(57)【要約】      （修正有）【課題】  本発明は、ネットワーク全体の管理トラフィックの総量を減らしつつ、所定の確率を高く設定し得る発信源追跡情報提供装置及びルータ装置を提供することを目的とする。【解決手段】  本発明に係る、通信パケットの発信源を追跡するための追跡情報を収容する追跡メッセージを所定の確率で提供するルータ装置１１は、他のルータ装置１１が追跡メッセージを生成する頻度を調整するための調整情報を収容する広告メッセージを生成し、この生成した広告メッセージをネットワークに広告する広告メッセージ生成部１１８と、通信上上流側のルータ装置１１が送信した広告メッセージを受信し、この受信した広告メッセージに収容されている調整情報に基づいて自己の所定の確率を調整する確率調整部１１３を備える。【選択図】      図２
2005341112.tif 000002
【特許請求の範囲】
【請求項１】
通信パケットの発信源を追跡するための追跡情報を収容する追跡メッセージを所定の確率で提供する発信源追跡情報提供装置において、
他の発信源追跡情報提供装置が追跡メッセージを生成する頻度を調整するための調整情報を収容する広告メッセージを生成し、該生成した広告メッセージをネットワークに広告する広告メッセージ生成部と、
通信上上流側の発信源追跡情報提供装置が送信した広告メッセージを受信し、該受信した広告メッセージに収容されている調整情報に基づいて自己の前記所定の確率を調整する確率調整部とを備えること
を特徴とする発信源追跡情報提供装置。
【請求項２】
前記追跡メッセージを生成する際に、該生成する追跡メッセージの追跡対象である通信パケットに対応する追跡メッセージであって他の発信源追跡情報提供装置が送信した追跡メッセージを過去に受信している場合には、前記追跡メッセージの生成を所定の休止期間だけ休止する休止部をさらに備え、
前記調整情報は、自己の前記所定の確率を示す確率情報及び／又は自己の前記追跡メッセージの生成の休止状態を示す休止情報であること
を特徴とする請求項１に記載の発信源追跡情報提供装置。
【請求項３】
前記生成を休止した追跡メッセージの追跡対象の通信パケットに対し自己が初めに追跡メッセージを生成する発信源追跡情報提供装置ではない旨を示す非端ジェネレータ情報を収容する非端ジェネレータメッセージを生成し、該生成した非端ジェネレータメッセージを前記ネットワークに広告する非端ジェネレータメッセージ生成部をさらに備えること
を特徴とする請求項２に記載の発信源追跡情報提供装置。
【請求項４】
追跡メッセージの正当性を判断するための正当性判断情報を前記ネットワークから取得する正当性判断情報取得部と、
追跡メッセージを受信した場合に、前記正当性判断情報に基づいて該受信した追跡メッセージが正当であるか否かを判断する正当性判断部と、
前記正当性判断部で前記受信した追跡メッセージが正当ではないと判断した場合に不審であることを示す不審情報を付加して前記受信した追跡メッセージを前記ネットワークに送出する不審処理部とをさらに備えること
を特徴とする請求項１乃至請求項３の何れか１項に記載の発信源追跡情報提供装置。
【請求項５】
前記広告メッセージは、アドレス解決プロトコル、近隣探索プロトコル及びルーティング・インフォーメーション・プロトコル・バージョン１のうちの何れかのプロトコルを用いて広告されること
を特徴とする請求項１に記載の発信源追跡情報提供装置。
【請求項６】
通信パケットをルーティングするルータ装置において、
請求項１乃至請求項５の何れか１項に記載の発信源追跡情報提供装置をさらに備えること
を特徴とするルータ装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信パケットの発信源を追跡するための追跡情報を所定の確率で提供する発信源追跡情報提供装置に関し、特に、所定の確率をより高くし得る発信源追跡情報提供装置に関する。そして、このような発信源追跡情報提供装置を備えるルータ装置に関する。
【背景技術】
【０００２】
近年、通信技術の発達により、インターネットに代表されるオープンネットワーク等の通信が普及している。このような状況に伴い、ネットワークに接続する装置は、例えば大量のＩＰパケットを送りつけるいわゆるＤｏＳ（Denial of Service）攻撃やＤＤｏＳ（Distributed Dos）攻撃等のサービス妨害攻撃を受け易い状態にある。このサービス妨害攻撃は、犠牲装置の処理を飽和状態にすることによってサービス提供を麻痺させるだけでなく、ネットワーク全体のリソースを消費させてしまい全体への影響が大きいことから、その対策が求められている。
【０００３】
このような対策の一つとして、攻撃に利用されたＩＰパケットの発信源を追跡する技術、いわゆるＩＰトレースバック技術が知られている。このＩＰトレースバック技術の代表例として、ＩＥＴＦ（Internet Engineering Task Force）のＩＣＭＰトレースバックワーキンググループが提唱するＩＣＭＰトレースバック（Internet Control Message Protocol Traceback）がある。このＩＣＭＰトレースバックは、途中経路上のルータ装置が２万分の１程度の一定確率で追跡対象のＩＰパケットを選択し、このＩＰパケットに対する追跡情報を生成し、この追跡情報をＩＣＭＰメッセージでこのＩＰパケットの宛先に送信し、そして、宛先の装置がこの追跡情報を表示するものである。
【０００４】
そして、このＩＣＭＰトレースバックを改良した技術として特許文献１に記載の技術がある。この特許文献１に記載の技術は、追跡要求メッセージを受信したルータ装置が攻撃ＩＰパケットの送信されてくる当該ルータ装置より攻撃装置側におけるルータ装置のアドレス情報を返信するように構成されているので、発信源追跡装置が追跡要求メッセージを攻撃装置に近づくように順次に各ルータ装置に送信することによって発信源を追跡するものである。
【特許文献１】特開２００３−２６４５５３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
ところで、従来のＩＣＭＰトレースバックでは、所定の確率で追跡情報を収容したＩＣＭＰメッセージを送信するものである。そのため、発信源を追跡したい通信パケットが少ない場合、所定の確率が低いと発信源の探索が困難になる。このため、所定の確率を高めると、発信源の探索における困難性が改善される一方、追跡情報を収容したＩＣＭＰメッセージのトラフィック（管理トラフィック）が増えてしまい、通常の通信メッセージのトラフィック（実トラフィック）が少なくなってしまう。
【０００６】
また、所定の確率が一定の場合では、所謂ハッカーにその値が知られると、追跡の回避策を立てられ易い。
【０００７】
本発明は、上述の事情に鑑みて為された発明であり、ネットワーク全体の管理トラフィックの総量を抑制しつつ、所定の確率を高く設定し得る発信源追跡情報提供装置を提供することを目的とする。そして、このような発信源追跡情報提供装置を備えるルータ装置を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上述の目的を達成するために、本発明の一態様に係る、通信パケットの発信源を追跡するための追跡情報を収容する追跡メッセージを所定の確率で提供する発信源追跡情報提供装置は、他の発信源追跡情報提供装置が追跡メッセージを生成する頻度を調整するための調整情報を収容する広告メッセージを生成し、該生成した広告メッセージをネットワークに広告する広告メッセージ生成部と、通信上上流側の発信源追跡情報提供装置が送信した広告メッセージを受信し、該受信した広告メッセージに収容されている調整情報に基づいて自己の前記所定の確率を調整する確率調整部とを備えることを特徴とする。
【０００９】
そして、上述の発信源追跡情報提供装置において、前記追跡メッセージを生成する際に、該生成する追跡メッセージの追跡対象である通信パケットに対応する追跡メッセージであって他の発信源追跡情報提供装置が送信した追跡メッセージを過去に受信している場合には、前記追跡メッセージの生成を所定の休止期間だけ休止する休止部をさらに備え、前記調整情報は、自己の前記所定の確率を示す確率情報及び／又は自己の前記追跡メッセージの生成の休止状態を示す休止情報であることを特徴とする。
【００１０】
また、上述の発信源追跡情報提供装置において、前記生成を休止した追跡メッセージの追跡対象の通信パケットに対し自己が初めに追跡メッセージを生成する発信源追跡情報提供装置ではない旨を示す非端ジェネレータ情報を収容する非端ジェネレータメッセージを生成し、該生成した非端ジェネレータメッセージを前記ネットワークに広告する非端ジェネレータメッセージ生成部をさらに備えることを特徴とする。
【００１１】
さらに、これら上述の発信源追跡情報提供装置において、追跡メッセージの正当性を判断するための正当性判断情報を前記ネットワークから取得する正当性判断情報取得部と、追跡メッセージを受信した場合に、前記正当性判断情報に基づいて該受信した追跡メッセージが正当であるか否かを判断する正当性判断部と、前記正当性判断部で前記受信した追跡メッセージが正当ではないと判断した場合に不審であることを示す不審情報を付加して前記受信した追跡メッセージを前記ネットワークに送出する不審処理部とをさらに備えることを特徴とする。
【００１２】
また、これら上述の発信源追跡情報提供装置において、前記広告メッセージは、アドレス解決プロトコル、近隣探索プロトコル及びルーティング・インフォーメーション・プロトコル・バージョン１のうちの何れかのプロトコルを用いて広告されることを特徴とする。
【００１３】
そして、本発明の他の一態様に係る、通信パケットをルーティングするルータ装置は、これら上述の何れかの発信源追跡情報提供装置をさらに備えることを特徴とする。
【発明の効果】
【００１４】
このような構成の発信源追跡情報提供装置及びルータ装置では、広告メッセージ生成部が、他の発信源追跡情報提供装置が追跡メッセージを生成する頻度を調整するための調整情報を収容する広告メッセージを生成し、この生成した広告メッセージを前記ネットワークに広告する一方、確率調整部が、通信上上流側の発信源追跡情報提供装置が送信した広告メッセージを受信し、この受信した広告メッセージに収容されている調整情報に基づいて自己の所定の確率を調整する。このため、発信源追跡情報提供装置及びルータ装置は、広告メッセージから調整情報を得て、自己の所定の確率を調整し得る。従って、ネットワーク全体では、所定の確率を一時的に低くする発信源追跡情報提供装置及びルータ装置が存在し得るので、その分他の発信源追跡情報提供装置及びルータ装置における所定の確率を高くすることが可能である。このため、発信源追跡情報提供装置及びルータ装置は、ネットワーク全体の管理トラフィックの総量を抑制しつつ、所定の確率を背景技術の場合よりも高く設定し得る。
【発明を実施するための最良の形態】
【００１５】
以下、本発明に係る実施形態を図面に基づいて説明する。なお、各図において同一の符号を付した構成は、同一の構成であることを示し、その説明を省略する。
（実施形態の構成）
本実施形態に係る発信源追跡情報提供装置は、ネットワークに接続された一の端末装置が他の端末装置に通信パケットを送信した場合に、通信パケットの通信経路を追跡することによって他の端末装置がこの通信パケットの発信源（一の端末装置）を追跡するための追跡情報を提供すると共に、通信上上流側の他の発信源追跡情報提供装置における、追跡メッセージを生成する所定の確率及び／又は追跡メッセージの提供の休止の各情報に基づいて自己の追跡メッセージを生成する所定の確率を調整する装置である。なお、一の端末装置が他の端末装置に通信パケットを送信する場合にその経路上に発信源追跡情報提供装置が在る場合に、当該発信源追跡情報提供装置から見て一の端末装置側（通信パケットの送信側）を通信上上流側と言い、また、当該発信源追跡情報提供装置から見て他の端末装置側（通信パケットの受信側）を通信上下流側と言う。
【００１６】
図１は、実施形態に係る発信源追跡情報提供装置を備えるルータ装置の適用されたネットワークを示す図である。図２は、実施形態に係る発信源追跡情報提供装置を備えるルータ装置の構成を示すブロック図である。図３は、追跡メッセージ休止テーブルの構成を示す図である。図４は、非端フラグテーブルの構成を示す図である。
【００１７】
図１において、ネットワーク１は、複数のホスト群１２（１２−１〜１２−１６）と、本発明に係る発信源追跡情報提供装置を備える複数のルータ装置１１（１１−１〜１１−１８）と、追跡装置２０とを備えて構成される。そして、ルータ装置１１（発信源追跡情報提供装置）と追跡装置２０とを備えて、通信パケットの発信源を追跡し探査する発信源追跡システムが構成される。図１では、ホスト群１２は、「Ｈｓ」で表され、ルータ装置１１は、「Ｒ＋Ｇ」で表されている。なお、各構成を総称する場合には添え字を省略した参照符号で表す。
【００１８】
ホスト群１２は、複数のノード装置を備えて構成されるサブネットワークである。ノード装置は、例えば、通信プロトコルのプロトコル変換を行うと共に通信パケットをルーティング（経路選択）するゲートウェイ装置、通信パケットをルーティングするルータ装置及び端末装置等である。端末装置は、ネットワーク１を介して通信パケットを送受信する通信機能を備えた装置であり、例えば、通信機能を備えたコンピュータ（サーバコンピュータや端末コンピュータ等）、移動体通信端末、通信機能を備えたゲーム端末及びＰＤＡ（Personal Digital Assistants）等である。本実施形態では、説明の都合上、ホスト群１２−１内に端末装置２が存在し、ホスト群１２−２内に端末装置３が存在し、端末装置２が通信パケットを端末装置３に送信するものとする。そして、端末装置２は、端末装置３に不正アクセス、いわゆるコンピュータウィルスによる端末装置３の動作の破壊、及び、端末装置３へのサービス妨害攻撃等の攻撃を行うものとする。以下、攻撃を行う端末装置２を攻撃側端末装置２と呼称し、攻撃を受ける端末装置３を犠牲側端末装置３と呼称するものとする。
【００１９】
ルータ装置１１間及びルータ装置１１とホスト群１２との間は、通信パケットを伝播する有線媒体や無線媒体の伝送路によって相互に接続される。
【００２０】
追跡装置２０は、発信源追跡情報提供装置を備えるルータ装置１１からネットワーク１に送出される追跡メッセージや後述の不審追跡メッセージに基づいて発信源を追跡し探査するノード装置であり、例えば、ミラーポートを備えるハブ（Hub、集線装置）やスイッチ等を介して伝送路に接続される。このため、追跡装置２０には、ネットワーク１を伝送する通信パケットの複製（コピー）が入力されることになる。そして、追跡装置２０は、犠牲側端末装置３への通信パケットが全て入力されるようにする観点から、図１に示すように、犠牲側端末装置３と、犠牲側端末装置３が接続するルータ装置１１−５との間の伝送路にハブ等を介して接続されることが好ましい。
【００２１】
犠牲側端末装置３が発信源を追跡し攻撃側端末装置２を探査するように構成してもよいが、犠牲側端末装置３は、攻撃を受けることによってリソースに比較的大きな負荷がかかっているので、このような追跡装置２０を別個に設けることによって、発信源の追跡処理の負荷を犠牲側端末装置３から開放することができる。
【００２２】
ルータ装置１１は、ホスト群１２や他のルータ装置１１を相互に接続すると共に通信パケットのルーティングを行う機器であり、本発明に係る発信源追跡情報提供装置が組み込まれている。図２において、ルータ装置１１は、中央処理部２１と、記憶部２２と、通信インターフェース部２３とを備えて構成される。
【００２３】
通信インターフェース部２３は、ネットワーク１との間で通信パケットの送受信を行うインターフェース回路であり、複数のインターフェース部を備えて構成される。さらに詳しくは、通信インターフェース部２３は、物理層の複数の物理層インターフェース部（以下、「物理層Ｉ／Ｆ部」と略記する。）１３１（１３１−０〜１３１−ｎ）と、各物理層Ｉ／Ｆ部１３１−０〜１３１−ｎに対応して設けられるリンク層の複数のリンク層インターフェース部（以下、「リンク層Ｉ／Ｆ部」と略記する。）１３２（１３２−０〜１３２−ｎ）と、各リンク層Ｉ／Ｆ部１３２−０〜１３２−ｎに対応して設けられるネットワーク層の複数のネットワーク層インターフェース部（以下、「ＮＴ層Ｉ／Ｆ部」と略記する。）１３３（１３３−０〜１３３−ｎ）とを備えて構成される。物理層Ｉ／Ｆ部１３１は、通信パケットを受信するとその旨を示す受信イベントを中央処理部２１に出力する。物理層Ｉ／Ｆ部１３１には、各物理層Ｉ／Ｆ部１３１−０〜１３１−ｎを識別するために固有の識別子、例えば、本実施形態では、識別番号；「０」〜「ｎ」が割り当てられる。そして、各リンク層Ｉ／Ｆ部１３２−０〜１３２−ｎには、識別番号に対応した（ｎ＋１）個のＭＡＣアドレス（Media Access Control Address）；「ＭＡＣａｄｄ０」〜「ＭＡＣａｄｄｎ」がそれぞれ割り当てられ、各ＮＴ層Ｉ／Ｆ部１３３−０〜１３３−ｎには、識別番号に対応した（ｎ＋１）個のＩＰアドレス；「ＩＰａｄｄ０」〜「ＩＰａｄｄｎ」がそれぞれ割り当てられる。
【００２４】
中央処理部２１は、例えば、マイクロプロセッサ等で構成され、機能的に、後述するように追跡情報を提供する処理を行うジェネレータ部１０１と通信パケットのルーティング処理を行うルーティング部１０２とを備えると共に、プログラムに従い記憶部２２と通信インタフェース部２３とを制御する。
【００２５】
そして、ジェネレータ部１０１は、追跡メッセージ検出部１１０と、追跡メッセージ生成部１１１と、確率イベント発生部１１２と、確率調整部１１３と、正当性判断情報取得部１１４と、休止非端処理部１１５と、タイマ部１１６と、時計部１１７と、広告メッセージ生成部１１８と、正当性判断部１１９と、不審処理部１２０とを備えて構成される。
【００２６】
確率イベント発生部１１２は、当該ルータ装置１１でルーティングされる通信パケットを取り込み、この取り込んだ通信パケットの数に応じて所定の確率で通信インターフェース部２３のインターフェース部ごとに確率イベントを発生し、この発生した確率イベントを追跡メッセージ生成部１１１に通知する処理を行う。この所定の確率は、後述するように確率調整部１１３で調整され、確率調整部１１３から確率イベント発生部１１２に通知されて指示される。所定の確率のデフォルト値は、任意であるが、攻撃の監視を強化する場合には例えば千分の一や五千分の一等の確率イベントの発生が比較的高い確率に設定され、攻撃の監視を緩和する場合には例えば二万分の一や三万分の一等の確率イベントの発生が比較的低い確率に設定される。ここで、本実施形態に係るルータ装置１１は、後述するように追跡メッセージを所定の条件下で休止し、また、確率調整部１１３が調整する。このため、ネットワーク全体における管理トラフィックが抑制されるから、所定の確率のデフォルト値は、背景技術の場合に較べて高い確率が設定可能である。
【００２７】
確率イベントの発生は、例えば、確率調整部１１３から指示された所定の確率の範囲内の数値を乱数で発生させることによって、確率イベントを発生させるイベント発生値を通信インターフェース部２３のインターフェース部ごとに決定し、確率イベント発生部１１１に通信パケットが取り込まれるごとに通信パケットの個数を通信インターフェース部２３のインターフェース部ごとに計数し、当該計数値がイベント発生値に達した場合に確率イベントを発生するように構成すればよい。より具体的には、通信インターフェース部２３の或るインターフェース部において、確率調整部１１３から指示された所定の確率が五千分の一である場合には、１から５０００までの範囲で数値を乱数によって発生させ、発生した数値（例えば７５６）をイベント発生値に決定し、計数した通信パケット数が７５６に達した場合に確率イベントを発生する。そして、その後も通信パケットの計数を継続して通信パケット数が５０００に達すると、イベント発生値を再決定し、計数値をクリア（計数値＝０）する。
【００２８】
追跡メッセージ生成部１１１は、確率イベント発生部１１２から確率イベントが通知されると、この確率イベントに応じて、追跡メッセージであることを示す識別子（追跡メッセージ識別子）と追跡情報とを収容する通信パケット（追跡メッセージ）を生成する処理を行う。追跡情報は、追跡対象である通信パケットの発信源を追跡するための情報であり、例えば、本実施形態では、追跡メッセージの送信元のＩＰアドレスと、該追跡メッセージの追跡対象である通信パケットにおける送信元及び送信先のＩＰアドレスと、タイムスタンプとである。追跡メッセージ識別子は、例えば１又は複数の符号から成る。
【００２９】
ここで、追跡装置２０は、例えば、同一の送信元及び送信先である通信パケットを追跡対象とする追跡メッセージを収集して解析することにより通信パケットの発信源を追跡し探査するものである。このため、同一の送信元及び送信先である通信パケットを追跡対象とする追跡メッセージを、追跡装置２０が受信した全ての追跡メッセージから抽出して収集するために、追跡情報の一つとして追跡メッセージの追跡対象である通信パケットにおける送信元及び送信先のＩＰアドレスが必要である。そして、追跡対象の通信パケットにおける通信経路を知るために、追跡情報の一つとして追跡メッセージの送信元のＩＰアドレスが必要である。また、攻撃は、バースト的に行われることが多いため、同一の送信元から同一の送信先へ大量の通信パケットが送信されたとしても長時間に亘って少ない頻度で送信される場合には、必ずしも攻撃であるとは言い難い。そのため、時計部１１７から時刻を取得し、追跡メッセージを生成した時刻に関する時刻情報（タイムスタンプ）が本実施形態では追跡情報に加えられている。この意味からタイムスタンプは、追跡情報として必須の情報ではない。
【００３０】
なお、追跡装置２０が複数の追跡メッセージを受信した場合に、複数の追跡メッセージの中からこのような同一の送信元及び送信先である通信パケットを追跡対象とする追跡メッセージをより確実に抽出することができるようにする観点から、さらに、通信パケットの実データ部分における特定部位の一部、例えば、実データ部分における最初の数ビット（例えば８ビット）を追跡情報にさらに加えてもよい。あるいは、例えば、実データ部分における最後の数ビット（例えば８ビット）を追跡情報にさらに加えてもよい。
【００３１】
追跡メッセージ検出部１１０は、当該ルータ装置１１でルーティングされる通信パケットを取り込み、この取り込んだ通信パケットから追跡メッセージ識別子に基づいて追跡メッセージを検出し、検出した旨を示す検出イベントとこの検出した追跡メッセージとを休止非端処理部１１５及び正当性判断部１１８に通知する処理を行う。
【００３２】
休止非端処理部１１５は、追跡メッセージ検出部１１０から検出イベントと追跡メッセージとが通知されると、送信休止処理と非端送信処理を行う。送信休止処理は、追跡メッセージ生成部１１１が追跡メッセージを生成する際に、この生成する追跡メッセージの追跡対象である通信パケットに対応するものであって他のルータ装置１１が送信した追跡メッセージを過去に受信している場合には、追跡メッセージ生成部１１１にこの追跡メッセージの生成を所定の休止期間だけ休止させ、時計部１１７から時刻を取得して休止開始時刻と休止する旨を示す休止イベントとを広告メッセージ生成部１１８に通知する処理である。非端送信処理は、非端ジェネレータメッセージであることを示す識別子（非端メッセージ識別子）と、送信休止処理で休止した追跡メッセージの追跡対象の通信パケットにおける非端ジェネレータ情報とを収容する通信パケット（非端ジェネレータメッセージ）を生成し、この非端ジェネレータメッセージをネットワーク１に広告する処理である。送信休止処理及び非端送信処理を併せて休止非端処理と呼称することとする。
【００３３】
非端ジェネレータ情報は、送信休止処理で休止した追跡メッセージの追跡対象の通信パケットに対し自己が初めに追跡メッセージを生成するルータ装置１１ではない旨を示す情報である。送信休止処理で休止した追跡メッセージの追跡対象の通信パケットに対し自己が初めに追跡メッセージを生成しないルータ装置１１を非端ジェネレータと呼称することとする。非端ジェネレータ情報は、本実施形態では、例えば、非端ジェネレータであるか否かを示す非端ジェネレータフラグと、非端ジェネレータメッセージの送信元のＩＰアドレスと、該非端ジェネレータメッセージの対象である通信パケットにおける送信元及び送信先のＩＰアドレス（即ち、非端ジェネレータメッセージに対応する追跡メッセージの追跡対象である通信パケットにおける送信元及び送信先のＩＰアドレス）と、非端ジェネレータメッセージの生成時刻を示すタイムスタンプとである。非端ジェネレータフラグは、例えば、非端ジェネレータフラグが「０」である場合は非端ジェネレータではないことを示し、非端ジェネレータフラグが「１」である場合は非端ジェネレータであることを示す。ここで、非端ジェネレータ情報における非端ジェネレータフラグは、非端メッセージ識別子と兼用可能であり、兼用してもよい。
【００３４】
ここで、本実施形態では、発信源追跡情報提供装置がルータ装置１１に組み込まれていることから、上述の非端ジェネレータ情報は、言い換えれば、追跡メッセージの追跡対象の通信パケットを送信した発信源の端末装置２を含むホスト群１２−１に直接接続するルータ装置１１ではない旨の情報である。従って、追跡装置２０は、発信源の攻撃側端末装置２を追跡する解析を行う場合に、非端ジェネレータメッセージを送信したルータ装置１１を解析対象から外すことができるから、追跡装置２０は、ルータ装置１１が非端ジェネレータメッセージを送信することにより、発信源の解析をより容易に、より高速に行うことができる。
【００３５】
このような追跡メッセージ及び非端ジェネレータメッセージは、例えば、ＩＣＭＰ（Internet Control Message Protocol）、ＴＣＰ（Transmission Control Protocol）、ＵＤＰ（User Datagram Protocol）等の任意の通信プロトコルを利用して形成してもよいが、本実施形態ではＩＣＭＰが利用され、この場合に追跡メッセージ識別子及び非端メッセージ識別子は、Ｔｙｐｅで表されるように構成し得る。
【００３６】
タイマ部１１６は、休止非端処理部１１５の指示によって休止する対象の追跡メッセージごとに用意され、時間経過の計時を始め、所定の時間が経過すると、その旨を休止非端処理部１１５に通知する処理を行う。時計部１１７は、時を計り、休止非端処理部１１５の要求に応じて現在時刻を通知する処理を行う。
【００３７】
正当性判断部１１９は、追跡メッセージ検出部１１０から検出イベントと追跡メッセージとが通知されると、追跡メッセージの正当性を判断するための正当性判断情報の取得を正当性判断情報取得部１１４に要求し、追跡メッセージ検出部１１０から通知された追跡メッセージの正当性を正当性判断情報取得部１１４からの正当性判断情報に基づいて判断し、正当ではないと判断すると（不審であると判断すると）その旨を示す不審イベントとこの追跡メッセージとを不審処理部１２０に通知する処理を行う。
【００３８】
正当性判断情報取得部１１４は、正当性判断処理部１１９から要求を受けると、該追跡メッセージの正当性判断情報をネットワーク１から取得し、この正当性判断情報を正当性判断部１１９に通知する処理を行う。不審処理部１２０は、正当性判断部１１５から不審イベントと追跡メッセージとが通知されると、該追跡メッセージに正当ではない旨を示す不審情報を付加する処理を行う。不審情報は、不審を示す文字列、コード番号及びフラグ等であり、本実施形態では、正当であるか否かを示す不審フラグによって表される。例えば、不審フラグが「０」である場合は正当であることを示し、不審フラグが「１」である場合は正当ではないことを示す。なお、不審フラグのデフォルトは「０」である。
【００３９】
広告メッセージ生成部１１８は、広告メッセージの送信が要求されているか否かを示す広告フラグに応じて広告メッセージを生成し、この広告メッセージをネットワーク１に広告する処理を行う。本実施形態では、広告メッセージは、例えば、広告メッセージであることを示す識別子（広告メッセージ識別子）と、広告メッセージの送信元のＩＰアドレスと、他のルータ装置１１が追跡メッセージを生成する頻度を調整する情報（調整情報）と、広告メッセージの生成時刻を示すタイムスタンプとを収容する。広告フラグは、例えば、広告フラグが「０」の場合は広告メッセージの送信が不要である広告不要を示し、広告フラグが「１」の場合は広告メッセージの送信が要求されている広告要求を示す。調整情報は、本実施形態では、自己の追跡メッセージを生成する所定の確率を示す確率情報と、追跡メッセージの生成における休止状態を示す休止情報であり、さらに、休止情報は、生成を休止している追跡メッセージの追跡対象である通信パケットが受信された通信インターフェース部２３におけるインターフェース部のＩＰアドレスから成る休止ＩＦリスト情報と、この生成を休止している追跡メッセージにおける休止開始時刻及び休止期間から成る休止期間リスト情報とを含んで構成される。確率情報は、確率調整部１１３から取得され、休止情報は、休止非端処理部１１５から取得される。なお、上述の休止情報の構成は、ルータ装置１１において通信インターフェース部２３の各インターフェース部にＩＰアドレスが１つずつ設定されている場合に採用されるが、インターフェース番号（物理層Ｉ／Ｆ部１３１の識別番号に相当する）から成るＩＦリスト、又は、ＭＡＣアドレスから成るＩＦリスト等を採用してもよい。また、休止期間リスト情報は、生成を休止している追跡メッセージにおける休止開始時刻及び休止期間に代えて、この生成を休止している追跡メッセージにおける休止終了時刻でもよい。
【００４０】
確率調整部１１３は、通信上上流側における他のルータ装置１１が送信した広告メッセージに収容されている調整情報に基づいて確率イベント発生部１１２の所定の確率を調整すると共に、所定の確率を変更すると変更後の所定の確率を広告メッセージ生成部１１８に通知する処理を行う。
【００４１】
記憶部２２は、例えばＲＯＭ（Read Only Memory）やＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）等の不揮発性の記憶素子、及び、例えばＲＡＭ（Random Access Memory）等の揮発性の記憶素子等を備えて構成される。この不揮発性の記憶素子は、本ルータ装置１１を動作させるための各種のプログラム、及び、各種のプログラムを実行する際に必要な情報等を記憶する。この揮発性の記憶素子は、中央処理部２１が実行する各種のプログラムを不揮発性の記憶素子から読み込むと共に、これら各種のプログラムの実行中における各データを一時的に記憶するいわゆるワーキングメモリとなる。そして、記憶部２２は、追跡メッセージの追跡対象である通信パケットに対応する追跡メッセージであって他のルータ装置１１が送信した追跡メッセージを過去に受信しているか否かを判断するための情報（追跡対象特定情報）を登録する追跡メッセージ休止テーブル（以下、「追跡Ｍ休止テーブル」と略記する。）を記憶する追跡メッセージ休止テーブル記憶部（以下、「追跡Ｍ休止テーブル記憶部」と略記する。）１２１、非端メッセージの送信状況を示す非端フラグを登録する非端フラグテーブルを記憶する非端フラグテーブル記憶部１２２、及び、経路情報を登録するルーティングテーブルを記憶するルーティングテーブル記憶部１２３を備える。
【００４２】
追跡Ｍ休止テーブル３０は、追跡メッセージの追跡対象である通信パケットの送信元及び送信先のアドレスを追跡対象特定情報として少なくとも登録していればよいが、本実施形態では、例えば、図３に示すように、追跡Ｍ休止テーブル３０の各レコードを表すための番号を登録するインデックスフィールド３０１、追跡メッセージが入力された物理層Ｉ／Ｆ部１３１の識別番号を登録する入力インターフェースフィールド（以下、「入力Ｉ／Ｆフィールド」と略記する。）３０２、追跡メッセージがルーティングされて出力された物理層Ｉ／Ｆ部１３１の識別番号を登録する出力インターフェースフィールド（以下、「出力Ｉ／Ｆフィールド」と略記する。）３０３、追跡メッセージの送信元のＩＰアドレスを登録する追跡メッセージ送信元ＩＰフィールド（以下、「追跡Ｍ送信元ＩＰフィールド」と略記する。）３０４、追跡メッセージの追跡対象である通信パケットにおける送信元のＩＰアドレスを登録する送信元ＩＰフィールド３０５、追跡メッセージの追跡対象である通信パケットにおける送信先のＩＰアドレスを登録する送信先ＩＰフィールド３０６、及び、休止フラグを登録する休止フラグフィールド３０７の各フィールドを備えて構成され、追跡対象が異なる追跡メッセージごとにレコードが作成される。休止フラグは、例えば休止フラグが「０」である場合は追跡メッセージの生成の休止を解除している状態（休止解除状態）を示し、休止フラグが「１」である場合は追跡メッセージの生成を休止してる状態（休止状態）を示す。
【００４３】
非端フラグテーブル４０は、例えば、図４に示すように、非端フラグテーブル４０の各レコードを表すための番号を登録するインデックスフィールド４０１、非端フラグを登録する非端フラグフィールド４０２の各フィールドを備えて構成され、追跡対象が異なる追跡メッセージごとにレコードが作成される。非端フラグは、例えば非端フラグが「０」である場合は非端ジェネレータメッセージの送信の要求を解除している状態（送信要求解除状態）を示し、非端フラグが「１」である場合は非端ジェネレータメッセージの送信を要求している状態（送信要求状態）を示し、非端フラグが「２」である場合は非端ジェネレータメッセージの送信済みである状態（送信済み状態）を示す。
【００４４】
なお、追跡Ｍ休止テーブル３０の各レコードと非端フラグテーブル４０の各レコードとは、追跡Ｍ休止テーブル３０のインデックスフィールド３０１に登録される番号と非端フラグテーブル４０のインデックスフィールド４０１に登録される番号とによって相互に対応付けられている。
【００４５】
なお、記憶部２２に記憶される各プログラムや各データ等の情報が格納されていない場合には、これら情報を管理するサーバコンピュータ（不図示）からネットワーク１及び通信インタフェース２３を介してこれら情報がダウンロードされるように構成してもよく、また、これら情報を記録した記録媒体から該記録媒体との間でデータを読み込み及び／又は書き込みを行う外部記憶部（不図示）を介して記憶部２２にインストールされるように構成してもよい。記録媒体は、例えば、フレキシブルディスク、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Compact Disc Recordable）及びＤＶＤ−Ｒ（Digital Versatile Disc Recordable）等であり、外部記憶部は、例えば、フレキシブルディスクドライブ、ＣＤ−ＲＯＭドライブ、ＣＤ−Ｒドライブ及びＤＶＤ−Ｒドライブ等である。
【００４６】
また、ルータ装置１１は、通信プロトコルの変換を行うゲートウェイ機能をさらに備えた所謂ゲートウェイ装置を含む概念である。
【００４７】
次に、本実施形態の動作について説明する。
（実施形態の動作）
まず、追跡メッセージの休止非端処理について説明する。図５は、実施形態に係る発信源追跡情報提供装置を備えるルータ装置における休止非端処理を示すフローチャート（その１）である。図６は、実施形態に係る発信源追跡情報提供装置を備えるルータ装置における休止非端処理を示すフローチャート（その２）である。
【００４８】
ルータ装置１１の通信インターフェース部２３における物理層Ｉ／Ｆ部１３１にネットワーク１を伝送する通信パケットが受信されると、物理層Ｉ／Ｆ部１３１は、受信した通信パケットを上位層のリンク層に受け渡すべく処理を行ってリンク層Ｉ／Ｆ部１３２に出力すると共に、通信パケットを受信した旨を通知する受信イベントを生成してこの生成した受信イベントを中央処理部２１に出力する。
【００４９】
リンク層Ｉ／Ｆ部１３２は、物理層Ｉ／Ｆ部１３１で処理された通信パケットを上位層のネットワーク層に受け渡すべく処理を行ってＮＴ層Ｉ／Ｆ部１３３に出力する。そして、ＮＴ層Ｉ／Ｆ部１３３は、リンク層Ｉ／Ｆ部１３２で処理された通信パケットを中央処理部２１に受け渡すべく処理を行って中央処理部２１に出力する。
【００５０】
ＮＴ層Ｉ／Ｆ部１３３で処理された通信パケットは、中央処理部２１のルーティング部１０２、追跡メッセージ検出部１１０、追跡メッセージ生成部１１１及び確率イベント発生部１１２にそれぞれ取り込まれる。
【００５１】
ルーティング部１０２は、取り込んだ通信パケットが同報通信の通信パケットである場合には、この通信パケットをジェネレータ部１０１の確率調整部１１３に通知する。一方、取り込んだ通信パケットが同報通信の通信パケットではない場合には、ルーティング部１０２は、記憶部２２のルーティングテーブル記憶部２２３におけるルーティングテーブルを参照し、この通信パケットをルーティングする。このルーティング部１０２でルーティングされた通信パケットは、ＮＴ層Ｉ／Ｆ部１３３、リンク層Ｉ／Ｆ部１３２及び物理層Ｉ／Ｆ部１３１で上述とは逆に順次にそれぞれ処理されてネットワーク１に送信される。
【００５２】
一方、図５及び図６において、物理層Ｉ／Ｆ部１３１から受信イベントが入力されると、ジェネレータ部１０１の休止非端処理部１１５は、休止非端処理を開始し、この受信イベントを生成した物理層Ｉ／Ｆ部１３１の識別番号を取得する（Ｓ１１）。この識別番号の取得は、例えば、ルーティングする間、物理層Ｉ／Ｆ部１３１で受信した通信パケットをその識別番号及び受信時刻（タイムスタンプ）と共にバッファメモリに一時的に格納する方式では、このバッファメモリの識別番号を参照することによって取得する。また例えば、ルータ装置は、通常、ルーティングするために物理層Ｉ／Ｆ部１３１の識別番号とＭＡＣアドレスとの対応テーブルを記憶しているので、通信パケットのＭＡＣアドレスに基づいてこの対応テーブルを参照することによって取得する。
【００５３】
次に、休止非端処理部１１５は、物理層Ｉ／Ｆ部１３１、リンク層Ｉ／Ｆ１３２及びＮＴ層Ｉ／Ｆ部１３３を介して追跡メッセージ検出部１１０に取り込まれた通信パケットが追跡メッセージであるか否かを追跡メッセージ検出部１１０に判断させる（Ｓ１２）。追跡メッセージ検出部１１０は、この取り込んだ通信パケットに追跡メッセージ識別子が収容されているか否かを検知することによって追跡メッセージであるか否かを判断する。追跡メッセージ検出部１１０は、判断の結果、この通信パケットが追跡メッセージであると判断された場合には、検出イベントとこの通信パケットを休止非端処理部１１５と正当性判断部１１９とに通知する。
【００５４】
判断の結果、追跡メッセージではない場合（ＮＯ）には、即ち、追跡メッセージ検出部１１０から検出イベント等が通知されない場合には、休止非端処理部１１５は、この休止非端処理を終了する。
【００５５】
一方、判断の結果、追跡メッセージである場合（ＹＥＳ）には、即ち、追跡メッセージ検出部１１０から検出イベント等が通知された場合には、休止非端処理部１１５は、処理Ｓ１２で追跡メッセージであると判断された通信パケットの正当性を正当性判断部１１９に判断させる。つまり、ジェネレータ部１０１の正当性判断部１１９は、検出イベントと追跡メッセージであると判断された通信パケットとが通知されると、通知された通信パケットに基づいて正当性判断情報を取得する指示を正当性判断情報取得部１１４に通知する。正当性判断情報取得部１１４は、通知された通信パケットに基づいて正当性判断情報をルーティング部１０２及び通信インターフェース部２３を介してネットワーク１から取得する（Ｓ１３）。
【００５６】
そして、正当性判断情報取得部１１４は、取得した正当性判断情報を正当性判断部１１９に通知する。正当性判断部１１５は、通知された通信パケットが追跡メッセージを生成すべき真正なルータ装置１１によって生成された正当な追跡メッセージであるか否かを判断する（Ｓ１４）。
【００５７】
ここで、正当性判断情報は、ネットワーク上の論理的距離を用いることができる。ネットワーク上の論理的距離は、例えば、通信パケットが送信されてから破棄されるまでに通過可能なルータ装置の台数を示すホップ数（ＩＰｖ４（Internet Protocol Version 4）ではＴＴＬに相当し、ＩＰｖ６（Internet Protocol Version 6）ではホップリミットに相当する。）である。
【００５８】
正当性の判断方法は、次のように行われる。処理Ｓ１３において、正当性判断情報取得部１１４は、正当性判断部１１９から通知された通信パケット（追跡メッセージ検出部１１１が検出した追跡メッセージ）における送信先までのネットワーク上の論理的距離（この例ではホップ数）をネットワーク１から取得する。そして、処理Ｓ１４において、正当性判断部１１９は、追跡メッセージ検出部１１１が検出した追跡メッセージに収容されているネットワーク上の論理的距離（この例ではホップ数）が、正当性判断情報取得部１１４が取得したネットワーク上の論理的距離（この例ではホップ数）より小さい場合に、この追跡メッセージが正当ではないと判断し、追跡メッセージ検出部１１１が検出した追跡メッセージにおけるネットワーク上の論理的距離（この例ではホップ数）が正当性判断情報取得部１１４が取得したネットワーク上の論理的距離（この例ではホップ数）以上である場合に、この追跡メッセージが正当であると判断することによって、正当な追跡メッセージであるか否かを判断する。このように判断することによって、追跡メッセージの正当性を判断することができるのは、追跡メッセージ検出部１１１が検出した追跡メッセージに収容されているネットワーク上の論理的距離が、正当性判断情報取得部１１４が取得したネットワーク上の論理的距離より小さい場合には、追跡メッセージが犠牲側端末装置３まで届かないことになるので、追跡装置２０に発信源を追跡されないようにするために追跡装置２０を攻撃する偽造追跡メッセージであると推定することができるからである。
【００５９】
そして、正当性判断情報の取得方法は、例えば、追跡メッセージ検出部１１１が検出した追跡メッセージにおける送信先に対してトレースルート（経路探索）における所謂トレースルートコマンドを実行することによって、その結果からこの送信先までのホップ数の値を取得するものである。トレースルートコマンドは、例えば、ＴＴＬ値が期限切れになるとＩＣＭＰ  Ｔｉｍｅ  Ｅｘｃｅｅｄｅｄ  Ｍｅｓｓａｇｅがルータ装置から返信されてそのルータ装置のＩＰアドレスを知ることができることから、送信先に到達するまでＴＴＬ値を１から１ずつ順に増加させたメッセージをネットワークに送信することによって行われる。トレースルートコマンドを実行すると、送信元から送信先までの通信経路上におけるルータ装置のＩＰアドレスを取得することができる。
【００６０】
また例えば、正当性判断情報の取得方法は、追跡メッセージ検出部１１０が検出した追跡メッセージにおける送信先に対してピング（Ping；Packet Internetwork Groper）コマンドを実行することによって、その応答メッセージにおけるホップ数からこの送信先までのホップ数の値を取得するものである。ピングコマンドは、例えば、ＩＣＭＰのエコーメッセージが利用され、このエコーメッセージを受信したノードがエコー要求に応じて応答メッセージを返信する。
【００６１】
また例えば、正当性判断情報の取得方法は、追跡メッセージ検出部１１１が検出した追跡メッセージにおける送信先までのルーティング情報（経路情報）をルーティング・プロトコルを用いて取得することによって、このルーティング情報からホップ数の値を取得するものである。ルーティング・プロトコルは、例えば、ＲＩＰ（Routing Information Protocol）、ＯＳＰＦ（Open Shortest Path First）、ＢＧＰ（Border Gateway Protocol）等を利用することができる。
【００６２】
なお、正当性判断情報取得部１１４は、取得した正当性判断情報を正当性判断部１１５に通知するように構成したが、記憶部２２に正当性判断情報を記憶する正当性判断情報記憶部（不図示）をさらに設け、正当性判断情報取得部１１４は、取得した正当性判断情報を正当性判断情報記憶部に格納し、正当性判断部１１９は、正当性判断情報をこの正当性判断情報記憶部から取得するように構成してもよい。
【００６３】
判断の結果、正当であると判断した場合（正当）には、正当性判断部１１５は、後述の処理Ｓ１７を実行する。一方、判断の結果、正当ではない、即ち、正当性が怪しく不審であると判断した場合（不審）には、正当性判断部１１９は、不審イベントと判断の対象となった追跡メッセージ（追跡メッセージ検出部１１０から通知された通信パケット）を不審処理部１２０に通知する。ここで、正当性判断部１１９は、追跡メッセージが正当ではないことを判断するのであって、攻撃側端末装置２が生成した偽造追跡メッセージであると断定するものではない。
【００６４】
この通知を受けると、ジェネレータ部１０１の不審処理部１２０は、時計部１１７から現在時刻を取得し、通知された追跡メッセージに不審である旨を示す不審情報とタイムスタンプを付加し（Ｓ１５）、送信すべくルーティング部１０２に出力する（Ｓ１６）。ルーティング部１０２は、この非端ジェネレータメッセージをルーティングテーブルに基づいてルーティングし、通信インターフェース部２３に出力し、通信インターフェース部２３は、非端ジェネレータメッセージをネットワーク１に送出する。
【００６５】
このようにネットワーク１から取得した正当性判断情報に基づいて追跡メッセージの正当性を判断するので、追跡メッセージの正当性の保証に、暗号処理に高負荷がかかるデジタル署名技術を用いる必要がない。また、正当ではないと判断された正当性の怪しい不審な追跡メッセージに不審情報を追跡メッセージに付加するので、発信源を追跡する装置が不審情報を付された追跡メッセージを排除して発信源の追跡を行うことができ、不審な追跡メッセージに対処することができる。
【００６６】
次に、処理Ｓ１７において、休止非端処理部１１５は、追跡Ｍ休止テーブル３０の登録内容に基づき、当該受信した追跡メッセージの追跡対象である通信パケットの送信元及び送信先と同一の送信元及び送信先である通信パケットを追跡対象とした追跡メッセージ（同一の追跡メッセージ）を過去に受信したか否かを判断する。この判断は、より具体的には、本実施形態では、追跡メッセージの送信元のＩＰアドレス、追跡メッセージの追跡対象である通信パケットにおける送信元のＩＰアドレス、及び、追跡メッセージの追跡対象である通信パケットにおける送信先のＩＰアドレスが、１個のレコードにおける、追跡Ｍ送信元ＩＰフィールド３０４、送信元ＩＰフィールド３０５及び送信先ＩＰフィールド３０６の各フィルードにそれぞれ登録するレコードがあるか否かによって行う。休止非端処理部１１５は、このようなレコードがある場合には、同一の追跡メッセージを過去に受信したと判断し、このようなレコードがない場合には、同一の追跡メッセージを過去に受信していないと判断する。
【００６７】
判断の結果、同一の追跡メッセージを過去に受信している場合（ＹＥＳ）には、休止非端処理部１１５は、処理Ｓ１９を実行する。一方、判断の結果、同一の追跡メッセージを過去に受信していない場合（ＮＯ）には、休止非端処理部１１５は、次に同一の追跡メッセージを受信した場合に自己のルータ装置１１から追跡メッセージの生成を休止すべく、新たなインデックスをインデックスフィールド３０１に登録したレコードを追跡Ｍ休止テーブル３０に追加し、この追加したレコードにおける入力Ｉ／Ｆフィールド３０２、出力Ｉ／Ｆフィールド３０３、追跡Ｍ送信元ＩＰフィールド３０４、送信元ＩＰフィールド３０５及び送信先ＩＰフィールド３０６の各フィールドに当該追跡メッセージの追跡情報に基づいて各情報を登録する。なお、出力Ｉ／Ｆフィールド３０３に登録する情報は、例えば、当該追跡メッセージをルーティングしたルーティング部１０２から取得する。そして、休止非端処理部１１５は、追跡Ｍ休止テーブル３０に追加したレコードに対応させて非端フラグテーブル４０に新たなレコードを追加し（Ｓ１８）、処理Ｓ１９を実行する。新たに追加されたレコードにおけるインデックスフィールド４０１には、追跡Ｍ休止テーブル３０に追加したレコードにおけるインデックスフィールド３０１に登録されたインデックスが登録され、非端フラグフィールド４０２には非端フラグとして「０」（送信要求解除状態）が登録される。
【００６８】
処理Ｓ１９において、休止非端処理部１１５は、当該追跡メッセージに対応する休止期間が終了しているか否かを判断する。判断の結果、休止期間が終了していない場合（ＮＯ）には、休止非端処理部１１５は、処理Ｓ１８を実行する。一方、判断の結果、休止期間が終了している場合（ＹＥＳ）には、休止非端処理部１１５は、当該追跡メッセージに対応する休止フラグを「１」にセットする（Ｓ２０）。即ち、処理Ｓ１７の処理で同一の追跡メッセージが追跡Ｍ休止テーブル３０に登録されている場合には、この登録されているレコードの休止フラグフィールド３０７における休止フラグを「１」にセットし、処理Ｓ１７の処理で同一の追跡メッセージが追跡Ｍ休止テーブル３０に登録されていない場合には、処理Ｓ１８で新たに追加されたレコードの休止フラグフィールド３０７における休止フラグを「１」にセットする。この休止フラグを「１」にセットすることにより、後述の追跡メッセージを所定の確率に従って生成して送信する際に、追跡メッセージの生成が止められ、追跡メッセージの送信が止められる。
【００６９】
次に、休止非端処理部１１５は、タイマ部１１６に指示して当該追跡メッセージに対応する休止期間をデフォルト値でセットし、計時を始めさせる（Ｓ２１）。休止期間のデフォルト値は、仕様により決定されるが、管理トラフィックを抑制する観点からデフォルト値は、大きい（休止期間が長い）方が好ましい。そして、タイマ部１１６は、休止期間が終了すると、その旨を休止非端処理部１１５に通知し、休止非端処理部１１５は、この通知を受けると、休止期間が終了した休止対象の追跡メッセージに関する各情報を登録しているレコードを追跡Ｍ休止テーブル３０及び非端フラグテーブル４０から削除する。
【００７０】
次に、休止非端処理部１１５は、時計部１１７より現在時刻を取得する（Ｓ２２）。次に、休止非端処理部１１５は、広告メッセージ生成部１１８の広告フラグを広告要求にセットして、休止情報を広告メッセージ生成部１１８に通知する（Ｓ２３）。
【００７１】
次に、休止非端処理部１１５は、当該追跡メッセージに対応する非端ジェネレータメッセージが送信要求であるか否かを判断する（Ｓ２４）。より具体的には、本実施形態では、休止非端処理部１１５は、当該追跡メッセージに対応するレコードを追跡Ｍ休止テーブル３０から検索し、検索したレコードにおけるインデックスフィールド３０１よりインデックスを取得する。そして、休止非端処理部１１５は、この取得したインデックスを非端フラグテーブル４０から検索し、検索したレコードにおける非端フラグフィールド４０２より非端フラグを取得して、非端フラグが送信要求状態を示しているか否か、即ち、非端フラグが「１」であるか否かを判断する。
【００７２】
判断の結果、非端ジェネレータメッセージの送信要求ではない場合（ＮＯ）、即ち、非端ジェネレータメッセージの送信要求解除又は送信済みである場合には、休止非端処理部１１５は、休止非端処理を終了する。一方、判断の結果、非端ジェネレータメッセージの送信要求である場合（ＹＥＳ）には、休止非端処理部１１５は、時計部１１７から現在時刻を取得し、当該追跡メッセージに対応する非端ジェネレータメッセージを生成し（Ｓ２５）、送信すべくルーティング部１０２に出力する（Ｓ２６）。ルーティング部１０２は、この非端ジェネレータメッセージをルーティングテーブルに基づいてルーティングし、通信インターフェース部２３に出力し、通信インターフェース部２３は、非端ジェネレータメッセージをネットワーク１に送出する。
【００７３】
次に、休止非端処理部１１５は、非端ジェネレータメッセージの送信済みを記録すべく、当該追跡メッセージに対応する非端フラグを送信済みにセットし、即ち、非端フラグを「２」にセットし（Ｓ２７）、この休止非端処理を終了する。
【００７４】
このように休止非端処理部１１５は、受信した通信パケットが追跡メッセージであるか否かを監視し、追跡メッセージである場合には、追跡メッセージの送信を休止すべく、休止処理を行う。このため、追跡対象が同種の通信パケットに対する追跡メッセージの生成、送信が抑制され、ネットワーク１全体の管理トラフィックを抑制することができる。そして、休止情報をネットワーク１に広告すべく広告メッセージ生成部１１８の広告フラグがセットされる。また、発信源の攻撃側端末装置２に最も近いルータ装置１１のみから追跡メッセージが送信され続けるので、追跡装置２０は、このようなルータ装置１１を迅速に精度よく探索し得るから、背景技術の場合よりも短期間で発信源を追跡し得ることが期待できる。
【００７５】
そして、休止非端処理部１１５は、非端ジェネレータメッセージを送信していない場合には、非端ジェネレータメッセージを送信するので、追跡装置２０は、この非端ジェネレータメッセージを受信することによって、発信源を探索する際に非端ジェネレータメッセージを送信したルータ装置１１を考慮する必要がなくなるから、解析対象から外すことができ、発信源の追跡をより容易に、より効率的に、より高速に行うことができる。
【００７６】
次に、追跡メッセージを生成する所定の確率を調整する調整処理について説明する。図７は、実施形態に係る発信源追跡情報提供装置を備えるルータ装置における調整処理を示すフローチャートである。
【００７７】
図７において、ルーティング部１０２から同報通信の通信パケットが通知されると（Ｓ３１）、確率調整部１１３は、この通信パケットが広告メッセージ識別子を収容するか否かを判断することによって広告メッセージであるか否かを判断する（Ｓ３２）。
【００７８】
判断の結果、広告メッセージではない場合（ＮＯ）には、確率調整部１１３は、この通信パケットを破棄し、この調整処理を終了する。一方、判断の結果、広告メッセージである場合（ＹＥＳ）には、確率調整部１１３は、この広告メッセージが自己よりも通信上上流側から送信されたか否かを判断する（Ｓ３３）。この判断は、例えば、通信インターフェース部２３における受信側のインターフェース部及び送信側のインターフェース部ごとに追跡対象の通信パケットの送信元ＭＡＣアドレスを送信元ＭＡＣ履歴情報として記憶しておくことにより、広告メッセージを受信した場合にこの広告メッセージの送信元ＭＡＣアドレスが通信インターフェース部２３における受信側のインターフェース部の送信元ＭＡＣアドレス履歴情報に含まれている場合には、通信上上流側であると判断される。また例えば、この判断は、確率調整部１１３が犠牲側端末装置３へトレースルート（経路探索）を行って、トレースルートの結果に広告メッセージの送信元のＩＰアドレスが含まれているか否かを判断することによって行われる。トレースルートの結果に広告メッセージの送信元のＩＰアドレスが含まれていない場合には、通信上上流側であると判断され、トレースルートの結果に広告メッセージの送信元のＩＰアドレスが含まれている場合には、通信上下流側であると判断される。この判断を行うために、ルータ装置１１は、犠牲側端末装置３のＩＰアドレスを知っておく必要があり、例えば、ユーザが犠牲側端末装置３のＩＰアドレスをネットワーク１の各ルータ装置１１に設定してもよく、また例えば、追跡装置２０が犠牲側端末装置３のＩＰアドレスをネットワーク１の各ルータ装置１１に同報通信等によって広告してもよい。
【００７９】
判断の結果、通信上下流側である場合（ＮＯ）には、確率調整部１１３は、この通信パケットを破棄し、この調整処理を終了する。一方、判断の結果、通信上上流側である場合（ＹＥＳ）には、確率調整部１１３は、この広告メッセージから調整情報を取り出し、この調整情報に基づいて自己の追跡メッセージを生成する所定の確率を調整する（Ｓ３４）。
【００８０】
この調整は、広告メッセージに確率情報のみが含まれている場合には、確率調整部１１３は、所定の期間（確率調整期間）だけ自己の所定の確率を下げたり、又は、広告メッセージの確率情報が示す確率が自己の所定の確率以下である場合に自己の現在における所定の確率を維持する。確率調整期間は、任意であるが、攻撃の監視を強化する場合には例えば１０分や２０分のように比較的短い期間に設定され、攻撃の監視を緩和する場合には例えば１時間や２時間のように比較的長い期間に設定される。
【００８１】
そして、広告メッセージに休止情報のみが含まれている場合には、確率調整部１１３は、休止情報が示す休止期間の終了時刻まで自己の所定の確率を下げたり、又は、そのまま維持したりする。例えば、休止期間の所定の確率を０とした場合に広告メッセージの確率情報が示す確率が０であるならば、自己の所定の確率を０近くまで下げたり、又は、そのまま維持したりする。
【００８２】
また、広告メッセージに確率情報と休止情報とが含まれている場合には、確率調整部１１３は、広告メッセージの確率情報が示す確率が自己の所定の確率よりも高い場合には休止情報が示す休止期間の終了時刻まで自己の所定の確率を下げ、広告メッセージの確率情報が示す確率が自己の所定の確率以下である場合には自己の現在における所定の確率を維持する。
【００８３】
次に、確率調整部１１３は、調整した所定の確率で確率イベントを確率イベント発生部１１２に発生させるべく、調整後の所定の確率を確率イベント発生部１１２に通知する（Ｓ３５）。
【００８４】
次に、確率調整部１１３は、広告メッセージ生成部１１８の広告フラグを広告要求にセットして、確率情報を広告メッセージ生成部１１８に通知し（Ｓ３６）、この調整処理を終了する。
【００８５】
確率調整部１１３は、広告メッセージの調整情報（確率情報及び／又は休止情報）に基づいて自己の追跡メッセージを生成する所定の確率を上述のように調整するので、攻撃側端末装置２に通信上の距離が近いルータ装置１１は、追跡メッセージを生成する所定の確率がデフォルト値で維持され、攻撃側端末装置２に通信上の距離が遠いルータ装置１１は、追跡メッセージを生成する所定の確率がデフォルト値よりも小さくされる。このため、ネットワーク１における管理トラフィックは、少なくなるので、ネットワーク１における全ルータ装置１１における所定の確率のデフォルト値を背景技術の場合に較べて高くすることができる。従って、攻撃の監視を強化することができる。また、発信源の追跡では、攻撃側端末装置２の周辺のルータ装置１１が分かればよいので、このように通信上下流側のルータ装置１１における所定の確率が低下しても問題とならない。
【００８６】
次に、追跡メッセージの送信処理について説明する。図８は、実施形態に係る発信源追跡情報提供装置を備えるルータ装置における追跡メッセージの送信処理を示すフローチャートである。
【００８７】
確率イベント発生部１１２は、通信インターフェース部２３のインターフェース部ごとに所定の確率で追跡メッセージを生成して送信すべく、確率調整部１１３から指示された所定の確率で確率イベントを追跡メッセージ生成部１１１に通知する。
【００８８】
図８において、確率イベント発生部１１２から確率イベントが通知されると（Ｓ４１）、中央処理部２１の追跡メッセージ生成部１１１は、追跡メッセージの送信処理を開始し、通信パケットが取り込まれた物理層Ｉ／Ｆ部１３１の識別番号を取得し、取り込まれた通信パケットを追跡メッセージの追跡対象とする（Ｓ４２）。
【００８９】
次に、追跡メッセージ生成部１１１は、取得した通信パケットを追跡対象とした追跡メッセージが追跡Ｍ休止テーブル３０に登録されているか否かを判断する（Ｓ４３）。より具体的には、本実施形態では、追跡メッセージ生成部１１１は、取得した当該通信パケットの送信元ＩＰアドレス及び送信先ＩＰアドレスが、１個のレコードにおける、追跡Ｍ休止テーブル３０の送信元ＩＰフィールド３０５及び送信先ＩＰフィールド３０６にそれぞれ登録されているレコードがあるか否かを判断する。このようなレコードがある場合には、当該通信パケットを追跡対象とした追跡メッセージを過去に受信したと判断し、このようなレコードがない場合には、当該通信パケットを追跡対象とした追跡メッセージを過去に受信していないと判断する。
【００９０】
判断の結果、追跡Ｍ休止テーブル３０に登録されていない場合（ＮＯ）には、追跡メッセージ生成部１１１は、当該通信パケットを追跡対象とする追跡メッセージを生成して、送信すべくルーティング部１０２に出力し（Ｓ４４）、追跡メッセージの送信処理を終了する。ルーティング部１０２は、この追跡メッセージをルーティングテーブルに基づいてルーティングし、通信インターフェース部２３に出力し、通信インターフェース部２３は、追跡メッセージをネットワーク１に送出する。
【００９１】
このような処理を実行することによって、この取得された通信パケットを追跡対象とする追跡メッセージが過去に受信されていない場合には、この通信パケットを追跡対象とする追跡メッセージが所定の確率で生成されネットワーク１に送出される。
【００９２】
処理Ｓ４３における判断の結果、追跡Ｍ休止テーブル３０に登録されている場合（ＹＥＳ）には、追跡メッセージ生成部１１１は、当該通信パケットに対応する休止フラグ（当該通信パケットの送信元ＩＰアドレス及び送信先ＩＰアドレスが登録されている追跡Ｍ休止テーブル３０のレコードにおける休止フラグ）が「１」にセットされているか否かを判断する（Ｓ５１）。
【００９３】
判断の結果、休止フラグが「１」にセットされていない場合（ＮＯ）には、即ち、休止フラグが「０」にリセットされている場合には、休止期間ではないので、追跡メッセージ処理部１１２は、処理Ｓ４４を実行する。即ち、追跡メッセージ処理部１１２は、当該通信パケットを追跡対象とする追跡メッセージを生成して送信する。
【００９４】
一方、判断の結果、休止フラグが「１」にセットされている場合（ＹＥＳ）には、休止期間であるため、追跡メッセージの生成を休止する。
【００９５】
このような処理を実行することによって、所定の確率で取得された通信パケットを追跡対象とする追跡メッセージが過去に受信されている場合であって、休止期間である場合には、この通信パケットを追跡対象とする追跡メッセージの生成が止められる。従って、所定の確率になったとしても追跡メッセージは、生成されず、ネットワーク１に送出されることもない。よって、同一の追跡メッセージの生成、送信が禁止され、ネットワーク１全体の管理トラフィックを抑制することができる。そのため、追跡メッセージを生成、送信する所定の確率を背景技術の場合よりも高く設定することができる。
【００９６】
次に、追跡メッセージ生成部１１１は、当該通信パケットを追跡対象とする追跡メッセージに対応する非端ジェネレータメッセージが送信済みであるか否かを判断する（Ｓ５２）。
【００９７】
判断の結果、非端ジェネレータメッセージが送信済みである場合（ＹＥＳ）には、追跡メッセージ生成部１１１は、追跡メッセージの送信処理を終了する。一方、判断の結果、非端ジェネレータメッセージが送信済みではない場合（ＮＯ）には、即ち、送信要求状態又は送信要求解除状態である場合には、追跡メッセージ生成部１１１は、非端ジェネレータメッセージを送信させるべく、非端フラグを送信要求に設定し、即ち、非端フラグを「１」にセットし（Ｓ５３）、追跡メッセージの送信処理を終了する。
【００９８】
このような処理を実行することによって、当該通信パケットを追跡対象とする追跡メッセージに対応する非端ジェネレータメッセージが１度だけ送信される。
【００９９】
次に、広告メッセージの送信処理について説明する。図９は、実施形態に係る発信源追跡情報提供装置を備えるルータ装置における広告メッセージの送信処理を示すフローチャートである。
【０１００】
図９において、広告メッセージ生成部１１８は、広告メッセージの送信タイミングになると（Ｓ６１）、広告フラグが広告要求であるか否かを判断する（Ｓ６２）。送信タイミングは、例えば、確率調整部１１３から確率情報が通知されたタイミングや休止非端処理部１１５から休止情報が通知されたタイミング等である。
【０１０１】
判断の結果、広告不要である場合（ＮＯ）には、広告メッセージ生成部１１８は、広告メッセージの送信処理を終了する。一方、判断の結果、広告要求である場合（ＹＥＳ）には、広告メッセージ生成部１１８は、広告メッセージを生成し（Ｓ６３）、送信すべくルーティング部１０２に出力する（Ｓ６４）。広告メッセージの生成の際に、確率調整部１１３から確率情報のみが通知されている場合にはこの確率情報に基づいて広告メッセージが生成され、休止非端処理部１１５から休止情報のみが通知されている場合にはこの休止情報に基づいて広告メッセージが生成され、そして、確率情報及び休止情報の両情報がそれぞれから通知されている場合には確率情報及び休止情報に基づいて広告メッセージが生成される。
【０１０２】
ルーティング部１０２は、この非端ジェネレータメッセージをルーティングテーブルに基づいてルーティングし、通信インターフェース部２３に出力し、通信インターフェース部２３は、非端ジェネレータメッセージをネットワーク１に送出する。
【０１０３】
広告メッセージの送信に新たな通信プロトコルを開発してもよいが、既存の通信プロトコルを利用することもできる。この場合、処理Ｓ６１の送信タイミングは、利用する通信プロトコルにおけるメッセージの生成・送信タイミングであり、処理Ｓ６３の広告メッセージの生成は、確率情報及び／又は休止情報を収容する拡張部を生成し、この拡張部を利用する既存の通信プロトコルのメッセージに結合させることになる。
【０１０４】
この既存の通信プロトコルとしては、アドレス解決プロトコル（Address Resolution Protocol、以下「ＡＲＰ」と略記する。）、ＩＰｖ６における近隣探索プロトコル（Neighbor Discovery Protocol、以下「ＮＤＰ」と略記する。）のルータ広告（Router Advertisement、以下「ＲＡ」と略記する。）及びルーティング・インフォーメーション・プロトコル・バージョン１（Router Information Protocol version 1、以下「ＲＩＰｖ１」と略記する。）等を利用することができる。
【０１０５】
まず、ＡＲＰを利用する場合について説明する。ＡＲＰは、ＲＦＣ８２６で定義されている通信プロトコルであり、ＩＰアドレスを物理アドレス（物理層の通信アドレス）、本実施形態ではＭＡＣアドレスに解決するプロトコルである。
【０１０６】
一般に、ＩＰパケットを送信する際に、ＡＲＰは、まず、宛先のＩＰアドレスに対応する物理アドレスがメモリにキャッシュされているか否かを判断する。キャッシュされている場合にはその物理アドレスを使用してＩＰパケットを送信する。一方、キャッシュされてない場合には、ＡＲＰは、宛先のＩＰアドレス（ターゲットＩＰアドレス）と送信元のＩＰアドレスと送信元の物理アドレスとを収容する要求パケットをブロードキャストで送信する。このブロードキャストで送信された要求パケットを受信した各ノードは、自己のＩＰアドレスがこの要求パケットにおけるターゲットＩＰアドレスに一致するか否かを調べ、一致しない場合は要求パケットを破棄する一方、一致する場合は自己の物理アドレスをセットした応答パケットを返信する。これによって、要求パケットを送信したノードは、宛先のＩＰアドレスに対応する物理アドレスを取得することができ、ＩＰパケットを送信することができる。そして、ブロードキャストされる要求パケットの数を抑えるために、この宛先のＩＰアドレスに対応する物理アドレスは、有効期限付きでメモリにキャッシュされる。このキャッシュされた物理アドレスは、２分以内に再使用されない場合にはキャッシュから削除され、２分以内に再使用された場合には有効期限が２分間延長される。繰り返し使用される物理アドレスの有効期限は、２分ずつ延長され、最高１０分まで延長される。そして、有効期限が過ぎると、物理アドレスは、削除される。
【０１０７】
本実施形態では、このようなＡＲＰの要求パケットにおける空きフィールドに広告メッセージに収容されるべき情報が収容され、ＡＲＰの要求パケットとして広告メッセージがネットワーク１にブロードキャストで広告される。
【０１０８】
図１０は、ＡＲＰを利用する場合の広告メッセージのフォーマットを示す図である。図１０において、ＡＲＰを利用する場合の広告メッセージ５００は、ＡＲＰの要求パケットに収容される各情報を収容する従来部５０１と、広告メッセージに収容される各情報を収容する拡張部５０２とを備えて構成される。この拡張部５０２は、広告メッセージ識別子を収容する広告メッセージ識別子部５１１と、タイムスタンプを収容するタイムスタンプ部５１２と、広告メッセージの送信元のＩＰアドレスを収容する送信元ＩＰアドレス部５１３と、休止期間リスト情報を収容する休止期間リスト情報部５１４と、休止ＩＦリスト情報を収容する休止ＩＦリスト情報部５１５と、確率情報を収容する確率情報部５１６とを備える。そして、休止期間リスト情報部５１４と休止ＩＦリスト情報部５１５とを備えて、休止情報を収容する休止情報部５０６が構成される。
【０１０９】
次に、ＩＰｖ６におけるＮＤＰのＲＡを利用する場合について説明する。ＮＤＰのＲＡは、ＲＦＣ２４６１で定義されているプロトコルであり、ＩＰｖ６のネットワークにおける各ノード（通常、端末装置）が自分でＩＰｖ６アドレスを生成するために必要な情報やデフォルトルートをルータ装置が配布するプロトコルである。
【０１１０】
ＮＤＰのＲＡは、ＩＰｖ６アドレスのプレフィックス部を収容するルータ広告メッセージをマルチキャストで定期的にあるいはルータ要請（Router Solicitation）メッセージに対する応答としてネットワークに送信する。このルータ広告メッセージを受信した各ノードは、固有のインターフェースＩＤ部と受信したプレフィックス部とに基づいてノードのＩＰｖ６アドレスを生成する。そして、各ノードは、受信したＲＡにおける送信元のＩＰｖ６アドレスを自ノードのデフォルトルートとして設定する。
【０１１１】
本実施形態では、このようなＮＤＰのＲＡにおけるルータ広告メッセージにおける空きフィールドに広告メッセージに収容されるべき情報が収容され、ＮＤＰのＲＡにおけるルータ広告メッセージとして広告メッセージがネットワーク１にマルチキャストで広告される。
【０１１２】
図１１は、ＮＤＰのＲＡを利用する場合の広告メッセージのフォーマットを示す図である。図１１において、ＮＤＰのＲＡを利用する場合の広告メッセージ６００は、ＭＡＣヘッダ部６０３、ＩＰｖ６ヘッダ部６０４、及び、ＮＤＰのＲＡにおけるルータ広告メッセージに収容される各情報を収容するＩＣＭＰヘッダ部６０５を備える従来部６０１と、広告メッセージに収容される各情報を収容する拡張部６０２とを備えて構成される。この拡張部６０２は、広告メッセージ識別子を収容する広告メッセージ識別子部６１１と、タイムスタンプを収容するタイムスタンプ部６１２と、広告メッセージの送信元のＩＰアドレスを収容する送信元ＩＰアドレス部６１３と、休止期間リスト情報を収容する休止期間リスト情報部６１４と、休止ＩＦリスト情報を収容する休止ＩＦリスト情報部６１５と、確率情報を収容する確率情報部６１６とを備える。そして、休止期間リスト情報部６１４と休止ＩＦリスト情報部６１５とを備えて、休止情報を収容する休止情報部６０６が構成される。
【０１１３】
そして、ＲＩＰｖ１を利用する場合について説明する。ＲＩＰｖ１は、ＲＦＣ１０５８で定義されている通信プロトコルであり、ディスタンス・ベクタ・アルゴリズムに基づいて経路情報を動的に学習して管理するルーティング・プロトコルの一つである。
【０１１４】
ＲＩＰｖ１では、ルータ装置は、起動時に、完全な経路情報を求めるＲＩＰの要求パケットをＵＤＰ（User Datagram Protocol）の５２０番ポートへブロードキャストでネットワークに送信する。このＲＩＰの要求パケットを受信したルータ装置は、各経路のメトリックを適切に設定しつつ経路情報をＲＩＰの応答パケットで返信する。また、ネットワークの各ルータ装置は、３０秒ごとにＲＩＰの応答パケットをブロードキャストで送信する。各経路には、タイムアウト値が設定されており、３分以上更新されない経路については、メトリックが１６（到達不能を示す）に設定され、さらに６０秒後に削除される。
【０１１５】
本実施形態では、このようなＲＩＰｖ１の３０秒ごとにブロードキャストされる応答パケットにおける空きフィールドに広告メッセージに収容されるべき情報が収容され、ＲＩＰｖ１の応答パケットとして広告メッセージがネットワーク１にブロードキャストで広告される。
【０１１６】
図１２は、ＲＩＰｖ１を利用する場合の広告メッセージのフォーマットを示す図である。図１２において、ＲＩＰｖ１を利用する場合の広告メッセージ７００は、ＭＡＣヘッダ部７０３、ＩＰｖ４ヘッダ部７０４及びＲＩＰのヘッダ部７０５を備える従来部７０１と、広告メッセージに収容される各情報を収容する拡張部７０２とを備えて構成される。この拡張部７０２は、広告メッセージ識別子を収容する広告メッセージ識別子部７１１と、タイムスタンプを収容するタイムスタンプ部７１２と、広告メッセージの送信元のＩＰアドレスを収容する送信元ＩＰアドレス部７１３と、休止期間リスト情報を収容する休止期間リスト情報部７１４と、休止ＩＦリスト情報を収容する休止ＩＦリスト情報部７１５と、確率情報を収容する確率情報部７１６とを備える。そして、休止期間リスト情報部７１４と休止ＩＦリスト情報部７１５とを備えて、休止情報を収容する休止情報部７０６が構成される。拡張部７０２は、ＲＩＰのヘッダ部７０５に続くデータ部に収容されるが、ＲＩＰｖ１では、一つのルーティング・テーブルをこのデータ部に２０バイト（ｂｙｔｅ）単位で収容するため、拡張部７０２も２０ｂｙｔｅである必要がある。
【０１１７】
ここで、上述の実施形態では、追跡メッセージ（不審追跡メッセージを含む）及び非端メッセージは、追跡対象の通信パケットにおける送信先へＩＣＭＰメッセージを用いて送信した。同報通信（ブロードキャスト及びマルチキャスト）されてしまうが、これら追跡メッセージ（不審追跡メッセージを含む）及び非端メッセージを上述のＡＲＰ、ＮＤＰのＲＡ及びＲＩＰｖ１の何れかの通信プロトコルを用いて送信してもよい。
【０１１８】
図１３は、追跡メッセージ（不審追跡メッセージを含む）のフォーマットを示す図である。図１４は、非端ジェネレータメッセージのフォーマットを示す図である。
【０１１９】
この場合において、図１３に示すように、追跡メッセージ（不審追跡メッセージを含む）８００は、図１０に示すＡＲＰの従来部５０１、図１１に示すＮＤＰの従来部６０１及び図１２に示すＲＩＰｖ１の従来部７０１の何れかの従来部から成る従来部８０１と、追跡メッセージに収容される各情報を収容する追跡Ｍ拡張部８０２とを備えて構成される。この追跡Ｍ拡張部８０２は、追跡メッセージ識別子を収容する追跡メッセージ識別子部８１１と、タイムスタンプを収容するタイムスタンプ部８１２と、追跡メッセージの送信元のＩＰアドレスを収容する送信元ＩＰアドレス部８１３と、追跡メッセージの追跡対象である通信パケットにおける送信元のＩＰアドレスを収容する追跡対象送信元ＩＰアドレス部８１４と、追跡メッセージの追跡対象である通信パケットにおける送信先のＩＰアドレスを収容する追跡対象送信先ＩＰアドレス部８１５と、不審フラグを収容する不審フラグ部８１６とを備えて構成される。なお、タイムスタンプ部８１２、送信元ＩＰアドレス部８１３、追跡対象送信元ＩＰアドレス部８１４及び追跡対象送信先ＩＰアドレス部８１５を備えて、追跡情報を収容する追跡情報部８０６が構成される。
【０１２０】
ここで、追跡メッセージ生成部１１１は、不審フラグを「０」にセットして追跡メッセージを生成し、不審処理部１２０は、不審フラグを「１」にセットして不審追跡メッセージを生成する。
【０１２１】
また、この場合において、図１４に示すように、非端ジェネレータメッセージ９００は、図１０に示すＡＲＰの従来部５０１、図１１に示すＮＤＰの従来部６０１及び図１２に示すＲＩＰｖ１の従来部７０１の何れかの従来部から成る従来部８０１と、非端ジェネレータメッセージに収容される各情報を収容する非端ジェネレータメッセージ拡張部（以下、「非端ＧＭ拡張部」と略記する。）９０２とを備えて構成される。この非端ＧＭ拡張部９０２は、非端ジェネレータメッセージ識別子を収容する非端ジェネレータメッセージ識別子部９１１と、タイムスタンプを収容するタイムスタンプ部９１２と、非端ジェネレータメッセージの送信元のＩＰアドレスを収容する送信元ＩＰアドレス部９１３と、非端ジェネレータメッセージの対象である通信パケットにおける送信元のＩＰアドレス（即ち、非端ジェネレータメッセージに対応する追跡メッセージの追跡対象である通信パケットにおける送信元のＩＰアドレス）を収容する非端対象送信元ＩＰアドレス部９１４と、非端ジェネレータメッセージの対象である通信パケットにおける送信先のＩＰアドレス（即ち、非端ジェネレータメッセージに対応する追跡メッセージの追跡対象である通信パケットにおける送信先のＩＰアドレス）を収容する非端対象送信先ＩＰアドレス部９１５と、非端ジェネレータフラグを収容する非端ジェネレータフラグ部９１６とを備えて構成される。なお、タイムスタンプ部９１２、送信元ＩＰアドレス部９１３、非端対象送信元ＩＰアドレス部９１４、非端対象送信先ＩＰアドレス部９１５及び非端ジェネレータフラグ部９１６を備えて、非端ジェネレータ情報を収容する非端ジェネレータ情報部９０６が構成される。
【０１２２】
なお、上述の実施形態では、非端ジェネレータメッセージを１度送信すると送信済み状態に送信フラグが設定されるので、非端ジェネレータメッセージは、対応する追跡メッセージに対しルータ装置１１において１度だけ送信される。このため、ネットワーク１の管理トラフィックを低減する観点から優れているが、対応する追跡メッセージに対しルータ装置１１において非端ジェネレータメッセージを複数回生成し、送信するように構成してもよい。
【０１２３】
この場合には、非端フラグを送信要求状態と送信要求解除状態との２状態を示すように構成し、図６の処理Ｓ２７で非端フラグを送信済み状態にセットする代わりに送信要求解除状態にセットし、図８の処理Ｓ５２の判断処理を無くして処理Ｓ５３を実行するように構成すればよい。あるいは、非端フラグを無くして図６の処理Ｓ２４乃至処理Ｓ２７を削除し、処理Ｓ１９乃至処理Ｓ２１の休止処理に続けて、非端ジェネレータメッセージを生成して送信する処理を行うように構成すればよい。
【０１２４】
ここで、上述の実施形態では、休止期間は、デフォルト値で一定であるが、休止期間を追跡メッセージの受信頻度に応じて増減するように構成してもよい。例えば、追跡メッセージの受信頻度が多いほど休止期間を拡大し、追跡メッセージの受信頻度が少ないほど休止期間を縮小するように構成してもよい。
【０１２５】
あるいは、休止期間をセットする前に、一定の時間内における追跡メッセージの個数をカウントし、カウント数に応じた線形な比率で、または、指数的な比率で休止期間を増減するように構成してもよい。
【０１２６】
あるいは、追跡メッセージを送出したルータ装置１１から自己までにおける通信上の距離に応じて、当該追跡メッセージの休止期間の長さを決めるように構成してもよい。この通信上の距離は、例えば、追跡メッセージのＴＴＬが初期値からどのくらい減っているかによって検出され得る。この場合、減算結果が小さいほど追跡メッセージを送信したルータ装置１１と自己との通信上の距離は、近い。例えば、ＴＴＬの初期値が「２５５」である場合に、追跡メッセージのＴＴＬが「２３７」である場合には、通信上の距離は、２５５−２３７＝１８と計算される。また例えば、この通信上の距離は、ルータ装置１１が追跡メッセージの送信元宛てに所謂ピングを送信してその応答を得ることによって、その送信時刻から応答時刻までの時間（Round Trip Time、ＲＴＴ）を計測することによって検出され得る。この場合、計測時間が小さいほど追跡メッセージを送信したルータ装置１１と自己との通信上の距離は、近い。また例えば、この通信上の距離は、伝送路が無線媒体である場合には、追跡メッセージの受信強度を計測することによって検出され得る。この場合、受信強度が大きいほど追跡メッセージを送信したルータ装置１１と自己との通信上の距離は、近い。
【０１２７】
さらに、上述の実施形態では、追跡メッセージの休止は、通信上上流側のルータ装置１１から１回の追跡メッセージを受信すると直ちに休止するように構成したが、所定の一定時間内に所定の回数の追跡メッセージを受信した場合に、休止するように構成してもよい。このように構成することによって所定の一定期間内に受信される同一の追跡メッセージの量によって追跡メッセージの生成を休止するから、所謂Ｄｏｓ攻撃等の一定期間内に集中的に通信パケットを送信する攻撃に対して管理トラフィックを効率的に抑制することができる。そして、このような攻撃を仕掛けた攻撃側端末装置３に通信上最も近いルータ装置１１のみが追跡メッセージを送信し続けるので、精度よく発信源の端末装置を追跡することができる。
【０１２８】
また、上述した実施形態では、各物理層Ｉ／Ｆ部１３１−０〜１３１−ｎがそれぞれ独立して動作するものであり、攻撃が１個の端末装置から行われる場合に有効である。ここで、攻撃は、所謂踏み台等によって複数の端末装置から行われる場合もある。このような場合に、ルータ装置１１は、複数の物理層Ｉ／Ｆ部１３１を連係動作させ、追跡メッセージの生成を休止するように構成してもよい。例えば、ルータ装置１１は、送信先のＩＰアドレスの等しい通信パケットを追跡対象とする追跡メッセージ（送信先が同一の追跡メッセージ）が送信される物理層Ｉ／Ｆ部１３１を除く残部の全ての物理層Ｉ／Ｆ部１３１から当該追跡メッセージが受信されている場合に、追跡メッセージの生成を休止するように構成する。
【０１２９】
ここで、複数の端末装置が攻撃する場合において、攻撃側端末装置２がスタブルータ装置のホスト群内にある場合がある。スタブルータ装置（末端ルータ装置）は、ハブ（Hub）ルータ装置に接続されるルータ装置である。従って、スタブルータ装置のホスト群からの通信パケットは、スタブルータ装置を介してハブルータ装置へルーティングされ、そして、スタブルータ装置のホスト群への通信パケットは、スタブルータ装置を介してこのハブルータ装置からルーティングされて来る。図１に示す例では、例えば、スタブルータ装置は、ルータ装置１１−１、１１−６、１１−７等であり、ハブルータ装置は、ルータ装置１１−２、１１−３等である。このスタブルータ装置から送出される追跡メッセージは、追跡装置２０が発信源を探索する場合にホスト群が特定されるので、発信源の探索の精度を向上させることができる。そのため、複数の物理層Ｉ／Ｆ部１３１を連係動作させる場合に、このスタブルータ装置から追跡メッセージを受信する物理層Ｉ／Ｆ部１３１を連係動作から外すことが好ましい。ルータ装置１１がスタブルータ装置であるか否かは、例えば、ＯＳＰＦ（Open Shortest Path First）等のＳｔｕｂ  Ｒｏｕｔｅｒ  ＡｄｖｅｒｔｉｓｅｍｅｎｔプロトコルやＬｉｎｋ  Ｓｔａｔｅ  Ａｄｖｅｒｔｉｓｅｍｅｎｔの情報から検出することができる。
【０１３０】
さらに、上述の実施形態では、正当性判断情報にネットワーク上の論理的距離を用いたが、正当性判断情報に受信確認応答を用いてもよい。正当性の判断方法は、次のように行われる。図５の処理Ｓ１３において、正当性判断情報取得部１１４は、追跡メッセージ検出部１１０が検出した追跡メッセージの追跡対象である通信パケットにおける送信元へ受信確認を返信させる指示を含む通信パケットを送信し、その受信確認応答の返信を待つ。そして、図５の処理Ｓ１４において、正当性判断部１１９は、受信確認応答が返信されない場合に、この追跡メッセージが正当ではないと判断し、受信確認応答が返信された場合に、この追跡メッセージが正当であると判断することによって、正当な追跡メッセージであるか否かを判断する。追跡メッセージの追跡対象である通信パケットにおける送信元が攻撃側端末装置２ではない場合には、通常、受信確認応答を返信することから、追跡メッセージの正当性を判断することができる。正当性判断情報の取得方法は、例えば、追跡メッセージ検出部１１０が検出した追跡メッセージの追跡対象である通信パケットにおける送信元に対してトレースルートコマンドやピングコマンドを実行する。
【０１３１】
そして、正当性判断情報にルータ装置１１のＩＰアドレスを用いてもよい。正当性の判断方法は、次のように行われる。図５の処理Ｓ１３において、正当性判断情報取得部１１４は、追跡メッセージ検出部１１１が検出した追跡メッセージの追跡対象である通信パケットにおける送信元まで経路情報をネットワーク１から取得する。そして、図５の処理Ｓ１４において、正当性判断部１１９は、追跡メッセージ検出部１１０が検出した追跡メッセージを生成して送信したルータ装置１１のＩＰアドレスが、正当性判断情報取得部１１４が取得した経路情報に存在しない場合に、この追跡メッセージが正当ではないと判断し、追跡メッセージ検出部１１０が検出した追跡メッセージを生成して送信したルータ装置１１のＩＰアドレスが、正当性判断情報取得部１１４が取得した経路情報に存在する場合に、この追跡メッセージが正当であると判断することによって、正当な追跡メッセージであるか否かを判断する。このように判断することによって、追跡メッセージの正当性を判断することができるのは、追跡対象の通信パケットが送信元を詐称していなければ、追跡対象の通信パケットは、追跡メッセージを生成して送信したルータ装置１１によってルーティングされるからである。そして、正当性判断情報の取得方法は、例えば、追跡メッセージ検出部１１１が検出した追跡メッセージの追跡対象である通信パケットにおける送信元に対してトレースルートコマンドを実行することによって、その結果からこの送信元までの通信経路上におけるルータ装置１１のＩＰアドレスを取得することができる。
【図面の簡単な説明】
【０１３２】
【図１】実施形態に係る発信源追跡情報提供装置を備えるルータ装置の適用されたネットワークを示す図である。
【図２】実施形態に係る発信源追跡情報提供装置を備えるルータ装置の構成を示すブロック図である。
【図３】追跡メッセージ休止テーブルの構成を示す図である。
【図４】非端フラグテーブルの構成を示す図である。
【図５】実施形態に係る発信源追跡情報提供装置を備えるルータ装置における休止非端処理を示すフローチャート（その１）である。
【図６】実施形態に係る発信源追跡情報提供装置を備えるルータ装置における休止非端処理を示すフローチャート（その２）である。
【図７】実施形態に係る発信源追跡情報提供装置を備えるルータ装置における調整処理を示すフローチャートである。
【図８】実施形態に係る発信源追跡情報提供装置を備えるルータ装置における追跡メッセージの送信処理を示すフローチャートである。
【図９】実施形態に係る発信源追跡情報提供装置を備えるルータ装置における広告メッセージの送信処理を示すフローチャートである。
【図１０】ＡＲＰを利用する場合の広告メッセージのフォーマットを示す図である。
【図１１】ＮＤＰのＲＡを利用する場合の広告メッセージのフォーマットを示す図である。
【図１２】ＲＩＰｖ１を利用する場合の広告メッセージのフォーマットを示す図である。
【図１３】追跡メッセージ（不審追跡メッセージを含む）のフォーマットを示す図である。
【図１４】非端ジェネレータメッセージのフォーマットを示す図である。
【符号の説明】
【０１３３】
１  ネットワーク
２〜６  端末装置
１１  ルータ装置
１２  ホスト群
２１  中央処理部
２２  記憶部
２３  通信インターフェース部
１１０  追跡メッセージ検出部
１１１  追跡メッセージ生成部
１１２  確率イベント発生部
１１３  確率調整部
１１４  正当性判断情報取得部
１１５  休止非端処理部
１１６  タイマ部
１１７  時計部
１１８  広告メッセージ生成部
１１９  正当性判断部
１２０  不審処理部
１２１  追跡メッセージ休止テーブル記憶部
１２２  非端フラグテーブル記憶部
３０２  入力インターフェースフィールド
３０３  出力インターフェースフィールド
３０６  送信先ＩＰフィールド
３０７  休止フラグフィールド
４０２  非端フラグフィールド
【図１】
2005341112.tif 000003
【図２】
2005341112.tif 000004
【図３】
2005341112.tif 000005
【図４】
2005341112.tif 000006
【図５】
2005341112.tif 000007
【図６】
2005341112.tif 000008
【図７】
2005341112.tif 000009
【図８】
2005341112.tif 000010
【図９】
2005341112.tif 000011
【図１０】
2005341112.tif 000012
【図１１】
2005341112.tif 000013
【図１２】
2005341112.tif 000014
【図１３】
2005341112.tif 000015
【図１４】
2005341112.tif 000016