(57)【要約】      （修正有）【課題】偽装した送信元ＩＰアドレスを持つ通信パケットを使った攻撃を検知し通報を可能にする。【解決手段】「特定通信検知機構３」が「通信回線１」から異常と認められる特定パターンの通信を照合する。「検知パターン定義２」に一致する通信パケットを検知した場合「経路監視機構４」を介して「トレースルート発信機構５」に通信パケットの送信元ＩＰアドレスの経路探査を指令する。「経路監視機構４」は、経路探査結果を受け取ると「ネットワークテーブル８」を使用し送信元ＩＰアドレスの所属するネットワークのＩＰアドレス範囲を割り出し、経路探査結果にある終端ルータのＩＰアドレスがこのＩＰアドレス範囲内にあるか判定する。範囲内になかった場合や経路が複数あった場合、この情報を「経路終端記録テーブル９」に記録する。「閾値判定機構１０」が「経路終端記録テーブル９」を集計し、時間内の件数が異常と判断されたものは警報を表示する。【選択図】図１
2007306531.tif 000002
【特許請求の範囲】
【請求項１】
受信する通信の特定パターンの通信パケットの送信ＩＰアドレスに対し経路探査する機構を有し、通信パケットの送信元ＩＰアドレスに対し経路探査を行い、この通信をすべて記録する機構と各企業・団体のネットワークのＩＰアドレス範囲を記録したデータベースを有するシステム
【請求項２】
経路探査結果から単一又は複数の経路終端のルータのＩＰアドレスを取り出し、各企業・団体のネットワークのＩＰアドレス範囲を記録したデータベースから探査対象になったＩＰアドレスが所属するネットワークを検索し、経路終端のルータのＩＰアドレスが上記検索により特定されたＩＰアドレス範囲内にあるかどうかを判定をする判定方法
【請求項３】
経路終端のルータのＩＰアドレスが上記ＩＰアドレス範囲内になかった場合、これを異常情報としてデータベースに記録し、このデータベースに対して集計処理を行い閾値判定できるようにしたシステム
【発明の詳細な説明】
【技術分野】
【０００１】本発明は通信分野における通信記録の分析装置に関する発明である。
【背景技術】
【０００２】従来、受信した通信パケットの通信経路を探査する方法にトレースルート（ｔｒａｃｅｒｏｕｔｅ）というコマンドが利用されていた。このコマンドは通信経路の状況把握及び効率的な経路決定のために利用されている。図２にトレースルートの原理を示す。通信パケットがルータを通過する場合、生存期間値（ＴＴＬ値）が−１される。この際、値がゼロになった場合、ルータは通信パケットを破棄し送信元に破棄したことをＩＣＭＰのタイプ１１を使い通知する。
トレースルートではＵＤＰ又はＩＣＭＰのタイプ８コード０を使い生存期間値（ＴＴＬ値）を１から順に増加させた通信パケットを送信する。これにより、近傍のルータから順に通信パケット破棄の通知が来るので経路探査ができる。【０００３】本発明は特許文献１の延長上にある発明である。通信パケットの送信元ＩＰアドレスの所属するネットワークのＩＰアドレス範囲を特定する方法は特許文献１でも可能であるが、特許文献１にはトレースルートを行う機能がないので通信パケットの送信元ＩＰアドレスが偽装されたものか判定ができない。
【特許文献１】特開２００５−１９８２２０
【発明の開示】
【発明が解決しようとする課題】
【０００４】通信プロトコルがＵＤＰ及びＩＣＭＰ等の通信パケットは送信先が送信元の確認を行わない通信手順であるため、送信元ＩＰアドレスを偽装した通信パケットが送信される場合がある。
この場合、通信経路は図３に示すように二又に分かれた形になる。ルータに記録された経路は時間が経過すると消去されるため、この異常な状況は長く続かないが、ルータに経路が保持されている段階でトレースルートを行うと、この異常な状況を確認することができる。【０００５】従来、通信パケットすべてに対し経路探査のためのトレースルートを行うと、逆にこのトレースルートの通信が通信回線を圧迫する弱点があった。このため、手動でコマンド投入を行い調査することが主流になっている。しかし、これでは経路異常の把握に時間がかかるため通信回線を圧迫しない経路探査の自動化が課題となった。
【課題を解決するための手段】
【０００６】図１は本発明の構成を示すブロック図である。
本発明は、「通信回線１」から特定の通信を検知する「特定通信検知機構３」と経路探査を行う「トレースルート発信機構５」と経路探査を含めた全通信を記録する「通信記録機構（応答記録）６」とこれらを統括する「経路監視機構４」から構成される。【０００７】「経路監視機構４」は経路探査結果から終端のルータの正当性を判定するため「データベース（ネットワークテーブル）８」を使用し、その結果異常と判定した情報を「データベース（経路終端記録テーブル）９」へ格納することにより実現する。これにより「閾値判定機構１０」が集計による警報発令の判断が可能となり、警報を発令する場合、「警報発令機構１１」が「表示装置１２」に警報表示する。
【発明の効果】
【０００８】本発明を利用することで通信回線を圧迫することなく送信元ＩＰアドレスを偽装した通信パケットの量を把握できるようになる。かつ真の発信元のルータのＩＰアドレスが特定できる。発信元を偽装した攻撃の予兆の把握や攻撃が発生した場合、真の攻撃元のネットワーク管理者に連絡を行うことができるので攻撃の早期遮断が可能となる。
【発明を実施するための最良の形態】
【０００９】全ての通信パケットに対してトレースルートを行うことは通信回線を圧迫することになり得策ではない。それゆえ「特定通信検知機構３」により通信パケットの中から特定のものを採用しトレースルートを行う形がもつとも効果的な形態となる。【００１０】経路探査結果により終端のルータのＩＰアドレスを割り出す。
通常、経路探査の対象になったＩＰアドレスが所属するネットワーク範囲内に終端のルータのＩＰアドレスも所属しているはずなので、終端のルータのＩＰアドレスが正しいかどうかはこれにより判定すれば良い。【００１１】上記で異常と判定された情報と「特定通信検知機構３」で採用された「検知パターン定義２」の定義番号を「経路終端記録テーブル９」に格納することによりＳＱＬ文により集計することが可能となり、結果として異常の把握や警報の発令に利用できることになる。また「経路終端記録テーブル９」内にカウント値を設ければ、ＳＱＬ文によらなくても集計ができることになる。【００１２】経路探査の対象になったＩＰアドレスのネットワーク範囲内に終端のルータのＩＰアドレスが所属しているか判定することが本発明の中心であるから「ネットワークテーブル８」を有する点は本発明の特徴となる。
又、トレースルートを行う際に通信回線圧迫を回避するため「特定通信検知機構３」が機能する点も本発明の特徴となる。
【実施例】
【００１３】以下、本発明の実施形態を図１、図４〜図１０に基づいて説明する。【００１４】図１は本発明の構成を示すブロック図である。【００１５】「特定通信検知機構３」は「検知パターン定義２」に従って「通信回線１」上の受信した通信パケット内で一致するデータがあるか判定する。もし一致した通信パケットを発見した場合、通信パケットの送信元ＩＰアドレスを「経路監視機構４」に通知する。
この時、すべての通信パケットは「通信記録機構６」により「通信パケットテーブル７」に記録される。「通信パケットテーブル７」の内容を図８に示す。項４と項５は後に設定される。また、「検知パターン定義２」の内容を図６に示す。【００１６】「トレースルート発信機構５」は「経路監視機構４」の指令を受け、探査対象のＩＰアドレスに対しトレースルートを行う。応答であるＩＣＭＰのタイプ１１の通信パケットが「通信記録機構６」により「経路探査結果」として記録される。この情報はメモリ上に記録しても良いし「通信パケットテーブル７」図８の項４のフラグをＯＮにし記録しても良い。【００１７】「ネットワークテーブル８」は各企業・団体のネットワークのＩＰアドレス範囲を記録したもので内容を図７に示す。トレースルートの対象になったＩＰアドレスが所属するネットワークのＩＰアドレス範囲は「ネットワークテーブル８」を利用することで解決できる。【００１８】「経路監視機構４」は「経路探査結果」から終端のルータのＩＰアドレスを割り出し、トレースルートの対象になったＩＰアドレスが所属するネットワークのＩＰアドレス範囲内にあるか判定し、範囲外の場合、その情報を「経路終端記録テーブル９」に格納する。「経路終端記録テーブル９」の内容を図９に示す。【００１９】「閾値判定機構１０」は「経路終端記録テーブル９」を参照し単位時間当たりの件数集計を行い、件数が異常な場合、「警報発令機構１１」に警報発令を指示する。「警報発令機構１１」は「表示装置１２」に警報を表示する。【００２０】本発明の処理の流れ図を図４に示す。【００２１】処理ステップ１で「特定通信検知機構３」が「検知パターン定義２」を読む。
「検知パターン定義２」の内容は図６であり、項３〜項９が一致する通信パケットの条件を示し、通信パケットが一致した時に「トレースルート発信機構５」に指令される条件が項１０〜項１２に設定されている。【００２２】処理ステップ２で、「経路監視機構４」に対し終了指令があったか判定する。
ＹＥＳの場合、処理を終了する。
ＮＯの場合、処理ステップ３へ進む。【００２３】処理ステップ３で、「特定通信検知機構３」が「通信回線１」上に「検知パターン定義２」に一致する通信パケットが存在するか検査する。
一致条件は「検知パターン定義２」図６の項３〜項９に設定してある。【００２４】処理ステップ４で、通信パケットの送信元ＭＡＣアドレスが正常か判定する。
ＹＥＳの場合、処理ステップ５へ進む。
ＮＯの場合、処理ステップ２へ戻る。
「通信回線１」を流れる通信パケットにおいて、処理対象にするものはインターネット側に接続されたルータからやって来る通信パケットである。つまり、送信元のＭＡＣアドレスがこのルータのＭＡＣアドレスである場合正常とみなし、処理を行う。【００２５】処理ステップ５で、「検知パターン定義２」の条件に一致する通信パケットか判定する。
ＹＥＳの場合、処理ステップ６へ進む。
ＮＯの場合、処理ステップ２へ戻る。【００２６】処理ステップ６で、「特定通信検知機構３」は「経路監視機構４」へ通信パケットの送信元ＩＰアドレスを通知する。「経路監視機構４」は「トレースルート発信機構５」にこの送信元ＩＰアドレスの経路探査を行うよう指令する。
この時、「検知パターン定義２」図６の項１０〜項１２に設定されている条件に従って指令を出す。送信にはＵＤＰ又はＩＣＭＰタイプ８コード０を使用する。【００２７】処理ステップ７で、「トレースルート発信機構５」がＴＴＬ値を１加算した通信パケットを送信し「通信記録機構（応答記録）６」が応答を記録する。応答とはＩＣＭＰのタイプ１１の通信パケットのことで「経路探査結果」のことである。この記録はメモリ上に記録しても良いし「通信パケットテーブル７」図８の項４のフラグをＯＮにして記録しても良い。【００２８】処理ステップ８で、「トレースルート発信機構５」が一定時間を経過したか、所定回数の送信が終了したか判定する。この条件は「検知パターン定義２」図６の項１１〜項１２に設定されている。
ＹＥＳの場合、処理ステップ９へ進む。
ＮＯの場合、処理ステップ７へ戻る。
ＹＥＳの場合、「トレースルート発信機構５」は「経路監視機構４」へ完了を通知する。【００２９】処理ステップ９で「経路監視機構４」が「登録集計処理」を行う。
処理が終了すると処理ステップ２に戻る。
「登録集計処理」の流れ図を図５に示す。【００３０】処理ステップ１０で、「経路監視機構４」が「ネットワークテーブル８」を検索し、探査対象ＩＰアドレスのネットワークのＩＰアドレス範囲を割出す。【００３１】処理ステップ１１で、最終到達ルータのＩＰアドレスが発信元のネットワーク内か判定する。
ＹＥＳの場合、処理を終了し復帰する。
ＮＯの場合、処理ステップ１２へ進む。
最終到達ルータのＩＰアドレスとは経路探査結果のＩＰアドレスがグローバルＩＰアドレスであり、生存期間値（ＴＴＬ値）が最小のものをいう。経路探査結果途中に生存期間値（ＴＴＬ値）が同一のものが複数ある場合、経路が複数分かれていることを意味し図１０の表に従って最終到達ルータのＩＰアドレスを決定する。なお「ネットワーク内にある」とはＩＰアドレスが図７の項３から項４までの間に存在することを意味する。最終到達ルータのＩＰアドレスが複数ある場合、すべてに対して上記判定を行う。【００３２】処理ステップ１２で、「経路監視機構４」が最終到達ルータ情報を「経路終端記録テーブル９」に登録する。テーブルの内容を図９に示す。項５〜項６は最終到達ルータのＩＰアドレスを「ネットワークテーブル８」で検索した結果が格納される。同時にトレースルートの対象になったＩＰアドレス情報を項７〜項８に格納する。又、「通信パケットテーブル８」図８の項５に「経路終端記録テーブル９」の順次番号を設定する。
「経路監視機構４」は「閾値判定機構１０」を起動する。【００３３】処理ステップ１３で、「閾値判定機構１０」が「経路終端記録テーブル９」を集計する。
ＳＱＬ文で件数集計する場合もあれば「経路終端記録テーブル９」図９に項９を設置し、そこをカウントアップし参照しても良い。【００３４】処理ステップ１４で、単位時間内の件数が一定値を越えたか判定する。
ＹＥＳの場合、処理ステップ１５へ進む。
ＮＯの場合、処理を終了し復帰する。【００３５】処理ステップ１５で、「閾値判定機構１０」が「警報発令機構１１」にアラートを出すよう指令する。「警報発令機構１１」は「表示装置１２」に警報を表示する。この後、処理を終了し復帰する。
以上で実施例の説明を終わる。
【産業上の利用可能性】
【００３６】本発明を利用することで偽装したＩＰアドレスを持つ通信パケットの状況を把握でき、ネットワーク管理をいっそう強化することができる。また攻撃の前兆の把握が可能となり、発信元に偽装したＩＰアドレスを使った攻撃が開始された場合、真の発信元のルータが所属するネットワークの管理者へ通報することで早期に攻撃を無力化することが可能となる。
【図面の簡単な説明】
【００３７】
【図１】本発明の構成を示すブロック図
【図２】トレースルートの原理を示す図
【図３】経路が乱れている場合のルートを示す図
【図４】本発明の処理の手順を示す図
【図５】登録集計処理の手順を示す図
【図６】検知パターン定義の構成要素図
【図７】データベース（ネットワークテーブル）の構成要素図
【図８】データベース（通信パケットテーブル）の構成要素図
【図９】データベース（経路終端記録テーブル）の構成要素図
【図１０】複数経路の最終到達ルータ判定表の図
【図１】
2007306531.tif 000003
【図２】
2007306531.tif 000004
【図３】
2007306531.tif 000005
【図４】
2007306531.tif 000006
【図５】
2007306531.tif 000007
【図６】
2007306531.tif 000008
【図７】
2007306531.tif 000009
【図８】
2007306531.tif 000010
【図９】
2007306531.tif 000011
【図１０】
2007306531.tif 000012