(57)【特許請求の範囲】
【請求項１】
ネットワーク上の中継装置を介してサーバへの不正アクセスを行った不正端末を特定する攻撃パケット対策システムであって、
受信したパケットの送信元情報を書き換える一又は二以上の中継装置と、
前記中継装置のいずれかに不正端末の検索依頼情報を送信する管理端末と、を有し、
前記中継装置が、エージェントプログラムを起動することによって、
受信したパケットの、中継前の送信元アドレス、中継後の送信元アドレス、宛先アドレスを含む通信ログを記憶する通信ログ記憶手段と、
前記検索依頼情報を入力すると、前記通信ログ記憶手段を参照して不正端末又は前記検索依頼情報の送信先の中継装置を特定する不正端末検索手段と、
前記管理端末又は他の中継装置から検索依頼情報を入力して前記不正端末検索手段に出力し、前記不正端末検索手段により不正端末が特定された場合に検索結果情報を前記管理端末又は前記他の中継装置に送信し、前記不正端末検索手段により前記送信先の中継装置が特定された場合に前記検索依頼情報を前記送信先の中継装置に送信する機能制御手段と、
検索依頼を受けつける対象の一又は二以上のネットワークアドレスを記憶する検索ルール記憶部と、を備え、
前記不正端末検索手段が、前記検索依頼情報の送信元アドレスと、前記検索ルール記憶部における前記検索依頼を受けつける対象のいずれかのネットワークアドレスとが一致するか否かを判定し、一致する場合に、前記不正端末又は前記検索依頼情報の送信先の中継装置を特定し、一致しない場合に、エラーを示す検索実行結果を前記機能制御手段に出力する
ことを特徴とする攻撃パケット対策システム。
【請求項２】
前記検索依頼情報に検索ホップ数が含まれ、
前記不正端末検索手段が、前記検索依頼情報の送信元アドレスと、前記検索ルール記憶部における前記検索依頼を受けつける対象のいずれかのネットワークアドレスとが一致する場合に、検索ホップ数をデクリメントし、デクリメント後の検索ホップ数が０以下でない場合に、前記不正端末又は前記検索依頼情報の送信先の中継装置を特定し、デクリメント後の検索ホップ数が０以下である場合に、エラーを示す検索実行結果を前記機能制御手段に出力する
ことを特徴とする請求項１記載の攻撃パケット対策システム。
【請求項３】
前記検索ルール記憶部に、予め前記検索依頼を受けつける対象のネットワークアドレスに対応付けて検索ホップ数を記憶させ、
前記検索ルール記憶部における一致した前記検索依頼を受けつける対象のネットワークアドレスに対応する検索ホップ数が、前記検索依頼情報におけるデクリメント前の検索ホップ数よりも小さい場合、前記不正端末検索手段が、前記検索依頼情報におけるデクリメント前の検索ホップ数を、前記検索ルール記憶部における一致した前記検索依頼を受けつける対象のネットワークアドレスに対応する検索ホップ数で置き換える
ことを特徴とする請求項２記載の攻撃パケット対策システム。
【請求項４】
前記不正端末検索手段が、不正端末を特定した場合に、前記機能制御手段が、当該中継装置を不正端末の直近の中継装置として、この直近の中継装置のアドレス、及び特定された前記不正端末のノードＩＤを含む検索結果情報を前記管理端末又は前記他の中継装置に送信する
ことを特徴とする請求項１〜３のいずれかに記載の攻撃パケット対策システム。
【請求項５】
前記管理端末が、
前記中継装置のいずれかから前記検索結果情報を受信すると、前記不正端末からの通信を制御するための制御依頼情報を作成して、前記中継装置に返信する制御依頼手段を備え、
前記中継装置が、エージェントプログラムを起動することによって、
前記検索結果情報の全部又は一部を含む検索キャッシュを記憶する検索キャッシュ記憶手段と、
前記制御依頼情報を入力すると、前記検索キャッシュ記憶手段を参照して、前記制御依頼情報に対応する検索結果情報から前記不正端末に直近の中継装置を特定し、当該中継装置が前記直近の中継装置でない場合に、前記機能制御手段により前記制御依頼情報を前記直近の中継装置に送信させ、当該中継装置が前記直近の中継装置である場合に、前記制御依頼情報に対応する検索結果情報から前記不正端末のノードＩＤを特定し、前記制御依頼情報に含まれる制御コマンドを実行して、前記不正端末からの通信を制御する不正端末制御手段と、を備える
ことを特徴とする請求項４記載の攻撃パケット対策システム。
【請求項６】
前記中継装置が、エージェントプログラムを起動することによって、
制御依頼を受けつける対象の一又は二以上のネットワークアドレスを記憶する制御ルール記憶部を備え、
前記不正端末制御手段が、前記制御依頼情報の送信元アドレスと、前記制御ルール記憶部における前記制御依頼を受けつける対象のいずれかのネットワークアドレスとが一致するか否かを判定し、一致する場合に、前記制御依頼情報の送信又は前記不正端末からの通信の制御を行い、一致しない場合に、エラーを示す制御実行結果を前記機能制御手段に出力する
ことを特徴とする請求項５記載の攻撃パケット対策システム。
【請求項７】
前記制御ルール記憶部が、一又は二以上の制御先のネットワークアドレスを記憶することを特徴とする請求項６記載の攻撃パケット対策システム。
【請求項８】
前記不正端末検索手段が、前記通信ログ記憶手段及び前記検索キャッシュ記憶手段に記憶された情報にもとづき不正端末の通信記録リストを作成して、前記機能制御手段に出力し、
前記機能制御手段が、前記通信記録リストを、前記検索依頼の送信元の中継装置に送信する
ことを特徴とする請求項５〜７のいずれかに記載の攻撃パケット対策システム。
【請求項９】
受信したパケットの送信元情報を書き換える一又は二以上の中継装置を介してサーバへの不正アクセスを行った不正端末を、前記中継装置のいずれかに不正端末の検索依頼情報を送信する管理端末を用いて特定する攻撃パケット対策方法であって、
前記中継装置が、エージェントプログラムを起動することによって、検索ルール記憶部と、通信ログ記憶手段と、不正端末検索手段と、機能制御手段と、を備え、
前記検索ルール記憶部が、検索依頼を受けつける対象の一又は二以上のネットワークアドレスを記憶し、
前記通信ログ記憶手段が、受信したパケットの、中継前の送信元アドレス、中継後の送信元アドレス、宛先アドレスを記憶し、
前記不正端末検索手段が、前記管理端末又は他の中継装置から送信されてきた前記検索依頼情報を入力すると、前記検索依頼情報の送信元アドレスと、前記検索ルール記憶部における前記検索依頼を受けつける対象のいずれかのネットワークアドレスとが一致するか否かを判定し、一致する場合に、前記通信ログを参照して不正端末又は前記検索依頼情報の送信先の中継装置を特定し、一致しない場合に、エラーを示す検索実行結果を前記機能制御手段に出力し、
前記機能制御手段が、前記不正端末検索手段により不正端末が特定された場合に、検索結果情報を前記管理端末又は前記他の中継装置に送信し、前記不正端末検索手段により前記送信先の中継装置が特定された場合に、前記検索依頼情報を前記送信先の中継装置に送信する
ことを特徴とする攻撃パケット対策方法。
【請求項１０】
前記検索依頼情報に検索ホップ数が含まれ、
前記不正端末検索手段が、前記検索依頼情報の送信元アドレスと、前記検索ルール記憶部における前記検索依頼を受けつける対象のいずれかのネットワークアドレスとが一致する場合に、検索ホップ数をデクリメントし、デクリメント後の検索ホップ数が０以下でない場合に、前記不正端末又は前記検索依頼情報の送信先の中継装置を特定し、デクリメント後の検索ホップ数が０以下である場合に、エラーを示す検索実行結果を前記機能制御手段に出力する
ことを特徴とする請求項９記載の攻撃パケット対策方法。
【請求項１１】
前記検索ルール記憶部に、予め前記検索依頼を受けつける対象のネットワークアドレスに対応付けて検索ホップ数を記憶させ、
前記検索ルール記憶部における一致した前記検索依頼を受けつける対象のネットワークアドレスに対応する検索ホップ数が、前記検索依頼情報におけるデクリメント前の検索ホップ数よりも小さい場合、前記不正端末検索手段が、前記検索依頼情報におけるデクリメント前の検索ホップ数を、前記検索ルール記憶部における一致した前記検索依頼を受けつける対象のネットワークアドレスに対応する検索ホップ数で置き換える
ことを特徴とする請求項１０記載の攻撃パケット対策方法。
【請求項１２】
前記中継装置が、不正端末を特定した場合に、当該中継装置を不正端末の直近の中継装置として、この直近の中継装置のアドレス、及び特定した不正端末のノードＩＤを含む検索結果情報を前記管理端末又は前記他の中継装置に送信する
ことを特徴とする請求項９〜１１のいずれかに記載の攻撃パケット対策方法。
【請求項１３】
前記管理端末が、
前記中継装置のいずれかから前記検索結果情報を受信すると、前記不正端末からの通信を制御するための制御依頼情報を作成して、前記中継装置に返信し、
前記中継装置が、エージェントプログラムを起動することによって、検索キャッシュ記憶手段と、不正端末制御手段と、を備え、
前記検索キャッシュ記憶手段が、前記検索結果情報の全部又は一部を含む検索キャッシュを記憶し、
前記不正端末制御手段が、前記制御依頼情報を入力すると、前記検索キャッシュ記憶手段を参照して、前記制御依頼情報に対応する検索結果情報から前記不正端末に直近の中継装置を特定し、当該中継装置が前記直近の中継装置でない場合に、前記機能制御手段により前記制御依頼情報を前記直近の中継装置に送信させ、当該中継装置が前記直近の中継装置である場合に、前記制御依頼情報に対応する検索結果情報から前記不正端末のノードＩＤを特定し、前記制御依頼情報に含まれる制御コマンドを実行して、前記不正端末からの通信を制御し、かつ、制御結果情報を前記管理端末又は前記制御依頼情報の送信元の中継装置に送信する
ことを特徴とする請求項１２記載の攻撃パケット対策方法。
【請求項１４】
前記中継装置が、エージェントプログラムを起動することによって、制御ルール記憶部を備え、
前記制御ルール記憶部が、制御依頼を受けつける対象の一又は二以上のネットワークアドレスを記憶し、
前記不正端末制御手段が、前記制御依頼情報の送信元アドレスと、前記制御ルール記憶部における前記制御依頼を受けつける対象のいずれかのネットワークアドレスとが一致するか否かを判定し、一致する場合に、前記制御依頼情報の送信又は前記不正端末からの通信の制御を行い、一致しない場合に、エラーを示す制御実行結果を前記機能制御手段に出力する
ことを特徴とする請求項１３記載の攻撃パケット対策方法。
【請求項１５】
受信したパケットの送信元情報を書き換える機能を備え、かつ、ネットワークを介して管理端末から送信されてきた不正端末の検索依頼情報にもとづきサーバへの不正アクセスを行った不正端末を特定する攻撃パケット対策装置であって、
当該攻撃パケット対策装置が、エージェントプログラムを起動することによって、
受信したパケットの、中継前の送信元アドレス、中継後の送信元アドレス、宛先アドレスを含む通信ログを記憶する通信ログ記憶手段と、
前記検索依頼情報を入力すると、前記通信ログ記憶手段を参照して不正端末又は前記検索依頼情報の送信先の中継装置を特定する不正端末検索手段と、
前記管理端末又は他の中継装置から検索依頼情報を入力して前記不正端末検索手段に出力し、前記不正端末検索手段により不正端末が特定された場合に検索結果情報を前記管理端末又は前記他の中継装置に送信し、前記不正端末検索手段により前記送信先の中継装置が特定された場合に前記検索依頼情報を前記送信先の中継装置に送信する機能制御手段と、
検索依頼を受けつける対象の一又は二以上のネットワークアドレスを記憶する検索ルール記憶部と、を備え、
前記不正端末検索手段が、前記検索依頼情報の送信元アドレスと、前記検索ルール記憶部における前記検索依頼を受けつける対象のいずれかのネットワークアドレスとが一致するか否かを判定し、一致する場合に、前記不正端末又は前記検索依頼情報の送信先の中継装置を特定し、一致しない場合に、エラーを示す検索実行結果を前記機能制御手段に出力する
ことを特徴とする攻撃パケット対策装置。
【請求項１６】
前記検索依頼情報に検索ホップ数が含まれ、
前記不正端末検索手段が、前記検索依頼情報の送信元アドレスと、前記検索ルール記憶部における前記検索依頼を受けつける対象のいずれかのネットワークアドレスとが一致する場合に、検索ホップ数をデクリメントし、デクリメント後の検索ホップ数が０以下でない場合に、前記不正端末又は前記検索依頼情報の送信先の中継装置を特定し、デクリメント後の検索ホップ数が０以下である場合に、エラーを示す検索実行結果を前記機能制御手段に出力する
ことを特徴とする請求項１５記載の攻撃パケット対策装置。
【請求項１７】
前記検索ルール記憶部に、予め前記検索依頼を受けつける対象のネットワークアドレスに対応付けて検索ホップ数を記憶させ、
前記検索ルール記憶部における一致した前記検索依頼を受けつける対象のネットワークアドレスに対応する検索ホップ数が、前記検索依頼情報におけるデクリメント前の検索ホップ数よりも小さい場合、前記不正端末検索手段が、前記検索依頼情報におけるデクリメント前の検索ホップ数を、前記検索ルール記憶部における一致した前記検索依頼を受けつける対象のネットワークアドレスに対応する検索ホップ数で置き換える
ことを特徴とする請求項１６記載の攻撃パケット対策装置。
【請求項１８】
前記不正端末検索手段が、不正端末を特定した場合に、前記機能制御手段が、当該中継装置を不正端末の直近の中継装置として、この直近の中継装置のアドレス、及び特定された前記不正端末のノードＩＤを含む検索結果情報を前記管理端末又は前記他の中継装置に送信する
ことを特徴とする請求項１５〜１７のいずれかに記載の攻撃パケット対策装置。
【請求項１９】
請求項１８記載の攻撃パケット対策装置が、エージェントプログラムを起動することによって、
前記検索結果情報の全部又は一部を含む検索キャッシュを記憶する検索キャッシュ記憶手段と、
前記管理端末から前記検索結果情報に対応する前記不正端末からの通信を制御するための制御依頼情報を入力すると、前記検索キャッシュ記憶手段を参照して、前記制御依頼情報に対応する検索結果情報から前記不正端末に直近の中継装置を特定し、当該中継装置が前記直近の中継装置でない場合に、前記機能制御手段により前記制御依頼情報を前記直近の中継装置に送信させ、当該中継装置が前記直近の中継装置である場合に、前記制御依頼情報に対応する検索結果情報から前記不正端末のノードＩＤを特定し、前記制御依頼情報に含まれる制御コマンドを実行して、前記不正端末からの通信を制御し、かつ、制御結果情報を前記管理端末又は前記制御依頼の送信元の中継装置に送信する不正端末制御手段と、を備えた
ことを特徴とする攻撃パケット対策装置。
【請求項２０】
請求項１９記載の攻撃パケット対策装置が、エージェントプログラムを起動することによって、
制御依頼を受けつける対象の一又は二以上のネットワークアドレスを記憶する制御ルール記憶部をさらに備え、
前記不正端末制御手段が、前記制御依頼情報の送信元アドレスと、前記制御ルール記憶部における前記制御依頼を受けつける対象のいずれかのネットワークアドレスとが一致するか否かを判定し、一致する場合に、前記制御依頼情報の送信又は前記不正端末からの通信の制御を行い、一致しない場合に、エラーを示す制御実行結果を前記機能制御手段に出力する
ことを特徴とする攻撃パケット対策装置。
【請求項２１】
受信したパケットの送信元情報を書き換える機能を備えた中継装置に、ネットワークを介して管理端末から送信されてきた不正端末の検索依頼情報にもとづきサーバへの不正アクセスを行った不正端末を特定させる攻撃パケット対策プログラムであって、
エージェントプログラムを起動させることによって、前記中継装置を、
受信したパケットの、中継前の送信元アドレス、中継後の送信元アドレス、宛先アドレスを含む通信ログを記憶する通信ログ記憶手段、
前記検索依頼情報を入力すると、前記通信ログ記憶手段を参照して不正端末又は前記検索依頼情報の送信先の中継装置を特定する不正端末検索手段、
前記管理端末又は他の中継装置から検索依頼情報を入力して前記不正端末検索手段に出力し、前記不正端末検索手段により不正端末が特定された場合に検索結果情報を前記管理端末又は前記他の中継装置に送信し、前記不正端末検索手段により前記送信先の中継装置が特定された場合に前記検索依頼情報を前記送信先の中継装置に送信する機能制御手段、及び、
検索依頼を受けつける対象の一又は二以上のネットワークアドレスを記憶する検索ルール記憶手段として機能させ、
前記不正端末検索手段に、前記検索依頼情報の送信元アドレスと、前記検索ルール記憶手段における前記検索依頼を受けつける対象のいずれかのネットワークアドレスとが一致するか否かを判定させ、一致する場合に、前記不正端末又は前記検索依頼情報の送信先の中継装置を特定させ、一致しない場合に、エラーを示す検索実行結果を前記機能制御手段へ出力させる
ことを実行させるための攻撃パケット対策プログラム。
【請求項２２】
前記検索依頼情報に検索ホップ数が含まれ、
前記不正端末検索手段に、前記検索依頼情報の送信元アドレスと、前記検索ルール記憶部における前記検索依頼を受けつける対象のいずれかのネットワークアドレスとが一致する場合に、検索ホップ数をデクリメントさせ、デクリメント後の検索ホップ数が０以下でない場合に、前記不正端末又は前記検索依頼情報の送信先の中継装置を特定させ、デクリメント後の検索ホップ数が０以下である場合に、エラーを示す検索実行結果を前記機能制御手段に出力させる
ことを実行させるための請求項２１記載の攻撃パケット対策プログラム。
【請求項２３】
前記不正端末検索手段により不正端末が特定された場合に、前記機能制御手段に、当該中継装置を不正端末の直近の中継装置として、この直近の中継装置のアドレス、及び特定された前記不正端末のノードＩＤを含む検索結果情報を前記管理端末又は前記他の中継装置へ送信させる
ことを実行させるための請求項２２記載の攻撃パケット対策プログラム。
【請求項２４】
エージェントプログラムを起動させることによって、前記中継装置を、
前記検索結果情報の全部又は一部を含む検索キャッシュを記憶する検索キャッシュ記憶手段、及び、
前記管理端末から前記検索結果情報に対応する前記不正端末からの通信を制御するための制御依頼情報を入力すると、前記検索キャッシュ記憶手段を参照して、前記制御依頼情報に対応する検索結果情報から前記不正端末に直近の中継装置を特定し、当該中継装置が前記直近の中継装置でない場合に、前記機能制御手段により前記制御依頼情報を前記直近の中継装置へ送信させ、当該中継装置が前記直近の中継装置である場合に、前記制御依頼情報に対応する検索結果情報から前記不正端末のノードＩＤを特定し、前記制御依頼情報に含まれる制御コマンドを実行して、前記不正端末からの通信を制御し、かつ、制御結果情報を前記管理端末又は前記制御依頼の送信元の中継装置へ送信する不正端末制御手段
として機能させるための請求項２３記載の攻撃パケット対策プログラム。
【請求項２５】
エージェントプログラムを起動させることによって、前記中継装置を、
制御依頼を受けつける対象の一又は二以上のネットワークアドレスを記憶する制御ルール記憶部として機能させ、
前記不正端末制御手段に、前記制御依頼情報の送信元アドレスと、前記制御ルール記憶部における前記制御依頼を受けつける対象のいずれかのネットワークアドレスとが一致するか否かを判定させ、一致する場合に、前記制御依頼情報の送信又は前記不正端末からの通信の制御を行わせ、一致しない場合に、エラーを示す制御実行結果を前記機能制御手段へ出力させる
ことを実行させるための請求項２４記載の攻撃パケット対策プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、パケットの送信元情報を書き換えるパケット中継装置を介して、通信ネットワーク上のサーバへの攻撃が行われた場合でも、攻撃元を一意に特定し、攻撃元直近のパケット中継装置によって攻撃元からの通信を制御する攻撃パケット対策システム、攻撃パケット対策方法、攻撃パケット対策装置、及び攻撃パケット対策プログラムに関する。
【背景技術】
【０００２】
近年、インターネットやイントラネットなどのネットワークは社会のインフラとして欠かすことができないものとなってきており、多数の企業がインターネット上のサーバを通じて宣伝活動を行い、また商品等の販売やミーティングなど多くの産業活動がインターネット上のサーバを通じて行われている。
一方、このようなインターネット上のサーバに対し、Ｄｏｓ攻撃（Denial  of  Service  Attack）やＤＤｏｓ攻撃（Distributed  Denial  of  Service  attack）などといった不正アクセスを行うことで、そのサービスの提供を不能にさせる事件が多発しており、社会問題となっている。
【０００３】
このようなインターネット上のサーバへの攻撃が、プロキシサーバやアドレス変換を行うパケット中継装置（例えば、ＮＡＴ（Network  Address  Translation）、ＮＡＰＴ（Network  Address  Port  Translation）等の機能を有する中継装置）を介して行われた場合、パケット中継装置により通信を中継する際に送信元の情報が書き換えられてしまう。
このため、攻撃を受けた側から攻撃元を一意に特定して、通信を制御することは困難であり、特に複数のパケット中継装置を介して攻撃が行われた場合には、その攻撃元を特定することはまず不可能であった。
【０００４】
さらに、ネットワークが、複数のパケット中継装置を用いて複数のネットワークに分けて運用されているような構成の場合、あるネットワーク上に存在する不正端末からの攻撃を、そのネットワーク構成についての情報を有していない別のネットワーク上の装置から制御することは、困難であった。
例えば、インターネット上の、ある組織のネットワークに属する攻撃元の不正端末を、別組織のネットワークに属する装置から一意に特定し、攻撃元直近のネットワーク装置で通信を制御することは、通常セキュリティ的な観点から管理対象のネットワークの情報を別のネットワークに対して公開することはないため、事実上不可能であった。
【０００５】
このような問題に対し、従来は次のような方法が採られていた。
まず、第一にネットワークごとにＩＤＳ（Intrusion  Detection  System）を設置し、各ＩＤＳのログを一箇所に集めて相関分析を行うことで、不正端末を特定する方法があった。
第二にプロキシサーバを用いることなく、かつ、パケット中継装置によるアドレス変換も行うことなくネットワークを運用することで、パケットの送信元情報が書き換えられないようにして、不正端末を特定する方法があった。
【０００６】
しかし、第一の方法によれば、ネットワークごとに攻撃を検知する装置を用意する必要があるため、コストがかかるという問題があった。
また、複数のサブネットに分割されているような大規模なネットワークの場合は、ログの相関分析だけで攻撃元を一意に特定することは困難であるという問題があった。
さらに、ログを一箇所に集めると、ディスクを圧迫してしまうという問題もあった。
【０００７】
また、割り当てできるＩＰアドレスには限りがあるため、第二の方法では、ネットワークの規模が大きくなると対応できなくなってしまうという問題もあった。
その上、第二の方法では、攻撃元の検索範囲は、ネットワーク構成を把握できる範囲に限定されるという問題があった。
さらに、プロキシサーバを用いない方法であるため、プロキシサーバによる各種メリットが得られなくなってしまうという問題もあった。
【０００８】
ここで、ネットワーク上のサーバに対する不正アクセスの防止に関する先行技術としては、例えば特許文献１に記載の分散型サービス不能攻撃の防止方法や特許文献２に記載のサービス不能攻撃の防御方法などを挙げることができる。
これらの発明によれば、攻撃を検知したネットワーク装置上のエージェントプログラムが、攻撃元により近いネットワーク装置に向けて、攻撃パケットを制御するための自身のプログラムの複製を送り、少しずつ攻撃元にさかのぼって攻撃パケットを制御することが可能となっている。
【０００９】
しかし、いずれの発明も攻撃が送信元の情報を書き換えるパケット中継装置を介して行われた場合には、攻撃元にさかのぼることができない場合があり、適切に攻撃パケットを制御することができないという問題があった。
すなわち、このような従来の方法では、Ｆｌｏｏｄ系の攻撃（例えば、ＳＹＮフラッド攻撃：確立しないＴＣＰ接続を大量に試みる攻撃）の場合は攻撃元を特定することができるが、いわゆる一撃死系と呼ばれる攻撃の場合は特定することができないという問題があった。
また、Ｆｌｏｏｄ系の攻撃の場合でも間違ったホスト（パケット中継装置）が攻撃元として検知される可能性があった。
【００１０】
このような問題に対し、送信元の情報を書き換えるパケット中継装置からのアクセスをすべてブロックする運用を行うことで、その攻撃を回避することも可能である。
しかし、このような運用を行うと、その送信元の情報を書き換えるパケット中継装置を利用する他の端末からの正常な通信もすべてブロックされてしまうという新たな問題が生じてしまう。
また、これらの特許文献に記載の発明では、専用装置が必要になるという問題もあった。
【００１１】
一方、特許文献３に記載のネットワークシステムおよび攻撃防御方法によれば、一つの管理装置によりネットワーク上の全装置を一元管理するという方法を用いることで、特許文献１及び２に記載の発明における上述した問題に対処することが可能となっている。
しかしながら、このように一つの管理装置によりネットワーク上の全装置を一元管理すると、その管理装置が停止してしまった場合には、システム全体が機能しなくなるという問題があった。
また、複数の異なる組織が混在するネットワークでは、一つの管理装置により攻撃元を特定することが困難であるという問題もあった。
【００１２】
さらに、本発明に関する先行技術としては、特許文献４に記載のパケット経路追跡システム、特許文献５に記載のパケット追跡方法、及び特許文献６に記載のサーバ保護ネットワークシステムを挙げることができる。
特許文献４及び５には、ＮＡＴ機能を備えた中継装置を有するネットワークにおいて、転送時のログ情報にもとづき不正パケットの転送元の中継装置を特定し、不正パケットの送信元端末の検索依頼を行うための検索依頼情報を転送元に順次転送していくことにより、この送信元端末を特定することが記載されている。
また、特許文献６には、検索結果ごとに不正パケットの送信元端末からの通信の制御を指定した制御依頼情報を転送していくことにより、送信元端末からのパケットの遮断等の制御を行うことが記載されている。
【００１３】
【特許文献１】特開２００２−１６４９３８号公報
【特許文献２】特開２００３−２８３５７１号公報
【特許文献３】特開２００６−０６７０７８号公報
【特許文献４】特開２００５−１５９９３６号公報
【特許文献５】特開２００４−２８２３６４号公報
【特許文献６】特開２００３−２９８６２８号公報
【発明の開示】
【発明が解決しようとする課題】
【００１４】
しかしながら、特許文献４〜６に記載の発明は、不正端末の検索依頼情報や制御依頼情報を、パケット中継装置上のエージェントプログラムを用いて中継させるものではなく、検索ルールをパケット中継装置上の各エージェントプラグラムによりパケット中継装置に持たせることはできなかった。
このため、検索ルールに含まれる依頼元アドレスに基づく細かな制御を行うことができないという問題があった。
【００１５】
例えば、検索ホップ数の指定や制御方法（遮断、検疫、帯域制御、警告等）の指定を行うことができないため、組織内のネットワークポリシーに合わせた柔軟な運用を行うことができず、実用化が困難であるという問題があった。
また、あるネットワーク上に存在する不正端末からの攻撃を、そのネットワーク構成についての情報を持たない別個のネットワーク上の装置から制御することは困難であり、不正端末の検索処理や制御処理を柔軟に実行させることができなかった。
【００１６】
さらに、これらの先行発明は、不正端末の検索依頼情報や制御依頼情報をパケット中継装置上のエージェントプログラムを用いて中継させるものではないため、攻撃元の識別情報（ＩＰアドレスなど）がわからなければ対策を実施できず、対策を依頼する側はある程度ネットワークの情報（ＩＰアドレスなど）を公開する必要があり、ネットワークの匿名性を維持することは困難であった。
例えば、インターネット上のある組織のネットワークに属する不正端末を、匿名性を維持しつつ、別組織のネットワークに属する装置から正確に特定することは困難であった。
【００１７】
さらに、特許文献６に記載の発明では、不正端末からの通信の制御依頼情報を、サービス要求が送られた経路を遡って、不正端末（攻撃元）に最も近いルータまで順次転送する仕組みとなっている。
しかしながら、この方法では、検索から制御までの処理の速度が遅くなってしまうという問題があった。
【００１８】
また、この特許文献６に記載の発明では、不正端末を特定する際に、参照する情報や利用する仕組みが明らかではなく、パケットがプロキシサーバなどで中継された場合については考慮されていない。
このため、例えば送信元の情報を書き換えるプロキシサーバからのアクセスを特許文献６に記載の発明でブロックすると、このプロキシサーバを利用する他の端末からの正常な通信がすべてブロックされてしまうという問題があった。
【００１９】
本発明は、上記の事情にかんがみなされたものであり、パケット中継装置にエージェントプログラムを格納して起動させ、このエージェントプログラムを用いて、パケット中継装置間で不正端末の検索依頼情報や不正端末からの通信の制御依頼情報を中継することにより、ネットワークの匿名性を維持しつつ、攻撃元を正確に特定するとともに、攻撃元直近の中継装置で不正な通信を制御することの可能な攻撃パケット対策システム、攻撃パケット対策方法、攻撃パケット対策装置、及び攻撃パケット対策プログラムの提供を目的とする。
【課題を解決するための手段】
【００２０】
上記目的を達成するため、本発明の攻撃パケット対策システムは、ネットワーク上の中継装置を介してサーバへの不正アクセスを行った不正端末を特定する攻撃パケット対策システムであって、受信したパケットの送信元情報を書き換える一又は二以上の中継装置と、中継装置のいずれかに不正端末の検索依頼情報を送信する管理端末とを有し、中継装置が、受信したパケットの、中継前の送信元アドレス、中継後の送信元アドレス、宛先アドレスを含む通信ログを記憶する通信ログ記憶手段と、検索依頼情報を入力すると、通信ログ記憶手段を参照して不正端末又は検索依頼情報の送信先の中継装置を特定する不正端末検索手段と、管理端末又は他の中継装置から検索依頼情報を入力して不正端末検索手段に出力し、不正端末検索手段により不正端末が特定された場合に検索結果情報を管理端末又は他の中継装置に送信し、不正端末検索手段により送信先の中継装置が特定された場合に検索依頼情報を送信先の中継装置に送信する機能制御手段とを備えた構成としてある。
なお、「アドレス」には、ＩＰアドレスなどの情報のほか、必要に応じてポート番号などの情報を含めることができる。
【発明の効果】
【００２１】
本発明によれば、インターネット上のサーバへの攻撃が、パケットの送信元情報を書き換えるプロキシサーバやアドレス変換を行う装置を介して行われた場合でも、攻撃元を正確に特定することが可能となる。
また、攻撃元の特定後、攻撃元直近のネットワーク装置により不正な通信を制御することが可能となる。
【００２２】
また、このような不正端末の検索や制御を、パケット中継装置上に導入したエージェントプログラムにより実行する構成としているため、あるネットワーク上に存在する不正端末からの攻撃を、そのネットワーク構成についての情報を持たない別個のネットワーク上の装置からも柔軟に制御することが可能となる。
すなわち、このエージェントプログラムを連携させて、不正端末の検索依頼や制御依頼を、エージェントプログラムに中継させることで、ネットワークの匿名性を維持しつつ、不正端末からの通信をピンポイントで制御することが可能となる。
【発明を実施するための最良の形態】
【００２３】
以下、本発明に係る攻撃パケット対策システムの好ましい実施形態について、図面を参照しつつ説明する。
なお、以下の実施形態に示す本発明の攻撃パケット対策システムは、プログラムに制御されたコンピュータにより動作するようになっている。コンピュータのＣＰＵは、プログラムにもとづいてコンピュータの各構成要素に指令を送り、パケット中継装置の動作に必要となる所定の処理、例えば、不正端末の検索依頼／制御依頼の中継処理、検索結果／制御結果の返信処理等を行わせる。このように、本発明の攻撃パケット対策システムにおける各処理，動作は、プログラムとコンピュータとが協働した具体的手段により実現できるものである。
【００２４】
プログラムは予めＲＯＭ，ＲＡＭ等の記録媒体に格納され、コンピュータに実装された記録媒体から当該コンピュータにプログラムを読み込ませて実行されるが、例えば通信回線を介してコンピュータに読み込ませることもできる。
また、プログラムを格納する記録媒体は、例えば半導体メモリ，磁気ディスク，光ディスク、その他任意のコンピュータで読取り可能な任意の記録手段により構成できる。
【００２５】
［第一実施形態］
まず、本発明の第一実施形態の構成について、図１〜図８を参照して説明する。図１は、本実施形態の攻撃パケット対策システムの構成（ＩＰネットワーク）を示すブロック図である。図２は、同システムの構成（オーバレイネットワーク）を示すブロック図である。図３は、同システムにおけるパケット中継装置の構成を示すブロック図である。図４は、同システムにおける通信ログ記憶部のレコードレイアウトを示す図である。図５は、同システムにおける検索ルールＤＢ内のテーブルのデータ構成を示す図である。図６は、同システムにおける検索キャッシュＤＢのレコードレイアウトを示す図である。図７は、同システムにおける制御ルールＤＢ内のテーブルのデータ構成を示す図である。図８は、同システムにおける管理端末の構成を示すブロック図である。
【００２６】
［攻撃パケット対策システム］
本実施形態の攻撃パケット対策システムは、図１に示すように、ネットワークにより接続されたパケット中継装置１０（パケット中継装置１０ａ（中継ルータａ（ＮＡＰＴ有）），パケット中継装置１０ｂ（プロキシサーバ），パケット中継装置１０ｃ（中継ルータｂ（ＮＡＰＴ有）））と管理端末２０を有している。
また、同図の例では、標的サーバ３０が、ネットワークを介して不正端末４０によりＤｏｓなどの攻撃を受けていることを想定している。
なお、図２は、図１の装置におけるサービスやアプリケーションの目的に応じたつながり方を示したものである。
【００２７】
［パケット中継装置１０］
パケット中継装置１０は、不正端末４０から標的サーバ３０へ送信されるパケットを中継する装置であり、図１の例では、中継ルータａ（ＮＡＰＴ有）、プロキシサーバ、及び中継ルータｂ（ＮＡＰＴ有）として示されている。
中継ルータａは、ＮＡＰＴを行う装置であり、プロキシサーバの属するネットワークから管理端末２０の属するネットワークへ通信を行う際、パケットのヘッダにおける送信元の情報を、自身のもつ、管理端末２０の属するネットワーク側のアドレス情報（ポート番号を含む。以下、同様。）に変換する。
【００２８】
プロキシサーバは、不正端末４０から標的サーバ３０へのアクセスを中継する装置である。
中継ルータｂは、ＮＡＰＴを行う装置であり、不正端末４０の属するネットワークからプロキシサーバの属するネットワークへ通信を行う際、パケットのヘッダにおける送信元の情報を、自身のもつ、プロキシサーバの属するネットワーク側のアドレス情報に変換する。
【００２９】
パケット中継装置１０には、図３に示すように、エージェントプログラムがインストールされており、このエージェントプログラムを起動することによって、パケット中継装置１０内に、通信ログ記憶部１１、検索ルールＤＢ１２、検索キャッシュＤＢ１３、制御ルールＤＢ１４、エージェント機能制御部１５、不正端末検索部１６、不正端末制御部１７が構成される。なお、通信ログ記憶部１１、検索ルールＤＢ１２、検索キャッシュＤＢ１３、制御ルールＤＢ１４をパケット中継装置１０に外部接続する記憶装置上に構成してもよい。
【００３０】
パケット中継装置１０において、エージェントプログラムを実行する場合には、予めその実行前に設定パラメータとして、待ち受けポート番号、上流ノードリスト、下流ノードリスト、優先度、キャッシュデータ保持期間を入力してパケット中継装置１０における図示しないパラメータ記憶手段に格納し、エージェントプログラムの実行中にＣＰＵによって読み取ることができるようにしておく。
【００３１】
待ち受けポート番号は、複数の相手と同時に接続を行うためにＩＰアドレスの下に設けられたサブアドレスである。
【００３２】
上流ノードリストは、当該パケット中継装置１０が起動時に接続する、一又は二以上の他のパケット中継装置１０のＩＰアドレスとポート番号を登録する記憶手段である。以下、この上流ノードリストに登録されているパケット中継装置１０を、上流ノードと称する。
【００３３】
パケット中継装置１０において、エージェントプログラムを起動すると、当該パケット中継装置１０における図示しない接続手段は、予め上流ノードリストに登録してある他のパケット中継装置１０との接続を確立し、接続した他のパケット中継装置１０に対して、自身のノード情報（待ち受けＩＰアドレス，ポート番号，優先度等）を一定間隔で通知する。
【００３４】
下流ノードリストは、他のパケット中継装置１０から一定間隔で通知されるノード情報を登録する記憶手段である。パケット中継装置１０は、他のパケット中継装置１０からノード情報を受信すると、これを下流ノードリストに追加する。以下、この下流ノードリストに登録されているパケット中継装置１０を、下流ノードと称する。
パケット中継装置１０は、下流ノードとの接続が切れた場合、又は下流ノードから一定期間ノード情報の通知がない場合、下流ノードリストから該当するノード情報を破棄する。
【００３５】
優先度は、パケット中継装置１０が不正端末の検索依頼を中継する際、下流ノードリストに複数のノード情報が登録されている場合に、検索依頼を中継するパケット中継装置１０の順番を決めるための情報である。
パケット中継装置１０は、検索依頼のループを防ぐため、検索依頼の中継を下流ノードに対してのみ行う。また、この際に、優先度がより高いパケット中継装置１０に検索依頼を中継する。
【００３６】
キャッシュデータ保持期間は、パケット中継装置１０が検索キャッシュＤＢ１３に検索キャッシュを格納しておく期間である。不正端末検索部１６は、検索キャッシュＤＢ１３に格納されている検索キャッシュが、検索キャッシュ更新時刻からこのキャッシュデータ保持期間を経過すると、当該検索キャッシュを検索キャッシュＤＢ１３から削除する。
【００３７】
なお、この検索キャッシュは、後述するように、例えば検索ＩＤ、検索対象のＩＰアドレス、検索対象のポート番号、被害端末のＩＰアドレス、被害端末のポート番号、プロトコル番号、セッション情報（セッション開始時、セッション開始時からセッション終了時までの時間）、検索キャッシュ更新時刻、不正端末直近のパケット中継装置のＩＰアドレス、不正端末直近のパケット中継装置上で動作するエージェントプログラムの待ち受けポート番号、実行可能な制御コマンドとそのオプション（複数組登録可）、末端ノードＩＤからなる情報とすることができる。
【００３８】
［通信ログ記憶部１１］
通信ログ記憶部１１は、パケット中継装置１０により行われた通信のログを格納する。
この通信ログは、中継前（アドレス変換前。以下同様。）の送信元ＩＰアドレス、中継前の送信元ポート番号、中継後（アドレス変換後。以下同様。）の送信元ＩＰアドレス、中継後の送信元ポート番号、宛先ＩＰアドレス（エンドポイントのＩＰアドレス）、宛先ポート番号（エンドポイントのポート番号）、プロトコル番号、セッション情報（セッション開始時刻、セッション開始から終了までの時間）などの情報を含むものとすることが好ましい。
なお、通信ログ記憶部１１は、ログを記憶するテキストファイルなどとすることもリレーショナルＤＢなどとすることもでき、通信ログが記憶可能であれば、その保存形式は特に限定されない。
【００３９】
［検索ルールＤＢ１２］
検索ルールＤＢ１２は、不正端末検索部１６が検索処理を実行するか否かを判定する条件が規定された検索ルールテーブルを格納する。不正端末検索部１６は、この検索ルールテーブルに記録されている検索ルールにもとづいて、検索を行うか否かを判定する。
検索ルールＤＢ１２における検索ルールは、エージェント機能制御部１５からの検索ルール変更依頼にもとづいて、不正端末検索部１６により必要に応じて変更するようにすることができる。また、この検索ルールを、エージェント機能制御部１５により直接変更する構成とすることも可能である。
【００４０】
検索ルールは、図５に示すように、検索ルールＩＤ、検索元、検索ホップ数、備考のカラムを備えている。
検索ルールＩＤは、検索ルールを一意に特定するための識別情報である。
検索元は、当該パケット中継装置１０が検索依頼を受けつける対象のネットワークのアドレスであり、このネットワーク内における管理端末２０や他のパケット中継装置１０から検索依頼を受信した場合に、不正端末検索部１６による検索が行われる。
【００４１】
なお、同図の検索元において、スラッシュの後の数値は、アドレスのマッチングに使用されるバイト数を示しており、検索元アドレスの左からスラッシュの後の数値分のバイト数がマッチングに使用され、これらが同一のアドレスは一致するものと判断される。
検索ホップ数は、何個先のノードまで検索を行うかを示す値である。
備考は、検索ルールに対するコメント情報である。
【００４２】
［検索キャッシュＤＢ１３］
検索キャッシュＤＢ１３は、検索キャッシュを格納する。この検索キャッシュＤＢ１３のレコードレイアウトは、図６に示すように、例えば検索ＩＤ、検索対象のＩＰアドレス、検索対象のポート番号、被害端末のＩＰアドレス、被害端末のポート番号、プロトコル番号、セッション情報（セッション開始時刻、セッション終了までの時間）、検索キャッシュ更新時刻、不正端末直近のパケット中継装置上で動作するエージェントプログラムの待ち受けポート番号、実行可能な制御コマンドとそのオプション（それぞれ複数登録可）、末端ノードＩＤ等とすることができる。
【００４３】
検索キャッシュＤＢ１３は、不正端末検索部１６により、検索依頼情報における検索ＩＤにもとづき参照され、同一内容の検索依頼情報にもとづく検索結果情報が保存されている場合には、以降の検索処理が実行されることなく、当該検索結果情報が不正端末検索部１６により検索実行結果として出力される。
【００４４】
［制御ルールＤＢ１４］
制御ルールＤＢ１４は、不正端末の制御依頼にもとづき不正端末制御部１７により実行される不正端末からの通信の制御ルールを記録する制御ルールテーブルを格納している。不正端末制御部１７は、この制御ルールテーブルに記録されている制御ルールにもとづいて、不正端末からの通信の制御処理を実行する。
制御ルールＤＢ１４における制御ルールは、エージェント機能制御部１５からの制御ルール変更依頼にもとづいて、不正端末制御部１７により必要に応じて変更するようにすることができる。また、この制御ルールを、エージェント機能制御部１５により直接変更する構成とすることも可能である。
【００４５】
この制御ルールは、図７に示すように、ルールＩＤ、制御元、制御タイプ、制御コマンド、制御コマンドオプション、備考のカラムを備えている。
制御ルールＩＤは、制御ルールを一意に特定するための識別情報である。
制御元は、当該パケット中継装置１０が制御依頼を受けつける対象のネットワークのアドレスであり、このネットワーク内における他のパケット中継装置１０や管理端末２０から制御依頼を受信した場合に、不正端末制御部１７による制御が行われる。
【００４６】
なお、同図の制御元において、スラッシュの後の数値は、アドレスのマッチングに使用されるバイト数を示しており、制御元アドレスの左からスラッシュの後の数値分のバイト数がマッチングに使用され、これらが同一のアドレスは一致するものと判断される。
【００４７】
制御タイプは、どの方法で通信の制御を行うかを示す値である。同図の例では、０が警告、１が帯域制御、２が検疫、３が遮断となっている。不正端末制御部１７は、制御ルールが特定されると、不正端末からの通信に対して、その制御ルールにおける制御タイプに対応する制御を実行する。
制御コマンドは、不正端末に隣接するネットワーク装置に、不正端末からの通信を制御させるためのコマンドである。
【００４８】
制御コマンドオプションは、制御コマンドのオプションに関する情報（制御コマンドの仕様など）であり、例えば特定のプロトコルやポート番号を制御コマンドオプションとして記録しておくことで、これらを使用する通信のみを制御することが可能となる。また、制御時間を記録しておき、その時間のみ制御できるようにすることなども可能である。
備考は、制御ルールに対するコメント情報である。
【００４９】
［エージェント機能制御部１５］
エージェント機能制御部１５は、管理端末２０又は他のパケット中継装置１０から不正端末の検索依頼情報を受信すると、この検索依頼情報を不正端末検索部１６に出力し、不正端末検索部１６に不正端末を特定するための検索処理等を実行させる。
【００５０】
また、エージェント機能制御部１５は、不正端末検索部１６に不正端末を特定するための検索処理等を実行させた結果、不正端末が特定されなかった場合、検索依頼情報を攻撃元により近いパケット中継装置１０に送信する。
さらに、エージェント機能制御部１５は、不正端末検索部１６により不正端末が特定され、不正端末検索部１６から検索結果情報を入力した場合、又は他のパケット中継装置１０から不正端末の検索結果情報を受信した場合、この検索結果情報を、検索依頼情報の中継経路を逆にたどって、他のパケット中継装置１０又は管理端末２０に送信する。
このとき、エージェント機能制御部１５は、検索依頼情報における検索経路リストを参照し、中継経路を逆にたどることができる。
【００５１】
また、エージェント機能制御部１５は、管理端末２０から不正端末の制御依頼情報を受信すると、この制御依頼情報を不正端末制御部１７に出力して、不正端末からの通信を制御するための各種処理を実行させる。
このとき、エージェント機能制御部１５は、制御依頼情報に含まれている検索ＩＤを用いて検索キャッシュＤＢ１３を参照し、対応する検索キャッシュが格納されているかを確認する。
【００５２】
そして、格納されている場合は、この検索キャッシュにおける検索経路リストにもとづき不正端末直近のパケット中継装置１０を特定し、この不正端末直近のパケット中継装置１０に不正端末の制御依頼情報を送信する。
さらに、エージェント機能制御部１５は、自己のパケット中継装置１０が不正端末直近であると特定された場合は、制御依頼情報にもとづき不正端末制御部１７に不正端末からの通信を制御するための処理を実行させる。
【００５３】
さらに、エージェント機能制御部１５は、不正端末制御部１７から制御結果情報を入力すると、この制御結果情報を制御依頼情報の送信元のパケット中継装置１０に送信する。また、エージェント機能制御部１５は、他のパケット中継装置１０から不正端末の制御結果情報を受信すると、この制御結果情報を管理端末２０に送信する。
【００５４】
［不正端末検索部１６］
不正端末検索部１６は、他のパケット中継装置１０や管理端末２０から当該パケット中継装置１０に送信されてきた不正端末の検索依頼情報を入力すると、この検索依頼情報にもとづき当該パケット中継装置１０における検索ルールＤＢ１２、検索キャッシュＤＢ１３、及び通信ログ記憶部１１を参照し、不正端末を検索する。
【００５５】
そして、この不正端末の検索により不正端末が特定されると、エージェント機能制御部１５により検索結果情報が、検索依頼情報の送信経路を逆に辿って送信される。このとき、エージェント機能制御部１５は、検索依頼情報又は検索結果情報における検索経路リストにもとづき検索依頼情報の送信元を特定することができる。
また、不正端末検索部１６は、この不正端末の検索により不正端末を特定できなかった場合、攻撃元により近いパケット中継装置１０（下流ノードリストにおけるパケット中継装置１０のうち最も優先度が高いもの）に不正端末の検索依頼情報を送信する。
【００５６】
具体的には、不正端末検索部１６は、以下の処理を実行する。
まず、不正端末検索部１６は、他のパケット中継装置１０や管理端末２０からの検索依頼情報を入力すると、この検索依頼情報のパケットに含まれる依頼元のＩＰアドレスをキーとして、検索ルールＤＢ１２を参照し、送信元のＩＰアドレスと、検索ルールテーブルにおける「検索元」のネットワークのアドレスとがマッチする検索ルールを特定する。
【００５７】
このとき、送信元のＩＰアドレスが検索ルールテーブルにおける「検索元」のネットワークアドレスの左からスラッシュの後の数値分のバイト数がマッチングに使用され、これらが同一であればマッチすると判定される。
そして、不正端末検索部１６により検索ルールテーブルにおける全ての検索ルールが確認された結果、送信元のＩＰアドレスがどのルールの検索元のネットワークアドレスにもマッチしない場合は、エージェント機能制御部１５により検索結果情報としてエラーを送信元に返却する。
【００５８】
一方、不正端末検索部１６は、送信元のＩＰアドレスと検索元のネットワークのアドレスがマッチする検索ルールを特定できた場合、次に検索依頼情報に含まれる検索ホップ数をデクリメントする。
検索ルールＤＢ１２における特定した検索ルールの検索ホップ数が、検索依頼情報におけるデクリメント前の検索ホップ数よりも小さい場合、不正端末検索部１６は、検索依頼情報に含まれる検索ホップ数を、特定した検索ルールにおける検索ホップ数で置き換える。
【００５９】
検索依頼情報に含まれる検索ホップ数をデクリメントしたときに、デクリメント後の検索ホップ数が０以下になった場合、不正端末検索部１６は、検索を打ち切り、エージェント機能制御部１５は、検索結果情報として送信元にエラーを返却する。
一方、検索依頼情報に含まれる検索ホップ数をデクリメントしたときに、デクリメント後の検索ホップ数が０以下にならなかった場合、不正端末検索部１６は、通信ログ記憶部１１を参照し、攻撃元（不正端末４０又はパケット中継装置１０）を特定する。
【００６０】
このとき、不正端末検索部１６は、通信ログにおける「中継前（アドレス変換前）の送信元ＩＰアドレス」の情報処理装置を攻撃元として特定する。
そして、特定した攻撃元が下流ノードリストに存在する場合、攻撃元はパケット中継装置１０であるため、不正端末検索部１６は、まだ不正端末４０が特定できていないと判断し、エージェント機能制御部１５は、当該下流ノードリストの情報にもとづき検索依頼情報を特定した攻撃元に中継する。
一方、特定した攻撃元が下流ノードリストに存在しない場合、不正端末検索部１６は、不正端末４０を特定できたと判断し、エージェント機能制御部１５は、検索結果情報を生成して、この検索結果情報を検索依頼情報の送信元に送信する。
【００６１】
なお、検索を許可したくないネットワークが存在する場合は、検索ルールの検索ホップ数を小さくすることで、パケット中継装置１０による検索が行われないように制御することができる。
例えば、保護したいネットワーク（制御不要な機密領域など）が、あるパケット中継装置１０に隣接して存在する場合、当該パケット中継装置１０の検索ホップ数を０にしておくことで、そのネットワークに対する検索が行われないようにすることが可能である。
【００６２】
［不正端末制御部１７］
不正端末制御部１７は、管理端末２０又は他のパケット中継装置１０からの不正端末の制御依頼情報を入力すると、この制御依頼情報のパケットに含まれる制御コードを参照し、当該パケットの種類を識別する。
すなわち、この制御コードにもとづいて、制御依頼情報が管理端末２０から送信されてきたものであるか、又は他のパケット中継装置１０から送信されてきたものであるかを識別する。
【００６３】
そして、制御依頼情報が他のパケット中継装置１０から送信されてきたものである場合、不正端末制御部１７は、この制御依頼情報にもとづき制御コマンドを実行して、不正端末４０からの通信を制限する。
一方、制御依頼情報が管理端末２０から送信されてきたものである場合、不正端末制御部１７は、エージェント機能制御部１５により、不正端末の制御依頼情報を不正端末直近のパケット中継装置１０に送信して中継する。
【００６４】
また、不正端末４０からの通信を制限するにあたり、不正端末制御部１７は、以下の処理を実行する。
まず、不正端末制御部１７は、制御依頼情報のパケットに含まれる依頼元のＩＰアドレスをキーとして、制御ルールテーブルを参照し、送信元のＩＰアドレスと、制御ルールテーブルにおける「制御元」のネットワークのアドレスがマッチする制御ルールを特定する。
このとき、送信元のＩＰアドレスが制御ルールテーブルにおける「制御元」のネットワークアドレスの左からスラッシュの後の数値分のバイト数がマッチングに使用され、これらが同一であればマッチすると判定される。
【００６５】
そして、不正端末制御部１７により制御ルールテーブルにおける全ての制御ルールが確認された結果、制御元のＩＰアドレスがどのルールの制御元のネットワークアドレスにもマッチしない場合は、エージェント機能制御部１５により制御結果情報としてエラーを送信元に返却する。
【００６６】
また、不正端末制御部１７は、送信元のＩＰアドレスと制御元のネットワークのアドレスがマッチする制御ルールを特定できた場合、その特定できた制御ルールにおける制御タイプと、制御依頼情報に含まれる制御タイプがマッチするか否かを判定する。
そして、マッチしない場合には、エージェント機能制御部１５により制御結果情報としてエラーを送信元に返却する。
【００６７】
一方、不正端末制御部１７は、特定できた制御ルールにおける制御タイプと、制御依頼情報に含まれる制御タイプがマッチする場合は、その制御ルールにおける制御コマンドを、制御依頼情報により指定された制御コマンドオプションで実行し、不正端末４０からの通信を制御する。
【００６８】
［管理端末２０］
管理端末２０は、標的サーバ３０を監視し、不正端末４０による標的サーバ３０への攻撃を検出すると、パケット中継装置１０に検索依頼情報を送信して、パケット中継装置１０により不正端末４０を特定させる情報処理装置である。
また、管理端末２０は、不正端末４０に隣接するパケット中継装置１０に制御依頼情報を送信して、当該パケット中継装置１０により不正端末４０からの通信を制御させる情報処理装置である。
この管理端末２０は、図８に示すように、監視手段２１、検索依頼手段２２、制御依頼手段２３を備えている。
【００６９】
監視手段２１は、従来公知の各種方法により、標的サーバ３０への攻撃を検出する。そして、攻撃を検出すると、攻撃パケットの情報を含む、不正端末４０の検索要求情報を生成し、これを検索依頼手段２２に出力する。
この攻撃パケットの情報としては、例えば被害端末のＩＰアドレス、被害端末のポート番号、プロトコル番号、攻撃を受けた時刻等とすることができる。
【００７０】
また、監視手段２１による攻撃の検出方法としては、特に限定されないが、例えば、予め登録してある不正な処理を検出するシグニチャベースの検出方法や、不正な動作を検知して、未知の攻撃を検出する方法がある。
また、標的サーバ３０が攻撃を検知した場合に、標的サーバ３０から受信したアラート通知（メール、ＳＮＭＰトラップ、シスログ転送）にもとづいて、攻撃を検出することも可能である。
【００７１】
検索依頼手段２２は、監視手段２１から攻撃パケットの情報を含む検索要求情報を入力すると、この攻撃パケットの情報を用いて検索依頼情報を生成し、これを最寄りのパケット中継装置１０（図１においては中継ルータａ）などに送信する。
【００７２】
制御依頼手段２３は、パケット中継装置１０からの検索結果情報を入力すると、この検索結果情報にもとづき制御依頼情報を作成し、この制御依頼情報を最寄りのパケット中継装置１０（図１においては中継ルータａ）などに送信する。
【００７３】
標的サーバ３０は、何らかのサービスを提供する情報処理装置であり、不正端末４０による攻撃を受けるものである。
不正端末４０は、標的サーバ３０に対して攻撃を行う情報処理装置である。
【００７４】
［不正端末の検索処理手順の概要］
次に、本実施形態の攻撃パケット対策システムにおける不正端末の検索処理手順の概要を、図９を参照して説明する。同図は、同システムにおける不正端末の検索処理手順を示す動作手順図である。
なお、パケット中継装置１０ａ、パケット中継装置１０ｂ、パケット中継装置１０ｃにおいて、エージェントプログラムの起動により構成される通信ログ記憶部１１、検索ルールＤＢ１２、検索キャッシュＤＢ１３、制御ルールＤＢ１４、エージェント機能制御部１５、不正端末検索部１６、不正端末制御部１７をまとめて、それぞれエージェント１、エージェント２、エージェント３と称する。
【００７５】
まず、管理端末２０が標的サーバ３０への攻撃を検出して、不正端末４０の検索依頼１０１を生成し、これを攻撃パケットの転送元と思われるパケット中継装置１０ａ上のエージェント１に送信する（ステップ１０）。
この攻撃パケットの転送元と思われるパケット中継装置１０ａは、例えばアラート通知に含まれる転送元などにもとづき特定することが可能である。
【００７６】
この管理端末２０から送信される検索依頼情報の検索依頼１０１は、図１０に示すように、例えば中継されていない検索依頼であることを示す制御コード、検索ＩＤ、検索対象の端末のＩＰアドレス、検索対象の端末のポート番号、被害端末のＩＰアドレス、被害端末のポート番号、プロトコル番号、攻撃を受けた時刻、依頼内容（警告、遮断、帯域制御、検疫等（それぞれ優先順位情報をもたせて、複数指定可能））、検索ホップ数、検索経路リスト等からなるものとすることができる。
【００７７】
制御コードは、パケットの種類を識別するものであり、検索依頼１０１における制御コードには、中継されていない検索依頼であることを示すものが設定される。
検索ＩＤは、一連の検索依頼をそれぞれ識別するための情報である。この検索ＩＤは、検索依頼情報に対応する制御依頼情報において同じものが用いられる。
【００７８】
検索対象の端末のＩＰアドレスは、検索依頼情報の送信元から見て、攻撃元と思われる側にあるパケット中継装置のＩＰアドレスである。
また、検索対象のポート番号は、検索依頼情報の送信元から見て、攻撃元と思われる側にあるパケット中継装置のポート番号である。
これらのＩＰアドレス及びポート番号は、標的サーバ３０からのアラート通知に含まれる送信元の情報として取得する他、通信ログ記憶部１１から取得するなど各種方法で取得することが可能である。
【００７９】
被害端末のＩＰアドレスは、標的サーバ３０における攻撃を受けた側のＩ／ＦのＩＰアドレスである。
また、被害端末のポート番号は、標的サーバ３０上の攻撃を受けたサービスの待ち受けポート番号である。
これらのＩＰアドレス及びポート番号は、標的サーバ３０からのアラート通知等に含まれ、これにもとづき取得することができる。
【００８０】
なお、被害端末のＩＰアドレスは、ＮＡＴされている可能性があるため、注意が必要である。被害端末のＩＰアドレスがＮＡＴされている場合は、グローバルＩＰアドレスとプライベートＩＰアドレスの対応付けをすることで、被害端末のＩＰアドレスとして適切な値を取得することが可能である。
【００８１】
プロトコル番号は、攻撃を受けたサービスのプロトコル番号である。
攻撃を受けた時刻は、攻撃を検出した時刻である。
これらについても、標的サーバ３０からのアラート通知等に含まれ、これにもとづき取得することが可能である。
【００８２】
依頼内容は、不正端末からの通信の制御内容を特定する情報である。例えば、警告、遮断、帯域制御、検疫などとすることができ、複数指定することもできる。また、どのような攻撃に対して、どのような制御を行うかを特定する動作ルール情報を予め作成してパケット中継装置１０に記憶させておき、この動作ルール情報にもとづき依頼内容を自動的に設定することも可能である。
【００８３】
次に、パケット中継装置１０ａ上のエージェント１は、管理端末２０から検索依頼１０１を受信すると、送信元のＩＰアドレスにもとづき検索ルールＤＢ１２を検索し、対応する検索ルールを取得する。
そして、エージェント１は検索ルールにもとづき検索処理を実行するか、エラーを返却するかの各種判定を実行する。図９に示す処理手順は、検索ルールにもとづく各エージェントによる判定がエラーにならなかった場合を示している。
【００８４】
次に、パケット中継装置１０ａ上のエージェント１は、通信ログ記憶部１１における通信ログを参照し、標的サーバ３０を攻撃したパケットの送信元を調べる。
具体的には、通信ログにおける「アドレス変換前の送信元ＩＰアドレス」を参照し、このＩＰアドレスを備えた情報処理装置を、標的サーバ３０を攻撃したパケットの発信元と推定する。
図１に示す本実施形態の場合、パケット中継装置１０ｂのプロキシサーバが、標的サーバ３０を攻撃したパケットの発信元と推定される。
【００８５】
次に、パケット中継装置１０ａ上のエージェント１は、検索依頼１０２を検索依頼情報としてパケット中継装置１０ｂ（プロキシサーバ）上のエージェント２へ中継する（ステップ１１）。
このとき、エージェント１は、管理端末２０から受信した検索依頼１０１を用いて、検索依頼１０２を作成し、これをパケット中継装置１０ｂに送信する。
【００８６】
このパケット中継装置１０から送信される検索依頼情報の検索依頼１０２は、図１０に示すように、例えば中継された検索依頼であることを示す制御コード、検索ＩＤ、検索対象の端末のＩＰアドレス、検索対象の端末のポート番号、被害端末のＩＰアドレス、被害端末のポート番号、プロトコル番号、攻撃を受けた時刻、依頼内容（警告、遮断、帯域制御、検疫等）、検索ホップ数、検索経路リスト等からなるものとすることができる。
【００８７】
検索依頼１０２における制御コードには、中継された検索依頼であることを示すものが設定される。
上記の検索依頼１０２の情報のうち、検索ＩＤから依頼内容までの各情報は、検索依頼１０１におけるものと同様のものを設定することができる。なお、攻撃を受けた時刻は、各パケット中継装置１０により、通信ログ記憶部１１におけるセッション情報にもとづき更新することも可能である。
【００８８】
検索ホップ数には、パケット中継装置１０ａ上のエージェント１によりデクリメントされた後のものが含められる。
検索経路リストは、各エージェントによって、そのエージェントを備えたパケット中継装置１０のＩＰアドレスが追加登録されて作成されるリストであり、検索経路のパケット中継装置１０のＩＰアドレスが順番に含まれている。
この検索経路リストは、検索依頼を受けたタイミング又は検索結果を返信するタイミングで、エージェント機能制御部１５により追加登録される。
【００８９】
次に、パケット中継装置１０ａから検索依頼情報を受信したパケット中継装置１０ｂ上のエージェント２は、上述したパケット中継装置１０ａにおける場合と同様に、攻撃パケットの送信元の検索を行い、送信元と思われるパケット中継装置１０ｃ（中継ルータｂ）を特定する。そして、エージェント２は、パケット中継装置１０ｃ上のエージェント３へ管理端末２０からの検索依頼を中継する（ステップ１２）。
このとき、パケット中継装置１０ｂからパケット中継装置１０ｃへ中継される検索依頼１０３は、パケット中継装置１０ａからパケット中継装置１０ｂへ中継された検索依頼１０２と同一のデータ構成をもつものとすることができる。
【００９０】
次に、パケット中継装置１０ｃ上のエージェント３は、上述したパケット中継装置１０ａにおける場合と同様に攻撃パケットの送信元の検索を行う（ステップ１３）。
この検索の結果、不正端末４０を特定できた場合、エージェント３は、予め制御ルールＤＢ１４に登録されている制御ルールの中から実施可能な制御コマンドの情報を取得し、不正端末４０が特定できた旨と実施可能な制御コマンドの情報を含む検索結果情報を作成する。そして、管理端末２０へ向けて検索結果情報を、検索依頼情報の中継経路を逆に辿って送信する。
【００９１】
具体的には、パケット中継装置１０ｃ上のエージェント３は、検索結果１０４を検索結果情報として作成し、これをパケット中継装置１０ｂに送信する（ステップ１４）。
この検索結果１０４は、図１１に示すように、例えば中継された検索依頼に対する結果であることを示す制御コード、検索ＩＤ、末端ノードＩＤ、検索対象の端末のＩＰアドレス、検索対象の端末のポート番号、被害端末のＩＰアドレス、被害端末のポート番号、プロトコル番号、攻撃を受けた時刻、依頼内容（警告、遮断、帯域制御、検疫等（複数指定可能））、検索ホップ数、検索経路リスト、制御コマンドリスト、制御コマンドオプション、結果内容（コード、メッセージ）からなるものとすることができる。
【００９２】
検索結果１０４における制御コードには、上記の通り、中継された検索依頼に対する結果であることを示すものが設定される。
また、上記の検索結果１０４の情報のうち、検索ＩＤから検索経路リストまでの各情報は、末端ノードＩＤを除いて、検索依頼１０２，１０３におけるものと同様のものを設定することができる。
末端ノードＩＤは、不正端末直近のパケット中継装置からみて、制御対象の端末（不正端末４０）を一意に特定可能な識別情報を示すものであり、例えばＩＰアドレス、ＭＡＣアドレス、端末の認証ＩＤなどを用いることができる。
【００９３】
そして、パケット中継装置１０ｃのエージェント３は、検索キャッシュＤＢ１３に新たなレコードを追加する。このとき、不正端末直近のパケット中継装置１０のＩＰアドレスは当該パケット中継装置１０ｃのＩＰアドレスを設定し、同装置１０のポート番号はエージェント３のプログラムの待ち受けポート番号を設定する。また、末端ノードＩＤは、上記特定した不正端末４０のものを設定する。また、検索キャッシュ更新時刻は更新する時刻を設定する。その他の情報については、検索依頼情報に含まれる情報にもとづき設定することができる。
【００９４】
次に、パケット中継装置１０ｂが検索結果１０４を受信すると、パケット中継装置１０ｂ上のエージェント２は、検索結果１０４における検索経路リストにもとづいて、検索結果情報の次の中継先として、パケット中継装置１０ａを特定する。
そして、エージェント２は、検索結果１０４にもとづき検索キャッシュＤＢ１３に対してレコードを更新する。
このとき、検索キャッシュＤＢ１３における不正端末直近のパケット中継装置１０のＩＰアドレス及びポート番号は、検索結果１０４における検索経路リストから設定することができる。
【００９５】
そして、検索結果１０４にもとづき検索結果１０５を検索結果情報として作成し、これをパケット中継装置１０ａに送信する（ステップ１５）。
この検索結果１０５のデータ構造は、検索結果１０４と同様のものとすることができる。
【００９６】
次に、パケット中継装置１０ａが検索結果１０５を受信すると、パケット中継装置１０ａ上のエージェント１は、検索結果１０５における検索経路リストにもとづいて、検索結果情報の次の中継先として、管理端末２０を特定する。
そして、エージェント１は、検索結果１０５にもとづき検索キャッシュＤＢ１３に対してレコードを更新する。
このとき、検索キャッシュＤＢ１３における不正端末直近のパケット中継装置１０のＩＰアドレス及びポート番号は、検索結果１０５における検索経路リストから設定することができる。
【００９７】
そして、エージェント１は、検索結果１０５にもとづき検索結果１０６を検索結果情報として作成し、これを管理端末２０に送信する（ステップ１６）。
この検索結果１０６は、図１１に示すように、例えば検索依頼に対する結果であることを示す制御コード、検索結果（コード、メッセージ）、検索ＩＤ、制御コマンドリスト、制御オプションリストからなるものとすることができる。
【００９８】
［不正端末の制御処理手順の概要］
次に、本実施形態の攻撃パケット対策システムにおける不正端末の制御処理手順の概要を、図１２を参照して説明する。同図は、同システムにおける不正端末の制御処理手順を示す動作手順図である。
【００９９】
まず、管理端末２０がパケット中継装置１０ａから検索結果１０６を受信すると、管理端末２０における制御依頼手段２３は、検索結果１０６における制御コマンドリスト及び制御コマンドオプションリストから実施可能な制御コマンド及びそのオプションを一つ選択する。
この選択は、予め選択基準を定義（ルール化）し、パケット中継装置１０に記憶させておくことで自動化することが可能である。
【０１００】
次に、管理端末２０の制御依頼手段２３は、検索結果１０６にもとづき制御依頼１１１を作成して、これを検索結果１０６の送信元であるパケット中継装置１０ａ上のエージェント１に送信する（ステップ２０）。
この制御依頼１１１は、図１３に示すように、例えば制御依頼であることを示す制御コード、制御ＩＤ（対応する検索依頼情報における検索ＩＤと同一）、制御コマンド、制御コマンドオプションからなるものとすることができる。
【０１０１】
次に、パケット中継装置１０ａ上のエージェント１は、管理端末２０から制御依頼１１１を受信すると、この制御依頼１１１における制御ＩＤにもとづき検索キャッシュＤＢ１３を検索して、攻撃元直近のパケット中継装置１０ｃと不正端末４０を特定する。
このとき、エージェント１は、検索キャッシュＤＢ１３から不正端末直近のパケット中継装置１０のＩＰアドレス、不正端末直近のパケット中継装置１０上で動作するエージェントプログラムの待ち受けポート番号、末端ノードＩＤを取得することで、攻撃元直近のパケット中継装置１０ｃと不正端末４０を特定することができる。
【０１０２】
そして、エージェント１は、この検索キャッシュＤＢ１３から取得した情報と、制御依頼１１１にもとづき制御依頼１１２を作成し、不正端末直近のパケット中継装置１０ｃ上のエージェント３に制御依頼１１２を送信する（ステップ２１）。
この制御依頼１１２は、図１３に示すように、例えば中継された制御依頼であることを示す制御コード、末端ノードＩＤ、制御コマンド、制御コマンドオプションからなるものとすることができる。
【０１０３】
次に、パケット中継装置１０ｃ上のエージェント３は、パケット中継装置１０ａから制御依頼１１２を受信すると、この制御依頼１１２に含まれる末端ノードＩＤに対応する不正端末４０に対して、制御コマンドを実行する（ステップ２２）。
これによって、不正端末４０からの通信に対して、制御コマンドに応じた制御を行うことができ、不正端末４０による標的サーバ３０に対する以降の攻撃を防止することが可能となる。
【０１０４】
次に、パケット中継装置１０ｃ上のエージェント３は、図１３に示すような、制御コマンドの実行結果（コード、メッセージ）を含む制御結果１１３を作成し、この制御結果１１３を制御依頼１１２の送信元であるパケット中継装置１０ａ上のエージェント1に送信する（ステップ２３）。
次に、パケット中継装置１０ａ上のエージェント１は、制御依頼１１１の送信元である管理端末２０に、制御コマンドの実行結果（コード、メッセージ）を含む制御結果１１４を送信する（ステップ２４）。
【０１０５】
なお、このように検索依頼と制御依頼とを分けて、検索処理と制御処理を別個にパケット中継装置１０に実行させる構成としているのは、組織内のポリシーにしたがって、不正端末からの通信を柔軟に制御可能にするためである。
すなわち、検索依頼と制御依頼とを分けることによって、これらの送信元でいずれか一方の処理のみを選択することができ、また一定の制御依頼のみをまとめて連続して実行することなども可能となる。
【０１０６】
なお、各パケット中継装置１０上のエージェント間の通信は、公開鍵暗号方式を用いて暗号化し、機密性、完全性を保持することが好ましい。隣接するネットワーク装置の制御は、ＳＮＭＰ（Simple Network Management Protocol）、ＮＥＴＣＯＮＦ（Network
Configuration）構成プロトコルなどの予め登録しておいたコマンド（装置専用のツール）などで行うことができる。
【０１０７】
［エージェント機能制御部１５による処理手順］
次に、図１４を参照して、エージェント機能制御部１５の処理について詳細に説明する。同図は、本実施形態の攻撃パケット対策システムのパケット中継装置１０におけるエージェント機能制御部１５の処理手順を示すフローチャートである。
【０１０８】
まず、エージェント機能制御部１５は、外部の情報処理装置から当該パケット中継装置１０に送信されてきた各種処理要求情報を入力する（ステップ３０）。
そして、エージェント機能制御部１５は、この処理要求情報が、検索依頼、制御依頼、終了依頼のいずれであるかを判別し、それぞれに応じた処理を実行する。
その具体的な判別方法は特に限定されるものではないが、処理要求情報にこれらを識別するための制御コードをもたせ、これにもとづき判別する構成とすることができる。
【０１０９】
次に、エージェント機能制御部１５は、処理要求情報が検索依頼情報である場合（ステップ３１のＹｅｓ）、この検索依頼情報に含まれている検索ＩＤをキーとして、既に同じ検索依頼情報を受信しているかどうかを確認する（ステップ３２）。
その具体的な確認方法は特に限定されるものではないが、たとえば、エージェント機能制御部１５が、検索ループが生じていないと判断したタイミング（ステップ３２のＹｅｓのタイミング）で、図示しない記憶手段に、受信した検索依頼情報に含まれる検索ＩＤを処理中、あるいは処理済みの検索依頼情報の識別子として格納しておき、新たに受信した検索依頼情報に含まれる検索ＩＤと図示しない記憶手段に格納した検索ＩＤとを照合して、同じ検索依頼情報を受信しているかどうかを判別する方法がある。
そして、既に同じ検索依頼情報を受信している場合は、検索ループが生じたと判断して、検索依頼情報の送信元にエラーを返す（ステップ３３）。
【０１１０】
過去に既に同じ検索依頼情報を受信していない場合、すなわち検索ループが生じていない場合は、エージェント機能制御部１５は、不正端末４０の検索処理を実行させるため、不正端末検索部１６に検索依頼情報を出力し、検索を依頼する（ステップ３４）。
【０１１１】
そして、エージェント機能制御部１５は、不正端末検索部１６から検索実行結果を入力する（ステップ３５）。
検索実行結果がエラーを示すものである場合、エージェント機能制御部１５は、検索依頼情報の送信元にエラー情報を返信する（ステップ３６のＮｏ）。
【０１１２】
一方、検索実行結果がエラーを示すものでない場合（ステップ３６のＹｅｓ）、エージェント機能制御部１５は、検索実行結果にもとづき検索キャッシュＤＢ１３の更新処理を実行させるため、不正端末検索部１６に検索キャッシュ更新依頼情報を出力し、当該ＤＢの更新を依頼する（ステップ３７）。
【０１１３】
次に、エージェント機能制御部１５は、検索依頼情報に含まれている検索経路リストに、当該パケット中継装置１０のＩＰアドレス及び待ち受けポート番号を追加して、当該検索依頼情報を更新する（ステップ３８）。
そして、エージェント機能制御部１５は、検索依頼情報の中継が必要であるか否かを判定する（ステップ３９）。
【０１１４】
このとき、エージェント機能制御部１５は、検索実行結果に含まれる、検索により特定された攻撃元のノードＩＤが、当該パケット中継装置１０における下流ノードリストに存在するかどうかを確認する。
そして、特定した攻撃元のノードＩＤが、下流ノードリストに存在しない場合は、不正端末４０を特定できたと判断し、中継は必要でないと判定する（ステップ３９のＮｏ）。
【０１１５】
この場合、エージェント機能制御部１５は、検索結果情報（攻撃元が特定できた旨と実行可能な制御コマンドを含む）を作成し、これを検索依頼情報の送信元に返信する（ステップ３３）。
一方、特定した攻撃元のノードＩＤが、下流ノードリストに存在する場合は、まだ不正端末４０を特定できていないと判断し、中継が必要であると判定する（ステップ３９のＹｅｓ）。
【０１１６】
この場合、エージェント機能制御部１５は、検索依頼情報における「攻撃を受けた時刻」を、検索実行結果に含まれるセッション開始時刻で置き換えることで補正する（ステップ４０）。
そして、エージェント機能制御部１５は、下流ノードリストにもとづき優先度の高い順で下流ノードのパケット中継装置１０に検索依頼情報を送信する（ステップ４１）。
次に、この下流ノードのパケット中継装置１０から検索結果情報を受信すると（ステップ４２）、エージェント機能制御部１５は、検索結果情報を検索依頼情報の送信元に返信する（ステップ３３）。
【０１１７】
次に、エージェント機能制御部１５は、処理要求情報が制御依頼情報である場合（ステップ４３のＹｅｓ）、不正端末４０からの通信の制御処理を実行させるため、不正端末制御部１７に制御依頼情報を出力し、制御を依頼する（ステップ４４）。
そして、エージェント機能制御部１５は、不正端末制御部１７から制御実行結果を入力する（ステップ４５）。この制御実行結果は、制御コード、終了コード（エラー番号など）、メッセージ（成功しましたなど）等を含むものとすることができる。
【０１１８】
次に、エージェント機能制御部１５は、制御依頼情報の中継が必要であるか否かを判定する（ステップ４６）。
このとき、エージェント機能制御部１５は、入力した制御実行結果がエラーを示すものではなく、かつ、制御依頼情報における制御コードが、中継されていない制御依頼であることを示すもの（管理端末から直接送信されたもの）である場合は、中継が必要であると判定する。
【０１１９】
また、入力した制御実行結果がエラーを示すものではなく、かつ、制御依頼情報における制御コードが、中継された制御依頼であることを示すものである場合は、中継が必要でないと判定する。
また、入力した制御実行結果がエラーを示すものである場合は、中継が必要でないと判定する。
【０１２０】
そして、エージェント機能制御部１５は、中継が必要であると判定した場合（ステップ４６のＹｅｓ）、制御依頼情報を不正端末４０の直近のパケット中継装置１０に送信する（ステップ４７）。
このとき、エージェント機能制御部１５は、不正端末検索部１６により制御依頼情報における制御ＩＤ（＝検索ＩＤ）をキーとして、検索キャッシュＤＢ１３を検索させ、ヒットしたレコードの不正端末の直近のパケット中継装置のＩＰアドレス、及び同パケット中継装置上で動作するエージェントプログラムの待ち受けポート番号を取得する。
そして、取得したＩＰアドレス及びポート番号にもとづいて、上記制御依頼情報の送信を行う。
【０１２１】
また、エージェント機能制御部１５は、不正端末４０の直近のパケット中継装置１０から制御結果情報を受信し（ステップ４８）、これを制御依頼情報の送信元（この場合は、管理端末２０）に送信する（ステップ４９）。
また、エージェント機能制御部１５は、入力した制御実行結果がエラーを示すものではない場合において、中継が必要でないと判定した場合（ステップ４６のＮｏ）、制御結果情報を制御依頼情報の送信元（この場合は、パケット中継装置１０）に送信する（ステップ４９）。
【０１２２】
また、エージェント機能制御部１５は、入力した制御実行結果がエラーを示すものであり、中継が必要でないと判定した場合（ステップ４６のＮｏ）は、制御処理がエラーになったことを示す制御結果情報を、制御依頼情報の送信元に返信する（ステップ４９）。
さらに、処理要求依頼が、終了依頼である場合は（ステップ５０のＹｅｓ）、エージェント機能制御部１５は、処理を終了する。
【０１２３】
［不正端末検索部１６による処理手順］
次に、図１５を参照して、不正端末検索部１６の処理について詳細に説明する。同図は、本実施形態の攻撃パケット対策システムのパケット中継装置１０における不正端末検索部１６の処理手順を示すフローチャートである。
【０１２４】
まず、不正端末検索部１６は、エージェント機能制御部１５から、処理要求情報として検索依頼情報、検索キャッシュ更新依頼情報、又は終了依頼情報を入力する（ステップ６０）。
入力した処理要求情報が検索依頼情報である場合（ステップ６１のＹｅｓ）、不正端末検索部１６は、検索依頼情報のパケットにおける依頼元のＩＰアドレスをキーとして、検索ルールＤＢ１２を検索し、「検索元」のネットワークアドレスがマッチする検索ルールを特定する。
【０１２５】
そして、全ての検索ルールを確認した結果、どのルールの検索元のネットワークアドレスにも上記送信元のＩＰアドレスがマッチしない場合、不正端末検索部１６は、検索不可と判定し（ステップ６２のＮｏ）、エージェント機能制御部１５にエラーを返す（ステップ６８）。
【０１２６】
一方、検索ルールが特定できた場合、不正端末検索部１６は、検索依頼情報における検索ホップ数をデクリメントする。次に、検索ルールＤＢ１２における特定した検索ルールの検索ホップ数が、検索依頼情報におけるデクリメント前の検索ホップ数よりも小さい場合、不正端末検索部１６は、検索依頼情報における検索ホップ数を、検索ルールＤＢ１２における検索ホップ数で置き換える。
そして、不正端末検索部１６は、デクリメント後の検索ホップ数が０以下になった場合は（ステップ６３のＮｏ）、エージェント機能制御部１５にエラーを返す（ステップ６８）。
【０１２７】
一方、デクリメント後の検索ホップ数が０以下にならなかった場合は（ステップ６３のＹｅｓ）、検索依頼情報における検索ＩＤをキーとして検索キャッシュＤＢ１３を検索し、当該検索ＩＤに対応する検索キャッシュが存在するか否かを確認する。
そして、対応する検索キャッシュが存在し、ヒットした場合は（ステップ６４のＮｏ）、この検索キャッシュにもとづき検索に成功した旨を含む検索実行結果を作成して、これをエージェント機能制御部１５に出力する（ステップ６８）。
このとき、検索実行結果には、検索キャッシュにおける、不正端末直近のパケット中継装置のＩＰアドレス、同装置上で動作するエージェントプログラムの待ち受けポート番号、実行可能な制御コマンドとそのオプション、末端ノードＩＤ等が含められる。
【０１２８】
対応する検索キャッシュが存在せず、ヒットしなかった場合は（ステップ６４のＹｅｓ）、通信ログ記憶部１１を参照して、攻撃元（不正端末４０又はパケット中継装置１０）を検出する（ステップ６５）。
このとき、不正端末検索部１６は、検索依頼情報に含まれる検索対象の端末のＩＰアドレス、検索対象の端末のポート番号、被害端末のＩＰアドレス、被害端末のポート番号、プロトコル番号、攻撃を受けた時刻と、通信ログに含まれる中継後の送信元ＩＰアドレス、中継後の送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号、プロトコル番号、セッション情報とをそれぞれ照合し、該当する通信ログを特定する。そして、特定した通信ログの中継前の送信元ＩＰアドレスを備えた情報処理装置を攻撃元（不正端末４０又はパケット中継装置１０）として特定する。
攻撃元を検出できなかった場合は（ステップ６６のＮｏ）、エージェント機能制御部１５にエラーを返す（ステップ６８）。
【０１２９】
次に、不正端末検索部１６は、攻撃元を検出できた場合は（ステップ６６のＹｅｓ）、攻撃元の端末のノードＩＤ、セッション情報（セッション開始時刻、セッション開始から終了までの時間）を通信ログ記憶部１１から取得する。また、検索依頼情報のパケットにおける依頼元のＩＰアドレスをキーとして、制御ルールＤＢ１４を検索し、制御元のＩＰアドレスがマッチするレコードの制御コマンド及び制御オプションを取得する（ステップ６７）。
そして、不正端末検索部１６は、これらの取得した情報（攻撃元の端末のノードＩＤ、セッション情報、制御コマンド及び制御オプション）と、検索に成功した旨を含む検索実行結果を、エージェント機能制御部１５に出力する（ステップ６８）。
【０１３０】
一方、入力した処理要求情報が検索キャッシュ更新依頼情報（制御コード以外は検索依頼情報と同内容の情報）である場合（ステップ６９のＹｅｓ）、不正端末検索部１６は、この検索依頼情報にもとづいて検索キャッシュＤＢ１３にレコードを追加更新する（ステップ７０）。
【０１３１】
このとき、不正端末検索部１６は、検索キャッシュＤＢ１３に、検索ＩＤ、検索対象のＩＰアドレス、検索対象のポート番号、被害端末のＩＰアドレス、被害端末のポート番号、プロトコル番号、セッション情報（セッション開始時刻、セッション終了までの時間）、検索キャッシュ更新時刻を備えるレコードを追加する。
【０１３２】
また、不正端末４０が特定できた場合であって、キャッシュ更新依頼情報を入力した場合、不正端末検索部１６は、上記の情報に加え、さらに不正端末直近のパケット中継装置のＩＰアドレス、不正端末直近のパケット中継装置上で動作するエージェントプログラムの待ち受けポート番号、実行可能な制御コマンドとそのオプション（それぞれ複数登録可）、末端ノードＩＤ等を備えたレコードを検索キャッシュＤＢ１３に追加する。
【０１３３】
そして、不正端末検索部１６は、検索キャッシュＤＢ１３を更新した後、更新が成功したか否かを示す更新実行結果をエージェント機能制御部１５に返す（ステップ６８）。
さらに、入力した処理要求情報が終了依頼情報である場合（ステップ７１のＹｅｓ）、不正端末検索部１６は、処理を終了する。
【０１３４】
［不正端末制御部１７による処理手順］
次に、図１６を参照して、不正端末制御部１７の処理について詳細に説明する。同図は、本実施形態の攻撃パケット対策システムのパケット中継装置１０における不正端末制御部１７の処理手順を示すフローチャートである。
【０１３５】
まず、不正端末制御部１７は、エージェント機能制御部１５から、処理要求情報として制御依頼情報、又は終了依頼情報を入力する（ステップ８０）。
入力した処理要求情報が制御依頼情報である場合（ステップ８１のＹｅｓ）、不正端末制御部１７は、制御依頼情報のパケットにおける依頼元のＩＰアドレスをキーとして、制御ルールＤＢ１４を検索し、「制御元」のネットワークアドレスがマッチする制御ルールを特定する。
【０１３６】
そして、全ての制御ルールを確認した結果、どのルールの制御元のネットワークアドレスにも上記送信元のＩＰアドレスがマッチしない場合、不正端末制御部１７は、制御不可と判定し（ステップ８２のＮｏ）、エージェント機能制御部１５にエラーを返す（ステップ８８）。
【０１３７】
一方、制御ルールが特定できた場合（ステップ８２のＹｅｓ）、不正端末制御部１７は、制御依頼情報が管理端末２０から直接送信されてきたものであるか、又はパケット中継装置１０により中継されて送信されてきたものであるかを、制御コードにもとづき判定する（ステップ８３）。
【０１３８】
制御依頼情報が管理端末２０から直接送信されてきたものである場合（ステップ８３のＮｏ）、制御依頼情報における制御ＩＤ（＝検索ＩＤ）をキーとして、検索キャッシュＤＢ１３を検索し、対応する検索キャッシュが存在するか否かを確認する（ステップ８４）。
【０１３９】
そして、対応する検索キャッシュが存在しない場合（ステップ８４のＮｏ）、不正端末制御部１７は、エージェント機能制御部１５にエラーを返す（ステップ８８）。
一方、対応する検索キャッシュが存在した場合（ステップ８４のＹｅｓ）、不正端末制御部１７は、この検索キャッシュから制御情報（不正端末直近のパケット中継装置のＩＰアドレス、同装置上で動作するエージェントプログラムの待ち受けポート番号、実行可能な制御コマンドとそのオプション、制御元、末端ノードＩＤ等）を取得する（ステップ８５）。
そして、不正端末制御部１７は、この取得した制御情報をエージェント機能制御部１５に返す（ステップ８８）。
【０１４０】
制御依頼情報がパケット中継装置１０により中継されて送信されてきたものである場合（ステップ８３のＹｅｓ）、不正端末制御部１７は、制御ルールにおける制御タイプと、制御依頼情報における制御タイプがマッチするか否かを確認する（ステップ８６）。
そして、マッチしない場合（ステップ８６のＮｏ）、不正端末制御部１７は、エージェント機能制御部１５にエラーを返す（ステップ８８）。
【０１４１】
一方、マッチする場合（ステップ８６のＹｅｓ）、不正端末制御部１７は、制御依頼情報における制御コマンドを、制御依頼情報における制御オプションにより実行する（ステップ８７）。
そして、不正端末制御部１７は、制御コマンドの実行結果を含む制御実行結果をエージェント機能制御部１５に返す（ステップ８８）。
さらに、入力した処理要求情報が終了依頼情報である場合（ステップ８９のＹｅｓ）、不正端末制御部１７は、処理を終了する。
【０１４２】
以上説明したように、本実施形態の攻撃パケット対策システムによれば、ある組織のネットワークに属する不正端末を、ネットワークの匿名性を維持しつつ、別組織のネットワークに属する装置から一意に特定して、不正端末直近のネットワーク装置により不正端末からの通信を制御することが可能となる。
すなわち、不正端末の検索結果を中継装置により中継するにあたり、ネットワークの匿名性を高めることができるとともに、あるネットワーク上に存在する攻撃元の不正端末を、そのネットワーク構成を知らない別のネットワーク上の装置からも特定することが可能である。
【０１４３】
また、本発明によれば、不正端末を特定後、検索結果を中継装置にキャッシュしておくことで、制御依頼を不正端末直近のパケット中継装置にダイレクトに送信でき、不正端末の検索後、制御を行うまでの処理を、高速化することが可能となっている。なお、この「ダイレクトに送信」とは、不正端末直近の中継装置を宛先として、依頼元直近の中継装置から制御依頼を送信するということを意味する。
【０１４４】
［第二実施形態］
次に、本発明の第二実施形態について、図１７を参照して説明する。同図は、本実施形態の攻撃パケット対策システムにおける制御ルールＤＢ内のテーブルのデータ構成を示す図である。
第一実施形態の攻撃パケット対策システムによる検索処理において、検索依頼が、検索ホップ数を上回る多数のパケット中継装置１０に中継された結果、検索処理が打ち切りとなり、不正端末４０を正確に特定できなかった場合でも、例えば、パケット中継装置１０の管理者に対する警告や帯域制御など何らかの制御を行いたいことがある。
【０１４５】
このような場合、図１７に示すように、制御ルールＤＢ１４に格納されている制御ルールテーブルに、制御先のネットワークアドレス情報（どのネットワークにおける不正端末を制御するかを規定する情報）を追加することで、不正端末４０を特定する前に通信がとぎれ、不正端末４０を正確に特定できなかった場合でも、パケット中継装置１０の管理者に対する警告や帯域制御などの制御を行うことが可能となり、より木目細かな制御を行うことが可能となる。
【０１４６】
そこで、本実施形態の攻撃パケット対策システムは、パケット中継装置１０における制御ルールＤＢ１４に格納されている制御ルールテーブルに、「制御先」のカラムを追加してあり、この点で第一実施形態と異なっている。その他の点については、第一実施形態と同様であり、本実施形態のブロック図も図１と同様のものを用いることができる。
【０１４７】
なお、制御ルールテーブルには、カラムを追加することができるのみならず、不正端末からの通信を遮断するルールを追加することなども可能である。
例えば、制御コマンドのオプションを利用して、不正端末からの通信を全て遮断するのではなく、ある特定のプロトコルやポート番号を使用する通信のみを遮断することも好ましい。また、このようなプロトコルやポート番号による制御は遮断のルールだけでなく、帯域制御のルールなどにも適用することが可能である。
【０１４８】
［第三実施形態］
次に、本発明の第三実施形態について、図１８を参照して説明する。同図は、本実施形態の攻撃パケット対策システムにおけるパケット中継装置の構成を示すブロック図である。
本実施形態は、特定した不正端末４０の過去数時間のアクセス記録を下流ノードから上流ノードに通知して、検索キャッシュとして保存することで検索時間を短縮している点で、第一実施形態と異なる。
その他の点については、第一実施形態と同様であり、図１８に示すように、パケット中継装置１０における各構成も第一実施形態と同様であるが、エージェント機能制御部１５及び不正端末検索部１６は、以下の点で第一実施形態と異なっている。
【０１４９】
すなわち、本実施形態のエージェント機能制御部１５は、下流ノードから不正端末通信記録情報を受信すると、この不正端末通信記録情報を不正端末検索部１６に出力して、不正端末検索部１６によりこの情報にもとづき検索キャッシュＤＢ１３を更新させる構成となっている。
【０１５０】
不正端末通信記録情報は、詳細については、フローチャートを用いて後述するが、所定のタイミングで不正端末検索部１６により作成される。
この不正端末通信記録情報は、制御情報（不正端末直近のパケット中継装置のＩＰアドレス、同装置上で動作するエージェントプログラムの待ち受けポート番号、実行可能な制御コマンドとそのオプション、制御元、末端ノードＩＤ等）と、通信記録のリスト（送信元（不正端末４０）のＩＰアドレス、送信元（不正端末４０）のポート番号、宛先のＩＰアドレス、宛先のポート番号、プロトコル番号、セッション情報等）とを含んでいる。
【０１５１】
そして、エージェント機能制御部１５は、下流ノードから受信した不正端末通信記録情報を、次に上流ノードに送信する。この上流ノードは、上流ノードリストから所定の優先順位にもとづき決定される。
【０１５２】
［エージェント機能制御部１５による処理手順］
次に、図１９を参照して、エージェント機能制御部１５の処理について詳細に説明する。同図は、本実施形態の攻撃パケット対策システムのパケット中継装置１０におけるエージェント機能制御部１５の処理手順を示すフローチャートである。
【０１５３】
まず、図１９におけるステップ１００〜１２０については、図１４を参照して説明したステップ３０〜５０と同様である。
次に、エージェント機能制御部１５は、外部の情報処理装置から当該パケット中継装置１０に送信されてきた処理要求情報が、不正端末通信記録であるか否かを確認する（ステップ１２１）。この場合も、検索依頼情報などと同様に、当該処理要求情報における制御コードにもとづき行うようにすることができる。
【０１５４】
処理要求情報が不正端末通信記録である場合（ステップ１２１のＹｅｓ）、エージェント機能制御部１５は、この不正端末通信記録を含む検索キャッシュ更新依頼情報を不正端末検索部１６に出力して、検索キャッシュＤＢ１３の更新処理を依頼する（ステップ１２２）。
処理要求情報が不正端末通信記録でない場合（ステップ１２１のＮｏ）、エージェント機能制御部１５は、一定時間外部からの処理要求情報の入力がなくタイムアウトしたかどうかを確認する（ステップ１２３）。
【０１５５】
そして、一定時間外部からの処理要求情報の入力がなくタイムアウトした場合（ステップ１２３のＹｅｓ）、エージェント機能制御部１５は、不正端末検索部１６に不正端末通信記録の作成を依頼するため、不正端末通信記録作成依頼情報を出力する（ステップ１２４）。
また、エージェント機能制御部１５は、不正端末検索部１６から不正端末通信記録を入力し（ステップ１２５）、この不正端末通信記録が空でない場合には、この不正端末通信記録を上流ノードに送信する（ステップ１２６）。
【０１５６】
［不正端末検索部１６による処理手順］
次に、図２０を参照して、不正端末検索部１６の処理について詳細に説明する。同図は、本実施形態の攻撃パケット対策システムのパケット中継装置１０における不正端末検索部１６の処理手順を示すフローチャートである。
【０１５７】
まず、図２０におけるステップ１３０〜１３９、１４７については、図１５を参照して説明したステップ６０〜６９、７１と同様である。
本実施形態の不正端末検索部１６は、入力した処理要求情報が検索キャッシュ更新依頼情報である場合（ステップ１３９のＹｅｓ）、当該検索キャッシュ更新依頼情報に不正端末通信記録が含まれているか否かを確認する（ステップ１４０）。
【０１５８】
不正端末通信記録が含まれている場合（ステップ１４０のＹｅｓ）、不正端末検索部１６は、当該不正端末通信記録情報と通信ログ記憶部１１におけるログを比較し、一致するものがあるか否かを確認する。
このとき、不正端末検索部１６は、不正端末通信記録情報における送信元（不正端末４０）のＩＰアドレス、送信元（不正端末４０）のポート番号、宛先のＩＰアドレス、宛先のポート番号、プロトコル番号、セッション情報が、それぞれ通信ログ記憶部１１における中継前（アドレス変換前。以下同様。）の送信元ＩＰアドレス、中継前の送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号、プロトコル番号、セッション情報と一致するものが存在しているかを確認する。
【０１５９】
そして、存在していた場合、一致する不正端末通信記録情報のレコードにおける制御情報と、上記送信元（不正端末４０）のＩＰアドレス等の情報を用いて、検索キャッシュを生成し（ステップ１４１）、検索キャッシュＤＢ１３のレコードを更新し（ステップ１４２）、更新実行結果をエージェント機能制御部１５に返す（ステップ１３８）。
【０１６０】
また、入力した処理要求情報が通信ログ検索依頼情報である場合（ステップ１４３のＹｅｓ）、不正端末検索部１６は、検索キャッシュＤＢ１３を参照し、最新の検索キャッシュのレコードから末端ノードＩＤとセッション情報を取得する（ステップ１４４）。
そして、これらの情報をキーとして通信ログ記憶部１１を検索して、対応するログを取得し、不正端末の通信記録リストを作成する（ステップ１４５）。
【０１６１】
また、不正端末検索部１６は、最新の検索キャッシュのレコードから、上記末端ノードＩＤに対応する制御情報を取得し（ステップ１４６）、この制御情報と不正端末の通信記録リストとから不正端末通信記録情報を作成して、エージェント機能制御部１５に出力する（ステップ１３８）。
【０１６２】
以上説明したように、本実施形態の攻撃パケット対策システムによれば、所定のタイミングで、不正端末による過去数時間のアクセス記録を下流ノードから上流ノードに通知し、各パケット中継装置において検索キャッシュとして保存させることができる。
このため、検索時間を短縮することが可能となっている。
【０１６３】
［第四実施形態］
次に、本発明の第四実施形態について、図２１を参照して説明する。同図は、本実施形態の攻撃パケット対策システムにおけるパケット中継装置の構成を示すブロック図である。
【０１６４】
上記各実施形態では、不正端末からの通信を組織内のポリシーにしたがって柔軟に制御するため、管理端末から不正端末の検索依頼と制御依頼を分けて送信する構成としてあるが、不正端末を特定できた段階で、制御ルールに従い不正端末からの通信を制御することも可能である。
本実施形態は、このようにパケット中継装置により不正端末を特定できた段階で、不正端末からの通信を制御する点で、第一実施形態と異なる。
その他の点については、第一実施形態と同様であり、図２１に示すように、パケット中継装置１０における各構成も第一実施形態と同様であるが、エージェント機能制御部１５及び不正端末制御部１７は、以下の点で第一実施形態と異なっている。
【０１６５】
すなわち、本実施形態のエージェント機能制御部１５は、処理要求情報が検索依頼情報である場合、不正端末検索部１６に検索依頼を行うとともに、検索結果にもとづいて、検索依頼情報の中継が必要でないと判定した場合、すなわち不正端末４０を特定できたと判断した場合は、不正端末制御部１７に制御を依頼する。
不正端末制御部１７は、第一実施形態と異なり、制御依頼情報の中継は行わず、依頼された制御を実行して、制御実行結果をエージェント機能制御部１５に返却する。
【０１６６】
［エージェント機能制御部１５による処理手順］
次に、図２２を参照して、エージェント機能制御部１５の処理について詳細に説明する。同図は、本実施形態の攻撃パケット対策システムのパケット中継装置１０におけるエージェント機能制御部１５の処理手順を示すフローチャートである。
【０１６７】
まず、図２２におけるステップ１５０〜１６２については、図１４を参照して説明したステップ３０〜４２と同様である。一方、本実施形態のエージェント機能制御部１５は、図１４におけるステップ４３〜４９の処理を行わない。
本実施形態のエージェント機能制御部１５は、ステップ１５９において、不正端末４０を特定できたと判断すると（すなわち、中継不要の場合）、次に制御方法を選択する（ステップ１６３）。
【０１６８】
このとき、エージェント機能制御部１５は、検索依頼情報における依頼内容を優先順位の高い方から順に取得するとともに、取得した依頼内容と検索依頼情報のパケットの送信元のＩＰアドレスにもとづき制御ルールＤＢ１４を検索して、制御コマンド及び制御オプションを自動的に取得することができる。
【０１６９】
そして、エージェント機能制御部１５は、不正端末４０のノードＩＤ、制御コマンド及び制御オプションを不正端末制御部１７に出力して、不正端末４０からの通信の制御を依頼する（ステップ１６４）。
エージェント機能制御部１５は、不正端末制御部１７から制御実行結果を入力すると（ステップ１６５）、この制御実行結果にもとづき制御結果情報を生成し、検索依頼情報の送信元に送信する（ステップ１５３）。
【０１７０】
［不正端末制御部１７による処理手順］
次に、図２３を参照して、不正端末制御部１７の処理について詳細に説明する。同図は、本実施形態の攻撃パケット対策システムのパケット中継装置１０における不正端末制御部１７の処理手順を示すフローチャートである。
【０１７１】
本実施形態では制御依頼情報の中継が行われないため、図２３に示す各ステップは、図１６における中継に関連する処理を除いたものとなっている。
すなわち、図２３は、図１６におけるステップ８３〜８５を除いたものであり、ステップ１７２（図１６のステップ８２に対応）において、不正端末制御部１７により制御ルールが特定され、受付可と判定された場合に、制御可能か否かの判定を行う（ステップ１７３）構成となっている。その他のステップについては、図１６におけるステップと同様である。
【０１７２】
以上説明したように、本実施形態の攻撃パケット対策システムによれば、不正端末を検索して、これを特定できると同時にそのパケット中継装置により、制御ルールに従い不正端末からの通信を制御させることができる。
このため、不正端末からの通信を迅速に制御することが可能となっている。
【０１７３】
本発明は、以上の実施形態に限定されるものではなく、本発明の範囲内において、種々の変更実施が可能であることは言うまでもない。
例えば、上記実施形態ではエージェントプログラムをパケット中継装置上で起動させ、エージェントを構成しているが、パケット中継装置上の通信ログを参照でき、パケット中継装置を制御することができる限り、エージェントプログラムはどのホスト上で起動させてもかまわない。
【０１７４】
また、検索処理の高速化のため、パケット中継装置による不正端末の検索処理をリソースのあまっている一又は二以上の他の端末に分散させることも可能である。
さらに、上記各実施形態における攻撃パケット対策システムを組み合わせるなど適宜変更することが可能である。
【産業上の利用可能性】
【０１７５】
本発明は、ＩＳＰ（Internet  Service  Provider）などのネットワーク事業において好適に利用することが可能である。これによって、事業者側は一般の利用者に、より安心して利用してもらえるネットワーク環境を提供でき、事業者側も運用コストを削減することが可能となる。
【図面の簡単な説明】
【０１７６】
【図１】本発明の第一実施形態の攻撃パケット対策システムの構成（ＩＰネットワーク）を示すブロック図である。
【図２】本発明の第一実施形態の攻撃パケット対策システムの構成（オーバレイネットワーク）を示すブロック図である。
【図３】本発明の第一実施形態の攻撃パケット対策システムにおけるパケット中継装置の構成を示すブロック図である。
【図４】本発明の第一実施形態の攻撃パケット対策システムにおける通信ログ記憶部のレコードレイアウトを示す図である。
【図５】本発明の第一実施形態の攻撃パケット対策システムにおける検索ルールＤＢ内のテーブルのデータ構成を示す図である。
【図６】本発明の第一実施形態の攻撃パケット対策システムにおける検索キャッシュＤＢのレコードレイアウトを示す図である。
【図７】本発明の第一実施形態の攻撃パケット対策システムにおける制御ルールＤＢ内のテーブルのデータ構成を示す図である。
【図８】本発明の第一実施形態の攻撃パケット対策システムにおける管理端末の構成を示すブロック図である。
【図９】本発明の第一実施形態の攻撃パケット対策システムにおける不正端末の検索処理手順を示す動作手順図である。
【図１０】本発明の第一実施形態の攻撃パケット対策システムにおける検索依頼のデータ構成を示す図である。
【図１１】本発明の第一実施形態の攻撃パケット対策システムにおける検索結果のデータ構成を示す図である。
【図１２】本発明の第一実施形態の攻撃パケット対策システムにおける不正端末の制御処理手順を示す動作手順図である。
【図１３】本発明の第一実施形態の攻撃パケット対策システムにおける制御依頼及び制御結果のデータ構成を示す図である。
【図１４】本発明の第一実施形態の攻撃パケット対策システムにおけるエージェント機能制御部の処理手順を示すフローチャートである。
【図１５】本発明の第一実施形態の攻撃パケット対策システムにおける不正端末検索部の処理手順を示すフローチャートである。
【図１６】本発明の第一実施形態の攻撃パケット対策システムにおける不正端末制御部の処理手順を示すフローチャートである。
【図１７】本発明の第二実施形態の攻撃パケット対策システムにおける制御ルールＤＢ内のテーブルのデータ構成を示す図である。
【図１８】本発明の第三実施形態の攻撃パケット対策システムにおけるパケット中継装置の構成を示すブロック図である。
【図１９】本発明の第三実施形態の攻撃パケット対策システムにおけるエージェント機能制御部の処理手順を示すフローチャートである。
【図２０】本発明の第三実施形態の攻撃パケット対策システムにおける不正端末検索部の処理手順を示すフローチャートである。
【図２１】本発明の第四実施形態の攻撃パケット対策システムにおけるパケット中継装置の構成を示すブロック図である。
【図２２】本発明の第四実施形態の攻撃パケット対策システムにおけるエージェント機能制御部の処理手順を示すフローチャートである。
【図２３】本発明の第四実施形態の攻撃パケット対策システムにおける不正端末制御部の処理手順を示すフローチャートである。
【符号の説明】
【０１７７】
１０（１０ａ，１０ｂ，１０ｃ）  パケット中継装置
１１  通信ログ記憶部
１２  検索ルールＤＢ
１３  検索キャッシュＤＢ
１４  制御ルールＤＢ
１５  エージェント機能制御部
１６  不正端末検索部
１７  不正端末制御部
２０  管理端末
２１  監視手段
２２  検索依頼手段
２３  制御依頼手段
３０  標的サーバ
４０  不正端末
【図１】
0004710889.tif 000002
【図２】
0004710889.tif 000003
【図３】
0004710889.tif 000004
【図４】
0004710889.tif 000005
【図５】
0004710889.tif 000006
【図６】
0004710889.tif 000007
【図７】
0004710889.tif 000008
【図８】
0004710889.tif 000009
【図９】
0004710889.tif 000010
【図１０】
0004710889.tif 000011
【図１１】
0004710889.tif 000012
【図１２】
0004710889.tif 000013
【図１３】
0004710889.tif 000014
【図１４】
0004710889.tif 000015
【図１５】
0004710889.tif 000016
【図１６】
0004710889.tif 000017
【図１７】
0004710889.tif 000018
【図１８】
0004710889.tif 000019
【図１９】
0004710889.tif 000020
【図２０】
0004710889.tif 000021
【図２１】
0004710889.tif 000022
【図２２】
0004710889.tif 000023
【図２３】
0004710889.tif 000024