JP4602158B2 - サーバ装置保護システム - Google Patents

Description

本発明は、サーバ装置保護システムに関するものであり、特に、悪意ユーザによる攻撃から他の通常ユーザの通信を効果的に保護することができるサーバ装置保護システムに関するものである。

全ての国民が情報通信技術を活用できるようにするＥジャパン構想が立案され、また、ユビキタスという語彙が世間に浸透しつつある近時においては、ネット情報技術が身近なものとして普及しつつ随所で利用されている。その一方で、コンピュータネットワークにおける中枢装置であるサーバを、一度に処理できるその能力を超えた接続要求を続けることでそのサーバ機能の停止を目論む、例えばＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃と呼ばれる攻撃手法が問題視されている。

この種のＤｏＳ攻撃に対する防御技術を開示した文献の一つとして、例えば特許文献１が存在する。この特許文献１では、ＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）メッセージの送信により、ＳＩＰアプリケーションレベルゲートウェイ（ファイアウォール）の稼動状況が、ある一定の量を超える状況にあるときには、一定の比率をもって一部の新規のＳＩＰメッセージを受け付ける一方で、その他の新規のＳＩＰメッセージを破棄するとともに、セッション継続のために再び送信されたＳＩＰメッセージや既に受け付けられたＳＩＰメッセージの後続信号を受け付けることで、ＳＩＰサーバのシステムダウンを回避するようにしている。

また、上記Ｄｏｓ攻撃を含む種々の攻撃に対する防御技術を開示した文献の一つとして、例えば特許文献２が存在する。この特許文献２では、ファイアウォール装置およびおとり装置が具備され、ファイアウォール装置は、受け取ったＩＰパケットが通常の正規のパケットである場合に内部ネットワークへ送付し、受け取ったＩＰパケットが不審パケットである場合にはおとり装置へ誘導するとともに、当該不審パケットが送付されたおとり装置は、サービスを提供するプロセスを監視しながら、攻撃の有無を判定するとともに、攻撃を検出した際には、攻撃元ホストのＩＰアドレスを含むアラートを生成してファイアウォール装置に伝達し、当該アラートを受けたファイアウォール装置は、以降、攻撃元ホストからのＩＰパケットの受入れを拒否することで、種々の攻撃に対処するようにしている。

特開２００４−３４３５８０号公報 特開２００４−３０４７５２号公報

しかしながら、上記特許文献１に開示されている従来技術によれば、送信元のクライアントから送信された種々のＳＩＰメッセージの中で、不正意思のないユーザによって送信された新規のＳＩＰメッセージを送信相手方のクライアントが必ず受信することができるとは限らないという問題があった。具体的には、送信相手方のクライアントは一定の比率（例えば５回中に１回）でしかＳＩＰメッセージを受信することができず、送信相手方のクライアントが受信をすることができなかった場合は、そのエラーメッセージが送信元に通知されるだけであり、受信されなかった他の新規のＳＩＰメッセージは廃棄されてしまうという問題があった。

また、特許文献１、２に開示されている従来技術によれば、悪意ユーザを判別した後におとりサーバへ転送したり、廃棄したりする方式であるため、不正意思のない正規ユーザの通信が遮断されたり、これらのユーザ間の通信時間が延伸化するといった問題点があった。

また上記従来技術では、悪意ユーザのパケットであるか否かを判別する判別手段をサーバあるいはその前段に位置するゲートウェイ装置に具備させる必要があるとともに、悪意ユーザを判別するまでは、通常のサーバまたはゲートウェイ装置が当該パケットを受け付ける必要があるため、通常のサーバまたはゲートウェイ装置の負荷が増大するといった問題点があった。

本発明は、上記に鑑みてなされたものであり、ＤｏＳ攻撃などのサービス不能攻撃を受けたサーバ（通常サーバ）の負荷の増大を抑制することができるサーバ装置保護システムを実現することを目的とする。また、悪意のないユーザからのパケットを不必要に廃棄することなく送信相手方に転送することができるサーバ装置保護システムを実現することを目的とする。

上述した課題を解決し、目的を達成するため、本発明にかかるサーバ装置保護システムは、サービス不能攻撃からサーバ装置を保護するサーバ装置保護システムであって、前記サーバ装置にアクセスするユーザからのメッセージが所定の条件に従って転送される特定サーバ装置と、前記サーバ装置に向けられるメッセージを該サーバ装置に入力される前に該サーバ装置または前記特定サーバ装置のいずれかに振り分けるフィルタリング手段を具備するロードバランサと、を備え、前記ロードバランサは、前記所定の条件として、前記サーバ装置に対するアクセスが悪意を有さない通常ユーザからのアクセスであるか、悪意を有する悪意ユーザのからのアクセスであるかを判定できないような新規ユーザからのアクセスの場合に該新規ユーザからのアクセスに伴うメッセージを前記特定サーバ装置に振り分けることを特徴とする。

本発明によれば、サーバ装置に対するアクセスが悪意を有さない通常ユーザからのアクセスであるか、悪意を有する悪意ユーザのからのアクセスであるかを判定できないような新規ユーザからのアクセスの場合には、当該新規ユーザからのアクセスに伴うメッセージをサーバ装置とは異なる特定サーバ装置に振り分けるようにしているので、サーバ装置の負荷の増大を抑制することができるという効果を奏する。

以下に、本発明にかかるサーバ装置保護システムの実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態により本発明が限定されるものではない。

実施の形態１．
図１は、本発明の実施の形態１にかかるサーバ装置保護システムの接続構成を示す図である。同図に示すように、本発明の実施の形態１にかかるサーバ装置保護システムでは、例えばＳＩＰ端末であるＳＩＰ＿ＵＡ（ＵＡ：Ｕｓｅｒ Ａｇｅｎｔ）５およびＳＩＰサーバ２，３が備えられ、これらのＳＩＰ＿ＵＡ５と、ＳＩＰサーバ２，３のそれぞれがロードバランサ１を介して接続されている。また、ＳＩＰサーバ２，３の他に、ＳＩＰサーバ２，３とは異なる機能を有するサーバ装置である特定ＳＩＰサーバ４がロードバランサ１に接続されている。

ロードバランサ１は、ＳＩＰ＿ＵＡ５から転送されたメッセージを、複数のＳＩＰサーバ２，３のそれぞれに、ロードバランス（負荷分散）を図りながら転送する機能を有する負荷分散制御装置である。ロードバランサ１は、この機能に基づいて、各サーバへの負担を適切に配分することで、１または特定のサーバへのアクセス集中を軽減して各サーバ装置個々の応答速度を所定の基準に維持させることができる。

ＳＩＰサーバ２，３は、例えばロードバランサ１から伝送されたＳＩＰ＿ＵＡ５からのメッセージを転送したり、ＳＩＰ＿ＵＡ５の位置情報、認証情報などを蓄積したりする機能を有するサーバ装置である。

ＳＩＰ＿ＵＡ５は、一般的には、リクエスト転送機能を有するユーザーエージェントクライアント（ＵＡＣ）や、リクエスト応答機能を有するユーザーエージェントサーバー（ＵＡＳ）として動作する。なお、ＳＩＰの規定では、ＵＡＣ側がＳＩＰメッセージを生成して他のＳＩＰ＿ＵＡに送信し、ＵＡＳ側がそのメッセージに応答して所定のレスポンスを生成する。

特定ＳＩＰサーバ４は、例えばＤｏＳ攻撃等を試みる悪意を持ったユーザ（以下「悪意ユーザ」と呼称）によるＳＩＰメッセージ（攻撃パケット）が、ＳＩＰサーバ２，３に転送されるのを防止するために設けられたサーバである。具体的には、本発明にかかる特定ＳＩＰサーバ４は、ロードバランサ１に記録されていないユーザ（悪意ユーザであるか非悪意ユーザであるかは、この段階では分からない）によって送信されたＳＩＰメッセージをロードバランサ１を介して受信する。この処理により、通常のサーバにかかる負担を軽減することができるので、悪意を有さないユーザ（以下「通常ユーザ」と呼称）によるＳＩＰメッセージの流れを円滑化することができる。なお、特定ＳＩＰサーバ４の機能の詳細については後述する。

なお、図１に示す構成では、２個のＳＩＰサーバと、１個の特定ＳＩＰサーバと、１個のＳＩＰ端末を示しているが、これらの装置のそれぞれの数は、これらの数値に限定されるものではなく、任意数のＳＩＰサーバ装置、とくや一定時間内に伝送されるＳＩＰメッセージの量や、ネットワークに接続されるＳＩＰ端末数などによってサーバ装置および特定サーバ装置の数を決定することができる。

図２は、図１に示したロードバランサ１の構成を示すブロック図である。図２に示すロードバランサ１は、ＵＡメッセージ送受信部１１、フィルタリング部１２、メッセージ送受信部１４およびフィルタリング処理条件変更通知受信部１５の各構成部と、フィルタリング部１２およびフィルタリング処理条件変更通知受信部１５のそれぞれがアクセスするフィルタリング判定データベース１３を備えるように構成される。

ＵＡメッセージ送受信部１１は、ＳＩＰ＿ＵＡ５との間で所定のメッセージを送受する。なお、受信時の動作としては、ＳＩＰ＿ＵＡ５から受信したＳＩＰメッセージのヘッダ部に含まれている送信元のＩＰアドレス、ポート番号などの情報が解析され、解析した結果が含まれるＳＩＰメッセージがフィルタリング部１２に転送される。

フィルタリング部１２は、ＵＡメッセージ送受信部１１から伝達されたＳＩＰメッセージをＳＩＰサーバ２，３または特定ＳＩＰサーバ４のいずれに転送するかを判定する。この判定は、フィルタリング判定データベース１３に記録されているフィルタリング情報（例えば、送信元ＩＰアドレス、送信元ポート番号など）に基づいて行われる。なお、ＵＡメッセージ送受信部１１から伝達されたＳＩＰメッセージは、メッセージ送受信部１４を介してＳＩＰサーバ２，３または特定ＳＩＰサーバ４のいずれかに転送される。

フィルタリング処理条件変更通知受信部１５は、特定ＳＩＰサーバ４からの通知（例えば、通常ユーザであることの通知）に基づいて、フィルタリング判定データベース１３に記録されているフィルタリング処理の条件変更を受け付ける。すなわち、フィルタリング処理条件変更通知受信部１５は、特定ＳＩＰサーバ４に転送されたＳＩＰメッセージが通常ユーザによって生成されたものである旨の通知に基づいて、フィルタリング判定データベース１３の記録を変更する。具体的には、当該メッセージの送信者または転送者が、通常ユーザではないという記録が通常ユーザであるという記録に変更される。

つぎに、この実施の形態１にかかるサーバ装置保護システムの具体的な動作について、ＳＩＰ＿ＵＡ５からＩＮＶＩＴＥメッセージが送信される場合を例にとり説明する。なお、ＩＮＶＩＴＥメッセージとは、ＳＩＰ端末間で所定の通信を行う際に、呼び出し側のＳＩＰ端末（ＵＡＣ）から呼び出される側のＳＩＰ端末（ＵＡＳ）に対して、最初に送出されるメッセージである。

図２に示すロードバランサ１において、ＳＩＰ＿ＵＡ５からのＩＮＶＩＴＥメッセージがＵＡメッセージ送受信部１１にて受信され、フィルタリング部１２に伝達される。フィルタリング部１２は、ＳＩＰメッセージのヘッダ部に含まれている宛先ＩＰアドレスや送信元ＩＰアドレス、あるいはＩＮＶＩＴＥメッセージに含まれる送信元情報であるタグ（ｔａｇ）情報などを抽出する。また、フィルタリング部１２は、ＳＩＰメッセージやＩＮＶＩＴＥメッセージが通常ユーザによって送信あるいは転送されたものか否かを判定する。なお、通常ユーザであれば、当該通常ユーザにかかる情報がフィルタリング判定データベース１３に蓄積されている。

ＵＡメッセージ送受信部１１から伝達されたＳＩＰメッセージやＩＮＶＩＴＥメッセージが通常ユーザによって送信あるいは転送されたものであると判定された場合には、通常のサーバであるＳＩＰサーバ２または３に振り分けることを決定し、メッセージ送受信部１４を介して通常のＳＩＰサーバ２または３に当該ＩＮＶＩＴＥメッセージを転送する。一方、ＵＡメッセージ送受信部１１から伝達されたＳＩＰメッセージやＩＮＶＩＴＥメッセージが通常ユーザよって送信あるいは転送されたものではないと判定された場合には、特定ＳＩＰサーバ４に振り分けることを決定し、メッセージ送受信部１４を介して特定ＳＩＰサーバ４に当該ＩＮＶＩＴＥメッセージを転送する。

すなわち、この実施の形態のサーバ装置保護システムでは、通常ユーザと未だに判定されていないユーザ（例えば新規にアクセスするユーザ）をまず特定のサーバ装置であるＳＩＰサーバ４に振り分けるようにしている。いま、新規にアクセスしてきたユーザが悪意ユーザであったと場合に、このユーザをＳＩＰサーバ２または３に振り分ければ、当該サーバの負荷が上昇してしまう可能性がある。一方、このユーザを特定ＳＩＰサーバ４に振り分ければ、ＳＩＰサーバ２または３の負荷の上昇を抑止することができる。また、悪意ユーザがアクセスしてきたとしても、ＳＩＰサーバ２または３の負荷上昇を未然に防止することができるので、通常ユーザの通信を阻害させることがない。

なお、上述の処理機能の中で、ＳＩＰサーバ２，３に振り分けるか、特定ＳＩＰサーバ４に振り分けるかの振り分け機能については、フィルタリング部１２またはメッセージ送受信部１４のいずれに具備させてもよい。

以上説明したように、この実施の形態のサーバ装置保護システムによれば、サーバ装置の前段に位置するロードバランサが、サーバ装置に対するアクセスが悪意を有さない通常ユーザからのアクセスであるか、悪意を有する悪意ユーザのからのアクセスであるかを判定できないような新規ユーザからのアクセスの場合に、当該新規ユーザからのアクセスに伴うメッセージをサーバ装置とは異なる特定サーバ装置に振り分けるようにしているので、ＤｏＳ攻撃などのサービス不能攻撃を受けたサーバ装置の負荷の増大を抑制することができる。

また、この実施の形態のサーバ装置保護システムによれば、ロードバランサには、フィルタリング処理条件を記録するフィルタリング判定データベースと、フィルタリング処理条件の変更を受け付けるフィルタリング処理条件変更通知受信部とが具備され、フィルタリング処理条件変更通知受信部は、特定サーバに転送されたメッセージが通常ユーザによって生成されたものである旨の通知に基づいて、フィルタリング処理条件を変更するようにしているので、フィルタリング部のフィルタリング機能を簡易なものとすることができるとともに、通常ユーザのパケットをサーバ装置に確実に振り分ける一方で、悪意ユーザのパケットをサーバ装置に混入させないように処理することができるので、ＤｏＳ攻撃などのサービス不能攻撃を受けた場合の通常ユーザに対するサービス低下の影響を局限することができる。

なお、この実施の形態では、ＳＩＰサーバと、ＳＩＰサーバに接続されるＳＩＰ端末とがロードバランサを介して接続されるネットワークにおいて、ＳＩＰ端末同士の間でＳＩＰに基づくＳＩＰメッセージが伝送される場合を一例として説明したが、ＳＩＰに限定される要素はない。例えば、ＳＩＰ以外にも、ＶｏＩＰプロトコルとしてＩＴＵ−Ｔによって最初に規格化されたＨ．３２３や、ＳＩＰと同様にＩＥＴＦによって大規模なＶｏＩＰネットワーク向けのプロトコルとして規格化されたＭＧＣＰ（Ｍｅｄｉａ Ｇａｔｅｗａｙ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）、あるいはＩＴＵ−ＴおよびＩＥＴＦの両者によって統一規格化されたＨ．２４８／Ｍｅｇａｃｏに基づく所定のメッセージが伝送される場合であっても、この実施の形態にて開示された技術を適用することができる。

実施の形態２．
図３は、本発明の実施の形態２にかかるサーバ装置保護システムにおける特定ＳＩＰサーバ４の構成を示すブロック図である。同図に示す特定ＳＩＰサーバ４は、メッセージ送受信部４１と、遅延発生部４２と、悪意ユーザ判定部４３の各構成部と、メッセージ送受信部４１および悪意ユーザ判定部４３のそれぞれがアクセスするユーザ種別データベース４４を備えるように構成される。なお、ロードバランサ１の細部構成については、実施の形態１と同様であり、ここでの説明は省略する。

つぎに、図３に示した特定ＳＩＰサーバ４の動作について説明する。なお、ユーザ種別データベース４４には、特定ＳＩＰサーバ４が受信したＳＩＰメッセージに含まれる送信元のＩＰアドレス、送信元のポート番号などの情報が記録されている。

図３において、メッセージ送受信部４１は、ロードバランサ１から転送されたＳＩＰメッセージを受信して、そのＳＩＰメッセージの一部または全部を悪意ユーザ判定部４３に伝達する。悪意ユーザ判定部４３は、メッセージ送受信部４１から伝達されたＳＩＰメッセージに基づくユーザ情報とユーザ種別データベース４４に記録されているユーザ情報とを比較して、当該メッセージの送信者あるいは転送者が、通常ユーザなのか悪意ユーザなのかを判定する。ただし、当該メッセージの送信者あるいは転送者が新規ユーザの場合は、通常ユーザなのか悪意ユーザなのかを判定することはできないので、この場合には、当該メッセージの送信者あるいは転送者を新規ユーザから悪意判定中ユーザとして定義し、ユーザ種別データベース４４に登録する。

遅延発生部４２は、悪意ユーザ判定部４３から伝達された３つのユーザ種別（新規ユーザ、悪意ユーザ、および悪意判定中ユーザ）に応じてロードバランサ１に通知する応答メッセージに所定時間の遅延をかける。つまり、ロードバランサ１に通知される応答メッセージは、遅延発生部４２にて設定された応答遅延時間だけ遅延させた応答メッセージがメッセージ送受信部４１から送出される。

つぎに、メッセージ送受信部４１からロードバランサ１に対して出力される応答遅延メッセージの処理の流れについて図４を用いて説明する。なお、図４は、３つのユーザ種別に応じて出力される応答遅延メッセージの処理フローを示すフローチャートである。

図４において、まず、悪意ユーザ判定部４３では、ロードバランサ１から転送されたＳＩＰメッセージに基づくユーザ情報とユーザ種別データベース４４に記録されているユーザ情報とに基づいてユーザ種別が判定される（ステップＳ１０１）。このとき判定されたユーザ種別が“新規ユーザ”の場合（ステップＳ１０１：新規ユーザ）には、応答メッセージの遅延時間が“０”に設定されるとともに（ステップＳ１０２：遅延＝０）、ユーザ種別が“悪意判定中ユーザ”に変更されてユーザ種別データベース４４に登録され（ステップＳ１０３）、無遅延あるいは遅延最小の応答メッセージがメッセージ送受信部４１からロードバランサ１に対して出力される（ステップＳ１０６）。

一方、ユーザ種別が“悪意ユーザ”の場合（ステップＳ１０１：悪意ユーザ）には、応答メッセージの遅延時間が“最大値”に設定され（ステップＳ１０５：遅延＝最大値）、遅延最大の応答メッセージがメッセージ送受信部４１からロードバランサ１に対して出力される（ステップＳ１０６）。

また、ユーザ種別が“悪意判定中ユーザ”の場合（ステップＳ１０１：悪意判定中ユーザ）には、悪意判定中ユーザに対する遅延応答処理（ステップＳ１０４）が実行される。

図５は、図４のフロー中に示した悪意判定中ユーザに対する遅延応答処理（ステップＳ１０４）の処理フローを示すフローチャートである。図５において、ユーザ種別が“悪意判定中ユーザ”として判定された場合には、予め設定されている遅延デクリメント周期ごとに応答遅延値がデクリメントされる（ステップＳ２０１）。なお、遅延デクリメント周期とは、後述するように、時間の経過とともに累積される応答遅延値を減じるための周期である。

つぎに、予め設定された悪意判定周期内で応答遅延値が最大値に達する回数がカウントされる（ステップＳ２０２）。なお、悪意判定周期とは、後述するように、応答遅延値の最大値到達回数が規定カウント値以上に達するか否かを判定する周期である。

さらに、応答遅延値の最大値到達回数が規定カウント値以上か否かが判定される（ステップＳ２０３）。ここで、応答遅延値の最大値到達回数が規定カウント値未満の場合（ステップＳ２０３，Ｎｏ）には、“悪意判定中ユーザ”が“通常ユーザ”と判定され（ステップＳ２０４）、ロードバランサ１に通常ユーザとするフィルタリング条件が通知される（ステップＳ２０５）。なお、この通知に併せて通常ユーザとするフィルタリング条件がフィルタリング判定データベース１３に登録される。

一方、応答遅延値の最大値到達回数が規定カウント値以上の場合（ステップＳ２０３，Ｙｅｓ）には、“悪意判定中ユーザ”が“悪意ユーザ”と判定されるとともに（ステップＳ２０６）、メッセージ送受信部４１から伝達されたＳＩＰメッセージの送信者あるいは転送者が、悪意ユーザとしてユーザ種別データベース４４に登録される（ステップＳ２０７）。

ここで、ステップＳ２０２の処理で行われるカウント処理では、例えば単位時間あたりの接続回数がカウントされ、単位時間あたりの接続回数ごとに応答遅延値も所定値だけインクリメントされる。ただし、遅延デクリメント周期ごとにこの応答遅延値は所定値だけデクリメントされる。また、悪意判定中ユーザの場合には、通常ユーザあるいは悪意ユーザのいずれかに判定されるまでは、次々に更新された応答遅延値に基づいて応答メッセージの遅延時間が設定される。

上記のインクリメント処理によって、応答遅延値が最大値に到達する場合には、応答遅延値が最大値に達する回数をカウントしておき、この応答遅延値の最大値到達回数が悪意判定周期内で規定カウント値以上に達するか否かが判定される。上述したように応答遅延値の最大値到達回数が悪意判定周期内で規定カウント値以上の場合には悪意ユーザと判定され、規定カウント値未満の場合には通常ユーザと判定される。

また、上述の、単位時間、遅延デクリメント周期、悪意判定周期の間には、単位時間＜遅延デクリメント周期＜悪意判定周期という関係がある。

なお、図４に示すフローチャートでは、新規ユーザ、悪意判定中ユーザおよび悪意ユーザに付与する遅延時間として、新規ユーザ（遅延＝０）、悪意判定中ユーザ（遅延＝図５の処理で設定される遅延値（ただし最大値以下））および悪意ユーザ（遅延＝最大値）とする例を示したが、これらの設定値はごく一例を示したものであり、セキュリティポリシーや、ネットワークの負荷などに応じて任意の値に設定することができる。

以上説明したように、この実施の形態のサーバ装置保護システムによれば、サーバ装置にアクセスするユーザを、新規ユーザ、悪意ユーザおよび悪意判定中ユーザの３つのユーザ種別に分類し、応答メッセージを転送する際に、これらのユーザごとに適切な応答遅延を付与することで悪意ユーザまたは悪意ユーザの可能性があるユーザからの接続を時間的に制限するようにしているので、特定ＳＩＰサーバや、ロードバランサの負荷の増大を抑制することができる。また、ロードバランサの負荷の増大を抑制することができるので、ＤｏＳ攻撃などのサービス不能攻撃を受けた場合の通常ユーザに対するサービス低下の影響を局限することができる。

なお、この実施の形態においても、実施の形態１と同様に、ＳＩＰに限定される要素はなく、Ｈ．３２３、ＭＧＣＰあるいはＨ．２４８／Ｍｅｇａｃｏの各プロトコルに基づく所定のメッセージが伝送されるネットワークに適用することができる。

以上のように、本発明にかかるサーバ装置保護システムは、サーバ装置の機能停止に対する保護対策として有用である。

本発明の実施の形態１にかかるサーバ装置保護システムの接続構成を示す図である。 図１に示したロードバランサの構成を示すブロック図である。 本発明の実施の形態２にかかるサーバ装置保護システムにおける特定ＳＩＰサーバの構成を示すブロック図である。 ３つのユーザ種別に応じて出力される応答遅延メッセージの処理フローを示すフローチャートである。 図４のフロー中に示した悪意判定中ユーザに対する遅延応答処理（ステップＳ１０４）の処理フローを示すフローチャートである。

符号の説明

１ ロードバランサ
２，３ ＳＩＰサーバ
４ 特定ＳＩＰサーバ
５ ＳＩＰ＿ＵＡ
１１ ＵＡメッセージ送受信部
１２ フィルタリング部
１３ フィルタリング判定データベース
１４ メッセージ送受信部
１５ フィルタリング処理条件変更通知受信部
４１ メッセージ送受信部
４２ 遅延発生部
４３ 悪意ユーザ判定部
４４ ユーザ種別データベース

Claims (7)

1. サービス不能攻撃からサーバ装置を保護するサーバ装置保護システムであって、
   前記サーバ装置にアクセスするユーザからのメッセージが所定の条件に従って転送され、該メッセージの送信者または転送者の情報を含むユーザ情報を記録したユーザ種別データベースを具備する特定サーバ装置と、
   前記サーバ装置に向けられるメッセージを該サーバ装置に入力される前に該サーバ装置または前記特定サーバ装置のいずれかに振り分けると共に、前記所定の条件として、前記サーバ装置に対するアクセスが悪意を有さない通常ユーザからのアクセスであるか、悪意を有する悪意ユーザのからのアクセスであるかを判定できないような新規ユーザからのアクセスの場合に、該新規ユーザからのアクセスに伴うメッセージを前記特定サーバ装置に振り分けるフィルタリング手段を具備するロードバランサと、
   を備え、
   前記特定サーバ装置は、
   前記ロードバランサから転送されたメッセージに基づくユーザ情報と前記ユーザ種別データベースに記録されているユーザ情報とに基づいて、前記新規ユーザ、前記悪意ユーザならびに、該新規ユーザおよび該悪意ユーザのいずれにも属さない悪意判定中ユーザの３つのユーザ種別に分類する悪意ユーザ判定部と、
   前記ユーザ種別に応じて前記ロードバランサに通知する応答メッセージの遅延時間を可変する遅延発生手段と、
   を備えたことを特徴とするサーバ装置保護システム。
2. 前記悪意ユーザ判定部は、前記ユーザ種別が新規ユーザである場合に、該新規ユーザのユーザ種別を悪意判定中ユーザに変更することを特徴とする請求項１に記載のサーバ装置保護システム。
3. 前記遅延発生手段は、前記ユーザ種別が新規ユーザの場合には前記ロードバランサに通知する応答メッセージを遅延させるための応答遅延時間を最小値に設定し、前記ユーザ種別が悪意ユーザの場合には前記ロードバランサに通知する応答メッセージの遅延時間を最大値に設定することを特徴とする請求項１または２に記載のサーバ装置保護システム。
4. 前記悪意判定中ユーザが悪意ユーザであるか否かを判定するための悪意判定周期が設定され、
   前記悪意ユーザ判定部は、前記悪意判定周期内で前記遅延発生手段によって、前記悪意判定周期よりも短い所定の単位時間ごとにインクリメントされ、且つ、該単位時間よりも長く且つ前記悪意判定周期よりも短い所定の周期ごとにデクリメントされる前記応答遅延時間が最大値に達する回数をカウントするとともに、該カウントされた該応答遅延時間の最大値到達回数が規定カウント値以上に達するか否かを判定することを特徴とする請求項３に記載のサーバ装置保護システム。
5. 前記応答遅延時間の最大値到達回数が規定カウント値以上の場合には、ユーザ種別を悪意ユーザとして前記ユーザ種別データベースに登録し、該最大値到達回数が規定カウント値未満の場合には、ユーザ種別を通常ユーザとして前記ユーザ種別データベースに登録することを特徴とする請求項４に記載のサーバ装置保護システム。
6. 前記ロードバランサは、
   入力されたメッセージを前記サーバ装置または前記特定サーバ装置のいずれに転送するかを判定するためのフィルタリング処理条件を記録するフィルタリング判定データベースと、
   前記特定サーバからの通知に基づいて、前記フィルタリング判定データベースに記録されているフィルタリング処理条件の変更を受け付けるフィルタリング処理条件変更通知受信手段と、
   を備え、
   前記フィルタリング処理条件変更通知受信手段は、前記特定サーバ装置に転送されたメッセージが通常ユーザによって生成されたものである旨の通知に基づいて、前記フィルタリング判定データベースに記録されているフィルタリング処理条件を変更することを特徴とする請求項１〜５の何れか１項に記載のサーバ装置保護システム。
7. 前記フィルタリング手段は、前記サーバ装置に対するアクセスを前記通常ユーザからのアクセスであると判定した場合に、該通常ユーザからのアクセスに伴うメッセージを前記サーバ装置に転送することを特徴とする請求項６に記載のサーバ装置保護システム。

Images