"BGPネットワーク上で各ASから広報されるBGPメッセージに含まれる不正メッセージを検出するBGP不正メッセージ検出装置において、BGPメッセージを抽出するメッセージ抽出手段と、前記メッセージでアナウンスされる属性変動を検知する変動検知手段と、前記属性変動が検知されたメッセージを変動後の属性値ごとにグループ分けする分類手段と、前記グループごとに、複数のメッセージが共に経由する共有ASを検出する共有AS検出手段と、前記検出された共有ASの識別情報を含む不正メッセージ通知を出力する不正メッセージ通知手段とを具備したことを特徴とするBGP不正メッセージ検出装置。BGP経路表を収集する手段と、前記BGP経路表に基づいて、プレフィックスごとに各属性の初期値を検出する手段とを具備し、前記変動検知手段は、BGP経路表を参照することでプレフィックスごとに各属性の初期値を把握し、過去に観測されたことのない新規なプレフィックスの属性値が初期値と同じであれば、これを属性変動として検知しないことを特徴とする請求項1に記載のBGP不正メッセージ検出装置。BGP経路表を収集する手段と、前記BGP経路表に基づいて、属性ごとに各属性値を使用するAS数を集計する手段とを具備し、前記変動検知手段は、前記BGP経路表において多くのASにより使用されている属性値への変動を属性変動として検知しないことを特徴とする請求項1に記載のBGP不正メッセージ検出装置。前記メッセージ抽出手段は、BGPルータからオンラインでメッセージを抽出することを特徴とする請求項1ないし3のいずれかに記載のBGP不正メッセージ検出装置。前記メッセージ抽出手段は、BGPルータからオフラインでメッセージを抽出することを特徴とする請求項1ないし3のいずれかに記載のBGP不正メッセージ検出装置。BGPネットワーク上で各ASから広報されるBGPメッセージに含まれる不正メッセージを検出するBGP不正メッセージ検出方法において、BGPメッセージを抽出し、各メッセージでアナウンスされる属性変動を検知する手順、前記属性変動が検知されたメッセージを変動後の属性値ごとにグループ分けする手順と、前記グループごとに、複数のメッセージが共に経由する共有ASを検出し、その識別情報を含む不正メッセージ通知を出力する手順とを含むことを特徴とするBGP不正メッセージ検出方法。特許文献1では、BGPメッセージの広報元が不正メッセージを公報した場合には、これを検知できる。しかしながら、公報されたBGPメッセージが経由するAS以下、経由ASと表現する場合もあるにおいて、当該BGPメッセージに不正属性が追加されて不正メッセージ化されても、これを検知することができない場合があった。本発明の目的は、上記した従来技術の課題を解決し、公報されたBGPメッセージに対して、その経由ASにおいて不正属性が追加され、不正メッセージ化されても、これを確実に検知できるBGP不正メッセージ検出方法および装置を提供することにある。上記の目的を達成するために、本発明は、BGPネットワーク上で各ASから広報されるBGPメッセージに含まれる不正メッセージを検出するBGP不正メッセージ検出装置において、以下のような手段を講じた点に特徴がある。BGPの経路更新を広報するメッセージを抽出するメッセージ抽出手段と、前記メッセージでアナウンスされる属性変動を検知する変動検知手段と、前記属性変動が検知されたメッセージを変動後の属性値ごとにグループ分けする分類手段と、前記グループごとに、複数のメッセージが共に経由する共有ASを検出する共有AS検出手段と、前記検出された共有ASの識別情報を含む不正メッセージ通知を出力する不正メッセージ通知手段とを具備した。BGP経路表を収集する手段と、BGP経路表に基づいて、プレフィックスごとに各属性の初期値を検出する手段とを更に設け、変動検知手段は、BGP経路表を参照することでプレフィックスごとに各属性の初期値を把握し、過去に観測されたことのない新規なプレフィックスの属性値が初期値と同じであれば、これを属性変動として検知しないようにした。BGP経路表を収集する手段と、BGP経路表に基づいて、属性ごとに各属性値を使用するAS数を集計する手段とを更に設け、変動検知手段は、BGP経路表において多くのASにより使用されている属性値への変動を属性変動として検知しないようにした。本発明によれば、以下のような効果が達成される。同一の属性変動を広報する複数のBGPメッセージが共に経由する共有ASを検出し、このような共有ASが不正属性を追加した不正ASと推定されるようにしたので、正常なメッセージに対して経由ASにより不正属性が追加された場合にも、これを確実に検知できるようになる。BGP経路表を参照することでプレフィックスごとに各属性の初期値を把握し、過去に観測されたことのない新規なプレフィックスのメッセージであっても、その変動後の属性値が初期値と同じであれば、この属性変動は除外されるので、過去に観測されたことのないプレフィックスの属性値が全て不正な属性変動の候補として抽出されてしまうことを防止できる。BGPメッセージで広報される属性変動の属性値をBGP経路表と照合し、変動後の属性値を使用しているAS数が多い場合には、この属性変動を不正候補から除外するようにしたので、少数の正規メッセージが不正メッセージ候補とされる誤検出を防止できるようになる。以下、図面を参照して本発明の実施の形態について詳細に説明する。図1は、本発明の一実施形態に係るBGP不正メッセージ検出装置の構成を示したブロック図であり、BGPネットワークインターネットに所属する管理下のBGPルータ後述するAS20から境界ルータRを中継して収集されたBGPメッセージおよびBGP経路表を取得し、不正メッセージおよびその広報元として疑わしいASをプレフィックスごとに検出する計算サーバ1と、前記検出結果を表示する表示装置2とを主要な構成としている。前記ネットワークと計算サーバ1とは、図1に示したようにオンラインで接続されていても良いし、あるいは図2に示した他の実施形態のように、オフラインであってもよい。この場合、管理下のBGPルータにより収集されたBGPメッセージやBGP経路表のログデータは、ディスク状の記録媒体3や可搬性の半導体メモリ4を仲介して計算サーバ1に取り込まれる。図3は、本発明が適用されるBGPネットワークの構成を示したブロック図であり、前記と同一の符号は同一または同等部分を表している。本実施形態では、ネットワークを構成する7つのASAS10~AS70に着目し、AS30が不正メッセージの広報元たる経由ASである場合を例にして説明する。実施形態1図4は、本発明の第1実施形態に係る計算サーバ1の機能ブロック図であり、ここでは本発明の説明に不要な構成は図示が省略されている。メッセージ抽出部101は、BGPルータAS20により観測収集されているBGPメッセージの中から、BGPの経路更新を広報するANNOUNCEメッセージを抽出する。変動検知部102において、属性値抽出部102aは、前記メッセージに記述されている各変動属性の属性値をプレフィックス毎に抽出する。変動抽出部102bは、前後に観測されたANNOUNCEメッセージに記述されている各変動属性の属性値変動後をプレフィックス毎に比較することで属性値の変動を抽出する。不正メッセージ検出部103において、分類部103aは、属性変動が検知されたプレフィックスを変動後の属性値に応じて分類することで、各メッセージのエントリを変動後の属性値ごとにグループ分けする。共有AS検出部103bは、複数のエントリが登録されているグループごとに、各メッセージが共に経由するAS共有ASを検出し、このような共有ASを不正ASすなわち不正属性を追加したASと推定する。不正メッセージ通知部103cは、前記検出された共有ASの識別情報を含む不正メッセージ通知を出力する。図5は、本実施形態の動作を示したフローチャートであり、主に計算サーバ1の動作を示している。ステップS1では、前記メッセージ抽出部101により、BGPルータAS20において観測収集されている多数のBGPメッセージの中からANNOUNCEメッセージが抽出される。ステップS2では、各ANNOUNCEメッセージに付加情報として記述されている属性パス属性およびその属性値が前記属性値抽出部102aにより抽出される。前記属性には、経路情報の生成元を示すORIGIN、メッセージが通過するAS番号のリストを示すASPATH、トラヒックを転送すべきルータのアドレスを示すNEXTHOPなどがある。ステップS3では、前記変動抽出部102bにおいて、前後に観測されてプレフィックスが同一のANNOUNCEメッセージに記述されている属性値を属性ごとに比較することで属性変動がプレフィックスごとに抽出される。このとき、過去に観測されたことのない新規なプレフィックスのANNOUNCEメッセージに記述されている属性は、全て変動として抽出される。図6は、前記変動抽出部102bによりプレフィックス毎に抽出された属性変動の一例を模式的に表現した図であり、本実施形態では、属性値の変動が検知されるごとに、その観察日、観察時刻、経由するAS、プレフィックス宛先のネットワークアドレス、変動のあった属性変動属性および変動後の属性値が関連付けられてエントリされる。図6において、変動属性がNEXTHOPであって属性値が10000のエントリは、あるプレフィックスに対応するNEXTHOP属性の属性値が10000に変化したことを意味する。同様に、属性値が30000のエントリは、あるプレフィックスに対応するNEXTHOP属性の属性値が30000に変化したことを意味する。なお、各メッセージの広報元ASは、ASPATH属性内で最も右側に位置するASとして検出できる。例えば、ASPATHが1040であれば、その広報元ASは40となり、経由ASは10となる。図5へ戻り、ステップS4では、各属性変動の特異性を判定するために、各エントリが変動後の属性値に応じて、前記分類部103aによりグループ分けされる。図7は、前記グループ分けの一例を示した図であり、ここでは、同じ時間間隔例えば1分間で発生した属性変動後の属性値が同一であるエントリが同一グループに分類される。本実施形態では、変動属性NEXTHOPが属性値10001に変動したことを広報する、送信元がAS40,AS50の2つのANNOUNCEメッセージのエントリがグループ1に分類され、変動属性NEXTHOPが属性値30001に変動したことを広報する、送信元がAS50,AS60の2つのANNOUNCEメッセージのエントリがグループ2に分類されている。なお、変動後の属性値が同じであってもメッセージの観測日時が異なるエントリは異なるグループに分類される。ステップS5では、前記共有AS検出部103bにより、前記グループごとに各エントリのメッセージが同一のASを経由しているか否か、すなわち共有ASを有するか否かが検出され、この検出結果に基づいて不正メッセージが推定される。本実施形態では、図8に示したように、グループ1では経由ASに関する2つの集合の積{AS10AS40}∩{AS30AS50}が空集合となり、共有ASが存在しないので不正候補から除外される。これに対して、グループ2では経由ASに関する2つの集合の積{AS30AS50}∩{AS30AS60}がAS30となるので、このAS30が不正属性を追加した不正ASと推定される。ステップS6では、前記不正AS30および当該エントリに既登録の情報の記述された不正メッセージ通知が、前記不正メッセージ通知部103cから表示部2へ出力される。本実施形態によれば、属性変動を広報するBGPメッセージが抽出され、同一の属性変動を広報する複数のBGPメッセージが共に経由する共有ASが、不正属性を追加した不正ASと推定されるので、正常なメッセージに対して経由ASにより不正属性が追加された場合にも、これを検知できるようになる。なお、上記の実施形態では、経由ASが不正である場合を例にして説明したが、本発明はこれのみに限定されるものではなく、図9に一例を示したように、メッセージの公報元AS40が不正の場合も同様に検出できる。公報元AS40が不正であると、図10に示したような2つのANNOUNCEメッセージのエントリが同一グループに分類される。すなわち、公報元AS40からAS10を経由してAS20に到着したメッセージでは、NEXTHOPを40001に変える更新がアナウンスされ、また送信元AS40からAS70を経由してAS20に到着したメッセージでは、NEXTHOPを40001に変える更新がアナウンスされる。ここで、各エントリの経由ASに関する2つの集合の積{AS10AS40}∩{AS70AS40}はAS40となるので、当該共有AS40が不正ASと推定される。実施形態2上記の第1実施形態では、過去に観測されたことのないプレフィックスのANNOUNCEメッセージに記述されている属性が全て変動として抽出されるので、正規のメッセージも不正メッセージ候補と誤認される場合があった。そこで、本発明の第2実施形態では、BGP経路表を参照することでプレフィックスごとに各属性の初期値を把握し、過去に観測されたことのない新規なプレフィックスのANNOUNCEメッセージであっても、その属性値が初期値と同じであれば除外され、属性変動として抽出されないようにしている。図11は、本発明の第2実施形態に係る計算サーバ1の機能ブロック図であり、前記と同一の符号は同一または同等部分を表しているので、その説明は省略する。経路表抽出部104は、BGPルータAS20により収集されているBGP経路表を抽出する。初期値検出部105は、前記抽出されたBGP経路表に基づいて、プレフィックスごとに各属性の初期値を検出する。前記変動検知部102の変動絞込部102cは、過去に観測されたことのない新規なプレフィックスであるとして前記変動抽出部102bにより抽出された属性変動が前記BGP経路表に初期値として登録されているか否かを判定する。そして、未登録であれば、その属性変動としての扱いを維持する一方、既登録であれば除外することで前記属性変動を絞り込む。本実施形態によれば、過去に観測されたことのない新規なプレフィックスのメッセージであっても、その変動後の属性値が初期値と同じであれば、この属性変動は除外されるので、過去に観測されたことのないプレフィックスの属性値が全て不正な属性変動の候補として抽出されてしまうことを防止できる。実施形態3上記の第1実施形態では、過去に観測されたことのないプレフィックスのANNOUNCEメッセージに記述されている属性が全て変動として抽出されるので、例えば多くのASにより使用されている属性値に変動したプレフィックスのように、正規の属性変動を広報するメッセージまでもが不正メッセージ候補と誤認される場合があった。そこで、本発明の第3実施形態では、BGP経路情報を予め集計することで属性ごとに各属性値を使用するAS数を把握し、BGP経路表において多くのASにより使用されている属性値に関しては、これを不正な属性変動と判定しないようにしている。図12は、本発明の第3実施形態に係る計算サーバ1の機能ブロック図であり、前記と同一の符号は同一または同等部分を表しているので、その説明は省略する。初期値検出部105において、集計部105aは、前記抽出されたBGP経路表の初期値に基づいて、属性ごとに各属性値を使用するAS数を集計する。前記変動絞込部102cは、属性ごとに経路表の中でも多くのASにより使用されている属性値に変動しているエントリについては、属性変動の対象から除外することで前記属性変動を絞り込む。図13は、前記AS数の集計結果の一例を模式的に表現した図であり、この例では、属性NEXTHOPの属性値として4444を利用するAS数度数が44444であり、2222を利用するAS数が22222であることを示している。前記変動絞込部102cは、図14に一例を示したように、属性変動を広報するメッセージのエントリここでは、4つと、前記属性ごとに各属性値を使用するAS数とを照合して不正メッセージ候補の広報元ASを推定する。本実施形態では、変動属性NEXTHOPの属性値2222および4444は、多数のASにより使用されていることがBGP経路表から明らかなのに対して、属性値3333を使用しているASは存在しないので、図15に示したように、変動後の属性値が3333であるエントリのみが、不正判定の対象として抽出される。本実施形態によれば、BGPメッセージで広報される属性変動の属性値をBGP経路表と照合し、変動後の属性値を使用しているAS数が多い場合には、この属性変動を不正候補から除外するようにしたので、少数の正規メッセージが不正メッセージ候補とされる誤検出を防止できるようになる。"