JP3609382B2 - 分散型サービス不能攻撃防止方法及びゲート装置、通信装置ならびにプログラム - Google Patents
分散型サービス不能攻撃防止方法及びゲート装置、通信装置ならびにプログラム Download PDFInfo
- Publication number
- JP3609382B2 JP3609382B2 JP2002081906A JP2002081906A JP3609382B2 JP 3609382 B2 JP3609382 B2 JP 3609382B2 JP 2002081906 A JP2002081906 A JP 2002081906A JP 2002081906 A JP2002081906 A JP 2002081906A JP 3609382 B2 JP3609382 B2 JP 3609382B2
- Authority
- JP
- Japan
- Prior art keywords
- communication device
- upstream
- attack
- value
- traffic
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Small-Scale Networks (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、ネットワークに接続された機器をネットワーク経由での攻撃から防御するための、サービス不能攻撃の防止方法およびその装置ならびにそのコンピュータプログラムに関するものである。
【０００２】
【従来の技術】
従来、ＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ ｃｏｎｔｒｏｌ ｐｒｏｔｏｃｏｌ／ｉｎｔｅｒｎｅｔ ｐｒｏｔｏｃｏｌ）などのネットワークプロトコルは、オープンとなっており、互いに信用されるグループで使われるように設計されている。このため、コンピュータのオペレーティングシステムでは、大量の通信トラフィック（データ等）を攻撃目標のサーバに送信することによって、ネットワークの伝送帯域やサーバの資源を消費して正当な利用者の利用を妨げようとするサービス不能攻撃（以下、「ＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃」と記す）を防ぐことは考慮されていない。このようなＤｏＳ攻撃に対する防御の方法は増えてきているが、複数箇所から同時に連携してＤｏＳ攻撃を行う「ＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃」に対する防御の方法は未だ効果的な方法が開発されていない。
【０００３】
このＤＤｏＳ攻撃に対する一防御の方法として、ＵＵＮＥＴ社のＣｅｎｔｅｒＴｒａｃｋがある。これは、インターネットのルータに診断機能を付加し、ＤＤｏＳ攻撃の送信元を追跡する技術である。
【０００４】
また、ＤＤｏＳ攻撃を検出したノードより攻撃元に近い上流ノードで攻撃トラヒックを制限するための技術としては、本出願の発明者等が出願済みの分散型サービス不能攻撃の防止方法（特願２００１−２７４０１６）、ＡＴ＆Ｔ社論文（Ｒ．Ｍａｈａｊａｎ， Ｓ．Ｍ．Ｂｅｌｌｏｖｉｎ， Ｓ．Ｆｌｏｙｄ， Ｊ．Ｉｏａｎｎｉｄｉｓ， Ｖ．Ｐａｘｓｏｎ ａｎｄ Ｓ．Ｓｈｅｎｋｅｒ： “Ｃｏｎｔｒｏｌｌｉｎｇ ｈｉｇｈ ｂａｎｄｗｉｄｔｈ ａｇｇｒｅｇａｔｅｓ ｉｎ ｔｈｅ ｎｅｔｗｏｒｋ − ｅｘｔｅｎｄｅｄ ｖｅｒｓｉｏｎ”（２００１））、ＩＤＩＰ（Ｉｎｔｒｕｄｅｒ Ｄｅｔｅｃｔｉｏｎ ａｎｄ Ｉｓｏｌａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）（Ｄ．Ｓｃｈｎａｃｋｅｎｂｅｒｇ， Ｋ．Ｄｊａｈａｎｄａｒｉ ａｎｄ Ｄ．Ｓｔｅｒｎｅ： “Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ ｆｏｒ ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ａｎｄ ｒｅｓｐｏｎｓｅ”， Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ＤＡＲＰＡ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｕｒｖｉｖａｂｉｌｉｔｙ Ｃｏｎｆｅｒｅｎｃｅ ａｎｄ Ｅｘｐｏｓｉｔｉｏｎ（ＤＩＳＣＥＸ）， Ｓｏｕｔｈ Ｃａｒｏｌｉｎａ（２０００））などがある。ＡＴ＆Ｔ社論文及びＩＤＩＰは、攻撃検出イベントを攻撃経路の上流ノードへ伝達し、上流ノードで伝送帯域制限を行うための方式やプロトコルである。本出願の発明者等が出願済みの分散型サービス不能攻撃の防止方法は、ルータにインストールされている移動型パケットフィルタリングプログラムが、自らのプログラムの複製を作成し、その複製を上流ルータ移動させ、各上流ルータへ移動してきた移動型パケットフィルタリングプログラムは、それぞれＤＤｏＳ攻撃者のホストからサーバに向けて送られているトラフィック全てを通過させないようする技術である。
【０００５】
【発明が解決しようとする課題】
Ｃｅｎｔｅｒ Ｔｒａｃｋは、攻撃を受けた被害者が攻撃者を特定することを助ける技術ではあるが、実際に攻撃を受けているときにその攻撃を防御することはできない。加えて、複数箇所に分散された分散型ＤｏＳの攻撃元になっているコンピュータやそのコンピュータが接続されているネットワークの管理者に連絡をしないと、攻撃そのものを止めることはできないため、実質的には攻撃を止めるまでに何時間、あるいは何日もの時間がかかってしまうという問題点がある。
【０００６】
また、この出願の発明者等が出願済みの分散型サービス不能攻撃の防止方法、ＡＴ＆Ｔ論文及びＩＤＩＰにおては、攻撃パケットと特定されたパケットを次ノードへ送出せず、全て破棄してまう。よって、標的となるサーバのダウンやルータ装置の過負荷等によりサービスが停止する一次被害を防止することはできるが、正規利用者からのパケットを攻撃パケットと識別する方法がないため、誤って正規利用者からの正規パケットも攻撃パケットとして破棄してしまう可能性があり、正規利用者の利用性が低下するといった二次被害を引き起こしてしまうという問題がある。
【０００７】
本発明は、上記事情を考慮してなされたものであり、その目的は、正規利用者へのサービス性を低下させる被害を軽減しながらＤＤｏＳ攻撃を防御できる、分散型サービス不能攻撃防止方法及び装置ならびにプログラムを提供することにある。
【０００８】
【課題を解決するための手段】
この発明は、上記の課題を解決すべくなされたもので、請求項１に記載の発明は、複数の通信装置を網目状に接続してなるネットワークと、防御対象であるコンピュータおよびＬＡＮと、前記ＬＡＮおよびネットワークの間に介挿されたゲート装置とを有するネットワークシステムにおいて、前記ゲート装置は、入力される通信トラヒックから攻撃容疑トラヒックを検出した場合に、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の前記通信装置へ送信する処理を行い、前記通信装置は、前記攻撃容疑トラヒックの伝送帯域を下流のゲート装置または通信装置から受信した前記伝送帯域制限値に制限すると共に、前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信する処理を行い、前記攻撃容疑パケット送出元の最上流の前記通信装置に達するまで再帰的に、前記攻撃容疑パケットの伝送帯域の制限と、前記攻撃容疑トラヒックの伝送帯域制限値送信との処理を行い、前記最上流の通信装置は、当該通信装置に入力される前記攻撃容疑トラヒックの合計入力伝送帯域値を下流の通信装置へ送信する処理を行い、前記合計入力伝送帯域値を受信した下流の通信装置は、上流の前記通信装置を介さずに当該通信装置に入力される前記攻撃容疑トラヒックの伝送帯域値と、受信した前記攻撃容疑トラヒックの合計入力伝送帯域値とを合計した、当該通信装置における前記攻撃容疑トラヒックの合計入力伝送帯域値を下流の通信装置または前記ゲート装置へ送信し、前記ゲート装置に達するまで再帰的に前記攻撃容疑トラヒックの合計入力伝送帯域値の送信する処理を行い、前記ゲート装置は、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限調整値と、前記上流の通信装置を介さずに当該ゲート装置に入力される前記攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの合計入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信する処理を行い、前記通信装置は、前記攻撃容疑トラヒックの伝送帯域を下流のゲート装置または通信装置から受信した前記伝送帯域制限調整値に制限すると共に、前記受信した伝送帯域制限調整値と、前記上流の通信装置を介さずに当該通信装置に入力される前記攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの合計入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信する処理とを行い、前記攻撃容疑パケット送出元の最上流の前記通信装置に達するまで再帰的に、伝送帯域制限調整値に前記攻撃容疑パケットの伝送帯域の制限と共に、前記攻撃容疑トラヒックの伝送帯域制限調整値の送信との処理を行う、ことを特徴とする分散型サービス不能攻撃防止方法である。
【０００９】
請求項２に記載の発明は、請求項１に記載の分散型サービス不能攻撃防止方法であって、前記伝送帯域制限値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
【数１１】
により算出されることを特徴とする。
【００１０】
請求項３に記載の発明は、請求項１または請求項２に記載の分散型サービス不能攻撃防止方法であって、前記伝送帯域制限調整値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑トラヒックの合計入力伝送帯域値をＴ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの合計入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
【数１２】
により算出されることを特徴とする。
【００１１】
請求項４に記載の発明は、複数の通信装置を網目状に接続してなるネットワークと、防御対象であるコンピュータおよびＬＡＮとの間に介挿されたゲート装置において、入力される通信トラヒックをチェックし、分散型サービス不能攻撃の攻撃容疑トラヒックを検出するトラヒック監視手段と、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記トラヒック監視手段によって検出された攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信する帯域制限指示手段と、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限調整値と、前記上流の通信装置を介さずに当該ゲート装置に入力される前記攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの合計入力伝送帯域値とを基に、前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信する帯域制限調整手段と、を備えることを特徴とするゲート装置である。
【００１２】
請求項５に記載の発明は、請求項４に記載のゲート装置であって、前記帯域制限指示手段は、前記伝送帯域制限値を、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
【数１３】
により算出し、前記帯域制限調整手段は、前記伝送帯域制限調整値を、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑トラヒックの合計入力伝送帯域値をＴ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの合計入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
【数１４】
により算出することを特徴とする。
【００１３】
請求項６に記載の発明は、防御対象であるコンピュータおよびＬＡＮを防御するゲート装置が接続されたネットワークのノードを構成する通信装置において、下流のゲート装置あるいは通信装置から攻撃容疑トラヒックの伝送帯域制限値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限値に制限する帯域制御手段と、前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信する帯域制限指示手段と、前記上流の通信装置を介さずに当該通信装置に入力される前記攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの合計入力伝送帯域値とを合計した当該通信装置における前記攻撃容疑トラヒックの合計入力伝送帯域値を前記下流のゲート装置または通信装置に通知する帯域通知手段と、前記下流のゲート装置あるいは通信装置から攻撃容疑トラヒックの伝送帯域制限調整値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限調整値に制限する帯域制御調整手段と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの合計入力伝送帯域値と、前記上流の通信装置を介さずに当該通信装置に入力される攻撃容疑トラヒックの伝送帯域値と、前記受信した伝送帯域調整値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して、前記上流の通信装置へ送信する帯域制限調整手段と、を備えることを特徴とする通信装置である。
【００１４】
請求項７に記載の発明は、請求項６に記載の通信装置であって、前記帯域制限指示手段は、前記伝送帯域制限値を、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
【数１５】
により算出し、前記帯域制限調整手段は、前記伝送帯域制限調整値を、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑トラヒックの合計入力伝送帯域値をＴ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの合計入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
【数１６】
により算出することを特徴とする。
【００１５】
請求項８に記載の発明は、複数の通信装置を網目状に接続してなるネットワークと、防御対象であるコンピュータおよびＬＡＮとの間に介挿されたゲート装置上で実行されるコンピュータプログラムであって、入力される通信トラヒックをチェックし、分散型サービス不能攻撃の攻撃容疑トラヒックを検出した場合に、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信するステップと、前記上流の通信装置を介さずに当該ゲート装置に入力される前記攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの合計入力伝送帯域値とを基に、前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信するステップと、をコンピュータに実行させることを特徴とする分散型サービス不能攻撃防止プログラムである。
【００１６】
請求項９に記載の発明は、防御対象であるコンピュータおよびＬＡＮを防御するゲート装置が接続されたネットワークのノードを構成する通信装置上で実行されるコンピュータプログラムであって、下流のゲート装置又は通信装置から攻撃容疑トラヒックの伝送帯域制限値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限値に制限するステップと、前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して、上流の通信装置へ送信するステップと、前記上流の通信装置を介さずに当該通信装置に入力される攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した合計入力伝送帯域値とを合計した、当該通信装置における前記攻撃容疑トラヒックの合計入力伝送帯域値を前記下流のゲート装置又は通信装置に送信するステップと、前記下流のゲート装置又は通信装置から伝送帯域制限調整値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限調整値に制限するステップと、前記受信した伝送帯域制限調整値と、前記上流の通信装置を介さずに当該通信装置に入力される前記攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの合計入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して、前記１つ上流の通信装置へ送信するステップと、をコンピュータに実行させることを特徴とする分散型サービス不能攻撃防止プログラムである。
【００１７】
請求項１０に記載の発明は、請求項８または請求項９に記載の分散型サービス不能攻撃防止プログラムであって、前記伝送帯域制限値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
【数１７】
により算出され、前記伝送帯域制限調整値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑トラヒックの合計入力伝送帯域値をＴ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの合計入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
【数１８】
により算出されることを特徴とする。
【００１８】
請求項１１に記載の発明は、複数の通信装置を網目状に接続してなるネットワークと、防御対象であるコンピュータおよびＬＡＮとの間に介挿されたゲート装置上で実行されるコンピュータプログラムを記緑したコンピュータ読み取り可能な記録媒体であって、入力される通信トラヒックをチェックし、分散型サービス不能攻撃の攻撃容疑トラヒックを検出した場合に、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信するステップと、前記上流の通信装置を介さずに当該ゲート装置に入力される前記攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの合計入力伝送帯域値とを基に、前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信するステップと、の各処理をコンピュータに実行させる分散型サービス不能攻撃防止プログラムを記録することを特徴とする記録媒体である。
【００１９】
請求項１２に記載の発明は、防御対象であるコンピュータおよびＬＡＮを防御するゲート装置が接続されたネットワークのノードを構成する通信装置上で実行されるコンピュータプログラムを記録したコンピュータ読み取り可能な記録媒体であって、下流のゲート装置又は通信装置から攻撃容疑トラヒックの伝送帯域制限値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限値に制限するステップと、前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して、上流の通信装置へ送信するステップと、前記上流の通信装置を介さずに当該通信装置に入力される攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した合計入力伝送帯域値とを合計した、当該通信装置における前記攻撃容疑トラヒックの合計入力伝送帯域値を前記下流のゲート装置又は通信装置に送信するステップと、前記下流のゲート装置又は通信装置から伝送帯域制限調整値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限調整値に制限するステップと、前記受信した伝送帯域制限調整値と、前記上流の通信装置を介さずに当該通信装置に入力される前記攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの合計入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して、前記１つ上流の通信装置へ送信するステップと、の各処理をコンピュータに実行させる分散型サービス不能攻撃防止プログラムを記録することを特徴とする記録媒体である。
【００２０】
請求項１３に記載の発明は、請求項１１または請求項１２に記載の分散型サービス不能攻撃防止プログラムを記録することを特徴とする記録媒体であって、前記伝送帯域制限値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
【数１９】
により算出され、前記伝送帯域制限調整値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑トラヒックの合計入力伝送帯域値をＴ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの合計入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
【数２０】
により算出されることを特徴とする。
【００２１】
【発明の実施の形態】
以下図面を参照し、この発明の一実施の形態について説明する。図１は、同実施の形態を適用したネットワークの構成図である。この図において、２０００はサーバ、２００１はこの発明の一実施形態によるゲート装置（ゲートウェイ）、２００２〜２００６はこの発明の一実施形態による通信装置（ルータ）、２００７〜２０１１は端末装置、２０１２はこの発明の技術を適用したものではない一般通信装置（ルータ）である。ＤＤｏＳ攻撃の被攻撃者のサーバ２０００が収容されているＬＡＮ（ローカルエリアネットワーク）は、ゲート装置２００１によって外部のネットワークに接続されている。そして、ネットワークは通信装置２００２、２００３、２００４、２００５、２００６及び一般通信装置２０１２を有している。ＤＤｏＳ攻撃者によって操作された端末装置２００７、２００８、２００９、２０１０が、攻撃パケットを被攻撃者のサーバ２０００に向かって送信すると、攻撃パケットが被攻撃者収容ＬＡＮに集中して混雑が発生することにより、ゲート装置２００１の資源を消費してしまい、ＤＤｏＳ攻撃者とは無関係な正規利用者の端末２０１１からサーバ２０００に接続できなくなるという現象が起こる。
【００２２】
ゲート装置２００１は、予めサーバ２０００を保有する利用者が設定した攻撃容疑検出条件を記憶している。図２に攻撃容疑検出条件の設定の例を示す。さらに、ゲート装置２００１は、防御対象のサーバ２０００及びサーバ２０００が収容されているＬＡＮの所有者によって予め設定された伝送帯域制限値を記憶している。
【００２３】
図２における攻撃容疑検出条件は、検出属性、検出閾値及び検出間隔の組からなる３組のレコードで構成される。ここでは、番号はレコードを特定するために便宜上使用される。攻撃容疑検出条件は、受信パケットが攻撃パケットである可能性がある攻撃容疑パケットを検出するために使用され、３組のレコードの内のいずれかのレコードの条件にトラヒックが一致した場合、このトラヒックの通信パケットは攻撃容疑パケットであると認識される。検出属性は、ＩＰパケットの第３／４層属性種別とそれら属性値の組を指定するが、第３層属性であるＩＰの「Ｄｅｓｔｉｎａｔｉｏｎ ＩＰ Ａｄｄｒｅｓｓ（宛先ＩＰアドレス）」という属性種別は必ず指定される。図２において、番号１のレコードの検出属性は、「Ｄｅｓｔｉｎａｔｉｏｎ ＩＰ Ａｄｄｒｅｓｓ（宛先ＩＰアドレス）」が「１９２．１６８．１．１／３２」であり（ｄｓｔ＝１９２．１６８．１．１／３２）、ＩＰの上位層（第４層）のプロトコル種別を示す「Ｐｒｏｔｏｃｏｌ（プロトコル）」が「ＴＣＰ」であり（Ｐｒｏｔｏｃｏｌ＝ＴＣＰ）、かつ、第４層プロトコルがどのアプリケーションの情報かを示す「Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ（宛先ポート番号）」が「８０」である（Ｐｏｒｔ＝８０）という属性種別とそれら属性値の組で指定される。番号２のレコード検出属性は、「Ｄｅｓｔｉｎａｔｉｏｎ ＩＰ Ａｄｄｒｅｓｓ（宛先ＩＰアドレス）」が「１９２．１６８．１．２／３２」であり（ｄｓｔ＝１９２．１６８．１．２／３２）、かつ、「Ｐｒｏｔｏｃｏｌ（プロトコル）」が「ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ ｐｒｏｔｏｃｏｌ）」である（Ｐｒｏｔｏｃｏｌ＝ＵＤＰ）という属性種別とそれら属性値の組で指定される。また、番号３のレコード検出属性は、「Ｄｅｓｔｉｎａｔｉｏｎ ＩＰ Ａｄｄｒｅｓｓ（宛先ＩＰアドレス）」が「１９２．１６８．１．０／２４」である属性種別とその属性値で指定される。検出閾値は、同じレコードで指定される検出属性を持つ受信パケットのトラヒックを攻撃容疑トラヒックとして検出するための最低の伝送帯域を、検出間隔は同じく最低の連続時間を示している。
【００２４】
また、ゲート装置２００１及び通信装置２００２〜２００６は、攻撃容疑パケットのトラヒックを分析し、不正トラヒックを検出するための不正トラヒック検出条件を保有する。図３に不正トラヒック検出条件の設定の例を示す。ここでは、番号はレコードを特定するために便宜上使用される。不正トラヒック条件は、既知のＤＤｏＳ攻撃の複数のトラヒックパターンから構成され、攻撃容疑パケットのトラヒックがいずれかのトラヒックパターンに合致した場合に、不正トラヒックであると認識される。図３の番号１の不正トラヒック条件は、「伝送帯域Ｔ１Ｋｂｐｓ以上のパケットがＳ１秒以上連続送信されている」というトラヒックパターンを示している。また、番号２の不正トラヒック条件は、「伝送帯域Ｔ２Ｋｂｐｓ以上、第３層プロトコルであるＩＣＭＰ（Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｏｌ）上のエコー応答（Ｅｃｈｏ Ｒｅｐｌｙ）メッセージのパケットがＳ２秒以上連続送信されている」というトラヒックパターンを示している。番号３の不正トラヒック条件は、「伝送帯域Ｔ３Ｋｂｐｓ以上、データが長すぎるためパケットに含まれるデータは複数ＩＰパケットに分割して送信していることを示すフラグメントパケットがＳ３秒以上連続送信されている」というトラヒックパターンを示している。
【００２５】
ここで、ゲート装置２００１及び通信装置２００２〜２００６が備える帯域制御モデルを説明する。図４は本実施の形態におけるゲート装置２００１及び通信装置２００２〜２００６が備える帯域制御モデルを示す。帯域制御モデルは、入力パケットをクラス別に分類し、このクラスに従ってパケットの出力帯域制御を実現するためのモデルを示す。フィルタ２０２１は、入力されたパケットを正規クラス２０２２、容疑クラス２０２６、不正クラス２０２４の３つのクラスに分類する。なお、このフィルタ２０２１の分類アルゴリズムは後述する。正規クラス２０２２はデフォルトクラスであり、正規クラス２０２２に分類されたパケットは正規キュー２０２３につながれ、伝送帯域を制限せずに出力される。容疑クラス２０２６に分類されたパケットは、容疑パケットか否かを判断するための防御対象のサーバ２０００及びサーバ２０００が収容されているＬＡＮ毎に発生する容疑キュー２０２７につながれ、防御対象のサーバ２０００及びサーバ２０００が収容されているＬＡＮの所有者によって予め設定された伝送帯域制限値に出力伝送帯域が制限される。なお、容疑シグネチャの生成については後述する。サーバ２０００を収容しているゲート装置２００１の容疑キューの伝送帯域制限値は防御対象のサーバ２０００及びサーバ２０００が収容されているＬＡＮの所有者によって予め設定された伝送帯域制限値を使用するが、上流の通信装置２００２〜２００６では、下流の通信装置から受信した伝送帯域制限値を使用する。不正クラス２０２４に分類されたパケットは、不正キュー２０２５につながれ、サーバ所有者やネットワークのポリシーに関わらず、０または０に近い伝送帯域に制限される。
【００２６】
続いて、ゲート装置２００１及び通信装置２００２〜２００６が伝送帯域制限を実行するための、フィルタ２０２１の分類アルゴリズムについて説明する。ゲート装置２００１及び通信装置２００２〜２００６は、当該通信装置に入力される全ての通信パケットをこの分類アルゴリズムで分類する。図５はフィルタ２０２１における分類アルゴリズムを示す。まず、ステップＳ３００３において、フィルタ２０２１は、入力されたパケットが不正シグネチャと合致するか判断する。不正シグネチャに合致した場合、パケットは不正クラス２０２４に分類される（ステップＳ３００４）。不正シグネチャに合致しなかった場合は、ステップＳ３００５に進み、パケットが容疑シグネチャであるか判断し、容疑シグネチャに合致すれば容疑クラス２０２６へ分類され（ステップＳ３００６）、合致しない場合には正規クラス２０２２へ分類される（ステップＳ３００７）。このようにして各クラスに分類されたパケットは、正規キューであれば伝送帯域を制限せずに出力され、容疑キュー及び不正キューであればそれぞれの伝送帯域制限値に従って伝送帯域が制限されて出力される。なお、容疑シグネチャ及び不正シグネチャの生成については後述する。
【００２７】
次に、ＤＤｏＳ攻撃に対する対策方式の処理手順を示す。まず、図６のゲート装置２００１の攻撃容疑パケット検出時の動作を示すフローチャート、図８の通信装置２００２、２００３の伝送帯域制限指示受信時の動作を示すフローチャート及び図９のゲート装置２００１及び通信装置２００２〜２００６の不正トラヒック検出時の動作を示すフローチャートを用いてＤＤｏＳ攻撃発生と同時に初期の伝送帯域制限を実施する処理手順を説明する。
【００２８】
図６のステップＳ３０１１において、ゲート装置２００１は、攻撃容疑検出条件（図２）に従って、検出間隔で指定されているより長い時間連続して、検出閾値で指定されている以上の伝送帯域を使用している、検出属性に合致するトラヒックをチェックし、３組のレコードの内のいずれかのレコードに合致した場合、このトラヒックを攻撃容疑トラヒックとして検出する。すると、ステップＳ３０１２において、この検出された攻撃容疑トラヒックが満たしている攻撃容疑検出条件のレコードの検出属性を、容疑シグネチャとして生成する。容疑シグネチャは、攻撃容疑トラヒックの通信パケット、すなわち攻撃容疑パケットを識別するために用いられる。例えば、図２の設定例を用いて説明すると、番号１のレコードの条件で検出されるパケットの容疑シグネチャは｛ｄｓｔ＝１９２．１６８．１．１／３２， Ｐｒｏｔｏｃｏｌ＝ＴＣＰ， Ｐｏｒｔ＝８０｝となる。
【００２９】
次いで、ステップＳ３０１３において、ゲート装置２００１は、ステップＳ３０１２において生成した容疑シグネチャをフィルタ２０２１に登録する。次に、防御対象のサーバ２０００及びサーバ２０００が収容されているＬＡＮの所有者によって予め設定された伝送帯域制限値に攻撃容疑トラヒックの伝送帯域を制限するための容疑キュー２０２７を生成する。なお、同一防御対象に関する容疑キューが既に生成済みの場合は、新たな容疑キューの生成は行わない。これにより、以後、図４に示す帯域制御モデルと図５に示すフィルタ２０２１の分類アルゴリズムに従って、容疑シグネチャに合致する攻撃容疑パケットの伝送帯域の制限が実行される。
【００３０】
そして、ゲート装置２００１は、ステップＳ３０１４において、容疑シグネチャと算出した攻撃容疑パケットの伝送帯域制限値とを含んだ伝送帯域制限指示を１つ上流にある通信装置２００２、２００３に送信する。ここで、伝送帯域制限値の算出方法を説明する。なお、本明細書においては、ゲート装置あるいは通信装置を識別するための添え字を持つ
【数２１】
などの変数を便宜上Ｓｓ（ｄ＋１，ｉ，ｋ）、Ｓｓ（ｄ，ｉ）、ｎｕ（ｄ，ｉ）のように記述する。ネットワークにおいて、ゲート装置２００１の存在する階層を初期値０として通信装置がゲート装置２００１から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別される通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流（すなわち深さｄ＋１）にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流（深さｄ＋１）にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流（深さｄ＋１）にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とする。このとき、伝送帯域制限値は、以下の式で算出される。
【数２２】
よって、ゲート装置２００１は、上記の式により、通信装置２００２、２００３に指示する伝送帯域制限値を算出する。これは、ゲート装置２００１は、自身が持つ伝送帯域制限値を１つ上流の通信装置全てに均等に割り当てることを示す。図７は図１の構成における伝送帯域制限値の算出の例を示す図である。この図において、ゲート装置２００１は深さｄ＝０であり、この深さｄ＝０には１つの装置のみが存在するためゲート装置２００１のｉは１である。ゲート装置２００１の伝送帯域制限値の初期値Ｓｓ（０，１）は、攻撃容疑トラヒックを検出したときのレコードに対応した伝送帯域制限値である。ここでは例として、伝送帯域制限値が８００ｋｂｐｓであったとする。そして、ゲート装置２００１には２つの１つ上流の通信装置２００２、２００３が存在するため、１つ上流の通信装置数ｎｕ（０，１）は２である。よって、ゲート装置２００１には、１番目の１つ上流の通信装置２００２の伝送帯域制限値Ｓｓ（１，１，１）及び２番目の１つ上流の通信装置２００３の伝送帯域制限値Ｓｓ（１，１，２）は、Ｓｓ（０，１）＝８００ｋｂｐｓをｎｕ（０，１）＝２で除算した４００ｋｂｐｓとなる。
【００３１】
次に、伝送帯域制限指示受信時の通信装置２００２、２００３の動作を説明する。図８のステップＳ３０２１において、通信装置２００２、２００３は、ゲート装置２００１が送信した（ステップＳ３０１４）伝送帯域制限指示を受信する。次に、ステップＳ３０２２に進み、通信装置２００２、２００３は、受信した伝送帯域制限指示に含まれる容疑シグネチャをフィルタ２０２１に登録し、容疑シグネチャ及び攻撃容疑パケットの伝送帯域制限値に対応した容疑キュー２０２７を生成する。これにより、以後、図４に示す帯域制御モデルと図５に示すフィルタ２０２１の分類アルゴリズムに従って容疑シグネチャに合致する攻撃容疑パケットの伝送帯域の制限が実行される。
【００３２】
通信装置２００２はステップＳ３０２３において、その上流にある通信装置２００４に、通信装置２００３はその上流にある通信装置２００５及び２００６に、受信した容疑シグネチャと、受信した伝送帯域制限値から算出した伝送帯域制限値とを含んだ伝送帯域制限指示を送信する。このときの算出方法は、ゲート装置２００１のステップＳ３００３と同様である。すなわち、通信装置２００２、２００３は、ゲート装置２００１から受信した伝送帯域制限値を１つ上流の通信装置全てに均等に割り当てる。図７を用いて説明すると、通信装置２００２、２００３の深さｄは１であり、この深さｄ＝１には２つの通信装置が存在し、その１番目の通信装置２００２のｉは１、２番目の通信装置２００３のｉは２である。通信装置２００２の伝送帯域制限値Ｓｓ（１，１）及び通信装置２００３の伝送帯域制限値Ｓｓ（１，２）は、それぞれゲート装置２００１から受信した伝送帯域制限値Ｓｓ（１，１，１）、Ｓｓ（１，１，２）であり、すなわち４００ｋｂｐｓである。そして、通信装置２００２には１つの上流の通信装置２００４が存在するため、１つ上流の通信装置数ｎｕ（１，１）は１である。よって、通信装置２００４の伝送帯域制限値Ｓｓ（２，１，１）は、Ｓｓ（１，１）＝４００ｋｂｐｓをｎｕ（１，１）＝１で除算した４００ｋｂｐｓとなる。一方、通信装置２００３には２つの上流の通信装置２００５、２００６が存在するため１つ上流の通信装置数ｎｕ（１，２）は２である。よって、通信装置２００５の伝送帯域制限値Ｓｓ（２，２，１）及び通信装置２００６の伝送帯域制限値Ｓｓ（２，２，２）は、Ｓｓ（１，２）＝４００ｋｂｐｓをｎｕ（１，２）＝２で除算した２００ｋｂｐｓとなる。
【００３３】
そして、通信装置２００４は通信装置２００２から、通信装置２００５、２００６は通信装置２００３から伝送帯域制限指示を受信し、通信装置２００２、２００３におけるステップＳ３０２１〜Ｓ３０２２と同様に動作する。通信装置２００４〜２００６は、ルーチングテーブルなどにより上流に通信装置がないと判断できるため、ステップＳ３０２３は実行しない。
【００３４】
次に、ゲート装置２００１及び通信装置２００２〜２００６の不正トラヒック検出時の動作を説明する。図９のステップＳ３０３１において、ゲート装置２００１及び通信装置２００２〜２００６は、ＤＤｏＳ攻撃者がパケットを送出しているネットワークを特定するため入力パケットを分析して、不正トラヒック条件のいずれかのパターンに合致するトラヒックを検出する。すると、ゲート装置２００１及び通信装置２００２〜２００６は、ステップＳ３０３２において、この検出された不正トラヒック条件を満たすパケットの送信元ＩＰアドレスを不正アドレス範囲として特定し、この不正アドレス範囲であり、かつ、容疑シグネチャに合致するという条件を不正シグネチャとする。そして、ゲート装置２００１及び通信装置２００２〜２００６は、ステップＳ３０３３においてこの不正シグネチャをフィルタ２０２１に登録する。これにより、以後、図４に示す帯域制御モデルと図５に示すフィルタ２０２１の分類アルゴリズムに従って不正シグネチャで識別される攻撃パケットの伝送帯域はさらに制限される。すなわち、攻撃パケットは不正クラス２０２４に分類され、正規利用者からのパケットである正規パケットのみが攻撃容疑パケットとして容疑クラス２０２６に分類される。
【００３５】
以上説明した初期の伝送帯域制限を実施することにより、早期にネットワークの伝送帯域の溢れを防いだ後、攻撃容疑パケットの入力トラヒックに応じて、伝送帯域制限値の調整を実施する処理手順を説明する。図１０はゲート装置２００１及び通信装置２００２〜２００６の伝送帯域制限値の調整の動作を示すフローチャートである。
【００３６】
ステップＳ３０４１において、最上流の通信装置２００４〜２００６は、攻撃容疑パケットの伝送帯域制限開始後一定時間、攻撃容疑パケットの入力トラヒックを計測する。次に、ステップＳ３０４２に進み、通信装置２００４〜２００６は、この計測した攻撃容疑パケットの入力トラヒックである入力伝送帯域値を１つ上流の通信装置へ、すなわち、通信装置２００４は通信装置２００２へ、通信装置２００５、２００６は通信装置２００３へ通知する。例えば、図１１の図１の構成における伝送帯域調整値の算出の例を用いて説明すると、端末装置２００７、２００８から併せて２０００ｋｂｐｓの攻撃容疑パケットの入力トラヒックがあった場合は、通信装置２００４は通信装置２００２に入力伝送帯域値２０００ｋｂｐｓを、端末装置２０１０から２０００ｋｂｐｓ、端末装置２０１１から３０００ｋｂｐｓの攻撃容疑パケットの入力トラヒックがあった場合は、通信装置２００５は入力伝送帯域値２０００ｋｂｐｓを、通信装置２００６は入力伝送帯域値３０００ｋｂｐｓを通信装置２００３に通知する。
【００３７】
次に、図１０のステップＳ３０５１において、通信装置２００２、２００３は、１つ上流の全ての通信装置から攻撃容疑パケットの入力伝送帯域値の通知を受信する。すると、ステップＳ３０５２に進み、通信装置２００２は上流の通信装置２００４以外から、通信装置２００３は上流の通信装置２００５、２００６以外から当該通信装置に直接入力される攻撃容疑トラヒックがあればこれを計測する。例えば、通信装置２００２は、一般通信装置２０１２からの攻撃容疑トラヒックを計測する。そしてステップＳ３０５３において、通信装置２００２、２００３は、ステップＳ３０５１で全ての上流の通信装置から受信した攻撃容疑パケットの入力伝送帯域値と、ステップＳ３０５２で計測した当該通信装置における攻撃容疑パケットの直接入力伝送帯域値とを加算して、当該通信装置における攻撃容疑パケットの合計入力伝送帯域値を１つ下流の通信装置、すなわちゲート装置２００１に通知する。図１１の例を用いて説明する。端末装置２００９は、一般ルータ２０１２に１０００ｋｂｐｓの攻撃容疑パケットを送信しており、一般ルータ２０１２は、この攻撃容疑パケットを通信装置２００２に送出している。通信装置２００２は、上流の通信装置２００４から受信した攻撃容疑パケットの入力伝送帯域値２０００ｋｂｐｓと一般通信装置２０１２から直接入力される攻撃容疑トラヒック１０００ｋｂｐｓを合計した３０００ｋｂｐｓをゲート装置２００１に通知し、通信装置２００３は、上流の通信装置２００５、２００６から受信した攻撃容疑パケットの入力伝送帯域値を合計した５０００ｋｂｐｓをゲート装置２００１に通知する。
【００３８】
すると、図１０のステップＳ３０６１において、ゲート装置２００１は、１つ上流の全ての通信装置、すなわち、通信装置２００２、２００３から攻撃容疑パケットの合計入力伝送帯域値の通知を受ける。すると、ステップＳ３０６２に進み、ゲート装置２００１は上流の通信装置２００２、２００３以外から直接入力される攻撃容疑トラヒックがあればこれを計測する。ステップＳ３０６３において、ステップＳ３０６１で全ての上流の通信装置２００２、２００３から受信した攻撃容疑パケットの合計入力伝送帯域値と、ステップＳ３０６２で計測した当該通信装置における攻撃容疑パケットの直接入力トラヒックとを加算し、ゲート装置２００１における攻撃容疑パケットの合計入力伝送帯域値を算出する。そして、この算出した合計入力伝送帯域値を基に算出した攻撃容疑パケットの伝送帯域制限調整値を含んだ伝送帯域制限調整指示を、上流の通信装置２００２、２００３に送信する。ここで、伝送帯域制限調整値の算出方法を説明する。なお、本明細書においては、ゲート装置あるいは通信装置を識別するための添え字を持つ
【数２３】
などの変数を便宜上Ｓｓ’（ｄ＋１，ｉ，ｋ）、Ｂ（ｄ＋１，ｉ，ｋ）、Ｔ（ｄ，ｉ）、Ｓｓ’（ｄ，ｉ）のように記述する。ネットワークにおいて、ゲート装置２００１の存在する階層を初期値０として通信装置がゲート装置２００１から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいて通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑トラヒックの合計入力伝送帯域値をＴ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流（深さｄ＋１）にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流（深さｄ＋１）にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの合計入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、そして、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流（深さｄ＋１）にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とする。このとき、伝送帯域制限調整値は、以下の式で算出される。
【数２４】
よって、ゲート装置２００１は、上記の式により、通信装置２００２、２００３に指示する伝送帯域制限調整値を算出する。これは、当該通信装置における合計攻撃容疑トラヒック量に占める１つ上流の通信装置における合計攻撃容疑トラヒック量の比率に従って、その１つ上流の通信装置の攻撃容疑トラヒックの伝送帯域を調整することを示している。ただし、ゲート装置２００１の伝送帯域制限調整値の初期値Ｓｓ’（０，１）は伝送帯域制限値の初期値Ｓｓ（０，１）と同じである。図１１の送帯域制限調整調整値の算出の例を用いて説明する。ゲート装置２００１の合計入力伝送帯域値Ｔ（０，１）は、通信装置２００２の合計入力伝送帯域値Ｂ（１，１，１）＝３０００ｋｂｐｓと通信装置２００３の合計入力伝送帯域値Ｂ（１，１，２）＝５０００ｋｂｐｓとの合計値８０００ｋｂｐｓである。また、伝送帯域制限調整値の初期値Ｓｓ’（０，１）＝Ｓｓ（０，１）であるため、図７の例より、Ｓｓ’（０，１）は８００ｂｋｐｓとなる。よって、通信装置２００２伝送帯域制限調整値Ｓｓ’（１，１，１）は、通信装置２００２の合計入力伝送帯域値Ｂ（１，１，１）＝３０００ｋｂｐｓをゲート装置２００１の合計入力伝送帯域値Ｔ（０，１）＝８０００ｋｂｐｓで除算し、ゲート装置２００１の伝送帯域制限調整値Ｓｓ’（０，１）＝８００ｋｂｐｓを乗算した３００ｋｂｐｓとなり、一方、通信装置２００３の伝送帯域制限調整値Ｓｓ’（１，１，２）は、通信装置２００３の合計入力伝送帯域値Ｂ（１，１，２）＝５０００ｋｂｐｓをゲート装置２００１の合計入力伝送帯域値Ｔ（０，１）＝８０００ｋｂｐｓで除算し、ゲート装置２００１の伝送帯域制限調整値Ｓｓ’（０，１）＝８００ｋｂｐｓを乗算した５００ｋｂｐｓとなる。
【００３９】
図１０のステップＳ３０５４において、通信装置２００２、２００３は、ゲート装置２００１から伝送帯域制限調整指示を受信する。すると、ステップＳ３０５５において、通信装置２００２、２００３は、容疑キュー２０２７の伝送帯域制限値を受信した伝送帯域制限調整指示に含まれる伝送帯域制限調整値に変更し、攻撃容疑パケットの伝送帯域を制限する。次いで、ステップＳ３０５６に進み、ステップＳ３０５１で通信装置２００２は通信装置２００４から、通信装置２００３は通信装置２００５、２００６から受信した入力伝送帯域値、ステップＳ３０５２で計測した当該通信装置に直接入力される伝送帯域値及びステップＳ３０５３でゲート装置２００１から受信した伝送帯域制限調整値を基に算出した攻撃容疑パケットの伝送帯域制限調整値を含んだ伝送帯域制限調整指示を算出する。そして、この算出した伝送帯域制限値を含んだ伝送帯域調整指示を通信装置２００２は通信装置２００４に、通信装置２００３は通信装置２００５、２００６に送信する。このときの算出方法は、ゲート装置２００１のステップＳ３０６３と同様である。
【００４０】
例えば、図１１の例を用いて説明すると、通信装置２００２の伝送帯域制限調整値Ｓｓ’（１，１）は、ゲート装置２００１から受信した伝送帯域制限調整値Ｓｓ’（１，１，１）である３００ｋｂｐｓ、同様に通信装置２００３の伝送帯域制限調整値Ｓｓ’（１，２）は、ゲート装置２００１から受信した伝送帯域制限調整値Ｓｓ’（１，１，２）である５００ｋｂｐｓとなる。そして、通信装置２００２における合計入力伝送帯域値Ｔ（１，１）は、通信装置２００４の合計入力伝送帯域値Ｂ（２，１，１）＝２０００ｋｂｐｓと直接入力の１０００ｋｂｐｓとの合計値３０００ｋｂｐｓである。よって、通信装置２００４の伝送帯域制限調整値Ｓｓ’（２，１，１）は、通信装置２００４の合計入力伝送帯域値Ｂ（２，１，１）＝２０００ｋｂｐｓを通信装置２００２における合計入力伝送帯域値Ｔ（１，１）＝３０００ｋｂｐｓで除算し、通信装置２００２の伝送帯域制限調整値Ｓｓ’（１，１）＝３００ｋｂｐｓを乗算した、２００ｋｂｐｓとなる。また、通信装置２００３における合計入力伝送帯域値Ｔ（１，２）は、通信装置２００５の合計入力伝送帯域値Ｂ（２，２，１）＝２０００ｋｂｐｓと通信装置２００６の合計入力伝送帯域値Ｂ（２，２，２）＝３０００ｋｂｐｓとの合計値５０００ｋｂｐｓであるため、２００５の伝送帯域制限調整値Ｓｓ’（２，２，１）は、通信装置２００４の伝送帯域制限調整値はＢ（２，２，１）＝２０００ｋｂｐｓを合計入力伝送帯域値Ｔ（１，２）＝５０００ｋｂｐｓで除算し、通信装置２００３の伝送帯域制限調整値Ｓｓ’（１，２）＝５００ｋｂｐｓを乗算した２００ｋｂｐｓとなり、２００６の伝送帯域制限調整値Ｓｓ’（２，２，２）は、通信装置２００６の伝送帯域制限調整値はＢ（２，２，２）＝３０００ｋｂｐｓを通信装置２００３における合計入力伝送帯域値Ｔ（１，２）＝５０００ｋｂｐｓで除算し、通信装置２００３の伝送帯域制限調整値Ｓｓ’（１，２）＝５００ｋｂｐｓを乗算した、３００ｋｂｐｓとなる。
【００４１】
通信装置２００４〜２００６は、ステップＳ３０４３において通信装置２００２、２００３から伝送帯域制限調整指示を受信する。すると、ステップＳ３０４４において、通信装置２００２、２００３は、容疑キュー２０２７の伝送帯域制限値を受信した伝送帯域制限調整値に変更し、攻撃容疑パケットの伝送帯域を制限する。
【００４２】
この後、通信装置２００２、２００３はステップＳ３０５７において、あるいは、通信装置２００４〜２００６は、ステップＳ３０４５において、上記の伝送帯域制限調整から一定時間した、あるいは、受信する攻撃容疑パケットの伝送帯域が伝送帯域調整前と調整後である一定の割合変化した、などのトリガを監視し、これを検出すると、当該通信装置に直接入力される攻撃容疑トラヒックを計測し（ステップＳ３０４１、Ｓ３０５２）、下流の通信装置へ合計入力伝送帯域値を送信して（ステップＳ３０４２、Ｓ３０５３）、再び伝送帯域調整の処理の起動を繰り返す。ここでは、このトリガ条件に合致した通信装置だけが最下流の通信装置まで攻撃容疑パケットの入力伝送帯域値を通知し、トリガ条件に合致しなかった通信装置については、最初の伝送帯域調整手順で通知された入力伝送帯域値を使用する。なお、トリガ条件に合致した通信装置がその上流に位置する通信装置に再調整の開始を要求することで、トリガ条件に合致した通信装置の最上流の通信装置までの全ての通信装置が一斉に再調整を開始する第二の方法をとってもよい。
【００４３】
ところで、以上説明した動作は、以下に記述するアクティブネットワーク上で実行される。
【００４４】
以下、図面を参照しこの発明の一実施形態を実行できるアクティブネットワークについて説明する。
図１２は、本実施形態が前提とするネットワークの構成である。図１２に示すように、通信ネットワークは、複数の通信装置７００１によって接続されている。そして、通信装置７００１には１台または複数台のユーザのコンピュータ７０００を接続することができるようになっている。ユーザのコンピュータ７０００相互間で通信データのやりとりを行う際には、送信元のユーザのコンピュータ７０００が送信したパケットを通信ネットワーク上の各ノードに位置する通信装置７００１が順次転送することにより、そのパケットを宛先のユーザのコンピュータ７０００に届けるようにする。
【００４５】
次に、通信装置の構成について説明する。図１３は、通信装置７００１の内部の構成を示すブロック図である。図１３に示すように、通信装置７００１には通信線７０２４ａ、７０２４ｂ、７０２４ｃ、７０２４ｄが接続されており、通信装置７００１はこれらの通信線を介して隣接する他の通信装置との間でパケットを交換することができるようになっている。また、通信装置７００１には、上記の各通信線７０２４ａ〜７０２４ｄに対応したインタフェース部７０２３ａ〜７０２３ｄと、パケットを転送する処理を行うための転送処理部７０２１と、パケットの転送の際の転送先の情報を記憶する転送先テーブル７０２２と、アクティブパケットに対する処理を行うためのアクティブネットワーク実行環境（Ａｃｔｉｖｅ Ｎｅｔｗｏｒｋ Ｅｘｅｃｕｔｉｏｎ Ｅｎｖｉｒｏｎｍｅｎｔ）７０１０とが設けられている。なお、アクティブネットワーク実行環境７０１０は、内部に、アクティブコード（プログラム）を実行するためのコード実行部７０１１と、アクティブコードを記憶しておくためのコード記憶部７０１２とを備えている。なお、ここでアクティブコードとは、アクティブネットワークにおいてパケットに対する作用を行うコンピュータプログラムのコードである。
【００４６】
ここで、図１３を参照しながら、この通信装置７００１の動作例の概要を説明する。隣接する他の通信装置から通信線７０２４ｄを介してパケットが到着すると、インタフェース部７０２３ｄがそのパケットを受信し転送処理部７０２１に渡す。転送処理部７０２１は、渡されたパケットのヘッダ部分に格納されている送信元（ｓｏｕｒｃｅ）アドレスと宛先（ｄｅｓｔｉｎａｔｉｏｎ）アドレスとを読み取り、さらにそれらのアドレスをキーとして転送先テーブル記憶部７０２２に記憶されている転送先テーブルを参照することによって、そのパケットにどう対処するかを決定する。
【００４７】
パケットへの対処は大きく２通りに分けられる。そのパケットに対してアクティブコードを適用する場合と、そのパケットをそのまま他の通信装置に転送する場合とである。
転送先テーブルを参照した結果、そのパケットに対してアクティブコードを適用すべきものである場合には、転送処理部７０２１は、そのパケットをアクティブネットワーク実行環境７０１０に渡す。アクティブネットワーク実行環境７０１０においては、コード実行部７０１１がそのパケットを受け取り、そのパケットに対して適用すべきアクティブコードをコード記憶部７０１２から読み出して実行する。なお、コード実行部７０１１は、アクティブコードを実行した結果、必要な場合には処理対象となったパケットを再び転送処理部７０２１に渡して他の通信装置に対して転送することもある。
転送先テーブルを参照した結果、そのパケットにアクティブコードを適用せずそのまま他の転送装置に転送するべきものである場合には、転送処理部７０２１は、適切な転送先に対応したインタフェース部（７０２３ａや７０２３ｂや７０２３ｃなど）に渡し、そのインタフェース部が通信線（７０２４ａや７０２４ｂや７０２４ｃなど）を介してパケットを他の通信装置に転送する。
【００４８】
なお、ここでは通信線７０２４ｄを介して他の通信装置からパケットが到着した場合を例として説明したが、他の通信線を介してパケットが到着した場合の処理も同様である。
【００４９】
次に、通信装置７００１内の転送処理部７０２１がいかにしてパケットに対する処置（アクティブコードを適用するか、単純に他の通信装置に転送するか）を決定するかを具体的に説明する。
【００５０】
本実施形態が基礎とするフレームワークでは、アクティブネットワーク実行環境はパケットの中において指定されているＩＰアドレスに基づいて起動される。ここで、全ての（グローバル）ＩＰアドレスの集合をＩと表わすものとする。また、送信元ＩＰアドレスがｓであり宛先ＩＰアドレスがｄであるようなパケットを（ｓ，ｄ）と表わすものとする。また、通信装置のアクティブネットワーク実行環境に格納されているすべてのアクティブコードはそれぞれ特定のユーザに属するものとし、ある特定のユーザの所有するＩＰアドレスの集合をＯと表わすものとする。
【００５１】
本フレームワークでは、上記特定のユーザに属する個々のアクティブコードは、次に示す式による集合Ａで表されるパケットであって、かつ当該アクティブネットワーク実行環境を備えた通信装置（ノード）によって受信されたパケットに対してアクセスする権限を持つ。すなわち、
Ａ＝｛（ｓ，ｄ）∈［（Ｏ×Ｉ）∪（Ｉ×Ｏ）］｜ｓ≠ｄ｝
である。つまり、この式が意味するところの概略は、特定のユーザに属するアクティブコードは、当該ユーザが所有する全てのＩＰアドレスのいずれかを送信元または宛先のアドレスとするようなパケットに対してアクセス権を有するということである。
【００５２】
当該ユーザに属するｎ個のアクティブコードがある通信装置（ノード）に格納されているとき、ｉ番目（１≦ｉ≦ｎ）のアクティブコードは、集合Ｃ（ｉ）（Ｃ（ｉ）⊆Ａ）に属するパケットをキャプチャーして処理することをアクティブネットワーク実行環境に対して予め要求しておく。つまり、当該ユーザに関して、アクティブネットワーク実行環境は、ｃ（１）∪ｃ（２）∪・・・・・・∪ｃ（ｎ）なる和集合の要素であるパケット（ｓ，ｄ）によって起動されるものであり、このようなパケットを「アクティブパケット」と呼ぶことができる。
【００５３】
図１４は、図１３に示した転送先テーブル記憶部７０２２に記憶されている転送先テーブルの一例を示す概略図である。上記のフレームワークを実現するために必要な情報は、このような転送先テーブルに格納することが可能である。
【００５４】
図１４に示すように、転送先テーブルは、タイプ（Ｔｙｐｅ）と宛先アドレス（Ｄｅｓｔｉｎａｔｉｏｎ）と送信元アドレス（Ｓｏｕｒｃｅ）と転送先（Ｓｅｎｄ ｔｏ）の各項目を含んでいる。タイプの項目は、テーブルのエントリーのタイプを表わすものであり、「アクティブ（Ａｃｔｉｖｅ）」あるいは「通常（Ｒｅｇｕｌａｒ）」のいずれかの値をとる。宛先アドレスおよび送信元アドレスの項目は、転送対象のパケットの宛先ＩＰアドレスおよび送信元ＩＰアドレスにそれぞれ対応するものである。転送先の項目はは、宛先アドレスと送信元アドレスの組み合せがマッチしたパケットに関して、適用すべきアクティブコードの識別情報あるいは転送先の通信装置のＩＰアドレスを表わすものである。
【００５５】
タイプの値が「アクティブ」であるエントリーは、対象のパケットに適用するアクティブコードを指定するものであり、その転送先の項目にはアクティブコードを識別する情報が書かれている。
タイプの値が「通常」であるエントリーは、対象のパケットの転送先の通信装置のアドレスを指定するものであり、その転送先の項目には転送先の通信装置のＩＰアドレスが書かれている。
【００５６】
図１４に示す転送先テーブルの例において、第１のエントリーでは、タイプが「アクティブ」であり、宛先アドレスが「１．２．３．４」であり、送信元アドレスが「Ａｎｙ（何でもよい）」であり、転送先が「アクティブコードＡ」となっている。これは、送信元アドレスがいかなるアドレスであっても、宛先アドレスが「１．２．３．４」にマッチする場合には、該当するパケットをトリガーとしてアクティブネットワーク実行環境が起動され、アクティブコードＡが実行されることを表わしている。
また、第２のエントリーでは、タイプが「アクティブ」であり、宛先アドレスが「１０．５０．０．０」であり、送信元アドレスが「１１．１２．１３．１４」であり、転送先が「アクティブコードＢ」となっている。これは、宛先アドレスと送信元アドレスの両方がそれぞれ上記の値にマッチした場合には、該当するパケットをトリガーとしてアクティブネットワーク実行環境が起動され、アクティブコードＢが実行されることを表わしている。
また、第３のエントリーでは、タイプが「アクティブ」であり、宛先アドレスが「Ａｎｙ（何でもよい）」であり、送信元アドレスが「１５７．２．３．０」であり、転送先が「アクティブコードＣ」となっている。これは、宛先アドレスがいかなるアドレスであっても、送信元アドレスが「１５７．２．３．０」にマッチする場合には該当するパケットをトリガーとしてアクティブネットワーク実行環境が起動され、アクティブコードＣが実行されることを表している。
【００５７】
なお、図１４に示すように、転送先テーブルにおいては、タイプが「アクティブ」であるエントリーのほうが、タイプが「通常」であるエントリーよりも上に存在している。そして、タイプが「アクティブ」であるエントリーのほうが、タイプが「通常」であるエントリーよりも優先的に適用される。また、各エントリーは、通信装置へ到着したパケットのみに対して適用され、転送のために送出されるパケットに対しては適用されない。
【００５８】
以上説明した通信装置の構成をまとめる。
図１３に示したインタフェース部は、通信線毎に設けられており、当該通信線から到着するパケットを受信するとともに当該通信線に対してパケットを送出する処理を行う。
また、転送先テーブル記憶部は、パケットの送信元アドレスまたは宛先アドレスまたはそれら両方のアドレスのパターンと、該パターンに対応するプログラム（アクティブコード）の情報あるいは該パターンに対応する転送先アドレスの情報とが登録された転送先テーブルを記憶する。
また、アクティブネットワーク実行環境は、前記プログラムを予め記憶しているとともに、このプログラムを実行する。
また、転送処理部は、通信線から到着した受信パケットを前記インタフェース部から渡された際に、当該受信パケットの送信元アドレスまたは宛先アドレスに基づいて前記転送先テーブルを参照し、前記転送先テーブルに当該受信パケットのアドレスのパターンに対応する転送先アドレスの情報が登録されていた場合には当該受信パケットを所定の転送先アドレスに向けて送出するように当該転送先アドレスに対応したインタフェース部に渡すとともに、前記転送先テーブルに当該受信パケットのアドレスのパターンに対応するプログラムの情報が登録されていた場合には前記アクティブネットワーク実行環境部において当該プログラムを起動させるとともに当該プログラムに当該受信パケットを渡す。
【００５９】
次に、本実施形態におけるアクティブコードのセキュリティに関するモデルについて説明する。このセキュリティのモデルは、各々のアクティブコードが、アクティブコードの所有者に関わるパケットのみに対して作用することを保証するためのものである。そのために、このセキュリティのモデルは、公開鍵のインフラストラクチャの存在を前提として、それを利用することとする。
【００６０】
図１５は、上記のセキュリティモデルとそのモデルにおける処理の手順を示す概略図である。図１５において、符号７０５１はユーザＡのユーザ端末装置、７０６１は認証局（Ｃｅｒｔｉｆｉｃａｔｉｏｎ Ａｕｔｈｏｒｉｔｙ ）装置である。この認証局の機能は、公の機関によって提供されるものであっても良いし、あるいはＩＳＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ，インターネット接続サービス提供者）などによって提供されるものであっても良い。
なお、図１５に示す例では、ユーザ端末装置７０５１のＩＰアドレスは「１．２．３．４」である。以下では、ユーザＡが、アクティブコードＡを通信装置７００１に登録するための処理の手順を説明する。なお、以下において、ユーザＡはアクティブコードＡの開発者であっても良いが、その必然性はなく、他の開発者が開発したアクティブコードＡをユーザＡが入手し、それを通信装置７００１に登録するものでも良い。
【００６１】
まず（１）で示すように、ユーザＡのユーザ端末装置７０５１は、周知技術を用いて鍵のペアすなわち公開鍵と秘密鍵とを生成する。
そして（２）で示すように、ユーザ端末装置７０５１は、上で生成された公開鍵を認証局装置７０６１に登録する。このとき、認証局装置７０６１は、ユーザ端末装置７０５１のＩＰアドレスを検証する。この検証が正しく行なわれると、公開鍵そのものと、ユーザＡを識別するための情報と、ユーザ端末装置７０５１のＩＰアドレス「１．２．３．４」が認証局装置７０６１に記憶される。
【００６２】
次に（３）で示すように、ユーザ端末装置７０５１は、上で生成された秘密鍵を用いてアクティブコードＡに電子署名する処理を行う。
そして（４）で示すように、ユーザ端末装置７０５１は、秘密鍵で署名されたアクティブコードＡを通信装置７００１に登録する処理を行う。
【００６３】
これを受けて通信装置７００１は、（５）で示すように、アクティブコードＡの登録を行ったユーザＡの電子証明書を認証局装置７０６１から取得する。この電子証明書には、ユーザＡを識別する情報と、そのＩＰアドレス「１．２．３．４」と、上の（２）において登録された公開鍵そのものとが含まれている。
そして（６）で示すように、通信装置７００１は、上記の電子証明書から取り出したユーザＡの公開鍵を用いて、上の（４）において登録されたアクティブコードＡの電子署名を検証する。そして、これが正しく検証された場合には、通信装置７００１は、アクティブコードＡをアクティブネットワーク実行環境に導入する処理を行う。また、これに応じて、転送先テーブルに必要なエントリーが追加される。
【００６４】
なお、この（１）および（２）の処理が行われて一旦ユーザＡの公開鍵が認証局装置７０６１に登録されると、ユーザ端末装置７０５１はその公開鍵に対応する秘密鍵を用いてアクティブモジュールをいくつでも通信装置７００１に登録することも可能である。
【００６５】
つまり、通信装置７００１は登録部（図示せず）を備えており、この登録部は、ユーザの端末装置から当該ユーザの秘密鍵で電子署名されたプログラムを受信し、当該ユーザの電子証明書を認証局装置から受信し、受信した電子証明書に含まれる当該ユーザの公開鍵を用いて前記電子署名されたプログラムの検証を行い、この検証が成功した場合には当該プログラムに対応するアドレスのパターンと当該プログラムの情報とを前記転送先テーブルに登録し、この検証が失敗した場合には当該プログラムの情報の前記転送先テーブルへの登録は行わないようにするものである。
【００６６】
なお、上で説明した通信装置へのアクティブコードの登録の手順が有効に機能するためには、次の２点が前提となる。
第１の前提として、ユーザがどの通信装置（ノード）にアクティブコードを登録すれば良いかは事前にわかっている。あるいは、どの通信装置（ノード）にアクティブコードを登録すればよいかがわかるためのディレクトリサービスが提供されている。
第２の前提として、通信装置（ノード）は、目的の認証局の公開鍵を事前にオフラインで取得しているか、他の認証局から取得するか、あるいは他の何らかの手段で取得できる。
【００６７】
次に、矛盾の解消のための制御について説明する。
ある通信装置（ノード）において、ｎ個のアクティブコードが登録されており、ｉ番目（１≦ｉ≦ｎ）とｊ番目（１≦ｊ≦ｎ）のアクティブコードが、それぞれ集合Ｃ（ｉ）（Ｃ（ｉ）⊆Ａ）と集合Ｃ（ｊ）（Ｃ（ｊ）⊆Ａ）に属するパケットに対するものであると定義されているとき、集合（ｃ（ｉ）∩ｃ（ｊ））が空集合ではないようなｉおよびｊの組み合せ（但しｉ≠ｊ）が存在する場合があり得る。つまり、あるパケットがｉ番目のアクティブコードにもｊ番目のアクティブコードにも適用されるような定義が行われている場合である。このような矛盾は、次の２通りのシナリオのいずれかによって解消することとする。
【００６８】
第１の矛盾の解消のシナリオは、パケット（ｓ，ｄ）に関して、
（ｓ∈Ｏ（ｋ）Λｄ∈Ｏ（ｌ））Λ（ｋ≠ｌ）
であるために、
（ｓ，ｄ）∈ｃ（ｉ）∩ｃ（ｊ）
となる場合に関するものである。但し、Ｏ（ｋ）およびＯ（ｌ）は、それぞれユーザｋおよびｌによって所有されるＩＰアドレスの集合である。
つまり、あるパケットに関して、送信元のユーザ用のアクティブコードと宛先のユーザ用のアクティブコードとの両方が通信装置に登録されており、そのような通信装置にこのパケット（ｓ，ｄ）が到着した場合である。このような場合には、宛先のユーザのアクティブコードを優先的に適用することが望ましいと考えられる。
【００６９】
つまり、転送先テーブルに登録されているパターンに、送信元アドレスのみが指定されていて宛先アドレスが何でもよいとされている第１のエントリーと、宛先アドレスのみが指定されていて送信元アドレスが何でもよいとされている第２のエントリーとが含まれており、受信パケットがこれら第１のエントリーと第２のエントリーとの両方にマッチしたときには、第１のエントリーよりも第２のエントリーを優先させて、当該第２のエントリーのパターンに対応するプログラムを起動するようにする。
【００７０】
このように、送信元のユーザのアクティブコードよりも宛先のユーザのアクティブコードを優先させることは、アクティブネットワークの機能を用いてＤＤｏＳ（分散型ＤｏＳ，Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ ）攻撃を防御するメカニズムを構築する場合に特に重要となる。そのようにすることによって、宛先のユーザつまり被攻撃者となり得る者のアクティブコードが、攻撃者となる可能性があるもののアクティブコードよりも優先されるためである。
【００７１】
第２の矛盾の解消のシナリオは、あるパケット（ｓ，ｄ）に関して適用されるべき２つ以上のアクティブコードが同一のユーザによって登録されている場合に関するものである。このような場合には、該当するアクティブコードのうちの最も古く登録されたものが、他のものよりも優先的に適用されるようにすることが望ましいと考えられる。こうすることにより、ユーザが新しいアクティブコードを登録しようとする際には、新しいアクティブコードを有効にするために事前に古いアクティブコードを削除することが保証されるからである。
【００７２】
次に、これまでに述べたようなアクティブネットワークのノードとして機能する通信装置のインプリメンテーションの例について説明する。図１６は、Ｌｉｎｕｘ上のＪａｖａ（登録商標）仮想マシン（ＪＶＭ）を用いてアクティブパケットの処理を行う通信装置を実現した場合の概略図である。
【００７３】
図１６に示す例では、専用のＩＰスタックを処理（ｐｒｏｃｅｓｓ）の一部として構築している。これによって、図１４に示したような転送先テーブルを実現し、実行環境（アクティブネットワーク実行環境）からこの転送先テーブルにエントリーの追加や削除を行えるようにしている。また、これに伴い、カーネル（ｋｅｒｎｅｌ）内のＩＰスタックは不要となるため、カーネルにおけるルーティングを不活性化している。そして、到着パケットのコピーがデータリンク部分から作成され、そのパケットがライブラリｌｉｂｐｃａｐを通してＪａｖａ（登録商標）仮想マシンで補足できるようにしている。
【００７４】
処理の一部として構築した専用のＩＰスタックは、アクティブパケット、つまり転送先テーブル上での所定の定義にマッチするＩＰアドレス（宛先ＩＰアドレス、送信元ＩＰアドレス、あるいはそれらの組み合せ）を有するパケットは、実行環境上で起動されるアクティブコードに対して渡される。一方、アクティブパケット以外の通常のパケットは、カーネルにおけるＩＰスタックと同様の方法で隣接する通信装置等へ向けた転送が行われる。アクティブパケットであれ通常パケットであれ、この通信装置から送出されるすべてのパケットは、ライブラリｌｉｂｎｅｔを通して送出される。こうすることにより、各々処理されたパケットのヘッダに記録された送信元アドレスは、元々の送信元アドレスのままの状態で、ネットワークに送出されることとなる。
【００７５】
また、標準のＪａｖａ（登録商標）のＡＰＩ（アプリケーションプログラムインタフェース）である「ｊａｖａ．ｓｅｃｕｒｉｔｙ 」を用いることによってセキュリティモデルをインプリメンテーションすることが可能である。この標準ＡＰＩは、セキュリティモデルを構築するために必要な機能のほとんどを提供している。また、証明書のための形式としては「Ｘ．５０９」証明書形式を用いることが可能であり、アクティブコードの所有者のＩＰアドレスを「Ｘ．５０９」の識別名（ＤＮ， ｄｉｓｔｉｎｇｕｉｓｈｅｄ ｎａｍｅ）の一部に含めることにより、本実施形態のセキュリティモデルを実現することができる。
【００７６】
なお、言うまでもなく、上記インプリメンテーションではコンピュータシステムを用いることによってアクティブネットワーク実行環境を備えた通信装置を構築している。そして、上述した一連の処理、すなわち到着パケットの複製の作成とその捕捉や、転送先テーブルを参照しながらのアクティブパケットおよび通常パケットの転送の処理や、アクティブネットワーク実行環境上でのアクティブコードの起動とその処理の実行や、処理されたパケットのネットワークへの送出などの各処理の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータが読み出して実行することによって、上記処理が行われる。
【００７７】
なお、上述した各コンピュータプログラムは、コンピュータ読取可能な記録媒体に記録されており、通信装置等に搭載されたＣＰＵ（中央処理装置）がこの記録媒体からコンピュータプログラムを読み取って、攻撃防御あるいはサービスモジュール提供等のための各処理を実行する。また、「コンピュータ読み取り可能な記録媒体」とは、磁気ディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００７８】
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されても良い。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
【００７９】
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムに既に記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【００８０】
また、下流のゲート装置または通信装置から上流の通信装置へのデータの送信は、アクティブネットワークの使用に限定するものではなく、任意の通信プロトコルの使用が可能である。
【００８１】
また、ゲート装置及び通信装置はゲートウェイやルータに限られるものではなく、ブリッジ、イーサネット（登録商標）、インタフェース変換装置など、ＩＰアドレスを持つ任意の通信ノードであっても良い。
【００８２】
以上、図面を参照してこの発明の実施形態を詳述してきたが、具体的な構成はこれらの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。
【００８３】
【発明の効果】
以上説明したように、ＤＤｏＳ攻撃の被攻撃者の通信装置がＤＤｏＳ攻撃の攻撃の容疑トラヒックを検出すると、初期の伝送帯域制御により、その上流の各通信装置で攻撃容疑トラヒックの伝送帯域を制限することが可能になるため、早期にネットワークの輻輳を改善することが可能となり、ＤＤｏＳ被攻撃者のサービスの停止を抑止することが可能になるとともに、正規利用者からの通信パケットの割合を増加させることが可能になる。
【００８４】
また、初期の伝送帯域制御による攻撃容疑パケットの帯域制限後は、各通信装置の攻撃容疑パケットの入力伝送帯域に応じて伝送帯域制限値が調整することが可能になるため、伝送帯域をネットワーク上の各通信装置に有効に分配することが可能となり、攻撃容疑パケットとして分類された正規パケットの伝送帯域を増加させ、正規ユーザのサービス性の低下を段階的に改善することが可能になる。
【図面の簡単な説明】
【図１】本発明の実施の形態を適用できるネットワークの構成図である。
【図２】同実施の形態による攻撃容疑検出条件の設定の例である。
【図３】同実施の形態による不正トラヒック検出条件の設定の例である。
【図４】同実施の形態によるゲート装置２００１及び通信装置２００２〜２００６が備える帯域制御モデルである。
【図５】同実施の形態によるフィルタ２０２１における分類アルゴリズムである。
【図６】同実施の形態によるゲート装置２００１の攻撃容疑パケット検出時の動作を示すフローチャートである。
【図７】同実施の形態による図１の構成における伝送帯域制限値の算出の例である。
【図８】同実施の形態による通信装置２００２、２００３の伝送帯域制限指示受信時の動作を示すフローチャートである。
【図９】同実施の形態によるゲート装置２００１及び通信装置２００２〜２００６の不正トラヒック検出時の動作を示すフローチャートである。
【図１０】同実施の形態によるゲート装置２００１及び通信装置２００２〜２００６の伝送帯域制限値の調整の動作を示すフローチャートである。
【図１１】同実施の形態による図１の構成における伝送帯域制限調整値の算出の例である。
【図１２】同実施の形態を実行できるアクティブネットワークが前提とするネットワークの構成である。
【図１３】同実施の形態を実行できるアクティブネットワークによる通信装置内部の構成を示すブロック図である。
【図１４】同実施の形態を実行できるアクティブネットワークによる転送先テーブル記憶部に記憶されている転送先テーブルの一例を示す概略図である。
【図１５】同実施の形態を実行できるアクティブネットワークによるセキュリティモデルとそのモデルにおける処理の手順を示す概略図である。
【図１６】同実施の形態を実行できるアクティブネットワークの通信装置をＬｉｎｕｘ上のＪａｖａ（登録商標）仮想マシン（ＪＶＭ）を用いてアクティブパケットの処理を行うように実現した場合の概略図である。
【符号の説明】
２０００…サーバ
２００１…ゲート装置
２００２〜２００６…通信装置
２００７〜２０１１…端末装置
２０１２…一般通信装置
２０２１…フィルタ
２０２２…正規クラス
２０２３…正規キュー
２０２４…不正クラス
２０２５…不正キュー
２０２６…容疑クラス
２０２７…容疑キュー
７０００…ユーザのコンピュータ
７００１…通信装置
７０１０…アクティブネットワーク実行環境
７０１１…コード実行部
７０１２…コード記憶部
７０２１…転送処理部
７０２２…転送先テーブル記憶部
７０２３ａ、７０２３ｂ…インタフェース部
７０２４ａ、７０２４ｂ…通信線
７０５１…ユーザ端末装置
７０６１…認証局装置
【発明の属する技術分野】
本発明は、ネットワークに接続された機器をネットワーク経由での攻撃から防御するための、サービス不能攻撃の防止方法およびその装置ならびにそのコンピュータプログラムに関するものである。
【０００２】
【従来の技術】
従来、ＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ ｃｏｎｔｒｏｌ ｐｒｏｔｏｃｏｌ／ｉｎｔｅｒｎｅｔ ｐｒｏｔｏｃｏｌ）などのネットワークプロトコルは、オープンとなっており、互いに信用されるグループで使われるように設計されている。このため、コンピュータのオペレーティングシステムでは、大量の通信トラフィック（データ等）を攻撃目標のサーバに送信することによって、ネットワークの伝送帯域やサーバの資源を消費して正当な利用者の利用を妨げようとするサービス不能攻撃（以下、「ＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃」と記す）を防ぐことは考慮されていない。このようなＤｏＳ攻撃に対する防御の方法は増えてきているが、複数箇所から同時に連携してＤｏＳ攻撃を行う「ＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃」に対する防御の方法は未だ効果的な方法が開発されていない。
【０００３】
このＤＤｏＳ攻撃に対する一防御の方法として、ＵＵＮＥＴ社のＣｅｎｔｅｒＴｒａｃｋがある。これは、インターネットのルータに診断機能を付加し、ＤＤｏＳ攻撃の送信元を追跡する技術である。
【０００４】
また、ＤＤｏＳ攻撃を検出したノードより攻撃元に近い上流ノードで攻撃トラヒックを制限するための技術としては、本出願の発明者等が出願済みの分散型サービス不能攻撃の防止方法（特願２００１−２７４０１６）、ＡＴ＆Ｔ社論文（Ｒ．Ｍａｈａｊａｎ， Ｓ．Ｍ．Ｂｅｌｌｏｖｉｎ， Ｓ．Ｆｌｏｙｄ， Ｊ．Ｉｏａｎｎｉｄｉｓ， Ｖ．Ｐａｘｓｏｎ ａｎｄ Ｓ．Ｓｈｅｎｋｅｒ： “Ｃｏｎｔｒｏｌｌｉｎｇ ｈｉｇｈ ｂａｎｄｗｉｄｔｈ ａｇｇｒｅｇａｔｅｓ ｉｎ ｔｈｅ ｎｅｔｗｏｒｋ − ｅｘｔｅｎｄｅｄ ｖｅｒｓｉｏｎ”（２００１））、ＩＤＩＰ（Ｉｎｔｒｕｄｅｒ Ｄｅｔｅｃｔｉｏｎ ａｎｄ Ｉｓｏｌａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）（Ｄ．Ｓｃｈｎａｃｋｅｎｂｅｒｇ， Ｋ．Ｄｊａｈａｎｄａｒｉ ａｎｄ Ｄ．Ｓｔｅｒｎｅ： “Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ ｆｏｒ ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ａｎｄ ｒｅｓｐｏｎｓｅ”， Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ＤＡＲＰＡ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｕｒｖｉｖａｂｉｌｉｔｙ Ｃｏｎｆｅｒｅｎｃｅ ａｎｄ Ｅｘｐｏｓｉｔｉｏｎ（ＤＩＳＣＥＸ）， Ｓｏｕｔｈ Ｃａｒｏｌｉｎａ（２０００））などがある。ＡＴ＆Ｔ社論文及びＩＤＩＰは、攻撃検出イベントを攻撃経路の上流ノードへ伝達し、上流ノードで伝送帯域制限を行うための方式やプロトコルである。本出願の発明者等が出願済みの分散型サービス不能攻撃の防止方法は、ルータにインストールされている移動型パケットフィルタリングプログラムが、自らのプログラムの複製を作成し、その複製を上流ルータ移動させ、各上流ルータへ移動してきた移動型パケットフィルタリングプログラムは、それぞれＤＤｏＳ攻撃者のホストからサーバに向けて送られているトラフィック全てを通過させないようする技術である。
【０００５】
【発明が解決しようとする課題】
Ｃｅｎｔｅｒ Ｔｒａｃｋは、攻撃を受けた被害者が攻撃者を特定することを助ける技術ではあるが、実際に攻撃を受けているときにその攻撃を防御することはできない。加えて、複数箇所に分散された分散型ＤｏＳの攻撃元になっているコンピュータやそのコンピュータが接続されているネットワークの管理者に連絡をしないと、攻撃そのものを止めることはできないため、実質的には攻撃を止めるまでに何時間、あるいは何日もの時間がかかってしまうという問題点がある。
【０００６】
また、この出願の発明者等が出願済みの分散型サービス不能攻撃の防止方法、ＡＴ＆Ｔ論文及びＩＤＩＰにおては、攻撃パケットと特定されたパケットを次ノードへ送出せず、全て破棄してまう。よって、標的となるサーバのダウンやルータ装置の過負荷等によりサービスが停止する一次被害を防止することはできるが、正規利用者からのパケットを攻撃パケットと識別する方法がないため、誤って正規利用者からの正規パケットも攻撃パケットとして破棄してしまう可能性があり、正規利用者の利用性が低下するといった二次被害を引き起こしてしまうという問題がある。
【０００７】
本発明は、上記事情を考慮してなされたものであり、その目的は、正規利用者へのサービス性を低下させる被害を軽減しながらＤＤｏＳ攻撃を防御できる、分散型サービス不能攻撃防止方法及び装置ならびにプログラムを提供することにある。
【０００８】
【課題を解決するための手段】
この発明は、上記の課題を解決すべくなされたもので、請求項１に記載の発明は、複数の通信装置を網目状に接続してなるネットワークと、防御対象であるコンピュータおよびＬＡＮと、前記ＬＡＮおよびネットワークの間に介挿されたゲート装置とを有するネットワークシステムにおいて、前記ゲート装置は、入力される通信トラヒックから攻撃容疑トラヒックを検出した場合に、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の前記通信装置へ送信する処理を行い、前記通信装置は、前記攻撃容疑トラヒックの伝送帯域を下流のゲート装置または通信装置から受信した前記伝送帯域制限値に制限すると共に、前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信する処理を行い、前記攻撃容疑パケット送出元の最上流の前記通信装置に達するまで再帰的に、前記攻撃容疑パケットの伝送帯域の制限と、前記攻撃容疑トラヒックの伝送帯域制限値送信との処理を行い、前記最上流の通信装置は、当該通信装置に入力される前記攻撃容疑トラヒックの合計入力伝送帯域値を下流の通信装置へ送信する処理を行い、前記合計入力伝送帯域値を受信した下流の通信装置は、上流の前記通信装置を介さずに当該通信装置に入力される前記攻撃容疑トラヒックの伝送帯域値と、受信した前記攻撃容疑トラヒックの合計入力伝送帯域値とを合計した、当該通信装置における前記攻撃容疑トラヒックの合計入力伝送帯域値を下流の通信装置または前記ゲート装置へ送信し、前記ゲート装置に達するまで再帰的に前記攻撃容疑トラヒックの合計入力伝送帯域値の送信する処理を行い、前記ゲート装置は、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限調整値と、前記上流の通信装置を介さずに当該ゲート装置に入力される前記攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの合計入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信する処理を行い、前記通信装置は、前記攻撃容疑トラヒックの伝送帯域を下流のゲート装置または通信装置から受信した前記伝送帯域制限調整値に制限すると共に、前記受信した伝送帯域制限調整値と、前記上流の通信装置を介さずに当該通信装置に入力される前記攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの合計入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信する処理とを行い、前記攻撃容疑パケット送出元の最上流の前記通信装置に達するまで再帰的に、伝送帯域制限調整値に前記攻撃容疑パケットの伝送帯域の制限と共に、前記攻撃容疑トラヒックの伝送帯域制限調整値の送信との処理を行う、ことを特徴とする分散型サービス不能攻撃防止方法である。
【０００９】
請求項２に記載の発明は、請求項１に記載の分散型サービス不能攻撃防止方法であって、前記伝送帯域制限値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
【数１１】
【００１０】
請求項３に記載の発明は、請求項１または請求項２に記載の分散型サービス不能攻撃防止方法であって、前記伝送帯域制限調整値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑トラヒックの合計入力伝送帯域値をＴ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの合計入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
【数１２】
【００１１】
請求項４に記載の発明は、複数の通信装置を網目状に接続してなるネットワークと、防御対象であるコンピュータおよびＬＡＮとの間に介挿されたゲート装置において、入力される通信トラヒックをチェックし、分散型サービス不能攻撃の攻撃容疑トラヒックを検出するトラヒック監視手段と、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記トラヒック監視手段によって検出された攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信する帯域制限指示手段と、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限調整値と、前記上流の通信装置を介さずに当該ゲート装置に入力される前記攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの合計入力伝送帯域値とを基に、前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信する帯域制限調整手段と、を備えることを特徴とするゲート装置である。
【００１２】
請求項５に記載の発明は、請求項４に記載のゲート装置であって、前記帯域制限指示手段は、前記伝送帯域制限値を、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
【数１３】
【数１４】
【００１３】
請求項６に記載の発明は、防御対象であるコンピュータおよびＬＡＮを防御するゲート装置が接続されたネットワークのノードを構成する通信装置において、下流のゲート装置あるいは通信装置から攻撃容疑トラヒックの伝送帯域制限値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限値に制限する帯域制御手段と、前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信する帯域制限指示手段と、前記上流の通信装置を介さずに当該通信装置に入力される前記攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの合計入力伝送帯域値とを合計した当該通信装置における前記攻撃容疑トラヒックの合計入力伝送帯域値を前記下流のゲート装置または通信装置に通知する帯域通知手段と、前記下流のゲート装置あるいは通信装置から攻撃容疑トラヒックの伝送帯域制限調整値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限調整値に制限する帯域制御調整手段と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの合計入力伝送帯域値と、前記上流の通信装置を介さずに当該通信装置に入力される攻撃容疑トラヒックの伝送帯域値と、前記受信した伝送帯域調整値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して、前記上流の通信装置へ送信する帯域制限調整手段と、を備えることを特徴とする通信装置である。
【００１４】
請求項７に記載の発明は、請求項６に記載の通信装置であって、前記帯域制限指示手段は、前記伝送帯域制限値を、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
【数１５】
【数１６】
【００１５】
請求項８に記載の発明は、複数の通信装置を網目状に接続してなるネットワークと、防御対象であるコンピュータおよびＬＡＮとの間に介挿されたゲート装置上で実行されるコンピュータプログラムであって、入力される通信トラヒックをチェックし、分散型サービス不能攻撃の攻撃容疑トラヒックを検出した場合に、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信するステップと、前記上流の通信装置を介さずに当該ゲート装置に入力される前記攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの合計入力伝送帯域値とを基に、前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信するステップと、をコンピュータに実行させることを特徴とする分散型サービス不能攻撃防止プログラムである。
【００１６】
請求項９に記載の発明は、防御対象であるコンピュータおよびＬＡＮを防御するゲート装置が接続されたネットワークのノードを構成する通信装置上で実行されるコンピュータプログラムであって、下流のゲート装置又は通信装置から攻撃容疑トラヒックの伝送帯域制限値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限値に制限するステップと、前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して、上流の通信装置へ送信するステップと、前記上流の通信装置を介さずに当該通信装置に入力される攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した合計入力伝送帯域値とを合計した、当該通信装置における前記攻撃容疑トラヒックの合計入力伝送帯域値を前記下流のゲート装置又は通信装置に送信するステップと、前記下流のゲート装置又は通信装置から伝送帯域制限調整値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限調整値に制限するステップと、前記受信した伝送帯域制限調整値と、前記上流の通信装置を介さずに当該通信装置に入力される前記攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの合計入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して、前記１つ上流の通信装置へ送信するステップと、をコンピュータに実行させることを特徴とする分散型サービス不能攻撃防止プログラムである。
【００１７】
請求項１０に記載の発明は、請求項８または請求項９に記載の分散型サービス不能攻撃防止プログラムであって、前記伝送帯域制限値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
【数１７】
【数１８】
【００１８】
請求項１１に記載の発明は、複数の通信装置を網目状に接続してなるネットワークと、防御対象であるコンピュータおよびＬＡＮとの間に介挿されたゲート装置上で実行されるコンピュータプログラムを記緑したコンピュータ読み取り可能な記録媒体であって、入力される通信トラヒックをチェックし、分散型サービス不能攻撃の攻撃容疑トラヒックを検出した場合に、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信するステップと、前記上流の通信装置を介さずに当該ゲート装置に入力される前記攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの合計入力伝送帯域値とを基に、前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信するステップと、の各処理をコンピュータに実行させる分散型サービス不能攻撃防止プログラムを記録することを特徴とする記録媒体である。
【００１９】
請求項１２に記載の発明は、防御対象であるコンピュータおよびＬＡＮを防御するゲート装置が接続されたネットワークのノードを構成する通信装置上で実行されるコンピュータプログラムを記録したコンピュータ読み取り可能な記録媒体であって、下流のゲート装置又は通信装置から攻撃容疑トラヒックの伝送帯域制限値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限値に制限するステップと、前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して、上流の通信装置へ送信するステップと、前記上流の通信装置を介さずに当該通信装置に入力される攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した合計入力伝送帯域値とを合計した、当該通信装置における前記攻撃容疑トラヒックの合計入力伝送帯域値を前記下流のゲート装置又は通信装置に送信するステップと、前記下流のゲート装置又は通信装置から伝送帯域制限調整値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限調整値に制限するステップと、前記受信した伝送帯域制限調整値と、前記上流の通信装置を介さずに当該通信装置に入力される前記攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの合計入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して、前記１つ上流の通信装置へ送信するステップと、の各処理をコンピュータに実行させる分散型サービス不能攻撃防止プログラムを記録することを特徴とする記録媒体である。
【００２０】
請求項１３に記載の発明は、請求項１１または請求項１２に記載の分散型サービス不能攻撃防止プログラムを記録することを特徴とする記録媒体であって、前記伝送帯域制限値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
【数１９】
【数２０】
【００２１】
【発明の実施の形態】
以下図面を参照し、この発明の一実施の形態について説明する。図１は、同実施の形態を適用したネットワークの構成図である。この図において、２０００はサーバ、２００１はこの発明の一実施形態によるゲート装置（ゲートウェイ）、２００２〜２００６はこの発明の一実施形態による通信装置（ルータ）、２００７〜２０１１は端末装置、２０１２はこの発明の技術を適用したものではない一般通信装置（ルータ）である。ＤＤｏＳ攻撃の被攻撃者のサーバ２０００が収容されているＬＡＮ（ローカルエリアネットワーク）は、ゲート装置２００１によって外部のネットワークに接続されている。そして、ネットワークは通信装置２００２、２００３、２００４、２００５、２００６及び一般通信装置２０１２を有している。ＤＤｏＳ攻撃者によって操作された端末装置２００７、２００８、２００９、２０１０が、攻撃パケットを被攻撃者のサーバ２０００に向かって送信すると、攻撃パケットが被攻撃者収容ＬＡＮに集中して混雑が発生することにより、ゲート装置２００１の資源を消費してしまい、ＤＤｏＳ攻撃者とは無関係な正規利用者の端末２０１１からサーバ２０００に接続できなくなるという現象が起こる。
【００２２】
ゲート装置２００１は、予めサーバ２０００を保有する利用者が設定した攻撃容疑検出条件を記憶している。図２に攻撃容疑検出条件の設定の例を示す。さらに、ゲート装置２００１は、防御対象のサーバ２０００及びサーバ２０００が収容されているＬＡＮの所有者によって予め設定された伝送帯域制限値を記憶している。
【００２３】
図２における攻撃容疑検出条件は、検出属性、検出閾値及び検出間隔の組からなる３組のレコードで構成される。ここでは、番号はレコードを特定するために便宜上使用される。攻撃容疑検出条件は、受信パケットが攻撃パケットである可能性がある攻撃容疑パケットを検出するために使用され、３組のレコードの内のいずれかのレコードの条件にトラヒックが一致した場合、このトラヒックの通信パケットは攻撃容疑パケットであると認識される。検出属性は、ＩＰパケットの第３／４層属性種別とそれら属性値の組を指定するが、第３層属性であるＩＰの「Ｄｅｓｔｉｎａｔｉｏｎ ＩＰ Ａｄｄｒｅｓｓ（宛先ＩＰアドレス）」という属性種別は必ず指定される。図２において、番号１のレコードの検出属性は、「Ｄｅｓｔｉｎａｔｉｏｎ ＩＰ Ａｄｄｒｅｓｓ（宛先ＩＰアドレス）」が「１９２．１６８．１．１／３２」であり（ｄｓｔ＝１９２．１６８．１．１／３２）、ＩＰの上位層（第４層）のプロトコル種別を示す「Ｐｒｏｔｏｃｏｌ（プロトコル）」が「ＴＣＰ」であり（Ｐｒｏｔｏｃｏｌ＝ＴＣＰ）、かつ、第４層プロトコルがどのアプリケーションの情報かを示す「Ｄｅｓｔｉｎａｔｉｏｎ Ｐｏｒｔ（宛先ポート番号）」が「８０」である（Ｐｏｒｔ＝８０）という属性種別とそれら属性値の組で指定される。番号２のレコード検出属性は、「Ｄｅｓｔｉｎａｔｉｏｎ ＩＰ Ａｄｄｒｅｓｓ（宛先ＩＰアドレス）」が「１９２．１６８．１．２／３２」であり（ｄｓｔ＝１９２．１６８．１．２／３２）、かつ、「Ｐｒｏｔｏｃｏｌ（プロトコル）」が「ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ ｐｒｏｔｏｃｏｌ）」である（Ｐｒｏｔｏｃｏｌ＝ＵＤＰ）という属性種別とそれら属性値の組で指定される。また、番号３のレコード検出属性は、「Ｄｅｓｔｉｎａｔｉｏｎ ＩＰ Ａｄｄｒｅｓｓ（宛先ＩＰアドレス）」が「１９２．１６８．１．０／２４」である属性種別とその属性値で指定される。検出閾値は、同じレコードで指定される検出属性を持つ受信パケットのトラヒックを攻撃容疑トラヒックとして検出するための最低の伝送帯域を、検出間隔は同じく最低の連続時間を示している。
【００２４】
また、ゲート装置２００１及び通信装置２００２〜２００６は、攻撃容疑パケットのトラヒックを分析し、不正トラヒックを検出するための不正トラヒック検出条件を保有する。図３に不正トラヒック検出条件の設定の例を示す。ここでは、番号はレコードを特定するために便宜上使用される。不正トラヒック条件は、既知のＤＤｏＳ攻撃の複数のトラヒックパターンから構成され、攻撃容疑パケットのトラヒックがいずれかのトラヒックパターンに合致した場合に、不正トラヒックであると認識される。図３の番号１の不正トラヒック条件は、「伝送帯域Ｔ１Ｋｂｐｓ以上のパケットがＳ１秒以上連続送信されている」というトラヒックパターンを示している。また、番号２の不正トラヒック条件は、「伝送帯域Ｔ２Ｋｂｐｓ以上、第３層プロトコルであるＩＣＭＰ（Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｃｏｌ）上のエコー応答（Ｅｃｈｏ Ｒｅｐｌｙ）メッセージのパケットがＳ２秒以上連続送信されている」というトラヒックパターンを示している。番号３の不正トラヒック条件は、「伝送帯域Ｔ３Ｋｂｐｓ以上、データが長すぎるためパケットに含まれるデータは複数ＩＰパケットに分割して送信していることを示すフラグメントパケットがＳ３秒以上連続送信されている」というトラヒックパターンを示している。
【００２５】
ここで、ゲート装置２００１及び通信装置２００２〜２００６が備える帯域制御モデルを説明する。図４は本実施の形態におけるゲート装置２００１及び通信装置２００２〜２００６が備える帯域制御モデルを示す。帯域制御モデルは、入力パケットをクラス別に分類し、このクラスに従ってパケットの出力帯域制御を実現するためのモデルを示す。フィルタ２０２１は、入力されたパケットを正規クラス２０２２、容疑クラス２０２６、不正クラス２０２４の３つのクラスに分類する。なお、このフィルタ２０２１の分類アルゴリズムは後述する。正規クラス２０２２はデフォルトクラスであり、正規クラス２０２２に分類されたパケットは正規キュー２０２３につながれ、伝送帯域を制限せずに出力される。容疑クラス２０２６に分類されたパケットは、容疑パケットか否かを判断するための防御対象のサーバ２０００及びサーバ２０００が収容されているＬＡＮ毎に発生する容疑キュー２０２７につながれ、防御対象のサーバ２０００及びサーバ２０００が収容されているＬＡＮの所有者によって予め設定された伝送帯域制限値に出力伝送帯域が制限される。なお、容疑シグネチャの生成については後述する。サーバ２０００を収容しているゲート装置２００１の容疑キューの伝送帯域制限値は防御対象のサーバ２０００及びサーバ２０００が収容されているＬＡＮの所有者によって予め設定された伝送帯域制限値を使用するが、上流の通信装置２００２〜２００６では、下流の通信装置から受信した伝送帯域制限値を使用する。不正クラス２０２４に分類されたパケットは、不正キュー２０２５につながれ、サーバ所有者やネットワークのポリシーに関わらず、０または０に近い伝送帯域に制限される。
【００２６】
続いて、ゲート装置２００１及び通信装置２００２〜２００６が伝送帯域制限を実行するための、フィルタ２０２１の分類アルゴリズムについて説明する。ゲート装置２００１及び通信装置２００２〜２００６は、当該通信装置に入力される全ての通信パケットをこの分類アルゴリズムで分類する。図５はフィルタ２０２１における分類アルゴリズムを示す。まず、ステップＳ３００３において、フィルタ２０２１は、入力されたパケットが不正シグネチャと合致するか判断する。不正シグネチャに合致した場合、パケットは不正クラス２０２４に分類される（ステップＳ３００４）。不正シグネチャに合致しなかった場合は、ステップＳ３００５に進み、パケットが容疑シグネチャであるか判断し、容疑シグネチャに合致すれば容疑クラス２０２６へ分類され（ステップＳ３００６）、合致しない場合には正規クラス２０２２へ分類される（ステップＳ３００７）。このようにして各クラスに分類されたパケットは、正規キューであれば伝送帯域を制限せずに出力され、容疑キュー及び不正キューであればそれぞれの伝送帯域制限値に従って伝送帯域が制限されて出力される。なお、容疑シグネチャ及び不正シグネチャの生成については後述する。
【００２７】
次に、ＤＤｏＳ攻撃に対する対策方式の処理手順を示す。まず、図６のゲート装置２００１の攻撃容疑パケット検出時の動作を示すフローチャート、図８の通信装置２００２、２００３の伝送帯域制限指示受信時の動作を示すフローチャート及び図９のゲート装置２００１及び通信装置２００２〜２００６の不正トラヒック検出時の動作を示すフローチャートを用いてＤＤｏＳ攻撃発生と同時に初期の伝送帯域制限を実施する処理手順を説明する。
【００２８】
図６のステップＳ３０１１において、ゲート装置２００１は、攻撃容疑検出条件（図２）に従って、検出間隔で指定されているより長い時間連続して、検出閾値で指定されている以上の伝送帯域を使用している、検出属性に合致するトラヒックをチェックし、３組のレコードの内のいずれかのレコードに合致した場合、このトラヒックを攻撃容疑トラヒックとして検出する。すると、ステップＳ３０１２において、この検出された攻撃容疑トラヒックが満たしている攻撃容疑検出条件のレコードの検出属性を、容疑シグネチャとして生成する。容疑シグネチャは、攻撃容疑トラヒックの通信パケット、すなわち攻撃容疑パケットを識別するために用いられる。例えば、図２の設定例を用いて説明すると、番号１のレコードの条件で検出されるパケットの容疑シグネチャは｛ｄｓｔ＝１９２．１６８．１．１／３２， Ｐｒｏｔｏｃｏｌ＝ＴＣＰ， Ｐｏｒｔ＝８０｝となる。
【００２９】
次いで、ステップＳ３０１３において、ゲート装置２００１は、ステップＳ３０１２において生成した容疑シグネチャをフィルタ２０２１に登録する。次に、防御対象のサーバ２０００及びサーバ２０００が収容されているＬＡＮの所有者によって予め設定された伝送帯域制限値に攻撃容疑トラヒックの伝送帯域を制限するための容疑キュー２０２７を生成する。なお、同一防御対象に関する容疑キューが既に生成済みの場合は、新たな容疑キューの生成は行わない。これにより、以後、図４に示す帯域制御モデルと図５に示すフィルタ２０２１の分類アルゴリズムに従って、容疑シグネチャに合致する攻撃容疑パケットの伝送帯域の制限が実行される。
【００３０】
そして、ゲート装置２００１は、ステップＳ３０１４において、容疑シグネチャと算出した攻撃容疑パケットの伝送帯域制限値とを含んだ伝送帯域制限指示を１つ上流にある通信装置２００２、２００３に送信する。ここで、伝送帯域制限値の算出方法を説明する。なお、本明細書においては、ゲート装置あるいは通信装置を識別するための添え字を持つ
【数２１】
【数２２】
【００３１】
次に、伝送帯域制限指示受信時の通信装置２００２、２００３の動作を説明する。図８のステップＳ３０２１において、通信装置２００２、２００３は、ゲート装置２００１が送信した（ステップＳ３０１４）伝送帯域制限指示を受信する。次に、ステップＳ３０２２に進み、通信装置２００２、２００３は、受信した伝送帯域制限指示に含まれる容疑シグネチャをフィルタ２０２１に登録し、容疑シグネチャ及び攻撃容疑パケットの伝送帯域制限値に対応した容疑キュー２０２７を生成する。これにより、以後、図４に示す帯域制御モデルと図５に示すフィルタ２０２１の分類アルゴリズムに従って容疑シグネチャに合致する攻撃容疑パケットの伝送帯域の制限が実行される。
【００３２】
通信装置２００２はステップＳ３０２３において、その上流にある通信装置２００４に、通信装置２００３はその上流にある通信装置２００５及び２００６に、受信した容疑シグネチャと、受信した伝送帯域制限値から算出した伝送帯域制限値とを含んだ伝送帯域制限指示を送信する。このときの算出方法は、ゲート装置２００１のステップＳ３００３と同様である。すなわち、通信装置２００２、２００３は、ゲート装置２００１から受信した伝送帯域制限値を１つ上流の通信装置全てに均等に割り当てる。図７を用いて説明すると、通信装置２００２、２００３の深さｄは１であり、この深さｄ＝１には２つの通信装置が存在し、その１番目の通信装置２００２のｉは１、２番目の通信装置２００３のｉは２である。通信装置２００２の伝送帯域制限値Ｓｓ（１，１）及び通信装置２００３の伝送帯域制限値Ｓｓ（１，２）は、それぞれゲート装置２００１から受信した伝送帯域制限値Ｓｓ（１，１，１）、Ｓｓ（１，１，２）であり、すなわち４００ｋｂｐｓである。そして、通信装置２００２には１つの上流の通信装置２００４が存在するため、１つ上流の通信装置数ｎｕ（１，１）は１である。よって、通信装置２００４の伝送帯域制限値Ｓｓ（２，１，１）は、Ｓｓ（１，１）＝４００ｋｂｐｓをｎｕ（１，１）＝１で除算した４００ｋｂｐｓとなる。一方、通信装置２００３には２つの上流の通信装置２００５、２００６が存在するため１つ上流の通信装置数ｎｕ（１，２）は２である。よって、通信装置２００５の伝送帯域制限値Ｓｓ（２，２，１）及び通信装置２００６の伝送帯域制限値Ｓｓ（２，２，２）は、Ｓｓ（１，２）＝４００ｋｂｐｓをｎｕ（１，２）＝２で除算した２００ｋｂｐｓとなる。
【００３３】
そして、通信装置２００４は通信装置２００２から、通信装置２００５、２００６は通信装置２００３から伝送帯域制限指示を受信し、通信装置２００２、２００３におけるステップＳ３０２１〜Ｓ３０２２と同様に動作する。通信装置２００４〜２００６は、ルーチングテーブルなどにより上流に通信装置がないと判断できるため、ステップＳ３０２３は実行しない。
【００３４】
次に、ゲート装置２００１及び通信装置２００２〜２００６の不正トラヒック検出時の動作を説明する。図９のステップＳ３０３１において、ゲート装置２００１及び通信装置２００２〜２００６は、ＤＤｏＳ攻撃者がパケットを送出しているネットワークを特定するため入力パケットを分析して、不正トラヒック条件のいずれかのパターンに合致するトラヒックを検出する。すると、ゲート装置２００１及び通信装置２００２〜２００６は、ステップＳ３０３２において、この検出された不正トラヒック条件を満たすパケットの送信元ＩＰアドレスを不正アドレス範囲として特定し、この不正アドレス範囲であり、かつ、容疑シグネチャに合致するという条件を不正シグネチャとする。そして、ゲート装置２００１及び通信装置２００２〜２００６は、ステップＳ３０３３においてこの不正シグネチャをフィルタ２０２１に登録する。これにより、以後、図４に示す帯域制御モデルと図５に示すフィルタ２０２１の分類アルゴリズムに従って不正シグネチャで識別される攻撃パケットの伝送帯域はさらに制限される。すなわち、攻撃パケットは不正クラス２０２４に分類され、正規利用者からのパケットである正規パケットのみが攻撃容疑パケットとして容疑クラス２０２６に分類される。
【００３５】
以上説明した初期の伝送帯域制限を実施することにより、早期にネットワークの伝送帯域の溢れを防いだ後、攻撃容疑パケットの入力トラヒックに応じて、伝送帯域制限値の調整を実施する処理手順を説明する。図１０はゲート装置２００１及び通信装置２００２〜２００６の伝送帯域制限値の調整の動作を示すフローチャートである。
【００３６】
ステップＳ３０４１において、最上流の通信装置２００４〜２００６は、攻撃容疑パケットの伝送帯域制限開始後一定時間、攻撃容疑パケットの入力トラヒックを計測する。次に、ステップＳ３０４２に進み、通信装置２００４〜２００６は、この計測した攻撃容疑パケットの入力トラヒックである入力伝送帯域値を１つ上流の通信装置へ、すなわち、通信装置２００４は通信装置２００２へ、通信装置２００５、２００６は通信装置２００３へ通知する。例えば、図１１の図１の構成における伝送帯域調整値の算出の例を用いて説明すると、端末装置２００７、２００８から併せて２０００ｋｂｐｓの攻撃容疑パケットの入力トラヒックがあった場合は、通信装置２００４は通信装置２００２に入力伝送帯域値２０００ｋｂｐｓを、端末装置２０１０から２０００ｋｂｐｓ、端末装置２０１１から３０００ｋｂｐｓの攻撃容疑パケットの入力トラヒックがあった場合は、通信装置２００５は入力伝送帯域値２０００ｋｂｐｓを、通信装置２００６は入力伝送帯域値３０００ｋｂｐｓを通信装置２００３に通知する。
【００３７】
次に、図１０のステップＳ３０５１において、通信装置２００２、２００３は、１つ上流の全ての通信装置から攻撃容疑パケットの入力伝送帯域値の通知を受信する。すると、ステップＳ３０５２に進み、通信装置２００２は上流の通信装置２００４以外から、通信装置２００３は上流の通信装置２００５、２００６以外から当該通信装置に直接入力される攻撃容疑トラヒックがあればこれを計測する。例えば、通信装置２００２は、一般通信装置２０１２からの攻撃容疑トラヒックを計測する。そしてステップＳ３０５３において、通信装置２００２、２００３は、ステップＳ３０５１で全ての上流の通信装置から受信した攻撃容疑パケットの入力伝送帯域値と、ステップＳ３０５２で計測した当該通信装置における攻撃容疑パケットの直接入力伝送帯域値とを加算して、当該通信装置における攻撃容疑パケットの合計入力伝送帯域値を１つ下流の通信装置、すなわちゲート装置２００１に通知する。図１１の例を用いて説明する。端末装置２００９は、一般ルータ２０１２に１０００ｋｂｐｓの攻撃容疑パケットを送信しており、一般ルータ２０１２は、この攻撃容疑パケットを通信装置２００２に送出している。通信装置２００２は、上流の通信装置２００４から受信した攻撃容疑パケットの入力伝送帯域値２０００ｋｂｐｓと一般通信装置２０１２から直接入力される攻撃容疑トラヒック１０００ｋｂｐｓを合計した３０００ｋｂｐｓをゲート装置２００１に通知し、通信装置２００３は、上流の通信装置２００５、２００６から受信した攻撃容疑パケットの入力伝送帯域値を合計した５０００ｋｂｐｓをゲート装置２００１に通知する。
【００３８】
すると、図１０のステップＳ３０６１において、ゲート装置２００１は、１つ上流の全ての通信装置、すなわち、通信装置２００２、２００３から攻撃容疑パケットの合計入力伝送帯域値の通知を受ける。すると、ステップＳ３０６２に進み、ゲート装置２００１は上流の通信装置２００２、２００３以外から直接入力される攻撃容疑トラヒックがあればこれを計測する。ステップＳ３０６３において、ステップＳ３０６１で全ての上流の通信装置２００２、２００３から受信した攻撃容疑パケットの合計入力伝送帯域値と、ステップＳ３０６２で計測した当該通信装置における攻撃容疑パケットの直接入力トラヒックとを加算し、ゲート装置２００１における攻撃容疑パケットの合計入力伝送帯域値を算出する。そして、この算出した合計入力伝送帯域値を基に算出した攻撃容疑パケットの伝送帯域制限調整値を含んだ伝送帯域制限調整指示を、上流の通信装置２００２、２００３に送信する。ここで、伝送帯域制限調整値の算出方法を説明する。なお、本明細書においては、ゲート装置あるいは通信装置を識別するための添え字を持つ
【数２３】
【数２４】
【００３９】
図１０のステップＳ３０５４において、通信装置２００２、２００３は、ゲート装置２００１から伝送帯域制限調整指示を受信する。すると、ステップＳ３０５５において、通信装置２００２、２００３は、容疑キュー２０２７の伝送帯域制限値を受信した伝送帯域制限調整指示に含まれる伝送帯域制限調整値に変更し、攻撃容疑パケットの伝送帯域を制限する。次いで、ステップＳ３０５６に進み、ステップＳ３０５１で通信装置２００２は通信装置２００４から、通信装置２００３は通信装置２００５、２００６から受信した入力伝送帯域値、ステップＳ３０５２で計測した当該通信装置に直接入力される伝送帯域値及びステップＳ３０５３でゲート装置２００１から受信した伝送帯域制限調整値を基に算出した攻撃容疑パケットの伝送帯域制限調整値を含んだ伝送帯域制限調整指示を算出する。そして、この算出した伝送帯域制限値を含んだ伝送帯域調整指示を通信装置２００２は通信装置２００４に、通信装置２００３は通信装置２００５、２００６に送信する。このときの算出方法は、ゲート装置２００１のステップＳ３０６３と同様である。
【００４０】
例えば、図１１の例を用いて説明すると、通信装置２００２の伝送帯域制限調整値Ｓｓ’（１，１）は、ゲート装置２００１から受信した伝送帯域制限調整値Ｓｓ’（１，１，１）である３００ｋｂｐｓ、同様に通信装置２００３の伝送帯域制限調整値Ｓｓ’（１，２）は、ゲート装置２００１から受信した伝送帯域制限調整値Ｓｓ’（１，１，２）である５００ｋｂｐｓとなる。そして、通信装置２００２における合計入力伝送帯域値Ｔ（１，１）は、通信装置２００４の合計入力伝送帯域値Ｂ（２，１，１）＝２０００ｋｂｐｓと直接入力の１０００ｋｂｐｓとの合計値３０００ｋｂｐｓである。よって、通信装置２００４の伝送帯域制限調整値Ｓｓ’（２，１，１）は、通信装置２００４の合計入力伝送帯域値Ｂ（２，１，１）＝２０００ｋｂｐｓを通信装置２００２における合計入力伝送帯域値Ｔ（１，１）＝３０００ｋｂｐｓで除算し、通信装置２００２の伝送帯域制限調整値Ｓｓ’（１，１）＝３００ｋｂｐｓを乗算した、２００ｋｂｐｓとなる。また、通信装置２００３における合計入力伝送帯域値Ｔ（１，２）は、通信装置２００５の合計入力伝送帯域値Ｂ（２，２，１）＝２０００ｋｂｐｓと通信装置２００６の合計入力伝送帯域値Ｂ（２，２，２）＝３０００ｋｂｐｓとの合計値５０００ｋｂｐｓであるため、２００５の伝送帯域制限調整値Ｓｓ’（２，２，１）は、通信装置２００４の伝送帯域制限調整値はＢ（２，２，１）＝２０００ｋｂｐｓを合計入力伝送帯域値Ｔ（１，２）＝５０００ｋｂｐｓで除算し、通信装置２００３の伝送帯域制限調整値Ｓｓ’（１，２）＝５００ｋｂｐｓを乗算した２００ｋｂｐｓとなり、２００６の伝送帯域制限調整値Ｓｓ’（２，２，２）は、通信装置２００６の伝送帯域制限調整値はＢ（２，２，２）＝３０００ｋｂｐｓを通信装置２００３における合計入力伝送帯域値Ｔ（１，２）＝５０００ｋｂｐｓで除算し、通信装置２００３の伝送帯域制限調整値Ｓｓ’（１，２）＝５００ｋｂｐｓを乗算した、３００ｋｂｐｓとなる。
【００４１】
通信装置２００４〜２００６は、ステップＳ３０４３において通信装置２００２、２００３から伝送帯域制限調整指示を受信する。すると、ステップＳ３０４４において、通信装置２００２、２００３は、容疑キュー２０２７の伝送帯域制限値を受信した伝送帯域制限調整値に変更し、攻撃容疑パケットの伝送帯域を制限する。
【００４２】
この後、通信装置２００２、２００３はステップＳ３０５７において、あるいは、通信装置２００４〜２００６は、ステップＳ３０４５において、上記の伝送帯域制限調整から一定時間した、あるいは、受信する攻撃容疑パケットの伝送帯域が伝送帯域調整前と調整後である一定の割合変化した、などのトリガを監視し、これを検出すると、当該通信装置に直接入力される攻撃容疑トラヒックを計測し（ステップＳ３０４１、Ｓ３０５２）、下流の通信装置へ合計入力伝送帯域値を送信して（ステップＳ３０４２、Ｓ３０５３）、再び伝送帯域調整の処理の起動を繰り返す。ここでは、このトリガ条件に合致した通信装置だけが最下流の通信装置まで攻撃容疑パケットの入力伝送帯域値を通知し、トリガ条件に合致しなかった通信装置については、最初の伝送帯域調整手順で通知された入力伝送帯域値を使用する。なお、トリガ条件に合致した通信装置がその上流に位置する通信装置に再調整の開始を要求することで、トリガ条件に合致した通信装置の最上流の通信装置までの全ての通信装置が一斉に再調整を開始する第二の方法をとってもよい。
【００４３】
ところで、以上説明した動作は、以下に記述するアクティブネットワーク上で実行される。
【００４４】
以下、図面を参照しこの発明の一実施形態を実行できるアクティブネットワークについて説明する。
図１２は、本実施形態が前提とするネットワークの構成である。図１２に示すように、通信ネットワークは、複数の通信装置７００１によって接続されている。そして、通信装置７００１には１台または複数台のユーザのコンピュータ７０００を接続することができるようになっている。ユーザのコンピュータ７０００相互間で通信データのやりとりを行う際には、送信元のユーザのコンピュータ７０００が送信したパケットを通信ネットワーク上の各ノードに位置する通信装置７００１が順次転送することにより、そのパケットを宛先のユーザのコンピュータ７０００に届けるようにする。
【００４５】
次に、通信装置の構成について説明する。図１３は、通信装置７００１の内部の構成を示すブロック図である。図１３に示すように、通信装置７００１には通信線７０２４ａ、７０２４ｂ、７０２４ｃ、７０２４ｄが接続されており、通信装置７００１はこれらの通信線を介して隣接する他の通信装置との間でパケットを交換することができるようになっている。また、通信装置７００１には、上記の各通信線７０２４ａ〜７０２４ｄに対応したインタフェース部７０２３ａ〜７０２３ｄと、パケットを転送する処理を行うための転送処理部７０２１と、パケットの転送の際の転送先の情報を記憶する転送先テーブル７０２２と、アクティブパケットに対する処理を行うためのアクティブネットワーク実行環境（Ａｃｔｉｖｅ Ｎｅｔｗｏｒｋ Ｅｘｅｃｕｔｉｏｎ Ｅｎｖｉｒｏｎｍｅｎｔ）７０１０とが設けられている。なお、アクティブネットワーク実行環境７０１０は、内部に、アクティブコード（プログラム）を実行するためのコード実行部７０１１と、アクティブコードを記憶しておくためのコード記憶部７０１２とを備えている。なお、ここでアクティブコードとは、アクティブネットワークにおいてパケットに対する作用を行うコンピュータプログラムのコードである。
【００４６】
ここで、図１３を参照しながら、この通信装置７００１の動作例の概要を説明する。隣接する他の通信装置から通信線７０２４ｄを介してパケットが到着すると、インタフェース部７０２３ｄがそのパケットを受信し転送処理部７０２１に渡す。転送処理部７０２１は、渡されたパケットのヘッダ部分に格納されている送信元（ｓｏｕｒｃｅ）アドレスと宛先（ｄｅｓｔｉｎａｔｉｏｎ）アドレスとを読み取り、さらにそれらのアドレスをキーとして転送先テーブル記憶部７０２２に記憶されている転送先テーブルを参照することによって、そのパケットにどう対処するかを決定する。
【００４７】
パケットへの対処は大きく２通りに分けられる。そのパケットに対してアクティブコードを適用する場合と、そのパケットをそのまま他の通信装置に転送する場合とである。
転送先テーブルを参照した結果、そのパケットに対してアクティブコードを適用すべきものである場合には、転送処理部７０２１は、そのパケットをアクティブネットワーク実行環境７０１０に渡す。アクティブネットワーク実行環境７０１０においては、コード実行部７０１１がそのパケットを受け取り、そのパケットに対して適用すべきアクティブコードをコード記憶部７０１２から読み出して実行する。なお、コード実行部７０１１は、アクティブコードを実行した結果、必要な場合には処理対象となったパケットを再び転送処理部７０２１に渡して他の通信装置に対して転送することもある。
転送先テーブルを参照した結果、そのパケットにアクティブコードを適用せずそのまま他の転送装置に転送するべきものである場合には、転送処理部７０２１は、適切な転送先に対応したインタフェース部（７０２３ａや７０２３ｂや７０２３ｃなど）に渡し、そのインタフェース部が通信線（７０２４ａや７０２４ｂや７０２４ｃなど）を介してパケットを他の通信装置に転送する。
【００４８】
なお、ここでは通信線７０２４ｄを介して他の通信装置からパケットが到着した場合を例として説明したが、他の通信線を介してパケットが到着した場合の処理も同様である。
【００４９】
次に、通信装置７００１内の転送処理部７０２１がいかにしてパケットに対する処置（アクティブコードを適用するか、単純に他の通信装置に転送するか）を決定するかを具体的に説明する。
【００５０】
本実施形態が基礎とするフレームワークでは、アクティブネットワーク実行環境はパケットの中において指定されているＩＰアドレスに基づいて起動される。ここで、全ての（グローバル）ＩＰアドレスの集合をＩと表わすものとする。また、送信元ＩＰアドレスがｓであり宛先ＩＰアドレスがｄであるようなパケットを（ｓ，ｄ）と表わすものとする。また、通信装置のアクティブネットワーク実行環境に格納されているすべてのアクティブコードはそれぞれ特定のユーザに属するものとし、ある特定のユーザの所有するＩＰアドレスの集合をＯと表わすものとする。
【００５１】
本フレームワークでは、上記特定のユーザに属する個々のアクティブコードは、次に示す式による集合Ａで表されるパケットであって、かつ当該アクティブネットワーク実行環境を備えた通信装置（ノード）によって受信されたパケットに対してアクセスする権限を持つ。すなわち、
Ａ＝｛（ｓ，ｄ）∈［（Ｏ×Ｉ）∪（Ｉ×Ｏ）］｜ｓ≠ｄ｝
である。つまり、この式が意味するところの概略は、特定のユーザに属するアクティブコードは、当該ユーザが所有する全てのＩＰアドレスのいずれかを送信元または宛先のアドレスとするようなパケットに対してアクセス権を有するということである。
【００５２】
当該ユーザに属するｎ個のアクティブコードがある通信装置（ノード）に格納されているとき、ｉ番目（１≦ｉ≦ｎ）のアクティブコードは、集合Ｃ（ｉ）（Ｃ（ｉ）⊆Ａ）に属するパケットをキャプチャーして処理することをアクティブネットワーク実行環境に対して予め要求しておく。つまり、当該ユーザに関して、アクティブネットワーク実行環境は、ｃ（１）∪ｃ（２）∪・・・・・・∪ｃ（ｎ）なる和集合の要素であるパケット（ｓ，ｄ）によって起動されるものであり、このようなパケットを「アクティブパケット」と呼ぶことができる。
【００５３】
図１４は、図１３に示した転送先テーブル記憶部７０２２に記憶されている転送先テーブルの一例を示す概略図である。上記のフレームワークを実現するために必要な情報は、このような転送先テーブルに格納することが可能である。
【００５４】
図１４に示すように、転送先テーブルは、タイプ（Ｔｙｐｅ）と宛先アドレス（Ｄｅｓｔｉｎａｔｉｏｎ）と送信元アドレス（Ｓｏｕｒｃｅ）と転送先（Ｓｅｎｄ ｔｏ）の各項目を含んでいる。タイプの項目は、テーブルのエントリーのタイプを表わすものであり、「アクティブ（Ａｃｔｉｖｅ）」あるいは「通常（Ｒｅｇｕｌａｒ）」のいずれかの値をとる。宛先アドレスおよび送信元アドレスの項目は、転送対象のパケットの宛先ＩＰアドレスおよび送信元ＩＰアドレスにそれぞれ対応するものである。転送先の項目はは、宛先アドレスと送信元アドレスの組み合せがマッチしたパケットに関して、適用すべきアクティブコードの識別情報あるいは転送先の通信装置のＩＰアドレスを表わすものである。
【００５５】
タイプの値が「アクティブ」であるエントリーは、対象のパケットに適用するアクティブコードを指定するものであり、その転送先の項目にはアクティブコードを識別する情報が書かれている。
タイプの値が「通常」であるエントリーは、対象のパケットの転送先の通信装置のアドレスを指定するものであり、その転送先の項目には転送先の通信装置のＩＰアドレスが書かれている。
【００５６】
図１４に示す転送先テーブルの例において、第１のエントリーでは、タイプが「アクティブ」であり、宛先アドレスが「１．２．３．４」であり、送信元アドレスが「Ａｎｙ（何でもよい）」であり、転送先が「アクティブコードＡ」となっている。これは、送信元アドレスがいかなるアドレスであっても、宛先アドレスが「１．２．３．４」にマッチする場合には、該当するパケットをトリガーとしてアクティブネットワーク実行環境が起動され、アクティブコードＡが実行されることを表わしている。
また、第２のエントリーでは、タイプが「アクティブ」であり、宛先アドレスが「１０．５０．０．０」であり、送信元アドレスが「１１．１２．１３．１４」であり、転送先が「アクティブコードＢ」となっている。これは、宛先アドレスと送信元アドレスの両方がそれぞれ上記の値にマッチした場合には、該当するパケットをトリガーとしてアクティブネットワーク実行環境が起動され、アクティブコードＢが実行されることを表わしている。
また、第３のエントリーでは、タイプが「アクティブ」であり、宛先アドレスが「Ａｎｙ（何でもよい）」であり、送信元アドレスが「１５７．２．３．０」であり、転送先が「アクティブコードＣ」となっている。これは、宛先アドレスがいかなるアドレスであっても、送信元アドレスが「１５７．２．３．０」にマッチする場合には該当するパケットをトリガーとしてアクティブネットワーク実行環境が起動され、アクティブコードＣが実行されることを表している。
【００５７】
なお、図１４に示すように、転送先テーブルにおいては、タイプが「アクティブ」であるエントリーのほうが、タイプが「通常」であるエントリーよりも上に存在している。そして、タイプが「アクティブ」であるエントリーのほうが、タイプが「通常」であるエントリーよりも優先的に適用される。また、各エントリーは、通信装置へ到着したパケットのみに対して適用され、転送のために送出されるパケットに対しては適用されない。
【００５８】
以上説明した通信装置の構成をまとめる。
図１３に示したインタフェース部は、通信線毎に設けられており、当該通信線から到着するパケットを受信するとともに当該通信線に対してパケットを送出する処理を行う。
また、転送先テーブル記憶部は、パケットの送信元アドレスまたは宛先アドレスまたはそれら両方のアドレスのパターンと、該パターンに対応するプログラム（アクティブコード）の情報あるいは該パターンに対応する転送先アドレスの情報とが登録された転送先テーブルを記憶する。
また、アクティブネットワーク実行環境は、前記プログラムを予め記憶しているとともに、このプログラムを実行する。
また、転送処理部は、通信線から到着した受信パケットを前記インタフェース部から渡された際に、当該受信パケットの送信元アドレスまたは宛先アドレスに基づいて前記転送先テーブルを参照し、前記転送先テーブルに当該受信パケットのアドレスのパターンに対応する転送先アドレスの情報が登録されていた場合には当該受信パケットを所定の転送先アドレスに向けて送出するように当該転送先アドレスに対応したインタフェース部に渡すとともに、前記転送先テーブルに当該受信パケットのアドレスのパターンに対応するプログラムの情報が登録されていた場合には前記アクティブネットワーク実行環境部において当該プログラムを起動させるとともに当該プログラムに当該受信パケットを渡す。
【００５９】
次に、本実施形態におけるアクティブコードのセキュリティに関するモデルについて説明する。このセキュリティのモデルは、各々のアクティブコードが、アクティブコードの所有者に関わるパケットのみに対して作用することを保証するためのものである。そのために、このセキュリティのモデルは、公開鍵のインフラストラクチャの存在を前提として、それを利用することとする。
【００６０】
図１５は、上記のセキュリティモデルとそのモデルにおける処理の手順を示す概略図である。図１５において、符号７０５１はユーザＡのユーザ端末装置、７０６１は認証局（Ｃｅｒｔｉｆｉｃａｔｉｏｎ Ａｕｔｈｏｒｉｔｙ ）装置である。この認証局の機能は、公の機関によって提供されるものであっても良いし、あるいはＩＳＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ，インターネット接続サービス提供者）などによって提供されるものであっても良い。
なお、図１５に示す例では、ユーザ端末装置７０５１のＩＰアドレスは「１．２．３．４」である。以下では、ユーザＡが、アクティブコードＡを通信装置７００１に登録するための処理の手順を説明する。なお、以下において、ユーザＡはアクティブコードＡの開発者であっても良いが、その必然性はなく、他の開発者が開発したアクティブコードＡをユーザＡが入手し、それを通信装置７００１に登録するものでも良い。
【００６１】
まず（１）で示すように、ユーザＡのユーザ端末装置７０５１は、周知技術を用いて鍵のペアすなわち公開鍵と秘密鍵とを生成する。
そして（２）で示すように、ユーザ端末装置７０５１は、上で生成された公開鍵を認証局装置７０６１に登録する。このとき、認証局装置７０６１は、ユーザ端末装置７０５１のＩＰアドレスを検証する。この検証が正しく行なわれると、公開鍵そのものと、ユーザＡを識別するための情報と、ユーザ端末装置７０５１のＩＰアドレス「１．２．３．４」が認証局装置７０６１に記憶される。
【００６２】
次に（３）で示すように、ユーザ端末装置７０５１は、上で生成された秘密鍵を用いてアクティブコードＡに電子署名する処理を行う。
そして（４）で示すように、ユーザ端末装置７０５１は、秘密鍵で署名されたアクティブコードＡを通信装置７００１に登録する処理を行う。
【００６３】
これを受けて通信装置７００１は、（５）で示すように、アクティブコードＡの登録を行ったユーザＡの電子証明書を認証局装置７０６１から取得する。この電子証明書には、ユーザＡを識別する情報と、そのＩＰアドレス「１．２．３．４」と、上の（２）において登録された公開鍵そのものとが含まれている。
そして（６）で示すように、通信装置７００１は、上記の電子証明書から取り出したユーザＡの公開鍵を用いて、上の（４）において登録されたアクティブコードＡの電子署名を検証する。そして、これが正しく検証された場合には、通信装置７００１は、アクティブコードＡをアクティブネットワーク実行環境に導入する処理を行う。また、これに応じて、転送先テーブルに必要なエントリーが追加される。
【００６４】
なお、この（１）および（２）の処理が行われて一旦ユーザＡの公開鍵が認証局装置７０６１に登録されると、ユーザ端末装置７０５１はその公開鍵に対応する秘密鍵を用いてアクティブモジュールをいくつでも通信装置７００１に登録することも可能である。
【００６５】
つまり、通信装置７００１は登録部（図示せず）を備えており、この登録部は、ユーザの端末装置から当該ユーザの秘密鍵で電子署名されたプログラムを受信し、当該ユーザの電子証明書を認証局装置から受信し、受信した電子証明書に含まれる当該ユーザの公開鍵を用いて前記電子署名されたプログラムの検証を行い、この検証が成功した場合には当該プログラムに対応するアドレスのパターンと当該プログラムの情報とを前記転送先テーブルに登録し、この検証が失敗した場合には当該プログラムの情報の前記転送先テーブルへの登録は行わないようにするものである。
【００６６】
なお、上で説明した通信装置へのアクティブコードの登録の手順が有効に機能するためには、次の２点が前提となる。
第１の前提として、ユーザがどの通信装置（ノード）にアクティブコードを登録すれば良いかは事前にわかっている。あるいは、どの通信装置（ノード）にアクティブコードを登録すればよいかがわかるためのディレクトリサービスが提供されている。
第２の前提として、通信装置（ノード）は、目的の認証局の公開鍵を事前にオフラインで取得しているか、他の認証局から取得するか、あるいは他の何らかの手段で取得できる。
【００６７】
次に、矛盾の解消のための制御について説明する。
ある通信装置（ノード）において、ｎ個のアクティブコードが登録されており、ｉ番目（１≦ｉ≦ｎ）とｊ番目（１≦ｊ≦ｎ）のアクティブコードが、それぞれ集合Ｃ（ｉ）（Ｃ（ｉ）⊆Ａ）と集合Ｃ（ｊ）（Ｃ（ｊ）⊆Ａ）に属するパケットに対するものであると定義されているとき、集合（ｃ（ｉ）∩ｃ（ｊ））が空集合ではないようなｉおよびｊの組み合せ（但しｉ≠ｊ）が存在する場合があり得る。つまり、あるパケットがｉ番目のアクティブコードにもｊ番目のアクティブコードにも適用されるような定義が行われている場合である。このような矛盾は、次の２通りのシナリオのいずれかによって解消することとする。
【００６８】
第１の矛盾の解消のシナリオは、パケット（ｓ，ｄ）に関して、
（ｓ∈Ｏ（ｋ）Λｄ∈Ｏ（ｌ））Λ（ｋ≠ｌ）
であるために、
（ｓ，ｄ）∈ｃ（ｉ）∩ｃ（ｊ）
となる場合に関するものである。但し、Ｏ（ｋ）およびＯ（ｌ）は、それぞれユーザｋおよびｌによって所有されるＩＰアドレスの集合である。
つまり、あるパケットに関して、送信元のユーザ用のアクティブコードと宛先のユーザ用のアクティブコードとの両方が通信装置に登録されており、そのような通信装置にこのパケット（ｓ，ｄ）が到着した場合である。このような場合には、宛先のユーザのアクティブコードを優先的に適用することが望ましいと考えられる。
【００６９】
つまり、転送先テーブルに登録されているパターンに、送信元アドレスのみが指定されていて宛先アドレスが何でもよいとされている第１のエントリーと、宛先アドレスのみが指定されていて送信元アドレスが何でもよいとされている第２のエントリーとが含まれており、受信パケットがこれら第１のエントリーと第２のエントリーとの両方にマッチしたときには、第１のエントリーよりも第２のエントリーを優先させて、当該第２のエントリーのパターンに対応するプログラムを起動するようにする。
【００７０】
このように、送信元のユーザのアクティブコードよりも宛先のユーザのアクティブコードを優先させることは、アクティブネットワークの機能を用いてＤＤｏＳ（分散型ＤｏＳ，Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ ）攻撃を防御するメカニズムを構築する場合に特に重要となる。そのようにすることによって、宛先のユーザつまり被攻撃者となり得る者のアクティブコードが、攻撃者となる可能性があるもののアクティブコードよりも優先されるためである。
【００７１】
第２の矛盾の解消のシナリオは、あるパケット（ｓ，ｄ）に関して適用されるべき２つ以上のアクティブコードが同一のユーザによって登録されている場合に関するものである。このような場合には、該当するアクティブコードのうちの最も古く登録されたものが、他のものよりも優先的に適用されるようにすることが望ましいと考えられる。こうすることにより、ユーザが新しいアクティブコードを登録しようとする際には、新しいアクティブコードを有効にするために事前に古いアクティブコードを削除することが保証されるからである。
【００７２】
次に、これまでに述べたようなアクティブネットワークのノードとして機能する通信装置のインプリメンテーションの例について説明する。図１６は、Ｌｉｎｕｘ上のＪａｖａ（登録商標）仮想マシン（ＪＶＭ）を用いてアクティブパケットの処理を行う通信装置を実現した場合の概略図である。
【００７３】
図１６に示す例では、専用のＩＰスタックを処理（ｐｒｏｃｅｓｓ）の一部として構築している。これによって、図１４に示したような転送先テーブルを実現し、実行環境（アクティブネットワーク実行環境）からこの転送先テーブルにエントリーの追加や削除を行えるようにしている。また、これに伴い、カーネル（ｋｅｒｎｅｌ）内のＩＰスタックは不要となるため、カーネルにおけるルーティングを不活性化している。そして、到着パケットのコピーがデータリンク部分から作成され、そのパケットがライブラリｌｉｂｐｃａｐを通してＪａｖａ（登録商標）仮想マシンで補足できるようにしている。
【００７４】
処理の一部として構築した専用のＩＰスタックは、アクティブパケット、つまり転送先テーブル上での所定の定義にマッチするＩＰアドレス（宛先ＩＰアドレス、送信元ＩＰアドレス、あるいはそれらの組み合せ）を有するパケットは、実行環境上で起動されるアクティブコードに対して渡される。一方、アクティブパケット以外の通常のパケットは、カーネルにおけるＩＰスタックと同様の方法で隣接する通信装置等へ向けた転送が行われる。アクティブパケットであれ通常パケットであれ、この通信装置から送出されるすべてのパケットは、ライブラリｌｉｂｎｅｔを通して送出される。こうすることにより、各々処理されたパケットのヘッダに記録された送信元アドレスは、元々の送信元アドレスのままの状態で、ネットワークに送出されることとなる。
【００７５】
また、標準のＪａｖａ（登録商標）のＡＰＩ（アプリケーションプログラムインタフェース）である「ｊａｖａ．ｓｅｃｕｒｉｔｙ 」を用いることによってセキュリティモデルをインプリメンテーションすることが可能である。この標準ＡＰＩは、セキュリティモデルを構築するために必要な機能のほとんどを提供している。また、証明書のための形式としては「Ｘ．５０９」証明書形式を用いることが可能であり、アクティブコードの所有者のＩＰアドレスを「Ｘ．５０９」の識別名（ＤＮ， ｄｉｓｔｉｎｇｕｉｓｈｅｄ ｎａｍｅ）の一部に含めることにより、本実施形態のセキュリティモデルを実現することができる。
【００７６】
なお、言うまでもなく、上記インプリメンテーションではコンピュータシステムを用いることによってアクティブネットワーク実行環境を備えた通信装置を構築している。そして、上述した一連の処理、すなわち到着パケットの複製の作成とその捕捉や、転送先テーブルを参照しながらのアクティブパケットおよび通常パケットの転送の処理や、アクティブネットワーク実行環境上でのアクティブコードの起動とその処理の実行や、処理されたパケットのネットワークへの送出などの各処理の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータが読み出して実行することによって、上記処理が行われる。
【００７７】
なお、上述した各コンピュータプログラムは、コンピュータ読取可能な記録媒体に記録されており、通信装置等に搭載されたＣＰＵ（中央処理装置）がこの記録媒体からコンピュータプログラムを読み取って、攻撃防御あるいはサービスモジュール提供等のための各処理を実行する。また、「コンピュータ読み取り可能な記録媒体」とは、磁気ディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００７８】
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されても良い。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
【００７９】
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムに既に記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【００８０】
また、下流のゲート装置または通信装置から上流の通信装置へのデータの送信は、アクティブネットワークの使用に限定するものではなく、任意の通信プロトコルの使用が可能である。
【００８１】
また、ゲート装置及び通信装置はゲートウェイやルータに限られるものではなく、ブリッジ、イーサネット（登録商標）、インタフェース変換装置など、ＩＰアドレスを持つ任意の通信ノードであっても良い。
【００８２】
以上、図面を参照してこの発明の実施形態を詳述してきたが、具体的な構成はこれらの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。
【００８３】
【発明の効果】
以上説明したように、ＤＤｏＳ攻撃の被攻撃者の通信装置がＤＤｏＳ攻撃の攻撃の容疑トラヒックを検出すると、初期の伝送帯域制御により、その上流の各通信装置で攻撃容疑トラヒックの伝送帯域を制限することが可能になるため、早期にネットワークの輻輳を改善することが可能となり、ＤＤｏＳ被攻撃者のサービスの停止を抑止することが可能になるとともに、正規利用者からの通信パケットの割合を増加させることが可能になる。
【００８４】
また、初期の伝送帯域制御による攻撃容疑パケットの帯域制限後は、各通信装置の攻撃容疑パケットの入力伝送帯域に応じて伝送帯域制限値が調整することが可能になるため、伝送帯域をネットワーク上の各通信装置に有効に分配することが可能となり、攻撃容疑パケットとして分類された正規パケットの伝送帯域を増加させ、正規ユーザのサービス性の低下を段階的に改善することが可能になる。
【図面の簡単な説明】
【図１】本発明の実施の形態を適用できるネットワークの構成図である。
【図２】同実施の形態による攻撃容疑検出条件の設定の例である。
【図３】同実施の形態による不正トラヒック検出条件の設定の例である。
【図４】同実施の形態によるゲート装置２００１及び通信装置２００２〜２００６が備える帯域制御モデルである。
【図５】同実施の形態によるフィルタ２０２１における分類アルゴリズムである。
【図６】同実施の形態によるゲート装置２００１の攻撃容疑パケット検出時の動作を示すフローチャートである。
【図７】同実施の形態による図１の構成における伝送帯域制限値の算出の例である。
【図８】同実施の形態による通信装置２００２、２００３の伝送帯域制限指示受信時の動作を示すフローチャートである。
【図９】同実施の形態によるゲート装置２００１及び通信装置２００２〜２００６の不正トラヒック検出時の動作を示すフローチャートである。
【図１０】同実施の形態によるゲート装置２００１及び通信装置２００２〜２００６の伝送帯域制限値の調整の動作を示すフローチャートである。
【図１１】同実施の形態による図１の構成における伝送帯域制限調整値の算出の例である。
【図１２】同実施の形態を実行できるアクティブネットワークが前提とするネットワークの構成である。
【図１３】同実施の形態を実行できるアクティブネットワークによる通信装置内部の構成を示すブロック図である。
【図１４】同実施の形態を実行できるアクティブネットワークによる転送先テーブル記憶部に記憶されている転送先テーブルの一例を示す概略図である。
【図１５】同実施の形態を実行できるアクティブネットワークによるセキュリティモデルとそのモデルにおける処理の手順を示す概略図である。
【図１６】同実施の形態を実行できるアクティブネットワークの通信装置をＬｉｎｕｘ上のＪａｖａ（登録商標）仮想マシン（ＪＶＭ）を用いてアクティブパケットの処理を行うように実現した場合の概略図である。
【符号の説明】
２０００…サーバ
２００１…ゲート装置
２００２〜２００６…通信装置
２００７〜２０１１…端末装置
２０１２…一般通信装置
２０２１…フィルタ
２０２２…正規クラス
２０２３…正規キュー
２０２４…不正クラス
２０２５…不正キュー
２０２６…容疑クラス
２０２７…容疑キュー
７０００…ユーザのコンピュータ
７００１…通信装置
７０１０…アクティブネットワーク実行環境
７０１１…コード実行部
７０１２…コード記憶部
７０２１…転送処理部
７０２２…転送先テーブル記憶部
７０２３ａ、７０２３ｂ…インタフェース部
７０２４ａ、７０２４ｂ…通信線
７０５１…ユーザ端末装置
７０６１…認証局装置
Claims (13)
- 複数の通信装置を網目状に接続してなるネットワークと、防御対象であるコンピュータおよびＬＡＮと、前記ＬＡＮおよびネットワークの間に介挿されたゲート装置とを有するネットワークシステムにおいて、
前記ゲート装置は、
入力される通信トラヒックから攻撃容疑トラヒックを検出した場合に、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の前記通信装置へ送信する処理を行い、
前記通信装置は、
前記攻撃容疑トラヒックの伝送帯域を下流のゲート装置または通信装置から受信した前記伝送帯域制限値に制限すると共に、前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信する処理を行い、
前記攻撃容疑パケット送出元の最上流の前記通信装置に達するまで再帰的に、前記攻撃容疑パケットの伝送帯域の制限と、前記攻撃容疑トラヒックの伝送帯域制限値送信との処理を行い、
前記最上流の通信装置は、
当該通信装置に入力される前記攻撃容疑トラヒックの合計入力伝送帯域値を下流の通信装置へ送信する処理を行い、
前記合計入力伝送帯域値を受信した下流の通信装置は、
上流の前記通信装置を介さずに当該通信装置に入力される前記攻撃容疑トラヒックの伝送帯域値と、受信した前記攻撃容疑トラヒックの合計入力伝送帯域値とを合計した、当該通信装置における前記攻撃容疑トラヒックの合計入力伝送帯域値を下流の通信装置または前記ゲート装置へ送信し、
前記ゲート装置に達するまで再帰的に前記攻撃容疑トラヒックの合計入力伝送帯域値の送信する処理を行い、
前記ゲート装置は、
当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限調整値と、前記上流の通信装置を介さずに当該ゲート装置に入力される前記攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの合計入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信する処理を行い、
前記通信装置は、
前記攻撃容疑トラヒックの伝送帯域を下流のゲート装置または通信装置から受信した前記伝送帯域制限調整値に制限すると共に、前記受信した伝送帯域制限調整値と、前記上流の通信装置を介さずに当該通信装置に入力される前記攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの合計入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信する処理とを行い、
前記攻撃容疑パケット送出元の最上流の前記通信装置に達するまで再帰的に、伝送帯域制限調整値に前記攻撃容疑パケットの伝送帯域の制限と共に、前記攻撃容疑トラヒックの伝送帯域制限調整値の送信との処理を行う、
ことを特徴とする分散型サービス不能攻撃防止方法。 - 前記伝送帯域制限値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
- 前記伝送帯域制限調整値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑トラヒックの合計入力伝送帯域値をＴ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの合計入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
- 複数の通信装置を網目状に接続してなるネットワークと、防御対象であるコンピュータおよびＬＡＮとの間に介挿されたゲート装置において、
入力される通信トラヒックをチェックし、分散型サービス不能攻撃の攻撃容疑トラヒックを検出するトラヒック監視手段と、
当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記トラヒック監視手段によって検出された攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信する帯域制限指示手段と、
当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限調整値と、前記上流の通信装置を介さずに当該ゲート装置に入力される前記攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの合計入力伝送帯域値とを基に、前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信する帯域制限調整手段と、
を備えることを特徴とするゲート装置。 - 前記帯域制限指示手段は、前記伝送帯域制限値を、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
前記帯域制限調整手段は、前記伝送帯域制限調整値を、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑トラヒックの合計入力伝送帯域値をＴ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの合計入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
ことを特徴とする請求項４に記載のゲート装置。 - 防御対象であるコンピュータおよびＬＡＮを防御するゲート装置が接続されたネットワークのノードを構成する通信装置において、
下流のゲート装置あるいは通信装置から攻撃容疑トラヒックの伝送帯域制限値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限値に制限する帯域制御手段と、
前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信する帯域制限指示手段と、
前記上流の通信装置を介さずに当該通信装置に入力される前記攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの合計入力伝送帯域値とを合計した当該通信装置における前記攻撃容疑トラヒックの合計入力伝送帯域値を前記下流のゲート装置または通信装置に通知する帯域通知手段と、
前記下流のゲート装置あるいは通信装置から攻撃容疑トラヒックの伝送帯域制限調整値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限調整値に制限する帯域制御調整手段と、
前記上流の通信装置から受信した前記攻撃容疑トラヒックの合計入力伝送帯域値と、前記上流の通信装置を介さずに当該通信装置に入力される攻撃容疑トラヒックの伝送帯域値と、前記受信した伝送帯域調整値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して、前記上流の通信装置へ送信する帯域制限調整手段と、
を備えることを特徴とする通信装置。 - 前記帯域制限指示手段は、前記伝送帯域制限値を、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
前記帯域制限調整手段は、前記伝送帯域制限調整値を、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑トラヒックの合計入力伝送帯域値をＴ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの合計入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
ことを特徴とする請求項６に記載の通信装置。 - 複数の通信装置を網目状に接続してなるネットワークと、防御対象であるコンピュータおよびＬＡＮとの間に介挿されたゲート装置上で実行されるコンピュータプログラムであって、
入力される通信トラヒックをチェックし、分散型サービス不能攻撃の攻撃容疑トラヒックを検出した場合に、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信するステップと、
前記上流の通信装置を介さずに当該ゲート装置に入力される前記攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの合計入力伝送帯域値とを基に、前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信するステップと、
をコンピュータに実行させることを特徴とする分散型サービス不能攻撃防止プログラム。 - 防御対象であるコンピュータおよびＬＡＮを防御するゲート装置が接続されたネットワークのノードを構成する通信装置上で実行されるコンピュータプログラムであって、
下流のゲート装置又は通信装置から攻撃容疑トラヒックの伝送帯域制限値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限値に制限するステップと、
前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して、上流の通信装置へ送信するステップと、
前記上流の通信装置を介さずに当該通信装置に入力される攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した合計入力伝送帯域値とを合計した、当該通信装置における前記攻撃容疑トラヒックの合計入力伝送帯域値を前記下流のゲート装置又は通信装置に送信するステップと、
前記下流のゲート装置又は通信装置から伝送帯域制限調整値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限調整値に制限するステップと、前記受信した伝送帯域制限調整値と、前記上流の通信装置を介さずに当該通信装置に入力される前記攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの合計入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して、前記１つ上流の通信装置へ送信するステップと、
をコンピュータに実行させることを特徴とする分散型サービス不能攻撃防止プログラム。 - 前記伝送帯域制限値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
前記伝送帯域制限調整値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑トラヒックの合計入力伝送帯域値をＴ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの合計入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
ことを特徴とする請求項８または請求項９に記載の分散型サービス不能攻撃防止プログラム。 - 複数の通信装置を網目状に接続してなるネットワークと、防御対象であるコンピュータおよびＬＡＮとの間に介挿されたゲート装置上で実行されるコンピュータプログラムを記緑したコンピュータ読み取り可能な記録媒体であって、
入力される通信トラヒックをチェックし、分散型サービス不能攻撃の攻撃容疑トラヒックを検出した場合に、当該ゲート装置における前記攻撃容疑トラヒックの伝送帯域制限値と、当該ゲート装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して上流の通信装置へ送信するステップと、
前記上流の通信装置を介さずに当該ゲート装置に入力される前記攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの合計入力伝送帯域値とを基に、前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して前記上流の通信装置へ送信するステップと、
の各処理をコンピュータに実行させる分散型サービス不能攻撃防止プログラムを記録することを特徴とする記録媒体。 - 防御対象であるコンピュータおよびＬＡＮを防御するゲート装置が接続されたネットワークのノードを構成する通信装置上で実行されるコンピュータプログラムを記録したコンピュータ読み取り可能な記録媒体であって、
下流のゲート装置又は通信装置から攻撃容疑トラヒックの伝送帯域制限値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限値に制限するステップと、
前記受信した伝送帯域制限値と、当該通信装置の１つ上流にある通信装置数とを基に、上流の前記通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限値を算出して、上流の通信装置へ送信するステップと、
前記上流の通信装置を介さずに当該通信装置に入力される攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した合計入力伝送帯域値とを合計した、当該通信装置における前記攻撃容疑トラヒックの合計入力伝送帯域値を前記下流のゲート装置又は通信装置に送信するステップと、
前記下流のゲート装置又は通信装置から伝送帯域制限調整値を受信し、前記攻撃容疑トラヒックの伝送帯域を前記伝送帯域制限調整値に制限するステップと、
前記受信した伝送帯域制限調整値と、前記上流の通信装置を介さずに当該通信装置に入力される前記攻撃容疑トラヒックの伝送帯域値と、前記上流の通信装置から受信した前記攻撃容疑トラヒックの合計入力伝送帯域値とを基に、上流の通信装置へ通知する前記攻撃容疑トラヒックの伝送帯域制限調整値を算出して、前記１つ上流の通信装置へ送信するステップと、
の各処理をコンピュータに実行させる分散型サービス不能攻撃防止プログラムを記録することを特徴とする記録媒体。 - 前記伝送帯域制限値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域制限値をＳｓ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置数をｎｕ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限値をＳｓ（ｄ＋１，ｉ，ｋ）とすると、
前記伝送帯域制限調整値は、ゲート装置または通信装置がゲート装置から何ホップ目に存在するかを示す階層の深さをｄ、同一の深さｄにおいてゲート装置または通信装置を識別する番号をｉ、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑パケットの伝送帯域調整値をＳｓ’（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の攻撃容疑トラヒックの合計入力伝送帯域値をＴ（ｄ，ｉ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にある通信装置を識別するための番号をｋ、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置から通知された攻撃容疑トラヒックの合計入力伝送帯域値をＢ（ｄ＋１，ｉ，ｋ）、深さｄにあるｉで識別されるゲート装置または通信装置の１つ上流にあるｋで識別される通信装置の攻撃容疑トラヒックの伝送帯域制限調整値をＳｓ’（ｄ＋１，ｉ，ｋ）とすると、
ことを特徴とする請求項１１または請求項１２に記載の分散型サービス不能攻撃防止プログラムを記録することを特徴とする記録媒体。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002081906A JP3609382B2 (ja) | 2002-03-22 | 2002-03-22 | 分散型サービス不能攻撃防止方法及びゲート装置、通信装置ならびにプログラム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002081906A JP3609382B2 (ja) | 2002-03-22 | 2002-03-22 | 分散型サービス不能攻撃防止方法及びゲート装置、通信装置ならびにプログラム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2003283572A JP2003283572A (ja) | 2003-10-03 |
| JP3609382B2 true JP3609382B2 (ja) | 2005-01-12 |
Family
ID=29230353
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002081906A Expired - Fee Related JP3609382B2 (ja) | 2002-03-22 | 2002-03-22 | 分散型サービス不能攻撃防止方法及びゲート装置、通信装置ならびにプログラム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3609382B2 (ja) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN107659585A (zh) * | 2017-11-03 | 2018-02-02 | 郑州云海信息技术有限公司 | 一种分级管理全网安全的方法及*** |
Families Citing this family (11)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005184792A (ja) | 2003-11-27 | 2005-07-07 | Nec Corp | 帯域制御装置、帯域制御方法及び帯域制御プログラム |
| US7406606B2 (en) * | 2004-04-08 | 2008-07-29 | International Business Machines Corporation | Method and system for distinguishing relevant network security threats using comparison of refined intrusion detection audits and intelligent security analysis |
| US7966661B2 (en) * | 2004-04-29 | 2011-06-21 | Microsoft Corporation | Network amplification attack mitigation |
| JP2006080582A (ja) * | 2004-09-07 | 2006-03-23 | Kddi Corp | 有害トラフィックを制限する方法及び装置 |
| WO2006040880A1 (ja) | 2004-10-12 | 2006-04-20 | Nippon Telegraph And Telephone Corporation | サービス不能攻撃防御システム、サービス不能攻撃防御方法およびサービス不能攻撃防御プログラム |
| KR20070030170A (ko) * | 2004-10-12 | 2007-03-15 | 니폰덴신뎅와 가부시키가이샤 | 중계장치, 중계 방법, 중계 프로그램 및 네트워크 공격방어 시스템 |
| JP4697968B2 (ja) * | 2006-03-07 | 2011-06-08 | 日本電信電話株式会社 | 分散型サービス不能攻撃防止システム、方法、およびその帯域管理装置 |
| JP5752020B2 (ja) * | 2011-12-06 | 2015-07-22 | 株式会社Ｋｄｄｉ研究所 | 攻撃対策装置、攻撃対策方法及び攻撃対策プログラム |
| JP5752021B2 (ja) * | 2011-12-06 | 2015-07-22 | 株式会社Ｋｄｄｉ研究所 | 攻撃対策装置、攻撃対策方法及び攻撃対策プログラム |
| JP5792654B2 (ja) * | 2012-02-15 | 2015-10-14 | 株式会社日立製作所 | セキュリティ監視システムおよびセキュリティ監視方法 |
| JP7097242B2 (ja) * | 2018-06-25 | 2022-07-07 | 株式会社アマダ | 鋸刃 |
-
2002
- 2002-03-22 JP JP2002081906A patent/JP3609382B2/ja not_active Expired - Fee Related
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN107659585A (zh) * | 2017-11-03 | 2018-02-02 | 郑州云海信息技术有限公司 | 一种分级管理全网安全的方法及*** |
Also Published As
| Publication number | Publication date |
|---|---|
| JP2003283572A (ja) | 2003-10-03 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| Wheeler et al. | Techniques for cyber attack attribution | |
| US9094372B2 (en) | Multi-method gateway-based network security systems and methods | |
| US7076803B2 (en) | Integrated intrusion detection services | |
| Schnackengerg et al. | Cooperative intrusion traceback and response architecture (CITRA) | |
| US7222366B2 (en) | Intrusion event filtering | |
| US7409714B2 (en) | Virtual intrusion detection system and method of using same | |
| US7757283B2 (en) | System and method for detecting abnormal traffic based on early notification | |
| US8230505B1 (en) | Method for cooperative intrusion prevention through collaborative inference | |
| US8356349B2 (en) | Method and system for intrusion prevention and deflection | |
| Gonzalez et al. | A trust-based approach against IP-spoofing attacks | |
| CN109327426A (zh) | 一种防火墙攻击防御方法 | |
| JP3609382B2 (ja) | 分散型サービス不能攻撃防止方法及びゲート装置、通信装置ならびにプログラム | |
| US20070166051A1 (en) | Repeater, repeating method, repeating program, and network attack defending system | |
| JP3699941B2 (ja) | 分散型サービス不能攻撃防止方法及びゲート装置、通信装置、分散型サービス不能攻撃防止プログラム及び記録媒体 | |
| JP3652661B2 (ja) | サービス不能攻撃の防御方法および装置ならびにそのコンピュータプログラム | |
| Hatzivasilis et al. | WARDOG: Awareness detection watchdog for Botnet infection on the host device | |
| JP3609381B2 (ja) | 分散型サービス不能攻撃防止方法及びゲート装置、通信装置ならびにプログラム | |
| JP2000354034A (ja) | 事業：ハッカー監視室 | |
| Strayer et al. | Architecture for multi-stage network attack traceback | |
| Singh | Intrusion Detection Systems (IDS) and Intrusion Prevention Systems (IPS) For Network Security: A Critical Analysis | |
| JP3790486B2 (ja) | パケット中継装置、パケット中継システムおよびオトリ誘導システム | |
| KR100422807B1 (ko) | 정책기반 네트워크 보안제어를 위한 보안 게이트웨이 장치및 그 동작 방법 | |
| Haeberlen et al. | Pretty Good Packet Authentication. | |
| JP3657569B2 (ja) | パケット処理方法および通信装置 | |
| Jouravlev | Mitigating Denial-Of-Service Attacks On VoIP Environment |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20040123 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20040908 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20041005 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20041013 |
|
| LAPS | Cancellation because of no payment of annual fees |