(57)【要約】【課題】  攻撃先ホストに不正な応答パケットが届く反射攻撃を簡単に検知することができる攻撃検出装置を提供する。【解決手段】      踏み台ホストを踏み台とし、送信元アドレスを詐称してなされる攻撃元ホストによる攻撃先ホストに対する反射攻撃を、前記攻撃先ホストが備えられたネットワークに接続されたゲートウェイを通過するパケットを利用して検出する攻撃検出装置において、  前記踏み台ホストが攻撃先ホストに出力する応答パケットの数をカウントする応答カウンタと、  前記攻撃先ホストが出力する要求パケットの数をカウントする要求カウンタを備え、  前記応答カウンタでカウントされた応答パケットの数が前記要求カウンタでカウントされた要求パケットの数より大きいときに反射攻撃が行われたものと判断する。  【選択図】                    図１
2007288246.tif 000002
【特許請求の範囲】
【請求項１】
踏み台ホストを踏み台とし、送信元アドレスを詐称してなされる攻撃元ホストによる攻撃先ホストに対する反射攻撃を、前記攻撃先ホストと共にネットワークに接続されたゲートウェイを通過するパケットを利用して検出する攻撃検出装置において、
前記踏み台ホストが攻撃先ホストに出力する応答パケットの数をカウントする応答カウンタと、
前記攻撃先ホストが出力する要求パケットの数をカウントする要求カウンタを備え、
前記応答カウンタでカウントされた応答パケットの数が前記要求カウンタでカウントされた要求パケットの数より大きいときに反射攻撃が行われたものと判断する攻撃検出装置。
【請求項２】
前記応答カウンタと前記要求カウンタを前記ゲートウェイに設けたことを特徴とする請求項１記載の攻撃検出装置。
【請求項３】
踏み台ホストを踏み台とし、送信元アドレスを詐称してなされる攻撃元ホストによる攻撃先ホストに対する反射攻撃を、前記攻撃先ホストと共にネットワークに接続されたゲートウェイを通過するパケットを利用して検出する攻撃検出装置において、
前記踏み台ホストが攻撃先ホストに出力する応答パケットの数をカウントする応答カウンタと、
前記攻撃先ホストが出力する要求パケットの数をカウントする要求カウンタと、
前記応答カウンタでカウントされた応答パケットの数が前記要求カウンタでカウントされた要求パケットの数より大きいときに反射攻撃が行われたものと判断する比較器と
を備えたことを特徴とする攻撃検出装置。
【請求項４】
踏み台ホストを踏み台とし、送信元アドレスを詐称してなされる攻撃元ホストによる攻撃先ホストに対する反射攻撃を、前記攻撃先ホストと共にネットワークに接続された複数のゲートウェイを通過するパケットを利用して検出するマルチホーミング環境における攻撃検出装置において、
前記踏み台ホストが攻撃先ホストに出力する応答パケットの数をカウントする応答カウンタと前記攻撃先ホストが出力する要求パケットの数をカウントする要求カウンタを前記ゲートウェイごとに設け、
これらゲートウェイごとに設けられた応答カウンタおよび要求カウンタのカウント値をそれぞれ足し合わせ、前記応答カウンタでカウントされた数の合計値が前記要求カウンタでカウントされた数の合計値より大きいときに反射攻撃が行われたものと判断する比較手段と
を備えたことを特徴とするマルチホーミング環境における攻撃検出装置。
【請求項５】
前記攻撃先ホストが複数である場合において、
前記応答カウンタと前記要求カウンタを複数の前記攻撃先ホストごとに設けたことを特徴とする請求項１乃至４のいずれかに記載の攻撃検出装置。
【請求項６】
前記応答カウンタと前記要求カウンタのカウント動作を所定の時間ごとに行うことを特徴とする請求項１乃至５のいずれかに記載の攻撃検出装置。
【請求項７】
前記要求パケットがICMPのECHO Requestパケット、前記応答パケットが、ICMPのECHO Replyパケットであることを特徴とする請求項１乃至６のいずれかに記載の攻撃検出装置。
【請求項８】
前記要求パケットがUDPのECHOサービスによるRequestパケット、前記応答パケットが、UDPのECHOサービスによる Replyパケットであることを特徴とする請求項１乃至6のいずれかに記載の攻撃検出装置。
【請求項９】
前記要求パケットがTCPのSYNビットが立っておりACKビットが立っていないパケット、前記応答パケットが、TCPのSYNビットおよびACKビットが立っているパケットであることを特徴とする請求項１乃至６のいずれかに記載の攻撃検出装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、攻撃先ホストに不正な応答パケットが届く反射攻撃を簡単に検知することができる攻撃検出装置に関し、特にネットワークゲートウェイやルータを用いて反射攻撃を検出することができる攻撃検出装置に関する。
【背景技術】
【０００２】
一般に、攻撃対象となるホストに対してなされる攻撃は、踏み台となるホストを介して行われる。これは攻撃元ホストが、自己のIPアドレスを特定されないようにするためである。具体的には、攻撃元ホストは要求パケットの送信に際し、送信元アドレスに攻撃先ホストのIPアドレスを利用する。
【０００３】
この様にアドレスを詐称して攻撃されると、攻撃を受けるホストから見れば、送信元IPアドレスと送信先IPアドレスが同一という通常の動作では発生し得ないパケットを受信することになる。そのため、このようなパケットを受信した攻撃先ホストのハードウェアは付加が増加し機能が低下若しくは停止する場合がある。このような攻撃方法のことを反射攻撃（DRDos: Distributed Reflection Denial of Service）という。反射攻撃の先行技術文献としては次のようなものがある。
【０００４】
【特許文献１】特開２００４−２０１０４２号公報
【０００５】
以下、図１０を参照して従来の攻撃検出装置について説明する。ホスト１は要求パケットを出力する。ゲートウェイ２は、反射攻撃を検出したいネットワークの入り口に設置され、要求パケットを受信する。ホスト３はゲートウェイ２に接続されると共に、ゲートウェイ２を介して入力された要求パケットに対して応答パケットを出力する。そして、これらのパケットのやり取りを記録するために、ゲートウェイ２には要求パケットを記録する要求テーブル４が設けられている。
【０００６】
次に、図１０を参照して反射攻撃の判断方法を説明する。ホスト１から出力された要求パケットがゲートウェイ２を通過すると、通過した方向、要求パケットのID、およびパケットのプロトコル種別を要求テーブル４に記録する。要求パケットを受けたホスト３は応答パケットを出力し、この応答パケットがゲートウェイ２を通過すると、応答パケットのプロトコル、IDにそれぞれ対応するプロトコル、IDを持つエントリーが要求テーブル４に存在するかを照合する。エントリーが存在し、かつ、要求パケットと応答パケットの方向が逆の場合のみ正常と判断し、それ以外の場合は反射攻撃と判断する。
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、従来の攻撃検出装置には次の問題点があった。すなわち、1パケットずつ検査するので処理に時間がかかり、処理が重くなる可能性がある。また、要求パケットの数だけのエントリーを保持するテーブルが必要となるため、大量のリソースを必要とする
【０００８】
本発明は、これらの問題点に鑑みてなされたものであり、パケットを1つ1つチェックすることなく、統計量だけで反射攻撃を検知することができるようにすることを目的とする。
【課題を解決するための手段】
【０００９】
このような課題を達成するために請求項１記載の発明は、
踏み台ホストを踏み台とし、送信元アドレスを詐称してなされる攻撃元ホストによる攻撃先ホストに対する反射攻撃を、前記攻撃先ホストと共にネットワークに接続されたゲートウェイを通過するパケットを利用して検出する攻撃検出装置において、
前記踏み台ホストが攻撃先ホストに出力する応答パケットの数をカウントする応答カウンタと、
前記攻撃先ホストが出力する要求パケットの数をカウントする要求カウンタを備え、
前記応答カウンタでカウントされた応答パケットの数が前記要求カウンタでカウントされた要求パケットの数より大きいときに反射攻撃が行われたものと判断する。
【００１０】
また、請求項２記載の発明は、請求項１記載の攻撃検出装置において、
前記応答カウンタと前記要求カウンタを前記ゲートウェイに設ける。
【００１１】
また、請求項３記載の発明は、
踏み台ホストを踏み台とし、送信元アドレスを詐称してなされる攻撃元ホストによる攻撃先ホストに対する反射攻撃を、前記攻撃先ホストと共にネットワークに接続されたゲートウェイを通過するパケットを利用して検出する攻撃検出装置において、
前記踏み台ホストが攻撃先ホストに出力する応答パケットの数をカウントする応答カウンタと、
前記攻撃先ホストが出力する要求パケットの数をカウントする要求カウンタと、
前記応答カウンタでカウントされた応答パケットの数が前記要求カウンタでカウントされた要求パケットの数より大きいときに反射攻撃が行われたものと判断する比較器と
を備える。
【００１２】
また、請求項４記載の発明は、
踏み台ホストを踏み台とし、送信元アドレスを詐称してなされる攻撃元ホストによる攻撃先ホストに対する反射攻撃を、前記攻撃先ホストと共にネットワークに接続された複数のゲートウェイを通過するパケットを利用して検出するマルチホーミング環境における攻撃検出装置において、
前記踏み台ホストが攻撃先ホストに出力する応答パケットの数をカウントする応答カウンタと前記攻撃先ホストが出力する要求パケットの数をカウントする要求カウンタを前記ゲートウェイごとに設け、
これらゲートウェイごとに設けられた応答カウンタおよび要求カウンタのカウント値をそれぞれ足し合わせ、前記応答カウンタでカウントされた数の合計値が前記要求カウンタでカウントされた数の合計値より大きいときに反射攻撃が行われたものと判断する比較手段と
を備える。
【００１３】
また、請求項５記載の発明は、請求項１乃至４のいずれかに記載の攻撃検出装置において、
前記攻撃先ホストが複数である場合において、
前記応答カウンタと前記要求カウンタを複数の前記攻撃先ホストごとに設ける。
【００１４】
また、請求項６記載の発明は、請求項１乃至５のいずれかに記載の攻撃検出装置において、
前記応答カウンタと前記要求カウンタのカウント動作を所定の時間ごとに行う。
【００１５】
また、請求項７記載の発明は、請求項１乃至６のいずれかに記載の攻撃検出装置において、
前記要求パケットがICMPのECHO Requestパケット、前記応答パケットが、ICMPのECHO Replyパケットである。
【００１６】
また、請求項８記載の発明は、請求項１乃至6のいずれかに記載の攻撃検出装置において、
前記要求パケットがUDPのECHOサービスによるRequestパケット、前記応答パケットが、UDPのECHOサービスによる Replyパケットである。
【００１７】
さらに、請求項９記載の発明は、請求項１乃至６のいずれかに記載の攻撃検出装置において、
前記要求パケットがTCPのSYNビットが立っておりACKビットが立っていないパケット、前記応答パケットが、TCPのSYNビットおよびACKビットが立っているパケットである。
【発明の効果】
【００１８】
本発明では次のような効果がある。すなわち、要求パケットの数をカウントする要求カウンタと応答パケットの数をカウントする応答カウンタのカウント数から統計量を求めることにより反射攻撃の有無を検出することができるため、ゲートウェイ機器の負荷を軽くすることができる。また、ハードウェアリソースの使用量を低く押えることができる。
【発明を実施するための最良の形態】
【００１９】
以下、図１を参照して本発明の実施例を説明する。ここで、図１は反射攻撃がなされる場合のネットワーク構成例である。攻撃元ホスト２１は送信元のアドレスを詐称することにより反射攻撃を仕掛けるホストである。ゲートウェイ２２は反射攻撃を検出したいネットワークの入り口に設置される。攻撃先ホスト２３は、ゲートウェイ２２を介して攻撃元ホスト２１から反射攻撃を受けるホストである。検出器２４はゲートウェイ２２に通信回線を介して接続され、後述する統計情報を取得する。なお、この検出器２４はゲートウェイ２２と通信回線で接続せず、ゲートウェイ２２に内蔵しても差し支えない。
【００２０】
踏み台ホスト２５は、攻撃元ホスト２１が攻撃先ホスト２３に反射攻撃を仕掛ける際に踏み台として使用される。ネットワーク２６には攻撃ホスト２１と踏み台ホスト２５が設けられ、ゲートウェイ２２に通信回線を介して接続されている。ネットワーク２７には攻撃先ホスト２３が設けられ、ゲートウェイ２２に通信回線を介して接続されている。
【００２１】
次に、図１の動作について図４を参照して説明する。ここで、図４はゲートウェイ２２の詳細説明図である。すなわち、図４のゲートウェイ５０は図１のゲートウェイ２２に対応するものである。また、図４のゲートウェイ５０には要求パケットが通過する際にカウントする要求カウンタ５１と応答パケットが通過する際にカウントする応答カウンタ５２が設けられている。
【００２２】
まず、攻撃元ホスト２１が踏み台ホスト２５に送信元IPアドレスを攻撃先ホスト２３に設定した要求パケットを送信する。すなわち、本来的には、送信元IPアドレスは攻撃元ホスト２１になるところ、攻撃元ホスト２１は送信元IPアドレスを攻撃先ホスト２３に詐称してパケットを送信する。踏み台ホスト２５は要求パケットを受信し、ゲートウェイ２２を介して応答パケットを攻撃先ホスト２３に送信する。つまり、攻撃先ホスト２３は要求パケットを送信していないにもかかわらず、応答パケットを受信することになる。ゲートウェイ２２を応答パケットが通過するとき、図４の応答カウンタ５２がカウントアップされる。
【００２３】
次に、図３を参照して検出器２４の動作を説明する。ここで、図３は図１および図２の検出器２４、３４の動作を説明するフローチャートである。検出器２４はゲートウェイ２２から応答カウンタ５２のカウント値を取得する（ステップＡ１）。応答カウンタ５２のカウント値は、応答パケットがゲートウェイ２２を応通過して、攻撃先ホスト２３で受信されているので”１”となる。
【００２４】
検出器２４がゲートウェイ２２から要求カウンタ５１を取得する（ステップＡ２）。要求カウンタ５１のカウント値は、要求していないので当然”０”となる。つづいて、ステップＡ２で取得した要求カウンタ５１のカウント値とステップＡ１で取得した応答カウンタ５２のカウント値を比較する（ステップＡ３）。
【００２５】
このように、反射攻撃があった場合は応答カウンタ５２のカウント値が要求カウンタ５１のカウント値より大きくなるので、統計量としては”応答カウンタ５２のカウント数＞要求カウンタのカウント数”の関係となり、反射攻撃があったことを検出することができる（ステップＡ４）。なお、要求パケット数と応答パケット数の大小の比較ではなく次の方法による判定も可能である。すなわち、
【００２６】
（応答パケット数／要求パケット数）*１００
で求められる値に閾値を設定し、この閾値より値が大きくなる場合に反射攻撃があったと判定しても差し支えない。さらに、過去の応答パケット数と要求パケット数から統計的に許容される閾値を算出し、その閾値より値が大きくなる場合に反射攻撃があったものと判定しても差し支えない。なお、これらの比較は比較器５３を用いて行っても差し支えない。
【００２７】
次に、図２を参照して反射攻撃がない場合のネットワーク構成例について説明する。ホスト３１は応答パケットを出力するホストである。ゲートウェイ３２はネットワーク３６の入り口に設置される。ホスト３３は要求パケットを出力するホストである。検出器３４はゲートウェイ３２に通信回線を介して接続され、統計情報を取得する。ネットワーク３５にはホスト３１が設けられ、ゲートウェイ３２に通信回線を介して接続されている。ネットワーク３６には攻撃先ホスト３３が設けられ、ゲートウェイ３２に通信回線を介して接続されている。
【００２８】
次に、図２の動作について図３および図４を参照して説明する。ここで、図４のゲートウェイ５０は図２のゲートウェイ３２に対応するものである。ホスト３３がホスト３１に要求パケットを送信する。このとき、ゲートウェイ３２をネッワーク３６からネットワーク３５の方向に要求パケットが通過し、ゲートウェイ３２の要求カウンタ５１がカウントアップされる。
【００２９】
ホスト３１が要求パケットを受信し、ホスト３３宛に応答パケットを送信する。このとき、ゲートウェイ３２をネットワーク３５からネットワーク３６の方向に応答パケットが通過し、ゲートウェイ３２の応答カウンタ５２がカウントアップされる。検出器３４がゲートウェイ３２から応答カウンタ５２を取得する（ステップＡ１）。検出器３４がゲートウェイ３２から要求カウンタ５１を取得する（ステップＡ２）。ステップＡ１で取得した応答カウンタ５２のカウント値とステップＡ２で取得した要求カウンタのカウント値を比較する（ステップＡ３）。
【００３０】
ここで、要求カウンタ５１と応答カウンタ５２のカウント値はそれぞれ”１”となる。このように、反射攻撃が無かった場合は、要求カウンタ５２のカウント値が応答カウンタのカウント値「以上」になるので、反射攻撃がなかったことが検出することができる（ステップＡ５）。
【００３１】
このように、要求パケットの数をカウントする要求カウンタ５１と応答パケットの数をカウントする応答カウンタ５２のカウント数から統計量を求めることにより反射攻撃の有無を検出することができるため、ゲートウェイ機器の負荷を軽くすることができる。
【００３２】
なお、本実施例で説明した要求パケットと応答パケットは次の用途に応用できる。例えば、要求パケットがICMP（Internet Control Message Protocol）におけるECHO Request「エコーリクエスト」パケットであって、応答パケットがICMPにおけるECHO Reply「エコーリプライ」パケットの場合である。
【００３３】
すなわち、ICMPはIPのエラーメッセージや制御メッセージを転送するプロトコルであるが、例えばTCP/IPで接続されたコンピュータやネットワーク機器間で互いの状態を確認するために用いられるものである。また、このプロトコルではネットワーク診断プログラムにpingが使用される。pingコマンドは、このICMPというプロトコルを使って確認したい相手にエコーリクエストというパケット（要求パケット）を送り、相手はエコーリプライパケット（応答パケット）を投げ返す。
【００３４】
また、本実施例で説明した要求パケットと応答パケットは次の用途にも応用できる。すなわち、要求パケットがUDP（User Datagram Protocol）のECHOサービスにおけるRequestパケットであって、応答パケットがUDPのECHOサービスにおけるReplyパケットの場合である。
【００３５】
同様に、本発明で説明した要求パケットと応答パケットは次の用途にも応用できる。すなわち、要求パケットがTCP（Transmission Control Protocol）のSYN（シン）ビットが立ちACK（アック）ビットが立っていないパケットであって、応答パケットがTCPのSYNビットおよびACKビットが立っているパケットの場合である。
【００３６】
このように、本発明は、ICMPプロトコルを使用したエコーリクエストパケットとエコーリプライパケットの関係やTCPにおける「SYN」と「SYNおよびACK」の関係にも、応用することができる。
【００３７】
次に、本発明の他の実施例について図５を参照して説明する。図５は攻撃元ホスト６１と踏み台ホスト６２が同じネットワークに接続されていない場合の実施例である。図５は攻撃元ホスト６１と踏み台ホスト６２がWAN/インターネット６３を介して接続されている点を除き、図１の構成と同様なので説明を省略する。図５によれば、攻撃元ホスト６１と踏み台ホスト６２がWANやインターネットを介して接続されている場合でも、反射攻撃の有無を検出したいネットワークの入り口に設けられたゲートウェイにカウンタを備える本発明を用いることにより、反射攻撃の有無を検出することができる。同様の理由により、攻撃元ホストや踏み台ホストが複数台存在している場合でも反射攻撃の有無を検出することができる。
【００３８】
図６はマルチホーミング環境のネットワーク接続例である。マルチホーミングとは、インターネットなどの外部のネットワークに接続する際に、複数の経路（ISP: Internet Services Provider）を使って接続することをいう。
【００３９】
ネットワーク７０には、攻撃先ホスト７９と他のホスト７８が設けられる。攻撃元ホスト７１は送信元のアドレスを詐称することにより反射攻撃を仕掛けるホストである。踏み台ホスト７２は、攻撃元ホスト７１が攻撃先ホスト７９に反射攻撃を仕掛ける際に踏み台として使用される。WAN/インターネット７３は攻撃元ホスト７１から出力される送信元アドレスが詐称された要求パケットを踏み台ホスト７２に転送する。
【００４０】
検出器７４、７７はゲートウェイ７５、７６に通信回線を介して接続され、統計情報を取得する。なお、この検出器７４、７７はゲートウェイ７５、７６と通信回線で接続せず、ゲートウェイ７５、７６に内蔵しても差し支えない。ゲートウェイ７５、７６は反射攻撃を検出したいネットワークの入り口に設置される。このように、ネットワーク７０がマルチホーミング環境であった場合、ゲートウェイ機器が複数台必要となる。
【００４１】
ホスト７８は攻撃先ホスト７９と同一のネットワーク７０に設けられている。攻撃先ホスト７９は、ゲートウェイ７５又は７６を介して攻撃元ホスト７１から反射攻撃を受けるホストである。
【００４２】
次に、図６の動作を説明する。攻撃元ホスト７１から踏み台７２を利用して出力される要求パケットはゲートウェイ７５、７６のどちらを通過するか不定であり、攻撃先ホスト７９、又はホスト７８から出力される要求パケットもゲートウェイ７５、７６のどちらを通過するか不定である。しかし、ゲートウェイ７５とゲートウェイ７６の要求パケットの合計数と応答パケットの合計数を比較することにより、マルチホーミング環境のネットワークであっても反射攻撃の有無を検出することができる。
【００４３】
次に、図７を参照して複数のホストのうちどのホストが攻撃されているか検出する例を説明する。図７の攻撃先別カウンタ８１は、要求カウンタと応答カウンタ攻撃先ホストごとにカウントされることを意味している。ホスト１では要求カウンタのカウント数が「２８７」であるのに対し応答カウンタのカウント数が「１８５」なので、反射攻撃がなされていないことがわかる。
【００４４】
一方、ホスト２では要求カウンタのカウント数が「２４」であるのに対し応答カウンタのカウンタ数が「３９１」と上回るので、ホスト２に対して反射攻撃がなされていることが分かる。このように、要求パケットのカウンタと応答パケットのウンタを攻撃先ホストまたは攻撃先ネットワーク毎に持つことで、どのホストが攻撃されているか検出することができる。
【００４５】
図８は踏み台にされているホストがどのホストに攻撃を仕掛けているかを検出することができるカウンタの設定例である。図８の攻撃先攻撃元別カウンタ９１より、要求カウンタのカウント数より応答カウンタのカウント数が上回るホスト２では、攻撃元ホストがホストＢとなっているので、ホストＢが踏み台として利用されていることがわかる。このように、要求パケット数と応答パケット数を、攻撃先ホストと攻撃元ホストの組み合わせでカウンタを設定することにより、どの踏み台ホストからどのホストに対して攻撃が行われているかが検出可能となる。
【００４６】
次に、図１の説明で補足した「過去の応答パケット数と要求パケット数から統計的に許容される閾値を算出する方法」の応用例について図９を参照して説明する。図９のように、任意の単位時間を設定し、単位時間毎にカウンタを用いて検出を行うことにより、統計量の算出に不要な過去の情報に左右されることなく、現在反射攻撃が行われているかを検出することができる。なお、本願で説明したゲートウェイは、ルータ、スイッチ、IDS(Intrusion Detection System)、IPS(Intrusion Prevention／Protection System)にも応用できる。
【図面の簡単な説明】
【００４７】
【図１】本発明による反射攻撃がある場合のネットワーク構成例である。
【図２】本発明による反射攻撃がない場合のネットワーク構成例である。
【図３】検出器２４、３４の動作を説明するフローチャートである。
【図４】ゲートウェイ２２、３２の詳細説明図である。
【図５】攻撃元ホスト６１と踏み台ホスト６２が同じネットワークに接続されていない場合の実施例である。
【図６】マルチホーミング環境ネットワークの接続例である。
【図７】複数のホストのうちどのホストが攻撃されているか検出する例の説明図である。
【図８】踏み台にされているホストがどのホストに攻撃を仕掛けているかを検出するこカウンタの設定例である。
【図９】統計量の算出に不要な過去の情報に左右されない、単位時間毎にカウンタを用いて検出する例である。
【図１０】従来の攻撃検出装置の構成例である。
【符号の説明】
【００４８】
２１                攻撃元ホスト
２２                ゲートウェイ
２３                攻撃先ホスト
２４                検出器
２５                踏み台ホスト
２６                ネットワーク
２７                ネットワーク
５１                要求カウンタ
５２                応答カウンタ
【図３】
2007288246.tif 000003
【図４】
2007288246.tif 000004
【図７】
2007288246.tif 000005
【図８】
2007288246.tif 000006
【図９】
2007288246.tif 000007
【図１】
2007288246.tif 000008
【図２】
2007288246.tif 000009
【図５】
2007288246.tif 000010
【図６】
2007288246.tif 000011
【図１０】
2007288246.tif 000012