JP5991901B2

JP5991901B2 - 偽装ネットワークトラフィックを検知する方法、装置、及びプログラム

Info

Publication number: JP5991901B2
Application number: JP2012250611A
Authority: JP
Inventors: バイジャナーザンラヴィッチアンダー; ゴッシュアブフラジット; ナーイドゥーアディチャ; 雪子澤谷; 歩窪田; 山田　明; 山田　　明; 三宅　優; 優三宅
Original assignee: KDDI Corp
Current assignee: KDDI Corp
Priority date: 2011-11-14
Filing date: 2012-11-14
Publication date: 2016-09-14
Anticipated expiration: 2032-11-14
Also published as: WO2013074152A2; JP2013106354A; WO2013074152A8; US20130125235A1; WO2013074152A3; EP2780807A2; US8925079B2; EP2780807A4

Description

本出願は、一般に、ＩＳＰ（ＩｎｔｅｒｎｅｔＳｅｒｖｉｃｅＰｒｏｖｉｄｅｒ）ネットワークに侵入した偽装ＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）トラフィックの検知に関し、特に、ＡＳ（ＡｕｔｏｎｏｍｏｕｓＳｙｓｔｅｍ、自律システム）のメンバシップ情報をネットワークの接続性情報と組み合わせることにより、偽造ソースＩＰアドレスを持つパケットを検知する方法、装置、及びプログラムに関する。

偽装ＩＰトラフィック（不正なソースＩＰアドレスを持つパケットが含まれるトラフィック）は、インターネットを利用した攻撃者が身元を隠し、送信元を探知されるリスクを低減したり、ネットワークを利用したセンサによる検知を回避したりするためにしばしば用いられる。攻撃者はしばしば、ネットワーク通信のソースアドレスを改ざんして、攻撃の実施に用いたコンピュータの識別情報を偽装する。これにより、攻撃トラフィックのソースを検知及び識別するのがより困難となり、攻撃者から無実の第三者へと注意がそらされる結果となる場合もある。

熟達した攻撃者は、最も広く利用されているオペレーションシステムから送信される攻撃トラフィックで不正なＩＰアドレスを用いるのが一般的である。ＩＰルーティングは宛先を基にして行われるため、偽装ＩＰパケットは、偽装されていないＩＰパケットと同じように、意図された対象に到達する。偽装ＩＰパケットは、攻撃者が、複数の中間感染ホストから攻撃対象のホスト又はネットワークに大量のＩＰトラフィックストリームを殺到させるＤＤｏＳ（ＤｉｓｔｒｉｂｕｔｅｄＤｅｎｉａｌｏｆＳｅｒｖｉｃｅ、分散サービス拒否）攻撃で特に多く用いられる。
このようなＤＤｏＳ攻撃では、各ホストからのトラフィック量が少なく見えるよう偽装されているため、ネットワークを利用したセンサによって、検知するのは難しい。

ＤＤｏＳ攻撃のような大量トラフィックによる攻撃に加え、比較的隠密な攻撃においても、偽装ＩＰパケットが用いられることがある。典型的な例としては、単一ソースのＩＰ偽装ＵＤＰ（ＵｓｅｒＤａｔａｇｒａｍＰｒｏｔｏｃｏｌ）パケットを送信して宛先ノードを危険にさらす、Ｓｌａｍｍｅｒワームが挙げられる。
したがって、偽装ＩＰトラフィックの検知は、各攻撃に特化した検知方法を用いることなく様々な種類のネットワーク攻撃を検知するための、汎用的な方法である。

２０１０年４月２９日付のＴｅｌｃｏｒｄｉａＴｅｃｈｎｏｌｏｇｉｅｓ．Ｉｎｃ．他による米国特許出願１２／７６９，６９６号（特許文献１）には、パケットの予想されるソースを分析する学習期間を設けて偽装トラフィックを検知する装置及び方法が記載されている。予想されるソースのテーブルは、特定のネットワークインターフェイスに関連付けられたトラフィック探知の履歴を分析することによって、構築される。ＩＰパケット内のソースＩＰアドレスは、ＢＧＰ（ＢｏｒｄｅｒＧａｔｅｗａｙＰｒｏｔｏｃｏｌ）ルーティング情報、又はルーティングレジストリを利用して、起点ＡＳ情報と関連付けられる。インターフェイス「Ｉ」において、起点ＡＳが「ａ」であるパケットが観測された場合、インターフェイス「Ｉ」のＥＡＳ番号テーブルにＡＳ「ａ」が追加される。

米国特許第８，２８１，３９７号明細書

ただし、履歴データが収集された時点で観測されていないソースＩＰアドレス（プレフィクス）については推定が不可能である。

したがって、偽装ソースＩＰアドレスを含むネットワークトラフィックを検知する、信頼性及び有効性の高い方法及び装置が求められている。

このため、本開示は、複数の自律システム（ＡＳ）を含むネットワークに宛てられた偽装インターネットプロトコル（ＩＰ）トラフィックを検知する方法に関する。
該方法は、ソースＩＰアドレスと宛先ＩＰアドレスを含む着信パケットをＡＳ経由で受信する手順と、対応するソースＩＰアドレスプレフィクスと宛先ＩＰアドレスプレフィクスをそれぞれ取得する手順と、該対応するソースＩＰアドレスプレフィクスと宛先ＩＰアドレスプレフィクスを、ソースＡＳ番号と宛先ＡＳ番号に変換する手順と、該着信パケットが、予期しないソースから送信されたものかどうかを、ネットワークルーティング情報から生成された予期しないペアのタプルテーブルを用いて、該対応する宛先ＩＰアドレスプレフィクスと、該変換されたソースＡＳ番号及び宛先ＡＳ番号とに基づいて決定する手順と、該着信パケットがネットワークへの進入を許可されていないことを示す警告を生成する手順と、を備える。

前記予期しないタプルテーブルは、保護ＡＳを横断しない、利用可能な各ＩＰアドレスプレフィクスの全パスのリストであって、各ＡＳが複数の利用可能なＩＰアドレスプレフィクスを備え、利用可能なＩＰアドレスプレフィクスがそれぞれパスを定義するようなリストを生成する手順と、各パス上に、トラフィックの潜在的な宛先である宛先ＡＳのＡＳ番号と、トラフィックの潜在的なソースであるソースＡＳのソースＡＳ番号とを含むＡＳのペアを作成する手順と、宛先ＡＳから、仮の予期しないタプルを構成する該ソースＡＳ番号と該宛先ＡＳ番号に、対応するＩＰアドレスプレフィクスを付加する手順と、利用可能なＩＰアドレスプレフィクスのそれぞれに対して、保護ＡＳを経由する予期されるパスのリストであって、各ＡＳが複数の利用可能なＩＰアドレスプレフィクスを備え、利用可能なＩＰアドレスプレフィクスがそれぞれパスを定義するようなリストを生成する手順と、各パス上に、トラフィックの潜在的な宛先である宛先ＡＳのＡＳ番号と、トラフィックの潜在的なソースであるソースＡＳのソースＡＳ番号とを含むＡＳのペアを作成する手順と、宛先ＡＳから、予期されるタプルを構成する該ソースＡＳ番号と該宛先ＡＳ番号に、対応するＩＰアドレスプレフィクスを付加する手順と、により作成される。予期されるタプルは仮の予期しないタプルと比較され、該比較に基づき、前記仮の予期しないタプルから該予期されるタプルを削除する。前期仮の予期しないタプル内に残ったエントリが、前記予期しないペアのタプルに保存される。

また、プログラムを備えるプロセッサを含む偽装防止装置を開示する。該プロセッサは、該プログラムの実行時に、複数のデータソースからのルーティング情報を処理してＩＰアドレスプレフィクスとＡＳ番号との相関関係を表すマッピングテーブルを生成するマッピングコンポーネントと、特定のＩＰアドレスプレフィクスについて、複数の自律システム間のルートに関して公表されている接続性情報を用いて、少なくとも１つの予期しないペアのタプルを含むタプルテーブルを生成するタプルテーブル生成コンポーネントと、着信オペレーショントラフィックフローのソースＩＰアドレスプレフィクスと宛先ＩＰアドレスプレフィクスとを取得し、前記マッピングテーブルに基づいて該ソースＩＰアドレスプレフィクスと宛先ＩＰアドレスプレフィクスとをソースＡＳ番号と宛先ＡＳ番号とに変換し、前記タプルテーブルを用いて、前記着信オペレーショントラフィックフローがネットワークに進入を許可されているかを決定するよう構成された決定コンポーネントと、を提供することを特徴とする、偽装防止装置。

また、複数の自律システム（ＡＳ）を含むネットワークに宛てた偽装インターネットプロトコル（ＩＰ）トラフィックを検知する方法をコンピュータに実行させる命令からなるプログラムを記録したコンピュータ読取可能記憶媒体が開示される。該方法は、ＡＳ経由で受信した着信パケットのソースＩＰアドレス及び宛先ＩＰアドレスからソースＩＰアドレスプレフィクス及び宛先ＩＰアドレスプレフィクスをそれぞれ取得する手順と、前記ソースＩＰアドレスプレフィクス及び宛先ＩＰアドレスプレフィクスを、ソースＡＳ番号及び宛先ＡＳ番号に変換する手順と、ネットワークルーティング情報から生成された予期しないペアのタプルテーブルを用い、前記宛先ＩＰアドレスプレフィクスと、該変換されたソースＡＳ番号及び宛先ＡＳ番号とに基づいて、前記着信パケットが予期しないソースから送信されたかどうかを決定する手順と、該着信パケットがネットワークへの進入を許可されていないことを示す警告を生成する手順と、を備える。

本発明の方法が適用可能な、複数のＡＳを含むネットワークの例を示す図である。偽装ＩＰトラフィックを検知する本発明の方法を示すフローチャートである。公開ルーティング情報に基づいて予期しないタプルテーブルを作成する本発明の方法を示すフローチャートである。ＩＰアドレスプレフィクスとＡＳ番号との相関関係を表すマッピングテーブルを生成する本発明の方法を示すフローチャートである。予期しないタプルテーブルに登録済のタプルを含む受信パケットの情報を比較する本発明の方法を示すフローチャートである。本発明の偽装防止装置のブロック図である。

以下の詳細な説明では、図面を参照し、発明を限定するものではない実施例を用いて、本発明を説明する。図面における類似の参照番号は、同様の構成要素を指すものである。ただし、本発明は、特定の構成や手段に限定されるものではない。

図１に、複数の自律システム１０（以下「ＡＳ」）を含むネットワークを例示する。各ＡＳはＡＳ番号で参照される。説明の便宜上、個別のＡＳはそのＡＳ番号で、例えばＡＳ５５５５のように、呼ぶこととする。ＡＳは集合的に「ＡＳ１０」と呼ぶこととする。ＡＳ間の矢印は、ルーティングプロトコルが指定する、それらＡＳ間（若しくはＡＳ番号３１５００に示すように自らとの間）で利用可能又は許可される接続を表す。矢印の方向は、トラフィックの方向を示す。接続性情報は、公開されている情報源、例えば、ローカルなＢｏｒｄｅｒＧａｔｅｗａｙＰｒｏｔｏｃｏｌ（ＢＧＰ）ルータ、ＲｏｕｔｅＶｉｅｗｓサーバ、ＩＲＲデータベース、これ等に限られない、から提供される。

例えば、ＡＳ７０１及び２０９を経由して、ＡＳ１４５３７からＡＳ５５５５（番号はＡＳ番号）へのＡＳパスが存在する。
このＡＳパスを、｛１４５３７、７０１、２０９、５５５５｝と表す。この場合（ルートの観点から）、５５５５は宛先ＡＳと呼ばれ、１４５３７はソースＡＳである。公開されている情報源から得られるルーティング情報によれば、特定のパスの横断が予期されないことが分かる。
例えば、図１に示す通り、ＡＳ１４５３７からＡＳ５５５５に宛てて送出されたパケットは、ＡＳ４４４４４では観測されない。

したがって、観測ポイントから見た、予期しないＡＳのペアが構築できる。例えば、ＡＳペア｛１４５３７，５５５５｝は、ＡＳ４４４４４から見た場合に予期しないペアである。したがって、ＡＳ１４５３７の任意のＩＰアドレスプレフィクスから始まり、ＡＳ５５５５の任意のＩＰアドレスプレフィクスに宛てられたトラフィックは、ＡＳ４４４４４では観測や中継されないはずである。

同様に、公開されている情報源から得られる情報に基づいて、予期されるパス又は予期されるペアも構築可能である。
例えば、パス｛１４５３７，７０１，２０９，５５５５｝を用いると、ＡＳ２０９から見た予期されるペアは｛１４５３７，５５５５｝及び｛７０１，５５５５｝であり、つまり、このＡＳパスも中間ＡＳと宛先ＡＳとの間の最善パスである。

インターネットにおいては、ＡＳパスは、運用者のルーティングポリシーに基づいて、宛先ＩＰアドレスプレフィクスに依存して異なり得る。
例えば、図１ではＡＳ１４５３７と５５５５との間に二通りのＡＳパス、すなわち｛１４５３７，７０１，２０９，５５５５｝及び｛１４５３７，５７６９，１２３９，５５５５｝が示されている。宛先ＡＳ（５５５５）における特定のＩＰアドレスプレフィクスに対しては前者が利用され、他のＩＰアドレスプレフィクスに対しては後者が利用される。
したがって、予期されるペア及び予期しないペアを構築する際、起点ＡＳやソースＡＳに加え、宛先ＡＳによってアドバタイズされるＩＰアドレスプレフィクスも考慮に入れる必要がある。

図２は、偽装ＩＰトラフィックを検知する方法を例示するフローチャートである。この方法では、公開されているルーティングデータリポジトリから決定されたパスを利用する。該パスは、ソースと宛先との間で利用される最適パス、例えば図１に示されるようなＡＳパス、に一致する。
この方法は、ネットワークのコア内、又はエッジルータ内のネットワーク監視ポイントで利用可能である。この方法は、同一のＡＳ１０に属するＩＰアドレスプレフィクスのパス間を識別もする。同一の宛先ＡＳに属する異なるＩＰアドレスプレフィクスは、同一の宛先ＡＳへ異なる方法でルーティングされる可能性があるため、このような識別は、様々な運用シナリオで必要となる。
この方法では、インターネットルーティングトポロジを利用して、実行不可能なルーティングパスについての情報を推測し、この情報を用いて予期しないＡＳペアデータを構築する。続いて、アドバタイズされた宛先のＩＰアドレスプレフィクスが予期しないＡＳペアに追加され、これにより予期しないタプルが構築される。該タプルは、タプルテーブルに保存される。偽装ＩＰトラフィックは、タプルテーブルを用いて、着信パケットが予期しないペアを含むかどうか判断することにより検知される。

ステップ２００では、分析の対象となるＩＰパケットが保護ＡＳで受信される。オペレーショントラフィックフローからアドレスを取得する。このＩＰパケットは、ソースＩＰアドレスと宛先ＩＰアドレスを含む。
ステップ２０５で、パケットからソースＩＰアドレスと宛先ＩＰアドレスが抽出される。この方法ではＩＰアドレスプレフィクスを用いる。このＩＰアドレスプレフィクスは、ステップ２０７において、パケットから得られる。

ステップ２１０では、マッピングテーブルに基づいて、得られたソース及び宛先ＩＰアドレスプレフィクスが、対応するＡＳ番号に変換される。
マッピングテーブルの作成について、図４を参照して詳細に説明する。
ソース及び宛先の両方について変換されたＡＳ番号は、タプルテーブルの各エントリのＡＳ番号、例えば予期しないペアのタプル、と比較される。宛先ＩＰアドレスプレフィクスも利用される。宛先ＩＰアドレスプレフィクスは、予期しないペアのタプル内のアドバタイズされたＩＰアドレスプレフィクスと比較される。この比較について、図５を参照して詳細に説明する。

決定ステップ２１５では、変換されたＡＳ番号（ソース及び宛先）及び宛先ＩＰアドレスプレフィクスと、タプルテーブルに含まれるいずれかの予期しないタプルとの間に一致があるかどうかを判断する。
一致がない場合（ステップ２１５でＮの場合）、該パケットは保護ＡＳ１０への進入を許可される（ステップ２２５）。
変換されたＡＳ番号（ソース及び宛先）及び宛先ＩＰアドレスプレフィクスと、タプルテーブルに含まれるいずれかの予期しないペアのタプルとの間に一致がある場合（ステップ２１５でＹの場合）、オペレーショントラフィックフローがネットワークへの進入を許可されていないことを示す警告が生成される（ステップ２２０）。

図２は、ＩＰパケット偽装を検知する方法である。該方法は、保護ＡＳのそれぞれにおいて、実行されている。ただし、該方法は、全ての保護ＡＳの中心地点に実装してもよい。該方法が中心地点で実行される場合、該中心地点は各ＡＳ１０についてのタプルテーブルを保持する。タプルテーブルは、ＡＳ番号で識別される。
変換されたＡＳ番号（ソース及び宛先）及び宛先ＩＰアドレスプレフィクスと、タプルテーブルに含まれるいずれかの予期しないペアのタプルとの間に一致がある場合（ステップ２１５でＹの場合）、該タプルテーブルに関連付けられたＡＳ番号が特定される。
そして、該タプルテーブルに関連付けられたＡＳ番号は、トラフィックフローがネットワークに進入する際に経由したＡＳの番号と比較され、この２つのＡＳ番号が一致するかどうか判断される。
一致する場合、オペレーショントラフィックフローが特定のＡＳへの進入を許可されていないことを示す警告が生成される。
一致しない場合、トラフィックは該特定のインターフェイスを経由してネットワークへの進入を許可される。

図３は、公開ルーティング情報に基づいてタプルテーブルの作成方法を例示するフローチャートである。予期しないペアのタプルは、ＵＥＰ＝｛アドバタイズされたＩＰアドレスプレフィクス、ソースＡＳ、宛先ＡＳ｝のように表される。

ＵＥＰは、ＲｏｕｔｅＶｉｅｗｓデータアーカイブ（ｈｔｔｐ：／／ｗｗｗ．ｒｏｕｔｅｖｉｅｗｓ．ｏｒｇ／）のような、ＢＧＰルーティング情報の観測ソースから生成される。
ステップ３００では、ＲｏｕｔｅＶｉｅｗｓ等の公開データベースからルート情報が取得される。図１には、ルーティング情報の例、すなわちＡＳ間の接続性が示されている。

ステップ３０５では、保護対象のＡＳ１０が選択される。つまり、保護ＡＳから見たタプルテーブルが構築される。次に、保護ＡＳ（以下「ＡＳｏ」とする）から見た予期しないペアが構築される。

ＩＰアドレスプレフィクスＰｉについて、ＡＳＰｉ＝｛ＡＳ１，ＡＳ２，．．．ＡＳｋ，．．．ＡＳｎ｝となる。
例えば、保護ＡＳが図１の２０９である場合、２０９をメンバとして含まない一意のパスとして（５７６９，１２３９，５５５５）が挙げられる。
２０９をメンバとして含まない一意のパスの別の例として、（１５４４４，３５４９，５５５５）が挙げられる。ＡＳ５７６９及び１５４４４から始まり、ＡＳ５５５５に宛てられたトラフィックは、２０９では予期されない。
なお、あるパスをＩＰアドレスプレフィクスＰｉに利用し、別のパスをＩＰアドレスプレフィクスＰｂに利用することも可能である。

ステップ３１５では、ＩＰアドレスプレフィクスそれぞれに対して予期しないペアが構築される。ＡＳＰｉからのＡＳペアは以下のように表される。
｛ＡＳ１，ＡＳｎ｝，｛ＡＳ２，ＡＳｎ｝，．．．｛ＡＳｋ，ＡＳｎ｝，．．．｛ＡＳｎ−１，ＡＳｎ｝
なお、ＩＰアドレスプレフィクスＰｉについて、ＡＳＰｉ＝｛ＡＳ１，ＡＳ２，．．．ＡＳｋ，．．．ＡＳｎ｝

予期しないペアは、パス上で利用可能な全ての宛先ＡＳとソースＡＳとのペアから構築される。
例えば、図１では、ＩＰアドレスプレフィクスＰｉのパスが（５７６９，１２３９，５５５５）である場合、予期しないペアは｛５７６９，５５５５｝及び｛１２３９，５５５５｝となる。
また、ＩＰアドレスプレフィクスＰｂのパスが（１５４４４，３５６９，５５５５）である場合、予期しないペアは｛１５４４４，５５５５｝及び｛３５６９，５５５５｝となる。

ステップ３２０では、生成されたパスに対応するＩＰアドレスプレフィクスが、予期しないペアに追加され、仮の予期しないペアのタプルが構築される。
上記の例では、仮の予期しないペアのタプルは以下のようになる。
Ｐｉについては｛Ｐｉ，５７６９，５５５５｝及び｛Ｐｉ，１２３９，５５５５｝
Ｐｂについては｛Ｐｂ，１５４４４，５５５５｝及び｛Ｐｂ，３４５９，５５５５｝

ペアに含まれる宛先ＡＳで利用可能なＩＰアドレスプレフィクスに基づき、予期しないペアと、仮の予期しないペアのタプルとがそれぞれのパスに対し構築される。

予期しないペアのタプルが構築された後、該予期しないペアのタプルに対して衝突解決が行われ、インターネット上の様々な観測点から見たルーティングトポロジにおいて、変動の原因となり得るタプルが排除される。
例えば、ＲｏｕｔｅＶｉｅｗｓからのルーティング情報は、様々な視点から構築されるため、予期されるソースやペア、及び予期しないソースやペアに矛盾が生じることがある。

ステップ３２５では、利用可能なＩＰアドレスプレフィクスのそれぞれに、ＡＳｏ∈ＡＳＰｉである全ての一意のＡＳパスＡＳＰｉが生成される。

保護ＡＳ、例えば２０９、から見た場合、ＩＰアドレスプレフィクスＰａについて、ＡＳＰｉ＝｛ＡＳ１，ＡＳ２，．．．ＡＳｋ，ＡＳｏ，ＡＳｋ＋１，．．．ＡＳｎ｝となる。
例えば、図１において、２０９をメンバとして含む一意のパスの別の例として、（１３２３７，３３５６，２０９，５５５５）が挙げられる。
２０９をメンバとして含む一意のパスの別の例として、（１３２３７，１２９９，２０９，５５５５）が挙げられる。ＡＳ１３２３７から始まり、ＡＳ５５５５に宛てられたトラフィックは、ＡＳ２０９で予期される。

ステップ３３０では、ＩＰアドレスプレフィクスそれぞれに対して予期されるペアが構築される。
ＡＳＰｉからのＡＳペアは以下のように表される。
｛ＡＳ１，ＡＳｎ｝，｛ＡＳ２，ＡＳｎ｝，．．．｛ＡＳｋ，ＡＳｎ｝，｛ＡＳｏ，ＡＳｎ｝，．．．｛ＡＳｎ−１，ＡＳｎ｝
なお、ＩＰアドレスプレフィクスＰａについて、ＡＳＰｉ＝｛ＡＳ１，ＡＳ２，．．．ＡＳｋ，ＡＳｏ，ＡＳｋ＋１，．．．ＡＳｎ｝

例えば、図１において、ＩＰアドレスプレフィクスＰｉのパスが（１３２３７，３３５６，２０９，５５５５）であり、かつ、保護ＡＳがＡＳ２０９の場合、ＩＰアドレスプレフィクスＰａで予期されるペアは｛１３２３７，５５５５｝及び｛３３５６，５５５５｝である。

ステップ３３５では、生成されたパスに対応するＩＰアドレスプレフィクスが、予期されるペアに追加され、予期されるペアのタプルが構築される。
上記の例では、予期されるＡＳペアのタプルは以下のようになる。
ＩＰアドレスプレフィクスＰａについて、｛Ｐａ，１３２３７，５５５５｝、｛Ｐａ，３３５６，５５５５｝

予期されるＡＳペアのタプルが構築された後、該タプルはステップ３４０において、上記仮の予期しないペアのタプルに含まれる要素と比較され、タプルの重複の有無が確認される。
重複がある場合（ステップ３４５でＹの場合）、ステップ３５５において、仮の予期しないペアのタプルから重複しているタプルが削除され、予期しないペアのタプルが構築される。
重複がない場合（ステップ３４５でＮの場合）、予期しないペアのタプルは仮の予期しないペアのタプルと同一となる。
ステップ３５０において、残った予期しないペアのタプルからタプルテーブルが構築される。
保護対象として選択されたＡＳのそれぞれについて、ステップ３１０〜３５０が行われる。

上記の通り、マッピングテーブルを用いて、ソース及び宛先ＩＰアドレスプレフィクスが、ＡＳ番号に変換される。
マッピングテーブルは、特定のソースＩＰアドレスプレフィクスに関するマッピングＢＧＰルート情報から作成される。
ＢＧＰルート情報は、ネットワーク運用者のルータ、ＲｏｕｔｅＶｉｅｗｓサーバ、及び／又はＩＲＲデータベースからローカルに収集可能である。
ＩＲＲデータベースには、登録済ＩＰアドレスプレフィクスとこれに対応するＡＳ割り当てとのマッピングに係る正式な情報が含まれる。
ただし、ＩＰアドレスプレフィクスとＡＳとの間のマッピングは一通りとは限らない。
例えば、１つのＩＰアドレスプレフィクスが複数のＡＳ番号について登録される可能性がある。ＡＳ番号とＩＰアドレスプレフィクスのサブセットとの組み合わせは、登録者の判断で決定される。
さらに、登録済ＩＰアドレスプレフィクスは、その特定のＩＰアドレスプレフィクスが登録済ネットワークで用いられていることを必ずしも意味しない。
また、各ＩＰアドレスプレフィクスは、必ずしも所定の一連のＩＲＲデータベースに対して登録されていない。

通常、ＲｏｕｔｅＶｉｅｗｓサーバには、インターネット上のルータがトラフィックの転送に用いる実際の情報を表す、生のＢＧＰルーティングデータが含まれる。該データは、特定のＩＰアドレスプレフィクスに対応するＡＳ番号を推測するためにも使うことができる。
ただし、所定のＩＰアドレスプレフィクスが所定の一連のサーバで観測されない場合があるため、該一連のサーバから得られたＲｏｕｔｅＶｉｅｗｓデータには、該ＩＰアドレスプレフィクスに関する情報が含まれない可能性がある。

さらに、設定ミスによって、一部のＩＰアドレスプレフィクスとＡＳ番号とのマッピングが誤っている可能性もある。通常、ネットワークオペレータのローカルＢＧＰルータは、ＲｏｕｔｅＶｉｅｗｓサーバと同様の制約を受けるため、ＩＰアドレスプレフィクスとＡＳ番号とのマッピングに関する正式なソースとは見なされない。

上述のデータソース（ＲｏｕｔｅＶｉｅｗｓ、ＩＲＲ、ローカルＢＧＰサーバ）から得られるＢＧＰルーティング情報の不備を考慮した上で、図４にマッピングテーブルを生成する方法を例示する。
複数のソースから得られるルート／ルーティング情報を用いたこの方法では、衝突解決を行った後、優先順位を基に複数のソースからの情報を統合する。一部のＩＰアドレスプレフィクスについては、該複数のデータソースが相補的であり得るが、その他のＩＰアドレスプレフィクスについては、該複数のデータソースが相容れない可能性がある。

ステップ４００において、ローカルＢＧＰルータ、ＲｏｕｔｅＶｉｅｗｓサーバ、及びＩＲＲデータベースから、ＢＧＰルーティング情報がそれぞれ収集される。
ステップ４０５において、各データソースからのルーティング情報同士を比較して、ローカルＢＧＰルータ、ＲｏｕｔｅＶｉｅｗｓサーバ、及びＩＲＲデータベースから得られたそれぞれのルーティングデータ間に衝突があるかどうか判断される。
各データソースからのＢＧＰルーティングデータが互いに衝突しない場合（ステップ４１０でＮの場合）、ステップ４１５でこれらＢＧＰルーティングデータが結合又は統合される。
続いて、ステップ４２０では、該処理された情報を用いて、ＩＰアドレスプレフィクスとＡＳ番号との相関関係を表すマッピングテーブルを作成する。

一方、各データソースからのＢＧＰルーティングデータが互いに衝突する場合（ステップ４１０でＹの場合）、ステップ４２５において、衝突するルーティングデータを含むデータソースのそれぞれに優先順位が割り当てられる。
次に、ステップ４３０において、優先順位の比較的低いデータソースから得られた衝突ルーティングデータは、ルーティングデータから削除される。残ったデータは、ステップ４１５で次の処理、例えば、衝突ルーティングデータを含まない他のデータソースから得られたルーティングデータとの結合、の対象となる。
続いて、ステップ４２０では、該処理された情報を用いて、ＩＰアドレスプレフィクスとＡＳ番号との対応を表すマッピングテーブルを作成する。

又は、優先順位の比較的低いデータソースから得られたルーティングデータ全体を無視し、優先順位の比較的高いデータソースから得られたルーティングデータを用いてもよい。例えば、衝突ルーティングデータを含まない他のデータソースから得られたルーティングデータと結合してもよい。

データソースの一部のサブセットに対してより高い信頼性レベルを割り当てることで、衝突を解決する。
したがって、ＩＲＲデータベース及びＲｏｕｔｅＶｉｅｗｓサーバが、同一のＩＰアドレスプレフィクスに関して衝突するＡＳ情報をそれぞれ含んでいる場合、ＩＲＲデータベースには比較的高い信頼性レベルが割り当てられることによって、ＩＲＲデータベースからの情報は優先される。すなわち、ＲｏｕｔｅＶｉｅｗｓサーバには比較的低い信頼性レベルが割り当てられる。
全ての衝突が解決されるまで、衝突解決ステップ（４０５〜４３０）を繰り返す。

マッピングテーブル及びタプルテーブルにＩＰアドレスプレフィクスとＡＳ番号とのマッピング、及びルート／ルーティング情報がそれぞれ登録されると、システム又は装置は偽装ＩＰパケットを検知できるようになる。

保護ＡＳ（例えばＡＳｏ）を横断するＩＰパケットは、予期しないペアのタプルの有無について分析される。
図５は、タプルテーブルに登録済のタプルを含む受信パケットの情報を比較する方法を例示するフローチャートである。ＩＰパケットをこの一連の情報と比較するために、マッピングテーブルを用いて、パケットのソースＩＰアドレスと宛先ＩＰアドレスを、ソースＡＳ番号と宛先ＡＳ番号にそれぞれ変換する必要がある。

ステップ５００では、タプルテーブルからＵＥＰタプル、例えば１つ目の予期しないペアのタプル、が取得される。
ステップ５０５で、受信したパケットに含まれる宛先ＩＰアドレスが、該ＵＥＰタプル内のＩＰアドレスプレフィクスと照合される。
ステップ５１０で、ＩＰパケットの変換された宛先ＡＳ番号が、ＵＥＰタプル内の宛先ＡＳ番号と比較される。

ステップ５１５で、ＩＰパケットの変換されたソースＡＳ番号が、ＵＥＰタプル内のソースＡＳ番号と比較される。
上記３つの比較全てにおいて一致がある場合、この観測点から予期しないパケットが観測されており、観測されたパケットのソースアドレスが偽装されている可能性が高い。上記３つの比較全てにおいて一致がある場合（ステップ５２０でＹの場合）、処理はステップ２２０に進み、警告が生成される。
上記３つの比較全てにおいて一致がない場合（ステップ５２０でＮの場合）、ステップ５２５において、タプルテーブル内に他のＵＥＰタプルがあるかどうか判断される。タプルテーブル内に他のＵＥＰタプルがない場合、該ＩＰパケットは保護ＡＳで予期されているため、ＡＳ１０に進入を許可される、例えばステップ２２５に処理が進む。

タプルテーブル内に他のＵＥＰタプルがある場合、該他のＵＥＰタプルがタプルテーブルから取得される。つまり、処理がステップ５００に戻る。
タプルテーブル内の全てのＵＥＰタプルについて、取得されたＩＰパケット内の情報との比較が完了する（ステップ５２５でＮの場合）か、若しくは上記３つの比較全てにおいて一致がある（ステップ５２０でＹの場合）まで、ステップ５００〜５２５を繰り返す。

図６は、本発明の偽装防止装置６５０を例示するブロック図である。該装置６５０は、複数のインターフェイス、例えばＡＳ１０、を含むネットワークに宛てられた偽装ＩＰトラフィックを検知するために利用される。
該装置６５０は、保護ＡＳ内、又は複数のＡＳを管理する中央部に配備してよい。該装置６５０は、動的に生成されるタプルテーブルとマッピングテーブルを参照し、ＩＰパケットが予期しないソースから送出されていないことを確認することで、攻撃トラフィックフローがネットワークに侵入するのを防止する。
偽装トラフィックフローは、宛先ＩＰアドレスプレフィクスと、ソースＡＳ番号及び宛先ＡＳ番号とを、タプルテーブル内のＵＥＰタプルと比較することで決定される。

偽装防止装置６５０は、ルートデータベースインターフェイス６００と、ＩＰアドレスプレフィクス／ＡＳデータベースインターフェイス６１０とを含む。
ルートデータベースインターフェイス６００は、ＲｏｕｔｅＶｉｅｗｓ等の１又は複数の公開されているルート情報の情報源から、ルート情報、例えば接続性情報、を取得及び受信するよう構成されている。
ＩＰアドレスプレフィクス／ＡＳデータベースインターフェイス６１０は、マッピング情報、例えば複数の公開されている情報源から利用可能なＩＰアドレスプレフィクス及びＡＳ番号、を取得及び受信するよう構成されている。
図６では、ルートデータベースインターフェイス６００と、ＩＰアドレスプレフィクス／ＡＳデータベースインターフェイス６１０とは別々のインターフェイスとして図示されているが、１つのインターフェイスであってもよい。ルートデータベースインターフェイス６００及びＩＰアドレスプレフィクス／ＡＳデータベースインターフェイス６１０は、プロセッサに制御されるトランスミッタ／レシーバユニットであってもよい。
ルートデータベースインターフェイス６００には、タプルテーブル構築コンポーネント６０５が連結されている。
タプルテーブル構築コンポーネント６０５は、タプルテーブルを構築するための本願に記載したステップや機能を実行するよう構成されている。
例えば、タプルテーブル構築コンポーネント６０５は、タプルテーブルを構築するための本願に記載したステップや機能を実行するプログラムでプログラムされたプロセッサであってもよい。
タプルテーブル構築コンポーネント６０５は、ルートデータベースインターフェイス６００を介して公開されている情報源から取得したルート／ルーティング情報を基に、仮の予期しないペアのタプルを生成し、同じ情報を基に予期されるペアのタプルを生成し、この２種類のタプルを比較して衝突の有無を確認し、重複タプルを削除して最終的なＵＥＰタプルを構築する。

ＩＰアドレスプレフィクス／ＡＳデータベースインターフェイス６１０には、マッピングテーブル構築コンポーネント６１５が連結されている。
マッピングテーブル構築コンポーネント６１５は、マッピングテーブルを構築するための本願に記載したステップや機能を実行するよう構成されている。
例えば、マッピングテーブル構築コンポーネント６１５は、マッピングテーブルを構築するための本願に記載したステップや機能を実行するプログラムでプログラムされたプロセッサであってもよい。
マッピングテーブル構築コンポーネント６１５は、ＩＰアドレスプレフィクス／ＡＳデータベースインターフェイス６１０を介して複数の公開されている情報源から取得したルーティング情報を受信及び処理し、ＩＰアドレスプレフィクスとＡＳ番号との相関関係を表すマッピングテーブルを生成する。該マッピングテーブルは、記憶装置６２０に格納可能である。

記憶装置６２０は、マッピングテーブルと、タプルテーブルと、偽装検知コンポーネント６３０により生成された警告と、を格納するように構成されている。
記憶装置６２０は、磁気記憶装置、ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ−ＯｎｌｙＭｅｍｏｒｙ）、ＥＰＲＯＭ（ＥｒａｓａｂｌｅＰｒｏｇｒａｍｍａｂｌｅＲｅａｄ−ＯｎｌｙＭｅｍｏｒｙ）又はフラッシュメモリ、光学記憶装置等であってよいが、これらに限定されない。

偽装検知コンポーネント６３０は、記憶装置６２０と、オペレーショントラフィック受信コンポーネント６２５とに連結されている。
偽装検知コンポーネント６３０は、偽装ＩＰトラフィックを検知するための本願に記載したステップや機能を実行するよう構成されている。
例えば、偽装検知コンポーネント６３０は、偽装ＩＰトラフィックを検知するための本願に記載したステップや機能を実行するプログラムでプログラムされたプロセッサであってもよい。

偽装検知コンポーネント６３０は、着信オペレーショントラフィックフローのＩＰアドレスを取得し、マッピングテーブル構築コンポーネント６１５が生成したマッピングテーブルを基に該ＩＰアドレスをソースＡＳ番号及び宛先ＡＳ番号に変換する。
さらに、偽装検知コンポーネント６３０は、該着信オペレーショントラフィックフローがネットワークへの進入を許可されているかどうかを判断する。
例えば、偽装検知コンポーネント６３０には、変換されたソースＡＳ番号及び宛先ＡＳ番号と、タプルテーブル構築コンポーネント６０５により生成され記憶装置６２０に格納されたタプルテーブルのＵＥＰタプル内のソースＡＳ番号及び宛先ＡＳ番号とをそれぞれ比較し、又、宛先ＩＰアドレスと、該ＵＥＰタプル内の宛先ＩＰアドレスとを比較する、比較コンポーネント（図示せず）を備えてよい。
上記３つの比較全てにおいて一致がある場合、偽装検知コンポーネント６３０は警告を生成することができ、該警告は記憶装置６２０に格納できる。

タプルテーブル構築コンポーネント６０５と、マッピングテーブル構築コンポーネント６１５と、偽装検知コンポーネント６３０とは、別々のコンポーネントとして説明してきたが、これらのコンポーネントを組み合わせてプロセッサ等の単一の機器としてもよい。

オペレーショントラフィック受信コンポーネント６２５は、ＩＰトラフィックを受信するよう構成される。

本願に記載の通り、タプルテーブルとマッピングテーブルはそれぞれ対応するコンポーネントで作成される。これらのテーブルは、現行のネットワークトポロジや接続性を反映させるために、定期的に更新される。更新頻度は、これらに限らないが、ネットワークの輻輳、帯域幅、一定期間内に生成された警告の数、等の特定の調整基準に基づいて調整可能である。

当業者ならば理解できる通り、本発明は、装置、方法、又はコンピュータプログラム製品として実施される。
したがって、本発明はハードウェア面のみの実施形態、ソフトウェア面のみの実施形態（ファームウェア、常駐ソフトウェア、マイクロコード等を含む）、ソフトウェア面とハードウェア面を組み合わせた実施形態を取り得るもので、本願においては全般に「ルータ」、「ＡＳ」、「モジュール」、「コンポーネント」、又は「インターフェイス」と呼ばれるものである。

本発明の様々な局面は、コンピュータ、プロセッサ、及び／又は機器において、実行された場合に、コンピュータ又は機器に上記方法のステップを行わせる、コンピュータ又はコンピュータ利用／読取可能な媒体に実装又は格納されたプログラム、ソフトウェア、コンピュータ命令として実施可能である。
本開示に記載した様々な機能や方法を行うための、機械で実行可能な命令群からなるプログラムを具体化したものであるコンピュータ読取可能な媒体もまた、本発明により提供される。

本開示の装置及び方法は、汎用コンピュータ又は専用コンピュータシステムにおいて、実装及び実行可能である。
コンピュータシステムは、現時点若しくは将来的に提供されるシステムであればどのようなもの、例えば仮想コンピュータシステム、でもよく、典型例として、プロセッサ、メモリ装置、記憶装置、入出力装置、内部バス、及び／又は通信ハードウェア及びソフトウェアを介して他のコンピュータシステムと通信する通信インターフェイス等を備える。

コンピュータ読取可能媒体は、コンピュータ読取可能記憶媒体、又はコンピュータ読取可能信号媒体であってよい。
コンピュータ読取可能記憶媒体の例としては、磁気、光学、電気、電磁気、赤外線、若しくは半導体によるシステム、機器、若しくは装置、又はこれらの適切な組み合わせが挙げられるが、これらの例に限定されるものではない。
コンピュータ読取可能記憶媒体の具体例としては、可搬コンピュータディスケット、ハードディスク、磁気記憶装置、可搬コンパクトディスク読み取り専用メモリ（ＣＤ−ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、消去可能プログラマブル読み取り専用メモリ（ＥＰＲＯＭ、フラッシュメモリ）、１若しくは複数の電線を含む電気的接続、光ファイバ、光学記憶装置、又はこれらの適切な組み合わせが挙げられるが、これらの例に限定されるものではない。
命令実行システム、装置、若しくは機器によって、又はこれらと連携して、用いられるプログラムを含むことができる若しくは記憶できる有形の媒体であれば、コンピュータ読取可能記憶媒体として用いることができる。

本開示で用いられる「ＡＳ」及び「ネットワーク」という用語には、据え置き及び／又は可搬コンピュータハードウェア、ソフトウェア、外部機器、記憶装置の様々な組み合わせが含まれる。
該装置には、ネットワークに接続された、若しくは互いにリンクされ協調して機能する複数の部品、又は１つ若しくは複数のスタンドアロン部品が含まれてよい。

本開示における該コンピュータシステムのハードウェア及びソフトウェア部品は、デスクトップ、ラップトップ、及び／又はサーバ、サーバネットワーク（クラウド）等の固定型及び可搬型の装置を含んでよく、また、これらに含まれてよい。
「コンポーネント」は、装置、ソフトウェア、プログラム、又は、ソフトウェア、ハードウェア、ファームウェア、電気回路等として実施される所定の機能を実装するシステムの一部であってよい。

上記の記述は説明のための例示にすぎず、本発明はそれらに限定されるものではない。請求の範囲に記載された本発明の要旨を逸脱しない範囲において、当業者により種々の改良及び変更が可能である。

６００ルートデータベースインターフェイス
６０５タプルテーブル構築コンポーネント
６１０ＩＰアドレスプレフィクス／ＡＳデータベースインターフェイス
６１５マッピングテーブル構築コンポーネント
６２０記憶装置
６２５オペレーショントラフィック受信コンポーネント
６３０偽装検知コンポーネント
６５０偽装防止装置

Claims

複数の自律システム（ＡＳ）を含むネットワークに宛てられた偽装インターネットプロトコル（ＩＰ）トラフィックを検知する方法であって、
ソースＩＰアドレスと宛先ＩＰアドレスを含む着信パケットをＡＳ経由で受信する手順と、
該ソースＩＰアドレスと宛先ＩＰアドレスから、対応するソースＩＰアドレスプレフィクスと宛先ＩＰアドレスプレフィクスをそれぞれ取得する手順と、
該対応するソースＩＰアドレスプレフィクスと宛先ＩＰアドレスプレフィクスを、ソースＡＳ番号と宛先ＡＳ番号に変換する手順と、
該着信パケットが、予期しないソースから送信されたものかどうかを、ネットワークルーティング情報から生成された予期しないペアのタプルテーブルを用いて、該対応する宛先ＩＰアドレスプレフィクスと、該変換されたソースＡＳ番号及び宛先ＡＳ番号とに基づいて決定する手順と、
該着信パケットがネットワークへの進入を許可されていないことを示す警告を生成する手順と、を備えることを特徴とする方法。
請求項１に記載の偽装インターネットプロトコル（ＩＰ）トラフィックを検知する方法であって、前記予期しないペアのタプルテーブルは予期しないソースをエントリとして含むことを特徴とする方法。
請求項１に記載の偽装インターネットプロトコル（ＩＰ）トラフィックを検知する方法であって、前記予期しないペアのタプルテーブルは、ＡＳのアドバタイズされたＩＰアドレスプレフィクスと、宛先ＡＳのＡＳ番号と、ソースＡＳのソースＡＳ番号と、を含み、宛先ＡＳはトラフィックの潜在的な宛先であり、ソースＡＳはトラフィックの潜在的なソースであることを特徴とする方法。
請求項１に記載の偽装インターネットプロトコル（ＩＰ）トラフィックを検知する方法であって、
前記予期しないペアのタプルテーブルを生成する手順をさらに含むことを特徴とする方法。
請求項４に記載の偽装インターネットプロトコル（ＩＰ）トラフィックを検知する方法であって、前記生成する手順は、
保護ＡＳを横断しない、利用可能な各ＩＰアドレスプレフィクスの全パスのリストであって、各ＡＳが複数の利用可能なＩＰアドレスプレフィクスを備え、利用可能なＩＰアドレスプレフィクスがそれぞれパスを定義するようなリストを生成する手順と、
各パス上に、トラフィックの潜在的な宛先である宛先ＡＳのＡＳ番号と、トラフィックの潜在的なソースであるソースＡＳのソースＡＳ番号とを含むＡＳのペアを作成する手順と、
宛先ＡＳから、仮の予期しないタプルを構成する該ソースＡＳ番号と該宛先ＡＳ番号に、対応するＩＰアドレスプレフィクスを付加する手順と、
利用可能なＩＰアドレスプレフィクスのそれぞれに対して、保護ＡＳを経由する予期されるパスのリストであって、各ＡＳが複数の利用可能なＩＰアドレスプレフィクスを備え、利用可能なＩＰアドレスプレフィクスがそれぞれパスを定義するようなリストを生成する手順と、
各パス上に、トラフィックの潜在的な宛先である宛先ＡＳのＡＳ番号と、トラフィックの潜在的なソースであるソースＡＳのソースＡＳ番号とを含むＡＳのペアを作成する手順と、
宛先ＡＳから、予期されるタプルを構成する該ソースＡＳ番号と該宛先ＡＳ番号に、対応するＩＰアドレスプレフィクスを付加する手順と、
該予期されるタプルと、前記仮の予期しないタプルとを比較する手順と、
該比較に基づき、前記仮の予期しないタプルから該予期されるタプルを削除する手順と、を含み、
前記仮の予期しないタプル内に残ったエントリが、前記予期しないペアのタプルに保存されることを特徴とする方法。
請求項３に記載の偽装インターネットプロトコル（ＩＰ）トラフィックを検知する方法であって、前記決定する手順は、
前記着信パケット内の宛先ＩＰアドレスと、前記予期しないペアのタプルテーブル内の各予期しないペアのタプルのＡＳのアドバタイズされたＩＰアドレスプレフィクスとを比較する手順と、
前記変換されたソースＡＳ番号と、前記予期しないペアのタプルテーブル内の各予期しないペアのタプルのソースＡＳのソースＡＳ番号とを比較する手順と、
前記変換された宛先ＡＳ番号と、前記予期しないペアのタプルテーブル内の各予期しないペアのタプルの宛先ＡＳの宛先ＡＳ番号とを比較する手順と、を含み、
該３つの比較が全て一致する場合に、警告が生成されることを特徴とする方法。
請求項１に記載の偽装インターネットプロトコル（ＩＰ）トラフィックを検知する方法であって、前記ネットワークルーティング情報は、境界ゲートウェイプロトコルからの情報であり、かつ、ＡＳ間で利用可能なルーティングパスに基づいた情報であることを特徴とする方法。
請求項１に記載の偽装インターネットプロトコル（ＩＰ）トラフィックを検知する方法であって、前記変換はマッピングテーブルに基づいて行われることを特徴とする方法。
請求項８に記載の偽装インターネットプロトコル（ＩＰ）トラフィックを検知する方法であって、
複数のデータソースからの情報を用いて、ＩＰアドレスプレフィクスとＡＳ番号との相関関係を表す前記マッピングテーブルを作成する手順をさらに含むことを特徴とする方法。
請求項９に記載の偽装インターネットプロトコル（ＩＰ）トラフィックを検知する方法であって、
前記複数のデータソースからの情報に不一致があるかどうかを決定する手順をさらに含むことを特徴とする方法。
請求項１０に記載の偽装インターネットプロトコル（ＩＰ）トラフィックを検知する方法であって、
前記複数のデータソースからの情報に不一致がない場合、前記データソースからの情報を統合し、
前記複数のデータソースからの情報に不一致がある場合、該複数のデータソースのそれぞれに優先順位を割り当て、該複数のデータソースのうち優先順位の高いデータソースの情報から利用して前記マッピングテーブルを作成することを特徴とする方法。
請求項８に記載の偽装インターネットプロトコル（ＩＰ）トラフィックを検知する方法であって、
前記複数のデータソースからの情報を用いて、前記マッピングテーブルを定期的に更新することを特徴とする方法。
請求項５に記載の偽装インターネットプロトコル（ＩＰ）トラフィックを検知する方法であって、
ネットワークルーティング情報を用いて、前記予期しないペアのタプルテーブルを定期的に更新することを特徴とする方法。
プログラムを備えるプロセッサを含む偽装防止装置であって、該プロセッサは、該プログラムの実行時に、
複数のデータソースからのルーティング情報を処理してＩＰアドレスプレフィクスとＡＳ番号との相関関係を表すマッピングテーブルを生成するマッピングコンポーネントと、
特定のＩＰアドレスプレフィクスについて、複数の自律システム間のルートに関して公表されている接続性情報を用いて、少なくとも１つの予期しないペアのタプルを含むタプルテーブルを生成するタプルテーブル生成コンポーネントと、
着信オペレーショントラフィックフローのソースＩＰアドレスプレフィクスと宛先ＩＰアドレスプレフィクスとを取得し、前記マッピングテーブルに基づいて該ソースＩＰアドレスプレフィクスと宛先ＩＰアドレスプレフィクスとをソースＡＳ番号と宛先ＡＳ番号とに変換し、前記タプルテーブルを用いて、前記着信オペレーショントラフィックフローがネットワークに進入を許可されているかを決定するよう構成された決定コンポーネントと、を提供することを特徴とする、偽装防止装置。
複数の自律システム（ＡＳ）を含むネットワークに宛てた偽装インターネットプロトコル（ＩＰ）トラフィックを検知する方法をコンピュータに実行させる命令からなるプログラムを記録したコンピュータ読取可能記憶媒体であって、該方法が、
ＡＳ経由で受信した着信パケットのソースＩＰアドレス及び宛先ＩＰアドレスからソースＩＰアドレスプレフィクス及び宛先ＩＰアドレスプレフィクスをそれぞれ取得する手順と、
前記ソースＩＰアドレスプレフィクス及び宛先ＩＰアドレスプレフィクスを、ソースＡＳ番号及び宛先ＡＳ番号に変換する手順と、
ネットワークルーティング情報から生成された予期しないペアのタプルテーブルを用い、前記宛先ＩＰアドレスプレフィクスと、該変換されたソースＡＳ番号及び宛先ＡＳ番号とに基づいて、前記着信パケットが予期しないソースから送信されたかどうかを決定する手順と、
該着信パケットがネットワークへの進入を許可されていないことを示す警告を生成する手順と、を備えることを特徴とする、コンピュータ読取可能記憶媒体。
請求項１５に記載の、複数の自律システム（ＡＳ）を含むネットワークに宛てた偽装インターネットプロトコル（ＩＰ）トラフィックを検知する方法をコンピュータに実行させる命令からなるプログラムを記録したコンピュータ読取可能記憶媒体であって、前記方法が、
前記予期しないペアのタプルテーブルを生成する手順をさらに含むことを特徴とする、コンピュータ読取可能記憶媒体。
請求項１５に記載の、複数の自律システム（ＡＳ）を含むネットワークに宛てた偽装インターネットプロトコル（ＩＰ）トラフィックを検知する方法をコンピュータに実行させる命令からなるプログラムを記録したコンピュータ読取可能記憶媒体であって、
前記予期しないペアのタプルテーブルが、ＡＳのアドバタイズされたＩＰアドレスプレフィクスと、宛先ＡＳのＡＳ番号と、ソースＡＳのソースＡＳ番号と、を含み、該宛先ＡＳはトラフィックの潜在的な宛先であり、ソースＡＳはトラフィックの潜在的なソースであることを特徴とする、コンピュータ読取可能記憶媒体。
請求項１６に記載の、複数の自律システム（ＡＳ）を含むネットワークに宛てた偽装インターネットプロトコル（ＩＰ）トラフィックを検知する方法をコンピュータに実行させる命令からなるプログラムを記録したコンピュータ読取可能記憶媒体であって、前記生成する手順は、
保護ＡＳを横断しない、利用可能な各ＩＰアドレスプレフィクスの全パスのリストであって、各ＡＳが複数の利用可能なＩＰアドレスプレフィクスを備え、利用可能なＩＰアドレスプレフィクスがそれぞれパスを定義するようなリストを生成する手順と、
各パス上に、トラフィックの潜在的な宛先である宛先ＡＳのＡＳ番号と、トラフィックの潜在的なソースであるソースＡＳのソースＡＳ番号とを含むＡＳのペアを作成する手順と、
宛先ＡＳから、仮の予期しないタプルを構成する該ソースＡＳ番号と該宛先ＡＳ番号に、対応するＩＰアドレスプレフィクスを付加する手順と、
利用可能なＩＰアドレスプレフィクスのそれぞれに対して、保護ＡＳを経由する予期されるパスのリストであって、各ＡＳが複数の利用可能なＩＰアドレスプレフィクスを備え、利用可能なＩＰアドレスプレフィクスがそれぞれパスを定義するようなリストを生成する手順と、
各パス上に、トラフィックの潜在的な宛先である宛先ＡＳのＡＳ番号と、トラフィックの潜在的なソースであるソースＡＳのソースＡＳ番号とを含むＡＳのペアを作成する手順と、
宛先ＡＳから、予期されるタプルを構成する該ソースＡＳ番号と該宛先ＡＳ番号に、対応するＩＰアドレスプレフィクスを付加する手順と、
該予期されるタプルと、前記仮の予期しないタプルとを比較する手順と、
該比較に基づき、前記仮の予期しないタプルから該予期されるタプルを削除する手順と、を含み、
前記仮の予期しないタプル内に残ったエントリが、前記予期しないペアのタプルに保存されることを特徴とする、コンピュータ読取可能記憶媒体。
請求項１５に記載の、複数の自律システム（ＡＳ）を含むネットワークに宛てた偽装インターネットプロトコル（ＩＰ）トラフィックを検知する方法をコンピュータに実行させる命令からなるプログラムを記録したコンピュータ読取可能記憶媒体であって、
前記ネットワークルーティング情報は、境界ゲートウェイプロトコルからの情報であり、かつ、ＡＳ間で利用可能なルーティングパスに基づいた情報であることを特徴とする、コンピュータ読取可能記憶媒体。
請求項１５に記載の、複数の自律システム（ＡＳ）を含むネットワークに宛てた偽装インターネットプロトコル（ＩＰ）トラフィックを検知する方法をコンピュータに実行させる命令からなるプログラムを記録したコンピュータ読取可能記憶媒体であって、前記方法が、
複数のデータソースからの情報を用いて、ＩＰアドレスプレフィクスとＡＳ番号との相関関係を表すマッピングテーブルを作成する手順をさらに含むことを特徴とする、コンピュータ読取可能記憶媒体。