JP2016058805A - 情報処理システム、ネットワーク制御方法、及びそのためのプログラム - Google Patents

Abstract

【課題】 ネットワークに対する攻撃を困難にする。【解決手段】 ネットワーク内に存在しないノードが存在するかのように見せかけるための、ダミー情報を含むダミーパケットを送信する手段と、そのダミー情報を利用して生成される不正パケットに対応する、通信制御規則を生成し、スイッチ手段へその通信制御規則を送信する手段と、を含む。【選択図】 図１

Description

本発明は、ネットワーク制御の技術に関し、特にネットワークへの攻撃を防御する技術に関する。

ネットワークへの攻撃を防御するための、さまざまな関連技術が知られている。

例えば、特許文献１は、侵入検知装置の一例を開示する。特許文献１の侵入検知装置は、通信手段とパケット分析手段と対策手段と不正侵入監視手段と対策解除手段とを備える。

そのパケット分析手段は、受信したパケットを分析して不正侵入が行われているか否かを判断する。具体的には、パケット分析手段は、パケット内データ及びコマンドなどについてのパターンマッチング、並びにアクセス頻度などについての統計的手法による分析を用いて、不正なパケットを検出する。

その対策手段は、不正侵入が行われていると判断した場合、プロトコルまたはポートのクローズ、通信遮断等を行う。

その不正侵入監視手段は、不正侵入等の攻撃が終了したか否かを監視する。

その対策解除手段は、不正侵入等の攻撃が終了したと判断した場合、通信遮断等の対策を解除する。

特許文献１の侵入検知装置は、上述の構成を備えることにより、パケットの送信元のＩＰアドレスが予め設定されている値であるか否かでは判断できない、正式な要求元からの悪意ある侵入者による、不正なアクセスを検出し、対策を実行する。

特開２００２−０７３４３３号公報

しかしながら、上述した先行技術文献に記載された技術においては、不正侵入が行われていることの検出が遅れたりできなかったりした場合、不正なアクセスへの対策が遅れたりできなかったりするという問題点がある。

その、理由は、特許文献１の侵入検知装置は、パケット分析手段は、予め定められたパケット内データ及びコマンドなどについてのパターンや、予め定められたアクセス頻度の閾値などに基づいて不正なパケットを検出するからである。そして、特許文献１の侵入検知装置は、不正なパケットを検出した場合に限り、不正なアクセスへの対策を実行するからである。

換言すると、特許文献１の侵入検知装置において、悪意ある侵入者の活動は、パケット分析手段により不正侵入が行われていると判断されない限り、妨害されることがない、という問題点がある。

上述の関連技術の問題点に対し、本発明が解決しようとする課題は、ネットワークに対する侵入者の活動をより困難にすることである。即ち、その課題は、攻撃手法の進化などにより不正パケットを完全に検知することが、困難な場合でも、侵入者による攻撃を防御することである。

本発明の目的は、上述した課題を解決する情報処理システム、ネットワーク制御方法、及びそのためのプログラムを提供することにある。

本発明の一様態における情報処理システムは、ネットワーク内に存在しないノードを前記ネットワーク内に存在するかのように見せかけるためのダミー情報を含む、第１のダミーパケットを生成し、生成した前記第１のダミーパケットを送信する第１のダミーパケット通信手段と、前記第１のダミーパケットに含まれる前記ダミー情報を利用して生成される不正パケットに対応する、パケットに対する処置内容を規定する、通信制御規則を生成し、パケットの伝送処理機能を含むスイッチ手段へ生成した前記通信制御規則を送信するフロー登録手段と、を含む。

本発明の一様態における端末は、ネットワーク内に存在しないノードを前記ネットワーク内に存在するかのように見せかけるためのダミー情報を含む、第１のダミーパケットを情報処理装置から受信し、受信した前記第１のダミーパケットに含まれる情報に基づいて、第２のダミーパケットを生成して送信する第２のダミーパケット通信手段を含み、前記情報処理装置は、前記第１のダミーパケットを生成し、生成した前記第１のダミーパケットを送信する第１のダミーパケット通信手段と、前記第１のダミーパケットに含まれる前記ダミー情報を利用して生成される不正パケットに対応する、パケットに対する処置内容を規定する、通信制御規則を生成し、パケットの伝送処理機能を含むスイッチ手段へ生成した前記通信制御規則を送信するフロー登録手段と、を含む。

本発明の一様態における第１のネットワーク制御方法は、コンピュータが、ネットワーク内に存在しないノードを前記ネットワーク内に存在するかのように見せかけるためのダミー情報を含む、第１のダミーパケットを生成し、生成した前記第１のダミーパケットを送信し、前記第１のダミーパケットに含まれる前記ダミー情報を利用して生成される不正パケットに対応する、パケットに対する処置内容を規定する、通信制御規則を生成し、パケットの伝送処理機能を含むスイッチ手段へ生成した前記通信制御規則を送信する。

本発明の一様態における第２のネットワーク制御方法は、コンピュータが、ネットワーク内に存在しないノードを前記ネットワーク内に存在するかのように見せかけるためのダミー情報を含む、第１のダミーパケットを情報処理装置から受信し、受信した前記第１のダミーパケットに含まれる情報に基づいて、第２のダミーパケットを生成して送信し、前記情報処理装置は、前記第１のダミーパケットを生成し、生成した前記第１のダミーパケットを送信する第１のダミーパケット通信手段と、前記第１のダミーパケットに含まれる前記ダミー情報を利用して生成される不正パケットに対応する、パケットに対する処置内容を規定する、通信制御規則を生成し、パケットの伝送処理機能を含むスイッチ手段へ生成した前記通信制御規則を送信するフロー登録手段と、を含む。

本発明の一様態における第１のプログラムは、ネットワーク内に存在しないノードを前記ネットワーク内に存在するかのように見せかけるためのダミー情報を含む、第１のダミーパケットを生成し、生成した前記第１のダミーパケットを送信し、前記第１のダミーパケットに含まれる前記ダミー情報を利用して生成される不正パケットに対応する、パケットに対する処置内容を規定する、通信制御規則を生成し、パケットの伝送処理機能を含むスイッチ手段へ生成した前記通信制御規則を送信する処理をコンピュータに実行させる。

本発明の一様態における第２のプログラムは、ネットワーク内に存在しないノードを前記ネットワーク内に存在するかのように見せかけるためのダミー情報を含む、第１のダミーパケットを情報処理装置から受信し、受信した前記第１のダミーパケットに含まれる情報に基づいて、第２のダミーパケットを生成して送信する処理をコンピュータに実行させ、前記情報処理装置は、前記第１のダミーパケットを生成し、生成した前記第１のダミーパケットを送信する第１のダミーパケット通信手段と、前記第１のダミーパケットに含まれる前記ダミー情報を利用して生成される不正パケットに対応する、パケットに対する処置内容を規定する、通信制御規則を生成し、パケットの伝送処理機能を含むスイッチ手段へ生成した前記通信制御規則を送信するフロー登録手段と、を含む。

本発明は、ネットワークに対する攻撃を困難にすることが可能になるという効果がある。

図１は、本発明の第１の実施形態に係るトラップシステムの構成を示すブロック図である。 図２は、第１の実施形態における第１ダミーパケットの一例を示す図である。 図３は、第１の実施形態における不正パケットの一例を示す図である。 図４は、第１の実施形態におけるフローの一例を示す図である。 図５は、第１の実施形態に係るトラップシステムを実現するコンピュータのハードウエア構成の一例を示すブロック図である。 図６は、第１の実施形態に係るトラップシステムを含む情報処理システムの構成を示すブロック図である。 図７は、第１の実施形態におけるフローテーブルの一例を示す図である。 図８は、第１の実施形態におけるトラップシステムの動作の一例を示すフローチャートである。 図９は、第１の実施形態におけるネットワーク構成情報の一例を示す図である。 図１０は、第１の実施形態における返信フローの一例を示す図である。 図１１は、第１の実施形態における情報処理システムの動作の一例を示すシーケンス図ある。 図１２は、本発明の第２の実施形態に係るトラップシステムの構成を示すブロック図である。 図１３は、第２の実施形態における第１ダミー情報履歴の一例を示す図である。 図１４は、第２の実施形態に係るトラップシステムを含む情報処理システムの構成の一例を示すブロック図である。 図１５は、第２の実施形態におけるトラップシステムの動作の一例を示すフローチャートである。 図１６は、第２の実施形態における情報処理システムの動作の一例を示すシーケンス図ある。 図１７は、第２の実施形態におけるトラップシステムの動作の一例を示すフローチャートである。 図１８は、第２の実施形態における正常フローの一例を示す図である。 図１９は、第２の実施形態における不正フローの一例を示す図である。 図２０は、第２の実施形態における情報処理システムの動作の一例を示すシーケンス図ある。 図２１は、第２の実施形態における情報処理システムの動作の一例を示すシーケンス図ある。 図２２は、本発明の第３の実施形態に係るトラップシステムの構成を示すブロック図である。 図２３は、第３の実施形態における端末の構成の一例を示すブロック図である。 図２４は、第３の実施形態における第２ダミー情報履歴の一例を示す図である。 図２５は、第３の実施形態における第２ダミーフローの一例を示す図である。 図２６は、第３の実施形態に係るトラップシステムを含む情報処理システムの構成の一例を示すブロック図である。 図２７は、第３の実施形態におけるトラップシステムの動作の一例を示すフローチャートである。 図２８は、第３の実施形態におけるトラップシステムの動作の一例を示すフローチャートである。 図２９は、第３の実施形態における情報処理システムの動作の一例を示すシーケンス図ある。 図３０は、第３の実施形態におけるトラップシステムの動作の一例を示すフローチャートである。 図３１は、第３の実施形態におけるトラップシステムの動作の一例を示すフローチャートである。 図３２は、第３の実施形態における情報処理システムの動作の一例を示すシーケンス図ある。

本発明を実施するための形態について図面を参照して詳細に説明する。尚、各図面及び明細書記載の各実施形態において、同様の構成要素には同様の符号を付与し、適宜説明を省略する。

＜＜＜第１の実施形態＞＞＞
図１は、本発明の第１の実施形態に係るトラップシステム（情報処理システムとも呼ばれる）１０１の構成を示すブロック図である。

図１に示すように、本実施形態に係るトラップシステム１０１は、第１ダミーパケット通信部１１０と、フロー登録部１３０とを含む。尚、図１に示す各構成要素は、ハードウエア単位の回路でも、マイクロチップに含まれるモジュールでも、コンピュータ装置の機能単位に分割された構成要素でもよい。ここでは、図１に示す構成要素は、コンピュータ装置の機能単位に分割された構成要素として説明する。

また、図１に示すトラップシステム１０１は、あるサーバに実装され、ネットワークを介して利用可能にされてよいし、図１に示す各構成要素がネットワーク上に分散して設置されて利用可能にされてもよい。

＝＝＝第１ダミーパケット通信部１１０＝＝＝
第１ダミーパケット通信部１１０は、第１ダミー情報を含む、第１ダミーパケットを生成し、生成したその第１ダミーパケットを送信する。その第１ダミー情報は、ネットワーク内に存在しないノードをそのネットワーク内に存在するかのように見せかけるための情報である。ここで、そのノードは、装置や、ウェブサイト、ユーザなど、ネットワークに接続される或いはネットワークに含まれる、任意の要素であってよい。以下の説明においては、代表的に、そのノードが装置であるとして説明する。

例えば、その第１ダミー情報は、そのネットワーク内の通信において、送信元及び宛先を識別するためのアドレスであって、そのネットワークに接続されるいずれの装置も使用していないアドレスである。より具体的には、その第１ダミー情報は、そのネットワークに接続されるいずれの装置にも付与されていないＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスであって、その第１のダミーパケットの送信元ＩＰアドレスとして含まれるＩＰアドレスである。以下、その第１ダミー情報である、その第１のダミーパケットの送信元ＩＰアドレスを送信元ダミーＩＰと呼ぶ。

その第１ダミー情報は、上述の例に係わらず、ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ ａｄｄｒｅｓｓ）アドレス、Ｅｔｈｅｒ ｔｙｐｅ（イーサネット（登録商標）の種別）であってよい。その第１ダミー情報は、ＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ） ｉｄ、ＶＬＡＮ ｐｒｉｏｒｉｔｙ、ＩＰ ｐｒｏｔｏ（ＩＰのプロトコル種別）であってもよい。その第１ダミー情報は、ＩＰ ＴｏＳ（Ｔｙｐｅ ｏｆ Ｓｅｒｖｉｃｅ） ｂｉｔｓ（ＩＰのＴｏＳ情報）であってもよい。その第１ダミー情報は、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）／ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ） ｐｏｒｔ（ポート番号）であってもよい。また、その第１ダミー情報は、これらの任意の組み合わせであってよい。

図２は、第１ダミーパケット８１１の一例を示す図である。図２に示すように、第１ダミーパケット８１１は、第１ダミー情報として送信元ダミーＩＰを含む。

＝＝＝フロー登録部１３０＝＝＝
フロー登録部１３０は、不正パケットに対応する、フロー（通信制御規則とも呼ばれる）を生成し、パケットの伝送処理機能を含むスイッチ手段（不図示）へ生成したそのフローを送信する。その不正パケットは、第１ダミーパケット８１１に含まれる第１ダミー情報を利用して生成される、パケットである。そのフローは、パケットに対する処置内容を規定する情報である。例えば、そのスイッチ手段は、Ｏｐｅｎ Ｎｅｔｗｏｒｋｉｎｇ Ｆｏｕｎｄａｔｉｏｎによって仕様が策定されるＯｐｅｎＦｌｏｗ（登録商標）における、オープンフロースイッチである。この場合、そのフローは、即ち、そのオープンフロースイッチの振る舞いを規定するフローである。

図３は、不正パケット８４１の一例を示す図である。図３に示す不正パケット８４１は、図２に示す第１ダミーパケット８１１に含まれる第１ダミー情報を利用して生成された不正パケット８４１である。図３に示す不正パケット８４１は、図２に示す第１ダミーパケット８１１の送信元ダミーＩＰを宛先ＩＰとして、含む。

図４は、フロー８３１の一例を示す図である。図４に示すフロー８３１は、宛先ＩＰが「１９２．１６８．１．１」かつ宛先ポート番号が「２３」であることをマッチ条件とすることを規定する。そして、そのフロー８３１は、そのマッチ条件を満たすパケットを廃棄することを、アクションとすることを規定する。

そのマッチ条件は、上述の例に限らず、宛先ＭＡＣ、送信元ＭＡＣ、送信元ＩＰ、送信元ポート番号、及び上述の第１ダミー情報を、任意に指定するものであってよい。

以上が、トラップシステム１０１の機能単位の各構成要素についての説明である。

次に、トラップシステム１０１のハードウエア単位の構成要素について説明する。

図５は、本実施形態におけるトラップシステム１０１を実現するコンピュータ７００のハードウエア構成を示す図である。

図５に示すように、コンピュータ７００は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）７０１、記憶部７０２、記憶装置７０３、入力部７０４、出力部７０５及び通信部７０６を含む。更に、コンピュータ７００は、外部から供給される記録媒体（または記憶媒体）７０７を含む。例えば、記録媒体７０７は、情報を非一時的に記憶する不揮発性記録媒体（非一時的記録媒体）である。また、記録媒体７０７は、情報を信号として保持する、一時的記録媒体であってもよい。

ＣＰＵ７０１は、オペレーティングシステム（不図示）を動作させて、コンピュータ７００の全体の動作を制御する。例えば、ＣＰＵ７０１は、記憶装置７０３に装着された記録媒体７０７から、そのプログラムやデータを読み込み、読み込んだそのプログラムやそのデータを記憶部７０２に書き込む。ここで、そのプログラムは、例えば、後述の図８に示すフローチャートの動作をコンピュータ７００に実行させるためのプログラムである。

そして、ＣＰＵ７０１は、その読み込んだプログラムに従って、またその読み込んだデータに基づいて、図１に示す第１ダミーパケット通信部１１０及びフロー登録部１３０として各種の処理を実行する。

尚、ＣＰＵ７０１は、通信網（不図示）に接続される外部コンピュータ（不図示）から、記憶部７０２にそのプログラムやそのデータをダウンロードしてもよい。

記憶部７０２は、そのプログラムやそのデータを記憶する。記憶部７０２は、第１ダミーパケット８１１や不正パケット８４１、フロー８３１などを記憶してよい。記憶部７０２は、第１ダミーパケット通信部１１０及びフロー登録部１３０の一部として含まれてよい。

記憶装置７０３は、例えば、光ディスクや、フレキシブルディスク、磁気光ディスク、外付けハードディスク半導体メモリなどであって、記録媒体７０７を含む。記憶装置７０３（記録媒体７０７）は、そのプログラムをコンピュータ読み取り可能に記憶する。また、記憶装置７０３は、そのデータを記憶してもよい。記憶装置７０３は、第１ダミーパケット８１１や不正パケット８４１、フロー８３１などを記憶してよい。記憶装置７０３は、第１ダミーパケット通信部１１０及びフロー登録部１３０の一部として含まれてよい。

入力部７０４は、オペレータによる操作の入力や外部からの情報の入力を受け付ける。入力操作に用いられるデバイスは、例えば、マウスや、キーボード、内蔵のキーボタン及びタッチパネルなどである。入力部７０４は、第１ダミーパケット通信部１１０及びフロー登録部１３０の一部として含まれてよい。

出力部７０５は、例えばディスプレイで実現される。出力部７０５は、例えばＧＵＩ（ＧＲＡＰＨＩＣＡＬ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）によるオペレータへの入力要求や、オペレータに対する出力提示などのために用いられる。出力部７０５は、第１ダミーパケット通信部１１０及びフロー登録部１３０の一部として含まれてよい。

通信部７０６は、外部とのインタフェースを実現する。通信部７０６は、第１ダミーパケット通信部１１０及びフロー登録部１３０の一部として含まれてよい。

以上説明したように、図１に示すトラップシステム１０１の機能単位の各構成要素は、図５に示すハードウエア構成のコンピュータ７００によって実現される。但し、コンピュータ７００が備える各部の実現手段は、上記に限定されない。すなわち、コンピュータ７００は、物理的に結合した１つの装置により実現されてもよいし、物理的に分離した２つ以上の装置を有線または無線で接続し、これら複数の装置により実現されてもよい。

尚、上述のプログラムのコードを記録した記録媒体７０７が、コンピュータ７００に供給される場合、ＣＰＵ７０１は、記録媒体７０７に格納されたそのプログラムのコードを読み出して実行してもよい。或いは、ＣＰＵ７０１は、記録媒体７０７に格納されたそのプログラムのコードを、記憶部７０２、記憶装置７０３またはその両方に格納してもよい。すなわち、本実施形態は、コンピュータ７００（ＣＰＵ７０１）が実行するそのプログラム（ソフトウエア）を、一時的にまたは非一時的に、記憶する記録媒体７０７の実施形態を含む。尚、情報を非一時的に記憶する記憶媒体は、不揮発性記憶媒体とも呼ばれる。

以上が、本実施形態におけるトラップシステム１０１を実現するコンピュータ７００の、ハードウエア単位の各構成要素についての説明である。

図６は、トラップシステム１０１を含む情報処理システム１０の構成を示すブロック図である。図６に示すように情報処理システム１０は、トラップシステム１０１、ネットワーク通信装置２００及び端末３００を含む。トラップシステム１０１及び端末３００は、ネットワーク通信装置２００を介して、互いに接続されている。尚、図６に示す例に係わらず、情報処理システム１０に含まれるトラップシステム１０１、ネットワーク通信装置２００及び端末３００のそれぞれは、任意の台数であってよい。また、情報処理システム１０は、図示しない、サーバ、通信制御装置、記憶装置及びその他の情報処理装置を含んでよい。

＝＝＝ネットワーク通信装置２００＝＝＝
ネットワーク通信装置２００は、前述のスイッチ手段であり、例えば、オープンフロースイッチである。例えば、ネットワーク通信装置２００の１番ポート（不図示）にトラップシステム１０１の第１ダミーパケット通信部１１０が接続され、ネットワーク通信装置２００の０番ポート（不図示）にトラップシステム１０１のフロー登録部１３０が接続される。また、ネットワーク通信装置２００の３番ポート以降に、端末３００のそれぞれが接続される。

図７は、ネットワーク通信装置２００が保持するフローテーブル８３０の一例を示す図である。図７に示すようにフローテーブル８３０は、マッチ条件とアクションの組からなるフロー（例えば、フロー８３１）を含む。

フローテーブル８３０に含まれるフローは、前述したようにさまざまな項目についてのマッチ条件を含むことができる。本実施形態のフローテーブル８３０に含まれるフローにおいて、マッチ条件に明示的に指定されていない項目は、任意の値でよいことを示す。換言すると、マッチ条件に指定されていない項目は、任意の値を示すワイルドカードが指定されているものとする。

ネットワーク通信装置２００は、トラップシステム１０１のフロー登録部１３０からフロー８３１を受信し、受信したそのフロー８３１をフローテーブル８３０に記憶する。ネットワーク通信装置２００は、フローテーブル８３０に基づいて、受信したパケットを処理する。

＝＝＝端末３００＝＝＝
端末３００は、ネットワーク通信装置２００を介して、他の端末３００、トラップシステム１０１及び図示しないその他の装置と通信を行う。

端末３００は、ウィルスなどに感染した場合、感染端末となる。感染端末となった端末３００は、外部からの侵入者による、端末３００が接続されたネットワークひいては情報処理システム１０への攻撃の、活動拠点として利用される場合がある。その利用の内容は、例えば、その感染端末内の通信ログを取得し、その通信ログを解析し、その解析結果に基づいて情報処理システム１０内の各装置への攻撃（感染拡大や情報搾取等）することである。

端末３００は、トラップシステム１０１から受信した第１ダミーパケット８１１に関する情報をその通信ログに含める。即ち、その通信ログは、前述の第１ダミー情報を含む第１ダミーパケット８１１に関する情報によって、解析負荷を増加させられる。従って、トラップシステム１０１は、端末３００が接続されたネットワークに対する攻撃を困難にする。

次に本実施形態の動作について、図面を参照して詳細に説明する。

図８は、本実施形態のトラップシステム１０１の動作を示すフローチャートである。尚、このフローチャートによる処理は、前述したＣＰＵ７０１によるプログラム制御に基づいて、実行されてよい。また、処理のステップ名については、Ｓ６０１のように、記号で記載する。

トラップシステム１０１の第１ダミーパケット通信部１１０は、所定の間隔が経過したことや、所定の時刻に達したことなどを契機に、図８に示すステップＳ５０１の動作を開始する。また、第１ダミーパケット通信部１１０は、図５に示す入力部７０４を介して操作者から指示を受けたことを契機に、図８に示すステップＳ５０１の動作を開始してもよい。トラップシステム１０１は、図５に示す通信部７０６を介して、外部から要求を受信したことを契機に、図８に示すステップＳ５０１の動作を開始してもよい。

第１ダミーパケット通信部１１０は、第１ダミーパケット８１１を生成する（ステップＳ６０１）。

第１ダミーパケット通信部１１０は、例えば、情報処理システム１０に関するネットワーク構成情報に基づいて、第１ダミーパケット８１１を生成する。

図９は、ネットワーク構成情報８００の一例を示す図である。図９に示すように、ネットワーク構成情報８００は、ホスト名とＭＡＣアドレスと、ＩＰアドレスの組を含む。図９に示す例に係わらず、ネットワーク構成情報８００は、任意の情報を含んでよい。

例えば、ネットワーク構成情報８００は、図５に示す記憶部７０２或いは記憶装置７０３に、予め記憶されていてよい。また、第１ダミーパケット通信部１１０は、図５に示す入力部７０４を介して操作者が入力した、ネットワーク構成情報８００を取得してもよい。この時、第１ダミーパケット通信部１１０は、図５に示す出力部７０５を介して、操作者に対する入力画面を表示してよい。また、第１ダミーパケット通信部１１０は、図５に示す通信部７０６を介して図示しない機器から、ネットワーク構成情報８００を受信してもよい。また、第１ダミーパケット通信部１１０は、図５に示す記憶装置７０３を介して、記録媒体７０７に記録されたネットワーク構成情報８００を取得してもよい。

ここでは、第１ダミーパケット通信部１１０は、例えば図２に示すような、送信元ダミーＩＰを「１９２．１６８．１．１」とし、送信元ポート番号を「２００１」とする第１ダミーパケット８１１を生成する。この「１９２．１６８．１．１」は、ネットワーク構成情報８００に存在しない、即ち情報処理システム１０において割り振られていないＩＰアドレスであり、前述の第１ダミー情報である。

次に、フロー登録部１３０は、第１ダミーパケット８１１に基づいて、返信フロー８３２を生成する（ステップＳ６０２）。返信フロー８３２は、第１ダミーパケット８１１を受信した端末３００から送信される返信パケットをトラップシステム１０１が受け取ることを可能にするためのフローである。ここでは、フロー登録部１３０は、第１ダミーパケット８１１に含まれる送信元ダミーＩＰをマッチ条件に含む、返信フロー８３２を生成する。

より具体的には、フロー登録部１３０は、例えば、マッチ条件を「宛先ＩＰアドレス＝［１９２．１６８．１．１］かつ宛先ポート番号＝［２００１］」とし、アクションを「１番ポートへの出力」とする返信フロー８３２を生成する。ここで、「宛先ＩＰアドレス＝［１９２．１６８．１．１］」は、即ち「宛先ＩＰアドレス＝第１ダミーパケット８１１の送信元ダミーＩＰ」である。「宛先ポート番号＝［２００１］」は、即ち「宛先ポート番号＝第１ダミーパケット８１１の送信元ポート番号」である。また、「１番ポートへの出力」は、即ち、「ネットワーク通信装置２００の１番ポートに接続された、トラップシステム１０１の、第１ダミーパケット通信部１１０へのその返信パケットの転送」である。

尚、フロー登録部１３０は、アクションを「パケットの廃棄」とする返信フロー８３２を生成してもよい。この場合、第１ダミーパケット通信部１１０は、後述のステップＳ６０５の動作（返信パケットの受信）をしなくてよい。

図１０は、返信フロー８３２の一例を示す図である。図１０に示す返信フロー８３２は、宛先ＩＰが「１９２．１６８．１．１」であることをマッチ条件とし、そのマッチ条件を満たすパケットを１番ポートへ出力することをアクションとする、ことを示す。ここで、その１番ポートは、第１ダミーパケット通信部１１０が接続される、ネットワーク通信装置２００のポートである。

次に、フロー登録部１３０は、返信フロー８３２を送信する（ステップＳ６０３）。

次に、第１ダミーパケット通信部１１０は、第１ダミーパケット８１１を送信する（ステップＳ６０４）。

次に、第１ダミーパケット通信部１１０は、その返信パケットを受信する（ステップＳ６０５）。

図１１は、本実施形態に係るトラップシステム１０１を含む、情報処理システム１０の動作を示すシーケンス図である。処理のステップ名については、Ｓ５０１のように、記号で記載する。

第１ダミーパケット通信部１１０は、第１ダミーパケット８１１を生成する（ステップＳ５０１、図８のステップＳ６０１に対応）。

次に、フロー登録部１３０は、第１ダミーパケット８１１に基づいて、返信フロー８３２を生成する（ステップＳ５０２、図８のステップＳ６０２に対応）。

次に、フロー登録部１３０は、返信フロー８３２をネットワーク通信装置２００へ送信する（ステップＳ５０３、図８のステップＳ６０３に対応）。

次に、ネットワーク通信装置２００は、受信した返信フロー８３２をフローテーブル８３０へ登録する（ステップＳ５０４）。

第１ダミーパケット通信部１１０は、フロー登録部１３０が返信フロー８３２を送信した後、第１ダミーパケット８１１を端末３００へ送信する（ステップＳ５０５、図８のステップＳ６０４に対応）。

次に、端末３００は、受信した第１ダミーパケット８１１に応答してその返信パケットを送信する（ステップＳ５０６）。

次に、ネットワーク通信装置２００は、フローテーブル８３０の内容に基づいて、受信したその返信パケットの処置を決定する（ステップＳ５０７）。

次に、ネットワーク通信装置２００は、ステップＳ５０７で決定した処置を実行する（ステップＳ５０８）。ここでは、ネットワーク通信装置２００は、その返信パケットをトラップシステム１０１の第１ダミーパケット通信部１１０へ転送する。この時、トラップシステム１０１の第１ダミーパケット通信部１１０は、図８のステップＳ６０５において、その返信パケットを受信する。

上述した本実施形態における効果は、ネットワークに対する攻撃を困難にすることが可能になる点である。

その理由は、以下のような構成を含むからである。即ち、第１に第１ダミーパケット通信部１１０が第１ダミーパケット８１１を生成し、その第１ダミーパケット８１１を端末３００へ送信する。第２に、フロー登録部１３０が第１ダミーパケット８１１に基づいて生成した返信フロー８３２をネットワーク通信装置２００へ送信する。

＜＜＜第２の実施形態＞＞＞
次に、本発明の第２の実施形態について図面を参照して詳細に説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。

図１２は、本発明の第２の実施形態に係るトラップシステム１０２の構成を示すブロック図である。

図１２に示すように、本実施形態におけるトラップシステム１０２は、第１の実施形態のトラップシステム１０１と比べて、第１ダミー情報記憶部１２０及び通信判定手段１４０を、更に含む点が異なる。

＝＝＝第１ダミー情報記憶部１２０＝＝＝
第１ダミー情報記憶部１２０は、第１ダミーパケット８１１に含まれる第１ダミー情報を記憶する。

図１３は、第１ダミー情報記憶部１２０に記憶される第１ダミー情報履歴８７１の一例を示す図である。図１３は、送信元ダミーＩＰが「１９２．１６８．１．１」であるという第１ダミー情報を含む、第１ダミー情報履歴８７１を示す。尚、第１ダミー情報履歴８７１は、図１３に示す例に係わらず、第１ダミーパケット８１１に関連する任意の情報を含んでよい。

＝＝＝通信判定手段１４０＝＝＝
通信判定手段１４０は、第１ダミー情報記憶部１２０に記憶される第１ダミー情報履歴８７１に基づいて、被判定パケットが不正パケット８４１であるか否かを判定する。その被判定パケットは、ネットワーク通信装置２００からのフロー問い合わせで指定されるパケットである。そのフロー問い合わせは、例えば、ＯｐｅｎＦｌｏｗにおけるｐａｃｋｅｔ＿ｉｎメッセージである。

具体的には、通信判定手段１４０は、そのフロー問い合わせに含まれるその被判定パケットに関する情報が、第１ダミー情報履歴８７１に含まれる第１ダミー情報に対応するか否かを判定する。例えば、通信判定手段１４０は、そのフロー問い合わせに含まれるその被判定パケットの宛先ＩＰが、第１ダミー情報履歴８７１に含まれる送信元ダミーＩＰのいずれかと一致するか否かを判定する。尚、上述の例に係わらず、通信判定手段１４０は、そのフロー問い合わせに含まれるその被判定パケットに関する任意の情報について、第１ダミー情報履歴８７１に含まれる第１ダミー情報に対応するか否かを判定してよい。

＝＝＝フロー登録部１３０＝＝＝
本実施形態のフロー登録部１３０は、通信判定手段１４０が判定した結果に基づいて、その被判定パケットに対するフローを（通信制御規則）を生成する。

トラップシステム１０２は、図１に示すトラップシステム１０１と同様に、図５に示すコンピュータ７００によって実現されてよい。

この場合、ＣＰＵ７０１は、その読み込んだプログラムに従って、またその読み込んだデータに基づいて、更に、図１４に示す通信判定手段１４０としても、各種の処理を実行する。ここで、そのプログラムは、例えば、後述の図１５及び図１７に示すフローチャートの動作をコンピュータ７００に実行させるためのプログラムである。

記憶部７０２は、更に第１ダミー情報履歴８７１を記憶してよい。記憶部７０２は、更に第１ダミー情報記憶部１２０及び通信判定手段１４０の一部としても含まれてよい。

記憶装置７０３は、更に第１ダミー情報履歴８７１を記憶してよい。記憶装置７０３は、更に１ダミー情報記憶部１２０及び通信判定手段１４０の一部としても含まれてよい。

入力部７０４は、更に通信判定手段１４０の一部としても含まれてよい。

出力部７０５は、更に通信判定手段１４０の一部としても含まれてよい。

通信部７０６は、更に通信判定手段１４０の一部としても含まれてよい。

次に本実施形態の動作について、図面を参照して詳細に説明する。

図８は、本実施形態のトラップシステム１０２の、第１ダミーパケット８１１を送信する場合の、動作を示すフローチャートである。尚、このフローチャートによる処理は、前述したＣＰＵ７０１によるプログラム制御に基づいて、実行されてよい。また、処理のステップ名については、Ｓ６０１のように、記号で記載する。

ステップＳ６０１は、図８に示すステップＳ６０１と同じである。

次に、第１ダミーパケット通信部１１０は、第１ダミーパケット８１１に含まれる第１ダミー情報を第１ダミー情報記憶部１２０に記憶する（ステップＳ６１１）。

ステップＳ６０２からステップＳ６０５は、図８に示すステップＳ６０２からステップＳ６０５と同じである。

図１６は、本実施形態に係るトラップシステム１０２を含む情報処理システム２０の、トラップシステム１０２により第１ダミーパケット８１１が送信される場合の、動作を示すシーケンス図である。処理のステップ名については、Ｓ５０１のように、記号で記載する。

ステップＳ５０１は、図１１に示すステップＳ５０１と同じである。

次に、第１ダミーパケット通信部１１０は、第１ダミーパケット８１１に含まれる第１ダミー情報を第１ダミー情報記憶部１２０に記憶する（ステップＳ５１１、図１５のステップＳ６１１に対応）。

ステップＳ５０２からステップＳ５０８は、図１１に示すステップＳ５０２からステップＳ５０８と同じである。

図１７は、本実施形態のトラップシステム１０２の、端末３００がパケットを送信した場合の、動作を示すフローチャートである。尚、このフローチャートによる処理は、前述したＣＰＵ７０１によるプログラム制御に基づいて、実行されてよい。また、処理のステップ名については、Ｓ６０１のように、記号で記載する。

通信判定手段１４０は、ネットワーク通信装置２００からフローの問い合わせを受信する（ステップＳ６２１）。

次に、通信判定手段１４０は、被判定パケットが不正パケット８４１であるか否かを判定する（ステップＳ６２２）。

被判定パケットが不正パケット８４１である場合（ステップＳ６２２でＹＥＳ）、処理はステップＳ６２５へ進む。被判定パケットが不正パケット８４１でない場合（ステップＳ６２２でＮＯ）、処理はステップＳ６２３へ進む。

フロー登録部１３０は、正常フロー８３３を生成する（ステップＳ６２３）。正常フロー８３３は、端末３００から送信される正常パケットを、その正常パケットの宛先の装置が受け取ることを可能にするためのフローである。ここでは、フロー登録部１３０は、その正常パケットに含まれる宛先ＩＰをマッチ条件に含む、正常フロー８３３を生成する。

より具体的には、フロー登録部１３０は、例えば、マッチ条件を「宛先ＩＰアドレス＝［１９２．１６８．１．５］とし、アクションを「５番ポートへの出力」とする正常フロー８３３を生成する。

図１８は、正常フロー８３３の一例を示す図である。図１８に示すように、正常フロー８３３は、宛先ＩＰが「１９２．１６８．１．５」であることをマッチ条件とし、そのマッチ条件を満たすパケットを５番ポートへ出力することをアクションとする、ことを示す。ここで、５番ポートは、他の端末３００が接続される、ネットワーク通信装置２００のポートである。

次に、フロー登録部１３０は、正常フロー８３３を送信する（ステップＳ６２４）。その後、処理は終了する。

フロー登録部１３０は、不正フロー８３４を生成する（ステップＳ６２５）。その後、処理は終了する。

不正フロー８３４は、例えば、端末３００から送信される不正パケット８４１を廃棄するためのフローである。ここでは、フロー登録部１３０は、その不正パケット８４１に含まれる宛先ＩＰをマッチ条件に含む、不正フロー８３４を生成する。

より具体的には、フロー登録部１３０は、例えば、マッチ条件を「宛先ＩＰアドレス＝［１９２．１６８．１．１］とし、アクションを「廃棄」とする不正フロー８３４を生成する。

図１９は、不正フロー８３４の一例を示す図である。図１９に示すように、不正フロー８３４は、宛先ＩＰが「１９２．１６８．１．１」、かつ宛先ポート番号が「２００１以外」であることをマッチ条件とし、そのマッチ条件を満たすパケットを廃棄することをアクションとする、ことを示す。

不正フロー８３４は、端末３００から送信される不正パケット８４１の転送を遅延させるためのフローであってもよい。また、不正フロー８３４は、端末３００から送信される全てのパケットを廃棄させるためのフローであってもよい。不正フロー８３４は、上述の例に係わらず、感染端末である端末３００が、情報処理システム２０へ与える害を防御や、感染源の調査、感染源に対する反撃などの、任意の処理を目的とする、任意のフローであってよい。

尚、通信判定手段１４０は、被判定パケットが不正パケット８４１であると判定した場合、その不正パケット８４１に関連する情報を出力してよい。

例えば、通信判定手段１４０は、その不正パケット８４１に関連する情報を図５に示す出力部７０５を介して出力する。また、通信判定手段１４０は、図５に示す通信部７０６を介して、図示しない機器にその不正パケットに関連する情報を送信してもよい。また、通信判定手段１４０は、図５に示す記憶装置７０３を介して、記録媒体７０７にその不正パケット８４１に関連する情報を記録してもよい。

図２０は、本実施形態に係るトラップシステム１０２を含む情報処理システム２０の、端末３００が正常パケット８６１を送信した場合の、動作を示すシーケンス図である。処理のステップ名については、Ｓ５０１のように、記号で記載する。

端末３００が正常パケット８６１を送信し、ネットワーク通信装置２００は、その正常パケット８６１を受信する（ステップＳ５２１）。

次に、ネットワーク通信装置２００は、受信したその正常パケット８６１に対応するフローがフローテーブル８３０に存在しない場合、トラップシステム１０２の通信判定手段１４０に、フロー問い合わせ８５１を送信する。そして、通信判定手段１４０は、そのフロー問い合わせ８５１を受信する（ステップＳ５２２、図１７のステップＳ６２１に対応）。ここで、そのフロー問い合わせ８５１は、その正常パケット８６１に関する情報を含む。

尚、ネットワーク通信装置２００は、受信したその正常パケット８６１に対応するフローがフローテーブル８３０に存在する場合、そのフローに基づいて正常パケット８６１を処置する。

次に、通信判定手段１４０は、フロー問い合わせ８５１に含まれるその被判定パケットに関する情報が、第１ダミー情報履歴８７１に含まれる第１ダミー情報に対応するか否かを判定する（ステップＳ５２３、図１７のステップＳ６２２に対応）。ここで、正常パケット８６１に関する情報は、第１ダミー情報履歴８７１に含まれる第１ダミー情報に対応しない（図１７のステップＳ６２２で、ＮＯの場合に対応）。

次に、通信判定手段１４０は、正常フロー８３３を生成する（ステップＳ５２４、図１７のステップＳ６２３に対応）。

次に、通信判定手段１４０は、正常フロー８３３をネットワーク通信装置２００へ送信する（ステップＳ５２５、図１７のステップＳ６２４に対応）。

次に、ネットワーク通信装置２００は、受信した正常フロー８３３をフローテーブル８３０へ登録する（ステップＳ５２６）。

次に、ネットワーク通信装置２００は、フローテーブル８３０の内容に基づいて、受信した正常パケット８６１の処置を決定する（ステップＳ５２７）。

次に、ネットワーク通信装置２００は、ステップＳ５０７で決定した処理を実行する（ステップＳ５２８）。ここでは、ネットワーク通信装置２００は、正常パケット８６１を他の端末３００へ転送する。

図２１は、本実施形態に係るトラップシステム１０２を含む情報処理システム２０の、端末３００が不正パケット８４１を送信した場合の、動作を示すシーケンス図である。処理のステップ名については、Ｓ５０１のように、記号で記載する。

端末３００が不正パケット８４１を送信し、ネットワーク通信装置２００は、その不正パケット８４１を受信する（ステップＳ５３１）。

次に、ネットワーク通信装置２００は、受信したその不正パケット８４１に対応するフローがフローテーブル８３０に存在しない場合、トラップシステム１０２の通信判定手段１４０に、フロー問い合わせ８５１を送信する。そして、通信判定手段１４０は、そのフロー問い合わせ８５１を受信する（ステップＳ５３２、図１７のステップＳ６２１に対応）。ここで、そのフロー問い合わせ８５１は、その不正パケット８４１に関する情報を含む。

尚、ネットワーク通信装置２００は、受信したその不正パケット８４１に対応するフローがフローテーブル８３０に存在する場合、そのフローに基づいて不正パケット８４１を処置する。

次に、通信判定手段１４０は、フロー問い合わせ８５１に含まれるその被判定パケットに関する情報が、第１ダミー情報履歴８７１に含まれる第１ダミー情報に対応するか否かを判定する（ステップＳ５３３、図１７のステップＳ６２２に対応）。ここで、不正パケット８４１に関する情報は、第１ダミー情報履歴８７１に含まれる第１ダミー情報に対応する（図１７のステップＳ６２２で、ＹＥＳの場合に対応）。

次に、通信判定手段１４０は、不正フロー８３４を生成する（ステップＳ５３４、図１７のステップＳ６２５に対応）。

次に、通信判定手段１４０は、不正フロー８３４をネットワーク通信装置２００へ送信する（ステップＳ５２５、図１７のステップＳ６２６に対応）。

次に、ネットワーク通信装置２００は、受信した不正フロー８３４をフローテーブル８３０へ登録する（ステップＳ５３６）。

次に、ネットワーク通信装置２００は、フローテーブル８３０の内容に基づいて、受信した不正パケット８４１の処置を決定する（ステップＳ５３７）。

次に、ネットワーク通信装置２００は、ステップＳ５０７で決定した処理を実行する（ステップＳ５３８）。

上述した本実施形態における第１の効果は、第１の実施形態の効果に加えて、ネットワークに対する攻撃を検出することが可能になる点である。

その理由は、第１ダミー情報記憶部１２０が第１ダミー情報履歴８７１を記憶し、通信判定手段１４０が、第１ダミー情報履歴８７１に基づいて、被判定パケットが不正パケット８４１であるか否かを判定するからである。

上述した本実施形態における第２の効果は、ネットワークに対する攻撃を防御することが可能になる点である。

その理由は、通信判定手段１４０が被判定パケットを不正パケット８４１であると判定した場合、フロー登録部１３０がその不正パケット８４１に対応する不正フロー８３４を生成するからである。

＜＜＜第３の実施形態＞＞＞
次に、本発明の第３の実施形態について図面を参照して詳細に説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。

図２２は、本発明の第３の実施形態に係るトラップシステム１０３の構成を示すブロック図である。

図２２に示すように、本実施形態におけるトラップシステム１０３は、第２の実施形態のトラップシステム１０２と比べて、第２ダミーパケット通信部３１０を更に含む。端末３０３は、第２ダミーパケット通信部３１０を含む。

図２３は、端末３０３の構成を示すブロック図である。図２３に示すように、第２ダミーパケット通信部３１０は、端末３０３に含まれてよい。また、端末３０３は、第２ダミー情報記憶部３２０を更に含んでよい。

＝＝＝第２ダミーパケット通信部３１０＝＝＝
第２ダミーパケット通信部３１０は、第１ダミーパケット８１１を受信する。

そして、第２ダミーパケット通信部３１０は、受信した第１ダミーパケット８１１に含まれる情報に基づいて、第２ダミーパケット８２１を生成して送信する。

また、端末３０３が第２ダミー情報記憶部３２０を含む場合、第２ダミーパケット通信部３１０は、受信した第１ダミーパケット８１１に含まれる情報を第２ダミー情報として第２ダミー情報記憶部３２０に記録してもよい。

この場合、第２ダミーパケット通信部３１０は、第２ダミー情報記憶部３２０に記録された第２ダミー情報に基づいて、第２ダミーパケット８２１を生成して送信してもよい。

＝＝＝第２ダミー情報記憶部３２０＝＝＝
第２ダミー情報記憶部３２０は、第２ダミー情報を記憶する。図２４は、第２ダミー情報記憶部３２０が記憶する第２ダミー情報履歴８７２の一例を示す図である。

図２４は、送信元ＭＡＣが「１２：３４：５６：００：００：０１」、送信元ダミーＩＰが「１９２．１６８．１．１」、送信元ポート番号が「２００１」であるという第２ダミー情報を含む、第２ダミー情報履歴８７２を示す。尚、第２ダミー情報履歴８７２は、図２４に示す例に係わらず、第１ダミーパケット８１１に含まれる任意の情報を、更に含んでよい。

＝＝＝トラップシステム１０２のフロー登録部１３０＝＝＝
本実施形態のフロー登録部１３０は、更に、第２ダミーフロー８３５を生成し、ネットワーク通信装置２００へ送信する。ここで、第２ダミーフロー８３５は、第２ダミーパケット通信部３１０が送信する第２ダミーパケット８２１を、第１ダミーパケット通信部１１０が受信することを可能にするためのフローである。

図２５は、第２ダミーフロー８３５の一例を示す図である。図２５に示す第２ダミーフロー８３５は、宛先ダミーＩＰが「１９２．１６８．１．１」、かつ宛先ポート番号が「７」であることをマッチ条件とすることを示す。そして、その返信フロー８３２は、そのマッチ条件を満たすパケットを１番ポートへ出力すること（第１ダミーパケット通信部１１０が接続される、ネットワーク通信装置２００のポート）をアクションとすることを示す。

また、本実施形態の第１ダミーパケット通信部１１０は、第２ダミーパケット８２１の内容を指定する情報を、第１ダミーパケット８１１のデータ部に含めてもよい。この場合、第１ダミーパケット通信部１１０は、その第２ダミーパケット８２１の内容を指定する情報に基づいて生成された第２ダミーパケット８２１に対応する第２ダミーフロー８３５を生成して送信する。また、第２ダミーパケット通信部３１０は、その第２ダミーパケット８２１の内容を指定する情報に基づいて、第２ダミーパケット８２１を生成する。或いは、図２３に示す端末３０３の第２ダミーパケット通信部３１０は、その第２ダミーパケット８２１の内容を指定する情報を第２ダミー情報として第２ダミー情報記憶部３２０に記録する。

端末３０３は、図５に示すコンピュータ７００によって実現されてよい。

この場合、ＣＰＵ７０１は、その読み込んだプログラムに従って、またその読み込んだデータに基づいて、図２２に示す第２ダミーパケット通信部３１０としても、各種の処理を実行する。ここで、そのプログラムは、例えば、後述の図２８及び図３０に示すフローチャートの動作をコンピュータ７００に実行させるためのプログラムである。

記憶部７０２は、第２ダミー情報履歴８７２を記憶してよい。記憶部７０２は、第２ダミー情報記憶部３２０の一部として含まれてよい。

記憶装置７０３は、第２ダミー情報履歴８７２を記憶してよい。記憶装置７０３は、第２ダミー情報記憶部３２０の一部として含まれてよい。

入力部７０４は、第２ダミーパケット通信部３１０の一部としても含まれてよい。

出力部７０５は、第２ダミーパケット通信部３１０の一部としても含まれてよい。

通信部７０６は、第２ダミーパケット通信部３１０の一部としても含まれてよい。

図２６は、トラップシステム１０３を含む情報処理システム３０の構成を示すブロック図である。図２６に示すように情報処理システム３０は、トラップシステム１０３、ネットワーク通信装置２００及び端末３００を含む。トラップシステム１０３のトラップシステム１０２、トラップシステム１０３の端末３０３及び端末３００は、ネットワーク通信装置２００を介して、互いに接続されている。尚、図２６に示す例に係わらず、情報処理システム３０に含まれるトラップシステム１０３のトラップシステム１０２、トラップシステム１０３の端末３０３、ネットワーク通信装置２００及び端末３００のそれぞれは、任意の台数であってよい。また、情報処理システム３０は、図示しない、サーバ、通信制御装置、記憶装置及びその他の情報処理装置を含んでよい。

次に本実施形態の動作について、図面を参照して詳細に説明する。

図２７は、本実施形態のトラップシステム１０３の、第１ダミーパケット８１１が送信される場合の、トラップシステム１０２側の動作を示すフローチャートである。処理のステップ名については、Ｓ６０１のように、記号で記載する。

図２７に示すフローチャートの処理において、図１５に示すフローチャートの処理と同じ処理は、同一のステップ名を付与している。

ステップＳ６０２の次に、フロー登録部１３０は、第２ダミーフロー８３５を生成する（ステップＳ６３１）。

ステップＳ６０３の次に、フロー登録部１３０は、第２ダミーフロー８３５をネットワーク通信装置２００へ送信する（ステップＳ６３２）。

図２８は、本実施形態のトラップシステム１０３の、第１ダミーパケット８１１が送信された場合の、端末３０３側の動作を示すフローチャートである。

第２ダミーパケット通信部３１０は、第１ダミーパケット８１１を受信する（ステップＳ６３３）。

第２ダミーパケット通信部３１０は、第２ダミー情報を、第２ダミー情報記憶部３２０の第２ダミー情報履歴８７２に登録する（ステップＳ６３４）。

第２ダミーパケット通信部３１０は、受信した第１ダミーパケット８１１に対する返信パケットをトラップシステム１０２へ送信する（ステップＳ６３５）。

図２９は、本実施形態に係るトラップシステム１０３を含む情報処理システム３０の、トラップシステム１０２により第１ダミーパケット８１１が送信される場合の、動作を示すシーケンス図である。処理のステップ名については、Ｓ５０１のように、記号で記載する。

ステップＳ５０１及びステップＳ５１１のそれぞれは、図１６に示すステップＳ５０１及びステップＳ５１１のそれぞれと同じである。

次に、フロー登録部１３０は、第１ダミーパケット８１１に基づいて、返信フロー８３２及び第２ダミーフロー８３５を生成する（ステップＳ５４２、図２７のステップＳ６０２及びステップＳ６３１に対応）。

次に、フロー登録部１３０は、返信フロー８３２及び第２ダミーフロー８３５をネットワーク通信装置２００へ送信する（ステップＳ５４３、図２７のステップＳ６０３及びステップＳ６３２に対応）。

次に、ネットワーク通信装置２００は、受信した返信フロー８３２及び第２ダミーフロー８３５をフローテーブル８３０へ登録する（ステップＳ５４４）。

ステップＳ５０５は、図１６に示すステップＳ５０５と同じである。

次に、第２ダミーパケット通信部３１０は、第２ダミー情報を第２ダミー情報記憶部３２０に記録する（ステップＳ５４５）。

ステップＳ５０６乃至ステップＳ５０８のそれぞれは、図１６に示すステップＳ５０６乃至ステップＳ５０８のそれぞれと同じである。

図３０は、本実施形態のトラップシステム１０３の、第２ダミーパケット８２１が送信される場合の、端末３０３側の動作を示すフローチャートである。処理のステップ名については、Ｓ６０１のように、記号で記載する。

第２ダミーパケット通信部３１０は、第２ダミーパケット８２１を生成する（ステップＳ６３６）。

例えば、第２ダミーパケット通信部３１０は、第２ダミー情報履歴８７２に基づいて、第２ダミーパケット８２１を生成する。その第２ダミーパケット８２１は、例えば、宛先ＭＡＣを「１２：３４：５６：００：００：０１」、宛先ダミーＩＰを「１９２．１６８．１．１」及び宛先ポート番号を「７」とする。

次に、第２ダミーパケット通信部３１０は、トラップシステム１０２へ第２ダミーパケット８２１を送信する（ステップＳ６３７）。

次に、第２ダミーパケット通信部３１０は、第２ダミーパケット８２１に対する返信パケットを受信する（ステップＳ６３８）。

図３１は、本実施形態のトラップシステム１０３の、第２ダミーパケット８２１が送信された場合の、トラップシステム１０２の動作を示すフローチャートである。

第１ダミーパケット通信部１１０は、第２ダミーパケット８２１を受信する（ステップＳ６３９）。

第１ダミーパケット通信部１１０は、第２ダミーパケット８２１に含まれるダミー情報を、第１ダミー情報記憶部１２０の第１ダミー情報履歴８７１に登録する（ステップＳ６４０）。

第１ダミーパケット通信部１１０は、受信した第２ダミーパケット８２１に対するその返信パケットを端末３０３へ送信する（ステップＳ６４１）。

図３２は、本実施形態に係るトラップシステム１０３を含む情報処理システム３０の、端末３０３により第２ダミーパケット８２１が送信される場合の、動作を示すシーケンス図である。処理のステップ名については、Ｓ５０１のように、記号で記載する。

第２ダミーパケット通信部３１０は、第２ダミーパケット８２１を生成する（ステップＳ５５１、図３０のステップＳ６３６に対応）。

次に、第２ダミーパケット通信部３１０は、第２ダミーパケット８２１を送信し、ネットワーク通信装置２００がその第２ダミーパケット８２１を受信する（ステップＳ５５２、図３０のステップＳ６３７に対応）。

次に、ネットワーク通信装置２００は、フローテーブル８３０に含まれる第２ダミーフロー８３５に基づいて、第２ダミーパケット８２１の処置を決定する（ステップＳ５５３、図３０のステップＳ６３８に対応）。

次に、ネットワーク通信装置２００は、ステップＳ５５３で決定した処置を実行する（ステップＳ５５４）。ここでは、ネットワーク通信装置２００は、第２ダミーパケット８２１をトラップシステム１０２の第１ダミーパケット通信部１１０へ転送する。この時、トラップシステム１０２の第１ダミーパケット通信部１１０は、図３１のステップＳ６３９において、第２ダミーパケット８２１を受信する。

次に、第１ダミーパケット通信部１１０は、第２ダミーパケット８２１に含まれるダミー情報を、第１ダミー情報記憶部１２０の第１ダミー情報履歴８７１に登録する（ステップＳ５５５、図３１のステップＳ６４０に対応）。

次に、第１ダミーパケット通信部１１０は、第２ダミーパケット８２１に対するその返信パケットを送信する（ステップＳ５５６、図３１のステップＳ６４１に対応）。

以上が本実施形態の動作の説明である。

尚、本実施形態のトラップシステム１０３は、トラップシステム１０２に替えて、トラップシステム１０１を含んでもよい。

上述した本実施形態における第１の効果は、ネットワークに対する攻撃をより困難にすることが可能になる点である。

その理由は、端末３０３が第２ダミーパケット８２１を生成し、送信するからである。

上述した本実施形態における第２の効果は、ネットワークに対する攻撃を困難にするためにより好適な、第２ダミーパケット８２１を生成することが可能になる点である。

その理由は、以下の構成を含むからである。第１に、第１ダミーパケット通信部１１０が、第２ダミーパケット８２１の内容を指定する情報を、第１ダミーパケット８１１のデータ部に含める。第２に、第２ダミーパケット通信部３１０が、その第２ダミーパケット８２１の内容を指定する情報に基づいて、第２ダミーパケット８２１を生成する。

以上の各実施形態で説明した各構成要素は、必ずしも個々に独立した存在である必要はない。例えば、複数個の任意のその構成要素が１個のモジュールとして実現されてよい。また、その構成要素の内の任意のひとつが複数のモジュールで実現されてもよい。また、その構成要素の内の任意のひとつがその構成要素の内の任意の他のひとつであってよい。また、その構成要素の内の任意のひとつの一部と、その構成要素の内の任意の他のひとつの一部とが重複してもよい。

以上説明した各実施形態における各構成要素及び各構成要素を実現するモジュールは、必要に応じ、可能であれば、ハードウエア的に実現されてよい。また、各構成要素及び各構成要素を実現するモジュールは、コンピュータ及びプログラムで実現されてよい。また、各構成要素及び各構成要素を実現するモジュールは、ハードウエア的なモジュールとコンピュータ及びプログラムとの混在により実現されてもよい。

そのプログラムは、例えば、磁気ディスクや半導体メモリなど、コンピュータが読み取り可能な非一時的記録媒体に記録され、コンピュータに提供される。そして、そのプログラムは、コンピュータの立ち上げ時などに、非一時的記録媒体からコンピュータに読み取られる。この読み取られたプログラムは、そのコンピュータの動作を制御することにより、そのコンピュータを前述した各実施形態における構成要素として機能させる。

また、以上説明した各実施形態では、複数の動作をフローチャートの形式で順番に記載してあるが、その記載の順番は複数の動作を実行する順番を限定するものではない。このため、各実施形態を実施するときには、その複数の動作の順番は内容的に支障のない範囲で変更することができる。

更に、以上説明した各実施形態では、複数の動作は個々に相違するタイミングで実行されることに限定されない。例えば、ある動作の実行中に他の動作が発生してよい。また、ある動作と他の動作との実行タイミングが部分的に乃至全部において重複してもよい。

更に、以上説明した各実施形態では、ある動作が他の動作の契機になるように記載しているが、その記載はある動作と他の動作との関係を限定するものではない。このため、各実施形態を実施するときには、その複数の動作の関係は内容的に支障のない範囲で変更することができる。また各構成要素の各動作の具体的な記載は、各構成要素の各動作を限定するものではない。このため、各構成要素の具体的な各動作は、各実施形態を実施する上で機能的、性能的、その他の特性に対して支障を来さない範囲内で変更されてよい。

以上、各実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解し得るさまざまな変更をすることができる。

１０ 情報処理システム
２０ 情報処理システム
３０ 情報処理システム
１０１ トラップシステム
１０２ トラップシステム
１０３ トラップシステム
１１０ 第１ダミーパケット通信部
１２０ 第１ダミー情報記憶部
１３０ フロー登録部
１４０ 通信判定手段
２００ ネットワーク通信装置
３００ 端末
３０３ 端末
３１０ 第２ダミーパケット通信部
３２０ 第２ダミー情報記憶部
７００ コンピュータ
７０１ ＣＰＵ
７０２ 記憶部
７０３ 記憶装置
７０４ 入力部
７０５ 出力部
７０６ 通信部
７０７ 記録媒体
８００ ネットワーク構成情報
８１１ 第１ダミーパケット
８２１ 第２ダミーパケット
８３０ フローテーブル
８３１ フロー
８３２ 返信フロー
８３３ 正常フロー
８３４ 不正フロー
８３５ 第２ダミーフロー
８４１ 不正パケット
８６１ 正常パケット
８７１ 第１ダミー情報履歴
８７２ 第２ダミー情報履歴

Claims (12)

1. ネットワーク内に存在しないノードを前記ネットワーク内に存在するかのように見せかけるためのダミー情報を含む、第１のダミーパケットを生成し、生成した前記第１のダミーパケットを送信する第１のダミーパケット通信手段と、
   前記第１のダミーパケットに含まれる前記ダミー情報を利用して生成される不正パケットに対応する、パケットに対する処置内容を規定する、通信制御規則を生成し、パケットの伝送処理機能を含むスイッチ手段へ生成した前記通信制御規則を送信するフロー登録手段と、を含む
   情報処理システム。
2. 前記フロー登録手段は、前記第１のダミーパケットへの返信パケットに対する処置内容を規定する、前記通信制御規則を生成し、生成した前記通信制御規則を、前記第１のダミーパケットに先行して、前記スイッチ手段へ送信する
   請求項１記載の情報処理システム。
3. 前記第１のダミーパケットに含まれる前記ダミー情報を記憶する第１のダミー情報記憶手段と、
   前記第１のダミー情報記憶手段に記憶された前記ダミー情報に基づいて、前記スイッチ手段から通信制御規則の問い合わせで指定される被判定パケットが、前記不正パケットであるか否かを判定する通信判定手段と、を更に含み、
   前記フロー登録手段は、前記判定された結果に基づいて、前記被判定パケットに対する、前記通信制御規則を生成する
   請求項１または２記載の情報処理システム。
4. 前記通信判定手段は、前記被判定パケットが前記不正パケットである場合、前記不正パケットに関する情報と前記不正パケットを生成するために利用された前記第１のダミーパケットに関する情報とを、関連付けて出力する
   請求項３記載の情報処理システム。
5. 前記第１のダミーパケットを受信し、受信した前記第１のダミーパケットに含まれる情報に基づいて、第２のダミーパケットを生成して送信する第２のダミーパケット通信手段を含む
   請求項１乃至４のいずれか１項に記載の情報処理システム。
6. 前記フロー登録手段は、前記第２のダミーパケットに対応する前記通信制御規則を生成し、生成した前記通信制御規則を前記第１のダミーパケットに先行して、前記スイッチ手段へ送信する
   請求項５記載の情報処理システム。
7. 前記スイッチ手段は、オープンフロースイッチであり、
   前記通信制御規則は、前記オープンフロースイッチに対するフローである
   請求項１乃至６のいずれか１項に記載の情報処理システム。
8. ネットワーク内に存在しないノードを前記ネットワーク内に存在するかのように見せかけるためのダミー情報を含む、第１のダミーパケットを情報処理装置から受信し、受信した前記第１のダミーパケットに含まれる情報に基づいて、第２のダミーパケットを生成して送信する第２のダミーパケット通信手段を含み、
   前記情報処理装置は、前記第１のダミーパケットを生成し、生成した前記第１のダミーパケットを送信する第１のダミーパケット通信手段と、前記第１のダミーパケットに含まれる前記ダミー情報を利用して生成される不正パケットに対応する、パケットに対する処置内容を規定する、通信制御規則を生成し、パケットの伝送処理機能を含むスイッチ手段へ生成した前記通信制御規則を送信し、前記第２のダミーパケットに対応する前記通信制御規則を生成し、生成した前記通信制御規則を前記スイッチ手段へ送信するフロー登録手段と、を含む
   端末。
9. コンピュータが、
   ネットワーク内に存在しないノードを前記ネットワーク内に存在するかのように見せかけるためのダミー情報を含む、第１のダミーパケットを生成し、
   生成した前記第１のダミーパケットを送信し、
   前記第１のダミーパケットに含まれる前記ダミー情報を利用して生成される不正パケットに対応する、パケットに対する処置内容を規定する、通信制御規則を生成し、
   パケットの伝送処理機能を含むスイッチ手段へ生成した前記通信制御規則を送信する
   ネットワーク制御方法。
10. コンピュータが、
    ネットワーク内に存在しないノードを前記ネットワーク内に存在するかのように見せかけるためのダミー情報を含む、第１のダミーパケットを情報処理装置から受信し、
    受信した前記第１のダミーパケットに含まれる情報に基づいて、第２のダミーパケットを生成して送信し、
    前記情報処理装置は、前記第１のダミーパケットを生成し、生成した前記第１のダミーパケットを送信する第１のダミーパケット通信手段と、前記第１のダミーパケットに含まれる前記ダミー情報を利用して生成される不正パケットに対応する、パケットに対する処置内容を規定する、通信制御規則を生成し、パケットの伝送処理機能を含むスイッチ手段へ生成した前記通信制御規則を送信するフロー登録手段と、を含む
    ネットワーク制御方法。
11. ネットワーク内に存在しないノードを前記ネットワーク内に存在するかのように見せかけるためのダミー情報を含む、第１のダミーパケットを生成し、
    生成した前記第１のダミーパケットを送信し、
    前記第１のダミーパケットに含まれる前記ダミー情報を利用して生成される不正パケットに対応する、パケットに対する処置内容を規定する、通信制御規則を生成し、
    パケットの伝送処理機能を含むスイッチ手段へ生成した前記通信制御規則を送信する処理をコンピュータに実行させる
    プログラム。
12. ネットワーク内に存在しないノードを前記ネットワーク内に存在するかのように見せかけるためのダミー情報を含む、第１のダミーパケットを情報処理装置から受信し、
    受信した前記第１のダミーパケットに含まれる情報に基づいて、第２のダミーパケットを生成して送信する
    処理をコンピュータに実行させ、
    前記情報処理装置は、前記第１のダミーパケットを生成し、生成した前記第１のダミーパケットを送信する第１のダミーパケット通信手段と、前記第１のダミーパケットに含まれる前記ダミー情報を利用して生成される不正パケットに対応する、パケットに対する処置内容を規定する、通信制御規則を生成し、パケットの伝送処理機能を含むスイッチ手段へ生成した前記通信制御規則を送信するフロー登録手段と、を含む
    プログラム。

Images