(57)【要約】【課題】効率的かつ追跡精度の高い追跡方式を実現させる。【解決手段】被害者装置１０が攻撃者装置４０から各ルータ装置２０１〜２０５を介してサービス妨害攻撃を受けつつあるときでも、要求側追跡装置５０が、応答側追跡装置２２をもつルータ装置２０ｉに追跡要求メッセージを送信し、応答側追跡装置が、１種類以上の受動型追跡方式及び１種類以上の能動型追跡方式のうち、選択された追跡方式を実行する。このように、受動型追跡方式と能動型追跡方式とを切換えて追跡を実行できるので、上記課題を解決できる。【選択図】    図１
2004274481.tif 000002
【特許請求の範囲】
【請求項１】
発信源から送信された通信パケットをエンティティ装置に中継するための各中継装置に設けられ、追跡要求メッセージに応じて前記発信源を追跡するための要求応答側の発信源追跡装置であって、
前記追跡要求メッセージの送信元との交渉により、追跡方式の指定又は選択を受ける追跡方式交渉手段と、
１種類以上の受動型追跡方式及び１種類以上の能動型追跡方式のうち、前記指定又は選択された追跡方式を実行する追跡手段と、
を備えたことを特徴とする発信源追跡装置。
【請求項２】
発信源から送信されて複数の中継装置により中継された通信パケットに関し、前記発信源を追跡するための追跡要求側の発信源追跡装置であって、
前記発信源を追跡する際に、追跡要求メッセージを生成するメッセージ生成手段と、
前記各中継装置から受けた追跡情報メッセージに基づいて、前記追跡要求メッセージの送信先となる中継装置を判別する中継装置判別手段と、
前記判別された中継装置との間で、前記追跡に用いる追跡方式を交渉する追跡方式交渉手段と、
前記交渉の結果に基づいて前記追跡要求メッセージを送信する追跡要求手段と、
を備えたことを特徴とする発信源追跡装置。
【請求項３】
請求項２に記載の発信源追跡装置において、
前記発信源を追跡する際に、追跡代理依頼メッセージを生成し、得られた追跡代理依頼メッセージを他の追跡要求側の発信源追跡装置に送信する代理追跡依頼手段と、
前記追跡代理依頼メッセージの送信に対し、応答された追跡情報を受信する追跡情報受信手段と、
を備えたことを特徴とする発信源追跡装置。
【請求項４】
請求項２又は請求項３に記載の発信源追跡装置において、
他の追跡要求側の発信源追跡装置から受けた追跡代理依頼メッセージに基づいて、前記メッセージ生成手段、前記中継装置判別手段、前記追跡方式交渉手段及び前記追跡要求手段を実行し、発信源を追跡する代理追跡手段と、
前記代理追跡手段により得られた追跡情報を前記追跡代理依頼メッセージの送信元に送信する追跡依頼応答手段と、
を備えたことを特徴とする発信源追跡装置。
【請求項５】
請求項２乃至請求項４のいずれか１項に記載の発信源追跡装置において、
前記追跡依頼応答手段は、
前記追跡要求メッセージを複数の中継装置に順次、送信したとき、当該各中継装置から応答された追跡情報のうち、前記発信源に最も近い中継装置から応答された追跡情報を選択する追跡情報要約部を備えたことを特徴とする発信源追跡装置。
【請求項６】
発信源から送信された通信パケットをエンティティ装置に中継するための各中継装置に設けられ、追跡要求メッセージに応じて前記発信源を追跡するための要求応答側の発信源追跡装置に用いられるプログラムであって、
前記発信源追跡装置のコンピュータを、
前記追跡要求メッセージの送信元との交渉により、追跡方式の指定又は選択を受ける追跡方式交渉手段、
１種類以上の受動型追跡方式及び１種類以上の能動型追跡方式のうち、前記指定又は選択された追跡方式を実行して実行結果をメモリに保存する追跡手段、
として機能させるためのプログラム。
【請求項７】
発信源から送信されて複数の中継装置により中継された通信パケットに関し、前記発信源を追跡するための追跡要求側の発信源追跡装置に用いられるプログラムであって、
前記発信源追跡装置のコンピュータを
前記発信源を追跡する際に、追跡要求メッセージを生成してメモリに保存するメッセージ生成手段、
前記各中継装置から受けた追跡情報メッセージに基づいて、前記追跡要求メッセージの送信先となる中継装置を判別する中継装置判別手段、
前記判別された中継装置との間で、前記追跡に用いる追跡方式を交渉する追跡方式交渉手段、
前記交渉の結果に基づいて、前記メモリから読出した追跡要求メッセージを送信する追跡要求手段、
として機能させるためのプログラム。
【請求項８】
請求項７に記載のプログラムにおいて、
前記発信源追跡装置のコンピュータを
前記発信源を追跡する際に、追跡代理依頼メッセージを生成し、得られた追跡代理依頼メッセージを他の追跡要求側の発信源追跡装置に送信する代理追跡依頼手段、
前記追跡代理依頼メッセージの送信に対し、応答された追跡情報を受信する追跡情報受信手段、
として機能させるためのプログラム。
【請求項９】
請求項７又は請求項８に記載のプログラムにおいて、
自己の発信源追跡装置のコンピュータを、
他の追跡要求側の発信源追跡装置から受けた追跡代理依頼メッセージに基づいて、前記メッセージ生成手段、前記中継装置判別手段、前記追跡方式交渉手段及び前記追跡要求手段として機能させ、発信源を追跡する代理追跡手段、
前記代理追跡手段により得られた追跡情報を前記追跡代理依頼メッセージの送信元に送信する追跡依頼応答手段、
として機能させるためのプログラム。
【請求項１０】
請求項７乃至請求項９のいずれか１項に記載のプログラムにおいて、
前記追跡依頼応答手段は、
前記追跡要求メッセージを複数の中継装置に順次、送信したとき、当該各中継装置から応答された追跡情報を、前記発信源に最も近い中継装置から応答された追跡情報を選択する要約処理、
を含んでいることを特徴とするプログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、通信パケットの発信源が位置情報を詐称した場合でも、発信源を追跡し得る発信源追跡装置及びプログラムに係わり、特に、効率的かつ追跡精度の高い追跡方式を実現し得る発信源追跡システム及びプログラムに関する。
【０００２】
【従来の技術】
近年、インターネットに代表されるオープンネットワーク等における通信が普及してきている。これに伴い、ネットワーク接続環境下にある装置は各種の攻撃を受け易い状態に常におかれている。
【０００３】
この種の攻撃としては、例えば大量のＩＰパケットを相手装置に送りつけるＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）攻撃やＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ  ＤｏＳ）攻撃といったサービス妨害攻撃が知られている。通常、サービス妨害攻撃は、被害者の処理を飽和状態にさせることに留まらず、ネットワーク全体のリソースを消費させてしまうというように全体への悪影響が大きいので、有効な対策が求められている。
【０００４】
係る有効な対策としては、例えば攻撃に利用されたＩＰパケットの発信源を特定することが考えられている。但し、発信源の特定情報となる始点アドレスを詐称された場合、発信源の特定が困難となる。しかしながら、始点アドレスを詐称されても、ＩＰパケットの発信源を特定可能な技術が発信源追跡技術（以下、ＩＰトレースバック技術という）として開発されている（例えば、非特許文献１参照。）。
【０００５】
ＩＰトレースバック技術の基本概念は、主にルータ装置などの経路上に存在する通信機器（以下、ジェネレータという）が、通過パケットに対して追跡情報を生成し、何らかの手段をもって被害者側に通知するものである。被害者側は、得られた追跡情報を解析することにより、攻撃経路を推測し、攻撃パケットの発信源を特定する。
【０００６】
また、ＩＰトレースバック技術の追跡方式は、受動型追跡方式と能動型追跡方式の二種類に分類可能である。受動型追跡方式は、ジェネレータが主体となり、自律的に追跡情報を生成する方式である。
【０００７】
受動型追跡方式の代表的な例としては、ＩＣＭＰ  トレースバックメッセージ（ＩＣＭＰ  Ｔｒａｃｅｂａｃｋ  Ｍｅｓｓａｇｅ；以下、ｉトレース（ｉｔｒａｃｅ）という）がある。
【０００８】
ｉトレースは、ＩＥＴＦ（Ｉｎｔｅｒｎｅｔ  Ｅｎｇｉｎｅｅｒｉｎｇ  Ｔａｓｋ  Ｆｏｒｃｅ）のＩＣＭＰトレースバックワーキンググループ（ｉｔｒａｃｅ  ＷＧ）において提唱されている。ＩＣＭＰ  トレースバックは、ＩＣＭＰ（Ｉｎｔｅｒｎｅｔ  Ｃｏｎｔｒｏｌ  Ｍｅｓｓａｇｅ  Ｐｒｏｔｏｃｏｌ）メッセージを利用したＩＰトレースバック技術であり、追跡情報を格納するためのＩＣＭＰメッセージ形式を規定している。
【０００９】
例えば、途中経路上のジェネレータは、ある一定確率において追跡対象となるパケットを選択し、このパケットに対する追跡情報を生成する。このとき、ジェネレータは、ＩＣＭＰメッセージに追跡情報を格納して、宛先アドレスのエンティティに対して通知する。
【００１０】
また、他の受動型追跡方法としては、ＩＰパケットの未使用領域に追跡情報を埋め込む方法や、ルータ装置の追跡情報をログとして記憶する手法などがある。
【００１１】
一方、能動型追跡方式は、被害者側のエンティティからジェネレータに対して追跡情報の生成を要求し、得られた追跡情報に従い、より攻撃者の近傍のジェネレータを推測する。これを繰り返すことで、順次攻撃経路を上流に辿っていくものである。
【００１２】
能動型追跡方式は、受動型追跡方式に比べ、必要な情報を必要なときに得られる利点がある。また、能動型追跡方式は、通常時のネットワークにおける、ジェネレータ（ルータ装置）の負荷及びネットワークリソース消費を抑制できる利点がある。
【００１３】
【非特許文献１】
Ｓｔｅｖｅ  Ｂｅｌｌｏｖｉｎ，  他２名、“ＩＣＭＰ  Ｔｒａｃｅｂａｃｋ  Ｍｅｓｓａｇｅｓ”、［ｏｎｌｉｎｅ］、平成１５年２月更新、ＩＥＴＦ、［平成１５年３月３日検索］、インターネット＜ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇ／ｉｎｔｅｒｎｅｔ−ｄｒａｆｔｓ／ｄｒａｆｔ−ｉｅｔｆ−ｉｔｒａｃｅ−０４．ｔｘｔ＞。
【００１４】
【発明が解決しようとする課題】
しかしながら、以上のようなＩＰトレースバック技術では、受動型追跡方式及び能動型追跡方式の各々において、次のような可能性がある。
受動型追跡方式の場合、ジェネレータが自律的に追跡情報を生成するため、規定された情報以上の情報を得ることは困難である。また、追跡情報を別パケットとして送信する場合、ＩＰトレースバック処理自体がネットワークリソースを消費するため、追跡情報生成確率を抑制する必要がある。このため、攻撃パケットが追跡対象パケットとならない場合があり、追跡者が真に求める情報を取得できない可能性がある。
【００１５】
一方、能動型追跡方式の場合、主に追跡要求をメッセージとしてジェネレータに通知するため、追跡者が必要とする情報を即座に取得することが可能である。その反面、本来の通信パケットとは別の通信が発生するため、追跡処理時にネットワークのオーバーヘッドを招く可能性がある。
【００１６】
このように、各追跡方式は、それぞれ長所、短所があり、追跡精度とネットワークへの影響とがトレードオフ関係になっている。そこで、効率的かつ追跡精度の高い追跡方式が求められている。
【００１７】
本発明は上記実情を考慮してなされたもので、効率的かつ追跡精度の高い追跡方式を実現し得る発信源追跡装置及びプログラムを提供することを目的とする。
【００１８】
【課題を解決するための手段】
第１の発明は、発信源から送信された通信パケットをエンティティ装置に中継するための各中継装置に設けられ、追跡要求メッセージに応じて前記発信源を追跡するための要求応答側の発信源追跡装置であって、前記追跡要求メッセージの送信元との交渉により、追跡方式の指定又は選択を受ける追跡方式交渉手段と、１種類以上の受動型追跡方式及び１種類以上の能動型追跡方式のうち、前記指定又は選択された追跡方式を実行する追跡手段と、を備えた発信源追跡装置である。
【００１９】
第２の発明は、発信源から送信されて複数の中継装置により中継された通信パケットに関し、前記発信源を追跡するための追跡要求側の発信源追跡装置であって、前記発信源を追跡する際に、追跡要求メッセージを生成するメッセージ生成手段と、前記各中継装置から受けた追跡情報メッセージに基づいて、前記追跡要求メッセージの送信先となる中継装置を判別する中継装置判別手段と、前記判別された中継装置との間で、前記追跡に用いる追跡方式を交渉する追跡方式交渉手段と、前記交渉の結果に基づいて前記追跡要求メッセージを送信する追跡要求手段と、を備えた発信源追跡装置である。
【００２０】
従って、第１及び第２の発明は以上のような手段を講じたことにより、例えばエンティティ装置が発信源から各中継装置を介してサービス妨害攻撃を受けつつあるときでも、追跡要求側の発信源追跡装置が、要求応答側の発信源追跡装置に追跡要求メッセージを送信し、要求応答側の発信源追跡装置が、１種類以上の受動型追跡方式及び１種類以上の能動型追跡方式のうち、指定又は選択された追跡方式を実行する。
【００２１】
このように第１及び第２の発明は、受動型追跡方式と能動型追跡方式とを切換えて追跡を実行できるので、効率的かつ追跡精度の高い追跡方式を実現させることができる。
【００２２】
【発明の実施の形態】
以下、本発明の各実施形態について図面を参照しながら説明する。
（第１の実施形態）
図１は本発明の第１の実施形態に係る発信源追跡装置が適用されたネットワークシステムの構成例を示す模式図である。このネットワークシステムは、被害者装置１０が例えば５台のルータ装置２０１〜２０５からなるネットワーク３０を介して攻撃者装置４０に接続されている。また、ルータ装置２０２には、要求側の発信源追跡装置（以下、要求側追跡装置という）５０が接続されている。
【００２３】
ここで、被害者装置（エンティティ装置）１０は、通常のコンピュータ機能を有し、攻撃者装置４０からのＤｏＳ攻撃等により被害を受けるクライアントの運営する機器である。なお、被害者装置１０は、一般的なパーソナルコンピュータなどに限らず、サーバ装置など、任意の種別の機器が使用可能となっている。
【００２４】
各ルータ装置（中継装置）２０１〜２０５は、主にＩＰデータグラムを転送するデバイスを想定しており、図２に示すように、通常のルータ機能（経路制御機能及び転送機能など）を有するルータ部２１に加え、応答側の発信源追跡装置（以下、応答側追跡装置という）２２を備えている。
【００２５】
なお、応答側追跡装置２２は、ハードウェア構成のみ、又はハードウェアとソフトウェアとの組合せ構成により実現可能であるが、ソフトウェアにより構成される部分は、対応する機能を実現させるためのプログラムが予め記憶媒体又はネットワークから応答側追跡装置２２のコンピュータにインストールされる。このようなハードウェア構成のみ、又はハードウェアとソフトウェアとの組合せ構成により実現可能なことは、後述する要求側追跡装置５０でも同様である。
【００２６】
応答側追跡装置２２は、要求側追跡装置５０からの追跡要求メッセージに応じて追跡処理を実行するためのものであり、追跡処理としては、１種類以上の受動型追跡方式及び１種類以上の能動型追跡方式に対応している。
【００２７】
具体的には、応答側追跡装置２２は、通信部２３、メッセージ受諾部２４、制御部２５、追跡機能部２６、パケットフィルタリング部２７、追跡情報生成部２８及びメッセージ生成部２９を備えている。
【００２８】
通信部２３は、追跡情報に関する情報を送受信するものであり、具体的には、被害者装置１０から受信した追跡要求メッセージをメッセージ受諾部２４に送出する機能と、メッセージ生成部２９から受けた追跡情報送信メッセージをクライアント装置に送信する機能とをもっている。
【００２９】
メッセージ受諾部２４は、メッセージを受諾および理解するためのものであり、具体的には、通信部２３から受けた追跡要求メッセージから追跡対象の宛先アドレスを抽出し、得られた宛先アドレスを制御部２５に転送する機能をもっている。また、メッセージ受諾部２４は、追跡要求メッセージに指定情報取得要求が含まれる場合、この指定情報取得要求を追跡情報生成部２８に与えるために制御部２５に送出する機能をもっている。
【００３０】
なお、前述したように、追跡要求メッセージが追跡対象の宛先アドレスを含まない場合、メッセージ受諾部２４は、追跡要求メッセージの送信元である被害者装置１０のアドレス情報を制御部２５に転送し、追跡対象の調査を依頼する機能をもっている。
【００３１】
制御部２５は、追跡応答処理のための各機能部２３〜２８を制御するものであり、特に、メッセージ受諾部２４から受けたメッセージに基づいて追跡機能部２６を起動する機能と、メッセージ受諾部２４から受けた追跡対象の宛先アドレスを送信元アドレスとして含むＩＰパケット（又は被害者装置１０のアドレス情報を宛先アドレスとして含むＩＰパケット）を選択するようにパケットフィルタリング部２７のフィルタリング条件を設定する機能と、追跡情報生成部２８から追跡情報の生成完了が通知されたとき、パケットフィルタリング部２７のフィルタリング条件の設定を解除する機能と、パケットフィルタリング部２７から転送されたＩＰパケットを追跡情報生成部２８に転送する機能と、追跡機能部２６から書込まれた追跡実行結果を追跡情報生成部２８に転送する機能と、メッセージ受諾部２４から受けた指定情報取得要求を追跡情報生成部２８に転送する機能とをもっている。
【００３２】
追跡機能部２６は、制御部２５により起動され、１種類以上の能動型追跡方式及び１種類以上の受動型追跡方式のいずれかを切換えて実行可能なものであり、要求側追跡装置５０との交渉により、追跡方式の指定又は選択を受ける機能と、指定又は選択された追跡方式を実行して実行結果を制御部２５のメモリに保存する機能とをもっている。
【００３３】
パケットフィルタリング部２７は、追跡対象パケットをフィルタリングするものであり、具体的には、制御部２５により設定されたフィルタリング条件に基づいて、該当する受信パケットを制御部２５に転送する機能をもっている。
【００３４】
追跡情報生成部２８は、追跡対象パケットに対する追跡情報を生成するものであり、具体的には、制御部２５から受けたＩＰパケット又は追跡実行結果を分析して追跡情報を生成し、得られた追跡情報をメッセージ生成部２９に転送する機能と、追跡情報の生成完了を制御部２６に通知する機能とをもっている。ここで、追跡情報としては、例えば、直近のリンクの情報（自ルータ装置２０ｉや対向ルータ装置２０ｉ＋１のインタフェースやネットワークアドレスなどのアドレス割当情報）やログ情報などが好適に使用される。但し、追跡情報の通信手段は、メッセージ生成部２９によるメッセージに限らず、例えば図２の破線に示すように、追跡情報をパケットに埋込むように制御部２５に転送し、追跡情報が埋め込まれた埋込みパケットをネットワーク３０に出力するようにしてもよい。
【００３５】
また、追跡情報生成部２８は、制御部２５から受けた指定情報取得要求に基づいて指定情報を取得し、この指定情報を追跡情報に含めてメッセージ生成部２９に転送する機能をもっている。
【００３６】
メッセージ生成部２９は、追跡情報送信メッセージを生成するものであり、具体的には、追跡情報生成部２８から追跡情報を受けると、この追跡情報を含む追跡情報送信メッセージを生成し、得られた追跡情報送信メッセージを通信部２３に転送する機能をもっている。なお、追跡情報の通信手段は、任意であるが、信頼実績などの観点からＩＣＭＰ（Ｉｎｔｅｒｎｅｔ  Ｃｏｎｔｒｏｌ  Ｍｅｓｓａｇｅ  Ｐｒｏｔｏｃｏｌ）メッセージが好ましい。
【００３７】
また、ルータ装置２０１〜２０５は、ネットワーク３０の全てを必ずしも構成しなくてもよく、少なくともネットワーク３０の一部を構成していればよい。また、応答側追跡装置２２は、パケットの中継装置に用いるものなので、ルータ装置２０１〜２０５に限らず、ゲートウェイ装置に用いてもよい。
【００３８】
攻撃者装置（発信源）４０は、通常のコンピュータ機能を有するものであり、ここでは、攻撃者の操作により、自装置４０の送信元アドレスを詐称した大量のＩＰパケットを被害者装置１０に送信する、いわゆるＤｏＳ（Ｄｅｎｉａｌ−ｏｆ−Ｓｅｒｖｉｃｅ）攻撃を実行するものである。また、攻撃者装置４０は、１台に限らず、複数台が存在する場合もある。
【００３９】
要求側追跡装置５０は、追跡処理を順次、各ルータ装置２０１〜２０５に要求するためのものであり、図３に示すように、入出力部５１、制御部５２、メッセージ生成部５３、通信部５４、追跡方式選択部５５、メッセージ受諾部５６、追跡情報解析部５７を備えている。
【００４０】
ここで、入出力部５１は、操作者などの外部に対して情報を入出力するための機能を有するものである。具体的には例えば、被害者装置１０側の図示しない侵入検知システム（ＩＤＳ：Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）から受けた追跡要求又は操作者により入力された追跡要求により、制御部５２に追跡処理を開始させる機能と、制御部から受ける追跡処理の結果を出力するための機能とをもっている。
【００４１】
制御部５２は、追跡要求処理のための各機能部１２〜１５を制御するものであり、特に、要求側追跡装置５０が起動された時、入出力部５１から要求を受けた時、又は追跡情報解析部５７から受けた判別結果により「追跡可能」と判定した時に、メッセージ生成部５３に追跡要求メッセージを生成させる機能と、判別結果により追跡方式選択部５５に追跡方式を交渉させる機能と、交渉の結果に基づいて、各ルータ装置２０ｉ＋１，２０ｉ＋２，…毎の追跡処理を開始する機能をもっている。また、制御部５２は、追跡処理の結果を入出力部５１に出力する機能をもっている。
【００４２】
メッセージ生成部５３は、追跡要求メッセージを生成するものであり、具体的には制御部５２の制御により、攻撃パケットから抽出した送信元アドレス又は制御部５２から受けた宛先アドレスを追跡対象の宛先アドレスとして追跡要求メッセージを生成し、この追跡要求メッセージをメモリへの保存を介して通信部５４に送出する機能をもっている。
【００４３】
但し、追跡要求メッセージは、追跡対象の宛先アドレスを含めなくてもよい。この場合、後述するルータ装置２０１〜２０５において、追跡要求メッセージの送信元の被害者装置１０を宛先アドレスとする通信パケットを選択するようにフィルタリング条件を設定し、得られた通信パケットに基づいて追跡情報を生成する構成となる。
【００４４】
また、メッセージ生成部５３は、ＩＣＭＰトレースバックで規定された以上の情報を取得する観点から、操作者の指定操作により、制御部５２を介して指定された指定情報をルータ装置２０１〜２０５から取得するための指定情報取得要求を追跡要求メッセージに含めてもよい。
【００４５】
ここで、指定情報としては、例えば、ルータ装置２０１〜２０５のログ情報自体とログ情報から算出される統計データとの組合せ等がある。
通信部５４は、追跡情報を含むメッセージを送受信するものであり、具体的にはメッセージ生成部１３から受けた追跡要求メッセージを送信する機能と、各ルータ装置２０１〜２０５から受けた追跡情報送信メッセージをメッセージ受諾部５６に送出する機能とをもっている。
【００４６】
追跡方式選択部５５は、制御部５２により起動され、追跡要求メッセージの送信先となるルータ装置２０ｉ＋１との間で、追跡に用いる追跡方式を指定又は選択するための交渉を行なう機能と、交渉結果を制御部５２に送出する機能をもっている。
【００４７】
メッセージ受諾部５６は、メッセージを受諾および理解するためのものであり、具体的には、通信部５４から受けた追跡情報送信メッセージから追跡情報を抽出し、得られた追跡情報を追跡情報解析部５７に転送する機能をもっている。
【００４８】
追跡情報解析部５７は、追跡情報を解析するものであり、具体的には、メッセージ受諾部５６から転送された追跡情報を分析し、追跡情報の送信元のルータ装置２０ｉより先にあるどのルータ装置２０ｉ＋１（又はネットワーク）から攻撃パケットが送信されているかを判別する機能と、判別結果を制御部５２に転送する機能をもっている。
【００４９】
次に、以上のように構成された追跡装置が適用されたネットワークシステムの動作を図４のフローチャートを用いて説明する。
【００５０】
通常時におけるネットワークでは、各ルータ装置２０１〜２０５の応答側追跡装置２２は、各々が有する受動型追跡方式を実行する。
【００５１】
各応答側追跡装置２２は、各受動型追跡方式により規定された確率をもって、要求側追跡装置５０に追跡情報を送信する。この送信手段は、受動型追跡方式に依存する。また、追跡情報として好適な例は、直近のリンクの情報（自ルータ、対向ルータのインタフェースやネットワークアドレスなど）が挙げられる。
【００５２】
続いて、このような各追跡装置２２，５０による追跡処理について述べる。
【００５３】
いま、被害者装置１０は、攻撃者装置４０から大量のＩＰパケットを送りつけられるＤｏＳ攻撃を受けつつあるとする。このとき、ＩＰパケットは、被害者装置１０からｉ番目（ｉ≧１）に近いルータ装置２０ｉから転送されていると推測されるとする。
【００５４】
このとき、要求側追跡装置５０は、各ルータ装置２０１〜２０５から追跡情報を受信し、この追跡情報に基づいて追跡要求メッセージを送信すべき応答側追跡装置２２を判別する。なお、要求側追跡装置５０は、操作者の操作又は被害者装置１０側の図示しないＩＤＳ（侵入検出システム）の処理などにより、追跡処理を開始してもよい。
【００５５】
いずれにしても、要求側追跡装置５０は、追跡処理を開始し、制御部５２の制御により、メッセージ生成部５３が攻撃パケット内の送信元アドレスを抽出し、この送信元アドレスを追跡対象の宛先アドレスとして追跡要求メッセージを生成し（ＳＴ１）、図示しないメモリに保存する。
【００５６】
次に、要求側追跡装置５０は、追跡方式選択部５７が、応答側追跡装置２２の有する追跡方式から適した追跡方式を選択するための交渉を行う（ＳＴ２）。
【００５７】
この交渉は、追跡方式の種類を応答側追跡装置２２に回答させ、次に、選択した追跡方式を実行可能か否かを応答側追跡装置２２に回答させる能力交渉であり、交渉の結果が実行不可を示すとき、他のルータ装置２０ｉ’の応答側追跡装置２２と交渉する。なお、交渉は、これに限らず、例えば、指定した追跡方式を実行可能か否かを応答側追跡装置２２に回答させるようにしてもよい。
【００５８】
ステップＳＴ２の交渉の結果が実行可能を示すとき、要求側追跡装置５０は、メッセージ生成部５３のメモリ内の追跡要求メッセージを通信部５４を介して、追跡処理を要求したいルータ装置２０ｉに送信する（ＳＴ３）。なお、追跡要求メッセージは、追跡対象の宛先アドレスを含まなくてもよく、また、指定情報取得要求を含んでもよい。
【００５９】
ルータ装置２０ｉにおいては、応答側追跡装置２２が通信部２３により追跡要求メッセージを受信すると（ＳＴ４）、ステップＳＴ２の交渉に基づいて選択された追跡方式に従って追跡機能部２６が追跡処理を実行する。
【００６０】
このとき選択される追跡方式は、受動型追跡方式又は能動型追跡方式のいずれでもよい。受動型追跡方式の場合、好適な例としては追跡情報を送信する確率の変更などが挙げられる。また、能動型追跡方式の場合、より詳細な指定情報の取得要求などが挙げられる。なお、受動型追跡方式が能動型追跡方式に切換えられる場合としては、例えば、追跡情報の応答が無い場合、パケットが集中している上流を調べる場合、又はより確実性を求める場合などが挙げられる。
【００６１】
なお、ここでは、受動型追跡方式を選択するとする。ルータ装置２０ｉにおいては、メッセージ受諾部２４により追跡要求メッセージから追跡対象の宛先アドレスを抽出し、追跡機能部２６から制御部２５を介して、この宛先アドレスを送信元アドレスとして含むＩＰパケットを選択するようにパケットフィルタリング部２７のフィルタリング条件が設定される。
【００６２】
これにより、パケットフィルタリング部２７は、ルータ装置２０ｉが受信する各ＩＰパケットから追跡対象の宛先アドレスを含むＩＰパケットを選択し（ＳＴ５）、この追跡対象のＩＰパケットを制御部２５を介して追跡情報生成部２８に転送する。なお、追跡要求メッセージ内に指定情報取得要求があった場合、この指定情報取得要求も制御部２５を介して追跡情報生成部２８に転送される。
【００６３】
追跡情報生成部２８は、まず、追跡対象のＩＰパケットを集中的に収集・分析して自己のルータ装置２０ｉよりも攻撃者装置４０側のいずれのネットワーク（；ルータ装置２０ｉ＋１）から攻撃パケットが送信されているかを判別し、判別したルータ装置２０ｉ＋１のアドレス情報を含む追跡情報を生成し（ＳＴ６）、得られた追跡情報をメッセージ生成部２９に転送すると共に、制御部２６を介してパケットフィルタリング部２７の設定を解除させる。なお、追跡情報生成部２８は、指定情報取得要求を受けていた場合、この指定情報取得要求に対応する指定情報を含めた追跡情報をメッセージ生成部２９に転送する。
【００６４】
メッセージ生成部２９は、転送された追跡情報を含む追跡情報送信メッセージを生成し、得られた追跡情報送信メッセージを通信部２３を介して要求側追跡装置５０に送信する（ＳＴ７）。
【００６５】
要求側追跡装置５０は、通信部５４により追跡情報送信メッセージを受信すると（ＳＴ８）、メッセージ受諾部２４により追跡情報送信メッセージから追跡情報を抽出して追跡情報解析部５７に転送する。
【００６６】
次に、追跡情報解析部５７は、追跡情報を分析し（ＳＴ９）、追跡情報送信メッセージを送信したルータ装置２０ｉよりも攻撃者装置４０側のいずれのネットワーク（；ルータ装置２０ｉ＋１）から攻撃パケットが送信されているかを判別し、判別結果を制御部５２に転送する。
【００６７】
制御部５２は、この判別結果に基づいて追跡可能か否かを判定し（ＳＴ１０）、判定結果が「追跡不可」を示すときには処理を終了するが、「追跡可能」を示すときには、メッセージ生成部５３を制御し、今のルータ装置２０２よりも先のネットワークにあるルータ装置２０ｉ＋１に対する追跡要求メッセージをメッセージ生成部５３に生成させることにより、前述同様にステップＳＴ１〜ＳＴ１０からなる追跡処理を開始する（ＳＴ１１）。
【００６８】
以下同様に、追跡要求を送るルータ装置２０ｉ＋１を、ルータ装置２０ｉ＋２，２０ｉ＋３，…というように１台ずつ攻撃者装置４０に近づけていくことにより、攻撃パケットの送信元アドレスが改ざんされていたとしても、攻撃者装置４０をネットワークの１ホップ毎に追跡することができる。
【００６９】
また、この追跡過程において、ステップＳＴ２の交渉により、追跡方式が受動型追跡方式又は能動型追跡方式に切換えられる。従って、効率的かつ追跡精度の高い追跡方式を実現させることができる。
【００７０】
上述したように本実施形態によれば、被害者装置１０が攻撃者装置４０から各ルータ装置２０１〜２０５を介してサービス妨害攻撃を受けつつあるときでも、要求側追跡装置５０がルータ装置２０ｉに攻撃者装置４０の追跡要求を行ない、この追跡要求の結果に基づいて、より発信源に近いルータ装置２０ｉ＋１を判別し、以下同様に、ルータ装置２０ｉ＋１，…への追跡要求と、より攻撃者装置４０に近いルータ装置２０ｉ＋２，…の判別とを繰り返すことにより、発信源を追跡する。
【００７１】
このとき、通常時のネットワークでは、応答側追跡装置２２が受動型追跡方式に基づいて追跡情報を送信しており、攻撃発生時のネットワークでは、要求側追跡装置５０がより詳細な追跡が必要であると判別したときに、応答側追跡装置２２を能動型追跡方式に移行させている。
【００７２】
これにより、効率的かつ追跡精度の高い追跡方式を実現できる。例えばサービス妨害攻撃時にも、無駄の無い追跡処理を実現できるので、通常時のネットワークリソースの消費を抑制しつつ、サービス妨害攻撃時に攻撃の発信源を追跡することができる。
【００７３】
詳しくは、ルータ装置２０５毎に追跡することにより、攻撃者の最寄りのルータ装置２０５までネットワーク単位で探索でき、最寄りのルータから攻撃者まではルータのログ情報やアドレス割当情報などを利用してＩＰパケットの発信元を追跡することができる。
【００７４】
また、要求側追跡装置５０が、指定情報を取得するための情報取得要求を追跡要求メッセージに含めることにより、ＩＣＭＰトレースバックで規定された情報以上の情報を取得することができ、詳細なＩＰトレースバックを実現することができる。
【００７５】
また、追跡要求メッセージが追跡対象の宛先アドレスを含まない場合でも、ルータ装置２０ｉの制御部２５が、被害者装置１０のアドレス情報を宛先アドレスにもつ通信パケットを選択するようにフィルタリング条件を設定することにより、前述同様に追跡情報を生成できるので、利便性の高い発信源追跡技術を実現することができる。
【００７６】
（第２の実施形態）
図５は本発明の第２の実施形態に係る発信源追跡装置が適用されたネットワークシステムの構成例を示す模式図であり、図１と同一部分には同一符号を付してその詳しい説明を省略し、ここでは異なる部分について主に述べる。
【００７７】
すなわち、本実施形態は、第１の実施形態の変形例であり、代理機能を設けた複数の要求側追跡装置５０ｐ１，５０ｐ２を用い、追跡行為を代理させる形態である。
【００７８】
具体的には、ある要求側追跡装置５０ｐ１がネットワーク３０ａに接続され、他の要求側追跡装置（以下、代理追跡装置という）５０ｐ２がファイアウォール内やＮＡＴ（Ｎｅｔｗｏｒｋ  Ａｄｄｒｅｓｓ  Ｔｒａｎｓｌａｔｉｏｎ）内のような他のネットワーク３０ｂに接続されている場合を考える。
【００７９】
このとき、ある要求側追跡装置５０ｐ１が他の要求側追跡装置（以下、代理追跡装置という）５０ｐ２に追跡行為を依頼し、依頼された代理追跡装置５０ｐ２が図４に示した動作を行い、追跡結果の要約を要求側追跡装置５０ｐ１に応答するものである。
【００８０】
ここで、要求側追跡装置５０ｐ１は、図６に示すように、前述した機能部５１〜５７に加え、追跡代理依頼部５８を備えている。
【００８１】
追跡代理依頼部５８は、追跡代理依頼メッセージを生成し、得られた追跡代理依頼メッセージを代理追跡装置５０ｐ２に送信するための機能と、代理追跡装置５０ｐ２より応答してきた応答メッセージを解するための機能をもっている。
【００８２】
一方、代理追跡装置５０ｐ２は、前述した要求側追跡装置５０の各機能部５１〜５７に加え、代理追跡制御部５９及び追跡情報要約部６０を備えている。
【００８３】
代理追跡制御部５９は、要求側追跡装置５０ｐ１から受けた追跡代理依頼メッセージに基づいて、前述した各機能５２〜５７を制御し、図４に示したように、攻撃者装置４０を追跡し、追跡情報を得る機能をもっている。
【００８４】
追跡情報要約部６０は、代理追跡制御部５９により得られた追跡情報を要約する機能と、得られた要約結果を要求側追跡装置６０に送信するための機能をもっている。ここで、要約する機能は、例えば、追跡要求メッセージを複数のルータ装置２０１〜２０５に順次、送信したとき、当該各ルータ装置２０１〜２０５から応答された追跡情報のうち、攻撃者装置４０に最も近いルータ装置２０５から応答された追跡情報を選択して要約結果とする機能である。なお、他のルータ装置２０１〜２０４から応答された追跡情報は、要約結果には含めないが、例えば追跡結果に行き詰まった場合や攻撃木を構築する場合など、必要な場合に使用することができる。また、他の要約機能としては、例えば、同一パケットの個数を示す場合のように、統計処理によって要約結果を得るもの等が使用可能となっている。
【００８５】
なお、代理追跡装置５０ｐ２は、図８に示すように、要求側追跡装置５０ｐ１に代理追跡制御部５９及び追跡情報要約部６０を設けた代理追跡装置５０ｐ２’として実現してもよい。
【００８６】
次に、以上のように構成された発信源追跡装置が適用されたネットワークシステムの動作を図９のフローチャートを用いて説明する。
【００８７】
要求側追跡装置５０ｐ１においては、追跡代理依頼部５８が、追跡代理依頼メッセージを生成し、得られた追跡代理依頼メッセージを通信部５４を介して代理追跡装置５０ｐ２に送信する（ＳＴ２０）。
【００８８】
代理追跡装置５０ｐ２は、追跡代理依頼に基づき、図４に示した追跡処理を行う（ＳＴ２１）。このときの追跡範囲は特に規定しないが、一般に自己が属するＡＳ（Ａｕｔｏｎｏｍｏｕｓ  Ｓｙｓｔｅｍ：自律システム）で行うことが好適である。但し、追跡精度の向上を図る場合には、複数の代理追跡装置５０ｐ２−１，５０ｐ２−２，…により発信源までの追跡行為を行ってもよい。
【００８９】
代理追跡装置５０ｐ２は、追跡範囲内のルータ装置２０３〜２０５の応答側追跡装置２２から収集した追跡情報を要約し（ＳＴ２２）、要約結果を含む応答メッセージを作成して依頼元の要求側追跡装置５０ｐ１に送信する。
【００９０】
要求側追跡装置５０ｐ１は、追跡代理依頼部５８が、通信部５４を介して応答メッセージを受信すると（ＳＴ２３）、応答メッセージから抽出した追跡情報を分析し（ＳＴ２４）、分析結果に基づいて追跡終了か否かを判定し（ＳＴ２５）、判定結果に基づいて、制御部５２に追跡行為を再開させる（ＳＴ２６）。
【００９１】
これにより、ファイアウォール内やＮＡＴ内のように、外部組織の要求側追跡装置５０ｐ１からではネットワーク的にアクセスできない位置から送信されてくる攻撃パケットの発信源を追跡できると共に、追跡処理時に生じる負荷を分散させることができる。
【００９２】
上述したように本実施形態によれば、第１の実施形態の効果に加え、あるネットワーク３０ａの要求側追跡装置５０ｐ１が他のネットワーク３０ｂの代理追跡装置５０ｐ２に追跡行為を依頼して追跡結果を受ける構成としたので、異なるネットワーク３０ｂから送信される攻撃パケットの発信源を追跡できると共に、追跡処理時に生じる負荷を分散させることができる。
【００９３】
なお、上記各実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
【００９４】
また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
【００９５】
また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が本実施形態を実現するための各処理の一部を実行しても良い。
【００９６】
さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶又は一時記憶した記憶媒体も含まれる。
【００９７】
また、記憶媒体は１つに限らず、複数の媒体から本実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
【００９８】
尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、本実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
【００９９】
また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【０１００】
なお、本願発明は、上記各実施形態に限定されるものでなく、実施段階ではその要旨を逸脱しない範囲で種々に変形することが可能である。また、各実施形態は可能な限り適宜組み合わせて実施してもよく、その場合、組み合わされた効果が得られる。さらに、上記各実施形態には種々の段階の発明が含まれており、開示される複数の構成要件における適宜な組み合わせにより種々の発明が抽出され得る。例えば実施形態に示される全構成要件から幾つかの構成要件が省略されることで発明が抽出された場合には、その抽出された発明を実施する場合には省略部分が周知慣用技術で適宜補われるものである。
【０１０１】
その他、本発明はその要旨を逸脱しない範囲で種々変形して実施できる。
【０１０２】
【発明の効果】
以上説明したように本発明によれば、効率的かつ追跡精度の高い追跡方式を実現できる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態に係る発信源追跡装置が適用されたネットワークシステムの構成例を示す模式図である。
【図２】同実施形態における応答側追跡装置の構成例を示す機能ブロック図である。
【図３】同実施形態における要求側追跡装置の構成例を示す模式図である。
【図４】同実施形態における動作を説明するためのフローチャートである。
【図５】本発明の第２の実施形態に係る発信源追跡装置が適用されたネットワークシステムの構成例を示す模式図である。
【図６】同実施形態における要求側追跡装置の構成例を示す機能ブロック図である。
【図７】同実施形態における代理追跡装置の構成例を示す機能ブロック図である。
【図８】同実施形態における代理追跡装置の変形例を示す機能ブロック図である。
【図９】同実施形態における動作を説明するためのフローチャートである。
【符号の説明】
１０…被害者装置、２０１〜２０５…ルータ装置、２１…ルータ部、２２…応答側追跡装置、２３，５４…通信部、２４，５６…メッセージ受諾部、２５，５２，５２ｐ…制御部、２６…追跡機能部、２７…パケットフィルタリング部、２８…追跡情報生成部、２９，５３…メッセージ生成部、３０…ネットワーク、４０…攻撃者装置、５０…要求側追跡装置、５０ｐ１，５０ｐ２…代理追跡装置、５１…入出力部、５５…追跡方式選択部、５７…追跡情報解析部、５８…追跡代理依頼部、５９…代理追跡制御部、６０…追跡情報要約部。
【図１】
2004274481.tif 000003
【図２】
2004274481.tif 000004
【図３】
2004274481.tif 000005
【図４】
2004274481.tif 000006
【図５】
2004274481.tif 000007
【図６】
2004274481.tif 000008
【図７】
2004274481.tif 000009
【図８】
2004274481.tif 000010
【図９】
2004274481.tif 000011