特表 2017-528996 ＤＤｏＳ攻撃検出のための方法および装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】特表2017-528996(P2017-528996A)

(43)【公表日】2017年9月28日

(54)【発明の名称】ＤＤｏＳ攻撃検出のための方法および装置

(51)【国際特許分類】

   H04L 12/70 20130101AFI20170901BHJP

【ＦＩ】

   H04L12/70 100Z

【審査請求】有

【予備審査請求】未請求

【全頁数】18

(21)【出願番号】特願2017-513493(P2017-513493)

(86)(22)【出願日】2015年9月10日

(85)【翻訳文提出日】2017年3月9日

(86)【国際出願番号】CN2015089334

(87)【国際公開番号】WO2016037579

(87)【国際公開日】20160317

(31)【優先権主張番号】201410465475.8

(32)【優先日】2014年9月12日

(33)【優先権主張国】CN

(81)【指定国】 AP(BW,GH,GM,KE,LR,LS,MW,MZ,NA,RW,SD,SL,ST,SZ,TZ,UG,ZM,ZW),EA(AM,AZ,BY,KG,KZ,RU,TJ,TM),EP(AL,AT,BE,BG,CH,CY,CZ,DE,DK,EE,ES,FI,FR,GB,GR,HR,HU,IE,IS,IT,LT,LU,LV,MC,MK,MT,NL,NO,PL,PT,RO,RS,SE,SI,SK,SM,TR),OA(BF,BJ,CF,CG,CI,CM,GA,GN,GQ,GW,KM,ML,MR,NE,SN,TD,TG),AE,AG,AL,AM,AO,AT,AU,AZ,BA,BB,BG,BH,BN,BR,BW,BY,BZ,CA,CH,CL,CN,CO,CR,CU,CZ,DE,DK,DM,DO,DZ,EC,EE,EG,ES,FI,GB,GD,GE,GH,GM,GT,HN,HR,HU,ID,IL,IN,IR,IS,JP,KE,KG,KN,KP,KR,KZ,LA,LC,LK,LR,LS,LU,LY,MA,MD,ME,MG,MK,MN,MW,MX,MY,MZ,NA,NG,NI,NO,NZ,OM,PA,PE,PG,PH,PL,PT,QA,RO,RS,RU,RW,SA,SC,SD,SE,SG,SK,SL,SM,ST,SV,SY,TH,TJ,TM,TN,TR,TT,TZ,UA,UG,US

(71)【出願人】

【識別番号】511273078

【氏名又は名称】エヌエスフォーカス インフォメーション テクノロジー カンパニー，リミテッド

【氏名又は名称原語表記】ＮＳＦＯＣＵＳ ＩＮＦＯＲＭＡＴＩＯＮ ＴＥＣＨＮＯＬＯＧＹ ＣＯ．，ＬＴＤ

(71)【出願人】

【識別番号】515056130

【氏名又は名称】エヌエスフォーカス テクノロジーズ インク

【氏名又は名称原語表記】ＮＳＦＯＣＵＳ ＴＥＣＨＮＯＬＯＧＩＥＳ，ＩＮＣ．

(74)【代理人】

【識別番号】100106297

【弁理士】

【氏名又は名称】伊藤 克博

(74)【代理人】

【識別番号】100129610

【弁理士】

【氏名又は名称】小野 暁子

(72)【発明者】

【氏名】チェン、 ハンビン

(72)【発明者】

【氏名】チェン、 ビン

(72)【発明者】

【氏名】ヘ、 クン

【テーマコード（参考）】

5K030

【Ｆターム（参考）】

5K030HA08

5K030JA10

5K030LE16

5K030MA04

5K030MB09

5K030MC08

(57)【要約】

ＤＤｏＳ攻撃の検出方法および装置が提供される。本方法は、サンプリングによって第１の期間内のターゲット時点のネットワークトラフィックを獲得する工程、それから予め獲得されたトラフィック期間変化曲線に照会する工程、ターゲット時点に対応する予測トラフィックを決定する工程、そして、サンプリングにより獲得されたネットワークトラフィックが決定された予測トラフィックよりも大きい場合、ＤＤｏＳ攻撃であると確定する工程を含む。各ターゲット時点においてＤＤｏＳ攻撃検出が行われる前に、トラフィック期間変化曲線に従ってターゲット時点に対応する予測トラフィックを決定することのみを必要とし、大量の履歴トラフィックデータに従って各ＤＤｏＳ攻撃検出の前に予測トラフィックを計算することなく、計算量が削減されるように、トラフィック期間変化曲線が、予測されるトラフィックの期間変化法則を示すために用いられる。

【特許請求の範囲】

【請求項1】

分散型サービス拒否（ＤＤｏＳ）攻撃検出のための方法であって：
サンプリングによって第１の期間内のターゲット時点におけるネットワークトラフィックを取得する工程；
ターゲット時点における予測トラフィックを決定するために、予め獲得されたトラフィック周期変動曲線に照会する工程であって、該トラフィック周期変動曲線が予測トラフィックの周期的な変化パターンを示すために用いられる工程；および
サンプリングによって得られたネットワークトラフィックが、決定された予測トラフィックよりも大きい場合、ＤＤｏＳ攻撃が検出される工程
を含む方法。

【請求項2】

ターゲット時点における予測トラフィックを決定するために、予め獲得されたトラフィック周期変動曲線に照会する前に、さらに：
第１の期間よりも前の第２の期間内におけるｎ個の時点におけるネットワークトラフィックＳ_ｉを得る工程であって、ここでｉ＝１，２，・・・ｎであり、ｎは自然数である工程；
トラフィック周期変動曲線｛ＴＥ_ｉ｜ｉ＝１，２，・・・，ｎ｝を得るために、式ＴＥ_ｉ＝αＳ_ｉ−１＋（１−α）ＴＥ_ｉ−１に従って計算を行う工程であって、ここでαは０＜α＜１の範囲における平滑化のための所定の減衰係数であり、そしてＴＥ_ｉはｉ番目の時点における予測トラフィックである工程
を含む、請求項１記載のＤＤｏＳ攻撃検出のための方法。

【請求項3】

トラフィック周期変動曲線｛ＴＥ_ｉ｜ｉ＝１，２，・・・，ｎ｝を得るために、式ＴＥ_ｉ＝αＳ_ｉ−１＋（１−α）ＴＥ_ｉ−１に従って計算を行う工程の後に、さらに：
ｉ番目の時点における残差Ｄ_ｉを得るために、式Ｄ_ｉ＝｜｛Ｓ_ｉ−ＴＥ_ｉ｝｜に従って計算を行う工程；
補正されたトラフィック周期変動曲線｛ＴＨ_ｉ｜ｉ＝１，２，・・・，ｎ｝を得るために、式ＴＨ_ｉ＝ＴＥ_ｉ＋ＭＡＸ（Ｄ_ｉ）に従ってトラフィック周期変動曲線を補正する工程であって、ここでＴＨ_ｉはｉ番目の時点における補正された予測トラフィックである工程
を含む、請求項２記載のＤＤｏＳ攻撃検出のための方法。

【請求項4】

第２の期間内のｎ個の時点が持続期間Ｇによって隔てられており、そして、ターゲット時点における予測トラフィックを決定する工程が：
ターゲット時点ｔ_ｃｕｒにおける予測トラフィックがＴＨ_ｃｕｒであると決定する工程であって、ここで

【数1】

である工程
を含む、請求項３記載のＤＤｏＳ攻撃検出のための方法。

【請求項5】

ターゲット時期における予測トラフィックを決定するために、予め獲得されたトラフィック周期変動曲線に照会した後に、さらに：
第１の期間が予め定められたタイミングルールによって示されるトラフィック増加期間であり、かつ／またはターゲット時点がタイミングルールによって示されるトラフィック増加時点である場合、決定される予測トラフィックを引き上げる工程；
第１の期間が予め定められたタイミングルールによって示されるトラフィック減少期間であり、かつ／またはターゲット時点がタイミングルールによって示されるトラフィック減少時点である場合、決定される予測トラフィックを引き下げる工程
を含む、請求項１から４のいずれか一項に記載のＤＤｏＳ攻撃検出のための方法。

【請求項6】

分散型サービス拒否（ＤＤｏＳ）攻撃検出のための装置であって：
サンプリングによって第１の期間内のターゲット時点におけるネットワークトラフィックを取得するように構成された、サンプリングユニット；
ターゲット時点における予測トラフィックを決定するために、予め獲得されたトラフィック周期変動曲線に照会するように構成された決定ユニットであって、該トラフィック周期変動曲線が予測トラフィックの周期的な変化パターンを示すために用いられる、決定ユニット；および
サンプリングによって得られたネットワークトラフィックが、決定された予測トラフィックよりも大きい場合、ＤＤｏＳ攻撃を検出するように構成された、検出ユニット
を含む装置。

【請求項7】

さらに：
第１の期間よりも前の第２の期間内におけるｎ個の時期におけるネットワークトラフィックＳ_ｉを得るように構成された取得ユニットであって、ここでｉ＝１，２，・・・ｎであり、ｎは自然数である、取得ユニット；
トラフィック周期変動曲線｛ＴＥ_ｉ｜ｉ＝１，２，・・・，ｎ｝を得るために、式ＴＥ_ｉ＝αＳ_ｉ−１＋（１−α）ＴＥ_ｉ−１に従って計算を行うように構成された計算ユニットであって、ここでαは０＜α＜１の範囲における平滑化のための所定の減衰係数であり、そしてＴＥｉはｉ番目の時点における予測トラフィックである、計算ユニット
を含む、請求項６に記載のＤＤｏＳ攻撃検出のための装置。

【請求項8】

さらに：
ｉ番目の時点における残差Ｄ_ｉを得るために式Ｄ_ｉ＝｜｛Ｓ_ｉ−ＴＥ_ｉ｝｜に従って計算を行い；そして、補正トラフィック周期変動曲線｛ＴＨ_ｉ｜ｉ＝１，２，・・・，ｎ｝を得るために、式ＴＨ_ｉ＝ＴＥ_ｉ＋ＭＡＸ（Ｄ_ｉ）に従ってトラフィック周期変動曲線を補正するように構成された補正ユニットであって、ここでＴＨ_ｉがｉ番目の時点における補正された予測トラフィックである、補正ユニット
を含む、請求項７に記載のＤＤｏＳ攻撃検出のための装置。

【請求項9】

第２の期間内のｎ個の時点が持続期間Ｇによって隔てられており、そして
決定ユニットが、ターゲット時点ｔ_ｃｕｒにおける予測トラフィックがＴＨ_ｃｕｒであると決定するように特に構成されており、ここで

【数2】

である、請求項８に記載のＤＤｏＳ攻撃検出のための装置。

【請求項10】

さらに：
第１の期間が所定のタイミングルールにより示されるトラフィック増加期間である場合、および／もしくはターゲット時点がタイミングルールにより示されるトラフィック増加時点である場合、決定される予測トラフィックを引き上げ；そして／または、第１の期間が予め定められたタイミングルールにより示されるトラフィック減少期間である場合、および／もしくはターゲット時点がタイミングルールにより示されるトラフィック減少時点である場合、決定される予測トラフィックを引き下げるように構成された、調整ユニット
を含む、請求項６から９のいずれか一項に記載のＤＤｏＳ攻撃検出のための装置。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、ネットワークセキュリティ技術に関し、より詳細にはＤＤｏＳ攻撃検出のための方法および装置に関する。

【背景技術】

【0002】

分散型サービス拒否（ＤＤｏＳ）攻撃とは、正当なサービス要求を装って１または複数のターゲットサーバ上で膨大な量のサービスリソースを引き込む攻撃プラットフォームへと複数のコンピュータを統合することによって、正当なユーザがサーバからのサービス応答を得ることを妨げることを意味する。

【0003】

ＤＤｏＳ攻撃を防御する場合、通常、現在のネットワークトラフィックを調べてＤＤｏＳ攻撃を検出するために、バイパスネットワーク監視装置が使用される。特に、バイパスネットワーク監視装置は、ネットワークトラフィックをサンプリングし、サンプリング結果を現在の閾値と比較し、そして、その結果が現在の時点に対応する予測トラフィックよりも高い場合、ＤＤｏＳ攻撃が検出されたと判定する。

【0004】

従来技術では、最新の多数のサンプリングから得られた履歴ネットワークトラフィックに区間推定アルゴリズムまたは累積可変アルゴリズムを適用することによって、ＤＤｏＳ攻撃を検出する前に現在の時点に対応する予測トラフィックが得られる。したがって、従来技術では、ＤＤｏＳ攻撃検出が行われるたびに現在の時点の予測トラフィックが計算される必要があるが、これは事前に保存された広範な履歴トラフィックデータを必要とし、多量の計算を要求する。

【発明の概要】

【発明が解決しようとする課題】

【0005】

本開示は、ＤＤｏＳ攻撃検出が実行されるたびその前に、現在の時点における予測トラフィックを計算するのに多量の計算が必要となるという技術的課題を解決するための、ＤＤｏＳ攻撃検出のための方法および装置を提供する。

【課題を解決するための手段】

【0006】

本開示の第１の側面は、ＤＤｏＳ攻撃検出のための方法であって、以下を含む方法を提供する：

【0007】

サンプリングによって第１の期間内のターゲット時点におけるネットワークトラフィックを取得する工程；

【0008】

ターゲット時点における予測トラフィックを決定するために、予め獲得されたトラフィック周期変動曲線に照会する工程であって、前記トラフィック周期変動曲線が予測トラフィックの周期的な変化パターンを示すために用いられる工程；そして

【0009】

サンプリングによって得られたネットワークトラフィックが、決定された予測トラフィックよりも大きい場合、ＤＤｏＳ攻撃が検出される工程。

【0010】

本開示の別の側面は、ＤＤｏＳ攻撃検出のための装置であって、以下を含む装置を提供する：

【0011】

サンプリングによって第１の期間内のターゲット時点におけるネットワークトラフィックを取得するように構成された、サンプリングユニット；

【0012】

ターゲット時点における予測トラフィックを決定するために、予め獲得されたトラフィック周期変動曲線に照会するように構成された決定ユニットであって、前記トラフィック周期変動曲線が予測トラフィックの周期的な変化パターンを示すために用いられる、決定ユニット；および

【0013】

サンプリングによって得られたネットワークトラフィックが、決定された予測トラフィックよりも大きい場合、ＤＤｏＳ攻撃を検出するように構成された、検出ユニット。

【0014】

本開示において提供されるＤＤｏＳ攻撃検出のための方法および装置によれば、ターゲット時点における予測トラフィックが予め獲得されたトラフィック周期変動曲線に照会することによって決定される前に、第１の期間内のターゲット時点におけるネットワークトラフィックがサンプリングによって得られる。このようにしてサンプリングされたネットワークトラフィックが、このようにして決定された予測トラフィックよりも大きい場合、ＤＤｏＳ攻撃が検出される。トラフィック周期変動曲線が、予測トラフィックの周期的な変化パターンを示すために用いられるため、各ターゲット時点においてＤＤｏＳ攻撃検出を行う前に、膨大な量の履歴トラフィックデータに従って計算するのではなく、単にトラフィック周期変動曲線を利用するだけで、ターゲット時点に対応する予測トラフィックを決定することができ、それによって関係する計算の量を減らすことができる。ＤＤｏＳ攻撃の検出が、トラフィックの周期的な変化パターンに依拠するため、突発的なトラフィック増加が発生した場合、そのパターンに基づいてＤＤｏＳ攻撃を正しく識別することができ、それによって誤報を減らすことができる。

【図面の簡単な説明】

【0015】

【図1】図１は、本開示の一実施形態に従うＤＤｏＳ攻撃検出のための方法を示すフローチャートである。

【図2】図２は、本開示の別の実施形態に従うＤＤｏＳ攻撃検出のための方法を示すフローチャートである。

【図3】図３は、本開示の一実施形態に従うＤＤｏＳ攻撃検出のための装置を示す概略構成図である。

【図4】図４は、本開示の別の実施形態に従うＤＤｏＳ攻撃検出のための装置を示す概略構成図である。

【発明を実施するための形態】

【0016】

図１は、本開示の一実施形態に従うＤＤｏＳ攻撃検出のための方法を示すフローチャートである。この実施形態によって提供される方法は、図１に示すように、バイパスネットワーク監視装置によって実行されてもよく、それは以下を含む：

【0017】

１０１：サンプリングによって第１の期間内のターゲット時点におけるネットワークトラフィックを取得する工程；

【0018】

１０２：ターゲット時点における予測トラフィックを決定するために、予め獲得されたトラフィック周期変動曲線に照会する工程。

【0019】

この場合、トラフィック周期変動曲線は、予測トラフィックの周期的な変化パターン、特に、少なくとも１つの期間における個々の時点と予測トラフィック、すなわち、少なくとも１つの期間内の各時点における予測トラフィックとの間のマッピングを示すことが意図されている。

【0020】

任意選択的に、第１の期間内のターゲット時点におけるネットワークトラフィックがサンプリングされた後に、トラフィック周期変動曲線が得られているかどうかが判定され、そして、トラフィック周期変動曲線が得られている場合、ターゲット時点に対応する予測トラフィックが曲線に従って決定される。そうでない場合は、第１の期間より前の第２の期間内のｎ個の時点におけるネットワークトラフィックＳ_ｉが取得されるが、ここでｉ＝１，２，・・・，ｎであり、ｎは自然数である。それから、トラフィック周期変動曲線｛ＴＥ_ｉ｜ｉ＝１，２，・・・，ｎ｝を得るために式ＴＥ_ｉ＝αＳ_ｉ−１＋（１−α）ＴＥ_ｉ−１に従って計算が行われるが、ここでαは０＜α＜１の範囲、典型的には０．２から０．４の範囲における平滑化のための所定の減衰係数であり、ＴＥ_ｉは第１の期間内のｉ番目の時点における予測トラフィックである。こうして、予め獲得されたトラフィック周期変動曲線が照会され、ターゲット時点ｔ_ｃｕｒにおける予測トラフィックはＴＥ_ｃｕｒであると決定され、ここで

【数1】

である。第２の期間にはＤＤｏＳ攻撃がないことが確認されている。

【0021】

すなわち、本実施形態により提供される方法は、単に１つの期間で得られるネットワークトラフィックを計算することによってトラフィック周期変動曲線を得ることができ、そして、トラフィック周期変動曲線を再び計算しなければならないのではなく、既に得られているトラフィック周期変動曲線を活用することによって、次のＤＤｏＳ攻撃検出を達成することができ、こうして、システムリソースの消費を回避しながら、必要とされる計算量を減らすことができる。得られたトラフィック周期変動曲線を用いてＤＤｏＳを検出することにより、トラフィックの突発的な増加が通常のトラフィックに起因するものであるか否かを判定することができ、それにより誤報を減らすことができる。

【0022】

第２の期間内のｎ個の時点におけるネットワークトラフィックＳ_ｉの取得は、ｎ個の均等または不均等な間隔の時点でトラフィックＳ_ｉをサンプリングすることによって達成されうることに留意すべきである。

【0023】

また、得られるトラフィック周期変動曲線｛ＴＥ_ｉ｜ｉ＝１，２，・・・，ｎ｝は、本実施形態では離散点の集合であり、連続的なトラフィック周期変動曲線は、従来技術の曲線当てはめアルゴリズムのいずれかを参照することによって、さらに得られうることにも留意すべきである。

【0024】

１０３：サンプリングによって得られたネットワークトラフィックが、決定された予測トラフィックよりも大きい場合、ＤＤｏＳ攻撃が検出される。

【0025】

特に、サンプリングによって得られたネットワークトラフィックが、決定された予測トラフィックよりも大きいか否かが判定され、サンプリングによって得られたネットワークトラフィックが、決定された予測トラフィックよりも大きい場合、ＤＤｏＳ攻撃が検出される；そうでない場合、ネットワークトラフィックは正常であると判定される。

【0026】

本実施形態においては、ターゲット時点における予測トラフィックが予め獲得されたトラフィック周期変動曲線に照会することによって決定される前に、第１の期間内のターゲット時点におけるネットワークトラフィックがサンプリングによって取得される。このようにしてサンプリングされたネットワークトラフィックが、このようにして決定された予測トラフィックよりも大きい場合、ＤＤｏＳ攻撃が検出される。トラフィック周期変化曲線が、予測トラフィックの周期変化パターンを示すために用いられるため、各ターゲット時期においてＤＤｏＳ攻撃検出を行う前に、膨大な量の履歴トラフィックデータに従って計算するのではなく、単にトラフィック周期変化曲線を利用するだけで、ターゲット時期に対応する予測トラフィックを決定することができ、それによって、関係する計算の量を減らすことができる。さらに、得られたトラフィック周期変動曲線を活用してＤＤｏＳを検出することにより、トラフィックの突発的な増加が通常のトラフィックに起因するものであるか否かを判定することができ、それにより誤報を減らすことができる。

【0027】

図２は、本開示の一実施形態に従うＤＤｏＳ攻撃検出のための方法を示す別のフローチャートであり、図２に示されるように、本方法は以下を含む：

【0028】

２０１：トラフィック周期変動曲線を得るための計算を実行する工程。

【0029】

任意選択的に、データパケットが受信され、その内容が分析されて、データベースに保存される。それから、第２の期間内の各時点におけるネットワークトラフィックがデータベースから抽出されるが、ここで１つの期間は１日または１週間であり、第２の期間内の時点は持続期間Ｇによって隔てられている。抽出されたネットワークトラフィックはＳ_ｉとして表され、ここでｉ＝１，２，・・・ｎであり、ｎは抽出されたネットワークトラフィックの数に等しい自然数である。トラフィック周期変動曲線｛ＴＥ_ｉ｜ｉ＝１，２，・・・，ｎ｝を得るために式ＴＥ_ｉ＝αＳ_ｉ−１＋（１−α）ＴＥ_ｉ−１に従って計算が行われるが、ここでαは０＜α＜１の範囲における平滑化のための所定の減衰係数であり、そしてＴＥ_ｉはｉ番目の時期の予測トラフィックである。

【0030】

２０２：トラフィック周期変動曲線を補正する工程。

【0031】

特に、ｉ番目の時点における残差Ｄ_ｉを得るために式Ｄ_ｉ＝｜｛Ｓ_ｉ−ＴＥ_ｉ｝｜に従って計算を行う；トラフィック周期変動曲線は、補正トラフィック周期変動曲線｛ＴＨ_ｉ｜ｉ＝１，２，・・・，ｎ｝を得るために式ＴＨ_ｉ＝ＴＥ_ｉ＋ＭＡＸ（Ｄ_ｉ）に従って補正されるが、ここでＴＨ_ｉはｉ番目の時点における補正された予測トラフィックである。

【0032】

ｉ番目の時点における残差Ｄ_ｉが得られた後、第２の期間内のｎ個の時点におけるネットワークトラフィックＳ_ｉの突発的な増加の潜在的誤差が検定されることを理解すべきである。すなわち、式Ｄ_ｉ＝｜｛Ｓ_ｉ−ＴＥ_ｉ｝｜に従って計算を行い、ｉ番目の時点における残差Ｄ_ｉを得た後、以下の手順に従って、異常値がもしあれば、残差から取り除かれる：

【0033】

まず、中央値Ｄ_ｍｅｄ＝（Ｄ_ｍａｘ−Ｄ_ｍｉｎ）／２が決定され、ここでＤ_ｍａｘは計算された最大の残差を表し、Ｄ_ｍｉｎは計算された最小の残差を表す。

【0034】

それから、順番に以下を調べる：下部四分位数Ｄ_１＝（Ｄ_ｍｅｄ−Ｄ_ｍｉｎ）／２；

【0035】

上部四分位数Ｄ_２＝（Ｄ_ｍａｘ−Ｄ_ｍｅｄ）／２；および

【0036】

四分位範囲ΔＱ＝Ｄ_２−Ｄ_１。

【0037】

最後に、範囲［Ｄ_１−１．５ΔＱ，Ｄ_２＋１．５ΔＱ］が確立され、残差Ｄ_ｉは、もしそれが範囲内に収まれば、保持されるべき有効な値であり、または、もしそれが範囲外の場合には、取り除かれるべき無効または「異常」な値である。

【0038】

２０３：ターゲット時点における予測トラフィックを決定するために、トラフィック周期変動曲線に照会する工程。

【0039】

特に、ターゲット時点における予測トラフィックｔ_ｃｕｒはＴＨ_ｃｕｒであると決定され、ここで

【数2】

である。

【0040】

２０４：所定のタイミングルールに従って、ターゲット時点における予測トラフィックを調整する工程。

【0041】

特に、１年などの期間中の特別な日の特別な時点においてネットワークトラフィックが突発的に増加することが予想される状況に対処するため。つまり、このような状況が発生すると、ネットワークトラフィックの周期パターンが乱される。異なるサービスを提供する異なるサーバを考慮すれば、ネットワークトラフィックが変化する大きさと時間区間もまた異なりうる。しかし、そのようなネットワークトラフィックの増加は、ＤＤｏＳ攻撃の結果ではなく、予想されるものである。そのような状況を考慮するため、動的調整機構が設けられる。すなわち、第１の期間が所定のタイミングルールにより示されるトラフィック増加期間である場合、および／もしくはターゲット時点がタイミングルールにより示されるトラフィック増加時点である場合、決定される予測トラフィックは引き上げられうる；そして／または、第１の期間が予め定められたタイミングルールにより示されるトラフィック減少期間である場合、および／もしくはターゲット時点がタイミングルールにより示されるトラフィック減少時点である場合、決定される予測トラフィックは引き下げられうる。予測トラフィックが特別なタイミングルールに基づいて調整されるため、予測トラフィックの周期的変化パターンは精度の点でさらに改善され、運用および保守要員の作業負荷が軽減されうる。

【0042】

２０５：ターゲット時点における調整された予測トラフィックに従ってＤＤｏＳ攻撃を検出する工程。

【0043】

特に、サンプリングによって得られたネットワークトラフィックが、決定された予測トラフィックよりも大きいか否かが判定され、サンプリングによって得られたネットワークトラフィックが、決定された予測トラフィックよりも大きい場合、ＤＤｏＳ攻撃が検出される。そうでない場合、ネットワークトラフィックは正常であると決定される。

【0044】

工程２０３から２０５は、予め定められた期間、例えば、前述の持続期間Ｇで反復されてもよいことに留意すべきである。

【0045】

この実施形態においては、ターゲット時点における予測トラフィックが予め獲得されたトラフィック周期変動曲線に照会することによって決定される前に、第１の期間内のターゲット時点におけるネットワークトラフィックがサンプリングによって取得される。このようにしてサンプリングされたネットワークトラフィックが、このようにして決定された予測トラフィックよりも大きい場合、ＤＤｏＳ攻撃が検出される。トラフィック周期変動曲線が、予測トラフィックの周期的な変化パターンを示すために用いられるため、各ターゲット時点においてＤＤｏＳ攻撃検出を行う前に、膨大な量の履歴トラフィックデータに従って計算するのではなく、単にトラフィック周期変動曲線を利用するだけで、ターゲット時点に対応する予測トラフィックを決定することができ、それによって、関係する計算の量を減らすことができる。さらに、履歴トラフィック動向を活用してＤＤｏＳを検出することは、トラフィックの突発的な増加が、予想されるトラフィックに起因するのか、ＤＤｏＳ攻撃に起因するのかを効果的に調べることも助ける。また、予測トラフィックが特別なタイミングルールに基づいて調整されるため、予測トラフィックの周期的な変化パターンを精度の点でさらに向上させることができる。

【0046】

図３は、本開示の一実施形態に従うＤＤｏＳ攻撃検出のための装置を示す概略構成図である。本実施形態で提供される装置は、バイパスネットワーク監視装置中に配置されてもよく、図３に示されるように、サンプリングユニット３１、決定ユニット３２、および検出ユニット３３を含んでいてもよい。

【0047】

サンプリングユニット３１は、サンプリングによって第１の期間内のターゲット時点におけるネットワークトラフィックを取得するように構成される。

【0048】

決定ユニット３２は、サンプリングユニット３１に接続され、予め獲得されたトラフィック周期変動曲線に照会して、ターゲット時期における予測トラフィックを決定するように構成される。

【0049】

この場合、トラフィック周期変動曲線は、予測トラフィックの周期的な変化パターン、そして特に、少なくとも１つの期間における個々の時点と予測トラフィック、すなわち、少なくとも１つの期間内の各時期における予測トラフィックとの間のマッピングを示すことが意図されている。

【0050】

任意選択的に、サンプリングユニット３１が第１の期間内のターゲット時点におけるネットワークトラフィックをサンプリングした後、決定ユニット３２が、トラフィック周期変動曲線が得られているかどうかを判定し、トラフィック周期変動曲線が得られている場合、その曲線に従ってターゲット時点に対応する予測トラフィックを決定する。そうでない場合、ＤＤｏＳ攻撃検出デバイス内の他のユニットが、第１の期間よりも前の第２の期間内のｎ個の時点におけるネットワークトラフィックＳ_ｉを取得するように誘発され、ここでｉ＝１，２，・・・ｎであり、ｎは自然数であり、そして、トラフィック周期変動曲線｛ＴＥ_ｉ｜ｉ＝１，２，・・・，ｎ｝を得るために式ＴＥ_ｉ＝αＳ_ｉ−１＋（１−α）ＴＥ_ｉ−１に従って計算を行うように誘発されるが、ここでαは０＜α＜１の範囲における平滑化のための所定の減衰係数であり、そしてＴＥ_ｉはｉ番目の時期における予測トラフィックである。よって、予め獲得されたトラフィック周期変動曲線が照会され、ターゲット時点ｔ_ｃｕｒにおける予測トラフィックがＴＥ_ｃｕｒであると決定され、ここで

【数3】

である。第２の期間にはＤＤｏＳ攻撃がないことが確認されている。

【0051】

第２の期間内のｎ個の時点におけるネットワークトラフィックＳ_ｉの取得は、ｎ個の均等または不均等な間隔の時点でトラフィックＳ_ｉをサンプリングすることによって達成されうることに留意すべきである。

【0052】

また、得られるトラフィック周期変動曲線｛ＴＥ_ｉ｜ｉ＝１，２，・・・，ｎ｝は、本実施形態では離散点の集合であり、連続的なトラフィック周期変動曲線は、従来技術の曲線当てはめアルゴリズムのいずれかを参照することによって、さらに得られうることにも留意すべきである。

【0053】

検出ユニット３３は、決定ユニット３２に接続され、そして、サンプリングにより得られたネットワークトラフィックが、決定された予測トラフィックよりも大きい場合、ＤＤｏＳ攻撃を検出するように構成される。

【0054】

特に、検出ユニット３３は、サンプリングにより得られたネットワークトラフィックが、決定された予測トラフィックよりも大きいか否かを判定し、そして、サンプリングにより得られたネットワークトラフィックが、決定された予測トラフィックよりも大きい場合にはＤＤｏＳ攻撃を報告し、そうでない場合は正常なネットワークトラフィックを報告する。

【0055】

この実施形態においては、ターゲット時点における予測トラフィックが予め獲得されたトラフィック周期変動曲線に照会することによって決定される前に、第１の期間内のターゲット時点におけるネットワークトラフィックがサンプリングによって取得される。このようにしてサンプリングされたネットワークトラフィックが、このようにして決定された予測トラフィックよりも大きい場合、ＤＤｏＳ攻撃が検出される。トラフィック周期変動曲線が、予測トラフィックの周期的な変化パターンを示すために用いられるため、各ターゲット時点においてＤＤｏＳ攻撃検出を行う前に、膨大な量の履歴トラフィックデータに従って計算するのではなく、単にトラフィック周期変動曲線を利用するだけで、ターゲット時期に対応する予測トラフィックを決定することができ、それによって、関係する計算の量を減らすことができる。さらに、履歴トラフィック動向を活用してＤＤｏＳを検出することは、突発的なトラフィックの増加が予想されるトラフィックに起因するのか、ＤＤｏＳ攻撃に起因するのかを効果的に調べることも助ける。

【0056】

図４は、本開示の別の実施形態に従うＤＤｏＳ攻撃検出のための装置を示す概略構成図である。先の実施形態を基礎として、この実施形態の装置は、取得ユニット４１、計算ユニット４２、および補正ユニット４３をさらに含む。

【0057】

取得ユニット４１は、第１の期間よりも前の第２の期間内のｎ個の時点におけるネットワークトラフィックＳ_ｉを取得するように構成され、

【0058】

ここでｉ＝１，２，・・・ｎであり、ｎは自然数である。

【0059】

計算ユニット４２は、取得ユニット４１に接続され、トラフィック周期変動曲線｛ＴＥ_ｉ｜ｉ＝１，２，・・・，ｎ｝を得るために式ＴＥ_ｉ＝αＳ_ｉ−１＋（１−α）ＴＥ_ｉ−１に従って計算を行うように構成される。

【0060】

この場合、αは０＜α＜１の範囲に収まる平滑化のための所定の減衰係数であり、ＴＥ_ｉはｉ番目の時点における予測トラフィックである。

【0061】

補正ユニット４３は、計算ユニット４２および決定ユニット３２に接続され、以下を行うように構成される：ｉ番目の時点における残差Ｄ_ｉを得るために式Ｄ_ｉ＝｜｛Ｓ_ｉ−ＴＥ_ｉ｝｜に従って計算を行う；そして、補正されたトラフィック周期変動曲線｛ＴＨ_ｉ｜ｉ＝１，２，・・・，ｎ｝を得るために、式ＴＨ_ｉ＝ＴＥ_ｉ＋ＭＡＸ（Ｄ_ｉ）に従ってトラフィック周期変動曲線を補正する。

【0062】

この場合、ＴＨ_ｉはｉ番目の時点における補正された予測トラフィックである。

【0063】

ｉ番目の時点における残差Ｄ_ｉが得られた後、第２の期間内のｎ個の時点におけるネットワークトラフィックＳ_ｉの突発的な増加の潜在的誤差が検定されることを理解すべきである。すなわち、式Ｄ_ｉ＝｜｛Ｓ_ｉ−ＴＥ_ｉ｝｜に従って計算を行い、ｉ番目の時点における残差Ｄ_ｉを得た後、補正ユニット４３は、以下の手順に従って、異常値がもしあれば、残差Ｄ_ｉから取り除く処理を行うことができる：

【0064】

まず、中央値Ｄ_ｍｅｄ＝（Ｄ_ｍａｘ−Ｄ_ｍｉｎ）／２が決定されるが、ここでＤ_ｍａｘは計算された最大の残差を表し、Ｄ_ｍｉｎは計算された最小の残差を表す。

【0065】

それから、順番に以下を調べる：下部四分位数Ｄ_１＝（Ｄ_ｍｅｄ−Ｄ_ｍｉｎ）／２；

【0066】

上部四分位数Ｄ_２＝（Ｄ_ｍａｘ−Ｄ_ｍｅｄ）／２；および

【0067】

四分位範囲ΔＱ＝Ｄ_２−Ｄ_１。

【0068】

最後に、範囲［Ｄ_１−１．５ΔＱ，Ｄ_２＋１．５ΔＱ］が決定され、残差Ｄ_ｉは、もしそれが範囲内に収まれば保持されるべき有効な値であり、または、もしそれが範囲外の場合には取り除かれるべき無効な値である。

【0069】

あるいは、ｉ番目の時点における残差Ｄ_ｉを計算により取得した後、前述の異常値を取り除くための処理を行うことなく、式ＴＨ_ｉ＝ＴＥ_ｉ＋ＭＡＸ（Ｄ_ｉ）に従ってトラフィック周期変動曲線を補正するために、処置を直接先へ進めてもよい。

【0070】

これに基づき、決定ユニット３２は、ターゲット時点ｔ_ｃｕｒの予測トラフィックがＴＨ_ｃｕｒであると決定するように特に構成され、ここで

【数4】

である。

【0071】

さらに、ＤＤｏＳ攻撃検出のための装置は、調整ユニット４４をさらに含む。

【0072】

調整ユニット４４は、決定ユニット３２に接続され、以下を行うように構成される：第１の期間が所定のタイミングルールにより示されるトラフィック増加期間である場合、および／もしくはターゲット時点がタイミングルールにより示されるトラフィック増加時点である場合、決定される予測トラフィックを引き上げる；そして／または、第１の期間が予め定められたタイミングルールにより示されるトラフィック減少期間である場合、および／もしくはターゲット時点がタイミングルールにより示されるトラフィック減少時点である場合、決定される予測トラフィックを引き下げる。

【0073】

この実施形態によると、ターゲット時点における予測トラフィックが予め獲得されたトラフィック周期変動曲線に照会することによって決定される前に、第１の期間内のターゲット時点におけるネットワークトラフィックがサンプリングによって取得される。このようにしてサンプリングされたネットワークトラフィックが、このようにして決定された予測トラフィックよりも大きい場合、ＤＤｏＳ攻撃が検出される。トラフィック周期変動曲線が、予測トラフィックの周期的な変化パターンを示すために用いられるため、各ターゲット時期においてＤＤｏＳ攻撃検出を行う前に、膨大な量の履歴トラフィックデータに従って計算するのではなく、単にトラフィック周期変動曲線を利用するだけで、ターゲット時期に対応する予測トラフィックを決定することができ、それによって、関係する計算の量を減らすことができる。また、予測トラフィックは、特別なタイミングルールに基づいて調整されるため、予測トラフィックの周期的な変化パターンを精度の点でさらに向上させることができる。さらに、履歴トラフィックデータを活用することは、突発的なトラフィックの増加が予想されるトラフィックに起因するのか、ＤＤｏＳ攻撃に起因するのかを効果的に調べることも助けることができ、こうして誤報を減らすことができる。

【0074】

当業者は、前述の方法の実施形態の工程の全てまたは一部が、関連するハードウェアに指示を送るプログラムによって実装されてもよいことを理解することができる。前述のプログラムは、コンピュータ可読記憶媒体に格納されていてもよい。プログラムが実行されると、前述の実施形態の方法の工程が実行される。上記記憶媒体は、ＲＯＭ、ＲＡＭ、磁気ディスク、または光ディスクなどのプログラムコードを格納可能な各種メディアを含む。

【0075】

最後に、前述の実施形態は、本開示の技術的解決法を限定するものではなく、単に説明することを意図したものであることに留意すべきである。本開示は、前述の実施形態を参照して詳細に説明されているが、当業者は、前述の実施形態において記載された技術的解決法をなお改変してもよいし、または、一部もしくは全ての技術的特徴を等価なものに置換してもよいことを理解すべきである；しかしながら、これらの改変または置換は、本開示の実施形態における技術的解決法の範囲から、対応する技術的解決法の本質を逸脱させるものではない。

【図1】

【図2】

【図3】

【図4】

【国際調査報告】