JP2013197864A - 送信元アドレス詐称判定システム - Google Patents

Abstract

【課題】ネットワークの接続態様に関わらずに、IPSA詐称パケットを検出する技術を提供する。
【解決手段】通信情報検出装置は、検出された通信情報が正常にコネクションを確立させた通信情報でない場合、検出された通信情報に関する検出情報を送信元アドレス詐称判定装置に送信する。送信元アドレス詐称判定装置は収集された検出情報を集約し、集約した検出情報に含まれる通信情報が正常にコネクションを確立させた通信情報でない場合、当該通信情報に含まれる第１情報処理装置から第２情報処理装置へのコネクションについて、第２情報処理装置が属するネットワークに属するいずれかの情報処理装置に、通信情報の送信元アドレスまでの経路情報を取得させる。経路情報の結果が正常でない場合又は経路情報により示される経路と第１情報処理装置から第２情報処理装置への送信経路とが異なる場合、通信情報の送信元アドレスが詐称であると判定する。
【選択図】図１

Description

本明細書は、送信元アドレスを詐称しているパケットの検出技術に関する。

踏み台ホストを踏み台とし、送信元アドレスを詐称してなされる攻撃元ホストによる攻撃先ホストに対する反射攻撃を、攻撃先ホストが備えられたネットワークに接続されたゲートウェイを通過するパケットを利用して検出する技術として、例えば、次の技術がある。攻撃検出装置は、応答カウンタと要求カウンタを含む。応答カウンタは、踏み台ホストが攻撃先ホストに出力する応答パケットの数をカウントする。要求カウンタは、攻撃先ホストが出力する要求パケットの数をカウントする。攻撃検出装置は、応答カウンタでカウントされた応答パケットの数が要求カウンタでカウントされた要求パケットの数より大きいときに反射攻撃が行われたものと判断する。

特開２００７−２８８２４６号公報

上記技術では、送信元のIPアドレスを詐称しているパケット（IPSA詐称パケット）の検出において、ゲートウェイを通過する要求パケット数と応答パケット数の比較しか行っていない。そのため、攻撃元ホスト、踏み台ホスト、攻撃先ホスト、及びゲートウェイとの位置関係によってはIPSA詐称パケットを検出できない場合がある。

そこで、本実施形態の一側面では、ネットワークの接続態様に関わらずに、IPSA詐称パケットを検出する技術を提供する。

本実施形態に係る送信元アドレス詐称判定システムは、通信情報検出装置、送信元アドレス詐称判定装置を含む。通信情報検出装置は、検出部、通信情報判定部、送信部を含む。検出部は、中継装置間を接続する通信線によって伝送される通信情報を順次検出する。通信情報判定部は、検出された通信情報が、通信情報に用いられる通信プロトコルに基づいて正常にコネクションを確立させた通信情報であるかを判定する。送信部は、判定の結果、検出された通信情報が正常にコネクションを確立させた通信情報でない場合、検出された通信情報に関する検出情報を送信する。送信元アドレス詐称判定システムは、収集部、検証部、経路情報取得部、詐称判定部を含む。収集部は、通信情報検出装置から送信された検出情報を収集する。検証部は、収集された検出情報を集約し、集約した検出情報に含まれる通信情報が通信プロトコルに基づいて正常にコネクションを確立させた通信情報であるかを検証する。経路情報取得部は、判定の結果、集約した検出情報に含まれる通信情報が通信プロトコルに基づいて正常にコネクションを確立させた通信情報でない場合、次の処理を行う。すなわち、経路情報取得部は、検出された通信情報のうち第１情報処理装置から第２情報処理装置へ送信される通信情報について、第２情報処理装置が属するネットワークに属するいずれかの情報処理装置に、経路情報を取得するように要求する。ここで、経路情報は、通信情報の送信元アドレスまでの経路情報である。経路情報取得部は、いずれかの情報処理装置から経路情報を取得する。詐称判定部は、経路情報の結果が正常でない場合、または該経路情報により示される経路と第１情報処理装置から第２情報処理装置への送信経路とが異なる場合、通信情報の送信元アドレスが詐称であると判定する。

本実施形態の一側面によれば、ネットワークの接続態様に関わらずに、IPSA詐称パケットを検出すことができる。

本実施形態における送信元アドレス詐称判定システムの一例を示す。 本実施形態におけるIPSA詐称パケット検出のためのネットワーク構成の一例を示す。 パケットの構成を示す。 ３ウェイハンドシェークによるTCPのコネクション確立について説明するための図である。 本実施形態の全体の流れを示す。 本実施形態におけるIPSA詐称パケット（IPSAに本来存在しないIPアドレスが設定されている場合）の検出のためにTCPの異常接続シーケンスの監視について説明するための図である。 図５の場合における、パケット検出装置（＃３）による、IPSA詐称パケット（IPSAに本来存在しないIPアドレスが設定されている場合）に基づく異常シーケンスの検出処理について説明する図である。 図５の場合における、パケット検出装置（ＰＤ＃２，ＰＤ＃５）による、IPSA詐称パケット（IPSAに本来存在しないIPアドレスが設定されている場合）に基づく異常シーケンスの検出処理について説明する図である。 本実施形態におけるIPSA詐称パケット（実在するIPアドレスが設定されている場合）の検出のためにTCPの異常接続シーケンスの監視について説明するための図である。 パケット検出装置（ＰＤ＃２，ＰＤ＃５）による、IPSA詐称パケット（実在するIPアドレスが設定されている場合）に基づく異常シーケンスの検出処理について説明する図である。 パケット検出装置（ＰＤ＃３）による、IPSA詐称パケット（実在するIPアドレスが設定されている場合）に基づく異常シーケンスの検出処理について説明する図である。 パケット検出装置（ＰＤ＃１，ＰＤ＃６）による、IPSA詐称パケット（実在するIPアドレスが設定されている場合）に基づく異常シーケンスの検出処理について説明する図である。 本実施形態におけるパケット検出装置による検出イベントを管理サーバへ通知する処理を説明するための図である。 本実施形態における、パケット検出装置の処理フローの一例を示す。 本実施形態における、異常接続シーケンスを判定するために、受信したパケットが、３ウェイハンドシェークによる正常接続シーケンスが成立する場合に受信すべきパケットであるかを判定する処理を説明するための図である。 本実施形態における、SYNパケットを受信した場合の３ウェイハンドシェーク検証処理１（Ｓ１４）の詳細フローの一例を示す。 本実施形態における、SYN-ACKパケットを受信した場合の３ウェイハンドシェーク検証処理２（Ｓ１５）の詳細フローの一例を示す。 本実施形態における、ACKパケットを受信した場合の３ウェイハンドシェーク検証処理３（Ｓ１６）の詳細フローの一例を示す。 本実施形態における、一時蓄積バッファ管理処理（Ｓ１７）の詳細フローの一例を示す。 本実施形態における異常接続シーケンスの検証処理を説明するための図である。 本実施形態における、イコールコストマルチパス条件下での異常接続シーケンスの検証処理による正常シーケンス判定例を示す。 本実施形態におけるイーサチャネル区間配置時のパケット検出装置の動作を説明するための図である。 本実施形態における検証テーブルの一例を示す。 本実施形態における管理サーバによる異常接続シーケンスの検証処理フローの一例を示す。 本実施形態における異常接続シーケンスと判定されたパケットがIPSA詐称パケット（IPSAに本来存在しないIPアドレスが設定されている場合）であるか否かの判定について説明するための図である。 本実施形態における異常接続シーケンスと判定されたパケットがIPSA詐称パケット（実在するIPアドレスが設定されている場合）であるか否かの判定について説明するための図である。 Ｓ４３の判定における条件２について説明するための図である。 本実施形態における異常接続シーケンスと判定されたパケットがIPSA詐称パケットであるか否かの判定を行う処理フローの一例を示す。 本実施形態における、クライアントＰＣにIPSA詐称パケット検出画面を表示させるためのネットワーク構成の一例を示す。 本実施形態におけるIPSA詐称パケット検出画面の一例を示す。 本実施形態におけるノードアイコン定義画面の一例を示す。 本実施形態におけるリンク線定義画面の一例（その１）を示す。 本実施形態におけるリンク線定義画面の一例（その２）を示す。 本実施形態におけるリンク線定義画面の一例（その３）を示す。 本実施形態におけるTND定義画面の一例を示す。 本実施形態におけるIPSA詐称パケット検出時（IPSAに、実在しないIPアドレスが設定されている場合）の画面の表示例を示す。 実施形態におけるIPSA詐称パケット検出時（IPSAに、実在するIPアドレスが設定されている場合）の画面の表示例を示す。 本実施形態におけるIPSA詐称パケット送信端末を特定するための指示画面の一例を示す。 本実施形態におけるIPSA詐称パケットを送信した端末を特定した場合に表示される画面例である。 本実施形態におけるIPSA詐称パケットを送信した端末を特定することができなかった場合に表示される画面例を示す。 本実施形態におけるベースマップ画像の生成処理フローを示す。 本実施形態におけるIPSA詐称端末検出の検出結果の表示処理フローを示す。 本実施形態を適用したコンピュータのハードウェア環境の構成ブロック図である。

IPv４（Internet Protocol Version 4）アドレスの枯渇に伴い、今後はIPv６（Internet Protocol Version 6）への移行が進むと予測される。IPv４のセキュティモデルとしては、インターネットとイントラネットのように明確に分離されたネットワークの境界線上にファイアウォールを配置して集中的にトラフィックのチェックを行なう方式を用いることが多かった。なお、インターネットでは、グローバルアドレスが使用されている。イントラネットでは、プライベートアドレスが使用されている。

IPv４のセキュリティモデルにおいて、送信元のIPアドレスを詐称しているパケット（IPSA詐称パケット）を検出する方法としては、次の方法が考えられる。インターネットとイントラネットの境界線上に配置されたファイアウォールに、そのファイアウォールが接続されているサブネット情報の登録を物理ポート毎に予め行う。例えば、ファイアウォールに登録するサブネット情報として、ポート１側にグローバルアドレス、ポート２側にクラスＡのプライベートアドレス、ポート３側にクラスＢ，Ｃのプライベートアドレスを設定する。ファイアウォールは、各物理ポートからの入力されたパケットの送信元アドレスが、予め登録されたサブネット情報と一致しないパケットをIPSA詐称パケットとして検出することができる。

しかしながら、例えば各ポートの先のネットワークが、X.X.X.X/8〜X.X.X.X/30の間で細かく細分化されているとする。さらに、細分化されたアドレス空間がファイアウォールの各ポートの先に分散して存在したとする（うまくアドレス集約が行えないケース）。この場合、登録するサブネット数が増大して実運用に耐えられなくなる可能性がある。

またIPv６移行により、今後は内部イントラネットにおいてもグローバルアドレスが使用されることから、従来のグローバルアドレスとプライベートアドレスの区分けによる最も単純な設定が使えなくなる。さらに、IPv６アドレスの記述自体が『2001:db1:xxxx::/48』や『2001:db1:xxxx:abcd::/64』 のようにIPv４のアドレス表記よりも煩雑となる。結果として、ファイアウォールにサブネット情報を逐一手動で登録する手法ではIPv６移行後のネットワークに対してはますます適用が難しくなると思われる。

また、上述のように、攻撃元ホスト、踏み台ホスト、攻撃先ホスト、及びゲートウェイとの位置関係によってはIPSA詐称パケットを検出できない場合がある。
そこで、本実施形態の一側面では、ネットワークの接続態様に関わらずに、さらに、予め検出のためのサブネット情報の登録も行なわずに、容易にIPSA詐称パケットを検出する送信元アドレス詐称判定システムについて説明する。

またIPSA詐称パケット検出時の確認方法に関しても、従来方式ではファイアウォールの管理画面にテキストベースのログ出力を行う場合が多い。しかし、この場合には、ログ情報の他に、別途ネットワークの論理構成図や物理構成図などの情報を用いながら攻撃経路やどの装置が攻撃されているのか等の解析を行う必要があるため、攻撃の全体像を迅速に把握することが難しい。

そこで、本実施形態では、さらに、攻撃経路やどの装置が攻撃されているのか等の情報を視覚的に表示することができる送信元アドレス詐称判定システムについて説明する。

図１は、本実施形態における送信元アドレス詐称判定システムの一例を示す。送信元アドレス詐称判定システム２００は、通信情報検出装置１、送信元アドレス詐称判定装置２を含む。通信情報検出装置１は、検出部１ａ、通信情報判定部１ｂ、送信部１ｃを含む。通信情報検出装置１の一例として、パケット検出装置１２が挙げられる。送信元アドレス詐称判定装置２の一例として、管理サーバ１４が挙げられる。

検出部１ａは、中継装置９間を接続する通信線７によって伝送される通信情報を順次検出する。検出部１ａの行う処理の一例としては、Ｓ１１の処理が挙げられる。中継装置９の一例として、ルータ１５が挙げられる。なお、中継装置９の他方は、ネットワーク８と接続されている。また、ネットワーク８には、同様に、通信情報検出装置１が配置されている。

通信情報判定部１ｂは、検出された通信情報が、通信情報に用いられる通信プロトコルに基づいて正常にコネクションを確立させた通信情報であるかを判定する。通信情報判定部１ｂの行う処理の一例としては、Ｓ１７−４の処理が挙げられる。

送信部１ｃは、判定の結果、検出された通信情報が正常にコネクションを確立させた通信情報でない場合、検出された通信情報に関する検出情報を送信する。送信部１ｃの行う処理の一例として、Ｓ１７−５の処理が挙げられる。

送信元アドレス詐称判定装置２は、収集部２ａ、検証部２ｂ、経路情報取得部２ｃ、詐称判定部２ｄを含む。
収集部２ａは、通信情報検出装置１から送信された検出情報を収集する。収集部２ａの行う処理の一例として、Ｓ２１の処理が挙げられる。

検証部２ｂは、収集された検出情報を集約し、集約した検出情報に含まれる通信情報が通信プロトコルに基づいて正常にコネクションを確立させた通信情報であるかを検証する。検証部２ｂの行う処理の一例として、Ｓ２４の処理が挙げられる。

経路情報取得部２ｃは、判定の結果、集約した検出情報に含まれる通信情報が通信プロトコルに基づいて正常にコネクションを確立させた通信情報でない場合、次の処理を行う。すなわち、経路情報取得部２ｃは、検出された通信情報のうち第１情報処理装置３から第２情報処理装置４へ送信される通信情報について、第２情報処理装置４が属するネットワーク１０に属するいずれかの情報処理装置６に、経路情報を取得するように要求する。ここで、経路情報は、いずれかの情報処理装置６から通信情報の送信元アドレスまでの経路情報である。経路情報取得部２ｃは、いずれかの情報処理装置６から経路情報を取得する。経路情報取得部２ｃの行う処理の一例として、Ｓ５３，Ｓ５４の処理が挙げられる。情報処理装置６の一例として、末端ネットワーク装置１３が挙げられる。

詐称判定部２ｄは、経路情報の結果が正常でない場合、または経路情報により示される経路と第１情報処理装置３から第２情報処理装置４への送信経路とが異なる場合、通信情報の送信元アドレスが詐称であると判定する。詐称判定部２ｄの行う処理の一例として、Ｓ５５〜Ｓ５８の処理が挙げられる。
このように構成することにより、パケットのIPSAの詐称を判定することができる。

通信情報は、トランスミッション・コントロール・プロトコル（TCP）ヘッダが付加された情報である。通信情報判定部１ｂは、検出された通信情報について、３ウェイハンドシェークに従って、次の処理を行う。すなわち、通信情報判定部１ｂは、TCPヘッダに含まれるTCPフラグがSYNである通信情報を検出後に、閾値時間内に、TCPフラグがSYN-ACKである通信情報及びTCPフラグがACKである通信情報を順に検出したかを判定する。

このように構成することにより、そのパケットが、３ウェイハンドシェークに従って、正常な接続シーケンスを完了したパケットかを判定することができる。

検証部２ｂは、送信元アドレス、送信先アドレス、TCPフラグに基づいて、収集された検出情報を集約する。検証部２ｂは、集約した検出情報に含まれる通信情報について、３ウェイハンドシェークに従って、次の処理を行う。すなわち、検証部２ｂは、TCPヘッダに含まれるTCPフラグがSYNである通信情報を検出後に、閾値時間内に、TCPフラグがSYN-ACKである通信情報及びTCPフラグがACKである通信情報を順に検出したかを判定する。

このように構成することにより、ネットワークのトポロジーのために、その通信情報検出装置１では異常接続シーケンスと判定されたものであっても、送信元−送信先間で正常接続シーケンスが成立している接続シーケンスをIPSA詐称判定の対象から除外できる。すなわち、イコールコストマルチパス構成のネットワークで端末間のＴＣＰ疎通経路が分散してしまうことの影響を排除することができる。

詐称判定部２ｄは、経路情報の結果が正常でない場合、通信情報の送信元アドレスが詐称であると判定する。または詐称判定部２ｄは、経路情報に含まれる中継装置のアドレスのうちのいずれかが第１情報処理装置から第２情報処理装置へ送信される通信情報を検出した通信情報検出装置のアドレス空間に含まれない場合、通信情報の送信元アドレスが詐称であると判定する。

このように構成することにより、IPSAの詐称を判定することができる。
通信線７が、複数の物理線の集合から形成された論理的に１つの通信線である。通信情報検出装置１は、物理線のそれぞれに配置される。同一の通信線を形成する物理線に配置された通信情報検出装置のうちの第１の通信情報検出装置以外の通信情報検出装置を第２の通信情報検出装置という。第２の通信情報検出装置の送信部１ｃは、検出された通信情報に関する検出情報を、第１の通信情報検出装置へ送信する。第１の通信情報検出装置の通信情報判定部１ｂは、通信情報が、通信情報に用いられる通信プロトコルに基づいて正常にコネクションを確立させた通信情報であるかを判定する。ここで、通信情報は、第２の通信情報検出装置から送信された検出情報の示す通信情報及び第１の通信情報検出装置の検出部１ａにより検出された通信情報である。第１の通信情報検出装置の送信部１ｃは、判定の結果、通信情報が正常にコネクションを確立させた通信情報でない場合、通信情報に関する検出情報を送信する。

このように構成することにより、イーサチャネル区間に関して、第２の通信情報検出装置が代表となる第１の通信情報検出装置へ通信情報を集約させることにより、端末間のＴＣＰ通信がイーサチャネル区間を分散して疎通することの影響を回避することができる。

送信元詐称判定装置２は、さらに、登録部２ｅ、画像生成部２ｆ、付加部２ｇ、表示制御部２ｈを含む。
登録部２ｅは、中継装置９、通信線７、及び経路情報を取得する情報処理装置６について、ネットワーク上のアドレスに関する情報を登録する。登録部２ｅの行う処理の一例としては、Ｓ６１の処理が挙げられる。

画像生成部２ｆは、登録した情報に基づいて、中継装置９、通信線７、及び経路情報を取得する情報処理装置６の接続関係を生成する。画像生成部２ｆは、中継装置９、通信線７、及び経路情報を取得する情報処理装置６に対応するシンボルを接続関係に基づいて配置したネットワーク構成画像（ベースマップ）を生成する。画像生成部２ｆの行う処理の一例としては、Ｓ６２の処理が挙げられる。ネットワーク構成画像の一例として、IPSA詐称パケット検出画面８０が挙げられる。

表示制御部２ｈは、図２９に示すようなクライアント−サーバ形態において、クライアントＰＣからの要求に従う。すなわち、表示制御部２ｈは、最新または過去の履歴の送信元ＩＰアドレス詐称パケット検知情報の中から、任意の検知結果を、画像生成部２ｆにより生成されるベースマップ上にマッピングして、図３６または図３７に示すような検知画面の提供を行なう。付加部２ｇは、表示制御部２ｈが受信したクライアントＰＣからの画面要求に基づいて、要求と一致するＩＰＳＡ詐称パケットの検知結果を画像生成部２ｆにより生成されるベースマップ上にマッピングする。表示制御部２ｈが行う処理の一例としては、Ｓ６３、Ｓ６５の処理が挙げられる。付加部２ｇが行う処理の一例としては、Ｓ６２の処理が挙げられる。

このように構成することにより、IPSA詐称パケット検出画面８０に、送信元アドレス詐称情報を表示させることができる。したがって、攻撃経路やどの装置が攻撃されているか等の情報を視覚的に表示することができる。

図２は、本実施形態におけるIPSA詐称パケット検出のためのネットワーク構成の一例を示す。監視対象のネットワーク１１は、パケット検出装置（ＰＤ）１２、末端ネットワーク装置（TND）１３、管理サーバ１４、ルータ１５を含む。監視対象のネットワーク１１内に、パケット検出装置１２及び末端ネットワーク装置１３が分散して配置されている。ルータ１５間は、例えば通信ケーブル等の物理線で接続されている。ルータ１５とルータ１５、及びルータ１５と末端ネットワーク装置１３とは、論理ネットワークで接続されている。

ルータ１５は、ＯＳＩ（International Organization for Standardization）参照モデルにおけるネットワーク層（レイヤ３）のデータの転送処理を行う装置である。

パケット検出装置１２は、ルータ１５間のネットワークごとに１台ずつ配置される。また、イーサチャネルにより１つの論理ネットワークが複数の物理線で構成されている場合には、パケット検出装置１２は、物理線ごとに配置される。パケット検出装置１２は、パケット検出装置１２自身が配置されている物理線を通過するパケット（SYN,SYN-ACK,ACK）を検出する。パケット検出装置１２は、３ウェイハンドシェークに基づいて、検出したパケットが正常な接続シーケンスであるかを判定する。接続シーケンスが正常でない場合、パケット検出装置１２は、その検出結果を管理サーバ１４へ通知する。なお、パケット検出装置１２の当該機能は、ファイアーウォールに設けられてもよい。

管理サーバ１４は、パケット検出装置１２による検出情報を収集し、収集した検出結果に基づいて、パケット検出装置１２により異常と判定された接続シーケンスの検証を行う。３ウェイハンドシェークによる一連のパケット（SYN,SYN-ACK,ACK）のいずれかが他のパケットとは異なるルートを通ったためにパケット検出装置１２では検出されず、異常な接続シーケンスと判定される場合もある。しかしながら、そのように局所的に異常な接続シーケンスであっても、ネットワーク１１全体を見れば、送信元−送信先間では正常な接続シーケンスが成立している場合もある。そこで、管理サーバ１４は送信元−送信先間では正常な接続シーケンスが成立しているかを検証する。管理サーバ１４は、送信元−送信先間でも異常な接続シーケンスであると判定した場合、末端ネットワーク装置１３に、異常な接続シーケンスのうちSYNパケットに設定されている送信元アドレスに対してトレースルートを発行するように依頼する。管理サーバ１４は、その依頼の結果に基づいて、SYNパケットに設定されている送信元アドレスが詐称アドレスか否かを判定する。また、管理サーバ１４は、検出結果を管理者のコンピュータに送信し、IPSA詐称パケットの送信元を特定するための支援機能も有している。

なお、本実施形態ではＴＣＰの接続シーケンス判定であるため、３ウェイハンドシェークを用いたが、これに限定されず、通信プロトコルに応じた接続シーケンス判定方法を用いることができる。

末端ネットワーク装置１３は、ネットワーク１１の末端ネットワーク部分のセグメント毎に、１台ずつ配置される。末端ネットワーク装置１３は、管理サーバ１４からの依頼に応じて、異常な接続シーケンスのうちSYNパケットに設定されている送信元アドレスに対してトレースルートの発行を行う。なお、末端ネットワーク装置１３は、末端ネットワーク装置１３の当該機能を有するプログラムをインストールしたコンピュータでもよい。また、末端ネットワーク装置１３の機能を有するプログラムは、攻撃を受けているコンピュータにインストールされていてもよい。

図３は、パケットの構成を示す。図３（A）は、パケットのデータ構造を示す。パケットは、ＩＰヘッダ、ＴＰＣ（Transmission Control Protocol）ヘッダ、データ部を含む。

図３（B）は、ＩＰヘッダの構造を示す。ＩＰヘッダは、バージョン、ヘッダ長、サービスタイプ、パケット長、識別子、フラグ、フラグメントオフセット、生存時間、プロトコル、ヘッダチェックサム、送信元ＩＰアドレス、送信先ＩＰアドレス、オプション、パディングの項目を有する。「送信元ＩＰアドレス」（IPSA）には、送信元のＩＰアドレスがセットされる。「送信先ＩＰアドレス」（IPDA）には、送信先のＩＰアドレスがセットされる。これ以外の項目については、本実施形態で言及しないので、省略する。

図３（C）は、ＴＰＣヘッダの構造を示す。ＴＰＣヘッダは、送信元ポート番号、送信先ポート番号、シーケンス番号、確認応答番号、ヘッダ長、予約ビット、TCPフラグ、ウィンドウサイズ、チェックサム、緊急ポインタ、オプション、パディングの項目を有する。「TCPフラグ」には、SYNフラグ、SYN-ACKフラグ、ACKフラグ等のフラグ値がセットされる。これ以外の項目については、本実施形態で言及しないので、省略する。

図４は、３ウェイハンドシェークによるTCPのコネクション確立について説明するための図である。図４（A）は、３ウェイハンドシェークによるコネクション確立の接続シーケンスを示す。図４（B）は、パケット検出装置による正常な接続シーケンスの検出処理について説明する図である。図４（A）及び図４（B）では、送信側から受信側へ送信されるパケットのIPSAには、送信側の正しいＩＰアドレス（「10.0.20.1/24」）が設定されているとする。

送信側がTCPフラグに「SYN」が設定されたSYNパケットを送信すると、SYNパケットは、パケット検出装置１２を介して、受信側へ送信される。受信側がTCPフラグに「SYN-ACK」が設定されたSYN-ACKパケットを返信すると、SYN-ACKパケットは、パケット検出装置１２を介して、送信側へ返信される。送信側は、TCPフラグに「SYN-ACK」が設定されたSYN-ACKパケットを送信すると、ACKパケットは、パケット検出装置１２を介して、受信側へ送信される。

パケット検出装置１２は、受信したパケットのSYNフラグを検出後、全てのシーケンスパケット（SYNパケット、SYN-ACKパケット、ACKパケット）が閾値時間内に検出されたことを条件に、正常な接続シーケンスと判定する。したがって、パケット検出装置１２は、その条件を満たさない場合には、受信したパケットに基づくシーケンスは異常な接続シーケンスと判定する。

図５は、本実施形態の全体の流れを示す。ネットワーク１１内のパケット検出装置１２は、TCPの異常な接続シーケンスを監視する（Ｓ１）。異常な接続シーケンスを検出した場合、パケット検出装置１２は、検出結果を管理サーバ１４へ送信する（Ｓ２）。管理サーバ１４はパケット検出装置１２からのＴＣＰの異常な接続シーケンスの検出結果を受信後、その検出結果をマージする。管理サーバ１４は、そのマージした検出結果を用いて、そのパケット検出装置１２では、正常な接続シーケンスが成立していない接続シーケンスであっても、送信元−送信先間では正常なTCP接続シーケンスが成立しているかを検証する（Ｓ３）。管理サーバ１４は、検証の結果、異常と判定されたTCP接続シーケンスに対し、末端ネットワーク装置によるトレースルート発行の結果を用いて、TCP接続異常の原因がIPSA詐称によるものかどうかの判定を行う（Ｓ４）。

以下では、本実施形態をさらに詳述する。IPSA詐称パケットには、IPSAに、本来存在しないIPアドレスが設定されている場合と、IPSAに、実在するIPアドレスが設定されている場合とがある。まずは、図６を用いて、IPSAに、本来存在しないIPアドレスが設定されているIPSA詐称パケットのＴＣＰシーケンスについて説明する。

図６は、本実施形態におけるIPSA詐称パケット（IPSAに本来存在しないIPアドレスが設定されている場合）の検出のためにTCPの異常接続シーケンスの監視について説明するための図である。図６の各装置及びルータの各ポートに付されている数値は、ＩＰアドレス／サブネットマスクを示す。

図６のネットワークは、ルータ１５としてレイヤー３スイッチ（L3SW）を用いる。また、末端のネットワークでは、レイヤー２スイッチ（L2SW）１６を用いて、ネットワークが構成されている。

図６の上側にある末端のネットワークには、攻撃者の使用する端末（攻撃者端末）１７と末端ネットワーク装置１３がL2SW（１６）と接続されている。図６の左側にある末端のネットワークには、末端ネットワーク装置１３、サーバ１８がL2SW（１６）と接続されている。図６の右側にある末端のネットワークには、管理サーバ１４、サーバ１９、末端ネットワーク装置１３がL2SW（１６）と接続されている。サーバ１９は、攻撃者の標的となるサーバである。

攻撃者端末１７は、標的サーバ１９に対してIPSA詐称パケットを送信する。パケットは、「IPSA」、「IPDA」、「TCPフラグ」、「データ」を含む。「IPSA」には、「送信元のＩＰアドレス（IPSA）」が設定される。「IPDA」には、「送信先のIPアドレス（IPDA）」が設定される。「TCPフラグ」には、「SYN（接続要求）」、「ACK（応答確認）」等のフラグが設定される。

攻撃者端末１７のIPアドレスは、本来は、「10.0.20.1/24」である。しかしながら、図６においてIPSA詐称パケット２１では、攻撃者端末のIPアドレスには、本来存在しない「10.0.99.99」が設定されている。また、IPSA詐称パケット２１の「送信先のIPアドレス（IPDA）」には、標的サーバ１９のIPアドレスが設定されている。

攻撃者端末１７が標的サーバ１９に対して、IPSA詐称パケット２１（TCPフラグ値＝「SYN」、SYNパケット）を送信する。すると、IPSA詐称パケット２１は、パケット検出装置１２（ＰＤ＃２、ＰＤ＃５、ＰＤ＃３）を介して、標的サーバ１９に送信される。標的サーバ１９は、そのSYNパケットを受信すると、応答パケット（TCPフラグ値＝「SYN- ACK」、SYN-ACKパケット）を送信する。

そのSYN-ACKパケットは、パケット検出装置１２（ＰＤ＃３）を介して、デフォルトゲートウェイL3SW（１５）に送信される。デフォルトゲートウェイL3SW（１５）は、SYN-ACKパケットに設定されたIPDAが存在しないので、そのSYN-ACKパケットを破棄する。そのため、パケット検出装置１２（ＰＤ＃２、ＰＤ＃５）は、そのSYN-ACKパケットを受信することができない。また、SYN-ACKパケットを受信しなければ、送信元からそのSYN-ACKパケットに対応するACKパケットも送信されることがないので、パケット検出装置１２（ＰＤ＃３）は、そのACKパケットを受信することができない。したがって、パケット検出装置１２（ＰＤ＃２、ＰＤ＃３、ＰＤ＃５）では、不完全な接続シーケンスが検出されることになる。

以下では、図７〜図８を用いて、図５の場合におけるパケット検出装置１２（ＰＤ＃２、ＰＤ＃３、ＰＤ＃５）による接続シーケンスの判定について説明する。なお、図７、図８では、送信側（攻撃者端末１７）から受信側（標的サーバ１９）へ送信されるパケットのIPSAには、詐称ＩＰアドレス（「10.0.99.99」）が設定されているとする。

図７は、図５の場合における、パケット検出装置（＃３）による、IPSA詐称パケット（IPSAに本来存在しないIPアドレスが設定されている場合）に基づく異常シーケンスの検出処理について説明する図である。

図７（A）に示すように、送信側（攻撃している側）がSYNパケットを送信すると、SYNパケットは、パケット検出装置１２（ＰＤ＃３）を介して、受信側（攻撃されている側）へ送信される。受信側（攻撃されている側）がSYN-ACKパケットを返信すると、SYN-ACKパケットは、パケット検出装置１２（ＰＤ＃３）を介して、送信側（攻撃している側）へ返信される。ところが、上述したように、SYN-ACKパケットのIPDAが存在しないので、デフォルトゲートウェイL3SW（１５）は、そのSYN-ACKパケットを破棄する。したがって、SYN-ACKパケットに対応するACKパケットは発生しないので、パケット検出装置１２（ＰＤ＃３）は、そのACKパケットを受信できない。

パケット検出装置１２（ＰＤ＃３）において、SYN-ACKパケットの検出後、一定時間経過後もACKパケットが検出されない場合、図７（B）に示すように、タイムアウトになる。この場合、パケット検出装置１２（ＰＤ＃３）は、異常接続シーケンスを検出したと判定する。なお、受信側（攻撃されている側）は、タイムアウト時間まで資源が占有され、待ち状態（TCPハーフオープン状態）となっている。

図８は、図５の場合における、パケット検出装置（ＰＤ＃２，ＰＤ＃５）による、IPSA詐称パケット（IPSAに本来存在しないIPアドレスが設定されている場合）に基づく異常シーケンスの検出処理について説明する図である。

図８（A）に示すように、送信側（攻撃している側）がSYNパケットを送信すると、SYNパケットは、パケット検出装置１２（ＰＤ＃２，ＰＤ＃５）を介して、受信側（攻撃されている側）へ送信される。受信側（攻撃されている側）がSYN-ACKパケットを返信すると、受信側（攻撃されている側）はSYN-ACKパケットを送信する。

しかしながら、SYN-ACKパケットは、上述の通り、デフォルトゲートウェイL3SW（１５）により破棄されるので、パケット検出装置１２（ＰＤ＃２，ＰＤ＃５）へ送信されない。したがって、パケット検出装置１２（ＰＤ＃２，ＰＤ＃５）では、SYNパケットの検出後、一定時間経過後もSYN-ACKパケットが検出されない場合、図８（B）に示すように、タイムアウト状態になる。この場合、パケット検出装置１２（ＰＤ＃２，ＰＤ＃５）は、異常接続シーケンスを検出したと判定する。

次に、図９を用いて、IPSAに、実在するIPアドレスが設定されているIPSA詐称パケットのTCPシーケンスについて説明する。
図９は、本実施形態におけるIPSA詐称パケット（実在するIPアドレスが設定されている場合）の検出のためにTCPの異常接続シーケンスの監視について説明するための図である。ネットワーク１１の構成は、図６と同様である。

攻撃者端末１７のＩＰアドレスは、本来は、「10.0.20.1/24」である。しかしながら、図９においてIPSA詐称パケット２１では、攻撃者端末のＩＰアドレスには、実在する他の装置（図９の例では、サーバ１８）のIPアドレス「10.0.10.1」が設定されている。

攻撃者端末１７が標的サーバ１９に対して、IPSA詐称パケット２１（SYNパケット）を送信する。すると、IPSA詐称パケット２１は、パケット検出装置１２（ＰＤ＃２、ＰＤ＃５、ＰＤ＃３）を介して、標的サーバ１９に送信される。標的サーバ１９は、そのSYNパケットを受信すると、IPSA詐称パケット２１に設定されているIPSAを送信先（すなわち、サーバ１８）として、SYN-ACKパケットを送信する。L3SW（１５ａ）は、SYN-ACKパケットを、パケット検出装置１２（＃６）側へ送信する。SYN-ACKパケットは、パケット検出装置１２（ＰＤ＃３、ＰＤ＃６、ＰＤ＃１）を介して、サーバ１８に送信される。

サーバ１８は、SYNパケットを送信していないので、その受信したSYN-ACKパケットを破棄する。したがって、パケット検出装置１２（ＰＤ＃１、ＰＤ＃２、ＰＤ＃３、ＰＤ＃５、ＰＤ＃６）では、不完全な接続シーケンスが検出されることになる。

以下では、図１０〜図１２を用いて、３ウェイハンドシェークによるコネクション確立のシーケンス及びパケット検出装置１２（ＰＤ＃１、ＰＤ＃２、ＰＤ＃３、ＰＤ＃５、ＰＤ＃６）による異常状態のシーケンスの判定について説明する。

図１０は、パケット検出装置（ＰＤ＃２，ＰＤ＃５）による、IPSA詐称パケット（実在するIPアドレスが設定されている場合）に基づく異常シーケンスの検出処理について説明する図である。

図１０（Ａ）に示すように、送信側（攻撃している側）がSYNパケットを送信すると、SYNパケットは、パケット検出装置１２（ＰＤ＃２，ＰＤ＃５）を介して、受信側（攻撃されている側）へ送信される。受信側（攻撃されている側）がSYN-ACKパケットを返信すると、図９で説明したように、L3SW（１５ａ）により、SYN-ACKパケットは、パケット検出装置１２（ＰＤ＃６）側へ送信され、パケット検出装置１２（ＰＤ＃５）側へ送信されない。したがって、パケット検出装置１２（ＰＤ＃２，ＰＤ＃５）は、SYN-ACKパケットを受信できない。

よって、パケット検出装置１２（ＰＤ＃２，ＰＤ＃５）では、SYNパケットの検出後、一定時間経過後もSYN-ACKパケットが検出されないので、図１０（Ｂ）に示すように、タイムアウトになる。この場合、パケット検出装置１２（ＰＤ＃２，ＰＤ＃５）は、異常接続シーケンスを検出したと判定する。

図１１は、パケット検出装置（ＰＤ＃３）による、IPSA詐称パケット（実在するIPアドレスが設定されている場合）に基づく異常シーケンスの検出処理について説明する図である。

図１１（Ａ）に示すように、送信側（攻撃している側）がSYNパケットを送信すると、SYNパケットは、パケット検出装置１２（ＰＤ＃３）を介して、受信側（攻撃されている側）へ送信される。受信側（攻撃されている側）がSYN-ACKパケットを返信すると、SYN-ACKパケットは、パケット検出装置１２（ＰＤ＃３）を介して、送信側（攻撃している側）へ返信される。ところが、上述したように、L3SW（１５ａ）は、SYN-ACKパケットをサーバ１８へ送信する。サーバ１８は、そのSYN-ACKパケットを破棄するので、そのSYN-ACKパケットに対応するACKパケットが送信されることはない。したがって、パケット検出装置１２（ＰＤ＃３）は、そのACKパケットを受信できない。

パケット検出装置１２（ＰＤ＃３）において、SYN-ACKパケットの検出後、一定時間経過後もSYN-ACKパケットが検出されない場合、図１１（Ｂ）に示すように、タイムアウトになる。この場合、パケット検出装置１２（ＰＤ＃３）は、異常シーケンスを検出したと判定する。なお、受信側（攻撃されている側）は、タイムアウト時間まで資源が占有され、待ち状態（TCPハーフオープン状態）となっている。

図１２は、パケット検出装置（ＰＤ＃１，ＰＤ＃６）による、IPSA詐称パケット（実在するIPアドレスが設定されている場合）に基づく異常シーケンスの検出処理について説明する図である。

図１２（Ａ）及び図１２（Ｂ）に示すように、パケット検出装置（ＰＤ＃１，ＰＤ＃６）では、SYNパケットが未検出の状態でSYN-ACKパケットを検出する。この場合、パケット検出装置１２（ＰＤ＃１，ＰＤ＃６）は、異常シーケンスを検出したと判定する。

図１３は、本実施形態におけるパケット検出装置による検出イベントを管理サーバへ通知する処理を説明するための図である。例えば、図１３において、パケット検出装置１２（ＰＤ＃２、ＰＤ＃３、ＰＤ＃５）は、異常接続シーケンスを検出すると、SNMP（Simple Network Management Protocol）トラップ機能により、管理サーバ１４へ検出したイベントを通報する。

図１３は、図６（IPSAに本来存在しないIPアドレスが設定されている場合）に対応する処理であるが、図９（実在する他のIPアドレスが設定されている場合）も、同様である。すなわち、図９には、パケット検出装置１２（ＰＤ＃１、ＰＤ＃２、ＰＤ＃３、ＰＤ＃５、ＰＤ＃６）は、異常接続シーケンスを検出すると、SNMPトラップ機能により、管理サーバ１４へ検出したイベントを通報する。

なお、SNMPトラップの取りこぼし時のリカバリ対策として、管理サーバ１４から各パケット検出装置１２に対し、一定時間間隔ごとのポーリング処理を実施し、各ネットワークから検出イベントを収集するようにしてもよい。

次に、図１４−図１９を用いて、図６−図１３で説明したパケット検出装置による異常接続シーケンス検出及び管理サーバへの検出結果の通知フローについて説明する。
図１４は、本実施形態における、パケット検出装置の処理フローの一例を示す。パケット検出装置１２は、図１４−図１９で説明するように、異常接続シーケンス検出及び管理サーバへの検出結果の通知を行う。

パケット検出装置１２は、パケットを受信すると（Ｓ１１）、受信したパケットのヘッダに基づいて、受信したパケットがTCPパケットであるか否かの判定を行う（Ｓ１２）。受信したパケットがTCPパケットでない場合（Ｓ１２で「Ｎｏ」）、処理がＳ１１へ戻る。

受信したパケットがTCPパケットである場合（Ｓ１２で「Ｙｅｓ」）、パケット検出装置１２は、その受信パケットに含まれるTCPフラグをチェックする（Ｓ１３）。TCPフラグが「SYN」である場合、パケット検出装置１２は、３ウェイハンドシェーク検証処理１を行う（Ｓ１４）。Ｓ１４の処理の詳細は、図１６を用いて説明する。TCPフラグが「SYN-ACK」である場合、パケット検出装置１２は、３ウェイハンドシェーク検証処理２を行う（Ｓ１５）。Ｓ１５の処理の詳細は、図１７を用いて説明する。TCPフラグが「ACK」である場合、パケット検出装置１２は、３ウェイハンドシェーク検証処理３を行う（Ｓ１６）。Ｓ１６の処理の詳細は、図１８を用いて説明する。TCPフラグが「SYN」、「SYN-ACK」、または「ACK」でない場合、処理がＳ１１へ戻る。

Ｓ１４〜Ｓ１６（図１６、図１７、図１８）では、パケット検出装置１２は、異常接続シーケンスを判定するために、受信したパケットが、３ウェイハンドシェークによる正常接続シーケンスが成立する場合に受信すべきパケットであるかを判定する。この判定処理について図１５を用いて説明する。

図１５は、本実施形態における、異常接続シーケンスを判定するために、受信したパケットが、３ウェイハンドシェークによる正常接続シーケンスが成立する場合に受信すべきパケットであるかを判定する処理を説明するための図である。パケット検出装置１２は、メモリ、ハードディスクドライブ（ＨＤＤ）等の記憶装置を有する。

パケット検出装置１２は、その記憶装置内に、受信したパケットを保持するためのバッファ領域として一時蓄積バッファ２１（一時蓄積バッファ＃１，＃２，・・・＃ｎ）を確保する。一時蓄積バッファ＃ｎは、３ウェイハンドシェークの接続シーケンス単位で作成される。一時蓄積バッファ＃ｎには、例えば、「検出時間」、「IPSA」、「IPDA」、「TCPフラグ」のデータ項目が保持される。「検出時間」は、パケット検出装置１２が、その受信パケットを検出した日時を示す。「IPSA」は、受信パケットの送信元のIPアドレス（IPSA）を示す。「IPDA」は、受信したパケットの送信先のIPアドレス（IPDA）を示す。「TCPフラグ値」は、受信したパケットのTCPフラグの値を示す。

また、パケット検出装置１２は、記憶装置内に、検索エリア２２を有する。検索エリア２２は、情報を一時的に保持するメモリ上の作業領域である。
パケット検出装置１２は、一時蓄積バッファ２１に保持したパケットを用いて、３ウェイハンドシェークを完成させるための不足パケットを検索エリア２２に登録する。すなわち、パケット検出装置１２は、一時蓄積バッファ２１に蓄積したパケットから、正常接続シーケンス成立のために、次に受信すべきパケットの「IPSA」「IPDA」「TCPフラグ値」を生成し、検索エリア２２に登録する。

例えば、一時蓄積バッファ＃１に、検出時間=「20xx.11.24-23:38:24.xxx」、IPSA=「10.0.30.1」、IPDA=「10.0.99.99」、TCPフラグ=「SYN-ACK」までのパケットが蓄積されている。この場合、３ウェイハンドシェークに基づいて正常接続シーケンスが成立するためには、次の受信パケットのIPSA、IPDA、TCPフラグ値は、IPSA=「10.0.99.99」、IPDA=「10.0.30.1」、TCPフラグ=「ACK」である。したがって、パケット検出装置１２は、検索エリア２２に、IPSA=「10.0.99.99」、IPDA=「10.0.30.1」、TCPフラグ値=「ACK」、該当バッファ＝「＃１」を登録する。

一時蓄積バッファ＃２についても同様に、パケット検出装置１２は、検索エリア２２に、IPSA=「10.0.10.1」、IPDA=「10.0.30.1」、TCPフラグ=「ACK」、該当バッファ＝「＃２」を登録する。

そして、パケット検出装置１２は、新たにパケットを受信すると、検索エリア２２から、その受信したパケットの「IPSA」、「IPDA」、「TCPフラグ値」と一致するエントリを検索する。図１５において、新たに受信したパケットが、IPSA＝「10.0.10.1」、IPDA＝「10.0.30.1」、TCPフラグ値＝「ACK」の場合、検索エリア２２に、その受信したパケットの「IPSA」、「IPDA」、「TCPフラグ値」と一致するエントリがある。この場合、そのエントリの有する項目「該当バッファ」には、一時蓄積バッファ「＃２」が設定されている。したがって、パケット検出装置１２は、その受信したパケットを一時蓄積バッファ＃２へ蓄積する。

図１６は、本実施形態における、SYNパケットを受信した場合の３ウェイハンドシェーク検証処理１（Ｓ１４）の詳細フローの一例を示す。パケット検出装置１２は、検索エリア２２に、受信したパケットの「IPSA」「IPDA」「TCPフラグ値=SYN」と一致するエントリが登録されているかを検索する（Ｓ１４−１）。

検索エリア２２に、一致するエントリがない場合（Ｓ１４−２で「Ｎｏ」）、パケット検出装置１２は、３ウェイハンドシェーク異常判定のために、新規に、記憶装置に一時蓄積バッファ＃ｎを確保する（Ｓ１４−６）。

パケット検出装置１２は、新規に確保した一時蓄積バッファ＃ｎに、その受信したSYNパケットを一時保存する（Ｓ１４−７）。パケット検出装置１２は、一時蓄積バッファ管理処理を行う（Ｓ１７）。Ｓ１７については、図１９で説明する。

検索エリア２２に、一致するエントリがある場合（Ｓ１４−２で「Ｙｅｓ」）、パケット検出装置１２は、そのエントリに含まれるデータ項目「該当バッファ」に設定された一時蓄積バッファに、その受信したSYNパケットを一時保存する（Ｓ１４−３）。パケット検出装置１２は、検索エリア２２から、一致したエントリを削除する（Ｓ１４−４）。

パケット検出装置１２は、正常接続シーケンスが成立するならば、次に受信すべきパケットの「IPSA」「IPDA」「TCPフラグ値=SYN-ACK」を含むエントリを検索エリア２２に登録する（Ｓ１４−５）。その後、処理がＳ１１へ戻る。

図１７は、本実施形態における、SYN-ACKパケットを受信した場合の３ウェイハンドシェーク検証処理２（Ｓ１５）の詳細フローの一例を示す。パケット検出装置１２は、検索エリア２２に、受信したパケットの「IPSA」「IPDA」「TCPフラグ値=SYN-ACK」と一致するエントリが登録されているかを検索する（Ｓ１５−１）。

検索エリア２２に、一致するエントリがない場合（Ｓ１５−２で「Ｎｏ」）、パケット検出装置１２は、３ウェイハンドシェーク異常判定のために、新規に、記憶装置に一時蓄積バッファ＃ｎを確保する（Ｓ１５−６）。

パケット検出装置１２は、新規に確保した一時蓄積バッファ＃ｎに、その受信したSYN-ACKパケットを一時保存する（Ｓ１５−７）。パケット検出装置１２は、一時蓄積バッファ管理処理を行う（Ｓ１７）。Ｓ１７については、図１９で説明する。

検索エリア２２に、一致するエントリがある場合（Ｓ１５−２で「Ｙｅｓ」）、パケット検出装置１２は、そのエントリに含まれるデータ項目「該当バッファ」に設定された一時蓄積バッファに、その受信したSYN-ACKパケットを一時保存する（Ｓ１５−３）。パケット検出装置１２は、検索エリア２２から、一致したエントリを削除する（Ｓ１５−４）。

パケット検出装置１２は、正常接続シーケンスが成立するならば、次に受信すべきパケットの「IPSA」「IPDA」「TCPフラグ値=ACK」を含むエントリを検索エリア２２に登録する（Ｓ１５−５）。その後、処理がＳ１１へ戻る。

図１８は、本実施形態における、ACKパケットを受信した場合の３ウェイハンドシェーク検証処理３（Ｓ１６）の詳細フローの一例を示す。パケット検出装置１２は、検索エリア２２に、受信したパケットの「IPSA」「IPDA」「TCPフラグ値=ACK」と一致するエントリが登録されているかを検索する（Ｓ１６−１）。

検索エリア２２に、一致するエントリがない場合（Ｓ１６−２で「Ｎｏ」）、パケット検出装置１２は、３ウェイハンドシェーク異常判定のために、新規に、記憶装置に一時蓄積バッファ＃ｎを確保する（Ｓ１６−５）。

パケット検出装置１２は、新規に確保した一時蓄積バッファ＃ｎに、その受信したACKパケットを一時保存する（Ｓ１６−６）。パケット検出装置１２は、一時蓄積バッファ管理処理を行う（Ｓ１７）。Ｓ１７については、図１９で説明する。

検索エリア２２に、一致するエントリがある場合（Ｓ１６−２で「Ｙｅｓ」）、パケット検出装置１２は、そのエントリに含まれるデータ項目「該当バッファ」に設定された一時蓄積バッファに、その受信したACKパケットを一時保存する（Ｓ１６−３）。パケット検出装置１２は、検索エリア２２から、一致したエントリを削除する（Ｓ１６−４）。その後、処理がＳ１１へ戻る。

図１９は、本実施形態における、一時蓄積バッファ管理処理（Ｓ１７）の詳細フローの一例を示す。パケット検出装置１２は、一時蓄積バッファ内にパケット情報を書き込み後、閾値時間を計測するための閾値タイマを起動する（Ｓ１７−１）。

パケット検出装置１２は、閾値時間内に、その一時蓄積バッファに、新たにパケット情報の書き込みがあるか否かを判定する（Ｓ１７−２）。閾値時間内に、その一時蓄積バッファに、新たにパケット情報の書き込みがある場合（Ｓ１７−２で「Ｙｅｓ」）、パケット検出装置１２は、３ウェイハンドシェークによる接続シーケンスが完了したか否かを判定する（Ｓ１７−３）。一時蓄積バッファ２１（＃ｎ）に、一組の接続シーケンスパケット（SYNパケット、SYN-ACKパケット、ACKパケット）が保存されている場合、パケット検出装置１２は、３ウェイハンドシェークによる接続シーケンスが完了したと判定する。３ウェイハンドシェークによる接続シーケンスが完了したと判定した場合（Ｓ１７−３で「Ｙｅｓ」）、パケット検出装置１２は、記憶装置上に確保した一時蓄積バッファ＃ｎの領域を解放する（Ｓ１７−７）。その後、処理はＳ１１へ戻る。

３ウェイハンドシェークによる接続シーケンスが完了していないと判定した場合（Ｓ１７−３で「Ｎｏ」）、パケット検出装置１２は、閾値タイマを再起動する（Ｓ１７−４）。それから、処理はＳ１７−２へ戻る。

Ｓ１７−２において、閾値時間内に、その一時蓄積バッファに、新たにパケット情報の書き込みがある場合（Ｓ１７−２で「Ｎｏ」）、パケット検出装置１２は、異常接続シーケンスである旨を管理サーバ１４へ通知する（Ｓ１７−５）。この場合、パケット検出装置１２は、一時蓄積バッファ２１内の情報を含めて異常接続シーケンスである旨を管理サーバ１４へ通知する。

管理サーバ１４は、パケット検出装置１２から異常接続シーケンス判定の検出結果を受信すると、その検出結果をマージして検出結果の検証を行なう。この検証は、ネットワークトポロジーの関係により、局所的にＴＣＰ ３ウェイハンドシェークが成立していない場合でも、他のルートを考慮すれば、ＴＣＰ３ ウェイハンドシェークが成立している接続シーケンスを検証するために行う。

パケット検出装置１２は、再送用に一時蓄積バッファ＃ｎの情報を一定時間保持する（Ｓ１７−６）。このとき、パケット検出装置１２は、閾値タイマまたは蓄積バッファの件数などで保持時間を調整する。パケット検出装置１２は、記憶装置上に確保した一時蓄積バッファ＃ｎの領域を解放する（Ｓ１７−７）。その後、処理はＳ１１へ戻る。

管理サーバ１４は、パケット検出装置１２から異常接続シーケンス判定の検出結果を受信すると、その検出結果をマージして検出結果の検証を行なう。この検証は、ネットワークトポロジーの関係により、局所的にＴＣＰ ３ウェイハンドシェークが成立していない場合でも、他のルートを考慮すれば、ＴＣＰ ３ウェイハンドシェークが成立している接続シーケンスを検証するために行う。

Ｓ１７−５において述べたように、管理サーバ１４は、パケット検出装置１２から異常接続シーケンス判定の検出結果を受信すると、その検出結果をマージして検出結果の検証を行なう。これにより、図２１で説明するように、イコールコストマルチパス構成のネットワークで端末間のＴＣＰ疎通経路が分散してしまうことの影響を排除することができる。またイーサチャネル区間に関しては、図２２で説明するように、代表となるパケット検出装置１２を設定することで端末間のＴＣＰ通信がイーサチャネル区間を分散して疎通することの影響を回避することができる。以下では、パケット検出装置１２から収集した検出結果の検証について説明する。

図２０は、本実施形態における異常接続シーケンスの検証処理を説明するための図である。管理サーバ１４は、各パケット検出装置１２の異常接続シーケンス検出結果を、IPSA、ＩＰＤＡ、検出日時等に基づいて、マージする。

図２０において、検出結果３１は、パケット検出装置１２（ＰＤ＃２，ＰＤ＃５）から送信されたものである。検出結果３１は、SYNパケットが検出されたので、パケット検出装置１２（ＰＤ＃２，ＰＤ＃５）は、そのSYNパケットに対応するSYN-ACKパケットを待っていたが、タイムアウトになったことを示す。

検出結果３２は、パケット検出装置１２（ＰＤ＃３）から送信されたものである。検出結果３２は、SYNパケット及びSYN−ACKパケットが検出されたので、パケット検出装置１２（ＰＤ＃３）は、そのSYN−ACKパケットに対応するACKパケットを待っていたが、タイムアウトになったことを示す。

管理サーバ１４は、図２０に示すように、IPSA、IPDA、TCPフラグ値等に基づいて、２つ以上の検出結果をマージし、冗長な受信パケット情報を排除する。管理サーバ１４は、このマージ結果に含まれる接続シーケンス毎に、３ウェイハンドシェークによる接続シーケンスが成立するかを判定する。管理サーバ１４は、３ウェイハンドシェークによる接続シーケンスが成立しない不完全な接続シーケンスを、異常接続シーケンスとして再判定する。

さらに、図２１、図２２を用いて、異常接続シーケンスの検証処理について詳述する。
図２１は、本実施形態における、イコールコストマルチパス条件下での異常接続シーケンスの検証処理による正常シーケンス判定例を示す。L3SW＃１とL3SW＃２の間は、イコールコストマルチパス設定がされ、たとえば、２つの物理線で接続されている。各物理線には、パケット検出装置１２（ＰＤ＃X1、ＰＤ＃X2）が設定されている。L3SW＃１は、送信側端末４１と接続されている。L3SW＃２は、サーバ４２と接続されている。

パケット検出装置１２（＃X1）の検出結果４３は、SYNパケットが検出された後、タイムアウト閾値内で、SYN-ACKパケットが受信されていないので、タイムアウトになっている。このことから、検出結果４３の接続シーケンスは、異常と判定される。また、検出結果４３では、タイムアウト閾値×３の時間内に、ACKパケットが検出されているとする。接続シーケンスが異常と判定されたことから、パケット検出装置１２（ＰＤ＃X1）は、検出結果４３を異常接続シーケンスとして管理サーバ１４へ送信する。

パケット検出装置１２（＃X２）の検出結果４４では、SYNパケットが未検出のままで、SYN-ACKパケットが受信されているので、検出結果４３の接続シーケンスは、異常と判定される。また、検出結果４３において、SYN-ACKパケットを検出後、タイムアウト閾値内で、ACKパケットが受信されていないので、タイムアウトになっている。接続シーケンスが異常と判定されたことから、パケット検出装置１２（ＰＤ＃X２）は、検出結果４４を異常接続シーケンスとして管理サーバ１４へ送信する。

管理サーバ１４は、パケット検出装置１２から収集した異常接続シーケンス検出結果をマージする。具体的には、管理サーバ１４は、収集した異常接続シーケンス検出結果を、IPSA,IPDAの組み合わせ、及びTCPフラグ値（SYN、SYN-ACK、ACK）の組み合わせ等に基づいて、マージする。管理サーバ１４は、そのマージした検出結果に含まれる接続シーケンス毎に、３ウェイハンドシェークによる接続シーケンスが完成する接続シーケンスがあるかを判定する。３ウェイハンドシェークによる接続シーケンスが完成する接続シーケンスであれば、管理サーバ１４は、そのシーケンスを正常接続シーケンスとして再判定する。

図２２は、本実施形態におけるイーサチャネル区間配置時のパケット検出装置の動作を説明するための図である。L3SW＃１とL3SW＃２の間は、イーサチャネルで構成されている。イーサチャネルとは、複数の物理線を、1本の論理的なリンクとして使用する技術を示す。L3SW＃１とL3SW＃２の間は、複数の物理線で接続されている。各物理線には、パケット検出装置１２（ＰＤ＃X1、ＰＤ＃X2、ＰＤ＃X３）が設定されている。L3SW＃１は、送信側端末４１と接続されている。L3SW＃２は、サーバ４２と接続されている。

図２２では、同一イーサチャネル区間に配置されたパケット検出装置１２がグループ化され、その中の１台のパケット検出装置が代表パケット検出装置（代表ＰＤ）として設定されている。

代表パケット検出装置（代表ＰＤ）以外のパケット検出装置（配下ＰＤ）は、受信したパケット情報を代表ＰＤへ送信する。
代表ＰＤは、配下ＰＤにより収集したパケット情報と、自身で受信したパケット情報を合わせて、異常接続シーケンスの検出処理を実施する。また、代表ＰＤは、SNMPのトラップ機能を用いた検出イベント通知、管理サーバからのポーリングに対する応答などの、管理サーバ１４との通信を行う。

図２３は、本実施形態における検証テーブルの一例を示す。検証テーブル５０は、管理サーバ１４が、パケット検出装置１２から収集した検出結果から異常接続シーケンスを検証するために用いるテーブルである。サーバ１４はパケット検出装置１２から送られてくる情報（Ｓ１７−５で通知）を元に、検証テーブル５０の構築を行う。図２３（A）は、マージ処理前の検証テーブル５０ａを示す。図２３（B）は、マージ処理後の検証テーブル５０ｂを示す。

検証テーブル５０は、「検出ＰＤ」５１、「検出日時」５２、「IPSA」５３、「IPDA」５４、「TCPフラグ」５５のデータ項目を含む。「検出ＰＤ」５１は、検出結果の収集元のパケット検出装置１２を識別する情報が格納される。「ＰＤ検出日時」５２は、パケット検出装置１２により検出された日時を示す。「IPSA」５３は、送信元のIPアドレスが格納される。「IPDA」５４は、送信先のIPアドレスが格納される。「TCPフラグ」には、TCPフラグの値が格納される。

図２４は、本実施形態における管理サーバによる異常接続シーケンスの検証処理フローの一例を示す。管理サーバ１４は、パケット検出装置１２より、一時蓄積バッファの内容を含めた異常接続シーケンス検出結果を受信する（Ｓ２１）。管理サーバ１４は、受信した異常接続シーケンス検出結果を、パケット検出装置１２側の検出日時を用いて、図２３（Ａ）に示すように、検証テーブル５０ａに時系列に展開する（Ｓ２２）。

管理サーバ１４は、以下の条件をすべて満たしたパケット情報同士を、図２３（Ｂ）に示すように、マージし、冗長なパケット情報を排除する（Ｓ２３）。
（条件１）異なるパケット検出装置１２が検出したパケット情報であること（同じパケット検出装置により検出されたパケット情報はマージしない）。
（条件２）IPSA、IPDA、TCPフラグ値が一致するパケット情報であること。
（条件３）マージ対象のパケット情報のうち、検出日時が最も早いパケット情報を起点として閾値時間内 （例えば10ms以下など）に収まるパケット情報であること。
Ｓ２３の処理により、複数のパケット検出装置１２で重複して検出されたパケット情報を１つにまとめることができる。

管理サーバ１４は、マージした検証テーブル５０ｂを用いて、３ウェイハンドシェークフローのルールに基づいて、接続シーケンスが正常であるか否かの再判定処理を行う（Ｓ２４）。すなわち、管理サーバ１４は、マージした検証テーブル５０を用いてIPSAとIPDAの組み合わせが適切で、かつSYNパケット検出後に、閾値時間内ですべての接続シーケンスパケット（SYN、SYN-ACK、ACK）が検出された接続シーケンスであるかを判定する。管理サーバ１４は、検証テーブル５０ｂにより、閾値時間内で、「IPSA:A、IPDA:B、TCPフラグ値＝SYN」、「IPSA:B、IPDA:A、TCPフラグ値＝SYN-ACK」、「IPSA:A、IPDA:B、TCPフラグ値＝ACK」のパケットが検出されたかを判定する。

IPSAとIPDAの組み合わせが適切で、かつSYNパケット検出後に、閾値時間内ですべての接続シーケンスパケットが検出された接続シーケンスである場合、管理サーバ１４は、その接続シーケンスは正常であると判定する（Ｓ２６）。一方、管理サーバ１４は、Ｓ２４で正常と判定されない接続シーケンスを異常接続シーケンスと判定する（Ｓ２５）。
Ｓ２５またはＳ２６の処理後、管理サーバ１４は、検証テーブル５０の内容を消去する（Ｓ２７）。

次に、上記の接続シーケンス検証処理で異常接続シーケンスと判定されたパケットについて、TCP接続異常の原因がIPSA詐称によるものかどうかのIPSA詐称判定を行う。なお、その検証処理で異常接続シーケンスと判定された接続シーケンスに対し、攻撃者が詐称したＩＰアドレスがネットワーク１１上に存在するか否かで、そのIPSA詐称判定処理が異なる。詐称したＩＰアドレスがネットワーク１１上に存在しない場合のIPSA詐称判定について、図２５を用いて説明する。詐称したＩＰアドレスがネットワーク１１上に存在する場合のIPSA詐称判定について、図２６、図２７を用いて説明する。

図２５は、本実施形態における異常接続シーケンスと判定されたパケットがIPSA詐称パケット（IPSAに本来存在しないIPアドレスが設定されている場合）であるか否かの判定について説明するための図である。

管理サーバ１４は、パケット検出装置１２から収集した検出結果の中からSYN-ACK未応答のSYNパケットを抽出する。管理サーバ１４は、抽出したSYNパケットよりIPSAとIPDAを抽出する（Ｓ３１）。管理サーバ１４は、抽出したIPDAとIPSAを使用して以下の処理を行なう。

管理サーバ１４は、IPDAと同一セグメントに配置された末端ネットワーク装置（TND）１３に対し、IPSA宛のトレースルート発行を依頼する。末端ネットワーク装置１３は、その依頼に基づいて、IPSA宛のトレースルートを発行し、そのトレースルート発行結果を取得する。管理サーバ１４は、末端ネットワーク装置１３から、そのトレースルート発行結果を取得する（Ｓ３２）。

管理サーバ１４は、そのトレースルート発行結果及びパケット検出装置１２の検出結果を用いて、以下の条件を満たした場合、Ｓ３１で抽出したSYNパケットをIPSA詐称パケットと判定する（Ｓ３３）。
条件１：トレースルート発行結果が異常であること。
条件２：抽出したSYNパケットの単位時間当たりの検出回数が閾値を超えること。

図２６は、本実施形態における異常接続シーケンスと判定されたパケットがIPSA詐称パケット（実在するIPアドレスが設定されている場合）であるか否かの判定について説明するための図である。

管理サーバ１４は、パケット検出装置１２から収集した検出結果の中からSYN-ACK未応答のSYNパケットを抽出する。管理サーバ１４は、抽出したSYNパケットよりIPSAとIPDAを抽出する（Ｓ４１）。管理サーバ１４は、抽出したIPDAとIPSAを使用して以下の処理を行なう。

管理サーバ１４は、IPDAのサーバと同一セグメントに配置された末端ネットワーク装置（TND）１３に対し、IPSA宛のトレースルート発行を依頼する。末端ネットワーク装置１３は、その依頼に基づいて、IPSA宛のトレースルートを発行し、そのトレースルート発行結果を取得する。管理サーバ１４は、末端ネットワーク装置１３から、そのトレースルート発行結果を取得する（Ｓ４２）。

管理サーバ１４は、そのトレースルート発行結果及びパケット検出装置１２の検出結果を用いて、以下の条件を満たした場合、Ｓ４１で抽出したSYNパケットをIPSA詐称パケットと判定する（Ｓ４３）。
条件１：トレースルート発行結果が正常であること。
条件２：トレースルート結果がＳ４１で抽出したSYNパケットを検出したパケット検出装置１２の配置ルートと不一致であること（図２７参照）。

図２７は、Ｓ４３の判定における条件２について説明するための図である。ＰＤ検出ルートテーブル６１は、Ｓ４１で抽出されたパケットを検出した各パケット検出装置１２が配置されたアドレス空間を示す。

管理サーバ１４は、パケット検出装置１２から収集した検出結果の中から、例えば、IPSA=10.0.10.1 and IPDA=10.0.30.1 and Protocol No=6(TCP) and Tcp flags=2 (SYN)の条件でパケット検出情報を抽出する。管理サーバ１４は、該当パケットを検知したパケット検出装置と、該当のパケット検出装置が配置されたアドレス空間の情報をＰＤ検出ルートテーブル６１に格納する。なお、そのパケット検出装置１２のアドレス空間についての情報は、管理サーバ１４の記憶装置に予め格納されていてもよい。

トレースルート結果６２は、末端ネットワーク装置１３からＩＰアドレス「10.0.10.1」宛てのトレースルート結果である。
管理サーバ１４は、トレースルート結果６２とＰＤ検出ルートテーブル６１とを比較する。トレースルート結果６２のうち「10.0.50.10」は、ＰＤ＃３のアドレス空間「10.0.50.8/30」に含まれる。しかしながら、トレースルート結果６２の、「10.0.30.254」、「10.0.40.9」、「10.0.40.2」、「10.0.10.1」は、いずれのパケット検出装置１２のアドレス空間に含まれない。この場合、トレースルート結果６２は、Ｓ４１で抽出したSYNパケットを検出したパケット検出装置１２の配置ルートと不一致である。

図２８は、本実施形態における異常接続シーケンスと判定されたパケットがIPSA詐称パケットであるか否かの判定を行う処理フローの一例を示す。管理サーバ１４は、パケット検出装置１２から収集した検出結果の中からSYN-ACK未応答のSYNパケットを抽出する（Ｓ５１）。管理サーバ１４は、抽出したSYNパケットよりIPSAとIPDAを抽出する（Ｓ５２）。管理サーバ１４は、以下の処理に関しては、その抽出したIPDAとIPSAを使用する。

管理サーバ１４は、IPDAのサーバと同一セグメントに配置された末端ネットワーク装置（TND）１３に対し、IPSA宛のトレースルート発行を依頼する（Ｓ５３）。末端ネットワーク装置１３は、その依頼に基づいて、IPSA宛のトレースルートを発行し、そのトレースルート発行結果を取得する。末端ネットワーク装置１３は、そのトレースルート発行結果を管理サーバ１４へ送信する。管理サーバ１４は、末端ネットワーク装置１３から、そのトレースルート発行結果を取得する（Ｓ５４）。

管理サーバ１４は、取得したトレースルート発行結果が正常か否かを判定する（Ｓ５５）。取得したトレースルート発行結果が異常（またはエラー）である場合、管理サーバ１４は、Ｓ５１で抽出したSYNパケットの単位時間当たりの検出回数が閾値を超えたか否かを判定する（Ｓ５７）。SYNパケットの単位時間当たりの検出回数が閾値を超えた場合、管理サーバ１４は、そのSYNパケットのIPSAが詐称であると判定する（Ｓ５８）。

Ｓ５５において、取得したトレースルート発行結果が正常である場合（Ｓ５５で「Ｙｅｓ」）、Ｓ５１で抽出されたSYNパケットの送信ルートとトレースルート発行結果とが一致するかを判定する（Ｓ５６）。Ｓ５６では、図２７で説明したように、トレースルート発行結果に含まれる全てのＩＰアドレスが、Ｓ５１で抽出されたSYNパケットを検出したパケット検出装置１２の配置されたアドレス空間に含まれる場合、管理サーバ１４はルートが一致すると判定する。

Ｓ５６の判定の結果、Ｓ５１で抽出されたSYNパケットの送信ルートとトレースルート発行結果とが一致しない場合（Ｓ５６で「Ｎｏ」）、管理サーバ１４は、そのSYNパケットのIPSAが詐称であると判定する（Ｓ５８）。
このようにして、送信されたパケットのIPSAが詐称しているか否かを判定することができる。

次に、IPSA詐称パケット検出の視覚化について説明する。
図２９は、本実施形態における、クライアントＰＣにIPSA詐称パケット検出画面を表示させるためのネットワーク構成の一例を示す。パーソナルコンピュータ（クライアントＰＣ）７１は、管理サーバ１４とネットワーク７２（例えば、インターネット、ＬＡＮ（Local Area Network））で接続されている。

画面データ要求がクライアントＰＣ７１から管理サーバ１４へ送信される（矢印７３）。すると、管理サーバ１４は、クライアントＰＣ７１側のWEBブラウザまたは専用アプリケーションソフトウェアに対して、図３０〜図４０で示すような画面データを提供する（矢印７４）。

図３０は、本実施形態におけるIPSA詐称パケット検出画面の一例を示す。IPSA詐称パケット検出画面８０は、例えば、「ノードアイコン」８１、「TNDアイコン」８２、「ノードアイコン間を接続するリンク線」８３、と「共通インフォメーションエリア」８４、「インフォメーションエリア」８５の要素を含む。

「ノードアイコン」８１には、「ＩＰアドレス」および「サブネット情報」の登録が可能である。「ノードアイコン間を接続するリンク線」８３のうち、パケット検出装置１２が配置されているリンクについては、太い実線で示す。「ノードアイコン間を接続するリンク線」８３のうち、パケット検出装置１２が未配置のリンクについては、太い破線で示す。「インフォメーションエリア」８５は、図３１で説明するように、ノードアイコンの設定画面においてサブネット情報が登録されると、「インフォメーションエリア」８５が自動作成される。「インフォメーションエリア」８５は、通常未表示である。

IPSA詐称パケット検出画面８０に含まれる各要素を定義する画面を図３１〜図３５を用いて説明する。

図３１は、本実施形態におけるノードアイコン定義画面の一例を示す。ノードアイコン定義画面９０は、L2SW、L3SW等のネットワークを構成する各ノードの定義を設定するための画面である。ノードアイコン定義画面９０は、機器名入力欄９１、アイコン選択欄９２、登録アドレス一覧９３、追加ボタン９４、削除ボタン９５、サブネットアドレス一覧９６、追加ボタン９７、削除ボタン９８を含む。

機器名入力欄９１には、ノードアイコンに定義する機器名が入力される。アイコン選択欄９２には、ノードアイコンの選択可能な絵柄が表示される。

登録アドレス一覧９３には、ノードアイコンに定義する機器が有する「IPアドレス」及び「備考」が表示される。追加ボタン９４を押下すると、登録アドレス一覧９３にノードアイコンに定義する機器が有する「IPアドレス」及び「備考」を登録することができる。削除ボタン９５を押すと、登録アドレス一覧９３において選択された行を削除することができる。

サブネットアドレス一覧９９には、ノードアイコンに定義する機器が収容するサブネットアドレスの「IPアドレス」及び「備考」が表示される。追加ボタン９７を押下すると、サブネットアドレス一覧９６にそのサブネットアドレスの「IPアドレス」及び「備考」を登録することができる。削除ボタン９８を押すと、登録アドレス一覧９３において選択された行を削除することができる。サブネットアドレス一覧９６に登録すると、インフォメーションエリア８５が自動的に生成される。

図３２、図３３、及び図３４は、本実施形態におけるリンク線定義画面の一例を示す。リンク線定義画面１００は、リンク線８３毎に、リンク線の定義を設定するための画面である。リンク線定義画面１００は、接続元入力欄１０１、接続元IPアドレス設定欄１０２、接続先入力欄１０３、接続先IPアドレス設定欄１０４を含む。さらに、リンク線定義画面１００は、登録サブネット一覧１０５、追加ボタン１０６、削除ボタン１０７、イーサチャネル設定一覧１０８、追加ボタン１０９、削除ボタン１１０を含む。

接続元入力欄１０１には、接続元の機器名が入力される。接続元IPアドレス設定欄１０２には、接続元の機器のIPアドレスが設定される。接続先入力欄１０３には、接続先の機器名が入力される。接続先IPアドレス設定欄１０４には、接続先の機器のIPアドレスが設定される。

登録サブネット一覧１０５には、リンク線が属する「サブネットアドレス」及び「備考」が表示される。追加ボタン１０６を押下すると、登録サブネット一覧１０５に「サブネットアドレス」及び「備考」を登録することができる。削除ボタン１０７を押すと、登録サブネット一覧１０５において選択された行を削除することができる。

イーサチャネル設定一覧１０８には、リンク線に配置された「ＰＤ名」（パケット検出装置）、パケット検出装置の「IPアドレス」及び「ポート１方向」が表示される。「ポート１方向」とは、パケット検出装置の有する２つのポートのうちのポート１が、接続元入力欄１０１に設定された機器または接続先入力欄１０３に設定された機器のいずれかと接続されているかを示す。追加ボタン１０９を押下すると、イーサチャネル設定一覧１０８に「ＰＤ名」、「IPアドレス」及び「ポート１方向」を登録することができる。削除ボタン１１０を押すと、イーサチャネル設定一覧１０８において選択された行を削除することができる。

イーサチャネル設定一覧１０８へのパケット検出装置１２の登録がない場合には、図３２に示すように、リンク線８３は点線表示される。イーサチャネル設定一覧１０８へ１つのパケット検出装置１２を登録すると、図３３に示すように、リンク線が実線表示される。イーサチャネル設定一覧１０８へパケット検出装置１２を複数登録すると、図３４に示すように、イーサチャネルマーク１１１が自動表示される。

図３５は、本実施形態におけるTND定義画面の一例を示す。TND定義画面１２０は、各末端ネットワーク装置（TND）８２の定義を設定するための画面である。TND定義画面９０は、機器名入力欄１２１、アイコン選択欄１２２、登録アドレス一覧１２３、追加ボタン１２４、削除ボタン１２５を含む。

機器名入力欄１２１には、機器名に定義する機器名が入力される。アイコン選択欄１２２には、末端ネットワーク装置１３の選択可能なアイコンの絵柄が表示される。

登録アドレス一覧９３には、登録した「IPアドレス」及び「備考」が表示される。追加ボタン１２４を押下すると、登録アドレス一覧１２３に「IPアドレス」及び「備考」を登録することができる。削除ボタン１２５を押すと、登録アドレス一覧１２３において選択された行を削除することができる。

パケット検出装置１２及び末端ネットワーク装置１３による検出結果等は、ノードアイコン８１、リンク線８３、TNDアイコン８２に予め定義された情報に基づいて、それぞれのアイコンやリンク線にマッピングして表示される。ただし画面上にマッピング可能な定義情報が存在しない場合には、共通インフォメーションエリア８４へ、その検出結果等の表示が行われる。

管理サーバ１４による異常接続シーケンス判定結果等は、ノードアイコン８１、リンク線８３、TNDアイコン８２に予め定義された情報に基づいて、アイコンやリンク線にマッピングして表示される。ただし画面上にマッピング可能な定義情報が存在しない場合には、共通インフォメーションエリア８４へ、その異常接続シーケンス判定結果等の表示が行われる。

図３６は、本実施形態におけるIPSA詐称パケット検出時（IPSAに、実在しないIPアドレスが設定されている場合）の画面の表示例を示す。図３７は、本実施形態におけるIPSA詐称パケット検出時（IPSAに、実在するIPアドレスが設定されている場合）の画面の表示例を示す。図３６及び図３７では、管理サーバ１４は、以下のようなルールで画面上へのマッピング表示を行っている。

管理サーバ１４は、パケット検出装置１２によるIPSA詐称パケットの検出ルートを、パケット検出装置１２が登録されたリンク線８３上に矢印８３ａとしてマッピング表示する。管理サーバ１４は、矢印８３ａの方向を、リンク線８３に定義されたポート１方向の情報から計算する。すなわち、管理サーバ１４は、リンク線８３に定義されたポート１方向の情報に基づいて、パケット検出装置１２の検出結果から、そのパケット検出装置１２のいずれのポートからパケットが入力または出力されたかを検出する。これにより、管理サーバ１４は、パケット検出装置１２が配置されたルートを通過したパケットの通過方向を検出することができる。その結果、管理サーバ１４は、IPSA詐称パケットを検出したパケット検出装置１２の配置ルートを、例えば、強調表示させたり、色を替えて表示させることができる。よって、管理サーバ１４は、矢印８３ａの向きにより、IPSA詐称パケットの疎通方向も表示させることができる。

管理サーバ１４は、末端ネットワーク装置１３による疎通確認結果を、「ノードアイコン間を接続するリンク線」８３に定義されたＩＰアドレスに基づいて、リンク線上に強調させた矢印としてマッピング表示する。管理サーバ１４は、強調させた矢印の方向を、リンク線に定義されたＩＰアドレスから計算する。すなわち、管理サーバ１４は、リンク線に定義されたＩＰアドレスと、末端ネットワーク装置から得られたトレースルート結果に含まれるIPアドレスとが一致するリンク線をマッピングする。

管理サーバ１４は、IPSA詐称パケットのあて先アドレス（IPDA）、すなわち標的サーバのＩＰアドレスを、インフォメーションエリア８５ａにマッピング表示する。管理サーバ１４は、標的サーバのＩＰアドレスからその標的サーバのサブネットアドレスを計算する。それから、管理サーバ１４は、ノードアイコン定義画面において登録したサブネットアドレスを用いて、その計算したサブネットアドレスと一致するサブネットアドレスが登録されたインフォーメーションエリアに標的サーバのＩＰアドレスを表示する。

管理サーバ１４は、IPSA詐称パケットの送信元アドレス（IPSA）を、インフォメーションエリアに表示する。管理サーバ１４は、IPSA詐称パケットの送信元アドレスから送信元アドレスのサブネットアドレスを計算する。管理サーバ１４は、ノードアイコン定義画面９０において登録したサブネットアドレスを用いて、その計算したサブネットアドレスと一致するサブネットアドレスが登録されたインフォーメーションエリア８５にIPSA詐称パケットの送信元のＩＰアドレスを表示する。その計算したサブネットアドレスと一致するサブネットアドレスが登録されたインフォーメーションエリア８５がない場合には、管理サーバ１４は、共通インフォメーションエリア８４にIPSAを表示する。図３６の場合、詐称ＩＰアドレスは、存在しないため、IPSA詐称パケット検出画面８０上に一致する定義情報がない。したがって、この場合、詐称しているIPSAは、共通インフォーメーションエリア８５に表示される。

また、図３６、図３７に示すように、ユーザがリンク線８３（実線のリンク線）をクリックすると、管理サーバ１４は、そのクリックしたリンク線に登録したパケット検出装置１２に対応するIPSA詐称パケットの検出結果を表示するウィンドウ１３１を表示させる。ウィンドウ１３１に表示される検出内容には、例えば、「検出日時」、「IPSA」，「IPDA」，「TCPフラグ値」、「攻撃回数」が含まれる。これにより、より具体的な攻撃の規模や攻撃による影響などを把握することができる。

次に、攻撃元端末を特定するための支援機能について説明する。図３７の例では、IPSA詐称パケット検出画面８０より、ユーザは、IPSA詐称パケットの存在が疑われる被疑セグメントを絞り込む（手動オペレーション）。したがって、ユーザは、IPSA詐称パケット検出画面８０上で詐称パケットが検出されたルート（強調された矢印の表示）の開始点を探すことにより、被疑セグメントを絞り込むことができる。

その後、ユーザが、被疑セグメントに配置された末端ネットワーク装置１３のアイコン８２をクリックすると、図３８に示すように、IPSA詐称パケット送信端末を特定するための指示画面が表示される。

図３８は、本実施形態におけるIPSA詐称パケット送信端末を特定するための指示画面の一例を示す。指示画面１４０は、「開始」ボタン１４１、「取消し」ボタン１４２を含む。「取消し」ボタン１４２を押下すると、指示画面１４０を閉じてIPSA詐称パケット検出画面８０へ戻る。

「開始」ボタン１４１を押下すると、IPSA詐称パケット送信端末を特定するための処理が開始される。具体的には、管理サーバ１４は、クリックされた末端ネットワーク装置１３に対して、詐称していると判定したＩＰアドレス宛の通信（ICMP（Internet Control Message Protocol）エコーリクエストの送信など）を指示する。

末端ネットワーク装置１３は、管理サーバ１４からの指示に基づいて、詐称していると判定したＩＰアドレス宛の通信を実行する。通信の実行に伴い、末端ネットワーク装置１３ではARP（Address Resolution Protocol）パケットによるアドレス解決の処理が行われる。詐称していると判定したＩＰアドレス宛への通信を試行後、当該末端ネットワーク装置１３は、自装置内のARPテーブルをチェックする。末端ネットワーク装置１３は、自装置内のARPテーブルに詐称ＩＰアドレスに対応したMACアドレスを確認した場合、確認したMACアドレスを管理サーバ１４に通知する。当該通知により、管理サーバ１４は、IPSA詐称パケットを送信した端末を特定することができる。また、末端ネットワーク装置１３は、詐称ＩＰアドレスに対応したMACアドレスを確認出来なかった場合、該当する装置が存在ないことを管理サーバ１４に通知する。この場合、管理サーバ１４は、IPSA詐称パケットを送信した端末を特定することはできない。管理サーバ１４は、末端ネットワーク装置１３からの応答結果に基づいて、図３９または図４０に示すように、画面表示を実施する。

図３９は、本実施形態におけるIPSA詐称パケットを送信した端末を特定した場合に表示される画面例である。上述したように、末端ネットワーク装置１３から詐称ＩＰアドレスに対応したMACアドレスが通知された場合、すなわちIPSA詐称パケットを送信した端末を特定した場合、図３９（A）に示すように、画面１５０が表示される。「了解」ボタン１５１を押下すると、画面１５０は閉じて、図３９（B）または図３９（C）に示すように、IPSA詐称パケット検出画面８０に、IPSA詐称パケットを送信した端末として特定された端末に関する情報が表示される。

図３９（Ｂ）は、IPSA詐称パケット（IPSAに、実在しないIPアドレスが設定されている場合）を送信した端末として特定された端末についての表示例を示す。図３９（Ｃ）は、IPSA詐称パケット（IPSAに、実在するIPアドレスが設定されている場合）を送信した端末として特定された端末についての表示例を示す。この場合、その特定された端末が接続されているL2SW等のノードアイコンのインフォメーションエリアに、詐称IPSA及びその端末の物理アドレス（MACアドレス）が表示される。

図４０は、本実施形態におけるIPSA詐称パケットを送信した端末を特定することができなかった場合に表示される画面例を示す。IPSA詐称パケットを送信した端末を特定できなかった場合、図４０に示すように、画面１６０が表示される。「了解」ボタン１６１を押下すると、画面１５０は閉じて、IPSA詐称パケット検出画面８０に戻る。

次に、図４１Ａ及び図４２を用いて、本実施形態における、IPSA詐称パケット検出画面を用いて、IPSA詐称端末検出の検出結果の表示処理について説明する。
図４１は、本実施形態におけるベースマップ画像の生成処理フローを示す。ユーザは、クライアントＰＣ７１を用いて、図３１〜図３５の定義画面を用いて、監視対象となるネットワーク１１の構成要素に対して、情報を設定する（Ｓ６１）。すると、管理サーバ１４は、画像生成部２ｆとして機能して、図３１〜図３５の定義画面に設定された情報に基づいて、ネットワークを構成する画像（ベースマップ画像）を生成する（Ｓ６２）。
管理サーバ１４は、最新または過去の履歴の送信元ＩＰアドレス詐称パケット検知情報の中から、任意の検知結果を、生成されるベースマップ上にマッピングして、図３６又は図３７に示すようなIPSA詐称パケット検出画面８０を生成する。管理サーバ１４は、その生成したIPSA詐称パケット検出画面８０の提供をクライアントＰＣ７１に対して行う。

図４２は、本実施形態におけるIPSA詐称端末検出の検出結果の表示処理フローを示す。図３６及び図３７で説明したように、IPSA詐称パケット検出画面８０上には、詐称パケットが検出されたルートが矢印で表示される。表示装置に表示されたIPSA詐称パケット検出画面８０上で詐称パケットが検出されたルート（強調された矢印の表示）の開始点を探すことにより、被疑セグメントを絞り込む。ユーザは、その絞り込んだ被疑セグメントにある末端ネットワーク装置のアイコンをクリックすると、指示画面１４０が表示される。ユーザが、指示画面１４０を用いて、IPSA詐称パケット送信端末を特定するための処理開始を指示する。すると、管理サーバ１４は、表示制御部２ｈとして機能して、クライアントＰＣ７１からその指示情報を受信する（Ｓ６３）。

その指示情報に基づいて、管理サーバ１４は、IPSA詐称端末の検出処理を行う。すなわち、管理サーバ１４は、付加部２ｇとして機能して、クライアントＰＣ７１からのIPSA詐称端末の検出要求に基づいて、ベースマップ画像にＩＰアドレス詐称アドレスの検知結果をマッピングする（Ｓ６４）。この処理では、管理サーバ１４は、Ｓ５８において詐称していると判定したIPSAの属するネットワークに属する末端ネットワーク装置１３に対して、詐称していると判定したＩＰアドレス宛の通信（ICMP）エコーリクエストの送信など）を指示する。

末端ネットワーク装置１３は、管理サーバから指示情報を受信する。すると、末端ネットワーク装置１３は、管理サーバ１４からの指示に基づいて、詐称していると判定したＩＰアドレス宛の通信を実行する。通信の実行に伴い、末端ネットワーク装置１３ではARP（Address Resolution Protocol）パケットによるアドレス解決の処理が行われる。詐称していると判定したＩＰアドレス宛への通信を試行後、当該末端ネットワーク装置１３は、自装置内のARPテーブルをチェックする。末端ネットワーク装置１３は、自装置内のARPテーブルに詐称ＩＰアドレスに対応したMACアドレスを確認した場合、確認したMACアドレスを管理サーバ１４に通知する。当該通知により、管理サーバ１４は、IPSA詐称パケットを送信した端末を特定することができる。また、末端ネットワーク装置１３は、詐称ＩＰアドレスに対応したMACアドレスを確認出来なかった場合、該当する装置が存在ないことを管理サーバ１４に通知する。この場合、管理サーバ１４は、IPSA詐称パケットを送信した端末を特定することはできない。

管理サーバ１４は、表示制御部２ｈとして機能して、その要求されたIPSA詐称パケット検出画面８０の画面データをクライアントＰＣ７１に送信する（Ｓ６５）。すなわち、管理サーバ１４は、末端ネットワーク装置１３からの応答結果に基づいて、図３９または図４０に示すように、画面表示を実施する。

以上の動作により攻撃している端末のハードウェアアドレスを特定することにより、実際に攻撃している端末の特定がさらに容易となる。また、ルータやファイアウォールなどに対し、予め検出用のサブネット情報の登録を行なわなくてもIPSA詐称パケットの検出が行なえる。また、本実施形態によれば、マップ表示を利用した攻撃経路の把握及び攻撃している端末のハードウェアアドレス（MACアドレス）の特定支援機能を利用することができる。これにより、テキストベースのログイメージで詐称IPSAの検出結果確認を行う方式と比較して、攻撃している端末の特定が格段に行いやすくなる。

図４３は、本実施形態を適用したコンピュータのハードウェア環境の構成ブロック図である。コンピュータ１７０は、本実施形態の処理を行うプログラムを読み込むことにより、パケット検出装置１２、末端ネットワーク装置１３、または管理サーバ１４として機能する。

コンピュータ１７０は、出力Ｉ／Ｆ１７１、ＣＰＵ１７２、ＲＯＭ１７３、通信Ｉ／Ｆ１７４、入力Ｉ／Ｆ１７５、ＲＡＭ１７６、記憶装置１７７、読み取り装置１７８、バス１７９を含む。コンピュータ１７０は、出力機器１８１、及び入力機器１８２と接続可能である。

ここで、ＣＰＵは、中央演算装置を示す。ＲＯＭは、リードオンリメモリを示す。ＲＡＭは、ランダムアクセスメモリを示す。Ｉ／Ｆは、インターフェースを示す。バス１７９には、出力Ｉ／Ｆ１７１、ＣＰＵ１７２、ＲＯＭ１７３、通信Ｉ／Ｆ１７４、入力Ｉ／Ｆ１７５、ＲＡＭ１７６、記憶装置１７７、読み取り装置１７８が接続されている。読み取り装置１７８は、可搬型記録媒体を読み出す装置である。出力機器１８１は、出力Ｉ／Ｆ１７１に接続されている。入力機器１８２は、入力Ｉ／Ｆ１７５に接続されている。

記憶装置１７７としては、ハードディスクドライブ、フラッシュメモリ装置、磁気ディスク装置など様々な形式の記憶装置を使用することができる。

記憶装置１７７またはＲＯＭ１７３には、例えば、本実施形態で説明した処理を実現するプログラム等が格納されている。コンピュータ１７０がパケット検出装置１２である場合、ＲＡＭ１７６は、たとえば、一時蓄積バッファ領域を確保したり、作業領域として使用したりすることができる。コンピュータ１７０が管理サーバ１４である場合、記憶装置１７７には、パケット検出装置１２から収集した検出結果、PD検出ルートテーブル６１、及び図３１〜図３５の定義画面にて設定した情報等が格納される。

ＣＰＵ１７２は、記憶装置１７７等に格納した本実施形態で説明した処理を実現するプログラムを読み出し、当該プログラムを実行する。

本実施形態で説明した処理を実現するプログラムは、プログラム提供者側から通信ネットワーク１８０、および通信Ｉ／Ｆ１７４を介して、例えば記憶装置１７７に格納してもよい。また、本実施形態で説明した処理を実現するプログラムは、市販され、流通している可搬型記憶媒体に格納されていてもよい。この場合、この可搬型記憶媒体は読み取り装置１７８にセットされて、ＣＰＵ１７２によってそのプログラムが読み出されて、実行されてもよい。可搬型記憶媒体としてはＣＤ−ＲＯＭ、フレキシブルディスク、光ディスク、光磁気ディスク、ＩＣ（integrated circuit）カード、ＵＳＢ（Universal Serial Bus）メモリ装置など様々な形式の記憶媒体を使用することができる。このような記憶媒体に格納されたプログラムが読み取り装置１７８によって読み取られる。

また、入力機器１８２には、キーボード、マウス、電子カメラ、ウェブカメラ、マイク、スキャナ、センサ、タブレット、タッチパネルなどを用いることが可能である。また、出力機器１８１には、ディスプレイ、プリンタ、スピーカなどを用いることが可能である。また、ネットワーク１８０は、インターネット、ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）、専用線、有線、無線等の通信網であってよい。

なお、本実施形態は、以上に述べた実施の形態に限定されるものではなく、本実施形態の要旨を逸脱しない範囲内で種々の構成または実施形態を取ることができる。

上記実施形態に関し、更に以下の付記を開示する。
（付記１）
中継装置間を接続する通信線によって伝送される通信情報を順次検出する検出部と、
検出された前記通信情報が、該通信情報に用いられる通信プロトコルに基づいて正常にコネクションを確立させた通信情報であるかを判定する通信情報判定部と、
前記判定の結果、前記検出された通信情報が前記正常にコネクションを確立させた通信情報でない場合、該検出された通信情報に関する検出情報を送信する送信部と、
を備える、通信情報検出装置と、
前記通信情報検出装置から前記送信された検出情報を収集する収集部と、
収集された前記検出情報を集約し、集約した該検出情報に含まれる前記通信情報が前記通信プロトコルに基づいて正常にコネクションを確立させた通信情報であるかを検証する検証部と、
前記判定の結果、前記集約した検出情報に含まれる前記通信情報が前記通信プロトコルに基づいて正常にコネクションを確立させた通信情報でない場合、該検出された通信情報のうち第１情報処理装置から第２情報処理装置へ送信される通信情報について、該第２情報処理装置が属するネットワークに属するいずれかの情報処理装置に、前記通信情報の送信元アドレスまでの経路情報を取得するように要求し、該いずれかの情報処理装置から該経路情報を取得する経路情報取得部と、
前記経路情報の結果が正常でない場合、または該経路情報により示される経路と前記第１情報処理装置から第２情報処理装置への送信経路とが異なる場合、前記通信情報の送信元アドレスが詐称であると判定する詐称判定部と、
を備える送信元アドレス詐称判定装置と、
を備えることを特徴とする送信元アドレス詐称判定システム。
（付記２）
前記通信情報は、トランスミッション・コントロール・プロトコル（TCP）ヘッダが付加された情報であり、
前記通信情報判定部は、前記検出された通信情報について、３ウェイハンドシェークに従って、前記TCPヘッダに含まれるTCPフラグがSYNである通信情報を検出後に、閾値時間内に、前記TCPフラグがSYN-ACKである前記通信情報及び前記TCPフラグがACKである前記通信情報を順に検出したかを判定する
ことを特徴とする付記１に記載の送信元アドレス詐称判定システム。
（付記３）
前記検証部は、送信元アドレス、送信先アドレス、前記TCPフラグに基づいて、前記収集された検出情報を集約し、該集約した検出情報に含まれる通信情報について、３ウェイハンドシェークに従って、前記TCPヘッダに含まれるTCPフラグがSYNである通信情報を検出後に、閾値時間内に、前記TCPフラグがSYN-ACKである前記通信情報及び前記TCPフラグがACKである前記通信情報を順に検出したかを判定する
ことを特徴とする付記２に記載の送信元アドレス詐称判定システム。
（付記４）
前記詐称判定部は、前記経路情報の結果が正常でない場合、または該経路情報に含まれる前記中継装置のアドレスのうちのいずれかが前記第１情報処理装置から第２情報処理装置へ送信される通信情報を検出した前記通信情報検出装置のアドレス空間に含まれない場合、前記通信情報の送信元アドレスが詐称であると判定する
ことを特徴とする付記１に記載の送信元アドレス詐称判定システム。
（付記５）
前記通信線が、複数の物理線の集合から形成された論理的に１つの通信線であり、
前記通信情報検出装置は、前記物理線のそれぞれに配置され、
同一の前記通信線を形成する前記物理線に配置された前記通信情報検出装置のうちの第１の通信情報検出装置以外の前記第２の通信情報検出装置の前記送信部は、前記検出された通信情報に関する検出情報を、前記第１の通信情報検出装置へ送信し、
前記第１の通信情報検出装置の前記通信情報判定部は、前記第２の通信情報検出装置から送信された検出情報の示す通信情報及び前記第１の通信情報検出装置の検出部により検出された該通信情報が、該通信情報に用いられる通信プロトコルに基づいて正常にコネクションを確立させた通信情報であるかを判定し、
前記第１の通信情報検出装置の前記送信部は、前記判定の結果、前記通信情報が前記正常にコネクションを確立させた通信情報でない場合、該通信情報に関する検出情報を送信する
ことを特徴とする付記１に記載の送信元アドレス詐称判定システム。
（付記６）
前記送信元詐称判定装置は、さらに、
前記中継装置、前記通信線、及び前記経路情報を取得する情報処理装置について、ネットワーク上のアドレスに関する情報を登録する登録部と、
前記登録した情報に基づいて、前記中継装置、前記通信線、及び前記経路情報を取得する情報処理装置の接続関係を生成し、前記中継装置、前記通信線、及び前記経路情報を取得する情報処理装置に対応するシンボルを該接続関係に基づいて配置したネットワーク構成画像を生成する画像生成部と、
前記詐称していると判定された前記送信元アドレスに基づいて、前記ネットワーク構成画像に、前記通信情報の送信元アドレスが詐称である旨を表す送信元アドレス詐称情報を付加する付加部と、
前記送信元アドレス詐称情報を付加したネットワーク構成画像を表示させる表示制御部と、
を備えることを特徴とする付記１に記載の送信元アドレス詐称判定システム。
（付記７）
中継装置間を接続する通信線によって伝送される通信情報を順次検出する検出部と、
検出された前記通信情報が、該通信情報に用いられる通信プロトコルに基づいて正常にコネクションを確立させた通信情報であるかを判定する通信情報判定部と、
前記判定の結果、前記検出された通信情報が前記正常にコネクションを確立させた通信情報でない場合、該検出された通信情報に関する検出情報を送信する送信部と、
を備えることを特徴とする通信情報検出装置。
（付記８）
前記通信情報は、トランスミッション・コントロール・プロトコル（TCP）ヘッダが付加された情報であり、
前記通信情報判定部は、前記検出された通信情報について、３ウェイハンドシェークに従って、前記TCPヘッダに含まれるTCPフラグがSYNである通信情報を検出後に、閾値時間内に、前記TCPフラグがSYN-ACKである前記通信情報及び前記TCPフラグがACKである前記通信情報を順に検出したかを判定する
ことを特徴とする付記７に記載の通信情報検出装置。
（付記９）
中継装置間を接続する通信線によって伝送される通信情報が順次検出され、検出された該通信情報が、該通信情報に用いられる通信プロトコルに基づいて正常にコネクションを確立させた通信情報でない場合に、該検出された通信情報に関する検出情報を収集する収集部と、
収集された前記検出情報を集約し、集約した該検出情報に含まれる前記通信情報が前記通信プロトコルに基づいて正常にコネクションを確立させた通信情報であるかを検証する検証部と、
前記判定の結果、前記集約した検出情報に含まれる前記通信情報が前記通信プロトコルに基づいて正常にコネクションを確立させた通信情報でない場合、該検出された通信情報のうち第１情報処理装置から第２情報処理装置へ送信される通信情報について、該第２情報処理装置が属するネットワークに属するいずれかの情報処理装置に、前記通信情報の送信元アドレスまでの経路情報を取得するように要求し、該いずれかの情報処理装置から該経路情報を取得する経路情報取得部と、
前記経路情報の結果が正常でない場合、または該経路情報により示される経路と前記第１情報処理装置から第２情報処理装置への送信経路とが異なる場合、前記通信情報の送信元アドレスが詐称であると判定する詐称判定部と、
を備える送信元アドレス詐称判定装置。
（付記１０）
前記検証部は、送信元アドレス、送信先アドレス、前記TCPフラグに基づいて、前記収集された検出情報を集約し、該集約した検出情報に含まれる通信情報について、３ウェイハンドシェークに従って、前記TCPヘッダに含まれるTCPフラグがSYNである通信情報を検出後に、閾値時間内に、前記TCPフラグがSYN-ACKである前記通信情報及び前記TCPフラグがACKである前記通信情報を順に検出したかを判定する
ことを特徴とする付記９に記載の送信元アドレス詐称判定装置。
（付記１１）
前記詐称判定部は、前記経路情報の結果が正常でない場合、または該経路情報に含まれる前記中継装置のアドレスのうちのいずれかが前記第１情報処理装置から第２情報処理装置へ送信される通信情報を検出した前記通信情報検出装置のアドレス空間に含まれない場合、前記通信情報の送信元アドレスが詐称であると判定する
ことを特徴とする付記９に記載の送信元アドレス詐称判定装置。
（付記１２）
前記通信線が、複数の物理線の集合から形成された論理的に１つの通信線であり、
前記通信情報検出装置は、前記物理線のそれぞれに配置され、
同一の前記通信線を形成する前記物理線に配置された前記通信情報検出装置のうちの第１の通信情報検出装置以外の前記第２の通信情報検出装置の前記送信部は、前記検出された通信情報に関する検出情報を、前記第１の通信情報検出装置へ送信し、
前記第１の通信情報検出装置の前記通信情報判定部は、前記第２の通信情報検出装置から送信された検出情報の示す通信情報及び前記第１の通信情報検出装置の検出部により検出された該通信情報が、該通信情報に用いられる通信プロトコルに基づいて正常にコネクションを確立させた通信情報であるかを判定し、
前記第１の通信情報検出装置の前記送信部は、前記判定の結果、前記通信情報が前記正常にコネクションを確立させた通信情報でない場合、該通信情報に関する検出情報を送信する
ことを特徴とする付記９に記載の送信元アドレス詐称判定装置。
（付記１３）
前記送信元詐称判定装置は、さらに、
前記中継装置、前記通信線、及び前記経路情報を取得する情報処理装置について、ネットワーク上のアドレスに関する情報を登録する登録部と、
前記登録した情報に基づいて、前記中継装置、前記通信線、及び前記経路情報を取得する情報処理装置の接続関係を生成し、前記中継装置、前記通信線、及び前記経路情報を取得する情報処理装置に対応するシンボルを該接続関係に基づいて配置したネットワーク構成画像を生成する画像生成部と、
前記詐称していると判定された前記送信元アドレスに基づいて、前記ネットワーク構成画像に、前記通信情報の送信元アドレスが詐称である旨を表す送信元アドレス詐称情報を付加する付加部と、
前記送信元アドレス詐称情報を付加したネットワーク構成画像を表示させる表示制御部と、
を備えることを特徴とする付記９に記載の送信元アドレス詐称判定装置。
（付記１４）
コンピュータに、
中継装置間を接続する通信線によって伝送される通信情報を順次検出し、
検出された前記通信情報が、該通信情報に用いられる通信プロトコルに基づいて正常にコネクションを確立させた通信情報であるかを判定し、
前記判定の結果、前記検出された通信情報が前記正常にコネクションを確立させた通信情報でない場合、該検出された通信情報に関する検出情報を送信する、
処理を実行させることを特徴とする通信情報検出プログラム。
（付記１５）
コンピュータに、
中継装置間を接続する通信線によって伝送される通信情報が順次検出され、検出された該通信情報が、該通信情報に用いられる通信プロトコルに基づいて正常にコネクションを確立させた通信情報でない場合に、該検出された通信情報に関する検出情報を収集し、
収集された前記検出情報を集約し、集約した該検出情報に含まれる前記通信情報が前記通信プロトコルに基づいて正常にコネクションを確立させた通信情報であるかを検証し、
前記判定の結果、前記集約した検出情報に含まれる前記通信情報が前記通信プロトコルに基づいて正常にコネクションを確立させた通信情報でない場合、該検出された通信情報のうち第１情報処理装置から第２情報処理装置へ送信される通信情報について、該第２情報処理装置が属するネットワークに属するいずれかの情報処理装置に、前記通信情報の送信元アドレスまでの経路情報を取得するように要求し、該いずれかの情報処理装置から該経路情報を取得し、
前記経路情報の結果が正常でない場合、または該経路情報により示される経路と前記第１情報処理装置から第２情報処理装置への送信経路とが異なる場合、前記通信情報の送信元アドレスが詐称であると判定する、
処理を実行させることを特徴とする送信元アドレス詐称判定プログラム。
（付記１６）
通信情報検出装置は、
中継装置間を接続する通信線によって伝送される通信情報を順次検出し、
検出された前記通信情報が、該通信情報に用いられる通信プロトコルに基づいて正常にコネクションを確立させた通信情報であるかを判定し、
前記判定の結果、前記検出された通信情報が前記正常にコネクションを確立させた通信情報でない場合、該検出された通信情報に関する検出情報を送信し、
送信元アドレス詐称判定装置は、
前記通信情報検出装置から前記送信された検出情報を収集し、
収集された前記検出情報を集約し、集約した該検出情報に含まれる前記通信情報が前記通信プロトコルに基づいて正常にコネクションを確立させた通信情報であるかを検証し、
前記判定の結果、前記集約した検出情報に含まれる前記通信情報が前記通信プロトコルに基づいて正常にコネクションを確立させた通信情報でない場合、該検出された通信情報のうち第１情報処理装置から第２情報処理装置へ送信される通信情報について、該第２情報処理装置が属するネットワークに属するいずれかの情報処理装置に、前記通信情報の送信元アドレスまでの経路情報を取得するように要求し、該いずれかの情報処理装置から該経路情報を取得し、
前記経路情報の結果が正常でない場合、または該経路情報により示される経路と前記第１情報処理装置から第２情報処理装置への送信経路とが異なる場合、前記通信情報の送信元アドレスが詐称であると判定する
ことを特徴とする送信元アドレス詐称判定方法。

２００ 送信元アドレス詐称判定システム
１ 通信情報検出装置
１ａ 検出部
１ｂ 通信情報判定部
１ｃ 送信部
２ 送信元アドレス詐称判定装置
２ａ 収集部
２ｂ 検証部
２ｃ 経路情報取得部
２ｄ 詐称判定部
２ｅ 登録部
２ｆ 画像生成部
２ｇ 付加部
２ｈ 表示制御部
３ 第１情報処理装置
４ 第２情報処理装置
６ 情報処理装置
７ 通信線
８ ネットワーク
９ 中継装置
１１ ネットワーク
１２ パケット検出装置（ＰＤ）
１３ 末端ネットワーク装置（TND）
１４ 管理サーバ
１５ ルータ（L3SW）
１６ L2SW
１７ 攻撃者端末

Claims (11)

1. 中継装置間を接続する通信線によって伝送される通信情報を順次検出する検出部と、
   検出された前記通信情報が、該通信情報に用いられる通信プロトコルに基づいて正常にコネクションを確立させた通信情報であるかを判定する通信情報判定部と、
   前記判定の結果、前記検出された通信情報が前記正常にコネクションを確立させた通信情報でない場合、該検出された通信情報に関する検出情報を送信する送信部と、
   を備える、通信情報検出装置と、
   前記通信情報検出装置から前記送信された検出情報を収集する収集部と、
   収集された前記検出情報を集約し、集約した該検出情報に含まれる前記通信情報が前記通信プロトコルに基づいて正常にコネクションを確立させた通信情報であるかを検証する検証部と、
   前記判定の結果、前記集約した検出情報に含まれる前記通信情報が前記通信プロトコルに基づいて正常にコネクションを確立させた通信情報でない場合、該検出された通信情報のうち第１情報処理装置から第２情報処理装置へ送信される通信情報について、該第２情報処理装置が属するネットワークに属するいずれかの情報処理装置に、前記通信情報の送信元アドレスまでの経路情報を取得するように要求し、該いずれかの情報処理装置から該経路情報を取得する経路情報取得部と、
   前記経路情報の結果が正常でない場合、または該経路情報により示される経路と前記第１情報処理装置から第２情報処理装置への送信経路とが異なる場合、前記通信情報の送信元アドレスが詐称であると判定する詐称判定部と、
   を備える送信元アドレス詐称判定装置と、
   を備えることを特徴とする送信元アドレス詐称判定システム。
2. 前記通信情報は、トランスミッション・コントロール・プロトコル（TCP）ヘッダが付加された情報であり、
   前記通信情報判定部は、前記検出された通信情報について、３ウェイハンドシェークに従って、前記TCPヘッダに含まれるTCPフラグがSYNである通信情報を検出後に、閾値時間内に、前記TCPフラグがSYN-ACKである前記通信情報及び前記TCPフラグがACKである前記通信情報を順に検出したかを判定する
   ことを特徴とする付記１に記載の送信元アドレス詐称判定システム。
3. 前記検証部は、送信元アドレス、送信先アドレス、前記TCPフラグに基づいて、前記収集された検出情報を集約し、該集約した検出情報に含まれる通信情報について、３ウェイハンドシェークに従って、前記TCPヘッダに含まれるTCPフラグがSYNである通信情報を検出後に、閾値時間内に、前記TCPフラグがSYN-ACKである前記通信情報及び前記TCPフラグがACKである前記通信情報を順に検出したかを判定する
   ことを特徴とする付記２に記載の送信元アドレス詐称判定システム。
4. 前記詐称判定部は、前記経路情報の結果が正常でない場合、または該経路情報に含まれる前記中継装置のアドレスのうちのいずれかが前記第１情報処理装置から第２情報処理装置へ送信される通信情報を検出した前記通信情報検出装置のアドレス空間に含まれない場合、前記通信情報の送信元アドレスが詐称であると判定する
   ことを特徴とする付記１に記載の送信元アドレス詐称判定システム。
5. 前記通信線が、複数の物理線の集合から形成された論理的に１つの通信線であり、
   前記通信情報検出装置は、前記物理線のそれぞれに配置され、
   同一の前記通信線を形成する前記物理線に配置された前記通信情報検出装置のうちの第１の通信情報検出装置以外の前記第２の通信情報検出装置の前記送信部は、前記検出された通信情報に関する検出情報を、前記第１の通信情報検出装置へ送信し、
   前記第１の通信情報検出装置の前記通信情報判定部は、前記第２の通信情報検出装置から送信された検出情報の示す通信情報及び前記第１の通信情報検出装置の検出部（１ａ）により検出された該通信情報が、該通信情報に用いられる通信プロトコルに基づいて正常にコネクションを確立させた通信情報であるかを判定し、
   前記第１の通信情報検出装置の前記送信部は、前記判定の結果、前記通信情報が前記正常にコネクションを確立させた通信情報でない場合、該通信情報に関する検出情報を送信する
   ことを特徴とする付記１に記載の送信元アドレス詐称判定システム。
6. 前記送信元詐称判定装置は、さらに、
   前記中継装置、前記通信線、及び前記経路情報を取得する情報処理装置（６）について、ネットワーク上のアドレスに関する情報を登録する登録部と、
   前記登録した情報に基づいて、前記中継装置、前記通信線、及び前記経路情報を取得する情報処理装置の接続関係を生成し、前記中継装置、前記通信線、及び前記経路情報を取得する情報処理装置に対応するシンボルを該接続関係に基づいて配置したネットワーク構成画像を生成する画像生成部と、
   前記詐称していると判定された前記送信元アドレスに基づいて、前記ネットワーク構成画像に、前記通信情報の送信元アドレスが詐称である旨を表す送信元アドレス詐称情報を付加する付加部と、
   前記送信元アドレス詐称情報を付加したネットワーク構成画像を表示させる表示制御部と、
   を備えることを特徴とする付記１に記載の送信元アドレス詐称判定システム。
7. 中継装置間を接続する通信線によって伝送される通信情報を順次検出する検出部と、
   検出された前記通信情報が、該通信情報に用いられる通信プロトコルに基づいて正常にコネクションを確立させた通信情報であるかを判定する通信情報判定部と、
   前記判定の結果、前記検出された通信情報が前記正常にコネクションを確立させた通信情報でない場合、該検出された通信情報に関する検出情報を送信する送信部と、
   を備えることを特徴とする通信情報検出装置。
8. 中継装置間を接続する通信線によって伝送される通信情報が順次検出され、検出された該通信情報が、該通信情報に用いられる通信プロトコルに基づいて正常にコネクションを確立させた通信情報でない場合に、該検出された通信情報に関する検出情報を収集する収集部と、
   収集された前記検出情報を集約し、集約した該検出情報に含まれる前記通信情報が前記通信プロトコルに基づいて正常にコネクションを確立させた通信情報であるかを検証する検証部と、
   前記判定の結果、前記集約した検出情報に含まれる前記通信情報が前記通信プロトコルに基づいて正常にコネクションを確立させた通信情報でない場合、該検出された通信情報のうち第１情報処理装置から第２情報処理装置へ送信される通信情報について、該第２情報処理装置が属するネットワークに属するいずれかの情報処理装置に、前記通信情報の送信元アドレスまでの経路情報を取得するように要求し、該いずれかの情報処理装置から該経路情報を取得する経路情報取得部と、
   前記経路情報の結果が正常でない場合、または該経路情報により示される経路と前記第１情報処理装置から第２情報処理装置への送信経路とが異なる場合、前記通信情報の送信元アドレスが詐称であると判定する詐称判定部と、
   を備える送信元アドレス詐称判定装置。
9. コンピュータに、
   中継装置間を接続する通信線によって伝送される通信情報を順次検出し、
   検出された前記通信情報が、該通信情報に用いられる通信プロトコルに基づいて正常にコネクションを確立させた通信情報であるかを判定し、
   前記判定の結果、前記検出された通信情報が前記正常にコネクションを確立させた通信情報でない場合、該検出された通信情報に関する検出情報を送信する、
   処理を実行させることを特徴とする通信情報検出プログラム。
10. コンピュータに、
    中継装置間を接続する通信線によって伝送される通信情報が順次検出され、検出された該通信情報が、該通信情報に用いられる通信プロトコルに基づいて正常にコネクションを確立させた通信情報でない場合に、該検出された通信情報に関する検出情報を収集し、
    収集された前記検出情報を集約し、集約した該検出情報に含まれる前記通信情報が前記通信プロトコルに基づいて正常にコネクションを確立させた通信情報であるかを検証し、
    前記判定の結果、前記集約した検出情報に含まれる前記通信情報が前記通信プロトコルに基づいて正常にコネクションを確立させた通信情報でない場合、該検出された通信情報のうち第１情報処理装置から第２情報処理装置へ送信される通信情報について、該第２情報処理装置が属するネットワークに属するいずれかの情報処理装置に、前記通信情報の送信元アドレスまでの経路情報を取得するように要求し、該いずれかの情報処理装置から該経路情報を取得し、
    前記経路情報の結果が正常でない場合、または該経路情報により示される経路と前記第１情報処理装置から第２情報処理装置への送信経路とが異なる場合、前記通信情報の送信元アドレスが詐称であると判定する、
    処理を実行させることを特徴とする送信元アドレス詐称判定プログラム。
11. 通信情報検出装置は、
    中継装置間を接続する通信線によって伝送される通信情報を順次検出し、
    検出された前記通信情報が、該通信情報に用いられる通信プロトコルに基づいて正常にコネクションを確立させた通信情報であるかを判定し、
    前記判定の結果、前記検出された通信情報が前記正常にコネクションを確立させた通信情報でない場合、該検出された通信情報に関する検出情報を送信し、
    送信元アドレス詐称判定装置は、
    前記通信情報検出装置から前記送信された検出情報を収集し、
    収集された前記検出情報を集約し、集約した該検出情報に含まれる前記通信情報が前記通信プロトコルに基づいて正常にコネクションを確立させた通信情報であるかを検証し、
    前記判定の結果、前記集約した検出情報に含まれる前記通信情報が前記通信プロトコルに基づいて正常にコネクションを確立させた通信情報でない場合、該検出された通信情報のうち第１情報処理装置から第２情報処理装置へ送信される通信情報について、該第２情報処理装置が属するネットワークに属するいずれかの情報処理装置に、前記通信情報の送信元アドレスまでの経路情報を取得するように要求し、該いずれかの情報処理装置から該経路情報を取得し、
    前記経路情報の結果が正常でない場合、または該経路情報により示される経路と前記第１情報処理装置から第２情報処理装置への送信経路とが異なる場合、前記通信情報の送信元アドレスが詐称であると判定する
    ことを特徴とする送信元アドレス詐称判定方法。