(57)【要約】【課題】  ネットワーク負荷を減少させる発信源追跡システムを提供する。【解決手段】  攻撃パケットの特徴情報を含む追跡要求メッセージの受信後、通信パケットがその情報に一致するか判断し、ネットワーク上の端末から自己へその情報と一致する通信パケットが送信された際の通信用アドレスの組及び、自己から他のネットワーク上の端末へその通信パケットが送信された際の同アドレスの組を含む追跡情報メッセージを作成する中継装置及び、通信パケットが特徴情報と一致するか判断する機能、当該情報と一致する場合にその情報を含む追跡要求メッセージを中継装置へ送信する機能、各中継装置から追跡情報メッセージを受信して攻撃端末を特定する機能を具備する探査端末を備え、中継装置は、通信パケットが特徴情報と一致した場合に、一致した数を計数して、上限値に達した場合に、当該追跡情報メッセージを送信させる。【選択図】図１
2006148594.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク上の通信パケットを取得する通信インターフェース部と、その取得した通信パケットの宛先アドレスを判断して、当該通信パケットを他のネットワークへと送信するルーティング制御部と、ネットワーク上に接続された端末へ送信される攻撃パケットの特徴情報を含む追跡要求メッセージを受信した後、通信パケットがその特徴情報に一致するか判断するパケット解析部と、前記ネットワーク上に接続された端末から自己へその特徴情報と一致する通信パケットが送信された際における通信用アドレスの組及び、自己から他のネットワーク上に接続された端末へその通信パケットが送信された際における通信用アドレスの組を含む追跡情報メッセージを作成する追跡情報メッセージ作成部と、を具備する複数の中継装置及び、
ネットワーク上に接続された端末へ送信される通信パケットを取得する通信インターフェース部と、その通信パケットが攻撃パケットの特徴情報と一致するか判断するＩＤＳパケット解析部と、当該特徴情報と一致する場合にその特徴情報を含む追跡要求メッセージを前記中継装置へ送信する追跡要求メッセージ作成部と、前記各中継装置から追跡情報メッセージを受信して、当該メッセージに含まれる通信用アドレスの組を順に繋ぎ合わせることによって前記攻撃パケットの発信源を特定する追跡情報解析部と、を具備する探査端末を備えた発信源追跡システムにおいて、
前記中継装置は、前記パケット解析部において、ネットワーク上の通信パケットが当該特徴情報と一致した場合に、その一致した数を計数し、当該計数した数が上限値に達した場合に、前記追跡情報メッセージ作成部に対して当該追跡情報メッセージを送信させる発信源追跡制御部を備えたことを特徴とする発信源追跡システム。
【請求項２】
前記中継装置は、発信源追跡処理を継続する時間を計時するタイマー部を備え、発信源追跡制御部は、前記追跡要求メッセージを受信した後、当該タイマー部に計時を開始させ、その計時時間が発信源追跡処理を継続する時間を越えた場合には、その発信源追跡処理を中断することを特徴とする請求項１記載の発信源追跡システム。
【請求項３】
前記発信源追跡制御部は、当該追跡情報メッセージを送信した数を計数し、その計数した数が上限値に達した場合には、発信源追跡処理を中断することを特徴とする請求項1記載の発信源追跡システム。
【請求項４】
ネットワーク上に接続された端末へ送信される攻撃パケットの特徴情報を含む追跡要求メッセージを作成する一方、通信用アドレスの組が含まれる追跡情報メッセージを受信して、当該通信用アドレスの組を順に繋ぎ合わせることによって前記攻撃パケットの発信源を特定する探査端末を備えた発信源追跡システムで用いられる中継装置であって、
ネットワーク上の通信パケットを取得する通信インターフェース部と、その取得した通信パケットの宛先アドレスを判断して、当該通信パケットを他のネットワークへと送信するルーティング制御部と、ネットワーク上に接続された端末へ送信される攻撃パケットの特徴情報を含む追跡要求メッセージを受信した後、通信パケットがその特徴情報に一致するか判断するパケット解析部と、前記ネットワーク上に接続された端末から自己へその特徴情報と一致する通信パケットが送信された際における通信用アドレスの組及び、自己から他のネットワーク上に接続された端末へその通信パケットが送信された際における通信用アドレスの組を含む追跡情報メッセージを作成する追跡情報メッセージ作成部と、を備えたことを特徴とする発信源追跡システムで用いられる中継装置。
【請求項５】
前記中継装置は、発信源追跡処理を継続する時間を計時するタイマー部を備え、発信源追跡制御部は、前記追跡要求メッセージを受信した後、当該タイマー部に計時を開始させ、その計時時間が発信源追跡処理を継続する時間を越えた場合には、その発信源追跡処理を中断することを特徴とする請求項４記載の発信源追跡システムで用いられる中継装置。
【請求項６】
前記発信源追跡制御部は、当該追跡情報メッセージを送信した数を計数し、その計数した数が上限値に達した場合には、発信源追跡処理を中断することを特徴とする請求項４記載の発信源追跡システムで用いられる中継装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信パケットの発信源を特定するための発信源追跡システムに関し、特に当該システムにおける追跡装置自らが主体的に追跡情報を取得する能動型発信源追跡システムに関するものである。また、このような発信源追跡システムで用いられる中継装置に関する。
【背景技術】
【０００２】
近年、インターネットに代表されるオープンネットワークの普及により、当該ネットワークに接続された端末への攻撃が問題となってきている。この攻撃のうち顕著なものは、ある攻撃端末から特定の犠牲端末へ大量のＩＰ（Internet Protocol）パケットを送信するＤｏＳ（Denial of Service）攻撃や、ネットワークに接続された複数の攻撃端末から当該犠牲端末へＩＰパケットを送信することで、全体として大量のＩＰパケットをその犠牲端末へと送信するＤＤｏＳ（Distributed Dos）攻撃と呼ばれるものである。これらのサービス妨害攻撃は、攻撃対象である犠牲端末の処理を飽和させることによって、当該犠牲端末が有するサービス提供機能を麻痺させるだけでなく、ネットワーク全体に過大な負荷をかけることから、その抜本的な対策が求められている。
【０００３】
この対策の一つには、犠牲端末に大量に送信される攻撃パケットの送信元アドレスを特定し、そのアドレスを有する端末からの通信を遮断することが考えられる。しかしながら、当該送信元アドレスの詐称は容易であるため、このアドレスを特定しただけでは、必ずしも攻撃パケットの発信源を特定したことにはならない。そこで、攻撃パケットの経路を順次辿ることで、当該攻撃端末を特定することができるＩＣＭＰ（Internet Control Message Protocol）トレースバック（以下、itraceという）が、ＩＥＴＦ（Internet Engineering Task Force）より提唱されている。このitraceは、それぞれの中継装置（ルータ）において、当該中継装置を通過するＩＰパケットを２万分の１程度の確率で選択し、その選択したＩＰパケットが通過したインターフェースなどの追跡情報を、ネットワークに接続された追跡装置へと送信して、この追跡装置で、当該中継装置から送信された複数の追跡情報を繋ぎ合わせることで攻撃端末を特定するものである。
【０００４】
然るに、このitraceでは、ネットワークの負担とならないよう、ＩＰパケットの選択は２万分の１という低確率となっている。従って、特にＤＤｏＳ攻撃を受けた場合には、攻撃パケットが選択されずに追跡に相当時間を要したり、追跡が不可能になったりという問題がある。また、中継装置が自律的に追跡情報を作成するので、追跡したいＩＰパケットを選択できないという問題もある。そこで、かかる問題を解決するために、追跡装置自らが主体的に追跡情報を取得する能動型発信源追跡システムを構成することが知られている。例えば、図８（ａ）のネットワーク構成図に示すように、複数の中継装置Ｒ１〜Ｒ６（以下、中継装置Ｒｎという）が接続され、中継装置Ｒ４には攻撃端末Ａが、中継装置Ｒ１には犠牲端末Ｖが接続されて、中継装置Ｒ１と犠牲端末Ｖとの通信を追跡装置Ｔが監視している。
【０００５】
このとき、攻撃端末Ａから犠牲端末Ｖに対して、中継装置Ｒ４、Ｒ２、Ｒ１を介して、大量の攻撃パケットが送信されると（Ｐ１）、特許文献１（特開2000-124952号公報）に開示された発明では、追跡装置Ｔから中継装置Ｒ１に対して、攻撃パケットの追跡要求をする（Ｐ２）。中継装置Ｒ１では、攻撃パケットの特徴に一致するＩＰパケットを補足すると、そのパケットが通過したインターフェースを特定し、そのインターフェースに接続された中継装置Ｒ２へと追跡要求をすると共に（Ｐ３）、追跡装置Ｔに対して特定結果を送信する（Ｐ４）。中継装置Ｒ２では、同様にして中継装置Ｒ４へと追跡要求をし（Ｐ５）、特定結果を追跡装置Ｔへと送信する（Ｐ６）。そして、中継装置Ｒ４では、攻撃端末ＡのＩＰアドレスを取得して、追跡装置Ｔへと送信する（Ｐ７）。このように、同文献に開示された発明では、それぞれの中継装置Ｒｎが、自己から見て攻撃端末Ａ側の中継装置Ｒｎに対して順次追跡要求を送信すると共に、追跡装置Ｔに対して特定結果を送信することで、攻撃端末Ａを特定している。
【０００６】
また、特許文献２（特開2003-264553号公報）に開示された発明では、図８（ｂ）のネットワーク構成図に示すように、同様に大量の攻撃パケットが送信されると（Ｐ１）、追跡装置Ｔから中継装置Ｒ１に対して、攻撃パケットの追跡要求をする（Ｐ２）。ここで、同公報に開示された発明の中継装置Ｒ１は、宛先アドレスを判別して犠牲端末Ｖに向う攻撃パケットを補足すると、そのパケットが通過したインターフェースを特定し、当該インターフェース情報を含む追跡情報を追跡装置Ｔへ返信する（Ｐ３）。追跡装置Ｔでは、その追跡情報を下に、中継装置Ｒ２へと追跡要求をする（Ｐ４）。中継装置Ｒ２では、同様にして追跡端末Ｔへと追跡情報を返信し（Ｐ５）、追跡装置Ｔは、中継装置Ｒ４へと追跡要求をする（Ｐ６）。そして、中継装置Ｒ４では、攻撃端末Ａが接続されているネットワーク（インターフェース）を特定して追跡装置Ｔへと送信する（Ｐ７）。このように、同文献に開示された発明では、それぞれの中継装置Ｒｎが特定結果を追跡装置Ｔへと送信し、その追跡装置Ｔからさらに攻撃端末Ａ側の中継装置Ｒｎに対して順次追跡要求を送信することで、攻撃端末Ａを特定している。
【特許文献１】特開２０００−１２４９５２号公報
【特許文献２】特開２００３−２６４５５３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
以上のように、これらの各文献に開示された発明では、追跡装置Ｔ自らが主体的に追跡情報を取得することで、特にＤＤｏＳ攻撃を受けた場合であっても、攻撃端末Ａの追跡を高速に行うことができ、またitraceの欠点である攻撃パケットの不選択により追跡が不可能になるということがない。しかしながら、これらの発明では、追跡対象となる攻撃パケットの特徴を所定の情報で判断しているため、攻撃パケットではないにも係らず、偶然に同じ特徴を持ったパケットを追跡する場合がある。
【０００８】
すなわち、特許文献１に開示された発明では、追跡対象の宛先アドレスとして、送信元アドレス又は犠牲端末のアドレスを含むＩＰパケットを選択するようにしているため（同文献、段落００３３欄参照）、前者の場合には、攻撃端末がアドレスを詐称した場合に、当該アドレスの正当なユーザからの端末の送信も追跡することとなる。また、後者の場合についても、犠牲端末と通信しようとする悪意無きユーザ（以下、正当ユーザと呼ぶ）からの端末の送信も追跡することとなる。一方、特許文献２に開示された発明でも、当該特許文献１と同様にして、送信元ＩＰアドレス、宛先ＩＰアドレスを用いることの他、上位プロトコルの種類等の情報を用いるため（段落００２２欄参照）、たまたま同様の特徴を持ったＩＰパケットを追跡することとなる。このように、上記各特許文献に開示された発明では、攻撃パケットではないＩＰパケットを追跡することにより、ネットワーク全体に負荷をかけるという問題があった。
【０００９】
本発明は、上記の問題点に鑑みてなされたものであり、その目的とするところは、ネットワーク負荷を減少させる発信源追跡システム及びそのシステムで用いられる中継装置を提供することにある。
【課題を解決するための手段】
【００１０】
本願の発明者は、上記の問題点を解決するために、請求項１に対応する手段として、ネットワーク上の通信パケットを取得する通信インターフェース部と、その取得した通信パケットの宛先アドレスを判断して、当該通信パケットを他のネットワークへと送信するルーティング制御部と、ネットワーク上に接続された端末へ送信される攻撃パケットの特徴情報を含む追跡要求メッセージを受信した後、通信パケットがその特徴情報に一致するか判断するパケット解析部と、前記ネットワーク上に接続された端末から自己へその特徴情報と一致する通信パケットが送信された際における通信用アドレスの組及び、自己から他のネットワーク上に接続された端末へその通信パケットが送信された際における通信用アドレスの組を含む追跡情報メッセージを作成する追跡情報メッセージ作成部と、を具備する複数の中継装置及び、ネットワーク上に接続された端末へ送信される通信パケットを取得する通信インターフェース部と、その通信パケットが攻撃パケットの特徴情報と一致するか判断するＩＤＳパケット解析部と、当該特徴情報と一致する場合にその特徴情報を含む追跡要求メッセージを前記中継装置へ送信する追跡要求メッセージ作成部と、前記各中継装置から追跡情報メッセージを受信して、当該メッセージに含まれる通信用アドレスの組を順に繋ぎ合わせることによって前記攻撃パケットの発信源を特定する追跡情報解析部と、を具備する探査端末を備えた発信源追跡システムにおいて、前記中継装置は、前記パケット解析部において、ネットワーク上の通信パケットが当該特徴情報と一致した場合に、その一致した数を計数し、当該計数した数が上限値に達した場合に、前記追跡情報メッセージ作成部に対して当該追跡情報メッセージを送信させる発信源追跡制御部を備えたことを特徴とするものを提案している。
【００１１】
また、請求項２に対応する手段として、請求項１記載の発信源追跡システムに加え、前記中継装置は、発信源追跡処理を継続する時間を計時するタイマー部を備え、発信源追跡制御部は、前記追跡要求メッセージを受信した後、当該タイマー部に計時を開始させ、その計時時間が発信源追跡処理を継続する時間を越えた場合には、その発信源追跡処理を中断することを特徴とするものである。
【００１２】
また、請求項３に対応する手段として、請求項1記載の発信源追跡システムに加え、前記発信源追跡制御部は、当該追跡情報メッセージを送信した数を計数し、その計数した数が上限値に達した場合には、発信源追跡処理を中断することを特徴とするものである。
【００１３】
また、請求項４に対応する手段として、ネットワーク上に接続された端末へ送信される攻撃パケットの特徴情報を含む追跡要求メッセージを作成する一方、通信用アドレスの組が含まれる追跡情報メッセージを受信して、当該通信用アドレスの組を順に繋ぎ合わせることによって前記攻撃パケットの発信源を特定する探査端末を備えた発信源追跡システムで用いられる中継装置であって、ネットワーク上の通信パケットを取得する通信インターフェース部と、その取得した通信パケットの宛先アドレスを判断して、当該通信パケットを他のネットワークへと送信するルーティング制御部と、ネットワーク上に接続された端末へ送信される攻撃パケットの特徴情報を含む追跡要求メッセージを受信した後、通信パケットがその特徴情報に一致するか判断するパケット解析部と、前記ネットワーク上に接続された端末から自己へその特徴情報と一致する通信パケットが送信された際における通信用アドレスの組及び、自己から他のネットワーク上に接続された端末へその通信パケットが送信された際における通信用アドレスの組を含む追跡情報メッセージを作成する追跡情報メッセージ作成部と、を備えたことを特徴とするものである。
【００１４】
また、請求項５に対応する手段として、請求項４記載の発信源追跡システムで持ち応える中継装置に加え、前記中継装置は、発信源追跡処理を継続する時間を計時するタイマー部を備え、発信源追跡制御部は、前記追跡要求メッセージを受信した後、当該タイマー部に計時を開始させ、その計時時間が発信源追跡処理を継続する時間を越えた場合には、その発信源追跡処理を中断することを特徴とするものである。
【００１５】
また、請求項６に対応する手段として、請求項４記載の発信源追跡システムで持ち応える中継装置に加え、前記発信源追跡制御部は、当該追跡情報メッセージを送信した数を計数し、その計数した数が上限値に達した場合には、発信源追跡処理を中断することを特徴とするものである。
【発明の効果】
【００１６】
請求項１又は請求項４記載の発明によれば、ネットワーク上の通信パケットが攻撃パケットの特徴情報と一致した場合に、その一致した数を計数し、当該計数した数が上限値に達した場合に、追跡情報メッセージを送信させるようにしたので、通信量の多い攻撃パケットの追跡を行う一方、当該攻撃パケットに比べて通信量の少ない攻撃パケットではない通信パケットの追跡を避けることができるので、以って、ネットワーク全体に負荷を現象させることができるという効果を奏するものである。
【００１７】
また、請求項２又は請求項５記載の発明によれば、追跡要求メッセージを受信した後、計時を開始し、その計時時間が発信源追跡処理を継続する時間を越えた場合には、その発信源追跡処理を中断するようにしているので、何時までも追跡処理が継続することがなく、正当ユーザからの送信によって追跡情報メッセージが送信されることを防止又は減少させることができるという効果を奏するものである。
【００１８】
また、請求項３又は請求項６記載の発明によれば、追跡情報メッセージを送信した数を計数し、その計数した数が上限値に達した場合には、発信源追跡処理を中断するようにしているので、過度のＤｏＳ攻撃があった場合でも、追跡情報メッセージが大量に送信されることを防ぐことができ、以って、ネットワーク負荷を減少させることができるという効果を奏するものである。
【発明を実施するための最良の形態】
【００１９】
〔第１の実施の形態〕
次に、上述の解決手段並びにその効果を踏まえて、本発明を実施するに当たって最良の実施の形態について説明する。まず、本発明が従来技術と異なり特徴を有する点は、大きく分けて３つある。第１の特徴点は、図１のフローチャートの右側、ステップＳ６〜Ｓ１１に示す通りであり、具体的に説明すると、各中継装置Ｒｎは、インターフェース毎に自己を通過するＩＰパケット（通信パケット）を監視し（ステップＳ６）、追跡対象のＩＰパケットの特徴と一致した場合に（ステップＳ７）、その一致した数を数える（以下、追跡情報集約数と呼ぶ。ステップＳ８）。次に、中継装置Ｒｎは、その追跡情報集約数が上限値に達した場合に（ステップＳ９）、当該特徴と一致したＩＰパケットが通過したインターフェースの情報を含む追跡情報メッセージを作成し（ステップＳ１０）、当該メッセージを、追跡機能を有する探査端末Ｍに送信する（ステップＳ１１）。
【００２０】
すなわち、本発明にあっては、追跡対象のＩＰパケットの特徴に一致した場合に、直ぐに追跡情報メッセージを送信するのではなく、特徴と一致するＩＰパケットを複数回検出した場合に初めて探査端末Ｍに送信する。つまり、悪意無きユーザが使用する端末からの送信は、攻撃端末からの送信に比してパケットの通過量が低く、容易に追跡情報集約数の上限値に達しない。従って、攻撃端末のように、追跡情報メッセージが短時間に何度も送信されないため、従来技術に比してネットワーク負荷を減少させることができる。尚、追跡情報集約数の上限値は、正当ユーザからの送信によって追跡情報メッセージが送信されることをできるだけ回避しつつ、ＤＤｏＳ攻撃については迅速に検出できるよう、適正な値が選択される。
【００２１】
ところで、追跡情報集約数の上限値に達した場合には、上述のように、追跡情報メッセージが送信されるので、このままでは、正当ユーザの端末からも、何時かは送信されることになる。そこで、第２の特徴点として、中継装置Ｒｎは、探査端末Ｍより追跡要求メッセージを受信すると（ステップＳ４）、追跡時間の計時を開始し（ステップＳ５）、その時間がタイムアップした場合には（ステップＳ１６）、追跡処理を中断するようになっている（説明していないフローについては後述する）。このようにすることで、何時までも追跡処理が継続することがなく、正当ユーザからの送信によって追跡情報メッセージが送信されることを防止又は減少させることができる。また、追跡に十分な追跡情報メッセージが集まっているにも係らず、当該メッセージの送信が繰り返されることによる中継装置Ｒｎの負担を減少させると共に、ネットワーク負荷を減少させることができる。
【００２２】
また、本実施形態における中継装置Ｒｎは、追跡情報メッセージを複数回、送信可能な構成となっているため、第３の特徴点として、中継装置Ｒｎは、追跡情報メッセージの送信をする度に、その送信した数を数え（以下、追跡情報取得数と呼ぶ。ステップＳ１２ｂ）、その追跡情報取得数が上限値に達した場合には（ステップＳ１３ｂ）、追跡処理を中断するようになっている。これにより、過度のＤｏＳ攻撃があった場合でも、追跡情報メッセージが大量に送信されることを防ぐことができる。
【００２３】
次に、上述の特徴点を踏まえ、これらの特徴点を実現するための具体的な構成について、図２〜図４（ａ）を参照して詳細に説明する。図４（ａ）は、本実施形態に係る発信源追跡システムが適用されるネットワーク構成図の一例であり、図２は、当該ネットワークに接続された探査端末Ｍの構成を示すブロック図、図３は、同ネットワークに接続された中継装置Ｒｎの構成を示すブロック図である。まず、図４（ａ）に示すように、一例として、攻撃対象となっている犠牲端末Ｖは、ルータ装置（ゲートウェイ装置を含む）である中継装置Ｒ１と接続され、その中継装置Ｒ１は、中継装置Ｒ２及びＲ５と接続されている。前者の中継装置Ｒ２は、さらに中継装置Ｒ３及びＲ４と接続され、中継装置Ｒ４には、犠牲端末Ｖに対してＤｏＳ攻撃を加える攻撃端末Ａ１が接続されている。一方、後者の中継装置Ｒ５には、中継装置Ｒ６と、同様に犠牲端末Ｖに対して攻撃を加える攻撃端末Ａ２が接続されている。
【００２４】
中継装置Ｒ１と犠牲端末Ｖとの間には、図示しない集線装置（ハブ）を介して、探査端末Ｍが接続されており、この探査端末Ｍは、当該集線装置のポートモニタリング機能により、中継装置Ｒ１と犠牲端末Ｖとの間に送受信されているＩＰパケットを取得するようになっている。この取得にあたって、探査端末Ｍは、図２に示すように、いわゆるＮＩＣ（Network Interface Card）である通信インターフェース部１より、当該ＩＰパケットを取得する。通信インターフェース部１は、犠牲端末Ｖへの攻撃を検出するＩＤＳ（Intrusion Detection System）部２と、攻撃端末Ａ１、Ａ２を特定する発信源追跡部３と接続されており、これらの各部とパケットデータの送受信を行う。
【００２５】
ＩＤＳ部２は、中継装置Ｒ１と犠牲端末Ｖとの間に送受信されているＩＰパケットを解析するＩＤＳパケット解析部２０と、当該解析部と接続されたデータベースとを備えている。一例として、このデータベースは、Syn Flood攻撃、Ping of Death攻撃、ポートスキャン攻撃など、各種攻撃パターンが格納されている不正アクセスパターンデータベース２１と、攻撃があったときの当該攻撃パターン、日時、回数等を格納する不正アクセス統計データベース２２などから構成される。尚、不正アクセスパターンデータベース２１に格納されている当該各種攻撃パターンは、パケット解析部２０を介して、入力部４より発信源追跡システムのユーザによって、予め入力されるようになっている。また、このＩＤＳ部２は、探査端末Ｍと別体に設けても良いものである。
【００２６】
一方、上述の発信源追跡部３は、中継装置Ｒ１〜Ｒ６（以下、中継装置Ｒｎと呼ぶ）から送信されたメッセージを取得する追跡情報メッセージ検出部３０と、そのメッセージを解析する追跡情報解析部３１と、犠牲端末Ｖから攻撃端末Ａ１、Ａ２までの途中経路を逐次格納するためのリンクリストデータベース３２と、追跡情報解析部３１並びにＩＤＳ部のＩＤＳパケット解析部２０からの指令を受けて、中継装置Ｒｎに追跡要求を送信するための追跡要求メッセージ作成部３３とを備えている。尚、追跡要求メッセージ作成部３３には、上述した入力部４より、追跡情報集約数の上限値、追跡情報取得数の上限値、発信源追跡処理を継続する時間などをユーザによって予め入力するようになっており、これらも追跡要求メッセージに格納されるようになっている。そして、追跡要求メッセージ作成部３３で作成された当該追跡要求メッセージは、通信インターフェース部１から中継装置Ｒｎへと送信される。
【００２７】
中継装置Ｒｎは、上述の追跡情報メッセージの送信、追跡要求メッセージの受信をはじめ、中継するＩＰパケットの送受信を行う通信インターフェース部５と、ＩＰパケットの中継をするためのルータ機能部６と、当該中継装置Ｒｎで受信したＩＰパケットが追跡対象の特徴と一致するか解析等を行う発信源追跡機能部７とを備えている。各部について順に説明すると、まず通信インターフェース部５は、ＯＳＩ（Open Systems Interconnection）参照モデルのレイヤ１に相当する物理層インターフェース５０と、レイヤ２に相当するデータリンク層インターフェース５１とを備えており、ルータ機能部６及び発信源追跡機能部７は、それぞれ後者のデータリンク層インターフェース５１と接続されている。
【００２８】
ルータ機能部６は、データリンク層インターフェース５１からデータリンクフレーム（ここでは、ＭＡＣフレームをいう）を取り込み、そのフレームデータに含まれるパケットヘッダの宛先アドレスを参照して、所定の中継装置又は端末へとＩＰパケットの中継制御を行うルーティング制御部６０と、その中継制御に用いるテーブルであって、宛先ＩＰアドレスに対応するインターフェースが格納されたルーティングテーブル６１と、ＩＰアドレスに対応するＭＡＣ（Media Access Control）アドレスが格納されたＡＲＰ（Address Resolution Protocol）テーブル６２とを備えている。
【００２９】
発信源追跡機能部７は、データリンク層インターフェース５１からＭＡＣフレームを取り込み、そのフレームヘッダに含まれるデータリンクアドレス（ここでは、ＭＡＣアドレスをいう）の取得と、ＩＰパケットである当該フレームデータが、追跡対象のＩＰパケットの特徴情報と一致するか判別するパケット解析部７０と、当該追跡対象のＩＰパケットの特徴情報を格納する特徴情報データベース７１とを備えている。また、発信源追跡機能部７は、発信源追跡処理を継続する時間を計時するタイマー部７２と、そのタイマー部７２とパケット解析部７０から送信される情報を下に、追跡情報作成のために必要な各種情報を取得する発信源追跡制御部７３と、特徴と一致したＩＰパケットが通過したインターフェースの情報を含む追跡情報メッセージを作成する追跡情報メッセージ作成部７４とを備えている（カッコ書きについては後述の実施形態で説明する）。
【００３０】
次に、上述の構成を踏まえ、本実施形態に係る発信源追跡システムの動作について詳細に説明する。ここで、発信源追跡の一連の流れを説明する前に、まず、探査端末Ｍと一台の中継装置Ｒｎ（中継装置Ｒ１を代表として取り上げる）との動作に着目し、図１〜図４（ａ）を参照して説明する。図２に示す探査端末Ｍは、中継装置Ｒ１と犠牲端末Ｖの間の通信を監視しており、具体的には、通信インターフェース部１により当該間を流れるＩＰパケットを取得して、そのパケットデータをＩＤＳパケット解析部２０に送信し、ＩＤＳパケット解析部２０では、不正アクセスパターンデータベース２１を参照して、攻撃パターンに相当するか解析を行う。攻撃端末Ａ１から犠牲端末Ｖに対して、攻撃パケットが送信されると（Ｐ１ａ）、探査端末ＭのＩＤＳパケット解析部２０は、攻撃パターンであることを検知し（図１、ステップＳ１）、追跡要求メッセージ作成部３３へ、攻撃パケットの特徴情報を含む追跡要求メッセージ作成要求を送信する。
【００３１】
攻撃パケットの特徴情報とは、送信元ＩＰアドレス、宛先ＩＰアドレス、上位プロトコルの種類等のＩＰヘッダの情報をはじめ、トランスポート層以上のプロトコルの情報であっても良く、例えば、ＴＣＰ（Transmission Control Protocol）や、ＵＤＰ（User Datagram Protocol）の宛先ポート番号等の情報をいい、それぞれ単独又はそれらの組み合わせで特徴情報を構成する。尚、アドレス等は必ずしも単独である必要はなく、例えば、送信元ＩＰアドレス0.0.0.0〜255.255.255.255、宛先ＩＰアドレス133.254.181.0〜133.254.182.0、ポート番号0〜1024などの範囲があるものであっても良い。
【００３２】
追跡要求メッセージ作成部３３には、犠牲端末Ｖの最寄りの中継装置、すなわち中継装置Ｒ１のＩＰアドレスがユーザによって予め登録されており、同追跡要求メッセージ作成部３３は、ＩＤＳパケット解析部２０より追跡要求メッセージ作成要求を受信すると、当該中継装置Ｒ１宛に、追跡要求である旨、複数の追跡をする場合に区別するための追跡ＩＤ、追跡情報集約数の上限値、追跡情報取得数の上限値、発信源追跡処理を継続する時間、特徴情報を含んだ追跡要求メッセージを作成する（ステップＳ２）。尚、このメッセージの作成時に、追跡要求メッセージ作成部３３は、自己のバッファ（図示せず）に、追跡ＩＤと特徴情報とを対応づけて格納しておく。また、このメッセージの作成は、例えば、ＵＤＰ、ＴＣＰ、ＩＣＭＰ（Internet Control Message Protocol）、ＳＮＭＰ（Simple Network Management Protocol）などの通信プロトコルを利用して形成しても良いものである。そして、このようにして作成された追跡要求メッセージは、通信インターフェース部１より、中継装置Ｒ１へと送信される（ステップＳ３）。
【００３３】
図３に示す中継装置Ｒ１では、その追跡要求メッセージを、物理層インターフェース５０を介してデータリンク層インターフェース５１へと送り、当該データリンク層インターフェース５１では、ＭＡＣフレームを抽出してパケット解析部７０へと送信する。パケット解析部７０では、そのＭＡＣフレームのフレームデータを参照して、それが追跡要求メッセージであることを検出すると、当該追跡要求メッセージに含まれる特徴情報を特徴情報データベース７１に格納し（ステップＳ４）、追跡要求メッセージを検出した旨、追跡ＩＤ、追跡情報集約数の上限値、追跡情報取得数の上限値、発信源追跡処理を継続する時間を発信源追跡制御部７３へと送信する。そして、発信源追跡制御部７３では、タイマー部７２を動作させて発信源追跡処理を継続する時間の計時を開始し（ステップＳ５）、中継装置Ｒ１は、ルーティングのみを行う通常モードから、攻撃端末Ａ１等の特定をする追跡モードへと移行する。尚、データリンク層インターフェース５１で抽出されたＭＡＣフレームは、ルーティング制御部６０にも送信されるが、当該ルーティング制御部６０は、ＭＡＣフレームに含まれるパケットヘッダの宛先アドレスからルーティングテーブル６１を参照して、そのＩＰパケットが自己宛てであることを認識するので中継動作は行われない。
【００３４】
上述の追跡モード中、中継装置Ｒ１のパケット解析部７０は、特徴情報データベース７１を参照して、インターフェース毎（犠牲端末Ｖ、中継装置Ｒ２、中継装置Ｒ５が接続されているポート毎）にフレームデータを監視し（ステップＳ６）、当該フレームデータが追跡対象のＩＰパケット（攻撃パケット）であること認識すると、その旨を発信源追跡制御部７３へと送信する（ステップＳ７）。このとき、発信源追跡制御部７３では、当該パケット解析部７０から、当該中継装置Ｒ１が受信した攻撃パケットを含むＭＡＣフレームのヘッダと、その攻撃パケットがルータ機能部６によって中継され、再びＭＡＣフレームに格納された際の、そのＭＡＣフレームのヘッダをバッファに格納する（バッファは図示せず）。つまり、中継装置Ｒ１につき、犠牲端末Ｖ側から攻撃端末Ａ１側を見て、前方リンク情報（犠牲端末Ｖ及び中継装置Ｒ１の通信用アドレスたるＭＡＣアドレスの組）と、後方リンク情報（中継装置Ｒ１及びＲ２の通信用アドレスたるＭＡＣアドレスの組）を格納するようになっている。
【００３５】
そして、発信源追跡制御部７３は、追跡情報集約数に１を加えて（ステップＳ８）、その追跡情報集約数が上限値を超えた場合に（ステップＳ９）、追跡情報メッセージを作成する（ステップＳ１０）。追跡情報集約数の上限値を超えていない場合には、当該追跡情報メッセージは作成されず（同ステップＳ１０）、インターフェース毎のＩＰパケットの監視が継続される（ステップＳ６）。このように、特徴と一致するＩＰパケットを複数回検出した場合（当該上限値を超えた場合）に初めて追跡情報メッセージが作成されて、送信されるようになっているので、パケットの通過量が低い正当ユーザの送信につき、追跡情報メッセージが作成されることがなく、以って、ネットワーク負荷を減少させることができる。
【００３６】
上述の追跡情報メッセージの作成について、さらに言及すると、発信源追跡制御部７３は、追跡要求メッセージの発信元である探査端末ＭのＩＰアドレスを宛先アドレスとし、さらに後方リンク情報から、後方側端末である中継装置Ｒ２のＭＡＣアドレスを抽出する。次に、発信源追跡制御部７３は、抽出したＭＡＣアドレスからＡＲＰテーブル６２を参照して、当該中継装置Ｒ２のＩＰアドレスを求め、そのＩＰアドレスと、追跡ＩＤ、前方リンク、後方リンクの各情報を追跡情報メッセージ作成部７４へと送信する。このとき、攻撃があったことのログとしての利用や、探査端末Ｍ等にて詳細な解析を行うために、パケット解析部７０で検出した攻撃パケットのデータを含めるようにしても良い。
【００３７】
そして、これらの各情報を受信した追跡情報メッセージ作成部７４では、当該各情報と追跡情報である旨を格納したパケットデータを作成し（ステップＳ１０）、ルーティング制御部６０へと送信する。尚、このパケットデータは、上述したＵＤＰなどにより構成しても良い。次に、ルーティング制御部６０は、宛先アドレスである探査端末ＭのＩＰアドレスを、ルーティングテーブル６１を参照して、対応するインターフェースを求め、そのインターフェースの情報と共に、パケットデータをデータリンク層インターフェース５１へと送信する。そして、上述の各情報が含まれた追跡情報メッセージが探査端末Ｍへと送信される（ステップＳ１１）。
【００３８】
図２に示す探査端末Ｍでは、中継装置Ｒ１から送信された追跡情報メッセージであることを追跡情報メッセージ検出部３０にて検出すると、その旨と追跡情報メッセージに格納された各種情報を追跡情報解析部３１へと送信する。追跡情報解析部３１では、リンクリストデータベース３２に、当該追跡情報メッセージを検出した旨を受信した時間と、追跡ＩＤ、後方側端末の通信用アドレス（ここでは中継装置Ｒ２のＩＰアドレスをいう）、後方側リンク情報、前方側リンク情報を格納する（ステップＳ１３ａ）。追跡要求メッセージを送信してから、所定時間以内に追跡情報メッセージが返信されてきた場合には、次に追跡要求メッセージを送信するための後方側端末の通信用アドレスが分かっているので、追跡要求メッセージ作成部３３に対し、当該通信用アドレスと追跡ＩＤを含む追跡要求メッセージ作成要求を送信する（ステップ１４ａ）。
【００３９】
追跡要求メッセージ作成部３３では、追跡ＩＤから自己のバッファに格納した特徴情報を読み出し、当該後方側端末（ここでは、中継装置Ｒ２）宛に、追跡要求である旨、追跡ＩＤ、追跡情報集約数の上限値、追跡情報取得数の上限値、発信源追跡処理を継続する時間、そして読み出した特徴情報を含んだ追跡要求メッセージを作成し（ステップＳ２）、後方側端末に追跡要求メッセージが送信されることになる（ステップＳ３）。このような処理を繰り返すことにより、図２に示す探査端末Ｍのリンクリストデータベースに、追跡情報が順次格納されていくので、これらの情報を繋ぎ合わせることで、攻撃端末Ａ１等を特定することができる。
【００４０】
ところで、再び中継装置Ｒｎの動作フローについて着目すると、追跡情報メッセージが探査端末Ｍへと送信された後（ステップＳ１１）、中継装置Ｒｎの発信源追跡制御部７３では、追跡情報取得数に１を加え（ステップＳ１２ｂ）、その取得数が上限値を超えていた場合には（ステップ１３ｂ）、追跡情報メッセージが大量に送信されることを防ぐために、追跡処理を終了する。尚、このとき、追跡情報集約数及び追跡情報取得数がリセットされる（ステップＳ１４ｂ）。一方、追跡情報取得数の上限値に達していない場合には、既に追跡情報メッセージが送信されたことから、追跡情報集約数をリセットし（ステップＳ１５）、発信源追跡処理を継続する時間を越えているか判断する（ステップＳ１６）。尚、このステップＳ１６は、ＩＰパケットを受信したが、追跡対象のＩＰパケット（攻撃パケット）ではなかった場合や（ステップＳ７）、追跡情報集約数の上限値に達していなかった場合（ステップＳ９）にも判断される（ステップＳ１６）。
【００４１】
そして、発信源追跡制御部７３は、発信源追跡処理を継続する時間を越えていなかった場合には（ステップＳ１６）、継続して、パケット解析部７０に、インターフェース毎にパケットデータを監視させるようになっている（ステップＳ６）。一方、発信源追跡処理を継続する時間を越えた場合であって（ステップＳ１６）、追跡情報メッセージ作成部７４に対して、当該追跡情報メッセージの作成を要求しておらず、かつ追跡対象のＩＰパケット（攻撃パケット）の特徴に一度でも一致している場合には（ステップＳ１７）、ステップＳ１０、Ｓ１１と同様にして、追跡情報メッセージを作成し（ステップＳ１８）、その作成したメッセージを探査端末Ｍへと送信するようになっている（ステップＳ１９）。
【００４２】
尚、ステップＳ１７の条件に一致しない場合には、追跡処理を終了するようになっている。これにより、何時までも追跡処理が継続することがなく、正当ユーザからの送信によって追跡情報メッセージが送信されることを防止又は減少させることはできる。また、追跡に十分な追跡情報メッセージが集まっているにも係らず、当該メッセージの送信が繰り返されることによる中継装置Ｒｎの負担を減少させると共に、ネットワーク負荷を減少させることができる。
【００４３】
次に、上述の動作説明を踏まえ、発信源追跡の一連の流れについて、図４〜図６を参照して説明する。図４及び図５は、本実施形態に係る発信源追跡システムが適用されるネットワーク構成図の一例であって、発信源追跡の一連の流れを示す図である。図６は、図２に示したリンクリストデータベース３２に格納されるリンクリストの一例を示す図である。まず、図４（ａ）に示すように、攻撃端末Ａ１から、中継装置Ｒ４、Ｒ２、Ｒ１を介して、犠牲端末Ｖに攻撃パケットが送信される（Ｐ１ａ）。一方、この図の例では、別のルートからもＤｏＳ攻撃が行われており、攻撃端末Ａ２から、中継装置Ｒ５、Ｒ１を介して、犠牲端末Ｖに攻撃パケットが送信される（Ｐ１ｂ）。探査端末Ｍは、中継装置Ｒ１と犠牲端末Ｖとの間の通信を監視して（Ｐ２ａ、Ｐ２ｂ）、犠牲端末Ｖへの攻撃であることを検知すると、中継装置Ｒ１に対して、追跡要求メッセージを送信する（Ｐ３ａ、Ｐ３ｂ）。この追跡要求メッセージの送信にあっては、それぞれの攻撃パケットに対して（Ｐ１ａ、Ｐ１ｂ）、それぞれ別々の追跡ＩＤであるＩＤ−ａ、ＩＤ−ｂを付して両者を判別する。尚、ＤＤｏＳ攻撃の場合は、同一の追跡ＩＤを付すことで、当該追跡要求メッセージの送信を減少させるようにすることが望ましい。
【００４４】
これらの追跡要求メッセージを受信した中継装置Ｒ１は、図４（ｂ）に示すように、犠牲端末Ｖへの攻撃パケットの送信によって（Ｐ１ａ、Ｐ１ｂ）、前方リンク情報及び後方リンク情報を含む追跡情報メッセージを作成して、そのメッセージを探査端末Ｍへと送信する（Ｐ４ａ、Ｐ４ｂ）。探査端末Ｍでは、当該メッセージに含まれる情報から、図６のＰ４ａ、Ｐ４ｂそれぞれに対応する情報を格納する（同図、インデックス「１」、「２」）。具体的には、追跡情報メッセージのＰ４ａ（インデックス「１」）につき、追跡ＩＤとして「ＩＤ−ａ」、追跡情報を受信した時間である「2004.11.09 9:50:00」、後方側端末の通信用アドレスとして、中継装置Ｒ２のＩＰアドレスである「ＩＰ−Ｒ２」、後方リンク情報として、中継装置Ｒ２とＲ１の通信用アドレスのペア（ここでは、通常ＭＡＣアドレスの組となる）、前方リンク情報として、中継装置Ｒ１と犠牲端末Ｖの通信用アドレスのペアを格納する。同様にして、Ｐ４ｂの各種情報が格納される（インデックス「２」）。
【００４５】
探査端末Ｍは、追跡情報メッセージのＰ４ａ、Ｐ４ｂ（インデックス「１」、「２」）に対応する、リンクリストの後方側端末の通信用アドレス「ＩＰ―Ｒ２」、「ＩＰ−Ｒ５」を参照して、それぞれ新たな送信先が中継装置Ｒ２、Ｒ５であることを認識し、これらの中継装置に対して、追跡要求メッセージを送信する（Ｐ５ａ、Ｐ５ｂ）。これらの追跡要求メッセージを受信した中継装置Ｒ２、Ｒ５は、図５（ａ）に示すように、それぞれ追跡情報メッセージを作成して、そのメッセージを探査端末Ｍへと送信する（Ｐ６ａ、Ｐ６ｂ）。探査端末Ｍでは、当該メッセージに含まれる情報から、Ｐ６ａ、Ｐ６ｂそれぞれに対応する情報を格納する（インデックス「３」、「５」）。尚、追跡情報取得数の上限値に達していない場合や、発信源追跡処理を継続する時間を越えていない場合、中継装置Ｒ１も追跡処理を継続しているので、図６のリンクリストに示すように、追跡情報メッセージのＰ４ａ、Ｐ４ｂと追跡情報受信時間が異なる情報が格納される（インデックス「４」、「６」）。
【００４６】
ここで、探査端末Ｍは、追跡ＩＤ、後方側端末の通信用アドレス、後方リンク情報、前方リンク情報が同じであるインデックス「４」、「６」については応答せず、新たな追跡情報であるインデックス「３」、「５」に対応する、リンクリストの後方側端末の通信用アドレス「ＩＰ―Ｒ４」、「ＩＰ−Ａ２」を参照して、それぞれ新たな送信先が中継装置Ｒ４、攻撃端末Ａ２であることを認識し、これらに対して、追跡要求メッセージを送信する（Ｐ７ａ、Ｐ７ｂ）。追跡要求メッセージを受信した中継装置Ｒ４は、図５（ｂ）に示すように、追跡情報メッセージを作成して、そのメッセージを探査端末Ｍへと送信する（Ｐ８ａ）。探査端末Ｍでは、同様にして、当該メッセージに含まれる情報から、Ｐ８ａに対応する情報を格納する（インデックス「７」）。尚、中継装置Ｒ２が追跡処理を継続している場合には、その情報が格納されるが（インデックス「８」）、同図に示すように、中継装置Ｒ１につき、追跡情報取得数の上限値に達した場合や、発信源追跡処理を継続する時間を越えた場合、新たな追跡情報は格納されない。
【００４７】
ところで、攻撃端末Ａ２については、追跡要求を受信しても、追跡情報メッセージを送信しないので（Ｐ８ｂはなし）、探査端末Ｍはこれ以上の追跡はしない。一方、探査端末Ｍは、追跡情報メッセージのＰ８ａ（インデックス「７」）に対応する、リンクリストの後方側端末の通信用アドレス「ＩＰ―Ａ１」を参照して、新たな送信先が攻撃端末Ａ１であることを認識し、この端末に対して、追跡要求メッセージを送信する（Ｐ９ａ）。そうすると、攻撃端末Ａ２と同様にして、当該攻撃端末Ａ１は、追跡要求を受信しても追跡情報メッセージを送信しないので（Ｐ１０ａはなし）、探査端末Ｍはこれ以上の追跡はしない。そして、探査端末Ｍは、追跡情報メッセージが所定時間、受信されないことを検知すると、リンクリストを参照し、まず追跡ＩＤの「ＩＤ−ａ」の経路構築を試みる。具体的には、インデックス「１」の後方リンク情報から、同リストを参照して、追跡ＩＤが「ＩＤ−ａ」であり、追跡情報受信時間が一番近く、当該後方リンク情報と同じアドレスのペアを持つ前方リンク情報を検索する。ここでは、インデックス「３」が相当する。
【００４８】
次に、探査端末Ｍは、インデックス「３」の後方リンク情報から、リンクリストを参照してインデックス「７」を検索し、さらにインデックス「７」の後方リンク情報から、同様にリンクリストを参照する。その結果、探査端末Ｍは、インデックス「７」の後方リンク情報と同じアドレスのペアを持つ前方リンク情報がないことを認識すると、一つ前の追跡情報、すなわちインデックス「３」の後方側の通信用アドレス「ＩＰ−Ｒ４」から、攻撃端末Ａ１は中継装置Ｒ４に接続されていることを認識する。また、同様にして、追跡ＩＤの「ＩＤ−ｂ」の経路構築を試み、攻撃端末Ａ２が中継装置Ｒ５に接続されていることを認識する。このように、中継装置Ｒｎから送信された複数の後方リンク情報及び前方リンク情報を繋ぎ合わせて行くことで、攻撃端末がどの中継装置Ｒｎに接続されているかを特定するものである。
【００４９】
〔第２の実施の形態〕
次に、別の好ましい実施の形態について、図３及び図７を参照して説明する。図７は、本実施形態に係る発信源追跡システムのフローチャートである。尚、上述の実施形態と同一である部分については、同一の符号を付してその説明を省略し、特徴となる部分についてのみ説明することとする。本実施形態が上述の実施形態と異なり、特徴を有するのは、初回の探査端末Ｍからの追跡要求メッセージの送信を除き、各中継装置Ｒｎから、それぞれ当該中継装置Ｒｎの後方側端末である中継装置Ｒｎ＋１に対して、順次追跡要求メッセージが送信される点である。上述の実施形態との構成上の違いについて説明すると、図３に示した追跡情報メッセージ作成部７４の代わりに、当該追跡情報メッセージ作成部７４の機能に加え、さらに追跡要求メッセージを作成する機能も有した追跡情報／要求メッセージ作成部７５を採用している点が異なる。
【００５０】
而して、その動作の相違について説明すると、以下の通りである。発信源追跡制御部７３は、追跡情報メッセージの作成と共に（ステップＳ１０）、後方側端末である中継装置Ｒｎに対して、追跡要求である旨や特徴情報をはじめ、探査端末Ｍから受信した追跡要求メッセージに従って、追跡ＩＤ、追跡情報集約数の上限値、追跡情報取得数の上限値、発信源追跡処理を継続する時間を含んだ追跡要求メッセージを作成し（ステップＳ１００）、後方側端末に追跡要求メッセージが送信する（ステップＳ１１０）。そして、後方側端末である中継装置Ｒｎも同様にして、後方側端末である中継装置Ｒｎ＋１に対して、追跡要求メッセージを送信していく。本実施形態の探査端末Ｍは、ＩＤＳ部２にて攻撃を検知した時にのみ追跡要求メッセージを送信し、その後は各中継装置Ｒｎから送信されてくる追跡情報メッセージの収集のみを行う。従って、本実施形態の追跡情報解析部３１は、追跡要求メッセージ作成部に対して、当該メッセージの作成を要求はしないようになっている。
【図面の簡単な説明】
【００５１】
【図１】第１の実施形態に係る発信源追跡システムのフローチャートである。
【図２】本発明に係る探査端末の構成を示すブロック図である。
【図３】本発明に係る中継装置の構成を示すブロック図である。
【図４】第１の実施形態の発信源追跡システムが適用されるネットワーク構成図の一例であって、発信源追跡の一連の流れを示す図である。
【図５】第１の実施形態の発信源追跡システムが適用されるネットワーク構成図の一例であって、発信源追跡の一連の流れを示す図である。
【図６】本発明に係るリンクリストデータベースに格納されるリンクリストの一例を示す図である。
【図７】第２の実施形態に係る発信源追跡システムのフローチャートである。
【図８】従来技術の発信源追跡システムが適用されるネットワーク構成図の一例であって、発信源追跡の一連の流れを示す図である。
【符号の説明】
【００５２】
１    通信インターフェース部
５    通信インターフェース部
２０  ＩＤＳパケット解析部
６０  ルーティング制御部
７０  パケット解析部
７３  発信源追跡制御部
７４  追跡情報メッセージ作成部
Ｍ    探査端末
Ｒｎ  中継装置
【図１】
2006148594.tif 000003
【図２】
2006148594.tif 000004
【図３】
2006148594.tif 000005
【図４】
2006148594.tif 000006
【図５】
2006148594.tif 000007
【図６】
2006148594.tif 000008
【図７】
2006148594.tif 000009
【図８】
2006148594.tif 000010