JP4167866B2

JP4167866B2 - データ伝送方法、データ伝送システム及びデータ伝送装置

Info

Publication number: JP4167866B2
Application number: JP2002251958A
Authority: JP
Inventors: 真久保田
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2002-08-29
Filing date: 2002-08-29
Publication date: 2008-10-22
Anticipated expiration: 2022-08-29
Also published as: JP2004096246A

Description

【０００１】
【発明の属する技術分野】
本発明はデー手伝送方法、同方法を実現するデータ伝送システム及び同システムを構成するデータ伝送装置に係り、特にパケット中継網等のデータ通信網において、悪意を持って攻撃を仕掛けてくるユーザ等に対する有効な対策を講じ得るデー手伝送方法、同方法を実現するデータ伝送システム及び同システムを構成するデータ伝送装置に関する。
【０００２】
【従来の技術】
現在、インターネット等のデータ通信網上で、悪意を持ったユーザによるサーバやネットワークへの攻撃が急増し、問題となっている。ここで述べる攻撃とは、例えば所謂ＤｏＳ（ＤｅｎｉａｌｏｆＳｅｒｖｉｃｅ、サービス妨害）攻撃と呼ばれる、特定ネットワークの帯域やサーバリソースを意図的に無意味なデータで溢れさせる等の方法によって当該システムの運用を妨害する攻撃、所謂Ｉｎｔｒｕｓｉｏｎ（侵入）と呼ばれる、正規な権限／許可無しにシステムの情報／リソースに不正にアクセスする攻撃等、ネットワーク上で展開される各種攻撃的なアクションを指す。
【０００３】
この問題に対応すべく、インターネット上に特定のネットワークやシステムを接続する際には、インターネットとの境界部分に、当該攻撃を検知／遮断する機能を有する装置を設置する形態が一般的となりつつある。この装置は、一般的にファイアウォール（Ｆｉｒｅｗａｌｌ）と呼ばれている。
【０００４】
【発明が解決しようとする課題】
しかしながら、当該攻撃への対応としては、攻撃の検知／遮断だけでは十分ではなく、更なる高度な攻撃の可能性をも除去する目的等から、当該攻撃者の特定を行うことも重要である。具体的には、当該攻撃を受けたネットワークやシステムが攻撃者を特定する為に、当該攻撃に使用されたパケットの送信元ホストや当該攻撃を仕掛けたユーザの情報を追跡する機能が重要視される。以後、このような機能を［追跡］機能と称し、この機能を実現する行為のことを「追跡」と称する。以下、この［追跡］機能について述べる。
【０００５】
上記攻撃を検知したファイアウォールの管理者は、上記追跡を行うにあたり、当該攻撃の主体としてのパケット中の送信元ＩＰアドレス（以下ではＩＰ−ＳＡと称する）によっても攻撃者のホストが特定できるとは限らない。即ち、ＩＰパケットは送信ホストが自由に生成可能なことから、攻撃に使われたパケット（以下攻撃用パケットと称する）中のＩＰ−ＳＡは、攻撃者により第３者のＩＰアドレスを詐称したものである可能性があり、正しい送信元ホストのアドレスとは限らない。このように攻撃者が第３者のＩＰアドレスの詐称によってパケットを送信する行為は、一般的にスプーフィング（Ｓｐｏｏｆｉｎｇ；成り済まし）と称される。
【０００６】
上述のように、パケット中のＩＰ−ＳＡに絶対的な信用性が無い事実を鑑みると、追跡作業としては、中継網が過去に該パケットを中継した実際の経路の情報を何らかの方法で入手し、実際の送信元ホストの位置を追跡していく方法が考えられる。しかしながら経路の履歴が原則パケット中に残らず、又各中継ノードにおける中継情報の履歴の記録が補償されていないため、ＩＰパケット通信網において、パケット通信経路はアグリゲートされ、即ち、異なる拠点から同じ宛先に送信されたパケットは途中からは同じ中継ノードを通って中継されるため、パケットが中継された実際の経路の情報を全て漏れなく入手することは容易ではない。
【０００７】
本発明は上記状況に鑑みてなされたものであり、比較的簡易な構成にて悪意を持って攻撃を仕掛けてきたユーザ等のアクセスに対する効果的な追跡動作を実施可能なデータ伝送方式を提供することを目的とする。
【０００８】
【課題を解決するための手段】
上記目的を達成するために本発明では、データ中継網の入口のノードにて、中継すべきパケットに当該パケットの入手元情報を含む付加情報を付加し、更にデータ中継網の出口のノードにて、当該データ中継網で中継されたパケット自体の識別情報を、当該パケットに付加された付加情報に含まれた当該パケットの入手元情報と対応付けて記録するようにした。
【０００９】
このような構成とすることにより、当該データ中継網によって中継されたパケットの送信元を探索する際、当該パケットの識別情報をキーとして上記出口ノードにおける記録を検索することによって当該パケットの入手元情報を取得可能となる。
【００１０】
【発明の実施の形態】
まず、本発明によるデータ伝送方法の基になる考え方について最初に説明する。
【００１１】
上述の如く攻撃の主体としてのパケットの送信元を特定することが困難な状況を鑑みたとき、追跡の為のアプローチとして、中継網に必要な機能と、その機能を使って攻撃者のホストを追跡する手順として、以下の手順が考えられる。尚、ここでは追跡を行う主体は、攻撃を検知した「ファイアウォールの管理者」であることとして説明を行なうが、実際には、この追跡主体はファイアウォールによって守られたネットワークやシステムの管理者や、或いはファイアウォール上の何らかのプログラムであっても良く、また必要に応じて、各中継網の管理者と連携して追跡すること場合をも又想定し得る。
【００１２】
（１）中継網の各ノードがパケット中継時に、ノード内にパケットの受信情報をログとして残す手法
即ち、攻撃を検知したファイアウォールの管理者は、このログを基に、攻撃用パケットを中継した前ホップノードをサーバ側から順に辿り、最終的に送信元ホストを特定する方法である。
（２）上記（１）に加え、ファイアウォール内に、情報を少しでも多く収集する為の何らかの仕組みをアプリケーションレベルで設ける手法
情報を少しでも多く収集する為の何らかの仕組みの例としては、例えばファイアウォールは、攻撃を検知すると、攻撃を遮断する代わりに、その攻撃者を呼び寄せる囮として、攻撃／侵入に成功したように見せかけるアプリケーション機能を起動し、当該攻撃者の行動を長期間監視することで、より多くの情報を集める、という方法である。
【００１３】
上記手法（１）について、その概要について図１と共に説明する。
【００１４】
即ち、インターネットに接続されたホストＨ１１が、ホストＨ０１のアドレスを詐称して（即ちＩＰ−ＳＡをスプーフィングして）サーバＳ２２に攻撃を仕掛け、その攻撃を検知したファイアウォールＮ２１が攻撃者を追跡する場合を想定している。この場合、ホップ・バイ・ホップで順々にノード内のログを辿っていくこととなる。具体的には、ファイアウォールＮ２１のログＬ２１上の対応受信インタフェース＃２１０及びＭＡＣアドレスＰの情報から当該インタフェース＃２１０を介して接続されＭＡＣアドレスＰを有するノードＮ２０を辿り、当該ノードＮ２０のログＬ２０上の対応インタフェース＃２００及びＭＡＣアドレスＱの情報から当該インタフェースを介して接続されＭＡＣアドレスＱを有するノードＮＱを辿り、同様にしてノードＮＱのログＬＱ上の対応する情報から更に一つ前の中継ノードＬＰを辿り、最後にインターネット入り口ノードであるノードＮ１０へと辿り着く。そして当該ノードＮ１０のログＬ１０上の対応する受信インタフェース番号とＭＡＣアドレスの情報から更に、ホストＨ１１へと至る更に上流側のノードを探索する。
【００１５】
ところが、このようにして該当パケットの伝送路を順次辿るためには膨大な作業量を必要とされると共に、各中継ノードにて上記のＬ２１，Ｌ２０，ＬＰ，ＬＱ等のログを保管しているという保障も無い。
【００１６】
又、上記（２）の手法はあくまで攻撃者としてのユーザの情報をより多く得る為のものであり、実際に攻撃者追跡の際には、結局（１）の手法等の具体的追跡手法が必要となる。
【００１７】
このように、ＩＰ中継網において攻撃者を追跡する為の手法は、前述の（１）又は（１）と（２）の組み合わせが必要であり、この方法によると、上述の如く、パケット中継網の上で攻撃者を追跡するには膨大な手間を要することとなる。
【００１８】
他方、近年キャリアと称される通信事業者やＩＳＰ（ＩｎｔｅｒｎｅｔＳｅｒｖｉｃｅＰｒｏｖｉｄｅｒ）によるＩＰ網では、網の高速／高機能化を狙いとしてＭＰＬＳ（ＭｕｌｔｉｐｒｏｔｏｃｏｌＬａｂｅｌＳｗｉｔｃｈｉｎｇ）と称される手法の導入が進められている。
【００１９】
このＭＰＬＳは、ＩＥＴＦ（ＴｈｅＩｎｔｅｒｎｅｔＥｎｇｉｎｅｅｒｉｎｇＴａｓｋＦｏｒｃｅ）のＲＦＣ３０３１等で規定されるプロトコルであり、中継網の入口エッジノードがパケットに対してＭＰＬＳで規定されたラベルの付加を行い（すなわちカプセリング処理を行い）、中継網内部の各ノードは当該ラベルによりパケットを中継し、中継網の外部にパケットを送信する前に該ラベルを削除する（すなわちデカプセリング処理を行う）手法である。尚、ここで述べた中継網とは、キャリア／ＩＳＰ毎にパケット中継網として定めている所定の管理ドメインを示す。
【００２０】
このように中継網にカプセリング技術が導入され始めた背景を鑑みた場合、追跡の為のアプローチとして、新たに以下のアプローチ（３）〜（４）が考えられる。なお、上記同様、追跡を行う主体は、攻撃を検知した「ファイアウォールの管理者」であるものとして説明するが、実際には、ファイアウォールにより守られたネットワークやシステムの管理者や、或いはファイアウォール上の何らかのプログラムであっても良く、また必要に応じて、各中継網の管理者と連携して追跡することをも想定可能である。
【００２１】
（３）中継網の各エッジノードはパケット中継時に、ノード内とパケット内の両方に追跡の為の記録を残す手法
中継網の入口エッジノードは、パケット中継時に、パケットの受信情報を記したログを記録しておくと共に、当該パケット中に、このログの識別子を何らかの形で記録したうえで、網の出口またはファイアウォール迄この識別子を渡す構成とする。その結果、攻撃を検知したファイアウォールの管理者は、パケット中の前記ログ識別子を用いて、当該ログ識別子によって識別された特定のログのみを参照しながら中継網内の送信元ホストを追跡することにより、追跡にかかる手間を削減可能となる。
【００２２】
尚、ここで上記ログの識別子とは、後程ログを特定する為に使う情報であり、例えばログをノード単位で設ける場合を想定した場合、ここで言うログの識別子は、入口エッジノード自体の識別子を意味することになる。又、上記入り口エッジノードとは、特定の中継網を介してパケットを中継送信する場合において、当該中継網内で最初にパケットを中継するノードを意味し、例えば図１において、ノードＮ１０はインターネットを介してパケットを中継送信する場合の、当該パケットに関する入り口ノードとなる。
【００２３】
（４）中継網の各エッジノードは、パケット中継時に、パケット内に入口エッジノードの前ホップノード情報を残す手法
この手法では、中継網の入口エッジノードは、パケット中継時に、このノードにパケットを送ってきた前ホップノードの識別情報を、パケット中に何らかの形で記録し、網の出口またはファイアウォール迄この識別子を渡す構成とする。攻撃を検知したファイアウォールの管理者は、パケット中の前記の前ホップノード情報を用いて当該前ホップノードを辿り当該送信元ホストを追跡することにより、追跡にかかる手間を軽減することが可能である。
【００２４】
ここで上記前ホップノード情報とは、中継網が認識し得る「前ホップノードを特定可能な情報」を意味し、具体的には例えば「入口ノードのポート」を識別するための情報である。又、前ホップノード／ルータのＭＡＣ−ＳＡ等があれば、より手前のホップのノード／ルータを特定出来るが、前述の如くユーザが作るパケット中の値は絶対的には信用出来ないという前提なので、基本的には使えない情報である（但し補助的には使用して良い）。
【００２５】
上記手法（３）又は（４）によれば攻撃者追跡の際に行うべきログの参照回数が前記（１）の手法に比べて減る為、攻撃者追跡の手間を、手法（１）に比べて大幅に減らせる効果がある。
【００２６】
従来のＩＰパケット通信手法によれば、基本的にはパケットにヘッダを付加する仕組みは無いため、上記アプローチ実現の際には、中継ノードの処理を実質的に変更する必要があったが、上記ＭＰＬＳによる手法の適用により、当該問題は解決する。即ち、ＭＰＬＳにおけるラベル付加の仕組みを利用し、当該ラベル値として、上記手法（３）や（４）による追跡の為の情報を適用したラベル値をパケットに付加することにより、これら（３）又は（４）の手法の実現に必要となる、「パケット中に、追跡の為の何らかのヘッダを付加する構成」が、規定の枠組み範囲内で実現可能となる。
【００２７】
尚、ＭＰＬＳによるラベリング機能を利用する以外に、Ｒｏｕｔｅ−Ｒｅｃｏｒｄ−Ｏｐｔｉｏｎと称されるオプション機能の適用によってパケット中への中継ノードの記録機能を利用することも可能ではある。しかしながらこの機能では、オプションの指定によって送信元ホストのみ指定可能であるが、攻撃者はこのようなオプションを指定しないことが可能であるため、基本的に利用不可と考えるべきである。
【００２８】
又、ＭＰＬＳのラベリング機能を利用する以外の方法として、データリンク層以下におけるヘッダ付加の機能が考えられるが、この機能ではデータリンク層のヘッダはルータを跨いで伝播できない為、ここでは利用不可である。
【００２９】
しかしながら、ＭＰＬＳは、元々上記追跡の為の機能は持たず、ＭＰＬＳ本来の機能だけでは、前記（３）又は（４）のアプローチを実現するには十分でない。即ち、ＭＰＬＳではラベルを出口ノードで削除してしまう。従って上記手法（４）を実現する為には以下の２つの機能が必要となる。即ち、入口エッジノードで各中継パケットに対しラベル付加する機能に加え、当該ラベルを削除するノードが、各中継パケットについて、当該パケットと当該ラベルとの対応関係をログとして残す機能が必要であるが、後者が本来のＭＰＬＳに備わってはいない。
【００３０】
また、上記手法（３）については更に、入口エッジノードで各中継パケットついてログを取る機能が必要となるが、この機能もやはりＭＰＬＳに本来的には備わっていない機能である。
【００３１】
従って、本発明の実施の形態では、パケット中継網の上での攻撃を検出した際に、攻撃者の追跡を効率的に行うことが可能なシステムの提供するにおいて、以下に述べる各実施例の構成を有するものとする。尚、以下、特定の管理ドメインで定義される中継網の範囲のことを、単に網又はパケット中継網と呼ぶ。
【００３２】
まず、本発明の第１実施例について説明する。本実施例は、前記アプローチ（４）に対応する。図２は、本発明の第１実施例によるデータ伝送方法を説明するための原理図である。図中、各ノードＮ１０，Ｎ２０のパケット中継部１１、２１は、パケットＰ１のヘッダに基づき当該パケットの宛先を決定するものであり、従来技術のＩＰパケットデータ伝送方式における各ノードに備わった機能をそのまま利用可能である。ノードＮ１０の受信元識別情報付加部１２は、当該パケット中継網ＮＷ１の外部から受信したパケットに対し、パケットの受信元情報を含むヘッダＨＤ１を付加する機能部である。
【００３３】
又、ノードＮ２０の出口ログ記録部２３は、網ＮＷ１の外部へ送信するパケットの識別情報を、当該パケット中に格納された前記受信元情報と対応付けてログとして記録する機能部である。同ノードＮ２０の受信元識別情報削除部２２は、パケット中継網ＮＷ１の外部へ送信するパケットに関し、当該パケットの受信元情報を含むヘッダＨＤ１を削除する機能部である。
【００３４】
図２に示すデータ伝送方法によるパケット中継処理としては、まず網ＮＷ１の外部からパケットＰ１を受信したエッジノードＮ１０は、パケット中継部１１により宛先を決定し、前記受信元識別情報付加部１２により受信元情報を含むヘッダＨＤ１を付加した後に該パケットＰ１を送信する。他方網ＮＷ１内部を経由して送信されたパケットＰ１を当該網ＮＷ１の外部へ送信するエッジノードＮ２０は、パケット中継部２１により宛先を決定し、当該パケット中に格納された上記受信元識別情報と該パケット自体の識別情報との対応付けを、出口ログ記録部２３によりログとして記録し、受信元識別情報削除部２２によりヘッダＨＤ１を削除した後に当該パケットＰ１を送信する。
【００３５】
次に当該網ＮＷ１が過去に中継したパケットについて送信元ノード位置を追跡するための手順について以下の通りである。従来技術のＩＰパケット伝送方式のファイアウォールが備える一般的な機能部としての攻撃検知部３１により攻撃を検知した、網ＮＷ１の外部のファイアウォールＦ３０の管理者やプログラムが、当該ファイアウォールＦ３０内のログを参照する等の手法により、当該攻撃時に使われたパケットを中継した出口エッジノードＮ２０を特定する。
【００３６】
次に、前記出口ログ記録部２３により、当該攻撃時に使われたパケットＰ１自体の識別情報をキーとしてログ２４に記録された対応する前記受信元識別情報を獲得する。この受信元識別情報によって、当該パケットの送信元ノード位置として、該網ＮＷ１で当該パケットを網ＮＷ１外部から受信した入口エッジノードＮ１０及びその際の受信元情報、即ち受信ポートの情報等を獲得することが可能となる。
【００３７】
このように、本発明の第１実施例によれば、図１と共に説明した追跡手法に比べ、網のパケット中継処理としては、網の内部ノード及び入口エッジノードにおけるログの記録は不要である。又追跡手順としては、網内の内部ノードのログの記録を順に辿る手順も不要である。従って、攻撃者追跡の為の手間が大幅に削減可能である。
【００３８】
次に、本発明の第２実施例について説明する。同実施例も、上記アプローチ（４）に対応する機能を実現するものである。本実施例では、上記第１実施例における受信元識別情報として、具体的に当該パケットを受信したポートの識別情報を使用する構成である。他の構成については第１実施例と同様である。
【００３９】
次に、図３と共に本発明の第３実施例について説明する。本実施例は上記アプローチ（３）に対応する機能を実現する。即ち、この実施例では、上述の第１実施例の構成に加え、入り口ノードＮ１０は入口ログ記録部１３を含む。当該記録部１３は、網ＮＷ１の外部から受信したパケットＰ１の識別情報を、当該パケットＰ１の受信元を示す各種情報と対応付けてログとして記録する（１４）。
【００４０】
そして第３実施例における入り口ノードＮ１０は、受信元識別情報付加部１２において、網ＮＷ１の外部から受信したパケットＰ１に対し、受信元識別情報として、上記ログ１４の識別情報を含むヘッダＨＤ１を付加する。
【００４１】
第３実施例におけるパケット中継処理は以下の通りに実施される。即ち、網ＮＷ１の外部からパケットＰ１を受信した前記エッジノードＮ１０は、パケット中継部Ｎ１１により宛先を決定し、前記入口ログ記録部１３により上記の如くログを記録し、更に前記受信元識別情報付加部１２により受信元情報としてのログ識別情報を含むヘッダＨＤ１を付加した後に該パケットＰ１を送信する。
【００４２】
又、網ＮＷ１の外部へパケットを送信する前記エッジノードＮ２０は、パケット中継部２１により受信パケットＰ１の宛先を決定し、当該パケットＰ１中に格納された受信元識別情報としてのログ識別情報（ＨＤ１）と該パケットの識別情報との対応付けを、前記出口ログ記録部２３によりログ２４として記録し、受信元識別情報削除部２２によりヘッダＨＤ１を削除した後に当該パケットＰ１を送信する。
【００４３】
当該網ＮＷ１が過去に中継したパケットＰ１について送信元ノード位置を追跡する手順は以下の通りである。即ち、まずファイアウォールＦ３０の攻撃検知部３１により攻撃を検知したファイアウォールの管理者やプログラムが、当該ファイアウォールＦ３０内のログ３４を参照する等の手法により、攻撃時に使われたパケットＰ１を中継した出口エッジノードＮ２０を特定する。
【００４４】
次に攻撃時に使われたパケットＰ１の識別情報をキーとして、前記出口ログ記録部２３によりログ２４に記録された前記受信元識別情報、即ち当該パケットＰ１の受信元を示す情報を記したログを特定し、該ログを、攻撃時に使われたパケットの識別情報をキーとして検索する。その結果、該パケットの送信元ノード位置として、該網で該パケットを受信した入口エッジノードＮ１０を取得出来、更には当該ノードＮ１０におけるログ１４を検索することによって当該ノードＮ１０における当該パケットの受信ポートの情報を獲得することが可能となる。その結果、更に該当するユーザのホストＨ１側伝送路を辿ることが可能となる。
【００４５】
このように、前記第１実施例による効果に加え、パケットに付加する受信元識別情報の情報量を効率化でき、また入口エッジノード内のログ中に受信元情報として詳細な記録を残すことにより、より精度の高い追跡が行え、攻撃者のより確実な特定が可能となる。
【００４６】
次に、本発明の第４実施例について説明する。本実施例は、上記アプローチ（３）に対応する機能を実現するものである。ここでは、図３と共に説明した上記第３実施例における受信元識別情報付加部１２において、網ＮＷ１の外部から受信したパケットＰ１に対し、受信元識別情報として、前記入口ログ記録部１３が該パケットＰ１の受信元を示す各種情報を記録したログ中の該当する「エントリ」（項目）の識別情報を含むヘッダＨＤ１を付加するものとする。
【００４７】
この場合の当該網が過去に中継したパケットについて送信元ノード位置を追跡する手順は以下の通りである。即ち、まず攻撃検知部３１により攻撃を検知した網外部のファイアウォールＦ３０の管理者やプログラムが、該ファイアウォール内のログ３４を参照する等の手法により、攻撃時に使われたパケットＰ１を中継した出口エッジノードＮ２０を特定し、次に攻撃時に使われたパケットの識別情報をキーとして、前記出口ログ記録部２３によりログに記録された前記受信元識別情報、即ち該パケットの受信元を示す各種情報を記した網内のログ１４及び該ログ１４の「エントリ」情報を取得し、該ログ１４を、前記エントリ情報をキーとして検索することにより、該パケットの送信元ノード位置として、当該網で該パケットを受信した入口エッジノードＮ１０の受信ポートの情報を獲得することが可能となる。
【００４８】
このように、前記第３実施例による効果に加え、入口エッジノードＮ１０内のログ１４検索動作を効率化可能であり、もって、追跡手順を簡略化できる。
【００４９】
次に、図４と共に、本発明の第５実施例について説明する。本実施例は、上記アプローチ（４）に対応する機能を実現する。本実施例では上記第１実施例に加え、付加処理起動部１５を有し、当該起動部１５は、網ＮＷ１の外部から受信したパケットＰ１が、予め監視対象として指示された所定のヘッダ値を持つパケットかどうかを判定し、監視対象と判断した時に、前記受信元識別情報付加部１２を起動する。又、出口エッジノードＮ２０は出口処理起動部２５を有し、当該起動部２５は、網ＮＷ１の外部へ送信するパケットＰ１が、予め監視対象として指示されたヘッダ値を持つパケットかどうかを判定し、監視対象と判断した時に、前記出口ログ記録部２３と前記受信元識別情報削除部２２を起動する。
【００５０】
第５実施例におけるパケット中継処理としては、網ＮＷ１の外部からパケットＰ１を受信した前記エッジノードＮ１０は、パケット中継部１１により宛先を決定し、次に予め管理者等により指示された設定のもとに、付加処理起動部１５により監視対象パケットかどうかの判断を行い、監視対象判断した時にのみ前記受信元識別情報付加部１２を起動し、当該付加部１２の前述の機能を実行する。
【００５１】
網ＮＷ１の外部へパケットＰ１を送信する前記エッジノードＮ２０は、パケット中継部２１により宛先を決定し、次に予め管理者等により指示された設定のもとに、出口処理起動部２５により監視対象パケットかどうかの判断を行い、監視対象判断した時にのみ前記出口ログ記録部２３と受信元識別情報削除部２２を起動し、夫々の該当する機能を実行させる。
【００５２】
又、該網ＮＷ１が過去に中継したパケットＰ１について送信元ノード位置を追跡する手順としては、上記第１実施例におけるものと同様である。
【００５３】
このように、第５実施例では、第１実施例による効果に加え、非監視対象として設定したパケット中継時には、各中継ノードにおける追跡の為の処理が省略でき、中継処理の高速化およびログ用のリソースの削減が可能となる。
【００５４】
次に、図５と共に、本発明の第６実施例について説明する。この場合、上記アプローチ（３）に対応する機能を実現するものであり、上記第３実施例の構成に加え、出口エッジノードＮ２０は上記第５実施例で説明した出口処理起動部２５を有し、入口エッジノードＮ１０は入口処理起動部１６を有する。当該入口処理起動部１６は、網ＮＷ１の外部から受信したパケットＰ１が、監視対象として指示された所定のヘッダ値を持つパケットかどうかを判定し、監視対象と判断した時に、前記受信元識別情報付加部１２と入口ログ記録部１３とを起動する構成である。
【００５５】
又、パケット中継処理としては、網ＮＷ１の外部からパケットＰ１を受信した前記エッジノードＮ１０は、パケット中継部１１により宛先を決定し、次に予め管理者等により指示された設定のもとに、入口処理起動部１６により監視対象パケットかどうかの判断を行い、監視対象判断した時にのみ前記受信元識別情報付加部１２と入口ログ記録部１３とを起動し、夫々の該当する機能を実行させる。
【００５６】
網ＮＷ１の外部へパケットＰ１を送信する前記エッジノードＮ２０は、パケット中継部２１により宛先を決定し、次に予め管理者等により指示された設定のもとに、出口処理起動部２５により監視対象パケットかどうかの判断を行い、監視対象判断した時にのみ前記出口ログ記録部２３と受信元識別情報削除部２２を起動し、夫々該当する機能を実行させる。
【００５７】
網ＮＷ１が過去に中継したパケットについて送信元ノード位置を追跡する手順としては、前記第３実施例における場合と同様である。
【００５８】
このように、第３実施例による効果に加え、非監視対象として設定したパケット中継時には、各中継ノードにおける追跡の為の処理が省略でき、中継処理の高速化およびログ用のリソースの削減が可能となる。
【００５９】
次に、図６と共に、本発明の第７実施例について説明する。本実施例は、上記アプローチ（４）に対応する機能を実現するものである。本実施例は、図４に示す上記第５実施例の構成に加え、各エッジノードＮ２０はトリガ受信部２６を有し、当該受信部２６は、攻撃検知の手段を備えた装置Ｆ３０の手段攻撃検知部３１から、監視対象パケットの識別情報を、監視のＯＮ／ＯＦＦ情報と共に受信し、上記通知を受信すると、出口処理起動部２５に当該通知内容を設定する（つまり、監視ＯＮ時は、監視対象として、トリガ時受信部２６が受信した識別情報を追加し、ＯＦＦ時は，トリガ受信部が受信した識別情報を監視対象から外す）と共に、トリガ通知部２７を起動する。
【００６０】
又、各エッジノードＮ１０はトリガ通信部１７を有し、当該通信部１７は、網ＮＷ１内の当該エッジノード内の付加処理起動部１５に対し、監視対象パケットの識別情報を、監視のＯＮ／ＯＦＦ情報と共に通知する。
【００６１】
又、各エッジノードＮ２０は、前記トリガ受信部２６により、ファイアウォールＦ３０から監視対象パケットの識別情報及び監視のＯＮ／ＯＦＦ情報を受信すると、出口ログ記録部２５に当該通知された内容を設定すると共に、トリガ通知部２７を起動する。起動された前記トリガ通知部２７は、トリガ通信部１７を介して網ＮＷ１内の各エッジノードＮ１０内の前記付加処理起動部１５に対し、監視対象パケットの識別情報を監視のＯＮ／ＯＦＦ情報と共に通知し、各付加処理起動部１５に、当該通知された内容を設定する。
【００６２】
このように、第７実施例では、ファイアウォールから記録開始のトリガ及び記録対象パケットの識別情報を通知し、その指示情報に従って各エッジノードにて上記所定の情報付加／ログ記録動作を実行する。
【００６３】
この場合、該網ＮＷ１が過去に中継したパケットについて送信元ノード位置を追跡する手順としては、前記第５実施例における場合と同様である。
【００６４】
このように、監視対象を外部の攻撃検知手段と連動して指定出来るため、攻撃検知から追跡のためのシステムのセットアップ迄の時間を、第５実施例に基づく静的セットアップの場合よりも短縮できる可能性がある。
【００６５】
次に、本発明の第８実施例について説明する。この場合、上記アプローチ（３）に対応する機能を実現するものである。ここでは、上記図５に示す第６実施例において、更に、各エッジノードは前記トリガ受信部２６を有し、当該受信部２６は、網ＮＷ１内の各エッジノードＮ１０内の前記入口処理起動部１６に対し、監視対象パケットの識別情報を、監視のＯＮ／ＯＦＦ情報と共に通知する。又、各エッジノードＮ２０では、前記トリガ受信部２６により、ファイアウォールＦ３０から監視対象パケットの識別情報を監視のＯＮ／ＯＦＦ情報と共に受信すると、出口ログ記録部２５に当該通知された内容を設定すると共に、トリガ通知部２７を起動する。起動された前記トリガ通知部２７は、網ＮＷ１内の各エッジノードＮ１０内の前記入口処理起動部１６に対し、監視対象パケットの識別情報を監視のＯＮ／ＯＦＦ情報と共に通知し、各入口処理起動部１６に、当該通知された内容を設定する。
【００６６】
網ＮＷ１が過去に中継したパケットについて送信元ノード位置を追跡する手順としては、前記第６実施例における場合と同様である。
【００６７】
第８実施例では、このように、第６実施例による効果に加え、第７実施例同様、監視対象を外部の攻撃検知手段と連動して指定出来るため、攻撃検知から追跡のためのシステムのセットアップ迄の時間を、第５実施例に基づく静的セットアップの場合よりも短縮できる可能性がある。
【００６８】
以下、以上の本発明の各実施例を実現するための更に詳細な構成について説明する。
【００６９】
本発明は、基本的に中継網がカプセリング技術を導入可能であれば、そのためのカプセリングプロトコルを限定するものではないが、本実施例では、このカプセリング技術として上記ＭＰＬＳ方式を使用するものとする。
【００７０】
ここで、本発明をＭＰＬＳ網の上で運用する際には、その際のラベル値が、上記受信元識別情報としての要件を満たしている必要がある。従って、以下、実施例の更なる詳細な説明においては、まず受信元識別情報としての要件について説明する。次に、ＭＰＬＳを中心とした各種プロトコルにおけるラベルアサイン指針について説明し、各指針が前記要件を満たすかどうかの評価を行う。
【００７１】
なお、本発明を実施するにあたり、必ずしもラベルアサイン指針が以下に説明する内容と同一である必要は無く、対応する要件を満たす限り、他のいかなる指針を適用してもよいことは言うまでもない。
【００７２】
まず、本発明の実施例による受信元識別情報の要件を整理する。本発明の実施例は上記アプローチ（３），（４）を実現する構成を有するため、受信元識別情報としての要件を、このアプローチ（３），（４）に応じて以下に示す。
【００７３】
まず、アプローチ（３）に関し、受信元識別情報は、中継網の入口ノードのログが後程特定可能な情報を含むことが必要である。
【００７４】
次にアプローチ（４）に関し、受信元識別情報は、中継網の入口ノードの前ホップノードを後程特定可能な情報を含むことが必要である。
【００７５】
なお、後者で述べた「前ホップノード情報」は、ユーザが作るパケット中の値がスプーフィングされている可能性があることを鑑みた場合、結局「入口ノードの受信ポート情報」にマッピングすることが望ましく、パケット中の各パラメタもマッピングする場合は、あくまで補助的な情報として使用することが望ましい。
【００７６】
次に、ＭＰＬＳを基本技術として使用した各種プロトコルにおけるラベルアサイン指針及び各指針が前記要件を満たすかどうかの評価について以下に述べる。
【００７７】
ＩＰルーティング処理をそのままＭＰＬＳにマッピングした場合（このようにして実現される方式を、以下、単にＩＰ−ＭＰＬＳと称する。ＩＰ−ＭＰＬＳではＩＰパケットにラベルが一つ付加される。このラベルのことを以下Ｌ１ラベルと称し、このパケットフォーマットを図９（ｂ）に示す。）、ＭＰＬＳのＬ１ラベルは、パケットを宛先ノードまで中継することを目的としたパラメタであり、現状の使い方としては、ＩＰ−ＤＡ（宛先アドレス）がマッピングされる。しかしながら中継の為には送信元情報は不要な為、Ｌ１ラベルには入口情報は含まれない。又、異なる拠点から同じ宛先に送信されたパケットが途中から同じ中継ノードを通り中継される場合、同じＬ１ラベル値が付く為、このラベルは、後からパケットの送信元を辿る用途には利用不可である。
【００７８】
又、周知のＲＦＣ（ｒｅｑｕｅｓｔｆｏｒｃｏｍｍｅｎｔｓ）２５４７で規定されるＭＰＬＳ−ＶＰＮ（ｖｉｒｔｕａｌｐｒｉｖａｔｅｎｅｔｗｏｒｋ）を用いた場合（以下ＭＰＬＳ−ＶＰＮと称する。ＭＰＬＳ−ＶＰＮでは、ＩＰパケットにラベルが二つ付加される。このラベルのことを、パケットの先頭側から順に、以下Ｌ１，Ｌ２ラベルと称し、このパケットフォーマットを図９（ａ）に示す。）も、このＬ１ラベルは上記ＩＰ−ＭＰＬＳ方式におけるＬ１ラベルと同じであり、同様に上記用途には利用不可である。他方、この場合のＬ２ラベルは、ＶＰＮ内でパケットを宛先ノードまで中継することを目的としたパラメタであり、現状の使い方としては、ＶＰＮ毎に、ＩＰ−ＤＡ又は出口エッジノードのポートがマッピングされる。この場合も同様に中継の為には送信元情報は不要な為、Ｌ２ラベルには入口情報は含まれず、異なる拠点から同じ宛先に送信されたパケットに対しても同じＬ２ラベル値が付く為、このラベルも、後からパケットの送信元を辿る用途には利用不可である。
【００７９】
次に、本出願人の出願による特願２００１−２８３４７７号「レイヤ２−ＶＰＮ中継システム」（平成１３年９月１８日出願）で本発明者等が開示したレイヤ２−ＶＰＮを用いた場合（以下Ｌ２−ＶＰＮと称する。レイヤ２―ＶＰＮでは、レイヤ２フレームにラベルが二つ付加される。このラベルのことを、パケットの先頭側から順に以下Ｌ１，Ｌ２ラベルと称し、このパケットフォーマットを図９（ｃ）に示す。）を考える。この場合、そのＬ１ラベルは上記ＩＰ−ＭＰＬＳの場合のＬ１ラベルと同じであり、従って上記用途には利用不可である。他方、この場合のＬ２ラベルは、ＭＡＣフレームを宛先ノードまで中継する点、及び、ＭＡＣフレームの送信元ノードの位置をＭＰＬＳのエッジノードで学習し、ＭＰＬＳのフォワーディングテーブルに登録することを目的としたパラメタであり、Ｌ２ラベルへのマッピング対象として、上記出願明細書には、例えば以下の内容が開示されている。即ち、｛ＭＰＬＳ網の入口ノードの受信ポートと、出口ノードの受信ポートとの対｝から当該Ｌ２ラベルへのマッピングが開示されている。
【００８０】
このＬ２ラベルのマッピングを行うシステムでは、前記アプローチ（４）を適用可能であり、アプローチ（３）も、ログを保持する単位がポート以上であれば適用可能である。
【００８１】
以上の通り、本発明の要件を満たすラベルアサイン指針として、本発明等の提案による上記Ｌ２−ＶＰＮマッピング例を使用することとすればよい。又アプローチ（３）を実現の際には、ログの粒度はポート単位では細かすぎるので、ノード単位で一つのログを保持するものとすればよい。
【００８２】
尚、前記レイヤ２−ＶＰＮの内容の内、以下に述べる処理で使用するのは、ラベルのマッピング方法（即ちＬＳＰの張り方）のみである。即ち、前記レイヤ２−ＶＰＮのシステムはそもそもがレイヤ２でのＶＰＮを目的とした構成であるため、ＭＰＬＳ網のエッジノードは中継時にレイヤ２ヘッダによって宛先決定を行い、又ラベル付加後のフレームフォーマットとして図９（ｃ）を使用する構成となっているが、以下の説明では、中継時にはレイヤ３ヘッダによって宛先決定を行うものとして説明する。フレームフォーマットは図９（ａ）であり、Ｌ１ラベルは前記ＩＰ−ＭＰＬＳの場合ものと同じＬ１ラベルを使用する。これは説明の簡略化のためであり、他の実施の形態として、中継レイヤ及びフレームフォーマットを前記レイヤ２−ＶＰＮの場合の如くとすることも可能である。
【００８３】
以下、「ポート」と「インタフェース」とは同義として扱う。また、「インタフェース」のことをＩＦと略記することもある。
【００８４】
まず、上記第１及び第２実施例を実現するための詳細な構成例について図８と共に説明する。
【００８５】
まず、想定するネットワーク構成及び当該ネットワークにおけるＭＰＬＳによるパスであるＬＳＰ（ＬａｂｅｌＳｗｉｔｃｈｅｄＰａｔｈ）の張り方について、図８と共に説明する。
【００８６】
ネットワーク構成としては、あるＩＳＰ（ｉｎｔｅｒｎｅｔｓｅｒｖｉｃｅｐｒｏｖｉｄｅｒ）網ＮＷ１において、エッジノードＮ２０にコンテンツサイトＮＷ２が接続されており、コンテンツサイトの入口にはファイアウォールＮ２１が配置されており、また当該ＩＳＰ網ＮＷ１内では下位層でイーサネット（登録商標）としてのＭＰＬＳが適用されているものとする。又、当該ＩＳＰ網内のＬＳＰの張り方としては、エッジノードのユーザ網側のポート間を網内でフルメッシュに接続することを想定する。このパスのことを、以下Ｌ２−ＬＳＰとも称し、Ｌ２−ＬＳＰ用のラベルのことをＬ２−Ｌａｂｅｌと称する。
【００８７】
このＬ２−Ｌａｂｅｌは、第２実施例で示した、入口エッジノードのポート情報を含む受信元識別情報であり、各エッジノードがＬ２−Ｌａｂｅｌ付きパケットを受信した際に、このＬ２−ＬａｂｅｌがＭＰＬＳ網内のどのエッジノードのどのポートから送られたかが、例えば管理者によって予め静的になされた設定により一意に求められるように番号をアサインしたラベルである。ここでは即ち、エッジノードが持つポートのうち、ＩＳＰ網ＮＷ１の外部の網またはノードを収容するポートのことを外部ポートと呼ぶとき、ＩＳＰ網ＮＷ1の管理者により、｛外部ポート−外部ポート｝対毎にＩＳＰ網ＮＷ1内でユニークな値を割り振った値であることを想定する。この割り振りの管理例としての、Ｌ２−Ｌａｂｅｌ値アサインを管理するテーブルを以下の表１に示す。
【００８８】
【表１】

この例によれば、パケットのＬ２−Ｌａｂｅｌの値によって、当該パケットの中継に用いられた入口、出口各ノードと該当する外部ポートとを同時に特定可能である。
【００８９】
使用するＬＳＰとしては、上記Ｌ２−ＬＳＰ以外に、ＩＳＰ網ＮＷ１のＭＰＬＳ網内のノード間を中継する為のＬＳＰ（以下Ｌ１−ＬＳＰと称する）をも張るものとする。これらＬ１−ＬＳＰ及びＬ２−ＬＳＰの張り方としては、前記本発明者等の提案によるＬ２−ＶＰＮのラベルアサイン方針およびＬＳＰの張り方をそのまま適用可能である。尚、図７ではＬ２−ＬＳＰのみ記載し、Ｌ１−ＬＳＰについては省略している。
【００９０】
以上の構成において、ＬＤＰ（ＬａｂｅｌＤｉｓｔｒｉｂｕｔｉｏｎＰｒｏｔｏｃｏｌ）等の既存のラベル配信用プロトコル、ＲＩＰ等のルーティングプロトコル、及びＡＲＰ（ＡｄｄｒｅｓｓＲｅｓｏｌｕｔｉｏｎＰｒｏｔｏｃｏｌ）等の各種既存制御プロトコルの動作によって最終的に構築される宛先決定用のテーブル、及び当該テーブルを基にして、中継されたパケットについてファイアウォール内の攻撃検出部３１が攻撃用のパケットであると認識したときの、該当する送信者追跡の手順について、図８と共に説明する。
【００９１】
尚、ここでは上記宛先検索テーブルは、受信ＩＦ毎に異なる、論理的には受信ＩＦ毎に分かれたテーブルであるが、物理的にはテーブルの検索キーに受信ＩＦを含めることにより、複数ＩＦ毎の論理的なテーブルを、一つの物理テーブルにまとめたものとされる。
【００９２】
以下、図８を基に、攻撃者から送信されたパケットがファイアウォールＮ２１迄中継され、その後攻撃用のパケットと判断したファイアウォールＮ２１の管理者が、当該パケットの追跡を行う迄の流れについて説明する。
【００９３】
まず、攻撃者から送信されたパケットＰ１がファイアウォールＮ２１まで中継されるまでの流れを説明する。図中網ＮＷ１１内のサイトの中にいる攻撃者は、ＩＰ−ＳＡ（送信元アドレス）を１．１．１．１と詐称したＩＰパケットを使い、サーバＳ２２に対して攻撃を仕掛けるものとする。
【００９４】
当該パケットＰ１を外部ポートから受信した網ＮＷ１の入口エッジノードＮ１０は、宛先決定テーブルＴ１０を用いてパケット中継部１２により送信ＩＦ等の宛先情報を得るとともに、受信元識別情報としてＬ２−Ｌａｂｅｌ値５００を得る。入口エッジノードＮ１０は更に、受信元識別情報付加部１２により、Ｌ２−ＬａｂｅｌおよびＬ１−Ｌａｂｅｌを付加してＭＰＬＳ網ＮＷ１にパケットＰ１を送信する。この時のパケットフォーマットを図９（ａ）に示す。尚、上記受信元識別情報に直接対応するラベルはＬ２−Ｌａｂｅｌだけであるが、ここではＬ１−Ｌａｂｅｌも合わせてパケットに付加するものとする。
【００９５】
このようにしてヘッダ付加後に送信されたパケットＰ１は、以後公知のＭＰＬＳによる中継処理に従い、網ＮＷ１を経てノードＮ２０まで到達する。その際、ＭＰＬＳでは通常、ＭＰＬＳ網の出口手前ノードにおいてパケット中の一段目のラベルが削除される為、ここでは、ノードＮ２０は、図９（ａ）のパケットフォーマットから先頭のヘッダが除かれた結果前記Ｌ２−Ｌａｂｅｌが先頭に付いたパケット（図９（ｂ）のパケットフォーマットを有する）を受信する。上述のような、ＭＰＬＳによる２段ラベルスタック付パケットの中継の様子を図１０に例示する。
【００９６】
ＭＰＬＳ網ＮＷ１からパケットＰ１を受信した網ＮＷ１の出口エッジノードＮ２０は、宛先決定テーブルＴ２０を用いて、当該パケットのヘッダに格納された上記Ｌ２−Ｌａｂｅｌ値（５００）から、パケット中継部２１により送信ＩＦ等の宛先情報を得る。出口エッジノードＮ２０は更に、出口ログ記録部２３により、パケットＰ１自体の識別情報と、受信元識別情報としてのＬ２−Ｌａｂｅｌ値とを対応付けたログを記録する。ここで記録したログの例を図８中のログＬ２０として示す。パケットＰ１自体の識別情報として、ここではＩＰ−ＳＡ、ＩＰ−ＤＡ、ＴｉｍｅＳｔａｍｐの組み合わせを記録している。これは、後でファイアウォールＮ２１の管理者から追跡対象パケットを指示されたときに、当該パケットを特定する為のキーとして使用するための情報の組み合わせの一例である。
【００９７】
出口エッジノードＮ２０は、当該パケットＰ１を外部ポートへ送信する前に、受信元識別情報削除部２２により、Ｌ２−Ｌａｂｅｌを削除してコンテンツサイトＮＷ２にパケットＰ１を送信する。この時のパケットフォーマットは、通常のＩＰパケットものと同様である。
【００９８】
以上の中継処理を経たパケットＰ１が、その後図中のファイアウォールＮ２１で攻撃用のパケットとして検知され、その結果、ログとして当該パケットＰ１のＩＰ−ＳＡ、ＩＰ−ＤＡ、ＴｉｍｅＳｔａｍｐの組み合わせが記録されたものとする。この攻撃検知部３１についてはここでは特定しない。即ち、通常のファイアウォールの攻撃検出機能部であればいずれの構成でも適用可である。またこの場合のログの形式についても、ログ対象のパラメタの代表例を記載し、それによってパケットを何らかの形で特定できれば、その形式/組み合わせ等は任意のものでよい。
【００９９】
以下、図８と共に、上記パケットＰ１を攻撃用のパケットと判断したファイアウォールＮ２１の管理者が、当該パケットの追跡を行う際の手順について説明する。
【０１００】
パケットの追跡を行う際の手順は以下の通りである。即ち、図中ファイアウォールＮ２１の管理者は、まず攻撃に使われたパケットＰ１を中継した中継網ＮＷ１および中継時に出口となったノードＮ２０の情報を獲得し、当該中継網の管理者に、これをパケットＰ１の識別情報と共に連絡する。ここでは、ネットワーク構成上、該当するの中継網と出口ノードは、網ＮＷ１のノードＮ２０と一意に決まるが、これ以外にログ３４中の情報を使い中継網を特定する等の手法を用いても良い。またこの場合、該当するパケットの識別情報としてＩＰ−ＳＡ、ＩＰ−ＤＡ、ＴｉｍｅＳｔａｍｐの組み合わせを網ＮＷ１の管理者に対して連絡する。
【０１０１】
連絡を受けた網ＮＷ１の管理者は、エッジノードＮ２０のログＬ２０を、連絡を受けたパケット識別情報をキーとして検索し、対応する受信元識別情報としてラベル値５００を獲得する。この場合、具体的な受信元識別情報は、ポート番号（前記表１により、ＩＦ＃１００）である。従って網ＮＷ１の管理者は更に、表１を参照して、対応する入口ノード及びポートが、夫々ノードＮ１０、ＩＦ＃１００であることを認識し、当該ポートに接続されたホストＧ１１を攻撃者として特定することが可能となる。
【０１０２】
以上の手順により、ＩＰ−ＳＡがスプーフィングされた場合に於いても、攻撃者のノードの位置を、比較的少ない手順で特定することが可能となる。
【０１０３】
尚、上記の例では、一つのＩＳＰ網の内部でのみ本発明のシステムを適用する例について説明したが、ネットワーク構成上、攻撃者が他のＩＳＰ網の先に存在するケースも有り得る。そのような場合には、前記の表１によって直接攻撃者に通ずるポートを特定する代わりに、一旦前ホップのＩＳＰ網を特定し、以後当該ＩＳＰ網の内部に於いて同様の手順を実行することにより、最終的に攻撃者のノードの位置を特定することが可能となる。
【０１０４】
このように、本発明は、必ずしも一つのＩＳＰ網内に限った適用に限定する必要は無く、ＭＰＬＳを用いて前記Ｌ２−Ｌａｂｅｌアサインのポリシが適用可能であり且つＭＰＬＳによって接続された網の範囲内に於いて、自由に適用可能である。
【０１０５】
今後、各ＩＳＰ網やキャリアによる接続をＭＰＬＳで行うケースも増えていくことが予想され、そのような場合に各ＩＳＰ／キャリア間を跨いで本発明を適用することにより、より顕著な効果を奏し得る。
【０１０６】
又、本実施例は、ＭＰＬＳをベースにパケットの追跡支援システムを構築する例であったが、ＭＰＬＳに限られず、ヘッダ付加／削除を行うプロトコルであれば他のプロトコルにおいても適用可能である。即ち、ＭＰＬＳの代わりに例えばＬ２ＴＰやＩＰＳｅｃなどのＩＰカプセリング技術を適用して本発明を実施しても良いし、又ＩＰのオプションヘッダの用途を独自に拡張し、カプセリングを行う代わりにオプションヘッダフィールドを用いて本発明を実施しても良い。
【０１０７】
以下に上記第３実施例を実施する際の詳細な構成例について図１１と共に説明する。この場合、入口ログ記録部１３は、ログのリソースの物理的実体を受信ポート毎に保持し、またログの記録は受信ポート毎に行うものとする。但し、ログ・リソースの粒度については、例えば上述のようにポート単位とする以外に装置単位としても良く、特に粒度は問わない。更には、ＩＳＰ網内の全ノードのログを集中的に管理する何らかのログ取りサーバを別途設けても良い。
【０１０８】
図１１の場合、ネットワーク構成としては、ＩＰ網ＮＷ１１には複数のホストＨ１１、Ｈ１２が接続されていることを除き図８の例の場合と同様であり、又ＬＳＰの張り方についても図８の場合と同様とする。但しＬ２−Ｌａｂｅｌは、上記第３実施例で示されたように、入口ログ記録部１３が記録するログ・リソースに対応付け、出口ノードＮ２０において当該ログを一意に識別可能なように、予め設定されている必要がある。
【０１０９】
図１１の構成例では、ログをポート毎に設ける前提である為、Ｌ２−Ｌａｂｅｌのアサインは、結果的に、図８の構成例の場合と同じでよい。この場合の割り振りの管理部例として、Ｌ２−Ｌａｂｅｌ値アサインを管理するテーブル例を以下の表２に示す。
【０１１０】
【表２】

以下、図１１と共に、攻撃者から送信されたパケットＰ１がファイアウォールＮ２１まで中継され、その後攻撃用のパケットと判断したファイアウォールの管理者が、該パケットの追跡を行うまでの流れを説明する。（尚、図中、各ログＬ１０，Ｌ２０，Ｌ２１中のｅｔｃ項とは、Ｐｏｒｔ−ＳＡ，Ｐｏｒｔ−ＤＡ，ＩＰ−Ｃｈｅｃｋｓｕｍ等の、各種パケット識別用に使い得る情報を示す。）
まず、攻撃者から送信されたパケットＰ１がファイアウォールＮ２１迄中継されるまでの流れについて説明する。図中網ＮＷ１１のサイトの中にいる攻撃者は、ＩＰ−ＳＡを１．１．１．１と詐称したＩＰパケットを使い、サーバＳ２２に対して攻撃を仕掛けるものとする。この場合、当該パケットＰ１を外部ポートから受信した網ＮＷ１の入口エッジノードＮ１０は、宛先決定テーブルＴ１０を用いてパケット中継部１１により送信ＩＦ等の宛先情報を得ると共に、受信元識別情報としてＬ２−Ｌａｂｅｌ値５００を得る。（尚、テーブルＴ１０において、上記の如く、Ｌ１−ＬａｂｅｌはＭＰＬＳ網内部を中継する為のラベルを示し、Ｌ２−Ｌａｂｅｌはエッジノードの入口のログのリソースと出口ノードのポート間を接続するパスに割り当てたラベルのことを示す。）
入口エッジノードＮ１０は更に、入口ログ記録部１３により、パケットＰ１自体の識別情報と受信元識別情報としてのＬ２−Ｌａｂｅｌとを対応付けたログを記録する。ここで記録したログの例を図中、ログＬ１０として示す。パケットの識別情報として、ここではＩＰ−ＳＡ、ＩＰ−ＤＡ、ＴｉｍｅＳｔａｍｐ、ＭＡＣ−ＳＡの組み合わせを記録している。これは、後で、パケットの送信元ホストを追跡する際に、追跡対象のパケットを特定する為のキーとして、或いは当該キーに対応するパケットの受信情報として使用するためのものであり、例えばＭＡＣ−ＳＡ（ＭＡＣ送信元アドレス）を含めることで、図８の構成例の場合に比してより詳細な情報が入手可能となる。又、受信ポート情報も追跡時には必要だが、この例ではログがポート単位であり、ログの識別によってポートも分かるため、ログの記録対象から外してある。
【０１１１】
入口エッジノードＮ１０は更に、受信元識別情報付加部１２により、Ｌ２−Ｌａｂｅｌ及びＬ１−Ｌａｂｅｌを付加してＭＰＬＳ網にパケットＰ１を送信する。この時のパケットフォーマットは、図９（ａ）に示されるものである。尚、受信元識別情報に直接対応するラベルはＬ２−Ｌａｂｅｌだけであるが、ここではＬ１−Ｌａｂｅｌも併せてパケットに付加することとしている。
【０１１２】
このようにしてヘッダＨＤ１付加後に送信されたパケットＰ１は、以後公知のＭＰＬＳによる中継処理に従い、網ＮＷ１を経てノードＮ２０まで到達する。その際、ＭＰＬＳでは通常、ＭＰＬＳ網の出口手前ノードにおいてパケット中の一段目のラベルが削除される為、ここでは、ノードＮ２０は、前記Ｌ２−Ｌａｂｅｌが先頭に付いたパケット（図９（ｂ）のパケットフォーマット）を受信する。
【０１１３】
ＭＰＬＳ網ＮＷ１からパケットＰ１を受信したの出口エッジノードＮ２０は、宛先決定テーブルＴ２０を用いてパケット中継部２１により送信ＩＦ等の宛先情報を得る。
【０１１４】
出口エッジノードＮ２０は更に、出口ログ記録部２３により、パケットＰ１自体の識別情報と受信元識別情報としての上記Ｌ２−Ｌａｂｅｌとを対応付けたログを記録する。ここで記録したログの例を図中のログＬ２０として示す。尚、上記パケット自体の識別情報として、ここではＩＰ−ＳＡ、ＩＰ−ＤＡ、ＴｉｍｅＳｔａｍｐの組み合わせを記録している。これは、後でファイアウォールＮ２１の管理者から追跡対象パケットを指示されたときに、該当するパケットを特定する為のキーとして使用するための情報の組み合わせの一例である。
【０１１５】
出口エッジノードＮ２０は、当該パケットを外部ポートへ送信する前に、受信元識別情報削除部２２により、Ｌ２−Ｌａｂｅｌを削除してコンテンツサイトＮＷ２にパケットＰ１を送信する。この時のパケットフォーマットは、通常のＩＰパケットと同様である。
【０１１６】
以上の中継処理を経たパケットＰ１が、その後図中のファイアウォールＮ２１で攻撃用のパケットとして検知され、その際のログとして当該パケットＰ１のＩＰ−ＳＡ、ＩＰ−ＤＡ、ＴｉｍｅＳｔａｍｐの組み合わせを記録したものとする。
【０１１７】
以下、図１１と共に、当該パケットＰ１を攻撃用のパケットと判断したファイアウォールＮ２１の管理者が、当該パケットＰ１の追跡を行う際の手順について説明する。
【０１１８】
図中ファイアウォールＮ２１の管理者は、まず攻撃に使われたパケットＰ１を中継した中継網ＮＷ１および中継時に出口となったノードＮ２０の情報を獲得し、当該中継網の管理者に、該当するパケットＰ１自体の識別情報と共に連絡する。ここでは、パケットの識別情報としてＩＰ−ＳＡ、ＩＰ−ＤＡ、ＴｉｍｅＳｔａｍｐの組み合わせを連絡したものとする。
【０１１９】
連絡を受けた網ＮＷ１の管理者は、エッジノードＮ２０のログＬ２０を、連絡を受けたパケット識別情報をキーとして検索し、対応する受信元識別情報としてラベル値５００を獲得する。網ＮＷ１の管理者は更に、前記表２を参照して、対応するログ・リソースが、エッジノードＮ１０のＩＦ＃１００に設けられたログＬ１０であることを認識する。網ＮＷ１の管理者は更に、このように特定した当該ログＬ１０を、前記攻撃対象パケットの識別情報により検索し、ＭＡＣ−ＳＡ＝ＭＡＣ＃Ｔ０１のホストＨ１１が該当する送信元ホストであることを認識する。このＭＡＣアドレスは、攻撃者によりスプーフィングされている可能性はあるが、他方、スプーフィングされて無い可能性もある為、図８の構成例の場合に比してより細かい情報を獲得可能である。
【０１２０】
以上の手順により、ＩＰ−ＳＡ（ＩＰ送信元アドレス）がスプーフィングされた場合に於いても、攻撃者のノードの位置を、比較的少ない手順で特定することが可能となる。
【０１２１】
以下に上記第４実施例を実施するための詳細な構成について説明する。この場合の構成は基本的には上記図１１の構成例と同様であり、両者間の差異として、第４実施例の場合、Ｌ２−Ｌａｂｅｌのアサインの粒度が、ログ・リソース単位でなく、ログのインデックス（項目）単位となる。この場合のＬ２−Ｌａｂｅｌ値アサイン管理テーブル例について以下の表３に示す。又、このラベルアサインに対応するノードＮ１０のログの内容を図１２に示す。
【０１２２】
【表３】

上記の如く、本発明の実施例によれば、網のパケット中継処理としては、網の内部ノードにおけるログの記録が不要となり、また追跡手順としては、網内の内部ノードのログの記録を順に辿る手順が不要となり、攻撃者追跡の為の手間が大幅に削減できる。
【０１２３】
又、本発明の適用範囲としては、セキュリティ関連用途だけでなく、例えばネットワーク上で何らかのサービスを提供するコンテンツプロバイダが、顧客からの連絡により、当該顧客のホストとの間に通信速度劣化等の何らかの障害があることを認識した際等に、本発明を適用することにより、コンテンツプロバイダ側で、問題となった時刻頃のパケットの追跡を比較的単純な手続きで行うことが出来る。すなわち、図８の構成例で説明したような、ＩＳＰ網毎に本発明のシステムを適用する形態において、顧客との間に存在するＩＳＰ網を通した追跡を比較的単純な手順で行うことができる。
【０１２４】
本発明は、以下の付記に記載の構成を含む。
【０１２５】
（付記１）
データ中継網を介してパケットを中継するデータ伝送方法であって、
データ中継網の入口のノードにて、中継すべきパケットに当該パケットの入手元情報を含む付加情報を付加する段階と、
データ中継網の出口のノードにて、当該データ中継網で中継されたパケット自体の識別情報を、当該パケットに付加された付加情報に含まれた当該パケットの入手元情報と対応付けて記録する段階とよりなるデータ伝送方法。
【０１２６】
（付記２）
前記パケットの入手元情報は、当該パケットをデータ中継網を介して中継するために受信した前記データ中継網の入口ノードの当該パケットを受信したポートを識別する情報よりなる付記１に記載のデータ伝送方法。
【０１２７】
（付記３）
更に、前記データ中継網の入口ノードにて、入手したパケット自体の識別情報を、当該パケットの入手元情報と対応付けて記録する段階と、
該段階にてパケット自体の識別情報を当該パケットの入手元情報と対応付けて記録するための記録手段を識別するための情報を含む付加情報を当該パケットに付加する段階とよりなる付記１又は２に記載のデータ伝送方法。
【０１２８】
（付記４）
更に、前記記録手段を識別する段階では、当該記録手段の該当する記録項目を識別する情報を含む付加情報を当該パケットに付加する段階よりなる付記３に記載のデータ伝送方法。
【０１２９】
（付記５）
前記データ中継網の入口ノードにて、中継伝送すべきパケットが所定の監視対象として設定された条件を満たすか否かを判断する段階と、
該段階にて当該パケットが所定の監視対象として設定された条件を満たすと判断された際に前記中継すべきパケットに当該パケットの入手元情報を含む付加情報を付加する入手元情報付加段階と、
データ中継網の出口のノードにて、中継伝送されたパケットが所定の監視対象として設定された条件を満たすか否かを判断する段階と、
該段階にて当該パケットが所定の監視対象として設定された条件を満たすと判断された際に当該パケット自体の識別情報を当該パケットに付加された付加情報に含まれた当該パケットの入手元情報と対応付けて記録する中継後記録段階とよりなる付記１又は２に記載のデータ伝送方法。
【０１３０】
（付記６）
前記データ中継網の入口ノードにて、中継すべきパケットが所定の監視対象として設定された条件を満たすか否かを判断し、当該パケットが所定の監視対象として設定された条件を満たすと判断された場合に、データ中継網の入口ノードにて、前記中継すべきパケットに当該パケットの入手元情報を含む付加情報を付加すると共に当該パケット自体の識別情報を上記入手元情報と対応付けて記録する段階と、
データ中継網の出口のノードにて、当該データ中継網で中継されたパケットが所定の監視対象として設定された条件を満たすと判断された場合に、当該パケット自体の識別情報を、当該パケットに付加された付加情報に含まれた当該パケットの入手元情報と対応付けて記録する段階とよりなる請求項１又は２に記載のデータ伝送方法。
【０１３１】
（付記７）
前記データ中継網の入口ノードでは、中継伝送すべきパケットが所定の監視対象として設定された条件を満たすか否かを判断する段階と、
該段階にて当該パケットが所定の監視対象として設定された条件を満たすと判断された際に前記データ中継網の入口ノードにて、入手したパケット自体の識別情報を当該パケットの入手元情報と対応付けて記録する中継前記録段階と、
該段階にてパケット自体の識別情報を当該パケットの入手元情報と対応付けて記録するための記録手段を識別するための情報を含む付加情報を当該パケットに付加する記録手段情報付加段階と、
データ中継網の出口ノードにて、中継伝送されたパケットが所定の監視対象として設定された条件を満たすか否かを判断する段階と
該段階にて当該パケットが所定の監視対象として設定された条件を満たすと判断された際に当該パケット自体の識別情報を当該パケットに付加された付加情報に含まれた当該パケットの入手元情報と対応付けて記録する中継後記録段階とよりなる付記３又は４に記載のデータ伝送方法。
【０１３２】
（付記８）
前記判断段階は外部指示入力によって監視対象の条件を設定する付記６に記載のデータ伝送方法。
【０１３３】
（付記９）
前記判断段階は外部指示入力によって監視対象の条件を設定する付記７に記載のデータ伝送方法。
【０１３４】
（付記１０）
データ中継網を介してパケットを中継するデータ伝送システムであって、
データ中継網の入口のノードにて、中継すべきパケットに当該パケットの入手元情報を含む付加情報を付加する入手元情報付加手段と、
データ中継網の出口のノードにて、当該データ中継網で中継されたパケット自体の識別情報を、当該パケットに付加された付加情報に含まれた当該パケットの入手元情報と対応付けて記録する中継後記録手段とよりなるデータ伝送システム。
【０１３５】
（付記１１）
前記パケットの入手元情報は、当該パケットをデータ中継網を介して中継伝送するために受信した前記データ中継網の入口ノードの当該パケットを受信したポートを識別する情報よりなる付記１０に記載のデータ伝送システム。
【０１３６】
（付記１２）
更に、前記データ中継網の入口ノードにて、入手したパケット自体の識別情報を、当該パケットの入手元情報と対応付けて記録する中継前記録手段と、
該手段にてパケット自体の識別情報を当該パケットの入手元情報と対応付けて記録するための記録手段を識別するための情報を含む付加情報を当該パケットに付加する記録手段情報付加手段とよりなる付記１０又は１１に記載のデータ伝送システム。
【０１３７】
（付記１３）
更に、前記記録手段情報付加手段は、当該記録手段の該当する記録項目を識別する情報を含む付加情報を当該パケットに付加する構成の付記１２に記載のデータ伝送システム。
【０１３８】
（付記１４）
前記データ中継網のエッジノードにおいて、受信パケットが所定の監視対象として設定された条件を満たすか否かを判断する判断手段と、
該段階にて当該パケットが所定の監視対象として設定された条件を満たすと判断された際に前記入手元情報付加手段又は中継後情報記録手段とを起動する手段とよりなる付記１０又は１１に記載のデータ伝送システム。
【０１３９】
（付記１５）
前記データ中継網のエッジノードにおいて、中継伝送すべきパケットが所定の監視対象として設定された条件を満たすか否かを判断する判断手段と、
該段階にて当該パケットが所定の監視対象として設定された条件を満たすと判断された際に前記中継前記録手段と記録手段情報付加手段又は中継後記録手段とを起動する手段とよりなる付記１２又は１３に記載のデータ伝送システム。
【０１４０】
（付記１６）
前記記判断手段は外部指示入力によって監視対象の条件を設定する付記１４に記載のデータ伝送システム。
【０１４１】
（付記１７）
前記記判断手段は外部指示入力によって監視対象の条件を設定する付記１５に記載のデータ伝送システム。
【０１４２】
（付記１８）
データ中継網を介してパケットを中継伝送するデータ伝送システムに使用されるデータ伝送装置であって、
データ中継網の入口のノードとして機能する際に、中継すべきパケットに当該パケットの入手元情報を含む付加情報を付加する入手元情報付加手段と、
データ中継網の出口のノードとして機能する際に、当該データ中継網で中継されたパケット自体の識別情報を、当該パケットに付加された付加情報に含まれた当該パケットの入手元情報と対応付けて記録する中継後記録手段とよりなるデータ伝送装置。
【０１４３】
（付記１９）
前記パケットの入手元情報は、当該パケットをデータ中継網を介して中継伝送するために受信した前記データ中継網の入口ノードの当該パケットを受信したポートを識別する情報よりなる付記１８に記載のデータ伝送装置。
【０１４４】
（付記２０）
更に、前記データ中継網の入口ノードとして機能する際、入手したパケット自体の識別情報を、当該パケットの入手元情報と対応付けて記録する中継前記録手段と、
該手段にてパケット自体の識別情報を当該パケットの入手元情報と対応付けて記録するための記録手段を識別するための情報を含む付加情報を当該パケットに付加する記録手段情報付加手段とよりなる付記１９又は２０に記載のデータ伝送装置。
【０１４５】
（付記２１）
更に、前記記録手段情報付加手段は、当該記録手段の該当する記録項目を識別する情報を含む付加情報を当該パケットに付加する構成の付記２０に記載のデータ伝送装置。
【０１４６】
（付記２２）
受信パケットが所定の監視対象として設定された条件を満たすか否かを判断する判断手段と、
該手段にて当該パケットが所定の監視対象として設定された条件を満たすと判断された際に、前記入手元情報付加手段又は前記中継後情報記録手段を起動する手段とよりなる付記１８又は１９に記載のデータ伝送装置。
【０１４７】
（付記２３）
受信パケットが所定の監視対象として設定された条件を満たすか否かを判断する判断手段と、
該段階にて当該パケットが所定の監視対象として設定された条件を満たすと判断された際に前記中継前記録手段と記録手段情報付加手段又は中継後記録手段とを起動する手段とよりなる付記２０又は２１に記載のデータ伝送装置。
【０１４８】
（付記２４）
前記記判断手段は外部指示入力によって監視対象の条件を設定する付記２２に記載のデータ伝送装置。
【０１４９】
（付記２５）
前記記判断手段は外部指示入力によって監視対象の条件を設定する付記２３に記載のデータ伝送装置。
【０１５０】
【発明の効果】
本発明によれば、データ中継網によって中継されたパケットの送信元を探索する際、当該パケットの識別情報をキーとして上記出口ノードにおける記録を検索することによって当該パケットの入手元情報を取得可能であるため、該当するパケットの送信元を容易に探索し得、データ伝送におけるセキュリティを高めたシステムを構築可能となる。
【図面の簡単な説明】
【図１】特定パケットの伝送路を追跡する際に考え得る手法について説明するための図である。
【図２】本発明の第１実施例の構成を説明するための図である。
【図３】本発明の第３実施例の構成を説明するための図である。
【図４】本発明の第５実施例の構成を説明するための図である。
【図５】本発明の第６実施例の構成を説明するための図である。
【図６】本発明の第７実施例の構成を説明するための図である。
【図７】本発明の各実施例を適用可能なネットワーク構成例及びデータ伝送パスの張り方の一例について説明するための図である。
【図８】本発明の実施例の構成を更に詳細に説明するための図（その１）である。
【図９】本発明の実施例におけるＭＰＬＳによるパケットフォーマット例を説明するための図である。
【図１０】本発明の実施例を適用可能なＭＰＬＳによる中継処理におけるラベル処理について説明するための図である。
【図１１】本発明の実施例の構成を更に詳細に説明するための図（その２）である。
【図１２】本発明の第4実施例におけるラベル割当に対応するノードのログ内容を説明するための図である。
【符号の説明】
１１、２１パケット中継部
１２受信元識別情報付加部
１３入力ログ記録部
１４、２４、３４ログ
１５付加処理起動部
１６入口処理起動部
１７トリガ通信部
２２受信元識別情報削除部
２３出力ログ記録部
２５出口処理起動部
２６トリガ受信部
２７トリガ通知部

Claims

データ中継網を介してパケットを中継伝送するためのデータ伝送方法であって、
データ中継網の入口のノードにて、中継すべきパケットに当該パケットの入手元情報を含む付加情報を付加する段階と、
データ中継網の出口のノードにて、当該データ中継網で中継されたパケット自体の識別情報を、当該パケットに付加された付加情報に含まれた当該パケットの入手元情報と対応付けて記録する段階とよりなり、
前記パケットの入手元情報は、当該パケットをデータ中継網を介して中継するために受信した前記データ中継網の入口のノードの当該パケットを受信したインタフェースを識別する情報よりなるデータ伝送方法。
更に、前記データ中継網の入口のノードにて、入手したパケット自体の識別情報を、当該パケットの入手元情報と対応付けて記録する段階と、
該段階にてパケット自体の識別情報を当該パケットの入手元情報と対応付けて記録するための記録手段を識別するための情報を含む付加情報を当該パケットに付加する段階とよりなる請求項１に記載のデータ伝送方法。
前記データ中継網の入口のノードにて、中継すべきパケットが所定の監視対象として設定された条件を満たすか否かを判断し、当該パケットが所定の監視対象として設定された条件を満たすと判断された場合に、データ中継網の入口のノードにて、前記中継すべきパケットに当該パケットの入手元情報を含む付加情報を付加する段階と、
データ中継網の出口のノードにて、当該データ中継網で中継されたパケットが所定の監視対象として設定された条件を満たすと判断された場合に、当該パケット自体の識別情報を、当該パケットに付加された付加情報に含まれた当該パケットの入手元情報と対応付けて記録する段階とよりなる請求項１又は２に記載のデータ伝送方法。
前記データ中継網の入口のノードにて、中継すべきパケットが所定の監視対象として設定された条件を満たすか否かを判断し、当該パケットが所定の監視対象として設定された条件を満たすと判断された場合に、データ中継網の入口のノードにて、前記中継すべきパケットに当該パケットの入手元情報を含む付加情報を付加すると共に当該パケット自体の識別情報を上記入手元情報と対応付けて記録する段階と、
データ中継網の出口のノードにて、当該データ中継網で中継されたパケットが所定の監視対象として設定された条件を満たすと判断された場合に、当該パケット自体の識別情報を、当該パケットに付加された付加情報に含まれた当該パケットの入手元情報と対応付けて記録する段階とよりなる請求項１又は２に記載のデータ伝送方法。
データ中継網を介してパケットを中継伝送するデータ伝送システムを構成するデータ伝送装置であって、
データ中継網の入口のノードとして機能する際に、中継すべきパケットに当該パケットの入手元情報を含む付加情報を付加する入手元情報付加手段と、
データ中継網の出口のノードとして機能する際に、当該データ中継網で中継されたパケット自体の識別情報を、当該パケットに付加された付加情報に含まれた当該パケットの入手元情報と対応付けて記録する中継後記録手段とよりなり、
前記パケットの入手元情報は、当該パケットをデータ中継網を介して中継するために受信する前記データ中継網の入口のノードとして機能した際の、当該パケットを受信したインタフェースを識別する情報よりなるデータ伝送装置。