專利名稱：中繼器設(shè)備、中繼方法、中繼程序以及網(wǎng)絡(luò)攻擊保護(hù)系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及中繼器設(shè)備、中繼方法、中繼程序以及網(wǎng)絡(luò)攻擊保護(hù)系統(tǒng)，它們基于用于控制分組傳遞的簽名來控制分組沿網(wǎng)絡(luò)的傳遞。
背景技術(shù)：
先前已經(jīng)知道一種用來保護(hù)接收DoS(拒絕服務(wù))攻擊或DDoS(分布式拒絕服務(wù))攻擊的計(jì)算機(jī)的網(wǎng)絡(luò)攻擊保護(hù)系統(tǒng)，在與要被保護(hù)的計(jì)算機(jī)相連的網(wǎng)絡(luò)中排列著該系統(tǒng)所具有的多個(gè)中繼器設(shè)備。例如，使用專利文檔1(以日本公開的未經(jīng)審查的專利號為2003-283554的專利申請)中所揭示網(wǎng)絡(luò)攻擊保護(hù)系統(tǒng)時(shí)，在中繼器設(shè)備處，要檢查通信量是否與用于檢測可疑攻擊性分組的預(yù)定條件相匹配。當(dāng)檢測到相匹配的通信量時(shí)，中繼器設(shè)備產(chǎn)生用于標(biāo)識被檢測出的可疑攻擊性分組的可疑簽名，將該可疑簽名發(fā)送到位于上行數(shù)據(jù)流一方的中繼器設(shè)備，之后執(zhí)行對可疑簽名所標(biāo)識的可疑攻擊性分組的傳輸頻帶進(jìn)行限制的處理。
上游中繼器設(shè)備或下游中繼器設(shè)備是與目標(biāo)中繼器設(shè)備的上行數(shù)據(jù)流一方或下行數(shù)據(jù)流一方相鄰的中繼器設(shè)備(在下文中，被稱為“相鄰的中繼器設(shè)備”)。所謂上游或下游是與可疑的攻擊性分組流動的方向相關(guān)的。在上述排列中，接收可疑簽名的中繼器設(shè)備將從下游的中繼器設(shè)備中接收到的可疑簽名發(fā)送給上游的中繼器設(shè)備，并執(zhí)行對可疑簽名所標(biāo)識的可疑攻擊性分組的傳輸頻帶進(jìn)行限制的處理。
此外，常規(guī)的中繼器設(shè)備將合法條件發(fā)送給上游的中繼器設(shè)備，該合法條件指定從合法用戶所使用的通信終端中發(fā)送過來的通信分組(并未被認(rèn)為是攻擊性分組的合法分組的條件)；并基于合法條件和可疑簽名來產(chǎn)生用于標(biāo)識合法分組的合法簽名；之后，對合法簽名所標(biāo)識的合法分組執(zhí)行取消傳輸頻帶限制的處理。此外，已接收到合法條件的中繼器設(shè)備將所接收到的合法條件發(fā)送給上游的中繼器設(shè)備，基于合法條件和可疑簽名來產(chǎn)生合法簽名，之后對合法簽名所標(biāo)識的合法分組執(zhí)行取消傳輸頻帶限制的處理。
常規(guī)的中繼器設(shè)備由此執(zhí)行限制可疑的攻擊性分組的傳輸頻帶的處理以及取消合法分組的傳輸頻帶限制的處理，并且這些處理都是由濾波單元來實(shí)現(xiàn)的。即，中繼器設(shè)備的濾波單元將在基于合法簽名的條件判斷處理過程中被發(fā)現(xiàn)與某一合法簽名相匹配的那個(gè)分組放入預(yù)定的尾接指令中，并在之后對被發(fā)現(xiàn)并不與任何合法簽名相匹配的分組執(zhí)行基于可疑簽名的條件判斷處理過程。
專利文檔1以日本公開的未經(jīng)審查的專利號為2003-283554的專利申請發(fā)明內(nèi)容本發(fā)明要解決的問題使用現(xiàn)有技術(shù)時(shí)，因?yàn)樵谥欣^器設(shè)備中基于合法簽名的條件判斷處理過程和基于可疑簽名的條件判斷處理過程都是以固定的預(yù)定的順序來執(zhí)行的，所以無法以網(wǎng)絡(luò)攻擊保護(hù)系統(tǒng)中所期望的處理順序來處理分組。
本發(fā)明的實(shí)現(xiàn)是為了解決上述現(xiàn)有技術(shù)的問題，其目的在于提供一種中繼器設(shè)備、中繼方法、中繼程序以及網(wǎng)絡(luò)攻擊保護(hù)系統(tǒng)，它們能夠在當(dāng)有多個(gè)簽名時(shí)根據(jù)想要的順序來處理分組。
用于解決問題的方法為解決上述問題并實(shí)現(xiàn)上述目的，提供一種中繼器設(shè)備，該中繼器設(shè)備排列在網(wǎng)絡(luò)中并包括簽名存儲單元，該簽名存儲單元存儲用于控制分組傳遞的多個(gè)簽名，該中繼器設(shè)備還基于存儲在簽名存儲單元中的簽名來控制分組的傳遞。這種中繼器設(shè)備包括優(yōu)先級確定和提供單元，該單元確定要被存儲在簽名存儲單元中的多個(gè)簽名的優(yōu)先級；以及分組控制單元，該單元按優(yōu)先級確定單元所確定的以高優(yōu)先權(quán)的順序從簽名存儲單元中選擇簽名，并基于所選簽名來控制分組的傳遞。
根據(jù)權(quán)利要求2中所述的本發(fā)明，在上述發(fā)明中，簽名存儲單元存儲自動生成的簽名，這些自動生成的簽名是根據(jù)預(yù)定的條件判斷結(jié)果和網(wǎng)絡(luò)管理員所設(shè)置的設(shè)置簽名而自動產(chǎn)生的，并且優(yōu)先級確定單元將優(yōu)先級提供給這些要被存儲到簽名存儲單元中的自動生成的簽名和設(shè)置簽名，使得設(shè)置簽名的優(yōu)先級高于自動生成的簽名的優(yōu)先級。
根據(jù)權(quán)利要求3所述的本發(fā)明，在上述發(fā)明中，簽名存儲單元存儲用于將分組傳遞限制在預(yù)定的范圍內(nèi)的多個(gè)簽名，并且優(yōu)先級確定單元將優(yōu)先級提供給要被存儲在簽名存儲單元中的那些簽名，使得限制范圍更為嚴(yán)格的那些簽名的優(yōu)先級更高。
根據(jù)權(quán)利要求4所述的本發(fā)明，在上述發(fā)明中，中繼器設(shè)備還包括可疑簽名產(chǎn)生單元，該單元基于預(yù)定的可疑攻擊檢測條件來檢測可疑的攻擊性分組并產(chǎn)生用于限制該可疑的攻擊性分組的可疑簽名，其中，當(dāng)可疑簽名產(chǎn)生單元產(chǎn)生可疑簽名時(shí)，優(yōu)先級確定單元剛把優(yōu)先級提供給該可疑簽名后就將該可疑簽名存儲在簽名存儲單元中。
根據(jù)權(quán)利要求5所述的本發(fā)明，在上述發(fā)明中，中繼器設(shè)備還包括合法簽名產(chǎn)生單元，該單元基于預(yù)定的合法條件來產(chǎn)生用于激活有效分組的合法簽名；并且其中，當(dāng)合法簽名產(chǎn)生單元產(chǎn)生合法簽名時(shí)，一旦將優(yōu)先級提供給該合法簽名后，優(yōu)先級確定單元就將該合法簽名存儲在簽名存儲單元中。
根據(jù)權(quán)利要求6所述的本發(fā)明，在上述發(fā)明中，中繼器設(shè)備還包括非法簽名產(chǎn)生單元，該單元基于預(yù)定的非法通信量檢測條件來檢測非法分組并產(chǎn)生用于限制該非法分組的非法簽名；并且其中，當(dāng)非法簽名產(chǎn)生單元產(chǎn)生非法簽名時(shí)，一旦將優(yōu)先級提供給該非法簽名后，優(yōu)先級確定單元就將該非法簽名存儲到簽名存儲單元中。
根據(jù)權(quán)利要求7所述的本發(fā)明，在上述發(fā)明中，中繼器設(shè)備還包括簽名接收單元，該單元從其它中繼器設(shè)備中接收用于限制可疑的攻擊性分組的可疑簽名；并且其中，當(dāng)可疑簽名被簽名產(chǎn)生單元接收時(shí)，一旦將優(yōu)先級提供給該可疑簽名后，優(yōu)先級確定單元就將該可疑簽名存儲到簽名存儲單元中。
根據(jù)權(quán)利要求8所述的本發(fā)明，在上述發(fā)明中，中繼器設(shè)備還包括合法簽名產(chǎn)生單元，該單元基于從其它中繼器設(shè)備中接收到的預(yù)定的合法條件來產(chǎn)生用于激活有效分組的合法簽名；并且其中，當(dāng)合法簽名產(chǎn)生單元產(chǎn)生合法簽名時(shí)，一旦將優(yōu)先級提供給該合法簽名后，優(yōu)先權(quán)確定單元就將該合法簽名存儲在簽名存儲單元中。
根據(jù)權(quán)利要求9所述的本發(fā)明，在上述發(fā)明中，中繼器設(shè)備還包括簽名輸入單元，該單元接收并輸入來自于網(wǎng)絡(luò)管理員的簽名；并且其中，當(dāng)通過簽名輸入單元輸入一個(gè)簽名時(shí)，一旦將優(yōu)先級提供給該簽名后，優(yōu)先權(quán)確定單元就將該簽名存儲到簽名存儲單元中。
根據(jù)權(quán)利要求10所述的本發(fā)明，一種網(wǎng)絡(luò)攻擊保護(hù)系統(tǒng)包括簽名存儲單元，該簽名存儲單元存儲用于控制分組傳遞的多個(gè)簽名，并基于存儲在簽名存儲單元中的這些簽名來控制分組的傳遞。這種網(wǎng)絡(luò)攻擊保護(hù)系統(tǒng)包括優(yōu)先級確定和提供單元，該單元確定要被存儲到簽名存儲單元中的那些簽名的優(yōu)先級；以及分組控制單元，該單元按優(yōu)先級確定單元所確定的以高優(yōu)先級的順序來從簽名存儲單元中選擇簽名，并基于所選簽名來控制分組的傳遞。
根據(jù)權(quán)利要求11所述的本發(fā)明，在網(wǎng)絡(luò)中排列著并包括簽名存儲單元的一種設(shè)備上，實(shí)現(xiàn)了一種中繼方法，其中該簽名存儲單元存儲用于控制分組傳遞的多個(gè)簽名并基于存儲在簽名存儲單元中的簽名來控制分組的傳遞。這種中繼方法包括優(yōu)先級確定和提供單元步驟，該步驟確定要被存儲到簽名存儲單元中的那些簽名的優(yōu)先級；以及分組控制步驟，該步驟按優(yōu)先級確定單元所確定的以高優(yōu)先級的順序從簽名存儲單元中選擇簽名并基于所選簽名來控制分組的傳遞。
根據(jù)權(quán)利要求12所述的本發(fā)明，在上述發(fā)明中，簽名存儲單元存儲自動生成的簽名，這些自動生成的簽名是根據(jù)預(yù)定的條件判斷結(jié)果和網(wǎng)絡(luò)管理員所設(shè)置的設(shè)置簽名而自動產(chǎn)生的，并且優(yōu)先級確定步驟包括將優(yōu)先級提供給要被存儲到簽名存儲單元中的自動生成的簽名和設(shè)置簽名，使得該設(shè)置簽名的優(yōu)先級高于該自動生成的簽名。
根據(jù)權(quán)利要求13所述的本發(fā)明，在上述發(fā)明中，簽名存儲單元存儲用于將分組傳遞限制在預(yù)定范圍內(nèi)的多個(gè)簽名，并且優(yōu)先級確定步驟包括將優(yōu)先級提供給要被存儲到簽名存儲單元中的那些簽名，使得限制范圍更為嚴(yán)格的那些簽名的優(yōu)先級更高。
根據(jù)權(quán)利要求14所述的本發(fā)明，中繼程序使簽名存儲單元存儲用于控制分組傳遞的簽名，并且該中繼程序基于存儲在簽名存儲單元中的簽名來控制分組的傳遞。這種中繼程序包括優(yōu)先級確定和提供單元過程，該過程確定要被存儲到簽名存儲單元中的那些簽名的優(yōu)先級；以及分組控制過程，該過程按優(yōu)先級確定單元所確定的以高優(yōu)先級的順序從簽名存儲單元中選擇簽名，并基于所選簽名來控制分組的傳遞。
根據(jù)權(quán)利要求15所述的本發(fā)明，在上述發(fā)明中，簽名存儲單元存儲自動生成的簽名，這些自動生成的簽名是根據(jù)預(yù)定的條件判斷結(jié)果和網(wǎng)絡(luò)管理員所設(shè)置的設(shè)置簽名而產(chǎn)生的，并且優(yōu)先級確定步驟包括將優(yōu)先級提供給要被存儲到簽名存儲單元中的自動生成簽名和設(shè)置簽名，使得該設(shè)置簽名的優(yōu)先級高于該自動生成的簽名的優(yōu)先級。
根據(jù)權(quán)利要求16所述的本發(fā)明，在上述發(fā)明中，簽名存儲單元存儲用于將分組傳遞限制在預(yù)定范圍內(nèi)的多個(gè)簽名，并且優(yōu)先級確定步驟包括將優(yōu)先級提供給要被存儲到簽名存儲單元中的那些簽名，使得限制范圍更為嚴(yán)格的簽名的優(yōu)先級更高。
本發(fā)明的效果在權(quán)利要求1、10、11或14所對應(yīng)的發(fā)明情況下，因?yàn)榇鎯υ诤灻鎯卧械哪切┖灻膬?yōu)先級是確定的，所以按高優(yōu)先級的順序來選擇簽名，并且基于所選簽名來控制分組的傳遞，并且當(dāng)有多個(gè)簽名時(shí)可以根據(jù)想要的順序來處理分組。
在權(quán)利要求2、12或15所對應(yīng)的發(fā)明情況下，因?yàn)樵O(shè)置簽名的優(yōu)先級高于自動生成的簽名的優(yōu)先級，所以在分組的控制過程中由網(wǎng)絡(luò)管理員設(shè)置的設(shè)置簽名在使用時(shí)帶有優(yōu)先權(quán)，由此使網(wǎng)絡(luò)管理員能夠用優(yōu)先權(quán)來執(zhí)行想要的控制。
在權(quán)利要求3、13或16所對應(yīng)的發(fā)明情況下，在用于將分組傳遞限制在預(yù)定范圍內(nèi)的諸多簽名中，限制范圍更為嚴(yán)格的簽名的優(yōu)先級更高，在控制分組過程中含更為嚴(yán)格的頻帶限制信息的簽名在使用時(shí)所帶有的優(yōu)先級更高，由此使分組能夠更為安全地被處理而同時(shí)不會在控制分組的過程中引起矛盾。
在權(quán)利要求4所對應(yīng)的發(fā)明情況下，因?yàn)楫?dāng)可疑的攻擊性分組被檢測時(shí)，產(chǎn)生可疑簽名并確定該可疑簽名的優(yōu)先級，所以可以在沒有延遲的情況下向當(dāng)檢測可疑的攻擊性分組時(shí)所產(chǎn)生的可疑簽名提供優(yōu)先級。
在權(quán)利要求5所對應(yīng)的發(fā)明情況下，因?yàn)楫?dāng)可疑的攻擊性分組被檢測時(shí)，產(chǎn)生合法簽名并確定合法簽名的優(yōu)先級，所以可以在沒有延遲的情況下將優(yōu)先級提供給當(dāng)可疑的攻擊性分組被檢測時(shí)所產(chǎn)生的合法簽名。
在權(quán)利要求6所對應(yīng)的發(fā)明情況下，因?yàn)楫?dāng)非法通信量被檢測時(shí)，產(chǎn)生非法簽名并確定該非法簽名的優(yōu)先級，所以可以在沒有延遲的情況下將優(yōu)先級提供給當(dāng)非法通信量被檢測時(shí)所產(chǎn)生的非法簽名。
在權(quán)利要求7所對應(yīng)的發(fā)明情況下，因?yàn)楫?dāng)從另一個(gè)中繼器設(shè)備中接收可疑簽名時(shí)，確定了該可疑簽名的優(yōu)先級，所以可以在沒有延遲的情況下將優(yōu)先級提供給從其它中繼器設(shè)備中接收到的可疑簽名。
在權(quán)利要求8所對應(yīng)的發(fā)明情況下，因?yàn)楫?dāng)從另一個(gè)中繼器設(shè)備中接收到合法條件時(shí)，產(chǎn)生了合法簽名并確定了該合法簽名的優(yōu)先級，所以可以在沒有延遲的情況下將優(yōu)先級提供給當(dāng)接收該合法條件時(shí)所產(chǎn)生的合法簽名。
在權(quán)利要求9所對應(yīng)的發(fā)明情況下，因?yàn)楫?dāng)從網(wǎng)絡(luò)管理員那里接收簽名時(shí)，確定了該簽名的優(yōu)先級，所以可以在沒有延遲的情況下將優(yōu)先級提供給由網(wǎng)絡(luò)管理員設(shè)置的簽名。


圖1是解釋了根據(jù)本發(fā)明一實(shí)施例的網(wǎng)絡(luò)攻擊保護(hù)系統(tǒng)的示意圖；圖2是圖1所示的中繼器設(shè)備的詳細(xì)方框圖；圖3是解釋了可疑的攻擊檢測條件表格的內(nèi)容的示意圖；圖4是解釋了非法通信量檢測條件表格的內(nèi)容的示意圖；圖5是解釋了合法條件表格的內(nèi)容的示意圖；圖6是解釋了簽名列表的內(nèi)容的示意圖；圖7是用于檢測可疑的攻擊性分組的處理步驟的流程圖；圖8是用于接收簽名的處理步驟的流程圖；以及圖9是用于檢測非法分組的處理步驟的流程圖。
字母或數(shù)字的解釋10中繼器設(shè)備
11網(wǎng)絡(luò)接口12分組檢測單元13攻擊檢測單元14簽名通信單元15優(yōu)先級確定單元16濾波單元17輸入單元20服務(wù)器30通信終端100網(wǎng)絡(luò)攻擊保護(hù)系統(tǒng)具體實(shí)施方式
現(xiàn)在參照附圖將詳細(xì)描述根據(jù)本發(fā)明的中繼器設(shè)備、中繼方法、中繼程序以及網(wǎng)絡(luò)攻擊保護(hù)系統(tǒng)的示例性實(shí)施例。在下文中，將按順序來描述用在本實(shí)施例的描述中的主要術(shù)語、網(wǎng)絡(luò)攻擊保護(hù)系統(tǒng)的概要和特征、中繼器設(shè)備的排列和處理過程以及本實(shí)施例的效果，最后將描述本實(shí)施例的各種修改示例。
實(shí)施例〔術(shù)語的描述〕首先，將描述在本實(shí)施例的描述中所用的主要術(shù)語。用在本實(shí)施例中的“可疑簽名”是這樣一種簽名，它限制被懷疑是攻擊分組的分組(可疑的攻擊性分組)，并且它通過定義各種屬性(比如，目的地IP地址、協(xié)議、目的地端口號等)而被明確地安排，這些屬性表示該可疑的攻擊性分組的特征和限制細(xì)節(jié)(比如，當(dāng)特定分組流入時(shí)用于限制頻帶的限制信息)，其中該可疑的攻擊性分組的傳遞是要受到限制的。
用在本實(shí)施例中的“合法簽名”是這樣一種簽名，它在與可疑簽名相對應(yīng)的諸多分組中使合法分組(合法分組即為合法用戶的通信分組)能夠被傳遞，其中合法分組被認(rèn)為不是攻擊分組，并且它通過定義各種屬性(比如，源IP地址、服務(wù)類型、目的地IP地址、協(xié)議、目的地端口號等)而被明確地安排，這些屬性表示該合法分組的特征，其中要使該合法分組能夠被傳遞。
用在本實(shí)施例中的“非法簽名”是這樣一種簽名，它用于限制被包括在非法通信量中的非法分組(一種滿足非法通信量條件的分組)，并且它通過定義該非法分組的源IP地址等而被明確地安排。
〔本系統(tǒng)的概要和特征〕現(xiàn)在在使用圖1的同時(shí)將描述本實(shí)施例中的網(wǎng)絡(luò)攻擊保護(hù)系統(tǒng)的概要和特征。圖1是用于解釋本實(shí)施例的網(wǎng)絡(luò)攻擊保護(hù)系統(tǒng)的示意圖。
網(wǎng)絡(luò)攻擊保護(hù)系統(tǒng)100包括排列在網(wǎng)絡(luò)中的多個(gè)中繼器設(shè)備10。服務(wù)器20是遭受DoS攻擊和DDoS攻擊的計(jì)算機(jī)，通信終端30是可以實(shí)現(xiàn)DoS攻擊和DDoS攻擊的計(jì)算機(jī)，它們都連接到網(wǎng)絡(luò)上。在下面的描述中，當(dāng)需要分別區(qū)分多個(gè)中繼器設(shè)備10時(shí)，中繼器設(shè)備10將指代中繼器設(shè)備10-1到中繼器設(shè)備10-7；當(dāng)需要分別區(qū)分多個(gè)服務(wù)器20時(shí)，服務(wù)器20將指代服務(wù)器20-1和服務(wù)器20-2；并且當(dāng)需要分別區(qū)分多個(gè)通信終端時(shí)，通信終端30將指代通信終端30-1到通信終端30-5。
在網(wǎng)絡(luò)攻擊保護(hù)系統(tǒng)100中，當(dāng)檢測到通信終端30中的至少一個(gè)通信終端30正在對網(wǎng)絡(luò)上的服務(wù)器20進(jìn)行DoS攻擊或DDoS攻擊時(shí)，中繼器設(shè)備10產(chǎn)生用于限制分組傳遞的簽名(可疑簽名和非法簽名)以及用于使分組能夠被傳遞的合法簽名。然后，中繼器設(shè)備10將其自身已產(chǎn)生的各種簽名(可疑簽名、非法簽名和合法簽名)注冊到簽名列表中。
中繼器設(shè)備10也將所產(chǎn)生的可疑簽名(和用來產(chǎn)生合法簽名的合法條件)發(fā)送到相鄰的中繼器設(shè)備。同時(shí)，一旦接收來自于相鄰中繼器設(shè)備的可疑簽名等之后，中繼器設(shè)備10就基于合法條件來產(chǎn)生合法簽名，并所接收的可疑簽名和所產(chǎn)生的合法簽名注冊到簽名列表中。為引用相鄰的中繼器設(shè)備的示例，在圖1中，中繼器設(shè)備10-3的相鄰中繼器設(shè)備是中繼器設(shè)備10-1、中繼器設(shè)備10-2、中繼器設(shè)備10-4以及中繼器設(shè)備10-7，并且中繼器設(shè)備10-5與中繼器設(shè)備10-6相對于中繼器設(shè)備10-3而言并不是相鄰關(guān)系。相鄰關(guān)系并不意味著物理上的相鄰。
此外，中繼器設(shè)備10從網(wǎng)絡(luò)管理員那里接收用于設(shè)置簽名(可疑簽名、非法簽名以及合法簽名)的指令并將與設(shè)置指令相關(guān)的簽名注冊到簽名列表中，并且從網(wǎng)絡(luò)管理員那里接收與已經(jīng)注冊到簽名列表中的簽名有關(guān)的修改指令，并將修改后的簽名注冊到簽名列表中。在使用本發(fā)明的情況下，已根據(jù)來自于網(wǎng)絡(luò)管理員的設(shè)置指令或修改指令而被注冊到簽名列表中的簽名被定義為“設(shè)置簽名”，并且中繼器設(shè)備10自己產(chǎn)生并已注冊到簽名列表中的簽名或已從相鄰的中繼器設(shè)備中接收到并已被注冊到簽名列表中的簽名被定義為“自動生成的簽名”。
由此，中繼器設(shè)備10將可疑簽名、非法簽名以及合法簽名注冊到簽名列表中。然后，中繼器設(shè)備10基于該簽名列表來控制分組的傳遞。即，與非法簽名或可疑簽名相對應(yīng)的分組在傳輸頻帶受限的同時(shí)被傳遞，或被丟棄，并且使與合法簽名相對應(yīng)的分組或不與任何簽名相對應(yīng)的分組能夠在傳輸頻帶并不受限的同時(shí)獲得傳遞。
本發(fā)明的中繼器設(shè)備10的主要特征在于，為簽名列表中所注冊的簽名提供了優(yōu)先級，更具體地講，在控制分組傳遞的控制中，中繼器設(shè)備10執(zhí)行這樣一種過程，即判斷該分組是否對應(yīng)于簽名列表中所注冊的這些簽名中的任意一個(gè)，并且在本發(fā)明中，按照高優(yōu)先級(優(yōu)先權(quán))的順序從簽名列表中所注冊的這些簽名中選擇簽名，判斷該分組是否與所選簽名相對應(yīng)，并且基于該相對應(yīng)的簽名來控制該分組。由此，即便有多個(gè)簽名，也可以根據(jù)想要的順序來處理這些分組。
中繼器設(shè)備10是在起保護(hù)作用避免攻擊的同時(shí)還可中繼分組的一種設(shè)備，并且還可以起路由器或橋接器的作用。中繼器設(shè)備10可以連接到用于管理中繼器設(shè)備10等的管理網(wǎng)絡(luò)，并且可以通過該管理網(wǎng)絡(luò)來發(fā)送和接收簽名。
〔中繼器設(shè)備的排列〕現(xiàn)在將使用圖2來描述圖1所示的中繼器設(shè)備10的排列。圖2是中繼器設(shè)備10的詳細(xì)方框圖。中繼器設(shè)備10包括網(wǎng)絡(luò)接口單元11，分組獲取單元12，攻擊檢測單元13(以及可疑攻擊檢測條件表格13a、非法通信量檢測條件表格13b和合法條件表格13c)，簽名通信單元14，優(yōu)先級確定單元15，濾波單元16(和簽名列表16a)，以及輸入單元17。
中繼器設(shè)備10可以具有CPU(中央處理單元)，存儲器，硬盤等，以及分組獲取單元12，攻擊檢測單元13，簽名通信單元14，優(yōu)先級確定單元15，以及濾波單元16，該濾波單元16可以是由CPU來處理的程序模塊。這些程序模塊可由單個(gè)CPU來處理，或可以由多個(gè)CPU分散地處理。Linux或其它通用的OS都可以安裝在中繼器設(shè)備10上，并且可以使在通用OS上提供的分組濾波器起濾波單元16的作用。
攻擊檢測單元13對應(yīng)于權(quán)項(xiàng)中所述的“可疑簽名產(chǎn)生單元”、“合法簽名產(chǎn)生單元”以及“非法簽名產(chǎn)生單元”，簽名通信單元14對應(yīng)于“簽名接收單元”，優(yōu)先級確定單元15對應(yīng)于“優(yōu)先級確定單元”，濾波單元16對應(yīng)于“分組控制單元”，簽名列表16a對應(yīng)于“簽名存儲單元”，并且輸入單元17對應(yīng)于“簽名輸入單元”。
在圖2中，網(wǎng)絡(luò)接口單元11是將分組發(fā)送到與網(wǎng)絡(luò)相連的通信設(shè)備并接收來自于該通信設(shè)備的分組的這樣一種單元，并且特定從與網(wǎng)絡(luò)相連的網(wǎng)絡(luò)連接卡等中排列該網(wǎng)絡(luò)接口單元11，該網(wǎng)絡(luò)可以是LAN(局域網(wǎng))、WAN(廣域網(wǎng))等。
輸入單元17是接收來自于網(wǎng)絡(luò)管理員的各種信息與指令的輸入的一種單元，并且由鍵盤、鼠標(biāo)、麥克風(fēng)等排列而成。輸入單元17接收并輸入設(shè)置指令，這在下文中要描述，該設(shè)置指令用于要被新注冊到簽名列表16a中的簽名；修改指令與刪除指令，用于已經(jīng)注冊的簽名，等等。盡管沒有在圖2中示出，中繼器設(shè)備10也可以與監(jiān)控器(或顯示器或觸摸屏)、揚(yáng)聲器、以及其它用來輸出各種信息的輸出單元。
分組獲取單元12是這樣一種處理單元，它獲取由網(wǎng)絡(luò)接口單元11接收到的分組并將與所獲取的分組相關(guān)的統(tǒng)計(jì)信息呈現(xiàn)給攻擊檢測單元13。
攻擊檢測單元13是這樣一種處理單元，它基于分組獲取單元12所提供的統(tǒng)計(jì)信息來執(zhí)行攻擊檢測和攻擊分析并連接到圖2所示的可疑攻擊檢測條件表格13a、非法通信量檢測條件表格13b以及合法條件表格13c。現(xiàn)在將描述存儲在13a到13c各個(gè)表格中的信息，并且之后將詳細(xì)描述由攻擊檢測單元13執(zhí)行的處理。
圖3是存儲在可疑攻擊檢測條件表格13a中的信息的示例圖，更為詳細(xì)地講，圖3是用來檢測可疑的攻擊性分組的“可疑的攻擊檢測條件”，這些可疑的攻擊性分組是接收到的分組，它們具有是攻擊分組的可能性。如圖所示，可疑攻擊檢測條件是以多組(本示例中是三組)檢測屬性、檢測閾值和檢測間隔組合的記錄來排列的，并且當(dāng)通信量與各可疑攻擊檢測條件記錄中的任一記錄條件相匹配時(shí)，該通信量的通信分組就被視為可疑的攻擊性分組?！癗o.”被用來方便地指代一條記錄。
含在IP分組中的IP標(biāo)題部分的屬性或含在IP分組的凈荷部分中的UDP標(biāo)題部分可以被指定成可疑攻擊檢測條件的“檢測屬性”。在圖3中更為具體地講，第一條記錄的檢測屬性是由多個(gè)屬性值的組合來指定的，其中“目的地IP地址”是“192.168.1.1/32”(dst＝192.168.1.1/32)，用來表示該IP的上層(TCP或UDP)協(xié)議類型的“協(xié)議”是“TCP”(協(xié)議＝TCP)，用來表示該IP的上層協(xié)議是何種應(yīng)用程序的信息的“目的地端口”是“80”(端口＝80)。
第二條記錄的檢測屬性是由多個(gè)屬性值的組合來指定的，在這些屬性值中，“目的地IP地址”為“192.168.1.2/32”(dst＝192.168.1.2/32)，“協(xié)議”為“UDP”(用戶數(shù)據(jù)報(bào)協(xié)議)(協(xié)議＝UDP)。同樣，第三條記錄的檢測屬性是由屬性“目的地IP地址＝192.168.1.0/24”來指定的。
可疑攻擊檢測條件中的“檢測閾值”表示最小傳輸頻帶，它用于與同一記錄所指定的檢測屬性一起將接收到的分組的通信量檢測成攻擊可疑通信量，并且可疑攻擊檢測條件中的“檢測間隔”表示最小持續(xù)時(shí)間。盡管圖3中沒有示出，但是無條件的“目的地IP地址”(“任意的”)以及類型為“ICMP(互聯(lián)網(wǎng)控制消息協(xié)議)”的用來表示該IP的上層協(xié)議類型的“協(xié)議”都可以被指定為檢測屬性。
圖4是存儲在非法通信量檢測條件表格13b中的信息的示例圖，更為詳細(xì)地講，圖4是“非法通信量條件”，用于檢測可疑的攻擊性分組的通信量中的非法通信量。如圖所示，非法通信量條件是由DDoS攻擊的多個(gè)已知通信模式排列而成，并且當(dāng)可疑的攻擊性分組的通信量與上述通信量模式中的任何相匹配時(shí)，該通信量就被視為非法通信量?！癗o.”用來方便地指定一條記錄(模式)。
具體地講，第一條非法通信量條件表示這樣一種通信量模式，其中“傳輸頻帶不小于T1 Kbps的分組正在被連續(xù)發(fā)送，持續(xù)時(shí)間不小于S1秒。”第二條非法通信量條件表示這樣一種通信量模式，其中“傳輸頻帶不小于T2 Kbps的ICMP(互聯(lián)網(wǎng)控制消息協(xié)議)回波回復(fù)消息分組正在被連續(xù)發(fā)送，持續(xù)時(shí)間不小于S2秒?！钡谌龡l非法通信量條件表示這樣一種通信量模式，其中“傳輸頻帶不小于T3 Kbps的片段分組正在被連續(xù)發(fā)送，持續(xù)時(shí)間不小于S3秒，其中片段分組表示被包括在分組中的數(shù)據(jù)，這些分組在當(dāng)因數(shù)據(jù)太長而在多個(gè)IP分組中被分割時(shí)就被發(fā)送?！眻D5是在合法條件表格13c中存儲的信息的示例圖，更為詳細(xì)地講，圖5是“合法條件”，用于表示由合法用戶使用的通信終端發(fā)送過來的分組。如圖所示，合法條件是由多條記錄排列而成的，各條記錄都是由IP分組和屬性值的多個(gè)屬性組合而成?！癗o.”用來方便地指定一條記錄(模式)。
具體地講，第一條記錄的檢測屬性指定該IP的“源IP地址”是“172.16.10.0/24”(src＝172.16.10.0/24)，并且第二條記錄的檢測屬性指定用來表示該IP的服務(wù)質(zhì)量的“服務(wù)的類型”是“01(十六進(jìn)制的符號)”(TOS＝0x01)。因?yàn)檫@樣的合法條件，便設(shè)定了服務(wù)器所有者的公司和要被保護(hù)的相關(guān)公司的多個(gè)分支的服務(wù)器20的源IP地址，以及包括服務(wù)器20的LAN的所有者將其視為合法用戶的網(wǎng)絡(luò)源IP地址。
現(xiàn)在返回圖2，當(dāng)基于分組獲取單元12所提供的統(tǒng)計(jì)信息來檢測攻擊時(shí)，攻擊檢測單元13產(chǎn)生用于限制攻擊可疑通信量的通信分組(可疑的攻擊性分組)的可疑簽名。具體地講，根據(jù)圖3所示的可疑攻擊檢測條件，攻擊檢測單元13檢查持續(xù)時(shí)間比檢測間隔所指定的時(shí)間要長的通信量，使用不小于檢測閾值所指定的值的傳輸頻帶，并且匹配該檢測屬性，并且當(dāng)發(fā)現(xiàn)某一通信量與這些記錄中的任何相匹配時(shí)該通信量就被檢測為攻擊可疑通信量，并且從與所檢測到的攻擊可疑通信量相匹配的可疑攻擊檢測條件記錄的檢測屬性中產(chǎn)生出可疑簽名。
此外，當(dāng)攻擊被檢測時(shí)，攻擊檢測單元13產(chǎn)生與可疑簽名一起的合法簽名。具體地講，圖5所示的合法條件是作參考的，并且通過使各合法條件記錄與該可疑簽名進(jìn)行AND運(yùn)算從而產(chǎn)生合法簽名。這些合法簽名在可疑簽名的限制中被用來釋放合法分組，這些合法分組是合法用戶的通信分組，并且使用圖3和5中的示例時(shí)，由圖3中的第一條記錄條件所檢測到的分組的可疑簽名是“dst＝192.168.1.1/32，協(xié)議＝TCP，端口＝80”，在圖5中，合法簽名是“src＝172.16.10.24，dst＝192.168.1.1/32，協(xié)議＝TCP，端口＝80”和“TOS＝0x01，dst＝192.168.1.1/32，協(xié)議＝TCP，端口＝80”。
此外，當(dāng)與圖4所示的非法通信量條件中的多個(gè)模式中的任何相匹配的通信量被檢測時(shí)，攻擊檢測單元13產(chǎn)生用于限制非法通信量的非法簽名。具體地講，與所檢測到的非法通信條件相符的分組的源IP地址被指定為非法地址范圍，并且以非法簽名的形式來產(chǎn)生在非法地址范圍內(nèi)并與可疑簽名相匹配的條件。
通過隨后要描述的優(yōu)先級確定單元15的處理，由攻擊檢測單元13所產(chǎn)生的可疑簽名、合法簽名和非法簽名都被注冊到簽名列表16a中。除了攻擊檢測單元13所產(chǎn)生的多個(gè)簽名之外，注冊到簽名列表16a中的多個(gè)簽名(可疑簽名、合法簽名和非法簽名)包括通過隨后要描述的簽名通信單元14從相鄰的中繼器設(shè)備中接收到的簽名以及通過輸入單元17從網(wǎng)絡(luò)管理員那里輸入的簽名(新設(shè)置的簽名和經(jīng)修改的簽名)。
在圖2中，簽名通信單元14是這樣一種處理單元，它將攻擊檢測單元13等所產(chǎn)生的簽名發(fā)送到相鄰的中繼器設(shè)備，并接收從相鄰的中繼器設(shè)備處發(fā)送過來的簽名。
優(yōu)先級確定單元15是這樣一種處理單元，它確定被注冊到下文將要描述的簽名列表16a中的簽名的優(yōu)先級(簽名通信單元14所接收的簽名、攻擊檢測單元13所產(chǎn)生的簽名、以及通過輸入單元17由網(wǎng)絡(luò)管理員所設(shè)置的簽名)。即，準(zhǔn)備用來表達(dá)確定優(yōu)先級的結(jié)果的簽名列表16a，并且所準(zhǔn)備的簽名列表16a被注冊到濾波單元16。這些簽名包含當(dāng)特定分組流入時(shí)用于執(zhí)行頻帶限制的限制信息。
現(xiàn)在使用圖6來描述簽名列表16a。圖6是存儲在簽名列表16a中的信息的示例圖。如圖所示，就類型而言，這些簽名可以歸類到由網(wǎng)絡(luò)管理員設(shè)置的設(shè)置簽名以及由中繼器設(shè)備10自動生成的自動生成簽名(由簽名通信單元14所接收的簽名以及由攻擊檢測單元13所產(chǎn)生的簽名)中，各簽名也可以被歸類成用于限制非法分組的非法簽名、用于允許有效分組的合法簽名以及用于限制可疑的攻擊性分組的可疑簽名。
此外，如圖所示，在本發(fā)明中，優(yōu)先級確定單元15確定被注冊到簽名列表16a中的簽名的優(yōu)先級，所以“設(shè)置簽名”的優(yōu)先級將高于自動生成的“自動生成簽名”。此外，如圖所示，優(yōu)先級確定單元15確定注冊到簽名列表16a中的簽名的優(yōu)先級，使得“非法簽名”的優(yōu)先級將高于“合法簽名”和“可疑簽名”，并使得“合法簽名”的優(yōu)先級將高于“可疑簽名”。具體地講，使用圖6所示的示例時(shí)，與簽名相關(guān)聯(lián)的優(yōu)先級的值越小，該簽名的優(yōu)先級越高，并且優(yōu)先級按如下順序下降設(shè)置簽名(簽名A和簽名B)，非法簽名(簽名C)，合法簽名(簽名D)，可疑簽名(簽名E和簽名F)。
當(dāng)有多個(gè)相同類型的簽名時(shí)，如圖6所示的簽名E和簽名F，優(yōu)先級確定單元15根據(jù)含在各簽名中的限制信息的內(nèi)容來確定優(yōu)先級。為給出一特定示例，使某一簽名的優(yōu)先級高于該簽名的較低的限制頻帶(即允許分組在該限制頻帶內(nèi)傳遞的限制頻帶)。
此外，對于相同類型的多個(gè)簽名(例如，并不包含限制信息的合法簽名)，可以使優(yōu)先級確定單元15根據(jù)輸入到簽名列表16a中的順序來增大優(yōu)先權(quán)。當(dāng)相同類型的簽名具有相同的限制頻帶時(shí)，也可以根據(jù)輸入到簽名列表16a中的順序來增大優(yōu)先權(quán)。
因此，基于簽名的類型、限制頻帶等，優(yōu)先級確定單元15確定由簽名通信單元14所接收的簽名、攻擊檢測單元13所產(chǎn)生的簽名以及通過輸入單元17由網(wǎng)絡(luò)管理員所設(shè)置的簽名的優(yōu)先級。然后，優(yōu)先級確定單元15將已提供了優(yōu)先級的簽名注冊到簽名列表16a中。
在圖2中，濾波單元16是這樣一種處理單元，它接收由網(wǎng)絡(luò)接口單元11所接收的分組，并基于網(wǎng)絡(luò)列表16a來控制分組的傳遞(來自于網(wǎng)絡(luò)接口單元11的分組輸出)。具體地講，濾波單元16執(zhí)行這樣一種過程，即判斷輸入分組是否對應(yīng)于(或者并不對應(yīng)于)已注冊到簽名列表16a中的“非法簽名”、“合法簽名”以及“可疑簽名”中的任何，更為具體地講，按高優(yōu)先級(優(yōu)先權(quán))的順序從注冊到簽名列表16a中的簽名中選擇簽名，并判斷輸入分組是否對應(yīng)于所選簽名。使用如圖6所示的示例，按從簽名A到簽名F的順序來選擇簽名。
如果輸入分組符合根據(jù)優(yōu)先權(quán)選擇的簽名的條件，則通過將分組輸入到預(yù)定的尾接指令(下文會描述)中或通過拋棄該分組，濾波單元16基于所選簽名的內(nèi)容來控制該分組的傳遞，在這種控制之后，對于其優(yōu)先權(quán)比在控制中所用的簽名的優(yōu)先權(quán)要低的簽名，并不執(zhí)行這些處理。即，例如，如果輸入分組并不符合簽名A的條件也不符合簽名B的條件但符合簽名C的條件，則濾波單元16將分組輸入到預(yù)定的尾接指令中，或基于簽名C來執(zhí)行像拋棄這樣的用于非法簽名的處理，并且對于由此受控的分組而言，并不使用其優(yōu)先級低于簽名C的簽名D到簽名F來執(zhí)行這些處理。
為描述尾接指令，濾波單元16將與非法簽名相對應(yīng)的分組輸入到用于處理非法分組的非法尾接指令中，將與可疑簽名相對應(yīng)的分組輸入到用于可疑用戶的可疑尾接指令中，并將與合法簽名相對應(yīng)的分組或并不與這些簽名中的任何相對應(yīng)的分組輸入到用于合法用戶的合法尾接指令中。然后，濾波單元16從網(wǎng)絡(luò)接口單元11處輸出曾被輸入到合法尾接指令中的分組而不對傳輸頻帶進(jìn)行限制，并且根據(jù)各簽名(作為條件相符的那些簽名而被選擇的簽名)所示的傳輸頻帶限制值來限制性地輸出曾被輸入到可疑尾接指令中和非法尾接指令中的分組。
當(dāng)注冊到簽名列表16a中的簽名的檢測屬性等符合預(yù)定的取消標(biāo)準(zhǔn)時(shí)，濾波單元取消符合預(yù)定的取消標(biāo)準(zhǔn)的簽名并停止基于所取消的簽名來控制分組的傳遞的過程。
〔當(dāng)可疑的攻擊性分組被檢測時(shí)所執(zhí)行的過程〕現(xiàn)在參照圖7將描述當(dāng)中繼器設(shè)備10檢測可疑的攻擊性分組時(shí)所執(zhí)行的操作過程。圖7是當(dāng)可疑的攻擊性分組被檢測時(shí)所執(zhí)行的處理步驟的流程。
如圖所示，當(dāng)中繼器設(shè)備10的攻擊檢測單元13基于圖3所示的可疑攻擊檢測條件表格13a來檢測攻擊可疑通信量時(shí)(步驟S1)，攻擊檢測單元13產(chǎn)生可疑簽名和合法簽名(步驟S2)。然后，優(yōu)先級確定單元15接收曾由攻擊檢測單元13所產(chǎn)生的可疑簽名和合法簽名，并確定這些簽名的優(yōu)先級(步驟S3) 。
具體來講，優(yōu)先級確定單元15確定合法簽名的優(yōu)先級高于可疑簽名的優(yōu)先級，并且如果有多個(gè)可疑簽名類型的簽名，則確定某一簽名的優(yōu)先級高于在該簽名中所包含的限制信息的較低頻帶。此外，確定由攻擊檢測單元13所產(chǎn)生的可疑簽名和合法簽名的優(yōu)先級，使得已注冊到簽名列表16a中的設(shè)置簽名的優(yōu)先級將較高。
之后，優(yōu)先級確定單元15準(zhǔn)備用來表達(dá)確定優(yōu)先級的結(jié)果的簽名列表16a，并將所準(zhǔn)備的簽名列表16a注冊到濾波單元16(步驟S4)。然后，簽名通信單元14將攻擊檢測單元13所產(chǎn)生的簽名等(在本實(shí)施例中，可疑簽名和合法條件)發(fā)送到相鄰的中繼器設(shè)備(步驟S5)。優(yōu)先級確定單元15確定優(yōu)先級的做法不僅發(fā)生在當(dāng)攻擊可疑通信量被檢測的時(shí)候，還以相同的方式發(fā)生在當(dāng)簽名通信單元14接收來自于另一個(gè)中繼器設(shè)備10的簽名的時(shí)候以及當(dāng)由網(wǎng)絡(luò)管理員輸入某一簽名的時(shí)候。
〔當(dāng)簽名被接收時(shí)所執(zhí)行的處理〕現(xiàn)在參照圖8將描述當(dāng)簽名被中繼器設(shè)備10接收時(shí)所執(zhí)行的操作過程。圖8是當(dāng)接收簽名時(shí)所執(zhí)行的處理步驟的流程。
如圖所示，當(dāng)中繼器設(shè)備10的簽名通信單元14接收從相鄰的中繼器設(shè)備處發(fā)送過來的簽名等(在本實(shí)施例中，可疑簽名和合法簽名)時(shí)(步驟S11)，攻擊檢測單元13基于簽名通信單元14所接收的合法條件來產(chǎn)生合法簽名(步驟S12)。
然后，優(yōu)先級確定單元15接收由簽名通信單元14所接收的可疑簽名以及由攻擊檢測單元13所產(chǎn)生的合法簽名，并確定這些簽名的優(yōu)先級(步驟S13)。此處所使用的優(yōu)先級確定方法與當(dāng)可疑的攻擊性分組被檢測時(shí)所使用的方法相同。即，合法簽名的優(yōu)先級被確定為高于可疑簽名的優(yōu)先級，并且如果有多個(gè)可疑簽名類型的簽名，則某一簽名的優(yōu)先級要被確定為高于在該簽名中所含的限制信息的較低頻帶。此外，確定從相鄰的中繼器設(shè)備中接收到的可疑簽名的優(yōu)先級以及由攻擊檢測單元13所產(chǎn)生的合法簽名的優(yōu)先級，使得已經(jīng)在簽名列表16a中注冊過的設(shè)置簽名的優(yōu)先權(quán)將更高些。
之后，優(yōu)先級確定單元15準(zhǔn)備用來表達(dá)確定優(yōu)先級的結(jié)果的簽名列表16a并將所準(zhǔn)備的簽名列表16a注冊到濾波單元16中(步驟S14)。然后，簽名通信單元14將從相鄰的中繼器設(shè)備中接收到的簽名等(在本實(shí)施例中，接收到的可疑簽名和合法條件)發(fā)送到相鄰的中繼器設(shè)備(步驟S15)。
〔當(dāng)非法分組被檢測時(shí)所執(zhí)行的處理〕現(xiàn)在參照圖9將描述當(dāng)非法分組被中繼器設(shè)備10檢測時(shí)所執(zhí)行的操作過程。圖9是當(dāng)非法分組被檢測時(shí)所執(zhí)行的處理步驟的流程。
如圖所示，當(dāng)中繼器設(shè)備10的攻擊檢測單元13基于圖14所示的非法通信量檢測條件表格13b來檢測非法通信量時(shí)(步驟S21)，攻擊檢測單元13產(chǎn)生非法簽名(步驟S22)。然后，優(yōu)先級確定單元15接收由攻擊檢測單元13所產(chǎn)生的非法簽名，并確定該簽名的優(yōu)先級(步驟S23)。
具體來講，優(yōu)先級確定單元15確定由攻擊檢測單元13所產(chǎn)生的非法簽名的優(yōu)先級，使得已經(jīng)注冊到簽名列表16a中的設(shè)置簽名的優(yōu)先級將更高些，并且使得非法簽名的優(yōu)先級將高于已經(jīng)注冊到簽名列表16a中的可疑簽名和合法簽名。如果有多個(gè)非法簽名類型的簽名，則某一簽名的優(yōu)先級被確定為高于在該簽名中所包含的限制信息的較低頻帶。
之后，優(yōu)先級確定單元15準(zhǔn)備用來表達(dá)確定優(yōu)先級的結(jié)果的簽名列表16a，并將所準(zhǔn)備的簽名列表16a注冊到濾波單元16中(步驟S24)。優(yōu)先級確定單元15根據(jù)上述優(yōu)先級確定方法來確定由網(wǎng)絡(luò)管理員設(shè)置的簽名的優(yōu)先權(quán)，這一步驟不僅發(fā)生在當(dāng)攻擊可疑通信量被檢測的時(shí)候、當(dāng)接收來自于另一個(gè)中繼器設(shè)備10的簽名的時(shí)候、以及當(dāng)非法分組被檢測的時(shí)候，還發(fā)生在當(dāng)網(wǎng)絡(luò)管理員通過輸入單元17輸入某一簽名的時(shí)候。
〔本實(shí)施例的效果〕使用本實(shí)施例時(shí)，既然為已注冊到簽名列表16a中的簽名確定了優(yōu)先級，那么就按高優(yōu)先級的順序來選擇簽名，并基于所選簽名來控制分組的傳遞，當(dāng)有多個(gè)簽名時(shí)可以根據(jù)想要的順序來處理分組。
此外，使用本實(shí)施例時(shí)，既然為設(shè)置簽名提供了比自動生成的簽名要高的優(yōu)先級并且在控制分組的過程中使用帶有優(yōu)先權(quán)的由網(wǎng)絡(luò)管理員設(shè)置的設(shè)置簽名，那么便可以用優(yōu)先權(quán)來實(shí)現(xiàn)網(wǎng)絡(luò)管理員想要的控制。
此外，使用本發(fā)明時(shí)，既然在預(yù)定的范圍內(nèi)有多個(gè)用于限制分組傳遞的簽名，那么將更高的優(yōu)先級提供給限制范圍更嚴(yán)格的簽名，并且在簽名中包含的限制信息更為嚴(yán)格的簽名用在控制分組的過程中帶有優(yōu)先權(quán)，可以安全地處理分組而不會在控制分組的過程中引起矛盾。
〔其它實(shí)施例〕盡管在上文中描述了本發(fā)明的一個(gè)實(shí)施例，但除了該實(shí)施例以外本發(fā)明還可以以各種不同的模式來實(shí)現(xiàn)。
例如，盡管使用上述實(shí)施例，優(yōu)先級被確定成“合法簽名”的優(yōu)先級將高于“可疑簽名”，但是本發(fā)明并不限于此，優(yōu)先級可以被確定成“可疑簽名”將高于“合法簽名”。即，使用上述實(shí)施例時(shí)所描述的優(yōu)先級確定方法僅僅是一個(gè)示例，本發(fā)明并不限于此，并且本發(fā)明可以以相同的方式應(yīng)用于使用其它優(yōu)先級確定方法的情況中。
盡管在本實(shí)施例中，總是在當(dāng)攻擊被檢測時(shí)產(chǎn)生“可疑簽名”，當(dāng)“可疑簽名”被產(chǎn)生時(shí)或當(dāng)從另一個(gè)中繼器設(shè)備中接收到“可疑簽名”時(shí)產(chǎn)生“合法簽名”，但本發(fā)明并不限于此，并且可以在不產(chǎn)生“可疑簽名”的情況下產(chǎn)生“合法簽名”，或可以在不接收“可疑簽名”的情況下產(chǎn)生“合法簽名”。
本實(shí)施例中所示的各設(shè)備(例如，圖1所示的中繼器設(shè)備10)的各組件是概念上的功能單元，并不是必須像所示的那樣實(shí)際排列著。即，各中繼器設(shè)備10的分散或統(tǒng)一的具體形狀并非受限于所示的那樣，并且根據(jù)各種負(fù)載、使用環(huán)境等，各中繼器設(shè)備10的整體或部分可以按功能性地或?qū)嶋H分散或統(tǒng)一的方式排列在任意的單元中。在中繼器設(shè)備10中實(shí)現(xiàn)的各種處理功能中所有的或任意的部分可以是由CPU和程序來實(shí)現(xiàn)的，這些程序是由該CPU或有線邏輯硬件來分析和執(zhí)行的。
在使用本實(shí)施例時(shí)所描述的各種處理中，作為自動實(shí)現(xiàn)而描述的處理過程中所有的或部分處理過程可以用人工來實(shí)現(xiàn)，或作為人工實(shí)現(xiàn)而描述的處理過程中所有的或部分處理過程可以用已知的方法來自動實(shí)現(xiàn)。另外，在上文及附圖中描述過的處理步驟、控制步驟、特定的名稱以及包括各種數(shù)據(jù)和參數(shù)的信息都可以按需變化，除非另外具體說明。
盡管在使用本實(shí)施例時(shí)，從多個(gè)功能方面描述了用于實(shí)現(xiàn)本發(fā)明的各種設(shè)備(例如，中繼器設(shè)備10)，但是各設(shè)備的各種功能也可以通過用個(gè)人計(jì)算機(jī)、工作站或其它計(jì)算機(jī)執(zhí)行程序來得以實(shí)現(xiàn)。即，在第一實(shí)施例中所描述的各種處理步驟可以通過執(zhí)行在計(jì)算機(jī)上預(yù)先準(zhǔn)備的程序來實(shí)現(xiàn)。這些程序可以通過互聯(lián)網(wǎng)或其它網(wǎng)絡(luò)來發(fā)布。這些程序也可以被記錄在計(jì)算機(jī)可讀存儲介質(zhì)中，比如硬盤、軟盤(FD)、CD-ROM、MO或DVD，并在由計(jì)算機(jī)從存儲介質(zhì)中讀取這些程序時(shí)執(zhí)行這些程序。為引用一個(gè)示例，可以發(fā)布存儲有本實(shí)施例所示的中繼器設(shè)備程序的CD-ROM，并且可以使計(jì)算機(jī)讀取并執(zhí)行存儲在該CD-ROM中的程序。
工業(yè)應(yīng)用如上所述，本發(fā)明的中繼器設(shè)備、中繼方法、中繼程序以及網(wǎng)絡(luò)攻擊保護(hù)系統(tǒng)可有益于基于用于控制分組傳遞的簽名來控制分組沿網(wǎng)絡(luò)的傳遞過程，并且特別適合于即便當(dāng)有多個(gè)簽名時(shí)也可以根據(jù)想要的順序來處理分組。
權(quán)利要求
1.一種中繼器設(shè)備，它排列在網(wǎng)絡(luò)中并且包括簽名存儲單元，所述簽名存儲單元存儲著用于控制分組傳遞的簽名，并且所述中繼器設(shè)備基于存儲在所述簽名存儲單元中的簽名來控制所述分組的傳遞，所述中繼器設(shè)備包括優(yōu)先級確定和提供單元，用于確定要被存儲到所述簽名存儲單元中的所述簽名的優(yōu)先級；以及分組控制單元，用于按所述優(yōu)先級確定單元所確定的那樣以高優(yōu)先級的順序從所述簽名存儲單元中選擇簽名并且基于所選簽名來控制所述分組的傳遞。
2.如權(quán)利要求1所述的中繼器設(shè)備，其特征在于，所述簽名存儲單元存儲著自動生成的簽名，所述自動生成的簽名是根據(jù)預(yù)定的條件判斷過程和所述網(wǎng)絡(luò)的管理員所設(shè)置的設(shè)置簽名而自動生成的，并且所述優(yōu)先級確定單元將優(yōu)先級提供給要被存儲到所述簽名存儲單元中的所述自動生成簽名和所述設(shè)置簽名，使得提供給所述設(shè)置簽名的優(yōu)先級高于所述自動生成簽名。
3.如權(quán)利要求1或2所述的中繼器設(shè)備，其特征在于，所述簽名存儲單元存儲著用于將所述分組的傳遞限制在預(yù)定范圍內(nèi)的多個(gè)簽名，并且所述優(yōu)先級確定單元將優(yōu)先級提供給要被存儲到所述簽名存儲中的簽名，使得限制范圍更為嚴(yán)格的簽名的優(yōu)先級更高。
4.如權(quán)利要求1所述的中繼器設(shè)備，還包括可疑簽名產(chǎn)生單元，它基于預(yù)定的可疑攻擊檢測條件來檢測可疑的攻擊性分組并且產(chǎn)生用于限制所述可疑的攻擊性分組的可疑簽名；并且其中，當(dāng)所述可疑簽名產(chǎn)生單元產(chǎn)生可疑簽名時(shí)，一旦將優(yōu)先級提供給所述可疑簽名，所述優(yōu)先級確定單元就將所述可疑簽名存儲到所述簽名存儲單元中。
5.如權(quán)利要求1所述的中繼器設(shè)備，還包括合法簽名產(chǎn)生單元，它基于預(yù)定的合法條件來產(chǎn)生用于激活有效分組的合法簽名；以及其中，當(dāng)所述合法簽名產(chǎn)生單元產(chǎn)生合法簽名時(shí)，一旦將優(yōu)先級提供給所述合法簽名，所述優(yōu)先級確定單元就將所述合法簽名存儲到所述簽名存儲單元中。
6.如權(quán)利要求1所述的中繼器設(shè)備，還包括非法簽名產(chǎn)生單元，它基于預(yù)定的非法通信量檢測條件來檢測非法分組并且產(chǎn)生用于限制所述非法分組的非法簽名；以及其中，當(dāng)所述非法簽名產(chǎn)生單元產(chǎn)生非法簽名時(shí)，一旦將優(yōu)先級提供給所述非法簽名，所述優(yōu)先級確定單元就將所述非法簽名存儲到所述簽名存儲單元中。
7.如權(quán)利要求1所述的中繼器設(shè)備，還包括簽名接收單元，它從其它中繼器設(shè)備中接收用于限制可疑的攻擊性分組的可疑簽名；以及其中，當(dāng)所述簽名產(chǎn)生單元接收到可疑簽名時(shí)，一旦將優(yōu)先級提供給所述可疑簽名，所述優(yōu)先級確定單元就將所述可疑簽名存儲到所述簽名存儲單元中。
8.如權(quán)利要求1所述的中繼器設(shè)備，還包括合法簽名產(chǎn)生單元，它基于從所述其它中繼器設(shè)備中接收到的預(yù)定的合法條件來產(chǎn)生用于激活有效分組的合法簽名；以及其中，當(dāng)所述合法簽名產(chǎn)生單元產(chǎn)生合法簽名時(shí)，一旦將優(yōu)先級提供給所述合法簽名，所述優(yōu)先級確定單元就將所述合法簽名存儲到所述簽名存儲單元中。
9.如權(quán)利要求1所述的中繼器設(shè)備，還包括簽名輸入單元，用于接收和輸入來自于網(wǎng)絡(luò)管理員的簽名；以及其中，當(dāng)所述簽名輸入單元輸入簽名時(shí)，一旦將優(yōu)先級提供給所述簽名，所述優(yōu)先級確定單元就將所述簽名存儲到所述簽名存儲單元中。
10.一種網(wǎng)絡(luò)攻擊保護(hù)系統(tǒng)，它包括簽名存儲單元，所述簽名存儲單元存儲著用于控制分組傳遞的簽名，并且所述網(wǎng)絡(luò)攻擊保護(hù)系統(tǒng)基于存儲在所述簽名存儲單元中的簽名來控制所述分組的傳遞，所述網(wǎng)絡(luò)攻擊保護(hù)系統(tǒng)包括優(yōu)先級確定和提供單元，用于確定要被存儲到所述簽名存儲單元中的簽名的優(yōu)先級；以及分組控制單元，用于按所述優(yōu)先級確定單元所確定的那樣以高優(yōu)先級的順序從所述簽名存儲單元中選擇簽名并且基于所選簽名來控制所述分組的傳遞。
11.一種在某一設(shè)備上實(shí)現(xiàn)的中繼方法，所述設(shè)備排列在某一網(wǎng)絡(luò)中并且包括簽名存儲單元，所述簽名存儲單元存儲著用于控制分組傳遞的簽名，所述設(shè)備基于存儲在所述簽名單元存儲中的所述簽名來控制所述分組的傳遞，所述中繼方法包括優(yōu)先級確定和提供單元步驟，用于確定要被存儲到所述簽名存儲單元中的所述簽名的優(yōu)先級；以及分組控制步驟，用于按所述優(yōu)先級確定單元所確定的那樣以高優(yōu)先級的順序從所述簽名存儲單元中選擇簽名。
12.如權(quán)利要求11所述的中繼方法，其特征在于，所述簽名存儲單元存儲著自動生成的簽名，所述自動生成的簽名是根據(jù)預(yù)定的條件判斷過程和所述的網(wǎng)絡(luò)管理員所設(shè)置的設(shè)置簽名而自動產(chǎn)生的，并且所述優(yōu)先級確定步驟包括將優(yōu)先級提供給要被存儲到所述簽名存儲單元中的所述自動生成簽名和所述設(shè)置簽名，使得提供給所述設(shè)置簽名的優(yōu)先級高于所述自動生成的簽名。
13.如權(quán)利要求11或12所述的中繼方法，其特征在于，所述簽名存儲單元存儲著用于將所述分組傳遞限制在預(yù)定范圍內(nèi)的多個(gè)分組，以及所述優(yōu)先級確定步驟包括將優(yōu)先級提供給要被存儲到所述簽名存儲單元中的所述簽名，使得限制范圍更嚴(yán)格的簽名的優(yōu)先級更高。
14.一種中繼程序，所述中繼程序使簽名存儲單元存儲用于控制分組傳遞的簽名，并基于存儲在所述簽名存儲單元中的所述簽名來控制所述分組的傳遞，所述中繼程序包括優(yōu)先級確定和提供單元處理，用于確定要被存儲到所述簽名存儲單元中的所述簽名的優(yōu)先級；以及分組控制處理，用于按所述優(yōu)先級確定單元所確定的那樣以高優(yōu)先級的順序從所述簽名存儲單元中選擇簽名并且基于所選簽名來控制所述分組的傳遞。
15.如權(quán)利要求14所述的中繼程序，其特征在于，所述簽名存儲單元存儲著自動生成的簽名，所述自動生成的簽名是根據(jù)預(yù)定的條件判斷過程和所述網(wǎng)絡(luò)的管理員所設(shè)置的設(shè)置簽名而自動生成的，并且所述優(yōu)先級確定步驟包括將優(yōu)先級提供給要被存儲到所述簽名存儲單元中的所述自動生成簽名和所述設(shè)置簽名，使得所述設(shè)置簽名的優(yōu)先級高于所述自動生成的簽名。
16.如權(quán)利要求14或15所述的中繼程序，其特征在于，所述簽名存儲單元存儲著用于將所述分組的傳遞限制在預(yù)定范圍內(nèi)的多個(gè)簽名，并且所述優(yōu)先級確定步驟包括將優(yōu)先級提供給要被存儲到所述簽名存儲單元中的所述簽名，使得限制范圍更為嚴(yán)格的簽名的優(yōu)先級更高。
全文摘要
在簽名列表的注冊簽名(可疑簽名、合法簽名、非法簽名)中，中繼器設(shè)備10從使設(shè)置簽名的優(yōu)先級高于自動生成的簽名的立場出發(fā)來決定要被注冊的這些簽名的優(yōu)先級。在控制分組傳遞的過程中，中繼器設(shè)備10按高優(yōu)先級(優(yōu)先權(quán))的順序從已注冊到簽名列表中的多個(gè)簽名中選擇簽名，判斷該分組是否與所選簽名相對應(yīng)，并基于相應(yīng)的簽名來控制該分組。
文檔編號G06F13/00GK1879372SQ200580000658
公開日2006年12月13日 申請日期2005年9月9日 優(yōu)先權(quán)日2004年10月12日
發(fā)明者瀨林克啟, 倉上弘, 副島裕司, E·陳, 冨士仁 申請人:日本電信電話株式會社