(57)【要約】【課題】  攻撃端末の追跡機能の導入をネットワーク全体で安価なものとすると共に、一部の中継装置に障害が発生しても攻撃パケットの追跡を実行できるようにする。【解決手段】  追跡機能を有する中継装置と追跡機能を有しない中継装置の物理的な接続関係を示すトポロジマップデータベース２６を備え、ＩＤＳ部２で攻撃検出すると、攻撃パケットの特徴と追跡情報メッセージの返信要求を含む追跡要求メッセージを作成し、トポロジマップ情報を参照して、追跡機能を有する中継装置に追跡要求メッセージを送信する。追跡要求メッセージ作成部２４は、追跡情報メッセージに含まれる送信元アドレスからトポロジマップ情報を参照して、追跡情報メッセージを送信した中継装置の送信元側の追跡機能を有する中継装置に追跡要求メッセージを送信する。追跡情報解析部２２は追跡情報メッセージに含まれているアドレスを繋ぎ合わせて攻撃パケットの発信源を特定する。【選択図】      図２
2007096544.tif 000002
【特許請求の範囲】
【請求項１】
攻撃端末から送信されて複数の中継装置で経由されて被害端末で受信された攻撃パケットの発信源を追跡する発信源追跡装置であって、
前記被害端末で受信されるパケットの特徴から、前記攻撃パケットを検出するパケット解析手段と、
前記パケット解析手段で解析された前記攻撃パケットの特徴と、当該攻撃パケットの特徴と同じ特徴を有するパケットを中継した場合に、当該パケットの送信元アドレスと自己のアドレスとの組及び当該パケットの送信先アドレスと自己のアドレスとの組を含む追跡情報メッセージを返信する要求を含む追跡要求メッセージを作成する追跡要求メッセージ作成手段と、
前記追跡情報メッセージを作成する機能を有する中継装置及び前記追跡情報メッセージを作成する機能を有しない中継装置の物理的な接続関係を記述したトポロジマップ情報を記憶する記憶手段と、
前記トポロジマップ情報を参照して、前記複数の中継装置のうち、前記追跡情報メッセージを作成する機能を有する中継装置に前記追跡要求メッセージ作成手段で作成された追跡要求メッセージを送信する追跡要求メッセージ送信手段と、
前記追跡情報メッセージを作成する機能を有する中継装置からの追跡情報メッセージに含まれているアドレスを繋ぎ合わせることによって前記攻撃パケットの発信源を特定する追跡情報解析手段とを備え、
前記追跡情報メッセージ送信手段は、前記追跡情報メッセージに含まれる送信元アドレスから前記トポロジマップ情報を参照して、当該追跡情報メッセージを送信した中継装置の送信元側に存在し前記追跡情報メッセージを作成する機能を有する中継装置に追跡要求メッセージを送信することを特徴とする発信源追跡装置。
【請求項２】
攻撃端末から送信されて複数の中継装置で経由されて被害端末で受信された攻撃パケットの発信源を追跡する発信源追跡装置であって、
前記被害端末で受信されるパケットの特徴から、前記攻撃パケットを検出するパケット解析手段と、
前記パケット解析手段で解析された前記攻撃パケットの特徴と、当該攻撃パケットの特徴と同じ特徴を有するパケットを検知した場合に、当該パケットの送信元アドレスと自己のアドレスとの組及び当該パケットの送信先アドレスと自己のアドレスとの組とを含む追跡情報メッセージを返信する要求を含む追跡要求メッセージを作成する追跡要求メッセージ作成手段と、
前記中継装置の物理的な接続関係を記述したトポロジマップ情報と、前記攻撃パケットが通過する通信線に接続されて当該通信線を通過して前記中継装置で中継されるパケットを受信し、前記追跡情報メッセージを作成する機能を有する追跡専用装置と前記中継装置との接続関係を記述した追跡装置配置情報とを記憶する記憶手段と、
前記トポロジマップ情報及び追跡装置配置情報を参照して、前記追跡専用装置に前記追跡要求メッセージ作成手段で作成された追跡要求メッセージを送信する追跡要求メッセージ送信手段と、
前記追跡専用装置からの追跡情報メッセージに含まれているアドレスを繋ぎ合わせることによって前記攻撃パケットの発信源を特定する追跡情報解析手段とを備え、
前記追跡情報メッセージ送信手段は、前記追跡情報メッセージに含まれる送信元アドレスから前記トポロジマップ情報及び追跡装置配置情報を参照して、当該追跡情報メッセージを送信した追跡専用装置の送信元側に存在する追跡専用装置に追跡要求メッセージを送信することを特徴とする発信源追跡装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信パケットの発信源を特定するための発信源追跡システムにおいて、当該システムにおける通信パケットの追跡情報を取得する発信源追跡装置に関する。
【背景技術】
【０００２】
近年、インターネットに代表されるオープンネットワークの普及により、当該ネットワークに接続された端末への攻撃が問題となってきている。この攻撃のうち代表的なものとしては、ある攻撃端末から特定の被害端末へ大量のＩＰ（Internet Protocol）パケットを送信するＤｏＳ（Denial of Service）攻撃や、ネットワークに接続された複数の攻撃端末から特定の被害端末へＩＰパケットを送信することで、全体として大量のＩＰパケットを被害端末へと送信するＤＤｏＳ（Distributed Dos）攻撃と呼ばれるものが知られている。これらのサービス妨害攻撃は、攻撃対象である被害端末の処理を飽和させることによって、当該被害端末が有するサービス提供機能を麻痺させるだけでなく、ネットワーク全体に過大な負荷をかけることから、その抜本的な対策が求められている。
【０００３】
この対策の一つには、被害端末に大量に送信される攻撃パケットの送信元アドレスを特定し、そのアドレスを有する端末からの通信を遮断することが考えられる。しかしながら、当該送信元アドレスの詐称は容易であるため、この送信元アドレスを特定しただけでは、必ずしも攻撃パケットの発信源を特定したことにはならない。
【０００４】
そこで、攻撃パケットの経路を順次辿ることで、当該攻撃端末を特定することができるＩＣＭＰ（Internet Control Message Protocol）トレースバック（以下、itraceという）が、ＩＥＴＦ（Internet Engineering Task Force）より提唱されている。このitraceは、それぞれの中継装置（ルータ）において、当該中継装置を通過するＩＰパケットを２万分の１程度の確率で選択し、その選択したＩＰパケットが通過したインターフェースなどの追跡情報を、ネットワークに接続された追跡装置へと送信して、この追跡装置で、当該中継装置から送信された複数の追跡情報を繋ぎ合わせることで攻撃端末を特定するものである。このようなitraceを利用した技術としては、下記の特許文献１や特許文献２に記載されたものが知られている。
【０００５】
然るに、このitraceでは、ネットワークの負担とならないよう、ＩＰパケットの選択は２万分の１という低確率となっている。従って、特にＤＤｏＳ攻撃を受けた場合には、攻撃パケットが選択されずに追跡に相当時間を要したり、追跡が不可能になったりという問題がある。また、中継装置が自律的に追跡情報を作成するので、追跡したいＩＰパケットを選択できないという問題もある。そこで、かかる問題を解決するために、追跡装置自らが主体的に追跡情報を取得する能動型発信源追跡システムを構成することが知られている。
【０００６】
例えば特許文献１に記載された技術では、被害端末とは別に、追跡端末を用意しておき、攻撃端末から被害端末に複数の中継装置を介して大量の攻撃パケットが送信されると、追跡装置は、中継装置に対して攻撃パケットの追跡要求をし、それぞれの中継装置は、自己から見て攻撃端末側の中継装置に対して順次追跡要求を送信すると共に、追跡装置に対して特定結果を送信することで、攻撃端末を特定している。
【０００７】
また、特許文献２に記載された技術では、被害端末に大量の攻撃パケットが送信されると、追跡装置は、中継装置に対して攻撃パケットの追跡要求をし、それぞれの中継装置は、宛先アドレスを判別して被害端末に向う攻撃パケットを捕捉すると、そのパケットが通過したインターフェースを特定して、当該インターフェース情報を含む追跡情報を取得して追跡装置に送信する。そして、追跡装置は、追跡情報に基づいて、次の中継装置に追跡要求を行い、これを繰り返すことによって攻撃端末を特定している。
【特許文献１】特開２０００−１２４９５２号公報
【特許文献２】特開２００３−２６４５５３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
以上のように、これらの各特許文献１，２に開示された発明では、追跡装置自らが主体的に追跡情報を取得することで、特にＤＤｏＳ攻撃を受けた場合であっても、攻撃端末の追跡を高速に行うことができ、またitraceの欠点である攻撃パケットの不選択により追跡が不可能になるということがない。しかしながら、これらの発明では、追跡対象となる攻撃パケットの特徴を所定の情報で判断しているため、攻撃パケットではないにも拘わらず、偶然に同じ特徴を持ったパケットを追跡する場合がある。
【０００９】
すなわち、特許文献１に開示された発明では、追跡対象の宛先アドレスとして、送信元アドレス又は被害端末のアドレスを含むＩＰパケットを選択するようにしているため（段落番号００３３参照）、攻撃端末が送信元アドレスを詐称した場合に、当該送信元アドレスの正当な端末からの送信パケットも追跡してしまうことや、被害端末のアドレスを宛先アドレスとして通信しようとする悪意無きユーザ（以下、正当ユーザと呼ぶ）からの端末の送信パケットも追跡することとなる。
【００１０】
一方、特許文献２に開示された発明であっても、当該特許文献１と同様にして、送信元ＩＰアドレス、宛先ＩＰアドレスを用いて発生する問題の他に、上位プロトコルの種類等の情報を用いるため（段落番号００２２参照）、偶然に同様の特徴を持ったＩＰパケットを追跡することとなる。
【００１１】
このように、上記各特許文献１，２に開示された発明では、攻撃パケットではないＩＰパケットを追跡することにより、ネットワーク全体に負荷をかけてしまうという問題があった。
【００１２】
これに対し、本願出願人は、攻撃端末を特定する処理を行ってもネットワーク負荷を高くさせないことを目的として、発信源探査システム（特願２００４−３３６４９６「発信源追跡システム及びそのシステムで用いられる中継装置」）を提案している。この発信源探査システムは、追跡機能を持った中継装置で構成されるネットワークと、発信源探査の制御を行う追跡端末とにより構成され、ある中継装置に、追跡端末と被害端末とを接続しておく。
【００１３】
この発信源探査システムは、複数の中継装置が接続されたネットワークにおける攻撃端末が、被害端末に向かって送信元アドレスを偽造して攻撃パケットを送った場合には、追跡端末が攻撃を検出し、その攻撃の真の送信元を調べるために、被害端末に最も近い中継装置に追跡要求を送信する。この追跡要求には、攻撃パケットから得た特徴情報（送信先アドレス、プロトコル番号、ポート番号など）が指定されており、追跡要求を受けた中継端末は、通過パケットを監視して、特徴情報に一致するパケットを監視する。
【００１４】
そして、攻撃パケットの特徴情報と一致する特徴を有するパケットが通過した場合に、当該パケットの上流にあたる中継装置のアドレスを含んだ追跡情報を追跡端末に送信する。次に、追跡端末は、追跡情報を受け取ると、当該追跡情報に含まれる上流の中継装置に向かって、追跡要求を送信する。これを繰り返すことで、被害端末の最寄りの中継装置から、攻撃端末に最寄りの中継装置まで追跡要求が行われ、攻撃端末のアドレスを特定できる。
【００１５】
しかしながら、この発信源探査システムであっても、全ての中継装置に追跡情報の作成機能を実装する必要があるために、導入に高いコストがかかる。また、この発信源探査システムでは、被害端末と攻撃端末との途中の一つの中継装置の追跡情報の作成機能に障害が発生すると、攻撃端末が接続されている中継装置を特定できないという問題がある。
【００１６】
そこで、本発明は、上述した実情に鑑みて提案されたものであり、攻撃端末の追跡機能の導入をネットワーク全体で安価なものとすると共に、一部の中継装置に障害が発生しても攻撃パケットの追跡を実行できる発信源追跡装置を提供することを目的とする。
【課題を解決するための手段】
【００１７】
本発明は、攻撃端末から送信されて複数の中継装置で経由されて被害端末で受信された攻撃パケットの発信源を追跡する発信源追跡装置であって、上述の課題を解決するために、追跡情報メッセージを作成する機能を有する中継装置及び追跡情報メッセージを作成する機能を有しない中継装置の物理的な接続関係を記述したトポロジマップ情報を記憶する記憶手段を備え、更に、被害端末で受信されるパケットの特徴から、攻撃パケットを検出するパケット解析手段と、パケット解析手段で解析された攻撃パケットの特徴と、当該攻撃パケットの特徴と同じ特徴を有するパケットを中継した場合に、当該パケットの送信元アドレスと自己のアドレスとの組及び当該パケットの送信先アドレスと自己のアドレスとの組とを含む追跡情報メッセージを返信する要求を含む追跡要求メッセージを作成する追跡要求メッセージ作成手段と、トポロジマップ情報を参照して、複数の中継装置のうち、追跡情報メッセージを作成する機能を有する中継装置に追跡要求メッセージ作成手段で作成された追跡要求メッセージを送信する追跡要求メッセージ送信手段と、追跡情報メッセージを作成する機能を有する中継装置からの追跡情報メッセージに含まれているアドレスを繋ぎ合わせることによって攻撃パケットの発信源を特定する追跡情報解析手段とを備え、追跡情報メッセージ送信手段は、追跡情報メッセージに含まれる送信元アドレスからトポロジマップ情報を参照して、当該追跡情報メッセージを送信した中継装置の送信元側に存在し追跡情報メッセージを作成する機能を有する中継装置に追跡要求メッセージを送信する。
【００１８】
このような発信源追跡装置は、ある追跡機能を有する中継装置から追跡情報メッセージを受信した場合に、当該追跡情報メッセージに含まれる送信元アドレス及び送信先アドレスから、次に追跡要求メッセージを送信する中継装置を決定するときに、トポロジマップ情報を参照して、追跡情報メッセージを送信できない中継装置を除いて、追跡機能を有する中継装置のみに追跡要求メッセージを送信できる。
【００１９】
本発明は、攻撃端末から送信されて複数の中継装置で経由されて被害端末で受信された攻撃パケットの発信源を追跡する発信源追跡装置であって、上述の課題を解決するために、中継装置の物理的な接続関係を記述したトポロジマップ情報と、攻撃パケットが通過する通信線に接続されて当該通信線を通過して中継装置で中継されるパケットを受信し、追跡情報メッセージを作成する機能を有する追跡専用装置と中継装置との接続関係を記述した追跡装置配置情報とを記憶する記憶手段を備え、更に、被害端末で受信されるパケットの特徴から、攻撃パケットを検出するパケット解析手段と、パケット解析手段で解析された攻撃パケットの特徴と、当該攻撃パケットの特徴と同じ特徴を有するパケットを検知した場合に、当該パケットの送信元アドレスと自己のアドレスとの組及び当該パケットの送信先アドレスと自己のアドレスとの組とを含む追跡情報メッセージを返信する要求を含む追跡要求メッセージを作成する追跡要求メッセージ作成手段と、トポロジマップ情報及び追跡装置配置情報を参照して、追跡専用装置に追跡要求メッセージ作成手段で作成された追跡要求メッセージを送信する追跡要求メッセージ送信手段と、追跡専用装置からの追跡情報メッセージに含まれている攻撃パケットと同じ特徴を有するパケットの送信元アドレスと送信先アドレスとを繋ぎ合わせることによって攻撃パケットの発信源を特定する追跡情報解析手段とを備え、追跡情報メッセージ送信手段は、追跡情報メッセージに含まれる送信元アドレスからトポロジマップ情報及び追跡装置配置情報を参照して、当該追跡情報メッセージを送信した追跡専用装置の送信元側に存在する追跡専用装置に追跡要求メッセージを送信する。
【００２０】
このような発信源追跡装置は、ある追跡専用装置から追跡情報メッセージを受信した場合に、当該追跡情報メッセージに含まれる送信元アドレス及び送信先アドレスから、次に追跡要求メッセージの送信先とする追跡専用装置を決定するときに、追跡装置配置情報を参照して、中継装置を除いて、追跡専用装置のみに追跡要求メッセージを送信できる。
【発明の効果】
【００２１】
本発明によれば、追跡情報メッセージを送信できる中継装置と追跡情報メッセージを送信できない中継装置との接続関係をトポロジマップ情報として記憶しておき、追跡情報メッセージを送信できる中継装置のみに追跡要求メッセージを送信できるので、追跡要求メッセージを送信できない中継装置が混在しているようなネットワークであっても、攻撃パケットの追跡ができ、追跡機能の導入をネットワーク全体で安価なものとすると共に、一部の中継装置に障害が発生して追跡情報メッセージを送信できなくなっても攻撃パケットの追跡を実行できる。
【００２２】
また、本発明によれば、中継装置の接続関係をトポロジマップ情報として記憶しておくと共に、追跡専用装置の中継装置に対する接続関係を追跡装置配置情報として記憶しておくことにより、攻撃パケットが中継装置を通過した時に追跡専用装置から追跡情報メッセージを受信できる。したがって、追跡情報メッセージを送信できる中継装置を導入しなくても後付けで追跡専用装置を挿入するのみで攻撃パケットの追跡ができ、追跡機能の導入をネットワーク全体で安価なものとすると共に、喩え追跡情報メッセージを送信できる一部の中継装置に障害が発生して追跡情報メッセージを送信できなくなっても攻撃パケットの追跡を実行できる。
【発明を実施するための最良の形態】
【００２３】
以下、本発明の実施の形態について図面を参照して説明する。
【００２４】
本発明に係る発信源追跡装置は、図１に示すように、被害端末Ｖと、複数の中継装置Ｒ１〜Ｒ６（以下、総称する場合には単に「中継装置Ｒｎ」と呼ぶ。）とを有する発信源探査システムにおいて、当該被害端末Ｖと共に中継装置Ｒ２に接続されている追跡端末Ｍに適用される。この発信源探査システムにおいて、ある中継装置Ｒ４，Ｒ６に接続された攻撃端末Ａ１，Ａ２（以下、総称する場合には単に「攻撃端末Ａｎ」と呼ぶ）から被害端末Ｖに対して大量のＩＰパケットが送信されて、被害端末Ｖの他の処理を不能とするＤＤｏＳ（Distributed Dos）攻撃が行われる場合、攻撃端末Ａ１，Ａ２から被害端末Ｖへ送信されるＩＰパケットは、中継装置Ｒｎを通過する。
【００２５】
これに対し、追跡端末Ｍは、中継装置Ｒｎの追跡機能を利用して、攻撃端末Ａ１，Ａ２を特定することになるが、当該追跡端末Ｍの内部に、追跡機能を有する中継装置Ｒｎ間の物理的接続関係を定義したトポロジマップ情報を記憶させておくことによって、全ての中継装置Ｒｎに追跡機能を実装していなくても攻撃端末Ａ１，Ａ２を特定できることを特徴とするものである。すなわち、追跡端末Ｍは、攻撃端末Ａから被害端末Ｖへの攻撃を検知した時に、追跡機能を有する中継装置に攻撃を構成したＩＰパケットの情報を送信させることを追跡要求メッセージによって要求して、追跡機能を有する中継装置から追跡情報メッセージを受信するが、追跡機能を有する中継装置Ｒｎと追跡機能を有しない中継装置Ｒｎとが混在していても、追跡機能を有する中継装置Ｒｎからの追跡情報メッセージを用いて攻撃端末Ａｎを特定できる。これにより、本発明は、攻撃端末の追跡機能の導入を発信源探査システム全体で安価なものとできる。
【００２６】
また、本発明では、一部の追跡機能を有する中継装置に障害が発生しても、追跡端末Ｍに記憶したトポロジマップ情報を更新することによって、攻撃パケットの追跡を実行できる。以下、本発明を適用した最良の実施の形態について説明する。
【００２７】
この実施の形態では、中継装置Ｒ１〜Ｒ６のうち、ルータ装置（ゲートウェイ装置を含む）である中継装置Ｒ２，Ｒ３，Ｒ４，Ｒ６に追跡機能が実装されており、中継装置Ｒ１，Ｒ５に追跡機能が実装されておらず、中継装置Ｒ２に被害端末Ｖ及び追跡端末Ｍが接続されており、中継装置Ｒ４に攻撃端末Ａ１が接続されており、中継装置Ｒ６に攻撃端末Ａ２が接続されている場合について説明する。
【００２８】
「追跡端末Ｍの構成」
中継装置Ｒ２と被害端末Ｖとの間には、図示しない集線装置（ハブ、タップ装置等）を介して、追跡端末Ｍが接続されており、この追跡端末Ｍは、当該集線装置のポートモニタリング機能により、中継装置Ｒ２と被害端末Ｖとの間に送受信されているＩＰパケットのコピーパケットを取得するようになっている。この取得にあたって、追跡端末Ｍは、図２に示すように、いわゆるＮＩＣ（Network Interface Card）である通信インターフェース部１より、当該ＩＰパケットを取得する。通信インターフェース部１は、被害端末Ｖへの攻撃を検出するＩＤＳ（Intrusion Detection System）部２と、攻撃端末Ａ１、Ａ２を特定する発信源追跡部３と接続されており、これらの各部とパケットデータの送受信を行う。
【００２９】
追跡端末Ｍは、中継装置Ｒ２を介して被害端末Ｖで受信するＩＰパケットをＩＤＳ部２で監視し、発信源追跡部３によって攻撃端末Ａｎを特定する処理を行うものである。
【００３０】
ＩＤＳ部２は、中継装置Ｒ２と被害端末Ｖとの間に送受信されているＩＰパケットを解析するＩＤＳパケット解析部１１と、当該ＩＤＳパケット解析部１１と接続されて不正アクセスに係るＩＰパケットであることを特定するためのデータベースとを備えている。このデータベースは、一例として、ＤＤＯＳ攻撃、Syn Flood攻撃、Ping of Death攻撃、ポートスキャン攻撃など、各種攻撃パターンが格納されている不正アクセスパターンデータベース１２と、攻撃があったときの当該攻撃パターン、日時、回数等の統計情報を格納する不正アクセス統計データベース１３などから構成される。なお、不正アクセスパターンデータベース１２に格納されている各種攻撃パターンは、ＩＤＳパケット解析部１１を介して、入力部４より発信源探査システムのユーザによって、予め入力されて登録されるようになっている。この入力部４は、ＩＤＳ部２の不正アクセスパターンデータベース１２，不正アクセス統計データベース１３に登録されている情報の更新を行うためのユーザインターフェースに相当する。
【００３１】
このようなＩＤＳ部２は、ＩＤＳパケット解析部１１により、不正アクセスパターンデータベース１２に定義されている不正アクセスパターンに該当するＩＰパケットを検出した場合には、当該ＩＤＳパケット解析部１１によって、当該不正アクセスを構成するＩＰパケットの特徴情報を取得すると共に、攻撃端末Ａｎによる被害端末Ｖへの攻撃が発生したことを発信源追跡部３に通知する。また、ＩＤＳパケット解析部１１は、当該攻撃が発生した攻撃パターン情報、日時情報等からなる統計情報を不正アクセス統計データベース１３に登録する。なお、不正アクセス統計データベース１３に記憶された統計情報は、発信源探査システムのユーザや被害端末Ｖのユーザ等で参照可能とされる。
【００３２】
発信源追跡部３は、ＩＤＳ部２によって被害端末Ｖへの攻撃が検出された場合に、追跡機能を有する中継装置Ｒｎに追跡要求メッセージを送信し、当該追跡要求メッセージの応答である中継装置Ｒｎからの追跡情報メッセージを受信して、攻撃端末Ａｎを特定するものである。この発信源追跡部３は、追跡機能を有する中継装置Ｒ２，Ｒ３，Ｒ４，Ｒ６から送信された追跡情報メッセージを取得する追跡情報メッセージ検出部２１と、当該追跡情報メッセージを解析する追跡情報解析部２２と、被害端末Ｖから攻撃端末Ａ１、Ａ２までの途中経路を逐次格納するためのリンクリストデータベース２３と、中継装置Ｒｎに追跡要求メッセージを送信するための追跡要求メッセージ作成部２４と、追跡情報解析部２２並びにＩＤＳ部２のＩＤＳパケット解析部１１からの指令を受けて、追跡要求メッセージ作成部２４に追跡要求メッセージを作成させる追跡制御部２５と、発信源探査システムにおける中継装置Ｒｎの物理的接続関係等を定義したトポロジマップ情報を格納したトポロジマップデータベース２６とを備える。
【００３３】
トポロジマップデータベース２６に記憶されたトポロジマップ情報は、追跡要求メッセージの送信先となる中継装置Ｒｎを特定するために追跡制御部２５で参照される。このトポロジマップ情報は、図３に示すように、発信源探査システムを構成する中継装置ＲｎのＩＤ（Ｒ１，Ｒ２，Ｒ３，Ｒ４，Ｒ５，Ｒ６・・・）ごとに、当該中継装置ＲｎのインターフェースのＩＰアドレスと、隣接する中継装置ＲｎのＩＤと、追跡端末Ｍからの追跡要求メッセージに対して追跡情報メッセージを返信するという追跡機能の有無とが格納されている。このトポロジマップ情報は、入力部４を介して発信源探査システムのユーザによって更新できるようになっている。例えば、ある追跡機能を有する中継装置Ｒｎが故障した場合には、当該中継装置Ｒｎの追跡機能の有無情報を、「追跡機能なし」に更新できる。
【００３４】
追跡情報メッセージ検出部２１は、通信インターフェース部１で受信したメッセージのうち、中継装置Ｒｎから送信された追跡情報メッセージを検出し、追跡情報解析部２２に渡す。追跡情報解析部２２は、追跡情報メッセージ検出部２１で受信した追跡情報メッセージを解析し、解析結果である攻撃端末Ａｎの追跡結果情報をリンクリストデータベース２３に保存する。
【００３５】
このリンクリストデータベース２３に保存される内容は、一例を図４に示すように、追跡情報メッセージのＩＤと、攻撃パケットを追跡する経路のＩＤ（追跡ＩＤ）と、追跡端末Ｍでの追跡情報メッセージの受信時間と、追跡情報メッセージを送信した中継装置Ｒｎの後方側（送信元側）機器のＩＰアドレスと、追跡情報メッセージを送信した中継装置Ｒｎと当該中継装置Ｒｎの後方側（攻撃端末Ａｎ側）装置との接続関係を特定するＩＰアドレス（又はＭＡＣアドレス）のペアである後方リンク情報と、追跡情報メッセージを送信した中継装置Ｒｎと当該中継装置Ｒｎの前方側（送信先、被害端末Ｖ側）装置との接続関係を特定するＩＰアドレスのペアとである。これらのうち、追跡情報解析部２２は、追跡情報メッセージの受信時間を図示しないタイマ等から取得し、追跡情報メッセージから後方側機器ＩＰアドレスと後方リンク情報と前方リンク情報とを取得して、リンクリストデータベース２３に記憶させる。
【００３６】
また、追跡情報解析部２２は、追跡情報メッセージに含まれている後方側機器ＩＰアドレスを追跡制御部２５に渡す。追跡制御部２５は、トポロジマップデータベース２６を参照しながら、追跡情報解析部２２から受け取った後方側機器ＩＰアドレスに基づいて、既に追跡要求済みか否かの確認、追跡機能を有する中継装置Ｒｎかの確認、追跡機能を有しない中継装置であるならば近くにある追跡機能を有する中継装置ＲｎのＩＰアドレスのリストアップを行う。そして、追跡制御部２５は、追跡要求メッセージを送信すべき中継装置ＲｎのＩＰアドレスをトポロジマップデータベース２６から取り出して、追跡要求メッセージ作成部２４に渡す。
【００３７】
これに応じて、追跡要求メッセージ作成部２４は、追跡制御部２５が指定したＩＰアドレス全てを宛先ＩＰアドレスとした追跡要求メッセージを生成して、通信インターフェース部１から追跡要求メッセージを送信させる。ここで、追跡要求メッセージ作成部２４で作成する追跡要求メッセージに含まれるパラメータは、入力部４によって設定された値等を使用する。この追跡要求メッセージに含まれるパラメータとは、例えば、追跡要求メッセージが受信されないときに無限巡回することを防止するためのタイムアウト時間や、追跡要求メッセージの再送回数の上限値等である。
【００３８】
なお、上述の追跡端末Ｍは、ＩＤＳ部２と発信源追跡部３とを単一の装置で構成した場合について説明したが、ＩＤＳ部２と発信源追跡部３とを別体に設けても良い。
【００３９】
「中継装置の構成」
追跡機能を有する中継装置Ｒｎは、図５に示すように、追跡要求メッセージの受信及び追跡情報メッセージの送信をはじめ、中継するＩＰパケットの送受信を行う通信インターフェース部３１と、ＩＰパケットの中継をするためルーティング処理を行うルータ機能部３２と、当該中継装置Ｒｎで受信したＩＰパケットが追跡対象の特徴と一致するかの解析処理等を行う発信源追跡機能部３３とを備えている。
【００４０】
通信インターフェース部３１は、通信線に接続されてＯＳＩ（Open Systems Interconnection）参照モデルのレイヤ１に相当する処理を行う物理層インターフェース４１と、レイヤ２に相当する処理を行うデータリンク層インターフェース４２とを備えており、ルータ機能部３２及び発信源追跡機能部３３は、それぞれ後者のデータリンク層インターフェース４２と接続されている。
【００４１】
ルータ機能部３２は、データリンク層インターフェース４２からデータリンクフレーム（ここでは、ＭＡＣフレームをいう）を取り込み、そのフレームデータに含まれるＯＳＩ参照モデルにおけるレイヤ３に相当するネットワーク層ヘッダの宛先アドレス（ＩＰアドレス）を参照して、所定の中継装置又は端末へとＩＰパケットの中継制御を行うルーティング制御部５１と、当該中継制御に用いるテーブルであって、宛先ＩＰアドレスに対応する送信インターフェースが格納されたルーティングテーブル５２と、ＩＰアドレスに対応するＭＡＣ（Media Access Control）アドレスが格納されたＡＲＰ（Address Resolution Protocol）テーブル５３とを備えている。
【００４２】
このルータ機能部３２は、追跡要求メッセージを含まないＭＡＣフレームがデータリンク層インターフェース４２から供給されると、当該ＭＡＣフレームに含まれるＩＰアドレスから送信する中継装置Ｒｎ又は端末をルーティングテーブル５２及びＡＲＰテーブル５３を参照して認識して、ＭＡＣアドレスを変更したＭＡＣフレームを通信インターフェース部３１から送信させる。
【００４３】
発信源追跡機能部３３は、データリンク層インターフェース４２からＭＡＣフレームを取り込み、そのフレームヘッダに含まれるデータリンクアドレス（ここでは、ＭＡＣアドレスをいう）を取得するデータリンクアドレス検出部６１と、ＩＰパケットである当該フレームデータが、追跡対象のＩＰパケットの特徴情報と一致するか判別するパケット解析部６２と、当該追跡対象のＩＰパケットの特徴情報を格納する特徴情報データベース６３とを備えている。また、発信源追跡機能部３３は、発信源追跡処理を継続する時間を計時するタイマー部６４と、そのタイマー部６４とパケット解析部６２から送信される情報を基に、追跡情報メッセージを作成するために必要な各種情報を取得する発信源追跡制御部６５と、特徴と一致したＩＰパケットが通過したインターフェースの情報を含む追跡情報メッセージを作成する追跡情報メッセージ作成部６６とを備えている。なお、この追跡機能を有する中継装置Ｒｎにおける動作の詳細については後述する。
【００４４】
また、追跡機能を有しない中継装置Ｒｎは、図５における発信源追跡機能部３３を無くして、通信インターフェース部３１とルータ機能部３２とを備えた構成となっている。
【００４５】
このように構成された発信源探査システムにおいて、追跡端末Ｍは、中継装置Ｒ２と被害端末Ｖの間の通信を監視しており、ＩＤＳパケット解析部１１で不正アクセスパターンデータベース１２を参照して、攻撃パターンに相当するか解析を行う。ＩＤＳパケット解析部１１は、攻撃パターンであることを検知した場合に、追跡要求メッセージ作成部２４に攻撃パケットの特徴情報を含む追跡要求メッセージを作成させて、通信インターフェース部１から送信させる。
【００４６】
これに対し、追跡機能を有する中継装置Ｒｎは、特徴情報に一致するＩＰパケットを受信した場合に、図４に示した後方側機器ＩＰアドレスと、後方リンク情報と、前方リンク情報とを含む追跡情報メッセージを追跡端末Ｍに返信し、追跡端末Ｍは、当該後方リンク情報及び前方リンク情報をリンクリストデータベース２３に登録すると共に、後方側機器のＩＰアドレスからトポロジマップデータベース２６を参照して次に追跡要求メッセージを送信する中継装置Ｒｎを決定して追跡要求メッセージを送信する。このように、追跡要求メッセージを追跡機能を有する中継装置Ｒｎのみに送信して、追跡情報メッセージを受信してリンクリストデータベース２３を更新する処理を繰り返すことにより、何れかの中継装置Ｒｎに接続された端末を攻撃端末Ａｎとして認識できる。
【００４７】
この攻撃パケットの特徴情報とは、送信元ＩＰアドレス、宛先ＩＰアドレス、上位プロトコルの種類等のＩＰヘッダの情報をはじめ、トランスポート層以上のプロトコルの情報であっても良く、例えば、ＴＣＰ（Transmission Control Protocol）や、ＵＤＰ（User Datagram Protocol）の宛先ポート番号等の情報をいい、それぞれ単独又はそれらの組み合わせで特徴情報を構成する。なお、アドレス等は必ずしも単独である必要はなく、例えば、送信元ＩＰアドレス0.0.0.0〜255.255.255.255、宛先ＩＰアドレス133.254.181.0〜133.254.182.0、ポート番号0〜1024などの範囲があるものであっても良い。
【００４８】
つぎに、上述したように構成された追跡端末Ｍ及び中継装置Ｒｎにより、被害端末Ｖに攻撃を与えた攻撃端末Ａｎを特定する処理について図６乃至図８のフローチャート、図１の発信源探査システム構成を参照して説明する。
【００４９】
先ず、追跡端末Ｍは、被害端末Ｖの通信を常に監視しており、具体的には、通信インターフェース部１によりＩＰパケットを取得して、そのパケットデータをＩＤＳパケット解析部１１に送信し、ＩＤＳパケット解析部１１では、不正アクセスパターンデータベース１２を参照して、ＩＰパケットのパケット送信パターンが被害端末Ｖへの攻撃パターンに該当するか解析を行う。そして、攻撃端末Ａｎから被害端末Ｖに対して、攻撃パケットが送信され、当該攻撃パケットのコピーパケットを通信インターフェース部１で取得すると、追跡端末ＭのＩＤＳパケット解析部１１は、攻撃パターンであることを検知すると共に特徴情報を作成して（図６、ステップＳ１）、発信源追跡部３に攻撃パケットの特徴情報を含む追跡要求メッセージ作成要求を送信する。
【００５０】
発信源追跡部３は、追跡要求メッセージ作成要求を受信すると、ステップＳ２において、追跡制御部２５によりトポロジマップデータベース２６を参照して、最初に追跡要求メッセージを送信する中継装置Ｒｎを決定して、要求予定リストを作成する。この要求予定リストは、被害端末Ｖから最も近いホップ数でＩＰパケットが送信できる追跡機能を有する中継装置Ｒｎを表すＩＤであり、複数の追跡機能を有する中継装置Ｒｎが存在する場合もある。なお、被害端末Ｖの最寄りの中継装置Ｒｎ、すなわち図１における中継装置Ｒ２のＩＰアドレスが、入力部４を介してユーザによって予め登録されていても良い。また、追跡要求メッセージの送信済かを示す要求済リストを空の初期化状態にしておく。
【００５１】
次に、発信源追跡部３は、ステップＳ３において、追跡要求メッセージ作成部２４により、攻撃パケットの特徴情報を格納した追跡要求メッセージを作成して、通信インターフェース部１から送信させる。
【００５２】
この追跡要求メッセージの作成・送信処理は、図７に示すように、ステップＳ２で作成した要求予定リストから、一つの中継装置ＲｎのＩＤに対応したＩＰアドレスを取り出し（ステップＳ３１）、当該取り出したＩＰアドレスを有する中継装置ＲｎのＩＤを要求済リストに追加する（ステップＳ３２）。これは、同じＩＰアドレスに重複して同じ追跡要求メッセージを送信しないためである。
【００５３】
次に追跡要求メッセージ作成部２４は、ステップＳ３３において、ステップＳ３１で取り出したＩＰアドレスを宛先アドレスとし、追跡要求である旨の情報、複数の追跡経路を形成する場合に各経路を区別するための追跡ＩＤ、追跡情報集約数の上限値、追跡情報取得数の上限値、発信源追跡処理を継続する時間、特徴情報を含んだ追跡要求メッセージを作成する。ここで、追跡情報集約数の上限値、追跡情報取得数の上限値を追跡要求メッセージのパラメータとして設定するのは、追跡機能を有する中継装置Ｒｎが通常の通信に係わる通信パケットを攻撃パケットの特徴情報に該当すると判定して、通常の通信パケットの特定を行うための追跡情報メッセージを送信させないためである。
【００５４】
なお、追跡要求メッセージ作成部２４は、追跡要求メッセージの作成時に、自己のバッファ（図示せず）に、追跡ＩＤと特徴情報とを対応づけて格納しておく。また、このメッセージの作成は、例えば、ＵＤＰ、ＴＣＰ、ＩＣＭＰ（Internet Control Message Protocol）、ＳＮＭＰ（Simple Network Management Protocol）などの通信プロトコルを利用して形成しても良いものである。そして、このようにして作成された追跡要求メッセージは、通信インターフェース部１より、中継装置Ｒｎへと送信される（ステップＳ３４）。
【００５５】
次に、追跡端末Ｍの通信インターフェース部１により、追跡要求メッセージの送信が成功したか否かを判定し（ステップＳ３５）、成功して要求予定リストが空となった場合には、追跡要求メッセージの送信処理を終了して図６のステップＳ４に処理を進める。
【００５６】
一方、追跡要求メッセージの送信が成功したが、要求予定リストが空ではない場合には、他の中継装置Ｒｎに追跡要求メッセージを送信するために、ステップＳ３１〜ステップＳ３５の処理を繰り返す。例えば、要求予定リストに中継装置Ｒ４，Ｒ６のＩＤが登録されている場合には、それぞれの中継装置についてステップＳ３１〜ステップＳ３５の処理を繰り返す。
【００５７】
また、中継装置の故障、攻撃による通信の遮断などによる不具合によって追跡要求メッセージの送信に成功しなかった場合には、ステップＳ３５からステップＳ３７に処理を進める。このステップＳ３７以降の処理は、一部の中継装置に不具合が生じても追跡を継続させるために、追跡要求メッセージが送信できなかった中継装置から近隣の中継装置のＩＤを要求予定リストに加える（ステップＳ３７〜ステップＳ４３）。
【００５８】
先ずステップＳ３７において、追跡要求メッセージ作成部２４は、図示しないメモリ上に記憶しておいた追跡要求メッセージの送信先とする中継装置Ｒｎの候補をリスト化した候補リストの内容を空に初期化する。
【００５９】
次に追跡要求メッセージ作成部２４は、追跡要求メッセージの送信に失敗した中継装置について、トポロジマップデータベース２６のトポロジマップ情報を参照することで、当該中継装置から隣接する全ての中継装置のＩＤを取出して、当該ＩＤを候補リストに加える（ステップＳ３８）。
【００６０】
次に追跡要求メッセージ作成部２４は、候補リストから中継装置のＩＤを一つ取出し（ステップＳ３９）、当該中継装置のＩＤが要求済みリスト又は要求予定リストに登録されていれば（ステップＳ４０）、候補リストが空になっているか否かを判定して、空になるまでステップＳ３９以降の処理を繰り返す（ステップＳ４３）。
【００６１】
ステップＳ３９で候補リストから取り出した中継装置のＩＤが要求済みリストと要求予定リストの何れにもに登録されていない場合（ステップＳ４０）、トポロジマップ情報から当該中継装置に追跡機能が実装されているか否かを確認する（ステップＳ４１）。そして、追跡機能が実装されていなければ、当該中継装置のＩＤを要求済リストに追加して（ステップＳ４４）、ステップＳ３８に処理を戻す。一方、追跡機能が実装されている場合（ステップＳ４１）、当該中継装置のＩＤを要求予定リストに追加し（ステップＳ４２）、ステップＳ４３において候補リストが空になるまでステップＳ３９以降の処理を繰り返す。
【００６２】
これにより、追跡要求メッセージ作成部２４は、一部の追跡機能を有する中継装置Ｒｎに不具合が発生して、追跡要求メッセージが送信不能となっている場合には、当該中継装置Ｒｎに近い追跡機能を有する中継装置Ｒｎを検索して、要求予定リストに追加することができる。また、追跡機能を有する中継装置Ｒｎとしてトポロジマップ情報に登録していた中継装置Ｒｎが追跡要求メッセージの受信不能となった場合には、当該中継装置Ｒｎをトポロジマップ情報から削除して、新たに要求予定リストに追加した中継装置ＲｎのＩＤを追加しても良い。
【００６３】
一方、追跡端末Ｍから追跡要求メッセージが送信された追跡機能を有する中継装置Ｒｎは、図６のステップＳ４において、追跡要求メッセージを受信する。このとき、中継装置Ｒｎは、追跡要求メッセージを、物理層インターフェース４１を介してデータリンク層インターフェース４２へと送り、当該データリンク層インターフェース４２では、ＭＡＣフレームを抽出してパケット解析部６２へと送信する。パケット解析部６２では、そのＭＡＣフレームのフレームデータを参照して、それが追跡要求メッセージであることを検出すると、当該追跡要求メッセージに含まれる特徴情報を特徴情報データベース６３に格納し、追跡ＩＤ、追跡情報集約数の上限値、追跡情報取得数の上限値、発信源追跡処理を継続する時間を発信源追跡制御部６５へと送信する。そして、発信源追跡制御部６５では、タイマー部６４を動作させて発信源追跡処理を継続する時間の計時を開始し（ステップＳ５）、中継装置Ｒｎは、ルーティングのみを行う通常モードから、攻撃端末Ａｎの特定をする追跡モードへと移行する。なお、データリンク層インターフェース４２で抽出されたＭＡＣフレームは、ルーティング制御部５１にも送信されるが、当該ルーティング制御部５１は、ＭＡＣフレームに含まれるパケットヘッダの宛先アドレスからルーティングテーブル５２を参照して、そのＩＰパケットが自己宛てであることを認識するので中継動作は行われない。
【００６４】
この追跡モードに移行した場合、パケット解析部６２は、特徴情報データベース６３を参照して、インターフェース毎（前方の被害端末Ｖ又は中継装置Ｒｎ、後方の攻撃端末Ａｎ側の中継装置Ｒｎが接続されているポート毎）にフレームデータを監視し（ステップＳ６）、当該フレームデータが追跡対象のＩＰパケット（攻撃パケット）であること認識すると、その旨を発信源追跡制御部６５へと送信する（ステップＳ７）。このとき、発信源追跡制御部６５では、パケット解析部６２から、中継装置Ｒｎが受信した攻撃パケットを含むＭＡＣフレームのヘッダと、その攻撃パケットがルータ機能部３２によって中継され、再びＭＡＣフレームに格納された際の、そのＭＡＣフレームのヘッダをバッファに格納する（バッファは図示せず）。つまり、攻撃パケットについて中継装置Ｒ２から送信された追跡情報メッセージからは、後方側機器のＩＰアドレスとして中継装置Ｒ１のＩＰアドレスを受信でき、前方側の被害端末ＶのＩＰアドレスと中継装置Ｒ２のＩＰアドレスとの組を前方リンク情報として取得でき、後方側の中継装置Ｒ１と中継装置Ｒ２のＩＰアドレスとの組を後方リンク情報として取得できる。
【００６５】
一方、監視しているフレームデータが追跡対象ではない場合には、発信源追跡処理を継続する時間を超えているか判断して（ステップＳ１６）、超えていない場合にはステップＳ６及びステップＳ７を繰り返す。
【００６６】
追跡対象のＩＰパケットを検出した場合、発信源追跡制御部６５は、追跡情報集約数に１を加えて（ステップＳ８）、その追跡情報集約数が上限値を超えた場合に（ステップＳ９）、追跡情報メッセージを作成する（ステップＳ１０）。追跡情報集約数の上限値を超えていない場合には、当該追跡情報メッセージは作成されず（同ステップＳ１０）、タイムアップしていない限りインターフェース毎のＩＰパケットの監視が継続される（ステップＳ１６，ステップＳ６，ステップＳ７）。このように、攻撃パケットの特徴と一致するＩＰパケットを複数回検出した場合（当該上限値を超えた場合）に初めて、追跡情報メッセージが作成されて、送信される。
【００６７】
上述の追跡情報メッセージの作成について、さらに言及すると、発信源追跡制御部６５は、追跡要求メッセージの発信元である追跡端末ＭのＩＰアドレスを宛先アドレスとし、さらに後方リンク情報から、後方側機器である中継装置ＲｎのＭＡＣアドレスを抽出する。次に、発信源追跡制御部６５は、抽出したＭＡＣアドレスからＡＲＰテーブル５３を参照して、当該後方の中継装置ＲｎのＩＰアドレスを求め、そのＩＰアドレスと、追跡ＩＤ、前方リンク、後方リンクの各情報を追跡情報メッセージ作成部６６へと送信する。このとき、攻撃があったことのログとしての利用や、追跡端末Ｍ等にて詳細な解析を行うために、パケット解析部６２で検出した攻撃パケットのデータを含めるようにしても良い。
【００６８】
そして、これらの各情報を受信した追跡情報メッセージ作成部６６では、当該各情報と追跡情報である旨を格納したパケットデータを作成し（ステップＳ１０）、ルーティング制御部６０へと送信する。なお、このパケットデータは、上述したＵＤＰなどにより構成しても良い。次に、ルーティング制御部５１は、宛先アドレスである追跡端末ＭのＩＰアドレスを、ルーティングテーブル５２を参照して、対応するインターフェースを求め、そのインターフェースの情報と共に、パケットデータをデータリンク層インターフェース４２へと送信する。そして、上述の各情報が含まれた追跡情報メッセージが追跡端末Ｍへと送信される（ステップＳ１１）。
【００６９】
追跡情報メッセージが送信されると、追跡端末Ｍは、追跡機能を有する中継装置Ｒｎから送信された追跡情報メッセージであることを追跡情報メッセージ検出部２１にて検出し、その旨と追跡情報メッセージに格納された各種情報を追跡情報解析部２２へと渡す（ステップＳ２０）。追跡情報解析部２２では、リンクリストデータベース２３に、当該追跡情報メッセージを検出した旨を受信した時間と、追跡ＩＤ、後方側機器のＩＰアドレス、後方側リンク情報、前方側リンク情報を格納して、図４に示したような追跡結果情報を作成する（ステップＳ２１）。
【００７０】
次に追跡端末Ｍは、追跡情報メッセージに含まれている後方側機器のＩＰアドレスを追跡情報解析部２２から追跡制御部２５に渡す。そして、追跡制御部２５は、当該ＩＰアドレスに基づいて、以降に追跡要求メッセージの送信先となる追跡機能を有する中継装置Ｒｎのリストである要求予定リストの作成を行い（ステップＳ２２）、当該要求予定リストに中継装置ＲｎのＩＤがある場合には攻撃パケットの追跡が可能であるのでステップＳ３以降に処理を戻し、要求予定リストに中継装置ＲｎのＩＤがない場合には攻撃パケットの追跡が不能であるので処理を終了する。
【００７１】
このステップＳ２２において要求予定リストを作成する処理を図８に示すように、先ず追跡制御部２５は、メモリに記憶させる候補リストを初期化してＩＰアドレスが登録されていない状態とし（ステップＳ５１）、次にステップＳ２０で受信した追跡情報メッセージに含まれている後方側機器ＩＰアドレスを取出す（ステップＳ５２）。
【００７２】
次に追跡制御部２５は、ステップＳ５２で取り出した後方側機器ＩＰアドレスが、トポロジマップデータベース２６に登録されている中継装置ＲｎのＩＰアドレスか否かを判定して（ステップＳ５３）、中継装置ＲｎのＩＰアドレスではない場合には、攻撃端末Ａｎの可能性がある端末であるとして、攻撃端末リストに追加して処理を終了する（ステップＳ５４）。
【００７３】
一方、ステップＳ５２で取得したＩＰアドレスが、中継装置ＲｎのＩＰアドレスである場合には、当該ＩＰアドレスに対応する中継装置のＩＤを候補リストに追加する（ステップＳ５５）。そして、次のステップＳ５６〜ステップＳ６１は、図７におけるステップＳ３８〜ステップＳ４４と同様の処理を行うことにより、候補リストに加えられた中継装置Ｒｎごとに要求済か否か、追跡機能を有するか否かを判定して、要求済又は既に要求予定リストに加えられておらず且つ追跡機能を有する中継装置Ｒｎである場合に、当該中継装置Ｒｎを新たに要求予定リストに追加することになる。
【００７４】
このような処理を行うことにより、追跡情報メッセージに含まれている後方側機器ＩＰアドレスに対応する中継装置Ｒｎが追跡機能を有していなくても、当該中継装置Ｒｎの近くにある追跡機能を有する中継装置Ｒｎを追跡要求メッセージの送信先とでき、攻撃パケットの追跡を継続できる。
【００７５】
このように要求予定リストを作成すると、ステップＳ３において、発信源追跡機能部３３では、要求予定リストを参照して次回に追跡要求メッセージの送信先となる追跡機能を有する中継装置Ｒｎを求めて、追跡ＩＤから自己のバッファに格納した特徴情報を読み出し、当該後方側機器宛に、追跡要求である旨、追跡ＩＤ、追跡情報集約数の上限値、追跡情報取得数の上限値、発信源追跡処理を継続する時間、そして読み出した特徴情報を含んだ追跡要求メッセージを作成して、後方側機器に追跡要求メッセージが送信されることになる。このような処理を繰り返すことにより、図２に示す追跡端末Ｍのリンクリストデータベース２３に、追跡情報が順次格納されていくので、これらの情報を繋ぎ合わせることで、攻撃端末Ａｎ等を特定することができる。
【００７６】
ところで、再び中継装置Ｒｎの動作フローについて着目すると、追跡情報メッセージを追跡端末Ｍへと送信させた後（ステップＳ１１）、中継装置Ｒｎの発信源追跡制御部６５では、追跡情報取得数に１を加え（ステップＳ１２）、その取得数が上限値を超えていた場合には（ステップＳ１３）、追跡情報メッセージが大量に送信されることを防ぐために、追跡処理を終了する。このとき、追跡情報集約数及び追跡情報取得数をリセットさせる（ステップＳ１４）。一方、追跡情報取得数の上限値に達していない場合には、既に追跡情報メッセージが送信されたことから、追跡情報集約数をリセットし（ステップＳ１５）、発信源追跡処理を継続する時間を超えているか判断する（ステップＳ１６）。なお、このステップＳ１６は、ＩＰパケットを受信したが、追跡対象のＩＰパケット（攻撃パケット）ではなかった場合や（ステップＳ７）、追跡情報集約数の上限値に達していなかった場合（ステップＳ９）にも、発信源追跡処理を継続するか否かが判断される（ステップＳ１６）。
【００７７】
そして、発信源追跡制御部６５は、発信源追跡処理を継続する時間を超えていなかった場合には（ステップＳ１６）、継続して、パケット解析部６２に、インターフェース毎にパケットデータを監視させるようになっている（ステップＳ６）。一方、発信源追跡処理を継続する時間を超えた場合であって（ステップＳ１６）、追跡情報メッセージ作成部６６に対して、当該追跡情報メッセージの作成を要求しておらず、かつ追跡対象のＩＰパケット（攻撃パケット）の特徴に一度でも一致している場合には（ステップＳ１７）、ステップＳ１０、Ｓ１１と同様にして、追跡情報メッセージを作成し（ステップＳ１８）、その作成したメッセージを追跡端末Ｍへと送信するようになっている（ステップＳ１９）。
【００７８】
「追跡端末Ｍ及び中継装置Ｒｎの動作例」
つぎに、上述したような処理を行う追跡端末Ｍ及び中継装置Ｒｎにおいて、図９（ａ）に示すように、攻撃端末Ａｎが攻撃端末Ａ１と攻撃端末Ａ２とで構成されて、攻撃端末Ａ１からは攻撃パケットＰ１ａが中継装置Ｒ４，中継装置Ｒ１，中継装置Ｒ２を介して被害端末Ｖに送信され、攻撃端末Ａ２からは攻撃パケットＰ１ｂが中継装置Ｒ６，中継装置Ｒ５，中継装置Ｒ２を介して被害端末Ｖに送信される場合について説明する。ここで、中継装置Ｒ１，Ｒ５は追跡機能を有しないものであり、中継装置Ｒ２，Ｒ３，Ｒ４，Ｒ６は追跡機能を有して図６に示した処理を行うものである。また、追跡端末Ｍのトポロジマップデータベース２６には、図３に示したトポロジマップ情報が格納されているものとする。
【００７９】
図９（ａ）に示すように、攻撃端末Ａ１から攻撃パケットＰ１ａが送信され、且つ、攻撃端末Ａ２から攻撃パケットＰ１ｂが送信されて、被害端末Ｖへの攻撃が開始されると、被害端末Ｖでは、攻撃端末Ａ１、Ａ２からのそれぞれ攻撃パケットＰ１ａ、Ｐ１ｂを受信する。このとき、中継装置Ｒ２から被害端末Ｖに伝送される攻撃パケットＰ１ａ，Ｐ１ｂのコピーパケットＰ２ａ，Ｐ２ｂは、追跡端末Ｍに伝送される。
【００８０】
追跡端末Ｍは、攻撃パケットのコピーパケットＰ２ａ，Ｐ２ｂを受信すると、ＩＤＳ部２のＩＤＳパケット解析部１１及び不正アクセスパターンデータベース１２によって攻撃検出を行って、攻撃の検出に成功すると（ステップＳ１）、追跡動作を開始して被害端末Ｖの最寄りの追跡機能を有する中継装置Ｒ２に、特徴情報（宛先、プロトコル番号、ポート番号、その他パケットのデータ部など）を含む追跡要求メッセージＰ３を送信する（ステップＳ２，ステップＳ３）。追跡要求メッセージを受信した中継装置Ｒ２は、パケットの監視を開始する（ステップＳ４〜ステップＳ６）。
【００８１】
次に、図９（ｂ）に示すように、攻撃端末Ａ１から再び攻撃パケットＰ４が送信されると、中継装置Ｒ２は、当該攻撃パケットＰ４が、以前に取得した攻撃パケットＰ１ａ，Ｐ１ｂの特徴情報と一致するかをチェックする（ステップＳ７）。そして、攻撃パケットＰ１ａの特徴と一致していることが判明すると、後方側機器のＩＰアドレスである中継装置Ｒ１のＩＰアドレスと、後方リンク情報である中継装置Ｒ１と中継装置Ｒ２のアドレスペアと、前方リンク情報である被害端末Ｖと中継装置Ｒ２とのアドレスペアとを含む追跡情報メッセージＰ５を追跡端末Ｍに送信する（ステップＳ８〜ステップＳ１１）。
【００８２】
追跡情報メッセージＰ５を追跡端末Ｍで受信すると（ステップＳ２０）、追跡情報解析部２２は、追跡情報メッセージＰ５から図４におけるインデックス「１」の追跡結果情報を作成すると共に、追跡情報メッセージＰ５に含まれている後方側機器のＩＰアドレスである中継装置Ｒ１のＩＰアドレスを取り出す（ステップＳ２１）。しかし、トポロジマップデータベース２６のトポロジマップ情報から中継装置Ｒ１が追跡機能を持っていないことが分かるので、追跡制御部２５により、中継装置Ｒ１に代えて、中継装置Ｒ１に隣接する中継装置Ｒ３と中継装置Ｒ４とに追跡要求メッセージを送信することを決定する。このとき、追跡端末Ｍは、図８におけるステップＳ５１〜ステップＳ５３、ステップＳ５５〜ステップＳ６１の処理を行って、要求予定リストを作成する。そして、要求予定リストに従って、追跡端末Ｍは、追跡要求メッセージＰ６ａを中継装置Ｒ３に送信し、追跡要求メッセージＰ６ｂを中継装置Ｒ４に送信する（ステップＳ２３，ステップＳ３）。
【００８３】
次に、図９（ｃ）に示すように、攻撃端末Ａ１から更に再び攻撃パケットＰ７が送信されると、当該攻撃パケットＰ７は、中継装置Ｒ４に受信される。中継装置Ｒ４は、攻撃パケットＰ７が攻撃パケットＰ１ａの特徴情報に一致することから、後方側機器のＩＰアドレスである攻撃端末Ａ１のＩＰアドレスと、後方リンク情報である攻撃端末Ａ１と中継装置Ｒ４のアドレスペアと、前方リンク情報である中継装置Ｒ１と中継装置Ｒ４とのアドレスペアとを含む追跡情報メッセージＰ８を追跡端末Ｍに送信する（ステップＳ７〜ステップＳ１１）。
【００８４】
追跡情報メッセージＰ８を追跡端末Ｍで受信すると（ステップＳ２０）、追跡情報解析部２２は、追跡情報メッセージＰ８から図４におけるインデックス「２」の追跡結果情報を作成すると共に、追跡情報メッセージＰ８に含まれている後方側機器のＩＰアドレスである攻撃端末Ａ１のＩＰアドレスを取り出す（ステップＳ２１）。この攻撃端末Ａ１のＩＰアドレスは、トポロジマップデータベース２６に記憶されている中継装置ＲｎのＩＰアドレスの何れにも該当しないので、攻撃端末リストに攻撃端末Ａ１のＩＰアドレスを格納する（ステップＳ２２のステップＳ５１〜ステップＳ５４）。
【００８５】
これによって、攻撃端末Ａ１の追跡が完了し、リンクリストデータベース２３のインデックス１，２の欄を参照して繋ぎ合わせることによって、攻撃パケットＰ１ａが被害端末Ｖに受信されるまでの経路を確認できる。
【００８６】
また、図１０（ａ）に示すように、攻撃端末Ａ１から再び攻撃パケットＰ９が送信されると、中継装置Ｒ２は、当該攻撃パケットＰ９が、以前に取得した攻撃パケットＰ１ｂの特徴情報と一致するので（ステップＳ７）、後方側機器のＩＰアドレスである中継装置Ｒ５のＩＰアドレスと、後方リンク情報である中継装置Ｒ５と中継装置Ｒ２のアドレスペアと、前方リンク情報である被害端末Ｖと中継装置Ｒ２とのアドレスペアとを含む追跡情報メッセージＰ１０を追跡端末Ｍに送信する（ステップＳ８〜ステップＳ１１）。
【００８７】
追跡情報メッセージＰ１０を追跡端末Ｍで受信すると（ステップＳ２０）、追跡情報解析部２２は、追跡情報メッセージＰ１０から図４におけるインデックス「３」の追跡結果情報を作成すると共に、追跡情報メッセージＰ１０に含まれている後方側機器のＩＰアドレスである中継装置Ｒ５のＩＰアドレスを取り出すが（ステップＳ２１）、中継装置Ｒ５が追跡機能を持っていないことが分かるので、追跡制御部２５により、中継装置Ｒ５に代えて、中継装置Ｒ５に隣接する中継装置Ｒ６に追跡要求メッセージＰ１１を送信する（ステップＳ５１〜ステップＳ５３、ステップＳ５５〜ステップＳ６１，ステップＳ２３，ステップＳ３）。
【００８８】
次に、図１０（ｂ）に示すように、攻撃端末Ａ２から更に再び攻撃パケットＰ１２が送信されると、当該攻撃パケットＰ１２は、中継装置Ｒ６に受信される。中継装置Ｒ６は、攻撃パケットＰ１２が攻撃パケットＰ１ｂの特徴情報に一致することから、後方側機器のＩＰアドレスである攻撃端末Ａ２のＩＰアドレスと、後方リンク情報である攻撃端末Ａ１と中継装置Ｒ６のアドレスペアと、前方リンク情報である中継装置Ｒ５と中継装置Ｒ６とのアドレスペアとを含む追跡情報メッセージＰ１３を追跡端末Ｍに送信する（ステップＳ７〜ステップＳ１１）。
【００８９】
追跡情報メッセージＰ１３を追跡端末Ｍで受信すると（ステップＳ２０）、追跡情報解析部２２は、追跡情報メッセージＰ１３から図４におけるインデックス「１」の追跡結果情報を作成すると共に、追跡情報メッセージＰ１３に含まれている後方側機器のＩＰアドレスである攻撃端末Ａ２のＩＰアドレスを取り出す（ステップＳ２１）。この攻撃端末Ａ１のＩＰアドレスは、トポロジマップデータベース２６に記憶されている中継装置ＲｎのＩＰアドレスの何れにも該当しないので、攻撃端末リストに攻撃端末Ａ２のＩＰアドレスを格納する（ステップＳ２２のステップＳ５１〜ステップＳ５４）。
【００９０】
これによって、攻撃端末Ａ２の追跡が完了し、リンクリストデータベース２３のインデックス３，４の欄を繋ぎ合わせることによって、攻撃パケットＰ１ｂが被害端末Ｖに受信されるまでの経路を確認できる。
【００９１】
また、図１１に示すように、追跡機能を有する中継装置Ｒ２の不具合によって、追跡要求メッセージの送信が失敗した場合（ステップＳ３５→ＮＯ）、追跡制御部２５は、トポロジマップデータベース２６のトポロジマップ情報を参照して、中継装置Ｒ２に隣接している中継装置Ｒ１と中継装置Ｒ５に着目する。しかし、中継装置Ｒ１と中継装置Ｒ５は追跡機能を持っていないため、さらにトポロジマップ情報を参照して、追跡機能を有する中継装置Ｒ３、中継装置Ｒ４、中継装置Ｒ６に追跡要求メッセージＰ２ａ、Ｐ２ｂ、Ｐ２ｃを送信する（ステップＳ３７〜ステップＳ４４，ステップＳ３６〜ステップＳ３４）。これにより、追跡端末Ｍは、一部の追跡機能を有する中継装置Ｒｎが故障した場合であっても、追跡機能を有する中継装置Ｒ３，Ｒ４，Ｒ６からの追跡情報メッセージを受信でき、攻撃端末Ａ１，Ａ２を特定できる。
【００９２】
なお、図１１では、追跡端末Ｍから中継装置Ｒ２を経由しないで追跡要求メッセージを中継装置Ｒ３、Ｒ４，Ｒ６に送信するように図示しているが、発信源追跡機能部３３に不具合が発生しているものの中継装置Ｒ２のルータ機能部３２が動作している場合には、中継装置Ｒ２を経由して追跡要求メッセージの送信ができる。
【００９３】
更に、この発信源探査システムが小規模なネットワーク構成である場合に、追跡端末Ｍは、攻撃パケットを検出した時に、トポロジマップデータベース２６のトポロジマップ情報を参照して、当該トポロジマップ情報に登録されている全ての追跡機能を有する中継装置Ｒｎに追跡要求メッセージを一斉配信しても良い。
【００９４】
このような追跡端末Ｍは、要求予定リストの初期設定を行う図６のステップＳ２において、図１２に示すように、先ずステップＳ７１において、トポロジマップ情報に登録されている全ての追跡機能を有する中継装置ＲｎのＩＤを要求予定リストに追加する。そして、図６のステップＳ３において、図７のステップＳ３１に代えて全ての中継装置ＲｎのＩＰアドレスを取り出す処理を行い、ステップＳ３２に代えて、図１２のステップＳ７２に示すように、要求済リストに全ての中継装置ＲｎのＩＰアドレスを追加して、追跡要求メッセージを作成する。そして、図１３に示すように、追跡機能を有する中継装置Ｒ２，Ｒ３，Ｒ４，Ｒ６にそれぞれ追跡要求メッセージＰ１ａ，Ｐ１ｂ，Ｐ１ｃ，Ｐ１ｄの送信を行うことになる（ステップＳ３２，ステップＳ３３）。
【００９５】
これにより、上述したステップＳ２における要求予定リストの初期設定では、被害端末Ｖに最寄りの中継装置Ｒｎのみを登録していたが、追跡機能を有する中継装置Ｒｎ全てのＩＤを要求予定リストに追加して、一斉に追跡要求メッセージを送信することによって、攻撃パケットを追跡する処理を高速化できる。また、一斉に追跡要求メッセージを送信した場合に、要求済リストに全ての追跡機能を有する中継装置Ｒｎを追加することで、無駄な追跡要求メッセージの送信を回避できる。
【００９６】
つぎに、本発明を適用した他の追跡端末Ｍについて説明する。図１４に示すように、追跡端末Ｍは、中継装置Ｒｎ間又は中継装置Ｒｎと端末との間の通信線に接続されて、当該通信線に通過するパケットを監視して、上述の追跡機能を有する中継装置Ｒｎにおける発信源追跡機能部３３が備える機能を実装する追跡専用装置Ｕ１，Ｕ２，Ｕ３（以下、総称する場合には単に「追跡専用装置Ｕｎ」と呼ぶ。）を有する発信源探査システムに備えられる。すなわち、この発信源探査システムは、追跡要求メッセージに対して追跡情報メッセージを返信する発信源追跡機能部３３を、中継装置Ｒｎではなく、追跡専用装置Ｕｎに持たせたものである。
【００９７】
この追跡専用装置Ｕｎは、図１５に示すように、上述の通信インターフェース部３１、物理層インターフェース４１及びデータリンク層インターフェース４２と同様の機能を有する通信インターフェース部７１、物理層インターフェース８１及びデータリンク層インターフェース８２と、上述のパケット解析部６２、特徴情報データベース６３、発信源追跡制御部６５、追跡情報メッセージ作成部６６、タイマー部６４と同様の機能を有するパケット解析部９１、特徴情報データベース９２、発信源追跡制御部９４、追跡情報メッセージ作成部９３、タイマー部９５を備えた発信源追跡機能部７２を備えている。
【００９８】
なお、図１５に示す追跡専用装置Ｕｎの構成では、発信源追跡機能部７２に、図５におけるデータリンクアドレス検出部６１又はＡＲＰテーブル５３が図示されていないが、中継装置ＲｎのＭＡＣアドレスをＩＰアドレスに変換するＡＲＰ機能又は対応表は、発信源追跡制御部９４内に実装しておくものとする。
【００９９】
このような追跡専用装置Ｕｎは、追跡端末Ｍから追跡要求メッセージを受信すると、当該追跡要求メッセージに含まれる追跡ＩＤと特徴情報とを特徴情報データベース９２に格納しておき、特徴情報に一致するＩＰパケットを検出した場合には、追跡情報メッセージを追跡端末Ｍに返信する。このとき、追跡専用装置Ｕｎの発信源追跡制御部９４は、追跡情報メッセージに含める前方リンク情報又は後方リンク情報として、攻撃パケットが通過した通過リンクの前方（パケット送信元）の中継装置ＲｎのＩＰアドレスと後方（パケット送信先）の中継装置ＲｎのＩＰアドレスとを取得し、後方側機器のＩＰアドレスとしてパケット送信元側の中継装置ＲｎのＩＰアドレスを取得する。そして、追跡情報メッセージ作成部９３は、通過リンクの前方の中継装置ＲｎのＩＰアドレスと後方の中継装置ＲｎのＩＰアドレスを後方リンク情報とし、前方リンク情報を格納していない追跡情報メッセージを作成して、通信インターフェース部７１から追跡端末Ｍに送信させる。
【０１００】
このような追跡専用装置Ｕｎを発信源探査システムに備えた場合、追跡端末Ｍのトポロジマップデータベース２６には、図１６に示すような中継装置Ｒｎ間の物理的接続関係を定義したトポロジマップ情報と、図１７に示すような中継装置Ｒｎに対する追跡専用装置Ｕｎの接続関係を定義した追跡装置配置情報とが格納されている。この追跡装置配置情報は、追跡専用装置ＵｎのＩＤと、追跡専用装置ＵｎのＩＰアドレスと、隣接する中継装置ＲｎのＩＤとが対応付けられている。この追跡装置配置情報は、予め入力部４によって入力されて、トポロジマップデータベース２６に格納されている。なお、図１６に示すトポロジマップ情報は、全ての中継装置Ｒｎが追跡機能を有しない場合である。追跡端末Ｍの追跡制御部２５は、追跡要求メッセージを送信するに際して、要求予定リストに追跡専用装置Ｕｎも含めるようにする。
【０１０１】
このような追跡専用装置Ｕｎを有した発信源探査システムにおいては、上述のステップＳ３内の図７の追跡要求メッセージの送信処理（ステップＳ３１〜ステップＳ４４）に加えて、図１８に示すように、ステップＳ３７の次にステップＳ８１及びステップＳ８２の処理を行う。また、上述のステップＳ２２内の図８の要求予定リストの作成処理のステップＳ６２に代えて、図１９のステップＳ９１及びステップＳ９２の処理を行う。
【０１０２】
このステップＳ８１の処理は、図１８に示すように、追跡機能を有しない中継装置Ｒｎへの追跡要求メッセージの送信が失敗して（ステップＳ３５）、候補リストを初期化した後に（ステップＳ３７）、要求済リストに登録されていない追跡専用装置Ｕｎを要求予定リスト及び要求済リストに追加する。次に、ステップＳ８２において、隣接する中継装置Ｒｎとの間に追跡専用装置Ｕｎが存在しない中継装置Ｒｎをトポロジマップ情報及び／又は追跡装置配置情報から検索して、当該中継装置ＲｎのＩＤを候補リストに追加する。
【０１０３】
これにより、ステップＳ８２で候補リストに追加された中継装置ＲｎのＩＤがステップＳ３９で取り出されて、追跡機能を有しない中継装置ＲｎのＩＤはステップＳ４０及びステップＳ４１における判定が「ＮＯ」となって要求済リストに追加され、追跡機能を有する中継装置ＲｎのＩＤはステップＳ４２で要求予定リストに追加される。
【０１０４】
その後、追跡端末Ｍは、追跡情報メッセージを受信した場合、追跡情報メッセージに格納される中継装置Ｒｎ及び候補リストに追加された追跡機能を有しない中継装置ＲｎのＩＤについては、ステップＳ５８からステップＳ６１に処理が進められて、要求済リストに追加される。一方、追跡機能を有する中継装置ＲｎについてはステップＳ５９で要求予定リストに追加される。
【０１０５】
ステップＳ９１において、追跡制御部２５は、追跡装置配置情報から、中継装置Ｒｎに隣接する追跡専用装置Ｕｎのうち、要求済リストにない追跡専用装置Ｕｎを全て要求予定リスト及び要求済みリストに加える。その後、ステップＳ９２において、追跡制御部２５は、ステップＳ５５で候補リストに追加した中継装置Ｒｎに隣接する中継装置Ｒｎの中から、間に追跡専用装置Ｕｎのないものをトポロジマップ情報及び追跡専用装置配置情報から検索して、当該検索された中継装置Ｒｎの全てのＩＤを候補リストに加える。これによって、この候補リストに追加された追跡機能を有しない中継装置ＲｎのＩＤは、ステップＳ６１において全て要求済リストに追加される。
【０１０６】
これにより、攻撃パケットの追跡の途中で追跡専用装置Ｕｎがあった場合に、当該中継装置Ｒｎの追跡機能を利用することができる。
【０１０７】
このような追跡専用装置Ｕｎを備える発信源探査システムにおいて、図２０（ａ）に示すように、攻撃端末Ａ１からの攻撃パケットＰ１が、中継装置Ｒ４，中継装置Ｒ１，中継装置Ｒ２を経由して、被害端末Ｖで受信された場合には、追跡端末Ｍによって攻撃が検出できる。ここで、全ての中継装置Ｒ１〜Ｒ５は追跡機能を有しないものであり、攻撃端末Ａ１と中継装置Ｒ４との間に追跡専用装置Ｕ１が設けられ、中継装置Ｒ１と中継装置Ｒ２との間に追跡専用装置Ｕ２が設けられ、中継装置Ｒ１と中継装置Ｒ３との間に追跡専用装置Ｕ３が設けられており、追跡端末Ｍには、図１６に示すトポロジマップ情報と図１７に示す追跡装置配置情報とが記憶されている。
【０１０８】
追跡端末Ｍで攻撃を検出した場合、中継装置Ｒ２には追跡機能が無いために、トポロジマップ情報及び追跡装置配置情報とが参照されて、中継装置Ｒ２に隣接する追跡専用装置Ｕｎとして、中継装置Ｒ２と中継装置Ｒ１との通過リンクに接続された追跡専用装置Ｕ２のＩＰアドレス宛に追跡要求メッセージＰ２が送信される。これにより、追跡専用装置Ｕ２は、中継装置Ｒ１と中継装置Ｒ２との通過リンクに流れるＩＰパケットの監視を開始する。
【０１０９】
次に、図２０（ｂ）に示すように、再度攻撃端末Ａ１から攻撃パケットＰ３が送信されると、追跡専用装置Ｕ２は、当該攻撃パケットＰ３が、以前に取得した攻撃パケットＰ１の特徴情報と一致するので、後方側機器のＩＰアドレスである中継装置Ｒ１のＩＰアドレスと、後方リンク情報である中継装置Ｒ１と中継装置Ｒ２のアドレスペアとを含む追跡情報メッセージＰ４を追跡端末Ｍに送信する。
【０１１０】
追跡情報メッセージＰ４を追跡端末Ｍで受信すると、追跡端末Ｍは、追跡情報メッセージＰ４に含まれている後方側機器のＩＰアドレスとして中継装置Ｒ１のＩＰアドレスを取り出すが、当該中継装置Ｒ１はトポロジマップ情報から追跡機能を有しないものである。したがって、追跡端末Ｍは、追跡装置配置情報から、追跡専用装置Ｕ３と追跡専用装置Ｕ１に追跡要求メッセージを送信することを決定して、追跡要求メッセージＰ５ａ，Ｐ５ｂを、追跡専用端末Ｕ３，Ｕ１に送信する。
【０１１１】
次に、図２０（ｃ）に示すように、更に再度攻撃端末Ａ１から攻撃パケットＰ６が送信されると、追跡専用装置Ｕ１は、当該攻撃パケットＰ６を検出でき、後方側機器のＩＰアドレスとして攻撃端末Ａ１のＩＰアドレスを含む追跡情報メッセージＰ７を追跡端末Ｍに送信できる。そして、追跡端末Ｍは、攻撃端末Ａ１のＩＰアドレスがトポロジマップ情報に含まれていないことを確認して、攻撃端末Ａ１のＩＰアドレスを攻撃端末として記憶できる。
【０１１２】
このように、追跡専用装置Ｕｎを備えることにより、既存のシステムにおいて追跡機能を有する中継装置Ｒｎが存在しない場合であっても、中継装置Ｒｎ間に追跡専用装置Ｕｎを挿入するのみで、中継装置Ｒｎを交換することなく、外付けの機器のみで攻撃パケットの追跡を実現できる。また、発信源探査システムに追跡機能を有する中継装置Ｒｎが存在する場合であっても、追跡専用装置Ｕｎを追加して挿入することにより、追跡情報メッセージを追跡端末Ｍで受信できる確率を高くすることができ、攻撃パケットの追跡精度を向上させることができる。
【０１１３】
なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。
【図面の簡単な説明】
【０１１４】
【図１】追跡機能を有する中継装置を備えた発信源探査システムのシステム図である。
【図２】本発明を適用した追跡端末の構成を示すブロック図である。
【図３】トポロジマップ情報の一例を示す図である。
【図４】複数の追跡情報メッセージから作成した追跡結果情報の一例を示す図である。
【図５】追跡機能を有する中継装置の構成を示すブロック図である。
【図６】追跡機能を有する中継装置を備えた発信源探査システムにおいて、追跡端末及び追跡機能を有する中継装置の処理手順を示すフローチャートである。
【図７】追跡機能を有する中継装置を備えた発信源探査システムにおいて、追跡要求メッセージの送信処理の処理手順を示すフローチャートである。
【図８】追跡機能を有する中継装置を備えた発信源探査システムにおいて、要求予定リストの作成処理の処理手順を示すフローチャートである。
【図９】（ａ）は攻撃端末Ａ１，攻撃端末Ａ２から攻撃パケットが送信され追跡端末Ｍから中継装置Ｒ２に追跡要求メッセージを送信するパケットの流れ図、（ｂ）は中継装置Ｒ２から追跡端末Ｍに追跡情報メッセージが送信され追跡端末Ｍから中継装置Ｒ３，Ｒ４に追跡要求メッセージを送信するパケットの流れ図、（ｃ）は中継装置Ｒ４から追跡端末Ｍに攻撃端末Ａ１が特定できる追跡情報メッセージが送信されるパケットの流れ図である。
【図１０】（ａ）は追跡端末Ｍから中継装置Ｒ６に追跡要求メッセージＰ１１を送信するパケットの流れ図、（ｂ）は中継装置Ｒ６から追跡端末Ｍに追跡情報メッセージＰ１３を送信するパケットの流れ図である。
【図１１】発信源探査システムを構成する追跡機能を有する中継装置に故障が発生したときの処理を説明するためのシステム図である。
【図１２】追跡端末から追跡機能を有する中継装置に追跡要求メッセージを一斉配信する処理の処理手順を示すフローチャートである。
【図１３】追跡端末から追跡機能を有する中継装置に追跡要求メッセージを一斉配信するシステム図である。
【図１４】追跡専用装置を中継装置間に挿入した発信源探査システムの構成を示すシステム図である。
【図１５】追跡専用装置の構成を示すブロック図である。
【図１６】トポロジマップ情報の他の構成を示す図である。
【図１７】追跡装置配置情報の構成を示す図である。
【図１８】追跡専用装置を備えた発信源探査システムにおいて、追跡端末による追跡要求メッセージの送信処理の処理手順を示すフローチャートである。
【図１９】追跡専用装置を備えた発信源探査システムにおいて、追跡端末による要求予定リストの作成処理の処理手順を示すフローチャートである。
【図２０】（ａ）は追跡要求メッセージを追跡専用装置Ｕ２に送信するパケットの流れ図、（ｂ）は追跡専用装置Ｕ２から追跡端末Ｍに追跡情報メッセージＰ４を送信し、追跡端末Ｍから追跡専用装置Ｕ１，Ｕ３に追跡要求メッセージを送信するパケットの流れ図、（ｃ）は追跡専用装置Ｕ１から攻撃端末Ａ１が特定できる追跡情報メッセージが追跡端末Ｍに送信されるパケットの流れ図である。
【符号の説明】
【０１１５】
Ｒｎ  中継装置
Ａｎ  攻撃端末
Ｍ  追跡端末
Ｕｎ  追跡専用装置
Ｖ  被害端末
１  通信インターフェース部
２  ＩＤＳ部
３  発信源追跡部
４  入力部
１１  ＩＤＳパケット解析部
１２  不正アクセスパターンデータベース
１３  不正アクセス統計データベース
２１  追跡情報メッセージ検出部
２２  追跡情報解析部
２３  リンクリストデータベース
２４  追跡要求メッセージ作成部
２５  追跡制御部
２６  トポロジマップデータベース
３１，７１  通信インターフェース部
３２  ルータ機能部
３３，７２  発信源追跡機能部
４１，８１  物理層インターフェース
４２，８２  データリンク層インターフェース
５１  ルーティング制御部
５２  ルーティングテーブル
５３  ＡＲＰテーブル
６０  ルーティング制御部
６１  データリンクアドレス検出部
６２，９１  パケット解析部
６３，９２  特徴情報データベース
６４，９５  タイマー部
６５，９４  発信源追跡制御部
６６，９３  追跡情報メッセージ作成部
【図１】
2007096544.tif 000003
【図２】
2007096544.tif 000004
【図３】
2007096544.tif 000005
【図４】
2007096544.tif 000006
【図５】
2007096544.tif 000007
【図６】
2007096544.tif 000008
【図７】
2007096544.tif 000009
【図８】
2007096544.tif 000010
【図９】
2007096544.tif 000011
【図１０】
2007096544.tif 000012
【図１１】
2007096544.tif 000013
【図１２】
2007096544.tif 000014
【図１３】
2007096544.tif 000015
【図１４】
2007096544.tif 000016
【図１５】
2007096544.tif 000017
【図１６】
2007096544.tif 000018
【図１７】
2007096544.tif 000019
【図１８】
2007096544.tif 000020
【図１９】
2007096544.tif 000021
【図２０】
2007096544.tif 000022