(57)【要約】      （修正有）【課題】不正アクセスの発信元となった端末装置を容易に特定することができるパケット送信元特定方法を提供することを目的とする。【解決手段】パケット中継装置２〜５を介して、不正端末装置１から内部端末装置７へデータパケットが送信される際、内部端末装置７が、送信パケットに初期値からなる固有データタグを付加した送信パケットを生成し、パケット中継装置２〜５が、受信パケット中の固有データタグに対し、前段装置の固有データ及び自装置の固有データに基づく可逆演算処理を行って、固有データタグが更新された送信パケットを生成し、内部端末装置７が、受信パケット中の固有データタグに対し、前段装置の固有データに基づく演算処理を行って上記不正端末装置の固有データを求める。【選択図】          図１
2004304516.tif 000002
【特許請求の範囲】
【請求項１】
１又は２以上のパケット中継装置を介して、パケット送信元装置からパケット宛先装置へデータパケットを伝送するコンピュータネットワークにおけるパケット送信元特定方法であって、
パケット送信元装置が、送信パケットに初期値からなる固有データタグを付加した送信パケットを生成し、
パケット中継装置が、受信パケット中の固有データタグに対し、前段装置の固有データ及び自装置の固有データに基づく可逆演算処理を行って、固有データタグが更新された送信パケットを生成し、
パケット宛先装置が、受信パケット中の固有データタグに対し、前段装置の固有データに基づく演算処理を行って上記パケット送信元装置の固有データを求めることを特徴とするパケット送信元特定方法。
【請求項２】
上記パケット中継装置における可逆演算処理が、受信パケット中の固有データタグに対し、前段装置の固有データ及び自装置の固有データを符号を異ならせて加算演算する処理であることを特徴とする請求項１に記載のパケット送信元特定方法。
【請求項３】
上記パケット送信元装置が、送信パケットに初期値からなる参照値を付加した送信パケットを生成し、
上記パケット中継装置が、予め定められた一方向関数を用いて、更新された固有データタグを参照値に変換し、参照値が更新された送信データを生成し、
上記パケット宛先装置が、上記一方向関数を用いて、受信パケットから抽出した固有データタグを参照値に変換し、この参照値を受信パケットから抽出した参照値と比較してデータパケットの改竄を検出することを特徴とする請求項１に記載のパケット送信元特定方法。
【請求項４】
上記パケット中継装置が、上記一方向関数を用いて、受信パケットから抽出した固有データタグを参照値に変換し、この参照値を受信パケットから抽出した参照値と比較してデータパケットの改竄を検出することを特徴とする請求項３に記載のパケット送信元特定方法。
【請求項５】
上記固有データが、ＭＡＣアドレスであることを特徴とする請求項１から４のいずれかに記載のパケット送信元特定方法。
【請求項６】
データパケットの送受信を行う送受信手段と、
受信パケットから固有データタグを抽出するタグ抽出手段と、
抽出された固有データタグに対し、前段装置の固有データ及び自装置の固有データに基づく可逆演算処理を行って、新たな固有データタグを生成する演算処理手段と、
受信パケットの固有データタグを更新して送信パケットを生成するタグ更新手段とを備えたことを特徴とするパケット中継装置。
【請求項７】
予め定められた一方向関数を用いて、新たな固有データタグを参照値に変換し、参照値が更新された送信データを生成する参照値更新手段を備えたことを特徴とする請求項６に記載のパケット中継装置。
【請求項８】
受信パケットから参照値を抽出する参照値抽出手段と、
受信パケットから抽出した固有データタグを参照値に変換し、この参照値を受信パケットから抽出した参照値と比較してデータパケットの改竄を検出する改竄検出手段とを備えたことを特徴とする請求項７に記載のパケット中継装置。
【請求項９】
データパケットを受信する受信手段と、
受信パケットから固有データタグを抽出するタグ抽出手段と、
抽出された固有データタグに対し、前段装置の固有データに基づく演算処理を行ってパケット送信元装置の固有データを求める送信元検出手段とを備えたことを特徴とするパケット受信装置。
【請求項１０】
受信パケットから固有データタグを抽出するタグ抽出手段と、
受信パケットから参照値を抽出する参照値抽出手段と、
抽出された固有データタグを参照値に変換し、この参照値を抽出された参照値と比較してデータパケットの改竄を検出する改竄検出手段とを備えたことを特徴とする請求項９に記載のパケット受信装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、パケット送信元特定方法、パケット中継装置及びパケット受信装置に係り、更に詳しくは、コンピュータネットワーク上のデータパケットの発信元装置を特定するための方法及びこの方法に好適なパケット中継装置及びパケット受信装置に関する。
【０００２】
【従来の技術】
パーソナルコンピュータの普及に伴って、日常の業務のほとんどが会社等の組織内のネットワークに接続されたパーソナルコンピュータやワークステーション等の端末装置や各種サービスを提供するサーバを利用して実施される時代になった。更に、この様な組織内ネットワークは、組織外との情報交換の利便性を求めて、世界中につながっているインターネットに接続して利用されるのが通常である。
【０００３】
このため、これらの端末装置やサーバは、ネットワーク外部から組織内ネットワークへの様々な不正アクセスの脅威にさらされ、不正侵入やサービス不能攻撃等を受けるという事例が発生している。しかしながら、従来の技術では、組織外部からの不正アクセス者の端末装置の特定は事実上不可能である。
【０００４】
（１）  ネットワーク構成を把握している組織内ネットワーク内における不正アクセス、つまり、内部犯行に関しては、ログ解析を行うことによって送信元の端末装置を特定することができる。例えば、各端末装置やサーバでのアクセスログや、ルータ等のネットワーク機器におけるルーティングパケットログを予め収集しておくことによって、不正アクセス事象後にこれらのログを分析し、データパケットの伝送経路を逆探知することができるため、当該データパケットの発信元の端末装置を特定することが可能となる。
【０００５】
（２）  外部ネットワークから組織内ネットワークに侵入する不正アクセスについても同様の逆探知を行おうとすれば、インターネット等の外部ネットワーク上において逆探知を行う必要がある。ネットワーク機器のルーティングパケットログや別組織ネットワークのサーバアクセスログを収集し、当該ログを分析することにより、内部ネットワークの場合と同様にして不正アクセスの発信元装置を特定することも技術的には可能である。
【０００６】
【発明が解決しようとする課題】
上記の従来技術によれば次のような問題点があった。従来技術の（１）では、組織内ネットワークの各所においてログ（各ネットワークセグメントのパケットログ、各サーバのアクセスログ）を収集し続け、不正アクセスが発生した場合に当該ログを分析し、発信元のＩＰアドレスを逆探知する必要があった。しかし、大量のパケットログやアクセスログを各所にわたり常時収集し続け、大量ログを蓄積管理することは、ネットワークセグメントが大規模になれば、事実上不可能になるという問題があった。
【０００７】
また、従来技術の（２）では、外部ネットワークから組織内ネットワークに侵入する不正アクセスに関しては、インターネット等の外部ネットワーク上でのネットワーク機器のルーティングパケットログや別組織ネットワークのサーバアクセスログを収集する必要がある。しかし、事実上困難なため、不正アクセス発信元の特定は不可能である。
【０００８】
更に、ＩＰアドレスに基づく追跡は、不正アクセス者がＩＰアドレスなりすまし攻撃をした場合、正確に発信元を特定することができなくなるという問題がある。
【０００９】
本発明は、これらの問題点を解消するためになされたもので、容易に不正アクセスの発信元となった端末装置を特定することができるパケット送信元特定方法を提供することを目的とする。また、この方法に好適なパケット中継装置及びパケット受信装置を提供することを目的とする。
【００１０】
また、本発明は、ＩＰアドレスのなりすまし攻撃に対しても、不正アクセスの発信元となった端末装置を特定できるパケット送信元特定方法を提供することを目的とする。また、この方法に好適なパケット中継装置及びパケット受信装置を提供することを目的とする。
【００１１】
さらに、本発明は、データパケットの改竄を検出することができるパケット送信元特定方法を提供することを目的とする。また、この方法に好適なパケット中継装置及びパケット受信装置を提供することを目的とする。
【００１２】
【課題を解決するための手段】
本発明によるパケット送信元特定方法は、１又は２以上のパケット中継装置を介して、パケット送信元装置からパケット宛先装置へデータパケットを伝送するコンピュータネットワークにおけるパケット送信元特定方法であって、パケット送信元装置が、送信パケットに初期値からなる固有データタグを付加した送信パケットを生成し、パケット中継装置が、受信パケット中の固有データタグに対し、前段装置の固有データ及び自装置の固有データに基づく可逆演算処理を行って、固有データタグが更新された送信パケットを生成し、パケット宛先装置が、受信パケット中の固有データタグに対し、前段装置の固有データに基づく演算処理を行って上記パケット送信元装置の固有データを求める様に構成される。
【００１３】
また、本発明によるパケット送信元特定方法は、上記パケット送信元装置が、送信パケットに初期値からなる参照値を付加した送信パケットを生成し、上記パケット中継装置が、予め定められた一方向関数を用いて、更新された固有データタグを参照値に変換し、参照値が更新された送信データを生成し、上記パケット宛先装置が、上記一方向関数を用いて、受信パケットから抽出した固有データタグを参照値に変換し、この参照値を受信パケットから抽出した参照値と比較してデータパケットの改竄を検出するように構成される。
【００１４】
【発明の実施の形態】
実施の形態１．
図１は、本発明の実施の形態１が適用されるコンピュータネットワークの一例を示した概略図であり、内部ネットワークＮＷ２が、ゲートウェイ６を介して外部ネットワークＮＷ１に接続されている。
【００１５】
外部ネットワークＮＷ１には、不正端末装置１、正規端末装置２，３及びルータ４，５が接続されている。また、内部ネットワークＮＷ２には、内部端末装置７が接続されている。外部ネットワークＮＷ１及び内部ネットワークＮＷ２は、その他にも多数の端末装置やルータなどが接続されているが、図１では省略している。また、外部ネットワークＮＷ１及び内部ネットワークＮＷ２は、ともに通信プロトコルとして、ＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ  ／
Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）を採用し、ＩＰパケットを伝送しているものとする。
【００１６】
端末装置１〜３は、外部ネットワークＮＷ１上でデータパケットの送受信を行うパケット送受信装置である。また、内部端末装置７は、内部ネットワークＮＷ２上でデータパケットの送受信を行うパケット送受信装置である。ルータ４，５は、データパケットに含まれる宛先ＩＰアドレスに基づいて、データパケットの転送経路を決定するルーティング処理を行っている。
【００１７】
不正端末装置１は、内部端末装置７に対して不正アクセスを行おうとする端末装置である。この不正アクセスは、正規端末装置２及び３を踏み台とし、また、ルータ４及び５を経由して、ゲートウェイ６にアクセスして行われる。具体的には、このようなルートを経て不正アクセスを実現するためのデータパケットが、不正端末装置１から内部端末装置７へ送信される。
【００１８】
図２は、これらのネットワークＮＷ１，ＮＷ２上で伝送されるデータパケットの一構成例を示した図である。このデータパケットは、ヘッダ部及びデータ部からなり、ヘッダ部は、更に、送信元ＭＡＣアドレスＴ１ｍａｃ、宛先ＭＡＣアドレスＴ２ｍａｃ、ＭＡＣアドレスタグＴＧｍａｃ、送信元ＩＰアドレスＴ１ｉｐ、宛先ＩＰアドレスＴ２ｉｐ及びＩＰアドレスタグＴＧｉｐにより構成される。
【００１９】
送信元ＭＡＣアドレスＴ１ｍａｃは、パケット送信元装置のＭＡＣアドレスである。宛先ＭＡＣアドレスＴ２ｍａｃは、パケット宛先装置のＭＡＣアドレスである。ここで、パケット送信元装置とは、データパケットを生成して送信する端末装置を指し、パケット宛先装置とは、パケット送信元装置により指定され、データパケットを受け取る端末装置を指す。また、ＭＡＣアドレスとは、Ｅｔｈｅｒｎｅｔ（登録商標）に接続されるＬＡＮボードなどの全ての機器に予め割り当てられた固有データであり、端末装置の固有データに相当する。同様にして、送信元ＩＰアドレスＴ１ｉｐはパケット送信元装置のＩＰアドレス、宛先ＩＰアドレスＴ２ｉｐはパケット宛先装置のＩＰアドレスである。ＩＰアドレスも各端末装置に予め割り当てられた固有データであり、端末装置の固有データに相当する。
【００２０】
不正端末装置１から内部端末装置７へ不正パケットが伝送される場合、不正端末装置１がパケット送信元装置となり、そのＩＰアドレス、ＭＡＣアドレスがそれぞれ送信元ＩＰアドレス、送信元ＭＡＣアドレスとなる。また、内部端末装置７がパケット宛先装置となり、そのＩＰアドレス、ＭＡＣアドレスが、それぞれ宛先ＩＰアドレス、宛先ＭＡＣアドレスとなる。このとき、踏み台とされる正規端末装置２，３や、ルータ４，５及びゲートウェイ６などのネットワーク機器は、いずれもデータパケットを中継するパケット中継装置である。
【００２１】
ＩＰアドレスタグＴＧｉｐは、送信元装置としての不正端末装置１のＩＰアドレスを特定するための情報であり、不正端末装置１では初期値０がデータパケットのヘッダに埋め込まれる。同様にして、ＭＡＣアドレスタグＴＧｍａｃは、不正端末装置１のＭＡＣアドレスを特定するための情報であり、不正端末装置１では初期値０がデータパケットのヘッダに埋め込まれる。つまり、不正端末装置１から送出されるデータパケット中のＩＰアドレスタグＴＧｉｐ、ＭＡＣアドレスタグＴＧｍａｃは次式の通りである。
【数１】
2004304516.tif 000003
【００２２】
端末装置２，３や、ルータ４，５などのネットワーク機器は、データパケットを中継する際、当該データパケット中のＩＰアドレスタグＴＧｉｐ、ＭＡＣアドレスタグＴＧｍａｃを更新している。この更新処理は、更新前のＩＰアドレスタグ、ＭＡＣアドレスタグをＴＧｉｐ（ｎ−１）、ＴＧｍａｃ（ｎ−１）、更新後のＩＰアドレスタグ、ＭＡＣアドレスタグをＴＧｉｐ（ｎ）、ＴＧｍａｃ（ｎ）とすれば、次式により表される。
【数２】
2004304516.tif 000004
【００２３】
つまり、新しいＩＰアドレスタグＴＧｉｐ（ｎ）は、古いＩＰアドレスタグＴＧｉｐ（ｎ−１）に対し、当該中継装置のＩＰアドレスタグ及び前段装置のＩＰアドレスタグを符合を異ならせて加算演算することにより求められる。全く同様にして、新しいＭＡＣアドレスタグＴＧｍａｃ（ｎ）は、古いＭＡＣアドレスタグＴＧｍａｃ（ｎ−１）に対し、当該中継装置のＭＡＣアドレスタグ及び前段装置のＭＡＣアドレスタグを符合を異ならせて加算演算することにより求められる。
【００２４】
最終攻撃対象である内部端末装置７では、受信したデータパケット中のＩＰアドレスタグＴＧｉｐ、ＭＡＣアドレスタグＴＧｍａｃに基づき、その送信元である不正端末装置１のＩＰアドレス及びＭＡＣアドレスを検出している。この検出処理は、受信パケット中のＩＰアドレスタグ、ＭＡＣアドレスタグをＴＧｉｐ、ＴＧｍａｃとすれば、次式により表される。
【数３】
2004304516.tif 000005
【００２５】
このようにして、ＩＰアドレスタグＴＧｉｐ及びＭＡＣアドレスタグＴＧｍａｃを含むデータパケットを伝送することによって、データパケットの送信元である不正端末装置１のＩＰアドレス及びＭＡＣアドレスを得ることができる。従って、不正端末装置１を特定するために、各ネットワーク機器２〜５においてログ収集を行って、これらを解析することによりデータパケットの伝送経路を逆探知する必要がなく、演算処理によって容易に不正アクセス発信元を特定することができる。
【００２６】
なお、この様にして、ＩＰアドレスに関する式（２）の演算処理を行ってＩＰアドレスタグＴＧｉｐを求めた後、式（３）の演算処理により元のＩＰアドレスを求めるために、式（２）の演算処理は、少なくとも可逆演算処理、例えば四則演算とされる。
【００２７】
次に、パケット中継装置２〜５及びパケット宛先装置７の詳細構成について更に説明する。図３は、図１のパケット中継装置２〜５の要部の一構成例を示したブロック図である。このパケット中継装置２〜５は、送受信手段１１と、タグ抽出手段１２と、演算手段１３と、タグ更新手段１４により構成される。
【００２８】
送受信手段１１は、外部ネットワークＮＷ１を介してデータパケットの送受信を行う手段であり、受信パケットはタグ抽出手段１２へ出力される。タグ抽出手段１２は、受信パケットからＩＰアドレスタグＴＧｉｐ（ｎ−１）及びＭＡＣアドレスタグＴＧｍａｃ（ｎ−１）を抽出している。
【００２９】
演算手段１３は、抽出されたＩＰアドレスタグＴＧｉｐ（ｎ−１）に基づき、式（２）の演算処理を行って新たなＩＰアドレスタグＴＧｉｐ（ｎ）を求めている。また、同様にして、抽出されたＭＡＣアドレスタグＴＧｍａｃ（ｎ−１）に基づき、新たなＭＡＣアドレスタグＴＧｍａｃ（ｎ）を求めている。
【００３０】
タグ更新手段１４は、受信パケット中のＩＰアドレスタグＴＧｉｐ（ｎ−１）及びＭＡＣアドレスタグＴＧｍａｃ（ｎ−１）を演算手段１３により求められた新たなＩＰアドレスタグＴＧｉｐ（ｎ）及びＭＡＣアドレスタグＴＧｍａｃ（ｎ）に更新して、送信パケットを生成している。生成されたパケットは、送受信手段１１から外部ネットワークＮＷ１へ送出される。
【００３１】
図４は、図１の内部端末装置７の要部の一構成例を示したブロック図である。この内部端末装置７は、送受信手段２１と、タグ抽出手段２２と、送信元検出手段２３により構成される。
【００３２】
送受信手段２１は、内部ネットワークＮＷ２を介してデータパケットの送受信を行う手段であり、受信パケットはタグ抽出手段２２へ出力される。タグ抽出手段２２は、受信パケットからＩＰアドレスタグＴＧｉｐ及びＭＡＣアドレスタグＴＧｍａｃを抽出している。
【００３３】
送信元検出手段２３は、抽出されたＩＰアドレスタグＴＧｉｐに基づき、式（３）の演算処理を行って、送信元である不正端末装置１のＩＰアドレスを求めている。また、同様にして、抽出されたＭＡＣアドレスタグＴＧｍａｃに基づき、不正端末装置１のＭＡＣアドレスを求めている。
【００３４】
本実施の形態によれば、パケット中継装置２〜５が、受信パケット中のＩＰアドレスタグに対し、前段装置のＩＰアドレス及び自装置のＩＰアドレスに基づく可逆演算処理を行ってＩＰアドレスタグＴＧｉｐを更新している。そして、内部端末装置７が、受信パケット中のＩＰアドレスタグＴＧｉｐに対し、前段装置のＩＰアドレスに基づく演算処理を行って、不正アクセス装置１のＩＰアドレスを求めている。また、ＩＰアドレスの場合と全く同様にして、内部端末装置７が、不正端末装置１のＭＡＣアドレスを求めている。
【００３５】
従って、パケット宛先装置において、データパケットの送信元のＩＰアドレスやＭＡＣアドレスを容易に求めることができ、パケット送信元装置を容易に特定することができる。つまり、不正アクセスの発信源を特定するために、ネットワーク機器がパケットログやアクセスログを収集する必要がなく、これらのログを解析する必要もない。
【００３６】
また、本実施の形態では、ＭＡＣアドレスによる発信元装置の特定を行っているため、ＩＰアドレスを詐称した不正アクセスの場合であっても、不正端末装置１を正確に特定することができる。なお、本実施の形態では、不正端末装置１のＩＰアドレス及びＭＡＣアドレスの両方を求める場合の例について説明したが、ＩＰアドレスＴＧｉｐ及びＭＡＣアドレスタグＴＧｍａｃのいずれか一方を用いてもよい。
【００３７】
実施の形態２．
実施の形態１では、データパケット中にＩＰアドレスタグＴＧｉｐ及びＭＡＣアドレスタグＴＧｍａｃを埋め込む場合について説明した。本実施の形態では、更に、これらのタグ情報のハッシュ値を埋め込み、タグ情報の改竄を防止する場合について説明する。
【００３８】
図５は、図１のネットワークＮＷ１，ＮＷ２上で伝送されるデータパケットの他の構成例を示した図である。このデータパケットを図２のデータパケットと比較すれば、ヘッダ部にＩＰアドレスタグのハッシュ値ＨＳｉｐと、ＭＡＣアドレスタグのハッシュ値ＨＳｍａｃが含まれている点で異なる。
【００３９】
ハッシュ値ＨＳｉｐは、ＩＰアドレスタグＴＧｉｐへの改竄の有無を判別するための参照値であり、予め定められたハッシュ関数を用いて、ＩＰアドレスタグＴＧｉｐから求められる。同様にして、ハッシュ値ＨＳｍａｃは、ＭＡＣアドレスタグＴＧｍａｃへの改竄の有無を判別するための参照値であり、予め定められたハッシュ関数を用いて、ＭＡＣアドレスタグＴＧｍａｃから求められる。
【００４０】
ハッシュ関数とは、逆変換が困難な一方向関数である。つまり、ハッシュ値から元のデータを求めることが事実上できず、元のデータとは異なるがハッシュ値は同一となるようなデータを発見することが事実上できない関数である。従って、元のデータと、そのハッシュ値との組み合わせが与えられれば、ハッシュ値の生成後に、元のデータに改竄が行われていないかを確かめることができる。ハッシュ関数としては、例えば、ＭＤ５などの汎用ハッシュ関数を利用することができる。
【００４１】
ＩＰハッシュ値ＴＧｉｐとして、不正端末装置１では初期値０がデータパケットのヘッダに埋め込まれる。同様にして、ＭＡＣアドレスタグＴＧｍａｃとして、不正端末装置１では初期値０がデータパケットのヘッダに埋め込まれる。つまり、不正端末装置１から送出されるデータパケット中のハッシュ値ＨＳｉｐ、ＨＳｍａｃは次式の通りである。
【数４】
2004304516.tif 000006
【００４２】
正規端末装置２，３や、ルータ４，５などのネットワーク機器は、データパケットを中継する際、当該データパケット中のＩＰアドレスタグＴＧｉｐ、ＭＡＣアドレスタグＴＧｍａｃを更新する際に、ハッシュ値ＨＳｉｐ、ＨＳｍａｃも更新している。新たなハッシュ値は、次式により表される。
【数５】
2004304516.tif 000007
【００４３】
また、正規端末装置２，３や、ルータ４，５などのネットワーク機器や、攻撃対象である内部端末装置７では、受信したデータパケット中のハッシュ値ＨＳｉｐ、ＨＳｍａｃに基づいて、ＩＰアドレス及びＭＡＣアドレスの改竄の有無を検出している。
【００４４】
この改竄検出処理は、ハッシュ関数を用いて受信パケット中のＩＰアドレスタグＴＧｉｐからハッシュ値を求め、このハッシュ値と、受信パケット中のハッシュ値ＨＳｉｐとを比較することにより行われる。その結果、両者が一致すれば改竄されていないと判断し、両者が一致しなければ改竄されたと判断する。ＭＡＣアドレスタグＴＧｍａｃについても、全く同様の方法により、ハッシュ値ＨＳｍａｃに基づいて改竄の有無が判別される。
【００４５】
次に、パケット中継装置２〜５及びパケット宛先装置７の詳細な構成について更に説明する。図６は、図１のパケット中継装置２〜５の要部の他の構成例を示したブロック図である。図３（実施の形態１）のパケット中継装置と比較すれば、ハッシュ値抽出手段１５、改竄検出手段１６及びハッシュ値更新手段１７を備えている点で異なる。
【００４６】
ハッシュ値抽出手段１５は、受信パケットからハッシュ値ＨＳｉｐ及びＨＳｍａｃを抽出している。改竄検出手段１６は、ハッシュ関数を用いて、タグ抽出手段１２により抽出されたＩＰアドレスタグＴＧｉｐからハッシュ値を求めて、抽出されたハッシュ値ＨＳｉｐと比較し、ＩＰアドレスタグＴＧｉｐの改竄検出を行っている。全く同様にして、タグ抽出手段１２により抽出されたＭＡＣアドレスタグＴＧｍａｃからハッシュ値を求めて、抽出されたハッシュ値ＨＳｍａｃと比較し、ＭＡＣアドレスタグＴＧｍａｃの改竄検出を行っている。
【００４７】
この改竄検出の結果、ＩＰアドレスタグＴＧｉｐ又はＭＡＣアドレスタグＴＧｍａｃが改竄されていると判別された場合には、当該データパケットの中継を中断する。このため、改竄された情報に基づき、不正アクセスの発信源を誤って特定するのを防止することができる。
【００４８】
ハッシュ値更新手段１７は、更新後のＩＰアドレスタグＴＧｉｐからハッシュ値を求めて、受信パケット内のハッシュ値ＨＳｉｐを更新している。また、更新後のＭＡＣアドレスタグＴＧｍａｃからハッシュ値を求めて、受信パケット内のハッシュ値ＨＳｍａｃを更新している。この様にして送信パケットが生成される。
【００４９】
図７は、図１の内部端末装置７の要部の他の構成例を示したブロック図である。図４（実施の形態１）の内部端末装置と比較すれば、ハッシュ値抽出手段２４及び改竄検出手段２５を備えている点で異なる。ハッシュ値抽出手段２４及び改竄検出手段２５は、パケット中継装置におけるハッシュ値抽出手段１５及び改竄検出手段１６と全く同様であり、ＩＰアドレスタグＴＧｉｐ及びＭＡＣアドレスタグＴＧｍａｃの改竄検出を行っている。
【００５０】
本実施の形態によれば、上記パケット中継装置２〜５が、予め定められたハッシュ関数を用いて、更新されたＩＰアドレスタグをハッシュ値に変換し、ハッシュ値が更新された送信データを生成している。そして、パケット中継装置２〜５及びパケット宛先装置７が、上記ハッシュ関数を用いて、ＩＰアドレスタグの改竄を検出している。また、ＭＡＣアドレスの場合と全く同様にして、パケット宛先装置７が、ＭＡＣアドレスタグの改竄を検出している。従って、改竄された情報に基づき、不正アクセスの発信源を誤って特定するのを防止することができる。
【００５１】
【発明の効果】
本発明によれば容易に不正アクセスの発信元となった端末装置を特定することができるパケット送信元特定方法を提供することができる。また、この方法に好適なパケット中継装置及びパケット受信装置を提供することができる。
【００５２】
また、本発明によれば、ＩＰアドレスのなりすまし攻撃に対しても、不正アクセスの発信元となった端末装置を特定できるパケット送信元特定方法を提供することができる。また、この方法に好適なパケット中継装置及びパケット受信装置を提供することができる。
【００５３】
さらに、本発明によれば、データパケットの改竄を検出することができるパケット送信元特定方法を提供することができる。また、この方法に好適なパケット中継装置及びパケット受信装置を提供することができる。
【図面の簡単な説明】
【図１】本発明の実施の形態１が適用されるコンピュータネットワークの一例を示した概略図である。
【図２】ネットワークＮＷ１，ＮＷ２上で伝送されるデータパケットの一構成例を示した図である。
【図３】図１のパケット中継装置２〜５の要部の一構成例を示したブロック図である。
【図４】図１の内部端末装置７（パケット宛先装置）の要部の一構成例を示したブロック図である。
【図５】図１のネットワークＮＷ１，ＮＷ２上で伝送されるデータパケットの他の構成例を示した図である（実施の形態２）。
【図６】図１のパケット中継装置２〜５の要部の他の構成例を示したブロック図である。
【図７】図１の内部端末装置７（パケット宛先装置）の要部の他の構成例を示したブロック図である。
【符号の説明】
１  不正端末装置、２，３  正規端末装置（踏み台端末装置）、
４，５  ルータ（パケット宛先装置）、６  ゲートウェイ、
７  内部端末装置（パケット宛先装置）１１  送受信手段、
１２  タグ抽出手段、１３  演算手段、１４  タグ更新手段、
１５  ハッシュ値抽出手段、１６  改竄検出手段、１７  ハッシュ値更新手段、
２１  送受信手段、２２  タグ抽出手段、２３  送信元検出手段、
２４  ハッシュ値抽出手段、２５  改竄検出手段、ＮＷ１  外部ネットワーク、
ＮＷ２  内部ネットワーク、Ｔ１ｉｐ  送信元ＩＰアドレス、
Ｔ２ｉｐ  宛先ＩＰアドレス、Ｔ１ｍａｃ  送信元ＭＡＣアドレス、
Ｔ２ｍａｃ  宛先ＭＡＣアドレス、ＴＧｉｐ  ＩＰアドレスタグ、ＴＧｍａｃ  ＭＡＣアドレスタグ、ＨＳｉｐ  ＩＰアドレスタグのハッシュ値、
ＨＳｍａｃ  ＭＡＣアドレスタグのハッシュ値
【図１】
2004304516.tif 000008
【図２】
2004304516.tif 000009
【図３】
2004304516.tif 000010
【図４】
2004304516.tif 000011
【図５】
2004304516.tif 000012
【図６】
2004304516.tif 000013
【図７】
2004304516.tif 000014