JP5153779B2 - １つまたは複数のパケット・ネットワーク内で望まれないトラフィックの告発をオーバーライドする方法および装置 - Google Patents

Description

本発明は、パケットベースの通信ネットワークのコンピュータ・セキュリティ技法に関し、より具体的には、そのようなパケットベースのネットワークでの、サービス拒否攻撃および他の悪意のある攻撃などの望まれないトラフィックを検出し、告発する方法および装置に関する。

サービス拒否ＤｏＳ攻撃は、コンピュータ・リソースをその所期のユーザから使用不能にすることを試みる。たとえば、ウェブ・サーバに対するＤｏＳ攻撃は、しばしば、ホスティングされるウェブ・ページを使用不能にする。

ＤｏＳ攻撃は、限られたリソースが正当なユーザではなく攻撃者に割り振られる必要がある時に、かなりのサービス妨害を引き起こし得る。攻撃する機械は、通常、攻撃のターゲット犠牲者に向けられた多数のインターネット・プロトコルＩＰパケットをインターネットを介して送信することによって、損害を与える。たとえば、ＤｏＳ攻撃は、ネットワークを「氾濫させ」、これによって、正当なネットワーク・トラフィックを妨げる試み、またはサーバが処理できるものより多数の要求を送信し、これによって１つまたは複数のサーバへのアクセスを妨げることによってサーバを一時不通にする試みを含み得る。

複数の技法が、そのようなサービス拒否攻撃に対して防御するために提案され、または提唱されてきた。たとえば、米国特許出願第１１／１９７，８４２号、名称「Ｍｅｔｈｏｄ ａｎｄ Ａｐｐａｒａｔｕｓ ｆｏｒ Ｄｅｆｅｎｄｉｎｇ Ａｇａｉｎｓｔ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ Ａｔｔａｃｋｓ ｉｎ ＩＰ Ｎｅｔｗｏｒｋｓ ｂｙ Ｔａｒｇｅｔ Ｖｉｃｔｉｍ Ｓｅｌｆ−Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ａｎｄ Ｃｏｎｔｒｏｌ」および米国特許出願第１１／１９７，８４１号、名称「Ｍｅｔｈｏｄ ａｎｄ Ａｐｐａｒａｔｕｓ ｆｏｒ Ｄｅｆｅｎｄｉｎｇ Ａｇａｉｎｓｔ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ Ａｔｔａｃｋｓ ｉｎ ＩＰ Ｎｅｔｗｏｒｋｓ Ｂａｓｅｄ ｏｎ Ｓｐｅｃｉｆｉｅｄ Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ ＩＰ Ａｄｄｒｅｓｓ Ｐａｉｒｓ」に、ＤｏＳ攻撃を検出し、告発する技法が開示されている。

そのようなサービス拒否攻撃に対して防御するシステムは、通常、２つのモードのうちの１つで動作する。ゾーンが「デフォルトドロップ」モードである時に、デフォルト挙動は、デフォルトドロップに明示的にリストされたトラフィックを除くそのゾーン宛のすべてのトラフィックをフィルタリングすることである。一般に、デフォルトドロップ・モードでは、フィルタは、明示的に許可され（たとえば、事前定義の許可フィルタと一致し）ない限り、すべてのトラフィックを自動的に捨てる。その一方で、ゾーンがデフォルトアロウモードである時に、事前定義のドロップ・フィルタと明示的に一致するトラフィックを除いて、加入者へのすべてのトラフィックが、フィルタによって渡される。

自動化された検出アルゴリズムを基礎としてクライアントをブロックすることに関する動作上の問題の１つは、それらが、価値を有するか他の形でブロッキングから除外されなければならないトラフィックをブロックする場合があることである。たとえば、企業は、価値を有し、ブロッキングから除外されなければならない、ある種の顧客またはインデクシング・ロボットなどのある種のサード・パーティ・サービスからのトラフィックをブロックすることを望まない場合がある。しかし、すべてのそのようなクライアントのＩＰアドレスのリストを維持することは、そのリストが、ネットワーク・プロバイダ変更などのディテクタで知ることのできないイベントに基づいて変化する場合があるので、実現不可能であることがわかっている。

したがって、自動化された検出アルゴリズムに起因するトラフィックのブロックを選択的にオーバーライドする方法および装置の必要が存在する。

一般に、自動化された検出アルゴリズムに起因するトラフィックのブロックを選択的にオーバーライドする方法および装置が提供される。本発明の一態様によれば、ターゲット犠牲者は、ターゲット犠牲者へのパケットの送信が制限される、捨てられる、または許可されるうちの１つまたは複数にならなければならない少なくとも１つのソース・コンピューティング・デバイスのソース・アドレスを識別する中央フィルタを維持するステップと、ターゲット犠牲者へのパケットの送信が中央フィルタ内のエントリに関わりなくターゲット犠牲者に送信されなければならない１つまたは複数のソース・コンピューティング・デバイスを識別する少なくとも１つの正規表現をリストするオーバーライド・フィルタを維持するステップと、中央フィルタが、受信された少なくとも１つのパケットが少なくとも１つのソース・コンピューティング・デバイスから受信されることを示す場合に、ソース・アドレスをドメイン・ネーム・サービス・フォーマットのアドレスに変換するステップと、ドメイン・ネーム・サービス・フォーマットがオーバーライド・フィルタ内に現れる正規表現を満足する場合にターゲット犠牲者に少なくとも１つのパケットを送信するステップとによって悪意のある攻撃またはサービス拒否攻撃などの望まれないトラフィックに対して保護することができる。

ソース・アドレスを、たとえば逆ＤＮＳルックアップを実行することによって、ドメイン・ネーム・サービス・フォーマットのアドレスに変換することができる。正規表現を、たとえば、１つまたは複数のワイルドカード・フィールドを含むドメイン・ネーム・サービス・フォーマット・マスクとすることができる。

本発明のより完全な理解ならびに本発明のさらなる特徴および利益は、次の詳細な説明および図面を参照することによって得られる。

本発明が動作できるネットワーク環境を示す図である。 図１の中央フィルタ・システムを示す概略ブロック図である。 図２のサービス拒否フィルタ・ルール・ベースからのサンプルのテーブルを示す図である。 図２のフィルタ・オーバーライド・データベースからのサンプルのテーブルを示す図である。 本発明の特徴を組み込んだサービス拒否フィルタリング・プロセスの例示的実施態様を説明する流れ図である。

本発明は、１つまたは複数のパケット・ネットワーク内で、サービス拒否攻撃などの悪意のある攻撃の告発をオーバーライドする方法および装置を提供する。一般に、ディテクタが告発を行おうとする時に、逆ＤＮＳルックアップが、ソース・アドレスに対して実行されて、名前がｐｒｏｘｙ＊．ｉｓｐ．ｃｏｍまたは＊．ｓｅａｒｃｈｅｎｇｉｎｅｂｏｔ．ｃｏｍなどのある種の事前に構成された正規表現と一致するかどうかを調べる。この形で、ＤＮＳルックアップは、ディテクタが分析しているログのアドレスごとに必要ではなくなる。

図１に、本発明が動作できるネットワーク環境１００を示す。図１に示されているように、企業ネットワーク１５０は、図３に関して下でさらに説明するディテクタ１４０を使用して、悪意のある攻撃に対してそれ自体を保護する。企業ネットワーク１５０は、企業ユーザが、サービス・プロバイダ・ネットワーク１２０によってインターネットまたは別のネットワークにアクセスすることを可能にする。サービス・プロバイダ・ネットワーク１２０は、企業ネットワーク１５０のユーザにサービスを提供し、入ポート１１５によってさまざまなソースからパケットを受信し、これらを企業ネットワーク１５０内の示された宛先に送信する。

１つの例示的実施形態で、ディテクタ１４０は、図２に関して下でさらに述べる中央フィルタ２００と協力して、悪意のある攻撃からそれ自体を保護する。一般に、下でさらに述べるように、ディテクタ１４０は、企業ネットワーク１５０に対する、サービス拒否攻撃などの悪意のある攻撃を検出し、サービス・プロバイダによって維持される中央フィルタ２００に通知する。

中央フィルタ２００は、サービス・プロバイダ・ネットワーク１２０によって企業ネットワーク１５０に達するトラフィックを制限するように働く。ディテクタ１４０は、通常、企業ネットワーク１５０のファイヤウォールの背後にあり、ディテクタ１４０は、通常、告発メッセージをＩＳＰの中央フィルタ２００に送信する。ディテクタ１４０および中央フィルタ２００は、本発明の特徴および機能を提供するように本明細書で変更される、米国特許出願第１１／１９７，８４２号、名称「Ｍｅｔｈｏｄ ａｎｄ Ａｐｐａｒａｔｕｓ ｆｏｒ Ｄｅｆｅｎｄｉｎｇ Ａｇａｉｎｓｔ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ Ａｔｔａｃｋｓ ｉｎ ＩＰ Ｎｅｔｗｏｒｋｓ ｂｙ Ｔａｒｇｅｔ Ｖｉｃｔｉｍ Ｓｅｌｆ−Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ａｎｄ Ｃｏｎｔｒｏｌ」および米国特許出願第１１／１９７，８４１号、名称「Ｍｅｔｈｏｄ ａｎｄ Ａｐｐａｒａｔｕｓ ｆｏｒ Ｄｅｆｅｎｄｉｎｇ Ａｇａｉｎｓｔ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ Ａｔｔａｃｋｓ ｉｎ ＩＰ Ｎｅｔｗｏｒｋｓ Ｂａｓｅｄ ｏｎ Ｓｐｅｃｉｆｉｅｄ Ｓｏｕｒｃｅ／Ｄｅｓｔｉｎａｔｉｏｎ ＩＰ Ａｄｄｒｅｓｓ Ｐａｉｒｓ」に基づいて実施することができる。

ディテクタ１４０は、サービス拒否攻撃が企業ネットワーク１５０に対して行われつつあると判定した時に、１つまたは複数のソース／宛先ＩＰアドレス対を中央フィルタ２００に送信し、このソース／宛先ＩＰアドレス対は、サービス・プロバイダ・ネットワーク１２０に、そのソースＩＰアドレスおよび宛先ＩＰアドレスが送信されたソース／宛先ＩＰアドレス対のいずれかのソースＩＰアドレスおよび宛先ＩＰアドレスと一致するＩＰパケットの送信を制限させ（たとえば、ブロックさせるかレート制限させる）、これによって、企業ネットワーク１５０内の攻撃犠牲者への１つまたは複数のソース・デバイス１１０からのサービス拒否攻撃を制限する（または除去する）。ディテクタ１４０は、任意選択で、冗長接続１３５または主接続１３０の使用を伴って、ソース／宛先ＩＰアドレス対を送信する。

したがって、開示されるシステムは、サービス拒否攻撃の犠牲者が、攻撃者をそのサービス・プロバイダに告発することによって「押し戻す」ことを可能にし、このサービス・プロバイダは、これに応答して、ブロックされなければならないソース／宛先ＩＰアドレス対のテーブルを更新する。より具体的には、攻撃が行われつつあることを認識した時に、犠牲者（企業ネットワーク１５０）は、攻撃の一部と思われるパケットで指定されるソースＩＰアドレスおよび宛先ＩＰアドレスの１つまたは複数の対を識別し、中央フィルタ２００によるブロックのためにこれらのＩＰアドレス対をサービス・プロバイダに通信する。

図１に示されているように、加入者（企業ネットワーク１５０）宛のパケットは、一般に「よい」トラフィックおよび「悪い」トラフィックに対応するクラスに分類される。たとえば、それぞれ、カテゴリＡ １０５−Ａからのよいトラフィックは、配送され（許可され）、カテゴリＢ １０５−ＢおよびカテゴリＮ １０５−Ｎからの悪いトラフィックは、それぞれレート制限されるか捨てられる。企業ネットワーク１５０に関連する宛先アドレスにトラフィックを送信するソース・コンピューティング・デバイス１１０は、Ｎ個の例示的カテゴリのうちの１つに分類される。告発は、よいトラフィックと悪いトラフィックとの間の境界をシフトする。

ある種の例示的実施形態によれば、攻撃者（すなわち、１つまたは複数の識別されたソースＩＰアドレス）は、ネットワークから完全に排除される必要があるのではなく、パケットを犠牲者（すなわち、１つまたは複数の識別された宛先ＩＰアドレス）に送信することだけを禁じられ得ることに留意されたい。これは、特に、１つまたは複数の指定されたソースＩＰアドレスが、犠牲者に対する所与の攻撃のために乗っ取られた正当なユーザ（たとえば、ゾンビ）を表す場合に、有利である場合がある。したがって、乗っ取られた機械の所有者は、正当な目的にそのシステムを使用し続けることができるが、犠牲者に対して行われる攻撃（おそらくは、正当なユーザに未知の）は、それでも、有利に阻まれる。さらに、そのような例示的実施形態による技法が、所与の犠牲者による攻撃者の過度に熱心な識別からの保護をも有利に提供することに留意されたい。本発明の原理によれば、攻撃の識別は、明白な犠牲者の裁量に一任されるので、所与の犠牲者へのトラフィックだけが排除されまたは制限されていることが、明らかに有利である。

悪意のある攻撃を、変化する度合の単純さまたは洗練を有する１つまたは複数のアルゴリズムによって、犠牲者によって認識することができ、これらのアルゴリズムは、本発明の範囲の外であるが、多数のアルゴリズムが、当業者に明白であろう。たとえば、本発明の１つの例示的実施形態によれば、アプリケーション・ログを検査することができ、攻撃を、単一の識別されたソースまたは複数の識別されたソースのいずれかからの非常に高いトラフィック・レベル（たとえば、高いパケット・レート）の存在だけに基づいて識別することができる。これが、サービス拒否攻撃の存在を識別する１つの従来の方法であり、当業者に馴染みのあるものであろうことに留意されたい。

しかし、他の実施態様では、パケット内容のアプリケーション・ベースの分析を実行して、たとえば、存在しないデータベース要素の頻繁なデータベース検索があったことを認識すること、１人の人が開始できるレートより高いレートで発生する、一見人間からの複数の要求があったことを認識すること、構文的に無効な要求を識別すること、および通常に発生するアクティビティの動作での特に敏感な時刻でのトラフィックの疑わしい量を識別することなど、疑わしい性質を有するパケットまたはパケットのシーケンスを識別することができる。後者のクラスの疑わしいパケットの例は、たとえば、株式取引ウェブ・サイトが、差し迫った株取引中の敏感な時に特に破壊的なトラフィックに気付く場合に、識別することができる。さらなる変形では、たとえば上で説明した状況のうちの１つまたは複数を含めることができる可能な攻撃の複数の異なるしるしを、より洗練された分析で有利に組み合わせて、攻撃の存在を識別することができる。

図２は、本発明のプロセスを実施できる、図１の中央フィルタ・システム２００の概略ブロック図である。図２に示されているように、メモリ２３０は、本明細書で開示されるサービス拒否フィルタリングの方法、ステップ、および機能を実施するようにプロセッサ２２０を構成する。メモリ２３０は、分散させまたはローカルとすることができ、プロセッサ２２０は、分散させまたは単一とすることができる。メモリ２３０は、電気メモリ、磁気メモリ、もしくは光学メモリ、またはこれらの任意の組合せ、あるいは他のタイプのストレージ・デバイスとして実施することができる。プロセッサ２２０を構成する各分散プロセッサが、一般に、それ自体のアドレス可能メモリ空間を含むことに留意されたい。コンピュータ・システム２００の一部またはすべてを、特定用途向け集積回路または汎用集積回路に組み込むことができることにも留意されたい。

図２に示されているように、例示的なメモリ２３０は、それぞれ図３から５までに関して下でさらに述べる、サービス拒否フィルタ・ルール・ベース３００、フィルタ・オーバーライド・データベース４００、および１つまたは複数のサービス拒否フィルタリング・プロセス５００を含む。一般に、サービス拒否フィルタ・ルール・ベース３００は、中央フィルタ２００によって制限されまたは許可されなければならないトラフィックに関連するソース／宛先アドレス対を含む従来のフィルタ・ベースである。フィルタ・オーバーライド・データベース４００は、サービス拒否フィルタ・ルール・ベース３００内の１つまたは複数の告発をオーバーライドすることを可能にする、ｐｒｏｘｙ＊．ｉｓｐ．ｃｏｍまたは＊．ｓｅａｒｃｈｅｎｇｉｎｅｂｏｔ．ｃｏｍなどの１つまたは複数の事前に構成された正規表現を含む。サービス拒否フィルタリング・プロセス５００は、本発明の告発オーバーライド特徴によるサービス拒否攻撃または他の攻撃に対して防御する例示的方法である。

中央フィルタ２００を、サービス・プロバイダ・ネットワーク１２０に含まれる独立型ボックスとして、またはその代わりに、ネットワーク１２０内に既に存在する他の点では通常のネットワーク要素に組み込まれた回線カードとして、実施することができる。さらに、ある種の例示的実施形態によれば、中央フィルタ２００を、ネットワーク１２０内で攻撃起点に相対的に近い位置にキャリアによって有利に展開することができ、あるいは、中央フィルタ２００を、当初に、プレミアム・カスタマを攻撃から有利に防御するように配置することができる。

図３は、図２のサービス拒否フィルタ・ルール・ベース３００からのサンプルのテーブルである。上で示したように、サービス拒否フィルタ・ルール・ベース３００は、通常、中央フィルタ２００によって制限されまたは許可されなければならないトラフィックに関連するソース／宛先アドレス対を含む従来のフィルタ・ベースとして実施される。

上で示したように、そのようなサービス拒否攻撃に対して防御するシステムは、通常、２つのモードのうちの１つで動作する。「デフォルトドロップ」モードでは、デフォルト挙動は、サービス拒否フィルタ・ルール・ベース３００に明示的にリストされたトラフィックを除く、ゾーン宛のすべてのトラフィックをフィルタリングする。その一方で、デフォルトアロウ・モードでは、サービス拒否フィルタ・ルール・ベース３００内の事前定義のドロップ・フィルタと明示的に一致するトラフィックを除く、加入者へのすべてのトラフィックが、フィルタ２００によって渡される。したがって、図３に示されているように、例示的なサービス拒否フィルタ・ルール・ベース３００は、ユーザが、デフォルト・モードがトラフィックを捨てることまたは許可することのどちらであるかを指定することを可能にする任意選択のボタン選択３１０を含む。図３に示された例示的実施態様では、サービス拒否フィルタ・ルール・ベース３００は、例示的な「デフォルトアロウ」モード用に構成され、加入者へのトラフィックは、サービス拒否フィルタ・ルール・ベース３００内の事前定義のドロップ・フィルタと明示的に一致するトラフィックを除いて、フィルタ２００によって渡される。

図３に示された例示的実施態様では、サービス拒否フィルタ・ルール・ベース３００は、ソース／宛先アドレス対と、各リストされたソース／宛先アドレス対の間のすべてのトラフィックについて実行されなければならない任意選択の示されたアクションから構成される。

中央フィルタ２００のフィルタリング機構の動作を、潜在的に多数（たとえば、数百万個）の非常に単純なルールに基づいて動作することを除いて、従来のファイヤウォールの動作に類似するものとすることができることに留意されたい。具体的に言うと、ルールを、「ｉｆ ｔｈｅ ｓｏｕｒｃｅ ＩＰ ａｄｄｒｅｓｓ ｏｆ ａ ｇｉｖｅｎ ｐａｃｋｅｔ ｉｓ ａ．ｂ．ｃ．ｄ ａｎｄ ｔｈｅ ｄｅｓｔｉｎａｔｉｏｎ ＩＰ ａｄｄｒｅｓｓ ｏｆ ｔｈｅ ｐａｃｋｅｔ ｉｓ ｗ．ｘ．ｙ．ｚ， ｔｈｅｎ ｂｌｏｃｋ （ｉ．ｅ．， ｄｒｏｐ） ｔｈｅ ｐａｃｋｅｔ（所与のパケットのソースＩＰアドレスがａ．ｂ．ｃ．ｄであり、そのパケットの宛先ＩＰドレスがｗ．ｘ．ｙ．ｚである場合に、そのパケットをブロックせよ（すなわち、捨てよ））」の形で表すことができる。

所与のソースＩＰアドレスおよび宛先ＩＰアドレスを有するパケットの送信を禁ずるのではなく、中央フィルタ２００は、そのようなパケットの優先順位を下げることができる。すなわち、フィルタリング機構は、そのようなパケットに低いルーティング優先順位を割り当てるか、そのようなパケットに対するパケット・レート制限を強制するかのいずれかを行うことができる。どちらの場合でも、所与のソースＩＰアドレスおよび宛先ＩＰアドレスを有するパケットは、トラフィックに対するかなりの影響を有することができなくなり、したがって、もはや犠牲者に対する成功のサービス拒否攻撃をもたらさない。

図４は、図２のフィルタ・オーバーライド・データベース４００からのサンプルのテーブルである。フィルタ・オーバーライド・データベース４００は、サービス拒否フィルタ・ルール・ベース３００内の１つまたは複数の告発をオーバーライドすることを可能にする、ｐｒｏｘｙ＊．ｉｓｐ．ｃｏｍまたは＊．ｓｅａｒｃｈｅｎｇｉｎｅｂｏｔ．ｃｏｍなどの１つまたは複数の事前に構成された正規表現を含む。図４に示された例示的実施態様では、フィルタ・オーバーライド・データベース４００は、例示的な「デフォルトアロウ」モード用に構成され、サービス拒否フィルタ・ルール・ベース３００にリストされた例示的なドロップ・フィルタを、フィルタ・オーバーライド・データベース４００にリストされた１つまたは複数のマスクによってオーバーライドできるようになっている。図４に示された正規表現を使用できる形は、下で図５に関してさらに述べる。

図５は、本発明の特徴を組み込んだサービス拒否フィルタリング・プロセスの例示的実施態様を説明する流れ図である。例示的なサービス拒否フィルタリング・プロセス５００が、「デフォルトアロウ」モード用に実施されることに留意されたい。「デフォルトドロップ」モード用の実施態様は、当業者にすぐに明白になるであろう。一般に、サービス拒否フィルタリング・プロセス５００は、サービス拒否攻撃または他の攻撃に対して防御する例示的方法であり、本発明の告発オーバーライド特徴を実施する。例示的なサービス拒否フィルタリング・プロセス５００は、中央フィルタ２００で実行され、ステップ５１０中に、サービス拒否攻撃が企業ネットワーク１５０内の所与のターゲット犠牲者に対して行われつつあることの表示をディテクタ１４０から受信することによって開始される。

その後、ステップ５２０中に、ネットワーク・キャリアが、サービス拒否攻撃を阻むためにブロックされなければならないＩＰパケットを表す１つまたは複数のソース／宛先ＩＰアドレス対をディテクタ１４０から受信する。実例として、ソースＩＰアドレスは、攻撃する（たとえば、「ゾンビ」）コンピューティング・デバイス１１０のアドレスであり、宛先ＩＰアドレスは、ターゲット犠牲者自体に関連するアドレスである。

次に、ネットワーク・キャリアは、ステップ５３０中に、そのソースＩＰアドレスおよび宛先ＩＰアドレスが受信されたソース／宛先ＩＰアドレス対のソースＩＰアドレスおよび宛先ＩＰアドレスと一致するＩＰパケットを識別するために、ＩＰパケット・トラフィックを監視する。ステップ５４０中にテストを実行して、１つまたは複数のパケットが、サービス拒否フィルタ・ルール・ベース３００内のアドレス対と一致するかどうかを判定する。

ステップ５４０中に、１つまたは複数のパケットがサービス拒否フィルタ・ルール・ベース３００内のアドレス対と一致すると判定される場合には、ステップ５４５中に、ソースＩＰアドレスに対して逆ＤＮＳルックアップを実行する。逆ＤＮＳルックアップは、ソースＩＰアドレスに関連する、通常は既知のドメイン・ネーム・サービスＤＮＳフォーマットの、フル・アドレスを返す。本明細書で使用される時に、ドメイン・ネーム・サービス・フォーマットは、ＩＰパケット・アドレスまたは他のパケット・アドレスのすべてのドメイン・ネーム表現を含まなければならない。

ステップ５５０中にさらなるテストを実行して、ＤＮＳエントリがオーバーライド・データベース４００内のマスクを満足するかどうかを判定する。ステップ５５０中に、ＤＮＳエントリがオーバーライド・データベース４００内のマスクを満足すると判定される場合には、パケットを捨てまたは制限してはならず（サービス拒否フィルタ・ルール・ベース３００での出現にもかかわらず）、プログラム制御は、下で述べるステップ５７０に進む。しかし、ステップ５５０中に、ＤＮＳエントリがオーバーライド・データベース４００内のマスクを満足しないと判定される場合には、ネットワーク・キャリアの中央フィルタ２００が、識別されたＩＰパケットをブロックし、これによってターゲット犠牲者に対するサービス拒否攻撃を阻む。

ステップ５４０中に、１つまたは複数のパケットがサービス拒否フィルタ・ルール・ベース３００内のアドレス対と一致しないと判定された場合、または、ステップ５５０中に、ＤＮＳエントリがオーバーライド・データベース４００内のマスクを満足しないと判定された場合に、パケットは、企業ネットワーク１５０への送信を許可される。

サービス拒否フィルタリング・プロセス５００の「デフォルトドロップ」実施態様では、中央フィルタ２００は、リストされたソース・デバイスがサービス拒否フィルタ・ルール・ベース３００内に明示的に現れない場合であっても、フィルタ・オーバーライド・データベース４００にリストされたすべてのソース・デバイスからのパケットを渡す。

例示的実施形態では中央フィルタ２００によって実行されるものとして示されるが、当業者に明白であるように、本発明の告発オーバーライド特徴を、同様に、ディテクタ１４０によって実行することができることに、さらに留意されたい。

本発明は、１つまたは複数の補足ツールと共に働くことができる。たとえば、そのようなツールに、活用されるサービス拒否攻撃の認識のためのインターネット・サーバ・プラグイン、さまざまなＩＤＳシステム（侵入検出システム）へのリンク、ネットワーク診断用のデータベース（上の議論を参照されたい）、および所与のキャリアのインフラストラクチャ内のザッパ機能性の配置に関するガイダンスを提供する方法を含めることができる。これら補足ツールのうちのさまざまなツールを提供する本発明の例示的実施形態は、本明細書の開示に鑑みて、当業者に明白であろう。

システムおよび製造品の詳細
当技術分野で既知のとおり、本明細書で述べた方法および装置を、コンピュータ可読コード手段がその上で実施されたコンピュータ可読媒体をそれ自体が含む製造品として配布することができる。コンピュータ可読プログラム・コード手段は、コンピュータ・システムと共に、本明細書で述べた方法を実行するステップの一部またはすべてを実行するか本明細書で述べた装置を作成するように動作可能である。コンピュータ可読媒体は、記録可能媒体（たとえば、フロッピ・ディスク、ハード・ドライブ、コンパクト・ディスク、メモリ・カード、半導体デバイス、チップ、特定用途向け集積回路ＡＳＩＣ）とすることができ、あるいは伝送媒体（たとえば、光ファイバ、ワールド・ワイド・ウェブ、ケーブル、または時分割多元接続、符号分割多元接続もしくは他の無線周波数チャネルを使用する無線チャネルを含むネットワーク）とすることができる、コンピュータ・システムと共に使用するのに適切な情報を格納できる既知のまたはこれから開発されるすべての媒体を使用することができる。コンピュータ可読コード手段は、磁気媒体上の磁気変動またはコンパクト・ディスクの表面上の高さ変動など、コンピュータが命令およびデータを読み取ることを可能にするすべての機構である。

本明細書で説明したコンピュータ・システムおよびサーバのそれぞれは、本明細書で開示される方法、ステップ、および機能を実施するように関連するプロセッサを構成するメモリを含む。メモリは、分散させまたはローカルとすることができ、プロセッサは、分散させまたは単一とすることができる。メモリは、電気メモリ、磁気メモリ、もしくは光学メモリ、またはこれらの任意の組合せ、あるいは他のタイプのストレージ・デバイスとして実施することができる。さらに、用語「メモリ」は、関連するプロセッサによってアクセスされるアドレス可能空間内のアドレスから読み取るかこれに書き込むことができるすべての情報を含むのに十分に広義に解釈されなければならない。この定義を用いると、ネットワーク上の情報は、それでもメモリ内にある。というのは、関連するプロセッサが、ネットワークから情報を取り出すことができるからである。

図示され本明細書で説明された実施形態および変形形態が、単に本発明の原理を示すものであることと、本発明の範囲および趣旨から逸脱せずに当業者がさまざまな変更を実施できることとを理解されたい。

Claims (10)

1. ターゲット犠牲者によって受信される望まれないトラフィックに対して防御する方法であって、該ターゲット犠牲者が、１つ又は複数の宛先アドレスを有し、該方法が、
   該ターゲット犠牲者へのパケットの送信が制限される、捨てられる、又は許可されるうちの１つ又は複数にならなければならない少なくとも１つのソース・コンピューティング・デバイスのソース・アドレスを識別する中央フィルタを維持するステップと、
   該ターゲット犠牲者へのパケットの送信が該中央フィルタ内のエントリに関わりなく該ターゲット犠牲者に送信されなければならない１つ又は複数のソース・コンピューティング・デバイスを識別する少なくとも１つの正規表現をリストするオーバーライド・フィルタを維持するステップと、
   該中央フィルタが、少なくとも１つの受信されたパケットが該少なくとも１つのソース・コンピューティング・デバイスから受信されることを示す場合に、該ソース・アドレスをドメイン・ネーム・サービス・フォーマットのドメイン・ネーム・アドレスに変換するステップと、
   該ドメイン・ネーム・サービス・フォーマットの該変換されたドメイン・ネーム・アドレスが該オーバーライド・フィルタ内に現れる正規表現を満足する場合に該ターゲット犠牲者に該少なくとも１つの受信されたパケットを送信するステップとを含む方法。
2. 請求項１に記載の方法において、
   該中央フィルタ内の該ソース・アドレスが、該中央フィルタの構成中に、望まれないトラフィックが受信されつつあることを示す該ターゲット犠牲者に関連するディテクタ又は該ターゲット犠牲者のうちの１つ又は複数から受信される方法。
3. 請求項１に記載の方法において、
   該変換するステップが、逆ＤＮＳルックアップを実行するステップを含む方法。
4. 請求項１に記載の方法において、
   該正規表現が、１つ又は複数のワイルドカード・フィールドを含むドメイン・ネーム・サービス・マスクである方法。
5. 請求項１に記載の方法において、
   該望まれないトラフィックが、悪意のある攻撃又はサービス拒否攻撃を含む方法。
6. ターゲット犠牲者によって受信される望まれないトラフィックに対して防御する装置であって、該ターゲット犠牲者が、１つ又は複数の宛先アドレスを有し、該装置が、
   メモリと、
   該メモリに結合され、
   該ターゲット犠牲者へのパケットの送信が制限される、捨てられる、又は許可されるうちの１つ又は複数にならなければならない少なくとも１つのソース・コンピューティング・デバイスのソース・アドレスを識別する中央フィルタを維持し、
   該ターゲット犠牲者へのパケットの送信が該中央フィルタ内のエントリに関わりなく該ターゲット犠牲者に送信されなければならない１つ又は複数のソース・コンピューティング・デバイスを識別する少なくとも１つの正規表現をリストするオーバーライド・フィルタを維持し、
   該中央フィルタが、少なくとも１つの受信されたパケットが該少なくとも１つのソース・コンピューティング・デバイスから受信されることを示す場合に、該ソース・アドレスをドメイン・ネーム・サービス・フォーマットのドメイン・ネーム・アドレスに変換し、
   該ドメイン・ネーム・サービス・フォーマットの該変換されたドメイン・ネーム・アドレスが該オーバーライド・フィルタ内に現れる正規表現を満足する場合に該ターゲット犠牲者に該少なくとも１つの受信されたパケットを送信するように動作可能な少なくとも１つのプロセッサとを含む装置。
7. 請求項６に記載の装置において、
   該中央フィルタ内の該ソース・アドレスが、該中央フィルタの構成中に、望まれないトラフィックが受信されつつあることを示す該ターゲット犠牲者に関連するディテクタ又は該ターゲット犠牲者のうちの１つ又は複数から受信される装置。
8. 請求項６に記載の装置において、
   該ソース・アドレスが、逆ＤＮＳルックアップを実行することによってドメイン・ネーム・サービス・フォーマットのアドレスに変換される装置。
9. 請求項６に記載の装置において、
   該正規表現が、１つ又は複数のワイルドカード・フィールドを含むドメイン・ネーム・サービス・フォーマット・マスクである装置。
10. 請求項６に記載の装置において、
    該望まれないトラフィックが、悪意のある攻撃又はサービス拒否攻撃を含む装置。

Images