特許 7588101 パケット交換網における攻撃軽減

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-11-13

(45)【発行日】2024-11-21

(54)【発明の名称】パケット交換網における攻撃軽減

(51)【国際特許分類】

   H04L 12/22 20060101AFI20241114BHJP

   H04L 43/16 20220101ALI20241114BHJP

【ＦＩ】

H04L12/22

H04L43/16

【請求項の数】 20

(21)【出願番号】P 2021578042

(86)(22)【出願日】2020-07-01

(65)【公表番号】

(43)【公表日】2022-09-07

(86)【国際出願番号】 US2020040578

(87)【国際公開番号】W WO2021003318

(87)【国際公開日】2021-01-07

【審査請求日】2023-06-08

(31)【優先権主張番号】62/870,621

(32)【優先日】2019-07-03

(33)【優先権主張国・地域又は機関】US

(31)【優先権主張番号】16/576,556

(32)【優先日】2019-09-19

(33)【優先権主張国・地域又は機関】US

(73)【特許権者】

【識別番号】506267178

【氏名又は名称】ネットフリックス・インコーポレイテッド

【氏名又は名称原語表記】ＮＥＴＦＬＩＸ， ＩＮＣ．

【住所又は居所原語表記】１２１ Ａｌｂｒｉｇｈｔ Ｗａｙ Ｌｏｓ Ｇａｔｏｓ， Ｃａｌｉｆｏｒｎｉａ ９５０３２ ＵＮＩＴＥＤ ＳＴＡＴＥＳ ＯＦ ＡＭＥＲＩＣＡ

(74)【代理人】

【識別番号】100073184

【弁理士】

【氏名又は名称】柳田 征史

(74)【代理人】

【識別番号】100175042

【弁理士】

【氏名又は名称】高橋 秀明

(72)【発明者】

【氏名】ランドル スチュアート

【審査官】吉田 歩

(56)【参考文献】

【文献】米国特許出願公開第２００９／０１３８９６８（ＵＳ，Ａ１）

【文献】Scott Behrens sbehrens，Linux and FreeBSD Kernel: Multiple TCP-based remote denials of service vulnerabilities，2019年06月17日，https://github.com/Netflix/security-bulletins/blob/master/advisories/third-party/2019-001.md

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ １２／２２

Ｈ０４Ｌ ４３／１６

(57)【特許請求の範囲】

【請求項1】

ネットワークコンピューティングシステムであって、
トランスポートプロトコルを介してデータを送信および受信するネットワークアダプタと、
前記ネットワークアダプタにおいて受信したデータを少なくとも一時的には格納するメモリ装置と、
前記受信したデータの少なくとも幾つかの処理を実行するプロセッサと、を備え、該少なくとも幾つかの処理は、
ネットワークノードから前記ネットワークアダプタにおいて受信した選択的肯定応答（ＳＡＣＫ）メッセージに、前記ＳＡＣＫメッセージを処理するときに実行される動作機能に対する１つ以上の閾値を識別する１つ以上のトランスポートプロトコル発見的方法を適用することと、
前記ネットワークノードから受信した前記ＳＡＣＫメッセージに前記１つ以上のトランスポートプロトコル発見的方法を適用することにより、前記トランスポートプロトコル発見的方法の１つ以上に対する前記閾値に到達したと決定することと、
前記閾値の１つ以上が到達したと決定することに応答して、
前記ネットワークノードをセキュリティへの脅威として識別することと、
前記セキュリティへの脅威を軽減するために１つ以上の救済行動を取ることを含んでおり、前記ＳＡＣＫメッセージは、前記ネットワークノードに送られたデータを追尾するセンドマップを用いて処理されることを特徴とするネットワークコンピューティングシステム。

【請求項2】

前記ＳＡＣＫメッセージに前記１つ以上のトランスポートプロトコル発見的方法を適用することは、前記ＳＡＣＫメッセージが処理されるときの前記動作機能と関連付けられている１つ以上のカウンタを増加することを含んでいることを特徴とする、請求項１に記載のネットワークコンピューティングシステム。

【請求項3】

前記カウンタは、前記トランスポートプロトコル発見的方法の１つ以上に対する前記閾値にいつ到達したかを示していることを特徴とする、請求項２に記載のネットワークコンピューティングシステム。

【請求項4】

前記カウンタの１つ以上は、肯定応答（ＡＣＫ）メッセージを受信すると修正されることを特徴とする、請求項２に記載のネットワークコンピューティングシステム。

【請求項5】

前記セキュリティへの脅威は、前記ネットワークコンピューティングシステムに対して攻撃を実行している攻撃ノードを備えていることを特徴とする、請求項１に記載のネットワークコンピューティングシステム。

【請求項6】

前記セキュリティへの脅威を軽減するために使用される前記１つ以上の救済行動の少なくとも１つは、前記ネットワークノードから受信した前記ＳＡＣＫメッセージの少なくとも幾つかを無視することを備えていることを特徴とする、請求項１に記載のネットワークコンピューティングシステム。

【請求項7】

前記ＳＡＣＫメッセージを処理するときに実行される動作機能に対する前記閾値の少なくとも１つは、ＡＣＫ位置をセンドマップ内で移動すべきかどうかの指標を備えていることを特徴とする、請求項１に記載のネットワークコンピューティングシステム。

【請求項8】

前記ＳＡＣＫメッセージを処理するときに実行される動作機能に対する前記閾値の少なくとも１つは、前記ＡＣＫ位置を前記センドマップ内でどの位の距離だけ移動すべきかの測定値を備えていることを特徴とする、請求項７に記載のネットワークコンピューティングシステム。

【請求項9】

前記ＳＡＣＫメッセージを処理するときに実行される動作機能に対する前記閾値の少なくとも１つは、指定された時間期間内に幾つのＳＡＣＫメッセージが受信されるかの指標を備えていることを特徴とする、請求項１に記載のネットワークコンピューティングシステム。

【請求項10】

以前に受信したＳＡＣＫメッセージを除去するために前記ＳＡＣＫメッセージをフィルタ処理することを更に備えていることを特徴とする、請求項１に記載のネットワークコンピューティングシステム。

【請求項11】

前記ＳＡＣＫメッセージをフィルタ処理することは更に、重複するＳＡＣＫメッセージを除去することを備えていることを特徴とする、請求項１０に記載のネットワークコンピューティングシステム。

【請求項12】

前記ＳＡＣＫメッセージを処理するときに実行される動作機能に対する前記閾値の少なくとも１つは、指定された時間期間内に幾つのＳＡＣＫメッセージがフィルタ処理されたかの指標を備えていることを特徴とする、請求項１０に記載のネットワークコンピューティングシステム。

【請求項13】

コンピュータにより実現される方法であって、
ネットワークノードからネットワークアダプタにおいて受信した選択的肯定応答（ＳＡＣＫ）メッセージに、前記ＳＡＣＫメッセージを処理するときに実行される動作機能に対する１つ以上の閾値を識別する１つ以上のトランスポートプロトコル発見的方法を適用することと、
前記ネットワークノードから受信した前記ＳＡＣＫメッセージに前記１つ以上のトランスポートプロトコル発見的方法を適用することにより、前記トランスポートプロトコル発見的方法の１つ以上に対する前記閾値に到達したと決定することと、
前記閾値の１つ以上が到達したと決定することに応答して、
前記ネットワークノードをセキュリティへの脅威として識別することと、
前記セキュリティへの脅威を軽減するための１つ以上の救済行動を取ることを備え、
前記ＳＡＣＫメッセージは、前記ネットワークノードに送られたデータを追尾するセンドマップを用いて処理されることを特徴とするコンピュータにより実現される方法。

【請求項14】

前記トランスポートプロトコル発見的方法の１つ以上に対する前記閾値に到達したと決定することは、前記ネットワークノードがセンドマップのサイズを増大させるために、複数の送信の攻撃に応答しようとしていると決定することを含んでいることを特徴とする、請求項１３に記載のコンピュータにより実現される方法。

【請求項15】

ＡＣＫまたはＳＡＣＫメッセージと関連付けられている１つ以上のカウンタを減少するために崩壊ファクタを前記センドマップに適用することを更に備えていることを特徴とする、請求項１４に記載のコンピュータにより実現される方法。

【請求項16】

前記ＡＣＫまたはＳＡＣＫメッセージが除去されている間に、前記ネットワークノードはセキュリティへの脅威として識別されることを特徴とする、請求項１５に記載のコンピュータにより実現される方法。

【請求項17】

前記閾値が前記ネットワークノードによりもはや満たされないと決定すると、それに続いて、前記ネットワークノードはセキュリティへの脅威として分類されることから解消されることを特徴とする、請求項１６に記載のコンピュータにより実現される方法。

【請求項18】

前記ＳＡＣＫメッセージを処理するときに実行される動作機能に対する前記閾値の少なくとも１つは、前記コンピュータにおける１つ以上の現在の動作状況に基づいて動的に変更されることを特徴とする、請求項１３に記載のコンピュータにより実現される方法。

【請求項19】

前記ＳＡＣＫメッセージを処理するときに実行される動作機能に対する前記閾値の少なくとも１つは、指定されたトリガの発生に基づいて動的に変更されることを特徴とする、請求項１３に記載のコンピュータにより実現される方法。

【請求項20】

１つ以上のコンピュータ実行可能命令を備えている非一時的コンピュータ読み取り可能媒体であって、前記１つ以上のコンピュータ実行可能命令はコンピューティング装置の少なくとも１つのプロセッサにより実行されると、前記コンピューティング装置に、
ネットワークノードからネットワークアダプタにおいて受信した選択的肯定応答（ＳＡＣＫ）メッセージに、前記ＳＡＣＫメッセージを処理するときに実行される動作機能に対する１つ以上の閾値を識別する１つ以上のトランスポートプロトコル発見的方法を適用させ、
前記ネットワークノードから受信した前記ＳＡＣＫメッセージに前記１つ以上のトランスポートプロトコル発見的方法を適用することにより、前記トランスポートプロトコル発見的方法の１つ以上に対する前記閾値に到達したと決定させ、前記閾値の１つ以上が到達したと決定することに応答して、
前記ネットワークノードをセキュリティへの脅威として識別させ、
前記セキュリティへの脅威を軽減するための１つ以上の救済行動を取らせ、
前記ＳＡＣＫメッセージは、前記ネットワークノードに送られたデータを追尾するセンドマップを用いて処理されることを特徴とする非一時的コンピュータ読み取り可能媒体。

【発明の詳細な説明】

【技術分野】

【0001】

［関連出願へのクロスリファレンス］
この出願は、２０１９年７月３日に出願された米国暫定出願第６２／８７０，６２１号と、２０１９年９月１９日に出願された米国非暫定出願第１６／５７６，５５６号の恩典を主張するものであり、その開示の全体はここにおいて参考文献として組み込まれる。

【背景技術】

【0002】

毎日、膨大な量のデータがコンピュータネットワークを介して世界中で送信されている。これらのネットワークはデータファイルを、有線または無線データリンクを介して送信されるより小さなデータパケットに分解する。データパケットは多様なプロトコルを使用して送信される。これらのプロトコルはトランスポートプロトコルとよく称される。これらのトランスポートプロトコルはデータがどのように転送されるかを指定することができ、また、データパケットの何れも順序どおりではなく受信されても大丈夫かどうかを示すことを含んでいる。伝送制御プロトコル（ＴＣＰ）のように、そのような順序どおりではない送信が可能な場合、指定されたシーケンス外のエンドノードで受信されるデータパケットもあり得る。データパケットを順序どおりでなく受信することもあり得るので、エンドノードとサーバは、何れのパケットが到着し、何れのパケットが到着していないかの追尾を続ける。データパケットがエンドノードに到着すると、エンドノードは肯定応答（ＡＣＫ）メッセージをサーバに送ってサーバにそれらのデータパケットが到着したことを通知する。しかし、この通知プロセスは悪用され易く、攻撃者がサーバの機能を麻痺させるために使用され得る。

【発明の概要】

【0003】

下記により詳細に記述されるように、本開示は、トランスポートプロトコル肯定応答システムにおける弱点を利用するように設計されている攻撃を軽減する方法とシステムを記述する。

【0004】

１つの例においては、コンピュータネットワーキング環境における攻撃を軽減するための、コンピュータにより実現される方法は、ネットワークノードからネットワークアダプタにおいて受信した選択的肯定応答（ＳＡＣＫ）メッセージにトランスポートプロトコル発見的方法を適用することを含んでいる。トランスポートプロトコル発見的方法は、ＳＡＣＫメッセージを処理するときに実行される動作機能に対する閾値を識別する。方法はまた、ネットワークノードから受信したＳＡＣＫメッセージにトランスポートプロトコル発見的方法を適用することにより、トランスポートプロトコル発見的方法に対する閾値が到達されたと決定することも含んでいる。そして、閾値が到達されたと決定することに応答して、方法は、ネットワークノードがセキュリティへの脅威であると識別することと、セキュリティへの脅威を軽減するための救済行動を取ることを含んでいる。

【0005】

幾つかの例においては、ＳＡＣＫメッセージにトランスポートプロトコル発見的方法を適用することは、ＳＡＣＫメッセージが処理されるときの動作機能と関連付けられている種々のカウンタを増加することを含んでいる。カウンタは、トランスポートプロトコル発見的方法に対する閾値がいつ到達されたかを示す。幾つかのケースにおいては、肯定応答（ＡＣＫ）メッセージを受信するとカウンタは修正される。

【0006】

幾つかの例においては、セキュリティへの脅威は、ネットワークコンピューティングシステムに対して攻撃を行っている攻撃ノードである。セキュリティへの脅威を軽減するために使用される救済行動の少なくとも１つは、ネットワークノードから受信したＳＡＣＫメッセージの少なくとも幾つかを無視することを含んでいる。

【0007】

幾つかの例においては、ＳＡＣＫメッセージを処理するときに実行される動作機能に対する閾値の少なくとも１つは、ＡＣＫ位置をセンドマップ（何れのデータが送られたかを追尾するためのデータマップ）内で移動すべきかどうかの指標を含んでいる。ＳＡＣＫメッセージを処理するときに実行される動作機能に対する閾値の少なくとも１つは、ＡＣＫ位置をセンドマップ内でどの位の距離だけ移動すべきかの測定値を含んでいる。他のケースにおいては、ＳＡＣＫメッセージを処理するときに実行される動作機能に対する閾値の少なくとも１つは、幾つのＳＡＣＫメッセージが指定された時間期間内に受信されるかの指標を含んでいる。

【0008】

幾つかの例においては、ＳＡＣＫメッセージは、以前に受信したＳＡＣＫメッセージを除去するためにフィルタ処理される。幾つかの例においては、ＳＡＣＫメッセージをフィルタ処理することは、重複するＳＡＣＫメッセージを除去することを更に含んでいる。幾つかの例においては、ＳＡＣＫメッセージを処理するときに実行される動作機能に対する閾値の少なくとも１つは、幾つのＳＡＣＫメッセージが指定された時間期間内にフィルタ処理されたかの指標を含んでいる。

【0009】

幾つかの例においては、トランスポートプロトコル発見的方法に対する閾値が到達されたと決定することは、ネットワークノードがセンドマップのサイズを増大するために、複数の異なるセンドの試みを承認しようと試みていると決定することを含んでいる。幾つかの例においては、ＡＣＫまたはＳＡＣＫメッセージと関連付けられている１つ以上のカウンタを減少するために崩壊ファクタがセンドマップに追加される。幾つかの例においては、ＡＣＫまたはＳＡＣＫメッセージが除去されている間に、ネットワークノードはセキュリティへの脅威として識別される。閾値がネットワークノードによりもはや満たされないと決定すると、それに続いて、ネットワークノードはセキュリティへの脅威と分類されることから解消される。

【0010】

幾つかの例においては、ＳＡＣＫメッセージを処理するときに実行される動作機能に対する閾値は、ネットワークコンピューティングシステムにおける現在の動作状況に基づいて動的に変更される。他の例においては、ＳＡＣＫメッセージを処理するときに実行される動作機能に対する閾値は、指定されたトリガの発生に基づいて動的に変更される。

【0011】

加えて、コンピュータネットワーキング環境における攻撃を軽減するための対応するネットワークコンピューティングシステムは、トランスポートプロトコルを介してデータを送信および受信するネットワークアダプタ、ネットワークアダプタにおいて受信したデータを少なくとも一時的には格納するメモリ装置、および受信データの少なくとも幾つかを処理するプロセッサを含んでいる。プロセッサは、ネットワークノードからネットワークアダプタにおいて受信した選択的肯定応答（ＳＡＣＫ）メッセージに、ＳＡＣＫメッセージを処理するときに実行される動作機能に対する閾値を識別するトランスポートプロトコル発見的方法を適用する。プロセッサはまた、ネットワークノードから受信したＳＡＣＫメッセージにトランスポートプロトコル発見的方法を適用することにより、トランスポートプロトコル発見的方法に対する閾値が到達されたと決定する。そして、閾値が到達されたと決定することに応答して、プロセッサはネットワークノードをセキュリティへの脅威として識別して、セキュリティへの脅威を軽減するための救済行動を取る。

【0012】

幾つかの例においては、上記の方法はコンピュータ読み取り可能媒体上のコンピュータ読み取り可能命令として符号化される。例えば、コンピュータ読み取り可能媒体は、コンピューティング装置の少なくとも１つのプロセッサにより実行されると、コンピューティング装置に、ネットワークノードからネットワークアダプタにおいて受信した選択的肯定応答（ＳＡＣＫ）メッセージに、ＳＡＣＫメッセージを処理するときに実行される動作機能に対する１つ以上の閾値を識別する１つ以上のトランスポートプロトコル発見的方法を適用させ、ネットワークノードから受信したＳＡＣＫメッセージに１つ以上のトランスポートプロトコル発見的方法を適用することにより、トランスポートプロトコル発見的方法の１つ以上に対する閾値が到達されたと決定させ、閾値の１つ以上が到達されたと決定することに応答して、ネットワークノードをセキュリティへの脅威として識別させ、セキュリティへの脅威を軽減するための１つ以上の救済行動を取らせる１つ以上のコンピュータ読み取り可能命令を含んでいる。

【0013】

ここにおいて記述されている実施形態の何れからの特徴も、ここにおいて記述されている全般的な原則に従う他の特徴と組み合わせて使用できる。これらのおよび他の実施形態、特徴、および利点は、付随する図面と請求項と連携して下記の詳細な記述を読むことにより、より完全に理解されるであろう。

【0014】

付随する図面は多数の例としての実施形態を示しており、明細書の一部である。下記の記述と共に、これらの図面は本開示の種々の原則を例示および説明している。

【図面の簡単な説明】

【0015】

【図1】図１は、例としてのコンテンツ配信エコシステムのブロック図である。

【図2】図２は、図１において示されているコンテンツ配信エコシステム内の例としての配信インフラストラクチャのブロック図である。

【図3】図３は、図１において示されているコンテンツ配信エコシステム内の例としてのコンテンツプレーヤのブロック図である。

【図4】図４は、ここにおいて記述されている実施形態が動作するコンピューティング環境である。

【図5】図５は、パケット交換網における攻撃を軽減するための例としての方法のフロー図である。

【図6】図６は、種々のカウンタ、量、および接続識別子を識別するチャートである。

【図7】図７は、種々の閾値、それらの閾値に対する現在値、およびそれらの閾値に対する最大値を識別するチャートである。

【図8A】図８Ａは、時間の経過において更新されるセンドマップの実施形態を例示している。

【図8B】図８Ｂは、時間の経過において更新されるセンドマップの実施形態を例示している。

【図9】図９は、センドマップに適用される前に、崩壊ファクタがメッセージカウンタに適用される実施形態を例示している。

【0016】

図面を通して、同一の参照文字と記述は類似のものを示しているが、同一の要素であるとは限らない。ここにおいて記述されている例としての実施形態は種々の修正および代替の形状を取り得るが、特定の実施形態は図面において例として示されており、ここにおいて詳細に記述される。しかし、ここにおいて記述されている例としての実施形態は開示されている特別な形状に制限されることは意図されていない。そうではなく、本開示は、付随する請求項の範囲内のすべての修正例、等価物、および代替例をカバーしている。

【発明を実施するための形態】

【0017】

本開示は全体的には、パケット交換網における攻撃を軽減することに向けられている。下記により詳細に説明されるように、本開示の実施形態は、ネットワークノードからネットワークアダプタにおいて受信した選択的肯定応答（ＳＡＣＫ）メッセージにトランスポートプロトコル発見的方法を適用する。トランスポートプロトコル発見的方法は、ＳＡＣＫメッセージを処理するときに実行される動作機能に対する閾値を識別する。これらの実施形態もまた、ネットワークノードから受信したＳＡＣＫメッセージにトランスポートプロトコル発見的方法を適用することにより、トランスポートプロトコル発見的方法に対する閾値が到達されたと決定する。そして、閾値が到達されたと決定することに応答して、ネットワークノードはセキュリティへの脅威として識別され、脅威を軽減するための救済行動が取られる。

【0018】

従来のパケット交換網においては、攻撃者はネットワークの設計における弱点を悪用しようと試みることがよくある。例えば、伝送制御プロトコル（ＴＣＰ）に関して上記に注記したように、サーバにより送られた幾つかのデータパケットは、受信者において順序どおりでなく受信され得る。データパケットは、目的地に到達するためにインターネットを回り道しながら通過することがよくある。このルートに沿うリンクの幾つかは他よりも早いこともあり得る。そのため、幾つかのデータパケットは、受信装置（例えば、エンドノード）に順序どおりではなく到着することもあり、または、完全に行方不明になって受信装置に到達できないこともある（例えば、過負荷となったルータのために）。データパケットは順序どおりではなく受信されることがよくあるので、エンドノードは、何れのパケットが到着し、何れが到着していないかの追尾を続けるためにサーバに肯定応答メッセージを送る。これらの通知は典型的には、センドマップ、スコアボード、データツリー、または他のデータ構造においてサーバにより維持される。ここにおいて使用されているように、「センドマップ」とは、何れのデータがピアノードに送られたかを追尾するデータマップのことである。センドマップは、これらのピアノードからの入ってくる肯定応答を処理するために使用される。データツリーまたは他のデータ構造は、ここにおいて記述されている実施形態においてはセンドマップの代わりに、またはセンドマップに追加して使用できる。

【0019】

サーバから転送されたパケットがエンドノードに到着すると、エンドノードは、それらのデータパケットが到着したことをサーバに通知するために種々のタイプの肯定応答（ＡＣＫ）メッセージを送る。選択的ＡＣＫ（ＳＡＣＫ）メッセージは、特定の順序どおりではないメッセージの受信を承認し、一方、ＡＣＫメッセージは、承認されたメッセージまでのすべての以前のメッセージの受信を承認する。そのため、ファイルが例えば１０個の異なるパケットに分割されて送信される場合、受信エンドノードにより送信されたＳＡＣＫメッセージはパケット５が到着したことを示すことができ、受信ノードエンドにより送信されたパケット３に対するＡＣＫメッセージは、パケット１～３のすべてが受信されたことを示すことができる。センドマップはパケット１～３とパケット５が受信され、パケット４とパケット６～１０のステータスは不明であるという注記を作成できる。

【0020】

現実世界のシナリオにおいては、もちろん何万、何百万、または何十億もの多くの異なるパケットをＴＣＰ接続の間に送ることができ、受信できる。そのため、サーバは非常に多くの数のＡＣＫとＳＡＣＫメッセージを受信している可能性がある。攻撃者はこの事実を利用でき、過剰な量のＡＣＫ／ＳＡＣＫメッセージを送ることによりサーバを過負荷状態にしようとすることができる。大量のＡＣＫ／ＳＡＣＫメッセージを送ることにより、センドマップは大量のメッセージのために効率よく機能できなくなるまでサイズが増大し、サーバは応答できなくなり、そのコンピューティング能力のすべては増大し続けるセンドマップを維持するために使用されるようになる。

【0021】

これらのタイプの攻撃を阻止するための幾つかの従来の解決策は、センドマップエントリの総数に制限を設けることを含んでいる。そのような解決策は単に具体的な数字を識別して、その数字を超える如何なるセンドマップエントリの作成も認めないだけである。しかし、センドマップは各新しいセンド（送ること）および送信に対して新しいエントリを作成できるという仮定のもとで動作する。各センドはＴＣＰ接続において追尾される必要があるので、センドマップエントリが作成できない場合、サーバはデータパケットを送ろうとはせず、そのため、データが転送されることを妨げ、または、転送できるデータ量を厳しく制限する。他の従来の解決策は、ＳＡＣＫを割り当てることができるセンドマップエントリの数に制限を設ける。追加的なＳＡＣＫメッセージが入ってきてこの制限に達すると、サーバはＳＡＣＫ情報を破棄し始める。これはサーバの性能を相当に低下させる。

【0022】

ここにおいて記述されている実施形態はこれらの欠点を、攻撃者により実行される行動を識別するトランスポートプロトコル発見的方法を確立することにより回避する。これらのトランスポートプロトコル発見的方法は、センドマップエントリに制限を設けたり、ＳＡＣＫに制限を設ける必要なしに、これらの悪意のある行動を識別するように構成されている。いったん確立されると、トランスポートプロトコル発見的方法は、データパケット肯定応答を処理するときに実行されるある行動に対して制限を確立することによりある行動を監視する。それらの制限に到達すると、ここにおいて記述されているシステムは、あるノードからの行動を監視し、そのノードから受信した肯定応答メッセージに対して実行できる行動（例えば、センドマップの移動）数を制限することを含む救済行動を取る。これらの実施形態は、ＴＣＰ、ユーザデータグラムプロトコル（ＵＤＰ）、リライアブルデータプロトコル（ＲＤＰ）、または他のトランスポートプロトコルを含む任意のトランスポートプロトコルと連携して使用できる。

【0023】

幾つかのケースにおいては、ＳＡＣＫメッセージにトランスポートプロトコル発見的方法を適用することは、ＳＡＣＫメッセージが処理されるときの動作機能と関連付けられている種々のカウンタを増加することを含んでいる。カウンタは、トランスポートプロトコル発見的方法に対する閾値がいつ到達されたかを示している。幾つかのケースにおいては、肯定応答（ＡＣＫ）メッセージを受信するとカウンタは修正される。

【0024】

セキュリティへの脅威を軽減するために使用される救済行動の少なくとも１つは、ネットワークノードから受信したＳＡＣＫメッセージの少なくとも幾つかを無視することを含んでいる。幾つかの例においては、ＳＡＣＫメッセージを処理するときに実行される動作機能に対する閾値の少なくとも１つは、ＡＣＫ位置をセンドマップ内で移動すべきかどうかの指標を含んでいる。他のケースにおいては、閾値は、ＡＣＫ位置をセンドマップ内でどの位の距離だけ移動すべきかの測定値を含んでいる。更に他のケースにおいては、閾値は、指定された時間期間内に幾つのＳＡＣＫメッセージが受信されるかの指標を含んでいる。

【0025】

幾つかのケースにおいては、ＳＡＣＫメッセージは、以前に受信したＳＡＣＫメッセージを除去するために、または、重複するＳＡＣＫメッセージを除去するためにフィルタ処理される。幾つかのケースにおいては、閾値は、指定された時間期間内に幾つのＳＡＣＫメッセージがフィルタ処理され、およびフィルタ処理されなかったかの指標を含んでいる。

【0026】

幾つかのケースにおいては、トランスポートプロトコル発見的方法に対する閾値が到達されたと決定することは、ネットワークノードがセンドマップのサイズを増大するために複数の異なるセンドの試みを承認しようと試みていると決定することを含んでいる。幾つかの実施形態においては、新しいＡＣＫまたはＳＡＣＫメッセージを処理する前に、古くなったＡＣＫまたはＳＡＣＫカウントを減少するために、センドマップに対して崩壊ファクタが追加される。古くなったＡＣＫまたはＳＡＣＫカウントが減少されている間に、ネットワークノードをセキュリティへの脅威と識別することができる。閾値がネットワークノードによりもはや満たされないと決定すると、それに続いて、ネットワークノードはセキュリティへの脅威と分類されることから解消される。

【0027】

幾つかのケースにおいては、ＳＡＣＫメッセージを処理するときに実行される動作機能に対する閾値は、ネットワークコンピューティングシステムにおける現在の動作状況に基づいて動的に変更される。他のケースにおいては、ＳＡＣＫメッセージを処理するときに実行される動作機能に対する閾値は、指定されたトリガの発生に基づいて動的に変更される。

【0028】

ここにおいて記述されている実施形態の多くは、世界中の視聴者にビデオコンテンツを提供するように設計されている分散型ネットワークを含む、実質的に任意のタイプのコンピューティングネットワークと共に使用できるので、種々のコンピュータネットワークとビデオ配信システムが図１～３を参照して最初に記述される。これらの図は、ユーザにビデオコンテンツを提供するために使用される種々のネットワークと配信方法を紹介している。図４～９は、攻撃ノードを識別して、攻撃を軽減または防ぐための救済行動を取るために、そのようなネットワークを介して送られる、または受信される肯定応答メッセージにトランスポートプロトコル発見的方法が適用される、より具体的な実施形態を記述している。

【0029】

図１は、コンテンツプレーヤ１２０と通信している配信インフラストラクチャ１１０を含んでいるコンテンツ配信エコシステム１００のブロック図である。幾つかの実施形態においては、配信インフラストラクチャ１１０はデータを符号化し、符号化されたデータを、データパケットを介してコンテンツプレーヤ１２０に転送するように構成できる。コンテンツプレーヤ１２０は符号化されたデータを、配信インフラストラクチャ１１０を介して受信し、ユーザへの再生のために復号化するように構成できる。配信インフラストラクチャ１１０により提供されるデータは、オーディオ、ビデオ、テキスト、画像、アニメーション、インタラクティブコンテンツ、触覚データ、仮想または拡張現実データ、位置データ、ゲーミングデータ、または、ストリーミングを介して提供できる任意の他のタイプのデータを含むことができる。

【0030】

配信インフラストラクチャ１１０は一般的には、任意のサービス、ハードウェア、ソフトウェア、または、コンテンツをエンドユーザに渡すように構成されている他のインフラストラクチャ構成要素である。例えば、配信インフラストラクチャ１１０は、コンテンツ収集システム、メディアコード変換とパッケージングサービス、ネットワーク構成要素（例えば、ネットワークアダプタ）、および／または、多様な他のタイプのハードウェアとソフトウェアを含むことができる。配信インフラストラクチャ１１０は、非常に複雑な配信システム、単一のメディアサーバまたは装置、または、その中間の任意のものとして実現できる。幾つかの例においては、サイズまたは複雑さに拘わりなく、配信インフラストラクチャ１１０は少なくとも１つの物理プロセッサ１１２と少なくとも１つのメモリ装置１１４を含むことができる。１つ以上のモジュール１１６を、ここにおいて検討されるような適応ストリーミングを可能にするためにメモリ１１４に格納またはロードできる。

【0031】

コンテンツプレーヤ１２０は一般的には、配信インフラストラクチャ１１０を介して提供されたオーディオおよび／またはビデオコンテンツを再生できる任意のタイプまたは形状の装置またはシステムである。コンテンツプレーヤ１２０の例としては、制限されることはないが、モバイルフォン、タブレット、ラップトップコンピュータ、デスクトップコンピュータ、テレビ、セットトップボックス、デジタルメディアプレーヤ、仮想現実ヘッドセット、拡張現実眼鏡、および／または、デジタルコンテンツを表現できる任意の他のタイプまたは形状の装置が含まれる。配信インフラストラクチャ１１０と同様に、コンテンツプレーヤ１２０は、物理プロセッサ１２２、メモリ１２４、および１つ以上のモジュール１２６を含むことができる。ここにおいて記述されている適応ストリーミングプロセスの幾つかまたはすべてはモジュール１２６により実行でき、または可能にすることができ、幾つかの例においては、配信インフラストラクチャ１１０のモジュール１１６は、マルチメディアコンテンツの適応ストリーミングを提供するために、コンテンツプレーヤ１２０のモジュール１２６と連携して動作できる。

【0032】

ある実施形態においては、図１におけるモジュール１１６および／または１２６の１つ以上は、コンピューティング装置により実行されると、そのコンピューティング装置に１つ以上のタスクを実行させることができる１つ以上のソフトウェアアプリケーションまたはプログラムであることができる。例えば、下記により詳細に記述されるように、モジュール１１６と１２６の１つ以上は、１つ以上の汎用コンピューティング装置を起動するように格納および構成されているモジュールであることができる。図１におけるモジュール１１６と１２６の１つ以上もまた、１つ以上のタスクを実行するように構成されている１つ以上の特殊目的コンピュータのすべてまたは一部であることもできる。

【0033】

加えて、ここにおいて記述されているモジュール、プロセス、アルゴリズム、またはステップの１つ以上は、データ、物理装置、および／または、物理装置の表現を１つの形状から他の形状に変換できる。例えば、ここにおいて詳述されているモジュールの１つ以上は欠陥識別データを受信でき、その欠陥識別データを、インタラクティブユーザインタフェースにおける提示のために準備することにより欠陥識別データを変換でき、変換の結果をインタラクティブユーザインタフェースに提供し、変換された欠陥識別データをインタラクティブユーザインタフェース上に表現できる。追加的に、または代替的に、ここにおいて詳述されているモジュールの１つ以上は、プロセッサ、揮発性メモリ、不揮発性メモリ、および／または、物理コンピューティング装置の任意の他の部分を、コンピューティング装置上で実行されること、データをコンピューティング装置に格納すること、および／または、コンピューティング装置と相互作用することにより１つの形状から他の形状に変換できる。

【0034】

物理プロセッサ１１２と１２２は一般的には、コンピュータ読み取り可能命令を解釈および／または実行できる、任意のタイプの形状の、ハードウェアにより実現される処理ユニットである。１つの例においては、物理プロセッサ１１２と１２２はそれぞれ、モジュール１１６と１２６の１つ以上にアクセス、および／または、それを修正できる。追加的に、または、代替的に、物理プロセッサ１１２と１２２は、マルチメディアコンテンツの適応ストリーミングを促進するために、モジュール１１６と１２６の１つ以上を実行できる。物理プロセッサ１１２と１２２の例としては、制限されることはないが、マイクロプロセッサ、マイクロコントローラ、中央演算処理装置（ＣＰＵ）、ソフトコアプロセッサを実現するフィールドプログラマブルゲートアレイ（ＦＰＧＡ）、特定用途向け集積回路（ＡＳＩＣ）、それらの１つ以上の部分、それらの１つ以上の変形または組み合わせ、および／または、任意の他の適切な物理プロセッサが含まれる。

【0035】

メモリ１１４と１２４は一般的には、データおよび／またはコンピュータ読み取り可能命令を格納できる、任意のタイプまたは形状の揮発性または不揮発性格納装置または媒体である。１つの例においては、メモリ１１４および／または１２４は、モジュール１１６と１２６の１つ以上を格納、ロード、および／または維持できる。メモリ１１４および／または１２４の例としては、制限されることはないが、ランダムアクセスメモリ（ＲＡＭ）、リードオンリメモリ（ＲＯＭ）、フラッシュメモリ、ハードディスクドライブ（ＨＤＤ）、ソリッドステートドライブ（ＳＳＤ）、光ディスクドライブ、キャッシュ、それらの１つ以上の変形または組み合わせ、および／または、任意の他の適切なメモリ装置またはシステムが含まれる。

【0036】

図２は、ある実施形態に係るコンテンツ配信インフラストラクチャ１１０の例としての構成要素のブロック図である。配信インフラストラクチャ１１０は、格納装置２１０、サービス２２０、およびネットワーク２３０を含むことができる。格納装置２１０は一般的には、任意の装置、装置のセット、および／または、エンドユーザに渡すためのコンテンツを格納できるシステムである。格納装置２１０は、テラバイトまたはペタバイトのデータを格納できる装置を有する中央貯蔵構造を含むことができ、および／または、分散型格納システム（例えば、ある領域内のミラーリングされたコンテンツへのより高速なアクセスを提供するために、インターネット相互接続位置におけるコンテンツに対してミラーリングまたはキャッシングをするアプライアンス）を含むことができる。

【0037】

示されているように、格納装置２１０は、特には、コンテンツ２１２、ユーザデータ２１４、および／または、ログデータ２１６を格納できる。コンテンツ２１２は、テレビ番組、映画、ビデオゲーム、ユーザにより生成されたコンテンツ、および／または、任意の他の適切なタイプまたは形状のコンテンツを含むことができる。ユーザデータ２１４は、個人的に識別可能な情報（ＰＩＩ）、支払情報、嗜好設定、言語とアクセス可能性設定、および／または、特別なユーザまたはコンテンツプレーヤと関連付けられている任意の他の情報を含むことができる。ログデータ２１６は、視聴履歴情報、ネットワークスループット情報、および／または、ユーザの配信インフラストラクチャ１１０との接続または配信インフラストラクチャ１１０との相互作用と関連付けられている任意の他の測定基準を含むことができる。

【0038】

サービス２２０は、個人化サービス２２２、コード変換サービス２２４、および／または、パッケージングサービス２２６を含むことができる。個人化サービス２２２は、推奨、コンテンツストリーム、および／または、配信インフラストラクチャ１１０とのユーザの経験の他の態様を個人化できる。コード変換サービス２２４は、異なる符号化の間のリアルタイムのスイッチングを可能にする異なるビットレートにおける媒体を圧縮できる。パッケージングサービス２２６は、ストリーミングのためにネットワーク２３０などのようなデリバリネットワークに符号化されたビデオを展開する前にパッケージ化することができる。

【0039】

ネットワーク２３０は一般的には、通信またはデータ転送を促進できる任意の媒体またはアーキテクチャである。ネットワーク２３０は、無線および／または有線接続を使用して、トランスポートプロトコルを介して通信および／またはデータ転送を促進できる。ネットワーク２３０の例としては、制限されることはないが、イントラネット、ワイドエリアネットワーク（ＷＡＮ）、ローカルエリアネットワーク（ＬＡＮ）、パーソナルエリアネットワーク（ＰＡＮ）、インターネット、パワーライン通信（ＰＬＣ）、セルラーネットワーク（例えば、モバイル通信（ＧＳＭ（登録商標））ネットワークのためのグローバルシステム）、それらの１つ以上の部分、それらの１つ以上の変形または組み合わせ、および／または、任意の他の適切なネットワークが含まれる。例えば、図２において示されているように、ネットワーク２３０は、インターネットバックボーン２３２、インターネットサービスプロバイダ２３４、および／または、ローカルネットワーク２３６を含むことができる。

【0040】

図３は、図１のコンテンツプレーヤ１２０の例としての実現形態のブロック図である。コンテンツプレーヤ１２０は一般的には、コンピュータ実行可能命令を読むことができる任意のタイプまたは形状のコンピューティング装置である。コンテンツプレーヤ１２０としては、制限されることはないが、ラップトップ、タブレット、デスクトップ、サーバ、セルラーフォン、マルチメディアプレーヤ、埋め込み型システム、ウェアラブルデバイス（例えば、スマートウォッチ、スマート眼鏡など）、スマート車両、ゲーミングコンソール、スマート電気器具などのようなインターネットのモノ（ＩｏＴ）装置、それらの１つ以上の変形または組み合わせ、および／または、任意の他の適切なコンピューティング装置が含まれる。

【0041】

図３において示されているように、プロセッサ１２２とメモリ１２４に加えて、コンテンツプレーヤ１２０は、通信インフラストラクチャ３０２と、ネットワーク接続３２４に結合されている通信インタフェース３２２を含むことができる。コンテンツプレーヤ１２０はまた、グラフィックス装置３２８に結合されているグラフィックスインタフェース３２６、入力装置３３６に結合されている入力インタフェース３３４、および格納装置３４０に結合されている格納インタフェース３３８も含むことができる。

【0042】

通信インフラストラクチャ３０２は一般的には、コンピューティング装置の１つ以上の構成要素間の通信を促進できる任意のタイプまたは形状のインフラストラクチャである。通信インフラストラクチャ３０２の例としては、制限されることはないが、任意のタイプまたは形状の通信バス（例えば、周辺構成要素相互接続（ＰＣＩ）バス、ＰＣＩ Ｅｘｐｒｅｓｓ（ＰＣＩｅ）（周辺構成要素相互接続エクスプレス）バス、メモリバス、フロントサイドバス、集積駆動電子機器（ＩＤＥ）バス、制御または登録バス、ホストバスなど）が含まれる。

【0043】

注記したように、メモリ１２４は一般的には、データおよび／または他のコンピュータ読み取り可能命令を格納できる任意のタイプまたは形状の揮発性または不揮発性格納装置または媒体である。幾つかの例においては、メモリ１２４は、プロセッサ１２２による実行のためにオペレーティングシステム３０８を格納および／またはロードできる。１つの例においては、オペレーティングシステム３０８は、コンピュータハードウェアとソフトウェアリソースを管理し、および／または、共通のサービスを、コンテンツプレーヤ１２０上のコンピュータプログラムおよび／またはアプリケーションに提供するソフトウェアを含むことができ、および／または、それらであることができる。

【0044】

オペレーティングシステム３０８は、ハードウェア構成要素（例えば、グラフィックスインタフェース３２６、オーディオインタフェース３３０、入力インタフェース３３４、および／または、格納インタフェース３３８）を管理することなどのような、種々のシステム管理機能を実行できる。オペレーティングシステム３０８はまた、再生アプリケーション３１０に対するメモリ管理モデルを処理することもできる。再生アプリケーション３１０のモジュールは、例えば、コンテンツバッファ３１２、オーディオデコーダ３１８、およびビデオデコーダ３２０を含むことができる。

【0045】

再生アプリケーション３１０は、通信インタフェース３２２を介してデジタルコンテンツを検索し、グラフィックスインタフェース３２６を通してデジタルコンテンツを再生するように構成できる。ビデオデコーダ３２０は、ビデオデータのユニットをビデオバッファ３１６から読むことができ、ビデオデータのユニットを、持続時間において再生時間の固定の長さに対応するビデオフレームのシーケンスにおいて出力できる。ビデオデータのユニットをビデオバッファ３１６から読むことにより、ビデオデータのユニットをビデオバッファ３１６から効果的に取り出すことができる。そして、ビデオフレームのシーケンスはグラフィックスインタフェース３２６により描写でき、ユーザに表示するためにグラフィックス装置３２８送信できる。

【0046】

配信インフラストラクチャ１１０の帯域幅が制限され、および／または、変動する状況においては、再生アプリケーション３１０は、多様なファクタ（シーンの複雑さ、オーディオの複雑さ、ネットワーク帯域幅、装置能力など）に基づいて、異なるビットレートのビデオ符号化からビデオデータおよび／またはオーディオデータの連続する部分をダウンロードしてバッファに格納できる。幾つかの実施形態においては、ビデオ再生品質には、オーディオ再生品質よりも高い優先度を与えることができる。オーディオ再生とビデオ再生品質はまた、互いにバランスを取ることができ、幾つかの実施形態においては、オーディオ再生品質には、ビデオ再生品質よりも高い優先度を与えることができる。

【0047】

コンテンツプレーヤ１２０はまた、格納インタフェース３３８を介して通信インフラストラクチャ３０２に結合されている格納装置３４０を含むこともできる。格納装置３４０は一般的には、データおよび／または他のコンピュータ読み取り可能命令を格納できる任意のタイプまたは形状の格納装置または媒体である。例えば、格納装置３４０は、磁気ディスクドライブ、ソリッドステートドライブ、光ディスクドライブ、フラッシュドライブなどであってよい。格納インタフェース３３８は一般的には、格納装置３４０とコンテンツプレーヤ１２０の他の構成要素との間でデータを転送するための任意のタイプまたは形状のインタフェースまたは装置である。

【0048】

多くの他の装置またはサブシステムをコンテンツプレーヤ１２０に含むことができ、またはコンテンツプレーヤ１２０に接続できる。逆に、図３において例示されている構成要素と装置の１つ以上は、ここにおいて記述され、および／または、例示されている実施形態を実践するためには存在する必要はない。上記に言及した装置とサブシステムはまた、図３に示されているものとは異なる方法で相互接続することもできる。コンテンツプレーヤ１２０はまた、任意の数のソフトウェア、ファームウェア、および／またはハードウェア構成を採用できる。

【0049】

図４は、ネットワークコンピューティングシステム４０１を含んでいるコンピューティング環境４００を例示している。ネットワークコンピューティングシステム４０１は、ローカルコンピューティングシステムまたは分散型（例えば、クラウド）コンピューティングシステムを含んでいる、実質的に任意のタイプのコンピューティングシステムであってよい。ネットワークコンピューティングシステム４０１は、少なくとも１つのプロセッサ４０２と少なくとも何らかのシステムメモリ４０３を含むことができる。コンピューティングシステム４０１は、多様な異なる機能を実行するためのプログラムモジュールを含むことができる。プログラムモジュールはハードウェアに基づくものであっても、ソフトウェアに基づくものであってもよく、または、ハードウェアとソフトウェアの組み合わせを含むことができる。各プログラムモジュールは、下記において記述される機能を含む、指定された機能を実行するためにコンピューティングハードウェアおよび／またはソフトウェアを使用できる。

【0050】

ネットワークコンピューティングシステム４０１はまた、他のコンピュータシステムと通信するように構成されているネットワークアダプタ４０４も含んでいる。ネットワークアダプタ４０４は、データを他のコンピュータシステムから受信でき、および／または、データを他のコンピュータシステムに送信できる任意の有線または無線通信手段を含むことができる。これらの通信手段は、イーサネット（登録商標）アダプタ、ＷＩＦＩアダプタ、例えば、ハードウェアに基づく受信機４０５、ハードウェアに基づく送信機４０６、または、データの受信と送信の両者が可能な組み合わされたハードウェアに基づくトランシーバを含むハードウェア無線装置を含むことができる。無線装置は、セルラー無線装置、ブルートゥース（登録商標）無線装置、全地球測位システム（ＧＰＳ）無線装置、または他のタイプの無線装置であってよい。ネットワークアダプタ４０４は、データベース、モバイルコンピューティング装置（モバイルフォンまたはタブレットなどのような）、埋め込み型または他のタイプのコンピューティングシステムと相互作用するように構成できる。

【0051】

ネットワークコンピューティングシステム４０１はまた、トランスポートプロトコル発見的方法モジュール４０７も含んでいる。トランスポートプロトコル発見的方法モジュール４０７は、それらの発見的方法に対する１つ以上の閾値４０９を有する発見的方法４０８を生成する。例えば、ネットワークコンピューティングシステム４０１がＡＣＫメッセージ４１７、ＳＡＣＫメッセージ４１８、または他のタイプの肯定応答（例えば、否定応答（ＮＡＣＫ））を含むデータ４１６を処理するときに、ネットワークコンピューティングシステム４０１はある行動を取る。上記に注記したように、これらの行動の１つは、センドマップエントリを作成または更新することを含んでいる。コンピューティングシステム（例えば、パーソナルコンピュータ４１４またはモバイル装置４１５）がＡＣＫ４１７またはＳＡＣＫ５１８を送るときに、ネットワークコンピューティングシステム４０１は、そのセンドマップに対するアップデート（最新情報）を作成する。幾つかの実施形態においては、ネットワークコンピューティングシステム４０１はまた、悪意のある行動を検出するように設計されている発見的方法４０８も解析する。

【0052】

これらの発見的方法の１つは、受信ノードにより送られたＳＡＣＫメッセージに対するＡＣＫメッセージの比を調べる。例えば、ネットワークコンピューティングシステム４０１が、ユーザのモバイル装置４１５にデータ４１６（例えば、ビデオコンテンツ）を送信するサーバである場合、そのモバイル装置は、ＡＣＫとＳＡＣＫメッセージの組み合わせを時間の経過においてネットワークコンピューティングシステム４０１に送り返す。ＡＣＫとＳＡＣＫメッセージは必ずしも一緒に送られるとは限らず、時間の経過において送られ、ネットワークコンピューティングシステム４０１は、ＡＣＫ対ＳＡＣＫ比におけるパターンを検出できる。モバイル装置４１５がＡＣＫより非常に多くのＳＡＣＫを送っている場合、このＡＣＫに対するＳＡＣＫの高い比は、モバイル装置が攻撃ノードであることを示すことができる。その時点において、ネットワークコンピューティングシステム４０１はモバイル装置４１５を攻撃ノードとして標識を付けるか、または、ネットワークコンピューティングシステムは装置を攻撃者として標識を付ける前に待機して、モバイル装置に関連する他の発見的方法を解析する。

【0053】

ネットワークコンピューティングシステム４０１が調べる他の発見的方法４０８はＡＣＫとＳＡＣＫメッセージにより作成された移動の数である。例えば、ＡＣＫ４１７またはＳＡＣＫメッセージ４１８がネットワークコンピューティングシステム４０１において受信されると、システムは、すべての以前のデータパケットがエンドノード（例えば、モバイル装置４１５）で受信されたこと示す、センドマップにおけるポインタをセンドマップに沿って移動する必要があるかどうかを決定する。ポインタを移動することは、ネットワークコンピューティングシステム４０１による演算を必要とし、そのため、過度の移動は過度の演算を必要とする。所与のセンドマップに対して多すぎる移動がなされる場合、センドマップ移動はネットワークコンピューティングシステム４０１のリソースを圧迫する可能性が高く、通信は遅くなり、ゆっくり進むか、または停止することもあり得る。そのため、ここにおいて記述されている実施形態においては、ネットワークコンピューティングシステム４０１は、各エンドノードにより引き起こされたセンドマップ移動の数を監視する。エンドノードが多すぎる移動を引き起こしている場合、ネットワークコンピューティングシステム４０１の脅威軽減モジュール４１２は、そのエンドノードからのＡＣＫとＳＡＣＫに応答することを停止し、他の軽減行動４１３を取ることができる。これらの考え方は、図５の方法５００に関して下記に更に記述される。

【0054】

図５は、パケット交換網における攻撃を軽減するための、例としてのコンピュータにより実現される方法５００のフロー図である。図５において示されているステップは、図４において例示されているネットワークコンピューティングシステムを含む、任意の適切なコンピュータ実行可能コードおよび／またはコンピューティングシステムにより実行できる。１つの例においては、図５において示されているステップのそれぞれは、その構造が複数のサブステップを含んでいる、または、複数のサブステップにより表わされるアルゴリズムを表わすことができ、その例は下記により詳細に提供される。

【0055】

図５の方法５００におけるステップ５１０において例示されているように、図４のネットワークコンピューティングシステム４０１は、ネットワークノード（例えば、４１５）からネットワークアダプタ４０４において受信したＳＡＣＫメッセージ４１８に１つ以上のトランスポートプロトコル発見的方法４０８を適用する。トランスポートプロトコル発見的方法４０８は、ＳＡＣＫメッセージを処理するときに実行される動作機能に対する閾値４０９を識別できる。閾値は下記の１つ以上を含むことができる。許可されているセンドマップポインタ移動の閾値数を識別するＡＣＫ移動閾値、ＳＡＣＫメッセージに対する受信されたＡＣＫメッセージの比を識別するＡＣＫ対ＳＡＣＫ閾値、ＳＡＣＫメッセージがセンドマップポインタ移動（または、ここにおいての「移動」）を引き起こす場合と、ＳＡＣＫメッセージが移動を引き起こさない場合を識別するＳＡＣＫ対移動閾値、攻撃者の公表はフォールスポジティブ（偽陽性）であったかどうかを識別する修復閾値、および、ネットワークコンピューティングシステムに格納されているリスト（例えば、データベース４２０のリスト４２１）におけるセンドマップエントリの最小カウントを識別するマップ最小閾値。ここで、多くの異なる閾値４０９をトランスポートプロトコル発見的方法において使用でき、上記の閾値はそのような値の例であり、制限は意図されていないということが認識されるであろう。

【0056】

方法５００のステップ５２０において、図４の閾値監視モジュール４１０は、ネットワークノード（例えば、４１５）から受信したＳＡＣＫメッセージ４１８にトランスポートプロトコル発見的方法４０８を適用することにより、トランスポートプロトコル発見的方法の少なくとも１つに対する閾値４０９が到達されたと決定する。閾値監視モジュール４１０は閾値を監視し、それらの値がいつ超えられたかを決定するように構成されている。幾つかの実施形態においては、閾値に対応するカウンタが実装される。各メッセージ処理イベント（例えば、センドマップ移動イベント）が起こると、その行動と関連付けられているカウンタは増加される。多くの連続する増加の後に、閾値監視モジュール４１０は、カウンタ値が、そのカウンタに対する確立された閾値４０９を超えたと決定できる。

【0057】

閾値４０９の１つ以上が到達されたと決定することに応答して、セキュリティ脅威識別モジュール４１１は、ステップ５３０において、ネットワークノード（例えば、４１５）をセキュリティへの脅威として識別し、ステップ５４０において、脅威軽減モジュール４１２は、セキュリティへの脅威を削減または除去するために、１つ以上の救済、軽減行動４１３を取る。軽減行動４１３は、セキュリティへの脅威から受信したＡＣＫ／ＳＡＣＫメッセージのより少ない数に応答すること、セキュリティへの脅威からのＡＣＫ／ＳＡＣＫメッセージを完全に無視すること、セキュリティへの脅威からのＡＣＫ／ＳＡＣＫメッセージに応答して実行される行動の数またはタイプを減少すること（例えば、より少ないセンドマップ移動動作を実行すること、またはセンドマップにおいてより少ないＡＣＫ／ＳＡＣＫエントリを作成すること）、ＡＣＫ／ＳＡＣＫをフィルタ処理すること、ＡＣＫ／ＳＡＣＫメッセージを処理するときに崩壊ファクタを導入すること、または、他の軽減行動を取ることを含むことができる。幾つかのケースにおいては、セキュリティ脅威識別モジュール４１１は、セキュリティへの脅威として標識を付けられたノードの監視を継続する。時間の経過において、ノードの閾値４０９が通常の予期される範囲に戻った場合、このノードを非脅威として再分類することができる。

【0058】

幾つかの実施形態においては、上記に注記したように、これらの閾値４０９はカウンタと関連付けられている。例えば、図６において示されているように、チャート６００における異なるカウンタは異なる行動を追尾する。それらの行動が起きると（例えば、センドマップポインタが移動されると）、その行動と関連付けられているカウンタ６０１は増加される。ネットワークコンピューティングシステム４０１は、あるノードから受信したＡＣＫメッセージの総数を示すＡＣＫ＿Ｔｏｔａｌカウンタなどのようなカウンタを確立する。送ってくる側と受信する側を識別する接続は、接続識別子６０３により識別できる。例えば、図４のモバイル手持ち型装置４１５が「Ａ」として識別され、ネットワークコンピューティングシステム４０１が「Ｂ」として識別される場合、接続は「ＡＢ」と称することができる。それらの装置が複数のトランスポートプロトコル接続を有している（同時または連続しての何れか）ケースにおいては、接続識別子６０３は、「ＡＢ１」または「ＡＢ２」などのように数字を含むことができる。そのため、カウンタ６０１の固有のセットをノード間の各接続（例えば、「ＡＢ１」）に適用でき、またはカウンタを、ノードＡとＢとの間の接続のすべてに適用できる。そのため、カウンタ６０１は、通信がサーバとエンドノードとの間で行ったり来たりと転送されるときに、時間の経過において種々の閾値を追尾する。

【0059】

チャート６００において、カウンタＡＣＫ＿Ｔｏｔａｌは、量６０２により示されているように、ネットワークコンピューティングシステム４０１において幾つのＡＣＫメッセージが受信されたかを示している。現在の量は６２であり、ネットワークコンピューティングシステム４０１がノード「Ｂ」から６２のＡＣＫメッセージを受信したことを示している。ＳＡＣＫ＿Ｔｏｔａｌカウンタは、５３の受信されたＳＡＣＫメッセージのカウントを示しており、Ｍｏｖｅｄカウンタは、１４のセンドマップポインタ移動の数量を示している。非常に大きな数の「移動」は、ＳＡＣＫメッセージが不法なものであり、セキュリティへの脅威からの攻撃の一部であることを示すことができる。Ｎｏ＿Ｍｏｖｅカウンタは、センドマップポインタを移動することなくＳＡＣＫメッセージが受信された回数を追尾する。ほとんどのＳＡＣＫメッセージは「移動なし」という結果になり、そのため、「移動なし」の低いカウントは典型的には、メッセージ送信が正常に動作していることを示している。ＡＣＫ、ＳＡＣＫ、または他の肯定応答メッセージがネットワークコンピューティングシステム４０１において受信されると、ネットワークコンピューティングシステム４０１は総計にメッセージを追加し、センドマップポインタがいつ移動されたかを注記し、それらの動作機能が実行されるたびに関連付けられているカウンタを増加する。多くの異なるタイプのカウンタを、異なるタイプのメッセージと、これらのメッセージに応答して実行される異なるタイプの行動を追尾するために実装できるということは理解されるであろう。

【0060】

図７は、異なる閾値７０１、それらの関連付けられている現在値７０２、および最大値７０３を有しているチャート７００を例示している。名前が示しているように、現在値７０２は、それぞれの閾値に対するカウンタの現在値を示している。最大値７０３は、その閾値に対する最大の許可されている値を示している。その閾値に対するカウンタの値が最大値７０３を超えて増加されると、図４の閾値監視モジュール４１０は、その閾値７０１に対する閾値が到達されたことを示す。閾値７０１は、ネットワークコンピューティングシステム４０１が追尾および監視できる潜在的トランスポートプロトコル発見的方法のサンプリングを表わしている。

【0061】

図７において、ＡＣＫ＿Ｍｏｖｅｍｅｎｔ＿Ｔｈｒｅｓｈｏｌｄは、所与の時間枠内で許可されるセンドマップポインタ移動の閾値数を識別する。現在値７０２は２７であり、２７のセンドマップポインタ移動が所与の時間枠において、または指定されたイベントの発生のときから起きたことを示している。最大値５０に到達すると、図４のセキュリティ脅威識別モジュール４１１は、エンドノード（例えば、パーソナルコンピュータ４１４）をセキュリティへの脅威として識別する。ＡＣＫ＿ｔｏ＿ＳＡＣＫ＿Ｔｈｒｅｓｈｏｌｄは、指定された時間枠内、または指定されたイベントの発生のときから、エンドノードから受信したＳＡＣＫメッセージに対する、受信したＡＣＫメッセージの比を識別する。ＳＡＣＫ＿ｔｏ＿Ｍｏｖｅ＿Ｔｈｒｅｓｈｏｌｄは、ＳＡＣＫメッセージがセンドマップポインタ移動を引き起こした場合と、ＳＡＣＫメッセージが移動を引き起こさない場合を識別する。

【0062】

ＳＡＣＫ＿ｔｏ＿Ｍｏｖｅ＿Ｔｈｒｅｓｈｏｌｄは、ｎｏ＿ｍｏｖｅ（移動なし）に対するＳＡＣＫ移動の百分率（例えば、図７においては６１％）であってよく、その閾値百分率が超えられると、セキュリティ脅威識別モジュール４１１はエンドノードをセキュリティへの脅威として識別する。Ｒｅｓｔｏｒａｌ＿Ｔｈｒｅｓｈｏｌｄは、攻撃者の公表がフォールスポジティブ（偽陽性）であったかどうかを示す百分率を識別し、Ｍａｐ＿Ｍｉｎｉｍｕｍ閾値は、エンドノードがセキュリティへの脅威であるかどうかを決定することを開始する前に格納されているセンドマップエントリの最小カウントを識別する。上記に識別されたカウンタと同様に、識別された閾値７０１は、ネットワークコンピューティングシステム４０１が追尾および監視できる潜在的トランスポートプロトコル発見的方法のサンプリングを表わしており、他の閾値は、リスト表示されている閾値と組み合わせて、またはリスト表示されている閾値の代替として使用できるということは理解されるであろう。

【0063】

幾つかのケースにおいては、カウンタの現在値は、あるタイプの肯定応答メッセージを受信すると修正され、またはリセットされることさえもある。例えば、コンピュータシステム４１４からのＡＣＫメッセージ４１７を受信すると、ネットワークコンピューティングシステム４０１は、カウンタ６０１におけるＡＣＫ＿Ｔｏｔａｌなどのような肯定応答メッセージを追尾するカウンタを修正できる。エンドノードが過度の量のＡＣＫメッセージまたはＳＡＣＫメッセージを送っている場合、閾値監視モジュール４１０は閾値が超えられたと決定し、セキュリティ脅威識別モジュール４１１はエンドノードを脅威として識別する。

【0064】

図８Ａは、送られてきたパケット８０１を識別する、複数のエントリを有するセンドマップ８００Ａの実施形態を例示している。ＡＣＫメッセージがネットワークアダプタ４０４において受信されると、ネットワークコンピューティングシステム４０１は、ＡＣＫメッセージ８０２までの以前に送られたメッセージのそれぞれを承認する。図８Ａと８Ｂにおいて、承認されたメッセージは、右下がりの斜線による陰影により示され、選択的に承認されたメッセージは右上がりの斜線による陰影により示され、承認されていないパケットは陰影が付けられていない。８０３においてネットワークコンピューティングシステム４０１は、そのパケットの受信を承認するＳＡＣＫメッセージ８０３を受信する。ＳＡＣＫメッセージ８０４も同様に、順序どおりでなく受信したパケットの受信を承認する。ＡＣＫメッセージ８０５が受信されると、ＡＣＫは、ＡＣＫ８０５までのすべてのデータパケット８０１が受信されたことを示す。そのため、図８Ｂにおいて示されているように、ＡＣＫ８０５までのすべてのパケット８０１は承認されたものとして陰影が付けられる。新しく受信されたＳＡＣＫメッセージ８０６は、他の順序どおりではないパケットが選択的に承認されたことを示している。

【0065】

ＡＣＫが移動されると（８０２から８０５などのように）、「Ｍｏｖｅｄ」カウンタが１だけ増加される。幾つかの実施形態においては、過度の量のセンドマップ移動動作（例えば、図７のＡＣＫ＿Ｍｏｖｅｍｅｎｔ＿Ｔｈｒｅｓｈｏｌｄを超える）は、エンドノードがセキュリティへの脅威であることを示しており、セキュリティ脅威識別モジュール４１１はエンドノードを脅威として標識を付ける。幾つかのケースにおいては、ネットワークコンピューティングシステム４０１は、ＡＣＫ位置をどの位の距離だけ移動すべきかを決定できる。図８Ａにおいて、ＡＣＫ８０２は、ＡＣＫメッセージ８０５により指定されたパケットまで９個の位置を移動される。エンドノードから受信した多数の短い移動は潜在的攻撃を示すことができる。そのため、ＳＡＣＫメッセージを処理するときに実行される動作機能の１つは、ＡＣＫ位置をセンドマップ（例えば、８００Ａ／８００Ｂ）内でどの位の距離だけ移動すべきかを測定することを含んでいる。更に、多数のＳＡＣＫメッセージが短い時間期間に受信された場合、セキュリティ脅威識別モジュール４１１はまた、エンドノードを脅威として標識を付ける。

【0066】

ネットワークコンピューティングシステム４０１がエンドノードを脅威として標識を付けると、脅威軽減モジュール４１２は、エンドノードにより引き起こされた脅威を削減または削除するために種々の軽減行動４１３を取る。１つの軽減行動は、そのエンドノードとの通信を完全に切断することである。他の軽減行動は、そのエンドノードから受信したＳＡＣＫメッセージのすべて、または幾つかを無視することである。他の軽減行動は、他のタイプのＡＣＫメッセージを無視すること、または、あるＡＣＫメッセージにのみ応答することである。エンドノードからのこれらのＡＣＫ／ＳＡＣＫメッセージの幾つか、またはすべてを無視することにより、ネットワークコンピューティングシステム４０１は、センドマップを維持することに多くのコンピューティングリソースを消費することを停止し、そのため、この攻撃前線を効果的に削除する。プロセッサ４０２は健全なレートで動作を継続し、攻撃ノードからの処理要求に過度に専念しない。

【0067】

図９は、ＳＡＣＫメッセージが処理される前に、ＳＡＣＫメッセージがフィルタ処理される実施形態を例示している。このフィルタ処理は、セキュリティへの脅威を検出する前に実行できる。１つの実施形態においては、ＳＡＣＫメッセージ９０１はサーバ（例えば、図４のネットワークコンピューティングシステム４０１）において受信される。サーバは、ＳＡＣＫメッセージ９０１の１つ以上をフィルタ処理するためのフィルタ９０２を適用し、そのため、フィルタ処理されたＳＡＣＫメッセージはサーバにより処理されない（例えば、センドマップ９０４は更新されない）。フィルタ９０２はまた、以前に受信したＳＡＣＫメッセージを除去、または重複するＳＡＣＫメッセージを除去するためにも使用できる。フィルタ処理されたメッセージは、センドマップ９０４において処理される前にフィルタ処理され、そのため、処理リソースは、センドマップを更新するためにそれらのメッセージを処理することに消費されない。そのため、このタイプのフィルタ処理は、そうでなければＳＡＣＫメッセージ９０１を処理することに消費されていたＣＰＵとメモリのオーバヘッドを大いに節約できる。幾つかのケースにおいては、ネットワークコンピューティングシステム４０１は、指定された時間期間内に幾つのＳＡＣＫメッセージがフィルタ処理されたかを追尾し、その数を、特定のエンドノードが攻撃を実行しようと試みているかどうかを決定するために使用する。

【0068】

崩壊ファクタ９０３は、攻撃ノードをより迅速に識別するために使用される。崩壊ファクタ９０３は、カウンタの数量を一様に減少し、それにより、閾値量に到達するために必要な時間量を減少するためにカウンタ（例えば、図７の７０２）に適用される。例えば、攻撃者がセンドマップウィンドウのサイズを速く増大しようと試みて多数のＡＣＫ（例えば、５０，０００のＡＣＫ）を送ろうとしても、ＡＣＫ対ＳＡＣＫ比は非常に大きいので、そのため、確立されたＡＣＫ対ＳＡＣＫ比閾値（例えば、６０％）内に良好に留まる可能性が高い。比がこの閾値内である間は、攻撃者はセンドマップウィンドウを拡張するためにＡＣＫメッセージを送信し続けることができる。しかし、崩壊ファクタ９０３を指定された時間増加（例えば、毎秒）でカウンタに一様に適用することにより、カウンタは１／２または１／４または何らかの他の比で減少される。

【0069】

すべてのカウンタが同じ崩壊比で減少されるので、ＡＣＫ対ＳＡＣＫ比もまた同じに留まる。例えば、上記の例において、１００のＳＡＣＫが５０，０００のＡＣＫと共に受信された場合、ＡＣＫ対ＳＡＣＫ比は５０，０００：１００となる。１／４の崩壊ファクタが適用された場合、カウンタはそれぞれ元の値の１／４に減少され、そのため１２，５００：２５となる。カウンタ値における更なる減少は、ＡＣＫ対ＳＡＣＫ比を確立されたＡＣＫ対ＳＡＣＫ比閾値（例えば、６０％のＡＣＫ対ＳＡＣＫ）により近づけることができる。ＡＣＫ対ＳＡＣＫ比閾値が到達されると、システムは攻撃者を無力にするための軽減行動を取ることができる。より効率的な方法でこの閾値に到達することにより、攻撃者をより迅速に識別且つ停止させることが可能になる。

【0070】

幾つかのケースにおいては、図４のセキュリティ脅威識別モジュール４１１は、古くなったＡＣＫまたはＳＡＣＫメッセージを除去している間に、エンドノード（例えば、４１５）をセキュリティへの脅威として識別するように構成されている。例えば、セキュリティ脅威識別モジュール４１１は、エンドノード４１５が閾値量を超える数のＡＣＫ／ＳＡＣＫメッセージを送っていることを決定するためにカウンタと協議できる。ネットワークコンピューティングシステム４０１は、新しいメッセージが処理される前に、より古いＡＣＫ／ＳＡＣＫメッセージが適切に処理されることを確実にできる。より古い、おそらくは古くなったＡＣＫ／ＳＡＣＫメッセージが処理されている間に、ネットワークコンピューティングシステム４０１は同時にエンドノード４１５がセキュリティへの脅威であると決定できる。

【0071】

しかし、幾つかのケースにおいては、エンドノード４１５は意図的にネットワークコンピューティングシステム４０１を攻撃していないことがある。例えば、エンドノード４１５により送られたＡＣＫ／ＳＡＣＫメッセージは、故障または狭帯域幅ネットワークリンクのために遅延されていることもあり得る。例えば、ネットワークが重度に輻輳していることもあり得、あるタイプの干渉に遭遇していることもあり得る。そのため、ＡＣＫ／ＳＡＣＫメッセージが大きな束となって到着することもあり得る。セキュリティ脅威識別モジュール４１１はエンドノード４１５にセキュリティへの脅威として標識を付け、１つ以上の軽減行動４１３を開始できる。しかし、ネットワークコンピューティングシステム４０１はエンドノード４１５の監視を継続することができ、時間の経過において、ノード４１５により送られた肯定応答メッセージが確立された閾値より低い通常のレベルに戻れば、セキュリティ脅威識別モジュールは、そのノードがもはやセキュリティへの脅威ではないと再分類する。

【0072】

更に、閾値自身を時間の経過において変更することができる。そのようなケースにおいては、１つ以上の閾値を超えていると分類されたエンドノードはもはやそれらの閾値を超えることはない。そのため、エンドノードを非脅威として再分類できる。閾値４０９は、例えば、ネットワークコンピューティングシステム４０１における現在の動作状況のために変更できる。ネットワークコンピューティングシステム４０１が高いＣＰＵ負荷の状況の場合、例えば、閾値４０９を動的に低くすることができる。または、ネットワークコンピューティングシステム４０１が軽い負荷を受けている場合、より多くのコンピューティングパワーがセンドマップの変更を処理するために利用可能なので、閾値４０９を動的に高めることができる。

【0073】

閾値がより高いケースにおいては、エンドノードをセキュリティへの脅威と誤って識別し、それらのサービスの現在のレベルを低め、または削除する可能性はより低い。例えば、ＳＡＣＫ対ＡＣＫ比が９９％に設定された場合、攻撃者を識別するためにはより長い時間がかかる可能性があるが、ネットワークコンピューティングシステム４０１が誤検出をする可能性はより低くなる。追加的に、または代替的に、センドマップ（またはデータツリー）のサイズを考慮することができる。ほとんどのエンドポイント、例えば、高いレベルのデータ損失に遭遇しないエンドポイントは非常に小さいセンドマップを有する。そのため、監視を開始するためにさえ必要とされるセンドマップエントリ数の閾値が増大されると、増大された制限が、通常は損失回復の間に高いＳＡＣＫ対ＡＣＫ比に達する可能性のある多数の接続を消去し得る。しかし、センドマップのサイズは依然として相対的に小さいので、そのセンドマップを維持するためのコンピューティング負担は低くいままである。そして、そのため、ＳＡＣＫ対ＡＣＫ比が比較的に高くても、サイズはある閾値サイズ未満なので、送っているノードは攻撃者とは識別されない。

【0074】

そのため、ネットワークコンピューティングシステム４０１は、時間の経過において、および異なる状況または誘発イベントに基づいて閾値４０９を変更できる。幾つかのケースにおいては、各カウンタに対する閾値は方針において詳細が明らかにされる。これらの方針は、図４の閾値更新モジュール４１９により更新できる。そして、方針において指定されている更新された閾値４２２は、閾値が超えられたかどうかを決定するときに閾値監視モジュール４１０により実現される。閾値もまたどの位速く攻撃者を識別するか、またはどの位速く、不良接続のために多数のＡＣＫ／ＳＡＣＫを供給している非脅威ノードを、非脅威として適切に分類されるかを変更するために変えることができる。そのため、閾値を設定してあとは意識する必要はなく、または、ＣＰＵまたはメモリ帯域幅または指定された誘発イベントの発生（例えば、指定された国におけるノードから、または指定されたブラウザから、またはＩＰアドレスのあるバンクからパケットを受信すること）などのような現在の状況に基づいて動的に変えることができる。

【0075】

１つの実施形態においては、方法５００が動作するネットワークコンピューティングシステムは、トランスポートプロトコルを介してデータを送信および受信するネットワークアダプタ、ネットワークアダプタにおいて受信したデータを少なくとも一時的には格納するメモリ装置、および、受信データの少なくとも幾つかを処理するプロセッサを含んでおり、ネットワークノードからネットワークアダプタにおいて受信した選択的肯定応答（ＳＡＣＫ）メッセージに、ＳＡＣＫメッセージを処理するときに実行される動作機能に対する１つ以上の閾値を識別する１つ以上のトランスポートプロトコル発見的方法を適用することと、ネットワークノードから受信したＳＡＣＫメッセージに１つ以上のトランスポートプロトコル発見的方法を適用することにより、トランスポートプロトコル発見的方法の１つ以上に対する閾値が到達されたと決定することと、閾値の１つ以上が到達されたと決定することに応答して、ネットワークノードをセキュリティへの脅威として識別し、セキュリティへの脅威を軽減するために１つ以上の救済行動を取ることを含んでいる。

【0076】

対応する非一時的コンピュータ読み取り可能媒体は１つ以上のコンピュータ実行可能命令を含んでおり、このコンピュータ実行可能命令は、コンピューティング装置の少なくとも１つのプロセッサにより実行されるとそのコンピューティング装置に、ネットワークノードからネットワークアダプタにおいて受信した選択的肯定応答（ＳＡＣＫ）メッセージに、ＳＡＣＫメッセージを処理するときに実行される動作機能に対する１つ以上の閾値を識別する１つ以上のトランスポートプロトコル発見的方法を適用させ、ネットワークノードから受信したＳＡＣＫメッセージに１つ以上のトランスポートプロトコル発見的方法を適用することにより、トランスポートプロトコル発見的方法の１つ以上に対する閾値が到達されたと決定させ、閾値の１つ以上が到達されたと決定することに応答して、ネットワークノードをセキュリティへの脅威として識別させ、セキュリティへの脅威を軽減するために１つ以上の救済行動を取らせる。

【0077】

従って、ここにおいて記述されている方法とシステムは、多様な異なるトランスポートプロトコル発見的方法を使用して攻撃者を検出できる。これらの発見的方法は、肯定応答メッセージが受信されたときに取られるある行動に対する閾値を定義する。それらの閾値量が満たされると、ノードは攻撃者として識別され、将来の悪意のある行動に対して監視される。ノードの行動が通常に戻ると、そのノードはもはや脅威としては分類されない。更に、メッセージを処理するシステムの能力が増大すると、または他の方針の条件が満たされると、閾値を変えることができ、脅威として分類されたノードはもはやそのようには分類されない。この機能は、センドマップエントリの総数に制限を課すことなく、または、ＳＡＣＫを割り当てることができるセンドマップエントリ数を制限することなく提供される。

【0078】

例としての実施形態

【0079】

１．ネットワークコンピューティングシステムであって、トランスポートプロトコルを介してデータを送信および受信するネットワークアダプタと、ネットワークアダプタにおいて受信したデータを少なくとも一時的には格納するメモリ装置と、受信データの少なくとも幾つかを処理するプロセッサを備え、ネットワークノードからネットワークアダプタにおいて受信した選択的肯定応答（ＳＡＣＫ）メッセージに、ＳＡＣＫメッセージを処理するときに実行される動作機能に対する１つ以上の閾値を識別する１つ以上のトランスポートプロトコル発見的方法を適用することと、ネットワークノードから受信したＳＡＣＫメッセージに１つ以上のトランスポートプロトコル発見的方法を適用することにより、トランスポートプロトコル発見的方法の１つ以上に対する閾値が到達されたと決定することと、閾値の１つ以上が到達されたと決定することに応答して、ネットワークノードをセキュリティへの脅威として識別することと、セキュリティへの脅威を軽減するために１つ以上の救済行動を取ることを含んでいる。

【0080】

２．請求項１のネットワークコンピューティングシステムであって、ＳＡＣＫメッセージに１つ以上のトランスポートプロトコル発見的方法を適用することは、ＳＡＣＫメッセージが処理されるときの動作機能と関連付けられている１つ以上のカウンタを増加することを含んでいる。

【0081】

３．請求項２のネットワークコンピューティングシステムであって、カウンタは、トランスポートプロトコル発見的方法の１つ以上に対する閾値がいつ到達されたかを示している。

【0082】

４．請求項２のネットワークコンピューティングシステムであって、カウンタの１つ以上は、肯定応答（ＡＣＫ）メッセージを受信すると修正される。

【0083】

５．請求項１のネットワークコンピューティングシステムであって、セキュリティへの脅威は、ネットワークコンピューティングシステムに対して攻撃を実行している攻撃ノードを備えている。

【0084】

６．請求項１のネットワークコンピューティングシステムであって、セキュリティへの脅威を軽減するために使用される１つ以上の救済行動の少なくとも１つは、ネットワークノードから受信したＳＡＣＫメッセージの少なくとも幾つかを無視することを備えている。

【0085】

７．請求項１のネットワークコンピューティングシステムであって、ＳＡＣＫメッセージを処理するときに実行される動作機能に対する閾値の少なくとも１つは、ＡＣＫ位置をセンドマップ内で移動すべきかどうかの指標を備えている。

【0086】

８．請求項７のネットワークコンピューティングシステムであって、ＳＡＣＫメッセージを処理するときに実行される動作機能に対する閾値の少なくとも１つは、ＡＣＫ位置をセンドマップ内でどの位の距離だけ移動すべきかの測定値を備えている。

【0087】

９．請求項１のネットワークコンピューティングシステムであって、ＳＡＣＫメッセージを処理するときに実行される動作機能に対する閾値の少なくとも１つは、指定された時間期間内に幾つのＳＡＣＫメッセージが受信されるかの指標を備えている。

【0088】

１０．請求項１のネットワークコンピューティングシステムであって、以前に受信したＳＡＣＫメッセージを除去するためにＳＡＣＫメッセージをフィルタ処理することを更に備えている。

【0089】

１１．請求項１０のネットワークコンピューティングシステムであって、ＳＡＣＫメッセージをフィルタ処理することは更に、重複するＳＡＣＫメッセージを除去することを備えている。

【0090】

１２．請求項１０のネットワークコンピューティングシステムであって、ＳＡＣＫメッセージを処理するときに実行される動作機能に対する閾値の少なくとも１つは、指定された時間期間内に幾つのＳＡＣＫメッセージがフィルタ処理されたかの指標を備えている。

【0091】

１３．コンピュータにより実現される方法であって、ネットワークノードからネットワークアダプタにおいて受信した選択的肯定応答（ＳＡＣＫ）メッセージに、ＳＡＣＫメッセージを処理するときに実行される動作機能に対する１つ以上の閾値を識別する１つ以上のトランスポートプロトコル発見的方法を適用することと、ネットワークノードから受信したＳＡＣＫメッセージに１つ以上のトランスポートプロトコル発見的方法を適用することにより、トランスポートプロトコル発見的方法の１つ以上に対する閾値が到達されたと決定することと、閾値の１つ以上が到達されたと決定することに応答して、ネットワークノードをセキュリティへの脅威として識別することと、セキュリティへの脅威を軽減するための１つ以上の救済行動を取ることを備えている。

【0092】

１４．請求項１３のコンピュータにより実現される方法であって、トランスポートプロトコル発見的方法の１つ以上に対する閾値が到達されたと決定することは、ネットワークノードがセンドマップのサイズを増大するために、複数のセンドの試みを承認しようと試みていると決定することを含んでいる。

【0093】

１５．請求項１４のコンピュータにより実現される方法であって、ＡＣＫまたはＳＡＣＫメッセージと関連付けられている１つ以上のカウンタを減少するために崩壊ファクタをセンドマップに追加することを更に備えている。

【0094】

１６．請求項１５のコンピュータにより実現される方法であって、ＡＣＫまたはＳＡＣＫメッセージが除去されている間に、ネットワークノードはセキュリティへの脅威として識別される。

【0095】

１７．請求項１６のコンピュータにより実現される方法であって、閾値がネットワークノードによりもはや満たされないと決定すると、それに続いて、ネットワークノードはセキュリティへの脅威として分類されることから解消される。

【0096】

１８．請求項１３のコンピュータにより実現される方法であって、ＳＡＣＫメッセージを処理するときに実行される動作機能に対する閾値の少なくとも１つは、ネットワークコンピューティングシステムにおける１つ以上の現在の動作状況に基づいて動的に変更される。

【0097】

１９．請求項１３のコンピュータにより実現される方法であって、ＳＡＣＫメッセージを処理するときに実行される動作機能に対する閾値の少なくとも１つは、指定されたトリガの発生に基づいて動的に変更される。

【0098】

２０．１つ以上のコンピュータ実行可能命令を備えている非一時的コンピュータ読み取り可能媒体であって、１つ以上のコンピュータ実行可能命令はコンピューティング装置の少なくとも１つのプロセッサにより実行されると、そのコンピューティング装置に、ネットワークノードからネットワークアダプタにおいて受信した選択的肯定応答（ＳＡＣＫ）メッセージに、ＳＡＣＫメッセージを処理するときに実行される動作機能に対する１つ以上の閾値を識別する１つ以上のトランスポートプロトコル発見的方法を適用させ、ネットワークノードから受信したＳＡＣＫメッセージに１つ以上のトランスポートプロトコル発見的方法を適用することにより、トランスポートプロトコル発見的方法の１つ以上に対する閾値が到達されたと決定させ、閾値の１つ以上が到達されたと決定することに応答して、ネットワークノードをセキュリティへの脅威として識別させ、セキュリティへの脅威を軽減するための１つ以上の救済行動を取らせる。

【0099】

上記に詳述したように、ここにおいて記述、および／または、例示されているコンピューティング装置とシステムは、ここにおいて記述されているモジュール内に含まれているようなコンピュータ読み取り可能命令を実行できるコンピューティング装置またはシステムの任意のタイプまたは形状を広く表わしている。それらの最も基本的な構成においては、これらのコンピューティング装置はそれぞれ少なくとも１つのメモリ装置と少なくとも１つの物理プロセッサを含むことができる。

【0100】

幾つかの例においては、「メモリ装置」という用語は一般的に、データおよび／またはコンピュータ読み取り可能命令を格納できる揮発性または不揮発性格納装置または媒体の任意のタイプまたは形状を指している。１つの例においては、メモリ装置は、ここにおいて記述されているモジュールの１つ以上を格納、ロード、および／または維持できる。メモリ装置の例としては、制限されることはないが、ランダムアクセスメモリ（ＲＡＭ）、リードオンリメモリ（ＲＯＭ）、フラッシュメモリ、ハードディスクドライブ（ＨＤＤ）、ソリッドステートドライブ（ＳＳＤ）、光ディスクドライブ、キャッシュ、それらの１つ以上の変形または組合わせ、または、任意の他の適切な格納メモリが含まれる。

【0101】

幾つかの例においては、「物理プロセッサ」という用語は一般的に、コンピュータ読み取り可能命令を解釈および／または実行できるハードウェアにより実現される処理ユニットの任意のタイプまたは形状を指している。１つの例においては、物理プロセッサは、上記のメモリ装置に格納されている１つ以上のモジュールにアクセスでき、および／または、それを修正できる。物理プロセッサの例としては、制限されることはないが、マイクロプロセッサ、マイクロコントローラ、中央演算処理装置（ＣＰＵ）、ソフトコアプロセッサを実現するフィールドプログラマブルゲートアレイ（ＦＰＧＡ）、特定用途向け集積回路（ＡＳＩＣ）、それらの１つ以上の部分、それらの１つ以上の変形または組み合わせ、または任意の他の適切な物理プロセッサが含まれる。

【0102】

別個の要素として例示されているが、ここにおいて記述および／または例示されているモジュールは、単一のモジュールまたはアプリケーションの部分を表わすことができる。加えて、ある実施形態においては、これらのモジュールの１つ以上は、コンピューティング装置により実行されると、そのコンピューティング装置に１つ以上のタスクを実行させる１つ以上のソフトウェアアプリケーションまたはプログラムを表わすことができる。例えば、ここにおいて記述および／または例示されているモジュールの１つ以上は、ここにおいて記述および／または例示されているコンピューティング装置またはシステムの１つ以上に格納され、そこで動作するように構成されているモジュールを表わすことができる。これらのモジュールの１つ以上はまた、１つ以上のタスクを実行するように構成されている１つ以上の特殊目的コンピュータのすべてまたは一部を表わすことができる。

【0103】

加えて、ここにおいて記述されているモジュールの１つ以上は、データ、物理装置、および／または、物理装置の表現を１つの形状から他の形状に変換できる。例えば、ここにおいて詳述されているモジュール１つ以上は、変換されるデータを受信でき、データを変換でき、発見的方法を適用するために変換の結果を出力でき、セキュリティへの脅威を識別するために変換の結果を使用でき、将来のセキュリティへの脅威を識別するために変換の結果を格納できる。追加的に、または代替的に、ここにおいて詳述されているモジュールの１つ以上は、コンピューティング装置上で実行されること、コンピューティング装置上にデータを格納すること、および／または、コンピューティング装置と相互作用することにより、プロセッサ、揮発性メモリ、不揮発性メモリ、および／または物理コンピューティング装置の任意の他の部分を１つの形状から他の形状に変換できる。

【0104】

幾つかの実施形態においては、「コンピュータ読み取り可能媒体」という用語は一般的に、コンピュータ読み取り可能命令を格納または搬送できる装置、担体、または媒体の任意の形状を指している。コンピュータ読み取り可能媒体の例としては、制限されることはないが、搬送波などのような送信型媒体、磁気格納媒体（例えば、ハードディスクドライブ、テープドライブ、およびフロッピー（登録商標）ディスク）などのような非一時的型媒体、光格納媒体（例えば、コンパクトディスク（ＣＤ）、デジタルビデオディスク（ＤＶＤ）、およびブルーレイディスク）、電子格納媒体（例えば、ソリッドステートドライブとフラッシュ媒体）、および他の配信システムが含まれる。

【0105】

ここにおいて記述および／または例示されているプロセスパラメータとステップのシーケンスは例としてのみの目的のために提示されており必要に応じて変えることができる。例えば、ここにおいて例示および／または記述されているステップは、特別な順序で示すまたは検討することができ、これらのステップは例示または検討されている順序で必ずしも実行される必要はない。ここにおいて記述および／または例示されている種々の例としての方法はまた、ここにおいて記述または例示されているステップの１つ以上を省略でき、または、開示されているそれらのステップに加えて追加的ステップを含むことができる。

【0106】

前記の記述は、ここにおいて開示されている例としての実施形態の種々の態様を当業者が最も良好に利用することを可能にするために提供されている。この例としての記述はすべてを網羅していることは意図されておらず、また、開示されている何れの正確な形状に制限されることは意図されていない。多数の修正および変形が本開示の精神と範囲から逸脱することなく可能である。ここにおいて開示されている実施形態は、すべての態様において例示であり制限的ではないと考えられるべきである。本開示の範囲を決定するときは、付随する請求項とその等価物を参照すべきである。

【0107】

別途明記されない限り、明細書と請求項において使用されているような「～に接続されている」と「～に結合されている」（およびそれらの派生語）という用語は、直接および間接的（つまり、他の要素または構成要素を介する）接続の両方を可能とするものとして解釈されるべきである。加えて、明細書と請求項において使用されているような「１つの」という用語は「少なくとも１つの」を意味していると解釈されるべきである。最後に、使用を簡単にするために、明細書と請求項において使用されているような「含んでいる」と「有している」（およびそれらの派生語）という用語は、「備えている」という用語と相互に交換可能であり、同じ意味を有している。
以下、本発明の好ましい実施形態を項分け記載する。
実施形態１
ネットワークコンピューティングシステムであって、
トランスポートプロトコルを介してデータを送信および受信するネットワークアダプタと、
前記ネットワークアダプタにおいて受信したデータを少なくとも一時的には格納するメモリ装置と、
前記受信したデータの少なくとも幾つかを処理するプロセッサを備え、
ネットワークノードから前記ネットワークアダプタにおいて受信した選択的肯定応答（ＳＡＣＫ）メッセージに、前記ＳＡＣＫメッセージを処理するときに実行される動作機能に対する１つ以上の閾値を識別する１つ以上のトランスポートプロトコル発見的方法を適用することと、
前記ネットワークノードから受信した前記ＳＡＣＫメッセージに前記１つ以上のトランスポートプロトコル発見的方法を適用することにより、前記トランスポートプロトコル発見的方法の１つ以上に対する前記閾値が到達されたと決定することと、
前記閾値の１つ以上が到達されたと決定することに応答して、
前記ネットワークノードをセキュリティへの脅威として識別することと、
前記セキュリティへの脅威を軽減するために１つ以上の救済行動を取ることを含んでいることを特徴とするネットワークコンピューティングシステム。
実施形態２
前記ＳＡＣＫメッセージに前記１つ以上のトランスポートプロトコル発見的方法を適用することは、前記ＳＡＣＫメッセージが処理されるときの前記動作機能と関連付けられている１つ以上のカウンタを増加することを含んでいることを特徴とする、実施形態１に記載のネットワークコンピューティングシステム。
実施形態３
前記カウンタは、前記トランスポートプロトコル発見的方法の１つ以上に対する前記閾値がいつ到達されたかを示していることを特徴とする、実施形態２に記載のネットワークコンピューティングシステム。
実施形態４
前記カウンタの１つ以上は、肯定応答（ＡＣＫ）メッセージを受信すると修正されることを特徴とする、実施形態２に記載のネットワークコンピューティングシステム。
実施形態５
前記セキュリティへの脅威は、前記ネットワークコンピューティングシステムに対して攻撃を実行している攻撃ノードを備えていることを特徴とする、実施形態１に記載のネットワークコンピューティングシステム。
実施形態６
前記セキュリティへの脅威を軽減するために使用される前記１つ以上の救済行動の少なくとも１つは、前記ネットワークノードから受信した前記ＳＡＣＫメッセージの少なくとも幾つかを無視することを備えていることを特徴とする、実施形態１に記載のネットワークコンピューティングシステム。
実施形態７
前記ＳＡＣＫメッセージを処理するときに実行される動作機能に対する前記閾値の少なくとも１つは、ＡＣＫ位置をセンドマップ内で移動すべきかどうかの指標を備えていることを特徴とする、実施形態１に記載のネットワークコンピューティングシステム。
実施形態８
前記ＳＡＣＫメッセージを処理するときに実行される動作機能に対する前記閾値の少なくとも１つは、前記ＡＣＫ位置を前記センドマップ内でどの位の距離だけ移動すべきかの測定値を備えていることを特徴とする、実施形態７に記載のネットワークコンピューティングシステム。
実施形態９
前記ＳＡＣＫメッセージを処理するときに実行される動作機能に対する前記閾値の少なくとも１つは、指定された時間期間内に幾つのＳＡＣＫメッセージが受信されるかの指標を備えていることを特徴とする、実施形態１に記載のネットワークコンピューティングシステム。
実施形態１０
以前に受信したＳＡＣＫメッセージを除去するために前記ＳＡＣＫメッセージをフィルタ処理することを更に備えていることを特徴とする、実施形態１に記載のネットワークコンピューティングシステム。
実施形態１１
前記ＳＡＣＫメッセージをフィルタ処理することは更に、重複するＳＡＣＫメッセージを除去することを備えていることを特徴とする、実施形態１０に記載のネットワークコンピューティングシステム。
実施形態１２
前記ＳＡＣＫメッセージを処理するときに実行される動作機能に対する前記閾値の少なくとも１つは、指定された時間期間内に幾つのＳＡＣＫメッセージがフィルタ処理されたかの指標を備えていることを特徴とする、実施形態１０に記載のネットワークコンピューティングシステム。
実施形態１３
コンピュータにより実現される方法であって、
ネットワークノードからネットワークアダプタにおいて受信した選択的肯定応答（ＳＡＣＫ）メッセージに、前記ＳＡＣＫメッセージを処理するときに実行される動作機能に対する１つ以上の閾値を識別する１つ以上のトランスポートプロトコル発見的方法を適用することと、
前記ネットワークノードから受信した前記ＳＡＣＫメッセージに前記１つ以上のトランスポートプロトコル発見的方法を適用することにより、前記トランスポートプロトコル発見的方法の１つ以上に対する前記閾値が到達されたと決定することと、
前記閾値の１つ以上が到達されたと決定することに応答して、
前記ネットワークノードをセキュリティへの脅威として識別することと、
前記セキュリティへの脅威を軽減するための１つ以上の救済行動を取ることを備えていることを特徴とするコンピュータにより実現される方法。
実施形態１４
前記トランスポートプロトコル発見的方法の１つ以上に対する前記閾値が到達されたと決定することは、前記ネットワークノードがセンドマップのサイズを増大するために、複数のセンドの試みを承認しようと試みていると決定することを含んでいることを特徴とする、実施形態１３に記載のコンピュータにより実現される方法。
実施形態１５
ＡＣＫまたはＳＡＣＫメッセージと関連付けられている１つ以上のカウンタを減少するために崩壊ファクタを前記センドマップに追加することを更に備えていることを特徴とする、実施形態１４に記載のコンピュータにより実現される方法。
実施形態１６
前記ＡＣＫまたはＳＡＣＫメッセージが除去されている間に、前記ネットワークノードはセキュリティへの脅威として識別されることを特徴とする、実施形態１５に記載のコンピュータにより実現される方法。
実施形態１７
前記閾値が前記ネットワークノードによりもはや満たされないと決定すると、それに続いて、前記ネットワークノードはセキュリティへの脅威として分類されることから解消されることを特徴とする、実施形態１６に記載のコンピュータにより実現される方法。
実施形態１８
前記ＳＡＣＫメッセージを処理するときに実行される動作機能に対する前記閾値の少なくとも１つは、前記ネットワークコンピューティングシステムにおける１つ以上の現在の動作状況に基づいて動的に変更されることを特徴とする、実施形態１３に記載のコンピュータにより実現される方法。
実施形態１９
前記ＳＡＣＫメッセージを処理するときに実行される動作機能に対する前記閾値の少なくとも１つは、指定されたトリガの発生に基づいて動的に変更されることを特徴とする、実施形態１３に記載のコンピュータにより実現される方法。
実施形態２０
１つ以上のコンピュータ実行可能命令を備えている非一時的コンピュータ読み取り可能媒体であって、前記１つ以上のコンピュータ実行可能命令はコンピューティング装置の少なくとも１つのプロセッサにより実行されると、前記コンピューティング装置に、
ネットワークノードからネットワークアダプタにおいて受信した選択的肯定応答（ＳＡＣＫ）メッセージに、前記ＳＡＣＫメッセージを処理するときに実行される動作機能に対する１つ以上の閾値を識別する１つ以上のトランスポートプロトコル発見的方法を適用させ、
前記ネットワークノードから受信した前記ＳＡＣＫメッセージに前記１つ以上のトランスポートプロトコル発見的方法を適用することにより、前記トランスポートプロトコル発見的方法の１つ以上に対する前記閾値が到達されたと決定させ、前記閾値の１つ以上が到達されたと決定することに応答して、
前記ネットワークノードをセキュリティへの脅威として識別させ、
前記セキュリティへの脅威を軽減するための１つ以上の救済行動を取らせることを特徴とする非一時的コンピュータ読み取り可能媒体。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8A】

【図8B】

【図9】