(57)【要約】【課題】実際の距離値の精度が向上した攻撃パケット発信源距離測定システムを提供する。【解決手段】ダミー攻撃パケット発信源仮想距離算出部１０１３は、仮想距離の推定式、攻撃パケットの受信間隔の平均値、分散、観測装置宛ルート選択率仮値１０７から、ダミー攻撃パケット発信源までの仮想距離Ｄkを求め、その値を、ダミー攻撃パケット発信源仮想距離値１０１７とする。ダミー攻撃パケット発信源実距離算出部１０１４は、ダミー攻撃パケット発信源仮想距離値１０１７、ダミー攻撃パケット発信源までの実際の距離の値であるダミー攻撃パケット発信源実距離値１０１８等から攻撃パケット発信源までの実際の距離を求め、その値を攻撃パケット発信源実距離値１０１９とする。【選択図】図３
2007074281.tif 000002
【特許請求の範囲】
【請求項１】
観測装置から、該観測装置の観測値に基き算出して得られ、独自の次元を持つ距離である、攻撃パケットを複数の宛先に送信する攻撃パケット発生源までの仮想距離を推定するシステムにおいて、
該観測装置から第３の装置までの既知の実際の距離を取得し、仮想距離を算出する手段と、
該仮想距離を、前記攻撃パケット発生源から前記観測装置までの実際の距離に変換する手段と
を有することを特徴とする攻撃パケット発信源距離測定システム。
【請求項２】
前記の仮想距離を算出する手段が、
前記第３の装置が複数の宛先へ攻撃パケットを送信する手段と、
前記観測装置が前記第３の装置までの実際の距離を取得する手段と、
受信した該攻撃パケットから前記第３の装置までの仮想距離を算出する手段を
含む、請求項１記載の攻撃パケット発信源距離測定システム。
【請求項３】
前記の仮想距離を算出する手段として、前記観測装置が、該攻撃パケットを受信する手段と、該攻撃パケットの受信間隔を測定する手段と、該受信間隔から仮想距離を算出する手段を含む、請求項２記載の攻撃パケット発信源距離測定システム。
【請求項４】
前記第３の装置が、ＩＰパケット、ＵＤＰパケットもしくはメールパケットを攻撃パケットとして送信する手段を含む、請求項３記載の攻撃パケット発信源距離測定システム。
【請求項５】
前記受信間隔から仮想距離を算出する手段として、前記観測装置が該攻撃パケットの受信間隔から、受信間隔の平均値、分散を算出し、これらを使って前記仮想距離を算出する手段を含む、請求項３に記載の攻撃パケット発信源距離測定システム。
【請求項６】
前記受信間隔から仮想距離を算出する手段として、前記観測装置が前記第３の装置までの実際の距離をホップ数により取得する手段と、該ホップ数に感染源からの仮想距離を乗じ、前記第３の装置からの仮想距離で除算する手段を含む、請求項３に記載の攻撃パケット発信源距離測定システム。
【請求項７】
第４の装置が前記第３の装置に攻撃パケットの送信開始を指示する手段を含み、
前記第３の装置は、前記第４の装置から該指示を受信後、攻撃パケットの送信を開始する手段を含み、
前記第４の装置が前記観測装置に前記第３の装置に攻撃パケットの送信開始を指示したことを通知する手段を含み、
前記観測装置は、前記第４の装置から該通知を受信後、攻撃パケットの受信間隔の測定を開始する手段を含む、
請求項３に記載の攻撃パケット発信源距離測定システム。
【請求項８】
前記第４の装置が前記第３の装置に攻撃パケットの送信停止を指示する手段を含み、
前記第３の装置は、前記第４の装置から該指示を受信後、攻撃パケットの送信を停止する手段を含み、
前記第４の装置が前記観測装置に前記第３の装置に攻撃パケットの送信停止を指示したことを通知する手段を含み、
前記観測装置は、前記第４の装置から該通知を受信後、攻撃パケットの受信間隔の測定を停止する手段を含む、
請求項７に記載の攻撃パケット発信源距離測定システム。
【請求項９】
請求項１〜８のいずれかに記載の攻撃パケット発信源距離測定システムにおいて、
攻撃パケットが発生するネットワークサービスの利用者が該攻撃パケットの対処サービス提供事業者に攻撃対処を依頼する手段と、
該攻撃対処サービス提供事業者が攻撃発信源距離測定事業者に攻撃発信源距離測定を依頼する手段と、
該攻撃発信源距離測定事業者が、該攻撃対処サービス提供事業者に攻撃発信源距離測定費を請求する手段と、
該攻撃対処サービス提供事業者が、その攻撃発信源距離測定費に基づき、該ネットワークサービスの利用者に攻撃対処費を請求する手段と
を含むことを特徴とする攻撃パケット発信源距離測定システム。
【請求項１０】
観測装置から、該観測装置の観測値に基き算出して得られ、独自の次元を持つ距離である、攻撃パケットを複数の宛先に送信する攻撃パケット発生源までの仮想距離を推定する方法において、
前記観測装置が、該観測装置から第３の装置までの既知の実際の距離を取得し、仮想距離を算出する段階と、該仮想距離を、前記攻撃パケット発生源から前記観測装置までの実際の距離に変換する段階とを有することを特徴とする攻撃パケット発信源距離測定方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、大量メール送信攻撃のような不特定多数のユーザに無意味なパケット（攻撃パケット）を送信する攻撃に対して、各観測点での攻撃パケットの発信源からの距離を推定し、この攻撃パケットの発信源の位置を推定するシステムに関する。
【背景技術】
【０００２】
ネットワークを介して自己増殖する機能を持ったプログラムであるワームでは、不特定多数のユーザに無意味な電子メールを送信する。このような電子メールの転送により、メールサーバ等が一時的に過負荷状態になり、最悪サービス提供不可能状態となる。このような状況を継続させないためには、攻撃パケットの発信源を特定もしくは推定し、その発信源に対して攻撃パケットの発信を停止させる必要がある。
【０００３】
一般に、前述のワームにより送信された電子メールの送信元は詐称されている。よって、送信元攻撃パケット発信源を特定する際に、送信元アドレスを使うことは困難である。そこで、アドレスを使わず攻撃パケット発信源までの距離を推定する手段が提案されている。例えば、非特許文献１では、攻撃パケットの到着間隔に基づき攻撃パケットの発生源である感染源から観測点までの距離を実際に用いる次元とは異なる次元での距離（以下、仮想距離と呼ぶ）を算出する手法が提案されている。
【０００４】
図９に仮想距離を推定するシステムの構成例を示す。
【０００５】
図９のシステムは、攻撃パケットを送信している攻撃コンピュータ１と、そのコンピュータ１の攻撃パケットの宛先である被攻撃コンピュータ１１〜１７と、ルータ３１〜３３と、攻撃コンピュータ１までの仮想距離を測定する観測装置４１、４２から構成されている。また、各被攻撃コンピュータ１１〜１７宛への攻撃パケットパスを２１〜２７により表している。
【０００６】
次に、図１０を使って、仮想距離の概念を説明する。図１０では、攻撃パケット発信源コンピュータ１での攻撃パケット発信時刻列５１、観測装置４１での攻撃パケット到着時刻列５２、観測装置４２での攻撃パケット到着時刻列５３を示している。なお、説明の簡略化のため、各パケットのリンクでの転送時間、伝搬遅延時間、ルータ３１〜３３での処理時間は０と仮定している。
【０００７】
攻撃パケット発信時刻列５１に示すように、攻撃パケット発信源コンピュータ１は、一定間隔により、攻撃パケットを送信している。例えば、感染源コンピュータ１に保存されている電子メールのアドレスを順次探し出し、そのアドレス宛へ攻撃パケットを送信する場合がある。
【０００８】
観測装置４１での攻撃パケット到着時刻列５２では、攻撃パケットパス２５はルータ３２を通過していないため、被攻撃コンピュータ１４宛パケットと被攻撃コンピュータ１６宛の攻撃パケット到着間隔は他の間隔より大きくなるが、攻撃パケット到着間隔のばらつきはさほど大きくない。また、観測装置４２での攻撃パケット到着時刻列５３では、攻撃コンピュータパス２２、２５、２６はルータ３３を通過していないため、攻撃パケット到着間隔のばらつきは大きくなる。つまり、攻撃パケットの到着間隔のばらつきは、攻撃パケット発信源に近いほど小さく、遠いほど大きくなる性質がある。
【０００９】
非特許文献１では、仮想距離の推定式Ｄvは、次式で与えられる。
【００１０】
【数１】
2007074281.tif 000003
【００１１】
ここで、Ｘは攻撃パケットの到着間隔であり、Ｖａｒ［Ｘ］はパケット到着間隔の分散、Ｅ［Ｘ］は、パケット到着間隔の平均を意味する。係数αは、各ルータ３１〜３３で到着した攻撃パケット群の内、所望の観測装置宛へのルートを選択する確率（観測装置宛ルート選択率と呼ぶ）である。
【００１２】
図１１に観測装置４１、４２の機能ブロックを示す。
【００１３】
観測装置４１、４２は、ルータ３２、３３を通過するパケットをキャプチャーするパケットキャプチャ部１０１と、攻撃パケットのパターン（シグネチャと呼ぶ）を記録しているシグネチャデータベース１０５を使って、実際に流れてくるパケットとシグネチャを比較して、攻撃パケットがどうか判断する攻撃パケット検出部１０２と、攻撃パケットの到着時刻を測定し、その到着時刻を攻撃パケット到着時刻データベース１０６に書き込む攻撃パケット到着時刻測定部１０３と、攻撃パケット到着時刻データベース１０６からＥ［Ｘ］、Ｖａｒ［Ｘ］を求め、観測装置宛ルート選択率仮値１０７と（１）式から、仮想距離を算出し、その算出結果を攻撃パケット発信源仮想距離値１０８に格納する攻撃パケット発信源仮想距離算出部１０４から構成されている。
【非特許文献１】“発信元偽装メール型ウイルスの感染源分析法”豊泉著、第９回ＳＩＧＥＶＡ研究会、６月、２００４年
【発明の開示】
【発明が解決しようとする課題】
【００１４】
（１）式内の観測装置宛ルート選択率αは、システムに依存する係数である。非特許文献１では、観測値から直接求めることは困難であることが指摘されている。
【００１５】
そこで、非特許文献１では仮の値を使う案が提案されている。もし、観測装置宛ルート選択率の仮の値と真の値が十分近い時、（１）式で得られる値は、ホップ数を単位とする実際の距離と近くなる。しかし、そうでない場合は実際の値と仮の値は大きく乖離する場合がある。
【００１６】
本発明の目的は、実際の距離値の精度が向上した攻撃パケット発信源距離測定システムおよび方法を提供することにある。
【課題を解決するための手段】
【００１７】
本発明の攻撃パケット発信源距離測定システムは、観測装置から第３の装置までの既知の実際の距離を取得し、仮想距離を算出する手段と、仮想距離を、攻撃パケット発生源から観測装置までの実際の距離に変換する手段とを有する。
【００１８】
観測装置からの実際の距離（例えばホップ数を単位とする距離）が既知の値ｋである、ある装置からの仮想距離をＤkとする。
【００１９】
測定したい攻撃パケット発信源までの仮想距離（例えば（１）式で与えられる距離）をＤvとし、パラメータαはシステム内で不変と仮定する。この時、実際の距離Ｄrは、
【００２０】
【数２】
2007074281.tif 000004
【００２１】
となる。（２）式より、観測装置宛ルート選択率αを観測せずに実際の距離Ｄrを推定できることがわかる。
【００２２】
本発明の実施態様によれば、仮想距離を算出する手段は、
第３の装置が複数の宛先へ攻撃パケットを送信する手段と、
観測装置が第３の装置までの実際の距離を取得する手段と、
受信した該攻撃パケットから第３の装置までの仮想距離を算出する手段と
を含む。
【００２３】
また、本発明の実施態様によれば、受信した該攻撃パケットから第３の装置までの仮想距離を算出する手段が、
観測装置が該攻撃パケットを受信する手段と、
該攻撃パケットの受信間隔を測定する手段と、
該受信間隔から仮想距離を算出する手段と
を含む。
【００２４】
本発明の実施態様によれば、第３の装置が、ＩＰパケット、ＵＤＰパケットもしくはメールパケットを攻撃パケットとして送信する手段を含む。
【００２５】
本発明の実施態様によれば、受信間隔から仮想距離を算出する手段として、観測装置が該攻撃パケットの受信間隔から受信間隔の平均値、分散を算出する手段を含む。
【００２６】
本発明の実施態様によれば、実際の距離の単位をホップ数とする場合、（２）式より、
観測装置が第３の装置までの実際の距離をホップ数により取得する手段と、
該ホップ数に感染源からの仮想距離を乗じ第３の装置からの仮想距離で除算する手段とを含む。
【００２７】
第３の装置が送信する攻撃パケットの発生負荷を減らす必要がある。そこで、本発明の実施態様では、第３の装置が攻撃パケットを間欠的に送信させるために、
第４の装置が第３の装置に攻撃パケットの送信開始を指示する手段を含み、
第３の装置は、第４の装置から該指示を受信後、攻撃パケットの送信を開始する手段を含み、
第４の装置が観測装置に第３の装置に攻撃パケットの送信開始を指示したことを通知する手段を含み、
観測装置は、第４の装置から該通知を受信後、攻撃パケットの受信間隔の測定を開始する手段を含み、
あるいは、
第４の装置が第３の装置に攻撃パケットの送信停止を指示する手段を含み、
第３の装置は、第４の装置から該指示を受信後、攻撃パケットの送信を停止する手段を含み、
第４の装置が観測装置に第３の装置に攻撃パケットの送信停止を指示したことを通知する手段を含み、
観測装置は、第４の装置から該通知を受信後、攻撃パケットの受信間隔の測定を停止する手段を含む。
【発明の効果】
【００２８】
未定要素の大きい観測装置宛ルート選択率αを観測せずに攻撃パケット発信源までの距離を推定することで、仮の観測装置宛ルート選択率を使って実際の距離値を求める方式と比べて実際の距離値の精度が向上する。
【発明を実施するための最良の形態】
【００２９】
次に、本発明の実施の形態について図面を参照して説明する。
【００３０】
［第１の実施形態］
図１は本発明の第１の実施形態による攻撃パケット発信源距離測定システムの構成を示す図である。
【００３１】
本実施形態は、図９の従来のシステムに、ダミー攻撃パケット２００２を発信するダミー攻撃パケット発生装置２００１（第３の装置に相当）を追加して構成され、また観測装置４１，４２の代わりに観測装置１００１，１００２が設けられている。
【００３２】
図２はダミー攻撃パケット発生装置２００１の機能ブロック図を示す。ダミー攻撃パケット発生装置２００１は、ダミー攻撃パケットを送信する宛先情報を保存している宛先アドレスリスト２０１３と、ダミー攻撃パケット識別情報テーブル２０１４と、ダミー攻撃パケットを作成するダミー攻撃パケット作成部２０１２と、ダミー攻撃パケットを送信するダミー攻撃パケット送信部２０１１から構成されている。
【００３３】
ダミー攻撃パケットの種類として、以下が考えられる。
・ＩＰのオプションフィールドに、ダミー攻撃パケットを意味する新たなオプションフィールド値を設ける
・ＵＤＰ（Ｕｓｅｒ  Ｄａｔａｇｒａｍ  Ｐｒｏｔｏｃｏｌ）のポート番号として、ダミー攻撃パケットを意味するユーザ独自の番号を付与する
・メールのヘッダにダミー攻撃パケットを意味する情報を付与する
がある。
【００３４】
上記のダミー攻撃パケットを意味する情報がダミー攻撃パケット識別情報テーブル２０１４に保存されている。
【００３５】
以下、ダミー攻撃パケット発生装置２００１の処理について、具体的に説明する。
【００３６】
ダミー攻撃パケット送信部２０１１は宛先アドレスリスト２０１３内のすべての要素に対して、以下の処理を行う。
【００３７】
１．ダミー攻撃パケット作成部２０１２に対し、指定された宛先アドレスを持ち、ダミー攻撃パケット識別情報テーブル２０１４内の情報を使って、ダミー攻撃パケットを作成させる。
【００３８】
２．そのダミー攻撃パケットを送信する。
【００３９】
３．ある決められた時間待ち、１の処理に戻る。
【００４０】
図３は観測装置１００１、１００２のブロック図である。従来の観測装置４１、４２にあったパケットキャプチャ部１０１、攻撃パケット検出部１０２、攻撃パケット到着時刻測定部１０３、攻撃パケット発信源仮想距離算出部１０４、シグネチャデータベース１０５、攻撃パケット到着時刻データベース１０６、観測装置宛ルート選択率仮値１０７、攻撃パケット発信源仮想距離値１０８に、ダミー攻撃パケットを検出するダミー攻撃パケット検出部１０１１と、ダミー攻撃パケットの到着間隔を測定し、その測定結果をダミー攻撃パケット到着時刻データベース１０１６に書き込むダミー攻撃パケット到着時刻測定部１０１２と、ダミー攻撃パケット到着時刻データベース１０１６の保存データと観測装置宛ルート選択率仮値１０１９からダミー攻撃パケット発信源仮想距離を算出し、その値をダミー攻撃パケット発信源仮想距離値１０１７とするダミー攻撃パケット発信源仮想距離算出部１０１３と、ダミー攻撃パケット発信源仮想距離値１０１７とダミー攻撃パケット発信源実距離値１０１８と攻撃パケット発信源仮想距離値１０８から、攻撃パケット発信源までの実際の距離を算出し、その値を攻撃パケット発信源実距離値１０１９とする攻撃パケット発信源実距離算出部１０１４が追加されている。
【００４１】
以下、観測装置１００１、１００２の処理を具体的に説明する。
【００４２】
１．パケットキャプチャ部１０１では、ルータから受信したパケットのコピーをダミー攻撃パケット検出部１０１１に送る。
【００４３】
２．ダミー攻撃パケット検出部１０１１では、そのパケットのコピーがダミー攻撃パケット識別情報テーブル１０１５内に保存されている識別情報と合致しているか調べる。もし、合致している場合は、ダミー攻撃パケット到着時刻測定部１０１２に通知する。
【００４４】
３．その通知を受けたダミー攻撃パケット到着時刻測定部１０１２では、パケットの到着時刻をダミー攻撃パケット到着時刻データベース１０１６に記録する。
【００４５】
次に、ダミー攻撃パケット発信源仮想距離算出部１０１３の処理を説明する。ダミー攻撃パケット発信源仮想距離算出部１０１３では、ある一定間隔により、次の処理を行う。
【００４６】
１．ダミー攻撃パケット到着時刻データベース１０１６内に保存されている要素の内、最新の要素をＮ個とりだす。この要素の列を｛Ａ1，Ａ2，…，ＡN｝とする。
【００４７】
２．到着時刻の差分Ｘi＝Ａi+1−Ａiを求め、その列を｛Ｘ1，Ｘ2，…，ＸN-1｝とする。
【００４８】
３．｛Ｘ1，Ｘ2，…，ＸN-1｝から、平均Ｅ［Ｘ］と分散Ｖａｒ［Ｘ］を求める。
【００４９】
【数３】
2007074281.tif 000005
【００５０】
４．（１）式と、前述のＥ［Ｘ］、Ｖａｒ［Ｘ］、観測装置宛ルート選択率仮値１０７から、ダミー攻撃パケット発信源までの仮想距離Ｄkを求め、その値を、ダミー攻撃パケット発信源仮想距離値１０１７とする。
【００５１】
次に、攻撃パケット発信源実距離算出部１０１４の処理を説明する。この処理は、ダミー攻撃パケット発信源仮想距離算出部１０１３と同期して行えばよい。
【００５２】
１．（２）式と、ダミー攻撃パケット発信源仮想距離値１０１７、ダミー攻撃パケット発信源までの実際の距離の値であるダミー攻撃パケット発信源実距離値１０１８から攻撃パケット発信源までの実際の距離を求め、その値を攻撃パケット発信源実距離値１０１９とする。
【００５３】
［第２の実施形態］
図４は本実施形態の攻撃パケット発信源距離推定システムの構成を示す図である。
【００５４】
本実施形態では、図１の第１の実施形態のシステムにダミー攻撃パケットの送信開始・停止時刻を管理するダミー攻撃パケット管理装置３００１を追加している。
【００５５】
図５はダミー攻撃パケット管理装置３００１の機能ブロック図である。この装置３００１は、ダミー攻撃パケット送信開始時刻と停止時刻が記録されているダミー攻撃パケット送信開始・停止時刻テーブル３０１２と、ダミー攻撃パケット発生装置２００１に関する情報（例えばアドレス）を持つダミー攻撃パケット発生装置情報テーブル３０１３と、観測装置に関する情報（例えばアドレス）を持つ観測装置情報テーブル３０１４と、これらのテーブル３０１２、３０１３、３０１４を使って、ダミー攻撃パケットの送信開始ならびに停止を制御するダミー攻撃パケット管理用信号送信制御部３０１１から構成されている。
【００５６】
次に、ダミー攻撃パケット管理用信号送信制御部３０１１の処理を説明する。
【００５７】
１．ダミー攻撃パケット管理用信号送信制御部３０１１は、ダミー攻撃パケット送信開始・停止時刻テーブル３０１２を監視し、もし、装置内の時刻とそのテーブル内のダミー攻撃パケット送信開始時刻もしくはダミー攻撃パケット停止時刻とが一致する場合、以下の処理を行う。
【００５８】
装置内の時刻とダミー攻撃パケット送信開始時刻が一致する場合
（ａ）ダミー攻撃パケット発生装置情報テーブル３０１３において指定されたダミー攻撃パケット発生装置に、ダミー攻撃パケット送信開始指示を行う。
【００５９】
（ｂ）観測装置情報テーブル３０１４において指定された観測装置に、ダミー攻撃パケット送信開始指示を行う。
【００６０】
装置内の時刻とダミー攻撃パケット送信停止時刻が一致する場合
（ａ）ダミー攻撃パケット発生装置情報テーブル３０１３において指定されたダミー攻撃パケット発生装置に、ダミー攻撃パケット送信停止指示を行う。
【００６１】
（ｂ）観測装置情報テーブル３０１４において指定された観測装置に、ダミー攻撃パケット送信停止指示を行う。
【００６２】
図６は本実施形態のダミー攻撃パケット発生装置２００１のブロック図である。本実施形態では、第１の実施形態でのダミー攻撃パケット発生装置にダミー攻撃パケット送信制御部２０１５が追加されている。
【００６３】
ダミー攻撃パケット送信制御部２０１５は、ダミー攻撃パケット管理装置３００１からダミー攻撃パケット送信開始指示を受けた場合、ダミー攻撃パケット送信部２０１１に対し、攻撃パケットの送信開始を指示する。また、ダミー攻撃パケット送信停止指示を受けた場合、ダミー攻撃パケット送信部２０１１に対し、攻撃パケットの送信停止を指示する。
【００６４】
ダミー攻撃パケット送信部２０１１は、ダミー攻撃パケット送信制御部２０１５からダミー攻撃パケット送信開始を受けた場合、攻撃パケットの送信停止を受けるまで、ダミー攻撃パケットを送信し続ける。
【００６５】
図７は本実施形態での観測装置１００１、１００２のブロック図である。本実施形態では、第１の実施形態での観測装置に、ダミー攻撃パケット発信源仮想距離算出管理部１１００が追加されている。
【００６６】
ダミー攻撃パケット発信源仮想距離算出管理部１１００は、ダミー攻撃パケット管理装置３００１からダミー攻撃パケット送信開始指示を受けた場合、ダミー攻撃パケット発信源仮想距離算出部１０１３に対し算出開始を指示するとともに、ダミー攻撃パケット到着時刻データベース１０１６をクリアする。また、ダミー攻撃パケット発信源仮想距離算出部１０１３に対し算出停止を指示するとともに、ダミー攻撃パケット到着時刻データベース１０１６をクリアする。
【００６７】
ダミー攻撃パケット発信源仮想距離算出部１０１３は、ダミー攻撃パケット発信源仮想距離算出管理部１１００から算出開始の指示を受けた場合、算出停止を受けるまで、仮想距離算出を継続して行う。
【００６８】
［第３の実施形態］
図８は本実施形態の攻撃パケット発信源距離推定システムの構成図である。
【００６９】
本実施形態は、攻撃パケットに対し対処サービスを提供する攻撃対処サービス提供事業者４１００と、そのサービスの利用者であるインターネットサービス利用者４０００と、攻撃発信源距離測定を行う攻撃発信源距離測定事業者４２００を有する。
【００７０】
攻撃対処サービス提供事業者４１００はルータ３１〜３３を有する。さらに、攻撃対処サービス利用者を管理する攻撃対処サービス管理装置４１０１と攻撃対処サービス利用者管理データベース４１０２を所有する。
【００７１】
インターネットサービス利用者４０００は図９に示した被攻撃コンピュータ１２を所有している。
【００７２】
攻撃発信源距離測定事業者４２００は、観測装置１００１、１００２、ダミー攻撃パケット発生装置２００１、ダミー攻撃パケット管理装置３００１を管理する。さらに、攻撃発信源測定サービスを管理する攻撃発信源測定サービス管理装置４２０１と攻撃発信源測定サービス利用者管理データベース４２０２を所有している。
【００７３】
次に、本実施形態の動作を説明する。
【００７４】
まず、インターネットサービス利用者４０００は、利用しているコンピュータ１２が攻撃を受けていると認識した場合、攻撃対処サービス提供事業者４１００に攻撃対処依頼を行う（ステップ４０１１）。それを受けた攻撃対処サービス提供事業者４１００は、攻撃対処サービス管理装置４１０１を通して、攻撃対処サービス利用者管理データベース４１０２にそのサービス利用を記録する。また、攻撃発信源距離測定事業者４２００に対し攻撃発信源距離測定依頼を行う（ステップ４０１２）。それを受けた攻撃発信源測定事業者４２００は、攻撃発信源測定サービス管理装置４２０１を通して、攻撃発信源測定サービス利用者管理データベース４２０２にそのサービス利用を記録する。また、攻撃対処サービス提供事業者４１００に、第１〜第２の実施形態で説明した手段により、攻撃発信源距離測定結果を通知するとともに経費を請求する（ステップ４０１３）。それを受けた攻撃対処サービス提供事業者４１００は、攻撃対処を行うとともに攻撃対処結果を、攻撃対処サービス利用者管理装置４１０１を通して、攻撃対処サービス利用者管理データベース４１０２に記録し、インターネットサービス利用者４０００に提供するとともに対処費を請求する（ステップ４０１４）。これに従い、インターネットサービス利用者４０００は対処費を攻撃対処サービス事業者４１００に支払い、攻撃対処サービス提供事業者４１００は、攻撃発信源距離測定事業者４２００に経費を支払う（ステップ４０１５、４０１６に対応する）。インターネットサービス利用者４０００から対処費を受領した攻撃対処サービス提供事業者４１００は、攻撃対処サービス利用者管理装置４１０１を通して、攻撃対処サービス利用者管理データベース４１０２にその支払い情報を記録する。攻撃対処サービス提供事業者４１００から経費を受領した攻撃発信源距離測定事業者４２００は、攻撃発信源距離測定サービス管理装置４２０１を通して、攻撃発信源距離測定サービス利用者管理データベース４２０２にその支払い情報を記録する。
【図面の簡単な説明】
【００７５】
【図１】本発明の第１の実施形態による攻撃パケット発信源距離測定システムの構成図である。
【図２】第１の実施形態におけるダミー攻撃パケット発生装置のブロック図である。
【図３】第１の実施形態における観測装置のブロック図である。
【図４】本発明の第２の実施形態による攻撃パケット発信源距離測定システムの構成図である。
【図５】第２の実施形態におけるダミー攻撃パケット管理装置のブロック図である。
【図６】第２の実施形態におけるダミー攻撃パケット発生装置のブロック図である。
【図７】第２の実施形態における観測装置のブロック図である。
【図８】本発明の第３の実施形態による攻撃パケット発信源距離測定システムの構成図である。
【図９】従来の攻撃パケット発信源距離測定システムの構成図である。
【図１０】図９の各観測装置での攻撃パケットの到着間隔の例を示す図である。
【図１１】図９の従来のシステムにおける観測装置のブロック図である。
【符号の説明】
【００７６】
１    攻撃コンピュータ
１１〜１７    被攻撃コンピュータ
２１〜２７    攻撃パケットパス
３１〜３３    ルータ
１００１、１００２    観測装置
２００１    ダミー攻撃パケット発生装置
２００２    ダミー攻撃パケット
２０１１    ダミー攻撃パケット送信部
２０１２    ダミー攻撃パケット作成部
２０１３    宛先アドレスリスト
２０１４    ダミー攻撃パケット識別情報テーブル
２０１５    ダミー攻撃パケット送信制御部
１０１    パケットキャプチャ部
１０２    攻撃パケット検出部
１０３    攻撃パケット到着時間測定部
１０４    攻撃パケット発信源仮想距離算出部
１０５    シグネチャデータベース
１０６    攻撃パケット到着時刻データベース
１０７    観測装置宛ルート選択率仮値
１０８    攻撃パケット発信源仮想距離
１０１５    ダミー攻撃パケット識別情報テーブル
１０１６    ダミー攻撃パケット到着時刻データベース
１０１７    ダミー攻撃パケット発信源仮想距離値
１０１８    ダミー攻撃パケット発信源実距離値
１０１９    攻撃パケット発信源実距離値
１１００    ダミー攻撃パケット発信源仮想距離算出管理部
３００１    ダミー攻撃パケット管理装置
３０１１    ダミー攻撃パケット管理用信号送信制御部
３０１２    ダミー攻撃パケット送信開始・停止時刻テーブル
３０１３    ダミー攻撃パケット発生装置情報テーブル
３０１４    観測装置情報テーブル
４０００    インターネットサービス利用者
４１００    攻撃対処サービス提供事業者
４１０１    攻撃対処サービス管理装置
４１０２    攻撃対処サービス利用者管理データベース
４２００    攻撃発信源距離測定事業者
４２０１    攻撃発信源距離測定サービス管理装置
４２０２    攻撃発信源距離測定サービス利用者管理データベース
４０１１〜４０１６    ステップ
【図１】
2007074281.tif 000006
【図２】
2007074281.tif 000007
【図３】
2007074281.tif 000008
【図４】
2007074281.tif 000009
【図５】
2007074281.tif 000010
【図６】
2007074281.tif 000011
【図７】
2007074281.tif 000012
【図８】
2007074281.tif 000013
【図９】
2007074281.tif 000014
【図１０】
2007074281.tif 000015
【図１１】
2007074281.tif 000016