(57)【特許請求の範囲】
【請求項１】
パケットの発信元を探索するパケット探索システムを管理するパケット探索管理装置であって、
パケットの発信元の探索を依頼するための第１の探索依頼を依頼元ネットワークのパケット探索システムから受信する探索依頼受信手段と、
前記第１の探索依頼が受信された場合に、前記発信元の探索を依頼するための第２の探索依頼を、前記依頼元ネットワークを除く他の複数のネットワークのパケット探索システムへ一斉に送信する第１の探索依頼送信手段と、
前記第２の探索依頼を受信したネットワークのパケット探索システムから前記発信元の探索結果を受信する探索結果受信手段と、
を備えたことを特徴とするパケット探索管理装置。
【請求項２】
パケットの発信元を探索するパケット探索システムを管理するパケット探索管理装置であって、
パケットの発信元の探索を依頼するための第１の探索依頼を依頼元ネットワークのパケット探索システムから受信する探索依頼受信手段と、
前記第１の探索依頼が受信された場合に、前記発信元の探索を依頼するための第２の探索依頼を、前記依頼元ネットワークを除く他のネットワークのパケット探索システムへ送信する第１の探索依頼送信手段と、
前記第２の探索依頼を受信したネットワークのパケット探索システムから前記発信元の探索結果を受信する探索結果受信手段と、
前記発信元の探索結果が探索失敗を示している場合に、前記発信元の探索を依頼するための第３の探索依頼を、前記依頼元ネットワークと前記探索結果の発信元のネットワークとを除く他の複数のネットワークのパケット探索システムへ一斉に送信する第２の探索依頼送信手段と、
を備えたことを特徴とするパケット探索管理装置。
【請求項３】
パケットの発信元を探索するパケット探索システムを管理するパケット探索管理装置であって、
パケットの発信元の探索を依頼するための第１の探索依頼を依頼元ネットワークのパケット探索システムから受信する探索依頼受信手段と、
前記第１の探索依頼が受信された場合に、前記発信元の探索を依頼するための第２の探索依頼を、前記依頼元ネットワークを除く他のネットワークのパケット探索システムへ送信する第１の探索依頼送信手段と、
前記第２の探索依頼を受信したネットワークのパケット探索システムから前記発信元の探索結果を受信する探索結果受信手段と、
前記第１の探索依頼送信手段によって前記第２の探索依頼が送信されてから、所定時間が経過しても、前記探索結果受信手段によって前記発信元の探索結果が受信されていない場合に、前記発信元の探索を依頼するための第３の探索依頼を、前記依頼元ネットワークと前記第２の探索結果の送信先のネットワークとを除く他の複数のネットワークのパケット探索システムへ一斉に送信する第２の探索依頼送信手段と、
を備えたことを特徴とするパケット探索管理装置。
【請求項４】
複数のネットワークで管理されているアドレスをネットワーク毎に記憶するアドレス記憶手段をさらに備え、
前記発信元のアドレスが含まれた前記第１の探索依頼が受信された場合に、前記第１の探索依頼送信手段は、前記発信元のアドレスを管理しているネットワークの情報を前記アドレス記憶手段から読み出し、該ネットワークのパケット探索システムへ前記第２の探索依頼を送信する
ことを特徴とする請求項２または請求項３に記載のパケット探索管理装置。
【請求項５】
前記パケットが経由したネットワークの情報が含まれた前記第１の探索依頼が受信された場合に、前記第１の探索依頼送信手段は、前記パケットが経由したネットワークのパケット探索システムへ前記第２の探索依頼を送信することを特徴とする請求項２または請求項３に記載のパケット探索管理装置。
【請求項６】
パケットの発信元を探索するパケット探索システムを管理するパケット探索管理方法であって、
パケットの発信元の探索を依頼するための第１の探索依頼を依頼元ネットワークのパケット探索システムから受信する第１のステップと、
前記第１の探索依頼が受信された場合に、前記発信元の探索を依頼するための第２の探索依頼を、前記依頼元ネットワークを除く他の複数のネットワークのパケット探索システムへ一斉に送信する第２のステップと、
前記第２の探索依頼を受信したネットワークのパケット探索システムから前記発信元の探索結果を受信する第３のステップと、
を備えたことを特徴とするパケット探索管理方法。
【請求項７】
パケットの発信元を探索するパケット探索システムを管理するパケット探索管理方法であって、
パケットの発信元の探索を依頼するための第１の探索依頼を依頼元ネットワークのパケット探索システムから受信する第１のステップと、
前記第１の探索依頼が受信された場合に、前記発信元の探索を依頼するための第２の探索依頼を、前記依頼元ネットワークを除く他のネットワークのパケット探索システムへ送信する第２のステップと、
前記第２の探索依頼を受信したネットワークのパケット探索システムから前記発信元の探索結果を受信する第３のステップと、
前記発信元の探索結果が探索失敗を示している場合に、前記発信元の探索を依頼するための第３の探索依頼を、前記依頼元ネットワークと前記探索結果の発信元のネットワークとを除く他の複数のネットワークのパケット探索システムへ一斉に送信する第４のステップと、
を備えたことを特徴とするパケット探索管理方法。
【請求項８】
パケットの発信元を探索するパケット探索システムを管理するパケット探索管理方法であって、
パケットの発信元の探索を依頼するための第１の探索依頼を依頼元ネットワークのパケット探索システムから受信する第１のステップと、
前記第１の探索依頼が受信された場合に、前記発信元の探索を依頼するための第２の探索依頼を、前記依頼元ネットワークを除く他のネットワークのパケット探索システムへ送信する第２のステップと、
前記第２の探索依頼を受信したネットワークのパケット探索システムから前記発信元の探索結果を受信する第３のステップと、
前記第２のステップで前記第２の探索依頼が送信されてから、所定時間が経過しても、前記発信元の探索結果が受信されていない場合に、前記発信元の探索を依頼するための第３の探索依頼を、前記依頼元ネットワークと前記第２の探索結果の送信先のネットワークとを除く他の複数のネットワークのパケット探索システムへ一斉に送信する第４のステップと、
を備えたことを特徴とするパケット探索管理方法。
【請求項９】
前記発信元のアドレスが含まれた前記第１の探索依頼が受信された場合に、前記第２のステップでは、複数のネットワークで管理されているアドレスをネットワーク毎に記憶するアドレス記憶手段から、前記発信元のアドレスを管理しているネットワークの情報を読み出し、該ネットワークのパケット探索システムへ前記第２の探索依頼を送信することを特徴とする請求項７または請求項８に記載のパケット探索管理方法。
【請求項１０】
前記パケットが経由したネットワークの情報が含まれた前記第１の探索依頼が受信された場合に、前記第２のステップでは、前記パケットが経由したネットワークのパケット探索システムへ前記第２の探索依頼を送信することを特徴とする請求項７または請求項８に記載のパケット探索管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、パケットの発信元を探索するパケット探索システムを管理するパケット探索管理装置およびパケット探索管理方法に関する。
【背景技術】
【０００２】
近年、パケットを連続的に送信するなどすることによって、ネットワーク上で提供されるサービスの妨害を図った攻撃が問題となっている。このような攻撃に対処するため、攻撃パケットの発信元をトレース（探索）するＩＰトレースバックシステム（ＩＰ−ＴＢＳ）がある。昨今、詐称された攻撃の発信元を特定するために、ドメイン（通信事業者等の管理する単位のネットワーク）内のＩＰ−ＴＢＳが連携してトレースを行う仕組みが研究されている（例えば非特許文献１および２参照）。非特許文献１では同一種類のＩＰ−ＴＢＳが直列に接続され、非特許文献２では異なる種類のＩＰ−ＴＢＳが直列に接続され、各ＩＰ−ＴＢＳが相互連携してトレースを行う仕組みが提案されている。
【０００３】
図７は，異なるＩＰ−ＴＢＳ間の相互接続方式として注目されている階層型の接続アーキテクチャを示している。図において、ドメイン９ａ〜９ｃが直列に接続され、ドメイン９ａと９ｂの間およびドメイン９ｂと９ｃの間でトレース要求とトレース結果が交換される。ドメイン９ａ，９ｂ，９ｃはそれぞれＩＰ−ＴＢＳ９１ａ，９１ｂ，９１ｃを有している。
【０００４】
各ＩＰ−ＴＢＳの入出力は、ＤＴＭ（Domain Traceback Manager）９２ａ，９２ｂ，９２ｃによって共通化されている。他のドメインのＩＰ−ＴＢＳと受け渡しされる情報をＤＴＭが適宜変換することによって、各ＩＰ−ＴＢＳの仕様の差異が吸収される。ドメイン間の情報の受け渡しは、各ドメイン内のＩＴＭ（Internet Traceback Manager）９３ａ，９３ｂ，９３ｃによって行われる。 
【０００５】
攻撃パケットの発信元の探索は、例えば以下のようにして行われる。攻撃パケットが、ドメイン９ｂを経由してドメイン９ａに届いたことがドメイン９ａのＩＰ−ＴＢＳ９１ａによって判明した場合、ＩＰ−ＴＢＳ９１ａによってトレース要求が生成され、ＤＴＭ９２ａおよびＩＴＭ９３ａを経由してドメイン９ｂへ送信される。ドメイン９ｂにおいて、このトレース要求は、ＩＴＭ９３ｂおよびＤＴＭ９２ｂを経由してＩＰ−ＴＢＳ９１ｂへ転送される。
【０００６】
続いて、トレース要求に基づいてＩＰ−ＴＢＳ９２ｂがトレースを行った結果、攻撃パケットが、ドメイン９ｃを経由してドメイン９ｂに届いたことが判明した場合、ＩＰ−ＴＢＳ９１ｂによってトレース要求が生成され、ＤＴＭ９２ｂおよびＩＴＭ９３ｂを経由してドメイン９ｃへ送信される。これ以降、上記と同様の動作を繰り返すことによって、攻撃パケットの発信元の探索が行われる。
【非特許文献１】早川晃弘，馬場達也，小久保勝敏，松田栄之，「不正アクセス発信源追跡システムにおける追跡時間の評価」，情処６４回全大，ｐｐ．３８９−３９０，２００２年３月
【非特許文献２】大江将史，櫨山寛晃，門林雄基，「ＩＰトレースバックシステムの相互接続アーキテクチャの提案」，ＳＣＩＳ２００５，３Ｂ４−３，２００５年１月
【発明の開示】
【発明が解決しようとする課題】
【０００７】
上述した従来技術では、ＩＰ−ＴＢＳが直列に接続され、各ＩＰ−ＴＢＳが順番にトレースを行うため、トレースに時間を要するという問題がある。また、他のドメインからトレース要求を受けたドメインのＩＰ−ＴＢＳがトレースに失敗すると、そのドメインでトレースが停止してしまうという問題もある。また、ＤＤｏＳ（Distributed Denial of Service）攻撃のように、複数の攻撃元がある場合に、個々の攻撃元を１つずつトレースすることになり、トレースが非効率的であるという問題もある。
【０００８】
本発明は、上述した問題点に鑑みてなされたものであって、パケットの発信元を効率良く探索することができるパケット探索管理装置およびパケット探索管理方法を提供することを目的とする。
【課題を解決するための手段】
【０００９】
本発明は、上記の課題を解決するためになされたもので、パケットの発信元を探索するパケット探索システムを管理するパケット探索管理装置であって、パケットの発信元の探索を依頼するための第１の探索依頼を依頼元ネットワークのパケット探索システムから受信する探索依頼受信手段と、前記第１の探索依頼が受信された場合に、前記発信元の探索を依頼するための第２の探索依頼を、前記依頼元ネットワークを除く他のネットワークのパケット探索システムへ送信する第１の探索依頼送信手段と、前記第２の探索依頼を受信したネットワークのパケット探索システムから前記発信元の探索結果を受信する探索結果受信手段とを備えたことを特徴とするパケット探索管理装置である。
【００１０】
また、本発明のパケット探索管理装置において、前記第１の探索依頼が受信された場合に、前記第１の探索依頼送信手段は、前記依頼元ネットワークを除く他の複数のネットワークのパケット探索システムへ前記第２の探索依頼を送信することを特徴とする。
【００１１】
また、本発明のパケット探索管理装置は、複数のネットワークで管理されているアドレスをネットワーク毎に記憶するアドレス記憶手段をさらに備え、前記発信元のアドレスが含まれた前記第１の探索依頼が受信された場合に、前記第１の探索依頼送信手段は、前記発信元のアドレスを管理しているネットワークの情報を前記アドレス記憶手段から読み出し、該ネットワークのパケット探索システムへ前記第２の探索依頼を送信することを特徴とする。
【００１２】
また、本発明のパケット探索管理装置において、前記パケットが経由したネットワークの情報が含まれた前記第１の探索依頼が受信された場合に、前記第１の探索依頼送信手段は、前記パケットが経由したネットワークのパケット探索システムへ前記第２の探索依頼を送信することを特徴とする。
【００１３】
また、本発明のパケット探索管理装置は、前記発信元の探索結果が探索失敗を示している場合に、前記発信元の探索を依頼するための第３の探索依頼を、前記依頼元ネットワークと前記探索結果の発信元のネットワークとを除く他のネットワークのパケット探索システムへ送信する第２の探索依頼送信手段をさらに備えたことを特徴とする。
【００１４】
また、本発明のパケット探索管理装置は、前記第２の探索依頼送信手段によって前記第２の探索依頼が送信されてから、所定時間が経過しても、前記探索結果受信手段によって前記発信元の探索結果が受信されていない場合に、前記発信元の探索を依頼するための第３の探索依頼を、前記依頼元ネットワークと前記第２の探索結果の送信先のネットワークとを除く他のネットワークのパケット探索システムへ送信する第２の探索依頼送信手段をさらに備えたことを特徴とする。
【００１５】
また、本発明は、パケットの発信元を探索するパケット探索システムを管理するパケット探索管理方法であって、パケットの発信元の探索を依頼するための第１の探索依頼を依頼元ネットワークのパケット探索システムから受信する第１のステップと、前記第１の探索依頼が受信された場合に、前記発信元の探索を依頼するための第２の探索依頼を、前記依頼元ネットワークを除く他のネットワークのパケット探索システムへ送信する第２のステップと、前記第２の探索依頼を受信したネットワークのパケット探索システムから前記発信元の探索結果を受信する第３のステップとを備えたことを特徴とするパケット探索管理方法である。
【００１６】
また、本発明のパケット探索管理方法において、前記第１の探索依頼が受信された場合に、前記第２のステップでは、前記依頼元ネットワークを除く他の複数のネットワークのパケット探索システムへ前記第２の探索依頼を送信することを特徴とする。
【００１７】
また、本発明のパケット探索管理方法において、前記発信元のアドレスが含まれた前記第１の探索依頼が受信された場合に、前記第２のステップでは、複数のネットワークで管理されているアドレスをネットワーク毎に記憶するアドレス記憶手段から、前記発信元のアドレスを管理しているネットワークの情報を読み出し、該ネットワークのパケット探索システムへ前記第２の探索依頼を送信することを特徴とする。
【００１８】
また、本発明のパケット探索管理方法において、前記パケットが経由したネットワークの情報が含まれた前記第１の探索依頼が受信された場合に、前記第２のステップでは、前記パケットが経由したネットワークのパケット探索システムへ前記第２の探索依頼を送信することを特徴とする。
【００１９】
また、本発明のパケット探索管理方法は、前記発信元の探索結果が探索失敗を示している場合に、前記発信元の探索を依頼するための第３の探索依頼を、前記依頼元ネットワークと前記探索結果の発信元のネットワークとを除く他のネットワークのパケット探索システムへ送信する第４のステップをさらに備えたことを特徴とする。
【００２０】
また、本発明のパケット探索管理方法は、前記第２のステップで前記第２の探索依頼が送信されてから、所定時間が経過しても、前記発信元の探索結果が受信されていない場合に、前記発信元の探索を依頼するための第３の探索依頼を、前記依頼元ネットワークと前記第２の探索結果の送信先のネットワークとを除く他のネットワークのパケット探索システムへ送信する第４のステップをさらに備えたことを特徴とする。
【発明の効果】
【００２１】
本発明によれば、依頼元ネットワークのパケット探索システムからパケットの発信元の探索依頼を受け付け、適宜、他のネットワークのパケット探索システムへ探索を依頼するので、パケットの発信元を効率良く探索することができるという効果が得られる。
【発明を実施するための最良の形態】
【００２２】
以下、図面を参照し、本発明の実施形態を説明する。図１は、本発明の一実施形態によるトレースバック管理システムの構成を示している。本トレースバック管理システムは、ドメイン２ａ〜２ｇが有するＩＰ−ＴＢＳによって行われるトレースを管理する情報管理センタ１を備えている。情報管理センタ１において、共有情報管理システム１１は、ドメインからのトレースの依頼の受付、ドメインに対するトレースの依頼、ドメインからのトレース結果の受付、各ドメインでのトレース状況の管理等の機能を有している。
【００２３】
トレースバック情報テーブル１２は、各ドメインのＩＰ−ＴＢＳで行われているトレースに関連する情報が格納されたテーブルである。図２はトレースバック情報テーブル１２の内容を示している。図２に示されるようにトレース毎にトレースＮＯが付与され、識別される。また、トレースに成功した、失敗した、現在トレース中である等、各トレースの状況を示す情報が記録される。攻撃元（攻撃パケットの発信元）のアドレス（ＩＰアドレス）や、攻撃先（攻撃パケットの宛先）のアドレス、攻撃先のポート番号等も記録される。攻撃パケットが経由したドメインの経路が判明した場合には、その経路がトレース経路として記録される。
【００２４】
ドメイン情報テーブル１３（本発明のアドレス記憶手段に対応）は、各ドメインに関連する情報が格納されたテーブルである。図３はドメイン情報テーブル１３の内容を示している。図３に示されるように、ドメインＩＤや、ドメイン名、ドメインの管理者の連絡先等の情報（ドメイン情報）が記録される。各ドメインで管理されているアドレス（アドレス空間）の情報（アドレス情報）も記録される。また、各ドメインのＩＰ−ＴＢＳの仕様に関する情報（ＴＢＳ情報）等も記録される。
【００２５】
共有情報管理システム１１は１以上のコンピュータで構成されており、上述した機能は、主に、コンピュータが有するＣＰＵ（Central Processing Unit）によって実現される。また、トレースバック情報テーブル１２およびドメイン情報テーブル１３は、ＳＲＡＭ（Static Random Access Memory）、ＳＤＲＡＭ（Synchronous Dynamic Random Access Memory）、フラッシュメモリ、ＨＤＤ（Hard Disk Drive）等の記録媒体内に構築される。トレースバック情報テーブル１２およびドメイン情報テーブル１３は、それぞれ別個のコンピュータ内にあってもよいし、同一のコンピュータ内にあってもよい。また、トレースバック情報テーブル１２およびドメイン情報テーブル１３の少なくとも一方が共有情報管理システム１１のコンピュータ内にあってもよい。
【００２６】
ドメイン２ａ〜２ｇは、ＩＰ−ＴＢＳ、ＤＴＭ、およびＩＴＭを有しているが、図１ではＩＴＭのみが図示され、他の図示は省略されている。ＩＰ−ＴＢＳは複数のコンピュータで構成されている。ＤＴＭおよびＩＴＭは、別個のコンピュータまたは同一のコンピュータで構成されている。ＩＰ−ＴＢＳ、ＤＴＭ、およびＩＴＭの機能も、主に、コンピュータが有するＣＰＵによって実現される。ＩＰ−ＴＢＳ、ＤＴＭ、およびＩＴＭを含めたシステムが本発明のパケット探索システムに相当するが、パケット探索システムの構成は一例であり、本実施形態で示される構成に限定される訳ではない。
【００２７】
攻撃元端末３は、攻撃パケットの送信元であるＰＣ（Personal Computer）等の端末である。被害者端末４は、攻撃パケットを受信したＰＣ等の端末である。攻撃元端末３と被害者端末４の位置は一例であり、図１に示される位置以外に配置される場合もある。図１では、攻撃元端末３はドメイン２ｄに接続して攻撃パケットを送信するものとし、被害者端末４はドメイン２ａに接続して攻撃パケットを受信するものとする。また、攻撃元端末３によって送信された攻撃パケットは、ドメイン２ｄ，２ｂ，２ａを経由して被害者端末４へ転送されるものとする。
【００２８】
次に、本実施形態によるトレースバック管理システムの動作を説明する。以下、図４〜図６を参照し、第１の動作例〜第３の動作例を順番に説明する。本実施形態では、攻撃元のアドレスが複数であり、攻撃対象が単一である攻撃を多対１攻撃と定義し、攻撃元のアドレスが単一であり、攻撃対象が単一である攻撃を１対１攻撃と定義する。
【００２９】
（第１の動作例）
本動作例は多対１攻撃と１対１攻撃のいずれにも適用可能である。依頼元ドメイン（図４ではドメイン２ａ）のＩＰ−ＴＢＳは、攻撃パケットの発信元のトレース（探索）を依頼するためのトレース依頼（探索依頼）を生成する。このトレース依頼には、他のドメインのＩＰ−ＴＢＳでのトレースに必要なパケット情報が含まれている。パケット情報とは、攻撃パケットの発信元のアドレスを含むヘッダ情報と、攻撃パケットからヘッダを除いたデータ部分であるペイロードと、ペイロードのハッシュ値とのうち、少なくとも１つである。本動作例では、トレース依頼中のパケット情報に攻撃パケットの発信元のアドレスが含まれるものとする。
【００３０】
攻撃パケットの受信時刻を示す時刻情報がパケット情報に含まれていてもよい。また、攻撃の種類（多対１攻撃と１対１攻撃）を判別する攻撃判別情報がパケット情報に含まれていてもよい。所定時間内に特定の被害者端末４で受信された全攻撃パケットについて、発信元のアドレスが単数であるか複数であるかによって攻撃の種類が判別される。さらに、パケット情報に攻撃パケット全体が含まれていてもよい。生成されたトレース依頼は、ＤＴＭおよびＩＴＭを経由して情報管理センタ１の共有情報管理システム１１へ送信される（図４のステップＳ１０１）。
【００３１】
情報管理センタ１の共有情報管理システム１１は依頼元ドメインのＩＰ−ＴＢＳからのトレース依頼を受信する（本発明の探索依頼受信手段の機能に対応）。共有情報管理システム１１は、ドメイン情報テーブル１３を参照し、攻撃パケットの発信元のアドレスをキーとして、ドメイン情報テーブル１３に記録されているアドレスを検索する。検索の結果、発信元のアドレスを管理しているドメイン（最終ドメインとする）が見つかった場合、共有情報管理システム１１はそのドメインの情報をドメイン情報テーブル１３から読み出し、そのドメインのＩＰ−ＴＢＳに対するトレース依頼を生成する。
【００３２】
また、共有情報管理システム１１はトレースＮＯを発行し、トレースバック情報テーブル１２の内容を更新する。続いて、共有情報管理システム１１は、見つかった最終ドメインのＩＰ−ＴＢＳへトレース依頼を送信する（本発明の第１の探索依頼送信手段の機能に相当）。図４では、ドメイン２ｄのＩＰ−ＴＢＳへトレース依頼が送信される（図４のステップＳ１０２）。
【００３３】
最終ドメインのＩＰ−ＴＢＳは、ＩＴＭおよびＤＴＭを経由してトレース依頼を受信し、公知の方法によって、攻撃パケットの発信元をトレースする。続いて、最終ドメインのＩＰ−ＴＢＳは、ＤＴＭおよびＩＴＭを経由してトレース結果を共有情報管理システム１１へ送信する（図４のステップＳ１０３）。トレースに成功した場合には、攻撃パケットの発信元が特定されるが、トレースに失敗した場合には、攻撃パケットの発信元は特定されない。トレース結果にはトレースの成功・失敗の情報が含まれ、トレースに成功した場合には見つかった攻撃パケットの発信元のアドレスも含まれる。共有情報管理システム１１はトレース結果を受信し（本発明の探索結果受信手段の機能に対応）、トレース結果に基づいてトレースバック情報テーブル１２の内容を更新する。
【００３４】
最終ドメインのＩＰ−ＴＢＳからトレースの成功が通知された場合、共有情報管理システム１１は、必要に応じてトレースに関する情報（攻撃パケットが通過したドメインの情報や、最終ドメインで見つかった攻撃パケットの発信元のアドレスの情報）を依頼元ドメインへ送信する。
【００３５】
一方、最終ドメインのＩＰ−ＴＢＳからトレースの失敗が通知された場合には、共有情報管理システム１１は、依頼元ドメインと最終ドメインとを除く他のドメインのＩＰ−ＴＢＳへトレース依頼を一斉に送信する（本発明の第２の探索依頼送信手段の機能に対応）。図４では、ドメイン２ｄのＩＰ−ＴＢＳがトレースに失敗した場合には、ドメイン２ａと２ｄを除くドメイン２ｂ，２ｃ，２ｅ，２ｆ，２ｇのＩＰ−ＴＢＳへトレース依頼が送信される（図４のステップＳ１０４）。このトレース依頼を受信したＩＰ−ＴＢＳはトレースを行い、上記と同様にトレース結果を共有情報管理システム１１へ返信する。共有情報管理システム１１は、このトレース結果に基づいてトレースバック情報テーブル１２の内容を更新し、必要に応じてトレースに関する情報を依頼元ドメインへ送信する。
【００３６】
本動作例によれば、依頼元ドメインと最終ドメインの間にある、攻撃パケットを中継したドメイン（図４ではドメイン２ｂ）にトレースを依頼する必要がないため、各ドメインが直列に接続され、隣接するドメインを介して順番にトレースが行われる従来のトレース方法と比較して、攻撃パケットの発信元を効率良く探索することができる。また、依頼元ドメインが、攻撃パケットの発信元を特定する機能を有するＩＰ−ＴＢＳのようなシステムを備えていなくても、共有情報管理システム１１が依頼元ドメインからのトレース依頼を受けて、他のドメインのＩＰ−ＴＢＳにトレースを依頼することができる。
【００３７】
（第２の動作例）
本動作例は多対１攻撃と１対１攻撃のいずれにも適用可能である。依頼元ドメイン（図５ではドメイン２ａ）のＩＰ−ＴＢＳは、攻撃パケットの発信元のトレース（探索）を依頼するためのトレース依頼（探索依頼）を生成する。このトレース依頼中のパケット情報には、攻撃パケットのペイロードとペイロードのハッシュ値とのうち、少なくとも１つが含まれているものとする。前述した動作と同様にして、依頼元ドメインのＩＰ−ＴＢＳはトレース依頼を共有情報管理システム１１へ送信する（図５のステップＳ２０１）。
【００３８】
共有情報管理システム１１は依頼元ドメインのＩＰ−ＴＢＳからのトレース依頼を受信する（本発明の探索依頼受信手段の機能に対応）。共有情報管理システム１１は、依頼元ドメインを除く複数のドメインの情報をドメイン情報テーブル１３から読み出し、それらのドメインのＩＰ−ＴＢＳに対するトレース依頼を生成する。このトレース依頼には、依頼元ドメインのＩＰ−ＴＢＳから受信されたパケット情報が含まれている。また、共有情報管理システム１１はトレースＮＯを発行し、トレースバック情報テーブル１２の内容を更新する。続いて、共有情報管理システム１１は、上記のドメインのＩＰ−ＴＢＳへトレース依頼を一斉に送信する（本発明の第１の探索依頼送信手段の機能に相当）。図５では、ドメイン２ａを除くドメイン２ｂ，２ｃ，２ｄ，２ｅ，２ｆ，２ｇのＩＰ−ＴＢＳへトレース依頼が送信される（図５のステップＳ２０２）。
【００３９】
このトレース依頼を受信したＩＰ−ＴＢＳは、公知の方法によって、攻撃パケットの発信元をトレースし、トレース結果を共有情報管理システム１１へ返信する。共有情報管理システム１１は、このトレース結果に基づいてトレースバック情報テーブル１２の内容を更新し、必要に応じてトレースに関する情報を依頼元ドメインへ送信する。
【００４０】
本動作例によれば、依頼元ドメインのＩＰ−ＴＢＳからトレース依頼を受けた後、共有情報管理システム１１が複数のドメインのＩＰ−ＴＢＳへトレース依頼を一斉に送信するので、各ドメインが直列に接続され、隣接するドメインを介して順番にトレースが行われる従来のトレース方法と比較して、攻撃パケットの発信元を効率良く探索することができる。また、依頼元ドメインが、攻撃パケットの発信元を特定する機能を有するＩＰ−ＴＢＳのようなシステムを備えていなくても、共有情報管理システム１１が依頼元ドメインからのトレース依頼を受けて、他のドメインのＩＰ−ＴＢＳにトレースを依頼することができる。
【００４１】
本動作例で説明したトレース方法は、多対１攻撃の攻撃パケットの発信元をトレースするのに特に好適である。依頼元ドメインのＩＰ−ＴＢＳは、複数アドレスの攻撃元から同じ攻撃を受けた場合、攻撃パケット間で共通のデータ部を攻撃パケットから抽出し、抽出したデータ、あるいはそのデータのハッシュ値をパケット情報として含むトレース依頼を共有情報管理システム１１へ送信する。共通のデータ部とは、ワームやＤＤｏＳ攻撃に見られる、ＩＰヘッダを除いた同一のペイロードのことである。
【００４２】
共有情報管理システム１１はトレース依頼を受信し、依頼元ドメインを除く複数のドメインのＩＰ−ＴＢＳへトレース依頼を一斉に送信する。これ以降の動作は上記と同様である。上記に代えて、依頼元ドメインのＩＰ−ＴＢＳから送信されたトレース依頼に攻撃パケットの全体が含まれ、共有情報管理システム１１が、受信した攻撃パケットから共通のデータ部を抽出するようにしてもよい。
【００４３】
このように、共有情報管理システム１１が、複数の攻撃パケットについて個別にトレース依頼を送信するのではなく、複数の攻撃パケットに共通のトレース依頼を一括して送信するので、攻撃パケットの発信元を効率良く探索することができる。
【００４４】
（第３の動作例）
本動作例は多対１攻撃と１対１攻撃のいずれにも適用可能であるが、１対１攻撃の攻撃パケットの発信元をトレースするのに特に好適である。依頼元ドメイン（図６ではドメイン２ａ）のＩＰ−ＴＢＳは、攻撃パケットの発信元のトレース（探索）を依頼するためのトレース依頼（探索依頼）を生成する。このトレース依頼中のパケット情報には、攻撃パケットのペイロードとペイロードのハッシュ値とのうち、少なくとも１つが含まれているものとする。また、依頼元ドメインのＩＰ−ＴＢＳは既にトレースを行っており、攻撃パケットが経由したドメイン（中継ドメインとする）が判明しているものとし、トレース依頼中のパケット情報には、中継ドメインの情報も含まれているものとする。前述した動作と同様にして、依頼元ドメインのＩＰ−ＴＢＳはトレース依頼を共有情報管理システム１１へ送信する（図６のステップＳ３０１）。
【００４５】
共有情報管理システム１１は依頼元ドメインのＩＰ−ＴＢＳからのトレース依頼を受信する（本発明の探索依頼受信手段の機能に対応）。共有情報管理システム１１は、トレース依頼中のパケット情報に含まれる中継ドメインの情報を参照する。そして、共有情報管理システム１１は、中継ドメインの情報をドメイン情報テーブル１３から読み出し、中継ドメインのＩＰ−ＴＢＳに対するトレース依頼を生成する。このトレース依頼には、依頼元ドメインのＩＰ−ＴＢＳから受信されたパケット情報が含まれている。また、共有情報管理システム１１はトレースＮＯを発行し、トレースバック情報テーブル１２の内容を更新する。続いて、共有情報管理システム１１は、中継ドメインのＩＰ−ＴＢＳへトレース依頼を送信する（本発明の第１の探索依頼送信手段の機能に相当）。図６では、ドメイン２ｂのＩＰ−ＴＢＳへトレース依頼が送信される（図６のステップＳ３０２）。
【００４６】
このトレース依頼を受信したＩＰ−ＴＢＳは、公知の方法によって、攻撃パケットの発信元をトレースし、トレース結果を共有情報管理システム１１へ返信する（図６のステップＳ３０３）。このトレース結果には、トレースの成功もしくは失敗、または攻撃パケットが経由した他のドメインの情報が含まれる。共有情報管理システム１１はこのトレース結果を受信し、トレース結果に基づいてトレースバック情報テーブル１２の内容を更新した後、トレース結果に含まれる情報の内容に応じて以下のように動作する。
【００４７】
攻撃パケットが経由した他のドメインの情報がトレース結果に含まれる場合、共有情報管理システム１１は、そのドメインの情報をドメイン情報テーブル１３から読み出し、そのドメインのＩＰ−ＴＢＳに対するトレース依頼を生成する。続いて、共有情報管理システム１１は、そのドメインのＩＰ−ＴＢＳへトレース依頼を送信する（本発明の第１の探索依頼送信手段の機能に相当）。図６では、ドメイン２ｂのＩＰ−ＴＢＳにおいて、攻撃パケットがドメイン２ｄを経由したことが判明した場合、ドメイン２ｄのＩＰ−ＴＢＳへトレース依頼が送信される（図６のステップＳ３０４）。
【００４８】
また、トレースに成功したことを示す情報がトレース結果に含まれていた場合、共有情報管理システム１１は、必要に応じてトレースに関する情報を依頼元ドメインへ送信する。
【００４９】
また、トレースに失敗したことを示す情報がトレース結果に含まれていた場合、共有情報管理システム１１は、第２の動作例と同様にして、既にトレース結果を送信した中継ドメインと依頼元ドメインを除く複数のドメインの情報をドメイン情報テーブル１３から読み出し、それらのドメインのＩＰ−ＴＢＳに対するトレース依頼を生成する。これ以降の動作は第２の動作例と同様である。共有情報管理システム１１はトレースＮＯを発行し、トレースバック情報テーブル１２の内容を更新した後、上記のドメインのＩＰ−ＴＢＳへトレース依頼を送信する（本発明の第２の探索依頼送信手段の機能に相当）。図６では、ドメイン２ｂのＩＰ−ＴＢＳにおいて、トレースに失敗した場合、ドメイン２ｃ，２ｄ，２ｅ，２ｆ，２ｇのＩＰ−ＴＢＳへトレース依頼が送信される（図６のステップＳ３０５）。
【００５０】
本動作例によれば、共有情報管理システム１１が順次、中継ドメインにトレースを依頼しつつ、中継ドメインのＩＰ−ＴＢＳがトレースに失敗した場合には、他のドメインのＩＰ−ＴＢＳにトレースを依頼するので、トレースに成功する可能性をより高め、従来のように途中の中継ドメインでトレースが停止する可能性を低減することができる。
【００５１】
上述した３つの動作例によるトレース方法を共有情報管理システム１１が適宜切り替えられるようにしてもよい。例えば、依頼元ドメインのＩＰ−ＴＢＳからのトレース依頼中のパケット情報に含まれる攻撃判別情報に基づいて、共有情報管理システム１１が攻撃の種類を判定し、その種類に応じてトレース方法を選択するようにしてもよい。また、複数のドメインのＩＰ−ＴＢＳへトレース依頼を送信する処理の負荷は、ドメインの数が増えるほど大きくなるので、共有情報管理システム１１の処理負荷に応じて、第１もしくは第３の動作例によるトレース方法と、第２の動作例によるトレース方法とを共有情報管理システム１１が選択するようにしてもよい。
【００５２】
また、第１の動作例によるトレース方法に従って、共有情報管理システム１１がドメイン情報テーブル１３を参照し、攻撃パケットの発信元のアドレスをキーとして、ドメイン情報テーブル１３に記録されているアドレスを検索した結果、発信元のアドレスを管理しているドメインが見つからない場合もある。この場合に、発信元のアドレスが詐称されていると共有情報管理システム１１が判断し、第２の動作例のように、依頼元ドメインを除く複数のドメインのＩＰ−ＴＢＳへトレース依頼を送信するようにしてもよい。
【００５３】
また、各ドメインが有するＩＰ−ＴＢＳの種別毎に、トレースに要する時間が異なり、攻撃中にのみトレースが成功するＩＰ−ＴＢＳを、あるドメインが有している場合、そのドメインに対してトレースを依頼しても、トレースに成功しないことがある。そこで、トレースの成功率を向上させるため、以下のようにしてもよい。共有情報管理システム１１は、あるドメインのＩＰ−ＴＢＳへトレース依頼を送信してから所定時間が経過しても、そのＩＰ−ＴＢＳから発信元のトレース結果を受信できていない場合に、依頼元ドメインとトレース依頼の送信先のドメインとを除く他のドメインのＩＰ−ＴＢＳへトレース依頼を送信する。
【００５４】
例えば、第１の動作例において、共有情報管理システム１１は、最終ドメインのＩＰ−ＴＢＳへトレース依頼を送信したとき（図４のステップＳ１０２）、タイマーを起動して計時を開始する。最終ドメインのＩＰ−ＴＢＳからトレース結果を受信するよりも前に所定の時間が経過した場合、共有情報管理システム１１は、その後にトレース結果を受信するか否かに関わらず、依頼元ドメインと最終ドメインとを除く他のドメインのＩＰ−ＴＢＳへトレース依頼を一斉に送信する（本発明の第２の探索依頼送信手段の機能に対応）。
【００５５】
また、例えば、第３の動作例において、共有情報管理システム１１は、中継ドメインのＩＰ−ＴＢＳへトレース依頼を送信したとき（図６のステップＳ３０２）、タイマーを起動して計時を開始する。中継ドメインのＩＰ−ＴＢＳからトレース結果を受信するよりも前に所定の時間が経過した場合、共有情報管理システム１１は、その後にトレース結果を受信するか否かに関わらず、上記と同様に、依頼元ドメインと、既にトレース依頼を送信した中継ドメインとを除く他のドメインのＩＰ−ＴＢＳへトレース依頼を一斉に送信する。
【００５６】
上述したように、本実施形態によれば、共有情報管理システム１１が依頼元ドメインのＩＰ−ＴＢＳからトレースの依頼を受け付け、適宜、他のドメインのＩＰ−ＴＢＳへトレースを依頼するので、攻撃パケットの発信元を効率良く探索することができる。例えば、第１および第２の動作例によれば、攻撃パケットの発信元を従来よりも高速に探索することができる。
【００５７】
また、第１および第３の動作例によれば、共有情報管理システム１１からトレースの依頼を受けたドメインのＩＰ−ＴＢＳがトレースに失敗したとしても、他のドメインのＩＰ−ＴＢＳにトレースが依頼されるので、トレースに成功する可能性をより高め、従来のようにトレースが停止する可能性を低減することができる。同様に、第２の動作例によれば、共有情報管理システム１１が依頼元ドメインのＩＰ−ＴＢＳからトレースの依頼を受け付け、他の複数のドメインのＩＰ−ＴＢＳにトレースを依頼するので、トレースに成功する可能性をより高め、従来のようにトレースが停止する可能性を低減することができる。
【００５８】
また、第２の動作例によれば、共有情報管理システム１１が、複数の攻撃パケットについて個別にトレース依頼を送信するのではなく、複数の攻撃パケットに共通のトレース依頼を一括して送信するので、複数の攻撃元が存在する攻撃で送信された攻撃パケットの発信元を効率的に探索することができる。
【００５９】
以上、図面を参照して本発明の実施形態について詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。
【図面の簡単な説明】
【００６０】
【図１】本発明の一実施形態によるトレースバック管理システムの構成を示すブロック図である。
【図２】本発明の一実施形態によるトレースバック管理システムで管理されるトレースバック情報テーブルの内容を示す参考図である。
【図３】本発明の一実施形態によるトレースバック管理システムで管理されるドメイン情報テーブルの内容を示す参考図である。
【図４】本発明の一実施形態によるトレースバック管理システムの動作を説明するための動作説明図である。
【図５】本発明の一実施形態によるトレースバック管理システムの動作を説明するための動作説明図である。
【図６】本発明の一実施形態によるトレースバック管理システムの動作を説明するための動作説明図である。
【図７】従来のＩＰ−ＴＢＳの接続方式を示す参考図である。
【符号の説明】
【００６１】
１・・・情報管理センタ、１１・・・共有情報管理システム、１２・・・トレースバック情報テーブル、１３・・・ドメイン情報テーブル
【図１】
0004597882.tif 000002
【図２】
0004597882.tif 000003
【図３】
0004597882.tif 000004
【図４】
0004597882.tif 000005
【図５】
0004597882.tif 000006
【図６】
0004597882.tif 000007
【図７】
0004597882.tif 000008