(57)【要約】【課題】パケット発信源を速やかに特定できる攻撃パケット発信源特定システムを提供する。【解決手段】攻撃コンピュータからの距離を測定する２つの攻撃パケット発信源距離測定装置１０１１，１０１２の位置（それぞれ（ｘ1，ｙ1），（ｘ2，ｙ2））を中心とし、各攻撃パケット発信源距離測定装置１０１１，１０１２において観測した攻撃コンピュータからの距離（それぞれｒ1，ｒ2）を半径とする各円の交点（２つ）が、攻撃パケット発信源候補となる。そこで、この２つの候補から１つに絞り込むために、第３の攻撃パケット発信源距離測定装置１０１３を用意する。この装置の位置(（ｘ3，ｙ3）)を中心とし、攻撃パケット発信源距離（ｒ3）を半径とする円上にある交点が攻撃パケット発信源の位置となる。【選択図】図２
2007074014.tif 000002
【特許請求の範囲】
【請求項１】
攻撃パケットを検出する手段と、攻撃パケットの発信源までの距離を測定する手段とを有する、相異なる場所に設置されている第１、第２、第３の攻撃パケット発信源距離測定装置と、
前記第１の攻撃パケット発信源距離測定装置の位置を中心とし、測定した、攻撃パケットの発信源までの距離を半径とする第１の円と、前記第２の攻撃パケット発信源距離測定装置の位置を中心とし、測定した、攻撃パケットの発信源までの距離を半径とする第２の円の交点を求め、該交点のうち、前記第３の攻撃パケット発信源特定装置の位置を中心とし、測定した、攻撃パケットの発信源までの距離を半径とする円上にある交点を選択する攻撃パケット発信源特定装置と
を有する攻撃パケット発信源特定システム。
【請求項２】
前記攻撃パケット発信源特定装置は、前記第１、第２、第３の攻撃パケット発信源距離測定装置の位置の座標をそれぞれ（ｘ1，ｙ1）、（ｘ2，ｙ2）、（ｘ3，ｙ3）、前記第１、第２、第３の攻撃パケット発信源距離測定装置で測定された距離をそれぞれｒ1、ｒ2、ｒ3としたとき、前記交点の座標（ｘ，ｙ）を次式
【数１】
2007074014.tif 000015
により算出し、
算出された前記交点の座標（ｘ，ｙ）のうち
【数２】
2007074014.tif 000016
を満たす座標（ｘ，ｙ）を選択する手段を有する、請求項１に記載の攻撃パケット発信源特定システム。
【請求項３】
前記攻撃パケット発信源特定装置は、得られた交点のうち、前記第３の攻撃パケット発信源距離測定装置で得られた円の近傍の交点を選択する手段を有する、請求項１または２に記載の攻撃パケット発信源特定システム。
【請求項４】
前記攻撃パケット発信源特定装置は、得られた交点（ｘ，ｙ）のうち
【数３】
2007074014.tif 000017
の値が決められた値よりも小さい（ｘ，ｙ）を選択する手段を有する、請求項３に記載の攻撃パケット発信源特定システム。
【請求項５】
前記攻撃パケット発信源特定装置は、得られた交点のうち、前記第３の攻撃パケット発信源距離測定装置で得られた円に最も近い交点を選択する手段を有する、請求項１または２に記載の攻撃パケット発信源特定システム。
【請求項６】
前記攻撃パケット発信源特定装置は、得られた交点（ｘ，ｙ）のうち
【数４】
2007074014.tif 000018
の値が最も小さい（ｘ，ｙ）を選択する手段を有する、請求項５に記載の攻撃パケット発信源特定システム。
【請求項７】
攻撃パケットの対処サービスを提供する攻撃対処サービス提供事業者に利用者が攻撃パケット発信源の調査を依頼する手段と、
前記攻撃対処サービス提供事業者が、攻撃パケットの発信源を特定する攻撃パケット発信源特定事業者に攻撃パケット発信源の調査を依頼する手段と、
前記攻撃パケット発信源特定事業者が、前記攻撃対処サービス提供事業者に調査費を請求する手段と、
前記攻撃対処サービス提供事業者が、該調査費に基づき、前記利用者に調査費を請求する手段と
をさらに有する、請求項１から６のいずれかに記載の攻撃パケット発信源特定システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、大量メール送信攻撃のような、不特定多数のユーザに送信元アドレスが詐称されている無意味なパケット（攻撃パケット）を送信する攻撃に対して、その攻撃パケット発信源を特定するシステムに関する。
【背景技術】
【０００２】
上記の攻撃を防御するためには、その攻撃パケットのネットワーク内での進入位置を追跡・特定し、その位置での攻撃パケットの進入を防ぐ方法が有効である。インターネット内の攻撃パケット発信源を追跡する方法として、非特許文献１において報告されている攻撃パケット通過情報収集分析方法がある。ここでは、この攻撃パケット通過情報収集分析方法の従来技術を説明する。
【０００３】
このシステムの構成例を図６に示す。図６のシステムでは、攻撃コンピュータ２、被攻撃コンピュータ３，４がルータ１１〜１８から構成されるネットワーク１に接続されている。この例では、攻撃コンピュータ２はルータ１１，１４，１５，１８を経由して被攻撃コンピュータ３へ攻撃パケットを送信している。攻撃コンピュータ２と被攻撃コンピュータ３との間のパスを攻撃パケットパス５とする。
【０００４】
攻撃パケット通過情報収集分析型攻撃パケット発信源特定システムは、各ルータ１１〜１８を疎通するパケットの通過情報を記録するパケット通過情報記録装置２１〜２８と、攻撃パケットの発信源を特定する攻撃パケット発信源特定装置３１と、攻撃パケットを検出する攻撃パケット検出装置４１から構成されている。
【０００５】
図７に攻撃パケット通過情報収集分析型攻撃パケット発信源追跡システムの各装置のブロックを示す。パケット通過情報記録装置２１〜２８は、それに接続されたルータを通過したパケットの情報が記録されている通過パケットログテーブル２０３と、そのログテーブルを作成する通過パケットログ作成部２０１と、攻撃パケット発信源特定装置３１からパケット通過確認要求メッセージを受けたとき、指定されたパケットのログが通過パケットログテーブル２０３にあるか検索し、その検索結果をパケット通過確認応答メッセージを使って攻撃パケット発信源特定装置３１に返信する通過パケットログテーブル検索部２０２から構成されている。
【０００６】
表１に通過パケットログテーブル２０３の例を示す。
【０００７】
【表１】
2007074014.tif 000003
【０００８】
通過パケットログテーブル２０３は、ルータを通過したパケットの先頭部（上記文献では、疎通パケットのプレフィックスをＩＰヘッダとペイロードの先頭８バイト）を意味するパケットプレフィックス属性と、そのパケットがルータを通過した時刻を意味する通過時刻属性から構成される。
【０００９】
攻撃パケット発信源特定装置３１は、攻撃パケット検出装置４１からの攻撃パケット発信源特定要求メッセージを受信した場合、ネットワークトポロジ３０３から最短パス木３０４を作成し、その最短パス木３０４上のルータに接続されたパケット通過情報記録装置への問い合わせにより、攻撃グラフ３０５を作成する攻撃グラフ作成部３０１と、攻撃グラフ３０５から攻撃パケット発信源を追跡する攻撃パケット発信源特定部３０２から構成される。
【００１０】
次に、本従来例の動作を説明する。攻撃パケット検出装置４１が、攻撃パケットを検出した時、攻撃パケット発信源特定装置３１に、そのパケットのプレフィックスＰ、攻撃パケットの通過を検出したルータＲ、攻撃パケット発生時刻Ｔを通知する。
【００１１】
それを受けた攻撃パケット発信源特定装置３１は以下の処理を行う。
【００１２】
１．ネットワークトポロジ３０３とルータＲの情報を使って、ルータＲを起点とする最短パス木３０４を作成する。
【００１３】
２．最短パス木３０４上の各ルータに接続されたすべてのパケット通過情報記録装置へ、プレフィックスＰ、攻撃パケット発生時刻Ｔを含むパケット通過確認要求メッセージを送信する。
【００１４】
３．各パケット通過情報記録装置から受信したパケット通過確認応答メッセージにおいて、通過が確認されたルータを特定する。
【００１５】
４．最短パス木３０４上で、上記ルータを繋ぎ、それを攻撃グラフ３０５とする。
【００１６】
図８に図６で述べたシステム構成でのネットワークトポロジを示す。図９に、ルータ１５を起点とする最短パス木を示す。図１０に、攻撃グラフを示す。
【００１７】
攻撃パケット発信源特定部３０２は、攻撃グラフで端点となるルータを攻撃パケットの発信源として特定する。
【００１８】
図１０の攻撃グラフの例では、ルータ１１が端点のルータであることから、攻撃パケット発信源ルータとなる。
【非特許文献１】“Ｓｉｎｇｌｅ−ｐａｃｋｅｔ  ＩＰ  ｔｒａｃｅｂａｃｋ”Ａｌｅｘ  Ｃ．Ｓｎｏｅｒｅｎ他著，ＩＥＥＥ／ＡＣＭ  Ｔｒａｎｓａｃｔｉｏｎｓ  ｏｎ  Ｎｅｔｗｏｒｋｉｎｇ，  Ｖｏｌｕｍｅ  １０  Ｉｓｓｕｅ  ６，  ｐｐ．７２１−７３４，２００２年
【発明の開示】
【発明が解決しようとする課題】
【００１９】
上述した従来のシステムを大規模ネットワークへ適用した場合、ネットワーク内の攻撃パス上のルータおよびそのルータに隣接するルータのパケット通過情報記録装置にアクセスする必要があるため、パケット通過情報記録装置へのアクセス時間ならびにそのアクセスに伴うメッセージ数が増大し、その結果、パケット発信源の特定に時間がかると言う問題があった。
【００２０】
本発明の目的は、攻撃パケット発信源を速やかに特定できる攻撃パケット発信源特定システムを提供することである。
【課題を解決するための手段】
【００２１】
上記問題点を解決するために、本発明の攻撃パケット発信源特定システムは、図１に示すような、攻撃コンピュータと攻撃パケット発信源距離測定装置の位置の幾何学的性質を利用して攻撃パケットの発信源を特定する。図１に示すように、攻撃コンピュータからの距離を測定する２つの攻撃パケット発信源距離測定装置１０１１，１０１２を用意する。各装置１０１１，１０１２の位置の座標をそれぞれ（ｘ1，ｙ1），（ｘ2，ｙ2）とする。また、各攻撃パケット発信源距離測定装置１０１１，１０１２において観測した攻撃コンピュータからの距離（攻撃パケット発信源距離１０３１，１０３２）をそれぞれｒ1，ｒ2とする。このとき、各円（攻撃サークル１０２１，１０２２と呼ぶ）の交点が、攻撃パケット発信源候補（図１中での攻撃コンピュータ候補１００１，１００２）となる。つまり、以下の連立方程式
【００２２】
【数５】
2007074014.tif 000004
【００２３】
の解（ｘ，ｙ）が、攻撃パケット発信源候補の位置の座標となる。（１）式の解は
【００２４】
【数６】
2007074014.tif 000005
【００２５】
となる。ここで、
【００２６】
【数７】
2007074014.tif 000006
【００２７】
である。
（２）式より、攻撃パケット発信源候補は２つ存在することがわかる。そこで、図２に示すように、この２つの候補から１つに絞り込むために、第３の攻撃パケット発信源距離測定装置１０１３を用意する。この装置の位置の座標を（ｘ3，ｙ3）とし、攻撃パケット発信源距離をｒ3とする。このとき、（２）式の解のうち、次の（３）式
【００２８】
【数８】
2007074014.tif 000007
【００２９】
を満たす（ｘ，ｙ）が攻撃パケット発信源の位置となる。図２の場合、攻撃コンピュータ候補１００１が攻撃パケット発信源となる。
【００３０】
なお、理論上、攻撃コンピュータ候補が３つ以上存在することはなく、また攻撃コンピュータ候補が、攻撃パケット発信源距離測定装置を中心とする、異なる円上に存在することはない。
【発明の効果】
【００３１】
本発明は、攻撃コンピュータと攻撃パケット発信源距離測定装置の位置の幾何学的性質を利用して攻撃パケットの発信源を特定することにより、攻撃パケットを速やかに特定することができるという効果がある。
【発明を実施するための最良の形態】
【００３２】
次に、本発明の実施の形態について図面を参照して説明する。
【００３３】
［第１の実施形態］
図３は本発明の第１の実施形態による攻撃パケット発信源特定システムの構成図である。
【００３４】
本実施形態では、図６に示した従来のシステムにおいて、パケット通過情報記録装置２１〜２８、攻撃パケット発信源特定装置３１、攻撃パケット検出装置４１を取り除き、攻撃パケット発信源距離測定装置１０１１〜１０１３と攻撃パケット発信源特定装置１１００を備えている。
【００３５】
図４は攻撃パケット発信源距離測定装置１０１１〜１０１３と攻撃パケット発信源特定装置１１００の構成を示している。
【００３６】
攻撃パケット発信源距離測定装置１０１１〜１０１３は、攻撃しているルータを疎通するパケットから攻撃パケットを検出する攻撃パケット検出部２００１と、攻撃パケットの到着間隔から攻撃パケット発信源までの仮想的な距離（仮想距離）を求める攻撃パケット発信源仮想距離測定部２００２と、仮想距離をホップ数のようなルーティングプロトコルで使用されている次元での距離（実距離と呼ぶ）に変換し、その距離を攻撃パケット発信源距離テーブル２００５に書き込む攻撃パケット発信源実距離変換部２００３と、攻撃パケット発信源特定装置１１００から攻撃パケット発信源距離取得要求があった場合、攻撃パケット発信源距離テーブル２００５から攻撃パケット発信源距離を取得し、攻撃パケット発信源特定装置１１００にその値を返す攻撃パケット発信源距離テーブル検索部２００４から構成されている。
【００３７】
ここで、前述の「仮想距離」とは、文献「発信元偽装メール型ウイルスの感染源分析法」豊泉著，第９回ＳＩＧＥＶＡ研究会，６月，２００４年、に記載されている。すなわち、攻撃パケットに相当する感染メールの到着間隔のデータを統計処理し、感染メールの到着間隔の平均と分散を計算し、これらの統計値から感染源まで仮想距離を推定する、あるいは感染メールの単位時間当たりの到着数の統計値によって仮想距離を推定することが記載されている。攻撃パケット発信源仮想距離測定部２００２ではこれらの方法により仮想距離を測定すればよい。
【００３８】
攻撃パケット発信源特定装置１１００は、攻撃サークル情報テーブル２１０３と、各攻撃パケット発信源距離測定装置１０１１〜１０１３から攻撃パケット発信源距離を取得し、その距離を攻撃サークル情報テーブル２１０３に書き込む攻撃サークル情報取得部２１０１と、攻撃パケット発信源テーブル２１０４と、攻撃サークル情報テーブル２１０３内の情報から攻撃パケットの発信源の位置の座標を計算し、その座標を攻撃パケット発信源テーブル２１０４に書き込む攻撃パケット発信源計算部２１０２から構成される。
【００３９】
表２に攻撃サークル情報テーブル２１０３の例を示す。
【００４０】
【表２】
2007074014.tif 000008
【００４１】
次に、攻撃パケット発信源計算部２１０２での攻撃パケット発信源の座標の計算アルゴリズムを述べる。
１．攻撃サークル情報テーブル２１０３において各攻撃パケット発信源距離測定装置１０１１と１０１２の座標および攻撃パケット発信源距離の組（ｘ1，ｙ1，ｒ1），（ｘ2，ｙ2，ｒ2）の情報を取得する。
２．（１）〜（７）式を満たす二値
【００４２】
【数９】
2007074014.tif 000009
【００４３】
を求める。
３．攻撃サークル情報テーブル２１０３において攻撃パケット発信源距離測定装置１０１３の座標および攻撃パケット発信源距離の組（ｘ3，ｙ3，ｒ3）の情報を取得する。
４．二値
【００４４】
【数１０】
2007074014.tif 000010
【００４５】
において、以下の処理を行う。
【００４６】
【数１１】
2007074014.tif 000011
【００４７】
を次式の（ｘ，ｙ）に、（ｘ3，ｙ3，ｒ3）を次式に代入する。
【００４８】
【数１２】
2007074014.tif 000012
【００４９】
ｅｒｒｏｒ  ＜  ｃ（例えばｃ＝２ホップ）を満たす
【００５０】
【数１３】
2007074014.tif 000013
【００５１】
を攻撃パケットの発信源の座標とする。なお、上記のアルゴリズムの代りに、ｅｒｒｏｒが最も小さい
【００５２】
【数１４】
2007074014.tif 000014
【００５３】
を攻撃パケットの発信源の座標としてもよい。
【００５４】
［第２の実施形態］
図５は本発明の第２の実施形態による攻撃パケット発信源特定システムの構成図である。
【００５５】
本実施形態は、攻撃パケットに対し対処サービスを提供する攻撃対処サービス提供事業者４０００と、そのサービスの利用者であるインターネットサービス利用者４１００と、攻撃パケット発信源特定を行う攻撃パケット発信源特定事業者４２００を含む。
【００５６】
攻撃対処サービス提供事業者４０００は、ルータを有する。さらに、攻撃対処サービス利用者を管理する攻撃対処サービス管理装置４００１と攻撃対処サービス利用者のデータベース４００２を所有する。インターネットサービス利用者４１００は、図６に示した被攻撃コンピュータ３を所有している。攻撃パケット発信源特定事業者４２００は、攻撃パケット発信源距離測定装置１０１１−１０１３、攻撃パケット発信源特定装置１１００を管理する。さらに、攻撃パケット発信源特定サービスを管理する攻撃パケット発信源特定サービス管理装置４２０１と攻撃パケット発信源特定サービス利用者のデータベース４２０２を所有している。
【００５７】
次に、本実施形態の動作を説明する。
【００５８】
まず、インターネットサービス利用者４１００は、利用しているコンピュータが攻撃を受けていると認識した場合、攻撃対処サービス提供事業者４０００に攻撃対処依頼を行う（ステップ４０１１）。
【００５９】
それを受けた攻撃対処サービス提供事業者４０００は、攻撃対処サービス管理装置４００１を通して、攻撃対処サービス利用者管理データベース４００２にそのサービス利用を記録する。また、攻撃パケット発信源特定事業者４２００に対し攻撃パケット発信源特定依頼を行う（ステップ４０１２）。
【００６０】
それを受けた攻撃パケット発信源特定事業者４２００では、攻撃パケット発信源特定サービス管理装置４２０１を通して、攻撃パケット発信源特定サービス利用者のデータベース４２０２にそのサービス利用を記録する。また、第１の実施形態で説明した手段により、攻撃パケット発信源を特定するとともに、攻撃対処サービス管理装置４００１を通して、特定結果を通知および経費を請求する（ステップ４０１３）。
【００６１】
それを受けた攻撃対処サービス提供事業者４０００は、攻撃対処を行うとともに攻撃対処結果を、攻撃対処サービス利用者管理装置４００１を通して、攻撃対処サービス利用者管理データベース４００２に記録し、インターネットサービス利用者４１００に提供するとともに対処費を請求する（ステップ４０１４）。
【００６２】
これに従い、インターネットサービス利用者４１００は対処費を攻撃対処サービス提供事業者４０００に支払い、攻撃対処サービス提供事業者４０００は、攻撃パケット発信源特定事業者４００２に経費を支払う（ステップ４０１５，４０１６に対応する）。
【００６３】
インターネットサービス利用者４１００から対処費を受領した攻撃対処サービス提供事業者４０００は、攻撃対処サービス利用者管理装置４００１を通して、攻撃対処サービス利用者管理データベース４００２にその支払い情報を記録する。
【００６４】
攻撃対処サービス提供事業者４０００から経費を受領した攻撃パケット発信源特定事業者４２００では、攻撃パケット発信源特定サービス管理装置４２０１を通して、攻撃パケット発信源特定サービス利用者管理データベース４２０２にその支払い情報を記録する。
【図面の簡単な説明】
【００６５】
【図１】本発明の、２つの攻撃サークルを用いた攻撃パケット発信源の特定の説明図である。
【図２】本発明の、３つの攻撃サークルを用いた攻撃パケット発信源の特定の説明図である。
【図３】本発明の第１の実施形態による攻撃パケット発信源特定システムの構成図である。
【図４】図３の各装置のブロック図である。
【図５】本発明の第２の実施形態による攻撃パケット発信源特定システムの構成図である。
【図６】従来の攻撃パケット発信源特定システムの構成図である。
【図７】図６の各装置のブロック図である。
【図８】ネットワークトポロジを示す図である。
【図９】ルータ１５を起点とする最短パス木を示す図である。
【図１０】攻撃グラフを示す図である。
【符号の説明】
【００６６】
１    ネットワーク
２    攻撃コンピュータ
３、４    被攻撃コンピュータ
５、６    攻撃パケットパス
１１〜１８    ルータ
２１〜２６    パケット通過情報記録装置
１０１１〜１０１３    攻撃パケット発信源距離測定装置
１１００    攻撃パケット発信源特定装置
２００１    攻撃パケット検出部
２００２    攻撃パケット発信源仮想距離測定部
２００３    攻撃パケット発信源実距離変換部
２００４    攻撃パケット発信源距離テーブル検索部
２００５    攻撃パケット発信源距離テーブル
２１０１    攻撃サークル情報取得部
２１０２    攻撃パケット発信源計算部
２１０３    攻撃サークル情報テーブル
２１０４    攻撃パケット発信源テーブル
４０００    攻撃対処サービス提供事業者
４００１    攻撃対処サービス管理装置
４００２    攻撃対処サービス利用者管理データベース
４１００    インターネットサービス利用者
４２００    攻撃パケット発信源特定事業者
４２０１    攻撃パケット発信源特定サービス管理装置
４２０２    攻撃パケット発信源特定サービス利用者管理データベース
４０１１−４０１６    ステップ
【図１】
2007074014.tif 000019
【図２】
2007074014.tif 000020
【図３】
2007074014.tif 000021
【図４】
2007074014.tif 000022
【図５】
2007074014.tif 000023
【図６】
2007074014.tif 000024
【図７】
2007074014.tif 000025
【図８】
2007074014.tif 000026
【図９】
2007074014.tif 000027
【図１０】
2007074014.tif 000028