JP4638948B2 - 経路監視装置、経路監視プログラムおよび経路ハイジャック検出システム並びに経路ハイジャック検出方法 - Google Patents

Description

本発明は、インターネットの経路ハイジャック検出技術に関するものである。

インターネットは、ＩＳＰ（商用プロバイダ、Internet Service Provider）や企業や大学等の異なる組織によって運営される１万以上のＡＳ（自律システム、Autonomous System）が有機的に接続されたものである。このＡＳ間は、専用線、あるいはＩＸ（Internet eXchange）によって接続される。

ＡＳの経路制御装置（ルータ）は、ＡＳ間の経路制御を担うＢＧＰ（Border Gateway Protocol）により、互いの経路情報を交換し、この交換した経路情報をもとに、所定のネットワーク宛にデータを転送するときの経路を決定する。この経路情報は、プレフィックス（Prefix）とパス属性とを含んで構成される。このプレフィックスとは経路とも言い、ネットワークアドレスとそのネットワークアドレスのネットマスク長（以下、経路長ともいう）により、宛先となるＩＰ（Internet Protocol）アドレス空間を示した情報である。また、パス属性は経路情報に付加される当該経路の属性情報であり、例えば、ＡＳパス（ＡＳパス属性）やネクストホップ（ネクストホップ属性）等がある。このＡＳパス（AS-PATH）は、宛先のＡＳへ到達するまでに経由するＡＳのＡＳ番号のリストであり、ネクストホップは、その宛先となるＩＰアドレス空間（プレフィックス）へパケットを送信するときの次のルータ（ノード）のＩＰアドレスを示した情報である。

ＢＧＰはパスベクトル型のルーティングプロトコルであり、あるＡＳが広告した経路情報は、各ＡＳをホップバイホップで伝播し、インターネット中に拡散する。例えば、この経路情報の伝播の過程で、各ＡＳのルータは自ＡＳのＡＳ番号をＡＳパス属性に追加していく。このようにして経路情報に追加されたＡＳ番号により、各ルータは、当該プレフィックスを持つパケットをどのＡＳを経由して、どのＡＳへ到達させればよいかを知ることができる。

しかし、ＢＧＰプロトコルは性善説に基づき設計されているため、不正な経路情報が一旦広告されると、その不正な経路情報がインターネット全体に拡散し、伝播してしまい、大規模な通信障害を引き起こすことがある。この不正な経路情報は、オペレータの設定ミスにより生じる場合もあるが、不正な経路情報の広告による通信障害の代表例として、経路ハイジャック（以下、単に、ハイジャックと呼ぶ場合もある）がある。

経路ハイジャックは、あるＡＳがネットワークアドレス管理団体等から正当に割り振られたアドレス帯（以下、プレフィックスとも言う）を経路広告しているところに、そのアドレス帯を割り振られていないＡＳがそのアドレス帯またはその一部を不正に経路広告することで、発生する。経路ハイジャックが発生し、不正な経路情報がインターネット全体に伝播すると、そのアドレスヘのパケットは不正な経路情報を広告したＡＳへ転送されるため、正当に割り振られたＡＳへの通信に障害が発生する。

経路ハイジャックについて、図面を参照しながら詳細に説明する。図８は、経路ハイジャックの典型例を概念的に示す説明図である。ここでは、ネットワークがＡＳ１０（ＡＳ番号「１０」）、ＡＳ２０（ＡＳ番号「２０」）、ＡＳ３０（ＡＳ番号「３０」）、ＡＳ４０（ＡＳ番号「４０」）およびＡＳ５０（ＡＳ番号「５０」）を含んで構成される場合を例に説明する。各ＡＳはそれぞれ、お互いの経路情報を交換し、経路表を作成する。

例えば、ＡＳ５０のルータ（図示省略）が、ＡＳ５０が正当に保有する「５０．０．０．０／１６」の経路情報を各ＡＳ（ＡＳ１０、ＡＳ２０、ＡＳ３０、ＡＳ４０）のルータに広告すると、ＡＳ１０、ＡＳ２０、ＡＳ３０、ＡＳ４０のルータはそれぞれ経路表１００１，１００２，１００３，１００４を作成する。つまり、図８に示す経路表１００１〜１００４には、１行目に元の広告経路が追加される。経路表１００１〜１００５において、経路情報の前に記述された記号（アスタリスク：＊）は、同じプレフィックスが複数ある場合に優先度が高い方またはそれぞれに付与されている。なお、図８では、すべてに表示してある。

各ＡＳ１０〜４０のルータは、このようにして作成した経路表１００１〜１００４に基づきパケットの転送を行う。例えば、ＡＳ１０の経路表１００１の１行目に示す経路情報に基づき、「５０．０．０．０／１６」宛のパケットは、ＡＳ１０→ＡＳ２０→ＡＳ３０→ＡＳ４０→ＡＳ５０という経路で転送される。つまり、まず、ＡＳ１０のルータは、経路表１００１の１行目に示す経路情報に基づき、「５０．０．０．０／１６」宛のパケットをＡＳ２０のルータへ転送する。次に、このパケットを受信したＡＳ２０のルータは、経路表１００２の１行目に示す経路情報に基づき、ＡＳ３０へ転送する。さらに、このパケットを受信したＡＳ３０のルータは、経路表１００３の１行目に示す経路情報に基づき、ＡＳ４０へ転送する。最後に、このパケットを受信したＡＳ４０のルータは、経路表１００４の１行目に示す経路情報に基づき、ＡＳ５０へ転送する。

（Ｓ１０１）ここで、ＡＳ１０〜ＡＳ５０とは別のＡＳ６０のルータが、ＡＳ５０のプレフィックスの一部（「５０．０．０．０／２４」）の経路情報を誤って（過失で）広告したとする。すると、図８に示すように、ＡＳ１０、ＡＳ２０、ＡＳ３０、ＡＳ４０のルータの経路表１００１、１００２、１００３、１００４には、その２行目に、プレフィックス「５０．０．０．０／２４」の経路情報の広告元はＡＳ番号「６０」であるという情報（経路ハイジャック経路情報）が書き込まれる。

（Ｓ１０２）これにより、本来、ＡＳ５０へ転送されるべき「５０．０．０．０／２４」宛のパケットがＡＳ６０へ吸い込まれてしまう。つまり、このパケットを受信したＡＳ２０のルータは、元の広告経路の経路情報（経路表１００２の１行目に記載の経路情報）ではなく、経路ハイジャック経路情報（経路表１００２の２行目に記載の経路情報）の方を参照してパケットの転送先を決定するので、パケットがＡＳ６０へ吸い込まれてしまう。
（Ｓ１０３）結果として、このパケットがＡＳ５０に届かないことになる。すなわち、通信に障害が発生する。

なお、各ＡＳのルータがパケットを転送する場合において、経路表の１行目に記載の元の広告経路（「５０．０．０．０／１６」）ではなく、経路表の２行目に記載の経路ハイジャック経路（「５０．０．０．０／２４」）を選択する理由は、経路表に宛先アドレスを包含する経路情報が複数ある場合には、ルータは、よりネットマスク長の長い経路情報を選択する最長一致規則を用いるからである。

従来、このような経路ハイジャックを検出する技術として、各ＡＳに分散配置された経路監視装置それぞれが、受け取った経路情報を、ＩＲＲデータベース（Internet Routing Registry database）のデータ（経路情報）と照合し、経路ハイジャックを検出する技術がある（特許文献１参照）。このＩＲＲデータベースとは、インターネット上の経路情報（ＩＰアドレス空間）とその経路に割り当てられた正当なＡＳ番号と示したデータベースである。

特許文献１に記載の技術を、図９を用いて説明する。図９は、従来の経路ハイジャック検知技術を概念的に示す説明図である。図９に示すように、ＡＳ１０、ＡＳ２０、ＡＳ５０には、経路監視装置１００（１００Ａ，１００Ｂ，１００Ｃ）がそれぞれ分散配置され、各経路監視装置１００が協調連携し、各ＡＳ間で交換される経路情報を監視することで、経路障害を検知している。

（Ｓ２００）ここで、例えば、ＡＳ５０の経路監視装置１００Ｃは、「５０．０．０．０／１６」の監視を他の経路監視装置１００Ａ，１００Ｂに依頼する。
（Ｓ２０１）各経路監視装置１００Ａ，１００Ｂは、監視依頼に基づき、この「５０．０．０．０／１６」の監視を開始する。すなわち、各経路監視装置１００Ａ，１００Ｂは、それぞれが接続するＡＳ１０，２０内のルータから受信する経路情報をチェックし、監視対象経路である「５０．０．０．０／１６」に経路ハイジャックが発生していないかを監視する。

（Ｓ２０２）ここで、各経路監視装置１００Ａ，１００Ｂは、被疑経路ハイジャック経路情報として、ＡＳ６０から、「５０．０．０．０／２４」の経路情報を受信する。
（Ｓ２０３）すると、各経路監視装置１００Ａ，１００Ｂは、この被疑経路ハイジャック経路情報がＡＳ６０の経路として登録されているか否かによって経路ハイジャックか否かを判定するために、ＩＲＲデータベース３００と照合する。

具体的には、各経路監視装置１００Ａ，１００Ｂは、この経路情報「５０．０．０．０／２４」を送信したＡＳ６０のＡＳ番号「６０」が、ＩＲＲデータベース３００において、経路情報「５０．０．０．０／２４」の広告元（origin）のＡＳ番号として登録されているか否かを判別する。照合の結果、被疑経路ハイジャック経路情報がＩＲＲデータベース３００に登録されていない場合には「経路ハイジャック」と判定する。

（Ｓ２０４）そして、各経路監視装置１００Ａ，１００Ｂは、この判定結果を、監視の依頼元であるＡＳ５０の経路監視装置１００Ｃへ通知する。
（Ｓ２０５）この後、経路監視装置１００Ｃは、通知された判定結果が「経路ハイジャック」の場合には、ＡＳ５０の経路を管理しているＮＯＣ（Network Operations Center）２００にいるオペレータに、経路ハイジャック発生の警報を通知する。

表１に、ＩＲＲデータベース３００に登録されている経路情報の例を示す。経路ハイジャック判定に用いるのは、このうち、１行目のroute属性と、３行目のorigin属性である。

特開２００６−２５０８８号公報

しかしながら、ハイジャッカーが意図的に（故意に）、ＩＲＲデータベース３００に登録されている経路情報と同様の経路情報を経路広告した場合、特許文献１に記載のＩＲＲ参照方式では検知できない。このような故意の経路ハイジャックを、オリジン詐称経路ハイジャックやＡＳパス詐称経路ハイジャック（オリジン（originＡＳ）を詐称するだけではなくＡＳパスをも詐称するハイジャック）という。

まず、オリジン詐称経路ハイジャックの具体例を図１０に示す。ここでは、図８と同様に、ＡＳ５０が正当にプレフィックス「５０．０．０．０／１６」を保有し、その経路情報をＩＲＲデータベース（図示を省略）に登録しているものとする。

（Ｓ３０１）この前提のもとで、ハイジャッカーＨＪｅｒが、「５０．０．０．０／１６」のオリジンＡＳを詐称し（これを詐称ＡＳ５０という）、本来の（オリジン）ＡＳ５０（以下、本来ＡＳ５０という）が正当に保有するプレフィックス「５０．０．０．０／１６」を、ＡＳ２０経由で経路広告したとする。
（Ｓ３０２）そして、ＡＳ５０が広告した経路情報と、ハイジャッカーＨＪｅｒが広告した経路情報とが、各ＡＳ１０〜４０にて比較され、ハイジャッカーＨＪｅｒが広告した経路の方が優先度が高い場合には、その経路が選択され、その結果、本来ＡＳ５０に転送されるべきパケットがハイジャッカーＨＪｅｒに転送され、吸い込まれる。
（Ｓ３０３）このため、本来ＡＳ５０に転送されるべきパケットがＡＳ５０に届かない。すなわち、通信に障害が発生する。

前記した（Ｓ３０２）において、各ＡＳ１０〜４０に行われる経路情報の比較について説明する。例えば、ＡＳ１０では、ＡＳ５０が広告した「５０．０．０．０／１６」の経路のＡＳパスは、経路表１００１において、符号３１１で示すように、“２０ ３０ ４０ ５０”である。また、ＡＳ１０では、ハイジャッカーＨＪｅｒが広告したＡＳパスは、経路表１００１において、符号３１２で示すように、“２０ ５０”である。この場合、ハイジャッカーＨＪｅｒが広告した経路のＡＳパスの方が短い。そのため、ＡＳ１０は、ハイジャッカーＨＪｅｒが広告した経路を選択する。

なお、経路表１００１において、符号３１２で示すプレフィックスには記号（アスタリスク：＊）が付与され、符号３１１で示すプレフィックスにはその記号（アスタリスク：＊）が付与されていない。この記号（アスタリスク：＊）は、同じプレフィックスの場合には、優先度の高い方に付与されている。

ＡＳ１０では、「５０．０．０．０／１６」向けのパケットは、短いＡＳパスを通るので、ＡＳ２０を経由して、ハイジャッカーＨＪｅｒに転送される。このように、オリジン詐称経路ハイジャックの場合は、図示しないＩＲＲデータベースに登録されている経路情報通りに経路広告されているため、図９を参照して説明した特許文献１に記載のＩＲＲ参照方式では検知できない。

次に、ＡＳパス詐称経路ハイジャックを一般化した例を図１１に示す。
（Ｓ４０１）ここでは、ハイジャッカーＨＪｅｒがＡＳパスを詐称し、“４０ ５０”というＡＳパスで、ＡＳ５０が正当に保有するプレフィックス「５０．０．０．０／１６」の経路をＡＳ２０経由で広告したとする。
（Ｓ４０２）この場合も、オリジン詐称経路ハイジャックと同様に、各ＡＳ１０〜４０では、ＡＳ５０が広告した経路情報と、ハイジャッカーＨＪｅｒが広告した経路情報とを比較する。

例えば、ＡＳ１０では、ＡＳ５０が広告した「５０．０．０．０／１６」の経路のＡＳパスは、経路表１００１において、符号４１１で示すように、“２０ ３０ ４０ ５０”である。また、ＡＳ１０では、ハイジャッカーＨＪｅｒが広告したＡＳパスは、経路表１００１において、符号４１２で示すように、“２０ ４０ ５０”である。 この場合、ハイジャッカーＨＪｅｒが広告したＡＳパスの方が短い。そのため、ＡＳ１０は、ハイジャッカーＨＪｅｒが広告した経路を選択する。このようにＡＳ１０では、「５０．０．０．０／１６」向けのパケットは、短いＡＳパスを通るので、ＡＳ２０を経由して、ハイジャッカーＨＪｅｒに転送される。
（Ｓ４０３）このため、本来ＡＳ５０に転送されるべきパケットがＡＳ５０に届かない。すなわち、通信に障害が発生する。

これまでに、本願発明者らは、このようなオリジン詐称経路ハイジャックやＡＳパス詐称経路ハイジャックの場合であっても経路ハイジャックを検出できる経路ハイジャック検出技術を開発してきた（特願２００７−２８８３８４号）。経路ハイジャック検出技術には、さらなる改良の余地がある。そこで、本発明では、オリジン詐称経路ハイジャックを含めたＡＳパス詐称経路ハイジャックを検出する技術を提供することを目的とする。

前記した課題を解決するため請求項１に記載の経路監視装置は、各ＡＳ（Autonomous System）においてＢＧＰ（Border Gateway Protocol）により交換される経路情報を複数の経路監視装置により監視し、経路ハイジャックを検出する経路ハイジャック検出システムにおける前記経路監視装置であって、各種データの入出力を司る入出力手段と、前記経路情報を記述した経路表を記憶する記憶手段と、前記経路表において経路変更を検出し、変更後の経路情報の１つを被疑経路情報として特定する変更検出手段と、前記特定された被疑経路情報におけるＡＳパスにて連続して経由する２つのＡＳの一方の前記経路監視装置に対して、当該被疑経路情報の他方のＡＳと隣接しているか判定する隣接判定処理を依頼する隣接判定依頼情報を送信する隣接判定依頼情報送信手段と、前記依頼に応答した処理を実行した結果として隣接可能性の高低のいずれかを示す隣接判定結果を受信する隣接判定結果受信手段と、隣接可能性が低いことを示す前記隣接判定結果を受信した場合に、経路ハイジャックが発生した可能性が高いと判定するハイジャック判定手段と、前記経路ハイジャックが発生した可能性が高い場合に、ハイジャック発生の警報を出力するハイジャック報知手段と、他の前記経路監視装置から、前記被疑経路情報において自ＡＳに相手先ＡＳが隣接しているか否か判定する隣接判定処理の依頼として、前記隣接判定依頼情報を受信する隣接判定依頼情報受信手段と、前記受信した隣接判定依頼情報で依頼された被疑経路情報における相手先ＡＳを、自ＡＳとの隣接判定対象として、前記経路表において当該被疑経路情報を除く経路情報のＡＳパスにおいて、自ＡＳに隣接しているか否かを判定し、自ＡＳが相手先ＡＳに隣接している場合に隣接可能性が高く、さもなければ低いことを示す隣接判定結果を生成する隣接判定手段と、前記生成された隣接判定結果を返信する隣接判定結果送信手段とを備えることを特徴とする。

かかる構成によれば、経路監視装置は、経路情報の受信をトリガに更新された経路表において経路変更を自ら検出し、被疑経路情報を特定する。ここで、被疑経路情報は、正当なオリジンＡＳによって通常の経路変更がなされた経路情報である可能性と、ＡＳパス詐称経路ハイジャックが発生した経路情報である可能性がある。経路監視装置は、特定した被疑経路情報により、そのＡＳパスの変化の妥当性評価を行う。妥当性は、被疑経路情報のＡＳパスで示されるＡＳの隣接関係と、実際のネットワークシステムにおけるＡＳの隣接関係とが同じであるか否かによって評価される。経路監視装置は、ＡＳパスの２つのＡＳの一方の経路監視装置に対して、隣接判定依頼情報を送信することで、他方のＡＳ（相手先ＡＳ）と隣接しているか判定する処理を依頼し、隣接可能性の高低のいずれかを示す隣接判定結果を受信する。したがって、経路監視装置は、オリジンＡＳ詐称経路ハイジャックやＡＳパス詐称経路ハイジャックが発生した可能性が高いか否かを判定することができる。

また、請求項２に記載の経路監視装置は、請求項１に記載の経路監視装置において、前記隣接判定手段が、前記経路表において特定された被疑経路情報におけるＡＳパスが広告元ＡＳのみである場合に当該広告元ＡＳである相手先ＡＳを、さらに自ＡＳとの隣接判定対象として、前記経路表において当該被疑経路情報を除く経路情報のＡＳパスにおいて、自ＡＳに隣接しているか否かを判定し、自ＡＳが相手先ＡＳに隣接している場合に隣接可能性が高く、さもなければ低いことを示す隣接判定結果を生成し、前記ハイジャック判定手段が、前記隣接判定手段によって、隣接可能性が高いことを示す前記隣接判定結果を生成した場合に、経路ハイジャックが発生した可能性が低いと判定することを特徴とする。

かかる構成によれば、経路監視装置は、被疑経路情報におけるＡＳパスが広告元ＡＳのみである場合にも当該広告元ＡＳが詐称していないか検出できる。したがって、経路監視装置は、オリジンＡＳ詐称経路ハイジャックやＡＳパス詐称経路ハイジャックを検出した場合に、オリジンＡＳ詐称をしたＡＳが自ＡＳに隣接していることを認識しそれを特定することができる。

また、請求項３に記載の経路監視装置は、請求項１または請求項２に記載の経路監視装置において、前記経路ハイジャック検出システムが、インターネット上の経路情報と、その経路に割り当てられた正当なＡＳと、前記正当なＡＳと隣接関係にあるＡＳのグループとを情報として含むデータベースであるＩＲＲデータベースをさらに備え、前記経路監視装置が、前記特定された被疑経路情報におけるＡＳパスにて連続して経由する２つのＡＳが前記ＩＲＲデータベースにおいて同じグループに登録されているか検索するＩＲＲ情報検索手段をさらに備え、前記ハイジャック判定手段が、当該２つのＡＳが前記ＩＲＲデータベースにおいて同じグループに登録されている場合には、前記受信した隣接判定結果と併せて判定し、経路ハイジャックが発生した可能性が低いと判定することを特徴とする。

かかる構成によれば、経路監視装置は、特定された被疑経路情報におけるＡＳパスの２つのＡＳがＩＲＲデータベースにおいて同じグループに登録されているか検索することができる。したがって、ＩＲＲデータベースにおける登録を確認することで、受信する判定結果と併せて、経路ハイジャックが発生した可能性が低いと判定することができる。

また、請求項４に記載の経路ハイジャック検出システムは、請求項１または請求項２に記載の経路監視装置を複数含んで構成されることを特徴とする。

かかる構成によれば、経路ハイジャック検出システムは、オリジン詐称経路ハイジャックを含めたＡＳパス詐称経路ハイジャックを検出できる経路監視装置を複数含んで構成されるので、経路ハイジャック検出システムのネットワーク運営者が、ＡＳと経路監視装置との分散状態等を含めて、運用形態に合わせた多様な経路ハイジャック検出システムを構成することができる。

また、請求項５に記載の経路ハイジャック検出システムは、インターネット上の経路情報と、その経路に割り当てられた正当なＡＳと、前記正当なＡＳと隣接関係にあるＡＳのグループとを情報として含むデータベースであるＩＲＲデータベースを備え、請求項３に記載の経路監視装置を複数含んで構成されることを特徴とする。

かかる構成によれば、経路ハイジャック検出システムは、ＩＲＲ情報検索手段を有する経路監視装置を複数含んで構成されるので、経路監視装置が、相手先ＡＳと隣接しているか判定を依頼すべきＡＳに経路監視装置が存在しない場合であっても、ＩＲＲデータベースを参照することで隣接判定が可能となる。

また、前記した課題を解決するため請求項６に記載の経路ハイジャック検出方法は、各ＡＳ（Autonomous System）においてＢＧＰ（Border Gateway Protocol）により交換される経路情報を記述した経路表を記憶する複数の経路監視装置が前記経路情報を監視することで経路ハイジャックを検出する経路ハイジャック検出システムにおける経路ハイジャック検出方法であって、第1の経路監視装置が、前記経路表において経路変更を検出し、変更後の経路情報の１つを被疑経路情報として特定する経路変更検出ステップと、前記経路表において特定された被疑経路情報におけるＡＳパスにて連続して経由する２つのＡＳの一方の前記経路監視装置に対して、当該被疑経路情報の他方のＡＳと隣接しているか判定する隣接判定処理を依頼する隣接判定依頼情報を送信する隣接判定依頼情報送信ステップとを実行し、前記第２の経路監視装置が、前記第１の経路監視装置からの依頼として、前記隣接判定依頼情報を受信する隣接判定依頼情報受信ステップと、前記受信した隣接判定依頼情報で依頼された被疑経路情報における相手先ＡＳを、自ＡＳとの隣接判定対象として、前記経路表において当該被疑経路情報を除く経路情報のＡＳパスにおいて、自ＡＳに隣接しているか否かを判定し、自ＡＳが相手先ＡＳに隣接している場合に隣接可能性が高く、さもなければ低いことを示す隣接判定結果を生成する隣接判定ステップと、前記生成された隣接判定結果を返信する隣接判定結果送信ステップとを実行し、前記第１の経路監視装置が、前記第２の経路監視装置から前記隣接判定結果を受信する隣接判定結果受信ステップと、隣接可能性が低いことを示す前記隣接判定結果を受信した場合に、経路ハイジャックが発生した可能性が高いと判定するハイジャック判定ステップと、前記経路ハイジャックが発生した可能性が高い場合に、ハイジャック発生の警報を出力するハイジャック報知ステップとを実行することを特徴とする。

かかる手順によれば、経路ハイジャック検出システムは、隣接判定依頼情報を送信する第１の経路監視装置と、隣接判定依頼情報を受信する第２の経路監視装置とを備え、第１の経路監視装置は、経路情報の受信をトリガに更新された経路表において経路変更を自ら検出し、被疑経路情報を特定し、そのＡＳパスの変化の妥当性評価を行う。そして、第１の経路監視装置は、評価対象の２つのＡＳの一方の第２の経路監視装置に対して、相手先ＡＳとの隣接判定を依頼する。一方、依頼を受けた第２の経路監視装置は、相手先ＡＳと隣接しているか判定する処理を実行し、隣接可能性の高低のいずれかを示す隣接判定結果を送信する。したがって、第１の経路監視装置は、オリジンＡＳ詐称経路ハイジャックやＡＳパス詐称経路ハイジャックが発生した可能性が高いか否かを判定することができる。

また、請求項７に記載の経路ハイジャック検出方法は、請求項６に記載の経路ハイジャック検出方法において、前記第１の経路監視装置が、前記経路表において特定された被疑経路情報におけるＡＳパスは広告元ＡＳのみであるか否かを判定するステップと、当該被疑経路情報におけるＡＳパスは広告元ＡＳのみである場合、前記隣接判定ステップにて、当該広告元ＡＳである相手先ＡＳを、自ＡＳとの隣接判定対象として、前記経路表において当該被疑経路情報を除く経路情報のＡＳパスにおいて、自ＡＳに隣接しているか否かを判定し、自ＡＳが相手先ＡＳに隣接している場合に隣接可能性が高く、さもなければ低いことを示す隣接判定結果を生成し、前記ハイジャック判定ステップが、前記広告元ＡＳである相手先ＡＳを自ＡＳとの隣接判定対象として隣接可能性が高い隣接判定結果を生成した場合、経路ハイジャックが発生した可能性が低いと判定し、当該被疑経路情報におけるＡＳパスが広告元ＡＳのみではない場合、前記隣接判定依頼情報送信ステップを実行することを特徴とする。

かかる手順によれば、経路ハイジャック検出システムにおいて、第1の経路監視装置が、被疑経路情報におけるＡＳパスが広告元ＡＳのみである場合にも当該広告元ＡＳが詐称していないか検出できる。したがって、第1の経路監視装置は、オリジンＡＳ詐称経路ハイジャックやＡＳパス詐称経路ハイジャックを検出した場合に、オリジンＡＳ詐称をしたＡＳが自ＡＳに隣接していることを認識しそれを特定することができる。

また、請求項８に記載の経路ハイジャック検出方法は、請求項６または請求項７に記載の経路ハイジャック検出方法において、前記経路ハイジャック検出システムが、インターネット上の経路情報と、その経路に割り当てられた正当なＡＳと、前記正当なＡＳと隣接関係にあるＡＳのグループとを情報として含むデータベースであるＩＲＲデータベースをさらに備え、前記第１の経路監視装置が、前記特定された被疑経路情報におけるＡＳパスにて連続して経由する２つのＡＳが前記ＩＲＲデータベースにおいて同じグループに登録されているか検索するＩＲＲ情報検索ステップをさらに実行し、前記ハイジャック判定ステップが、当該２つのＡＳが前記ＩＲＲデータベースにおいて同じグループに登録されている場合には、前記受信した隣接判定結果と併せて、経路ハイジャックが発生した可能性が低いと判定することを特徴とする。

かかる手順によれば、経路ハイジャック検出システムは、ＩＲＲデータベースを備えており、第１の経路監視装置が、被疑経路情報を特定してＡＳパスの変化の妥当性評価を行うときに、第２の経路監視装置に対して、その隣接判定を依頼すると共に、当該２つのＡＳの隣接関係をＩＲＲデータベースと照合することで、隣接関係を判定することができる。そして、ＩＲＲデータベースにおける登録を確認することで、第２の経路監視装置から受信する判定結果と併せて、経路ハイジャックが発生した可能性が低いと判定することが可能となる。

また、請求項９に記載の経路監視プログラムは、請求項１ないし請求項３のいずれか一項に記載の経路監視装置を構成する各手段としてコンピュータを機能させるためのプログラムとした。このように構成されることにより、このプログラムをインストールされたコンピュータは、このプログラムに基づいた各機能を実現することができる。

本発明によれば、経路変更のあった被疑経路情報の隣接関係を調査して当該被疑経路情報のＡＳパスの変化の妥当性評価を行うので、たとえ同様な経路変更があったとしても、正当なオリジンＡＳによって通常の経路変更がなされた場合と、ＡＳパス詐称経路ハイジャックが発生した場合とを区別して検出することができる。したがって、本発明によれば、オリジン詐称およびＡＳパス詐称による経路ハイジャックの検出が可能となる。

本発明の実施形態に係る経路監視装置を含む経路ハイジャック検出システムを例示した図である（経路ハイジャックの可能性が高いと判定する場合）。 本発明の実施形態に係る経路監視装置を含む経路ハイジャック検出システムを例示した図である（経路ハイジャックの可能性が低いと判定する場合）。 本発明の実施形態に係る経路監視装置を含む経路ハイジャック検出システムの一例を示す構成図である。 本発明の実施形態に係る経路監視装置の構成例を示すブロック図である。 本発明の実施形態に係る経路監視装置の動作例を示すシーケンス図（その１）である。 図５に示す隣接判定処理の一例を示すフローチャートである。 本発明の実施形態に係る経路監視装置の動作例を示すシーケンス図（その２）である。 本発明が検知対象とする経路ハイジャックの典型例を概念的に示す説明図である。 従来の経路ハイジャック検知技術を概念的に示す説明図である。 従来の経路ハイジャック検知技術では解決が困難な経路ハイジャックの一例を概念的に示す説明図である。 従来の経路ハイジャック検知技術では解決が困難な経路ハイジャックの他の例を概念的に示す説明図である。

図面を参照して本発明の経路監視装置、経路ハイジャック検出システムおよびその検出方法を実施するための形態（以下「実施形態」という）について詳細に説明する。以下では、経路ハイジャック検出システムの概要、ＡＳパス妥当性の評価方法、経路監視装置の構成、経路ハイジャック検出システムの動作について順次説明する。

［経路ハイジャック検出システムの概要］
＜経路ハイジャック検出原理＞
まず、図１ないし図３を用いて、経路ハイジャック検出システムの概要を説明する。図１ないし図３は、本発明の実施形態に係る経路監視装置を含む経路ハイジャック検出システムを例示した図である。

図１ないし図３に示すように、経路ハイジャック検出システム１（図３参照）は、図８と同様に、ＡＳ１０（ＡＳ番号「１０」）、ＡＳ２０（ＡＳ番号「２０」）、ＡＳ３０（ＡＳ番号「３０」）、ＡＳ４０（ＡＳ番号「４０」）およびＡＳ５０（ＡＳ番号「５０」）を含んで構成される。そして、各ＡＳ１０〜５０のルータはそれぞれ、ＢＧＰによりお互いの経路情報を交換し、経路表１００１〜１００５を作成する。このＡＳの数や経路表の数は図１ないし図３に示す数に限定されない。

経路ハイジャック検出システム１は、オリジン詐称経路ハイジャックを含めたＡＳパス詐称経路ハイジャックを検出する。ここで、「ＡＳパス詐称経路ハイジャックが発生した経路情報」とは、オリジンＡＳ以外のＡＳパスが変更となる経路情報である。これに対して、ＡＳパス詐称経路ハイジャックが発生した疑いがある経路情報は、「被疑ＡＳパス詐称経路ハイジャック経路情報（以下、単に被疑経路情報という）」である。この「被疑経路情報」は、「オリジンＡＳによって通常の経路変更がなされた経路情報」である可能性と、「ＡＳパス詐称経路ハイジャックが発生した経路情報」である可能性がある。本発明の実施形態に係る経路監視装置１００は、監視対象経路に対する被疑経路情報を受信すると、それを契機に、そのＡＳパスの変化の妥当性評価を行い、経路ハイジャックかあるいは通常の経路変更かを判定する。被疑経路情報から導かれるＡＳの隣接関係と、実際のネットワークシステムにおけるＡＳの隣接関係とが同じであれば、通常の経路変更の可能性が高く、異なれば、経路ハイジャックの可能性が高くなる。

発明が解決しようとする課題で述べたように、図１０に例示したオリジン詐称経路ハイジャックの具体例の場合には、図１０の符号３１１，３１２で示すように、ＡＳ１０では、「５０．０．０．０／１６」のＡＳパスが“２０ ３０ ４０ ５０”から“２０ ５０”へ変わった。そこで、図１の説明図においても、同様な例を用いることで、経路ハイジャック検出システム１がオリジン詐称経路ハイジャックを検出できることを示す。ちなみに、図１０では、ＡＳ５０が広告している「５０．０．０．０／１６」のみを経路表１００１〜１００５に表示していたが、実際には各ＡＳ１０〜５０が広告している経路が経路表に記載されている。そのため、ＡＳ１０、ＡＳ２０、ＡＳ３０、ＡＳ４０がそれぞれ、「１０．０．０．０／１６」、「２０．０．０．０／１６」、「３０．０．０．０／１６」、「４０．０．０．０／１６」を広告しているとすると、経路表は図１のよう５行以上のものになる。図１に示す経路監視装置１００Ａは、ＡＳパスが“２０ ３０ ４０ ５０”から“２０ ５０”へ変化したこと、すなわちＡＳ２０とＡＳ５０とが新たな隣接関係になったことの妥当性評価を行う。この詳細は、＜ＡＳパス妥当性が低い例１＞として後記する。また、図２の説明図を用いて、通常の経路変更が行われたときに、経路ハイジャックを誤検出しないことを示す。この詳細は、＜ＡＳパス妥当性が高い例＞として後記する。

また、図１１に例示したＡＳパス詐称経路ハイジャックの具体例の場合には、図１１の符号４１１，４１２で示すように、ＡＳ１０では、「５０．０．０．０／１６」のＡＳパスが“２０ ３０ ４０ ５０”から“２０ ４０ ５０”へ変わった。そこで、図１１の例では、図１１に示す経路監視装置１００Ａは、ＡＳパスが“２０ ３０ ４０ ５０”から“２０ ４０ ５０”へ変化したこと、すなわちＡＳ２０とＡＳ４０とが新たな隣接関係になったことの妥当性評価を行う。この詳細は、＜ＡＳパス妥当性が低い例２＞
として後記する。

＜経路ハイジャック検出システムの構成例＞
図３に示すように、経路ハイジャック検出システム１は、３つの経路監視装置１００（１００Ａ，１００Ｂ，１００Ｃ）を備えている。経路監視装置１００Ａは、ＡＳ１０に設置され、経路監視装置１００Ｂは、ＡＳ２０に設置され、経路監視装置１００Ｃは、ＡＳ５０に設置されている。なお、各ＡＳすべてに経路監視装置１００を設置してもよいし、１つのＡＳに複数の経路監視装置１００を設置するようにしてもよい。

経路ハイジャック検出システム１において、図１および図２では省略したが、各ＡＳ１０〜５０は、ＮＯＣ２００（２００Ａ、２００Ｂ，２００Ｃ，２００Ｄ，２００Ｅ）に管理されている。また、経路ハイジャック検出システム１は、ＩＲＲデータベース３００を備えているものとする。経路監視装置１００（１００Ａ，１００Ｂ，１００Ｃ）は、ＩＲＲデータベース３００に接続されており、ＩＲＲ情報を参照することができる。

ＩＲＲデータベース３００は、インターネット上の経路情報と、その経路に割り当てられた正当なＡＳと、正当なＡＳと隣接関係にあるＡＳのグループとを情報として含むデータベースである。

［ＡＳパス妥当性の評価方法］
＜ＡＳパス妥当性が低い例１＞
ＡＳパス妥当性が低い例１について図１を参照して説明する。
≪前提≫
例えば、ＡＳ５０が、「５０．０．０．０／１６」の経路情報を、各ＡＳ（ＡＳ１０、ＡＳ２０、ＡＳ３０、ＡＳ４０）に広告すると、各ＡＳのルータは経路表に経路情報を追加する。ここで、ＡＳ５０を詐称するＨＪｅｒにより「５０．０．０．０／１６」が経路ハイジャックされると以下のようになる。つまり、ＨＪｅｒが、本来ＡＳ５０のプレフィックスである「５０．０．０．０／１６」の経路情報を広告し、ＡＳ１０〜ＡＳ４０のルータの経路表１００１〜１００４に、プレフィックス「５０．０．０．０／１６」の経路情報の広告元はＡＳ５０（詐称ＡＳ５０）であるという情報が書き込まれる。以下、経路ハイジャック検出システムは、図１に示す（Ｓ０）〜（Ｓ５）のように動作する。

（Ｓ０）例えば、ＡＳ１０では、ＡＳ５０が広告した「５０．０．０．０／１６」の経路のＡＳパスは、経路表１００１において、符号２１で示すように、“２０ ３０ ４０ ５０”である。また、ＡＳ１０では、ハイジャッカーＨＪｅｒが広告したＡＳパスは、経路表１００１において、符号２２で示すように、“２０ ５０”である。つまり、ＡＳパス（経路）が変更される。

（Ｓ１）ＡＳ１０の経路監視装置１００Ａは、符号２２で示す被疑経路情報を解釈し、ＡＳ２０とＡＳ５０とが新たな隣接関係になったということを認識する。この場合には、ＡＳ１０の直接の隣接関係の変更ではないので、経路監視装置１００Ａ自身では、隣接関係を判定（調査）できない。

（Ｓ２）そのため、ＡＳ１０の経路監視装置１００Ａは、ＡＳ２０の経路監視装置１００Ｂと、ＡＳ５０の経路監視装置１００Ｃに調査を依頼し、それぞれのＡＳ（ＡＳ２０，ＡＳ５０）が隣接しているかを確認する。

（Ｓ３ａ）具体的には、まず、ＡＳ２０の経路監視装置１００Ｂに問い合わせる。すると、ＡＳ２０の経路表１００２から、被疑経路情報である「５０．０．０．０／１６」を除く他の経路情報からは、ＡＳ２０が隣接しているのはＡＳ１０とＡＳ３０のみであり、ＡＳ５０とは隣接していないことがわかる。したがって、ＡＳ２０の経路監視装置１００Ｂは、ＡＳ２０がＡＳ５０と隣接していないことを返答する。

（Ｓ３ｂ）また、ＡＳ５０の経路監視装置１００Ｃに問い合わせる。すると、ＡＳ５０の経路表１００５から、ＡＳ５０が隣接しているのはＡＳ４０のみであり、ＡＳ２０とは隣接していないことがわかる。したがって、ＡＳ５０の経路監視装置１００Ｃは、ＡＳ５０がＡＳ２０と隣接していないことを返答する。

（Ｓ４）ＡＳ２０とＡＳ５０が隣接している可能性は低いという調査結果から、被疑経路情報のＡＳパスの妥当性は低いことがわかり、オリジン詐称経路ハイジャックの可能性が高いと判定する。
（Ｓ５）ＡＳ５０の経路を管理しているＮＯＣ２００Ｅにいるオペレータに、経路ハイジャック発生の警報を通知する。

＜ＡＳパス妥当性が高い例＞
次に、図２にて、図１を参照して説明した経路ハイジャックの場合と同様の被疑経路情報でありながら、経路ハイジャックではなく、通常の経路変更の場合を示す。
≪前提≫
ここでは、符号２３に示すように、ＡＳ５０が新たにＡＳ２０と接続し、ＡＳ２０に対し、「５０．０．０．０／１６」を広告している。以下、経路ハイジャック検出システムは、図２に示す（Ｓ１０）〜（Ｓ１５）のように動作する。

（Ｓ１０）よって、図１を参照して説明した経路ハイジャックの場合と同様に、例えば、ＡＳ１０では、経路表１００１において、符号２１，２２に示すように、「５０．０．０．０／１６」のＡＳパスが“２０ ３０ ４０ ５０”から“２０ ５０”へ変更となる。なお、（Ｓ１１）および（Ｓ１２）は、前記した（Ｓ１）および（Ｓ２）と同様なので説明を省略する。

（Ｓ１３ａ）ＡＳ１０の経路監視装置１００Ａは、まず、ＡＳ２０の経路監視装置１００Ｂに問い合わせる。すると、ＡＳ２０の経路表１００２から、被疑対象の「５０．０．０．０／１６」以外に、符号２４に示すように、ＡＳ４０の「４０．０．０．０／１６」がＡＳ５０経由で広告されていることがわかる。したがって、ＡＳ２０の経路監視装置１００Ｂは、ＡＳ２０がＡＳ５０と隣接していることを返答する。

（Ｓ１３ｂ）また、経路監視装置１００Ａは、ＡＳ５０の経路監視装置１００Ｃに問い合わせる。すると、符号２５，２６，２７にそれぞれ示すように、「１０．０．０．０／１６」、「２０．０．０．０／１６」、「３０．０．０．０／１６」がＡＳ２０経由で広告されていることがわかる。したがって、ＡＳ５０の経路監視装置１００Ｃは、ＡＳ５０がＡＳ２０と隣接していることを返答する。

（Ｓ１４）ＡＳ２０とＡＳ５０が隣接している可能性は高い調査結果から、被疑経路情報のＡＳパスの妥当性は高いことがわかり、オリジン詐称経路ハイジャックの可能性が低いと判定する。
（Ｓ１５）したがって、この場合には、ＡＳ５０の経路を管理しているＮＯＣ２００Ｅにいるオペレータに、経路ハイジャック発生の警報を通知しない。つまり、誤検出しない。

＜ＡＳパス妥当性が低い例２＞
ＡＳパス妥当性が低い例２について図１１を参照して説明する。
≪前提≫
例えば、ＡＳ１０では、ＡＳ５０が広告した「５０．０．０．０／１６」の経路のＡＳパスは、経路表１００１において、符号４１１で示すように、“２０ ３０ ４０ ５０”である。また、ＡＳ１０では、ハイジャッカーＨＪｅｒが広告したＡＳパスは、経路表１００１において、符号４１２で示すように、“２０ ４０ ５０”である。したがって、このケースでは、ＡＳ２０とＡＳ４０が、仮想線４２１で示すように、新たな隣接関係になったことの妥当性評価を行う。

ＡＳ１０の経路監視装置１００Ａが、ＡＳ２０の経路監視装置１００Ｂに調査を依頼し、返答を取得する方法は、＜ＡＳパス妥当性が低い例１＞の（Ｓ３ａ）と同様である。一方、ＡＳ２０の相手先ＡＳであるＡＳ４０の経路監視装置１００に問い合わせをしようとしたとしても、ＡＳ４０には経路監視装置１００がない。そこで、この場合には、ＩＲＲデータベース３００へＡＳ−ＳＥＴの問い合わせを行う。ＡＳ−ＳＥＴの例を表２に示す。ここでは、ＡＳ４０のＡＳ４０−ＮＥＴというＡＳ−ＳＥＴを示している。

一般的に、ＡＳ−ＳＥＴの「members（表２の３行目参照）」には、対象のＡＳ（この場合にはＡＳ４０）に関連するＡＳの情報が入れられる。表２の例では、「ＡＳ４０」に関連するＡＳの情報として、「ＡＳ４０，ＡＳ３０，ＡＳ５０」が記述されている。ＡＳ−ＳＥＴの対象のＡＳ（この場合にはＡＳ４０）は、ＡＳ−ＳＥＴの「members」に登録がないＡＳとは隣接関係がないと言える。よって、表２の例では、ＡＳ４０はＡＳ２０と隣接関係がないと言える。なお、対象のＡＳ（この場合にはＡＳ４０）のＡＳ−ＳＥＴがＩＲＲデータベース３００に登録されていない場合には、対象のＡＳ（この場合にはＡＳ４０）に関する隣接関係の評価は行わない。

この例では、ＩＲＲデータベース３００に、ＡＳ４０のＡＳ−ＳＥＴが登録されており、かつ、ＡＳ４０のＡＳ−ＳＥＴの情報（ＩＲＲ情報）によれば、ＡＳ４０はＡＳ２０と隣接していないことから、ＡＳ２０の経路監視装置１００Ｂに調査を依頼した結果と併せて判定し、ＡＳ４０はＡＳ２０と隣接している可能性は極めて低い（隣接していない）ことがわかる。したがって、経路監視装置１００Ａは、オリジン詐称経路ハイジャックの可能性が高いと判定できるので、オペレータに、経路ハイジャック発生の警報を通知する。なお、ＩＲＲデータベース３００へＡＳ−ＳＥＴの問い合わせ（検索結果）と、調査を依頼した結果（受信する判定結果）とは対等に取り扱う。

［経路監視装置の構成］
次に、図４を用いて、経路監視装置１００を詳細に説明する。図４は、本発明の実施形態に係る経路監視装置の構成例を示すブロック図である。なお、経路監視装置１００Ａ〜１００Ｃは、同等なものとして、経路監視装置１００Ａを用いて説明する。この経路監視装置１００Ａ（１００）は、経路表１００１から経路ハイジャックを検出したり、後記する隣接判定依頼情報を生成する機能（第１の経路監視装置の機能）と、他の経路監視装置１００から隣接判定依頼情報を受信したとき、隣接可能性が高いか否かを判定する機能（第２の経路監視装置の機能）とを備える。

このような経路監視装置１００は、図４に示すように、経路情報や隣接判定依頼情報等の各種データの入出力を司る入出力部１１と、経路ハイジャックが発生したか否かの判定等を行う処理部１２と、経路情報を記述した経路表１００１を記憶する記憶部１３とを備える。

入出力部１１は、ＡＳ内のルータ等とのデータ入出力を司る入出力インタフェースから構成される。また、処理部１２は、この経路監視装置１００が備えるＣＰＵ（Central Processing Unit）によるプログラム実行処理や、専用回路等により実現される。さらに、記憶部１３は、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、ＨＤＤ（Hard Disk Drive）、フラッシュメモリ等の記憶媒体から構成される。なお、経路監視装置１００をプログラム実行処理により実現する場合、記憶部１３には、この経路監視装置１００の機能を実現するための経路ハイジャック検出プログラムが記録される。

＜入出力部＞
入出力部１１は、この経路監視装置１００に接続されるルータからの経路情報や、他の経路監視装置１００からの隣接判定依頼情報（詳細は後記）や隣接判定結果を受信する。また、自身の経路監視装置１００において生成した隣接判定依頼情報や隣接判定結果を送信する。

＜処理部＞
処理部１２は、経路監視装置１００全体の制御を司り、経路情報更新部１２１と、経路変更検出部１２２と、隣接判定部１２３と、隣接判定依頼情報送信部１２４と、隣接判定結果受信部１２５と、ＩＲＲ情報検索部１２６と、ハイジャック判定部１２７と、ハイジャック報知部１２８と、隣接判定依頼情報受信部１３１と、隣接判定結果送信部１３２とを備える。

経路情報更新部１２１は、この経路監視装置１００に接続されるルータ（図示せず）の経路表の経路情報（図示省略）が更新されると、この更新情報を元に記憶部１３の経路表１００１を更新する。つまり、経路情報更新部１２１は、ルータの経路表と同じ経路表１００１を記憶部１３に作成する。
変更検出部１２２は、更新された経路表１００１において経路変更を検出し、変更後の経路情報の１つを被疑経路情報として特定するものである。

隣接判定部１２３は、本実施形態では、タイミングの異なる２つの処理を行うので、処理部１２の他のブロックを説明した後にあらためて説明する。

隣接判定依頼情報送信部１２４は、変更検出部１２２で特定された被疑経路情報におけるＡＳパスにて連続して経由する２つのＡＳの一方の経路監視装置１００（１００Ｂまたは／および１００Ｃ）に対して、当該被疑経路情報の他方のＡＳと隣接しているか判定する隣接判定処理を依頼する隣接判定依頼情報を送信するものである。

隣接判定結果受信部１２５は、他の経路監視装置１００（１００Ｂ，１００Ｃ）から、依頼に応答した処理を実行した結果として隣接可能性の高低のいずれかを示す隣接判定結果を受信するものである。

ＩＲＲ情報検索部１２６は、経路表１００１において特定された被疑経路情報に対する隣接判定処理にて対象とした２つのＡＳが隣接していないと判定された場合に、当該２つのＡＳがＩＲＲデータベース３００において同じグループに登録されているか検索するものである

ハイジャック判定部１２７は、隣接可能性が低いことを示す隣接判定結果を受信した場合に、経路ハイジャックが発生した可能性が高いと判定するものである。また、ハイジャック判定部１２７は、隣接可能性が高いことを示す隣接判定結果を受信した場合に、経路ハイジャックが発生した可能性が低いと判定する。本実施形態では、ハイジャック判定部１２７は、ＩＲＲ情報検索部１２６によって判定対象の２つのＡＳがＩＲＲデータベース３００において同じグループに登録されている場合には、隣接判定依頼情報受信部１３１で受信した隣接判定結果よりも優先して、経路ハイジャックが発生した可能性が低いと判定する。

ハイジャック報知部１２８は、経路ハイジャックが発生した可能性が高い場合に、経路ハイジャック発生の警報を出力するものである。

隣接判定依頼情報受信部１３１は、他の前記経路監視装置１００（１００Ｂ，１００Ｃ）から、被疑経路情報において自ＡＳに相手先ＡＳが隣接しているか否か判定する隣接判定処理の依頼として、隣接判定依頼情報を受信するものである。
隣接判定結果送信部１３２は、隣接判定部１２３で生成された隣接判定結果を返信するものである。

隣接判定部１２３は、隣接判定依頼情報受信部１３１で受信した隣接判定依頼情報で依頼された被疑経路情報における相手先ＡＳを、自ＡＳとの隣接判定対象として、経路表１００１において当該被疑経路情報を除く経路情報のＡＳパスにおいて、自ＡＳに隣接しているか否かを判定し、自ＡＳが相手先ＡＳに隣接している場合に隣接可能性が高く、さもなければ低いことを示す隣接判定結果を生成するものである。

本実施形態では、隣接判定部１２３は、変更検出部１２２にて経路表１００１において特定された被疑経路情報におけるＡＳパスが広告元ＡＳのみである場合に当該広告元ＡＳである相手先ＡＳを、さらに自ＡＳとの隣接判定対象として、経路表１００１において当該被疑経路情報を除く経路情報のＡＳパスにおいて、自ＡＳに隣接しているか否かを判定し、自ＡＳが相手先ＡＳに隣接している場合に隣接可能性が高く、さもなければ低いことを示す隣接判定結果を生成することとした。

［動作手順］
＜第１の経路監視装置と第２の経路監視装置とを用い経路ハイジャックを検出する場合＞
次に、図３および図４を参照しつつ、図５を用いて経路監視装置１００の動作手順の具体例１を説明する。図５は、本発明の実施形態に係る経路監視装置の動作例を示すシーケンス図（その１）である。ここでは、隣接判定依頼情報を生成する第１の経路監視装置を経路監視装置１００Ａ、隣接判定依頼情報を受信する第２の経路監視装置を経路監視装置１００Ｂ、１００Ｃとする場合を例に説明する。

経路監視装置１００Ａは、ルータから経路情報を受信する（ステップＳ２１）。そして、経路監視装置１００Ａは、更新された経路表１００１において経路変更を検出し、変更後の経路情報の１つを被疑経路情報として特定する（ステップＳ２２：経路変更検出ステップ）。そして、経路監視装置１００Ａは、図6に示す隣接判定処理を実行する（ステップＳ２３：隣接判定ステップ）。この場合、経路監視装置１００Ａは、第1の経路監視装置なので、図６に示すように、自ＡＳが判定対象か否かを判別する（ステップＳ４６）。これは、経路表１００１において特定された被疑経路情報におけるＡＳパスは広告元ＡＳのみであるか否かを判定することを表している。ここでは、ステップＳ４６でＮｏの場合を説明する。この場合、図５に戻って、ステップＳ２４（隣接判定依頼情報送信ステップ）にて、隣接関係の判定を依頼する。すなわち、経路監視装置１００Ａは、前記したステップＳ２２にて特定された被疑経路情報におけるＡＳパスにて連続して経由する２つのＡＳの一方の経路監視装置に対して、当該被疑経路情報の他方のＡＳと隣接しているか判定する隣接判定処理を依頼する隣接判定依頼情報を送信する。なお、この例では、２つのＡＳの経路監視装置１００Ｂ，１００Ｃに対して、当該２つのＡＳが隣接しているか判定する処理を依頼する隣接判定依頼情報を送信することとしたが、一方の装置にだけ送信してもよい。

経路監視装置１００Ｂ，１００Ｃは、経路監視装置１００Ａからの依頼として、隣接判定依頼情報を受信し（ステップＳ２５，Ｓ２６：隣接判定依頼情報受信ステップ）、受信した隣接判定依頼情報と自ＡＳの経路表１００２，１００５に基づいて、自ＡＳが相手先ＡＳに隣接しているか否かを判定し、自ＡＳが相手先ＡＳに隣接している場合に隣接可能性が高く、さもなければ低いことを示す隣接判定結果を生成する（ステップＳ２７，Ｓ２８：隣接判定ステップ）。そして、経路監視装置１００Ｂ，１００Ｃは、生成された隣接判定結果を、経路監視装置１００Ａに返信する（ステップＳ２９，Ｓ３０：隣接判定結果送信ステップ）。

経路監視装置１００Ａは、経路監視装置１００Ｂ，１００Ｃから隣接判定結果を受信する（ステップＳ３１：隣接判定結果受信ステップ）。
ここで、経路監視装置１００Ａは、隣接可能性が低いことを示す隣接判定結果を受信した場合に、経路ハイジャックが発生した可能性が高いと判定する。そして、この場合、経路監視装置１００Ａは、ハイジャック発生の警報（ＡＳパス詐称経路ハイジャックが発生したことを示す情報）を出力し、ＮＯＣ２００のオペレータに通知する（ステップＳ３２：経路ハイジャック判定ステップ、経路ハイジャック報知ステップ）。したがって、経路ハイジャックが発生した可能性が高い場合には、ＮＯＣ２００は、ハイジャック発生の警報を受信する（ステップＳ３３）。

≪隣接判定処理≫
図６は、図５に示す隣接判定処理の一例を示すフローチャートである。図６に示す隣接判定処理は、第１の経路監視装置が実行する場合と、第２の経路監視装置が実行する場合とでは処理が異なる。図５では、第１の経路監視装置を経路監視装置１００Ａ、隣接判定依頼情報を受信する第２の経路監視装置を経路監視装置１００Ｂ、１００Ｃとして説明したが、図６では、より一般化させるために、第１の経路監視装置、および第２の経路監視装置として図示した。

第１の経路監視装置（例えば１００Ａ）の処理で、ステップＳ４６でＹｅｓの場合、または、第２の経路監視装置（例えば１００Ｂ、１００Ｃ）が隣接判定処理を行う場合（例えば、ステップＳ２７，Ｓ２８）を説明する。これらは、共通の処理となるので、以下では、「第１」、「第２」を区別することなく、あらためて経路監視装置１００と表記する。まず、経路監視装置１００は、ステップＳ４１にて、経路表において経路変更後の経路情報として、特定された被疑経路情報（被疑ＡＳパス詐称経路ハイジャック経路情報）を除く他の経路情報を参照する。

そして、経路監視装置は、相手先ＡＳを直前に経由するか否かを判別する（ステップＳ４２）。例えば、経路監視装置１００がＡＳ２０の経路監視装置１００Ｂであれば、隣接判定依頼情報にて、相手先ＡＳが「ＡＳ５０」である場合に、ＡＳ２０とＡＳ５０とが隣接しているか判別することとなる。経路監視装置１００は、参照した経路情報では隣接しているか判定できない場合（ステップＳ４２：Ｎｏ）、対象のすべての経路情報を参照するまで（ステップＳ４３：Ｙｅｓ）、次の経路情報を繰り返し参照する（ステップＳ４３：Ｎｏ）。ステップＳ４３にてＹｅｓの場合、経路監視装置１００は、隣接可能性は低いと判定し（ステップＳ４４）、例えば、経路監視装置１００がＡＳ２０の経路監視装置１００Ｂであれば、ステップＳ２９，Ｓ３０に戻る。また、例えば、経路監視装置１００がＡＳ１０の経路監視装置１００Ａであれば、ステップＳ３２に戻る。ステップＳ４２にて、経路監視装置１００が、参照した経路情報で隣接していると判定した場合（ステップＳ４２：Ｙｅｓ）、隣接可能性は高いと判定し（ステップＳ４５）、経路監視装置１００Ｂであれば、ステップＳ２９，Ｓ３０に戻り、経路監視装置１００Ａであれば、処理を終了する。これは、経路監視装置１００Ａが、ステップＳ４５に進んで、隣接可能性は高いと判定した場合、経路ハイジャックではない通常の経路変更がなされたことを検知したことになるからである。したがって、通常の経路変更がなされたときには、経路ハイジャックを誤検出しないことになる。

＜第１および第２の経路監視装置とＩＲＲデータベースを用いて経路ハイジャックを検出する場合＞
次に、図３ないし図６を参照しつつ、図７を用いて経路監視装置１００の動作手順の具体例２を説明する。図７は、本発明の実施形態に係る経路監視装置の動作例を示すシーケンス図（その２）である。ここでは、隣接判定依頼情報を生成する第１の経路監視装置を経路監視装置１００Ａ、隣接判定依頼情報を受信する第２の経路監視装置を経路監視装置１００Ｂだけにすると共に、ＩＲＲデータベースを利用する場合を例に説明する。なお、図５のフローチャートと同じ処理には同じ符号を付し、説明を省略する。

図７に示すように、経路監視装置１００Ａは、ステップＳ２１〜Ｓ２３を実行し、ＡＳ２０とＡＳ４０との間の隣接関係を調査することになったとする。この場合、ＡＳ２０の経路監視装置１００Ａに対しては図５と同様な処理を行い、かつ、ＡＳ４０には経路監視装置１００が存在していないため、ＡＳ４０の情報についてＩＲＲデータベース３００を参照する（ステップＳ５１）。ＩＲＲデータベース３００は、ＩＲＲ情報を提供する（ステップＳ５２）。経路監視装置１００Ａは、ＩＲＲデータベース３００にＩＲＲ情報が登録されている場合、このＩＲＲ情報により隣接している（経路ハイジャックではない通常の経路変更がなされた）と判定する（ステップＳ５３）。一方、ＩＲＲデータベース３００にＩＲＲ情報が登録されていない場合、経路監視装置１００Ｂから受信した判定結果で示される隣接可能性により、経路ハイジャックが発生したか否かを判定し、必要に応じてステップＳ３２に進む。

本発明の実施形態に係る経路監視装置１００は、前記したような処理を実行させる経路ハイジャック検出プログラムによって実現することができ、このプログラムをコンピュータによる読み取り可能な記録媒体（ＣＤ−ＲＯＭ等）に記録して提供することが可能である。また、そのプログラムを、インターネット等のネットワークを通して提供することも可能である。

本実施形態によれば、経路表において経路変更を検出したときにその被疑経路情報の隣接関係を調査して当該被疑経路情報のＡＳパスの変化の妥当性評価を行うので、たとえ同様な経路変更があったとしても、正当なオリジンＡＳによって通常の経路変更がなされた場合と、ＡＳパス詐称経路ハイジャックが発生した場合とを区別して検出することができる。したがって、本実施形態によれば、オリジン詐称およびＡＳパス詐称による経路ハイジャックの検出が可能となる。

以上、本発明の実施形態について説明したが、本発明はこれに限定されるものではなく、その趣旨を変えない範囲で実施することができる。例えば、経路ハイジャック検出システム１は、ＩＲＲデータベース３００を備えるベストモードで説明したが、本発明においてＩＲＲデータベース３００は必須ではない。

また、本実施形態では、経路監視装置１００Ａ〜１００Ｃは、同等なものとして、それぞれが、前記した第１の経路監視装置の機能と、前記した第２の経路監視装置の機能とを備えるベストモードで説明したが、本発明はこれに限らず、例えば経路監視装置１００Ａを前記した第１の経路監視装置の機能を有した専用機、経路監視装置１００Ｂ，１００Ｃを、前記した第２の経路監視装置の機能を有した専用機としてもよい。あるいは、これらの経路監視装置を混在させた経路ハイジャック検出システムを構成することもできる。

１ 経路ハイジャック検出システム
１０〜６０ ＡＳ
１００（１００Ａ，１００Ｂ，１００Ｃ） 経路監視装置
２００ ＮＯＣ
３００ ＩＲＲデータベース
１１ 入出力部（入出力手段）
１２ 処理部
１２１ 経路情報更新部（経路情報更新手段）
１２２ 経路変更検出部（経路変更検出手段）
１２３ 隣接判定部（隣接判定手段）
１２４ 隣接判定依頼情報送信部（隣接判定依頼情報送信手段）
１２５ 隣接判定結果受信部（隣接判定結果受信手段）
１２６ ＩＲＲ情報検索部（ＩＲＲ情報検索手段）
１２７ ハイジャック判定部（ハイジャック判定手段）
１２８ ハイジャック報知部（ハイジャック報知手段）
１３１ 隣接判定依頼情報受信部（隣接判定依頼情報受信手段）
１３２ 隣接判定結果送信部（隣接判定結果送信手段）
１３ 記憶部（記憶手段）
１００１〜１００５ 経路表

Claims (9)

1. 各ＡＳ（Autonomous System）においてＢＧＰ（Border Gateway Protocol）により交換される経路情報を複数の経路監視装置により監視し、経路ハイジャックを検出する経路ハイジャック検出システムにおける前記経路監視装置であって、
   各種データの入出力を司る入出力手段と、
   前記経路情報を記述した経路表を記憶する記憶手段と、
   前記経路表において経路変更を検出し、変更後の経路情報の１つを被疑経路情報として特定する変更検出手段と、
   前記特定された被疑経路情報におけるＡＳパスにて連続して経由する２つのＡＳの一方の前記経路監視装置に対して、当該被疑経路情報の他方のＡＳと隣接しているか判定する隣接判定処理を依頼する隣接判定依頼情報を送信する隣接判定依頼情報送信手段と、
   前記依頼に応答した処理を実行した結果として隣接可能性の高低のいずれかを示す隣接判定結果を受信する隣接判定結果受信手段と、
   隣接可能性が低いことを示す前記隣接判定結果を受信した場合に、経路ハイジャックが発生した可能性が高いと判定するハイジャック判定手段と、
   前記経路ハイジャックが発生した可能性が高い場合に、ハイジャック発生の警報を出力するハイジャック報知手段と、
   他の前記経路監視装置から、前記被疑経路情報において自ＡＳに相手先ＡＳが隣接しているか否か判定する隣接判定処理の依頼として、前記隣接判定依頼情報を受信する隣接判定依頼情報受信手段と、
   前記受信した隣接判定依頼情報で依頼された被疑経路情報における相手先ＡＳを、自ＡＳとの隣接判定対象として、前記経路表において当該被疑経路情報を除く経路情報のＡＳパスにおいて、自ＡＳに隣接しているか否かを判定し、自ＡＳが相手先ＡＳに隣接している場合に隣接可能性が高く、さもなければ低いことを示す隣接判定結果を生成する隣接判定手段と、
   前記生成された隣接判定結果を返信する隣接判定結果送信手段と、
   を備えることを特徴とする経路監視装置。
2. 前記隣接判定手段は、
   前記経路表において特定された被疑経路情報におけるＡＳパスが広告元ＡＳのみである場合に当該広告元ＡＳである相手先ＡＳを、さらに自ＡＳとの隣接判定対象として、前記経路表において当該被疑経路情報を除く経路情報のＡＳパスにおいて、自ＡＳに隣接しているか否かを判定し、自ＡＳが相手先ＡＳに隣接している場合に隣接可能性が高く、さもなければ低いことを示す隣接判定結果を生成し、
   前記ハイジャック判定手段は、
   前記隣接判定手段によって、隣接可能性が高いことを示す前記隣接判定結果を生成した場合に、経路ハイジャックが発生した可能性が低いと判定することを特徴とする請求項１に記載の経路監視装置。
3. 前記経路ハイジャック検出システムは、
   インターネット上の経路情報と、その経路に割り当てられた正当なＡＳと、前記正当なＡＳと隣接関係にあるＡＳのグループとを情報として含むデータベースであるＩＲＲデータベースをさらに備え、
   前記経路監視装置は、
   前記特定された被疑経路情報におけるＡＳパスにて連続して経由する２つのＡＳが前記ＩＲＲデータベースにおいて同じグループに登録されているか検索するＩＲＲ情報検索手段をさらに備え、
   前記ハイジャック判定手段は、
   当該２つのＡＳが前記ＩＲＲデータベースにおいて同じグループに登録されている場合には、前記受信した隣接判定結果と併せて、経路ハイジャックが発生した可能性が低いと判定することを特徴とする請求項１または請求項２に記載の経路監視装置。
4. 請求項１または請求項２に記載の経路監視装置を複数含んで構成されることを特徴とする経路ハイジャック検出システム。
5. インターネット上の経路情報と、その経路に割り当てられた正当なＡＳと、前記正当なＡＳと隣接関係にあるＡＳのグループとを情報として含むデータベースであるＩＲＲデータベースを備え、
   請求項３に記載の経路監視装置を複数含んで構成されることを特徴とする経路ハイジャック検出システム。
6. 各ＡＳ（Autonomous System）においてＢＧＰ（Border Gateway Protocol）により交換される経路情報を記述した経路表を記憶する複数の経路監視装置が前記経路情報を監視することで経路ハイジャックを検出する経路ハイジャック検出システムにおける経路ハイジャック検出方法であって、
   第1の経路監視装置は、
   前記経路表において経路変更を検出し、変更後の経路情報の１つを被疑経路情報として特定する経路変更検出ステップと、
   前記経路表において特定された被疑経路情報におけるＡＳパスにて連続して経由する２つのＡＳの一方の前記経路監視装置に対して、当該被疑経路情報の他方のＡＳと隣接しているか判定する隣接判定処理を依頼する隣接判定依頼情報を送信する隣接判定依頼情報送信ステップとを実行し、
   前記第２の経路監視装置が、
   前記第１の経路監視装置からの依頼として、前記隣接判定依頼情報を受信する隣接判定依頼情報受信ステップと、
   前記受信した隣接判定依頼情報で依頼された被疑経路情報における相手先ＡＳを、自ＡＳとの隣接判定対象として、前記経路表において当該被疑経路情報を除く経路情報のＡＳパスにおいて、自ＡＳに隣接しているか否かを判定し、自ＡＳが相手先ＡＳに隣接している場合に隣接可能性が高く、さもなければ低いことを示す隣接判定結果を生成する隣接判定ステップと、
   前記生成された隣接判定結果を返信する隣接判定結果送信ステップとを実行し、
   前記第１の経路監視装置が、
   前記第２の経路監視装置から前記隣接判定結果を受信する隣接判定結果受信ステップと、
   隣接可能性が低いことを示す前記隣接判定結果を受信した場合に、経路ハイジャックが発生した可能性が高いと判定するハイジャック判定ステップと、
   前記経路ハイジャックが発生した可能性が高い場合に、ハイジャック発生の警報を出力するハイジャック報知ステップとを実行することを特徴とする経路ハイジャック検出方法。
7. 前記第１の経路監視装置は、
   前記経路表において特定された被疑経路情報におけるＡＳパスは広告元ＡＳのみであるか否かを判定するステップと、
   当該被疑経路情報におけるＡＳパスは広告元ＡＳのみである場合、前記隣接判定ステップにて、当該広告元ＡＳである相手先ＡＳを、自ＡＳとの隣接判定対象として、前記経路表において当該被疑経路情報を除く経路情報のＡＳパスにおいて、自ＡＳに隣接しているか否かを判定し、自ＡＳが相手先ＡＳに隣接している場合に隣接可能性が高く、さもなければ低いことを示す隣接判定結果を生成し、
   前記ハイジャック判定ステップは、
   前記広告元ＡＳである相手先ＡＳを自ＡＳとの隣接判定対象として隣接可能性が高い隣接判定結果を生成した場合、経路ハイジャックが発生した可能性が低いと判定し、
   当該被疑経路情報におけるＡＳパスが広告元ＡＳのみではない場合、前記隣接判定依頼情報送信ステップを実行することを特徴とする請求項６に記載の経路ハイジャック検出方法。
8. 前記経路ハイジャック検出システムは、
   インターネット上の経路情報と、その経路に割り当てられた正当なＡＳと、前記正当なＡＳと隣接関係にあるＡＳのグループとを情報として含むデータベースであるＩＲＲデータベースをさらに備え、
   前記第１の経路監視装置は、
   前記特定された被疑経路情報におけるＡＳパスにて連続して経由する２つのＡＳが前記ＩＲＲデータベースにおいて同じグループに登録されているか検索するＩＲＲ情報検索ステップをさらに実行し、
   前記ハイジャック判定ステップは、
   当該２つのＡＳが前記ＩＲＲデータベースにおいて同じグループに登録されている場合には、前記受信した隣接判定結果と併せて、経路ハイジャックが発生した可能性が低いと判定することを特徴とする請求項６または請求項７に記載の経路ハイジャック検出方法。
9. 請求項１ないし請求項３のいずれか一項に記載の経路監視装置を構成する各手段としてコンピュータを機能させるための経路監視プログラム。

Images