JP4768021B2

JP4768021B2 - ＩＰネットワークにおいて標的被害者自己識別及び制御によってＤｏＳ攻撃を防御する方法

Info

Publication number: JP4768021B2
Application number: JP2008525173A
Authority: JP
Inventors: グロッセ，エリック，ヘンリー
Original assignee: アルカテル−ルーセントユーエスエーインコーポレーテッド
Priority date: 2005-08-05
Filing date: 2006-08-02
Publication date: 2011-09-07
Anticipated expiration: 2026-08-02
Also published as: KR20080028381A; ATE544283T1; US7889735B2; JP2009504100A; US20070030850A1; WO2007019213A1; KR101217647B1; CN101213812B; EP1911243A1; CN101213812A; EP1911243B1

Description

本出願は、本出願と同日にＥ．Ｇｒｏｓｓｅ及びＴ．Ｗｏｏによって出願され、かつ本発明の譲受人に譲渡された同時係属の米国特許出願番号＿「ＭｅｔｈｏｄＡｎｄＡｐｐａｒａｔｕｓＦｏｒＤｅｆｅｎｄｉｎｇＡｇａｉｎｓｔＤｅｎｉａｌＯｆＳｅｒｖｉｃｅＡｔｔａｃｋｓＩｎＩＰＮｅｔｗｏｒｋｓＢｙＴａｒｇｅｔＶｉｃｔｉｍＳｅｌｆ−ＩｄｅｎｔｉｆｉｃａｔｉｏｎＡｎｄＣｏｎｔｒｏｌ」に関する。

本発明は、概略として、インターネットプロトコル（ＩＰ）ネットワークなどのパケットベース通信におけるコンピュータセキュリティの分野に関し、具体的には、そのようなネットワークにおいてサービス不能（ＤｏＳ）攻撃から防御する方法及び装置に関し、標的被害者のキャリアネットワークサービス・プロバイダが、悪意のあるパケットを識別するために、標的被害者自体から自動的に受信されたソース／宛先ＩＰアドレス対の仕様に基づいて、悪意のあるパケットの経路指定を制御する。

毎日、数千の新しい「ゾンビ」が、ハイジャックされたＰＣ（パーソナルコンピュータ）のプールを接合し、スパムをｅメールユーザに送り、ｅ商取引サイト、政府リソース、及び他のネットワーク・インフラストラクチャに対してＤｏＳ攻撃を開始する。実際、毎日１７０，０００もの多数のゾンビマシンが、インターネットに追加されていると推定されている。具体的には、制限されたリソースが、合法的使用の代わりに攻撃者に割り付けられることが必要であるとき、ＤｏＳ攻撃により、主要なサービスが混乱することがある。そのような攻撃は、暦年２００４年において＄２６，０００，０００を超える損失に至ったと推定されている。攻撃マシンは、通常、遠隔マスタによって制御された欠陥ゾンビマシンであり、通常、攻撃の標的被害者を対象とした膨大な数のＩＰ（インターネットプロトコル）パケットをインターネット上で送信することによって損傷を与える。そのような攻撃を企てる犯人は、小規模ビジネスを解体することを狙う１０代の若者から、大企業から金を強奪することを狙う国際犯罪組織にわたる。

現在、そのようなＤｏＳ攻撃から防御する２つの一般的に使用されている手法があり、１つはほぼ手動であり、１つは自動である。第１の手法は、エンドユーザ（すなわち、標的被害者）が攻撃の存在を手動で識別し、続いて、キャリアが、報告された攻撃のソースを識別し、かつ攻撃の一部であるパケットがネットワークを経て被害者に到達するのを防止するために保護障壁を開始する要求と組み合わせて、攻撃を被害者のサービス・プロバイダ（すなわち、キャリア）に攻撃に手動（たとえば、電話）で報告することを必要とする。最も一般的には、そのような手法により、キャリアは、厄介なパケットのソースを識別し、続いて、そのソースからあらゆるパケット（又は、攻撃の存在を識別及び報告した特定の攻撃被害者を宛先とするそのソースからの少なくともあらゆるパケット）を受け取ることを拒否する。

そのようなＤｏＳ攻撃から防御する第２の手法は、サービスプロバイダが、保護されるエンドユーザを宛先とするすべてのパケットが通過しなければならない精巧な「パケット・ウォッシャ」又は「スクラバ」フィルタを含むことを必要とする、より自動的なプロセスを提供する。すなわち、所与のエンドユーザのトラフィックのすべてが、パケットが悪意のあるものであるか否かを判定する試行において各パケットを調査するそのようなフィルタを経て経路指定されるように、インターネットのルーティングテーブルに対して変更が行われる。パケットが悪意のあるものではなさそうな場合、エンドユーザに順方向に送られるが、悪意のあるものでありそうな場合、フィルタ処理されて破棄される。
米国特許出願番号＿「ＭｅｔｈｏｄＡｎｄＡｐｐａｒａｔｕｓＦｏｒＤｅｆｅｎｄｉｎｇＡｇａｉｎｓｔＤｅｎｉａｌＯｆＳｅｒｖｉｃｅＡｔｔａｃｋｓＩｎＩＰＮｅｔｗｏｒｋｓＢｙＴａｒｇｅｔＶｉｃｔｉｍＳｅｌｆ−ＩｄｅｎｔｉｆｉｃａｔｉｏｎＡｎｄＣｏｎｔｒｏｌ」

しかし、これらの手法のそれぞれは、著しい制限を有する。第１の手法は、実質的な手動介入を必要とし、しばしば、著しい損傷がすでに行われるまで、攻撃の問題に対処することができない可能性がある。また、第２の手法は、パケットのアプリケーション分析を強化することができないが、その理由はしばしば、標的のみが、パケットのデータ内容を抽出し、したがって分析することができるからである（たとえば、暗号プロトコルが使用される場合、通常、符号化されたパケットデータを復号することができるパケットの唯一の最終宛先である）。さらに、被害者のアプリケーションに対する強化された攻撃は、過剰な大域幅のみに基づかない可能性があり、むしろあるタイプの機能要求の結果である可能性がある。したがって、攻撃が即座に認識、識別、及び（好ましくは手動介入せずに）停止されるＤｏＳ攻撃の問題に対する解決法が必要である。

私は、ＤｏＳ攻撃の存在を認識するのに最適な場所は、標的被害者（自身に対する攻撃を識別し、かつ攻撃に対処する究極的な動機を有する）においてであるが、攻撃から防御するのに最適な場所は、ネットワークの内部（すなわち、キャリアのネットワークにおいて）であることを認識した。したがって、本発明の原理によれば、２つの上述された従来の技術の手法のそれぞれの利益が、対応する欠点を有さずに実現されることが可能であることが有利である。具体的には、本発明は、ＤｏＳ攻撃から防御する方法及び装置を提供し、所与の標的被害者にサーブするキャリアネットワークが、ソースから標的被害者へ悪意のあるパケットを送信することを制限する標的被害者からの自動命令に基づいて、そのように実施する。具体的には、標的被害者は、攻撃の存在を認識し、攻撃のソースを識別し、特定のソース／宛先ＩＰアドレス対に基づいて悪意のあるパケットをどのように識別するかをキャリアネットワークに自動的に指示したと想定される。

より具体的には、本発明は、標的被害者に対するＤｏＳ攻撃から防御する方法及び装置を提供し、これは、パケットベース通信サービスを被害者に提供するインターネットプロトコル（ＩＰ）ベース・キャリアネットワークにおいて実施される。本発明の方法（又は装置）は、ＤｏＳ攻撃が行われていることを申し立てる被害者からの自動示唆を受信するステップ（又は手段）と、ソースＩＰアドレス及び宛先ＩＰアドレス（宛先ＩＰアドレスが、被害者に関連付けられたＩＰアドレスの１つである場合）を備えるＩＰアドレスの１以上の対を被害者から受信するステップ（又は手段）と、被害者から受信されたＩＰアドレスの対の１つのソースＩＰアドレス及び宛先ＩＰアドレスと整合するソースＩＰアドレス及び宛先ＩＰアドレスを有するＩＰパケットを識別するために、ネットワークを通るＩＰパケットトラフィックを監視するステップ（又は手段）と、識別されたＩＰパケット（すなわち、前記被害者から受信されたＩＰアドレスの対の１つのソースＩＰアドレス及び宛先ＩＰアドレスと整合するソースＩＰアドレス及び宛先ＩＰアドレスを有するもの）の送信を制限（たとえば、遮断）するステップ（又は手段）とを備える。

本発明の例示的な実施形態によれば、ゾンビ攻撃プロセッサ（これ以後、「ザッパ」）が、新しいタイプのセキュリティデバイスを提供し、これにより、ＤｏＳ攻撃の被害者が、攻撃者を非難することによって被害者のキャリアに「押し戻す」ことが可能になり、キャリアは、応答して、遮断されるべきであるソース／宛先ＩＰアドレス対の表を更新する。より具体的には、攻撃が行われていることを認識すると、被害者は、攻撃の一部であると見なされるパケットにおいて特定されるソースＩＰアドレス及び宛先ＩＰアドレスの１以上の対を識別し、遮断するためにそれらのＩＰアドレス対を被害者のキャリアに連絡する。

本発明のある例示的な実施形態によれば、攻撃者（すなわち、１以上の識別されたソースＩＰアドレス）は、ネットワークから完全に切り離される必要はなく、むしろパケットを被害者（すなわち、１以上の識別された宛先ＩＰアドレス）に送ることのみが禁止されることが可能であることに留意されたい。これは、１以上の識別されたソースＩＰアドレスが、被害者に対する所与の攻撃について引き継がれた合法的ユーザ（すなわち、ゾンビ）を表す場合、有利である可能性がある。したがって、引き継がれたマシンの所有者は、合法的目的でシステムを使用し続けることが可能であり、一方、被害者に対して行われている攻撃（合法的ユーザには知られていない）は、それにもかかわらず、妨害されることが有利である。さらに、本発明のそのような例示的な実施形態による技法はまた、所与の被害者が攻撃者を過度に熱心に識別することから保護することを提供することが有利であることにも留意されたい。本発明の原理によれば、攻撃の識別は見かけの被害者の裁量に委ねられているので、所与の被害者へのトラフィックのみが切り離される、又は制約されることが明らかに有利である。

非難プロトコルは、ＤｏＳ攻撃を開始するためにザッパ・インフラストラクチャ自体を使用することができないように、セキュリティ署名を含むことができることが有利である。さらに、プロトコルは、輻輳ネットワーク条件下においてさえ送達を保証するために、キャリアネットワークへの冗長接続、並びに冗長ＵＤＰ（ユーザ・データグラム・プロトコル）を利用することが可能であることが有利である（ＵＤＰは、当業者には完全に熟知されているＩＰ通信プロトコルである）。ネットワークプロセッサ及びメモリの進歩により、有利には被害者又はキャリアによる手動介入を必要とせずに、以前のルータの能力をはるかに超えて、そのような防御を潜在的に多数の攻撃者に規模変更することが可能になり、したがって極めて時宜を得た応答をすることができる。

本発明の様々な例示的な実施形態によれば、そのようなザッパ・フィルタリングエンジンが、キャリアネットワークに含まれる独立型ボックスとして、又は代替として、ネットワークにすでに存在する従来のネットワーク要素に組み込まれた線カードとして実施されることが可能である。さらに、本発明のある例示的な実施形態によれば、ザッパ・フィルタは、攻撃者の起点に比較的近い位置においてネットワーク内にキャリアによって配備されることが可能であることが有利であり、又は上等な顧客を攻撃から有利に防御するように当初配置されることが可能である。

本発明の様々な例示的な実施形態によれば、遮断されるＩＰアドレス対のエントリは、時間切れとなる（すなわち、所定の時間期間が経過した後、自動的に除去される）ことが可能であり、又は代替として、明示的に出された猶予だけ消去されることが可能である。このようにして、ネットワークは、不要情報収集アルゴリズムの使用を必要とせずに、クリア状態に戻ることが有利である。例として、たとえば、非難者（すなわち、攻撃を識別し、かつ攻撃から保護することが可能であるキャリアネットワークの顧客）が、制限数の「チット」（入力されて遮断されるソース／宛先ＩＰアドレス対）を与えられることが可能であり、これは、たとえば１０万の大きさなど、所与の顧客が所与のサービスプロバイダ（すなわち、キャリア）で行うビジネスの量に比例して基づくことが可能である。

さらに、本発明のある例示的な実施形態によれば、パケットが、遮断ソース／宛先ＩＰアドレス対を備えると識別されたのでドロップされるときはいつでも、たとえばある所定の確率で例示的なザッパにＩＣＭＰ（当業者には完全に熟知されているインターネット制御メッセージプロトコル）不到達メッセージを戻させることによって、ネットワーク診断が提供されることが可能であることが有利である。本発明の１つの例示的な実施形態によれば、そのようなエラーの戻しは、遮断されたパケットの送信者が、誰がそのようなパケットに対して遮断要求を出したか、及びおそらくはそのような要求の理由に関して詳細をデータベースに問い合わせることを可能にするコードを含むことが可能である。

また、本発明のある例示的な実施形態によれば、補足ツールが、同様に提供されることが可能であることが有利である。たとえば、そのようなツールは、様々なＩＤＳシステム（進入検出システム）に対して強化ＤｏＳ攻撃を認識するためのインターネット・サーバ・プラグイン、様々なＩＤＳシステム（進入検出システム）へのリンク、ネットワーク診断のデータベース（上記の議論参照）、及び所与のキャリアのインフラストラクチャ内にザッパ機能を配置するためのガイダンスを提供する方法を含むことが可能である。これらの補足ツールの様々なツールを提供する本発明の例示的な実施形態は、本明細書の開示を考慮すると当業者には明らかになるであろう。

本発明のある例示的な実施形態によるザッパ・フィルタリング機構の動作は、従来のファイアウォールと同様であるが、潜在的に多数（たとえば、数百万）の非常に簡単な規則に基づいて動作する点が異なることに留意されたい。具体的には、ザッパ規則は、「所与のパケットのソースＩＰアドレスパケットがａ．ｂ．ｃ．ｄであり、そのパケットの宛先ＩＰアドレスがｗ．ｘ．ｙ．ｚである場合、パケットを遮断（すなわちドロップ）する」という形態で表されることが可能である。

また、本発明の他の例示的な実施形態によれば、所与のソース及び宛先ＩＰアドレスを有するパケットの送信を禁止するのではなく、ザッパ・フィルタは、そのようなパケットの優先順位を下げることが可能である。すなわち、フィルタリング機構は、そのようなパケットに低い経路指定優先順位を割り当てる、又はそのようなパケットに対してパケット率の限度を課すことが可能である。どちらの場合でも、所与のソース及び宛先ＩＰアドレスを有するパケットは、トラフィックに対して著しい影響を有することはできず、したがってもはや被害者に対するＤｏＳ攻撃は成功しない。

本発明の他の例示的な実施形態によれば、攻撃の検出は、多くが当業者には明らかである簡単さ又は精巧さの程度が異なるアルゴリズムにより、被害者によって認識されることが可能であることが有利である。たとえば、本発明の１つの例示的な実施形態によれば、アプリケーションログが調査されることが可能であり、攻撃が、単一の識別されたソース又は複数の識別されたソースからの非常に高いトラフィックレベル（たとえば、高いパケット率）のみに基づいて識別されることが可能である（これは、ＤｏＳ攻撃の存在を識別する１つの従来の方法であり、当業者には熟知されていることに留意されたい）。

しかし、本発明の他の例示的な実施形態によれば、パケット内容のアプリケーションベース分析が、疑わしい性質を有するパケット又はパケットの配列を識別するために実施されることが可能であり、たとえば、存在しないデータベース要素について頻繁にデータベースが探索されたかを認識する、個人が要求を開始することができる率より高い率において行われる複数の要求が明らかに人からのものであったことを認識する、構文的に無効な要求を識別する、及び通常行われる活動の動作において特に微妙な時間における疑わしい量のトラフィックを識別する、などである（たとえば、株取引ウエブサイトが、緊急株トランザクション中の微妙な時間において特に破壊的なトラフィックに気付く場合、疑わしいパケットの後者のクラスの例が、識別されることが可能である）。また、本発明の他の例示的な実施形態によれば、たとえば上述された状況の１つ又は複数を含むことが可能である可能な攻撃のいくつかの異なる指標が、攻撃の存在を識別するために、より洗練された分析において組み合わされることが可能であることが有利である。

図１は、本発明の例示的な実施形態によるＤｏＳ攻撃から防御するための例示的な装置が使用されるネットワーク環境を示す。図は、標的被害者１１（たとえば、銀行又は他の金融機関とすることが可能である）を示す。標的被害者１１は、それに関連付けられた１以上のＩＰアドレス（図示せず）を有すると想定されることに留意されたい。また、標的被害者１１には、本発明の原理によれば、攻撃検出器１２が関連付けられ、これは、本発明の例示的な実施形態によれば、ＤｏＳ攻撃が標的被害者１１に対して行われていることを判定するように動作する。

サービスを標的被害者１１に提供するネットワークキャリアであるキャリアネットワーク１３が、様々なソースからＩＰパケットを受信し、それらを標的被害者１１に送信する。図に示されたように、被害者に送信されているＩＰパケットは、実際には、被害者に対するＤｏＳ攻撃に関連付けられ、多数のゾンビマシン１４によって送信されている。キャリアネットワーク１３はまた、ザッパ１５を含み、これは、本発明の例示的案実施形態によれば、ＤｏＳ攻撃から防御することが有利である。

より具体的には、動作時及び本発明の例示的な実施形態によれば、ザッパ１５は、ＤｏＳ攻撃が標的被害者１１に対して行われていると判定すると、１以上のソース／宛先ＩＰアドレス対を攻撃検出器１２から受信する。その結果、キャリアネットワーク１３は、ソースＩＰアドレス及び宛先ＩＰアドレスが受信ソース／宛先ＩＰアドレス対のいずれかのものと整合するＩＰパケットの送信を制限し（たとえば、遮断し）、それにより、ゾンビ１４から攻撃被害者１１へのＤｏＳ攻撃を制限する（又は排除する）ことが有利である。ザッパ１５は、冗長接続１７を経て攻撃検出器１２からソース／宛先ＩＰアドレス対を受信することが有利であることに留意されたい。また、ゾンビ１４から無関係のサーバ１６に送信されたＩＰパケットが影響を受けないことが有利であることにも留意されたい。

図２は、本発明の例示的な実施形態によるＤｏＳ攻撃から防御する方法のフローチャートを示す。図２の例示的な方法は、所与の標的被害者にサーブするネットワークキャリアにおいて実施され、ＤｏＳ攻撃が所要の標的被害者に対して行われているという指示を受信することによって開始される（ブロック２１に示されるように）。次いで（ブロック２２に示されるように）、ネットワークキャリアは、ＤｏＳ攻撃を妨害するために遮断されるべきであるＩＰパケットを表す１以上のソース／宛先ＩＰアドレス対を受信する（例として、ソースＩＰアドレスは、攻撃「ゾンビ」マシンのものであり、宛先ＩＰアドレスは、標的被害者自体に関連付けられたものである）。次に（ブロック２３に示されるように）、ネットワークキャリアは、ソースＩＰアドレス及び宛先ＩＰアドレスが受信ソース／宛先ＩＰアドレス対の１つと整合するＩＰパケットを識別するために、ＩＰパケットトラフィックを監視する。最後に（ブロック２４に示されるように）ネットワークキャリアは、識別されたＩＰパケットを遮断し、それにより、標的被害者に対するＤｏＳ攻撃を妨害する。

詳細な記述に対する補足
以上の議論のすべては、本発明の一般的な原理を単に示すことに留意されたい。当業者なら、本明細書では明示的には記述されていない、又は示されていないが、本発明の原理を実現し、かつその精神及び範囲内に含まれる様々な他の構成を工夫することができることが理解されるであろう。たとえば、本発明は、特にインターネットプロトコル（ＩＰ）ネットワークに関して記述されたが、当業者には、使用される特定の通信プロトコルは、本発明の原理に関連せず、したがって、本発明は、関連付けられたソース及び宛先アドレスを有するパケットがネットワークを経て送信される任意のデータ・パケットベース・ネットワークにおいて同一の方式で使用することができることが明らかになるであろう。

さらに、本明細書において列挙されたすべての例及び条件付き言語は、当技術分野を推進するために、本発明者によって寄与される本発明の原理及び概念を読者が理解するのを補助するために、明確に単に教育的な目的であることを主に意図し、そのような具体的に列挙された例及び条件に制限されないと解釈されるべきである。さらに、本発明の原理、態様、及び実施形態、並びにその具体的な例を列挙する本明細書のすべての記述は、その構造的投下物及び機能的等価物の両方を包含することを意図する。また、そのような等価物は、現在既知の等価物、並びに将来開発される等価物、すなわち、構造に関係なく、同じ機能を実施する任意の開発された要素の両方を含むことも意図する。

本発明の例示的な実施形態によるＤｏＳ攻撃から防御する装置が使用されるネットワーク環境を示す図である。本発明の例示的な実施形態によるＤｏＳ攻撃から防御する方法のフローチャートを示す図である。

Claims

標的被害者に対するサービス不能（ＤｏＳ）攻撃から防御する完全に自動化された方法であって、該方法は、ＩＰパケットを該標的被害者に送信することによってパケットベース通信サービスを前記標的被害者に提供するパケットベース・キャリアネットワークにおいて実施され、そして、前記標的被害者がそれに関連付けられた１以上のＩＰアドレスを有しており、該方法は、
ＤｏＳ攻撃が前記標的被害者に対して行われていることを申し立てる自動指示を前記標的被害者から受信するステップと、
前記標的被害者から、送信が制限されるべきであるＩＰパケットを表すＩＰアドレスの１以上の対を受信するステップとを含み、ＩＰアドレスの前記対のそれぞれがソースＩＰアドレス及び宛先ＩＰアドレスを備え、前記宛先ＩＰアドレスが前記標的被害者に関連付けられた前記ＩＰアドレスの１つであり、該方法はさらに、
前記標的被害者から受信されたＩＰアドレスの前記対の１つを構成する前記ソースＩＰアドレス及び前記宛先ＩＰアドレスに等しいソースＩＰアドレス及び宛先ＩＰアドレスを有するＩＰパケットを識別するために、前記キャリアネットワークの少なくとも一部を通るＩＰパケットのトラフィックを監視するステップと、
前記標的被害者から受信されたＩＰアドレスの前記対の１つを構成する前記ソースＩＰアドレス及び前記宛先ＩＰアドレスに等しいソースＩＰアドレス及び宛先ＩＰアドレスを有し、かつ送信が制限されるべきであるＩＰパケットを表す前記識別されたＩＰパケットの送信を制限するステップと
を含む方法。
請求項１記載の方法において、前記標的被害者から受信されたＩＰアドレスの前記対の１つを構成する前記ソースＩＰアドレス及び前記宛先ＩＰアドレスに等しいソースＩＰアドレス及び宛先ＩＰアドレスを有する前記識別されたＩＰパケットの送信を制限するステップが、前記識別されたＩＰパケットの前記送信を防止するステップを含む方法。
請求項１記載の方法において、前記標的被害者から受信されたＩＰアドレスの前記対の１つを構成する前記ソースＩＰアドレス及び前記宛先ＩＰアドレスに等しいソースＩＰアドレス及び宛先ＩＰアドレスを有する前記識別されたＩＰパケットの送信を制限するステップが、前記識別されたＩＰパケットの経路指定優先順位を下げるステップを含む方法。
請求項１記載の方法において、前記標的被害者から受信されたＩＰアドレスの前記対の１つを構成する前記ソースＩＰアドレス及び前記宛先ＩＰアドレスに等しいソースＩＰアドレス及び宛先ＩＰアドレスを有する前記識別されたＩＰパケットの送信を制限するステップが、所定のパケット率を超えないように前記識別されたＩＰパケットの送信を制限するステップを含む方法。
請求項１記載の方法において、前記ＩＰアドレスの１以上の対を前記標的被害者から受信するステップが、セキュリティ署名を使用してＩＰアドレスの１以上の対を前記標的被害者から受信するステップを含む方法。
請求項１記載の方法において、前記ＩＰアドレスの１以上の対を前記標的被害者から受信するステップが、前記標的被害者からの冗長接続を使用してＩＰアドレスの１以上の対を前記標的被害者から受信するステップを含む方法。
請求項１記載の方法において、前記ＩＰアドレスの１以上の対を前記標的被害者から受信するステップが、冗長通信プロトコルを使用してＩＰアドレスの１以上の対を前記標的被害者から受信するステップを含む方法。
請求項１記載の方法であって、さらに、ＩＰアドレスの前記対の前記１つが前記標的被害者から受信されてから所定の時間期間が経過した後、前記標的被害者から受信されたＩＰアドレスの前記対の前記１つを構成する前記ソースＩＰアドレス及び前記宛先ＩＰアドレスに等しいソースＩＰアドレス及び宛先ＩＰアドレスを有する前記識別されたＩＰパケットの１以上の送信を制限することを終了するステップを含む方法。
請求項１記載の方法であって、さらに、
送信がもはや制限されないＩＰパケットを表すＩＰアドレスの１以上の対を前記標的被害者から受信するステップと、
前記標的被害者から受信され、かつ送信がもはや制限されないＩＰパケットを表すＩＰアドレスの前記対の前記１つを構成する前記ソースＩＰアドレス及び前記宛先ＩＰアドレスに等しいソースＩＰアドレス及び宛先ＩＰアドレスを有する前記ＩＰパケットの前記送信を制限することを中断するステップとを含む方法。
請求項１記載の方法であって、さらに、前記標的被害者から受信され、かつ送信がもはや制限されないＩＰパケットを表すＩＰアドレスの前記対の１つを構成する前記ソースＩＰアドレス及び前記宛先ＩＰアドレスに等しいソースＩＰアドレス及び宛先ＩＰアドレスを有する前記識別されたＩＰパケットの１以上の前記ソースＩＰアドレスに、不到着メッセージを送り返すステップを含む方法。