JP2006324817A - データ通信システム及びデータ通信方法 - Google Patents

Abstract

【課題】 従来の迷惑通信に対する処理における問題点を解決する。
【解決手段】 本発明に係るデータ通信システムは、受信したデータから抽出対象を抽出するように構成されている情報抽出部１２と、抽出した抽出対象を含む比較用情報を生成して送信するように構成されている比較用情報生成・送信部１３、１４と、受信した比較用情報と受信したデータとを比較するように構成されている比較部２３と、受信した比較用情報と受信したデータとが一致した場合に、当該データを削除するように構成されている相殺処理部２７とを具備する。
【選択図】 図３

Description

本発明は、データ通信ネットワークを介してデータを通信するデータ通信システム及びデータ通信方法に関する。

従来、データ通信システムを構成する転送装置が、一定時間当たりに当該転送装置を通過するデータ数又はデータ量（例えば、パケット数又はパケット量）を計測することにより、データ通信ネットワーク内のトラフィック量を制御する技術が知られている。

近年では、メールやワーム等の迷惑通信への対抗策として、かかるトラフィック量を制御する技術と類似の技術が利用されている。

例えば、特許文献１に示すように、情報配信装置（転送装置）が、受信した情報量（例えば、メール数等）に応じたフィルタリングを実施することによって、大量のメール送信（迷惑通信）を検知して情報転送動作を抑止する技術が知られている。

また、非特許文献１に示すように、データ通信ネットワーク内の複数の地点において、異常にパケット数が増加したことを検出した場合、分散型のサービス否認攻撃（ＤＤｏＳ）が発生したと判断し、かかる地点を時間的に遡って調査することによって攻撃発生元ネットワークを特定して情報転送動作を抑止する技術が知られている。

また、上述の迷惑通信を検出するために、一般のウィルス対策ソフトやファイアウォール機能等によってオフラインで作成された「シグニチャ」と呼ばれる判定用情報を用いる技術が知られている。かかる技術では、ウィルス対策ソフトやファイアウォール機能が「シグニチャ」を各クライアントに配布するか、又は、各クライアントが「シグニチャ」をダウンロードすることが必要である。

しかしながら、上述の「シグニチャ」によって検出可能な迷惑通信は、既知の迷惑通信に限られている。

さらに、非特許文献２に示すように、移動通信（すなわち、データ通信装置が移動する形式の通信）では、特定の地点（例えば、アンカーノードやゲートウェイやエッジノード等）を選択して、当該特定の地点における個々の通信を観測して管理することが必要である。また、かかる特定の地点に「シグニチャ」等を持ち込んで、迷惑通信に対するフィルタリング制御を行うことが要求される。

ここで、かかる特定の地点を移動することも考えられているが、観測結果を保持したまま、かかる特定の地点を移動させることは困難な技術として認識されている。

また、迷惑通信であるか否かについて判定するために、広くユーザからの情報を集めることによってフィルタを作成する技術が知られている。

かかる技術では、多数のユーザが、受信メールを実際に読み、自らの意志と行為によって迷惑通信であると判定した場合に、その旨を所定の装置に対して通知することによって、上述のフィルタが変更されるように構成されている。
特開２００４-１７８５４１号公報 電子情報通信学会和文論文誌 Ｖｏｌ.Ｊ８４-Ｂ Ｎｏ.８ 「トラヒックパターンを用いた不正アクセス検出及び追跡方式」、１４６４頁乃至１４７３頁、２００１年８月 「移動通信の基礎」、コロナ社、１９８６年出版

しかしながら、従来の技術による迷惑通信（大量通信）への対応策では、以下の問題点が解決されない。

第１の問題点は、初出の被疑通信（迷惑通信であると疑われている通信）に対してリアルタイムに処理を行うことが困難であることである。

かかる第１の問題点は、「ウィルスやワーム等の迷惑通信を検出するために用いられる「シグニチャ」が、過去の迷惑通信の振る舞い（ビヘイビア）をバックヤードにおいて解析することによって作成されること」や、「Ｗｅｂメールサービスの場合のように、広い範囲のユーザから迷惑通信（例えば、迷惑メール等）に関する通知を収集するためには、相当の時間が必要であること」に起因している。

第２の問題点は、移動通信において、上述のフィルタリング制御を行う特定の地点を選択することが実際には困難であることである。

一般に、上述の特定の地点における個々の通信を観測して管理することによって、上述の「シグニチャ」を用いた判定処理（シグニチャマッチング）や過去の迷惑通信についてのビヘイビア分析が行われている。

しかしながら、取り扱うトラフィック量の増加や、各データの断片化（少量データや短い保留時間のデータの増加）や、Ｐ２Ｐのような形式の通信形式の存在や、データ通信装置の移動に伴ってデータ通信ネットワーク内の通信経路が動的に変化する通信形式の存在等といった状況を考慮すると、通信経路中の決まった位置（すなわち、特定の地点）において情報処理（フィルタリング制御）を行うだけでは、上述のような迷惑通信への対応策を実現することが困難となっている。

第３の問題点は、広い範囲から分散して少量のデータが発生し、当該データが組み合わされた結果として大量のデータとなる迷惑通信に対応できないことである。

かかる第３の問題点は、迷惑通信の検出感度を向上させるためには、局所的に、一定数の被疑通信が存在することが必要であることに起因する。

第４の問題点は、迷惑通信であることを判定する根拠として用いられる「シグニチャ（判定用情報）」の種類が限定され、迷惑通信の判定精度が向上していないことである。

被疑通信を構成するデータにおける「シグニチャ」の抽出及び配布に係る処理量や、過去の迷惑通信のビヘイビアを観測のために収集すべき情報量は、膨大である。

しかしながら、リアルタイムに被疑通信に対する処理を行う必要がある場合には、特定ユーザ宛ての通信（例えば、メール等）や、特定装置（例えば、メールサーバのようなゲートウェイ装置等）に到達する通信（例えば、当該メールサーバに収容されているユーザ宛てのメール等）のように、限定した範囲からの情報を用いて上述の判定を行わざるを得ない。その結果、迷惑通信であることの判定精度は、向上しない。

そこで、本発明は、以上の点に鑑みてなされたもので、上述の問題点を解決することができるデータ通信システム及びデータ通信方法を提供することを目的とする。

本発明の第１の特徴は、データ通信ネットワークを介してデータを通信するデータ通信システムであって、受信したデータから抽出対象を抽出するように構成されている情報抽出部と、抽出した前記抽出対象を含む比較用情報を生成して送信するように構成されている比較用情報生成・送信部と、受信した比較用情報と受信したデータとを比較するように構成されている比較部と、受信した前記比較用情報と受信した前記データとが一致した場合に、該データを削除するように構成されている相殺処理部とを具備することを要旨とする。

かかる発明によれば、相殺処理部が、データ通信ネットワークから受信した比較用情報と一致したデータを、迷惑通信にかかるデータと判断して自律的に削除することによって、初出の被疑通信に対しても、事前知識や情報無しでリアルタイムに処理することができる。

本発明の第１の特徴において、前記比較部が、更に、受信した前記比較用情報同士を比較するように構成されており、受信した前記比較用情報同士が一致した場合、該比較用情報の数を増加させて転送するように構成されている増幅・拡散処理部を更に具備してもよい。

かかる発明によれば、増幅・拡散処理部が、所定条件を満たす場合に、比較用情報の数を増加させて転送することによって、データ通信ネットワーク全体に迷惑通信の特徴を示す比較用情報が行き渡るため、広い範囲から分散して少量のデータが発生する形式の被疑通信に対して処理することができる。

また、かかる発明によれば、相殺処理部が、迷惑通信に係るデータを自律的に削除していくため、迷惑通信に対するフィルタリング制御を行う特定の地点を特に定める必要がない。

また、かかる発明によれば、データ通信ネットワーク全体で、相殺処理部による迷惑通信に係るデータの削除及び増幅・拡散処理部による迷惑通信の特徴を示す比較用情報の増加・転送が行われるため、特定の通信に対する観測・制御に起因する迷惑通信の判定精度の低下を防ぐことができる。

本発明の第１の特徴において、前記増幅・拡散処理部が、各転送先に対して転送する前記比較用情報の数について所定の重み付け処理を行うように構成されていてもよい。

本発明の第１の特徴において、前記増幅・拡散処理部が、隣接機能のトポロジーに基づいて、前記重み付け処理を行うように構成されていてもよい。

本発明の第１の特徴において、前記増幅・拡散処理部が、受信した前記比較用情報の数に応じて前記重み付け処理を行うように構成されていてもよい。

本発明の第１の特徴において、前記増幅・拡散処理部が、転送した前記比較用情報の数に応じて前記重み付け処理を行うように構成されていてもよい。

本発明の第１の特徴において、前記比較部が、同種の比較用情報を所定閾値以上受信した場合に、該比較用情報と前記データとを比較するように構成されていてもよい。

本発明の第１の特徴において、前記相殺処理部が、受信した前記比較用情報と受信した前記データとが一致した場合に、該比較用情報を増加させるように構成されていてもよい。

本発明の第１の特徴において、前記比較用情報が、受信した前記データの一部によって構成されていてもよい。

本発明の第１の特徴において、前記比較用情報が、受信した前記データに含まれる特定単語及び該特定単語の出現順序を含むように構成されていてもよい。

本発明の第１の特徴において、生成されてから所定期間経過した比較用情報を削除するように構成されている寿命管理部を更に具備してもよい。

本発明の第１の特徴において、前記比較部が、前記比較に用いる比較用情報を、生成された場所に応じて選択するように構成されていてもよい。

本発明の第２の特徴は、データ通信ネットワークを介してデータを通信するデータ通信方法であって、受信したデータから抽出対象を抽出する工程と、抽出した前記抽出対象を含む比較用情報を生成して送信する工程と、受信した比較用情報と受信したデータとを比較する工程と、受信した前記比較用情報と受信した前記データとが一致した場合に、該データを削除する工程とを有することを要旨とする。

本発明の第２の特徴において、受信した前記比較用情報同士を比較する工程と、受信した前記比較用情報同士が一致した場合、該比較用情報の数を増加させて転送する工程とを更に有してもよい。

本発明の第２の特徴において、各転送先に対して転送する前記比較用情報の数について所定の重み付け処理を行う工程を更に有してもよい。

以上説明したように、本発明によれば、従来の迷惑通信に対する処理における問題点を解決することができるデータ通信システム及びデータ通信方法を提供することができる。

（本発明の第１の実施形態に係るデータ通信システムの構成）
図１及び図２を参照して、本発明の第１の実施形態に係るデータ通信システムの構成について説明する。

図１に示すように、本実施形態に係るデータ通信システムにおいて、複数の転送装置Ｄ_１乃至Ｄ_３、Ｒ_１乃至Ｒ_３、Ｓ_１乃至Ｓ_３と、複数のデータ通信装置Ａ_１乃至Ａ_３、Ｖ_１乃至Ｖ_３とが、データ通信ネットワーク１を介して接続されている。

ここで、本実施形態に係るデータ通信装置は、無線によって転送装置に接続可能な移動通信端末であってもよいし、有線によって転送装置に接続可能な通信端末であってもよい。

以下、図２を参照して、本実施形態に係る転送装置の代表的な例について説明する。図２に示すように、本実施形態に係る転送装置は、データ受信部１１と、情報抽出部１２と、比較用情報生成部１３と、比較用情報送信部１４と、比較用情報受信部２１と、バッファ２２と、比較部２３と、増幅・拡散処理部２４と、データ送信部２５と、寿命管理部２６と、相殺処理部２７とを具備している。

データ受信部１１は、データ通信装置からデータ通信ネットワーク１を介して送信されたデータを受信するように構成されている。

情報抽出部１２は、データ受信部１１によって受信されたデータから抽出対象を抽出するように構成されている。かかる抽出対象の抽出動作の詳細については後述する。

比較用情報生成部１３は、抽出した抽出対象を含む比較用情報を生成するように構成されている。ここで、比較用情報は、データ受信部１１によって受信されたデータの一部によって構成されていてもよいし、データ受信部１１によって受信されたデータに含まれる特定単語及び該特定単語の出現順序を含むように構成されていてもよい。かかる比較用情報の生成動作の詳細については後述する。

比較用情報送信部１４は、比較用情報生成部１３によって生成されて比較用情報を、他の転送装置に対して送信するように構成されている。かかる比較用情報の送信動作の詳細については後述する。

比較用情報受信部２１は、データ通信ネットワーク１を介して他の転送装置から受信した比較用情報を受信するように構成されている。

バッファ２２は、比較用情報受信部２１によって受信された比較用情報を一時的に蓄積するように構成されている。

比較部２３は、比較用情報受信部２１によって受信された比較用情報（すなわち、バッファ２２に蓄積されている比較用情報）と、データ受信部１１によって受信されたデータとを比較するように構成されている。

また、比較部２３は、比較用情報受信部２１によって受信された比較用情報同士（すなわち、バッファ２２に蓄積されている比較用情報同士）を比較するように構成されている。

また、比較部２３は、同種の比較用情報を所定閾値以上受信した場合に、当該比較用情報と、データ受信部１１によって受信されたデータとを比較するように構成されていてもよい。

また、比較部２３は、上述の比較に用いる比較用情報を、生成された場所に応じて選択するように構成されている。例えば、比較部２３は、当該転送装置との距離が近い転送装置で生成された比較用情報を優先的に用いて当該比較を実施するように構成されている。

増幅・拡散処理部２４は、比較部２３による上述の比較の結果、上述の比較用情報同士が一致すると判断された場合、当該比較用情報の数を増加させて転送するように構成されている。

ここで、増幅・拡散処理部２４は、比較情報同士が一定部分以上で一致する場合に、当該比較情報同士が一致すると判断するように構成されていてもよい、比較情報同士が全ての部分で一致する場合に、当該比較情報同士が一致すると判断するように構成されていてもよい。なお、前者の場合、後述の比較用情報を分割する場合と同様の効果を得る可能性が高い。

また、増幅・拡散処理部２４は、各転送先に対して転送する比較用情報の数について所定の重み付け処理を行うように構成されていてもよい。

例えば、増幅・拡散処理部２４は、隣接機能のトポロジーに基づいて、上述の重み付け処理を行うように構成されていてもよいし、比較用情報受信部２１によって受信された比較用情報の数に応じて上述の重み付け処理を行うように構成されていてもよいし、転送先に転送された比較用情報の数に応じて上述の重み付け処理を行うように構成されていてもよい。

例えば、増幅・拡散処理部２４は、比較用情報受信部２１によって受信された比較用情報の数に比例又は反比例するように上述の重み付け処理を行うように構成されていてもよいし、転送先に転送された比較用情報の数に比例又は反比例するように上述の重み付け処理を行うように構成されていてもよい。

また、増幅・拡散処理部２４は、比較用情報受信部２１によって受信された比較用情報の数又は転送先に転送された比較用情報の数の二乗や対数等に基づいて上述の重み付け処理を行うように構成されていてもよい。

なお、かかる増幅・拡散処理の詳細については後述する。

データ送信部２５は、データ受信部１１によって受信されたデータのうち、寿命管理部２６や相殺処理部２７によって削除されなかったデータについて、所望の転送先に転送するように構成されている。

寿命管理部２６は、生成されてから所定期間経過した（すなわち、タイムアウトとなった）比較用情報を削除するように構成されている。

相殺処理部２７は、比較部２３による上述の比較の結果、比較用情報受信部２１によって受信された比較用情報とデータ受信部１１によって受信されたデータとが一致した場合に、当該データを削除するように構成されている。

また、相殺処理部２７は、比較部２３による上述の比較の結果、比較用情報受信部２１によって受信された比較用情報とデータ受信部１１によって受信されたデータとが一致した場合に、当該比較用情報を増加させるように構成されていてもよい。

なお、かかる相殺処理の詳細については後述する。

（本発明の第１の実施形態に係るデータ通信システムの動作）
図３乃至図７を参照して、本実施形態に係るデータ通信システムの動作について説明する。図３に示すように、本実施形態では、データ通信装置Ａ_１によって送信されたデータが、転送装置Ｒ_１及びＳ_２を介してデータ通信装置Ｖ_１に転送されており、データ通信装置Ａ_２によって送信されたデータが、転送装置Ｒ_２及びＳ_３を介してデータ通信装置Ｖ_２に転送されており、データ通信装置Ａ_３によって送信されたデータが、転送装置Ｒ_３及びＳ_１を介してデータ通信装置Ｖ_３に転送されている。

以下、転送装置Ｓ_１における情報抽出処理及び比較用情報生成・送信処理と、転送装置Ｄ_１における増幅・拡散処理と、転送装置Ｒ_２における相殺処理とについて、順に説明する。

第１に、図３乃至図５を参照して、転送装置Ｓ_１における情報抽出処理及び比較用情報生成・送信処理について説明する。

図３及び図４に示すように、ステップＳ１０１において、転送装置Ｓ_１の情報抽出部１２は、データ受信部１１によって受信されたデータ（パケット）の中から、情報抽出処理の対象である対象データを選定する。例えば、情報抽出部１２は、ランダムサンプリングによって、当該対象データを選定する。

ステップＳ１０２において、情報抽出部１２は、選定された対象データから、比較用情報を構成する抽出対象を抽出する。

第１の抽出方法では、情報抽出部１２は、対象データの中から、ＵＲＬやメールアドレスや電話番号等の単一キーワードを抽出する。

かかる第１の抽出方法は、商品を販売するサイトやオンラインサービスのサイトを宣伝する迷惑メールの場合の対策として主に用いられることが想定されている。

かかる迷惑メールの特徴は、無差別に不特定多数のユーザに対して同等の内容を通知することである。したがって、かかる迷惑メールでは、バラバラに送信されていても、それぞれの迷惑メールに含まれる文面が互いに類似していることが多い。また、かかる迷惑メールは、上述のサイト等を宣伝するためのものであるため、ＵＲＬやメールアドレスや電話番号等といった連絡先を偽ることができない。

したがって、第１の抽出方法では、情報抽出部１２が、かかる迷惑メールの性質を考慮して、上述の連絡先や文面を、迷惑通信の特徴を示す比較用情報に含まれる抽出対象として抽出することになる。

第２の抽出方法では、情報抽出部１２は、図５（ａ）に示すように、抽出対象としての「特定単語（特定の意味を有する単語だけでなく、漢字やひらがな等の文字であってもよいし、単語や文字の組み合わせあってもでもよい）」を予め規定しておき、当該特定単語を当該特定単語の出現順序とともに抽出する。

なお、情報抽出部１２は、適宜、抽出対象としての特定単語を更新するように構成されている。

かかる第２の抽出方法は、ハッシュバスターのように従来型のフィルタを攪乱するためのカモフラージュがメール本文に施されている場合の対策として主に用いられることが想定されている。

かかる第２の抽出方法によって抽出された抽出対象によって生成された比較用情報によれば、上述のカモフラージュ部分に幻惑されることなく、宣伝用の文面自体を比較できる可能性が高まるため、比較用情報としてより効率良く利用可能となる。

ここで、「可能性が高まる」とした理由は、比較用情報は、単体では意味がなく、拡散・増幅処理の過程で、その数が増加した場合に初めて、後続通信との相互作用の確率が高くなり、被疑通信の制御に役立つからである。

なお、第２の抽出方法において、抽出対象をより細かく分割することによって、上述のカモフラージュ部分により幻惑されにくくなる可能性が高まる。

ステップＳ１０３において、比較用情報生成部１３は、情報抽出部１２によって抽出された抽出対象に基づいて比較用情報を生成する。

例えば、比較用情報生成部１３は、図５（ａ）に示すように、対象データから抽出した抽出対象Ａ乃至Ｄによって構成される比較用情報を生成する。かかる比較用情報は、受信したデータ（対象データ）に含まれる特定単語及び当該特定単語の出現順序を含むように構成されている。また、かかる比較用情報は、受信したデータ（対象データ）の一部によって構成されている。

また、比較用情報生成部１３は、図５（ｂ）に示すように、対象データから抽出した抽出対象Ａ乃至Ｄをいくつかに分割して比較用情報を生成してもよい。図５（ｂ）の例では、比較用情報生成部１３は、対象データから抽出した抽出対象Ａ及びＢによって構成される比較用情報を生成するとともに、対象データから抽出した抽出対象Ｃ及びＤによって構成される比較用情報を生成する。

ステップＳ１０４において、比較用情報送信部１４は、比較用情報生成部１３によって生成された比較用情報を、他の転送装置に転送する。なお、比較用情報送信部１４は、かかる比較用情報を、隣接する全ての転送装置に転送するように構成されていてもよいし、所定条件を満たす全ての転送装置に転送するように構成されていてもよい。

なお、符号化処理が施されているため可読形式で表現されていない状態であっても、抽出対象における特定単語や特定コードを利用することができるため、上述の情報抽出処理及び比較用情報生成・送信処理は、復号処理を逐次実施することなく行われ得る。

また、本実施形態に係るデータ通信システムをワーム対策として用いる場合には、上述の情報抽出処理及び比較用情報生成・送信処理を、バイナリデータに対して適用することとなる。

第２に、図３及び図６を参照して、転送装置Ｄ_１における増幅・拡散処理について説明する。

図３及び図６に示すように、ステップＳ２０１において、転送装置Ｄ_１の比較用情報受信部２１が、データ通信ネットワークを介して受信した比較用情報を、一定時間、バッファ２２に蓄積する。なお、かかる比較用情報は、上述の比較用情報生成・送信処理によってデータ通信ネットワーク１内に送信されたものであってもよいし、データ通信ネットワーク１外部から任意に投入されたものであってもよい。

ステップＳ２０２において、転送装置Ｄ_１の比較部２３は、一定時間経過後、バッファ２２内に蓄積されている比較用情報同士を比較する。当該比較用情報同士が一致する場合、本動作はステップＳ２０３に進み、当該比較用情報同士が一致しない場合、本動作はステップＳ２０４に進む。

ステップＳ２０３において、転送装置Ｄ_１の増幅・拡散部２４は、当該比較用情報の数をβ倍に増加させる。

ステップＳ２０４において、転送装置Ｄ_１の寿命管理部２６は、寿命が過ぎた（所定期間が経過した、又は、タイムアウトとなった）と判断された比較用情報をバッファ２２から削除する。なお、寿命管理部２６は、所定関数（例えば、指数分布等）に基づいて、比較用情報の寿命が過ぎたか否かについて判断してもよい。

このように、比較用情報に寿命を持たせていることから、比較用情報がデータ通信ネットワーク１内で増加し過ぎて溢れてしまうということもない。

ステップＳ２０５において、増幅・拡散部２４は、β倍に増加された比較用情報を他の転送装置に転送する。

ここで、増幅・拡散部２４は、当該比較用情報を、隣接する全ての転送装置に均等に転送するように構成されていてもよいし、隣接する全ての転送装置に対して転送する比較用情報の数について所定の重み付け処理を行うように構成されていてもよい。

例えば、増幅・拡散部２４は、隣接機能（隣接する転送装置）のトポロジーに基づいて、上述の重み付け処理を行うように構成されていてもよいし、今までに受信した比較用情報の数に比例又は反比例するように上述の重み付け処理を行うように構成されていてもよいし、今までに転送した比較用情報の数に比例又は反比例するように上述の重み付け処理を行うように構成されていてもよい。

第３に、図３及び図７を参照して、転送装置Ｒ_２における相殺処理について説明する。

図３及び図７に示すように、ステップＳ３０１において、転送装置Ｒ_２の比較用情報受信部２１が、データ通信ネットワークを介して受信した比較用情報を、バッファ２２に蓄積する。

ステップＳ３０２において、転送装置Ｒ_２の比較部２３は、バッファ２２内に蓄積されている比較用情報と、データ受信部１１によって受信されたデータとを比較する。

なお、比較部２３は、無条件に当該比較を実施するように構成されていてもよいし、所定条件が満たされた場合（例えば、バッファ２２内の当該比較用情報の数が所定閾値以上になった場合）に当該比較を実施するように構成されていてもよい。

また、比較部２３は、転送装置Ｒ_２との距離が近い転送装置で生成された比較用情報を優先的に用いて当該比較を実施するように構成されていてもよい。

当該比較用情報と当該データが一致する場合、本動作はステップＳ３０３に進み、当該比較用情報と当該データが一致しない場合、本動作はステップＳ３０５に進む。

転送装置Ｒ_２の相殺処理部２７は、ステップＳ３０３において、当該比較用情報と一致したデータを削除し、ステップＳ３０４において、当該比較用情報の数をγ倍に増加させる。

ここで、削除されるデータが、迷惑通信に係るデータ（例えば、迷惑メールやワームやウィルスメール等）に類似するデータである。

なお、相殺処理部２７は、ステップＳ３０３において、当該比較用情報と一致したデータを削除する代わりに、当該データを蓄積する、又は、当該データの伝送速度を低下させるように構成されていてもよい。

ここで、当該データを削除するのか、当該データの転送速度を低下させるのか、当該データを蓄積するのかについての判断基準として、当該データの発アドレスやプロトコルタイプ等を利用してもよい。

ステップＳ３０５において、相殺処理部２７は、γ倍に増加された比較用情報を他の転送装置に転送する。

ここで、相殺処理部２７は、当該比較用情報を、隣接する全ての転送装置に均等に転送するように構成されていてもよいし、隣接する全ての転送装置に対して転送する比較用情報の数について所定の重み付け処理を行うように構成されていてもよい。

例えば、相殺処理部２７は、隣接機能（隣接する転送装置）のトポロジーに基づいて、上述の重み付け処理を行うように構成されていてもよいし、今までに受信した比較用情報の数に比例又は反比例するように上述の重み付け処理を行うように構成されていてもよいし、今までに転送した比較用情報の数に比例又は反比例するように上述の重み付け処理を行うように構成されていてもよい。

なお、ＴＣＰのようなハンドシェークを行う形式の通信では、一部分のパケットが失われると、送信側のデータ通信装置がタイムアウトにより再送動作を実施する。

かかる相殺処理によれば、転送中に一部分のパケットが失われた状態と等価な状況を引き起こすこととなり、大量の類似した被疑通信（各データ通信装置から生成されるデータ量が少なく分散しているが、合計データ量が多量となるものも含まれる）を発生するデータ通信装置に対して、転送スピードを極端に低下させることが可能となる。

実際には、比較用情報の生成が間に合うように、事前に、βやγといったパラメータを調整することや、拡散処理において比較用情報の配布条件についての重み付け処理を行うことが可能であり、送信側のデータ通信装置において、ＴＣＰ送信用リソースが限度一杯になるまで再送状態のままで、個々のＴＣＰセッションが保留されることとなる。

この結果、一度、比較用情報と個々の通信との相互作用が始まる（すなわち、一部分のパケットが削除される）と、殆ど後続の通信は疎通しなくなることになる。

一方、特定の通信において、比較用情報がほとんど生成されない場合、当該通信によって生成された比較用情報によりフィルタリング制御が行われることはほとんどあり得ないため、全くと言って良いほど影響を受けないという利点もある。

なお、かかる場合であっても、ランダムサンプリングレートに比較用情報の平均寿命を乗じた程度の量の比較用情報が存在することになるが、拡散処理時に類似しないデータと比較を行っても相殺処理を行うことはないため、比較用情報が増加しても何ら影響は受けない。

また、上述の増幅・拡散処理によって、データ通信ネットワーク１に加えられるデータが互いに類似している場合（被疑通信となる場合）には、比較用情報生成・送信処理によって生成された比較用情報のデータ通信ネットワーク１内において存在する範囲及び数量が増加する。

したがって、被疑通信が多数発生していると推測される箇所、すなわち、比較用情報の濃度（数量）が増加している箇所では、相殺処理が助長されるため、自律的にフィルタリング制御を行うべき最適な箇所を発見することも期待できる。

また、上述の実施形態のように、相殺処理を行う代わりに、比較用情報が多数存在する場合、比較用情報の数に比例して何らかのマーキングを後続通信（後続データ）に施したり、補足情報を付与したりすることも考えられる。

かかる場合には、各転送装置は、マーキングや補足情報に従って、上述の相殺処理を行ってもよいし、着信側のデータ通信装置に当該データを到達させるものの、当該着信側のデータ通信装置に対して当該データの被疑度合いを一緒に把握させるために閲覧すべきデータ量を減少させてもよい。

また、着信側のデータ通信装置やデータ通信ネットワーク事業者が、比較用情報を注入してもよい。

かかる場合、着信側のデータ通信装置やデータ通信ネットワーク事業者にとって既知である迷惑通信の特徴を示す比較用情報を挿入することによって迷惑通信を事前に予防することができ、また、増えすぎた比較用情報を削除することができる。

また、かかる場合、注入する比較用情報に対して、一致する他の比較用情報を削除する必要があることをマーキングする。

さらに、本実施形態によれば、互いに類似している情報を含むデータが多数発生している場合、通信量等を制御することが可能である。

例えば、抽出対象とする情報を、メール本文以外の添付書類まで広げれば、ウィルスメールに対するフィルタリング制御の効果がより期待でき、ヘッダ情報に限れば、ＤＤｏＳや輻輳の原因となっている通信を効果的に制御することが可能となる。

なお、上述の実施形態では、増幅・拡散処理及び相殺処理等によって比較用情報の数を増加・減少しているが、本発明は、かかる場合に限定されるものではなく、比較用情報内に「比較用情報の数」を示すフィールドを追加し、増幅・拡散処理及び相殺処理等によって当該フィールド内の「比較用情報の数」を増加・減少する場合にも適用可能である。かかる場合、増幅・拡散処理及び相殺処理等によって、比較用情報の数を物理的に増減させることなく、当該比較用情報の数を論理的に増減させることができる。

（本発明の第１の実施形態に係るデータ通信システムの作用・効果）
本実施形態に係るデータ通信システムによれば、相殺処理部２７が、データ通信ネットワーク１から受信した比較用情報と一致したデータを、迷惑通信にかかるデータと判断して自律的に削除することによって、初出の被疑通信に対しても、事前知識や情報無しでリアルタイムに処理することができる。

また、本実施形態に係るデータ通信システムによれば、増幅・拡散処理部２４が、所定条件を満たす場合に、比較用情報の数を増加させて転送することによって、データ通信ネットワーク１全体に迷惑通信の特徴を示す比較用情報が行き渡るため、広い範囲から分散して少量のデータが発生する形式の被疑通信に対して処理することができる。

また、本実施形態に係るデータ通信システムによれば、相殺処理部２７が、迷惑通信に係るデータを自律的に削除していくため、迷惑通信に対するフィルタリング制御を行う特定の地点を特に定める必要がない。

また、本実施形態に係るデータ通信システムによれば、データ通信ネットワーク１全体で、相殺処理部２７による迷惑通信に係るデータの削除及び増幅・拡散処理部２４による迷惑通信の特徴を示す比較用情報の増加・転送が行われるため、特定の通信に対する観測・制御に起因する迷惑通信の判定精度の低下を防ぐことができる。

本発明の第１の実施形態に係る通信システムの全体構成図である。 本発明の第１の実施形態に係る通信システムの転送装置の機能ブロック図である。 本発明の第１の実施形態に係る通信システムにおける全体動作を説明するための図である。 本発明の第１の実施形態に係る通信システムにおける比較用情報生成・転送動作を示すフローチャートである。 本発明の第１の実施形態に係る通信システムにおける比較用情報生成・転送動作を説明するための図である。 本発明の第１の実施形態に係る通信システムにおける増幅処理及び拡散処理の動作を示すフローチャートである。 本発明の第１の実施形態に係る通信システムにおける相殺処理の動作を示すフローチャートである。

符号の説明

１１…データ受信部
１２…情報抽出部
１３…比較用情報生成部
１４…比較用情報送信部
２１…比較用情報受信部
２２…バッファ
２３…比較部
２４…増幅・拡散処理部
２５…データ送信部
２６…寿命管理部
２７…相殺処理部

Claims (15)

1. データ通信ネットワークを介してデータを通信するデータ通信システムであって、
   受信したデータから抽出対象を抽出するように構成されている情報抽出部と、
   抽出した前記抽出対象を含む比較用情報を生成して送信するように構成されている比較用情報生成・送信部と、
   受信した比較用情報と受信したデータとを比較するように構成されている比較部と、
   受信した前記比較用情報と受信した前記データとが一致した場合に、該データを削除するように構成されている相殺処理部とを具備することを特徴とするデータ通信システム。
2. 前記比較部は、更に、受信した前記比較用情報同士を比較するように構成されており、
   受信した前記比較用情報同士が一致した場合、該比較用情報の数を増加させて転送するように構成されている増幅・拡散処理部を更に具備することを特徴とする請求項１に記載のデータ通信システム。
3. 前記増幅・拡散処理部は、各転送先に対して転送する前記比較用情報の数について所定の重み付け処理を行うように構成されていることを特徴とする請求項２に記載のデータ通信システム。
4. 前記増幅・拡散処理部は、隣接機能のトポロジーに基づいて、前記重み付け処理を行うように構成されていることを特徴とする請求項３に記載のデータ通信システム。
5. 前記増幅・拡散処理部は、受信した前記比較用情報の数に応じて前記重み付け処理を行うように構成されていることを特徴とする請求項３に記載のデータ通信システム。
6. 前記増幅・拡散処理部は、転送した前記比較用情報の数に応じて前記重み付け処理を行うように構成されていることを特徴とする請求項３に記載のデータ通信システム。
7. 前記比較部は、同種の比較用情報を所定閾値以上受信した場合に、該比較用情報と前記データとを比較するように構成されていることを特徴とする請求項１に記載のデータ通信システム。
8. 前記相殺処理部は、受信した前記比較用情報と受信した前記データとが一致した場合に、該比較用情報を増加させるように構成されていることを特徴とする請求項１に記載のデータ通信システム。
9. 前記比較用情報は、受信した前記データの一部によって構成されていることを特徴とする請求項１に記載のデータ通信システム。
10. 前記比較用情報は、受信した前記データに含まれる特定単語及び該特定単語の出現順序を含むように構成されていることを特徴とする請求項１に記載のデータ通信システム。
11. 生成されてから所定期間経過した比較用情報を削除するように構成されている寿命管理部を更に具備することを特徴とする請求項１に記載のデータ通信システム。
12. 前記比較部は、前記比較に用いる比較用情報を、生成された場所に応じて選択するように構成されていることを特徴とする請求項１に記載のデータ通信システム。
13. データ通信ネットワークを介してデータを通信するデータ通信方法であって、
    受信したデータから抽出対象を抽出する工程と、
    抽出した前記抽出対象を含む比較用情報を生成して送信する工程と、
    受信した比較用情報と受信したデータとを比較する工程と、
    受信した前記比較用情報と受信した前記データとが一致した場合に、該データを削除する工程とを有することを特徴とするデータ通信方法。
14. 受信した前記比較用情報同士を比較する工程と、
    受信した前記比較用情報同士が一致した場合、該比較用情報の数を増加させて転送する工程とを更に有することを特徴とする請求項１３に記載のデータ通信方法。
15. 各転送先に対して転送する前記比較用情報の数について所定の重み付け処理を行う工程を更に有することを特徴とする請求項１４に記載のデータ通信方法。

Images