(57)【特許請求の範囲】
【請求項１】
監視対象の通信ネットワークに設置された複数のパケットプリンティング装置と、前記パケットプリンティング装置と通信回線を介して接続された管理システムとからなり、
前記パケットプリンティング装置は、
監視対象の通信回線を通過するパケットのそれぞれについてハッシュ値化したパケット特定情報を生成して記憶部に記憶させ、
前記管理システムからの要求を受けて該管理システムから送信されたパケット特定情報と同一の情報が前記記憶部にあるか否かを検索し、その結果を前記管理システムへ送信し、
前記管理システムは、
追跡対象のパケットをハッシュ値化したパケット特定情報を生成し、
予め内部の記憶部に記憶している前記通信ネットワークの構成に関する情報に基づいて前記パケット特定情報を含む検索要求を、前記管理システムに追跡対象パケットを送信する侵入検知装置の直近に接続されるパケットプリンティング装置に送信し、この検索要求に対してパケットプリンティング装置から追跡パケットが通過したことを示す検索結果を受信した場合に、さらに追跡対象パケットが通過したパケットプリンティング装置の直近に接続されるパケットプリンティング装置に対して検索要求を送信し、
各パケットプリンティング装置から受信した検索結果から、追跡対象パケットの通過経路に関する情報を得ることを特徴とするパケット追跡システム。
【請求項２】
監視対象の通信ネットワークに設置された複数のパケットプリンティング装置と、前記パケットプリンティング装置と通信回線を介して接続された管理システムとからなり、
前記パケットプリンティング装置は、
監視対象の通信回線を通過する複数のパケットを結合してハッシュ値化したパケット特定情報を生成して記憶部に記憶させ、
前記管理システムからの要求を受けて、該管理システムから送信されたパケット特定情報と同一の情報が前記記憶部にあるか否かを検索し、その結果を前記管理システムへ送信し、
前記管理システムは、
追跡対象の複数のパケットを結合してハッシュ値化したパケット特定情報を生成し、
前記パケット特定情報を含む検索要求を１以上の前記パケットプリンティング装置に送信し、
各パケットプリンティング装置から受信した検索結果から、追跡対象パケットの通過経路に関する情報を得ることを特徴とするパケット追跡システム。
【請求項３】
監視対象の通信ネットワークに設置された複数のパケットプリンティング装置と、前記パケットプリンティング装置と通信回線を介して接続された管理システムとからなり、
前記パケットプリンティング装置は、
監視対象の通信回線を通過するパケットのそれぞれについて、ハッシュ値化したパケット特定情報を生成して該パケットの寿命情報とともに記憶部に記憶させ、
前記管理システムからの要求を受けて、該管理システムから送信されたパケット特定情報と同一の情報が前記記憶部にあるか否かを検索し、その結果と対応する前記パケットの寿命情報を前記管理システムへ送信し、
前記管理システムは、
追跡対象のパケットから、該パケットをハッシュ値化したパケット特定情報を生成し、
前記パケット特定情報を含む検索要求を１以上の前記パケットプリンティング装置に送信し、
各パケットプリンティング装置から受信した検索結果と対応する前記パケットの寿命情報から、追跡対象パケットの通過経路に関する情報を得ることを特徴とするパケット追跡システム。
【請求項４】
前記管理システムは、前記検索要求を全ての前記パケットプリンティング装置に対して送信し、検索結果を全てのパケットプリンティング装置から受信することを特徴とする請求項２または請求項３に記載のパケット追跡システム。
【請求項５】
前記管理システムは、前記各パケットプリンティング装置から受信した検索結果と、予め内部の記憶部に記憶している通信ネットワークの構成に関する情報とに基づいて、追跡対象パケットの通過経路に関する情報を得ることを特徴とする請求項１から請求項４のうちいずれかに記載のパケット追跡システム。
【請求項６】
前記管理システムは、追跡対象パケットを前記管理システムに送信した侵入検知装置の直近に接続されるパケットプリンティング装置にのみ検索要求を行い、前記パケットプリンティング装置は、検索結果を受信した時点で検索動作を行うとともに、自己の直近に接続される他のパケットプリンティング装置に対して検索要求を行うことを特徴とする請求項２または請求項３に記載のパケット追跡システム。
【請求項７】
前記パケットプリンティング装置は、検索要求を受信した場合に、前記記憶部に記憶されている全てのパケット特定情報を検索対象として検索を行うことを特徴とする請求項１から請求項６のうちいずれかに記載のパケット追跡システム。
【請求項８】
前記パケットプリンティング装置は前記パケット特定情報と共にパケット通過時刻情報を記憶部に記憶し、前記管理システムは、パケット通過時刻の範囲を含む検索要求を送信し、前記パケットプリンティング装置は、受信した検索要求に含まれるパケット通過時刻の範囲内の前記パケット通過時刻情報と共に記憶したパケット特定情報のみを前記記憶部より読み出して検索を行うことを特徴とする請求項１から請求項７のうちいずれかに記載のパケット追跡システム。
【請求項９】
前記記憶部は、記憶しているパケット特定情報が予め決められた記憶容量を超えた場合に、最も古いパケット特定情報を破棄して、新たなパケット特定情報を記憶することを特徴とする請求項１から請求項３のうちいずれかに記載のパケット追跡システム。
【請求項１０】
前記パケットプリンティング装置は、外部記憶装置を更に備え、前記管理システムからの指示を受けて、前記記憶部に記憶されているパケット特定情報を前記外部記憶装置へコピーすることを特徴とする請求項１から請求項３のうちいずれかに記載のパケット追跡システム。
【請求項１１】
前記パケット特定情報は、前記通信回線を通過したパケットを構成する一部の情報に基づいて生成されていることを特徴とする請求項１から請求項３のうちいずれかに記載のパケット追跡システム。
【請求項１２】
監視対象の通信ネットワークを構成する通信回線の要所に設置されるパケットプリンティング装置であって、
監視対象の通信回線を通過する複数のパケットを結合してハッシュ値化したパケット特定情報を生成して記憶部に記憶させ、
外部からの検索要求に含まれるパケット特定情報と同一の情報が前記記憶部にあるか否かを検索し、その結果を出力することを特徴とするパケットプリンティング装置。
【請求項１３】
監視対象の通信ネットワークを構成する通信回線の要所に設置されるパケットプリンティング装置から出力される追跡対象パケット検索結果に基づきパケット通過経路を得る管理システムであって、
追跡対象のパケットから、該パケットをハッシュ値化したパケット特定情報を生成し、
予め内部の記憶部に記憶している前記通信ネットワークの構成に関する情報に基づいて前記パケット特定情報を含む検索要求を、前記管理システムに追跡対象パケットを送信する侵入検知装置の直近に接続されるパケットプリンティング装置に送信し、この検索要求に対してパケットプリンティング装置から追跡対象パケットが通過したことを示す検索結果を受信した場合に、さらに追跡対象パケットが通過したパケットプリンティング装置の直近に接続されるパケットプリンティング装置に対して検索要求を送信し、
各パケットプリンティング装置から受信した検索結果と、予め内部の記憶部に記憶している通信ネットワークの構成に関する情報とから、追跡対象パケットの通過経路に関する情報を得ることを特徴とする管理システム。
【請求項１４】
監視対象の通信ネットワークを構成する通信回線の要所に設置されるパケットプリンティング装置から出力される追跡対象パケット検索結果に基づきパケット通過経路を得る管理システムであって、
追跡対象の複数のパケットを結合してハッシュ値化したパケット特定情報を生成し、
前記パケット特定情報を含む検索要求を１以上の前記パケットプリンティング装置に送信し、
各パケットプリンティング装置から受信した検索結果と、予め内部の記憶部に記憶している通信ネットワークの構成に関する情報とから、追跡対象パケットの通過経路に関する情報を得ることを特徴とする管理システム。
【発明の詳細な説明】
技術分野
本発明は、既存のネットワーク機器を利用したままでもパケットの経路を追跡することのできるパケット追跡システムに関するものである。
本出願は日本国への特許出願（特願２００１−１３３２９０）に基づくものであり、当該日本出願の記載内容は本明細書の一部として取り込まれるものとする。
背景技術
従来から通信ネットワーク内の不審なパケットを検出するために、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ／侵入検知装置）が使用されている。ＩＤＳにより不審なパケットを検知し、そのパケットの追跡を行なう場合、発信元アドレスをキーとしてパケットの追跡を行なう。そのため、発信元アドレスが詐称されていると、正確なパケットの追跡ができない。このような発信元の詐称されたパケットを特定し、追跡するために、パケット内に目印となる情報を付与する等、パケットに手を加える方法や、パケットの中身を精査する方法が考えられている。
しかし、上述したパケット内に目印となる情報を付与する従来の方法は、その中身を調べるため、プライバシを侵害するという問題がある。また、第三者によってパケット内に追跡するためとして付与された情報が、悪意ある第三者によって付与された、若しくは変更された欺瞞情報である場合、そのパケットを正確に追跡することができない。
また、ルータ等、既存のネットワーク機器において追跡する方法も考えられる。しかし、この方法を実現するには、対象となるネットワーク装置内部の仕組みや、ネットワークの構成を一部変更しなければならない。そのため、機器の追加、設置場所変更等の構成変更を柔軟に行なうことができなくなる。
発明の開示
【０００５】
【課題を解決するための手段】
本発明は、上記の目的を達成するためになされたもので、監視対象の通信ネットワークを構成する通信回線の要所に各々複数設置されたパケットプリンティング装置と、前記各パケットプリンティング装置に対して前記通信回線とは物理的に異なる通信回線を介して接続された管理システムとからなり、前記パケットプリンティング装置は、監視対象の通信回線を通過するパケットのそれぞれについて、該パケットを特定するパケット特定情報を生成して記憶部に記憶させ、前記管理システムからの要求を受けて該管理システムから送信されたパケット特定情報と同一の情報が前記記憶部にあるか否かを検索し、その結果を前記管理システムへ送信し、前記管理システムは、追跡対象のパケットから、該パケットを特定するパケット特定情報を生成し、前記パケット特定情報を含む検索要求を、複数の前記パケットプリンティング装置に送信し、各パケットプリンティング装置から受信した検索結果から、追跡対象パケットの通過経路に関する情報を得ることを特徴とする。
また、本発明は、監視対象の通信ネットワークを構成する通信回線の要所に各々複数設置されたパケットプリンティング装置と、前記各パケットプリンティング装置に対して前記通信回線と物理的に同一で論理的に異なる通信回線を介して接続された管理システムとからなり、前記パケットプリンティング装置は、監視対象の通信回線を通過するパケットのそれぞれについて、該パケットを特定するパケット特定情報を生成して記憶部に記憶させ、前記管理システムからの要求を受けて該管理システムから送信されたパケット特定情報と同一の情報が前記記憶部にあるか否かを検索し、その結果を前記管理システムへ送信し、前記管理システムは、追跡対象のパケットから、該パケットを特定するパケット特定情報を生成し、前記パケット特定情報を含む検索要求を、前記パケットプリンティング装置に送信し、各パケットプリンティング装置から受信した検索結果から、追跡対象パケットの通過経路に関する情報を得ることを特徴とする。
また、本発明は、監視対象の通信ネットワークを構成する通信回線の要所に各々複数設置されたパケットプリンティング装置と、前記各パケットプリンティング装置に対して前記通信回線と物理的及び論理的に同一の通信回線を介して接続された管理システムとからなり、前記パケットプリンティング装置は、監視対象の通信回線を通過するパケットのそれぞれについて、該パケットを特定するパケット特定情報を生成して記憶部に記憶させ、前記管理システムからの要求を受けて該管理システムから送信されたパケット特定情報と同一の情報が前記記憶部にあるか否かを検索し、その結果を前記管理システムへ送信し、前記管理システムは、追跡対象のパケットから、該パケットを特定するパケット特定情報を生成し、前記パケット特定情報を含む検索要求を、複数の前記パケットプリンティング装置に送信し、各パケットプリンティング装置から受信した検索結果から、追跡対象パケットの通過経路に関する情報を得ることを特徴とする。
また、本発明は、監視対象の通信ネットワークを構成する通信回線に複数設置されたパケットプリンティング装置と、前記各パケットプリンティング装置に対して接続される管理システムとからなり、前記パケットプリンティング装置は、監視対象の通信回線を通過するパケットを特定する情報を記憶部に記憶し、前記管理システムから要求を受け、該管理システムから検索要求された追跡対象のパケットを特定する情報と同一の情報が前記記憶部に記憶されているか否かを検索し、その検索結果を前記管理システムへ送信し、前記管理システムは、追跡対象のパケットを特定するための情報を前記パケットプリンティング装置に送信して検索要求をし、各パケットプリンティング装置から受信した検索結果から、追跡対象パケットの通過経路に関する情報を得ることを特徴とする。
これにより、既存のネットワーク機器を利用したまま、パケットの通過経路を追跡することができる。
また、本発明は、上述のパケット追跡システムにおいて、前記管理システムは、前記検索要求を全ての前記パケットプリンティング装置に対して送信し、検索結果を全てのパケットプリンティング装置から受信することを特徴とする。
また、本発明は、上述のパケット追跡システムにおいて、前記管理システムは、前記各パケットプリンティング装置から受信した検索結果と、予め内部の記憶部に記憶している通信ネットワークの構成に関する情報とに基づいて、追跡対象パケットの通過経路に関する情報を得ることを特徴とする。
また、本発明は、上述のパケット追跡システムにおいて、前記管理システムは、追跡対象パケットを前記管理システムに送信した侵入検知装置の直近に接続されるパケットプリンティング装置にのみ検索要求を行い、前記パケットプリンティング装置は、検索結果を受信した時点で検索動作を行うとともに、自己の直近に接続される他のパケットプリンティング装置に対して検索要求を行うことを特徴とする。
また、本発明は、上述のパケット追跡システムにおいて、前記管理システムは、前記侵入検知装置の直近に接続されるパケットプリンティング装置から順次検索要求を送信し、この検索要求に対してパケットプリンティング装置から追跡対象パケットが通過したことを示す検索結果がを受信した場合に、さらに追跡対象パケットが通過したパケットプリンティング装置の直近に接続されるパケットプリンティング装置に対して検索要求を送信することを特徴とする。
また、本発明は、上述のパケット追跡システムにおいて、前記パケットプリンティング装置は、検索要求を受信した場合に、前記記憶部に記憶されている全てのパケット特定情報を検索対象として検索を行うことを特徴とする。
また、本発明は、上述のパケット追跡システムにおいて、前記管理システムは、パケット通過時刻の範囲を含む検索要求を送信し、前記パケットプリンティング装置は、受信した検索要求に含まれるパケット通過時刻の範囲内のパケット特定情報のみを前記記憶部より読み出して検索を行うことを特徴とする。
また、本発明は、上述のパケット追跡システムにおいて、前記記憶部は、記憶しているパケット特定情報が予め決められた記憶容量を超えた場合に、最も古いパケット特定情報を破棄して、新たなパケット特定情報を記憶することを特徴とする。
また、本発明は、上述のパケット追跡システムにおいて、前記パケットプリンティング装置は、外部記憶装置を更に備え、前記管理システムからの指示を受けて、前記記憶部に記憶されているパケット特定情報を前記外部記憶装置へコピーすることを特徴とする。
また、本発明は、上述のパケット追跡システムにおいて、前記パケット特定情報は、前記通信回線を通過したパケットに対して加工を全く加えない状態のパケットであることを特徴とする。
また、本発明は、上述のパケット追跡システムにおいて、前記パケット特定情報は、前記通信回線を通過したパケットを構成する一部の情報に基づいて生成されていることを特徴とする。
この構成によれば、必要に応じてパケット特定情報を取得することができる。
また、本発明の要旨は、前記パケット特定情報は、メッセージダイジェストである。
この構成によれば、パケット特定情報を記憶する記憶部の容量を小さくすることができる。さらに、記憶部の容量が小さくなることにより、ソートや検索の効率を大幅に向上させることができる。
また、本発明の要旨は、前記メッセージダイジェストは、パケットのあらかじめ定められた部分のデータに対して生成される。
この構成によれば、パケットプリンティング装置を通過した時のパケットが、ネットワークを経由して行き、侵入検知装置がこのパケットを発見した時には、同じ内容をもつパケットにも関わらずヘッダと呼ばれる制御情報の一部がわずかに異なることがあるが、その場合でもより精度の高いパケット特定情報を生成することができる。また、同じ内容のパケットが複数送信された場合、それらを同一とみなすことにより、パケット特定情報を記憶する記憶部の容量を有効に使用することができる。さらに、記憶部の容量が小さくなることにより、ソートや検索の効率を大幅に向上させることができる。
また、上記パケット追跡システムにおいて、前記メッセージダイジェストは、複数に分割されたパケットが結合されたパケットに基づいて生成されることを特徴とする。これにより、パケット特定情報を記憶する記憶部の容量を、さらに有効に使用することができる。さらに、記憶部の容量が小さくなることにより、ソートや検索の効率を大幅に向上させることができる。
また、本発明は、監視対象の通信ネットワークを構成する通信回線の要所に設置されるパケットプリンティング装置であって、監視対象の通信回線を通過するパケットのそれぞれについて、該パケットを特定するパケット特定情報を生成して記憶部に記憶させ、外部からの検索要求に含まれるパケット特定情報と同一の情報が前記記憶部にあるか否かを検索し、その結果を出力することを特徴とする。
また、本発明は、監視対象の通信ネットワークを構成する通信回線の要所に設置されるパケットプリンティング装置から出力される追跡対象パケット検索結果に基づきパケット通過経路を得る管理システムであって、追跡対象のパケットから、該パケットを特定するパケット特定情報を生成し、前記パケット特定情報を含む検索要求を、複数の前記パケットプリンティング装置に送信し、各パケットプリンティング装置から受信した検索結果と、予め内部の記憶部に記憶している通信ネットワークの構成に関する情報とから、追跡対象パケットの通過経路に関する情報を得ることを特徴とする。
発明を実施するための最良の形態
まず、図１を参照して、本実施形態の概要について説明する。ネットワークＡ、Ｂ、Ｃは、イントラネット内のネットワークである。ネットワークＢ、及びＣは、ネットワークＡを介して互いに接続されている。また、ネットワークＡは、プロバイダサーバ（図示略）を介してインターネットに接続されている。
各々のネットワーク間の接続リンクには、パケットプリンティング装置１が接続されている。ここでは、各々のパケットプリンティング装置１を区別するために、パケットプリンティング装置１ａ、１ｂ、１ｃという。パケットプリンティング装置１ａ、１ｂ、１ｃは管理用ネットワークにも接続されている。パケットプリンティング装置１ａ、１ｂ、１ｃは、各々が接続されているネットワーク間の接続リンクを監視の対象とし、その監視対象ネットワークを通過するパケットのコピーを取り、コピーしたパケットを一意に特定する情報としてメッセージダイジェストを生成し、記憶している。本実施形態では、メッセージダイジェストをハッシュ値として説明する。
ＩＤＳ３はネットワークＣに接続され、ネットワークＣ内に侵入した不審なパケットの検知を行う。
管理システム２は、ネットワークの構成情報を記憶しており、ＩＤＳ３と近接し、接続されている。また、管理システム２は、パケットプリンティング装置１ａ、１ｂ、１ｃと管理用ネットワークを介して通信することができる。
ＩＤＳ３が、ネットワークＣ内で不審なパケットを検知したものとする。ＩＤＳ３は、警報と、追跡対象の不審なパケットを管理システム２に送信する。
管理システム２は、ＩＤＳ３からの警報と、追跡対象のパケットを受信すると、受信したパケットからハッシュ値を生成する。なお、ハッシュ値の代わりにパケットそのもののコピーあるいはパケットを一意に特定することが可能なデータを含むパケットデータの一部でもよい。すなわち、受信したパケットを特定することができるデータであれば何でもよい。
次に、管理システム２は、パケットプリンティング装置１の位置を確認し、ネットワークに余計な負荷がかからないように生成したハッシュ値を含む検索要求を送信する。ここでは、パケットプリンティング装置１ａ、１ｂ、１ｃすべてに生成したハッシュ値を含む検索要求を送信するものとする。
パケットプリンティング装置１ａ、１ｂ、１ｃは、受信したハッシュ値と一致するハッシュ値を記憶しているかどうか検索する。検索が終わると、結果を管理システム２に送信する。
管理システム２は、パケットプリンティング装置１ａ、１ｂ、１ｃから送信された結果と、ネットワークの構成情報とから、パケットの経路を得る。例えば、パケットプリンティング装置１ｂ、１ｃから、一致するハッシュ値を記憶しているという結果を受信した場合、不審なパケットは、ネットワークＡを介してインターネットからきたものとなる。管理システム２は、このような結果をネットワーク管理者等に通知する。ネットワーク管理者等は、結果から、不審なパケットが通過したプロバイダサーバの管理者等に報告等する。これにより、セキュリティの防御が図られる。
なお、各ネットワークを構成する通信回線は、有線または無線で構成される。
以下、図面を参照し、本実施形態について詳細に説明する。図２は、パケットプリンティング装置１（１ａ、１ｂ、１ｃ）の内部構成を機能展開して示したブロック図である。図３は、パケットプリンティング装置１の動作を説明するものである。以下、パケットプリンティング装置１の構成、及び動作を、図２、図３を参照して説明する。
１１はタッピング装置である。タッピング装置１１は、接続する監視対象ネットワークを通過するパケットのコピーを作成する（図３におけるＳ６１）。本実施形態では、監視対象ネットワークとの接続は、ＩＰアドレス等の論理接続を持たないステルス接続であるものとする。
１２はプリンティング制御部である。プリンティング制御部１２は、あらかじめ、ハッシュ値を生成する方式（ハッシュ関数）を、パケットプリンティング部１３に指示しておく。
１３は、パケットプリンティング部である。パケットプリンティング部１３は、プリンティング制御部１２に指示された方式（ハッシュ関数）で、タッピング装置１１がコピーしたパケットのハッシュ値を生成する（図３におけるＳ６２）。
１４はキャッシュ制御部である。キャッシュ制御部１４は、キャッシュ部１５に記憶されているハッシュ値の量（個数）を認識する（図３におけるＳ６３）。キャッシュ部１５に記録されているハッシュ値が一定量以上であった場合、キャッシュ制御部１４は、キャッシュ部１５に記憶されている最も古いハッシュ値を破棄する（図３におけるＳ６４）。キャッシュ部１５に記録されているハッシュ値が一定量以下であった場合、キャッシュ制御部１４は、キャッシュ部１５に記憶されている情報の最後尾に新しいハッシュ値を追加して記憶する。
このように、キャッシュ制御部１４は、キャッシュ部１５に記憶されているハッシュ値が常に一定量以下になるよう制御する。また、すべてのパケットのヘッダ部分には、当該パケットの寿命を示すＴＴＬ（Ｔｉｍｅ  Ｔｏ  Ｌｉｖｅ）が付随している。キャッシュ制御部１４は、ハッシュ値を、当該パケットが通過した時間を示すタイムスタンプと、ＴＴＬとを関連付けてキャッシュ部１５の空いているフィールド等に記憶させる（図３におけるＳ６５）。
パケットプリンティング装置１は、監視対象ネットワークを通過するすべてのパケットに対し、上述の動作を行っている。１６は追跡エージェント部であり、管理ネットワークとＩＰ接続され、管理システム２と通信する。追跡エージェント部１６の動作については、後述する管理システム２の動作のところで説明する。
なお、本実施形態では、監視対象ネットワークと管理用ネットワークは、互いに独立して存在するものとする。これにより、監視対象ネットワークからの侵入者に、パケットプリンティング装置１の存在を気づかれない。
次に、管理システム２について、図面を参照して説明する。図４は、管理システム２の構成を示すブロック図である。この図において、２１は警報受信部であり、接続されているＩＤＳ３から不審なパケットに対する警報を受信する。２２はパケット受信部であり、接続されているＩＤＳ３から不審なパケットを受信する。
２３はプリンティング制御部であり、あらかじめ、ハッシュ値を生成する方式（ハッシュ関数）を、パケットプリンティング部２４に指示しておく。
パケットプリンティング装置１のプリンティング制御部１２で指定される方式と、管理システム２のプリンティング制御部２３で指定される方式は常に同じである。
２４はパケットプリンティング部であり、プリンティング制御部２３に指示された方式（ハッシュ関数）で、パケット受信部２２が受信したパケットのハッシュ値を生成する。２５は追跡要求部であり、パケットプリンティング部２４で生成されたハッシュ値を含む検索要求を各パケットプリンティング装置１ａ、１ｂ、１ｃに送信し、さらに、検索結果を受信する。
２６は構成情報であり、監視対象ネットワーク及び管理用ネットワークの構成を記憶するＤＢ（データベース）である。２７は追跡経路作成部であり、パケットプリンティング装置１ａ、１ｂ、１ｃから送信された検索結果と、構成情報２６の情報とから、パケットの通過経路を作成する。
ここで、図５に示すシステム構成において、管理システム２のパケット追跡の動作を、図６を参照して説明する。
図５において、５１、５２はＩＳＰ（Ｉｎｔｅｒｎｅｔ  Ｓｅｒｖｉｃｅ  Ｐｒｏｖｉｄｅｒ）である。３５は、ウェブページなどのサービスを提供するサーバである。
ＩＳＰ５１、５２、サーバ３５は、各々ルータ３１、３２、３３を介して中継されている。
ルータ３１、３２、３３が接続されているネットワークに、パケットプリンティング装置１ａ、１ｂ、１ｃが接続されている。パケットプリンティング装置１ａ、１ｂ、１ｃは、ルータ３１、３２、３３と接続されているネットワークを監視対象ネットワークとし、各ルータを通過するすべてのパケットのハッシュ値を生成し、記憶している。なお、本実施形態では、パケットプリンティング装置１ａ、１ｂ、１ｃは、ＮＴＰ同期（Ｎｅｔｗｏｒｋ  Ｔｉｍｅ  Ｐｒｏｔｏｃｏｌ）により、内部時計の時刻を同期させているものとする。
ＩＤＳ３はサーバ３５と接続されているものとする。ＩＤＳ３はサーバ３５の不審なパケットを監視している。管理システム２は、ＩＤＳ３と近接し、接続されている。
パケットプリンティング装置１ａ、１ｂ、１ｃ、管理システム２、ＩＤＳ３は、管理用ネットワーク（図示略）にＩＰ接続されているものとする。
いま、ＩＤＳ３が、不審なパケットをサーバ３５内から検出したとする。ＩＤＳ３は、不審なパケットに対する警報を管理システム２に送信する。管理システム２は、警報受信部２１で警報を受信する。警報を受信すると、管理システム２は、警報の対象となったパケットの送信をＩＤＳ３に要求する。要求を受けたＩＤＳ３は、追跡対象となる不審なパケットそのものを管理システム２に送信する。管理システム２のパケット受信部２２は追跡対象のパケットを受信する（図６におけるＳ７１）。
プリンティング制御部２３は、あらかじめ、ハッシュ値を生成する方式（ハッシュ関数）を、パケットプリンティング部２４に指示しておく。パケットプリンティング部２４は、パケット受信部２２で受信したパケットから、プリンティング制御部２３に指示されたハッシュ関数を利用してハッシュ値を生成する（図６におけるＳ７２）。
追跡要求部２５は、構成情報２６を参照し、パケットプリンティング装置１の位置と数とを確認し、検索要求を送信するパケットプリンティング装置１を決定する（図６におけるＳ７３）。近くにあるパケットプリンティング装置１の数が少ない場合、追跡要求部２５は、近くにあるすべてのパケットプリンティング装置１に、生成したハッシュ値を含む検索要求を送信する。近くにあるパケットプリンティング装置１の数が多い場合、追跡要求部２５は、最も近くにあるパケットプリンティング装置１から順に、生成したハッシュ値を含む検索要求を送信する。本実施形態では、パケットプリンティング装置１ｃに検索要求を送信したものとする。
パケットプリンティング装置１ｃの追跡エージェント部１６は、検索要求を受信する（図６におけるＳ７４）。次に、追跡エージェント部１６は、キャッシュ部１５を参照し、受信したハッシュ値と同じハッシュ値を記憶しているか検索する（図６におけるＳ７５）。そして、受信したハッシュ値と同じハッシュ値を記憶していれば「真」、記憶していなければ「偽」を、管理システム２の追跡要求部２５に送信する（図６におけるＳ７６）。
また、キャッシュ部に該当するハッシュ値を記憶していれば、パケットプリンティング装置１ｃの追跡エージェント部１６は、ハッシュ値と関連付けられて記憶されているタイムスタンプとＴＴＬを含む検索結果を管理システム２に送信する。
本実施形態では、パケットプリンティング装置１ｃは「真」という結果を管理システム２に送信したものとする。
管理システム２の追跡要求部２５は検索結果を受信する。追跡経路作成部２７は、検索結果と、構成情報２６に記憶されているネットワーク構成の情報とを比較することにより、追跡対象のパケットの通過経路情報を作成する。
本実施形態では、パケットプリンティング装置１ｃから、「真」という検索結果を受信したので、ＩＤＳ３からパケットプリンティング装置１ｃの間を通過経路とする（図６におけるＳ７７）。
なお、パケットプリンティング装置１ｃから、「偽」という検索結果を受信した場合、不審なパケットはサーバ３５本体、あるいは、サーバ３５と接続された端末等（図示略）からのパケットなので、本システムによるパケットの通過経路追跡は終了する。
次に、管理システム２の追跡要求部２５は、構成情報２６を参照し、パケットプリンティング装置１ｃの近くに設置されており、かつ、まだ検索要求を送信していないパケットプリンティング装置１があるか検索する（図６におけるＳ７８）。その検索の結果、まだ検索要求を送信していないパケットプリンティング装置１ａ、１ｂが検索される。そこで、追跡要求部２５は、パケットプリンティング装置１ｃの近くに設置されているパケットプリンティング装置１ｂに検索要求を送信する。
パケットプリンティング装置１ｂは、キャッシュ部１５を検索し、結果を送信する。本実施形態では、「偽」という結果が送信されたものとする。
パケットプリンティング装置１ｂから「偽」という検索結果を受信した管理システム２の追跡要求部２５は、上述したパケットプリンティング装置１の検索を行い、パケットプリンティング装置１ａに対し検索要求を送信する。
パケットプリンティング装置１ａは、キャッシュ部１５を検索し、結果を送信する。本実施形態では、「真」という結果が送信されたものとする。
パケットプリンティング装置１ａから、「真」という検索結果を受信した管理システム２の追跡経路作成部２７は、パケットプリンティング装置１ｃからパケットプリンティング装置１ａの間を、不審なパケットの通過経路とする。
次に、追跡要求部２５は、上述したパケットプリンティング装置１の検索を行う。検索要求を送信していないパケットプリンティング装置１が検出されないので、経路の追跡を終了する。
上述の動作により得られたパケットの通過経路情報を、追跡経路作成部２７は、ネットワーク管理者等へのレポートにして通知する。不審なパケットの通過経路がパケットプリンティング装置１ｃからパケットプリンティング装置１ａの間であることから、不審なパケットはＩＳＰ５１から来たものと判断できる。ネットワーク管理者は、ＩＳＰ５１の管理者に報告するなどして、不審なパケットに対する対策を打つことができる。
なお、構成情報２６の情報、あるいはパケットプリンティング装置１の設置が十分でないときも、ハッシュ値と関連付けられているタイムスタンプ、及びＴＴＬとから、大体の経路を割り出すことができる。
本実施形態において、パケットプリンティング装置１、及び、管理システム２がハッシュ値を生成するのに使用する方式（ハッシュ関数）はＭＤ５等でもよく、他の方式でもよい。ここで、本実施形態で使用可能な、ハッシュ値を生成する方式のバリエーションについて説明する。
１．同一のパケットの場合
ＤｏＳ攻撃（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）等の、同一のパケットを大量に送信する攻撃を受けた場合に有効な方式について説明する。
パケットは、簡単にあらわすと、ヘッダ部分と本体部分から成る。同じ内容のパケットでも、ヘッダ部分はパケットの通過経路等により、パケット毎に異なる。従って、パケット全体からハッシュ値を生成した場合、同じ本体部分を持つパケットでも、異なるハッシュ値が得られる場合がある。そこで、ヘッダ構成要素のうち、例えば、「識別番号」、「ＴＴＬ」、「ヘッダチェックサム」のような、パケット毎に異なる部分を除いた部分からハッシュ値を生成すると、同一の本体部分を持つパケットのハッシュ値は同一となる。
パケットプリンティング装置１は前述の方式でハッシュ値を生成している。同一のハッシュ値を連続して生成していると判断した場合、以降生成した同一のハッシュ値を、記憶せずに破棄するようにする。
２．パケットの結合
通常、一つのオペレーションに関するデータは、複数のパケットに分割され、伝送される。このように、複数に分割されたパケットを結合し、結合されたパケットからハッシュ値を生成する方法も考えられる。この結合の方法としては以下のようなことが考えられる。
▲１▼複数のパケットを、セッション単位（オペレーション単位）で単純に結合する。
▲２▼「識別番号」、「ＴＴＬ」、「ヘッダチェックサム」等の、パケット毎に異なる部分を除いたヘッダ部分と内容を結合する。
▲３▼先頭パケットのヘッダ部分と、すべてのパケットの内容部分を結合する。
上記のような方法で結合したパケットからハッシュ値を生成することで、パケットをセッション単位で記録することができる。
上述１、２に例を示すハッシュ関数のバリエーションを利用することにより、パケットプリンティング装置１のキャッシュ部１５の容量を小さくすることが可能となる。さらに、キャッシュ部１５の容量が小さくなることにより、ソートや検索の効率を大幅に向上させることができる。また、上述１に例を示すハッシュ関数のバリエーションは、より精度の高いパケット特定情報を生成するという利点もある。
次に、図７を参照して、管理システム２が検索要求を送信して、この検索要求に対してパケットプリンティング装置１が検索結果を返す場合の送信先を決定する動作を説明する。この図において、符号Ｎは、監視用ネットワークであり、各々ルータ３４、３５に接続される。符号１−１〜７は、監視用ネットワークＮにそれぞれ接続されたパケットプリンティング装置である。各パケットプリンティング装置１−１〜７は、管理ネットワークを介して管理システム２へ接続される。
（ａ）全てのパケットプリンティング装置に対して検索要求を送信する場合
管理システム２は、ＩＤＳ３から通知されたパケット特定情報を含む検索要求を管理ネットワークを介して、全てのパケットプリンティング装置１−１〜７へ送信し、この検索要求を受信したパケットプリンティング装置１−１〜７は、内部を検索して、その結果を管理システム２へ送信する。
（ｂ）ＩＤＳの直近のパケットプリンティング装置のみに対して検索要求を送信する場合
管理システム２は、ＩＤＳ３から通知されたパケット特定情報を含む検索要求を管理ネットワークを介して、ＩＤＳ３の直近のパケットプリンティング装置１−５のみに送信する。これを受けたパケットプリンティング装置１−５は、自己の直近に位置するパケットプリンティング装置１−１，１−２，１−４に対して、検索要求を送信する。自己の直近の装置は予め各パケットプリンティング装置１−１〜７内に記憶されている。これを受けたパケットプリンティング装置１−１，１−２，１−４は、検索対象のパケット特定情報の検索結果を、この検索要求を送信したパケットプリンティング装置１−５に対して通知する。そして、パケットプリンティング装置１−１，１−２，１−４のそれぞれは、自己内に検索対象のパケット特定情報が記憶されていた場合のみ、さらに自己の直近に位置するパケットプリンティング装置１−３、１−６、１−７へ検索要求を送信する。この動作を繰り返し行うことにより、検索対象のパケットの通過経路を追跡し、パケットプリンティング装置１−５が検索結果をとりまとめて管理システム２へ送信する。このようにすることにより、管理システム２は、１つのパケットプリンティング装置１−５のみに検索要求を行うだけでパケットの追跡を行うことが可能となる。また、検索対象のパケット特定情報が記憶されていた場合にのみさらに直近のパケットプリンティング装置１に対して検索要求を行うようにしたため、検索効率を向上させることが可能となる。
（ｃ）パケットの通過が確認されたときのみさらに検索要求を送信する場合
管理システム２は、ＩＤＳ３から通知されたパケット特定情報を含む検索要求を管理ネットワークを介して、ＩＤＳ３の直近のパケットプリンティング装置１−５のみに送信する。そして、この検索要求を送信したパケットプリンティング装置１−５内に検索対象のパケット特定情報が記憶されていた場合のみ、さらに、管理システム２は、パケット特定情報が記憶されていたパケットプリンティング装置１−５の直近する装置に対して検索要求を行い、検索結果を受信する。管理システム２内には、各パケットプリンティング装置１の直近の装置が予め定義されている。この動作を繰り返し行うことによって検索対象のパケットの通過経路を追跡する。このように、検索対象のパケット特定情報が記憶されていた場合にのみさらに直近のパケットプリンティング装置１に対して検索要求を行うようにしたため、検索効率を向上させることが可能となる。
なお、上述の方式によりパケットを特定する情報を得ても、あるいは他の方法でパケットを特定する情報を得てもよい。要は、パケットそのものを加工したり、内容を精査する事なく一意に特定できる情報を得ることができればよい。
また、上述の実施形態では、監視対象ネットワークと管理用ネットワークは、互いに独立して存在するものとした。しかし、これに限られるわけでなく、パケットプリンティング装置１の追跡エージェント部１６は、監視対象ネットワークに接続されており、管理システム２からのパケット検索要求を、監視対象ネットワーク経由で送信してもよい。要は、パケットプリンティング装置１と管理システム２とが、通信ネットワークにより接続されていればよく、物理的に同一な通信回線で、論理的に異なる通信回線であってもよい。さらに、管理ネットワークと監視ネットワークは、物理的に同一でかつ論理的にも同一の通信回線であってもよい。
また、上述の実施形態では、管理システム２は、ＩＤＳから不審なパケットに対する警報を受信し、次に、追跡対象となる不審なパケットそのものを受信するとした。しかし、不審なパケットに対する警報と、不審なパケットそのものを同時に受信してもよい。
また、上述の本実施形態では、パケットプリンティング装置１ａ、１ｂ、１ｃは、ＮＴＰ同期（Ｎｅｔｗｏｒｋ  Ｔｉｍｅ  Ｐｒｏｔｏｃｏｌ）により、内部時計の時刻を同期させているものとしたが、これに限られるわけではない。同期をとる方法として、ＧＰＳクロック等を用いてもよい。
また、パケット特定情報を各パケットプリンティング装置１ａ、１ｂ、１ｃ内に全て記憶しておき、一定期間毎に各パケットプリンティング装置１ａ、１ｂ、１ｃ内に記憶しておいたパケット特定情報を管理システム２へ送信するようにしてもよい。このとき、一定期間に監視対象ネットワークを通過するパケット量を見積っておき、各パケットプリンティング装置１ａ、１ｂ、１ｃには、見積もったパケット量を全て記憶しておける外部記憶装置を備えるようにしておく。
また、各パケットプリンティング装置１ａ、１ｂ、１ｃは、パケット特定情報を記憶する場合に、パケット通過時刻を合わせて記憶するようにして、管理システム２から通過時刻の範囲を限定して検索要求された場合に、この検索時間範囲内で検索するようにしてもよい。このようにすることによって、不審なパケットの通過時刻に基づく検索が可能となるために、検索に必要な時間を削減することが可能となり、パケット追跡を素早く行うことが可能となる。
さらに、パケット追跡の必要が生じた時に外部からのトリガに基づいて、各パケットプリンティング装置１ａ、１ｂ、１ｃ内に記憶しておいたパケット特定情報を記憶容量の大きい記録媒体に記録するようにしてもよい。さらに、管理用ネットワークを設けずに、記憶容量の大きい記録媒体から可搬な記録媒体に記録して、この記録媒体を管理システム２に対して手渡すようにしてもよい。
また、各パケットプリンティング装置１ａ、１ｂ、１ｃは、ＩＤＳ３の機能を有していてもよい。これにより、管理システム２からの要求に基づくのではなく、自ら不審なパケットを検出し、不審なパケットが検出された時点で管理システムへ通知することが可能となる。
また、図２、及び図４における各部の機能の一部またはすべてを実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行させることにより実現させてもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。
また、「コンピュータシステム」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、短時間の間、動的にプログラムを保持するもの、その場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含むものとする。また上記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであっても良い。
以上、この発明の実施形態を図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計変更等も含まれる
【図面の簡単な説明】
図１は、本実施形態のパケット追跡システムの概要を説明するブロック図である。
図２は、本実施形態のパケットプリンティング装置の構成を示すブロック図である。
図３は、本実施形態のパケットプリンティング装置の動作を説明するフローチャートである。
図４は、本実施形態の管理システムの構成を示すブロック図である。
図５は、本実施形態のパケット追跡システム構成を説明するブロック図である。
図６は、本実施形態の管理システム及びパケット追跡システムの動作を説明する図である。
図７は、本実施形態の直近のパケットプリンティング装置を説明する図である。
【図１】
0003819364.tif 000002
【図２】
0003819364.tif 000003
【図３】
0003819364.tif 000004
【図４】
0003819364.tif 000005
【図５】
0003819364.tif 000006
【図６】
0003819364.tif 000007
【図７】
0003819364.tif 000008