JP2009278293A - パケット送信元特定システム、パケット送信元特定方法、およびパケット送信元特定プログラム - Google Patents

Abstract

【課題】送信元を示す情報が変更されたパケット通信の送信元を特定する。
【解決手段】通信ネットワークを介して送り込まれた通信パケットの中継転送を行い、この中継転送に際し通信パケットに含まれるアドレス情報の変換を行う中継装置と、この中継装置を介して相互に通信を行う複数の通信端末とを備え、中継装置が、変換前および変換後のアドレス情報を含み、中継装置で行われた各中継転送を特定する通信特定情報を記憶する手段と、通信特定情報を予め設定された他の中継装置との間で相互に通知する手段と、通信端末に対して攻撃パケットが送り込まれた場合に、通信特定情報に基づき攻撃パケットの送信元を特定する手段を備えた。
【選択図】図１

Description

本発明は、ネットワークに接続された機器に対して行われるネットワーク経由の不正な通信パケットおよび通信アクセスの発信元を特定する手法に関する。

通信ネットワーク(インターネット)においては、サーバや通信端末に通信ネットワークを介して大量の通信トラフィックが送り込まれたり、悪意のある通信アクセスが行われたりすることによって、正当なユーザの利用が妨げられたり、サーバの動作に障害が引き起こされ、深刻な問題となっている。
また、上記のような通信ネットワークを介して行われる攻撃は、プロキシサーバやアドレス変換ＮＡＴ(Network Address Translation)／ＮＡＰＴ(Network Address Port Translation)を行うパケット中継装置を介して行われた場合、パケット中継装置が通信を中継する際にパケット情報内の送信元のアドレス情報を書き換えてしまう。
このため、攻撃を受けた側から攻撃元を一意に特定し通信を制御することが困難であり、複数のパケット中継装置を介して攻撃が行われた場合には、攻撃元を特定することがさらに困難となっていた。

これに対して、ネットワーク毎にＩＤＳ(Intrusion Detection System)を設置し、各ＩＤＳのログを一箇所に集めて相関分析を行うことにより、攻撃元の不正端末を特定することができる。
しかしながら、この場合、ネットワーク毎に攻撃を検知する装置が必要となり、運用上のコストが膨大になり、更には、相関分析を行う管理装置が停止した場合にシステム全体が機能しなくなるという不都合が生じる。
また、上記ネットワークが複数のサブネットに分割されているような大規模なネットワークの場合に、ログの相関分析だけでは攻撃元を一意に特定すること困難であり、更には、ログを一箇所に集めると、ディスクを圧迫することになるという不都合があった。

又、上記問題に対して、プロキシサーバを使わず、又アドレス変換も行うことなくネットワークシステムを運用することにより、不正端末を特定する手法が考えられる。
しかしながら、この場合、割り当てできるＩＰアドレスには限りがあるため、ネットワークの規模が大きくなった場合には、対応できなくなる。
また、攻撃元の検索範囲は、ネットワーク構成を把握できる範囲に限定されてしまい、更には、プロキシサーバによるネットワーク運用の各種メリットが得られなくなるという不都合がある。

これに対する関連技術として、攻撃が検知されたネットワーク装置に予め設定されたエージェントプログラム部が、攻撃元により近いネットワーク装置に対して攻撃パケットを制御するエージェントプログラム部自身の複製(プログラム)を送信し、攻撃元により近いネットワーク装置にさかのぼって攻撃パケットを制御する手法が開示されている(特許文献１、２)。

特開２００２−１６４９３８公報 特開２００３−２８３５７１公報

しかしながら、上記特許文献１および２ではいずれも、攻撃がアドレス変換を行うパケット中継装置を介して行われた場合を考慮しておらず、攻撃元を特定すること困難となる不都合がある。
また、送信元の情報を書き換える特定のパケット中継装置を介する通信アクセスをすべてブロックすることにより、それを利用する他の正当な端末からの通信も全てブロックされてしまうという不都合が生じ得る。

更には、通信ネットワーク上に攻撃元を特定する専用装置の設置が必要となるため運用上のコストが高くなるという不都合もある。

［発明の目的］
本発明は、上記関連技術の有する不都合を改善し、送信元を示す情報が変更されたパケット通信が行われた場合に前記パケット通信の送信元を特定するパケット送信元特定システム、パケット送信元特定方法、およびパケット送信元特定プログラムを提供することを、その目的とする。

上記目的を達成するために、本発明に係るパケット送信元特定システムは、通信ネットワークを介して送り込まれた通信パケットの中継転送を行うと共に当該中継転送に際して前記通信パケットに含まれるアドレス情報の変換を行う中継装置と、当該中継装置を介して相互に通信を行う複数の通信端末とを備え、前記中継装置は、前記変換前および変換後のアドレス情報を含み前記中継装置で行われた各中継転送を特定する通信特定情報を記憶する手段と、前記通信特定情報を予め設定された他の中継装置との間で相互に通知する手段と、前記通信端末に対して攻撃パケットが送り込まれた場合に前記通信特定情報に基づき前記攻撃パケットの送信元を特定する手段とを備えた構成をとっている。

又、本発明にかかるパケット送信元特定方法は、通信ネットワーク上で通信される通信パケットの送信元アドレス情報を変換し中継転送を行う中継装置と、当該中継装置を介して相互に通信を行う複数の通信端末とを備え、前記通信端末に対して攻撃パケットが送り込まれた場合に、前記攻撃パケットの送信元である不正端末を特定するパケット送信元特定方法であって、前記各中継転送を特定する通信特定情報を予め設定された他の中継装置に通知する通信特定情報通知工程と、前記不正端末から前記通信端末に対して攻撃パケットが送り込まれた場合に、前記中継装置に対して前記不正端末の検索を要求する不正端末検索要求工程と、前記通信特定情報および前記検索要求に基づき前記不正端末を特定する不正端末特定工程とを備えたことを特徴としている。

更に、本発明にかかるパケット送信元特定プログラムは、通信ネットワークを介して通信される通信パケットの送信元アドレス情報を変換し中継転送を行う中継装置と、当該中継装置を介して相互に通信を行う複数の通信端末とを備え、前記通信端末に対して攻撃パケットが送り込まれた場合に、前記攻撃パケットの送信元である不正端末を特定するためのパケット送信元特定プログラムであって、前記不正端末から前記通信端末に対して攻撃パケットが送り込まれた場合に、前記不正端末の検索を行う不正端末検索機能と、前記各中継転送を特定する通信特定情報を予め設定された他の中継装置に通知する通信特定情報通知機能と、前記検索結果および前記通信特定情報に基づき前記不正端末を特定する不正端末特定機能とをコンピュータに実行させることを特徴としている。

本発明は、以上のように構成され機能するので、これによると、通信パケットの通信を行う中継装置は、当該中継装置を介して実行された各パケット通信を示す通信特定情報を他の中継装置との間で相互に通知する手段と、通信特定情報に基づき攻撃パケットの送信元を特定する手段とを備えたことにより、前記中継装置を介して送信元アドレス情報の変更された通信パケットが送り込まれた場合に、当該通信パケットの送信元(例えば不正端末)を、迅速に特定することができる。

［実施形態］
次に、本発明の実施形態について、その基本的構成内容を説明する。

本実施形態のパケット送信元特定システムは、図１に示すように、通信回線を介して相互に接続されＬＡＮを設定する中継ルータ(中継装置に相当)１１、管理端末(検索要求端末に相当)１２、および通信回線を介してサービスを提供を行うサーバ(通信端末に相当)１３と、中継ルータ１１を介して接続され上記ＬＡＮ１とは別のＬＡＮ２を構成するプロキシサーバ１４、および中継ルータ１５と、この中継ルータ１５を介して接続され、更に異なるＬＡＮ３に接続された不正端末１６とを備えた構成となっている。
ここで、上記中継ルータ１１は、プロキシサーバ１４の属するネットワーク(ＬＡＮ２)から管理端末１２の属するネットワーク(ＬＡＮ１)へ通信を行う際に、送信元の情報を自身のもつアドレス情報に変換する(ＮＡＰＴ)機能を有する。
また、管理端末１２は、サーバ１３を監視し、サーバ１３に対して攻撃パケットが送り込まれた場合に、それを調査し対策を行う。

更に、上記プロキシサーバ１４は、不正端末１６からサーバ１３へのアクセス(不正アクセス)を中継し、中継ルータ１５は、不正端末１６の属するネットワーク(ＬＡＮ３)からプロキシサーバ１４の属するネットワーク(ＬＡＮ２)に対する通信を行う際に、送信元の情報を自身のもつアドレス情報に変換する(ＮＡＰＴ)機能を有する。
不正端末１６は、サーバ１３に対する攻撃パケットの送信(又は通信アクセス)を行う。

また、上記図１に示されたパケット送信元特定システムは、図２に示すように、オーバレイネットワークとして表すことができる。
ここでは、中継ルータ１１内に設定され当該中継ルータ１１を介して実行される中継通信を制御するエージェントプログラム部２１と、同様に、プロキシサーバ１４内に設定されこのプロキシサーバ１４を介して実行される中継通信の制御を行うエージェントプログラム部２２、および、中継ルータ１５内に設定されこの中継ルータ１５を介して実行される中継通信の制御を行うエージェントプログラム部２３を備えた構成となっている。

これにより、パケットの送信元(アドレス)情報を書き換えるプロキシサーバやアドレス変換を行う装置を介して、攻撃が行われた場合でも、攻撃元を正確にかつ高速に特定できる。

更に、図１および２では、不正端末１６から攻撃パケットが送出され、当該攻撃パケットが中継ルータ１５、プロキシサーバ１４、および中継ルータ１１を介してサーバ１３に送り込まれた場合を示している。また、図１および２における点線矢印は、サーバ１３に送り込まれた攻撃パケットを検出した管理端末１２が、中継ルータ１５に対して行う不正端末１６の制御要求を示している。
尚、管理端末１２は、不正端末１６の制御指令および制御コマンド等を中継ルータ１１を介して中継ルータ１５に送信してもよい。

ここで、上記実施形態の各エージェントプログラム部について、図３のブロック図に基づき説明する。

中継ルータ１１は、少なくとも、予め設定され演算処理を行う中央演算処理部(ＣＰＵ)、処理対象のデータおよびプログラムを一時的に記憶する記憶装置など、一般的なコンピュータが有する構成を有し、上記ＣＰＵが予め設定されたプログラムの実行を行うことにより機能するエージェントプログラム部２１を備えている。
また、中継ルータ１１は、当該中継ルータ１１を介して実行された通信セッションを特定するセッション情報を、セッション情報管理テーブルとして記憶管理するセッション情報管理データベース(ＤＢ)４１と、中継ルータ１１を介して実行された通信パケットの通信ログを記憶する通信ログ記憶部４２を有する構成となっている。

また、エージェントプログラム部２１は、上記セッション情報管理テーブルを参照して不正端末１６を検索し特定する不正端末検索部３２と、パケット中継装置１１の通信ログ、およびセッション情報管理テーブルに基づきセッション情報を送信する、又は上記セッション情報管理ＤＢ内のセッション情報管理テーブルを更新するセッション情報収集部３３と、他のエージェントプログラム部(２２、２３)から送り込まれた不正端末制御依頼情報(以下「制御依頼」という)を解析すると共に、隣接して接続されたネットワーク装置(ここでは、中継ルータまたはプロキシサーバ)を制御して、不正端末１６からの通信を制御する不正端末制御部３４からなる。
また、エージェントプログラム部２１は、他のエージェントプログラム部(２２、２３)から送り込まれたセッション情報、又は制御依頼を受信し、前記不正端末検索部３２、セッション情報収集部３３、および不正端末制御部３４の制御を行い、必要に応じて攻撃元端末(不正端末１６)に対してより近接したネットワーク装置のエージェントプログラム部(ここでは２３)に制御依頼を中継送信するエージェント機能制御部３１を備えている。

尚、上記では、パケット中継装置１１、および当該パケット中継装置１１に設定されたエージェントプログラム部２１について説明したが、プロキシサーバ１４、およびパケット中継装置１５それぞれの内部に設定されるエージェントプログラム部２２、および２３も同じ構成を有するものとする。

ここで、上記エージェントプログラム部は、パケット中継装置(中継ルータ又はプロキシサーバ)内ではなく通信ネットワークに接続された他の装置内に設置されてもよい。
また、エージェントプログラム部は、他のパケット中継装置上の通信ログを参照できると共に、他のパケット中継装置を制御可能であれば、通信端末内に設定されていてもよい。

又、エージェントプログラム部を連携させることで、攻撃元を正確にかつ高速に特定し、攻撃元直近のネットワーク装置で不正な通信を制御できる。
更に、不正端末(攻撃元)の検索依頼と制御依頼を、パケット中継装置上の前記エージェントプログラムに中継させることで、ネットワークの匿名性を維持しつつ、不正端末からの通信をピンポイントで制御できる。

更に、異なるエージェントプログラム部を相互に連携させることによって、攻撃パケットの送信元を一意に特定し、不正端末からの通信を制御することができる。
また、上記エージェントプログラム部における処理を、異なる通信端末内に分散して実行することにより、各パケット中継装置における処理負荷を軽減することができる。

以下、これを詳説する。

上記エージェントプログラム部２１は、上述のように、中継ルータ１１内部に予め備えられたセッション情報管理テーブルを参照して不正端末を特定する不正端末検索部３２と、セッション情報管理データベース(ＤＢ)４１に予め設けられたセッション情報収集ルールに基づき、エージェントプログラム部２１に近接して接続された他のエージェントプログラム部にセッション情報を送信するセッション情報収集部３３とを備えている。

ここで、セッション情報管理データベース(ＤＢ)４１には、当該セッション情報ＤＢ４１の設定された中継ルータ又はプロキシサーバ(総称として「パケット中継装置」という)で実行された中継通信を示すセッション情報がセッション情報管理テーブルとして管理されている。
また、セッション情報管理データベース(ＤＢ)４１は、エージェントプログラム部２１が他のエージェントプログラム部との間でセッション情報の通信を行う場合に、当該通信において指定されるパラメータ(宛先、プロトコルなど)がリスト化されたセッション情報収集ルール管理テーブルを記憶している。

また、セッション情報収集部３３は、通信ログ記憶部４２、およびセッション情報管理ＤＢ４１を参照すると共に、上述のように、セッション情報収集ルール管理テーブルに基づき予め設定された近隣のエージェントプログラム部にセッション情報を送信する機能と、セッション情報管理ＤＢ４１内に設定されたセッション情報管理テーブルを更新する機能を有する。

ここで、通信ログ記憶部４２に記憶された通信ログには、攻撃元端末(不正端末)を特定するための情報として少なくとも、中継前の送信元ＩＰアドレス、中継前の送信元ポート番号、中継後の送信元ＩＰアドレス、中継後の送信元ポート番号、中継前の宛先ＩＰアドレス、中継前の宛先ポート番号、中継後の宛先ＩＰアドレス、中継後の宛先ポート番号、プロトコル番号、セッション開始時刻、およびセッション開始から終了までの時間情報を有するものとする。

更に、エージェントプログラム部２１は、他のエージェントプログラム部から送り込まれた制御依頼を解析すると共に、隣接するネットワーク装置を制御して、不正端末からの通信を制限制御する不正端末制御部３４を有する。
また、エージェントプログラム部２１は、他のエージェントプログラム部から送り込まれたセッション情報、もしくは制御依頼を受信し、前記不正端末検索部３２、セッション情報収集部３３、および不正端末制御部３４の制御を行うと共に、必要に応じて攻撃元に対してより近いエージェントプログラム部に制御依頼を転送するエージェント機能制御部３１を備えている。

更に、エージェントプログラム部２１は、セッション情報や制御依頼を受信して処理するサーバ機能を備え、このサーバ機能の設定パラメータとして、このサーバ機能を実行する際に指定される待ち受けポート番号を有する。

また、エージェントプログラム部２１は、他の隣接するエージェントプログラム部のＩＰアドレスが登録された下流ノードリストを有し、当該他のエージェントプログラム部から送り込まれたセッション情報を受信する際に、この下流ノードリストに予め登録してあるＩＰアドレスからのみセッション情報を受信する。

また、エージェントプログラム部２１は、取得されたセッション情報をセッション情報管理テーブル内に保持する期間を示すセッション情報保持期間情報と、前記セッション情報収集部３３が隣接するパケット中継装置の通信ログを差分チェックし通信セッションを特定する際に必要な情報を取得する時間間隔を示すセッション更新間隔情報を、保持している。

ここで、エージェント機能制御部３１は、セッション情報管理ＤＢ４１内に設定されたセッション情報収集ルールに基づき、予め設定されたエージェントプログラム部に対して、取得されたセッション情報の送信を行うか、もしくはセッション情報管理ＤＢ４１内のセッション情報管理テーブルの更新を行う機能を有する。
更に、エージェント機能制御部３１は、セッション情報管理テーブルを確認した場合に、予め設定された期間より古いセッション情報を破棄する処理を行う機能を備えている。

これにより、エージェント機能制御部が、近接して接続されたエージェントプログラム部との間で、予め設定された期間内の新しいセッション情報を相互に通知することできる。
このため、エージェントプログラム部は、近隣の他のエージェントプログラム部との間で相互にセッション情報の通信および更新を行うことにより、セッション情報の分散管理を行うことができ、上記の攻撃元特定処理にかかる各パケット中継装置で必要とされるマシンリソースを抑制することができる。
不正端末検索部３２は、セッション情報管理ＤＢ４１内に記憶されたセッション情報管理テーブル(図４)を、必要に応じて更新するセッション情報管理テーブル更新機能を有している。

ここで、図４に示されるセッション情報管理テーブルの各カラムについて説明する。
「セッションＩＤ」は、通信セッションそれぞれ対応して設定され通信セッションを一意に特定するＩＤである。次いで、「セッションキー」は、通信ログ、もしくは近隣のエージェントプログラムから取得したセッション情報の以下の５つのパラメータ中継後の送信元ＩＰアドレス、中継後の送信元ポート番号、中継後の宛先ＩＰアドレス、中継後の宛先ポート番号、およびプロトコル番号を組みとして計算したハッシュ値を示す。

また、「セッション開始時刻」は、通信セッションの開始時刻を示し、セッション終了までの時間は、セッションの開始から終了までの時間(単位は秒)を示す。
更に、「直近のエージェントＩＤ」は、通信の発信元直近のエージェントプログラムのＩＤを示し、例えば、ＬＡＮ組織内の全エージェントプログラム部からアクセス可能な待ち受けＩＰアドレスおよび待ち受けポート番号とすることができる。
そして、「末端ノードＩＤ」は、通信の発信元を示すＩＤであり、直近のエージェントプログラムからみて通信の発信元を一意に特定可能なＩＤを示す。

また、不正端末検索部３２は、エージェント機能制御部３１から不正端末の検索依頼情報を受け取ると共に、受け取った依頼情報の中から被害端末のＩＰアドレスおよびポート番号、検索対象のＩＰアドレスおよびポート番号、プロトコル番号を取得し、ここで取得された５つのパラメータ(被害端末のＩＰアドレス、被害端末のポート番号、検索対象のＩＰアドレス、検索対象のポート番号、およびプロトコル番号)を組みとしたハッシュ値を算出するハッシュ値算出機能を有する。

更に、不正端末検索部３２は、算出されたハッシュ値および攻撃を受けた時刻をキーとしてセッション情報管理ＤＢ４１内のセッション情報管理テーブルを検索し、一致するセッション情報があるか否かの判定を行うセッション情報判定機能を有する。

ここで、不正端末検索部３２が、検索に失敗した場合や、不正端末の制御で必要となる情報が得られない場合、不正端末検索部３２は、検索結果として不正端末の検索に失敗したことを示すエラーコードをエージェント機能制御部３１に通知するエラーコード通知機能を有する。

また、不正端末の制御に必要となる不正端末のＩＤ(セッション情報管理テーブルの末端ノードＩＤカラムの情報)と不正端末直近のエージェントプログラムのＩＤ(セッション情報管理テーブルの直近のエージェントＩＤカラムの情報)を取得できた場合に、不正端末検索部３２は、検索結果として検索成功を示すメッセージと不正端末のＩＤ、および不正端末直近のエージェントプログラムのＩＤをエージェント機能制御部３１に通知する不正端末特定情報通知機能を備えている。

セッション情報収集部３３は、セッション情報管理ＤＢに記憶されたセッション情報収集ルール管理テーブル(図６)を、必要に応じて更新を行う収集ルール管理テーブル更新機能を有している。

ここで、図６に示すセッション情報収集ルール管理テーブルの各カラムの意味は以下の通りである。
「ルールＩＤ」は、セッション情報収集ルールを一意に特定するためのＩＤである。
「送信元」は、アドレス変換後の送信元ＩＰアドレスを示し、「宛先」は、アドレス変換後の宛先ＩＰアドレスを示し、「宛先ポート番号」は、アドレス変換後の宛先ポート番号を示す。
次に、「プロトコル番号」は、通信におけるプロトコル番号を示し、「転送先」は、セッション情報の転送先を示す。
尚、ここに示される転送先は、転送先のエージェントプログラム部の待ち受けＩＰアドレスと待ち受けポート番の組を示している。
また、セッション情報収集部３３は、この「転送先」で指定されたＩＰアドレス及びポート番号が自身のＩＰアドレス、ポート番号であった場合に、上述のように、取得されたセッション情報を書き出し、セッション情報収集ルール管理テーブルの更新を行う。
最後に、「備考」は、セッション情報収集ルールに対するコメント情報を示す。

また、セッション情報収集部３３は、予め設定された周期(セッション情報更新間隔)で隣接するパケット中継装置における通信ログの差分チェックを行うと共に、以下に示すセッション情報を取得するセッション情報取得機能を備えている。
尚、このセッション情報の内容は、中継前の送信元ＩＰアドレス、中継後の送信元ＩＰアドレス、中継後の送信元ポート番号、中継後の宛先ＩＰアドレス、中継後の宛先ポート番号、プロトコル番号、セッション開始時刻、およびセッション開始から終了までの時間からなる。

ここで、セッション情報収集部３３は、通常複数のセッション情報を取得すると共に、取得されたセッション情報それぞれについて処理を行うが、ここでは、セッション情報収集部３３が、特定の一つのセッション情報にかかる処理について場合について説明する。

又、セッション情報収集部３３は、セッション情報の取得後、取得されたセッション情報に含まれる中継前の送信元ＩＰアドレスと前記下流ノードリストとを比較し、マッチする送信元ＩＰアドレスが存在するか否かを判定する送信元アドレス判定機能を有する。

ここで、マッチする送信元ＩＰアドレスが存在する場合、つまり、送信元ＩＰアドレスが隣接する他のパケット中継装置である場合には、セッション情報収集部３３は、処理を打ち切り、以下の処理を行わないものとする。

一方、マッチする送信元ＩＰアドレスが存在しない場合、セッション情報収集部３３は、取得されたセッション情報の中継後の送信元ＩＰアドレス、中継後の宛先ＩＰアドレス、中継後の宛先ポート番号、およびプロトコル番号をキーとしてセッション情報収集ルール管理テーブルを検索すると共に、マッチした行の転送先カラムが、当該セッション情報収集部３３の設けられた中継ルータ１１(自身)を指定しているか否かの判定を行うテーブル検索判定機能を備えている。

ここで、セッション情報収集部３３は、転送先カラムが、自身である中継ルータ１１を指定している場合に、中継後の送信元ＩＰアドレス、中継後の送信元ポート番号、中継後の宛先ＩＰアドレス、中継後の宛先ポート番号、およびプロトコル番号を組みとしてハッシュ値を計算する。
また、セッション情報収集部３３は、ここで算出されたハッシュ値、セッション開始時刻、セッション開始から終了までの時間、エージェントプログラム自身のＩＤ、中継前の送信元ＩＰアドレスを持つホストのＩＤを一つの組として、自身のセッション情報管理テーブルにエントリに追加登録を行うセッション情報追加登録機能を備えている。

一方、セッション情報収集部３３は、転送先カラムが、自身である中継ルータ１１以外の場合に、転送先のエージェントプログラム部に対して、取得されたセッション情報を送信するセッション情報転送機能を備えている。
ここで、送信されるセッション情報は、少なくとも中継後の送信元ＩＰアドレス、中継後の送信元ポート番号、中継後の宛先ＩＰアドレス、中継後の宛先ポート番号、プロトコル番号、セッション開始時刻、セッション開始から終了までの時間、自身のＩＤ、および中継前の送信元ＩＰアドレスを持つホストのＩＤを含む。

尚、セッション情報を受信したエージェント機能制御部３１は、当該セッション情報をセッション情報収集部３３に送信する機能を有するものとする。

セッション情報収集部３３は、エージェント機能制御部３１からデータを受け取ると、上述のように、セッション情報収集ルール管理テーブルに基づいて、セッション情報を近隣のエージェントプログラム部に転送する、又は、自身のセッション情報管理テーブルを更新する機能を備えている。

また、セッション情報収集部３３は、受信されたセッション情報を近隣のエージェントプログラムに転送する場合、転送前にパケット中継装置の通信ログを参照し、該当するセッション情報があるか否かの判定を行う通信ログ参照判定機能を有する。

このとき、セッション情報収集部３３は、通信ログに該当するセッション情報がない場合に、そのまま近隣のエージェントプログラム部にセッション情報を転送する。
一方、通信ログ内に該当するセッション情報が見つかった場合、セッション情報収集部３３は、見つかったセッション情報に基づき、中継後の送信元ＩＰアドレス、中継後の送信元ポート番号、中継後の宛先ＩＰアドレス、および中継後の宛先ポート番号を更新し、更新されたセッション情報を近隣のエージェントプログラム部に対して転送する。

ここで、上記エージェントプログラム部は、直近のエージェントＩＤと末端ノードＩＤについて、受け取った値の更新を行わず、そのままセッション情報管理テーブルに書き出す。
これにより、エージェントプログラム部は、他のエージェントプログラム部から送り込まれた制御依頼を、上記直近のエージェントＩＤと末端ノードＩＤに基づき転送することができ、このため、不正端末側のエージェントプログラム部へと制御依頼を迅速に転送することができる。

不正端末制御部３４は、を制御ルールＤＢに記憶された制御ルール管理テーブル(図７)に対して、必要に応じて更新を行う制御ルール管理テーブル更新機能を有している。
ここで、図７に示す制御ルール管理テーブルの各カラムの意味は以下の通りである。
先ず、「ルールＩＤ」は、制御ルールを一意に特定するためのＩＤであり、「制御元」は、制御依頼を受けつけるネットワークのアドレスを、「制御先」は、制御先のネットワークアドレスを示す。

又、「制御タイプ」は、どの方法で通信の制御を行うかを示す値であって、図７の例では、０が警告、１が帯域制御、２が検疫、３が遮断を示す。
更に、「制御コマンド」は、隣接するネットワーク装置を制御するためのコマンド、「制御オプション」は、制御コマンドのオプションに関する情報（制御コマンドの仕様）を示し、備考は、制御ルールに対するコメント情報を示す。

更に、不正端末制御部３４は、エージェント機能制御部３１から不正端末の制御依頼を受け取ると、図６に示すセッション情報収集ルール管理テーブルを参照し、不正端末の特定に必要なセッション情報を持っているかどうかの判定を行うセッション情報判定機能を備えている。ここで、上記セッション情報の内容は、制御依頼、制御元のＩＰアドレス、被害端末のＩＰアドレス、被害端末のポート番号、検索対象のＩＰアドレス、検索対象のポート番号、プロトコル番号、攻撃を受けた時刻、および制御タイプを少なくとも含んでいるものとする。

また、不正端末制御部３４は、セッション情報収集ルール管理テーブルを、被害端末のＩＰアドレス、被害端末のポート番号、検索対象のＩＰアドレス、およびプロトコル番号をキーとして検索すると共に、特定された行の転送先カラムが自身(不正端末制御部３４の設けられた中継端末)と一致するか否かを判定する。

ここで、自身と一致する場合には、一致することを示すメッセージをエージェント機能制御部３１に通知する一致メッセージ通知機能を有する。
このとき、エージェント機能制御部３１は、不正端末検索部３２に検索依頼を送信すると共に、得られた検索結果に基づいて、制御依頼を不正端末１６直近のエージェントプログラム部へ転送(中継)する。

一方、自身と一致しない場合には、その旨と特定された行の転送先カラムの値をエージェント機能制御部３１に通知する。
このとき、エージェント機能制御部３１は取得された転送先の情報を基づいて、制御依頼を近隣のエージェントプログラムへ転送(中継)する。

更に、不正端末制御部３４は、エージェント機能制御部３１から不正端末の制御依頼を受け取ると、制御ルールＤＢ４３に格納された制御ルールテーブル(図７)を参照し、制御元のＩＰアドレスをキーとしてマッチする制御ルールを特定する制御ルール参照特定機能を備えている。
ここで、上記制御ルールＤＢ４３に格納された制御ルールテーブルは、制御元のＩＰアドレス、末端ノードＩＤ、制御タイプ、制御コマンド、および制御コマンドオプションからなる。

また、制御ルールテーブルを確認した結果、どのルールの制御元アドレスにも制御元のＩＰアドレスがマッチしない場合、不正端末制御部３４は、制御依頼を拒否し、制御結果としてエラーを返す。
更に、不正端末制御部３４は、特定された制御ルールと制御依頼の中で指定された制御タイプとがマッチしない場合に、上記制御依頼を拒否し、制御結果としてエラーを返す。

制御元アドレスと制御タイプとがマッチする制御ルールが特定された場合に、不正端末制御部３４は、予め設定された該当する制御コマンドを、制御依頼情報で指定された制御オプションに基づき実行し、隣接するパケット中継装置を制御する隣接中継装置制御機能を備えている。また、この制御による制御結果をエージェント機能制御部３１に返信する機能を有する。

これにより、攻撃元(不正端末)の特定後、攻撃元直近のネットワーク装置で不正な通信を制御できる。
また、あるネットワーク上に存在する不正端末からの攻撃を、ネットワーク構成を知らない別のネットワーク上の装置からも柔軟に制御できることができる。

尚、上記制御ルールＤＢ４３は、組織ＬＡＮ組織内に接続されて設けられてもよいし、パケット中継装置(中継ルータまたはプロキシサーバ)内部のエージェントプログラム部に併設されていてもよい。
ここでは、制御ルールＤＢ４３は、全エージェントプログラム部で共有して使用されるものとする。
又、セッション情報収集ルールを追加し、リソースのあまっている通信端末(サーバなど)にセッション情報の管理や不正端末の検索処理を分散させてもよい。

制御ルール管理テーブルに不正端末からの通信を遮断するルールを追加する際、不正端末からの通信を全て遮断するのではなく、制御コマンドのオプションを利用して、ある特定のプロトコルやポート番号を使用する通信のみを遮断してもよい。
これにより、プロトコルやポート番号による制御は遮断のルールだけでなく、帯域制御のルールなどにも適用できる。

［実施形態の動作説明］
次に、本実施形態の全体の動作について説明する。

先ず、各中継装置(１１、１４、１５)のエージェントプログラム部は、各中継転送を特定する通信特定情報を、予め設定された他の中継装置に通知する(通信特定情報通知工程)。ここで、不正端末１６から通信端末１３に対して攻撃パケットが送り込まれた場合に、検索要求端末１２が、中継装置１１に対して不正端末１６の検索を要求し(不正端末検索要求工程)、中継装置１１は、通信特定情報および検索要求に基づき不正端末１６を特定する(不正端末特定工程)。
次いで、中継装置１１が、特定された不正端末１６に対してより近接して接続された中継装置１５を特定し(中継装置特定工程)、検索要求端末１２からの検索依頼(および制御依頼：図４)を受け取った中継装置１５のエージェントプログラム部は、予め設定されたルールに基き隣接する前記不正端末１６からの通信を抑制させる制御を行う(転送装置制御工程)。

尚、上記不正端末検索工程、上記通信特定情報通知工程、不正端末特定工程、中継装置特定工程、および転送装置制御工程については、その実行内容をプログラム化し、上記中継装置、管理端末それぞれに設けられたコンピュータに実行させる構成としてもよい。

ここで、本実施形態の中継ルータ１１、１５、およびプロキシサーバ１４を介して上記不正端末１６を特定する動作について、図４のシーケンスチャートに基づき詳説する。

先ず、中継ルータ(中継装置に相当)１１、１５、およびプロキシサーバ１４におけるエージェントプログラム部は相互にセッション情報の通信を定期的に行っており、セッション情報管理ＤＢ４１に格納されたテーブルの内容の更新処理が、常時行われているものとする(通信特定情報通知工程)。

ここで、サーバ(通信端末に相当)１３に対して攻撃パケットが送り込まれたことを、サーバ１３と同一ネットワーク(ＬＡＮ１)内にある管理端末(検索要求端末に相当)１２で検出する。このとき、管理端末１２は、攻撃パケットの中継場所である中継ルータ(ＮＡＰＴ有)１１のエージェントプログラム部２１に対して、攻撃パケット送信元(不正端末)からの通信の抑制制御を要求する制御依頼情報を送信する(ステップＳ１１１：不正端末検索要求工程に相当)。

このとき、制御依頼情報は、被害端末のＩＰアドレス、被害端末のポート番号、検索対象のＩＰアドレス、検索対象のポート番号、プロトコル番号、攻撃を受けた時刻、および制御タイプが含まれているものとする。

次に、制御依頼情報を受信したエージェントプログラム部２１は、セッション情報収集ルール管理テーブル(図６)を参照して、不正端末１６の特定に必要なセッション情報(特定情報に相当)が登録されているか判定を行う(ステップＳ１１２)。

具体的には、セッション情報収集ルール管理テーブル(図６)を、制御要求情報に含まれる被害端末(サーバ１３)のＩＰアドレス、被害端末のポート番号、検索対象のＩＰアドレス、プロトコル番号をキーとして検索し、特定された行の転送先カラムが、エージェント２１であるか否かの判定を行う。
ここでは、以下、転送先カラムがエージェントプログラム部２１を示すものとして説明する。

次いで、転送先カラムがエージェントプログラム部２１であると判定された場合、エージェントプログラム部２1のエージェント機能制御部３１は、不正端末検索部３２に検索要求を行う。
ここで、不正端末検索部３２は、セッション情報に基づき不正端末１６を特定する(不正端末特定工程)と共に、当該不正端末１６に直近のエージェントプログラム部が、中継ルータ１５のエージェントプログラム部２３であることを特定する(ステップＳ１１２：中継装置特定工程)。

次いで、上記検索結果に基づき、制御依頼を不正端末１６直近の特定されたエージェントプログラム部２３に対して中継送信する(ステップＳ１１３)。
ここで、制御依頼(不正端末制御依頼情報)には、少なくとも制御元のＩＰアドレス、末端ノードＩＤ、および制御タイプが含まれるものとする。

次いで、制御依頼を受け取ったエージェントプログラム部２３は、予め設定された制御ルールに基づいて、制御依頼により指定された制御コマンドを実行し(ステップＳ１１４：転送装置制御工程)、不正端末１６からサーバ１３に対して送り込まれる次回攻撃を抑制する制御を行う。

次いで、エージェントプログラム部２３は、制御依頼元である中継ルータ１１のエージェントプログラム部２1に制御コマンドの実行結果(制御結果２１３)を通知する(ステップＳ１１５)。
更に、エージェントプログラム部２１は、制御結果２１３を受信すると共に、要求元である管理端末１２に制御コマンドの実行結果として制御結果２１４を通知する(ステップＳ１１６)。

尚、上記エージェントプログラム部間の通信は公開鍵暗号方式を用いて暗号化し、機密性、完全性を保持するものとする。
また、隣接するパケット中継装置(エージェントプログラム部)の制御は、ＳＮＭＰ(Simple Network Management Protocol)、NETCONFコンフィギュレーションプロトコル、又は予め登録されたコマンド(装置専用のツール)等により実行されるものとする。

上記手順により、パケット情報の送信元情報を書き換えるプロキシサーバやアドレス変換を行う装置を介して攻撃パケットが送り込まれた場合でも、攻撃元を正確に特定でき、また、攻撃元の通信動作を攻撃元直近のパケット中継装置を介して制御することができる。

また、本実施形態では、ある組織のネットワーク(ＬＡＮ３)に属する不正端末１６を、ネットワークの匿名性を維持しつつ、別組織のネットワーク(ＬＡＮ１)に属する装置(管理端末１２)から一意に特定することができ、更に、不正端末直近のネットワーク装置(中継ルータ１５)を介して不正端末からの通信を制御することができる。

更に、攻撃元の不正端末１６を特定した後、制御依頼情報を攻撃元直近のパケット中継装置(中継ルータ１５)に対してダイレクトに送信できるため、迅速に攻撃元からの通信を抑制制御可能である。
また、攻撃元までのパケット中継装置の中継数が多くなる場合でも、通信ネットワークに接続された通信端末内にエージェントプログラム部を設け、他のパケット中継装置上の通信ログを参照すると共に他のパケット中継装置を制御可能な設定とすることにより、不正端末の検索に要する各中継装置のマシンリソースを抑制することができ、且つ、より迅速に攻撃元の特定を行うことができる。

本発明は、ＩＳＰ(Internet Service Provider)などのネットワーク事業に適用することができ、ＩＳＰ事業者側は、利用者に対してセキュリティの高いネットワーク環境を提供でき、更には運用コストを軽減することができる。

本発明によるパケット送信元特定システムの一実施形態における全体を示す概略構成図である。 図１に開示したパケット送信元特定システムの一構成例を示す概略構成図である。 図１に開示したパケット送信元特定システムにおける中継ルータの構成内容の一例を示すブロック図である。を示す説明図である。 図１に開示したパケット送信元特定システムにおける不正端末の通信制御方法の処理ステップを概略的に示したシーケンス図である。 図１に開示したパケット送信元特定システムにおけるセッション情報管理テーブルの一例を示す説明図である。 図１に開示したパケット送信元特定システムにおけるセッション情報収集ルールテーブルの一例を示す説明図である。 図１に開示したパケット送信元特定システムにおける制御ルール管理テーブルの一例を示す説明図である。

符号の説明

１１、１５ 中継ルータ
１２ 管理端末
１３ サーバ
１４ プロキシサーバ
１６ 不正端末
２１、２２、２３ エージェントプログラム部
３１ エージェント機能制御部
３２ 不正端末検索部
３３ セッション情報収集部
３４ 不正端末制御部
４１ セッション情報管理データベース
４２ 通信ログ記憶部
４３ 制御ルールデータベース

Claims (11)

1. 通信ネットワークを介して送り込まれた通信パケットの中継転送を行うと共に当該中継転送に際して前記通信パケットに含まれるアドレス情報の変換を行う中継装置と、当該中継装置を介して相互に通信を行う複数の通信端末とを備えたパケット送信元特定システムであって、
   前記中継装置は、前記変換前および変換後のアドレス情報を含み前記中継装置で行われた各中継転送を特定する通信特定情報を記憶する手段と、前記通信特定情報を予め設定された他の中継装置との間で相互に通知する手段と、前記通信端末に対して攻撃パケットが送り込まれた場合に前記通信特定情報に基づき前記攻撃パケットの送信元を特定する手段とを備えたことを特徴とするパケット送信元特定システム。
2. 前記請求項１に記載のパケット送信元特定システムにおいて、
   前記通信端末に前記攻撃パケットが送り込まれたことを検出すると共に前記中継装置に対して前記攻撃パケット送信元の検索を要求する検索要求端末を、前記通信端末に併設したことを特徴とするパケット送信元特定システム。
3. 前記請求項２に記載のパケット送信元特定システムにおいて、
   前記中継装置は、前記検索要求端末から送り込まれた検索要求および他の中継装置から送り込まれた前記通信特定情報に基づき前記攻撃パケットの送信元である不正端末の特定が可能か否かを判定する端末特定判定手段と、前記不正端末の特定ができない場合に、前記検索要求および通信特定情報を予め設定された他の中継装置に転送する通信特定情報転送手段とを備えたことを特徴とするパケット送信元特定システム。
4. 前記請求項３に記載のパケット送信元特定システムにおいて、
   前記不正端末が特定された場合に、前記検索要求端末が、前記不正端末の通信抑制ルールを示す制御要求を前記中継端末に送信する制御要求手段を備え、前記中継装置は、当該不正端末により近接して接続された中継装置を特定する中継装置特定手段と、当該特定された中継装置に前記制御要求を通知する制御要求通知手段とを備えたことを特徴とするパケット送信元特定システム。
5. 前記請求項３に記載のパケット送信元特定システムにおいて、
   前記中継装置は、前記不正端末が特定された場合に、当該不正端末のより近くに接続された中継装置を特定する中継装置特定手段と、当該特定された中継装置を制御し前記不正端末からの通信パケット中継転送を抑制させる転送装置制御手段を備えたことを特徴とするパケット送信元特定システム。
6. 前記請求項４に記載のパケット送信元特定システムにおいて、
   前記中継装置は、当該中継装置に予め記憶された通信特定情報を、前記他の中継装置から通知された通信特定情報に基づき更新する自通信特定情報更新手段と、前記送り込まれた通信特定情報を更新し前記不正端末のより近くに接続された中継装置に転送する通信特定情報更新転送手段とを備えたことを特徴とするパケット送信元特定システム。
7. 前記請求項４又は６に記載のパケット送信元特定システムにおいて、
   前記中継装置に、前記不正端末からの通信パケットを中継転送する条件を示す中継転送ルール情報が予め記憶された抑制制御ルール記憶部を併設し、前記中継装置が、前記中継転送ルールに基づき前記通信パケットの中継転送を制御する転送指定制御手段を備えたことを特徴とするパケット送信元特定システム。
8. 通信ネットワーク上で通信される通信パケットの送信元アドレス情報を変換し中継転送を行う中継装置と、当該中継装置を介して相互に通信を行う複数の通信端末とを備え、前記通信端末に対して攻撃パケットが送り込まれた場合に、前記攻撃パケットの送信元である不正端末を特定するパケット送信元特定方法であって、
   前記各中継転送を特定する通信特定情報を予め設定された他の中継装置に通知する通信特定情報通知工程と、前記不正端末から前記通信端末に対して攻撃パケットが送り込まれた場合に、前記中継装置に対して前記不正端末の検索を要求する不正端末検索要求工程と、前記通信特定情報および前記検索要求に基づき前記不正端末を特定する不正端末特定工程とを備えたことを特徴とするパケット送信元特定方法。
9. 前記請求項８に記載のパケット送信元特定方法であって、
   前記特定された不正端末に対してより近接して接続された中継装置を特定する中継装置特定工程と、当該特定された中継装置を制御し前記不正端末からの通信パケット中継転送を抑制させる中継装置制御工程とを前記不正端末特定工程の後に備えたことを特徴とするパケット送信元特定方法。
10. 通信ネットワークを介して通信される通信パケットの送信元アドレス情報を変換し中継転送を行う中継装置と、当該中継装置を介して相互に通信を行う複数の通信端末とを備え、前記通信端末に対して攻撃パケットが送り込まれた場合に、前記攻撃パケットの送信元である不正端末を特定するためのパケット送信元特定プログラムであって、
    前記不正端末から前記通信端末に対して攻撃パケットが送り込まれた場合に、前記不正端末の検索を行う不正端末検索機能と、前記各中継転送を特定する通信特定情報を予め設定された他の中継装置に通知する通信特定情報通知機能と、前記検索結果および前記通信特定情報に基づき前記不正端末を特定する不正端末特定機能とをコンピュータに実行させることを特徴としたパケット送信元特定プログラム。
11. 前記請求項１０に記載のパケット送信元特定方法であって、
    前記特定された不正端末に対してより近接して接続された中継装置を特定する中継装置特定機能と、当該特定された中継装置を制御し前記不正端末からの通信パケット中継転送を抑制させる中継装置制御機能とを、前記コンピュータに実行させることを特徴とするパケット送信元特定プログラム。

Images