(57)【要約】【課題】  パケットログ記録装置間の時刻が異なる場合であっても正確にパケットの伝播経路の追跡が可能なパケット経路追跡システムを実現する。【解決手段】  ネットワークを伝播するパケットの伝播経路を追跡するパケット経路追跡システムにおいて、伝播するパケットの情報を記録すると共にログ情報の要求があった場合にパケットログ集約装置の時刻で補正された検索時刻範囲に記録されている検索対象パケットのログ情報を時刻差と共に返送する複数台のパケットログ記録装置と、検索要求があった場合にログ情報の要求を行い複数台のパケットログ記録装置から取得した時刻差に基づき取得したログ情報のパケット検出時刻を補正して検索結果を生成するパケットログ集約装置と、パケットログ集約装置に検索時刻範囲と検索対象パケットを指定して検索要求を行い検索結果を取得する検索端末とを設ける。【選択図】                    図１
2006262036.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを伝播するパケットの伝播経路を追跡するパケット経路追跡システムにおいて、
伝播するパケットの情報を記録すると共にログ情報の要求があった場合にパケットログ集約装置の時刻で補正された検索時刻範囲に記録されている検索対象パケットのログ情報を時刻差と共に返送する複数台のパケットログ記録装置と、
検索要求があった場合に前記ログ情報の要求を行い複数台の前記パケットログ記録装置から取得した前記時刻差に基づき取得した前記ログ情報のパケット検出時刻を補正して検索結果を生成するパケットログ集約装置と、
前記パケットログ集約装置に検索時刻範囲と前記検索対象パケットを指定して前記検索要求を行い前記検索結果を取得する検索端末と
を備えたことを特徴とするパケット経路追跡システム。
【請求項２】
前記パケットログ集約装置が、
前記検索端末からパケットの検索要求があった場合に複数台の前記パケットログ記録装置に対して前記指定された検索時刻範囲に記録されている前記検索対象パケットのログ情報を要求すると共に前記パケットログ集約装置の時刻を併せて通知し、
複数台の前記パケットログ記録装置から要求したログ情報を取得するまで待機し、
複数台の前記パケットログ記録装置から取得した前記時刻差に基づき取得した前記ログ情報のパケット検出時刻を補正し、
パケット検出時刻が補正されたログ情報に基づき前記検索結果を生成して前記検索端末に返送することを特徴とする
請求項１記載のパケット経路追跡システム。
【請求項３】
前記パケットログ記録装置が、
前記パケットログ集約装置から前記パケットログ集約装置の時刻と共に前記指定された検索時刻範囲に記録されている検索対象パケットのログ情報の要求があった場合に前記パケットログ集約装置の時刻で補正された検索時刻範囲に記録されている前記検索対象パケットの前記ログ情報を前記時刻差と共に返送することを特徴とする
請求項１記載のパケット経路追跡システム。
【請求項４】
前記検索端末が、
前記パケットログ集約装置に対して前記検索対象パケットと検索時刻範囲を指定して前記検索対象パケットの検索を要求し、
前記パケットログ集約装置から前記検索結果を取得することを特徴とする
請求項１記載のパケット経路追跡システム。
【請求項５】
前記検索端末が、
複数台設置されたことを特徴とする
請求項１記載のパケット経路追跡システム。
【請求項６】
前記検索端末が、
前記パケットログ集約装置の前記時刻を基準にして処理を行うことを特徴とする
請求項１記載のパケット経路追跡システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークを伝播するパケットの伝播経路を追跡するパケット経路追跡システムに関し、特にパケットログ記録装置間の時刻が異なる場合であっても正確にパケットの伝播経路の追跡が可能なパケット経路追跡システムに関する。
【背景技術】
【０００２】
従来のネットワークを伝播するパケットを記録してパケットの伝播経路を追跡するパケット経路追跡システムやシステム間の時刻同期等に関連する先行技術文献としては次のようなものがある。
【０００３】
【特許文献１】特開平０６−０８９１２３号公報
【特許文献２】特開２００２−０９４４９１号公報
【特許文献３】特開２００２−３１２０３２号公報
【特許文献４】特開２００３−２９８６４８号公報
【特許文献５】特開２００３−２９８６５１号公報
【特許文献６】特開２００３−３１７１８０号公報
【特許文献７】特開２００４−１９９３６６号公報
【０００４】
従来のインターネット上ではパケットを連続してターゲットに送信して当該ターゲットの提供するサービスを停止等させるＤｏＳ（Denial of Service attack：サービス停止攻撃：以下、単にＤｏＳと呼ぶ。）が問題になっている。
【０００５】
特に、複数地点から一斉に一つのターゲットに対してＤｏＳ攻撃を行うＤＤｏＳ（Distributed ＤｏＳ：分散型ＤｏＳ：以下、単にＤＤｏＳと呼ぶ。）が大きな問題になっている。
【０００６】
このため、このようなＤＤｏＳ攻撃等を防止するため、不正なパケットの発信源を特定するパケット経路追跡システムが考案されている。
【０００７】
図８はこのような従来のパケット経路追跡システムの一例を示す構成ブロック図である。図８において１は攻撃者（アタッカー）が操作する端末、２はＤＤｏＳ攻撃等のターゲットとなるサーバ、３及び４はＩＳＰ（Internet Service Provider：インターネットサービス提供業者：以下、単にＩＳＰと呼ぶ。）、５，６，７及び８はルータ、９，１０及び１１は伝播するパケットの情報を記録するパケットログ記録装置、１２は各パケットログ記録装置に記録されているパケットの情報を集約するパケットログ集約装置、１３はパケットログ集約装置１２に検索要求を行う検索端末である。
【０００８】
端末１はルータ５を介してＩＳＰ３に接続され、ＩＳＰ３はルータ６及びルータ７を介してＩＳＰ４に接続される。また、サーバ２はルータ８を介してＩＳＰ４に接続される。
【０００９】
さらに、端末１とルータ５との間の回線にはパケットログ記録装置９が接続され、ルータ６とルータ７との間の回線にはパケットログ記録装置１０が接続され、サーバ２とルータ８との間の回線にはパケットログ記録装置１１が接続される。
【００１０】
また、ＩＳＰ４にはパケットログ集約装置１２が接続され、パケットログ集約装置１２には検索端末１３が接続されている。
【００１１】
ここで、図８に示す従来のパケット経路追跡システムの動作を図９及び図１０を用いて説明する。図９は攻撃者（アタッカー）の攻撃経路を示す説明図、図１０はパケットの記録状況を説明する説明図である。
【００１２】
図９中”ＡＴ０１”に示すように攻撃者（アタッカー）は端末１からＩＳＰ３及びＩＳＰ４を介してターゲットであるサーバ２に対してＤｏＳ攻撃等を行う。
【００１３】
一方、パケットログ記録装置９，１０及び１１は接続された回線を伝播するパケットを取得して記憶手段に順次記録して行く。
【００１４】
例えば、図１０中”ＬＧ１１”、”ＬＧ１２”及び”ＬＧ１３”に示すようにパケットログ記録装置９，１０及び１１はＤｏＳ攻撃のために伝播する不正なパケットを取得して記憶手段に順次記録する。
【００１５】
そして、ＤｏＳ攻撃等を受けたサーバ２が受信した不正なパケットと、パケットログ記録装置９，１０及び１１にそれぞれ記録されたパケットを比較して当該不正なパケットが伝播した経路を特定する。
【００１６】
例えば、図９に示すＤｏＳ攻撃等に用いられた不正なパケットはパケットログ記録装置９，１０及び１１に記録されているので図９中”ＡＴ０１”に示すような不正なパケットの伝播経路を特定することが可能になる。
【００１７】
但し、監視している回線に伝播するパケットの全ての情報を順次記録するために、記憶手段には膨大な記憶容量が必要になるため、効率良くパケットの情報を保持する方法が考案されている。
【００１８】
図１１はこのようなパケットログ記録装置の具体例を示す構成ブロック図であり、１４は演算制御手段、１５は記憶手段である。
【００１９】
観測点である回線からの入力は演算制御手段１４に接続され、演算制御手段１４の出力は記憶手段１５に接続される。
【００２０】
ここで、図１１に示すパケットログ記録装置の動作を図１２を用いて説明する。図１２は取得したパケットの記録方法を説明する説明図である。
【００２１】
図１１中”ＬＧ２１”に示すように観測点である回線から入力されたパケットは演算制御手段１４に取り込まれ、ＩＰ（Internet Protocol）パケットの中で伝播中に不変である部分等を抽出する。
【００２２】
そして、演算制御手段１４は抽出された情報をハッシュ関数を用いてハッシュ値に変換し、このハッシュ値を記憶手段１５のアドレスとみなして、該当するアドレスにビットを立てる等してある特定のパケットが伝播したことを記録する。
【００２３】
ここで、ハッシュ関数とは、原文から固定長の疑似乱数（ハッシュ値）を生成する関数であって、このハッシュ関数は不可逆な一方向関数を含むために生成されたハッシュ値から元の原文を再現することはできない。また、同じハッシュ値となる異なるデータを作成することは極めて困難である。
【００２４】
例えば、演算制御手段１４が、図１２中”ＰＩ３１”に示すような取得したパケットから抽出された伝播中に不変である部分にハッシュ関数を適用して、図１２中”ＨＶ３１”に示すようなハッシュ値（例えば、ＸＸＸＸＨ：１６ビットの１６進数表現）を得られた場合を想定する。
【００２５】
この場合、演算制御手段１４は得られたハッシュ値（ＸＸＸＸＨ）を記憶手段１５のアドレスとみなして、”ＸＸＸＸＨ”のアドレスに図１２中”ＷＤ３１”に示すようにデータを書き込む。
【００２６】
例えば、データの書込み方法としては”００００００００Ｂ（８ビットデータ）”から”０００００００１Ｂ”等（ビットを立てる）に変更することによってある特定のパケットが伝播したことを記録する。
【００２７】
そして、ＤｏＳ攻撃等を受けたサーバが受信した不正なパケットに前記ハッシュ関数を適用して得られたハッシュ値に対応する記憶手段１５のアドレスにビットが立っていれば不正なパケットがパケットログ記録装置が接続された回線を伝播したことになる。
【００２８】
この結果、図１１に示すパケットログ記録装置ではパケットの情報を全て記憶手段に記録するのではなく、パケットの一部分にハッシュ関数を適用して得られたハッシュ値に対応する記憶手段のアドレスに記録する（ビットを立てる）ことにより、記憶手段の記憶容量は小さくて良く、効率良くパケットの情報を保持することが可能である。
【００２９】
このように、各パケットログ記録装置９，１０及び１１に記録されたパケットの情報の検索を図１３、図１４、図１５、図１６及び図１７を用いて説明する。図１３は検索端末１３の動作を説明するフロー図、図１４及び図１５は情報等の流れを説明する説明図、図１６はパケットログ集約装置１２の動作を説明するフロー図、図１７はパケットログ記録装置９、１０及び１１の動作を説明するフロー図である。
【００３０】
図１３中”Ｓ００１”において検索端末１３は、パケットログ集約装置１２に経路の追跡を行いたいパケット（以下、単に検索対象パケットと呼ぶ。）と検索時刻範囲を指定して当該検索対象パケットの検索を要求すると共に図１３中”Ｓ００２”においてパケットログ集約装置１２から検索結果を受信するまで待機する。
【００３１】
例えば、図１４中”ＳＲ４１”に示すように検索端末１３は、パケットログ集約装置１２に対して検索対象パケットの検索要求を行うと共に検索結果を受信するまで待機する。
【００３２】
ここで、検索結果には、当該検索対象パケットが検出された位置情報（具体的には、検出対象パケットを検出したパケットログ記録装置の設置位置情報）、検索対象パケットの通過時刻情報、或いは、検索対象パケットが非通過であった旨の情報等が記載されている。
【００３３】
そして、図１３中”Ｓ００２”においてパケットログ集約装置１２から検索結果を受信したと判断した場合には、図１３中”Ｓ００３”において検索端末１３は、受信した検索結果を分析等する。
【００３４】
例えば、図１５中”ＲＥ５１”に示すようにパケットログ集約装置１２から検索結果を受信したと判断した場合には、検索端末１３は、受信した検索結果を分析等する。
【００３５】
一方、図１６中”Ｓ１０１”においてパケットログ集約装置１２は、検索端末１３からパケットの検索要求があったか否かを判断し、もし、パケットの検索要求があったと判断した場合には、図１６中”Ｓ１０２”においてパケット集約装置１２は、各パケットログ記録装置９〜１１に対して指定された検索時刻範囲に記録されている検索対象パケットのログ情報を要求すると共に図１６中”Ｓ１０３”において要求したログ情報を取得するまで待機する。
【００３６】
例えば、パケットログ集約装置１２は、図１４中”ＳＲ４１”に示すように検索端末１３からパケットの検索要求があったと判断した場合には、図１４中”ＲＬ４１”、”ＲＬ４２”及び”ＲＬ４３”に示すようにパケットログ記録装置９，１０及び１１に対して指定された検索時刻範囲に記録されている検索対象パケットのログ情報を要求する。
【００３７】
そして、図１６中”Ｓ１０３”において要求したログ情報を取得したと判断した場合には、図１６中”Ｓ１０４”においてパケットログ集約装置１２は、取得したログ情報に基づき検索結果を生成して検索端末１３に返送する。
【００３８】
例えば、図１５中”ＲＤ５１”，”ＲＤ５２”及び”ＲＤ５３”に示すようにパケットログ記録装置９，１０及び１１から指定された検索時刻範囲に記録されている検索対象パケットのログ情報を取得した場合には、検索対象パケットが検出された位置情報、検索対象パケットの通過時刻情報、或いは、非通過であった旨の情報等を記載した検索結果を生成して検索端末１３に返送する。
【００３９】
さらに、図１７中”Ｓ２０１”において各パケットログ記録装置９〜１１は、パケットログ集約装置１２から指定された検索時刻範囲に記録されている検索対象パケットのログ情報の要求があったか否かを判断し、もし、当該ログ情報の要求があったと判断した場合には、図１７中”Ｓ２０２”において各パケットログ記録装置９〜１１は、指定された検索時刻範囲に記録されているログ情報を検索して検索対象パケットのログ情報を返送する。
【００４０】
但し、指定された検索時刻範囲に検索体操パケットのログ情報が存在しない場合には、検索対象パケットが非通過であった旨の情報を返送する。
【００４１】
例えば、図１４中”ＲＬ４１”、”ＲＬ４２”及び”ＲＬ４３”に示すようにパケットログ集約装置１２から指定された検索時刻範囲に記録されている検索対象パケットのログ情報の要求があった場合には、各パケットログ記録装置９〜１１は、図１５中”ＲＤ５１”、”ＲＤ５２”及び”ＲＤ５３”に示すように指定された検索時刻範囲に記録されているログ情報を検索して検索対象パケットのログ情報等を返送する。
【００４２】
この結果、検索端末１３からのパケット検索要求に基づきパケットログ集約装置１２が、各パケットログ記録装置９〜１１から指定された検索時刻範囲に記録されている検索対象パケットのログ情報等を収集し検索結果を生成して検索端末１３に返送することにより、検索対象パケットの伝播経路を追跡することが可能になる。
【発明の開示】
【発明が解決しようとする課題】
【００４３】
しかし、図８に示すような従来例では、パケットログ集約装置１２が、各パケットログ記録装置９〜１１に対して検索時刻範囲を指定して検索対象パケットのログ情報等を収集するため、各パケットログ記録装置９〜１１間の時計（時刻）が同期していない場合には正確にログ情報を収集できないと言った問題点があった。
【００４４】
図１８、図１９及び図２０は各パケットログ記録装置に記録されているログ情報と、指定された検索時刻範囲との関係を示す説明図であり、図１８は各パケットログ記録装置９〜１１間の時計（時刻）が正確であり、尚且つ、時計（時刻）が同期している場合、図１９及び図２０は各パケットログ記録装置９〜１１間の時計（時刻）が互いに異なっている場合を例示している。
【００４５】
図１８中”ＬＧ６１”、”ＬＧ６２”及び”ＬＧ６３”はそれぞれパケットログ記録装置９〜１１に記録されているログ情報を過去から未来に向かって時系列的に並べて表示したものであり、図１８中”ＲＧ６１”は指定された検索時刻範囲である。
【００４６】
図１８に示すように各パケットログ記録装置９〜１１間の時計（時刻）が正確であり、尚且つ、時計（時刻）が同期している場合には、図１８中”ＲＤ６１”、”ＲＤ６２”及び”ＲＤ６３”に示すようなログ情報において検索対象パケットの情報が正確に収集されることになる。
【００４７】
一方、図１９中”ＬＧ７１”、”ＬＧ７２”及び”ＬＧ７３”はそれぞれパケットログ記録装置９〜１１に記録されているログ情報を過去から未来に向かって時系列的に並べて表示したものであり、各パケットログ記録装置９〜１１間の時計（時刻）が互いに異なっている。
【００４８】
例えば、図１９中”ＬＧ７１”に示すログ情報は、図１９中”ＬＧ７２”に示すログ情報に対して図１９中”ＤＴ７１”に示す時刻差だけ時刻が進んでおり、図１９中”ＬＧ７３”に示すログ情報は、図１９中”ＬＧ７２”に示すログ情報に対して図１９中”ＤＴ７２”に示す時刻差だけ時刻が遅れている。
【００４９】
このような状況下で、図１９中”ＲＧ６１”は指定された検索時刻範囲でログ情報を収集した場合には、本来検索されるべき図１９中”ＲＤ７１”及び”ＲＤ７３”に示すログ情報の検索ができなくなり、検索対象パケットの正確な伝播経路の追跡ができなくなってしまう。
【００５０】
このような場合、図２０中”ＲＧ８１”に示すように検索時刻範囲を拡張することにより、図２０中”ＲＤ７１”及び”ＲＤ７３”に示すようなログ情報の検索漏れを防止することができるものの、検索時刻範囲を広げることは検索時間を長くしてしまうといった欠点がある。
【００５１】
さらに、検索時刻範囲を広げることにより、同種類のパケットであっても検索対象パケット、言い換えれば、伝播経路を追跡したいパケットには該当しないパケットが誤って検索されてしまう恐れがあるといった欠点があった。
【００５２】
また、通常は各パケットログ記録装置９〜１１はＮＴＰ（Network Time Protocol）等を利用して装置間の時計（時刻）を同期させることを前提としているが、運用上は何らかの事情により装置間の時計（時刻）同期ができずに装置間の時計（時刻）が異なってしまう場合が発生する可能性は否定できないと言った問題点があった。
従って本発明が解決しようとする課題は、パケットログ記録装置間の時刻が異なる場合であっても正確にパケットの伝播経路の追跡が可能なパケット経路追跡システムを実現することにある。
【課題を解決するための手段】
【００５３】
このような課題を達成するために、本発明のうち請求項１記載の発明は、
ネットワークを伝播するパケットの伝播経路を追跡するパケット経路追跡システムにおいて、
伝播するパケットの情報を記録すると共にログ情報の要求があった場合にパケットログ集約装置の時刻で補正された検索時刻範囲に記録されている検索対象パケットのログ情報を時刻差と共に返送する複数台のパケットログ記録装置と、検索要求があった場合に前記ログ情報の要求を行い複数台の前記パケットログ記録装置から取得した前記時刻差に基づき取得した前記ログ情報のパケット検出時刻を補正して検索結果を生成するパケットログ集約装置と、前記パケットログ集約装置に検索時刻範囲と前記検索対象パケットを指定して前記検索要求を行い前記検索結果を取得する検索端末とを備えたことにより、パケットログ記録装置間の時刻が異なる場合であっても正確にパケットの伝播経路の追跡が可能になる。
【００５４】
請求項２記載の発明は、
請求項１記載の発明であるパケット経路追跡システムにおいて、
前記パケットログ集約装置が、
前記検索端末からパケットの検索要求があった場合に複数台の前記パケットログ記録装置に対して前記指定された検索時刻範囲に記録されている前記検索対象パケットのログ情報を要求すると共に前記パケットログ集約装置の時刻を併せて通知し、数台の前記パケットログ記録装置から要求したログ情報を取得するまで待機し、複数台の前記パケットログ記録装置から取得した前記時刻差に基づき取得した前記ログ情報のパケット検出時刻を補正し、パケット検出時刻が補正されたログ情報に基づき前記検索結果を生成して前記検索端末に返送することにより、パケットログ記録装置間の時刻が異なる場合であっても正確にパケットの伝播経路の追跡が可能になる。
【００５５】
請求項３記載の発明は、
請求項１記載の発明であるパケット経路追跡システムにおいて、
前記パケットログ記録装置が、
前記パケットログ集約装置から前記パケットログ集約装置の時刻と共に前記指定された検索時刻範囲に記録されている検索対象パケットのログ情報の要求があった場合に前記パケットログ集約装置の時刻で補正された検索時刻範囲に記録されている前記検索対象パケットの前記ログ情報を前記時刻差と共に返送することにより、パケットログ記録装置間の時刻が異なる場合であっても正確にパケットの伝播経路の追跡が可能になる。
【００５６】
請求項４記載の発明は、
請求項１記載の発明であるパケット経路追跡システムにおいて、
前記検索端末が、
前記パケットログ集約装置に対して前記検索対象パケットと検索時刻範囲を指定して前記検索対象パケットの検索を要求し、前記パケットログ集約装置から前記検索結果を取得することにより、パケットログ記録装置間の時刻が異なる場合であっても正確にパケットの伝播経路の追跡が可能になる。
【００５７】
請求項５記載の発明は、
請求項１記載の発明であるパケット経路追跡システムにおいて、
前記検索端末が、
複数台設置されたことにより、パケットログ記録装置間の時刻が異なる場合であっても正確にパケットの伝播経路の追跡が可能になる。
【００５８】
請求項６記載の発明は、
請求項１記載の発明であるパケット経路追跡システムにおいて、
前記検索端末が、
前記パケットログ集約装置の前記時刻を基準にして処理を行うことにより、パケットログ記録装置間の時刻が異なる場合であっても正確にパケットの伝播経路の追跡が可能になる。また、全ての装置や端末の時刻がパケットログ集約装置の時刻で一元管理できる。
【発明の効果】
【００５９】
本発明によれば次のような効果がある。
請求項１，２，３，４，５及び請求項６の発明によれば、各パケットログ記録装置が、取得したパケットログ集約装置の時刻と、各パケットログ記録装置の時刻との間の時刻差を求め、当該時刻差によって指定された検索時刻範囲を補正し、補正した検索時刻範囲に記録されている検索対象パケットのログ情報等を時刻差と共に返送し、パケットログ集約装置が、取得した時刻差に基づき取得したログ情報のパケット検出時刻を補正することにより、パケットログ記録装置間の時刻が異なる場合であっても正確にパケットの伝播経路の追跡が可能になる。
【００６０】
また、請求項６の発明によれば、複数台の検索端末がパケットログ集約装置の時刻を基準にして処理を行うことにより、全ての装置や端末の時刻がパケットログ集約装置の時刻で一元管理されるので、パケットログ集約装置の時刻さえ管理しておけば良いことになる。
【発明を実施するための最良の形態】
【００６１】
以下本発明を図面を用いて詳細に説明する。図１は本発明に係るパケット経路追跡システムの一実施例を示す構成ブロック図である。図１において１，２，３，４，５，６，７，８，９，１０及び１１は図８と同一符号を付してあり、１６は各パケットログ記録装置に記録されているパケットの情報を集約するパケットログ集約装置、１７はパケットログ集約装置１６に検索要求を行う検索端末である。
【００６２】
端末１はルータ５を介してＩＳＰ３に接続され、ＩＳＰ３はルータ６及びルータ７を介してＩＳＰ４に接続される。また、サーバ２はルータ８を介してＩＳＰ４に接続される。
【００６３】
さらに、端末１とルータ５との間の回線にはパケットログ記録装置９が接続され、ルータ６とルータ７との間の回線にはパケットログ記録装置１０が接続され、サーバ２とルータ８との間の回線にはパケットログ記録装置１１が接続される。
【００６４】
また、ＩＳＰ４にはパケットログ集約装置１６が接続され、パケットログ集約装置１６には検索端末１７が接続されている。
【００６５】
ここで、図１に示すパケット経路追跡システムの一実施例の動作を図２、図３、図４、図５、図６及び図７を用いて説明する。図２は検索端末１７の動作を説明するフロー図、図３及び図４は情報等の流れを説明する説明図、図５はパケットログ集約装置１６の動作を説明するフロー図、図６は各パケットログ記録装置９〜１１の動作を説明するフロー図、図７は各パケットログ記録装置に記録されているログ情報と、指定された検索時刻範囲との関係を示す説明図である。
【００６６】
図２中”Ｓ３０１”において検索端末１７は、パケットログ集約装置１６に経路の追跡を行いたいパケット（以下、単に検索対象パケットと呼ぶ。）と検索時刻範囲を指定して当該検索対象パケットの検索を要求すると共に図２中”Ｓ３０２”においてパケットログ集約装置１６から検索結果を受信するまで待機する。
【００６７】
例えば、図３中”ＳＲ９１”に示すように検索端末１７は、パケットログ集約装置１６に対して検索対象パケットの検索要求を行うと共に検索結果を受信するまで待機する。
【００６８】
ここで、検索結果には、当該検索対象パケットが検出された位置情報（具体的には、検出対象パケットを検出したパケットログ記録装置の設置位置情報）、検索対象パケットの通過時刻情報、或いは、検索対象パケットが非通過であった旨の情報等が記載されている。
【００６９】
そして、図２中”Ｓ３０２”においてパケットログ集約装置１６から検索結果を受信したと判断した場合には、図２中”Ｓ３０３”において検索端末１７は、受信した検索結果を分析等する。
【００７０】
例えば、図４中”ＲＥ１０１”に示すようにパケットログ集約装置１６から検索結果を受信したと判断した場合には、検索端末１７は、受信した検索結果を分析等する。
【００７１】
一方、図５中”Ｓ４０１”においてパケットログ集約装置１６は、検索端末１７からパケットの検索要求があったか否かを判断し、もし、パケットの検索要求があったと判断した場合には、図５中”Ｓ４０２”においてパケット集約装置１６は、各パケットログ記録装置９〜１１に対して指定された検索時刻範囲に記録されている検索対象パケットのログ情報を要求すると共に図５中”Ｓ４０３”においてパケットログ集約装置１６は、装置自身が保持している時刻を併せて各パケットログ記録装置９〜１１に対して通知する。
【００７２】
例えば、パケットログ集約装置１６は、図３中”ＳＲ９１”に示すように検索端末１７からパケットの検索要求があったと判断した場合には、図３中”ＲＬ９１”、”ＲＬ９２”及び”ＲＬ９３”に示すようにパケットログ記録装置９，１０及び１１に対して指定された検索時刻範囲に記録されている検索対象パケットのログ情報を要求すると共にパケットログ集約装置１６の時刻を通知する。
【００７３】
そして、図５中”Ｓ４０４”においてパケットログ集約装置１６は、各パケットログ記録装置９〜１１から要求したログ情報を取得するまで待機し、もし、要求したログ情報を取得したと判断した場合には、図５中”Ｓ４０５”においてパケットログ集約装置１６は、各パケットログ記録装置９〜１１から取得した時刻差に基づき取得したログ情報のパケット検出時刻（検索対象パケットがパケットログ記録装置で検出された時刻）を補正し、図５中”Ｓ４０６”においてパケットログ集約装置１６は、パケット検出時刻が補正されたログ情報に基づき検索結果を生成して検索端末１７に返送する。
【００７４】
例えば、図４中”ＲＤ１０１”，”ＲＤ１０２”及び”ＲＤ１０３”に示すようにパケットログ記録装置９，１０及び１１から指定された検索時刻範囲に記録されている検索対象パケットのログ情報及びパケットログ集約装置１６との時刻差を取得した場合には、取得した時刻差に基づき取得したログ情報のパケット検出時刻を補正すると共に検索対象パケットが検出された位置情報、検索対象パケットの通過時刻情報、或いは、非通過であった旨の情報等を記載した検索結果を生成して検索端末１７に返送する。
【００７５】
さらに、図６中”Ｓ５０１”において各パケットログ記録装置９〜１１は、パケットログ集約装置１６からパケットログ集約装置１６の時刻と共に指定された検索時刻範囲に記録されている検索対象パケットのログ情報の要求があったか否かを判断し、もし、当該ログ情報の要求があったと判断した場合には、図６中”Ｓ５０２”において各パケットログ記録装置９〜１１は、パケットログ集約装置１６の時刻で補正した検索時刻範囲に記録されている検索対象パケットのログ情報を時刻差と共に返送する。
【００７６】
但し、パケットログ集約装置１６の時刻で補正した検索時刻範囲に検索対象パケットのログ情報が存在しない場合には、検索対象パケットが非通過であった旨の情報を返送する。
【００７７】
例えば、図３中”ＲＬ９１”、”ＲＬ９２”及び”ＲＬ９３”に示すようにパケットログ集約装置１６からパケットログ集約装置１６の時刻と共に指定された検索時刻範囲に記録されている検索対象パケットのログ情報の要求があった場合には、各パケットログ記録装置９〜１１は、図４中”ＲＤ１０１”、”ＲＤ１０２”及び”ＲＤ１０３”に示すようにパケットログ集約装置１６の時刻で補正した検索時刻範囲に記録されている検索対象パケットのログ情報等を時刻差と共に返送する。
【００７８】
具体的には、各パケットログ記録装置９〜１１は、取得したパケットログ集約装置１６の時刻と、各パケットログ記録装置９〜１１の時刻との間の時刻差を求め、当該時刻差によって指定された検索時刻範囲を補正する。
【００７９】
すなわち、図７中”ＬＧ１１１”、”ＬＧ１１２”及び”ＬＧ１１３”はそれぞれパケットログ記録装置９〜１１に記録されているログ情報を過去から未来に向かって時系列的に並べて表示したものであり、図７中”ＲＧ１１１”は指定された検索時刻範囲である。
【００８０】
この時、図７中”ＬＧ１１１”に示すログ情報を記録しているパケットログ記録装置９は、前述の時刻差に基づき図７中”ＲＧ１１１”に示す指定された検索時刻範囲を、図７中”ＭＴ１１１”に示すように補正し、図７中”ＲＧ１１２”に示すように検索時刻範囲に補正して、図７中”ＲＤ１１１”に示すログ情報を検索して検索対象パケットのログ情報等を返送する。
【００８１】
同様に、図７中”ＬＧ１１３”に示すログ情報を記録しているパケットログ記録装置１１は、前述の時刻差に基づき図７中”ＲＧ１１１”に示す指定された検索時刻範囲を、図７中”ＭＴ１１２”に示すように補正し、図７中”ＲＧ１１３”に示すように検索時刻範囲に補正して、図７中”ＲＤ１１３”に示すログ情報を検索して検索対象パケットのログ情報等を返送する。
【００８２】
すなわち、パケットログ集約装置からパケットログ集約装置の時刻と共に指定された検索時刻範囲に記録されている検索対象パケットのログ情報の要求があった場合に、各パケットログ記録装置が、取得したパケットログ集約装置の時刻と、各パケットログ記録装置の時刻との間の時刻差を求め、当該時刻差によって指定された検索時刻範囲を補正し、補正した検索時刻範囲に記録されている検索対象パケットのログ情報等を時刻差と共に返送し、パケットログ集約装置が、取得した時刻差に基づき取得したログ情報のパケット検出時刻を補正し、パケット検出時刻が補正されたログ情報に基づき検索結果を生成して検索端末に返送することになる。
【００８３】
この結果、各パケットログ記録装置が、取得したパケットログ集約装置の時刻と、各パケットログ記録装置の時刻との間の時刻差を求め、当該時刻差によって指定された検索時刻範囲を補正し、補正した検索時刻範囲に記録されている検索対象パケットのログ情報等を時刻差と共に返送し、パケットログ集約装置が、取得した時刻差に基づき取得したログ情報のパケット検出時刻を補正することにより、パケットログ記録装置間の時刻が異なる場合であっても正確にパケットの伝播経路の追跡が可能になる。
【００８４】
なお、図１に示す実施例の説明に際しては、パケットログ集約装置１６と検索端末１７を別途ネットワークにより接続している構成を例示しているが、勿論、このような構成に限定される訳ではなく、パケットログ集約装置１６と検索端末１７とがＩＳＰやルータ等に接続するような構成であっても構わない。
【００８５】
また、図１に示す実施例では説明の簡単のために１台の検索端末１７を例示しているが、勿論、複数台の検索端末を設置し、各々の検索端末がパケットログ集約装置１６にそれぞれの検索時刻範囲を指定し、それぞれの検索対象パケットの検索を要求する構成であっても構わない。
【００８６】
また、図１に示す実施例の説明に際しては、パケットログ記録装置９〜１１がパケットログ集約装置１６の時刻を基準にして指定された検索時刻範囲の補正を行っているが、１台、或いは、複数台の検索端末とパケットログ集約装置１６とが設置された構成の場合にも１台、或いは、複数台の検索端末がパケットログ集約装置１６の時刻を基準にして処理を行っても構わない。
【００８７】
この場合には、全ての装置や端末の時刻がパケットログ集約装置１６の時刻で一元管理されるので、パケットログ集約装置の時刻さえ管理しておけば良いことになる。
【００８８】
また、図１に示す実施例の説明に際しては、パケットログ記録装置におけるパケットの情報の記録方法に関しては、特に、言及していないが、パケットの情報を全て記憶手段に記録する記録方法であっても、前述のようにパケットの一部分にハッシュ関数を適用して得られたハッシュ値に対応する記憶手段のアドレスに記録する（ビットを立てる）記録方法等どのような記録方法であっても構わない。
【図面の簡単な説明】
【００８９】
【図１】本発明に係るパケット経路追跡システムの一実施例を示す構成ブロック図である。
【図２】検索端末の動作を説明するフロー図である。
【図３】情報等の流れを説明する説明図である。
【図４】情報等の流れを説明する説明図である。
【図５】パケットログ集約装置の動作を説明するフロー図である。
【図６】パケットログ記録装置の動作を説明するフロー図である。
【図７】各パケットログ記録装置に記録されているログ情報と、指定された検索時刻範囲との関係を示す説明図である。
【図８】従来のパケット経路追跡システムの一例を示す構成ブロック図である。
【図９】攻撃者（アタッカー）の攻撃経路を示す説明図である。
【図１０】パケットの記録状況を説明する説明図である。
【図１１】パケットログ記録装置の具体例を示す構成ブロック図である。
【図１２】取得したパケットの記録方法を説明する説明図である。
【図１３】検索端末の動作を説明するフロー図である。
【図１４】情報等の流れを説明する説明図である。
【図１５】情報等の流れを説明する説明図である。
【図１６】パケットログ集約装置の動作を説明するフロー図である。
【図１７】パケットログ記録装置の動作を説明するフロー図である。
【図１８】各パケットログ記録装置に記録されているログ情報と、指定された検索時刻範囲との関係を示す説明図である。
【図１９】各パケットログ記録装置に記録されているログ情報と、指定された検索時刻範囲との関係を示す説明図である。
【図２０】各パケットログ記録装置に記録されているログ情報と、指定された検索時刻範囲との関係を示す説明図である。
【符号の説明】
【００９０】
１  端末
２  サーバ
３，４  ＩＳＰ
５，６，７，８  ルータ
９，１０，１１  パケットログ記録装置
１２，１６  パケットログ集約装置
１３，１７  検索端末
１４  演算制御手段
１５  記憶手段
【図１】
2006262036.tif 000003
【図２】
2006262036.tif 000004
【図３】
2006262036.tif 000005
【図４】
2006262036.tif 000006
【図５】
2006262036.tif 000007
【図６】
2006262036.tif 000008
【図７】
2006262036.tif 000009
【図８】
2006262036.tif 000010
【図９】
2006262036.tif 000011
【図１０】
2006262036.tif 000012
【図１１】
2006262036.tif 000013
【図１２】
2006262036.tif 000014
【図１３】
2006262036.tif 000015
【図１４】
2006262036.tif 000016
【図１５】
2006262036.tif 000017
【図１６】
2006262036.tif 000018
【図１７】
2006262036.tif 000019
【図１８】
2006262036.tif 000020
【図１９】
2006262036.tif 000021
【図２０】
2006262036.tif 000022