JP2004363913A

JP2004363913A - 通信経路解析装置および方法

Info

Publication number: JP2004363913A
Application number: JP2003159555A
Authority: JP
Inventors: ＣｈｅｎＥｒｉｃ; Chen Eric
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2003-06-04
Filing date: 2003-06-04
Publication date: 2004-12-24

Abstract

【課題】ソースアドレスが偽造された受信パケットの通信経路を解析する。
【解決手段】ルータを通過するＩＰパケットについて経路通知パケットを設定された確率で生成し、通過するＩＰパケットと同じ宛先に経路通知パケットを送信する。経路通知パケットは、ＩＰパケットのソースアドレスをデータフィールドに添付する。そのソースアドレスに向かってＴｒａｃｅｒｏｕｔｅプログラムを実行する。このＴｒａｃｅｒｏｕｔｅの出力結果と経路通知パケットが通過した実際の経路情報とを比較し、ソースアドレスの偽造を判定する。または、同じソースアドレスが添付された経路通知パケット群が全く違うルートで受信者に到着することから、ソースアドレスの偽造を判定する。または、同一経路からソースアドレスの異なった経路通知パケットを多量に受信した場合、ソースアドレスの偽造を判定する。
【選択図】図１

Description

【０００１】
【発明の属する技術分野】
本発明は、ＩＰデータネットワークにおけるソース（発信源）アドレスが偽装された受信パケットの通信経路を解析するシステムに関する。
【０００２】
【従来の技術】
従来、ＩＰアドレス偽装攻撃の対策方法として以下のものがあった。
【０００３】
１．被害者はまず攻撃を受けた時点で攻撃パケット群のヘッダを分析し、プロトコルやポート番号などの特徴を抽出する。この特徴を手がかりとして用いて、ネットワーク管理者に調査を依頼する。被害者の最寄りのルータから攻撃者の上流となるリンクを特定し、隣接ルータへと順にたどっていくことで発信源を特定する方法である。
【０００４】
２．パケットに経路分析に役に立つマークをつけるマーキング方式と呼ばれる方法がある。フラグメント時にのみ用いられるＩＰＩｄｅｎｔｉｆｉｃａｔｉｏｎフィールドを流用し、ルータにおいてある確率でマークをつける。符号化アルゴリズムと復号アルゴリズムで工夫して経路情報を得る方法である。
【０００５】
これらの従来技術は、例えば、非特許文献１ないし３に詳しい。
【０００６】
【非特許文献１】
ＤａｗｎＸｉａｏｄｏｎｇＳｏｎｇ，ＡｄｒｉａｎＰｅｒｒｉｇ，“ＡｄｖａｎｃｅｄａｎｄＡｕｔｈｅｎｔｉｃａｔｅｄＭａｒｋｉｎｇＳｃｈｅｍｅｓｆｏｒＩＰＴｒａｃｅｂａｃｋ”，ＰｒｏｃｅｅｄｉｎｇＩＥＥＥＩＮＦＯＣＯＭ２００１，ｐｐ．８７８−８８６
【非特許文献２】
ＤｒｅｗＤｅａｎ，ＭａｔｔＦｒａｎｋｌｉｎ，ＡｄａｍＳｔｕｂｂｌｅｆｉｅｌｄ，“ＡｎＡｌｇｅｂｒａｉｃｔｏＩＰＴｒａｃｅｂａｃｋ”，Ｐｒｏｃｅｅｄｉｎｇｓ２００１ＮｅｔｗｏｒｋａｎｄＤｉｓｔｒｉｂｕｔｅｄＳｙｓｔｅｍＳｅｃｕｒｉｔｙＳｙｍｐｏｓｉｕｍ，ｐｐ．３−１２
【非特許文献３】
ＳｔｅｆａｎＳａｖａｇｅ，ＤａｖｉｄＷｅｔｈｅｒａｌｌ，ＡｎｎＫａｒｌｉｎ，ＴｏｍＡｎｄｅｒｓｏｎ，“ＰｒａｃｔｉｃａｌＮｅｔｗｏｒｋＳｕｐｐｏｒｔｆｏｒＩＰＴｒａｃｅｂａｃｋ”，ＰｒｏｃｅｅｄｉｎｇｓｏｆＡＣＭＳＩＧＣＯＭＭ２０００，ｐｐ．２９５−３０６
【０００７】
【発明が解決しようとする課題】
しかしながら、以上の従来技術によれば、以下のような問題点があった。
【０００８】
１．の方法は、攻撃ツールの発達によって攻撃パケットから特徴抽出が困難であること、複数の管理主体をまたがって多数のルータへのアクセスを繰り返し、発信源を特定することが難しいこと、または攻撃直後に調査を行わないと必要なログ情報が消えることが問題である。
【０００９】
２．の方法は、ＩＰＩｄｅｎｔｉｆｉｃａｔｉｏｎフィールドがほとんど用いられない、つまり、一般的にパケットの断片化が少ないという前提でそのフィールドを流用したので、ＶＰＮ、ストリーミング・メディアなどの断片化の多いアプリケーションには相応しくないという問題点がある。
【００１０】
本発明は、このような背景に行われたものであって、ソースアドレスが偽造された受信パケットの通信経路を解析することができ、また、経路通知パケットの生成確率を調整することで、経路通知パケットの通信量の負荷を抑えることができ、また、多数のルータへのアクセスを繰り返す必要をなくすことができ、また、ＩＰ標準機能である「レコード・ルート」オプションを利用することにより、経路通知パケットの発信元と受信者との間にある各ルータを改造せずにアドレスを記録させることができる通信経路解析装置および方法を提供することを目的とする。
【００１１】
【課題を解決するための手段】
以上の課題を解決するために、ルータを通過するＩＰパケットについて経路通知パケットを設定された確率で生成し、通過するＩＰパケットと同じ宛先に経路通知パケットを送信する。経路通知パケットは、経路通知するＩＰパケットのソースアドレスをデータフィールドに添付し、例えば、ＩＰの標準機能であるレコード・ルート（ＲＲ）オプションを有効にすることにより、通信するパケットの発信装置から受信者までのパス上にある通常のＩＰルータのそれぞれのＩＰアドレスを経路通知パケットに追加させる。
【００１２】
また、経路の長さを計算できるようにするため、全ての経路通知パケットのＴＴＬは、例えば、２５５に設定する。受信者は「長さ＝２５５−受信した時点のＴＴＬ」の数式を用いて、経路の長さを計算する。経路通知パケットを受信すると、受信者は以下の方法でソースアドレスが偽装されたパケットを受けたか否か判定できる。
【００１３】
１）経路通知パケットに添付された通過ＩＰパケットのヘッダからソースアドレスを抽出し、そのソースアドレスに向かってＴｒａｃｅｒｏｕｔｅプログラムを実行する。Ｔｒａｃｅｒｏｕｔｅプログラムでは、ＩＰパケットが受信者から他のホストに流れる通常の経路を確認することができる。このＴｒａｃｅｒｏｕｔｅの出力結果と経路通知パケットが通過した実際の経路情報とを比較することにより、ソースアドレスの偽造されたパケットを受信したか否かを判定することができる。
【００１４】
すなわち、Ｔｒａｃｅｒｏｕｔｅの出力結果は、ソースアドレスが偽造されていない場合の通常のＩＰパケットの通過経路を出力する。これに対し、もし、ソースアドレスの偽造が行われていれば、経路通知パケットの通過経路は、Ｔｒａｃｅｒｏｕｔｅの出力結果とは著しく異なるものとなる。これによって、ソースアドレスの偽造の有無を判定することができる。
【００１５】
２）同じソースアドレスが添付された経路通知パケット群が全く違うルートで受信者に到着することから、ソースアドレスの偽造されたパケットを受信したと判定することができる。
【００１６】
すなわち、ソースアドレスが偽造されていなければ、同じソースアドレスおよび同じディスティネーションアドレスを有するＩＰパケットは、ほぼ近似した経路を通過するはずである。したがって、そのＩＰパケットに対応する経路通知パケットもまた、ほぼ近似した経路を通過するはずである。これに対し、もし、ソースアドレスの偽造が行われていれば、本当のソースアドレスが異なるので、その経路も異なってしまう。よって、同じソースアドレスおよび同じディスティネーションアドレスを有する経路通知パケット群の経路に大きな相違があれば、ソースアドレスの偽造が行われていると判定できる。
【００１７】
３）ある観察期間中に同一経路からソースアドレスの異なった経路通知パケットを多量に受信した場合、ソースアドレスの偽造されたパケットを受信したと判定することができる。
【００１８】
すなわち、同一経路を通過するＩＰパケットのソースアドレスおよびディスティネーションアドレスは、ほぼ同一である。しかし、同一経路を通過しているにも関わらず、ソースアドレスが異なるとしたら、そのソースアドレスは偽りであると判定できる。
【００１９】
このような判定の結果、ソースアドレスの偽造が行われていることが判明したならば、経路通知パケットにより通知された経路情報に基づきソースアドレスを偽造している発信源を特定することができる。
【００２０】
すなわち、本発明の第一の観点は、通信経路解析装置であって、本発明の特徴とするところは、通過する経路が記録される経路通知パケットを設定された確率で生成する手段と、通過するＩＰパケットと同じ宛先にこの経路通知パケットを送信する手段と、この経路通知パケットのデータフィールドにこの通過するＩＰパケットのソースアドレスを添付する手段と、経路通知パケットを受信してそのデータフィールドに添付されたソースアドレスを抽出する手段と、このソースアドレスに基づきＴｒａｃｅｒｏｕｔｅプログラムを実行してこのソースアドレスを有するＩＰパケットの通常の経路情報を取得する手段と、この通常の経路情報と前記経路通知パケットにより通知された経路情報とを比較して互いの経路の相違を検証することによりソースアドレスの偽造の有無を判定する手段とを備えたところにある。これは前述した１）の偽造判定に相当する（請求項１）。
【００２１】
また、経路通知パケットの生成確率を調整できるので、本来の通信が通信経路解析のために圧迫されるといった事態を回避することができる。そのときのトラヒック状況を考慮して経路通知パケットの生成確率を最適に調整することができる。
【００２２】
また、本発明装置が備えられているルータなどの通信装置の内部だけで経路解析を行い、他の通信装置の協力を必要としないので、他の通信装置の処理を圧迫することを回避できると共に、他の通信装置の状況によって自装置における通信経路解析が妨げられることも回避できる。
【００２３】
あるいは、本発明の通信経路解析装置は、通過する経路が記録される経路通知パケットを設定された確率で生成する手段と、通過するＩＰパケットと同じ宛先に前記経路通知パケットを送信する手段と、この経路通知パケットのデータフィールドにこの通過するＩＰパケットのソースアドレスを添付する手段と、経路通知パケットを受信してそのデータフィールドに添付されたソースアドレスを抽出する手段と、複数の同一ソースアドレスが添付された経路通知パケットの経路の相違を検証することによりソースアドレスの偽造の有無を判定する手段とを備えたことを特徴とする。これは前述した２）の偽造判定に相当する（請求項２）。
【００２４】
このときに、前記経路通知パケットのＴＴＬ（Ｔｉｍｅｔｏｌｉｖｅ）値に基づき経路長を測定する手段を備え、前記経路の相違をこの測定する手段により測定された長さの相違によって検証する手段を備えることができる（請求項３）。
【００２５】
これによれば、経路通知パケットが通過したルータのアドレスを順次追って、一つずつ経路を特定していくよりも、経路の長さで経路の相違を瞬時に判断することができるため、処理の高速化および簡単化を図ることができる。
【００２６】
あるいは、本発明の通信経路解析装置は、通過する経路が記録される経路通知パケットを設定された確率で生成する手段と、通過するＩＰパケットと同じ宛先に前記経路通知パケットを送信する手段と、この経路通知パケットのデータフィールドにこの通過するＩＰパケットのソースアドレスを添付する手段と、経路通知パケットを受信してそのデータフィールドに添付されたソースアドレスを抽出する手段と、複数の同一経路情報を通知した経路通知パケットに添付されたソースアドレスの相違を検証することによりソースアドレスの偽造の有無を判定する手段とを備えたことを特徴とする。これは前述した３）の偽造判定に相当する（請求項４）。
【００２７】
また、前記経路通知パケットは、ＩＰの標準機能であるレコード・ルート（ＲＲ）オプションにより経路情報を記録する手段を備えることができる（請求項５）。これによれば、通信経路解析のために、経路上にあるルータなどの通信装置を改造するといったことを回避できるため、本発明を容易に従来のネットワーク構成に適用することができる。
【００２８】
本発明の第二の観点は、通信経路解析方法であって、本発明の特徴とするところは、通過する経路が記録される経路通知パケットを設定された確率で生成するステップと、通過するＩＰパケットと同じ宛先にこの経路通知パケットを送信するステップと、この経路通知パケットのデータフィールドにこの通過するＩＰパケットのソースアドレスを添付するステップと、経路通知パケットを受信してそのデータフィールドに添付されたソースアドレスを抽出するステップと、このソースアドレスに基づきＴｒａｃｅｒｏｕｔｅプログラムを実行してこのソースアドレスを有するＩＰパケットの通常の経路情報を取得するステップと、この通常の経路情報と前記経路通知パケットにより通知された経路情報とを比較して互いの経路の相違を検証することによりソースアドレスの偽造の有無を判定するステップとを実行するところにある。これは前述した１）の偽造判定に相当する（請求項６）。
【００２９】
あるいは、本発明の通信経路解析方法は、通過する経路が記録される経路通知パケットを設定された確率で生成するステップと、通過するＩＰパケットと同じ宛先に前記経路通知パケットを送信するステップと、この経路通知パケットのデータフィールドにこの通過するＩＰパケットのソースアドレスを添付するステップと、経路通知パケットを受信してそのデータフィールドに添付されたソースアドレスを抽出するステップと、複数の同一ソースアドレスが添付された経路通知パケットの経路の相違を検証することによりソースアドレスの偽造の有無を判定するステップとを実行することを特徴とする。これは前述した２）の偽造判定に相当する（請求項７）。
【００３０】
このときに、前記経路通知パケットのＴＴＬ値に基づき経路長を測定するステップを実行し、前記経路の相違をこの測定するステップにより測定された長さの相違によって検証するステップを実行することができる（請求項８）。
【００３１】
あるいは、本発明の通信経路解析方法は、通過する経路が記録される経路通知パケットを設定された確率で生成するステップと、通過するＩＰパケットと同じ宛先に前記経路通知パケットを送信するステップと、この経路通知パケットのデータフィールドにこの通過するＩＰパケットのソースアドレスを添付するステップと、経路通知パケットを受信してそのデータフィールドに添付されたソースアドレスを抽出するステップと、複数の同一経路情報を通知した経路通知パケットに添付されたソースアドレスの相違を検証することによりソースアドレスの偽造の有無を判定するステップとを実行することを特徴とする。これは前述した３）の偽造判定に相当する（請求項９）。
【００３２】
また、前記経路通知パケットは、ＩＰの標準機能であるレコード・ルート（ＲＲ）オプションにより経路情報を記録するステップを実行することができる（請求項１０）。
【００３３】
本発明の第三の観点は、情報処理装置にインストールすることにより、その情報処理装置に、本発明の通信経路解析装置の各手段に相応する機能を実現させることを特徴とするプログラムである（請求項１１）。
【００３４】
あるいは、本発明のプログラムは、情報処理装置にインストールすることにより、その情報処理装置に、本発明の通信経路解析方法の各ステップを実行させることを特徴とする（請求項１２）。
【００３５】
本発明の第四の観点は、本発明のプログラムが記録された前記情報処理装置読取可能な記録媒体である（請求項１３）。本発明のプログラムは本発明の記録媒体に記録されることにより、前記情報処理装置は、この記録媒体を用いて本発明のプログラムをインストールすることができる。あるいは、本発明のプログラムを保持するサーバからネットワークを介して直接前記情報処理装置に本発明のプログラムをインストールすることもできる。
【００３６】
これにより、情報処理装置を用いて、ソースアドレスが偽造された受信パケットの通信経路を解析することができ、また、経路通知パケットの生成確率を調整することで、経路通知パケットの通信量の負荷を抑えることができ、また、多数のルータへのアクセスを繰り返す必要をなくすことができ、また、ＩＰ標準機能である「レコード・ルート」オプションを利用することにより、経路通知パケットの発信元と受信者との間にある各ルータを改造せずにアドレスを記録させることができる通信経路解析装置および方法を実現することができる。
【００３７】
【発明の実施の形態】
本発明実施形態の通信経路解析装置および方法を図１ないし図５を参照して説明する。図１は本発明の実施形態を説明するためのネットワーク例を示す図である。図２は本発明によって経路通知パケットを生成する処理手順を示すフローチャートである。図３は本発明の技術を適用したルータの構成図である。図４は本発明によって生成される経路通知パケット内容の一例を示す図である。図５は本発明によって各経路通知パケットの情報をまとめた経路表の一例を示す図である。
【００３８】
本実施形態の通信経路解析装置は、図１に示す本発明のルータ１０５の追加機能および経路分析サーバ１０７として実現される。本発明のルータ１０５は、図３に示すように、通過する経路が記録される経路通知パケットを設定された確率で生成する経路通知パケット生成部３０２を備え、パケットカウンタ部３０１は、通過するＩＰパケットと同じ宛先にこの経路通知パケットを送信する手段と、この経路通知パケットのデータフィールドにこの通過するＩＰパケットのソースアドレスを添付する手段とを備える。
【００３９】
また、経路分析サーバ１０７は、経路通知パケットを受信してそのデータフィールドに添付されたソースアドレスを抽出する手段と、このソースアドレスに基づきＴｒａｃｅｒｏｕｔｅプログラムを実行してこのソースアドレスを有するＩＰパケットの通常の経路情報を取得する手段とを備える。
【００４０】
さらに、この通常の経路情報と前記経路通知パケットにより通知された経路情報とを比較して互いの経路の相違を検証することによりソースアドレスの偽造の有無を判定する手段を備える（請求項１）。あるいは、複数の同一ソースアドレスが添付された経路通知パケットの経路の相違を検証することによりソースアドレスの偽造の有無を判定する手段を備える（請求項２）。このときに、前記経路通知パケットのＴＴＬ値に基づき経路長を測定する手段を備え、前記経路の相違をこの測定する手段により測定された長さの相違によって検証する手段を備える（請求項３）。あるいは、複数の同一経路情報を通知した経路通知パケットに添付されたソースアドレスの相違を検証することによりソースアドレスの偽造の有無を判定する手段を備える（請求項４）。また、前記経路通知パケットは、ＩＰの標準機能であるレコード・ルート（ＲＲ）オプションにより経路情報を記録する手段を備える（請求項５、１０）。
【００４１】
本発明は、汎用の情報処理装置にインストールすることにより、その情報処理装置に、本発明の通信経路解析装置の各手段に相応する機能を実現させる、あるいは、本発明の通信経路解析方法の各ステップを実行させるプログラムとして実現することができる（請求項１１、１２）。このプログラムは、記録媒体に記録されて情報処理装置にインストールされ（請求項１３）、あるいは通信回線を介して情報処理装置にインストールされることにより当該情報処理装置に、本発明のルータ１０５、経路分析サーバ１０７にそれぞれ相応する機能を実現させることができる。
【００４２】
次に、本発明実施形態について図面を参照して説明する。
【００４３】
図１は本発明実施形態を説明するためのネットワーク例である。攻撃者によって操作されたホスト１０１は、攻撃パケットを被攻撃者のホスト１０２に向かって送信している。ネットワーク１０３はアクセスネットワークであり、ネットワーク１０４はバックボーンネットワークである。ルータ（通信装置）１０５は本発明の技術を適用したルータであり、これらは通過パケットの経路通知パケットを生成させる機能が備わっている。なお、ルータ１０６は本発明の技術を適用したものではない通常のルータである。被攻撃者のホスト１０２が収容されているローカルエリアネットワーク（ＬＡＮ）に経路分析サーバ１０７は設置されている。この経路分析サーバ１０７はタップ装置を介して外部から受信したパケットのコピーを収集し、中から本発明の技術を適用したルータが発信した経路通知パケットを抽出し分析を行う。
【００４４】
次に、図２のフローチャートを参照しながら、本発明の技術を適用したルータが経路通知パケットを生成する処理手順を説明する。まず、ステップ２０１において、経路通知パケットの生成率を管理者入力より取得する。通常、この生成率の値は整数Ｎで表現され、確率の１／Ｎの意味を表す。ステップ２０２で、１からステップ２０１で取得した生成率の値Ｎまでの間に乱数を発生させ、その乱数はＲと表す。ステップ２０３で、通過パケットの数を数え、ステップ２０４で通過パケットの数はＲまでに達するか否か判断する。この判断の結果として、Ｒに達しなかった場合にはステップ２０４からステップ２０３へ戻る。つまり、Ｒ番目のパケットを受信するまでステップ２０３のカウントと２０４の判断を繰り返す。
【００４５】
ステップ２０４においてＲ番目のパケットを受信した場合、ステップ２０５に進み、このＲ番目のパケットのＩＰヘッダ情報をコピーする。そして、ステップ２０６で、ＩＰレコード・ルート（ＲＲ）オプションを利用し経路通知パケットを生成する。まず、ステップ２０５でコピーしたＲ番目のパケットのＩＰヘッダ情報を経路通知パケットのデータフィールドに添付し、経路通知パケットの宛先はＲ番目のパケットと同じにする。そして、ＩＰオプション・フィールドのコードを７に指定することにより、ＩＰの標準機能であるＲＲオプションを有効にする。
【００４６】
また、経路の長さを測るため、本発明の技術を適用したルータから発信される全ての経路通知パケットのＴＴＬは２５５に設定する。経路通知パケットの生成は完了したら、ステップ２０７に進め、Ｒ番目の通過パケットと同じ宛先に発信する。ステップ２０８では、パケットカウンタを０にリセットし、ステップ２０２へ戻る。
【００４７】
図３は本実施形態によって経路通知パケットを生成するルータの構成図である。図示するように、本発明の技術を適用したルータは、パケットカウンタ部３０１と、経路通知パケット生成部３０２と、通常ＩＰ処理部３０３と、ネットワークインタフェース部３０４の各機能部を備え、図２の処理手順を実現することができる。通常ＩＰ処理部３０３と、ネットワークインタフェース部３０４とは従来の技術である通常ＩＰルータのものである。パケットカウンタ部３０１と、経路通知パケット生成部３０２とは、本実施形態を実現させるため、追加された機能部である。パケットカウンタ部３０１は、図２のステップ２０１、２０２、２０３、２０４、２０５、２０８を実行し、経路通知パケット生成部３０２は、図２のステップ２０６、２０７を実行する。
【００４８】
図４は本発明によって生成される経路通知パケット内容の一例である。本発明の技術を適用したルータ４０１は受信者４０２に向かって経路通知パケットを発信する。ルータ４０３と４０４は本発明の技術を適用したものではない通常のルータである。ＲＲオプションはＩＰプロトコルの標準機能であるため、この経路通知パケットを処理する全ての通常ルータは、オプション・フィールドのリストに自分のＩＰアドレスを追加する。ルータ４０１から４０３に発信されたパケット４０５は、ソースアドレスがルータ４０１であり、ＩＰオプション・フィールドにＩＰアドレスが記録されない状態である。ルータ４０３からルータ４０４まで転送されたパケット４０６は、ＩＰオプション・フィールドにルータ４０３のアドレスが記録される。ルータ４０４からルータ４０５まで転送されたパケット４０７は、ＩＰオプション・フィールドにルータ４０３および４０４のアドレスが記録される。受信者はこの経路通知パケット受け取ったとき、経路であるルータ４０１、４０３と４０４のＩＰアドレスを取得できる。
【００４９】
図５は各経路通知パケットの情報をまとめた経路表の一例である。この経路表はネットワーク管理者が決めた時間帯に収集した情報である。経路列５０１に記録されたリストは経路通知パケットを発信したルータから受信者まで通過したルータのアドレスを示す。各経路の一番目のアドレス５０２は経路通知パケットを発信したルータのアドレスである。長さ列５０３は各経路のホップ数を示す。この値は経路通知パケットのＴＴＬから推算される（長さ＝２５５−受信した時点のＴＴＬ）。ソースアドレス列５０４は図２のステップ２０５でコピーしたＲ番目の通過パケットのＩＰヘッダにあるソースアドレスである。この経路表を分析すると、以下の方法で発信源アドレスが偽造されたパケットを受け取ったか否か判定できる。
【００５０】
１）受信者のネットワークから５０４にある各ソースアドレスに向かってＴｒａｃｅｒｏｕｔｅプログラムを実行する。Ｔｒａｃｅｒｏｕｔｅプログラムでは、ＩＰパケットが受信者から他のホストに流れる経路を確認することができる。このＴｒａｃｅｒｏｕｔｅの出力結果と図５の経路表に記録された経路情報とを比較し、両方のルートが一致しない場合、ソースアドレスの偽造されたパケットを受信したと判断できる（請求項６）。
すなわち、Ｔｒａｃｅｒｏｕｔｅの出力結果は、ソースアドレスが偽造されていない場合の通常のＩＰパケットの通過経路を出力する。これに対し、もし、ソースアドレスの偽造が行われていれば、経路通知パケットの通過経路は、Ｔｒａｃｅｒｏｕｔｅの出力結果とは著しく異なるものとなる。これによって、ソースアドレスの偽造の有無を判定することができる。
【００５１】
２）図５に示すように、ソースアドレスは１．１．１．１であるパケットは全く違うルートで受信者のネットワークに到着したので、統計手法を用いたら、ソースアドレスの偽造されたパケットを受信したか否かを判断できる（請求項７、８）。
【００５２】
すなわち、ソースアドレスが偽造されていなければ、同じソースアドレスおよび同じディスティネーションアドレスを有するＩＰパケットは、ほぼ近似した経路を通過するはずである。したがって、そのＩＰパケットに対応する経路通知パケットもまた、ほぼ近似した経路を通過するはずである。これに対し、もし、ソースアドレスの偽造が行われていれば、本当のソースアドレスが異なるので、その経路も異なってしまう。よって、同じソースアドレスおよび同じディスティネーションアドレスを有する経路通知パケット群の経路に大きな相違があれば、ソースアドレスの偽造が行われていると判定できる。
【００５３】
３）図５に示すように、ルート「Ｒ４０→Ｒ２０→Ｒ１０→Ｒ４０→…」は観察期間中にソースアドレスの異なったパケットを多量に受信しているので、統計手法を用いたら、ソースアドレスの偽造されたパケットを受信したか否かを判断できる（請求項９）。
【００５４】
すなわち、同一経路を通過するＩＰパケットのソースアドレスおよびディスティネーションアドレスは、ほぼ同一である。しかし、同一経路を通過しているにも関わらず、ソースアドレスが異なるとしたら、そのソースアドレスは偽りであるは判定できる。
【００５５】
このような判定の結果、ソースアドレスの偽造が行われていることが判明したならば、経路通知パケットにより通知された経路情報に基づきソースアドレスを偽造している発信源を特定することができる。
【００５６】
【発明の効果】
以上説明したように、本発明によれば、ソースアドレスが偽造された受信パケットの通信経路を解析することができる。また、本発明は、経路通知パケットの生成確率を調整することで、経路通知パケットの通信量の負荷を抑えることができる。また、本発明は、多数のルータへのアクセスを繰り返す必要をなくすことができる。また、本発明は、ＩＰ標準機能である「レコード・ルート」オプションを利用することにより、経路通知パケットの発信元と受信者との間にある各ルータを改造せずにアドレスを記録させることができる。
【図面の簡単な説明】
【図１】本発明の実施形態を説明するためのネットワーク例を示す図。
【図２】本発明によって経路通知パケットを生成する処理手順を示すフローチャート。
【図３】本発明の技術を適用したルータの構成図。
【図４】本発明によって生成される経路通知パケット内容の一例を示す図。
【図５】本発明によって各経路通知パケットの情報をまとめた経路表の一例を示す図。
【符号の説明】
１０１ホスト（攻撃者）
１０２ホスト（被攻撃者）
１０３、１０４ネットワーク
１０５、４０１（本発明の）ルータ
１０６、４０３、４０４（通常ＩＰ）ルータ
１０７経路分析サーバ
２０１〜２０８ステップ
３０１パケットカウンタ部
３０２経路通知パケット生成部
３０３通常ＩＰ処理部
３０４ネットワークインタフェース部
４０２受信者
４０５〜４０７パケット
５０１経路列
５０２経路の一番目のアドレス
５０３長さ列
５０４ソースアドレス列

Claims

通過する経路が記録される経路通知パケットを設定された確率で生成する手段と、
通過するＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）パケットと同じ宛先にこの経路通知パケットを送信する手段と、
この経路通知パケットのデータフィールドにこの通過するＩＰパケットのソースアドレスを添付する手段と、
経路通知パケットを受信してそのデータフィールドに添付されたソースアドレスを抽出する手段と、
このソースアドレスに基づきＴｒａｃｅｒｏｕｔｅプログラムを実行してこのソースアドレスを有するＩＰパケットの通常の経路情報を取得する手段と、
この通常の経路情報と前記経路通知パケットにより通知された経路情報とを比較して互いの経路の相違を検証することによりソースアドレスの偽造の有無を判定する手段と
を備えたことを特徴とする通信経路解析装置。
通過する経路が記録される経路通知パケットを設定された確率で生成する手段と、
通過するＩＰパケットと同じ宛先に前記経路通知パケットを送信する手段と、
この経路通知パケットのデータフィールドにこの通過するＩＰパケットのソースアドレスを添付する手段と、
経路通知パケットを受信してそのデータフィールドに添付されたソースアドレスを抽出する手段と、
複数の同一ソースアドレスが添付された経路通知パケットの経路の相違を検証することによりソースアドレスの偽造の有無を判定する手段と
を備えたことを特徴とする通信経路解析装置。
前記経路通知パケットのＴＴＬ（Ｔｉｍｅｔｏｌｉｖｅ）値に基づき経路長を測定する手段を備え、
前記経路の相違をこの測定する手段により測定された長さの相違によって検証する手段を備えた
請求項２記載の通信経路解析装置。
通過する経路が記録される経路通知パケットを設定された確率で生成する手段と、
通過するＩＰパケットと同じ宛先に前記経路通知パケットを送信する手段と、
この経路通知パケットのデータフィールドにこの通過するＩＰパケットのソースアドレスを添付する手段と、
経路通知パケットを受信してそのデータフィールドに添付されたソースアドレスを抽出する手段と、
複数の同一経路情報を通知した経路通知パケットに添付されたソースアドレスの相違を検証することによりソースアドレスの偽造の有無を判定する手段と
を備えたことを特徴とする通信経路解析装置。
前記経路通知パケットは、ＩＰの標準機能であるレコード・ルート（ＲＲ）オプションにより経路情報を記録する手段を備えた請求項１ないし４のいずれかに記載の通信経路解析装置。
通過する経路が記録される経路通知パケットを設定された確率で生成するステップと、
通過するＩＰパケットと同じ宛先にこの経路通知パケットを送信するステップと、
この経路通知パケットのデータフィールドにこの通過するＩＰパケットのソースアドレスを添付するステップと、
経路通知パケットを受信してそのデータフィールドに添付されたソースアドレスを抽出するステップと、
このソースアドレスに基づきＴｒａｃｅｒｏｕｔｅプログラムを実行してこのソースアドレスを有するＩＰパケットの通常の経路情報を取得するステップと、
この通常の経路情報と前記経路通知パケットにより通知された経路情報とを比較して互いの経路の相違を検証することによりソースアドレスの偽造の有無を判定するステップと
を実行することを特徴とする通信経路解析方法。
通過する経路が記録される経路通知パケットを設定された確率で生成するステップと、
通過するＩＰパケットと同じ宛先に前記経路通知パケットを送信するステップと、
この経路通知パケットのデータフィールドにこの通過するＩＰパケットのソースアドレスを添付するステップと、
経路通知パケットを受信してそのデータフィールドに添付されたソースアドレスを抽出するステップと、
複数の同一ソースアドレスが添付された経路通知パケットの経路の相違を検証することによりソースアドレスの偽造の有無を判定するステップと
を実行することを特徴とする通信経路解析方法。
前記経路通知パケットのＴＴＬ（Ｔｉｍｅｔｏｌｉｖｅ）値に基づき経路長を測定するステップを実行し、
前記経路の相違をこの測定するステップにより測定された長さの相違によって検証するステップを実行する
請求項７記載の通信経路解析方法。
通過する経路が記録される経路通知パケットを設定された確率で生成するステップと、
通過するＩＰパケットと同じ宛先に前記経路通知パケットを送信するステップと、
この経路通知パケットのデータフィールドにこの通過するＩＰパケットのソースアドレスを添付するステップと、
経路通知パケットを受信してそのデータフィールドに添付されたソースアドレスを抽出するステップと、
複数の同一経路情報を通知した経路通知パケットに添付されたソースアドレスの相違を検証することによりソースアドレスの偽造の有無を判定するステップと
を実行することを特徴とする通信経路解析方法。
前記経路通知パケットは、ＩＰの標準機能であるレコード・ルート（ＲＲ）オプションにより経路情報を記録するステップを実行する請求項６ないし９のいずれかに記載の通信経路解析方法。
情報処理装置にインストールすることにより、その情報処理装置に、請求項１ないし５のいずれかに記載の通信経路解析装置の各手段に相応する機能を実現させることを特徴とするプログラム。
情報処理装置にインストールすることにより、その情報処理装置に、請求項６ないし１０のいずれかに記載の通信経路解析方法の各ステップを実行させることを特徴とするプログラム。
請求項１１または１２記載のプログラムが記録された前記情報処理装置読み取り可能な記録媒体。