(57)【要約】【課題】記録された情報とその情報の確からしさを併せて提示することが可能なパケットログ記録装置を実現する。【解決手段】ネットワークの複数の観測点を伝播するパケットを記録するパケットログ記録装置において、パケットの情報を記録する第１の記憶手段と、第１の記憶手段の埋まり率を記録する第２の記憶手段と、複数の観測点の一を伝播するパケットを取り込み伝播中に不変である部分を抽出してハッシュ関数を適用し、得られたハッシュ値を第１の記憶手段のアドレスとみなしてこのアドレスの特定のビットにデータを書き込むと共に第１の記憶手段のデータの埋まり率を取得して前記第２の記憶手段に記録する演算制御手段とを設ける。【選択図】　　　　　　　　　　図１
2004128544.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークの複数の観測点を伝播するパケットを記録するパケットログ記録装置において、
前記パケットの情報を記録する第１の記憶手段と、
前記第１の記憶手段の埋まり率を記録する第２の記憶手段と、
複数の前記観測点の一を伝播するパケットを取り込み伝播中に不変である部分を抽出してハッシュ関数を適用し、得られたハッシュ値を前記第１の記憶手段のアドレスとみなしてこのアドレスの特定のビットにデータを書き込むと共に前記第１の記憶手段のデータの前記埋まり率を取得して前記第２の記憶手段に記録する演算制御手段と
を備えたことを特徴とするパケットログ記録装置。
【請求項２】
ネットワークの複数の観測点を伝播するパケットを記録するパケットログ記録装置において、
前記パケットの情報及び埋まり率をログ記録領域及び埋まり率記録領域にそれぞれ記録する記憶手段と、
複数の前記観測点の一を伝播するパケットを取り込み伝播中に不変である部分を抽出してハッシュ関数を適用し、得られたハッシュ値を前記ログ記録領域のアドレスとみなしてこのアドレスの特定のビットにデータを書き込むと共に前記ログ記録領域のデータの前記埋まり率を取得して前記埋まり率記録領域に記録する演算制御手段と
を備えたことを特徴とするパケットログ記録装置。
【請求項３】
前記演算制御手段が、
前記埋まり率から正解確率を演算して前記第２の記憶手段若しくは前記埋まり率記録領域に記録することを特徴とする
請求項１若しくは請求項２記載のパケットログ記録装置。
【請求項４】
前記演算制御手段が、
前記ハッシュ値が既に記録されているハッシュ値と同一であった回数を取得して前記第２の記憶手段若しくは前記埋まり率記録領域に記録することを特徴とする
請求項１若しくは請求項２記載のパケットログ記録装置。
【請求項５】
前記演算制御手段が、
最後に特定の前記ハッシュ値に対応するアドレスにデータを記録した時刻を取得して前記第２の記憶手段若しくは前記埋まり率記録領域に記録することを特徴とする
請求項１若しくは請求項２記載のパケットログ記録装置。
【請求項６】
前記演算制御手段が、
最後に特定のハッシュ値が既に記録されているハッシュ値と同一であった時刻を取得して前記第２の記憶手段若しくは前記埋まり率記録領域に記録することを特徴とする
請求項１若しくは請求項２記載のパケットログ記録装置。
【請求項７】
前記演算制御手段が、
最近記録したハッシュ値と記録時刻を過去に遡って複数個取得して前記第２の記憶手段若しくは前記埋まり率記録領域に記録することを特徴とする
請求項１若しくは請求項２記載のパケットログ記録装置。
【請求項８】
前記演算制御手段が、
前記第１の記憶手段若しくは前記ログ記録領域を複数の領域に分割して管理することを特徴とする
請求項１若しくは請求項２記載のパケットログ記録装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ネットワークを伝播するパケットを記録してパケットの伝播経路を追跡するパケット経路追跡システムで用いられるパケットログ記録装置に関し、特に記録された情報とその情報の確からしさを併せて提示することが可能なパケットログ記録装置に関する。
【０００２】
【従来の技術】
従来のネットワークを伝播するパケットを記録してパケットの伝播経路を追跡するパケット経路追跡システムで用いられるパケットログ記録装置に関連する先行技術文献としては次のようなものがある。
【０００３】
【特許文献１】
特開平１０−１６４０６４号公報
【０００４】
従来のインターネット上ではパケットを連続してターゲットに送信して当該ターゲットの提供するサービスを停止等させるＤｏＳ攻撃（Ｄｅｎｉａｌ　ｏｆ　Ｓｅｒｖｉｃｅ　ａｔｔａｃｋ：サービス停止攻撃：以下、単にＤｏＳと呼ぶ。）が問題になっている。
【０００５】
特に、複数地点から一斉に一つのターゲットに対してＤｏＳ攻撃を行うＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ　ＤｏＳ：分散型ＤｏＳ：以下、単にＤＤｏＳと呼ぶ。）が大きな問題になっている。
【０００６】
このため、このようなＤＤｏＳ攻撃等を防止するため、不正なパケットの発信源を特定するパケット経路追跡システムが考案されている。
【０００７】
図４はこのような従来のパケット経路追跡システムの一例を示す構成ブロック図である。図４において１は攻撃者（アタッカー）が操作する端末、２はＤＤｏＳ攻撃等のターゲットとなるサーバ、３及び４はＩＳＰ（Ｉｎｔｅｒｎｅｔ　Ｓｅｒｖｉｃｅ　Ｐｒｏｖｉｄｅｒ：インターネットサービス提供業者：以下、単にＩＳＰと呼ぶ。）、５，６，７及び８はルータ、９，１０及び１１は伝播するパケットの情報を記録するパケットログ記録装置である。
【０００８】
端末１はルータ５を介してＩＳＰ３に接続され、ＩＳＰ３はルータ６及びルータ７を介してＩＳＰ４に接続される。また、サーバ２はルータ８を介してＩＳＰ４に接続される。
【０００９】
さらに、端末１とルータ５との間の回線にはパケットログ記録装置９が接続され、ルータ６とルータ７との間の回線にはパケットログ記録装置１０が接続され、サーバ２とルータ８との間の回線にはパケットログ記録装置１１が接続される。
【００１０】
ここで、図４に示す従来のパケット経路追跡システムの動作を図５及び図６を用いて説明する。図５は攻撃者（アタッカー）の攻撃経路を示す説明図、図６はパケットの記録状況を説明する説明図である。
【００１１】
図５中”ＡＴ０１”に示すように攻撃者（アタッカー）は端末１からＩＳＰ３及びＩＳＰ４を介してターゲットであるサーバ２に対してＤｏＳ攻撃等を行う。
【００１２】
一方、パケットログ記録装置９，１０及び１１は接続された回線を伝播するパケットを取得して記憶手段に順次記録して行く。
【００１３】
例えば、図６中”ＬＧ１１”、”ＬＧ１２”及び”ＬＧ１３”に示すようにパケットログ記録装置９，１０及び１１はＤｏＳ攻撃のために伝播する不正なパケットを取得して記憶手段に順次記録する。
【００１４】
そして、ＤｏＳ攻撃等を受けたサーバ２が受信した不正なパケットと、パケットログ記録装置９，１０及び１１にそれぞれ記録されたパケットを比較して当該不正なパケットが伝播した経路を特定する。
【００１５】
例えば、図５に示すＤｏＳ攻撃等に用いられた不正なパケットはパケットログ記録装置９，１０及び１１に記録されているので図５中”ＡＴ０１”に示すような不正なパケットの伝播経路を特定することが可能になる。
【００１６】
但し、監視している回線に伝播するパケットの全ての情報を順次記録するために、記憶手段には膨大な記憶容量が必要になるため、効率良くパケットの情報を保持する方法が考案されている。
【００１７】
図７はこのようなパケットログ記録装置の具体例を示す構成ブロック図であり、１２は演算制御手段、１３は記憶手段である。
【００１８】
観測点である回線からの入力は演算制御手段１２に接続され、演算制御手段１２の出力は記憶手段１３に接続される。
【００１９】
ここで、図７に示すパケットログ記録装置の動作を図８を用いて説明する。図８は取得したパケットの記録方法を説明する説明図である。
【００２０】
図７中”ＬＧ２１”に示すように観測点である回線から入力されたパケットは演算制御手段１２に取り込まれ、ＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）パケットの中で伝播中に不変である部分等を抽出する。
【００２１】
そして、演算制御手段１２は抽出された情報をハッシュ関数を用いてハッシュ値に変換し、このハッシュ値を記憶手段１３のアドレスとみなして、該当するアドレスにビットを立てる等してある特定のパケットが伝播したことを記録する。
【００２２】
ここで、ハッシュ関数とは、原文から固定長の疑似乱数（ハッシュ値）を生成する関数であって、このハッシュ関数は不可逆な一方向関数を含むために生成されたハッシュ値から元の原文を再現することはできない。また、同じハッシュ値となる異なるデータを作成することは極めて困難である。
【００２３】
例えば、演算制御手段１２が、図８中”ＰＩ３１”に示すような取得したパケットから抽出された伝播中に不変である部分にハッシュ関数を適用して、図８中”ＨＶ３１”に示すようなハッシュ値（例えば、ＸＸＸＸＨ：１６ビットの１６進数表現）を得られた場合を想定する。
【００２４】
この場合、演算制御手段１２は得られたハッシュ値（ＸＸＸＸＨ）を記憶手段１３のアドレスとみなして、”ＸＸＸＸＨ”のアドレスに図８中”ＷＤ３１”に示すようにデータを書き込む。
【００２５】
例えば、データの書込み方法としては”００００００００Ｂ（８ビットデータ）”から”０００００００１Ｂ”等（ビットを立てる）に変更することによってある特定のパケットが伝播したことを記録する。
【００２６】
そして、ＤｏＳ攻撃等を受けたサーバが受信した不正なパケットに前記ハッシュ関数を適用して得られたハッシュ値に対応する記憶手段１３のアドレスにビットが立っていれば不正なパケットがパケットログ記録装置が接続された回線を伝播したことになる。
【００２７】
この結果、図７に示すパケットログ記録装置ではパケットの情報を全て記憶手段に記録するのではなく、パケットの一部分にハッシュ関数を適用して得られたハッシュ値に対応する記憶手段のアドレスに記録する（ビットを立てる）ことにより、記憶手段の記憶容量は小さくて良く、効率良くパケットの情報を保持することが可能である。
【００２８】
【発明が解決しようとする課題】
しかし、図７に示すパケットログ記録装置では、ＩＰパケットの中で伝播中に不変である部分等を抽出してハッシュ関数を用いてハッシュ値に変換し、このハッシュ値を記憶手段のアドレスとみなしてデータの書き込み行っているが、全く異なるＩＰパケットであってもたまたま変換されたハッシュ値が一致してしまう可能性が僅かながら存在する。
【００２９】
このため、ＤｏＳ攻撃等を受けたサーバが受信した不正なパケットに前記ハッシュ関数を適用して得られたハッシュ値に対応する記憶手段１３のアドレスにビットが立っていても、当該不正なパケットではない可能性も否定できず、また、当該不正なパケットであるか否かを判断することもできないと言った問題点があった。
従って本発明が解決しようとする課題は、記録された情報とその情報の確からしさを併せて提示することが可能なパケットログ記録装置を実現することにある。
【００３０】
【課題を解決するための手段】
このような課題を達成するために、本発明のうち請求項１記載の発明は、
ネットワークの複数の観測点を伝播するパケットを記録するパケットログ記録装置において、
前記パケットの情報を記録する第１の記憶手段と、前記第１の記憶手段の埋まり率を記録する第２の記憶手段と、複数の前記観測点の一を伝播するパケットを取り込み伝播中に不変である部分を抽出してハッシュ関数を適用し、得られたハッシュ値を前記第１の記憶手段のアドレスとみなしてこのアドレスの特定のビットにデータを書き込むと共に前記第１の記憶手段のデータの前記埋まり率を取得して前記第２の記憶手段に記録する演算制御手段とを備えたことにより、検索したパケットがログ記録装置に記録されたパケットと同一である確率を得ることが可能になる。
【００３１】
請求項２記載の発明は、
ネットワークの複数の観測点を伝播するパケットを記録するパケットログ記録装置において、
前記パケットの情報及び埋まり率をログ記録領域及び埋まり率記録領域にそれぞれ記録する記憶手段と、複数の前記観測点の一を伝播するパケットを取り込み伝播中に不変である部分を抽出してハッシュ関数を適用し、得られたハッシュ値を前記ログ記録領域のアドレスとみなしてこのアドレスの特定のビットにデータを書き込むと共に前記ログ記録領域のデータの前記埋まり率を取得して前記埋まり率記録領域に記録する演算制御手段とを備えたことにより、検索したパケットがログ記録装置に記録されたパケットと同一である確率を得ることが可能になる。
【００３２】
請求項３記載の発明は、
請求項１若しくは請求項２記載の発明であるパケットログ記録装置において、
前記演算制御手段が、
前記埋まり率から正解確率を演算して前記第２の記憶手段若しくは前記埋まり率記録領域に記録することことにより、検索したパケットがログ記録装置に記録されたパケットと同一である確率を得ることが可能になる。
【００３３】
請求項４記載の発明は、
請求項１若しくは請求項２記載の発明であるパケットログ記録装置において、
前記演算制御手段が、
前記ハッシュ値が既に記録されているハッシュ値と同一であった回数を取得して前記第２の記憶手段若しくは前記埋まり率記録領域に記録することにより、一連の攻撃パケットと考えられるものを同時に検索する場合により的確な判断材料になる。
【００３４】
請求項５記載の発明は、
請求項１若しくは請求項２記載の発明であるパケットログ記録装置において、
前記演算制御手段が、
最後に特定の前記ハッシュ値に対応するアドレスにデータを記録した時刻を取得して前記第２の記憶手段若しくは前記埋まり率記録領域に記録することにより、一連の攻撃パケットと考えられるものを同時に検索する場合により的確な判断材料になる。
【００３５】
請求項６記載の発明は、
請求項１若しくは請求項２記載の発明であるパケットログ記録装置において、
前記演算制御手段が、
最後に特定のハッシュ値が既に記録されているハッシュ値と同一であった時刻を取得して前記第２の記憶手段若しくは前記埋まり率記録領域に記録することにより、一連の攻撃パケットと考えられるものを同時に検索する場合により的確な判断材料になる。
【００３６】
請求項７記載の発明は、
請求項１若しくは請求項２記載の発明であるパケットログ記録装置において、
前記演算制御手段が、
最近記録したハッシュ値と記録時刻を過去に遡って複数個取得して前記第２の記憶手段若しくは前記埋まり率記録領域に記録することにより、一連の攻撃パケットと考えられるものを同時に検索する場合により的確な判断材料になる。
【００３７】
請求項８記載の発明は、
請求項１若しくは請求項２記載の発明であるパケットログ記録装置において、
前記演算制御手段が、
前記第１の記憶手段若しくは前記ログ記録領域を複数の領域に分割して管理することにより、検索したパケットがログ記録装置に記録されたパケットと同一である確率を得ることが可能になる。
【００３８】
【発明の実施の形態】
以下本発明を図面を用いて詳細に説明する。図１は本発明に係るパケット経路追跡システムのログ記録装置の一実施例を示す構成ブロック図である。
【００３９】
図１において１３は図７と同一符号を付してあり、１２ａは演算制御手段、１４は埋まり率を記録するための記憶手段である。観測点である回線からの入力は演算制御手段１２ａに接続され、演算制御手段１２ａの出力は記憶手段１３及び１４にそれぞれ接続される。
【００４０】
ここで、図１に示す実施例の動作を図２及び図３を用いて説明する。図２は演算制御手段１２ａの動作を説明するフロー図、図３は記憶手段１３の状況の一例を示す説明図である。
【００４１】
全く異なるＩＰパケットであってもたまたま変換されたハッシュ値が一致してしまう確率はログを記録する記憶手段１３にデータが埋まってゆくほど高くなるため、記憶手段１３におけるデータの埋まり率をハッシュ値がたまたま一致してしまう確率として求めて記憶手段に記録させる。
【００４２】
すなわち、図２中”Ｓ００１”において演算制御手段１２ａは記憶手段１３の状況を検索して記憶手段１３に記録されているデータの数を取得する。
【００４３】
例えば、図３に示す記憶手段１３の状況から、図３中”ＳＤ０１”，”ＳＤ０２”，”ＳＤ０３”，”ＳＤ０４”，”ＳＤ０５”，”ＳＤ０６”及び”ＳＤ０７”に示すアドレス部分にデータが書き込まれているのでそのデータ数を取得する。
【００４４】
そして、図２中”Ｓ００２”において演算制御手段１２ａは取得した記憶手段１３に記録されているデータの数を記憶手段１３の最大記録数で除算し、図２中”Ｓ００３”において除算結果を埋まり率として記憶手段１４に記録する。
【００４５】
すなわち、ＤｏＳ攻撃等を受けたサーバが受信した不正なパケットに前記ハッシュ関数を適用して得られたハッシュ値に対応する記憶手段１３のアドレスにビットが立っている場合、記憶手段１４に記録されている埋まり率を参照することにより、ハッシュ値がたまたま一致してしまう確率を得ることが可能になる。
【００４６】
この結果、演算制御手段１２ａがログを記録する記憶手段１３のデータの埋まり率を取得して記録することにより、ハッシュ値がたまたま一致してしまう確率を得ることが可能になり、検索したパケットがログ記録装置に記録されたパケットと同一である確率を得ることが可能になる。
【００４７】
なお、図１に示す実施例では説明の簡単のためにパケットのログを記録する記憶手段１３と、埋まり率を記録する記憶手段１４をそれぞれ別個に記載しているが、勿論、１つの記憶手段をログ記録領域及び埋まり率記録領域と言った２つの領域に分割して用いても構わない。
【００４８】
また、埋まり率を”Ａ”とした場合、演算制御手段１２ａで”（１−Ａ）×１００［％］”等の演算をして、これを正解確率として記憶手段１４に記録しても構わない。
【００４９】
また、演算制御手段１２ａがハッシュ値が一致した回数を取得して記憶手段１４に記録しても構わない。
【００５０】
また、演算制御手段１２ａが最後に特定のハッシュ値（アドレス）にデータを記録した時刻及び最後に特定のハッシュ値が一致した時刻を取得して記憶手段１４に記録しても構わない。
【００５１】
また、演算制御手段１２ａが最近ハッシュ値が一致したハッシュ値を過去に遡って複数個（例えば、過去１０個分）取得して記憶手段１４に記録しても構わない。
【００５２】
この場合、”ハッシュ値が一致した回数”、”最後に特定のハッシュ値（アドレス）にデータを記録した時刻”、”最後に特定のハッシュ値が一致した時刻”及び”最近ハッシュ値が一致したハッシュ値を過去に遡って複数個”等を記録することにより、より正確な記録時刻が得られる等、一連の攻撃パケットと考えられるものを同時に検索する場合により的確な判断材料になる。
【００５３】
また、演算制御手段１２ａが記憶手段１３を複数の領域に分割して管理しても構わない。例えば、演算制御手段１２ａが各領域毎に”ハッシュ値が一致した回数”、”最後に特定のハッシュ値（アドレス）にデータを記録した時刻”、”最後に特定のハッシュ値が一致した時刻”及び”最近ハッシュ値が一致したハッシュ値を過去に遡って複数個”等を取得して記憶手段１４に記録しても構わない。
【００５４】
また、図２に示す説明に際しては演算制御手段１２ａは記憶手段１３の状況を検索している旨記載しているが、記憶手段１３に新たに記録する回数を予めカウントしておいて、当該カウント値を参照しても構わない。
【００５５】
【発明の効果】
以上説明したことから明らかなように、本発明によれば次のような効果がある。
請求項１，２，３及び請求項８の発明によれば、演算制御手段がログを記録する記憶手段のデータの埋まり率を取得して記録することにより、ハッシュ値がたまたま一致してしまう確率を得ることが可能になり、検索したパケットがログ記録装置に記録されたパケットと同一である確率を得ることが可能になる。
【００５６】
また、請求項４，５，６及び請求項７の発明によれば、演算制御手段が、”ハッシュ値が一致した回数”、”最後に特定のハッシュ値（アドレス）にデータを記録した時刻”、”最後に特定のハッシュ値が一致した時刻”及び”最近ハッシュ値が一致したハッシュ値を過去に遡って複数個”等を記録することにより、一連の攻撃パケットと考えられるものを同時に検索する場合により的確な判断材料になる。
【図面の簡単な説明】
【図１】本発明に係るパケット経路追跡システムのログ記録装置の一実施例を示す構成ブロック図である。
【図２】演算制御手段の動作を説明するフロー図である。
【図３】記憶手段の状況の一例を示す説明図である。
【図４】従来のパケット経路追跡システムの一例を示す構成ブロック図である。
【図５】攻撃者（アタッカー）の攻撃経路を示す説明図である。
【図６】パケットの記録状況を説明する説明図である。
【図７】パケットログ記録装置の具体例を示す構成ブロック図である。
【図８】取得したパケットの記録方法を説明する説明図である。
【符号の説明】
１　端末
２　サーバ
３，４　ＩＳＰ
５，６，７，８　ルータ
９，１０，１１　パケットログ記録装置
１２，１２ａ　演算制御手段
１３，１４　記憶手段
【図１】
2004128544.tif 000003
【図２】
2004128544.tif 000004
【図３】
2004128544.tif 000005
【図４】
2004128544.tif 000006
【図５】
2004128544.tif 000007
【図６】
2004128544.tif 000008
【図７】
2004128544.tif 000009
【図８】
2004128544.tif 000010