(57)【要約】  トラフィック監視システム（１０）は、自ネットワーク（１００）に流れるトラフィックを監視し、異常なトラフィックが検出された場合に、当該異常なトラフィックを分析して得られる異常なトラフィックの送信元装置を示す攻撃元情報に基づいて、攻撃元となる攻撃元ネットワークを特定し、また、当該異常なトラフィックを分析して得られる異常なトラフィックの送信先装置を示す攻撃先情報に基づいて、攻撃先となる攻撃先ネットワークを特定し、特定された攻撃元ネットワークに対応する管理者情報を取得して、攻撃元情報を通知するとともに、特定された攻撃先ネットワークに対応する管理者情報を取得して、攻撃先情報を通知する。
2009041686.tif 000002
【特許請求の範囲】
【請求項１】
複数の装置が接続されて構成される自ネットワークと、同様に構成される複数の他ネットワークとが相互に接続されて構成されるネットワークシステムにおいて、前記自ネットワークに接続され、前記ネットワークシステムを攻撃する異常なトラフィックを検出するネットワーク監視装置であって、
前記ネットワークシステムを構成する複数のネットワークそれぞれに対応付けて、当該複数のネットワークそれぞれを特定するネットワーク情報を記憶するネットワーク情報記憶手段と、
前記ネットワーク情報記憶手段に記憶される複数のネットワークそれぞれに対応付けて、当該複数のネットワークそれぞれを管理する管理者情報を記憶する管理者情報記憶手段と、
前記自ネットワークに流れるトラフィックを監視し、異常なトラフィックが検出された場合に、当該異常なトラフィックを分析して得られる異常なトラフィックの送信元装置を示す攻撃元情報に基づいて、前記ネットワーク情報記憶手段に記憶されるネットワーク情報から、攻撃元となる攻撃元ネットワークを特定する攻撃元ネットワーク特定手段と、
前記異常なトラフィックが検出された場合に、当該異常なトラフィックを分析して得られる異常なトラフィックの送信先装置を示す攻撃先情報に基づいて、前記ネットワーク情報記憶手段に記憶されるネットワーク情報から、攻撃先となる攻撃先ネットワークを特定する攻撃先ネットワーク特定手段と、
前記攻撃元ネットワーク特定手段により特定された攻撃元ネットワークに対応する管理者情報を前記管理者情報記憶手段から取得して、取得した管理者情報を用いて、前記攻撃元情報を通知するとともに、前記攻撃先ネットワーク特定手段により特定された攻撃先ネットワークに対応する管理者情報を前記管理者情報記憶手段から取得して、取得した管理者情報を用いて、前記攻撃先情報を通知する攻撃通知手段と、
を備えたことを特徴とするネットワーク監視装置。
【請求項２】
前記異常なトラフィックを分析して得られる攻撃元情報と攻撃先情報とを、前記管理者情報記憶手段に記憶される自ネットワークの管理者情報を用いて、自ネットワークの管理者装置に通知する自ネットワーク管理者通知手段をさらに備えたことを特徴とする請求項１に記載のネットワーク監視装置。
【請求項３】
前記異常なトラフィックを分析して得られる攻撃元情報と攻撃先情報とを記憶する攻撃情報記憶手段をさらに備えたことを特徴とする請求項１または２に記載のネットワーク監視装置。
【請求項４】
前記攻撃情報記憶手段に記憶される攻撃元情報と攻撃先情報とから、攻撃の統計情報を生成する統計情報生成手段をさらに備えたことを特徴とする請求項３に記載のネットワーク監視装置。
【請求項５】
前記攻撃情報記憶手段に記憶される攻撃元情報と攻撃先情報および前記統計情報生成手段により生成された統計情報の閲覧要求を、前記管理者情報記憶手段に記憶される管理者情報に対応する管理者装置から受け付けた場合に、当該管理者装置が正当な装置であることを認証した上で、当該管理者装置が管理するネットワークに対応する情報のみを当該管理者装置に出力する攻撃情報閲覧手段をさらに備えたことを特徴とする請求項４に記載のネットワーク監視装置。
【請求項６】
前記ネットワークシステムにおける複数の他ネットワークは、前記自ネットワークを介して相互に通信可能に接続されるものであって、
前記ネットワーク情報記憶手段は、前記ネットワーク情報として、前記複数のネットワークそれぞれを特定するための情報であるＭＡＣアドレス、ネットワークアドレス、ＶＬＡＮＩＤ、ルータのインタフェースの少なくとも一つを記憶し、
前記攻撃元ネットワーク特定手段は、前記自ネットワークに流れるトラフィックを監視し、異常なトラフィックが検出された場合に、当該異常なトラフィックを分析して得られる異常なトラフィックの送信元装置を示す前記ネットワーク情報に基づいて、前記ネットワーク情報記憶手段から前記攻撃元ネットワークを特定し、
前記攻撃先ネットワーク特定手段は、前記異常なトラフィックが検出された場合に、当該異常なトラフィックを分析して得られる異常なトラフィックの送信先装置を示す前記ネットワーク情報に基づいて、前記ネットワーク情報記憶手段から前記攻撃先ネットワークを特定することを特徴とする請求項１に記載のネットワーク監視装置。
【請求項７】
前記ネットワーク情報記憶手段は、前記ネットワーク情報に対応付けて、前記自ネットワークに流れる異常なトラフィックを検出するためのトラフィック監視情報を適用したフィルタに関するフィルタ情報をさらに記憶するものであって、
前記攻撃先ネットワーク特定手段は、前記異常なトラフィックが検出された場合に、当該異常トラフィックを検出したフィルタにより特定される前記ネットワーク情報記憶手段に記憶されるフィルタ情報とネットワーク情報とから、前記攻撃先ネットワークを特定することを特徴とする請求項１に記載のネットワーク監視装置。
【請求項８】
複数の装置が接続されて構成される自ネットワークと、同様に構成される複数の他ネットワークとが相互に接続されて構成されるネットワークシステムにおいて、前記自ネットワークに接続され、前記ネットワークシステムを攻撃する異常なトラフィックを検出することに適したネットワーク監視方法であって、
前記ネットワークシステムを構成する複数のネットワークそれぞれに対応付けて、当該複数のネットワークそれぞれを特定するネットワーク情報を記憶するネットワーク情報記憶手段と、
前記ネットワーク情報記憶手段に記憶される複数のネットワークそれぞれに対応付けて、当該複数のネットワークそれぞれを管理する管理者情報を記憶する管理者情報記憶手段と、
前記自ネットワークに流れるトラフィックを監視し、異常なトラフィックが検出された場合に、当該異常なトラフィックを分析して得られる異常なトラフィックの送信元装置を示す攻撃元情報に基づいて、前記ネットワーク情報記憶手段に記憶されるネットワーク情報から、攻撃元となる攻撃元ネットワークを特定する攻撃元ネットワーク特定工程と、
前記異常なトラフィックが検出された場合に、当該異常なトラフィックを分析して得られる異常なトラフィックの送信先装置を示す攻撃先情報に基づいて、前記ネットワーク情報記憶手段に記憶されるネットワーク情報から、攻撃先となる攻撃先ネットワークを特定する攻撃先ネットワーク特定工程と、
前記攻撃元ネットワーク特定工程により特定された攻撃元ネットワークに対応する管理者情報を前記管理者情報記憶手段から取得して、取得した管理者情報を用いて、前記攻撃元情報を通知するとともに、前記攻撃先ネットワーク特定工程により特定された攻撃先ネットワークに対応する管理者情報を前記管理者情報記憶手段から取得して、取得した管理者情報を用いて、前記攻撃先情報を通知する攻撃通知工程と、
を含んだことを特徴とするネットワーク監視方法。
【請求項９】
複数の装置が接続されて構成される自ネットワークと、同様に構成される複数の他ネットワークとが相互に接続されて構成されるネットワークシステムにおいて、前記自ネットワークに接続され、前記ネットワークシステムを攻撃する異常なトラフィックを検出することをコンピュータに実行させるネットワーク監視プログラムであって、
前記ネットワークシステムを構成する複数のネットワークそれぞれに対応付けて、当該複数のネットワークそれぞれを特定するネットワーク情報を記憶するネットワーク情報記憶手段と、
前記ネットワーク情報記憶手段に記憶される複数のネットワークそれぞれに対応付けて、当該複数のネットワークそれぞれを管理する管理者情報を記憶する管理者情報記憶手段と、
前記自ネットワークに流れるトラフィックを監視し、異常なトラフィックが検出された場合に、当該異常なトラフィックを分析して得られる異常なトラフィックの送信元装置を示す攻撃元情報に基づいて、前記ネットワーク情報記憶手段に記憶されるネットワーク情報から、攻撃元となる攻撃元ネットワークを特定する攻撃元ネットワーク特定手順と、
前記異常なトラフィックが検出された場合に、当該異常なトラフィックを分析して得られる異常なトラフィックの送信先装置を示す攻撃先情報に基づいて、前記ネットワーク情報記憶手段に記憶されるネットワーク情報から、攻撃先となる攻撃先ネットワークを特定する攻撃先ネットワーク特定手順と、
前記攻撃元ネットワーク特定手順により特定された攻撃元ネットワークに対応する管理者情報を前記管理者情報記憶手段から取得して、取得した管理者情報を用いて、前記攻撃元情報を通知するとともに、前記攻撃先ネットワーク特定手順により特定された攻撃先ネットワークに対応する管理者情報を前記管理者情報記憶手段から取得して、取得した管理者情報を用いて、前記攻撃先情報を通知する攻撃通知手順と、
をコンピュータに実行させることを特徴とするネットワーク監視プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、複数の装置が接続されて構成される自ネットワークと、同様に構成される複数の他ネットワークとが相互に接続されて構成されるネットワークシステムにおいて、前記自ネットワークに接続され、前記ネットワークシステムを攻撃する異常なトラフィックを検出するネットワーク監視装置、ネットワーク監視方法およびネットワーク監視プログラムに関する。
【背景技術】
【０００２】
従来より、ネットワークに接続された機器に対し、ネットワーク経由で行う攻撃としてＤｏＳ（Denial  of  Service）攻撃やＤＤｏＳ（Disributed  Denial  of  Service）攻撃が知られている。【０００３】
ＤｏＳ攻撃とは、ネットワークに接続された機器（例えば、サーバなど）が提供するサービスの妨害を目的とし、攻撃者が当該機器に大量のＩＰパケットを送信することにより、ネットワークや機器のリソースを消費させ、サービスを妨害および拒否する手法である。また、ＤＤｏＳ攻撃とは、不正アクセスなどによって攻撃用プログラムをシステム内に組み込まれた、いわゆる「踏み台」と呼ばれるコンピュータが、標的となるネットワーク上の機器に対して一斉に攻撃を行うものである。【０００４】
近年、ＤｏＳ攻撃ならびにＤＤｏＳ攻撃が増加しており、既に社会インフラとなりつつあるインターネットで安定したサービスを提供するために、このようなＤｏＳ攻撃やＤＤｏＳ攻撃の対策を行うことが重要となっている。【０００５】
このようなＤｏＳ攻撃やＤＤｏＳ攻撃を防御する手法として、例えば、特許文献１（特開２００６−６７０７８号公報）などに開示されている技術がある。具体的には、特許文献１では、攻撃を検知したルータ（すなわち、被害を受けている機器に最も近傍のルータ）が、管理装置に攻撃検知情報を転送する。そして、転送を受けた管理装置は、受信した攻撃検知情報を分析し、分析結果に基づいて、各ルータに防御指示を与える。【０００６】
【特許文献１】特開２００６−６７０７８号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、上記した従来の技術は、相互接続している他のネットワーク事業者が管理している機器が攻撃を受けた場合に、それが攻撃であるか否かを判断することが難しいために、攻撃を受けていることを迅速に通知することができないという課題があった。その結果、実際に攻撃であった場合に、自ネットワーク事業者側で防御を施すことができず、当該攻撃を受けている他のネットワーク事業者と連絡を取り、当該他のネットワーク事業者の判断の下で防御を行う必要があり、攻撃を防御するまでに時間がかかっていた。【０００８】
ここで、この課題について具体的に説明する。従来の技術（特許文献１）では、図９に示すように、攻撃を受けている機器を直接収容しているネットワーク事業者においては有効である。ところが、最近のインターネットは、様々なネットワークが相互に接続されて構成されている。換言すると、インターネットを構成しているルータなどの機器は、様々なネットワーク事業者によって運営・管理されている。【０００９】
例を挙げて説明すると、図１０に示すように、ＩＳＰ（Internet  Service  Provider）１、ＩＳＰ２、ＩＳＰ３、ＩＳＰ４、ＩＸ（Internet  eXchange）の５つのネットワークが相互に接続されるネットワークシステムにおいて、攻撃者が、ＩＳＰ１とＩＸとを介してＩＳＰ４のサーバに攻撃しており、別の攻撃者がＩＳＰ２とＩＸとを介してＩＳＰ４のサーバに攻撃しているとする。この場合、ＩＸ側では、攻撃を検知しても、それが攻撃であるのか否かを判断することができず（サーバを管理しているＩＳＰ４でないと判断できない）、その結果、さらに、ＩＸ側の判断だけで攻撃を防御することができない。【００１０】
つまり、他ネットワーク事業者が管理しているＷｅｂサーバで人気度の非常に高いコンテンツが公開されると、膨大な量のパケットが流れることになるが、それが正規のパケットであるのか、ＤＤｏＳ攻撃によるものなのかを、自ネットワーク事業者側で判断することが難しい。また、他ネットワーク事業者が管理している機器に対して攻撃が発生した場合に、自ネットワーク事業者側の判断でそれを勝手に防御することはできず、当該他ネットワーク事業者とメールや電話で連絡を取り、当該他ネットワーク側で防御することとなる。その結果、攻撃が発生してから対処を行うまでに時間がかかり、その間攻撃を受け続けることとなる。また、大規模な攻撃が発生した場合、攻撃を受けている機器や当該機器を収容している他ネットワーク事業者が被害を受けるだけでなく、自ネットワーク事業者や自ネットワーク事業者と相互接続しているネットワーク事業者にも影響を与える可能性がある。【００１１】
このように、従来の技術は、相互接続している他のネットワーク事業者が管理している機器が攻撃を受けた場合に、それが攻撃であるか否かを判断することが難しく、また、実際に攻撃であった場合に、自ネットワーク事業者側で防御を施すことができず、当該攻撃を受けている他のネットワーク事業者と連絡を取り、当該他のネットワーク事業者の判断の下で防御を行う必要があり、攻撃を防御するまでに時間がかかる。【００１２】
そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、相互接続している他のネットワーク事業者が管理している機器が攻撃を受けた場合に、攻撃元のネットワークおよび攻撃先のネットワークに迅速に攻撃情報を通知することが可能であるネットワーク監視装置、ネットワーク監視方法およびネットワーク監視プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１３】
上述した課題を解決し、目的を達成するため、請求項１に係る発明は、複数の装置が接続されて構成される自ネットワークと、同様に構成される複数の他ネットワークとが相互に接続されて構成されるネットワークシステムにおいて、前記自ネットワークに接続され、前記ネットワークシステムを攻撃する異常なトラフィックを検出するネットワーク監視装置であって、前記ネットワークシステムを構成する複数のネットワークそれぞれに対応付けて、当該複数のネットワークそれぞれを特定するネットワーク情報を記憶するネットワーク情報記憶手段と、前記ネットワーク情報記憶手段に記憶される複数のネットワークそれぞれに対応付けて、当該複数のネットワークそれぞれを管理する管理者情報を記憶する管理者情報記憶手段と、前記自ネットワークに流れるトラフィックを監視し、異常なトラフィックが検出された場合に、当該異常なトラフィックを分析して得られる異常なトラフィックの送信元装置を示す攻撃元情報に基づいて、前記ネットワーク情報記憶手段に記憶されるネットワーク情報から、攻撃元となる攻撃元ネットワークを特定する攻撃元ネットワーク特定手段と、前記異常なトラフィックが検出された場合に、当該異常なトラフィックを分析して得られる異常なトラフィックの送信先装置を示す攻撃先情報に基づいて、前記ネットワーク情報記憶手段に記憶されるネットワーク情報から、攻撃先となる攻撃先ネットワークを特定する攻撃先ネットワーク特定手段と、前記攻撃元ネットワーク特定手段により特定された攻撃元ネットワークに対応する管理者情報を前記管理者情報記憶手段から取得して、取得した管理者情報を用いて、前記攻撃元情報を通知するとともに、前記攻撃先ネットワーク特定手段により特定された攻撃先ネットワークに対応する管理者情報を前記管理者情報記憶手段から取得して、取得した管理者情報を用いて、前記攻撃先情報を通知する攻撃通知手段と、を備えたことを特徴とする。【００１４】
また、請求項２に係る発明は、上記の発明において、前記異常なトラフィックを分析して得られる攻撃元情報と攻撃先情報とを、前記管理者情報記憶手段に記憶される自ネットワークの管理者情報を用いて、自ネットワークの管理者装置に通知する自ネットワーク管理者通知手段をさらに備えたことを特徴とする。【００１５】
また、請求項３に係る発明は、上記の発明において、前記異常なトラフィックを分析して得られる攻撃元情報と攻撃先情報とを記憶する攻撃情報記憶手段をさらに備えたことを特徴とする。【００１６】
また、請求項４に係る発明は、上記の発明において、前記攻撃情報記憶手段に記憶される攻撃元情報と攻撃先情報とから、攻撃の統計情報を生成する統計情報生成手段をさらに備えたことを特徴とする。【００１７】
また、請求項５に係る発明は、上記の発明において、前記攻撃情報記憶手段に記憶される攻撃元情報と攻撃先情報および前記統計情報生成手段により生成された統計情報の閲覧要求を、前記管理者情報記憶手段に記憶される管理者情報に対応する管理者装置から受け付けた場合に、当該管理者装置が正当な装置であることを認証した上で、当該管理者装置が管理するネットワークに対応する情報のみを当該管理者装置に出力する攻撃情報閲覧手段をさらに備えたことを特徴とする。【００１８】
また、請求項６に係る発明は、前記ネットワークシステムにおける複数の他ネットワークは、前記自ネットワークを介して相互に通信可能に接続されるものであって、前記ネットワーク情報記憶手段は、前記ネットワーク情報として、前記複数のネットワークそれぞれを特定するための情報であるＭＡＣアドレス、ネットワークアドレス、ＶＬＡＮＩＤ、ルータのインタフェースの少なくとも一つを記憶し、前記攻撃元ネットワーク特定手段は、前記自ネットワークに流れるトラフィックを監視し、異常なトラフィックが検出された場合に、当該異常なトラフィックを分析して得られる異常なトラフィックの送信元装置を示す前記ネットワーク情報に基づいて、前記ネットワーク情報記憶手段から前記攻撃元ネットワークを特定し、前記攻撃先ネットワーク特定手段は、前記異常なトラフィックが検出された場合に、当該異常なトラフィックを分析して得られる異常なトラフィックの送信先装置を示す前記ネットワーク情報に基づいて、前記ネットワーク情報記憶手段から前記攻撃先ネットワークを特定することを特徴とする。【００１９】
また、請求項７に係る発明は、前記ネットワーク情報記憶手段は、前記ネットワーク情報に対応付けて、前記自ネットワークに流れる異常なトラフィックを検出するためのトラフィック監視情報を適用したフィルタに関するフィルタ情報をさらに記憶するものであって、前記攻撃先ネットワーク特定手段は、前記異常なトラフィックが検出された場合に、当該異常トラフィックを検出したフィルタにより特定される前記ネットワーク情報記憶手段に記憶されるフィルタ情報とネットワーク情報とから、前記攻撃先ネットワークを特定することを特徴とする。【００２０】
また、請求項８に係る発明は、複数の装置が接続されて構成される自ネットワークと、同様に構成される複数の他ネットワークとが相互に接続されて構成されるネットワークシステムにおいて、前記自ネットワークに接続され、前記ネットワークシステムを攻撃する異常なトラフィックを検出することに適したネットワーク監視方法であって、前記ネットワークシステムを構成する複数のネットワークそれぞれに対応付けて、当該複数のネットワークそれぞれを特定するネットワーク情報を記憶するネットワーク情報記憶手段と、前記ネットワーク情報記憶手段に記憶される複数のネットワークそれぞれに対応付けて、当該複数のネットワークそれぞれを管理する管理者情報を記憶する管理者情報記憶手段と、前記自ネットワークに流れるトラフィックを監視し、異常なトラフィックが検出された場合に、当該異常なトラフィックを分析して得られる異常なトラフィックの送信元装置を示す攻撃元情報に基づいて、前記ネットワーク情報記憶手段に記憶されるネットワーク情報から、攻撃元となる攻撃元ネットワークを特定する攻撃元ネットワーク特定工程と、前記異常なトラフィックが検出された場合に、当該異常なトラフィックを分析して得られる異常なトラフィックの送信先装置を示す攻撃先情報に基づいて、前記ネットワーク情報記憶手段に記憶されるネットワーク情報から、攻撃先となる攻撃先ネットワークを特定する攻撃先ネットワーク特定工程と、前記攻撃元ネットワーク特定工程により特定された攻撃元ネットワークに対応する管理者情報を前記管理者情報記憶手段から取得して、取得した管理者情報を用いて、前記攻撃元情報を通知するとともに、前記攻撃先ネットワーク特定工程により特定された攻撃先ネットワークに対応する管理者情報を前記管理者情報記憶手段から取得して、取得した管理者情報を用いて、前記攻撃先情報を通知する攻撃通知工程と、を含んだことを特徴とする。【００２１】
また、請求項９に係る発明は、複数の装置が接続されて構成される自ネットワークと、同様に構成される複数の他ネットワークとが相互に接続されて構成されるネットワークシステムにおいて、前記自ネットワークに接続され、前記ネットワークシステムを攻撃する異常なトラフィックを検出することをコンピュータに実行させるネットワーク監視プログラムであって、前記ネットワークシステムを構成する複数のネットワークそれぞれに対応付けて、当該複数のネットワークそれぞれを特定するネットワーク情報を記憶するネットワーク情報記憶手段と、前記ネットワーク情報記憶手段に記憶される複数のネットワークそれぞれに対応付けて、当該複数のネットワークそれぞれを管理する管理者情報を記憶する管理者情報記憶手段と、前記自ネットワークに流れるトラフィックを監視し、異常なトラフィックが検出された場合に、当該異常なトラフィックを分析して得られる異常なトラフィックの送信元装置を示す攻撃元情報に基づいて、前記ネットワーク情報記憶手段に記憶されるネットワーク情報から、攻撃元となる攻撃元ネットワークを特定する攻撃元ネットワーク特定手順と、前記異常なトラフィックが検出された場合に、当該異常なトラフィックを分析して得られる異常なトラフィックの送信先装置を示す攻撃先情報に基づいて、前記ネットワーク情報記憶手段に記憶されるネットワーク情報から、攻撃先となる攻撃先ネットワークを特定する攻撃先ネットワーク特定手順と、前記攻撃元ネットワーク特定手順により特定された攻撃元ネットワークに対応する管理者情報を前記管理者情報記憶手段から取得して、取得した管理者情報を用いて、前記攻撃元情報を通知するとともに、前記攻撃先ネットワーク特定手順により特定された攻撃先ネットワークに対応する管理者情報を前記管理者情報記憶手段から取得して、取得した管理者情報を用いて、前記攻撃先情報を通知する攻撃通知手順と、をコンピュータに実行させることを特徴とする。
【発明の効果】
【００２２】
請求項１、６、８、９の発明によれば、ネットワークシステムを構成する複数のネットワークそれぞれに対応付けて、当該複数のネットワークそれぞれを特定するネットワーク情報を記憶し、記憶される複数のネットワークそれぞれに対応付けて、当該複数のネットワークそれぞれを管理する管理者情報を記憶し、自ネットワークに流れるトラフィックを監視し、異常なトラフィックが検出された場合に、当該異常なトラフィックを分析して得られる異常なトラフィックの送信元装置を示す攻撃元情報に基づいて、記憶されるネットワーク情報から、攻撃元となる攻撃元ネットワークを特定し、異常なトラフィックが検出された場合に、当該異常なトラフィックを分析して得られる異常なトラフィックの送信先装置を示す攻撃先情報に基づいて、記憶されるネットワーク情報から、攻撃先となる攻撃先ネットワークを特定し、特定された攻撃元ネットワークに対応する管理者情報を取得して、取得した管理者情報を用いて、攻撃元情報を通知するとともに、特定された攻撃先ネットワークに対応する管理者情報を取得して、取得した管理者情報を用いて、攻撃先情報を通知するので、相互接続している他のネットワーク事業者が管理している機器が攻撃を受けた場合に、攻撃元のネットワークおよび攻撃先のネットワークに迅速に攻撃情報を通知することが可能である。また、攻撃情報を即座に通知することで、通知されたネットワークの管理者が迅速かつ的確に攻撃への対策を実施することが可能である。【００２３】
また、請求項２の発明によれば、異常なトラフィックを分析して得られる攻撃元情報と攻撃先情報とを、記憶される自ネットワークの管理者情報を用いて、自ネットワークの管理者装置に通知するので、自ネットワークの管理者が、自ネットワークも攻撃の影響を受ける可能性があることを認識することができる結果、攻撃防御などの対策を迅速に行うことが可能である。【００２４】
また、請求項３の発明によれば、異常なトラフィックを分析して得られる攻撃元情報と攻撃先情報とを記憶するので、攻撃情報を蓄積することで、攻撃情報を何らかの伝達媒体に変換することなく、他ネットワーク事業者に提供することが可能である。【００２５】
また、請求項４の発明によれば、記憶される攻撃元情報と攻撃先情報とから、攻撃の統計情報を生成するので、攻撃情報を統計的に参照することができる結果、攻撃対策を施した新たなネットワークシステムの設計などに有効的に活用することが可能である。【００２６】
また、請求項５の発明によれば、記憶される攻撃元情報と攻撃先情報および前記統計情報生成手段により生成された統計情報の閲覧要求を、記憶される管理者情報に対応する管理者装置から受け付けた場合に、当該管理者装置が正当な装置であることを認証した上で、当該管理者装置が管理するネットワークに対応する情報のみを当該管理者装置に出力するので、ネットワーク事業者の管理者に対して、当該管理者が属するネットワークにおける攻撃情報を閲覧することができる結果、対応策を講じたり、攻撃の傾向などを把握したりすることが可能である。【００２７】
また、請求項７の発明によれば、異常なトラフィックが検出された場合に、当該異常トラフィックを検出したフィルタにより特定されるフィルタ情報とネットワーク情報とから、攻撃先ネットワークを特定するので、分析の完了を待つことなく、攻撃の発生を管理者に即座に通知することができる。
【図面の簡単な説明】
【００２８】
【図１】図１は、実施例１に係るトラフィック監視システムを含むネットワークシステムの全体構成を示す図である。
【図２】図２は、実施例１に係るトラフィック監視システムの構成を示すブロック図である。
【図３】図３は、ネットワーク情報ＤＢに記憶される情報の例を示す図である。
【図４】図４は、攻撃情報ＤＢに記憶される情報の例を示す図である。
【図５】図５は、生成される攻撃種別分布図を示す図である。
【図６】図６は、生成される攻撃継続時間分布を示す図である。
【図７】図７は、生成される攻撃発生時間分布を示す図である。
【図８】図８は、実施例１に係るトラフィック監視システムにおける攻撃通知処理の流れを示すフローチャートである。
【図９】図９は、従来技術を説明するための図である。
【図１０】図１０は、従来技術を説明するための図である。
【符号の説明】
【００２９】
１０  トラフィック監視システム
１１  通信制御Ｉ／Ｆ部
１２  表示部
２０  記憶部
２１  ネットワーク情報ＤＢ
２２  ネットワーク事業者情報テーブル
２３  管理者情報テーブル
２４  ネットワーク情報テーブル
２５  フィルタ情報テーブル
２６  攻撃情報ＤＢ
３０  制御部
３１  攻撃検出・分析部
３２  ネットワーク情報特定部
３３  攻撃情報伝達部
３４  統計情報生成部
３５  攻撃情報閲覧部
【発明を実施するための最良の形態】
【００３０】
以下に添付図面を参照して、この発明に係るネットワーク監視装置、ネットワーク監視方法およびネットワーク監視プログラムの実施例を詳細に説明する。なお、以下では、本実施例で用いる主要な用語、本実施例に係るネットワーク監視装置の概要および特徴、ネットワーク監視装置の構成および処理の流れを順に説明し、最後に本実施例に対する種々の変形例を説明する。
【実施例１】
【００３１】
［トラフィック監視システムの概要および特徴］
まず、図１を用いて、実施例１に係るトラフィック監視システムの概要および特徴を説明する。図１は、実施例１に係るトラフィック監視システムを含むネットワークシステムの全体構成を示す図である。【００３２】
本実施例で用いる「トラフィック監視システム（特許請求の範囲に記載の「ネットワーク監視装置」に対応する。）」とは、ネットワークシステムにおけて発生するＤｏＳ攻撃やＤＤｏＳ攻撃などを示す異常なトラフィックを検出するコンピュータ装置のことである。【００３３】
図１に示すように、このネットワークシステムは、トラフィック監視システム１０が接続されるネットワークアドレス「100.0.0.0/24」が割り当てられた自ネットワーク（ＩＸ）１００と、ネットワークアドレス「10.0.0.0/24」が割り当てられたＩＳＰ１と、ネットワークアドレス「20.0.0.0/24」が割り当てられたＩＳＰ２と、ネットワークアドレス「30.0.0.0/24」が割り当てられたＩＳＰ３とがこのＩＸ１００を介して相互に接続通信可能に接続されて構成される。【００３４】
また、ＩＳＰ１には、ＩＰアドレス「10.0.0.10」が割り当てられた端末４０１と、ＩＰアドレス「10.0.0.20」が割り当てられた端末４０２とが接続されている。同様に、ＩＳＰ２には、ＩＰアドレス「20.0.0.10」が割り当てられた端末４０３が接続されており、ＩＳＰ３には、ＩＰアドレス「30.0.0.10」が割り当てられた端末４０４と、ＩＰアドレス「30.0.0.50」が割り当てられたサーバ５００（Ｗｅｂサーバ）とが接続されており、ＩＸ１００には、トラフィック監視システム１０以外に、ＩＰアドレス「100.0.0.10」が割り当てられた端末４０５が接続されている。なお、それぞれのネットワークに接続されている端末は、上記した以外に様々な端末（例えば、ＤＮＳサーバ、メールサーバ、クライアント端末など）が接続されているが、ここでは説明上省略する。【００３５】
また、ここで示すＩＸ１００と、ＩＳＰ１と、ＩＳＰ２と、ＩＳＰ３とは、それぞれ別の会社によって運営・管理されている。本実施例では、端末４０２がＩＳＰ１の管理者端末、端末４０３がＩＳＰ２の管理者端末、端末４０４がＩＳＰ３の管理者端末とし、ＩＳＰ１に接続されている端末４０２が、サーバ５００に対して大量のトラフィックを流した場合（ＤＤｏＳ攻撃）について説明する。【００３６】
このような構成において、実施例１に係るトラフィック監視システム１０は、複数の装置が接続されて構成される自ネットワーク１００（ＩＸ）と、同様に構成される複数の他ネットワーク（ＩＳＰ１〜ＩＳＰ３）とが相互に接続されて構成されるネットワークシステムにおいて、自ネットワーク１００に接続され、ネットワークシステムを攻撃する異常なトラフィックを検出することを概要とするものであり、特に、相互接続している他のネットワーク事業者が管理している機器が攻撃を受けた場合に、攻撃元のネットワークおよび攻撃先のネットワークに迅速に攻撃情報を通知することが可能である点に主たる特徴がある。【００３７】
この主たる特徴を具体的に説明すると、トラフィック監視システム１０は、ネットワークシステムを構成する複数のネットワークそれぞれに対応付けて、当該複数のネットワークそれぞれを特定するネットワーク情報をネットワーク情報ＤＢに記憶する。具体的に例を挙げると、ネットワーク情報ＤＢは、『ＩＸ１００と接続するエッジルータを特定する「ＭＡＣアドレス」、当該エッジルータが属する「ＩＳＰ名」』として「ＭＡＣ１１、ＩＳＰ１」、「ＭＡＣ２２、ＩＳＰ２」、「ＭＡＣ３３、ＩＳＰ３」などと記憶する。【００３８】
そして、トラフィック監視システム１０は、ネットワーク情報ＤＢに記憶される複数のネットワークそれぞれに対応付けて、当該複数のネットワークそれぞれを管理する管理者情報を管理者情報ＤＢに記憶する。具体的に例を挙げると、管理者情報ＤＢは、『管理者装置を示す「端末名」、管理者装置が管理する「ＩＳＰ名」、管理者装置の通知先を示す「メールアドレス」』として「端末４０１、ＩＳＰ１、Ａ＠ｉｓｐ１」、「端末４０３、ＩＳＰ２、Ｂ＠ｉｓｐ２」、「端末４０４、ＩＳＰ３、Ｃ＠ｉｓｐ３」、「端末４０５、ＩＸ、Ｘ＠ｉｘ」などと記憶する。【００３９】
このような状態において、トラフィック監視システム１０は、自ネットワークに流れるトラフィックを監視し、異常なトラフィックが検出された場合に、当該異常なトラフィックを分析して得られる異常なトラフィックの送信元装置を示す攻撃元情報に基づいて、ネットワーク情報ＤＢに記憶されるネットワーク情報から、攻撃元となる攻撃元ネットワークを特定する（図１の（１）と（２）参照）。【００４０】
上記した例で具体的に説明すると、トラフィック監視システム１０は、自ネットワークに流れるトラフィックを監視し、端末４０２から大量のトラフィックがされた場合に、異常トラフィックを検出する。そして、トラフィック監視システム１０は、検出された異常トラフィックであるパケットに含まれる攻撃元情報である「送信元ＩＰアドレス＝10.0.0.20（端末４０２）」などから、送信元ＩＰアドレス（端末４０２）が属するＩＳＰ１のエッジルータの「ＭＡＣアドレス＝ＭＡＣ１１」を特定する。続いて、トラフィック監視システム１０は、ネットワーク情報ＤＢを参照し、特定された「ＭＡＣアドレス＝ＭＡＣ１１」に対応する攻撃元ネットワークを「ＩＳＰ１」と特定する。【００４１】
続いて、トラフィック監視システム１０は、異常なトラフィックが検出された場合に、当該異常なトラフィックを分析して得られる異常なトラフィックの送信先装置を示す攻撃先情報に基づいて、ネットワーク情報ＤＢに記憶されるネットワーク情報から、攻撃先となる攻撃先ネットワークを特定する（図１の（３）参照）。【００４２】
上記した例で具体的に説明すると、トラフィック監視システム１０は、検出された異常トラフィックであるパケットに含まれる攻撃先情報である「送信先ＩＰアドレス＝30.0.0.50（サーバ５００）」などから、送信先ＩＰアドレス（サーバ５００）が属するＩＳＰ３のエッジルータの「ＭＡＣアドレス＝ＭＡＣ３３」を特定する。続いて、トラフィック監視システム１０は、ネットワーク情報ＤＢを参照し、特定された「ＭＡＣアドレス＝ＭＡＣ３３」に対応する攻撃先ネットワークを「ＩＳＰ３」と特定する。【００４３】
なお、上記した図１の（１）〜（３）のように、異常なトラフィックを検出・分析して、攻撃元装置のＩＰアドレスや攻撃元装置が接続されるエッジルータのＭＡＣアドレスなどの攻撃元情報、攻撃先装置のＩＰアドレスや攻撃先装置が接続されるエッジルータのＭＡＣアドレスなどの攻撃先情報を取得する手法については、ＩＤＳ（Intrusion  Detection  System：不正アクセス監視システム／侵入検知システム）やＩＰＳ（Intrusion  Prevention  SystemまたはIntrusion  Protection  System：侵入防止システム）などの公知の手法を用いるので、ここではその詳細な説明は省略する。【００４４】
その後、トラフィック監視システム１０は、特定された攻撃元ネットワークに対応する管理者情報を管理者情報ＤＢから取得して、取得した管理者情報を用いて、攻撃元情報を通知するとともに、特定された攻撃先ネットワークに対応する管理者情報を管理者情報ＤＢから取得して、取得した管理者情報を用いて、攻撃先情報を通知する（図１の（４）参照）。【００４５】
上記した例で具体的に説明すると、トラフィック監視システム１０は、特定された攻撃元ネットワーク「ＩＳＰ１」に対応する管理者情報「端末名＝端末４０１、ＩＳＰ名＝ＩＳＰ１、メールアドレスＡ＠ｉｓｐ１」を管理者情報ＤＢから取得して、取得したメールアドレス「メールアドレスＡ＠ｉｓｐ１」を用いて、攻撃元情報「送信元ＩＰアドレス＝10.0.0.20（端末４０２）など」を通知する。同様に、トラフィック監視システム１０は、特定された攻撃先ネットワーク「ＩＳＰ３」に対応する管理者情報「端末４０４、ＩＳＰ３、Ｃ＠ｉｓｐ３」を管理者情報ＤＢから取得して、取得したメールアドレス「Ｃ＠ｉｓｐ３」を用いて、攻撃先情報「送信先ＩＰアドレス＝30.0.0.50（サーバ５００）など」を通知する。【００４６】
その後、トラフィック監視システム１０は、異常なトラフィックを分析して得られる攻撃元情報と攻撃先情報とを、管理者情報ＤＢに記憶される自ネットワークの管理者情報を用いて、自ネットワークの管理者装置に通知する（図１の（５）参照）。上記した例で具体的に説明すると、トラフィック監視システム１０は、異常なトラフィックを分析して得られる攻撃元情報「送信元ＩＰアドレス＝10.0.0.20（端末４０２）など」と攻撃先情報「送信先ＩＰアドレス＝30.0.0.50（サーバ５００）など」とを、管理者情報ＤＢに記憶される自ネットワークの管理者情報「端末４０５、ＩＸ、Ｘ＠ｉｘ」のメールアドレス「Ｘ＠ｉｘ」を用いて、自ネットワークの管理者装置に通知する。【００４７】
このように、実施例１に係るトラフィック監視システム１０は、自ネットワーク（ＩＸ）１００を通過する異常なトラフィックからＤｏＳやＤＤｏＳなどの攻撃に関わるＩＳＰおよび装置を特定することができる結果、上記した主たる特徴のごとく、相互接続している他のネットワーク事業者が管理している機器が攻撃を受けた場合に、攻撃元のネットワークおよび攻撃先のネットワークに迅速に攻撃情報を通知することが可能である。【００４８】
［トラフィック監視システムの構成］
次に、図２を用いて、図１に示したトラフィック監視システムの構成を説明する。図２は、実施例１に係るトラフィック監視システムの構成を示すブロック図である。図２に示すように、このトラフィック監視システム１０は、通信制御Ｉ／Ｆ部１１と、表示部１２と、記憶部２０と、制御部３０とから構成される。【００４９】
通信制御Ｉ／Ｆ部１１は、接続される各装置との間でやり取りする各種情報に関する通信を制御する。具体的に例を挙げれば、通信制御Ｉ／Ｆ部１１は、端末４０２からＤＤｏＳ攻撃としてサーバ５００に送信された大量のパケットを受信したり、端末４０１、端末４０３、端末４０４、端末４０５に対して攻撃元情報や攻撃先情報などを送信したりする。【００５０】
表示部１２は、モニタ（若しくはディスプレイ、タッチパネル）やスピーカを備えて構成され、各種の情報を出力し、例えば、後述する攻撃情報閲覧部３５などにより出力された攻撃元情報、攻撃先情報と、攻撃元ネットワーク情報、攻撃先ネットワーク情報などを表示する。【００５１】
記憶部２０は、制御部３０による各種処理に必要なデータおよびプログラムを格納するとともに、特に本発明に密接に関連するものとしては、ネットワーク情報ＤＢ２１と、攻撃情報ＤＢ２６とを備える。【００５２】
ネットワーク情報ＤＢ２１は、図３に示すように、ネットワーク事業者情報テーブル２２と管理者情報テーブル２３とネットワーク情報テーブル２４とフィルタ情報テーブル２５とを備え、これらによって、ネットワークシステムを構成する複数のネットワークそれぞれに対応付けて、当該複数のネットワークそれぞれを特定するネットワーク情報や、複数のネットワークそれぞれに対応付けて、当該複数のネットワークそれぞれを管理する管理者情報などを記憶する。なお、これらのテーブルは、関連付けられている。また、図３は、ネットワーク情報ＤＢに記憶される情報の例であり、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。また、ネットワーク情報ＤＢ２１は、特許請求の範囲に記載の「ネットワーク情報記憶手段」と「管理者情報記憶手段」とに対応する。【００５３】
ネットワーク事業者情報テーブル２２は、ＩＸ１００やＩＳＰ１〜ＩＳＰ３などを管理するネットワーク事業者を識別する情報を記憶する。具体的に例を挙げれば、ネットワーク事業者情報テーブル２２は、『事業者に一意に割当てられた「事業者ＩＤ」、事業者の名称を示す「事業者名」、事業者の所在地を示す「住所」、事業者の電話番号を示す「電話番号」、事業者の管理者を示す「管理者ＩＤ」、事業者が運営するネットワークを特定する「ネットワークＩＤ」』として「００１、ＩＳＰ１、東京都○○、０３−ｘｘｘ−ｘｘｘｘ、Ｋ０１、Ｎ０１」や「００２、ＩＳＰ２、大阪府××、０６−ｘｘｘ−ｘｘｘｘ、Ｋ０２、Ｎ０２」などと記憶する（図３参照）。【００５４】
管理者情報テーブル２３は、ＩＸ１００やＩＳＰ１〜ＩＳＰ３などのネットワーク事業者の管理者を識別する情報を記憶する。具体的に例を挙げれば、管理者情報テーブル２３は、『事業者の管理者を示す「管理者ＩＤ」、管理者の氏名を示す「氏名」、攻撃情報などを閲覧する場合に使用する管理者に一意に割当てられた「ログインＩＤ」、攻撃情報などを閲覧する場合に使用する管理者によって指定された「パスワード」、管理者の通知先を示す「メールアドレス」、管理者への通知可否を示す「メール通知フラグ」』として「Ｋ０１、特許太郎、ａａａ、ａｂｃ０１、０１＠ｓｐ１、ＴＲＵＥ（通知可）」や「Ｋ０２、山田花子、ｂｂｂ、ｂｊｐ０２、０２＠ｓｐ２、ＦＡＬＳＥ（通知不可）」などと記憶する（図３参照）。なお、一つのネットワーク事業者に対して、複数の管理者情報が関連付けられる。また、ログインＩＤとパスワードは、当該管理者がトラフィック監視システム１０を使用するときに最初に入力を求められる情報であり、入力されたログインＩＤとパスワードとが、管理者情報テーブル２３で管理されているログインＩＤとパスワードとに一致する場合にのみ、トラフィック監視システム１０を使用することができる。【００５５】
ネットワーク情報テーブル２４は、ＩＸ１００やＩＳＰ１〜ＩＳＰ３などのネットワークを識別する情報を記憶する。具体的に例を挙げれば、ネットワーク情報テーブル２４は、『ネットワークに一意に割当てられた「ネットワークＩＤ」、ネットワークに割当てる種別を示す「アドレス種別」、ネットワークに割当てられた「アドレス」、適用するフィルタを示す「フィルタＩＤ」』として「Ｎ０１、ネットワーク、１９２．１６８．０．０／２４、Ｆ０１」や「Ｎ０２、ＭＡＣ、００:１１:２２:ＡＡ:ＢＢ:ＣＣ、Ｆ０２」などと記憶する（図３参照）。【００５６】
なお、アドレス種別には、「ネットワークアドレス」、「ＭＡＣアドレス」、「ＶＬＡＮ  ＩＤ」があり、これらの種別に応じて、「アドレス」に格納されるデータ形式が決定される。ここで、「ネットワークアドレス」とは、ＩＰアドレスを構成するビット列のうちサブネットを識別するために使用される部分であり、例えば、「１９２．１６８．０．０／２４」というように、「ネットワークアドレス／サブネットマスク」の形式で表現されるものであり、この表現形式を用いたデータが「アドレス」に格納される。また、「ＭＡＣアドレス」とは、ネットワークカードに割当てられた固有の物理アドレス「００:１１:２２:ＡＡ:ＢＢ:ＣＣ」というものであり、この表現形式を用いたデータが「アドレス」に格納される。また、「ＶＬＡＮ  ＩＤ」とは、仮想的なネットワークであるＶＬＡＮ（Virtual  Local  Area  Network）を識別するＩＤ番号「ＶＬＡＮ  ＩＤ＝Ｖ０１」というものであり、この表現形式を用いたデータが「アドレス」に格納される。【００５７】
フィルタ情報テーブル２５は、後述する攻撃検出・分析部３１により異常トラフィック検出に使用されるトラフィック監視情報を記憶する。具体的に例を挙げれば、フィルタ情報テーブル２５は、例えば、ＩＤＳやＩＰＳなどと同様の手法を用いて異常トラフィックを検出・分析する攻撃検出・分析部３１に使用される『フィルタを一意に識別する「フィルタＩＤ」、フィルタ名称を示す「フィルタ名」、当該フィルタのフィルタリング条件を示す「フィルタ条件」、当該フィルタリングにおける閾値を示す「閾値」』として「Ｆ０１、トラフィック監視、ＨＴＴＰ・ＨＴＴＰＳ（サーバ５００へのアクセス）、２００ｔ／ｓ（１秒間に２００トラフィック）」や「Ｆ０２、トラフィック監視、ＴＣＰ・ＵＤＰ、３００ｔ／ｓ（１秒間に３００トラフィック）」などと記憶する（図３参照）。【００５８】
攻撃情報ＤＢ２６は、異常なトラフィックを分析して得られた攻撃元情報と攻撃先情報とを記憶する。具体的に例を挙げれば、攻撃情報ＤＢ２６は、図４に示すように、『項番を示す「Ｎｏ」、攻撃された種別を示す「攻撃種別」、攻撃が開始された時間を示す「攻撃開始時刻」、攻撃が終了した時刻を示す「攻撃終了時刻」、攻撃を行った端末が接続されているネットワーク事業者を示す「ネットワーク事業者」、攻撃を行った端末が接続されているネットワークを示す「ネットワーク」、取得された攻撃先情報や攻撃元情報などの詳細情報を表示させるための「詳細情報ボタン」』として「１．ＴＣＰ  ＡＬＬ、2007/07/30  14:57:30、−、○×プロバイダ、関東地区ＮＷ、詳細情報ボタン」や「２．ＩＣＭＰ、2007/07/28  21:54:00、2007/07/28  22:03:23、△△株式会社、☆ネット、詳細情報ボタン」などと記憶する。【００５９】
また、管理者などに「詳細情報」がクリックされると、各攻撃の分析結果、すなわち、誰が攻撃を受けていて、誰が攻撃をしているのかといった情報がＩＰアドレスなどで表示される。ここで、攻撃終了が空欄である「Ｎｏ．１」は、攻撃が終了することなく続いていることを示している。なお、図４は、攻撃情報ＤＢに記憶される情報の例であり、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。また、攻撃情報ＤＢ２６は、特許請求の範囲に記載の「攻撃情報記憶手段」に対応する。【００６０】
制御部３０は、ＯＳ（Operating  System）などの制御プログラム、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有するとともに、特に本発明に密接に関連するものとしては、攻撃検出・分析部３１と、ネットワーク情報特定部３２と、攻撃情報伝達部３３と、統計情報生成部３４と、攻撃情報閲覧部３５とを備え、これらによって種々の処理を実行する。【００６１】
攻撃検出・分析部３１は、自ネットワーク１００に流れるトラフィックを監視し、異常なトラフィックが検出された場合に、当該異常なトラフィックを分析して、異常なトラフィックの送信元装置を示す攻撃元情報と異常なトラフィックの送信先装置を示す攻撃先情報とを取得する。具体的には、攻撃検出・分析部３１は、ＩＤＳやＩＰＳなどと同様の手法を用いて異常トラフィックを検出・分析し、例えば、ある特定のターゲット宛の単位時間当たりのパケット流量がフィルタ情報テーブル２５に記憶される「閾値」を超過した場合に、攻撃と判断してパケットを分析する。【００６２】
上記した例で具体的に説明すると、攻撃検出・分析部３１は、自ネットワーク１００に流れるトラフィックを監視し、端末４０２から大量のトラフィックがされた場合に、異常トラフィックを検出する。そして、攻撃検出・分析部３１は、検出された異常トラフィックに含まれる攻撃元情報である「送信元ＩＰアドレス＝10.0.0.20」などから、送信元ＩＰアドレスが属するＩＳＰのエッジルータの「ＭＡＣアドレス＝00:11:22:AA:BB:CC」を特定して、後述する攻撃情報ＤＢ２６に格納する。また、攻撃検出・分析部３１は、検出された異常トラフィックに含まれる攻撃先情報である「送信先ＩＰアドレス＝30.0.0.50」などから、送信先ＩＰアドレスが属するＩＳＰのエッジルータの「ネットワークアドレス＝192.168.0.0/24」を特定して、後述する攻撃情報ＤＢ２６に格納する。【００６３】
なお、異常なトラフィックを検出・分析して、攻撃元装置のＩＰアドレスや攻撃元装置が接続されるエッジルータのＭＡＣアドレスやネットワークアドレスなどの攻撃元情報、攻撃先装置のＩＰアドレスや攻撃先装置が接続されるエッジルータのＭＡＣアドレスやネットワークアドレスなどの攻撃先情報を取得する手法については、ＩＤＳやＩＰＳなどの公知の手法を用いるので、ここではその詳細な説明は省略する。また、ここでは、攻撃検出・分析部３１によりネットワークアドレスやＭＡＣアドレスが攻撃元情報や攻撃先情報として特定されると説明したが、これ以外にも、例えば、プロトコル情報や日時なども特定される。【００６４】
ネットワーク情報特定部３２は、異常なトラフィックを分析して得られる異常なトラフィックの送信元装置を示す攻撃元情報に基づいて、ネットワーク情報ＤＢ２１に記憶されるネットワーク情報から、攻撃元となる攻撃元ネットワークと、異常なトラフィックを分析して得られる異常なトラフィックの送信先装置を示す攻撃先情報に基づいて、ネットワーク情報ＤＢ２１に記憶されるネットワーク情報から、攻撃先となる攻撃先ネットワークとを特定する。【００６５】
上記した例で具体的に説明すると、ネットワーク情報特定部３２は、攻撃検出・分析部３１により特定された攻撃元の装置が接続されるＩＳＰのエッジルータの「ネットワークアドレス＝192.168.0.0/24」（攻撃元情報）に対応する「ネットワークＩＤ＝Ｎ０１」をネットワーク情報ＤＢ２１のネットワーク情報テーブル２４から特定し、特定した「ネットワークＩＤ＝Ｎ０１」に対応する「事業者名＝ＩＳＰ１」をネットワーク事業者情報テーブル２２から特定する。そして、ネットワーク情報特定部３２は、最終的に特定した「事業者名＝ＩＳＰ１」を攻撃元となる攻撃元ネットワークとして、後述する攻撃情報伝達部３３に通知する。【００６６】
同様に、ネットワーク情報特定部３２は、攻撃検出・分析部３１により特定された攻撃先の装置が接続されるＩＳＰのエッジルータの「ＭＡＣアドレス＝00:11:22:AA:BB:CC」（攻撃先情報）に対応する「ネットワークＩＤ＝Ｎ０２」をネットワーク情報ＤＢ２１のネットワーク情報テーブル２４から特定し、特定した「ネットワークＩＤ＝Ｎ０２」に対応する「事業者名＝ＩＳＰ２」をネットワーク事業者情報テーブル２２から特定する。そして、ネットワーク情報特定部３２は、最終的に特定した「事業者名＝ＩＳＰ２」を攻撃先となる攻撃先ネットワークとして、後述する攻撃情報伝達部３３に通知する。なお、ネットワーク情報特定部３２は、特許請求の範囲に記載の「攻撃元ネットワーク特定手段」と「攻撃先ネットワーク特定手段」とに対応する。【００６７】
攻撃情報伝達部３３は、ネットワーク情報特定部３２により特定された攻撃元ネットワークに対応する管理者情報を管理者情報テーブル２３から取得して、取得した管理者情報を用いて、攻撃元情報を通知するとともに、ネットワーク情報特定部３２により特定された攻撃先ネットワークに対応する管理者情報を管理者情報テーブル２３から取得して、取得した管理者情報を用いて、攻撃先情報を通知する。【００６８】
上記した例で具体的に説明すると、攻撃情報伝達部３３は、ネットワーク情報特定部３２から通知された攻撃元ネットワーク「事業者名＝ＩＳＰ１」に対応する管理者情報「管理者ＩＤ＝Ｋ０１、氏名＝特許太郎、ログインＩＤ＝ａａａ、パスワード＝ａｂｃ０１、メールアドレス＝０１＠ｓｐ１、メール通知フラグ＝ＴＲＵＥ」をネットワーク情報ＤＢ２１の管理者情報テーブル２３から取得する。そして、攻撃情報伝達部３３は、取得した管理者情報の「メール通知フラグ＝ＴＲＵＥ」であることより、攻撃元情報（例えば、攻撃元装置のＩＰアドレス、日時、攻撃先のＩＰアドレスなど）を攻撃情報ＤＢ２６から取得し、管理者情報「メールアドレス＝０１＠ｓｐ１」を用いて、取得した攻撃元情報を攻撃元装置が接続されるネットワークの管理者に通知する。この例では、攻撃情報伝達部３３は、ＩＳＰ１の管理者（特許太郎）に攻撃元情報を通知する。【００６９】
また、攻撃情報伝達部３３は、ネットワーク情報特定部３２から通知された攻撃先ネットワーク「事業者名＝ＩＳＰ２」に対応する管理者情報「管理者ＩＤ＝Ｋ０２、氏名＝山田花子、ログインＩＤ＝ｂｂｂ、パスワード＝ｂｊｐ０２、メールアドレス＝０２＠ｓｐ２、メール通知フラグ＝ＦＡＬＳＥ」をネットワーク情報ＤＢ２１の管理者情報テーブル２３から取得する。そして、攻撃情報伝達部３３は、取得した管理者情報の「メール通知フラグ＝ＦＡＬＳＥ」であることより、攻撃先情報（例えば、攻撃先装置のＩＰアドレス、日時、攻撃元のＩＰアドレスなど）を、攻撃先のネットワークの管理者「山田花子」には通知しない。【００７０】
また、攻撃情報伝達部３３は、異常なトラフィックを分析して得られる攻撃元情報と攻撃先情報とを、管理者情報テーブル２３に記憶される自ネットワーク１００の管理者情報を用いて、自ネットワーク１００の管理者装置に通知する。上記した例で具体的に説明すると、攻撃情報伝達部３３は、攻撃検出・分析部３１により取得された「攻撃元情報」と「攻撃先情報」とを、ネットワーク情報ＤＢ２１の管理者情報テーブル２３に記憶される自ネットワーク１００の管理者情報を用いて、自ネットワーク１００の管理者装置に通知する。つまり、攻撃情報伝達部３３は、攻撃検出・分析部３１により取得され、攻撃元ネットワークの管理者や攻撃先のネットワークの管理者に通知される「攻撃元情報」と「攻撃先情報」とを、異常なトラフィックを検出・分析したトラフィック監視システム１０が接続されるネットワーク（ＩＸ）にも通知する。なお、攻撃情報伝達部３３は、特許請求の範囲に記載の「攻撃情報手段」と「自ネットワーク管理者通知手段」とに対応する。【００７１】
統計情報生成部３４は、攻撃情報ＤＢ２６に記憶される攻撃元情報と攻撃先情報とから、攻撃の統計情報を生成する。上記した例で具体的に説明すると、統計情報生成部３４は、過去または現在発生した各種情報を記憶する攻撃情報ＤＢ２６に記憶される攻撃元情報と攻撃先情報とネットワーク情報とから、図５に示すような攻撃種別分布図や、図６に示すような攻撃継続時間分布や、図７に示すような攻撃発生時間分布などを生成する。また、統計情報生成部３４は、作成したい統計情報、統計情報算出期間、統計対象となるグラフの選択を各ネットワーク事業者の管理者から受け付けると、当該選択に従って統計情報を生成する。【００７２】
また、この統計情報生成部３４は、後述する攻撃情報閲覧部３５の指示を受け付けると、図５〜図７に示した統計情報を生成して、表示部１２に出力する。なお、図５は、生成される攻撃種別分布図を示す図であり、図６は、生成される攻撃継続時間分布を示す図であり、図７は、生成される攻撃発生時間分布を示す図である。また、統計情報生成部３４は、特許請求の範囲に記載の「統計情報生成手段」に対応する。【００７３】
攻撃情報閲覧部３５は、攻撃情報ＤＢ２６に記憶される攻撃元情報と攻撃先情報とネットワーク情報および統計情報生成部３４により生成された統計情報の閲覧要求を、管理者情報テーブル２３に記憶される管理者情報に対応する管理者装置から受け付けた場合に、当該管理者装置が正当な装置であることを認証した上で、当該管理者装置が管理するネットワークに対応する情報のみを当該管理者装置に出力する。【００７４】
具体的に説明すると、攻撃情報閲覧部３５は、ネットワークシステムの各管理者装置から通信制御Ｉ／Ｆ部１１を介して攻撃情報閲覧要求が受け付けられると、「ログインＩＤ」と「パスワード」との入力を受け付ける認証画面を表示部１２に出力する。そして、攻撃情報閲覧部３５は、認証画面により受け付けた「ログインＩＤ」と「パスワード」とが、管理者情報テーブル２３に記憶される「ログインＩＤ」と「パスワード」とに一致する場合に、当該「ログインＩＤ」と「パスワード」に対応付けて記憶される「事業者名」をネットワーク事業者情報テーブル２２から特定して、特定された「事業者」に関係する攻撃情報を攻撃情報ＤＢ２６から取得して表示部１２に出力する。【００７５】
また、攻撃情報閲覧部３５は、必要に応じて（管理者などの指示操作など）、統計情報生成部３４に統計情報の生成指示を出力する。なお、攻撃情報閲覧部３５は、トラフィック監視システム１０が接続されるネットワーク（ＩＸ）１００の管理者から閲覧要求を受け付け、上記した手法で当該管理者が正当な装置であることを認証すると、当該ＩＸ１００に関する攻撃情報だけでなく、当該ネットワークシステム全体の攻撃情報を攻撃情報ＤＢ２６から取得して表示部１２に出力する。なお、攻撃情報閲覧部３５は、特許請求の範囲に記載の「攻撃情報閲覧手段」に対応する。【００７６】
［トラフィック監視システムによる処理］
次に、図８を用いて、トラフィック監視システムによる処理を説明する。図８は、実施例１に係るトラフィック監視システムにおける攻撃通知処理の流れを示すフローチャートである。【００７７】
図８に示すように、トラフィック監視システム１０は、トラフィック監視を行うネットワーク情報を登録する（ステップＳ１０１）。具体的には、トラフィック監視システムは、ネットワーク事業者を識別する情報を記憶するネットワーク事業者情報テーブル２２と、ネットワーク事業者の管理者を識別する情報を記憶する管理者情報テーブル２３と、ネットワークを識別する情報を記憶するネットワーク情報テーブル２４と、トラフィック監視に使用する情報を記憶するフィルタ情報テーブル２５とをそれぞれ生成して、ネットワーク情報ＤＢ２１に格納する。【００７８】
続いて、トラフィック監視システム１０は、ネットワーク情報ＤＢ２１に格納（登録）したネットワーク上のトラフィックを監視してＤｏＳ攻撃やＤＤｏＳ攻撃などのネットワーク攻撃を監視する（ステップＳ１０２）。具体的に例を挙げると、トラフィック監視システム１０の攻撃検出・分析部３１は、ネットワーク情報ＤＢ２１のフィルタ情報テーブル２５に記憶される「フィルタ条件」や「閾値」に基づいて、ネットワーク攻撃を監視する。【００７９】
その後、トラフィック監視システム１０は、攻撃が発生したことを検出すると（ステップＳ１０３肯定）、当該攻撃に関するパケットを分析する（ステップＳ１０４）。具体的に説明すると、トラフィック監視システム１０の攻撃検出・分析部３１は、ネットワーク上のトラフィックから、フィルタ情報テーブル２５に記憶される「フィルタ条件」に対応する「閾値」以上のトラフィックを検出すると、攻撃が発生したと検出する。すると、トラフィック監視システム１０は、この攻撃を示すトラフィックのパケットを分析して、攻撃の元を示す攻撃元情報や攻撃先を示す攻撃先情報を取得する。【００８０】
続いて、トラフィック監視システム１０は、取得した攻撃情報を攻撃情報ＤＢ２６に蓄積する（ステップＳ１０５）。具体的に例を挙げると、トラフィック監視システム１０の攻撃検出・分析部３１は、ステップＳ１０４において取得された攻撃元情報や攻撃先情報を攻撃情報ＤＢ２６に蓄積格納する。【００８１】
そして、トラフィック監視システム１０は、取得した攻撃情報を攻撃元装置が接続されるネットワークの管理者と、攻撃先装置が接続されるネットワークの管理者と、トラフィック監視システム１０が接続されるネットワークの管理者とに通知する（ステップＳ１０６）。【００８２】
具体的に例を挙げると、トラフィック監視システム１０のネットワーク情報特定部３２は、ステップＳ１０４において取得された攻撃元情報や攻撃先情報に基づいて、攻撃元装置が接続されるネットワークの管理者と、攻撃先装置が接続されるネットワークの管理者とを管理者情報テーブル２３から特定する。そして、トラフィック監視システム１０の攻撃情報伝達部３３は、特定された管理者情報に含まれるメールアドレスを用いて、攻撃元装置が接続されるネットワークの管理者には攻撃先情報を通知し、攻撃先装置が接続されるネットワークの管理者には攻撃先情報を通知する。同様に、トラフィック監視システム１０は、トラフィック監視システム１０が接続されるネットワークの管理者を管理者情報テーブル２３から特定し、特定された管理者情報に含まれるメールアドレスを用いて、トラフィック監視システム１０が接続されるネットワークの管理者に攻撃元情報や攻撃先情報を通知する。【００８３】
その後、トラフィック監視システム１０は、攻撃情報の閲覧要求を受信すると、表示部１２を介して攻撃情報を要求先に表示する（ステップＳ１０７）。【００８４】
具体的に例を挙げると、トラフィック監視システム１０の攻撃情報閲覧部３５は、攻撃情報ＤＢ２６に記憶される攻撃元情報と攻撃先情報とネットワーク情報および統計情報生成部３４により生成された統計情報の閲覧要求を、管理者情報テーブル２３に記憶される管理者情報に対応する管理者装置から受け付けた場合に、当該管理者装置が正当な装置であることを認証した上で、当該管理者装置が管理するネットワークに対応する情報のみを当該管理者装置に出力する。【００８５】
［実施例１による効果］
このように、実施例１によれば、ネットワークシステムを構成する複数のネットワークそれぞれに対応付けて、当該複数のネットワークそれぞれを特定するネットワーク情報を記憶するネットワーク情報ＤＢ２１と、複数のネットワークそれぞれに対応付けて、当該複数のネットワークそれぞれを管理する管理者情報を記憶する管理者情報テーブル２３とを備え、自ネットワーク１００に流れるトラフィックを監視し、異常なトラフィックが検出された場合に、当該異常なトラフィックを分析して得られる異常なトラフィックの送信元装置を示す攻撃元情報に基づいて、ネットワーク情報ＤＢ２１に記憶されるネットワーク情報から、攻撃元となる攻撃元ネットワークを特定し、異常なトラフィックが検出された場合に、当該異常なトラフィックを分析して得られる異常なトラフィックの送信先装置を示す攻撃先情報に基づいて、ネットワーク情報ＤＢ２１に記憶されるネットワーク情報から、攻撃先となる攻撃先ネットワークを特定し、特定された攻撃元ネットワークに対応する管理者情報を管理者情報テーブル２３から取得して、取得した管理者情報を用いて、攻撃元情報を通知するとともに、特定された攻撃先ネットワークに対応する管理者情報を管理者情報テーブル２３から取得して、取得した管理者情報を用いて、攻撃先情報を通知するので、相互接続している他のネットワーク事業者が管理している機器が攻撃を受けた場合に、攻撃元のネットワークおよび攻撃先のネットワークに迅速に攻撃情報を通知することが可能である。また、攻撃情報を即座に通知することで、通知されたネットワークの管理者が迅速かつ的確に攻撃への対策を実施することが可能である。【００８６】
また、実施例１によれば、異常なトラフィックを分析して得られる攻撃元情報と攻撃先情報とを、管理者情報テーブル２３に記憶される自ネットワーク１００の管理者情報を用いて、自ネットワーク１００の管理者装置に通知するので、自ネットワーク１００の管理者が、自ネットワーク１００も攻撃の影響を受ける可能性があることを認識することができる結果、攻撃防御などの対策を迅速に行うことが可能である。【００８７】
また、実施例１によれば、異常なトラフィックを分析して得られる攻撃元情報と攻撃先情報とを攻撃情報ＤＢ２６に記憶するので、攻撃情報を蓄積することで、攻撃情報を何らかの伝達媒体に変換することなく、他ネットワーク事業者に提供することが可能である。【００８８】
また、実施例１によれば、攻撃情報ＤＢ２６に記憶される攻撃元情報と攻撃先情報とから、攻撃の統計情報を生成するので、攻撃情報を統計的に参照することができる結果、攻撃対策を施した新たなネットワークシステムの設計などに有効的に活用することが可能である。【００８９】
また、実施例１によれば、攻撃情報ＤＢ２６に記憶される攻撃元情報と攻撃先情報および生成された統計情報の閲覧要求を、管理者情報テーブル２３に記憶される管理者情報に対応する管理者装置から受け付けた場合に、当該管理者装置が正当な装置であることを認証した上で、当該管理者装置が管理するネットワークに対応する情報のみを当該管理者装置に出力するので、ネットワーク事業者の管理者に対して、当該管理者が属するネットワークにおける攻撃情報を閲覧することができる結果、対応策を講じたり、攻撃の傾向などを把握したりすることが可能である。
【実施例２】
【００９０】
さて、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下に示すように、（１）ネットワークの特定手法、（２）システム構成等、（３）プログラムにそれぞれ区分けして異なる実施例を説明する。【００９１】
（１）ネットワークの特定手法
例えば、実施例１では、ＩＳＰのエッジルータの「ネットワークアドレス」や「ＭＡＣアドレス」を用いて、攻撃元または攻撃先装置が接続されるネットワークを特定する場合について説明したが、本発明はこれに限定されるものではなく、パケットから取得でき、ネットワークを一意に特定することができる情報（例えば、ＶＬＡＮ  ＩＤ、ネットワークシステムの各ネットワークに一意に割り当てられたネットワークＩＤなど）であれば、どのような情報を用いても攻撃元または攻撃先装置が接続されるネットワークを特定することができる。【００９２】
また、実施例１では、ネットワーク情報特定部３２は、攻撃検出・分析部３１が異常トラフィックを分析した結果からＩＳＰのエッジルータの「ネットワークアドレス」や「ＭＡＣアドレス」を特定して、攻撃元または攻撃先装置が接続されるネットワークを特定する場合について説明した。ところが、本発明はこれに限定されるものではなく、攻撃検出・分析部３１が異常トラフィックを検出した時点で、異常トラフィックを分析することなく、攻撃先ネットワークを特定することもできる。【００９３】
具体的には、トラフィック監視システム１０は、自ネットワーク１００に流れるトラフィックを監視し、異常なトラフィックが検出された場合に、どのフィルタにより検出されたかにより、攻撃先ネットワークを特定することができる。【００９４】
図３を参照しつつ具体的に説明すると、トラフィック監視システム１０の攻撃検出・分析部３１は、実施例１で説明したように、図３のフィルタ情報テーブルに記憶されるフィルタ情報（トラフィック監視情報）を用いて、トラフィック監視を行う。その後、攻撃検出・分析部３１は、「フィルタID＝F01のフィルタ（図３のフィルタ情報テーブル２５の最上段）」により異常トラフィックを検出したとする。【００９５】
この場合、ネットワーク情報特定部３２は、攻撃検出・分析部３１により異常トラフィックが検出されたフィルタ「フィルタID＝F01」に対応するネットワーク「ネットワークID＝N01（図３のネットワーク情報テーブル２４の最上段）」を特定するとともに、「ネットワークID＝N01」に対応するネットワーク事業者「事業者ID＝001（図３のネットワーク事業者情報テーブル２２の最上段）」を特定する。続いて、攻撃情報伝達部３３は、ネットワーク情報特定部３２により特定された「事業者ID＝001」に対応する管理者情報「管理者ID＝K01（図３の管理者情報テーブル２３の最上段）」を取得し、取得した管理者情報を用いて、攻撃の発生を通知するとともに、攻撃検出・分析部３１は異常トラフィックを分析する。通知を受けた管理者は、トラフィック監視システムにアクセスし、当該異常トラフィックに関する分析結果を参照する。これにより、分析の完了を待つことなく、攻撃の発生を管理者に即座に通知することができる。なお、攻撃元情報については、実施例１と同様の手法で通知される。【００９６】
このように、トラフィック監視システム１０は、どのフィルタにより検出されたかにより、検出した異常トラフィックを分析することなく攻撃先ネットワークを特定することができる。なお、ここで、実施例１と同様ではあるが、攻撃検出・分析部３１が異常トラフィックを分析することで得られる情報を例示すると、例えば、攻撃先IPアドレス・ポート番号、攻撃元IPアドレス・ポート番号、攻撃に使用されたプロトコル、攻撃がTCPであるか否かを示すTCPフラグ、自ネットワークのルータのインタフェース情報などがある。【００９７】
（２）システム構成等
また、本実施例において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報（例えば、図３、図４など）については、特記する場合を除いて任意に変更することができる。【００９８】
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合（例えば、統計情報生成部３４と攻撃情報閲覧部３５とを統合するなど）して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。【００９９】
（３）プログラム
なお、本実施例で説明したネットワーク監視方法は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。このプログラムは、インターネットなどのネットワークを介して配布することができる。また、このプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。
【産業上の利用可能性】
【０１００】
以上のように、本発明に係るネットワーク監視装置、ネットワーク監視方法およびネットワーク監視プログラムムは、複数の装置が接続されて構成される自ネットワークと、同様に構成される複数の他ネットワークとが相互に接続されて構成されるネットワークシステムにおいて、自ネットワークに接続され、ネットワークシステムを攻撃する異常なトラフィックを検出することに有用であり、特に、相互接続している他のネットワーク事業者が管理している機器が攻撃を受けた場合に、攻撃元のネットワークおよび攻撃先のネットワークに迅速に攻撃情報を通知することに適する。
【図１】
2009041686.tif 000003
【図２】
2009041686.tif 000004
【図３】
2009041686.tif 000005
【図４】
2009041686.tif 000006
【図５】
2009041686.tif 000007
【図６】
2009041686.tif 000008
【図７】
2009041686.tif 000009
【図８】
2009041686.tif 000010
【図９】
2009041686.tif 000011
【図１０】
2009041686.tif 000012
【国際調査報告】
2009041686.tif 000013
2009041686.tif 000014
2009041686.tif 000015
2009041686.tif 000016