(57)【要約】  【課題】アクセス元の情報を秘匿するような匿名化網経由でのアクセスを遮断，制御するための識別技術を提供すること。  【解決手段】匿名化を実現する自律分散網において、囮の自律分散網への参加ノードを設置し、囮ノードへのアクセス状況から経由する可能性のあるノード情報を収集する（ノード情報収集装置（１）５１）。また、別に設置した囮のｗｗｗ等のサーバへ匿名化網経由でアクセスすることにより、経由する可能性のあるノード情報を収集する（ノード情報収集装置（２）５２）。これらの方法で集めたノード情報データベースを元に、トラヒック識別装置５において、匿名化網経由のアクセスを識別する。【選択図】  図３
2006180389.tif 000002
【特許請求の範囲】
【請求項１】
インターネット上に設置されたあるサービスを提供するノード上で、当該ノードへのアクセストラヒックの中からある自律分散型の匿名化ネットワーク経由でのアクセスを識別するためのトラヒック識別システムであって、
前記ノードへのアクセストラヒックのパケットのヘッダ情報を解析する手段と、
前記自律分散型の匿名化ネットワークを構成する自律分散網において、設置された囮のサーバントノードにより接続された各サーバントノードのノード情報を収集・蓄積する手段と、
前記ヘッダ情報と当該ノード情報とを対照比較するノード情報比較手段とを有することを特徴とするトラヒック識別システム。
【請求項２】
請求項１に記載のトラヒック識別システムを用い、
インターネット上に設置されたあるサービスを提供するノード上で、当該ノードへのアクセストラヒックの中からある自律分散型の匿名化ネットワーク経由でのアクセスを識別するためのトラヒック識別方法であって、
前記ノードへのアクセストラヒックのパケットのヘッダ情報を解析するステップと、
前記自律分散型の匿名化ネットワークを構成する自律分散網において、設置された囮のサーバントノードにより接続された各サーバントノードのアドレス，ポート番号等のノード情報を収集するステップと、
前記ヘッダ情報と当該ノード情報とを対照比較して、前記ノードへの全アクセストラヒックから前記匿名化ネットワーク経由でのアクセストラヒックを特定，識別するステップとを有することを特徴とするトラヒック識別方法。
【請求項３】
前記ノード情報の収集ステップは、
前記自律分散型の匿名化ネットワークに囮のサーバントノードとして参加接続し、
当該自律分散型匿名化ネットワーク上において取得した他サーバントノードのアドレス情報を監視して収集するものであることを特徴とする請求項２に記載のトラヒック識別方法。
【請求項４】
インターネット上に設置されたあるサービスを提供するノード上で、当該ノードへのアクセストラヒックの中からある自律分散型の匿名化ネットワーク経由でのアクセスを識別するためのトラヒック識別システムであって、
インターネット上に設置された前記自律分散型の匿名化ネットワーク経由でのアクセスを実施することが可能であるダミーのクライアントノードと、前記自律分散型の匿名化ネットワークを経由したアクセスを受けることが可能であるダミーのサービス提供ノードと、
前記ノードへのアクセストラヒックのパケットのヘッダ情報を解析する手段と、
前記ダミーのクライアントノードから匿名化ネットワーク経由での前記ダミーのサービス提供ノードへのアクセスを多数実施し、前記ダミーのサービス提供ノードにおいて匿名化ネットワーク経由で前記アクセスのアクセス元のノード情報を収集・蓄積する手段と、
前記ヘッダ情報と当該ノード情報とを対照比較するノード情報比較手段とを有することを特徴とするトラヒック識別システム。
【請求項５】
請求項４に記載のトラヒック識別システムを用い、
インターネット上に設置されたあるサービスを提供するノード上で、当該ノードへのアクセストラヒックの中からある自律分散型の匿名化ネットワーク経由でのアクセスを識別するためのトラヒック識別方法であって、
前記ノードへのアクセストラヒックのパケットのヘッダ情報を解析するステップと、
インターネット上に設置された前記自律分散型の匿名化ネットワーク経由でのアクセスを受けることが可能であるダミーのサービス提供ノードと、前記自律分散型の匿名化ネットワーク経由でのアクセスを実施することが可能であるダミーのクライアントノードを用いて、前記ダミーのクライアントノードから匿名化ネットワーク経由での前記ダミーのサービス提供ノードへのアクセスを多数実施し、前記ダミーのサービス提供ノードにおいて匿名化ネットワーク経由で前記アクセスのアクセス元のノード情報を収集するステップと、
前記ヘッダ情報と当該ノード情報とを対照比較するノード情報比較ステップを有することを特徴とするトラヒック識別方法。
【請求項６】
前記ノード情報の収集ステップは、
前記自律分散型の匿名化ネットワークを経由してアクセスすることができるインターネット上に設置した囮のサーバノードを、当該自律分散型の匿名化ネットワークにクライアントとして匿名化ネットワーク経由で前記囮のサーバノードに複数回接続し、
前記囮のサーバノードにおいて当該アクセスのアクセス元のノード情報を収集するものであることを特徴とする請求項５に記載のトラヒック識別方法。
【請求項７】
前記ノード情報の対照比較ステップは、
請求項３または６の収集ステップによって収集したノード情報を、経由する可能性のあるノード情報として蓄積し、
前記トラヒック識別を行う対象となるサービス提供ノード上へのアクセストラヒックへのアクセス元のノード情報との比較対照を行い、
その適合率が高いものを識別対象である自律分散型匿名化ネットワーク経由のアクセスであると識別することを特徴とするトラヒック識別方法。
【請求項８】
前記ノード情報の収集ステップにおいて、
前記ノード情報の有効期限を任意に設定することによって、ノード情報データベースへ蓄積されたノード情報の有効性を高めることを特徴とする請求項２，３，５〜７のいずれかに記載のトラヒック識別方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インターネット等のネットワークサービス上での、経由するノード数を膨大にすることによって、そのアクセス元を隠蔽するような自律分散型匿名化ネットワーク経由でのアクセスや悪意ある攻撃を遮断，識別するための、自律分散型匿名化網経由のトラヒックの識別システムおよびトラヒックの識別方法に関するものである。
【背景技術】
【０００２】
インターネット環境の普及に伴い、その上で動作する様々なサービスの重要性が増している。
近年、そのようなサービスを対象としたDoS攻撃と呼ばれる攻撃が問題となっている。DoS攻撃においては、サービスに対して処理可能な量のリクエストを発行することによってサービスの処理能力を飽和させ、それ以上の処理を困難にすることを目的としている。
【０００３】
また、コミュニケーションを目的とした掲示板等のサービスにおいては、無意味な文字列によるDoS攻撃の他にも、悪意によるプライバシーの暴露や個人の中傷といった記事の投稿によってサービスの価値を下げたり、プライバシーの侵害，犯罪につながることもある。
【０００４】
以上のような攻撃や犯罪を防止するために、これまでは情報発信元のIPアドレスをサービス提供側で記録し、その情報を元に接続元プロバイダの情報と照合することによって攻撃や犯罪を行った個人を特定することが可能であった。
また、ファイアーウォールで特定IPアドレスを遮断することによって、そのような攻撃からサービスを守ることも可能であった。
【０００５】
後に匿名プロクシサーバ等も登場したが、これらについてもサービス提供者側には特定のIPアドレスを利用したアクセスになるため、それらのIPアドレスを遮断することでサービスを守ることが可能であった。
【０００６】
しかし、近年登場した、ユーザーノードを複数経由することによってそのアクセス元を隠蔽することが可能な自律分散型匿名化ネットワーク（先行非特許文献１，２参照）により、このようなアプローチは困難になった。
【０００７】
このような自律分散型匿名化ネットワークにおいては、利用者が経由するノードが時々刻々入れ替わる他、最終的にアクセス元となる経由ノードについても、時々刻々と新規ノードの参加，入れ替えが行われる。
このため、特定のIPアドレスからのアクセスを遮断するだけではサービスを守ることができない。
【０００８】
これについて、より具体的に説明すると、以下の通りである。
図１は、クライアントが自律分散型の匿名化ネットワークを介してどのようにサービスノードにアクセスするかを示している。
【０００９】
図１において、クライアントノード１は最寄りのサーバントノード３１、あるいは自分のＰＣ等で動かしたサーバントソフトウェア（この場合、クライアントノード１がサーバントノードを兼ねる）に対してサービス提供ノード４へのアクセス要求を投げる。図１中のＡは、アクセストラヒックの流れを示している。
【００１０】
アクセス要求を受け取ったサーバントノード３１は、その要求を他のサーバントノード３２〜３７へと中継する。この中継動作を繰り返すことにより、最終的にサーバントノードのいずれかがサービス提供ノード４に対してアクセス要求を投げる。
【００１１】
この際、サービス提供ノード４は、最終的なサーバントノード３４のノード情報しか知ることはできない。このため、図２に示したように、仮に当該サーバントノードからのアクセスを遮断（図２中のＣで示されている）しても、他のサーバントノード（ここでは、サーバントノード３７）からのアクセス（図２中のＡで示されている）を許してしまう。
【００１２】
【非特許文献１】P2P技術で“２ちゃんねる効果“を軽減できる無料ＣＤＮが正式公開      http://internet.watch.impress.co.jp/cda/news/2004/08/31/4434.html
【非特許文献２】米海軍が産み、オープンソース陣営が育てる匿名ネット技術「トーア」      http://hotwired.goo.ne.jp/news/news/technology/story/20040806301.html
【発明の開示】
【発明が解決しようとする課題】
【００１３】
本発明は、上述の問題点に鑑みてなされたものであり、その目的とするところは、自律分散技術を用いて多段ホップすることによって、アクセス元の情報を秘匿するような匿名化網経由でのアクセスを遮断，制御するための識別技術、より具体的には、自律分散型匿名化網経由のトラヒック（以下、単にトラヒックともいう）識別システムおよびトラヒック識別方法を提供することにある。
【課題を解決するための手段】
【００１４】
上述した課題を解決するため、本発明では、匿名化を実現する自律分散網において、囮の自律分散網への参加ノードを設置し、この囮ノードへのアクセス情況から経由する可能性のあるノード情報を収集する方法、あるいは、別に設置したダミーのwww等のサーバへ匿名化網経由でアクセスすることにより、経由する可能性のあるノード情報を収集する方法等の方法によって集めたノード情報データベースを元に、匿名化網経由のアクセスを識別することを特徴とする。
【００１５】
より具体的には、本発明に係る第１のトラヒック識別システムは、インターネット上に設置されたあるサービスを提供するノード上で、当該ノードへのアクセストラヒックの中からある自律分散型の匿名化ネットワーク経由でのアクセスを識別するためのトラヒック識別システムであって、前記ノードへのアクセストラヒックのパケットのヘッダ情報を解析する手段と、前記自律分散型の匿名化ネットワークを構成する自律分散網において、設置された囮のサーバントノードにより接続された各サーバントノードのノード情報を収集・蓄積する手段と、前記ヘッダ情報と当該ノード情報とを対照比較するノード情報比較手段とを有することを特徴とする（請求項１）。
【００１６】
また、本発明に係る第１のトラヒック識別方法は、上述のトラヒック識別システムを用い、インターネット上に設置されたあるサービスを提供するノード上で、当該ノードへのアクセストラヒックの中からある自律分散型の匿名化ネットワーク経由でのアクセスを識別するためのトラヒック識別方法であって、前記ノードへのアクセストラヒックのパケットのヘッダ情報を解析するステップと、前記自律分散型の匿名化ネットワークを構成する自律分散網において、設置された囮のサーバントノードにより接続された各サーバントノードのアドレス，ポート番号等のノード情報を収集するステップと、前記ヘッダ情報と当該ノード情報とを対照比較して、前記ノードへの全アクセストラヒックから前記匿名化ネットワーク経由でのアクセストラヒックを特定，識別するステップとを有することを特徴とする（請求項２）。
【００１７】
ここで、前記ノード情報の収集ステップは、前記自律分散型の匿名化ネットワークに囮のサーバントノードとして参加接続し、当該自律分散型匿名化ネットワーク上において取得した他サーバントノードのアドレス情報を監視して収集するものであることを特徴とする（請求項３）。
【００１８】
また、本発明に係る第２のトラヒック識別システムは、インターネット上に設置されたあるサービスを提供するノード上で、当該ノードへのアクセストラヒックの中からある自律分散型の匿名化ネットワーク経由でのアクセスを識別するためのトラヒック識別システムであって、インターネット上に設置された前記自律分散型の匿名化ネットワーク経由でのアクセスを実施することが可能であるダミーのクライアントノードと、前記自律分散型の匿名化ネットワークを経由したアクセスを受けることが可能であるダミーのサービス提供ノードと、前記ノードへのアクセストラヒックのパケットのヘッダ情報を解析する手段と、前記ダミーのクライアントノードから匿名化ネットワーク経由での前記ダミーのサービス提供ノードへのアクセスを多数実施し、前記ダミーのサービス提供ノードにおいて匿名化ネットワーク経由で前記アクセスのアクセス元のノード情報を収集・蓄積する手段と、前記ヘッダ情報と当該ノード情報とを対照比較するノード情報比較手段とを有することを特徴とする（請求項４）。
【００１９】
また、本発明に係る第２のトラヒック識別方法は、上述のトラヒック識別システムを用い、インターネット上に設置されたあるサービスを提供するノード上で、当該ノードへのアクセストラヒックの中からある自律分散型の匿名化ネットワーク経由でのアクセスを識別するためのトラヒック識別方法であって、前記ノードへのアクセストラヒックのパケットのヘッダ情報を解析するステップと、インターネット上に設置された前記自律分散型の匿名化ネットワーク経由でのアクセスを受けることが可能であるダミーのサービス提供ノードと、前記自律分散型の匿名化ネットワーク経由でのアクセスを実施することが可能であるダミーのクライアントノードを用いて、前記ダミーのクライアントノードから匿名化ネットワーク経由での前記ダミーのサービス提供ノードへのアクセスを多数実施し、前記ダミーのサービス提供ノードにおいて匿名化ネットワーク経由で前記アクセスのアクセス元のノード情報を収集するステップと、前記ヘッダ情報と当該ノード情報とを対照比較するノード情報比較ステップを有することを特徴とする（請求項５）。
【００２０】
ここで、前記ノード情報の収集ステップは、前記自律分散型の匿名化ネットワークを経由してアクセスすることができるインターネット上に設置した囮のサーバノードを、当該自律分散型の匿名化ネットワークにクライアントとして匿名化ネットワーク経由で前記囮のサーバノードに複数回接続し、前記囮のサーバノードにおいて当該アクセスのアクセス元のノード情報を収集するものであることを特徴とする（請求項６）。
【００２１】
また、本発明に係るトラヒック識別方法においては、請求項３または６の収集ステップによって収集したノード情報を、経由する可能性のあるノード情報として蓄積し、前記トラヒック識別を行う対象となるサービス提供ノード上へのアクセストラヒックへのアクセス元のノード情報との比較対照を行い、その適合率が高いものを識別対象である自律分散型匿名化ネットワーク経由のアクセスであると識別することを特徴とする（請求項７）。
【００２２】
また、本発明に係るトラヒック識別方法においては、前記ノード情報の有効期限を任意に設定することによって、ノード情報データベースへ蓄積されたノード情報の有効性を高めることを特徴とする（請求項８）。
【発明の効果】
【００２３】
本発明を用いることにより、Peer-to-Peer 技術に代表される、自律分散技術を用いて多段ホップすることによってアクセス元の情報を秘匿するような匿名化網経由でのアクセスを遮断，制御するための方法および装置が実現でき、サービス提供者の安全や犯罪利用を防ぐために有用である。
【発明を実施するための最良の形態】
【００２４】
以下、図面を用いて本発明の実施の形態について説明する。
図３に、システムの全容を示す。
図３に示すように、本実施形態においては、サービス提供ノード４とインターネット６の間に設置したトラヒック識別装置５によって、自律分散型の匿名化ネットワーク２からのアクセス要求とその他のアクセス要求とを区別し、遮断（図３中のＢで示されている）その他の制御を行う。
【００２５】
図４は、トラヒック識別装置５の詳細を示す図である。トラヒック識別装置５は、ノード情報比較装置５４、ノード情報データベース５３、ノード情報収集装置（１）５１，同（２）５２からなる。ノード情報データベース５３は、上述の２種類のノード情報収集装置（１）５１，同（２）５２から送られてきたノード情報を任意の一定期間保存するデータベースである。また、ここで、ノード情報収集装置（１）５１，同（２）５２の設置位置には特に限定はない。
【００２６】
ノード情報比較装置５４は、入力パケットのヘッダ情報とノード情報データベース５３の情報を比較し、入力パケットのヘッダ情報がノード情報データベース５３の一部と一致した際に、そのパケットを匿名化ネットワーク２経由でのアクセスと識別する機能を有するものである。
【００２７】
図５に、上述のノード情報比較装置５４における処理のフローチャートを示す。
図５に示すように、ノード情報比較装置５４は、パケットが入力（ステップ７１）されると、そこからヘッダ情報を抽出（ステップ７２）し、次いで、ステップ７３において、前述のノード情報データベース５３（ここには、ノード情報収集装置（１）５１，同（２）５２が収集したノード情報が蓄積されている）から、ノード情報を読み込む。
【００２８】
そして、ステップ７４では、ステップ７２で抽出したヘッダ情報と、ステップ７３で読み込んだノード情報との比較を行う。この比較において一部に一致するものがあれば、このパケットを制御対象とする（ステップ７５）。一方、ステップ７４の比較において一致するものがない場合には、当該パケットを通過させる（ステップ７６）。
【００２９】
図６は、上述のノード情報収集装置（１）５１におけるノード情報取得方法（請求項２または３に記述した方法）を具体的に示すものであり、前記ノード情報収集装置（１）５１の機能に対応する。図６中で、３２〜３７は一般のサーバントノード、３９は囮のサーバントノードを示している。ここで、囮のサーバントノード３９は、後述するアクセス情報解析部８２を介して、周辺のサーバントノードから受けるアクセスの情報を収集するためのものである。
【００３０】
図６に示すノード情報取得方法においては、前記自律分散型の匿名化ネットワークを構成する自律分散網２において、囮のサーバントノード３９を設置することが特徴である。囮のサーバントノード３９は、通常のサーバントノード３２〜３７と同様に振舞うが、ネットワークレイヤでのパケットヘッダの解析をアクセス情報解析部８２で行う。
【００３１】
これにより、囮のサーバントノード３９は、この囮サーバントノード３９へアクセスしてきた他のサーバントノードの情報をノード情報データベース５３にリアルタイムに送る役割を果たすことができる。ここで、上記ノード情報としては、例えば、各サーバントノード３２〜３７のアドレス、ポート番号等の情報が挙げられる。
【００３２】
なお、上記ノード情報収集機能については、本出願人が、先に特願２００３−１３４１４６号「トラフィック分離方法並びにトラフィック分離装置、アドレス情報収集ノード及びトラフィック分離システム」により提案した機能を利用することが可能である。
【００３３】
図７は、上述のノード情報収集装置（２）５２におけるノード情報取得方法（請求項４または５に記述した方法）を具体的に示すものであり、前記ノード情報収集装置（２）５２の機能に対応する。図７中で、３１〜３７は一般のサーバントノード、７はダミークライアント、９はこれに対応するダミーのサービス提供ノードを示している。ここで、ダミーのサービス提供ノード９は、アクセス情報解析部８１を介して、周辺のサーバントノードから受けるアクセスの情報を収集するためのものである。
【００３４】
本方法においては、インターネット上にダミーのサービス提供ノード９とダミークライアントノード７を設置していることが特徴である。ダミークライアントノード７は、通常のアクセスユーザと同様に、匿名化ネットワーク２を経由してダミーのサービス提供ノード９へのアクセスを行う。
【００３５】
この際、ダミーのサービス提供ノード９に設置したアクセス情報解析部８１において、ネットワークレイヤでのパケットヘッダの解析を行うことにより、当該アクセスにおいて経由してきた最終サーバントノードが解析される。
【００３６】
そして、このようなアクセスを繰り返し行うことにより、多数のサーバントノードのノード情報を取得することができ、これらの情報はリアルタイムにノード情報データベース５３へと送られる。
【００３７】
こうして取得・収集されたノード情報と入力されたパケットのヘッダ情報とを、前述のノード情報比較装置５４において比較（図５参照）することにより、Peer-to-Peer 技術に代表される、自律分散技術を用いて多段ホップすることによってアクセス元の情報を秘匿するような匿名化網経由でのアクセスを遮断，制御することが実現でき、サービス提供者の安全や犯罪利用を防ぐことが可能になる。
【００３８】
以上、本発明に係るトラヒックの識別技術について詳細に説明したが、本発明は上記実施形態に限定されるものではなく、本発明の主旨を逸脱しない範囲内において、種々の改良や変更を行ってもよいことはいうまでもない。
【００３９】
例えば、ノード情報データベース５３において、２種類のノード情報収集装置（１）５１，同（２）５２から送られてきたノード情報を任意の一定期間保存するように構成することにより、既に使用されなくなっているノードの情報を削除などして、蓄積されたノード情報の有効性を高めることも有効である。
【図面の簡単な説明】
【００４０】
【図１】匿名化ネットワーク経由のアクセスの仕組みを説明する図である。
【図２】既存の、遮断を回避する匿名化ネットワーク経由のアクセスを説明する図である。
【図３】トラヒック識別装置の設置方法と概要を説明する図である。
【図４】トラヒック識別装置の詳細を説明する図である。
【図５】トラヒック識別装置の処理のフローチャートである。
【図６】ノード情報収集装置（１）の詳細を説明する図である。
【図７】ノード情報収集装置（２）の詳細を説明する図である。
【符号の説明】
【００４１】
１  クライアントノード
２  自律分散型の匿名化ネットワーク
４  サービス提供ノード
５  トラヒック識別装置
６  インターネット
７  ダミークライアントノード
９  ダミーのサービス提供ノード
３１〜３７  サーバントノード
３９  囮のサーバントノード
５１  ノード情報収集装置（１）
５２  ノード情報収集装置（２）
５３  ノード情報データベース
５４  ノード情報比較装置
８１，８２  アクセス情報解析部
【図１】
2006180389.tif 000003
【図２】
2006180389.tif 000004
【図３】
2006180389.tif 000005
【図４】
2006180389.tif 000006
【図５】
2006180389.tif 000007
【図６】
2006180389.tif 000008
【図７】
2006180389.tif 000009