(57)【要約】【課題】  本発明の目的は、追跡時間の短縮化や管理トラフィックの抑制を図る発信源追跡情報提供装置、発信源追跡システム及び該方法並びにルータ装置を提供することである。【解決手段】  本発明の発信源追跡情報提供装置は、受信した通信パケットの特徴情報を生成してこれを特徴情報記憶部１２２に記憶する特徴情報生成部１１２と、所定の確率で通信パケットを選択し、追跡情報として少なくともこの通信パケットの特徴情報が収容されこの通信パケットを追跡対象とする追跡メッセージを生成してネットワークへ送出させる追跡メッセージ生成部１１３と、追跡対象の通信パケットの特徴情報が収容されこの追跡対象の通信パケットが通過したか否かを問い合わせる通過問合せメッセージを受信した場合に、この特徴情報と一致する特徴情報が特徴情報記憶部１２２に記憶されているか否かを判断し、その判断結果を返信する応答メッセージ生成部１１４とを備える。【選択図】      図２
2005328344.tif 000002
【特許請求の範囲】
【請求項１】
通信パケットの発信源を追跡するための追跡情報を収容する追跡メッセージを提供する発信源追跡情報提供装置において、
ネットワークとの間で通信パケットを送受信する通信インターフェース手段と、
通信パケットの特徴を表す情報である特徴情報を記憶する特徴情報記憶手段と、
前記通信インターフェース手段より受信した通信パケットの特徴情報を生成し、該生成した特徴情報を前記特徴情報記憶手段に記憶する特徴情報生成手段と、
前記通信インターフェース手段より受信した通信パケットのうち所定の確率で通信パケットを選択し、前記追跡情報として少なくとも該選択した通信パケットの特徴情報が収容され該選択した通信パケットを追跡対象とする追跡メッセージを生成し、該生成した追跡メッセージを前記通信インターフェース手段より前記ネットワークへ送出させる追跡メッセージ生成手段と、
追跡対象の通信パケットの特徴情報が収容され該追跡対象の通信パケットが通過したか否かを問い合わせる通過問合せメッセージを受信した場合に、該受信した通過問合せメッセージに収容されている前記特徴情報と一致する特徴情報が前記特徴情報記憶手段に記憶されているか否かを判断し、その判断結果を前記通過問合せメッセージの送信元に返信する応答メッセージ生成手段とを備えること
を特徴とする発信源追跡情報提供装置。
【請求項２】
通信パケットの発信源を追跡するための追跡情報を収容する追跡メッセージを提供する発信源追跡情報提供装置と、前記通信パケットの発信源を追跡する追跡装置とを備える発信源追跡システムにおいて、
前記発信源追跡情報提供装置は、請求項１に記載の発信源追跡情報提供装置であること
を特徴とする発信源追跡システム。
【請求項３】
通信パケットの発信源を追跡するための追跡情報を収容する追跡メッセージを提供する発信源追跡情報提供装置と、前記通信パケットの発信源を追跡する追跡装置とを備える発信源追跡システムにおける前記通信パケットの発信源を探査する発信源追跡方法において、
前記発信源追跡情報提供装置が、ネットワークから受信した通信パケットの特徴を表す特徴情報を生成するステップと、
前記発信源追跡情報提供装置が、前記生成した特徴情報を記憶するステップと、
前記発信源追跡情報提供装置が、所定の確率で通信パケットを選択するステップと、
前記発信源追跡情報提供装置が、前記追跡情報として少なくとも前記選択した通信パケットの特徴情報が収容され前記選択した通信パケットを追跡対象とする追跡メッセージを生成するステップと、
前記発信源追跡情報提供装置が、前記生成した追跡メッセージを前記ネットワークへ送出するステップと、
前記追跡装置が、追跡対象の通信パケットの特徴情報が収容され該追跡対象の通信パケットが通過したか否かを問い合わせる通過問合せメッセージを生成するステップと、
前記追跡装置が、前記生成した通過問合せメッセージを前記発信源追跡情報提供装置へ送信するステップと、
前記発信源追跡情報提供装置が、前記通過問合せメッセージを受信した場合に、該受信した通過問合せメッセージに収容されている前記特徴情報と一致する特徴情報が記憶されているか否かを判断し、その判断結果を前記追跡装置に返信するステップと、
前記追跡装置が、前記発信源追跡情報提供装置から返信された判断結果に基づいて前記追跡対象の通信パケットにおける発信源を追跡するステップとを備えること
を特徴とする発信源追跡方法。
【請求項４】
通信パケットをルーティングするルータ装置において、
請求項１に記載の発信源追跡情報提供装置をさらに備えること
を特徴とするルータ装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信パケットの発信源を追跡するための追跡情報を提供する発信源追跡情報提供装置に関し、特に、受動型発信源探査法と能動型発信源探査法とを組み合わせたハイブリッド型の発信源追跡情報提供装置に関する。そして、このような発信源追跡情報提供装置を用いた発信源追跡システム及びこの発信源追跡システムの発信源追跡方法に関する。さらに、このような発信源追跡情報提供装置を備えるルータ装置に関する。
【背景技術】
【０００２】
近年、通信技術の発達により、インターネットに代表されるオープンネットワーク等の通信が普及している。このような状況に伴い、ネットワークに接続する装置は、例えば大量のＩＰパケットを送りつけるいわゆるＤｏＳ（Denial of Service）攻撃やＤＤｏＳ（Distributed Dos）攻撃等のサービス妨害攻撃を受け易い状態にある。このサービス妨害攻撃は、犠牲側装置の処理を飽和状態にすることによってサービス提供を麻痺させるだけでなく、ネットワーク全体のリソースを消費させてしまい全体への影響が大きいことから、その対策が求められている。
【０００３】
このような対策の一つとして、攻撃に利用されたＩＰパケットの発信源を追跡する技術、いわゆるＩＰトレースバック技術が知られている。このＩＰトレースバック技術は、大別すると、受動型発信源探査法と能動型発信源探査法とがある。
【０００４】
受動型発信源探査法は、途中経路上のルータ装置が２万分の１程度の一定確率で追跡対象のＩＰパケットを選択し、このＩＰパケットに対する追跡情報を生成し、この追跡情報を収容した追跡メッセージをＩＰパケットの宛先に送信するものである。そして、宛先の装置及び／又は追跡メッセージの複製を受信する追跡装置がこの追跡情報に基づいて発信源を追跡するものである（例えば、特許文献１乃至特許文献３参照）。
【０００５】
また、能動型発信源探査法は、途中経路上のルータ装置が、通過する全てのＩＰパケットについてその要約情報を一定時間記憶しておき、追跡対象のＩＰパケットが通過したか否かを問い合わせる通過問合せメッセージを追跡装置から受信すると、この記憶してある要約情報を参照することによって問い合わせのあった追跡対象のＩＰパケットが通過したか否かを判断し、その判断結果を伝える通過問合せ応答メッセージを追跡装置に返信するものである。そして、追跡装置が、返信された判断結果に基づいて発信源を追跡するものである（例えば、特許文献４乃至特許文献６及び非特許文献１乃至非特許文献３参照）。
【特許文献１】特開２００３−２６４５５３号公報
【特許文献２】特開２０００−１２４９５２号公報
【特許文献３】特開２０００−３４１３１５号公報
【特許文献４】特開２００３−２９８６４８号公報
【特許文献５】特開２００３−２９８６５２号公報
【特許文献６】特開２００４−１２０６９５号公報
【非特許文献１】Alex C. Snoeren, Craig Partridge, Luis A. Sanchez, Christine E. Jones,Fabrice Tchakountio, Beverly Schwartz, Stephen T. Kent, and W. Timothy Strayer. ,"Single-Packet IP Traceback",IEEE/ACM Transactions on Networking (ToN), Volume 10, Number 6,December 2002. Pages 721-734.
【非特許文献２】Alex C. Snoeren, Craig Partridge, Luis A. Sanchez, Christine E. Jones,Fabrice Tchakountio, Stephen T. Kent, and W. Timothy Strayer.,"Hash-Based IP Traceback",Proceedings of the ACM/SIGCOMM 2001 Conference on Applications,Technologies, Architectures, and Protocols for Computer Communication(SIGCOMM '01), pp. 3-14, San Diego, CA, August 2001.
【非特許文献３】Luis A. Sanchez, Walter C. Milliken, Alex C. Snoeren, Fabrice Tchakountio, Christine E. Jones, Stephen T. Kent, Craig Partrige, and W.Timothy Strayer. ,"Hardware Support for a Hash-Based IP Traceback",Proceedings of the 2nd DARPA Information SurvivabilityConference and Exposition (DISCEX II), pp. 146-152, Anaheim, CA, June 2001.
【発明の開示】
【発明が解決しようとする課題】
【０００６】
ところで、受動型発信源探査法では、発信源を追跡するためには、所定の確率で送信される追跡メッセージを攻撃側装置から犠牲側装置までの途中経路上における各ルータ装置から収集する必要がある。このため、所定の確率が小さいと発信源の探索に長時間を要してしまう。一実験例によると、１００通信パケット毎秒の攻撃を追跡する場合、追跡に要する時間は、約３０分であった。一方、所定の確率を大きくすると、追跡に要する時間は短縮されるが、追跡メッセージのトラフィック（管理トラフィック）が増えてしまい、通常の通信メッセージのトラフィック（実トラフィック）が少なくなってしまう。
【０００７】
また、能動型発信源探査法では、発信源を追跡するためには、各ルータ装置に通過問合せメッセージを送信してその通過問合せ応答メッセージを受信する必要があるが、これらメッセージが複数回ネットワーク上で送受信される。このため、特に、攻撃側装置が複数である場合、攻撃に使われる通信パケットの総数を上回るメッセージがネットワークに流れることとなって実トラフィックが少なくなってしまう。一実験例によると、攻撃側装置が１００個の場合、約１００００個のメッセージがネットワーク上で送受信された。
【０００８】
本発明は、上述の事情に鑑みて為された発明であり、受動型発信源探査法と能動型発信源探査法とを組み合わせることによって、追跡に要する時間を短縮し、また、管理トラフィックを抑制し得る発信源追跡情報提供装置を提供することを目的とする。そして、このような発信源追跡情報提供装置を用いた発信源追跡システム及びこの発信源追跡システムの発信源追跡方法を提供することを目的とする。さらに、このような発信源追跡情報提供装置を備えるルータ装置を提供することを目的とする。
【課題を解決するための手段】
【０００９】
上述の目的を達成するために、本発明の一態様に係る、通信パケットの発信源を追跡するための追跡情報を収容する追跡メッセージを提供する発信源追跡情報提供装置は、ネットワークとの間で通信パケットを送受信する通信インターフェース手段と、通信パケットの特徴を表す情報である特徴情報を記憶する特徴情報記憶手段と、前記通信インターフェース手段より受信した通信パケットの特徴情報を生成し、該生成した特徴情報を前記特徴情報記憶手段に記憶する特徴情報生成手段と、前記通信インターフェース手段より受信した通信パケットのうち所定の確率で通信パケットを選択し、前記追跡情報として少なくとも該選択した通信パケットの特徴情報が収容され該選択した通信パケットを追跡対象とする追跡メッセージを生成し、該生成した追跡メッセージを前記通信インターフェース手段より前記ネットワークへ送出させる追跡メッセージ生成手段と、追跡対象の通信パケットの特徴情報が収容され該追跡対象の通信パケットが通過したか否かを問い合わせる通過問合せメッセージを受信した場合に、該受信した通過問合せメッセージに収容されている前記特徴情報と一致する特徴情報が前記特徴情報記憶手段に記憶されているか否かを判断し、その判断結果を前記通過問合せメッセージの送信元に返信する応答メッセージ生成手段とを備えることを特徴とする。
【００１０】
そして、本発明の他の一態様に係る、通信パケットの発信源を追跡するための追跡情報を収容する追跡メッセージを提供する発信源追跡情報提供装置と、前記通信パケットの発信源を追跡する追跡装置とを備える発信源追跡システムにおいて、前記発信源追跡情報提供装置は、請求項１に記載の発信源追跡情報提供装置であることを特徴とする。
【００１１】
また、本発明の他の一態様に係る、通信パケットの発信源を追跡するための追跡情報を収容する追跡メッセージを提供する発信源追跡情報提供装置と、前記通信パケットの発信源を追跡する追跡装置とを備える発信源追跡システムにおける前記通信パケットの発信源を探査する発信源追跡方法において、前記発信源追跡情報提供装置が、ネットワークから受信した通信パケットの特徴を表す特徴情報を生成するステップと、前記発信源追跡情報提供装置が、前記生成した特徴情報を記憶するステップと、前記発信源追跡情報提供装置が、所定の確率で通信パケットを選択するステップと、前記発信源追跡情報提供装置が、前記追跡情報として少なくとも前記選択した通信パケットの特徴情報が収容され前記選択した通信パケットを追跡対象とする追跡メッセージを生成するステップと、前記発信源追跡情報提供装置が、前記生成した追跡メッセージを前記ネットワークへ送出するステップと、前記追跡装置が、追跡対象の通信パケットの特徴情報が収容され該追跡対象の通信パケットが通過したか否かを問い合わせる通過問合せメッセージを生成するステップと、前記追跡装置が、前記生成した通過問合せメッセージを前記発信源追跡情報提供装置へ送信するステップと、前記発信源追跡情報提供装置が、前記通過問合せメッセージを受信した場合に、該受信した通過問合せメッセージに収容されている前記特徴情報と一致する特徴情報が記憶されているか否かを判断し、その判断結果を前記追跡装置に返信するステップと、前記追跡装置が、前記発信源追跡情報提供装置から返信された判断結果に基づいて前記追跡対象の通信パケットにおける発信源を追跡するステップとを備えることを特徴とする。
【００１２】
さらに、本発明の他の一態様に係る、通信パケットをルーティングするルータ装置は、上述の発信源追跡情報提供装置をさらに備えることを特徴とする。
【発明の効果】
【００１３】
このような構成の発信源追跡情報提供装置、発信源追跡システム及び発信源追跡方法並びにルータ装置では、特徴情報生成手段が、通信インターフェース手段より受信した通信パケットの特徴情報を生成し、この生成した特徴情報を特徴情報記憶手段に記憶し、追跡メッセージ生成手段が、通信インターフェース手段より受信した通信パケットのうち所定の確率で通信パケットを選択し、追跡情報として少なくともこの選択した通信パケットの特徴情報が収容されこの選択した通信パケットを追跡対象とする追跡メッセージを生成し、この生成した追跡メッセージを通信インターフェース手段よりネットワークへ送出させ、応答メッセージ生成手段が、追跡対象の通信パケットの特徴情報が収容されこの追跡対象の通信パケットが通過したか否かを問い合わせる通過問合せメッセージを受信した場合に、この受信した通過問合せメッセージに収容されている特徴情報と一致する特徴情報が特徴情報記憶手段に記憶されているか否かを判断し、その判断結果を通過問合せメッセージの送信元に返信する。
【００１４】
このため、発信源追跡情報提供装置は、通過する全ての通信パケットの特徴情報を特徴情報記憶手段に記憶しているので、特徴情報記憶手段の記憶内容を参照することによって、通過問合せメッセージを受信した場合に問合せのあった通信パケットが通過したか否かを判別することができる。通過問合せメッセージを送信した装置は、ネットワーク内の各発信源追跡情報提供装置から通過問合せ応答メッセージを受信し、追跡対象の通信パケットが通過した旨を収容する通過問合せ応答メッセージを抽出し、この抽出した通過問合せ応答メッセージを送信した発信源追跡情報提供装置を犠牲側の装置から順に繋げて追跡することによって、攻撃側の装置を探査することができる。
【００１５】
従って、通過問合せメッセージを送信した装置は、１個の追跡メッセージを受信することによって発信源の追跡を行うことができるから、追跡メッセージを生成する所定の確率を従来の所定の確率よりも大きくすることなく従来の所定の確率のままで、即ち、管理トラフィックを増やすことなく、追跡に要する時間を従来に較べて短縮することができる。また、追跡メッセージは、所定の確率で生成されるので、攻撃側の装置が複数である場合でも攻撃に使われる通信パケットの総数を上回る追跡メッセージがネットワークに流れることなく実トラフィックを減少させることがない。
【発明を実施するための最良の形態】
【００１６】
以下、本発明に係る実施形態を図面に基づいて説明する。なお、各図において同一の符号を付した構成は、同一の構成であることを示し、その説明を省略する。
（実施形態の構成）
本実施形態に係る発信源追跡情報提供装置は、ネットワークに接続された一の端末装置が他の端末装置に通信パケットを送信した場合に、通信パケットの通信経路を追跡することによって他の端末装置及び／又は追跡装置がこの通信パケットの発信源（一の端末装置）を追跡するための追跡情報を提供する装置である。なお、一の端末装置が他の端末装置に通信パケットを送信する場合であってその経路上に発信源追跡情報提供装置が在る場合に、当該発信源追跡情報提供装置から見て一の端末装置側（通信パケットの送信側）を通信上上流側と言い、また、当該発信源追跡情報提供装置から見て他の端末装置側（通信パケットの受信側）を通信上下流側と言う。
【００１７】
図１は、実施形態に係る発信源追跡情報提供装置を備えるルータ装置の適用されたネットワークを示す図である。図２は、実施形態に係る発信源追跡情報提供装置を備えるルータ装置の構成を示す図である。図３は、追跡メッセージのフォーマットを示す図である。
【００１８】
図１において、ネットワーク１は、複数のホスト群１２（１２−１〜１２−１６）と、本発明に係る発信源追跡情報提供装置を備える複数のルータ装置１１（１１−１〜１１−１８）と、追跡装置２０とを備えて構成される。そして、ルータ装置１１（発信源追跡情報提供装置）と追跡装置２０とを備えて、通信パケットの発信源を追跡し探査する発信源追跡システムを構成する。図１では、ホスト群１２は、「Ｈｓ」で表され、ルータ装置１１は、「Ｒ＋Ｇ」で表されている。なお、各構成を総称する場合には添え字を省略した参照符号で表す。
【００１９】
ホスト群１２は、複数のノード装置を備えて構成されるサブネットワークである。ノード装置は、例えば、通信プロトコルのプロトコル変換を行うと共に通信パケットをルーティング（経路選択）するゲートウェイ装置、通信パケットをルーティングするルータ装置及び端末装置等である。端末装置は、ネットワーク１を介して通信パケットを送受信する通信機能を備えた装置であり、例えば、通信機能を備えたコンピュータ（サーバコンピュータや端末コンピュータ等）、移動体通信端末、ゲーム端末及びＰＤＡ（Personal Digital Assistants）等である。本実施形態では、説明の都合上、ホスト群１２−１内に端末装置２が存在し、ホスト群１２−２内に端末装置３が存在し、端末装置２が通信パケットを端末装置３に送信するものとする。そして、端末装置２は、端末装置３に不正アクセス、いわゆるコンピュータウィルスによる端末装置３の動作の破壊、及び、端末装置３へのサービス妨害攻撃等の攻撃を行うものとする。以下、攻撃を行う端末装置２を攻撃側端末装置２と呼称し、攻撃を受ける端末装置３を犠牲側端末装置３と呼称するものとする。
【００２０】
ルータ装置１１間及びルータ装置１１とホスト群１２との間は、通信パケットを伝播する有線媒体や無線媒体の伝送路によって相互に接続される。
【００２１】
追跡装置２０は、発信源追跡情報提供装置を備えるルータ装置１１からネットワーク１に送出される後述の追跡メッセージや通過問合せメッセージに基づいて発信源を追跡し探査するノード装置であり、例えば、ミラーポートを備えるハブ（Hub、集線装置）やスイッチ等を介して伝送路に接続される。このため、追跡装置２０には、ネットワーク１を伝送する通信パケットの複製（コピー）が入力されることになる。そして、追跡装置２０は、犠牲側端末装置３への通信パケットが全て入力されるようにする観点から、図１に示すように、犠牲側端末装置３と、犠牲側端末装置３が接続するルータ装置１１−５との間の伝送路にハブを介して接続されることが好ましい。
【００２２】
犠牲側端末装置３が発信源を追跡し攻撃側端末装置２を探査するように構成してもよいが、犠牲側端末装置３は、攻撃を受けることによってリソースに比較的大きな負荷がかかっているので、このような追跡装置２０を別個に設けることによって、発信源の追跡処理の負荷を犠牲側端末装置３から開放することができる。
【００２３】
ルータ装置１１は、ホスト群１２や他のルータ装置１１を相互に接続すると共に通信パケットのルーティングを行う機器であり、本発明に係る発信源追跡情報提供装置が組み込まれている。図２において、ルータ装置１１は、中央処理部２１と、記憶部２２と、通信インターフェース部２３とを備えて構成される。
【００２４】
通信インターフェース部２３は、ネットワーク１との間で通信パケットの送受信を行うインターフェース回路であり、複数のインターフェース部を備えて構成される。さらに詳しくは、通信インターフェース部２３は、物理層の複数の物理層インターフェース部（以下、「物理層Ｉ／Ｆ部」と略記する。）１３１（１３１−０〜１３１−ｎ）と、各物理層Ｉ／Ｆ部１３１−０〜１３１−ｎに対応して設けられるリンク層の複数のリンク層インターフェース部（以下、「リンク層Ｉ／Ｆ部」と略記する。）１３２（１３２−０〜１３２−ｎ）と、各リンク層Ｉ／Ｆ部１３２−０〜１３２−ｎに対応して設けられるネットワーク層の複数のネットワーク層インターフェース部（以下、「ＮＴ層Ｉ／Ｆ部」と略記する。）１３３（１３３−０〜１３３−ｎ）とを備えて構成される。物理層Ｉ／Ｆ部１３１は、通信パケットを受信するとその旨を示す受信イベントを中央処理部２１に出力する。物理層Ｉ／Ｆ部１３１には、各物理層Ｉ／Ｆ部１３１−０〜１３１−ｎを識別するために固有の識別子、例えば、本実施形態では、識別番号；「０」〜「ｎ」が割り当てられる。そして、各リンク層Ｉ／Ｆ部１３２−０〜１３２−ｎには、識別番号に対応した（ｎ＋１）個のＭＡＣアドレス（Media Access Control Address）；「ＭＡＣａｄｄ０」〜「ＭＡＣａｄｄｎ」がそれぞれ割り当てられ、各ＮＴ層Ｉ／Ｆ部１３３−０〜１３３−ｎには、識別番号に対応した（ｎ＋１）個のＩＰアドレス（Internet Protocol Address）；「ＩＰａｄｄ０」〜「ＩＰａｄｄｎ」がそれぞれ割り当てられる。
【００２５】
記憶部２２は、例えばＲＯＭ（Read Only Memory）やＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）等の不揮発性の記憶素子、及び、例えばＲＡＭ（Random Access Memory）等の揮発性の記憶素子等を備えて構成される。この不揮発性の記憶素子には、本ルータ装置１１を動作させるための各種のプログラム、及び、各種のプログラムを実行する際に必要な情報等を記憶する。この揮発性の記憶素子は、中央処理部２１が実行する各種のプログラムを不揮発性の記憶素子から読み込むと共に、これら各種のプログラムの実行中における各データを一時的に記憶するいわゆるワーキングメモリとなる。そして、記憶部２２は、経路情報を登録するルーティングテーブルを記憶するルーティングテーブル記憶部１２１と、特徴情報生成部１１２が生成した通信パケットの特徴情報を記憶する特徴情報記憶部１２２とを備える。
【００２６】
なお、記憶部２２に記憶される各プログラムや各データ等の情報が格納されていない場合には、これら情報を管理するサーバコンピュータ（不図示）からネットワーク１及び通信インタフェース部２３を介してこれら情報がダウンロードされるように構成してもよく、また、これら情報を記録した記録媒体から該記録媒体との間でデータを読み込み及び／又は書き込みを行う外部記憶部（不図示）を介して記憶部２２にインストールされるように構成してもよい。記録媒体は、例えば、フレキシブルディスク、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Compact Disc Recordable）及びＤＶＤ−Ｒ（Digital Versatile Disc Recordable）等であり、外部記憶部は、例えば、フレキシブルディスクドライブ、ＣＤ−ＲＯＭドライブ、ＣＤ−Ｒドライブ及びＤＶＤ−Ｒドライブ等である。
【００２７】
また、ルータ装置１１は、通信プロトコルの変換を行うゲートウェイ機能をさらに備えた所謂ゲートウェイ装置を含む概念である。
【００２８】
中央処理部２１は、例えば、マイクロプロセッサ等で構成され、機能的に、後述するように、追跡メッセージの生成送信処理や通過問合せ応答メッセージの生成送信処理等の追跡情報を提供する処理、及び、当該ルータ装置１１でルーティングされた通信パケットの特徴情報を記録する処理を行うジェネレータ部１０１と、ルーティングテーブルに基づいて通信パケットのルーティング処理を行うルーティング部１０２とを備えると共に、プログラムに従い記憶部２２及び通信インタフェース部２３を制御する。
【００２９】
ジェネレータ部１０１は、さらに、確率イベント発生部１１１と、特徴情報生成部１１２と、追跡メッセージ生成部１１３と、応答メッセージ生成部１１４とを備える。
【００３０】
確率イベント生成部１１１は、当該ルータ装置１１でルーティングされる通信パケットを取り込み、この取り込んだ通信パケットの数に応じて所定の確率で確率イベントを発生し、この発生した確率イベントを特徴情報生成部１１２に通知する。確率イベントの発生は、例えば、所定の確率の範囲内の数値を乱数で発生させることによって、確率イベントを発生させるイベント発生値を決定し、確率イベント発生部１１１に通信パケットが取り込まれるごとに通信パケットの個数を計数し、当該計数値がイベント発生値に達した場合に確率イベントを発生するように構成すればよい。より具体的には、所定の確率が五千分の一である場合には、１から５０００までの範囲で数値を乱数によって発生させ、発生した数値（例えば７５６）をイベント発生値に決定し、計数した通信パケット数が７５６に達した場合に確率イベントを発生する。そして、イベント発生値を再決定し、計数値をクリア（計数値＝０）にする。なお、イベント発生値は、ルータ装置１１が起動した場合に１度だけ決定するように構成してもよいし、所定の期間の経過後に再決定するように構成してもよい。これらの場合には、確率イベント発生後も通信パケットの個数の計数を５０００に達するまで続行するように構成する。
【００３１】
特徴情報生成部１１２は、当該ルータ装置１１でルーティングされる通信パケットを取り込み、この取り込んだ通信パケットの特徴情報を生成し、この生成した特徴情報を記憶部２２の特徴情報記憶部１２２に記憶する。通信パケットの特徴情報は、当該通信パケットの特徴を表す情報であり、後述するように、追跡対象の通信パケットを特定すると共に、ルータ装置１１がルーティングした通信パケット（ルータ装置を通過する通信パケット）の中に追跡対象の通信パケットが在ったか否かを判断する目的に使用される情報である。この目的に沿った情報であれば、通信パケットの特徴情報は、通信パケットにかかるどのような情報でもよい。本実施形態では、通信パケットの特徴情報は、例えば、当該通信パケットのヘッダ部の先頭から所定のバイト数（例えば、１０バイトや２０バイトや３０バイト等）とペイロード部の先頭から所定のバイト数（例えば、８バイトや１６バイトや２４バイト等）との組である。これらバイト数は、当該ルータ装置１１の仕様によって決定される。ここで、バイト数によっては、ＴＴＬ（Time To Live、生存可能時間）等のようにネットワーク１を伝送する間に変化するものが通信パケットの特徴情報に含まれる場合もある。このような場合では通信パケットの特徴情報から通信パケットを特定することができなくなる虞があるので、ネットワーク１を伝送する間に変化するものは、予め決められた符号、例えば、「０」や「１」等によって置き換えられて、通信パケットの特徴情報とする。
【００３２】
ここで、記憶部２２の記憶容量を有効に活用し記憶容量を節約する観点からこれら組を圧縮したものを通信パケットの特徴情報としてもよい。圧縮方法は、例えば、ハッシュ（Hash）や可変長符号化（ＶＬＣ）等を利用することができる。ハッシュによる場合には、これら組に一方向ハッシュ関数（例えばＳＨＡ−１）を作用させてハッシュ値を求め、このハッシュ値を通信パケットの特徴情報とする。可変長符号化による場合には、これら組を１バイトずつに区切ってそれぞれを可変長符号で符号化し、この符号化したものを通信パケットの特徴情報とする。
【００３３】
追跡メッセージ生成部１１３は、追跡対象である通信パケットの発信源を追跡するための情報である追跡情報を収容する通信パケット（追跡メッセージ）を生成して送信する処理を行う。追跡情報は、本実施形態では、追跡対象の通信パケットを示す情報として用いられる通信パケットの特徴情報、及び、ルータ装置１１において追跡対象の通信パケットの伝送経路を示す情報として用いられるリンク情報である。このため、リンク情報は、ルータ装置１１において追跡対象の通信パケットにおける通信上上流側の伝送経路を示す情報である後方リンク情報、及び、ルータ装置１１において追跡対象の通信パケットにおける通信上下流側の伝送経路を特定する情報である前方リンク情報から構成される。より具体的には、本実施形態では、後方リンク情報は、追跡対象の通信パケットが受信された物理層Ｉ／Ｆ部１３１の識別番号であり、前方リンク情報は、追跡対象の通信パケットがルーティングされ送信される物理層Ｉ／Ｆ部１３１の識別番号である。
【００３４】
このように本実施形態では、追跡情報として通信パケットの特徴情報、後方リンク情報及び前方リンク情報が利用されるので、例えば、図３に示すように、追跡メッセージ２０１は、追跡メッセージ２０１の送信先アドレスや送信元アドレスやＴＴＬ等の、追跡メッセージ２０１を伝送するために必要なヘッダ情報を収容するヘッダ部２１１と、追跡対象の通信パケットにおける特徴情報を収容する追跡パケット特徴情報部２１２と、後方リンク情報を収容する後方リンク情報部２１３と、前方リンク情報を収容する前方リンク情報部２１４とを備えて構成される。
【００３５】
ヘッダ部２１１に収容される送信先アドレスは、追跡対象の通信パケットにおける送信先アドレスであり、これによって追跡メッセージ２０１は、追跡対象の通信パケットと同一の送信先に送信される。ヘッダ部２１１に収容される送信元アドレスは、追跡メッセージ２０１を生成したルータ装置１１である。ヘッダ部２１１は、例えば通信パケットがＩＰパケットの場合には、ＩＰヘッダであり、送信先アドレス及び送信元アドレスはＩＰアドレスとなる。
【００３６】
そして、追跡メッセージ２０１であることを示す識別子（追跡メッセージ識別子）が追跡メッセージ２０１に収容される。追跡メッセージ識別子は、例えば、ヘッダ部２１１に収容される。あるいは、図３に破線で示すように、付属情報を収容する付属情報部２１５をさらに追跡メッセージ２０１に備えさせ、この付属情報部２１５に付属情報の一つとして追跡メッセージ識別子を収容してもよい。このような追跡情報メッセージ２０１は、例えば、ＩＰ（Internet Protocol）、ＩＣＭＰ（Internet Control Message Protocol）、ＴＣＰ（Transmission Control Protocol）、ＵＤＰ（User Datagram Protocol）等の任意の通信プロトコルを利用して形成してもよく、本実施形態ではＩＣＭＰが利用され、この場合に追跡情報メッセージ識別子は、Ｔｙｐｅで表されるように構成し得る。
【００３７】
応答メッセージ生成部１１４は、追跡対象の通信パケットをルーティングしたか否かを問い合わせる通過問合せメッセージを受信した場合に、通過問合せメッセージに対する回答を収容する通過問合せ応答メッセージを生成し、生成した通過問合せ応答メッセージを通過問合せメッセージの送信元に返信する。
【００３８】
次に、本実施形態の動作について説明する。
（実施形態の動作）
まず、通信パケットの特徴情報の生成記憶処理及び追跡メッセージ２０１の生成送信処理について説明する。図４は、実施形態に係る発信源追跡情報提供装置を備えるルータ装置における通信パケットの特徴情報の生成記憶処理及び追跡メッセージの生成送信処理を示すフローチャートである。
【００３９】
ルータ装置１１の通信インターフェース部２３における物理層Ｉ／Ｆ部１３１にネットワーク１を伝送する通信パケットが受信されると、物理層Ｉ／Ｆ部１３１は、受信した通信パケットを上位層のリンク層に受け渡すべく処理を行ってリンク層Ｉ／Ｆ部１３２に出力すると共に、通信パケットを受信した旨を通知する受信イベントを生成してこの生成した受信イベントを中央処理部２１に出力する。
【００４０】
リンク層Ｉ／Ｆ部１３２は、物理層Ｉ／Ｆ部１３１で処理された通信パケットを上位層のネットワーク層に受け渡すべく処理を行ってＮＴ層Ｉ／Ｆ部１３３に出力する。そして、ＮＴ層Ｉ／Ｆ部１３３は、リンク層Ｉ／Ｆ部１３２で処理された通信パケットを中央処理部２１に受け渡すべく処理を行って中央処理部２１に出力する。
【００４１】
ＮＴ層Ｉ／Ｆ部１３３で処理された通信パケットは、中央処理部２１のルーティング部１０２、ジェネレータ部１０１の確率イベント発生部１１１、ジェネレータ部１０１の特徴情報生成部１１２及びジェネレータ部１０１の応答メッセージ生成部１１４にそれぞれ取り込まれる。
【００４２】
ルーティング部１０２は、通信パケットが取り込まれると、そのヘッダ部における送信先の通信アドレスに基づいて記憶部２２のルーティングテーブル記憶部１２１におけるルーティングテーブルを参照し、この取り込んだ通信パケットをルーティングする。このルーティング部１０２でルーティングされた通信パケットは、ルーティングテーブルの参照結果に基づくＩＰアドレス、ＭＡＣアドレス及び識別番号を持つＮＴ層Ｉ／Ｆ部１３３、リンク層Ｉ／Ｆ部１３２及び物理層Ｉ／Ｆ部１３１で上述とは逆に順次にそれぞれ処理されてネットワーク１に送信される。
【００４３】
また、ジェネレータ部１０１の確率イベント発生部１１１は、通信パケットが取り込まれると、取り込まれた通信パケットが、追跡メッセージ２０１を生成する所定の確率に該当するか否かを判断する。確率イベント発生部１１１は、判断の結果、所定の確率に該当する場合には、取り込まれた通信パケットが追跡メッセージ２０１を生成する追跡対象の通信パケットである旨を通知する確率イベントを特徴情報生成部１１２に通知する。所定の確率は、任意であるが、攻撃の監視を強化する場合には例えば千分の一や五千分の一等の確率イベントの発生が比較的高い確率（比較的大きい確率）に設定され、攻撃の監視を緩和する場合には例えば二万分の一や三万分の一等の確率イベントの発生が比較的低い確率（比較的小さい確率）に設定される。例えば、本実施形態に係るルータ装置１１は、一般的な受動型発信源探査法と同様に２万分の一に設定される。なお、判断の結果、所定の確率に該当しない場合には、確率イベント発生部１１１は、何もしない。
【００４４】
一方、図４において、ジェネレータ部１０１の特徴情報生成部１１２は、通信パケットが取り込まれると（Ｓ１１）、この取り込んだ通信パケットの特徴情報を生成する（Ｓ１２）。次に、特徴情報生成部１１２は、この生成した通信パケットの特徴情報を記憶部２２の特徴情報記憶部１２２に記憶する（Ｓ１３）。
【００４５】
ここで、特徴情報生成部１１２は、記憶部２２のうちの特徴情報記憶部１２２に割り当てられた記憶領域における先頭メモリアドレスから順次に通信パケットの特徴情報を記憶する。
【００４６】
そして、例えば、特徴情報記憶部１２２の記憶領域が通信パケットの特徴情報で一杯になると、特徴情報記憶部１２２は、特徴情報記憶部１２２の記憶領域をクリアし、再び先頭メモリアドレスから順次に通信パケットの特徴情報を記憶する。
【００４７】
また例えば、特徴情報記憶部１２２の記憶領域を複数のブロックに分け、特徴情報記憶部１２２の記憶領域が通信パケットの特徴情報で一杯になると、特徴情報記憶部１２２は、最も古い時間に記憶された通信パケットの特徴情報を含むブロックをブロック単位でクリアし、ここに次の通信パケットの特徴情報を順次に記憶する。そして、クリアしたブロックが通信パケットの特徴情報で一杯になると、特徴情報記憶部１２２は、最も古い時間に記憶された通信パケットの特徴情報を含むブロックをブロック単位でクリアし、ここに次の通信パケットの特徴情報を順次に記憶する。以下同様に、特徴情報記憶部１２２は、ブロックが通信パケットの特徴情報で一杯になると、最も古い時間に記憶された通信パケットの特徴情報を含むブロック順次にクリアし、通信パケットの特徴情報を記憶していく。
【００４８】
また例えば、特徴情報記憶部１２２の記憶領域が通信パケットの特徴情報で一杯になると、特徴情報記憶部１２２は、次に記憶しようとする通信パケットの特徴情報を少なくとも記憶可能な記憶領域だけクリアするように、最も古い時間に記憶された順に通信パケットの特徴情報をクリアし、ここに次の通信パケットの特徴情報を記憶する。このように構成することによって、通信パケットの受信間隔等に左右されるけれども、全ての通信パケットの特徴情報が略同一の時間だけ特徴情報記憶部１２２に記憶されるようにすることができる。この場合には、通信パケットの特徴情報を単に上書きするだけ済むことから、つまり、通信パケットの特徴情報をクリアする処理を省略することができることから、通信パケットの特徴情報のデータ長は、一定であること、つまり、全ての通信パケットの特徴情報のデータ長が等しいことが好ましく、この観点から通信パケットの特徴情報にハッシュ値を用いることが好ましい。また、この観点から可変長符号化を利用する場合には、データ長を等しくするために、符号化後にデータ長が、所定のデータ長より長い場合には所定のデータ長で符号化後のデータを切り、所定のデータ長より短い場合にはパディングを行って符号化後のデータ長を所定のデータ長に合わせる正規化を行うことが好ましい。
【００４９】
次に、特徴情報生成部１１２は、確率イベント発生部１１１から確率イベントが通知されたか否かを判断する（Ｓ１４）。判断の結果、確率イベントが通知されていない場合（Ｎｏ）には、特徴情報生成部１１２は、処理を処理Ｓ１１に戻す。一方、判断の結果、確率イベントが通知されている場合（Ｙｅｓ）には、特徴情報生成部１１２は、通信パケットの特徴情報を生成した通信パケットを追跡対象に選定し追跡メッセージ２０１を生成するために、まず、リンク情報を取得する（Ｓ１５）。
【００５０】
リンク情報における後方リンク情報の取得は、例えば、ルーティングする間、物理層Ｉ／Ｆ部１３１で受信した通信パケットをその識別番号及び受信時刻（タイムスタンプ）と共にバッファメモリに一時的に格納する方式では、このバッファメモリの識別番号を参照することによって取得する。また例えば、ルータ装置は、通常、ルーティングするために物理層Ｉ／Ｆ部１３１の識別番号とＭＡＣアドレスとの対応テーブルを記憶しているので、通信パケットのＭＡＣアドレスに基づいてこの対応テーブルを参照することによって取得する。そして、リンク情報における前方リンク情報の取得は、例えば、ルーティング部１０２から追跡対象となった通信パケットのルーティング先を通知してもらうことによって取得する。また例えば、特徴情報生成部１１２が追跡対象となった通信パケットのヘッダ部における送信先の通信アドレスに基づいて記憶部２２のルーティングテーブル記憶部１２１におけるルーティングテーブルを参照し、この追跡対象となった通信パケットをルーティングすることによって取得する。
【００５１】
そして、特徴情報生成部１１２は、追跡対象の通信パケット、生成した通信パケットの特徴情報及び取得したリンク情報を追跡メッセージ生成部１１３に通知し、追跡メッセージ生成部１１３は、これら情報を用いて図３に示す追跡メッセージ２０１を生成する（Ｓ１６）。追跡メッセージ生成部１１３は、追跡メッセージ２０１を送信すべくルーティング部１０２に通知し（Ｓ１７）、通信パケットの特徴情報の生成記憶処理及び追跡メッセージ２０１の生成送信処理を終了する。ルーティング部１０２は、この追跡メッセージ２０１をルーティングテーブルに基づいてルーティングし、通信インターフェース部２３に出力し、通信インターフェース部２３は、追跡メッセージ２０１をネットワーク１に送出する。
【００５２】
このようにジェネレータ部１０１が動作することによって、ルータ装置１１でルーティングされる全ての通信パケット（ルータ装置１１を通過する全ての通信パケット）に対し通信パケットの特徴情報が生成され、記憶部２２の特徴情報記憶部２２にこの生成された通信パケットの特徴情報が記憶される。このため、ルータ装置１１は、通過問合せメッセージを受信した場合にこの通過問合せメッセージによって問い合せのあった通信パケットをルーティングしたか否かの判定を行うことができる。
【００５３】
そして、ルータ装置１１でルーティングされる通信パケットに対し所定の確率で追跡メッセージ２０１が生成される。生成された追跡メッセージ２０１は、犠牲側端末装置３に送信され、そのコピーが追跡装置２０に取り込まれる。
【００５４】
次に、通過問合せメッセージを受信した場合におけるルータ装置の応答処理について説明する。図５は、実施形態に係る発信源追跡情報提供装置を備えるルータ装置における応答処理の動作を示すフローチャートである。
【００５５】
犠牲側端末装置３が攻撃を受け追跡装置２０が追跡メッセージ２０１を受信すると、追跡メッセージ２０１の対象となった通信パケットの発信源を追跡することによってネットワーク１内における攻撃側端末装置２を探査するために、追跡装置２０は、追跡対象の通信パケットをルーティングしたか否かを問い合わせる通過問合せメッセージを生成し、ネットワーク１に同報通信で送信する。通過問合せメッセージには、追跡対象の通信パケットを指定するために、追跡メッセージ２０１に収容されていた通信パケットの特徴情報、及び、通過問合せメッセージであることを示す識別子（通過問合せメッセージ識別子）が収容される。
【００５６】
犠牲側端末装置３が攻撃を受けているか否かの判定は、例えば、追跡装置２０に所謂侵入検知システム（Intrusion Detection System；ＩＤＳ）を備えることによって行うことができる。侵入検知システムは、攻撃の特徴的なパターン・兆候などを探知し、攻撃を検知するシステムである。
【００５７】
図５において、応答メッセージ生成部１１４は、通信パケットを取り込み、通過問合せメッセージが受信されると（Ｓ２１）、通過問合せメッセージに収容されている通信パケットの特徴情報と一致する通信パケットの特徴情報が特徴情報記憶部１２２に記憶されているか否かを判断する（Ｓ２２）。これによってルータ装置１１は、追跡対象の通信パケットをルーティングしたか否か、即ち、追跡対象の通信パケットが通過したか否かを判別することができる。
【００５８】
判断の結果、応答メッセージ生成部１１４は、特徴情報記憶部１２２に一致する通信パケットの特徴情報がない場合には、追跡対象の通信パケットが当該ルータ装置１１を通過していないと判断し、通過していない旨の情報（非通過情報）を収容する通過問合せ応答メッセージを生成し、一方、特徴情報記憶部１２２に一致する通信パケットの特徴情報がある場合には、追跡対象の通信パケットが当該ルータ装置１１を通過していたと判断し、通過した旨の情報（既通過情報）を収容する通過問合せ応答メッセージを生成する（Ｓ２３）。
【００５９】
ルータ装置１１は、所定の時間内に通過した全ての通信パケットの特徴情報を特徴情報記憶部１２２に記憶しているので、ルータ装置１１は、特徴情報記憶部１２２の記憶内容を参照することによって、追跡装置２０から問合せのあった通信パケットが通過したか否かを判別することができる。
【００６０】
そして、応答メッセージ生成部１１４は、通過問合せ応答メッセージを追跡装置２０に送信すべくルーティング部１０２に通知し（Ｓ２４）、通過問合せメッセージに対する応答処理を終了する。ルーティング部１０２は、この通過問合せ応答メッセージをルーティングテーブルに基づいてルーティングし、通信インターフェース部２３に出力し、通信インターフェース部２３は、通過問合せ応答メッセージをネットワーク１に送出する。
【００６１】
追跡装置２０は、ネットワーク１内の各ルータ装置１１から通過問合せ応答メッセージを受信し、追跡対象の通信パケットが通過した旨を収容する通過問合せ応答メッセージを抽出し、この抽出した通過問合せ応答メッセージを送信したルータ装置１１を犠牲側端末装置３から順に繋げて追跡することによって、攻撃側端末装置２が含まれるホスト群１２に接続するルータ装置１１を探査することができる。なお、この場合に、追跡メッセージ２０１には通信パケットの特徴情報に加えてリンク情報も収容されているので、追跡装置２０は、受動型発信源探査法と同様の使用方法によりこのリンク情報を利用することもできる。
【００６２】
本実施形態にかかるルータ装置１１は、上述のように動作するので、追跡装置２０は、１個の追跡メッセージ２０１を受信することによって発信源の追跡を行うことができる。このため、追跡メッセージ２０１を生成する所定の確率を従来の所定の確率よりも大きくすることなく従来の所定の確率のままで、即ち、管理トラフィックを増やすことなく、追跡に要する時間を従来に較べて短縮することができる。また、追跡メッセージ２０１は、所定の確率で生成されるままなので、攻撃側端末装置２が複数である場合でも攻撃に使われる通信パケットの総数を上回る追跡メッセージ２０１がネットワーク１に流れることなく実トラフィックを減少させることがない。
【００６３】
なお、上述の実施形態では、リンク情報は、物理層Ｉ／Ｆ部１３１の識別番号を用いたが、後方リンク情報は、当該ルータ装置１１における通信上上流側であって追跡対象の通信パケットをルーティングした隣接のルータ装置１１の識別子でもよく、前方リンク情報は、当該ルータ装置１１における通信上下流側のルータ装置１１であって追跡対象の通信パケットのルーティング先における隣接のルータ装置１１の識別子でもよい。ルータ装置１１の識別子は、例えば、ＭＡＣアドレス、ＩＰアドレス、ＩＤ及びこれら２以上の組み合わせ等が利用可能である。リンク情報としてのルータ装置１１の識別子は、例えば、当該ルータ装置１１をネットワーク１に接続する際にユーザによって記憶部２２に記憶させるように構成してもよく、また例えば、ＳＮＭＰ（Simple Network Management Protocol）等の通信プロトコルを用いて当該ルータ装置１１が自動的に取得することによって記憶部２２に記憶させるように構成してもよい。
【００６４】
また、上述の実施形態では、発信源追跡情報提供装置がルータ装置１１に組み込まれたが、通常の通信パケットのルーティングを行わないルーティング部１０２を備える中央処理部２１と記憶部２２と通信インターフェース部２３とを備える発信源追跡情報提供装置単独の装置でもよい。この場合において、発信源追跡情報提供装置は、ハブ等を介して伝送路に接続され、接続した伝送路における通信上上流側のルータ装置の識別子を後方リンク情報に、接続した伝送路における通信上下流側のルータ装置の識別子を前方リンク情報に用いればよい。
【００６５】
そして、上述の実施形態では、追跡メッセージ２０１の宛先は、犠牲側端末装置３であったが、追跡装置２０に設定してもよい。このように追跡メッセージ２０１の宛先を追跡装置２０に設定することによって、追跡装置２０をネットワーク１内の何れかに配置することができる。
【００６６】
さらに、上述の実施形態では、ルータ装置１１及び追跡装置２０は、ネットワーク１を介して通過問合せメッセージ及び通過問合せ応答メッセージを送受信したが、ルータ装置１１と追跡装置２０とを接続する専用の通信線又はネットワークを設け、この専用の通信線又はネットワークによって通過問合せメッセージ及び通過問合せ応答メッセージを送受信するように構成してもよい。このように構成することによって、通過問合せメッセージ及び通過問合せ応答メッセージのトラフィックをなくし、ネットワーク１を実トラフィックのために有効に利用することができる。さらに、追跡メッセージ２０１もこの専用の通信線又はネットワークによって送受信するように構成してもよい。
【００６７】
そして、上述の実施形態では、追跡装置２０が通過問合せメッセージの送信を行い、発信源の追跡を行ったが、通過問合せメッセージの送信を行う装置と、発信源の追跡を行う装置とに分けて追跡装置２０を構成してもよく、さらに、これら装置をそれぞれ複数備えるように構成してもよい。
【００６８】
また、上述の実施形態では、付属情報部２１５を追跡メッセージ２０１に備える場合に、この付属情報部２１５に追跡メッセージ識別子を収容し得ることを説明したが、この付属情報部２１５に追跡メッセージ２０１を生成した時刻を示す情報（タイムスタンプ）を収容してもよい。攻撃は、通常、比較的短い時間にバースト的に行われることから、このタイムスタンプを参照することによって、攻撃のための通信パケットを追跡対象とした追跡メッセージ２０１であるか通常の通信パケットを追跡対象とした追跡メッセージ２０１であるかを判断することができる。
【図面の簡単な説明】
【００６９】
【図１】実施形態に係る発信源追跡情報提供装置を備えるルータ装置の適用されたネットワークを示す図である。
【図２】実施形態に係る発信源追跡情報提供装置を備えるルータ装置の構成を示す図である。
【図３】追跡メッセージのフォーマットを示す図である。
【図４】実施形態に係る発信源追跡情報提供装置を備えるルータ装置における通信パケットの特徴情報の生成記憶処理及び追跡メッセージの生成送信処理を示すフローチャートである。
【図５】実施形態に係る発信源追跡情報提供装置を備えるルータ装置における応答処理の動作を示すフローチャートである。
【符号の説明】
【００７０】
１  ネットワーク
２、３  端末装置
１１  ルータ装置
１２  ホスト群
２１  中央処理部
２２  記憶部
２３  通信インターフェース部
１０１  ジェネレータ部
１０２  ルーティング部
１１１  確率イベント発生部
１１２  特徴情報生成部
１１３  追跡メッセージ生成部
１１４  応答メッセージ生成部
１２２  特徴情報記憶部
【図１】
2005328344.tif 000003
【図２】
2005328344.tif 000004
【図３】
2005328344.tif 000005
【図４】
2005328344.tif 000006
【図５】
2005328344.tif 000007