(57)【要約】【課題】それぞれ異なるネットワーク間で行われる通信であっても、不正パケットによる攻撃を与えている攻撃端末を特定することができるようにする。【解決手段】本発明の攻撃端末特定装置は、第１ネットワーク又は第２ネットワークから受信した受信パケットに含まれるアドレス情報の変換を行うアドレス変換手段と、第１ネットワークと第２ネットワークとの間の通信に係る送信元及び送信先間のセッションを、送信元の変換前及び変換後のアドレス情報と、送信先の変換前及び変換後のアドレス情報と、当該セッションを一意に特定するセッション特定情報とを対応付けて格納するセッションテーブルと、被害を受けた送信先から、不正パケットの送信元とのセッションを特定するセッション特定情報を含む被害申告パケットを受信すると、セッションテーブルを参照して、セッション特定情報に対応付けられた送信元を特定する攻撃特定手段とを備える。【選択図】      図１
2011146968.tif 000002
【特許請求の範囲】
【請求項１】
第１ネットワークと第２ネットワークとの間の通信に係る送信先に対して、不正パケットを送信する送信元を特定する攻撃端末特定装置において、
上記第１ネットワーク又は上記第２ネットワークから受信した受信パケットに含まれるアドレス情報の変換を行うアドレス変換手段と、
上記第１ネットワークと上記第２ネットワークとの間の通信に係る送信元及び送信先間のセッションを、上記送信元の変換前及び変換後のアドレス情報と、上記送信先の変換前及び変換後のアドレス情報と、当該セッションを一意に特定するセッション特定情報とを対応付けて格納するセッションテーブルと、
被害を受けた送信先から、上記不正パケットの送信元とのセッションを特定する上記セッション特定情報を含む被害申告パケットを受信すると、上記セッションテーブルを参照して、上記セッション特定情報に対応付けられた上記送信元を特定する攻撃特定手段と
を備えることを特徴とする攻撃端末特定装置。
【請求項２】
上記セッションテーブルの各セッションデータにタイマが対応付けられており、
上記タイマの期限切れしたセッションデータを削除するセッション監視手段を備えることを特徴とする請求項１に記載の攻撃端末特定装置。
【請求項３】
第１ネットワークと第２ネットワークとの間の通信に係る送信先に対して、不正パケットを送信する送信元を特定する攻撃端末特定プログラムにおいて、
上記第１ネットワークと上記第２ネットワークとの間の通信に係る送信元及び送信先間のセッションを、上記送信元の変換前及び変換後のアドレス情報と、上記送信先の変換前及び変換後のアドレス情報と、当該セッションを一意に特定するセッション特定情報とを対応付けて格納するセッションテーブルを備えるコンピュータを、
上記第１ネットワーク又は上記第２ネットワークから受信した受信パケットに含まれるアドレス情報の変換を行うアドレス変換手段、
上記セッションテーブルを用いてセッションを管理するセッション管理手段、
被害を受けた送信先から、上記不正パケットの送信元とのセッションを特定する上記セッション特定情報を含む被害申告パケットを受信すると、上記セッションテーブルを参照して、上記セッション特定情報に対応付けられた上記送信元を特定する攻撃特定手段
として機能させることを特徴とする攻撃端末特定プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、攻撃端末特定装置及びプログラムに関し、例えば、ＩＰｖ６ネットワークとＩＰｖ４ネットワークのように、異なるネットワークに属する端末間で、不正な攻撃を行う攻撃元端末を特定する攻撃端末特定装置及びプログラムに適用し得るものである。
【背景技術】
【０００２】
近年、ネットワークの拡大に伴い、不正攻撃等による被害規模も拡大している。そのため、このような不正攻撃等に対するセキュリティ対策が課題となっている。
【０００３】
また、アドレス資源の枯渇化問題に対して、ＩＰｖ６技術の導入が期待されているが、一気にＩＰｖ４からＩＰｖ６に切り替えられるのではなく、ＩＰｖ４とＩＰｖ６とが混在したネットワーク通信が行われることが想定されている。
【０００４】
そのため、不正攻撃等に対するセキュリティ対策も、ＩＰｖ４とＩＰｖ６とが混在するネットワークに対応できることが望まれる。
【０００５】
非特許文献１には、ネットワークを流れるパケットをプローブ装置がモニタし、そのモニタしたパケットのハッシュ値を蓄積して、攻撃元の端末を特定するための情報として利用するＩＰトレースバック技術が記載されている。
【０００６】
また、特許文献１には、ＩＰｖ６ネットワーク及びＩＰｖ４ネットワーク間の通信において、ＩＰｖ６における認証通信技術を、ＩＰｖ４と相互接続するときにも維持する技術が記載されている。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００８−１９９５１３号公報
【非特許文献】
【０００８】
【非特許文献１】Luis  A.Sanchez，Walter  C.Milliken，Alex  C.Snoeren，Fabrice  Tchakountio，Christine  E.Jones，Stephen  T.Kent，Craig  Partridge，and  W.Timothy  Strayer“Hardware  Support  For  a  Hash-Based  IP  Traceback”http://cseweb.ucsd.edu/~snoeren/papers/spie-discex.pdf
【発明の概要】
【発明が解決しようとする課題】
【０００９】
しかしながら、非特許文献１の記載技術は、すべてのネットワークトポロジがＩＰｖ４若しくはＩＰｖ６のいずれである場合に有効な技術となるが、被害端末と攻撃端末とがそれぞれ異なるＩＰプロトコルを利用する場合に、適用できないという課題がある。
【００１０】
また、特許文献１の記載技術は、例えばＤｏＳ（Denial  Of  Service  Attack）攻撃等のように認証通信が正しく実施されたうえで、受信側の端末に多量のトラヒックを送り込み、受信側の端末で提供するサービスの正常稼動に影響を及ぼすような不正アクセスには対応できないという課題がある。
【００１１】
そのため、それぞれ異なるネットワーク間の通信において、不正攻撃を行う攻撃元の端末を特定することができる攻撃端末特定装置及びプログラムが求められている。
【課題を解決するための手段】
【００１２】
かかる課題を解決するために、第１の本発明の攻撃端末特定装置は、第１ネットワークと第２ネットワークとの間の通信に係る送信先に対して、不正パケットを送信する送信元を特定する攻撃端末特定装置において、（１）第１ネットワーク又は第２ネットワークから受信した受信パケットに含まれるアドレス情報の変換を行うアドレス変換手段と、（２）第１ネットワークと第２ネットワークとの間の通信に係る送信元及び送信先間のセッションを、送信元の変換前及び変換後のアドレス情報と、送信先の変換前及び変換後のアドレス情報と、当該セッションを一意に特定するセッション特定情報とを対応付けて格納するセッションテーブルと、（３）被害を受けた送信先から、不正パケットの送信元とのセッションを特定するセッション特定情報を含む被害申告パケットを受信すると、セッションテーブルを参照して、セッション特定情報に対応付けられた送信元を特定する攻撃特定手段とを備えることを特徴とする。
【００１３】
第２の本発明の攻撃端末特定プログラムは、第１ネットワークと第２ネットワークとの間の通信に係る送信先に対して、不正パケットを送信する送信元を特定する攻撃端末特定プログラムにおいて、第１ネットワークと第２ネットワークとの間の通信に係る送信元及び送信先間のセッションを、送信元の変換前及び変換後のアドレス情報と、送信先の変換前及び変換後のアドレス情報と、当該セッションを一意に特定するセッション特定情報とを対応付けて格納するセッションテーブルを備えるコンピュータを、（１）第１ネットワーク又は第２ネットワークから受信した受信パケットに含まれるアドレス情報の変換を行うアドレス変換手段、（２）セッションテーブルを用いてセッションを管理するセッション管理手段、（３）被害を受けた送信先から、不正パケットの送信元とのセッションを特定するセッション特定情報を含む被害申告パケットを受信すると、セッションテーブルを参照して、セッション特定情報に対応付けられた送信元を特定する攻撃特定手段として機能させることを特徴とする。
【発明の効果】
【００１４】
本発明によれば、それぞれ異なるネットワーク間で行われる通信であっても、不正パケットによる攻撃を与えている攻撃端末を特定することができる。
【図面の簡単な説明】
【００１５】
【図１】実施形態のネットワークの全体構成を示す全体構成図である。
【図２】実施形態のトランスレータの内部構成を示す内部構成図である。
【図３】実施形態の被害申告パケットの構成を示す構成図である。
【図４】実施形態のセッションテーブルの構成を示す構成図である。
【図５】実施形態のトランスレータにおける攻撃端末特定処理を示すフローチャートである。
【発明を実施するための形態】
【００１６】
（Ａ）実施形態
以下では、本発明の攻撃端末特定装置及びプログラムの実施形態を、図面を参照しながら説明する。
【００１７】
（Ａ−１）実施形態の構成
図１は、実施形態のネットワークの全体構成を示す全体構成図である。図１において、実施形態のネットワーク９は、ＩＰｖ６ネットワーク１と、ＩＰｖ４ネットワーク２と、インターネット３、ＩＰｖ６端末４、トランスレータ５、ＩＰｖ４サーバ６を少なくとも有して構成される。
【００１８】
ＩＰｖ６ネットワーク１は、例えばサービスプロバイダＩＳＰ−Ａが運営管理するネットワークであり、アドレス情報としてＩＰｖ６を採用するものである。ＩＰｖ６ネットワーク１は、トランスレータ５を介して、ＩＰｖ４を採用するインターネット３と接続している。
【００１９】
ＩＰｖ４ネットワーク２は、例えばサービスプロバイダＩＳＰ−Ｂが運営管理するネットワークであり、アドレス情報としてＩＰｖ４を採用するものである。また、ＩＰｖ４ネットワーク２は、後述するＩＰｖ４サーバ６を収容しており、接続するインターネット３を介して、ＩＰｖ４サーバ６が提供するサービス（例えば、Ｗｅｂサービスや映像配信サービス等）を提供するものである。
【００２０】
インターネット３は、ＩＰｖ６ネットワーク１とＩＰｖ４ネットワーク２との間に介在するネットワークであり、ＩＰｖ４を採用するネットワークである。ＩＰｖ６ネットワーク１上の通信端末とＩＰｖ４ネットワーク２上の通信端末との間で通信を行う場合には、インターネット３を介して行われるものとする。
【００２１】
ＩＰｖ６端末４は、ＩＰｖ６ネットワーク１に接続する通信端末である。ＩＰｖ６端末４は、トランスレータ５を介して、インターネット３に接続することができ、さらにＩＰｖ４ネットワーク２上のＩＰｖ４サーバ６にアクセスし得るものである。なお、この実施形態において、ＩＰｖ６端末４がＤｏＳ攻撃の攻撃元端末であるとする。
【００２２】
ＩＰｖ４サーバ６は、ＩＰｖ４ネットワーク２に収容されるサーバであり、例えば、Ｗｅｂサービスや映像配信サービス等の所定のサービスを提供するものである。なお、この実施形態において、ＩＰｖ４サーバ６がＩＰｖ６端末４からの攻撃を受ける被害端末であるとする。
【００２３】
トランスレータ５は、ＩＰｖ６ネットワーク１とインターネット３との境界に設けられたアドレス変換装置である。トランスレータ５は、ＩＰｖ６端末４とＩＰｖ４サーバ６との間の実際のアドレス情報と仮想アドレス情報とに基づき、当該セッションを一意に特定する情報を求め、このセッションを一意に特定する情報を用いてセッション管理をするものである。
【００２４】
またトランスレータ５は、被害端末からの被害申告情報を受けると、当該被害申告情報に含まれるセッションを一意に特定する情報に基づいて、当該被害端末と行っているセッションを特定し、当該セッション相手である通信端末を攻撃端末として特定するものである。
【００２５】
図２は、トランスレータ５の内部構成を示す内部構成図である。図２において、トランスレータ５は、転送部１０、セッションテーブル１１、セッション監視部１２、攻撃特定部１３を少なくとも有する。
【００２６】
転送部１０は、自ＩＳＰ−ＡのＩＰｖ６ネットワーク１からのＩＰｖ６パケットを受信し、当該ＩＰｖ６パケットをＩＰｖ４パケットに変換した後で、インターネット３に転送するものである。また、転送部１０は、インターネット３からのＩＰｖ４パケットを受信し、当該ＩＰｖ４パケットをＩＰｖ６パケットに変換した後で、自ＩＳＰ−ＡのＩＰｖ６ネットワーク１に転送するものである。
【００２７】
また、転送部１０は、被害申告パケットを受信すると、その被害申告パケットを攻撃特定部１３に与えるものである。
【００２８】
ここで、被害申告パケットは、被害端末側が、ＤｏＳ攻撃等の被害を受けていることを示すものである。この被害申告パケットは、例えば、被害端末から送信されたり、又はネットワーク上の不正攻撃を検出する不正攻撃検出装置（図示しない）等から送信される。
【００２９】
図３は、被害申告パケットの構成例を示す構成図である。図３に示すように、被害申告パケットは、ＩＰヘッダ２０１、ＵＤＰヘッダ２０２、ＵＤＰデータ２０３を有して構成されるものである。ＩＰヘッダ２０１には、被害端末であるＩＰｖ４端末のアドレス情報が設定され、ＵＤＰヘッダ２０２には、被害申告パケットであることを示す被害申告情報ヘッダが設定され、ＵＤＰデータ２０３には、後述するハッシュ値が設定される。なお、この実施形態と異なり、ＩＰｖ６端末４が攻撃を受ける被害端末とする場合は、被害申告パケットの構成は、ＩＰヘッダの部分がＩＰｖ６端末情報のアドレス情報が設定される（図示しない）。
【００３０】
また、転送部１０の主な機能としては、図２に示すように、パケット識別部１０１、アドレス変換部１０２、セッション管理部１０３、ハッシュ演算部１０４を有する。
【００３１】
パケット識別部１０１は、受信したパケットが、被害申告パケットであるか否かを識別するものである。パケット識別部１０１は、受信パケットのＵＤＰヘッダ２０２に被害申告情報ヘッダが設定されているか否かを確認することで、当該受信パケットが被害申告パケットであるか否かを判断する。また、パケット識別部１０１は、当該受信パケットが被害申告パケットである場合、当該被害申告パケットを攻撃特定部１３に与える。
【００３２】
アドレス変換部１０２は、自ＩＳＰ−ＡのＩＰｖ６ネットワーク１とインターネット３との間で授受されるパケットのアドレス情報の変換処理を行うものである。ここで、アドレス変換部１０２によるアドレス情報の変換方法は、種々の方法を適用することができ、ＩＰｖ６アドレスとＩＰｖ４アドレスとの間のアドレス変換ができれば、例えば、ＮＡＴ（Network  Address  Translation）や、ＮＡＰＴ（Network  Address  Port  Translation）等を広く適用することができる。
【００３３】
セッション管理部１０３は、自ＩＳＰ−ＡのＩＰｖ６ネットワーク１とインターネット３との間で行われる通信のセッションを管理するものである。セッション管理部１０３は、アドレス変換部１０２により変換された、送信元の実際のアドレス情報及び仮想化後の仮想アドレス情報と、送信先の実際のアドレス情報及び仮想化後の仮想アドレス情報とをセッション毎に対応付けたセッションデータを、セッションテーブル１１に格納する。
【００３４】
ハッシュ演算部１０４は、各セッションの送信元の実際のアドレス情報及び送信元の仮想アドレス情報と、送信先の実際のアドレス情報及び送信先の仮想アドレス情報とを用いて、ハッシュ値を求めるものである。
【００３５】
なお、ハッシュ演算部１０４が求めたハッシュ値は、セッションテーブル１１の対応するセッションデータに対応付けて格納する。また、ハッシュ演算部１０４によるハッシュ演算方法は、特に限定されるものではない。
【００３６】
セッションテーブル１１は、転送部１０により実施された送信元の変換前及び変換後のアドレス情報と、送信先の変換前及び変換後のアドレス情報とを対応付けたセッションデータを管理するものである。
【００３７】
図４は、セッションテーブル１１の構成例を示す構成図である。図４において、セッションテーブル１１は、「番号」、「ＩＰｖ６端末情報」、「仮想ＩＰｖ６サーバ情報」、「仮想ＩＰｖ４端末情報」、「ＩＰｖ４サーバ情報」、「ＩＰｖ６ハッシュ情報」、「ＩＰｖ４ハッシュ情報」、「タイマ」、「攻撃者フラグ」を項目とする。
【００３８】
「番号」には、セッションを識別する識別番号が設定される。
【００３９】
「ＩＰｖ６端末情報」には、送信元であるＩＰｖ６端末４の変換前の実際のアドレス情報が設定される。アドレス情報は、アドレス変換部１０１のアドレス情報変換方法等によるが、例えば、ＩＰｖ６端末４のＩＰアドレス、ポート番号などが該当する。
【００４０】
「仮想ＩＰｖ４端末情報」には、送信元のＩＰｖ６端末の変換後のアドレス情報であり、仮想化後のＩＰアドレス、ポート番号などが設定される。
【００４１】
「ＩＰｖ４サーバ情報」には、送信先であるＩＰｖ４サーバ６の変換前の実際のアドレス情報であり、例えば、ＩＰアドレス、ポート番号などが設定される。
【００４２】
「仮想ＩＰｖ６サーバ情報」には、送信先のＩＰｖ４サーバの変換後のアドレス情報であり、仮想化後のＩＰアドレス、ポート番号などが設定される。
【００４３】
「ハッシュ情報」は、「ＩＰｖ６ハッシュ情報」と「ＩＰｖ４ハッシュ情報」で構成される。
【００４４】
「ＩＰｖ６ハッシュ情報」には、ハッシュ演算部１０４により、ＩＰｖ６端末情報と仮想ＩＰｖ６サーバ情報から求められたハッシュ値が設定される。「ＩＰｖ４ハッシュ情報」には、ハッシュ演算部１０４により、ＩＰｖ４サーバ情報と仮想ＩＰｖ４端末情報から求められたハッシュ値が設定される。本実施形態では、被害端末をＩＰｖ４サーバ６とするため、被害申告には「ＩＰｖ４ハッシュ情報」のハッシュ値と同値のハッシュ値が被害申告パケットにより通知される。
【００４５】
「タイマ」は、セッション開始から終了までを示す時間が設定される。例えば、「タイマ」は、当該セッションのデータが流れるたびに、初期値にリセットされ、セッション監視部１２により、定期的に減算されるものである。また、「タイマ」の値がゼロになったとき、当該エントリは、セッションテーブル１１から削除される。「タイマ」の設定は、システム運用などに応じて設定することができる。また、不正パケットを送信する攻撃端末からの被害を軽減する観点から、「タイマ」の設定は、通常のセッションタイマよりも短く設定するようにしても良い。
【００４６】
「攻撃者フラグ」は、攻撃特定部１３により攻撃端末が特定されると、当該セッションデータのフラグをＯＮに設定されるものであり、それ以外のときはＯＦＦに設定される。
【００４７】
セッション監視部１２は、セッションテーブル１１の「タイマ」を監視し、タイマが期限切れになったときに、当該エントリを削除するものである。
【００４８】
攻撃特定部１３は、転送部１０から受け取った被害申告パケットに含まれているハッシュ値に基づいて、セッションテーブル１１のエントリから攻撃元となる端末を特定するものである。
【００４９】
例えば、攻撃特定部１３は、転送部１０から受け取った被害申告パケットに含まれているハッシュ値と、セッションテーブル１１の「ハッシュ情報」に設定されるハッシュ値とを比較し、被害申告パケットのハッシュ値と同値のハッシュ値がある場合に、当該セッションテーブル１１のセッションデータの「攻撃者フラグ」をＯＮにするものである。つまり、被害申告パケットに含まれているハッシュ値から、被害端末のセッションを特定することができるので、当該セッションデータの送信元を攻撃端末として特定できる。本実施形態では、被害申告パケットはＩＰｖ４パケットであるため、セッションテーブル１１のＩＰｖ４ハッシュ情報に着目すればよい。
【００５０】
なお、被害端末が被害申告パケットを作成するときに同パケットに設定するハッシュ値は、予め、セッションテーブル１１に存在する被害端末に該当するセッションのハッシュ情報をトランスレータ５から被害端末に適時通知する方法や、被害端末がハッシュ演算部１０４と同じ演算方法でハッシュ値を求める方法がある。
【００５１】
（Ａ−２）実施形態の動作
図５は、この実施形態のトランスレータ５における攻撃端末特定処理の動作を説明するフローチャートである。
【００５２】
以下では、ＩＰｖ６端末４（送信元）が、ＩＰｖ４サーバ６を送信先としてＤｏＳ攻撃を行う場合を例示して説明する。なお、ＩＰｖ６端末のアドレス情報（ＩＰｖ６端末情報）は「Ｂ１」であり、ＩＰｖ４サーバ６のアドレス情報（ＩＰｖ４サーバ情報）は「Ｓ２」とする。
【００５３】
まず、ＩＰｖ６端末４からＩＰｖ４サーバ６宛のパケットが、トランスレータ５に与えられる。
【００５４】
このとき、トランスレータ５では、転送部１０が、受信パケットのヘッダ情報に基づき、当該受信パケットが被害申告パケットでないことを識別する（ステップＳ１０１）。
【００５５】
また、転送部１０は、当該パケットのヘッダ情報に含まれている送信元のＩＰｖ６端末４のＩＰｖ６アドレス情報を、ＩＰｖ４アドレス情報に変換する（ステップＳ１０２）。
【００５６】
例えば、当該パケットの送信元アドレスはＩＰｖ６端末情報「Ｂ１」となっているから、ＩＰｖ４アドレス形式である仮想ＩＰｖ４端末「ｂ１」に変換して、送信元アドレス情報を「ｂ１」としたパケットをインターネット３に送信する。
【００５７】
トランスレータ５から転送されたパケットは、インターネット３を介して、ＩＰｖ４ネットワーク２上のＩＰｖ４サーバ６に与えられる。ＩＰｖ４サーバ６が送信元に対して応答する場合、当該受信パケットの送信元アドレス情報を送信先とする。
【００５８】
例えば、この場合、受信パケットの送信元アドレス情報は仮想ＩＰｖ４端末情報「ｂ１」であるから、ＩＰｖ４サーバ６は、送信先アドレス情報を仮想ＩＰｖ４端末情報「ｂ１」として応答パケットを送信する。なお、ＩＰｖ４サーバ６が送信するパケットの送信元アドレス情報は、ＩＰｖ４端末情報「Ｓ２」である。
【００５９】
ＩＰｖ４サーバ６から送信されたパケットは、インターネット３を介して、トランスレータ５に与えられる。ここで、トランスレータ５では、当該パケットが被害申告パケットではないので（ステップＳ１０１）、転送部１０が、当該パケットのヘッダ情報に含まれている送信元のＩＰｖ４サーバ６のＩＰｖ４アドレス情報を、ＩＰｖ６アドレス情報に変換する（ステップＳ１０２）。
【００６０】
例えば、当該パケットの送信元アドレス情報はＩＰｖ４サーバ情報「Ｓ２」であるから、転送部１０は、送信元アドレス情報をＩＰｖ４サーバ情報「Ｓ２」から仮想ＩＰｖ６サーバ情報「ｓ２」に変換する。
【００６１】
トランスレータ５では、トランス管理部１０３が、ＩＰｖ６ネットワーク１とＩＰｖ４ネットワーク２との間で送受信されるパケットに基づき、両端末間のセッション開始か否かを判断する（ステップＳ１０３）。
【００６２】
セッション管理部１０３による判断方法は、既存の技術を適用することができ、例えば、パケットにセッション識別情報を付与して送信し、同一のセッション識別情報が付与されたパケットを受信することにより、両端末間のセッション開始と判断する方法等がある。
【００６３】
ステップＳ１０３において、セッション管理部１０３がセッション開始を判断すると、セッション管理部１０３は、セッションテーブル１１の「仮想ＩＰｖ６サーバ情報」、「仮想ＩＰｖ４端末情報」に、当該セッションに係る両端末の「ＩＰｖ６端末情報」、「ＩＰｖ４サーバ情報」を設定して、新たなエントリを追加する（ステップＳ１０４）。
【００６４】
例えば、ＩＰｖ６端末４とＩＰｖ４サーバ６との間のセッション開始の場合、セッション管理部１０３は、セッションテーブル１１の「ＩＰｖ６端末情報」、「ＩＰｖ４サーバ情報」に「Ｂ１」、「Ｓ２」を設定した上で、「仮想ＩＰｖ６サーバ情報」、「仮想ＩＰｖ４端末情報」に「ｓ２」、「ｂ１」を設定する。これにより、図４のセッションテーブル１１の「番号：２」に示すような設定ができる。
【００６５】
次に、トランスレータ５では、ハッシュ演算部１０４が、セッションテーブル１１の「ＩＰｖ６端末情報」と「仮想ＩＰｖ６サーバ情報」との組と、「仮想ＩＰｖ４端末情報」と「ＩＰｖ４サーバ情報」との組としてハッシュ値を２つ生成し、生成したハッシュ値を、それぞれ、セッションテーブル１１の「ハッシュ情報」における「ＩＰｖ６ハッシュ情報」と「ＩＰｖ４ハッシュ情報」に設定する（ステップＳ１０５）。
【００６６】
例えば、ハッシュ演算部１０４は、セッションテーブル１１の「番号：２」の「ＩＰｖ６端末情報：Ｂ１」、「仮想ＩＰｖ６サーバ情報：ｓ２」を組としてハッシュ値「Ｈ２」を求める。また、「仮想ＩＰｖ４端末情報：ｂ１」、「ＩＰｖ４サーバ情報：Ｓ２」を組としてハッシュ値「ｈ２」を求める。そして、これらのハッシュ値「Ｈ２」とハッシュ値「ｈ２」を、当該セッションデータの「ハッシュ情報」における「ＩＰｖ６ハッシュ情報」と「ＩＰｖ４ハッシュ情報」に設定する。
【００６７】
トランスレータ５は、当該パケットの転送を行い（ステップＳ１０９）、パケット処理は終了する（ステップＳ１１０）。
【００６８】
上記のようにしてセッション開始し、その後もトランスレータ５を介して、ＩＰｖ６端末４とＩＰｖ４サーバ６との間でパケットが授受され、トランスレータ５は、両端末間のセッション管理を行う。
【００６９】
トランスレータ５において、受信したパケットが被害申告パケットでない場合（ステップＳ１０１）、セッションテーブルを参照してアドレス変換を行い（ステップＳ１０２）、送信元アドレス情報と送信先アドレス情報がセッションテーブル１１にエントリされているものである場合、ステップＳ１０６に移行する。
【００７０】
トランスレータ５では、セッション監視部１２がセッションテーブル１１にエントリされているセッションを監視しており、パケット転送のたびに、タイマを管理を行っている。また、セッション監視部１２は、受信したパケットがセッションの終了を示すパケットであるかどうかも同時に監視する。
【００７１】
そして、セッション監視部１２によりセッション終了していないと判断されると、当該セッションデータの「タイマ」のカウンタ値をリセットして（ステップＳ１０７）、当該パケットを転送して終了する（ステップＳ１０９、Ｓ１１０）。
【００７２】
一方、セッション監視部１２によりセッション終了していると判断されると、セッション監視部１２は、セッションテーブル１１から当該エントリを削除してから（ステップＳ１０８）、当該パケットを転送して終了する（ステップＳ１０９、Ｓ１１０）。
【００７３】
続いて、被害申告パケットがトランスレータ５に与えられた場合の処理を説明する。攻撃端末の攻撃を受けたＩＰｖ４サーバ６は、当該攻撃に係るセッションのハッシュ値を含む被害申告パケットを送信する。該当攻撃に係るセッションの送信元のアドレス情報は、トランスレータ５がセッションテーブル１１に設定する仮想ＩＰｖ４端末情報のアドレス情報に一致する。そのため、ＩＰｖ４サーバ６は、該当攻撃に係るセッションの送信元と自らのアドレス情報から生成するハッシュ値は、トランスレータ５のセッションテーブル１１のＩＰｖ４ハッシュ情報に一致することとなる。
【００７４】
トランスレータ５では、転送部１０のパケット識別部１０１が、受信パケットのヘッダ情報に被害申告情報ヘッダが含まれていることを確認して、当該受信パケットは被害申告パケットであると判断する（ステップＳ１０１）。
【００７５】
被害申告パケットであると判断すると、転送部１０は、当該パケットを攻撃特定部１３に与える（ステップＳ１１１）。
【００７６】
攻撃特定部１３は、セッションテーブル１１を参照して、転送部１０から受け取った被害申告パケットのＵＤＰデータ２０３に含まれているハッシュ値と同値のハッシュ値を持つセッションデータがエントリされているか否かを判断する（ステップＳ１１２）。
【００７７】
そして、セッションテーブル１１にエントリされている場合、攻撃特定部１３は、当該セッションデータに対応する「攻撃者フラグ」をＯＮに設定する（ステップＳ１１３、Ｓ１１４）。
【００７８】
一方、セッションテーブル１１にエントリされていない場合には、当該トランスレータ５が設置されているネットワーク１には該当するセッションがないと判断して、当該被害申告パケットの処理を終了する（ステップＳ１１４）。
【００７９】
（Ａ−３）実施形態の効果
上記のように、実施形態によれば、ＩＰｖ６ネットワークとＩＰｖ４ネットワークのような異なるネットワーク間の通信において、トランスレータが、送信元の変換前及び変換後のアドレス情報と、送信先の変換前及び変換後のアドレス情報とを組にしてセッションを特定する一意な情報をセッションデータに対応付けてセッションテーブルを作成する。
【００８０】
そして、トランスレータが、被害申告パケットに含まれる一意な情報に基づいて、セッションテーブルから該当するセッションデータを検索して、不正なパケットを送信する端末を特定することができる。
【００８１】
（Ｂ）他の実施形態
（Ｂ−１）上述した実施形態では、攻撃側をＩＰｖ６ネットワークのＩＰｖ６端末として、被害者側をＩＰｖ４ネットワークのＩＰｖ４サーバと仮定したが、その逆に、攻撃側がＩＰｖ４ネットワークのＩＰｖ４端末、被害者側をＩＰｖ６ネットワークのＩＰｖ６サーバとしても適用することができる。
【００８２】
（Ｂ−２）上述した実施形態では、トランスレータにて攻撃者を特定するまでの方式であるが、特定された攻撃からのバケットをトランスレータで遮断し、攻撃を防御するといった利用形態や、外部の保守者に攻撃端末を通知するといった利用形態なども適用できる。
【００８３】
例えば、攻撃端末と被害端末との間に、アドレス変換を必要とするネットワークが複数存在するような多段構成である場合、各ネットワーク上のトランスレータがそれぞれ、上述した実施形態で説明したセッションテーブルを管理し、各セッションデータを授受し合うことで、攻撃端末の追跡を行うことができる。
【００８４】
（Ｂ−３）上述した実施形態で説明したトランスレータにおける処理は、ソフトウェア処理により実現される。例えば、トランスレータのハードウェア構成は、ＣＰＵ、ＲＯＭ、ＲＡＭなどから構成されており、ＣＰＵが、ＲＯＭに格納される処理プログラムを実行することにより実現される。なお、ハードウェア構成により実現できるようにしても良い。
【符号の説明】
【００８５】
１…ＩＰｖ６ネットワーク（ＩＳＰ−Ａ）、２…ＩＰｖ４ネットワーク（ＩＳＰ−Ｂ）、
３…インターネット、４…ＩＰｖ６端末、５…トランスレータ、６…ＩＰｖ４サーバ、
１０…転送部、１０１…パケット識別部、１０２…アドレス変換部、
１０３…セッション管理部、１０４…ハッシュ演算部、１１…セッションテーブル、
１２…セッション監視部、１３…攻撃特定部。
【図１】
2011146968.tif 000003
【図２】
2011146968.tif 000004
【図３】
2011146968.tif 000005
【図４】
2011146968.tif 000006
【図５】
2011146968.tif 000007