(57)【特許請求の範囲】
【請求項１】
ネットワークの複数の観測点を伝播するパケットを記録するパケットログ記録装置において、
前記パケットの情報を記録する記憶手段と、
複数の前記観測点の一を伝播するパケットを取り込み伝播中に不変である部分を抽出してハッシュ関数を適用し、前記観測点のパケットを前記ハッシュ値が示す前記記憶手段のアドレスのデータの各ビット単位に割り当てて記録させる複数の演算制御手段とから構成されたことを特徴とするパケットログ記録装置。
【請求項２】
ネットワークの複数の観測点を伝播するパケットを記録するパケットログ記録装置において、
前記パケットの情報を記録する記憶手段と、
複数の前記観測点を伝播する複数のパケットをそれぞれ取り込み伝播中に不変である部分を抽出してそれぞれハッシュ関数を適用し、前記観測点のパケットを前記ハッシュ値が示す前記記憶手段のアドレスのデータの各ビット単位に割り当てて記録させる演算制御手段とから構成されたことを特徴とするパケットログ記録装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ネットワークを伝播するパケットを記録してパケットの伝播経路を追跡するパケット経路追跡システムで用いられるパケットログ記録装置に関し、特に記憶容量を低減することが可能なパケットログ記録装置に関する。
【０００２】
【従来の技術】
従来のインターネット上ではパケットを連続してターゲットに送信して当該ターゲットの提供するサービスを停止等させるＤｏＳ（Denial of Service attack：サービス停止攻撃：以下、単にＤｏＳと呼ぶ。）が問題になっている。
【０００３】
特に、複数地点から一斉に一つのターゲットに対してＤｏＳ攻撃を行うＤＤｏＳ（Distributed ＤｏＳ：分散型ＤｏＳ：以下、単にＤＤｏＳと呼ぶ。）が大きな問題になっている。
【０００４】
このため、このようなＤＤｏＳ攻撃等を防止するため、不正なパケットの発信源を特定するパケット経路追跡システムが考案されている。
【０００５】
図３はこのような従来のパケット経路追跡システムの一例を示す構成ブロック図である。図３において１は攻撃者（アタッカー）が操作する端末、２はＤＤｏＳ攻撃等のターゲットとなるサーバ、３及び４はＩＳＰ（Internet Service Provider：インターネットサービス提供業者：以下、単にＩＳＰと呼ぶ。）、５，６，７及び８はルータ、９，１０及び１１は伝播するパケットの情報を記録するパケットログ記録装置である。
【０００６】
端末１はルータ５を介してＩＳＰ３に接続され、ＩＳＰ３はルータ６及びルータ７を介してＩＳＰ４に接続される。また、サーバ２はルータ８を介してＩＳＰ４に接続される。
【０００７】
さらに、端末１とルータ５との間の回線にはパケットログ記録装置９が接続され、ルータ６とルータ７との間の回線にはパケットログ記録装置１０が接続され、サーバ２とルータ８との間の回線にはパケットログ記録装置１１が接続される。
【０００８】
ここで、図３に示す従来のパケット経路追跡システムの動作を図４及び図５を用いて説明する。図４は攻撃者（アタッカー）の攻撃経路を示す説明図、図５はパケットの記録状況を説明する説明図である。
【０００９】
図４中”ＡＴ０１”に示すように攻撃者（アタッカー）は端末１からＩＳＰ３及びＩＳＰ４を介してターゲットであるサーバ２に対してＤｏＳ攻撃等を行う。
【００１０】
一方、パケットログ記録装置９，１０及び１１は接続された回線を伝播するパケットを取得して記憶手段に順次記録して行く。
【００１１】
例えば、図５中”ＬＧ１１”、”ＬＧ１２”及び”ＬＧ１３”に示すようにパケットログ記録装置９，１０及び１１はＤｏＳ攻撃のために伝播する不正なパケットを取得して記憶手段に順次記録する。
【００１２】
そして、ＤｏＳ攻撃等を受けたサーバ２が受信した不正なパケットと、パケットログ記録装置９，１０及び１１にそれぞれ記録されたパケットを比較して当該不正なパケットが伝播した経路を特定する。
【００１３】
例えば、図４に示すＤｏＳ攻撃等に用いられた不正なパケットはパケットログ記録装置９，１０及び１１に記録されているので図４中”ＡＴ０１”に示すような不正なパケットの伝播経路を特定することが可能になる。
【００１４】
但し、監視している回線に伝播するパケットの全ての情報を順次記録するために、記憶手段には膨大な記憶容量が必要になるため、効率良くパケットの情報を保持する方法が考案されている。
【００１５】
図６はこのようなパケットログ記録装置の具体例を示す構成ブロック図であり、１２は演算制御手段、１３は記憶手段である。
【００１６】
観測点である回線からの入力は演算制御手段１２に接続され、演算制御手段１２の出力は記憶手段１３に接続される。
【００１７】
ここで、図６に示すパケットログ記録装置の動作を図７を用いて説明する。図７は取得したパケットの記録方法を説明する説明図である。
【００１８】
図６中”ＬＧ２１”に示すように観測点である回線から入力されたパケットは演算制御手段１２に取り込まれ、ＩＰ（Internet Protocol）パケットの中で伝播中に不変である部分等を抽出する。
【００１９】
そして、演算制御手段１２は抽出された情報をハッシュ関数を用いてハッシュ値に変換し、このハッシュ値を記憶手段１３のアドレスとみなして、該当するアドレスにビットを立てる等してある特定のパケットが伝播したことを記録する。
【００２０】
ここで、ハッシュ関数とは、原文から固定長の疑似乱数（ハッシュ値）を生成する関数であって、このハッシュ関数は不可逆な一方向関数を含むために生成されたハッシュ値から元の原文を再現することはできない。また、同じハッシュ値となる異なるデータを作成することは極めて困難である。
【００２１】
例えば、演算制御手段１２が、図７中”ＰＩ３１”に示すような取得したパケットから抽出された伝播中に不変である部分にハッシュ関数を適用して、図７中”ＨＶ３１”に示すようなハッシュ値（例えば、ＸＸＸＸＨ：１６ビットの１６進数表現）を得られた場合を想定する。
【００２２】
この場合、演算制御手段１２は得られたハッシュ値（ＸＸＸＸＨ）を記憶手段１３のアドレスとみなして、”ＸＸＸＸＨ”のアドレスに図７中”ＷＤ３１”に示すようにデータを書き込む。
【００２３】
例えば、データの書込み方法としては”００００００００Ｂ（８ビットデータ）”から”０００００００１Ｂ”等（ビットを立てる）に変更することによってある特定のパケットが伝播したことを記録する。
【００２４】
そして、ＤｏＳ攻撃等を受けたサーバが受信した不正なパケットに前記ハッシュ関数を適用して得られたハッシュ値に対応する記憶手段１３のアドレスにビットが立っていれば不正なパケットがパケットログ記録装置が接続された回線を伝播したことになる。
【００２５】
この結果、図６に示すパケットログ記録装置ではパケットの情報を全て記憶手段に記録するのではなく、パケットの一部分にハッシュ関数を適用して得られたハッシュ値に対応する記憶手段のアドレスに記録する（ビットを立てる）ことにより、記憶手段の記憶容量は小さくて良く、効率良くパケットの情報を保持することが可能である。
【００２６】
【発明が解決しようとする課題】
しかし、図６に示すパケットログ記録装置では全てのパケット情報を記録する方法と比較して効率よくパケットの情報を保持することができるものの、記憶手段の記憶領域の利用効率に問題がある。
【００２７】
すなわち、図７に示すようにデータ幅が８ビットの記憶手段を用いた場合、パケットの伝播の有無を示すためには１ビットだけで十分であるため、残りの７ビットは無駄になってしまうと言った問題点があった。
【００２８】
言い換えれば、データ幅がｎビットの記憶手段の場合、”１／ｎ”の記憶領域しか使用していないことになってしまう。
【００２９】
また、１つのパケットログ記録装置で複数の観測点（回線）をモニタする場合も可能であり、この場合も記憶手段の利用効率に問題がある。
【００３０】
図８は１つのログ記憶手段で複数回線をモニタする場合の一例を示す構成ブロック図である。図８において１４，１５，１６及び１７はＩＳＰ、１８，１９，２０，２１，２２及び２３はルータ、２４はパケットログ記録装置である。但し、説明の簡単のためターゲットとなるサーバや攻撃者（アタッカー）の端末等の記載は省略している。
【００３１】
ＩＳＰ１４はルータ１８及び２１を介してＩＳＰ１５に接続され、ルータ１９及び２２を介してＩＳＰ１６に接続され、ルータ２０及び２３を介してＩＳＰ１７に接続される。
【００３２】
また、ルータ１８とルータ２１との間の回線、ルータ１９とルータ２２との間の回線及びルータ２０とルータ２３との間の回線にはパケットログ記録装置２４が接続される。
【００３３】
図８に示すようなパケットログ記録装置２４の場合には、各観測点（回線）毎に図６に示すような構成が必要になり、記憶手段としては３個の記憶手段が別途必要になってしまうと言った問題点があった。
【００３４】
このような、３個の記憶手段もまたデータ幅がｎビットの記憶手段の場合には”１／ｎ”の記憶領域しか使用していないことになってしまう。
従って本発明が解決しようとする課題は、記憶容量を低減することが可能なパケットログ記録装置システムを実現することにある。
【００３５】
【課題を解決するための手段】
このような課題を達成するために、本発明のうち請求項１記載の発明は、
ネットワークの複数の観測点を伝播するパケットを記録するパケットログ記録装置において、
前記パケットの情報を記録する記憶手段と、複数の前記観測点の一を伝播するパケットを取り込み伝播中に不変である部分を抽出してハッシュ関数を適用し、前記観測点のパケットを前記ハッシュ値が示す前記記憶手段のアドレスのデータの各ビット単位に割り当てて記録させる複数の演算制御手段とから構成されたことにより、パケット内容を記録するパケットログ記録装置の記憶容量を低減することが可能になり、記憶手段の記憶領域の利用効率を向上させることも可能になる。
【００３６】
請求項２記載の発明は、
ネットワークの複数の観測点を伝播するパケットを記録するパケットログ記録装置において、
前記パケットの情報を記録する記憶手段と、複数の前記観測点を伝播する複数のパケットをそれぞれ取り込み伝播中に不変である部分を抽出してそれぞれハッシュ関数を適用し、前記観測点のパケットを前記ハッシュ値が示す前記記憶手段のアドレスのデータの各ビット単位に割り当てて記録させる演算制御手段とから構成されたことにより、パケット内容を記録するパケットログ記録装置の記憶容量を低減することが可能になり、記憶手段の記憶領域の利用効率を向上させることも可能になる。
【００４１】
【発明の実施の形態】
以下本発明を図面を用いて詳細に説明する。図１は本発明に係るパケット経路追跡システムのログ記録装置の一実施例を示す構成ブロック図である。
【００４２】
図１において２５，２６及び２７は演算制御手段、２８は記憶手段である。複数の異なる観測点である各回線（図示せず。）からの入力は演算制御手段２５，２６及び２７に接続され、演算制御手段２５，２６及び２７の出力は記憶手段２８に接続される。
【００４３】
ここで、図１に示すパケットログ記録装置の動作を図２を用いて説明する。図２は取得したパケットの記録方法を説明する説明図である。但し、従来例で説明したパケット経路追跡システムの基本的な動作に関しては説明を省略する。
【００４４】
図１中”ＬＧ４１”、”ＬＧ４２”及び”ＬＧ４３”に示すように各回線から入力されたパケットはそれぞれ演算制御手段２５，２６及び２７に取り込まれ、ＩＰ（Internet Protocol）パケットの中で伝播中に不変である部分等を抽出する。
【００４５】
そして、演算制御手段２５，２６及び２７はそれぞれ抽出された情報をハッシュ関数を用いて各々のハッシュ値に変換し、これらのハッシュ値を記憶手段２８のアドレスとみなして、該当するアドレスの特定のビットを立てる等してある特定のパケットが伝播したことを記録する。
【００４６】
例えば、演算制御手段２５が、図２中”ＰＩ５１”に示すような取得したパケットから抽出された伝播中に不変である部分にハッシュ関数を適用して、図２中”ＨＶ５１”に示すようなハッシュ値（例えば、ＸＸＸＸＨ：１６ビットの１６進数表現）を得られた場合を想定する。
【００４７】
この場合、演算制御手段２５は得られたハッシュ値（ＸＸＸＸＨ）を記憶手段２８のアドレスとみなして、”ＸＸＸＸＨ”のアドレスの最上位ビット（Most Significant Bit：ＭＳＢ）に図２中”ＷＤ５１”に示すようにデータを書き込む。
【００４８】
同様に、例えば、演算制御手段２６が、図２中”ＰＩ５２”に示すような取得したパケットから抽出された伝播中に不変である部分にハッシュ関数を適用して、図２中”ＨＶ５２”に示すようなハッシュ値（ＸＸＸＸＨ）を得られた場合を想定する。
【００４９】
この場合、演算制御手段２６は得られたハッシュ値（ＸＸＸＸＨ）を記憶手段２８のアドレスとみなして、”ＸＸＸＸＨ”のアドレスの最下位ビットから６ビット目に図２中”ＷＤ５２”に示すようにデータを書き込む。
【００５０】
さらに、例えば、演算制御手段２７が、図２中”ＰＩ５３”に示すような取得したパケットから抽出された伝播中に不変である部分にハッシュ関数を適用して、図２中”ＨＶ５３”に示すようなハッシュ値（ＸＸＸＸＨ）を得られた場合を想定する。
【００５１】
この場合、演算制御手段２７は得られたハッシュ値（ＸＸＸＸＨ）を記憶手段２８のアドレスとみなして、”ＸＸＸＸＨ”のアドレスの最下位ビット（Least Significant Bit：ＬＳＢ）に図２中”ＷＤ５３”に示すようにデータを書き込む。
【００５２】
すなわち、演算制御手段２５，２６及び２７はハッシュ値が示すアドレスのうち”ＭＳＢ”、”ＬＳＢから６ビット目”及び”ＬＳＢ”にそれぞれデータを書き込むべきビットが割り当てられている。
【００５３】
例えば、データの書込み方法としてはＭＳＢやＬＳＢ等の該当する特定のビットを”０”から”１”に変更することによってビットを立てる。
【００５４】
そして、ＤｏＳ攻撃等を受けたサーバが受信した不正なパケットに前記ハッシュ関数を適用して得られたハッシュ値に対応する記憶手段２８のアドレスの特定のビットに”１”が立っていれば該当する観測点（回線）で不正なパケットが伝播したことになる。
【００５５】
すなわち、３つの観測点（回線）を観測する場合であっても記憶手段は１つで済み、１つのアドレスに３個所の観測点（回線）の情報を格納できるので記憶手段の記憶領域の利用効率も向上する。
【００５６】
この結果、ハッシュ値が示すアドレスのデータを各ビット単位で複数の観測点（回線）に割り当ててビットを立てることにより、パケット内容を記録するパケットログ記録装置の記憶容量を低減することが可能になり、記憶手段の記憶領域の利用効率を向上させることも可能になる。
【００５７】
なお、図１に示すログ記録装置において説明の簡単のために個々の観測点（回線）に対して演算制御手段２５，２６及び２７を例示しているが、勿論、１つの演算制御手段で複数箇所の観測点（回線）からのパケットを取り込み処理を行っても構わない。
【００５８】
また、図１に示すパケットログ記録装置においては、”ＭＳＢ”、”ＬＳＢから６ビット目”及び”ＬＳＢ”に演算制御手段２５，２６及び２７が割り当てられているが、勿論、これに限定されるわけではなく、演算制御手段２５等にデータを書き込むべきビットを適宜割り当てても構わない。
【００５９】
また、実施例の説明に関しては、パケットログ記録装置はデータ幅が”８ビット”の記憶手段を用いて３個所の観測点（回線）のログを記録している例を例示しているが、この例に限定されるものではなく、データ幅がｎビットの記憶手段の場合には最大”ｎ”個所の観測点（回線）のログを記録を記録することが可能になる。
【００６０】
また、図２の説明では特定ビットのデータを直接変更しているが、ハッシュ値が示すアドレスの全データと、特定ビットを”１”にするデータとの論理和を演算してハッシュ値が示すアドレスに再度書き込んでも構わない。
【００６１】
例えば、図２中”ＷＤ５２”に示すようにデータを書き込む場合には、ハッシュ値が示すアドレスの全データと、”００１０００００Ｂ”との論理和を演算することにより、最下位ビットから６ビット目の値は強制的に”１”になり、他のビットはそれ以前の状態を保持するので実質的に特定ビットに”１”を立てることができる。
【００６２】
また、実施例の説明に際しては、ＤｏＳ攻撃等を受けたサーバが受信した不正なパケットに前記ハッシュ関数を適用して得られたハッシュ値に対応する記憶手段２８のアドレスの特定のビットに”１”が立っているか否かを判断しているが、前記ハッシュ値が示すアドレスをチェックしてデータが”０（＝００Ｈ）”であれば、個々のビットを確認することなく全ての観測点（回線）で不正なパケットは伝播しなかったことが分かる。
【００６３】
すなわち、前記ハッシュ値が示すアドレスのデータが”０（＝００Ｈ）”かそれ以外かによって判断することにより、パケットログ記録装置が観測する複数の観測点（回線）での不正パケットの伝播の有無を一括して判断できるので、不正パケットの検索効率が向上することになる。
【００６４】
また、前記ハッシュ値が示すアドレスのデータが”０（＝００Ｈ）”ではない場合、データとマスク（例えば、”００１０００００Ｂ”）とで論理積を演算して特定のビットを取り出して、特定観測点での不正パケットの伝播の有無を判断しても構わない。
【００６５】
また、不正パケットを検出した場合に特定ビット”０”から”１”に変更する旨記載しているが、勿論、”１”から”０”に変更するものであっても構わない。
【００６６】
また、観測点としてルータ間の回線を例示しているが、観測点としてはルータやルータとＩＳＰ間の回線等のどの点であっても構わない。さらに、観測方法としてはハブや回線分岐装置により回線を分岐しての観測、スイッチのミラーポート等による通信のコピーを介しての観測、若しくは、ルータ等のネットワーク接続機器の内部での観測であっても構わない。
【００６７】
【発明の効果】
以上説明したことから明らかなように、本発明によれば次のような効果がある。
請求項１及び請求項２の発明によれば、ハッシュ値が示すアドレスのデータを各ビット単位で複数の観測点（回線）に割り当ててビットを立てることにより、パケット内容を記録するパケットログ記録装置の記憶容量を低減することが可能になり、記憶手段の記憶領域の利用効率を向上させることも可能になる。
【図面の簡単な説明】
【図１】本発明に係るパケット経路追跡システムのログ記録装置の一実施例を示す構成ブロック図である。
【図２】取得したパケットの記録方法を説明する説明図である。
【図３】従来のパケット経路追跡システムの一例を示す構成ブロック図である。
【図４】攻撃者（アタッカー）の攻撃経路を示す説明図である。
【図５】パケットの記録状況を説明する説明図である。
【図６】パケットログ記録装置の具体例を示す構成ブロック図である。
【図７】取得したパケットの記録方法を説明する説明図である。
【図８】１つのログ記憶手段で複数回線をモニタする場合の一例を示す構成ブロック図である。
【符号の説明】
１  端末
２  サーバ
３，４，１４，１５，１６，１７  ＩＳＰ
５，６，７，８，１８，１９，２０，２１，２２，２３  ルータ
９，１０，１１，２４  パケットログ記録装置
１２，２５，２６，２７  演算制御手段
１３，２８  記憶手段
【図１】
0003750803.tif 000002
【図２】
0003750803.tif 000003
【図３】
0003750803.tif 000004
【図４】
0003750803.tif 000005
【図５】
0003750803.tif 000006
【図６】
0003750803.tif 000007
【図７】
0003750803.tif 000008
【図８】
0003750803.tif 000009