(57)【要約】【課題】  ＤＮＳサーバが介在しても伝送路の探索ができ、真の送信源を特定可能な伝送路探索システム及び伝送路探索方法を提供する。【解決手段】  通信ネットワークを通過するパケットＰに含まれる情報をパケット情報として収集する収集手段ＰＲＢと、収集手段ＰＲＢにより収集されたパケット情報を蓄積記録する記録手段ＲＥＣと、少なくとも送信先アドレスが対象パケットのパケット情報の送信元アドレスと一致し、且つ、ＤＮＳ問合せ内容が当該対象パケットのパケット情報のＤＮＳ問合せ内容と一致することを検索条件として、記録手段ＲＥＣにより蓄積記録されたパケット情報を検索する検索手段ＳＲＣとを備える。【選択図】  図１
2009212596.tif 000002
【特許請求の範囲】
【請求項１】
通信ネットワーク上で伝送されるパケットの伝送路を探索する伝送路探索システムにおいて、
前記通信ネットワークを通過するパケットに含まれる情報をパケット情報として収集する収集手段と、
収集手段により収集されたパケット情報を蓄積記録する記録手段と、
少なくとも送信先アドレスが対象パケットのパケット情報の送信元アドレスと一致し、且つ、ＤＮＳ問合せ内容が当該対象パケットのパケット情報のＤＮＳ問合せ内容と一致することを検索条件として、前記記録手段により蓄積記録されたパケット情報を検索する検索手段とを備えることを特徴とする伝送路探索システム。
【請求項２】
前記検索手段は、当該検索手段により検出されたパケット情報を対象パケットのパケット情報とし、検索条件を満たすパケット情報が検出されなくなるまで再帰的に検索を行い、最後に検出されたパケット情報の送信元アドレスを送信源とすることを特徴とする請求項１記載の伝送路探索システム。
【請求項３】
通信ネットワーク上で伝送されるパケットの伝送路を探索する伝送路探索方法において、
コンピュータシステムにより、前記通信ネットワークを通過するパケットに含まれる情報をパケット情報として収集し、当該収集されたパケット情報を蓄積記録し、
伝送路探索時には、少なくとも送信先アドレスが対象パケットのパケット情報の送信元アドレスと一致し、且つ、ＤＮＳ問合せ内容が当該対象パケットのパケット情報のＤＮＳ問合せ内容と一致することを検索条件として、前記蓄積記録されたパケット情報を検索することを特徴とする伝送路探索方法。
【請求項４】
前記検索に際し、検出されたパケット情報を対象パケットのパケット情報とし、検索条件を満たすパケット情報が検出されなくなるまで再帰的に検索を行い、最後に検出されたパケット情報の送信元アドレスを送信源とすることを特徴とする請求項３記載の伝送路探索方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信ネットワーク上で伝送されるパケットの伝送路を探索する伝送路探索システム及び伝送路探索方法に関する。
【背景技術】
【０００２】
インターネット等のネットワークが発達するなか、ネットワークを構成する機器を標的に攻撃を行い、利用者に様々な被害を与えるネットワーク攻撃が深刻化している。ネットワーク攻撃には様々なものがあるが、その中でも、ＤＮＳへの再帰的な問合せを悪用したＤＮＳ反射攻撃は、世界中に無数に存在するＤＮＳサーバが踏み台として悪用される危険性を抱えており、今後大きな脅威となる可能性がある。ＤＮＳ反射攻撃としては、例えばＤｏｓ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）攻撃やＤＤｏｓ（Ｄｉｓｔｒｉｂｕｔｅｄ  Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）攻撃が挙げられる。
【０００３】
図１０は、ＤＮＳ反射攻撃を説明する説明図である。攻撃端末Ｎ１から中継ＤＮＳサーバＮ２を踏み台にして標的ＤＮＳサーバＮ３を攻撃する場合を例に説明する。攻撃端末Ｎ１は、中継ＤＮＳサーバＮ２に対して、再帰的な問合わせを要求するパケットＰ１を送信する。中継ＤＮＳサーバＮ２はパケットＰ１を受信すると、再帰的問合せ要求であることを確認し、更にＤＮＳ問合せパケットＰ２を標的ＤＮＳサーバＮ３に送信する。
【０００４】
Ｄｏｓ攻撃では、中継ＤＮＳサーバから、大量のＤＮＳ問合せパケットを標的ＤＮＳサーバＮ３に送信させることで、標的ＤＮＳサーバＮ３を過負荷状態に陥れる。また、ＤＤｏｓ攻撃では、複数の中継ＤＮＳサーバに再帰的なＤＮＳ問合せパケットを送信し、複数の中継ＤＮＳサーバから一斉に大量のＤＮＳ問合せパケットを標的ＤＮＳサーバＮ３に送信させることで、標的ＤＮＳサーバＮ３を過負荷状態に陥れる。
【０００５】
かかるネットワーク攻撃の被害の深刻化に鑑み、近年は、パケットの伝送経路を探索する探索技術が盛んに研究されている。その方法は様々なものがあるが、その一つとして、ネットワーク上の観測ポイントにおいてパケットの特徴を記録し、攻撃パケットの特徴を基に、その特徴をもつパケットが通過した観測ポイントをたどることで、伝送路を特定する方法が提案されている（例えば、下記特許文献１を参照）。
【特許文献１】特開２００４−１４７２２３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、上記従来技術の伝送路探索方法は、ＤＮＳ反射攻撃に適用した場合、踏み台となる中継ＤＮＳサーバＮ２までの探索はできても、真の送信源である攻撃端末Ｎ１までは探索することができないという問題が生じる。すなわち、上記従来技術の伝送路探索方法は、攻撃パケットの特徴と一致するパケットが通過した観測ポイントをたどることで伝送路を特定するが、中継ＤＮＳサーバＮ２が攻撃端末Ｎ１から受信する攻撃パケットＰ１と、標的ＤＮＳサーバＮ３に送信する攻撃パケットＰ２は異なるパケットであるため特徴の一致が図られず、中継ＤＮＳサーバＮ２を特定することはできても、真の送信源である攻撃端末Ｎ１を特定することができない。これでは、中継ＤＮＳサーバＮ２への対応は可能でも、攻撃端末Ｎ１への対応が不可能となり、攻撃を絶つことができないという問題が生じていた。
【０００７】
そこで、本発明は、ＤＮＳサーバが介在しても伝送路の探索ができ、真の送信源を特定可能な伝送路探索システム及び伝送路探索方法を提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明の伝送路探索システムは、通信ネットワーク上で伝送されるパケットの伝送路を探索する伝送路探索システムにおいて、前記通信ネットワークを通過するパケットに含まれる情報をパケット情報として収集する収集手段と、収集手段により収集されたパケット情報を蓄積記録する記録手段と、少なくとも送信先アドレスが対象パケットのパケット情報の送信元アドレスと一致し、且つ、ＤＮＳ問合せ内容が当該対象パケットのパケット情報のＤＮＳ問合せ内容と一致することを検索条件として、前記記録手段により蓄積記録されたパケット情報を検索する検索手段とを備えることを特徴とする。
【０００９】
本発明の伝送路探索方法は、通信ネットワーク上で伝送されるパケットの伝送路を探索する伝送路探索方法において、コンピュータシステムにより、前記通信ネットワークを通過するパケットに含まれる情報をパケット情報として収集し、当該収集されたパケット情報を蓄積記録し、伝送路探索時には、少なくとも送信先アドレスが対象パケットのパケット情報の送信元アドレスと一致し、且つ、ＤＮＳ問合せ内容が当該対象パケットのパケット情報のＤＮＳ問合せ内容と一致することを検索条件として、前記蓄積記録されたパケット情報を検索することを特徴とする。
【００１０】
ＤＮＳ反射攻撃では、問合せパケットを受信したＤＮＳサーバが、中継ＤＮＳサーバへ問合せパケットを送信する再帰的問合せが行われる。中継ＤＮＳサーバに受信される問合せパケットに含まれる送信先アドレスは、中継ＤＮＳサーバから送信される問合せパケットに含まれる送信元アドレスと同一であり、且つ、両ＤＮＳ問合せパケットに含まれるＤＮＳ問合せ内容は同一である。本発明によれば、伝送路を特定するパケットを対象パケットとすると、送信先アドレスが対象パケットの送信元アドレスと一致し、且つ、ＤＮＳ問合せ内容が当該対象パケットのＤＮＳ問合せ内容と一致することを検索条件とするため、ＤＮＳサーバを介して送受信される両問合せパケットの対応付けが可能となる。したがって、ＤＮＳサーバが介在する伝送路の探索が可能となり、真の発信源である攻撃端末を特定することができる。
【００１１】
本発明の伝送路探索システムにおいて、前記検索手段は、当該検索手段により検出されたパケット情報を対象パケットのパケット情報とし、検索条件を満たすパケット情報が検出されなくなるまで再帰的に検索を行い、最後に検出されたパケット情報の送信元アドレスを送信源とすることが好ましい。また、本発明の伝送路探索方法において、前記検索に際し、検出されたパケット情報を対象パケットのパケット情報とし、検索条件を満たすパケット情報が検出されなくなるまで再帰的に検索を行い、最後に検出されたパケット情報の送信元アドレスを発信源とすることが好ましい。この発明によれば、検出されたパケット情報を対象パケットのパケット情報として再帰的に検索が行われ、これにより伝送路が探索されて発信源が特定される。
【発明の効果】
【００１２】
本発明の伝送路探索システムによれば、対象パケットに含まれる送信元のアドレスを送信先アドレスとし、且つ、問合せ内容が一致することを検索条件にパケット情報を検索するため、ＤＮＳ反射攻撃により踏み台となったＤＮＳサーバが送受信する問合せパケットの対応付けが可能となる。したがって、ＤＮＳサーバを経由する伝送路の探索も可能となり、真の送信源である攻撃端末を特定することができる。これにより、攻撃端末への対処が可能となり、攻撃を根源から絶つことができる。
【発明を実施するための最良の形態】
【００１３】
以下、第１の実施の形態では各ＩＳＰのオペレータが介在して伝送路を探索する形態を説明し、第２の実施の形態では伝送路を自動探索する形態を説明し、第３の実施の形態では更に自動探索に加えて攻撃イベントをデータベースに集約して蓄積記録する形態を説明する。
【００１４】
また、各実施の形態では、図１０に示すケースに本発明を適用した場合を例に説明する。インターネットには端末やサーバ等の無数のノードが接続されており、ここでは、端末Ｎ１を攻撃端末、ＤＮＳサーバＮ２を中継ＤＮＳサーバ、ＤＮＳサーバＮ３を標的ＤＮＳサーバとする。攻撃端末Ｎ１と中継ＤＮＳサーバＮ１と標的ＤＮＳサーバＮ３は、異なるインターネットサービスプロバイダＩＳＰ１，ＩＳＰ２，ＩＳＰ３によりインターネットに接続されている。攻撃端末Ｎ１から中継ＤＮＳサーバＮ２に再帰的な問合せとしてパケットＰ１が送信され、これを受けて、中継ＤＮＳサーバＮ２から標的ＤＮＳサーバＮ３にパケットＰ２が送信される。なお、説明の便宜上、ＩＰアドレスを全てプライベートアドレスの範囲で記載しているが、実際にはグローバルアドレスが用いられる。
【００１５】
（第１の実施の形態）
図１は、第１の実施の形態の伝送路探索システムＳｙｓ１の概略説明図であり、図２は、伝送路探索システムＳｙｓ１の各インターネットサービスプロバイダＩＳＰにおける構成を説明する説明図である。
【００１６】
伝送路探索システムＳｙｓ１は、コンピュータシステムを搭載する複数のプローブＰＲＢ（ＰＲＢ１〜ＰＲＢ３）とコリレータ・コントローラＣＣ（ＣＣ１〜ＣＣ３）を備える。プローブＰＲＢは、各インターネットサービスプロバイダＩＳＰ（ＩＳＰ１〜ＩＳＰ３）のパケット流出入口となるルータＲに接続されており、収集手段ＰＲＢとしての機能を有する。コリレータ・コントローラＣＣは、プローブＰＲＢに接続され、記憶手段ＲＥＣ、検索手段ＳＲＣとしての機能を有する。
【００１７】
収集手段ＰＲＢは、各ポイントでルータＲを通過するパケットに含まれる情報をパケット情報として収集するプローブ機能を備える。収集する情報に制限はなく、すべてのパケットを対象として、そのパケットに含まれるすべての情報を収集しても良いが、情報量抑制の観点から、収集対象とするパケットをＤＮＳパケットのみとしても良く、後述する検索にて用いられるＤＮＳ問合せパケットのみとしても良い。更に、対象としたパケットから必要な情報を選択的に抽出しても良い。特に、パケットを特徴付ける情報であり、且つ、変化しない情報や変化が限定的な情報が好ましい。本実施の形態では、ＤＮＳ問合せパケットを対象とし、各ＤＮＳ問合せパケットから、送信元ＩＰアドレス，送信先ＩＰアドレス，問合せ内容，再帰的問合せ要求の有無を、通過日時とともに収集している。
【００１８】
記録手段ＲＥＣは、収集手段ＰＲＢにより収集されたパケット情報を蓄積記録する機能を備える。図３は、本実施の形態の記憶手段ＲＥＣにより蓄積記録されるパケット情報ｐｋの集合をテーブル形式にて説明する説明図である。パケット情報ｐｋは、パケットごとに、通過日時、送信元ＩＰアドレス，送信先ＩＰアドレス，問合せ内容，再帰的問合せ要求の有無から構成される。記録する情報に個人情報が含まれる場合は、必要に応じてハッシュ値に変換し、匿名化しても良い。
【００１９】
検索手段ＳＲＣは、検索機能１と検索機能２と検索機能３とを有する。検索機能１：対象パケットＰと検索要求を受け付けると、記録手段ＲＥＣにより蓄積記録されたパケット情報の集合ＴＢを検索し、対象パケットＰに対応するパケット情報ｐｋを検出する。検索機能２：対象パケットＰのパケット情報ｐｋと検索要求を受け付けると、送信先アドレスが対象パケットＰのパケット情報ｐｋの送信元アドレスと一致し、且つ、ＤＮＳ問合せ内容が対象パケットＰのパケット情報ｐｋのＤＮＳ問合せ内容と一致することを検索条件として、パケット情報の集合ＴＢを検索する。検索機能３：パケット情報ｐｋと検索要求を受け付けると、パケット情報ｐｋと送信元アドレス・送信先アドレス・問合せ内容が同一であることを検索条件として、パケット情報の集合ＴＢを検索する。いずれの検索結果も、検索要求元の管理端末ＰＣに出力される。なお、更に、検索結果を通過日時や送信元アドレスにより絞り込めるようにしても良い。また、検索機能１，３は必須ではなく、他の手段にて対象パケットＰのパケット情報が得られるならば検索機能１を省略し、付加情報が不要であれば検索機能３を省略し、検索機能２のみで構成しても良い。
【００２０】
次に、伝送路探索システムＳｙｓ１の動作を、パケット情報を収集記録する常時動作と、伝送路の探索を行う探索動作とに分けて説明する。
【００２１】
＜常時動作＞
各ＩＳＰ（ＩＳＰ１〜ＩＳＰ３）の収集手段ＰＲＢ（ＰＲＢ１〜ＰＲＢ３）は各ポイントにおいて、接続されるルータＲを通過するパケットを対象とし、そのパケットに含まれる情報をパケット情報ｐｋとして収集する。本実施の形態では、通過するパケットを常時取得し、取得したパケットがＤＮＳパケット（ＤｓｔＰｏｒｔ＝５３）であるか判断し、ＤＮＳパケットである場合は問合せパケット（ＱＲ＝１）であるか判断し、問合せパケットである場合はそのパケットに含まれる情報の中から上記必要な情報を選択的に抽出して通過日時とともに収集する。
【００２２】
収集されたパケット情報は、記録手段ＲＥＣ（ＲＥＣ１〜ＲＥＣ３）により蓄積記録される。図４は、記録手段ＲＥＣ１〜ＲＥＣ３により蓄積記録されたパケット情報の集合をテーブル形式で説明する説明図である。テーブルＴＢ１は記録手段ＲＥＣ１、テーブルＴＢ２は記録手段ＲＥＣ２、テーブルＴＢ３は記録手段ＲＥＣ３により記録されるパケット情報の例である。
【００２３】
テーブルＴＢ１には、記録されたパケット情報の中に、攻撃端末Ｎ１が送信したパケットＰ１のパケット情報ｐｋ１−１が含まれている。パケット情報ｐｋ１−１は、通過日時（例えば、２００７／１／２１）、送信元となる攻撃端末Ｎ１のアドレス（例えば、１９２．１６８．０．１）、送信先となる中継ＤＮＳサーバＮ２のアドレス（例えば、１９２．１６８．０．２）、問合せ内容（例えば、ｍｘ＝ｅｘａｍｐｌｅ．ｊｐ）、再帰問合せ要求（ＹＥＳ）として記録される。
【００２４】
テーブルＴＢ２には、記録されたパケット情報の中に、中継ＤＮＳサーバＮ２が受信したパケットＰ１のパケット情報ｐｋ２−１と、送信したパケットＰ２のパケット情報ｐｋ２−２が含まれている。パケット情報ｐｋ２−１は、パケットＰ１からの上記抽出情報と通過時刻（例えば、２００７／１／２１）として記録され、パケット情報ｐｋ２−２は、通過日時（例えば、２００７／１／２２）、送信元となる中継ＤＮＳサーバのアドレス（例えば、１９２．１６８．０．２）、送信先となる標的ＤＮＳサーバのアドレス（例えば、１９２．１６８．０．３）、問合せ内容（ｍｘ＝ｅｘａｍｐｌｅ．ｊｐ）、再帰問合せ要求（ＮＯ）として記録される。
【００２５】
テーブルＴＢ３には、記録されたパケット情報の中に、標的サーバＮ３が受信したパケットＰ２のパケット情報ｐｋ３−２が含まれている。パケット情報ｐｋ３−２は、パケットＰ２からの上記抽出情報と通過時刻（例えば、２００７／１／２２）として記録される。
【００２６】
＜探索動作＞
オペレータは、必要に応じて、伝送路探索システムＳｙｓ１に対して検索要求を行う。たとえば、攻撃検知システムＩＤＳが通過するパケットのトラヒック等に基づいてパケットＰ２を検出すると、オペレータは、パケットＰ２を対象パケットとし、管理端末ＰＣ３に対象パケットＰ２を指定して検索要求を入力する。管理端末ＰＣに表示される検索要求用画面は、例えば図８に示す画面である。管理端末ＰＣ３は、入力を受け付けると、コリレータ・コントローラＣＣ３に検索要求を行う。コリレータ・コントローラＣＣ３の検索手段ＳＲＣ３は、検索要求を受け付けると、検索機能１にて検索を行う。具体的には、対象パケットＰ２に含まれる送信元ＩＰアドレス（図１中のＳｅｃＩＰ）や送信先ＩＰアドレス（図１中のＤｓｔＩＰ）や問合せ内容（図１中のｍｘ＝ｅｘａｍｐｌｅ．ｊｐ）を検索キーとして、蓄積記録されているパケット情報の集合ＴＢ３を検索し、対象パケットＰ２に対応するパケット情報ｐｋ３−２を検出する。検索結果は、管理端末ＰＣ３に出力される。
【００２７】
オペレータは、検索機能２により検出されたパケット情報ｐｋ３−２から送信元ＩＰアドレス（中継ＤＮＳサーバＮ２のＩＰアドレス）を確認し、送信元ＩＰアドレスが属するＩＳＰ２のオペレータに探索を依頼する。
【００２８】
管理端末ＰＣ２は、ＩＳＰ２のオペレータからパケット情報ｐｋ３−２とともに検索要求を受け付けると、コリレータ・コントローラＣＣ２に検索要求を行う。コリレータ・コントローラＣＣ２の検索手段ＳＲＣ２は、検索機能２及び検索機能３による検索を行う。具体的には、検索機能２により、送信先ＩＰアドレスがパケット情報ｐｋ３−２の送信元ＩＰアドレス（中継ＤＮＳサーバＮ２のＩＰアドレス１９２．１６８．０．２）と一致し、且つ、問合せ内容がパケット情報ｐｋ３−２の問合せ内容（ｍｘ＝ｅｘａｍｐｌｅ．ｊｐ）と一致することを検索条件にパケット情報の集合ＴＢ２を検索する。その結果、パケット情報ｐｋ２−１が検出され、管理端末ＰＣ２に出力される。また、検索機能３により、パケット情報ｐｋ３−２と送信元ＩＰアドレス・送信先ＩＰアドレス・問合せ内容が同一であることを検索条件にパケット情報の集合ＴＢ２を検索し、同一パケットのパケット情報ｐｋ２−２を管理端末ＰＣ２に出力する。
【００２９】
オペレータは管理端末ＰＣ２の出力を確認することで、例えば、攻撃端末Ｎ１から中継ＤＮＳサーバＮ２への通信をサーバ・ルータ等で遮断したり、中継ＤＮＳサーバＮ２から標的ＤＮＳサーバＮ３への通信を抑制する設定を施すなど、適切な対応を行うことができる。つぎに、オペレータは、検索結果を確認し、ｐｋ２−１の送信元ＩＰアドレス（攻撃端末Ｎ１のＩＰアドレス）が経由するＩＳＰ１のオペレータに探索を依頼する。
【００３０】
管理端末ＰＣ１は、ＩＳＰ１のオペレータからパケット情報ｐｋ２−１とともに検索要求を受け付けると、コリレータ・コントローラＣＣ１に検索要求を行う。コリレータ・コントローラＣＣ１は、検索手段ＳＲＣ１の検索機能２及び検索機能３によりパケット情報の集合ＴＢ１の検索を行う。検索機能２により、パケット情報ｐｋ２−１の送信元アドレス（攻撃端末Ｎ１のＩＰアドレス１９２．１６８．０．１）を送信先アドレスとし、且つ、問合せ内容（ｍｘ＝ｅｘａｍｐｌｅ．ｊｐ）が一致することを検索条件にパケット情報の集合ＴＢ１を検索する。検索条件を満たすパケット情報は検出されず、その結果が管理端末ＰＣ１に出力される。また、検索機能３による検索により、パケット情報ｐｋ２−１とパケットを同一とするパケット情報ｐｋ１−１が検出され、その結果が管理端末ＰＣ１に出力される。これにより、ＩＳＰ１のオペレータは、パケット情報ｐｋ２−１の送信元アドレスを発信源のアドレスと特定して対策を行うことができる。また、対象パケットＰを指定して各コリレータ・コントローラＣＣに検索要求を行うことにより、その対象パケットＰが、そのコリレータ・コントローラＣＣが担当するＩＳＰ等のＡＳ（ａｕｔｏｎｏｍｏｕｓ  ｓｙｓｔｅｍ）内のノードで中継された可能性があるかを確認することができ、ＡＳ単位での踏み台検出が可能となる。
【００３１】
なお、各ＩＳＰ１〜ＩＳＰ３のオペレータ間の連絡に中央管理者を介在させても良い。この場合、各管理端末ＰＣ１〜３と通信可能な中央管理者用端末を設置する。中央管理者用端末は、各ＩＳＰ１〜ＩＳＰ３の管理端末ＰＣ１〜ＰＣ３から検索要求を受信すると、それを表示装置に出力する。中央管理者は、出力された情報をもとに検索用画面（例えば図８参照）に所定事項を入力して検索要求を行うと、中央管理端末から指定の管理端末ＰＣに探索要求が送信される。これにより、各ＩＰＳ１〜ＩＰＳ３の間の連携がスムーズに行われる。
【００３２】
（第１の実施の形態の他の例）
ＤＮＳ反射攻撃は、中継ＤＮＳサーバが一つであるケースが多く、本実施の形態の他の例は、このケースのみを対象にしたシステムである。このケースのＤＮＳ反射攻撃においては、標的ＤＮＳサーバＮ３から中継ＤＮＳサーバＮ２の間で送受信されるパケットＰ２は再帰問合せ要求が「ＮＯ」に設定されていることから、検索手段ＳＲＣは、検索機能１において再帰問合せ要求「ＮＯ」に限定して検索を行う。また、中継ＤＮＳサーバＮ２と攻撃端末Ｎ１との間で送受信されるパケットＰ１は再帰問合せ要求が「ＹＥＳ」に設定されていることから、検索手段ＳＲＣは、検索機能２において再帰問合せ要求「ＹＥＳ」に限定して検索を行う。これにより、検索手段ＳＲＣによる検索対象が絞り込まれ、検索処理の効率化が図られる。また、再帰問合せ要求が「ＹＥＳ」であるパケット情報ｐ２−１は、送信源である攻撃端末Ｎ１からの攻撃パケットであると識別でき、パケット情報の集合ＴＢ２の検索で攻撃端末Ｎ１を確定できる。これにより、パケット情報の集合ＴＢ３への再帰的検索を不要とすることもできる。
【００３３】
（第２の実施の形態）
図５は、第２の実施の伝送路探索システムＳｙｓ２の概略を説明する概略説明図である。本実施の形態は、管理システムＭＳにより伝送路の自動探索を行う例である。上記実施の形態と同様の事項については説明を省略する。
【００３４】
管理システムＭＳは、インターネットを介して管理端末ＰＣやコリレータ・コントローラＣＣ等と接続可能となっており、管理端末ＰＣやコリレータ・コントローラＣＣのＩＰアドレスを管理するＩＰアドレス管理テーブルを有している。そして、管理端末ＰＣからパケット情報ｐｋと検索要求を受け付けるか、又は、各検索手段ＳＲＣから検索の結果として得られるパケット情報ｐｋを受信すると、ＩＰアドレス管理テーブルを参照し、そのパケット情報ｐｋの送信元ＩＰアドレスに対応付けられるコリレータ・コントローラＣＣを特定して検索要求を行い、各コリレータ・コントローラＣＣから返信されるパケット情報ｐｋを受信すると、それらを関連付けて蓄積記録する。
【００３５】
次に、管理システムＭＳの動作を説明する。管理システムＭＳは、管理端末ＰＣ３から攻撃パケットＰ２のパケット情報ｐｋ３−２を受け付けると、パケット情報ｐｋ３−２の送信元ＩＰアドレス（中継ＤＮＳサーバＮ２のＩＰアドレス）を送信先アドレスとし、且つ、問合せ内容（ｍｘ＝ｅｘａｍｐｌｅ．ｊｐ）が一致することを検索条件として、コリレータ・コントローラＣＣ２に検索要求を送信する。管理システムＭＳは、その結果としてパケット情報ｐｋ２−１を受信すると、パケット情報ｐｋ２−１の送信元ＩＰアドレス（攻撃端末Ｎ１のアドレス）を送信先アドレスとし、且つ、問合せ内容（ｍｘ＝ｅｘａｍｐｌｅ．ｊｐ）が一致することを検索条件として、コリレータ・コントローラＣＣ１に検索要求を送信する。管理システムＭＳは、コリレータ・コントローラＣＣ１から検索条件を満たすパケット情報ｐｋが検出されなかった旨を受信すると、パケット情報ｐｋ２−１の送信元ＩＰアドレスを送信源のＩＰアドレスとしてＩＳＰ３の管理端末ＰＣ３に出力する。オペレータは出力結果を確認し、適宜対応を行う。
【００３６】
ここで、上記第１の実施の形態の他の例と同様に、中継ＤＮＳサーバを一つとするＤＮＳ反射攻撃に限定する場合、管理システムＭＳは、コリレータ・コントローラＣＣ２への検索要求において、検索条件を再帰問合せ要求「ＹＥＳ」とし、検索結果としてパケット情報ｐｋ２−１を受信した時点で検索要求を終了しても良い。これにより、コリレータ・コントローラＣＣ２への検索要求のみで、送信源となる攻撃端末Ｎ１のＩＰアドレスを特定できる。
【００３７】
（第３の実施の形態）
本実施の形態の伝送路探索システムＳｙｓ３は、伝送路を自動生成してデータベース化し、各管理端末ＰＣからの要求に応じて、伝送路を出力するものである。図６は、伝送路探索システムＳｙｓ３の概略説明図である。以下、第２の実施の形態と同様の部分については説明を省略する。
【００３８】
攻撃検知システムＩＤＳは、攻撃パケットを検知すると、攻撃パケットに関する情報（例えば、通過日時、ＩＰヘッダ部分、ＵＤＰヘッダ部分、ＤＮＳデータ部分など）を管理システムＭＳに送信する機能を有する。各管理端末ＰＣ１〜ＰＣ３は、管理システムＭＳと通信可能となっている。
【００３９】
管理システムＭＳは、伝送路自動生成手段、伝送路出力手段、及び、イベントデータベースＤＢとを備える。
【００４０】
伝送路自動生成手段は、攻撃パケットと判断された対象パケットの伝送路を自動生成する機能を備える。詳しくは、管理システムＭＳは、攻撃検知システムＩＤＳとコリレータ・コントローラＣＣのＩＰアドレスを管理するＩＰアドレス管理テーブルを有しており、検索要求機能１と検索要求機能２と検索要求機能３と伝送路記録機能を有する。検索要求機能１：攻撃検知システムＩＤＳから対象パケットＰに関する情報を受信すると、ＩＰアドレス管理テーブルを参照し、その攻撃検知システムＩＤＳが監視するＩＳＰに設置されるコリレータ・コントローラＣＣを特定し、上記検索機能１による検索の実行を要求する。検索要求機能２：コリレータ・コントローラＣＣから検索結果となるパケット情報ｐｋを受信すると、ＩＰアドレス管理テーブルを参照し、受信したパケット情報ｐｋの送信元ＩＰアドレスから担当のコリレータ・コントローラＣＣを特定し、上記検索機能２による検索の実行を要求する。検索要求機能３：コリレータ・コントローラＣＣから検索結果となるパケット情報ｐｋを受信すると、ＩＰアドレス管理テーブルを参照し、受信したパケット情報ｐｋの送信元ＩＰアドレスから担当のコリレータ・コントローラＣＣを特定し、上記検索機能３による検索の実行を要求する。伝送路記録機能：攻撃検知システムＩＤＳ及び各コリレータ・コントローラＣＣから検索結果を受信すると、受信した一連の情報を関連付け、イベントデータベースシステムＤＢに蓄積記録する。図７は、イベントデータベースシステムＤＢに蓄積記録されるデータをテーブル形式で説明する説明図である。攻撃検知システムＩＤＳから受信した対象パケットに関する情報ごとに、各コリレータ・コントローラＣＣから受信したパケット情報ｐｋが関連付けて記録される。
【００４１】
伝送路出力手段は、管理端末ＰＣからの要求に応じて、対象パケットの伝送路の情報を提供する機能を備える。詳細には、接続要求のあった管理端末ＰＣに対して伝送路探索要求用画面を表示させる。図８は伝送路探索要求用画面を示す図である。伝送路探索要求用の画面には、「検索対象選択」「検索元となるパケット(対象パケット)のアップロード」及び「検索条件指定」の項目が表示される。伝送路出力手段は、管理端末ＰＣから伝送路探索要求用画面に入力された情報を受信すると、それらを検索キーとしてイベントデータベースＤＢを検索する。検索キーと一致する情報が検出されると、それに関連付けられている一連のパケット情報ｐｋを管理端末ＰＣに返信する。
【００４２】
次に、本実施の形態の伝送路探索システムＳｙｓ３の動作説明を行う。
＜常時動作＞攻撃検知システムＩＤＳにより攻撃パケットとして対象パケットＰ２が検知されると、対象パケットＰ２に関する情報が管理システムＭＳに送信される。管理システムＭＳは、対象パケットＰ２に関する情報を受信すると、検索要求機能１にてコリレータ・コントローラＣＣ３に検索要求を行う。コリレータ・コントローラＣＣ３では、検索手段ＳＲＣ３の検索機能１により検索が行われ、検索結果としてｐｋ３−２を返信する。管理システムＭＳは、パケット情報ｐｋ３−２を受信すると、それを対象パケットのパケット情報として、検索要求機能２及び検索要求機能３によりコリレータ・コントローラＣＣ２に検索要求を行う。コリレータ・コントローラＣＣ２では検索手段ＳＲＣ２の検索機能２及び検索機能３により検索が行われ、検索結果としてパケット情報ｐｋ２−１及びｐｋ２−２を返信する。管理システムＭＳは、パケット情報ｐｋ２−１、ｐｋ２−２を受信すると、パケット情報ｐｋ２−１を対象パケットのパケット情報とし、検索要求機能２及び検索要求機能３によりコリレータ・コントローラＣＣ３に検索要求を行う。
【００４３】
管理システムＭＳは，攻撃検知システムＩＤＳから攻撃パケットＰ２に関する情報、及び、各コリレータ・コントローラＣＣからパケット情報ｐｋ３−２，ｐｋ２−２，ｐ２−１，ｐｋ１−１を受信すると、伝送路記録機能によりイベントデータベースＤＢに蓄積記録する。図９は、イベントデータベースＤＢに蓄積記録された情報を示す図である。これにより、攻撃パケットと判断されたパケットの伝送路については、先行的に検索が実行され、イベントデータベースＤＢに記録されることとなる。ＤＤｏｓ攻撃等のＤＮＳ反射攻撃では情報量が莫大となるが、イベントデータベースＤＢに集約することにより、各コリレータ・コントローラＣＣの記憶容量は一時キャッシュ程度の一定量としながら、イベントデータベースＤＢにて長期間に渡る攻撃イベントを蓄積しておくことができ、管理やコストの面から非常に有効である。また、攻撃イベントの可能性のある伝送路のみを抽出して記憶するため、攻撃イベントの情報を網羅的且つ長期間に渡って蓄積可能としながらも、記憶容量を抑えることができる。
【００４４】
＜探索動作＞オペレータはユーザからの要求等に応じて、対象パケットＰ２の伝送路を特定するために、管理システムＭＳに接続する。管理システムＭＳの伝送路出力手段は、管理端末ＰＣに伝送路探索要求用画面を表示させる。オペレータが、伝送路探索要求用画面に必要な情報を入力して送信すると、管理システムＭＳの伝送路出力手段は、検索対象項目のイベントデータベースのチェックを確認し、入力されたパケットや検索条件の情報を検索キーとして、イベントデータベースＤＢを検索する。検索キーと一致する情報が検出されると、それに関連付けられている一連のパケット情報ｐｋ１−１，ｐｋ２−１，ｐｋ２−２，ｐｋ３−１を返信する。これにより、ユーザ（ＩＳＰユーザ等）から過去に遡って攻撃の報告がなされた場合などのように、インシデントの認知に長時間を要した場合においても、記憶容量が十分に準備されたイベントデータベースＤＢを参照するため伝送路の特定が可能となる。攻撃イベントの情報がイベントデータベースＤＢに集約されているため、検索の処理効率の観点からも非常に効果的である。なお、検索対象項目の各コリレータ・コントローラにチェックされている場合は、各コリレータ・コントローラに検索要求を行う。これにより、ＩＳＰごとの検索も可能となる。
【００４５】
以上、本発明によれば、ＤＮＳサーバを中継して攻撃がなされるＤＮＳ反射攻撃であっても、そのパケットの伝送路を探索し、発信源を特定することができる。なお、上記実施の形態は、一例を示すものであり、これに限定されるものではない。たとえば、中継ＤＮＳサーバが複数となった場合でも、検索手段による検索を再帰的に行うことで経路を探索することができる。また、プローブやコリレータ・コントローラが設置される位置は、インターネットサービスプロバイダに限らず、例えば、企業や学校等、ひとつのルーティングポリシー配下にあるＡＳ（自律システム）の境界付近であれば良く、各ＡＳの流出入口となるルータを通過するパケットについて、パケット情報を取得可能であれば良い。また、本発明は、その趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。
【図面の簡単な説明】
【００４６】
【図１】第１の実施の形態の伝送路探索システムの概略を説明する概略説明図である。
【図２】上記実施の形態において伝送路探索システムの各インターネットサービスプロバイダにおける構成を説明する説明図である。
【図３】上記実施の形態において記憶手段により蓄積記録されるパケット情報をテーブル形式にて説明する説明図である。
【図４】上記実施の形態において記録手段により蓄積記録されたパケット情報をテーブル形式で説明する説明図である。
【図５】第２の実施の伝送路探索システムの概略を説明する概略説明図である。
【図６】第３の実施の形態の伝送路探索システムの概略説明図である。
【図７】上記実施の形態のイベントデータベースに蓄積記憶されるデータをテーブル形式で説明する説明図である。
【図８】上記実施の形態の伝送路探索要求用画面を示す図である。
【図９】上記実施の形態のイベントデータベースＤＢに蓄積記録された情報の例である。
【図１０】ＤＮＳ反射攻撃を説明する説明図である。
【符号の説明】
【００４７】
Ｓｙｓ１、Ｓｙｓ２、Ｓｙｓ３  伝送路探索システム
Ｎ１    攻撃端末
Ｎ２    中継ＤＮＳサーバ
Ｎ３    標的ＤＮＳサーバ
ＩＳＰ（ＩＳＰ１〜ＩＳＰ３）  インターネットサービスプロバイダ
Ｐ１，Ｐ２      パケット
ＣＣ（ＣＣ１〜ＣＣ３）    コリレータ・コントローラ
ＲＥＣ（ＲＥＣ１〜ＲＥＣ３）  記録手段
ＳＲＣ（ＳＲＣ１〜ＳＲＣ３）  検索手段
ＰＲＢ（ＰＲＢ１〜ＰＲＢ３）  プローブ（収集手段）
ＰＣ（ＰＣ１〜ＰＣ３）    管理端末
ＭＳ    管理システム
ＤＢ  イベントデータベース
ＩＤＳ  攻撃検知システム
【図１】
2009212596.tif 000003
【図２】
2009212596.tif 000004
【図３】
2009212596.tif 000005
【図４】
2009212596.tif 000006
【図５】
2009212596.tif 000007
【図６】
2009212596.tif 000008
【図７】
2009212596.tif 000009
【図８】
2009212596.tif 000010
【図９】
2009212596.tif 000011
【図１０】
2009212596.tif 000012