JP3483782B2 - 電子データの追跡システム及びデータ中継装置 - Google Patents
電子データの追跡システム及びデータ中継装置Info
- Publication number
- JP3483782B2 JP3483782B2 JP29324598A JP29324598A JP3483782B2 JP 3483782 B2 JP3483782 B2 JP 3483782B2 JP 29324598 A JP29324598 A JP 29324598A JP 29324598 A JP29324598 A JP 29324598A JP 3483782 B2 JP3483782 B2 JP 3483782B2
- Authority
- JP
- Japan
- Prior art keywords
- tracking
- data
- address
- instruction
- electronic data
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
Landscapes
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Small-Scale Networks (AREA)
Description
【０００１】
【発明の属する技術分野】本発明は、例えばインターネ
ットを介して流通する電子データの流通経路または発信
源を、送信元プロトコルアドレスが偽れた場合であって
も正確に特定できるようにするためのデータ追跡技術に
関する。
ットを介して流通する電子データの流通経路または発信
源を、送信元プロトコルアドレスが偽れた場合であって
も正確に特定できるようにするためのデータ追跡技術に
関する。
【０００２】
【従来の技術】インターネット等の通信網を用いて電子
データの送受信を行う場合、その電子データには、宛先
プロトコルアドレスと送信元プロトコルアドレスが付与
される。そのため、電子データを受信したシステムで
は、その電子データに付与された送信元プロトコルアド
レスを調べることによって、どの装置またはシステムか
ら送られてきたのか、つまり発信源を確認できるように
なっている。
データの送受信を行う場合、その電子データには、宛先
プロトコルアドレスと送信元プロトコルアドレスが付与
される。そのため、電子データを受信したシステムで
は、その電子データに付与された送信元プロトコルアド
レスを調べることによって、どの装置またはシステムか
ら送られてきたのか、つまり発信源を確認できるように
なっている。
【０００３】
【発明が解決しようとする課題】しかし、送信元プロト
コルアドレスは、送信元システムによって任意に付与さ
れるものなので、これを偽ることにより送信元システム
を隠すことは容易である。通常、あるシステムに不正に
アクセスする者（以下、不正アクセスを「攻撃」、不正
アクセスを行う者を「攻撃者」と称する場合がある）
は、身元を隠すために自己のシステムの送信元プロトコ
ルアドレスではなく、別のシステムのプロトコルアドレ
スを用いて攻撃する場合が多い。この場合、不正にアク
セスされたシステム側では、送信元プロトコルアドレス
を信用することができず、また、攻撃者を正しく特定す
ることができないという問題があった。
コルアドレスは、送信元システムによって任意に付与さ
れるものなので、これを偽ることにより送信元システム
を隠すことは容易である。通常、あるシステムに不正に
アクセスする者（以下、不正アクセスを「攻撃」、不正
アクセスを行う者を「攻撃者」と称する場合がある）
は、身元を隠すために自己のシステムの送信元プロトコ
ルアドレスではなく、別のシステムのプロトコルアドレ
スを用いて攻撃する場合が多い。この場合、不正にアク
セスされたシステム側では、送信元プロトコルアドレス
を信用することができず、また、攻撃者を正しく特定す
ることができないという問題があった。
【０００４】そこで本発明は、電子データを受信した側
で、その電子データの送信元を正しく特定することがで
きる電子データの追跡方法を提供することを課題とす
る。本発明の他の課題は、この追跡方法の実施に適した
電子データの追跡システム及びその構成装置を提供する
ことにある。
で、その電子データの送信元を正しく特定することがで
きる電子データの追跡方法を提供することを課題とす
る。本発明の他の課題は、この追跡方法の実施に適した
電子データの追跡システム及びその構成装置を提供する
ことにある。
【０００５】
【課題を解決するための手段】上記課題を解決する本発
明の追跡方法は、電子データを流通させる装置が連鎖状
に接続されたネットワーク上で前記電子データを運ぶデ
ータリンク層の識別子を解析し、当該電子データが通過
した前記装置を前記識別子の解析結果に基づいて特定す
る過程を含むことを特徴とする。より具体的には、個々
の前記装置が前記識別子を解析することで前記電子デー
タが通過した自装置の一つ前の装置を特定した後、この
特定した装置に、当該電子データが当該装置の一つ前に
通過した他の装置を特定させる。
明の追跡方法は、電子データを流通させる装置が連鎖状
に接続されたネットワーク上で前記電子データを運ぶデ
ータリンク層の識別子を解析し、当該電子データが通過
した前記装置を前記識別子の解析結果に基づいて特定す
る過程を含むことを特徴とする。より具体的には、個々
の前記装置が前記識別子を解析することで前記電子デー
タが通過した自装置の一つ前の装置を特定した後、この
特定した装置に、当該電子データが当該装置の一つ前に
通過した他の装置を特定させる。
【０００６】好ましくは、予め追跡すべき電子データの
特徴情報を特定しておき、流通する前記電子データが前
記特徴情報に合致するときに、当該合致する電子データ
を運ぶデータリンク層の識別子を解析するようにする。
また、それぞれの装置が、前記他の装置を特定できたと
きは自装置における前記解析の識別情報を当該他の装置
及び所定のデータ追跡手段に通知するとともに、前記他
の装置を特定できなかったとき（前記識別子を解析する
ことで前記電子データが通過した自装置の一つ前の装置
を特定する機能を持つ装置でない場合を含む）は当該特
徴情報に基づく最終通知情報を前記データ追跡手段に通
知するようにしても良い。
特徴情報を特定しておき、流通する前記電子データが前
記特徴情報に合致するときに、当該合致する電子データ
を運ぶデータリンク層の識別子を解析するようにする。
また、それぞれの装置が、前記他の装置を特定できたと
きは自装置における前記解析の識別情報を当該他の装置
及び所定のデータ追跡手段に通知するとともに、前記他
の装置を特定できなかったとき（前記識別子を解析する
ことで前記電子データが通過した自装置の一つ前の装置
を特定する機能を持つ装置でない場合を含む）は当該特
徴情報に基づく最終通知情報を前記データ追跡手段に通
知するようにしても良い。
【０００７】上記他の課題を解決する本発明の追跡シス
テムは、流通する電子データの中継を行う複数のデータ
中継装置をネットワーク上で連鎖状に接続して成る。あ
るいは、これらのデータ中継装置に対して双方向通信可
能に接続されたデータ追跡装置とを含んで成る。個々の
データ中継装置は、それぞれ下記の要素を有するもので
ある。 （１−１）追跡すべき電子データの特徴情報と追跡結果
の通知先アドレス（例えば、データ追跡装置のアドレ
ス）とを含む所定の追跡指示の受信を契機に、自装置を
通過する電子データから前記特徴情報に適合するもの
（追跡対象データ）を探索する第１の手段、（１−２）
探索した前記追跡対象データを前記ネットワーク上で運
ぶデータリンク層の識別子を解析し、この解析結果に基
づいて当該追跡対象データが自装置の前に通過した他の
装置の特定を試みる第２の手段、（１−３）前記他の装
置を特定でき且つ特定した装置が自装置と同等の機能を
備えている場合に、その装置に対して前記受信した追跡
指示と同一内容の追跡指示を与える第３の手段、（１−
４）自装置における追跡結果を前記通知先アドレス宛に
通知する第４の手段。
テムは、流通する電子データの中継を行う複数のデータ
中継装置をネットワーク上で連鎖状に接続して成る。あ
るいは、これらのデータ中継装置に対して双方向通信可
能に接続されたデータ追跡装置とを含んで成る。個々の
データ中継装置は、それぞれ下記の要素を有するもので
ある。 （１−１）追跡すべき電子データの特徴情報と追跡結果
の通知先アドレス（例えば、データ追跡装置のアドレ
ス）とを含む所定の追跡指示の受信を契機に、自装置を
通過する電子データから前記特徴情報に適合するもの
（追跡対象データ）を探索する第１の手段、（１−２）
探索した前記追跡対象データを前記ネットワーク上で運
ぶデータリンク層の識別子を解析し、この解析結果に基
づいて当該追跡対象データが自装置の前に通過した他の
装置の特定を試みる第２の手段、（１−３）前記他の装
置を特定でき且つ特定した装置が自装置と同等の機能を
備えている場合に、その装置に対して前記受信した追跡
指示と同一内容の追跡指示を与える第３の手段、（１−
４）自装置における追跡結果を前記通知先アドレス宛に
通知する第４の手段。
【０００８】この第４の手段は、好ましくは、自装置に
おける追跡結果と共に、当該追跡結果が何番目の追跡結
果かを表す追跡順序情報を前記通知先アドレスに通知す
るように構成し、前記第３の手段で他の装置に前記追跡
指示を与えることができなかった場合は、自装置が前記
追跡指示に基づく最終のデータ中継装置である旨の付加
情報を添付するように構成する。当該他の装置のプロト
コルアドレスが特定できた場合は、そのプロトコルアド
レスをも添付するように構成する。前記データ追跡装置
を設ける場合は、少なくとも前記第３の手段で他の装置
に前記追跡指示を与えることができなかったデータ中継
装置からの通知情報をもとに当該追跡対象データの発信
源を特定するように、それを構成する。
おける追跡結果と共に、当該追跡結果が何番目の追跡結
果かを表す追跡順序情報を前記通知先アドレスに通知す
るように構成し、前記第３の手段で他の装置に前記追跡
指示を与えることができなかった場合は、自装置が前記
追跡指示に基づく最終のデータ中継装置である旨の付加
情報を添付するように構成する。当該他の装置のプロト
コルアドレスが特定できた場合は、そのプロトコルアド
レスをも添付するように構成する。前記データ追跡装置
を設ける場合は、少なくとも前記第３の手段で他の装置
に前記追跡指示を与えることができなかったデータ中継
装置からの通知情報をもとに当該追跡対象データの発信
源を特定するように、それを構成する。
【０００９】本発明はまた、上記データ追跡システムの
一部を構成するデータ中継装置、データ追跡装置、及び
これらの装置をコンピュータ装置により実現するための
記録媒体を提供する。
一部を構成するデータ中継装置、データ追跡装置、及び
これらの装置をコンピュータ装置により実現するための
記録媒体を提供する。
【００１０】本発明のデータ中継装置は、下記の要素を
有するものである。 （２−１）ネットワーク上で流通する電子データを受信
し、受信した電子データを連鎖状に接続された他の装置
へ転送する中継機構、（２−２）追跡対象データの特徴
情報と追跡結果の通知先アドレスとを含む所定の追跡指
示の受信を契機に、自装置を通過する電子データから追
跡対象データを探索する第１の手段と、前述の第２乃至
第４の手段を備えたデータ追跡機構。
有するものである。 （２−１）ネットワーク上で流通する電子データを受信
し、受信した電子データを連鎖状に接続された他の装置
へ転送する中継機構、（２−２）追跡対象データの特徴
情報と追跡結果の通知先アドレスとを含む所定の追跡指
示の受信を契機に、自装置を通過する電子データから追
跡対象データを探索する第１の手段と、前述の第２乃至
第４の手段を備えたデータ追跡機構。
【００１１】本発明のデータ追跡装置は、下記の要素を
有するものである。 （３−１）ネットワーク上で連鎖状に接続された複数の
データ中継装置及び前記ネットワークを流通する電子デ
ータの到達先に備えられた装置との間で通信を行う通信
手段、（３−２）前記到達先に備えられた装置より知得
した、追跡対象となる電子データの特徴情報に基づい
て、当該到達先の直前のデータ中継装置を特定し、特定
したデータ中継装置宛てに前記特徴情報及び自装置のア
ドレスを含む追跡指示を発行する手段、（３−３）前記
追跡指示の宛先となるデータ中継装置またはそのデータ
中継装置が前記追跡指示と同一の追跡指示を与えた他の
データ中継装置より受領した通知情報に基づいて前記追
跡対象データの流通経路を解析する手段。
有するものである。 （３−１）ネットワーク上で連鎖状に接続された複数の
データ中継装置及び前記ネットワークを流通する電子デ
ータの到達先に備えられた装置との間で通信を行う通信
手段、（３−２）前記到達先に備えられた装置より知得
した、追跡対象となる電子データの特徴情報に基づい
て、当該到達先の直前のデータ中継装置を特定し、特定
したデータ中継装置宛てに前記特徴情報及び自装置のア
ドレスを含む追跡指示を発行する手段、（３−３）前記
追跡指示の宛先となるデータ中継装置またはそのデータ
中継装置が前記追跡指示と同一の追跡指示を与えた他の
データ中継装置より受領した通知情報に基づいて前記追
跡対象データの流通経路を解析する手段。
【００１２】好ましい実施の形態では、上記（３−１）
〜（３−３）のほかに、前記到達先に備えられた不正ア
クセスセンサの種別毎に攻撃パターンとそのときのセン
サ出力コードとを対応付けて記録した第１記録手段と、
前記センサ出力コードの受領を契機に前記第１記録手段
を参照して該当する攻撃パターンとその攻撃パターンに
対応する前記特徴情報を特定する手段とを具備し、必要
に応じて、前記不正アクセスセンサの種別とそのセンサ
を採用するシステムの管理者のメールアドレスとを登録
元毎に記録しておき所定の場合に前記管理者のメールア
ドレス宛てに警告メールを自動送信する手段と、前記流
通経路を解析して攻撃者を特定したときに当該攻撃者ま
たは攻撃者に関わる者宛に警告メールを発信する手段を
さらに具備してデータ追跡装置を構成する。
〜（３−３）のほかに、前記到達先に備えられた不正ア
クセスセンサの種別毎に攻撃パターンとそのときのセン
サ出力コードとを対応付けて記録した第１記録手段と、
前記センサ出力コードの受領を契機に前記第１記録手段
を参照して該当する攻撃パターンとその攻撃パターンに
対応する前記特徴情報を特定する手段とを具備し、必要
に応じて、前記不正アクセスセンサの種別とそのセンサ
を採用するシステムの管理者のメールアドレスとを登録
元毎に記録しておき所定の場合に前記管理者のメールア
ドレス宛てに警告メールを自動送信する手段と、前記流
通経路を解析して攻撃者を特定したときに当該攻撃者ま
たは攻撃者に関わる者宛に警告メールを発信する手段を
さらに具備してデータ追跡装置を構成する。
【００１３】本発明の記録媒体は、データ中継装置を構
成するためのもので、ネットワーク上で連鎖状に接続さ
れた他の装置及び所定のデータ追跡装置と双方向通信可
能に接続されたコンピュータ装置に下記の処理を実行さ
せるためのプログラムコードが記録された、コンピュー
タ読取可能な記録媒体である。 （４−１）追跡すべき電子データの特徴情報と追跡結果
の通知先アドレスとを含む所定の追跡指示の受信を契機
に、自装置で受信し前記他の装置のいずれかへ転送する
電子データから追跡対象データを探索する処理、（４−
２）探索した前記追跡対象データを前記ネットワーク上
で運ぶデータリンク層の識別子を解析し、この解析結果
に基づいて当該追跡対象データが自装置の前に通過した
他の装置の特定を試みる処理、（４−３）前記他の装置
を特定でき且つ特定した装置が自装置と同等の機能を備
えている場合に、その装置に対して前記受信した追跡指
示と同一内容の追跡指示を与える処理、（４−４）自装
置における追跡結果を所定の識別情報と共に前記通知先
アドレス宛に通知する処理。
成するためのもので、ネットワーク上で連鎖状に接続さ
れた他の装置及び所定のデータ追跡装置と双方向通信可
能に接続されたコンピュータ装置に下記の処理を実行さ
せるためのプログラムコードが記録された、コンピュー
タ読取可能な記録媒体である。 （４−１）追跡すべき電子データの特徴情報と追跡結果
の通知先アドレスとを含む所定の追跡指示の受信を契機
に、自装置で受信し前記他の装置のいずれかへ転送する
電子データから追跡対象データを探索する処理、（４−
２）探索した前記追跡対象データを前記ネットワーク上
で運ぶデータリンク層の識別子を解析し、この解析結果
に基づいて当該追跡対象データが自装置の前に通過した
他の装置の特定を試みる処理、（４−３）前記他の装置
を特定でき且つ特定した装置が自装置と同等の機能を備
えている場合に、その装置に対して前記受信した追跡指
示と同一内容の追跡指示を与える処理、（４−４）自装
置における追跡結果を所定の識別情報と共に前記通知先
アドレス宛に通知する処理。
【００１４】本発明の他の記録媒体は、データ追跡装置
を構成するためのもので、ネットワーク上で連鎖状に接
続された複数のデータ中継装置及び前記ネットワークを
流通する電子データの到達先に備えられた装置との間で
通信を行う通信手段を備えたコンピュータ装置に下記の
処理を実行させるためのプログラムコードが記録され
た、コンピュータ読取可能な記録媒体である。 （５−１）前記到達先に備えられた装置より追跡すべき
電子データの特徴情報を知得する処理、（５−２）当該
到達先の直前のデータ中継装置を特定し、特定したデー
タ中継装置宛てに前記知得した特徴情報及び自装置のア
ドレスを含む追跡指示を発行する処理、（５−３）前記
追跡指示の宛先となるデータ中継装置またはそのデータ
中継装置が前記追跡指示と同一の追跡指示を与えた他の
データ中継装置より受領した通知情報に基づいて追跡対
象データの流通経路を解析する処理。
を構成するためのもので、ネットワーク上で連鎖状に接
続された複数のデータ中継装置及び前記ネットワークを
流通する電子データの到達先に備えられた装置との間で
通信を行う通信手段を備えたコンピュータ装置に下記の
処理を実行させるためのプログラムコードが記録され
た、コンピュータ読取可能な記録媒体である。 （５−１）前記到達先に備えられた装置より追跡すべき
電子データの特徴情報を知得する処理、（５−２）当該
到達先の直前のデータ中継装置を特定し、特定したデー
タ中継装置宛てに前記知得した特徴情報及び自装置のア
ドレスを含む追跡指示を発行する処理、（５−３）前記
追跡指示の宛先となるデータ中継装置またはそのデータ
中継装置が前記追跡指示と同一の追跡指示を与えた他の
データ中継装置より受領した通知情報に基づいて追跡対
象データの流通経路を解析する処理。
【００１５】なお、上記各記録媒体において、前記各処
理の一部を前記コンピュータ装置に搭載されたオペレー
ティングシステムに実行させるためのディジタル情報を
記録するようにしても良い。
理の一部を前記コンピュータ装置に搭載されたオペレー
ティングシステムに実行させるためのディジタル情報を
記録するようにしても良い。
【００１６】
【発明の実施の形態】次に、本発明の電子データの追跡
方法の実施の形態を説明する。本発明では、送信元プロ
トコルアドレスや送信先プロトコルアドレスよりも下位
に位置する層（以下、この下位層を総称したものを「デ
ータリンク層」とする）のフレームまたはセル（以下、
両者を区別する必要がない場合は「フレーム等」と略称
する）に含まれる識別子をもとに、電子データの通過し
てきた経路を受信側から送信側に向かって逆に辿ってい
く。ここで、「識別子」とは、電子データを運ぶメディ
アがＬＡＮ（Local Area Network）の場合はＭＡＣ（Me
dia Access Contorol）アドレス、フレームリレー網の
場合はＤＬＣＩ（Data Link Connection Identifie
r）、ＡＴＭ（Asynchronous Transfer Mode）網の場合
はＶＰＩ（Virtual Path Identifier）／ＶＣＩ（Virtu
al Channel Identifier）等の情報である。
方法の実施の形態を説明する。本発明では、送信元プロ
トコルアドレスや送信先プロトコルアドレスよりも下位
に位置する層（以下、この下位層を総称したものを「デ
ータリンク層」とする）のフレームまたはセル（以下、
両者を区別する必要がない場合は「フレーム等」と略称
する）に含まれる識別子をもとに、電子データの通過し
てきた経路を受信側から送信側に向かって逆に辿ってい
く。ここで、「識別子」とは、電子データを運ぶメディ
アがＬＡＮ（Local Area Network）の場合はＭＡＣ（Me
dia Access Contorol）アドレス、フレームリレー網の
場合はＤＬＣＩ（Data Link Connection Identifie
r）、ＡＴＭ（Asynchronous Transfer Mode）網の場合
はＶＰＩ（Virtual Path Identifier）／ＶＣＩ（Virtu
al Channel Identifier）等の情報である。
【００１７】上記メディアとしては、イーサネット（登
録商標）やＦＤＤＩ（Fiber Distributed Data interfa
ce）等を用いたＬＡＮや、専用線、フレームリレー網、
ＡＴＭ網等が使用される。専用線を介して装置（データ
を発信した装置／システム／データ中継装置等）が接続
される場合には、一つのインタフェースに対して、一つ
の装置しか接続されないため、辿るべき経路は一意に決
定される。フレームリレー網やＡＴＭ網の場合も、ＰＶ
Ｃ（相手先固定）接続の場合には、接続される相手装置
とＤＬＣＩ（フレームリレー網の場合）、ＶＰＩ／ＶＣ
Ｉ（ＡＴＭ網の場合）が１対１に対応しているため、追
跡すべき電子データが含まれるデータリンク層のフレー
ム等のＤＬＣＩやＶＰＩ／ＶＣＩを確認すれば、一つ前
の装置を特定することができる。ＬＡＮの場合は、その
フレームに送信元ＭＡＣアドレスが付与されるので、そ
のＭＡＣアドレスから一つ前の装置を特定することがで
きる。
録商標）やＦＤＤＩ（Fiber Distributed Data interfa
ce）等を用いたＬＡＮや、専用線、フレームリレー網、
ＡＴＭ網等が使用される。専用線を介して装置（データ
を発信した装置／システム／データ中継装置等）が接続
される場合には、一つのインタフェースに対して、一つ
の装置しか接続されないため、辿るべき経路は一意に決
定される。フレームリレー網やＡＴＭ網の場合も、ＰＶ
Ｃ（相手先固定）接続の場合には、接続される相手装置
とＤＬＣＩ（フレームリレー網の場合）、ＶＰＩ／ＶＣ
Ｉ（ＡＴＭ網の場合）が１対１に対応しているため、追
跡すべき電子データが含まれるデータリンク層のフレー
ム等のＤＬＣＩやＶＰＩ／ＶＣＩを確認すれば、一つ前
の装置を特定することができる。ＬＡＮの場合は、その
フレームに送信元ＭＡＣアドレスが付与されるので、そ
のＭＡＣアドレスから一つ前の装置を特定することがで
きる。
【００１８】但し、フレーム等に含まれる識別子は、通
常、そのフレーム等が送信されるＬＡＮやフレームリレ
ー網、ＡＴＭ網等を介した際のデータ中継装置のものな
ので、隣の装置までは特定できても、発信源の装置まで
は直ちに特定することができない。そこで、この実施形
態では、フレーム等の識別子から、追跡すべき電子デー
タが通過した一つ前の装置をまず特定し、その装置上
で、追跡すべき電子データの特徴情報に適合する電子デ
ータ（これが追跡対象データとなる）を再び捕捉し、そ
の追跡対象データのフレーム等の識別子を調べることに
よって、さらに先の装置を探索していくという動作を繰
り返していく。このような動作を繰り返していくこと
で、最終的に追跡対象データの発信源を特定する。
常、そのフレーム等が送信されるＬＡＮやフレームリレ
ー網、ＡＴＭ網等を介した際のデータ中継装置のものな
ので、隣の装置までは特定できても、発信源の装置まで
は直ちに特定することができない。そこで、この実施形
態では、フレーム等の識別子から、追跡すべき電子デー
タが通過した一つ前の装置をまず特定し、その装置上
で、追跡すべき電子データの特徴情報に適合する電子デ
ータ（これが追跡対象データとなる）を再び捕捉し、そ
の追跡対象データのフレーム等の識別子を調べることに
よって、さらに先の装置を探索していくという動作を繰
り返していく。このような動作を繰り返していくこと
で、最終的に追跡対象データの発信源を特定する。
【００１９】上述の追跡方法は、例えば、図１に示すよ
うに構成されるデータ追跡システムによって実施するこ
とができる。このデータ追跡システム１は、既存の通信
システムや内部ネットワーク等が接続され、公衆通信
網、例えばインターネット上で連鎖状に接続された複数
のデータ中継装置１０と、各データ中継装置１０との間
で双方向通信ができる形態で接続されたデータ追跡装置
（この実施の形態では、「管理システム」と称する）２
０とを含んで構成されるものである。以後、通信システ
ムや内部ネットワークのうち、攻撃者が操作したものを
「発信源装置」、攻撃された通信システム等を「被害者
ネットワーク」と称する。被害者ネットワークには、攻
撃者による不正アクセスの事実を検知するための装置、
（以下、「センサ」：図示省略）が備えられており、こ
のセンサで攻撃パターンが検知されたときに、その旨と
追跡すべき電子データの特徴情報が、自センサの識別子
と共に管理システム２０に通知されるようになってい
る。
うに構成されるデータ追跡システムによって実施するこ
とができる。このデータ追跡システム１は、既存の通信
システムや内部ネットワーク等が接続され、公衆通信
網、例えばインターネット上で連鎖状に接続された複数
のデータ中継装置１０と、各データ中継装置１０との間
で双方向通信ができる形態で接続されたデータ追跡装置
（この実施の形態では、「管理システム」と称する）２
０とを含んで構成されるものである。以後、通信システ
ムや内部ネットワークのうち、攻撃者が操作したものを
「発信源装置」、攻撃された通信システム等を「被害者
ネットワーク」と称する。被害者ネットワークには、攻
撃者による不正アクセスの事実を検知するための装置、
（以下、「センサ」：図示省略）が備えられており、こ
のセンサで攻撃パターンが検知されたときに、その旨と
追跡すべき電子データの特徴情報が、自センサの識別子
と共に管理システム２０に通知されるようになってい
る。
【００２０】各データ中継装置１０は、例えば中継機構
を備えた既存の「ルータ」に、データ追跡機構を付加す
ることで実現が可能である。中継機構は、特定の通信機
器等から発信された電子データを、他のデータ中継装置
１０を含む最適ルートを通じて宛先となるシステム（以
下、「宛先システム」）へ中継する機構である。
を備えた既存の「ルータ」に、データ追跡機構を付加す
ることで実現が可能である。中継機構は、特定の通信機
器等から発信された電子データを、他のデータ中継装置
１０を含む最適ルートを通じて宛先となるシステム（以
下、「宛先システム」）へ中継する機構である。
【００２１】データ追跡機構は、フレーム等の識別子、
例えばＬＡＮの場合はＭＡＣアドレス、フレームリレー
網の場合はＤＬＣＩ、ＡＴＭ網の場合はＶＰＩ／ＶＣＩ
等の情報をもとに、電子データが通過してきた経路を受
信側から送信側に向かって辿っていくためのもので、図
２に示すように、指示データ受領部１１、データ捕捉部
１２、データ比較部１３、装置等特定部１４、通知部１
５の機能を含んで構成される。
例えばＬＡＮの場合はＭＡＣアドレス、フレームリレー
網の場合はＤＬＣＩ、ＡＴＭ網の場合はＶＰＩ／ＶＣＩ
等の情報をもとに、電子データが通過してきた経路を受
信側から送信側に向かって辿っていくためのもので、図
２に示すように、指示データ受領部１１、データ捕捉部
１２、データ比較部１３、装置等特定部１４、通知部１
５の機能を含んで構成される。
【００２２】指示データ受領部１１は、被害者ネットワ
ークが攻撃されたときに、管理システム２０から追跡指
示と共に取得した、追跡対象データの特徴情報、すなわ
ち送信元ＩＰアドレス、宛先ＩＰアドレス、その上位プ
ロトコルの種類等の情報と、追跡結果の通知先アドレス
である管理システム２０のアドレスと、追跡ＩＤとを保
持しておくものである。「追跡ＩＤ」は、個々の追跡対
象データを識別するための情報である。これは、追跡対
象データが複数の場合に有効となる。
ークが攻撃されたときに、管理システム２０から追跡指
示と共に取得した、追跡対象データの特徴情報、すなわ
ち送信元ＩＰアドレス、宛先ＩＰアドレス、その上位プ
ロトコルの種類等の情報と、追跡結果の通知先アドレス
である管理システム２０のアドレスと、追跡ＩＤとを保
持しておくものである。「追跡ＩＤ」は、個々の追跡対
象データを識別するための情報である。これは、追跡対
象データが複数の場合に有効となる。
【００２３】データ捕捉部１２は、自装置を通過する電
子データを捕捉するものであり、データ比較部１３は、
捕捉された電子データの特徴情報と追跡すべき電子デー
タの特徴情報とを比較して一致するものを特定するもの
である。
子データを捕捉するものであり、データ比較部１３は、
捕捉された電子データの特徴情報と追跡すべき電子デー
タの特徴情報とを比較して一致するものを特定するもの
である。
【００２４】装置等特定部１４は、追跡対象データが特
定されたときにそれを運ぶフレーム等の識別子を調べる
ことにより、一つ前の他のデータ中継装置及びそのＩＰ
アドレスを特定するものである。具体的には、装置毎の
ＩＰアドレスとフレーム等の識別子、例えばＭＡＣアド
レスとを対応付けたＡＲＰ（Address Resolution Proto
col）を有しており、このＡＲＰテーブルを参照するこ
とによって、データ中継装置等を特定する。
定されたときにそれを運ぶフレーム等の識別子を調べる
ことにより、一つ前の他のデータ中継装置及びそのＩＰ
アドレスを特定するものである。具体的には、装置毎の
ＩＰアドレスとフレーム等の識別子、例えばＭＡＣアド
レスとを対応付けたＡＲＰ（Address Resolution Proto
col）を有しており、このＡＲＰテーブルを参照するこ
とによって、データ中継装置等を特定する。
【００２５】通知部１５は、ＭＡＣアドレスを特定した
データ中継装置に、自装置が受領した上述の追跡指示と
同一内容の追跡指示を通知するとともに、管理システム
２０に自装置の追跡結果を通知する機能を有するもので
ある。追跡指示及び追跡結果の通知に際しては、自装置
における追跡結果が何番目の追跡結果かを表す追跡順序
情報を生成し、これを添付する。追跡順序情報は、具体
的には、管理システム２０から最初に追跡指示を受けた
最初のデータ中継装置を起算点とするシーケンシャル番
号であり、追跡指示を次のデータ中継装置に通知する際
に“１”ずつインクリメントする。次のデータ中継装置
を特定できなかったときは、自装置がその追跡対象デー
タについての最終のデータ中継装置であることを意味す
るので、管理システム２０宛の追跡順序番号に代えて、
あるいは追跡順序番号と共に、最終であることを表すフ
ラグ等を添付する。なお、次のデータ中継装置を特定で
きなかった場合の態様として、装置特定のための処理、
あるいは追跡対象データの探索についての処理が一定時
間経過しても完了しなかった場合を含めるようにしても
良い。つまり、上記各処理がタイムアウトした場合に、
エラーと共に、自装置での追跡が最終であることを表す
フラグ等を添付するようにする。また、通信対象データ
が通過した一つ前の装置は特定できたが、それがデータ
中継装置でなく、且つその装置のＩＰアドレスを特定で
きたときは、このＩＰアドレスを管理システム２０に通
知するようにする。
データ中継装置に、自装置が受領した上述の追跡指示と
同一内容の追跡指示を通知するとともに、管理システム
２０に自装置の追跡結果を通知する機能を有するもので
ある。追跡指示及び追跡結果の通知に際しては、自装置
における追跡結果が何番目の追跡結果かを表す追跡順序
情報を生成し、これを添付する。追跡順序情報は、具体
的には、管理システム２０から最初に追跡指示を受けた
最初のデータ中継装置を起算点とするシーケンシャル番
号であり、追跡指示を次のデータ中継装置に通知する際
に“１”ずつインクリメントする。次のデータ中継装置
を特定できなかったときは、自装置がその追跡対象デー
タについての最終のデータ中継装置であることを意味す
るので、管理システム２０宛の追跡順序番号に代えて、
あるいは追跡順序番号と共に、最終であることを表すフ
ラグ等を添付する。なお、次のデータ中継装置を特定で
きなかった場合の態様として、装置特定のための処理、
あるいは追跡対象データの探索についての処理が一定時
間経過しても完了しなかった場合を含めるようにしても
良い。つまり、上記各処理がタイムアウトした場合に、
エラーと共に、自装置での追跡が最終であることを表す
フラグ等を添付するようにする。また、通信対象データ
が通過した一つ前の装置は特定できたが、それがデータ
中継装置でなく、且つその装置のＩＰアドレスを特定で
きたときは、このＩＰアドレスを管理システム２０に通
知するようにする。
【００２６】このような機能を有する複数のデータ中継
装置１０を用いて発信源装置を追跡するための原理を模
式的に示したのが図３である。図３（ａ）は発信源装置
３０からインターネットを通じて発信され、流通する電
子データの構造図、同（ｂ）は、到達先がデータ中継装
置１０ｃの後の被害者ネットワーク（その中の通信装置
またはシステム）である場合に、このデータ中継装置１
０ｃと他のデータ中継装置１０ａ，１０ｂとの協働処理
によって発信源装置３０を特定する場合の手順（〜
）を示した図である。
装置１０を用いて発信源装置を追跡するための原理を模
式的に示したのが図３である。図３（ａ）は発信源装置
３０からインターネットを通じて発信され、流通する電
子データの構造図、同（ｂ）は、到達先がデータ中継装
置１０ｃの後の被害者ネットワーク（その中の通信装置
またはシステム）である場合に、このデータ中継装置１
０ｃと他のデータ中継装置１０ａ，１０ｂとの協働処理
によって発信源装置３０を特定する場合の手順（〜
）を示した図である。
【００２７】追跡すべき電子データは、例えばパケット
状のもので、図３（ａ）に示されるように、最初にフレ
ーム等のヘッダ３１、次いでＩＰヘッダ３２、その後に
データ成分３３が配置されるようになっている。この電
子データは、図３（ｂ）に示されるように、発信源装置
３０から最初にデータ中継装置１０ａを介してインター
ネットに発信され、次いで、データ中継装置１０ｂ、デ
ータ中継装置１０ｃでそれぞれ中継されて被害者ネット
ワークに到達する。管理システムは、被害者ネットワー
クに接続されたセンサからの依頼に基づいて、センサの
一つ前のデータ中継装置１０ｃを特定し、このデータ中
継装置１０ｃに、追跡すべき電子データの特徴情報や追
跡結果の通知先アドレス（自己のアドレス）を含む追跡
指示を通知する。
状のもので、図３（ａ）に示されるように、最初にフレ
ーム等のヘッダ３１、次いでＩＰヘッダ３２、その後に
データ成分３３が配置されるようになっている。この電
子データは、図３（ｂ）に示されるように、発信源装置
３０から最初にデータ中継装置１０ａを介してインター
ネットに発信され、次いで、データ中継装置１０ｂ、デ
ータ中継装置１０ｃでそれぞれ中継されて被害者ネット
ワークに到達する。管理システムは、被害者ネットワー
クに接続されたセンサからの依頼に基づいて、センサの
一つ前のデータ中継装置１０ｃを特定し、このデータ中
継装置１０ｃに、追跡すべき電子データの特徴情報や追
跡結果の通知先アドレス（自己のアドレス）を含む追跡
指示を通知する。
【００２８】データ中継装置１０ｃは、この追跡指示の
受信を契機に自装置を通過する電子データから追跡対象
データに該当するものを捕捉してそのデータリンク層を
解析し、送信元のＭＡＣアドレスを調べる。これによ
り、一つ前のデータ中継装置１０ｂが特定されるので、
自装置における追跡結果を追跡順序識別情報と共に管理
システムへ通知し、さらに、データ中継装置１０ｂへ同
一内容の追跡指示を通知する。データ中継装置１０ｂ
も、データ中継装置１０ｃと同様の手順で追跡対象デー
タが通過した一つ前のデータ中継装置１０ａを特定す
る。そして、自装置の追跡結果等を管理システムへ通知
するとともにデータ中継装置１０ａへ自装置による追跡
順序識別情報と同一内容の追跡指示とを通知する。
受信を契機に自装置を通過する電子データから追跡対象
データに該当するものを捕捉してそのデータリンク層を
解析し、送信元のＭＡＣアドレスを調べる。これによ
り、一つ前のデータ中継装置１０ｂが特定されるので、
自装置における追跡結果を追跡順序識別情報と共に管理
システムへ通知し、さらに、データ中継装置１０ｂへ同
一内容の追跡指示を通知する。データ中継装置１０ｂ
も、データ中継装置１０ｃと同様の手順で追跡対象デー
タが通過した一つ前のデータ中継装置１０ａを特定す
る。そして、自装置の追跡結果等を管理システムへ通知
するとともにデータ中継装置１０ａへ自装置による追跡
順序識別情報と同一内容の追跡指示とを通知する。
【００２９】データ中継装置１０ａでも同種の追跡処理
を行うが、その一つ前には同等の機能を有する装置が存
在しないので、目的の発信源装置３０、あるいは発信源
装置３０の所属する組織のネットワークまで辿り着いた
ことになる。そこで、発信源装置３０のＩＰアドレスを
特定し、このＩＰアドレスを自装置の追跡結果等と共に
管理システム２０に通知する。このときのＩＰアドレス
は、当該発信源装置３０が通常のデータ通信を行ううえ
で欠かせないＭＡＣアドレスからＡＲＰテーブル等を利
用して得られたものであり、これを発信源装置３０側で
攻撃者が偽ることは事実上不可能である。このようにし
て、発信源装置３０を正確に特定することができる。
を行うが、その一つ前には同等の機能を有する装置が存
在しないので、目的の発信源装置３０、あるいは発信源
装置３０の所属する組織のネットワークまで辿り着いた
ことになる。そこで、発信源装置３０のＩＰアドレスを
特定し、このＩＰアドレスを自装置の追跡結果等と共に
管理システム２０に通知する。このときのＩＰアドレス
は、当該発信源装置３０が通常のデータ通信を行ううえ
で欠かせないＭＡＣアドレスからＡＲＰテーブル等を利
用して得られたものであり、これを発信源装置３０側で
攻撃者が偽ることは事実上不可能である。このようにし
て、発信源装置３０を正確に特定することができる。
【００３０】データ中継装置１０による上述のデータ追
跡機構の機能は、個々のデータ中継装置本体にＣＰＵと
メモリとを設け、メモリに所定のプログラムコードをＣ
ＰＵが読みとれる形態で記録しておくことで実現するこ
とができる。また、ＣＰＵが上記プログラムコードを実
行することによって各機能ブロックが形成されるだけで
なく、そのプログラムコードの指示に基づいてオペレー
ティングシステム（ＯＳ）が実際の処理の一部を行い、
その処理を通じて上記各機能ブロックが形成されるよう
にしても良い。エージェントを組み込んでデータ追跡機
構の機能を実現するようにすれば、データ中継装置１０
の構成をより簡略化することができる。
跡機構の機能は、個々のデータ中継装置本体にＣＰＵと
メモリとを設け、メモリに所定のプログラムコードをＣ
ＰＵが読みとれる形態で記録しておくことで実現するこ
とができる。また、ＣＰＵが上記プログラムコードを実
行することによって各機能ブロックが形成されるだけで
なく、そのプログラムコードの指示に基づいてオペレー
ティングシステム（ＯＳ）が実際の処理の一部を行い、
その処理を通じて上記各機能ブロックが形成されるよう
にしても良い。エージェントを組み込んでデータ追跡機
構の機能を実現するようにすれば、データ中継装置１０
の構成をより簡略化することができる。
【００３１】管理システム２０は、被害者ネットワーク
のセンサや各データ中継装置１０等からの通知情報をも
とに電子データの流通経路を管理するためのもので、所
定のＯＳのもとで動作するコンピュータシステムによっ
て実現される。この管理システム１０は、図４に示すよ
うに、被害者ネットワークを含む種々のネットワークに
設置されたセンサや各データ中継装置１０等との間で双
方向通信を行うための通信制御機構２１、攻撃パターン
データベース２２、不正アクセス発信元統計ファイル２
３、不正アクセス状況統計ファイル２４、登録センサ情
報ファイル２５のほか、コンピュータシステム本体のＣ
ＰＵが所定の記録媒体に記録されたプログラムコードを
読み込んでＯＳと共に協同実行することによって形成さ
れる、追跡指示部２６、経路管理部２７、警告部２８の
機能ブロックを少なくとも具備している。
のセンサや各データ中継装置１０等からの通知情報をも
とに電子データの流通経路を管理するためのもので、所
定のＯＳのもとで動作するコンピュータシステムによっ
て実現される。この管理システム１０は、図４に示すよ
うに、被害者ネットワークを含む種々のネットワークに
設置されたセンサや各データ中継装置１０等との間で双
方向通信を行うための通信制御機構２１、攻撃パターン
データベース２２、不正アクセス発信元統計ファイル２
３、不正アクセス状況統計ファイル２４、登録センサ情
報ファイル２５のほか、コンピュータシステム本体のＣ
ＰＵが所定の記録媒体に記録されたプログラムコードを
読み込んでＯＳと共に協同実行することによって形成さ
れる、追跡指示部２６、経路管理部２７、警告部２８の
機能ブロックを少なくとも具備している。
【００３２】攻撃パターンデータベース２２は、例えば
被害者ネットワークのセンサが検知する攻撃パターンと
検知時に出力されるコードが、そのセンサの製造メーカ
によってまちまちである点に鑑み、センサ毎に攻撃パタ
ーンとそのときの出力コードとを対応付け、一律的な処
理を行えるようにするものである。必要に応じて重大度
も対応付けておき、センサからの出力コードが複数の場
合に、いずれかを優先的に処理できるようにする。新し
いセンサが使用された場合は、そのセンサの識別情報と
そのセンサが検出する攻撃パターン、出力コード、重大
度が追加記録されるようになっている。図５は、この攻
撃パターンデータベース２２の内容の一例を示した図表
である。
被害者ネットワークのセンサが検知する攻撃パターンと
検知時に出力されるコードが、そのセンサの製造メーカ
によってまちまちである点に鑑み、センサ毎に攻撃パタ
ーンとそのときの出力コードとを対応付け、一律的な処
理を行えるようにするものである。必要に応じて重大度
も対応付けておき、センサからの出力コードが複数の場
合に、いずれかを優先的に処理できるようにする。新し
いセンサが使用された場合は、そのセンサの識別情報と
そのセンサが検出する攻撃パターン、出力コード、重大
度が追加記録されるようになっている。図５は、この攻
撃パターンデータベース２２の内容の一例を示した図表
である。
【００３３】不正アクセス発信元統計ファイル２３は、
攻撃者が特定されたときに、そのときの攻撃パターン、
日時、回数等を攻撃者毎に蓄積したものであり、不正ア
クセス状況統計ファイル２４は、検知された攻撃パター
ンの数をパターン毎に蓄積したものである。これらのフ
ァイルは、警告メール等を発するときに使用される。図
６は不正アクセス発信元統計ファイル２３、図７は不正
アクセス状況統計ファイル２４の内容例を示した図表で
ある。
攻撃者が特定されたときに、そのときの攻撃パターン、
日時、回数等を攻撃者毎に蓄積したものであり、不正ア
クセス状況統計ファイル２４は、検知された攻撃パター
ンの数をパターン毎に蓄積したものである。これらのフ
ァイルは、警告メール等を発するときに使用される。図
６は不正アクセス発信元統計ファイル２３、図７は不正
アクセス状況統計ファイル２４の内容例を示した図表で
ある。
【００３４】登録センサ情報ファイル２５は、使用セン
サの種別、使用センサの識別子（アドレス若しくはベン
ダ固有の文字列）、管理者の連絡先、使用センサの直上
の（つまり追跡始点となる）データ中継装置のアドレス
を登録したものである。これによって、どの登録元がど
の種類のセンサを使用しているかを知ることができるよ
うになっている。図８は、この登録センサ情報ファイル
２５の内容例を示した図表である。
サの種別、使用センサの識別子（アドレス若しくはベン
ダ固有の文字列）、管理者の連絡先、使用センサの直上
の（つまり追跡始点となる）データ中継装置のアドレス
を登録したものである。これによって、どの登録元がど
の種類のセンサを使用しているかを知ることができるよ
うになっている。図８は、この登録センサ情報ファイル
２５の内容例を示した図表である。
【００３５】追跡指示部２６は、被害者ネットワークの
センサから、検知した攻撃パターンを受領するととも
に、その被害者ネットワークのセンサのアドレス等の識
別子から、登録センサ情報ファイル２５を参照すること
により、センサの一つ前のデータ中継装置１０のＩＰア
ドレスを特定し、特定したデータ中継装置１０宛てに、
上述の追跡指示を通知するものである。
センサから、検知した攻撃パターンを受領するととも
に、その被害者ネットワークのセンサのアドレス等の識
別子から、登録センサ情報ファイル２５を参照すること
により、センサの一つ前のデータ中継装置１０のＩＰア
ドレスを特定し、特定したデータ中継装置１０宛てに、
上述の追跡指示を通知するものである。
【００３６】経路管理部２２は、複数のデータ中継装置
１０からの追跡結果の通知に基づいて各データ中継装置
１０を通過した追跡対象データの流通経路を管理し、発
信源装置、及び／又は、その管理者を特定するものであ
る。
１０からの追跡結果の通知に基づいて各データ中継装置
１０を通過した追跡対象データの流通経路を管理し、発
信源装置、及び／又は、その管理者を特定するものであ
る。
【００３７】警告部２３は、以下の場合に警告メールを
発信するものである。 （１）センサから攻撃の通知を受けた場合において、そ
の攻撃パターンをサポートしていないセンサがあるかど
うかを攻撃パターンデータベース２２をもとに調査し、
有る場合はそのセンサを使用している登録元を登録セン
サ情報ファイル２５から探し出して、その管理者に注意
を促すための警告メールを自動的に発信する。 （２）被害者ネットワークのセンサの管理者に対し、不
正アクセス発信元統計ファイル２３で規定した重大度
や、不正アクセス状況統計ファイル２４に蓄積された検
知数が規定値に達したときに警告メールを自動的に発信
する。 （３）攻撃者の管理者宛に警告メールを発信する。攻撃
者の管理者のメールアドレスは、発信源装置のＩＰアド
レスからＤＮＳ（Domain Name Service）の逆引き機能
やＷＨＯＩＳデータベースを利用することにより割り出
すことができる。ＷＨＯＩＳデータベースは、アドレス
やドメイン名をキーにして、利用しているＩＰアドレ
ス、ドメイン（組織）名、管理者のアドレスをオンライ
ン検索することができる公知のデータベースである。
発信するものである。 （１）センサから攻撃の通知を受けた場合において、そ
の攻撃パターンをサポートしていないセンサがあるかど
うかを攻撃パターンデータベース２２をもとに調査し、
有る場合はそのセンサを使用している登録元を登録セン
サ情報ファイル２５から探し出して、その管理者に注意
を促すための警告メールを自動的に発信する。 （２）被害者ネットワークのセンサの管理者に対し、不
正アクセス発信元統計ファイル２３で規定した重大度
や、不正アクセス状況統計ファイル２４に蓄積された検
知数が規定値に達したときに警告メールを自動的に発信
する。 （３）攻撃者の管理者宛に警告メールを発信する。攻撃
者の管理者のメールアドレスは、発信源装置のＩＰアド
レスからＤＮＳ（Domain Name Service）の逆引き機能
やＷＨＯＩＳデータベースを利用することにより割り出
すことができる。ＷＨＯＩＳデータベースは、アドレス
やドメイン名をキーにして、利用しているＩＰアドレ
ス、ドメイン（組織）名、管理者のアドレスをオンライ
ン検索することができる公知のデータベースである。
【００３８】なお、上記プログラムコードを記録した記
録媒体は、通常、ＣＰＵが随時読み取り可能な固定型デ
ィスクや半導体メモリであるが、フレキシブルディス
ク、ハードディスク、光ディスク、光磁気ディスク、Ｃ
Ｄ−ＲＯＭ、ＤＶＤ、磁気テープ等の可搬性メディア、
あるいはコンピュータがアクセス可能なプログラムコー
ドサーバ等に記録されて流通し、運用時に上記固定型デ
ィスクにインストールされるものであっても良い。ま
た、ＣＰＵが上記プログラムコードを実行することによ
って各機能ブロック２６〜２８が形成されるだけでな
く、そのプログラムコードの指示に基づいてＯＳが実際
の処理の一部を行い、その処理を通じて上記各機能ブロ
ック２６〜２８が形成されるようにしても良い。
録媒体は、通常、ＣＰＵが随時読み取り可能な固定型デ
ィスクや半導体メモリであるが、フレキシブルディス
ク、ハードディスク、光ディスク、光磁気ディスク、Ｃ
Ｄ−ＲＯＭ、ＤＶＤ、磁気テープ等の可搬性メディア、
あるいはコンピュータがアクセス可能なプログラムコー
ドサーバ等に記録されて流通し、運用時に上記固定型デ
ィスクにインストールされるものであっても良い。ま
た、ＣＰＵが上記プログラムコードを実行することによ
って各機能ブロック２６〜２８が形成されるだけでな
く、そのプログラムコードの指示に基づいてＯＳが実際
の処理の一部を行い、その処理を通じて上記各機能ブロ
ック２６〜２８が形成されるようにしても良い。
【００３９】次に、上記のように構成されるデータ追跡
システム１の運用手順を、図９の手順図に従って具体的
に説明する。ここでは、各データ中継装置１０を通過す
る電子データ（及び追跡対象データ）が一定サイズのパ
ケットであるものとする。被害者ネットワークのセンサ
が、攻撃パターンと追跡すべきパケットの特徴情報とを
管理システム２０に通知する（ステップＳ１０１）。通
知を受けた管理システム２０は、この特徴情報や追跡結
果の通知アドレスを含む追跡指示を被害者ネットワーク
の一つ前のデータ中継装置１０に組み込まれたデータ追
跡機構に伝える（ステップＳ１０２）。
システム１の運用手順を、図９の手順図に従って具体的
に説明する。ここでは、各データ中継装置１０を通過す
る電子データ（及び追跡対象データ）が一定サイズのパ
ケットであるものとする。被害者ネットワークのセンサ
が、攻撃パターンと追跡すべきパケットの特徴情報とを
管理システム２０に通知する（ステップＳ１０１）。通
知を受けた管理システム２０は、この特徴情報や追跡結
果の通知アドレスを含む追跡指示を被害者ネットワーク
の一つ前のデータ中継装置１０に組み込まれたデータ追
跡機構に伝える（ステップＳ１０２）。
【００４０】追跡指示を受けたデータ中継装置１０は、
自装置において追跡すべき経路が複数あるかどうかを調
べ、複数の経路がある場合は、管理システム２０から渡
された特徴情報と一致するパケットを監視する（ステッ
プＳ１０３：Yes、Ｓ１０４）。該当するパケットが通
過したときは、それを追跡対象パケットとして捕捉し、
この追跡対象パケットが通過したインタフェースを特定
する（ステップＳ１０５：Yes、Ｓ１０６）。
自装置において追跡すべき経路が複数あるかどうかを調
べ、複数の経路がある場合は、管理システム２０から渡
された特徴情報と一致するパケットを監視する（ステッ
プＳ１０３：Yes、Ｓ１０４）。該当するパケットが通
過したときは、それを追跡対象パケットとして捕捉し、
この追跡対象パケットが通過したインタフェースを特定
する（ステップＳ１０５：Yes、Ｓ１０６）。
【００４１】インタフェースがイーサネット、ＦＤＤＩ
等のＬＡＮであった場合は、追跡対象パケットに含まれ
ている送信元のＭＡＣアドレスを調べて一つ前の装置を
特定する（ステップＳ１０８ａ）。インタフェースがフ
レームリレー網であった場合は、その追跡対象パケット
が含まれているデータリンク層フレームのＤＬＣＩから
相手側装置を特定する（ステップＳ１０８ｂ）。インタ
フェースがＡＴＭ網であった場合は、その追跡対象パケ
ットが含まれているセルのＶＰＩ／ＶＣＩから相手側装
置を特定する（ステップＳ１０８ｃ）。インタフェース
が専用線であった場合は、直ちに次の処理に進む。
等のＬＡＮであった場合は、追跡対象パケットに含まれ
ている送信元のＭＡＣアドレスを調べて一つ前の装置を
特定する（ステップＳ１０８ａ）。インタフェースがフ
レームリレー網であった場合は、その追跡対象パケット
が含まれているデータリンク層フレームのＤＬＣＩから
相手側装置を特定する（ステップＳ１０８ｂ）。インタ
フェースがＡＴＭ網であった場合は、その追跡対象パケ
ットが含まれているセルのＶＰＩ／ＶＣＩから相手側装
置を特定する（ステップＳ１０８ｃ）。インタフェース
が専用線であった場合は、直ちに次の処理に進む。
【００４２】その後、特定した装置のＩＰアドレスを自
装置の持つＡＲＰテーブル等から調べ、これを追跡結果
として自装置の追跡順序情報と共に管理システム２０に
通知する（ステップＳ１０９）。特定した装置に自装置
のものと同様のデータ追跡機構が存在する場合は、この
装置宛てに、上記特徴情報と自装置の追跡順序情報とを
含む追跡指示を出す（ステップＳ１１０：Yes、Ｓ１１
１）。
装置の持つＡＲＰテーブル等から調べ、これを追跡結果
として自装置の追跡順序情報と共に管理システム２０に
通知する（ステップＳ１０９）。特定した装置に自装置
のものと同様のデータ追跡機構が存在する場合は、この
装置宛てに、上記特徴情報と自装置の追跡順序情報とを
含む追跡指示を出す（ステップＳ１１０：Yes、Ｓ１１
１）。
【００４３】この動作を、特定した装置にデータ追跡機
構が存在しなくなるまで繰り返す（ステップＳ１１０：
No）。データ追跡機構が存在しなくなった場合は、自装
置が最終のデータ中継装置である旨を含む解析結果と一
つ前の装置について特定したＩＰアドレスとを管理シス
テム２０に通知して処理を終える。これにより、管理シ
ステム２０では、追跡対象パケットの発信源装置ないし
その近傍のシステムを特定することが可能となる。な
お、パケットの監視の際、一定の時間を過ぎても該当す
るパケットを捕捉できなかった場合は、該当パケットが
もはや流通しないと考えられるので、処理を終える（ス
テップＳ１０７：Yes）。この場合は、前述のように、
エラーと共に最終である旨を添付して管理システム２０
に通知する。
構が存在しなくなるまで繰り返す（ステップＳ１１０：
No）。データ追跡機構が存在しなくなった場合は、自装
置が最終のデータ中継装置である旨を含む解析結果と一
つ前の装置について特定したＩＰアドレスとを管理シス
テム２０に通知して処理を終える。これにより、管理シ
ステム２０では、追跡対象パケットの発信源装置ないし
その近傍のシステムを特定することが可能となる。な
お、パケットの監視の際、一定の時間を過ぎても該当す
るパケットを捕捉できなかった場合は、該当パケットが
もはや流通しないと考えられるので、処理を終える（ス
テップＳ１０７：Yes）。この場合は、前述のように、
エラーと共に最終である旨を添付して管理システム２０
に通知する。
【００４４】管理システム２０は、各データ中継装置１
０からの通知情報をもとに、追跡対象データの流通経路
を特定する。また、最終のデータ中継装置１０（最終で
ある旨を通知したデータ中継装置１０）からの通知情報
をもとに前述のＷＨＯＩＳデータベースその他の外部デ
ータベース等を利用して発信源装置を管理するシステム
の組織を特定し、必要に応じて警告メールを送出する。
０からの通知情報をもとに、追跡対象データの流通経路
を特定する。また、最終のデータ中継装置１０（最終で
ある旨を通知したデータ中継装置１０）からの通知情報
をもとに前述のＷＨＯＩＳデータベースその他の外部デ
ータベース等を利用して発信源装置を管理するシステム
の組織を特定し、必要に応じて警告メールを送出する。
【００４５】このように、本実施形態のデータ追跡シス
テム１では、送信元のＩＰアドレスが偽われた場合であ
っても、その下位層のフレーム等の識別子を解析するこ
とにより発信源装置を正しく特定することができる。ま
た、追跡対象データが通ってきた流通経路を特定するこ
ともできる。これにより、送信元のＩＰアドレスを偽る
ことによる不正者の利益がなくなるため、不正アクセス
の抑止効果にもつながる。
テム１では、送信元のＩＰアドレスが偽われた場合であ
っても、その下位層のフレーム等の識別子を解析するこ
とにより発信源装置を正しく特定することができる。ま
た、追跡対象データが通ってきた流通経路を特定するこ
ともできる。これにより、送信元のＩＰアドレスを偽る
ことによる不正者の利益がなくなるため、不正アクセス
の抑止効果にもつながる。
【００４６】なお、本実施形態では、インターネット上
を流通する電子データの発信源を特定する場合の例につ
いて説明したが、本発明は、他の通信形態にも応用が可
能なものである。また、パケット通信のみならず、画像
データその他のコンテンツの流通監視にも応用が可能で
ある。
を流通する電子データの発信源を特定する場合の例につ
いて説明したが、本発明は、他の通信形態にも応用が可
能なものである。また、パケット通信のみならず、画像
データその他のコンテンツの流通監視にも応用が可能で
ある。
【００４７】
【発明の効果】以上の説明から明らかなように、本発明
によれば、電子データを受信した側で、その電子データ
の送信元を正しく特定できるようになる。
によれば、電子データを受信した側で、その電子データ
の送信元を正しく特定できるようになる。
【図１】本発明を適用したデータ追跡システムの構成
図。
図。
【図２】本実施形態によるデータ中継装置の機能ブロッ
ク構成図。
ク構成図。
【図３】（ａ）は追跡対象となる電子データの構造図、
（ｂ）はデータ発信源追跡の原理説明図。
（ｂ）はデータ発信源追跡の原理説明図。
【図４】本実施形態による管理システムの機能ブロック
構成図。
構成図。
【図５】攻撃パターンデータベースの内容の一例を示し
た図表。
た図表。
【図６】不正アクセス発信元統計ファイルの内容例を示
した図表。
した図表。
【図７】不正アクセス状況統計ファイルの内容例を示し
た図表。
た図表。
【図８】登録センサ情報ファイルの内容例を示した図
表。
表。
【図９】本実施形態によるデータ追跡システムの運用手
順図。
順図。
１ データ追跡システム
１０ データ中継装置
１１ 指示データ受領部
１２ データ捕捉部
１３ データ比較部
１４ 装置等特定部
１５ 通知部
２０ 管理システム
２１ 通信制御機構
２２ 攻撃パターンデータベース
２３ 不正アクセス発信元統計ファイル
２４ 不正アクセス状況統計ファイル
２５ 登録センサ情報ファイル
２６ 追跡指示部
２７ 経路管理部
２８ 警告部
３０ 発信源装置
─────────────────────────────────────────────────────
フロントページの続き
(56)参考文献 特開 平10−164064（ＪＰ，Ａ)
特開 平８−331146（ＪＰ，Ａ)
特開2003−178024（ＪＰ，Ａ)
特開2000−341315（ＪＰ，Ａ)
竹爪慎治 他４名，不正アクセス発信
源追跡アーキテクチャの一検討，第60回
（平成12年前期）情報処理学会全国大会
講演論文集（３），日本，社団法人 情
報処理学会，2000年 ３月14日，６Ｑ−
６
(58)調査した分野(Int.Cl.7，ＤＢ名)
H04L 12/56 400
Claims (11)
- 【請求項１】 流通する電子データの中継を行う複数の
データ中継装置をネットワーク上で連鎖状に接続して成
り、 個々のデータ中継装置が、それぞれ、 追跡すべき電子データの特徴情報と追跡結果の通知先ア
ドレスとを含む所定の追跡指示の受信を契機に、自装置
を通過する電子データから前記特徴情報に適合するもの
（以下、「追跡対象データ」）を探索する第１の手段
と、 探索した前記追跡対象データを前記ネットワーク上で運
ぶデータリンク層の識別子を解析し、この解析結果に基
づいて当該追跡対象データが自装置の前に通過した他の
装置の特定を試みる第２の手段と、 前記他の装置を特定でき且つ特定した装置が自装置と同
等の機能を備えている場合に、その装置に対して前記受
信した追跡指示と同一内容の追跡指示を与える第３の手
段と、 自装置における追跡結果を前記通知先アドレス宛に通知
する第４の手段と、を有することを特徴とする、 電子データの追跡システム。 - 【請求項２】 前記第３の手段は、前記追跡対象データ
について自装置が何番目に追跡指示を受けたかを表す追
跡順序情報を前記他の装置宛の追跡指示に添付するよう
に構成され、前記第４の手段は、自装置における追跡結
果と共に前記追跡順序情報を前記通知先アドレス宛に通
知するように構成されていることを特徴とする、 請求項１記載の追跡システム。 - 【請求項３】 前記第３の手段で他の装置に前記追跡指
示を与えることができなかったデータ中継装置が有する
前記第４の手段は、自装置における追跡結果が前記追跡
指示に基づく最終のデータ中継装置である旨を表す付加
情報を添付することを特徴とする、 請求項２記載の追跡システム。 - 【請求項４】 前記第４の手段は、前記他の装置のプロ
トコルアドレスを特定して前記付加情報に添付すること
を特徴とする、 請求項３記載の追跡システム。 - 【請求項５】 流通経路を解析して攻撃者を特定したと
きに当該攻撃者または攻撃者に関わる者宛に警告メール
を発信する手段をさらに有する、 請求項４記載の追跡システム。 - 【請求項６】 前記攻撃者の管理者のメールアドレス
は、前記追跡対象データの発信源装置のＩＰアドレスを
キーにして、ＩＰアドレスから当該ＩＰアドレスの管理
者のメールアドレスの検索が可能である外部データベー
スから割り出すことを特徴とする請求項５記載の追跡シ
ステム。 - 【請求項７】 前記データ中継装置及び前記ネットワー
クを流通する電子データの到達先に備えられた装置との
間で通信を行う通信手段と、 前記到達先に備えられた不正アクセスセンサの種別毎
に、攻撃パターンとそのときのセンサ出力コードとを対
応付けて記録した第１記録手段と、 前記不正アクセスセンサの種別とそのセンサを採用する
システムの管理者のメールアドレスとを登録しておき、
所定の場合に前記管理者のメールアドレス宛てに警告メ
ールを自動送信する手段をさらに有する、 請求項１記載の追跡システム。 - 【請求項８】 前記検知された攻撃パターンの数をパタ
ーン毎に蓄積する不正アクセス状況統計ファイルを更に
有し、当該蓄積された検知数が規定値に達したときに前
記警告メールを自動的に発信することを特徴とする請求
項７記載の追跡システム。 - 【請求項９】 ネットワーク上で連鎖状に接続された複
数のデータ中継装置と、各データ中継装置に対して双方
向通信可能に接続されたデータ追跡装置とを含み、 個々のデータ中継装置は、それぞれ、 追跡すべき電子データの特徴情報と前記データ追跡装置
のアドレスとを含む所定の追跡指示の受信を契機に、自
装置で受信し、他の装置へ転送する電子データから前記
特徴情報に適合するもの（以下、「追跡対象データ」）
を探索する第１の手段と、 探索した前記追跡対象データを前記ネットワーク上で運
ぶデータリンク層の識別子を解析し、この解析結果に基
づいて当該追跡対象データが自装置の前に通過した他の
装置の特定を試みる第２の手段と、 前記他の装置を特定でき且つ特定した装置が自装置と同
等の機能を備えている場合に、その装置に対して前記受
信した追跡指示と同一内容の追跡指示を与える第３の手
段と、 自装置における追跡結果を前記アドレス宛に通知する第
４の手段と、を有するものであり、 前記データ追跡装置は、 少なくとも前記第３の手段で他の装置に前記追跡指示を
与えることができなかったデータ中継装置からの通知情
報をもとに当該追跡対象データの発信源を特定するよう
に構成されていることを特徴とする、電子データの追跡
システム。 - 【請求項１０】 ネットワーク上で流通する電子データ
を受信し、受信した電子データを連鎖状に接続された他
の装置へ転送する中継機構と、 追跡すべき電子データの特徴情報と追跡結果の通知先ア
ドレスとを含む所定の追跡指示の受信を契機に、自装置
を通過する電子データから前記特徴情報に適合するもの
（以下、「追跡対象データ」）を探索する第１の手段
と、 探索した前記追跡対象データを前記ネットワーク上で運
ぶデータリンク層の識別子を解析し、この解析結果に基
づいて当該追跡対象データが自装置の前に通過した他の
装置の特定を試みる第２の手段と、 前記他の装置を特定でき且つ特定した装置が自装置と同
等の機能を備えている場合に、その装置に対して前記受
信した追跡指示と同一内容の追跡指示を与える第３の手
段と、 自装置における追跡結果を所定の識別情報と共に前記通
知先アドレス宛に通知する第４の手段と、 を有することを特徴とする、データ中継装置。 - 【請求項１１】 前記第４の手段は、前記第３の手段で
他の装置に前記追跡指示を与えることができなかった場
合にのみ前記通知を行うことを特徴とする、 請求項１０記載のデータ中継装置。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP29324598A JP3483782B2 (ja) | 1998-10-15 | 1998-10-15 | 電子データの追跡システム及びデータ中継装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP29324598A JP3483782B2 (ja) | 1998-10-15 | 1998-10-15 | 電子データの追跡システム及びデータ中継装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2000124952A JP2000124952A (ja) | 2000-04-28 |
| JP3483782B2 true JP3483782B2 (ja) | 2004-01-06 |
Family
ID=17792331
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP29324598A Expired - Lifetime JP3483782B2 (ja) | 1998-10-15 | 1998-10-15 | 電子データの追跡システム及びデータ中継装置 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3483782B2 (ja) |
Families Citing this family (11)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP3723076B2 (ja) | 2000-12-15 | 2005-12-07 | 富士通株式会社 | 不正侵入防御機能を有するｉｐ通信ネットワークシステム |
| EP1401160A4 (en) * | 2001-04-27 | 2008-07-30 | Ntt Data Corp | PACKAGE TRACKING SYSTEM |
| JP4020912B2 (ja) | 2002-05-28 | 2007-12-12 | 富士通株式会社 | 不正アクセス検知装置、不正アクセス検知プログラムおよび不正アクセス検知方法 |
| JP2007122749A (ja) * | 2002-06-28 | 2007-05-17 | Oki Electric Ind Co Ltd | 警戒システム、不正アクセス追跡方法、不正アクセス検知システム、セキュリティ管理方法及び攻撃防護方法 |
| JP3934030B2 (ja) * | 2002-08-30 | 2007-06-20 | 株式会社エヌ・ティ・ティ・データ | パケット通過ルート探索方法およびその方法をコンピュータに実行させるプログラム |
| JP4354201B2 (ja) | 2003-03-18 | 2009-10-28 | 富士通株式会社 | 不正アクセス対処システム、及び不正アクセス対処処理プログラム |
| JP4235907B2 (ja) * | 2003-12-12 | 2009-03-11 | 横河電機株式会社 | ワーム伝播監視システム |
| JP4641848B2 (ja) * | 2005-03-30 | 2011-03-02 | 富士通株式会社 | 不正アクセス探索方法及び装置 |
| JP4547340B2 (ja) * | 2006-01-30 | 2010-09-22 | アラクサラネットワークス株式会社 | トラフィック制御方式、装置及びシステム |
| JP4710889B2 (ja) * | 2007-08-24 | 2011-06-29 | 日本電気株式会社 | 攻撃パケット対策システム、攻撃パケット対策方法、攻撃パケット対策装置、及び攻撃パケット対策プログラム |
| JP4867949B2 (ja) * | 2008-05-13 | 2012-02-01 | 日本電気株式会社 | パケット送信元特定システム、パケット送信元特定方法、およびパケット送信元特定プログラム |
Family Cites Families (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH08331146A (ja) * | 1995-06-02 | 1996-12-13 | Hitachi Electron Service Co Ltd | Ｌａｎアナライザ |
| JPH10164064A (ja) * | 1996-12-05 | 1998-06-19 | Hitachi Ltd | ネットワーク侵入経路追跡方式 |
| JP2000341315A (ja) * | 1999-05-31 | 2000-12-08 | Ntt Data Corp | 電子データの追跡方法及びシステム、記録媒体 |
| JP2003178024A (ja) * | 2001-12-10 | 2003-06-27 | Ntt Comware Corp | 不正アクセス追跡方法、そのプログラム及びそのプログラムが記録された記録媒体 |
-
1998
- 1998-10-15 JP JP29324598A patent/JP3483782B2/ja not_active Expired - Lifetime
Non-Patent Citations (1)
| Title |
|---|
| 竹爪慎治 他４名，不正アクセス発信源追跡アーキテクチャの一検討，第６０回（平成１２年前期）情報処理学会全国大会講演論文集（３），日本，社団法人 情報処理学会，２０００年 ３月１４日，６Ｑ−６ |
Also Published As
| Publication number | Publication date |
|---|---|
| JP2000124952A (ja) | 2000-04-28 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US6775657B1 (en) | Multilayered intrusion detection system and method | |
| CN100490377C (zh) | 防止非法使用ip地址的方法和装置 | |
| US9444821B2 (en) | Management server, communication cutoff device and information processing system | |
| KR100456635B1 (ko) | 분산 서비스 거부 공격 대응 시스템 및 방법 | |
| US8776217B2 (en) | Methods and apparatus for detecting unwanted traffic in one or more packet networks utilizing string analysis | |
| US20040003292A1 (en) | User identifying technique on networks having different address systems | |
| US6738911B2 (en) | Method and apparatus for providing client-based network security | |
| JP4179300B2 (ja) | ネットワーク管理方法および装置並びに管理プログラム | |
| US7733844B2 (en) | Packet filtering apparatus, packet filtering method, and computer program product | |
| US6715083B1 (en) | Method and system of alerting internet service providers that a hacker may be using their system to gain access to a target system | |
| JP3483782B2 (ja) | 電子データの追跡システム及びデータ中継装置 | |
| CN103095675A (zh) | Arp欺骗攻击检测系统及方法 | |
| CN101176331A (zh) | 计算机网络入侵检测系统和方法 | |
| JP2000261483A (ja) | ネットワーク監視システム | |
| KR19980024526A (ko) | 정보 유출을 추적하기 위한 정보 보안 시스템 및 방법 | |
| Ko et al. | Analysis of an algorithm for distributed recognition and accountability | |
| JP3495030B2 (ja) | 不正侵入データ対策処理装置、不正侵入データ対策処理方法及び不正侵入データ対策処理システム | |
| KR100772177B1 (ko) | 보안 기능 시험을 위한 침입 탐지 이벤트 생성 방법 및장치 | |
| CN112104590B (zh) | 一种检测私网内网络设备私接公网的方法及系统 | |
| JP3685062B2 (ja) | 不正アクセス監視方法および内部通信ネットワーク | |
| Asaka et al. | Local attack detection and intrusion route tracing | |
| JP2000341315A (ja) | 電子データの追跡方法及びシステム、記録媒体 | |
| JP2005210451A (ja) | 不正アクセス防止装置及びプログラム | |
| KR20110040152A (ko) | 공격자 패킷 역추적 방법 및 이를 위한 시스템 | |
| JP4661554B2 (ja) | 不正アクセス検知方法および装置ならびにプログラム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20071017 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20081017 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20091017 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20101017 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20111017 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20121017 Year of fee payment: 9 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20131017 Year of fee payment: 10 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| EXPY | Cancellation because of completion of term |