(57)【要約】【課題】  本発明は、通信パケットの発信源を追跡する場合に必要な情報を提供し得る発信源追跡情報提供装置及び該情報に基づき発信源を追跡する発信源追跡装置を提供することである。【解決手段】  本発明に係る発信源追跡情報提供装置１０は、通信パケットを通信ネットワークから取り込む取込部１１１と、発信源追跡情報提供装置１０を識別する装置識別情報と後方リンク情報とを含み、この通信パケットの送信先に送信する追跡情報メッセージを確率イベント発生部１１３の所定確率で生成する追跡情報生成部１１４と、追跡情報メッセージ検出部１１２で追跡情報メッセージを通信ネットワークから検出し、ルータ装置通過検出部１１５でルータ装置の通過を判別した場合に、前方リンク情報をさらに付加した追跡情報メッセージを生成する追跡情報付加部１１６と、追跡情報メッセージを通信ネットワークに送信する送信部１１７とを備える。【選択図】      図２
2005210518.tif 000002
【特許請求の範囲】
【請求項１】
ルータ装置間を接続する伝送路上に接続され、その伝送路より通信パケットを取り込むパケット収集手段と、
そのパケット収集手段により取り込まれた通信パケットに、通信パケットの発信源を追跡するための、追跡情報メッセージであることを示す識別子が含まれているかを判断する追跡メッセージ検出手段と、
その追跡メッセージ検出手段により、当該識別子が含まれていないと判断された場合に、所定の確率で、当該通信パケットに対して、追跡情報メッセージであることを示す識別子、並びに前記伝送路の両端に接続された各ルータ装置のアドレスを含んで成る後方リンク情報を格納する追跡メッセージ作成手段と、
前記追跡メッセージ検出手段により、当該識別子が含まれていると判断された場合に、さらに当該通信パケットがルータ装置を通過しているかを判断して、通過していると判断される場合に、当該通信パケットを複製して、その複製された通信パケットに、前記伝送路の両端に接続された各ルータ装置のアドレスを含んで成る前方リンク情報を格納する追跡メッセージ追加手段と、
その追跡メッセージ追加手段、又は前記追跡メッセージ作成手段から出力される通信パケットを前記伝送路上に送信するパケット送信手段と
を備えたことを特徴とする発信源追跡情報提供装置。
【請求項２】
前記追跡メッセージ作成手段は、追跡情報メッセージであることを示す識別子、並びに前記伝送路の両端に接続された各ルータ装置のアドレスを含んで成る後方リンク情報を格納する際に、さらに当該追跡情報メッセージを生成した時刻の情報を格納することを特徴とする請求項１記載の発信源追跡情報提供装置。
【請求項３】
前記追跡メッセージ作成手段は、前記ルータ装置がナット機能を持つナットルータ装置である場合には、追跡情報メッセージであることを示す識別子、並びに前記伝送路の両端に接続された各ルータ装置のアドレスを含んで成る後方リンク情報を格納する際に、さらに当該ナット機能に関する情報を格納することを特徴とする請求項１記載の発信源追跡情報提供装置。
【請求項４】
前記追跡メッセージ作成手段は、前記ルータ装置がバーチャル・プライベート・ネットワークを形成している場合には、追跡情報メッセージであることを示す識別子、並びに前記伝送路の両端に接続された各ルータ装置のアドレスを含んで成る後方リンク情報を格納する際に、さらに当該バーチャル・プライベート・ネットワークに関する情報を格納することを特徴とする請求項１記載の発信源追跡情報提供装置。
【請求項５】
前記追跡メッセージ作成手段は、当該所定の確率を変更できるように構成されていることを特徴とする請求項１記載の発信源追跡情報提供装置。
【請求項６】
前記追跡メッセージ作成手段又は／及び前記追跡メッセージ追加手段は、通信パケットに各々のリンク情報を格納する際に、さらに当該発信源追跡情報提供装置が、正規な発信源追跡情報提供装置であることを特定するための情報を格納することを特徴とする請求項１記載の発信源追跡情報提供装置。
【請求項７】
ルータ装置間を接続する伝送路上に接続され、その伝送路より通信パケットを取り込むパケット収集手段と、
そのパケット収集手段により取り込まれた通信パケットに、通信パケットの発信源を追跡するための、追跡情報メッセージであることを示す識別子が含まれているかを判断し、当該識別子が含まれていると判断された場合に、さらに所定期間内かどうか判断する追跡メッセージ検出手段と、
その追跡メッセージ検出手段により、当該所定期間内であると判断される場合に、追跡情報メッセージである当該通信パケットを格納する記憶手段と、
前記所定期間の終了後、当該記憶手段に含まれる追跡情報メッセージから、後方リンク情報と前方リンク情報とが一致するレコードを順に並べることにより発信源を追跡する発信源追跡手段とを備え、
請求項１記載の発信源追跡情報提供装置から送信された追跡情報メッセージより発信源を特定することを特徴とする発信源追跡装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信パケットの発信源を追跡する場合に必要な情報を提供し得る発信源追跡情報提供装置に関する。そして、本発明は、通信パケットの発信源が自己のアドレス情報を詐称した場合でも通信パケットの発信源を追跡し得る、発信源追跡情報提供装置からの情報に基づいて発信源を追跡する発信源追跡装置に関する。
【背景技術】
【０００２】
近年、通信技術の発達により、インターネットに代表されるオープンネットワーク等の通信が普及している。このような状況に伴い、ネットワークに接続する装置は、例えば大量のＩＰパケットを送りつけるいわゆるＤｏＳ（Denial of Service）攻撃やＤＤｏＳ（Distributed Dos）攻撃等のサービス妨害攻撃を受け易い状態にある。このサービス妨害攻撃は、犠牲装置の処理を飽和状態にすることによってサービス提供を麻痺させるだけでなく、ネットワーク全体のリソースを消費させてしまい全体への影響が大きいことから、その対策が求められている。
【０００３】
このような対策の一つとして、攻撃に利用されたＩＰパケットの発信源を特定する技術、いわゆるＩＰトレースバック技術が知られている。このＩＰトレースバック技術の代表例として、ＩＥＴＦ（Internet Engineering Task Force）のＩＣＭＰトレースバックワーキンググループが提唱するＩＣＭＰトレースバック（Internet Control Message Protocol Traceback）がある。このＩＣＭＰトレースバックは、途中経路上のルータ装置が２万分の１程度の一定確率で追跡対象のＩＰパケットを選択し、このＩＰパケットに対する追跡情報を生成し、この追跡情報をＩＣＭＰメッセージでＩＰパケットの宛先に送信し、そして、宛先の装置がこの追跡情報を表示するものである。
【０００４】
そして、このＩＣＭＰトレースバックを改良した技術として特許文献１に記載の技術がある。この特許文献１に記載の技術は、追跡要求メッセージを受信したルータ装置が攻撃ＩＰパケットの送信されてくる当該ルータ装置より攻撃装置側におけるルータ装置のアドレス情報を返信するように構成されているので、発信源追跡装置が追跡要求メッセージを攻撃装置に近づくように順次に各ルータ装置に送信することによって発信源を追跡するものである。
【０００５】
また、追跡指示を受けたルータ装置が追跡指示の特徴情報を有する電子データを補足し、補足した電子データから１つ前のルータ装置におけるデータリンク層の識別子を管理システムに送信することで、管理システムがデータリンク層の識別子を解析して電子データの通過してきた経路を受信側から送信側に向かって逆に辿っていくこと（隣接ノード追跡処理）により電子データの発信源を追跡する技術が例えば特許文献２に開示されている。さらに、アドレス管理やアカウント管理等が為されてセキュリティの信頼性が高い管理ネットワークにおいてこの隣接ノード追跡処理を省略する、特許文献２の技術を改良した技術が特許文献３に開示されている。
【特許文献１】特開２００３−２６４５５３号公報
【特許文献２】特開２０００−１２４９５２号公報
【特許文献３】特開２０００−３４１３１５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
ところで、従来のＩＰトレースバック技術では、ルータ装置に発信源を追跡するための所定の処理を実行させるものであるため、ルータ装置本来のルーティング処理を低下させてしまう可能性があった。特に、オープンネットワークでは、様々な性能のルータ装置が存在するために処理能力が充分ではないルータ装置も存在し、このようなルータ装置では、発信源を追跡するための所定の処理が過負荷になる問題があった。
【０００７】
本発明は、上述の事情に鑑みて為された発明であり、通信パケットの発信源を追跡する場合に必要な情報を提供し得る発信源追跡情報提供装置を提供することを目的とする。そして、本発明は、この発信源追跡情報提供装置からの情報に基づいて発信源を追跡する発信源追跡装置を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上述の目的を達成するために、本発明に係る発信源追跡装置は、ルータ装置間を接続する伝送路上に接続され、その伝送路より通信パケットを取り込むパケット収集手段と、そのパケット収集手段により取り込まれた通信パケットに、通信パケットの発信源を追跡するための、追跡情報メッセージであることを示す識別子が含まれているかを判断する追跡メッセージ検出手段と、その追跡メッセージ検出手段により、当該識別子が含まれていないと判断された場合に、所定の確率で、当該通信パケットに対して、追跡情報メッセージであることを示す識別子、並びに前記伝送路の両端に接続された各ルータ装置のアドレスを含んで成る後方リンク情報を格納する追跡メッセージ作成手段と、前記追跡メッセージ検出手段により、当該識別子が含まれていると判断された場合に、さらに当該通信パケットがルータ装置を通過しているかを判断して、通過していると判断される場合に、当該通信パケットを複製して、その複製された通信パケットに、前記伝送路の両端に接続された各ルータ装置のアドレスを含んで成る前方リンク情報を格納する追跡メッセージ追加手段と、その追跡メッセージ追加手段、又は前記追跡メッセージ作成手段から出力される通信パケットを前記伝送路上に送信するパケット送信手段とを備えたことを特徴とする。
【０００９】
そして、上述の発信源追跡情報提供装置において、前記追跡メッセージ作成手段は、追跡情報メッセージであることを示す識別子、並びに前記伝送路の両端に接続された各ルータ装置のアドレスを含んで成る後方リンク情報を格納する際に、さらに当該追跡情報メッセージを生成した時刻の情報を格納することを特徴とする。
【００１０】
また、上述の発信源追跡情報提供装置において、前記追跡メッセージ作成手段は、前記ルータ装置がナット機能を持つナットルータ装置である場合には、追跡情報メッセージであることを示す識別子、並びに前記伝送路の両端に接続された各ルータ装置のアドレスを含んで成る後方リンク情報を格納する際に、さらに当該ナット機能に関する情報を格納することを特徴とする。
【００１１】
さらに、上述の発信源追跡情報提供装置において、前記追跡メッセージ作成手段は、前記ルータ装置がバーチャル・プライベート・ネットワークを形成している場合には、追跡情報メッセージであることを示す識別子、並びに前記伝送路の両端に接続された各ルータ装置のアドレスを含んで成る後方リンク情報を格納する際に、さらに当該バーチャル・プライベート・ネットワークに関する情報を格納することを特徴とする。
【００１２】
そして、上述の発信源追跡情報提供装置において、前記追跡メッセージ作成手段は、当該所定の確率を変更できるように構成されていることを特徴とする。
【００１３】
また、上述の発信源追跡情報提供装置において、前記追跡メッセージ作成手段又は／及び前記追跡メッセージ追加手段は、通信パケットに各々のリンク情報を格納する際に、さらに当該発信源追跡情報提供装置が、正規な発信源追跡情報提供装置であることを特定するための情報を格納することを特徴とする。
【００１４】
さらに、本発明に係る発信源追跡装置は、ルータ装置間を接続する伝送路上に接続され、その伝送路より通信パケットを取り込むパケット収集手段と、そのパケット収集手段により取り込まれた通信パケットに、通信パケットの発信源を追跡するための、追跡情報メッセージであることを示す識別子が含まれているかを判断し、当該識別子が含まれていると判断された場合に、さらに所定期間内かどうか判断する追跡メッセージ検出手段と、その追跡メッセージ検出手段により、当該所定期間内であると判断される場合に、追跡情報メッセージである当該通信パケットを格納する記憶手段と、前記所定期間の終了後、当該記憶手段に含まれる追跡情報メッセージから、後方リンク情報と前方リンク情報とが一致するレコードを順に並べることにより発信源を追跡する発信源追跡手段とを備え、上述の発信源追跡情報提供装置から送信された追跡情報メッセージより発信源を特定することを特徴とする。
【発明の効果】
【００１５】
このような構成の発信源追跡情報提供装置では、パケット収集手段がルータ装置間を接続する伝送路上に接続され、その伝送路より通信パケットを取り込み、追跡メッセージ検出手段がそのパケット収集手段により取り込まれた通信パケットに、通信パケットの発信源を追跡するための、追跡情報メッセージであることを示す識別子が含まれているかを判断し、追跡メッセージ作成手段がその追跡メッセージ検出手段により、当該識別子が含まれていないと判断された場合に、所定の確率で、当該通信パケットに対して、追跡情報メッセージであることを示す識別子、並びに前記伝送路の両端に接続された各ルータ装置のアドレスを含んで成る後方リンク情報を格納し、一方、追跡メッセージ追加手段が前記追跡メッセージ検出手段により、当該識別子が含まれていると判断された場合に、さらに当該通信パケットがルータ装置を通過しているかを判断して、通過していると判断される場合に、当該通信パケットを複製して、その複製された通信パケットに、前記伝送路の両端に接続された各ルータ装置のアドレスを含んで成る前方リンク情報を格納し、そして、パケット送信手段がその追跡メッセージ追加手段、又は前記追跡メッセージ作成手段から出力される通信パケットを前記伝送路上に送信する。このため、これら追跡情報メッセージを受信した装置は、これら追跡情報メッセージに収容されている当該発信源追跡情報提供装置の識別情報、後方リンク情報及び前方リンク情報に基づいて通信パケットの通信経路を辿ることができ、発信源を特定することができる。従って、通信パケットの発信源を追跡するための情報の提供を発信源追跡情報提供装置が行うので、本発明に係る発信源追跡情報提供装置は、ルータ装置の負荷を軽減することができ、ルータ装置をルーティング処理に略専従させることができる。
【００１６】
また、このような構成の、発信源追跡情報提供装置から送信された追跡情報メッセージより発信源を特定する発信源追跡装置では、パケット収集手段がルータ装置間を接続する伝送路上に接続され、その伝送路より通信パケットを取り込み、追跡メッセージ検出手段がそのパケット収集手段より通信パケットを取り込んで、当該通信パケットに、通信パケットの発信源を追跡するための、追跡情報メッセージであることを示す識別子が含まれているかを判断し、当該識別子が含まれていると判断された場合に、さらに所定期間内か否かを判断し、記憶手段がその追跡メッセージ検出手段により、当該所定期間内であると判断される場合に、追跡情報メッセージである当該通信パケットを格納する。そして、発信源追跡手段が前記所定期間の終了後、当該記憶手段に含まれる追跡情報メッセージから、後方リンク情報と前方リンク情報とが一致するレコードを順に並べることにより発信源を追跡する。このため、発信源追跡装置は、発信源追跡情報提供装置から送信された追跡情報メッセージより発信源を特定することができる。
【発明を実施するための最良の形態】
【００１７】
以下、本発明に係る実施形態を図面に基づいて説明する。なお、各図において同一の符号を付した構成は、同一の構成であることを示し、その説明を省略する。
（実施形態の構成）
本実施形態に係る発信源追跡情報提供装置は、通信網に接続された一の端末装置が他の端末装置に通信パケットを送信した場合に、通信パケットの通信経路を追跡することによって他の端末装置がこの通信パケットの発信源（一の端末装置）を特定するための追跡情報を提供する装置である。
【００１８】
図１は、実施形態に係る発信源追跡情報提供装置の適用された通信網を示す図である。図２は、実施形態に係る発信源追跡情報提供装置の構成を示す図である。
【００１９】
図１において、１又は複数のルータ装置１１（１１−ａ〜１１−ｌ）とルータ装置１１間を接続する伝送路１５とを備えて構成される通信網１に端末装置２、３及び１又は複数の発信源追跡情報提供装置１０（１０−ａ〜１０−ｎ）が接続されている。
【００２０】
ルータ装置１１は、異なる通信網（サブ通信網）を相互に接続すると共に通信パケットのルーティング（通信経路の選択）を行う機器である。例えば、ルータ装置１１の一例であるＩＰパケットルータ装置は、ＩＰパケット（通信パケットの一例）のヘッダに含まれる送信先ＩＰアドレスに基づいて経路情報を登録するルーティングテーブルを参照することによってルーティングを行う。なお、図１では、ルータ装置１１は、「Ｒ」で示されており、Ｒａ１１−ａ〜Ｒｌ１１−ｌが記載されている。また、同図では、伝送路、ハブ（集線装置）及び端末装置等を備えて構成されるルータ装置１１下のサブ通信網については省略してある。さらに、ルータ装置１１は、通信プロトコルの変換を行うゲートウェイ機能をさらに備えた装置（いわゆるゲートウェイ装置）でもよい。伝送路１５は、通信パケットを伝達する有線及び無線の経路である。ルータ装置１１が伝送路１５を介して相互に接続することによって、サブ通信網が相互に接続され、通信網１を構成する。
【００２１】
端末装置２、３は、通信網１を介して通信パケットを送受信する通信機能を備えた装置であり、例えば、通信機能を備えたコンピュータ端末、移動体通信端末、ゲーム端末及びＰＤＡ（Personal Digital Assistants）等である。本実施形態では、説明の都合上、端末装置２が通信パケットを端末装置３に送信するものとし、端末装置２は、端末装置３に不正アクセス、いわゆるコンピュータウィルスによる端末装置３の動作の破壊、及び、端末装置３へのサービス妨害攻撃等の攻撃を行い、また、特に、端末装置２は、通信パケットの送信元アドレスを詐称して攻撃を行っているものとする。以下、攻撃を行う端末装置２を攻撃側端末装置２と呼称し、攻撃を受ける端末装置３を犠牲側端末装置３と呼称するものとする。
【００２２】
発信源追跡情報提供装置１０は、１個の通信パケットを複数個の通信パケットに分岐するハブ１６（集線装置）を介して伝送路１５に接続され、通信パケットの通信経路を追跡することによって攻撃側端末装置２の通信網１における物理的な位置を特定するための追跡情報を犠牲側端末装置３に提供する装置である。図１では、発信源追跡情報提供装置１０は、「Ｘ」で示され、Ｘａ１０−ａ〜Ｒｎ１１−ｎが記載されており、ハブ１６は、「●」で示され、発信源追跡情報提供装置１０と同数が記載されている。
【００２３】
図２において、発信源追跡情報提供装置１０は、中央処理部１０１、補助記憶部１０２、通信インタフェース１０３及び内部記憶部１０４を備えて構成され、必要に応じて破線で示す入力部１０５、表示部１０６及び／又は外部記憶部１０７を備える。
【００２４】
中央処理部１０１は、例えば、マイクロプロセッサ等で構成され、機能的に、通信パケットを通信インタフェース１０３及びハブ１６を介して伝送路１５から取り込む取込部１１１（パケット収集手段の一例に相当する。）、取り込んだ通信パケットが追跡情報メッセージであるか否かを判断する追跡情報メッセージ検出部１１２（追跡メッセージ検出手段の一例に相当する。）、所定の確率でイベントを発生する確率イベント発生部１１３、追跡情報メッセージ検出部１１２から通知された通信パケットに対する追跡情報メッセージを所定の確率で生成する追跡情報生成部１１４（当部及び確率イベント発生部１１３は、追跡メッセージ作成手段の一例に相当する。）、追跡情報メッセージ検出部１１２から通知された追跡情報メッセージがルータ装置１１を通過したか否かを判断するルータ装置通過検出部１１５、ルータ装置通過検出部１１５から通知された追跡情報メッセージを複製（コピー）すると共に複製した追跡情報メッセージに付属情報を追加する追跡情報付加部１１６（当部及びルータ装置通過検出部１１５は、追跡メッセージ追加手段の一例に相当する。）、及び、追跡情報生成部１１４から通知された追跡情報メッセージ及び追跡情報付加部１１６から通知された追跡情報メッセージを通信インタフェース１０３及びハブ１６を介して伝送路１５に送信する送信部１１７（パケット送信手段の一例に相当する。）を備えると共に、制御プログラムに従い補助記憶部１０２、通信インタフェース１０３及び内部記憶部１０４を制御する。
【００２５】
補助記憶部１０２は、例えばＲＯＭ（Read Only Memory）やＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）等の不揮発性の記憶素子及びハードディスク等の情報を記憶する装置であり、本発信源追跡情報提供装置１０を動作させるための制御プログラム等の各プログラム、リンク情報（後述の後方リンク情報及び前方リンク情報）等の各プログラムの実行に必要な情報等を記憶する。通信インタフェース１０３は、ハブ１６を介して伝送路１５に接続されることによって通信網１に接続され、通信パケットを送受信するための機器である。内部記憶部１０４は、中央処理部１０１が実行する制御プログラムを補助記憶部１０２から読み込むと共に、制御プログラム実行中の各データを一時的に記憶するいわゆるワーキングメモリであり、例えば揮発性の記憶素子の一例であるＲＡＭ（Random Access Memory）である。そして、これら中央処理部１０１、補助記憶部１０２、通信インタフェース１０３及び内部記憶部１０４は、データを相互に交換することができるようにバス１０８にそれぞれ接続される。
【００２６】
また、入力部１０５は、本発信源追跡情報提供装置１０の起動指示や動作状況の表示指示等の各種コマンドや各種データを発信源追跡情報提供装置１０に入力する機器であり、例えば、キーボードやマウスやタッチパネル等である。表示部１０６は、入力部１０５から入力されたコマンド、データ等を表示する機器であり、例えばＣＲＴディスプレイ、ＬＣＤ、有機ＥＬディスプレイ又はプラズマディスプレイ等である。外部記憶部１０７は、例えば、フレキシブルディスク、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Compact Disc Recordable）及びＤＶＤ−Ｒ（Digital Versatile Disc Recordable）等の記憶媒体との間でデータを読み込み及び／又は書き込みを行う装置であり、例えば、フレキシブルディスクドライブ、ＣＤ−ＲＯＭドライブ、ＣＤ−Ｒドライブ及びＤＶＤ−Ｒドライブ等である。
【００２７】
なお、補助記憶部１０２に記憶される各プログラムや各データ等の情報が格納されていない場合には、これら情報を管理するサーバコンピュータ（不図示）から通信網１及び通信インタフェース１０３を介してこれら情報がダウンロードされるように構成してもよく、また、これら情報を記録した記録媒体から外部記憶部１０７を介して補助記憶部１０２にインストールされるように構成してもよい。
【００２８】
次に、本実施形態の動作について説明する。
（実施形態の動作）
図３は、実施形態に係る発信源追跡情報提供装置の動作を示すフローチャートを示す図である。図４は、追跡情報メッセージのフォーマットを示す図である。図４（Ａ）は、追跡情報生成部による追跡情報メッセージのフォーマットを示し、図４（Ｂ）は、追跡情報付加部による追跡情報メッセージのフォーマットを示す。
【００２９】
伝送路１５を伝播する通信パケットは、ハブ１６で分岐され、分岐された一方の通信パケットは、発信源追跡情報提供装置１０に取り込まれ、そして、他方の通信パケットは、そのまま伝送路１５を伝播する。発信源追跡情報提供装置１０に取り込まれた通信パケットは、通信インタフェース１０３で中央処理部１０１で取り扱い可能な信号形式に変換される。
【００３０】
図３において、中央処理部１０１の取込部１１１は、通信インタフェース１０３から通信パケットを取り込み、追跡情報メッセージ検出部１１２に通信パケットを通知する（Ｓ１１）。追跡情報メッセージ検出部１１２は、後述の通信パケットが追跡情報メッセージであることを示す識別子を参照することによって、通知された通信パケットが追跡情報メッセージであるか否かを判断する（Ｓ１２）。
【００３１】
判断の結果、通信パケットが追跡情報メッセージである場合（Ｙｅｓ）には、追跡情報メッセージ検出部１１２は、通信パケット（追跡情報メッセージ）をルータ装置通過検出部１１５に通知する。一方、判断の結果、通信パケットが追跡情報メッセージではない場合（Ｎｏ）には、追跡情報メッセージ検出部１１２は、通信パケットを追跡情報生成部１１４に通知する。
【００３２】
追跡情報生成部１１４は、確率イベント発生部１１３からイベント（確率イベント）が通知されているか否かを判断する（Ｓ１３）。
【００３３】
ここで、確率イベント発生部１１３は、例えば発信源追跡情報提供装置１０が起動されると、所定の確率で確率イベントを発生し、確率イベントの発生を追跡情報生成部１１４に通知する。所定の確率は、任意であるが、攻撃の監視を強化する場合には例えば千分の一や五千分の一等の確率イベントの発生が比較的高い確率に設定され、攻撃の監視を緩和する場合には例えば二万分の一や三万分の一等の確率イベントの発生が比較的低い確率に設定される。従って、確率イベント発生部１１３は、所定の確率を固定とすることのみならず、当該所定の確率を変更できるように構成しても良いものである。ここで、確率イベントの発生は、例えば、所定の確率の範囲内の数値を乱数で発生させることによって、確率イベントを発生させるイベント発生値を決定し、追跡情報生成部１１４が通信パケットを通知されるごとに通信パケットの個数を計数し、当該計数値がイベント発生値に達した場合に確率イベントを発生するように構成すればよい。
【００３４】
より具体的には、所定の確率が二万分の一である場合には、１から２００００までの範囲で数値を乱数によって発生させ、発生した数値（例えば７５６）をイベント発生値に決定し、計数した通信パケット数が７５６に達した場合に確率イベントを発生する。そして、イベント発生値を再決定し、計数値をクリア（計数値＝０）にする。なお、イベント発生値は、発信源追跡情報提供装置１０が起動した場合に１度だけ決定するように構成してもよいし、所定の期間の経過後に再決定するように構成してもよい。これらの場合には、確率イベント発生後も通信パケットの個数の計数を２００００に達するまで続行するように構成する。
【００３５】
処理Ｓ１３における判断の結果、追跡情報生成部１１４は、確率イベントが通知されていない場合（Ｎｏ）には、通知された通信パケットを破棄し、処理を処理Ｓ１１に戻す。一方、追跡情報生成部１１４は、確率イベントが通知されている場合（Ｙｅｓ）には、追跡情報メッセージを生成し、生成した追跡情報メッセージを送信部１１９に通知する（Ｓ１４）。このように動作することによって、発信源追跡情報提供装置１０は、伝送路１５を伝播する通信パケットに対し所定の確率で追跡情報メッセージを生成する。
【００３６】
図４（Ａ）に示すように、この追跡情報生成部１１４が生成する追跡情報メッセージ３０は、追跡情報メッセージの送信先アドレスや送信元アドレスやＴＴＬ（Time To Live、生存時間）等の、追跡情報メッセージを伝送するために必要なヘッダ情報を収容するヘッダ部３０１と、追跡情報メッセージを生成した時刻（タイムスタンプ）を収容するタイムスタンプ部３０２と、当該発信源追跡情報提供装置１０の通信網１における物理的な位置に関する情報である後方リンク情報を収容する後方リンク情報部３０３と、付属情報を収容する付属情報部３０５とを備えて構成される。
【００３７】
ヘッダ部３０１に格納される送信先アドレスは、追跡情報メッセージ検出部１１２から通知された通信パケットの送信先アドレスが複製される。これによって生成した追跡情報メッセージは、通信パケットと同一の送信先に送信される。ヘッダ部３０１に格納される送信元アドレスは、追跡情報メッセージを生成する当該発信源追跡情報提供装置１０のアドレス（装置識別情報の一例）であり、ヘッダ部３０１に格納されるＴＴＬは、初期値、例えば、２５５である。ヘッダ部３０１は、例えば通信パケットがＩＰパケットの場合には、ＩＰヘッダであり、送信先アドレス及び送信元アドレスはＩＰアドレスとなる。
【００３８】
タイムスタンプの時刻は、不図示の時計から取得し、この時計は、例えば、カウンタ回路等によってハードウェアで構成してもよく、また、ソフトウェアによって機能的に中央処理部１０１に構成してもよい。
【００３９】
後方リンク情報は、例えば、当該発信源追跡情報提供装置１０が接続する伝送路１５の両端におけるルータ装置１１の識別子の組（ペア）である。ルータ装置１１の識別子は、例えば、ＭＡＣアドレス（Media Access Control Address）やＩＰアドレス（Internet Protocol Address）やＩＤ等が利用可能である。後方リンク情報は、例えば、当該発信源追跡情報提供装置１０を通信網１に接続する際にユーザによって補助記憶部１０２に記憶させるように構成してもよく、また例えば、ＳＮＭＰ（Simple Network Management Protocol）等の通信プロトコルを用いて当該発信源追跡情報提供装置１０が自動的に取得することによって補助記憶部１０２に記憶させるように構成してもよい。また例えば、当該発信源追跡情報提供装置１０の通信網１における物理的な位置を示す情報がマップやテーブルとして別途に作成されている場合には、後方リンク情報は、発信源追跡情報提供装置１０の識別子（例えば、ＭＡＣアドレスやＩＰアドレスやＩＤ等）でもよい。
【００４０】
付属情報部３０５は、任意の情報を収容するペイロードであり、例えば、追跡情報メッセージが通信パケットの追跡を目的とするものではなく（即ち、通信パケットの追跡情報を格納した追跡情報メッセージではなく）、試験等の追跡以外の目的で生成された追跡情報メッセージであることを示す情報（サンプルパケット情報）、発信源追跡情報提供装置１０の識別子、暗号・認証情報及び電子署名等である。これら発信源追跡情報提供装置１０の識別子、暗号・認証情報及び電子署名は、単独で又は組み合わせて用いることによって、追跡情報メッセージが正規な発信源追跡情報提供装置１０から送信されたことを確認するために利用される。このように利用することによって、追跡情報メッセージを受信した犠牲側端末装置３は、通信網１に接続する端末装置が発信源追跡情報提供装置１０を詐称して追跡情報メッセージを発信したとしても、追跡情報メッセージが真の発信源追跡情報提供装置１０からのものであることを認識することができる。
【００４１】
そして、追跡情報メッセージであることを示す識別子（追跡情報メッセージ識別子）が追跡情報メッセージに収容される。追跡情報メッセージ識別子は、例えば、ヘッダ部３０１又は付属情報部３０５に収容される。このような追跡情報メッセージ３０は、例えば、ＩＰ（Internet Protocol）、ＩＣＭＰ（Internet Control Message Protocol）、ＴＣＰ（Transmission Control Protocol）、ＵＤＰ（User Datagram Protocol）等の任意の通信プロトコルを利用して形成してもよく、本実施形態ではＩＣＭＰが利用され、この場合に追跡情報メッセージ識別子は、Ｔｙｐｅで表されるように構成し得る。
【００４２】
図３に戻って、処理Ｓ１２の通信パケットが追跡情報メッセージである場合（Ｙｅｓ）において、追跡情報メッセージ検出部１１５から追跡情報メッセージが通知されると、ルータ装置通過検出部１１５は、通知された追跡情報メッセージがルータ装置１１を通過したか否か、即ち、ルータ装置１１でルーティングされたか否かを判断する（Ｓ２１）。判断の結果、ルータ装置１１を通過していない場合（Ｎｏ）には、ルータ装置通過検出部１１５は、追跡情報メッセージを破棄し、処理を処理Ｓ１１に戻す。一方、判断の結果、ルータ装置１１を通過している場合（Ｙｅｓ）には、ルータ装置通過検出部１１５は、追跡情報メッセージを追跡情報付加部１１６に通知する。
【００４３】
追跡情報メッセージがルータ装置１１を通過したか否かの判断は、ルータ装置１１の通過を示す通過情報に基づいて判断される。通過情報は、例えば、ＴＴＬが利用され、ＴＴＬの初期値（上述の例では２５５）から少なくとも１だけ減った値を示す場合にルータ装置１１を通過したと判断するように構成される。ＴＴＬは、送信元の装置から送信先の装置まで利用できる、経路上のルータ装置の数であり、ルータ装置が通信パケットをルーティングすると原則として１ずつデクリメントされる。ここで、例えばＷＡＮ（Wide Area Network、広域通信網）などの通信速度が遅い回線では、１以上デクリメントされる場合もある。また、ＴＴＬ＝１の通信パケットを受信したルータ装置１１は、当該通信パケットを破棄すると共に、送信元の装置にＩＣＭＰのＴｉｍｅ  Ｅｘｃｅｅｄｅｄ  Ｍｅｓｓａｇｅ（タイプ１１／コード０）を送信する。このメッセージを送信元の装置が受信することによって通信パケットの破棄を認識することができる。
【００４４】
なお、本実施形態では、ＴＴＬが初期値と不一致であることで追跡情報メッセージのルータ装置１１の通過を判断するように構成したが、例えば、発信源追跡情報提供装置１０が追跡情報メッセージ３０を生成する際にヘッダ部３０１のＴＴＬを付属情報部３０５にも記憶し、追跡情報メッセージ３０を受信した発信源追跡情報提供装置１０がヘッダ部３０１のＴＴＬと付属情報部３０５のＴＴＬとを比較し、不一致の場合にルータ装置１１を通過したと判断するように構成してもよい。このように構成することによって全ての発信源追跡情報提供装置１０のＴＴＬを一律に規定する必要がなくなり、追跡情報メッセージが徒に通信網１を伝送することを効果的に抑制することができる。また、本実施形態では、通過情報としてＴＴＬを用いたが、これに限定されるものではなく、通過情報は、例えば、経路上の通過したルータ装置１０の数を示すホップ数や経路を決定する際の判断材料としての重みであるメトリック等を利用してもよい。さらに、既存のＴＴＬ、ホップ数又はメトリックを利用するのではなく、例えば、タイムスタンプ部３０２のタイムスタンプから所定の時間（例えば、５００ｍｓや１ｓ）が経過している場合にルータ装置１１を通過したものと判断するように構成することによって、通過情報にタイムスタンプを利用してもよい。また例えば、発信源追跡情報提供装置１０が「０」にセットし、ルータ装置１１がこれを「１」に再セットするフラグ（通過フラグ）をヘッダ部３０１又は付属情報部３０５に収容するように構成することによって、通過情報に通過フラッグを用いてもよい。
【００４５】
追跡情報付加部１１６は、通知された追跡情報メッセージを複製し（Ｓ２２）、追跡情報付加部１１６は、当該発信源追跡情報提供装置１０の通信網１における物理的な位置に関する情報である前方リンク情報をこの複製した追跡情報メッセージに付加し、この前方リンク情報を付加した追跡情報メッセージを送信部に通知する（Ｓ２３）。前方リンク情報は、前述した後方リンク情報と同様である。
【００４６】
追跡情報付加部１１６によって前方リンク情報が付加された追跡情報メッセージ３１は、図４（Ａ）に示す追跡情報メッセージ３０に前方リンク情報が追加されるので、図４（Ｂ）に示すように、ヘッダ部３０１と、タイムスタンプ部３０２と、後方リンク情報部３０３と、前方リンク情報を収容する前方リンク情報部３０４と、付属情報部３０５とを備えて構成される。ここで、付属情報部３０５には、最初に追跡情報メッセージ３０を生成した発信源追跡情報提供装置１０の識別子だけでなく、前方リンク情報を付加した発信源追跡情報提供装置１０の識別子、暗号・認証情報及び電子署名等も含まれる。
【００４７】
そして、送信部１１７は、追跡情報生成部１１４が生成した追跡情報メッセージ３０及び追跡情報付加部１１６が前方リンク情報を付加した追跡情報メッセージ３１を伝送路１５に送信すべく通信インタフェース１０３に転送する（Ｓ１５）。
【００４８】
通信インタフェース１０３は、追跡情報メッセージ３０、３１を伝送路１５の信号形式に変換し、ハブ１６を介して伝送路１５に追跡情報メッセージを送信する。
【００４９】
このように発信源追跡情報提供装置１０は、動作することによって、伝送路１５を伝送する通信パケットのうち所定の確率で通信パケットに対する追跡情報メッセージ３０を生成して、生成した追跡情報メッセージ３０に対応する通信パケットにおける送信先に送信する。そして、発信源追跡情報提供装置１０は、伝送路１５を伝送する通信パケットに追跡情報メッセージ３０を発見すると、発見した追跡情報メッセージ３０がルータ装置１１を通過している場合に、前方リンク情報を追加して、この追加した追跡情報メッセージ３１を再び伝送路１５に戻す。即ち、他の発信源追跡情報提供装置１０が生成した追跡情報メッセージ３０に前方リンク情報を追加して再び伝送路１５に戻す。
【００５０】
このため、攻撃側端末装置２が犠牲側端末装置３に攻撃を始めると、攻撃に使用された通信パケットに対して所定の確率に応じて追跡情報メッセージ３０が生成され、追跡情報メッセージ３０及び前方リンク情報を付加した追跡情報メッセージ３１が犠牲側端末装置３に送信される。犠牲側端末装置３は、追跡情報メッセージ３０及び追跡情報メッセージ３１の前方リンク情報及び後方リンク情報に基づいて、例えば前方リンク情報と後方リンク情報の重なり具合を調べることにより、犠牲側端末装置３から順に攻撃側端末装置２まで発信源追跡情報提供装置１０を辿ることによって、攻撃側端末装置２に最も近い発信源追跡情報提供装置１０を特定し、この特定した発信源追跡情報提供装置１０が接続するルータ装置１１を特定する。これによって、攻撃に使用された通信パケットの発信源、即ち、攻撃側端末装置２が接続するサブ通信網が特定され、攻撃側端末装置２の通信網１における物理的な位置が特定される。
【００５１】
以上のように、発信源を特定するための情報の提供を発信源追跡情報提供装置１０が行い、発信源の特定を犠牲側端末装置３で行うので、ルータ装置１１の負荷を軽減することができる。ルータ装置１１は、そのリソースをルーティング処理に略専従させることができる。また、ルータ装置１１が発信源を特定するための処理機能を備えていない場合でも、このようなルータ装置１１を変更することなく、そして、通信網１を運用している状態で、通信網１に発信源を特定する機能を持たせることができる。
【００５２】
ここで、攻撃は、通常、比較的短い時間に行われることから、追跡情報メッセージ３０、３１の収集期間は、重要である。即ち、１時間や半日や１日のうちに例えば１００個や１０００個等の追跡情報メッセージ３０、３１が送信されて来る場合は、攻撃である可能性が高いが、１月や半年や１年のうちに例えば１００個や１０００個等の追跡情報メッセージ３０、３１が送信されて来る場合は、攻撃ではない可能性が高いからである。このため、犠牲側端末装置３は、追跡情報メッセージ３０、３１の受信を比較的短い時間だけ行って発信源を特定するようにすればよい。このように構成する場合には、追跡情報メッセージ３０、３１のタイムスタンプは、必ずしも必要ではない。また例えば、逆に、タイムスタンプを参照して、比較的短い時間に送信された追跡情報メッセージ３０、３１を用いて発信源を特定するようにしてもよい。タイムスタンプは、発信源を特定する場合に、一定期間内に生成された追跡情報メッセージを検索するために必要となる情報である。また例えば、犠牲側端末装置３に所謂侵入検知システムをさらに備えさせ、侵入検知システムからの検知結果に基づいて追跡情報メッセージ３０、３１を収集し、発信源を特定するようにしてもよい。あるいは、犠牲側端末装置３に侵入検知システムをさらに備えさせ、追跡情報メッセージ３０、３１を収集し、収集した追跡情報メッセージ３０、３１を検知システムの検知結果に基づいてフィルタリングを行って、発信源を特定するようにしてもよい。侵入検知システム（Intrusion Detection System；ＩＤＳ）は、攻撃の特徴的なパターン・兆候などを探知し、検知するシステムであり、ネットワーク上のトラフィックのパターンを検知するネットワーク・ＩＤＳや端末装置上で異常を検知するホスト・ＩＤＳなどが知られている。
【００５３】
また、上述の実施形態では、発信源の追跡は、犠牲側端末装置３で行うように構成したが、図１に破線で示すように、ハブ（不図示）を介して通信網１に接続される、通信パケットの発信源を追跡するコレクタ装置２０（発信源追跡装置の一例に相当する。）をさらに設け、コレクタ装置２０が追跡情報メッセージ３０、３１を取得し、コレクタ装置２０が発信源を追跡するように構成してもよい。このような発信源追跡情報提供装置１０及びコレクタ装置２０を備えて、通信パケットの発信源を追跡し得る発信源追跡システムが構成される。犠牲側端末装置３は、攻撃を受けることによってリソースに比較的大きな負荷がかかっているが、このようなコレクタ装置２０をさらに設けることによって、発信源の追跡処理の負荷を犠牲側端末装置３から開放することができる。
【００５４】
図５は、実施形態に係るコレクタ装置の構成を示す図である。図６は、実施形態に係るコレクタ装置の動作を示すフローチャートを示す図である。図７は、発信源を特定する一例を説明するための図である。図７（Ａ）は、リンクリストの一例であり、図７（Ｂ）は、特定された通信経路である。
【００５５】
まず、コレクタ装置２０の構成について説明する。図５において、コレクタ装置２０は、通信網１から追跡情報メッセージ３０、３１を取得し、この追跡情報メッセージ３０、３１に収容されている情報に基づいて通信パケットの発信源を追跡する装置であり、中央処理部２０１、補助記憶部２０２、通信インタフェース２０３、内部記憶部２０４及び表示部２０６を備えて構成され、必要に応じて破線で示す入力部２０５及び／又は外部記憶部２０７を備える。
【００５６】
中央処理部２０１は、例えば、マイクロプロセッサ等で構成され、機能的に、通信パケットを通信インタフェース２０３及びハブを介して伝送路から取り込む取込部２１１（パケット収集手段の一例に相当する。）、取り込んだ通信パケットが追跡情報メッセージ３０、３１であるか否かを判断する追跡情報メッセージ検出部２１２（追跡メッセージ検出手段の一例に相当する。）、及び、追跡情報メッセージ３０、３１の情報に基づいて通信パケットの発信源を追跡する発信源追跡部２１３（発信源追跡手段の一例に相当する。）を備えると共に、制御プログラムに従い補助記憶部２０２、通信インタフェース２０３、内部記憶部２０４及び表示部２０６を制御する。
【００５７】
発信源追跡部２１３は、本実施形態では、リンクリストを作成するリンクリスト作成部２１３１と、リンクリストに基づいて通信パケットの発信源である端末装置が接続するルータ装置を特定する発信源接続ルータ装置検出部２１３２とを備えて構成される。リンクリストは、追跡情報メッセージ３０、３１に収容される情報に基づいて作成され、少なくとも、追跡情報メッセージ３０、３１に係る、送信元の情報と後方リンク情報と前方リンク情報と追跡情報メッセージ３０、３１に対応する通信パケットにおける送信先の情報との対応関係を示す表である。
【００５８】
補助記憶部２０２は、例えばＲＯＭやＥＥＰＲＯＭ等の不揮発性の記憶素子及びハードディスク等の情報を記憶する装置であり、本コレクタ装置２０を動作させるための制御プログラム等の各プログラム、各プログラムの実行に必要な情報等を記憶する。また、補助記憶部２０２は、後述するように、追跡情報メッセージも記憶するようになっている（記憶手段の一例に相当する。）。通信インタフェース２０３、内部記憶部２０４、表示部２０６、入力部２０５及び外部記憶部２０７は、上述の通信インタフェース１０３、内部記憶部１０４、表示部１０６、入力部１０５及び外部記憶部１０７とそれぞれ同様であるので、その説明を省略する。そして、これら中央処理部２０１、補助記憶部２０２、通信インタフェース２０３、内部記憶部２０４及び表示部２０６、並びに必要に応じて入力部２０５及び／又は外部記憶部２０７は、データを相互に交換することができるようにバス２０８にそれぞれ接続される。
【００５９】
次に、コレクタ装置２０の動作について説明する。伝送路を伝播する通信パケットは、ハブで分岐され、分岐された一方の通信パケットは、コレクタ装置２０に取り込まれ、そして、他方の通信パケットは、そのまま伝送路を伝播する。コレクタ装置２０に取り込まれた通信パケットは、通信インタフェース２０３で中央処理部２０１で取り扱い可能な信号形式に変換される。
【００６０】
図６において、中央処理部２０１の取込部２１１は、通信インタフェース２０３から通信パケットを取り込み、追跡情報メッセージ検出部２１２に通信パケットを通知する（Ｓ３１）。追跡情報メッセージ検出部２１２は、通信パケットが追跡情報メッセージであることを示す識別子を参照することによって、通知された通信パケットが追跡情報メッセージ３０、３１であるか否かを判断する（Ｓ３２）。
【００６１】
判断の結果、通信パケットが追跡情報メッセージ３０、３１ではない場合（Ｎｏ）には、追跡情報メッセージ検出部２１２は、通信パケットを破棄して、処理を処理Ｓ３１に戻す。一方、判断の結果、通信パケットが追跡情報メッセージ３０、３１である場合（Ｙｅｓ）には、追跡情報メッセージ検出部２１２は、所定の期間内であるか否かを判断する。
【００６２】
所定の期間内であるか否かの判断は、例えば、所定の時間を計時すると共に計時の開始と終了とを追跡情報メッセージ検出部２１２に割り込み入力するタイマ部をさらに設け、タイマ部の計時期間中であるか否かを判断することによって行う。タイマ部は、例えば、コンデンサやスイッチング素子等あるいはカウンタ回路等によってハードウェアで構成してもよく、また、図５に破線でタイマ部２１４として示すようにソフトウェアによって機能的に中央処理部２０１に構成してもよい。また例えば、所定の期間内であるか否かの判断は、追跡情報メッセージ３０、３１のタイムスタンプ部３０２に収容されているタイムスタンプによって判断してもよい。所定の期間は、通信パケットが攻撃であるか否かを判断するためのものであるから、上述の収集期間と同様に、１時間や半日や１日等である。
【００６３】
判断の結果、所定の期間内ではない場合（Ｎｏ）には、追跡情報メッセージ検出部２１２は、通信パケットを破棄して、処理を処理Ｓ３１に戻す。一方、判断の結果、所定の期間内である場合（Ｙｅｓ）には、追跡情報メッセージ検出部２１２は、追跡情報メッセージ３０、３１を補助記憶部２０２に記憶して取得し、追跡情報メッセージ３０、３１の取得を発信源追跡部２１３に通知する（Ｓ３５）。
【００６４】
発信源追跡部２１３のリンクリスト作成部２１３１は、取得した追跡情報メッセージ３０、３１に収容されている情報からリンクリストを作成・更新する（Ｓ３６）。
【００６５】
次に、追跡情報メッセージ検出部２１２は、所定の期間が終了したか否かを判断する（Ｓ３７）。判断の結果、所定の期間が終了していない場合（Ｎｏ）には、追跡情報メッセージ検出部２１２は、処理を処理Ｓ３１に戻す。これによって、追跡情報メッセージ３０、３１は、所定の期間内だけ取り込まれて補助記憶部２０２に記憶され、リンクリストに登録される。
【００６６】
一方、判断の結果、所定の期間が終了している場合（Ｙｅｓ）には、追跡情報メッセージ検出部２１２は、追跡情報メッセージ３０、３１の収集の終了を発信源追跡部２１３に通知する。
【００６７】
そして、発信源追跡部２１３の発信源接続ルータ装置検出部２１３２は、作成したリンクリストに基づいて犠牲側端末装置３から発信源（攻撃側端末装置２）に至る通信経路を特定し、発信源を検出する（Ｓ３８）。
【００６８】
このようにコレクタ装置２０が動作することによって、例えば、図７（Ａ）に示すリンクリスト４０が作成される。本実施形態におけるリンクリスト４０は、当該リンクリスト４０の各レコードを表すインデックスを登録するインデックスフィールド４０１と、追跡情報メッセージ３０、３１を送信した発信源追跡情報提供装置１０の通信用アドレスを登録する送信元通信用アドレスフィールド４０２と、追跡情報メッセージ３０、３１の送信先の通信用アドレスを登録する送信先通信用アドレスフィールド４０３と、追跡情報メッセージ３０、３１の通過情報を登録する通過情報フィールド４０４と、後方リンク情報と前方リンク情報との間におけるルータ装置１１の通信用アドレスを登録するルータ装置通信用アドレスフィールド４０５と、追跡情報メッセージ３０、３１に収容されている後方リンク情報を登録する後方リンク情報フィールド４０６と、追跡情報メッセージ３０、３１に収容されている前方リンク情報を登録する前方リンク情報フィールド４０７と、追跡情報メッセージ３０、３１に収容されているタイムスタンプを登録するタイムスタンプフィールド４０８と、取得した追跡情報メッセージ３０、３１の付属情報部３０５に収容されている情報を登録するサンプリング追跡情報メッセージデータフィールド４０９とを備えて各フィールドが構成され、取得した追跡情報メッセージ３０、３１ごとにインデックスが割り当てられてレコードが作成される。
【００６９】
インデックスは、各レコードが区別されればよいので、相互に異なる任意の記号列でよいが、本実施形態では、例えば、連番号である。通信用アドレスは、例えば、ＩＰ層で発信源を特定する場合には、ＩＰアドレスである。通過情報は、例えば、上述のＴＴＬである。
【００７０】
上述の処理Ｓ３６において、リンクリスト作成部２１３１は、追跡情報メッセージ３０、３１が取得されると、連番号のインデックスを付して新たなレコードを作成する。次に、リンクリスト作成部２１３１は、付したインデックスをインデックスフィールド４０１に登録する。次に、リンクリスト作成部２１３１は、追跡情報メッセージ３０、３１のヘッダ部３０１から送信元通信用アドレス、発信先通信用アドレス及び通過情報（ヘッダ部３０１に収容されているものとする）を取り出し、送信元通信用アドレスフィールド４０２、送信先通信用アドレスフィールド４０３及び通過情報フィールド４０４にそれぞれ登録する。次に、リンクリスト作成部２１３１は、追跡情報メッセージ３０、３１の後方リンク情報部３０３、前方リンク情報部３０４、タイムスタンプ部３０２及び付属情報部３０５から後方リンク情報、前方リンク情報、タイムスタンプ及び付属情報を取り出し、後方リンク情報フィールド４０６、前方リンク情報フィールド４０７、タイムスタンプフィールド４０８及びサンプリング追跡情報メッセージデータフィールド４０９にそれぞれ登録する。なお、追跡情報メッセージ３０、３１に前方リンク情報が収容されていない場合、即ち、取得された追跡情報メッセージ３０、３１が追跡情報メッセージ３０である場合には、前方リンク情報フィールド４０７は、空欄となる。
【００７１】
そして、リンクリスト作成部２１３１は、送信元の発信源追跡情報提供装置１０の通信における下流側におけるルータ装置１１の通信用アドレスを後方リンク情報から取り出し、ルータ装置通信用アドレスフィールド４０５に登録する。なお、後方リンク情報及び前方リンク情報は、前述したように、例えば、当該発信源追跡情報提供装置１０が接続する伝送路１５の両端におけるルータ装置１１の識別子の組（ペア）であるが、通信における上流側のルータ装置１１の識別子と通信における下流側のルータ装置１１の識別子との順に後方リンク情報部３０３に収容するように規約するとすれば、リンクリスト作成部２１３１は、この順番から下流側におけるルータ装置１１の通信用アドレスを認識することができる。
【００７２】
発信源接続ルータ装置検出部２１３２は、まず、このように作成されたリンクリスト４０から、攻撃を受けこの攻撃の発信源を追跡したい犠牲側端末装置３の通信用アドレスが送信先通信用アドレスフィールド４０３に登録されているレコードを抽出する。次に、発信源接続ルータ装置検出部２１３２は、各レコード間における後方リンク情報と前方リンク情報とが一致するレコードを順に並べることによって、通信パケットが攻撃側端末装置２から犠牲側端末装置３に至るまでの通信経路上における発信源追跡情報提供装置１０を辿ることができる。そして、犠牲側端末装置３から通信経路上最も遠い発信源追跡情報提供装置１０を特定し、この最も遠い発信源追跡情報提供装置１０の下流側に接続するルータ装置１１を特定することができる。このため、攻撃側端末装置２がこのルータ装置１１下のサブ通信網内に在ることが特定され、攻撃側端末装置２の通信網１における物理的な位置が特定され得る。
【００７３】
図７（Ａ）に示す例では、インデックス＝「１」のレコードにおける前方リンク情報フィールド４０７に登録されている前方リンク情報＝「Ｒ２とＲ３の通信用アドレスペア」と一致する後方リンク情報が後方リンク情報フィールド４０７に登録されているレコードは、インデックス＝「２」のレコードであるから、インデックス＝「１」のレコードにおける送信元通信用アドレスフィールド４０２に登録されている通信用アドレス＝「ＩＰ＿Ｘ３」の発信源追跡情報提供装置１０に、インデックス＝「２」のレコードにおける送信元通信用アドレスフィールド４０２に登録されている通信用アドレス＝「ＩＰ＿Ｘ４」の発信源追跡情報提供装置１０が続くことになる。
【００７４】
同様に、前方リンク情報と後方リンク情報との重なり具合を分析すると、インデックス＝「２」のレコードとインデックス＝「ｋ」のレコードとから、通信用アドレス＝「ＩＰ＿Ｘ４」の発信源追跡情報提供装置１０に通信用アドレス＝「ＩＰ＿Ｘ５」の発信源追跡情報提供装置１０が続く。インデックス＝「ｋ」のレコードとインデックス＝「ｎ」のレコードとから、通信用アドレス＝「ＩＰ＿Ｘ５」の発信源追跡情報提供装置１０に通信用アドレス＝「ＩＰ＿Ｘ６」の発信源追跡情報提供装置１０が続く。一方、インデックス＝「３」のレコードとインデックス＝「１」のレコードとから、通信用アドレス＝「ＩＰ＿Ｘ２」の発信源追跡情報提供装置１０に通信用アドレス＝「ＩＰ＿Ｘ３」の発信源追跡情報提供装置１０が続く。
【００７５】
インデックス＝「０」のレコードにおける前方リンク情報フィールド４０７が空欄であり、インデックス＝「０」のレコードにおける後方リンク情報フィールド４０６の後方リンク情報とインデックス＝「３」のレコードにおける後方リンク情報フィールド４０６の後方リンク情報とが一致することから、通信用アドレス＝「ＩＰ＿Ｘ２」の発信源追跡情報提供装置１０の前に通信用アドレス＝「ＩＰ＿Ｘ１」の発信源追跡情報提供装置１０がに位置する。
【００７６】
インデックス＝「ｎ−１」のレコードにおける前方リンク情報フィールド４０７が空欄であり、インデックス＝「ｎ」のレコードにおける前方リンク情報フィールド４０７の前方リンク情報とインデックス＝「ｎ−１」のレコードにおける後方リンク情報フィールド４０６の後方リンク情報とが一致すると共に、インデックス＝「ｎ」のレコードにおける送信元通信アドレスフィールド４０２の送信元通信アドレスとインデックス＝「ｎ−１」のレコードにおける送信元通信アドレスフィールド４０２の送信元通信アドレスとが一致することから、犠牲側端末装置３が通信用アドレス＝「ＩＰ＿Ｘ６」の発信源追跡情報提供装置１０の直後に位置する。
【００７７】
従って、通信パケットの通信経路は、図７（Ｂ）に示すように、通信用アドレス＝「ＩＰ＿Ｘ６」の発信源追跡情報提供装置１０（同図中「Ｘ６」）、通信用アドレス＝「ＩＰ＿Ｘ５」の発信源追跡情報提供装置１０（同図中「Ｘ５」）、通信用アドレス＝「ＩＰ＿Ｘ４」の発信源追跡情報提供装置１０（同図中「Ｘ４」）、通信用アドレス＝「ＩＰ＿Ｘ３」の発信源追跡情報提供装置１０（同図中「Ｘ３」）、通信用アドレス＝「ＩＰ＿Ｘ２」の発信源追跡情報提供装置１０（同図中「Ｘ２」）、そして、通信用アドレス＝「ＩＰ＿Ｘ１」の発信源追跡情報提供装置１０（同図中「Ｘ１」）であることが分かる。そして、最も遠い通信用アドレス＝「ＩＰ＿Ｘ１」の発信源追跡情報提供装置１０が接続する下流側のルータ装置１１（同図中「Ｒ０」）のサブ通信網内に攻撃側端末装置２が在ることが分かり、攻撃側端末装置２の通信網１上の物理的な位置が分かる。
【００７８】
また、本実施形態におけるリンクリスト４０では、ルータ装置１１の通信用アドレスも分かるので、上述と同様に前方リンク情報と後方リンク情報との重なり具合を分析することによって、通信パケットが、図７（Ｂ）に示すように、通信用アドレス＝「ＩＰ＿Ｒ６」のルータ装置１１（同図中「Ｒ６」）、通信用アドレス＝「ＩＰ＿Ｒ５」のルータ装置１１（同図中「Ｒ５」）、通信用アドレス＝「ＩＰ＿Ｒ４」のルータ装置１１（同図中「Ｒ４」）、通信用アドレス＝「ＩＰ＿Ｒ３」のルータ装置１１（同図中「Ｒ３」）、通信用アドレス＝「ＩＰ＿Ｒ２」のルータ装置１１（同図中「Ｒ２」）、通信用アドレス＝「ＩＰ＿Ｒ１」のルータ装置１１（同図中「Ｒ１」）、そして、通信用アドレス＝「ＩＰ＿Ｒ０」のルータ装置１１（同図中「Ｒ０」）の通信経路を伝送されて来たことが分かる。
【００７９】
さらに、コレクタ装置２０が犠牲側端末装置３の近傍に存在する場合には、通信経路を辿る際に通過情報の値を考慮して各レコードを並べてもよい。通過情報が例えばＴＴＬの場合には、小さい値ほど多くのルータ装置１１を通過して来たこととなり、コレクタ装置２０から、即ち、犠牲側端末装置３から遠くに在る発信源追跡情報提供装置１０より送信された追跡情報メッセージ３０、３１であるからである。
【００８０】
なお、上述では、コレクタ装置２０は、通信網１を犠牲側端末装置３に送信されている追跡情報メッセージ３０、３１を取得するように構成したが、発信源追跡情報提供装置１０が追跡情報メッセージ３０、３１を犠牲側端末装置３ではなく、コレクタ装置２０に送信するように構成してもよい。このように構成することによって犠牲側端末装置３は、攻撃を受けている際に、追跡情報メッセージ３０、３１を受信する必要がなくなるので、犠牲側端末装置３の負荷がより軽減される。この場合に、ヘッダ部３０１の送信先アドレスにはコレクタ装置２０のアドレスが収容されることから、追跡情報メッセージ３０、３１が何れの端末装置に対するものであるかをコレクタ装置２０に認識させるために、発信源追跡情報提供装置１０の追跡情報生成部１１４は、生成した追跡情報メッセージ３０に対応する通信パケットにおける送信先の情報（犠牲側端末装置３のアドレス）を例えば付属情報部３０５に収容することによって該追跡情報メッセージ３０にさらに含めるように構成する。
【００８１】
また、上述では、発信源追跡情報提供装置１０は、通信網１を介して、追跡情報メッセージ３０、３１を犠牲側端末装置３に送信し、また、コレクタ装置２０は、追跡情報メッセージ３０、３１を通信網１から収集するように構成したが、追跡情報メッセージ３０、３１の情報に基づいて通信パケットの発信源を追跡する追跡装置を設け、発信源追跡情報提供装置１０と追跡装置とを接続する専用の通信線又は通信網を設け、この専用の通信線又は通信網によって発信源追跡情報提供装置１０から追跡装置へ追跡情報メッセージ３０、３１を送信するように構成してもよい。
【００８２】
さらに、上述では、発信源追跡情報提供装置１０に設定された所定の確率によって追跡情報メッセージ３０が生成され、コレクタ装置２０は、追跡情報メッセージ３０、３１を取得することになるが、所定の確率の値によってはコレクタ装置２０の負荷が比較的大きくなったり、通信網１の監視の程度を変えたい場合があったりする。そこで、コレクタ装置２０から所定の確率を変更する通信パケット（確率変更メッセージ）を発信源追跡情報提供装置１０に送信し、所定の確率を変更するように構成してもよい。この場合には、確率イベント発生部１１３の所定の確率を変更する確率変更部をさらに備えて発信源追跡情報提供装置１０を構成する。確率変更メッセージを同報通信することによって全ての発信源追跡情報提供装置１０の所定の確率を一斉に変更してもよく、また、確率変更メッセージを所望の発信源追跡情報提供装置１０に送信することによって発信源追跡情報提供装置１０の所定の確率を個別に変更してもよい。
【００８３】
一方、通信網１を構成するルータ装置１１の中には、ＮＡＴ機能（Network Address Translation機能、ナット機能、ＮＡＰＴ（Network Address Port Translation）機能も含む）を備えたものもが在る場合がある。ナット機能は、プライベートアドレスとグローバルアドレスとを相互に変換し（必要に応じてポート番号をも相互に変換し）、プライベートアドレスしか割り当てられていない端末装置が透過的にインターネットにアクセスすることができるようにする仕組みである。プライベートアドレスとグローバルアドレスとを１対１で相互に変換する静的ナット機能では、プライベートアドレス数に応じた個数のグローバルアドレスを用意する必要があるが、プライベートアドレスをグローバルアドレスに変換する際に空きのグローバルアドレスに変換される動的ナット機能では、プライベートアドレス数に比してグローバルアドレス数を少なくすることができ、グローバルアドレスを節約することができる。
【００８４】
図８は、実施形態に係る発信源追跡情報提供装置の適用された、ナット機能を備えるナット・ルータ装置を含む通信網を示す図である。図９は、ナット情報を含む追跡情報メッセージのフォーマットを示す図である。図９（Ａ）は、追跡情報生成部による追跡情報メッセージのフォーマットを示し、図９（Ｂ）は、追跡情報付加部による追跡情報メッセージのフォーマットを示す。
【００８５】
例えば、図８に示すように、図１に示す通信網１におけるルータ装置ｃ１１−ｃ及びＲｇ１１−ｇがナット・ルータ装置１２（ＮＡＴ−Ｒａ１２−ａ、ＮＡＴ−Ｒｂ１２−ｂ）で通信網１’が構成されている。
【００８６】
ナット機能から分かるように、ルータ装置１１のサブ通信網ではプライベートアドレスが使用され、プライベートアドレスがグローバルアドレスに変換されるため、異なるサブ通信網では同一のプライベートアドレスが使用される場合があり、発信源を特定することが困難となる場合が生じ得る。そこで、ナット・ルータ装置１２を含む通信網１’に本発明に係る発信源追跡情報提供装置１０が適用可能となるように、図２に破線で示すように、ナットルータ装置検出部１１８を中央処理部１０１にさらに備えさせ、そして、追跡情報生成部１１４は、ナット情報を含む追跡情報メッセージを生成するように構成される。ナット情報は、ナット・ルータ装置１２の種類（静的ナット・ルータ装置及び動的ナット・ルータ装置の別）、ナット・ルータ装置１２におけるＮＡＴ変換前と後とにおけるＩＰアドレス及びＮＡＰＴ機能の場合にはポート番号である。
【００８７】
ナットルータ装置検出部１１８は、例えば、発信源追跡情報提供装置１０が伝送路１５に接続されると、伝送路１５に接続されるルータ装置がナット・ルータ装置１２であるか否かを問い合わせるメッセージ（ナットルータ検知メッセージ）を送信し、ナット・ルータ装置１２である旨のメッセージを受信した場合には、さらに、ナット情報を当該ナット・ルータ装置１２に要求するメッセージ（ナット情報要求メッセージ）を送信し、ナット情報を収容したメッセージを受信し、ナット情報を補助記憶部１０２に格納すると共に、追跡情報生成部１１４にナット情報を付加して追跡情報メッセージを生成するように通知する。このようなナット情報の取得は、例えば、ＳＮＭＰが利用される。
【００８８】
ナットルータ装置検出部１１８から通知を受けると、追跡情報生成部１１４は、追跡情報メッセージを生成する際に、ナット情報を含む追跡情報メッセージを生成する。例えば、図９（Ａ）に示すように、ナット情報を含む追跡情報メッセージ３２は、図４（Ａ）に示す追跡情報メッセージ３０にナット情報を収容するナット情報部３０６をさらに備えて構成される。即ち、追跡情報メッセージ３２は、ヘッダ部３０１と、タイムスタンプ部３０２と、後方リンク情報部３０３と、ナット情報部３０６と、付属情報部３０５とを備えて構成される。
【００８９】
そして、追跡情報付加部１１６は、このようなナット情報を含む追跡情報メッセージ３２に前方リンク情報を追加することになるので、図９（Ｂ）に示すように、追跡情報付加部１１６によって前方リンク情報が付加された追跡情報メッセージ３３は、図９（Ａ）に示す追跡情報メッセージ３２に前方リンク情報が追加され、ヘッダ部３０１と、タイムスタンプ部３０２と、後方リンク情報部３０３と、前方リンク情報部３０４と、ナット情報部３０６と、付属情報部３０５とを備えて構成される。
【００９０】
通信網がナット・ルータ装置１２を含む通信網１’である場合でも、犠牲側端末装置３は、ナット情報を含む追跡情報メッセージ３２、３３を受信することができるので、ナット情報を参照することによって追跡結果の不整合を解消することができ、発信源を特定することができる。例えば、ナット・ルータ装置のサブ通信網内まで発信源の特定を行う場合に、サブ通信網内ではプライベート・アドレスが振ってあるため、異なるプライベート・アドレスに同一のグローバル・アドレスが割り当てられる場合が生じ得る結果、追跡結果にアドレスの重複が生じて追跡結果に不整合が生じ得るが、このような場合でもナット情報を参照することによって発信源を特定することができる。
【００９１】
また、通信網１を構成するルータ装置１１の中には、バーチャル・プライベート・ネットワーク（ＶＰＮ、Virtual Private network、仮想専用線、仮想私設網、以下「ＶＰＮ」と略記する）を形成したのもが在る場合がある。ＶＰＮは、インターネット等の公衆通信ネットワークを専用線のように利用する仕組みである。ＶＰＮは、ＶＰＮ通信用に通信パケットのヘッダを変換する機能と、通信パケットを暗号化する機能とから主に構成される。
【００９２】
図１０は、実施形態に係る発信源追跡情報提供装置の適用された、ＶＰＮを含む通信網及び通信パケットの通信経路を示す図である。図１０（Ａ）は、実施形態に係る発信源追跡情報提供装置の適用された、ＶＰＮを含む通信網を示し、図１０（Ｂ）は、通信パケットの実際の通信経路を示し、図１０（Ｃ）は、ＶＰＮによる、通信パケットの仮想の通信経路を示す。図１１は、ＶＰＮ情報を含む追跡情報メッセージのフォーマットを示す図である。図１１（Ａ）は、追跡情報生成部による追跡情報メッセージのフォーマットを示し、図１１（Ｂ）は、追跡情報付加部による追跡情報メッセージのフォーマットを示す。
【００９３】
例えば、図１０に示すように、図１に示す通信網１におけるルータ装置ｆ１１−ｆ及びＲｊ１１−ｊ間にＶＰＮ１３が形成されている。
【００９４】
ＶＰＮ１３を含む通信網１”に本発明に係る発信源追跡情報提供装置１０が適用される場合には、図２に破線で示すように、ＶＰＮルータ装置検出部１１９を中央処理部１０１にさらに備えさせ、そして、追跡情報生成部１１４は、ＶＰＮ情報を含む追跡情報メッセージを生成するように構成される。ＶＰＮ情報は、ＶＰＮのカプセル化の前と後とにおけるＩＰアドレス、及び、セッション又はトンネルのＩＤ番号である。
【００９５】
ＶＰＮルータ装置検出部１１９は、例えば、発信源追跡情報提供装置１０が伝送路１５に接続されると、伝送路１５に接続されるルータ装置１１がＶＰＮを形成するルータ装置１１であるか否かを問い合わせるメッセージ（ＶＰＮ検知メッセージ）を送信し、ＶＰＮを形成している旨のメッセージを受信した場合には、さらに、ＳＳＬ、ＩＰｓｅｃ及びＭＰＬＳ等のＶＰＮの種類及びＶＰＮ情報を当該ルータ装置１１に要求するメッセージ（ＶＰＮ情報要求メッセージ）を送信し、ＶＰＮの種類及びＶＰＮ情報を収容したメッセージを受信し、ＶＰＮの種類及びＶＰＮ情報を補助記憶部１０２に格納すると共に、追跡情報生成部１１４にＶＰＮ情報を付加して追跡情報メッセージを生成するように通知する。このようなＶＰＮ情報の取得は、例えば、ＳＮＭＰが利用される。
【００９６】
ＶＰＮルータ装置検出部１１９から通知を受けると、追跡情報生成部１１４は、追跡情報メッセージを生成する際に、ＶＰＮ情報を含む追跡情報メッセージを生成する。例えば、図１１（Ａ）に示すように、ＶＰＮ情報を含む追跡情報メッセージ３４は、図４（Ａ）に示す追跡情報メッセージ３０にＶＰＮ情報を収容するＶＰＮ情報部３０７をさらに備えて構成される。即ち、追跡情報メッセージ３４は、ヘッダ部３０１と、タイムスタンプ部３０２と、後方リンク情報部３０３と、ＶＰＮ情報部３０７と、付属情報部３０５とを備えて構成される。
【００９７】
そして、追跡情報付加部１１６は、このようなＶＰＮ情報を含む追跡情報メッセージ３４に前方リンク情報を追加することになるので、図１１（Ｂ）に示すように、追跡情報付加部１１６によって前方リンク情報が付加された追跡情報メッセージ３５は、図１１（Ａ）に示す追跡情報メッセージ３４に前方リンク情報が追加され、ヘッダ部３０１と、タイムスタンプ部３０２と、後方リンク情報部３０３と、前方リンク情報部３０４と、ＶＰＮ情報部３０７と、付属情報部３０５とを備えて構成される。
【００９８】
通信網がＶＰＮを含む通信網１”である場合には、ＶＰＮの通信経路（図１０（Ａ）ではルータ装置ｆ１１−ｆからルータ装置ｃ１１−ｃ及びルータｄ１１−ｄを介してルータ装置ｊ１１−ｊに至る通信経路）における発信源追跡情報提供装置１０（図１０（Ａ）では、発信源追跡情報提供装置ｃ１１−ｃ、発信源追跡情報提供装置ｄ１１−ｄ及び発信源追跡情報提供装置ｊ１１−ｊ）では、追跡情報生成部１１４は、所定の確率によって生成した追跡情報メッセージをＶＰＮを形成するルータ装置１１（図１０（Ａ）では、ルータ装置ｆ１１−ｆ又はルータ装置ｊ１１−ｊ）に送信してしまう。また、ＶＰＮの通信経路における発信源追跡情報提供装置１０では、カプセル化及び暗号化されているので、追跡情報メッセージ検出部１１２が追跡情報メッセージを検出することができない。さらに、ＶＰＮの設定によっては、例えば、ＷＥＢはＶＰＮを介するが電子メールはＶＰＮを介しない等のように通信の種類によってＶＰＮを利用したりしなかったりするように設定することも可能であるので、同一の発信源であったとしても通信経路が見かけ上変わる結果、追跡結果に不整合が生じてしまう。
【００９９】
しかしながら、犠牲側端末装置３は、ＶＰＮ情報を含む追跡情報メッセージ３４、３５を受信することができるので、ＶＰＮ情報を参照することによってＶＰＮを形成するルータ装置１１同士を認識することができる。ＶＰＮを形成するルータ装置１１同士があたかも直接伝送路によって接続されているかのように見える。そのため、実際の通信経路が図１０（Ｂ）に示すようにルータ装置ｂ１１−ｂからルータ装置ｆ１１−ｆ、ルータ装置ｃ１１−ｃ、ルータ装置ｄ１１−ｄ及びルータ装置ｊ１１−ｊを介してルータ装置ｋ１１−ｋであったとしても、通信経路を図１０（Ｃ）に示すようにルータ装置ｂ１１−ｂからルータ装置ｆ１１−ｆ及びルータ装置ｊ１１−ｊを介してルータ装置ｋ１１−ｋに至る通信経路とみなすことができ、発信源を特定することができる。また、ＶＰＮにおける実際の通信経路の分析（図１０では、ルータ装置ｆ１１−ｆからルータ装置ｃ１１−ｃ及びルータ装置ｄ１１−ｄを介してルータ装置ｊ１１−ｊに至る分析）が省略されるので、発信源までの通信経路をより早く特定することができる。
【図面の簡単な説明】
【０１００】
【図１】実施形態に係る発信源追跡情報提供装置の適用された通信網を示す図である。
【図２】実施形態に係る発信源追跡情報提供装置の構成を示す図である。
【図３】実施形態に係る発信源追跡情報提供装置の動作を示すフローチャートを示す図である。
【図４】追跡情報メッセージのフォーマットを示す図である。
【図５】実施形態に係るコレクタ装置の構成を示す図である。
【図６】実施形態に係るコレクタ装置の動作を示すフローチャートを示す図である。
【図７】発信源を特定する一例を説明するための図である。
【図８】実施形態に係る発信源追跡情報提供装置の適用された、ナット機能を備えるナット・ルータ装置を含む通信網を示す図である。
【図９】ナット情報を含む追跡情報メッセージのフォーマットを示す図である。
【図１０】実施形態に係る発信源追跡情報提供装置の適用された、ＶＰＮを含む通信網及び通信パケットの通信経路を示す図である。
【図１１】ＶＰＮ情報を含む追跡情報メッセージのフォーマットを示す図である。
【符号の説明】
【０１０１】
１０  発信源追跡情報提供装置
１１  ルータ装置
１２  ナット・ルータ装置
１３  ＶＰＮ
１６  ハブ
２０  コレクタ装置
３０、３１、３２、３３、３４、３５  追跡情報メッセージ
１０１、２０１  中央処理部
１０２、２０２  補助記憶部
１０３、２０３  通信インタフェース
１０４、２０４  内部記憶部
１１１、２１１  取込部
１１２、２１２  追跡情報メッセージ検出部
１１３  確率イベント発生部
１１４  追跡情報生成部
１１５  ルータ装置通過検出部
１１６  追跡情報付加部
１１７  送信部
１１８  ナットルータ装置検出部
１１９  ＶＰＮルータ装置検出部
２１３  発信源追跡部
２１４  タイマ部
３０１  ヘッダ部
３０２  タイムスタンプ部
３０３  後方リンク情報部
３０４  前方リンク情報部
３０５  付属情報部
３０６  ナット情報部
３０７  ＶＰＮ情報部
２１３１  リンクリスト生成部
２１３２  発信源接続ルータ装置検出部
【図１】
2005210518.tif 000003
【図２】
2005210518.tif 000004
【図３】
2005210518.tif 000005
【図４】
2005210518.tif 000006
【図５】
2005210518.tif 000007
【図６】
2005210518.tif 000008
【図７】
2005210518.tif 000009
【図８】
2005210518.tif 000010
【図９】
2005210518.tif 000011
【図１０】
2005210518.tif 000012
【図１１】
2005210518.tif 000013