[发明专利]控制装置、边界路由器、控制方法和计算机可读存储介质

说明书

本发明提供控制装置、边界路由器、控制方法和计算机可读存储介质。当控制器(10)检测到攻击时，从各边界路由器20进行由该边界路由器(20)接收到的发给攻击的目标的DNS响应的采样。并且，控制器(10)将采样后的DNS响应的发送源IP地址追加到边界路由器20的黑名单中。并且，当控制器(10)接收到发给目标的DNS响应和从黑名单中记载的IP地址发给目标的UDP后续片段中的任意一方时，指示边界路由器(20)丢弃该分组。此外，控制器(10)对各边界路由器(20)进行将针对来自目标的DNS请求的DNS响应排除在丢弃的对象之外的设定。

技术领域

本发明涉及控制装置、边界路由器、控制方法和控制程序。

背景技术

当前，利用DNS(Domain Name System：域名系统)、NTP(Network Time Protocol：网络时间协议)等UDP(User Datagram Protocol：用户数据报协议)的响应分组的反射型DDoS攻击(Distributed Denial of Service：分布式拒绝服务)成为问题。例如，当攻击者向大量分散在网络中的开放的解析器(open resolver)发送伪装了发送源IP地址的DNS的请求分组时，这些开放的解析器分别进行名称解析，向伪装的发送源IP地址发送响应分组。其结果使得大量的响应分组向伪装的发送源(即，目标)集中。由此，攻击者对目标网络施加几百Gbps的负载。

在此，由于在DNS或NTP中使用的协议是UDP，因此，无法利用防火墙的状态检测功能来防御上述那样的攻击。因此，提出有如下技术：当网络的边界路由器从目标侧接收到DNS或NTP的请求分组(即，合法的请求分组)时，将该请求分组的发送源的IP地址和端口编号追加到白名单中，边界路由器转发目的地地址记载于白名单中的IP地址和端口编号的响应分组(合法的响应分组)，但是阻断(丢弃)除此之外的DNS或NTP的响应分组。根据这样的技术，能够阻断攻击分组并使得合法的响应分组到达目标。

在先技术文献

非专利文献

非专利文献1:首藤裕一等，基于动态分组过滤的反射型DoS攻击的阻断方法，信学技报，vol.113，no.473，IN2013-181，pp.223-228，2014年3月(首藤裕一他、動的パケットフィルタリングによる反射型DoS攻撃の遮断手法、信学技報、vol.113、no.473、IN2013-181、pp.223-228、2014年3月)

发明内容

发明要解决的课题

在此，反射型DDoS攻击的攻击分组存在尺寸较大的倾向，多被片段化之后进行转发。例如，在上述DNS或NTP的响应分组被片段化的情况下，除了起始分组以外都不具有UDP报头信息。因此，边界路由器对于被片段化后的攻击分组中的第二个以后的分组(UDP后续片段(UDP subsequent fragment))无法判断该分组是否是DNS或NTP的分组。其结果导致无法阻断被片段化后的攻击分组而到达目标的可能性。

因此，本发明要解决所上述问题，课题是即使是被片段化的攻击分组也进行阻断并使合法得分组到达。

用于解决课题的手段

为了解决上述课题，本发明是一种控制装置，该控制装置对将网络彼此连接起来的各个边界路由器指示分组的转发控制，其特征在于，所述控制装置具有分组取得部、名单制作部和分组丢弃指示部，当检测到通过规定服务的响应分组的集中而实施的攻击时，所述分组取得部取得由所述边界路由器接收到的、发给所述攻击的目标的规定服务的响应分组的至少一部分；所述名单制作部将所述取得的响应分组的发送源IP地址追加到所述边界路由器的黑名单中；所述分组丢弃指示部在接收到以所述黑名单中记载的IP地址作为发送源的、发给所述攻击的目标的分组时，指示所述边界路由器丢弃该分组。

发明的效果