(57)【要約】【課題】  不正アクセスの追跡性能を高めることによって、不正アクセスの抑止力やセキュリティ性を向上させる。【解決手段】  不正アクセス追跡システムにおいて、追跡用情報処理装置と中継装置とを備え、中継装置は、不正アクセスが検知されたとき、アクセス対象通信装置に届けられていたパケットのレイヤ３送信元アドレスを取得して追跡エージェントに供給し、追跡エージェントはレイヤ３送信元アドレスをもとに該当する中継装置に移動して、その中継装置の情報収集データベース部に蓄積されている内容から、最終的にアクセス元通信端末が接続されているポートを特定し、その特定したポートを示すポート識別情報を追跡用情報処理装置に持ち帰るように構成する。【選択図】  図１
2006127409.tif 000002
【特許請求の範囲】
【請求項１】
アクセス対象通信装置に対するネットワーク経由の不正アクセスが検知されたとき、痕跡を追跡して不正アクセスのためのパケットの送信元であるアクセス元通信端末を特定する不正アクセス追跡システムにおいて、
所定の追跡エージェントの実行環境を有し、前記追跡に関する情報を収集して処理する追跡用情報処理装置と、
前記アクセス元通信端末とアクセス対象通信装置のあいだに介在し、レイヤ２および／またはレイヤ３で前記パケットの中継を行う１または複数の中継装置とを備え、
前記中継装置は、自身が中継する前記パケットについてそのレイヤ２送信元アドレスとポートの対応関係、およびレイヤ３送信元アドレスとレイヤ２送信元アドレスの対応関係を蓄積する情報収集データベース部を有し、前記追跡用情報処理装置は、前記不正アクセスが検知されたとき、前記アクセス対象通信装置に届けられていたパケットのレイヤ３送信元アドレスを取得して前記追跡エージェントに供給し、前記追跡エージェントは当該レイヤ３送信元アドレスをもとに該当する中継装置に移動して、その中継装置の情報収集データベース部に蓄積されている内容から、最終的に前記アクセス元通信端末が接続されているポートを特定し、その特定したポートを示すポート識別情報を前記追跡用情報処理装置に持ち帰ることを特徴とする不正アクセス追跡システム。
【請求項２】
アクセス対象通信装置に対するネットワーク経由の不正アクセスが検知されたとき、痕跡を追跡して不正アクセスのためのパケットの送信元であるアクセス元通信端末を特定する不正アクセス追跡方法において、
追跡情報処理装置が、所定の追跡エージェントの実行環境を有するとともに、前記追跡に関する情報を収集して処理し、
前記アクセス元通信端末とアクセス対象通信装置のあいだに介在する１または複数の中継装置が、レイヤ２および／またはレイヤ３で前記パケットの中継を行う場合、
前記中継装置は、その情報収集データベース部に、自身が中継する前記パケットについてそのレイヤ２送信元アドレスとポートの対応関係、およびレイヤ３送信元アドレスとレイヤ２送信元アドレスの対応関係を蓄積し、前記追跡用情報処理装置は、前記不正アクセスが検知されたとき、前記アクセス対象通信装置に届けられていたパケットのレイヤ３送信元アドレスを取得して前記追跡エージェントに供給し、前記追跡エージェントは当該レイヤ３送信元アドレスをもとに該当する中継装置に移動して、その中継装置の情報収集データベース部に蓄積されている内容から、最終的に前記アクセス元通信端末が接続されているポートを特定し、その特定したポートを示すポート識別情報を前記追跡用情報処理装置に持ち帰ることを特徴とする不正アクセス追跡方法。
【請求項３】
アクセス対象通信装置に対するネットワーク経由の不正アクセスが検知されたとき、痕跡を追跡して不正アクセスのためのパケットの送信元であるアクセス元通信端末を特定する不正アクセス追跡プログラムにおいて、コンピュータに、
所定の追跡エージェントの実行環境を有し、前記追跡に関する情報を収集して処理する追跡用情報処理機能と、
前記アクセス元通信端末とアクセス対象通信装置のあいだに介在し、レイヤ２および／またはレイヤ３で前記パケットの中継を行う１または複数の中継機能とを実現させ、
前記中継機能は、自身が中継する前記パケットについてそのレイヤ２送信元アドレスとポートの対応関係、およびレイヤ３送信元アドレスとレイヤ２送信元アドレスの対応関係を蓄積する情報収集データベース機能を有し、前記追跡用情報処理機能は、前記不正アクセスが検知されたとき、前記アクセス対象通信機能に届けられていたパケットのレイヤ３送信元アドレスを取得して前記追跡エージェントに供給し、前記追跡エージェントは当該レイヤ３送信元アドレスをもとに該当する中継機能に移動して、その中継機能の情報収集データベース機能に蓄積されている内容から、最終的に前記アクセス元通信端末が接続されているポートを特定し、その特定したポートを示すポート識別情報を前記追跡用情報処理機能に持ち帰ることを特徴とする不正アクセス追跡プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は不正アクセス追跡装置、不正アクセス追跡方法および不正アクセス追跡プログラムに関し、例えば、ＩＰネットワーク上で、不正アクセスに利用されたコンピュータを特定する場合などに適用して好適なものである。
【背景技術】
【０００２】
従来の不正アクセスを追跡する技術としては、下記の特許文献１に記載されたものがある。
【０００３】
特許文献１では、監視サーバでアクセス元のＩＰアドレスとＭＡＣアドレスのペアを記録しておき、不正アクセス追跡に際しては、不正アクセスに使用されたＩＰアドレスの入力を受けたエージェントが、当該ＩＰアドレスとペアをなす記録されたＭＡＣアドレスを特定することによって不正アクセスを行った犯人のコンピュータを特定することができる。
【０００４】
ＭＡＣアドレスはグローバルな範囲で一意な識別情報であり、なおかつ、製造工程で各コンピュータに固定的に付与されるものなので、ＭＡＣアドレスを特定することはコンピュータを特定することにほぼ等しい。
【特許文献１】特開２００３−１７８０２４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
ところが、上述した特許文献１の技術では、不正アクセスに利用されたコンピュータが建物のなかでどこに位置するかということまで特定することが難しく、不正アクセスの追跡が不十分にしか行えないため、不正アクセスの抑止力に限界があり、セキュリティ性が低いといえる。
【０００６】
また、あるサーバが、自身にアクセスすることを特定のＩＰアドレスが割り当てられた所定のコンピュータにのみ許容していたとしても、ＩＰアドレスを詐称することにより、他のコンピュータがそのサーバに不正にアクセスすること等も起こり得るが、このようなケースなどでは、追跡により、アクセス元のコンピュータのＩＰアドレスを特定しても、不正アクセスの抑止につながらず、セキュリティ性も低い。
【課題を解決するための手段】
【０００７】
かかる課題を解決するために、第１の本発明では、アクセス対象通信装置に対するネットワーク経由の不正アクセスが検知されたとき、痕跡を追跡して不正アクセスのためのパケット（ここでは、レイヤ３のプロトコルデータ単位としてのみではなく、レイヤ２のプロトコルデータ単位としてのパケット（例えば、ＭＡＣフレームなどに相当）も含む）の送信元であるアクセス元通信端末を特定する不正アクセス追跡システムにおいて、（１）所定の追跡エージェントの実行環境を有し、前記追跡に関する情報を収集して処理する追跡用情報処理装置と、（２）前記アクセス元通信端末とアクセス対象通信装置のあいだに介在し、レイヤ２および／またはレイヤ３で前記パケットの中継を行う１または複数の中継装置とを備え、（３）前記中継装置は、自身が中継する前記パケットについてそのレイヤ２送信元アドレスとポートの対応関係、およびレイヤ３送信元アドレスとレイヤ２送信元アドレスの対応関係を蓄積する情報収集データベース部を有し、前記追跡用情報処理装置は、前記不正アクセスが検知されたとき、前記アクセス対象通信装置に届けられていたパケットのレイヤ３送信元アドレスを取得して前記追跡エージェントに供給し、前記追跡エージェントは当該レイヤ３送信元アドレスをもとに該当する中継装置に移動して、その中継装置の情報収集データベース部に蓄積されている内容から、最終的に前記アクセス元通信端末が接続されているポートを特定し、その特定したポートを示すポート識別情報を前記追跡用情報処理装置に持ち帰ることを特徴とする。
【０００８】
また、第２の本発明では、アクセス対象通信装置に対するネットワーク経由の不正アクセスが検知されたとき、痕跡を追跡して不正アクセスのためのパケットの送信元であるアクセス元通信端末を特定する不正アクセス追跡方法において、（１）追跡情報処理装置が、所定の追跡エージェントの実行環境を有するとともに、前記追跡に関する情報を収集して処理し、（２）前記アクセス元通信端末とアクセス対象通信装置のあいだに介在する１または複数の中継装置が、レイヤ２および／またはレイヤ３で前記パケットの中継を行う場合、（３）前記中継装置は、その情報収集データベース部に、自身が中継する前記パケットについてそのレイヤ２送信元アドレスとポートの対応関係、およびレイヤ３送信元アドレスとレイヤ２送信元アドレスの対応関係を蓄積し、前記追跡用情報処理装置は、前記不正アクセスが検知されたとき、前記アクセス対象通信装置に届けられていたパケットのレイヤ３送信元アドレスを取得して前記追跡エージェントに供給し、前記追跡エージェントは当該レイヤ３送信元アドレスをもとに該当する中継装置に移動して、その中継装置の情報収集データベース部に蓄積されている内容から、最終的に前記アクセス元通信端末が接続されているポートを特定し、その特定したポートを示すポート識別情報を前記追跡用情報処理装置に持ち帰ることを特徴とする。
【０００９】
さらに、第３の本発明では、アクセス対象通信装置に対するネットワーク経由の不正アクセスが検知されたとき、痕跡を追跡して不正アクセスのためのパケットの送信元であるアクセス元通信端末を特定する不正アクセス追跡プログラムにおいて、コンピュータに、（１）所定の追跡エージェントの実行環境を有し、前記追跡に関する情報を収集して処理する追跡用情報処理機能と、（２）前記アクセス元通信端末とアクセス対象通信装置のあいだに介在し、レイヤ２および／またはレイヤ３で前記パケットの中継を行う１または複数の中継機能とを実現させ、（３）前記中継機能は、自身が中継する前記パケットについてそのレイヤ２送信元アドレスとポートの対応関係、およびレイヤ３送信元アドレスとレイヤ２送信元アドレスの対応関係を蓄積する情報収集データベース機能を有し、前記追跡用情報処理機能は、前記不正アクセスが検知されたとき、前記アクセス対象通信機能に届けられていたパケットのレイヤ３送信元アドレスを取得して前記追跡エージェントに供給し、前記追跡エージェントは当該レイヤ３送信元アドレスをもとに該当する中継機能に移動して、その中継機能の情報収集データベース機能に蓄積されている内容から、最終的に前記アクセス元通信端末が接続されているポートを特定し、その特定したポートを示すポート識別情報を前記追跡用情報処理機能に持ち帰ることを特徴とする。
【発明の効果】
【００１０】
本発明によれば、不正アクセスの追跡性能を高めることによって、不正アクセスの抑止力やセキュリティ性を向上させる。
【発明を実施するための最良の形態】
【００１１】
（Ａ）実施形態
以下、本発明にかかる不正アクセス追跡装置、不正アクセス追跡方法および不正アクセス追跡プログラムをＩＰネットワークに適用した場合を例に、実施形態について説明する。
【００１２】
（Ａ−１）実施形態の構成
本実施形態にかかる通信システム１０の全体構成例を図２に示す。なお、当該通信システム１０中に、図示しないサーバ類（例えば、ＤＮＳサーバやＤＨＣＰサーバなど）が存在していてもよいことは当然である。
【００１３】
図２において、当該通信システム１０は、ネットワーク１１と１２を備えている。
【００１４】
これらのネットワーク１１，１２はルータ１５によって区切られたサブネット（レイヤ３セグメント）にあたる。
【００１５】
ネットワーク１１上には、ウェブサーバ１３と、コンソール１４が配置され、ネットワーク１２上には、ハブ１６とコンピュータ１７が配置されている。ネットワーク１１，１２の物理的な伝送路は、有線伝送路であってもよく、無線伝送路であってもよい。
【００１６】
ハブ１６は基本的に通常のスイッチングハブ（レイヤ２スイッチ）で、レイヤ２（すなわち、ＯＳＩ参照モデルのデータリンク層）でパケット（フレーム）の中継を行う。ただし当該ハブ１６は、ＭＩＢ（Management Information Base：管理情報ベース）１６Ａやエージェントの実行環境を備えている点が通常のスイッチングハブとは異なる。ハブ１６の詳細については後で説明する。
【００１７】
ルータ１５は基本的に通常のルータで、レイヤ３（すなわち、ＯＳＩ参照モデルのネットワーク層）でパケットの中継を行う。ただし当該ルータ１５は、ＭＩＢ１５Ａやエージェントの実行環境を備えている点が通常のルータとは異なる。ルータ１５の詳細については後で説明する。
【００１８】
コンピュータ１７はユーザＵ１が利用する通信装置で、不正アクセスのアクセス元となる。このコンピュータ１７は、据え置き型のパソコンなどのように移動性の低いものであってもよいが、ノート型パソコンなどのように移動性の高いものであってもよい。以下の説明では、コンピュータ１７から不正アクセスを行うために送信され、ハブ１６，ルータ１５を経由してウェブサーバ１３まで到達したパケットＰＫ１に注目する。
【００１９】
広義では、「パケット」の語は様々な階層のプロトコルデータ単位（ＰＤＵ）として用いられるが、狭義の「パケット」はネットワーク層のプロトコルデータ単位（ＰＤＵ）である。ネットワーク層の通信プロトコルには様々なものがあり得るが、ここではＩＰプロトコルを想定し、当該パケットＰＫ１はＩＰパケットであるものとする。
【００２０】
パケットＰＫ１はデータリンク層のプロトコルデータ単位であるフレームに収容して伝送される。データリンク層の通信プロトコルにも様々なものがあり得るが、ここではＩＥＥＥ８０２．３などを想定し、データリンク層のプロトコルデータ単位はＭＡＣフレームであるものとする。この場合、前記パケットＰＫ１はＭＡＣフレームに収容されて伝送されることになる。
【００２１】
一般にルータを越えるとＭＡＣヘッダは付け替えられ、ＭＡＣフレームは変更されるが、ここでは、図２上でルータ１５の右側にある前記ネットワーク１２上で用いられるＭＡＣフレームをＦ１とし、左側にある前記ネットワーク１１上で用いられるＭＡＣフレームをＦ２とする。図２上で、Ｆ１（ＰＫ１）は、パケットＰＫ１がＭＡＣフレームＦ１に収容された状態であることを示し、Ｆ２（ＰＫ１）は、パケットＰＫ１がＭＡＣフレームＦ２に収容された状態であることを示す。
【００２２】
すなわち、コンピュータ１７から送信されたＦ１（ＰＫ１）はハブ１６を経由してルータ１５の一方のインタフェースまで到達し、ルータ１５の他方のインタフェースからＦ２（ＰＫ１）の形で送信されてパケットＰＫ１の最終的な宛先であるウェブサーバ１３まで到達する。
【００２３】
周知のように、ＭＡＣフレームのヘッダ（ＭＡＣヘッダ）には様々な情報が含まれているが、本実施形態では、ＭＡＣフレームの送信元を指定する送信元ＭＡＣアドレスが重要である。例えば、ＭＡＣフレームＦ１の場合、その送信元ＭＡＣアドレスはコンピュータ１７のＭＡＣアドレスであるＭＡ１である。
【００２４】
同様に、ＩＰパケットのヘッダ（ＩＰヘッダ）には様々な情報が含まれているが、本実施形態では、ＩＰパケットの送信元を指定する送信元ＩＰアドレスが重要である。例えば、パケットＰＫ１の場合、その送信元ＩＰアドレスはコンピュータ１７に割り当てられたＩＰアドレスであるＩＡ１である。
【００２５】
前記コンソール１４は運用管理のための通信装置で、管理者Ｍ１によって利用される。前記コンピュータ１７の接続されているポートを特定するため、本実施形態では２つのエージェントＡＧ１，ＡＧ２を用いるが、いずれのエージェントも当初はこのコンソール１４上に存在し、通信システム１０上を移動して収集した情報をこのコンソール１４に持ち帰る。
【００２６】
当該コンソール１４の内部構成は例えば図３に示す通りである。
【００２７】
（Ａ−１−１）コンソールの内部構成例
図３において、当該コンソール１４は、エージェント受容体２０と、ルータ管理テーブルＴＢ１，ハブ管理テーブルＴＢ２と、前記エージェントＡＧ１，ＡＧ２とを備えている。
【００２８】
実装にも依存するが、通常、エージェント受容体２０と、ルータ管理テーブルＴＢ１，ハブ管理テーブルＴＢ２と、前記エージェントＡＧ１，ＡＧ２は主としてソフトウエア的な構成要素である。したがってこれらは、揮発性または不揮発性の記憶手段に記憶された状態でコンソール１４内に存在し、機能を発揮するためには、当然、図示しないＣＰＵ（中央処理装置）による演算が必要である。
【００２９】
特に、エージェントＡＧ１，ＡＧ２の主体は可搬性のプログラムであり、必要に応じて通信システム１０内のノード間を伝送されることになる。
【００３０】
エージェント受容体２０は、エージェントＡＧ１，ＡＧ２の実行環境を提供するプラットフォームである。当該エージェント受容体２０は、コンソール１４が搭載する図示しないＯＳ（オペレーティングシステム）の一部として実現されるものであってもかまわない。
【００３１】
前記ルータ管理テーブルＴＢ１は通信システム１０内のルータを管理するためのテーブルである。ルータ管理テーブルＴＢ１の構成例を図４（Ａ）に示す。図４（Ａ）から明らかなように、当該ルータ管理テーブルＴＢ１は、データ項目として、ネットワークアドレスと、ルータのＩＰアドレスとを備えている。
【００３２】
ネットワークアドレスはネットワーク（サブネット）を指定するアドレスである。ＩＰｖ４の場合、３２ビットのＩＰアドレスの一部が当該ネットワークアドレス（ネットワーク部）に相当する。
【００３３】
ルータのＩＰアドレスは、ルータのインタフェース（ネットワークインタフェース部）に設定されるＩＰアドレスである。１つのルータは、インタフェースごとにＩＰアドレスが設定されるため、例えば、ルータ１５の場合、ネットワーク１１側のインタフェースに設定されるＩＰアドレスがＩＡ２で、ネットワーク１２側のインタフェースに設定されるＩＰアドレスがＩＡ３である。
【００３４】
したがって、当該ルータ管理テーブルＴＢ１の各行（エントリ）には、ネットワークアドレスとルータの（インタフェースの）ＩＰアドレスのペアが登録されていることになる。ここで、行とは、テーブル中のデータ項目を除く横の並びのことである。ルータ管理テーブルＴＢ１の場合、例えば、「ＮＡ１  １９２．１６８．１０．１」の行ＬＡ１も、１つの行である。
【００３５】
前記ハブ管理テーブルＴＢ２は通信システム１０内のハブを管理するためのテーブルである。ハブ管理テーブルＴＢ２の構成例を図４（Ｂ）に示す。図４（Ｂ）から明らかなように、当該ハブ管理テーブルＴＢ２は、データ項目としてネットワークアドレスと、ハブ識別番号と、ハブのＩＰアドレスとを備えている。
【００３６】
このうちネットワークアドレスは、前記ルータ管理テーブルＴＢ１のデータ項目であるネットワークアドレスと同じである。
【００３７】
ハブ識別番号は、通信システム１０内でハブを一意に識別するための識別情報である。当該ハブ識別番号としては、通信システム１０内でハブを一意に識別することができればどのような情報を用いてもかなわない。例えば、“１”から始まる自然数を個々のハブに割り当て、それをハブ識別番号としてもよい。
【００３８】
ハブのＩＰアドレスはハブの中枢（制御部）に到達するためのＩＰアドレスを示す。ハブがハブ本来の機能である上述したデータリンク層でのフレームの中継を行うためにはハブにＩＰアドレスが割り当てられている必要はないが、管理のためのＩＰパケットなどをハブに届けるには、ハブにＩＰアドレスを割り当てておく必要がある。本実施形態の場合、エージェントＡＧ２をハブの制御部まで届けるために当該ＩＰアドレスが必要となる。
【００３９】
したがって、当該ハブ管理テーブルＴＢ２の各行（例えば、ＬＢ１）には、対応関係にあるネットワークアドレスと、ハブ識別番号と、ハブのＩＰアドレスの組が登録されていることになる。
【００４０】
前記２つのエージェントのうちエージェントＡＧ１は、ＩＰアドレス（パケットＰＫ１の送信元ＩＰアドレスである前記ＩＡ１）を受け取ると、そのＩＰアドレスに対応するＭＡＣアドレス（ＭＡＣフレームＦ１の送信元ＭＡＣアドレスである前記ＭＡ１））を特定するために機能するＭＡＣアドレス追跡エージェントである。
【００４１】
当該ＭＡＣアドレス追跡エージェントＡＧ１は図３に示すように、情報入力部２１と、テーブル検索部２２と、サーバ移動部２３と、ＭＡＣアドレス検索部２４と、追跡ログ出力部２５と、追跡ログ２６とを備えている。
【００４２】
このうち情報入力部２１は、不正アクセスに使用され、ウェブサーバ１３のアクセスログなどから収集したＩＰアドレス（ここでは、前記ＩＡ１）の入力を受ける部分である。当該情報入力部２１が入力を受けたＩＰアドレスは前記追跡ログ２６に記録しておく。
【００４３】
テーブル検索部２２は、前記ルータ管理テーブルＴＢ１からルータ１５のＩＰアドレス（ネットワーク１２側のインタフェースに設定されたＩＰアドレスであるＩＡ３）を検索する部分である。ルータ管理テーブルＴＢ１の検索の時点で、不正アクセスに使用された前記ＩＰアドレスＩＡ１を持つコンピュータ１７を直接（すなわち、他のルータを介することなく）、収容したルータ（ここでは、１５）のＩＰアドレスを特定することができるため、通信システム１０中にルータが複数存在する場合などでも、特定されたＩＰアドレスを設定されたルータにのみエージェントＡＧ１を移動させることができる。
【００４４】
前記サーバ移動部２３は、ＭＡＣアドレス追跡エージェントＡＧ１が通信システム１０内のノード（サーバ）間を移動するための機能を持つ部分である。具体的には、例えば、前記エージェント受容体２０経由でコンソール１４の前記ＯＳに依頼して、自エージェントＡＧ１を該当するノード（例えば、ルータ１５など）に送信してもらう処理などを実行させるのが、当該サーバ移動部２３であってよい。
【００４５】
ＭＡＣアドレス検索部２４は移動先のノード（ここでは、ルータ１５）でＭＡＣアドレスの検索を行う部分である。この検索では、後述するように、前記情報入力部２１に入力され追跡ログ２６に記録されているＩＰアドレスＩＡ１を検索キーとして利用する。
【００４６】
追跡ログ出力部２５は、追跡ログ２６に記録されている内容をコンソール１４が備えるユーザインタフェース部（例えば、画面表示装置など）へ出力する部分である。この出力により、管理者Ｍ１は、追跡ログ２６の記録内容を確認することができる。
【００４７】
もう１つのエージェントＡＧ２は、ＭＡＣアドレス（ＭＡＣフレームＦ１の送信元ＭＡＣアドレスである前記ＭＡ１）を受け取ると、そのＭＡＣアドレスを持つコンピュータ（ここでは、１７）が接続されているポートを特定するために機能するポート追跡エージェントである。
【００４８】
当該ポート追跡エージェントＡＧ２は図３に示すように、情報入力部３１と、テーブル検索部３２と、サーバ移動部３３と、ポート検索部３４と、接続ハブ検索部３５と、追跡ログ出力部３６と、追跡ログ３７とを備えている。
【００４９】
このうち情報入力部３１は前記情報入力部２１に対応し、テーブル検索部３２は前記テーブル検索部２２に対応し、サーバ移動部３３は前記サーバ移動部２３に対応し、ポート検索部３４は前記ＭＡＣアドレス検索部２４に対応し、追跡ログ出力部３６は前記追跡ログ出力部２５に対応し、追跡ログ３７は前記追跡ログ２６に対応するので、その詳しい説明は省略する。
【００５０】
ただし、情報入力部３１は、コンソール１４上で、ＭＡＣアドレス追跡エージェントＡＧ１が移動先から持ち帰ったＭＡＣアドレスＭＡ１の入力を受ける。
【００５１】
また、テーブル検索部３２が検索するのは、前記ハブ管理テーブルＴＢ２である。図４（Ｂ）に示したハブ管理テーブルＴＢ２の構成から明らかなように、そのハブが存在するネットワーク（例えば、１２）のネットワークアドレスが分かれば、そのネットワーク内に配置されている１または複数のハブに割り当てられているＩＰアドレスが分かるため、ポート追跡エージェントＡＧ２はそのＩＰアドレスに宛てて送信されることで、ハブの前記制御部に到達することができる。
【００５２】
ポート検索部３４は移動先のノード（ここでは、ハブ１６）でポート番号の検索を行う部分である。この検索では、後述するように、前記情報入力部３１に入力され、追跡ログ３７に記録されているＭＡＣアドレスＭＡ１を検索キーとして利用する。ポート番号は個々のハブのポートを一意に識別するための識別情報なので、ポート番号が特定できれば、コンピュータ１７の存在する物理的な位置を詳細に特定することができる。
【００５３】
前記接続ハブ検索部３５は、移動先のハブでポート番号を検索キーとした検索を行い、当該ポートに接続されているハブのハブ識別番号（接続ハブ識別番号）を得て追跡ログ３７に記録する部分である。図２の例では通信システム１０に含まれるハブは１つだけであるが、一般的には、複数のハブが含まれ、コンソール１４から不正アクセスに使用されたコンピュータ（例えば、１７）に到達するまでに複数のハブを経由することが起こり得るので、当該接続ハブ検索部３５が必要になる。
【００５４】
前記ルータ１５の内部構成は例えば図５（Ａ）に示す通りである。通信システム１０が複数のルータを含む場合、ルータ１５以外のルータもこれと同じ内部構成を持つものであってよい。
【００５５】
（Ａ−１−２）ルータの内部構成例
図５（Ａ）において、当該ルータ１５は、前記ＭＩＢ１５Ａと、エージェント受容体４０と、ルータ機能部４１とを備えている。
【００５６】
このうちルータ機能部４１は、通常のルータとしての機能を有する部分で、ネットワーク層でパケットを中継する。
【００５７】
エージェント受容体４０は、基本的に前記エージェント受容体２０と対応するので、その詳しい説明は省略する。ただし、当該エージェント受容体４０は、前記ＭＡＣアドレス追跡エージェントＡＧ１が当該ルータ１５まで移動してきたとき、当該ＭＡＣアドレス追跡エージェントＡＧ１の実行環境を提供する役割を持つ。
【００５８】
ＭＩＢ１５Ａは、図５（Ｂ）に示す構成を持つテーブルである。
【００５９】
図５（Ｂ）において、当該ＭＩＢ１５Ａは、データ項目として、ＩＰアドレスと、ＭＡＣアドレスを備えている。
【００６０】
ＩＰアドレスは、ルータ１５がパケット（例えば、ＰＫ１）を中継するとき、そのＩＰヘッダに含まれていた送信元ＩＰアドレスを示す。
【００６１】
ＭＡＣアドレスは、ルータ１５が中継するパケットを収容して伝送されてきたＭＡＣフレームのＭＡＣヘッダに含まれる送信元ＭＡＣアドレスを示す。
【００６２】
したがって、このＭＩＢ１５Ａの各行（例えば、ＬＣ１）には、ルータ１５がパケット（例えば、ＰＫ１）を中継するとき、そのＩＰヘッダに含まれる送信元ＩＰアドレスと、当該パケットを収容して伝送されてきたＭＡＣフレーム（例えば、Ｆ１）のＭＡＣヘッダに含まれる送信元ＭＡＣアドレスのペア（アドレスペア）が登録されていることになる。
【００６３】
前記ハブ１６の内部構成は例えば図６（Ａ）に示す通りである。通信システム１０が複数のハブを含む場合、ハブ１６以外のハブもこれと同じ内部構成を持つものであってよい。
【００６４】
（Ａ−１−３）ハブの内部構成例
図６（Ａ）において、当該ハブ１６は、前記ＭＩＢ１６Ａと、ポート管理テーブル１６Ｂと、エージェント受容体５０と、ハブ機能部５１とを備えている。
【００６５】
このうちハブ機能部５１は通常のスイッチングハブとしての機能を有する部分で、データリンク層でＭＡＣフレームを中継する。
【００６６】
エージェント受容体５０は、基本的に前記エージェント受容体２０と対応するので、その詳しい説明は省略する。ただし、当該エージェント受容体５０は、前記ポート追跡エージェントＡＧ２が当該ハブ１６まで移動してきたとき、当該ポート追跡エージェントＡＧ２の実行環境を提供する役割を持つ。
【００６７】
ＭＩＢ１６Ａは、図６（Ｂ）に示す構成を持つテーブルである。
【００６８】
図６（Ｂ）において、当該ＭＩＢ１６Ａは、データ項目として、ＭＡＣアドレスと、ポート番号とを備えている。
【００６９】
ＭＡＣアドレスは、ハブ１６が中継するＭＡＣフレーム（例えば、Ｆ１）のＭＡＣヘッダに含まれる送信元ＭＡＣアドレスを示す。
【００７０】
ポート番号は、ハブ１６が中継するＭＡＣフレームを受信したポートを識別するための識別情報である。
【００７１】
したがって、このＭＩＢ１６Ａの各行（例えば、ＬＤ１）には、ハブ１６がＭＡＣフレーム（例えば、Ｆ１）を中継するとき、そのＭＡＣヘッダに含まれる送信元ＭＡＣアドレスと、当該ＭＡＣフレームを受信したポートのポート番号のペア（アドレスポートペア）が登録されていることになる。
【００７２】
前記ポート管理テーブル１６Ｂは、図６（Ｃ）に示す構成を持つテーブルである。
【００７３】
図６（Ｃ）において、当該ポート管理テーブル１６Ｂは、データ項目として、ポート番号と、接続ハブ識別番号とを備えている。
【００７４】
ポート番号は、ハブ１６が持つ各ポートのポート番号を示す。
【００７５】
接続ハブ識別番号は、ポートに接続されている他のハブに関するハブ識別番号を示す。このデータ項目に有効な値が登録されるのは、当該ハブ１６に他のハブ（図示せず）が接続されている場合に限られる。有効な値が登録されない場合、所定の空値（例えば、０）が登録されるものであってよい。
【００７６】
結局、当該ポート管理テーブル１６Ｂの各行（例えば、ＬＥ１）には、ポート番号と接続ハブ識別番号のペアが登録されていることになる。
【００７７】
なお、当該接続ハブ識別番号は、図４（Ｂ）のハブ管理テーブルに登録されるハブ識別番号に対応している。したがって、ハブ１６に他のハブが接続されている場合、ポート追跡エージェントＡＧ２は、当該ポート管理テーブル１６Ｂを検索することによって得られた接続ハブ識別番号をコンソール１４に持ち帰り、当該接続ハブ識別番号（ハブ識別番号）とネットワークアドレスをもとに、コンソール１４のハブ管理テーブルＴＢ２を検索してそのハブのＩＰアドレスを取得し、そのＩＰアドレス（を割り当てられているハブ）まで移動することを繰り返すことにより、逐次、ハブを辿っていくことができる。これによって最終的にポート追跡エージェントＡＧ２は、目的のコンピュータ（ここでは、１７）を直接、ポートに接続しているハブに到達することができる。
【００７８】
以下、上記のような構成を有する本実施形態の動作について図１のフローチャートを用いて説明する。
【００７９】
図１のフローチャートは、コンピュータ１７がウェブサーバ１３に不正アクセスを行ったとき、そのコンピュータ１７が接続されているハブ１６のポートを追跡するための処理を示している。図１中、Ｓ１〜Ｓ３の各ステップはコンピュータ１７が不正アクセスを行ったときの処理を示し、Ｓ１１〜Ｓ２２はコンピュータ１７が接続されているハブ１６のポートを追跡するための処理を示している。
【００８０】
図２には、通信システム１０中にルータとハブを１つずつ図示しているが、一般的には通信システム中には複数のルータと複数のハブが存在し、また、コンピュータ１７からウェブサーバ１３へのアクセスが複数のルータと複数のハブを経由して行われることも少なくない。
【００８１】
また、図２上では、ハブ１６のポートをルータ１５側とコンピュータ１７側の２つしか図示していないが、一般的に１つのハブは、２つより多くのポートを備え、各ポートに任意のノードを接続している。この点は、ルータのポート数についても同様である。
【００８２】
ただしここでは、主として、図２に示した通り、コンピュータ１７が１つのハブ１６と１つのルータ１５を経由してウェブサーバ１３にアクセスする場合を例に説明を進める。また、ルータ１５とハブ１６が３つ以上のポートを備え、図示した以外のノードをそのポートに接続していてもよいが、ここでは主として、そのようなノードは存在しないものとする。
【００８３】
（Ａ−２）実施形態の動作
ユーザＵ１は通信システム１０中に存在するハブ１６の任意のポートに接続して不正アクセスを行う。この不正アクセスは、ユーザＵ１が悪意を持っていて意図的に行う場合もあり、ユーザＵ１自体に悪意はなくても、コンピュータ１７がコンピュータウイルス（ワームやトロイの木馬なども含む）に感染しているため、コンピュータウイルスの機能に応じて自動的に行われる場合もある。
【００８４】
図６に示すように、不正アクセスのためにコンピュータ１７から送信された前記パケットＰＫ１は、ＭＡＣフレームＦ１に収容された前記Ｆ１（ＰＫ１）の形でハブ１６の該当ポートに届く（Ｓ１）。このときハブ１６は、前記ＭＩＢ１６Ａにアドレスポートペア、すなわち、当該ＭＡＣフレームＦ１の送信元ＭＡＣアドレスＭＡ１とＭＡＣフレームＦ１を受信したポートのポート番号のペアを登録する（Ｓ２）。
【００８５】
当該Ｆ１（ＰＫ１）は、当該ハブ１６を経てルータ１５に届き、ルータ１５では、ＭＩＢ１５Ａにアドレスペア、すなわち、パケットＰＫ１のＩＰヘッダに含まれる送信元ＩＰアドレスＩＡ１とＭＡＣフレームＦ１の送信元ＭＡＣアドレスＭＡ１のペアを登録する（Ｓ３）。一例として、当該ＩＡ１の値は「１９２．１６８．１０．１０１」であってよい。
【００８６】
このパケットＰＫ１は、ルータ１５による中継で、前記Ｆ２（ＰＫ１）の形でネットワーク１１に送出され、そのままウェブサーバ１３まで到達する。
【００８７】
このパケットＰＫ１によるウェブサーバ１４へのアクセスが不正アクセスであることは、例えば、ＩＤＳ（侵入検知システム）など図示しない不正アクセス検知システムによって検知される。このとき、パケットＰＫ１の送信元ＩＰアドレスであるＩＡ１は、例えば、ウェブサーバ１３のアクセスログなどから収集され、コンソール１４へ供給される（Ｓ１１）。なお、不正アクセスの経路上のどこかにファイアウォールを配置してある場合には、この供給とほぼ同時に、ファイアウォールの該当するポートを遮断（例えば、ＩＰアドレスＩＡ１を送信元ＩＰアドレスにもつパケットを通過させるポートを遮断）することにより、不正アクセスの継続を阻止してもかまわない。
【００８８】
供給を受けたＩＰアドレスＩＡ１は、コンソール２０内でＭＡＣアドレス追跡エージェントＡＧ１に渡される。前記情報入力部２１で当該ＩＰアドレスＩＡ１を受け取ったＭＡＣアドレス追跡エージェントＡＧ１は、当該ＩＡ１の値をもとに、ネットワークアドレスを特定し、当該ネットワークアドレスをもとに図４（Ａ）に示すルータ管理テーブルＴＢ１を検索することにより、ルータ１５の該当するインタフェースに設定されたＩＰアドレスである前記ＩＡ３を特定する（Ｓ１２）。
【００８９】
例えば、ＩＡ１の値が前記「１９２．１６８．１０．１０１」でサブネットマスクが「２５５．２５５．２５５．０」であるものと仮定すると、コンピュータ１７を含むネットワーク１２のネットワークアドレスは「１９２．１６８．１０」となるため、ルータのインタフェースにホスト部（ＩＰアドレス中、サブネット内でホストを識別するための部分）の最も小さなＩＰアドレスを設定するものとすれば、（ホスト部が０のＩＰアドレスはネットワークアドレスにほかならないため除外され、ホスト部が１のＩＰアドレス、すなわち）「１９２．１６８．１０．１」が該当するＩＰアドレスＩＡ３であると特定できる。これは、図４（Ａ）の行ＬＡ１に対応する。
【００９０】
この方法によれば、通信システム１０内にルータがいくつ存在しても、直接、ただ１つのルータのインタフェースを特定することができる。
【００９１】
なお、前記ステップＳ１２の前後に、前記ＩＡ１の値は、ＭＡＣアドレス追跡エージェントＡＧ１の追跡ログ２６に記録しておく。
【００９２】
ステップＳ１２で、移動先が特定されると、ＭＡＣアドレス追跡エージェントＡＧ１のサーバ移動部２３が例えばコンソール１４のＯＳに依頼することにより、自身を当該ＩＰアドレス 「１９２．１６８．１０．１」に宛てて送信させ、ルータ１５への移動を行う（Ｓ１３）。
【００９３】
この移動を行うか否かは、管理者Ｍ１の指示に応じて決めるようにしてもよいが、管理者Ｍ１からの明示的な指示がなくても、自動的に移動するようにしておくことも望ましい。
【００９４】
ルータ１５に到達すると、当該ＭＡＣアドレス追跡エージェントＡＧ１は、ルータ１５に用意されたエージェント受容体４０内で実行され、追跡ログ２６から取り出した前記ＩＰアドレスＩＡ１の値「１９２．１６８．１０．１」を検索キーとしてＭＩＢ１５Ａを検索し、検索結果としてコンピュータ１７のＭＡＣアドレスＭＡ１を得ると、当該ＭＡＣアドレスＭＡ１を追跡ログ２６に記録する（Ｓ１４）。
【００９５】
このあと、当該ＭＡＣアドレス追跡エージェントＡＧ１は、前記コンソール１４へ移動し（Ｓ１５）、追跡ログ出力部２５が動作してコンソール１４上で、例えば、画面表示出力などを行うことによって、管理者Ｍ１にＭＡＣアドレスＭＡ１を知らせる。この移動でＭＡＣアドレス追跡エージェントＡＧ１が行う処理は、前記ステップＳ１３の場合と同様であってよい。この点は、ステップＳ１７やＳ２０の移動も同じである。
【００９６】
次に、管理者Ｍ１からの指示に応じて、または自動的に、ＭＡＣアドレスＭＡ１が、コンソール１４上でＭＡＣアドレス追跡エージェントＡＧ１からポート追跡エージェントＡＧ２に渡される。ポート追跡エージェントＡＧ２は、このＭＡＣアドレスＭＡ１を情報入力部３１で受け取り、追跡ログ３７に記録する。また、ポート追跡エージェントＡＧ２は、前記ＩＰアドレスＩＡ１をもとにネットワークアドレスである前記「１９２．１６８．１０」を特定し、当該ネットワークアドレスをもとに、図４（Ｂ）に示すハブ管理テーブルＴＢ２を検索して移動先のハブのＩＰアドレスを得る（Ｓ１６）。
【００９７】
当該ステップＳ１６は基本的に前記ステップＳ１２と同じ処理であるが、検索結果としてハブ識別番号も得られる点が異なり、ネットワーク１２上にハブが複数存在するか否かなども、この検索によって調べることができる。ただし、当該ハブ管理テーブルＴＢ２の検索だけでは、ハブ間の接続関係までは調べることができない。ネットワーク１２内にハブが複数存在する場合、ハブ間の接続関係はコンソール２０上の情報だけでは予測できないため、いずれのハブに最初に移動するかはどのように決定してもかまわない。ただし、ネットワーク１２の内部における各ハブとエンド端末（その１つが、コンピュータ１７）に割り当てるＩＰアドレスに所定の規則性を持たせれば、コンピュータ１７に、より近いハブに最初に移動するように制御できる可能性がある。
【００９８】
ハブ管理テーブルＴＢ２を検索した結果、ハブ１６のＩＰアドレスを得ると、当該ポート追跡エージェントＡＧ２は、当該ＩＰアドレスに宛てて送信されることにより、ハブ１６まで移動する（Ｓ１７）。移動が完了すると、移動先のハブ１６上において、ポート追跡エージェントＡＧ２は、前記テーブル検索部３２で追跡ログ３７に記録されている前記ＭＡＣアドレスＭＡ１をもとにＭＩＢ１６Ａを検索する（Ｓ１８）。そして、この検索によって得られたポート番号を検索キーとして前記ポート検索部３４でポート管理テーブル１６Ｂを検索し、接続ハブ識別番号を取得して、追跡ログ３７に記録する（Ｓ１９）。
【００９９】
次に、ポート追跡エージェントＡＧ２は、前記ステップＳ１３と同様な移動でコンソール１４に戻る（Ｓ２１）。コンソール２０では、ハブ１６の先に（すなわち、ハブ１６とコンピュータ１７のあいだに）さらに他のハブが存在するか否かを検査する（Ｓ２１）。検査の結果、存在している場合には、ステップＳ２１がＹＥＳ側に分岐して処理は前記ステップＳ１６に戻る。このとき実行されるステップＳ１６は基本的に前回と同じ処理でよいが、前記ステップＳ１９で追跡ログ３７に記録して持ち帰ったハブ識別番号（接続ハブ識別番号）をもとに前記ハブ管理テーブルＴＢ２を検索して移動先のハブのＩＰアドレスを得る点が相違する。
【０１００】
なお、図４（Ｂ）に示すハブ管理テーブルＴＢ２の内容をポート追跡エージェントＡＧ２自体（例えば、追跡ログ３７）に記録しておけば、ポート追跡エージェントＡＧ２は次に移動するべきハブのＩＰアドレスを調べるために、逐一、コンソール１４まで返る必要がなくなるから、効率的である。
【０１０１】
一方、前記ステップＳ２１の検査の結果、ハブ１６の先に他のハブが存在していないことが分かると、ステップＳ２１はＮＯ側に分岐し、その時点の追跡ログ３７の内容を管理者Ｍ１に伝えるため、画面表示出力などを行う（Ｓ２２）。この場合、今回、前記ステップＳ１８で追跡ログ３７に記録したポート番号が、求めるポートを指定する情報となり、追跡が完了したことになるからである。
【０１０２】
なお、前記ステップＳ２１の検査は、今回、前記ステップＳ１９で追跡ログ３７に記録された接続ハブ識別番号が空値０であるか否かを調べることによって容易に実行することができる。
【０１０３】
また、ＩＰアドレスＩＡ１が詐称されたものである場合などには、前記ステップＳ１４の検索の結果、複数のＭＡＣアドレスが得られる可能性があり、その場合には、各ＭＡＣアドレスごとに、コンピュータが接続されているポートを追跡するため、ポート追跡エージェントＡＧ２を移動させることになるが、図１と同様な処理でポートの追跡が可能である。
【０１０４】
さらに、ＩＰアドレス同様、ＭＡＣアドレス自体が詐称される可能性もないわけではないが、本実施形態で、不正アクセスが検知されたあと即座にコンピュータ１７が接続されたポートを特定してしまえば、詐称していても、有効に当該コンピュータ１７およびユーザＵ１を特定することができる。
【０１０５】
（Ａ−３）実施形態の効果
本実施形態によれば、不正アクセスの追跡性能を前記特許文献１に比べて格段に高めることができる。
【０１０６】
また、本実施形態は、不正アクセスのアクセス元のコンピュータ（１７）が、ＩＰアドレス（ＩＡ１）やＭＡＣアドレス（ＭＡ１）を詐称している場合にも有効なので、不正アクセスの抑止力やセキュリティ性を著しく向上させることが可能である。
【０１０７】
（Ｂ）他の実施形態
上記実施形態にかかわらず、不正アクセスの対象はウェブサーバに限定する必要がないことは当然である。周知のように、各種のサーバ、中継装置、クライアント端末なども、不正アクセスの対象となり得る。
【０１０８】
また、図２にかかわらず、コンソール１４が不正アクセスの対象（例えば、前記ウェブサーバ１３）と同じネットワーク（同じサブネット）内に存在することは必ずしも必要ではない。
【０１０９】
さらに、上記実施形態にかかわらず、不正アクセスはルータとハブを経由して行われるものである必要はない。ルータだけを経由して行われるケースや、ハブだけを経由して行われるケースもあり得る。
【０１１０】
なお、上記実施形態ではＭＩＢを利用したが、ＭＩＢと同等な機能を実現できれば、どのような方法を用いてもかまわない。
【０１１１】
また、上記実施形態で用いた各テーブルは構成を変更できる可能性がある。
【０１１２】
例えば、図４（Ｂ）のハブ管理テーブルは、データ項目としてネットワークアドレスとハブ識別番号を持つ１つのテーブルと、ハブ識別番号とハブのＩＰアドレスを持つもう１つのテーブルに分けることも可能である。
【０１１３】
さらに、上記実施形態で、ルータ１５とハブ１６に分けて配置した機能を、１つのノードに配置することもあり得る。例えば、通信システム１０中にレイヤ３スイッチを用いる場合などがこれに該当する。
【０１１４】
また、上記実施形態における２つのエージェントＡＧ１，ＡＧ２の機能を１つのエージェントに持たせることが可能である。しかもこの場合に、上述した通り、図４（Ｂ）に示すハブ管理テーブルＴＢ２の内容をエージェント自体に記録しておけば、エージェントが一度、コンソール１４から送信されると、最終的なポートを特定するまでコンソール１４まで返ってこない構成とすることができ、効率が高まる。
【０１１５】
さらに、図１に示すフローチャートを変更できる点は、以上の説明から明らかである。
【０１１６】
また、本発明は、上記実施形態で用いた以外の通信プロトコルに適用できることは当然である。
【０１１７】
一例として、ネットワーク層の通信プロトコルとしてＩＰＸプロトコルなどを用いることができる可能性がある。
【０１１８】
以上の説明でハードウエア的に実現した機能の大部分はソフトウエア的に実現することができ、ソフトウエア的に実現した機能のほとんど全てはハードウエア的に実現することが可能である。
【図面の簡単な説明】
【０１１９】
【図１】実施形態にかかる通信システムの動作例を示すフローチャートである。
【図２】実施形態にかかる通信システムの全体構成例を示す概略図である。
【図３】実施形態で使用するコンソールおよび各エージェントの内部構成例を示す概略図である。
【図４】実施形態で使用するテーブルの構成例を示す概略図である。
【図５】実施形態で使用するルータおよびルータが備えるＭＩＢの内部構成例を示す概略図である。
【図６】実施形態で使用するハブおよびハブが備えるＭＩＢの内部構成例を示す概略図である。
【符号の説明】
【０１２０】
１０…通信システム、１１，１２…ネットワーク（サブネット）、１３…ウェブサーバ、１４…コンソール、１５…ルータ、１６…ハブ、１７…コンピュータ、２０，４０，５０…エージェント受容体、１５Ａ、１６Ａ…ＭＩＢ、１６Ｂ…ポート管理テーブル、２１，３１…情報入力部、２２，３２…テーブル検索部、２３，３３…サーバ移動部、２４…ＭＡＣアドレス検索部、２５、３５…追跡ログ出力部、２６，３７…追跡ログ、３４…ポート検索部、３５…接続ハブ検索部、ＡＧ１…ＭＡＣアドレス追跡エージェント、ＡＧ２…ポート追跡エージェント、ＴＢ１…ルータ管理テーブル、ＴＢ２…ハブ管理テーブル、Ｆ１…フレーム、ＰＫ１…パケット。
【図１】
2006127409.tif 000003
【図２】
2006127409.tif 000004
【図３】
2006127409.tif 000005
【図４】
2006127409.tif 000006
【図５】
2006127409.tif 000007
【図６】
2006127409.tif 000008