(57)【要約】  (D)DoS攻撃などの不正アクセスについて容易にかつ高精度に検知することが可能なトラヒック分析診断装置およびトラヒック分析診断システム、並びにトラヒック追跡システムを提供すること。  トラヒック分析診断装置105は、パケットをプロトコル種別やポート番号等によりk通り（k：1以上の自然数）に分類したものをパケット種別とし、ネットワーク上に設置した観測点を通過するパケットについてパケット種別ごとにパケットのヘッダ部分のあるフィールドの値の数を監視する手段と、パケット種別ごとにパケットのペイロード部分の特定フィールドの値の数を監視する手段と、パケット種別ごとに前記フィールドの値の数の変動を分析することによりネットワークトラヒックの診断を行う手段を有しており、アドレスの数が非常に小さな変化しかない小規模の(D)DoS攻撃を検出することが可能となり、不正アクセスの検出精度が向上する。
2007081023.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークトラヒックから収集したパケット情報を基にしてネットワークトラヒックを分析し診断するためのトラヒック分析診断装置であって、パケットをプロトコル種別やポート番号等によりk通り（k：1以上の自然数）に分類したものをパケット種別とし、ネットワーク上に設置した観測点を通過するパケットについてパケット種別ごとにパケットのヘッダ部分のあるフィールドの値の数を監視する手段と、パケット種別ごとにパケットのペイロード部分の特定フィールドの値の数を監視する手段と、パケット種別ごとに前記フィールドの値の数の変動を分析することによりネットワークトラヒックの診断を行う手段と、を有することを特徴とするトラヒック分析診断装置。
【請求項２】
前記ネットワークトラヒックの診断を行う手段として、パケット種別ごとに前記フィールドの値の数が一定時間内で所定率に達した場合にはネットワーク上に異常状態が発生していると判定することを特徴とする請求項１に記載のトラヒック分析診断装置。
【請求項３】
前記所定率は下記のいずれかの条件により算出されることを特徴とする請求項２に記載のトラヒック分析診断装置。
(a)時刻tから一定時間内におけるフィールドの値の数N(t)が、任意の時点t1から一定時間内におけるフィールドの値の数N(t1)と比較してk1倍（k1：予め定めた閾値）以上になった場合、すなわち比率がN(t)/ N(t1)≧k1となった場合に異常と判定する。
(b)時刻tから一定時間内におけるフィールドの値の数N(t)とパケット数P(t) との比率N(t)/P(t)を求めて、該比率が予め定めた閾値k2以上になった場合、すなわちN(t)/ P(t)≧k2となった場合に異常と判定する。
(c)上記(b)で求めた時刻tにおける比率N(t)/P(t)が、任意の時点t1の比率N(t1)/ P(t1)と比較してk3倍（k3：予め定めた閾値）以上になった場合、すなわち{N(t)/P(t)} / {N(t1)/P(t1)}≧k3となった場合に異常と判定する。
(d)時刻tから一定時間内におけるフィールドの値の数N(t)と通信量（オクテット数／ビット数）T(t)との比率N(t)/T(t)を求めて、該比率が予め定めた閾値k4以上になった場合、すなわちN(t)/ T(t)≧k4となった場合に異常と判定する。
(e)上記(a)〜(d)の所定率が、予め定めた閾値k5以下になった場合に異常と判定する。
【請求項４】
前記フィールドの値は、パケットのヘッダ部分またはペイロード部分にある２つ以上のフィールドの値について任意の組合せをフィールドの値として構成することを特徴とする請求項２に記載のトラヒック分析診断装置。
【請求項５】
パケットのヘッダ部分にあるTTL値に基づいたホップ数が、予め定めた所定の値の範囲から外れた場合にはネットワーク上に異常状態が発生していると判定する手段を有することを特徴とする請求項２に記載のトラヒック分析診断装置。
【請求項６】
前記ネットワークトラヒックの診断を行う手段として、パケット種別ごとにパケットのヘッダ部分またはペイロード部分にある２つ以上のフィールドの値について任意の組合せをフィールドの値として構成し、該フィールドの値の数が一定時間内で所定数に達した場合にはネットワーク上に異常状態が発生していると判定することを特徴とする請求項１に記載のトラヒック分析診断装置。
【請求項７】
パケットのヘッダ部分にあるTTL値に基づいたホップ数が、予め定めた所定の値の範囲から外れた場合にはネットワーク上に異常状態が発生していると判定する手段を有することを特徴とする請求項６に記載のトラヒック分析診断装置。
【請求項８】
ネットワークトラヒックから収集したパケット情報を基にしてネットワークトラヒックを分析し診断するためのトラヒック分析診断システムであって、請求項１乃至７に記載のトラヒック分析診断装置を、ネットワーク上のパケットが通過するルートに設置した構成を有することを特徴とするトラヒック分析診断システム。
【請求項９】
ネットワークを介して行われる不正アクセスの送信元を追跡するためのトラヒック追跡システムであって、請求項１乃至７に記載のトラヒック分析診断装置を、ネットワークの複数の観測点に設置した構成を有すると共に、不正アクセスが検出された複数の観測点におけるデータの類似性を比較評価して不正アクセスの指向性を検出することにより不正アクセスの送信元を追跡することを特徴とするトラヒック追跡システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークトラヒックから収集したパケット情報を基にしてネットワークトラヒックを分析し診断する技術に関するものである。
【背景技術】
【０００２】
通信回線に伝送されている情報量であるトラヒック量を測定し、ネットワークトラヒックを統計的に分析する手法としてカテゴリ変換（Category Transform）が有効であることが、特許文献１で紹介されている。この手法は、DoS (Denial of Services) 攻撃やDDoS (Distributed Denial of Services) 攻撃などの不正アクセスを検出するのに有効であることが述べられている。【０００３】
(D)DoS攻撃の特徴として、パケットのヘッダ部分に含まれるSourceアドレス（送信元アドレス）を偽造して甚大な数のパケットを送りつけ、対象のサービスを不能にしてしまうことなどがある。特に(D)DoS攻撃は個々のパケットレベルでは正常な通信との区別が困難であり、従来技術では高い検出精度は期待できなかった。【０００４】
そこでカテゴリ変換手法では、パケットのヘッダ領域のフィールド値により分類したものをカテゴリと定義し、パケットが属するカテゴリの数に着目し、パケットの数の分布からカテゴリの数の分布を作成する。ここでカテゴリの例として、例えば「プロトコル領域がTCPであるパケット全て」などがある。【０００５】
カテゴリ変換を用いてパケットの数を測定し、それぞれのカテゴリ単位にパケットの数が所定の値となった場合に、ネットワーク上で異常が発生していると判定することにより、不正アクセスの検出精度の向上が図られている。【０００６】
【特許文献１】国際公開番号WO 2005/074215 A1
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら特許文献１では、パケットの種類を分類せずに全てのパケットを包括して監視し判定基準を設けているため、アドレスの数が非常に小さな変化しかない小規模の(D)DoS攻撃や、WINNYのような数個のアドレスを使用する特殊なアプリケーションを検出することは難しく、検出対象を見逃す可能性があった。つまりネットワークトラヒックが高負荷状態のときには、ネットワーク上のパケットの全体量も増加するため、その時にある特定のアプリケーションについてパケットの数の変動を検出できない可能性があった。【０００８】
本発明は、上記問題を解決するため、ネットワーク上に設置した観測点を通過するパケットについてパケット種別の分類ごとにパケットのヘッダ内のあるフィールドの値の数を監視し、該フィールドの値の数が一定時間内で所定数、若しくは所定率に達した場合にはネットワーク上に異常が発生していると判定すること、すなわちパケットを幾つかのグループ（例えばアプリケーション種別）に分類し、それぞれのグループごとにカテゴリ変換を実行することにより、(D)DoS攻撃などの不正アクセスについて容易にかつ精度よく検出することが可能なトラヒック分析診断装置およびトラヒック分析診断システム、並びにトラヒック追跡システムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
上記目的を達成するため、請求項１に記載のトラヒック分析診断装置は、パケットをプロトコル種別やポート番号等によりk通り（k：1以上の自然数）に分類したものをパケット種別とし、ネットワーク上に設置した観測点を通過するパケットについてパケット種別ごとにパケットのヘッダ部分のあるフィールドの値の数を監視する手段と、パケット種別ごとにパケットのペイロード部分の特定フィールドの値の数を監視する手段と、パケット種別ごとに前記フィールドの値の数の変動を分析することによりネットワークトラヒックの診断を行う手段と、を有することを特徴とする。ここで、ヘッダ部分のフィールドの値としては、IPv4 (Internet Protocol Version 4) の場合、例えば次のものがある。
・バージョン
・ヘッダ長
・サービスタイプ
・パケット長 
・識別子
・フラグ
・フラグメントオフセット
・Time to Live 
・プロトコル
・ヘッダチェックサム
・送信元IPアドレス
・送信先IPアドレス
・オプション
・送信元ポート番号
・送信先ポート番号
ペイロード部分のフィールドの値については、プロトコル種別等により決められる。【００１０】
請求項２に記載のトラヒック分析診断装置は、ネットワークトラヒックの診断を行う手段として、パケット種別ごとに前記フィールドの値の数が一定時間内で所定率に達した場合にはネットワーク上に異常状態が発生していると判定することを特徴とする。【００１１】
請求項３に記載のトラヒック分析診断装置は、前記所定率が下記のいずれかの条件により算出されることを特徴とする。
(a)時刻tから一定時間内におけるフィールドの値の数N(t)が、任意の時点t1から一定時間内におけるフィールドの値の数N(t1)と比較してk1倍（k1：予め定めた閾値）以上になった場合、すなわち比率がN(t)/ N(t1)≧k1となった場合に異常と判定する。
(b)時刻tから一定時間内におけるフィールドの値の数N(t)とパケット数P(t) との比率N(t)/P(t)を求めて、該比率が予め定めた閾値k2以上になった場合、すなわちN(t)/ P(t)≧k2となった場合に異常と判定する。
(c)上記(b)で求めた時刻tにおける比率N(t)/P(t)が、任意の時点t1の比率N(t1)/ P(t1)と比較してk3倍（k3：予め定めた閾値）以上になった場合、すなわち{N(t)/P(t)} / {N(t1)/P(t1)}≧k3となった場合に異常と判定する。
(d)時刻tから一定時間内におけるフィールドの値の数N(t)と通信量（オクテット数／ビット数）T(t)との比率N(t)/T(t)を求めて、該比率が予め定めた閾値k4以上になった場合、すなわちN(t)/ T(t)≧k4となった場合に異常と判定する。
(e)上記(a)〜(d)の所定率が、予め定めた閾値k5以下になった場合に異常と判定する。【００１２】
請求項４に記載のトラヒック分析診断装置は、前記フィールドの値が、パケットのヘッダ部分またはペイロード部分にある２つ以上のフィールドの値について任意の組合せをフィールドの値として構成することを特徴とする。【００１３】
請求項５に記載のトラヒック分析診断装置は、パケットのヘッダ部分にあるTTL値に基づいたホップ数が、予め定めた所定の値の範囲から外れた場合にはネットワーク上に異常状態が発生していると判定する手段を有することを特徴とする。【００１４】
請求項６に記載のトラヒック分析診断装置は、ネットワークトラヒックの診断を行う手段として、パケット種別ごとにパケットのヘッダ部分またはペイロード部分にある２つ以上のフィールドの値について任意の組合せをフィールドの値として構成し、該フィールドの値の数が一定時間内で所定数に達した場合にはネットワーク上に異常状態が発生していると判定することを特徴とする。【００１５】
請求項７に記載のトラヒック分析診断装置は、パケットのヘッダ部分にあるTTL値に基づいたホップ数が、予め定めた所定の値の範囲から外れた場合にはネットワーク上に異常状態が発生していると判定する手段を有することを特徴とする。【００１６】
請求項８に記載のトラヒック分析診断システムは、請求項１乃至７に記載のトラヒック分析診断装置を、ネットワーク上のパケットが通過するルートに設置した構成を有することを特徴とする。【００１７】
請求項９に記載のトラヒック追跡システムは、請求項１乃至７に記載のトラヒック分析診断装置を、ネットワークの複数の観測点に設置した構成を有すると共に、不正アクセスが検出された複数の観測点におけるデータの類似性を比較評価して不正アクセスの指向性を検出することにより不正アクセスの送信元を追跡することを特徴とする。
【発明の効果】
【００１８】
請求項１に係る発明によれば、外部ネットワークから送信されてきたパケットについてパケット種別ごとにパケットのヘッダ部分またはペイロード部分のあるフィールドの値の数を監視すること、すなわちパケットを幾つかのグループ（例えばアプリケーション種別）に分類して監視するため、アドレスの数が非常に小さな変化しかない小規模の(D)DoS攻撃や、WINNYのような数個のアドレスを使用する特殊なアプリケーションを検出することが可能となり、検出対象を見逃すことは少なくなり、不正アクセスの検出精度が向上する。さらに不正アクセスを検出した場合に、アプリケーション種別が特定できているため、従来よりも迅速な対処が可能となる。またネットワークのリンク切れなどの通信障害や、アプリケーション異常によるサービス停止についても容易に検出することができ、トラブル発生後の迅速な対処が可能となる。【００１９】
請求項２または請求項３に係る発明によれば、不正アクセスを検知する判定基準として(a)〜(e)に示す所定率を用いているため、閾値の設定が容易になり、不正アクセスを検出する精度を向上させることが期待できる。【００２０】
請求項４に係る発明によれば、２つ以上の任意の組合せをフィールドの値として用いることにより、不正アクセスを検出する精度をさらに向上させることが可能となる。【００２１】
請求項５または請求項７に係る発明によれば、ヘッダ部分のTTL値に基づくHOP数は、ある送信元情報が示された場合にほぼ決まっており、それが所定の値の範囲から外れた場合には不正アクセスと判別することが可能となる。【００２２】
請求項６に係る発明によれば、不正アクセスを検出する判定基準として、所定率の代わりに所定数を用いることにより、計算処理によるオーバヘッドの負荷を軽減することができる。さらにフィールドの値として一つだけではなく、２つ以上のフィールドの値について任意の組合せをフィールドの値として構成することにより、不正アクセスを検出する精度を向上することができる。【００２３】
請求項８に係る発明によれば、トラヒック分析診断装置を、ネットワーク上のパケットが通過するルートに設置した構成とすることにより、(D)DoS攻撃のような不正アクセスを高精度に、かつ自動的に検出することが可能となる。さらに不正アクセスを検出した場合に、アプリケーションが特定できているため、従来よりも迅速な対処が可能となる。【００２４】
請求項９に係る発明によれば、トラヒック分析診断装置をネットワークの複数の観測点に設置した構成とすることにより、各観測点のトラヒック分析診断装置が検出したデータの類似性を比較評価して不正アクセスの指向性を検出することが可能となり、不正アクセスの送信元を追跡することができる。
【図面の簡単な説明】
【００２５】
【図１】本発明の実施の形態に係るトラヒック分析診断システムの構成を示す概略図である。
【図２】本発明の実施の形態に係るトラヒック分析診断システムが監視するパケットのデータ形式を説明する図である。
【図３】本発明の実施の形態に係るトラヒック追跡システムの構成を示す概略図である。
【符号の説明】
【００２６】
１０１  パソコン（IP Address：100.100.100.1）
１０２  パソコン（IP Address：100.100.100.2）
１０３  パソコン（IP Address：100.100.100.3）
１０４  ルータ
１０５  トラヒック分析診断装置
【発明を実施するための最良の形態】
【００２７】
次に、本発明の実施の形態に係るトラヒック分析診断システムについて図面に基づいて説明する。なお、この実施の形態により本発明が限定されるものではない。【００２８】
図１は、本発明の実施の形態に係るトラヒック分析診断システムの構成を示す概略図である。図１に示すように、トラヒック分析診断システムは、トラヒック分析診断装置105を、外部ネットワークから送信されてきたパケットが通過するルートに設置した構成を有する。ルータ104は、外部ネットワークから送信されてきたパケットを送信先IPアドレスにより、各機器に振分けを行う。図１の例では、送信先IPアドレスが(100.100.100.1)のパケットをパソコン101に、送信先IPアドレスが(100.100.100.2)のパケットをパソコン102に、送信先IPアドレスが(100.100.100.3)のパケットをパソコン103に振分けを行う。【００２９】
トラヒック分析診断装置105は、パケットをプロトコル種別やポート番号等によりk通りに分類したものをパケット種別とし、外部ネットワークから送信されてきたパケットについてパケット種別ごとにパケットのヘッダ部分のあるフィールドの値の数を監視する手段と、パケット種別ごとにパケットのペイロード部分の特定フィールドの値の数を監視する手段とを有する共に、パケット種別ごとに前記フィールドの値の数の変動を分析することによりネットワークトラヒックの診断を行う。ここでkは１以上の自然数であり、アプリケーション種別とも言える。例えば図１の例では、Mail用パケット、Web用パケット、FTP用パケットに分類して、パケットのヘッダ内のあるフィールドの値の数を監視することになる。【００３０】
フィールドの値の数は定常状態においては一定の範囲内にあり、大きく変動することがあればネットワーク上に異常状態が発生していると判断することができる。したがってトラヒック分析診断装置105は、パケット種別のk通りの分類ごとに、パケットのヘッダ部分またはペイロード部分にあるフィールドの値の数が一定時間内で所定率に達した場合にはネットワーク上に異常状態が発生していると判定する。【００３１】
またパケットのデータ形式（プロトコル種別がＴＣＰの場合）は図２に示す通りであり、 IPヘッダおよびTCPヘッダを構成するフィールド項目も図２に示す通りである。その中で本システムが用いるヘッダ部分のフィールド項目（フィールドの値）としては、IPv4 (Internet Protocol Version 4) の場合、例えば次のものがある。
・バージョン
・ヘッダ長
・サービスタイプ
・パケット長 
・識別子
・フラグ
・フラグメントオフセット
・Time to Live 
・プロトコル
・ヘッダチェックサム
・送信元IPアドレス
・送信先IPアドレス
・オプション
・送信元ポート番号
・送信先ポート番号
例えばフィールドの値が「送信元IPアドレス」として、区別できる発信元IPアドレスとして、 (100.100.100.1),(100.100.100.2),(100.100.100.3)があった場合、フィールドの値の数は３となる。またペイロード部分のフィールドの値については、プロトコル種別等により決められる。【００３２】
ここで不正アクセスの一例としてDoS攻撃は、攻撃対象機器に処理能力を上回る非常に甚大な数のパケットを送りつけ、対象のサービスを不能にしてしまう攻撃方法であり、次のような特徴を有している。例えば、ヘッダ部分にあるフィールドの値の一つである送信元IPアドレスは、パケットフィルタリングによりDoS攻撃がブロックされないように、偽造されている（偽のアドレスが用いられている）ことが多く、ランダムに選択されていることが一般的である。【００３３】
トラヒック分析診断装置105では、例えばフィールドの値が「送信元IPアドレス」として、外部ネットワークから送信されてきたパケットについてパケット種別ごとにパケットのヘッダ部分の「送信元IPアドレス」の値の数を監視する。もし攻撃者がランダムに送信元IPアドレスを選択しているならば、観測される送信元IPアドレスの数も増加しているはずである。ある一定時間間隔では、１個の送信元IPアドレスに対して、そのような送信元IPアドレスを持つパケットは複数観測されるのが通常である。しかし、攻撃の最中では一般的に１個の（偽造された）送信元IPアドレスに対して、攻撃パケットは１個しか観測されない。このため「送信元IPアドレス」の値の数は一定時間内で所定率に達することになり、DoS攻撃が行われていることを検知することができる。【００３４】
またトラヒック分析診断装置105では、パケットをプロトコル種別やポート番号等によりk通りに分類したものをパケット種別とし、外部ネットワークから送信されてきたパケットについてパケット種別ごとにパケットのヘッダ部分またはペイロード部分にあるフィールドの値の数を監視することにより、アプリケーション単位で監視することが可能になる。すなわち、ネットワークトラヒックが高負荷状態になった際には、外部ネットワークから送信されてくるパケットの全体量も増加し、さらにアプリケーションごとのパケット量にもバラツキがでてくるが、アプリケーション単位で監視しているため、通信量の少ない特定のアプリケーションで (D)DoS攻撃のような不正アクセスがあった場合にも不正アクセスの検知を見逃すことはなくなる。【００３５】
例えば、「送信元IPアドレス」の値の数を、Mail用パケット「SMTP」、Web用パケット「HTTP」、および「その他」に分類して監視した場合の例を下表に示す。【００３６】
【表１】
2007081023.tif 000003
【００３７】
表１の例では、10:03〜10:04の時間帯に「その他」パケットについて「送信元IPアドレス」の値の数が通常時の10倍以上に増加しており、明らかに不正アクセスがあったものと判別できる。しかし、全体のパケットについては数％程度の増加に留まっており、全体のパケットを監視して「送信元IPアドレス」の値の数の変動を分析し診断すると、不正アクセスを見逃す可能性があることがわかる。【００３８】
以上から、外部ネットワークから送信されてきたパケットについてパケット種別ごとにパケットのヘッダ部分またはペイロード部分にあるフィールドの値の数を監視することにより、アプリケーション単位で監視することが可能になり、通信量の少ないアプリケーションで (D)DoS攻撃のような不正アクセスがあった場合にも不正アクセスの検知を見逃すことは少なくなる。さらに不正アクセスを検知した場合に、アプリケーションが特定できているため、従来よりも迅速な対処が可能となる。【００３９】
次に、トラヒック分析診断装置105が所定率を判定する基準について説明する。所定率の基準として、下記のいずれかの条件を用いて判定する。
(a)時刻tから一定時間内におけるフィールドの値の数N(t)が、任意の時点t1から一定時間内におけるフィールドの値の数N(t1)と比較してk1倍（k1：予め定めた閾値）以上になった場合、すなわち比率がN(t)/ N(t1)≧k1となった場合に異常と判定する。
(b)時刻tから一定時間内におけるフィールドの値の数N(t)とパケット数P(t) との比率N(t)/P(t)を求めて、該比率が予め定めた閾値k2以上になった場合、すなわちN(t)/ P(t)≧k2となった場合に異常と判定する。
(c)上記(b)で求めた時刻tにおける比率N(t)/P(t)が、任意の時点t1の比率N(t1)/ P(t1)と比較してk3倍（k3：予め定めた閾値）以上になった場合、すなわち{N(t)/P(t)} / {N(t1)/P(t1)}≧k3となった場合に異常と判定する。
(d)時刻tから一定時間内におけるフィールドの値の数N(t)と通信量（オクテット数／ビット数）T(t)との比率N(t)/T(t)を求めて、該比率が予め定めた閾値k4以上になった場合、すなわちN(t)/ T(t)≧k4となった場合に異常と判定する。
(e)上記(a)〜(d)の所定率が、予め定めた閾値k5以下になった場合に異常と判定する。【００４０】
上記(a)〜(e)の判定基準については、トラヒック分析診断装置105を設置するネットワーク環境に応じて最適な判定基準を選ぶことが必要となってくる。ネットワーク環境の規模や目的などに応じて最適な判定基準を選ぶことにより、高精度に不正アクセスを検知することが可能となる。【００４１】
次に、トラヒック分析診断装置105が、外部ネットワークから送信されてきたパケットについてパケット種別ごとにパケットのヘッダ部分またはペイロード部分にあるフィールドの値の数を監視し、パケット種別ごとに前記フィールドの値の数が一定時間内で所定率に達した場合には不正アクセスが行われていると判定する場合に、フィールドの値として一つだけではなく、２つ以上のフィールドの値について任意の組合せをフィールドの値として構成することが挙げられる。【００４２】
前記の説明中では「送信元IPアドレス」を取り上げたが、例えば「送信元IPアドレス」と「送信元IPポート番号」の組合せをフィールドの値として構成し、前記で説明した(a)〜(e)の判定基準を用いて判定する。２つ以上の任意の組合せをフィールドの値として用いることにより、不正アクセスを検知する精度を向上させることが可能となる。【００４３】
また、上記(a)〜(e)の判定基準に加えて、外部ネットワークから送信されてきたパケットのヘッダ部分にあるTTL(Time to Live)値に基づいたホップ数が、予め定めた所定の値の範囲から外れた場合にはネットワーク上に異常状態が発生していると判定することにより、不正アクセスを検知する精度をさらに向上させることができる。【００４４】
ここでTTL(Time to Live)値は、情報の無限循環を防止するためにあり、ヘッダ中のTTL値に基づきHOP数が0となったらその情報をインターネット上から落とすことが行われている。ところで、ある送信元情報が示された場合、それが詐称されたものではなく正規の場合、HOP数はほぼ決まっている。したがって、その決まっているHOP数と比較して、その情報が不正情報であるか否かを判別することができる。【００４５】
以上で説明したように、トラヒック分析診断装置105は、ネットワークトラヒックの診断を行う手段として、パケット種別ごとに前記フィールドの値の数が一定時間内で所定率に達した場合にはネットワーク上に異常状態が発生していると判定する手段を有しているが、さらにネットワークトラヒックの診断を行う手段として、パケット種別ごとにパケットのヘッダ部分またはペイロード部分にある２つ以上のフィールドの値について任意の組合せをフィールドの値として構成し、該フィールドの値の数が一定時間内で所定数に達した場合にはネットワーク上に異常状態が発生していると判定する手段を有している。すなわちパケット種別のk通りの分類ごとに、パケット内のフィールドの値の数が一定時間内で所定数に達した場合にはネットワーク上に異常状態が発生していると判定する場合に、フィールドの値として一つだけではなく、２つ以上のフィールドの値について任意の組合せをフィールドの値として構成し、該フィールドの値の数が一定時間内で所定数に達した場合にはネットワーク上に異常状態が発生していると判定する。【００４６】
不正アクセスを検出する判定基準として、所定率の代わりに所定数を用いることにより、計算処理によるオーバヘッドの負荷を軽減することができる。さらにフィールドの値として一つだけではなく、２つ以上のフィールドの値について任意の組合せをフィールドの値として構成することにより、不正アクセスを検出する精度を向上することができる。【００４７】
さらに上記判定条件に加えて、外部ネットワークから送信されてきたパケットのヘッダ部分にあるTTL(Time to Live)値に基づいたホップ数が、予め定めた所定の値の範囲から外れた場合には不正アクセスが行われていると判定することにより、不正アクセスを検知する精度を上げることが可能である。【００４８】
次に、本発明の実施の形態に係るトラヒック追跡システムについて図面に基づいて説明する。図３は、本発明の実施の形態に係るトラヒック追跡システムの構成を示す概略図である。【００４９】
図３に示すように、トラヒック追跡システムは、トラヒック分析診断装置を、ネットワークの複数の観測点に設置した構成を有する。図３に示す例では、観測点A〜Hにおいてトラヒック分析診断装置が検出したデータの類似性を比較評価して不正アクセスの指向性を検出することにより不正アクセスの発信元を追跡する。【００５０】
すなわち観測点A〜Hのトラヒック分析診断装置は、パケット種別ごとにパケットのヘッダ部分またはペイロード部分にあるフィールドの値の数を監視する際に同一のフィールドを対象とすること、および不正アクセスを検知する判定基準も同じにすることにより、複数の観測点で不正アクセスが検知された場合に、判定の根拠となった数値同士を比較して類似性を評価し、不正アクセスの指向性を検出することが可能となる。例えば、観測点Aと観測点Bで不正アクセスが検知された場合、判定の根拠が両方ともにFTPアプリケーションの「送信元IPアドレス」の数であり、算出した判定数値も類似していれば、不正アクセスはFTPアプリケーションを利用して観測点Aと観測点Bとを通過した事実を証明することができる。【００５１】
以上から、トラヒック分析診断装置をネットワークの複数の観測点に設置した構成とすることにより、各観測点のトラヒック分析診断装置が検出したデータの類似性を比較評価して不正アクセスの指向性を検出することが可能となり、不正アクセスの送信元を追跡することができる。
【産業上の利用可能性】
【００５２】
近年、ネットワーク利用環境が大規模化しインターネットを中心に情報ネットワーク社会が形成されていく中で、ネットワークセキュリティは必要不可欠のものになってきており、セキュリティ関連のツールが多くのベンダーやソフトハウスからリリースされ、多くの企業や大学などで利用されているが、本発明は、(D)DoS攻撃などの不正アクセスについて容易にかつ精度よく検出する技術を提供するものであり、前記セキュリティ関連のツールに本発明の技術を利用することが可能である。本発明は、外部ネットワークから送信されてきたパケットについてパケット種別ごとにパケットのヘッダ部分またはペイロード部分のあるフィールドの値の数を監視すること、すなわちパケットを幾つかのグループ（例えばアプリケーション種別）に分類して監視することで、アドレスの数が非常に小さな変化しかない小規模の(D)DoS攻撃や、WINNYのような数個のアドレスを使用する特殊なアプリケーションを検出することが可能となり、検出対象を見逃すことが少なくなり、不正アクセスの検出精度が向上する。
また不正アクセスを検出した場合に、アプリケーション種別が特定できているため、従来よりも迅速な対処が可能となるとともに、ネットワークのリンク切れなどの通信障害や、アプリケーション異常によるサービス停止についても容易に検出することができ、トラブル発生後の迅速な対処が可能となる。
また不正アクセスの検出精度については、不正アクセスを検知する判定基準に所定率を用いること、および２つ以上の任意の組合せをフィールドの値として用いることにより、不正アクセスの検出精度を従来よりも向上させることができる。
さらに本発明のトラヒック分析診断装置をネットワークの複数の観測点に設置することにより、各観測点のトラヒック分析診断装置が検出したデータの類似性を比較評価して不正アクセスの指向性を検出することが可能となり、不正アクセスの送信元を追跡することが可能となる。
【図１】
2007081023.tif 000004
【図２】
2007081023.tif 000005
【図３】
2007081023.tif 000006
【手続補正書】
【提出日】平成20年5月1日(2008.5.1)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
ネットワークトラヒックから収集したパケット情報を基にしてネットワークトラヒックを分析し診断するためのトラヒック分析診断装置であって、パケットをプロトコル種別やポート番号等によりｋ通り（ｋ：１以上の自然数）に分類したものをパケット種別とし、ネットワーク上に設置した観測点を通過するパケットについてパケット種別ごとにパケットのヘッダ部分の特定フィールドの値の数を監視する手段と、パケット種別ごとにパケットのペイロード部分の特定フィールドの値の数を監視する手段と、パケット種別ごとに前記フィールドの値の数が一定時間内で所定率に達した場合にはネットワーク上に異常状態が発生していると判断する診断手段と、を有することを特徴とするトラヒック分析診断装置。
【請求項２】
前記所定率は下記のいずれかの条件により算出されることを特徴とする請求項１に記載のトラヒック分析診断装置。
（ａ）時刻ｔから一定時間内におけるフィールドの値の数Ｎ（ｔ）が、任意の時点ｔ１から一定時間内におけるフィールドの値の数Ｎ（ｔ１）と比較してｋ１倍（ｋ１：予め定めた閾値）以上になった場合、すなわち比率がＮ（ｔ）／Ｎ（ｔ１）≧ｋ１となった場合に異常と判定する。
（ｂ）時刻ｔから一定時間内におけるフィールドの値の数Ｎ（ｔ）とパケット数Ｐ（ｔ）との比率Ｎ（ｔ）／Ｐ（ｔ）を求めて、該比率が予め定めた閾値ｋ２以上になった場合、すなわちＮ（ｔ）／Ｐ（ｔ）≧ｋ２となった場合に異常と判定する。
（ｃ）上記（ｂ）で求めた時刻ｔにおける比率Ｎ（ｔ）／Ｐ（ｔ）が、任意の時点ｔ１の比率Ｎ（ｔ１）／Ｐ（ｔ１）と比較してｋ３倍（ｋ３：予め定めた閾値）以上になった場合、すなわち｛Ｎ（ｔ）／Ｐ（ｔ）｝／｛（Ｎ（ｔ１）／Ｐ（ｔ１）｝≧ｋ３となった場合に異常と判定する。
（ｄ）時刻ｔから一定時間内におけるフィールドの値の数Ｎ（ｔ）と通信量（オクテット数／ビット数）Ｔ（ｔ）との比率Ｎ（ｔ）／Ｔ（ｔ）を求めて、該比率が予め定めた閾値ｋ４以上になった場合、すなわちＮ（ｔ）／Ｔ（ｔ）≧ｋ４となった場合に異常と判定する。
（ｅ）上記（ａ）〜（ｄ）の所定率が、予め定めた閾値ｋ５以下になった場合に異常と判定する。
【請求項３】
請求項１に記載のトラヒック分析診断装置において、前記診断手段はパケットのヘッダ部分またはペイロード部分にある２つ以上のフィールドの値について任意の組合せをフィールドの値として構成し、該フィールドの値の数が一定時間内で所定率に達した場合にはネットワーク上に異常状態が発生していると判断する手段を有することを特徴とする請求項１に記載のトラヒック分析診断装置。
【請求項４】
請求項１に記載のトラヒック分析診断装置において、前記診断手段はパケットのヘッダ部分にあるＴＴＬ値に基づいたホップ数が予め定めた所定の値の範囲から外れた場合にはネットワーク上に異常状態が発生していると判断する手段を有することを特徴とする請求項１に記載のトラヒック分析診断装置。
【請求項５】
請求項１に記載のトラヒック分析診断装置において、前記診断手段はパケット種別ごとにパケットのヘッダ部分またはペイロード部分にある２つ以上のフィールドの値について任意の組合せをフィールドの値として構成し、該フィールドの値の数が一定時間内で所定数に達した場合にはネットワーク上に異常状態が発生していると判断する手段を有することを特徴とする請求項１に記載のトラヒック分析診断装置。
【請求項６】
ネットワークトラヒックから収集したパケット情報を基にしてネットワークトラヒックを分析し診断するためのトラヒック分析診断システムであって、請求項１乃至請求項５に記載のトラヒック分析診断装置を、ネットワーク上のパケットが通過するルートに設置した構成を有することを特徴とするトラヒック分析診断システム。
【請求項７】
ネットワークを介して行われる不正アクセスの送信元を追跡するためのトラヒック追跡システムであって、請求項１乃至請求項５に記載のトラヒック分析診断装置を、ネットワークの複数の観測点に設置した構成を有すると共に、不正アクセスが検出された複数の観測点におけるデータの類似性を比較評価して不正アクセスの指向性を検出することにより不正アクセスの送信元を追跡することを特徴とするトラヒック追跡システム。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】０００２
【補正方法】変更
【補正の内容】
【０００２】
て監視し判定基準を設けているため、アドレスの数が非常に小さな変化しかない小規模の（Ｄ）ＤｏＳ攻撃や、ＷＩＮＮＹのような数個のアドレスを使用する特殊なアプリケーションを検出することは難しく、検出対象を見逃す可能性があった。つまりネットワークトラヒックが高負荷状態のときには、ネットワーク上のパケットの全体量も増加するため、その時にある特定のアプリケーションについてパケットの数の変動を検出できない可能性があった。
［０００８］
本発明は、上記問題を解決するため、ネットワーク上に設置した観測点を通過するパケットについてパケット種別の分類ごとにパケットのヘッダ内のあるフィールドの値の数を監視し、該フィールドの値の数が一定時間内で所定数、若しくは所定率に達した場合にはネットワーク上に異常が発生していると判定すること、すなわちパケットを幾つかのグループ（例えばアプリケーション種別）に分類し、それぞれのグループごとにカテゴリ変換を実行することにより、（Ｄ）ＤｏＳ攻撃などの不正アクセスについて容易にかつ精度よく検出することが可能なトラヒック分析診断装置およびトラヒック分析診断システム、並びにトラヒック追跡システムを提供することを目的とする。
課題を解決するための手段
［０００９］
上記目的を達成するため、請求項１に記載のトラヒック分析診断装置は、ネットワークトラヒックから収集したパケット情報を基にしてネットワークトラヒックを分析し診断するためのトラヒック分析診断装置であって、パケットをプロトコル種別やポート番号等によりｋ通り（ｋ：１以上の自然数）に分類したものをパケット種別とし、ネットワーク上に設置した観測点を通過するパケットについてパケット種別ごとにパケットのヘッダ部分の特定フィールドの値の数を監視する手段と、パケット種別ごとにパケットのペイロード部分の特定フィールドの値の数を監視する手段と、パケット種別ごとに前記フィールドの値の数が一定時間内で所定率に達した場合にはネットワーク上に異常状態が発生していると判断する診断手段と、を有することを特徴とする。ここで、ヘッダ部分のフィールドの値としては、ＩＰｖ４（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ  Ｖｅｒｓｉｏｎ  ４）の場合、例えば次のものがある。
・バージョン
・ヘッダ長
・サービスタイプ
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】０００３
【補正方法】変更
【補正の内容】
【０００３】
・パケット長
・識別子
・フラグ
・フラグメントオフセット
・Ｔｉｍｅ  ｔｏ  Ｌｉｖｅ
・プロトコル
・ヘッダチェックサム
・送信元ＩＰアドレス
・送信先ＩＰアドレス
・オプション
・送信元ポート番号
・送信先ポート番号
ペイロード部分のフィールドの値については、プロトコル種別等により決められる。
［００１０］
［００１１］
請求項２に記載のトラヒック分析診断装置は、前記所定率が下記のいずれかの条件により算出されることを特徴とする。
（ａ）時刻ｔから一定時間内におけるフィールドの値の数Ｎ（ｔ）が、任意の時点ｔ１から一定時間内におけるフィールドの値の数Ｎ（ｔ１）と比較してｋ１倍（ｋ１：予め定めた閾値）以上に  なった場合、すなわち比率がＮ（ｔ）／Ｎ（ｔ１）≧ｋ１となった場合に異常と判定する。
（ｂ）時刻ｔから一定時間内におけるフィールドの値の数Ｎ（ｔ）とパケット数Ｐ（ｔ）との比率Ｎ（ｔ）／Ｐ（ｔ）を求めて、該比率が予め定めた閾値ｋ２以上になった場合、すなわちＮ（ｔ）／Ｐ（ｔ）≧ｋ２となった場合に異常と判定する。
（ｃ）上記（ｂ）で求めた時刻ｔにおける比率Ｎ（ｔ）／Ｐ（ｔ）が、任意の時点ｔ１の比率Ｎ（ｔ１）／Ｐ（ｔ１）と比較してｋ３倍（ｋ３：予め定めた閾値）以上になった場合、すなわち｛Ｎ（ｔ）／Ｐ（ｔ）｝／｛Ｎ（ｔ１）／Ｐ（ｔ１）｝≧ｋ３となった場合に異常と判定する。
（ｄ）時刻ｔから一定時間内におけるフィールドの値の数Ｎ（ｔ）と通信量（オクテット数／ビット数）Ｔ（ｔ）との比率Ｎ（ｔ）／Ｔ（ｔ）を求めて、該比率が予め定めた閾値ｋ４以上になった場合、すなわちＮ（ｔ）／Ｔ（ｔ）≧ｋ４となった場合に異常と判定する。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】０００４
【補正方法】変更
【補正の内容】
【０００４】
（ｅ）上記（ａ）〜（ｄ）の所定率が、予め定めた閾値ｋ５以下になった場合に異常と判定する。
［００１２］
請求項３に記載のトラヒック分析診断装置は、請求項１に記載のトラヒック分析診断装置において、前記診断手段がパケットのヘッダ部分またはペイロード部分にある２つ以上のフィールドの値について任意の組合せをフィールドの値として構成し、該フィールドの値の数が一定時間内で所定率に達した場合にはネットワーク上に異常状態が発生していると判断する手段を有することを特徴とする。
［００１３］
請求項４に記載のトラヒック分析診断装置は、請求項１に記載のトラヒック分析診断装置において、前記診断手段がパケットのヘッダ部分にあるＴＴＬ値に基づいたホップ数が予め定めた所定の値の範囲から外れた場合にはネットワーク上に異常状態が発生していると判断する手段を有することを特徴とする。
［００１４］
請求項５に記載のトラヒック分析診断装置は、請求項１に記載のトラヒック分析診断装置において、前記診断手段がパケット種別ごとにパケットのヘッダ部分またはペイロード部分にある２つ以上のフィールドの値について任意の組合せをフィールドの値として構成し、該フィールドの値の数が一定時間内で所定数に達した場合にはネットワーク上に異常状態が発生していると判断する手段を有することを特徴とする。
［００１５］
［００１６］
請求項６に記載のトラヒック分析診断システムは、ネットワークトラヒックから収集したパケット情報を基にしてネットワークトラヒックを分析し診断するためのトラヒック分析診断システムであって、請求項１乃至請求項５に記載のトラヒック分析診断装置を、ネットワーク上のパケットが通過するルートに設置した構成を有することを特徴とする。
［００１７］
請求項７に記載のトラヒック追跡システムは、ネットワークを介して行われる不正アクセスの送信元を追跡するためのトラヒック追跡システムであって、請求項１乃至請求項５に記載のトラヒック分析診断装置を、ネットワークの複数の観測点に設置した構成を有すると共に、不正アクセスが検出された複数の観測点におけるデータの類似性を比較評価して不正アクセスの指向性を検出することにより不正アクセスの送信元を追跡することを特徴とする。
発明の効果
［００１８］
請求項１に係る発明によれば、外部ネットワークから送信されてきたパケットについてパケット種別ごとにパケットのヘッダ部分またはペイロード部分のあるフィールドの値の数を監視すること、すなわちパケットを幾つかのグループ（例えばアプリケーション種別）に分類して監視するため、アドレスの数が非常に小さな変化しかない小規模
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】０００５
【補正方法】変更
【補正の内容】
【０００５】
の（Ｄ）ＤｏＳ攻撃や、ＷＩＮＮＹのような数個のアドレスを使用する特殊なアプリケーションを検出することが可能となり、検出対象を見逃すことは少なくなり、不正アクセスの検出精度が向上する。さらに不正アクセスを検出した場合に、アプリケーション種別が特定できているため、従来よりも迅速な対処が可能となる。またネットワークのリンク切れなどの通信障害や、アプリケーション異常によるサービス停止についても容易に検出することができ、トラブル発生後の迅速な対処が可能となる。
［００１９］
請求項２に係る発明によれば、不正アクセスを検知する判定基準として（ａ）〜（ｅ）に示す所定率を用いているため、閾値の設定が容易になり、不正アクセスを検出する精度を向上させることが期待できる。
［００２０］
請求項３に係る発明によれば、２つ以上の任意の組合せをフィールドの値として用いることにより、不正アクセスを検出する精度をさらに向上させることが可能となる。
［００２１］
請求項４に係る発明によれば、ヘッダ部分のＴＴＬ値に基づくＨＯＰ数は、ある送信元情報が示された場合にほぼ決まっており、それが所定の値の範囲から外れた場合には不正アクセスと判別することが可能となる。
［００２２］
請求項５に係る発明によれば、不正アクセスを検出する判定基準として、所定率の代わりに所定数を用いることにより、計算処理によるオーバヘッドの負荷を軽減することができる。さらにフィールドの値として一つだけではなく、２つ以上のフィールドの値について任意の組合せをフィールドの値として構成することにより、不正アクセスを検出する精度を向上することができる。
［００２３］
請求項６に係る発明によれば、トラヒック分析診断装置を、ネットワーク上のパケットが通過するルートに設置した構成とすることにより、（Ｄ）ＤｏＳ攻撃のような不正アクセスを高精度に、かつ自動的に検出することが可能となる。さらに不正アクセスを検出した場合に、アプリケーションが特定できているため、従来よりも迅速な対処が可能となる。
［００２４］
請求項７に係る発明によれば、トラヒック分析診断装置をネットワークの複数の観測点に設置した構成とすることにより、各観測点のトラヒック分析診断装置が検出したデータの類似性を比較評価して不正アクセスの指向性を検出することが可能となり、不正アクセスの送信元を追跡することができる。
【国際調査報告】
2007081023.tif 000007
2007081023.tif 000008
2007081023.tif 000009
2007081023.tif 000010