(57)【特許請求の範囲】
【請求項１】
ネットワーク内に存在しないノードを前記ネットワーク内に存在するかのように見せかけるためのダミー情報を含む、第１のダミーパケットを生成し、生成した前記第１のダミーパケットを送信する第１のダミーパケット通信手段と、
前記第１のダミーパケットに含まれる前記ダミー情報を利用して生成される不正パケットに対応する、パケットに対する処置内容を規定する、通信制御規則を生成し、パケットの伝送処理機能を含むスイッチ手段へ生成した前記通信制御規則を送信するフロー登録手段と、
前記第１のダミーパケットを受信し、受信した前記第１のダミーパケットに含まれる情報に基づいて、第２のダミーパケットを生成して送信する第２のダミーパケット通信手段と、
を含む、情報処理システム。
【請求項２】
前記フロー登録手段は、前記第１のダミーパケットへの返信パケットに対する処置内容を規定する、前記通信制御規則を生成し、生成した前記通信制御規則を、前記第１のダミーパケットに先行して、前記スイッチ手段へ送信する
請求項１記載の情報処理システム。
【請求項３】
前記第１のダミーパケットに含まれる前記ダミー情報を記憶する第１のダミー情報記憶手段と、
前記第１のダミー情報記憶手段に記憶された前記ダミー情報に基づいて、前記スイッチ手段から通信制御規則の問い合わせで指定される被判定パケットが、前記不正パケットであるか否かを判定する通信判定手段と、を更に含み、
前記フロー登録手段は、前記判定された結果に基づいて、前記被判定パケットに対する、前記通信制御規則を生成する
請求項１または２記載の情報処理システム。
【請求項４】
前記通信判定手段は、前記被判定パケットが前記不正パケットである場合、前記不正パケットに関する情報と前記不正パケットを生成するために利用された前記第１のダミーパケットに関する情報とを、関連付けて出力する
請求項３記載の情報処理システム。
【請求項５】
前記フロー登録手段は、前記第２のダミーパケットに対応する前記通信制御規則を生成し、生成した前記通信制御規則を前記第１のダミーパケットに先行して、前記スイッチ手段へ送信する
請求項１乃至４のいずれか１項に記載の情報処理システム。
【請求項６】
前記スイッチ手段は、オープンフロースイッチであり、
前記通信制御規則は、前記オープンフロースイッチに対するフローである
請求項１乃至５のいずれか１項に記載の情報処理システム。
【請求項７】
ネットワーク内に存在しないノードを前記ネットワーク内に存在するかのように見せかけるためのダミー情報を含む、第１のダミーパケットを情報処理装置から受信し、受信した前記第１のダミーパケットに含まれる情報に基づいて、第２のダミーパケットを生成して送信する第２のダミーパケット通信手段を含み、
前記情報処理装置は、前記第１のダミーパケットを生成し、生成した前記第１のダミーパケットを送信する第１のダミーパケット通信手段と、前記第１のダミーパケットに含まれる前記ダミー情報を利用して生成される不正パケットに対応する、パケットに対する処置内容を規定する、通信制御規則を生成し、パケットの伝送処理機能を含むスイッチ手段へ生成した前記通信制御規則を送信し、前記第２のダミーパケットに対応する前記通信制御規則を生成し、生成した前記通信制御規則を前記スイッチ手段へ送信するフロー登録手段と、を含む
端末。
【請求項８】
コンピュータが、
ネットワーク内に存在しないノードを前記ネットワーク内に存在するかのように見せかけるためのダミー情報を含む、第１のダミーパケットを生成し、
生成した前記第１のダミーパケットを端末に送信し、
前記第１のダミーパケットに含まれる前記ダミー情報を利用して生成される不正パケットに対応する、パケットに対する処置内容を規定する、通信制御規則を生成し、
パケットの伝送処理機能を含むスイッチ手段へ生成した前記通信制御規則を送信し、
前記端末が、前記第１のダミーパケットを受信し、受信した前記第１のダミーパケットに含まれる情報に基づいて、第２のダミーパケットを生成して送信する、
ネットワーク制御方法。
【請求項９】
コンピュータが、
ネットワーク内に存在しないノードを前記ネットワーク内に存在するかのように見せかけるためのダミー情報を含む、第１のダミーパケットを情報処理装置から受信し、
受信した前記第１のダミーパケットに含まれる情報に基づいて、第２のダミーパケットを生成して送信し、
前記情報処理装置は、前記第１のダミーパケットを生成し、生成した前記第１のダミーパケットを送信する第１のダミーパケット通信手段と、前記第１のダミーパケットに含まれる前記ダミー情報を利用して生成される不正パケットに対応する、パケットに対する処置内容を規定する、通信制御規則を生成し、パケットの伝送処理機能を含むスイッチ手段へ生成した前記通信制御規則を送信するフロー登録手段と、を含む
ネットワーク制御方法。
【請求項１０】
ネットワーク内に存在しないノードを前記ネットワーク内に存在するかのように見せかけるためのダミー情報を含む、第１のダミーパケットを情報処理装置から受信し、
受信した前記第１のダミーパケットに含まれる情報に基づいて、第２のダミーパケットを生成して送信する
処理をコンピュータに実行させ、
前記情報処理装置は、前記第１のダミーパケットを生成し、生成した前記第１のダミーパケットを送信する第１のダミーパケット通信手段と、前記第１のダミーパケットに含まれる前記ダミー情報を利用して生成される不正パケットに対応する、パケットに対する処置内容を規定する、通信制御規則を生成し、パケットの伝送処理機能を含むスイッチ手段へ生成した前記通信制御規則を送信するフロー登録手段と、を含む
プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク制御の技術に関し、特にネットワークへの攻撃を防御する技術に関する。
【背景技術】
【０００２】
ネットワークへの攻撃を防御するための、さまざまな関連技術が知られている。
【０００３】
例えば、特許文献１は、侵入検知装置の一例を開示する。特許文献１の侵入検知装置は、通信手段とパケット分析手段と対策手段と不正侵入監視手段と対策解除手段とを備える。
【０００４】
そのパケット分析手段は、受信したパケットを分析して不正侵入が行われているか否かを判断する。具体的には、パケット分析手段は、パケット内データ及びコマンドなどについてのパターンマッチング、並びにアクセス頻度などについての統計的手法による分析を用いて、不正なパケットを検出する。
【０００５】
その対策手段は、不正侵入が行われていると判断した場合、プロトコルまたはポートのクローズ、通信遮断等を行う。
【０００６】
その不正侵入監視手段は、不正侵入等の攻撃が終了したか否かを監視する。
【０００７】
その対策解除手段は、不正侵入等の攻撃が終了したと判断した場合、通信遮断等の対策を解除する。
【０００８】
特許文献１の侵入検知装置は、上述の構成を備えることにより、パケットの送信元のＩＰアドレスが予め設定されている値であるか否かでは判断できない、正式な要求元からの悪意ある侵入者による、不正なアクセスを検出し、対策を実行する。
【先行技術文献】
【特許文献】
【０００９】
【特許文献１】特開２００２−０７３４３３号公報
【発明の概要】
【発明が解決しようとする課題】
【００１０】
しかしながら、上述した先行技術文献に記載された技術においては、不正侵入が行われていることの検出が遅れたりできなかったりした場合、不正なアクセスへの対策が遅れたりできなかったりするという問題点がある。
【００１１】
その、理由は、特許文献１の侵入検知装置は、パケット分析手段は、予め定められたパケット内データ及びコマンドなどについてのパターンや、予め定められたアクセス頻度の閾値などに基づいて不正なパケットを検出するからである。そして、特許文献１の侵入検知装置は、不正なパケットを検出した場合に限り、不正なアクセスへの対策を実行するからである。
【００１２】
換言すると、特許文献１の侵入検知装置において、悪意ある侵入者の活動は、パケット分析手段により不正侵入が行われていると判断されない限り、妨害されることがない、という問題点がある。
【００１３】
上述の関連技術の問題点に対し、本発明が解決しようとする課題は、ネットワークに対する侵入者の活動をより困難にすることである。即ち、その課題は、攻撃手法の進化などにより不正パケットを完全に検知することが、困難な場合でも、侵入者による攻撃を防御することである。
【００１４】
本発明の目的は、上述した課題を解決する情報処理システム、ネットワーク制御方法、及びそのためのプログラムを提供することにある。
【課題を解決するための手段】
【００１５】
本発明の一様態における情報処理システムは、ネットワーク内に存在しないノードを前記ネットワーク内に存在するかのように見せかけるためのダミー情報を含む、第１のダミーパケットを生成し、生成した前記第１のダミーパケットを送信する第１のダミーパケット通信手段と、前記第１のダミーパケットに含まれる前記ダミー情報を利用して生成される不正パケットに対応する、パケットに対する処置内容を規定する、通信制御規則を生成し、パケットの伝送処理機能を含むスイッチ手段へ生成した前記通信制御規則を送信するフロー登録手段と、を含む。
【００１６】
本発明の一様態における端末は、ネットワーク内に存在しないノードを前記ネットワーク内に存在するかのように見せかけるためのダミー情報を含む、第１のダミーパケットを情報処理装置から受信し、受信した前記第１のダミーパケットに含まれる情報に基づいて、第２のダミーパケットを生成して送信する第２のダミーパケット通信手段を含み、前記情報処理装置は、前記第１のダミーパケットを生成し、生成した前記第１のダミーパケットを送信する第１のダミーパケット通信手段と、前記第１のダミーパケットに含まれる前記ダミー情報を利用して生成される不正パケットに対応する、パケットに対する処置内容を規定する、通信制御規則を生成し、パケットの伝送処理機能を含むスイッチ手段へ生成した前記通信制御規則を送信するフロー登録手段と、を含む。
【００１７】
本発明の一様態における第１のネットワーク制御方法は、コンピュータが、ネットワーク内に存在しないノードを前記ネットワーク内に存在するかのように見せかけるためのダミー情報を含む、第１のダミーパケットを生成し、生成した前記第１のダミーパケットを送信し、前記第１のダミーパケットに含まれる前記ダミー情報を利用して生成される不正パケットに対応する、パケットに対する処置内容を規定する、通信制御規則を生成し、パケットの伝送処理機能を含むスイッチ手段へ生成した前記通信制御規則を送信する。
【００１８】
本発明の一様態における第２のネットワーク制御方法は、コンピュータが、ネットワーク内に存在しないノードを前記ネットワーク内に存在するかのように見せかけるためのダミー情報を含む、第１のダミーパケットを情報処理装置から受信し、受信した前記第１のダミーパケットに含まれる情報に基づいて、第２のダミーパケットを生成して送信し、前記情報処理装置は、前記第１のダミーパケットを生成し、生成した前記第１のダミーパケットを送信する第１のダミーパケット通信手段と、前記第１のダミーパケットに含まれる前記ダミー情報を利用して生成される不正パケットに対応する、パケットに対する処置内容を規定する、通信制御規則を生成し、パケットの伝送処理機能を含むスイッチ手段へ生成した前記通信制御規則を送信するフロー登録手段と、を含む。
【００１９】
本発明の一様態における第１のプログラムは、ネットワーク内に存在しないノードを前記ネットワーク内に存在するかのように見せかけるためのダミー情報を含む、第１のダミーパケットを生成し、生成した前記第１のダミーパケットを送信し、前記第１のダミーパケットに含まれる前記ダミー情報を利用して生成される不正パケットに対応する、パケットに対する処置内容を規定する、通信制御規則を生成し、パケットの伝送処理機能を含むスイッチ手段へ生成した前記通信制御規則を送信する処理をコンピュータに実行させる。
【００２０】
本発明の一様態における第２のプログラムは、ネットワーク内に存在しないノードを前記ネットワーク内に存在するかのように見せかけるためのダミー情報を含む、第１のダミーパケットを情報処理装置から受信し、受信した前記第１のダミーパケットに含まれる情報に基づいて、第２のダミーパケットを生成して送信する処理をコンピュータに実行させ、前記情報処理装置は、前記第１のダミーパケットを生成し、生成した前記第１のダミーパケットを送信する第１のダミーパケット通信手段と、前記第１のダミーパケットに含まれる前記ダミー情報を利用して生成される不正パケットに対応する、パケットに対する処置内容を規定する、通信制御規則を生成し、パケットの伝送処理機能を含むスイッチ手段へ生成した前記通信制御規則を送信するフロー登録手段と、を含む。
【発明の効果】
【００２１】
本発明は、ネットワークに対する攻撃を困難にすることが可能になるという効果がある。
【図面の簡単な説明】
【００２２】
【図１】図１は、本発明の第１の実施形態に係るトラップシステムの構成を示すブロック図である。
【図２】図２は、第１の実施形態における第１ダミーパケットの一例を示す図である。
【図３】図３は、第１の実施形態における不正パケットの一例を示す図である。
【図４】図４は、第１の実施形態におけるフローの一例を示す図である。
【図５】図５は、第１の実施形態に係るトラップシステムを実現するコンピュータのハードウエア構成の一例を示すブロック図である。
【図６】図６は、第１の実施形態に係るトラップシステムを含む情報処理システムの構成を示すブロック図である。
【図７】図７は、第１の実施形態におけるフローテーブルの一例を示す図である。
【図８】図８は、第１の実施形態におけるトラップシステムの動作の一例を示すフローチャートである。
【図９】図９は、第１の実施形態におけるネットワーク構成情報の一例を示す図である。
【図１０】図１０は、第１の実施形態における返信フローの一例を示す図である。
【図１１】図１１は、第１の実施形態における情報処理システムの動作の一例を示すシーケンス図ある。
【図１２】図１２は、本発明の第２の実施形態に係るトラップシステムの構成を示すブロック図である。
【図１３】図１３は、第２の実施形態における第１ダミー情報履歴の一例を示す図である。
【図１４】図１４は、第２の実施形態に係るトラップシステムを含む情報処理システムの構成の一例を示すブロック図である。
【図１５】図１５は、第２の実施形態におけるトラップシステムの動作の一例を示すフローチャートである。
【図１６】図１６は、第２の実施形態における情報処理システムの動作の一例を示すシーケンス図ある。
【図１７】図１７は、第２の実施形態におけるトラップシステムの動作の一例を示すフローチャートである。
【図１８】図１８は、第２の実施形態における正常フローの一例を示す図である。
【図１９】図１９は、第２の実施形態における不正フローの一例を示す図である。
【図２０】図２０は、第２の実施形態における情報処理システムの動作の一例を示すシーケンス図ある。
【図２１】図２１は、第２の実施形態における情報処理システムの動作の一例を示すシーケンス図ある。
【図２２】図２２は、本発明の第３の実施形態に係るトラップシステムの構成を示すブロック図である。
【図２３】図２３は、第３の実施形態における端末の構成の一例を示すブロック図である。
【図２４】図２４は、第３の実施形態における第２ダミー情報履歴の一例を示す図である。
【図２５】図２５は、第３の実施形態における第２ダミーフローの一例を示す図である。
【図２６】図２６は、第３の実施形態に係るトラップシステムを含む情報処理システムの構成の一例を示すブロック図である。
【図２７】図２７は、第３の実施形態におけるトラップシステムの動作の一例を示すフローチャートである。
【図２８】図２８は、第３の実施形態におけるトラップシステムの動作の一例を示すフローチャートである。
【図２９】図２９は、第３の実施形態における情報処理システムの動作の一例を示すシーケンス図ある。
【図３０】図３０は、第３の実施形態におけるトラップシステムの動作の一例を示すフローチャートである。
【図３１】図３１は、第３の実施形態におけるトラップシステムの動作の一例を示すフローチャートである。
【図３２】図３２は、第３の実施形態における情報処理システムの動作の一例を示すシーケンス図ある。
【発明を実施するための形態】
【００２３】
本発明を実施するための形態について図面を参照して詳細に説明する。尚、各図面及び明細書記載の各実施形態において、同様の構成要素には同様の符号を付与し、適宜説明を省略する。
【００２４】
＜＜＜第１の実施形態＞＞＞
図１は、本発明の第１の実施形態に係るトラップシステム（情報処理システムとも呼ばれる）１０１の構成を示すブロック図である。
【００２５】
図１に示すように、本実施形態に係るトラップシステム１０１は、第１ダミーパケット通信部１１０と、フロー登録部１３０とを含む。尚、図１に示す各構成要素は、ハードウエア単位の回路でも、マイクロチップに含まれるモジュールでも、コンピュータ装置の機能単位に分割された構成要素でもよい。ここでは、図１に示す構成要素は、コンピュータ装置の機能単位に分割された構成要素として説明する。
【００２６】
また、図１に示すトラップシステム１０１は、あるサーバに実装され、ネットワークを介して利用可能にされてよいし、図１に示す各構成要素がネットワーク上に分散して設置されて利用可能にされてもよい。
【００２７】
＝＝＝第１ダミーパケット通信部１１０＝＝＝
第１ダミーパケット通信部１１０は、第１ダミー情報を含む、第１ダミーパケットを生成し、生成したその第１ダミーパケットを送信する。その第１ダミー情報は、ネットワーク内に存在しないノードをそのネットワーク内に存在するかのように見せかけるための情報である。ここで、そのノードは、装置や、ウェブサイト、ユーザなど、ネットワークに接続される或いはネットワークに含まれる、任意の要素であってよい。以下の説明においては、代表的に、そのノードが装置であるとして説明する。
【００２８】
例えば、その第１ダミー情報は、そのネットワーク内の通信において、送信元及び宛先を識別するためのアドレスであって、そのネットワークに接続されるいずれの装置も使用していないアドレスである。より具体的には、その第１ダミー情報は、そのネットワークに接続されるいずれの装置にも付与されていないＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスであって、その第１のダミーパケットの送信元ＩＰアドレスとして含まれるＩＰアドレスである。以下、その第１ダミー情報である、その第１のダミーパケットの送信元ＩＰアドレスを送信元ダミーＩＰと呼ぶ。
【００２９】
その第１ダミー情報は、上述の例に係わらず、ＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ  ａｄｄｒｅｓｓ）アドレス、Ｅｔｈｅｒ  ｔｙｐｅ（イーサネット（登録商標）の種別）であってよい。その第１ダミー情報は、ＶＬＡＮ（Ｖｉｒｔｕａｌ  Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）  ｉｄ、ＶＬＡＮ  ｐｒｉｏｒｉｔｙ、ＩＰ  ｐｒｏｔｏ（ＩＰのプロトコル種別）であってもよい。その第１ダミー情報は、ＩＰ  ＴｏＳ（Ｔｙｐｅ  ｏｆ  Ｓｅｒｖｉｃｅ）  ｂｉｔｓ（ＩＰのＴｏＳ情報）であってもよい。その第１ダミー情報は、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）／ＵＤＰ（Ｕｓｅｒ  Ｄａｔａｇｒａｍ  Ｐｒｏｔｏｃｏｌ）  ｐｏｒｔ（ポート番号）であってもよい。また、その第１ダミー情報は、これらの任意の組み合わせであってよい。
【００３０】
図２は、第１ダミーパケット８１１の一例を示す図である。図２に示すように、第１ダミーパケット８１１は、第１ダミー情報として送信元ダミーＩＰを含む。
【００３１】
＝＝＝フロー登録部１３０＝＝＝
フロー登録部１３０は、不正パケットに対応する、フロー（通信制御規則とも呼ばれる）を生成し、パケットの伝送処理機能を含むスイッチ手段（不図示）へ生成したそのフローを送信する。その不正パケットは、第１ダミーパケット８１１に含まれる第１ダミー情報を利用して生成される、パケットである。そのフローは、パケットに対する処置内容を規定する情報である。例えば、そのスイッチ手段は、Ｏｐｅｎ  Ｎｅｔｗｏｒｋｉｎｇ  Ｆｏｕｎｄａｔｉｏｎによって仕様が策定されるＯｐｅｎＦｌｏｗ（登録商標）における、オープンフロースイッチである。この場合、そのフローは、即ち、そのオープンフロースイッチの振る舞いを規定するフローである。
【００３２】
図３は、不正パケット８４１の一例を示す図である。図３に示す不正パケット８４１は、図２に示す第１ダミーパケット８１１に含まれる第１ダミー情報を利用して生成された不正パケット８４１である。図３に示す不正パケット８４１は、図２に示す第１ダミーパケット８１１の送信元ダミーＩＰを宛先ＩＰとして、含む。
【００３３】
図４は、フロー８３１の一例を示す図である。図４に示すフロー８３１は、宛先ＩＰが「１９２．１６８．１．１」かつ宛先ポート番号が「２３」であることをマッチ条件とすることを規定する。そして、そのフロー８３１は、そのマッチ条件を満たすパケットを廃棄することを、アクションとすることを規定する。
【００３４】
そのマッチ条件は、上述の例に限らず、宛先ＭＡＣ、送信元ＭＡＣ、送信元ＩＰ、送信元ポート番号、及び上述の第１ダミー情報を、任意に指定するものであってよい。
【００３５】
以上が、トラップシステム１０１の機能単位の各構成要素についての説明である。
【００３６】
次に、トラップシステム１０１のハードウエア単位の構成要素について説明する。
【００３７】
図５は、本実施形態におけるトラップシステム１０１を実現するコンピュータ７００のハードウエア構成を示す図である。
【００３８】
図５に示すように、コンピュータ７００は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）７０１、記憶部７０２、記憶装置７０３、入力部７０４、出力部７０５及び通信部７０６を含む。更に、コンピュータ７００は、外部から供給される記録媒体（または記憶媒体）７０７を含む。例えば、記録媒体７０７は、情報を非一時的に記憶する不揮発性記録媒体（非一時的記録媒体）である。また、記録媒体７０７は、情報を信号として保持する、一時的記録媒体であってもよい。
【００３９】
ＣＰＵ７０１は、オペレーティングシステム（不図示）を動作させて、コンピュータ７００の全体の動作を制御する。例えば、ＣＰＵ７０１は、記憶装置７０３に装着された記録媒体７０７から、そのプログラムやデータを読み込み、読み込んだそのプログラムやそのデータを記憶部７０２に書き込む。ここで、そのプログラムは、例えば、後述の図８に示すフローチャートの動作をコンピュータ７００に実行させるためのプログラムである。
【００４０】
そして、ＣＰＵ７０１は、その読み込んだプログラムに従って、またその読み込んだデータに基づいて、図１に示す第１ダミーパケット通信部１１０及びフロー登録部１３０として各種の処理を実行する。
【００４１】
尚、ＣＰＵ７０１は、通信網（不図示）に接続される外部コンピュータ（不図示）から、記憶部７０２にそのプログラムやそのデータをダウンロードしてもよい。
【００４２】
記憶部７０２は、そのプログラムやそのデータを記憶する。記憶部７０２は、第１ダミーパケット８１１や不正パケット８４１、フロー８３１などを記憶してよい。記憶部７０２は、第１ダミーパケット通信部１１０及びフロー登録部１３０の一部として含まれてよい。
【００４３】
記憶装置７０３は、例えば、光ディスクや、フレキシブルディスク、磁気光ディスク、外付けハードディスク半導体メモリなどであって、記録媒体７０７を含む。記憶装置７０３（記録媒体７０７）は、そのプログラムをコンピュータ読み取り可能に記憶する。また、記憶装置７０３は、そのデータを記憶してもよい。記憶装置７０３は、第１ダミーパケット８１１や不正パケット８４１、フロー８３１などを記憶してよい。記憶装置７０３は、第１ダミーパケット通信部１１０及びフロー登録部１３０の一部として含まれてよい。
【００４４】
入力部７０４は、オペレータによる操作の入力や外部からの情報の入力を受け付ける。入力操作に用いられるデバイスは、例えば、マウスや、キーボード、内蔵のキーボタン及びタッチパネルなどである。入力部７０４は、第１ダミーパケット通信部１１０及びフロー登録部１３０の一部として含まれてよい。
【００４５】
出力部７０５は、例えばディスプレイで実現される。出力部７０５は、例えばＧＵＩ（ＧＲＡＰＨＩＣＡＬ  Ｕｓｅｒ  Ｉｎｔｅｒｆａｃｅ）によるオペレータへの入力要求や、オペレータに対する出力提示などのために用いられる。出力部７０５は、第１ダミーパケット通信部１１０及びフロー登録部１３０の一部として含まれてよい。
【００４６】
通信部７０６は、外部とのインタフェースを実現する。通信部７０６は、第１ダミーパケット通信部１１０及びフロー登録部１３０の一部として含まれてよい。
【００４７】
以上説明したように、図１に示すトラップシステム１０１の機能単位の各構成要素は、図５に示すハードウエア構成のコンピュータ７００によって実現される。但し、コンピュータ７００が備える各部の実現手段は、上記に限定されない。すなわち、コンピュータ７００は、物理的に結合した１つの装置により実現されてもよいし、物理的に分離した２つ以上の装置を有線または無線で接続し、これら複数の装置により実現されてもよい。
【００４８】
尚、上述のプログラムのコードを記録した記録媒体７０７が、コンピュータ７００に供給される場合、ＣＰＵ７０１は、記録媒体７０７に格納されたそのプログラムのコードを読み出して実行してもよい。或いは、ＣＰＵ７０１は、記録媒体７０７に格納されたそのプログラムのコードを、記憶部７０２、記憶装置７０３またはその両方に格納してもよい。すなわち、本実施形態は、コンピュータ７００（ＣＰＵ７０１）が実行するそのプログラム（ソフトウエア）を、一時的にまたは非一時的に、記憶する記録媒体７０７の実施形態を含む。尚、情報を非一時的に記憶する記憶媒体は、不揮発性記憶媒体とも呼ばれる。
【００４９】
以上が、本実施形態におけるトラップシステム１０１を実現するコンピュータ７００の、ハードウエア単位の各構成要素についての説明である。
【００５０】
図６は、トラップシステム１０１を含む情報処理システム１０の構成を示すブロック図である。図６に示すように情報処理システム１０は、トラップシステム１０１、ネットワーク通信装置２００及び端末３００を含む。トラップシステム１０１及び端末３００は、ネットワーク通信装置２００を介して、互いに接続されている。尚、図６に示す例に係わらず、情報処理システム１０に含まれるトラップシステム１０１、ネットワーク通信装置２００及び端末３００のそれぞれは、任意の台数であってよい。また、情報処理システム１０は、図示しない、サーバ、通信制御装置、記憶装置及びその他の情報処理装置を含んでよい。
【００５１】
＝＝＝ネットワーク通信装置２００＝＝＝
ネットワーク通信装置２００は、前述のスイッチ手段であり、例えば、オープンフロースイッチである。例えば、ネットワーク通信装置２００の１番ポート（不図示）にトラップシステム１０１の第１ダミーパケット通信部１１０が接続され、ネットワーク通信装置２００の０番ポート（不図示）にトラップシステム１０１のフロー登録部１３０が接続される。また、ネットワーク通信装置２００の３番ポート以降に、端末３００のそれぞれが接続される。
【００５２】
図７は、ネットワーク通信装置２００が保持するフローテーブル８３０の一例を示す図である。図７に示すようにフローテーブル８３０は、マッチ条件とアクションの組からなるフロー（例えば、フロー８３１）を含む。
【００５３】
フローテーブル８３０に含まれるフローは、前述したようにさまざまな項目についてのマッチ条件を含むことができる。本実施形態のフローテーブル８３０に含まれるフローにおいて、マッチ条件に明示的に指定されていない項目は、任意の値でよいことを示す。換言すると、マッチ条件に指定されていない項目は、任意の値を示すワイルドカードが指定されているものとする。
【００５４】
ネットワーク通信装置２００は、トラップシステム１０１のフロー登録部１３０からフロー８３１を受信し、受信したそのフロー８３１をフローテーブル８３０に記憶する。ネットワーク通信装置２００は、フローテーブル８３０に基づいて、受信したパケットを処理する。
【００５５】
＝＝＝端末３００＝＝＝
端末３００は、ネットワーク通信装置２００を介して、他の端末３００、トラップシステム１０１及び図示しないその他の装置と通信を行う。
【００５６】
端末３００は、ウィルスなどに感染した場合、感染端末となる。感染端末となった端末３００は、外部からの侵入者による、端末３００が接続されたネットワークひいては情報処理システム１０への攻撃の、活動拠点として利用される場合がある。その利用の内容は、例えば、その感染端末内の通信ログを取得し、その通信ログを解析し、その解析結果に基づいて情報処理システム１０内の各装置への攻撃（感染拡大や情報搾取等）することである。
【００５７】
端末３００は、トラップシステム１０１から受信した第１ダミーパケット８１１に関する情報をその通信ログに含める。即ち、その通信ログは、前述の第１ダミー情報を含む第１ダミーパケット８１１に関する情報によって、解析負荷を増加させられる。従って、トラップシステム１０１は、端末３００が接続されたネットワークに対する攻撃を困難にする。
【００５８】
次に本実施形態の動作について、図面を参照して詳細に説明する。
【００５９】
図８は、本実施形態のトラップシステム１０１の動作を示すフローチャートである。尚、このフローチャートによる処理は、前述したＣＰＵ７０１によるプログラム制御に基づいて、実行されてよい。また、処理のステップ名については、Ｓ６０１のように、記号で記載する。
【００６０】
トラップシステム１０１の第１ダミーパケット通信部１１０は、所定の間隔が経過したことや、所定の時刻に達したことなどを契機に、図８に示すステップＳ５０１の動作を開始する。また、第１ダミーパケット通信部１１０は、図５に示す入力部７０４を介して操作者から指示を受けたことを契機に、図８に示すステップＳ５０１の動作を開始してもよい。トラップシステム１０１は、図５に示す通信部７０６を介して、外部から要求を受信したことを契機に、図８に示すステップＳ５０１の動作を開始してもよい。
【００６１】
第１ダミーパケット通信部１１０は、第１ダミーパケット８１１を生成する（ステップＳ６０１）。
【００６２】
第１ダミーパケット通信部１１０は、例えば、情報処理システム１０に関するネットワーク構成情報に基づいて、第１ダミーパケット８１１を生成する。
【００６３】
図９は、ネットワーク構成情報８００の一例を示す図である。図９に示すように、ネットワーク構成情報８００は、ホスト名とＭＡＣアドレスと、ＩＰアドレスの組を含む。図９に示す例に係わらず、ネットワーク構成情報８００は、任意の情報を含んでよい。
【００６４】
例えば、ネットワーク構成情報８００は、図５に示す記憶部７０２或いは記憶装置７０３に、予め記憶されていてよい。また、第１ダミーパケット通信部１１０は、図５に示す入力部７０４を介して操作者が入力した、ネットワーク構成情報８００を取得してもよい。この時、第１ダミーパケット通信部１１０は、図５に示す出力部７０５を介して、操作者に対する入力画面を表示してよい。また、第１ダミーパケット通信部１１０は、図５に示す通信部７０６を介して図示しない機器から、ネットワーク構成情報８００を受信してもよい。また、第１ダミーパケット通信部１１０は、図５に示す記憶装置７０３を介して、記録媒体７０７に記録されたネットワーク構成情報８００を取得してもよい。
【００６５】
ここでは、第１ダミーパケット通信部１１０は、例えば図２に示すような、送信元ダミーＩＰを「１９２．１６８．１．１」とし、送信元ポート番号を「２００１」とする第１ダミーパケット８１１を生成する。この「１９２．１６８．１．１」は、ネットワーク構成情報８００に存在しない、即ち情報処理システム１０において割り振られていないＩＰアドレスであり、前述の第１ダミー情報である。
【００６６】
次に、フロー登録部１３０は、第１ダミーパケット８１１に基づいて、返信フロー８３２を生成する（ステップＳ６０２）。返信フロー８３２は、第１ダミーパケット８１１を受信した端末３００から送信される返信パケットをトラップシステム１０１が受け取ることを可能にするためのフローである。ここでは、フロー登録部１３０は、第１ダミーパケット８１１に含まれる送信元ダミーＩＰをマッチ条件に含む、返信フロー８３２を生成する。
【００６７】
より具体的には、フロー登録部１３０は、例えば、マッチ条件を「宛先ＩＰアドレス＝［１９２．１６８．１．１］かつ宛先ポート番号＝［２００１］」とし、アクションを「１番ポートへの出力」とする返信フロー８３２を生成する。ここで、「宛先ＩＰアドレス＝［１９２．１６８．１．１］」は、即ち「宛先ＩＰアドレス＝第１ダミーパケット８１１の送信元ダミーＩＰ」である。「宛先ポート番号＝［２００１］」は、即ち「宛先ポート番号＝第１ダミーパケット８１１の送信元ポート番号」である。また、「１番ポートへの出力」は、即ち、「ネットワーク通信装置２００の１番ポートに接続された、トラップシステム１０１の、第１ダミーパケット通信部１１０へのその返信パケットの転送」である。
【００６８】
尚、フロー登録部１３０は、アクションを「パケットの廃棄」とする返信フロー８３２を生成してもよい。この場合、第１ダミーパケット通信部１１０は、後述のステップＳ６０５の動作（返信パケットの受信）をしなくてよい。
【００６９】
図１０は、返信フロー８３２の一例を示す図である。図１０に示す返信フロー８３２は、宛先ＩＰが「１９２．１６８．１．１」であることをマッチ条件とし、そのマッチ条件を満たすパケットを１番ポートへ出力することをアクションとする、ことを示す。ここで、その１番ポートは、第１ダミーパケット通信部１１０が接続される、ネットワーク通信装置２００のポートである。
【００７０】
次に、フロー登録部１３０は、返信フロー８３２を送信する（ステップＳ６０３）。
【００７１】
次に、第１ダミーパケット通信部１１０は、第１ダミーパケット８１１を送信する（ステップＳ６０４）。
【００７２】
次に、第１ダミーパケット通信部１１０は、その返信パケットを受信する（ステップＳ６０５）。
【００７３】
図１１は、本実施形態に係るトラップシステム１０１を含む、情報処理システム１０の動作を示すシーケンス図である。処理のステップ名については、Ｓ５０１のように、記号で記載する。
【００７４】
第１ダミーパケット通信部１１０は、第１ダミーパケット８１１を生成する（ステップＳ５０１、図８のステップＳ６０１に対応）。
【００７５】
次に、フロー登録部１３０は、第１ダミーパケット８１１に基づいて、返信フロー８３２を生成する（ステップＳ５０２、図８のステップＳ６０２に対応）。
【００７６】
次に、フロー登録部１３０は、返信フロー８３２をネットワーク通信装置２００へ送信する（ステップＳ５０３、図８のステップＳ６０３に対応）。
【００７７】
次に、ネットワーク通信装置２００は、受信した返信フロー８３２をフローテーブル８３０へ登録する（ステップＳ５０４）。
【００７８】
第１ダミーパケット通信部１１０は、フロー登録部１３０が返信フロー８３２を送信した後、第１ダミーパケット８１１を端末３００へ送信する（ステップＳ５０５、図８のステップＳ６０４に対応）。
【００７９】
次に、端末３００は、受信した第１ダミーパケット８１１に応答してその返信パケットを送信する（ステップＳ５０６）。
【００８０】
次に、ネットワーク通信装置２００は、フローテーブル８３０の内容に基づいて、受信したその返信パケットの処置を決定する（ステップＳ５０７）。
【００８１】
次に、ネットワーク通信装置２００は、ステップＳ５０７で決定した処置を実行する（ステップＳ５０８）。ここでは、ネットワーク通信装置２００は、その返信パケットをトラップシステム１０１の第１ダミーパケット通信部１１０へ転送する。この時、トラップシステム１０１の第１ダミーパケット通信部１１０は、図８のステップＳ６０５において、その返信パケットを受信する。
【００８２】
上述した本実施形態における効果は、ネットワークに対する攻撃を困難にすることが可能になる点である。
【００８３】
その理由は、以下のような構成を含むからである。即ち、第１に第１ダミーパケット通信部１１０が第１ダミーパケット８１１を生成し、その第１ダミーパケット８１１を端末３００へ送信する。第２に、フロー登録部１３０が第１ダミーパケット８１１に基づいて生成した返信フロー８３２をネットワーク通信装置２００へ送信する。
【００８４】
＜＜＜第２の実施形態＞＞＞
次に、本発明の第２の実施形態について図面を参照して詳細に説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。
【００８５】
図１２は、本発明の第２の実施形態に係るトラップシステム１０２の構成を示すブロック図である。
【００８６】
図１２に示すように、本実施形態におけるトラップシステム１０２は、第１の実施形態のトラップシステム１０１と比べて、第１ダミー情報記憶部１２０及び通信判定手段１４０を、更に含む点が異なる。
【００８７】
＝＝＝第１ダミー情報記憶部１２０＝＝＝
第１ダミー情報記憶部１２０は、第１ダミーパケット８１１に含まれる第１ダミー情報を記憶する。
【００８８】
図１３は、第１ダミー情報記憶部１２０に記憶される第１ダミー情報履歴８７１の一例を示す図である。図１３は、送信元ダミーＩＰが「１９２．１６８．１．１」であるという第１ダミー情報を含む、第１ダミー情報履歴８７１を示す。尚、第１ダミー情報履歴８７１は、図１３に示す例に係わらず、第１ダミーパケット８１１に関連する任意の情報を含んでよい。
【００８９】
＝＝＝通信判定手段１４０＝＝＝
通信判定手段１４０は、第１ダミー情報記憶部１２０に記憶される第１ダミー情報履歴８７１に基づいて、被判定パケットが不正パケット８４１であるか否かを判定する。その被判定パケットは、ネットワーク通信装置２００からのフロー問い合わせで指定されるパケットである。そのフロー問い合わせは、例えば、ＯｐｅｎＦｌｏｗにおけるｐａｃｋｅｔ＿ｉｎメッセージである。
【００９０】
具体的には、通信判定手段１４０は、そのフロー問い合わせに含まれるその被判定パケットに関する情報が、第１ダミー情報履歴８７１に含まれる第１ダミー情報に対応するか否かを判定する。例えば、通信判定手段１４０は、そのフロー問い合わせに含まれるその被判定パケットの宛先ＩＰが、第１ダミー情報履歴８７１に含まれる送信元ダミーＩＰのいずれかと一致するか否かを判定する。尚、上述の例に係わらず、通信判定手段１４０は、そのフロー問い合わせに含まれるその被判定パケットに関する任意の情報について、第１ダミー情報履歴８７１に含まれる第１ダミー情報に対応するか否かを判定してよい。
【００９１】
＝＝＝フロー登録部１３０＝＝＝
本実施形態のフロー登録部１３０は、通信判定手段１４０が判定した結果に基づいて、その被判定パケットに対するフローを（通信制御規則）を生成する。
【００９２】
トラップシステム１０２は、図１に示すトラップシステム１０１と同様に、図５に示すコンピュータ７００によって実現されてよい。
【００９３】
この場合、ＣＰＵ７０１は、その読み込んだプログラムに従って、またその読み込んだデータに基づいて、更に、図１４に示す通信判定手段１４０としても、各種の処理を実行する。ここで、そのプログラムは、例えば、後述の図１５及び図１７に示すフローチャートの動作をコンピュータ７００に実行させるためのプログラムである。
【００９４】
記憶部７０２は、更に第１ダミー情報履歴８７１を記憶してよい。記憶部７０２は、更に第１ダミー情報記憶部１２０及び通信判定手段１４０の一部としても含まれてよい。
【００９５】
記憶装置７０３は、更に第１ダミー情報履歴８７１を記憶してよい。記憶装置７０３は、更に１ダミー情報記憶部１２０及び通信判定手段１４０の一部としても含まれてよい。
【００９６】
入力部７０４は、更に通信判定手段１４０の一部としても含まれてよい。
【００９７】
出力部７０５は、更に通信判定手段１４０の一部としても含まれてよい。
【００９８】
通信部７０６は、更に通信判定手段１４０の一部としても含まれてよい。
【００９９】
次に本実施形態の動作について、図面を参照して詳細に説明する。
【０１００】
図８は、本実施形態のトラップシステム１０２の、第１ダミーパケット８１１を送信する場合の、動作を示すフローチャートである。尚、このフローチャートによる処理は、前述したＣＰＵ７０１によるプログラム制御に基づいて、実行されてよい。また、処理のステップ名については、Ｓ６０１のように、記号で記載する。
【０１０１】
ステップＳ６０１は、図８に示すステップＳ６０１と同じである。
【０１０２】
次に、第１ダミーパケット通信部１１０は、第１ダミーパケット８１１に含まれる第１ダミー情報を第１ダミー情報記憶部１２０に記憶する（ステップＳ６１１）。
【０１０３】
ステップＳ６０２からステップＳ６０５は、図８に示すステップＳ６０２からステップＳ６０５と同じである。
【０１０４】
図１６は、本実施形態に係るトラップシステム１０２を含む情報処理システム２０の、トラップシステム１０２により第１ダミーパケット８１１が送信される場合の、動作を示すシーケンス図である。処理のステップ名については、Ｓ５０１のように、記号で記載する。
【０１０５】
ステップＳ５０１は、図１１に示すステップＳ５０１と同じである。
【０１０６】
次に、第１ダミーパケット通信部１１０は、第１ダミーパケット８１１に含まれる第１ダミー情報を第１ダミー情報記憶部１２０に記憶する（ステップＳ５１１、図１５のステップＳ６１１に対応）。
【０１０７】
ステップＳ５０２からステップＳ５０８は、図１１に示すステップＳ５０２からステップＳ５０８と同じである。
【０１０８】
図１７は、本実施形態のトラップシステム１０２の、端末３００がパケットを送信した場合の、動作を示すフローチャートである。尚、このフローチャートによる処理は、前述したＣＰＵ７０１によるプログラム制御に基づいて、実行されてよい。また、処理のステップ名については、Ｓ６０１のように、記号で記載する。
【０１０９】
通信判定手段１４０は、ネットワーク通信装置２００からフローの問い合わせを受信する（ステップＳ６２１）。
【０１１０】
次に、通信判定手段１４０は、被判定パケットが不正パケット８４１であるか否かを判定する（ステップＳ６２２）。
【０１１１】
被判定パケットが不正パケット８４１である場合（ステップＳ６２２でＹＥＳ）、処理はステップＳ６２５へ進む。被判定パケットが不正パケット８４１でない場合（ステップＳ６２２でＮＯ）、処理はステップＳ６２３へ進む。
【０１１２】
フロー登録部１３０は、正常フロー８３３を生成する（ステップＳ６２３）。正常フロー８３３は、端末３００から送信される正常パケットを、その正常パケットの宛先の装置が受け取ることを可能にするためのフローである。ここでは、フロー登録部１３０は、その正常パケットに含まれる宛先ＩＰをマッチ条件に含む、正常フロー８３３を生成する。
【０１１３】
より具体的には、フロー登録部１３０は、例えば、マッチ条件を「宛先ＩＰアドレス＝［１９２．１６８．１．５］とし、アクションを「５番ポートへの出力」とする正常フロー８３３を生成する。
【０１１４】
図１８は、正常フロー８３３の一例を示す図である。図１８に示すように、正常フロー８３３は、宛先ＩＰが「１９２．１６８．１．５」であることをマッチ条件とし、そのマッチ条件を満たすパケットを５番ポートへ出力することをアクションとする、ことを示す。ここで、５番ポートは、他の端末３００が接続される、ネットワーク通信装置２００のポートである。
【０１１５】
次に、フロー登録部１３０は、正常フロー８３３を送信する（ステップＳ６２４）。その後、処理は終了する。
【０１１６】
フロー登録部１３０は、不正フロー８３４を生成する（ステップＳ６２５）。その後、処理は終了する。
【０１１７】
不正フロー８３４は、例えば、端末３００から送信される不正パケット８４１を廃棄するためのフローである。ここでは、フロー登録部１３０は、その不正パケット８４１に含まれる宛先ＩＰをマッチ条件に含む、不正フロー８３４を生成する。
【０１１８】
より具体的には、フロー登録部１３０は、例えば、マッチ条件を「宛先ＩＰアドレス＝［１９２．１６８．１．１］とし、アクションを「廃棄」とする不正フロー８３４を生成する。
【０１１９】
図１９は、不正フロー８３４の一例を示す図である。図１９に示すように、不正フロー８３４は、宛先ＩＰが「１９２．１６８．１．１」、かつ宛先ポート番号が「２００１以外」であることをマッチ条件とし、そのマッチ条件を満たすパケットを廃棄することをアクションとする、ことを示す。
【０１２０】
不正フロー８３４は、端末３００から送信される不正パケット８４１の転送を遅延させるためのフローであってもよい。また、不正フロー８３４は、端末３００から送信される全てのパケットを廃棄させるためのフローであってもよい。不正フロー８３４は、上述の例に係わらず、感染端末である端末３００が、情報処理システム２０へ与える害を防御や、感染源の調査、感染源に対する反撃などの、任意の処理を目的とする、任意のフローであってよい。
【０１２１】
尚、通信判定手段１４０は、被判定パケットが不正パケット８４１であると判定した場合、その不正パケット８４１に関連する情報を出力してよい。
【０１２２】
例えば、通信判定手段１４０は、その不正パケット８４１に関連する情報を図５に示す出力部７０５を介して出力する。また、通信判定手段１４０は、図５に示す通信部７０６を介して、図示しない機器にその不正パケットに関連する情報を送信してもよい。また、通信判定手段１４０は、図５に示す記憶装置７０３を介して、記録媒体７０７にその不正パケット８４１に関連する情報を記録してもよい。
【０１２３】
図２０は、本実施形態に係るトラップシステム１０２を含む情報処理システム２０の、端末３００が正常パケット８６１を送信した場合の、動作を示すシーケンス図である。処理のステップ名については、Ｓ５０１のように、記号で記載する。
【０１２４】
端末３００が正常パケット８６１を送信し、ネットワーク通信装置２００は、その正常パケット８６１を受信する（ステップＳ５２１）。
【０１２５】
次に、ネットワーク通信装置２００は、受信したその正常パケット８６１に対応するフローがフローテーブル８３０に存在しない場合、トラップシステム１０２の通信判定手段１４０に、フロー問い合わせ８５１を送信する。そして、通信判定手段１４０は、そのフロー問い合わせ８５１を受信する（ステップＳ５２２、図１７のステップＳ６２１に対応）。ここで、そのフロー問い合わせ８５１は、その正常パケット８６１に関する情報を含む。
【０１２６】
尚、ネットワーク通信装置２００は、受信したその正常パケット８６１に対応するフローがフローテーブル８３０に存在する場合、そのフローに基づいて正常パケット８６１を処置する。
【０１２７】
次に、通信判定手段１４０は、フロー問い合わせ８５１に含まれるその被判定パケットに関する情報が、第１ダミー情報履歴８７１に含まれる第１ダミー情報に対応するか否かを判定する（ステップＳ５２３、図１７のステップＳ６２２に対応）。ここで、正常パケット８６１に関する情報は、第１ダミー情報履歴８７１に含まれる第１ダミー情報に対応しない（図１７のステップＳ６２２で、ＮＯの場合に対応）。
【０１２８】
次に、通信判定手段１４０は、正常フロー８３３を生成する（ステップＳ５２４、図１７のステップＳ６２３に対応）。
【０１２９】
次に、通信判定手段１４０は、正常フロー８３３をネットワーク通信装置２００へ送信する（ステップＳ５２５、図１７のステップＳ６２４に対応）。
【０１３０】
次に、ネットワーク通信装置２００は、受信した正常フロー８３３をフローテーブル８３０へ登録する（ステップＳ５２６）。
【０１３１】
次に、ネットワーク通信装置２００は、フローテーブル８３０の内容に基づいて、受信した正常パケット８６１の処置を決定する（ステップＳ５２７）。
【０１３２】
次に、ネットワーク通信装置２００は、ステップＳ５０７で決定した処理を実行する（ステップＳ５２８）。ここでは、ネットワーク通信装置２００は、正常パケット８６１を他の端末３００へ転送する。
【０１３３】
図２１は、本実施形態に係るトラップシステム１０２を含む情報処理システム２０の、端末３００が不正パケット８４１を送信した場合の、動作を示すシーケンス図である。処理のステップ名については、Ｓ５０１のように、記号で記載する。
【０１３４】
端末３００が不正パケット８４１を送信し、ネットワーク通信装置２００は、その不正パケット８４１を受信する（ステップＳ５３１）。
【０１３５】
次に、ネットワーク通信装置２００は、受信したその不正パケット８４１に対応するフローがフローテーブル８３０に存在しない場合、トラップシステム１０２の通信判定手段１４０に、フロー問い合わせ８５１を送信する。そして、通信判定手段１４０は、そのフロー問い合わせ８５１を受信する（ステップＳ５３２、図１７のステップＳ６２１に対応）。ここで、そのフロー問い合わせ８５１は、その不正パケット８４１に関する情報を含む。
【０１３６】
尚、ネットワーク通信装置２００は、受信したその不正パケット８４１に対応するフローがフローテーブル８３０に存在する場合、そのフローに基づいて不正パケット８４１を処置する。
【０１３７】
次に、通信判定手段１４０は、フロー問い合わせ８５１に含まれるその被判定パケットに関する情報が、第１ダミー情報履歴８７１に含まれる第１ダミー情報に対応するか否かを判定する（ステップＳ５３３、図１７のステップＳ６２２に対応）。ここで、不正パケット８４１に関する情報は、第１ダミー情報履歴８７１に含まれる第１ダミー情報に対応する（図１７のステップＳ６２２で、ＹＥＳの場合に対応）。
【０１３８】
次に、通信判定手段１４０は、不正フロー８３４を生成する（ステップＳ５３４、図１７のステップＳ６２５に対応）。
【０１３９】
次に、通信判定手段１４０は、不正フロー８３４をネットワーク通信装置２００へ送信する（ステップＳ５２５、図１７のステップＳ６２６に対応）。
【０１４０】
次に、ネットワーク通信装置２００は、受信した不正フロー８３４をフローテーブル８３０へ登録する（ステップＳ５３６）。
【０１４１】
次に、ネットワーク通信装置２００は、フローテーブル８３０の内容に基づいて、受信した不正パケット８４１の処置を決定する（ステップＳ５３７）。
【０１４２】
次に、ネットワーク通信装置２００は、ステップＳ５０７で決定した処理を実行する（ステップＳ５３８）。
【０１４３】
上述した本実施形態における第１の効果は、第１の実施形態の効果に加えて、ネットワークに対する攻撃を検出することが可能になる点である。
【０１４４】
その理由は、第１ダミー情報記憶部１２０が第１ダミー情報履歴８７１を記憶し、通信判定手段１４０が、第１ダミー情報履歴８７１に基づいて、被判定パケットが不正パケット８４１であるか否かを判定するからである。
【０１４５】
上述した本実施形態における第２の効果は、ネットワークに対する攻撃を防御することが可能になる点である。
【０１４６】
その理由は、通信判定手段１４０が被判定パケットを不正パケット８４１であると判定した場合、フロー登録部１３０がその不正パケット８４１に対応する不正フロー８３４を生成するからである。
【０１４７】
＜＜＜第３の実施形態＞＞＞
次に、本発明の第３の実施形態について図面を参照して詳細に説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。
【０１４８】
図２２は、本発明の第３の実施形態に係るトラップシステム１０３の構成を示すブロック図である。
【０１４９】
図２２に示すように、本実施形態におけるトラップシステム１０３は、第２の実施形態のトラップシステム１０２と比べて、第２ダミーパケット通信部３１０を更に含む。端末３０３は、第２ダミーパケット通信部３１０を含む。
【０１５０】
図２３は、端末３０３の構成を示すブロック図である。図２３に示すように、第２ダミーパケット通信部３１０は、端末３０３に含まれてよい。また、端末３０３は、第２ダミー情報記憶部３２０を更に含んでよい。
【０１５１】
＝＝＝第２ダミーパケット通信部３１０＝＝＝
第２ダミーパケット通信部３１０は、第１ダミーパケット８１１を受信する。
【０１５２】
そして、第２ダミーパケット通信部３１０は、受信した第１ダミーパケット８１１に含まれる情報に基づいて、第２ダミーパケット８２１を生成して送信する。
【０１５３】
また、端末３０３が第２ダミー情報記憶部３２０を含む場合、第２ダミーパケット通信部３１０は、受信した第１ダミーパケット８１１に含まれる情報を第２ダミー情報として第２ダミー情報記憶部３２０に記録してもよい。
【０１５４】
この場合、第２ダミーパケット通信部３１０は、第２ダミー情報記憶部３２０に記録された第２ダミー情報に基づいて、第２ダミーパケット８２１を生成して送信してもよい。
【０１５５】
＝＝＝第２ダミー情報記憶部３２０＝＝＝
第２ダミー情報記憶部３２０は、第２ダミー情報を記憶する。図２４は、第２ダミー情報記憶部３２０が記憶する第２ダミー情報履歴８７２の一例を示す図である。
【０１５６】
図２４は、送信元ＭＡＣが「１２：３４：５６：００：００：０１」、送信元ダミーＩＰが「１９２．１６８．１．１」、送信元ポート番号が「２００１」であるという第２ダミー情報を含む、第２ダミー情報履歴８７２を示す。尚、第２ダミー情報履歴８７２は、図２４に示す例に係わらず、第１ダミーパケット８１１に含まれる任意の情報を、更に含んでよい。
【０１５７】
＝＝＝トラップシステム１０２のフロー登録部１３０＝＝＝
本実施形態のフロー登録部１３０は、更に、第２ダミーフロー８３５を生成し、ネットワーク通信装置２００へ送信する。ここで、第２ダミーフロー８３５は、第２ダミーパケット通信部３１０が送信する第２ダミーパケット８２１を、第１ダミーパケット通信部１１０が受信することを可能にするためのフローである。
【０１５８】
図２５は、第２ダミーフロー８３５の一例を示す図である。図２５に示す第２ダミーフロー８３５は、宛先ダミーＩＰが「１９２．１６８．１．１」、かつ宛先ポート番号が「７」であることをマッチ条件とすることを示す。そして、その返信フロー８３２は、そのマッチ条件を満たすパケットを１番ポートへ出力すること（第１ダミーパケット通信部１１０が接続される、ネットワーク通信装置２００のポート）をアクションとすることを示す。
【０１５９】
また、本実施形態の第１ダミーパケット通信部１１０は、第２ダミーパケット８２１の内容を指定する情報を、第１ダミーパケット８１１のデータ部に含めてもよい。この場合、第１ダミーパケット通信部１１０は、その第２ダミーパケット８２１の内容を指定する情報に基づいて生成された第２ダミーパケット８２１に対応する第２ダミーフロー８３５を生成して送信する。また、第２ダミーパケット通信部３１０は、その第２ダミーパケット８２１の内容を指定する情報に基づいて、第２ダミーパケット８２１を生成する。或いは、図２３に示す端末３０３の第２ダミーパケット通信部３１０は、その第２ダミーパケット８２１の内容を指定する情報を第２ダミー情報として第２ダミー情報記憶部３２０に記録する。
【０１６０】
端末３０３は、図５に示すコンピュータ７００によって実現されてよい。
【０１６１】
この場合、ＣＰＵ７０１は、その読み込んだプログラムに従って、またその読み込んだデータに基づいて、図２２に示す第２ダミーパケット通信部３１０としても、各種の処理を実行する。ここで、そのプログラムは、例えば、後述の図２８及び図３０に示すフローチャートの動作をコンピュータ７００に実行させるためのプログラムである。
【０１６２】
記憶部７０２は、第２ダミー情報履歴８７２を記憶してよい。記憶部７０２は、第２ダミー情報記憶部３２０の一部として含まれてよい。
【０１６３】
記憶装置７０３は、第２ダミー情報履歴８７２を記憶してよい。記憶装置７０３は、第２ダミー情報記憶部３２０の一部として含まれてよい。
【０１６４】
入力部７０４は、第２ダミーパケット通信部３１０の一部としても含まれてよい。
【０１６５】
出力部７０５は、第２ダミーパケット通信部３１０の一部としても含まれてよい。
【０１６６】
通信部７０６は、第２ダミーパケット通信部３１０の一部としても含まれてよい。
【０１６７】
図２６は、トラップシステム１０３を含む情報処理システム３０の構成を示すブロック図である。図２６に示すように情報処理システム３０は、トラップシステム１０３、ネットワーク通信装置２００及び端末３００を含む。トラップシステム１０３のトラップシステム１０２、トラップシステム１０３の端末３０３及び端末３００は、ネットワーク通信装置２００を介して、互いに接続されている。尚、図２６に示す例に係わらず、情報処理システム３０に含まれるトラップシステム１０３のトラップシステム１０２、トラップシステム１０３の端末３０３、ネットワーク通信装置２００及び端末３００のそれぞれは、任意の台数であってよい。また、情報処理システム３０は、図示しない、サーバ、通信制御装置、記憶装置及びその他の情報処理装置を含んでよい。
【０１６８】
次に本実施形態の動作について、図面を参照して詳細に説明する。
【０１６９】
図２７は、本実施形態のトラップシステム１０３の、第１ダミーパケット８１１が送信される場合の、トラップシステム１０２側の動作を示すフローチャートである。処理のステップ名については、Ｓ６０１のように、記号で記載する。
【０１７０】
図２７に示すフローチャートの処理において、図１５に示すフローチャートの処理と同じ処理は、同一のステップ名を付与している。
【０１７１】
ステップＳ６０２の次に、フロー登録部１３０は、第２ダミーフロー８３５を生成する（ステップＳ６３１）。
【０１７２】
ステップＳ６０３の次に、フロー登録部１３０は、第２ダミーフロー８３５をネットワーク通信装置２００へ送信する（ステップＳ６３２）。
【０１７３】
図２８は、本実施形態のトラップシステム１０３の、第１ダミーパケット８１１が送信された場合の、端末３０３側の動作を示すフローチャートである。
【０１７４】
第２ダミーパケット通信部３１０は、第１ダミーパケット８１１を受信する（ステップＳ６３３）。
【０１７５】
第２ダミーパケット通信部３１０は、第２ダミー情報を、第２ダミー情報記憶部３２０の第２ダミー情報履歴８７２に登録する（ステップＳ６３４）。
【０１７６】
第２ダミーパケット通信部３１０は、受信した第１ダミーパケット８１１に対する返信パケットをトラップシステム１０２へ送信する（ステップＳ６３５）。
【０１７７】
図２９は、本実施形態に係るトラップシステム１０３を含む情報処理システム３０の、トラップシステム１０２により第１ダミーパケット８１１が送信される場合の、動作を示すシーケンス図である。処理のステップ名については、Ｓ５０１のように、記号で記載する。
【０１７８】
ステップＳ５０１及びステップＳ５１１のそれぞれは、図１６に示すステップＳ５０１及びステップＳ５１１のそれぞれと同じである。
【０１７９】
次に、フロー登録部１３０は、第１ダミーパケット８１１に基づいて、返信フロー８３２及び第２ダミーフロー８３５を生成する（ステップＳ５４２、図２７のステップＳ６０２及びステップＳ６３１に対応）。
【０１８０】
次に、フロー登録部１３０は、返信フロー８３２及び第２ダミーフロー８３５をネットワーク通信装置２００へ送信する（ステップＳ５４３、図２７のステップＳ６０３及びステップＳ６３２に対応）。
【０１８１】
次に、ネットワーク通信装置２００は、受信した返信フロー８３２及び第２ダミーフロー８３５をフローテーブル８３０へ登録する（ステップＳ５４４）。
【０１８２】
ステップＳ５０５は、図１６に示すステップＳ５０５と同じである。
【０１８３】
次に、第２ダミーパケット通信部３１０は、第２ダミー情報を第２ダミー情報記憶部３２０に記録する（ステップＳ５４５）。
【０１８４】
ステップＳ５０６乃至ステップＳ５０８のそれぞれは、図１６に示すステップＳ５０６乃至ステップＳ５０８のそれぞれと同じである。
【０１８５】
図３０は、本実施形態のトラップシステム１０３の、第２ダミーパケット８２１が送信される場合の、端末３０３側の動作を示すフローチャートである。処理のステップ名については、Ｓ６０１のように、記号で記載する。
【０１８６】
第２ダミーパケット通信部３１０は、第２ダミーパケット８２１を生成する（ステップＳ６３６）。
【０１８７】
例えば、第２ダミーパケット通信部３１０は、第２ダミー情報履歴８７２に基づいて、第２ダミーパケット８２１を生成する。その第２ダミーパケット８２１は、例えば、宛先ＭＡＣを「１２：３４：５６：００：００：０１」、宛先ダミーＩＰを「１９２．１６８．１．１」及び宛先ポート番号を「７」とする。
【０１８８】
次に、第２ダミーパケット通信部３１０は、トラップシステム１０２へ第２ダミーパケット８２１を送信する（ステップＳ６３７）。
【０１８９】
次に、第２ダミーパケット通信部３１０は、第２ダミーパケット８２１に対する返信パケットを受信する（ステップＳ６３８）。
【０１９０】
図３１は、本実施形態のトラップシステム１０３の、第２ダミーパケット８２１が送信された場合の、トラップシステム１０２の動作を示すフローチャートである。
【０１９１】
第１ダミーパケット通信部１１０は、第２ダミーパケット８２１を受信する（ステップＳ６３９）。
【０１９２】
第１ダミーパケット通信部１１０は、第２ダミーパケット８２１に含まれるダミー情報を、第１ダミー情報記憶部１２０の第１ダミー情報履歴８７１に登録する（ステップＳ６４０）。
【０１９３】
第１ダミーパケット通信部１１０は、受信した第２ダミーパケット８２１に対するその返信パケットを端末３０３へ送信する（ステップＳ６４１）。
【０１９４】
図３２は、本実施形態に係るトラップシステム１０３を含む情報処理システム３０の、端末３０３により第２ダミーパケット８２１が送信される場合の、動作を示すシーケンス図である。処理のステップ名については、Ｓ５０１のように、記号で記載する。
【０１９５】
第２ダミーパケット通信部３１０は、第２ダミーパケット８２１を生成する（ステップＳ５５１、図３０のステップＳ６３６に対応）。
【０１９６】
次に、第２ダミーパケット通信部３１０は、第２ダミーパケット８２１を送信し、ネットワーク通信装置２００がその第２ダミーパケット８２１を受信する（ステップＳ５５２、図３０のステップＳ６３７に対応）。
【０１９７】
次に、ネットワーク通信装置２００は、フローテーブル８３０に含まれる第２ダミーフロー８３５に基づいて、第２ダミーパケット８２１の処置を決定する（ステップＳ５５３、図３０のステップＳ６３８に対応）。
【０１９８】
次に、ネットワーク通信装置２００は、ステップＳ５５３で決定した処置を実行する（ステップＳ５５４）。ここでは、ネットワーク通信装置２００は、第２ダミーパケット８２１をトラップシステム１０２の第１ダミーパケット通信部１１０へ転送する。この時、トラップシステム１０２の第１ダミーパケット通信部１１０は、図３１のステップＳ６３９において、第２ダミーパケット８２１を受信する。
【０１９９】
次に、第１ダミーパケット通信部１１０は、第２ダミーパケット８２１に含まれるダミー情報を、第１ダミー情報記憶部１２０の第１ダミー情報履歴８７１に登録する（ステップＳ５５５、図３１のステップＳ６４０に対応）。
【０２００】
次に、第１ダミーパケット通信部１１０は、第２ダミーパケット８２１に対するその返信パケットを送信する（ステップＳ５５６、図３１のステップＳ６４１に対応）。
【０２０１】
以上が本実施形態の動作の説明である。
【０２０２】
尚、本実施形態のトラップシステム１０３は、トラップシステム１０２に替えて、トラップシステム１０１を含んでもよい。
【０２０３】
上述した本実施形態における第１の効果は、ネットワークに対する攻撃をより困難にすることが可能になる点である。
【０２０４】
その理由は、端末３０３が第２ダミーパケット８２１を生成し、送信するからである。
【０２０５】
上述した本実施形態における第２の効果は、ネットワークに対する攻撃を困難にするためにより好適な、第２ダミーパケット８２１を生成することが可能になる点である。
【０２０６】
その理由は、以下の構成を含むからである。第１に、第１ダミーパケット通信部１１０が、第２ダミーパケット８２１の内容を指定する情報を、第１ダミーパケット８１１のデータ部に含める。第２に、第２ダミーパケット通信部３１０が、その第２ダミーパケット８２１の内容を指定する情報に基づいて、第２ダミーパケット８２１を生成する。
【０２０７】
以上の各実施形態で説明した各構成要素は、必ずしも個々に独立した存在である必要はない。例えば、複数個の任意のその構成要素が１個のモジュールとして実現されてよい。また、その構成要素の内の任意のひとつが複数のモジュールで実現されてもよい。また、その構成要素の内の任意のひとつがその構成要素の内の任意の他のひとつであってよい。また、その構成要素の内の任意のひとつの一部と、その構成要素の内の任意の他のひとつの一部とが重複してもよい。
【０２０８】
以上説明した各実施形態における各構成要素及び各構成要素を実現するモジュールは、必要に応じ、可能であれば、ハードウエア的に実現されてよい。また、各構成要素及び各構成要素を実現するモジュールは、コンピュータ及びプログラムで実現されてよい。また、各構成要素及び各構成要素を実現するモジュールは、ハードウエア的なモジュールとコンピュータ及びプログラムとの混在により実現されてもよい。
【０２０９】
そのプログラムは、例えば、磁気ディスクや半導体メモリなど、コンピュータが読み取り可能な非一時的記録媒体に記録され、コンピュータに提供される。そして、そのプログラムは、コンピュータの立ち上げ時などに、非一時的記録媒体からコンピュータに読み取られる。この読み取られたプログラムは、そのコンピュータの動作を制御することにより、そのコンピュータを前述した各実施形態における構成要素として機能させる。
【０２１０】
また、以上説明した各実施形態では、複数の動作をフローチャートの形式で順番に記載してあるが、その記載の順番は複数の動作を実行する順番を限定するものではない。このため、各実施形態を実施するときには、その複数の動作の順番は内容的に支障のない範囲で変更することができる。
【０２１１】
更に、以上説明した各実施形態では、複数の動作は個々に相違するタイミングで実行されることに限定されない。例えば、ある動作の実行中に他の動作が発生してよい。また、ある動作と他の動作との実行タイミングが部分的に乃至全部において重複してもよい。
【０２１２】
更に、以上説明した各実施形態では、ある動作が他の動作の契機になるように記載しているが、その記載はある動作と他の動作との関係を限定するものではない。このため、各実施形態を実施するときには、その複数の動作の関係は内容的に支障のない範囲で変更することができる。また各構成要素の各動作の具体的な記載は、各構成要素の各動作を限定するものではない。このため、各構成要素の具体的な各動作は、各実施形態を実施する上で機能的、性能的、その他の特性に対して支障を来さない範囲内で変更されてよい。
【０２１３】
以上、各実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解し得るさまざまな変更をすることができる。
【符号の説明】
【０２１４】
１０    情報処理システム
２０    情報処理システム
３０    情報処理システム
１０１    トラップシステム
１０２    トラップシステム
１０３    トラップシステム
１１０    第１ダミーパケット通信部
１２０    第１ダミー情報記憶部
１３０    フロー登録部
１４０    通信判定手段
２００    ネットワーク通信装置
３００    端末
３０３    端末
３１０    第２ダミーパケット通信部
３２０    第２ダミー情報記憶部
７００    コンピュータ
７０１    ＣＰＵ
７０２    記憶部
７０３    記憶装置
７０４    入力部
７０５    出力部
７０６    通信部
７０７    記録媒体
８００    ネットワーク構成情報
８１１    第１ダミーパケット
８２１    第２ダミーパケット
８３０    フローテーブル
８３１    フロー
８３２    返信フロー
８３３    正常フロー
８３４    不正フロー
８３５    第２ダミーフロー
８４１    不正パケット
８６１    正常パケット
８７１    第１ダミー情報履歴
８７２    第２ダミー情報履歴
【図１】
0006459322.tif 000002
【図２】
0006459322.tif 000003
【図３】
0006459322.tif 000004
【図４】
0006459322.tif 000005
【図５】
0006459322.tif 000006
【図６】
0006459322.tif 000007
【図７】
0006459322.tif 000008
【図８】
0006459322.tif 000009
【図９】
0006459322.tif 000010
【図１０】
0006459322.tif 000011
【図１１】
0006459322.tif 000012
【図１２】
0006459322.tif 000013
【図１３】
0006459322.tif 000014
【図１４】
0006459322.tif 000015
【図１５】
0006459322.tif 000016
【図１６】
0006459322.tif 000017
【図１７】
0006459322.tif 000018
【図１８】
0006459322.tif 000019
【図１９】
0006459322.tif 000020
【図２０】
0006459322.tif 000021
【図２１】
0006459322.tif 000022
【図２２】
0006459322.tif 000023
【図２３】
0006459322.tif 000024
【図２４】
0006459322.tif 000025
【図２５】
0006459322.tif 000026
【図２６】
0006459322.tif 000027
【図２７】
0006459322.tif 000028
【図２８】
0006459322.tif 000029
【図２９】
0006459322.tif 000030
【図３０】
0006459322.tif 000031
【図３１】
0006459322.tif 000032
【図３２】
0006459322.tif 000033