(57)【要約】【課題】  本発明は、通信網全体の管理トラフィックの総量を減らしつつ、所定の確率を高く設定し得る発信源追跡情報提供装置及びルータ装置を提供することを目的とする。【解決手段】  本発明に係るルータ装置１１は、受信した通信パケットから追跡メッセージを検出する追跡メッセージ検出部１１１と、検出した追跡メッセージの追跡対象である通信パケットの送信元及び送信先のアドレスを追跡対象特定情報として少なくとも記憶する記憶部２２と、受信通信パケットから所定の確率で選択された通信パケットを追跡対象とする追跡メッセージを生成して追跡メッセージを通信網１へ送出させる追跡メッセージ生成部１１２と、追跡メッセージを生成する際に追跡メッセージの追跡対象である通信パケットに対応する追跡対象特定情報が記憶部２２に記憶されている場合には追跡メッセージ生成部１１２に追跡メッセージの生成を休止させる休止非端処理部１１４とを備える。【選択図】      図２
2005278012.tif 000002
【特許請求の範囲】
【請求項１】
通信パケットの発信源を追跡するための追跡情報を収容する追跡メッセージを提供する発信源追跡情報提供装置において、
通信網との間で通信パケットを送受信する通信インターフェース手段と、
前記通信インターフェース手段で通信上上流側より受信した通信パケットから追跡メッセージを検出する追跡メッセージ検出手段と、
前記追跡メッセージ検出手段で追跡メッセージを検出した場合に、該検出した追跡メッセージの追跡対象である通信パケットの送信元及び送信先のアドレスを追跡対象特定情報として少なくとも記憶する記憶手段と、
前記通信インターフェース手段より受信した通信パケットのうち所定の確率で通信パケットを選択し、該選択した通信パケットを追跡対象とする追跡メッセージを生成すると共に、該生成した追跡メッセージを前記通信インターフェース手段より前記通信網へ送出させる追跡メッセージ生成手段と、
前記追跡メッセージ生成手段が前記追跡メッセージを生成する際に、該生成する追跡メッセージの追跡対象である通信パケットに対応する追跡対象特定情報が前記記憶手段に記憶されている場合には、前記追跡メッセージ生成手段に前記追跡メッセージの生成を休止させる休止手段とを備えること
を特徴とする発信源追跡情報提供装置。
【請求項２】
前記休止手段は、休止中に、前記生成を休止した追跡メッセージの追跡対象の通信パケットに対し自己が初めに追跡メッセージを生成する発信源追跡情報提供装置ではない旨の非端ジェネレータ情報を収容する非端ジェネレータメッセージを生成すると共に、該生成した非端ジェネレータメッセージを前記通信インターフェース手段より前記通信網へ送出させること
を特徴とする請求項１に記載の発信源追跡情報提供装置。
【請求項３】
前記通信インターフェース手段は、通信パケットを入出力する複数のインターフェース部から成り、
前記記憶手段は、前記追跡対象特定情報を前記複数のインターフェース部に対応付けてそれぞれ記憶し、
前記休止手段は、前記追跡メッセージ生成手段が前記追跡メッセージを生成する際に、該生成する追跡メッセージの追跡対象である通信パケットが送出されるインターフェースを除く全てのインターフェースにおいて送信先のアドレスの等しい追跡対象特定情報が記憶されている場合に、前記追跡メッセージ生成手段の生成を休止すること
を特徴とする請求項１又は請求項２に記載の発信源追跡情報提供装置。
【請求項４】
前記休止手段は、前記追跡メッセージの生成の休止を所定の休止期間だけ行うこと
を特徴とする請求項１乃至請求項３の何れか１項に記載の発信源追跡情報提供装置。
【請求項５】
前記休止手段は、同一の送信元及び送信先である通信パケットを追跡対象とした追跡メッセージの前記取込手段で取り込まれる頻度に応じて該通信パケットを追跡対象とする追跡メッセージの休止期間を増減すること
を特徴とする請求項４に記載の発信源追跡情報提供装置。
【請求項６】
前記休止手段は、追跡メッセージを送出した発信源追跡情報提供装置から自己までにおける通信上の距離に応じて、該追跡メッセージの追跡対象である通信パケットを追跡対象とする追跡メッセージの休止期間の長さを決めること
を特徴とする請求項４に記載の発信源追跡情報提供装置。
【請求項７】
前記休止手段は、追跡メッセージを送出した発信源追跡情報提供装置から自己までにおける通信上の距離と自己から該追跡メッセージの送信先までの通信上の距離とに応じて、該追跡メッセージの追跡対象である通信パケットを追跡対象とする追跡メッセージの休止期間の長さを決めること
を特徴とする請求項４に記載の発信源追跡情報提供装置。
【請求項８】
前記休止手段は、同一の送信元及び送信先である通信パケットを追跡対象とした追跡メッセージを前記通信インターフェース手段が所定の期間内に少なくとも所定の個数だけ受信した場合に休止すること
を特徴とする請求項１乃至請求項８の何れか１項に記載の発信源追跡情報提供装置。
【請求項９】
通信パケットをルーティングするルータ装置において、
請求項１乃至請求項８の何れか１項に記載の発信源追跡情報提供装置をさらに備えること
を特徴とするルータ装置。
【請求項１０】
前記発信源追跡情報提供装置の前記休止手段は、自己に接続するルータ装置のうちスタブルータ装置を除く全てのルータ装置から送信先が同一の通信パケットを追跡対象とする追跡メッセージを受信した場合に、前記送信先が同一の通信パケットを追跡対象とする追跡メッセージの送出を休止すること
を特徴とするルータ装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信パケットの発信源を追跡するための追跡情報を所定の確率で提供する発信源追跡情報提供装置に関し、特に、所定の確率をより高くし得る発信源追跡情報提供装置に関する。そして、このような発信源追跡情報提供装置を備えるルータ装置に関する。
【背景技術】
【０００２】
近年、通信技術の発達により、インターネットに代表されるオープンネットワーク等の通信が普及している。このような状況に伴い、ネットワークに接続する装置は、例えば大量のＩＰパケットを送りつけるいわゆるＤｏＳ（Denial of Service）攻撃やＤＤｏＳ（Distributed Dos）攻撃等のサービス妨害攻撃を受け易い状態にある。このサービス妨害攻撃は、犠牲装置の処理を飽和状態にすることによってサービス提供を麻痺させるだけでなく、ネットワーク全体のリソースを消費させてしまい全体への影響が大きいことから、その対策が求められている。
【０００３】
このような対策の一つとして、攻撃に利用されたＩＰパケットの発信源を追跡する技術、いわゆるＩＰトレースバック技術が知られている。このＩＰトレースバック技術の代表例として、ＩＥＴＦ（Internet Engineering Task Force）のＩＣＭＰトレースバックワーキンググループが提唱するＩＣＭＰトレースバック（Internet Control Message Protocol Traceback）がある。このＩＣＭＰトレースバックは、途中経路上のルータ装置が２万分の１程度の一定確率で追跡対象のＩＰパケットを選択し、このＩＰパケットに対する追跡情報を生成し、この追跡情報をＩＣＭＰメッセージでＩＰパケットの宛先に送信し、そして、宛先の装置がこの追跡情報を表示するものである。
【０００４】
そして、このＩＣＭＰトレースバックを改良した技術として特許文献１に記載の技術がある。この特許文献１に記載の技術は、追跡要求メッセージを受信したルータ装置が攻撃ＩＰパケットの送信されてくる当該ルータ装置より攻撃装置側におけるルータ装置のアドレス情報を返信するように構成されているので、発信源追跡装置が追跡要求メッセージを攻撃装置に近づくように順次に各ルータ装置に送信することによって発信源を追跡するものである。
【特許文献１】特開２００３−２６４５５３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
ところで、従来のＩＣＭＰトレースバックでは、所定の確率で追跡情報を収容したＩＣＭＰメッセージを送信するものである。そのため、発信源を追跡したい通信パケットが少ない場合、所定の確率が低いと発信源の探索が困難になる。このため、所定の確率を高めると、発信源の探索における困難性が改善される一方、追跡情報を収容したＩＣＭＰメッセージのトラフィック（管理トラフィック）が増えてしまい、通常の通信メッセージのトラフィック（実トラフィック）が少なくなってしまう。
【０００６】
また、所定の確率が一定の場合に、所謂ハッカーにその値が知られると、追跡の回避策を立てられ易くなってしまう。
【０００７】
本発明は、上述の事情に鑑みて為された発明であり、通信網全体の管理トラフィックの総量を減らしつつ、所定の確率を高く設定し得る発信源追跡情報提供装置を提供することを目的とする。そして、このような発信源追跡情報提供装置を備えるルータ装置を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上述の目的を達成するために、本発明の一態様に係る、通信パケットの発信源を追跡するための追跡情報を収容する追跡メッセージを提供する発信源追跡情報提供装置は、通信網との間で通信パケットを送受信する通信インターフェース手段と、前記通信インターフェース手段で通信上上流側より受信した通信パケットから追跡メッセージを検出する追跡メッセージ検出手段と、前記追跡メッセージ検出手段で追跡メッセージを検出した場合に、該検出した追跡メッセージの追跡対象である通信パケットの送信元及び送信先のアドレスを追跡対象特定情報として少なくとも記憶する記憶手段と、前記通信インターフェース手段より受信した通信パケットのうち所定の確率で通信パケットを選択し、該選択した通信パケットを追跡対象とする追跡メッセージを生成すると共に、該生成した追跡メッセージを前記通信インターフェース手段より前記通信網へ送出させる追跡メッセージ生成手段と、前記追跡メッセージ生成手段が前記追跡メッセージを生成する際に、該生成する追跡メッセージの追跡対象である通信パケットに対応する追跡対象特定情報が前記記憶手段に記憶されている場合には、前記追跡メッセージ生成手段に前記追跡メッセージの生成を休止させる休止手段とを備えることを特徴とする。
【０００９】
そして、上述の発信源追跡情報提供装置において、前記休止手段は、休止中に、前記生成を休止した追跡メッセージの追跡対象の通信パケットに対し自己が初めに追跡メッセージを生成する発信源追跡情報提供装置ではない旨の非端ジェネレータ情報を収容する非端ジェネレータメッセージを生成すると共に、該生成した非端ジェネレータメッセージを前記通信インターフェース手段より前記通信網へ送出させることを特徴とする。
【００１０】
また、これら上述の発信源追跡情報提供装置において、前記通信インターフェース手段は、通信パケットを入出力する複数のインターフェース部から成り、前記記憶手段は、前記追跡対象特定情報を前記複数のインターフェース部に対応付けてそれぞれ記憶し、前記休止手段は、前記追跡メッセージ生成手段が前記追跡メッセージを生成する際に、該生成する追跡メッセージの追跡対象である通信パケットが送出されるインターフェースを除く全てのインターフェースにおいて送信先のアドレスの等しい追跡対象特定情報が記憶されている場合に、前記追跡メッセージ生成手段の生成を休止することを特徴とする。
【００１１】
さらに、これら上述の発信源追跡情報提供装置において、前記休止手段は、前記追跡メッセージの生成の休止を所定の休止期間だけ行うことを特徴とする。
【００１２】
そして、上述の発信源追跡情報提供装置において、前記休止手段は、同一の送信元及び送信先である通信パケットを追跡対象とした追跡メッセージの前記取込手段で取り込まれる頻度に応じて該通信パケットを追跡対象とする追跡メッセージの休止期間を増減することを特徴とする。あるいは、前記休止手段は、追跡メッセージを送出した発信源追跡情報提供装置から自己までにおける通信上の距離に応じて、該追跡メッセージの追跡対象である通信パケットを追跡対象とする追跡メッセージの休止期間の長さを決めることを特徴とする。あるいは、前記休止手段は、追跡メッセージを送出した発信源追跡情報提供装置から自己までにおける通信上の距離と自己から該追跡メッセージの送信先までの通信上の距離とに応じて、該追跡メッセージの追跡対象である通信パケットを追跡対象とする追跡メッセージの休止期間の長さを決めることを特徴とする。
【００１３】
また、これら上述の発信源追跡情報提供装置において、前記休止手段は、同一の送信元及び送信先である通信パケットを追跡対象とした追跡メッセージを前記通信インターフェース手段が所定の期間内に少なくとも所定の個数だけ受信した場合に休止することを特徴とする。
【００１４】
そして、本発明の一態様に係る、通信パケットをルーティングするルータ装置は、上述の何れかに記載の発信源追跡情報提供装置をさらに備えることを特徴とする。
【００１５】
また、上述のルータ装置において、前記発信源追跡情報提供装置の装置前記休止手段は、自己に接続するルータ装置のうちスタブルータ装置を除く全てのルータ装置から送信先が同一の通信パケットを追跡対象とする追跡メッセージを取り込んだ場合に、前記送信先が同一の通信パケットを追跡対象とする追跡メッセージの送出を休止することを特徴とする。
【発明の効果】
【００１６】
このような構成の発信源追跡情報提供装置及びルータ装置では、記憶手段が、追跡メッセージ検出手段で追跡メッセージを検出した場合に、この検出した追跡メッセージの追跡対象である通信パケットの送信元及び送信先のアドレスを追跡対象特定情報として少なくとも記憶し、休止手段が、追跡メッセージ生成手段が追跡メッセージを生成する際に、この生成する追跡メッセージの追跡対象である通信パケットに対応する追跡対象特定情報が記憶手段に記憶されている場合には、追跡メッセージ生成手段に追跡メッセージの生成を休止させる。このため、追跡メッセージを生成した発信源追跡情報提供装置よりも通信上下流側にある発信源追跡情報提供装置は、この追跡メッセージの追跡対象である通信パケットに対し追跡メッセージの生成を休止する。従って、送信元と送信先を同一とする通信パケットを追跡対象とする追跡メッセージの総量を抑制することができるので、追跡メッセージを生成する確率をより高く設定し得る。
【発明を実施するための最良の形態】
【００１７】
以下、本発明に係る実施形態を図面に基づいて説明する。なお、各図において同一の符号を付した構成は、同一の構成であることを示し、その説明を省略する。
【００１８】
（実施形態の構成）
本実施形態に係る発信源追跡情報提供装置は、通信網に接続された一の端末装置が他の端末装置に通信パケットを送信した場合に、通信パケットの通信経路を追跡することによって他の端末装置がこの通信パケットの発信源（一の端末装置）を追跡するための追跡情報を提供すると共に、通信上上流側の他の発信源追跡情報提供装置が一の端末装置を追跡するための追跡情報を提供している場合に自己におけるこの追跡情報の提供を休止する装置である。なお、一の端末装置が他の端末装置に通信パケットを送信する場合にその経路上に発信源追跡情報提供装置が在る場合に、当該発信源追跡情報提供装置から見て一の端末装置側（通信パケットの送信側）を通信上の上流側と言い、また、当該発信源追跡情報提供装置から見て他の端末装置側（通信パケットの受信側）を通信上の下流側と言う。
【００１９】
図１は、実施形態に係る発信源追跡情報提供装置を備えるルータ装置の適用された通信網を示す図である。図２は、実施形態に係る発信源追跡情報提供装置を備えるルータ装置の構成を示す図である。図３は、追跡メッセージ休止テーブルの構成を示す図である。図４は、非端フラグテーブルの構成を示す図である。
【００２０】
図１において、通信網１は、複数のホスト群１２（１２−１〜１２−１６）と、本発明に係る発信源追跡情報提供装置を備える複数のルータ装置１１（１１−１〜１１−１８）と、追跡装置２０とを備えて構成される。図１では、ホスト群１２は、「Ｈｓ」で表され、ルータ装置１１は、「Ｒ＋Ｇ」で表されている。なお、各構成を総称する場合には添え字を省略した参照符号で表す。
【００２１】
ホスト群１２は、複数のノード装置を備えて構成されるサブ通信網である。ノード装置は、例えば、ゲートウェイ装置、ルータ装置及び端末装置等である。端末装置は、通信網１を介して通信パケットを送受信する通信機能を備えた装置であり、例えば、通信機能を備えたコンピュータ端末、移動体通信端末、ゲーム端末及びＰＤＡ（Personal Digital Assistants）等である。本実施形態では、説明の都合上、ホスト群１２−１内に端末装置２が存在し、ホスト群１２−２内に端末装置３が存在し、端末装置２が通信パケットを端末装置３に送信するものとする。そして、端末装置２は、端末装置３に不正アクセス、いわゆるコンピュータウィルスによる端末装置３の動作の破壊、及び、端末装置３へのサービス妨害攻撃等の攻撃を行うものとする。以下、攻撃を行う端末装置２を攻撃側端末装置２と呼称し、攻撃を受ける端末装置３を犠牲側端末装置３と呼称するものとする。
【００２２】
ルータ装置１１間及びルータ装置１１とホスト群１２との間は、通信パケットを伝播する有線媒体や無線媒体の伝送路によって相互に接続される。
【００２３】
追跡装置２０は、発信源追跡情報提供装置を備えるルータ装置１１から通信網１に送出される追跡情報に基づいて発信源を探索するノード装置であり、例えば、ミラーリングポートを備えるハブ（Hub、集線装置）等を介して伝送路に接続される。このため、追跡装置２０には、通信網１を伝送する通信パケットの複製（コピー）が入力される。
【００２４】
ルータ装置１１は、ホスト群１２や他のルータ装置１１を相互に接続すると共に通信パケットのルーティング（通信経路の選択）を行う機器であり、本発明に係る発信源追跡情報提供装置が組み込まれている。
【００２５】
図２において、ルータ装置１１は、中央処理部２１と、記憶部２２と、通信インターフェース部２３とを備えて構成される。
【００２６】
通信インターフェース部２３は、通信網１との間で通信パケットの送受信を行うインターフェース回路であり、複数のインターフェース部を備えて構成される。さらに詳しくは、通信インターフェース部２３は、複数の物理層インターフェース部（以下、「物理層Ｉ／Ｆ部」と略記する。）１３１（１３１−０〜１３１−ｎ）と、各物理層Ｉ／Ｆ部１３１−０〜１３１−ｎに対応して設けられる複数のリンク層インターフェース部（以下、「リンク層Ｉ／Ｆ部」と略記する。）１３２（１３２−０〜１３２−ｎ）と、各リンク層Ｉ／Ｆ部１３２−０〜１３２−ｎに対応して設けられる複数のネットワーク層インターフェース部（以下、「ＮＴ層Ｉ／Ｆ部」と略記する。）１３３（１３３−０〜１３３−ｎ）とを備えて構成される。物理層Ｉ／Ｆ部１３１は、通信パケットを受信するとその旨を示す受信イベントを中央処理部２１に出力する。物理層Ｉ／Ｆ部１３１には、各物理層Ｉ／Ｆ部１３１−０〜１３１−ｎを識別するために固有の識別子、例えば、本実施形態では、識別番号；「０」〜「ｎ」が割り当てられる。そして、各リンク層Ｉ／Ｆ部１３２−０〜１３２−ｎには、識別番号に対応した（ｎ＋１）個のＭＡＣアドレス；「ＭＡＣａｄｄ０」〜「ＭＡＣａｄｄｎ」がそれぞれ割り当てられ、各ＮＴ層Ｉ／Ｆ部１３３−０〜１３３−ｎには、識別番号に対応した（ｎ＋１）個のＩＰアドレス；「ＩＰａｄｄ０」〜「ＩＰａｄｄｎ」がそれぞれ割り当てられる。
【００２７】
中央処理部２１は、例えば、マイクロプロセッサ等で構成され、機能的に、後述のように追跡情報を提供する処理を行うジェネレータ部１０１と通信パケットのルーティング処理を行うルーティング部１０２とを備えると共に、プログラムに従い記憶部２２及び通信インタフェース部２３を制御する。
【００２８】
ジェネレータ部１０１は、さらに、通信上上流側より受信した通信パケットから追跡メッセージを検出する追跡メッセージ検出部１１１と、追跡対象である通信パケットの発信源を追跡するための情報である追跡情報を収容する通信パケット（追跡メッセージ）を生成して送信する処理を行う追跡メッセージ生成部１１２と、所定の確率で確率イベントを発生して該確立イベントを追跡メッセージ生成部１１２に通知する確率イベント発生部１１３と、追跡メッセージの送信を休止する送信休止処理を行うと共にこの休止した追跡メッセージの追跡対象の通信パケットに対し自己のルータ装置（発信源追跡情報提供装置）１１が初めに追跡メッセージを生成するルータ装置（発信源追跡情報提供装置）１１ではない旨の非端ジェネレータ情報を収容する通信パケット（非端ジェネレータメッセージ）を送信する非端送信処理を行う休止非端処理部１１４とを備えて構成される。送信休止処理及び非端送信処理を併せて休止非端処理と呼称することとする。
【００２９】
追跡情報は、本実施形態では、追跡メッセージの送信元のＩＰアドレスと、該追跡メッセージの追跡対象である通信パケットにおける送信元及び送信先のＩＰアドレスとである。ここで、追跡装置２０は、例えば、同一の送信元及び送信先である通信パケットを追跡対象とする追跡メッセージを収集して解析することにより通信パケットの発信源を追跡するものであるが、追跡装置２０が複数の追跡メッセージを受信した場合に、複数の追跡メッセージの中からこのような同一の送信元及び送信先である通信パケットを追跡対象とする追跡メッセージをより確実に抽出することができるようにする観点から、さらに、通信パケットの実データ部分における特定部位の一部、例えば、実データ部分における最初の数ビット（例えば８ビット）を追跡情報にさらに加えてもよい。あるいは、例えば、実データ部分における最後の数ビット（例えば８ビット）を追跡情報にさらに加えてもよい。また、攻撃は、バースト的に行われることが多いため、同一の送信元から同一の送信先へ大量の通信パケットが送信されたとしても長時間にわたって送信される場合には、必ずしも攻撃であるとは言い難い。そのため、追跡メッセージを生成した時刻に関する時刻情報（タイムスタンプ）を追跡情報にさらに加えてもよい。
【００３０】
追跡メッセージは、本実施形態では、例えば、追跡メッセージであることを示す識別子（追跡メッセージ識別子）及びタイムスタンプの追跡情報が収容された通信パケットである。そして、非端ジェネレータメッセージは、本実施形態では、例えば、非端ジェネレータメッセージであることを示す識別子（非端メッセージ識別子）、非端ジェネレータメッセージの送信元のＩＰアドレスと、該非端ジェネレータメッセージの対象である通信パケットにおける送信元及び送信先のＩＰアドレス（即ち、非端ジェネレータメッセージに対応する追跡メッセージの追跡対象である通信パケットにおける送信元及び送信先のＩＰアドレス）、非端ジェネレータメッセージを生成した時刻の時刻情報（タイムスタンプ）を加えた情報が収容された通信パケットである。このような追跡メッセージ及び非端ジェネレータメッセージは、例えば、ＩＰ（Internet Protocol）、ＩＣＭＰ（Internet Control Message Protocol）、ＴＣＰ（Transmission Control Protocol）、ＵＤＰ（User Datagram Protocol）等の任意の通信プロトコルを利用して形成してもよいが、本実施形態ではＩＣＭＰが利用され、この場合に追跡メッセージ識別子及び非端メッセージ識別子は、Ｔｙｐｅで表されるように構成し得る。
【００３１】
また、本実施形態では、発信源追跡情報提供装置がルータ装置１１に組み込まれていることから、上述の非端ジェネレータ情報は、言い換えれば、追跡メッセージの追跡対象の通信パケットを送信した発信源の端末装置２を含むホスト群１２−１に直接接続するルータ装置ではない旨の情報である。従って、追跡装置２０は、発信源の攻撃側端末装置２を追跡する解析を行う場合に、非端ジェネレータメッセージを送信したルータ装置１１を解析対象から外すことができ、解析をより容易に、より高速に行うことができる。
【００３２】
記憶部２２は、例えばＲＯＭ（Read Only Memory）やＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）等の不揮発性の記憶素子、及び、例えばＲＡＭ（Random Access Memory）等の揮発性の記憶素子等を備えて構成される。この不揮発性の記憶素子には、本ルータ装置１１を動作させるための各種のプログラム、及び、各種のプログラムを実行する際に必要な情報等を記憶する。この揮発性の記憶素子は、中央処理部２１が実行する各種のプログラムを不揮発性の記憶素子から読み込むと共に、これら各種のプログラムの実行中における各データを一時的に記憶するいわゆるワーキングメモリとなる。そして、記憶部２２は、追跡メッセージの追跡対象である通信パケットの送信元及び送信先のアドレスを追跡対象特定情報として少なくとも登録する追跡メッセージ休止テーブル（以下、「追跡Ｍ休止テーブル」と略記する。）を記憶する追跡メッセージ休止テーブル記憶部（以下、「追跡Ｍ休止テーブル記憶部」と略記する。）２２１、非端メッセージの送信状況を示す非端フラグを登録する非端フラグテーブルを記憶する非端フラグテーブル記憶部２２２、及び、経路情報を登録するルーティングテーブルを記憶するルーティングテーブル記憶部２２３を備える。
【００３３】
追跡Ｍ休止テーブル３０は、例えば、図３に示すように、追跡Ｍ休止テーブル３０の各レコードを表すための番号を登録するインデックスフィールド３０１、追跡メッセージが入力された物理層Ｉ／Ｆ部１３１の識別番号を登録する入力インターフェースフィールド（以下、「入力Ｉ／Ｆフィールド」と略記する。）３０２、追跡メッセージがルーティングされて出力された物理層Ｉ／Ｆ部１３１の識別番号を登録する出力インターフェースフィールド（以下、「出力Ｉ／Ｆフィールド」と略記する。）３０３、追跡メッセージの送信元のＩＰアドレスを登録する追跡メッセージ送信元ＩＰフィールド（以下、「追跡Ｍ送信元ＩＰフィールド」と略記する。）３０４、追跡メッセージの追跡対象である通信パケットにおける送信元のＩＰアドレスを登録する送信元ＩＰフィールド３０５、追跡メッセージの追跡対象である通信パケットにおける送信先のＩＰアドレスを登録する送信先ＩＰフィールド３０６、及び、休止フラグを登録する休止フラグフィールド３０７の各フィールドを備えて構成され、追跡対象が異なる追跡メッセージごとにレコードが作成される。休止フラグは、例えば休止フラグ；「０」が追跡メッセージの生成の休止を解除している状態（休止解除状態）を示し、休止フラグ；「１」は、追跡メッセージの生成を休止してる状態（休止状態）を示す。
【００３４】
非端フラグテーブル４０は、例えば、図４に示すように、非端フラグテーブル４０の各レコードを表すための番号を登録するインデックスフィールド４０１、非端フラグを登録する非端フラグフィールド４０２の各フィールドを備えて構成され、追跡対象が異なる追跡メッセージごとにレコードが作成される。非端フラグは、例えば非端フラグ；「０」が非端ジェネレータメッセージの送信の要求を解除している状態（送信要求解除状態）を示し、非端フラグ；「１」は、非端ジェネレータメッセージの送信を要求している状態（送信要求状態）を示し、非端フラグ；「２」は、非端ジェネレータメッセージの送信済みである状態（送信済み状態）を示す。
【００３５】
なお、追跡Ｍ休止テーブル３０の各レコードと非端フラグテーブル４０の各レコードとは、追跡Ｍ休止テーブル３０のインデックスフィールド３０１に登録される番号と非端フラグテーブル４０のインデックスフィールド４０１に登録される番号とによって相互に対応付けられている。
【００３６】
なお、記憶部２２に記憶される各プログラムや各データ等の情報が格納されていない場合には、これら情報を管理するサーバコンピュータ（不図示）から通信網１及び通信インタフェース２３を介してこれら情報がダウンロードされるように構成してもよく、また、これら情報を記録した記録媒体から該記録媒体との間でデータを読み込み及び／又は書き込みを行う外部記憶部（不図示）を介して記憶部２２にインストールされるように構成してもよい。記録媒体は、例えば、フレキシブルディスク、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Compact Disc Recordable）及びＤＶＤ−Ｒ（Digital Versatile Disc Recordable）等であり、外部記憶部は、例えば、フレキシブルディスクドライブ、ＣＤ−ＲＯＭドライブ、ＣＤ−Ｒドライブ及びＤＶＤ−Ｒドライブ等である。
【００３７】
また、ルータ装置１１は、通信プロトコルの変換を行うゲートウェイ機能をさらに備えた所謂ゲートウェイ装置を含む概念である。
【００３８】
次に、本実施形態の動作について説明する。
【００３９】
（実施形態の動作）
まず、追跡メッセージの休止非端処理について説明する。図５は、実施形態に係る発信源追跡情報提供を備えるルータ装置における休止非端処理を示すフローチャートである。図６は、実施形態に係る第１の休止処理を示すフローチャートである。
【００４０】
ルータ装置１１の通信インターフェース部２３における物理層Ｉ／Ｆ部１３１に通信網１を伝送する通信パケットが受信されると、物理層Ｉ／Ｆ部１３１は、受信した通信パケットを上位層のリンク層に受け渡すべく処理を行ってリンク層Ｉ／Ｆ部１３２に出力すると共に、通信パケットを受信した旨を通知する受信イベントを生成してこの生成した受信イベントを中央処理部２１の休止非端処理部１１４に出力する。
【００４１】
リンク層Ｉ／Ｆ部１３２は、物理層Ｉ／Ｆ部１３１で処理された通信パケットを上位層のネットワーク層に受け渡すべく処理を行ってＮＴ層Ｉ／Ｆ部１３３に出力する。そして、ＮＴ層Ｉ／Ｆ部１３３は、リンク層Ｉ／Ｆ部１３２で処理された通信パケットを中央処理部２１に受け渡すべく処理を行って中央処理部２１に出力する。
【００４２】
ＮＴ層Ｉ／Ｆ部１３３で処理された通信パケットは、中央処理部２１のルーティング部１０２、追跡メッセージ検出部１１１、追跡メッセージ生成部１１２及び確率イベント発生部１１３にそれぞれ取り込まれる。ルーティング部１０２に取り込まれた通信パケットは、記憶部２２のルーティングテーブル記憶部２２３におけるルーティングテーブルが参照されてルーティング部１０２によってルーティングされる。このルーティング部１０２でルーティングされた通信パケットは、ＮＴ層Ｉ／Ｆ部１３３、リンク層Ｉ／Ｆ部１３２及び物理層Ｉ／Ｆ部１３１で上述とは逆に順次に処理されて通信網１に送信される。
【００４３】
一方、図５において、物理層Ｉ／Ｆ部１３１から受信イベントが入力されると、中央処理部２１の休止非端処理部１１４は、休止非端処理を開始し、この受信イベントを生成した物理層Ｉ／Ｆ部１３１の識別番号を取得する（Ｓ１１）。この識別番号の取得は、例えば、ルーティングする間、物理層Ｉ／Ｆ部１３１で受信した通信パケットをその識別番号及び受信時刻（タイムスタンプ）と共にバッファメモリに一時的に格納する方式では、このバッファメモリの識別番号を参照することによって取得する。また例えば、ルータ装置は、通常、ルーティングするために物理層Ｉ／Ｆ部１３１の識別番号とＭＡＣアドレスとの対応テーブルを記憶しているので、通信パケットのＭＡＣアドレスに基づいてこの対応テーブルを参照することによって取得する。
【００４４】
次に、休止非端処理部１１４は、物理層Ｉ／Ｆ部１３１、リンク層Ｉ／Ｆ１３２及びＮＴ層Ｉ／Ｆ部１３３を介して追跡メッセージ検出部１１１に取り込まれた通信パケットを、追跡メッセージ検出部１１１を用いて、通信パケットにおける追跡メッセージ識別子の有無によって追跡メッセージであるか否かを判断する（Ｓ１２）。判断の結果、追跡メッセージではない場合（Ｎｏ）には、休止非端処理部１１４は、この休止非端処理を終了する。
【００４５】
一方、判断の結果、追跡メッセージである場合（Ｙｅｓ）には、休止非端処理部１１４は、追跡Ｍ休止テーブル３０の登録内容に基づき、当該受信した追跡メッセージの追跡対象である通信パケットの送信元及び送信先と同一の送信元及び送信先である通信パケットを追跡対象とした追跡メッセージ（同一の追跡メッセージ）を過去に受信したか否かを判断する（Ｓ１３）。この判断は、より具体的には、本実施形態では、追跡メッセージの送信元のＩＰアドレス、追跡メッセージの追跡対象である通信パケットにおける送信元のＩＰアドレス、及び、追跡メッセージの追跡対象である通信パケットにおける送信先のＩＰアドレスが、１個のレコードにおける、追跡Ｍ送信元ＩＰフィールド３０４、送信元ＩＰフィールド３０５及び送信先ＩＰフィールド３０６の各フィルードにそれぞれ登録するレコードがあるか否かによって行う。休止非端処理部１１４は、このようなレコードがある場合には、同一の追跡メッセージを過去に受信したと判断し、このようなレコードがない場合には、同一の追跡メッセージを過去に受信していないと判断する。
【００４６】
判断の結果、同一の追跡メッセージを過去に受信している場合（Ｙｅｓ）には、休止非端処理部１１４は、処理Ｓ１５を実行する。一方、判断の結果、同一の追跡メッセージを過去に受信していない場合（Ｎｏ）には、休止非端処理部１１４は、次に同一の追跡メッセージを受信した場合に自己のルータ装置１１から追跡メッセージの生成を休止すべく、新たなインデックスをインデックスフィールド３０１に登録したレコードを追跡Ｍ休止テーブル３０に追加し、この追加したレコードにおける入力Ｉ／Ｆフィールド３０２、出力Ｉ／Ｆフィールド３０３、追跡Ｍ送信元ＩＰフィールド３０４、送信元ＩＰフィールド３０５及び送信先ＩＰフィールド３０６の各フィールドに当該追跡メッセージの追跡情報に基づいて各情報を登録する。なお、出力Ｉ／Ｆフィールド３０３に登録する情報は、例えば、当該追跡メッセージをルーティングしたルーティング部１０２から取得する。そして、休止非端処理部１１４は、追跡Ｍ休止テーブル３０に追加したレコードに対応させて非端フラグテーブル４０に新たなレコードを追加し（Ｓ１４）、処理Ｓ１５を実行する。新たに追加されたレコードにおけるインデックスフィールド４０１には、追跡Ｍ休止テーブル３０に追加したレコードにおけるインデックスフィールド３０１に登録されたインデックスが登録され、非端フラグフィールド４０２には非端フラグ；「０」（送信要求解除状態）が登録される。
【００４７】
処理Ｓ１５において、休止非端処理部１１４は、追跡メッセージを休止する休止処理を行う。より具体的には、本実施形態では、図６に示すように、当該追跡メッセージに対応する休止フラグを「１」にセットする（Ｓ２１）。即ち、処理Ｓ１２の処理で同一の追跡メッセージが追跡Ｍ休止テーブル３０に登録されている場合には、この登録されているレコードの休止フラグフィールド３０７における休止フラグを「１」にセットし、処理Ｓ１２の処理で同一の追跡メッセージが追跡Ｍ休止テーブル３０に登録されていない場合には、処理Ｓ１４で新たに追加されたレコードの休止フラグフィールド３０７における休止フラグを「１」にセットする。この休止フラグを「１」にセットすることにより、後述の追跡メッセージを所定の確率に従って生成して送信する際に、追跡メッセージの生成が止められ、送信が止められる。
【００４８】
次に、休止非端処理部１１４は、当該追跡メッセージに対応する非端ジェネレータメッセージが送信要求であるか否かを判断する（Ｓ１６）。より具体的には、本実施形態では、休止非端処理部１１４は、当該追跡メッセージに対応するレコードを追跡Ｍ休止テーブル３０から検索し、検索したレコードにおけるインデックスフィールド３０１よりインデックスを取得する。そして、休止非端処理部１１４は、この取得したインデックスを非端フラグテーブル４０から検索し、検索したレコードにおける非端フラグフィールド４０２より非端フラグを取得して、非端フラグが送信要求状態を示しているか否か、即ち、非端フラグが「１」であるか否かを判断する。
【００４９】
判断の結果、非端ジェネレータメッセージの送信要求ではない場合（Ｎｏ）、即ち、非端ジェネレータメッセージの送信要求解除又は送信済みである場合には、休止非端処理部１１４は、休止非端処理を終了する。一方、判断の結果、非端ジェネレータメッセージの送信要求である場合（Ｙｅｓ）には、休止非端処理部１１４は、当該追跡メッセージに対応する非端ジェネレータメッセージを生成して、送信すべくルーティング部１０２に出力する（Ｓ１７）。より具体的には、本実施形態では、休止非端処理部１１４は、非端メッセージ識別子、自己のＩＰアドレス（非端ジェネレータメッセージの送信元ＩＰアドレス）、当該追跡メッセージの追跡対象である通信パケットにおける送信元及び送信先のＩＰアドレス、及び、タイムスタンプの各情報を収容したＩＣＭＰメッセージを生成してルーティング部１０２に出力する。ルーティング部１０２は、この非端ジェネレータメッセージをルーティングテーブルに基づいてルーティングし、通信インターフェース部２３に出力し、通信インターフェース部２３は、非端ジェネレータメッセージを通信網１に送出する。
【００５０】
次に、休止非端処理部１１４は、非端ジェネレータメッセージの送信済みを記録すべく、当該追跡メッセージに対応する非端フラグを送信済みにセットし、即ち、非端フラグを「２」にセットし（Ｓ１８）、休止非端処理を終了する。
【００５１】
このように休止非端処理部１１４は、受信した通信パケットが追跡メッセージであるか否かを監視し、追跡メッセージである場合には、追跡メッセージの送信を休止すべく、休止処理を行う。このため、追跡対象が同種の通信パケットに対する追跡メッセージの生成、送信が抑制され、通信網１全体の管理トラフィックを抑制することができる。そのため、追跡メッセージを生成、送信する所定の確率を背景技術の場合よりも高く設定することができる。また、発信源の攻撃側端末装置２に最も近いルータ装置１１のみから追跡メッセージが送信され続けるので、追跡装置２０は、このようなルータ装置１１を迅速に精度よく探索し得るから、背景技術の場合よりも短期間で発信源を追跡し得ることが期待できる。
【００５２】
そして、休止非端処理部１１４は、非端ジェネレータメッセージを送信していない場合には、非端ジェネレータメッセージを送信するので、追跡装置２０は、この非端ジェネレータメッセージを受信することによって、発信源を探索する際に非端ジェネレータメッセージを送信したルータ装置１１を考慮する必要がなくなるから、解析対象から外すことができ、発信源の追跡をより容易に、より効率的に、より高速に行うことができる。
【００５３】
次に、追跡メッセージの送信処理について説明する。図７は、実施形態に係る発信源追跡情報提供における追跡メッセージの送信処理を示すフローチャートである。
【００５４】
確率イベント発生部１１３は、所定の確率で追跡メッセージを生成して送信すべく、所定の確率で確率イベントを追跡メッセージ生成部１１２に通知する。所定の確率は、任意であるが、攻撃の監視を強化する場合には例えば千分の一や五千分の一等の確率イベントの発生が比較的高い確率に設定され、攻撃の監視を緩和する場合には例えば二万分の一や三万分の一等の確率イベントの発生が比較的低い確率に設定される。ここで、本実施形態に係るルータ装置１１は、後述するように追跡メッセージを所定の条件下で休止するので管理トラフィックが抑制されるから、比較的高い確率を設定可能である。
【００５５】
確率イベントの発生は、例えば、所定の確率の範囲内の数値を乱数で発生させることによって、確率イベントを発生させるイベント発生値を決定し、確率イベント発生部１１３に通信パケットが取り込まれるごとに通信パケットの個数を計数し、当該計数値がイベント発生値に達した場合に確率イベントを発生するように構成すればよい。より具体的には、所定の確率が五千分の一である場合には、１から５０００までの範囲で数値を乱数によって発生させ、発生した数値（例えば７５６）をイベント発生値に決定し、計数した通信パケット数が７５６に達した場合に確率イベントを発生する。そして、イベント発生値を再決定し、計数値をクリア（計数値＝０）にする。なお、イベント発生値は、ルータ装置１１が起動した場合に１度だけ決定するように構成してもよいし、所定の期間の経過後に再決定するように構成してもよい。これらの場合には、確率イベント発生後も通信パケットの個数の計数を５０００に達するまで続行するように構成する。
【００５６】
図７において、確率イベント発生部１１３から確率イベントが通知されると、中央処理部２１の追跡メッセージ生成部１１２は、追跡メッセージの送信処理を開始し、通信パケットが取り込まれた物理層Ｉ／Ｆ部１３１の識別番号を取得し、取り込まれた通信パケットを追跡メッセージの追跡対象とする（Ｓ３１）。
【００５７】
次に、追跡メッセージ生成部１１２は、取得した通信パケットを追跡対象とした追跡メッセージが追跡Ｍ休止テーブル３０に登録されているか否かを判断する（Ｓ３２）。より具体的には、本実施形態では、追跡メッセージ生成部１１２は、取得した当該通信パケットの送信元ＩＰアドレス及び送信先ＩＰアドレスが、１個のレコードにおける、追跡Ｍ休止テーブル３０の送信元ＩＰフィールド３０５及び送信先ＩＰフィールド３０６にそれぞれ登録されているレコードがあるか否かを判断する。このようなレコードがある場合には、当該通信パケットを追跡対象とした追跡メッセージを過去に受信したと判断し、このようなレコードがない場合には、当該通信パケットを追跡対象とした追跡メッセージを過去に受信していないと判断する。
【００５８】
判断の結果、追跡Ｍ休止テーブル３０に登録されていない場合（Ｎｏ）には、追跡メッセージ生成部１１２は、当該通信パケットを追跡対象とする追跡メッセージを生成して、送信すべくルーティング部１０２に出力し（Ｓ３３）、追跡メッセージの送信処理を終了する。ルーティング部１０２は、この追跡メッセージをルーティングテーブルに基づいてルーティングし、通信インターフェース部２３に出力し、通信インターフェース部２３は、追跡メッセージを通信網１に送出する。
【００５９】
このような処理を実行することによって、所定の確率で取得された通信パケットを追跡対象とする追跡メッセージが過去に受信されていない場合には、この通信パケットを追跡対象とする追跡メッセージが通信網１に送出される。
【００６０】
処理Ｓ３２における判断の結果、追跡Ｍ休止テーブル３０に登録されている場合（Ｙｅｓ）には、追跡メッセージ生成部１１２は、当該通信パケットに対応する休止フラグ（当該通信パケットの送信元ＩＰアドレス及び送信先ＩＰアドレスが登録されている追跡Ｍ休止テーブル３０のレコードにおける休止フラグ）が「１」にセットされているか否かを判断する（Ｓ４１）。
【００６１】
判断の結果、休止フラグが「１」にセットされていない場合（Ｎｏ）には、即ち、休止フラグが「０」にリセットされている場合には、休止期間ではないので、追跡メッセージ処理部１１２は、処理Ｓ３３を実行する。即ち、追跡メッセージ処理部１１２は、当該通信パケットを追跡対象とする追跡メッセージを生成して送信する。
【００６２】
一方、判断の結果、休止フラグが「１」にセットされている場合（Ｎｏ）には、休止期間であるため、追跡メッセージの生成を休止する。
【００６３】
このような処理を実行することによって、所定の確率で取得された通信パケットを追跡対象とする追跡メッセージが過去に受信されている場合であって、休止期間である場合には、この通信パケットを追跡対象とする追跡メッセージの生成が止められる。従って、所定の確率になったとしても追跡メッセージは、生成されず、通信網１に送出されることもない。よって、同一の追跡メッセージの生成、送信が禁止され、通信網１全体の管理トラフィックを抑制することができる。そのため、追跡メッセージを生成、送信する所定の確率を背景技術の場合よりも高く設定することができる。
【００６４】
次に、追跡メッセージ生成部１１２は、当該通信パケットを追跡対象とする追跡メッセージに対応する非端ジェネレータメッセージが送信済みであるか否かを判断する（Ｓ４２）。
【００６５】
判断の結果、非端ジェネレータメッセージが送信済みである場合（Ｙｅｓ）には、追跡メッセージ生成部１１２は、追跡メッセージの送信処理を終了する。一方、判断の結果、非端ジェネレータメッセージが送信済みではない場合（Ｎｏ）には、即ち、送信要求状態又は送信要求解除状態である場合には、追跡メッセージ生成部１１２は、非端ジェネレータメッセージを送信させるべく、非端フラグを送信要求に設定し、即ち、非端フラグを「１」にセットし（Ｓ４３）、追跡メッセージの送信処理を終了する。
【００６６】
このような処理を実行することによって、当該通信パケットを追跡対象とする追跡メッセージに対応する非端ジェネレータメッセージが１度だけ送信される。
【００６７】
次に、攻撃側端末装置２が犠牲側端末装置３に所謂Ｄｏｓ攻撃を行っている場合について、ルータ装置１１の動作をより具体的に説明する。
【００６８】
攻撃側端末装置２が犠牲側端末装置３にＤｏｓ攻撃を行っている場合の各通信パケットは、ルータ装置１１−１、ルータ装置１１−２、ルータ装置１１−３、ルータ装置１１−４及びルータ装置１１−５を介して犠牲側端末装置３に到達しているものとする。また、追跡メッセージの送信先は、追跡対象の通信パケットにおける送信先（犠牲側端末装置３）とする。なお、追跡メッセージの送信先は、追跡装置２０としてもよく、また、両方としてもよい。
【００６９】
図８は、図１の通信網におけるＤｏｓ攻撃の通信パケットが伝送する通信経路上のルータ装置を示す図である。
【００７０】
各ルータ装置１１−１〜１１−５は、図５乃至図７を用いて説明した追跡メッセージの休止非端処理及び送信処理を行っているが、各ルータ装置１１−１〜１１−５における所定の確率が仮に同一であるとしても追跡対象の通信パケットをサンプリングするタイミングは、各ルータ装置１１−１〜１１−５の間で必ずしも一致しない。例えば、攻撃側端末装置２がＤｏｓ攻撃を始めてから最初に確率イベントがルータ装置１１−３に生じ、追跡対象とする通信パケットが受信されたとする。
【００７１】
ルータ装置１１−３は、図７に示す処理において、処理Ｓ３１で物理層Ｉ／Ｆ部１３１の識別番号を取得し、処理Ｓ３２で過去に当該通信パケットを追跡対象とする追跡メッセージを受信したか否かを判断する。この結果、受信されていないと判断するので、ルータ装置１１−３は、追跡メッセージを犠牲側端末装置３宛てに送信する。
【００７２】
この追跡メッセージは、ルータ装置１１−４、ルータ装置１１−５及び追跡装置２０に取り込まれつつ、犠牲側端末装置３に受信される。
【００７３】
ルータ装置１１−４及びルータ装置１１−５は、図５及び図６に示す処理において、処理Ｓ１１で物理層Ｉ／Ｆ部１３１の識別番号を取得し、処理Ｓ１２で追跡メッセージであるか否かを判断し、処理Ｓ１３で当該追跡メッセージの追跡対象の通信パケットと同一の通信パケットを追跡対象とする追跡メッセージを過去に受信したか否かを判断する。この結果、受信していないと判断するので、ルータ装置１１−４及びルータ装置１１−５は、処理Ｓ１４で追跡Ｍ休止テーブル３０へ登録し、処理Ｓ１５で休止処理が実行される。このため、ルータ装置１１−４及びルータ装置１１−５は、確率イベントが生じてこのＤｏｓ攻撃に係る通信パケットを受信したとしても、追跡メッセージを生成しない。そして、ルータ装置１１−４及びルータ装置１１−５は、処理Ｓ１６で非端ジェネレータメッセージの送信要求があるか否かを判断し、送信要求がないので、休止非端処理を終了する。
【００７４】
続いて、ルータ装置１１−１に確率イベントが生じると、ルータ装置１１−１は、上述のように処理Ｓ３１乃至処理Ｓ３３によって追跡メッセージを生成し、犠牲側端末装置３宛てに送信する。この追跡メッセージは、ルータ装置１１−２、ルータ装置１１−３、ルータ装置１１−４、ルータ装置１１−５及び追跡装置２０に取り込まれつつ、犠牲側端末装置３に受信される。
【００７５】
ルータ装置１１−２及びルータ装置１１−３は、上述のように処理Ｓ１１乃至処理Ｓ１４によって追跡Ｍ休止テーブル３０へ登録し、処理Ｓ１５で休止処理を実行し、処理Ｓ１６を経て送信要求がないので、休止非端処理を終了する。
【００７６】
一方、ルータ装置１１−４及びルータ装置１１−５は、同種の通信パケットを追跡対象とする２度目の追跡メッセージであるので、処理Ｓ１４をスキップするように休止非端処理が実行される。
【００７７】
続いて、ルータ装置１１−２、ルータ装置１１−４及びルータ装置１１−５に順次に確率イベントが生じ、また、ルータ装置１１−３に確率イベントが生じると、これらルータ装置１１−２〜１１−５は、図７に示す処理において、処理Ｓ３１で物理層Ｉ／Ｆ部１３１の識別番号を取得し、処理Ｓ３２で過去に当該通信パケットを追跡対象とする追跡メッセージを受信したか否かを判断する。この結果、受信されていると判断するので、これらルータ装置１１−２〜１１−５は、処理Ｓ４１で休止フラグが休止状態であるか否かが判断される。休止状態（休止フラグ；「１」）であるので、これらルータ装置１１−２〜１１−５は、追跡メッセージの生成を休止する。そして、これらルータ装置１１−２〜１１−５は、処理Ｓ４２で非端ジェネレータメッセージが送信済みであるか否かを判断する。この結果、送信済みではないので、これらルータ装置１１−２〜１１−５は、処理Ｓ４３で非端フラグを「１」にセットし、追跡メッセージの送信処理を終了する。
【００７８】
一方、ルータ装置１１−１は、確率イベントが生じると、同種の通信パケットを追跡対象とする追跡メッセージを受信していないので、再び追跡メッセージを犠牲側端末装置３宛てに送信する。
【００７９】
この追跡メッセージは、ルータ装置１１−２、ルータ装置１１−３、ルータ装置１１−４、ルータ装置１１−５及び追跡装置２０に取り込まれつつ、犠牲側端末装置３に受信される。
【００８０】
これらルータ装置１１−２〜１１−５は、処理Ｓ１１、処理Ｓ１２、処理Ｓ１３及び処理Ｓ１５を実行し、処理Ｓ１６で非端ジェネレータメッセージの送信要求があるか否かを判断する。送信要求があると判断するので、これらルータ装置１１−２〜１１−５は、処理Ｓ１７で非端ジェネレータメッセージ（図８では「非端ＧＭ」で示す。）を生成して犠牲側端末装置３宛てに送信し、処理Ｓ１８で非端フラグを送信済み状態を示す「２」にセットし、休止非端処理を終了する。
【００８１】
攻撃側端末装置２のＤｏｓ攻撃に対し、こうしてルータ装置１１−１は、追跡メッセージを所定の確率で生成して送信する一方、ルータ装置１１−２〜１１−５は、この追跡メッセージの通過後、追跡メッセージの生成を休止し、非端ジェネレータメッセージを犠牲側端末装置３宛てに送信する。
【００８２】
なお、上述の実施形態では、非端ジェネレータメッセージを１度送信すると送信済み状態に送信フラグが設定されるので、非端ジェネレータメッセージは、対応する追跡メッセージに対しルータ装置１１において１度だけ送信される。このため、通信網１の管理トラフィックを低減する観点から優れているが、対応する追跡メッセージに対しルータ装置１１において非端ジェネレータメッセージを複数回生成し、送信するように構成してもよい。
【００８３】
この場合には、非端フラグを送信要求状態と送信要求解除状態との２状態を示すように構成し、図５の処理Ｓ１８で非端フラグを送信済み状態にセットする代わりに送信要求解除状態にセットし、図７の処理Ｓ４２の判断処理を無くして処理Ｓ４３を実行するように構成すればよい。あるいは、非端フラグを無くして図５の処理Ｓ１６乃至処理Ｓ１８を削除し、処理Ｓ１５の休止処理に続けて、非端ジェネレータメッセージを生成して送信する処理を行うように構成すればよい。
【００８４】
また、上述の実施形態では、追跡メッセージを上流側のルータ装置１１より１度受信すると、受信した当該追跡メッセージの追跡対象に対応する通信パケットの送信元及び送信先が送信元及び送信先である通信パケットを追跡対象とする追跡メッセージが生成されなくなる。そこで、追跡メッセージを休止する休止期間を設け、追跡メッセージの休止を所定の期間に限ってもよい。
【００８５】
この場合には、図２に破線で示すように、タイマ部１１６を中央処理部２１にさらに設ける。タイマ部１１６は、休止非端処理部１１４の指示によって休止対象の追跡メッセージごとに用意され、時間経過の計時を始め、所定の時間が経過すると、休止対象の追跡メッセージに関する各情報を登録しているレコードを追跡Ｍ休止テーブル３０及び非端フラグテーブル４０から削除する。
【００８６】
図９は、実施形態に係る第２の休止処理を示すフローチャートである。この場合における図５の処理Ｓ１５における休止処理について説明すると、図９において、休止非端処理部１１４は、当該追跡メッセージに対応する休止期間が終了しているか否かを判断する（Ｓ４１）。判断の結果、休止期間が終了していない場合（Ｎｏ）には、休止非端処理部１１４は、この休止処理を終了する。即ち、図５の処理Ｓ１６を実行する。一方、判断の結果、休止期間が終了している場合（Ｙｅｓ）には、休止非端処理部１１４は、当該追跡メッセージに対応する休止フラグを「１」にセットする（Ｓ４２）。次に、休止非端処理部１１４は、タイマ部１１６に指示して当該追跡メッセージに対応する休止期間をデフォルト値でセットし、計時を始めさせ（Ｓ４３）、この休止処理を終了する。休止期間のデフォルト値は、仕様により決定されるが、管理トラフィックを抑制する観点からデフォルト値は、大きい（休止期間が長い）方が好ましい。
【００８７】
そして、タイマ部１１６は、休止期間が終了すると、休止対象の追跡メッセージに関する各情報を登録しているレコードを追跡Ｍ休止テーブル３０及び非端フラグテーブル４０から削除する。なお、以下の第３乃至第５の休止処理の動作においてもタイマ部１１６は、同様に動作する。
【００８８】
こうして再び初めから図５及び図９に示す休止非端処理及び図７に示す追跡メッセージの送信処理が実行される。
【００８９】
また、このような休止期間を設ける構成において、休止期間を追跡メッセージの受信頻度に応じて増減するように構成してもよい。この場合には、図２に破線で示すように、時を刻む時計部１１５及びタイマ部１１６を中央処理部２１にさらに設ける。そして、図３に破線で示すように、インデックスフィールド３０１、入力Ｉ／Ｆフィールド３０２、出力Ｉ／Ｆフィールド３０３、追跡Ｍ送信元ＩＰフィールド３０４、送信元ＩＰフィールド３０５、送信先ＩＰフィールド３０６及び休止フラグフィールド３０７に加えて、追跡メッセージを受信した時刻を登録する受信時刻フィールド３０８を追跡Ｍ休止テーブル３０にさらに設ける。
【００９０】
図１０は、実施形態に係る第３の休止処理を示すフローチャートである。この場合における図５の処理Ｓ１５について説明すると、図１０において、休止非端処理部１１４は、当該追跡メッセージに対応する休止期間が終了しているか否かを判断する（Ｓ５１）。
【００９１】
判断の結果、休止期間が終了している場合（Ｙｅｓ）には、休止非端処理部１１４は、当該追跡メッセージに対応する休止フラグを「１」にセットする（Ｓ５２）。次に、休止非端処理部１１４は、タイマ部１１６に指示して当該追跡メッセージに対応する休止期間をデフォルト値でセットし、計時を始めさせる（Ｓ５３）。次に、休止非端処理部１１４は、時計部１１５より現在時刻を取得する（Ｓ５４）。そして、休止非端処理部１１４は、当該追跡メッセージ対応するレコードにおける受信時刻フィールド３０８に現在時刻を登録し（Ｓ５５）、この休止処理を終了する。即ち、図５の処理Ｓ１６を実行する。
【００９２】
一方、判断の結果、休止期間が終了していない場合（Ｎｏ）には、休止非端処理部１１４は、追跡Ｍ休止テーブル３０より当該追跡メッセージに対応するレコードにおける受信時刻フィールド３０８から受信時刻を取得すると共に、時計部１１５より現在時刻を取得する（Ｓ６１）。次に、休止非端処理部１１４は、現在時刻から受信時刻を減算することによって、受信時刻からの経過時間（受信経過時間）を演算する（Ｓ６２）。
【００９３】
次に、休止非端処理部１１４は、この演算した受信経過時間が所定の時間以内であるか否かを判断する（Ｓ６３）。判断の結果、所定の時間を越えている場合（Ｎｏ）には、追跡メッセージの受信頻度が比較的少ないので自己が追跡メッセージを生成して送信する必要性が高いから、休止非端処理部１１４は、当該追跡メッセージに対応する休止期間処理部における残存する休止期間から所定の調整期間を減算することによって、休止期間を縮小してタイマ部１１６に再セットし（Ｓ６５）、処理Ｓ６６を実行する。一方、判断の結果、所定の時間以内である場合（Ｙｅｓ）には、追跡メッセージの受信頻度が比較的多いので自己が追跡メッセージを生成して送信する必要性が少ないから、休止非端処理部１１４は、当該追跡メッセージに対応する休止期間処理部における残存する休止期間に所定の調整期間を加算することによって、休止期間を拡大してタイマ部１１６に再セットし（Ｓ６４）、処理Ｓ６６を実行する。ここで、減算の結果、負となった場合には休止期間を「０」にセットすればよい。また、休止期間＞調整期間であり、調整期間は、例えば、休止期間の５％や１０％に設定される。
【００９４】
処理Ｓ６６において、休止非端処理部１１４は、当該追跡メッセージ対応するレコードにおける受信時刻フィールド３０８に登録されている受信時刻を現在時刻で更新し、この休止処理を終了する。
【００９５】
このように動作することによって、追跡メッセージが休止期間中であって所定時間内に受信される場合には、追跡メッセージが受信されるごとに処理Ｓ５１、処理Ｓ６１、処理Ｓ６２、処理Ｓ６３、処理Ｓ６４及び処理Ｓ６６が実行されて、休止期間が調整時間間隔で順次に拡大されるから、追跡メッセージの受信頻度が多ければ多いほど休止期間が拡大される。逆に、追跡メッセージが休止期間中であっても所定時間外に受信される場合には、休止期間が「０」になるまで、追跡メッセージが受信されるごとに処理Ｓ５１、処理Ｓ６１、処理Ｓ６２、処理Ｓ６３、処理Ｓ６５及び処理Ｓ６６が実行されて、休止期間が調整時間間隔で順次に縮小されるから、休止期間中における追跡メッセージの受信頻度が少ないと休止期間が縮小される。
【００９６】
なお、上述の場合では、追跡メッセージが受信されるたびに受信経過時間が所定の時間内であるか判断し、これに応じて休止期間を増減するように構成したが、休止期間をセットする前に、一定の時間内における追跡メッセージの個数をカウントし、カウント数に応じた線形な比率で、あるいは、指数的な比率で休止期間を増減するように構成してもよい。
【００９７】
また、このような休止期間を設ける構成において、追跡メッセージを送出したルータ装置１１から自己までにおける通信上の距離に応じて、当該追跡メッセージの休止期間の長さを決めるように構成してもよい。この場合には、図２に破線で示すように、タイマ部１１６を中央処理部２１にさらに設ける。
【００９８】
図１１は、実施形態に係る第４の休止処理を示すフローチャートである。この場合における図５の処理Ｓ１５について説明すると、図１１において、休止非端処理部１１４は、当該追跡メッセージに対応する休止期間が終了しているか否かを判断する（Ｓ７１）。判断の結果、休止期間が終了していない場合（Ｎｏ）には、休止非端処理部１１４は、この休止処理を終了する。即ち、図５の処理Ｓ１６を実行する。
【００９９】
一方、判断の結果、休止期間が終了している場合（Ｙｅｓ）には、休止非端処理部１１４は、当該追跡メッセージに対応する休止フラグを「１」にセットする（Ｓ７２）。次に、休止非端処理部１１４は、追跡メッセージを送出したルータ装置（発信源追跡情報提供装置）１１から自己までにおける通信上の距離を検出する（Ｓ７３）。
【０１００】
この通信上の距離は、例えば、追跡メッセージのＴＴＬ（Time To Live、生存時間）が初期値からどのくらい減っているかによって検出され得る。この場合、減算結果が小さいほど追跡メッセージを送信したルータ装置１１と自己との通信上の距離は、近い。例えば、ＴＴＬの初期値が「２５５」である場合に、追跡メッセージのＴＴＬが「２３７」である場合には、通信上の距離は、２５５−２３７＝１８と計算される。
【０１０１】
あるいは、この通信上の距離は、例えば、ルータ装置１１が追跡メッセージの送信元宛てに所謂ピング（Ping）を送信してその応答を得ることによって、その送信時刻から応答時刻までの時間（Round Trip Time、ＲＴＴ）を計測することによって検出され得る。この場合、計測時間が小さいほど追跡メッセージを送信したルータ装置１１と自己との通信上の距離は、近い。
【０１０２】
あるいは、この通信上の距離は、例えば、伝送路が無線媒体である場合には、追跡メッセージの受信強度を計測することによって検出され得る。この場合、受信強度が大きいほど追跡メッセージを送信したルータ装置１１と自己との通信上の距離は、近い。
【０１０３】
次に、休止非端処理部１１４は、検出した通信上の距離に応じて休止期間を演算する。そして、休止非端処理部１１４は、タイマ部１１６に指示して当該追跡メッセージに対応する休止期間をセットし、計時を始めさせ（Ｓ７４）、この休止処理を終了する。休止期間は、通信上の距離が遠い場合には休止期間が長くなるように、通信上の距離が近い場合には休止期間が短くなるように演算される。このように休止期間を演算することによって、通信上の距離が遠い場合には、発信源を追跡する上で無駄な追跡メッセージを抑制することができ、通信上の距離が近い場合には、発信源を追跡する上で補佐的な追跡メッセージを迅速に生成し送信することができる。休止期間は、例えば、（休止期間）＝ａ×（２５５−ＴＴＬ）／ＴＴＬの演算式によって演算される。ａは、比例乗数であり、追跡メッセージが１個のルータ装置１１を通過するごとに休止期間が延長される単位休止時間である。
【０１０４】
また、このような休止期間を設ける構成において、追跡メッセージを送出したルータ装置１１から自己までにおける通信上の距離と自己からこの追跡メッセージの送信先までの通信上の距離とに応じて、当該追跡メッセージの休止期間の長さを決めるように構成してもよい。この場合には、図２に破線で示すように、タイマ部１１６を中央処理部２１にさらに設ける。
【０１０５】
図１２は、実施形態に係る第５の休止処理を示すフローチャートである。この場合における図５の処理Ｓ１５について説明すると、図１２において、休止非端処理部１１４は、当該追跡メッセージに対応する休止期間が終了しているか否かを判断する（Ｓ８１）。判断の結果、休止期間が終了していない場合（Ｎｏ）には、休止非端処理部１１４は、この休止処理を終了する。即ち、図５の処理Ｓ１６を実行する。
【０１０６】
一方、判断の結果、休止期間が終了している場合（Ｙｅｓ）には、休止非端処理部１１４は、当該追跡メッセージに対応する休止フラグを「１」にセットする（Ｓ８２）。次に、休止非端処理部１１４は、追跡メッセージを送出したルータ装置１１から自己までにおける通信上の距離ＲＴＴ１を検出する（Ｓ８３）。次に、休止非端処理部１１４は、自己から追跡メッセージの送信先（犠牲側端末装置３）までにおける通信上の距離ＲＴＴ２を検出する（Ｓ８４）。この通信上の距離は、例えば、ルータ装置１１が追跡メッセージの送信元宛てに所謂ピング（Ping）を送信してその応答を得ることによって、その送信時刻から応答時刻までの時間を計測することによって検出され得る。
【０１０７】
次に、休止非端処理部１１４は、検出した両通信上の距離ＲＴＴ１、ＲＴＴ２に応じて休止期間を演算する。そして、休止非端処理部１１４は、タイマ部１１６に指示して当該追跡メッセージに対応する休止期間をセットし、計時を始めさせ（Ｓ８５）、この休止処理を終了する。休止期間は、相対的に送信先（犠牲側端末装置３）に近い場合には休止期間が長くなるように、遠い場合には休止期間が短くなるように演算される。休止期間は、例えば、（休止期間）＝ｂ×（ＲＴＴ１／ＲＴＴ２）＋Ｔ0の演算式によって演算される。ｂは、比例乗数であり、Ｔ0は、固定値である。
【０１０８】
このように動作することによって、追跡メッセージを送信したルータ装置１１から追跡メッセージを受信する犠牲側端末装置３までにおける通信上の位置を正確に認識することができ、追跡メッセージの全伝送距離に対する追跡メッセージを送信したルータ装置１１から自己までの距離の比率を認識することができる。このため、この比率に応じて休止期間を設定することにより、各ルータ装置１１の休止期間を調和よく設定することができ、各ルータ装置１１でより精度よく上述の無駄な追跡メッセージの抑制及び補佐的な追跡メッセージの送信を行うことができる。
【０１０９】
さらに、上述の実施形態では、追跡メッセージの休止は、通信上上流側のルータ装置１１から１回の追跡メッセージを受信すると直ちに休止するように構成したが、所定の一定時間内に所定の回数の追跡メッセージを受信した場合に、休止するように構成してもよい。この場合には、図２に破線で示すように、時を刻む時計部１１５を中央処理部２１にさらに設ける。そして、図３に破線で示すように、インデックスフィールド３０１、入力Ｉ／Ｆフィールド３０２、出力Ｉ／Ｆフィールド３０３、追跡Ｍ送信元ＩＰフィールド３０４、送信元ＩＰフィールド３０５、送信先ＩＰフィールド３０６及び休止フラグフィールド３０７に加えて、追跡メッセージを受信した時刻を登録する受信時刻フィールド３０８、及び、受信回数カウンタのカウント値を登録する受信回数フィールド３０９を追跡Ｍ休止テーブル３０にさらに設ける。受信回数カウンタは、同一追跡対象の追跡メッセージが受信された回数を計数するカウンタである。
【０１１０】
図１３は、実施形態に係る第６の休止処理の動作を示すフローチャート及び休止処理を説明するための図である。図１３（Ａ）は、実施形態に係る第６の休止処理の動作を示すフローチャートであり、図１３（Ｂ）は、休止処理を説明するための図である。
【０１１１】
この場合における図５の処理Ｓ１５について説明すると、図１３（Ａ）において、休止非端処理部１１４は、当該追跡メッセージに対応する休止期間が終了しているか否かを判断する（Ｓ９１）。判断の結果、休止期間が終了していない場合（Ｎｏ）には、休止非端処理部１１４は、この休止処理を終了する。即ち、図５の処理Ｓ１６を実行する。
【０１１２】
一方、判断の結果、休止期間が終了している場合（Ｙｅｓ）には、休止非端処理部１１４は、追跡Ｍ休止テーブル３０より当該追跡メッセージに対応するレコードにおける受信時刻フィールド３０８から受信時刻を取得すると共に、時計部１１５より現在時刻を取得する（Ｓ９２）。
【０１１３】
次に、休止非端処理部１１４は、追跡Ｍ休止テーブル３０における当該追跡メッセージに対応する受信回数フィールド３０９に登録されている受信回数カウンタを「１」だけインクリメントして更新する（Ｓ９３）。
【０１１４】
次に、休止非端処理部１１４は、現在時刻から受信時刻を減算することによって、受信時刻からの経過時間（受信経過時間）を演算する。そして、休止非端処理部１１４は、この演算した受信経過時間が所定の一定時間以内であるか否かを判断する（Ｓ９４）。
【０１１５】
判断の結果、所定の時間を越えている場合（Ｎｏ）には、休止非端処理部１１４は、当該追跡メッセージ対応するレコードにおける受信回数フィールド３０９に登録されている受信回数カウンタを「１」に再設定し（Ｓ１０１）、後述の処理Ｓ１０２を実行する。一方、判断の結果、所定の時間以内である場合（Ｙｅｓ）には、休止非端処理部１１４は、当該追跡メセージに対応する受信回数カウンタのカウント値が休止閾値に達しているか否かを判断する（Ｓ９５）。
【０１１６】
判断の結果、受信回数カウンタのカウント値が休止閾値に達していない場合（Ｎｏ）には、休止非端処理部１１４は、処理Ｓ１０２を実行する。一方、判断の結果、受信回数カウンタのカウンタ値が休止閾値に達している場合（Ｙｅｓ）には、追跡メッセージを休止すべく、休止フラグをセットし（Ｓ９６）、処理を終了する。なお、図９〜図１２を用いて説明したように、さらに休止期間を設け、また、或る物理層Ｉ／Ｆ部１３１で受信される追跡メッセージに着目して休止期間を増減するように構成してもよい。
【０１１７】
処理Ｓ１０２において、休止非端処理部１１４は、当該追跡メッセージ対応するレコードにおける受信時刻フィールド３０８に登録されている受信時刻を現在時刻で更新し、処理を終了する。
【０１１８】
ここで、所定の一定時間及び休止閾値は、ルータ装置（発信源追跡情報提供装置）の仕様により決定され、例えば、休止閾値は、「４」に設定されているとする。この場合において、図１３（Ｂ）に示すように、例えば、休止期間外の或る時刻に追跡メッセージＭ１１が受信されると、処理Ｓ９１、処理Ｓ９２、処理Ｓ９３、処理９４、処理Ｓ１０１及び処理Ｓ１０２が実行されることにより、追跡メッセージＭ１１を受信した受信時刻が追跡Ｍ休止テーブル３０の受信時刻フィールド３０８に登録され、受信回数カウンタが１に設定される。次に、追跡メッセージＭ１１の受信時刻から所定の一定時間内に追跡メッセージＭ１２が受信されると、処理Ｓ９１、処理Ｓ９２、処理Ｓ９３、処理Ｓ９４、処理Ｓ９５及び処理Ｓ１０２が実行されることにより、追跡メッセージＭ１２を受信した受信時刻で受信時刻フィールド３０８に登録されている受信時刻が更新され、受信回数フィールド３０９に登録されている受信回数カウンタが２にカウントアップされる。
【０１１９】
そして、所定の一定時間の経過後における或る時刻に追跡メッセージＭ２１が受信されると処理Ｓ９４で「Ｎｏ」と判断されるから、再び、処理Ｓ９１、処理Ｓ９２、処理Ｓ９３、処理Ｓ９４、処理Ｓ１０１及び処理Ｓ１０２が実行されることにより、追跡メッセージＭ２１を受信した受信時刻が追跡Ｍ休止テーブル３０の受信時刻フィールド３０８に登録され、受信回数カウンタが１に設定される。次に、追跡メッセージＭ２１の受信時刻から所定の一定時間内に追跡メッセージＭ２２及び追跡メッセージＭ２３が受信されると、処理Ｓ９１、処理Ｓ９２、処理Ｓ９３、処理Ｓ９４、処理Ｓ９５及び処理Ｓ１０２が実行されることにより、受信時刻フィールド３０８に登録されている受信時刻が追跡メッセージＭ２２を受信した受信時刻を経て追跡メッセージＭ２３を受信した受信時刻で更新され、受信回数フィールド３０９に登録されている受信回数カウンタが「２」を経て「３」にカウントアップされる。しかしながら、所定の一定時間内に４個目の追跡メッセージが受信されないので、休止フラグは、セットされない。
【０１２０】
また、所定の一定時間の経過後における或る時刻に追跡メッセージＭ３１が受信されると処理Ｓ９３で「Ｎｏ」と判断されるから、再び、処理Ｓ９１、処理Ｓ９２、処理Ｓ９３、処理Ｓ９４、処理Ｓ１０１及び処理Ｓ１０２が実行されることにより、追跡メッセージＭ３１を受信した受信時刻が追跡Ｍ休止テーブル３０の受信時刻フィールド３０８に登録され、受信回数カウンタが１に設定される。次に、追跡メッセージＭ３１の受信時刻から所定の一定時間内に追跡メッセージＭ３２及び追跡メッセージＭ３３が受信されると、処理Ｓ９１、処理Ｓ９２、処理Ｓ９３、処理Ｓ９４、処理Ｓ９５及び処理Ｓ１０２が実行されることにより、受信時刻フィールド３０８に登録されている受信時刻が追跡メッセージＭ３２を受信した受信時刻を経て追跡メッセージＭ３３を受信した受信時刻で更新され、受信回数フィールド３０９に登録されている受信回数カウンタが「２」を経て「３」にカウントアップされる。さらに、所定の一定時間内に追跡メッセージＭ３４が受信されると処理Ｓ９５で受信回数カウンタのカウント値が休止閾値に達したと判断されるから、処理Ｓ９１、処理Ｓ９２、処理Ｓ９３、処理Ｓ９４、処理Ｓ９５及び処理Ｓ９６が実行されることにより、休止フラグがセットされ、以後、追跡メッセージの生成が休止される。
【０１２１】
このように所定の一定期間内に受信される同一の追跡メッセージの量によって追跡メッセージの生成を休止するので、所謂Ｄｏｓ攻撃等の一定期間内に集中的に通信パケットを送信する攻撃に対して管理トラフィックを効率的に抑制することができる。そして、このような攻撃を仕掛けた攻撃側端末装置３に通信上最も近いルータ装置１１のみが追跡メッセージを送信し続けるので、精度よく発信源の端末装置を追跡することができる。
【０１２２】
上述した実施形態では、各物理層Ｉ／Ｆ部１３１−０〜１３１−ｎがそれぞれ独立して動作するものであり、攻撃が１個の端末装置から行われる場合に有効である。ここで、攻撃は、所謂踏み台等によって複数の端末装置から行われる場合もある。このような場合に、ルータ装置１１は、複数の物理層Ｉ／Ｆ部１３１を連係動作させ、追跡メッセージの生成を休止するように構成してもよい。
【０１２３】
例えば、ルータ装置１１は、送信先のＩＰアドレスの等しい通信パケットを追跡対象とする追跡メッセージ（送信先が同一の追跡メッセージ）が送信される物理層Ｉ／Ｆ部１３１を除く残部の全ての物理層Ｉ／Ｆ部１３１から当該追跡メッセージが受信されている場合に、追跡メッセージの生成を休止するように構成する。
【０１２４】
図１４は、実施形態に係る第７の休止処理を示すフローチャートである。この場合における図５の処理Ｓ１５について説明すると、図１４において、休止非端処理部１１４は、当該追跡メッセージの追跡対象である通信パケットと同一の送信先である通信パケットを追跡対象とする追跡メッセージを、追跡Ｍ休止テーブル３０における送信先ＩＰフィールド３０６を参照することによって検索し、その入力Ｉ／Ｆ部３０２を参照することによって、当該追跡メッセージが送出される物理層Ｉ／Ｆ部１３１を除く残部の全ての物理層Ｉ／Ｆ部１３１から追跡メッセージが受信されているか否かを判断する（Ｓ１１１）。
【０１２５】
判断の結果、残部の全ての物理層Ｉ／Ｆ部１３１から、送信先が同一である通信パケットを追跡対象とする追跡メッセージを受信していない場合には、休止非端処理部１１４は、そのまま処理を終了する。即ち、図５の処理Ｓ１６を実行する。
【０１２６】
一方、判断の結果、残部の全ての物理層Ｉ／Ｆ部１３１からこのような追跡メッセージを受信している場合には、休止非端処理部１１４は、当該追跡メッセージの追跡対象である通信パケットと同一の送信先である通信パケットを追跡対象とする追跡メッセージのレコードを追跡Ｍ休止テーブル３０から検索し、検索したレコードにおける休止フラグフィールド３０７に休止フラグ；「１」をセットし（Ｓ１１２）、処理を終了する。なお、図９〜図１２を用いて説明したように、さらに休止期間を設け、また、或る物理層Ｉ／Ｆ部１３１で受信される追跡メッセージに着目して休止期間を増減するように構成してもよい。
【０１２７】
図１５は、図１の通信網において複数の端末装置が攻撃する場合における通信パケットが伝送する通信経路上のルータ装置を示す図である。図１及び図１５に破線で示すように、例えば、ホスト群１２−１内の攻撃側端末装置２に加えて、ホスト群１２−８内の攻撃側端末装置４、ホスト群１２−１４内の攻撃側端末装置５及びホスト群１２−４内の攻撃側端末装置６がホスト群１２−２内の犠牲側端末装置３を攻撃する場合において、攻撃側端末装置２のＩＰアドレスを「Ａｄｄｈ１」、攻撃側端末装置４のＩＰアドレスを「Ａｄｄｈ８」、攻撃側端末装置５のＩＰアドレスを「Ａｄｄｈ１４」、攻撃側端末装置６のＩＰアドレスを「Ａｄｄｈ４」、犠牲側端末装置３のＩＰアドレスを「Ａｄｄｈ２」、ルータ装置１１−１のＩＰアドレスを「Ａｄｄｒ１」、ルータ装置１１−１１のＩＰアドレスを「Ａｄｄｒ１１」、ルータ装置１１−１４のＩＰアドレスを「Ａｄｄｒ１４」及びルータ装置１１−７のＩＰアドレスを「Ａｄｄｒ７」とし、ルータ装置１１−３は、識別番号；「０」〜「４」の５個の物理層Ｉ／Ｆ部１３１−０〜１３１−４を備えており、そして、犠牲側端末装置３宛ての通信パケットが識別番号；「４」の物理層Ｉ／Ｆ部１３１−４から送出されるものとする。また、ルータ装置１１−３は、攻撃側端末装置２の攻撃通信パケットに対するルータ装置１１−１から送出された追跡メッセージを識別番号；「０」の物理層Ｉ／Ｆ部１３１−０からまず受信し、攻撃側端末装置４の攻撃通信パケットに対するルータ装置１１−１１から送出された追跡メッセージを識別番号；「１」の物理層Ｉ／Ｆ部１３１−１から次に受信し、攻撃側端末装置５の攻撃通信パケットに対するルータ装置１１−１４から送出された追跡メッセージを識別番号；「２」の物理層Ｉ／Ｆ部１３１−２から次に受信し、攻撃側端末装置６の攻撃通信パケットに対するルータ装置１１−７から送出された追跡メッセージを識別番号；「３」の物理層Ｉ／Ｆ部１３１−４から次に受信するものとする。
【０１２８】
図３、図５、図１４及び図１５において、このような場合に攻撃側端末装置２が攻撃を始めると、ルータ装置１１−３は、図５及び図１４に示す各処理を実行することによって、追跡Ｍ休止テーブル３０における、インデックス；「８」のレコードが追加され、このレコードにおける入力Ｉ／Ｆフィールド３０２、出力Ｉ／Ｆフィールド３０３、追跡Ｍ送信元ＩＰフィールド３０５及び送信先ＩＰフィールド３０６には、まず「０」、「４」、「Ａｄｄｒ１」、「Ａｄｄｈ１」及び「Ａｄｄｈ２」がそれぞれ登録される。追跡メッセージが送出される物理層Ｉ／Ｆ部１３１−３の識別番号は、「４」であり、その結果、残部の物理層Ｉ／Ｆ部１３１−０〜１３１−２の識別番号は、「０」〜「３」である。送信先フィールド３０６に「Ａｄｄｈ２」を登録するレコードのうち入力Ｉ／Ｆフィールド３０３に「０」を登録するレコード（インデックス；「８」の追加されたレコード）があるが、入力Ｉ／Ｆフィールド３０３に「１」〜「３」を登録するレコードがないので、追加したレコードの休止フラグフィールド３０７に休止フラグ；「１」は、セットされない。
【０１２９】
攻撃側端末装置４が攻撃を始めると、ルータ装置１１−３は、図５及び図１４に示す各処理を実行することによって、追跡Ｍ休止テーブル３０における、インデックス；「９」のレコードが追加され、このレコードにおける入力Ｉ／Ｆフィールド３０２、出力Ｉ／Ｆフィールド３０３、追跡Ｍ送信元ＩＰフィールド３０５及び送信先ＩＰフィールド３０６には、まず「１」、「４」、「Ａｄｄｒ１１」、「Ａｄｄｈ８」及び「Ａｄｄｈ２」がそれぞれ登録される。追跡メッセージが送出される物理層Ｉ／Ｆ部１３１−３の識別番号は、「４」であり、その結果、残部の物理層Ｉ／Ｆ部１３１−０〜１３１−２の識別番号は、「０」〜「３」である。送信先フィールド３０６に「Ａｄｄｈ２」を登録するレコードのうち入力Ｉ／Ｆフィールドに「０」を登録するレコード（インデックス；「８」）及び「１」を登録するレコード（インデックス；「９」の追加されたレコード）があるが、入力Ｉ／Ｆフィールド３０３に「２」及び「３」を登録するレコードがないので、追加したレコードの休止フラグフィールド３０７に休止フラグ；「１」は、セットされない。
【０１３０】
攻撃側端末装置５が攻撃を始めると、ルータ装置１１−３は、図５及び図１４に示す各処理を実行することによって、追跡Ｍ休止テーブル３０における、インデックス；「１０」のレコードが追加され、このレコードにおける入力Ｉ／Ｆフィールド３０２、出力Ｉ／Ｆフィールド３０３、追跡Ｍ送信元ＩＰフィールド３０５及び送信先ＩＰフィールド３０６には、まず「２」、「４」、「Ａｄｄｒ１４」、「Ａｄｄｈ１４」及び「Ａｄｄｈ２」がそれぞれ登録される。追跡メッセージが送出される物理層Ｉ／Ｆ部１３１−３の識別番号は、「４」であり、その結果、残部の物理層Ｉ／Ｆ部１３１−０〜１３１−２の識別番号は、「０」〜「３」である。送信先フィールド３０６に「Ａｄｄｈ２」を登録するレコードのうち入力Ｉ／Ｆフィールドに「０」を登録するレコード（インデックス；「８」）、「１」を登録するレコード（インデックス；「９」）及び「２」を登録するレコード（インデックス；「１０」の追加されたレコード）があるが、入力Ｉ／Ｆフィールド３０３に「３」を登録するレコードがないので、追加したレコードの休止フラグフィールド３０７に休止フラグ；「１」は、セットされない。
【０１３１】
そして、攻撃側端末装置６が攻撃を始めると、ルータ装置１１−３は、図５及び図１４に示す各処理を実行することによって、追跡Ｍ休止テーブル３０における、インデックス；「１１」のレコードが追加され、このレコードにおける入力Ｉ／Ｆフィールド３０２、出力Ｉ／Ｆフィールド３０３、追跡Ｍ送信元ＩＰフィールド３０５及び送信先ＩＰフィールド３０６には、「３」、「４」、「Ａｄｄｒ７」、「Ａｄｄｈ４」及び「Ａｄｄｈ２」がそれぞれ登録される。追跡メッセージが送出される物理層Ｉ／Ｆ部１３１−３の識別番号は、「４」であり、その結果、残部の物理層Ｉ／Ｆ部１３１−０〜１３１−２の識別番号は、「０」〜「３」である。送信先フィールド３０６に「Ａｄｄｈ２」を登録するレコードのうち入力Ｉ／Ｆフィールドに「０」を登録するレコード（インデックス；「８」）、「１」を登録するレコード（インデックス；「９」）、「２」を登録するレコード（インデックス；「１０」）及び「３」を登録するレコード（インデックス；「１１」の追加されたレコード）があり、識別番号；「４」の物理層Ｉ／Ｆ部１３１−４を除く残部の全ての物理層Ｉ／Ｆ部１３１−０〜１３１−３から送信先が同一の通信パケットを追跡対象とする追跡メッセージが受信されているので、当該追跡メッセージの追跡対象である通信パケットと同一の送信先である通信パケットを追跡対象とする追跡メッセージのレコード（インデックス；「８」、「９」、「１０」及び「１１」）を追跡Ｍ休止テーブル３０から検索し、検索したレコードにおける休止フラグフィールド３０７に休止フラグ；「１」をセットする。
【０１３２】
こうしてルータ装置１１−３は、送信先が「Ａｄｄｈ２」である通信パケットを追跡対象とする追跡メッセージの送信を休止する。
【０１３３】
ここで、複数の端末装置が攻撃する場合において、攻撃側端末装置がスタブルータ装置のホスト群内にある場合がある。スタブルータ装置（末端ルータ装置）は、ハブ（Hub）ルータ装置に接続されるルータ装置である。従って、スタブルータ装置のホスト群からの通信パケットは、スタブルータ装置を介してハブルータ装置へルーティングされ、そして、スタブルータ装置のホスト群への通信パケットは、スタブルータ装置を介してこのハブルータ装置からルーティングされて来る。図１に示す例では、例えば、スタブルータ装置は、ルータ装置１１−１、１１−６、１１−７等であり、ハブルータ装置は、ルータ装置１１−２、１１−３等である。このスタブルータ装置から送出される追跡メッセージは、追跡装置２０が発信源を探索する場合にホスト群が特定されるので、発信源の探索の精度を向上させることができる。そのため、上述のように複数の物理層Ｉ／Ｆ部１３１を連係動作させる場合に、このスタブルータ装置から追跡メッセージを受信する物理層Ｉ／Ｆ部１３１を連係動作から外すことが好ましい。
【０１３４】
この場合において、ルータ装置１１の記憶部２２には、図２に破線で示すように、自己に接続されるルータ装置１１がスタブルータ装置である場合にその旨を示すスタブルータ情報を記憶するスタブルータ情報記憶部２２４をさらに設ける。ルータ装置１１がスタブルータ装置であるか否かは、例えば、ＯＳＰＦ（Open Shortest Path First）等のＳｔｕｂ  Ｒｏｕｔｅｒ  ＡｄｖｅｒｔｉｓｅｍｅｎｔプロトコルやＬｉｎｋ  Ｓｔａｔｅ  Ａｄｖｅｒｔｉｓｅｍｅｎｔの情報から検出することができる。
【０１３５】
そして、図１４の処理Ｓ１１１において、休止非端処理部１１４は、当該追跡メッセージの追跡対象である通信パケットと同一の送信先である通信パケットを追跡対象とする追跡メッセージを、追跡Ｍ休止テーブル３０における送信先ＩＰフィールド３０６を参照することによって検索し、その入力Ｉ／Ｆ部３０２を参照することによって、当該追跡メッセージが送出される物理層Ｉ／Ｆ部１３１を除き、かつ、スタブルータ装置から追跡メッセージが受信される物理層Ｉ／Ｆ部１３１を除く、残部の全ての物理層Ｉ／Ｆ部１３１から追跡メッセージが受信されているか否かを判断するように構成する。
【０１３６】
例えば、図１及び図１５において、ルータ装置１１−７は、ルータ装置１１−３と接続される他は、ホスト群１１−７だけなので、スタブルータ装置である。上述の場合において、攻撃側端末装置６が犠牲側端末装置３を攻撃する通信パケットに対するルータ装置１１−７で生成される追跡メッセージは、識別番号；「３」の物理層Ｉ／Ｆ部１３１−３から受信されるので、ルータ装置１１−３は、識別番号；「０」〜「２」の物理層Ｉ／Ｆ部１３１−０〜１３１−２を連係動作させて、犠牲側端末装置３宛ての通信パケットを追跡対象とする追跡メッセージを休止することになる。
【０１３７】
以上、説明したように、本発明は、確率によって追跡メッセージを生成して通信網１に送出するトレースバック方式に対して追跡メッセージを効果的に抑制し得るものであるから、ＩＣＭＰトレースバック方式やＩＰマーキングトレースバック方式等に適用可能である。
【図面の簡単な説明】
【０１３８】
【図１】実施形態に係る発信源追跡情報提供装置を備えるルータ装置の適用された通信網を示す図である。
【図２】実施形態に係る発信源追跡情報提供装置を備えるルータ装置の構成を示す図である。
【図３】追跡メッセージ休止テーブルの構成を示す図である。
【図４】非端フラグテーブルの構成を示す図である
【図５】実施形態に係る発信源追跡情報提供を備えるルータ装置における休止非端処理を示すフローチャートである。
【図６】実施形態に係る第１の休止処理を示すフローチャートである。
【図７】実施形態に係る発信源追跡情報提供における追跡メッセージの送信処理を示すフローチャートである。
【図８】図１の通信網におけるＤｏｓ攻撃の通信パケットが伝送する通信経路上のルータ装置を示す図である。
【図９】実施形態に係る第２の休止処理を示すフローチャートである。
【図１０】実施形態に係る第３の休止処理を示すフローチャートである。
【図１１】実施形態に係る第４の休止処理を示すフローチャートである。
【図１２】実施形態に係る第５の休止処理を示すフローチャートである。
【図１３】実施形態に係る第６の休止処理の動作を示すフローチャート及び休止処理を説明するための図である。
【図１４】実施形態に係る第７の休止処理を示すフローチャートである。
【図１５】図１の通信網において複数の端末装置が攻撃する場合における通信パケットが伝送する通信経路上のルータ装置を示す図である。
【符号の説明】
【０１３９】
１  通信網
２〜６  端末装置
１１  ルータ装置
１２  ホスト群
２１  中央処理部
２２  記憶部
２３  通信インターフェース部
１１１  追跡メッセージ検出部
１１２  追跡メッセージ生成部
１１３  確率イベント発生部
１１４  休止非端処理部
１１５  時計部
１１６  タイマ部
２２１  追跡メッセージ休止テーブル
２２２  非端フラグテーブル記憶部
２２４  スタブルータ情報記憶部
３０２  入力インターフェースフィールド
３０３  出力インターフェースフィールド
３０６  送信先ＩＰフィールド
３０７  休止フラグフィールド
３０８  受信時刻フィールド
３０９  受信回数フィールド
４０２  非端フラグフィールド
【図１】
2005278012.tif 000003
【図２】
2005278012.tif 000004
【図３】
2005278012.tif 000005
【図４】
2005278012.tif 000006
【図５】
2005278012.tif 000007
【図６】
2005278012.tif 000008
【図７】
2005278012.tif 000009
【図８】
2005278012.tif 000010
【図９】
2005278012.tif 000011
【図１０】
2005278012.tif 000012
【図１１】
2005278012.tif 000013
【図１２】
2005278012.tif 000014
【図１３】
2005278012.tif 000015
【図１４】
2005278012.tif 000016
【図１５】
2005278012.tif 000017