を実施するためのデバイスを生み出す。

コンピュータまたはその他のプログラム可能なデータ処理端末装置が特定の方法で動作するように導くことができるこれらのコンピュータプログラム命令は、コンピュータ読み取り可能なメモリに格納されてもよい。結果として、コンピュータ読み取り可能なメモリに格納された命令は、命令デバイスを含む製品を生み出す。これらの命令デバイスは、フローチャートの１または複数の処理および／またはブロック図の１または複数のブロックに記載された機能を実施する。

これらのコンピュータプログラム命令は、コンピュータまたはその他のプログラム可能なデータ処理端末装置にロードされ、コンピュータ実装処理を引き起こすためにコンピュータおよびその他のプログラム可能なデータ処理端末装置で一連の工程を実行させてもよい。したがって、コンピュータまたはその他のプログラム可能なデータ処理端末装置で実行された命令は、フローチャートの１または複数の処理および／またはブロック図の１または複数のブロックに記載された機能の工程を提供する。

本願の好ましい実施形態を記載しているが、当業者は、基本的な創造概念を把握すれば、これらの実施形態に他の変形または修正を加えることができる。したがって、添付の特許請求の範囲は、好ましい実施形態ならびに本願の実施形態の範囲内にあるすべての変形例および修正例を含むと解釈されるべきである。

上述の実施形態は、理解しやすいようにいくぶん詳しく説明されているが、本発明は、提供された詳細事項に限定されるものではない。本発明を実施する多くの代替方法が存在する。開示された実施形態は、例示であり、限定を意図するものではない。
本発明は、たとえば、以下のような態様で実現することもできる。
適用例１：
ネットワーク攻撃防御方法であって、
保護サイトについての１セットの１または複数のサイト属性の統計値を収集することによって前記保護サイトについての１セットの１または複数の統計的属性を取得する工程であって、前記保護サイトについての前記１セットの１または複数のサイト属性は、前記保護サイトの動作モードを示す、工程と、
前記１セットの１または複数の統計的属性に少なくとも部分的に基づいて、前記保護サイトが現在の動作モードから目標動作モードへ移行することを決定する工程であって、前記現在の動作モードは現在の防御戦略を有し、前記目標動作モードは目標防御戦略を有し、前記現在の防御戦略は前記目標防御戦略とは異なる、工程と、
前記保護サイトが前記現在の動作モードから前記目標動作モードへ移行するとの前記決定に応じて、前記現在の動作モードから前記目標動作モードへ移行し、前記目標防御戦略を前記保護サイトに適用する工程と、
を備える、方法。
適用例２：
適用例１の方法であって、前記保護サイトの前記統計的属性を取得する工程は、
特定された期間内に前記保護サイトによって受信された複数のＨＴＴＰパケットを取得する工程と、
前記複数のＨＴＴＰパケットからサイト属性を抽出して、同じタイプのＨＴＴＰヘッダを有するサイト属性の統計値を収集することで、前記統計的属性を取得する工程と、
を含む、方法。
適用例３：
適用例２の方法であって、前記複数のＨＴＴＰパケットを取得する工程は、
複数のデータソースから１セットのＨＴＴＰパケットを取得する工程と、
前記１セットのＨＴＴＰパケットをそれぞれの宛先サイトに基づいて分類して、前記保護サイトへの前記複数のＨＴＴＰパケットを決定する工程と、
を含む、方法。
適用例４：
適用例１の方法であって、前記保護サイトが前記現在の動作モードから前記目標動作モードへ移行することを決定する工程は、
前記統計的属性の移動平均を取得する工程と、
前記保護サイトが前記現在の動作モードにあった期間を取得する工程と、
前記保護サイトが前記現在の動作モードから前記目標動作モードへ移行するか否かを決定する工程であって、前記決定は、前記統計的属性、前記統計的属性の前記移動平均、および、前記期間に少なくとも部分的に基づく、工程と、
を含む、方法。
適用例５：
適用例１の方法であって、前記保護サイトが前記現在の動作モードから前記目標動作モードへ移行することを決定する工程は、
移動平均、前記統計的属性、前記保護サイトが前記現在の動作モードにあった期間を、前記保護サイトに対応するブール関数に入力して、出力値を生成する工程と、
前記出力値を用いて、前記保護サイトが前記現在の動作モードから前記目標動作モードに移行するか否かを決定する工程と、
を含む、方法。
適用例６：
適用例１の方法であって、前記現在の防御戦略は、複数の防御アルゴリズムを含み、前記複数の防御アルゴリズムの中の防御アルゴリズムは、対応する複数の防御レベルを有し、前記対応する複数の防御レベルは、前記保護サイトが保護される範囲を示す、方法。
適用例７：
適用例６の方法であって、前記保護サイトの前記１セットの１または複数の統計的属性は、第１のあらかじめ定められた期間内の前記保護サイトの動作モードを示し、
前記方法は、さらに、
統計値を収集して、第２のあらかじめ定められた期間中の前記保護サイトのフォルスポジティブ率を取得する工程であって、前記保護サイトは、前記現在の防御戦略を配備されている、工程と、
前記フォルスポジティブ率が対応する閾値を超えた時に前記現在の防御戦略を調整する工程と、
を備える、方法。
適用例８：
適用例７の方法であって、前記現在の防御戦略を調整する工程は、対応する防御アルゴリズムを調整する工程、対応する防御レベルを調整する工程、または、それら両方の工程を含む、方法。
適用例９：
適用例１の方法であって、前記保護サイトの前記１セットの１または複数の統計的属性は、特定された期間内の前記保護サイトの動作モードを示す、方法。
適用例１０：
システムであって、
１または複数のプロセッサであって、
保護サイトについての１セットの１または複数のサイト属性の統計値を収集することによって前記保護サイトについての１セットの１または複数の統計的属性を取得する工程であって、前記１セットの１または複数のサイト属性は、前記保護サイトの動作モードを示す、工程と、
前記１セットの１または複数の統計的属性に基づいて、前記保護サイトが現在の動作モードから目標動作モードへ移行することを決定する工程であって、前記現在の動作モードは現在の防御戦略を有し、前記目標動作モードは目標防御戦略を有し、前記現在の防御戦略は前記目標防御戦略とは異なる、工程と、
前記保護サイトが前記現在の動作モードから前記目標動作モードへ移行するとの前記決定に応じて、前記現在の動作モードから前記目標動作モードへ移行し、前記現在の動作モードの代わりに前記目標防御戦略を前記保護サイトに適用する工程と、を実行するよう構成された、１または複数のプロセッサと、
前記１または複数のプロセッサに接続され、前記１または複数のプロセッサに命令を提供するよう構成された１または複数のメモリと、
を備える、システム。
適用例１１：
適用例１０のシステムであって、前記保護サイトの前記１セットの１または複数の統計的属性を取得する工程は、
特定された期間内に前記保護サイトによって受信された複数のＨＴＴＰパケットを取得する工程と、
前記複数のＨＴＴＰパケットからサイト属性を抽出して、同じタイプのＨＴＴＰヘッダを有するサイト属性の統計値を収集することで、前記統計的属性を取得する工程と、
を含む、システム。
適用例１２：
適用例１１のシステムであって、前記複数のＨＴＴＰパケットを取得する工程は、
複数のデータソースから１セットのＨＴＴＰパケットを取得する工程と、
前記１セットのＨＴＴＰパケットを宛先サイトに基づいて分類して、前記保護サイトへの前記複数のＨＴＴＰパケットを決定する工程と、
を含む、システム。
適用例１３：
適用例１０のシステムであって、前記保護サイトが前記現在の動作モードから前記目標動作モードへ移行することを決定する工程は、
前記統計的属性の移動平均を取得する工程と、
前記保護サイトが前記現在の動作モードにあった期間を取得する工程と、
前記保護サイトが前記現在の動作モードから前記目標動作モードへ移行するか否かを決定する工程であって、前記決定は、前記統計的属性、前記統計的属性の前記移動平均、および、前記期間に少なくとも部分的に基づく、工程と、
を含む、システム。
適用例１４：
適用例１０のシステムであって、前記保護サイトが前記現在の動作モードから前記目標動作モードへ移行することを決定する工程は、
移動平均、前記統計的属性、前記保護サイトが前記現在の動作モードにあった期間を、前記保護サイトに対応するブール関数に入力して、出力値を生成する工程と、
前記出力値を用いて、前記保護サイトが前記現在の動作モードから前記目標動作モードに移行するか否かを決定する工程と、
を含む、システム。
適用例１５：
適用例１０のシステムであって、前記現在の防御戦略は、複数の防御アルゴリズムを含み、前記複数の防御アルゴリズムの中の防御アルゴリズムは、対応する複数の防御レベルを有し、前記対応する複数の防御レベルは、前記保護サイトが保護される範囲を示す、システム。
適用例１６：
適用例１５のシステムであって、前記保護サイトの前記１セットの１または複数の統計的属性は、第１のあらかじめ定められた期間内の前記保護サイトの動作モードを示し、前記１または複数のプロセッサは、さらに、
統計値を収集して、第２のあらかじめ定められた期間中の前記保護サイトのフォルスポジティブ率を取得する工程であって、前記保護サイトは、前記現在の防御戦略を配備されている、工程と、
前記フォルスポジティブ率が対応する閾値を超えた時に前記現在の防御戦略を調整する工程と、
を実行するよう構成されている、システム。
適用例１７：
適用例１６のシステムであって、前記現在の防御戦略を調整する工程は、対応する防御アルゴリズムを調整する工程、対応する防御レベルを調整する工程、または、それら両方の工程を含む、システム。
適用例１８：
適用例１１のシステムであって、前記保護サイトの前記１セットの１または複数の統計的属性は、特定された期間内の前記保護サイトの動作モードを示す、システム。
適用例１９：
ネットワーク攻撃防御のためのコンピュータプログラム製品であって、有形のコンピュータ読み取り可能な記憶媒体内に具現化され、
保護サイトについての１セットの１または複数のサイト属性の統計値を収集することによって前記保護サイトについての１セットの１または複数の統計的属性を取得するためのコンピュータ命令であって、前記１セットの１または複数のサイト属性は、前記保護サイトの動作モードを示す、コンピュータ命令と、
前記１セットの１または複数の統計的属性に基づいて、前記保護サイトが現在の動作モードから目標動作モードへ移行することを決定するためのコンピュータ命令であって、前記現在の動作モードは現在の防御戦略を有し、前記目標動作モードは目標防御戦略を有し、前記現在の防御戦略は前記目標防御戦略とは異なる、コンピュータ命令と、
前記保護サイトが前記現在の動作モードから前記目標動作モードへ移行するとの前記決定に応じて、前記現在の動作モードから前記目標動作モードへ移行し、前記現在の動作モードの代わりに前記目標防御戦略を前記保護サイトに適用するためのコンピュータ命令と、
を備える、コンピュータプログラム製品。

Claims (19)

1. ネットワーク攻撃防御方法であって、
   保護サイトについての１セットの１または複数のサイト属性の統計値を収集することによって前記保護サイトについての１セットの１または複数の統計的属性を、１または複数のプロセッサで取得する工程であって、前記保護サイトについての前記１セットの１または複数のサイト属性は、前記保護サイトに送信される１以上のサービス要求に少なくとも部分的に基づいて、取得される、工程と、
   前記１セットの１または複数の統計的属性に少なくとも部分的に基づいて、前記保護サイトが現在の動作モードから目標動作モードへ移行することを、前記１または複数のプロセッサで決定する工程であって、
   前記現在の動作モードは現在の防御戦略に対応し、前記目標動作モードは目標防御戦略に対応し、
   前記現在の防御戦略は、複数の防御アルゴリズムを含み、前記複数の防御アルゴリズムの中の防御アルゴリズムは、対応する複数の防御レベルを有し、前記対応する複数の防御レベルは、前記保護サイトが保護される範囲を示す、工程と、
   前記保護サイトが前記現在の動作モードから前記目標動作モードへ移行するとの前記決定に応じて、前記現在の動作モードから前記目標動作モードへ、前記１または複数のプロセッサで移行し、前記目標防御戦略を前記保護サイトに適用する工程であって、前記目標動作モードに対応する前記目標防御戦略は、動作モードへの防御戦略の対応に少なくとも部分的に基づいて、決定される、工程、と、
   を備える、方法。
2. 請求項１に記載の方法であって、前記保護サイトについての前記１セットの１または複数の前記統計的属性を取得する工程は、
   特定された期間内に前記保護サイトによって受信された複数のＨＴＴＰパケットを取得する工程であって、前記複数のＨＴＴＰパケットは、前記１以上のサービス要求を介して前記保護サイトに送信される、工程と、
   前記複数のＨＴＴＰパケットからサイト属性を抽出して、同じタイプのＨＴＴＰヘッダを有するサイト属性の統計値を収集することで、前記１セットの１または複数の前記統計的属性を取得する工程と、
   を含む、方法。
3. 請求項２に記載の方法であって、前記複数のＨＴＴＰパケットを取得する工程は、
   複数のデータソースから１セットのＨＴＴＰパケットを取得する工程であって、前記複数のＨＴＴＰパケットは、前記１以上のサービス要求を介して前記保護サイトに送信される、工程と、
   前記１セットのＨＴＴＰパケットをそれぞれの宛先サイトに基づいて分類して、前記保護サイトへの前記複数のＨＴＴＰパケットを決定する工程と、
   を含む、方法。
4. 請求項１に記載の方法であって、前記保護サイトが前記現在の動作モードから前記目標動作モードへ移行することを決定する工程は、
   前記１セットの１または複数の前記統計的属性の移動平均を取得する工程と、
   前記保護サイトが前記現在の動作モードにあった期間を取得する工程と、
   前記保護サイトが前記現在の動作モードから前記目標動作モードへ移行するか否かを決定する工程であって、前記決定は、前記１または複数の前記統計的属性、前記１または複数の前記統計的属性の前記移動平均、および、前記期間に少なくとも部分的に基づく、工程と、
   を含む、方法。
5. 請求項１に記載の方法であって、前記保護サイトが前記現在の動作モードから前記目標動作モードへ移行することを決定する工程は、
   移動平均、前記１または複数の前記統計的属性、前記保護サイトが前記現在の動作モードにあった期間を、前記保護サイトに対応するブール関数に入力して、出力値を生成する工程と、
   前記出力値を用いて、前記保護サイトが前記現在の動作モードから前記目標動作モードに移行するか否かを決定する工程と、
   を含む、方法。
6. 請求項１に記載の方法であって、前記保護サイトの前記１セットの１または複数の統計的属性は、第１のあらかじめ定められた期間内の前記保護サイトの動作モードを示し、
   前記方法は、さらに、
   統計値を収集して、第２のあらかじめ定められた期間中の前記保護サイトのフォルスポジティブ率を取得する工程であって、前記保護サイトは、前記現在の防御戦略を配備されている、工程と、
   前記フォルスポジティブ率が対応する閾値を超えた時に前記現在の防御戦略を調整する工程と、
   を備える、方法。
7. 請求項６に記載の方法であって、前記現在の防御戦略を調整する工程は、対応する防御アルゴリズムを調整する工程、対応する防御レベルを調整する工程、または、それら両方の工程を含む、方法。
8. 請求項１に記載の方法であって、前記保護サイトの前記１セットの１または複数の統計的属性は、特定された期間内の前記保護サイトの動作モードを示す、方法。
9. システムであって、
   １または複数のハードウェアプロセッサであって、
   保護サイトについての１セットの１または複数のサイト属性の統計値を収集することによって前記保護サイトについての１セットの１または複数の統計的属性を取得する工程であって、前記１セットの１または複数のサイト属性は、前記保護サイトをホストすることと関連付けられたデバイスへの１以上のサービス要求に少なくとも部分的に基づいて、取得される、工程と、
   前記１セットの１または複数の統計的属性に基づいて、前記保護サイトが現在の動作モードから目標動作モードへ移行することを決定する工程であって、
   前記現在の動作モードは現在の防御戦略に対応し、前記目標動作モードは目標防御戦略に対応し、
   前記現在の防御戦略は、複数の防御アルゴリズムを含み、前記複数の防御アルゴリズムの中の防御アルゴリズムは、対応する複数の防御レベルを有し、前記対応する複数の防御レベルは、前記保護サイトが保護される範囲を示す、工程と、
   前記保護サイトが前記現在の動作モードから前記目標動作モードへ移行するとの前記決定に応じて、前記現在の動作モードから前記目標動作モードへ移行し、前記現在の動作モードの代わりに前記目標防御戦略を前記保護サイトに適用する工程であって、前記目標動作モードに対応する前記目標防御戦略は、動作モードへの防御戦略の対応に少なくとも部分的に基づいて、決定される、工程と、を実行するよう構成された、１または複数のプロセッサと、
   前記１または複数のプロセッサに接続され、前記１または複数のプロセッサに命令を提供するよう構成された１または複数のメモリと、
   を備える、システム。
10. 請求項９に記載のシステムであって、前記保護サイトの前記１セットの１または複数の統計的属性を取得する工程は、
    特定された期間内に前記保護サイトによって受信された複数のＨＴＴＰパケットを取得する工程であって、前記複数のＨＴＴＰパケットは、前記１以上のサービス要求を介して前記保護サイトに送信される、工程と、
    前記複数のＨＴＴＰパケットからサイト属性を抽出して、同じタイプのＨＴＴＰヘッダを有するサイト属性の統計値を収集することで、前記１セットの１または複数の前記統計的属性を取得する工程と、
    を含む、システム。
11. 請求項１０に記載のシステムであって、前記複数のＨＴＴＰパケットを取得する工程は、
    複数のデータソースから１セットのＨＴＴＰパケットを取得する工程であって、前記複数のＨＴＴＰパケットは、前記１以上のサービス要求を介して前記保護サイトに送信される、工程と、
    前記１セットのＨＴＴＰパケットを宛先サイトに基づいて分類して、前記保護サイトへの前記複数のＨＴＴＰパケットを決定する工程と、
    を含む、システム。
12. 請求項９に記載のシステムであって、前記保護サイトが前記現在の動作モードから前記目標動作モードへ移行することを決定する工程は、
    前記１セットの１または複数の前記統計的属性の移動平均を取得する工程と、
    前記保護サイトが前記現在の動作モードにあった期間を取得する工程と、
    前記保護サイトが前記現在の動作モードから前記目標動作モードへ移行するか否かを決定する工程であって、前記決定は、前記１または複数の前記統計的属性、前記１または複数の前記統計的属性の前記移動平均、および、前記期間に少なくとも部分的に基づく、工程と、
    を含む、システム。
13. 請求項９に記載のシステムであって、前記保護サイトが前記現在の動作モードから前記目標動作モードへ移行することを決定する工程は、
    移動平均、前記１または複数の前記統計的属性、前記保護サイトが前記現在の動作モードにあった期間を、前記保護サイトに対応するブール関数に入力して、出力値を生成する工程と、
    前記出力値を用いて、前記保護サイトが前記現在の動作モードから前記目標動作モードに移行するか否かを決定する工程と、
    を含む、システム。
14. 請求項９に記載のシステムであって、前記保護サイトの前記１セットの１または複数の統計的属性は、第１のあらかじめ定められた期間内の前記保護サイトの動作モードを示し、前記１または複数のプロセッサは、さらに、
    統計値を収集して、第２のあらかじめ定められた期間中の前記保護サイトのフォルスポジティブ率を取得する工程であって、前記保護サイトは、前記現在の防御戦略を配備されている、工程と、
    前記フォルスポジティブ率が対応する閾値を超えた時に前記現在の防御戦略を調整する工程と、
    を実行するよう構成されている、システム。
15. 請求項１４に記載のシステムであって、前記現在の防御戦略を調整する工程は、対応する防御アルゴリズムを調整する工程、対応する防御レベルを調整する工程、または、それら両方の工程を含む、システム。
16. 請求項１０に記載のシステムであって、前記保護サイトの前記１セットの１または複数の統計的属性は、特定された期間内の前記保護サイトの動作モードを示す、システム。
17. ネットワーク攻撃防御のためのコンピュータプログラムであって、
    保護サイトについての１セットの１または複数のサイト属性の統計値を収集することによって前記保護サイトについての１セットの１または複数の統計的属性を取得する機能であって、前記１セットの１または複数のサイト属性は、前記保護サイトをホストすることと関連付けられたデバイスへの１以上のサービス要求に少なくとも部分的に基づいて、取得される、機能と、
    前記１セットの１または複数の統計的属性に基づいて、前記保護サイトが現在の動作モードから目標動作モードへ移行することを決定する機能であって、
    前記現在の動作モードは現在の防御戦略に対応し、前記目標動作モードは目標防御戦略に対応し、
    前記現在の防御戦略は、複数の防御アルゴリズムを含み、前記複数の防御アルゴリズムの中の防御アルゴリズムは、対応する複数の防御レベルを有し、前記対応する複数の防御レベルは、前記保護サイトが保護される範囲を示す、機能と、
    前記保護サイトが前記現在の動作モードから前記目標動作モードへ移行するとの前記決定に応じて、前記現在の動作モードから前記目標動作モードへ移行し、前記現在の動作モードの代わりに前記目標防御戦略を前記保護サイトに適用する機能であって、前記目標動作モードに対応する前記目標防御戦略は、動作モードへの防御戦略の対応に少なくとも部分的に基づいて、決定される、機能と、
    をコンピュータに実現させるための、コンピュータプログラム。
18. 請求項１のネットワーク攻撃防御方法であって、
    前記対応する複数の防御レベルで前記保護サイトが保護される前記範囲は、正規のトラフィックのスループットと、正規のトラフィックの遅延と、正規のトラフィックの損失率と、のうちの１以上に、少なくとも部分的に基づいて測定される、方法。
19. 請求項１のネットワーク攻撃防御方法であって、
    前記現在の動作モードから前記目標動作モードへの移行は、前記１セットの１または複数の統計的属性に少なくとも部分的に基づいて、前記１または複数のプロセッサが、他の動作モードに移行しないことを決定するまでの、防御レベルまたは防御アルゴリズムの漸進的な変更を含む、方法。

Images