(57)【要約】【課題】  不正アクセスに係るデータの発信源を視覚的に把握しやすく表示する。【解決手段】  ルートノードＮ１を中心として、ホップ数に相当する複数の同心円を描画する。次に、ルートノードＮ１の直下のノードＮ２〜Ｎ４を描画するとき、各ノードＮ２〜Ｎ４の重み情報に比例した角度を各ノードＮ２〜Ｎ４に割り当て、略中心角度位置に各ノードＮ２〜Ｎ４を描画し、当該各ノードＮ２〜Ｎ４とルートノードＮ１とを結線描画する。次に、ノードＮ４に対する下位層のノードＮ８〜Ｎ１０を描画するに際して、ノードＮ４に割り当てられた角度のうち、各ノードＮ８〜Ｎ１０の重み情報に比例した角度を各ノードＮ８〜Ｎ１０に割り当てて描画し、当該下位層のノードＮ８〜Ｎ１０と上位層のノードＮ４とを結線描画する。ここで、ルートノードＮ１に対する末端ノードを四角状に描画し、中継ノードを丸状に描画して、表示形態を区別して描画する。【選択図】      図１２
2005244333.tif 000002
【特許請求の範囲】
【請求項１】
複数の通信ノードと、当該通信ノードから送信されたパケットを受信する通信ホストと、前記各通信ノードが伝送したパケットの中継元及び中継先を示す追跡パケットに基づいて前記通信ホストが受信したパケットの発信源及び追跡経路を示す追跡結果を生成する追跡結果生成装置とを備えた通信ネットワークに接続され、前記追跡結果生成装置で生成された追跡結果に基づいて前記通信ホストで受信したパケットの発信源を表示する発信源表示装置であって、
前記通信ホストをルートノードとして描画中心に描画し、前記通信ノードからの距離ごとに複数の同心円を前記描画中心を中心として描画する手段と、
前記ルートノードの直下の階層の通信ノードを描画するに際して、同一の同心円に描画すべき各通信ノードの重み情報に比例した角度を各通信ノードに割り当て、割り当てられた角度内の略中心角度位置に各通信ノードを描画し、当該各通信ノードと前記ルートノードとを結線描画する手段と、
前記通信ホストからの距離が近い上位層の通信ノードに接続された下位層の通信ノードを描画するに際して、上位層の通信ノードに割り当てられた角度のうち、同一の同心円に描画すべき各通信ノードの重み情報に比例した角度を各通信ノードに割り当て、割り当てられた角度内の略中心角度位置に各通信ノードを描画し、当該下位層の通信ノードと前記上位層の通信ノードとを結線描画する手段と、
前記通信ホストで受信されたパケットを生成した通信ノードと、当該通信ノードで生成されたパケットを中継した通信ノードとの表示形態を区別して描画する手段と
を備えることを特徴とする発信源表示装置。
【請求項２】
前記重み情報は、ルートノードと各通信ノードとの距離又は各通信ノードの通信量であって、
ルートノードと各通信ノードとの距離が長いほど、又は各通信ノードの通信量が多いほど、同一の同心円に描画すべき各通信ノードに割り当てる角度を大きくすることを特徴とする請求項１に記載の発信源表示装置。
【請求項３】
前記通信ノードから前記ルートノードまでの距離を、前記追跡パケットに含まれるホップ数により判断することを特徴とする請求項１又は請求項２に記載の発信源表示装置。
【請求項４】
前記ルートノードと前記追跡パケットを送信した前記通信ノードとの間に、前記追跡パケットを送信しない通信ノードが存在する場合に、前記ルートノードと前記追跡パケットを送信した通信ノードとの間を補間して結線描画する手段を備えることを特徴とする請求項１に記載の発信源表示装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信ネットワークを介して送信されたデータの発信源を探査し、当該探査した結果得たデータ発信源を表示させる発信源表示装置に関する。
【背景技術】
【０００２】
従来より、例えばネットワークを構成する装置を管理する技術としては、下記の特許文献１乃至特許文献３に記載されているように、ネットワーク要素間の結線表示とトラフィック量表示とを行う技術や、単数或いは複数の外部装置を目標装置にアクセスさせて、目標装置を制御する技術等が知られている。要するに、従来の技術は、ネットワーク機器や端末の状態確認、制御、及びイベントトラブル通知といったネットワークを管理するという目的のために、トラフィック表示として、ネットワーク機器や端末間の結線状態、リンク状態、トラフィックの方向、トラフィック量、ネットワーク構成などの機能を組み合わせて表示させるものであった。
【０００３】
また、従来より、データの発信源を探査する技術としては、下記の特許文献４乃至特許文献７に記載されているようなネットワーク要素としてのルータから管理装置にデータの追跡情報を提供する技術が知られている。
【特許文献１】特許第３２００６４５号
【特許文献２】特開平４−６８９５９号公報
【特許文献３】特開平４−１８９０４６号公報
【特許文献４】S.M.Belleobin.ICMP Traceback message,Internet draft:draft-bellovin-itrace-00.txt,Mar 2000
【特許文献５】特開２００３−２６４５５３号公報
【特許文献６】特開２０００−１２４９５２号公報
【特許文献７】特開２０００−３４１３１５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、上述の従来のトラフィック状態の表示技術では、近年のネットワーク犯罪に関連するハッキング、ウイルス、ワーム、ＤｏＳ攻撃、トロイの木馬、スパムメールといった不正アクセスに対して能動的に情報収集を行い、且つ不正アクセスに対する証拠や記録といった管理を行うことができなかった。したがって、近年では、ネットワーク管理者の作業負担が煩雑となっており、不正アクセスに対する追跡に関するトラフィック表示に関して視覚的に有用な表示技術が望まれている。
【０００５】
そこで、本発明は、上述した実情に鑑みて提案されたものであり、不正アクセスに係るデータの発信源を視覚的に把握しやすく表示することができる発信源表示装置を提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明は、複数の通信ノードと、当該通信ノードから送信されたパケットを受信する通信ホストと、前記通信ノードが伝送したパケットの中継元及び中継先を示す追跡パケットに基づいて前記通信ホストが受信したパケットの発信源及び追跡経路を示す追跡結果を生成する追跡結果生成装置とを備えた通信ネットワークに接続され、前記追跡結果生成装置で生成された追跡結果に基づいて前記通信ホストで受信したパケットの発信源を表示する。
【０００７】
この発信源表示装置は、通信ホストをルートノードとして描画中心に描画し、前記通信ノードからの距離ごとに複数の同心円を前記描画中心を中心として描画する手段と、前記ルートノードの直下の階層の通信ノードを描画するに際して、同一の同心円に描画すべき各通信ノードの重み情報に比例した角度を各通信ノードに割り当て、割り当てられた角度内の略中心角度位置に各通信ノードを描画し、当該各通信ノードと前記ルートノードとを結線描画する手段と、前記通信ホストからの距離が近い上位層の通信ノードに接続された下位層の通信ノードを描画するに際して、上位層の通信ノードに割り当てられた角度のうち、同一の同心円に描画すべき各通信ノードの重み情報に比例した角度を各通信ノードに割り当て、割り当てられた角度の範囲内の略中心角度位置に各通信ノードを描画し、当該下位層の通信ノードと前記上位層の通信ノードとを結線描画する手段と、前記通信ホストで受信されたパケットを生成した通信ノードと、当該通信ノードで生成されたパケットを中継した通信ノードとの表示形態を区別して描画する手段とを備えることにより、上述の課題を解決する。
【発明の効果】
【０００８】
本発明に係る発信源表示装置によれば、ルートノードの直下の通信ノードについては、各通信ノードの重みが高いほど大きい角度範囲に通信ノードを描画し、ルートノードの直下以外の通信ノードについては、上位層の通信ノードに割り当てられた角度範囲で重みが高いほど大きい角度範囲に通信ノードを描画するので、上位層の通信ノードと下位層の通信ノードとを結線描画しても結線同士が交わることなく、更には重みが高い通信ノード周辺の描画密度を低くすることができる。
【０００９】
したがって、この発信源表示装置によれば、重みが高い通信ノード及び当該通信ノードの通信ホストに対する距離を視覚的に効果的に認識させやすくして、不正アクセスに係るデータの発信源を視覚的に把握しやすく表示することができ、ネットワーク管理者の管理作業をより簡便とすることができる。
【発明を実施するための最良の形態】
【００１０】
以下、本発明の実施の形態について図面を参照して説明する。
【００１１】
［第１実施形態］
本発明は、例えば図１に示すように、ネットワークを構成する複数の通信ノードが接続され、当該通信ノードとして、複数の攻撃ホスト（Ａ）１、ホスト（Ｈ）２、複数のルータ（Ｒ）３、犠牲ホスト（Ｖ）４が接続されているネットワークシステムに適用される。また、ネットワークシステムは、犠牲ホスト４が接続されたネットワークに、犠牲ホスト４に対する攻撃ホスト１を表示するためのコレクタ装置（Ｃ）５及びビューア装置（Ｖ）６が接続されて構成されている。
【００１２】
本例において、犠牲ホスト４は、例えばＦＴＰ（File Transfer Protocol）サーバやＷｅｂサーバ等からなる通信ノードである。この犠牲ホスト４は、図示しないクライアントからの要求に応じてＷｅｂページを表示させるＨＴＭＬ（Hypertext Markup Language）データを含むＩＰ（Internet Protocol）パケットや、ファイルデータを含むＩＰパケット送信するネットワークサービスを提供する。この犠牲ホスト４は、サービス提供先となるクライアントのみならず、攻撃ホスト１とも接続される。
【００１３】
攻撃ホスト１は、犠牲ホスト４に対し、不正アクセス（ＤｏＳ攻撃）やサービス妨害となる攻撃を行う通信ノードである。具体的には、攻撃ホスト１は、図２に示すように犠牲ホスト４が他の通信ノードにＩＰパケット送信が不能となる大量のＩＰパケットＳ１を犠牲ホスト４に送信したり、多数の通信ノードから犠牲ホスト４にＩＰパケットを送信する制御を行って、一時的に犠牲ホスト４のネットワークサービスを停止させる。
【００１４】
また、攻撃ホスト１と犠牲ホスト４との間には、中継通信ノードであるルータ３又はホスト２が動作する確率、例えばルータ３がパケットを中継した回数に対する一定の確率で追跡パケットＳ２を発生させるジェネレータ（Ｇ）が設けられている。このジェネレータは、例えば各ルータ３ごとに設けられ、ルータ３がＩＰパケットを受信したＩＰパケット中継元のＩＰアドレス及びルータ３がＩＰパケットを送信したＩＰパケット中継先のＩＰアドレス等を含む追跡メッセージを作成する。そして、ジェネレータは、追跡メッセージを含む追跡パケットを犠牲ホスト４に送信する。
【００１５】
コレクタ装置５は、各ルータ３のジェネレータから犠牲ホスト４に送信される追跡パケットを取り込んで、ジェネレータから犠牲ホスト４に送られる追跡パケットの収集を行って追跡結果Ｓ３を生成する追跡結果生成装置として機能する。この追跡結果Ｓ３は、ビューア装置６の操作者や、例えば犠牲ホスト４の管理者から、発信源及び追跡経路が視認可能な描画データを含む。
【００１６】
このコレクタ装置５は、図３に示すように、中央処理部１１、入力部１２、表示部１３、内部記憶部１４、外部記憶部１５、補助記憶部１６、通信インターフェース１７がバス１８に接続されて構成されている。
【００１７】
このコレクタ装置５は、通信インターフェース１７からＩＰパケットを受信すると、バス１８を介して中央処理部１１内の取込部２１でＩＰパケットを取り込み、当該ＩＰパケットが追跡パケットである場合には、追跡情報メッセージ検出部２２により追跡メッセージを取り込んで、発信源追跡部２３に送る。発信源追跡部２３は、追跡情報メッセージ検出部２２から追跡メッセージが送られると、当該追跡メッセージを使用してリンクリスト作成部２３ａによりリンクリストを作成する。このリンクリストは、各ルータ３により中継したＩＰパケットの中継元や中継先がリスト形式で表現されて犠牲ホスト４に攻撃を与えた発信源を特定するための情報を含む。なお、このリンクリスト作成処理の内容については後述する。
【００１８】
そして、発信源追跡部２３は、作成したリンクリストに基づいて犠牲ホスト４に攻撃を与えた可能性がある発信源となる通信ノード（攻撃ホスト１）を特性する発信源特定処理や、リンクリストを追跡結果としてバス１８及び通信インターフェース１７を介してビューア装置６に送信する処理を行う。ビューア装置６は、犠牲ホスト４に送信されたＩＰパケットの発信源及び追跡経路を表示することにより、発信源表示装置として機能する。
【００１９】
なお、本例では、発信源の描画を行う発信源表示処理をビューア装置６で行う場合について説明するが、これに限らず、コレクタ装置５の発信源追跡部２３で描画データを作成し、ビューア装置６では単にディスプレイ表示させるのみであっても良い。
【００２０】
また、このコレクタ装置５は、管理者による入力部１２の操作により、リンクリストや追跡結果を管理させる処理、表示部１３により各種情報を表示する処理、中央処理部１１でリンクリスト等を作成するに際して内部記憶部１４や外部記憶部１５のデータを使用する処理、通信インターフェース１７にて送受信するデータを補助記憶部１６に一時的に格納する処理等を行う。
【００２１】
「リンクリスト作成処理」
つぎに、リンクリスト作成部２３ａにより攻撃ホスト１を特定するためのリンクリスト作成処理について説明する。
【００２２】
ここで、ネットワークシステムは、図４に示すように、攻撃ホストＡ１がルータＲ１，ルータＲ２，ルータＲ３，ルータＲ４を介して攻撃対象の犠牲ホストＶ１にＩＰパケットを送信し、ルータＲ１，ルータＲ２，ルータＲ３，ルータＲ４にそれぞれルータＲ５，ルータＲ６，ルータＲ７，ルータＲ８が接続されているものとする。また、このネットワークシステムにおける各通信ノードは、攻撃ホストＡ１から犠牲ホストＶ１にＩＰパケットを伝送するための受信ポート及び送信ポートが設定されて、接続されている通信ノード間でリンクを確立しているものとする。更に、各ルータＲは、上述のジェネレータにより、中継したＩＰパケットのうちのある確率（例えば２万分の１）で、追跡メッセージ及びＩＰヘッダを含む追跡パケットをコレクタ装置Ｃ１に送信する。
【００２３】
このようなネットワークシステムにおいて、リンクＸ−Ｙ（Ｘ、Ｙは任意の通信ノード）とは、図５に示すように、ＩＰアドレスｘ及びＭＡＣ（Media Access Control）アドレスｘのＩＰ／ＭＡＣアドレスペアが設定された通信ノードＸと、ＩＰアドレスｙ及びＭＡＣアドレスｙのＩＰ／ＭＡＣアドレスペアが設定された通信ノードＹとのリンクが確立している状態である。そして、通信ノードＸは、ＩＰアドレスｘ及びＭＡＣアドレスｘが設定されたポートｘにより通信ノードＹとの間でＩＰパケットの送受信を行い、通信ノードＹは、ＩＰアドレスｙ及びＭＡＣアドレスｙが設定されたポートｙにより通信ノードＸとの間でＩＰパケットの送受信を行う。
【００２４】
このように、ネットワークシステムを構成する各通信ノードは、隣接する通信ノードとＩＰパケットの送受信を行うための他の通信ノードのＩＰ／ＭＡＣアドレスペア情報、当該ポートを使用してＩＰパケットの送受信を行うための自己のＩＰ／ＭＡＣアドレスペア情報が設定されているものとする。
【００２５】
そして、各ジェネレータは、ルータＲが中継するＩＰパケットのうち、所定の確率でＩＰパケットの中継元となる隣接した通信ノードのＩＰ／ＭＡＣアドレスペア、ＩＰパケットの中継先となる隣接した通信ノードのＩＰ／ＭＡＣアドレスペアを含む追跡メッセージを作成し、ＩＰヘッダの送信元を自己のＩＰアドレスとし、ＩＰヘッダの送信先を犠牲ホストＶ１とした追跡パケットを作成する。
【００２６】
このような追跡パケットを受信したコレクタ装置Ｃ１は、リンクリスト作成部２３ａにより、所定期間（例えば１時間）内に取得した複数の追跡パケットを用いて、リンクリストを作成する。このリンクリストは、図６（Ａ）に示すような項目０〜項目７からなるリストデータ、図６（Ｂ）に示すような項目８〜項目１１からなるリストデータを含む。
【００２７】
図６（Ａ）に示すリストデータは、インデックス番号を設け、当該インデックス番号に対応させて、追跡メッセージに含まれる送信元ＩＰアドレス（ルータＲのＩＰアドレス）、追跡メッセージに含まれる送信先ＩＰアドレス（犠牲ホストＶ１のＩＰアドレス）、犠牲ホストＶ１からのホップ数、後方リンク情報、前方リンク情報、前方−後方リンクペア数が含まれている。
【００２８】
ここで、リンクリスト作成部２３ａは、追跡パケットのＩＰヘッダに格納されたＴＴＬ（Time to Live）情報から、犠牲ホストＶ１から追跡パケットを送信した通信ノードまでのホップ数を求めて、項目３としてリストデータを作成する。具体的には、ルータＲ１から追跡パケットが送信された場合、当該追跡パケットがルータＲ２，ルータＲ３及びルータＲ４を介してコレクタ装置Ｃ１で受信されるために、リンクリスト作成部２３ａは、ルータＲ１から犠牲ホストＶ１へのポップ数を「３」とする。
【００２９】
また、リンクリスト作成部２３ａは、例えば攻撃ホストＡ１からルータＲ１に中継したＩＰパケットに関する追跡メッセージを受信した場合、ポートｂに設定されたＩＰ／ＭＡＣアドレスペアを後方リンク情報（リンクＡ１−Ｒ１）とし、ポートｃに設定されたＩＰ／ＭＡＣアドレスペアを前方リンク情報（リンクＲ１−Ｒ２）を作成する。このように各追跡メッセージに基づいて、当該追跡メッセージを送信したルータＲ、当該ルータＲの前方リンク情報及び後方リンク情報を取得することができ、複数の追跡メッセージから得た複数の前方リンク情報及び後方リンク情報から、ネットワークシステムを構成する通信ノード同士の接続関係をビューア装置６で認識することができる。
【００３０】
更に、リンクリスト作成部２３ａは、所定期間内に後方リンク情報及び前方リンク情報が同一の追跡メッセージ数を積算した値を前方−後方リンクペア数として、リストデータを作成する。すなわち、同じ経路で通信ノードを通過したＩＰパケットが多いほど、前方−後方リンクペア数が多くなる。この前方−後方リンクペア数は、各ルータＲでの通信量（トラフィック量）に比例する。
【００３１】
更にまた、リンクリスト作成部２３ａは、図６（Ａ）に示すリストデータとは別に、追跡メッセージごとのインデックス番号に対応させて、追跡メッセージの送信元ＩＰアドレス（ルータＲのＩＰアドレス）、追跡メッセージの送信先ＩＰアドレス（犠牲ホストＶ１のＩＰアドレス）、所定期間内にルータＲから犠牲ホストＶ１に向かってＩＰパケットを送信したことを示す追跡パケットの数を示す前方リンク総数を対応付けたリストデータを作成する。
【００３２】
「発信源表示処理」
つぎに、上述したように作成されたリンクリストを使用して、ビューア装置６に追跡結果を表示させる発信源表示処理について説明する。
【００３３】
ビューア装置６は、コレクタ装置５から追跡結果としてのリンクリストを受信すると、当該リンクリストを用いて、図１２に示すような発信源及び追跡経路の表示を行う。この追跡経路表示を行うための発信源表示処理は、図７にツリー形式で示すネットワークシステムについて説明する。
【００３４】
この図７に示すネットワークシステムは、犠牲ホスト４をルートノードＮ１とし、当該ルートノードＮ１を第０階層の星状マークにて表示する。また、当該ルートノードＮ１からツリー形式で他の通信ノードであって、ネットワークの末端でない通信ノードを丸状マークにて表示し、末端である通信ノードを四角状マークで表示する。具体的には、ビューア装置６は、リンクリストのホップ数から各通信ノードの階層（第１階層〜第４階層）を決定し、ホップ数が「１」以上の通信ノードについては丸状マークで表示し、末端である通信ノードについては四角状マークで表示する。
【００３５】
また、ビューア装置６は、各通信ノードの重みをマーク内に表示させる。具体的には、末端の通信ノードＮ７、Ｎ８、Ｎ１２、Ｎ１３、Ｎ１５、Ｎ１６、Ｎ１７については、四角状マーク内に重み「１」を表示させ、末端でない通信ノードＮ２、Ｎ３、Ｎ４、Ｎ５、Ｎ６、Ｎ９、Ｎ１０、Ｎ１１、Ｎ１４については、１段階だけ下位層に存在する通信ノードのマーク内に表示させる重みを合計した重みをマーク内に表示させる。
【００３６】
ビューア装置６は、図７に示すようなネットワークシステムに対して図１２に示すような発信源及び追跡経路の表示を行う場合、図８に示すようなフローチャートに示す発信源表示処理を行う。
【００３７】
この発信源表示処理は、先ずコレクタ装置５から追跡結果であるリンクリストを受信すると、ビューア装置６は、ステップＳＴ１において、内部の記憶装置にリンクリストを記憶する。
【００３８】
次にビューア装置６は、ステップＳＴ２において、ステップＳＴ１にて記憶した追跡結果であるリンクリストから、同一同心円に描画する通信ノードの最大数（ルータノードの最大数ＭＡＸ＿ＮＯＤＥ）、及びルートノードである犠牲ホスト４からの最大ホップ数である最大距離ＭＡＸ＿ＴＴＬを設定する。このとき、ビューア装置６は、発信源表示処理で使用するリンクリストのホップ数を検索することで、ルータノードの最大数ＭＡＸ＿ＮＯＤＥ及び最大距離ＭＡＸ＿ＴＴＬを検索し、描画量や処理量が多くならない適切な値を設定する。本例においては、ビューア装置６は、図７に示したように第１階層での通信ノード数が「３」であるので、同心円番号ｊが「１」の最大数ＭＡＸ＿ＮＯＤＥを「３」に設定し、図７に示したように第１階層〜第４階層が存在するので最大距離ＭＡＸ＿ＴＴＬを「４」に設定する。
【００３９】
次にビューア装置６は、ステップＳＴ３において、追跡経路表示の描画中心に犠牲ホスト４に相当するルートノードを描画し、ステップＳＴ４において、ステップＳＴ２で設定した最大距離ＭＡＸ＿ＴＴＬに相当する数の同心円を描画する。このとき、図９に示すように、ビューア装置６は、追跡経路表示として表示する最大ホップ数の同心円であって、ステップＳＴ３で描画したルートノードの描画位置を中心とした同心円を描画する。また、ビューア装置６は、ルートノードを視認容易とするように、後述するルータＲや端末等の通信ノードとは異なる図形（例えば星状マーク）でルートノードを描画する。
【００４０】
次にビューア装置６は、ステップＳＴ５において、ステップＳＴ４にて描画した各同心円について通信ノード、及び通信ノード間の接続関係を描画する処理を繰り返すため、ノード番号ｉを「０」に初期化すると共に、及び同心円番号ｊを「１」に初期化する。
【００４１】
次にビューア装置６は、ステップＳＴ６において、現在処理対象となっている同心円番号ｊが、ステップＳＴ２で設定した最大距離ＭＡＸ＿ＴＴＬ以下か否かを判定し、そうである場合にはステップＳＴ４で描画した全ての同心円に対する通信ノードの描画処理が完了したと判定して処理を終了し、そうでない場合にはステップＳＴ７に処理を進める。
【００４２】
ステップＳＴ７において、ビューア装置６は、現在処理対象となっている同心円番号ｊに対して描画すべき各通信ノードの重みの総和ＴＯＴＡＬ＿Ｗ［ｊ］を計算する。このとき、ビューア装置６は、現在の同心円番号ｊと同数のホップ数の通信ノードをリンクリストから検索する。具体的には、ビューア装置６は、例えば図７における第１階層に属する通信ノード、すなわち同心円番号ｊの同心円上に描画させる通信ノードＮ４、Ｎ３、Ｎ２についての重みを合計し、合計値ＳＵＭ［ｊ］（＝７）を重みの総和ＴＯＴＡＬ＿Ｗ［ｊ］とする。
【００４３】
なお、各通信ノードの重みは、図６に示した前方−後方リンクペア数や前方リンク数に比例する追跡パケットを受信した数、すなわち通信量が多い通信ノードほど高くしても良く、更には、無線通信により接続されている場合における電波の強弱、ネットワークの応答時間等の各通信ノードの接続状態であっても良い。
【００４４】
次のステップＳＴ８において、ビューア装置６は、現在処理対象となっている通信ノードのノード番号ｉが、ステップＳＴ２で設定した最大数ＭＡＸ＿ＮＯＤＥ以下か否かを判定し、そうでないと判定した場合には次の同心円に対する描画処理に進むと判定し、現在の同心円番号ｊをインクリメントすると共にノード番号ｉを「０」にして（ステップＳＴ１４、ｊ＝ｊ＋１、ｉ＝０）、ステップＳＴ６に処理を進め、そうであると判定した場合にはステップＳＴ９に処理を進める。
【００４５】
ステップＳＴ９において、ビューア装置６は、現在のノード番号ｉの通信ノードを、ルートノードＮ１からの距離（ホップ数）に比例した同心円上に配置し、ステップＳＴ１０において、現在処理対象となっている同心円番号ｊが「１」か否かを判定することにより、ステップＳＴ９で配置した通信ノードがルートノードＮ１の直下に配置された通信ノードか否かを判定する。
【００４６】
そして、ビューア装置６は、現在のノード番号ｉがルートノードＮ１の直下に位置する番号である場合にはステップＳＴ１１に処理を進め、ステップＳＴ７で求めた重みの総和ＴＯＴＡＬ＿Ｗ［ｊ］に対する各通信ノードの重みＷ［ｉ］が高いほど大きい角度ＡＮＧＬ［ｉ］を付与し、ステップＳＴ１２において、付与した角度内の略中心角度位置の同心円上に通信ノード（子ノード）を描画し、当該描画した通信ノードと親ノード（ルートノード）とを結線描画する。そして、同心円番号ｊについて１つの通信ノードの描画が完了すると、ノード番号ｉをインクリメントして（ステップＳＴ１５、ｉ＝ｉ＋１）、次の通信ノードの描画を行うべくステップＳＴ８に処理を戻す。
【００４７】
このように、ステップＳＴ８〜ステップＳＴ１２の処理を繰り返し行うことにより、図１０に示すような描画が完了する。ここで、同心円番号ｊが「１」の同心円上に描画する必要がある通信ノードがＮ２，Ｎ３，Ｎ４の３個であって、通信ノードＮ４の重みが「４」、通信ノードＮ３の重みが「２」、通信ノードＮ２の重みが「１」である場合、３６０°を略４：２：１の角度で分割し（ステップＳＴ１１）、上位層であるルートノードＮ１の描画位置から割り当てられた角度内の略中心角度位置で同心円に至る直線を描画し、同心円上に各通信ノードＮを描画する（ステップＳＴ１２）。また、このステップＳＴ１２においては、同心円番号ｊが「１」の同心円上には、下位層に他の通信ノードが接続されていることを示す丸状マークの通信ノードＮ４、Ｎ３、Ｎ２が描画され、当該各丸状マーク内に重みを描画する。これにより、図１０に示すように、ルートノードＮ１を中心とし、重みに比例した角度で通信ノードＮ２、Ｎ３、Ｎ４を表示することができる。
【００４８】
そして、図１０に示す描画が完了し、ノード番号ｉをインクリメントした後のノード番号ｉが「４」となってステップＳＴ８に処理を進めると、ステップＳＴ８での判定が「ＮＯ」となり、現在の同心円番号ｊをインクリメントすると共にノード番号ｉを「０」にして（ステップＳＴ１４、ｊ＝ｊ＋１、ｉ＝０）、ステップＳＴ６の処理に移行し、ステップＳＴ７に処理を戻すことになる。
【００４９】
このステップＳＴ７においては、リンクリストから同心円番号ｊが「２」の通信ノードＮ５〜Ｎ１０を認識し、当該通信ノードＮ５〜Ｎ１０の重みの総和ＴＯＴＡＬ＿Ｗ［ｊ］を計算し、上述と同様にステップＳＴ８からステップＳＴ９に処理を進める。
【００５０】
このステップＳＴ９においては、同心円番号ｊが「２」であるので、ルートノードＮ１から２番目の外側に位置する同心円上に通信ノードＮ５〜Ｎ１０を配置すると認識し、ステップＳＴ１０においては同心円番号ｊが「１」ではないのでステップＳＴ１３に処理を進める。
【００５１】
このステップＳＴ１３においてはビューア装置６により、処理対象となっているノード番号ｉの上位層の通信ノードを描画するときのステップＳＴ１１にて設定した角度ＡＮＧＬ［ｉ］、すなわち親通信ノードの角度ＮＯＤＥ［ｉ］ｐａｒｅｎｔＡＮＧＬを、各通信ノードの重みに比例した角度で分割して付与する。そして、ビューア装置６は、ステップＳＴ１２において、ステップＳＴ７で求めた重みの総和ＴＯＴＡＬ＿Ｗ［ｊ］に対する各通信ノードの重みＷ［ｉ］が高いほど大きい角度ＡＮＧＬ［ｉ］を付与し、ステップＳＴ１２において、付与した角度内の略角度中心位置の同心円上に通信ノード（子ノード）を描画する。そして、同心円番号ｊについて１つの通信ノードの描画が完了すると、ノード番号ｉをインクリメントして（ステップＳＴ１５、ｉ＝ｉ＋１）、次の通信ノードの描画を行うべくステップＳＴ８に処理を戻す。
【００５２】
このように、ステップＳＴ８〜ステップＳＴ１０、ステップＳＴ１３、ステップＳＴ１２の処理を繰り返し行うことにより、図１１に示すような描画が完了する。ここで、通信ノードＮ４の下位層に描画する必要がある通信ノードがＮ８〜Ｎ１０の３個であって、通信ノードＮ９の重みが「２」、通信ノードＮ８、Ｎ１０の重みが「１」である場合、親ノードの角度を略２：１：１の角度で分割し（ステップＳＴ１３）、通信ノードＮ４の描画位置から割り当てられた角度の中心角度で同心円に至る直線を描画し、同心円上に各通信ノードＮ９を描画する（ステップＳＴ１２）。また、このステップＳＴ１２においては、下位層に他の通信ノードが接続されていることを示す丸状マークの通信ノードＮ９、Ｎ１０が描画され、当該各丸状マーク内に重みを描画する。これにより、図１１に示すように、親ノードＮ４を中心とし、重みに比例した角度で通信ノードＮ８〜Ｎ１０を表示することができる。なお、親ノードが通信ノードＮ２の子ノードである通信ノードＮ５、親ノードが通信ノードＮ３の子ノードである通信ノードＮ６、Ｎ７についても、同様に描画処理を行う。
【００５３】
そして、図１１に示す描画が完了し、ノード番号ｉをインクリメントした後のノード番号ｉが「６」となってステップＳＴ８に処理を進めると、ステップＳＴ８での判定が「ＮＯ」となり、現在の同心円番号ｊをインクリメントすると共にノード番号ｉを「０」にして（ステップＳＴ１４、ｊ＝ｊ＋１、ｉ＝０）、ステップＳＴ６の処理に移行し、ステップＳＴ７に処理を戻すことになる。そして、ビューア装置６は、同心円番号ｊが「３」である通信ノードＮ１１〜Ｎ１５についても、通信ノードＮ５〜Ｎ１０を描画処理をした場合と同様の処理を行って、図１２に示すような表示を行うことができる。
【００５４】
このように図１２に示すような発信源表示では、末端の通信ノードＮ１３等を発信源として認識させることになる。なお、ステップＳＴ１２において、通信ノードの描画及び結線描画においては、各通信ノードに関する情報、犠牲ホスト４からの距離、重みのそれぞれにしきい値を設け、描画色、結線の太さ等を区別して各通信ノードや結線を変更しても良い。
【００５５】
［第１実施形態の効果］
以上詳細に説明したように、本発明を適用した第１実施形態に係るネットワークシステムによれば、ルートノードの直下の通信ノードについては、各通信ノードの重みが高いほど大きい角度範囲に通信ノードを描画し、ルートノードの直下以外の通信ノードについては、上位層の親の通信ノードに割り当てられた角度範囲で重みが高いほど大きい角度範囲に通信ノードを描画するので、上位層の通信ノードと下位層の通信ノードとを結線描画しても結線同士が交わることなく、更には重みが高い通信ノード周辺の描画密度を低くすることができる。したがって、このネットワークシステムによれば、重みが高い通信ノード及び当該通信ノードの犠牲ホストに対する距離を視覚的に効果的に認識させやすくして犠牲ホストに対する攻撃ホストを表示することができる。
【００５６】
また、このネットワークシステムによれば、各通信ノードの接続関係から発信源を視認させることができるので、発信源である通信ノードの送信元アドレスを偽造して犠牲ホストに不正アクセスを行った場合であっても、発信源を視認させることができ、ネットワーク管理者の管理作業をより簡便とすることができる。
【００５７】
［第２実施形態］
つぎに、第２実施形態に係るネットワークシステムについて説明する。なお、この第２実施形態の説明は、第１実施形態と同様の部分については同一符号を付することにより、その詳細な説明を省略する。
【００５８】
第２実施形態に係るネットワークシステムは、追跡パケットを送信するジェネレータを備えたルータのみならず、ジェネレータを備えておらず追跡パケットを送信することができないルータが存在する場合に、発信源を視認しやすく表示する点で、第１実施形態とは異なる。
【００５９】
このネットワークシステムの発信源表示処理は、図１３に示すようなツリー状に表現される複数の通信ノードに対して、図１４に示すような処理を行う。ここで、図１３に示すように通信ノードＮ１１から送信された追跡パケットをコレクタ装置５で受信してリンクリストを作成しているが、例えば通信ノードＮ２及び通信ノードＮ５がジェネレータを備えていないルータである場合には、当該通信ノードＮ２及び通信ノードＮ５から送信された追跡パケットを受信していない状態となる。
【００６０】
このような状態では、ルートノードＮ１と通信ノードＮ１１とが接続されており、ホップ数からルートノードＮ１から通信ノードＮ１１までの距離が認識されるが、通信ノードＮ２及び通信ノードＮ５は欠落ノードとなりリンクリストに記述されていない。これに対し、ビューア装置６は、通信ノードＮ１１から送信された追跡パケットのホップ数から、通信ノードＮ１１とルートノードＮ１との間に２つの通信ノードＮ２、通信ノードＮ５が存在することを認識し、欠落ノードとしてリンクリストに追加して記述しておき、更には通信ノードＮ１１を不連続ノードとしてリンクリストに記述しておく。また、欠落ノードの重みは、通信ノードＮ１１の重みと同じ重みである「１」とする。
【００６１】
この発信源表示処理は、ステップＳＴ１０で処理対象となっているノード番号ｉがルートノードの直下でないと判定した場合に、ステップＳＴ２１に処理を進め、当該ステップＳＴ２１において、リンクリストに含まれる複数の前方リンク情報及び後方リンク情報を参照して、処理対象となっている通信ノードがルートノードに接続するまでの前方リンク情報及び後方リンク情報が存在するか否かを判断する。そして、ビューア装置６は、現在処理対象となっている通信ノードがルートノードに接続するまでの前方リンク情報及び後方リンク情報が存在すると判断した場合には、ステップＳＴ１３に処理を進めて、上述と同様に描画処理を行う。
【００６２】
これに対し、例えばジェネレータを備えたルータ間にジェネレータを備えないルータが存在する場合には、ルートノードから離れたジェネレータを備えたルータがルートノードに接続する前方リンク情報及び後方リンク情報がないと判断し、ステップＳＴ２２に処理を進める。
【００６３】
次のステップＳＴ２２において、ビューア装置６は、欠落ノードを最終的な表示内容には含めない非表示ノードとして配置する。このとき、ビューア装置６は、図１３に示すように、通信ノードＮ１１からの追跡パケットから、ホップ数及び前方リンク情報及び後方リンク情報を認識しており、欠落ノードを認識している。
【００６４】
具体的には、ステップＳＴ２２において、欠落ノードである通信ノードＮ２が処理対象となっているとき、最終的な表示内容には含めない非表示ノードとして通信ノードＮ２を配置し、当該通信ノードＮ２の重みが「１」であるので、通信ノードＮ４、通信ノードＮ３、通信ノードＮ２の角度を４：２：１とする。これにより、ビューア装置６は、未だ通信ノードＮ１１が表示されていないが、図１５に示すように各通信ノードＮ２を描画する。
【００６５】
そして、ビューア装置６は、処理対象が通信ノードＮ５となった場合でも、ステップＳＴ２１及びステップＳＴ２２の処理を行うことにより、図１６に示すように、通信ノードＮ６〜Ｎ１０と共に、ルートノードから通信ノードＮ２を介して結線描画される通信ノードＮ５を描画する。
【００６６】
次に、ビューア装置６は、ルートノードＮ１と欠落ノードＮ２、Ｎ５を介して接続された通信ノードＮ１１が処理対象となった場合には、ステップＳＴ２１からステップＳＴ１３に処理を進めて、上述した処理で割り当てられた角度の中心位置に描画を行うことにより、図１７に示すように通信ノードＮ１１を描画すると共に、実際に追跡パケットを送信していない欠落ノードである通信ノードＮ２及び通信ノードＮ５を消去する。
【００６７】
次に、ビューア装置６は、不連続ノードである通信ノードＮ１１の描画が完了した後に、通信ノードＮ１１を前方リンク情報とした追跡パケットを送信した通信ノードＮ１６を描画することにより、図１８に示すような最終的な表示を行う。
【００６８】
［第２実施形態の効果］
以上詳細に説明したように、本発明を適用した第２実施形態に係るネットワークシステムによれば、攻撃ホスト１と犠牲ホスト４との間に追跡パケットを送信しない通信ノードが存在する場合であっても、攻撃ホスト１と犠牲ホスト４との間に追跡パケットを送信する通信ノードが１つでも存在する場合には、攻撃ホスト１と犠牲ホスト４とを欠落ノードで補間して結線描画することができるので、更に確実に犠牲ホスト４にＩＰパケットを送信した発信源を表示することができる。
【００６９】
なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。
【００７０】
すなわち、上述した実施形態において、追跡パケットに含める前方リンク情報及び後方リンク情報としてそれぞれＩＰアドレスとＭＡＣアドレスのアドレスペアを使用した場合について説明したが、これに限らず、通信ノードの前後のＩＰアドレスペア又はＭＡＣアドレスペアであっても良い。
【００７１】
また、上述した実施形態では、ルートノードと他の通信ノードとの距離を追跡パケットのホップ数（ＴＴＬ）に基づいて判定したが、これに限らず、各通信ノードの電波状態の強弱、犠牲ホスト４に対するネットワークの応答時間等の各通信ノードの接続状態情報、ＧＰＳ（Global Positioning Systems）による実際の各通信ノードと犠牲ホスト４との間の距離情報、手動で設定した値であっても良い。
【図面の簡単な説明】
【００７２】
【図１】本発明を適用したネットワークシステムの接続構成の一例を示すブロック図である。
【図２】本発明を適用したネットワークシステムにおいて、攻撃ノードが犠牲ホストに攻撃を与え、中継ノードが追跡パケットをコレクタ装置により収集し、追跡結果をビューア装置に送る手順を説明する図である。
【図３】本発明を適用したネットワークシステムを構成するコレクタ装置の構成例を示すブロック図である。
【図４】本発明を適用したネットワークシステムを構成するコレクタ装置によりリンクリストを作成する前提となるネットワーク接続構成を示す図である。
【図５】本発明を適用したネットワークシステムを構成する通信ノード（ルータ）のリンクＸ−Ｙに設定されているポート及びアドレスペアについて説明するための図である。
【図６】リンクリストの一例を示す図である。
【図７】本発明を適用した第１実施形態に係るネットワークシステムによる発信源表示処理を説明するためのネットワーク構成例をツリー形式で表現した図である。
【図８】本発明を適用した第１実施形態に係る発信源表示処理の処理手順を示すフローチャートである。
【図９】ルートノード及び同心円を描画した状態を示す図である。
【図１０】ルートノードの直下の同心円上に通信ノードＮ２〜Ｎ４を描画した状態を示す図である。
【図１１】ルートノードの直下ではない同心円上に通信ノードＮ５〜Ｎ１０を描画した状態を示す図である。
【図１２】ルートノードの直下ではない同心円上に通信ノードＮ５〜Ｎ１０を描画した状態を示す他の図である。
【図１３】本発明を適用した第２実施形態に係るネットワークシステムによる発信源表示処理を説明するためのネットワーク構成例をツリー形式で表現した図である。
【図１４】本発明を適用した第２実施形態に係る発信源表示処理の処理手順を示すフローチャートである。
【図１５】ルートノードの直下の同心円上に非表示ノードを含む通信ノードＮ２〜Ｎ４を描画した状態を示す図である。
【図１６】ルートノードの直下ではない同心円上に非表示ノードを含む通信ノードＮ５〜Ｎ１０を描画した状態を示す図である。
【図１７】ルートノードの直下ではない同心円上に不連続ノードを含む通信ノードＮ１１〜Ｎ１５を描画した状態を示す図である。
【図１８】最終的なルートノードと複数の通信ノードとの接続関係を描画した状態を示す図である。
【符号の説明】
【００７３】
１  攻撃ホスト
２  ホスト
３  ルータ
４  犠牲ホスト
５  コレクタ装置
６  ビューア装置
１１  中央処理部
１２  入力部
１３  表示部
１４  内部記憶部
１５  外部記憶部
１６  補助記憶部
１７  通信インターフェース
１８  バス
２１  取込部
２２  追跡情報メッセージ検出部
２３  発信源追跡部
【図１】
2005244333.tif 000003
【図２】
2005244333.tif 000004
【図３】
2005244333.tif 000005
【図４】
2005244333.tif 000006
【図５】
2005244333.tif 000007
【図６】
2005244333.tif 000008
【図７】
2005244333.tif 000009
【図８】
2005244333.tif 000010
【図９】
2005244333.tif 000011
【図１０】
2005244333.tif 000012
【図１１】
2005244333.tif 000013
【図１２】
2005244333.tif 000014
【図１３】
2005244333.tif 000015
【図１４】
2005244333.tif 000016
【図１５】
2005244333.tif 000017
【図１６】
2005244333.tif 000018
【図１７】
2005244333.tif 000019
【図１８】
2005244333.tif 000020