[index] AT-DC2552XS コマンドリファレンス 2.5.4.1

トラフィック制御 / 攻撃検出

攻撃検出機能は、スイッチポートでDoS（サービス妨害）攻撃と思われるトラフィックを検出したときに、該当ポートを一定時間シャットダウンして、本製品と配下のネットワークを保護する機能です。

Note - トランクグループ（saX, poX）、および、トランクグループの所属ポートでは、攻撃検出機能を使用できません。

Note - 同一ポート上で攻撃検出機能、インターフェースACL、ポリシーマップを併用する場合、すべての機能を通過しないとパケットは出力されません。詳細は「トラフィック制御」/「ハードウェアパケットフィルター」の「各種フィルター機能の処理フロー」をご参照ください。

基本仕様

本機能で検出できる攻撃と検出のための設定コマンド、検出条件、および、後述する内部領域の消費量は次表のとおりです。

表 1：検出対象の攻撃一覧

攻撃名称 攻撃解説 設定コマンド 検出条件 内部領域消費量

IPオプション攻撃不正なIPオプションを含むパケットを送りつける攻撃。ただし、本機能では「不正」かどうかの判定は行わず、すべてのIPオプション付きパケットの受信レートによって本攻撃を検出する dos ipoptions IPオプション付きIPパケットの受信レートが毎秒20個を超えた 1単位/ポート

Land攻撃始点と終点に同じアドレスを設定したIPパケットを送りつけることによるDoS攻撃 dos land 始点・終点に同じIPアドレスがセットされたIPパケットを受信した 1単位/ポート

Ping of Death攻撃特定サイズのPingパケットを送りつけることによりシステムをクラッシュさせる攻撃 dos ping-of-death 再構成後のICMPデータサイズ（IPヘッダーとICMPヘッダーを除いたサイズ）が63447バイトを超えるフラグメント化されたICMP Echo（Ping）パケットを受信した 1単位/ポート

Smurf攻撃始点アドレスを詐称（標的のアドレスを設定する）したPingパケットを中継サイトのディレクテッドブロードキャストアドレスに送り、中継サイトから標的サイトに大量にリプライを送りつけさせるDoS攻撃 dos smurf あらかじめ設定しておいたディレクティドブロードキャストアドレス宛てのICMP Echo（Ping）パケットを受信した 1単位/ポート

SYNフラッド攻撃 TCPのSYNパケットを断続的に送りつけ、ハーフオープンのコネクションを大量に生成し、標的システムのコネクションキーを枯渇させるDoS攻撃 dos synflood TCP SYNパケットの受信レートが毎秒60個を超えた 2単位/ポート

Teardrop攻撃 IPパケットのオフセット情報を偽造したパケットを送り、パケットの復元処理をうまくできないといったTCP/IP実装上の問題をついた攻撃 dos teardrop 不正なオフセットを持ったフラグメントを含むフラグメント化されたIPパケットを受信した 1単位/ポート

内部領域と設定可能数

攻撃検出機能は、同機能専用のシステム内部領域を使います。攻撃検出機能用の内部領域は総容量256単位です。

スイッチポートで各種攻撃検出機能を有効にすると、前表の「内部領域消費量」欄に記載された数だけ内部領域が消費されます。

攻撃検出機能を何種類、何ポートまで有効に設定できるかは、この内部領域の消費具合によって決まります。

たとえば、スイッチポート1.0.1ですべての攻撃を検出するように設定すると、内部領域が7単位消費されます。
また、スイッチポート1.0.1～1.0.10の10ポートですべての攻撃を検出するように設定した場合は、7×10＝70単位が消費されます。

すべてのポート（52ポート）ですべての攻撃を検出するためには、7×52＝364単位の内部領域が必要となりますが、攻撃検出機能が使える内部領域は256単位なので、これは不可能です。

■ 攻撃検出機能による内部領域の消費状況は、show platform classifier statistics utilization briefコマンドで確認できます。

awplus# show platform classifier statistics utilization brief ↓

Policy Type「DoS」の「Used」欄が攻撃検出機能による消費量を示しています。

攻撃検出機能を使用する場合は、同コマンドで消費量を確認しながら、必要なポートでのみ、必要な攻撃検出機能を有効にしてください。

基本設定

攻撃検出機能の設定はスイッチポートごとに行います。
1つのポートに対して、複数の攻撃を検出するよう設定することができます。

Note - Ping of Death攻撃とTeardrop攻撃の検出機能はCPUに負荷をかけるため、必要なポートでのみ本機能を有効化してください。また、これらの攻撃の検出機能をフラグメントパケットが多い環境で使用することはおすすめできません。

■ たとえば、スイッチポート1.0.1において、IPオプション攻撃とLand攻撃の検出機能を有効化するには、次のようにします。
これらの攻撃を検出した場合は、ポートを1分間シャットダウン（物理的にリンクダウン）します。

awplus(config)# interface port1.0.1 ↓ awplus(config-if)# dos ipoptions action shutdown ↓ awplus(config-if)# dos land action shutdown ↓

なお、Smurf攻撃の検出機能を有効化するときは、本製品に直結されているIPサブネットのディレクティドブロードキャストアドレスを指定する必要があります。
本製品は、対象スイッチポートにおいて指定したアドレス宛てのICMP Echo（Ping）パケットを受信すると、Smurf攻撃が発生したと認識します。

awplus(config-if)# dos smurf broadcast 192.168.10.255 action shutdown ↓

Note - Smurf攻撃の検出条件となるディレクティドブロードキャストアドレスは1ポートあたり1つしか設定できません。

■ 攻撃検出機能の設定や状態を確認するには、show dos interfaceコマンドを使います。

awplus> show dos interface port1.0.1 ↓ DoS settings for interface port1.0.1 ----------------------------------------- Port status : Enabled ipoptions : Enabled Action : Shutdown port Attacks detected : 0 land : Enabled Action : Shutdown port Attacks detected : 0 ping-of-death : Disabled smurf : Enabled Action : Shutdown port Attacks detected : 0 synflood : Disabled teardrop : Disabled

■ 攻撃検出機能を無効化するには、各コマンドをno形式で実行します。

awplus(config)# interface port1.0.1 ↓ awplus(config-if)# no dos ipoptions ↓ awplus(config-if)# no dos land ↓ awplus(config-if)# no dos smurf ↓

PN: 613-001633 Rev.D

攻撃名称	攻撃解説	設定コマンド	検出条件	内部領域消費量
IPオプション攻撃	不正なIPオプションを含むパケットを送りつける攻撃。ただし、本機能では「不正」かどうかの判定は行わず、すべてのIPオプション付きパケットの受信レートによって本攻撃を検出する	dos ipoptions	IPオプション付きIPパケットの受信レートが毎秒20個を超えた	1単位/ポート
Land攻撃	始点と終点に同じアドレスを設定したIPパケットを送りつけることによるDoS攻撃	dos land	始点・終点に同じIPアドレスがセットされたIPパケットを受信した	1単位/ポート
Ping of Death攻撃	特定サイズのPingパケットを送りつけることによりシステムをクラッシュさせる攻撃	dos ping-of-death	再構成後のICMPデータサイズ（IPヘッダーとICMPヘッダーを除いたサイズ）が63447バイトを超えるフラグメント化されたICMP Echo（Ping）パケットを受信した	1単位/ポート
Smurf攻撃	始点アドレスを詐称（標的のアドレスを設定する）したPingパケットを中継サイトのディレクテッドブロードキャストアドレスに送り、中継サイトから標的サイトに大量にリプライを送りつけさせるDoS攻撃	dos smurf	あらかじめ設定しておいたディレクティドブロードキャストアドレス宛てのICMP Echo（Ping）パケットを受信した	1単位/ポート
SYNフラッド攻撃	TCPのSYNパケットを断続的に送りつけ、ハーフオープンのコネクションを大量に生成し、標的システムのコネクションキーを枯渇させるDoS攻撃	dos synflood	TCP SYNパケットの受信レートが毎秒60個を超えた	2単位/ポート
Teardrop攻撃	IPパケットのオフセット情報を偽造したパケットを送り、パケットの復元処理をうまくできないといったTCP/IP実装上の問題をついた攻撃	dos teardrop	不正なオフセットを持ったフラグメントを含むフラグメント化されたIPパケットを受信した	1単位/ポート