JP6053561B2

JP6053561B2 - 偽装トラフィック検知を目的としたｂｇｐルートを基にしたネットワークトラフィックプロファイルを作成するシステム及び方法

Info

Publication number: JP6053561B2
Application number: JP2013031957A
Authority: JP
Inventors: バイジャナーザンラヴィッチアンダー; ゴッシュアブフラジット; 山田　明; 山田　　明; 雪子澤谷; 歩窪田
Original assignee: KDDI Corp
Current assignee: KDDI Corp
Priority date: 2012-07-12
Filing date: 2013-02-21
Publication date: 2016-12-27
Anticipated expiration: 2033-02-21
Also published as: EP2872996A4; US8938804B2; WO2014011828A2; US20140020099A1; JP2014023143A; WO2014011828A3; EP2872996A2

Description

本発明は、インターネットルーティング、ＢＧＰ（ＢｏｒｄｅｒＧａｔｅｗａｙＰｒｏｔｏｃｏｌ）、分散サービス拒否攻撃検知、偽装検知、侵入検知、及びＩＳＰセキュリティのためのフィルタリングに関する。

偽装パケットとは、ヘッダに偽装ソースＩＰアドレスを有するパケットのことである。偽装パケットは、悪意のある活動のため意図的に生成される場合もあれば、設定ミスの結果生成される場合もある。
前者の場合、偽装パケットは、身元を隠し、送信元を探知されるリスクを低減したり、ネットワークを利用したセンサによる検知を回避したりするために用いられる。熟達した攻撃者にとって、広く利用されているオペレーティングシステムから送信される攻撃トラフィックで不正なソースＩＰアドレスを用いることは容易である。ＩＰルーティングは宛先を基にして行われるため、偽装ＩＰパケットは、偽装されていないＩＰパケットと同じように、意図された対象に到達する。
偽装ＩＰパケットは、攻撃者が、複数の中間感染ホストから攻撃対象のホスト又はネットワークに大量のＩＰトラフィックストリームを殺到させる分散サービス拒否（ＤＤｏＳ：ＤｉｓｔｒｉｂｕｔｅｄＤｅｎｉａｌｏｆＳｅｒｖｉｃｅ）攻撃で特に多く用いられる。このようなＤＤｏＳ攻撃では、各ホストからのトラフィック量が少なく見えるよう偽装されているため、ネットワークを利用したセンサによって、検知するのは難しい。
ＤＤｏＳ攻撃のような大量トラフィックによる攻撃に加え、比較的隠密な攻撃においても、偽装ＩＰパケットが用いられることがある。典型的な例としては、単一ソースのＩＰ偽装ＵＤＰ（ＵｓｅｒＤａｔａｇｒａｍＰｒｏｔｏｃｏｌ）パケットを送信して宛先ノードを危険にさらす、スラマーワームが挙げられる。
したがって、偽装ＩＰトラフィックの検知は、各攻撃に特化した検知方法を用いることなく様々な種類のネットワーク攻撃を検知するための、汎用的な方法である。

特開２０１１−２３４３３１号公報

ネットワーク監視ポイントのソースアドレスプロファイルは、特定の期間に該監視ポイントで観測されたトラフィックパケットのソースＩＰアドレスを記録することで構築可能である。この期間を「トレーニング期間」と呼ぶ。このアプローチの問題は、トレーニング期間中に偽装パケットが存在すると、構築されたソースアドレスプロファイルが不正確なものとなる恐れがあることである。別の問題としては、トレーニング期間中に観測されたトラフィックが不十分だと、不完全なプロファイルが作成されることが挙げられる。

プロファイル構築中に偽装パケットが存在する問題は、パケット数の多いＴＣＰフローのみを考慮に入れることで解決できることが知られている。パケット数の多いＴＣＰフローは、送信元と宛先との間でＴＣＰハンドシェイクが完了したことを示し得るので、送信元が偽装されている恐れが少なくなる。このアプローチは、大きなＴＣＰフローはアクティビティが偽装されていないことを示す、という前提が基になっている。
しかし、偽装ＩＰアドレスを有するＴＣＰパケットを大量に生成できる攻撃者であれば、このアプローチを容易に破ることができる。また、このアプローチは、観測されるトラフィックが少ない場合に不完全なプロファイルが作成されてしまう問題の対策になっていない。

さらに、不完全なプロファイルの問題は、ソースＩＰアドレスではなく、ＢＧＰの自律システム（ＡＳ：ＡｕｔｏｎｏｍｏｕｓＳｙｓｔｅｍ）番号についてプロファイルを作成することによって対策されている。単独のＡＳ番号に複数のＩＰプレフィクスがマッピング可能なため、未観測のＩＰプレフィクスでも、ＡＳ番号でプロファイルを作成できる。このアプローチは、ＢＧＰのＡＳ番号を基にしたプロファイルを生成する際に偽装ソースＩＰアドレスが観測された場合の対策にはならないが、観測されるトラフィック量が少ない中でプロファイルを作成する場合の対策に主眼が置かれている。

実行可能な上流隣接ルータのセットを特定の宛先について構築する、エッジルータ依存のＩＤＰＦ（Ｉｎｔｅｒ−ＤｏｍａｉｎＰａｃｋｅｔＦｉｌｔｅｒ）を構築するアプローチも試みられている。該実行可能な上流隣接ルータのセットは、直接隣接ルータから受信されるローカルなルーティングアップデートに基づいて構築される。特定の宛先について、該実行可能な上流隣接ルータのセットには、問題とされている送信元から宛先にトラフィックを送る際に実際に利用されるルータに加えて、隣接ルータが含まれてよい。
このアプローチは、ローカルなルーティング情報のみを利用するもので、エッジルータに実装される必要がある。

偽装トラフィックの攻撃を受けず、かつ、任意のネットワーク監視ポイントに実装可能なソースプロファイルを構築する新規な方法を提案する。周知の技術とは異なり、本発明のアプローチは、公開されている有効なルーティングデータリポジトリから推測した、送信元と宛先との間で利用される最適パスに一致するパスを用いる。本発明のアプローチは最適パスではなく実行可能なパスを用いるため、この新規なＩＤＰＦアプローチにおいて偽陰性の結果が出る確率を下げる。さらに、この新規の技術は、ネットワークのコア内の任意のネットワーク監視ポイントで利用できる。

偽装トラフィックを検知するためのソースプロファイルを作成するシステムは、次の方法を実行する。

偽装トラフィックを検知するためのソースプロファイルを作成する本発明の方法は、トラフィックプロファイルを用いてデータがノード間を横断する際のルーティングパスであって、少なくとも１つのターゲットＡＳを含むそれぞれのルーティングパスを取得する手順と、最終ホップＡＳによって、少なくとも１つのＡＳセットを初期化する手順と、該ＡＳセットをルータに接続することで該ＡＳセットを拡張する手順と、拡張されたＡＳセットのそれぞれについて、観測されたトラフィックフローをフィルタリングする手順と、フィルタリングされたフローを用いて、拡張されたＡＳセットとネットワーク監視ポイントを関連付け、ソースプロファイルを作成する手順と、を含む。

一の態様では、前記フローをフィルタリングする手順は、少なくとも１つのＴＣＰセッションフィルタリングと、宛先のｂｏｇｏｎフィルタリングと、を含む。
一の態様では、前記ルータはボーダーゲートウェイプロトコルルータである。
一の態様では、前記最終ホップＡＳは、前記ターゲットＡＳから１ホップの距離にある。

本発明で開示される少なくとも１つの方法をコンピュータに実行させる命令からなるプログラムを記憶する、コンピュータ読取可能記憶媒体も提供される。

ＡＳパスのグラフの例を示す図である。ターゲットＡＳ内の監視ポイントと関連付けられた最終ホップＡＳの例を示す図である。本発明の方法のフロー図である。本発明のシステムの模式図である。

以下の詳細な説明では、図面を参照し、発明を限定するものではない実施例を用いて、本発明を説明する。図面における類似の参照番号は、同様の構成要素を指すものである。ただし、本発明は、特定の構成や手段に限定されるものではない。

ネットワーク内のトラフィック監視ポイントについてソースアドレスプロファイルを作成する問題を解決する方法を以下に説明する。
該ソースアドレスプロファイルを用いると、パケット内のソースアドレスと、監視ポイントに関連付けられたプロファイルとを比較することで、監視ポイントを横断する偽装ＩＰパケットを検知できる。監視ポイントの例としては、ネットワーク内のルータが挙げられる。

図１は、ＡＳパスのグラフ、例えば、ネットワーク内のパス及びノードのグラフを示す図である。図内の矢印は、各ＡＳからターゲットＡＳ１０に向かうデータパケットの移動方向を表す。この例では、ＡＳ２５１６がターゲットＡＳ１０である。
このようなＡＳパスのグラフは、公開されているＢＧＰルーティング情報リポジトリ（例えば、Ｒｏｕｔｅｖｉｅｗｓ）から入手可能なＡＳパス情報を元に構築できる。
左から右へ向かうＡＳパスは、最初のＡＳから最後のＡＳに宛てて送出されたパケットが横断しなければならない一連のＢＧＰ自律システム（ＡｕｔｏｎｏｍｏｕｓＳｙｓｔｅｍ）を表している。ＡＳパスは、一連のＡＳ番号で構成され、例えば、１３２３７、１２９９、２０９、２５１６となる。
本発明のアプローチでは、ターゲットＡＳから１ホップの距離にあるＡＳはいずれも最終ホップＡＳ１２と見なされる。このグラフにおいて、ＡＳ番号が１３０３０、１３２３７、３３５６、２０９、１２３９、３５４９、１９１５１、６４６１、３２５７、３２９２、６６６７のＡＳが、ターゲットＡＳ１０（ＡＳ２５１６）に対する最終ホップＡＳ１２である。

図２は、最終ホップＡＳがターゲットＡＳ内の監視ポイントとどのように関連付けられるのかを例示している。ＡＳ２５１６は、２つの監視ポイント２１、２２を含む。
左側の監視ポイント２１は、ＡＳ１３２３７及び２０９を横断するトラフィックを観測可能であり、右側の監視ポイント２２は、ＡＳ３２５７、３３５６、及び３５４９を横断するトラフィックを観測可能である。このようにして、最終ホップＡＳのそれぞれは、各監視ポイントと関連付けられ、監視ポイントのソースプロファイルを構築できる。

図１に示すＡＳパスから、ＡＳ１５４４４、６０６７、８４２６からのトラフィックが、ターゲットＡＳ２５１６に至る前に最終ホップＡＳ３５４９を横断することが推測できる。したがって、これら３つのＡＳはいずれも、ＡＳ３５４９に関連付けられた同一の監視ポイントに関連付けることができる。それゆえ、それに関連付けられたソースプロファイルを拡張することができる。

図３は、本発明の処理を図示したものである。この新規な処理では、ターゲットネットワーク内の監視ポイントのソースプロファイルが算出される。

最初のステップＳ１０１では、ターゲットＡＳ１０を含むＡＳパスをＢＧＰルーティング情報の公開リポジトリ（例えば、ＲＩＢｓ）から取得する。

ＡＳパスは「ＡＳ１、ＡＳ２．．．ＡＳｔ−２、ＡＳｔ−１、ＡＳｔ．．．ＡＳｎ」のように表記され、ここでＡＳｔはターゲットＡＳを表す。

続いてステップＳ１０２では、ターゲットＡＳｔに先立つ全てのＡＳｔ−１をＡＳｔに対する最終ホップＡＳとして特定する。最終ホップＡＳのそれぞれについて、ＡＳのセットを初期化する。

続いてステップＳ１０３では、最終ホップＡＳｔ−１に先立つ全てのＡＳｉ（ｉ＝１．．．ｔ−２）を、ＡＳｔ−１に関連付けられたＡＳのセットに追加する。

次に、各ネットワーク監視ポイントで観測されたネットワークフローを用いて、ＡＳのセットと監視ポイントとを関連付ける。ネットワークフローは複数のデータアイテムからなり、特に、フローの起点であるネットワークに対応するソースＡＳ番号を含む。
偽装フローがプロファイル生成処理に悪影響を及ぼすリスクを下げるため、確立済みのＴＣＰフローに対応するフローのみを考慮する。また、ランダム偽装攻撃に使われているフローを考慮してしまう可能性をさらに下げるため、Ｂｏｇｏｎソースアドレスを有するフローが最近観測された宛先に宛てられたフローは無視される。
観測された各ネットワークフローについて、次の処理手順が行われる。

ステップＳ１０４では、フローが、確立済みのＴＣＰフローに対応するかどうか判断する。ＳＹＮ、ＲＳＴ、ＦＩＮフラグを持たない全てのＴＣＰフローは、確立済みのフローと見なすことができる。その他のフローは無視される。

ステップＳ１０５では、現在のフローの宛先に関してＢｏｇｏｎソースが最近観測されているかどうかを判断する。Ｂｏｇｏｎソースが観測されている宛先アドレスは所定の期間キャッシュされ、この期間中、この宛先に向かう全てのフロー（Ｂｏｇｏｎソースでないものも）は無視される。Ｂｏｇｏｎソースの特定には、公開されているＢｏｇｏｎリストを用いる。

ステップＳ１０６では、該フローのソースＡＳ番号を抽出する（ステップＳ１０４及びＳ１０５で除外されていない場合に限る）。該ソースＡＳを含むＡＳのセット（ステップＳ１０３で作成されたもの）を少なくとも１つ特定する。この監視ポイントについて、各ＡＳのセットをソースプロファイルに追加する。

本発明の技術では、ＴＣＰフラグを用いて、フローが確立済みかどうかを決定する。この手法は、単独の大規模なフロー上の情報が、複数の小規模なフロー記録に分散され得る、サンプリングを基にした監視環境で有用である。
さらに、本発明の技術は、ソースプロファイルの作成に際してＡＳ番号を考慮する点で、ＩＰアドレスを基にしたプロファイルを考慮する従来技術と異なる。ＡＳ番号を基にしたプロファイルは、一部の従来技術で起きるような、プロファイル構築中に観測されたトラフィックの量が少ない場合に、該プロファイルがカバーできる送信元の範囲が限定されてしまうという問題の対策になる。従来技術のアプローチでは、確立済みのＴＣＰセッションに対応する高ボリュームのＴＣＰフローのみを考慮する。

さらに、本発明のアプローチでは、ＢＧＰルーティング情報を用いて、プロファイリング期間中に観測されなかったＡＳ番号をも含むプロファイルを作成する。
この新規な手法では、公開されている有効なルーティングデータリポジトリから推測した、送信元と宛先との間で用いられる最適パスに一致するパスを用いる。最適パスではなく実行可能なパスを用いるので、特にＩＤＰＦアプローチに関して偽陰性の結果が出る確率を下げる。
さらに、本発明のアプローチは、ネットワークのコア内のネットワーク監視ポイントで利用できる。

本発明の手法は、自律システムパス（ＡＳパス）で表現したインターネットルーティングトポロジを用いて、トラフィックがインターネット上の特定の監視ポイントに到達すると予測されるかどうかを決定する。
さらに、本発明の方法は、インターネットルーティングトポロジのグローバルビューを用いてソースアドレスプロファイルを決定でき、非対称ルーティングトポロジを扱うことができる。偽装の被害軽減や、偽装パケットの検知を目的とした他の方法は、一般に、トレース情報の履歴のみを利用するか、悪意のあるトラフィックに関する公知の特徴を利用する。さらに、他の方法（ＩＤＰＦ等）は、ルータのローカルなルーティング情報データベースを用いて、宛先への実行可能パスを割り出す。このような手法は、非対称ルーティングが存在する場合には適切でない。

図４は、本発明のシステムの一実施形態の模式図である。本実施形態において、該システムは、ＣＰＵ４０と、メモリ４２と、インターネットに接続されたルータ４４を含む。２台のルータ４４が図示されているが、該システムで用いることのできるルータの数に制限はない。本発明のシステムにおいて、ＣＰＵ４０は前出の図３で説明した手順を行うモジュールを実行する。

ティア１ＩＳＰ（インターネットサービスプロバイダ）ネットワーク内で１時間にわたり収集されたフローデータを用いて、ＢＧＰルートを基にしたトラフィックのプロファイルを利用する手法の有効性の最初の評価がされた。本評価の目的は、一連の監視ポイントのそれぞれにおいて、一のＡＳセットについて観測される要素の一貫性を確認することである。

ネットワーク内の複数の監視ポイントから、５５００万弱のフローからなるデータを収集した。該データから、各フローのソースＡＳ番号を、観測された監視ポイントの識別子と共に抽出した。

分析においては、次の定義を用いた。

各符号は次のように算出された。

符号Φは、Ａが観測された監視ポイントで観測されたＬＨＡＳ（Ａ）のＡＳ番号の分数である。
符号Ψは、Ｂが観測されなかった監視ポイントで観測されたＬＨＡＳ（Ｂ）のＡＳ番号の分数である。
Ａが観測された監視ポイントで観測可能なＬＨＡＳ（Ａ）の部分は、Ｂが観測されなかった監視ポイントで観測可能なＬＨＡＳ（Ｂ）の部分よりも大きいと思われるため、ΦはΨよりも大きな値であると予想される。

前出の表１は、Φ及びΨの様々な値について収集されたデータのカウント数を表すものである。いずれの場合にも、多くの値が示されている。
これらの符号は、全ての最終ホップＡＳについて定義されているものではないため、各符号についての値の合計数は異なる。
Ψについての値の大部分が０．１より小さい一方で、Φについての値の大部分が０．４より大きいことが分かる。

これらの符号について累積分布関数を考慮すると、Ψについて観測された値のうち、０．２を超えるものは１０％に過ぎず、一方、Φについて観測された値では、０．２を超えるものが５０％にも達することが分かる。
Φについての値のうち３０％近くが０．４を超えるということは、これらの最終ホップＡＳについてのＡＳセットの要素のうち４０％以上が、対応する最終ホップＡＳが観測された場所で観測されたことを示している。

本発明のシステム及び方法によれば、ソースアドレスの偽装がプロファイル作成処理に悪影響を及ぼさないよう対策しつつソースプロファイルを作成することができる。また、グローバルなインターネットルーティング情報を考慮してプロファイルを構築することで、プロファイルの構築に用いたネットワークフローで観測されなかったＡＳ番号をも含めることができる。

本発明の様々な態様は、コンピュータ、プロセッサ、及び／又は機器において、実行された場合に、コンピュータ又は機器に上記方法のステップを行わせる、コンピュータ又はコンピュータ利用／読取可能な媒体に実装又は格納されたプログラム、ソフトウェア、コンピュータ命令として実施可能である。
本開示に記載した様々な機能や方法を行うための、機械で実行可能な命令群からなるプログラムを具体化したものである機械読取可能なプログラム記憶装置（例えばコンピュータ読取可能な媒体）もまた、本発明により提供される。

本開示のシステム及び方法は、汎用コンピュータ又は専用コンピュータシステムにおいて、実装及び実行可能である。
コンピュータシステムは、現時点若しくは将来的に提供されるシステムであればどのようなものでもよく、典型例として、プロセッサ、メモリ装置、記憶装置、入出力装置、内部バス、及び／又は通信ハードウェア及びソフトウェアを介して他のコンピュータシステムと通信する通信インターフェイス等を備える。該システムは、一般に「クラウド」と呼ばれる仮想コンピュータシステムに実装されてもよい。

コンピュータ読取可能媒体は、コンピュータ読取可能記憶媒体、又はコンピュータ読取可能信号媒体であってよい。コンピュータ読取可能記憶媒体の例としては、磁気、光学、電気、電磁気、赤外線、若しくは半導体によるシステム、機器若しくは装置、又はこれらの適切な組み合わせが挙げられるが、これらの例に限定されるものではない。
コンピュータ読取可能記憶媒体の具体例としては、可搬コンピュータディスケット、ハードディスク、磁気記憶装置、可搬コンパクトディスク読み取り専用メモリ（ＣＤ−ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、消去可能プログラマブル読み取り専用メモリ（ＥＰＲＯＭ、フラッシュメモリ）、１若しくは複数の電線を含む電気的接続、光ファイバ、光学記憶装置、又はこれらの適切な組み合わせが挙げられるが、これらの例に限定されるものではない。
命令実行システム、装置、若しくは機器によって、又はこれらと連携して、用いられるプログラムを含むことができる若しくは記憶できる有形の媒体であれば、コンピュータ読取可能記憶媒体として用いることができる。

本開示で用いられる「コンピュータシステム」及び「コンピュータネットワーク」という用語には、据え置き及び／又は可搬コンピュータハードウェア、ソフトウェア、外部機器、記憶装置の様々な組み合わせが含まれる。
該コンピュータシステムには、ネットワークに接続された、若しくは互いにリンクされ協調して機能する複数の部品、又は１つ若しくは複数のスタンドアロン部品が含まれてよい。
本開示における該コンピュータシステムのハードウェア及びソフトウェア部品は、デスクトップ、ラップトップ、及び／又はサーバ、サーバネットワーク（クラウド）等の固定型及び可搬型の装置を含んでよく、また、これらに含まれてよい。
モジュールは、装置、ソフトウェア、プログラム、又は、ソフトウェア、ハードウェア、ファームウェア、電気回路等として実施される所定の機能を実装するシステムの構成要素であってよい。

上述の実施形態は説明のための例示にすぎず、本発明はそれらに限定されるものではない。請求の範囲に記載された本発明の要旨を逸脱しない範囲において、当業者により種々の改良及び変更が可能である。

１０ターゲットＡＳ
１２最終ホップＡＳ
４０ＣＰＵ
４２メモリ
４４ルータ

Claims

偽装トラフィックを検知するためのソースプロファイルを作成する方法であって、
トラフィックプロファイルを用いてデータがノード間を横断する際のルーティングパスであって、少なくとも１つのターゲットＡＳｔを含むそれぞれのルーティングパスを取得する手順と、
前記ターゲットＡＳｔから１ホップの距離にある最終ホップＡＳｔ−１を特定し、特定された最終ホップＡＳｔ−１に先立つ全てのＡＳｉ（１≦ｉ≦ｔ−２）を追加することにより、前記最終ホップＡＳｔ−１に関連付けられるＡＳセットを初期作成する手順と、
前記ターゲットＡＳｔ内のネットワーク監視ポイントで観測されたトラフィックフローをフィルタリングする手順と、
前記フィルタリングされたトラフィックフローの起点であるソースＡＳを抽出し、当該ソースＡＳを含むＡＳセットを特定し、前記トラフィックフローに基づいて該ＡＳセットを拡張する手順と、
前記拡張されたＡＳセットと前記ネットワーク監視ポイントとを関連付け、ソースプロファイルを作成する手順と、
を含むことを特徴とする方法。
請求項１に記載の方法であって、前記トラフィックフローをフィルタリングする手順は、少なくとも１つのＴＣＰセッションフィルタリングと、宛先のｂｏｇｏｎフィルタリングと、を含むことを特徴とする方法。
請求項１に記載の方法であって、前記ネットワーク監視ポイントはボーダーゲートウェイプロトコルルータであることを特徴とする方法。
偽装トラフィックを検知するためのソースプロファイルを作成するシステムであって、
ＣＰＵと、
モジュールであって、トラフィックプロファイルを用いてデータがノード間を横断する際のルーティングパスであって、少なくとも１つのターゲットＡＳｔを含むそれぞれのルーティングパスを取得し、前記ターゲットＡＳｔから１ホップの距離にある最終ホップＡＳｔ−１を特定し、特定された最終ホップＡＳｔ−１に先立つ全てのＡＳｉ（１≦ｉ≦ｔ−２）を追加することにより、前記最終ホップＡＳｔ−１に関連付けられるＡＳセットを初期作成し、前記ターゲットＡＳｔ内のネットワーク監視ポイントで観測されたトラフィックフローをフィルタリングし、前記フィルタリングされたトラフィックフローの起点であるソースＡＳを抽出し、当該ソースＡＳを含むＡＳセットを特定し、前記トラフィックフローに基づいて該ＡＳセットを拡張し、前記拡張されたＡＳセットと前記ネットワーク監視ポイントとを関連付け、ソースプロファイルを作成するよう動作するモジュールと、
を含むことを特徴とするシステム。
請求項４に記載のシステムであって、前記観測されたトラフィックフローのフィルタリングは、少なくとも１つのＴＣＰセッションフィルタリングと、宛先のｂｏｇｏｎフィルタリングと、を含むことを特徴とするシステム。
請求項４に記載のシステムであって、前記ネットワーク監視ポイントはボーダーゲートウェイプロトコルルータであることを特徴とするシステム。
偽装トラフィックを検知するためのソースプロファイルを作成する方法をコンピュータに実行させる命令からなるプログラムを記憶する、コンピュータ読取可能記憶媒体であって、該方法は、
トラフィックプロファイルを用いてデータがノード間を横断する際のルーティングパスであって、少なくとも１つのターゲットＡＳｔを含むそれぞれのルーティングパスを取得する手順と、
前記ターゲットＡＳｔから１ホップの距離にある最終ホップＡＳｔ−１を特定し、特定された最終ホップＡＳｔ−１に先立つ全てのＡＳｉ（１≦ｉ≦ｔ−２）を追加することにより、前記最終ホップＡＳｔ−１に関連付けられるＡＳセットを初期作成する手順と、
前記ターゲットＡＳｔ内のネットワーク監視ポイントで観測されたトラフィックフローをフィルタリングする手順と、
前記フィルタリングされたトラフィックフローの起点であるソースＡＳを抽出し、当該ソースＡＳを含むＡＳセットを特定し、前記トラフィックフローに基づいて該ＡＳセットを拡張する手順と、
前記拡張されたＡＳセットと前記ネットワーク監視ポイントとを関連付け、ソースプロファイルを作成する手順と、
を含むことを特徴とするコンピュータ読取可能記憶媒体。
請求項７に記載のコンピュータ読取可能記憶媒体であって、前記トラフィックフローをフィルタリングする手順は、少なくとも１つのＴＣＰセッションフィルタリングと、宛先のｂｏｇｏｎフィルタリングと、を含むことを特徴とするコンピュータ読取可能記憶媒体。
請求項７に記載のコンピュータ読取可能記憶媒体であって、前記ネットワーク監視ポイントはボーダーゲートウェイプロトコルルータであることを特徴とするコンピュータ読取可能記憶媒体。