マルチホーミングにおけるIPアドレスホッピングを用いたDDoS攻撃防御方式

• Item type: Journal(1)
• 公開日: 2017-09-15
• タイトル: マルチホーミングにおけるIPアドレスホッピングを用いたDDoS攻撃防御方式
• タイトル / 言語: en
• タイトル: A DDoS Attack Defense Method Using IP Address-hopping on Multihoming
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: [特集：高度化するサイバー攻撃に対応するコンピュータセキュリティ技術] IPアドレスホッピング，マルチホーミング，DDoS攻撃防御方式
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_6501
• 資源タイプ: journal article
• 著者所属: 筑波大学／現在，東京大学
• 著者所属: 筑波大学
• 著者所属(英): en
• 著者所属(英): University of Tsukuba / Presently with University of Tokyo
• 著者所属(英): en
• 著者所属(英): University of Tsukuba
• 著者名: 岩永, 崇裕; 木村, 成伴
• 著者名(英): Takahiro, Iwanaga; Shigetomo, Kimura
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: インターネットセキュリティを脅かす強力で防御が難しい攻撃の1つにDDoS攻撃があげられる．このDDoS攻撃では，送信元のIPアドレスを偽装する“IPスプーフィング”を用いることで，攻撃の発生源を容易に特定することが妨げられるため，結果的に，攻撃を防ぐことが困難になる．この問題を解決するため，Khorらは，Overfortを提案している．この方式では，サーバはマルチホーミングしており，通常は，一方のIPアドレスからのみ接続を受け付ける．攻撃時には，このIPアドレスでの接続は放棄し，秘匿していた方のIPアドレスでのトンネリング接続のみ受け付けるが，攻撃者がサーバの名前解決に利用するLDNS（Local DNS）サーバに，トンネルの入り口のIPアドレスを通知しないペナルティを与えることで，攻撃パケットを送付できなくしている．しかし，この方式では，ISPがOverfortに対応するゲートウェイを導入する必要があるなどの課題があった．そこで本論文では，攻撃者が用いるLDNSに対して，変更後のアドレスを通知しない，というアイデアに基づき，ISPとの連携を必要とせず，サーバサイドのみの変更で実現が可能な，DDoS攻撃防御方法を提案する．最後に，シミュレーション実験を行い，サーバに与えられる十分なIPアドレスがある場合，提案方式は，本論文で定義する様々な攻撃が，防御可能であることを示す．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: A DDoS attack is one of the most important threats that are hard to protect for internet security. The attack uses IP spoofing to fake the source address so that the attacker's source point is not easy to identify. In order to solve the problem, Khor et al. proposed Overfort. In this method, a server is multi-homing, where it usually accepts connections only from the one of the IP addresses and hides the rest of them. When the server is attacked, it ignores all the connections to the IP address, and accepts only tunneling connections to the one of hidden IP addresses. It also gives a penalty not to notify the IP address of the entrance of the tunnel for the LDNS (Local DNS) server that an attacker uses to resolve the server's address. However, the method has problems that ISPs need to introduce a gateway to support Overfort, and so on. This paper proposes a new DDoS attack defense method based on the idea not to notify the changed address to the attacker's LDNS. The proposed method can be realized by only the efforts of the server side without cooperation of the ISPs. Finally, the simulation experiments show that the proposed method can protect against DDoS attacks defined in the paper, if the server has enough IP addresses.
• 書誌レコードID / 収録物識別子タイプ: NCID
• 書誌レコードID / 収録物識別子: AN00116647
• 書誌情報: 情報処理学会論文誌; 巻 58, 号 9, p. 1432-1449, 発行日 2017-09-15
• ISSN / 収録物識別子タイプ: ISSN
• ISSN / 収録物識別子: 1882-7764