(57)【要約】【課題】反射攻撃パケットの伝播経路の追跡が可能なパケット経路追跡システムを実現する。【解決手段】ネットワークを伝播するパケットを記録してパケットの伝播経路を追跡するパケット経路追跡システムにおいて、ネットワークの複数の観測点を伝播するパケットを記録する複数のパケットログ記録装置と、不正な回答パケットを受信した標的側端末から伝播経路追跡依頼があった場合、複数のパケットログ記録装置を検索して回答パケットの伝播経路を特定すると共に、回答パケット送信の原因となる問合せパケットを推定した上で複数のパケットログ記録装置を検索して問合せパケットの伝播経路を特定する伝播経路解析装置とを設ける。【選択図】                    図１
2004201042.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを伝播するパケットを記録してパケットの伝播経路を追跡するパケット経路追跡システムにおいて、
ネットワークの複数の観測点を伝播するパケットを記録する複数のパケットログ記録装置と、
不正な回答パケットを受信した標的側端末から伝播経路追跡依頼があった場合、複数の前記パケットログ記録装置を検索して前記回答パケットの伝播経路を特定すると共に、前記回答パケット送信の原因となる問合せパケットを推定した上で複数の前記パケットログ記録装置を検索して前記問合せパケットの伝播経路を特定する伝播経路解析装置と
を備えたことを特徴とするパケット経路追跡システム。
【請求項２】
前記伝播経路解析装置が、
不正な回答パケットを受信した標的側端末から伝播経路追跡依頼があった場合、複数の前記パケットログ記録装置を検索して前記反射攻撃パケットの伝播経路を特定すると共に、検出された前記回答パケットから問合せパケット依存部分を抽出して問合せパケットの形式を推定した上で複数の前記パケットログ記録装置を検索して推定された前記問合せパケットの伝播経路を特定することを特徴とする
請求項１記載のパケット経路追跡システム。
【請求項３】
ネットワークを伝播するパケットを記録してパケットの伝播経路を追跡するパケット経路追跡システムにおいて、
ネットワークの複数の観測点を伝播するパケットを記録する複数のパケットログ記録装置と、
不正な回答パケットを受信した場合、複数の前記パケットログ記録装置を検索して前記回答パケットの伝播経路を特定すると共に、前記回答パケット送信の原因となる問合せパケットを推定した上で複数の前記パケットログ記録装置を検索して前記問合せパケットの伝播経路を特定する伝播経路解析装置と
を備えたことを特徴とするパケット経路追跡システム。
【請求項４】
前記伝播経路解析装置が、
不正な回答パケットを受信した場合、複数の前記パケットログ記録装置を検索して前記反射攻撃パケットの伝播経路を特定すると共に、検出された前記回答パケットから問合せパケット依存部分を抽出して問合せパケットの形式を推定した上で複数の前記パケットログ記録装置を検索して推定された前記問合せパケットの伝播経路を特定することを特徴とする
請求項３記載のパケット経路追跡システム。
【請求項５】
前記パケットログ記録装置が、
前記問合せパケット若しくは前記回答パケットの情報を記録する記憶手段と、複数の前記観測点の一を伝播する前記問合せパケット若しくは前記回答パケットを取り込み全ての情報を記憶手段に書き込むと共に前記伝播経路解析装置の制御により前記問合せパケット若しくは前記回答パケットの伝播経路のトレースを行う演算制御手段と
から構成されたことを特徴とする
請求項１乃至請求項４のいずれかに記載のパケット経路追跡システム。
【請求項６】
前記伝播経路解析装置が、
前記パケットログ記録装置の前記記憶手段に記録されている前記情報の内、前記問合せパケット依存部分が一致していれば推定された前記問合せパケットが前記パケットログ記録装置に記録されているものと判断することを特徴とする
請求項５記載のパケット経路追跡システム。
【請求項７】
前記パケットログ記録装置が、
前記問合せパケット若しくは前記回答パケットの情報を記録する記憶手段と、複数の前記観測点の一を伝播する前記問合せパケット若しくは前記回答パケットを取り込み問合せパケット依存部分を抽出してハッシュ関数を適用し、得られたハッシュ値を前記記憶手段のアドレスとみなしてこのアドレスに前記情報としてデータを書き込むと共に前記伝播経路解析装置の制御により前記問合せパケット若しくは前記回答パケットの伝播経路のトレースを行う演算制御手段と
から構成されたことを特徴とする
請求項１乃至請求項４のいずれかに記載のパケット経路追跡システム。
【請求項８】
前記伝播経路解析装置が、
前記問合せパケット依存部分にハッシュ関数を適用して得られたハッシュ値に対応する記憶手段のアドレスに記録があれば推定された元パケットがパケットログ記録装置に記録されているものと判断することを特徴とする
請求項７記載のパケット経路追跡システム。
【請求項９】
前記問合せパケット若しくは前記回答パケットが、
ＩＣＭＰで用いられるパケットであることを特徴とする
請求項１乃至請求項８のいずれかに記載のパケット経路追跡システム。
【請求項１０】
前記問合せパケット若しくは前記回答パケットが、
ＩＣＭＰのｅｃｈｏコマンドを使って実現されているｐｉｎｇコマンドのパケットであることを特徴とする
請求項９記載のパケット経路追跡システム。
【請求項１１】
前記問合せパケット若しくは前記回答パケットが、
ＵＤＰで用いられるパケットであることを特徴とする
請求項１乃至請求項８のいずれかに記載のパケット経路追跡システム。
【請求項１２】
前記問合せパケット若しくは前記回答パケットが、
ＴＣＰで用いられるパケットであることを特徴とする
請求項１乃至請求項８のいずれかに記載のパケット経路追跡システム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ネットワークを伝播するパケットを記録してパケットの伝播経路を追跡するパケット経路追跡システムに関し、特に反射攻撃パケットの伝播経路の追跡が可能なパケット経路追跡システムに関する。
【０００２】
【従来の技術】
従来のネットワークを伝播するパケットを記録してパケットの伝播経路を追跡するパケット経路追跡システムに関連する先行技術文献としては次のようなものがある。
【０００３】
【特許文献１】
特開平１０−１６４０６４号公報
【特許文献２】
特開２０００−３４１３１５号公報
【０００４】
従来のインターネット上ではパケットを連続してターゲットに送信して当該ターゲットの提供するサービスを停止等させるＤｏＳ攻撃（Denial of Service attack：サービス停止攻撃：以下、単にＤｏＳと呼ぶ。）が問題になっている。
【０００５】
特に、複数地点から一斉に一つのターゲットに対してＤｏＳ攻撃を行うＤＤｏＳ攻撃（Distributed ＤｏＳ：分散型ＤｏＳ：以下、単にＤＤｏＳ攻撃と呼ぶ。）が大きな問題になっている。
【０００６】
このため、このようなＤＤｏＳ攻撃等を防止するため、不正なパケットの発信源を特定するパケット経路追跡システムが考案されている。
【０００７】
図９はこのような従来のパケット経路追跡システムの一例を示す構成ブロック図である。図９において１は攻撃者（アタッカー）が操作する端末、２はＤＤｏＳ攻撃等のターゲットとなるサーバ、３及び４はＩＳＰ（Internet Service Provider：インターネットサービス提供業者：以下、単にＩＳＰと呼ぶ。）、５，６，７及び８はルータ、９，１０及び１１は伝播するパケットの情報を記録するパケットログ記録装置である。
【０００８】
端末１はルータ５を介してＩＳＰ３に接続され、ＩＳＰ３はルータ６及びルータ７を介してＩＳＰ４に接続される。また、サーバ２はルータ８を介してＩＳＰ４に接続される。
【０００９】
さらに、端末１とルータ５との間の回線にはパケットログ記録装置９が接続され、ルータ６とルータ７との間の回線にはパケットログ記録装置１０が接続され、サーバ２とルータ８との間の回線にはパケットログ記録装置１１が接続される。
【００１０】
ここで、図９に示す従来のパケット経路追跡システムの動作を図１０及び図１１を用いて説明する。図１０は攻撃者（アタッカー）の攻撃経路を示す説明図、図１１はパケットの記録状況を説明する説明図である。
【００１１】
図１０中”ＡＴ０１”に示すように攻撃者（アタッカー）は端末１からＩＳＰ３及びＩＳＰ４を介してターゲットであるサーバ２に対してＤｏＳ攻撃等を行う。
【００１２】
一方、パケットログ記録装置９，１０及び１１は接続された回線を伝播するパケットを取得して記憶手段に順次記録して行く。
【００１３】
例えば、図１１中”ＬＧ１１”、”ＬＧ１２”及び”ＬＧ１３”に示すようにパケットログ記録装置９，１０及び１１はＤｏＳ攻撃のために伝播する不正なパケットを取得して記憶手段に順次記録する。
【００１４】
そして、ＤｏＳ攻撃等を受けたサーバ２が受信した不正なパケットと、パケットログ記録装置９，１０及び１１にそれぞれ記録されたパケットを比較して当該不正なパケットが伝播した経路を特定する。
【００１５】
例えば、図１０に示すＤｏＳ攻撃等に用いられた不正なパケットはパケットログ記録装置９，１０及び１１に記録されているので図１０中”ＡＴ０１”に示すような不正なパケットの伝播経路を特定することが可能になる。
【００１６】
但し、監視している回線に伝播するパケットの全ての情報を順次記録するために、記憶手段には膨大な記憶容量が必要になるため、効率良くパケットの情報を保持する方法が考案されている。
【００１７】
図１２はこのようなパケットログ記録装置の具体例を示す構成ブロック図であり、１２は演算制御手段、１３は記憶手段である。
【００１８】
観測点である回線からの入力は演算制御手段１２に接続され、演算制御手段１２の出力は記憶手段１３に接続される。
【００１９】
ここで、図１２に示すパケットログ記録装置の動作を図１３を用いて説明する。図１３は取得したパケットの記録方法を説明する説明図である。
【００２０】
図１２中”ＬＧ２１”に示すように観測点である回線から入力されたパケットは演算制御手段１２に取り込まれ、ＩＰ（Internet Protocol）パケットの中で伝播中に不変である部分等を抽出する。
【００２１】
そして、演算制御手段１２は抽出された情報をハッシュ関数を用いてハッシュ値に変換し、このハッシュ値を記憶手段１３のアドレスとみなして、該当するアドレスにビットを立てる等してある特定のパケットが伝播したことを記録する。
【００２２】
ここで、ハッシュ関数とは、原文から固定長の疑似乱数（ハッシュ値）を生成する関数であって、このハッシュ関数は不可逆な一方向関数を含むために生成されたハッシュ値から元の原文を再現することはできない。また、同じハッシュ値となる異なるデータを作成することは極めて困難である。
【００２３】
例えば、演算制御手段１２が、図１３中”ＰＩ３１”に示すような取得したパケットから抽出された伝播中に不変である部分にハッシュ関数を適用して、図１３中”ＨＶ３１”に示すようなハッシュ値（例えば、ＸＸＸＸＨ：１６ビットの１６進数表現）を得られた場合を想定する。
【００２４】
この場合、演算制御手段１２は得られたハッシュ値（ＸＸＸＸＨ）を記憶手段１３のアドレスとみなして、”ＸＸＸＸＨ”のアドレスに図１３中”ＷＤ３１”に示すようにデータを書き込む。
【００２５】
例えば、データの書込み方法としては”００００００００Ｂ（８ビットデータ）”から”０００００００１Ｂ”等（ビットを立てる）に変更することによってある特定のパケットが伝播したことを記録する。
【００２６】
そして、ＤｏＳ攻撃等を受けたサーバが受信した不正なパケットに前記ハッシュ関数を適用して得られたハッシュ値に対応する記憶手段１３のアドレスにビットが立っていれば不正なパケットがパケットログ記録装置が接続された回線を伝播したことになる。
【００２７】
この結果、図１２に示すパケットログ記録装置ではパケットの情報を全て記憶手段に記録するのではなく、パケットの一部分にハッシュ関数を適用して得られたハッシュ値に対応する記憶手段のアドレスに記録する（ビットを立てる）ことにより、記憶手段の記憶容量は小さくて良く、効率良くパケットの情報を保持することが可能である。
【００２８】
【発明が解決しようとする課題】
しかし、図９に示すパケットログ記録装置を用いたパケット経路追跡システムではターゲットとなるサーバ２等に対して反射攻撃（Reflection Attack）パケットによる攻撃であった場合にはパケットの伝播経路を追跡できないと言った問題点があった。
【００２９】
ここで、反射攻撃パケットとは踏み台となるサーバに対してソースアドレスを偽造した問合せのパケットを送信し、踏み台となるサーバが偽装されたソースアドレスの標的の端末に対して回答のパケットを送信してしまうことにより、実質的に標的の端末にＤｏＳ攻撃等を行うものである。
【００３０】
図１４はこのような反射攻撃を説明するための従来のパケット経路追跡システムの一例を示す構成ブロック図である。図１４において１４は攻撃側端末、１５は踏み台となるサーバ、１６は伝播経路解析装置である標的側端末、１７及び１８は伝播するパケットの情報を記録するパケットログ記録装置である。
【００３１】
攻撃側端末１４はネットワーク等によってサーバ１５に接続され、標的側端末１６もまたネットワーク等によってサーバ１５に接続される。また、攻撃側端末１４とサーバ１５との間の回線にはパケットログ記録装置１７が接続され、サーバ１５と標的側端末１６との間の回線にはパケットログ記録装置１８が接続される。
【００３２】
また、パケットログ記録装置１７及び１８の基本的な構成に関しては図１２に示す従来のパケットログ記録装置の構成と同様である。
【００３３】
ここで、図１４に示す従来のパケット経路追跡システムの動作を図１５及び図１６を用いて説明する。図１５は反射攻撃の攻撃者（アタッカー）の攻撃経路を示す説明図、図１６はパケットの伝播経路の追跡状況を説明する説明図である。
【００３４】
攻撃側端末１４は図１５中”ＰＣ４１”に示すような自らのソースアドレス（送信元のＩＰアドレス）を標的側端末１６のＩＰアドレスに置換（偽造）した問合せのパケットを踏み台にするサーバ１５に送信する。
【００３５】
このとき、図１５中”ＰＣ４１”に示すソースアドレスを偽造されたパケットは勿論、パケットログ記録装置１７に記録される。
【００３６】
一方、図１５中”ＰＣ４１”に示す問合せのパケットを受信したサーバ１５は、当該問合せに対する回答のパケットを生成して送信元である攻撃側端末１４に対して送信しようとする。
【００３７】
但し、図１５中”ＰＣ４１”に示す問合せのパケットにおいてはソースアドレスが偽造されているため、当該偽造を認識していないサーバ１５は図１５中”ＰＣ４１”に示す問合せのパケットに記載されているソースアドレスを有する標的側端末１６に対して図１５中”ＰＣ４２”に示すような回答パケットを送信することになる。
【００３８】
このとき、図１５中”ＰＣ４２”に示す回答パケットは勿論、パケットログ記録装置１８に記録される。
【００３９】
そして、図１５中”ＰＣ４２”に示すような不正なパケットを受信した伝播経路解析装置である標的側端末１６は受信した不正なパケットと、パケットログ記録装置１７及び１８にそれぞれ記録されたパケットを比較して当該不正なパケットが伝播した経路を特定する。
【００４０】
例えば、図１５中”ＰＣ４２”に示すＤｏＳ攻撃等に用いられた不正なパケットはパケットログ記録装置１８に記録されているので図１６中”ＴＲ５１”に示すような不正なパケットの伝播経路を途中まで特定することができる。
【００４１】
但し、パケットログ記録装置１７には標的側端末１６で受信された図１５中”ＰＣ４２”に示すＤｏＳ攻撃等に用いられた不正なパケットは記録されていない（図１５中”ＰＣ４１”に示すパケットが記録されているのみ）ので図１６中”ＴＲ５２”に示すような不正なパケットの伝播経路までは特定することができない。
【００４２】
すなわち、反射攻撃では受信した不正なパケットの伝播経路を追跡することにより踏み台にされたサーバまではたどり着くことができるものの、攻撃側端末までの伝播経路を追跡できなくなってしまう。
従って本発明が解決しようとする課題は、反射攻撃パケットの伝播経路の追跡が可能なパケット経路追跡システムを実現することにある。
【００４３】
【課題を解決するための手段】
このような課題を達成するために、本発明のうち請求項１記載の発明は、
ネットワークを伝播するパケットを記録してパケットの伝播経路を追跡するパケット経路追跡システムにおいて、
ネットワークの複数の観測点を伝播するパケットを記録する複数のパケットログ記録装置と、不正な回答パケットを受信した標的側端末から伝播経路追跡依頼があった場合、複数の前記パケットログ記録装置を検索して前記回答パケットの伝播経路を特定すると共に、前記回答パケット送信の原因となる問合せパケットを推定した上で複数の前記パケットログ記録装置を検索して前記問合せパケットの伝播経路を特定する伝播経路解析装置とを備えたことにより、反射攻撃パケットの伝播経路の追跡が可能になる。
【００４４】
請求項２記載の発明は、
請求項１記載の発明であるパケット経路追跡システムにおいて、
前記伝播経路解析装置が、
不正な回答パケットを受信した標的側端末から伝播経路追跡依頼があった場合、複数の前記パケットログ記録装置を検索して前記反射攻撃パケットの伝播経路を特定すると共に、検出された前記回答パケットから問合せパケット依存部分を抽出して問合せパケットの形式を推定した上で複数の前記パケットログ記録装置を検索して推定された前記問合せパケットの伝播経路を特定することにより、反射攻撃パケットの伝播経路の追跡が可能になる。
【００４５】
請求項３記載の発明は、
ネットワークを伝播するパケットを記録してパケットの伝播経路を追跡するパケット経路追跡システムにおいて、
ネットワークの複数の観測点を伝播するパケットを記録する複数のパケットログ記録装置と、不正な回答パケットを受信した場合、複数の前記パケットログ記録装置を検索して前記回答パケットの伝播経路を特定すると共に、前記回答パケット送信の原因となる問合せパケットを推定した上で複数の前記パケットログ記録装置を検索して前記問合せパケットの伝播経路を特定する伝播経路解析装置とを備えたことにより、反射攻撃パケットの伝播経路の追跡が可能になる。
【００４６】
請求項４記載の発明は、
請求項３記載の発明であるパケット経路追跡システムにおいて、
前記伝播経路解析装置が、
不正な回答パケットを受信した場合、複数の前記パケットログ記録装置を検索して前記反射攻撃パケットの伝播経路を特定すると共に、検出された前記回答パケットから問合せパケット依存部分を抽出して問合せパケットの形式を推定した上で複数の前記パケットログ記録装置を検索して推定された前記問合せパケットの伝播経路を特定することにより、反射攻撃パケットの伝播経路の追跡が可能になる。
【００４７】
請求項５記載の発明は、
請求項１乃至請求項４のいずれかに記載の発明であるパケット経路追跡システムにおいて、
前記パケットログ記録装置が、
前記問合せパケット若しくは前記回答パケットの情報を記録する記憶手段と、複数の前記観測点の一を伝播する前記問合せパケット若しくは前記回答パケットを取り込み全ての情報を記憶手段に書き込むと共に前記伝播経路解析装置の制御により前記問合せパケット若しくは前記回答パケットの伝播経路のトレースを行う演算制御手段とから構成されたことにより、反射攻撃パケットの伝播経路の追跡が可能になる。
【００４８】
請求項６記載の発明は、
請求項５記載の発明であるパケット経路追跡システムにおいて、
前記伝播経路解析装置が、
前記パケットログ記録装置の記憶手段に記録されている前記情報の内、前記問合せパケット依存部分が一致していれば推定された前記問合せパケットが前記パケットログ記録装置に記録されているものと判断することにより、反射攻撃パケットの伝播経路の追跡が可能になる。
【００４９】
請求項７記載の発明は、
請求項１乃至請求項４のいずれかに記載の発明であるパケット経路追跡システムにおいて、
前記パケットログ記録装置が、
前記問合せパケット若しくは前記回答パケットの情報を記録する記憶手段と、複数の前記観測点の一を伝播する前記問合せパケット若しくは前記回答パケットを取り込み問合せパケット依存部分を抽出してハッシュ関数を適用し、得られたハッシュ値を前記記憶手段のアドレスとみなしてこのアドレスに前記情報としてデータを書き込むと共に前記伝播経路解析装置の制御により前記問合せパケット若しくは前記回答パケットの伝播経路のトレースを行う演算制御手段とから構成されたことにより、反射攻撃パケットの伝播経路の追跡が可能になる。
【００５０】
請求項８記載の発明は、
請求項７記載の発明であるパケット経路追跡システムにおいて、
前記伝播経路解析装置が、
前記問合せパケット依存部分にハッシュ関数を適用して得られたハッシュ値に対応する記憶手段のアドレスに記録があれば推定された元パケットがパケットログ記録装置に記録されているものと判断することにより、反射攻撃パケットの伝播経路の追跡が可能になる。
【００５１】
請求項９記載の発明は、
請求項１乃至請求項８のいずれかに記載の発明であるパケット経路追跡システムにおいて、
前記問合せパケット若しくは前記回答パケットが、
ＩＣＭＰで用いられるパケットであることにより、反射攻撃パケットの伝播経路の追跡が可能になる。
【００５２】
請求項１０記載の発明は、
請求項９記載の発明であるパケット経路追跡システムにおいて、
前記問合せパケット若しくは前記回答パケットが、
ＩＣＭＰのｅｃｈｏコマンドを使って実現されているｐｉｎｇコマンドのパケットであることにより、反射攻撃パケットの伝播経路の追跡が可能になる。
【００５３】
請求項１１記載の発明は、
請求項１乃至請求項８のいずれかに記載の発明であるパケット経路追跡システムにおいて、
前記問合せパケット若しくは前記回答パケットが、
ＵＤＰで用いられるパケットであることにより、反射攻撃パケットの伝播経路の追跡が可能になる。
【００５４】
請求項１２記載の発明は、
請求項１乃至請求項８のいずれかに記載の発明であるパケット経路追跡システムにおいて、
前記問合せパケット若しくは前記回答パケットが、
ＴＣＰで用いられるパケットであることにより、反射攻撃パケットの伝播経路の追跡が可能になる。
【００５５】
【発明の実施の形態】
以下本発明を図面を用いて詳細に説明する。図１は本発明に係るパケット経路追跡システムの一実施例を示す構成ブロック図である。図１において１４，１６，１７及び１８は図１４と同一符号を付してあり、１９は踏み台となる伝播経路解析装置であるサーバである。
【００５６】
攻撃側端末１４はネットワーク等によってサーバ１９に接続され、標的側端末１６もまたネットワーク等によってサーバ１９に接続される。また、攻撃側端末１４とサーバ１９との間の回線にはパケットログ記録装置１７が接続され、サーバ１９と標的側端末１６との間の回線にはパケットログ記録装置１８が接続される。
【００５７】
ここで、図１に示す実施例の動作を図２，図３，図４，図５，図６，図７及び図８を用いて説明する。
【００５８】
図２は反射攻撃の攻撃者（アタッカー）の攻撃経路を示す説明図、図３はサーバ１９の反射攻撃パケットの伝播経路の追跡動作を説明するフロー図、図４，図５及び図８はサーバ１９の反射攻撃パケットの伝播経路の追跡動作を説明する説明図、図６は反射攻撃パケットの構成の一例を示す説明図、図７は反射攻撃パケットと元パケットの関連を説明する説明図である。
【００５９】
攻撃側端末１４は図２中”ＰＣ６１”に示すような自らのソースアドレス（送信元のＩＰアドレス）を標的側端末１６のＩＰアドレスに置換（偽造）した問合せのパケット（以下、元パケットと呼ぶ。）を踏み台にするサーバ１９に送信する。
【００６０】
このとき、図２中”ＰＣ６１”に示す元パケットは勿論、パケットログ記録装置１７に記録される。
【００６１】
一方、図２中”ＰＣ６１”に示す元パケットを受信したサーバ１９は、当該問合せに対する回答のパケットを生成して送信元である攻撃側端末１４に対して送信しようとする。
【００６２】
但し、図２中”ＰＣ６１”に示す元パケットにおいてはソースアドレスが偽造されているため、当該偽造を認識していないサーバ１９は図２中”ＰＣ６１”に示す元パケットに記載されているソースアドレスを有する標的側端末１６に対して図２中”ＰＣ６２”に示すような回答パケット（以下、反射攻撃パケットと呼ぶ。）を送信することになる。
【００６３】
このとき、図２中”ＰＣ６２”に示す反射攻撃パケットは勿論、パケットログ記録装置１８に記録される。
【００６４】
そして、図２中”ＰＣ６２”に示すような不正な反射攻撃パケットを受信した標的側端末１６は、従来例で記載したように受信した反射攻撃パケットと、パケットログ記録装置１７及び１８にそれぞれ記録されたパケットを比較して当該反射攻撃パケットが伝播した経路を特定する。
【００６５】
例えば、図２中”ＰＣ６２”に示す反射攻撃パケットはパケットログ記録装置１８に記録されているので、標的側端末１６は踏み台にされたサーバ１９まで反射攻撃パケットの伝播経路を特定することができる。
【００６６】
但し、標的側端末１６ではそれ以上反射攻撃パケットの伝播経路は特定できないので、踏み台にされたサーバ１９に対して反射攻撃パケットの伝播経路の追跡依頼を行う。
【００６７】
図３中”Ｓ００１”においてサーバ１９は前述のような標的側端末１６からの反射攻撃パケットの伝播経路の追跡依頼の有無を判断し、もし、当該依頼がある場合には図３中”Ｓ００２”においてパケットログ記録装置１７及び１８を検索する。
【００６８】
例えば、サーバ１９は反射攻撃パケットを用いて図４中”ＳＲ７１”及び”ＳＲ７２”に示すようなパケットログ記録装置１７及び１８の記録内容を検索する。
【００６９】
そして、図３中”Ｓ００３”においてサーバ１９はパケットログ記録装置に反射攻撃パケットが記録されているか否かを判断する。
【００７０】
例えば、図５中”ＲＰ８１”に示すようにパケットログ記録装置１８に反射攻撃パケットが記録されているか否かを判断する。
【００７１】
もし、図３中”Ｓ００３”において反射攻撃パケットが記録、言い換えれば、反射攻撃パケットが検出された場合には、明らかにサーバ１９自らが標的側端末１６を攻撃していることになるので、図３中”Ｓ００４”においてサーバ１９は反射攻撃パケットの伝播経路を特定する。
【００７２】
そして、図３中”Ｓ００５”においてサーバ１９は検出された反射攻撃パケットから元パケット依存部分を抽出すると共に元パケットの形式を推定する。
【００７３】
例えば、図６中”ＰＣ９１”は、ネットワークにおいてＩＰパケットが通信先まで届いているかどうか等を調べるために利用させる最も基本的なコマンドであるＩＣＭＰ（Internet Control Message Protocol）のｅｃｈｏコマンドを使って実現されている”ｐｉｎｇコマンド”において送信される回答パケット（反射攻撃パケットに相当）の一例である。
【００７４】
このようなパケットは図６中”ＩＰＨ９１”、”ＩＣＨ９１”及び”ＩＣＤ９１”に示す”ＩＰヘッダ”、”ＩＣＭＰヘッダ”及び”ＩＣＭＰデータ”等の部分に分類され、それぞれの部分には送信先アドレスや送信元アドレス等の”ｐｉｎｇコマンド”を実行するのに必要な様々な情報が記載されている。
【００７５】
そして、このような回答パケット（反射攻撃パケットに相当）における各情報は、問合せパケット（元パケットに相当）の情報に依存して決定される情報（以下、依存情報と呼ぶ。）と問合せパケット（元パケットに相当）とは全く無関係に決定される情報（以下、非依存情報と呼ぶ。）とに分類できる。
【００７６】
例えば、図７中”ＰＣ６１”及び”ＰＣ６２”は図２における元パケット及び反射攻撃パケットの一例をそれぞれ示しており、図７中”ＩＰＨ１０１”及び”ＩＰＨ１０２”は元パケット及び反射攻撃パケットの”ＩＰヘッダ”、図７中”ＩＣＨ１０１”及び”ＩＣＨ１０２”は元パケット及び反射攻撃パケットの”ＩＣＭＰヘッダ”、図７中”ＩＣＤ１０１”及び”ＩＣＤ１０２”は元パケット及び反射攻撃パケットの”ＩＣＭＰデータ”をそれぞれ示している。
【００７７】
そして、反射攻撃パケット中の各情報である図７中”ＦＤ１０１”、”ＦＤ１０２”、”ＦＤ１０３”及び”ＦＤ１０４”は依存情報であり、他の部分は非依存情報である。
【００７８】
すなわち、図７中”ＦＤ１０１”、”ＦＤ１０２”、”ＦＤ１０３”及び”ＦＤ１０４”に示す依存情報は、元パケット中の各情報である図７中”ＦＤ１０５”、”ＦＤ１０６”、”ＦＤ１０７”及び”ＦＤ１０８”に基づき情報が決定されることになる。
【００７９】
言い換えれば、図７中”ＦＤ１０１”、”ＦＤ１０２”、”ＦＤ１０３”及び”ＦＤ１０４”に示す反射攻撃パケット中の依存情報のみが元パケットと共通する唯一の情報となる。
【００８０】
このため、図７中”ＦＤ１０１”、”ＦＤ１０２”、”ＦＤ１０３”及び”ＦＤ１０４”に示す依存情報の部分を元パケットと同一と推定し、非依存情報の部分をマスクして新たなパケットとすることにより、反射攻撃パケットから元パケット依存部分が抽出され元パケットの形式を推定することができる。
【００８１】
具体的には、例えば、”ＩＰヘッダ”において、”Version”、”IHL”、”Total Length”、”Protocol”のような依存情報はそのまま元パケットとして用いられ、”Source Address”及び”Destination Address”のような依存情報はは相互に入れ換えることにより元パケットとして用いられる。
【００８２】
同様に、例えば、”ＩＣＭＰヘッダ”において、”Code”、”Identifier”及び”Sequence Number”のような依存情報はそのまま元パケットとして用いられ、”ＩＣＭＰデータ”のような依存情報もまたそのまま元パケットとして用いられる。
【００８３】
そして、図３中”Ｓ００６”においてサーバ１９はパケットログ記録装置１７及び１８を検索すると共に、図３中”Ｓ００７”においてサーバ１９はパケットログ記録装置にこのように推定された形式の元パケットが記録されているか否かを判断する。
【００８４】
例えば、サーバ１９は推定された形式の元パケットを用いて図４中”ＳＲ７１”及び”ＳＲ７２”に示すようなパケットログ記録装置１７及び１８の記録内容を検索し、図８中”ＳＰ１１１”に示すようにパケットログ記録装置１７に推定された形式の元パケットが記録されているか否かを判断する。
【００８５】
すなわち、パケットログ記録装置に記録されている情報において、推定された元パケットの非依存情報が一致しなくても、依存情報が一致していれば推定された元パケットがパケットログ記録装置に記録されているものと判断する。
【００８６】
一方、パケットログ記録装置にハッシュ値に対応する記憶手段のアドレスに記録する（ビットを立てる）手法で情報が記録されている場合には、推定された元パケットの内で依存情報にハッシュ関数を適用して得られたハッシュ値に対応する記憶手段のアドレスに記録があれば（ビットが立っていれば）、推定された元パケットがパケットログ記録装置に記録されているものと判断する。
【００８７】
もし、図３中”Ｓ００７”において推定された形式の元パケットが記録、言い換えれば、推定された形式の元パケットが検出された場合には、図３中”Ｓ００８”においてサーバ１９は元パケットの伝播経路を特定する。
【００８８】
この結果、標的側端末１６から伝播経路追跡依頼があった場合、踏み台となったサーバ１９がパケットログ記録装置を検索して反射攻撃パケット（回答パケット）の伝播経路を特定すると共に、検出された反射攻撃パケット（回答パケット）から元パケット（問合せパケット）依存部分を抽出して元パケット（問合せパケット）の形式を推定した上でパケットログ記録装置を検索して推定された元パケット（問合せパケット）の伝播経路を特定することにより、反射攻撃パケットの伝播経路の追跡が可能になる。
【００８９】
なお、図１に示す実施例の説明ではパケットログ記録装置としては、記憶手段の記憶容量は小さくするため、パケットの依存情報を抽出してハッシュ関数を適用して得られたハッシュ値に対応する記憶手段のアドレスに記録する（ビットを立てる）必要性がある。
【００９０】
但し、パケットログ記録装置が伝播するパケットの情報を全て記憶手段に記録する場合には、上述のようにパケットの内の依存情報を抽出する必要性はない。
【００９１】
また、図１に示す実施例の説明では標的側端末１６は反射攻撃パケットの伝播経路が特定できなくなった時点で踏み台にされたサーバ１９を伝播経路解析装置として反射攻撃パケットの伝播経路の追跡依頼を行っているが、勿論、反射攻撃パケットの伝播経路が特定できなくなった時点で反射攻撃の可能性が推定できるので、標的側端末１６自らが伝播経路解析装置として検出された反射攻撃パケットから元パケット依存部分を抽出して元パケットの形式を推定した上でパケットログ記録装置を検索して元パケットの伝播経路を特定しても構わない。
【００９２】
また、図１に示す実施例の説明ではＩＣＭＰ（Internet Control Message Protocol）のｅｃｈｏコマンドを使って実現されている”ｐｉｎｇコマンド”のパケットを例示しているが、勿論、これに限定される訳ではなく、ＩＣＭＰで用いられる他のパケット（Destination Unreachable Message、Time Exceeded Message、Parameter Problem Message、Source Quench Message及びRedirect Message等）であっても、依存情報の部分を元パケットと同一と推定し、非依存情報の部分をマスクして新たなパケットとすることにより、反射攻撃パケットから元パケット依存部分が抽出され元パケットの形式を推定することができる。
【００９３】
さらに、ＴＣＰ（Transmission Control Protocol）で用いられるパケット、ＵＤＰ（User Datagram Protocol）で用いられるパケット等であっても、依存情報の部分を元パケットと同一と推定し、非依存情報の部分をマスクして新たなパケットとすることにより、反射攻撃パケットから元パケット依存部分が抽出され元パケットの形式を推定することができる。
【００９４】
【発明の効果】
以上説明したことから明らかなように、本発明によれば次のような効果がある。
請求項１，２，３，４，５，６，７，８，９，１０，１１及び請求項１２の発明によれば、標的側端末から伝播経路追跡依頼があった場合等、踏み台となったサーバ若しくは標的側端末がパケットログ記録装置を検索して反射攻撃パケット回答パケット）の伝播経路を特定すると共に、検出された反射攻撃パケット回答パケット）から元パケット（問合せパケット）依存部分を抽出して元パケット（問合せパケット）の形式を推定した上でパケットログ記録装置を検索して推定された元パケット（問合せパケット）の伝播経路を特定することにより、反射攻撃パケットの伝播経路の追跡が可能になる。
【図面の簡単な説明】
【図１】本発明に係るパケット経路追跡システムの一実施例を示す構成ブロック図である。
【図２】反射攻撃の攻撃者（アタッカー）の攻撃経路を示す説明図である。
【図３】サーバの反射攻撃パケットの伝播経路の追跡動作を説明するフロー図である。
【図４】サーバの反射攻撃パケットの伝播経路の追跡動作を説明する説明図である。
【図５】サーバの反射攻撃パケットの伝播経路の追跡動作を説明する説明図である。
【図６】反射攻撃パケットの構成の一例を示す説明図である。
【図７】反射攻撃パケットと元パケットの関連を説明する説明図である。
【図８】サーバの反射攻撃パケットの伝播経路の追跡動作を説明する説明図である。
【図９】従来のパケット経路追跡システムの一例を示す構成ブロック図である。
【図１０】攻撃者（アタッカー）の攻撃経路を示す説明図である。
【図１１】パケットの記録状況を説明する説明図である。
【図１２】パケットログ記録装置の具体例を示す構成ブロック図である。
【図１３】取得したパケットの記録方法を説明する説明図である。
【図１４】反射攻撃を説明するための従来のパケット経路追跡システムの一例を示す構成ブロック図である。
【図１５】反射攻撃の攻撃者（アタッカー）の攻撃経路を示す説明図である。
【図１６】パケットの伝播経路の追跡状況を説明する説明図である。
【符号の説明】
１  端末
２，１５，１９  サーバ
３，４  ＩＳＰ
５，６，７，８  ルータ
９，１０，１１，１７，１８  パケットログ記録装置
１２  演算制御手段
１３  記憶手段
１４  攻撃側端末
１６  標的側端末
【図１】
2004201042.tif 000003
【図２】
2004201042.tif 000004
【図３】
2004201042.tif 000005
【図４】
2004201042.tif 000006
【図５】
2004201042.tif 000007
【図６】
2004201042.tif 000008
【図７】
2004201042.tif 000009
【図８】
2004201042.tif 000010
【図９】
2004201042.tif 000011
【図１０】
2004201042.tif 000012
【図１１】
2004201042.tif 000013
【図１２】
2004201042.tif 000014
【図１３】
2004201042.tif 000015
【図１４】
2004201042.tif 000016
【図１５】
2004201042.tif 000017
【図１６】
2004201042.tif 000018