JP4542580B2 - 経路ハイジャック検出方法、経路監視装置、経路ハイジャック検出システムおよび経路ハイジャック検出プログラム - Google Patents

Description

本発明は、経路ハイジャック検出技術に関する。

インターネットは、ＩＳＰ（商用プロバイダ、Internet Service Provider）や企業や大学等の異なる組織によって運営される１万以上のＡＳ（自律システム、Autonomous System）が有機的に接続されたものである。このＡＳ間は、専用線、あるいはＩＸ（Internet eXchange）によって接続される。

ＡＳの経路制御装置（ルータ）は、ＢＧＰ（Border Gateway Protocol）により、互いの経路情報を交換し、この交換した経路情報をもとに、所定のネットワーク宛にデータを転送するときの経路を決定する。この経路情報は、プレフィックスとパス属性とを含んで構成される。このプレフィックスとは経路とも言い、ネットワークアドレスとそのネットワークアドレスのネットマスク長（以下、経路長ともいう）により、宛先となるＩＰ（Internet Protocol）アドレス空間を示した情報である。また、パス属性は経路情報に付加される当該経路の属性情報であり、例えば、ＡＳパス（ＡＳパス属性）やネクストホップ（ネクストホップ属性）等がある。このＡＳパスは、宛先のＡＳへ到達するまでに経由するＡＳのＡＳ番号のリストであり、ネクストホップは、その宛先となるＩＰアドレス空間（プレフィックス）へパケットを送信するときの次のルータ（ノード）のＩＰアドレスを示した情報である。

ＢＧＰはパスベクトル型のルーティングプロトコルであり、あるＡＳが広告した経路情報は、各ＡＳをホップバイホップで伝播し、インターネット中に拡散する。例えば、この経路情報の伝播の過程で、各ＡＳのルータは自ＡＳのＡＳ番号をＡＳパス属性に追加していく。このようにして経路情報に追加されたＡＳ番号により、各ルータは、当該プレフィックスを持つパケットをどのＡＳを経由して、どのＡＳへ到達させればよいかを知ることができる。

しかし、オペレータの設定ミスや悪意のある設定によって誤った経路情報が広告され、その誤った経路情報がインターネット全体に伝播してしまうことがある。この誤った経路情報の広告の具体的な例としては、経路ハイジャックがある。この経路ハイジャックとは、本来、そのネットワークアドレスを割り当てられていないＡＳが、自身のＡＳからそのネットワークアドレスまたはその一部の経路情報を広告することである。この経路ハイジャックが発生し、誤った経路情報がインターネット全体に伝播すると、そのネットワークアドレスヘのパケットは、その誤った経路情報を広告したＡＳへ転送される。そのため、そのネットワークアドレスが正当に割り当てられたＡＳへの通信に障害が発生する。

この経路ハイジャックについて、図面を参照しながら詳細に説明する。図６は、経路ハイジャックを概念的に説明した図である。

ここでは、ネットワークがＡＳ−Ａ（ＡＳ番号「６５０１０」）、ＡＳ−Ｂ（ＡＳ番号「６５０２０」）、ＡＳ−Ｃ（ＡＳ番号「６５０３０」）、ＡＳ−Ｄ（ＡＳ番号「６５０４０」）およびＡＳ−Ｅ（ＡＳ番号「６５０５０」）を含んで構成される場合を例に説明する。各ＡＳはそれぞれ、お互いの経路情報を交換し、経路表を作成する。例えば、ＡＳ−Ｅ（ＡＳ番号「６５０５０」）のルータ（図示省略）が、「１０．０．０．０／１６」の経路情報を各ＡＳ（ＡＳ−Ａ、ＡＳ−Ｂ、ＡＳ−Ｃ、ＡＳ−Ｄ）のルータに広告すると、ＡＳ−Ａ、ＡＳ−Ｂ、ＡＳ−Ｃ、ＡＳ−Ｄのルータはそれぞれ経路表１００１（１００１Ａ,１００１Ｂ,１００１Ｃ,１００１Ｄ）を作成する。つまり、経路表１００１（１００１Ａ〜１００１Ｄ）には、符号１００２（１００２Ａ,１００２Ｂ,１００２Ｃ,１００２Ｄ）に示す元の広告経路が追加される。

各ＡＳのルータは、このようにして作成した経路表１００１に基づきパケットの転送を行う。例えば、経路表１００１Ａの符号１００２Ａに示す経路情報に基づき、「１０．０．０．０／１６」宛のパケットは、ＡＳ番号「６５０２０」のＡＳ（ＡＳ−Ｂ）→ＡＳ番号「６５０５０」のＡＳ（ＡＳ−Ｅ）という経路で転送される。つまり、まず、ＡＳ−Ａのルータは、経路表１００１Ａの符号１００２Ａに示す経路情報に基づき、「１０．０．０．０／１６」宛のパケットをＡＳ−Ｂのルータへ転送する。次に、このパケットを受信したＡＳ−Ｂのルータは、経路表１００１Ｂの符号１００２Ｂに示す経路情報に基づき、ＡＳ番号「６５０５０」のＡＳ（ＡＳ−Ｅ）へ転送する。

ここで、（１）ＡＳ−Ｄのルータが、ＡＳ−Ｅのプレフィックスの一部（「１０．０．０．０／２４」）の経路情報を広告すると、ＡＳ−Ａ、ＡＳ−Ｂ、ＡＳ−Ｃのルータの経路表１００１（１００１Ａ,１００１Ｂ,１００１Ｃ）には、プレフィックス「１０．０．０．０／２４」の経路情報の広告元はＡＳ番号「６５０４０」であるという情報が書き込まれる（符号１００３Ａ,１００３Ｂ,１００３Ｃに示すハイジャック経路参照）。

（２）これにより、本来、ＡＳ−Ｅ（ＡＳ番号「６５０５０」）へ転送されるべき「１０．０．０．０／１６」宛のパケットがＡＳ−Ｄ（ＡＳ番号「６５０４０」）へ吸い込まれてしまい、ＡＳ−Ｅにパケットが届かないことになる。つまり、ＡＳ−Ｂのルータは元の広告経路１００２Ｂの経路情報ではなく、ハイジャック経路１００３Ｂの経路情報の方を参照してパケットの転送先を決定するので、パケットがＡＳ−Ｄ（ＡＳ番号「６５０４０」）へ吸い込まれてしまう。

なお、各ＡＳのルータがパケットを転送する場合において、符号１００２Ｂに示す元の広告経路（「１０．０．０．０／１６」）ではなく、符号１００３Ｂに示すハイジャック経路（「１０．０．０．０／２４」）を選択するのは、経路表１００１に宛先アドレスを包含する経路情報が複数あるとき、ルータはよりネットマスク長の長い経路情報を選択する最長一致規則を用いるからである。

従来、このような経路ハイジャックを検出する技術として、各ＡＳに分散配置された経路監視装置それぞれが、ＩＲＲデータベース（Internet Routing Registry database）のデータと経路情報とを照合し、経路ハイジャックを検出する技術がある（特許文献１参照）。このＩＲＲデータベースとは、インターネット上の経路情報（ＩＰアドレス空間）とその経路に割り当てられた正当なＡＳ番号と示したデータベースである。この技術を、図７を用いて説明する。

図７は、本発明の比較例となる技術を説明した図である。図７に示すように各ＡＳには各ＡＳ間で交換される経路情報を監視する経路監視装置が設置される。ここで、例えば、（０）ＡＳ−Ｅの経路監視装置が「１０．０．０．０／１６」の監視を他の経路監視装置（ＡＳ−Ａ、ＡＳ−Ｂ、ＡＳ−Ｃ、ＡＳ−Ｄの経路監視装置）へ依頼すると、（１）各経路監視装置は、この「１０．０．０．０／１６」の監視を開始する。（２）ここで、「１０．０．０．０／２４」の経路情報を他のＡＳから受信すると、（３）この経路情報における、経路とその経路情報の広告元（origin）のＡＳ番号を、ＩＲＲデータベースのデータと照合し、この経路「１０．０．０．０／２４」がハイジャックされたか否か判定する。（４）そして、経路監視装置は、この判定結果を監視の依頼元であるＡＳ−Ｅ（ＡＳ−Ｅの経路監視装置）へ通知する。（５）この後、この判定結果が経路ハイジャックの場合、警報をオペレータに通知する。例えば、ＡＳ−Ｅの経路監視装置において「１０．０．０．０／２４」がハイジャックされた旨の通知を受信した場合、ＡＳ−Ｅの経路を管理するオペレータへ経路ハイジャック発生の警報が通知される。
特開２００６−２５０８８号公報

しかし、このようにＩＲＲデータベースを参照した経路ハイジャックの検出は、ＩＲＲデータベースのデータに漏れなくデータが登録されていることを前提としている。このため、ＩＲＲデータベースのデータに登録漏れがあると以下のような問題が発生することがある。この問題を、図８を用いて説明する。図８は、図７の技術における問題点を説明した図である。図７と同様の構成要素は同じ符号を付して、説明を省略する。ここでも、各経路監視装置における監視対象経路は「１０．０．０．０／１６」である場合を例に説明する。

（０）例えば、まず、ＡＳ−Ｅは、顧客ネットワークに「１０．０．０．０／２４」を割り振る。つまり、ＡＳ−Ｅは、正当に所有するＩＰアドレス「１０．０．０．０／１６」の一部である「１０．０．０．０／２４」を顧客ネットワークに割り振る。そして、ＡＳ−Ｅは、この顧客ネットワークとＳｔａｔｉｃ経路で経路接続する。（１）この後、顧客ネットワークが、冗長性確保のためＡＳ−Ｄと接続し、ＡＳ−ＤとＳｔａｔｉｃ経路で経路接続する。（２）そして、ＡＳ−Ｄは、顧客ネットワークが正当に保有する「１０．０．０．０／２４」をＡＳ−Ｄから広告する。（３）その後、各ＡＳの経路監視装置において、このＡＳ−Ｄから広告された「１０．０．０．０／２４」の経路情報を受信すると、この経路は監視対象経路「１０．０．０．０／１６」に含まれるので、（４）ＩＲＲデータベースと照合する。（５）ここで、ＩＲＲデータベースにおいて、route「１０．０．０．０／２４」に対しorigin「ＡＳ番号６５０４０（ＡＳ−Ｄ）」というデータがないと、各経路監視装置は経路ハイジャックが発生したと判定し、この判定結果をＡＳ−Ｅへ通知する。つまり、ＩＲＲデータベースにデータの登録漏れがあると、経路ハイジャックされていないにもかかわらず、その旨の通知がＡＳ−Ｅに行われるおそれがある。

そこで、本発明は、前記した課題を解決し、ＩＲＲデータベースに依存せずに経路ハイジャックの検出を可能とすることを目的とする。

前記した課題を解決するため請求項１に記載の発明は、各ＡＳ（Autonomous System）においてＢＧＰ（Border Gateway Protocol）により交換される経路情報を複数の経路監視装置により監視し、ハイジャック経路を検出する経路ハイジャック検出システムにおける前記経路監視装置が、前記ハイジャック経路である可能性のある被疑ハイジャック経路のＩＰアドレス空間を示した被疑ハイジャック検出情報を受信したとき、他の前記経路監視装置それぞれへ、前記被疑ハイジャック検出情報に示されるＩＰアドレス空間へのＰＩＮＧ試験の実行を依頼するステップと、自身の経路監視装置において前記被疑ハイジャックの経路情報に示されるＩＰアドレス空間のＩＰアドレスそれぞれに対しＰＩＮＧ試験を実行するステップと、他の前記経路監視装置それぞれから、前記ＰＩＮＧ試験の結果を受信するステップと、前記自身の経路監視装置で実行したＰＩＮＧ試験の結果および前記受信したＰＩＮＧ試験の結果を記憶部に記録するステップと、前記記録したＰＩＮＧ試験の結果のうち、前記被疑ハイジャック検出情報を送信した経路監視装置における前記ＰＩＮＧ試験結果と、前記被疑ハイジャック検出情報を送信しなかった前記経路監視装置における前記ＰＩＮＧ試験結果との類似度を計算するステップと、前記計算した類似度が所定の閾値ａ以下であるとき、前記被疑ハイジャック検出情報に示されるＩＰアドレス空間に経路ハイジャックが発生した可能性が高いと判定するステップと、入出力部経由で、前記判定結果を出力するステップとを実行することを特徴とする経路ハイジャック検出方法とした。

請求項６に記載の発明は、各ＡＳ（Autonomous System）においてＢＧＰ（Border Gateway Protocol）により交換される経路情報を複数の経路監視装置により監視し、経路ハイジャックを検出する経路ハイジャック検出システムにおける前記経路監視装置であって、各種データの入出力を司る入出力部と、前記ハイジャック経路である可能性のある被疑ハイジャック経路のＩＰアドレス空間を示した被疑ハイジャック検出情報を受信する被疑ハイジャック情報受信部と、他の前記経路監視装置それぞれへ、前記被疑ハイジャック検出情報に示されるＩＰアドレス空間へのＰＩＮＧ試験の実行を依頼する試験依頼部と、前記被疑ハイジャック検出情報に示されるＩＰアドレス空間へのＰＩＮＧ試験を実行し、このＰＩＮＧ試験の結果を記憶部に記録する試験実行部と、前記他の経路監視装置それぞれから、前記ＰＩＮＧ試験の結果を受信し、このＰＩＮＧ試験の結果を前記記憶部に記録する試験結果受信部と、前記記録したＰＩＮＧ試験の結果のうち、前記被疑ハイジャック検出情報を送信した経路監視装置における前記ＰＩＮＧ試験結果と、前記被疑ハイジャック検出情報を送信しなかった前記経路監視装置における前記ＰＩＮＧ試験の結果との類似度を計算し、前記計算した類似度が所定の閾値以下であるとき、前記被疑ハイジャック検出情報に示されるＩＰアドレス空間に経路ハイジャックが発生した可能性が高いと判定するハイジャック判定部と、前記判定結果を出力する判定結果通知部とを備えることを特徴とする。

請求項８に記載の発明は、請求項７に記載の経路監視装置を複数含んで構成されることを特徴とする経路ハイジャック検出システムとした。

このようにすることで、被疑ハイジャック経路が検出されたとき、経路監視装置は、各ＡＳの経路監視装置へこの被疑ハイジャック経路へのＰＩＮＧ試験を依頼する。そして、被疑ハイジャック経路が検出された経路監視装置におけるＰＩＮＧ試験の結果と、それ以外の（つまり、被疑ハイジャック経路が検出されなかった）経路監視装置におけるＰＩＮＧ試験の結果とが類似しないものであれば、それぞれのＰＩＮＧ試験により到達したＩＰアドレス空間は、別のＩＰアドレス空間である可能性が高いので、被疑ハイジャック経路において実際に経路ハイジャックが発生した可能性が高いと判断できる。つまり、経路監視装置は、ＩＲＲデータベースに依存せずに経路ハイジャックを検出することができる。

請求項２に記載の発明は、請求項１に記載の経路ハイジャック検出方法において、前記経路監視装置が、前記被疑ハイジャック検出情報を送信した経路監視装置における前記ＰＩＮＧ試験結果と、前記被疑ハイジャック検出情報を送信しなかった前記経路監視装置における前記ＰＩＮＧ試験結果とをそれぞれベクトルで記述し、前記被疑ハイジャック検出情報を送信した経路監視装置における前記ＰＩＮＧ試験結果のベクトルを加算し、前記被疑ハイジャック検出情報を送信しなかった前記経路監視装置における前記ＰＩＮＧ試験結果のベクトルを加算し、前記加算したベクトル同士のなす角度θを計算するステップと、前記計算した角度θの絶対値が所定の閾値ｂよりも大きいとき、前記被疑ハイジャック検出情報に示されるＩＰアドレス空間に経路ハイジャックが発生した可能性が高いと判定するステップとを実行することを特徴とする。

このようにすることで、経路監視装置は、被疑ハイジャック経路が検出された経路監視装置におけるＰＩＮＧ試験の結果と、それ以外の経路監視装置におけるＰＩＮＧ試験の結果との類似の度合をベクトルのなす角度θで計算できる。ここで、被疑ハイジャック経路が検出された経路監視装置におけるＰＩＮＧ試験の結果と、被疑ハイジャック経路が検出されなかった経路監視装置におけるＰＩＮＧ試験の結果とが類似していないほど、角度θの絶対値は大きくなり、類似しているほど、角度θの絶対値は小さくなる。つまり、角度θの絶対値は大きくなるほど、それぞれのＰＩＮＧ試験により到達したＩＰアドレス空間は異なるＩＰアドレス空間である可能性が高いので、経路監視装置は経路ハイジャックが発生した可能性が高いと判断できる。なお、経路監視装置におけるＰＩＮＧ試験の結果のベクトルＸは、例えば、被疑ハイジャック経路のＩＰアドレス空間が２５６個（つまり「／２４」）であった場合、それぞれのＰＩＮＧ試験結果を、ＯＫであれば「１」、ＮＧであれば「−１」として、ベクトルＸ＝［ｘ０,ｘ１,ｘ２,…,ｘ２５５］というように記述したものである。

請求項３に記載の発明は、請求項２に記載の経路ハイジャック検出方法において、前記経路監視装置が、前記被疑ハイジャック検出情報を送信した経路監視装置における前記ＰＩＮＧ試験結果のベクトルの平均値を計算し、前記被疑ハイジャック検出情報を送信しなかった経路監視装置における前記ＰＩＮＧ試験結果のベクトルの平均値を計算し、前記平均値を計算したベクトルそれぞれの始点を一致させたときの終点間の距離を計算するステップと、前記計算した距離が所定の閾値ｃよりも大きいとき、前記被疑ハイジャックの経路情報に示されるＩＰアドレス空間に経路ハイジャックが発生した可能性が高いと判定するステップとを実行することを特徴とする。

このようにすることで、被疑ハイジャック経路が検出された経路監視装置におけるＰＩＮＧ試験の結果と、被疑ハイジャック経路が検出されなかった経路監視装置におけるＰＩＮＧ試験の結果との類似度をベクトル間の距離で計算できる。

請求項４に記載の発明は、請求項３に記載の経路ハイジャック検出方法において、前記経路監視装置が、前記計算した類似度が前記所定の閾値ａを超えるとき、前記計算した角度θの絶対値が前記所定の閾値ｂ以下であるとき、または、前記計算した距離が所定の閾値ｃ以下であるとき、前記被疑ハイジャック検出情報に示されるＩＰアドレス空間に経路ハイジャックが発生した可能性は低いと判定するステップを実行することを特徴とする。

このようにすることで、被疑ハイジャック経路が検出された経路監視装置におけるＰＩＮＧ試験の結果と、被疑ハイジャック経路が検出されなかった経路監視装置におけるＰＩＮＧ試験の結果とが類似しているとき、それぞれのＰＩＮＧ試験により到達したＩＰアドレス空間は、同じＩＰアドレス空間である可能性が高いので、経路監視装置は経路ハイジャックが発生した可能性は低いと判断できる。これにより、経路監視装置は、経路ハイジャックの誤検出を防止できる。

請求項５に記載の発明は、請求項１ないし請求項３のいずれか１項に記載の経路ハイジャック検出方法において、前記経路監視装置の記憶部は、当該経路監視装置における監視対象経路のＩＰアドレス空間、そのＩＰアドレス空間に割り当てられた正当なＡＳ番号およびそのＩＰアドレス空間の監視結果の送信先の経路監視装置の識別情報を示した監視対象経路情報と、自身のＡＳの経路制御装置の保持する経路情報とを記憶し、前記経路監視装置は、前記記憶部の経路情報に示されるＩＰアドレス空間のうち、前記監視対象経路情報に示されるＩＰアドレス空間に含まれる経路情報について、その経路情報に示されるＩＰアドレス空間のＡＳ番号が、前記監視対象経路のＡＳ番号と異なる被疑ハイジャック経路の経路情報があるか否かを監視し、前記監視対象経路のＡＳ番号と異なる被疑ハイジャック経路の経路情報があると判断したとき、前記被疑ハイジャック経路のＩＰアドレス空間を示した前記被疑ハイジャック検出情報を、前記ＩＰアドレス空間の監視結果の送信先の経路監視装置へ送信するステップと、他の前記経路監視装置からＰＩＮＧ試験の対象となるＩＰアドレス空間を示したＰＩＮＧ試験の依頼を受信したとき、前記ＩＰアドレス空間のＩＰアドレスそれぞれに対しＰＩＮＧ試験を実行するステップと、前記実行したＰＩＮＧ試験の結果を前記ＰＩＮＧ試験の依頼元の経路監視装置へ送信するステップとを実行することを特徴とする。

請求項７に記載の発明は、請求項６に記載の経路監視装置において、前記記憶部は、当該経路監視装置における監視対象経路のＩＰアドレス空間、そのＩＰアドレス空間に割り当てられた正当なＡＳ番号およびそのＩＰアドレス空間の監視結果の送信先の経路監視装置の識別情報を示した監視対象経路情報と、自身のＡＳの経路制御装置の保持する経路情報とを記憶し、前記試験実行部は、他の前記経路監視装置からＰＩＮＧ試験の対象となるＩＰアドレス空間を示したＰＩＮＧ試験の依頼を受信したとき、前記ＩＰアドレス空間のＩＰアドレスそれぞれに対しＰＩＮＧ試験を実行し、前記経路監視装置は、前記経路情報のうち、前記監視対象経路情報に示されるＩＰアドレス空間に含まれる経路情報について、その経路情報に示されるＩＰアドレス空間のＡＳ番号が、前記監視対象経路のＡＳ番号と異なる被疑ハイジャック経路の経路情報があるか否かを監視し、前記監視対象経路のＡＳ番号と異なる経路情報があると判断したとき、前記被疑ハイジャック経路のＩＰアドレス空間を示した前記被疑ハイジャック検出情報を、前記ＩＰアドレス空間の監視結果の送信先の経路監視装置へ送信する経路監視部と、前記実行したＰＩＮＧ試験の結果を、前記ＰＩＮＧ試験の依頼元の経路監視装置へ送信する試験結果送信部とを備えることを特徴とする。

このようにすることで、各経路監視装置は、被疑ハイジャック経路を検出した経路監視装置から、この被疑ハイジャック経路に対するＰＩＮＧ試験の結果を取得できる。

請求項９に記載の発明は、請求項１ないし請求項５のいずれか１項に記載の経路ハイジャック検出方法を、コンピュータである経路監視装置に実行させるための経路ハイジャック検出プログラムとした。

このようなプログラムによれば、一般的なコンピュータに、請求項１ないし請求項５のいずれか１項に記載の経路ハイジャック検出方法を実行させることができる。

本発明によれば、経路監視装置はＩＲＲデータベースに依存せずに経路ハイジャックの検出を行うことができる。

以下、本発明を実施するための最良の形態（以下、実施の形態という）について説明する。

まず、図１および図２を用いて、経路ハイジャック検出システムの動作概要を説明する。図１および図２は、本実施の形態の経路監視装置を含む経路ハイジャック検出システム（以下、システムと略す）を例示した図である。システムは、前記した図８と同様に、ＡＳ−Ａ（ＡＳ番号「６５０１０」）、ＡＳ−Ｂ（ＡＳ番号「６５０２０」）、ＡＳ−Ｃ（ＡＳ番号「６５０３０」）、ＡＳ−Ｄ（ＡＳ番号「６５０４０」）およびＡＳ−Ｅ（ＡＳ番号「６５０５０」）を含んで構成される。そして、各ＡＳのルータはそれぞれ、ＢＧＰによりお互いの経路情報を交換し、経路表１００１（１００１Ａ,１００１Ｂ,１００１Ｃ,１００１Ｄ）を作成する。このＡＳの数や経路表１００１の数は図１および図２に示す数に限定されない。

例えば、ＡＳ−Ｅ（ＡＳ番号「６５０５０」）が、「１０．０．０．０／１６」の経路情報を、各ＡＳ（ＡＳ−Ａ、ＡＳ−Ｂ、ＡＳ−Ｃ、ＡＳ−Ｄ）に広告すると、各ＡＳのルータは経路表１００１に符号１００２Ａ,１００２Ｂ,１００２Ｃ,１００２Ｄに示す経路情報を追加する。

ここでＡＳ−Ｄにより「１０．０．０．０／２４」が経路ハイジャックされると以下のようになる。つまり、ＡＳ−Ｄが、本来ＡＳ−Ｅのプレフィックスの一部である「１０．０．０．０／２４」に関する経路情報を広告し、ＡＳ−Ａ、ＡＳ−Ｂ、ＡＳ−Ｃのルータの経路表１００１Ａ,１００１Ｂ,１００１Ｃに、プレフィックス「１０．０．０．０／２４」経路情報の広告元はＡＳ番号「６５０４０」のＡＳ（ＡＳ−Ｄ）であるという情報が書き込まれる（符号１００４Ａ,１００４Ｂ,１００４Ｃに示す経路情報参照）。

なお、以下の説明において、各ＡＳのルータは、自身のＡＳ内の経路に関する経路情報を他のＡＳから受け取らないようフィルタリングを行うものとする。例えば、ＡＳ−Ｅのルータは、他のＡＳから自身のＡＳの経路「１０．０．０．０／１６」や「１０．０．０．０／２４」の経路情報の広告を受信しても破棄する。

なお、本システムは、経路監視装置１００（１００Ａ,１００Ｂ,１００Ｃ,１００Ｅ）を含んで構成される。そして、この経路監視装置１００（１００Ａ〜１００Ｃ,１００Ｅ）はそれぞれ、自身のＡＳ内のルータにおける経路表１００１を監視し、被疑ハイジャック経路の経路情報があるか否かを判定する。なお、経路表１００１に被疑ハイジャック経路の経路情報があるか否かは以下のようにして判定する。

すなわち、経路監視装置１００は予め監視経路情報（監視対象とする経路（ＩＰアドレス空間）と、その経路に割り当てられた正当なＡＳ番号とを示した情報）を設定しておく。そして、自身の経路監視装置１００における経路表１００１の経路情報のうち、その経路（プレフィックス）が監視対象経路に含まれ、かつ、その監視経路情報においてその経路に割り当てられたＡＳ番号と異なる経路情報を発見したとき、その経路を被疑ハイジャック経路（ハイジャック経路である可能性のある経路）として検出する。なお、ここでは、経路がハイジャックされたおそれのあるＡＳ−Ｅの経路監視装置１００Ｅが、被疑ハイジャック経路を検出した経路監視装置１００Ａ〜１００ＣへＰＩＮＧ試験を依頼して、被疑ハイジャック経路が、ハイジャック経路である可能性が高いか否かを判定する場合を例に説明する。

例えば、（０−０）経路監視装置１００Ａ〜１００Ｃは、被疑ハイジャック経路「１０．０．０．０／２４」を検出すると、この経路情報をＡＳ−Ｅの経路監視装置１００Ｅへ送信する。つまり、経路監視装置１００Ａ〜１００Ｃは、経路表１００１Ａ〜１００１Ｃを監視し、被疑ハイジャック経路１００４Ａ〜１００４Ｃを検出すると、この経路情報（被疑ハイジャック検出情報）を、この経路が属する正当なＡＳ（ＡＳ−Ｅ）の経路監視装置１００Ｅへ送信する。

（０−１）このような情報を受信した経路監視装置１００Ｅは、この被疑ハイジャック経路へのＰＩＮＧ試験を各経路監視装置１００（１００Ａ〜１００Ｃ）へ依頼する。つまり、ＡＳ−Ｄの「１０．０．０．０／２４」へのＰＩＮＧ試験を依頼する。また、経路監視装置１００Ｅも被疑ハイジャック経路「１０．０．０．０／２４」へのＰＩＮＧ試験を実行する。つまり、経路監視装置１００Ｅは、ＡＳ−Ｅの「１０．０．０．０／２４」へのＰＩＮＧ試験を実行し、ＰＩＮＧは本来のネットワークに届くことになる。

（１−０）経路監視装置１００ＥからのＰＩＮＧ試験の依頼を受けた経路監視装置１００（１００Ａ〜１００Ｃ）は、被疑ハイジャック経路「１０．０．０．０／２４」へＰＩＮＧ試験を実行する。これによりＰＩＮＧはハイジャックを行ったネットワーク（ＡＳ−Ｄの「１０．０．０．０／２４」）へ届く。

（１−１）この後、経路監視装置１００（１００Ａ〜１００Ｃ）は、ＡＳ−Ｅの経路監視装置１００ＥにＰＩＮＧ試験結果を送信する。

（１−２）そして、経路監視装置１００Ｅは、各経路監視装置１００（１００Ａ〜１００Ｃ）からのＰＩＮＧ試験結果を収集（受信）する。

（２−０）次に、経路監視装置１００Ｅは、被疑ハイジャック経路を検出した経路監視装置１００（１００Ａ〜１００Ｃ）でのＰＩＮＧ試験結果と、被疑ハイジャック経路を未検出の経路監視装置１００（１００Ｅ）のＰＩＮＧ試験結果とを比較する。

（２−１）そして、経路監視装置１００Ｅは、この比較結果によりこの被疑ハイジャック経路をハイジャック経路（ハイジャック経路である可能性が高い）と判定した場合、オペレータ等に通知する。例えば、被疑ハイジャック経路を検出した経路監視装置１００（１００Ａ〜１００Ｃ）でのＰＩＮＧ試験結果と、被疑ハイジャック経路を検出しなかった経路監視装置１００（１００Ｅ）でのＰＩＮＧ試験結果との類似度が低ければ、この被疑ハイジャック経路はハイジャック経路である可能性が高いと判定する。一方、被疑ハイジャック経路を検出した経路監視装置１００でのＰＩＮＧ試験結果と、被疑ハイジャック経路を検出しなかった経路監視装置１００でのＰＩＮＧ試験結果との類似度が高ければ、被疑ハイジャック経路はハイジャック経路である可能性は低いと判定する。

例えば、図２に示すように、ＡＳ−Ｅ（ＡＳ番号「６５０５０」）からＩＰアドレス「１０．０．０．０／２４」を割り当てられた顧客ネットワークが、ＡＳ−Ｅの他に、ＡＳ−Ｄ（ＡＳ番号「６５０４０」）ともＳｔａｔｉｃ経路を確立するようなネットワーク構成の場合、ＡＳ−Ａ、ＡＳ−Ｂ、ＡＳ−Ｃ、ＡＳ−Ｄの経路表１００１には、符号１００２Ａ〜１００２Ｄに示すようなＡＳ番号「６５０５０」を広告元とする「１０．０．０．０／１６」の経路情報と、符号１００４Ａ〜１００４Ｃに示すようなＡＳ番号「６５０４０」を広告元とする「１０．０．０．０／２４」の経路情報とが登録される。これにより、経路監視装置１００Ａ〜１００Ｃにおいて被疑ハイジャック経路が検出される。しかし、経路監視装置１００Ｅにおいて、各経路監視装置１００からこの被疑ハイジャック経路「１０．０．０．０／２４」へのＰＩＮＧ試験結果はほぼ同じであることを確認できれば、図２のようなネットワーク構成であることが推測できる。従って、経路監視装置１００Ｅは、被疑ハイジャック経路がハイジャック経路である可能性は低いと判定するので、経路ハイジャックの誤報を防止できる。

なお、図１および図２において経路監視装置１００の数は各ＡＳに１つずつしか設置していないが、各ＡＳに複数設置するようにしてもよい。

次に、図３を用いて、経路監視装置１００を詳細に説明する。図３は、図１の経路監視装置の機能ブロック図である。なお、この経路監視装置１００は、経路表１００１から被疑ハイジャック経路を検出したり、ＰＩＮＧ試験を実行したりする機能と、他の経路監視装置１００から被疑ハイジャック経路検出情報を受信したとき、被疑ハイジャック経路がハイジャック経路である可能性が高いか否かの判定する機能とを備える。

このような経路監視装置１００は、図３に示すように、経路情報や経路ハイジャック検出情報の各種データの入出力を司る入出力部１１と、被疑ハイジャック経路がハイジャック経路か否かの判定等を行う処理部１２と、経路表１００１や監視対象経路情報１３１を記憶する記憶部１３とを備える。

入出力部１１は、ＡＳ内のルータ等とのデータ入出力を司る入出力インタフェースから構成される。また、処理部１２は、この経路監視装置１００が備えるＣＰＵ（Central Processing Unit）によるプログラム実行処理や、専用回路等により実現される。さらに、記憶部１３は、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、ＨＤＤ（Hard Disk Drive）、フラッシュメモリ等の記憶媒体から構成される。なお、経路監視装置１００をプログラム実行処理により実現する場合、記憶部１３には、この経路監視装置１００の機能を実現するための経路ハイジャック検出プログラムが記録される。

＜入出力部＞
入出力部１１は、この経路監視装置１００に接続されるルータからの経路情報や、他の経路監視装置１００からの被疑ハイジャック検出情報（詳細は後記）やＰＩＮＧ試験結果を受信する。また、自身の経路監視装置１００において被疑ハイジャック経路を検出したときは、被疑ハイジャック検出情報やＰＩＮＧ試験結果を送信する。

＜処理部＞
処理部１２は、経路監視装置１００全体の制御を司り、主に、被疑ハイジャック経路がハイジャック経路か否かを判定するハイジャック判定処理部１２０と、自身の経路監視装置１００の経路表１００１から被疑ハイジャック経路を検出する被疑ハイジャック検出部１２７とを備える。

ハイジャック判定処理部１２０は、被疑ハイジャック検出情報受信部１２１と、試験依頼部１２２と、試験実行部１２３と、試験結果受信部１２４と、ハイジャック判定部１２５と、判定結果通知部１２６とを含んで構成される。

この被疑ハイジャック検出情報受信部１２１は、他の経路監視装置１００から被疑ハイジャック検出情報を受信する。この被疑ハイジャック検出情報は、以下の表１に例示するように、被疑ハイジャック経路（被疑ハイジャック経路のＩＰアドレス空間）、その被疑ハイジャック検出情報の送信元の経路監視装置１００の識別情報（ＩＰアドレス等）、その被疑ハイジャック経路の広告元のＡＳのＡＳ番号等を含む。例えば、表１に示す被疑ハイジャック検出情報は、識別情報が「Ｃ」である経路監視装置１００（１００Ｃ）において、被疑ハイジャック経路「１０．０．０．０／２４」を検出し、この被疑ハイジャック経路の広告元のＡＳのＡＳ番号は「６５０４０」であることを示す。なお、この被疑ハイジャック検出情報受信部１２１は、この被疑ハイジャック検出情報の送信元である経路監視装置１００の識別情報を記憶部１３のＲＡＭ等に記録しておく。

試験依頼部１２２は、他の経路監視装置１００それぞれに、被疑ハイジャック検出情報に示される経路（例えば、「１０．０．０．０／２４」）へのＰＩＮＧ試験の実行を依頼する。

試験実行部１２３は、自身の経路監視装置１００において被疑ハイジャック検出情報に示される経路（例えば、「１０．０．０．０／２４」）に対するＰＩＮＧ試験を実行する。なお、この試験実行部１２３は、自身の経路監視装置１００の試験依頼部１２２からの依頼によってもＰＩＮＧ試験を実行するし、他の経路監視装置１００の試験依頼部１２２からの依頼によってもＰＩＮＧ試験を実行する。このときのＰＩＮＧ試験結果は記憶部１３のＲＡＭ等に記録しておく。

試験結果受信部１２４は、他の経路監視装置１００それぞれから被疑ハイジャック経路（例えば、「１０．０．０．０／２４」）のＰＩＮＧ試験結果を受信する。このとき受信したＰＩＮＧ試験結果は、そのＰＩＮＧ試験結果の送信元の経路監視装置１００の識別情報とともに記憶部１３のＲＡＭ等に記録しておく。

ハイジャック判定部１２５は、被疑ハイジャック経路を検出した経路監視装置１００からのＰＩＮＧ試験結果と、被疑ハイジャック経路を検出しなかった経路監視装置１００からのＰＩＮＧ試験結果との比較により、被疑ハイジャック経路がハイジャック経路である可能性が高いか否かを判定する。

例えば、ハイジャック判定部１２５は、被疑ハイジャック経路を検出した経路監視装置１００からのＰＩＮＧ試験の結果と、被疑ハイジャック経路を検出しなかった経路監視装置１００からのＰＩＮＧ試験の結果との類似度を計算する。そして、この類似度が所定の閾値ａ以下のとき、経路監視装置１００はそれぞれ別のＩＰアドレス空間にＰＩＮＧ試験を行った可能性が高いので被疑ハイジャック経路をハイジャック経路である可能性が高いと判定する。一方、類似度が所定の閾値ａを超えるとき、経路監視装置１００はそれぞれ同じＩＰアドレス空間にＰＩＮＧ試験を行った可能性が高いので被疑ハイジャック経路がハイジャック経路である可能性は低いと判定する。このときの判定処理の詳細はフローチャートを用いて後記する。

なお、このハイジャック判定部１２５において、記憶部１３のＲＡＭ上に記録されたＰＩＮＧ試験結果のうち、どのＰＩＮＧ試験結果が被疑ハイジャック経路を検出した経路監視装置１００から送信されたものかは、記憶部１３のＲＡＭ上に記録された被疑ハイジャック検出情報の送信元の経路監視装置１００の識別情報を元に判断する。

判定結果通知部１２６は、ハイジャック判定部１２５による判定結果を外部に出力する。

次に、被疑ハイジャック検出部１２７を説明する。被疑ハイジャック検出部１２７は、経路情報更新部１２８と、経路監視部１２９と、試験結果送信部１３０とを含んで構成される。

経路情報更新部１２８は、この経路監視装置１００に接続されるルータ（図示せず）の経路表の経路情報（図示省略）が更新されると、この更新情報を元に記憶部１３の経路表１００１を更新する。つまり、経路情報更新部１２８は、ルータの経路表と同じ経路表１００１を記憶部１３に作成する。

経路監視部１２９は、監視対象経路情報１３１を参照して、経路表１００１の経路情報に被疑ハイジャック経路があるか否かを監視する。この監視対象経路情報１３１は、以下の表２に例示するように、監視対象となるＩＰアドレス空間（プレフィックス）と、そのＩＰアドレス空間に割り当てられたＡＳのＡＳ番号、このＩＰアドレス空間で被疑ハイジャック経路を検出したときの通知先（被疑ハイジャック検出情報の送信先）の経路監視装置１００の識別情報等を示した情報である。

そして、経路監視部１２９は、経路表１００１から被疑ハイジャック経路を検出すると、この被疑ハイジャック経路のプレフィックス（ＩＰアドレス空間）を示した被疑ハイジャック検出情報を、監視対象経路情報１３１に示される被疑ハイジャック検出情報の送信先）の経路監視装置１００へ送信する。

例えば、経路監視部１２９は、表２に例示した監視対象経路情報１３１に基づき、以下のようにして経路情報を監視する。まず、経路監視部１２９は、経路表１００１の経路情報のうち、表２の監視対象経路情報１３１に示されるＩＰアドレス空間（例えば、「１０．０．０．０／１６」）に含まれるものについて、この監視対象経路情報１３１に示されるＡＳ番号（例えば、「６５０５０」）とは異なるものがあるか否かを監視する。ここで、経路表１００１にプレフィックス「１０．０．０．０／２４」、ＡＳ番号「６５０４０」という経路情報が登録されていたとき、経路監視部１２９は、この経路情報のプレフィックスは監視対象経路情報１３１に示されるプレフィックスに含まれるが、この監視対象経路情報１３１に示されるＡＳ番号と異なるので、この経路を被疑ハイジャック経路として検出する。そして、経路監視部１２９は、この検出した被疑ハイジャック経路に関する被疑ハイジャック検出情報を、この監視対象経路情報１３１に示される送信先である識別情報「Ｅ」の経路監視装置１００（経路監視装置１００Ｅ）へ送信する。これにより、経路監視装置１００Ｅは、他の経路監視装置１００Ａ〜１００Ｃにおいて被疑ハイジャック経路が検出されたことを知ることができる。

試験結果送信部１３０は、自身の経路監視装置１００の試験実行部１２３において実行したＰＩＮＧ試験結果（試験結果）を、このＰＩＮＧ試験の依頼元の経路監視装置１００へ送信する。

＜記憶部＞
記憶部１３は、経路表１００１と監視対象経路情報１３１とを記憶する。この経路表１００１は、図１に示すように、１以上の経路情報を含んで構成され、それぞれの経路情報は、プレフィックスと、そのプレフィックスのＡＳパスとを含む。また、監視対象経路情報１３１は、前記したとおり監視対象となるＩＰアドレス空間（プレフィックス）と、そのＩＰアドレス空間に割り当てられたＡＳのＡＳ番号とを示した情報である。この監視対象経路情報１３１は、入出力部１１経由で設定される。

＜動作手順＞
次に、図１〜図３を参照しつつ、図４を用いて経路監視装置１００の動作手順を説明する。図４は、図３の経路監視装置の動作手順を示したフローチャートである。ここでは、経路監視装置１００Ｃにおいて検出された被疑ハイジャック経路に関する被疑ハイジャック検出情報を、経路監視装置１００Ｅが受信する場合を例に説明する。なお、図４において説明を省略しているが、経路監視装置１００（１００Ｃ,１００Ｅ）は、随時ルータの経路情報を収集し、経路表１００１を更新していくものとする。

まず、図１の経路監視装置１００Ｃの経路監視部１２９（図３参照）は、監視対象経路情報１３１を参照して、経路表１００１Ｃから被疑ハイジャック経路を検出する（Ｓ１０１）。そして、経路監視部１２９は、この被疑ハイジャック経路の経路情報を示した被疑ハイジャック検出情報を、経路監視装置１００Ｅへ送信する（Ｓ１０２）。なお、この被疑ハイジャック検出情報の送信先は、監視対象経路情報１３１を参照して特定する。

経路監視装置１００Ｅの被疑ハイジャック検出情報受信部１２１は、経路監視装置１００Ｃからの被疑ハイジャック検出情報を受信すると、その被疑ハイジャック検出情報の送信元の経路監視装置１００の識別情報を記憶部１３に記録しておく。そして、試験依頼部１２２は、他の各経路監視装置１００（１００Ａ〜１００Ｃ）へ、この被疑ハイジャック経路（例えば「１０．０．０．０／２４」）へのＰＩＮＧ試験を依頼する（Ｓ１０３）。

この後、経路監視装置１００Ｅの試験実行部１２３は、自身のＡＳ（ＡＳ−Ｅ）内の被疑ハイジャック経路（例えば「１０．０．０．０／２４」）へのＰＩＮＧ試験を実行する（Ｓ１０４）。つまり、試験実行部１２３は、本来のネットワークへのＰＩＮＧ試験を実行する。

また、経路監視装置１００ＥからのＰＩＮＧ試験依頼を受信した経路監視装置１００Ｃは、被疑ハイジャック経路（例えば「１０．０．０．０／２４」）へのＰＩＮＧ試験を実行する（Ｓ１０５）。つまり、経路監視装置１００Ｅの試験実行部１２３は、ＡＳ−Ｄの被疑ハイジャック経路（例えば「１０．０．０．０／２４」）へのＰＩＮＧ試験を実行する。

そして、ＰＩＮＧ試験を実行した経路監視装置１００Ｃの試験結果送信部１３０は、ＰＩＮＧ試験結果を経路監視装置１００Ｅへ送信する（Ｓ１０６）。なお、ここでは説明を省略しているが、経路監視装置１００ＥからのＰＩＮＧ試験依頼を受信した経路監視装置１００Ａ,１００Ｂも、被疑ハイジャック経路（例えば「１０．０．０．０／２４」）へのＰＩＮＧ試験を実行し、そのＰＩＮＧ試験結果を経路監視装置１００Ｅへ送信する。

経路監視装置１００Ｅの試験結果受信部１２４は、各経路監視装置１００からのＰＩＮＧ試験結果を受信すると、このＰＩＮＧ試験結果を記憶部１３に記録する。なお、経路監視装置１００Ａ,１００ＢからのＰＩＮＧ試験結果を受信すると、このＰＩＮＧ試験結果も記憶部１３に記録する。そして、経路監視装置１００Ｅのハイジャック判定部１２５は、記憶部１３に記憶されたＰＩＮＧ試験結果のうち、被疑ハイジャック経路を検出した経路監視装置１００からのＰＩＮＧ試験結果と、被疑ハイジャック経路を検出しなかった経路監視装置１００からのＰＩＮＧ試験結果との類似度を計算してハイジャック判定処理を行う（Ｓ１０７）。このハイジャック判定処理の詳細は後記する。

そして、経路監視装置１００Ｅの判定結果通知部１２６は、Ｓ１０７における判定結果をオペレータ等に通知する（Ｓ１０８）。例えば、この判定結果通知部１２６は、被疑ハイジャック経路「１０．０．０．０／２４」がＡＳ−Ｄにより経路ハイジャックされた可能性が高いことを電子メール等でオペレータの端末装置へ通知する。

このようにすることで、本システムは、ＩＲＲデータベースのデータに依存せずに、ハイジャック経路である可能性の高い経路を検出することができる。

次に、図１〜図３を参照しつつ、図５を用いて、図４のハイジャック判定処理を説明する。図５は、図４のハイジャック判定処理を例示したフローチャートである。ここでは、ＰＩＮＧ試験結果の類似度を、ベクトルを用いて示す。つまり、被疑ハイジャック経路を検出した経路監視装置１００（１００Ａ〜１００Ｃ）でのＰＩＮＧ試験結果と、被疑ハイジャック経路を未検出の経路監視装置１００（１００Ｅ）のＰＩＮＧ試験結果の類似度を、それぞれのＰＩＮＧ試験結果をベクトルで記述し、このベクトル同士のなす角度θとして計算する。そして、ハイジャック判定部１２５は、この角度θの絶対値により、被疑ハイジャック経路がハイジャック経路である可能性が高いか否かを判定する。ここで取り扱うＰＩＮＧ試験結果は、経路「１０．０．０．０／２４」へのＰＩＮＧ試験結果である場合を例に説明する。

まず、経路監視装置１００（１００Ｅ）のハイジャック判定部１２５は、記憶部１３のＲＡＭ等に記録された各経路監視装置１００（１００Ａ〜１００Ｃ,１００Ｅ）でのＰＩＮＧ試験結果を、ＯＫであれば「１」、ＮＧであれば「−１」に置き換えて、ベクトルＸとして記述する。例えば、「１０．０．０．０」のＰＩＮＧ試験結果をｘ０、「１０．０．０．１」のＰＩＮＧ試験結果をｘ１というように、「１０．０．０．０／２４」の２５６個のＩＰアドレスそれぞれに対するＰＩＮＧ試験結果の並びをベクトルＸ＝［ｘ０,ｘ１,ｘ２,…,ｘ２５５］として記述する。

そして、ハイジャック判定部１２５は、被疑ハイジャック経路を検出した経路監視装置１００（１００Ａ〜１００Ｃ）でのＰＩＮＧ試験結果のベクトルＸを加算し、Ｘｄｅｔｅｃｔを求める（Ｓ２０１）。例えば、ハイジャック判定部１２５は、被疑ハイジャック経路を検出したＡＳ−Ａ（ＡＳ番号「６５０１０」）の経路監視装置１００ＡのＰＩＮＧ試験結果（Ｘａｓ６５０１０＝［１,−１,…,−１］）と、ＡＳ−Ｂ（ＡＳ番号「６５０２０」）の経路監視装置１００ＢのＰＩＮＧ試験結果（Ｘａｓ６５０２０＝［−１,−１,…,−１］）と、ＡＳ−Ｃ（ＡＳ番号「６５０３０」）の経路監視装置１００ＣのＰＩＮＧ試験結果（Ｘａｓ６５０３０＝［１,−１,…,−１］）とを加算する。そして被疑ハイジャック経路を検出した経路監視装置１００のＰＩＮＧ試験結果を示すベクトルＸｄｅｔｅｃｔ＝Ｘａｓ６５０１０＋Ｘａｓ６５０２０＋Ｘａｓ６５０３０＝［１,−３,…,−３］を求める。

次に、ハイジャック判定部１２５は、記憶部１３のＲＡＭ等に記録されたＰＩＮＧ試験結果のうち、被疑ハイジャック経路を検出しなかった経路監視装置１００（１００Ｅ）でのＰＩＮＧ試験結果のベクトルを加算して、Ｘｎｏｎｄｅｔｅｃｔを求める（Ｓ２０２）。例えば、自身の経路監視装置１００（１００Ｅ）以外、被疑ハイジャック経路を検出しなかったときは、経路監視装置１００（１００Ｅ）は、自身の経路監視装置１００（１００Ｅ）におけるＰＩＮＧ試験結果をそのままベクトルＸｎｏｎｄｅｔｅｃｔとする。

そして、ハイジャック判定部１２５は、以下の式（１）により、ベクトルＸｄｅｔｅｃｔと、ベクトルＸｎｏｎｄｅｔｅｃｔとのなす角度をθとしたときのｃｏｓθを求める（Ｓ２０３）。なお、−π／２＜θ＜π／２または−９０°＜θ＜９０°とする。

ｃｏｓθ＝（Ｘｄｅｔｅｃｔ・Ｘｎｏｎｄｅｔｅｃｔ）／（｜Ｘｄｅｔｅｃｔ｜×｜Ｘｎｏｎｄｅｔｅｃｔ｜）…式（１）

そして、ハイジャック判定部１２５は、このθの絶対値｜θ｜を求め、この｜θ｜が閾値（閾値ｂ）を超えるか否かを判定する（Ｓ２０４）。ここで、｜θ｜が閾値（閾値ｂ）を超えるとき（Ｓ２０４のＹｅｓ）、被疑ハイジャック経路「１０．０．０．０／２４」はハイジャック経路である可能性が高いと判定する（Ｓ２０５）。

つまり、経路監視装置１００Ａ〜１００ＣのＰＩＮＧ試験結果のベクトルＸと、経路監視装置１００ＥのＰＩＮＧ試験結果のベクトルＸとのなす角度θが大きいということは、類似度が小さいということである。よって、経路監視装置１００Ａ〜１００ＣがＰＩＮＧ試験を行った経路と、経路監視装置１００ＥがＰＩＮＧ試験を行った経路とが実際には異なるものである可能性が高いと推測できる。従って、経路監視装置１００Ｅは、経路監視装置１００Ａ〜１００Ｃから通知された被疑ハイジャック経路「１０．０．０．０／２４」に経路ハイジャックが発生した可能性が高いと判定することができる。

一方、｜θ｜が閾値（閾値ｂ）以下のとき（Ｓ２０４のＮｏ）、ハイジャック判定部１２５は、被疑ハイジャック経路「１０．０．０．０／２４」はハイジャック経路である可能性が低いと判定する（Ｓ２０６）。

つまり、ベクトルＸｄｅｔｅｃｔと、ベクトルＸｎｏｎｄｅｔｅｃｔとのなす角度θが小さいということは、経路監視装置１００Ａ〜１００ＣがＰＩＮＧ試験を行った経路と、経路監視装置１００ＥがＰＩＮＧ試験を行った経路とが同じである可能性が高いと考えられる。従って、経路監視装置１００Ｅは、経路監視装置１００Ａ〜１００Ｃから通知された被疑ハイジャック経路「１０．０．０．０／２４」において経路ハイジャックが発生している可能性は低いと考えられる。例えば、図２に示したように、ＡＳ−Ｅ（ＡＳ番号「６５０５０」）からＩＰアドレス「１０．０．０．０／２４」を割り当てられた顧客ネットワークにおいて、ＡＳ−Ｄ（ＡＳ番号「６５０４０」）ともＳｔａｔｉｃ経路を確立したため、同じ経路で異なるＡＳ番号を広告元とする経路情報が広告されたに過ぎないと考えられるので、経路監視装置１００Ｅは経路ハイジャックが発生している可能性は低いと判定できる。

なお、本実施の形態において、被疑ハイジャック経路を検出した経路監視装置１００（１００Ａ〜１００Ｃ）からのＰＩＮＧ試験結果と、被疑ハイジャック経路を検出しなかった経路監視装置１００（１００Ｅ）からのＰＩＮＧ試験結果とを比較するとき、ベクトルＸｄｅｔｅｃｔと、ベクトルＸｎｏｎｄｅｔｅｃｔとのなす角度θを求めることとしたが、これに限定されない。例えば、経路監視装置１００において、被疑ハイジャック経路を検出した経路監視装置１００（１００Ａ〜１００Ｃ）からのＰＩＮＧ試験結果のベクトルＸと、被疑ハイジャック経路を検出した経路監視装置１００（１００Ｅ）のＰＩＮＧ試験結果のベクトルＸとの類似度を前記した角度θ以外の方法で求め、経路監視装置１００は、その類似度が閾値ａ以下のとき、被疑ハイジャック経路がハイジャック経路である可能性が高いと判定し、その類似度が閾値ａを超えるとき、被疑ハイジャック経路はハイジャック経路である可能性が低いと判定してもよい。

また、被疑ハイジャック経路を検出した経路監視装置１００（１００Ａ〜１００Ｃ）からのＰＩＮＧ試験結果のベクトルＸと、被疑ハイジャック経路を検出しなかった経路監視装置１００（１００Ｅ）のＰＩＮＧ試験結果のベクトルＸとの相関係数を計算する。そして、経路監視装置１００は、その相関係数が所定の閾値ｄよりも小さいとき、被疑ハイジャック経路がハイジャック経路である可能性が高いと判定し、所定の閾値ｄ以上であるとき、被疑ハイジャック経路がハイジャック経路である可能性は低いと判定するようにしてもよい。

さらに、経路監視装置１００において、被疑ハイジャック経路を検出した経路監視装置１００（１００Ａ〜１００Ｃ）からのＰＩＮＧ試験結果のベクトルＸ（座標位置）の平均値と、被疑ハイジャック経路を検出しなかった経路監視装置１００（１００Ｅ）のＰＩＮＧ試験結果のベクトルＸ（座標位置）の平均値とを計算し、これらベクトルそれぞれの始点を一致させたときの終点間の距離を計算する。そして、経路監視装置１００は、この計算した距離が、所定の閾値ｃよりも大きいとき、被疑ハイジャック経路がハイジャック経路である可能性が高いと判定し、所定の閾値ｃ以下であるとき、被疑ハイジャック経路がハイジャック経路である可能性は低いと判定するようにしてもよい。

その他、被疑ハイジャック経路を検出した経路監視装置１００（１００Ａ〜１００Ｃ）からのＰＩＮＧ試験結果と、被疑ハイジャック経路を検出しなかった経路監視装置１００（１００Ｅ）のＰＩＮＧ試験結果との類似度を判定できる方法であれば、前記した方法に限定されない。

また、前記した実施の形態において、システムはＩＲＲデータベースを含んだ構成とし、ＩＲＲデータベースの登録漏れの検出に用いるようにしてもよい。例えば、経路監視装置１００において被疑ハイジャック経路を検出するとき、ＩＲＲデータベースのデータを参照して検出する。そして、被疑ハイジャック検出情報を受信した経路監視装置１００において、前記したＰＩＮＧ試験結果の比較により、被疑ハイジャック経路がハイジャック経路である可能性が低いと判定した場合、この被疑ハイジャック経路の経路情報を、ＩＲＲデータベースを管理するオペレータの端末装置等へ送信する。このようにすることでＩＲＲデータベースの登録漏れをチェックしやすくなる。

なお、前記した実施の形態において、経路監視装置１００は、ＰＩＮＧ試験結果をベクトルＸとして記述するとき、ＰＩＮＧ試験結果がＯＫのとき「１」、ＮＧのとき「−１」に置き換えて、記述することにしたが、ＯＫの値と、ＮＧの値をそれぞれ異なる値にすれば、これに限定されない。例えば、経路監視装置１００は、ＰＩＮＧ試験結果がＯＫのとき「１」、ＮＧのとき「−０．１」に置き換えて、ベクトルＸを記述するようにしてもよい。

さらに、前記した実施の形態において、経路監視装置１００は、ネットワークの疎通性確認のためＩＣＭＰ（Internet Control Message Protocol）を用いたＰＩＮＧ試験を行うこととしたが、これに限定されない。例えば、経路監視装置１００は、特定のＵＤＰ（User Datagram Protocol）ポートでの通信を確認するためのＵＤＰ−ＰＩＮＧや、特定のＴＣＰ（Transmission Control Protocol）ポートでの通信を確認するためのＴＣＰ−ＰＩＮＧ等、他のネットワーク疎通性試験を行うようにしてもよい。

また、前記した実施の形態において、経路監視装置１００は、被疑ハイジャック経路を検出した経路監視装置１００におけるＰＩＮＧ試験結果と、被疑ハイジャック経路を検出しなかった経路監視装置１００にけるＰＩＮＧ試験結果とを取得し、それぞれの類似度を計算することとしたがこれに限定されない。

例えば、各経路監視装置１００は、自身の監視対象経路に対し所定期間ごとにＰＩＮＧ試験を行い、そのＰＩＮＧ試験結果を記憶部１３に記録していく。そして、経路監視装置１００は、被疑ハイジャック経路（例えば、「１０.０.０.／２４」）を検出すると、記憶部１３に記録されたＰＩＮＧ試験結果から、この被疑ハイジャック経路へのＰＩＮＧ試験結果を読み出す。つまり、被疑ハイジャック経路検出前における被疑ハイジャック経路へのＰＩＮＧ試験結果を読み出す。そして、経路監視装置１００は、この読み出したＰＩＮＧ試験結果と、被疑ハイジャック経路検出後のＰＩＮＧ試験結果との類似度を計算する。そして、この被疑ハイジャック検出前のＰＩＮＧ試験結果と、被疑ハイジャック検出後のＰＩＮＧ試験結果との類似度が所定の値以下であるとき、この経路監視装置１００は、当該被疑ハイジャック経路（例えば、「１０.０.０.／２４」）に経路ハイジャックが発生した可能性が高いと判定するようにしてもよい。

また、被疑ハイジャック経路を検出した経路監視装置１００それぞれが、この被疑ハイジャック経路検出前のＰＩＮＧ試験結果と、被疑ハイジャック経路検出後のＰＩＮＧ試験結果とを、ハイジャックされたＡＳの経路監視装置１００へ送信し、このＰＩＮＧ試験結果を受信した経路監視装置１００において、この被疑ハイジャック経路（例えば、「１０.０.０.／２４」）に経路ハイジャックが発生している可能性が高いか否かの判定を行うようにしてもよい。つまり、被疑ハイジャック経路に経路ハイジャックが発生している可能性が高いか否かの判定は、被疑ハイジャック経路を検出した経路監視装置１００で行ってもよいし、それ以外の経路監視装置１００で行ってもよい。

本実施の形態に係る経路監視装置１００は、前記したような処理を実行させる経路ハイジャック検出プログラムによって実現することができ、このプログラムをコンピュータによる読み取り可能な記憶媒体（ＣＤ−ＲＯＭ等）に記憶して提供することが可能である。また、そのプログラムを、インターネット等のネットワークを通して提供することも可能である。

本実施の形態の経路監視装置を含む経路ハイジャック検出システムを例示した図である。 本実施の形態の経路監視装置を含む経路ハイジャック検出システムを例示した図である。 図１の経路監視装置の機能ブロック図である。 図３の経路監視装置の動作手順を示したフローチャートである。 図４のハイジャック判定処理を例示したフローチャートである。 経路ハイジャックを概念的に説明した図である。 本発明の比較例となる技術を説明した図である。 図７の比較例の技術における問題点を説明した図である。

符号の説明

１１ 入出力部
１２ 処理部
１３ 記憶部
１００（１００Ａ,Ｂ,Ｃ,Ｅ） 経路監視装置
１２０ ハイジャック判定処理部
１２１ 被疑ハイジャック検出情報受信部
１２２ 試験依頼部
１２３ 試験実行部
１２４ 試験結果受信部
１２５ ハイジャック判定部
１２６ 判定結果通知部
１２７ 被疑ハイジャック検出部
１２８ 経路情報更新部
１２９ 経路監視部
１３０ 試験結果送信部
１３１ 監視対象経路情報

Claims (9)

1. 各ＡＳ（Autonomous System）においてＢＧＰ（Border Gateway Protocol）により交換される経路情報を複数の経路監視装置により監視し、ハイジャック経路を検出する経路ハイジャック検出システムにおける前記経路監視装置が、
   前記ハイジャック経路である可能性のある被疑ハイジャック経路のＩＰアドレス空間を示した被疑ハイジャック検出情報を受信したとき、
   他の前記経路監視装置それぞれへ、前記被疑ハイジャック検出情報に示されるＩＰアドレス空間へのＰＩＮＧ試験の実行を依頼するステップと、
   自身の経路監視装置において前記被疑ハイジャックの経路情報に示されるＩＰアドレス空間のＩＰアドレスそれぞれに対しＰＩＮＧ試験を実行するステップと、
   他の前記経路監視装置それぞれから、前記ＰＩＮＧ試験の結果を受信するステップと、
   前記自身の経路監視装置で実行したＰＩＮＧ試験の結果および前記受信したＰＩＮＧ試験の結果を記憶部に記録するステップと、
   前記記録したＰＩＮＧ試験の結果のうち、前記被疑ハイジャック検出情報を送信した経路監視装置における前記ＰＩＮＧ試験結果と、前記被疑ハイジャック検出情報を送信しなかった前記経路監視装置における前記ＰＩＮＧ試験結果との類似度を計算するステップと、
   前記計算した類似度が所定の閾値ａ以下であるとき、
   前記被疑ハイジャック検出情報に示されるＩＰアドレス空間に経路ハイジャックが発生した可能性が高いと判定するステップと、
   入出力部経由で、前記判定結果を出力するステップとを実行することを特徴とする経路ハイジャック検出方法。
   
2. 前記経路監視装置は、
   前記被疑ハイジャック検出情報を送信した経路監視装置における前記ＰＩＮＧ試験結果と、前記被疑ハイジャック検出情報を送信しなかった前記経路監視装置における前記ＰＩＮＧ試験結果とをそれぞれベクトルで記述し、
   前記被疑ハイジャック検出情報を送信した経路監視装置における前記ＰＩＮＧ試験結果のベクトルを加算し、前記被疑ハイジャック検出情報を送信しなかった前記経路監視装置における前記ＰＩＮＧ試験結果のベクトルを加算し、前記加算したベクトル同士のなす角度θを計算するステップと、
   前記計算した角度θの絶対値が所定の閾値ｂよりも大きいとき、
   前記被疑ハイジャック検出情報に示されるＩＰアドレス空間に経路ハイジャックが発生した可能性が高いと判定するステップとを実行することを特徴とする請求項１に記載の経路ハイジャック検出方法。
3. 前記経路監視装置は、
   前記被疑ハイジャック検出情報を送信した経路監視装置における前記ＰＩＮＧ試験結果のベクトルの平均値を計算し、前記被疑ハイジャック検出情報を送信しなかった経路監視装置における前記ＰＩＮＧ試験結果のベクトルの平均値を計算し、前記平均値を計算したベクトルそれぞれの始点を一致させたときの終点間の距離を計算するステップと、
   前記計算した距離が所定の閾値ｃよりも大きいとき、
   前記被疑ハイジャックの経路情報に示されるＩＰアドレス空間に経路ハイジャックが発生した可能性が高いと判定するステップとを実行することを特徴とする請求項２に記載の経路ハイジャック検出方法。
4. 前記経路監視装置は、
   前記計算した類似度が前記所定の閾値ａを超えるとき、前記計算した角度θの絶対値が前記所定の閾値ｂ以下であるとき、または、前記計算した距離が所定の閾値ｃ以下であるとき、
   前記被疑ハイジャック検出情報に示されるＩＰアドレス空間に経路ハイジャックが発生した可能性は低いと判定するステップを実行することを特徴とする請求項３に記載の経路ハイジャック検出方法。
   
5. 前記経路監視装置の記憶部は、
   当該経路監視装置における監視対象経路のＩＰアドレス空間、そのＩＰアドレス空間に割り当てられた正当なＡＳ番号およびそのＩＰアドレス空間の監視結果の送信先の経路監視装置の識別情報を示した監視対象経路情報と、自身のＡＳの経路制御装置の保持する経路情報とを記憶し、
   前記経路監視装置は、
   前記記憶部の経路情報に示されるＩＰアドレス空間のうち、前記監視対象経路情報に示されるＩＰアドレス空間に含まれる経路情報について、その経路情報に示されるＩＰアドレス空間のＡＳ番号が、前記監視対象経路のＡＳ番号と異なる被疑ハイジャック経路の経路情報があるか否かを監視し、前記監視対象経路のＡＳ番号と異なる被疑ハイジャック経路の経路情報があると判断したとき、
   前記被疑ハイジャック経路のＩＰアドレス空間を示した前記被疑ハイジャック検出情報を、前記ＩＰアドレス空間の監視結果の送信先の経路監視装置へ送信するステップと、
   他の前記経路監視装置からＰＩＮＧ試験の対象となるＩＰアドレス空間を示したＰＩＮＧ試験の依頼を受信したとき、前記ＩＰアドレス空間のＩＰアドレスそれぞれに対しＰＩＮＧ試験を実行するステップと、
   前記実行したＰＩＮＧ試験の結果を前記ＰＩＮＧ試験の依頼元の経路監視装置へ送信するステップとを実行することを特徴とする請求項１ないし請求項３のいずれか１項に記載の経路ハイジャック検出方法。
   
6. 各ＡＳ（Autonomous System）においてＢＧＰ（Border Gateway Protocol）により交換される経路情報を複数の経路監視装置により監視し、経路ハイジャックを検出する経路ハイジャック検出システムにおける前記経路監視装置であって、
   各種データの入出力を司る入出力部と、
   前記ハイジャック経路である可能性のある被疑ハイジャック経路のＩＰアドレス空間を示した被疑ハイジャック検出情報を受信する被疑ハイジャック情報受信部と、
   他の前記経路監視装置それぞれへ、前記被疑ハイジャック検出情報に示されるＩＰアドレス空間へのＰＩＮＧ試験の実行を依頼する試験依頼部と、
   前記被疑ハイジャック検出情報に示されるＩＰアドレス空間へのＰＩＮＧ試験を実行し、このＰＩＮＧ試験の結果を記憶部に記録する試験実行部と、
   前記他の経路監視装置それぞれから、前記ＰＩＮＧ試験の結果を受信し、このＰＩＮＧ試験の結果を前記記憶部に記録する試験結果受信部と、
   前記記録したＰＩＮＧ試験の結果のうち、前記被疑ハイジャック検出情報を送信した経路監視装置における前記ＰＩＮＧ試験結果と、前記被疑ハイジャック検出情報を送信しなかった前記経路監視装置における前記ＰＩＮＧ試験結果との類似度を計算し、前記計算した類似度が所定の閾値以下であるとき、前記被疑ハイジャック検出情報に示されるＩＰアドレス空間に経路ハイジャックが発生した可能性が高いと判定するハイジャック判定部と、
   前記判定結果を出力する判定結果通知部とを備えることを特徴とする経路監視装置。
7. 前記記憶部は、
   当該経路監視装置における監視対象経路のＩＰアドレス空間、そのＩＰアドレス空間に割り当てられた正当なＡＳ番号およびそのＩＰアドレス空間の監視結果の送信先の経路監視装置の識別情報を示した監視対象経路情報と、自身のＡＳの経路制御装置の保持する経路情報とを記憶し、
   前記試験実行部は、
   他の前記経路監視装置からＰＩＮＧ試験の対象となるＩＰアドレス空間を示したＰＩＮＧ試験の依頼を受信したとき、前記ＩＰアドレス空間のＩＰアドレスそれぞれに対しＰＩＮＧ試験を実行し、
   前記経路監視装置は、
   前記経路情報のうち、前記監視対象経路情報に示されるＩＰアドレス空間に含まれる経路情報について、その経路情報に示されるＩＰアドレス空間のＡＳ番号が、前記監視対象経路のＡＳ番号と異なる被疑ハイジャック経路の経路情報があるか否かを監視し、前記監視対象経路のＡＳ番号と異なる経路情報があると判断したとき、前記被疑ハイジャック経路のＩＰアドレス空間を示した前記被疑ハイジャック検出情報を、前記ＩＰアドレス空間の監視結果の送信先の経路監視装置へ送信する経路監視部と、
   前記実行したＰＩＮＧ試験の結果を、前記ＰＩＮＧ試験の依頼元の経路監視装置へ送信する試験結果送信部とを備えることを特徴とする請求項６に記載の経路監視装置。
8. 請求項７に記載の経路監視装置を複数含んで構成されることを特徴とする経路ハイジャック検出システム。
9. 請求項１ないし請求項５のいずれか１項に記載の経路ハイジャック検出方法を、コンピュータである経路監視装置に実行させるための経路ハイジャック検出プログラム。
   

Images