JP6746541B2 - 転送システム、情報処理装置、転送方法及び情報処理方法 - Google Patents

Description

本発明は、転送システム、情報処理装置、転送方法及び情報処理方法に関する。

ネットワークにおけるＤＤｏＳ（Distributed Denial of Service attack）攻撃に対する対処としては、主として、「攻撃対象となる装置前段でのセキュリティ装置対処」と、「攻撃元に近いＧＷＲ（ゲートウェイルータ）付近での対処」とが有る。前者は、トラヒック集約ポイントでの対処であるため、ミティゲーション装置等のセキュリティ装置の性能限界により全ての攻撃を防ぎ切れない場合が考えられる。後者は、ＤＤｏＳ攻撃では送信元ＩＰアドレスが詐称されていることが多いため、ＧＷＲのポイントで正常通信も止めてしまう可能性があり、即時に遮断することが難しい。そのため、ミティゲーション装置等にトラフィックを引き込んでクリーニングする対策が考えられるが、攻撃元に近い転送装置から引き込む場合は伝送コストが高くなってしまう。

したがって、攻撃通信がネットワーク内で適度に集約された箇所から通信を引き込むことが有効と考えられるが、そのための前提として攻撃通信がどの経路を通っているかを知る必要があるが、セキュリティ装置等が検知した攻撃通信の送信元ＩＰアドレスと宛先ＩＰアドレスの情報だけでは、攻撃通信がネットワークのどの経路を通過したかの把握は困難である。

攻撃通信の経路を知る方法として、全てのルータから全てのＦｌｏｗ情報を収集し結合することが考えられる。しかし、この方法は、データ量が膨大になると共に、収集コストが高く、経済的ではない。

そこで、全ルータからＦｌｏｗ情報をサンプリング収集し結合することが考えられる。

インターネット＜URL：http://www.sflow.org/developers/specifications.php＞ インターネット＜URL：https://www.ietf.org/rfc/rfc3954.txt＞

しかしながら、Ｆｌｏｗ情報は、サンプリングのため確率的であり、経路を１００％特定できるわけではない。具体的には、サンプリングデータに攻撃通信が無かったり、Ｆｌｏｗコレクタ側の検知条件（閾値）に満たない場合は、攻撃経路を正確に特定することが困難である。その結果、経路を特定するためには更なる調査が必要となり、保守者の稼働が更に必要となってしまう。

本発明は、上記の点に鑑みてなされたものであって、特定の通信の経路を効率的に把握可能とすることを目的とする。

そこで上記課題を解決するため、ネットワークにおいてパケットを転送する複数の転送装置を含む転送システムは、情報処理装置から受信した条件に合致するパケットを受信すると、自装置のアドレスと、所定のフラグ情報とを当該パケットに記録する第１の転送装置と、前記所定のフラグ情報が記録されたパケットを受信すると、自装置のアドレスを当該パケットに追加する１以上の第２の転送装置と、前記所定のフラグ情報が記録されたパケットに記録されている前記転送装置のアドレス群を前記情報処理装置に送信する第３の転送装置とを含む。

特定の通信の経路を効率的に把握可能とすることができる。

本発明の実施の形態におけるネットワーク構成例を示す図である。 本発明の実施の形態における制御装置１０のハードウェア構成例を示す図である。 本発明の実施の形態における制御装置１０及びルータＲの機能構成例を示す図である。 攻撃検知時に実行される処理手順の一例を説明するためのシーケンス図である ＧＷＲにおける攻撃パケットの受信に応じて実行される処理手順の一例を説明するためのシーケンス図である。 経路特定部１４が実行する処理手順の一例を説明するためのフローチャートである。

以下、図面に基づいて本発明の実施の形態を説明する。図１は、本発明の実施の形態におけるネットワーク構成例を示す図である。図１において、ネットワークＮ１は、ルータＲ１〜Ｒ７等の複数のルータ（転送装置）を含む。このうち、ルータＲ１及びルータＲ２は、ゲートウェイルータ（ＧＷＲ）である。本実施の形態において、２つのＧＷＲのうちのルータＲ１が、サイバー攻撃（例えば、ＤＤｏＳ（Distributed Denial of Service attack）攻撃）の攻撃元である装置ＸからのＩＰパケット（以下、「攻撃パケット」という。）を最初に受信する。

また、ルータＲ７は、装置Ｙに対するエッジルータである。装置Ｙは、本実施の形態においてサイバー攻撃の対象となるコンピュータ等である。したがって、本実施の形態において、攻撃パケット（攻撃通信）の送信元は、装置Ｘであり、宛先は装置Ｙである。なお、各ルータを区別しない場合、「ルータＲ」という。

ＧＷＲであるルータＲ１及びＲ２と、エッジルータであるルータＲ７とは、制御装置１０と所定の回線（ネットワーク）を介して接続される。

制御装置１０は、ネットワークＮ１内における攻撃パケットの経路を特定するための処理を実行する１以上のコンピュータ（情報処理装置）である。すなわち、制御装置１０は、１つのコンピュータであってもよいし、分散された複数のコンピュータによって構成されてもよい。

セキュリティ装置３０は、ＤＤｏｓ攻撃の発生を検知し、攻撃パケットの条件を示す情報を制御装置１０へ通知する。但し、装置Ｙが、セキュリティ装置３０の機能を兼ねてもよい。

図２は、本発明の実施の形態における制御装置１０のハードウェア構成例を示す図である。図２の制御装置１０は、それぞれバスＢで相互に接続されているドライブ装置１００、補助記憶装置１０２、メモリ装置１０３、ＣＰＵ１０４、及びインタフェース装置１０５等を有する。

制御装置１０での処理を実現するプログラムは、ＣＤ−ＲＯＭ等の記録媒体１０１によって提供される。プログラムを記憶した記録媒体１０１がドライブ装置１００にセットされると、プログラムが記録媒体１０１からドライブ装置１００を介して補助記憶装置１０２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体１０１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１０２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。

メモリ装置１０３は、プログラムの起動指示があった場合に、補助記憶装置１０２からプログラムを読み出して格納する。ＣＰＵ１０４は、メモリ装置１０３に格納されたプログラムに従って制御装置１０に係る機能を実行する。インタフェース装置１０５は、ネットワークに接続するためのインタフェースとして用いられる。

図３は、本発明の実施の形態における制御装置１０及びルータＲの機能構成例を示す図である。図３において、制御装置１０は、攻撃情報受信部１１、制御部１２、経路情報受信部１３及び経路特定部１４等を有する。これら各部は、制御装置１０にインストールされた１以上のプログラムが、ＣＰＵ１０４に実行させる処理により実現される。制御装置１０は、また、攻撃情報記憶部１１１、経路情報記憶部１１２及び攻撃経路記憶部１１３等を利用する。これら各記憶部は、例えば、補助記憶装置１０２、又は制御装置１０にネットワークを介して接続可能な記憶装置等を用いて実現可能である。

一方、ルータＲは、被制御部２１、パケット受信部２２、アドレス記録部２３、経路情報送信部２４及びパケット転送部２５等を有する。これら各部は、ルータＲにインストールされた１以上のプログラムが、ルータＲのＣＰＵに実行させる処理により実現される。但し、各部は、回路によって実現されてもよい。ルータＲは、また、制御情報記憶部２６を利用する。制御情報記憶部２６は、例えば、ルータＲが有するメモリ等を用いて実現可能である。なお、本実施の形態において、被制御部２１及び制御情報記憶部２６は、ＧＷＲであるルータＲ１及びＲ２以外は有していなくてもよい。また、経路情報送信部２４は、エッジルータであるルータＲ７以外は有していなくてもよい。

以下、ネットワークＮ１に関して実行される処理手順について説明する。図４は、攻撃検知時に実行される処理手順の一例を説明するためのシーケンス図である。

セキュリティ装置３０は、Ｂ装置からＡ装置へのＤＤｏｓ攻撃等を検知すると、攻撃パケットに関する条件を示す情報（例えば、５ｔｕｐｌｅ情報）等を含む攻撃情報を、制御装置１０へ送信する（Ｓ１０）。Ｓｙｓｌｏｇ等が攻撃情報として利用されてもよい。すなわち、セキュリティ装置３０が把握可能な情報の全てが攻撃情報に含まれてもよい。なお、５ｔｕｐｌｅ情報は、送信元ＩＰアドレス（ＳｒｃＩＰ＿Ｘ）、宛先ＩＰアドレス（ＤｓｔＩＰ＿Ｙ）、送信元ポート番号、宛先ポート番号、プロトコルである。

制御装置１０の攻撃情報受信部１１は、当該攻撃情報を受信すると、当該攻撃情報を含むレコード（攻撃Ａ，５ｔｕｐｌｅ情報等）を攻撃情報記憶部１１１へ記憶する（Ｓ１０２）。したがって、攻撃情報記憶部１１１には、このような攻撃情報の履歴が記憶される。なお、「攻撃Ａ」は、攻撃の識別子であり、攻撃情報記憶部１１１にて付与される。

続いて、攻撃情報受信部１１は、当該攻撃情報を制御部１２に通知する（Ｓ１０３）。制御部１２は、当該攻撃情報の通知に応じ、攻撃パケットに対して特別な処理を実行させるための制御情報をＧＷＲであるルータＲ１及びルータＲ２へ送信する（Ｓ１０４）。当該制御情報には、制御対象のパケットの条件としての５ｔｕｐｌｅ情報と、当該攻撃パケットのＴＯＳフィールドの特定の部分に所定のフラグ情報を記録する（例えば、ＴＯＳフィールドの未使用の特定のビットに１を立てる）といった命令とが含まれる。なお、制御対象のパケットの条件は、５ｔｕｐｌｅ情報に限られない。送信元ＩＰアドレス及び宛先ＩＰアドレスが当該条件とされてもよいし、宛先ＩＰアドレスのみが当該条件とされてもよい。

当該制御命令を受信したルータＲ１の被制御部２１は、当該制御情報をルータＲ１の制御情報記憶部２６に記憶する（Ｓ１０５）。また、当該制御命令を受信したルータＲ２も同様の処理を実行する。

なお、制御情報は、ＡＣＬ（Access Control List）等の既存のフィルタリングの仕組みを利用して実現されてもよい。

図５は、ＧＷＲにおける攻撃パケットの受信に応じて実行される処理手順の一例を説明するためのシーケンス図である。

ルータＲ１のパケット受信部２２は、ネットワークＮ１の外部からパケットを受信すると（Ｓ２０１）、図４において制御情報記憶部２６に記憶した制御情報に含まれている条件に当該パケットが合致するか否かを判定する（Ｓ２０２）。例えば、当該パケットの５ｔｕｐｌｅ情報が、当該条件に合致するか否かが判定される。

当該パケットが当該条件に合致しない場合、以降においては、図５の処理手順ではなく、一般的な転送処理が実行される。

当該パケットが当該条件に合致する場合（すなわち、当該パケットが攻撃パケットである場合）、パケット受信部２２は、当該制御情報に従って、当該パケットのＩＰヘッダに所定のフラグ情報を記録する（Ｓ２０３）。例えば、当該パケットのＴＯＳフィールドの未使用の特定のビットに１を立てることで所定のフラグ情報の記録が実現されてもよい。但し、所定のフラグ情報の設定先は、ＴｏＳフィールドには限定されない。例えば、ＩＰｖ４の機構であるＲＲを用いる場合は、オプションフィールド内の規定された場所に所定のフラグが設定される。続いて、ルータＲ１のアドレス記録部２３は、当該パケットに所定のフラグ情報が記録されているか否かを判定し、当該所定のフラグ情報が記録されていることに基づいて、当該パケットのＩＰヘッダのオプションフィールドに自装置（ルータＲ１）のＩＰアドレスを記録する（Ｓ２０４）。続いて、パケット転送部２５は、当該パケットを通常の転送方法に従って転送する（Ｓ２０５）。

当該パケットの転送先のルータＲのパケット受信部２２が、当該パケットを受信すると、アドレス記録部２３は、当該パケットのＩＰヘッダに所定のフラグ情報が記録されているか否かを確認する（Ｓ２０６）。当該ルータＲのアドレス記録部２３は、当該パケットに当該所定のフラグ情報が記録されていることに基づいて、当該パケットのＩＰヘッダのオプションフィールドに当該ルータＲのＩＰアドレスを追加的に記録する（Ｓ２０７）。すなわち、既に記録されているＩＰアドレスの末尾に、当該ルータのＩＰアドレスが記録される。続いて、当該ルータＲのパケット転送部２５は、当該パケットを転送する（Ｓ２０８）。

ステップＳ２０６〜Ｓ２０８は、当該パケットの転送先の各ルータＲにおいて同様に実行される。

当該パケットが、エッジルータであるルータＲ７のパケット受信部２２によって受信されると、ルータＲ７において、ステップＳ２０６及びＳ２０７と同様の処理が実行される（Ｓ２０９、Ｓ２１０）。続いて、ルータＲ７の経路情報送信部２４は、ルータＲ７がエッジルータであることに基づき、当該パケットの５ｔｕｐｌｅ情報と、当該パケットのＩＰヘッダのオプションフィールドに記録されているＩＰアドレス列（ＩＰアドレス群）とを含む経路情報を、制御装置１０へ送信する（Ｓ２１１）。すなわち、当該パケットが装置Ｙに転送される直前において経路情報が制御装置１０へ送信される。なお、経路情報は、Ｆｌｏｗ情報に含められて、ｓｆｌｏｗ又はＮｅｔＦｌｏｗ等の公知の仕組みを利用して送信されてもよい。また、或るルータＲが、エッジルータであるか否かの判定は、公知の技術に基づいて行われればよい。

続いて、制御装置１０の経路情報受信部１３は、受信した経路情報を経路情報記憶部１１２に記憶する（Ｓ２１２）。したがって、経路情報記憶部１１２には、図５の処理手順が実行されるたびに、追加的に経路情報が記憶される。

続いて、制御装置１０の経路特定部１４が実行する処理について説明する。図６は、経路特定部１４が実行する処理手順の一例を説明するためのフローチャートである。図６の処理手順は、例えば、図５のステップＳ２１２に同期して（Ｓ２１２に続いて）実行されてもよいし、定期的等、ステップＳ２１２とは非同期に実行されてもよい。

ステップＳ３０１において経路特定部１４は、攻撃情報記憶部１１１に記憶されている全ての攻撃情報を取得する。

続いて、経路特定部１４は、経路情報記憶部１１２に記憶されている全ての経路情報を取得する（Ｓ３０２）。

続いて、経路特定部１４は、攻撃情報の一覧と、経路情報の一覧とを突合して、各攻撃情報に対応する経路情報を特定する（Ｓ３０３）。例えば、攻撃情報ごとに、当該攻撃情報に含まれている５ｔｕｐｌｅ情報に一致する５ｔｕｐｌｅ情報を含む経路情報が検索される。検索された経路情報は、当該攻撃情報に関連付けられる。その結果、各ＤＤｏｓ攻撃の攻撃パケットについて、ネットワークＮ１内の経路を把握することが可能となる。

なお、突合の粒度（条件）は、必ずしも５ｔｕｐｌｅでなくてもよい。例えば、送信元ＩＰアドレス及び宛先ＩＰアドレスのみの一致によって関連付けが行われてもよいし、宛先ＩＰアドレスのみの一致によって関連付けが行われてもよい。例えば、攻撃が複数の経路を通ってある１つの宛先ＩＰアドレスに到達している可能性がある場合に、宛先ＩＰアドレスだけで突合することで当該攻撃の全ルートを把握することが可能だからである。

続いて、経路特定部１４は、特定結果を攻撃経路記憶部１１３に記憶する（Ｓ３０４）。例えば、ステップＳ３０３において関連付けられた攻撃情報と経路情報とが、関連付けが維持された状態で攻撃経路記憶部１１３に記憶される。攻撃経路記憶部１１３に記憶された攻撃情報及び経路情報は、攻撃情報記憶部１１１又は経路情報記憶部１１２から削除されてもよい。

なお、各ルータＲのＩＰアドレスの記録については、IＰｖ４（ＲＦＣ７９１）で規定されているレコードルート（ＲＲ）の仕組みを用いて各ルータＲのＩＰアドレスがオプションフィールドに記録されるようにしてもよい。

上述したように、本実施の形態によれば、ＤＤｏｓ攻撃であると疑われる通信（攻撃パケット）に対して所定のフラグ情報が記録され、所定のフラグ情報が記録されたパケットを転送した各ルータによって当該ルータのＩＰアドレスが当該パケットに記録される。したがって、ＤＤｏｓ攻撃に係る通信等、特定の通信の経路を効率的に把握可能とすることができる。その結果、保守者の稼動コストの削減を期待することができる。

具体的には、全でのルータから全てのトラフィック情報を収集し結合する場合に比べて、低コスト／少データ量で同等の情報を取得可能とすることができる。また、全ルータからＦｌｏｗ情報をサンプリング収集し結合する場合に比べて、経路を特定できる可能性を高めることができる。

また、本実施の形態は、ルータＲ等の関連機器に対して特殊な改造／追加開発の必要性が小さい。基本的には、各ルータＲ等の設定変更によって本実施の形態を実現することができる。また、本実施の形態は、ＩＰアドレスの記載、フラグの設定など、実装済の機能を拡張することなく、また、ＩＰレイヤの処理で動作可能とすることができる。したがって、本実施の形態は、導入コストを小さく抑えることができる。

なお、本実施の形態は、ＤＤｏｓ攻撃に係る攻撃通信の経路を特定する例について説明したが、他の特定の通信に関する経路の特定に関して本実施の形態が適用されてもよい。

なお、本実施の形態において、ルータＲは、転送装置の一例である。ルータＲ１は、第１の転送装置の一例である。ルータＲ２〜Ｒ６は、第２の転送装置の一例である。ルータＲ７は、第３の転送装置の一例である。制御部１２は、送信部の一例である。経路情報受信部１３は、受信部の一例である。経路特定部１４は、関連付け部の一例である。制御装置１０は、情報処理装置の一例である。

以上、本発明の実施の形態について詳述したが、本発明は斯かる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

１０ 制御装置
１１ 攻撃情報受信部
１２ 制御部
１３ 経路情報受信部
１４ 経路特定部
２１ 被制御部
２２ パケット受信部
２３ アドレス記録部
２４ 経路情報送信部
２５ パケット転送部
２６ 制御情報記憶部
３０ セキュリティ装置
１００ ドライブ装置
１０１ 記録媒体
１０２ 補助記憶装置
１０３ メモリ装置
１０４ ＣＰＵ
１０５ インタフェース装置
１１１ 攻撃情報記憶部
１１２ 経路情報記憶部
１１３ 攻撃経路記憶部
Ｂ バス
Ｒ１、Ｒ２、Ｒ３、Ｒ４、Ｒ５、Ｒ６、Ｒ７ ルータ
Ｘ 装置
Ｙ 装置

Claims (8)

1. ネットワークにおいてパケットを転送する複数の転送装置を含む転送システムであって、
   情報処理装置から受信した条件に合致するパケットを受信すると、自装置のアドレスと、所定のフラグ情報とを当該パケットに記録する第１の転送装置と、
   前記所定のフラグ情報が記録されたパケットを受信すると、自装置のアドレスを当該パケットに追加する１以上の第２の転送装置と、
   前記所定のフラグ情報が記録されたパケットに記録されている前記転送装置のアドレス群を前記情報処理装置に送信する第３の転送装置と、
   を含むことを特徴とする転送システム。
2. 前記第３の転送装置は、前記所定のフラグ情報が記録されたパケットが宛先アドレスに転送される直前において、当該パケットに記録されている前記転送装置のアドレス群を前記情報処理装置に送信する、
   ことを特徴とする請求項１記載の転送システム。
3. 前記情報処理装置を更に含み、
   前記情報処理装置は、
   前記条件を第１の転送装置に送信する送信部と、
   前記アドレス群を前記第３の転送装置から受信する受信部と、
   前記アドレス群を、前記条件に係る通信に関連付ける関連付け部と、
   を有することを特徴とする請求項１又は２記載の転送システム。
4. 請求項１又は２記載の情報処理装置であって、
   前記条件を第１の転送装置に送信する送信部と、
   前記アドレス群を前記第３の転送装置から受信する受信部と、
   前記アドレス群を、前記条件に係る通信情報に関連付ける関連付け部と、
   を有することを特徴とする情報処理装置。
5. ネットワークにおいてパケットを転送する複数の転送装置が実行する転送方法であって、
   第１の転送装置が、情報処理装置から受信した条件に合致するパケットを受信すると、自装置のアドレスと、所定のフラグ情報とを当該パケットに記録する手順と、
   １以上の第２の転送装置が、前記所定のフラグ情報が記録されたパケットを受信すると、自装置のアドレスを当該パケットに追加する手順と、
   第３の転送装置が、前記所定のフラグ情報が記録されたパケットに記録されている前記転送装置のアドレス群を前記情報処理装置に送信する手順と、
   を実行することを特徴とする転送方法。
6. 前記第３の転送装置は、前記所定のフラグ情報が記録されたパケットが宛先アドレスに転送される直前において、当該パケットに記録されている前記転送装置のアドレス群を情報処理装置に送信する、
   ことを特徴とする請求項５記載の転送方法。
7. 前記情報処理装置が、
   前記条件を第１の転送装置に送信する送信手順と、
   前記アドレス群を前記第３の転送装置から受信する受信手順と、
   前記アドレス群を、前記条件に係る通信に関連付ける関連付け手順と、
   を実行することを特徴とする請求項５又は６記載の転送方法。
8. 請求項１又は２記載の情報処理装置が、
   前記条件を第１の転送装置に送信する送信手順と、
   前記アドレス群を前記第３の転送装置から受信する受信手順と、
   前記アドレス群を、前記条件に係る通信に関連付ける関連付け手順と、
   を実行することを特徴とする情報処理方法。

Images