JP3832412B2 - パケット経路追跡システム - Google Patents
パケット経路追跡システム Download PDFInfo
- Publication number
- JP3832412B2 JP3832412B2 JP2002284968A JP2002284968A JP3832412B2 JP 3832412 B2 JP3832412 B2 JP 3832412B2 JP 2002284968 A JP2002284968 A JP 2002284968A JP 2002284968 A JP2002284968 A JP 2002284968A JP 3832412 B2 JP3832412 B2 JP 3832412B2
- Authority
- JP
- Japan
- Prior art keywords
- packet
- propagation path
- log recording
- propagation
- path
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、ネットワークを伝播するパケットを記録してパケットの伝播経路を追跡するパケット経路追跡システムに関し、特に確実にパケットの伝播経路の追跡が可能で、複数経路の特定が可能なパケット経路追跡システムに関する。
【０００２】
【従来の技術】
従来のネットワークを伝播するパケットを記録してパケットの伝播経路を追跡するパケット経路追跡システムに関連する先行技術文献としては次のようなものがある。
【０００３】
【特許文献１】
特開平１０−１６４０６４号公報
【特許文献２】
特開２０００−３４１３１５号公報
【０００４】
従来のインターネット上ではパケットを連続してターゲットに送信して当該ターゲットの提供するサービスを停止等させるＤｏＳ（Denial of Service attack：サービス停止攻撃：以下、単にＤｏＳと呼ぶ。）が問題になっている。
【０００５】
特に、複数地点から一斉に一つのターゲットに対してＤｏＳ攻撃を行うＤＤｏＳ（Distributed ＤｏＳ：分散型ＤｏＳ：以下、単にＤＤｏＳと呼ぶ。）が大きな問題になっている。
【０００６】
このため、このようなＤＤｏＳ攻撃等を防止するため、不正なパケットの発信源を特定するパケット経路追跡システムが考案されている。
【０００７】
図５はこのような従来のパケット経路追跡システムの一例を示す構成ブロック図である。図５において１は攻撃者（アタッカー）が操作する端末、２はＤＤｏＳ攻撃等のターゲットとなるサーバ、３及び４はＩＳＰ（Internet Service Provider：インターネットサービス提供業者：以下、単にＩＳＰと呼ぶ。）、５，６，７及び８はルータ、９，１０及び１１は伝播するパケットの情報を記録するパケットログ記録装置である。
【０００８】
端末１はルータ５を介してＩＳＰ３に接続され、ＩＳＰ３はルータ６及びルータ７を介してＩＳＰ４に接続される。また、サーバ２はルータ８を介してＩＳＰ４に接続される。
【０００９】
さらに、端末１とルータ５との間の回線にはパケットログ記録装置９が接続され、ルータ６とルータ７との間の回線にはパケットログ記録装置１０が接続され、サーバ２とルータ８との間の回線にはパケットログ記録装置１１が接続される。
【００１０】
ここで、図５に示す従来のパケット経路追跡システムの動作を図６及び図７を用いて説明する。図６は攻撃者（アタッカー）の攻撃経路を示す説明図、図７はパケットの記録状況を説明する説明図である。
【００１１】
図６中”ＡＴ０１”に示すように攻撃者（アタッカー）は端末１からＩＳＰ３及びＩＳＰ４を介してターゲットであるサーバ２に対してＤｏＳ攻撃等を行う。
【００１２】
一方、パケットログ記録装置９，１０及び１１は接続された回線を伝播するパケットを取得して記憶手段に順次記録して行く。
【００１３】
例えば、図７中”ＬＧ１１”、”ＬＧ１２”及び”ＬＧ１３”に示すようにパケットログ記録装置９，１０及び１１はＤｏＳ攻撃のために伝播する不正なパケットを取得して記憶手段に順次記録する。
【００１４】
そして、ＤｏＳ攻撃等を受けたサーバ２が受信した不正なパケットと、パケットログ記録装置９，１０及び１１にそれぞれ記録されたパケットを比較して当該不正なパケットが伝播した経路を特定する。
【００１５】
例えば、図６に示すＤｏＳ攻撃等に用いられた不正なパケットはパケットログ記録装置９，１０及び１１に記録されているので図６中”ＡＴ０１”に示すような不正なパケットの伝播経路を特定することが可能になる。
【００１６】
但し、監視している回線に伝播するパケットの全ての情報を順次記録するために、記憶手段には膨大な記憶容量が必要になるため、効率良くパケットの情報を保持する方法が考案されている。
【００１７】
図８はこのようなパケットログ記録装置の具体例を示す構成ブロック図であり、１２は演算制御手段、１３は記憶手段である。
【００１８】
観測点である回線からの入力は演算制御手段１２に接続され、演算制御手段１２の出力は記憶手段１３に接続される。
【００１９】
ここで、図８に示すパケットログ記録装置の動作を図９を用いて説明する。図９は取得したパケットの記録方法を説明する説明図である。
【００２０】
図８中”ＬＧ２１”に示すように観測点である回線から入力されたパケットは演算制御手段１２に取り込まれ、ＩＰ（Internet Protocol）パケットの中で伝播中に不変である部分等を抽出する。
【００２１】
そして、演算制御手段１２は抽出された情報をハッシュ関数を用いてハッシュ値に変換し、このハッシュ値を記憶手段１３のアドレスとみなして、該当するアドレスにビットを立てる等してある特定のパケットが伝播したことを記録する。
【００２２】
ここで、ハッシュ関数とは、原文から固定長の疑似乱数（ハッシュ値）を生成する関数であって、このハッシュ関数は不可逆な一方向関数を含むために生成されたハッシュ値から元の原文を再現することはできない。また、同じハッシュ値となる異なるデータを作成することは極めて困難である。
【００２３】
例えば、演算制御手段１２が、図９中”ＰＩ３１”に示すような取得したパケットから抽出された伝播中に不変である部分にハッシュ関数を適用して、図９中”ＨＶ３１”に示すようなハッシュ値（例えば、ＸＸＸＸＨ：１６ビットの１６進数表現）を得られた場合を想定する。
【００２４】
この場合、演算制御手段１２は得られたハッシュ値（ＸＸＸＸＨ）を記憶手段１３のアドレスとみなして、”ＸＸＸＸＨ”のアドレスに図９中”ＷＤ３１”に示すようにデータを書き込む。
【００２５】
例えば、データの書込み方法としては”００００００００Ｂ（８ビットデータ）”から”０００００００１Ｂ”等（ビットを立てる）に変更することによってある特定のパケットが伝播したことを記録する。
【００２６】
そして、ＤｏＳ攻撃等を受けたサーバが受信した不正なパケットに前記ハッシュ関数を適用して得られたハッシュ値に対応する記憶手段１３のアドレスにビットが立っていれば不正なパケットがパケットログ記録装置が接続された回線を伝播したことになる。
【００２７】
この結果、図８に示すパケットログ記録装置ではパケットの情報を全て記憶手段に記録するのではなく、パケットの一部分にハッシュ関数を適用して得られたハッシュ値に対応する記憶手段のアドレスに記録する（ビットを立てる）ことにより、記憶手段の記憶容量は小さくて良く、効率良くパケットの情報を保持することが可能である。
【００２８】
【発明が解決しようとする課題】
しかし、図７に示すパケットログ記録装置を用いたパケット経路追跡システムではパケットの伝播経路が複雑であった場合には、パケットの伝播経路を特定できないと言った問題点があった。
【００２９】
図１０はこのような問題点を有する従来のパケット経路追跡システムの一例を示す構成ブロック図である。図１０において１４はＤＤｏＳ攻撃等のターゲットとなるサーバ等の標的側端末、１５は攻撃側端末、１６，１７及び１８は従来のパケットログ記録装置、１９はＩＳＰである。但し、説明の簡単のために図５に示すルータ等の記載は省略している。
【００３０】
標的側端末１４はネットワーク等によってパケットログ記録装置１８に接続され、攻撃側端末１５はネットワーク等によってパケットログ記録装置１７に接続される。また、ＩＳＰ１９はネットワーク等によってパケットログ記録装置１６に接続され、パケットログ記録装置１６，１７及び１８はネットワーク等によって互いに相互に接続される。
【００３１】
ここで、従来例の問題点を図１１を用いて説明する。図１１はパケットの伝播経路の一例を示す説明図である。
【００３２】
標的側端末１４がＤｏＳ攻撃等を受けた場合、前述の説明のように各パケットログ記録装置１６，１７及び１８は当該不正なパケットが伝播した場合にはそのログが記録される。
【００３３】
例えば、全てのパケットログ記録装置１６，１７及び１８で当該不正なパケットのログが残っていた場合、特に、ログの取り込みの間隔が長い場合にはログが記録されている時刻がどのパケットログ記録装置１６〜１８でも同じになってしまい、図１１中”ＲＴ４１”に示す伝播経路であるのか図１１中”ＲＴ４２”に示す伝播経路であるのかを特定することができなくなってしまう。
【００３４】
また、例えば、標的側端末１４が攻撃側端末１５及びＩＳＰ１９と言った複数の経路から、図１１中”ＲＴ４４”及び”ＲＴ４３”に示すような伝播経路で同時にＤｏＳ攻撃等を受けた場合には、同様に、全てのパケットログ記録装置１６，１７及び１８で当該不正なパケットのログが残るので、複数経路の攻撃なのか単独の攻撃なのかが断定できず、伝播経路を特定することがさらに困難になると言った問題点が生じる。
従って本発明が解決しようとする課題は、確実にパケットの伝播経路の追跡が可能で、複数経路の特定が可能なパケット経路追跡システムを実現することにある。
【００３５】
【課題を解決するための手段】
このような課題を達成するために、本発明のうち請求項１記載の発明は、
ネットワークを伝播するパケットを記録してパケットの伝播経路を追跡するパケット経路追跡システムにおいて、
ネットワークの複数の観測点を伝播するパケットを記録する複数のパケットログ記録装置と、不正なパケットのログが記録されている全ての前記パケットログ記録装置に標的側端末に対する伝播経路のトレースを行わせ、これらのトレース結果を重ね合わせることにより前記標的側端末までのパケットの伝播経路を特定する伝播経路解析装置とを備えたことにより、確実にパケットの伝播経路の追跡が可能になる。
【００３６】
請求項２記載の発明は、
請求項１記載の発明であるパケット経路追跡システムにおいて、
前記伝播経路解析装置が、
複数の前記パケットログ記録装置に前記不正なパケットのログが記録されているか否かを判断し、複数の前記パケットログ記録装置の何れかにログが記録されている場合には、ログが記録されている全ての前記パケットログ記録装置に前記標的側端末に対する伝播経路のトレースを行わせ、トレース結果を重ね合わせて全てのトレース結果が一致した場合にはその伝播経路をもって前記標的側端末までの前記パケットの伝播経路とすることにより、確実にパケットの伝播経路の追跡が可能になる。
【００３７】
請求項３記載の発明は、
請求項１記載の発明であるパケット経路追跡システムにおいて、
前記伝播経路解析装置が、
複数の前記パケットログ記録装置に前記不正なパケットのログが記録されているか否かを判断し、複数の前記パケットログ記録装置の何れかにログが記録されている場合には、ログが記録されている全ての前記パケットログ記録装置に前記標的側端末に対する伝播経路のトレースを行わせ、トレース結果を重ね合わせて全てのトレース結果が一致しない場合にはこれらのトレース結果の伝播経路が一致する組み合わせで重ね合わせることにより前記標的側端末までの前記パケットの複数の伝播経路を特定することにより、複数経路の特定が可能になる。
【００３８】
請求項４記載の発明は、
請求項１乃至請求項３のいずれかに記載の発明であるパケット経路追跡システムにおいて、
前記パケットログ記録装置が、
前記パケットの情報を記録する記憶手段と、複数の前記観測点の一を伝播するパケットを取り込み伝播中に不変である部分を抽出してハッシュ関数を適用し、得られたハッシュ値を前記記憶手段のアドレスとみなしてこのアドレスに前記情報としてデータを書き込むと共に前記伝播経路解析装置の制御により前記標的側端末に対する伝播経路のトレースを行う演算制御手段とから構成されたことにより、確実にパケットの伝播経路の追跡が可能になる。
【００３９】
請求項５記載の発明は、
請求項１乃至請求項４のいずれかに記載の発明であるパケット経路追跡システムにおいて、
前記標的側端末が、
前記伝播経路解析装置の機能を有することことにより、確実にパケットの伝播経路の追跡が可能になる。また、複数経路の特定が可能になる。
【００４０】
【発明の実施の形態】
以下本発明を図面を用いて詳細に説明する。図１は本発明に係るパケット経路追跡システムの一実施例を示す構成ブロック図である。
【００４１】
図１において１５及び１９は図１０と同一符号を付してあり、１４ａは伝播経路解析機能を有する標的側端末、２０，２１及び２２は標的側端末１４ａの制御によりＩＰのルート（伝播経路）をトレースして検査する機能を有するパケットログ記録装置である。
【００４２】
また、パケットログ記録装置２０，２１及び２２の基本的な構成に関しては図８に示す従来のパケットログ記録装置の構成と同様である。
【００４３】
標的側端末１４ａはネットワーク等によってパケットログ記録装置２２に接続され、攻撃側端末１５はネットワーク等によってパケットログ記録装置２１に接続される。また、ＩＳＰ１９はネットワーク等によってパケットログ記録装置２０に接続され、パケットログ記録装置２０，２１及び２２はネットワーク等によって互いに相互に接続される。
【００４４】
ここで、図１に示す実施例の動作を図２、図３及び図４を用いて説明する。図２は標的側端末１４ａ（若しくは、その他の伝播経路解析機能を有する装置）における伝播経路の特定方法を説明するフロー図、図３は攻撃パケットの伝播経路が１つである場合の伝播経路の特定方法を説明する説明図、図４は攻撃パケットの伝播経路が複数である場合の伝播経路の特定方法を説明する説明図である。
【００４５】
標的側端末１４ａがＤｏＳ攻撃等を受けた場合、従来例と同様に各パケットログ記録装置２０，２１及び２２は当該不正なパケットが伝播した場合にはそのログを記録する。
【００４６】
例えば、全てのパケットログ記録装置２０，２１及び２２で当該不正なパケットのログが残っていた場合を想定する。
【００４７】
図２中”Ｓ００１”において標的側端末１４ａはパケットログ記録装置２０〜２２に不正なパケットのログが記録されているか否かを判断し、もし、パケットログ記録装置２０〜２２の何れかにログが記録されている場合（今回は、パケットログ記録装置２０〜２２の全てにログが記録されている）には、図２中”Ｓ００２”において標的側端末１４ａはログが記録されている全てのパケットログ記録装置を制御して標的側端末１４ａに対するルート（伝播経路）のトレースを行わせる。
【００４８】
例えば、標的側端末１４ａは各パケットログ記録装置２０〜２２において引数として標的側端末１４ａのＩＰアドレス、若しくは、標的側端末１４ａのホスト名を与えて”traceroute”や”tracert.exe”等のコマンドを実行させて、各パケットログ記録装置２０〜２２から標的側端末１４ａまでのパケットの伝播経路を取得させる。
【００４９】
図２中”Ｓ００３”において標的側端末１４ａはログが記録されている全てのパケットログ記録装置でルート（伝播経路）のトレースが完了したか否かを判断し、もし、トレースが完了していない場合には図２中”Ｓ００２”のステップに戻り、トレースが完了している場合には図２中”Ｓ００４”において標的側端末１４ａはトレース結果を重ね合わせる。
【００５０】
さらに、図２中”Ｓ００５”において標的側端末１４ａは全てのトレース結果が一致したか否かを判断し、もし、一致した場合には図２中”Ｓ００６”において１つの伝播経路を特定する。
【００５１】
例えば、パケットログ記録装置２０からのルート（伝播経路）のトレース結果が図３中”ＴＲ５１”に示すような伝播経路であり、同様に、パケットログ記録装置２１及び２２からのルート（伝播経路）のトレース結果が図３中”ＴＲ５２”及び”ＴＲ５３”に示すような伝播経路であった場合、これらのトレース結果を重ね合わせる。
【００５２】
この場合、パケットログ記録装置２１からは”パケットログ記録装置２１：パケットログ記録装置２０：パケットログ記録装置２２：標的側端末１４ａ”の順番にパケットが伝播している。
【００５３】
同様に、パケットログ記録装置２０からは”パケットログ記録装置２０：パケットログ記録装置２２：標的側端末１４ａ”の順番にパケットが伝播し、パケットログ記録装置２２からは”パケットログ記録装置２２：標的側端末１４ａ”の順番にパケットが伝播している。
【００５４】
すなわち、これらのトレース結果を重ね合わせることにより、伝播経路が一致し、図３中”ＡＲ５１”に示すような標的側端末１４ａまでの攻撃パケットの伝播経路を特定することができる。
【００５５】
この結果、ログが記録されている全てのパケットログ記録装置に標的側端末１４ａに対するルート（伝播経路）のトレースを行わせ、これらのトレース結果を重ね合わせて標的側端末１４ａまでの攻撃パケットの伝播経路を特定することにより、確実にパケットの伝播経路の追跡が可能になる。
【００５６】
一方、図２中”Ｓ００５”において標的側端末１４ａは全てのトレース結果が一致しなかった場合には、図２中”Ｓ００７”において標的側端末１４ａは各トレース結果の伝播経路が一致する組み合わせを見つけ出して複数の伝播経路を特定する。
【００５７】
例えば、パケットログ記録装置２０からのルート（伝播経路）のトレース結果が図４中”ＴＲ６１”に示すような伝播経路であり、同様に、パケットログ記録装置２１及び２２からのルート（伝播経路）のトレース結果が図４中”ＴＲ６２”及び”ＴＲ６３”に示すような伝播経路であった場合、これらのトレース結果を重ね合わせる。
【００５８】
この場合、パケットログ記録装置２０からは”パケットログ記録装置２０：パケットログ記録装置２２：標的側端末１４ａ”の順番にパケットが伝播している。
【００５９】
同様に、パケットログ記録装置２１からは”パケットログ記録装置２１：パケットログ記録装置２２：標的側端末１４ａ”の順番にパケットが伝播し、パケットログ記録装置２２からは”パケットログ記録装置２２：標的側端末１４ａ”の順番にパケットが伝播している。
【００６０】
この時、これらの全てのトレース結果を重ね合わせても全ての伝播経路が一致せず、複数の伝播経路が存在する可能性があるため、各トレース結果の伝播経路が一致する組み合わせを見つけ出して複数の伝播経路を特定する。
【００６１】
例えば、パケットログ記録装置２０及び２２のトレース結果の組み合わせに着目して重ね合わせれば伝播経路が一致し、図４中”ＡＲ６１”に示すような攻撃パケットの伝播経路を特定することができる。
【００６２】
また、例えば、パケットログ記録装置２１及び２２のトレース結果の組み合わせに着目して重ね合わせれば伝播経路が一致し、図４中”ＡＲ６２”に示すような攻撃パケットの伝播経路を特定することができる。
【００６３】
すなわち、これらのトレース結果の伝播経路が一致する組み合わせで重ね合わせることにより、図４中”ＡＲ６１”及び”ＡＲ６２”に示すような標的側端末１４ａまでの複数の攻撃パケットの伝播経路を特定することができる。
【００６４】
この結果、ログが記録されている全てのパケットログ記録装置に標的側端末１４ａに対するルート（伝播経路）のトレースを行わせ、これらのトレース結果の伝播経路が一致する組み合わせで重ね合わせて標的側端末１４ａまでの攻撃パケットの伝播経路を特定することにより、複数経路の特定が可能になる。
【００６５】
なお、図１に示す実施例では標的側端末１４ａが伝播経路解析機能を有している旨記載しているが、勿論、標的側端末１４ａの他に伝播経路解析機能を持たせコンピュータ等の伝播経路解析装置を設けて攻撃パケットの伝播経路を特定しても構わない。
【００６６】
また、図１に示す実施例では複数のトレース結果を重ね合わせることによって、パケットの伝播経路を特定しているが、図３中”ＴＲ５２”等に示すトレース結果をもって攻撃パケットの伝播経路としても勿論構わない。
【００６７】
【発明の効果】
以上説明したことから明らかなように、本発明によれば次のような効果がある。
請求項１，２，４及び請求項５の発明によれば、不正なログが記録されている全てのパケットログ記録装置に標的側端末に対するルート（伝播経路）のトレースを行わせ、これらのトレース結果を重ね合わせて標的側端末までの攻撃パケットの伝播経路を特定することにより、確実にパケットの伝播経路の追跡が可能になる。
【００６８】
また、請求項３及び請求項５の発明によれば、不正なログが記録されている全てのパケットログ記録装置に標的側端末に対するルート（伝播経路）のトレースを行わせ、これらのトレース結果の伝播経路が一致する組み合わせで重ね合わせて標的側端末までの攻撃パケットの伝播経路を特定することにより、複数経路の特定が可能になる。
【図面の簡単な説明】
【図１】本発明に係るパケット経路追跡システムの一実施例を示す構成ブロック図である。
【図２】標的側端末（若しくは、その他の伝播経路解析機能を有する装置）における伝播経路の特定方法を説明するフロー図である。
【図３】攻撃パケットの伝播経路が１つである場合の伝播経路の特定方法を説明する説明図である。
【図４】攻撃パケットの伝播経路が複数である場合の伝播経路の特定方法を説明する説明図である。
【図５】従来のパケット経路追跡システムの一例を示す構成ブロック図である。
【図６】攻撃者（アタッカー）の攻撃経路を示す説明図である。
【図７】パケットの記録状況を説明する説明図である。
【図８】パケットログ記録装置の具体例を示す構成ブロック図である。
【図９】取得したパケットの記録方法を説明する説明図である。
【図１０】従来のパケット経路追跡システムの一例を示す構成ブロック図である。
【図１１】パケットの伝播経路の一例を示す説明図である。
【符号の説明】
１ 端末
２ サーバ
３，４，１９ ＩＳＰ
５，６，７，８ ルータ
９，１０，１１，１６，１７，１８，２０，２１，２２ パケットログ記録装置
１２ 演算制御手段
１３ 記憶手段
１４，１４ａ 標的側端末
１５ 攻撃側端末
【発明の属する技術分野】
本発明は、ネットワークを伝播するパケットを記録してパケットの伝播経路を追跡するパケット経路追跡システムに関し、特に確実にパケットの伝播経路の追跡が可能で、複数経路の特定が可能なパケット経路追跡システムに関する。
【０００２】
【従来の技術】
従来のネットワークを伝播するパケットを記録してパケットの伝播経路を追跡するパケット経路追跡システムに関連する先行技術文献としては次のようなものがある。
【０００３】
【特許文献１】
特開平１０−１６４０６４号公報
【特許文献２】
特開２０００−３４１３１５号公報
【０００４】
従来のインターネット上ではパケットを連続してターゲットに送信して当該ターゲットの提供するサービスを停止等させるＤｏＳ（Denial of Service attack：サービス停止攻撃：以下、単にＤｏＳと呼ぶ。）が問題になっている。
【０００５】
特に、複数地点から一斉に一つのターゲットに対してＤｏＳ攻撃を行うＤＤｏＳ（Distributed ＤｏＳ：分散型ＤｏＳ：以下、単にＤＤｏＳと呼ぶ。）が大きな問題になっている。
【０００６】
このため、このようなＤＤｏＳ攻撃等を防止するため、不正なパケットの発信源を特定するパケット経路追跡システムが考案されている。
【０００７】
図５はこのような従来のパケット経路追跡システムの一例を示す構成ブロック図である。図５において１は攻撃者（アタッカー）が操作する端末、２はＤＤｏＳ攻撃等のターゲットとなるサーバ、３及び４はＩＳＰ（Internet Service Provider：インターネットサービス提供業者：以下、単にＩＳＰと呼ぶ。）、５，６，７及び８はルータ、９，１０及び１１は伝播するパケットの情報を記録するパケットログ記録装置である。
【０００８】
端末１はルータ５を介してＩＳＰ３に接続され、ＩＳＰ３はルータ６及びルータ７を介してＩＳＰ４に接続される。また、サーバ２はルータ８を介してＩＳＰ４に接続される。
【０００９】
さらに、端末１とルータ５との間の回線にはパケットログ記録装置９が接続され、ルータ６とルータ７との間の回線にはパケットログ記録装置１０が接続され、サーバ２とルータ８との間の回線にはパケットログ記録装置１１が接続される。
【００１０】
ここで、図５に示す従来のパケット経路追跡システムの動作を図６及び図７を用いて説明する。図６は攻撃者（アタッカー）の攻撃経路を示す説明図、図７はパケットの記録状況を説明する説明図である。
【００１１】
図６中”ＡＴ０１”に示すように攻撃者（アタッカー）は端末１からＩＳＰ３及びＩＳＰ４を介してターゲットであるサーバ２に対してＤｏＳ攻撃等を行う。
【００１２】
一方、パケットログ記録装置９，１０及び１１は接続された回線を伝播するパケットを取得して記憶手段に順次記録して行く。
【００１３】
例えば、図７中”ＬＧ１１”、”ＬＧ１２”及び”ＬＧ１３”に示すようにパケットログ記録装置９，１０及び１１はＤｏＳ攻撃のために伝播する不正なパケットを取得して記憶手段に順次記録する。
【００１４】
そして、ＤｏＳ攻撃等を受けたサーバ２が受信した不正なパケットと、パケットログ記録装置９，１０及び１１にそれぞれ記録されたパケットを比較して当該不正なパケットが伝播した経路を特定する。
【００１５】
例えば、図６に示すＤｏＳ攻撃等に用いられた不正なパケットはパケットログ記録装置９，１０及び１１に記録されているので図６中”ＡＴ０１”に示すような不正なパケットの伝播経路を特定することが可能になる。
【００１６】
但し、監視している回線に伝播するパケットの全ての情報を順次記録するために、記憶手段には膨大な記憶容量が必要になるため、効率良くパケットの情報を保持する方法が考案されている。
【００１７】
図８はこのようなパケットログ記録装置の具体例を示す構成ブロック図であり、１２は演算制御手段、１３は記憶手段である。
【００１８】
観測点である回線からの入力は演算制御手段１２に接続され、演算制御手段１２の出力は記憶手段１３に接続される。
【００１９】
ここで、図８に示すパケットログ記録装置の動作を図９を用いて説明する。図９は取得したパケットの記録方法を説明する説明図である。
【００２０】
図８中”ＬＧ２１”に示すように観測点である回線から入力されたパケットは演算制御手段１２に取り込まれ、ＩＰ（Internet Protocol）パケットの中で伝播中に不変である部分等を抽出する。
【００２１】
そして、演算制御手段１２は抽出された情報をハッシュ関数を用いてハッシュ値に変換し、このハッシュ値を記憶手段１３のアドレスとみなして、該当するアドレスにビットを立てる等してある特定のパケットが伝播したことを記録する。
【００２２】
ここで、ハッシュ関数とは、原文から固定長の疑似乱数（ハッシュ値）を生成する関数であって、このハッシュ関数は不可逆な一方向関数を含むために生成されたハッシュ値から元の原文を再現することはできない。また、同じハッシュ値となる異なるデータを作成することは極めて困難である。
【００２３】
例えば、演算制御手段１２が、図９中”ＰＩ３１”に示すような取得したパケットから抽出された伝播中に不変である部分にハッシュ関数を適用して、図９中”ＨＶ３１”に示すようなハッシュ値（例えば、ＸＸＸＸＨ：１６ビットの１６進数表現）を得られた場合を想定する。
【００２４】
この場合、演算制御手段１２は得られたハッシュ値（ＸＸＸＸＨ）を記憶手段１３のアドレスとみなして、”ＸＸＸＸＨ”のアドレスに図９中”ＷＤ３１”に示すようにデータを書き込む。
【００２５】
例えば、データの書込み方法としては”００００００００Ｂ（８ビットデータ）”から”０００００００１Ｂ”等（ビットを立てる）に変更することによってある特定のパケットが伝播したことを記録する。
【００２６】
そして、ＤｏＳ攻撃等を受けたサーバが受信した不正なパケットに前記ハッシュ関数を適用して得られたハッシュ値に対応する記憶手段１３のアドレスにビットが立っていれば不正なパケットがパケットログ記録装置が接続された回線を伝播したことになる。
【００２７】
この結果、図８に示すパケットログ記録装置ではパケットの情報を全て記憶手段に記録するのではなく、パケットの一部分にハッシュ関数を適用して得られたハッシュ値に対応する記憶手段のアドレスに記録する（ビットを立てる）ことにより、記憶手段の記憶容量は小さくて良く、効率良くパケットの情報を保持することが可能である。
【００２８】
【発明が解決しようとする課題】
しかし、図７に示すパケットログ記録装置を用いたパケット経路追跡システムではパケットの伝播経路が複雑であった場合には、パケットの伝播経路を特定できないと言った問題点があった。
【００２９】
図１０はこのような問題点を有する従来のパケット経路追跡システムの一例を示す構成ブロック図である。図１０において１４はＤＤｏＳ攻撃等のターゲットとなるサーバ等の標的側端末、１５は攻撃側端末、１６，１７及び１８は従来のパケットログ記録装置、１９はＩＳＰである。但し、説明の簡単のために図５に示すルータ等の記載は省略している。
【００３０】
標的側端末１４はネットワーク等によってパケットログ記録装置１８に接続され、攻撃側端末１５はネットワーク等によってパケットログ記録装置１７に接続される。また、ＩＳＰ１９はネットワーク等によってパケットログ記録装置１６に接続され、パケットログ記録装置１６，１７及び１８はネットワーク等によって互いに相互に接続される。
【００３１】
ここで、従来例の問題点を図１１を用いて説明する。図１１はパケットの伝播経路の一例を示す説明図である。
【００３２】
標的側端末１４がＤｏＳ攻撃等を受けた場合、前述の説明のように各パケットログ記録装置１６，１７及び１８は当該不正なパケットが伝播した場合にはそのログが記録される。
【００３３】
例えば、全てのパケットログ記録装置１６，１７及び１８で当該不正なパケットのログが残っていた場合、特に、ログの取り込みの間隔が長い場合にはログが記録されている時刻がどのパケットログ記録装置１６〜１８でも同じになってしまい、図１１中”ＲＴ４１”に示す伝播経路であるのか図１１中”ＲＴ４２”に示す伝播経路であるのかを特定することができなくなってしまう。
【００３４】
また、例えば、標的側端末１４が攻撃側端末１５及びＩＳＰ１９と言った複数の経路から、図１１中”ＲＴ４４”及び”ＲＴ４３”に示すような伝播経路で同時にＤｏＳ攻撃等を受けた場合には、同様に、全てのパケットログ記録装置１６，１７及び１８で当該不正なパケットのログが残るので、複数経路の攻撃なのか単独の攻撃なのかが断定できず、伝播経路を特定することがさらに困難になると言った問題点が生じる。
従って本発明が解決しようとする課題は、確実にパケットの伝播経路の追跡が可能で、複数経路の特定が可能なパケット経路追跡システムを実現することにある。
【００３５】
【課題を解決するための手段】
このような課題を達成するために、本発明のうち請求項１記載の発明は、
ネットワークを伝播するパケットを記録してパケットの伝播経路を追跡するパケット経路追跡システムにおいて、
ネットワークの複数の観測点を伝播するパケットを記録する複数のパケットログ記録装置と、不正なパケットのログが記録されている全ての前記パケットログ記録装置に標的側端末に対する伝播経路のトレースを行わせ、これらのトレース結果を重ね合わせることにより前記標的側端末までのパケットの伝播経路を特定する伝播経路解析装置とを備えたことにより、確実にパケットの伝播経路の追跡が可能になる。
【００３６】
請求項２記載の発明は、
請求項１記載の発明であるパケット経路追跡システムにおいて、
前記伝播経路解析装置が、
複数の前記パケットログ記録装置に前記不正なパケットのログが記録されているか否かを判断し、複数の前記パケットログ記録装置の何れかにログが記録されている場合には、ログが記録されている全ての前記パケットログ記録装置に前記標的側端末に対する伝播経路のトレースを行わせ、トレース結果を重ね合わせて全てのトレース結果が一致した場合にはその伝播経路をもって前記標的側端末までの前記パケットの伝播経路とすることにより、確実にパケットの伝播経路の追跡が可能になる。
【００３７】
請求項３記載の発明は、
請求項１記載の発明であるパケット経路追跡システムにおいて、
前記伝播経路解析装置が、
複数の前記パケットログ記録装置に前記不正なパケットのログが記録されているか否かを判断し、複数の前記パケットログ記録装置の何れかにログが記録されている場合には、ログが記録されている全ての前記パケットログ記録装置に前記標的側端末に対する伝播経路のトレースを行わせ、トレース結果を重ね合わせて全てのトレース結果が一致しない場合にはこれらのトレース結果の伝播経路が一致する組み合わせで重ね合わせることにより前記標的側端末までの前記パケットの複数の伝播経路を特定することにより、複数経路の特定が可能になる。
【００３８】
請求項４記載の発明は、
請求項１乃至請求項３のいずれかに記載の発明であるパケット経路追跡システムにおいて、
前記パケットログ記録装置が、
前記パケットの情報を記録する記憶手段と、複数の前記観測点の一を伝播するパケットを取り込み伝播中に不変である部分を抽出してハッシュ関数を適用し、得られたハッシュ値を前記記憶手段のアドレスとみなしてこのアドレスに前記情報としてデータを書き込むと共に前記伝播経路解析装置の制御により前記標的側端末に対する伝播経路のトレースを行う演算制御手段とから構成されたことにより、確実にパケットの伝播経路の追跡が可能になる。
【００３９】
請求項５記載の発明は、
請求項１乃至請求項４のいずれかに記載の発明であるパケット経路追跡システムにおいて、
前記標的側端末が、
前記伝播経路解析装置の機能を有することことにより、確実にパケットの伝播経路の追跡が可能になる。また、複数経路の特定が可能になる。
【００４０】
【発明の実施の形態】
以下本発明を図面を用いて詳細に説明する。図１は本発明に係るパケット経路追跡システムの一実施例を示す構成ブロック図である。
【００４１】
図１において１５及び１９は図１０と同一符号を付してあり、１４ａは伝播経路解析機能を有する標的側端末、２０，２１及び２２は標的側端末１４ａの制御によりＩＰのルート（伝播経路）をトレースして検査する機能を有するパケットログ記録装置である。
【００４２】
また、パケットログ記録装置２０，２１及び２２の基本的な構成に関しては図８に示す従来のパケットログ記録装置の構成と同様である。
【００４３】
標的側端末１４ａはネットワーク等によってパケットログ記録装置２２に接続され、攻撃側端末１５はネットワーク等によってパケットログ記録装置２１に接続される。また、ＩＳＰ１９はネットワーク等によってパケットログ記録装置２０に接続され、パケットログ記録装置２０，２１及び２２はネットワーク等によって互いに相互に接続される。
【００４４】
ここで、図１に示す実施例の動作を図２、図３及び図４を用いて説明する。図２は標的側端末１４ａ（若しくは、その他の伝播経路解析機能を有する装置）における伝播経路の特定方法を説明するフロー図、図３は攻撃パケットの伝播経路が１つである場合の伝播経路の特定方法を説明する説明図、図４は攻撃パケットの伝播経路が複数である場合の伝播経路の特定方法を説明する説明図である。
【００４５】
標的側端末１４ａがＤｏＳ攻撃等を受けた場合、従来例と同様に各パケットログ記録装置２０，２１及び２２は当該不正なパケットが伝播した場合にはそのログを記録する。
【００４６】
例えば、全てのパケットログ記録装置２０，２１及び２２で当該不正なパケットのログが残っていた場合を想定する。
【００４７】
図２中”Ｓ００１”において標的側端末１４ａはパケットログ記録装置２０〜２２に不正なパケットのログが記録されているか否かを判断し、もし、パケットログ記録装置２０〜２２の何れかにログが記録されている場合（今回は、パケットログ記録装置２０〜２２の全てにログが記録されている）には、図２中”Ｓ００２”において標的側端末１４ａはログが記録されている全てのパケットログ記録装置を制御して標的側端末１４ａに対するルート（伝播経路）のトレースを行わせる。
【００４８】
例えば、標的側端末１４ａは各パケットログ記録装置２０〜２２において引数として標的側端末１４ａのＩＰアドレス、若しくは、標的側端末１４ａのホスト名を与えて”traceroute”や”tracert.exe”等のコマンドを実行させて、各パケットログ記録装置２０〜２２から標的側端末１４ａまでのパケットの伝播経路を取得させる。
【００４９】
図２中”Ｓ００３”において標的側端末１４ａはログが記録されている全てのパケットログ記録装置でルート（伝播経路）のトレースが完了したか否かを判断し、もし、トレースが完了していない場合には図２中”Ｓ００２”のステップに戻り、トレースが完了している場合には図２中”Ｓ００４”において標的側端末１４ａはトレース結果を重ね合わせる。
【００５０】
さらに、図２中”Ｓ００５”において標的側端末１４ａは全てのトレース結果が一致したか否かを判断し、もし、一致した場合には図２中”Ｓ００６”において１つの伝播経路を特定する。
【００５１】
例えば、パケットログ記録装置２０からのルート（伝播経路）のトレース結果が図３中”ＴＲ５１”に示すような伝播経路であり、同様に、パケットログ記録装置２１及び２２からのルート（伝播経路）のトレース結果が図３中”ＴＲ５２”及び”ＴＲ５３”に示すような伝播経路であった場合、これらのトレース結果を重ね合わせる。
【００５２】
この場合、パケットログ記録装置２１からは”パケットログ記録装置２１：パケットログ記録装置２０：パケットログ記録装置２２：標的側端末１４ａ”の順番にパケットが伝播している。
【００５３】
同様に、パケットログ記録装置２０からは”パケットログ記録装置２０：パケットログ記録装置２２：標的側端末１４ａ”の順番にパケットが伝播し、パケットログ記録装置２２からは”パケットログ記録装置２２：標的側端末１４ａ”の順番にパケットが伝播している。
【００５４】
すなわち、これらのトレース結果を重ね合わせることにより、伝播経路が一致し、図３中”ＡＲ５１”に示すような標的側端末１４ａまでの攻撃パケットの伝播経路を特定することができる。
【００５５】
この結果、ログが記録されている全てのパケットログ記録装置に標的側端末１４ａに対するルート（伝播経路）のトレースを行わせ、これらのトレース結果を重ね合わせて標的側端末１４ａまでの攻撃パケットの伝播経路を特定することにより、確実にパケットの伝播経路の追跡が可能になる。
【００５６】
一方、図２中”Ｓ００５”において標的側端末１４ａは全てのトレース結果が一致しなかった場合には、図２中”Ｓ００７”において標的側端末１４ａは各トレース結果の伝播経路が一致する組み合わせを見つけ出して複数の伝播経路を特定する。
【００５７】
例えば、パケットログ記録装置２０からのルート（伝播経路）のトレース結果が図４中”ＴＲ６１”に示すような伝播経路であり、同様に、パケットログ記録装置２１及び２２からのルート（伝播経路）のトレース結果が図４中”ＴＲ６２”及び”ＴＲ６３”に示すような伝播経路であった場合、これらのトレース結果を重ね合わせる。
【００５８】
この場合、パケットログ記録装置２０からは”パケットログ記録装置２０：パケットログ記録装置２２：標的側端末１４ａ”の順番にパケットが伝播している。
【００５９】
同様に、パケットログ記録装置２１からは”パケットログ記録装置２１：パケットログ記録装置２２：標的側端末１４ａ”の順番にパケットが伝播し、パケットログ記録装置２２からは”パケットログ記録装置２２：標的側端末１４ａ”の順番にパケットが伝播している。
【００６０】
この時、これらの全てのトレース結果を重ね合わせても全ての伝播経路が一致せず、複数の伝播経路が存在する可能性があるため、各トレース結果の伝播経路が一致する組み合わせを見つけ出して複数の伝播経路を特定する。
【００６１】
例えば、パケットログ記録装置２０及び２２のトレース結果の組み合わせに着目して重ね合わせれば伝播経路が一致し、図４中”ＡＲ６１”に示すような攻撃パケットの伝播経路を特定することができる。
【００６２】
また、例えば、パケットログ記録装置２１及び２２のトレース結果の組み合わせに着目して重ね合わせれば伝播経路が一致し、図４中”ＡＲ６２”に示すような攻撃パケットの伝播経路を特定することができる。
【００６３】
すなわち、これらのトレース結果の伝播経路が一致する組み合わせで重ね合わせることにより、図４中”ＡＲ６１”及び”ＡＲ６２”に示すような標的側端末１４ａまでの複数の攻撃パケットの伝播経路を特定することができる。
【００６４】
この結果、ログが記録されている全てのパケットログ記録装置に標的側端末１４ａに対するルート（伝播経路）のトレースを行わせ、これらのトレース結果の伝播経路が一致する組み合わせで重ね合わせて標的側端末１４ａまでの攻撃パケットの伝播経路を特定することにより、複数経路の特定が可能になる。
【００６５】
なお、図１に示す実施例では標的側端末１４ａが伝播経路解析機能を有している旨記載しているが、勿論、標的側端末１４ａの他に伝播経路解析機能を持たせコンピュータ等の伝播経路解析装置を設けて攻撃パケットの伝播経路を特定しても構わない。
【００６６】
また、図１に示す実施例では複数のトレース結果を重ね合わせることによって、パケットの伝播経路を特定しているが、図３中”ＴＲ５２”等に示すトレース結果をもって攻撃パケットの伝播経路としても勿論構わない。
【００６７】
【発明の効果】
以上説明したことから明らかなように、本発明によれば次のような効果がある。
請求項１，２，４及び請求項５の発明によれば、不正なログが記録されている全てのパケットログ記録装置に標的側端末に対するルート（伝播経路）のトレースを行わせ、これらのトレース結果を重ね合わせて標的側端末までの攻撃パケットの伝播経路を特定することにより、確実にパケットの伝播経路の追跡が可能になる。
【００６８】
また、請求項３及び請求項５の発明によれば、不正なログが記録されている全てのパケットログ記録装置に標的側端末に対するルート（伝播経路）のトレースを行わせ、これらのトレース結果の伝播経路が一致する組み合わせで重ね合わせて標的側端末までの攻撃パケットの伝播経路を特定することにより、複数経路の特定が可能になる。
【図面の簡単な説明】
【図１】本発明に係るパケット経路追跡システムの一実施例を示す構成ブロック図である。
【図２】標的側端末（若しくは、その他の伝播経路解析機能を有する装置）における伝播経路の特定方法を説明するフロー図である。
【図３】攻撃パケットの伝播経路が１つである場合の伝播経路の特定方法を説明する説明図である。
【図４】攻撃パケットの伝播経路が複数である場合の伝播経路の特定方法を説明する説明図である。
【図５】従来のパケット経路追跡システムの一例を示す構成ブロック図である。
【図６】攻撃者（アタッカー）の攻撃経路を示す説明図である。
【図７】パケットの記録状況を説明する説明図である。
【図８】パケットログ記録装置の具体例を示す構成ブロック図である。
【図９】取得したパケットの記録方法を説明する説明図である。
【図１０】従来のパケット経路追跡システムの一例を示す構成ブロック図である。
【図１１】パケットの伝播経路の一例を示す説明図である。
【符号の説明】
１ 端末
２ サーバ
３，４，１９ ＩＳＰ
５，６，７，８ ルータ
９，１０，１１，１６，１７，１８，２０，２１，２２ パケットログ記録装置
１２ 演算制御手段
１３ 記憶手段
１４，１４ａ 標的側端末
１５ 攻撃側端末
Claims (5)
- ネットワークを伝播するパケットを記録してパケットの伝播経路を追跡するパケット経路追跡システムにおいて、
ネットワークの複数の観測点を伝播するパケットを記録する複数のパケットログ記録装置と、
不正なパケットのログが記録されている全ての前記パケットログ記録装置に標的側端末に対する伝播経路のトレースを行わせ、これらのトレース結果を重ね合わせることにより前記標的側端末までのパケットの伝播経路を特定する伝播経路解析装置と
を備えたことを特徴とするパケット経路追跡システム。 - 前記伝播経路解析装置が、
複数の前記パケットログ記録装置に前記不正なパケットのログが記録されているか否かを判断し、
複数の前記パケットログ記録装置の何れかにログが記録されている場合には、ログが記録されている全ての前記パケットログ記録装置に前記標的側端末に対する伝播経路のトレースを行わせ、
トレース結果を重ね合わせて全てのトレース結果が一致した場合にはその伝播経路をもって前記標的側端末までの前記パケットの伝播経路とすることを特徴とする
請求項１記載のパケット経路追跡システム。 - 前記伝播経路解析装置が、
複数の前記パケットログ記録装置に前記不正なパケットのログが記録されているか否かを判断し、
複数の前記パケットログ記録装置の何れかにログが記録されている場合には、ログが記録されている全ての前記パケットログ記録装置に前記標的側端末に対する伝播経路のトレースを行わせ、
トレース結果を重ね合わせて全てのトレース結果が一致しない場合にはこれらのトレース結果の伝播経路が一致する組み合わせで重ね合わせることにより前記標的側端末までの前記パケットの複数の伝播経路を特定することを特徴とする
請求項１記載のパケット経路追跡システム。 - 前記パケットログ記録装置が、
前記パケットの情報を記録する記憶手段と、
複数の前記観測点の一を伝播するパケットを取り込み伝播中に不変である部分を抽出してハッシュ関数を適用し、得られたハッシュ値を前記記憶手段のアドレスとみなしてこのアドレスに前記情報としてデータを書き込むと共に前記伝播経路解析装置の制御により前記標的側端末に対する伝播経路のトレースを行う演算制御手段と
から構成されたことを特徴とする
請求項１乃至請求項３のいずれかに記載のパケット経路追跡システム。 - 前記標的側端末が、
前記伝播経路解析装置の機能を有することを特徴とする
請求項１乃至請求項４のいずれかに記載のパケット経路追跡システム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002284968A JP3832412B2 (ja) | 2002-09-30 | 2002-09-30 | パケット経路追跡システム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002284968A JP3832412B2 (ja) | 2002-09-30 | 2002-09-30 | パケット経路追跡システム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004120695A JP2004120695A (ja) | 2004-04-15 |
| JP3832412B2 true JP3832412B2 (ja) | 2006-10-11 |
Family
ID=32278386
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002284968A Expired - Fee Related JP3832412B2 (ja) | 2002-09-30 | 2002-09-30 | パケット経路追跡システム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3832412B2 (ja) |
Families Citing this family (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP5090300B2 (ja) * | 2008-09-17 | 2012-12-05 | 沖電気工業株式会社 | パケット通過記録装置及び方法 |
Family Cites Families (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP3448254B2 (ja) * | 2000-02-02 | 2003-09-22 | インターナショナル・ビジネス・マシーンズ・コーポレーション | アクセス・チェーン追跡システム、ネットワーク・システム、方法、及び記録媒体 |
| JP2001308918A (ja) * | 2000-04-20 | 2001-11-02 | Mitsubishi Electric Corp | 攻撃経路追跡システム及びルータ装置 |
| US20040085906A1 (en) * | 2001-04-27 | 2004-05-06 | Hisamichi Ohtani | Packet tracing system |
-
2002
- 2002-09-30 JP JP2002284968A patent/JP3832412B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2004120695A (ja) | 2004-04-15 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US8041804B2 (en) | Utilizing captured IP packets to determine operations performed on packets by a network device | |
| US11398969B2 (en) | Network conversation testing of flow level operations | |
| US10387656B2 (en) | Integrated interactive application security testing | |
| US7738403B2 (en) | Method for determining the operations performed on packets by a network device | |
| US20120166637A1 (en) | Method, device and medium for determining operations performed on a packet | |
| JP5119059B2 (ja) | 情報処理装置、情報処理システム、プログラム、および記録媒体 | |
| Chatzoglou et al. | Revisiting QUIC attacks: A comprehensive review on QUIC security and a hands-on study | |
| JP7337941B2 (ja) | 保護されたメッセージを再生するための方法および再生ユニット | |
| JP6962374B2 (ja) | ログ分析装置、ログ分析方法及びプログラム | |
| Lin et al. | Low-storage capture and loss recovery selective replay of real flows | |
| US9916225B1 (en) | Computer implemented system and method and computer program product for testing a software component by simulating a computing component using captured network packet information | |
| CN104852921A (zh) | 网络设备防开放端口攻击测试系统及方法 | |
| KR100439170B1 (ko) | 인터넷에서 에지 라우터의 로그정보를 이용한 공격자 역추적 방법 | |
| JP3832412B2 (ja) | パケット経路追跡システム | |
| JP3750803B2 (ja) | パケットログ記録装置 | |
| JP3889701B2 (ja) | パケット経路追跡システム | |
| JP2006262036A (ja) | パケット経路追跡システム | |
| JP2005182187A (ja) | 不正アクセス検知方法、不正アクセス検知システム及び不正アクセス検知プログラム | |
| Yang et al. | Identify encrypted packets to detect stepping-stone intrusion | |
| JP3797308B2 (ja) | パケットログ記録装置 | |
| Vitale et al. | Inmap-t: Leveraging TTCN-3 to test the security impact of intra network elements | |
| JP3826399B2 (ja) | パケットログ記録装置 | |
| KR102156600B1 (ko) | 네트워크에서 수집된 패킷과 엔드포인트 컴퓨팅 장치의 프로세스 간의 연관관계를 생성하는 시스템 및 방법 | |
| JP4203809B2 (ja) | パケットログ記録装置 | |
| JP4135094B2 (ja) | パケット経路追跡システム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20040316 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20050826 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20051017 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20051205 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20060627 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20060710 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20051205 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100728 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110728 Year of fee payment: 5 |
|
| LAPS | Cancellation because of no payment of annual fees |