JP4098127B2 - Packet tracking method and packet tracking program - Google Patents
Packet tracking method and packet tracking program Download PDFInfo
- Publication number
- JP4098127B2 JP4098127B2 JP2003070328A JP2003070328A JP4098127B2 JP 4098127 B2 JP4098127 B2 JP 4098127B2 JP 2003070328 A JP2003070328 A JP 2003070328A JP 2003070328 A JP2003070328 A JP 2003070328A JP 4098127 B2 JP4098127 B2 JP 4098127B2
- Authority
- JP
- Japan
- Prior art keywords
- packet
- tracking
- information
- printing apparatus
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、ネットワークを流れる監視対象パケットを追跡するパケット追跡方法およびパケット追跡プログラムに関するものであり、特に、パケットに含まれる情報が書き換えられるネットワークにおいてもパケット追跡を行うことができるパケット追跡方法およびパケット追跡プログラムに関するものである。
【０００２】
【従来の技術】
従来より、ネットワーク内の不審なパケットを検出するために、ＩＤＳ（Intrusion Detection System：侵入検知装置）が使用されている。このＩＤＳにより不審なパケットを検知し、そのパケットの追跡を行う場合には、発信元アドレスをキーとしてパケットの追跡を行う。
【０００３】
そのため、発信元アドレスが詐称されていると、正確なパケットの追跡ができない。このような発信元の詐称されたパケットを特定し、追跡するために、パケット内に目印となる情報を付与する等、パケットに手を加える方法や、パケットの中身を精査する方法が考えられていた。
【０００４】
しかし、上述したパケット内に目印となる情報を付与する従来の方法は、その中身を調べるため、プライバシを侵害するという問題点があった。また、第三者によってパケット内に追跡するためとして付与された情報が、悪意ある第三者によって付与された、または変更された欺購情報である場合には、そのパケットを正確に追跡することができなかった。
【０００５】
また、従来では、ルータ等、既存のネットワーク機器において追跡する方法も考えられていた。しかし、この方法を実現するには、対象となるネットワーク装置内部の仕組みや、ネットワークの構成を一部変更しなければならない。そのため、機器の追加、設置場所変更等の構成変更を柔軟に行うことができなくなるという問題点があった。
【０００６】
図３３は、上記問題点を解決するための従来のパケット追跡システムの構成概要を示すブロック図である。同図において、ローカルネットワーク５０Ａ、５０Ｂ、５０Ｃおよび５０Ｄは、イントラネット内のネットワークである。従って、これらのローカルネットワーク５０Ａ、５０Ｂ、５０Ｃおよび５０Ｄでは、ローカルＩＰ（Internet Protocol Address）アドレスが用いられる。
【０００７】
これらのローカルネットワーク５０Ａ、５０Ｂ、５０Ｃおよび５０Ｄを監視するため、それぞれのローカルネットワーク間には、パケットプリント装置１０１（１０１ａ、１０１ｂ、１０１ｃ）が、タッピングなどの手法を用いてＩＰアドレスなどの論理接続を持たない接続方式（ステルス接続方式）により接続されている。したがって、これらのパケットプリント装置１０１ａ、１０１ｂおよび１０１ｃは、監視対象ネットワーク内の他の装置から自己の存在を隠すことができる。
【０００８】
また、パケットプリント装置１０１ａ、１０１ｂおよび１０１ｃは、監視対象ネットワークとは独立に存在する管理用ネットワークにも接続されている。この場合、パケットプリント装置１０１ａ、１０１ｂおよび１０１ｃは、監視対象ネットワークとの接続（ステルス接続）とは異なり、管理用ネットワークに接続された他の装置から認識可能な接続方式（例えばＩＰ接続方式）で接続されている。
【０００９】
これらのパケットプリント装置１０１ａ、１０１ｂおよび１０１ｃは、それぞれが接続されているローカルネットワーク間の接続リンクを監視の対象とし、それぞれの監視対象ネットワークを通過するパケットのコピーを取り込み、コピーしたパケットを一意に特定するためのパケットプリント（ＰＰ）を生成するとともに、このパケットプリントを記憶する。
【００１０】
ここで、パケットプリントとして最も一般的なのがハッシュ値と呼ばれるものである。このハッシュ値の生成には、ハッシュ関数と呼ばれる一方向性関数が用いられる。この一方向性関数に基づいて、パケットに含まれる文字、数字などを含んだ可変長の文字列データが固定長のデータに要約される。この要約された固定長データをハッシュ値と呼んでいる。なお、これ以降、このパケットプリントをハッシュ値として説明する。
【００１１】
ＩＤＳ１０３は、ローカルネットワーク５０Ｃおよび管理用ネットワークに接続されている。このＩＤＳ１０３は、監視対象ネットワークに侵入した不正アクセスパケットの検知を行う装置である。追跡マネージャ１０２は、管理用ネットワークに接続され、パケットプリント装置１０１ａ、１０１ｂおよび１０１ｃと管理用ネットワークを介して通信する装置である。構成情報格納部１２６は監視対象ネットワークおよび管理用ネットワークの構成情報を記憶している。
【００１２】
上記構成において、ＩＤＳ１０３が、ローカルネットワーク５０Ｃ内で不正アクセスパケットを検知したものとする。この不正アクセスパケットの検知は、ユーザが定義した不正アクセスの判定基準およびルールに基づいて行われる。
【００１３】
例えば、ポートスキャンが行われた場合、ＩＤＳ１０３は、このポートスキャンに対する警報と、このポートスキャンを行ったパケットを追跡対象パケットとして追跡マネージャ１０２に送信する。これにより、追跡マネージャ１０２は、これらのＩＤＳ１０３からの警報と、追跡対象パケットを受信すると、受信したパケットからパケットプリント（ハッシュ値）を生成する。
【００１４】
つぎに、追跡マネージャ１０２は、パケットプリント装置の位置を確認し、生成したパケットプリント（ハッシュ値）を含む検索要求を送信する。ここでは、パケットプリント装置１０１ａ、１０１ｂおよび１０１ｃのすべてに生成したパケットプリント（ハッシュ値）を含む検索要求を送信するものとする。このとき、パケットプリント装置１０１ａ、１０１ｂおよび１０１ｃは、受信したパケットプリント（ハッシュ値）と一致するパケットプリント（ハッシュ値）を記憶しているかどうか検索する。
【００１５】
そして、パケットプリント装置１０１ａ、１０１ｂおよび１０１ｃのそれぞれは、検索が終わると、検索結果を追跡マネージャ１０２に送信する。追跡マネージャ１０２は、パケットプリント装置１０１ａ、１０１ｂおよび１０１ｃから送信された検索結果と、ネットワークの構成情報とから、パケットの経路を得る。
【００１６】
例えば、パケットプリント装置１０１ｂ、１０１ｃから、一致するパケットプリント（ハッシュ値）を記憶しているという検索結果を受信した場合、追跡対象パケットは、ローカルネットワーク５０Ｂを介してローカルネットワーク５０Ｄから来たということが明らかになる。
【００１７】
なお、図３３に示す構成では、追跡マネージャ１０２やＩＤＳ１０３などを接続する管理用ネットワークは、監視対象ネットワークとは独立して存在するものとしているが、この接続形態に限定されるものではなく、監視対象ネットワークと論理的、物理的に同一な通信回線であってもよいし、物理的に同一であって、論理的に異なる通信回線であってもよい。
【００１８】
図３４は、パケットプリント装置１０１の機能構成を示すブロック図である。同図において、タッピング装置１１１は、接続する監視対象ネットワークを通過するパケットのコピーを作成する。プリント制御部１１２は、予め、パケットプリント（ハッシュ値）を生成する方式（ハッシュ関数）を、パケットプリント部１１３に指示しておく。
【００１９】
パケットプリント部１１３は、プリント制御部１１２に指示された方式（ハッシュ関数）で、タッピング装置１１１がコピーしたパケットのパケットプリント（ハッシュ値）を生成する。キャッシュ制御部１１４は、ＰＰ格納部１１５に記憶されているパケットプリント（ハッシュ値）の量を認識する。
【００２０】
ここで、ＰＰ格納部１１５に記憶されているパケットプリント（ハッシュ値）が一定量以上であった場合、キャッシュ制御部１１４は、ＰＰ格納部１１５に記憶されている最も古いパケットプリント（ハッシュ値）を破棄する。
【００２１】
ＰＰ格納部１１５に記憶されているパケットプリント（ハッシュ値）が一定量以下であった場合、キャッシュ制御部１１４は、ＰＰ格納部１１５に記憶されている情報の最後尾に新しいハッシュ値を追加して記憶する。このように、キャッシュ制御部１１４は、ＰＰ格納部１１５に記憶されているパケットプリントが常に一定量以下になるよう制御する。
【００２２】
パケットプリント装置１０１ａ、１０１ｂおよび１０１ｃは、監視対象ネットワークを通過するすべてのパケットに対し、上述の動作を行っている。追跡エージェント部１１６は、管理用ネットワークと接続され、追跡マネージャ１０２と通信する。なお、追跡エージェント部１１６の動作については、後述する追跡マネージャ１０２の動作のところで説明する。
【００２３】
図３５は、追跡マネージャ１０２の機能構成を示すブロック図である。同図において、警報受信部１２１は、ＩＤＳ１０３から不正アクセスパケットに対する警報を受信し、パケット受信部１２２は、ＩＤＳ１０３から不正アクセスパケット（追跡対象パケット）を受信する。プリント制御部１２３は、あらかじめ、ハッシュ値を生成する方式（ハッシュ関数）を、パケットプリント部１２４に指示しておく。
【００２４】
なお、パケットプリント装置１０１のプリント制御部１１２で指定される方式と、追跡マネージャ１０２のプリント制御部１２３で指定される方式は常に同じ方式である。パケットプリント部１２４は、プリント制御部１２３から指示された方式（ハッシュ関数）で、パケット受信部１２２で受信されたパケットのパケットプリント（ハッシュ値）を生成する。
【００２５】
追跡要求部１２５は、パケットプリント部１２４で生成されたパケットプリント（ハッシュ値）を含む検索要求をパケットプリント装置１０１ａ、１０１ｂおよび１０１ｃに送信するとともに、パケットプリント装置１０１ａ、１０１ｂおよび１０１ｃからの検索結果を受信する。
【００２６】
これらのパケットプリント装置１０１ａ、１０１ｂおよび１０１ｃから送信された検索結果と、監視対象ネットワークおよび管理用ネットワークの構成を記憶する構成情報格納部１２６とに基づいて、通過ルート作成部１２７がパケットの通過経路を作成する。
【００２７】
このようにして、通過ルート作成部１２７が作成した追跡対象パケットの通過経路の情報がシステム管理者等に通知される。システム管理者等は、この通過経路の情報に基づき、追跡対象パケットがどこから侵入してきたのかを判断することができ、不正アクセスのパケットに対する対策を打つことができる。
【００２８】
【特許文献１】
特開２０００−１２４９５２号公報
【非特許文献１】
武井，「トラヒックパターンを用いた不正アクセス検出及び追跡方式」，信学技報，財団法人電子情報通信学会，１９９９年１１月１８日，Ｖｏｌ．９９ Ｎｏ．４３６，ｐ．３７−４２
【非特許文献２】
小久保，「不正アクセス発信源追跡システムのモデル検討」，第６０回（平成１２年度前期）全国大会講演論文集（３），財団法人情報処理学会，平成１２年３月１４日，ｐ．３-２８３−３-２８４
【非特許文献３】
渡辺，「不正アクセス発信源追跡のためのパケット識別情報の検討」，第６０回（平成１２年度前期）全国大会講演論文集（３），財団法人情報処理学会，平成１２年３月１４日，ｐ．３-２８９−３-２９０
【非特許文献４】
渡辺，「不正アクセス発信源追跡におけるパケット識別情報の有効性検証」，第６１回（平成１２年度後期）全国大会講演論文集（３），財団法人情報処理学会，平成１２年１０月３日，ｐ．３-２５９−３-２６０
【非特許文献５】
池田，「不正アクセス発信源追跡システムのアーキテクチャの有効性検証」，第６２回（平成１３年度前記）全国大会講演論文集（３），財団法人情報処理学会，平成１３年３月１３日，ｐ．３-２８５−３-２８６
【非特許文献６】
Alex C Snoeren，「Hash-Based IP Traceback」，BBN Technical Memorandum No.1284，February 7,2001
【００２９】
【発明が解決しようとする課題】
ところで、前述したように、従来のパケット追跡システムでは、図３３に示したローカルネットワーク５０Ａ、５０Ｂ、５０Ｃおよび５０Ｄを通じて、追跡対象パケットに含まれるローカルＩＰアドレス等が変化しない。
【００３０】
このため、従来のパケット追跡システムでは、ローカルＩＰアドレス等が変化しない追跡対象パケットのパケットプリントをキーとして、追跡が可能となる。
【００３１】
これに対して、ＮＡＴ（Network Address Translation）やＩＰマスカレードが適用されたネットワークにおいては、追跡対象パケットに含まれるＩＰアドレス、ポート番号やシーケンス番号等が通過の途中で書き換えられるため、上述した従来のパケット追跡システムで追跡を行うことができないという問題があった。
【００３２】
ここで、ＮＡＴは、社内のみで通用するローカルＩＰアドレスと、インターネット等のグローバルネットワークへのアクセスに利用できる本来のグローバルＩＰアドレスとを相互に変換し、ローカルＩＰアドレスしか割り当てられていないローカルネットワークから、透過的にグローバルネットワークへアクセスできるようにする技術である。
【００３３】
ＩＰマスカレードは、ＮＡＴによるＩＰアドレスの変換だけでなく、その上位プロトコルであるＴＣＰ／ＵＤＰ（Transmission Control Protocol/User Datagram Protocol）のポート番号やシーケンス番号等も変換することで、異なる通信ポートを利用するものについて、１つのグローバルＩＰアドレスを利用して、複数のローカルＩＰノードが外部と通信できるようにした技術である。
【００３４】
図３６には、上述したＮＡＴやＩＰマスカレードが適用されたネットワーク構成が図示されている。同図において、グローバルネットワークＡとローカルネットワークＢとの間には、パケット変換装置２１０が設けられている。ローカルネットワークＢは、内部ネットワークであり、ローカルＩＰアドレスが適用される。
グローバルネットワークＡは、外部ネットワークであり、グローバルＩＰアドレスが適用される。
【００３５】
パケット変換装置２１０は、ＮＡＴやＩＰマスカレードの機能により、通過するパケットのＩＰアドレスや、ポート番号等を変換する装置である。例えば、グローバルネットワークＡからローカルネットワークＢへ流れるパケット２５０は、パケット変換装置２１０でパケット２５０’に変換される。
【００３６】
具体的には、パケット２５０のDstIP:210.162.74.2（発信先のグローバルＩＰアドレス）は、パケット２５０’のDstIP:192.168.1.5（発信先のローカルＩＰアドレス）に変換される。また、パケット２５０のDstPort:8080（発信先のポート番号）は、パケット２５０’のDstPort:80（発信先のポート番号）に変換される。
【００３７】
ここで、図３６に示したネットワークに、従来のパケット追跡システムを適用した場合には、パケット変換装置２１０の前後でパケットプリントが異なるため、追跡が行えないのである。同図の例では、パケット２５０に対応するパケットプリントＰＰが1A85DE81BCであるのに対して、パケット２５０’に対応するパケットプリントＰＰがC48EB4A58Dである。
【００３８】
同様にして、ローカルネットワークＢからグローバルネットワークＡへ流れるパケット２６０は、パケット変換装置２１０でパケット２６０’に変換される。具体的には、パケット２６０のSrcIP:192.168.1.5（発信元のローカルＩＰアドレス）は、パケット２６０’のSrcIP:210.162.74.2（発信元のグローバルＩＰアドレス）に変換される。
【００３９】
同図の例では、パケット２６０に対応するパケットプリントＰＰが8A5E616C8Bであるのに対して、パケット２６０’に対応するパケットプリントＰＰがF58EA85C64であるため、従来のパケット追跡システムが使えないのである。
【００４０】
この発明は、上記に鑑みてなされたものであり、パケットに含まれる情報が書き換えられるネットワークにおいてもパケット追跡を行うことができるパケット追跡方法およびパケット追跡プログラムを提供することを目的とする。
【００４１】
【課題を解決するための手段】
上述した課題を解決し、目的を達成するために、本発明は、監視対象のネットワークの要所に配置された複数のパケットプリント装置と、これらのパケットプリント装置との間で情報の送受を行う追跡マネージャとを備えたパケット追跡システムに適用されるパケット追跡方法であって、前記ネットワークを流れるパケットについて、該パケットに含まれる情報を通過時に書き換えるパケット変換装置における書き換え前のパケットを特定するための第１のパケット特定情報と、書き換え後のパケットを特定するための第２のパケット特定情報とを生成し、格納するパケット特定情報格納工程と、追跡対象パケットを特定するための追跡対象パケット特定情報を含む検索要求を前記追跡マネージャより受けて、前記第１のパケット特定情報または前記第２のパケット特定情報を検索し、検索結果を前記追跡マネージャへ送信する検索工程と、を含むことを特徴とする。
【００４２】
この発明によれば、ネットワークを流れるパケットについて、パケット変換装置における書き換え前のパケットを特定するための第１のパケット特定情報と、書き換え後のパケットを特定するための第２のパケット特定情報とを生成、格納し、追跡対象パケット特定情報を含む検索要求を受けて、第１のパケット特定情報または第２のパケット特定情報を検索し、検索結果を追跡マネージャへ送信することとしたので、パケットに含まれる情報が書き換えられるネットワークにおいてもパケット追跡を行うことができる。
【００４３】
また、本発明は、監視対象のネットワークの要所に配置され、パケットに含まれる情報を通過時に書き換えるパケット変換装置を有するネットワークを流れるパケットを特定するためのパケット特定情報を生成し、格納する複数のパケットプリント装置と、これらのパケットプリント装置との間で情報の送受を行う追跡マネージャとを備えたパケット追跡システムに適用されるパケット追跡方法であって、前記パケット変換装置における書き換え前の追跡対象パケットを特定するための第１の追跡対象パケット特定情報と、書き換え後の追跡対象パケットを特定するための第２の追跡対象パケット特定情報とを生成するパケット特定情報生成工程と、前記追跡対象の位置に基づいて、前記第１の追跡対象パケット特定情報または前記第２の追跡対象パケット特定情報を前記パケットプリント装置へ通知し、前記パケット特定情報の検索を依頼する検索依頼工程と、を含むことを特徴とする。
【００４４】
この発明によれば、パケット変換装置における書き換え前の追跡対象パケットを特定するための第１の追跡対象パケット特定情報と、書き換え後の追跡対象パケットを特定するための第２の追跡対象パケット特定情報とを生成し、追跡対象パケットの検出位置に基づいて、第１の追跡対象パケット特定情報または第２の追跡対象パケット特定情報をパケットプリント装置へ通知し、パケット特定情報の検索を依頼することとしたので、パケットに含まれる情報が書き換えられるネットワークにおいてもパケット追跡を行うことができる。
【００５８】
また、本発明にかかるパケット追跡プログラムによれば、上記の発明のいずれか一つに記載された方法をコンピュータに実行させるようにしたので、そのパケット追跡プログラムがコンピュータ読み取り可能となり、これによって、上記の発明のいずれか一つの動作をコンピュータによって実行することができる。
【００５９】
【発明の実施の形態】
以下、図面を参照して本発明にかかるパケット追跡方法およびパケット追跡プログラムの実施の形態１〜７について詳細に説明する。
【００６０】
（実施の形態１）
図１は、本発明にかかる実施の形態１の構成を示すブロック図である。同図には、パケットに含まれる情報を変換する機能を備えるネットワークにおいてもパケット追跡を行うためのパケット追跡システムが図示されている。
【００６１】
ＩＤＳ２００は、グローバルネットワークＡ、ローカルネットワークＢおよび管理用ネットワーク（図示略）に接続されており、監視対象ネットワークに侵入した不正アクセスパケットの検知を行う装置である。
【００６２】
ローカルネットワークＢは、内部ネットワークであり、ローカルＩＰアドレスが適用される。グローバルネットワークＡは、外部ネットワークであり、グローバルＩＰアドレスが適用される。
【００６３】
パケット変換装置５００は、前述したパケット変換装置２１０（図３６参照）と同様の機能を備えており、ＮＡＴやＩＰマスカレードの機能により、通過するパケットのＩＰアドレスや、ポート番号等を変換する装置である。具体的には、パケット変換装置５００は、変換ルール（ＩＰアドレス変換データ）が記述された変換テーブル５０１に基づいて、例えば、グローバルネットワークＡからローカルネットワークＢへ流れるパケット２５０をパケット２５０’に変換する。
【００６４】
追跡マネージャ３００は、追跡マネージャ１０２（図３３参照）と同様の機能を備えており、管理用ネットワーク（図示略）に接続され、パケットプリント装置４００Ａおよび４００Ｂと管理用ネットワークを介して通信する装置である。
【００６５】
パケットプリント装置４００Ａおよび４００Ｂは、タッピングなどの手法を用いてＩＰアドレスなどの論理接続を持たない接続方式（ステルス接続方式）により接続されている。したがって、これらのパケットプリント装置４００Ａおよび４００Ｂは、監視対象ネットワーク内の他の装置から自己の存在を隠すことができる。
【００６６】
また、パケットプリント装置４００Ａおよび４００Ｂは、監視対象ネットワークとは独立に存在する管理用ネットワークにも接続されている。この場合、パケットプリント装置４００Ａおよび４００Ｂは、監視対象ネットワークとの接続（ステルス接続）とは異なり、管理用ネットワークに接続された他の装置から認識可能な接続方式（例えばＩＰ接続方式）で接続されている。
【００６７】
パケットプリント装置４００Ａは、グローバルネットワークＡとパケット変換装置５００との間の接続リンクを監視の対象とし、監視対象ネットワークを通過するパケットのコピーを取り込み、コピーしたパケットを一意に特定するためのパケットプリント（ハッシュ値）を生成するとともに、このパケットプリントを記憶する。
【００６８】
ここで、パケットプリント装置４００Ａは、パケット変換装置５００における処理前のパケット２５０からパケットプリント（ＰＰａ＿１）を生成するとともに、パケット２５０から処理後のパケット２５０’を生成し、このパケット２５０’からパケットプリント（ＰＰｂ＿１）を生成する機能を備えている。パケット２５０には、グローバルＩＰアドレスが含まれている。また、パケット２５０’には、ローカルＩＰアドレスが含まれている。
【００６９】
つまり、パケットプリント装置４００Ａは、パケット変換装置５００のエミュレータとしても機能し、パケット変換装置５００の処理前後の二種類のパケットプリント（ＰＰａ＿１、ＰＰｂ＿１）を生成し、これらを第１のＰＰ格納部４０６Ａおよび第２のＰＰ格納部４０６Ｂにそれぞれ格納する。
【００７０】
一方、パケットプリント装置４００Ｂは、ローカルネットワークＢとパケット変換装置５００との間の接続リンクを監視の対象とし、監視対象ネットワークを通過するパケットのコピーを取り込み、コピーしたパケットを一意に特定するためのパケットプリント（ハッシュ値）を生成するとともに、このパケットプリントを記憶する。
【００７１】
ここで、パケットプリント装置４００Ｂも、パケット変換装置５００における処理後のパケット２５０’からパケットプリント（ＰＰｂ＿１）を生成するとともに、パケット２５０’から処理前のパケット２５０を生成し、このパケット２５０からパケットプリント（ＰＰａ＿１）を生成する機能を備えている。
【００７２】
つまり、パケットプリント装置４００Ｂも、パケットプリント装置４００Ａと同様にして、パケット変換装置５００のエミュレータとしても機能し、パケット変換装置５００の処理前後の二種類のパケットプリント（ＰＰａ＿１、ＰＰｂ＿１）を生成し、これらを第１のＰＰ格納部４０６Ａおよび第２のＰＰ格納部４０６Ｂにそれぞれ格納する。
【００７３】
図２は、図１に示したパケットプリント装置４００（４００Ａ、４００Ｂ）の構成を示すブロック図である。同図において、タッピング装置４０１は、接続する監視対象ネットワークを通過するパケットのコピーを作成する。
【００７４】
プリント制御部４０２は、予め、パケットプリント（ハッシュ値）を生成する方式（ハッシュ関数）を、パケットプリント部４０３に指示しておく。変換テーブル４０４は、図１に示したパケット変換装置５００の変換テーブル５０１と同様のテーブルであり、変換ルール（ＩＰアドレス変換データ）を記述したものである。
【００７５】
パケットプリント装置４００Ａのパケットプリント部４０３は、プリント制御部４０２に指示された方式（ハッシュ関数）で、タッピング装置４０１がコピーしたパケット２５０（図１参照）から第１のＰＰ（ハッシュ値）を生成する。この第１のＰＰは、図１に示したパケットプリント装置４００Ａの第１のＰＰ格納部４０６Ａに格納されるＰＰａ＿１等に対応している。
【００７６】
また、パケットプリント装置４００Ａのパケットプリント部４０３は、変換テーブル４０４を参照して、タッピング装置４０１からのパケット２５０（図１参照）からパケット２５０’を生成し、このパケット２５０’から第２のＰＰを生成する。この第２のＰＰは、図１に示したパケットプリント装置４００Ａの第２のＰＰ格納部４０６Ｂに格納されるＰＰｂ＿１等に対応している。
【００７７】
第１のＰＰ格納部４０６Ａは、第１のＰＰ（ハッシュ値）を格納する。第２のＰＰ格納部４０６Ｂは、第２のＰＰ（ハッシュ値）を格納する。
【００７８】
キャッシュ制御部４０５は、第１のＰＰ格納部４０６Ａおよび第２のＰＰ格納部４０６Ｂに格納されているパケットプリントの量を認識し、パケットプリントが一定量以上であった場合、最も古いパケットプリントを破棄する。
【００７９】
また、パケットプリントが一定量以下であった場合、キャッシュ制御部４０５は、パケットプリントを追加して格納する。このように、キャッシュ制御部４０５は、第１のＰＰ格納部４０６Ａおよび第２のＰＰ格納部４０６Ｂに格納されているパケットプリントが常に一定量以下になるよう制御する。
【００８０】
追跡エージェント部４０７は、管理用ネットワークと接続され、追跡マネージャ３００からの検索要求を受け付け、第１のＰＰ格納部４０６Ａまたは第２のＰＰ格納部４０６Ｂの検索結果を検索応答として追跡マネージャ３００へ返す機能を備えている。
【００８１】
また、パケットプリント装置４００Ｂのパケットプリント部４０３は、プリント制御部４０２に指示された方式（ハッシュ関数）で、タッピング装置４０１がコピーしたパケット２５０’（図１参照）から第２のＰＰ（ハッシュ値）を生成する。この第２のＰＰは、図１に示したパケットプリント装置４００Ｂの第２のＰＰ格納部４０６Ｂに格納されるＰＰｂ＿１等に対応している。
【００８２】
また、パケットプリント装置４００Ｂのパケットプリント部４０３は、変換テーブル４０４を参照して、タッピング装置４０１からのパケット２５０’（図１参照）からパケット２５０を生成し、このパケット２５０から第１のＰＰを生成する。この第１のＰＰは、図１に示したパケットプリント装置４００Ｂの第１のＰＰ格納部４０６Ａに格納されるＰＰａ＿１等に対応している。
【００８３】
つぎに、実施の形態１の動作について、図３および図４を参照しつつ説明する。図３は、図１および図２に示したパケットプリント装置４００（４００Ａ、４００Ｂ）の動作を説明するフローチャートである。図４は、同実施の形態１の動作を説明するシーケンス図である。
【００８４】
図３に示したステップＳＡ１では、パケットプリント装置４００Ａのパケットプリント部４０３（図２参照）は、タッピング装置４０１により監視対象ネットワークを通過するパケットがコピーされたか否かを判断し、この場合、判断結果を「Ｎｏ」として、同判断を繰り返す。
【００８５】
そして、パケットプリント装置４００Ａの監視対象ネットワーク（グローバルネットワークＡ〜パケット変換装置５００の間）をパケット２５０（図１参照）が通過すると、パケットプリント装置４００Ａのタッピング装置４０１により当該パケット２５０がコピーされる。これにより、パケットプリント部４０３は、ステップＳＡ１の判断結果を「Ｙｅｓ」とする。ステップＳＡ２では、パケットプリント部４０３は、タッピング装置４０１よりコピーされたパケット２５０を取得する。
【００８６】
ステップＳＡ３では、パケットプリント部４０３は、パケット２５０からパケットプリントＰＰａ＿１（ハッシュ値）（図１参照）を生成する。ステップＳＡ４では、パケットプリント部４０３は、変換テーブル４０４を参照して、パケット２５０をパケット２５０’に変換する。ステップＳＡ５では、パケットプリント部４０３は、パケット２５０’からパケットプリントＰＰｂ＿１（図１参照）を生成する。
【００８７】
ステップＳＡ６では、キャッシュ制御部４０５は、パケットプリント装置４００Ａの第１のＰＰ格納部４０６Ａおよび第２のＰＰ格納部４０６Ｂに格納されているパケットプリントが一定量以上であるか否かを判断し、この場合、判断結果を「Ｎｏ」とする。ステップＳＡ７では、キャッシュ制御部４０５は、パケットプリント装置４００Ａの第１のＰＰ格納部４０６Ａおよび第２のＰＰ格納部４０６Ｂの最後尾に新しいパケットプリントＰＰａ＿１およびＰＰｂ＿１を格納する。
【００８８】
一方、ステップＳＡ６の判断結果が「Ｙｅｓ」である場合、ステップＳＡ８では、キャッシュ制御部４０５は、パケットプリント装置４００Ａの第１のＰＰ格納部４０６Ａおよび第２のＰＰ格納部４０６Ｂに格納されている最も古いパケットプリントを破棄した後、ステップＳＡ７の処理を実行する。
【００８９】
そして、図１に示したパケット２５０は、監視対象ネットワーク（グローバルネットワークＡ〜パケット変換装置５００の間）を通過した後、パケット変換装置５００で変換テーブル５０１に基づき、パケット２５０’に変換される。
【００９０】
さらに、パケットプリント装置４００Ｂの監視対象ネットワーク（パケット変換装置５００〜ローカルネットワークＢの間）をパケット２５０’（図１参照）が通過すると、パケットプリント装置４００Ｂのタッピング装置４０１により当該パケット２５０’がコピーされる。これにより、パケットプリント部４０３は、ステップＳＡ１の判断結果を「Ｙｅｓ」とする。ステップＳＡ２では、パケットプリント部４０３は、タッピング装置４０１よりコピーされたパケット２５０’を取得する。
【００９１】
ステップＳＡ３では、パケットプリント部４０３は、パケット２５０’からパケットプリントＰＰｂ＿１（ハッシュ値）（図１参照）を生成する。ステップＳＡ４では、パケットプリント部４０３は、変換テーブル４０４を参照して、パケット２５０’をパケット２５０に変換する。ステップＳＡ５では、パケットプリント部４０３は、パケット２５０からパケットプリントＰＰａ＿１（図１参照）を生成する。
【００９２】
ステップＳＡ６では、キャッシュ制御部４０５は、パケットプリント装置４００Ｂの第１のＰＰ格納部４０６Ａおよび第２のＰＰ格納部４０６Ｂに格納されているパケットプリントが一定量以上であるか否かを判断し、この場合、判断結果を「Ｎｏ」とする。
【００９３】
ステップＳＡ７では、キャッシュ制御部４０５は、パケットプリント装置４００Ｂの第１のＰＰ格納部４０６Ａおよび第２のＰＰ格納部４０６Ｂの最後尾に新しいパケットプリントＰＰａ＿１およびＰＰｂ＿１を格納する。以後、パケットが通過する毎にパケットプリント装置４００Ａおよび４００Ｂで二種類のパケットプリントが生成された後、格納される。
【００９４】
そして、図４に示したステップＳＢ１で、ＩＤＳ２００により、ローカルネットワークＢ内で不正アクセスパケットが検知されると、ステップＳＢ２では、ＩＤＳ２００は、検知位置情報および不正アクセスパケットを追跡マネージャ３００へ送信する。ここで、不正アクセスパケットは、図１に示したパケット２５０’であるものとする。また、検知位置情報は、当該不正アクセスパケットの検知位置（パケット変換装置５００の前または後）を表す情報である。この場合の検知位置は、パケット変換装置５００の後である。
【００９５】
ステップＳＢ３では、追跡マネージャ３００は、不正アクセスパケット（パケット２５０’）からパケットプリント（ハッシュ値）を算出する。ステップＳＢ４では、追跡マネージャ３００は、パケットプリント装置４００Ａおよび４００Ｂの中から、検索要求先のパケットプリント装置として、ＩＤＳ２００に最も近い、例えば、パケットプリント装置４００Ｂを選択する。
【００９６】
ステップＳＢ５では、追跡マネージャ３００は、パケットプリント装置４００Ｂの位置を確認した後、管理用ネットワークを介して、不正アクセスパケット（パケット２５０’）のパケットプリントおよび検出位置情報を含む検索要求を送信する。すなわち、追跡マネージャ３００は、不正パケットを検出したＩＤＳ２００に最も近いパケットプリント装置から順番に追跡処理（検索要求の送信処理）を実行する。
【００９７】
ステップＳＢ６では、パケットプリント装置４００Ｂの追跡エージェント部４０７（図２参照）は、追跡マネージャ３００からの検索要求を受け付け、検出位置情報に基づき、検索先として、第１のＰＰ格納部４０６Ａ、第２のＰＰ格納部４０６Ｂから一つを選択する。
【００９８】
ここで、検出位置情報がパケット変換装置５００の後である場合には、パケット２５０’に対応する第２のＰＰ格納部４０６Ｂが選択される。一方、検出位置情報がパケット変換装置５００の前である場合には、パケット２５０に対応する第１のＰＰ格納部４０６Ａが選択される。
【００９９】
この場合、追跡エージェント部４０７は、第２のＰＰ格納部４０６Ｂを選択する。ステップＳＢ７では、追跡エージェント部４０７は、追跡マネージャ３００からのパケットプリントをキーとして、第２のＰＰ格納部４０６Ｂを検索する。この場合、検索結果がヒットであるものとする。ステップＳＢ８では、追跡エージェント部４０７は、検索結果（検索結果＝ヒット）を追跡マネージャ３００へ通知する。
【０１００】
ステップＳＢ９では、追跡マネージャ３００は、検索結果より当該不正アクセスパケットの通過ルートを判定する。ステップＳＢ１０では、追跡マネージャ３００は、ステップＳＢ９の判定に基づいて、検索継続が必要であるか否かを判断する。この場合、追跡マネージャ３００は、検索継続の必要があるとし、判断結果を「Ｙｅｓ」とする。
【０１０１】
ステップＳＢ４では、追跡マネージャ３００は、つぎの検索要求先のパケットプリント装置として、例えば、パケットプリント装置４００Ａを選択する。以後、前述した動作が繰り返される。そして、ステップＳＢ１０の判断結果が「Ｎｏ」になると、ステップＳＢ１１では、パケットの追跡が終了される。
【０１０２】
以上説明したように、実施の形態１によれば、監視対象ネットワークを流れるパケットについて、パケット変換装置５００における書き換え前のパケット２５０を特定するためのＰＰａ＿１（第１のパケット特定情報）と、書き換え後のパケット２５０’を特定するためのＰＰｂ＿１（第２のパケット特定情報）とを生成し、第１のＰＰ格納部４０６Ａおよび第２のＰＰ格納部４０６Ｂに格納し、追跡マネージャ３００からの検索要求を受けて、第１のＰＰ格納部４０６Ａまたは第２のＰＰ格納部４０６Ｂを検索し、検索結果を追跡マネージャ３００へ送信することとしたので、パケットに含まれる情報が書き換えられるネットワークにおいてもパケット追跡を行うことができる。
【０１０３】
（実施の形態２）
さて、前述した実施の形態１においては、パケットプリント装置側でパケット変換装置５００の変換前後のパケットに対応する二種類のパケットプリントを生成する例について説明したが、パケットプリント装置に代えて、追跡マネージャ側で二種類のパケットプリントを生成するように構成してもよい。以下では、この構成例を実施の形態２として説明する。
【０１０４】
図５は、本発明にかかる実施の形態２の構成を示すブロック図である。この図において、図１の各部に対応する部分には同一の符号を付ける。図５においては、図１に示した追跡マネージャ３００、パケットプリント装置４００Ａおよび４００Ｂに代えて、追跡マネージャ３１０、パケットプリント装置４１０Ａおよび４１０Ｂが設けられている。
【０１０５】
追跡マネージャ３１０は、追跡マネージャ１０２（図３３参照）と同様の機能を備えており、管理用ネットワーク（図示略）に接続され、パケットプリント装置４１０Ａおよび４１０Ｂと管理用ネットワークを介して通信する装置である。また、追跡マネージャ３１０は、ＩＤＳ２００から渡された不正アクセスパケットに基づいて、パケット変換装置５００の変換前後の二種類のパケットプリントを生成する。
【０１０６】
図６は、追跡マネージャ３１０の機能構成を示すブロック図である。この図において、図３５の各部に対応する部分には同一の符号を付ける。同図において、警報受信部１２１は、ＩＤＳ２００から不正アクセスパケットに対する警報を受信し、パケット受信部１２２は、ＩＤＳ２００から不正アクセスパケットを受信する。プリント制御部３１１は、あらかじめ、ハッシュ値を生成する方式（ハッシュ関数）を、パケットプリント部３１２に指示しておく。
【０１０７】
パケットプリント部３１２は、プリント制御部３１１に指示された方式（ハッシュ関数）で、パケット受信部１２２からのパケットから第１のＰＰ（ハッシュ値）を生成する。また、パケットプリント部３１２は、変換テーブル３１３を参照して、パケット受信部１２２からのパケットから、変換後のパケットを生成し、このパケットから第２のＰＰを生成する。変換テーブル３１３は、図５に示した変換テーブル５０１と同一である。
【０１０８】
追跡要求部３１４は、パケットプリント部３１２で生成された二種類のパケットプリント（ハッシュ値）のうちいずれか一方を含む検索要求をパケットプリント装置４１０Ａ、４１０Ｂに送信するとともに、パケットプリント装置４１０Ａ、４１０Ｂからの検索結果を受信する。
【０１０９】
これらのパケットプリント装置４１０Ａ、４１０Ｂから送信された検索結果と、監視対象ネットワークおよび管理用ネットワークの構成を記憶する構成情報格納部１２６とに基づいて、通過ルート作成部１２７がパケットの通過経路を作成する。
【０１１０】
図５に戻り、パケットプリント装置４１０Ａは、パケットプリント装置１０１（図３４参照）と同一構成とされており、グローバルネットワークＡとパケット変換装置５００との間の接続リンクを監視の対象としている。
【０１１１】
すなわち、パケットプリント装置４１０Ａは、監視対象ネットワークを通過するパケット２５０のコピーを取り込み、コピーしたパケット２５０を一意に特定するためのパケットプリントＰＰａ＿１等（ハッシュ値）を生成するとともに、このパケットプリントＰＰａ＿１等（ハッシュ値）をＰＰ格納部４１６に格納する。
【０１１２】
一方、パケットプリント装置４１０Ｂも、パケットプリント装置１０１（図３４参照）と同一構成とされており、パケット変換装置５００とローカルネットワークＢとの間の接続リンクを監視の対象としている。
【０１１３】
すなわち、パケットプリント装置４１０Ｂは、監視対象ネットワークを通過するパケット２５０’のコピーを取り込み、コピーしたパケット２５０’を一意に特定するためのパケットプリントＰＰｂ＿１等（ハッシュ値）を生成するとともに、このパケットプリントＰＰｂ＿１等（ハッシュ値）をＰＰ格納部４１６に格納する。
【０１１４】
つぎに、実施の形態２の動作について、図７に示したシーケンス図を参照しつつ説明する。同図に示したステップＳＣ１で、ＩＤＳ２００により、ローカルネットワークＢ内で不正アクセスパケットが検知されると、ステップＳＣ２では、ＩＤＳ２００は、検知位置情報および不正アクセスパケットを追跡マネージャ３１０へ送信する。
【０１１５】
ここで、不正アクセスパケットは、図５に示したパケット２５０’であるものとする。また、検知位置情報は、当該不正アクセスパケットの検知位置（パケット変換装置５００の前または後）を表す情報である。この場合の検知位置は、パケット変換装置５００の後である。
【０１１６】
ステップＳＣ３では、追跡マネージャ３１０のパケットプリント部３１２（図６参照）は、不正アクセスパケット（パケット２５０’）からパケットプリントＰＰｂ＿１（ハッシュ値）を生成する。ステップＳＣ４では、パケットプリント部３１２は、変換テーブル３１３を参照して、不正アクセスパケット（パケット２５０’）をパケット２５０に変換する。
【０１１７】
ステップＳＣ５では、パケットプリント部３１２は、パケット２５０からパケットプリントＰＰａ＿１（ハッシュ値）を生成する。ステップＳＣ６では、追跡マネージャ３１０は、パケットプリント装置４１０Ａおよび４１０Ｂの中から、検索要求先のパケットプリント装置として、例えば、パケットプリント装置４１０Ｂを選択する。
【０１１８】
ステップＳＣ７では、追跡マネージャ３１０の追跡要求部３１４は、パケットプリント装置４１０Ｂの位置を確認した後、管理用ネットワークを介して、パケットプリントＰＰａ＿１またはＰＰｂ＿１をパケットプリント装置４１０Ｂへ送信する。
【０１１９】
ここで、検出位置情報がパケット変換装置５００の前である場合には、パケット２５０に対応するパケットプリントＰＰａ＿１が追跡要求部３１４により選択された後、パケットプリント装置４１０Ｂへ送信される。
【０１２０】
一方、検出位置情報がパケット変換装置５００の後である場合には、パケット２５０’に対応するパケットプリントＰＰｂ＿１が追跡要求部３１４により選択された後、パケットプリント装置４１０Ｂへ送信される。この場合には、パケット２５０’に対応するパケットプリントＰＰｂ＿１が送信される。
【０１２１】
ステップＳＣ８では、パケットプリント装置４１０Ｂは、追跡マネージャ３１０からのパケットプリントＰＰｂ＿１をキーとして、ＰＰ格納部４１６を検索する。この場合、検索結果がヒットであるものとする。ステップＳＣ９では、パケットプリント装置４１０Ｂは、検索結果（検索結果＝ヒット）を追跡マネージャ３１０へ通知する。
【０１２２】
ステップＳＣ１０では、追跡マネージャ３１０の追跡要求部３１４は、検索結果より当該不正アクセスパケットの通過ルートを判定する。ステップＳＣ１１では、追跡マネージャ３１０は、ステップＳＣ１０の判定に基づいて、検索継続が必要であるか否かを判断する。この場合、追跡マネージャ３１０は、検索継続の必要があるとし、判断結果を「Ｙｅｓ」とする。
【０１２３】
ステップＳＣ６では、追跡マネージャ３１０は、つぎの検索要求先のパケットプリント装置として、例えば、パケットプリント装置４１０Ａを選択する。以後、前述した動作が繰り返される。そして、ステップＳＣ１１の判断結果が「Ｎｏ」になると、ステップＳＣ１２では、パケットの追跡が終了される。
【０１２４】
以上説明したように、実施の形態２によれば、追跡マネージャ３１０でパケット変換装置５００における書き換え前の追跡対象パケットを特定するためのＰＰａ＿１（第１の追跡対象パケット特定情報）と、書き換え後の追跡対象パケットを特定するためのＰＰｂ＿１（第２の追跡対象パケット特定情報）とを生成し、追跡対象パケットの検出位置に基づいて、ＰＰａ＿１またはＰＰｂ＿１をパケットプリント装置４１０Ａやパケットプリント装置４１０Ｂへ通知し、パケット特定情報の検索を依頼することとしたので、パケットに含まれる情報が書き換えられるネットワークにおいてもパケット追跡を行うことができる。
【０１２５】
（実施の形態３）
図８は、本発明にかかる実施の形態３の構成を示すブロック図である。実施の形態３では、パケット変換装置５００の前後のパケットを同定する方法について説明する。
【０１２６】
同図において、パケットプリント装置４２０Ａは、グローバルネットワークＡとパケット変換装置５００との間の接続リンクを監視の対象とし、監視対象ネットワークを通過するパケット２５０のコピーを取り込む。
【０１２７】
また、パケットプリント装置４２０Ａは、コピーしたパケット２５０からＰＰ（ハッシュ値）を生成・格納するとともに、該パケット２５０のうちパケット変換装置５００の変換前後で変化する情報をマスクした状態で共通ＰＰを生成・格納する。さらに、パケットプリント装置４２０Ａは、ＰＰと共通ＰＰとの対応関係を表す対応テーブル４２１Ａを格納する。
【０１２８】
一方、パケットプリント装置４２０Ｂは、パケット変換装置５００とローカルネットワークＢとの間の接続リンクを監視の対象とし、監視対象ネットワークを通過するパケット２５０’のコピーを取り込む。
【０１２９】
また、パケットプリント装置４２０Ｂは、コピーしたパケット２５０’からＰＰ’（ハッシュ値）を生成・格納するとともに、該パケット２５０’のうちパケット変換装置５００の変換前後で変化する情報をマスクした状態で共通ＰＰ’を生成・格納する。さらに、パケットプリント装置４２０Ｂは、ＰＰ’と共通ＰＰ’との対応関係を表す対応テーブル４２１Ｂを格納する。
【０１３０】
このように、実施の形態３においては、変化する情報をマスクすることにより、共通ＰＰと共通ＰＰ’とが同一の値となるため、パケット変換装置５００の前後におけるパケットの同定が可能となる。
【０１３１】
図９は、図８に示した共通ＰＰおよび共通ＰＰ’を生成する場合のパケット２５０（２５０’）のマスク箇所を表す図である。同図において、網掛け部分がパケット変換装置５００の前後で変換する情報でありマスクされる。
【０１３２】
なお、実施の形態３においては、パケットが流れる方向によって、マスク箇所を変えてもよい。図１０は、グローバルネットワークＡ（外側）からローカルネットワークＢ（内側）へパケットが流れる場合のマスク箇所を表す図である。同図の例では、主として発信先ＩＰアドレスおよび発信先ポートがマスクされる。
【０１３３】
図１１は、ローカルネットワークＢ（内側）からグローバルネットワークＡ（外側）へパケットが流れる場合のマスク箇所を表す図である。同図の例では、主として発信元ＩＰアドレスおよび発信元ポートがマスクされる。
【０１３４】
また、パケット通信に用いられるプロトコルのうち、一部のプロトコル（ＦＴＰ（File Transfer Protocol）、ＩＣＭＰ（Internet Control Message Protocol ）、ＳＮＭＰ（Simple Network Management Protocol））においては、パケットのペイロードにもＩＰアドレスが記述され、パケット変換装置５００で書き換えられる場合がある。
【０１３５】
そこで、実施の形態３においては、図１２に示したように、パケット変換装置５００によって書き換えられるＩＰアドレスを含むペイロードをマスク箇所としてもよい。
【０１３６】
さて、図８に示した例では、パケットプリント装置４２０Ａとパケットプリント装置４２０Ｂとの間におけるパケットの同定時に、共通ＰＰおよび共通ＰＰ’とを比較し、一致する場合にパケットを同定しているが、共通ＰＰや共通ＰＰ’の値の衝突が発生し、一意に同定できない場合がある。
【０１３７】
例えば、パケットプリント装置４２０Ａ側の一つの共通ＰＰに対して、パケットプリント装置４２０Ｂ側で同値の複数の共通ＰＰ’が存在する場合に、上記衝突が発生する。
【０１３８】
そこで、実施の形態３においては、同定精度を高めるため、図１３に示したように、パケットプリント装置４２０Ａ側で、パケットプリントを生成する前のパケット２５０から補足情報（識別子、ＴＴＬ、ＴＯＳ、パケット長、シーケンスＩＤ、Ｔｉｍｅ（ＵＴＣ））を取得しておき、ＰＰ、共通ＰＰおよび補足情報を対応テーブル４２２Ａとして格納しておいてもよい。ここで、補足情報は、マスクによってＰＰに反映されない情報である。
【０１３９】
同様にして、パケットプリント装置４２０Ｂ側でも、パケットプリントを生成する前のパケット２５０’から補足情報（識別子、ＴＴＬ、ＴＯＳ、パケット長、シーケンスＩＤ、Ｔｉｍｅ（ＵＴＣ））を取得しておき、ＰＰ’、共通ＰＰ’および補足情報を対応テーブル４２２Ｂとして格納しておいてもよい。
【０１４０】
このように構成することにより、パケットプリント装置４２０Ａ側の一つの共通ＰＰに対して、パケットプリント装置４２０Ｂ側で同値の複数の共通ＰＰ’が存在（衝突発生）する場合であっても、補足情報同士を比較することにより、パケットの同定が可能となる。
【０１４１】
また、実施の形態３においては、ペイロードにデータを持たないパケットの場合、共通ＰＰと共通ＰＰ’との間で上述した衝突が発生する可能性が高い。ここで、図８に示したパケットプリント装置４２０Ａとパケットプリント装置４２０Ｂとの間で完全に時刻同期をとり、時刻に基づいてパケットを同定することも考えられるが、時刻同期を完全にとることが困難であり、実現が難しい。
【０１４２】
そこで、実施の形態３においては、図１４に示したように、バリアパケットを発生させるバリアパケット発生装置５００Ａおよび５００Ｂを設けて、パケットの同定精度を高めるようにしてもよい。
【０１４３】
バリアパケット発生装置５００Ａは、グローバルネットワークＡとパケット変換装置５００との間に設けられており、グローバルネットワークＡからローカルネットワークＢ（外側から内側）へバリアパケット（同図では、バリアパケット５１０（ｏｕｔ））を発生させるとともに、送出する。
【０１４４】
このバリアパケット（ｏｕｔ）には、識別用のバリアＮｏ（ｏｕｔ）が付与されている。例えば、バリアパケット５１０には、バリアＮｏ（ｏｕｔ）として１６８４６３が付与されている。このバリアパケット５１０は、通常のパケットと同様にして、パケット変換装置５００によりバリアパケット５１０’に変換される。
【０１４５】
一方、バリアパケット発生装置５００Ｂは、パケット変換装置５００とローカルネットワークＢとの間に設けられており、ローカルネットワークＢからグローバルネットワークＡ（内側から外側）へバリアパケット（同図では、バリアパケット５２０（ｉｎ））を発生させるとともに、送出する。
【０１４６】
このバリアパケット（ｉｎ）には、識別用のバリアＮｏ（ｉｎ）が付与されている。例えば、バリアパケット５２０には、バリアＮｏ（ｉｎ）として３４８５８６が付与されている。このバリアパケット５２０も、通常のパケットと同様にして、パケット変換装置５００により、バリアパケット５２０’に変換される。
【０１４７】
パケットプリント装置４２０Ａは、バリアパケット５１０（ｏｕｔ）から、通常のパケットと同様にして、ＰＰと共通ＰＰとを生成し、これらとバリアＮｏ（ｏｕｔ）とを対応テーブル４２３Ａに格納する。また、パケットプリント装置４２０Ａは、バリアパケット５２０’（ｉｎ）から、通常のパケットと同様にして、ＰＰと共通ＰＰとを生成し、これらとバリアＮｏ（ｉｎ）とを対応テーブル４２３Ａに格納する。
【０１４８】
なお、パケットプリント装置４２０Ａは、通常のパケットについても、前述した動作（図８参照）と同様にして、ＰＰおよび共通ＰＰとを生成し、これらを対応テーブル４２３Ａに格納する。
【０１４９】
一方、パケットプリント装置４２０Ｂも、バリアパケット５１０’（ｏｕｔ）から、通常のパケットと同様にして、ＰＰ’と共通ＰＰ’とを生成し、これらとバリアＮｏ（ｏｕｔ）とを対応テーブル４２３Ｂに格納する。また、パケットプリント装置４２０Ｂは、バリアパケット５２０（ｉｎ）から、通常のパケットと同様にして、ＰＰ’と共通ＰＰ’とを生成し、これらとバリアＮｏ（ｉｎ）とを対応テーブル４２３Ｂに格納する。
【０１５０】
なお、パケットプリント装置４２０Ｂは、通常のパケットについても、前述した動作（図８参照）と同様にして、ＰＰ’および共通ＰＰ’とを生成し、これらを対応テーブル４２３Ｂに格納する。
【０１５１】
上記構成において、例えば、パケットプリント装置４２０Ａ側の一つの共通ＰＰに対して、パケットプリント装置４２０Ｂ側で同値の複数の共通ＰＰ’が存在（衝突発生）する場合には、対応テーブル４２３Ａ側における当該共通ＰＰ（図示略）を挟む前後の二つのバリアＮｏ（同図では、168463、168464）と、対応テーブル４２３ＢのバリアＮｏとを比較することにより、パケットの同定が可能となる。
【０１５２】
つまり、対応テーブル４２３Ａ側の二つのバリアＮｏ（同図では、168463、168464）と同一の二つのバリアＮｏが対応テーブル４２３Ｂに存在する場合、対応テーブル４２３Ｂの二つのバリアＮｏに挟まれた共通ＰＰ’と、これに対応する対応テーブル４２３Ａの共通ＰＰとが同一であることがわかる。
【０１５３】
図１５は、図１４に示したバリアパケットを用いたパケット追跡を説明するブロック図である。この図において、図１および図１４の各部に対応する部分には同一の符号を付ける。図１５において、パケットプリント装置４２０Ｃは、ローカルネットワークＢとローカルネットワークＣとの間を流れるパケットからＰＰを生成し、これをＰＰ格納部４２１Ｃに格納する。
【０１５４】
上記構成において、ＩＤＳ２００により不正アクセスパケットが検出されると、追跡マネージャ３００は、パケットプリント装置４２０Ａに対して、通常のＰＰ１を問い合わせる（▲１▼）。この場合、対応テーブル４２３ＡからＰＰ１が見つかったとすると、追跡マネージャ３００は、ＰＰ１に対応する共通ＰＰを取得する（▲２▼）。
【０１５５】
つぎに、追跡マネージャ３００は、パケットプリント装置４２０Ｂに対して共通ＰＰを問い合わせた後（▲３▼）、共通ＰＰに対応するＰＰ２を取得する（▲４▼）。つぎに、追跡マネージャ３００は、パケットプリント装置４２０Ｃに対して、ＰＰ２を問い合わせた後（▲５▼）、パケットプリント装置４２０ＣからＰＰ２が見つかったことの通知を受ける（▲６▼）。
【０１５６】
図１６は、実施の形態３において追跡マネージャを高機能化した場合の具体例を説明するブロック図である。同図に示した構成例では、追跡マネージャ３２０は、不正アクセスパケットの検出位置に基づいて、問い合わせ先のパケットプリント装置、パケットプリントタイプ（通常パケットプリント（ＰＰ）、共通パケットプリント（共通ＰＰ））、問い合わせ順序等を判別する機能を備えている。
【０１５７】
また、追跡マネージャ３２０には、図１７（ａ）に示したような対応表３２１が設けられている。この対応表３２１は、図１７（ｂ）に示したパケットプリント装置（ＰＰ１〜ＰＰ１０）、ルータ（Ｒ）、パケット変換装置（ＮＡＴ１、ＮＡＴ２）の構成図３２１ａに対応している。なお、構成図３２１ａおよび対応表３２１は、例示である図１６と異なるが、実際には、対応表３２１は、図１６に対応する情報が格納されている。
【０１５８】
対応表３２１には、パケットプリント装置番号、隣接パケットプリント装置番号、パケットプリントタイプの情報が格納されている。隣接パケットプリント装置番号は、パケットプリント装置番号のパケット装置に隣接するパケット装置に対応するパケットプリント装置番号である。パケットプリントタイプは、パケットプリントのタイプ（通常または共通）である。
【０１５９】
図１６に示した追跡マネージャ３２０は、対応表３２１に基づいて、パケット追跡を行う。すなわち、ＩＤＳ２００により不正アクセスパケットが検出されると、追跡マネージャ３２０は、パケットプリント装置４２０Ａに対して、通常のＰＰ１を問い合わせる（▲１▼）。この場合、ＰＰ１が見つかったとすると、追跡マネージャ３２０は、ＰＰ１に対応する共通ＰＰを取得する（▲２▼）。
【０１６０】
つぎに、追跡マネージャ３２０は、パケットプリント装置４２０Ｂに対して共通ＰＰを問い合わせた後（▲３▼）、共通ＰＰに対応するＰＰ２を取得する（▲４▼）。つぎに、追跡マネージャ３２０は、パケットプリント装置４２０Ｃに対して、ＰＰ２を問い合わせた後（▲５▼）、パケットプリント装置４２０ＣからＰＰ２が見つかったことの通知を受ける（▲６▼）。
【０１６１】
以上説明したように、実施の形態３によれば、ネットワークを流れるパケットについて、パケット変換装置５００における書き換えで変化する情報がマスクされたパケットを特定し該パケット変換装置５００の前後で共通な内容の共通ＰＰ（共通パケット特定情報）と、マスク前のパケットを特定するためのＰＰ（通常パケット特定情報）とを生成、格納し、検索要求を受けて、共通ＰＰおよびＰＰに基づいて、パケット変換装置５００の前後におけるパケットを同定することとしたので、パケットに含まれる情報が書き換えられるネットワークにおいてもパケット追跡を行うことができる。
【０１６２】
また、実施の形態３によれば、ネットワークを流れるパケットの方向に対応させて、マスクする情報を変化させ共通ＰＰを生成することとしたので、パケットの方向に応じてパケットの追跡を行うことができる。
【０１６３】
また、実施の形態３によれば、図１４に示したように、ネットワークに送出されるバリアパケットの情報を格納し、共通ＰＰおよびＰＰでパケットの同定ができない場合、バリアパケットの情報に基づいて、該パケットの同定を行うこととしたので、パケットの同定精度を高めることができる。
【０１６４】
また、実施の形態３によれば、追跡マネージャが主導でパケットに含まれる情報が書き換えられるネットワークにおいてもパケット追跡を行うことができる。
【０１６５】
（実施の形態４）
さて、前述した実施の形態３（図１６参照）においては、追跡マネージャを高機能化した例について説明したが、パケットプリント装置を高機能化してもよい。以下では、この構成例を実施の形態４として説明する。
【０１６６】
図１８は、本発明にかかる実施の形態４の構成を示すブロック図である。この図において、図１の各部に対応する部分には同一の符号を付ける。図１８において、追跡マネージャ３３０は、追跡マネージャ３００（図１参照）と同一の機能を備えている。
【０１６７】
パケットプリント装置４３０Ａは、グローバルネットワークＡを流れるパケットを監視対象とし、実施の形態１〜３と同様にしてパケットプリントを生成、格納する。パケットプリント装置４３０Ｂは、グローバルネットワークＡとパケット変換装置５００との間を流れるパケット（同図では、パケット２５０）を監視対象とし、パケットプリントを生成、格納する。
【０１６８】
パケットプリント装置４３０Ｃは、パケット変換装置５００とローカルネットワークＢとの間を流れるパケット（同図では、パケット２５０’）を監視対象とし、パケットプリントを生成、格納する。パケットプリント装置４３０Ｄは、ローカルネットワークＢを流れるパケットを監視対象とし、パケットプリントを生成、格納する。
【０１６９】
また、パケットプリント装置４３０Ａ、４３０Ｂ、４３０Ｃおよび４３０Ｄは、上述した高機能化を実現するための対応テーブルに基づいて、自装置の設置場所、追跡対象パケットの追跡経路、パケット変換の有無、問い合わせ先等について判断する。
【０１７０】
図１９（ａ）、（ｂ）、（ｃ）および（ｄ）は、対応テーブル４３１Ａ、４３１Ｂ、４３１Ｃおよび４３１Ｄを示す図である。これらの対応テーブル４３１Ａ、４３１Ｂ、４３１Ｃおよび４３１Ｄは、パケットプリント装置４３０Ａ、４３０Ｂ、４３０Ｃおよび４３０Ｄで用いられる。
【０１７１】
これらの対応テーブル４３１Ａ、４３１Ｂ、４３１Ｃおよび４３１Ｄは、パケットプリント装置番号、追跡開始パケットプリント装置番号、パケット変換装置有無、変換処理前のパケットプリントに関する問い合わせ先パケットプリント装置の情報を格納している。
【０１７２】
上記構成において、ＩＤＳ２００により不正アクセスパケットとしてパケット２５０が検出されると、追跡マネージャ３３０は、パケット２５０からパケットプリントＰＰａ＿１を作成し、パケットプリント装置４３０Ａ〜４３０Ｄに一斉にパケットプリントＰＰａ＿１の有無を問い合わせる（▲１▼〜▲４▼）。これにより、パケットプリント装置４３０Ａ〜４３０Ｄは、追跡マネージャ３３０の問い合わせ内容を各対応テーブルに基づいて、適切に解釈し、応答する。
【０１７３】
図２０は、上述した実施の形態４（パケットプリント装置の高機能化）に実施の形態１を適用した構成例を示すブロック図である。同図において、図１８の各部に対応する部分には同一の符号を付ける。
【０１７４】
図２０においては、図１８に示したパケットプリント装置４３０Ａ〜４３０Ｄに代えて、パケットプリント装置４００Ａ〜４００Ｄが設けられている。これらのパケットプリント装置４００Ａ〜４００Ｄは、実施の形態１で説明した図２に示したパケットプリント装置４００と同一構成とされている。また、パケットプリント装置４００Ａ〜４００Ｄのそれぞれには、上述した対応テーブル（図１９参照）と同様の対応テーブルがそれぞれ格納されている。
【０１７５】
上記構成において、ＩＤＳ２００により不正アクセスパケットとしてパケット２５０が検出されると、追跡マネージャ３３０は、パケット２５０からパケットプリントＰＰａ＿１を作成し、パケットプリント装置４００Ａ〜４００Ｄに一斉にパケットプリントＰＰａ＿１の有無を問い合わせる（▲１▼〜▲４▼）。これにより、パケットプリント装置４００Ａ〜４００Ｄは、追跡マネージャ３３０の問い合わせ内容を各対応テーブルに基づいて、適切に解釈し、応答する。
【０１７６】
図２１は、上述した実施の形態４（パケットプリント装置の高機能化）に実施の形態３を適用した構成例を示すブロック図である。同図において、図１８の各部に対応する部分には同一の符号を付ける。
【０１７７】
図２１においては、図１８に示したパケットプリント装置４３０Ａ〜４３０Ｄに代えて、パケットプリント装置４２０Ａおよび４２０Ｂが設けられている。これらのパケットプリント装置４２０Ａおよび４２０Ｂは、実施の形態３で説明した図８に示したパケットプリント装置４２０Ａおよび４２０Ｂと同一構成とされている。
【０１７８】
同図において、パケットプリント装置４２０Ａの対応テーブル４２１Ａには、ＰＰ（同図では、ＰＰａ＿１等）および共通ＰＰ（同図では、Commonkey1等）が格納されている。
【０１７９】
一方、パケットプリント装置４２０Ｂの対応テーブル４２１Ｂにも、ＰＰ（同図では、ＰＰｂ＿１等）および共通ＰＰ（同図では、Commonkey1等）が格納されている。
【０１８０】
上記構成において、ＩＤＳ２００により不正アクセスパケットとしてパケット２５０が検出されると、追跡マネージャ３３０は、パケット２５０からパケットプリントＰＰａ＿１を作成し、パケットプリント装置４２０ＡにパケットプリントＰＰａ＿１の有無を問い合わせる（▲１▼）。
【０１８１】
これにより、パケットプリント装置４２０Ａは、追跡マネージャ３３０の問い合わせ内容を対応テーブル（図１９参照）に基づいて、適切に解釈し、応答する。すなわち、パケットプリント装置４２０Ａは、対応テーブル４２１Ａから事前に他のパケットプリント装置を問い合わせる必要がないことを判断し、ＰＰａ＿１を検索し（▲２▼）、ＰＰａ＿１を見つける（▲３▼）。つぎに、パケットプリント装置４２０Ａは、検索結果（ＰＰａ＿１）を通知する。
【０１８２】
また、追跡マネージャ３３０は、パケットプリント装置４２０ＢにもパケットプリントＰＰａ＿１の有無を問い合わせる（▲１▼’）。
【０１８３】
これにより、パケットプリント装置４２０Ｂは、追跡マネージャ３３０の問い合わせ内容を対応テーブル（図１９参照）に基づいて、適切に解釈し、応答する。すなわち、パケットプリント装置４２０Ｂは、対応テーブル４２１ＢからＰＰａ＿１を検索する（▲２▼’）。
【０１８４】
この場合、パケットプリント装置４２０Ｂは、パケット変換装置５００の外側に位置する追跡マネージャ３３０からのパケットプリント装置４２０Ａを起点とした検索要求であると判断する。また、パケットプリント装置４２０Ｂは、対応テーブル４２１ＢにＰＰａ＿１が存在しないため、対応テーブル（図１９参照）に基づいて、まず、対応テーブル４２１ＡからＰＰａ＿１を検索し（▲３▼’）、ＰＰａ＿１および対応するCommonKey1（共通ＰＰ）を見つける（▲４▼’）。
【０１８５】
つぎに、パケットプリント装置４２０Ｂは、対応テーブル４２１ＡからのCommonKey1（共通ＰＰ）をキーとして、対応テーブル４２１Ｂを検索し（▲５▼’）、CommonKey1（共通ＰＰ）を見つける（▲６▼’）。そして、パケットプリント装置４２０Ｂは、検索結果（ＰＰａ＿１）を通知する（▲７▼’）。
【０１８６】
また、実施の形態４においては、図２２に示したように、図２１に示した内側のパケットプリント装置４２０Ｂを複数台の構成としてもよい。図２２においては、図２１に示したパケットプリント装置４２０Ｂに代えて３台のパケットプリント装置４２０Ｂ1 〜４２０Ｂ3 が設けられている。
【０１８７】
これらのパケットプリント装置４２０Ｂ1 〜４２０Ｂ3 は、パケットプリント装置４２０Ｂと同一構成とされており、対応テーブル４２１Ｂ1 〜４２１Ｂ3 をそれぞれ備えている。
【０１８８】
上記構成において、ＩＤＳ２００により不正アクセスパケットとしてパケット２５０が検出されると、追跡マネージャ３３０は、パケット２５０からパケットプリントＰＰａ＿１を作成し、パケットプリント装置４２０ＡにパケットプリントＰＰａ＿１の有無を問い合わせる（▲１▼）。
【０１８９】
これにより、パケットプリント装置４２０Ａは、追跡マネージャ３３０の問い合わせ内容を対応テーブル（図１９参照）に基づいて、適切に解釈し、応答する。すなわち、パケットプリント装置４２０Ａは、対応テーブル４２１ＡからＰＰａ＿１を検索し、ＰＰａ＿１を見つける（▲２▼）。つぎに、パケットプリント装置４２０Ａは、検索結果（ＰＰａ＿１）を通知する（▲２▼’）。
【０１９０】
また、追跡マネージャ３３０は、パケットプリント装置４２０Ｂ1 にもパケットプリントＰＰａ＿１の有無を問い合わせる（▲３▼）。これにより、パケットプリント装置４２０Ｂ1 は、追跡マネージャ３３０の問い合わせ内容を対応テーブル（図１９参照）に基づいて、適切に解釈し、応答する。すなわち、パケットプリント装置４２０Ｂ1 は、対応テーブル４２１Ｂ1 からＰＰａ＿１を検索する（▲４▼）。
【０１９１】
この場合、パケットプリント装置４２０Ｂ1 は、パケット変換装置５００の外側に位置する追跡マネージャ３３０からのパケットプリント装置４２０Ａを起点とした検索要求であると判断する。また、パケットプリント装置４２０Ｂ1 は、対応テーブル４２１Ｂ1 にＰＰａ＿１が存在しないため、対応テーブル（図１９参照）に基づいて、まず、対応テーブル４２１ＡからＰＰａ＿１を検索する（▲５▼）。
【０１９２】
そして、パケットプリント装置４２０Ｂ1 と同様にして、追跡マネージャ３３０は、パケットプリント装置４２０Ｂ2 および４２０Ｂ3 に対しても、パケットプリントＰＰａ＿１の有無を並列的に問い合わせる。以後、パケットプリント装置４２０Ｂ2 および４２０Ｂ3 でも、パケットプリント装置４２０Ｂ1 と同様の動作が実行される（▲６▼以降）。
【０１９３】
また、実施の形態４では、図２２に示したように、パケット変換装置５００の外側に追跡マネージャ３３０およびパケットプリント装置４２０Ａを設け、内側に複数台のパケットプリント装置４２０Ｂ1 〜４２０Ｂ3 を設けた構成例について説明したが、図２３に示したように、パケット変換装置５００の内側に追跡マネージャ３３０およびパケットプリント装置４２０Ｂを設け、外側に複数台のパケットプリント装置４２０Ａ1 〜４２０Ａ3 を設ける構成としてもよい。これらのパケットプリント装置４２０Ａ1 〜４２０Ａ3 には、対応テーブル４２１Ａ1 〜４２１Ａ3 が設けられている。
【０１９４】
また、実施の形態４では、図２１に示したように、パケットプリント装置４２０Ｂが対応テーブル４２１ＡからＰＰａ＿１を検索し（▲３▼’）、ＰＰａ＿１および対応するCommonKey1（共通ＰＰ）を見つける（▲４▼’）場合の構成例について説明したが、図２４に示したように、取得部４２２Ｂにより、定期的に対応テーブル４２１Ａをコピーし、パケットプリント装置４２０Ｂ側にコピーの対応テーブル４２１Ａ’をパケットプリント装置４２０Ｂに設けてもよい。
【０１９５】
この場合には、パケットプリント装置４２０Ｂは、対応テーブル４２１Ａ’を用いて自装置内で検索を行う。なお、実施の形態４において、取得部４２２Ｂは、全データをコピーすると容量の問題が生じるため、対応テーブル４２１Ａと対応テーブル４２１Ａ’との差分のみを対応テーブル４２１Ａから対応テーブル４２１Ａ’にコピーするようにしてもよい。
【０１９６】
また、実施の形態４においては、図２５に示したように、図２４に示した内側のパケットプリント装置４２０Ｂを複数台の構成としてもよい。図２５においては、図２４に示したパケットプリント装置４２０Ｂに代えて３台のパケットプリント装置４２０Ｂ1 〜４２０Ｂ3 が設けられている。
【０１９７】
これらのパケットプリント装置４２０Ｂ1 〜４２０Ｂ3 は、図２４に示したパケットプリント装置４２０Ｂと同一構成とされており、取得部４２２Ｂ1 〜４２２Ｂ3 、対応テーブル４２１Ｂ1 〜４２１Ｂ3 、対応テーブル４２１Ａのコピーである対応テーブル４２２Ａ’をそれぞれ備えている。
【０１９８】
以上説明したように、実施の形態４によれば、パケットプリント装置が主導でパケットに含まれる情報が書き換えられるネットワークにおいてもパケット追跡を行うことができる。
【０１９９】
（実施の形態５）
さて、前述した実施の形態３においては、マスクをかけないパケットのＰＰと、マスクをかけたパケットの共通ＰＰとを生成する例について説明したが、ＰＰの生成時にもマスクをかけるようにしてもよい。以下では、この構成例を実施の形態５として説明する。
【０２００】
図２６は、本発明にかかる実施の形態５の構成を示すブロック図である。この図において、パケットプリント装置４４０Ａは、グローバルネットワークＡとパケット変換装置５００との間の接続リンクを監視の対象とし、監視対象ネットワークを通過するパケット２５０のコピーを取り込む。
【０２０１】
また、パケットプリント装置４４０Ａは、コピーしたパケット２５０からＰＰａ＿１（ハッシュ値）等およびＰＰｂ＿１（ハッシュ値）等を生成・格納する。
【０２０２】
具体的には、パケットプリント装置４４０Ａは、図２７（ａ）に示したように、パケット２５０にノーマルパターンでマスク（網掛け部分）をかけ、残りの部分２５０ａからパケットプリントＰＰａ＿１を生成し、第１のＰＰ格納部４４１Ａ（図２６参照）に格納する。
【０２０３】
また、パケットプリント装置４４０Ａは、図２７（ｂ）に示したように、パケット２５０にＮＡＴパターンでマスク（網掛け部分）をかけ、残りの部分２５０ｂからパケットプリントＰＰｂ＿１を生成し、第２のＰＰ格納部４４１Ｂ（図２６参照）に格納する。
【０２０４】
図２６に示したパケットプリント装置４４０Ｂにおいても、同様にして、ノーマルマスクパターンおよびＮＡＴマスクパターンに対応するパケットプリントが生成、格納される。
【０２０５】
上記構成において、ＩＤＳ２００により不正アクセスパケット（例えば、パケット２５０）が検出されると、追跡マネージャ３００は、パケット２５０からノーマルマスクパターンからＰＰａ＿１を生成するとともに、ＮＡＴマスクパターンからＰＰｂ＿１を生成する。
【０２０６】
つぎに、追跡マネージャ３００は、パケットプリント装置４４０Ａに対して、第１のＰＰ格納部４４１ＡのＰＰａ＿１を問い合わせる（▲１▼）。これにより、パケットプリント装置４４０Ａは、ＰＰａ＿１をキーとして、第１のＰＰ格納部４４１Ａを検索し（▲２▼）、ＰＰａ＿１を見つける（▲３▼）。つぎに、パケットプリント装置４４０Ａは、追跡マネージャ３００に対して、ＰＰａ＿１が見つかったことを通知する。
【０２０７】
また、追跡マネージャ３００は、パケットプリント装置４４０Ｂに対して、第２のＰＰ格納部４４１ＢのＰＰｂ＿１を問い合わせる（▲１▼’）。これにより、パケットプリント装置４４０Ｂは、ＰＰｂ＿１をキーとして、第２のＰＰ格納部４４１Ｂを検索し（▲２▼’）、ＰＰｂ＿１を見つける（▲３▼’）。つぎに、パケットプリント装置４４０Ｂは、追跡マネージャ３００に対して、ＰＰｂ＿１が見つかったことを通知する。
【０２０８】
（実施の形態６）
なお、実施の形態５においては、パケットが流れる方向によって、マスクパターンを変えてもよい。以下では、この構成例を実施の形態６として説明する。図２８は、本発明にかかる実施の形態６の構成を示すブロック図である。
【０２０９】
この図において、パケットプリント装置４５０Ａは、グローバルネットワークＡとパケット変換装置５００との間の接続リンクを監視の対象とし、監視対象ネットワークを通過するパケット（例えば、２５０（２６０’））のコピーを取り込む。
【０２１０】
また、パケットプリント装置４５０Ａは、コピーしたパケットからＰＰａ１＿１、ＰＰｂ＿１およびＰＰｃ＿１等を生成・格納する。
【０２１１】
具体的には、パケットプリント装置４５０Ａは、図２９（ａ）に示したように、パケットＰにノーマルパターンでマスク（網掛け部分）をかけ、残りの部分ＰａからパケットプリントＰＰａ＿１を生成し、第１のＰＰ格納部４５１Ａ（図２８参照）に格納する。
【０２１２】
また、グローバルネットワークＡ（外側）からローカルネットワークＢ（内側）へパケットが流れる場合、パケットプリント装置４５０Ａは、図２９（ｂ）に示したように、主として、パケット変換装置５００で変更される発信先ＩＰアドレスがマスクされる。
【０２１３】
この場合、パケットプリント装置４５０Ａは、パケットＰに発信元マスクパターンで（網掛け部分）をかけ、残りの部分ＰｂからパケットプリントＰＰｂ＿１を生成し、第２のＰＰ格納部４５１Ｂ（図２８参照）に格納する。
【０２１４】
また、ローカルネットワークＢ（内側）からグローバルネットワークＡ（外側）へパケットが流れる場合、パケットプリント装置４５０Ａは、図２９（ｃ）に示したように、主として、パケット変換装置５００で変更される発信元ＩＰアドレスがマスクされる。
【０２１５】
この場合、パケットプリント装置４５０Ａは、パケットＰに発信先マスクパターンで（網掛け部分）をかけ、残りの部分ＰｃからパケットプリントＰＰｃ＿１を生成し、第３のＰＰ格納部４５１Ｃ（図２８参照）に格納する。
【０２１６】
なお、実施の形態６においては、図３０（ａ）に示したように、パケットＰにマスクをかけた残りの部分Ｐ’からパケットプリントを生成しているが、図３０（ｂ）に示したように、パケットＰにマスクをかけた残りの部分を部分Ｐ１、Ｐ２およびＰ３に分割し、部分Ｐ１、Ｐ２およびＰ３に対応するパケットプリントＡ、ＢおよびＣを生成してもよい。
【０２１７】
これらのパケットプリントＡ、ＢおよびＣを組み合わせることにより、図３０（ｃ）に示したように、パケットプリント、発信先ＮＡＴマスクパケットプリント、発信元ＮＡＴマスクパケットプリントとしてもよい。
【０２１８】
パケットプリントは、パケットプリントＡ、パケットプリントＢおよびパケットプリントＣの組み合わせから生成され、図２９（ａ）に示したＰＰａ＿１の代用としてもよい。発信先ＮＡＴマスクパケットプリントは、パケットプリントＡおよびパケットプリントＣの組み合わせから生成され、図２９（ｂ）に示したＰＰｂ＿１の代用としてもよい。
【０２１９】
発信元ＮＡＴマスクパケットプリントは、パケットプリントＡおよびパケットプリントＢの組み合わせから生成され、図２９（ｃ）に示したＰＰｃ＿１の代用としてもよい。
【０２２０】
このように、分割されたパケットプリントＡ、ＢおよびＣを生成することにより、組み合わせで様々なパケットプリントを生成することができるため、図２８に示したように、三つのＰＰ格納部（第１のＰＰ格納部４５１Ａ、第２のＰＰ格納部４５１Ｂ、第３のＰＰ格納部４５１Ｃ）を持つ必要が無いため、構成を簡略化することができる。
【０２２１】
以上説明したように、実施の形態６によれば、図３０に示したように、パケット変換装置５００における書き換えで変化する情報がマスクされたパケットを複数分割し、分割された各部分パケットを特定するためのパケットプリントを生成し、部分パケットのパケットプリントを組み合わせることにより共通ＰＰ等を生成し、格納することとしたので、共通ＰＰ等の生成効率を高めることができる。
【０２２２】
（実施の形態７）
さて、前述した実施の形態１〜６においては、図３１に示したように、追跡マネージャやパケットプリント装置の機能を代理するプロキシ装置６００を設けて、追跡マネージャ３００からの指示に基づいて、プロキシ装置６００にパケット追跡を行わせるようにしてもよい。
【０２２３】
プロキシ装置６００は、追跡サブマネージャ３００Ｓと、パケットプリント装置４１０Ｂと、パケットプリント装置４１０Ｃと、マッチング装置６０１とから構成されており、上記代理機能を備えている。追跡サブマネージャ３００Ｓは、追跡マネージャ３００と同様の機能を備えている。
【０２２４】
パケットプリント装置４１０Ｂは、ＰＰ格納部４１６を備えており、グローバルネットワークＡとパケット変換装置５００との間を流れるパケットを監視し、ＰＰａ＿１等を生成、格納する。パケットプリント装置４１０Ｃは、ＰＰ格納部４１６を備えており、パケット変換装置５００とローカルネットワークＢとの間を流れるパケットを監視し、ＰＰｂ＿１等を生成、格納する。
【０２２５】
パケットプリント装置４１０Ａは、ＰＰ格納部４１６を備えており、グローバルネットワークＡを流れるパケットを監視し、ＰＰａ＿１等を生成、格納する。マッチング装置６０１は、追跡サブマネージャ３００Ｓがパケットプリント装置４１０Ｂおよびパケットプリント装置４１０Ｃに対して検索要求を行い、検索結果から追跡対象パケットがパケットプリント装置４１０Ｂおよびパケットプリント装置４１０Ｃの双方を通過したことを判断するために必要な情報および手段を提供する。また、追跡サブマネージャ３００Ｓは、図１に示したようなパケット変換装置５００から変換テーブル５０１の情報を取得し、パケットプリント装置４１０Ｂおよびパケットプリント装置４１０Ｃに提供する。また、追跡サブマネージャ３００Ｓは、図８および図１３に示したような共通ＰＰおよび共通ＰＰ’の同定処理および補足情報を追加利用した同定処理を行い、その結果をパケットプリント装置４１０Ｂおよびパケットプリント装置４１０Ｃに提供する。また、追跡サブマネージャ３００Ｓは、図１４に示したようなバリアパケットを用いた共通ＰＰおよび共通ＰＰ’の同定処理の支援を行い、その結果をパケットプリント装置４１０Ｂおよびパケットプリント装置４１０Ｃに提供する。また、追跡サブマネージャ３００Ｓは、図２１に示したような他パケットプリント装置に対するCommonkey（共通ＰＰ）の問い合わせ処理を行い、その結果をパケットプリント装置４１０Ｂおよびパケットプリント装置４１０Ｃに提供する。また、追跡サブマネージャ３００Ｓは、図２４に示したような他パケットプリント装置からのCommonkey（共通ＰＰ）の定期的コピー処理を行う。
【０２２６】
上記構成において、ＩＤＳ２００が不正アクセスパケット（パケット２５０’）を検出すると、追跡マネージャ３００は、当該不正アクセスパケットに対応するＰＰｂ＿１を生成し、追跡サブマネージャ３００Ｓに追跡の代理を依頼する（▲１▼）。これにより、追跡サブマネージャ３００Ｓは、不正アクセスパケットの検出位置（パケット変換装置５００の前後）に基づいて、パケットプリント装置４１０Ｂまたはパケットプリント装置４１０Ｃにアクセスし、パケットプリントの検索を行う（▲２▼）。
【０２２７】
また、追跡サブマネージャ３００Ｓは、パケットプリント装置４１０Ｂ、パケットプリント装置４１０Ｃの検索終了後、さらに追跡が必要な場合、パケットプリント装置４１０Ａなど、他のパケットプリント装置に対して、ＰＰａ＿１の検索を要求する。追跡サブマネージャ３００Ｓは、パケットの追跡処理の経過および結果を追跡マネージャ３００へ通知する（▲１▼’）。なお、実施の形態７において、プロキシ装置６００には、実施の形態１〜６で開示した機能の組み合わせも含まれる。なお、実施の形態７においては、図３１に示したプロキシ装置６００をネットワーク上に複数設け、あるプロキシ装置６００から他のプロキシ装置６００へと多段的に問い合わせる構成としてもよい。
【０２２８】
以上説明したように、実施の形態７によれば、追跡対象パケットの追跡を、追跡マネージャ、パケットプリント装置の機能を有するプロキシ装置６００へ代理依頼することとしたので、追跡マネージャ３００の追跡処理負荷を軽減することができる。また、実施の形態７によれば、追跡マネージャ、パケットプリント装置等が一つのプロキシ装置６００としてまとめられ、一つのハードウェアとして実装、運用管理のコストを削減することができ、パケットプリント装置、追跡マネージャ間の通信の高速化、秘匿性の向上を図ることができる。
【０２２９】
以上本発明にかかる実施の形態１〜７について図面を参照して詳述してきたが、具体的な構成例はこれらの実施の形態１〜７に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等があっても本発明に含まれる。
【０２３０】
例えば、前述した実施の形態１〜７においては、追跡マネージャ、パケットプリント装置の各機能を実現するためのプログラムを図３２に示したコンピュータ読み取り可能な記録媒体８００に記録して、この記録媒体８００に記録されたプログラムを同図に示したコンピュータ７００に読み込ませ、実行することにより各機能を実現してもよい。
【０２３１】
同図に示したコンピュータ７００は、上記プログラムを実行するＣＰＵ（Central Processing Unit）７１０と、キーボード、マウス等の入力装置７２０と、各種データを記憶するＲＯＭ（Read Only Memory）７３０と、演算パラメータ等を記憶するＲＡＭ（Random Access Memory）７４０と、記録媒体８００からプログラムを読み取る読取装置７５０と、ディスプレイ、プリンタ等の出力装置７６０と、装置各部を接続するバス７７０とから構成されている。
【０２３２】
ＣＰＵ７１０は、読取装置７５０を経由して記録媒体８００に記録されているプログラムを読み込んだ後、プログラムを実行することにより、前述した機能を実現する。なお、記録媒体８００としては、光ディスク、フレキシブルディスク、ハードディスク等が挙げられる。
【０２３３】
【発明の効果】
以上説明したように、本発明によれば、ネットワークを流れるパケットについて、パケット変換装置における書き換え前のパケットを特定するための第１のパケット特定情報と、書き換え後のパケットを特定するための第２のパケット特定情報とを生成、格納し、追跡対象パケット特定情報を含む検索要求を受けて、第１のパケット特定情報または第２のパケット特定情報を検索し、検索結果を追跡マネージャへ送信することとしたので、パケットに含まれる情報が書き換えられるネットワークにおいてもパケット追跡を行うことができるという効果を奏する。
【０２３４】
また、本発明によれば、パケット変換装置における書き換え前の追跡対象パケットを特定するための第１の追跡対象パケット特定情報と、書き換え後の追跡対象パケットを特定するための第２の追跡対象パケット特定情報とを生成し、追跡対象パケットの検出位置に基づいて、第１の追跡対象パケット特定情報または第２の追跡対象パケット特定情報をパケットプリント装置へ通知し、パケット特定情報の検索を依頼することとしたので、パケットに含まれる情報が書き換えられるネットワークにおいてもパケット追跡を行うことができるという効果を奏する。
【０２４２】
また、本発明にかかるパケット追跡プログラムによれば、上記の発明のいずれか一つに記載された方法をコンピュータに実行させるようにしたので、そのパケット追跡プログラムがコンピュータ読み取り可能となり、これによって、上記の発明のいずれか一つの動作をコンピュータによって実行することができるという効果を奏する。
【図面の簡単な説明】
【図１】本発明にかかる実施の形態１の構成を示すブロック図である。
【図２】図１に示したパケットプリント装置４００（４００Ａ、４００Ｂ）の構成を示すブロック図である。
【図３】図１および図２に示したパケットプリント装置４００（４００Ａ、４００Ｂ）の動作を説明するフローチャートである。
【図４】同実施の形態１の動作を説明するシーケンス図である。
【図５】本発明にかかる実施の形態２の構成を示すブロック図である。
【図６】図５に示した追跡マネージャ３１０の構成を示すブロック図である。
【図７】同実施の形態２の動作を説明するシーケンス図である。
【図８】本発明にかかる実施の形態３の構成を示すブロック図である。
【図９】図８に示した共通ＰＰおよび共通ＰＰ’を生成する場合のパケット２５０（２５０’）のマスク状態を表す図である。
【図１０】グローバルネットワークＡ（外側）からローカルネットワークＢ（内側）へパケットが流れる場合のマスク箇所を表す図である。
【図１１】ローカルネットワークＢ（内側）からグローバルネットワークＡ（外側）へパケットが流れる場合のマスク箇所を表す図である。
【図１２】同実施の形態３においてパケット変換装置５００よって書き換えられるＩＰアドレスを含むペイロードをマスク箇所とする場合を説明する図である。
【図１３】同実施の形態３において補足情報を用いてパケットの同定精度を高めるための構成を示すブロック図である。
【図１４】同実施の形態３においてバリアパケットを用いてパケットの同定精度を高めるための構成を示すブロック図である。
【図１５】図１４に示したバリアパケットを用いたパケット追跡を説明するブロック図である。
【図１６】同実施の形態３において追跡マネージャを高機能化した場合の具体例を説明するブロック図である。
【図１７】同実施の形態３における対応表３２１および構成図３２１ａを示す図である。
【図１８】本発明にかかる実施の形態４の構成を示すブロック図である。
【図１９】対応テーブル４３１Ａ、４３１Ｂ、４３１Ｃおよび４３１Ｄを示す図である。
【図２０】同実施の形態４（パケットプリント装置の高機能化）に実施の形態１を適用した構成例を示すブロック図である。
【図２１】同実施の形態４（パケットプリント装置の高機能化）に実施の形態３を適用した構成例を示すブロック図である。
【図２２】同実施の形態４において、内側のパケットプリント装置を複数台とした場合の構成例を示すブロック図である。
【図２３】同実施の形態４において、パケット変換装置５００の内側に追跡マネージャ３３０およびパケットプリント装置４２０Ｂを設け、外側に複数台のパケットプリント装置４２０Ａ1 〜４２０Ａ3 を設けた構成例を示すブロック図である。
【図２４】同実施の形態４における図２１に示した構成の変形例を示すブロック図である。
【図２５】図２４に示した内側のパケットプリント装置４２０Ｂを複数台とした場合の構成例を示すブロック図である。
【図２６】本発明にかかる実施の形態５の構成を示すブロック図である。
【図２７】同実施の形態５におけるマスクパターンを説明する図である。
【図２８】本発明にかかる実施の形態６の構成を示すブロック図である。
【図２９】同実施の形態６におけるマスクパターンを説明する図である。
【図３０】同実施の形態６における変形例を説明する図である。
【図３１】本発明にかかる実施の形態７の構成を示すブロック図である。
【図３２】本発明にかかる実施の形態１〜７の変形例の構成を示すブロック図である。
【図３３】従来のパケット追跡システムの構成を示すブロック図である。
【図３４】図３３に示したパケットプリント装置１０１（１０１ａ、１０１ｂ、１０１ｃ）の構成を示すブロック図である。
【図３５】図３３に示した追跡マネージャ１０２の構成を示すブロック図である。
【図３６】従来のパケット追跡システムの問題点を説明する図である。
【符号の説明】
２００ ＩＤＳ
３００ 追跡マネージャ
３１０ 追跡マネージャ
４００Ａ パケットプリント装置
４１０Ａ パケットプリント装置
４２０Ａ パケットプリント装置
４３０Ａ パケットプリント装置
５００ パケット変換装置[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a packet tracking method and a packet tracking program for tracking a monitoring target packet flowing in a network, and in particular, a packet tracking method and a packet capable of performing packet tracking even in a network in which information included in the packet is rewritten. It is about a tracking program.
[0002]
[Prior art]
Conventionally, an IDS (Intrusion Detection System) has been used to detect suspicious packets in a network. When a suspicious packet is detected by this IDS and the packet is traced, the packet is traced using the source address as a key.
[0003]
Therefore, if the source address is spoofed, accurate packet tracking cannot be performed. In order to identify and trace such a spoofed packet from the sender, methods such as adding a mark to the packet and modifying the packet and examining the packet contents are considered. It was.
[0004]
However, the conventional method of adding information serving as a mark in the packet described above has a problem of infringing privacy because the contents are examined. In addition, if the information given by the third party for tracking in the packet is fraudulent information given or modified by a malicious third party, the packet shall be accurately tracked. I could not.
[0005]
Conventionally, a method of tracking in an existing network device such as a router has been considered. However, in order to realize this method, it is necessary to partially change the mechanism inside the target network device and the network configuration. For this reason, there has been a problem in that it is not possible to flexibly make configuration changes such as addition of devices and change of installation location.
[0006]
FIG. 33 is a block diagram showing an outline of the configuration of a conventional packet tracking system for solving the above problem. In the figure,
[0007]
In order to monitor these
[0008]
The
[0009]
Each of these
[0010]
Here, the most common packet print is called a hash value. A one-way function called a hash function is used to generate the hash value. Based on this one-way function, variable-length character string data including characters, numbers, and the like included in the packet is summarized into fixed-length data. This summarized fixed-length data is called a hash value. Hereinafter, this packet print will be described as a hash value.
[0011]
The IDS 103 is connected to the local network 50C and the management network. The IDS 103 is a device that detects unauthorized access packets that have entered the monitored network. The
[0012]
In the above configuration, it is assumed that the IDS 103 detects an unauthorized access packet in the local network 50C. The detection of the unauthorized access packet is performed based on the unauthorized access determination criteria and rules defined by the user.
[0013]
For example, when a port scan is performed, the IDS 103 transmits an alarm for the port scan and a packet subjected to the port scan to the
[0014]
Next, the
[0015]
Then, each of the
[0016]
For example, when a search result indicating that a matching packet print (hash value) is stored is received from the
[0017]
In the configuration shown in FIG. 33, the management network for connecting the
[0018]
FIG. 34 is a block diagram illustrating a functional configuration of the
[0019]
The
[0020]
When the packet print (hash value) stored in the
[0021]
If the packet print (hash value) stored in the
[0022]
The
[0023]
FIG. 35 is a block diagram illustrating a functional configuration of the
[0024]
The method specified by the
[0025]
The tracking request unit 125 transmits a search request including the packet print (hash value) generated by the
[0026]
Based on the search results transmitted from these
[0027]
In this way, information on the passage route of the tracking target packet created by the passage
[0028]
[Patent Document 1]
JP 2000-124952 A
[Non-Patent Document 1]
Takei, “Unauthorized Access Detection and Tracking Method Using Traffic Patterns”, IEICE Technical Report, The Institute of Electronics, Information and Communication Engineers, November 18, 1999, Vol. 99 No. 436, p. 37-42
[Non-Patent Document 2]
Kokubo, “Model Review of Unauthorized Access Source Tracking System”, Proceedings of the 60th National Conference (3), Information Processing Society of Japan, March 14, 2000, p. 3-283-3-284
[Non-Patent Document 3]
Watanabe, “Examination of Packet Identification Information for Unauthorized Access Source Tracking”, Proceedings of the 60th National Conference (3), Information Processing Society of Japan, March 14, 2000, p. 3-289-3-290
[Non-Patent Document 4]
Watanabe, “Verification of validity of packet identification information in tracking illegal access sources”, Proceedings of the 61st (late 2000) National Convention (3), Information Processing Society of Japan, October 3, 2000, p. 3-259-3-260
[Non-Patent Document 5]
Ikeda, “Validation of architecture of unauthorized access source tracking system”, Proceedings of the 62nd (2001) National Convention, Information Processing Society of Japan, March 13, 2001, p . 3-285-3-286
[Non-Patent Document 6]
Alex C Snoeren, “Hash-Based IP Traceback”, BBN Technical Memorandum No.1284, February 7,2001
[0029]
[Problems to be solved by the invention]
Incidentally, as described above, in the conventional packet tracking system, the local IP address included in the tracking target packet does not change through the
[0030]
For this reason, in the conventional packet tracking system, it is possible to track using the packet print of the tracking target packet whose local IP address or the like does not change as a key.
[0031]
On the other hand, in a network to which NAT (Network Address Translation) or IP masquerading is applied, the IP address, port number, sequence number, etc. included in the tracked packet are rewritten in the middle of passage. There was a problem that the packet tracking system could not perform tracking.
[0032]
Here, NAT mutually converts a local IP address that can be used only within the company and an original global IP address that can be used to access a global network such as the Internet, and from a local network to which only a local IP address is assigned. , A technology that enables transparent access to the global network.
[0033]
IP masquerade uses different communication ports by converting not only the IP address conversion by NAT but also the TCP / UDP (Transmission Control Protocol / User Datagram Protocol) port number, sequence number, etc. This is a technology that allows a plurality of local IP nodes to communicate with the outside by using one global IP address.
[0034]
FIG. 36 illustrates a network configuration to which the above-described NAT or IP masquerade is applied. In the figure, a
The global network A is an external network, and a global IP address is applied.
[0035]
The
[0036]
Specifically, DstIP: 210.162.74.2 (destination global IP address) of
[0037]
Here, when the conventional packet tracking system is applied to the network shown in FIG. 36, the packet printing is different before and after the
[0038]
Similarly, a
[0039]
In the example shown in the figure, the packet print PP corresponding to the
[0040]
The present invention has been made in view of the above, and an object of the present invention is to provide a packet tracking method and a packet tracking program that can perform packet tracking even in a network in which information included in a packet is rewritten.
[0041]
[Means for Solving the Problems]
In order to solve the above-described problems and achieve the object, the present invention performs transmission / reception of information between a plurality of packet printing apparatuses arranged at important points of a monitored network and these packet printing apparatuses. A packet tracking method applied to a packet tracking system including a tracking manager, for identifying a packet before rewriting in a packet conversion device that rewrites information included in the packet when passing through the network Packet specifying information storing step for generating and storing first packet specifying information and second packet specifying information for specifying the rewritten packet, and tracking target packet specifying information for specifying the tracking target packet Is received from the tracking manager, and the first packet specifying information is received. Retrieves the second packet identification information, characterized by comprising a search step of transmitting the search result to the tracking manager, a.
[0042]
According to the present invention, for a packet flowing through a network, the first packet specifying information for specifying a packet before rewriting in the packet conversion device and the second packet specifying information for specifying a packet after rewriting are provided. Since the search request including the packet identification information to be generated and stored is received, the first packet identification information or the second packet identification information is searched, and the search result is transmitted to the tracking manager. Packet tracking can also be performed in a network in which the included information is rewritten.
[0043]
The present invention also provides a plurality of packet generating information for generating and storing packet specifying information for specifying a packet flowing in a network having a packet conversion device which is arranged at a key point of a network to be monitored and rewrites information included in the packet when passing Packet tracking method applied to a packet tracking system comprising a packet printing apparatus of this type and a tracking manager that transmits and receives information between these packet printing apparatuses, and is a tracking target before rewriting in the packet conversion apparatus A packet specifying information generating step for generating first tracking target packet specifying information for specifying a packet and second tracking target packet specifying information for specifying the rewritten tracking target packet; Based on the position, the first tracking target packet specifying information or the second additional packet identification information. Notifies the target packet identification information to the packet printing apparatus, characterized in that it comprises a and a search request step of requesting retrieval of the packet identification information.
[0044]
According to the present invention, the first tracking target packet specifying information for specifying the tracking target packet before rewriting in the packet converter and the second tracking target packet specifying information for specifying the tracking target packet after rewriting Generating the first tracking target packet specifying information or the second tracking target packet specifying information to the packet printing apparatus based on the detection position of the tracking target packet, and requesting the search of the packet specifying information. Therefore, packet tracking can be performed even in a network in which information included in a packet is rewritten.
[0058]
Further, according to the packet tracking program of the present invention, since the computer executes the method described in any one of the above inventions, the packet tracking program can be read by the computer. Any one of the operations of the present invention can be executed by a computer.
[0059]
DETAILED DESCRIPTION OF THE INVENTION
Hereinafter,
[0060]
(Embodiment 1)
FIG. 1 is a block diagram showing the configuration of the first embodiment according to the present invention. The figure shows a packet tracking system for performing packet tracking even in a network having a function of converting information contained in a packet.
[0061]
The
[0062]
The local network B is an internal network, and a local IP address is applied. The global network A is an external network, and a global IP address is applied.
[0063]
The
[0064]
The
[0065]
The
[0066]
The
[0067]
The
[0068]
Here, the
[0069]
That is, the
[0070]
On the other hand, the
[0071]
Here, the
[0072]
That is, the
[0073]
FIG. 2 is a block diagram showing a configuration of the packet printing apparatus 400 (400A, 400B) shown in FIG. In the figure, a
[0074]
The
[0075]
The
[0076]
The
[0077]
The first
[0078]
The
[0079]
If the packet print is less than a certain amount, the
[0080]
The
[0081]
Further, the
[0082]
Further, the
[0083]
Next, the operation of the first embodiment will be described with reference to FIG. 3 and FIG. FIG. 3 is a flowchart for explaining the operation of the packet printing apparatus 400 (400A, 400B) shown in FIGS. FIG. 4 is a sequence diagram for explaining the operation of the first embodiment.
[0084]
In step SA1 shown in FIG. 3, the packet printing unit 403 (see FIG. 2) of the
[0085]
When the packet 250 (see FIG. 1) passes through the monitoring target network (between the global network A and the packet conversion device 500) of the
[0086]
In step SA3, the
[0087]
In step SA6, the
[0088]
On the other hand, when the determination result in step SA6 is “Yes”, in step SA8, the
[0089]
The
[0090]
Further, when the
[0091]
In step SA3, the
[0092]
In step SA6, the
[0093]
In step SA7, the
[0094]
When an unauthorized access packet is detected in the local network B by the
[0095]
In step SB3, the
[0096]
In step SB5, the
[0097]
In step SB6, the tracking agent unit 407 (see FIG. 2) of the
[0098]
Here, when the detected position information is after the
[0099]
In this case, the
[0100]
In step SB9, the
[0101]
In Step SB4, the
[0102]
As described above, according to the first embodiment, PPa_1 (first packet specifying information) for specifying the
[0103]
(Embodiment 2)
In the first embodiment described above, an example in which two types of packet prints corresponding to the packets before and after the conversion of the
[0104]
FIG. 5 is a block diagram showing a configuration of the second embodiment according to the present invention. In this figure, parts corresponding to those in FIG. 5, a
[0105]
The
[0106]
FIG. 6 is a block diagram showing a functional configuration of the
[0107]
The
[0108]
The trace request unit 314 transmits a search request including any one of the two types of packet prints (hash values) generated by the
[0109]
Based on the search results transmitted from the
[0110]
Returning to FIG. 5, the
[0111]
That is, the
[0112]
On the other hand, the
[0113]
That is, the
[0114]
Next, the operation of the second embodiment will be described with reference to the sequence diagram shown in FIG. When an unauthorized access packet is detected in the local network B by the
[0115]
Here, it is assumed that the unauthorized access packet is the
[0116]
In step SC3, the packet print unit 312 (see FIG. 6) of the
[0117]
In step SC5, the
[0118]
In step SC7, the tracking request unit 314 of the
[0119]
Here, if the detected position information is before the
[0120]
On the other hand, when the detected position information is after the
[0121]
In step SC8, the
[0122]
In step SC10, the tracking request unit 314 of the
[0123]
In step SC6, the
[0124]
As described above, according to the second embodiment, the
[0125]
(Embodiment 3)
FIG. 8 is a block diagram showing a configuration of the third embodiment according to the present invention. In the third embodiment, a method for identifying packets before and after the
[0126]
In the figure, a
[0127]
Further, the
[0128]
On the other hand, the
[0129]
Further, the
[0130]
As described above, in the third embodiment, by masking the changing information, the common PP and the common PP ′ have the same value, so that the packets can be identified before and after the
[0131]
FIG. 9 is a diagram illustrating mask portions of the packet 250 (250 ′) when the common PP and the common PP ′ illustrated in FIG. 8 are generated. In this figure, the shaded portion is information that is converted before and after the
[0132]
In the third embodiment, the mask location may be changed depending on the direction in which the packet flows. FIG. 10 is a diagram illustrating mask portions when a packet flows from the global network A (outside) to the local network B (inside). In the example shown in the figure, the destination IP address and the destination port are mainly masked.
[0133]
FIG. 11 is a diagram illustrating mask portions when a packet flows from the local network B (inside) to the global network A (outside). In the example shown in the figure, the source IP address and the source port are mainly masked.
[0134]
Further, in some protocols (FTP (File Transfer Protocol), ICMP (Internet Control Message Protocol), SNMP (Simple Network Management Protocol)) among protocols used for packet communication, an IP address is also included in the packet payload. May be described and rewritten by the
[0135]
Therefore, in the third embodiment, as shown in FIG. 12, a payload including an IP address rewritten by the
[0136]
In the example shown in FIG. 8, the common PP and the common PP ′ are compared when identifying the packet between the
[0137]
For example, the collision occurs when there is a plurality of common PP ′ having the same value on the
[0138]
Therefore, in the third embodiment, in order to increase the identification accuracy, supplemental information (identifier, TTL, TOS, packet) is generated from the
[0139]
Similarly, on the
[0140]
With this configuration, even if there is a plurality of common PP ′ having the same value on the
[0141]
In the third embodiment, in the case of a packet having no data in the payload, there is a high possibility that the above-described collision occurs between the common PP and the common PP ′. Here, it is conceivable to completely synchronize the time between the
[0142]
Therefore, in the third embodiment, as shown in FIG. 14, barrier
[0143]
The
[0144]
The barrier packet (out) is given an identification barrier No (out). For example, 168463 is assigned to the
[0145]
On the other hand, the barrier
[0146]
The barrier packet (in) is given an identification barrier No (in). For example, 348586 is assigned to the
[0147]
The
[0148]
Note that the
[0149]
On the other hand, the
[0150]
Note that the
[0151]
In the above configuration, for example, when there is a plurality of common PP's having the same value on the
[0152]
That is, when two barrier numbers that are the same as the two barrier numbers on the correspondence table 423A side (168463 and 168464 in the figure) exist in the correspondence table 423B, the common PP sandwiched between the two barrier numbers in the correspondence table 423B. It can be seen that 'and the common PP of the corresponding table 423A corresponding thereto are the same.
[0153]
FIG. 15 is a block diagram for explaining packet tracking using the barrier packet shown in FIG. In this figure, parts corresponding to those in FIGS. 1 and 14 are given the same reference numerals. In FIG. 15, the
[0154]
In the above configuration, when an unauthorized access packet is detected by the
[0155]
Next, the
[0156]
FIG. 16 is a block diagram for explaining a specific example when the tracking manager is enhanced in the third embodiment. In the configuration example shown in the figure, the
[0157]
The
[0158]
The correspondence table 321 stores information on packet print device numbers, adjacent packet print device numbers, and packet print types. The adjacent packet printing apparatus number is a packet printing apparatus number corresponding to a packet apparatus adjacent to the packet apparatus having the packet printing apparatus number. The packet print type is a packet print type (normal or common).
[0159]
The
[0160]
Next, the
[0161]
As described above, according to the third embodiment, for a packet flowing through a network, a packet in which information that is changed by rewriting in the
[0162]
Further, according to the third embodiment, since the common PP is generated by changing the masking information in accordance with the direction of the packet flowing through the network, the packet can be traced according to the direction of the packet. it can.
[0163]
Further, according to the third embodiment, as shown in FIG. 14, when the information of the barrier packet transmitted to the network is stored and the packet cannot be identified by the common PP and PP, the information is based on the information of the barrier packet. Since the packet is identified, the packet identification accuracy can be improved.
[0164]
Further, according to the third embodiment, packet tracking can be performed even in a network in which information included in a packet is rewritten led by a tracking manager.
[0165]
(Embodiment 4)
In the above-described third embodiment (see FIG. 16), the example in which the tracking manager has a higher function has been described. However, the packet printing apparatus may have a higher function. Hereinafter, this configuration example will be described as a fourth embodiment.
[0166]
FIG. 18 is a block diagram showing a configuration of the fourth embodiment according to the present invention. In this figure, parts corresponding to those in FIG. 18, the
[0167]
The
[0168]
The
[0169]
Further, the
[0170]
FIGS. 19A, 19B, 19C, and 19D are diagrams showing correspondence tables 431A, 431B, 431C, and 431D. These correspondence tables 431A, 431B, 431C and 431D are used in the
[0171]
These correspondence tables 431A, 431B, 431C, and 431D store packet print device numbers, tracking start packet print device numbers, presence / absence of packet conversion devices, and information on inquiry destination packet print devices related to packet printing before conversion processing.
[0172]
In the above configuration, when the
[0173]
FIG. 20 is a block diagram illustrating a configuration example in which the first embodiment is applied to the above-described fourth embodiment (high performance of the packet printing apparatus). In the figure, parts corresponding to the parts in FIG.
[0174]
20,
[0175]
In the above configuration, when the
[0176]
FIG. 21 is a block diagram showing a configuration example in which the third embodiment is applied to the above-described fourth embodiment (high performance of the packet printing apparatus). In the figure, parts corresponding to the parts in FIG.
[0177]
In FIG. 21, instead of the
[0178]
In the figure, the correspondence table 421A of the
[0179]
On the other hand, the correspondence table 421B of the
[0180]
In the above configuration, when the
[0181]
Thereby, the
[0182]
The
[0183]
Accordingly, the
[0184]
In this case, the
[0185]
Next, the
[0186]
Further, in the fourth embodiment, as shown in FIG. 22, the inner
[0187]
These
[0188]
In the above configuration, when the
[0189]
Thereby, the
[0190]
In addition, the
[0191]
In this case, the
[0192]
Then, the
[0193]
In the fourth embodiment, as shown in FIG. 22, the
[0194]
In the fourth embodiment, as shown in FIG. 21, the
[0195]
In this case, the
[0196]
Further, in the fourth embodiment, as shown in FIG. 25, the inner
[0197]
These
[0198]
As described above, according to the fourth embodiment, packet tracking can be performed even in a network in which information included in a packet is rewritten by the packet printing apparatus.
[0199]
(Embodiment 5)
In the third embodiment described above, an example of generating a PP of a packet that is not masked and a common PP of a packet that is masked has been described. However, a mask may be applied even when a PP is generated. Good. Hereinafter, this configuration example will be described as a fifth embodiment.
[0200]
FIG. 26 is a block diagram showing a configuration of the fifth embodiment according to the present invention. In this figure, the packet printing apparatus 440A takes a connection link between the global network A and the
[0201]
Further, the packet printing apparatus 440A generates and stores PPa_1 (hash value) and the like, PPb_1 (hash value), and the like from the copied
[0202]
Specifically, as shown in FIG. 27A, the packet printing apparatus 440A applies a mask (shaded part) to the
[0203]
Further, as shown in FIG. 27B, the packet printing apparatus 440A masks the
[0204]
Similarly,
[0205]
In the above configuration, when an unauthorized access packet (for example, packet 250) is detected by the
[0206]
Next, the
[0207]
Further, the
[0208]
(Embodiment 6)
In the fifth embodiment, the mask pattern may be changed depending on the direction in which the packet flows. Hereinafter, this configuration example will be described as a sixth embodiment. FIG. 28 is a block diagram showing a configuration of the sixth embodiment according to the present invention.
[0209]
In this figure, the
[0210]
Further, the
[0211]
Specifically, as shown in FIG. 29A, the
[0212]
In addition, when a packet flows from the global network A (outside) to the local network B (inside), the
[0213]
In this case, the
[0214]
In addition, when a packet flows from the local network B (inside) to the global network A (outside), the
[0215]
In this case, the
[0216]
In the sixth embodiment, as shown in FIG. 30A, the packet print is generated from the remaining portion P ′ obtained by masking the packet P. However, as shown in FIG. In this way, the remaining part of the packet P that has been masked may be divided into parts P1, P2, and P3 to generate packet prints A, B, and C corresponding to the parts P1, P2, and P3.
[0217]
By combining these packet prints A, B, and C, as shown in FIG. 30C, packet prints, destination NAT mask packet prints, and source NAT mask packet prints may be used.
[0218]
The packet print is generated from a combination of packet print A, packet print B, and packet print C, and may be used in place of PPa_1 shown in FIG. The destination NAT mask packet print is generated from a combination of packet print A and packet print C, and may be used in place of PPb_1 shown in FIG.
[0219]
The sender NAT mask packet print is generated from a combination of packet print A and packet print B, and may be used in place of PPc_1 shown in FIG.
[0220]
In this way, by generating the divided packet prints A, B, and C, various packet prints can be generated in combination. Therefore, as shown in FIG. The
[0221]
As described above, according to the sixth embodiment, as shown in FIG. 30, a packet masked with information that changes by rewriting in
[0222]
(Embodiment 7)
In the first to sixth embodiments described above, as shown in FIG. 31, the
[0223]
The
[0224]
The
[0225]
The
[0226]
In the above configuration, when the
[0227]
The tracking sub-manager 300S requests another packet printing device such as the
[0228]
As described above, according to the seventh embodiment, the tracking target load is traced to the
[0229]
Although
[0230]
For example, in the above-described first to seventh embodiments, a program for realizing the functions of the tracking manager and the packet printing apparatus is recorded on the computer-
[0231]
A
[0232]
The
[0233]
【The invention's effect】
As described above, according to the present invention, for the packet flowing through the network, the first packet specifying information for specifying the packet before rewriting in the packet conversion device, and the second for specifying the packet after rewriting. Packet identification information is generated and stored, and a search request including the packet identification information to be tracked is received, the first packet identification information or the second packet identification information is searched, and the search result is transmitted to the tracking manager. Therefore, there is an effect that packet tracking can be performed even in a network in which information included in a packet is rewritten.
[0234]
Further, according to the present invention, the first tracking target packet specifying information for specifying the tracking target packet before rewriting in the packet converter and the second tracking target packet for specifying the tracking target packet after rewriting Specific information is generated, the first tracking target packet specifying information or the second tracking target packet specifying information is notified to the packet printing apparatus based on the detection position of the tracking target packet, and a search for the packet specifying information is requested. As a result, it is possible to perform packet tracking even in a network in which information included in a packet is rewritten.
[0242]
Further, according to the packet tracking program of the present invention, since the computer executes the method described in any one of the above inventions, the packet tracking program can be read by the computer. There is an effect that any one of the operations of the invention can be executed by a computer.
[Brief description of the drawings]
FIG. 1 is a block diagram showing a configuration of a first exemplary embodiment according to the present invention.
FIG. 2 is a block diagram showing a configuration of the packet printing apparatus 400 (400A, 400B) shown in FIG.
3 is a flowchart for explaining the operation of the packet printing apparatus 400 (400A, 400B) shown in FIGS. 1 and 2. FIG.
FIG. 4 is a sequence diagram for explaining the operation of the first embodiment.
FIG. 5 is a block diagram showing a configuration of a second embodiment according to the present invention.
6 is a block diagram showing a configuration of the
FIG. 7 is a sequence diagram for explaining the operation of the second embodiment.
FIG. 8 is a block diagram showing a configuration of a third embodiment according to the present invention.
9 is a diagram illustrating a mask state of a packet 250 (250 ′) when the common PP and the common PP ′ illustrated in FIG. 8 are generated. FIG.
FIG. 10 is a diagram illustrating mask portions when a packet flows from the global network A (outside) to the local network B (inside).
FIG. 11 is a diagram illustrating mask portions when a packet flows from the local network B (inside) to the global network A (outside).
12 is a diagram for explaining a case where a payload including an IP address rewritten by the
FIG. 13 is a block diagram showing a configuration for increasing packet identification accuracy using supplementary information in the third embodiment.
FIG. 14 is a block diagram showing a configuration for improving packet identification accuracy using a barrier packet in the third embodiment.
FIG. 15 is a block diagram illustrating packet tracking using the barrier packet shown in FIG. 14;
FIG. 16 is a block diagram for explaining a specific example in the case where the tracking manager is enhanced in the third embodiment.
FIG. 17 is a diagram showing a correspondence table 321 and a configuration diagram 321a according to the third embodiment.
FIG. 18 is a block diagram showing a configuration of a fourth embodiment according to the present invention.
FIG. 19 is a diagram showing correspondence tables 431A, 431B, 431C, and 431D.
FIG. 20 is a block diagram illustrating a configuration example in which the first embodiment is applied to the fourth embodiment (high performance of the packet printing apparatus).
FIG. 21 is a block diagram showing a configuration example in which the third embodiment is applied to the fourth embodiment (enhancing the functionality of the packet printing apparatus).
FIG. 22 is a block diagram showing a configuration example when a plurality of inner packet printing apparatuses are used in the fourth embodiment.
23 shows a
24 is a block diagram showing a modified example of the configuration shown in FIG. 21 in the fourth embodiment. FIG.
FIG. 25 is a block diagram illustrating a configuration example when a plurality of inner
FIG. 26 is a block diagram showing a configuration of the fifth embodiment according to the present invention.
FIG. 27 is a diagram for explaining a mask pattern according to the fifth embodiment.
FIG. 28 is a block diagram showing a configuration of a sixth embodiment according to the present invention.
FIG. 29 is a diagram for explaining a mask pattern according to the sixth embodiment.
FIG. 30 is a diagram for explaining a modification of the sixth embodiment.
FIG. 31 is a block diagram showing a configuration of a seventh embodiment according to the present invention.
FIG. 32 is a block diagram showing a configuration of a modified example of the first to seventh embodiments according to the present invention.
FIG. 33 is a block diagram showing a configuration of a conventional packet tracking system.
34 is a block diagram showing a configuration of the packet printing apparatus 101 (101a, 101b, 101c) shown in FIG.
35 is a block diagram showing a configuration of the
FIG. 36 is a diagram illustrating a problem of a conventional packet tracking system.
[Explanation of symbols]
200 IDS
300 Tracking manager
310 Tracking Manager
400A packet printing device
410A packet printing device
420A packet printing device
430A packet printing device
500 packet converter
Claims (3)
前記ネットワークを流れるパケットについて、該パケットに含まれる情報を通過時に書き換えるパケット変換装置における書き換え前のパケットを特定するための第１のパケット特定情報と、書き換え後のパケットを特定するための第２のパケット特定情報とを生成し、格納するパケット特定情報格納工程と、
追跡対象パケットを特定するための追跡対象パケット特定情報を含む検索要求を前記追跡マネージャより受けて、前記第１のパケット特定情報または前記第２のパケット特定情報を検索し、検索結果を前記追跡マネージャへ送信する検索工程と、
を含むことを特徴とするパケット追跡方法。A packet tracking method applied to a packet tracking system including a plurality of packet printing apparatuses arranged at important points of a monitored network and a tracking manager that transmits and receives information to and from these packet printing apparatuses. And
For packet flowing through the network, first packet specifying information for specifying a packet before rewriting in a packet conversion device that rewrites information included in the packet when passing, and second for specifying a packet after rewriting Packet specific information storing step for generating and storing packet specific information;
A search request including tracking target packet specifying information for specifying a tracking target packet is received from the tracking manager, the first packet specifying information or the second packet specifying information is searched, and a search result is sent to the tracking manager. Search process to send to,
The packet tracking method characterized by including.
前記パケット変換装置における書き換え前の追跡対象パケットを特定するための第１の追跡対象パケット特定情報と、書き換え後の追跡対象パケットを特定するための第２の追跡対象パケット特定情報とを生成するパケット特定情報生成工程と、
前記追跡対象パケットの検出位置に基づいて、前記第１の追跡対象パケット特定情報または前記第２の追跡対象パケット特定情報を前記パケットプリント装置へ通知し、前記パケット特定情報の検索を依頼する検索依頼工程と、
を含むことを特徴とするパケット追跡方法。A plurality of packet printing devices for generating and storing packet specifying information for specifying a packet flowing in a network having a packet conversion device arranged at a key point of a monitored network and rewriting information included in the packet when passing; A packet tracking method applied to a packet tracking system comprising a tracking manager for sending and receiving information to and from these packet printing devices,
A packet for generating first tracking target packet specifying information for specifying a tracking target packet before rewriting in the packet conversion device and second tracking target packet specifying information for specifying a tracking target packet after rewriting Specific information generation process;
A search request for notifying the packet printer of the first tracking target packet specifying information or the second tracking target packet specifying information based on the detection position of the tracking target packet and requesting the search of the packet specifying information Process,
The packet tracking method characterized by including.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003070328A JP4098127B2 (en) | 2003-03-14 | 2003-03-14 | Packet tracking method and packet tracking program |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003070328A JP4098127B2 (en) | 2003-03-14 | 2003-03-14 | Packet tracking method and packet tracking program |
Related Child Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2007257978A Division JP4406660B2 (en) | 2007-10-01 | 2007-10-01 | Packet tracking method and packet tracking program |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004282364A JP2004282364A (en) | 2004-10-07 |
| JP4098127B2 true JP4098127B2 (en) | 2008-06-11 |
Family
ID=33287108
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003070328A Expired - Lifetime JP4098127B2 (en) | 2003-03-14 | 2003-03-14 | Packet tracking method and packet tracking program |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4098127B2 (en) |
Families Citing this family (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP4664257B2 (en) * | 2006-09-06 | 2011-04-06 | 富士通株式会社 | Attack detection system and attack detection method |
| JP4673925B2 (en) | 2007-05-31 | 2011-04-20 | 富士通株式会社 | Information acquisition apparatus, information acquisition method, and information acquisition program |
| JP4710889B2 (en) * | 2007-08-24 | 2011-06-29 | 日本電気株式会社 | Attack packet countermeasure system, attack packet countermeasure method, attack packet countermeasure apparatus, and attack packet countermeasure program |
| JP4867949B2 (en) * | 2008-05-13 | 2012-02-01 | 日本電気株式会社 | Packet transmission source identification system, packet transmission source identification method, and packet transmission source identification program |
| JP6096084B2 (en) * | 2013-08-27 | 2017-03-15 | 日本電信電話株式会社 | Traffic scanning apparatus and method |
Family Cites Families (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP3819364B2 (en) * | 2001-04-27 | 2006-09-06 | 株式会社エヌ・ティ・ティ・データ | Packet tracking system |
| JP3934030B2 (en) * | 2002-08-30 | 2007-06-20 | 株式会社エヌ・ティ・ティ・データ | Packet passing route search method and program causing computer to execute the method |
| JP3934029B2 (en) * | 2002-10-25 | 2007-06-20 | 株式会社エヌ・ティ・ティ・データ | Multiprotocol packet tracking method, multiprotocol packet tracking program, and multiprotocol packet tracking apparatus |
-
2003
- 2003-03-14 JP JP2003070328A patent/JP4098127B2/en not_active Expired - Lifetime
Also Published As
| Publication number | Publication date |
|---|---|
| JP2004282364A (en) | 2004-10-07 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP3819364B2 (en) | Packet tracking system | |
| US8059551B2 (en) | Method for source-spoofed IP packet traceback | |
| DiBenedetto et al. | Mitigating poisoned content with forwarding strategy | |
| JP5050781B2 (en) | Malware detection device, monitoring device, malware detection program, and malware detection method | |
| US8874723B2 (en) | Source detection device for detecting a source of sending a virus and/or a DNS attack linked to an application, method thereof, and program thereof | |
| Vanaubel et al. | Network fingerprinting: TTL-based router signatures | |
| US20020032717A1 (en) | Method and system for profiling network flows at a measurement point within a computer network | |
| Chatterjee et al. | Security issues in named data networks | |
| US7684339B2 (en) | Communication control system | |
| Hilgenstieler et al. | Extensions to the source path isolation engine for precise and efficient log-based IP traceback | |
| JP4098127B2 (en) | Packet tracking method and packet tracking program | |
| CN101699796B (en) | Stream trust-based method and system for transmitting data message at high speed and router thereof | |
| Wang et al. | Design and implementation of an SDN-enabled DNS security framework | |
| JP4406660B2 (en) | Packet tracking method and packet tracking program | |
| Wang et al. | Anonymous sensory data collection approach for mobile participatory sensing | |
| JP4758302B2 (en) | Network node | |
| US20100183019A1 (en) | Method and apparatus for distributing data packets to multiple network addresses | |
| KR101081433B1 (en) | An ip traceback method with enhanced integrity for ipv6-based network and the recording medium thereof | |
| Gao et al. | Protecting router cache privacy in named data networking | |
| KR20030039732A (en) | Attacker traceback method by using edge router's log information in the internet | |
| JP3934030B2 (en) | Packet passing route search method and program causing computer to execute the method | |
| Subbulakshmi et al. | Attack source identification at router level in real time using marking algorithm deployed in programmable routers | |
| JP2007104472A (en) | Apparatus and method for acquiring statistic data | |
| JP4319609B2 (en) | Attack path analysis device, attack path analysis method and program | |
| Pilli et al. | An IP traceback model for network forensics |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20051219 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20070709 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20070731 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20071001 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20080219 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20080312 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 4098127 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110321 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110321 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120321 Year of fee payment: 4 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120321 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130321 Year of fee payment: 5 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130321 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20140321 Year of fee payment: 6 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| EXPY | Cancellation because of completion of term |