(57)【特許請求の範囲】
【請求項１】
他のネットワークとの境界に設けられた複数のボーダルータと１対１で対応して接続される複数の物理ポートと、
前記複数の物理ポートを介して前記他のネットワークからパケットを受信する１つの受信部と、
前記受信部が受信したパケットと前記受信したパケットが通過した前記物理ポートに基づいた通過履歴情報を記憶する記憶部と、
ログ情報に異常パケットが含まれるかを検知し、前記異常パケットの可能性がある対象パケットを抽出する異常パケット検知部と、
前記通過履歴情報に基づいて、前記対象パケットが通過した前記物理ポートを特定する物理ポート特定部と、
を備えることを特徴とする、パケット通信装置。
【請求項２】
前記物理ポート毎の前記受信したパケットの単位時間当たりの数に基づいて、異常な受信であるかを判断する受信異常検知部と、
前記受信異常検知部で異常な受信と判断されたとき、前記異常な受信をした前記物理ポートに接続された前記ボーダルータに対して前記パケットの受信の制御を命令する受信制御命令部と、
を更に備えることを特徴とする、請求項１に記載のパケット通信装置。
【請求項３】
前記通過履歴情報は、前記受信部が受信したパケットに関する情報と前記受信したパケットが通過した前記物理ポートに関する情報がハッシュ化処理されてハッシュテーブルとして前記記憶部に記憶されることを特徴とする、請求項１又は２に記載のパケット通信装置。
【請求項４】
前記受信異常検知部が判断対象とする前記受信したパケットは、送信元ＩＰアドレス、送信元ポート、送信先ＩＰアドレス、送信先ポート又はプロトコルＩＤであることを特徴とする、請求項２又は３に記載のパケット通信装置。
【請求項５】
他のネットワークとの境界に設けられた複数のボーダルータと１対１で対応して接続される複数の物理ポートを介して、前記他のネットワークからパケットを１つの受信部が受信するステップと、
前記受信部が受信したパケットと前記受信したパケットが通過した前記物理ポートに基づいた通過履歴情報を記憶部に記憶するステップと、
ログ情報に異常パケットが含まれるかを検知し、前記異常パケットの可能性がある対象パケットを抽出するステップと、
前記通過履歴情報に基づいて、前記対象パケットが通過した前記物理ポートを特定するステップと、
を含むことを特徴とする、パケット通信方法。
【請求項６】
他のネットワークとの境界に設けられた複数のボーダルータと１対１で対応して接続される複数の物理ポートを介して、前記他のネットワークからパケットを１つの受信部が受信する手段、
前記受信部が受信したパケットと前記受信したパケットが通過した前記物理ポートに基づいた通過履歴情報を記憶部に記憶する手段、
ログ情報に異常パケットが含まれるかを検知し、前記異常パケットの可能性がある対象パケットを抽出する手段、
前記通過履歴情報に基づいて、前記対象パケットが通過した前記物理ポートを特定する手段、
としてコンピュータを機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、パケット通信装置、パケット通信方法及びプログラムに関する。
【背景技術】
【０００２】
インターネットサービスプロバイダ（ＩＳＰ）ネットワークが受信するパケットのうち、異常パケットを検知することによって、サーバ等のネットワークを構築する機器の停止や異常動作などを未然に防止することができる。
【０００３】
異常パケットを検知するため、例えば、観測プローブが、パケットのトラフィックをモニタリングし、パケットの数やサイズが集計される。その際、パケットのうち主要データ項目をキーとするため、全てのパケットを対象にパケットヘッダ情報が参照され、主要データ項目に該当するパケットが検索されて、キー毎にグルーピングされる。この集計結果から、例えば、件数、サイズ又は使用ポート等に特異な傾向のあるパケットが、異常パケット候補として抽出される。
【０００４】
あるいは、異常パケットを検知するため、観測プローブでモニタリングされている全てのパケットを対象として、一定時間、記憶領域（メモリ）にパケット情報を保持しておく。そして、保持されたパケット情報が、ＩＤＳ（Intrusion  Detection  System）などのセキュリティシステムで検出された異常パケットの可能性があるパケットと照合される。一致するという照合結果が得られたとき、異常パケットがネットワークを通過したという事実が認知される。
【０００５】
上記の異常パケット検知によって、異常パケットが抽出されることで、ＤｏＳ（Denial  of  Service）攻撃等の影響による異常の発生と、攻撃パケットの通過経路を知ることができる。
【０００６】
【非特許文献１】ＩＰトレースバック用データ収集装置の機能拡充のためのファームウェア設計書
【発明の開示】
【発明が解決しようとする課題】
【０００７】
ところで、異常パケットを検知するため、観測プローブは、外部ネットワークとの境界に設けられるボーダルータ毎に設置され、観測プローブと接続されたマネージャによって管理される。マネージャは、パケット数やサイズなどの集計条件を観測プローブに対して設定したり、観測プローブから集計結果の報告を受けたりする。また、マネージャは、観測プローブから、観測プローブで保持されたパケット情報が、ＩＤＳ（Intrusion  Detection  System）などのセキュリティシステムで検出された異常パケットの可能性があるパケットと一致するか否かという照合結果を受ける。これらの設定や結果の送受信は、観測プローブとマネージャ間の通信によって行われる。
【０００８】
一般に、各観測プローブとマネージャ間の通信は、インターネットサービスプロバイダ（ＩＳＰ）が提供している既存のネットワーク回線とは分離されている管理専用ネットワークを介して行われる。しかし、ボーダルータの数と同数の観測プローブと、マネージャとの間でそれぞれ通信が発生するため、観測プローブの数に対応したネットワーク負荷が発生するという問題があった。
【０００９】
また、観測プローブの消費電力や、観測プローブを設置するための占有スペースもボーダルータの数に対応している。そのため、ボーダルータや観測プローブの導入の際、拡張のための設置条件が大規模になるという問題があった。
【００１０】
そこで、本発明は、上記問題に鑑みてなされたものであり、本発明の目的とするところは、異常パケットが通過したボーダルータの特定を少ない通信量で効率良く行うことが可能な、新規かつ改良されたパケット通信装置、パケット通信方法及びプログラムを提供することにある。
【課題を解決するための手段】
【００１１】
上記課題を解決するために、本発明のある観点によれば、他のネットワークとの境界に設けられた複数のボーダルータと１対１で対応して接続される複数の物理ポートと、複数の物理ポートを介して他のネットワークからパケットを受信する１つの受信部と、受信部が受信したパケットと受信したパケットが通過した物理ポートに基づいた通過履歴情報を記憶する記憶部と、ログ情報に異常パケットが含まれるかを検知し、異常パケットの可能性がある対象パケットを抽出する異常パケット検知部と、通過履歴情報に基づいて、対象パケットが通過した物理ポートを特定する物理ポート特定部とを備えることを特徴とするパケット通信装置が提供される。
【００１２】
上記物理ポート毎の受信したパケットの単位時間当たりの数に基づいて、異常な受信であるかを判断する受信異常検知部と、受信異常検知部で異常な受信と判断されたとき、異常な受信をした物理ポートに接続されたボーダルータに対してパケットの受信の制御を命令する受信制御命令部とを更に備えてもよい。
【００１３】
上記通過履歴情報は、受信部が受信したパケットに関する情報と受信したパケットが通過した物理ポートに関する情報がハッシュ化処理されてハッシュテーブルとして記憶部に記憶されてもよい。
【００１４】
上記受信異常検知部が判断対象とする受信したパケットは、送信元ＩＰアドレス、送信元ポート、送信先ＩＰアドレス、送信先ポート又はプロトコルＩＤであってもよい。
【００１５】
また、上記課題を解決するために、本発明の別の観点によれば、他のネットワークとの境界に設けられた複数のボーダルータと１対１で対応して接続される複数の物理ポートを介して、他のネットワークからパケットを１つの受信部が受信するステップと、受信部が受信したパケットと受信したパケットが通過した物理ポートに基づいた通過履歴情報を記憶部に記憶するステップと、ログ情報に異常パケットが含まれるかを検知し、異常パケットの可能性がある対象パケットを抽出するステップと、通過履歴情報に基づいて、対象パケットが通過した物理ポートを特定するステップとを含むことを特徴とするパケット通信方法が提供される。
【００１６】
また、上記課題を解決するために、本発明の別の観点によれば、他のネットワークとの境界に設けられた複数のボーダルータと１対１で対応して接続される複数の物理ポートを介して、他のネットワークからパケットを１つの受信部が受信する手段、受信部が受信したパケットと受信したパケットが通過した物理ポートに基づいた通過履歴情報を記憶部に記憶する手段、ログ情報に異常パケットが含まれるかを検知し、異常パケットの可能性がある対象パケットを抽出する手段、通過履歴情報に基づいて、対象パケットが通過した物理ポートを特定する手段としてコンピュータを機能させるためのプログラムが提供される。
【発明の効果】
【００１７】
本発明によれば、異常パケットが通過したボーダルータの特定を少ない通信量で効率良く行うことができる。
【発明を実施するための最良の形態】
【００１８】
以下に添付図面を参照しながら、本発明の好適な実施の形態について詳細に説明する。なお、本明細書及び図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。
【００１９】
（第１の実施形態の構成）
まず、本発明の第１の実施形態に係る異常パケット検知システムの構成について説明する。図１は、本実施形態の異常パケット検知システムとネットワークの構成を示すブロック図である。
【００２０】
異常パケット検知システムは、例えば、ＩＳＰネットワーク１００に設けられ、観測プローブ１１０とマネージャ１３０などからなる。異常パケット検知システムは、外部ネットワーク（図１に示す例では、ＩＳＰネットワーク１０２、ＩＳＰネットワーク１０４など）との境界に設けられた複数のボーダルータ１４２、１４４、１４６と接続される。
【００２１】
図１では、外部ネットワークであるＩＳＰネットワーク１０２、ＩＳＰネットワーク１０４に攻撃者２０、２２が存在し、攻撃者２０、２２からＩＳＰネットワーク１００における複数の保護対象ホスト１２、１４、１６（以下、総称して「保護対象ホスト群１０」ともいう。）に対して異常パケットの送信などの攻撃（例えば、ＤｏＳ（Denial  of  Service）攻撃等）が行われる場合について図示している。
【００２２】
観測プローブ１１０は、外部ネットワークから受けるパケットを観測し、どの外部ネットワークからどの程度のパケットが送信されているかについて集計する。また、観測プローブ１１０は、異常パケットの可能性がある対象パケットがどのボーダルータを通過したかを判別する。
【００２３】
観測プローブ１１０は、１つの観測プローブ１１０が複数のボーダルータ１４２、１４４、１４６と接続され、ボーダルータ１４２、１４４、１４６を介して、外部のネットワークからパケットを受ける。図１に示す例では、観測プローブ１１０が３つのボーダルータ１４２、１４４、１４６と接続される場合について示すが、本発明は、かかる例に限定されず、３つ以外の複数のボーダルータと接続される場合に適用することができる。
【００２４】
観測プローブ１１０には、ボーダルータの数と対応して物理ポートＰ１、Ｐ２、Ｐ３が設けられており、１つの物理ポートが１つのボーダルータと１対１で対応して接続される。
【００２５】
マネージャ１３０は、観測プローブ１１０と接続され、観測プローブ１１０から各種データを受けたり、観測プローブ１１０の設定を行ったりする。
【００２６】
次に、図２を参照して、本実施形態に係る観測プローブ１１０の構成について詳しく説明する。図２は、本実施形態に係る観測プローブ１１０を示すブロック図である。
【００２７】
観測プローブ１１０は、例えば、ポート識別部（Ｃ０）１１１と、パケット取得部（Ｃ１）１１２と、パケット情報保持部（Ｃ２）１１３と、統計対象選定部（Ｃ３）１１４と、統計部（Ｃ４）１１５と、マネージャ送受信部（Ｃ５）１１６と、パケット通過検出部（Ｃ６）１１７と、フィルタ信号送受信部１１８（Ｃ７）、Ｈａｓｈダイジェストテーブル１２０、統計対象設定テーブル１２１などからなる。
【００２８】
ポート識別部１１１は、複数のボーダルータ１４２、１４４、１４６と接続し、パケットが通過する物理ポートＰ１、Ｐ２、Ｐ３を識別する。ポート識別部１１１は、物理ポートＰ１、Ｐ２、Ｐ３の物理ポート番号を識別する。ポート識別部１１１は、識別した物理ポート番号をパケット情報保持部１１３に送る。
【００２９】
パケット取得部１１２（受信部）は、ボーダルータ１４２、１４４、１４６を介してＩＳＰネットワーク１００が受けるパケットを捕捉する。パケット取得部１１２は、捕捉したパケットに関する情報をパケット情報保持部１１３に送る。
【００３０】
パケット情報保持部１１３は、ポート識別部１１１が識別した物理ポート番号と、パケット取得部１１２が取得したパケットの情報を組み合わせてＨａｓｈ化処理する。また、パケット情報保持部１１３は、Ｈａｓｈ化処理して生成したデータを、あるパケットが特定の物理ポートを通過したという通過履歴データとしてＨａｓｈダイジェストテーブル１２０（記憶部）に保持する。Ｈａｓｈダイジェストテーブル１２０は、汎用的なＨａｓｈ関数を適用して生成される。このとき、Ｈａｓｈコード変換速度が速いＨａｓｈ関数が適用されるとよい。
【００３１】
統計対象選定部１１４は、マネージャ１３０の統計要求部１３２からの要求を受けて、統計対象設定テーブル１２１を参照して、トラフィック統計対象とするパケットを選定する。統計対象設定テーブル１２１は、メモリ等の記憶部に記憶されたデータであり、パケット取得部１１２が取得したパケットをグルーピングするための条件が設定されている。グルーピング条件は、例えば、送信元ＩＰアドレス、送信元ポート、送信先ＩＰアドレス、送信先ポート又はプロトコルＩＤの５要素である。
【００３２】
統計部１１５は、統計対象選定部１１４で選定されたトラフィック統計対象であるパケットの数とサイズを集計する。統計部１１５は、ｍ秒毎にトラフィック統計を行う。統計部１１５は、集計結果をマネージャ送受信部１１６に送る。
【００３３】
統計部１１５は、例えば、（１）送信元ＩＰアドレス、送信元ポート、送信先ＩＰアドレス、送信先ポート又はプロトコルＩＤの５要素のデータを、要素別にグルーピングしたり、（２）グルーピングした各要素のデータをソーティングしたり、（３）同一要素のデータをカウントしたり、（４）各要素のデータをカウントが多い順に並べ替えたり、（５）同一要素のデータのサイズを通算したり、（６）各要素のデータをサイズが多い順に並べ替えたりする。
【００３４】
マネージャ送受信部１１６は、マネージャ１３０とデータ通信を行う。マネージャ送受信部１１６は、例えば、統計部１１５で集計された集計結果や、パケットが通過した物理ポート番号をマネージャ１３０に送る。
【００３５】
また、マネージャ送受信部１１６は、マネージャ１３０のパケット通過問合せ部１３１から、異常パケットである可能性のある対象パケットの通過履歴の有無の問合せを受け、当該通過履歴の有無を検出するようにパケット通過検出部１１７に命令する。
【００３６】
パケット通過検出部１１７は、パケットの通過履歴の有無の問合せに基づいて、Ｈａｓｈダイジェストテーブル１２０に対象パケットの通過履歴が記録されているかを検索する。通過履歴は、物理ポート別に検索される。パケット通過検出部１１７は、物理ポート別に対象パケットの通過履歴を検索する。パケット通過検出部１１７は、検索結果をマネージャ１３０の侵入口判別部１３４に送る。
【００３７】
フィルタ信号送受信部１１８は、マネージャ１３０のフィルタ命令部１３５から攻撃パケットフィルタ設定信号を受ける。フィルタ信号送受信部１１８は、攻撃パケットフィルタ設定信号に基づいて、ボーダルータ１４２、１４４、１４６に対してフィルタ設定更新信号を送る。
【００３８】
次に、図３を参照して、本実施形態に係るマネージャ１３０の構成について詳しく説明する。図３は、本実施形態に係るマネージャ１３０を示すブロック図である。
【００３９】
マネージャ１３０は、例えば、パケット通過問合せ部（Ｃａ）１３１と、統計要求部（Ｃｂ）１３２と、トラフィック異常検知部（Ｃｃ）１３３と、侵入口判別部（Ｃｄ）１３４と、フィルタ命令部（Ｃｅ）１３５と、統計対象設定部（Ｃｆ）１３６と、セキュリティ攻撃検知部（Ｃｇ）１３７などからなる。
【００４０】
パケット通過問合せ部１３１は、セキュリティ攻撃検知部１３７で検知された攻撃パケット情報を受ける。攻撃パケットを受けたと検知されたとき、パケット通過問合せ部１３１は、保護対象ホスト群１０のうち攻撃対象となった保護対象ホストに送られた攻撃パケットの通過履歴を、観測プローブ１１０のパケット通過検出部１１７に問い合わせる。
【００４１】
統計要求部１３２は、観測プローブ１１０に対して、統計部１１５でパケットのトラフィック統計を行うよう要求する。
【００４２】
トラフィック異常検知部１３３（受信異常検知部）は、観測プローブ１１０の統計部１１５から集計結果を受けて、単位時間当たりの統計情報の推移を調査する。トラフィック異常検知部１３３は、単位時間当たりの統計情報の推移の閾値以上の変化を攻撃発生と判断する。トラフィック異常検知部１３３は、攻撃発生と判断したとき、フィルタ命令部１３５にその旨の情報を送る。
【００４３】
侵入口判別部１３４（物理ポート特定部）は、観測プローブ１１０のパケット通過検出部１１７が検索した物理ポート別の対象パケットの通過履歴を受ける。侵入口判別部１３４は、通過履歴に基づいて、セキュリティ攻撃検知部１３７で検知された攻撃パケットの侵入口を特定する。
【００４４】
フィルタ命令部１３５（受信制御命令部）は、トラフィック異常検知部１３３で判断された攻撃発生に関する情報を受けて、攻撃パケットフィルタ信号を生成する。フィルタ命令部１３５は、攻撃パケットフィルタ設定信号を観測プローブ１１０のフィルタ信号送受信部１１８に送る。
【００４５】
統計対象設定部１３６は、観測プローブ１１０の統計対象設定テーブル１２１を管理する。統計対象設定部１３６は、遠隔操作によって観測プローブ１１０の統計対象設定テーブル１２１の編集更新を行なう。
【００４６】
セキュリティ攻撃検知部１３７（異常パケット検知部）は、サーバログ、ＩＤＳ（Intrusion  Detection  System）ログ、ファイアウォールログなどの他のシステムからのセキュリティログ情報から、保護対象ホスト群１０に対する攻撃パケットを検知し、攻撃パケット情報をパケット通過問合せ部１３１に送る。
【００４７】
（第１の実施形態の動作）
次に、本発明の第１の実施形態に係る異常パケット検知システムの動作について説明する。図４は、本実施形態に係る観測プローブ１１０の各構成要素及びデータの流れを示す説明図である。図５は、本実施形態に係るマネージャ１３０の各構成要素及びデータの流れを示す説明図である。
【００４８】
まず、観測プローブ１１０が、トラフィック監視用ポート１５２を介してＩＳＰネットワーク１００を通過するパケットＡを受ける（ステップＳ１）。ポート識別部１１１は、パケットＡが通過する物理ポートの物理ポート番号を識別する。パケット取得部１１２は、パケットＡを捕捉する（ステップＳ２）。
【００４９】
パケット情報保持部１１３は、ポート識別部１１１が識別した物理ポート番号と、パケット取得部１１２が取得したパケットＡの情報を受けて（ステップＳ３）、物理ポート番号とパケット情報を組み合わせてＨａｓｈ化処理する。
【００５０】
一方、マネージャ１３０の統計要求部１３２が、観測プローブ１１０に対して、統計部１１５でパケットのトラフィック統計を行うよう要求する（ステップＳ２１）。観測プローブ１１０の統計対象選定部１１４は、統計要求部１３２からの要求を受けて（ステップＳ５）、統計対象設定テーブル１２１を参照して（ステップＳ６）、トラフィック統計対象とするパケットを選定する。
【００５１】
統計部１１５は、統計対象選定部１１４で選定されたトラフィック統計対象となったパケットに基づいて（ステップＳ７）、パケットの数とサイズを集計する。マネージャ送受信部１１６は、統計部１１５による集計結果を受けて（ステップＳ８）、マネージャ１３０に集計結果を送る（ステップＳ９）。
【００５２】
マネージャ１３０のトラフィック異常検知部１３３は、観測プローブ１１０から統計要求部１３２を介して、観測プローブ１１０の統計部１１５から集計結果を受ける（ステップＳ２２）。トラフィック異常検知部１３３は、単位時間当たりの統計情報の推移を調査する。トラフィック異常検知部１３３は、単位時間当たりの統計情報の推移の閾値以上の変化を攻撃発生と判断する。トラフィック異常検知部１３３は、攻撃発生と判断したとき、フィルタ命令部１３５にその旨の情報を送る（ステップＳ２３）。
【００５３】
フィルタ命令部１３５は、トラフィック異常検知部１３３で判断された攻撃発生に関する情報を受けて、攻撃パケットフィルタ信号を生成する。フィルタ命令部１３５は、攻撃パケットフィルタ設定信号を観測プローブ１１０に送る（ステップＳ２４）。観測プローブ１１０のフィルタ信号送受信部１１８は、マネージャ送受信部１１６を介して、マネージャ１３０のフィルタ命令部１３５から攻撃パケットフィルタ設定信号を受ける（ステップＳ１３）。フィルタ信号送受信部１１８は、攻撃パケットフィルタ設定信号に基づいて、ボーダルータ１４２、１４４、１４６に対してフィルタ設定更新信号を、管理ネットワーク接続用ポート１５４を介して送る（ステップＳ１４）。
【００５４】
一方、セキュリティ攻撃検知部１３７は、サーバログ、ＩＤＳ（Intrusion  Detection  System）ログ、ファイアウォールログなどの他のシステムからのセキュリティログ情報を受ける（ステップＳ１７）。セキュリティ攻撃検知部１３７は、セキュリティログ情報から、保護対象ホスト群１０に対する攻撃パケットを検知し、攻撃パケット情報をパケット通過問合せ部１３１に送る（ステップＳ１８）。
【００５５】
パケット通過問合せ部１３１は、セキュリティ攻撃検知部１３７で検知された攻撃パケット情報を受ける。攻撃パケットを受けたと検知されたとき、パケット通過問合せ部１３１は、保護対象ホスト群１０のうち攻撃対象となった保護対象ホストに送られた攻撃パケットの通過履歴を、観測プローブ１１０のパケット通過検出部１１７に問い合わせる（ステップＳ１９）。
【００５６】
パケット通過検出部１１７は、マネージャ送受信部１１６を介して、パケットの通過履歴の有無の問合せを受け（ステップＳ１１）、Ｈａｓｈダイジェストテーブル１２０に対象パケットの通過履歴が記録されているかを検索する（ステップＳ１２）。通過履歴は、物理ポート別に検索される。パケット通過検出部１１７は、物理ポート別に対象パケットの通過履歴を検索する。パケット通過検出部１１７は、検索結果をマネージャ１３０の侵入口判別部１３４に送る。
【００５７】
侵入口判別部１３４は、パケット通過問合せ部１３１を介して、観測プローブ１１０のパケット通過検出部１１７が検索した物理ポート別の対象パケットの通過履歴を受ける（ステップＳ２０）。侵入口判別部１３４は、通過履歴に基づいて、セキュリティ攻撃検知部１３７で検知された攻撃パケットの侵入口を特定する。
【００５８】
一方、統計対象設定部１３６は、観測プローブ１１０の統計対象設定テーブル１２１を管理する。統計対象設定部１３６は、遠隔操作によって（ステップＳ２５）、統計対象設定テーブル１２１の編集更新を行なう。
【００５９】
次に、図６を参照して、パケット情報保持部１１３の情報保持処理の動作について説明する。図６は、本実施形態に係るパケット情報保持部１１３の情報保持処理を示す説明図である。
【００６０】
パケット情報保持部１１３は、パケットのＩＰヘッダを送信元ＩＰアドレス、送信元ポートなどのパラメータに基づいて、ほぼ同サイズになるようにＮ個に分割する。パケットのビット長を分割して短くすることにより、Ｈａｓｈ値の衝突率を下げることができ、精度の高いボーダルータの通過確認を行なうことができる。１つのパケットを複数のＨａｓｈ関数で変換してもよいが、１つの関数でパケットを短く分割することによって、Ｈａｓｈ変換の効率化を図ることができる。
【００６１】
パケット情報保持部１１３は、分割したパケットに物理ポート番号を組み合わせて、Ｈａｓｈ関数で変換した値をＸ１、Ｘ２、・・・、ＸＮとする。Ｈａｓｈ関数で変換した値Ｘ１、Ｘ２、・・・、ＸＮをアドレスとするＨａｓｈダイジェストテーブル１２０をメモリ上に準備し、アドレスＸ１、Ｘ２、・・・、ＸＮの値（フラグ）を１とする。
【００６２】
マネージャ１３０が観測プローブ１１０にパケットの通過を問い合わせる場合、パケットを同条件でＮ個に分割してＨａｓｈ変換し、Ｎ個のＨａｓｈ変換値をリストにして観測プローブ１１０に送る。観測プローブ１１０は、受信したＨａｓｈ変換値それぞれに、各物理ポート番号のＨａｓｈ変換値を組み合わせた値を求め、Ｈａｓｈダイジェストテーブル１２０の該当アドレスを参照する。リストの変換値アドレスの値が全て１である場合、当該パケットのボーダルータの「通過あり」と判定する。
【００６３】
上記実施形態によれば、従来のセキュリティシステムによる異常パケット検知だけでなく、トラフィックの統計情報の推移観測を行なう。その結果、観測対象のボーダルータのトラフィック量の異常を検知し、直ちに侵入口であるボーダルータへのフィルタを行うことができ、ＩＳＰネットワーク内への攻撃パケットの流入を防止することができる。
【００６４】
また、観測対象であるＩＳＰネットワークへのパケットの通過履歴を照合するため、送信元アドレスが偽装されているパケットであっても、侵入口は特定できるため、適切にフィルタリングなどの対処を施すことができる。
【００６５】
更に、同一ＩＳＰネットワークの場合、攻撃の侵入口を探査するためには、全てのボーダルータに対して同一条件でトラフィック統計を観測し、同一の通過統計を行なう必要があるが、本実施形態によれば、１の観測プローブ１１０が複数のボーダルータに接続されているため、マネージャ１３０が観測プローブ１１０に対して設定する観測条件や、パケット通過の問合せは、１つで済み、容易に全てのボーダルータに対して同一条件でトラフィック統計を観測することができ、同一の通過統計を行なうことができる。
【００６６】
そして、マネージャ１３０が観測プローブ１１０に対して、１回のみ問い合わせるだけで、複数の物理ポートを有する観測プローブ１１０は、複数の物理ポートについて、各物理ポートで捕捉したパケットの通過履歴を照合することができる。そして、異常パケットが通過したボーダルータを判別するための情報を迅速にマネージャに提供することができる。
【００６７】
上記のとおり、従来、ボーダルータ毎に１台ずつ配置していた観測プローブそれぞれに対してマネージャから送信していた観測条件設定やパケット通過の問合せが１回で済むため、ネットワーク負荷の軽減、設定操作の効率化、観測プローブ設置のコストダウンを実現することができる。
【００６８】
更に、観測プローブ１１０には、ボーダルータへのフィルタ信号送受信部１１８が設けられていることから、即時に攻撃パケットへの対抗策を施すことができる。
【００６９】
以上、添付図面を参照しながら本発明の好適な実施形態について詳細に説明したが、本発明はかかる例に限定されない。本発明の属する技術の分野における通常の知識を有する者であれば、特許請求の範囲に記載された技術的思想の範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、これらについても、当然に本発明の技術的範囲に属するものと了解される。
【００７０】
例えば、上記実施形態では、観測プローブ１１０のポート識別部１１１によって、物理ポートが識別され、観測対象としたパケットがどのボーダルータを通過したかが分類されるとしたが、本発明はかかる例に限定されない。例えば、取得したパケットのレイヤ２の送信元及び送信先ＭＡＣアドレスが取得されて、パケットの送信元と送信先のインタフェースが検出されることで、ボーダルータの接続先のＡＳ（autonomous  system）番号などと対応付けをし、隣接するどのＡＳからの通信であるかを識別したり、当該パケットの方向を認識したりしてもよい。
【００７１】
また、上記実施形態では、マネージャ１３０と観測プローブ１１０は相互に通信する別体の構成である場合について説明したが、本発明はかかる例に限定されない。例えば、本発明は、マネージャと観測プローブが一体化されて構成されるとしてもよく、この場合、マネージャと観測プローブ間に発生する通信を削減することができる。
【図面の簡単な説明】
【００７２】
【図１】本発明の第１の実施形態の異常パケット検知システムとネットワークの構成を示すブロック図である。
【図２】同実施形態に係る観測プローブを示すブロック図である。
【図３】同実施形態に係るマネージャを示すブロック図である。
【図４】同実施形態に係る観測プローブの各構成要素及びデータの流れを示す説明図である。
【図５】同実施形態に係るマネージャの各構成要素及びデータの流れを示す説明図である。
【図６】同実施形態に係るパケット情報保持部の情報保持処理を示す説明図である。
【符号の説明】
【００７３】
１１０      観測プローブ
１１１      ポート識別部
１１２      パケット取得部
１１３      パケット情報保持部
１１４      統計対象選定部
１１５      統計部
１１６      マネージャ送受信部
１１７      パケット通過検出部
１１８      フィルタ信号送受信部
１２０      Ｈａｓｈダイジェストテーブル
１２１      統計対象設定テーブル
１３０      マネージャ
１３１      パケット通過問合せ部
１３２      統計要求部
１３３      トラフィック異常検知部
１３４      侵入口判別部
１３５      フィルタ命令部
１３６      統計対象設定部
１３７      セキュリティ攻撃検知部
【図１】
0004894788.tif 000002
【図２】
0004894788.tif 000003
【図３】
0004894788.tif 000004
【図４】
0004894788.tif 000005
【図５】
0004894788.tif 000006
【図６】
0004894788.tif 000007