特許 5870009 ネットワークシステム、ネットワーク中継方法及び装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】5870009

(24)【登録日】2016年1月15日

(45)【発行日】2016年2月24日

(54)【発明の名称】ネットワークシステム、ネットワーク中継方法及び装置

(51)【国際特許分類】

   H04L 12/66 20060101AFI20160210BHJP

   H04L 12/70 20130101ALI20160210BHJP

   G06F 13/00 20060101ALI20160210BHJP

【ＦＩ】

   H04L12/66 B

   H04L12/70 100Z

   G06F13/00 351Z

【請求項の数】13

【全頁数】38

(21)【出願番号】特願2012-255587(P2012-255587)

(22)【出願日】2012年11月21日

(65)【公開番号】特開2013-201747(P2013-201747A)

(43)【公開日】2013年10月3日

【審査請求日】2015年1月8日

(31)【優先権主張番号】特願2012-34388(P2012-34388)

(32)【優先日】2012年2月20日

(33)【優先権主張国】JP

(73)【特許権者】

【識別番号】504411166

【氏名又は名称】アラクサラネットワークス株式会社

(74)【代理人】

【識別番号】100107010

【弁理士】

【氏名又は名称】橋爪 健

(72)【発明者】

【氏名】中尾 嘉宏

(72)【発明者】

【氏名】渡辺 義則

(72)【発明者】

【氏名】篠原 誠之

【審査官】 安藤 一道

(56)【参考文献】

【文献】 特開２０１０−１９３０８３（ＪＰ，Ａ）

【文献】 特開２００９−２１９１２８（ＪＰ，Ａ）

【文献】 特開２００８−１７８１２１（ＪＰ，Ａ）

【文献】 米国特許出願公開第２００７／０２０９０６８（ＵＳ，Ａ１）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｈ０４Ｌ １２／６６

Ｇ０６Ｆ １３／００

Ｈ０４Ｌ １２／７０

(57)【特許請求の範囲】

【請求項1】

ネットワークシステムであって、
保護対象となるリソースを有しサービスを提供するサーバと、

一つ以上の回線と接続され、端末及び前記サーバとネットワークを介してパケットの送受信を行うインタフェース部と、
受信パケットのヘッダに含まれる情報に基づきフロー単位でパケットを転送又は廃棄する第一の廃棄制御を行う中継処理部と、
前記インタフェース部を介して中継処理部で受信されるパケットのうち、ユーザ単位の通信履歴及び／又は負荷情報に基づきパケット単位でパケットを転送又は廃棄する第二の廃棄制御を行うサービス停止攻撃抑止部と、を有するネットワーク中継装置と、
を備え、
前記中継処理部は、受信パケットの転送元が前記サービス停止攻撃抑止部であると判定すると、ＱｏＳ制御又は他のフィルタ制御により前記第一の廃棄制御を実行し、
一方、
前記中継処理部は、受信パケットの転送元が前記サービス停止攻撃抑止部ではないと判定すると、ヘッダ情報に対して処理モジュールが記憶された保護対象情報テーブルを検索し、受信パケットのヘッダ情報に基づいて処理モジュールに該当するいずれかの前記サービス停止攻撃抑止部へ受信パケットを転送し、
前記サービス停止攻撃抑止部は、前記中継処理部から受信した受信パケットを転送するか廃棄するかを判定する廃棄判定部を備え、
前記廃棄判定部は、
前記受信パケットが保護対象となるリソースに到達するパケットであるか否かを判定し、前記受信パケットが保護対象となるリソースに到達するパケットであると判定した場合、前記受信パケットからユーザを特定するためのユーザ識別情報を抽出する受信パケット解析判定部と、
前記受信パケット解析判定部から得られた前記受信パケットのユーザ識別情報からユーザ単位で通信履歴を作成及び記録し、ユーザ単位で記録する通信履歴の検索および更新を実施する履歴管理部と、
前記履歴管理部から得られたユーザ単位で記録する通信履歴を基に、予め設定された判定基準に従い前記受信パケットの優先度を判定する優先度判定部と、
ユーザ単位で記録する通信履歴による負荷情報又は他から通知された負荷情報を基に、保護対象となるリソースの負荷状態を判定する負荷判定部と、
前記優先度判定部から得られた受信パケットの優先度と、前記負荷判定部から得られた負荷状態により、予め設定された前記受信パケットの廃棄率を決定する廃棄率決定部と、
前記廃棄率決定部から得られた受信パケットの廃棄率に基づいて、パケットの転送廃棄判定を実施するパケット廃棄部と、
を備え、前記廃棄判定部による転送廃棄判定に従い前記受信パケットの前記第二の廃棄制御を実施する
ことを特徴とするネットワークシステム。

【請求項2】

請求項１に記載のネットワークシステムであって、
前記中継処理部は、パケットの転送元が前記サービス停止攻撃抑止部ではないと判定したとき、ヘッダ情報に対して処理モジュールが記憶された保護対象情報テーブルを検索し、受信パケットのヘッダ情報に該当するエントリが無い場合、前記中継処理部は、ＱｏＳ制御又は他のフィルタ制御により前記第一の廃棄制御を実行することを特徴とするネットワークシステム。

【請求項3】

請求項２に記載のネットワークシステムであって、
前記サービス停止攻撃抑止部は、
保護対象となるリソース宛パケットが経由する装置内の回線へ出力される受信パケットと、保護対象となるリソース宛パケットが経由する装置内の回線から入力された受信パケットと、制御用パケットとを含む少なくとも３種類の受信パケットに対して独立したパケットＩＤを付与するパケット識別子付与部と、
前記３種類の受信パケットを保持し、前記廃棄判定部の判定結果に基づいて、前記パケット識別子付与部からの前記受信パケットの転送処理もしくは廃棄処理を実施する受信パケット保持部と、
をさらに備え、
前記廃棄判定部は、前記パケット識別子付与部からの前記受信パケットとパケットＩＤに基づき、は前記受信パケットの転送廃棄判定の判定結果を前記受信パケット保持部へ出力する
ことを特徴とするネットワークシステム。

【請求項4】

請求項１又は３に記載のネットワークシステムであって、
前記サービス停止攻撃抑止部は、
前記廃棄判定部内の各種テーブルの設定を管理する設定管理部をさらに備えたネットワークシステム。

【請求項5】

請求項１乃至４のいずれかに記載のネットワークシステムであって、
前記ユーザ単位で記録する通信履歴として、計測時間が異なる計測カウンタを複数有すること、ユーザ毎に通信状態を記録すること、及び／又は、前記ユーザ毎の通信状態の一部あるいは全部が通知されることを特徴とするネットワークシステム。

【請求項6】

請求項１乃至５のいずれかに記載のネットワークシステムであって、
前記優先度判定部は、前記ユーザ単位で記録する通信履歴の複数の判定結果から前記受信パケットの優先度を判定することを特徴とするネットワークシステム。

【請求項7】

請求項６に記載のネットワークシステムであって、
前記履歴管理部は、さらに、特定の集合単位で通信履歴を記録し、
前記優先度判定部は、前記ユーザ単位で記録する通信履歴に加えて、前記特定の集合単位で記録する通信履歴から判定する一つ以上の判定結果から前記受信パケットの優先度を判定することを特徴とするネットワークシステム。

【請求項8】

請求項７に記載のネットワークシステムであって、
前記履歴管理部は、さらに、保護対象となるリソースに到達する全ての通信について通信履歴を記録し、
前記優先度判定部は、前記ユーザ単位で記録する通信履歴と前記特定の集合単位で記録する通信履歴に加えて、前記保護対象となるリソースに到達する全ての通信について記録する通信履歴から判定する一つ以上の判定結果から前記受信パケットの優先度を判定することを特徴とするネットワークシステム。

【請求項9】

請求項１乃至８のいずれかに記載のネットワークシステムであって、
前記履歴管理部は、前記通信履歴をユーザ単位で追加又は削除し、
前記優先度判定部は、前記受信パケットの優先度を、通信履歴と前記受信パケットのユーザ識別情報から判定することを特徴とするネットワークシステム。

【請求項10】

ネットワークシステムにおけるネットワーク中継方法であって、
保護対象となるリソースを有しサービスを提供するサーバと、ひとつ又は複数の端末が接続されるネットワークと、前記サーバを前記ネットワークに接続するネットワーク中継装置と、を備え、前記端末が前記ネットワークと前記ネットワーク中継装置を経由して前記サーバにアクセスし、
前記ネットワーク中継装置は、
一つ以上の回線と接続され、前記ネットワーク及び前記サーバとパケットの送受信を行うためのインタフェース部と、
一つ以上のサービス停止攻撃抑止部と、
前記インタフェース部と前記サービス停止攻撃抑止部との間でパケットの転送処理を行う中継処理部と
を備え、
前記中継処理部は、受信パケットのヘッダに含まれる情報に基づきフロー単位でパケットを転送又は廃棄する第一の廃棄制御を行い、
前記サービス停止攻撃抑止部は、ユーザ単位の通信履歴及び／又は負荷情報に基づきパケット単位でパケットを転送又は廃棄する第二の廃棄制御を行い、
前記中継処理部は、受信パケットの転送元が前記サービス停止攻撃抑止部であると判定すると、ＱｏＳ制御又は他のフィルタ制御により前記第一の廃棄制御を実行し、
一方、
前記中継処理部は、受信パケットの転送元が前記サービス停止攻撃抑止部ではないと判定すると、ヘッダ情報に対して処理モジュールが記憶された保護対象情報テーブルを検索し、受信パケットのヘッダ情報に基づいて処理モジュールに該当するいずれかの前記サービス停止攻撃抑止部へ受信パケットを転送し、
前記サービス停止攻撃抑止部は、前記中継処理部から受信した受信パケットを転送するか廃棄するかを判定する廃棄判定部を備え、
前記廃棄判定部により、
前記受信パケットが保護対象となるリソースに到達するパケットであるか否かを判定し、前記受信パケットが保護対象となるリソースに到達するパケットであると判定した場合、前記受信パケットからユーザを特定するためのユーザ識別情報を抽出し、
前記受信パケットのユーザ識別情報からユーザ単位で通信履歴を作成及び記録し、ユーザ単位で記録する通信履歴の検索および更新を実施し、
ユーザ単位で記録する通信履歴を基に、予め設定された判定基準に従い前記受信パケットの優先度を判定し、
ユーザ単位で記録する通信履歴による負荷情報又は他から通知された負荷情報を基に、保護対象となるリソースの負荷状態を判定し、
受信パケットの優先度と、負荷状態により、予め設定された前記受信パケットの廃棄率を決定し、
受信パケットの廃棄率に基づいて、パケットの転送廃棄判定を実施し、
転送廃棄判定に従い前記受信パケットの前記第二の廃棄制御を実施する
ことを特徴とするネットワーク中継方法。

【請求項11】

端末と、保護対象となるリソースを有し前記端末にサービスを提供するサーバとネットワークを介して接続されるネットワーク中継装置であって、
一つ以上の回線と接続され、前記ネットワークとパケットの送受信を行うインタフェース部と、
受信パケットのヘッダに含まれる情報に基づきフロー単位でパケットを転送又は廃棄する第一の廃棄制御を行う中継処理部と、
ユーザ単位の通信履歴及び／又は負荷情報に基づきパケット単位で、前記受信パケットを転送又は廃棄する第二の廃棄制御を行うサービス停止攻撃抑止部と、
を備え、
前記中継処理部は、受信パケットの転送元が前記サービス停止攻撃抑止部であると判定すると、ＱｏＳ制御又は他のフィルタ制御により前記第一の廃棄制御を実行し、
一方、
前記中継処理部は、受信パケットの転送元が前記サービス停止攻撃抑止部ではないと判定すると、ヘッダ情報に対して処理モジュールが記憶された保護対象情報テーブルを検索し、受信パケットのヘッダ情報に基づいて処理モジュールに該当するいずれかの前記サービス停止攻撃抑止部へ受信パケットを転送し、
前記サービス停止攻撃抑止部は、前記中継処理部から受信した受信パケットを転送するか廃棄するかを判定する廃棄判定部を備え、
前記廃棄判定部は、
前記受信パケットが保護対象となるリソースに到達するパケットであるか否かを判定し、前記受信パケットが保護対象となるリソースに到達するパケットであると判定した場合、前記受信パケットからユーザを特定するためのユーザ識別情報を抽出する受信パケット解析判定部と、
前記受信パケット解析判定部から得られた前記受信パケットのユーザ識別情報からユーザ単位で通信履歴を作成及び記録し、ユーザ単位で記録する通信履歴の検索および更新を実施する履歴管理部と、
前記履歴管理部から得られたユーザ単位で記録する通信履歴を基に、予め設定された判定基準に従い前記受信パケットの優先度を判定する優先度判定部と、
ユーザ単位で記録する通信履歴による負荷情報又は他から通知された負荷情報を基に、保護対象となるリソースの負荷状態を判定する負荷判定部と、
前記優先度判定部から得られた受信パケットの優先度と、前記負荷判定部から得られた負荷状態により、予め設定された前記受信パケットの廃棄率を決定する廃棄率決定部と、
前記廃棄率決定部から得られた受信パケットの廃棄率に基づいて、パケットの転送廃棄判定を実施するパケット廃棄部と、
を備え、前記廃棄判定部による転送廃棄判定に従い前記受信パケットの前記第二の廃棄制御を実施する
ことを特徴とするネットワーク中継装置。

【請求項12】

請求項１１に記載のネットワーク中継装置であって、
前記サービス停止攻撃抑止部を複数備え、
前記中継処理部は、
前記保護対象となるリソースと前記サービス停止攻撃抑止部の対応付け情報を保持するテーブルと、
前記受信パケットが前記保護対象となるリソースに到達するパケットであった場合に、前記テーブルを参照して、前記パケットに対する廃棄判定処理を行うサービス停止攻撃抑止部を前記対応付け情報を参照して決定する転送先決定部と、
を備えたことを特徴とするネットワーク中継装置。

【請求項13】

請求項１１または１２に記載のネットワーク中継装置であって、
入出力装置と接続して前記ネットワーク中継装置内に格納される情報を設定または参照するための装置制御部を備え、
前記通信履歴を前記入出力装置により参照可能なことを特徴とするネットワーク中継装置。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、ネットワークシステム、ネットワーク中継方法及び装置に関し、特に分散型サービス妨害（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ：ＤＤｏＳ）攻撃の無効化のためのパケット廃棄制御を行うネットワークシステム、ネットワーク中継方法及び装置に関するものである。

【背景技術】

【0002】

近年、ｅコマースやミッションクリティカルな通信の普及によって、インターネット上のセキュリティ確保の重要度が増している。特に、致命的なサービス妨害攻撃（ＤｏＳ攻撃）や、その進化系である分散ＤｏＳ攻撃（ＤＤｏＳ攻撃）の出現は、インターネットの信頼性に大きな懸念を与えるものとなっている。
ＤＤｏＳ攻撃は、ユーザに種々のサービスを提供するサーバ装置などに、一見正常に見えるが実際には無用なパケットを送信することで、装置内の限られたシステムリソースを過剰に消費して、攻撃対象の装置やシステムを劣化／崩壊させる。そのため、攻撃対象となったサーバ等による通常のクライアントサービスは著しく妨害される。典型的には、ネットワーク帯域幅、ターゲットホストのＣＰＵサイクル、およびフラグメンテーションバッファやＴＣＰ ＳＹＮバッファ等の特定のＴＣＰ／ＩＰプロトコルスタック構造といったリソースがＤｏＳ攻撃／ＤＤｏＳ攻撃によって使い果たされてしまうことが想定される。更に、容易に利用可能な攻撃スクリプトがインターネット上に氾濫しているため、ＤＤｏＳ攻撃を仕掛ける技術的ハードルは下げられている。
一般に、ＤＤｏＳ攻撃は、仕掛けるのは比較的簡単だが、防御するのは難しいことがよく知られている。
その基本的な理由として、例えば、以下が挙げられる。
（１）ＩＰスプーフィング（すなわち、攻撃パケットは通常偽装された送信元ＩＰアドレスを有する。これによって、攻撃発信もとの身元が効果的に隠され、検出、防御、追跡といった取り組みが阻まれてしまう）：
（２）ＤＤｏＳ攻撃の分散性（すなわち、膨大な数の送信元が攻撃トラフィックを一斉に発生させることで、攻撃がますます強力化していき、その攻撃に対処するためスケーラビリティの課題が生じることになるので、対応策に過大な負担がかかる）：および
（３）被害者が正常パケットと致命的な攻撃トラフィックとを容易に区別できるメカニズムが存在しないこと
等。
以上より、ＤＤｏＳ攻撃を防御することでネットワークやサーバの持続可能性を向上させることは、ネットワークに関する技術分野における重要な目標である。
特許文献１はこれらの課題を解決することを目的として発明された技術の一例である。
しかし特許文献１では、ＴＣＰにより提供されるサービスのみを防御の対象としており、ＤＮＳサーバのようなＵＤＰにより提供されるサービスに関しては対象外としている。またＴＣＰにより提供されるサービスにおいても挙動ベースのトラフィック識別方法（ＢＴＤ）に基づいた検査方法のみとなっており、ＴＣＰ通信のエンドポイント間の制御信号に適切に対応しているかを判定しているのみである。このことからＴＣＰ通信のエンドポイント間の制御信号に適切に対応する攻撃ノードを大量に用意された場合に効果は小さくなると考えられる。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特表２００９−５２９２５４号公報

【発明の開示】

【発明が解決しようとする課題】

【0004】

ＤＤｏＳ攻撃パターンの多様化が進む中、攻撃方法とは対照的に、従来の防御方法はＤＤｏＳ攻撃の進化に追いついていないのが実情である。従来技術によるＤＤｏＳ防御方法の多くは１種又は２種のＤＤｏＳ攻撃に対処するものであり、広範なＤＤｏＳ攻撃パターンに対しては不十分であり、大きな効果が期待できない。
そして、従来は、ＤＤｏＳ攻撃の分散性に基づいて膨大な数の送信元が攻撃トラフィックを一斉に発生させた場合の対処法として十分な手法が存在しない。また、これらＤＤｏＳ攻撃の防御方法を実施した場合に「正常な」トラフィックに対しても悪影響を与える場合があると想定される。
本発明は、上述の課題を解決するためになされたものであり、広範なＤＤｏＳ攻撃パターンに対応すること、および、膨大な数の送信元が攻撃トラフィックを一斉に発生させた場合にも対応することを目的とする。

【課題を解決するための手段】

【0005】

本発明は、分散型サービス妨害攻撃の無効化制御を実施した場合でも「正常な」トラフィックに対して与える悪影響は最小となるような制御を実現することを、ひとつの目的としたものである。本発明では、保護対象となるリソースに到達する受信パケットの情報から受信パケットの優先度を判定し、前記受信パケットの優先度と保護対象の負荷状態に対応した廃棄率で前記受信パケットを廃棄するネットワーク中継装置を提供する。ここで、前記受信パケットの優先度は、例えば、「正常な」トラフィックは高く、攻撃パケットは低くなるような優先度判定処理を行う。
より具体的には、本ネットワーク中継装置が転送する通信のうち、攻撃を受ける可能性のあるサーバ等の保護対象に到達する全て（又は複数）の通信において通信履歴情報を記録することで保護対象に到達する受信パケット毎に優先度を判定する。保護対象となるリソースの負荷が低い状態においては、全ての受信パケットに対して転送処理を実施する。保護対象となるリソースの負荷が高い状態においては、優先度毎に設定された廃棄率に基づいてパケットの転送廃棄判定を実施する。さらに、前記優先度毎に設定された廃棄率は保護対象となるリソースの負荷状態を段階的に判定して、負荷状態の段階毎に前記優先度毎に設定された廃棄率を持つ。

【0006】

本発明のひとつの態様によると、
本ネットワーク中継装置は、
前記受信パケットを転送処理するかを判定する間、前記受信パケットを保持する受信パケット保持転送部と、
前記受信パケットを転送するか廃棄するかを判定する廃棄判定部と、
を持つネットワーク中継装置であって、
前記廃棄判定部の要素として前記受信パケットが保護対象となるリソースに到達するかを判定し、保護対象に到達する場合、前記受信パケットの情報からユーザを特定するための情報を抽出する受信パケット解析判定部と、
前記受信パケット解析判定部から得られた前記受信パケットの情報からユーザ毎の通信履歴を検索および更新を実施する履歴管理部と、
前記履歴管理部から得られたユーザ毎の通信履歴を基に前記受信パケットの優先度を判定する優先度判定部と、
負荷情報を基に保護対象の負荷状態を判定する負荷判定部と、
前記優先度判定部から得られた受信パケットの優先度と前記負荷判定部から得られた負荷状態から受信パケットの廃棄率を決定する廃棄率決定部と、
前記廃棄率決定部から得られた受信パケットの廃棄率に基づいてパケットの転送廃棄判定を実施するパケット廃棄部と、
を備えることで、前記受信パケットの優先度は前記保護対象となるリソースのユーザ単位で記録する通信履歴情報に基づいて決定する。

【0007】

前記ネットワーク中継装置において、前記ユーザ単位で記録する通信履歴情報として計測時間が異なる計測カウンタを複数持ち前記計測時間が異なる計測カウンタを比較することでトラフィックの変動を検出して受信パケットの優先度を判定するようにしても良い。前記計測カウンタは５分間隔の計測カウンタを１３個持つことで過去１時間以上の通信量の変化を計測するようにしても良く、これに加えて前記計測カウンタは１時間間隔の計測カウンタを６個持つことで過去６時間の通信量の変化を計測するようにしても良い。また、６時間間隔、２４時間間隔の計測カウンタをそれぞれ４個、７個と持つことでそれぞれ過去２４時間分、１週間分というように計測時間を延ばしても良い。ただし、カウンタ数の関係から上述の場合、受信パケットの計測時に随時更新されるカウンタは５分間隔の計測カウンタ１個のみとすることができる。前記計測カウンタはパケット数やバイト数といった通信量に関する計測だけでなく、保護対象とのコネクション確立の回数、「コネクション確立処理を開始したが何らかの理由でコネクションが確立しなかった」といったコネクション不確立の回数、保護対象が提供しているサービスに該当しないタイプの受信パケット数、およびＴＣＰのＳｙｎパケットやＨＴＴＰのＧｅｔリクエストを含むパケットなどＤＤｏＳ攻撃で多く使用されることが分かっている特定攻撃パターンに該当するパケット数などといったものを計測しても良い。

前記ネットワーク中継装置において、前記ユーザ単位で記録する通信履歴情報としてユーザ毎の通信状態を記録するようにしても良い。各通信履歴情報において直近の受信パケット受信時刻を記録する、およびＴＣＰなどのコネクション型通信においてはコネクション確立状態を記録するなどといったことで、受信パケットの優先度を決定する際の情報を持っても良い。

【0008】

前記ネットワーク中継装置において、前記ユーザ単位で記録する通信履歴情報として保護対象からユーザ毎の情報を通知されても良い。ｅコマースやオンラインゲームなどのサービスにおいては、多くの場合、ユーザはサーバに対してユーザＩＤとパスワードを入力し、ログインすることでサービスを利用する。サーバからログイン状態やユーザＩＤなどといった情報を通知されて、前記ユーザ単位の通信履歴情報として記録するようにしても良い。

前記ネットワーク中継装置において、前記ユーザ単位で記録する通信履歴情報から優先度を判定する際に、複数の判定結果から前記受信パケットの優先度を判定するようにしても良い。

前記ネットワーク中継装置において、ＩＰアドレスやユーザＩＤなどの単位で前記ユーザ単位とは異なった特定の集合単位で記録する通信履歴情報を記録することで、前記ユーザ単位で記録する通信履歴情報に加えて、前記特定の集合単位で記録する通信履歴情報から判定する一つ以上の判定結果から前記受信パケットの優先度を判定するようにしても良い。

前記ネットワーク中継装置において、保護対象となるリソースに到達する全ての通信について記録する通信履歴情報を記録することで、前記ユーザ単位で記録する通信履歴情報に加えて前記保護対象となるリソースに到達する全ての通信について記録する通信履歴情報から判定する一つ以上の判定結果から前記受信パケットの優先度を判定するようにしても良い。

前記ネットワーク中継装置において、ユーザ単位、特定の集合単位、および保護対象となるリソースに到達する全ての通信に関する通信履歴情報の一部あるいは全部に加えて前記受信パケットを解析した情報から判定する一つ以上の判定結果から前記受信バケットの優先度を判定するようにしても良い。

前記ネットワーク中継装置において、ユーザ単位の通信履歴や、特定の集合単位の通信履歴などをエントリ単位で追加し、削除するようにしても良い。

前記ネットワーク中継装置において、通信履歴情報から判定される受信パケットの優先度は通信履歴情報を新規に追加した時が最大値あるいは最小値となるものではなく、通信履歴情報を更新することで値を大きくすることもあれば小さくすることもあるようにしても良い。

【0009】

前記ネットワーク中継装置において、通信履歴情報を管理するに当たり、通信毎に交換されるパケットを解析してコネクションの確立状態などを記録するようにしても良い。ＴＣＰのコネクション状態やＩＰフラグメンテーションが実施されたパケットの状態を記録する場合もある。

前記ネットワーク中継装置において、保護対象となるリソースのネットワーク環境および提供するサービスを認識しても良い。これにより、ネットワーク環境やサービスの組合わせにより、本来はバリエーションが多く実施が困難である、ＤＰＩ（Ｄｅｅｐ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎ）のようなアプリケーションの情報も対象とした、高度なパケット解析技術においても比較的容易に実現できる。

前記ネットワーク中継装置において、前記受信パケットの通信が暗号化されていた場合においても、共通鍵や秘密鍵をユーザ毎に管理することで暗号を複合することで前記受信パケットに対 して高度なパケット解析機能を実現できるようにしても良い。

前記ネットワーク中継装置において、保護対象となるリソースへ到達するパケット数やバイト数といったネットワークトラフィック負荷を計測することで、負荷状態を判定する機能を実現できるようにしても良い。また保護対象がサーバである場合は、コネクション数やセッション数などを計測することで負荷状態を判定しても良いし、サーバの応答速度を計測することで負荷状態を判定しても良い。

【0010】

前記ネットワーク中継装置において、保護対象となるリソースや外部のリソース負荷監視装置から保護対象の負荷状態を判定するための負荷情報を通知されるようにしても良い。

前記ネットワーク中継装置において、前記通信履歴から優先度を判定する際に複数の判定結果から前記受信パケットの優先度を判定する場合に、前記ネットワーク中継装置が稼働中においても判定結果毎の重要度を変更しても良い。これにより保護対象と
なるリソースが攻撃を受けている最中においても有効な対策を試行錯誤しながら検討、実施できる場合がある。

前記ネットワーク中継装置において、前記受信パケットの優先度と前記保護対象の負荷状態により廃棄率を決定する場合に、前記ネットワーク中継装置が稼働中においても前記受信パケットの優先度と前記保護対象の負荷状態に対応する前記廃棄率の値を変更しても良い。これにより保護対象となるリソースが攻撃を受けている最中においても有効な対策を試行錯誤しながら検討、実施できる場合がある。

【0011】

本発明の第１の解決手段によると、
ネットワークシステムであって、
保護対象となるリソースを有しサービスを提供するサーバと、

一つ以上の回線と接続され、端末及び前記サーバとネットワークを介してパケットの送受信を行うインタフェース部と、
受信パケットのヘッダに含まれる情報に基づきフロー単位でパケットを転送又は廃棄する第一の廃棄制御を行う中継処理部と、
前記インタフェース部を介して中継処理部で受信されるパケットのうち、ユーザ単位の通信履歴及び／又は負荷情報に基づきパケット単位でパケットを転送又は廃棄する第二の廃棄制御を行うサービス停止攻撃抑止部と、を有するネットワーク中継装置と、
を備えることを特徴とするネットワークシステムが提供される。

本発明の第２の解決手段によると、
ネットワークシステムにおけるネットワーク中継方法であって、
保護対象となるリソースを有しサービスを提供するサーバと、ひとつ又は複数の端末が接続されるネットワークと、前記サーバを前記ネットワークに接続するネットワーク中継装置と、を備え、前記端末が前記ネットワークと前記ネットワーク中継装置を経由して前記サーバにアクセスし、
前記ネットワーク中継装置は、
一つ以上の回線と接続され、前記ネットワーク及び前記サーバとパケットの送受信を行うためのインタフェース部と、
一つ以上のサービス停止攻撃抑止部と、
前記インタフェース部と前記サービス停止攻撃抑止部との間でパケットの転送処理を行う中継処理部と
を備え、
前記中継処理部は、受信パケットのヘッダに含まれる情報に基づきフロー単位でパケットを転送又は廃棄する第一の廃棄制御を行い、
前記サービス停止攻撃抑止部は、ユーザ単位の通信履歴及び／又は負荷情報に基づきパケット単位でパケットを転送又は廃棄する第二の廃棄制御を行うこと
を特徴とするネットワーク中継方法が提供される。

本発明の第３の解決手段によると、
端末と、保護対象となるリソースを有し前記端末にサービスを提供するサーバとネットワークを介して接続されるネットワーク中継装置であって、
一つ以上の回線と接続され、前記ネットワークとパケットの送受信を行うインタフェース部と、
受信パケットのヘッダに含まれる情報に基づきフロー単位でパケットを転送又は廃棄する第一の廃棄制御を行う中継処理部と、
ユーザ単位の通信履歴及び／又は負荷情報に基づきパケット単位で、前記受信パケットを転送又は廃棄する第二の廃棄制御を行うサービス停止攻撃抑止部と、を有すること
を特徴とするネットワーク中継装置が提供される。

本発明の第４の解決手段によると、
保護対象となるリソースを有しサービスを提供するサーバと、ひとつ又は複数の端末が接続されるネットワークと、前記サーバを前記ネットワークに接続するネットワーク中継装置と、を備え、前記端末が前記ネットワークと前記ネットワーク中継装置を経由して前記サーバにアクセスするネットワークシステムにおいて、
前記ネットワーク中継装置は、
受信パケットを転送するか廃棄するかを判定する廃棄判定部を備え、
前記廃棄判定部は、
前記受信パケットが保護対象となるリソースに到達するパケットであるか否かを判定し、前記受信パケットが保護対象となるリソースに到達するパケットであると判定した場合、前記受信パケットからユーザを特定するためのユーザ識別情報を抽出する受信パケット解析判定部と、
前記受信パケット解析判定部から得られた前記受信パケットのユーザ識別情報からユーザ単位で通信履歴を作成及び記録し、ユーザ単位で記録する通信履歴の検索および更新を実施する履歴管理部と、
前記履歴管理部から得られたユーザ単位で記録する通信履歴を基に、予め設定された判定基準に従い前記受信パケットの優先度を判定する優先度判定部と、
ユーザ単位で記録する通信履歴による負荷情報又は他から通知された負荷情報を基に、保護対象となるリソースの負荷状態を判定する負荷判定部と、
前記優先度判定部から得られた受信パケットの優先度と、前記負荷判定部から得られた負荷状態により、予め設定された前記受信パケットの廃棄率を決定する廃棄率決定部と、
前記廃棄率決定部から得られた受信パケットの廃棄率に基づいて、パケットの転送廃棄判定を実施するパケット廃棄部と、
を備え、
前記廃棄判定部による転送廃棄判定に従い前記受信パケットの廃棄制御を実施することを特徴とするネットワークシステムが提供される。

【0012】

本発明の第５の解決手段によると、
保護対象となるリソースを有しサービスを提供するサーバと、ひとつ又は複数の端末が接続されるネットワークと、前記サーバを前記ネットワークに接続するネットワーク中継装置と、を備え、前記端末が前記ネットワークと前記ネットワーク中継装置を経由して前記サーバにアクセスするネットワークシステムにおけるネットワーク中継方法であって、
前記受信パケットが保護対象となるリソースに到達するパケットであるか否かを判定し、前記受信パケットが保護対象となるリソースに到達するパケットであると判定した場合、前記受信パケットからユーザを特定するためのユーザ識別情報を抽出し、
前記受信パケットのユーザ識別情報からユーザ単位で通信履歴を作成及び記録し、ユーザ単位で記録する通信履歴の検索および更新を実施し、
ユーザ単位で記録する通信履歴を基に、予め設定された判定基準に従い前記受信パケットの優先度を判定し、
ユーザ単位で記録する通信履歴による負荷情報又は他から通知された負荷情報を基に、保護対象となるリソースの負荷状態を判定し、
得られた受信パケットの優先度と、得られた負荷状態により、予め設定された前記受信パケットの廃棄率を決定し、
受信パケットの廃棄率に基づいて、パケットの転送廃棄判定を実施することにより、
前記転送廃棄判定に従い前記受信パケットの廃棄制御を実施することを特徴とするネットワーク中継方法が提供される。

【0013】

本発明の第６の解決手段によると、
保護対象となるリソースを有しサービスを提供するサーバと、ひとつ又は複数の端末が接続されるネットワークと、前記サーバを前記ネットワークに接続するネットワーク中継装置と、を備え、前記端末が前記ネットワークと前記ネットワーク中継装置を経由して前記サーバにアクセスするネットワークシステムにおける前記ネットワーク中継装置であって、
受信パケットを転送するか廃棄するかを判定する廃棄判定部を備え、
前記廃棄判定部は、
前記受信パケットが保護対象となるリソースに到達するパケットであるか否かを判定し、前記受信パケットが保護対象となるリソースに到達するパケットであると判定した場合、前記受信パケットからユーザを特定するためのユーザ識別情報を抽出する受信パケット解析判定部と、
前記受信パケット解析判定部から得られた前記受信パケットのユーザ識別情報からユーザ単位で通信履歴を作成及び記録し、ユーザ単位で記録する通信履歴の検索および更新を実施する履歴管理部と、
前記履歴管理部から得られたユーザ単位で記録する通信履歴を基に、予め設定された判定基準に従い前記受信パケットの優先度を判定する優先度判定部と、
ユーザ単位で記録する通信履歴による負荷情報又は他から通知された負荷情報を基に、
保護対象となるリソースの負荷状態を判定する負荷判定部と、
前記優先度判定部から得られた受信パケットの優先度と、前記負荷判定部から得られた負荷状態により、予め設定された前記受信パケットの廃棄率を決定する廃棄率決定部と、
前記廃棄率決定部から得られた受信パケットの廃棄率に基づいて、パケットの転送廃棄判定を実施するパケット廃棄部と、
を備え、
前記廃棄判定部による転送廃棄判定に従い前記受信パケットの廃棄制御を実施することを特徴とするネットワーク中継装置が提供される。

【発明の効果】

【0014】

本発明は、従来技術で多く用いられるように、攻撃パターンを判定して攻撃パターンに該当する通信を廃棄する方式とは異なるものである。本発明では、保護対象となるリソースに関する送信受信パケットをユーザ毎に管理し、利用頻度が高いユーザに対してはステートフルに計測することでユーザ単位で通信の優先度を判定する。
本発明では、保護対象となるリソースの負荷が低い状態では、攻撃者を含む優先度の低いユーザにおいても転送処理を実施し通信履歴を記録する。保護対象となるリソースの負荷が高い状態では、記録により蓄積された通信履歴と受信パケットから、ユーザ単位で通信の優先度を判定し、優先度の低い通信を高い比率で廃棄する。優先度の高い通信は高い比率で転送され、優先度の低い通信を優先的に廃棄することで保護対象となるリソースの負荷を軽減する。こうすることで、ＤＤｏＳ攻撃などにより引き起こされる、高負荷状態でのサービス停止状態を回避することができる。
ＤＤｏＳ攻撃とは、主に、保護対象となるリソースの装置内システムリソースを過剰に消費することで高負荷状態を発生させ、前記保護対象となるリソースをサービス停止状態に遷移させる行為であると見なすことができる。
本発明では、高負荷状態の発生を抑止することによりサービス停止状態を回避することで、「従来技術では進化するＤＤｏＳ攻撃に対して十分な対処法が存在しないという課題」を解決し、「従来技術で頻繁に発生する攻撃パターンの判定に伴って発生する、「正常な」トラフィックを誤って攻撃パターンと判定して悪影響を与えるという課題」についても解決する、という顕著な効果がある。

【図面の簡単な説明】

【0015】

【図1】本発明の実施の形態におけるネットワーク中継装置１００の概要を示すブロック図。

【図2】廃棄判定部の概要を示すブロック図。

【図3】受信パケット解析判定部のパケット処理フローチャート。

【図4】本発明の実施の形態によるネットワーク中継装置を含むネットワークシステムの例。

【図5】履歴管理部の通信履歴情報取得処理についての概念図。

【図6】優先度判定部の優先度判定処理についての概念図。

【図7】廃棄率決定テーブルの例。

【図8】通信履歴情報として記録する情報５０４の例。

【図9】通信履歴情報として記録する情報８００の例。

【図10】ユーザ単位に保存アドレスを記録するテーブルの例。

【図11】本発明の他の実施形態によるネットワーク中継装置の構成を示すブロック図。

【図12】中継処理部の構成を示すブロック図。

【図13】本発明の他の実施形態によるサービス停止攻撃抑止部の構成を示すブロック図。

【図14】保護対象情報テーブルの例の説明図。

【図15】経路情報テーブルの例の説明図。

【図16】ＱｏＳ設定テーブルの例の説明図。

【図17】回線で送受信されるＩＰパケットの概略フォーマットの説明図。

【図18】中継処理部内を転送される際のＩＰパケットの概略フォーマットの説明図。

【図19】本発明の他の実施形態によるネットワーク中継装置内の基本処理を示すシーケンス図。

【図20】中継処理部の動作を示すフローチャート。

【発明を実施するための最良の形態】

【0016】

実施の形態では本発明を実現するための最良の形態を例示しており、図４ではネットワーク中継装置が設置される環境を説明し、図１ではネットワーク中継装置内の構成として実施の形態で記載する箇所について例示して説明し、図２では図１記載の廃棄判定部内の構成を図示し、各機能部について説明している。さらに図３および図５から図１０では図２記載の廃棄判定部内の構成要素について説明している。以下に詳細に説明する。

【0017】

１．ネットワークシステム

図４は、本発明の一実施の形態によるネットワーク中継装置を含むネットワークシステムの例を示す図である。本発明の一実施の形態によるネットワーク中継装置１００は、ユーザに対して種々のサービスを提供するサーバ２０をインターネットなどのネットワーク１０に接続する。ネットワーク１０には、サービスを利用するユーザが操作する端末３０が多数又は複数接続され、ネットワーク１０とネットワーク中継装置１００を経由してサーバ２０にアクセスする。
なお、端末３０には、サービスの適正の利用ではなく、サーバ２０に対する攻撃を目的としたユーザも含まれる場合もある。そのため、ネットワーク中継装置１００は、適正なサービス利用を目的としたユーザのトラフィックと、攻撃を目的としたユーザのトラフィックを区別し、サーバ２０の処理負荷が増大してきた場合に、適正なサービス利用を目的としたユーザのトラフィックを優先的に通す制御を行う。
図４において、本実施の形態では、一例として、複数（３本以上）の回線を持ち、受信パケットの宛先を判定して受信パケットをスイッチングするネットワーク中継装置１００をスイッチとして機能させている。さらに、２本の回線を持ち、片方の回線から入力された受信パケットを他方の回線に転送するネットワーク中継装置１００をブリッジとして機能させている。本実施の形態で記載するスイッチとはこのブリッジを除く全てのネットワーク中継装置１００を指す。なお、ルーティング処理はスイッチング処理の一部であると考えて、ルーターはスイッチに含まれるようにしてもよい。
ただし、ネットワーク中継装置１００が持つ回線の数は論理的なものでも良い。

本実施の形態では、保護対象となるリソースとしてサーバ２０を想定しているが、サーバ２０が提供するサービスの種類によって採取できる通信履歴情報が異なり、効果も異なる。本実施の形態ではサーバ２０で提供されるサービスを、
「（１）ＵＤＰなどのコネクションレス型通信を使用したサービス」、
「（２）ＴＣＰなどのコネクション型通信を使用したサービス」、
「（３）ｅコマースなどの用途としてサーバにログインするタイプのサービス」、
の３種類に分類して、主に「（３）ｅコマースなどの用途としてサーバにログインするタイプのサービス」について説明し、他の２つのサービスについては採取できる通信履歴情報の違いなどについて説明する。なお、本発明及び本実施の形態は、これらサービスに限らず、様々なサービスに適用することができる。

【0018】

２．ネットワーク中継装置

図１は、ネットワーク中継装置１００の構成を示している。
図１において、ネットワーク中継装置１００はスイッチ機能を実現する図示しない機能部を持ち、更にＤＤｏＳ攻撃によるサービス停止攻撃を抑止するサービス停止攻撃抑止部１１０を持つ。ネットワーク中継装置１００の入力情報はネットワーク中継装置１００の受信パケットであり、出力情報はネットワーク中継装置１００から発信される送信パケットである。
本実施の形態ではネットワーク中継装置１００の複数ある回線のうち、回線１０３を、保護対象となるリソース宛パケットが経由する装置内の回線とする。
サービス停止攻撃抑止部１１０は、ネットワーク中継装置１００内で保護対象となるリソース宛パケットが経由する装置内の回線１０３へ出力される受信パケット１２１と、ネットワーク中継装置内で保護対象となるリソース宛パケットが経由する装置内の回線１０３から入力された受信パケット１２２と、サービス停止攻撃抑止部１１０に情報を伝達するための制御用パケット１２３と、を処理対象となる３種類の受信パケットとする。つまり、回線１０３に対して出力される予定であるパケットが受信パケット１２１とし、回線１０３から入力されたパケットが受信パケット１２２とし、回線を問わずネットワーク中継装置１００に対して入力された制御用パケットを制御用パケット１２３とする。
サービス停止攻撃抑止部１１０は３種類の受信パケットに対して、廃棄判定部１１３にて処理を実施し、転送廃棄判定結果に基づいて、転送処理もしくは廃棄処理を実施する。サービス停止攻撃抑止部１１０は入力情報として３種類の受信パケットを入力して、出力情報として３種類の受信パケットのうちサービス停止攻撃抑止部１１０で廃棄処理を実施されなかったパケットを出力する。

【0019】

図１において、更に、サービス停止攻撃抑止部１１０は、次の各部を備える。
・廃棄判定部１１３内の各種テーブルの設定などを管理する設定管理部１１１、
・サービス停止攻撃抑止部１１０内で受信パケットを制御するために３種類の受信パケットに対して独立したパケットＩＤを付与するパケット識別子付与部１１２、
・３種類の受信パケットに対して転送廃棄判定を実施する廃棄判定部１１３、
・３種類の受信パケットを保持し廃棄判定部１１３の判定結果に基づいて転送処理もしくは廃棄処理を実施する受信パケット保持部１１４。

ただし、本実施の形態では、制御パケット１２３はネットワーク中継装置１００宛のパケットであり、受信パケット１２２は保護対象となるリソースから発信されるパケットであるため、サービス停止攻撃に使用されるものではないことから、転送廃棄判定の対象としておらず全て転送処理を実施する。本実施の形態にて、転送廃棄判定の対象となりえるのは受信パケット１２１のみである。
パケット識別子付与部１１２は、入力情報として３種の受信パケットを入力し、出力情報は３種の受信パケットと、受信パケットに付与したパケットＩＤと、を出力する。

廃棄判定部１１３は、入力情報として、３種の受信パケットのうちいずれかの受信パケットと、受信パケットに付与したパケットＩＤと、を入力し、出力情報は、廃棄判定部１１３で転送廃棄判定処理を実施された受信パケットに割当てたパケットＩＤと、受信パケットの廃棄判定部１１３での転送廃棄判定結果と、を出力する。また、廃棄判定部１１３は、受信パケットの転送廃棄判定のために必要とする各種テーブルの設定などは設定管理部１１１から実施する。
設定管理部１１１は、ネットワーク中継装置１００の管理者や保持者等が実施する廃棄判定部１１３の各種テーブルの設定などを実施する。設定管理部１１１に対してネットワーク中継装置１００の管理者等が制御を実施する際は、ネットワーク中継装置１００の制御機能を実現する、図示しない、中央制御部からアクセスするものである。
廃棄判定部１１３は、保護対象の負荷情報、暗号の復号化鍵、ユーザのログイン情報、悪性ユーザの指定情報、などといった転送廃棄判定に必要な情報を、制御用パケットにより外部から通知される。
また、ネットワーク中継装置１００の管理者等が、設定管理部１１１を経由して、廃棄判定部１１３に対して転送廃棄判定に必要な情報を設定しても良い。

受信パケット保持部１１４は、パケット識別子付与部１１２からの入力情報として、３種の受信パケットと、受信パケットに付与したパケットＩＤと、を入力し、一方、廃棄判定部１１３からの入力情報として、廃棄判定部１１３で転送廃棄判定処理を実施された受信パケットに付与されたパケットＩＤと、受信パケットの廃棄判定部１１３での転送廃棄判定結果と、を入力し、出力情報は、３種類の受信パケットのうちサービス停止攻撃抑止部１１０として廃棄処理を実施されなかったパケットを出力する。
なお、パケットを送受信するためのパケット送受信部をパケット識別子付与部１１２の入力側及び受信パケット保持部１１４の出力側に備えるようにしてもよい。

【0020】

図２は、廃棄判定部１１３の構成を図示している。
廃棄判定部１１３は、受信パケット解析判定部２０１、履歴管理部２０２、優先度判定部２０３、負荷判定部２０４、廃棄率決定部２０５、パケット廃棄部２０６を備える。廃棄判定部１１３は、以下に示す５段階の処理を実施して入力された受信パケットの転送廃棄判定を実施する。

第１段階として、受信パケットに対する解析処理を実施する。解析処理は二つの機能を持つ。
第一の機能として、「パケット種別の判定」がある。受信パケット解析判定部２０１では、廃棄判定部１１３に入力される受信パケットに対して解析処理を実施し、「受信パケットが保護対象となるリソースに到達する」 と、「受信パケットが保護対象となるリソースから発信された」と、「サービス停止攻撃抑止部１１０に情報を伝達するための制御用パケットである」と、「いずれにも該当しない」と、の４通りの「パケット種別の判定」を実施している。受信パケット解析判定部２０１は、例えば、パケット識別子付与部１１２で付与されたパケットＩＤに基づき、「パケット種別の判定」を実施してもよい。なお、本実施の形態にて、転送廃棄判定の対象となりえるのは、特に、「保護対象となるリソースへ送信されるパケットである」 と判定されたパケットである。
第二の機能として、受信パケットの解析処理として「解析結果の取得」がある。受信パケット解析判定部２０１では、受信パケットの受信時刻やパケット長、各種ヘッダ情報など、「解析結果の取得」を実施している。
第２段階として、「受信パケットに関する情報の取得」処理の結果から通信履歴を検索し、さらに「解析結果の取得」により得た情報を通信履歴として蓄積する。
履歴管理部２０２では、「第１段階」で実施した「パケット種別の判定」により、「保護対象となるリソースへ送信されるパケットである」、あるいは「保護対象となるリソースから発信されたパケットである」のいずれかと判定された場合は、「解析結果の取得」の処理結果からユーザを検索し、通信履歴情報を取得する。また、履歴管理部２０２は、受信パケットに関する情報を含めて通信履歴情報として蓄積する。
第３段階では、二つの処理を平行して実施する。
一方では、優先度判定部２０３において、「解析結果の取得」による受信パケットの解析結果と、受信パケットに関する通信履歴情報から、「受信パケットの優先度」を判定する。
他方では、負荷判定部２０４において、「解析結果の取得」による受信パケットの解析結果と受信パケットに関する通信履歴情報から、「保護対象となるリソースの負荷レベル」を判定する。
第４段階として、「受信パケットの優先度」と「保護対象となるリソースの負荷レベル」から「受信パケットの廃棄率」を決定する。本実施の形態では、廃棄率決定部２０５において、後述の廃棄率決定テーブルにより、廃棄率を一意に決定する。
第５段階として、「受信パケットの廃棄率」に従って転送廃棄判定を実施する。本実施の形態ではパケット廃棄部２０６において転送廃棄判定を実施し、転送廃棄判定結果を求め、受信パケット保持部１１４と履歴管理部２０２に対して転送廃棄判定結果を通知する。
廃棄判定部１１３は、これら５段階の処理において、受信パケットにパケットＩＤを付与して、転送廃棄判定を実現する。

【0021】

３．転送廃棄判定の詳細処理

以下、廃棄判定部１１３の処理について詳解する。

（１）第１段階（受信パケット解析判定部２０１）
第１段階として、上述のように、受信パケット解析判定部２０１は、廃棄判定部１１２に入力されたパケットに対して解析処理を実施する。この解析処理は「パケット種別の判定」と「解析結果の取得」を目的としている。
受信パケット解析判定部２０１は、入力情報として受信パケットとパケットＩＤを入力して、出力情報として受信パケットの受信時刻やパケット長、各種ヘッダ情報や制御用パケットの情報などといった解析結果とパケットＩＤを出力する。

図３は、受信パケット解析判定部２０１の受信パケットの解析処理の一例を示すフローチャートである。本実施の形態ではＩＰアドレスによる経路制御を実施し、通信の暗号化が実施される場合について説明する。
ステップＳ３００では、受信パケット解析判定部２０１は、パケットの受信を認識し、受信パケットの受信時刻とパケット長の情報を取得し、処理がステップＳ３１０に進められる。
ステップＳ３１０では、受信パケット解析判定部２０１は、受信パケットに含まれるＬ３（ネットワーク層）ヘッダ情報を解析することで、送信元および宛先ＩＰアドレスやＩＰフラグメンテーションに関する情報などを取得し、処理がステップＳ３２０に進められる。パケット長の情報はＬ３ヘッダ情報を用いて判定しても良いものとする。
ステップＳ３２０では、受信パケット解析判定部２０１は、ステップＳ３１０で取得された宛先ＩＰアドレスから受信パケットが保護対象となるリソースに到達するかどうかを判定する。例えば、保護対象となるリソースのリストを予め記憶したテーブルを備え、受信パケット解析判定部２０１は、このテーブルを参照し、保護対象となるリソースに到達するかどうかを判定する。 ステップＳ３２０において、受信パケットが保護対象となるリソースに到達する場合、処理がステップＳ３３０に進められる。ステップＳ３２０において、受信パケットが保護対象となるリソースに到達しない場合、受信パケット解析判定部２０１は、受信パケットが保護対象となるリソースに到達しないことを情報として取得し、処理がステップＳ３２１に進められる。
ステップＳ３２１では、受信パケット解析判定部２０１は、ステップＳ３１０で取得された送信元ＩＰアドレスから受信パケットが保護対象となるリソースから発信されたかどうかを判定する。 ステップＳ３２１において、受信パケットが保護対象となるリソースから発信された場合、処理がステップＳ３３０に進められる。ステップＳ３２１において、受信パケットが保護対象となるリソースから発信されていない場合、受信パケット解析判定部２０１は、受信パケットが保護対象となるリソースから発信されていないことを情報として取得し、処理がステップＳ３２２に進められる。
ステップＳ３２２では、受信パケット解析判定部２０１は、受信パケットがネットワーク中継装置１００宛の制御用パケットであるか判定する。ステップＳ３２２において、受信パケットがネットワーク中継装置１００宛の制御用パケットであると判定された場合、処理はステップＳ３３２へ進められる。ステップＳ３２２において、受信パケットがネットワーク中継装置１００宛の制御用パケットではないと判定された場合、処理がステップＳ３８０へ進められる。
ステップＳ３３２において、受信パケット解析判定部２０１は、受信パケットをネットワーク中継装置１００宛の制御用パケットとして解析し、保護対象の負荷情報、暗号化されたパケットの復号に使用される復号化鍵、ユーザのログイン情報、悪性ユーザの指定情報、などといった情報を取得し、処理がステップＳ３８０へ進められる。

【0022】

ステップＳ３３０では、受信パケット解析判定部２０１は、ステップＳ３１０で取得されたＩＰフラグメンテーションに関する情報から受信パケットはＩＰフラグメンテーションが実施されたパケットの一部であるかどうかを判定する。ステップＳ３３０において、ＩＰフラグメンテーションを実施している場合、処理がステップＳ３３１に進められる。ステップＳ３３０において、ＩＰフラグメンテーションを実施していない場合、処理がステップＳ３４０に進められる。
ステップＳ３３１において、受信パケット解析判定部２０１は、ステップＳ３１０で取得されたＩＰフラグメンテーションに関する情報から受信パケットがＩＰフラグメンテーションの先頭パケットであり受信パケット内にＬ４（トランスポート層）のヘッダを含むかどうかを判定する。 ステップＳ３３１において、受信パケットがＩＰフラグメンテーションの先頭パケットであると判定された場合、処理がステップＳ３４１に進められる。ステップＳ３３１において、受信パケットがＩＰフラグメンテーションの先頭パケットでないと判断された場合、処理がステップＳ３４２に進められる。

ステップＳ３４０において、受信パケット解析判定部２０１は、受信パケット中のＬ４ヘッダ情報を解析することで、送信元および宛先ポート番号やＴＣＰにおいてはＳＹＮ、ＦＩＮ、ＡＣＫなどのフラグ情報などを取得し、処理がステップＳ３５０に進められる。ステップＳ３５０において、受信パケット解析判定部２０１は、受信パケットが暗号化されているかどうかを判定する。ステップＳ３５０において受信パケットが暗号化されていると判定された場合、処理がステップＳ３５１に進められる。ステップＳ３５０において受信パケットが暗号化されていないと判定された場合、処理がステップＳ３６０に進められる。ステップＳ３５１において、受信パケット解析判定部２０１は、ステップＳ３４０で取得されたＩＰアドレスとポート番号を基に復号化鍵をステップＳ３３２で取得された復号化鍵から検索し、復号を実施して、処理がステップＳ３６０に進められる。ステップＳ３６０において、受信パケット解析判定部２０１は、受信パケットに含まれるＬ７ヘッダ情報を解析することで、保護対象となるリソースであるサーバ上でユーザを特定するために使用される情報やユーザのステータスをあらわす情報などサーバを保護する上で有利な情報を取得する。一般にＬ７ヘッダ情報は数多くのバリエーションが存在し、また個人情報など機密性の高い情報に対しては暗号化が実施されている場合があるため、ネットワーク中継装置などにおいて解析を実施する場合は高度な解析機能を持つ必要があった。本実施の形態では、保護対象となるリソースが明らかとなっており、保護対象となるリソースのネットワーク環境および提供するサービスを認識することでＬ７ヘッダ情報を取得するための解析機能を限定することで容易にＬ７ヘッダ情報を取得できる。つぎに、処理はステップＳ３８０に進められる。

【0023】

ステップＳ３４１において、受信パケット解析判定部２０１は、受信パケット中のＬ４ヘッダ情報を解析することで、送信元および宛先ポート番号やＴＣＰにおいてはＳＹＮ、ＦＩＮ、ＡＣＫなどのフラグ情報などを取得し、処理がステップＳ３５２に進められる。ステップＳ３５２において、受信パケット解析判定部２０１は、受信パケットが暗号化されているかどうかを判定する。ステップＳ３５２において受信パケットが暗号化されていると判定された場合、処理がステップＳ３５３に進められる。ステップＳ３５２において受信パケットが暗号化されていないと判定された場合、処理がステップＳ３６１に進められる。ステップＳ３５３において、受信パケット解析判定部２０１は、ステップＳ３４１で取得されたＩＰアドレスとポート番号を基に復号化鍵をステップＳ３３２で取得された復号化鍵から検索し、復号を実施して、処理がステップＳ３６１に進められる。ステップＳ３６１において、受信パケット解析判定部２０１は、受信パケットのＬ７ヘッダ情報を解析して情報を取得し、処理はステップＳ３７０へ進められる。ステップＳ３７０において、受信パケット解析判定部２０１は、ステップＳ３４１で取得したＩＰアドレスとＩＰフラグメンテーションのＩＤ情報を基に受信パケットの上位層の情報を保存し、処理はステップＳ３８０へ進められる。

ステップＳ３４２において、受信パケット解析判定部２０１は、ステップＳ３１０で取得したＬ３ヘッダ情報のうちＩＰアドレスとＩＰフラグメンテーションのＩＤ情報を基にしてＬ４ヘッダ情報とＬ７（アプリケーション層）ヘッダ情報を検索し、処理がステップＳ３５４に進められる。ステップＳ３５４において、受信パケット解析判定部２０１は、ステップＳ３４２で取得されたＩＰアドレスとＩＰフラグメンテーションのＩＤ情報を基に受信パケットのＬ４ヘッダ情報やＬ７ヘッダ情報などの上位層の情報が保存されているかどうかを判定する。ステップＳ３５４において、上位層の情報が保存されていた場合、処理はステップＳ３６２へ進められる。ステップＳ３５４において、上位層の情報が保存されていなかった場合、処理はステップＳ３６３へ進められる。ステップＳ３６２において、受信パケット解析判定部２０１は、検索結果からＬ４ヘッダ情報とＬ７ヘッダ情報を取得し、処理はステップＳ３８０へ進められる。ステップＳ３６３において、受信パケット解析判定部２０１は、検索結果として有効な情報を取得できなかったことを情報として取得し、処理はステップＳ３８０へ進められる。

ステップＳ３８０において、受信パケット解析判定部２０１は、パケット処理を終了する。

【0024】

以上説明した処理により、受信パケット解析判定部２０１では、受信パケットを解析することで、受信パケットが保護対象となるリソースに到達するかという情報と、受信パケットの受信時刻と、パケット長と、Ｌ３ヘッダ情報と、Ｌ４ヘッダ情報と、Ｌ７ヘッダ情報と、ＩＰフラグメンテーション途中のパケットと判定できるもののうち以前の受信パケット受信時の上位層の情報が保存されていなかったという情報と、が取得できる。
本実施の形態では「受信パケットが保護対象となるリソースに到達する」もしくは「受信パケットが保護対象から発信された」といったいずれかの場合の判定をＩＰアドレスにより実施するものとするが、判定条件をＩＰアドレスとＬ４ポート番号の組合わせにしても良い。また判定条件としてＭＡＣアドレスや、ネットワーク中継装置の受信物理ポートや、ＶＬＡＮなどのネットワーク中継装置の受信論理ポートなどといったものを使用しても良い。
本実施の形態では、Ｌ４ヘッダ情報やＬ７ヘッダ情報をＩＰアドレスとＩＰフラグメンテーションのＩＤを基にして保存しており、更に暗号化通信の復号化鍵についてもＩＰアドレスとＬ４ポート番号を基にして保存しているが、これらの情報については異なった方法で保存しても良いものとする。
図３のパケット処理は「（３）ｅコマースなどの用途としてサーバにログインするタイプのサービス」を想定して記載したものであり、「（１）ＵＤＰなどのコネクションレス型通信を使用したサービス」や「（２）ＴＣＰなどのコネクション型通信を使用したサービス」においては図３と異なった処理を採用しても良い。

【0025】

（２）第２段階（履歴管理部２０２）
第２段階として、履歴管理部２０２は、「受信パケットが保護対象となるリソースに到達する」もしくは「受信パケットが保護対象となるリソースから発信された」といったいずれかの場合に、受信パケットに関して通信履歴情報の管理を実施する。
履歴管理部２０２は、受信パケット解析判定部２０１からの入力情報として、受信パケットの解析結果と、パケットＩＤとを入力し、一方、パケット廃棄部２０６からの入力情報として、転送廃棄判定結果と、受信パケットのパケットＩＤと、を入力し、出力情報として、受信パケットの解析結果と、受信パケットに関する通信履歴情報と、受信パケットのパケットＩＤと、を出力する。
履歴管理部２０２は、受信パケットのＬ３ヘッダ情報とＬ４ヘッダ情報のうちＩＰアドレスとポート番号を使用してユーザ毎の通信履歴情報を検索し、取得する。また、履歴管理部２０２は、通信履歴情報を作成し、記録する。履歴管理部２０２は、その際には、以下に示すような各情報の取得や集計、各カウンタ値等の増減等を適宜実行してもよい。

【0026】

図５は、履歴管理部２０２において「受信パケットが保護対象となるリソースに到達する」場合の受信パケットに関する通信履歴情報を検索する時の処理を例示している。履歴管理部２０２は、履歴管理機能に加え、通信履歴検索部５０１、通信履歴情報メモリ５０２、履歴情報更新部５０３を備える。
履歴管理部２０２は、通信履歴情報エントリの「検索処理」、「更新（記録）処理」、「追加（記録）処理」、「削除処理」を実施する。履歴管理部２０２は、パケット受信時に全てのパケットに対して通信履歴情報エントリの「検索処理」を実施し、パケットの転送廃棄判定の結果に基づいて、通信履歴情報エントリの「更新（記録）処理」あるいは「追加（記録）処理」を実施する。また、履歴管理部２０２は、エントリ数が増加してきた場合には通信履歴情報エントリの「削除処理」を実施する。
「受信パケットが保護対象となるリソースに到達する」場合、履歴管理部２０２は、受信パケット解析判定部２０１において実施した受信パケットの解析結果から、「受信パケットが保護対象となるリソースに到達する」こと、受信時刻、パケット長、およびヘッダ情報を取得している。履歴管理部２０２は、受信パケットのヘッダ情報から、送信元ＩＰアドレスと送信元ポート番号等を使用してユーザを識別又は特定し、送信元ＩＰアドレスと送信元ポート番号等によりユーザ毎の通信履歴情報を検索してユーザ毎の通信履歴情報を取得又は作成する。
ここで、例えば、通信履歴検索部５０１は、通信履歴情報メモリ５０２を参照し、送信元ＩＰアドレスと送信元ポート番号から当該ユーザ通信履歴情報の保存アドレスを検索する。通信履歴検索部５０１は、通信履歴情報メモリ５０２上の保存アドレスを参照することで当該ユーザ通信履歴情報を取得する。
なお、ユーザ通信履歴情報は、通信履歴情報の例（後述、図８の通信履歴情報５０４及び図９の通信履歴情報８００等参照）又はこのような通信履歴情報の例とその他の情報を合わせたものとすることができる。
なお、履歴管理部２０２は、特定の集合単位で記録する通信履歴情報として、送信元ＩＰアドレスやＬ７ヘッダ情報として含まれるユーザＩＤなどといった単位で通信履歴情報を作成、記録しても良い。また、履歴管理部２０２（通信履歴検索部５０１）は、受信パケットのＬ３ヘッダ情報から送信元ＩＰアドレスを使用して送信元ＩＰアドレス毎の通信履歴情報を検索し、送信元ＩＰアドレス毎の通信履歴情報を取得するようにしてもよい。また、履歴管理部２０２（通信履歴検索部５０１）は、受信パケットのＬ７ヘッダ情報からユーザＩＤなどのユーザを識別する情報を使用してユーザＩＤ毎の通信履歴情報を検索し、ユーザＩＤ毎の通信履歴情報を取得するようにしてもよい。
履歴管理部２０２は、保護対象となるリソースに到達する全て（又は複数）の通信につい
て記録する通信履歴情報として、保護対象となるリソース宛である通信の通信履歴情報を
取得又は作成する。

【0027】

図８に、通信履歴情報として記録する情報５０４の例を示す。
一例として、図示の通信履歴情報５０４では、「受信パケットが保護対象となるリソースに到達する」パケットに関する検索条件として、送信元ＩＰアドレスと、送信元ポート番号と、Ｌ７ユーザＩＤと、を持ち、パケットに関する検索結果として、ユーザ単位の通信量カウンタ群と、Ｌ７ユーザＩＤ単位の通信量カウンタ群と、保護対象となるリソースに到達する全ての通信に関する通信量カウンタ群と、受信時刻情報と、有効受信時刻情報と、発信時刻情報と、コネクション確立中の判定情報と、ログイン中の判定情報と、通信履歴情報の保存アドレスと、を持つ。

また、履歴管理部２０２は、通信履歴情報を検索した際に、既存の通信履歴情報が存在しない場合には新規エントリとして通信履歴情報を追加することができ、このとき、通信履歴情報に対して、保存アドレスを適宜設定することができる。また、通信履歴情報のエントリ数が増加してきた場合には、検索頻度が低いエントリや判定した受信パケットの優先度が初期値に近いものを優先して削除しても良い。
なお、保存アドレスの割振りに関しては「１アドレスに対して１エントリ」としてもよい。ただし、通信履歴情報に関しても「ユーザ単位」、「特定の集合単位」、「保護対象となるリソースに到達する全ての通信」単位といった分類を持つことができ、これら３種の分類に関しては同時に処理するようにしてもよい。

図１０に、ユーザ単位に保存アドレスを記録するテーブルの例を示す。履歴管理部２０２は、通信履歴情報を作成又は記録する際に、保存アドレスを適宜設定して、ユーザを識別する情報（検索条件）と、保存アドレスとの対応を図示のテーブルに保存するようにしてもよい。履歴管理部２０２は、通信履歴情報を検索する際、送信元ＩＰアドレスと送信元ポート番号等に基づきこのテーブルを参照し、既に記録されている保存アドレスを検索する。

【0028】

「受信パケットが保護対象となるリソースから発信された」場合は、履歴管理部２０２（通信履歴検索部５０１）は、受信パケットに関する通信履歴情報を検索する際に、宛先ＩＰアドレスと宛先ポート番号を使用してユーザ毎の通信履歴情報を検索してユーザ毎の通信履歴情報を取得する。

履歴情報更新部５０３は、通信履歴情報メモリ５０２上の通信履歴情報を更新する。履歴管理部２０２が取得した各通信履歴情報に対して、履歴管理部２０２（履歴情報更新部５０３）は受信パケットの解析結果と受信パケットの転送廃棄判定結果を考慮して更新処理を実施する。受信パケットがパケットの転送廃棄判定の結果で廃棄する場合、各通信履歴情報に受信パケット分の通信量情報などを含めなくても良い。ユーザ毎の通信履歴においては通信状態においても情報を更新しないもしくは通信状態の情報が無効であることを通信履歴情報として記録しても良い。パケットの転送廃棄判定に使用した受信パケットの優先度をユーザ毎の通信履歴情報に記録しても良い。

【0029】

次に、通信履歴情報として記録する情報を例示する。
「（３）ｅコマースなどの用途としてサーバにログインするタイプのサービス」では、以下の項目のうちいずれかひとつ又は複数又は全部を通信履歴情報として記録することができる。

前回判定した受信パケットの優先度と、
保護対象となるリソースから通知される優先ユーザの判定通知と、
保護対象となるリソースから通知される優良ユーザ、悪質ユーザの判定通知と、
ＳＳＬ／ＴＬＳといった暗号通信やＴＣＰといったコネクション型通信におけるコネクション確立中の判定情報と、
ＳＳＬ／ＴＬＳといった暗号通信やＴＣＰといったコネクション型通信におけるコネクション確立途中のステータス情報などといった通信状態の情報と、
パケット廃棄などによりステータス情報などといった通信状態の情報が無効となったことを示す情報と、
保護対象となるリソースから通知されるユーザのログイン中の判定情報と、
「受信パケットが保護対象となるリソースに到達する」パケットを受信した時刻を記録する受信時刻情報と、
「受信パケットが保護対象となるリソースに到達する」パケットのうち転送処理が実施されたパケットを受信した時刻を記録する有効受信時刻情報と、
「受信パケットが保護対象となるリソースから発信された」パケットを受信した時刻を記録する発信時刻情報と、
パケット数やバイト数といった通信量を計測する通信量カウンタと、
コネクション型通信におけるコネクションの確立回数を計測するコネクション確立回数カウンタと、
保護対象となるリソースが提供していないサービスに対する通信や、
コネクション型通信において順序処理に違反する通信や、
ＩＰフラグメンテーションの対象パケットにおいてフラグメントオフセットの制御を違反する通信や、
特定のサービスやデータパターンにより正常な通信ではないと判定される通信や、
といった通信を計測する異常通信量カウンタ、

【0030】

なお、図９に、通信履歴情報として記録する情報８００の例を示す。

ここで、通信履歴情報として記録する情報は、
「（３）ｅコマースなどの用途としてサーバにログインするタイプのサービス」において記録することを想定しており、
「（２）ＴＣＰなどのコネクション型通信を使用したサービス」においては、
上述のユーザのログイン中の判定情報と、
が記録できない。
また、「（１）ＵＤＰなどのコネクションレス型通信を使用したサービス」においては、
上述のコネクション確立中の判定情報と、
上述のコネクション確立途中のステータス情報などといった通信状態の情報と、
上述の通信状態の情報が無効となったことを示す情報と、
上述のユーザのログイン中の判定情報と、
上述のコネクション確立回数カウンタと、
が記録できない。

【0031】

上述の通信量カウンタと、コネクション確立回数カウンタと、異常通信量カウンタと、に関しては計測時間が異なる計測カウンタを複数持つことで時間毎の数値の変動を記録するものとしても良い。
次に複数の計測カウンタを持つ場合の処理を例示する。
第一に、５分間隔で計測するカウンタを１３個持つ。５分間隔で計測するカウンタは受信パケットの受信時刻に基づいて加算対象となるカウンタを変更する。これにより現在の５分間と最小で６０分前までの情報を５分間隔で記録できる。
第二に、６０分間隔で計測するカウンタを６個持つ。上述の５分間隔で計測するカウンタのうち現在の５分間を計測しているカウンタを除く１２個のカウンタは６０分間分の計測を完了しているため、６０分毎に区切った時間で１２個の５分間隔の計測カウンタの合計を記録することで６０分間隔の情報を記録できる。
第三に、６時間間隔で計測するカウンタを４個持つ。上述の６０分間隔で計測する６個のカウンタは６時間分の計測を完了しているため、６時間毎に区切った時間で６個の６０分間隔の計測カウンタの合計を記録することで６時間間隔の情報を記録できる。
第四に、２４時間間隔で計測するカウンタを７個持つ。上述の６時間間隔で計測する４個のカウンタは２４時間分の計測を完了しているため、２４時間毎に区切った時間で４個の６時間間隔の計測カウンタの合計を記録することで２４時間間隔の情報を記録できる。同様にして、更に長い時間間隔の記録をとっても良い。
上述の第一から第四までの処理により、最大で過去７日間の情報を記録することが出来る。
また、上述の５分間隔の計測カウンタ以外においても、現在の時間間隔を計測するようにしても良い。
受信パケットが本ネットワーク中継装置宛の制御用パケットであり、特定のユーザの優先ユーザ判定結果やログイン中の判定結果などといった情報が含まれている場合はユーザ毎の通信履歴情報を検索し、通信履歴情報を更新しても良い。

このようにして履歴管理部２０２では受信パケットの情報に基づいて通信履歴情報を検索し、必要な場合は通信履歴情報を更新する。

【0032】

（３）第３段階（優先度判定部２０３、負荷判定部２０４）
第３段階の優先度判定として、優先度判定部２０３は、履歴管理部２０２で取得した受信パケットに関する通信履歴情報を基に受信パケットの優先度を判定する。
さらに優先度判定部２０３は、履歴管理部２０２で取得した受信パケットに関する通信履歴情報と受信パケット解析判定部２０１において実施した受信パケットの解析結果を組合わせて受信パケットの優先度を判定しても良い。
優先度判定部２０３では、入力情報として、受信パケット解析判定部２０１において実施した受信パケットの解析結果から取得した情報と、受信パケットの通信履歴情報と、受信パケットのパケットＩＤと、を入力し、出力情報として、受信パケットの優先度と、受信パケットのパケットＩＤと、を出力する。

次に優先度判定部２０３が実施する処理について説明する。
優先度の判定は受信パケットに関係する通信履歴情報とパケットの情報を判定条件を持つ判定式に入力して、判定式の判定結果が成立するか成立しないかによって判定するものとする。
判定式において、判定結果が成立した場合を「１」とし、判定結果が成立しない場合を「０」として、判定結果の重要度との積をとり、これを判定値とする。判定結果が成立しない場合には判定値は「０」となる。優先度は優先度の初期値に判定値を加算するものとする。ただし判定結果の重要度は負の値をとる場合もあるため、優先度の値は高くとも低くともなる。
さらに、受信パケットの優先度を判定する際に、複数の判定式を使用しても良い。
複数の判定式を使用した場合においても、判定結果の重要度はそれぞれ任意の値を設定して良い。
判定結果の重要度に関してはパケットの転送中においても変更処理を実施しても良い。優先度の判定について、通信履歴情報として保存された前回判定した受信パケットの優先度を基にして判定結果の重要度を加算して計算しても良いものとする。

【0033】

次に判定式として重要度が負の値を示すものを例示する。
・５分間隔で計測する通信量カウンタのうち、現在カウントしている通信量カウンタの値が他のカウンタが示す値の２００％よりも大きくなった。
・５分間隔で計測する通信量カウンタのうち、現在カウントしている通信量カウンタの値が他のカウンタが示す値の５００％よりも大きくなった。
・５分間隔で計測する通信量カウンタのうち、現在カウントしている通信量カウンタの値が６０分間隔で計測する他のカウンタの値の２４００％よりも大きくなった。
・５分間隔で計測する通信量カウンタのうち、現在カウントしている通信量カウンタの値がネットワーク中継装置内で設定した閾値よりも大きくなった。
・５分間隔で計測するコネクション確立回数カウンタのうち、現在カウントしているコネクション確立回数カウンタの値が他のカウンタが示す値の２００％よりも大きくなった。
・パケットを受信した時刻を記録する受信時刻情報と通信履歴情報から取得した受信時刻情報の差が閾値よりも大きい。
・パケットを受信した時刻を記録する受信時刻情報と通信履歴情報から取得した受信時刻情報の差が閾値よりも小さい。
・受信パケットが持つＬ７ヘッダ情報として取得できるユーザＩＤから検索したユーザＩＤ毎の通信履歴情報の５分間隔で計測する現在の通信量カウンタの値が保護対象となるリソース宛である通信の通信履歴情報の５分間隔で計測する現在の通信量カウンタの値の５０％よりも大きくなった。

【0034】

さらに、各計測カウンタを比較する場合に用いる閾値や比率においては複数の値を持ってそれぞれに判定しても良いものとする。
本実施の形態では、ユーザ毎の通信履歴情報のうち通信量カウンタ同士を比較することで、ＤＤｏＳ攻撃が発生している場合において、攻撃に参加しているユーザを単独の通信量が小さい場合においても推定することが出来ることを特徴とする。

次に判定式として重要度が正の値を示すものを例示する。
・通信履歴情報から受信パケットを発信しているユーザと保護対象となるリソースはコネクションを確立中であることが分かった。
・通信履歴情報から受信パケットを発信しているユーザは保護対象となるリソースにログイン中であることが分かった。
・通信履歴情報から受信パケットを発信しているユーザは優先ユーザであることが分かった。

【0035】

図６は、優先度判定部の受信パケットの優先度判定の一例を示している。図６では、判定式（１）−（Ｎ）６０１、判定結果の重要度（１）−（Ｎ）６０２、優先度の初期値６０３、加算器６０４が図示されている。「優先度を決定する際の判定結果の重要度」である判定結果の重要度（１）−（Ｎ）６０２と、優先度の初期値６０３と、はネットワーク中継装置の管理者が設定管理部１１１を介して、パケットの転送中においても変更処理を実施しても良いものとする。通信情報履歴およびパケットの情報が判定式（１）−（Ｎ）６０１に入力される。判定式（１）−（Ｎ）６０１と判定結果の重要度（１）−（Ｎ）６０２から判定値が算出される。加算器６０４において、優先度の初期値６０３と判定値を加算した値が受信パケットの優先度として出力される。
本実施の形態では、一例として、判定式を５個使用し、優先度を１００段階とし、優先度の初期値６０３を「５０」として以下で解説する。優先度の判定においては、通信履歴情報として、送信元ＩＰアドレスと送信元ポート番号から決定するユーザ毎の通信履歴情報と、Ｌ７ヘッダ情報から取得するユーザＩＤ毎の通信履歴情報と、保護対象となるリソース宛である通信の通信履歴情報と、を使用する。
判定式（１）として次を使用する。「５分間隔で計測する通信量カウンタのうち、現在カウントしている通信量カウンタの値が他のカウンタが示す値の２００％よりも大きくなった。」さらに、判定結果の重要度（１）を「−１０」とする。
判定式（２）として次を使用する。「５分間隔で計測する通信量カウンタのうち、現在カウントしている通信量カウンタの値が他のカウンタが示す値の５００％よりも大きくなった。」さらに、判定結果の重要度（２）を「−１０」とする。
判定式（３）として次を使用する。「受信パケットが持つＬ７ヘッダ情報として取得できるユーザＩＤから検索したユーザＩＤ毎の通信履歴情報の５分間隔で計測する現在の通信量カウンタの値が保護対象となるリソース宛である通信の通信履歴情報の５分間隔で計測する現在の通信量カウンタの値の５０％よりも大きくなった。」さらに、判定結果の重要度（３）を「−６０」とする。
判定式（４）として次を使用する。「通信履歴情報から受信パケットを発信しているユーザと保護対象となるリソースはコネクションを確立中であることが分かった。」さらに、判定結果の重要度（４）を「＋５」とする。
判定式（５）として次を使用する。「通信履歴情報から受信パケットを発信しているユーザは保護対象となるリソースにログイン中であることが分かった。」さらに、判定結果の重要度（５）を「＋２０」とする。
ここで、判定式（１）、（３）、（４）、（５）が成立した場合、判定値（１）は「−１０」となり、判定値（２）は「０」となり、判定値（３）は「−６０」となり、判定値（４）は「＋５」となり、判定値（５）は「＋２０」となり、優先度の初期値６０３が「５０」であることから、受信パケットの優先度はこれらを加算器６０４において加算して「５」となる。
このようにして優先度判定部２０３では、判定式の判定結果と判定結果の重要度から判定値を求めて、優先度の初期値に判定値を加算することで受信パケットの優先度を判定する。

【0036】

第３段階の負荷レベル判定として、負荷判定部２０４が実施する処理について説明する。負荷判定部２０４、は保護対象となるリソースの負荷状態を判定する。負荷判定部２０４では、入力情報として、受信パケット解析判定部２０１において実施した受信パケットの解析結果から取得した情報と、受信パケットの通信履歴情報と、受信パケットのパケットＩＤと、を入力し、出力情報として、負荷レベルを出力する。
さらに負荷判定部２０４では、入力情報に加えて、現在および過去の負荷レベルの情報を保持し、参照することで負荷レベルを判定する。

以下に具体的な負荷判定方法として例を６例示す。

第１例：応答速度判定法について
保護対象リソース発パケットを受信した際にユーザを判定し、「保護対象リソース発パケット受信時刻」と、保護対象リソース発パケットのユーザについて記録されているユーザ毎の通信履歴上の「保護対象リソース宛パケット最終受信時刻」と、を比較し受信時刻の差分で判定する。この判定には１つ以上の閾値を持ち、閾値を超えていた場合は負荷が高い状態と判定し、それぞれの判定結果に設定された重要度にあわせて負荷を判定する。

第２例：コネクション数判定法について
保護対象リソース宛の受信パケット１２１と、保護対象リソース発の受信パケット１２２と、を受信する都度にユーザが特定された状態で履歴管理部から出力される通信履歴を基に保護対象となるリソースのコネクション数を判定する。この判定には１つ以上の閾値を持ち、閾値を超えていた場合はそれぞれの判定結果に設定された重要度にあわせて負荷を判定する。

第３例：転送パケット数判定法について
保護対象リソース宛パケットおよび保護対象リソース発パケットのうち少なくとも一方の数を時間毎に計測して転送パケット数を判定する。この判定には１つ以上の閾値を持ち、閾値を超えていた場合はそれぞれの判定結果に設定された重要度にあわせて負荷を判定する。

第４例：管理サーバからの負荷通知法について
ネットワーク中継装置の内部あるいは外部に「保護対象となるリソースの負荷状態を判定する管理サーバ」を持ち、管理サーバから負荷情報を通知する制御用パケットをネットワーク中継装置に転送して制御用パケットの解析結果から負荷を通知され判定する。
なお、管理サーバは保護対象となるリソースの内部に持っても良い。
さらに、上述の第１例から第３例の判定例は第４例の管理サーバにて判定を実施して制御用パケットを使用して通知しても良いものとする。

第５例：負荷レベル記録法について
負荷判定部２０４では後段の廃棄率決定部に対して負荷レベルを出力し続けている。
本負荷判定方法では、他の負荷判定方法の判定結果に加えて現在の負荷レベルを加味することで、負荷レベルが高い状態でなお保護対象となるリソースの負荷が高い状態が続いていた場合に、さらに高い負荷レベルを判定する。

第６例：負荷レベル設定法について
第１例から第５例の負荷判定方法と異なり、ネットワーク中継装置の管理者が設定管理部を経由して直接設定するものである。

さらに負荷判定部２０４は、優先度判定部２０３の「優先度を決定する際の判定結果の重要度」と同様に、これら判定結果に対する重要度を設定可能な負荷判定重要度テーブルを持ち、テーブル上の値は「負荷レベルを決定する際の判定結果の重要度」としてネットワーク中継装置運用中においても負荷判定の規則を変更できるものとする。負荷判定重要度テーブルはネットワーク中継装置の管理者が設定管理部１１１を介して、パケットの転送中においても変更処理を実施しても良いものとする。

【0037】

（４）第４段階（廃棄率決定部２０５）
第４段階として、廃棄率決定部２０５が実施する処理について説明する。
廃棄率決定部２０５は、優先度判定部２０３が判定した保護対象リソース宛受信パケットの優先度と、負荷判定部２０４が判定した保護対象となるリソースの負荷状態（負荷レベル）を基に、受信パケットの廃棄率を決定する。廃棄率決定部２０５は、優先度判定部２０３からの入力情報として、受信パケットの優先度と、受信パケットのパケットＩＤと、負荷判定部２０４からの入力情報として、負荷レベルと、を入力し、出力情報として、受信パケットの廃棄率と、受信パケットのパケットＩＤと、を出力する。
廃棄率決定部２０５では、保護対象リソース宛受信パケットの優先度と保護対象となるリソースの負荷状態から一意に廃棄率を決定するために廃棄率決定テーブルを持つ。

図７に、優先度判定と負荷レベルをそれぞれ１００段階とした場合の廃棄率決定テーブル７００を例示する。なお廃棄率決定テーブル７００上の値は「優先度と廃棄レベルから決定する廃棄率」として任意に設定できるものとする。なお、「優先度と廃棄レベルから決定する廃棄率」は、一例として、百分率で表記している。さらに、廃棄率決定テーブル７００上の値は、ネットワーク中継装置の管理者が設定管理部１１１を介して、パケットの転送中においても変更処理を実施しても良いものとする。

【0038】

（５）第５段階（パケット廃棄部２０６）
第５段階として、パケット廃棄部２０６が実施する処理について説明する。
パケット廃棄部２０６は、廃棄率決定部２０５が決定した受信パケットの廃棄率に基づいて、パケットの転送廃棄判定を実施する。パケット廃棄部２０６は、入力情報として、受信パケットの廃棄率と、受信パケットのパケットＩＤと、を入力し、出力情報として、受信パケットの転送廃棄判定結果と、受信パケットのパケットＩＤと、を出力する。

以上の５段階の処理を実施して、廃棄判定部１１３は、受信パケットの転送廃棄判定を実施する。廃棄判定部１１３は受信パケットにおいてパケットＩＤを付加した状態で処理しているため、受信パケット保持部１０１は受信パケットの転送廃棄判定結果と受信パケットのパケットＩＤを基にして、保持されている受信パケットに対して転送処理もしくは廃棄処理を実施する。

【0039】

４．補足

以上のように、本実施の形態では、廃棄判定部１１３内の履歴管理部２０２において保護対象となるリソースに関する送信受信パケットをユーザ毎に管理し、利用頻度が高いユーザに対してはステートフルに計測して通信履歴情報を記録し、また優先度判定部２０３において通信履歴情報を基に受信パケット単位で通信の優先度を判定する。さらに負荷判定部２０４において保護対象となるリソースの負荷レベルを判定し、受信パケット単位で判定した通信の優先度と組合わせることで、保護対象となるリソースの負荷が低い状態では攻撃者を含む優先度の低いユーザにおいても転送処理を実施し、保護対象となるリソースの負荷が高い状態では記録により蓄積された通信履歴と受信パケットから、ユーザ単位で通信の優先度を判定し、優先度の低い通信を高い比率で廃棄することができる。
優先度の高い通信は高い比率で転送され、優先度の低い通信を優先的に廃棄することで保護対象となるリソースの負荷を軽減する。これを保護対象となるリソースのサービス停止状態を発生させないレベルで実施する。これに加えて「優先度を決定する際の判定結果の重要度」や「負荷レベルを決定する際の判定結果の重要度」および「優先度と廃棄レベルから決定する廃棄率」をパケットの転送中においても変更処理を実施可能な機構を開発することで、未知のＤＤｏＳ攻撃に対しても対処する方法が実現する。
「従来技術では進化するＤＤｏＳ攻撃に対して十分な対処法が存在しないという課題」を解決し、「従来技術で頻繁に発生する攻撃パターンの判定に伴って発生する、「正常な」トラフィックを誤って攻撃パターンと判定して悪影響を与える課題」についても解決する、効果がある。
また、「ＤＤｏＳ攻撃の分散性に基づいて膨大な数の送信元が攻撃トラフィックを一斉に発生させた場合の対処法として十分な手法が存在しないという課題」においても解決する効果がある。

【0040】

５．本発明の他の実施形態
図１１から図２０を用いて本発明の他の実施形態を説明する。
図１１は、本発明の他の実施形態によるネットワーク中継装置１００の構成を示す図である。図中、ネットワーク中継装置１００は、本発明の他の実施形態による一つ以上のサービス停止攻撃抑止部１１０、ネットワーク中継装置１００全体の制御を行う装置制御部１００１、一つ以上の回線１００４と接続されてネットワーク上の他の装置との間でパケットの送受信を行うインタフェース部１００２、一つ以上のインタフェース部１００２およびサービス停止攻撃抑止部との間でパケットの転送処理を行う中継処理部１００３、管理者がネットワーク中継装置１００の設定や運用の管理を行うための入出力装置１００５を備える。なお、図１１の構成例ではインタフェース部１００２、サービス停止攻撃抑止部１１０、回線１００４はそれぞれ複数存在する。以降の説明でこれらを区別する必要がある場合、二つのインタフェース部１００２は参照符号１００２−１と１００２−２、二つのサービス停止攻撃抑止部１１０は参照符号１１０−１と１１０−２、三つの回線１００４は参照符号１００４−１と１００４−２と１００４−３という記号により区別する。また、図中の実線矢印は各構成要素間でパケットがその方向に流すための信号線で接続されていることを示し、破線は各構成要素間でパケット以外の制御情報などを流すための信号線で接続されていることを示している。
図１２は、ネットワーク中継装置１００の構成要素である中継処理部１００３の構成を示す図である。図中、中継処理部１００３は、インタフェース部１００２とサービス停止攻撃抑止部１１０との間でパケットの送受信を行うパケット送受信部１０３２、前記パケットの転送先となるインタフェース部１００２またはサービス停止攻撃抑止部１１０を決定する処理を行う転送先決定部１０３３、転送先決定部１０３３で転送先が決められた前記パケットに対してＱｏＳ制御を行うためのＱｏＳ制御部１０３４、中継処理部の動作に必要な各種設定テーブルを格納するためのメモリ１０３８、メモリ１０３８内の各テーブルへの設定情報書き込み読み出しを行うテーブル設定管理部１０３１を備える。メモリ１０３８には、保護対象となるリソース宛のパケットを識別するために必要な情報を格納する保護対象情報テーブル１０３６、回線１００４間でパケットの転送先を決定するために必要な情報を格納する経路情報テーブル１０３７、ＱｏＳ制御に関する情報を格納するＱｏＳ設定テーブル１０３８が含まれる。なお、図中の実線矢印と破線の意味は図１１で説明したものと同様である。
図１３は、ネットワーク中継装置１００の構成要素であるサービス停止攻撃抑止部１１０の構成を示す図である。図中、サービス停止攻撃抑止部１１０は、中継処理部１００３との間でパケットを送受信するためのパケット送受信部１１５、パケット送受信部１１５で受信したパケットに内部処理用の識別子を付与するパケット識別子付与部１１２、前記パケットを廃棄処理するかどうかを決定する廃棄判定部１１３、前記パケットの廃棄判定結果が廃棄判定部１１３から出力されるまでの間前記パケットを一時的に保持するための受信パケット保持部１１４、廃棄判定部１１３が必要とする情報の設定管理などを行う設定管理部１１１を備える。これらの構成要素のうち、パケット識別子付与部１１２、廃棄判定部１１３、受信パケット保持部１１４は、図１で説明された実施例における構成要素と同一である。また、設定管理部１１２は、図１で説明された実施例における設定管理部１１２が持つ機能に加えて、装置管理部１００１からの指示により廃棄判定部１１３が内部に保持する優先度判定状況や決定されたパケットの廃棄率などの情報を読み出す機能を持つ。

【0041】

次に、以上のような構成によるネットワーク中継装置１００の動作を図１９と図２０を用いて説明する。
図１９は、ネットワーク中継装置１００の基本的な動作を示したシーケンス図である。このシーケンス図では、図１１において、回線１００４−１の先に保護対象となるリソースであるサーバにアクセスする端末が接続され、回線１００４−２と回線１００４−３の先にはそれぞれ保護対象となるサーバが接続されているという前提で、ネットワーク中継装置１００が、回線１００４−１から受信した保護対象となるサーバ宛てのパケットを中継する時の動作を示している。
まず、インタフェース部１００２−１が回線１００４−１からＩＰパケット１９０１を受信すると、インタフェース部１００２−１がパケット受信処理Ｓ１９０２を実行する。
図１７はＩＰパケットのフォーマットを示す図である。ＩＰパケット１９０１も図１７のとおりＩＰパケットの中継に必要な情報を格納するＩＰヘッダ１７０１とデータ本体を格納するペイロード１７０２から構成される。
Ｓ１９０２においてインタフェース部１００２−１は、ＩＰパケット１９０１に転送元がインタフェース部１００２−１であることを示す情報を格納した内部拡張ヘッダを付加し、中継処理部１００３へ転送する。この内部拡張ヘッダが付加されたパケットを内部拡張ＩＰパケット１９０３とする。
図１８に、内部拡張ＩＰヘッダのフォーマットを示す。
中継処理部１００３は、内部拡張ＩＰパケット１９０３を受信すると、パケット中継処理Ｓ１９０４を実行する。
図２０は、パケット中継処理の詳細を示すフローチャートである。
ここで、図２０を用いてステップＳ１９０４において内部拡張ＩＰパケット１９０３の中継先が決定するまでの処理を説明する。内部拡張ＩＰパケット１９０３は中継処理部１００３内のパケット送受信部１０３２により受信され、転送先決定部１０３３へ送られて図２０のフローチャートに従った処理が開始される。
まず、転送先決定部１０３３は、内部拡張ＩＰパケット１９０３の内部拡張ヘッダ１８０１から該パケットの転送元を確認する（Ｓ２００１）。ここでは転送元はインタフェース部１００２−１であることが示されているので、転送元はサービス停止攻撃抑止部ではないという判定となり、処理はステップＳ２００２へ進む。
ステップＳ２００２では、転送先決定部１０３３が内部拡張ＩＰパケット１９０３内のＩＰヘッダ１７０１とペイロード１７０２に含まれている情報に基づいて保護対象情報テーブル１０３６の検索を行う。
図１４に、保護対象情報テーブル１０３６のフォーマットを示す。本実施例では、保護対象となるリソース宛のパケットは、該パケットのＩＰヘッダとペイロードに含まれる宛先ＩＰアドレス、宛先ポート番号、送信元ＩＰアドレス、送信元ポート番号、プロトコルの各情報の組み合わせにより特定される。ここで、一例として、内部拡張ＩＰパケット１９０３内のＩＰヘッダ１７０１に含まれている宛先ＩＰアドレスが１０．０．１．１、宛先ポート番号が８０、プロトコルがＴＣＰだったとする。このとき、図１４に示された保護対象テーブル１０３６のエントリ１０３６１がこれに合致するので、ステップＳ２００２の判定はＹＥＳとなり、ステップＳ２００５へ処理が進む。ステップＳ２００５にて転送先決定部１０３３は、エントリ１０３６１の処理モジュール欄に示されているサービス停止攻撃抑止部１１０−１を次の転送先として内部拡張ＩＰパケット１９０３の内部拡張ヘッダ１８０１に格納し（これを内部拡張ＩＰパケット１９０５とする）、パケット送受信処理部１０３２へ転送する。そして、パケット送受信処理部１０３２は、内部拡張ＩＰパケット１９０５の内部拡張ヘッダ１８０１を参照し、サービス停止攻撃抑止部１１０−１へ内部拡張ＩＰパケット１９０５を転送する（Ｓ２００９）。
なお、もし、ここで、ステップＳ２００２にて内部拡張ＩＰパケット１９０３内のＩＰヘッダ１７０１に含まれている情報が保護対象情報テーブル１０３６のエントリ１０３６２の保護対象宛パケット条件に合致するものであった場合は、サービス停止攻撃抑止部１１０−２を次の転送先として内部拡張ＩＰパケット１９０３の内部拡張ヘッダ１８０１に格納するように動作する。このような動作により、保護対象リソース毎に複数のサービス停止攻撃抑止処理部１１０のいずれかに処理を分散させて全体の処理性能を高められるようになっている。
図１９に戻り、以上説明したステップＳ１９０４の処理によって、中継処理部１００３に転送された内部拡張ＩＰパケット１９０３は、内部拡張ＩＰパケット１９０５となってサービス停止攻撃抑止部１１０−１に転送され、サービス停止攻撃抑止部１１０−１はサービス停止攻撃抑止処理Ｓ１９０６を実行する。
ステップＳ１９０６では、パケット送受信部１１５が内部拡張ＩＰパケット１９０５を受信し、これをパケット識別子付与部１１２へ転送する。以降、識別子付与部１１２、廃棄判定部１１３、受信パケット保持部１１４の各処理部によって、内部拡張ＩＰパケット１９０５に対する通信履歴管理、廃棄率決定とそれに基づいた廃棄処理が行われるが、その処理内容は最初の実施例として図１から図３および図５から図１０を用いて先に説明した処理と同様なので、ここの説明は割愛する。その処理の結果、内部拡張ＩＰパケット１９０５は廃棄しないという判定になったとすると、パケット送受信部１１５は廃棄とならなかった内部拡張ＩＰパケット１９０５を受信パケット保持部１１４から受け取り、内部拡張ＩＰパケット１９０５の内部拡張ヘッダ１８０１にパケットの転送元がサービス停止攻撃抑止部１１０−１からであることを示す情報を格納し（これを内部拡張ＩＰパケット１９０７とする）、中継処理部１００３へ転送する。
内部拡張ＩＰパケット１９０７を受け取った中継処理部１００３は、ステップＳ１９０８としてパケット中継処理を実行する。ステップＳ１９０４と同様、内部拡張ＩＰパケット１９０７は中継処理部１００３内のパケット送受信部１０３２により受信され、転送先決定部１０３３へ送られて図２０のフローチャートに従った処理が開始される。
まず、転送先決定部１０３３は、内部拡張ＩＰパケット１９０７の内部拡張ヘッダ１８０１から該パケットの転送元を確認する（Ｓ２００１）。ここでは転送元はサービス停止攻撃抑止部１１０−１であることが示されているので、処理はステップＳ２００２を飛ばし、ステップＳ２００３へ進む。ステップＳ２００１の処理は、サービス停止攻撃抑止部１１０から戻ってきたパケットが再度サービス停止攻撃抑止部１１０へ転送されてしまうことを防ぐための処理である。
なお、ステップＳ２００２の判定がＮｏの場合も、ステップＳ２００３へ進む。
次に、ステップＳ２００３では転送先決定部１０３３は内部拡張ＩＰパケット１９０７のＩＰヘッダ１７０１に含まれている情報に基づいて経路情報テーブル１０３７の検索を行う。
図１５に、経路情報テーブル１０３７のフォーマットを示す。ここで、内部拡張ＩＰパケット１９０７内のＩＰヘッダ１７０１に含まれている宛先ＩＰアドレスは１０．０．１．１なので、エントリ１０３７１が合致する。そして、ステップＳ２００４で内部拡張ＩＰパケット１９０７の出力先として、合致したエントリ１０３７１に含まれる転送先モジュール／出力回線１００２−２／１００４−２を内部拡張ＩＰパケット１９０７の内部拡張ヘッダ１８０１に設定し、ＱｏＳ制御部１０３４に処理を渡す。
ＱｏＳ制御部１０３４は、ステップＳ２００７として内部拡張ＩＰパケット１９０７に対するＱｏＳ制御を実行する。どのパケットにどのようなＱｏＳ制御を施すかはＱｏＳ設定テーブル１０３８に設定されている。
図１６に、ＱｏＳ設定テーブルのフォーマットを示す。本実施例では、ＱｏＳ制御対象とするパケットは、該パケットの内部拡張ヘッダに含まれる出力回線、ＩＰヘッダとペイロードに含まれる宛先ＩＰアドレス、宛先ポート番号、送信元ＩＰアドレス、送信元ポート番号、プロトコルの各情報の組み合わせにより指定される。また、ＱｏＳ制御の内容としては例えば輻輳発生時にあらかじめ指定された優先度に基づいてパケットを廃棄する優先制御や、特定のパケットをあらかじめ指定された占有帯域に収まるようにする帯域制御などがある。ＱｏＳ制御部１０３４は、ステップＳ２００７にて内部拡張ＩＰパケット１９０７の内容に基づいてＱｏＳ設定テーブル１０３８を検索する。その結果、ここでは出力回線が１００４−２、宛先アドレスが１０．０．１．０なので、エントリ１０３８１が合致するので、輻輳発生時に該パケットの優先度を予め定められた優先度として優先制御を行う（Ｓ２００８）。具体的には、ネットワーク中継装置１００において輻輳が発生していなければ内部拡張ＩＰパケット１９０７そのまま中継されるが、もし輻輳が発生していた場合、優先度が予め定められた優先度以上のパケットが他に存在している場合はそれが優先的に中継されて内部拡張ＩＰパケット１９０７は廃棄される可能性があり、逆に他のパケットの優先度が予め定められた優先度より小さければ内部拡張ＩＰパケット１９０７が優先的に転送されるといった制御が行われる。
Ｓ２００８のＱｏＳ制御の結果、内部拡張ＩＰパケット１９０７がそのまま中継されることが決まったら、そのパケットはパケット送受信部１０３２に転送され、ステップＳ２００９にて内部拡張ヘッダ１８０１の中で指定された転送先（この場合、中継先である回線１００４−２を収容するインタフェース部１００２−２）へ内部拡張ＩＰパケット１９０９として転送する。
以上で図１９におけるステップＳ１９０８が完了し、内部拡張ＩＰパケット１９０９を受信したインタフェース部１００２−２は、内部拡張ＩＰパケット１９０９から内部拡張ヘッダ１８０１を取り外すと共に（取り外し後のパケットをＩＰパケット１９１１とする）内部拡張ヘッダ内で指定されている出力回線１００４−２へＩＰパケット１９１１を出力する。これによりＩＰパケット１９１１は最終的に保護対象リソースであるサーバに到達する。
以上の処理によりネットワーク中継装置１００でのパケット中継処理が完了する。
なお、図１１に示したネットワーク中継装置１００は、パケットの宛先ＩＰアドレスを見て中継先を決定するレイヤ３中継を行う装置として説明したが、これはレイヤ２フレームのヘッダに含まれるＭＡＣアドレスにより中継先を決定するレイヤ２中継を行う装置であっても良い。この場合、経路情報テーブル１０３７の内容と転送先決定部１０３３の処理内容がレイヤ２中継を行うためのものに変わるだけである。

以上で本発明の他の実施形態によるネットワーク中継装置１００の基本的なパケット中継処理シーケンスの説明は終了する。

【0042】

つぎに、中継処理部１００３が持つＱｏＳ制御部１０３４とサービス停止攻撃抑止部１１０が有する廃棄制御の関係について補足説明する。
ＱｏＳ制御部１０３４も場合によってはパケットの廃棄を行うことがあるという点ではサービス停止攻撃抑止部１１０と類似しているが両者には明確な機能分担が存在する。ＱｏＳ制御部１０３４は多くの種類のＱｏＳ制御方法を実現するが、その制御対象となるパケットの指定方法は基本的にＩＰヘッダ等に含まれる情報に基づいたいわゆるフロー単位での指定となる。ところが、サービス停止攻撃抑止という視点では、廃棄の対象とすべきパケットは通信履歴などに基づいてパケット単位にきめ細かく制御する必要が出てくるので、これをＱｏＳ設定テーブル１０３８のような一般的なＱｏＳ設定機能により行おうとすると膨大なエントリの動的な追加と削除が必要となり実現は困難である。サービス停止攻撃抑止部１１０はこのようなパケット単位の動的できめ細やかな廃棄制御によりサービス停止攻撃の抑止を行う。一方で、サービス停止攻撃抑止部１１０で通常ユーザによる正常な通信と判断されてほとんど廃棄されなかったパケットが、ネットワーク中継装置１００を通過する他のパケット量との関係で輻輳を起こした場合はＱｏＳ制御部１０３４による制御がこれを緩和する。すなわち、ＱｏＳ制御部１０３４はネットワーク中継装置１００全体に関する制御、サービス停止攻撃抑止部１１０は特定のリソース宛のパケットに対してサービス停止攻撃抑止の観点での制御を行うという役割分担となっており、両者が個々に機能してシステムとしては最適な制御となるように動作する。
図１１では、サービス停止攻撃抑止部１１０が、主にハードウェアで実装されるものとして実施例を説明したが、変形例として、プログラム可能なプロセッサを内蔵されるモジュールカードが中継処理部１００３に内部ＢＵＳ（物理信号線）を介して接続され、サービス停止攻撃抑止部１１０で行われる廃棄制御がソフトウェアとして構成されてもよい。モジュールカードに関しては、例えば以下のように構成にしてもよい。
（１）インタフェース部１００２及びサービス停止攻撃抑止部１１０が内部バスを介してそれぞれ中継処理部１００３と接続され、インタフェース部１００２とサービス停止攻撃抑止部１１０との間で中継処理部１００３を介して信号を送受する構成
（２）インタフェース部１００２、サービス停止攻撃抑止部１１０、中継処理部１００３が共通の内部バスに実装され、各部が共通の内部バスを介して信号を送受する構成（なお、この場合、インタフェース部１００２とサービス停止攻撃抑止部１１０との間で中継処理部１００３を介して信号を送受してもよいし、インタフェース部１００２とサービス停止攻撃抑止部１１０との間で直接信号を送受してもよい。）

【0043】

以上、ネットワーク中継装置１００のパケットの中継処理に関する動作を説明したが、これらの動作に必要な各種のテーブル等の内容は、図１１に示した入出力装置１００５を通してネットワーク管理者などが設定、参照できるようになっているので、次にこれについて説明する。
ネットワーク中継装置１００の装置制御部１００１は、管理者がネットワーク中継装置１００内に保持されるテーブルの設定、参照を行うためのユーザインタフェース機能（例えばコマンドライン型のユーザインタフェースは、Ｗｅｂブラウザを使ったグラフィカルなユーザインタフェースなど）を備える。管理者から入出力装置１００５を通して指定されたテーブルへの設定情報を、各処理部に送ってテーブルへの書き込みを行うように指示したり、逆に各処理部から管理者から指定されたテーブルの内容を転送するよう指示して、受け取った情報を入出力装置へ表示する等の機能を持つ。
さらに具体的に説明するなら、例えば中継処理部１００３に含まれるテーブルの設定、参照を行う場合、装置制御部１００１からの指示は中継処理部１００３内のテーブル設定管理部１０３１が受け取り、前記指示に従って保護対象情報テーブル１０３６、経路情報テーブル１０３７、ＱｏＳ設定テーブル１０３８に対する書き込みや読み出しを行い、読み出し情報については装置制御部１００１へ送り返す。また、サービス停止攻撃抑止部１１０に含まれるテーブルの設定、参照を行う場合は、装置制御部１００１からの指示はサービス停止攻撃抑止部１１０内の設定管理部１１１が受け取り、例えば廃棄率決定部２０５に含まれる廃棄率決定テーブル７００の設定を行ったり、履歴管理部２０２に含まれる通信履歴情報メモリ５０２内の通信履歴情報を読み出したりする。さらに、読み出し情報については装置制御部１００１へ送り返す。
以上のような機能により、入出力装置１００５を操作する管理者は、ネットワーク中継装置１００の設定管理を行うと共に、サービス停止攻撃抑止に関する動作状況を確認するための情報収集を行うこともできる。
なお、サービス停止攻撃抑止部１１０内の設定管理部１１１の機能について補足すると、前述した装置制御部１００１の指示に従った設定管理以外に、最初の実施例として説明した制御パケット（図１の１２３）による設定管理の機能も併せ持っていて良い。この場合、前記制御パケットの宛先ＩＰアドレスは、サービス停止攻撃抑止部１１０に割り当てられたＩＰアドレス（サービス停止攻撃抑止部１１０−１と１１０−２では異なるＩＰアドレス）となり、ネットワーク中継装置１００に前記制御パケットが到着すると、中継処理部１００３内の処理で前記制御パケットのＩＰヘッダを参照し、宛先ＩＰアドレスがサービス停止攻撃抑止部１１０のＩＰアドレスであれば経路情報テーブル１０３７のエントリ１０３７３または１０３７４のいずれかが合致して、サービス停止攻撃抑止部１１０−１または１１０−２へ制御パケットが転送される。サービス停止攻撃抑止部１１０−１または１１０−２では、パケット送受信部１１５が前記制御パケットの宛先ＩＰアドレスが自分宛であることを確認して前記制御パケットをパケット識別子付与部１１２ではなく設定管理部１１１の方へ転送するように動作する。

【0044】

以上述べたように、本発明の他の実施形態によれば、ネットワーク中継装置内に複数のサービス停止攻撃抑止部を設け、サービス停止攻撃抑止処理を負荷分散することができるようになる。そのため、ハードウェア処理能力や通信履歴情報を保持するメモリ容量の制約により一つのサービス停止攻撃抑止部で処理可能な保護対象リソース数に制限があった場合でも、一つのネットワーク中継装置で対応可能な保護対象リソース数を増やすことができるという効果がある。

【0045】

６．付記

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれている。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。
また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置いてもよい。
また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

【符号の説明】

【0046】

１０・・・ネットワーク
２０・・・サーバ
３０・・・端末
１００・・・ネットワーク中継装置
１１０・・・サービス停止攻撃抑止部
１１１・・・設定管理部
１１２・・・パケット識別子付与部
１１３・・・廃棄判定部
１１４・・・受信パケット保持部
１１５・・・パケット送受信部
１２１・・・受信パケット
１２２・・・受信パケット
１２３・・・制御用パケット
１００１・・・装置制御部
１００２・・・インタフェース部
１００３・・・中継処理部
１００４・・・インタフェース部に接続される回線
１００５・・・入出力装置
１０３１・・・テーブル設定管理部
１０３２・・・パケット送受信部
１０３３・・・転送先決定部
１０３４・・・ＱｏＳ制御部
１０３５・・・メモリ
１０３６・・・保護対象情報テーブル
１０３７・・・経路情報テーブル
１０３８・・・ＱｏＳ設定テーブル

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】

【図20】