(57)【要約】【課題】パケットの探索方式が異なる複数の単位ネットワーク間を連携して攻撃パケットの送信元となる端末を探索することが可能なネットワークのパケット探索システム、及びこれに用いられる探索処理装置を提供する。【解決手段】攻撃パケット特定装置１６に、攻撃パケットに特有のシグネチャ情報を登録し、このシグネチャ情報を含むパケットが受信された場合に、探索処理装置１４-1に探索依頼を送信する。探索処理装置１４-1は、各プローブ１８に記録されているシグネチャ情報から、攻撃対象シグネチャ情報を含むプローブ１８を探索し、この探索結果から攻撃パケットの送信経路を探索する。また、他の管理ネットワーク１２，１３に繋がる場合には、他の管理ネットワーク１２，１３に対し、探索対象シグネチャ情報を含む探索依頼信号を送信する。これにより、複数の管理ネットワーク１１〜１３間での攻撃パケットの探索が可能になる【選択図】      図１
2011155343.tif 000002
【特許請求の範囲】
【請求項１】
パケットの探索方式が相違する複数の単位ネットワークからなるネットワークにて、攻撃パケットの送信元となる攻撃端末を探索するパケット探索システムであって、
一の単位ネットワークは、
該単位ネットワークに設けられる少なくとも１つのルータに接続され、該ルータを通過するパケットのシグネチャ情報を記録するプローブと、
該単位ネットワークに設けられる少なくとも１つの端末に接続され、この端末で受信したパケットのシグネチャ情報に基づいて、受信したパケットが攻撃パケットであるか否かを判断し、攻撃パケットであると判断した場合に、該攻撃パケットのシグネチャ情報を探索対象シグネチャ情報として出力する攻撃パケット特定手段と、
前記攻撃パケット特定手段より出力された探索対象シグネチャ情報を取得し、前記各プローブのうち、前記探索対象シグネチャ情報が記録されているプローブを特定し、この特定したプローブの経路から、前記攻撃パケットの送信元となる端末を探索する探索処理装置と、を有し、
前記一の単位ネットワークの探索処理装置は、前記探索対象シグネチャ情報が記録されたプローブに接続されたルータが、他の単位ネットワークに繋がる場合に、該他の単位ネットワークの探索処理装置に前記探索対象シグネチャ情報を含む探索依頼信号を送信し、
前記他の単位ネットワークの探索処理装置は、前記探索依頼信号を受信した際に、この探索依頼信号に含まれる探索対象シグネチャ情報に基づいて、攻撃パケットの送信元となる端末を探索する探索処理を実行し、この探索処理により得られた探索結果情報を前記一の単位ネットワークの探索処理装置に送信し、
前記一の単位ネットワークの探索処理装置は、前記他の単位ネットワークより送信された探索結果情報を用いて、前記攻撃パケットの送信元となる端末を特定すること、
を特徴とするネットワークのパケット探索システム。
【請求項２】
前記他の単位ネットワークの探索処理装置は、前記探索依頼信号を受信した際には、所定時間または所定回数だけ前記探索処理を実行し、得られた探索結果情報を前記一の単位ネットワークの探索処理装置に送信することを特徴とする請求項１に記載のネットワークのパケット探索システム。
【請求項３】
前記一の単位ネットワークの探索処理装置は、この単位ネットワークを除く他の全ての単位ネットワークの探索処理装置に対して、前記探索依頼信号を提供し、他の全ての単位ネットワークの探索処理装置より送信される探索結果情報を用いて、前記攻撃パケットの送信元となる端末を特定することを特徴とする請求項１または請求項２のいずれかに記載のネットワークのパケット探索システム。
【請求項４】
前記各単位ネットワークの探索処理装置と接続される探索情報公開サーバを更に備え、
前記一の単位ネットワークの探索処理装置は、前記探索対象シグネチャ情報を含む探索依頼信号を前記探索情報公開サーバにてネットワーク全体に公開し、
前記一の単位ネットワークを除く他の全ての単位ネットワークは、前記探索情報公開サーバにアクセスして前記探索依頼信号を取得し、前記一の単位ネットワークの探索処理装置は、他の全ての単位ネットワークの探索処理装置より送信される探索結果情報を用いて、前記攻撃パケットの送信元となる端末を特定することを特徴とする請求項３に記載のネットワークのパケット探索システム。
【請求項５】
前記シグネチャ情報は、送信されたパケットのデータに対してハッシュ関数を用いて演算したハッシュ値を含み、前記攻撃パケット特定手段は、前記攻撃パケットのハッシュ値を前記探索処理装置に送信し、
前記一の単位ネットワークの探索処理装置は、この単位ネットワークと隣接する他の単位ネットワークで用いられる他のハッシュ関数を備え、該探索処理装置は、前記攻撃パケットを前記他のハッシュ関数を用いて演算した他のハッシュ値を、前記一の単位ネットワークと隣接する他の単位ネットワークの探索処理装置に送信し、
前記他の単位ネットワークの探索処理装置は、前記他のハッシュ値を用いて、探索処理を実行することを特徴とする請求項１〜請求項４のいずれか１項に記載のネットワークのパケット探索システム。
【請求項６】
前記一の単位ネットワークの探索処理装置より前記他の単位ネットワークの探索処理装置に送信する探索依頼信号は、前記一の単位ネットワークで用いられるハッシュ関数を含み、
前記他の単位ネットワークの探索処理装置は、他の単位ネットワークに設けられるプローブに前記ハッシュ関数を送信し、
各プローブは、受信したハッシュ関数を用いて接続されるルータを通過するパケットのハッシュ値を演算し、
前記他の単位ネットワークに設けられる探索処理装置は、前記各プローブで演算されたハッシュ値を用いて、前記探索対象パケットの探索処理を実行することを特徴とする請求項１〜請求項４のいずれか１項に記載のネットワークのパケット探索システム。
【請求項７】
前記他の単位ネットワークのプローブに記録された前記ハッシュ関数を、所定の有効期間が経過した後に消去することを特徴とする請求項６に記載のネットワークのパケット探索システム。
【請求項８】
自単位ネットワーク内に設けられ、該自単位ネットワーク及び自単位ネットワークに接続される他の単位ネットワークを連携して、複数の単位ネットワークからなるネットワーク内にて攻撃パケットの送信元となる攻撃端末を探索する探索処理装置において、
自単位ネットワーク内に設けられた攻撃パケット特定手段にて攻撃パケットが検知され、この攻撃パケットのシグネチャ情報である探索対象シグネチャ情報が送信された際に、自単位ネットワーク内のルータに接続されて該ルータを通過するパケットを記録するプローブから、前記探索対象シグネチャ情報を含むプローブを探索し、探索対象シグネチャ情報が含まれるプローブに基づいて、自単位ネットワーク内での前記攻撃パケットの送信経路を探索して自単位ネットワーク内での探索結果情報を取得すると共に、
前記探索対象シグネチャ情報を含む探索依頼信号を、他の単位ネットワークに設けられる探索処理装置に送信し、
前記他の単位ネットワークの探索処理装置より送信され、該他の単位ネットワーク内での探索対象シグネチャ情報についての探索結果情報を受信し、この探索結果情報、及び前記自単位ネットワーク内での探索結果情報に基づいて、前記ネットワーク内での攻撃パケットの送信元となる攻撃端末を探索することを特徴とする探索処理装置。
【請求項９】
自単位ネットワーク内に設けられ、該自単位ネットワーク及び自単位ネットワークに接続される他の単位ネットワークを連携して、複数の単位ネットワークからなるネットワーク内にて攻撃パケットの送信元となる攻撃端末を探索する探索処理装置において、
他の単位ネットワークより探索対象シグネチャ情報を含む探索依頼信号が送信された際に、この探索対象シグネチャ情報に基づいて、自単位ネットワーク内に設けられたプローブに記録されているパケットのシグネチャ情報を探索し、
この探索結果に基づいて、自単位ネットワーク内での前記探索対象シグネチャを含むパケットの経路を探索して探索結果情報を取得し、該探索結果情報を、前記探索依頼信号の送信元となる前記他の単位ネットワークの探索処理装置に送信することを特徴とする探索処理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、パケットの探索方式が相違する複数の単位ネットワークを含むネットワークにて、攻撃パケットの送信元となる攻撃端末を探索するパケット探索システム、及び探索処理装置に関する。
【背景技術】
【０００２】
近年、通信技術の発達により、インターネットに代表されるオープンネットワーク等の通信が普及している。このような状況に伴い、ネットワークに接続する装置は、例えば大量のパケットを送りつけるいわゆるＤｏＳ（Denial of Service）攻撃やＤＤｏＳ（Distributed Dos）攻撃等のサービス妨害攻撃を受け易い状態にある。このサービス妨害攻撃は、被害を受ける側の端末での処理を飽和状態にすることによってサービス提供を麻痺させるばかりでなく、ネットワーク全体のリソースを消費させるという多大な被害を被ってしまう。このように、不正な攻撃は、ネットワーク全体への影響が大きいことから、その対策が求められている。
【０００３】
このような対策として、パケットの発信元を探索して、攻撃に利用されたパケットの発信源を追跡する技術が提案されている（例えば、特許文献１参照）。特許文献１では、パケット探索のポリシーが同一であるネットワーク内での探索を効率良く行うことができるが、それぞれパケット探索のポリシーが異なる単位ネットワークを複数有するネットワークシステムにおいては、攻撃パケットの探索を効率良く行うことができないという欠点がある。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００７−２２１４４２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
上述したように、特許文献１に記載された従来におけるパケット探索装置では、パケット探索の方式が同一であるネットワーク内では攻撃パケットの追跡処理を効率良く行うことができるものの、パケット探索の方式が異なるネットワーク間では、これらのネットワークを連携した攻撃パケットの追跡処理が容易でないという欠点があった。
【０００６】
本発明は、このような従来の課題を解決するためになされたものであり、その目的とするところは、パケットの探索方式が異なる複数の単位ネットワーク間を連携して攻撃パケットの送信元となる端末を探索することが可能なネットワークのパケット探索システム、及びこれに用いられる探索処理装置を提供することにある。
【課題を解決するための手段】
【０００７】
上記目的を達成するため、本願請求項１に記載のネットワークのパケット探索システムは、パケットの探索方式が相違する複数の単位ネットワークからなるネットワークにて、攻撃パケットの送信元となる攻撃端末を探索するパケット探索システムであって、一の単位ネットワークは、該単位ネットワークに設けられる少なくとも１つのルータに接続され、該ルータを通過するパケットのシグネチャ情報を記録するプローブと、該単位ネットワークに設けられる少なくとも１つの端末に接続され、この端末で受信したパケットのシグネチャ情報に基づいて、受信したパケットが攻撃パケットであるか否かを判断し、攻撃パケットであると判断した場合に、該攻撃パケットのシグネチャ情報を探索対象シグネチャ情報として出力する攻撃パケット特定手段と、前記攻撃パケット特定手段より出力された探索対象シグネチャ情報を取得し、前記各プローブのうち、前記探索対象シグネチャ情報が記録されているプローブを特定し、この特定したプローブの経路から、前記攻撃パケットの送信元となる端末を探索する探索処理装置と、を有し、前記一の単位ネットワークの探索処理装置は、前記探索対象シグネチャ情報が記録されたプローブに接続されたルータが、他の単位ネットワークに繋がる場合に、該他の単位ネットワークの探索処理装置に前記探索対象シグネチャ情報を含む探索依頼信号を送信し、前記他の単位ネットワークの探索処理装置は、前記探索依頼信号を受信した際に、この探索依頼信号に含まれる探索対象シグネチャ情報に基づいて、攻撃パケットの送信元となる端末を探索する探索処理を実行し、この探索処理により得られた探索結果情報を前記一の単位ネットワークの探索処理装置に送信し、前記一の単位ネットワークの探索処理装置は、前記他の単位ネットワークより送信された探索結果情報を用いて、前記攻撃パケットの送信元となる端末を特定することを特徴とする。
【０００８】
請求項２に記載の発明は、前記他の単位ネットワークの探索処理装置は、前記探索依頼信号を受信した際には、所定時間または所定回数だけ前記探索処理を実行し、得られた探索結果情報を前記一の単位ネットワークの探索処理装置に送信することを特徴とする。
【０００９】
請求項３に記載の発明は、前記一の単位ネットワークの探索処理装置は、この単位ネットワークを除く他の全ての単位ネットワークの探索処理装置に対して、前記探索依頼信号を提供し、他の全ての単位ネットワークの探索処理装置より送信される探索結果情報を用いて、前記攻撃パケットの送信元となる端末を特定することを特徴とする。
【００１０】
請求項４に記載の発明は、前記各単位ネットワークの探索処理装置と接続される探索情報公開サーバを更に備え、前記一の単位ネットワークの探索処理装置は、前記探索対象シグネチャ情報を含む探索依頼信号を前記探索情報公開サーバにてネットワーク全体に公開し、前記一の単位ネットワークを除く他の全ての単位ネットワークは、前記探索情報公開サーバにアクセスして前記探索依頼信号を取得し、前記一の単位ネットワークの探索処理装置は、他の全ての単位ネットワークの探索処理装置より送信される探索結果情報を用いて、前記攻撃パケットの送信元となる端末を特定することを特徴とする。
【００１１】
請求項５に記載の発明は、前記シグネチャ情報は、送信されたパケットのデータに対してハッシュ関数を用いて演算したハッシュ値を含み、前記攻撃パケット特定手段は、前記攻撃パケットのハッシュ値を前記探索処理装置に送信し、前記一の単位ネットワークの探索処理装置は、この単位ネットワークと隣接する他の単位ネットワークで用いられる他のハッシュ関数を備え、該探索処理装置は、前記攻撃パケットを前記他のハッシュ関数を用いて演算した他のハッシュ値を、前記一の単位ネットワークと隣接する他の単位ネットワークの探索処理装置に送信し、前記他の単位ネットワークの探索処理装置は、前記他のハッシュ値を用いて、探索処理を実行することを特徴とする。
【００１２】
請求項６に記載の発明は、前記一の単位ネットワークの探索処理装置より前記他の単位ネットワークの探索処理装置に送信する探索依頼信号は、前記一の単位ネットワークで用いられるハッシュ関数を含み、前記他の単位ネットワークの探索処理装置は、他の単位ネットワークに設けられるプローブに前記ハッシュ関数を送信し、各プローブは、受信したハッシュ関数を用いて接続されるルータを通過するパケットのハッシュ値を演算し、前記他の単位ネットワークに設けられる探索処理装置は、前記各プローブで演算されたハッシュ値を用いて、前記探索対象パケットの探索処理を実行することを特徴とする。
【００１３】
請求項７に記載の発明は、前記他の単位ネットワークのプローブに記録された前記ハッシュ関数を、所定の有効期間が経過した後に消去することを特徴とする。
【００１４】
請求項８に記載の探索処理装置は、自単位ネットワーク内に設けられ、該自単位ネットワーク及び自単位ネットワークに接続される他の単位ネットワークを連携して、複数の単位ネットワークからなるネットワーク内にて攻撃パケットの送信元となる攻撃端末を探索する探索処理装置において、自単位ネットワーク内に設けられた攻撃パケット特定手段にて攻撃パケットが検知され、この攻撃パケットのシグネチャ情報である探索対象シグネチャ情報が送信された際に、自単位ネットワーク内のルータに接続されて該ルータを通過するパケットを記録するプローブから、前記探索対象シグネチャ情報を含むプローブを探索し、探索対象シグネチャ情報が含まれるプローブに基づいて、自単位ネットワーク内での前記攻撃パケットの送信経路を探索して自単位ネットワーク内での探索結果情報を取得すると共に、前記探索対象シグネチャ情報を含む探索依頼信号を、他の単位ネットワークに設けられる探索処理装置に送信し、前記他の単位ネットワークの探索処理装置より送信され、該他の単位ネットワーク内での探索対象シグネチャ情報についての探索結果情報を受信し、この探索結果情報、及び前記自単位ネットワーク内での探索結果情報に基づいて、前記ネットワーク内での攻撃パケットの送信元となる攻撃端末を探索することを特徴とする。
【００１５】
請求項９に記載の探索処理装置は、自単位ネットワーク内に設けられ、該自単位ネットワーク及び自単位ネットワークに接続される他の単位ネットワークを連携して、複数の単位ネットワークからなるネットワーク内にて攻撃パケットの送信元となる攻撃端末を探索する探索処理装置において、他の単位ネットワークより探索対象シグネチャ情報を含む探索依頼信号が送信された際に、この探索対象シグネチャ情報に基づいて、自単位ネットワーク内に設けられたプローブに記録されているパケットのシグネチャ情報を探索し、この探索結果に基づいて、自単位ネットワーク内での前記探索対象シグネチャを含むパケットの経路を探索して探索結果情報を取得し、該探索結果情報を、前記探索依頼信号の送信元となる前記他の単位ネットワークの探索処理装置に送信することを特徴とする。
【発明の効果】
【００１６】
請求項１に記載のネットワークのパケット探索システムでは、一の単位ネットワークに設けられた攻撃パケット特定手段にて、探索対象シグネチャ情報が検知された場合には、この探索対象シグネチャ情報が探索処理装置に送信される。そして、探索処理装置では、一の単位ネットワーク内に設けられる各プローブにアクセスして、一の単位ネットワーク内での攻撃パケットの送信経路を探索する。更に、他の単位ネットワークに対して、探索対象シグネチャ情報を含む探索依頼信号を送信する。そして、他の単位ネットワークに設けられる探索処理装置では、この探索依頼信号に含まれる探索対象シグネチャ情報に基づいて、他の単位ネットワーク内での攻撃パケットの送信経路を探索し、この探索結果情報を一の単位ネットワークの探索処理装置に送信する。従って、一の単位ネットワークの探索処理装置では、複数の単位ネットワークに渡って送信される攻撃パケットの送信経路を探索でき、ネットワーク全体で攻撃パケットの送信元となる攻撃端末を特定することができる。
【００１７】
請求項２の発明では、他の単位ネットワークに設けられた探索処理装置は、探索依頼信号を受信した場合には、所定時間、或いは所定回数だけ探索処理を実行するので、一の単位ネットワークからの探索依頼に対して長時間の探索処理を強いられることを防止でき、他の単位ネットワーク内に設けられる各デバイスの演算負荷を軽減することができる。
【００１８】
請求項３の発明では、一の単位ネットワークより出力される探索依頼信号を、他の全ての単位ネットワークに送信するので、ネットワークを構成する全ての単位ネットワーク内にて、攻撃パケットの経路探索を行うことができ、高い即応性で攻撃パケットの送信元となる攻撃端末を特定することができる。
【００１９】
請求項４の発明では、探索情報公開サーバを設け、一の単位ネットワークより探索依頼信号が出力された場合には、この探索依頼信号を探索情報公開サーバに送信し、該探索情報公開サーバで、この探索情報を他の全ての単位ネットワークに公開する。そして、他の単位ネットワークは、この探索情報公開サーバに対して能動的にアクセスすることにより、探索対象シグネチャ情報を取得し、単位ネットワーク内での攻撃パケットの送信経路を探索し、この探索結果情報を探索情報公開サーバを介して一の単位ネットワークに送信する。従って、各単位ネットワークより送信される探索依頼信号を一元的に管理することができ、管理者の負担を軽減することができる。
【００２０】
請求項５の発明では、パケットのシグネチャ情報として、任意のハッシュ関数で演算されるハッシュ値を用いており、一の単位ネットワークから他の単位ネットワークに探索依頼信号を送信する場合には、他の単位ネットワークで用いられているハッシュ関数で求めたハッシュ値を、この探索依頼信号に付加する。従って、他の単位ネットワークでは、一の単位ネットワークより送信されたハッシュ値を用いて、他の単位ネットワーク内での攻撃パケットの探索が可能となり、攻撃パケットの送信元となる攻撃端末の探索処理を効率良く行うことができる。
【００２１】
請求項６の発明では、パケットのシグネチャ情報として、任意のハッシュ関数で演算されるハッシュ値を用いており、一の単位ネットワークから他の単位ネットワークに探索依頼信号を送信する場合には、一の単位ネットワークで用いるハッシュ関数を探索依頼信号に付加して他の単位ネットワークに送信する。そして、他の単位ネットワークのプローブでは、一の単位ネットワークで用いられるハッシュ関数を用いてパケットのハッシュ値を求める。その後、探索対象となるハッシュ値（一の単位ネットワークのハッシュ関数で求められたハッシュ値）が他の単位ネットワークで受信された場合には、このハッシュ値を用いて、各プローブにアクセスして攻撃パケットの送信経路を探索できる。従って、攻撃端末の探索処理を効率良く行うことができる。
【００２２】
請求項７の発明では、一の単位ネットワークで用いられるハッシュ関数を、他の単位ネットワークの各プローブに設定した場合には、所定の有効期限が経過した後にこのハッシュ関数を消去する。従って、各プローブのリソース負荷を軽減することができる。
【００２３】
請求項８に記載の探索処理装置では、自単位ネットワーク内で攻撃パケットが検知された場合には、この攻撃パケットのシグネチャ情報（探索対象シグネチャ情報）に基づいて自単位ネットワーク内を探索して攻撃パケットの通信経路の探索結果情報を取得すると共に、この探索対象シグネチャを他の単位ネットワークに送信する。そして、他の単位ネットワークで探索対象シグネチャ情報による探索が行われ、この探索結果情報を受信した場合には、自単位ネットワーク内での探索結果情報、及び他の単位ネットワークより送信された探索結果情報に基づいて、攻撃パケットの送信元となる攻撃端末を特定する。従って、複数の単位ネットワークに渡って攻撃端末の探索を行うことができる。
【００２４】
請求項９に記載の探索処理装置では、他の単位ネットワークより探索対象シグネチャ情報を含む探索依頼信号が送信された場合に、自単位ネットワーク内の各プローブにアクセスして、この探索対象シグネチャ情報を含むパケットの探索処理を行う。そして、探索対象シグネチャ情報を含むパケットの探索結果情報が得られた場合には、他の単位ネットワークに送信する。従って、他の単位ネットワークで攻撃パケットが検知された際に、自単位ネットワークを含む複数の単位ネットワーク間での攻撃パケットの探索処理が可能となる。
【図面の簡単な説明】
【００２５】
【図１】本発明の実施形態に係るパケット探索システムが適用されるＩＳＰネットワークの構成を示す説明図である。
【図２】本発明の実施形態に係るパケット探索システムが適用される管理ネットワークに攻撃パケットが侵入する経路を示す説明図である。
【図３】本発明の第２実施形態に係るパケット探索システムが適用されるＩＳＰネットワークの構成を示す説明図である。
【図４】本発明の実施形態に係るパケット探索システムの、攻撃パケット特定装置の詳細な構成を示すブロック図である。
【図５】本発明の実施形態に係るパケット探索システムの、探索処理装置の詳細な構成を示すブロック図である。
【図６】本発明の実施形態に係るパケット探索システムの、プローブの詳細な構成を示すブロック図である。
【図７】本発明の実施形態に係るパケット探索システムの、探索情報公開サーバの詳細な構成を示すブロック図である。
【図８】本発明の第１実施形態に係るパケット探索システムの処理動作を示すシーケンス図である。
【図９】本発明の第２実施形態に係るパケット探索システムの処理動作を示すシーケンス図である。
【図１０】本発明の第３実施形態に係るパケット探索システムの処理動作を示すシーケンス図である。
【図１１】本発明の第４実施形態に係るパケット探索システムの処理動作を示すシーケンス図である。
【図１２】本発明の第１実施形態に係るパケット探索システムの、攻撃パケット特定装置による処理動作を示すフローチャートである。
【図１３】本発明の第１実施形態に係るパケット探索システムの、探索処理装置による処理動作を示すフローチャートである。
【図１４】本発明の第３実施形態に係るパケット探索システムの、プローブによる処理動作を示すフローチャートである。
【図１５】本発明の第１実施形態に係るパケット探索システムの、攻撃パケット特定装置による処理動作の変形例を示すフローチャートである。
【図１６】本発明の第２実施形態に係るパケット探索システムの、探索処理装置による処理動作を示すフローチャートである。
【図１７】本発明の第３実施形態に係るパケット探索システムの、探索処理装置による処理動作を示すフローチャートである。
【図１８】本発明の第４実施形態に係るパケット探索システムの、探索処理装置による処理動作を示すフローチャートである。
【発明を実施するための形態】
【００２６】
以下、本発明の実施形態を図面に基づいて説明する。図１は、本発明の一実施形態に係るパケット探索システムが適用されるネットワークの構成を概略的に示す説明図である。図１に示すように、本実施形態に係るパケット探索システムは、複数（本実施形態では３個）の管理ネットワーク（単位ネットワーク）１１，１２，１３を備えるＩＳＰ（Internet Service Provider）ネットワーク１００内で、攻撃パケットが送信された際に、この攻撃パケットの送信元となる端末を探索する処理を実行する。なお、各管理ネットワーク１１，１２，１３は、例えば、ＡＳ（Autonomous System）や、サブネットである。
【００２７】
以下、各管理ネットワーク１１〜１３の構成説明として、１つの管理ネットワーク１１を例に挙げて説明する。管理ネットワーク１１は、ネットワーク回線分岐用のルータ１７を複数備え、更に、各ルータ１７には、該ルータ１７を通過したパケットのシグネチャ情報（後述）を記録するプローブ１８が設けられている。また、各ルータ１７のうち、隣接する管理ネットワーク１２，１３と接続されるルータ１７には、該ルータ１７を通過するパケットのシグネチャ情報に基づいて、攻撃パケットを特定する攻撃パケット特定装置１６（攻撃パケット特定手段、「ＩＤＳ」と称することもある）が接続されている。また、この攻撃パケット特定装置１６は、管理ネットワーク１１内に設けられ、攻撃対象となりやすいサーバ１５に分岐するルータ１７にも接続されている。
【００２８】
シグネチャ情報とは、例えば、パケットに付加される特徴的なデータであったり、一度に送信されるパケット数等の情報である。
【００２９】
更に、管理ネットワーク１１内には、該管理ネットワーク１１内で攻撃パケットが発生した場合に、この攻撃パケットの送信経路を探索するための探索処理装置１４-1が設けられている。なお、管理ネットワーク１２，１３は、管理ネットワーク１１と同等の構成を備えており、管理ネットワーク１２に設置される探索処理装置を符号１４-2で示し、管理ネットワーク１３に設置される探索処理装置を符号１４-3で示している。
【００３０】
そして、本実施形態では、各管理ネットワーク１１〜１３内に設けられるサーバ、或いは各端末にて攻撃パケットが受信された際に、この攻撃パケットの送信経路に基づいて、送信元となる攻撃端末２２（図２参照）を探索する処理を実行する。
【００３１】
以下、管理ネットワーク１１〜１３内に設けられる各種デバイスの構成について説明する。図４は、攻撃パケット特定装置１６の制御回路の構成を示すブロック図である。図４に示すように、攻撃パケット特定装置１６は、ＣＰＵ１６１と、該攻撃パケット特定装置１６の処理に関するシステムプログラムが記憶されるＲＯＭ１６３と、ＣＰＵ１６１の演算処理に用いられる各種のデータを記憶するＲＡＭ１６２と、ハードディスク１６５と、ディスプレイ１６４、及び、通信部１６６を備えている。
【００３２】
通信部１６６は、ルータ１７（図１参照）との間、及び探索処理装置１４-1との間でデータ通信を行う機能を備えている。
【００３３】
ハードディスク１６５は、各種のアプリケーションプログラムを記憶するものであり、特に、ルータ１７より転送されるパケットのデータからシグネチャ情報を取得し、このシグネチャ情報に基づいて攻撃パケットを検知するためのパケット検知処理プログラム、及びパケットデータからハッシュ値を求めるためのハッシュ関数等が記憶されている。
【００３４】
ＣＰＵ１６１は、装置全体の総括的な制御を行う。特に、パケット検知処理プログラムを実行することにより、ルータ１７を通過するパケットのシグネチャ情報を抽出し、このシグネチャ情報に攻撃パケットに関する情報が含まれている場合には、このシグネチャ情報を探索対象シグネチャ情報としてＲＡＭ１６２に記憶すると共に、通信部１６６より探索処理装置１４-1に送信する。
【００３５】
例えば、送信先がアドレス「Ａ」であり、ＴＣＰ（Transmission Control Protocol）のＳＹＮパケット（ＴＣＰのヘッダに付されるパケット）が１０００ｐｐｓ以上である場合や、送信先がアドレス「Ｂ」でありＩＣＭＰのecho replyが１００ｐｐｓ以上である場合に、攻撃パケットであると判断し、この情報を探索対象シグネチャ情報としてＲＡＭ１６２に記憶し、且つ、探索処理装置１４-1に送信する。
【００３６】
図５は、図１に示した探索処理装置１４-1の制御回路の構成を示すブロック図である。図５に示すように、探索処理装置１４-1は、ＣＰＵ１４１と、該探索処理装置１４-1の処理に関するシステムプログラムが記憶されるＲＯＭ１４３と、ＲＡＭ１４２と、ハードディスク１４５と、ディスプレイ１４４、及び、通信部１４６を備えている。
【００３７】
通信部１４６は、各攻撃パケット特定装置１６との間、及び隣接する管理ネットワーク１２，１３に設けられた探索処理装置１４-2、１４-3との間でデータ通信を行う機能を備えている。
【００３８】
ハードディスク１４５は、各種のアプリケーションプログラムを記憶するものであり、特に、攻撃パケット特定装置１６より送信された探索対象シグネチャ情報を受信した場合には、この探索対象シグネチャ情報に対応するパケットが通過したルータ１７を探索し、且つ、他の管理ネットワーク１２，１３に設けられた探索処理装置１４-2，１４-3に探索依頼信号を送信して、ＩＳＰネットワーク１００全体での、攻撃パケットの探索を実行する探索処理プログラムが記憶されている。
【００３９】
ＲＡＭ１４２は、ＣＰＵ１４１の演算処理に用いられる各種のデータを記憶する機能を備え、特に、タイマ及びカウンタの機能を備えている。
【００４０】
ＣＰＵ１４１は、装置全体の総括的な制御を行う。特に、通信部１４６にて探索対象シグネチャ情報を受信した場合には、探索処理プログラムを実行してこの探索対象シグネチャ情報を備えたパケットの送信元を探索する処理を実行する。具体的には、管理ネットワーク１１内に設けられる各ルータ１７に接続されたプローブ１８に記録されているシグネチャ情報に、探索対象シグネチャ情報が存在するか否かを判定し、探索対象シグネチャ情報が存在する場合には、このプローブ１８に接続されたルータ１７を、攻撃パケットが通過したルータと認定し、攻撃パケットが通過した各ルータ１７の接続経路に基づいて、管理ネットワーク１１内での攻撃端末の探索処理を行う。
【００４１】
更に、他の管理ネットワーク１２，１３と接続されるルータ１７に接続されたプローブ１８に探索対象シグネチャ情報が記録されている場合には、これらの管理ネットワーク１２，１３に設置された探索処理装置１４-2，１４-3に探索対象シグネチャ情報を送信する。
【００４２】
図６は、プローブ１８の構成を示すブロック図である。図６に示すように、プローブ１８は、該プローブ１８に接続されたルータ１７を通過するパケットを記録するパケット記録部１８１と、該パケットに基づいてハッシュ値を演算するためのハッシュ関数を記録するハッシュ関数記録部１８２、及びハッシュ関数を用いて求めたハッシュ値を記録するハッシュ値記録部１８３を備えている。
【００４３】
次に、上述のように構成された本実施形態に係るパケット探索システムの作用について説明する。図２は、管理ネットワーク１１に対して公衆回線であるインターネット２１を介して、攻撃端末２２より攻撃パケットが送信された場合の、該攻撃パケットの送信経路を示す説明図である。
【００４４】
図２に示すように、攻撃端末２２より攻撃パケットが送信され、インターネット２１を経由して管理ネットワーク１１内に侵入し、更に、該管理ネットワーク１１内に設けられたルータ１７ａ，１７ｂを経由してサーバ１５にて受信された場合には、該サーバ１５に接続された攻撃パケット特定装置１６にて、探索対象シグネチャ情報が設定される。そして、この探索対象シグネチャ情報は、探索処理装置１４-1に転送され、該探索処理装置１４-1は、各プローブ１８に記録されているパケットから、探索対象シグネチャ情報を含むプローブ１８を特定し、このプローブ１８が接続されるルータ１７の経路に基づいて、攻撃パケットの送信元である攻撃端末２２を探索する。
【００４５】
また、探索処理装置１４-1は、隣接する管理ネットワーク１２，１３と接続するルータ１７に接続されたプローブ１８に探索対象シグネチャ情報を含むパケットが存在する場合には、これらの管理ネットワーク１２，１３に設けられた第２探索処理装置１４-2及び第３探索処理装置１４-3に対して、探索対象シグネチャ情報を含む探索依頼信号を送信する。更に、各探索処理装置１４-2，１４-3による探索結果情報を取得してＩＳＰネットワーク１００全体に渡る探索処理を実行する。
【００４６】
以下、図８に示すシーケンス図を参照して、各探索処理装置１４-1〜１４-3による攻撃端末２２の探索処理の手順について説明する。始めに、管理ネットワーク１１に設けられた探索処理装置１４-1は、探索対象シグネチャ情報に基づいて、管理ネットワーク１１内に設けられた各プローブ１８から、探索対象シグネチャ情報を含むパケットが記録されているものを探索する（ステップＡ１１）。
【００４７】
次いで、探索処理装置１４-1は、探索対象シグネチャ情報を含む探索依頼信号を、管理ネットワーク１２内に設置された第２探索処理装置１４-2に送信する（ステップＡ１２）。
【００４８】
第２探索処理装置１４-2は、管理ネットワーク１１との境界に設置されたルータ１７に接続された攻撃パケット特定装置１６に探索対象シグネチャ情報を登録し、且つ、管理ネットワーク１２内に設けられた各プローブ１８から、探索対象シグネチャ情報を含むパケットが記録されているものを探索する（ステップＢ１１）。
【００４９】
その後、探索処理装置１４-2は、探索対象シグネチャ情報を含む探索依頼信号、及び探索結果情報を、管理ネットワーク１３内に設置された第３探索処理装置１４-3に送信する（ステップＢ１２）。
【００５０】
第３探索処理装置１４-3は、管理ネットワーク１１との境界に設置されたルータ１７に接続された攻撃パケット特定装置１６に、探索対象シグネチャ情報を登録し、且つ、管理ネットワーク１３内に設けられた各プローブ１８から、探索対象シグネチャ情報を含むパケットが記録されているものを探索する（ステップＣ１１）。
【００５１】
その後、探索処理装置１４-3は、探索対象シグネチャ情報を含む探索依頼信号、及び探索結果情報を、第１探索処理装置１４-1に送信する（ステップＣ１２）。
【００５２】
そして、第１探索処理装置１４-1は、各管理ネットワーク１１、１２、１３での探索結果情報に基づいて、攻撃パケットの送信元である攻撃端末２２を探索することができる。
【００５３】
次に、図１２に示したフローチャートを参照して、攻撃パケット特定装置１６によるパケット検知処理の手順について説明する。始めに、攻撃パケット特定装置１６は、初期的なシグネチャ情報（攻撃パケットを示すシグネチャ情報）を登録し、図４に示したＲＡＭ１６２に記録する（ステップＳ１１）。この処理では、攻撃パケットであることが明らかであるシグネチャ情報を探索対象シグネチャ情報として登録する。例えば、前述したように、送信先がアドレス「Ａ」であり、ＴＣＰ（Transmission Control Protocol）のＳＹＮパケット（ＴＣＰのヘッダに付されるパケット）が１０００ｐｐｓ以上であるパケットを示すシグネチャ情報、或いは、送信先がアドレス「Ｂ」でありＩＣＭＰのecho replyが１００ｐｐｓ以上であるパケットを示すシグネチャ情報を登録する。
【００５４】
次いで、第１探索処理装置１４-1よりシグネチャ情報の設定要求が発生しているか否かを判定する（ステップＳ１２）。そして、設定要求が発生している場合には（ステップＳ１２でＹＥＳ）、設定要求されたシグネチャ情報を探索対象シグネチャ情報として登録し、ＲＡＭ１６２に記録する（ステップＳ１３）。この処理は、例えば、他の管理ネットワーク１２，１３より探索対象シグネチャ情報を含む探索依頼信号が送られてきた場合に、この探索対象シグネチャ情報をＲＡＭ１６２に記録する。この際、既に登録されてる探索対象シグネチャ情報を消去しても良いし、そのまま保存しても良い。その後、ステップＳ１４に処理を進める。また、シグネチャ情報の設定要求が発生していない場合には（ステップＳ１２でＮＯ）、ステップＳ１３の処理を行わずにステップＳ１４に処理を進める。
【００５５】
次いで、攻撃パケット特定装置１６は、ＲＡＭ１６２に登録されている探索シグネチャ情報に基づき、ルータ１７を通過するパケットを検知し（ステップＳ１４）、このパケットのシグネチャ情報とＲＡＭ１６２に記録されている探索対象シグネチャ情報が一致するか否かを判定する（ステップＳ１５）。そして、一致する場合には（ステップＳ１５でＹＥＳ）、第１探索処理装置１４-1に探索要求を出力する（ステップＳ１６）。
【００５６】
即ち、初期的に登録した探索対象シグネチャ情報を含むパケットの受信が検知された場合には、ＩＳＰネットワーク１００内のある端末装置から攻撃パケットが送信されているものと判断して、第１探索処理装置１４-1に対して探索要求を出力する。また、他の管理ネットワーク１２，１３の第２，第３探索処理装置１４-2，１４-3より探索依頼信号が送信された場合には、この探索依頼信号に含まれる探索対象シグネチャ情報を含むパケットが受信されているか否かを判断し、受信されている場合には、第１探索処理装置１４-1に対して探索要求を出力する。
【００５７】
他方、探索対象シグネチャ情報と一致しない場合には（ステップＳ１５でＮＯ）、本処理を終了する。
【００５８】
次に、図１３に示すフローチャートを参照して、第１探索処理装置１４-1による探索処理の手順について説明する。始めに、第１探索処理装置１４-1は、シグネチャ情報の探索要求の受け付けを行う（ステップＳ３１）。
【００５９】
そして、探索要求が発生した場合には、この探索要求が自管理ネットワーク１１内の攻撃パケット特定装置１６より出力されたものか、或いは他の管理ネットワーク１２，１３より送信されたものかを判断する（ステップＳ３２）。
【００６０】
その結果、自管理ネットワーク１１内の攻撃パケット特定装置１６より出力されたものである場合には（ステップＳ３２でＹＥＳ）、自管理ネットワーク１１内の各プローブ１８に、探索対象シグネチャ情報を含むパケットが存在するか否かを問い合わせる（ステップＳ３４）。
【００６１】
次いで、第１探索処理装置１４-1は、問い合わせの結果を解析する（ステップＳ３５）。この処理により、探索対象シグネチャ情報を含むパケットが通過したプローブ１８を特定することができる。第１探索処理装置１４-1は、ステップＳ３５の処理での解析結果に基づいて、攻撃端末を探索する処理を実行する。
【００６２】
その後、攻撃端末が特定されたか否かを判断し（ステップＳ３６）、特定されない場合には（ステップＳ３６でＮＯ）、他の管理ネットワーク１２，１３に探索依頼信号を送信する（ステップＳ３７）。この探索依頼信号には、探索対象シグネチャ情報が含まれている。
【００６３】
更に、他の管理ネットワーク１２，１３より送信される探索結果情報を受け付ける（ステップＳ３８）。即ち、ステップＳ３７の処理で他の管理ネットワーク１２，１３に送信した探索依頼信号に対する応答信号である探索結果情報を取得する。この探索結果情報により、ＩＳＰネットワーク１００内での攻撃パケットの送信元となる攻撃端末が特定される。
【００６４】
そして、ステップＳ３６の処理で攻撃端末が特定したと判断された場合、及びステップＳ３８の処理が終了した場合には、第１探索処理装置１４-1は、特定した攻撃端末が自管理ネットワーク１１内であるか、或いは他の管理ネットワーク１２，１３であるかを判断し（ステップＳ３９）、自管理ネットワーク１１内である場合には（ステップＳ３９でＹＥＳ）、自管理ネットワーク１１の管理者に攻撃端末の情報を通知する（ステップＳ４０）。
【００６５】
他方、攻撃端末が他の管理ネットワーク１２，１３である場合には（ステップＳ３９でＮＯ）、他の管理ネットワーク１２，１３に対して攻撃端末の情報を送信する（ステップＳ４１）。
【００６６】
また、発生した探索要求が、他の管理ネットワーク１２，１３より送信されたものである場合には（ステップＳ３２でＮＯ）、自管理ネットワーク１１と他の管理ネットワーク１２，１３との境界となるルータ１７に接続される攻撃パケット特定装置１６にシグネチャ情報の設定を要求する（ステップＳ４２）。その後、本処理を終了する。
【００６７】
こうして、第１探索処理装置１４-1により、自管理ネットワーク１１、及びこれと隣接する他の管理ネットワーク１２，１３のいずれかの端末より攻撃パケットが送信された場合に、この攻撃パケットの送信元となる攻撃端末を特定することができるのである。
【００６８】
このようにして、第１実施形態に係るネットワークのパケット探索システムでは、ＩＳＰネットワーク１００を構成する複数の管理ネットワーク１１〜１３のそれぞれに攻撃パケット特定装置１６を設置し、この攻撃パケット特定装置１６に、攻撃パケットであることを特定するための探索対象シグネチャ情報を記録する。
【００６９】
そして、管理ネットワーク１１にて、探索対象シグネチャ情報を含むパケットを受信した場合には、第１探索処理装置１４-1は、この情報に基づいて自管理ネットワーク１１内の各プローブ１８に問い合わせて、攻撃パケットの送信経路を探索する。更に、他の管理ネットワーク１２，１３に攻撃パケットの探索依頼信号を出力する。
【００７０】
そして、自管理ネットワーク１１では、該管理ネットワーク１１内での探索結果、及び他の管理ネットワーク１２，１３内での探索結果に基づいて、ＩＳＰネットワーク１００全体で攻撃パケットの送信元となる攻撃端末２２を特定し、これをネットワークの管理者に通知する。従って、複数の管理ネットワーク１１を経由して送信される攻撃パケットの送信元となる攻撃端末を簡単な処理手順で特定することができる。
【００７１】
次に、第１実施形態の変形例に係るパケット探索システムについて説明する。図１５は、該変形例に係るパケット探索システムに用いられる攻撃パケット特定装置１６による処理手順を示すフローチャートであり、他の管理ネットワーク１２，１３より探索対象シグネチャ情報を含む探索依頼信号が送信されて、自管理ネットワーク１１内での攻撃パケットの探索を行う場合の処理手順を示している。
【００７２】
始めに、攻撃パケット特定装置１６は、予め設定されているシグネチャ情報の有効期間をチェックする（ステップＳ７１）。この有効期間は、例えば１０分等に決められる。そして、有効期間内でなければ（ステップＳ７２でＮＯ）、探索対象シグネチャ情報を解除する（ステップＳ７３）。即ち、他の管理ネットワーク１２，１３より、探索対象シグネチャ情報が転送されて、この探索対象シグネチャ情報についての探索処理を実行する場合には、予め設定されている有効期間が経過した場合には、探索対象シグネチャ情報を解除する。従って、探索対象シグネチャ情報は、自管理ネットワーク１１にて設定される独自のシグネチャ情報となる。その後、ステップＳ７４の処理に進む。他方、有効期間内であると判断された場合においても（ステップＳ７２でＹＥＳ）、ステップＳ７４の処理に進む。
【００７３】
次いで、攻撃パケット特定装置１６は、受信されるパケットのシグネチャ情報を検知し（ステップＳ７４）、このシグネチャ情報が探索対象シグネチャ情報と一致するか否かを判定する（ステップＳ７５）。
【００７４】
そして、一致すると判定された場合には（ステップＳ７５でＹＥＳ）、探索実施回数をインクリメントする（ステップＳ７６）。一致すると判定されない場合には（ステップＳ７５でＮＯ）、探索実施回数をインクリメントしない。
【００７５】
その後、探索実施回数が、予め設定した探索回数（例えば、３回）を上回ったか否かを判定し（ステップＳ７７）、上回った場合には（ステップＳ７７でＹＥＳ）、シグネチャ情報を解除し（ステップＳ７８）、その後、探索処理装置１４-1に探索要求を出力する。
【００７６】
他方、上回らない場合には（ステップＳ７７でＮＯ）、探索処理装置１４-1に探索要求を出力する（ステップＳ７９）。
【００７７】
上記の処理により、他の管理ネットワーク１２，１３より探索依頼信号が送信されて、自管理ネットワーク１１内で攻撃パケットの探索を行う場合には、探索を実行する時間、及び回数に制限が加えられるので、長時間に亘る探索処理の実行を強いられることが無く、リソースの負荷を軽減することができる。
【００７８】
次に、本発明の第２実施形態に係るパケット探索システムについて説明する。第２実施形態では、図３に示すように、探索対象となるシグネチャ情報を公開する探索情報公開サーバ３１を備え、各管理ネットワーク１１〜１３の探索処理装置１４-1〜１４-3は、この探索情報公開サーバ３１にアクセスすることにより、探索対象シグネチャを認識し、各管理ネットワーク１１〜１３内での探索処理を実行する。
【００７９】
図７は、図３に示した探索情報公開サーバ３１の制御回路の構成を示すブロック図である。図７に示すように、探索情報公開サーバ３１は、ＣＰＵ３１１と、該探索情報公開サーバ３１の処理に関するシステムプログラムが記憶されるＲＯＭ３１３と、ＣＰＵ３１１の演算処理に用いられる各種のデータを記憶するＲＡＭ３１２と、ハードディスク３１５と、ディスプレイ３１４、及び、通信部３１６を備えている。
【００８０】
通信部３１６は、各探索処理装置１４-1〜１４-3との間でデータ通信を行う機能を備えている。
【００８１】
ハードディスク３１５は、各種のアプリケーションプログラムを記憶するものであり、特に、いずれかの管理ネットワーク１１〜１３の探索処理装置１４-1〜１４-3より送信された探索対象シグネチャ情報を受信した場合には、この探索対象シグネチャ情報を公開するシグネチャ情報公開処理プログラムが記憶されている。
【００８２】
ＣＰＵ３１１は、装置全体の総括的な制御を行う。特に、通信部３１６にて探索依頼信号を受信した場合には、シグネチャ情報公開処理プログラムを実行し、探索依頼信号に含まれている探索対象シグネチャ情報を公開する処理を行う。この公開により、各管理ネットワーク１１〜１３の探索処理装置１４-1〜１４-3では、探索対象シグネチャ情報を認識できることになる。
【００８３】
図９は、第２実施形態に係るパケット探索システムの作用を示すシーケンス図であり、以下、図９を参照して、第２実施形態の作用について説明する。
【００８４】
始めに、管理ネットワーク１１に設けられた探索処理装置１４-1は、探索対象シグネチャ情報に基づいて、管理ネットワーク１１内に設けられた各プローブ１８から、探索対象シグネチャ情報を含むパケットが記録されているものを探索する（ステップＡ２１）。次いで、探索処理装置１４-1は、探索対象シグネチャ情報を含む探索依頼信号を、探索情報公開サーバ３１に送信し、且つ登録する（ステップＡ２２）。
【００８５】
また、管理ネットワーク１２，１３に設置された第２探索処理装置１４-2及び第３探索処理装置１４-3は、所定時間の経過毎に探索情報公開サーバ３１にアクセスして、探索対象シグネチャ情報が公開されている場合には、これを取得する（ステップＢ２１）。そして、探索対象シグネチャ情報が取得された場合には、この探索対象シグネチャ情報に基づいて、管理ネットワーク１２，１３内を探索する（ステップＢ２２）。その後、探索結果情報を管理ネットワーク１１の探索処理装置１４-1に送信する（ステップＢ２３）。なお、この処理では、探索結果情報を探索情報公開サーバ３１に送信し、該探索情報公開サーバ３１を経由して探索処理装置１４-1に送信するようにしてもよい。
【００８６】
探索処理装置１４-1では、自管理ネットワーク１１内での探索結果、及び第２，第３探索処理装置１４-2，１４-3より送信された探索結果を用いて、攻撃パケットの送信元なる攻撃端末を特定する。
【００８７】
次に、図１６に示すフローチャートを参照して、第２実施形態に係るパケット探索システムに係る各探索処理装置１４-1〜１４-3による探索情報公開サーバ３１へのアクセス処理の手順について説明する。なお、一例として第１探索処理装置１４-1について説明する。
【００８８】
始めに、探索処理装置１４-1は、探索情報公開サーバ３１にアクセスする（ステップＳ９１）。次いで、自管理ネットワーク１１に対する探索依頼信号が存在するか否かを判定する（ステップＳ９２）。そして、探索依頼信号が存在する場合には（ステップＳ９２でＹＥＳ）、自管理ネットワーク１１の境界に設けられる攻撃パケット特定装置１６に、探索依頼信号に含まれる探索対象シグネチャ情報を設定するように要求する（ステップＳ９３）。また、探索依頼信号が存在しない場合には（ステップＳ９２でＮＯ）、ステップＳ９３の処理を行わない。
【００８９】
その後、第１探索処理装置１４-1は、１分間が経過したか否かを判断し（ステップＳ９４）、経過した場合には、ステップＳ９１の処理に戻る。即ち、各管理ネットワーク１１〜１３内に設けられる探索処理装置１４-1〜１４-3は、１分間が経過する毎に探索情報公開サーバ３１にアクセスして自管理ネットワークに対する探索依頼信号（探索対象シグネチャ情報）が公開されているか否かを判断し、公開されている場合にはこの探索依頼信号に基づいた探索を行い、その探索結果情報を探索依頼信号の送信元となる管理ネットワークに送信する。
【００９０】
このようにして、第２実施形態に係るパケット探索システムでは、探索情報公開サーバ３１を用いて探索対象シグネチャ情報を各管理ネットワーク１１〜１３に対して公開し、各管理ネットワーク１１〜１３に設置された探索処理装置１４-1〜１４-3は能動的にこの公開情報を取得して探索を行うので、前述した第１実施形態で示した効果に加え、探索依頼情報を一元的に管理することができ、管理者の労力を軽減することができる。
【００９１】
次に、本発明の第３実施形態について説明する。第３実施形態に係るパケット探索システムでは、前述の第１実施形態で用いたシグネチャ情報として、パケットに対して各種のハッシュ関数を用いて求めたハッシュ値を用いる。即ち、攻撃パケット特定装置１６のＲＡＭ１６２（図４参照）には、ハッシュ関数及び攻撃パケットを特定するためのハッシュ値が記憶されている。ここで、各管理ネットワーク１１〜１３ではそれぞれ異なるハッシュ関数を用いており、従って、同一のパケットに対して各管理ネットワーク１１〜１３毎に異なるハッシュ値が設定されることになる。
【００９２】
また、管理ネットワーク１１〜１３内に設けられる各プローブ１８は、図６に示すように、対応するルータ１７を通過したパケットを記憶するパケット記録部１８１、ハッシュ関数を記憶するハッシュ関数記録部１８２、及びパケット記録部１８１に記憶されている各パケットに対してハッシュ関数を用いて求めたハッシュ値を記憶するハッシュ値記録部１８３を備えている。
【００９３】
以下では、管理ネットワーク１１で使用されるハッシュ関数を第１ハッシュ関数とし、管理ネットワーク１２で使用されるハッシュ関数を第２ハッシュ関数（他のハッシュ関数）とする。
【００９４】
以下、第３実施形態に係るパケット探索システムの作用について説明する。図１０は、管理ネットワーク１１，１２に設けられる探索処理装置１４-1，１４-2による攻撃端末２２の探索処理の手順を示すシーケンス図である。なお、管理ネットワーク１３の探索処理装置１４-3については省略している。
【００９５】
始めに、管理ネットワーク１１に設けられた探索処理装置１４-1は、探索対象となるハッシュ値に基づいて、管理ネットワーク１１内に設けられた各プローブ１８から、探索対象となるハッシュ値のパケットが記録されているものを探索する（ステップＡ３１）。
【００９６】
次いで、探索処理装置１４-1は、隣接する管理ネットワーク１２に対して、該管理ネットワーク１２で用いられる第２ハッシュ関数を問い合わせる（ステップＡ３２）。
【００９７】
管理ネットワーク１２に設けられる第２探索処理装置１４-2は、管理ネットワーク１２で用いられている第２ハッシュ関数、及びマスク情報を第１探索処理装置１４-1に送信する（ステップＢ３１）。
【００９８】
そして、第１探索処理装置１４-1は、ステップＢ３１の処理で送信された第２ハッシュ関数及びマスク情報を用いて、パケットのハッシュ値（他のハッシュ値）を再計算する（ステップＡ３３）。
【００９９】
その後、第１探索処理装置１４-1は、再計算したハッシュ値を含む探索依頼信号を第２探索処理装置１４-2に送信する（ステップＡ３４）。
【０１００】
第２探索処理装置１４-2は、再計算後のハッシュ値を用いて管理ネットワーク１２内に設けられる各プローブ１８を探索し、再計算後のハッシュ値となるパケットが通過したプローブ１８を特定する（ステップＢ３２）。その後、第２探索処理装置１４-2は、ステップＢ３２による探索結果情報を第１探索処理装置１４-1に送信する（ステップＢ３３）。
【０１０１】
そして、第１探索処理装置１４-1では、自管理ネットワーク１１内での探索結果と、他の管理ネットワーク１２での探索結果を用いて、ＩＳＰネットワーク内にて攻撃パケットの送信元となる攻撃端末２２を特定することができる。
【０１０２】
次に、第３実施形態に係るパケット探索システムに用いられる攻撃パケット特定装置１６、探索処理装置１４-1、及びプローブ１８の処理手順について説明する。
【０１０３】
攻撃パケット特定装置１６の処理は、前述した図１２に示した処理で、シグネチャ情報の代わりにハッシュ値を用いることで実行することができる。詳細な説明については省略する。
【０１０４】
次に、図１７に示すフローチャートを参照して、第１探索処理装置１４-1による探索処理の処理手順について説明する。始めに、第１探索処理装置１４-1は、ハッシュ値の探索要求の受け付けを行う（ステップＳ１１１）。次いで、管理ネットワーク１１内に設けられた各プローブ１８に対して、ハッシュ値の問い合わせを行う（ステップＳ１１２）。
【０１０５】
その後、第１探索処理装置１４-1は、ステップＳ１１２の処理で問い合わせた結果を解析する。即ち、各プローブ１８内に、攻撃パケットに対応するハッシュ値が記録されているか否かを検索し、この検索結果に基づいて、攻撃パケットが通過したルータ１７を認識する。
【０１０６】
そして、ステップＳ１１３の処理による解析結果により、攻撃パケットの送信元となる攻撃端末が特定できたか否かを判定する（ステップＳ１１４）。その結果、攻撃端末が特定できた場合には（ステップＳ１１４でＹＥＳ）、この探索結果をネットワークの管理者に通知して（ステップＳ１１５）、本処理を終了する。
【０１０７】
他方、攻撃端末が特定できない場合には（ステップＳ１１４でＮＯ）、隣接する管理ネットワーク１２，１３に対して、これらの管理ネットワーク１２，１３で使用されているハッシュ関数を問い合わせる（ステップＳ１１６）。
【０１０８】
その後、第１探索処理装置１４-1は、自管理ネットワーク１１で使用している第１ハッシュ関数と、他の管理ネットワーク１２又は１３で使用されている第２ハッシュ関数が異なるか否かを判定し（ステップＳ１１７）、異なる場合には（ステップＳ１１７でＹＥＳ）、攻撃パケット特定装置１６に対して、第２ハッシュ関数でパケットを再計算するように要求する（ステップＳ１１８）。その結果、第２ハッシュ関数を用いて求めたハッシュ値が取得される。
【０１０９】
次いで、第１探索処理装置１４-1は、他の管理ネットワーク１２又は１３に対し、ステップＳ１１８の処理で求めたハッシュ値（他のハッシュ値）を含む探索依頼信号を送信する（ステップＳ１１９）。その後、他の管理ネットワーク１２又は１３より、第２ハッシュ関数を用いて求めたハッシュ値に基づく探索結果を取得することができる（ステップＳ１２０）。
【０１１０】
次に、図１４に示すフローチャートを参照して、プローブ１８による処理手順について説明する。始めに、プローブ１８は、探索処理装置１４-1によるハッシュ値の問い合わせを受け付ける（ステップＳ５１）。
【０１１１】
次いで、問い合わせされたハッシュ値を検索する（ステップＳ５２）。この処理では、図６に示したハッシュ値記録部１８３内に、攻撃パケットに対応するハッシュ値が存在するか否かを検索する。
【０１１２】
そして、この検索結果を探索処理装置１４-1に送信する（ステップＳ５３）。これにより探索処理装置１４-1では、プローブ１８に記録されているハッシュ値を認識することができ、攻撃パケットの探索処理に役立てることができる。
【０１１３】
このようにして、第３実施形態に係るパケット探索システムでは、ＩＳＰネットワーク１００を構成する複数の管理ネットワーク１１〜１３のそれぞれに攻撃パケット特定装置１６を設置し、この攻撃パケット特定装置１６に、攻撃パケットであることを特定するための探索対象となるハッシュ値を記録する。
【０１１４】
そして、管理ネットワーク１１にて、探索対象のハッシュ値となるパケットを受信した場合には、第１探索処理装置１４-1は、この情報に基づいて自管理ネットワーク１１内の各プローブに問い合わせて、攻撃パケットの送信経路を探索する。更に、他の管理ネットワーク１２，１３に対して、これらの管理ネットワーク１２，１３で用いられるハッシュ関数（第２ハッシュ関数）を問い合わせ、第２ハッシュ関数を取得する。更に、第１探索処理装置１４-1は、この第２ハッシュ関数を用いて演算したハッシュ値を含む探索依頼信号を、他の管理ネットワーク１２，１３に送信するので、他の管理ネットワーク１２，１３内でのハッシュ値に基づく探索結果を取得できる。
【０１１５】
そして、自管理ネットワーク１１では、該管理ネットワーク１１内での探索結果、及び他の管理ネットワーク１２，１３内での探索結果に基づいて、ＩＳＰネットワーク１００全体で攻撃パケットの送信元となる端末装置を特定し、これをネットワークの管理者に通知する。従って、各管理ネットワーク１１〜１３で用いられるハッシュ関数が異なる場合であっても、複数の管理ネットワーク１１を経由して送信される攻撃パケットの送信元となる攻撃端末を簡単な処理手順で特定することができる。
【０１１６】
また、攻撃パケットを判別するためにハッシュ値を用いているので、異なる攻撃端末から同時に攻撃パケットが送信された場合であっても、各攻撃端末を個別に探索することができ、より高精度なパケット探索が可能となる。
【０１１７】
次に、本発明の第４実施形態について説明する。第４実施形態に係るパケット探索システムでは、前述の第３実施形態と同様に、パケットに対して各種のハッシュ関数を用いて求めたハッシュ値を用いる。即ち、攻撃パケット特定装置１６のＲＡＭ１６２（図４参照）には、ハッシュ関数及び攻撃パケットを特定するためのハッシュ値が記憶されている。また、第３実施形態と同様に、各管理ネットワーク１１〜１３ではそれぞれ異なるハッシュ関数を用いている。
【０１１８】
以下では、管理ネットワーク１１で使用されるハッシュ関数を第１ハッシュ関数とし、管理ネットワーク１２で使用されるハッシュ関数を第２ハッシュ関数とする。
【０１１９】
以下、第４実施形態に係るパケット探索システムの作用について説明する。図１１は、管理ネットワーク１１，１２に設けられる探索処理装置１４-1，１４-2による攻撃端末２２の探索処理の手順を示すシーケンス図である。なお、管理ネットワーク１３の探索処理装置１４-3については省略している。
【０１２０】
始めに、管理ネットワーク１１に設けられた探索処理装置１４-1は、探索対象となるハッシュ値に基づいて、管理ネットワーク１１内に設けられた各プローブ１８から、探索対象となるハッシュ値のパケットが記録されているものを探索する（ステップＡ４１）。
【０１２１】
次いで、第１探索処理装置１４-1は、隣接する管理ネットワーク１２に対し、自管理ネットワーク１１で使用しているハッシュ関数（第１ハッシュ関数）、及びマスク情報を、隣接する管理ネットワーク１２の探索処理装置１４-2に送信する（ステップＡ４２）。
【０１２２】
管理ネットワーク１２に設けられる第２探索処理装置１４-2は、管理ネットワーク１１で用いられている第１ハッシュ関数及びマスク情報を受信し、更にこれらの情報を用いて各プローブ１８に記録されているパケットに対してハッシュ値を算出し、このハッシュ値を各プローブ１８内に記録する（ステップＢ４１）。この記録処理が終了した場合には、記録完了信号を第１探索処理装置１４-1に送信する。
【０１２３】
そして、第１探索処理装置１４-1は、自管理ネットワーク１１で使用している第１ハッシュ関数及びマスク情報を用いて求めたハッシュ値を含む探索依頼信号を、第２探索処理装置１４-2に送信する（ステップＡ４３）。
【０１２４】
その後、第２探索処理装置１４-2は、受信した探索依頼信号に含まれるハッシュ値（このハッシュ値は第１ハッシュ関数により求められている）を用いて管理ネットワーク１２内に設けられる各プローブ１８を探索し、このハッシュ値となるパケットが通過したルータ１７を特定する（ステップＢ４２）。その後、第２探索処理装置１４-2は、ステップＢ４２の処理により得られた探索結果情報を第１探索処理装置１４-1に送信する（ステップＢ４３）。
【０１２５】
そして、第１探索処理装置１４-1では、自管理ネットワーク１１内での探索結果と、他の管理ネットワーク１２での探索結果を用いて、ＩＳＰネットワーク１００内にて攻撃パケットを特定することができる（ステップＡ４４）。
【０１２６】
次に、第４実施形態に係るパケット探索システムに用いられる攻撃パケット特定装置１６、探索処理装置１４-1、及びプローブ１８の処理について説明する。
【０１２７】
攻撃パケット特定装置１６の処理は、前述した図１２に示したパケット検知処理で、シグネチャ情報の代わりにハッシュ値を用いることで実行することができる。詳細な説明については省略する。
【０１２８】
次に、図１８に示すフローチャートを参照して、第２探索処理装置１４-2による探索処理の処理手順について説明する。始めに、第２探索処理装置１４-2は、第１探索処理装置１４-1より送信される探索依頼信号の受け付けを行う（ステップＳ１３１）。
【０１２９】
次いで、第２探索処理装置１４-2は、管理ネットワーク１１で使用されている第１ハッシュ関数を、管理ネットワーク１２内の各プローブ１８にて登録済みであるか否かを判定する（ステップＳ１３２）。即ち、図６に示したハッシュ関数記録部１８２に、隣接する管理ネットワーク１１で使用されている第１ハッシュ関数が記録されているか否かを判定する。
【０１３０】
そして、第１ハッシュ関数を取得していない場合には（ステップＳ１３２でＮＯ）、管理ネットワーク１２内に設けられた各プローブ１８に対して、第１ハッシュ関数の登録を要求する（ステップＳ１３９）。
【０１３１】
その後、第１ハッシュ関数の登録が完了した場合に、この応答信号を取得し（ステップＳ１４０）、ステップＳ１３１の処理に戻る。この処理により、管理ネットワーク１２内に設けられる各プローブ１８では、記録されている各パケットに対するハッシュ値が求められ、図６に示すハッシュ値記録部１８３内に記録される。
【０１３２】
他方、第１ハッシュ関数が登録済みである場合には（ステップＳ１３２でＹＥＳ）、第２探索処理装置１４-2は、各プローブ１８に対して、探索対象となるハッシュ値を問い合わせる（ステップＳ１３３）。
【０１３３】
その後、ハッシュ値を解析する（ステップＳ１３４）。この処理では、管理ネットワーク１２内の各プローブ１８に記録されているパケットは、第１ハッシュ関数（管理ネットワーク１１で使用されているハッシュ関数）を用いて、ハッシュ値を求めているので、第１探索処理装置１４-1より出力された探索依頼信号に含まれて探索対象のハッシュ値と、各プローブ１８に記録されているハッシュ値とをそのまま対比することができ、探索対象となるハッシュ値のパケットが通過したルータ１７を特定することができる。
【０１３４】
そして、第２探索処理装置１４-2では、ステップＳ１３４の解析の結果、攻撃パケットの送信元となる攻撃端末が特定できたか否かを判断し（ステップＳ１３５）、特定されない場合には（ステップＳ１３５でＮＯ）、隣接する管理ネットワーク１３に探索依頼信号を送信する（ステップＳ１４１）。
【０１３５】
更に、隣接する管理ネットワーク１３より送信される探索結果情報を受け付ける（ステップＳ１４２）。即ち、ステップＳ１４１の処理で隣接する管理ネットワーク１３に送信した探索依頼信号に対する応答信号である探索結果情報を取得する。その結果、攻撃パケットの送信元となる攻撃端末を特定することができる。
【０１３６】
また、ステップＳ１３５の処理で攻撃端末が特定したと判断された場合、或いはステップＳ１４２の処理が終了した場合には、第２探索処理装置１４-2は、特定した攻撃端末が管理ネットワーク１２内であるか、或いは隣接する管理ネットワーク１３であるかを判断し（ステップＳ１３６）、管理ネットワーク１２内である場合には（ステップＳ１３６でＹＥＳ）、管理ネットワーク１２及び送信元の管理ネットワーク１１の管理者に攻撃端末の情報を通知する（ステップＳ１３７）。
【０１３７】
他方、攻撃端末が隣接する管理ネットワーク１３である場合には（ステップＳ１３６でＮＯ）、隣接する管理ネットワーク１３に対して攻撃端末の情報を送信する（ステップＳ１３８）。その後、本処理を終了する。
【０１３８】
こうして、管理ネットワーク１１に設置される第１探索処理装置１４-1より探索依頼信号が送信された場合に、この探索依頼信号に含まれるハッシュ値を探索することにより、探索対象となるハッシュ値の送信経路を探索することができ、ひいては攻撃パケットの送信元となる攻撃端末を特定することができるのである。
【０１３９】
このようにして、第４実施形態に係るパケット探索システムでは、ＩＳＰネットワーク１００を構成する複数の管理ネットワーク１１〜１３のそれぞれに攻撃パケット特定装置１６を設置し、この攻撃パケット特定装置１６に、攻撃パケットであることを特定するための探索対象となるハッシュ値を記録する。
【０１４０】
そして、管理ネットワーク１１にて、探索対象のハッシュ値となるパケットを受信した場合には、第１探索処理装置１４-1は、この情報に基づいて自管理ネットワーク１１内の各プローブ１８に問い合わせて、攻撃パケットの送信経路を探索する。
【０１４１】
更に、隣接する管理ネットワーク１２に対して、自管理ネットワーク１１で用いられるハッシュ関数（第１ハッシュ関数）及びマスク情報を送信する。これにより、管理ネットワーク１２では、第１ハッシュ関数及びマスク情報を各プローブ１８に記録し、且つこの第１ハッシュ関数で求めたハッシュ値を記録する。従って、自管理ネットワーク１１の第１探索処理装置１４-1は、自管理ネットワーク１１で使用している第１ハッシュ関数で算出した探索対象のハッシュ値を含む探索依頼信号を隣接する管理ネットワーク１２に送信することにより、管理ネットワーク１２では、この探索対象のハッシュ値を用いて、攻撃パケットが通過したルータ１７を認識できる。
【０１４２】
そして、自管理ネットワーク１１では、該管理ネットワーク１１内での探索結果、及び隣接する管理ネットワーク１２内での探索結果に基づいて、ＩＳＰネットワーク１００全体で攻撃パケットの送信元となる端末装置を特定し、これをネットワークの管理者に通知する。従って、複数の管理ネットワーク１１〜１３を経由して送信される攻撃パケットの送信元となる攻撃端末を簡単な処理手順で特定することができる。
【０１４３】
この際、攻撃パケットを判別するためにハッシュ値を用いているので、異なる攻撃端末から同時に攻撃パケットが送信された場合であっても、各攻撃端末を個別に探索することができるので、より高精度なパケット探索が可能となる。
【０１４４】
また、攻撃パケットにより被害を受けた端末装置の情報を、他の管理ネットワーク１２に対して送信することが無く、秘匿性を向上させることができる。
【０１４５】
また、前述した第４実施形態において、各プローブ１８に記録された第１ハッシュ関数、及びこの第１ハッシュ関数を用いて求めたハッシュ値に有効期限を設定し（例えば、１時間）、この有効期限が経過した場合には、第１ハッシュ関数、及びハッシュ値を消去するように構成することも可能である。このような構成によれば、各プローブ１８に記録容量が増大することを防止でき、リソース負荷を軽減することができる。
【０１４６】
以上、本発明のネットワークのパケット探索システム、及び探索処理装置を図示の実施形態に基づいて説明したが、本発明はこれに限定されるものではなく、各部の構成は、同様の機能を有する任意の構成のものに置き換えることができる。
【産業上の利用可能性】
【０１４７】
本発明は、パケットの探索方式が異なる複数の管理ネットワーク間で攻撃端末を探索することに利用することができる。
【符号の説明】
【０１４８】
１００  ＩＳＰネットワーク（ネットワーク）
１１，１２，１３  管理ネットワーク（単位ネットワーク）
１４-1〜１４-3  探索処理装置
１５  サーバ
１６  攻撃パケット特定装置（ＩＤＳ）（攻撃パケット特定手段）
１７  ルータ
１８  プローブ
２１  インターネット
２２  攻撃端末
３１  探索情報公開サーバ
【図１】
2011155343.tif 000003
【図２】
2011155343.tif 000004
【図３】
2011155343.tif 000005
【図４】
2011155343.tif 000006
【図５】
2011155343.tif 000007
【図６】
2011155343.tif 000008
【図７】
2011155343.tif 000009
【図８】
2011155343.tif 000010
【図９】
2011155343.tif 000011
【図１０】
2011155343.tif 000012
【図１１】
2011155343.tif 000013
【図１２】
2011155343.tif 000014
【図１３】
2011155343.tif 000015
【図１４】
2011155343.tif 000016
【図１５】
2011155343.tif 000017
【図１６】
2011155343.tif 000018
【図１７】
2011155343.tif 000019
【図１８】
2011155343.tif 000020