JP5190807B2

JP5190807B2 - パケット経路追跡システム

Info

Publication number: JP5190807B2
Application number: JP2009175667A
Authority: JP
Inventors: 俊輔馬場; 和也鈴木; 宏栄鈴木; 英彦和田
Original assignee: Yokogawa Electric Corp
Current assignee: Yokogawa Electric Corp
Priority date: 2009-07-28
Filing date: 2009-07-28
Publication date: 2013-04-24
Anticipated expiration: 2029-07-28
Also published as: JP2011030096A

Description

本発明は、インターネット等のネットワークを伝播するパケットを捕捉してパケットの伝播経路を追跡するパケット経路追跡システムに関し、特に当該不正パケットを早期に検知し不正パケットの発信元が属する組織を把握するパケット経路追跡システムに関する。

コンピュータネットワークのセキュリティ分野において、インシデントは、コンピュータやネットワークのセキュリティにとって何らかの形で有害な事象を意味する。インシデントとして代表的なものに、不正アクセス、不正中継、システムへの侵入、データの改ざん、サービス妨害行為等がある。

故意・事故・ウイルス感染の結果などの各インシデントの原因を問わず、組織内（例：顧客のイントラネット、プラント、生産設備、海外拠点など）に係るネットワークから組織外に当該インシデントに係る不正パケットが出力されると、組織の社会的信用に傷が付いたり、他組織に訴えられたりする恐れがある。また自組織内のあるネットワークから、別の組織のネットワークに不正パケットが流れると、ウイルスが拡散したり、情報システムに障害を引き起こしたりすることがある。

以上のことからネットワークの境界を跨いで組織外に流出する不正パケットを検出し、これの流出を食い止めることは近年重要視されている。

これに対して、従来より組織のネットワークの境界に設置されるルータ、ファイアウォールなどのネットワーク機器において、通信可能なポートを必要最低限のものに絞り、さらに、メールやＷＥＢの使用について、メールゲートウエイやＨＴＴＰプロキシ等を使うことにより、組織内からの不正パケットが組織外に出て行く脅威を低減させることが行なわれている。

しかし、組織のネットワーク内部に入り込んだボットやワームには、ユーザＰＣの設定情報を使うものや許可されているポートを探して外部にアクセスをするものがあるため、上記対策では不十分である。

このため、従来より組織のネットワークの対外接続線（組織とインターネットの境界）のルータで、外部に流出するトラフィックを侵入検知装置ＩＤＳ（Intrusion Detection System：侵入検知システム：以下、単にＩＤＳと呼ぶ。）で監視することにより、組織内からの不正パケットが組織外に出て行く脅威を低減させるものが実践されている。ＩＤＳは、不正パケットを検知するとアラートをログファイルに記録して定義済みのメールアドレス宛にアラート内容を通知するように動作するので、このアラートをきっかけとして不正パケットへの対応ができる。

ただし、不正パケットは、送信元ＩＰアドレスに関係なく、宛先ＩＰアドレスに従って送信されるため、ＩＤＳのアラート情報に含まれる不正パケットの送信元ＩＰアドレス情報は信用できず、対応するための情報として不十分な事がある。

この問題を解決するための手段として、トレースバック装置に不正パケットの経路を検索させる方法がある。具体的には、インターネット等のネットワークを伝播するパケットを捕捉して不正パケットの伝播経路を追跡するパケット経路追跡システム（たとえば特開２００５−１５９９３６号公報）が、上述のＩＤＳと連携して不正パケットの経路追跡を行い、不正パケットの組織外流出の脅威を低減させるものが提案されている。

図６はこのような従来のパケット経路追跡システムの構成図であり、図６において、組織Ａ内のネットワークＡ上であってこのネットワークＡに設置されるルータの近隣に接続されているＩＤＳ（侵入検知システム）と、組織ＡのネットワークＡを介してデータ送受信を行なう複数のクライアント端末１１Ａと、ネットワークＡおよび他の組織と接続されるネットワーク等と接続されているルータ１２Ａと、ネットワークＡに接続されるトレースバックシステムと、ネットワークＡ上であってルータ１２Ａの近隣に接続されているトレースバックセンサと、他のネットワークに接続される複数のトレースバックセンサとから構成される。

ここで、一般的なトレースバック装置およびトレースバックセンサは、監視ポイントのトラフィックを全て保存するわけではなく、パケット単位のダイジェスト情報を一定期間保存する。ダイジェスト情報とは、時刻、Footmark値（＝パケットの特徴を表わす値）、IP（Internet Protocol）アドレス、Macアドレスである。パケットそのものではなくダイジェスト情報を保存する理由は、ルータを流れる全パケットを保存すると、非常に大量のメモリが必要となり不経済であるからである。なおFootmark値には、不正パケットのＩＰヘッダの中でルータを経由すると変化する部分に固定値を挿入して算出されたハッシュ値を用いている。

具体的には、トレースバック装置およびトレースバックセンサは、ネットワークから収集したＩＰパケットの中で伝播中に不変である部分等を抽出し、抽出された情報をハッシュ関数を用いてハッシュ値に変換し、このハッシュ値を記憶手段のアドレスとみなし、該当するアドレスにビットを立てる等してある特定のパケットが伝播したことを記録する。

ハッシュ関数とは、原文から固定長の疑似乱数（ハッシュ値）を生成する関数であって、このハッシュ関数は不可逆な一方向関数を含むために生成されたハッシュ値から元の原文を再現することはできない。また、同じハッシュ値となる異なるデータを作成することは極めて困難である。

すなわちトレースバック装置およびトレースバックセンサは、パケットの情報を全て記憶手段に記録するのではなく、パケットの一部分にハッシュ関数を適用して得られたハッシュ値に対応する記憶手段のアドレスに記録して（ビットを立てて）、記憶手段の記憶容量は小さくて良く、効率良くパケットの情報を保持している。

例えば、トレースバック装置およびトレースバックセンサが、取得したパケットから抽出された伝播中に不変である部分にハッシュ関数を適用して、ハッシュ値（例えば、ＸＸＸＸＨ：１６ビットの１６進数表現）を得られた場合を想定する。この場合、トレースバック装置およびトレースバックセンサは、得られたハッシュ値（ＸＸＸＸＨ）を記憶手段のアドレスとみなして、”ＸＸＸＸＨ”のアドレスにデータを書き込む。例えば、データの書込み方法としては”００００００００Ｂ（８ビットデータ）”から”０００００００１Ｂ”等（ビットを立てる）に変更することによってある特定のパケットが伝播したことを記録する。

そして、受信した不正なパケットに前記ハッシュ関数を適用して得られたハッシュ値に対応する記憶手段のアドレスにビットが立っていれば、不正なパケットがトレースバック装置およびトレースバックセンサの接続されている回線を伝播したことになる。

このような構成で、ＩＤＳとトレースバック装置とが連携して攻撃パケットの発信元を把握する例を説明する。たとえば、ワームに感染した組織Ａ内のあるクライアント端末１１Ａは、送信元ＩＰアドレスをインターネット上のアドレスＸとして詐称して組織Ｂの公開用サーバに不正パケットを送信して攻撃する場合を例に説明する。具体的には、以下のような動作となる。

（１）ＩＤＳは不正パケットを検知し、トレースバック装置に送信元に関する情報を問い合わせる。このとき、ＩＤＳの不正パケットを検知した際のアラートでは、不正パケットの送信元ＩＰアドレスが詐称されているインターネット上のアドレスＸになっている。

（２）トレースバック装置は、ＩＤＳから受信した検知された不正パケットに関する情報に基づき、自機またはトレースバックセンサに記憶しているダイジェスト情報を検索して、結果として以下の情報を把握し不正パケットの発信元・発信経路を特定する。またこれらの情報をＩＤＳに送信する。
（ａ）パケットの流れた経路（ルータを自組織から組織外の向きに通過）
（ｂ）不正パケットが発信された端末のＭＡＣアドレス

この結果、ＩＤＳとトレースバック装置が連携することにより、不正パケットの発生源の特定ができなくても、なるべく近い場所まで経路を辿る事ができるので、発生源の近くで不正パケットを止めることができる。

このようなパケット経路追跡システムに関連する先行技術文献として、下記の特許文献１がある。

特開２００５−１５９９３６号公報

ここで、組織内に入り込んだワームやボットは、感染活動やインターネット上のホストと通信するために様々なパケットを出力するが、従来のＩＤＳとパケット経路追跡システムとの連携による技術では、各ＩＤＳが不正パケット・攻撃パケットの発生を発見しなければ経路追跡を実行しないので事後の対応しかできず対策が不十分であるという問題点があった。

また、従来技術による経路追跡では、上述の通り各組織内ＩＤＳのいずれもが、自分自身（各ＩＤＳ自身）にて不正パケットを検出することが必要であり、いずれかの組織内ＩＤＳで最初に不正パケットを検知しても当該組織の対応によって暫くの期間は、不正パケット発信元が潜む組織から不正パケットが他の組織へ出力され続けることがあるので、この視点からみても、対応が事後（各ＩＤＳが不正パケットを検知した後）となってしまい対策が不十分であるという問題点があった。
すなわち、従来技術では、不正パケットが各組織に流れ込んだ後にしか対応ができず、対策が不十分であるという問題点があった。

また、従来のＩＤＳとパケット経路追跡システムとの連携では、ペイロードの流れる場所を観測する必要があるが、以下の（ア）、（イ）のような理由で不正パケットを早期検知するにはシステムが高価になってしまう、という問題点があった。
（ア）ＩＤＳは、主にペイロードのバイト列が既知の攻撃パターンと一致するかどうかを検査するので、ペイロードが流れる場所に設置する必要がある（ペイロードが流れない場合には、効果を発揮しない）。また大きなボリュームに対応したＩＤＳは一般に高価である。
（イ）トレースバックのセンサが必要とするメモリは、観測ポイントのトラフィック流量に合わせて大きくなる。十分なメモリを使用できない場合は誤検知が多くなる。メモリをたくさん積むと高価になる。

本発明は上述の問題点を解決するものであり、その目的は、不正パケットを早期に検知し不正パケットの発信元が属する組織を把握するパケット経路追跡システムを実現することにある。

このような課題を達成するために、本発明のうち請求項１記載の発明は、
ネットワークを流れるパケットの受信時刻とＩＰヘッダの中でルータを経由すると変化する部分に固定値を挿入して算出されたハッシュ値であるフットマーク値とを含むダイジェスト情報に基づき、パケットの発信元を特定するパケット経路追跡システムにおいて、
届く全てのパケットが不正パケットであるような場所に設置され、前記ネットワークを流れるパケットを収集し、検出した不正パケットのダイジェスト情報を含むデータを送信する不正パケット検出センサと、
前記不正パケットのダイジェスト情報を含むデータを受信すると前記ダイジェスト情報を含む検索要求データを送信するトレースバック連携装置と、
前記ネットワーク上を流れるパケットのうち、前記不正パケット検出センサに向かうパケットのみのダイジェスト情報を記録し、前記トレースバック連携装置から受信した前記検索要求データに含まれるダイジェスト情報に基づき自機が記憶するダイジェスト情報を検索して不正パケットの発信元を特定するトレースバック装置と、を具備することを特徴とするパケット経路追跡システムである。

請求項２記載の発明は、請求項１記載のパケット経路追跡システムにおいて、
前記トレースバック連携装置は、
前記ネットワークを介してデータの送受信を行なう通信手段と、
前記通信手段が前記不正パケットのダイジェスト情報を含むデータを受信すると前記ダイジェスト情報を含む検索要求データを前記トレースバック装置に送信する検索要求手段と、を具備することを特徴とする。

請求項３記載の発明は、請求項１または２記載のパケット経路追跡システムにおいて、
前記不正パケット検出センサは、
前記ネットワークを流れる不正パケットを収集するパケット収集手段と、
前記パケット収集手段が収集した不正パケットの検出時刻、および、不正パケットのＩＰヘッダの中でルータを経由すると変化する部分に固定値を挿入して算出されたハッシュ値であるフットマーク値からなるダイジェスト情報を作成し、前記トレースバック連携装置に送信するダイジェスト情報管理手段と、
を具備することを特徴とする。

請求項４記載の発明は、請求項１〜３いずれかに記載のパケット経路追跡システムにおいて、
前記トレースバック装置は、
前記ネットワークを介してデータの送受信を行なう通信手段と、
前記ネットワークを流れるパケットのうち、前記不正パケット検出センサに向かうパケットのみを収集するパケット収集手段と、
前記パケット収集手段が収集したパケットの中から前記不正パケットを検出した時刻、および、不正パケットのＩＰヘッダの中でルータを経由すると変化する部分に固定値を挿入して算出されたハッシュ値であるフットマーク値からなるダイジェスト情報を予め定められた期間記憶するダイジェスト情報管理手段と、
自機に記憶しているダイジェスト情報の中で前記トレースバック連携装置から受信した前記検索要求データに含まれるダイジェスト情報と同じフットマーク値が検出された場合は不正パケットの発信元が特定した旨を前記トレースバック連携装置に通知する検索手段と、
を具備することを特徴とする。

このように、本発明に係るパケット経路追跡システムによれば、不正パケット収集地点に設置された不正パケット検出センサが、検出した不正パケットのダイジェスト情報等を含むデータを送信し、トレースバック連携装置が不正パケット検出センサからの不正パケットのダイジェスト情報等を含むデータを受信すると各組織内に設置されているトレースバック装置に当該不正パケットと一致するダイジェスト情報を検索させることにより、当該不正パケットを早期に検知し発信元組織を特定できる。

また、本発明に係るパケット経路追跡システムによれば、トレースバック連携装置が不正パケット検出センサからの不正パケットのダイジェスト情報等を含むデータを受信すると各組織内に設置されているトレースバック装置に当該不正パケットと一致するダイジェスト情報を検索させることにより、送信元が詐称された不正パケットであっても、実際の発信元組織を自動的に見つけることができる。

また、本発明に係るパケット経路追跡システムによれば、不正パケット検出センサが、トラフィックの少ない不正パケット収集地点で監視を実行するため、大量のメモリを使用する必要が無くなるという技術的効果があり、これによりシステム構築にかかる費用を抑えることができる。

本発明に係るパケット経路追跡システムの構成例を示す構成図である。図１の不正パケット検出センサ２１の構成ブロック図である。図１のトレースバック装置２３の構成ブロック図である。本発明のパケット経路追跡システムの動作を説明するシーケンス図である。本発明の他の実施例に係る構成図である。従来のパケット経路追跡システムの構成図である。

（実施例１）
図１は、本発明に係るパケット経路追跡システムの構成例を示す構成図であり、図６等と共通する部分には同一の符号を付けて適宜説明を省略する。図６との相違点は、ネットワークを流れるパケットを収集し、検出した不正パケットのダイジェスト情報を含むデータを送信する不正パケット検出センサと、不正パケットのダイジェスト情報を含むデータを受信するとダイジェスト情報を含む検索要求データを送信するトレースバック連携装置と、ネットワーク上で収集したパケットのダイジェスト情報を記録する一方でトレースバック連携装置から受信した検索要求データに含まれるダイジェスト情報に基づき自機に記憶しているダイジェスト情報を検索して不正パケットの発信元を特定するトレースバック装置を備える点、および、複数のＩＤＳを構成要素としない点で相違する。

図１においてパケット経路追跡システムは、不正パケット検出センサ２１Ａ〜Ｚと、トレースバック連携装置２２と、トレースバック装置２３Ａ〜Ｚと、から構成される。
以下、本発明を構成する各構成要素の接続関係および各特徴について説明する。

＜パケット経路追跡システムの各構成要素の接続関係について＞
たとえば図１のように、組織Ａ（〜Ｚ）のネットワークＮＷ１００Ａ（〜Ｚ）は、このネットワークを介してデータ送受信を行なう複数のクライアント端末と、外部のネットワークとネットワークＮＷ１００Ａ（〜Ｚ）とに接続されるルータと、このルータの近隣に接続されているトレースバック装置２３Ａと、不正パケット検出センサ２１Ａ〜Ｚと、トレースバック連携装置２２と、トレースバック装置２３Ａ〜Ｚと、それぞれ相互に接続される。

＜不正パケット検出センサ２１Ａ〜Ｚについて＞
不正パケット検出センサ２１Ａ〜Ｚは、組織Ａ〜Ｚに属するネットワークを流れるパケットを収集し、検出した不正パケットのダイジェスト情報を含むデータを送信するものである。具体的な構成を図２に示す。

図２は図１の不正パケット検出センサ２１の構成ブロック図である。図２のように、不正パケット検出センサ２１Ａ〜Ｚは、ネットワークを流れるパケットを収集するパケット収集手段２１１と、パケット収集手段が不正パケットを受信／検出した時刻、および、不正パケットのＩＰヘッダの中でルータを経由すると変化する部分に固定値（０など）を挿入して算出されたハッシュ値であるフットマーク値からなるダイジェスト情報を生成してこのダイジェスト情報またはフットマーク値を通信手段を介してトレースバック連携装置２２に送信するダイジェスト情報管理手段２１２と、を具備する。

ここでダイジェスト情報とは、時刻、フットマーク値（＝パケットの特徴を表わす値）、IP（Internet Protocol）アドレス、Macアドレスである。パケットそのものではなくダイジェスト情報を保存する理由は、ルータを流れる全パケットを保存すると、非常に大量のメモリが必要となり不経済であるからである。なおFootmark値には、不正パケットのＩＰヘッダの中でルータを経由すると変化する部分に固定値を挿入して算出されたハッシュ値を用いている。

＜トレースバック連携装置２２について＞
トレースバック連携装置２２は、ネットワークを介してデータの送受信を行い、不正パケットのダイジェスト情報を含むデータを受信するとダイジェスト情報を含む検索要求データを送信する。トレースバック連携装置２２は、不正パケット検出センサからの不正パケット検出の通知を受けて、各組織に設置してあるトレースバック装置と連携して各トレースバック装置内のダイジェスト情報の検索の結果として、不正パケットの発信元を確認するものである。ここで、トレースバック連携装置２２が各トレースバック装置に不正パケットの発信元の検索要求をするために送信する検索要求データには当該不正パケットの受信／検出した「時刻」、「不正パケットのフットマーク値」が含まれる。

具体的には、図１のように、トレースバック連携装置２２は、ネットワークを介してデータの送受信を行なう通信手段と、通信手段が不正パケットのダイジェスト情報を含むデータを受信するとダイジェスト情報を含む検索要求データをトレースバック装置に送信する検索要求手段と、を具備する。

＜トレースバック装置２３Ａ〜Ｚについて＞
トレースバック装置２３Ａ〜Ｚは、ネットワーク上で収集したパケットのダイジェスト情報を記録し、ネットワークを介してトレースバック連携装置から受信した検索要求データに含まれるダイジェスト情報に基づき自機に記憶しているダイジェスト情報を検索して不正パケットの発信元を特定するものである。具体的な構成を図３に示す。

図３は図１のトレースバック装置２３の構成ブロック図である。図３のように、具体的には、トレースバック装置２３Ａ〜Ｚは、ネットワークを介してデータの送受信を行なう通信手段と、ネットワークを流れるパケットを収集するパケット収集手段２３１と、パケット収集手段が収集したパケットの中から不正パケットを検出した時刻および不正パケットのＩＰヘッダの中でルータを経由すると変化する部分に固定値を挿入して算出されたハッシュ値であるフットマーク値からなるダイジェスト情報を予め定められた期間記憶するダイジェスト情報管理手段２３２と、自機に記憶しているダイジェスト情報の中でトレースバック連携装置から受信した検索要求データに含まれるフットマーク値（ダイジェスト情報中に含まれるフットマーク値）と同じフットマーク値が検出された場合は不正パケットの発信元が特定した旨をトレースバック連携装置に通知する検索手段２３３と、を具備する

ここでトレースバック装置のパケット収集手段は、監視ポイントのトラフィックを全て保存するわけではなく、時刻、フットマーク値（パケットの特徴を表わす値）、IP（Internet Protocol）アドレスからなるダイジェスト情報をパケット単位で一定期間保存する。

具体的には、トレースバック装置のパケット収集手段は、ネットワークから収集したＩＰパケットの中で伝播中に不変である部分等を抽出し、抽出された情報をハッシュ関数を用いてハッシュ値に変換し、このハッシュ値を記憶手段のアドレスとみなし、該当するアドレスにビットを立てる等してある特定のパケットが伝播したことを記録する。

すなわちトレースバック装置のパケット収集手段は、パケットの情報を全て記憶手段に記録するのではなく、パケットの一部分にハッシュ関数を適用して得られたハッシュ値に対応する記憶手段のアドレスに記録して（ビットを立てて）、記憶手段の記憶容量は小さくて良く、効率良くパケットの情報を保持している。

例えば、トレースバック装置のパケット収集手段が、取得したパケットから抽出された伝播中に不変である部分にハッシュ関数を適用して、ハッシュ値（例えば、ＸＸＸＸＨ：１６ビットの１６進数表現）を得られた場合を想定する。この場合、トレースバック装置のパケット収集手段は、得られたハッシュ値（ＸＸＸＸＨ）を記憶手段のアドレスとみなして、”ＸＸＸＸＨ”のアドレスにデータを書き込む。例えば、データの書込み方法としては”００００００００Ｂ（８ビットデータ）”から”０００００００１Ｂ”等（ビットを立てる）に変更することによってある特定のパケットが伝播したことを記録する。

そして、受信した不正なパケットに前記ハッシュ関数を適用して得られたハッシュ値に対応する記憶手段のアドレスにビットが立っていれば、不正なパケットがトレースバック装置のパケット収集手段の接続されている回線を伝播したことになる。

＜不正パケット検出センサとトレースバック装置の設置場所について＞
不正パケット検出センサ２１Ａ〜Ｚおよびトレースバック装置２３Ａ〜Ｚは、収集できるトラフィックが、全て不正なものとみなすことができるような特別な場所（以下、不正パケット収集地点という）に設置される。具体的には、不正パケット収集地点とは以下の（Ａ）、（Ｂ）のような場所である。
（Ａ）組織Ａ〜Ｚ（企業、大学など）にそれぞれ割り当てられているが未利用となっているＩＰアドレス群に向かうトラフィックだけを観測できる場所。
（Ｂ）ルーティングのされていないアドレスへのトラフィックが集まる場所。
不正パケット検出センサ２１Ａ〜Ｚは、このような不正パケット収集地点に設置されることにより、取得したトラフィックを全て不正なものとみなすことができる。

＜パケット経路追跡システムの動作説明＞
このような構成で本発明のパケット経路追跡システムは、不正パケット検出センサが不正トラフィックを検出すると、トレースバック連携装置経由で、各トレースバック装置に不正パケットの送信元に関する情報を問い合わせ、問合せ結果を関係組織に通知する。図４は本発明のパケット経路追跡システムの動作を説明するシーケンス図である。下記（１）〜（７）は図４中の各シーケンス（１）〜（７）の対応説明である。

（１）各組織のセキュリティ担当者等は、不正パケット収集地点におけるネットワーク情報（アドレス情報（観測対象アドレス情報・条件）など）を、トレースバック連携装置２２に登録する。

（２）トレースバック連携装置２２は、各組織に設置されたトレースバック装置２３Ａ〜Ｚに、不正パケット収集地点の場所のアドレス情報（観測対象アドレス情報・条件）を分配する。

（３）各組織に設置されたトレースバック装置２３Ａ〜Ｚの各パケット収集手段は、不正パケット収集地点に向かうパケットのみを記録するフィルタを使用し、不正パケット収集地点に送信されるパケットのみを記録する。

（４）不正パケット検出センサ２１Ａ〜Ｚは、ネットワークを流れるパケットを収集し、トラフィックを検知する（いいかえれば、不正パケットを検出する）と、その不正パケットのダイジェスト情報を作成してトレースバック連携装置に通知する。ここで、不正パケット検出センサのダイジェスト情報管理手段は、ダイジェスト情報を通知するものではなく、「パケットの検出時刻」およびパケット固有の特徴を示す「フットマーク値」を通知するものでもよい。

（５）トレースバック連携装置２２は、不正パケット検出センサ２１Ａ〜Ｚから受けた通知内容の情報に基づいて、トレースバック装置２３Ａ〜Ｚに検索要求データを送信する。

（６）トレースバック装置２３Ａ〜Ｚは、受信した検索要求データに基づき、自機に記憶しているダイジェスト情報の中でトレースバック連携装置２２から受信した検索要求データに含まれるフットマーク値と同じフットマーク値が検出された場合は不正パケットの発信元が特定した旨をトレースバック連携装置に通知する

（７）トレースバック連携装置２２は、トレースバック装置２３Ａ〜Ｚから検索結果を受信すると、当該検索結果データを関係組織のネットワーク管理用端末や監視端末などに通知する。

ここで検索結果データは、不正パケット検出センサ２１Ａ〜Ｚで検出された不正パケットと同じフットマーク値を持つパケットが、どの組織のトレースバック装置で検出されているかを示す情報を含むものである。

またトレースバック連携装置２２は、不正パケットのダイジェスト情報を不正パケットと同じフットマーク値が検出された組織のネットワーク管理用端末や監視端末などを介してセキュリティ担当者等にも通知する。これにより、いずれかのトレースバックシステムで同じフットマーク値が検出されれば不正パケットの発信元組織が特定できることになるため、その旨を当該組織のセキュリティ担当者などに通知すれば、攻撃が行なわれる前にセキュリティ対策が行える点で有効である。

（８）通知を受けたセキュリティ担当者は、当該組織内のトレースバック装置に記憶されているダイジェスト情報を参考に自組織内に設置されたネットワーク機器の設定対応または不正パケットを送信している端末の追及等の対応を行う。

この結果、本発明に係るパケット経路追跡システムは、不正パケット収集地点に設置された不正パケット検出センサが、検出した不正パケットのダイジェスト情報等を含むデータを送信し、トレースバック連携装置が不正パケット検出センサからの不正パケットのダイジェスト情報等を含むデータを受信すると各組織内に設置されているトレースバック装置に当該不正パケットと一致するダイジェスト情報を検索させることにより、当該不正パケットを早期に検知し発信元組織を特定できる。

また、本発明に係るパケット経路追跡システムは、トレースバック連携装置が不正パケット検出センサからの不正パケットのダイジェスト情報等を含むデータを受信すると各組織内に設置されているトレースバック装置に当該不正パケットと一致するダイジェスト情報を検索させることにより、送信元が詐称された不正パケットであっても、実際の発信元組織を自動的に見つけることができる。

また、本発明に係るパケット経路追跡システムは、不正パケット検出センサが、トラフィックの少ない不正パケット収集地点で監視を実行するため、大量のメモリを使用する必要が無くなるという技術的効果があり、これによりシステム構築にかかる費用を抑えることができる。

以下、本発明の応用・変形・水平展開に係るその実施態様について説明する。
（実施例２）
本発明は、企業のグローバル化が進みイントラネットが巨大になっていくと、イントラネットでもインターネットで起きている問題が発生することに鑑み、巨大なイントラネットにおける不正パケットの経路追跡およびセキュリティ対策支援に係り利用されるものでもよい。

図５は本発明の他の実施例に係る構成図であり、図５では、各国に散らばる各組織の拠点がそれぞれ本社とＶＰＮで接続されている、巨大化したイントラネットを監視するシステムの構成例を示している。

図５において、想定できる通信については全て明示的にルーティングし、インターネットへの通信をプロキシ経由とすることで、デフォルトゲートウェイには不正トラフィックのみが送信されるようにネットワークを設計する。このとき、本発明のパケット経路追跡システムを利用して、異常トラフィックを検知すると、不正トラフィックを早期に検知し発信元組織を特定できる。

＜パケット経路追跡システムの動作説明＞
以下、本実施例の場合のパケット経路追跡システムの動作説明をする。上述したものと同様の動作については適宜説明を省略する。
（１）ＶＬＡＮＳｗｉｔｃｈの場所に、トレースバック装置を設置し、トレースバック装置のパケット収集手段にデフォルトゲートウェイに向かうトラフィックのみを収集させトラフィックを監視させる。
（２）不正パケット検出センサはデフォルトゲートウェイのトラフィックを監視する。
（３）不正パケット検出センサは、不正パケットを検出すると、トレースバック連携装置に当該不正パケットのダイジェスト情報などを含むデータを送信する。
（４）トレースバック連携装置は、不正パケットのダイジェスト情報に基づき自動的に不正パケットの発信元を検索・追跡しその結果を関係組織のネットワーク管理用端末や監視端末を介してシステム管理者に通知する。

この結果、本発明に係るパケット経路追跡システムは、不正パケット検出センサが不正トラフィックのみが送信されるようにネットワーク設計されたデフォルトゲートウェイのトラフィックを監視して検出した不正パケットのダイジェスト情報等を含むデータを送信し、トレースバック連携装置が不正パケット検出センサからの不正パケットのダイジェスト情報等を含むデータを受信すると各拠点内に設置され、かつデフォルトゲートウェイに向かうトラフィックのみのダイジェスト情報を収集するトレースバック装置に当該不正パケットと一致するダイジェスト情報を検索させることにより、当該不正パケットを早期に検知し発信元組織を特定できるので早期のセキュリティ上の対策を実施に貢献できる。

（その他の実施例）
なお、本発明のパケット経路追跡システムの不正パケット検出センサ、トレースバック装置、トレースバック連携装置は、それぞれ自機が有する各手段を制御するＣＰＵ等の演算制御手段と、およびそれぞれ不正パケット検出センサ、トレースバック装置、トレースバック連携装置として動作するためのプログラムやアプリケーションなどを記憶するハードディスク、ＲＡＭ、ＲＯＭなどの記憶手段とからも構成されるものでもよい。これらの演算制御手段は各記憶部に格納されているＯＳなどを起動して、このＯＳ上で格納されたプログラムを読み出して実行することによりそれぞれ不正パケット検出センサ、トレースバック装置、トレースバック連携装置全体を制御し、各機器の固有の動作を行うものでもよい。

このとき各記憶手段は、各演算制御手段によって実行されるプログラムやアプリケーションをプログラム格納エリアに展開し、入力されたデータや、プログラムやアプリケーションの実行時に生じる処理結果などのデータをワークエリアに一時的に記憶する。

また、本発明のパケット経路追跡システムの不正パケット検出センサ、または、トレースバック装置のパケット収集手段が生成する、パケットのダイジェスト情報の「パケットの特徴」は、パケットから生成したフットマーク値を使用するものであるが、フットマーク値を記録するデータベースは、ブルームフィルタを使用した方式を使用するものでもよい。

なおブルームフィルタを使うと、記録する情報量にかかわらず必要なメモリが固定で確保できることや記録されたフットマーク値を高速に検索できるという利点があるが、短期間に多くのフットマーク値を記録すると検索時の誤検出の原因となるという問題がある。このため、実用的な誤検出率以下で使用するためには「記録時間の長さ」と「ブルームフィルタに割り当てるメモリの大きさ」と「トレースバックのセンサが扱うトラフィック流量」のバランスに注意してダイジェスト情報の生成・記憶を行なうよう設定されているのが望ましい。

このように、本発明に係るパケット経路追跡システムは、不正パケット収集地点に設置された不正パケット検出センサが、検出した不正パケットのダイジェスト情報等を含むデータを送信し、トレースバック連携装置が不正パケット検出センサからの不正パケットのダイジェスト情報等を含むデータを受信すると各組織内に設置されているトレースバック装置に当該不正パケットと一致するダイジェスト情報を検索させることにより、当該不正パケットを早期に検知し発信元組織を特定できるので早期のセキュリティ上の対策を実施に貢献できる。

１１ＡＰＣ
１２Ａルータ
２１Ａ〜Ｚ不正パケット検出センサ
２１１パケット収集手段
２１２ダイジェスト情報管理手段
２２トレースバック連携装置
２３Ａ〜Ｚトレースバック装置
２３１パケット収集手段
２３２ダイジェスト情報管理手段
２３３検索手段

Claims

ネットワークを流れるパケットの受信時刻とＩＰヘッダの中でルータを経由すると変化する部分に固定値を挿入して算出されたハッシュ値であるフットマーク値とを含むダイジェスト情報に基づき、パケットの発信元を特定するパケット経路追跡システムにおいて、
届く全てのパケットが不正パケットであるような場所に設置され、前記ネットワークを流れるパケットを収集し、検出した不正パケットのダイジェスト情報を含むデータを送信する不正パケット検出センサと、
前記不正パケットのダイジェスト情報を含むデータを受信すると前記ダイジェスト情報を含む検索要求データを送信するトレースバック連携装置と、
前記ネットワーク上を流れるパケットのうち、前記不正パケット検出センサに向かうパケットのみのダイジェスト情報を記録し、前記トレースバック連携装置から受信した前記検索要求データに含まれるダイジェスト情報に基づき自機が記憶するダイジェスト情報を検索して不正パケットの発信元を特定するトレースバック装置と、を具備することを特徴とするパケット経路追跡システム。
前記トレースバック連携装置は、
前記ネットワークを介してデータの送受信を行なう通信手段と、
前記通信手段が前記不正パケットのダイジェスト情報を含むデータを受信すると前記ダイジェスト情報を含む検索要求データを前記トレースバック装置に送信する検索要求手段と、を具備することを特徴とする
請求項１記載のパケット経路追跡システム。
前記不正パケット検出センサは、
前記ネットワークを流れる不正パケットを収集するパケット収集手段と、
前記パケット収集手段が収集した不正パケットの検出時刻、および、不正パケットのＩＰヘッダの中でルータを経由すると変化する部分に固定値を挿入して算出されたハッシュ値であるフットマーク値からなるダイジェスト情報を作成し、前記トレースバック連携装置に送信するダイジェスト情報管理手段と、
を具備することを特徴とする
請求項１または２記載のパケット経路追跡システム。
前記トレースバック装置は、
前記ネットワークを介してデータの送受信を行なう通信手段と、
前記ネットワークを流れるパケットのうち、前記不正パケット検出センサに向かうパケットのみを収集するパケット収集手段と、
前記パケット収集手段が収集したパケットの中から前記不正パケットを検出した時刻、および、不正パケットのＩＰヘッダの中でルータを経由すると変化する部分に固定値を挿入して算出されたハッシュ値であるフットマーク値からなるダイジェスト情報を予め定められた期間記憶するダイジェスト情報管理手段と、
自機に記憶しているダイジェスト情報の中で前記トレースバック連携装置から受信した前記検索要求データに含まれるダイジェスト情報と同じフットマーク値が検出された場合は不正パケットの発信元が特定した旨を前記トレースバック連携装置に通知する検索手段と、
を具備することを特徴とする
請求項１〜３いずれかに記載のパケット経路追跡システム。