JP2000341315A - 電子データの追跡方法及びシステム、記録媒体 - Google Patents

Abstract

(57)【要約】 【課題】 ネットワークを通じて流通する電子データの
発信源を受信側で正しく特定することができ、且つ追跡
処理のシステムリソースの容量の問題を解消できる追跡
管理システムを提供する。 【解決手段】 ネットワーク上に接続されたデータ中継
装置ＲＭａ〜ＲＭｃと、追跡管理装置ＣＭとを含んで追
跡管理システム１を構成する。各データ中継装置ＲＭａ
〜ＲＭｃは、捕捉した電子データを運ぶデータリンク層
の識別子に基づいて当該電子データが自装置の前に通過
した隣接ノードを追跡するととも隣接ノードの追跡が限
界に達したときは、電子データの特徴情報をもとにプロ
トコルアドレスベースの追跡処理、すなわちネットワー
ク単位での追跡処理を実行するための検問モジュールを
自装置内に形成する。追跡管理装置ＣＭは、各データ中
継装置ＲＭａ〜ＲＭｃから通知された情報をもとにプロ
トコルベースの追跡処理が可能な場合はそれを実行し、
それが不能の場合に隣接ノード追跡処理を実行する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、例えばインターネ
ットを介して流通する電子データの流通経路または発信
源を、送信元プロトコルアドレスが偽れたり、他のホス
トを利用して不正にアクセスされた場合であっても、こ
れを正確に特定できるようにするためのデータ追跡技術
に関する。

【０００２】

【従来の技術】インターネット等の広域ネットワークの
急速な普及に伴い、そのネットワークに接続される各種
システムに不正にアクセスし、データの盗用や改竄、破
壊等の行為が発生することが問題になっている。現在、
このような不正アクセスがあった場合は、電子データの
ヘッダ情報に付与される識別子（インターネットの場合
は宛先、送信元ＩＰ（Internet Protocol）アドレス）
のログ（記録情報）を分析することで、そのパケットの
発信源を追跡することが試みられている。つまり、ヘッ
ダ情報のＩＰアドレスを信用し、ルータ等の中継機器や
中継ノード等に残されたログや経路情報等を利用して発
信源を追跡している。

【０００３】

【発明が解決しようとする課題】しかしながら、ＩＰア
ドレスは、送信元の装置（又はシステム）によって任意
に付与されるものであり、これを偽ることにより送信元
を隠すことは容易である。通常、あるシステムに不正に
アクセスする者（以下、不正アクセスを「攻撃」、不正
アクセスを行う者を「攻撃者」と称する場合がある）
は、身元を隠すために自己のＩＰアドレスではなく、別
のＩＰアドレスを用いて攻撃する場合が多い。この場
合、不正にアクセスされたシステム側では、ＩＰアドレ
スを信用することができず、また、攻撃者を正しく特定
することができない。また、最近は、他人のホストを利
用した攻撃（このような攻撃形態は「踏み台」と呼ばれ
る）も行われており、その被害も深刻なものとなってい
る。特に、代理サーバ（Ｐｒｏｘｙサーバ）を利用して
真の発信源のプロトコルアドレスを隠蔽して攻撃を行う
パターンも増加しており、既存の手法では、これに対応
することができない。

【０００４】そこで本発明は、このような問題を解決す
ることができる電子データの追跡技術を提供することを
主たる課題とする。

【０００５】

【課題を解決するための手段】上記課題を解決するた
め、本発明は、送信元プロトコルアドレスや送信先プロ
トコルアドレスよりも下位に位置する層（以下、この下
位層を総称したものを「データリンク層の識別子」とす
る）のフレームまたはセル（以下、両者を区別する必要
がない場合は「フレーム等」と略称する）に含まれる識
別子をもとに、電子データが通過してきた経路を受信側
から送信側に向かって辿る方式を基本的な追跡方式とし
て採用する。

【０００６】具体的には、複数の装置（以下、「装置」
という場合は機器、システムの場合を含む）が通信路上
でつながっている場合において、個々の装置が識別子を
解析することで電子データが通過した自装置の一つ前の
装置を特定した後、この特定した装置に、当該電子デー
タが当該装置の一つ前に通過した他の装置を特定させ
る。好ましくは、予め追跡対象データの特徴情報を特定
しておき、流通する電子データが前記特徴情報に合致す
るときに、当該合致する電子データを運ぶデータリンク
層の識別子を解析する。それぞれの装置が、他の装置を
特定できたときは自装置における解析の識別情報を当該
他の装置及び所定の追跡管理手段に通知する。他の装置
を特定できなかったとき（識別子を解析することで電子
データが通過した自装置の一つ前の装置を特定する機能
を持つ装置でない場合を含む）は当該特徴情報に基づく
最終通知情報を追跡管理手段に通知するようにする。

【０００７】「識別子」は、電子データを運ぶメディア
がＬＡＮ（Local Area Network）等のネットワークの場
合はＭＡＣ（Media Access Contorol）アドレス、フレ
ームリレー網の場合はＤＬＣＩ（Data Link Connection
Identifier）、ＡＴＭ（Asynchronous Transfer Mod
e）網の場合はＶＰＩ（Virtual Path Identifier）／Ｖ
ＣＩ（Virtual Channel Identifier）等の情報である。
メディアとしては、インターネット、イーサネットやＦ
ＤＤＩ（Fiber Distributed Data interface）等を用い
たＬＡＮ、専用線、フレームリレー網、ＡＴＭ網等を使
用することができる。専用線を介して装置（発信源／目
標システム／中継装置等）が接続される場合には、一つ
のインタフェースに対して、一つの装置しか接続されな
いため、辿るべき経路は一意に決定される。フレームリ
レー網やＡＴＭ網の場合も、ＰＶＣ（相手先固定）接続
の場合には、接続される相手装置とＤＬＣＩ（フレーム
リレー網の場合）、ＶＰＩ／ＶＣＩ（ＡＴＭ網の場合）
が１対１に対応しているため、電子データが含まれるデ
ータリンク層の識別子のフレーム等のＤＬＣＩやＶＰＩ
／ＶＣＩを確認すれば、その電子データが通過した一つ
前の装置を特定することができる。インターネットやＬ
ＡＮの場合は、そのフレームに送信元ＭＡＣアドレスが
付与されるので、そのＭＡＣアドレスから一つ前の装置
を特定することができる。

【０００８】但し、フレーム等に含まれる識別子は、通
常、そのフレーム等が送信される中継装置のものなの
で、発信源までは直ちに特定することができない。そこ
で、本発明の追跡処理では、フレーム等の識別子から、
電子データが通過した一つ前のノード（装置が存在する
位置）をまず特定し、そのノードの装置で、追跡すべき
電子データの特徴情報に適合する電子データを再び捕捉
し、その電子データのフレーム等の識別子を調べること
によって、さらに先のノードを探索していくという動作
を繰り返していき、最終的に追跡すべき電子データの発
信源を推定する。

【０００９】また、以上の追跡処理は、追跡開始位置を
起点に電子データの発信源の一つ前のノードに到達する
まですべて中継装置が上記追跡処理機能を実装している
ことが前提であり、場合によっては、既存設備の置き換
え等が必要となる。また、追跡開始位置から発信源まで
のルートが長いと各ノードでの追跡のために消費するシ
ステムリソースが大きい。

【００１０】そこで、上記追跡処理の応用として、自律
ネットワークへのデータ流入ポイント、つまり、自律ネ
ットワークの出入口に、プロトコルアドレスベースで追
跡処理を行うための情報を出力する機構を配備し、この
情報に基づくプロトコルアドレスベースの追跡処理と上
記の隣接ノードのデータリンク層の識別子に基づく追跡
処理とを連携させることで、電子データの経路追跡と発
信源の特定（推定）を効率的に行うようにした。

【００１１】「自律ネットワーク」とは、商用インター
ネットサービスプロバイダ（ＩＳＰ）や大学のキャンパ
スネットワーク等のような、ある共通の運用ポリシー
（運営の仕方、接続の仕方、利用するプロトコル、セキ
ュリティの考え方等）により運営されているネットワー
クをいう。このような自律ネットワークには、商用ＩＳ
Ｐのように、管理されたネットワークもあれば、大学や
研究所のように、ネットワークトポロジーの変化が厳し
く、管理の難しいネットワークもある。以下の説明で
は、便宜上、前者のネットワークを「管理ネットワー
ク」、後者のネットワークを「非管理ネットワーク」と
称する。管理ネットワークでは、アドレス管理、機器・
構成管理、アカウント管理、トラフィック管理、トラフ
ィック制御のための各種管理項目が実施されており、ネ
ットワーク運用、特にセキュリティ的に信頼性が高く、
そのネットワークに接続される場合には送信元プロトコ
ルアドレスがチェックされるだけで良いことが予想され
るので、そのネットワークの出入口を押さえれば、プロ
トコルアドレスベースで追跡処理を行うことが可能であ
る。

【００１２】本発明は、この点に着目し、データ追跡を
自律ネットワーク単位で行い、各自律ネットワークが管
理ネットワークかどうかを電子情報の特徴情報（プロト
コルアドレス等）をもとに判定する。そして、管理ネッ
トワークの場合はその出入口のデータチェックによる第
１の追跡処理、すなわちプロトコルアドレスベースの追
跡処理を行い、非管理ネットワークの場合はデータリン
ク層の識別子に基づく第２の追跡処理、すなわち隣接ノ
ード追跡処理を行うようにする。このようにして、上記
のシステムリソースの消費の問題の解決を図る。

【００１３】本発明は、捕捉した電子データに含まれる
自律ネットワークのプロトコルアドレスをもとに当該電
子データが通過してきた経路を自律ネットワーク単位に
辿る第１の追跡処理と、捕捉した電子データに含まれる
データリンク層の識別子をもとに当該電子データが通過
してきた経路を受信側の装置から送信側の装置に向けて
辿る第２の追跡処理とを組み合わせることにより、前記
電子データの通過経路を推定することを特徴とする、電
子データの追跡方法として具現化される。

【００１４】この追跡方法において、第１の追跡処理
は、電子データに含まれる自律ネットワークのプロトコ
ルアドレスと所定の規則とに基づいて当該自律ネットワ
ークが信頼性のある管理ネットワークか信頼性のない非
管理ネットワークかを判定する信頼性判定処理を含み、
該判定の結果、管理ネットワークであった場合は当該自
律ネットワークを構成する複数の装置による第２の追跡
処理を省略して次の自律ネットワークにおける信頼性判
定処理に移行し、非管理ネットワークであった場合は直
ちに当該装置による第２の追跡処理に移行させる処理で
ある。

【００１５】第２の追跡処理は、より具体的には、連鎖
的に接続された複数の装置の各々が前記識別子を解析す
ることで電子データが通過した自装置の一つ前の装置を
特定した後、この特定した装置に、当該電子データが当
該装置の一つ前に通過した他の装置を特定させる処理で
ある。また、好ましい形態として、第１の追跡処理及び
第２の追跡処理は、自律ネットワークを含むネットワー
ク集合体に配備されている装置が所定のモジュール及び
指示情報とを読み込むことによって実行される。この場
合、モジュール及び指示情報の少なくとも一方は、所定
の指示情報と共に各装置を統括的に管理する追跡管理装
置によって配布される。配布形態としては、例えば、第
２の追跡処理が限界に達した時点で当該第２の追跡処理
を実行した装置とは異なる装置に当該第２の追跡処理用
のモジュール及び指示情報を配布する形態、第２の追跡
処理が限界に達した時点で当該第２の追跡処理を実行し
た装置に第１の追跡処理用のモジュール及び指示情報を
配布する形態が考えられる。

【００１６】本発明は、また、データ追跡装置と追跡管
理装置とを含む追跡管理システムとして具現化される。
データ追跡装置は、追跡対象となる電子データを捕捉す
るデータ捕捉手段と、捕捉した電子データを運ぶデータ
リンク層の識別子に基づいて当該電子データが自装置の
前に通過した他の装置の特定を試みるとともに、前記他
の装置を特定でき且つ特定した装置が自装置と同等の機
能を備えている場合にその装置に対して前記電子データ
が一つ前に通過した装置を特定させる隣接ノード追跡手
段と、前記他の装置の特定が限界に達したときに所定の
モジュールを読み込んで前記電子データの特徴情報をも
とにプロトコルアドレスベースの追跡処理を実行するプ
ロトコルアドレス追跡手段を自装置内に形成する手段と
を有するものである。プロトコルアドレス追跡手段は、
より具体的には、自装置が接続されている自律ネットワ
ークへの流入ポイントを通過する電子データから所定の
追跡条件に適合する電子データを捕捉するデータ捕捉手
段と、捕捉した電子データの特徴情報を前記追跡条件を
指定した装置宛に通知する通知手段とを含んで構成され
る。このプロトコルアドレス追跡手段は、必要に応じ
て、前記追跡条件を指定した装置からの解除指示の受領
時又は一定の期間満了後に削除されるようにする。

【００１７】追跡管理装置は、電子データを運ぶデータ
リンク層の識別子に基づいて当該電子データが自装置の
前に通過した他の装置の特定を試みるとともに前記他の
装置を特定でき且つ特定した装置が自装置と同等の機能
を備えている場合にその装置に対して前記電子データが
一つ前に通過した装置を特定させる隣接ノード追跡手段
と所定のモジュールをロードする手段とを有する複数の
データ追跡装置に対して双方向通信可能な形態で接続さ
れる装置であって、複数のデータ追跡装置のいくつかに
当該データ追跡装置が接続されている自律ネットワーク
への流入ポイントを通過した電子データのうち所定の追
跡条件に適合する電子データを捕捉するとともに捕捉し
た電子データの特徴情報を出力するプロトコルアドレス
追跡手段を形成するモジュールと前記追跡条件とを配布
する配布手段を有し、これにより形成されたプロトコル
アドレス追跡手段と隣接ノード追跡手段による実行結果
情報をもとに前記電子データの追跡管理を行うように構
成されたものである。

【００１８】追跡管理システムは、複数のデータ追跡装
置のうちいくつかが前記プロトコルアドレス追跡手段を
備えたものであり、追跡管理装置が隣接ノード追跡手段
とプロトコルアドレス追跡手段とを選択的に実行するよ
うに構成されたものである。本発明は、さらに、捕捉し
た電子データに含まれる自律ネットワークのプロトコル
アドレスをもとに当該電子データが通過してきた経路を
自律ネットワーク単位に辿る第１の追跡処理と、捕捉し
た電子データに含まれるデータリンク層の識別子をもと
に当該電子データが通過してきた経路を受信側の装置か
ら送信側の装置に向けて連続的に辿る第２の追跡処理と
を組み合わせることにより、前記電子データの通過経路
を推定する機能をコンピュータに実行させるためのプロ
グラムが記録された、コンピュータ読み取り可能な記録
媒体としても具現化される。

【００１９】

【発明の実施の形態】以下、図面を参照して本発明の実
施の形態を詳細に説明する。 ＜第１実施形態＞図１は、本発明を適用した追跡管理シ
ステム１の構成図である。図示の例では、広域ネットワ
ークの一例となるインターネット上に、攻撃者による被
害を受けた被害者ネットワークＴＮ、攻撃者が操作した
端末装置（以下、「発信源装置」）ＯＭ、攻撃者が最初
にアクセスしたアクセスサーバＡＳ、不正アクセス者を
特定する機能を有するＲＡＤＩＵＳサーバＤＳ、データ
追跡状況を管理する追跡管理装置ＣＭが存在しており、
被害者ネットワークＴＮと発信源装置ＯＭとの間には複
数の自律ネットワークＬＮが介在し、さらに、自律ネッ
トワークＬＮ内及び自律ネットワークＬＮ間等にデータ
中継装置ＲＭａ〜ＲＭｃが配備される場合を想定する。
なお、この例では、データ中継装置ＲＭａ〜ＲＭｃの数
は、説明の便宜上、３つにしてあるが、実際は、かなり
多数となる。

【００２０】アクセスサーバＡＳは、ダイヤルアップ接
続してきたユーザの特定に利用する電話番号やユーザか
らのアクセスに対して割り当てられるアドレス等の情報
を保持しており、これによって、アクセスしたユーザ
（ここでは、発信源装置ＯＭを操作したユーザを想定）
特定できるように構成されている。

【００２１】データ中継装置ＲＭａ〜ＲＭｃは、例えば
モジュールの実装機構（モジュールのロード手段）を有
するコンピュータ搭載のルータないし同等機能を有する
ネットワーク部品である。本実施形態では、ルーティン
グプロトコルやＡＲＰ（Address Resolution Protoco
l）キャッシュに基づくルータとしての基本機能のほ
か、隣接ノードの追跡処理を行う追跡モジュールを予め
実装しておく。自律ネットワークの出入口に属するデー
タ中継装置、あるいは追跡管理装置ＣＭが指定したデー
タ中継装置については、さらに検問モジュールを随時実
装できるようになっている。この検問モジュールは、有
効期限付きに設定しても良く、必要な場合に実装し、不
要になった時点で削除できるようにしても良い。

【００２２】追跡モジュールは、これを実装したデータ
中継装置上で、データリンク層のフレームの識別子、例
えばＭＡＣアドレスをもとに、追跡指示と追跡すべき電
子データの特徴情報（例えば、送信元ＩＰアドレス、宛
先ＩＰアドレス、その上位プロトコルの種類等の情報）
をもとにその電子データが通過してきた隣接ノードを受
信側から送信側に向かって辿っていく、いわゆる「隣接
ノード追跡処理」を実行するもので、追跡指示と追跡す
べき電子データの特徴情報とを取得する機能、取得した
特徴情報に適合する電子データを捕捉する機能、捕捉し
た電子データに含まれるデータリンク層のフレームを抽
出する機能、そのデータリンク層の識別子から一つ前の
ノードを特定する機能、特定したノードにある装置に追
跡モジュールが実装されているときにその装置に上記取
得した特徴情報と共に追跡指示を与える機能、自己の追
跡結果を自己の識別情報と共に追跡管理装置ＣＭに通知
する機能等を有するものである。

【００２３】なお、追跡指示及び追跡結果の通知に際し
ては、自己の追跡結果が何番目の追跡結果かを表す追跡
順序情報を生成し、これを添付するようにする。追跡順
序情報は、具体的には、追跡管理装置ＣＭから最初に追
跡指示を受けた最初のデータ中継装置を起算点とするシ
ーケンシャル番号であり、追跡指示を次のデータ中継装
置に通知する際に“１”ずつインクリメントする。次の
ノードを特定できなかったときは、自己がその電子デー
タについての最終の装置であることを意味するので、追
跡管理装置ＣＭ宛の追跡順序番号に代えて、あるいは追
跡順序番号と共に、最終であることを表すフラグ等を添
付するようにする。

【００２４】以下、このような追跡モジュールを実装し
たデータ中継装置を「追跡装置」と称する場合がある。
追跡装置には、ルータの基本機能として、ネットワーク
を構成するハードウエア情報やネットワーク管理情報が
保持されており、これらの情報が追跡完了通知の際に追
跡管理装置ＣＭに送信されるようになっている。

【００２５】追跡装置には、また、追跡方向を決定する
ための情報も保持されている。例えば、イーサネットに
よるネットワーク接続を想定すると、図２に示すルーテ
ィングテーブルＲＴとＡＲＰキャッシュＡＣとからトレ
ーステーブルＴＴを生成し、このトレーステーブルＴＴ
を参照して、追跡方向を決定できるようになっている。
ルーティングテーブルＲＴは、追跡方向を選定する情報
となるＩＰアドレスの宛先及び送信先の対をなす情報、
すなわち追跡先ＭＡＣアドレス、追跡元ＭＡＣアドレ
ス、追跡先ＩＰアドレスを記録したものであり、ＡＲＰ
キャッシュＡＣは、ルーティングテーブル、ＩＰアドレ
ス、ＭＡＣアドレスを対応付ける情報を記録したもので
ある。図３（ａ）上段（レイヤ３）はルーティングテー
ブルによる経路選択の様子（参照符号３１）を示してお
り、図中段（レイヤ２）は、ＡＲＰキャッシュを用いた
ＩＰアドレスとＭＡＣアドレスとのマッピングの様子を
示している。

【００２６】トレーステーブルＴＴは、これらの情報を
加工してＭＡＣアドレスを利用した追跡方向の選定がで
きるようにＭＡＣアドレスの宛先／送信元の対を生成
し、これを記録したテーブルである。図３（ｂ）は、こ
のトレーステーブルＴＴによる経路選択の様子を示した
図である。

【００２７】検問モジュールは、追跡管理装置ＣＭと共
働して「プロトコルアドレスベースによる追跡処理」を
行うもので、これを実装したデータ中継装置に、追跡管
理装置ＣＭから配布される、追跡指示の条件を定めたフ
ィルタルール、例えば追跡すべき送信元ＩＰアドレス、
追跡対象データの特徴情報、追跡管理装置のアドレス等
を含む追跡規則に基づいて電子データを分別する機能、
運用ポリシーやセキュリティレベルの面から分類したリ
スト（以下、「運用ポリシーリスト」）を自律ネットワ
ーク毎に保持する機能、追跡管理装置ＣＭに対して分別
した電子データの捕捉状況を通知する機能、自己が実装
されているデータ中継装置が属している自律ネットワー
クの属性情報（プロトコルアドレス等のインタフェース
情報）を追跡管理装置ＣＭへ通知する機能、予めあるア
ドレスからのアクセスを他のアドレスに対しては接続し
ない等の条件を記述したデータリスト（追跡管理装置Ｃ
Ｍで生成したもの）に合致するアクセスが発生した場合
に追跡管理装置ＣＭへアラームを出力するともに追跡装
置に対して追跡指示を発する機能等を形成するものであ
る。

【００２８】運用ポリシーリストは、自己を実装したデ
ータ中継装置の属する自律ネットワークが前述の管理ネ
ットワークかどうか、セキュリティレベルか、ユーザの
カテゴライズ（アクセスレベル）はどのようなもので、
いくつあるのか、リモートアクセス手段は提供されてい
るのか等の情報をリスト化したものである。この運用ポ
リシーリストは、追跡管理装置ＣＭで作成されて転送さ
れたものであり、運用管理装置ＣＭでも同様の内容のも
のが管理されている。

【００２９】この検問モジュールは、データ中継装置が
ルータの場合とスイッチの場合とで、それぞれその実装
形態が異なる。前者の場合は、そのデータ中継装置に直
接ロードすることになる。後者の場合は、追跡／検問専
用機器をデータ中継装置のセグメントに接続し、これら
を一体のデータ中継装置とみなす。以下、この検問モジ
ュールを実装したデータ中継装置を「検問装置」と称す
る場合がある。

【００３０】追跡管理装置ＣＭは、追跡装置や検問装置
に電子データの特徴情報を含む追跡条件と共に追跡指示
を出し、この追跡指示に基づいて出力された追跡結果に
基づいて電子データの追跡経路を決定するコンピュータ
又はコンピュータ搭載の通信端末である。本実施形態で
は、このコンピュータが、データ中継装置が基本機能と
して有する各装置の位置情報を用いてネットワークの配
置情報を管理する機能、検問モジュールを保持する機
能、必要に応じてデータ中継装置に検問モジュールを配
布してそのデータ中継装置を検問装置として動作させる
機能、追跡対象となる電子データを分別するためのフィ
ルタルールを含む追跡規則を生成する機能、必要に応て
この追跡規則を検問装置へ配布する機能、各検問装置と
の間で情報の受け渡しを行う機能、運用ポリシーリスト
を自律ネットワーク毎に作成して管理する機能、検問モ
ジュールの削除指示機能、追跡装置に対して追跡対象と
なる電子データの特徴情報を含む追跡指示を与えるとと
もに当該追跡装置からの追跡結果を受領する機能、各追
跡装置から受領した追跡結果を解析して電子データの通
過経路を推定する追跡結果解析機能、追跡管理処理内容
を記録するロギング処理機能等を備えるようにする。

【００３１】追跡規則に含まれるフィルタルールは、追
跡すべきデータより得られる情報（アクセス時間の記
録、送信元ＩＰアドレス、アクセスの種類、データの識
別子、データの特徴情報）と、追跡装置からの追跡処理
結果（これ以上追跡できないという、中継機器やノード
のプロトコルアドレスやデータリンクアドレス等）とか
ら生成する。その内容は、追跡原因が生じたときに、そ
の都度最適なものとなるように決めることができる。な
お、検問モジュールや追跡規則を配布するときは、上記
の基本機能を用いて配布先のアドレスや状態情報等を把
握しておく必要がある。

【００３２】次に、以上のように構成される追跡管理シ
ステムの動作を説明する。 ［隣接ノード追跡処理］まず、追跡管理装置ＣＭと追跡
装置により行われる隣接ノード追跡処理について説明す
る。

【００３３】この追跡処理の原理を模式的に示したのが
図４であり、データ中継装置ＲＭａ〜ＲＭｃは、それぞ
れ追跡装置（イ）〜（ハ）として機能する。図４（ａ）
は発信源装置ＯＭから発信されて流通する電子データの
構造図、同（ｂ）は、到達先が追跡装置（ハ）の後の被
害者ネットワーク（その中の通信装置またはシステム）
である場合に、この追跡装置（ハ）と他のノードの追跡
装置（イ），（ロ）との協働処理によって発信源装置Ｏ
Ｍを特定する場合の手順（〜）を示した図である。

【００３４】電子データ（追跡対象データを含む）は、
例えばパケット状のもので、図４（ａ）に示されるよう
に、最初にフレーム等のヘッダ１１、次いでＩＰヘッダ
１２、その後にデータ成分１３が配置されるようになっ
ている。この電子データは、図４（ｂ）に示されるよう
に、発信源装置ＯＭから最初にアクセスサーバＡＳを介
してインターネットＭＮに発信され、次いで、追跡装置
（イ）、追跡装置（ロ）、追跡装置（ハ）でそれぞれ中
継されて被害者ネットワークＴＮに到達する。追跡管理
装置ＣＭは、例えば被害者ネットワークＴＮあるいはそ
の被害者ネットワークに接続されたセンサからの依頼に
基づいて、被害者ネットワークＴＮの一つ前のノードの
追跡装置（ハ）を特定し、この追跡装置（ハ）に、追跡
すべき電子データの特徴情報や追跡結果の通知先アドレ
ス（自己のアドレス）を含む追跡指示を出す。追跡装置
（ハ）は、この追跡指示の受信を契機に自装置を通過す
る電子データから追跡対象データに該当するものを捕捉
してそのデータリンク層の識別子を解析し、送信元のＭ
ＡＣアドレスを調べる。これにより、一つ前のノードの
追跡装置（ロ）が特定されるので、自装置における追跡
結果を追跡順序の識別情報と共に追跡管理装置ＣＭへ通
知し、さらに、追跡装置（ロ）へ同一内容の追跡指示を
通知する。

【００３５】追跡装置（ロ）も、追跡装置（ハ）と同様
の手順で電子データが通過した一つ前のノードの追跡装
置（イ）を特定する。そして、自装置の追跡結果等を追
跡管理装置ＣＭへ通知するとともに追跡装置（イ）へ自
装置による追跡順序の識別情報と同一内容の追跡指示と
を通知する。

【００３６】追跡装置（イ）でも同種の追跡処理を行う
が、その一つ前には同等の機能を有する装置が存在しな
いので、発信源装置ＯＭ、あるいは発信源装置ＯＭの所
属する組織のネットワークまで辿り着いたことになる。
そこで、発信源装置ＯＭのＩＰアドレスを特定し、この
ＩＰアドレスを自装置の追跡結果等と共に追跡管理装置
ＣＭに通知する。このときのＩＰアドレスは、当該発信
源装置ＯＭが通常のデータ通信を行う上で欠かせないＭ
ＡＣアドレスから得られたものであり、これを発信源装
置ＯＭ側で攻撃者が偽ることは事実上不可能である。こ
のようにして、隣接ノード追跡処理を行う。

【００３７】［プロトコルアドレスベースによる追跡処
理］次に、追跡管理装置と検問装置により行われるプロ
トコルアドレス追跡処理について説明する。追跡管理装
置から検問モジュールをデータ中継装置（通信装置とし
て動作しているデータ中継装置）に配布し、そのデータ
中継装置を検問装置として動作させる。どのデータ中継
装置に検問モジュールを配布するかは、ルータの基本機
能に含まれる位置情報の管理内容に基づいて決定する。
その後、追跡規則をその検問装置に配布する。検問装置
は、この追跡規則に適合する電子データを捕捉したとき
は、捕捉した電子データのヘッダ情報を追跡管理装置に
通知する。追跡管理装置は、この通知情報と運用ポリシ
ーリストとをもとにその検問装置に接続されている自律
ネットワークが管理ネットワークであるかどうかを判定
する。管理ネットワークであった場合は、ネットワーク
内部での運用形態については信頼性が高いことが推定さ
れるので、データリンク層の識別子に基づく追跡処理を
行わず、次の自律ネットワークへの追跡処理に移行す
る。

【００３８】［全体動作］次に、上記の２つの追跡処理
を組み合わせた場合の動作を説明する。インターネット
の場合、管理ネットワークだけではなく、非管理ネット
ワークが多数存在し、攻撃者は、この非管理ネットワー
クを通じて不正アクセスをするのが一般的である。そこ
で、本実施形態の追跡管理システムは、管理ネットワー
クが介在する場合はネットワーク内部の運用を信頼して
隣接ノード追跡処理を省略し、非管理ネットワークであ
った場合のみ、隣接ノード追跡処理を実施する。

【００３９】具体的には、被害者ネットワークＴＮが攻
撃されたときに、この攻撃を検知した検知手段が、追跡
管理装置に追跡指示を依頼する。検知手段は、通常、追
跡指示に際しては、送信元ＩＰアドレス情報を添付す
る。追跡管理装置は、この送信元ＩＰアドレスを保持す
るとともに、自装置のアドレスを付して追跡装置に追跡
すべき電子データの特徴情報を付した追跡指示を出す。
送信元ＩＰアドレスの情報は、隣接ノード追跡処理によ
る追跡結果のＩＰアドレスと比較することで、追跡の正
確性を向上させるために用いる。なお、追跡指示自体
は、検知手段から追跡管理装置と並行して追跡装置に直
接出すようにしても良い。

【００４０】追跡装置は、この追跡指示を契機に上述の
隣接ノード追跡処理を実行し、その結果を逐次追跡管理
装置へ通知する。追跡可能限界ノードに達した場合、追
跡装置は、追跡完了を追跡管理装置に通知するとともに
検問モジュールをロードし、これを起動させる。追跡完
了通知に際しては、ネットワークを構成するハードウエ
ア情報やネットワーク管理情報も送信される。追跡装置
は、検問モジュールを実装した後は、追跡装置ではなく
検問装置として動作し、上述のプロトコルアドレスベー
スによる追跡処理を開始する。追跡管理装置側からの検
問解除指示を受けたときは、検問モジュールを削除（ア
ンインストール）して追跡装置としての機能に戻る。

【００４１】一方、追跡管理装置では、追跡装置からの
追跡完了通知時の追跡結果を受信すると、この通知完了
通知に含まれる追跡可能限界ノードのＩＰアドレスを抽
出し、これを先に保持していた保持情報（送信元ＩＰプ
ロトコル）と比較する。一致した場合はその追跡処理は
正しかったことを意味するので、発信源装置が特定でき
るのかどうかを判定する。不一致であれば、何らかのト
ラブル、例えば追跡装置が正常な情報を保持していなか
ったか、途中で情報が改竄されている等の可能性がある
ため、アラームを出す等、必要な措置をとる。

【００４２】発信源装置を特定できるかどうかは、追跡
管理装置が保持しているネットワーク配置情報と追跡完
了通知時に追跡装置から送信されてきた上記ハードウエ
ア情報やネットワーク管理情報とをもとに、その追跡装
置に発信源装置が接続されているか、それとも中継に利
用された他のホストないしシステムに接続されているの
かを、ネットワーク配置情報に基づいて予め決めたおい
た規則に照らし合わせて決定する。

【００４３】この規則は、例えば、二項間述語形式で表
現された事実や状態の集合の組み合わせで構築すること
ができる。「あらゆるホストは追跡装置に接続してい
る」事実を表現する場合、「接続（ホスト、追跡装
置）」のように表現し、「発信源はホストである」とい
う事実は「ホスト（発信源、真）」と表現できるとする
と、この２つにより、「接続（発信源、追跡装置）」、
すなわち、「発信源は追跡装置に接続している」という
事実を規則化することが可能になる。また、「もし、追
跡ができなくなったら、そのノードは発信源である」と
いう規則は、「ノード属性（Ｘ，発信源）＜−追跡
（Ｘ、不可能）」のように表現することができる。

【００４４】追跡管理装置では、以上のような事実や規
則の集合を保持しており、これらの集合を使って、追跡
完了通知に基づく追跡結果から発信源装置を特定できる
かどうかを推定する。発信源装置を推定できる場合に
は、該当する検問装置に対して検問解除指示を発行し、
検問装置からの状態報告通知を受け取った後、これまで
の処理等の記録を整理する。発信源装置でなかった場合
は、「踏み台」であったと判断し、第２段階の追跡処理
の指示準備を行う。

【００４５】＜第２実施形態＞次に、「踏み台」を利用
した攻撃に対する発信源装置の追跡手法について説明す
る。従来のプロトコルアドレスに依存する追跡手法で
は、代理サーバ（Ｐｒｏｘｙサーバ）によって真の発信
源装置のプロトコルアドレスが隠蔽された場合に対応で
きないことは前述のとおりである。そこで、この実施形
態では、このような「踏み台」が利用された場合であっ
ても、発信源装置を正しく追跡できるようにする。

【００４６】ここでは、図５に示したようなインターネ
ットモデル上で、攻撃者が操作する発信源装置ＯＭがい
わゆる踏み台ホストＦＨを利用して目標ホストＴＨを攻
撃した場合を想定する。自律ネットワーク間または所定
の位置のデータ中継装置に追跡モジュールと必要に応じ
て検問モジュールが実装され、追跡装置／検問装置とし
て動作する点は、第１実施形態の場合と同様である。ま
た、追跡装置、検問装置、追跡管理装置は、少なくとも
第１実施形態で示したものを含んでいる。なお、図で
は、各追跡装置等と追跡管理装置ＣＭとの間の接続関係
を省略してあるが、実際には、データ追跡を行ったすべ
ての追跡装置等から追跡管理装置ＣＭ宛に追跡結果が通
知されるようになっている。

【００４７】この実施形態では、目標ホストＴＨのある
サイトに設置される検知ホストＤＨによって攻撃の事実
が検知されるようにしてある。この検知ホストＤＨは、
検知した内容から必要な情報を加工し、これを追跡管理
装置ＣＭに通知する。検知ホストＤＨから通知される情
報は、「タイムスタンプ」、「アクセスサーバ」、「検
出不正アクセスパターン」、これから追跡しようとする
電子データの特徴情報を含む情報である。

【００４８】「アクセスサーバ」は、攻撃者がアクセス
したサーバであり、送信元ＩＰアドレスで特定しても、
発信源装置ＯＭとは限らない、踏み台ホストＦＨであっ
たり、アドレス偽造による全く無関係なホストであった
りする可能性がある。そこで追跡管理装置ＣＭでは、第
１実施形態の追跡手法により隣接ノード追跡処理とプロ
トコルアドレスベースの追跡処理とを組み合わせて一応
の追跡完了通知を受け取り、追跡限界ノードの装置５０
を特定する。そして、上記の規則に基づいてこの装置５
０に発信源装置が接続されているかどうかを判断する。

【００４９】ここでは、発信源装置ＯＭを特定すること
ができず、最終的に接続されていたのが踏み台ホストＦ
Ｈであったものとする。この場合は、踏み台ホストＦＨ
の管理者への通知等、適切な運用対処を講じるためのメ
ッセージを当該踏み台ホストＦＨに送信するとともに、
各追跡装置（又は検問装置）から通知された追跡記録及
び検知ホストＤＨから通知された不正アクセスパターン
情報（ビットパターン等）を利用して、検問用のフィル
タルールを含む追跡規則を新たに生成する。また、踏み
台ホストＦＨへの出入口に配置されている装置５０，５
１に検問モジュールを配布し、これらを検問装置として
動作させる。また、検問装置宛にフィルタルールを含む
追跡規則を配布する。検問装置宛の追跡規則には、「踏
み台ホスト」や「不正アクセスパターン」の情報が定義
される。

【００５０】検問装置５０，５１は、配布された追跡規
則に基づき、再び踏み台ホストＦＨに不正アクセスパタ
ーンを持つ電子データが到達した場合（図５の細実
線）、これを捕捉し、そのヘッダ情報等を追跡管理装置
ＣＭに通知する。追跡管理装置ＣＭは、この通知をもと
に検問装置５１を出版点として隣接ノード追跡処理又は
プロトコルアドレス追跡処理を実行させる。各追跡装置
（又は検問装置）は、踏み台ホストＦＨを不正アクセス
の目標ホストとみなして、追跡処理を実行し、発信源装
置ＯＭを追跡する。

【００５１】他段階の踏み台ホストが利用された場合
は、以上の処理を繰り返すことで、発信源装置ＯＭを容
易に発見することができる。

【００５２】＜各実施形態による利点＞このように、本
発明の追跡管理システムでは、隣接ノード追跡処理を実
行することで、攻撃者が送信元プロトコルアドレスを偽
わって攻撃してきた場合であっても、その電子データの
下位層のフレーム等の識別子を解析することにより発信
源装置を正しく推定することができる。また、追跡過程
に管理ネットワークが介在する場合、そのネットワーク
での隣接ノード追跡処理を省略することができるので、
余分な追跡処理に要する負荷の増大を回避することがで
き、効率的な追跡処理が可能になる。

【００５３】また、予めアクセス禁止ルールを定義して
おき、これを検問装置に配布しておき、フィルタリング
された電子データが検問装置によって検出された時点
で、システム管理者への通知やその電子データを通さな
いようにする等の対処も本発明によれば、可能になる。

【００５４】＜その他＞以上、本発明の内容を二つの実
施形態を示して説明したが、本発明は、この形態のもの
に限定されるものではない。例えば、各実施形態では、
インターネット上を流通する電子データの発信源装置を
特定する場合の例を挙げたが、本発明は、他の通信形態
にも応用が可能なものである。また、パケット通信のよ
うな形態のみならず、画像データその他のコンテンツの
流通監視にも応用が可能なものある。また、二つの実施
形態では、追跡モジュールが予め実装されたデータ中継
装置（追跡装置として動作）に、追跡管理装置ＣＭから
検問モジュールを追加実装させる場合の例を説明した
が、追跡モジュールを既存のデータ中継装置に追加実装
させる形態を採用することもできる。また、追跡管理装
置ＣＭから各追跡装置又は検問装置に追跡指示を出した
場合の追跡結果及びその解析結果を追跡管理装置ＣＭに
おいて把握しておくことができるので、追跡装置や検問
装置には可能な範囲で追跡処理を実行させ、その全体的
な追跡管理を追跡管理装置で管理しておいて、必要な地
点にスポット的に追跡指示（追跡規則）を配布して追跡
処理を実行させる形態も可能である。

【００５５】なお、追跡装置による上述の各機能は、デ
ータ中継装置本体のメモリに所定のプログラムコードを
ＣＰＵが読みとれる形態で記録しておくことで実現する
ことができ、追跡管理装置ＣＭも、コンピュータが読み
取り可能なメモリに所定のプログラムコードをＣＰＵが
読みとれる形態で記録しておくことで実現することがで
きるが、本発明は、ＣＰＵが上記プログラムコードを実
行することによって各機能が形成されるだけでなく、そ
のプログラムコードの指示に基づいてオペレーティング
システム（ＯＳ）が実際の処理の一部を行い、その処理
を通じて上記各機能が形成される場合を含むのは勿論で
ある。また、上記プログラムコードを記録した記録媒体
は、通常は固定型ディスクや半導体メモリであるが、フ
レキシブルディスク、ハードディスク、光ディスク、光
磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ、磁気テープ等の
可搬性メディア、あるいはコンピュータがアクセス可能
なプログラムコードサーバ等に記録されて流通し、運用
時に上記固定型ディスク等にインストールされるものを
も含む。エージェントを組み込んで各追跡処理を実現す
るようにすれば、データ中継装置の構成を、より簡略化
することができる。

【００５６】

【発明の効果】以上の説明から明らかなように、本発明
では、プロトコルレベルでの追跡処理とデータリンク層
の識別子に基づく追跡処理とを組み合わせて電子データ
の追跡処理を行うようにしたので、処理の信頼性を低下
させることなく、効率的な発信源追跡が可能になる。本
発明を適用することにより、送信元のプロトコルアドレ
スを偽ることによる不正者の利益がなくなるため、不正
アクセスの抑止効果にもつながる。

【図面の簡単な説明】

【図１】本発明を適用した追跡管理システムの構成図。

【図２】ルーティングテーブルとＡＲＰキャッシュとか
らトレーステーブルを加工する様子を示した説明図。

【図３】（ａ）はルーティングテーブルとＡＲＰキャッ
シュによる経路選択の様子を示した説明図、（ｂ）はト
レーステーブルによる経路選択の様子を示した説明図。

【図４】（ａ）は第１実施形態による電子データの構造
図、（ｂ）は隣接ノード追跡処理の原理説明図。

【図５】踏み台ホストを利用して攻撃された場合の追跡
処理の概要を示した説明図。

【符号の説明】

１ 追跡管理システム ＲＭ，ＲＭａ〜ＲＭｃ データ中継装置（追跡装置／検
問装置） ＣＭ 追跡管理装置 ＯＭ 発信源装置 ＴＮ 被害者ネットワーク ＴＨ 目標ホスト ＦＨ 踏み台ホスト ＤＨ 検知ホスト ５０，５１ 追跡モジュール及び検問モジュールが実装
されるデータ中継装置

フロントページの続き (51)Int.Cl.⁷ 識別記号 ＦＩ テーマコート゛(参考） Ｈ０４Ｌ 12/66 (72)発明者 小久保 勝敏 東京都江東区豊洲三丁目３番３号 株式会 社エヌ・ティ・ティ・データ内 (72)発明者 渡辺 英俊 東京都江東区豊洲三丁目３番３号 株式会 社エヌ・ティ・ティ・データ内 Ｆターム(参考） 5B089 GB02 HA10 JB07 KA17 KB06 MC08 5K030 GA15 HB19 HC01 JA10 KA02 5K033 AA08 BA04 DA05 DB12 DB20 9A001 CC02 CC06 CC07

Claims (12)

【特許請求の範囲】
1. 【請求項１】 捕捉した電子データに含まれる自律ネッ
   トワークのプロトコルアドレスをもとに当該電子データ
   が通過してきた経路を自律ネットワーク単位に辿る第１
   の追跡処理と、捕捉した電子データに含まれるデータリ
   ンク層の識別子をもとに当該電子データが通過してきた
   経路を受信側の装置から送信側の装置に向けて辿る第２
   の追跡処理とを組み合わせることにより、前記電子デー
   タの通過経路を推定することを特徴とする、電子データ
   の追跡方法。
2. 【請求項２】 前記第１の追跡処理は、自律ネットワー
   クに接続されている装置が捕捉した電子データに含まれ
   るプロトコルアドレスと所定の規則とに基づいて当該自
   律ネットワークが信頼性のある管理ネットワークか信頼
   性のない非管理ネットワークかを判定する信頼性判定処
   理を含み、該判定の結果、管理ネットワークであった場
   合は当該自律ネットワークを構成する複数の装置による
   前記第２の追跡処理を省略して次の自律ネットワークに
   おける前記信頼性判定処理に移行し、前記非管理ネット
   ワークであった場合は直ちに当該装置による前記第２の
   追跡処理に移行させる処理であることを特徴とする、 請求項１記載の電子データの追跡方法。
3. 【請求項３】 前記第２の追跡処理は、連鎖的に接続さ
   れた複数の装置の各々が前記識別子を解析することで電
   子データが通過した自装置の一つ前の装置を特定した
   後、この特定した装置に、当該電子データが当該装置の
   一つ前に通過した他の装置を特定させる処理であること
   を特徴とする、 請求項１又は２記載の電子データの追跡方法。
4. 【請求項４】 前記第１の追跡処理及び第２の追跡処理
   は前記自律ネットワークを含むネットワーク集合体に配
   備されている装置が所定のモジュール及び指示情報とを
   読み込むことによって実行されるものであり、前記モジ
   ュール及び指示情報の少なくとも一方が所定の指示情報
   と共に各装置を統括的に管理する追跡管理装置によって
   配布されるものであることを特徴とする、 請求項１、２又は３記載の電子データの追跡方法。
5. 【請求項５】 前記追跡管理装置は、前記第２の追跡処
   理が限界に達した時点で当該第２の追跡処理を実行した
   装置とは異なる装置に当該第２の追跡処理用のモジュー
   ル及び指示情報を配布することを特徴とする、 請求項４記載の電子データの追跡方法。
6. 【請求項６】 前記追跡管理装置は、前記第２の追跡処
   理が限界に達した時点で当該第２の追跡処理を実行した
   装置に第１の追跡処理用のモジュール及び指示情報を配
   布することを特徴とする、 請求項４記載の電子データの追跡方法。
7. 【請求項７】 追跡対象となる電子データを捕捉するデ
   ータ捕捉手段と、 捕捉した電子データを運ぶデータリンク層の識別子に基
   づいて当該電子データが自装置の前に通過した他の装置
   の特定を試みるとともに、前記他の装置を特定でき且つ
   特定した装置が自装置と同等の機能を備えている場合に
   その装置に対して前記電子データが一つ前に通過した装
   置を特定させる隣接ノード追跡手段と、 前記他の装置の特定が限界に達したときに所定のモジュ
   ールを読み込んで前記電子データの特徴情報をもとにプ
   ロトコルアドレスベースの追跡処理を実行するプロトコ
   ルアドレス追跡手段を自装置内に形成する手段とを有す
   ることを特徴とするデータ追跡装置。
8. 【請求項８】 前記プロトコルアドレス追跡手段が、 自装置が接続されている自律ネットワークへの流入ポイ
   ントを通過する電子データから所定の追跡条件に適合す
   る電子データを捕捉するデータ捕捉手段と、 捕捉した電子データの特徴情報を前記追跡条件を指定し
   た装置宛に通知する通知手段とを有するものであること
   を特徴とする、 請求項７記載のデータ追跡装置。
9. 【請求項９】 前記プロトコルアドレス追跡手段が、前
   記追跡条件を指定した装置からの解除指示の受領時又は
   一定の期間満了後に削除されるものであることを特徴と
   する、 請求項７記載のデータ追跡装置。
10. 【請求項１０】 電子データを運ぶデータリンク層の識
    別子に基づいて当該電子データが自装置の前に通過した
    他の装置の特定を試みるとともに前記他の装置を特定で
    き且つ特定した装置が自装置と同等の機能を備えている
    場合にその装置に対して前記電子データが一つ前に通過
    した装置を特定させる隣接ノード追跡手段と所定のモジ
    ュールをロードする手段とを有する複数のデータ追跡装
    置に対して双方向通信可能な形態で接続される装置であ
    って、 前記複数のデータ追跡装置のいくつかに当該データ追跡
    装置が接続されている自律ネットワークへの流入ポイン
    トを通過した電子データのうち所定の追跡条件に適合す
    る電子データを捕捉するとともに捕捉した電子データの
    特徴情報を出力するプロトコルアドレス追跡手段を形成
    するモジュールと前記追跡条件とを配布する配布手段を
    有し、 これにより形成されたプロトコルアドレス追跡手段と前
    記隣接ノード追跡手段による実行結果情報をもとに前記
    電子データの追跡管理を行うように構成されていること
    を特徴とする、 追跡管理装置。
11. 【請求項１１】 電子データを運ぶデータリンク層の識
    別子に基づいて当該電子データが自装置の前に通過した
    他の装置の特定を試みるとともに前記他の装置を特定で
    き且つ特定した装置が自装置と同等の機能を備えている
    場合にその装置に対して前記電子データが一つ前に通過
    した装置を特定させる手段を備えた複数の第１のデータ
    追跡装置と、 当該装置が接続されている自律ネットワークへの流入ポ
    イントから所定の追跡条件に適合する電子データを捕捉
    するとともに捕捉した電子データの特徴情報を出力する
    手段を備えた複数の第２のデータ追跡装置と、 各データ追跡装置との間で双方向通信可能な形態で接続
    された追跡管理装置とを含み、 前記追跡管理装置は、 前記第２のデータ追跡装置のいくつかに前記追跡条件を
    配布するとともに当該第２のデータ追跡装置より取得し
    た特徴情報に基づいて当該電子データが通過してきた経
    路を自律ネットワーク単位に辿るプロトコルアドレス追
    跡手段と、 前記第１のデータ追跡装置のいくつかに捕捉対象となる
    電子データの特徴情報を配布しておき、この特徴情報を
    もとに第１のデータ追跡装置より取得した追跡結果に基
    づいて当該電子データが通過してきた経路を受信側から
    送信側に向かって辿る隣接ノード追跡手段とを有するこ
    とを特徴とする、 追跡管理システム。
12. 【請求項１２】 捕捉した電子データに含まれる自律ネ
    ットワークのプロトコルアドレスをもとに当該電子デー
    タが通過してきた経路を自律ネットワーク単位に辿る第
    １の追跡処理と、捕捉した電子データに含まれるデータ
    リンク層の識別子をもとに当該電子データが通過してき
    た経路を受信側の装置から送信側の装置に向けて辿る第
    ２の追跡処理とを組み合わせることにより、前記電子デ
    ータの通過経路を推定する機能をコンピュータに実行さ
    せるためのプログラムが記録された、コンピュータ読み
    取り可能な記録媒体。