JP2005275683A - 侵入経路追跡システム - Google Patents

Abstract

【課題】サーバ等への攻撃者に対し、攻撃に対する追跡が認識されないよう侵入経路の解析を行う侵入経路追跡システムを得ること。
【解決手段】広域ネットワーク１を介して踏み台サーバＢを踏み台にして被攻撃サーバＡを攻撃する攻撃端末Ｃから被攻撃サーバＡへの侵入経路を追跡する侵入経路追跡システムにおいて、広域ネットワーク１とユーザネットワークを接続するルータ２ｂおよびルータ２ｃが、広域ネットワーク１側からユーザネットワーク側へ転送する際に、被攻撃サーバＡからのデータパケットからトレーサを削除するトレーサ削除部５３と、ユーザネットワーク側から広域ネットワーク１側へ転送する際に、被攻撃サーバＡからのデータパケットにトレーサを再付加するトレーサ再付加部５１と、を有する。
【選択図】 図２

Description

本発明は、ネットワーク上に配置されたサーバに対する攻撃の攻撃元を特定する侵入経路追跡システムに関するものである。

近年、ネットワーク上に配置された情報提供サーバに対する不正アクセス等の攻撃が増加しており、ネットワーク上で不正アクセスに対するセキュリティが施されている。情報提供サーバへの不正アクセス者（攻撃者）は、複数のホストを踏み台にして不正アクセスを行い、不正アクセスを行う攻撃端末の特定を困難にさせている。

従来、このような複数のホストを踏み台にした不正アクセスに対しては、踏み台とされたホストを１つずつ遡って攻撃端末を追跡していた。このため、攻撃者の追跡に多大な労力と時間を要しており、複数のホストを踏み台にした攻撃端末の特定を簡易かつ迅速に行うことが望まれている。

特許文献１に記載の攻撃経路追跡システムでは、情報提供サーバから出力されるデータに特定のマーク（識別子）を付加している。また、情報提供サーバから送信されるデータの途中経路に配置されたルータは、情報提供サーバで付加される識別子を予め記憶している。そして、ルータは受信したデータ流中に予め記憶しておいた識別子と一致する部分が含まれるか検索し、一致する部分が含まれる場合はこのデータの送信先アドレスと受信時刻を保存している。管理者は、ルータに保存されたデータの送信先アドレスと受信時刻を、攻撃経路の追跡に役立てている。

特開２００１−３０８９１８号公報

上記従来の技術によれば攻撃経路の追跡を行うことはできるが、攻撃経路を追跡するための識別子が攻撃端末に届いてしまう。一般に、サーバへの攻撃は、（１）サーバを攻撃するための情報の収集、（２）不正アクセスするための権限の取得、（３）攻撃、（４）サーバへの侵入痕跡の消去といった手順で行われる。また、攻撃者同士は攻撃に関する情報の交換を日常的に行っている。このため、上記従来技術のように攻撃経路を追跡するための識別子が攻撃端末に届いてしまうと、攻撃経路の追跡に関する情報の交換が攻撃者同士で行われてしまうといった問題があった。

また、上記従来の技術ではサーバ等への攻撃を行う際に踏み台とされたサーバを特定することができないといった問題があった。また、上記従来の技術では攻撃経路を追跡するための情報を管理者が各ルータから収集し解析する必要があるため、攻撃経路の追跡を行う管理者への負担が大きいといった問題があった。

本発明は、上記に鑑みてなされたものであって、サーバ等への攻撃者に対し、攻撃に対する追跡が認識されないよう侵入経路の解析を行う侵入経路追跡システムを得ることを目的とする。

また、サーバ等への攻撃を行う際に踏み台とされたサーバを特定することが可能な侵入経路追跡システムを得ることを目的とする。また、サーバ等への攻撃を行う際に踏み台とされたサーバが攻撃者の追跡に必要な情報を自動的に提供することが可能な侵入経路追跡システムを得ることを目的とする。

上述した課題を解決し、目的を達成するために、本発明は、広域ネットワークを介してユーザネットワークに接続されたサーバを踏み台にして被攻撃サーバを攻撃する攻撃端末から被攻撃サーバへの侵入経路を追跡する侵入経路追跡システムにおいて、前記被攻撃サーバへの攻撃を検知する不正侵入検知装置と、前記被攻撃サーバから攻撃端末に送信されるデータパケットに侵入経路を追跡するためのトレーサを付加して前記広域ネットワーク側へ転送するトレーサ付加ルータと、前記広域ネットワークと前記ユーザネットワークを接続する転送ルータと、を備え、前記転送ルータは、前記トレーサを検出するトレーサ検出部と、前記被攻撃サーバからのデータパケットを前記広域ネットワーク側から前記ユーザネットワーク側へ転送する際に、前記データパケットから前記トレーサ検出部で検出したトレーサを削除するトレーサ削除部と、前記広域ネットワーク側から前記ユーザネットワーク側へ転送したデータであって、前記ユーザネットワーク側から前記広域ネットワーク側へ転送するデータを検出するデータ検出部と、前記被攻撃サーバからのデータパケットを前記ユーザネットワーク側から前記広域ネットワーク側へ転送する際に、前記トレーサ削除部で削除されたトレーサを前記データパケットに再付加するトレーサ再付加部と、を有することを特徴とする。

この発明によれば、転送ルータが、被攻撃サーバからのデータパケットをユーザネットワーク側の装置へ転送する際に、データパケットに付加されたトレースを削除し、被攻撃サーバからのデータパケットをユーザネットワーク側の装置からネットワーク側へ転送する際に、データパケットにトレーサを再付加するので、転送ルータのユーザネットワーク側の装置が被攻撃サーバを攻撃した場合、攻撃した装置にトレースが転送されることはない。

この発明によれば、転送ルータのユーザネットワーク側の装置が被攻撃サーバを攻撃した場合、被攻撃サーバを攻撃した装置にトレースが転送されることはないので、被攻撃サーバを攻撃した装置にトレースを認識されることなく攻撃の侵入経路を追跡することが可能になるという効果を奏する。

以下に、本発明にかかる侵入経路追跡システムの実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態によりこの発明が限定されるものではない。

実施の形態．
まず、本実施の形態に係る侵入経路追跡システムの概念について説明する。図１は、本発明の実施の形態に係る侵入経路追跡システムの概念を説明するための図である。

攻撃端末Ｃは、踏み台サーバＢを介して被攻撃サーバＡに不正アクセスし、被攻撃サーバＡから情報の不正入手や被攻撃サーバＡ内の情報の改ざん等の攻撃を行う。ＩＤＳ（Intrusion Detection System）装置（不正侵入検知装置）３が被攻撃サーバＡへの不正アクセスを検知し、ルータ２ａに不正侵入の経路を追跡するためのトレーサを組み立てるための情報を送信する。ルータ２ａは被攻撃サーバＡから広域ネットワーク１に送信されるパケットにトレーサを付加して転送する。ここでは、攻撃端末Ｃが踏み台サーバＢを介して被攻撃サーバＡの情報を不正入手するので、被攻撃サーバＡから送信されたパケットは、ルータ２ａを介してルータ２ｂに送られる。

ルータ２ｂは、被攻撃サーバＡから送られたパケットに付加されたトレーサを削除し、踏み台サーバＢに転送する。また、ルータ２ｂは踏み台サーバＢに転送するデータの中から特徴的なデータの一部を保存しておく。特徴的なデータの一部とは、例えば転送するデータが画像ファイルである場合、データの１００ｂｙｔｅ目〜５００ｂｙｔｅ目までのデータ等とする。また、転送するデータがテキストファイルである場合は、２０ｂｙｔｅ目〜４０ｂｙｔｅ目までのデータ等とする。さらに、ルータ２ｂは被攻撃サーバＡから送信されたパケットからトレーサを削除して踏み台サーバＢへ転送した旨をＩＤＳ装置３に報告する。

ルータ２ｂは、ユーザネットワーク側（アクセス側の踏み台サーバＢ）から広域ネットワーク１（コア網）に送信されるデータ（パケット）に、保存しておいた特徴的なデータの一部が含まれるかを確認する。ここでは、踏み台サーバＢを介して情報の不正入手が行われるため、踏み台サーバＢから広域ネットワーク１に送信されるデータに、保存しておいた特徴的なデータの一部が含まれる。ルータ２ｂは、踏み台サーバＢから広域ネットワーク１に送信されるパケットにトレーサを再付加し、ルータ２ｃに転送する。また、ルータ２ｂは被攻撃サーバＡから送信されたパケットにトレーサを再付加してルータ２ｃに転送した旨をＩＤＳ装置３に報告する。

ルータ２ｃは、被攻撃サーバＡからのパケットに付加されたトレーサを削除し、攻撃端末Ｃに転送する。また、ルータ２ｂは踏み台サーバＢに転送するデータの中から特徴的なデータの一部を保存しておく。ルータ２ｃは、被攻撃サーバＡが送信したパケットを踏み台サーバＢ受信し、このパケットからトレーサを削除して攻撃端末Ｃへ転送した旨をＩＤＳ装置３に報告する。

ルータ２ｃは、ユーザネットワーク側から広域ネットワーク１に送信されるデータに、保存しておいた特徴的なデータの一部が含まれるかを確認する。ここでは、攻撃端末Ｃが情報の不正入手を行うため、ルータ２ｃから広域ネットワーク１へ被攻撃サーバＡからのデータが送信されることはない。したがって、ユーザネットワーク側から広域ネットワーク１に送信されるデータに、保存しておいた特徴的なデータの一部が含まれることはない。

ＩＤＳ装置３は、ルータ２ｂやルータ２ｃから受信した報告に基づいて、被攻撃サーバＡへの侵入経路の解析を行う。１つのルータでトレーサの削除と再付加がされている場合は、このルータの先に接続された装置が踏み台となっている。ここでは、ルータ２ｂがトレーサの削除と再付加を行っているため、踏み台サーバＢが踏み台にされていることが分かる。

また、１つのルータでトレーサの削除のみが行われている場合は、このルータの先に接続された装置が情報の不正入手を行った攻撃端元である。ここでは、ルータ２ｃがトレーサの削除のみを行っているため、攻撃端末Ｃが攻撃元であることが分かる。

つぎに、本実施の形態に係る侵入経路追跡システムのシステム構成について詳細に説明する。図２は、本実施の形態に係る侵入経路追跡システムのシステム構成を示す図である。

図２に示すように侵入経路追跡システムは、サーバ等を攻撃する攻撃端末Ｃ、攻撃端末Ｃから攻撃される被攻撃サーバＡ、攻撃端末Ｃが被攻撃サーバＡを攻撃する際に踏み台とする踏み台サーバＢ、ＩＤＳ装置３、ルータ２ａ、ルータ２ｂ、ルータ２ｃからなる。

被攻撃サーバＡと踏み台サーバＢは、特定のサービスを提供するコンピュータ等である。本実施の形態においては被攻撃サーバＡが攻撃端末Ｃ等に情報の提供を行うサーバであり、踏み台サーバＢは攻撃端末Ｃが被攻撃サーバＡへの不正アクセスを行う際に踏み台にされるサーバである。

攻撃端末Ｃは、広域ネットワーク１を介して踏み台サーバＢや被攻撃サーバＡに不正アクセスするパーソナルコンピュータ等の端末である。ルータ２ａ、ルータ２ｂ、ルータ２ｃは、広域ネットワーク１上を流れるデータを被攻撃サーバＡ、踏み台サーバＢ、攻撃端末Ｃに中継する。ルータ２ａ、ルータ２ｂ、ルータ２ｃは、夫々被攻撃サーバＡ、踏み台サーバＢ、攻撃端末ＣとＬＡＮ（Local Area Network）等によって接続されている。

ＩＤＳ装置３は、ルータ２ａおよび被攻撃サーバＡにＬＡＮ等によって接続され、ルータ２ａと被攻撃サーバＡ間で送受信されるデータの検出等を行う。ＩＤＳ装置３は、攻撃検知部３１、トレーサ付加要求部３２、侵入経路解析部（解析装置）３３、識別データ情報格納部３４を備えている。攻撃検知部３１は、パターンマッチ等によって被攻撃サーバＡへの攻撃を検知する。

トレーサ付加要求部３２は、攻撃検知部３１によって被攻撃サーバＡへの攻撃が検知されるとルータ２ａにトレーサの組み立てを行うための指示情報、被攻撃サーバＡから送信されるデータを検出するのに必要な情報、トレーサに格納するパケット識別子α、攻撃に関する情報を収集する装置であるＩＤＳ装置３のＩＰアドレス（通知先ＩＰアドレス）をルータ２ａに送信する。パケット識別子αは、トレースパケットを識別するための識別子である。

侵入経路解析部３３は、ルータ２ｂやルータ２ｃから送信される情報を解析し、被攻撃サーバＡへの不正侵入経路、踏み台とされたサーバ、攻撃元となった攻撃端末Ｃの特定を行う。識別データ情報格納部３４は、被攻撃サーバＡから送信されるパケットの特徴的なデータの一部を抽出するための情報（識別データ情報）を格納する。

ルータ２ａは、トレーサ付加部４１を備えている。トレーサ付加部４１は、被攻撃サーバＡへの攻撃が検知された際、被攻撃サーバＡから広域ネットワーク１に送信されるパケットにトレーサを付加する。

ルータ２ｂは、トレーサ再付加部５１、トレーサ検知部（トレーサ検知部）５２、トレーサ削除部５３、データ保持部（データ検出部）５４、トレース情報通知部５５を備えている。また、ルータ２ｃは、トレーサ再付加部６１、トレーサ検知部６２、トレーサ削除部６３、データ保持部６４、トレース情報通知部６５を備えており、ルータ２ｂとルータ２ｃは同一の機能を有している。

トレーサ検知部５２，６２は、被攻撃サーバＡから送信されるデータが不正入手されたパケットである場合に、被攻撃サーバＡから送信されるパケットに付加されたトレーサを検出する。

トレーサ削除部５３，６３は、被攻撃サーバＡから送信されたパケットにトレーサが付加されている場合に、トレーサを削除する。データ保持部５４，６４は、踏み台サーバＢや攻撃端末Ｃ等のユーザネットワーク側の装置に被攻撃サーバＡからのデータパケットを転送する際に、このデータの中から特徴的なデータの一部を保存しておき、ネットワーク１側からユーザネットワーク側へ転送したデータであって、ユーザネットワーク側からネットワーク１側へ転送するデータを検出する。

トレーサ再付加部５１，６１は、踏み台サーバＢ等のユーザネットワーク側の装置から広域ネットワーク側にデータを転送する際、被攻撃サーバＡからのパケットにトレースを再付加して転送する。

トレース情報通知部５５，６５は、トレーサ削除部５３によるトレースの削除処理やトレーサ再付加部５１によるトレースの再付加処理が行われた際に、これらの処理内容等の情報をＩＤＳ装置３に送信する。

図３−１〜図３−３は本実施の形態にかかる侵入経路追跡システムの動作手順を示すフローチャートである。攻撃端末Ｃは、踏み台サーバＢを介して被攻撃サーバＡに不正アクセスし、被攻撃サーバＡから情報の不正入手を試みる。ＩＤＳ装置３の攻撃検知部３１は、攻撃端末Ｃが被攻撃サーバＡから情報の不正入手を試みると、攻撃端末Ｃから被攻撃サーバＡに送られる攻撃フレームを検知することによって被攻撃サーバＡへの攻撃を検知する（ステップＳ１００）。攻撃検知部３１による攻撃の検知としては、例えばパターンマッチ等を用いる。攻撃検知部３１が攻撃端末Ｃによる攻撃を検知すると、トレーサ付加要求部３２に対して、攻撃端末Ｃから送られてきた攻撃フレームのヘッダ情報（ＩＰヘッダ）をトレーサ付加要求部３２に送る（ステップＳ１１０）。

トレーサ付加要求部３２は、攻撃検知部３１からのＩＰヘッダに基づいて、被攻撃サーバＡから攻撃端末Ｃに送信するパケット（不正入手されるパケット）を識別するのに必要な情報（以下、パケット識別情報という）を抽出（解析）する。ここでは、ＩＰヘッダのＤＡ（Destination Address）が踏み台サーバＢのＩＰアドレスであって、ＩＰヘッダのＳＡ（Source Address）が被攻撃サーバＡのＩＰアドレスであるパケットが、パケット識別情報（ＩＰ−ＤＡ／ＳＡ）となる。

トレーサ付加要求部３２は、抽出したパケット識別情報（ＩＰ−ＤＡ／ＳＡ）、トレーサに格納するパケット識別子α、攻撃に関する情報を収集する装置であるＩＤＳ装置３のＩＰアドレス（通知先ＩＰアドレス）、識別データ情報格納部３４に格納されている識別データ情報の中から不正入手されるパケットに対応する識別データ情報をルータ２ａのトレーサ付加部４１に送信する（ステップＳ１２０）。

ルータ２ａのトレーサ付加部４１は、ＩＤＳ装置３のトレーサ付加要求部３２から送信されたパケット識別情報（ＩＰ−ＤＡ／ＳＡ）を記憶しておく。そして、被攻撃サーバＡから広域ネットワーク１に送信される情報の中からパケット識別情報（ＩＰ−ＤＡ／ＳＡ）と同一のフレームを検出すると（ステップＳ１３０）、トレーサ付加要求部３２からパケット識別情報（ＩＰ−ＤＡ／ＳＡ）とともに受信したパケット識別子α、通知先ＩＰアドレス、識別データ情報に基づいてトレーサを組み立てる（ステップＳ１４０）。

図４は、トレーサの構成の一例を示す図である。図４に示すようにトレーサは、パケット識別子α、通知先ＩＰアドレス、識別データ情報からなる。トレーサ付加部４１は、組み立てたトレーサを被攻撃サーバＡから広域ネットワーク１に送信されるパケットに付加してルータ２ｂ（踏み台サーバＢ）に転送する（ステップＳ１５０）。

ルータ２ｂのトレーサ検知部５２は、ルータ２ａから送信されたトレーサが付加されたパケットを検知し、検知したパケット（フレーム）をトレーサ削除部５３に送る。トレーサ削除部５３は、トレーサ検知部５２から送られたフレームに基づいてパケットの転送先を確認する（ステップＳ２００）。そして、トレーサ削除部５３がパケットの送信先が広域ネットワーク１側であると確認した場合は（ステップＳ２１０、Ｎｏ）、トレーサをパケットに付加したまま広域ネットワーク１側に転送する（ステップＳ２２０）。一方、トレーサ削除部５３がパケットの送信先が踏み台サーバＢ側（ユーザネットワーク側）であると確認した場合は（ステップＳ２１０、Ｙｅｓ）、踏み台サーバＢ側に転送するパケットからトレーサを削除する（ステップＳ２３０）。

本実施の形態においては、攻撃端末Ｃが踏み台サーバＢを踏み台にして（中継して）被攻撃サーバＡから情報の不正入手を行っているため、被攻撃サーバＡから送信されたパケットは一度踏み台サーバＢに転送される。したがって、トレーサ削除部５３はパケットの送信先が踏み台サーバＢ側であると判断し、踏み台サーバＢに送信するパケットからトレーサを削除する。

さらに、トレーサ削除部５３はトレーサの削除と同時にこのトレーサ内の識別データ情報に基づいて、被攻撃サーバＡから受信したデータの中から特徴的なデータの一部（データＸ）を抽出しトレーサとともにデータ保持部５４に格納する（ステップＳ２４０）。識別データ情報が、例えば１００ｂｙｔｅ目〜１４０ｂｙｔｅ目である場合、被攻撃サーバＡから受信したデータの１００ｂｙｔｅ目〜１４０ｂｙｔｅ目をデータＸとして抽出し、データ保持部５４に格納する。

また、トレース情報通知部５５はトレーサ内に格納されている通知先ＩＰアドレス（ＩＤＳ装置３のアドレス）に対し、パケット識別子α、ルータ２ｂで行った処理（トレーサの削除）、パケットの送信元である被攻撃サーバＡを識別するための情報（装置名等）、パケットの送信先である踏み台サーバＢを識別するための情報、パケットの有効期間を表すＴＴＬ（Time To Live）、パケット通過時間等の情報を経路解析情報として送信する（ステップＳ２５０）。ＩＤＳ装置３は、侵入経路解析部３３においてこの経路解析情報を記憶しておく。

ルータ２ｂのトレーサ再付加部５１は、所定の時間（例えば５秒）の間、ユーザネットワーク側（踏み台サーバＢ）からコア側（広域ネットワーク１側）に流れる全パケットのデータとデータ保持部５５で格納しているデータＸを比較する（ステップＳ２６０）。

データ保持部５４で格納しているデータＸに一致するデータが、踏み台サーバＢから広域ネットワーク１側に流れるパケットのデータにない場合は、データ保持部５４で格納しているデータＸおよびデータＸとともに格納したトレーサを削除する。ここでは、踏み台サーバＢから攻撃端末Ｃに不正入手したデータが流れるため、トレーサ再付加部５１はデータ保持部５４で格納しているデータＸと同一のデータを踏み台サーバＢから広域ネットワーク１側に流れるデータから検知する。

トレーサ再付加部５１は、検知したデータ（パケット）にデータ保持部５４に格納しているトレーサを再付加し、広域ネットワーク１を介してルータ２ｃに転送する（ステップＳ２７０）。

また、トレース情報通知部５５は、トレーサ内に含まれる通知先ＩＰアドレス（ＩＤＰ装置３のＩＰアドレス）に対して、パケット識別子α、ルータ２ｂで行った処理（トレーサの再付加）、パケットの送信元である踏み台サーバＢを識別するための情報、パケットの送信先である攻撃端末Ｃを識別するための情報、ＴＴＬ、パケット通過時間等の情報を経路解析情報として送信する（ステップＳ２８０）。ＩＤＳ装置３は、侵入経路解析部３３においてこの経路解析情報を記憶しておく。

ルータ２ｃのトレーサ検知部６２は、ルータ２ｂから送信されたトレーサを検知し、検知したパケットをトレーサ削除部６３に送る。トレーサ削除部６３は、トレーサ検知部６２から送られたフレームに基づいてパケットの転送先を確認する（ステップＳ３００、Ｓ３１０）。

トレーサ削除部６３がパケットの送信先が広域ネットワーク１側であると確認した場合は、トレーサをパケットに付加したまま広域ネットワーク１側に転送する（ステップＳ３２０）。

本実施の形態においては、攻撃端末Ｃが被攻撃サーバＡから情報の不正入手を行っているため、トレーサ削除部６３はパケットの送信先が攻撃端末Ｃ側（ユーザネットワーク側）であると確認し、攻撃端末Ｃに送信するパケットからトレーサを削除する（ステップＳ３３０）。

さらに、トレーサ削除部６３はトレーサの削除と同時にこのトレーサ内の識別データ情報に基づいて、パケット内の特徴的なデータＸを抽出しトレーサとともにデータ保持部６４に格納する（ステップＳ３４０）。

また、トレース情報通知部６５はトレーサ内に格納されている通知先ＩＰアドレス（ＩＤＳ装置３のアドレス）に対し、パケット識別子α、ルータ２ｃで行った処理（トレーサの削除）、パケットの送信元である踏み台サーバＢを識別するための情報、パケットの送信先である攻撃端末Ｃを識別するための情報、ＴＴＬ、パケット通過時間等の情報を経路解析情報として送信する（ステップＳ３５０）。

ルータ２ｃのトレーサ再付加部６１は、所定時間の間、ユーザネットワーク側（攻撃端末Ｃ）からコア側（広域ネットワーク１側）に流れる全パケットのデータとデータ保持部６４で格納しているデータＸを比較する（ステップＳ３６０）。

ここでは、攻撃端末Ｃが不正入手したデータを取得するため、攻撃端末Ｃから広域ネットワーク１側に流れるパケットのデータに、データ保持部６４で格納しているデータＸに一致するデータが無く、データ保持部６４で格納しているデータＸを削除する（ステップＳ３７０）。

攻撃端末Ｃは、トレーサが付加されていないデータをルータ２ｃから受信する。ＩＤＳ装置３の侵入経路解析部３３は、ルータ２ｂとルータ２ｃから送信されたパケット情報を記憶しており、このパケット情報に基づいて被攻撃サーバＡから情報の不正入手をした時の侵入経路と情報の不正入手をした装置（攻撃端末Ｃ）の特定を行う（ステップＳ３８０）。

図５は、侵入経路解析部で記憶しているパケット情報の一例を示す図である。図５に示すように、侵入経路解析部３３はルータ２ｂやルータ２ｃから受信した経路解析情報としてパケット識別子α、パケット通過時間、パケット情報を送信してきたルータのルータ名（報告ルータ名）、パケット情報を送信してきたルータで行われたトレースの処理、パケットの送信元装置、パケットの送信先装置を記憶している。

１つのパケット識別子αに対し、１つのルータでパケットの削除処理とパケットの再付加処理が行われている場合は、このルータの先（ユーザネットワーク側）に接続された端末は踏み台サーバと判断することができる。

１つのパケット識別子αに対し、１つのルータでパケットの削除処理のみが行われている場合、このルータからの送信先（ユーザネットワーク側）が攻撃端末、またはルータからの送信先がこのセグメント内にいる攻撃端末が利用しているゲートウェイであると判断することができる。

本実施の形態においては、パケット識別子αに対し、ルータ２ｂはパケットの削除処理とパケットの再付加処理を行っている。したがって、侵入経路解析部３３はルータ２ｂの先に接続された装置が情報の不正入手に利用された踏み台サーバＢであると判断する。

また、パケット識別子αに対し、ルータ２ｃはパケットの削除処理のみを行っている。したがって、侵入経路解析部３３はルータ２ｃの先に接続された装置を攻撃端末Ｃまたはこのセグメント内にいる攻撃端末が利用しているゲートウェイであると判断する。

なお、侵入経路追跡システムにおいてルータ２ｂが複数からなる構成としてもよい。なお、本実施の形態においては、ルータ２ａ〜２ｃをＩＰ網によってネットワーク接続している場合について説明したが、ルータ２ａ〜２ｃはＩＰ網以外でネットワーク接続する構成としてもよい。また、本実施の形態においてはＩＤＳ装置３が侵入経路解析部３３を備える構成としたが、ＩＤＳ装置３以外の装置が侵入経路解析部３３を備える構成としてもよい。

このように実施の形態によれば、攻撃端末Ｃに通信のトレースが行われていることを認識させることなく、踏み台サーバを利用した攻撃に対して踏み台サーバを含めた侵入経路の追跡を行うことが可能となる。

以上のように、本発明にかかる侵入経路追跡システムは、通信端末によるサーバ等の攻撃の追跡に有用であり、特に、踏み台サーバを利用した攻撃の追跡に適している。

本発明の実施の形態に係る侵入経路追跡システムの概念を説明するための図である。 本発明の実施の形態に係る侵入経路追跡システムのシステム構成を示す図である。 侵入経路追跡システムの動作手順を示すフローチャート（１）である。 侵入経路追跡システムの動作手順を示すフローチャート（２）である。 侵入経路追跡システムの動作手順を示すフローチャート（３）である。 トレーサの構成の一例を示す図である。 侵入経路解析部で記憶しているパケット情報の一例を示す図である。

符号の説明

１ 広域ネットワーク
２ａ〜２ｃ ルータ
３ ＩＤＳ装置
３１ 攻撃検知部
３２ トレーサ付加要求部
３３ 侵入経路解析部
３４ 識別データ情報格納部
４１ トレーサ付加部
５１，６１ トレーサ再付加部
５２，６２ トレーサ検知部
５３，６３ トレーサ削除部
５４，６４ データ保持部
５５，６５ トレース情報通知部
Ａ 被攻撃サーバ
Ｂ 踏み台サーバ
Ｃ 攻撃端末

Claims (6)

1. 広域ネットワークを介してユーザネットワークに接続されたサーバを踏み台にして被攻撃サーバを攻撃する攻撃端末から被攻撃サーバへの侵入経路を追跡する侵入経路追跡システムにおいて、
   前記被攻撃サーバへの攻撃を検知する不正侵入検知装置と、
   前記被攻撃サーバから攻撃端末に送信されるデータパケットに侵入経路を追跡するためのトレーサを付加して前記広域ネットワーク側へ転送するトレーサ付加ルータと、
   前記広域ネットワークと前記ユーザネットワークを接続する転送ルータと、を備え、
   前記転送ルータは、
   前記トレーサを検出するトレーサ検出部と、
   前記被攻撃サーバからのデータパケットを前記広域ネットワーク側から前記ユーザネットワーク側へ転送する際に、前記データパケットから前記トレーサ検出部で検出したトレーサを削除するトレーサ削除部と、
   前記広域ネットワーク側から前記ユーザネットワーク側へ転送したデータであって、前記ユーザネットワーク側から前記広域ネットワーク側へ転送するデータを検出するデータ検出部と、
   前記被攻撃サーバからのデータパケットを前記ユーザネットワーク側から前記広域ネットワーク側へ転送する際に、前記トレーサ削除部で削除されたトレーサを前記データパケットに再付加するトレーサ再付加部と、を有することを特徴とする侵入経路追跡システム。
2. 前記被攻撃サーバへの攻撃の侵入経路の解析を行う解析装置をさらに備え、
   前記転送ルータは、前記トレーサ削除部によって行われたトレーサの削除処理および前記トレーサ再付加部によって行われたトレーサの再付加処理に関する情報を、前記解析装置に送信するトレース情報通知部をさらに備え、
   前記解析装置は、前記トレース情報通知部から受信した情報に基づいて前記被攻撃サーバへの攻撃の侵入経路を解析することを特徴とする請求項１に記載の侵入経路追跡システム。
3. 前記トレース情報通知部は、トレーサの削除処理およびトレーサの再付加処理に関する情報とともに、前記トレーサを識別するためのトレーサ識別情報、前記転送ルータにおいて前記被攻撃サーバからのデータパケットを転送する際の転送元を識別するための情報および前記転送ルータにおいて前記被攻撃サーバからのデータパケットを転送する際の転送先を識別するための情報を、前記解析装置に送信することを特徴とする請求項２に記載の侵入経路追跡システム。
4. 前記解析装置は、１つのトレーサに対して１つの前記転送ルータがトレーサの削除処理とトレーサの再付加処理を行っている場合は、この転送ルータのユーザネットワーク側に接続されたサーバを被攻撃サーバの攻撃に利用された踏み台サーバと判断し、１つのトレーサに対して１つの前記転送ルータがトレーサの削除処理のみを行っている場合は、この転送ルータのユーザネットワーク側に接続された端末またはユーザネットワーク側のセグメント内に接続された端末が、被攻撃サーバに攻撃を行った端末であると判断することを特徴とする請求項２〜３のいずれか１つに記載の侵入経路追跡システム。
5. 前記トレーサは、該トレーサを識別するための情報、前記解析装置のアドレス、前記データ検出部がデータ検出をするためのデータパケットに関する情報を含むことを特徴とする請求項１〜４のいずれか１つに記載の侵入経路追跡システム。
6. ユーザネットワークを接続する広域ネットワークとユーザネットワークとを接続するルータにおいて、
   データパケットの侵入経路を追跡するために付加されたトレーサを検出するトレーサ検出部と、
   前記トレーサの付加されたデータパケットを前記広域ネットワーク側から前記ユーザネットワーク側へ転送する際に、前記データパケットから前記トレーサを削除するトレーサ削除部と、
   前記広域ネットワーク側から前記ユーザネットワーク側へ転送したデータであって、前記ユーザネットワーク側から前記広域ネットワーク側へ転送するデータを検出するデータ検出部と、
   前記被攻撃サーバからのデータパケットを前記ユーザネットワーク側から前記広域ネットワーク側へ転送する際に、前記トレーサ削除部で削除されたトレーサを前記データパケットに再付加するトレーサ再付加部と、を有することを特徴とするルータ。
   
   
   

Images