(57)【要約】【課題】追跡対象の特定パケット群が複数の送信元から送信された場合に、かかる特定パケット群の通過経路を特定すること。【解決手段】通過経路検出装置１は、ルータ２に備わる枝２ａ〜２ｄのそれぞれを通過するパケット群を観察するパケット観測部３と、パケット観測部３によって観察されたパケット群に対して独立成分分析を行うための分析部４と、枝２ａ〜２ｄのそれぞれに関する過去の通過パケット群に関する情報を記憶する記憶部５と、分析部４によって導出される独立成分分析結果に基づき特定パケット群の通過経路を特定する経路特定部６と、経路特定部６による特定結果を出力する出力部７とを備える。【選択図】        図１
2006033039.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク上に配置されると共に前記ネットワーク上の他の構成要素と接続するための複数の枝を備え、該複数の枝を介してパケットの入出力が行われる分岐手段における特定パケット群の通過経路を検出する通過経路検出装置であって、
所定の枝を介して前記分岐手段から出力された特定パケット群、前記所定の枝以外の枝の中から選択した枝を介して前記分岐手段に入力された比較パケット群、および選択した枝を介して過去に前記分岐手段に入力された過去パケット群の観測結果から抽出された独立成分を構成要素とした、前記特定パケット群の独立成分分析結果と前記比較パケット群の独立成分分析結果との比較に基づき、前記特定パケット群の入力に用いられた１以上の枝を特定する経路特定手段を備えたことを特徴とする通過経路検出装置。
【請求項２】
前記経路特定手段は、前記所定の枝を介して出力された前記特定パケット群の独立成分分析結果における混合比と、前記所定の枝以外の枝のそれぞれを介して入力されたパケット群の独立成分分析結果における混合比との間の類似性に基づき、前記特定パケット群の入力に用いられた１以上の枝を特定することを特徴とする請求項１に記載の通過経路検出装置。
【請求項３】
前記経路特定手段は、前記特定パケット群の混合比との間のユークリッド距離が比較対象の枝ごとに設定された所定の許容範囲外の値となる混合比に対応する比較パケット群が通過した枝を、前記特定パケット群の入力に用いられた枝として特定することを特徴とする請求項１または２に記載の通過経路検出装置。
【請求項４】
前記許容範囲は、前記特定パケット群の混合比と前記過去パケット群の独立成分分析結果の混合比との間で導出される複数のユークリッド距離の分散値の２倍の値と該ユークリッド距離の平均値との加算値以上の値であって、前記ユークリッド距離の平均値と前記ユークリッド距離の分散値の２倍の値との差分値以下の値であることを特徴とする請求項３に記載の通過経路検出装置。
【請求項５】
比較対象の枝を介して前記分岐手段に入力する比較パケット群および前記特定パケット群を観測するパケット観測手段と、
前記比較パケット群、前記過去パケット群および前記特定パケット群に関する観測結果を独立成分分析する分析手段と、
経路特定に先立って観測された前記過去パケット群の観測結果を記憶する記憶手段と、
をさらに備えたことを特徴とする請求項１〜４のいずれか一つに記載の通過経路検出装置。
【請求項６】
ネットワーク上に配置されると共に前記ネットワーク上の他の構成要素と接続するための複数の枝を備え、該複数の枝を介してパケットの入出力が行われる分岐手段における特定パケット群の通過経路を検出する通過経路検出方法であって、
所定の枝を介して前記分岐手段から出力された特定パケット群、前記所定の枝以外の枝の中から選択した枝を介して前記分岐手段に入力された比較パケット群、および選択した枝を介して過去に前記分岐手段に入力された過去パケット群の観測結果から抽出された独立成分を構成要素とした、前記特定パケット群の独立成分分析結果と前記比較パケット群の独立成分分析結果との比較に基づき、前記特定パケット群の入力に用いられた１以上の枝を特定する経路特定工程を含むことを特徴とする通過経路検出方法。
【請求項７】
前記経路特定工程において、前記特定パケット群の混合比との間のユークリッド距離が比較対象の枝ごとに設定された所定の許容範囲外の値となる混合比に対応する比較パケット群が通過した枝を、前記特定パケット群の入力に用いられた枝として特定することを特徴とする請求項６に記載の通過経路検出方法。
【請求項８】
前記許容範囲は、前記特定パケット群の混合比と比較対象の枝を過去に通過したパケット群に関する独立成分分析結果の混合比との間で導出される複数のユークリッド距離の分散値の２倍の値と該ユークリッド距離の平均値との加算値以上の値であって、前記ユークリッド距離の平均値と前記ユークリッド距離の分散値の２倍の値との差分値以下の値であることを特徴とする請求項７に記載の通過経路検出方法。
【請求項９】
請求項７または８に記載の方法を計算機に実行させることを特徴とする通過経路検出プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク上に配置されると共に前記ネットワーク上の他の構成要素と接続するための複数の枝を備え、該複数の枝を介してパケットの入出力が行われる分岐手段における特定パケット群の通過経路を検出する技術に関するものである。
【背景技術】
【０００２】
従来、インターネット等のネットワークの発達に伴い、ＤｏＳ（Denial of Service）攻撃等のように大量のパケットを特定サーバに対して送付する攻撃が知られている。かかる攻撃がなされた場合にはパケットの送信元を追跡する必要があるが、通常、ＤｏＳ攻撃等に用いられるパケットは送信元に関する情報等が改竄されている。従って、ＤｏＳ攻撃等が行われた際には、通常の追跡手段によってパケットの送信元を特定することは困難である。
【０００３】
このため、近年、特定のパケット群の通過パターンの類似性に基づき、ルータ等を経由するパケット群の通過経路を追跡し、送信元を特定する手法が提案されている。具体的には、ＤｏＳ攻撃等に用いられるパケットの時間変化量である通過パターンと類似する通過パターンを有するパケット群の通過経路を追跡することによって、特定パケット群の送信元を特定することを可能としている（例えば、非特許文献１参照。）。
【０００４】
【非特許文献１】坂口薫、太田耕平、和泉勇治、加藤寧、根元義章、「２次計画法に基づいたトラヒックパターンの比較によるＤＤｏＳの追跡」、電子情報通信学会論文誌、電子情報通信学会、２００２年８月、Vol.j85-B、第８号、ｐ１２９５−１３０３
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、従来のパケット追跡の手法は、ＤＤｏＳ攻撃のように複数のサーバ等を用いて特定のサーバ等に対して攻撃が行われた場合に、送信元の特定精度が低下するという問題を有する。すなわち、複数のサーバ等を用いたＤＤｏＳ攻撃が行われた場合には、複数のサーバ等から送信されたパケット群が合成された状態で攻撃対象のサーバ等に到達する。このため、攻撃対象のサーバ等に到達するパケット群の通過パターンと、個々の送信元から送信されるパケット群の通過パターンとは異なるものとなり、類似する通過パターンを追跡する従来の手法では、送信元を特定することが困難となる。
【０００６】
本発明は、上記に鑑みてなされたものであって、追跡対象の特定パケット群が複数の送信元から送信された場合に、かかる特定パケット群の通過経路を特定することが可能な通過経路検出装置、通過経路検出方法および通過経路検出プログラムを実現することを目的とする。
【課題を解決するための手段】
【０００７】
ネットワーク上に配置されると共に前記ネットワーク上の他の構成要素と接続するための複数の枝を備え、該複数の枝を介してパケットの入出力が行われる分岐手段における特定パケット群の通過経路を検出する通過経路検出装置であって、所定の枝を介して前記分岐手段から出力された特定パケット群、前記所定の枝以外の枝の中から選択した枝を介して前記分岐手段に入力された比較パケット群、および選択した枝を介して過去に前記分岐手段に入力された過去パケット群の観測結果から抽出された独立成分を構成要素とした、前記特定パケット群の独立成分分析結果と前記比較パケット群の独立成分分析結果との比較に基づき、前記特定パケット群の入力に用いられた１以上の枝を特定する経路特定手段を備えたことを特徴とする。
【０００８】
この請求項１の発明によれば、枝を通過するパケット群に関する情報から導出される独立成分分析結果に基づき特定パケット群の入力に用いられた枝を特定する通過経路特定手段を備えることとしたため、複数の枝を介して特定パケット群が分岐手段に入力するような場合であっても、通過パターンの変動にかかわらず正確な経路検出を行うことが可能である。
【０００９】
また、請求項２にかかる通過経路検出装置は、上記の発明において、前記経路特定手段は、前記所定の枝を介して出力された前記特定パケット群の独立成分分析結果における混合比と、前記所定の枝以外の枝のそれぞれを介して入力されたパケット群の独立成分分析結果における混合比との間の類似性に基づき、前記特定パケット群の入力に用いられた１以上の枝を特定することを特徴とする。
【００１０】
また、請求項３にかかる通過経路検出装置は、上記の発明において、前記経路特定手段は、前記特定パケット群の混合比との間のユークリッド距離が比較対象の枝ごとに設定された所定の許容範囲外の値となる混合比に対応する比較パケット群が通過した枝を、前記特定パケット群の入力に用いられた枝として特定することを特徴とする。
【００１１】
また、請求項４にかかる通過経路検出装置は、上記の発明において、前記許容範囲は、前記特定パケット群の混合比と比較対象の枝を過去に通過したパケット群に関する独立成分分析結果の混合比との間で導出される複数のユークリッド距離の分散値の２倍の値と該ユークリッド距離の平均値との加算値以上の値であって、前記ユークリッド距離の平均値と前記ユークリッド距離の分散値の２倍の値との差分値以下の値であることを特徴とする。
【００１２】
また、請求項５にかかる通過経路検出装置は、上記の発明において、比較対象の枝を介して前記分岐手段に入力する比較パケット群および前記特定パケット群を観測するパケット観測手段と、前記比較パケット群、前記過去パケット群および前記特定パケット群に関する観測結果を独立成分分析する分析手段と、経路特定に先立って観測された前記過去パケット群の観測結果を記憶する記憶手段とをさらに備えたことを特徴とする。
【００１３】
また、請求項６にかかる通過経路検出方法は、ネットワーク上に配置されると共に前記ネットワーク上の他の構成要素と接続するための複数の枝を備え、該複数の枝を介してパケットの入出力が行われる分岐手段における特定パケット群の通過経路を検出する通過経路検出方法であって、所定の枝を介して前記分岐手段から出力された特定パケット群、前記所定の枝以外の枝の中から選択した枝を介して前記分岐手段に入力された比較パケット群、および選択した枝を介して過去に前記分岐手段に入力された過去パケット群の観測結果から抽出された独立成分を構成要素とした、前記特定パケット群の独立成分分析結果と前記比較パケット群の独立成分分析結果との比較に基づき、前記特定パケット群の入力に用いられた１以上の枝を特定する経路特定工程を含むことを特徴とする。
【００１４】
また、請求項７にかかる通過経路検出方法は、上記の発明において、前記経路特定工程において、前記特定パケット群の混合比との間のユークリッド距離が比較対象の枝ごとに設定された所定の許容範囲外の値となる混合比に対応する比較パケット群が通過した枝を、前記特定パケット群の入力に用いられた枝として特定することを特徴とする。
【００１５】
また、請求項８にかかる通過経路検出方法は、上記の発明において、前記許容範囲は、前記特定パケット群の混合比と比較対象の枝を過去に通過したパケット群に関する独立成分分析結果の混合比との間で導出される複数のユークリッド距離の分散値の２倍の値と該ユークリッド距離の平均値との加算値以上の値であって、前記ユークリッド距離の平均値と前記ユークリッド距離の分散値の２倍の値との差分値以下の値であることを特徴とする。
【００１６】
また、請求項９にかかる通過経路検出プログラムは、請求項７または８に記載の方法を計算機に実行させることを特徴とする。
【発明の効果】
【００１７】
本発明にかかる通過経路検出装置、通過経路検出方法および通過経路検出プログラムは、枝を通過するパケット群に関する情報から導出される独立成分分析結果に基づき特定パケット群の入力に用いられた枝を特定する通過経路特定手段を備える構成としたため、複数の枝を介して特定パケット群が分岐手段に入力するような場合であっても、通過パターンの変動にかかわらず正確な経路検出を行うことが可能であるという効果を奏する。
【発明を実施するための最良の形態】
【００１８】
以下に、本発明にかかる通過経路検出装置、通過経路検出方法および通過経路検出プログラムを実施するための最良の形態（以下、単に「実施の形態」と称する）について説明する。なお、以下の説明において参照する図面は模式的なものであり、現実のものと必ずしも一致しないことに留意が必要である。
【００１９】
まず、実施の形態にかかる通過経路検出装置について説明する。本実施の形態にかかる通過経路検出装置は、パケットの入出力のための枝を複数備えたルータ等の分岐手段を通過する特定のパケット群に関して、分岐手段を通過する際に、分岐手段に備わるどの枝を介して分岐手段に入力されたかを検出することによって、当該分岐手段における特定パケット群の通過経路を検出するためのものである。
【００２０】
図１は、本実施の形態にかかる通過経路検出装置の全体構成を示す模式図である。図１に示すように、本実施の形態にかかる通過経路検出装置１は、ルータ２に備わる枝２ａ〜２ｄのそれぞれを通過するパケット群を観察するパケット観測部３と、パケット観測部３によって観察されたパケット群に対して独立成分分析を行うための分析部４と、枝２ａ〜２ｄのそれぞれに関する過去の通過パケット群に関する情報を記憶する記憶部５と、分析部４によって導出される独立成分分析結果に基づき特定パケット群の通過経路を特定する経路特定部６と、経路特定部６による特定結果を出力する出力部７とを備える。
【００２１】
パケット観測部３は、ルータ２に備わる枝２ａ〜２ｄを通過するパケット群を観測し、パケット群に関する情報を取得するためのものである。具体的には、パケット観測部３は、例えば枝２ａ〜２ｄのそれぞれを通過するパケットの数をカウントする機能を有し、パケット群に関する情報として通過パケット数の時間変化パターンを取得する。また、パケット観測部３は、パケット群に関する情報に関して、将来の通過経路の特定の際における許容範囲の導出に用いるために記憶部５に出力すると共に、現在の通過経路の特定に用いるために経路特定部６に対して出力する機能を有する。
【００２２】
分析部４は、ルータ２に備わる枝２ａ〜２ｄを通過するパケット群に関して独立成分分析を行うためのものである。ここで、独立成分分析とは、複数の情報源信号の線形和によって形成された観測信号を独立な複数の信号に分解する際に用いる手法の一つであり、本実施の形態では、分析部４は、後述する特定データ群、比較データ群および過去データ群に関する観測結果に基づいて独立成分を抽出し、特定データ群、比較データ群および過去データ群に関して抽出した独立成分を構成要素とした独立成分分析結果を得るものとする。
【００２３】
また、分析部４は、具体的には、経路特定部６の指示に基づき、パケット観測部３によって観測されたパケット群もしくは記憶部５に記憶されたパケット群に対して独立成分分析を行い、分析結果を経路特定部６に対して出力する機能を有する。分析部４によって導出される独立成分分析の結果ｙは、それぞれのパケット群に関して、混合比ａ1〜ａn（ｎは２以上の自然数）および独立成分ｉ1〜ｉnを用いて、
ｙ＝ａ1ｉ1＋ａ2ｉ2＋・・・＋ａnｉn  ・・・（１）
の形式で定義されることとする。
【００２４】
なお、分析部４によって導出される独立成分分析の対象となるパケット群としては、正確な経路特定を行う観点から特定パケット群の時間長と等しい時間長を有するパケット群を用いることが好ましく、特に、後述する比較パケット群に関しては、ルータ２から特定パケット群が出力される時間帯と同一の時間帯におけるパケット群を用いることが好ましい。
【００２５】
記憶部５は、パケット観測部３によって観測されたパケットに関する情報等を記憶するためのものである。また、記憶部５は、経路特定部６の指示に基づいて、必要な情報を経路特定部６に対して出力する機能を有する。記憶部５に記憶されるパケット群に関する情報は、例えば、経路特定部６による通過経路の特定に用いられる許容範囲の導出に利用される。
【００２６】
出力部７は、経路特定部６による特定パケット群の通過経路の特定結果を出力するためのものである。出力部７の出力形態は、例えばディスプレイ等によって視覚的に特定結果を示すものでも良いし、プリンタ等のように別媒体に対して特定結果を出力するものでも良い。さらに、出力部７は、経路特定部６による特定結果を、必要に応じて特定のデータ形式に変換して電子データとして出力する機能を有することとしても良い。
【００２７】
経路特定部６は、ルータ２から枝２ａ〜２ｄのいずれかを介して特定のパケット群が出力された際に、かかる特定パケット群がルータ２に入力する際に通過した枝を特定するためのものである。具体的には、経路特定部６は、パケット観測部３によって取得されたパケット群に関する情報および記憶部５に記憶された情報を分析部４に出力する機能と、かかる情報に基づいて分析部４によって導出された独立成分分析結果を用いることによって、ルータ２における特定パケット群の通過経路の特定を行う機能とを有する。
【００２８】
経路特定部６は、特定データ群、比較データ群および過去データ群に関して抽出した独立成分を構成要素とした独立成分分析に基づき、特定データ群に関する独立成分分析結果と比較データ群に関する独立成分結果を比較することによって、ルータ２における特定パケット群の通過経路を特定する機能を有する。具体的には、経路特定部６は、各パケット群に関する独立成分分析結果における混合比を比較し、特定パケット群における混合比と類似する混合比のパケット群が通過した枝を、特定パケット群の入力に使用された枝として特定する機能を有する。また、本実施の形態において、経路特定部６は、各パケット群に関する混合比の間のユークリッド距離を用いて混合比の類似性の判断を行う機能を有する。
【００２９】
ここで、ユークリッド距離とは、複数のパケット群においてそれぞれ導出される独立成分分析結果において、対応する混合比間の差分値の自乗和を（１／２）乗した値のことをいい、具体的には以下の通りに定義される。すなわち、複数のパケット群に関してそれぞれ導出された独立成分分析結果ｙ1、ｙ2が、
ｙ1＝ａ1'ｉ1＋ａ2'ｉ2＋・・・＋ａn'ｉn  ・・・（２）
ｙ2＝ａ1''ｉ1＋ａ2''ｉ2＋・・・＋ａn''ｉn  ・・・（３）
として表される場合に、ユークリッド距離ｄは、
ｄ＝｛（ａ1'−ａ1''）2＋（ａ1'−ａ1''）2＋・・・＋（ａ1'−ａ1''）2｝1/2・・・（４）
として定義される。（４）式に示したユークリッド距離は、複数の独立成分分析結果の間における類似性の指標として用いることが可能であり、本実施の形態では、詳しくは後述するように、ユークリッド距離を用いて類似性の判断を行うこととしている。
【００３０】
次に、本実施の形態にかかる通過経路検出装置の経路検出動作について説明する。図２は、通過経路検出装置１に備わる経路特定部６の動作を説明するためのフローチャートである。なお、以下の説明では、特定パケット群が枝２ｄを介してルータ２から出力された場合において、枝２ｄから出力された特定パケット群が枝２ａ〜２ｃのいずれを介してルータ２に入力されたかを特定する場合を例として説明する。
【００３１】
まず、経路特定部６は、枝２ａ〜２ｃの中から比較対象となる枝を選択し（ステップＳ１０１）、選択した枝を介してルータ２に入力されるパケット群（以下、「比較パケット群」と称する）および枝２ｄを介して出力された特定パケット群に関する独立成分分析結果を取得する（ステップＳ１０２）。具体的には、経路特定部６は、パケット観測部３から特定パケット群および比較パケット群に関する情報を取得すると共に記憶部５に記憶された過去の複数の時間帯に通過したパケット群（以下、「過去パケット群」と称する）に関する情報を取得し、取得した情報に基づき分析部４に独立成分分析結果を導出させることによって、独立成分分析結果を取得する。その後、経路特定部６は、取得された独立成分分析結果の比較に基づく経路特定処理、より具体的には独立成分分析結果における混合比の比較に基づく経路特定処理を行い、ステップＳ１０１において選択された枝がルータ２に対する特定パケット群の入力経路として用いられたものであるか否かを判定する（ステップＳ１０３）。
【００３２】
そして、経路特定部６は、枝２ａ〜２ｃのすべてに関して経路特定処理が行われたか否かを判定する（ステップＳ１０４）。すべての枝について完了していない場合には（ステップＳ１０４，Ｎｏ）、再びステップＳ１０１に戻って残りの枝を選択し、ステップＳ１０２、Ｓ１０３に示す処理を繰り返す。一方、すべての枝について経路特定処理が完了した場合（ステップＳ１０４，Ｙｅｓ）には、ステップＳ１０３において通過経路として特定した枝に関する情報を、出力部７を介して出力し（ステップＳ１０５）、経路特定部６の動作は完了する。
【００３３】
このように、経路特定部６は、ステップＳ１０３において、選択した枝を介して入力されるパケット群（比較パケット群）および特定パケット群の独立成分分析結果の間の比較の際に、それぞれにおける混合比を比較することとしている。混合比の比較態様としては様々なものを用いることが可能であるが、本実施の形態においては、一例として特定パケット群における混合比と比較パケット群における混合比との間のユークリッド距離を導出し、導出したユークリッド距離の値に応じて混合比の類似性の判断を行うこととしている。以下、ステップＳ１０３における経路特定処理について詳細に説明する。
【００３４】
図３は、ステップＳ１０３における経路特定処理について示すサブルーチンである。図３に示すように、経路特定部６は、最初に特定パケット群に関して取得された混合比と、比較パケット群に関して取得された混合比との間のユークリッド距離ｄ0を導出する（ステップＳ２０１）。そして、経路特定部６は、複数の過去パケット群に関する混合比を取得する（ステップＳ２０２）。
【００３５】
そして、経路特定部６は、複数の過去パケット群に対応した混合比のそれぞれと特定パケット群に対応した混合比との間におけるユークリッド距離を導出すると共に、導出した複数のユークリッド距離の平均値ｄaveおよび分散値ｄstdを導出する（ステップＳ２０３）。その後、経路特定部６は、比較パケット群と特定パケット群との間におけるユークリッド距離ｄ0が所定の許容範囲外の値であるか否かを判定する（ステップＳ２０４）。具体的な許容範囲は、例えば（ｄave−２ｄstd）以上、（ｄave＋２ｄstd）以下とし、経路特定部６は、かかる許容範囲外の値であるか否かの判定を行うこととする。
【００３６】
そして、許容範囲外の値である場合（ステップＳ２０４，Ｙｅｓ）には、経路特定部６は、比較パケット群が通過した枝（すなわち、ステップＳ１０１にて選択した枝）を特定パケット群の通過経路として特定する（ステップＳ２０５）。一方で、許容範囲内の値である場合（ステップＳ２０４，Ｎｏ）には、比較パケット群が通過した枝は通過経路ではないとの判断がなされる（ステップＳ２０６）。以上で、経路特定処理のサブルーチンは終了し、ステップＳ１０４以下の処理が行われる。
【００３７】
次に、本実施の形態にかかる通過経路検出装置の利点について説明する。まず、本実施の形態にかかる通過経路検出装置は、独立成分分析の結果に基づき通過経路の特定を行うこととしている。このため、特定パケット群が複数の枝を介してルータ２に入力されることによって特定パケット群の通過パターンとそれぞれの枝を通過した入力パケット群の通過パターンとが一致しないような場合であっても、通過経路の特定を精度良く行うことが可能である。
【００３８】
経路検出の対象となる特定パケット群は、通常、ある一定の規則性を有することが推測される。従って、特定パケット群の有する規則性に対応した独立成分を適切に定義し、かかる定義に基づき特定パケット群および比較パケット群に対して独立成分分析を行うことによって、パケット群の同一性の有無を判定することが可能である。そして、かかる同一性は、パケット群の通過パターンとは無関係に成立するものであることから、本実施の形態にかかる通過経路検出装置は、ルータ２から出力されるパケット群がルータ２に対して複数の枝を介して入力され、それぞれにおける通過パターンが互いに異なる場合であっても、高精度の経路検出を行うことが可能である。
【００３９】
かかる利点は、特定パケット群としてＤＤｏＳ攻撃に用いられたパケット群を選択した場合に特に顕著なものとなる。一般に、ＤＤｏＳ攻撃のパターンは、複数の攻撃パターンの線形和によって構成されていることが知られている。このため、ＤＤｏＳ攻撃における複数の攻撃パターンのそれぞれに対応した独立成分を有する独立成分分析結果を得ることが可能であり、各独立成分に対応した混合比を比較することによってパケット群の同一性の判別を容易かつ正確に行うことが可能である。従って、本実施の形態にかかる通過経路検出装置は、ＤＤｏＳ攻撃に用いられたパケット群を特定パケット群として経路検出の対象とした場合に特に高い精度で経路検出を行うことが可能であるという利点を有することとなる。
【００４０】
また、本実施の形態にかかる通過経路検出装置は、ルータ２に備わる枝２ａ〜２ｄのそれぞれにおける通過パケット群の特性の相違に対応した経路検出を行うことが可能であるという利点を有する。一般に、ルータ２に備わる枝２ａ〜２ｄを通過するパケット群は、接続されるサーバ等の相違に応じてそれぞれ異なる特性を有するのが通常である。これに対して、一定の判断基準を用いて特定パケット群の通過経路を特定した場合には、例えば定常状態において、他の枝と比較して特定パケット群と類似した独立成分結果が得られるパケット群が通過する枝が常に通過経路として検出される等の問題が生じるおそれがある。
【００４１】
一方、本実施の形態では、ステップＳ２０４にて説明したように、通過経路の特定に用いる判定基準として、選択した枝ごとに定めた許容範囲を用いることとしている。従って、ルータ２に備わる枝２ａ〜２ｄのそれぞれにおける通過パケット群の特性に合わせた判定基準の設定が可能となり、さらに正確な経路検出が可能であるという利点を有する。
【００４２】
さらに、本実施の形態にかかる通過経路検出装置は、ステップＳ２０４において用いる許容範囲を（ｄave−２ｄstd）以上、（ｄave＋２ｄstd）以下と設定している。かかる許容範囲を用いることによって、通過経路の特定の際に定常状態からの逸脱程度も考慮した正確な判定を行うことが可能である。
【００４３】
図４は、選択された枝において過去に通過したパケット群から導出された混合比と特定パケット群から導出された混合比との間のユークリッド距離の分布状態を示すグラフである。図４において、横軸はユークリッド距離を示し、縦軸は出現頻度を示している。本実施の形態では、このような分布状態を示す過去のパケット群に関する複数のユークリッド距離の値の平均値および分散値に基づき許容範囲を定めており、具体的には、図４において斜線で示す領域を許容範囲として定めている。
【００４４】
図４に示す斜線領域を見れば明らかなように、上述した許容範囲は、過去の定常状態時に対応したパケット群の出現頻度のほとんどを含んでいる。従って、かかる斜線領域外の値を有するユークリッド距離ｄ0に対応した比較パケット群が通過した枝のみを特定パケット群の通過経路として特定することによって、パケットの通過態様が定常状態となる枝を誤って通過経路として特定することを回避することが可能となり、高い精度の経路検出が可能であるという利点を有することとなる。
【００４５】
次に、本実施の形態にかかる通過経路検出装置を用いた経路検出に関する検出精度について説明する。図５および図６は、それぞれ本実施の形態にかかる通過経路検出装置を用いてシミュレーションを行った場合の検出精度を示すグラフである。なお、シミュレーションの条件としては、特定パケット群としてＤＤｏＳ攻撃に用いられるパケット群を使用し、特定パケット群の規模としては、定常状態のパケット群におけるパケット数の約１０倍程度のパケット数を有するものを用いている。また、図５および図６に示した検出精度の具体的な値は、正確を期すため、同一条件下で１０回ほど繰り返し行われたシミュレーションによって得られた値の平均値を用いている。
【００４６】
図５に示すグラフは、上記したシミュレーションにおいて、単一の枝を介して特定パケット群を入力させるという条件の下でルータ２に備わる枝の数を変化させた場合の検出精度について示したものである。図５において、横軸はルータ２の枝の数を示し、縦軸は検出精度、すなわち特定パケット群の通過経路として正しい枝を選択した確率を示している。
【００４７】
図５のグラフに示すように、本実施の形態にかかる通過経路検出装置を用いた場合には、ルータ２に備わる枝の本数の変化にもかかわらず、高い検出精度を維持している。具体的には、若干の変動はあるものの、検出精度の値はほぼ９０％弱の値を維持すると共に、枝の数が増加した場合であっても、ほぼ同等の検出精度を維持することが示されている。
【００４８】
また、図６に示すグラフは、上記したシミュレーションにおいて、ルータ２に対する特定パケット群の入力に用いられる枝の数（すなわち、経路検出において特定されるべき枝の数）を変化させた場合の検出精度について示したものである。図６において、横軸は特定パケット群の入力に用いられる枝の数を示し、縦軸は検出精度について示している。
【００４９】
図６に示すように、特定パケット群の入力に用いられる枝の数の増加に対して検出精度が低下することはなく、ほぼ９５％の高い検出精度を維持している。一方で、パケットの通過パターンに基づいて経路特定を行う従来の通過経路検出装置を用いて同様のシミュレーションを行った場合には、特定パケット群の入力に用いられる枝の数の増加に応じて検出精度は徐々に低下し、枝の数を１０本とした際における検出精度は８０％程度にまで低下することが明らかになっている。このため、本実施の形態にかかる通過経路検出装置は、従来のものと比較して、ＤＤｏＳ攻撃等のように、複数のサーバ等から出力されたパケット群が特定パケット群を構成するような場合であっても高精度の経路検出が可能であることがシミュレーションの結果からも明らかとなる。
【００５０】
以上、実施の形態を用いて本発明について説明を行ったが、本発明は上記した実施の形態に限定して解釈する必要がないことはもちろんであり、当業者であれば、様々な実施例、変形例等に想到することが可能である。例えば、独立成分分析の対象となるパケット群の情報として、通過パケット数の時間変化に関する情報以外の情報を用いることとしても良い。
【００５１】
また、実施の形態にかかる通過経路検出装置１は、ハードウェア的な構造によって実現することとしても良いが、必要な機能をパーソナルコンピュータ等の計算機上で実行可能なプログラムによって実現する構成としても良い。一般的なパーソナルコンピュータはＣＰＵ等の演算機構を備え、ハードディスク等の記憶部を備えることから、必要な処理を記述したプログラムを用いることによって通過経路検出装置１を実現することとしても良い。また、通過経路検出装置１をルータ２に内蔵した構成としても良い。
【００５２】
また、ステップＳ２０３において、経路特定部６によって過去パケット群の混合比と特定パケット群の混合比との間におけるユークリッド距離の平均値および分散値を導出することとしたが、あらかじめ導出した値を記憶部５に記憶する構成としても良いし、より簡易な構成としては、実測値に基づいて平均値を導出するのではなく、平均値および分散値に対応した所定の数値をあらかじめ設定しておくこととしても良い。
【図面の簡単な説明】
【００５３】
【図１】実施の形態にかかる通過経路検出装置の構成を示す模式図である。
【図２】通過経路検出装置に備わる経路特定部の動作を説明するためのフローチャートである。
【図３】経路特定部の動作のうち、経路特定処理に関して示すサブルーチンである。
【図４】経路特定の判断基準となる許容範囲について模式的に示すグラフである。
【図５】実施の形態にかかる通過経路検出装置の効果を示すグラフである。
【図６】実施の形態にかかる通過経路検出装置の効果を示すグラフである。
【符号の説明】
【００５４】
１  通過経路検出装置
２  ルータ
２ａ〜２ｄ  枝
３  パケット観測部
４  分析部
５  記憶部
６  経路特定部
７  出力部
【図１】
2006033039.tif 000003
【図２】
2006033039.tif 000004
【図３】
2006033039.tif 000005
【図４】
2006033039.tif 000006
【図５】
2006033039.tif 000007
【図６】
2006033039.tif 000008