JP2009212809A - トレースバック装置、プログラム、記録媒体、およびトレースバックシステム - Google Patents

Abstract

【課題】ネットワーク上のパケットを監視するプローブ装置の設置にかかるコストや時間を削減し、IPアドレスの追跡が失敗する可能性を低減する。
【解決手段】記憶部１０は、所定のドメイン名に対応したIPアドレスを検索して取得したIPアドレス、または当該IPアドレスに対応したドメイン名を示す第１の情報と、検索を依頼した装置のIPアドレスを示す第２の情報とを記憶する。検索部１１は、ネットワーク上の攻撃の対象となった攻撃対象装置のIPアドレスまたはドメイン名を検索のキーとして第１の情報を検索し、攻撃対象装置のIPアドレスまたはドメイン名と一致するIPアドレスまたはドメイン名を示す第１の情報に対応した第２の情報を取得する。比較部１２は、検索部１１が取得した、複数の攻撃対象装置に対応する複数の第２の情報を互いに比較し、共通する第２の情報を抽出する。
【選択図】図１

Description

本発明は、ネットワーク上の攻撃の発信元のIPアドレスを追跡するトレースバックを実行するトレースバック装置およびトレースバックシステムに関する。また、本発明は、トレースバック装置としてコンピュータを機能させるためのプログラム、およびそのプログラムを記録した記録媒体にも関する。

詐称されたIPアドレス（Source IP）から発信される攻撃パケットに対する脅威が高まっている。そこで、詐称されたSource IPを追跡するトレースバック技術に関する研究が進められてきた。例えば、非特許文献１，２には以下のことが記載されている。パケットの監視とハッシュ値の算出とを行う専用のプローブ装置をネットワークの各所に予め設置しておく。このプローブ装置は、ネットワークを流れるパケットを監視して、パケットの変化しない箇所を取り出し、そのハッシュ値を算出する。このハッシュ値は、プローブ装置に一定期間保存される。

下流側にあるプローブ装置からパケット通過に関する問合せを受けた場合にプローブ装置は、下流側のプローブ装置から通知されたハッシュ値と同一のハッシュ値を持つパケットの通過の有無を回答する。そして、着信側のIPアドレス（Destination IP）に届いたパケットの通過の有無を上流のプローブ装置へ順に問い合わせることにより、詐称されたIPアドレスの追跡が行われる。
A. C. Snoeren, C. Partridge, L. A. Sanchez, C. E. Jones, F. Tchakountio, S. T. Kent, and W. T. Strayer, "Hash-Based IP Traceback", Proceeding of Sigcomm 2001, August, 2001. Luis A. Sanchez, Walter C. Milliken, Alex C. Snoeren, Fabrice Tchakountio, Christine E. Jones, Stephen T. Kent, Craig Partrige, and W. Timothy Strayer, "Hardware Support for a Hash-Based IP Traceback", Proceedings of the 2nd DARPA Information Survivability Conference and Exposition (DISCEX II), pp. 146-152, Anaheim, CA, June 2001.

しかし、非特許文献１，２に記載されたトレースバック技術では、多数のプローブ装置をネットワークに設置するため、プローブ装置の設置にコストや時間がかかるという問題があった。また、ネットワークでは多量のパケットが送受信されるので、プローブ装置が各パケットのハッシュ値を長期間管理できず、時間の経過と共にハッシュ値が消去されてしまい、追跡が失敗するという問題があった。

本発明は、上述した課題に鑑みてなされたものであって、ネットワーク上のパケットを監視するプローブ装置の設置にかかるコストや時間を削減し、IPアドレスの追跡が失敗する可能性を低減することができるトレースバック装置、プログラム、記録媒体、およびトレースバックシステムを提供することを目的とする。

攻撃元の装置は、攻撃を行う前に攻撃対象の装置のドメイン名に対応したIPアドレスの検索（名前解決）をDNSサーバ等に依頼する。したがって、この検索結果に関する情報を参照し、攻撃対象の装置のドメイン名の名前解決を依頼した装置のIPアドレスを探すことによって、攻撃元の装置のIPアドレスを追跡することができる。

本発明者は、上記の技術思想に基づく発明を考案し、特許出願を行った（特願２００７−２８７６５３）。しかし、上記の特許出願における発明では、攻撃対象の装置に対する外部からのアクセスが多い場合（例えば、攻撃対象の装置が人気サイトのサーバである場合）には、正規の名前解決を依頼した装置と、攻撃を前提に悪意の名前解決を依頼した装置とを区別できない場合がある。本発明は、これらの事項に鑑みてなされたものであり、その具体的な内容は以下の通りである。

本発明は、所定のドメイン名に対応したIPアドレスを検索して取得したIPアドレス、または当該IPアドレスに対応したドメイン名を示す第１の情報と、検索を依頼した装置のIPアドレスを示す第２の情報とを記憶する記憶手段と、ネットワーク上の攻撃の対象となった攻撃対象装置のIPアドレスまたはドメイン名を検索のキーとして前記第１の情報を検索し、前記攻撃対象装置のIPアドレスまたはドメイン名と一致するIPアドレスまたはドメイン名を示す前記第１の情報に対応した前記第２の情報を取得する検索手段と、前記検索手段が取得した、複数の前記攻撃対象装置に対応する複数の前記第２の情報を互いに比較し、共通する前記第２の情報を抽出する比較手段とを備えたことを特徴とするトレースバック装置である。

上記のトレースバック装置を用いることによって、ネットワーク上の各所にプローブ装置を設置する必要がなくなるので、プローブ装置の設置にかかるコストや時間を削減することができる。また、第１の情報および第２の情報の情報量は、ネットワークで送受信される全パケットの情報量よりもはるかに少量であるため、第１の情報および第２の情報を記憶可能な期間が長くなり、時間的な制約によってIPアドレスの追跡が失敗する可能性を低減することができる。

また、攻撃元の装置の多くはコンピュータウィルスに感染しており、同時に複数の攻撃対象に攻撃を行う。そこで、複数の攻撃対象装置に関する検索により取得された第２の情報を互いに比較し、共通する第２の情報を抽出することによって、複数の攻撃対象装置に攻撃を行うために名前解決を依頼した攻撃元の装置のIPアドレスを特定することができる。よって、正規の名前解決を依頼した装置と、攻撃を前提に悪意の名前解決を依頼した装置とを区別することが可能となり、攻撃元の装置のIPアドレスの追跡精度を高めることができる。

また、本発明は、所定のドメイン名に対応したIPアドレスを検索して取得したIPアドレス、または当該IPアドレスに対応したドメイン名を示す第１の情報と、検索を依頼した装置のIPアドレスを示す第２の情報とを記憶する記憶手段と、前記第１の情報が示すIPアドレスまたはドメイン名のハッシュ値を算出する算出手段と、ネットワーク上の攻撃の対象となった攻撃対象装置のIPアドレスまたはドメイン名のハッシュ値を受信する受信手段と、前記受信手段が受信したハッシュ値を検索のキーとして、前記算出手段が算出したハッシュ値を検索し、前記攻撃対象装置のIPアドレスまたはドメイン名のハッシュ値と一致したハッシュ値を算出する元となったIPアドレスまたはドメイン名を示す前記第１の情報に対応した前記第２の情報を取得する検索手段と、前記検索手段が取得した、複数の前記攻撃対象装置に対応する複数の前記第２の情報を互いに比較し、共通する前記第２の情報を抽出する比較手段とを備えたことを特徴とするトレースバック装置である。

上記の通信装置は、以下の事項に対応したものである。攻撃元の装置のIPアドレスの追跡を依頼するため、IPアドレスまたはドメイン名が装置間で送受信されると、個人のプライバシーに関わる情報が送受信されることになり好ましくない。したがって、IPアドレスまたはドメイン名のハッシュ値を用いることによって、個人のプライバシーに関わる情報の漏洩を防止することができる。

また、本発明は、上記のトレースバック装置としてコンピュータを機能させるためのプログラムである。

また、本発明は、上記のプログラムを記録したコンピュータ読み取り可能な記録媒体である。

また、本発明は、第１のトレースバック装置および第２のトレースバック装置を備えたトレースバックシステムであって、前記第１のトレースバック装置は、所定のドメイン名に対応したIPアドレスを検索して取得したIPアドレス、または当該IPアドレスに対応したドメイン名を示す第１の情報と、検索を依頼した装置のIPアドレスを示す第２の情報とを記憶する記憶手段と、ネットワーク上の攻撃の対象となった攻撃対象装置のIPアドレスまたはドメイン名を検索のキーとして前記第１の情報を検索し、前記攻撃対象装置のIPアドレスまたはドメイン名と一致するIPアドレスまたはドメイン名を示す前記第１の情報に対応した前記第２の情報を取得する検索手段と、前記検索手段が取得した前記第２の情報を送信する送信手段とを有し、前記第２のトレースバック装置は、複数の前記第１のトレースバック装置から送信された前記第２の情報を受信する受信手段と、複数の前記第２の情報を互いに比較し、共通する前記第２の情報を抽出する比較手段とを有することを特徴とするトレースバックシステムである。

攻撃元の装置が同時に複数のDNSサーバ等に対してIPアドレスの検索を依頼する場合がある。上記のトレースバックシステムでは、第１のトレースバック装置がこのIPアドレスの検索結果から、攻撃元の装置のIPアドレスの候補となる第２の情報を抽出する。第２のトレースバック装置は、複数の第１のトレースバック装置によって抽出された第２の情報を互いに比較し、共通する第２の情報を抽出する。これによって、攻撃元の装置のIPアドレスを特定することができるので、攻撃元の装置のIPアドレスの追跡精度を高めることができる。

また、本発明は、第１のトレースバック装置および第２のトレースバック装置を備えたトレースバックシステムであって、前記第１のトレースバック装置は、所定のドメイン名に対応したIPアドレスを検索して取得したIPアドレス、または当該IPアドレスに対応したドメイン名を示す第１の情報と、検索を依頼した装置のIPアドレスを示す第２の情報と、検索を依頼した時刻を示す第１の時刻情報とを記憶する記憶手段と、前記第１の情報が示すIPアドレスまたはドメイン名のハッシュ値を算出する算出手段と、ネットワーク上の攻撃の対象となった攻撃対象装置のIPアドレスまたはドメイン名のハッシュ値を受信する第１の受信手段と、前記受信手段が受信したハッシュ値を検索のキーとして、前記算出手段が算出したハッシュ値を検索し、前記攻撃対象装置のIPアドレスまたはドメイン名のハッシュ値と一致したハッシュ値を算出する元となったIPアドレスまたはドメイン名を示す前記第１の情報に対応した前記第２の情報を取得する検索手段と、前記検索手段が取得した前記第２の情報を送信する送信手段とを有し、前記第２のトレースバック装置は、複数の前記第１のトレースバック装置から送信された前記第２の情報を受信する第２の受信手段と、複数の前記第２の情報を互いに比較し、共通する前記第２の情報を抽出する比較手段とを有することを特徴とするトレースバックシステムである。

本発明によれば、プローブ装置の設置にかかるコストや時間を削減し、IPアドレスの追跡が失敗する可能性を低減することができるという効果が得られる。また、本発明によれば、攻撃元の装置のIPアドレスの追跡精度を高めることができるという効果が得られる。

以下、図面を参照し、本発明の実施形態を説明する。本実施形態は、ドメイン名に対応したIPアドレスを検索する名前解決を行うDNSサーバのログに注目して、詐称されたSource IPを追跡する方法を実現したものである。攻撃元の通信装置は、攻撃パケットを送信する前に攻撃先のドメイン名（ホスト名）の名前解決をDNSサーバに依頼する。したがって、DNSサーバが保持するログを参照し、攻撃先の通信装置のドメイン名の名前解決を依頼した通信装置のIPアドレス（Source IP）の記録を探すことによって、Source IPを追跡することができる。

本実施形態は以下の事項を前提としているものとする。すなわち、Source IPの追跡対象となる攻撃は、DNSサーバを利用してドメイン名からIPアドレスを取得する過程を含むものであるものとする。したがって、IPアドレスを直接指定してパケットを送信する攻撃は対象外とする。また、攻撃元の通信装置がDNSサーバに名前解決を依頼する場合、攻撃元の通信装置自身がDNSサーバからの回答を受け取る必要があるため、名前解決の依頼時点では攻撃元の通信装置のIPアドレスは詐称されていないものとする。

次に、Source IPを詐称して攻撃を行う前に攻撃元の通信装置がDNSサーバに名前解決を依頼する方法を説明する。図２に示すように、攻撃元の通信装置１（Source）と、攻撃対象の通信装置２（Destination）と、DNSサーバ３ａ〜３ｅとがネットワーク上に存在しているものとする。通信装置１のドメイン名は「www.YYY.co.kr」であり、IPアドレスは「yyy.yyy.yyy.yyy.」である。ただし、IPアドレス中の「y」は０〜９の任意の数字である。また、通信装置２のドメイン名は「www.XXX.co.jp」であり、IPアドレスは「xxx.xxx.xxx.xxx」である。ただし、IPアドレス中の「x」は０〜９の任意の数字である。

DNSサーバ３ａは通信装置１と同一のドメイン「YYY.co.kr」に属している。また、DNSサーバ３ｂ〜３ｅは、ドメイン毎の階層構造を示すドメイン・ツリーを構成しており、DNSサーバ３ｂはルートドメインに属し、DNSサーバ３ｃはドメイン「.jp」に属し、DNSサーバ３ｄはドメイン「.co.jp」に属し、DNSサーバ３ｅはドメイン「XXX.co.jp」に属している。

まず、通信装置１はドメイン名「www.XXX.co.jp」のIPアドレスをDNSサーバ３ａに問い合わせる（ステップＳ１００）。この問合せの意味は、ドメイン名「www.XXX.co.jp」のIPアドレスの検索の依頼と同等である。また、この問合せは、一般的に再帰検索（リカーシブ：Recursive）と呼ばれるタイプの問合せである。再帰検索の依頼を受けたDNSサーバ３ａは、名前解決が完了するまで以下のようにドメイン・ツリーをたどって検索を行い、最終結果を通信装置１に返信する。このように、再帰検索の依頼を受けて名前解決が完了するまで検索を行うDNSサーバは一般的にリゾルバと呼ばれる。

再帰検索の依頼を受けたDNSサーバ３ａは、ドメイン・ツリーの最上位のルートドメインに属するDNSサーバ３ｂ（ルート・ネーム・サーバ）に対して、ドメイン「.jp」の情報を管理するDNSサーバのIPアドレスを問い合わせる（ステップＳ１１０）。この問合せは、一般的に反復検索（イテレイティブ：Iterative）と呼ばれるタイプの問合せである。反復検索の依頼を受けたDNSサーバ３ｂは、自身が管理しているドメインの情報のみを返答し、他のDNSサーバに対する問合せは行わない。DNSサーバ３ｂは、自身が管理しているドメインの情報の中から、ドメイン「.jp」の情報を管理するDNSサーバのIPアドレスを検索し、DNSサーバ３ｃのIPアドレスをDNSサーバ３ａに返信する（ステップＳ１２０）。

続いて、DNSサーバ３ａは、DNSサーバ３ｃに対して、ドメイン「.co.jp」の情報を管理するDNSサーバのIPアドレスを問い合わせる（ステップＳ１３０）。この問合せも反復検索である。反復検索の依頼を受けたDNSサーバ３ｃは、自身が管理しているドメインの情報の中から、ドメイン「.co.jp」の情報を管理するDNSサーバのIPアドレスを検索し、DNSサーバ３ｄのIPアドレスをDNSサーバ３ａに返信する（ステップＳ１４０）。

続いて、DNSサーバ３ａは、DNSサーバ３ｄに対して、ドメイン「XXX.co.jp」の情報を管理するDNSサーバのIPアドレスを問い合わせる（ステップＳ１５０）。この問合せも反復検索である。反復検索の依頼を受けたDNSサーバ３ｄは、自身が管理しているドメインの情報の中から、ドメイン「XXX.co.jp」の情報を管理するDNSサーバのIPアドレスを検索し、DNSサーバ３ｅのIPアドレスをDNSサーバ３ａに返信する（ステップＳ１６０）。

続いて、DNSサーバ３ａは、DNSサーバ３ｅに対して、ドメイン名「www.XXX.co.jp」に対応するIPアドレスを問い合わせる（ステップＳ１７０）。この問合せも反復検索である。反復検索の依頼を受けたDNSサーバ３ｅは、自身が管理しているIPアドレスの中から、ドメイン名「www.XXX.co.jp」に対応するIPアドレスを検索し、通信装置２のIPアドレス「xxx.xxx.xxx.xxx」をDNSサーバ３ａに返信する（ステップＳ１８０）。DNSサーバ３ａは、名前解決の結果として、通信装置２のIPアドレス「xxx.xxx.xxx.xxx」を通信装置１に返信する（ステップＳ１９０）。

各DNSサーバは、以上の処理の結果をDNSログとして保存する。図３および図４はDNSログの一例を示している。図３は、図２のDNSサーバ３ａが記憶するDNSログを示している。このDNSログには、DNSサーバ３ａが再帰検索を行ったときの検索結果が含まれている。DNSサーバ３ａは他のDNSサーバから反復検索の依頼を受けることもあり、その場合には図４に示す反復検索のDNSログを記憶する。

図３に示すDNSログには、時刻３００、リゾルバIP３１０、Source IP３２０、Destination Domain３３０、Destination IP３４０が含まれている。時刻３００は、通信装置から再帰検索の依頼を受けた時刻を示している。リゾルバIP３１０は、再帰検索の依頼を受けてリゾルバとして処理を行ったDNSサーバ、すなわち自身のIPアドレスを示している。Source IP３２０は、再帰検索の依頼を行った通信装置のIPアドレスを示している。Destination Domain３３０は、名前解決の対象となったドメイン名を示している。Destination IP３４０は、Destination Domain３３０に対応したIPアドレスを示している。

図２の通信装置１から依頼された再帰検索の結果はレコード３５０に記録されている。したがって、図２の通信装置２が攻撃を受けた場合、通信装置２のIPアドレスまたはドメイン名を検索のキーとしてDestination IP３４０またはDestination Domain３３０を検索し、通信装置２のIPアドレスまたはドメイン名に対応したSource IPを取得することによって、攻撃元の通信装置１のIPアドレスを追跡することができる。

図４は、図２のDNSサーバ３ｂ〜３ｅが記憶するDNSログの一例を示している。このDNSログには、DNSサーバ３ｂ〜３ｅが反復検索を行ったときの検索結果が含まれている。図４（ａ）は、DNSサーバ３ｂが記憶するDNSログを示し、図４（ｂ）は、DNSサーバ３ｃが記憶するDNSログを示し、図４（ｃ）は、DNSサーバ３ｄが記憶するDNSログを示し、図４（ｄ）は、DNSサーバ３ｅが記憶するDNSログを示している。

図４に示すDNSログには、時刻４００、リゾルバIP４１０、Destination Domain４２０、Destination IP４３０が含まれている。時刻４００は、他のDNSサーバから反復検索の依頼を受けた時刻を示している。リゾルバIP４１０は、反復検索を依頼したリゾルバとしてのDNSサーバのIPアドレスを示している。Destination Domain４２０は、名前解決の対象となったドメイン名を示している。Destination IP４３０は、Destination Domain４２０に対応したIPアドレスを示している。

図２のDNSサーバ３ａから反復検索の依頼を受け、通信装置２のIPアドレスを回答した結果は図４（ｄ）のレコード４４０に記録されている。したがって、通信装置２が攻撃を受けた場合、通信装置２のIPアドレスまたはドメイン名を検索のキーとしてDestination IP４３０またはDestination Domain４２０を検索し、通信装置２のIPアドレスまたはドメイン名に対応したリゾルバIPを取得することによって、再帰検索を行ったDNSサーバ３ａのIPアドレスを取得することができる。さらに、DNSサーバ３ａの再帰検索のDNSログを用いて、前述した検索を行うことにより、攻撃元の通信装置１のIPアドレスを追跡することができる。

次に、Source IPの追跡方法を説明する。図１は、本実施形態によるトレースバック装置の構成を示している。記憶部１０はDNSログを記憶する。このDNSログには、DNSサーバが再帰検索または反復検索により取得した通信装置のIPアドレス（Destination IP）、またはそのIPアドレスに対応したドメイン名（Destination Domain）と、再帰検索を依頼した通信装置のIPアドレス（Source IP）と、再帰検索または反復検索を受けた時刻とが含まれている。検索部１１は、上記のDNSログに基づいて、攻撃元の通信装置のIPアドレスを検索する。検索結果には、攻撃元の通信装置のIPアドレスの候補が含まれる。

比較部１２は、複数の検索結果を互いに比較し、共通するIPアドレスを抽出することによって、攻撃元の通信装置のIPアドレスを特定する。通信部１３は、攻撃元の通信装置のIPアドレスに関する検索の依頼を示す検索依頼情報を他の通信装置から受信して検索部１１へ出力し、比較部１２によって特定された攻撃元の通信装置のIPアドレスを含む検索結果情報を検索依頼情報の送信元へ送信する。検索依頼情報には、攻撃対象となった通信装置のIPアドレスまたはドメイン名と、攻撃を受けた時刻とが含まれている。

検索部１１は具体的には以下の処理を行う。すなわち、検索部１１は、攻撃対象となった通信装置のIPアドレスまたはドメイン名を検索のキーとして、DNSログ中のDestination IPまたはDestination Domainを検索し、攻撃対象となった通信装置のIPアドレスまたはドメイン名と一致するDestination IPまたはDestination Domainを抽出する。このとき、検索部１１は、検索依頼情報に含まれる時刻を基準とした所定時間内の時刻が記録されているDNSログのレコードのみを検索対象（検索範囲）に設定して検索を行う。さらに、検索部１１は、上記により抽出したDestination IPまたはDestination Domainと対応関係を有するSource IPをDNSログから抽出する。このSource IPが攻撃元の通信装置のIPアドレスの候補である。

攻撃元の通信装置とは無関係の通信装置が、攻撃対象となった通信装置のドメイン名に関する名前解決を行うことも十分考えられるので、DNSログに記録されている全てのレコードを検索対象に設定して検索を行うと、攻撃元の通信装置のIPアドレスを誤検出する可能性がある。しかし、攻撃が行われる場合には攻撃の直前に名前解決が行われるので、攻撃が行われた時刻の直前の所定時間内で行われた名前解決の結果のみを検索の対象とすることによって、このような誤検出の発生を低減することができる。

攻撃対象の通信装置に対する外部からのアクセスが多い場合（例えば、攻撃対象の通信装置が人気サイトのサーバである場合）には、攻撃が行われた時刻の直前でも、正規の名前解決と攻撃のための悪意の名前解決とが混在する可能性があるため、上記の検索では攻撃元の通信装置のIPアドレスを完全には特定できないこともある。しかし、本実施形態では、以下の比較部１２の機能によって、攻撃元の通信装置のIPアドレスを特定することが可能である。

比較部１２は具体的には以下の処理を行う。通信部１３が複数の検索依頼情報を受信した場合、検索部１１は各検索依頼情報に対応して検索を行う。比較部１２は、各検索で得られた攻撃元の通信装置のIPアドレスの候補を互いに比較し、共通するIPアドレスを抽出する。このIPアドレスが攻撃元の通信装置のIPアドレスとなる。

攻撃元の通信装置の多くはコンピュータウィルスに感染しており、同時に複数の攻撃対象に攻撃を行う。そこで、複数の攻撃に共通するIPアドレスを抽出することによって、複数の攻撃対象に攻撃を行った攻撃元の通信装置のIPアドレスを特定することができる。よって、正規の名前解決を依頼した通信装置と、攻撃を前提に悪意の名前解決を依頼した通信装置とを区別することが可能となり、攻撃元の通信装置のIPアドレスの追跡精度を高めることができる。以下、上記のトレースバック装置の動作の具体例を説明する。

＜第１の動作例＞
まず、第１の動作例を説明する。図５は、第１の動作例に係るトレースバックシステムの構成を示している。通信装置１およびDNSサーバ３ａ，３ｅについては前述した通りである。通信装置２ａ，２ｂ（Destination）は、通信装置１（Source）からの攻撃を受けた攻撃対象の通信装置である。通信装置２ａのドメイン名は「www.XXX.co.jp」であり、IPアドレスは「xxx.xxx.xxx.xxx」である。また、通信装置２ｂのドメイン名は「www.VVV.co.jp」であり、IPアドレスは「vvv.vvv.vvv.vvv」である。ただし、IPアドレス中の「x」および「ｖ」は０〜９の任意の数字である。DNSサーバ３ｆはドメイン「VVV.co.jp」に属している。

DNSサーバ３ａはリゾルバとなって再帰検索を行い、DNSサーバ３ｅ，３ｆはDNSサーバ３ａから反復検索の依頼を受けて反復検索を行う。また、DNSサーバ３ａ，３ｅ，３ｆは、自身が記憶するDNSログに基づいて攻撃元の通信装置のIPアドレスの検索を行う機能を有している。すなわち、DNSサーバ３ａ，３ｅ，３ｆは、トレースバックを実現する図１の記憶部１０、検索部１１、比較部１２、および通信部１３の機能を備えている。

第１の動作例では、攻撃元の通信装置１が通信装置２ａ，２ｂに対して同時に攻撃を行うことを想定する。攻撃の前段階において、通信装置１は通信装置２ａ，２ｂの各ドメイン名に対応したIPアドレスの検索（名前解決）をDNSサーバ３ａに依頼する。まず、通信装置１は、DNSサーバ３ａに対して、ドメイン名「www.XXX.co.jp」に対応するIPアドレスの再帰検索を依頼するため、自身のIPアドレスおよび検索対象のドメイン名を含む情報５００をDNSサーバ３ａへ送信する。再帰検索の依頼を受けたDNSサーバ３ａは、前述したようにドメイン・ツリーをたどって他のDNSサーバに反復検索を依頼し（図示せず）、最後にDNSサーバ３ｅに反復検索を依頼するため、自身のIPアドレスおよび検索対象のドメイン名を含む情報５０５をDNSサーバ３ｅへ送信する。

反復検索の依頼を受けたDNSサーバ３ｅは、自身が管理しているIPアドレスの中から、ドメイン名「www.XXX.co.jp」に対応するIPアドレスを検索し、通信装置２ａのIPアドレス「xxx.xxx.xxx.xxx」を含む反復検索結果の情報５１０をDNSサーバ３ａへ送信する。DNSサーバ３ａは、通信装置２ａのIPアドレス「xxx.xxx.xxx.xxx」を含む再帰検索結果の情報５１５を通信装置１へ送信する。以上によって、通信装置１は通信装置２ａのIPアドレスを取得することができる。

また、通信装置１は、DNSサーバ３ａに対して、ドメイン名「www.VVV.co.jp」に対応するIPアドレスの再帰検索を依頼するため、自身のIPアドレスおよび検索対象のドメイン名を含む情報（情報５００と同様の情報）をDNSサーバ３ａへ送信する。再帰検索の依頼を受けたDNSサーバ３ａは、前述したようにドメイン・ツリーをたどって他のDNSサーバに反復検索を依頼し（図示せず）、最後にDNSサーバ３ｆに反復検索を依頼するため、自身のIPアドレスおよび検索対象のドメイン名を含む情報５２０をDNSサーバ３ｆへ送信する。

反復検索の依頼を受けたDNSサーバ３ｆは、自身が管理しているIPアドレスの中から、ドメイン名「www.VVV.co.jp」に対応するIPアドレスを検索し、通信装置２ｂのIPアドレス「vvv.vvv.vvv.vvv」を含む反復検索結果の情報５２５をDNSサーバ３ａへ送信する。DNSサーバ３ａは、通信装置２ｂのIPアドレス「vvv.vvv.vvv.vvv」を含む再帰検索結果の情報（情報５１５と同様の情報）を通信装置１へ送信する。以上によって、通信装置１は通信装置２ｂのIPアドレスを取得することができる。

Source IPの追跡は以下のようにして行われる。通信装置２ａは、自身が属するドメインの情報を管理するDNSサーバ３ｅのIPアドレスを予め記憶しているものとする。通信装置２ａは、攻撃を受けた時刻と自身のIPアドレス（Destination IP）を含む情報５３０をDNSサーバ３ｅへ送信し、DNSサーバ３ｅにSource IPを問い合わせる。通信装置２ａからSource IPの問合せを受けたDNSサーバ３ｅの制御装置は記憶装置から反復検索のDNSログを読み出す。DNSサーバ３ｅの制御装置は、反復検索のDNSログに記録されている時刻と通信装置２ａから通知された時刻とを比較し、通信装置２ａから通知された時刻の直前N（Ｎ＞０）秒の範囲内の時刻が記録されているレコードのみを検索対象とする。このNは適宜決定すればよい。

続いて、DNSサーバ３ｅの制御装置は、通信装置２ａのIPアドレスを検索のキーとして、反復検索のDNSログに記録されているDestination IPを検索し、通信装置２ａのIPアドレスと一致するDestination IPを有するレコードのリゾルバIPを取得する。DNSサーバ３ｅの制御装置は、リゾルバIPを有するDNSサーバ３ａにSource IPを問い合わせるため、通信装置２ａから通知された時刻と通信装置２ａのIPアドレスを含む情報５３５をDNSサーバ３ａへ送信する。

上記と同様の動作が通信装置２ｂおよびDNSサーバ３ｆに関しても行われる。通信装置２ｂは、自身が属するドメインの情報を管理するDNSサーバ３ｆのIPアドレスを予め記憶しているものとする。通信装置２ｂは、攻撃を受けた時刻と自身のIPアドレス（Destination IP）を含む情報５４０をDNSサーバ３ｆへ送信し、DNSサーバ３ｆにSource IPを問い合わせる。通信装置２ｂからSource IPの問合せを受けたDNSサーバ３ｆの制御装置は記憶装置から反復検索のDNSログを読み出す。DNSサーバ３ｆの制御装置は、反復検索のDNSログに記録されている時刻と通信装置２ｂから通知された時刻とを比較し、通信装置２ｂから通知された時刻の直前N（Ｎ＞０）秒の範囲内の時刻が記録されているレコードのみを検索対象とする。

続いて、DNSサーバ３ｆの制御装置は、通信装置２ｂのIPアドレスを検索のキーとして、反復検索のDNSログに記録されているDestination IPを検索し、通信装置２ｂのIPアドレスと一致するDestination IPを有するレコードのリゾルバIPを取得する。DNSサーバ３ｆの制御装置は、リゾルバIPを有するDNSサーバ３ａにSource IPを問い合わせるため、通信装置２ｂから通知された時刻と通信装置２ｂのIPアドレスを含む情報５４５をDNSサーバ３ａへ送信する。

DNSサーバ３ｅ，３ｆから問合せを受けたDNSサーバ３ａの制御装置は記憶装置から再帰検索のDNSログを読み出す。DNSサーバ３ａの制御装置は、再帰検索のDNSログに記録されている時刻とDNSサーバ３ｅから通知された時刻とを比較し、DNSサーバ３ｅから通知された時刻の直前N（Ｎ＞０）秒の範囲内の時刻が記録されているレコードのみを検索対象とする。

続いて、DNSサーバ３ａの制御装置は、通信装置２ａのIPアドレスを検索のキーとして、再帰検索のDNSログに記録されているDestination IPを検索し、通信装置２ａのIPアドレスと一致するDestination IPを有するレコードのSource IPを取得する。このSource IPが攻撃元の通信装置１のIPアドレスの候補（以下、第１の候補とする）である。

また、上記と同様にして、DNSサーバ３ａは、DNSサーバ３ｆから通知された時刻の直前N（Ｎ＞０）秒の範囲内の時刻が記録されているレコードのみを検索対象とした検索も行う。すなわち、DNSサーバ３ａの制御装置は、通信装置２ｂのIPアドレスを検索のキーとして、再帰検索のDNSログに記録されているDestination IPを検索し、通信装置２ｂのIPアドレスと一致するDestination IPを有するレコードのSource IPを取得する。このSource IPが攻撃元の通信装置１のIPアドレスの候補（以下、第２の候補とする）である。

続いて、DNSサーバ３ａの制御装置は、上記の検索により得られた第１の候補に含まれるIPアドレスと、第２の候補に含まれるIPアドレスとを比較する。両方の候補に共通するIPアドレスがあった場合、それが攻撃元の通信装置１のIPアドレスであると判断することができる。DNSサーバ３ａの制御装置は、上記により取得した通信装置１のSource IPを含む情報５５０をDNSサーバ３ｅへ送信すると共に、情報５５０と同様の情報５５５をDNSサーバ３ｆへ送信する。

情報５５０を受信したDNSサーバ３ｅの制御装置は、情報５５０と同様の情報５６０を通信装置２ａへ転送し、攻撃元の通信装置１のIPアドレスを通知する。同様に、情報５５５を受信したDNSサーバ３ｆの制御装置は、情報５５５と同様の情報５６５を通信装置２ｂへ転送し、攻撃元の通信装置１のIPアドレスを通知する。

上記において、第１の候補の検索と第２の候補の検索の対象とする時間範囲を同一とすることが望ましい。これによって、同時に複数の攻撃対象に対して攻撃を行った攻撃元のIPアドレスをより正確に検出することができる。

＜第２の動作例＞
次に、第２の動作例を説明する。図６は、第２の動作例に係るトレースバックシステムの構成を示している。通信装置１，２およびDNSサーバ３ａ，３ｅについては前述した通りである。DNSサーバ３ｇはドメイン「UUU.co.kr」に属している。

DNSサーバ３ａ，３ｇはリゾルバとなって再帰検索を行い、DNSサーバ３ｅはDNSサーバ３ａ，３ｇから反復検索の依頼を受けて反復検索を行う。また、DNSサーバ３ａ，３ｅ，３ｇは、自身が記憶するDNSログに基づいて攻撃元の通信装置のIPアドレスの検索を行う機能を有している。すなわち、DNSサーバ３ａ，３ｅ，３ｇは、トレースバックを実現する図１の記憶部１０、検索部１１、比較部１２、および通信部１３の機能を備えている。

第２の動作例では、攻撃元の通信装置１が、通信装置２のドメイン名に対応したIPアドレスの検索（名前解決）を複数のDNSサーバ３ａ，３ｇに依頼することを想定する。まず、通信装置１は、DNSサーバ３ａに対して、ドメイン名「www.XXX.co.jp」に対応するIPアドレスの再帰検索を依頼するため、自身のIPアドレスおよび検索対象のドメイン名を含む情報６００をDNSサーバ３ａへ送信する。再帰検索の依頼を受けたDNSサーバ３ａは、前述したようにドメイン・ツリーをたどって他のDNSサーバに反復検索を依頼し（図示せず）、最後にDNSサーバ３ｅに反復検索を依頼するため、自身のIPアドレスおよび検索対象のドメイン名を含む情報６０５をDNSサーバ３ｅへ送信する。

反復検索の依頼を受けたDNSサーバ３ｅは、自身が管理しているIPアドレスの中から、ドメイン名「www.XXX.co.jp」に対応するIPアドレスを検索し、通信装置２のIPアドレス「xxx.xxx.xxx.xxx」を含む反復検索結果の情報６１０をDNSサーバ３ａへ送信する。DNSサーバ３ａは、通信装置２のIPアドレス「xxx.xxx.xxx.xxx」を含む再帰検索結果の情報６１５を通信装置１へ送信する。

上記と同様の動作がDNSサーバ３ｇに関しても行われる。通信装置１は、DNSサーバ３ｇに対して、ドメイン名「www.XXX.co.jp」に対応するIPアドレスの再帰検索を依頼するため、自身のIPアドレスおよび検索対象のドメイン名を含む情報６２０をDNSサーバ３ｇへ送信する。再帰検索の依頼を受けたDNSサーバ３ｇは、前述したようにドメイン・ツリーをたどって他のDNSサーバに反復検索を依頼し（図示せず）、最後にDNSサーバ３ｅに反復検索を依頼するため、自身のIPアドレスおよび検索対象のドメイン名を含む情報６２５をDNSサーバ３ｅへ送信する。

反復検索の依頼を受けたDNSサーバ３ｅは、自身が管理しているIPアドレスの中から、ドメイン名「www.XXX.co.jp」に対応するIPアドレスを検索し、通信装置２のIPアドレス「xxx.xxx.xxx.xxx」を含む反復検索結果の情報６３０をDNSサーバ３ｇへ送信する。DNSサーバ３ｇは、通信装置２のIPアドレス「xxx.xxx.xxx.xxx」を含む再帰検索結果の情報６３５を通信装置１へ送信する。以上によって、通信装置１は通信装置２のIPアドレスを取得することができる。

Source IPの追跡は以下のようにして行われる。通信装置２は、自身が属するドメインの情報を管理するDNSサーバ３ｅのIPアドレスを予め記憶しているものとする。通信装置２は、攻撃を受けた時刻と自身のIPアドレス（Destination IP）を含む情報６４０をDNSサーバ３ｅへ送信し、DNSサーバ３ｅにSource IPを問い合わせる。通信装置２からSource IPの問合せを受けたDNSサーバ３ｅの制御装置は記憶装置から反復検索のDNSログを読み出す。DNSサーバ３ｅの制御装置は、反復検索のDNSログに記録されている時刻と通信装置２から通知された時刻とを比較し、通信装置２から通知された時刻の直前N（Ｎ＞０）秒の範囲内の時刻が記録されているレコードのみを検索対象とする。

続いて、DNSサーバ３ｅの制御装置は、通信装置２のIPアドレスを検索のキーとして、反復検索のDNSログに記録されているDestination IPを検索し、通信装置２のIPアドレスと一致するDestination IPを有するレコードのリゾルバIPを取得する。第２の動作例では、このリゾルバIPとしてDNSサーバ３ａ，３ｇのIPアドレスが取得される。DNSサーバ３ｅの制御装置は、DNSサーバ３ａ，３ｇにSource IPを問い合わせるため、通信装置２から通知された時刻と通信装置２のIPアドレスを含む情報６４５，６５０をDNSサーバ３ａ，３ｇへ送信する。

DNSサーバ３ｅから問合せを受けたDNSサーバ３ａの制御装置は記憶装置から再帰検索のDNSログを読み出す。DNSサーバ３ａの制御装置は、再帰検索のDNSログに記録されている時刻とDNSサーバ３ｅから通知された時刻とを比較し、DNSサーバ３ｅから通知された時刻の直前N（Ｎ＞０）秒の範囲内の時刻が記録されているレコードのみを検索対象とする。

続いて、DNSサーバ３ａの制御装置は、通信装置２のIPアドレスを検索のキーとして、再帰検索のDNSログに記録されているDestination IPを検索し、通信装置２のIPアドレスと一致するDestination IPを有するレコードのSource IPを取得する。このSource IPが攻撃元の通信装置１のIPアドレスの候補である。DNSサーバ３ｇも上記と同様の処理を行い、通信装置１のIPアドレスの候補を取得する。

続いて、DNSサーバ３ａの制御装置は、取得したSource IPを含む情報６５５をDNSサーバ３ｅへ送信する。同様に、DNSサーバ３ｇも、取得したSource IPを含む情報６６０をDNSサーバ３ｅへ送信する。DNSサーバ３ｅの制御装置はこれらの情報を受信し、各情報に含まれるSource IPを互いに比較し、共通するSource IPを抽出する。この共通するSource IPが攻撃元の通信装置１のIPアドレスである。DNSサーバ３ｅの制御装置は、上記により取得した通信装置１のSource IPを含む情報６６５を通信装置２へ送信し、攻撃元の通信装置１のIPアドレスを通知する。

＜変形例＞
次に、本実施形態の変形例を説明する。図７は、本実施形態によるトレースバック装置の他の構成を示している。上記では、Source IPの問合せを行うため、通信装置とDNSサーバの間、またはDNSサーバ同士の間で、個人のプライバシーに関わるDestination IPまたはDestination Domainが送受信されてしまう。そこで、図７に示すトレースバック装置は、他の装置との間でDestination IPやDestination Domainの送受信を行うことなく、Source IPの追跡を行う。

図７において、ハッシュ値算出部１４は、Destination IPのハッシュ値、Destination Domainのハッシュ値、Destination IPとDestination Domainを結合した情報のハッシュ値のいずれかを算出する。以下では、ハッシュ値算出部１４がDestination IPのハッシュ値を算出する場合のみについてSource IPの追跡方法を説明するが、他の場合についてもSource IPの追跡方法は同様である。

ハッシュ値算出部１４は記憶部１０からDNSログを読み出し、DNSログ中の全てのDestination IPのハッシュ値を算出する。ハッシュ値算出部１４は、DNSログに記録されている情報にハッシュ値を追加した状態で、DNSログを記憶部１０に格納する。検索部１１は、このDNSログを用いて攻撃元の通信装置のIPアドレスを検索することになる。

通信部１３が他の装置から検索依頼情報を受信した場合、検索部１１は、攻撃対象となった通信装置のIPアドレスのハッシュ値を検索のキーとして、DNSログ中のハッシュ値を検索し、攻撃対象となった通信装置のIPアドレスのハッシュ値と一致するハッシュ値をDNSログから抽出する。さらに、検索部１１は、このハッシュ値を算出する元となったDestination IPと対応関係を有するSource IPをDNSログから抽出する。このSource IPが攻撃元の通信装置のIPアドレスの候補である。比較部１２は、複数の検索依頼情報に対応した複数の検索結果を互いに比較し、共通するIPアドレスを抽出することによって、攻撃元の通信装置のIPアドレスを特定する。

Source IPの問合せを行う場合、通信装置やDNSサーバはDestination IPやDestination Domainの代わりにそれらのハッシュ値を送信する。ハッシュ値を受信したDNSサーバは、上記と同様にして、ハッシュ値をキーにした検索を行い、Source IPを取得する。

次に、その他の変形例を説明する。図８は、他の動作例に係るトレースバックシステムの構成を示している。この構成は第１の動作例と同様である。また、図８において、図５に示した情報と同様の情報には同一の符号を付与している。DNSサーバ３ｅ，３ｆからそれぞれ情報５３５，５４５によってSource IPの問合せを受けたDNSサーバ３ａは、各問合せに対して個別にSource IPの検索を行う。この検索によって得られたSource IPが攻撃元の通信装置１のIPアドレスの候補である。

DNSサーバ３ａは、上記により得られたSource IPを含む情報８００，８０５をそれぞれDNSサーバ３ｅ，３ｆへ送信する。情報８００を受信したDNSサーバ３ｅは、情報８００と同様の情報８１０を通信装置２ａへ送信する。また、情報８０５を受信したDNSサーバ３ｆは、情報８０５と同様の情報８１５を通信装置２ｂへ送信する。

Source IPの検索結果を含む情報を受信した通信装置２ａ，２ｂは互いにその情報を送信し合う。続いて、通信装置２ａは、DNSサーバ３ｅから取得した情報に含まれるSource IPと、通信装置２ｂから取得した情報に含まれるSource IPとを比較し、共通するSource IPを抽出する。このSource IPが攻撃元の通信装置１のIPアドレスである。同様に、通信装置２ｂは、DNSサーバ３ｆから取得した情報に含まれるSource IPと、通信装置２ａから取得した情報に含まれるSource IPとを比較し、共通するSource IPを抽出する。

図９は、他の動作例に係るトレースバックシステムの構成を示している。管理装置４以外の構成は、図８に示した構成と同様である。また、図９において、図８に示した情報と同様の情報には同一の符号を付与している。図８ではSource IPの検索結果を含む情報を通信装置２ａ，２ｂが送信し合うが、図９では通信装置２ａ，２ｂはその情報を管理装置４へ送信する。管理装置４は、通信装置２ａから取得した情報に含まれるSource IPと、通信装置２ｂから取得した情報に含まれるSource IPとを比較し、共通するSource IPを抽出する。このSource IPが攻撃元の通信装置１のIPアドレスである。

上述したように、本実施形態によれば、ネットワーク上の各所にプローブ装置を設置する必要がなくなるので、プローブ装置の設置にかかるコストや時間を削減することができる。また、DNSサーバが再帰検索や反復検索の依頼のために送信するパケットの数は、ネットワークで送受信される全パケットの数よりもはるかに少ないので、DNSログの情報量は、ネットワークで送受信される全パケットの情報量よりもはるかに少量である。したがって、DNSサーバがDNSログを記憶可能な期間が長くなり、時間的な制約によってIPアドレスの追跡が失敗する可能性を低減することができる。さらに、攻撃対象の通信装置に対する外部からのアクセスが多い場合でも、正規の名前解決を依頼した通信装置と、攻撃を前提に悪意の名前解決を依頼した通信装置とを区別することが可能となり、攻撃元の通信装置のIPアドレスの追跡精度を高めることができる。

以上、図面を参照して本発明の実施形態について詳述してきたが、具体的な構成は上記の実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。例えば、上述した実施形態によるトレースバック装置の動作および機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませ、実行させてもよい。

ここで、「コンピュータ」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。

また、上述したプログラムは、このプログラムを記憶装置等に格納したコンピュータから、伝送媒体を介して、あるいは伝送媒体中の伝送波により他のコンピュータに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように、情報を伝送する機能を有する媒体のことをいう。また、上述したプログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能を、コンピュータに既に記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。

本発明の一実施形態によるトレースバック装置の構成を示すブロック図である。 本発明の一実施形態によるトレースバックシステムの動作を説明するための構成図である。 本発明の一実施形態によるトレースバックシステムで使用されるDNSログの内容を示す参考図である。 本発明の一実施形態によるトレースバックシステムで使用されるDNSログの内容を示す参考図である。 本発明の一実施形態によるトレースバックシステムの第１の動作例を説明するための構成図である。 本発明の一実施形態によるトレースバックシステムの第２の動作例を説明するための構成図である。 本発明の一実施形態によるトレースバック装置の構成の変形例を示すブロック図である。 本発明の一実施形態によるトレースバックシステムの他の動作例を説明するための構成図である。 本発明の一実施形態によるトレースバックシステムの他の動作例を説明するための構成図である。

符号の説明

１，２，２ａ，２ｂ・・・通信装置、３ａ，３ｂ，３ｃ，３ｄ，３ｅ，３ｆ，３ｇ・・・DNSサーバ、４・・・管理装置、１０・・・記憶部、１１・・・検索部、１２・・・比較部、１３・・・通信部、１４・・・ハッシュ値算出部

Claims (6)

1. 所定のドメイン名に対応したIPアドレスを検索して取得したIPアドレス、または当該IPアドレスに対応したドメイン名を示す第１の情報と、検索を依頼した装置のIPアドレスを示す第２の情報とを記憶する記憶手段と、
   ネットワーク上の攻撃の対象となった攻撃対象装置のIPアドレスまたはドメイン名を検索のキーとして前記第１の情報を検索し、前記攻撃対象装置のIPアドレスまたはドメイン名と一致するIPアドレスまたはドメイン名を示す前記第１の情報に対応した前記第２の情報を取得する検索手段と、
   前記検索手段が取得した、複数の前記攻撃対象装置に対応する複数の前記第２の情報を互いに比較し、共通する前記第２の情報を抽出する比較手段と、
   を備えたことを特徴とするトレースバック装置。
2. 所定のドメイン名に対応したIPアドレスを検索して取得したIPアドレス、または当該IPアドレスに対応したドメイン名を示す第１の情報と、検索を依頼した装置のIPアドレスを示す第２の情報とを記憶する記憶手段と、
   前記第１の情報が示すIPアドレスまたはドメイン名のハッシュ値を算出する算出手段と、
   ネットワーク上の攻撃の対象となった攻撃対象装置のIPアドレスまたはドメイン名のハッシュ値を受信する受信手段と、
   前記受信手段が受信したハッシュ値を検索のキーとして、前記算出手段が算出したハッシュ値を検索し、前記攻撃対象装置のIPアドレスまたはドメイン名のハッシュ値と一致したハッシュ値を算出する元となったIPアドレスまたはドメイン名を示す前記第１の情報に対応した前記第２の情報を取得する検索手段と、
   前記検索手段が取得した、複数の前記攻撃対象装置に対応する複数の前記第２の情報を互いに比較し、共通する前記第２の情報を抽出する比較手段と、
   を備えたことを特徴とするトレースバック装置。
3. 請求項１または請求項２に記載のトレースバック装置としてコンピュータを機能させるためのプログラム。
4. 請求項３に記載のプログラムを記録したコンピュータ読み取り可能な記録媒体。
5. 第１のトレースバック装置および第２のトレースバック装置を備えたトレースバックシステムであって、
   前記第１のトレースバック装置は、
   所定のドメイン名に対応したIPアドレスを検索して取得したIPアドレス、または当該IPアドレスに対応したドメイン名を示す第１の情報と、検索を依頼した装置のIPアドレスを示す第２の情報とを記憶する記憶手段と、
   ネットワーク上の攻撃の対象となった攻撃対象装置のIPアドレスまたはドメイン名を検索のキーとして前記第１の情報を検索し、前記攻撃対象装置のIPアドレスまたはドメイン名と一致するIPアドレスまたはドメイン名を示す前記第１の情報に対応した前記第２の情報を取得する検索手段と、
   前記検索手段が取得した前記第２の情報を送信する送信手段とを有し、
   前記第２のトレースバック装置は、
   複数の前記第１のトレースバック装置から送信された前記第２の情報を受信する受信手段と、
   複数の前記第２の情報を互いに比較し、共通する前記第２の情報を抽出する比較手段とを有する
   ことを特徴とするトレースバックシステム。
6. 第１のトレースバック装置および第２のトレースバック装置を備えたトレースバックシステムであって、
   前記第１のトレースバック装置は、
   所定のドメイン名に対応したIPアドレスを検索して取得したIPアドレス、または当該IPアドレスに対応したドメイン名を示す第１の情報と、検索を依頼した装置のIPアドレスを示す第２の情報と、検索を依頼した時刻を示す第１の時刻情報とを記憶する記憶手段と、
   前記第１の情報が示すIPアドレスまたはドメイン名のハッシュ値を算出する算出手段と、
   ネットワーク上の攻撃の対象となった攻撃対象装置のIPアドレスまたはドメイン名のハッシュ値を受信する第１の受信手段と、
   前記受信手段が受信したハッシュ値を検索のキーとして、前記算出手段が算出したハッシュ値を検索し、前記攻撃対象装置のIPアドレスまたはドメイン名のハッシュ値と一致したハッシュ値を算出する元となったIPアドレスまたはドメイン名を示す前記第１の情報に対応した前記第２の情報を取得する検索手段と、
   前記検索手段が取得した前記第２の情報を送信する送信手段とを有し、
   前記第２のトレースバック装置は、
   複数の前記第１のトレースバック装置から送信された前記第２の情報を受信する第２の受信手段と、
   複数の前記第２の情報を互いに比較し、共通する前記第２の情報を抽出する比較手段とを有する
   ことを特徴とするトレースバックシステム。

Images