発信源追跡システム、パケット特定情報記録装置、追跡管理装置、通信装置のプログラム及び追跡管理装置のプログラム
【課題】攻撃に用いられたパケットの発信源を特定する場合に、同一セッション内で攻撃端末から送信されたパケットの特定することを可能としたままパケットの誤検知率を低く抑える。
【解決手段】パケットハッシュ記録装置Ｌａ、Ｌｂは、パケットを傍受し、パケットごとに異なる情報から第１パケット特定情報し、セッションごとに共通した情報から第２パケット特定情報を作成して記憶する。トレースバックマネージャ装置Ｍが、追跡対象パケットを用いパケットごとに異なる情報から第１パケット特定情報し、セッションごとに共通した情報から第２パケット特定情報を作成して、通過確認要求メッセージをパケットハッシュ記録装置Ｌａ、Ｌｂに送信する。パケットハッシュ記録装置Ｌａ、Ｌｂは、パケットから得たパケット特定情報と、追跡対象パケットから得たパケット特定情報とを比較して、追跡対象パケットの通過の有無を判断する。
【解決手段】パケットハッシュ記録装置Ｌａ、Ｌｂは、パケットを傍受し、パケットごとに異なる情報から第１パケット特定情報し、セッションごとに共通した情報から第２パケット特定情報を作成して記憶する。トレースバックマネージャ装置Ｍが、追跡対象パケットを用いパケットごとに異なる情報から第１パケット特定情報し、セッションごとに共通した情報から第２パケット特定情報を作成して、通過確認要求メッセージをパケットハッシュ記録装置Ｌａ、Ｌｂに送信する。パケットハッシュ記録装置Ｌａ、Ｌｂは、パケットから得たパケット特定情報と、追跡対象パケットから得たパケット特定情報とを比較して、追跡対象パケットの通過の有無を判断する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、パケットの発信源を特定するための発信源追跡システム、パケット特定情報記録装置、追跡管理装置、通信装置のプログラム及び追跡管理装置のプログラムに関する。
【背景技術】
【０００２】
近年、通信技術の発達により、インターネットに代表されるオープンネットワーク等の通信が普及している。このような状況に伴い、ネットワークに接続する装置は、例えば大量のＩＰパケットを送りつけるいわゆるＤｏＳ（Denial of Service）攻撃やＤＤｏＳ（Distributed Dos）攻撃等のサービス妨害攻撃を受け易い状態にある。このサービス妨害攻撃は、犠牲側装置の処理を飽和状態にすることによってサービス提供を麻痺させるだけでなく、ネットワーク全体のリソースを消費させてしまう。このように、不正な攻撃は、ネットワーク全体への影響が大きいことから、その対策が求められている。
【０００３】
このような対策の一つとして、攻撃に利用されたＩＰパケットの発信源を追跡する技術、いわゆるＩＰトレースバック技術が知られている。このＩＰトレースバック技術としては、能動型発信源探査法が知られている。
【０００４】
この能動型発信源探査法は、攻撃端末から犠牲端末に向けてパケットが経由される途中経路上にルータ装置を設けておく。そして、このルータ装置は、通過する全てのＩＰパケットについてその要約情報を一定時間記憶しておく。ルータ装置は、追跡対象のＩＰパケットが通過したか否かを問い合わせる通過問合せメッセージを追跡装置から受信する。すると、ルータ装置は、記憶してある要約情報を参照することによって問い合わせのあった追跡対象のＩＰパケットが通過したか否かを判断し、その判断結果を伝える通過問合せ応答メッセージを追跡装置に返信する。これにより、追跡装置が、返信された判断結果に基づいて発信源を追跡する。
【０００５】
このような能動型発信源探索法において、ルータ装置がＩＰパケットのパケット特定情報を作成する場合、ルータ装置は、ＩＰパケットに含まれる特定のフィールド値を使用していた。この特定のフィールド値としては、ＩＰパケットごとに異なるフィールド値、セッションごとに同一のフィールド値が用いられていた。
【０００６】
図２４に示すパケット特定情報の作成方法は、ＩＰパケットＰをルータ装置が受信すると、先ず、ルータ装置は、ＩＰパケットから、ＩＰパケットごとに異なるフィールド値Ｄ１を抽出する。次にルータ装置は、フィールド値Ｄ１に対して複数のハッシュ関数ｈ１，ｈ２，ｈ３を用いて、複数のハッシュ値ｈ１（Ｄ１）、ｈ２（Ｄ１）、ｈ３（Ｄ１）を算出する。これにより、ルータ装置は、パケット特定情報として複数のハッシュ値ｈ１（Ｄ１）、ｈ２（Ｄ１）、ｈ３（Ｄ１）をハッシュビットテーブルに記憶していた（非特許文献１）。
【０００７】
図２５に示すパケット特定情報の作成方法は、ＩＰパケットＰをルータ装置が受信すると、先ず、ルータ装置は、ＩＰパケットから、セッションごとに同一のフィールド値Ｄ２を抽出する。次にルータ装置は、フィールド値Ｄ２に対して複数のハッシュ関数ｈ１，ｈ２，ｈ３を用いて、複数のハッシュ値ｈ１（Ｄ２）、ｈ２（Ｄ２）、ｈ３（Ｄ２）を算出する。これにより、ルータ装置は、パケット特定情報として複数のハッシュ値ｈ１（Ｄ２）、ｈ２（Ｄ２）、ｈ３（Ｄ２）をハッシュビットテーブルに記憶していた（非特許文献２）。
【先行技術文献】
【非特許文献】
【０００８】
【非特許文献１】Alex C. Snoeren他 “Single-packet IP traceback” IEEE/ACM Transactions on Networking Dec. 2002.
【非特許文献２】T.-H. Leeら “Scalable Packet Digesting Schemes for IP Traceback.”In IEEE International Conference on Communications, Paris, France, June 2004.
【発明の概要】
【発明が解決しようとする課題】
【０００９】
しかしながら、上述した従来における発信源探索法におけるパケット特定情報を作成しても、ＩＰパケットの誤検知率を低くすることと、セッション内で攻撃端末から送信されたＩＰパケットを特定することとを両立することができていなかった。
【００１０】
すなわち、図２４に示したパケット特定情報の作成方法では、ＩＰパケットごとに異なるフィールド値Ｄ１を用いてパケット特定情報を作成している。したがって、当該パケット特定情報が、攻撃端末から送信されたＩＰパケットでないＩＰパケットのパケット特定情報と同一となる可能性があった。よって、このパケット特定情報の作成方法では、誤検知率が低くできなかった。
【００１１】
また、図２５に示したパケット特定情報の作成方法は、セッションごとに同一のフィールド値Ｄ２を用いてパケット特定情報を作成している。したがって、ＩＰパケットごとの誤検知率は低くなるが、当該パケット特定情報が、同一セッション内において攻撃に用いられたパケットが特定できない問題がある。
【００１２】
そこで、本発明は、上述した実情に鑑みて提案されたものであり、攻撃に用いられたＩＰパケットの発信源を特定する場合に、ＩＰパケットの誤検知率を低くすると共に同一セッション内で攻撃端末から送信されたＩＰパケットの特定することを可能としたまま、ＩＰパケットの誤検知率を低く抑えることを目的とする。
【課題を解決するための手段】
【００１３】
本発明に係る発信源追跡システムは、攻撃端末から送信されて複数の中継装置で経由されて被害端末で受信された攻撃パケットの発信源を追跡するものである。この発信源追跡システムは、中継装置により中継されたパケットを取得し、当該取得したパケットに含まれる情報に対して所定の処理を施してパケット特定情報として記録し、攻撃パケットを特定するパケット特定情報に基づいて攻撃パケットの通過の有無を判定する複数の記録装置と、記録装置に攻撃パケットを特定するパケット特定情報を供給し、複数の記録装置から供給された攻撃パケットの通過の有無に基づいて、当該攻撃パケットを中継した複数の中継装置を特定する追跡管理装置とを備える。
【００１４】
このような発信源追跡システムは、上述の課題を解決するために、各記録装置が、所定の処理として、パケットに含まれる情報のうちパケットごとに異なる情報に対して変換処理を施して第１パケット特定情報を作成する第１変換処理と、パケットに含まれる情報のうち端末間で設定されたセッションごとに共通した情報に対して変換処理を施して第２パケット特定情報を作成する第２変換処理と、第１変換処理により作成された第１パケット特定情報と第２変換処理により作成された第２パケット特定情報とを含むパケット特定情報を作成する作成処理とを行う。
【００１５】
本発明に係る発信源追跡システムにおいて、各記録装置は、当該各記録装置が接続された通信網のトラフィック測定情報に基づいて、攻撃パケットを誤検知する誤検知率が最低となる任意の数の第１パケット特定情報及び第２パケット特定情報を作成して、パケット特定情報を作成することが望ましい。
【００１６】
本発明に係る発信源追跡システムにおいて、追跡管理装置は、被害端末で受信された攻撃パケットを取得する攻撃パケット取得手段と、攻撃パケット取得手段により取得された攻撃パケットに含まれる情報のうちパケットごとに異なる情報に対して変換処理を施して第１パケット特定情報を作成する第１変換処理と、攻撃パケットに含まれる情報のうち端末間で設定されたセッションごとに共通した情報に対して変換処理を施して第２パケット特定情報を作成する第２変換処理と、第１変換処理により作成された第１パケット特定情報と第２変換処理により作成された第２パケット特定情報とを含むパケット特定情報を作成する第１パケット特定情報作成手段と、第１パケット特定情報作成手段が作成したパケット特定情報を記録装置に送信し、攻撃パケットの通過の有無を記録装置から受信する問い合わせ手段とを備える。また、この発信源追跡システムにおいて、記録装置は、中継装置により中継されるパケットを取得するパケット取得手段と、パケットに含まれる情報のうちパケットごとに異なる情報に対して変換処理を施して第１パケット特定情報を作成する第１変換処理と、パケットに含まれる情報のうち端末間で設定されたセッションごとに共通した情報に対して変換処理を施して第２パケット特定情報を作成する第２変換処理と、第１変換処理により作成された第１パケット特定情報と第２変換処理により作成された第２パケット特定情報とを含むパケット特定情報を作成する作成処理とを行う第２パケット特定情報作成手段と、パケット取得手段が所定期間内に取得した複数のパケットに基づいて当該所定期間内における通信状況の統計値を算出し、当該算出した統計値に基づいて、第２パケット特定情報作成手段が作成する第１パケット特定情報数及び第２パケット特定情報数を設定する設定手段と、第２パケット特定情報作成手段が作成したパケット特定情報を記録する記録手段と、記録手段に記録したパケット特定情報と、問い合わせ手段から送信されたパケット特定情報とを比較して、攻撃パケットの通過の有無を作成して問い合わせ手段に返信する返信手段とを備える。
【００１７】
このような発信源追跡システムにおいて、追跡管理装置の第１パケット特定情報作成手段は、記録装置の設定手段が設定しうる最大の第１パケット特定情報数及び第２パケット特定情報数を含むパケット特定情報を作成し、記録装置の第２パケット特定情報作成手段は、設定手段により設定された第１パケット特定情報数及び第２パケット特定情報数のパケット特定情報を作成し、返信手段は、問い合わせ手段から送信されたパケット特定情報のうち、設定手段が設定した第１パケット特定情報数及び第２パケット特定情報数のパケット特定情報を抽出して、当該抽出されたパケット特定情報と、第２パケット特定情報作成手段により作成されたパケット特定情報とを比較して、攻撃パケットを記録したかの情報を作成する。
【００１８】
本発明に係るパケット特定情報記録装置は、通信ネットワークにおける端末間で送受され中継装置により中継されるパケットを取得するパケット取得手段と、パケットに含まれる情報のうちパケットごとに異なる情報に対して変換処理を施して第１パケット特定情報を作成する第１変換処理と、パケットに含まれる情報のうち端末間で設定されたセッションごとに共通した情報に対して変換処理を施して第２パケット特定情報を作成する第２変換処理と、第１変換処理により作成された第１パケット特定情報と第２変換処理により作成された第２パケット特定情報とを含むパケット特定情報を作成する作成処理とを行うパケット特定情報作成手段と、パケット特定情報作成手段が作成したパケット特定情報を記録する記録手段とを備える。
【００１９】
本発明に係るパケット特定情報記録装置において、各記録装置は、当該各記録装置が接続された通信網のトラフィック測定情報に基づいて、特定のパケットを誤検知する誤検知率が最低となる任意の数の第１パケット特定情報及び第２パケット特定情報を作成して、パケット特定情報を作成することが望ましい。
【００２０】
本発明に係るパケット特定情報記録装置において、パケット取得手段が所定期間内に取得した複数のパケットに基づいて当該所定期間内における通信状況の統計値を算出し、当該算出した統計値に基づいて、パケット特定情報作成手段が作成する第１パケット特定情報数及び第２パケット特定情報数を設定する設定手段を更に備え、パケット特定情報作成手段は、設定手段により設定された第１パケット特定情報数の第１パケット特定情報と、設定手段により設定された第２パケット特定情報数の第２パケット特定情報とを含むパケット特定情報を作成することが望ましい。
【００２１】
本発明に係る追跡管理装置は、攻撃端末から送信されて複数の中継装置で経由されて被害端末で受信された攻撃パケットの発信源を追跡するものである。この追跡管理装置は、上述の課題を解決するために、被害端末で受信された攻撃パケットを取得する攻撃パケット取得手段と、攻撃パケット取得手段により取得された攻撃パケットに含まれる情報のうちパケットごとに異なる情報に対して変換処理を施して第１パケット特定情報を作成する第１変換処理と、攻撃パケットに含まれる情報のうち端末間で設定されたセッションごとに共通した情報に対して変換処理を施して第２パケット特定情報を作成する第２変換処理と、第１変換処理により作成された第１パケット特定情報と第２変換処理により作成された第２パケット特定情報とを含むパケット特定情報を作成するパケット特定情報作成手段と、中継装置により中継されたパケットを表すパケット特定情報を記録する記録装置にパケット特定情報作成手段が作成したパケット特定情報を送信し、攻撃パケットの通過の有無を記録装置から受信する問い合わせ手段とを備える。
【００２２】
本発明に係る通信装置のプログラムは、通信装置に内蔵されたコンピュータが実行するプログラムであって、通信ネットワークにおける端末間で送受され中継装置により中継されるパケットを取得する処理と、パケットに含まれる情報のうちパケットごとに異なる情報に対して変換処理を施して第１パケット特定情報を作成する第１変換処理と、パケットに含まれる情報のうち端末間で設定されたセッションごとに共通した情報に対して変換処理を施して第２パケット特定情報を作成する第２変換処理と、第１変換処理により作成された第１パケット特定情報と第２変換処理により作成された第２パケット特定情報とを含むパケット特定情報を作成する作成処理と、作成したパケット特定情報を記録媒体に記録する処理とをコンピュータに実行させるものである。
【００２３】
本発明に係る追跡管理装置のプログラムは、攻撃端末から送信されて複数の中継装置で経由されて被害端末で受信された攻撃パケットの発信源を追跡する追跡管理装置内のコンピュータが実行するプログラムであって、被害端末で受信された攻撃パケットを取得する処理と、取得された攻撃パケットに含まれる情報のうちパケットごとに異なる情報に対して変換処理を施して第１パケット特定情報を作成する第１変換処理と、攻撃パケットに含まれる情報のうち端末間で設定されたセッションごとに共通した情報に対して変換処理を施して第２パケット特定情報を作成する第２変換処理と、第１変換処理により作成された第１パケット特定情報と第２変換処理により作成された第２パケット特定情報とを含むパケット特定情報を作成する処理と、中継装置により中継されたパケットを記録する記録装置に作成したパケット特定情報を送信させ、攻撃パケットを記録したかの情報を記録装置から受信させる処理とをコンピュータに実行させる。
【発明の効果】
【００２４】
本発明に係る発信源追跡システムによれば、複数の記録装置が、パケットごとに異なる情報から第１パケット特定情報を作成し、セッションごとに共通した情報から第２パケット特定情報を作成する。これにより、記録装置は、第１パケット特定情報と第２パケット特定情報とを含むパケット特定情報を作成できる。したがって、発信源追跡システムによれば、記録装置における第１パケット特定情報及び第２パケット特定情報によるパケットの誤検知率を低くすると共に同一セッション内において攻撃に用いられたパケットの誤検知率を高めることができる。
【００２５】
本発明に係る発信源追跡システムによれば、各記録装置が、任意の数の第１パケット特定情報及び第２パケット特定情報を作成して、パケット特定情報を作成するので、攻撃パケットを誤検知する誤検知率を最低とすることができる。
【００２６】
本発明に係る発信源追跡システムによれば、記録装置が、通信状況の統計値に基づいて、第１パケット特定情報数及び第２パケット特定情報数を設定する。一方、追跡管理装置が、記録装置が設定しうる最大の第１パケット特定情報数及び第２パケット特定情報数を含むパケット特定情報を作成する。このような発信源追跡システムによれば、追跡管理装置が、パケット特定情報を用いて記録装置に問い合わせをする。これに応じて、記録装置が、追跡管理装置から送信されたパケット特定情報のうち第１パケット特定情報数及び第２パケット特定情報数のパケット特定情報を抽出して、当該抽出されたパケット特定情報と記録したパケット特定情報とを比較して、攻撃パケットを記録したかの情報を作成する。これにより、この発信源追跡システムによれば、記録装置が記録するパケットの通信状況によって誤検知率が変動する場合であっても、当該誤検知率を最適化して、攻撃パケットを追跡できる。
【００２７】
本発明に係るパケット特定情報記録装置によれば、中継装置により中継されるパケットを取得し、パケットごとに異なる情報から第１パケット特定情報を作成し、セッションごとに共通した情報から第２パケット特定情報を作成する。これにより、このパケット特定情報記録装置によれば、パケットの誤検知率を低くすると共に同一セッション内で攻撃端末から送信されたＩＰパケットの特定することを可能としたまま、ＩＰパケットの誤検知率を低く抑えることができる。
【００２８】
本発明に係るパケット特定情報記録装置によれば、任意の数の第１パケット特定情報及び第２パケット特定情報を作成して、パケット特定情報を作成するので、攻撃パケットを誤検知する誤検知率を最低とすることができる。
【００２９】
本発明に係るパケット特定情報記録装置によれば、所定期間内に取得した複数のパケットに基づいて当該所定期間内における通信状況の統計値を算出し、当該算出した統計値に基づいて、第１パケット特定情報数及び第２パケット特定情報数を設定する。これにより、このパケット特定情報記録装置によれば、パケットの通信状況によって誤検知率が変動する場合であっても、当該誤検知率を最適化して、攻撃パケットを追跡できる。
【００３０】
本発明に係る追跡管理装置によれば、パケットごとに異なる情報から第１パケット特定情報を作成し、端末間で設定されたセッションごとに共通した情報から第２パケット特定情報を作成してパケット特定情報を作成する。そして、追跡管理装置によれば、記録装置にパケット特定情報を送信し、攻撃パケットの通過の有無を記録装置から受信することができる。これにより、追跡管理装置によれば、第１パケット特定情報及び第２パケット特定情報によるパケットの誤検知率を低くすると共に同一セッション内で攻撃端末から送信されたＩＰパケットの特定することを可能としたまま、ＩＰパケットの誤検知率を低く抑えることができる。
【００３１】
本発明に係る通信装置のプログラムによれば、中継装置により中継されるパケットを取得し、パケットごとに異なる情報から第１パケット特定情報を作成し、セッションごとに共通した情報から第２パケット特定情報を作成する。これにより、この通信装置のプログラムによれば、パケットの誤検知率を低くすると共に同一セッション内で攻撃端末から送信されたＩＰパケットの特定することを可能としたまま、ＩＰパケットの誤検知率を低く抑えることができる。
【００３２】
本発明に係る追跡管理装置のプログラムによれば、パケットごとに異なる情報から第１パケット特定情報を作成し、端末間で設定されたセッションごとに共通した情報から第２パケット特定情報を作成してパケット特定情報を作成する。そして、追跡管理装置のプログラムによれば、記録装置にパケット特定情報を送信し、攻撃パケットの通過の有無を記録装置から受信することができる。これにより、追跡管理装置のプログラムによれば、第１パケット特定情報及び第２パケット特定情報によるパケットの誤検知率を低くすると共に同一セッション内で攻撃端末から送信されたＩＰパケットの特定することを可能としたまま、ＩＰパケットの誤検知率を低く抑えることができる。
【図面の簡単な説明】
【００３３】
【図１】本発明の一実施形態として示すトレースバックシステムの構成の一例を示すシステム図である。
【図２】本発明の一実施形態として示すトレースバックシステムにおける動作の一例を示すシーケンス図である。
【図３】本発明の一実施形態として示すトレースバックシステムにおけるパケットハッシュ記録装置、トレースバックマネージャ装置のパケット特定情報の作成処理の一例について説明する図である。
【図４】本発明の一実施形態として示すトレースバックシステムにおけるパケット特定情報の作成処理で用いるパケット個別フィールド値、セッション内同一フィールド値の一例を示す図である。
【図５】本発明の一実施形態として示すトレースバックシステムにおけるパケット特定情報の作成処理と、比較例との効果を示す図であり、（ａ）は比較例（１）、（ｂ）は本願、（ｃ）は比較例（２）である。
【図６】本発明の一実施形態として示すトレースバックシステムにおける動作の一例を説明するブロック図である。
【図７】本発明の一実施形態として示すトレースバックシステムにおいて送受信されるメッセージの構造の一例であり、（ａ）は追跡要求メッセージ、（ｂ）は通過確認要求メッセージ、（ｃ）は通過確認応答メッセージである。
【図８】本発明の一実施形態として示すトレースバックシステムにおいてトレースバックマネージャ装置が通過確認要求メッセージを作成することの説明図である。
【図９】本発明の一実施形態として示すトレースバックシステムにおけるパケットハッシュ記録装置が通信状況に応じてハッシュ算出数、フローハッシュ算出数を最適化する手順の一例を示すフローチャートである。
【図１０】本発明の一実施形態として示すトレースバックシステムにおけるパケットハッシュ記録装置のブロック図の一例である。
【図１１】本発明の一実施形態として示すトレースバックシステムにおけるパケットハッシュ記録装置が保持するデータの構造の一例であり、（ａ）はパケットハッシュ算出パラメータであり、（ｂ）はパケットハッシュテーブルであり、（ｃ）はトラフィック統計データである。
【図１２】本発明の一実施形態として示すトレースバックシステムにおけるパケットハッシュ記録装置によってハッシュビットテーブルを作成する処理の一例を説明する図である。
【図１３】本発明の一実施形態として示すトレースバックシステムにおけるパケットハッシュ記録装置が保持するデータの構造の一例であり、（ａ）はタイマーパラメータ、（ｂ）は統計用一次データである。
【図１４】本発明の一実施形態として示すトレースバックシステムにおけるタイマー部により制御される各部の動作シーケンスを示す図である。
【図１５】本発明の一実施形態として示すトレースバックシステムにおけるパケットハッシュ記録装置がＩＰパケットを受信したときの処理手順の一例を示すフローチャートである。
【図１６】本発明の一実施形態として示すトレースバックシステムにおけるパケットハッシュ記録装置がトレースバックマネージャ装置から通過確認要求メッセージを受信したときの処理手順の一例を示すフローチャートである。
【図１７】本発明の一実施形態として示すトレースバックシステムにおけるパケットハッシュ記録装置によりハッシュビットテーブルを切り替えるときの処理手順の一例を示すフローチャートである。
【図１８】本発明の一実施形態として示すトレースバックシステムにおけるパケットハッシュ記録装置によりパケット数平均及び同一セッションパケットの通過割合を統計により得るときの処理手順の一例を示すフローチャートである。
【図１９】本発明の一実施形態として示すトレースバックシステムにおいてハッシュ算出数、フローハッシュ算出数を最適化するときの処理手順の一例を示すフローチャートである。
【図２０】本発明の一実施形態として示すトレースバックシステムにおけるトレースバックマネージャ装置の一構成例を示すブロック図である。
【図２１】本発明の一実施形態として示すトレースバックシステムにおけるトレースバックマネージャ装置が保持するデータの構造の一例であり、（ａ）はパケットハッシュ上限パラメータ、（ｂ）は問合せメッセージ管理情報であり、（ｃ）は装置隣接関係情報である。
【図２２】本発明の一実施形態として示すトレースバックシステムにおけるトレースバックマネージャ装置が追跡要求メッセージを受信したときの処理手順の一例を示すフローチャートである。
【図２３】本発明の一実施形態として示すトレースバックシステムにおけるトレースバックマネージャ装置が通過確認応答メッセージを受信したときの処理手順の一例を示すフローチャートである。
【図２４】パケットハッシュを算出及び記録するときの従来例を示す図である。
【図２５】パケットハッシュを算出及び記録するときの他の従来例を示す図である。
【発明を実施するための形態】
【００３４】
以下、本発明の実施の形態について図面を参照して説明する。
【００３５】
［トレースバックシステムの構成］
本発明に係る発信源追跡システムの一実施形態は、図１に示すようなトレースバックシステムに適用される。このトレースバックシステムは、通信端末Ａ１，Ａ２，Ｖと、パケット中継装置Ｒ１〜Ｒ４（以下、総称する場合には単に「パケット中継装置Ｒ」とも呼ぶ。）と、パケットハッシュ記録装置Ｌ１〜Ｌ５（以下、総称する場合には単に「パケットハッシュ記録装置Ｌ」とも呼ぶ。）と、攻撃パケット特定装置Ｄと、トレースバックマネージャ装置Ｍとを含む。パケットハッシュ記録装置Ｌ１〜Ｌ５、攻撃パケット特定装置Ｄ及びトレースバックマネージャ装置Ｍは、トレースバックシステム専用網Ｎ１に接続されている。また、通信端末Ａ１，Ａ２，Ｖ及びパケット中継装置Ｒ１〜Ｒ４は、汎用パケット通信網Ｎ２に接続されている。
【００３６】
このようなトレースバックシステムは、攻撃端末から送信されて複数のパケット中継装置Ｒ１〜Ｒ４（中継装置）で経由されて被害端末となる通信端末Ｖで受信された攻撃パケット（以下、追跡対象パケットとも呼ぶ。）の発信源を追跡するものである。
【００３７】
パケットハッシュ記録装置Ｌ１〜Ｌ５（記録装置、パケット特定情報記録装置）は、通信端末Ａ１，Ａ２，Ｖとパケット中継装置Ｒ１〜Ｒ４とを接続する通信線に接続される。パケットハッシュ記録装置Ｌ１〜Ｌ５は、汎用パケット通信網Ｎ２においてパケット中継装置Ｒ１〜Ｒ４により中継されているＩＰパケットを傍受する。パケットハッシュ記録装置Ｌ１〜Ｌ５は、当該取得したＩＰパケットに含まれる情報に対して所定の処理を施すことにより、パケットを特定できる情報であるパケット特定情報を作成して、記録する。
【００３８】
パケットハッシュ記録装置Ｌ１〜Ｌ５は、攻撃パケットを特定するパケット特定情報に基づいて攻撃パケットの通過の有無を判定する。この判定結果は、パケットハッシュ記録装置Ｌ１〜Ｌ５からトレースバックマネージャ装置Ｍに供給される。
【００３９】
トレースバックマネージャ装置Ｍ（追跡管理装置）は、トレースバックシステム専用網Ｎ１を介してパケットハッシュ記録装置Ｌ１〜Ｌ５及び攻撃パケット特定装置Ｄと接続されている。トレースバックマネージャ装置Ｍは、攻撃パケット特定装置Ｄから攻撃パケットが供給される。トレースバックマネージャ装置Ｍは、攻撃パケットを用いて、当該攻撃パケットを特定するパケット特定情報を作成する。トレースバックマネージャ装置Ｍは、作成した攻撃パケットのパケット特定情報をパケットハッシュ記録装置Ｌに供給する。トレースバックマネージャ装置Ｍは、パケットハッシュ記録装置Ｌから供給された攻撃パケットの通過の有無に基づいて、当該攻撃パケットを中継した複数のパケット中継装置Ｒ１〜Ｒ４を特定する。トレースバックマネージャ装置Ｍは、攻撃パケットを中継したパケット中継装置Ｒ１〜Ｒ４に接続されたパケットハッシュ記録装置Ｌの情報を攻撃パケット特定装置Ｄに供給する。
【００４０】
［トレースバックシステムの動作］
このように構成されたトレースバックシステムは、図２に示すようなシーケンス図で示される動作を行う。
【００４１】
トレースバックシステムにおいて、例えば通信端末Ａ２が攻撃端末となり、通信端末Ｖが被害端末となるとする。先ず、通信端末Ａ２から攻撃パケットＰ１ａが送信されると、当該攻撃パケットＰ１ａは、パケット中継装置Ｒ４によって攻撃パケットＰ１ｂとして中継され、パケット中継装置Ｒ１によって攻撃パケットＰ１ｃとして中継され、パケット中継装置Ｒ２によってＰ１ｄとして中継されて、通信端末Ｖに送信される。これにより、通信端末Ｖは、攻撃パケットＰ１ｄを受信することにより、サービス妨害などの被害を受ける。
【００４２】
このように攻撃パケットが汎用パケット通信網Ｎ２にて中継された場合、通信端末Ａ２からパケット中継装置Ｒ４に送信された攻撃パケットＰ１ａは、攻撃パケットＰ１ａ’としてパケットハッシュ記録装置Ｌ１に受信される。同様に、攻撃パケットＰ１ｂは、攻撃パケットＰ１ｂ’としてパケットハッシュ記録装置Ｌ３に受信される。攻撃パケットＰ１ｃは、攻撃パケットＰ１ｃ’としてパケットハッシュ記録装置Ｌ５に受信される。これにより、パケットハッシュ記録装置Ｌ１、Ｌ３、Ｌ５は、受信した攻撃パケットＰ１ａ’、Ｐ１ｂ’、Ｐ１ｃ’を用いて、パケット特定情報をそれぞれ作成して、記憶する。
【００４３】
また、通信端末Ｖにより受信された攻撃パケットＰ１ｄは、攻撃パケット特定装置Ｄにより受信される。攻撃パケット特定装置Ｄは、攻撃パケットＰ１ｄに基づいて、当該攻撃パケットＰ１ｄが通信端末Ｖに対して被害を与える攻撃パケットであることを判定する。すると、攻撃パケット特定装置Ｄは、トレースバックマネージャ装置Ｍに対して当該攻撃パケットＰ１ｄの発信源を追跡する追跡要求メッセージＭ１を作成して、トレースバックマネージャ装置Ｍに供給する。この追跡要求メッセージＭ１には、攻撃パケットが含まれる。
【００４４】
次に、トレースバックマネージャ装置Ｍは、攻撃パケット特定装置Ｄから追跡要求メッセージＭ１が供給されたことに応じて、トレースバックシステム専用網Ｎ１を介して接続されたパケットハッシュ記録装置Ｌ１〜Ｌ５に対して通過確認要求メッセージを供給する。このとき、トレースバックマネージャ装置Ｍは、攻撃パケットのパケット特定情報を作成する。この通過確認要求メッセージには、攻撃パケットのパケット特定情報が含まれる。この通過確認要求メッセージは、トレースバックマネージャ装置Ｍに接続されたパケットハッシュ記録装置Ｌに供給される。
【００４５】
図２においては、トレースバックマネージャ装置Ｍが、パケットハッシュ記録装置Ｌ５に通過確認要求メッセージＭ２を供給する。これに応じ、パケットハッシュ記録装置Ｌ５は、攻撃パケットのコピーのＰ１ｃ’を受信しているので、攻撃パケットの通過が「有り」の通過確認応答メッセージＭ３を返信する。次にトレースバックマネージャ装置Ｍが、パケットハッシュ記録装置Ｌ５に隣接したパケットハッシュ記録装置Ｌ３、Ｌ４に通過確認要求メッセージＭ４、Ｍ５を供給する。これに応じ、パケットハッシュ記録装置Ｌ３は、攻撃パケットのコピーのＰ１ｂ’を受信しているので、攻撃パケットの通過が「有り」の通過確認応答メッセージＭ６を返信する。一方、パケットハッシュ記録装置Ｌ４は、攻撃パケットのコピーを受信していないので、攻撃パケットの通過が「無し」の通過確認応答メッセージＭ７を返信する。次にトレースバックマネージャ装置Ｍが、パケットハッシュ記録装置Ｌ３に隣接したパケットハッシュ記録装置Ｌ１に通過確認要求メッセージＭ８を供給する。これに応じ、パケットハッシュ記録装置Ｌ１は、攻撃パケットのコピーのＰ１ａ’を受信しているので、攻撃パケットの通過が「有り」の通過確認応答メッセージＭ９を返信する。
【００４６】
このようなトレースバックシステムにおいて、パケットハッシュ記録装置Ｌ１〜Ｌ５は、通過確認要求メッセージを受信すると、自身が攻撃パケットのパケット特定情報を記録しているかを判定する。このとき、パケットハッシュ記録装置Ｌ１〜Ｌ５は、通過確認要求メッセージに含まれている攻撃パケットのパケット特定情報と、記録しておいたパケット特定情報とを比較する。これによりパケットハッシュ記録装置Ｌ１〜Ｌ５は、攻撃パケットの通過の有無を示す通過確認応答メッセージをトレースバックマネージャ装置Ｍに返信できる。
【００４７】
図２においては、パケットハッシュ記録装置Ｌ１、Ｌ３、Ｌ４、Ｌ５が通過確認要求メッセージＭ２、Ｍ４、Ｍ５、Ｍ８を受信している。そして、パケットハッシュ記録装置Ｌ１、Ｌ３、Ｌ５は、それぞれ、攻撃パケットＰ１ａ’、Ｐ１ｂ’、Ｐ１ｃ’のパケット特定情報を記録している。したがって、パケットハッシュ記録装置Ｌ１、Ｌ３、Ｌ５は、攻撃パケットの通過が「有り」の通過確認応答メッセージＭ９、Ｍ６、Ｍ３をトレースバックマネージャ装置Ｍに返信する。一方、パケットハッシュ記録装置Ｌ４は、攻撃パケットのパケット特定情報を記録していない。したがって、パケットハッシュ記録装置Ｌ４は、攻撃パケットの通過が「無し」の通過確認応答メッセージＭ７をトレースバックマネージャ装置Ｍに返信する。
【００４８】
これにより、トレースバックマネージャ装置Ｍは、通過確認応答メッセージを用いて、汎用パケット通信網Ｎ２における攻撃パケットが通過した経路を取得でき、当該経路から、通信端末Ｖから通信端末Ａ２までの経路を特定できる。
【００４９】
［パケット特定情報の作成処理］
上述したトレースバックシステムにおいて、パケットハッシュ記録装置Ｌは、受信したＩＰパケットのパケット特定情報を作成して記録する。また、トレースバックマネージャ装置Ｍは、攻撃パケットのパケット特定情報を作成してパケットハッシュ記録装置Ｌに供給する。以下に、パケットハッシュ記録装置Ｌ及びトレースバックマネージャ装置Ｍによるパケット特定情報の作成処理について説明する。
【００５０】
図３に示すように、このパケット特定情報の作成処理は、先ず、ＩＰパケットＰ１から特定のフィールド値Ｄ１，Ｄ２を抽出する。フィールド値Ｄ１は、ＩＰパケットごとに異なるフィールド値である（以下、パケット個別フィールド値Ｄ１と呼ぶ。）。フィールド値Ｄ２は、端末間で確立されるセッション内で不変のフィールド値である（セッション内同一フィールド値Ｄ２と呼ぶ。）。ここで、パケット個別フィールド値Ｄ１は、必ずしもＩＰパケットごとに異なるフィールド値のみではなく、一部に含まれていればよい。一方、セッション内同一フィールド値Ｄ２は、セッション内で不変のフィールド値のみで構成されている必要がある。
【００５１】
図４に示すように、パケット個別フィールド値Ｄ１は、例えば、“IP identification”フィールドの値と“64 bits of Payload”フィールドの値とからなる。セッション内同一フィールド値Ｄ２は、例えば、“Ver”フィールドの値と“IHL”フィールドの値と“Protocol”フィールドの値と“Source Address”フィールドの値と“Destination Address”フィールドの値とからなる。なお、“IP identification”フィールドは、識別子フィールドであり、各々ＩＰパケットを識別するために送信側が割り当てた値が格納される。“64 bits of Payload”フィールドは、ＩＰパケットのデータ本体が格納される。“Ver”フィールドは、バージョン番号が格納される。“IHL”フィールドは、ＩＰパケットにおけるヘッダの長さが格納される。“Protocol”フィールドは、プロトコルを識別する情報が格納される。“Source Address”フィールドは、ＩＰパケットの送信元端末のＩＰアドレスが格納される。“Destination Address”フィールドは、ＩＰパケットの宛先端末のＩＰアドレスが格納される。
【００５２】
次に、パケット特定情報の作成処理は、パケット個別フィールド値Ｄ１とセッション内同一フィールド値Ｄ２とを用いて、パケットハッシュ値を算出する。このパケットハッシュ値は、パケット個別フィールド値Ｄ１及びセッション内同一フィールド値Ｄ２に対して複数のハッシュ関数を用いた処理を行って作成される。
【００５３】
図３に示す例は、ハッシュ関数Ｈ１を用いてパケット個別フィールド値Ｄ１からパケットハッシュ値Ｈ１（Ｄ１）（第１パケット特定情報）を得ている（第１変換処理）。ハッシュ関数Ｈ２を用いてセッション内同一フィールド値Ｄ２からパケットハッシュ値Ｈ２（Ｄ２）（第２パケット特定情報）を得ている（第２変換処理）。ハッシュ関数Ｈ３を用いてセッション内同一フィールド値Ｄ２からパケットハッシュ値Ｈ３（Ｄ２）（第２パケット特定情報）を得ている（第２変換処理）。そして、パケットハッシュ値は、ハッシュビットテーブルに記憶される。なお、パケット個別フィールド値Ｄ１から生成したパケットハッシュ値は、第１パケット特定情報に相当し、セッション内同一フィールド値Ｄ２から生成したパケットハッシュ値は、第２パケット特定情報に相当し、第１パケット特定情報と第２パケット特定情報とを含むパケット特定情報を作成する（作成処理）。
【００５４】
ここで、パケットハッシュ記録装置Ｌは、予め設定された任意の数のパケットハッシュ値を算出する。この任意の数のパケットハッシュ値は、攻撃パケットを誤検知する誤検知率が最低（最良）となる数である。また、攻撃パケットを誤検知する誤検知率が最低となるパケットハッシュ値の数は、所定期間内に取得した複数のＩＰパケットに基づいて当該所定期間内における通信状況の統計値に基づいて決定しても良い。なお、これら任意の数の決定方法については、後述する。また、トレースバックマネージャ装置Ｍは、パケットハッシュ記録装置Ｌが作成するであろう最大数のパケットハッシュ値を算出する。
【００５５】
このようなパケット特定情報の作成処理において、パケット特定情報が攻撃パケットとは異なるＩＰパケットであると認識される誤検知率はＦＰＲ、下記の式１のようになる。また、同じセッションのＩＰパケットが通過している場合において、当該セッション内の攻撃パケットとは異なるＩＰパケットであると認識される誤検知率ＦＰＲｓは、下記の式２のようになる。
【数１】
【００５６】
この式１において、Ｍはハッシュビットテーブルのサイズ［ｂｉｔ］である。Ｐは記録されたＩＰパケット数である。ｋは１つのＩＰパケットから生成するハッシュ値の数である。ｗは同一のハッシュビットテーブル内に同じセッションのＩＰパケットが記録されている割合である。ｃは１つのＩＰパケットから生成されるｋ個のハッシュ値のうち同じセッション内（フロー）で同一のフィールド値Ｄ２から算出されるハッシュ値の数である。以下の説明において、ｋをハッシュ算出数ｋと呼び、ｃをフローハッシュ算出数ｃ、Ｐを所定時間におけるパケット数であるパケット数平均Ｐと呼び、ｗを同一セッションパケットの通過割合ｗと呼ぶ。これらパケット数平均Ｐ、同一セッションパケットの通過割合ｗは、当該各パケットハッシュ記録装置Ｌが接続された汎用パケット通信網Ｎ２のトラフィック測定情報に相当する。
【００５７】
ハッシュビットテーブルのサイズＭはパケットハッシュ記録装置Ｌ、トレースバックマネージャ装置Ｍのメモリサイズによって制限される。また、後述するが、ネットワーク環境（観測箇所、時間帯）によりパケット数平均Ｐ及び同一セッションパケットの通過割合ｗは変化する。このような式１及び式２の誤検知率は、ハッシュビットテーブルのサイズＭ、パケット数平均Ｐ及び同一セッションパケットの通過割合ｗが与えられ、フローハッシュ算出数ｃ及びハッシュ算出数ｋを調整することによって変化する。したがって、後述するように、パケットハッシュ記録装置Ｌは、フローハッシュ算出数ｃ及びハッシュ算出数ｋを調整することによって最適なを求めることができ、誤検知率ＦＰＲ、ＦＰＲｓを算出することができる。
【００５８】
このようなパケット特定情報の作成処理の効果を図５に示す。本願のパケット特定情報の作成処理によれば、ＩＰパケットのパケット個別フィールド値Ｄ１及びセッション内同一フィールド値Ｄ２とを用いて、パケットハッシュ値ｈ１（Ｄ１）、ｈ２（Ｄ２）、ｈ３（Ｄ２）を作成する。比較例（１）はパケット個別フィールド値Ｄ１からのみパケットハッシュ値ｈ１（Ｄ１）、ｈ２（Ｄ１）、ｈ３（Ｄ１）を作成する。比較例（３）はセッション内同一フィールド値Ｄ２からのみｈ１（Ｄ２）、ｈ２（Ｄ２）、ｈ３（Ｄ２）を作成する。
【００５９】
本願のパケット特定情報の作成処理によれば、フローハッシュ算出数ｃを、
１≦ｃ≦ｋ−１
で示される範囲に調整する。比較例（１）はフローハッシュ算出数ｃが０である。比較例（２）はフローハッシュ算出数ｃがハッシュ算出数ｋと同数である。
【００６０】
これらパケット特定情報の作成処理の誤検知率ＦＰＲを比較すると、本願のパケット特定情報の作成処理の誤検知率ＦＰＲは、比較例（１）の誤検知率ＦＰＲよりも低くなる。しかし、本願のパケット特定情報の作成処理の誤検知率ＦＰＲｓは、比較例（２）の誤検知率ＦＰＲｓよりも高くなる。本願のパケット特定情報の作成処理の誤検知率ＦＰＲｓは、比較例（２）の誤検知率ＦＰＲｓ＝１よりも低くなる。しかし、本願のパケット特定情報の作成処理の誤検知率ＦＰＲｓは比較例（１）の誤検知率ＦＰＲｓよりも高くなる。
【００６１】
以上のように、本願のパケット特定情報の作成処理によれば、パケット個別フィールド値Ｄ１を用いたパケットハッシュ値とセッション内同一フィールド値Ｄ２を用いたパケットハッシュ値とを用いる。これによって、本願のパケット特定情報の作成処理によれば、比較例（１）と比較例（２）と比べて、誤検知率ＦＰＲ、誤検知率ＦＰＲｓを共にある程度低くすることができる。
【００６２】
また、本願のパケット特定情報の作成処理によれば、誤検知率ＦＰＲｓが任意の基準値以上にならない範囲でという条件でフローハッシュ算出数ｃがハッシュ算出数ｋの値を調整することによって、誤検知率ＦＰＲ、ＦＰＲｓを最適化できる。このフローハッシュ算出数ｃ、ハッシュ算出数ｋの値の調整は、パケット数平均Ｐ、同一セッションパケットの通過割合ｗに基づいて、パケットハッシュ記録装置Ｌごとに行なわれる。
【００６３】
［パケット特定情報の作成処理を行うトレースバックシステムの動作］
上述したトレースバックシステムにおいては、図６に示すように、追跡対象パケットが攻撃パケット特定装置Ｄからトレースバックマネージャ装置Ｍに供給される。トレースバックマネージャ装置Ｍは、当該追跡対象パケットの発信源を追跡する追跡要求メッセージに、図７（ａ）に示す追跡対象パケットのＩＰヘッダ、追跡対象パケットのＩＰペイロードを含める。
【００６４】
トレースバックマネージャ装置Ｍは、図８に示すように、先ず、追跡対象パケットのＩＰヘッダ及びＩＰペイロードから、パケット個別フィールド値Ｄ１及びセッション内同一フィールド値Ｄ２を抽出する。次にトレースバックマネージャ装置Ｍは、抽出したパケット個別フィールド値Ｄ１及びセッション内同一フィールド値Ｄ２から、所定の上限値のパケットハッシュ値ｈ１（Ｄ１）・・・ｈｘ（Ｄ１）及びパケットハッシュ値ｈ１（Ｄ２）・・・ｈｘ（Ｄ２）を算出する。この所定の上限値は、パケットハッシュ記録装置Ｌが作成しうる最大数のハッシュ算出数ｋである。トレースバックマネージャ装置Ｍは、作成したパケット特定情報であるパケットハッシュ値を含む追跡要求メッセージを作成する。この追跡要求メッセージは、図７（ｂ）に示すように、メッセージＩＤと複数のパケットハッシュＨ１（Ｄ１）〜Ｈ４（Ｄ１）、パケットハッシュＨ１（Ｄ２）〜Ｈ４（Ｄ２）が含まれている。なお、この通過確認要求メッセージは、ハッシュ算出数上限値Ｋが１０であり、ハッシュビット幅上限値Ｂが３２ビットであるときの一例を示している。トレースバックマネージャ装置Ｍは、図６に示すように、通過確認要求メッセージを、パケットハッシュ記録装置Ｌａ、Ｌｂに送信する。
【００６５】
パケットハッシュ記録装置Ｌａ、Ｌｂは、トレースバックマネージャ装置Ｍから通過確認要求メッセージを受信する。パケットハッシュ記録装置Ｌａは、当該パケットハッシュ記録装置Ｌａが接続された汎用パケット通信網Ｎ２の通信状況であるパケット数平均Ｐ及び同一セッションパケットの通過割合ｗに基づいて、ハッシュ算出数ｋが５、フローハッシュ算出数ｃが３に設定されている。パケットハッシュ記録装置Ｌｂは、当該パケットハッシュ記録装置Ｌｂが接続された汎用パケット通信網Ｎ２の通信状況であるパケット数平均Ｐ及び同一セッションパケットの通過割合ｗに基づいて、ハッシュ算出数ｋが７、フローハッシュ算出数ｃが５に設定されている。
【００６６】
パケットハッシュ記録装置Ｌは、汎用パケット通信網Ｎ２からＩＰパケットを取得した時に、設定されたハッシュ算出数ｋ及びフローハッシュ算出数ｃのパケット特定情報を作成して、記録する。上記の例においては、パケットハッシュ記録装置Ｌａは、パケット個別フィールド値Ｄ１から生成した２個のパケットハッシュＨ１（Ｄ１）〜Ｈ２（Ｄ１）と、セッション内同一フィールド値Ｄ２から生成した３個のパケットハッシュＨ１（Ｄ２）〜Ｈ３（Ｄ２）とを作成して、記録する。パケットハッシュ記録装置Ｌｂは、パケット個別フィールド値Ｄ１から生成した２個のパケットハッシュＨ１（Ｄ１）〜Ｈ２（Ｄ１）と、セッション内同一フィールド値Ｄ２から生成した５個のパケットハッシュＨ１（Ｄ２）〜Ｈ５（Ｄ２）とを作成して、記録する。
【００６７】
パケットハッシュ記録装置Ｌａは、図７（ｂ）に示した通過確認要求メッセージが供給されると、当該通過確認要求メッセージのうちハッシュ算出数ｋ、フローハッシュ算出数ｃで示されたパケットハッシュＨと、自己が記録しているパケットハッシュＨとを比較する。そして、同一のパケットハッシュＨを記録している場合には、その旨の通過確認応答メッセージを作成して、トレースバックマネージャ装置Ｍに送信する。この通過確認応答メッセージは、図７（ｃ）に示すように、メッセージＩＤと、追跡対象パケットの通過有り（１）又は通過無し（０）とを含む。
【００６８】
トレースバックマネージャ装置Ｍは、通過確認応答メッセージから、追跡対象パケットがどのパケット中継装置Ｒ１〜Ｒ４によって中継されたかを判定して、追跡対象パケットの発信源を求めることができる。
【００６９】
また、このパケットハッシュ記録装置Ｌは、図９に示すように、フローハッシュ算出数ｃ、ハッシュ算出数ｋを設定しておく。このために、パケットハッシュ記録装置Ｌは、フローハッシュ算出数ｃ、ハッシュ算出数ｋを更新する所定時間となると（ステップＳ１）、ステップＳ２以降の処理を行う。
【００７０】
パケットハッシュ記録装置Ｌは、ステップＳ２にて、汎用パケット通信網Ｎ２から傍受したＩＰパケットを用いてパケット数平均Ｐ、同一セッションパケットの通過割合ｗを測定する。このとき、パケットハッシュ記録装置Ｌは、例えば曜日と時間帯毎に過去のパケット数平均Ｐ、同一セッションパケットの通過割合ｗを記録しておく。また、パケット数平均Ｐ、同一セッションパケットの通過割合ｗが、過去の値と比較して異常がある場合には、過去のパケット数平均Ｐと同一セッションパケットの通過割合ｗを使用することとなる。
【００７１】
次にパケットハッシュ記録装置Ｌは、ステップＳ３にて、測定したパケット数平均Ｐ、同一セッションパケットの通過割合ｗを用いて、フローハッシュ算出数ｃ、ハッシュ算出数ｋの最適値を算出する。ここで、パケットハッシュ記録装置Ｌは、予めハッシュ算出数ｋの上限を設定しておく。
【００７２】
次にパケットハッシュ記録装置Ｌは、ステップＳ４にて、最適化されたフローハッシュ算出数ｃ、ハッシュ算出数ｋを設定に反映させる。このとき、パケットハッシュ記録装置Ｌｈは、ハッシュ算出数ｋの上限値が決まっているのでハッシュ算出数ｋを総当りして、最適値を求める。例えば、山登り法を行って高速化しても良い。
【００７３】
［パケットハッシュ記録装置Ｌの構成］
つぎに、上述したトレースバックシステムにおけるパケットハッシュ記録装置Ｌについて説明する。
【００７４】
パケットハッシュ記録装置Ｌは、図１０に示すような機能的な構成を備えている。なお、図１０では、機能的な構成を示しているが、通信装置に、図１０に示す各部を実現するためのプログラムを格納して、当該通信装置のコンピュータが当該プログラムを実行することで実現されたものであっても良い。
【００７５】
パケットハッシュ記録装置Ｌは、監視用通信インターフェース部（パケット取得手段）１、管理用通信インターフェース部２、パケットハッシュ算出部（第２パケット特定情報作成手段）３、パケットハッシュ算出パラメータ記憶部４、パケットハッシュテーブル記憶部（記録手段）５、トラフィック測定部（設定手段）６、統計用一次データ記憶部７、トラフィック統計データ記憶部８、パラメータ最適化部（設定手段）９、タイマー部１０、タイマーパラメータ記憶部１１、テーブル切り替え部１２及び問合せ処理部（返信手段）１３を備える。
【００７６】
監視用通信インターフェース部１は、汎用パケット通信網Ｎ２と接続されている。監視用通信インターフェース部１は、汎用パケット通信網Ｎ２を介して、通信端末Ａ１，Ａ２，Ｖとパケット中継装置Ｒ１〜Ｒ４又はパケット中継装置Ｒ１〜Ｒ４間で送信されたＩＰパケットを傍受する。
【００７７】
管理用通信インターフェース部２は、トレースバックシステム専用網Ｎ１を介してトレースバックマネージャ装置Ｍと接続されている。管理用通信インターフェース部２は、トレースバックマネージャ装置Ｍから通過確認要求メッセージが供給される。また、管理用通信インターフェース部２は、トレースバックマネージャ装置Ｍに対して通過確認応答メッセージを送信する。
【００７８】
問合せ処理部１３は、管理用通信インターフェース部２によりトレースバックマネージャ装置Ｍから通過確認応答メッセージを受信したことに応じて、通過確認応答メッセージを作成する。そして、問合せ処理部１３は、通過確認応答メッセージを管理用通信インターフェース部２からトレースバックマネージャ装置Ｍに送信させる。この通過確認応答メッセージは、メッセージＩＤと、追跡対象パケットの通過有り（１）又は通過無し（０）とを含む。
【００７９】
パケットハッシュ算出部３は、監視用通信インターフェース部１により傍受されたＩＰパケットを用いて、パケットハッシュＨを算出する。このとき、パケットハッシュ算出部３は、パケットハッシュ算出パラメータ記憶部４に記憶されたパラメータに従ってパケットハッシュＨを算出する。パケットハッシュ算出部３は、算出されたパケットハッシュＨを、パケットハッシュテーブル記憶部５に記憶させる。
【００８０】
パケットハッシュテーブル記憶部５には、例えば図１１（ｂ）に示すようなパケットハッシュテーブルが記憶される。このハッシュビットテーブルは、パケットハッシュＨの記録開始時刻ごとに、ハッシュ算出数ｋ、フローハッシュ算出数ｃと対応付けられて記憶されている。
【００８１】
このハッシュビットテーブルは、パケットハッシュ算出部３によって、図１２に示すように作成される。すなわち、先ず、パケットハッシュ算出部３は、ＩＰパケット（Ｐ１）からパケット個別フィールド値Ｄ１及びセッション内同一フィールド値Ｄ２を抽出する。次に、パケットハッシュ算出部３は、パケット個別フィールド値Ｄ１及びセッション内同一フィールド値Ｄ２からハッシュ関数を用いてパケットハッシュ値ｈ１（Ｄ１）、ｈ２（Ｄ２）、ｈ３（Ｄ２）を生成する。次に、パケットハッシュ算出部３は、所定の規則に従ってパケットハッシュ値を並べることによってハッシュビットテーブルを作成する。なお、パケットハッシュ値を並べる所定の規則は、全てのパケットハッシュ記録装置Ｌとトレースバックマネージャ装置Ｍとで同一である。
【００８２】
パケットハッシュ算出パラメータ記憶部４には、図１１（ａ）に示すパケットハッシュ算出パラメータが記憶されている。このパケットハッシュ算出パラメータとしては、ハッシュビット幅ｂ、ハッシュ算出数上限値Ｋ、誤検知率ＦＰＲｓの上限値Ｓ、ハッシュ算出数ｋ、フローハッシュ算出数ｃが含まれる。ハッシュビット幅ｂは、図７（ｂ）に示したようにハッシュ関数により生成される１個のパケットハッシュＨの長さである。誤検知率ＦＰＲｓの上限値Ｓは、式２で示したセッション内同一フィールド値Ｄ２から生成したパケットハッシュＨの誤検知率ＦＰＲｓの上限値である。なお、パケットハッシュ算出パラメータの値は、一例である。このパケットハッシュ算出パラメータを用いたパケットハッシュ算出部３によるパケットハッシュＨの生成処理については、後述する。
【００８３】
トラフィック測定部６は、統計用一次データ及びトラフィック統計データを作成する。統計用一次データには、図１３（ｂ）に示すように、パケットカウントＰ’、最適化用統計開始フラグＦ、統計開始時刻Ｔ４、統計用ハッシュビットテーブルＨＴ、記録パケット数カウントＣ１及び重複パケット数カウントＣ２が含まれる。これらの統計用一次データは、統計用一次データ記憶部７に記憶される。トラフィック統計データは、図１１（ｃ）に示すように、ＩＰパケットを受信した曜日、時間帯、パケット数平均Ｐの値、同一セッションパケットの通過割合ｗの値が対応付けられている。このトラフィック統計データは、トラフィック統計データ記憶部８に記憶される。
【００８４】
パラメータ最適化部９は、予め設定されたハッシュビットテーブルのサイズＭ、トラフィック統計データ記憶部８に記憶されたパケット数平均Ｐ及び同一セッションパケットの通過割合ｗに基づいて、フローハッシュ算出数ｃ、ハッシュ算出数ｋを算出する。このとき、パラメータ最適化部９は、式２から誤検知率ＦＰＲｓの上限値Ｓを超えないようにフローハッシュ算出数ｃ、ハッシュ算出数ｋを調整する。パラメータ最適化部９は、算出したフローハッシュ算出数ｃ及びハッシュ算出数ｋを、パケットハッシュ算出パラメータ記憶部４に更新して記憶させる。
【００８５】
タイマー部１０は、トラフィック測定部６及びパラメータ最適化部９を制御して、フローハッシュ算出数ｃ、ハッシュ算出数ｋを所定時間毎に更新させる。また、タイマー部１０は、テーブル切り替え部１２を制御して、パケットハッシュテーブル記憶部５のパケットハッシュテーブルを更新させる。
【００８６】
このタイマー部１０は、タイマーパラメータ記憶部１１に記憶されたタイマーパラメータに従って動作する。このタイマーパラメータは、図１３（ａ）に示すように、テーブル切り替え時間Ｔ１、最適化用統計値取得間隔Ｔ２、最適化間隔Ｔ３を含む。テーブル切り替え時間Ｔ１は、図１１（ｂ）に示したパケットハッシュテーブルの切り替え間隔であり、例えば５秒である。最適化用統計値取得間隔Ｔ２は、フローハッシュ算出数ｃ、ハッシュ算出数ｋを最適化するためにＩＰパケットを傍受してパケット特定情報を蓄積する間隔である。最適化間隔Ｔ３は、フローハッシュ算出数ｃ、ハッシュ算出数ｋを最適化する間隔である。
【００８７】
テーブル切り替え部１２は、タイマー部１０の制御に従って、パケットハッシュテーブルを更新させる。このとき、テーブル切り替え部１２は、図１１（ｂ）に示すパケットハッシュテーブルを作成するために、タイマー部１０によって制御されたパケットハッシュテーブルの記録開始時刻、パケットハッシュ算出パラメータ記憶部４に記憶されたフローハッシュ算出数ｃ、ハッシュ算出数ｋを取得する。これにより、パケットハッシュテーブル記憶部５は、テーブル切り替え部１２により取得された記録開始時刻、フローハッシュ算出数ｃ、ハッシュ算出数ｋ、パケットハッシュ算出部３により算出されたパケット特定情報を含む、図１１（ｂ）に示すパケットハッシュテーブルを作成できる。
【００８８】
このハッシュビットテーブルを作成するためのハッシュ算出数ｋ、フローハッシュ算出数ｃは、タイマー部１０の制御によって、図１４に示すシーケンスによって設定される。
【００８９】
タイマー部１０は、テーブル切り替え時間Ｔ１とごとに、テーブル切り替え部１２を起動させて、ハッシュビットテーブルを切り替えさせる。これにより、例えば５秒ごとに図１１（ｂ）におけるハッシュビットテーブルが追加される。
【００９０】
その後、時刻０８：５５：００に最適化用統計値取得間隔Ｔ２となると、タイマー部１０は、トラフィック測定部６に対して統計処理を開始させる。この統計処理は、図１３（ｂ）に示す各パラメータを取得する。また、この統計処理は、最適化用統計値取得間隔Ｔ２が満了する毎に、トラフィック測定部６によって、パケット数平均Ｐ及び同一セッションパケットの通過割合ｗを算出して、図１１（ｃ）に示すトラフィック統計データを作成する。この統計処理は、最適化用統計値取得間隔Ｔ２ごとに繰り返される。
【００９１】
時刻０９：００：００に最適化間隔Ｔ３となると、タイマー部１０は、パラメータ最適化部９に対して、フローハッシュ算出数ｃ、ハッシュ算出数ｋを最適化するよう制御する。これにより、パラメータ最適化部９は、統計処理によって作成されたトラフィック統計データのうち最新のパケット数平均Ｐ、同一セッションパケットの通過割合ｗ及び所定のハッシュビットテーブルのサイズＭを用いて、フローハッシュ算出数ｃ及びハッシュ算出数ｋを算出する。
【００９２】
［パケットハッシュ記録装置Ｌの動作］
つぎに、上述したように構成されたパケットハッシュ記録装置Ｌの動作について、図１５乃至図１９を参照して説明する。
【００９３】
「パケット受信時の動作」
パケットハッシュ記録装置Ｌは、監視用通信インターフェース部１によって、汎用パケット通信網Ｎ２からＩＰパケットを受信したときに（パケット取得手段）、図１５に示す処理を開始する。
【００９４】
パケットハッシュ記録装置Ｌは、先ず、ステップＳ１１において、パケットハッシュ算出部３が、受信したＩＰパケットからパケット個別フィールド値Ｄ１とセッション内同一フィールド値Ｄ２とを抽出する。
【００９５】
次のステップＳ１２において、パケットハッシュ算出部３は、パケット個別フィールド値Ｄ１からハッシュ算出数ｋからフローハッシュ算出数ｃだけ減算した数（ｋ−ｃ）のパケットハッシュ値ｈ（Ｄ１）を算出する。ハッシュ算出数ｋ、フローハッシュ算出数ｃは、パケットハッシュ算出パラメータ記憶部４に格納されている最新の値を使用する。
【００９６】
次のステップＳ１３において、パケットハッシュ算出部３は、セッション内同一フィールド値Ｄ２からフローハッシュ算出数ｃのパケットハッシュ値ｈ（Ｄ２）を算出する（第２パケット特定情報作成手段）。フローハッシュ算出数ｃは、パケットハッシュ算出パラメータ記憶部４に格納されている最新の値を使用する。
【００９７】
次のステップＳ１４において、パケットハッシュ算出部３は、ステップＳ１２及びステップＳ１３にて算出したハッシュ算出数ｋのパケットハッシュ値ｈ（Ｄ１）、ｈ（ｄ２）を、最新のパケットハッシュテーブルとしてパケットハッシュテーブル記憶部５に記録する（記録手段）。このとき、パケットハッシュ算出部３は、パケットハッシュテーブルに、記録開始時刻、ハッシュ算出数ｋ、フローハッシュ算出数ｃを対応付けて、パケットハッシュテーブル記憶部５に記憶する。
【００９８】
次のステップＳ１５において、トラフィック測定部６は、最適化用統計開始フラグＦの値をチェックする。トラフィック測定部６は、監視用通信インターフェース部１からＩＰパケットが供給されたことに応じて、ステップＳ１５の処理を行う。
【００９９】
次のステップＳ１６において、トラフィック測定部６は、ステップＳ１５にてチェックした最適化用統計開始フラグＦが「１」であるか否かを判定する。最適化用統計開始フラグＦが「１」である場合にはステップＳ１７に処理を進め、そうでない場合には処理を終了する。
【０１００】
ステップＳ１７において、トラフィック測定部６は、統計用一次データのうちのパケットカウントＰ’に１を加算する。
【０１０１】
次のステップＳ１８において、タイマー部１０は、統計用一次データの統計開始時刻Ｔ４と現在時刻とを比較する。
【０１０２】
次のステップＳ１９において、タイマー部１０は、ステップＳ１８にて比較された統計開始時刻Ｔ４と現在時刻とから、統計開始時刻Ｔ４から現在時刻までの経過時間がテーブル切り替え時間Ｔ１以内か否かを判定する。統計開始時刻Ｔ４から現在時刻までの経過時間がテーブル切り替え時間Ｔ１以内である場合にはステップＳ２０に処理を進め、そうでない場合には処理を終了する。
【０１０３】
ステップＳ２０において、トラフィック測定部６は、統計用一次データにおける記録パケット数カウントＣ１を１だけ加算する。
【０１０４】
次のステップＳ２１において、トラフィック測定部６は、セッション内同一フィールド値Ｄ２から算出したフローハッシュ算出数ｃのハッシュ値が統計用一次データの統計用ハッシュビットテーブルＨＴに全て記録されているかチェックする。このとき、トラフィック測定部６は、ステップＳ２０にて更新した記録パケット数カウントＣ１と、統計用ハッシュビットテーブルＨＴに含まれるパケットハッシュ値ｈとの数とを比較する。
【０１０５】
次のステップＳ２２において、トラフィック測定部６は、ステップＳ２１にてチェックしたように全ての統計用ハッシュビットテーブルＨＴが記録されていると判定した場合にはステップＳ２４に処理を進め、そうでない場合にはステップＳ２３に処理を進める。
【０１０６】
ステップＳ２４において、トラフィック測定部６は、統計用一次データにおける重複パケット数カウントＣ２を１だけ加算して、処理を終了する。
【０１０７】
ステップＳ２３において、トラフィック測定部６は、セッション内同一フィールド値Ｄ２から算出したフローハッシュ算出数ｃのパケットハッシュ値ｈを統計用一次データにおける統計用ハッシュビットテーブルＨＴに記録して、処理を終了する。
【０１０８】
このように、パケットハッシュ記録装置Ｌは、汎用パケット通信網Ｎ２からＩＰパケットを受信すると、パケット個別フィールド値Ｄ１及びセッション内同一フィールド値Ｄ２から、フローハッシュ算出数ｃ及びハッシュ算出数ｋのパケットハッシュ値ｈを生成する。また、パケットハッシュ記録装置Ｌは、最適化用統計開始フラグＦが「１」となっている最適化用統計値取得間隔Ｔ２の期間であってテーブル切り替え時間Ｔ１以内では、ＩＰパケットを受信するたびにパケットカウントＰ’、記録パケット数カウントＣ１、重複パケット数カウントＣ２を加算する。これにより、パケットハッシュ記録装置Ｌは、後述するように、統計値としてパケットカウントＰ’、記録パケット数カウントＣ１及び重複パケット数カウントＣ２を利用することができる。
【０１０９】
「通過確認要求メッセージの受信時の動作」
つぎに、パケットハッシュ記録装置Ｌが、トレースバックマネージャ装置Ｍから通過確認要求メッセージを受信したときの動作について、図１６を参照して説明する。
【０１１０】
パケットハッシュ記録装置Ｌは、トレースバックマネージャ装置Ｍから通過確認要求メッセージが送信されると、トレースバックシステム専用網Ｎ１を介して管理用通信インターフェース部２が通過確認要求メッセージを受信する。管理用通信インターフェース部２は、通過確認要求メッセージを問合せ処理部１３に供給する。これにより、パケットハッシュ記録装置Ｌは、ステップＳ３１以降の処理を開始する。
【０１１１】
ステップＳ３１において、問合せ処理部１３は、受信した通過確認要求メッセージのうちパケット個別フィールド値Ｄ１から算出されたハッシュ算出数ｋからフローハッシュ算出数ｃを減算した数（ｋ−ｃ）のパケットハッシュ値ｈ（Ｄ１）を抽出する。
【０１１２】
次のステップＳ３２において、問合せ処理部１３は、受信した通過確認要求メッセージのうちセッション内同一フィールド値Ｄ２から算出されたフローハッシュ算出数ｃのパケットハッシュ値ｈ（Ｄ２）を抽出する。
【０１１３】
次のステップＳ３３において、問合せ処理部１３は、ステップＳ３１及びステップＳ３２にて抽出された合計でハッシュ算出数ｋのパケットハッシュ値ｈ（Ｄ１）、ｈ（Ｄ２）が全て記録されているハッシュビットテーブルが存在するか否かをチェックする。このとき、問合せ処理部１３は、パケットハッシュ算出部３がＩＰパケットの受信時にパケットハッシュテーブル記憶部５に記録しておいたパケットハッシュテーブルと、ステップＳ３１及びステップＳ３２にて抽出したパケットハッシュ値ｈとを比較する。このパケットハッシュテーブル記憶部５に記録されたパケットハッシュテーブルは、図１５におけるステップＳ１４にて記録したものである。
【０１１４】
次のステップＳ３４において、問合せ処理部１３は、ステップＳ３３にてチェックした結果、ステップＳ３１及びステップＳ３２にて抽出したパケットハッシュ値ｈが、パケットハッシュテーブル記憶部５のパケットハッシュテーブルに存在する場合には、ステップＳ３５に処理を進める。一方、存在しない場合には、ステップＳ３６に処理を進める。
【０１１５】
ステップＳ３５において、問合せ処理部１３は、追跡対象パケットの通過が「有り＝１」の通過確認応答メッセージを作成して、管理用通信インターフェース部２からトレースバックマネージャ装置Ｍに対して送信させる。すなわち、パケットハッシュ記録装置Ｌが接続されている汎用パケット通信網Ｎ２に追跡対象パケットが通過したことをトレースバックマネージャ装置Ｍに対して返送する。
【０１１６】
一方、ステップＳ３６において、問合せ処理部１３は、追跡対象パケットの通過が「無し＝０」の通過確認応答メッセージを作成して、管理用通信インターフェース部２からトレースバックマネージャ装置Ｍに対して送信させる。
【０１１７】
このように、パケットハッシュ記録装置Ｌは、トレースバックマネージャ装置Ｍから通過確認要求メッセージを受信した場合には、通過確認要求メッセージから、自身に設定されているハッシュ算出数ｋのパケットハッシュ値を抽出する（返信手段）。そして、パケットハッシュ記録装置Ｌは、抽出したパケットハッシュ値ｈとパケットハッシュテーブル記憶部５に記録されているパケットハッシュ値ｈとが一致した場合には、追跡対象パケットが通過したことの通過確認応答メッセージを返信できる（返信手段）。
【０１１８】
「ハッシュビットテーブルの切り替え処理」
つぎに、パケットハッシュ記録装置Ｌが、定期的に、パケットハッシュテーブル記憶部５のパケットハッシュテーブルにおけるハッシュ算出数ｋ及びフローハッシュ算出数ｃを切り替えるときの処理について、図１７を参照して説明する。この処理は、パケットハッシュ記録装置Ｌにおけるテーブル切り替え部１２によって行われる。
【０１１９】
テーブル切り替え部１２は、図１４に示したように、タイマー部１０によってハッシュビットテーブルを切り替えるテーブル切り替え時間Ｔ１となることが通知される。すると、テーブル切り替え部１２は、図１７のステップＳ４１において、パケットハッシュテーブル記憶部５のハッシュビットテーブルから記録開始時刻が最も古いレコードＲ１を検索する。例えば図１１（ｂ）に示すハッシュビットテーブルがパケットハッシュテーブル記憶部５に記録されている場合、記録開始時刻が“１０：００：１０”のレコードＲ１を見つける。
【０１２０】
次のステップＳ４２において、テーブル切り替え部１２は、ステップＳ４１にて見つけたレコードＲ１の記録開始時刻を現在の時刻にセットする。
【０１２１】
次のステップＳ４３において、テーブル切り替え部１２は、ステップＳ４１にて見つけられたレコードＲ１のハッシュ算出数ｋ及びフローハッシュ算出数ｃを、パケットハッシュ算出パラメータにおけるハッシュ算出数ｋ及びフローハッシュ算出数ｃにセットする。このとき、テーブル切り替え部１２は、図１１（ｂ）に示すパケットハッシュ算出パラメータ記憶部４におけるパケットハッシュ算出パラメータのハッシュ算出数ｋ及びフローハッシュ算出数ｃを読み出す。そして、テーブル切り替え部１２は、パケットハッシュテーブル記憶部５のパケットハッシュテーブルにおけるハッシュ算出数ｋ及びフローハッシュ算出数ｃを書き換える。
【０１２２】
次のステップＳ４４において、テーブル切り替え部１２は、パケットハッシュテーブル記憶部５におけるレコードＲ１のハッシュビットテーブルをゼロクリアする。
【０１２３】
このように、テーブル切り替え部１２は、最も古いハッシュビットテーブルを消去して、パラメータ最適化部９により最適化された現在において最新のハッシュ算出数ｋ及びフローハッシュ算出数ｃを、ハッシュビットテーブルに書き換えることができる。これにより、パケットハッシュ記録装置Ｌは、パケットハッシュ算出部３が算出したパケットハッシュ値ｈと、当該パケットハッシュ値ｈを算出したときのハッシュ算出数ｋ及びフローハッシュ算出数ｃとを含むハッシュビットテーブルを最新に維持できる。
【０１２４】
「汎用パケット通信網Ｎ２の統計処理」
つぎに、パケットハッシュ記録装置Ｌが接続された汎用パケット通信網Ｎ２の通信状況に応じて、図１１（ｃ）に示すパケット数平均Ｐ及び同一セッションパケットの通過割合ｗを更新する統計処理について、図１８を参照して説明する。
【０１２５】
トラフィック測定部６は、図１４に示したように、タイマー部１０によって最適化用統計値取得間隔Ｔ２が開始されることが通知される。すると、トラフィック測定部６は、図１８のステップＳ５１において、統計用一次データ記憶部７における統計用一次データの最適化用統計開始フラグＦの値を「１」に更新し、統計開始時刻Ｔ４に現在時刻をセットする。
【０１２６】
次のステップＳ５２において、トラフィック測定部６は、タイマー部１０の制御に従って、最適化用統計値取得間隔Ｔ２の時間分だけウェイト状態（待機状態）となる。この最適化用統計値取得間隔Ｔ２において、パケットハッシュ記録装置Ｌは、汎用パケット通信網Ｎ２からＩＰパケットを傍受する。そして、パケットハッシュ記録装置Ｌは、図１５における処理を行うことにより、ＩＰパケットからハッシュビットテーブルを生成して記録する処理と、パケットカウントＰ’を加算する処理と、テーブル切り替え時間Ｔ１ごとに記録パケット数カウントＣ１及び重複パケット数カウントＣ２を加算する処理を行うこととなる。
【０１２７】
次のステップＳ５３において、トラフィック測定部６は、統計用一次データ記憶部７における統計用一次データの最適化用統計開始フラグＦの値を「０」にセットする。
【０１２８】
次のステップＳ５４において、トラフィック測定部６は、パケット数平均Ｐを求める。このとき、トラフィック測定部６は、統計用一次データ記憶部７におけるパケットカウントＰ’と、タイマーパラメータ記憶部１１に記憶されたテーブル切り替え時間Ｔ１及び最適化用統計値取得間隔Ｔ２とを用いて、
Ｐ＝Ｐ’×Ｔ１／Ｔ２
なる演算を行う。トラフィック測定部６は、求めたパケット数平均Ｐを、トラフィック統計データ記憶部８におけるパケット数平均Ｐの最新統計値としてセットする。
【０１２９】
次のステップＳ５５において、トラフィック測定部６は、同一セッションパケットの通過割合ｗを求める。このとき、トラフィック測定部６は、図１５の処理により統計用一次データ記憶部７に記録された記録パケット数カウントＣ１と重複パケット数カウントＣ２とを用いて、
ｗ＝Ｃ２／Ｃ１
なる演算を行う。トラフィック測定部６は、求めた同一セッションパケットの通過割合ｗを、トラフィック統計データ記憶部８における同一セッションパケットの通過割合ｗの最新統計値としてセットする。
【０１３０】
次のステップＳ５６において、トラフィック測定部６は、ステップＳ５４及びステップＳ５５にてセットした最新統計値のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗが異常であるかの判定を行う。このとき、トラフィック測定部６は、既に統計用一次データ記憶部７に記録されている同曜日、同時刻帯のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗと、ステップＳ５４及びステップＳ５５にてセットした最新統計値のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗとを比較する。
【０１３１】
次のステップＳ５７において、トラフィック測定部６は、最新統計値のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗと、過去の値のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗとが大きく異なる場合には、異常であると判定する。例えば、最新統計値のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗが、同曜日の、同時刻帯のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗと比べて、５倍以上である場合には、異常であると判定する。又は、過去の同一セッションパケットの通過割合ｗに対して、最新統計値の同一セッションパケットの通過割合ｗが±０．２％の開きがある場合には、異常であると判定する。最新のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗが異常である場合にはステップＳ５９に処理を進め、正常である場合にはステップＳ５８に処理を進める。
【０１３２】
ステップＳ５８において、トラフィック測定部６は、過去の同曜日、同時刻帯のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗと、最新統計値のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗとをそれぞれ足して２で割る。そして、トラフィック測定部６は、当該演算して得た当該パケット数平均Ｐ及び同一セッションパケットの通過割合ｗを、トラフィック統計データにおける同曜日、同時刻のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗにセットする。これにより、トラフィック測定部６は、最新統計値のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗを用いて、同曜日、同時刻帯のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗを更新する。これにより、次回に最新統計値のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗが正常である場合に、今回にセットした同曜日、同時刻帯のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗを用いることができる。
【０１３３】
ステップＳ５９において、トラフィック測定部６は、トラフィック統計データにおける過去の同曜日、同時刻帯を、最新統計値のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗにセットする。これにより、最新統計値のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗが異常である場合には、過去のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗを最新統計値にセットする。これにより、異常である場合のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗを使用しないようにする。
【０１３４】
次のステップＳ６０において、トラフィック測定部６は、統計用一次データ記憶部７における統計用一次データの統計用ハッシュビットテーブルＨＴをゼロクリアする。
【０１３５】
このように、パケットハッシュ記録装置Ｌは、接続された汎用パケット通信網Ｎ２における通信状況として最新統計値のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗを取得する。最新統計値のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗが正常である場合には、パケット数平均Ｐ及び同一セッションパケットの通過割合ｗを後述するようにハッシュ算出数ｋ、フローハッシュ算出数ｃを設定するために設定することができる（設定手段）。これにより、パケットハッシュ記録装置Ｌは、正常に取得された汎用パケット通信網Ｎ２の通信状況のみを用いて、ハッシュ算出数ｋ、フローハッシュ算出数ｃを最適化することができる。
【０１３６】
「ハッシュ算出数ｋ、フローハッシュ算出数ｃの最適化処理」
つぎに、パケットハッシュ記録装置Ｌによってハッシュ算出数ｋ、フローハッシュ算出数ｃを最適化する処理について、図１９を参照して説明する。
【０１３７】
パラメータ最適化部９は、図１４に示したように、タイマー部１０によって最適化間隔Ｔ３が開始されることが通知される。すると、パラメータ最適化部９は、図１９のステップＳ６１において、トラフィック統計データ記憶部８からパケット数平均Ｐ及び同一セッションパケットの通過割合ｗを取得する。このパケット数平均Ｐ及び同一セッションパケットの通過割合ｗは、上述の図１８の処理によってトラフィック測定部６がセットしたものである。
【０１３８】
次のステップＳ６２において、パラメータ最適化部９は、パケットハッシュ算出パラメータ記憶部４に記憶されたハッシュビット幅ｂ、ハッシュ算出数上限値Ｋ、誤検知率ＦＰＲｓの上限値Ｓ、ハッシュ算出数ｋ及びフローハッシュ算出数ｃを取得する。これらのパケットハッシュ算出パラメータのうち、ハッシュビット幅ｂ、ハッシュ算出数上限値Ｋ及び誤検知率ＦＰＲｓの上限値Ｓは、例えばユーザの操作に応じて、任意の値に設定される。
【０１３９】
次のステップＳ６３において、パラメータ最適化部９は、ハッシュ算出数ｋ、フローハッシュ算出数ｃを変化させたときの誤検知率ＦＰＲ及びＦＰＲｓを算出する。このとき、パラメータ最適化部９は、現状のハッシュ算出数ｋ、フローハッシュ算出数ｃを用いて、
ＦＰＲ（ｋ，ｃ）、ＦＰＲｓ（ｋ，ｃ）
ＦＰＲ（ｋ＋１，ｃ）、ＦＰＲｓ（ｋ＋１，ｃ）
ＦＰＲ（ｋ−１，ｃ）、ＦＰＲｓ（ｋ−１，ｃ）
ＦＰＲ（ｋ，ｃ＋１）、ＦＰＲｓ（ｋ，ｃ＋１）
ＦＰＲ（ｋ，ｃ−１）、ＦＰＲｓ（ｋ，ｃ−１）
の何れかを算出する。このとき、パラメータ最適化部９は、上記の式１の演算をして誤検知率ＦＰＲを求め、上記の式２の演算をして誤検知率ＦＰＲｓを求める。また、式１，２におけるハッシュビットテーブルのサイズＭは、２のハッシュビット幅ｂ乗で求められる。なお、これらの誤検知率ＦＰＲ、ＦＰＲｓを算出する処理は、一例であり、更にハッシュ算出数ｋ、フローハッシュ算出数ｃを変化させて誤検知率ＦＰＲ、ＦＰＲｓを算出しても良い。
【０１４０】
次のステップＳ６４において、パラメータ最適化部９は、ステップＳ６３にて算出した誤検知率ＦＰＲ、ＦＰＲｓのうちの最適値を求める。このとき、パラメータ最適化部９は、
（１）０＜ハッシュ算出数ｋ≦ハッシュ算出数上限値Ｋ
（２）０≦フローハッシュ算出数ｃ≦ハッシュ算出数ｋ
（３）誤検知率ＦＰＲｓ≦誤検知率ＦＰＲｓの上限値Ｓ
という３つの条件を満たす誤検知率ＦＰＲ、ＦＰＲｓの組み合わせのうち、誤検知率ＦＰＲが最小のものを最適値として求める。
【０１４１】
次のステップＳ６５において、パラメータ最適化部９は、ステップＳ６３にて算出された誤検知率ＦＰＲ（ｋ，ｃ）が、ステップＳ６４にて求められた最適値であるか否かを判定する。誤検知率ＦＰＲ（ｋ，ｃ）が最適値である場合には処理を終了し、最適値ではない場合には処理をステップＳ６６に進める。
【０１４２】
ステップＳ６６において、パラメータ最適化部９は、誤検知率ＦＰＲの最適値となったパラメータにハッシュ算出数ｋ及びフローハッシュ算出数ｃを更新して、ステップＳ６３に処理を戻す。
【０１４３】
このように、パケットハッシュ記録装置Ｌは、汎用パケット通信網Ｎ２における通信状況の統計値であるパケット数平均Ｐ、同一セッションパケットの通過割合ｗを用いてハッシュ算出数ｋ、フローハッシュ算出数ｃを最適化することができる（設定手段）。
【０１４４】
［トレースバックマネージャ装置Ｍの構成］
つぎに、上述したトレースバックシステムにおけるトレースバックマネージャ装置Ｍについて説明する。
【０１４５】
トレースバックマネージャ装置Ｍは、図２０に示すような機能的な構成を備えている。なお、図２０では、機能的な構成を示しているが、通信装置（追跡管理装置）に、図２０に示す各部を実現するためのプログラムを格納して、当該追跡管理装置のコンピュータが当該プログラムを実行することで実現されたものであっても良い。
【０１４６】
トレースバックマネージャ装置Ｍは、通信インターフェース部２１（攻撃パケット取得手段）、パケットハッシュ算出部（第１パケット特定情報作成手段）２２、パケットハッシュ上限パラメータ記憶部２３、通過確認問合せ処理部（問い合わせ手段）２４、問合せメッセージ管理情報記憶部２５及び装置隣接関係情報記憶部２６を備える。
【０１４７】
通信インターフェース部２１は、トレースバックシステム専用網Ｎ１と接続されている。通信インターフェース部２１は、トレースバックシステム専用網Ｎ１を介して攻撃パケット特定装置Ｄから追跡対象パケット（攻撃パケット）が供給される。通信インターフェース部２１は、追跡対象パケットの通過の有無を問い合わせる通過確認要求メッセージを各パケットハッシュ記録装置Ｌに送信する。その後、通信インターフェース部２１は、各パケットハッシュ記録装置Ｌから追跡対象パケットの通過の有無を含む通過確認応答メッセージを受信する。通信インターフェース部２１は、通過確認応答メッセージに基づいて追跡対象パケットを中継したパケット中継装置Ｒを特定する情報を攻撃パケット特定装置Ｄに送信する。
【０１４８】
パケットハッシュ算出部２２は、通信インターフェース部２１により受信した追跡対象パケットを用いて、パケットハッシュ値を算出する。このとき、パケットハッシュ算出部２２は、パケットハッシュ上限パラメータ記憶部２３に記憶されたパケットハッシュ上限パラメータに従ってパケットハッシュを算出する。パケットハッシュ算出部２２は、算出されたパケットハッシュ値を、パケットハッシュテーブル記憶部５に記憶させる。
【０１４９】
パケットハッシュ上限パラメータ記憶部２３には、図２１（ａ）に示すように、ハッシュビット幅上限値Ｂ及びハッシュ算出数上限値Ｋが記憶されている。ハッシュビット幅上限値Ｂは、パケットハッシュ記録装置Ｌが設定しうるハッシュビット幅ｂの上限値である。ハッシュ算出数上限値Ｋは、パケットハッシュ記録装置Ｌが設定しうる最大のハッシュ算出数ｋである。そして、パケットハッシュ上限パラメータ記憶部２３は、ハッシュ算出数上限値Ｋで設定された数のパケットハッシュ値を作成して、追跡対象パケットのパケット特定情報を生成できる。
【０１５０】
このようなパケットハッシュ算出部２２は、追跡対象パケットに含まれる情報のうちパケット個別フィールド値Ｄ１に対して所定の変換処理を施して第１パケット特定情報を作成する第１変換処理と、追跡対象パケットに含まれる情報のうちセッション内同一フィールド値Ｄ２に対して変換処理を施して第２パケット特定情報を作成する第２変換処理とを行う。そして、パケットハッシュ算出部２２は、第１変換処理により作成された第１パケット特定情報と第２変換処理により作成された第２パケット特定情報とを含むパケット特定情報を作成する。
【０１５１】
通過確認問合せ処理部２４は、パケットハッシュ算出部２２により生成されたパケット特定情報であるパケットハッシュ値をパケットハッシュ記録装置Ｌに送信させる。これにより、通過確認問合せ処理部２４は、追跡対象パケットの通過の有無をパケットハッシュ記録装置Ｌに問い合わせる。また、通過確認問合せ処理部２４は、通過確認要求メッセージに対して返信された通過確認応答メッセージを取得して、パケットハッシュ記録装置Ｌにおける追跡対象パケットの通過の有無を取得する。
【０１５２】
このとき、通過確認問合せ処理部２４は、問合せメッセージ管理情報記憶部２５に記憶された問合せメッセージ管理情報を参照及び更新する。この問い合わせメッセージ管理情報は、図２１（ｂ）に示すように、メッセージＩＤ、確認済み装置名、通過装置名、処理完了時刻を含む。メッセージＩＤは、追跡対象パケットごとにパケットハッシュ記録装置Ｌに送信される通過確認要求メッセージごとに生成される。確認済み装置名は、通過確認要求メッセージに対して通過確認応答メッセージを返信したパケットハッシュ記録装置Ｌの装置名である。通過装置名は、追跡対象パケットを中継した経路に接続されたパケットハッシュ記録装置Ｌの装置名である。処理完了時刻は、全てのパケットハッシュ記録装置Ｌから通過確認応答メッセージを受信した時刻である。
【０１５３】
通過確認問合せ処理部２４は、メッセージＩＤごとの通過確認要求メッセージに対して通過確認応答メッセージを受信した場合には、確認済み装置名にパケットハッシュ記録装置Ｌの装置名を追加する。通過確認問合せ処理部２４は、追跡対象パケットの通過が「有り」の通過確認応答メッセージを送信したパケットハッシュ記録装置Ｌの装置名を、通過装置名として追加する。
【０１５４】
通過確認問合せ処理部２４は、装置隣接関係情報記憶部２６に記憶された装置隣接関係情報を参照して、追跡対象パケットが通過した装置名を特定する。この装置隣接関係情報は、図２１（ｃ）に示すように、トレースバックシステム専用網Ｎ１を介してトレースバックマネージャ装置Ｍに接続された装置名、当該装置名のＩＰアドレス、当該装置名に隣接する装置の隣接装置名が対応付けられている。通過確認問合せ処理部２４は、通過確認応答メッセージに追跡対象パケットの通過が「有り」である場合に、問い合わせメッセージ管理情報における通過装置名を更新し、処理完了時刻となったら装置隣接関係情報を参照して、追跡対象パケットの通過経路を特定する。
【０１５５】
例えばメッセージＩＤが「０００２」の通過確認要求メッセージに対して、追跡対象パケットの通過が「有り」の通過確認応答メッセージがパケットハッシュ記録装置Ｌ５、Ｌ４であったとする。このとき、パケットハッシュ記録装置Ｌ５に隣接するパケットハッシュ記録装置Ｌは、Ｌ３とＬ４である。また、パケットハッシュ記録装置Ｌ４に隣接するパケットハッシュ記録装置Ｌは、Ｌ２とＬ３とＬ５である。したがって、通過確認問合せ処理部２４は、追跡対象パケットが、パケット中継装置Ｒ３、Ｒ１、Ｒ２、通信端末Ａ１を経由して通信端末Ｖに到着したことを認識でき、通信端末Ａ１が追跡対象パケットの発信源であることを認識できる。
【０１５６】
「追跡要求メッセージ受信時の処理」
つぎに、上述したように構成されたトレースバックマネージャ装置Ｍにより追跡要求メッセージを受信したときの処理について、図２２を参照して説明する。
【０１５７】
トレースバックマネージャ装置Ｍは、攻撃パケット特定装置Ｄからトレースバックシステム専用網Ｎ１を介して送信された追跡要求メッセージを、通信インターフェース部２１により受信すると（攻撃パケット取得手段）、ステップＳ７１以降の処理を開始する。この追跡要求メッセージには、攻撃パケット特定装置Ｄが攻撃パケットして特定した追跡対象パケットが含まれている。
【０１５８】
ステップＳ７１において、パケットハッシュ算出部２２は、通信インターフェース部２１により受信した追跡要求メッセージの送信元ＩＰアドレスを抽出する。
【０１５９】
次のステップＳ７２において、パケットハッシュ算出部２２は、通信インターフェース部２１により受信した追跡要求メッセージに含まれている追跡対象パケットから、パケット個別フィールド値Ｄ１及びセッション内同一フィールド値Ｄ２を抽出する。これらパケット個別フィールド値Ｄ１及びセッション内同一フィールド値Ｄ２は、トレースバックマネージャ装置Ｍとパケットハッシュ記録装置Ｌとの間で予め設定されたＩＰヘッダ及びＩＰパケットである。
【０１６０】
次のステップＳ７３において、パケットハッシュ算出部２２は、パケットハッシュ上限パラメータ記憶部２３に記憶されたパケットハッシュ上限パラメータのうちハッシュ算出数上限値Ｋ及びハッシュビット幅上限値Ｂを取得する。
【０１６１】
次のステップＳ７４において、パケットハッシュ算出部２２は、ステップＳ７２にて抽出したパケット個別フィールド値Ｄ１及びセッション内同一フィールド値Ｄ２からそれぞれハッシュ算出数上限値Ｋの数のパケットハッシュであって、各パケットハッシュがハッシュビット幅上限値Ｂのビット幅のパケットハッシュを算出する（第１パケット特定情報作成手段）。ここで、パケット個別フィールド値Ｄ１及びセッション内同一フィールド値Ｄ２から生成するハッシュ関数についても、トレースバックマネージャ装置Ｍとパケットハッシュ記録装置Ｌとで予め設定されたものである。これにより、パケットハッシュ算出部２２は、各パケットハッシュ記録装置Ｌが生成しうる最大数のパケットハッシュ値を生成する。
【０１６２】
次のステップＳ７５において、通過確認問合せ処理部２４は、問い合わせメッセージ管理情報に１つのレコードを追加し、メッセージＩＤの最大値に１を加えたメッセージＩＤをセットする。
【０１６３】
次のステップＳ７６において、通過確認問合せ処理部２４は、パケットハッシュ記録装置Ｌに送信する通過確認要求メッセージを生成する。通過確認問合せ処理部２４は、ステップＳ７５にてセットされたメッセージＩＤと、ステップＳ７４にてパケット個別フィールド値Ｄ１、セッション内同一フィールド値Ｄ２にてそれぞれ算出した（ハッシュ算出数上限値Ｋ×２個）のパケットハッシュとを含める。
【０１６４】
次のステップＳ７７において、通過確認問合せ処理部２４は、装置隣接関係情報から、ステップＳ７１にて抽出した送信元ＩＰアドレスに該当する装置の隣接装置名を取得する。例えば図１において、通過確認問合せ処理部２４は、攻撃パケット特定装置Ｄから追跡要求メッセージを受信した場合、攻撃パケット特定装置Ｄに隣接する隣接装置名を、装置隣接関係情報から取得する。
【０１６５】
次のステップＳ７８において、通過確認問合せ処理部２４は、ステップＳ７７にて取得した隣接装置名に対応するそれぞれの隣接装置名のＩＰアドレスを宛先ＩＰアドレスとして、通過確認要求メッセージを生成する。そして、通過確認問合せ処理部２４は、当該通過確認要求メッセージを通信インターフェース部２１から送信させる（問い合わせ手段）。これにより、トレースバックマネージャ装置Ｍは、パケットハッシュ記録装置Ｌに対して通過確認要求メッセージを受信させることができる。
【０１６６】
「通過確認応答メッセージ受信時の処理」
つぎに、上述したように通過確認要求メッセージを送信したことに対する通過確認応答メッセージを受信したときのトレースバックマネージャ装置Ｍの処理について、図２３を参照して説明する。
【０１６７】
トレースバックマネージャ装置Ｍは、パケットハッシュ記録装置Ｌからトレースバックシステム専用網Ｎ１を介して送信された通過確認応答メッセージを、通信インターフェース部２１により受信すると（問い合わせ手段）、ステップＳ８１以降の処理を開始する。この通過確認応答メッセージには、追跡対象パケットの通過の有無を示す情報が含まれている。
【０１６８】
ステップＳ８１において、通過確認問合せ処理部２４は、通信インターフェース部２１により受信した通過確認応答メッセージの送信元ＩＰアドレスを抽出する。
【０１６９】
次のステップＳ８２において、通過確認問合せ処理部２４は、通信インターフェース部２１により受信した通過確認応答メッセージからメッセージＩＤを取得する。
【０１７０】
次のステップＳ８３において、通過確認問合せ処理部２４は、問合せメッセージ管理情報からメッセージＩＤが合致するレコードＲ２を検索する。このとき、通過確認問合せ処理部２４は、図２２における追跡要求メッセージの受信時に、通過確認要求メッセージを送信する前のステップＳ７５にて追加されたレコードのメッセージＩＤが存在するかを検索する。これにより、通過確認問合せ処理部２４は、ステップＳ７８にて送信した通過確認要求メッセージに対する返信として通過確認応答メッセージを受信したかを確認する。
【０１７１】
次のステップＳ８４において、通過確認問合せ処理部２４は、装置隣接関係情報から、ステップＳ８１にて取得した送信元ＩＰアドレスに該当する装置名を取得する。
【０１７２】
次のステップＳ８５において、通過確認問合せ処理部２４は、問い合わせメッセージ管理情報のうちステップＳ８３にて見つけられたレコードＲ２に対応する確認済み装置名に対して、ステップＳ８４にて取得された装置名を、確認済み装置名として追加する。
【０１７３】
次のステップＳ８６において、通過確認問合せ処理部２４は、通信インターフェース部２１により受信した通過確認応答メッセージに通過が「有り」の情報が含まれているか否かを判定する。
【０１７４】
次のステップＳ８７において、通過確認問合せ処理部２４は、ステップＳ８６における判定の結果、通過確認応答メッセージに通過が「有り」の情報が含まれている場合にはステップＳ８８に処理を進め、そうでない場合にはステップＳ９０に処理を進める。
【０１７５】
ステップＳ８８において、通過確認問合せ処理部２４は、問い合わせメッセージ管理情報のうちのレコードＲ２に対応する通過装置名に、ステップＳ８４にて取得された装置名を追加する。
【０１７６】
次のステップＳ８９において、通過確認問合せ処理部２４は、装置隣接関係情報から、ステップＳ７１にて抽出した通過確認応答メッセージの送信元ＩＰアドレスに該当するパケットハッシュ記録装置Ｌの隣接装置名を取得する。
【０１７７】
次のステップＳ９０において、通過確認問合せ処理部２４は、ステップＳ８９にて取得した隣接装置名に対応するＩＰアドレスを宛先として、通過確認要求メッセージを送信する。
【０１７８】
これにより、トレースバックマネージャ装置Ｍは、あるパケットハッシュ記録装置Ｌから返送された通過確認応答メッセージに追跡対象パケットの通過が「有り」の情報が含まれている場合には、当該通過確認応答メッセージを返送したパケットハッシュ記録装置Ｌに隣接するパケットハッシュ記録装置Ｌに通過確認要求メッセージを送信できる。これにより、トレースバックマネージャ装置Ｍは、段階的に追跡対象パケットを取得したパケットハッシュ記録装置Ｌから、追跡対象パケットの通過が「有り」の通過確認応答メッセージを取得できる。
【０１７９】
なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。
【符号の説明】
【０１８０】
Ｌ パケットハッシュ記録装置
Ｍ トレースバックマネージャ装置
Ｎ１ トレースバックシステム専用網
Ｎ２ 汎用パケット通信網
Ｒ パケット中継装置
Ｖ 通信端末
１ 監視用通信インターフェース部
２ 管理用通信インターフェース部
３ パケットハッシュ算出部
４ パケットハッシュ算出パラメータ記憶部
５ パケットハッシュテーブル記憶部
６ トラフィック測定部
７ 統計用一次データ記憶部
８ トラフィック統計データ記憶部
９ パラメータ最適化部
１０ タイマー部
１１ タイマーパラメータ記憶部
１２ テーブル切り替え部
１３ 問合せ処理部
２１ 通信インターフェース部
２２ パケットハッシュ算出部
２３ パケットハッシュ上限パラメータ記憶部
２４ 通過確認問合せ処理部
２５ メッセージ管理情報記憶部
２６ 装置隣接関係情報記憶部
【技術分野】
【０００１】
本発明は、パケットの発信源を特定するための発信源追跡システム、パケット特定情報記録装置、追跡管理装置、通信装置のプログラム及び追跡管理装置のプログラムに関する。
【背景技術】
【０００２】
近年、通信技術の発達により、インターネットに代表されるオープンネットワーク等の通信が普及している。このような状況に伴い、ネットワークに接続する装置は、例えば大量のＩＰパケットを送りつけるいわゆるＤｏＳ（Denial of Service）攻撃やＤＤｏＳ（Distributed Dos）攻撃等のサービス妨害攻撃を受け易い状態にある。このサービス妨害攻撃は、犠牲側装置の処理を飽和状態にすることによってサービス提供を麻痺させるだけでなく、ネットワーク全体のリソースを消費させてしまう。このように、不正な攻撃は、ネットワーク全体への影響が大きいことから、その対策が求められている。
【０００３】
このような対策の一つとして、攻撃に利用されたＩＰパケットの発信源を追跡する技術、いわゆるＩＰトレースバック技術が知られている。このＩＰトレースバック技術としては、能動型発信源探査法が知られている。
【０００４】
この能動型発信源探査法は、攻撃端末から犠牲端末に向けてパケットが経由される途中経路上にルータ装置を設けておく。そして、このルータ装置は、通過する全てのＩＰパケットについてその要約情報を一定時間記憶しておく。ルータ装置は、追跡対象のＩＰパケットが通過したか否かを問い合わせる通過問合せメッセージを追跡装置から受信する。すると、ルータ装置は、記憶してある要約情報を参照することによって問い合わせのあった追跡対象のＩＰパケットが通過したか否かを判断し、その判断結果を伝える通過問合せ応答メッセージを追跡装置に返信する。これにより、追跡装置が、返信された判断結果に基づいて発信源を追跡する。
【０００５】
このような能動型発信源探索法において、ルータ装置がＩＰパケットのパケット特定情報を作成する場合、ルータ装置は、ＩＰパケットに含まれる特定のフィールド値を使用していた。この特定のフィールド値としては、ＩＰパケットごとに異なるフィールド値、セッションごとに同一のフィールド値が用いられていた。
【０００６】
図２４に示すパケット特定情報の作成方法は、ＩＰパケットＰをルータ装置が受信すると、先ず、ルータ装置は、ＩＰパケットから、ＩＰパケットごとに異なるフィールド値Ｄ１を抽出する。次にルータ装置は、フィールド値Ｄ１に対して複数のハッシュ関数ｈ１，ｈ２，ｈ３を用いて、複数のハッシュ値ｈ１（Ｄ１）、ｈ２（Ｄ１）、ｈ３（Ｄ１）を算出する。これにより、ルータ装置は、パケット特定情報として複数のハッシュ値ｈ１（Ｄ１）、ｈ２（Ｄ１）、ｈ３（Ｄ１）をハッシュビットテーブルに記憶していた（非特許文献１）。
【０００７】
図２５に示すパケット特定情報の作成方法は、ＩＰパケットＰをルータ装置が受信すると、先ず、ルータ装置は、ＩＰパケットから、セッションごとに同一のフィールド値Ｄ２を抽出する。次にルータ装置は、フィールド値Ｄ２に対して複数のハッシュ関数ｈ１，ｈ２，ｈ３を用いて、複数のハッシュ値ｈ１（Ｄ２）、ｈ２（Ｄ２）、ｈ３（Ｄ２）を算出する。これにより、ルータ装置は、パケット特定情報として複数のハッシュ値ｈ１（Ｄ２）、ｈ２（Ｄ２）、ｈ３（Ｄ２）をハッシュビットテーブルに記憶していた（非特許文献２）。
【先行技術文献】
【非特許文献】
【０００８】
【非特許文献１】Alex C. Snoeren他 “Single-packet IP traceback” IEEE/ACM Transactions on Networking Dec. 2002.
【非特許文献２】T.-H. Leeら “Scalable Packet Digesting Schemes for IP Traceback.”In IEEE International Conference on Communications, Paris, France, June 2004.
【発明の概要】
【発明が解決しようとする課題】
【０００９】
しかしながら、上述した従来における発信源探索法におけるパケット特定情報を作成しても、ＩＰパケットの誤検知率を低くすることと、セッション内で攻撃端末から送信されたＩＰパケットを特定することとを両立することができていなかった。
【００１０】
すなわち、図２４に示したパケット特定情報の作成方法では、ＩＰパケットごとに異なるフィールド値Ｄ１を用いてパケット特定情報を作成している。したがって、当該パケット特定情報が、攻撃端末から送信されたＩＰパケットでないＩＰパケットのパケット特定情報と同一となる可能性があった。よって、このパケット特定情報の作成方法では、誤検知率が低くできなかった。
【００１１】
また、図２５に示したパケット特定情報の作成方法は、セッションごとに同一のフィールド値Ｄ２を用いてパケット特定情報を作成している。したがって、ＩＰパケットごとの誤検知率は低くなるが、当該パケット特定情報が、同一セッション内において攻撃に用いられたパケットが特定できない問題がある。
【００１２】
そこで、本発明は、上述した実情に鑑みて提案されたものであり、攻撃に用いられたＩＰパケットの発信源を特定する場合に、ＩＰパケットの誤検知率を低くすると共に同一セッション内で攻撃端末から送信されたＩＰパケットの特定することを可能としたまま、ＩＰパケットの誤検知率を低く抑えることを目的とする。
【課題を解決するための手段】
【００１３】
本発明に係る発信源追跡システムは、攻撃端末から送信されて複数の中継装置で経由されて被害端末で受信された攻撃パケットの発信源を追跡するものである。この発信源追跡システムは、中継装置により中継されたパケットを取得し、当該取得したパケットに含まれる情報に対して所定の処理を施してパケット特定情報として記録し、攻撃パケットを特定するパケット特定情報に基づいて攻撃パケットの通過の有無を判定する複数の記録装置と、記録装置に攻撃パケットを特定するパケット特定情報を供給し、複数の記録装置から供給された攻撃パケットの通過の有無に基づいて、当該攻撃パケットを中継した複数の中継装置を特定する追跡管理装置とを備える。
【００１４】
このような発信源追跡システムは、上述の課題を解決するために、各記録装置が、所定の処理として、パケットに含まれる情報のうちパケットごとに異なる情報に対して変換処理を施して第１パケット特定情報を作成する第１変換処理と、パケットに含まれる情報のうち端末間で設定されたセッションごとに共通した情報に対して変換処理を施して第２パケット特定情報を作成する第２変換処理と、第１変換処理により作成された第１パケット特定情報と第２変換処理により作成された第２パケット特定情報とを含むパケット特定情報を作成する作成処理とを行う。
【００１５】
本発明に係る発信源追跡システムにおいて、各記録装置は、当該各記録装置が接続された通信網のトラフィック測定情報に基づいて、攻撃パケットを誤検知する誤検知率が最低となる任意の数の第１パケット特定情報及び第２パケット特定情報を作成して、パケット特定情報を作成することが望ましい。
【００１６】
本発明に係る発信源追跡システムにおいて、追跡管理装置は、被害端末で受信された攻撃パケットを取得する攻撃パケット取得手段と、攻撃パケット取得手段により取得された攻撃パケットに含まれる情報のうちパケットごとに異なる情報に対して変換処理を施して第１パケット特定情報を作成する第１変換処理と、攻撃パケットに含まれる情報のうち端末間で設定されたセッションごとに共通した情報に対して変換処理を施して第２パケット特定情報を作成する第２変換処理と、第１変換処理により作成された第１パケット特定情報と第２変換処理により作成された第２パケット特定情報とを含むパケット特定情報を作成する第１パケット特定情報作成手段と、第１パケット特定情報作成手段が作成したパケット特定情報を記録装置に送信し、攻撃パケットの通過の有無を記録装置から受信する問い合わせ手段とを備える。また、この発信源追跡システムにおいて、記録装置は、中継装置により中継されるパケットを取得するパケット取得手段と、パケットに含まれる情報のうちパケットごとに異なる情報に対して変換処理を施して第１パケット特定情報を作成する第１変換処理と、パケットに含まれる情報のうち端末間で設定されたセッションごとに共通した情報に対して変換処理を施して第２パケット特定情報を作成する第２変換処理と、第１変換処理により作成された第１パケット特定情報と第２変換処理により作成された第２パケット特定情報とを含むパケット特定情報を作成する作成処理とを行う第２パケット特定情報作成手段と、パケット取得手段が所定期間内に取得した複数のパケットに基づいて当該所定期間内における通信状況の統計値を算出し、当該算出した統計値に基づいて、第２パケット特定情報作成手段が作成する第１パケット特定情報数及び第２パケット特定情報数を設定する設定手段と、第２パケット特定情報作成手段が作成したパケット特定情報を記録する記録手段と、記録手段に記録したパケット特定情報と、問い合わせ手段から送信されたパケット特定情報とを比較して、攻撃パケットの通過の有無を作成して問い合わせ手段に返信する返信手段とを備える。
【００１７】
このような発信源追跡システムにおいて、追跡管理装置の第１パケット特定情報作成手段は、記録装置の設定手段が設定しうる最大の第１パケット特定情報数及び第２パケット特定情報数を含むパケット特定情報を作成し、記録装置の第２パケット特定情報作成手段は、設定手段により設定された第１パケット特定情報数及び第２パケット特定情報数のパケット特定情報を作成し、返信手段は、問い合わせ手段から送信されたパケット特定情報のうち、設定手段が設定した第１パケット特定情報数及び第２パケット特定情報数のパケット特定情報を抽出して、当該抽出されたパケット特定情報と、第２パケット特定情報作成手段により作成されたパケット特定情報とを比較して、攻撃パケットを記録したかの情報を作成する。
【００１８】
本発明に係るパケット特定情報記録装置は、通信ネットワークにおける端末間で送受され中継装置により中継されるパケットを取得するパケット取得手段と、パケットに含まれる情報のうちパケットごとに異なる情報に対して変換処理を施して第１パケット特定情報を作成する第１変換処理と、パケットに含まれる情報のうち端末間で設定されたセッションごとに共通した情報に対して変換処理を施して第２パケット特定情報を作成する第２変換処理と、第１変換処理により作成された第１パケット特定情報と第２変換処理により作成された第２パケット特定情報とを含むパケット特定情報を作成する作成処理とを行うパケット特定情報作成手段と、パケット特定情報作成手段が作成したパケット特定情報を記録する記録手段とを備える。
【００１９】
本発明に係るパケット特定情報記録装置において、各記録装置は、当該各記録装置が接続された通信網のトラフィック測定情報に基づいて、特定のパケットを誤検知する誤検知率が最低となる任意の数の第１パケット特定情報及び第２パケット特定情報を作成して、パケット特定情報を作成することが望ましい。
【００２０】
本発明に係るパケット特定情報記録装置において、パケット取得手段が所定期間内に取得した複数のパケットに基づいて当該所定期間内における通信状況の統計値を算出し、当該算出した統計値に基づいて、パケット特定情報作成手段が作成する第１パケット特定情報数及び第２パケット特定情報数を設定する設定手段を更に備え、パケット特定情報作成手段は、設定手段により設定された第１パケット特定情報数の第１パケット特定情報と、設定手段により設定された第２パケット特定情報数の第２パケット特定情報とを含むパケット特定情報を作成することが望ましい。
【００２１】
本発明に係る追跡管理装置は、攻撃端末から送信されて複数の中継装置で経由されて被害端末で受信された攻撃パケットの発信源を追跡するものである。この追跡管理装置は、上述の課題を解決するために、被害端末で受信された攻撃パケットを取得する攻撃パケット取得手段と、攻撃パケット取得手段により取得された攻撃パケットに含まれる情報のうちパケットごとに異なる情報に対して変換処理を施して第１パケット特定情報を作成する第１変換処理と、攻撃パケットに含まれる情報のうち端末間で設定されたセッションごとに共通した情報に対して変換処理を施して第２パケット特定情報を作成する第２変換処理と、第１変換処理により作成された第１パケット特定情報と第２変換処理により作成された第２パケット特定情報とを含むパケット特定情報を作成するパケット特定情報作成手段と、中継装置により中継されたパケットを表すパケット特定情報を記録する記録装置にパケット特定情報作成手段が作成したパケット特定情報を送信し、攻撃パケットの通過の有無を記録装置から受信する問い合わせ手段とを備える。
【００２２】
本発明に係る通信装置のプログラムは、通信装置に内蔵されたコンピュータが実行するプログラムであって、通信ネットワークにおける端末間で送受され中継装置により中継されるパケットを取得する処理と、パケットに含まれる情報のうちパケットごとに異なる情報に対して変換処理を施して第１パケット特定情報を作成する第１変換処理と、パケットに含まれる情報のうち端末間で設定されたセッションごとに共通した情報に対して変換処理を施して第２パケット特定情報を作成する第２変換処理と、第１変換処理により作成された第１パケット特定情報と第２変換処理により作成された第２パケット特定情報とを含むパケット特定情報を作成する作成処理と、作成したパケット特定情報を記録媒体に記録する処理とをコンピュータに実行させるものである。
【００２３】
本発明に係る追跡管理装置のプログラムは、攻撃端末から送信されて複数の中継装置で経由されて被害端末で受信された攻撃パケットの発信源を追跡する追跡管理装置内のコンピュータが実行するプログラムであって、被害端末で受信された攻撃パケットを取得する処理と、取得された攻撃パケットに含まれる情報のうちパケットごとに異なる情報に対して変換処理を施して第１パケット特定情報を作成する第１変換処理と、攻撃パケットに含まれる情報のうち端末間で設定されたセッションごとに共通した情報に対して変換処理を施して第２パケット特定情報を作成する第２変換処理と、第１変換処理により作成された第１パケット特定情報と第２変換処理により作成された第２パケット特定情報とを含むパケット特定情報を作成する処理と、中継装置により中継されたパケットを記録する記録装置に作成したパケット特定情報を送信させ、攻撃パケットを記録したかの情報を記録装置から受信させる処理とをコンピュータに実行させる。
【発明の効果】
【００２４】
本発明に係る発信源追跡システムによれば、複数の記録装置が、パケットごとに異なる情報から第１パケット特定情報を作成し、セッションごとに共通した情報から第２パケット特定情報を作成する。これにより、記録装置は、第１パケット特定情報と第２パケット特定情報とを含むパケット特定情報を作成できる。したがって、発信源追跡システムによれば、記録装置における第１パケット特定情報及び第２パケット特定情報によるパケットの誤検知率を低くすると共に同一セッション内において攻撃に用いられたパケットの誤検知率を高めることができる。
【００２５】
本発明に係る発信源追跡システムによれば、各記録装置が、任意の数の第１パケット特定情報及び第２パケット特定情報を作成して、パケット特定情報を作成するので、攻撃パケットを誤検知する誤検知率を最低とすることができる。
【００２６】
本発明に係る発信源追跡システムによれば、記録装置が、通信状況の統計値に基づいて、第１パケット特定情報数及び第２パケット特定情報数を設定する。一方、追跡管理装置が、記録装置が設定しうる最大の第１パケット特定情報数及び第２パケット特定情報数を含むパケット特定情報を作成する。このような発信源追跡システムによれば、追跡管理装置が、パケット特定情報を用いて記録装置に問い合わせをする。これに応じて、記録装置が、追跡管理装置から送信されたパケット特定情報のうち第１パケット特定情報数及び第２パケット特定情報数のパケット特定情報を抽出して、当該抽出されたパケット特定情報と記録したパケット特定情報とを比較して、攻撃パケットを記録したかの情報を作成する。これにより、この発信源追跡システムによれば、記録装置が記録するパケットの通信状況によって誤検知率が変動する場合であっても、当該誤検知率を最適化して、攻撃パケットを追跡できる。
【００２７】
本発明に係るパケット特定情報記録装置によれば、中継装置により中継されるパケットを取得し、パケットごとに異なる情報から第１パケット特定情報を作成し、セッションごとに共通した情報から第２パケット特定情報を作成する。これにより、このパケット特定情報記録装置によれば、パケットの誤検知率を低くすると共に同一セッション内で攻撃端末から送信されたＩＰパケットの特定することを可能としたまま、ＩＰパケットの誤検知率を低く抑えることができる。
【００２８】
本発明に係るパケット特定情報記録装置によれば、任意の数の第１パケット特定情報及び第２パケット特定情報を作成して、パケット特定情報を作成するので、攻撃パケットを誤検知する誤検知率を最低とすることができる。
【００２９】
本発明に係るパケット特定情報記録装置によれば、所定期間内に取得した複数のパケットに基づいて当該所定期間内における通信状況の統計値を算出し、当該算出した統計値に基づいて、第１パケット特定情報数及び第２パケット特定情報数を設定する。これにより、このパケット特定情報記録装置によれば、パケットの通信状況によって誤検知率が変動する場合であっても、当該誤検知率を最適化して、攻撃パケットを追跡できる。
【００３０】
本発明に係る追跡管理装置によれば、パケットごとに異なる情報から第１パケット特定情報を作成し、端末間で設定されたセッションごとに共通した情報から第２パケット特定情報を作成してパケット特定情報を作成する。そして、追跡管理装置によれば、記録装置にパケット特定情報を送信し、攻撃パケットの通過の有無を記録装置から受信することができる。これにより、追跡管理装置によれば、第１パケット特定情報及び第２パケット特定情報によるパケットの誤検知率を低くすると共に同一セッション内で攻撃端末から送信されたＩＰパケットの特定することを可能としたまま、ＩＰパケットの誤検知率を低く抑えることができる。
【００３１】
本発明に係る通信装置のプログラムによれば、中継装置により中継されるパケットを取得し、パケットごとに異なる情報から第１パケット特定情報を作成し、セッションごとに共通した情報から第２パケット特定情報を作成する。これにより、この通信装置のプログラムによれば、パケットの誤検知率を低くすると共に同一セッション内で攻撃端末から送信されたＩＰパケットの特定することを可能としたまま、ＩＰパケットの誤検知率を低く抑えることができる。
【００３２】
本発明に係る追跡管理装置のプログラムによれば、パケットごとに異なる情報から第１パケット特定情報を作成し、端末間で設定されたセッションごとに共通した情報から第２パケット特定情報を作成してパケット特定情報を作成する。そして、追跡管理装置のプログラムによれば、記録装置にパケット特定情報を送信し、攻撃パケットの通過の有無を記録装置から受信することができる。これにより、追跡管理装置のプログラムによれば、第１パケット特定情報及び第２パケット特定情報によるパケットの誤検知率を低くすると共に同一セッション内で攻撃端末から送信されたＩＰパケットの特定することを可能としたまま、ＩＰパケットの誤検知率を低く抑えることができる。
【図面の簡単な説明】
【００３３】
【図１】本発明の一実施形態として示すトレースバックシステムの構成の一例を示すシステム図である。
【図２】本発明の一実施形態として示すトレースバックシステムにおける動作の一例を示すシーケンス図である。
【図３】本発明の一実施形態として示すトレースバックシステムにおけるパケットハッシュ記録装置、トレースバックマネージャ装置のパケット特定情報の作成処理の一例について説明する図である。
【図４】本発明の一実施形態として示すトレースバックシステムにおけるパケット特定情報の作成処理で用いるパケット個別フィールド値、セッション内同一フィールド値の一例を示す図である。
【図５】本発明の一実施形態として示すトレースバックシステムにおけるパケット特定情報の作成処理と、比較例との効果を示す図であり、（ａ）は比較例（１）、（ｂ）は本願、（ｃ）は比較例（２）である。
【図６】本発明の一実施形態として示すトレースバックシステムにおける動作の一例を説明するブロック図である。
【図７】本発明の一実施形態として示すトレースバックシステムにおいて送受信されるメッセージの構造の一例であり、（ａ）は追跡要求メッセージ、（ｂ）は通過確認要求メッセージ、（ｃ）は通過確認応答メッセージである。
【図８】本発明の一実施形態として示すトレースバックシステムにおいてトレースバックマネージャ装置が通過確認要求メッセージを作成することの説明図である。
【図９】本発明の一実施形態として示すトレースバックシステムにおけるパケットハッシュ記録装置が通信状況に応じてハッシュ算出数、フローハッシュ算出数を最適化する手順の一例を示すフローチャートである。
【図１０】本発明の一実施形態として示すトレースバックシステムにおけるパケットハッシュ記録装置のブロック図の一例である。
【図１１】本発明の一実施形態として示すトレースバックシステムにおけるパケットハッシュ記録装置が保持するデータの構造の一例であり、（ａ）はパケットハッシュ算出パラメータであり、（ｂ）はパケットハッシュテーブルであり、（ｃ）はトラフィック統計データである。
【図１２】本発明の一実施形態として示すトレースバックシステムにおけるパケットハッシュ記録装置によってハッシュビットテーブルを作成する処理の一例を説明する図である。
【図１３】本発明の一実施形態として示すトレースバックシステムにおけるパケットハッシュ記録装置が保持するデータの構造の一例であり、（ａ）はタイマーパラメータ、（ｂ）は統計用一次データである。
【図１４】本発明の一実施形態として示すトレースバックシステムにおけるタイマー部により制御される各部の動作シーケンスを示す図である。
【図１５】本発明の一実施形態として示すトレースバックシステムにおけるパケットハッシュ記録装置がＩＰパケットを受信したときの処理手順の一例を示すフローチャートである。
【図１６】本発明の一実施形態として示すトレースバックシステムにおけるパケットハッシュ記録装置がトレースバックマネージャ装置から通過確認要求メッセージを受信したときの処理手順の一例を示すフローチャートである。
【図１７】本発明の一実施形態として示すトレースバックシステムにおけるパケットハッシュ記録装置によりハッシュビットテーブルを切り替えるときの処理手順の一例を示すフローチャートである。
【図１８】本発明の一実施形態として示すトレースバックシステムにおけるパケットハッシュ記録装置によりパケット数平均及び同一セッションパケットの通過割合を統計により得るときの処理手順の一例を示すフローチャートである。
【図１９】本発明の一実施形態として示すトレースバックシステムにおいてハッシュ算出数、フローハッシュ算出数を最適化するときの処理手順の一例を示すフローチャートである。
【図２０】本発明の一実施形態として示すトレースバックシステムにおけるトレースバックマネージャ装置の一構成例を示すブロック図である。
【図２１】本発明の一実施形態として示すトレースバックシステムにおけるトレースバックマネージャ装置が保持するデータの構造の一例であり、（ａ）はパケットハッシュ上限パラメータ、（ｂ）は問合せメッセージ管理情報であり、（ｃ）は装置隣接関係情報である。
【図２２】本発明の一実施形態として示すトレースバックシステムにおけるトレースバックマネージャ装置が追跡要求メッセージを受信したときの処理手順の一例を示すフローチャートである。
【図２３】本発明の一実施形態として示すトレースバックシステムにおけるトレースバックマネージャ装置が通過確認応答メッセージを受信したときの処理手順の一例を示すフローチャートである。
【図２４】パケットハッシュを算出及び記録するときの従来例を示す図である。
【図２５】パケットハッシュを算出及び記録するときの他の従来例を示す図である。
【発明を実施するための形態】
【００３４】
以下、本発明の実施の形態について図面を参照して説明する。
【００３５】
［トレースバックシステムの構成］
本発明に係る発信源追跡システムの一実施形態は、図１に示すようなトレースバックシステムに適用される。このトレースバックシステムは、通信端末Ａ１，Ａ２，Ｖと、パケット中継装置Ｒ１〜Ｒ４（以下、総称する場合には単に「パケット中継装置Ｒ」とも呼ぶ。）と、パケットハッシュ記録装置Ｌ１〜Ｌ５（以下、総称する場合には単に「パケットハッシュ記録装置Ｌ」とも呼ぶ。）と、攻撃パケット特定装置Ｄと、トレースバックマネージャ装置Ｍとを含む。パケットハッシュ記録装置Ｌ１〜Ｌ５、攻撃パケット特定装置Ｄ及びトレースバックマネージャ装置Ｍは、トレースバックシステム専用網Ｎ１に接続されている。また、通信端末Ａ１，Ａ２，Ｖ及びパケット中継装置Ｒ１〜Ｒ４は、汎用パケット通信網Ｎ２に接続されている。
【００３６】
このようなトレースバックシステムは、攻撃端末から送信されて複数のパケット中継装置Ｒ１〜Ｒ４（中継装置）で経由されて被害端末となる通信端末Ｖで受信された攻撃パケット（以下、追跡対象パケットとも呼ぶ。）の発信源を追跡するものである。
【００３７】
パケットハッシュ記録装置Ｌ１〜Ｌ５（記録装置、パケット特定情報記録装置）は、通信端末Ａ１，Ａ２，Ｖとパケット中継装置Ｒ１〜Ｒ４とを接続する通信線に接続される。パケットハッシュ記録装置Ｌ１〜Ｌ５は、汎用パケット通信網Ｎ２においてパケット中継装置Ｒ１〜Ｒ４により中継されているＩＰパケットを傍受する。パケットハッシュ記録装置Ｌ１〜Ｌ５は、当該取得したＩＰパケットに含まれる情報に対して所定の処理を施すことにより、パケットを特定できる情報であるパケット特定情報を作成して、記録する。
【００３８】
パケットハッシュ記録装置Ｌ１〜Ｌ５は、攻撃パケットを特定するパケット特定情報に基づいて攻撃パケットの通過の有無を判定する。この判定結果は、パケットハッシュ記録装置Ｌ１〜Ｌ５からトレースバックマネージャ装置Ｍに供給される。
【００３９】
トレースバックマネージャ装置Ｍ（追跡管理装置）は、トレースバックシステム専用網Ｎ１を介してパケットハッシュ記録装置Ｌ１〜Ｌ５及び攻撃パケット特定装置Ｄと接続されている。トレースバックマネージャ装置Ｍは、攻撃パケット特定装置Ｄから攻撃パケットが供給される。トレースバックマネージャ装置Ｍは、攻撃パケットを用いて、当該攻撃パケットを特定するパケット特定情報を作成する。トレースバックマネージャ装置Ｍは、作成した攻撃パケットのパケット特定情報をパケットハッシュ記録装置Ｌに供給する。トレースバックマネージャ装置Ｍは、パケットハッシュ記録装置Ｌから供給された攻撃パケットの通過の有無に基づいて、当該攻撃パケットを中継した複数のパケット中継装置Ｒ１〜Ｒ４を特定する。トレースバックマネージャ装置Ｍは、攻撃パケットを中継したパケット中継装置Ｒ１〜Ｒ４に接続されたパケットハッシュ記録装置Ｌの情報を攻撃パケット特定装置Ｄに供給する。
【００４０】
［トレースバックシステムの動作］
このように構成されたトレースバックシステムは、図２に示すようなシーケンス図で示される動作を行う。
【００４１】
トレースバックシステムにおいて、例えば通信端末Ａ２が攻撃端末となり、通信端末Ｖが被害端末となるとする。先ず、通信端末Ａ２から攻撃パケットＰ１ａが送信されると、当該攻撃パケットＰ１ａは、パケット中継装置Ｒ４によって攻撃パケットＰ１ｂとして中継され、パケット中継装置Ｒ１によって攻撃パケットＰ１ｃとして中継され、パケット中継装置Ｒ２によってＰ１ｄとして中継されて、通信端末Ｖに送信される。これにより、通信端末Ｖは、攻撃パケットＰ１ｄを受信することにより、サービス妨害などの被害を受ける。
【００４２】
このように攻撃パケットが汎用パケット通信網Ｎ２にて中継された場合、通信端末Ａ２からパケット中継装置Ｒ４に送信された攻撃パケットＰ１ａは、攻撃パケットＰ１ａ’としてパケットハッシュ記録装置Ｌ１に受信される。同様に、攻撃パケットＰ１ｂは、攻撃パケットＰ１ｂ’としてパケットハッシュ記録装置Ｌ３に受信される。攻撃パケットＰ１ｃは、攻撃パケットＰ１ｃ’としてパケットハッシュ記録装置Ｌ５に受信される。これにより、パケットハッシュ記録装置Ｌ１、Ｌ３、Ｌ５は、受信した攻撃パケットＰ１ａ’、Ｐ１ｂ’、Ｐ１ｃ’を用いて、パケット特定情報をそれぞれ作成して、記憶する。
【００４３】
また、通信端末Ｖにより受信された攻撃パケットＰ１ｄは、攻撃パケット特定装置Ｄにより受信される。攻撃パケット特定装置Ｄは、攻撃パケットＰ１ｄに基づいて、当該攻撃パケットＰ１ｄが通信端末Ｖに対して被害を与える攻撃パケットであることを判定する。すると、攻撃パケット特定装置Ｄは、トレースバックマネージャ装置Ｍに対して当該攻撃パケットＰ１ｄの発信源を追跡する追跡要求メッセージＭ１を作成して、トレースバックマネージャ装置Ｍに供給する。この追跡要求メッセージＭ１には、攻撃パケットが含まれる。
【００４４】
次に、トレースバックマネージャ装置Ｍは、攻撃パケット特定装置Ｄから追跡要求メッセージＭ１が供給されたことに応じて、トレースバックシステム専用網Ｎ１を介して接続されたパケットハッシュ記録装置Ｌ１〜Ｌ５に対して通過確認要求メッセージを供給する。このとき、トレースバックマネージャ装置Ｍは、攻撃パケットのパケット特定情報を作成する。この通過確認要求メッセージには、攻撃パケットのパケット特定情報が含まれる。この通過確認要求メッセージは、トレースバックマネージャ装置Ｍに接続されたパケットハッシュ記録装置Ｌに供給される。
【００４５】
図２においては、トレースバックマネージャ装置Ｍが、パケットハッシュ記録装置Ｌ５に通過確認要求メッセージＭ２を供給する。これに応じ、パケットハッシュ記録装置Ｌ５は、攻撃パケットのコピーのＰ１ｃ’を受信しているので、攻撃パケットの通過が「有り」の通過確認応答メッセージＭ３を返信する。次にトレースバックマネージャ装置Ｍが、パケットハッシュ記録装置Ｌ５に隣接したパケットハッシュ記録装置Ｌ３、Ｌ４に通過確認要求メッセージＭ４、Ｍ５を供給する。これに応じ、パケットハッシュ記録装置Ｌ３は、攻撃パケットのコピーのＰ１ｂ’を受信しているので、攻撃パケットの通過が「有り」の通過確認応答メッセージＭ６を返信する。一方、パケットハッシュ記録装置Ｌ４は、攻撃パケットのコピーを受信していないので、攻撃パケットの通過が「無し」の通過確認応答メッセージＭ７を返信する。次にトレースバックマネージャ装置Ｍが、パケットハッシュ記録装置Ｌ３に隣接したパケットハッシュ記録装置Ｌ１に通過確認要求メッセージＭ８を供給する。これに応じ、パケットハッシュ記録装置Ｌ１は、攻撃パケットのコピーのＰ１ａ’を受信しているので、攻撃パケットの通過が「有り」の通過確認応答メッセージＭ９を返信する。
【００４６】
このようなトレースバックシステムにおいて、パケットハッシュ記録装置Ｌ１〜Ｌ５は、通過確認要求メッセージを受信すると、自身が攻撃パケットのパケット特定情報を記録しているかを判定する。このとき、パケットハッシュ記録装置Ｌ１〜Ｌ５は、通過確認要求メッセージに含まれている攻撃パケットのパケット特定情報と、記録しておいたパケット特定情報とを比較する。これによりパケットハッシュ記録装置Ｌ１〜Ｌ５は、攻撃パケットの通過の有無を示す通過確認応答メッセージをトレースバックマネージャ装置Ｍに返信できる。
【００４７】
図２においては、パケットハッシュ記録装置Ｌ１、Ｌ３、Ｌ４、Ｌ５が通過確認要求メッセージＭ２、Ｍ４、Ｍ５、Ｍ８を受信している。そして、パケットハッシュ記録装置Ｌ１、Ｌ３、Ｌ５は、それぞれ、攻撃パケットＰ１ａ’、Ｐ１ｂ’、Ｐ１ｃ’のパケット特定情報を記録している。したがって、パケットハッシュ記録装置Ｌ１、Ｌ３、Ｌ５は、攻撃パケットの通過が「有り」の通過確認応答メッセージＭ９、Ｍ６、Ｍ３をトレースバックマネージャ装置Ｍに返信する。一方、パケットハッシュ記録装置Ｌ４は、攻撃パケットのパケット特定情報を記録していない。したがって、パケットハッシュ記録装置Ｌ４は、攻撃パケットの通過が「無し」の通過確認応答メッセージＭ７をトレースバックマネージャ装置Ｍに返信する。
【００４８】
これにより、トレースバックマネージャ装置Ｍは、通過確認応答メッセージを用いて、汎用パケット通信網Ｎ２における攻撃パケットが通過した経路を取得でき、当該経路から、通信端末Ｖから通信端末Ａ２までの経路を特定できる。
【００４９】
［パケット特定情報の作成処理］
上述したトレースバックシステムにおいて、パケットハッシュ記録装置Ｌは、受信したＩＰパケットのパケット特定情報を作成して記録する。また、トレースバックマネージャ装置Ｍは、攻撃パケットのパケット特定情報を作成してパケットハッシュ記録装置Ｌに供給する。以下に、パケットハッシュ記録装置Ｌ及びトレースバックマネージャ装置Ｍによるパケット特定情報の作成処理について説明する。
【００５０】
図３に示すように、このパケット特定情報の作成処理は、先ず、ＩＰパケットＰ１から特定のフィールド値Ｄ１，Ｄ２を抽出する。フィールド値Ｄ１は、ＩＰパケットごとに異なるフィールド値である（以下、パケット個別フィールド値Ｄ１と呼ぶ。）。フィールド値Ｄ２は、端末間で確立されるセッション内で不変のフィールド値である（セッション内同一フィールド値Ｄ２と呼ぶ。）。ここで、パケット個別フィールド値Ｄ１は、必ずしもＩＰパケットごとに異なるフィールド値のみではなく、一部に含まれていればよい。一方、セッション内同一フィールド値Ｄ２は、セッション内で不変のフィールド値のみで構成されている必要がある。
【００５１】
図４に示すように、パケット個別フィールド値Ｄ１は、例えば、“IP identification”フィールドの値と“64 bits of Payload”フィールドの値とからなる。セッション内同一フィールド値Ｄ２は、例えば、“Ver”フィールドの値と“IHL”フィールドの値と“Protocol”フィールドの値と“Source Address”フィールドの値と“Destination Address”フィールドの値とからなる。なお、“IP identification”フィールドは、識別子フィールドであり、各々ＩＰパケットを識別するために送信側が割り当てた値が格納される。“64 bits of Payload”フィールドは、ＩＰパケットのデータ本体が格納される。“Ver”フィールドは、バージョン番号が格納される。“IHL”フィールドは、ＩＰパケットにおけるヘッダの長さが格納される。“Protocol”フィールドは、プロトコルを識別する情報が格納される。“Source Address”フィールドは、ＩＰパケットの送信元端末のＩＰアドレスが格納される。“Destination Address”フィールドは、ＩＰパケットの宛先端末のＩＰアドレスが格納される。
【００５２】
次に、パケット特定情報の作成処理は、パケット個別フィールド値Ｄ１とセッション内同一フィールド値Ｄ２とを用いて、パケットハッシュ値を算出する。このパケットハッシュ値は、パケット個別フィールド値Ｄ１及びセッション内同一フィールド値Ｄ２に対して複数のハッシュ関数を用いた処理を行って作成される。
【００５３】
図３に示す例は、ハッシュ関数Ｈ１を用いてパケット個別フィールド値Ｄ１からパケットハッシュ値Ｈ１（Ｄ１）（第１パケット特定情報）を得ている（第１変換処理）。ハッシュ関数Ｈ２を用いてセッション内同一フィールド値Ｄ２からパケットハッシュ値Ｈ２（Ｄ２）（第２パケット特定情報）を得ている（第２変換処理）。ハッシュ関数Ｈ３を用いてセッション内同一フィールド値Ｄ２からパケットハッシュ値Ｈ３（Ｄ２）（第２パケット特定情報）を得ている（第２変換処理）。そして、パケットハッシュ値は、ハッシュビットテーブルに記憶される。なお、パケット個別フィールド値Ｄ１から生成したパケットハッシュ値は、第１パケット特定情報に相当し、セッション内同一フィールド値Ｄ２から生成したパケットハッシュ値は、第２パケット特定情報に相当し、第１パケット特定情報と第２パケット特定情報とを含むパケット特定情報を作成する（作成処理）。
【００５４】
ここで、パケットハッシュ記録装置Ｌは、予め設定された任意の数のパケットハッシュ値を算出する。この任意の数のパケットハッシュ値は、攻撃パケットを誤検知する誤検知率が最低（最良）となる数である。また、攻撃パケットを誤検知する誤検知率が最低となるパケットハッシュ値の数は、所定期間内に取得した複数のＩＰパケットに基づいて当該所定期間内における通信状況の統計値に基づいて決定しても良い。なお、これら任意の数の決定方法については、後述する。また、トレースバックマネージャ装置Ｍは、パケットハッシュ記録装置Ｌが作成するであろう最大数のパケットハッシュ値を算出する。
【００５５】
このようなパケット特定情報の作成処理において、パケット特定情報が攻撃パケットとは異なるＩＰパケットであると認識される誤検知率はＦＰＲ、下記の式１のようになる。また、同じセッションのＩＰパケットが通過している場合において、当該セッション内の攻撃パケットとは異なるＩＰパケットであると認識される誤検知率ＦＰＲｓは、下記の式２のようになる。
【数１】
【００５６】
この式１において、Ｍはハッシュビットテーブルのサイズ［ｂｉｔ］である。Ｐは記録されたＩＰパケット数である。ｋは１つのＩＰパケットから生成するハッシュ値の数である。ｗは同一のハッシュビットテーブル内に同じセッションのＩＰパケットが記録されている割合である。ｃは１つのＩＰパケットから生成されるｋ個のハッシュ値のうち同じセッション内（フロー）で同一のフィールド値Ｄ２から算出されるハッシュ値の数である。以下の説明において、ｋをハッシュ算出数ｋと呼び、ｃをフローハッシュ算出数ｃ、Ｐを所定時間におけるパケット数であるパケット数平均Ｐと呼び、ｗを同一セッションパケットの通過割合ｗと呼ぶ。これらパケット数平均Ｐ、同一セッションパケットの通過割合ｗは、当該各パケットハッシュ記録装置Ｌが接続された汎用パケット通信網Ｎ２のトラフィック測定情報に相当する。
【００５７】
ハッシュビットテーブルのサイズＭはパケットハッシュ記録装置Ｌ、トレースバックマネージャ装置Ｍのメモリサイズによって制限される。また、後述するが、ネットワーク環境（観測箇所、時間帯）によりパケット数平均Ｐ及び同一セッションパケットの通過割合ｗは変化する。このような式１及び式２の誤検知率は、ハッシュビットテーブルのサイズＭ、パケット数平均Ｐ及び同一セッションパケットの通過割合ｗが与えられ、フローハッシュ算出数ｃ及びハッシュ算出数ｋを調整することによって変化する。したがって、後述するように、パケットハッシュ記録装置Ｌは、フローハッシュ算出数ｃ及びハッシュ算出数ｋを調整することによって最適なを求めることができ、誤検知率ＦＰＲ、ＦＰＲｓを算出することができる。
【００５８】
このようなパケット特定情報の作成処理の効果を図５に示す。本願のパケット特定情報の作成処理によれば、ＩＰパケットのパケット個別フィールド値Ｄ１及びセッション内同一フィールド値Ｄ２とを用いて、パケットハッシュ値ｈ１（Ｄ１）、ｈ２（Ｄ２）、ｈ３（Ｄ２）を作成する。比較例（１）はパケット個別フィールド値Ｄ１からのみパケットハッシュ値ｈ１（Ｄ１）、ｈ２（Ｄ１）、ｈ３（Ｄ１）を作成する。比較例（３）はセッション内同一フィールド値Ｄ２からのみｈ１（Ｄ２）、ｈ２（Ｄ２）、ｈ３（Ｄ２）を作成する。
【００５９】
本願のパケット特定情報の作成処理によれば、フローハッシュ算出数ｃを、
１≦ｃ≦ｋ−１
で示される範囲に調整する。比較例（１）はフローハッシュ算出数ｃが０である。比較例（２）はフローハッシュ算出数ｃがハッシュ算出数ｋと同数である。
【００６０】
これらパケット特定情報の作成処理の誤検知率ＦＰＲを比較すると、本願のパケット特定情報の作成処理の誤検知率ＦＰＲは、比較例（１）の誤検知率ＦＰＲよりも低くなる。しかし、本願のパケット特定情報の作成処理の誤検知率ＦＰＲｓは、比較例（２）の誤検知率ＦＰＲｓよりも高くなる。本願のパケット特定情報の作成処理の誤検知率ＦＰＲｓは、比較例（２）の誤検知率ＦＰＲｓ＝１よりも低くなる。しかし、本願のパケット特定情報の作成処理の誤検知率ＦＰＲｓは比較例（１）の誤検知率ＦＰＲｓよりも高くなる。
【００６１】
以上のように、本願のパケット特定情報の作成処理によれば、パケット個別フィールド値Ｄ１を用いたパケットハッシュ値とセッション内同一フィールド値Ｄ２を用いたパケットハッシュ値とを用いる。これによって、本願のパケット特定情報の作成処理によれば、比較例（１）と比較例（２）と比べて、誤検知率ＦＰＲ、誤検知率ＦＰＲｓを共にある程度低くすることができる。
【００６２】
また、本願のパケット特定情報の作成処理によれば、誤検知率ＦＰＲｓが任意の基準値以上にならない範囲でという条件でフローハッシュ算出数ｃがハッシュ算出数ｋの値を調整することによって、誤検知率ＦＰＲ、ＦＰＲｓを最適化できる。このフローハッシュ算出数ｃ、ハッシュ算出数ｋの値の調整は、パケット数平均Ｐ、同一セッションパケットの通過割合ｗに基づいて、パケットハッシュ記録装置Ｌごとに行なわれる。
【００６３】
［パケット特定情報の作成処理を行うトレースバックシステムの動作］
上述したトレースバックシステムにおいては、図６に示すように、追跡対象パケットが攻撃パケット特定装置Ｄからトレースバックマネージャ装置Ｍに供給される。トレースバックマネージャ装置Ｍは、当該追跡対象パケットの発信源を追跡する追跡要求メッセージに、図７（ａ）に示す追跡対象パケットのＩＰヘッダ、追跡対象パケットのＩＰペイロードを含める。
【００６４】
トレースバックマネージャ装置Ｍは、図８に示すように、先ず、追跡対象パケットのＩＰヘッダ及びＩＰペイロードから、パケット個別フィールド値Ｄ１及びセッション内同一フィールド値Ｄ２を抽出する。次にトレースバックマネージャ装置Ｍは、抽出したパケット個別フィールド値Ｄ１及びセッション内同一フィールド値Ｄ２から、所定の上限値のパケットハッシュ値ｈ１（Ｄ１）・・・ｈｘ（Ｄ１）及びパケットハッシュ値ｈ１（Ｄ２）・・・ｈｘ（Ｄ２）を算出する。この所定の上限値は、パケットハッシュ記録装置Ｌが作成しうる最大数のハッシュ算出数ｋである。トレースバックマネージャ装置Ｍは、作成したパケット特定情報であるパケットハッシュ値を含む追跡要求メッセージを作成する。この追跡要求メッセージは、図７（ｂ）に示すように、メッセージＩＤと複数のパケットハッシュＨ１（Ｄ１）〜Ｈ４（Ｄ１）、パケットハッシュＨ１（Ｄ２）〜Ｈ４（Ｄ２）が含まれている。なお、この通過確認要求メッセージは、ハッシュ算出数上限値Ｋが１０であり、ハッシュビット幅上限値Ｂが３２ビットであるときの一例を示している。トレースバックマネージャ装置Ｍは、図６に示すように、通過確認要求メッセージを、パケットハッシュ記録装置Ｌａ、Ｌｂに送信する。
【００６５】
パケットハッシュ記録装置Ｌａ、Ｌｂは、トレースバックマネージャ装置Ｍから通過確認要求メッセージを受信する。パケットハッシュ記録装置Ｌａは、当該パケットハッシュ記録装置Ｌａが接続された汎用パケット通信網Ｎ２の通信状況であるパケット数平均Ｐ及び同一セッションパケットの通過割合ｗに基づいて、ハッシュ算出数ｋが５、フローハッシュ算出数ｃが３に設定されている。パケットハッシュ記録装置Ｌｂは、当該パケットハッシュ記録装置Ｌｂが接続された汎用パケット通信網Ｎ２の通信状況であるパケット数平均Ｐ及び同一セッションパケットの通過割合ｗに基づいて、ハッシュ算出数ｋが７、フローハッシュ算出数ｃが５に設定されている。
【００６６】
パケットハッシュ記録装置Ｌは、汎用パケット通信網Ｎ２からＩＰパケットを取得した時に、設定されたハッシュ算出数ｋ及びフローハッシュ算出数ｃのパケット特定情報を作成して、記録する。上記の例においては、パケットハッシュ記録装置Ｌａは、パケット個別フィールド値Ｄ１から生成した２個のパケットハッシュＨ１（Ｄ１）〜Ｈ２（Ｄ１）と、セッション内同一フィールド値Ｄ２から生成した３個のパケットハッシュＨ１（Ｄ２）〜Ｈ３（Ｄ２）とを作成して、記録する。パケットハッシュ記録装置Ｌｂは、パケット個別フィールド値Ｄ１から生成した２個のパケットハッシュＨ１（Ｄ１）〜Ｈ２（Ｄ１）と、セッション内同一フィールド値Ｄ２から生成した５個のパケットハッシュＨ１（Ｄ２）〜Ｈ５（Ｄ２）とを作成して、記録する。
【００６７】
パケットハッシュ記録装置Ｌａは、図７（ｂ）に示した通過確認要求メッセージが供給されると、当該通過確認要求メッセージのうちハッシュ算出数ｋ、フローハッシュ算出数ｃで示されたパケットハッシュＨと、自己が記録しているパケットハッシュＨとを比較する。そして、同一のパケットハッシュＨを記録している場合には、その旨の通過確認応答メッセージを作成して、トレースバックマネージャ装置Ｍに送信する。この通過確認応答メッセージは、図７（ｃ）に示すように、メッセージＩＤと、追跡対象パケットの通過有り（１）又は通過無し（０）とを含む。
【００６８】
トレースバックマネージャ装置Ｍは、通過確認応答メッセージから、追跡対象パケットがどのパケット中継装置Ｒ１〜Ｒ４によって中継されたかを判定して、追跡対象パケットの発信源を求めることができる。
【００６９】
また、このパケットハッシュ記録装置Ｌは、図９に示すように、フローハッシュ算出数ｃ、ハッシュ算出数ｋを設定しておく。このために、パケットハッシュ記録装置Ｌは、フローハッシュ算出数ｃ、ハッシュ算出数ｋを更新する所定時間となると（ステップＳ１）、ステップＳ２以降の処理を行う。
【００７０】
パケットハッシュ記録装置Ｌは、ステップＳ２にて、汎用パケット通信網Ｎ２から傍受したＩＰパケットを用いてパケット数平均Ｐ、同一セッションパケットの通過割合ｗを測定する。このとき、パケットハッシュ記録装置Ｌは、例えば曜日と時間帯毎に過去のパケット数平均Ｐ、同一セッションパケットの通過割合ｗを記録しておく。また、パケット数平均Ｐ、同一セッションパケットの通過割合ｗが、過去の値と比較して異常がある場合には、過去のパケット数平均Ｐと同一セッションパケットの通過割合ｗを使用することとなる。
【００７１】
次にパケットハッシュ記録装置Ｌは、ステップＳ３にて、測定したパケット数平均Ｐ、同一セッションパケットの通過割合ｗを用いて、フローハッシュ算出数ｃ、ハッシュ算出数ｋの最適値を算出する。ここで、パケットハッシュ記録装置Ｌは、予めハッシュ算出数ｋの上限を設定しておく。
【００７２】
次にパケットハッシュ記録装置Ｌは、ステップＳ４にて、最適化されたフローハッシュ算出数ｃ、ハッシュ算出数ｋを設定に反映させる。このとき、パケットハッシュ記録装置Ｌｈは、ハッシュ算出数ｋの上限値が決まっているのでハッシュ算出数ｋを総当りして、最適値を求める。例えば、山登り法を行って高速化しても良い。
【００７３】
［パケットハッシュ記録装置Ｌの構成］
つぎに、上述したトレースバックシステムにおけるパケットハッシュ記録装置Ｌについて説明する。
【００７４】
パケットハッシュ記録装置Ｌは、図１０に示すような機能的な構成を備えている。なお、図１０では、機能的な構成を示しているが、通信装置に、図１０に示す各部を実現するためのプログラムを格納して、当該通信装置のコンピュータが当該プログラムを実行することで実現されたものであっても良い。
【００７５】
パケットハッシュ記録装置Ｌは、監視用通信インターフェース部（パケット取得手段）１、管理用通信インターフェース部２、パケットハッシュ算出部（第２パケット特定情報作成手段）３、パケットハッシュ算出パラメータ記憶部４、パケットハッシュテーブル記憶部（記録手段）５、トラフィック測定部（設定手段）６、統計用一次データ記憶部７、トラフィック統計データ記憶部８、パラメータ最適化部（設定手段）９、タイマー部１０、タイマーパラメータ記憶部１１、テーブル切り替え部１２及び問合せ処理部（返信手段）１３を備える。
【００７６】
監視用通信インターフェース部１は、汎用パケット通信網Ｎ２と接続されている。監視用通信インターフェース部１は、汎用パケット通信網Ｎ２を介して、通信端末Ａ１，Ａ２，Ｖとパケット中継装置Ｒ１〜Ｒ４又はパケット中継装置Ｒ１〜Ｒ４間で送信されたＩＰパケットを傍受する。
【００７７】
管理用通信インターフェース部２は、トレースバックシステム専用網Ｎ１を介してトレースバックマネージャ装置Ｍと接続されている。管理用通信インターフェース部２は、トレースバックマネージャ装置Ｍから通過確認要求メッセージが供給される。また、管理用通信インターフェース部２は、トレースバックマネージャ装置Ｍに対して通過確認応答メッセージを送信する。
【００７８】
問合せ処理部１３は、管理用通信インターフェース部２によりトレースバックマネージャ装置Ｍから通過確認応答メッセージを受信したことに応じて、通過確認応答メッセージを作成する。そして、問合せ処理部１３は、通過確認応答メッセージを管理用通信インターフェース部２からトレースバックマネージャ装置Ｍに送信させる。この通過確認応答メッセージは、メッセージＩＤと、追跡対象パケットの通過有り（１）又は通過無し（０）とを含む。
【００７９】
パケットハッシュ算出部３は、監視用通信インターフェース部１により傍受されたＩＰパケットを用いて、パケットハッシュＨを算出する。このとき、パケットハッシュ算出部３は、パケットハッシュ算出パラメータ記憶部４に記憶されたパラメータに従ってパケットハッシュＨを算出する。パケットハッシュ算出部３は、算出されたパケットハッシュＨを、パケットハッシュテーブル記憶部５に記憶させる。
【００８０】
パケットハッシュテーブル記憶部５には、例えば図１１（ｂ）に示すようなパケットハッシュテーブルが記憶される。このハッシュビットテーブルは、パケットハッシュＨの記録開始時刻ごとに、ハッシュ算出数ｋ、フローハッシュ算出数ｃと対応付けられて記憶されている。
【００８１】
このハッシュビットテーブルは、パケットハッシュ算出部３によって、図１２に示すように作成される。すなわち、先ず、パケットハッシュ算出部３は、ＩＰパケット（Ｐ１）からパケット個別フィールド値Ｄ１及びセッション内同一フィールド値Ｄ２を抽出する。次に、パケットハッシュ算出部３は、パケット個別フィールド値Ｄ１及びセッション内同一フィールド値Ｄ２からハッシュ関数を用いてパケットハッシュ値ｈ１（Ｄ１）、ｈ２（Ｄ２）、ｈ３（Ｄ２）を生成する。次に、パケットハッシュ算出部３は、所定の規則に従ってパケットハッシュ値を並べることによってハッシュビットテーブルを作成する。なお、パケットハッシュ値を並べる所定の規則は、全てのパケットハッシュ記録装置Ｌとトレースバックマネージャ装置Ｍとで同一である。
【００８２】
パケットハッシュ算出パラメータ記憶部４には、図１１（ａ）に示すパケットハッシュ算出パラメータが記憶されている。このパケットハッシュ算出パラメータとしては、ハッシュビット幅ｂ、ハッシュ算出数上限値Ｋ、誤検知率ＦＰＲｓの上限値Ｓ、ハッシュ算出数ｋ、フローハッシュ算出数ｃが含まれる。ハッシュビット幅ｂは、図７（ｂ）に示したようにハッシュ関数により生成される１個のパケットハッシュＨの長さである。誤検知率ＦＰＲｓの上限値Ｓは、式２で示したセッション内同一フィールド値Ｄ２から生成したパケットハッシュＨの誤検知率ＦＰＲｓの上限値である。なお、パケットハッシュ算出パラメータの値は、一例である。このパケットハッシュ算出パラメータを用いたパケットハッシュ算出部３によるパケットハッシュＨの生成処理については、後述する。
【００８３】
トラフィック測定部６は、統計用一次データ及びトラフィック統計データを作成する。統計用一次データには、図１３（ｂ）に示すように、パケットカウントＰ’、最適化用統計開始フラグＦ、統計開始時刻Ｔ４、統計用ハッシュビットテーブルＨＴ、記録パケット数カウントＣ１及び重複パケット数カウントＣ２が含まれる。これらの統計用一次データは、統計用一次データ記憶部７に記憶される。トラフィック統計データは、図１１（ｃ）に示すように、ＩＰパケットを受信した曜日、時間帯、パケット数平均Ｐの値、同一セッションパケットの通過割合ｗの値が対応付けられている。このトラフィック統計データは、トラフィック統計データ記憶部８に記憶される。
【００８４】
パラメータ最適化部９は、予め設定されたハッシュビットテーブルのサイズＭ、トラフィック統計データ記憶部８に記憶されたパケット数平均Ｐ及び同一セッションパケットの通過割合ｗに基づいて、フローハッシュ算出数ｃ、ハッシュ算出数ｋを算出する。このとき、パラメータ最適化部９は、式２から誤検知率ＦＰＲｓの上限値Ｓを超えないようにフローハッシュ算出数ｃ、ハッシュ算出数ｋを調整する。パラメータ最適化部９は、算出したフローハッシュ算出数ｃ及びハッシュ算出数ｋを、パケットハッシュ算出パラメータ記憶部４に更新して記憶させる。
【００８５】
タイマー部１０は、トラフィック測定部６及びパラメータ最適化部９を制御して、フローハッシュ算出数ｃ、ハッシュ算出数ｋを所定時間毎に更新させる。また、タイマー部１０は、テーブル切り替え部１２を制御して、パケットハッシュテーブル記憶部５のパケットハッシュテーブルを更新させる。
【００８６】
このタイマー部１０は、タイマーパラメータ記憶部１１に記憶されたタイマーパラメータに従って動作する。このタイマーパラメータは、図１３（ａ）に示すように、テーブル切り替え時間Ｔ１、最適化用統計値取得間隔Ｔ２、最適化間隔Ｔ３を含む。テーブル切り替え時間Ｔ１は、図１１（ｂ）に示したパケットハッシュテーブルの切り替え間隔であり、例えば５秒である。最適化用統計値取得間隔Ｔ２は、フローハッシュ算出数ｃ、ハッシュ算出数ｋを最適化するためにＩＰパケットを傍受してパケット特定情報を蓄積する間隔である。最適化間隔Ｔ３は、フローハッシュ算出数ｃ、ハッシュ算出数ｋを最適化する間隔である。
【００８７】
テーブル切り替え部１２は、タイマー部１０の制御に従って、パケットハッシュテーブルを更新させる。このとき、テーブル切り替え部１２は、図１１（ｂ）に示すパケットハッシュテーブルを作成するために、タイマー部１０によって制御されたパケットハッシュテーブルの記録開始時刻、パケットハッシュ算出パラメータ記憶部４に記憶されたフローハッシュ算出数ｃ、ハッシュ算出数ｋを取得する。これにより、パケットハッシュテーブル記憶部５は、テーブル切り替え部１２により取得された記録開始時刻、フローハッシュ算出数ｃ、ハッシュ算出数ｋ、パケットハッシュ算出部３により算出されたパケット特定情報を含む、図１１（ｂ）に示すパケットハッシュテーブルを作成できる。
【００８８】
このハッシュビットテーブルを作成するためのハッシュ算出数ｋ、フローハッシュ算出数ｃは、タイマー部１０の制御によって、図１４に示すシーケンスによって設定される。
【００８９】
タイマー部１０は、テーブル切り替え時間Ｔ１とごとに、テーブル切り替え部１２を起動させて、ハッシュビットテーブルを切り替えさせる。これにより、例えば５秒ごとに図１１（ｂ）におけるハッシュビットテーブルが追加される。
【００９０】
その後、時刻０８：５５：００に最適化用統計値取得間隔Ｔ２となると、タイマー部１０は、トラフィック測定部６に対して統計処理を開始させる。この統計処理は、図１３（ｂ）に示す各パラメータを取得する。また、この統計処理は、最適化用統計値取得間隔Ｔ２が満了する毎に、トラフィック測定部６によって、パケット数平均Ｐ及び同一セッションパケットの通過割合ｗを算出して、図１１（ｃ）に示すトラフィック統計データを作成する。この統計処理は、最適化用統計値取得間隔Ｔ２ごとに繰り返される。
【００９１】
時刻０９：００：００に最適化間隔Ｔ３となると、タイマー部１０は、パラメータ最適化部９に対して、フローハッシュ算出数ｃ、ハッシュ算出数ｋを最適化するよう制御する。これにより、パラメータ最適化部９は、統計処理によって作成されたトラフィック統計データのうち最新のパケット数平均Ｐ、同一セッションパケットの通過割合ｗ及び所定のハッシュビットテーブルのサイズＭを用いて、フローハッシュ算出数ｃ及びハッシュ算出数ｋを算出する。
【００９２】
［パケットハッシュ記録装置Ｌの動作］
つぎに、上述したように構成されたパケットハッシュ記録装置Ｌの動作について、図１５乃至図１９を参照して説明する。
【００９３】
「パケット受信時の動作」
パケットハッシュ記録装置Ｌは、監視用通信インターフェース部１によって、汎用パケット通信網Ｎ２からＩＰパケットを受信したときに（パケット取得手段）、図１５に示す処理を開始する。
【００９４】
パケットハッシュ記録装置Ｌは、先ず、ステップＳ１１において、パケットハッシュ算出部３が、受信したＩＰパケットからパケット個別フィールド値Ｄ１とセッション内同一フィールド値Ｄ２とを抽出する。
【００９５】
次のステップＳ１２において、パケットハッシュ算出部３は、パケット個別フィールド値Ｄ１からハッシュ算出数ｋからフローハッシュ算出数ｃだけ減算した数（ｋ−ｃ）のパケットハッシュ値ｈ（Ｄ１）を算出する。ハッシュ算出数ｋ、フローハッシュ算出数ｃは、パケットハッシュ算出パラメータ記憶部４に格納されている最新の値を使用する。
【００９６】
次のステップＳ１３において、パケットハッシュ算出部３は、セッション内同一フィールド値Ｄ２からフローハッシュ算出数ｃのパケットハッシュ値ｈ（Ｄ２）を算出する（第２パケット特定情報作成手段）。フローハッシュ算出数ｃは、パケットハッシュ算出パラメータ記憶部４に格納されている最新の値を使用する。
【００９７】
次のステップＳ１４において、パケットハッシュ算出部３は、ステップＳ１２及びステップＳ１３にて算出したハッシュ算出数ｋのパケットハッシュ値ｈ（Ｄ１）、ｈ（ｄ２）を、最新のパケットハッシュテーブルとしてパケットハッシュテーブル記憶部５に記録する（記録手段）。このとき、パケットハッシュ算出部３は、パケットハッシュテーブルに、記録開始時刻、ハッシュ算出数ｋ、フローハッシュ算出数ｃを対応付けて、パケットハッシュテーブル記憶部５に記憶する。
【００９８】
次のステップＳ１５において、トラフィック測定部６は、最適化用統計開始フラグＦの値をチェックする。トラフィック測定部６は、監視用通信インターフェース部１からＩＰパケットが供給されたことに応じて、ステップＳ１５の処理を行う。
【００９９】
次のステップＳ１６において、トラフィック測定部６は、ステップＳ１５にてチェックした最適化用統計開始フラグＦが「１」であるか否かを判定する。最適化用統計開始フラグＦが「１」である場合にはステップＳ１７に処理を進め、そうでない場合には処理を終了する。
【０１００】
ステップＳ１７において、トラフィック測定部６は、統計用一次データのうちのパケットカウントＰ’に１を加算する。
【０１０１】
次のステップＳ１８において、タイマー部１０は、統計用一次データの統計開始時刻Ｔ４と現在時刻とを比較する。
【０１０２】
次のステップＳ１９において、タイマー部１０は、ステップＳ１８にて比較された統計開始時刻Ｔ４と現在時刻とから、統計開始時刻Ｔ４から現在時刻までの経過時間がテーブル切り替え時間Ｔ１以内か否かを判定する。統計開始時刻Ｔ４から現在時刻までの経過時間がテーブル切り替え時間Ｔ１以内である場合にはステップＳ２０に処理を進め、そうでない場合には処理を終了する。
【０１０３】
ステップＳ２０において、トラフィック測定部６は、統計用一次データにおける記録パケット数カウントＣ１を１だけ加算する。
【０１０４】
次のステップＳ２１において、トラフィック測定部６は、セッション内同一フィールド値Ｄ２から算出したフローハッシュ算出数ｃのハッシュ値が統計用一次データの統計用ハッシュビットテーブルＨＴに全て記録されているかチェックする。このとき、トラフィック測定部６は、ステップＳ２０にて更新した記録パケット数カウントＣ１と、統計用ハッシュビットテーブルＨＴに含まれるパケットハッシュ値ｈとの数とを比較する。
【０１０５】
次のステップＳ２２において、トラフィック測定部６は、ステップＳ２１にてチェックしたように全ての統計用ハッシュビットテーブルＨＴが記録されていると判定した場合にはステップＳ２４に処理を進め、そうでない場合にはステップＳ２３に処理を進める。
【０１０６】
ステップＳ２４において、トラフィック測定部６は、統計用一次データにおける重複パケット数カウントＣ２を１だけ加算して、処理を終了する。
【０１０７】
ステップＳ２３において、トラフィック測定部６は、セッション内同一フィールド値Ｄ２から算出したフローハッシュ算出数ｃのパケットハッシュ値ｈを統計用一次データにおける統計用ハッシュビットテーブルＨＴに記録して、処理を終了する。
【０１０８】
このように、パケットハッシュ記録装置Ｌは、汎用パケット通信網Ｎ２からＩＰパケットを受信すると、パケット個別フィールド値Ｄ１及びセッション内同一フィールド値Ｄ２から、フローハッシュ算出数ｃ及びハッシュ算出数ｋのパケットハッシュ値ｈを生成する。また、パケットハッシュ記録装置Ｌは、最適化用統計開始フラグＦが「１」となっている最適化用統計値取得間隔Ｔ２の期間であってテーブル切り替え時間Ｔ１以内では、ＩＰパケットを受信するたびにパケットカウントＰ’、記録パケット数カウントＣ１、重複パケット数カウントＣ２を加算する。これにより、パケットハッシュ記録装置Ｌは、後述するように、統計値としてパケットカウントＰ’、記録パケット数カウントＣ１及び重複パケット数カウントＣ２を利用することができる。
【０１０９】
「通過確認要求メッセージの受信時の動作」
つぎに、パケットハッシュ記録装置Ｌが、トレースバックマネージャ装置Ｍから通過確認要求メッセージを受信したときの動作について、図１６を参照して説明する。
【０１１０】
パケットハッシュ記録装置Ｌは、トレースバックマネージャ装置Ｍから通過確認要求メッセージが送信されると、トレースバックシステム専用網Ｎ１を介して管理用通信インターフェース部２が通過確認要求メッセージを受信する。管理用通信インターフェース部２は、通過確認要求メッセージを問合せ処理部１３に供給する。これにより、パケットハッシュ記録装置Ｌは、ステップＳ３１以降の処理を開始する。
【０１１１】
ステップＳ３１において、問合せ処理部１３は、受信した通過確認要求メッセージのうちパケット個別フィールド値Ｄ１から算出されたハッシュ算出数ｋからフローハッシュ算出数ｃを減算した数（ｋ−ｃ）のパケットハッシュ値ｈ（Ｄ１）を抽出する。
【０１１２】
次のステップＳ３２において、問合せ処理部１３は、受信した通過確認要求メッセージのうちセッション内同一フィールド値Ｄ２から算出されたフローハッシュ算出数ｃのパケットハッシュ値ｈ（Ｄ２）を抽出する。
【０１１３】
次のステップＳ３３において、問合せ処理部１３は、ステップＳ３１及びステップＳ３２にて抽出された合計でハッシュ算出数ｋのパケットハッシュ値ｈ（Ｄ１）、ｈ（Ｄ２）が全て記録されているハッシュビットテーブルが存在するか否かをチェックする。このとき、問合せ処理部１３は、パケットハッシュ算出部３がＩＰパケットの受信時にパケットハッシュテーブル記憶部５に記録しておいたパケットハッシュテーブルと、ステップＳ３１及びステップＳ３２にて抽出したパケットハッシュ値ｈとを比較する。このパケットハッシュテーブル記憶部５に記録されたパケットハッシュテーブルは、図１５におけるステップＳ１４にて記録したものである。
【０１１４】
次のステップＳ３４において、問合せ処理部１３は、ステップＳ３３にてチェックした結果、ステップＳ３１及びステップＳ３２にて抽出したパケットハッシュ値ｈが、パケットハッシュテーブル記憶部５のパケットハッシュテーブルに存在する場合には、ステップＳ３５に処理を進める。一方、存在しない場合には、ステップＳ３６に処理を進める。
【０１１５】
ステップＳ３５において、問合せ処理部１３は、追跡対象パケットの通過が「有り＝１」の通過確認応答メッセージを作成して、管理用通信インターフェース部２からトレースバックマネージャ装置Ｍに対して送信させる。すなわち、パケットハッシュ記録装置Ｌが接続されている汎用パケット通信網Ｎ２に追跡対象パケットが通過したことをトレースバックマネージャ装置Ｍに対して返送する。
【０１１６】
一方、ステップＳ３６において、問合せ処理部１３は、追跡対象パケットの通過が「無し＝０」の通過確認応答メッセージを作成して、管理用通信インターフェース部２からトレースバックマネージャ装置Ｍに対して送信させる。
【０１１７】
このように、パケットハッシュ記録装置Ｌは、トレースバックマネージャ装置Ｍから通過確認要求メッセージを受信した場合には、通過確認要求メッセージから、自身に設定されているハッシュ算出数ｋのパケットハッシュ値を抽出する（返信手段）。そして、パケットハッシュ記録装置Ｌは、抽出したパケットハッシュ値ｈとパケットハッシュテーブル記憶部５に記録されているパケットハッシュ値ｈとが一致した場合には、追跡対象パケットが通過したことの通過確認応答メッセージを返信できる（返信手段）。
【０１１８】
「ハッシュビットテーブルの切り替え処理」
つぎに、パケットハッシュ記録装置Ｌが、定期的に、パケットハッシュテーブル記憶部５のパケットハッシュテーブルにおけるハッシュ算出数ｋ及びフローハッシュ算出数ｃを切り替えるときの処理について、図１７を参照して説明する。この処理は、パケットハッシュ記録装置Ｌにおけるテーブル切り替え部１２によって行われる。
【０１１９】
テーブル切り替え部１２は、図１４に示したように、タイマー部１０によってハッシュビットテーブルを切り替えるテーブル切り替え時間Ｔ１となることが通知される。すると、テーブル切り替え部１２は、図１７のステップＳ４１において、パケットハッシュテーブル記憶部５のハッシュビットテーブルから記録開始時刻が最も古いレコードＲ１を検索する。例えば図１１（ｂ）に示すハッシュビットテーブルがパケットハッシュテーブル記憶部５に記録されている場合、記録開始時刻が“１０：００：１０”のレコードＲ１を見つける。
【０１２０】
次のステップＳ４２において、テーブル切り替え部１２は、ステップＳ４１にて見つけたレコードＲ１の記録開始時刻を現在の時刻にセットする。
【０１２１】
次のステップＳ４３において、テーブル切り替え部１２は、ステップＳ４１にて見つけられたレコードＲ１のハッシュ算出数ｋ及びフローハッシュ算出数ｃを、パケットハッシュ算出パラメータにおけるハッシュ算出数ｋ及びフローハッシュ算出数ｃにセットする。このとき、テーブル切り替え部１２は、図１１（ｂ）に示すパケットハッシュ算出パラメータ記憶部４におけるパケットハッシュ算出パラメータのハッシュ算出数ｋ及びフローハッシュ算出数ｃを読み出す。そして、テーブル切り替え部１２は、パケットハッシュテーブル記憶部５のパケットハッシュテーブルにおけるハッシュ算出数ｋ及びフローハッシュ算出数ｃを書き換える。
【０１２２】
次のステップＳ４４において、テーブル切り替え部１２は、パケットハッシュテーブル記憶部５におけるレコードＲ１のハッシュビットテーブルをゼロクリアする。
【０１２３】
このように、テーブル切り替え部１２は、最も古いハッシュビットテーブルを消去して、パラメータ最適化部９により最適化された現在において最新のハッシュ算出数ｋ及びフローハッシュ算出数ｃを、ハッシュビットテーブルに書き換えることができる。これにより、パケットハッシュ記録装置Ｌは、パケットハッシュ算出部３が算出したパケットハッシュ値ｈと、当該パケットハッシュ値ｈを算出したときのハッシュ算出数ｋ及びフローハッシュ算出数ｃとを含むハッシュビットテーブルを最新に維持できる。
【０１２４】
「汎用パケット通信網Ｎ２の統計処理」
つぎに、パケットハッシュ記録装置Ｌが接続された汎用パケット通信網Ｎ２の通信状況に応じて、図１１（ｃ）に示すパケット数平均Ｐ及び同一セッションパケットの通過割合ｗを更新する統計処理について、図１８を参照して説明する。
【０１２５】
トラフィック測定部６は、図１４に示したように、タイマー部１０によって最適化用統計値取得間隔Ｔ２が開始されることが通知される。すると、トラフィック測定部６は、図１８のステップＳ５１において、統計用一次データ記憶部７における統計用一次データの最適化用統計開始フラグＦの値を「１」に更新し、統計開始時刻Ｔ４に現在時刻をセットする。
【０１２６】
次のステップＳ５２において、トラフィック測定部６は、タイマー部１０の制御に従って、最適化用統計値取得間隔Ｔ２の時間分だけウェイト状態（待機状態）となる。この最適化用統計値取得間隔Ｔ２において、パケットハッシュ記録装置Ｌは、汎用パケット通信網Ｎ２からＩＰパケットを傍受する。そして、パケットハッシュ記録装置Ｌは、図１５における処理を行うことにより、ＩＰパケットからハッシュビットテーブルを生成して記録する処理と、パケットカウントＰ’を加算する処理と、テーブル切り替え時間Ｔ１ごとに記録パケット数カウントＣ１及び重複パケット数カウントＣ２を加算する処理を行うこととなる。
【０１２７】
次のステップＳ５３において、トラフィック測定部６は、統計用一次データ記憶部７における統計用一次データの最適化用統計開始フラグＦの値を「０」にセットする。
【０１２８】
次のステップＳ５４において、トラフィック測定部６は、パケット数平均Ｐを求める。このとき、トラフィック測定部６は、統計用一次データ記憶部７におけるパケットカウントＰ’と、タイマーパラメータ記憶部１１に記憶されたテーブル切り替え時間Ｔ１及び最適化用統計値取得間隔Ｔ２とを用いて、
Ｐ＝Ｐ’×Ｔ１／Ｔ２
なる演算を行う。トラフィック測定部６は、求めたパケット数平均Ｐを、トラフィック統計データ記憶部８におけるパケット数平均Ｐの最新統計値としてセットする。
【０１２９】
次のステップＳ５５において、トラフィック測定部６は、同一セッションパケットの通過割合ｗを求める。このとき、トラフィック測定部６は、図１５の処理により統計用一次データ記憶部７に記録された記録パケット数カウントＣ１と重複パケット数カウントＣ２とを用いて、
ｗ＝Ｃ２／Ｃ１
なる演算を行う。トラフィック測定部６は、求めた同一セッションパケットの通過割合ｗを、トラフィック統計データ記憶部８における同一セッションパケットの通過割合ｗの最新統計値としてセットする。
【０１３０】
次のステップＳ５６において、トラフィック測定部６は、ステップＳ５４及びステップＳ５５にてセットした最新統計値のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗが異常であるかの判定を行う。このとき、トラフィック測定部６は、既に統計用一次データ記憶部７に記録されている同曜日、同時刻帯のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗと、ステップＳ５４及びステップＳ５５にてセットした最新統計値のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗとを比較する。
【０１３１】
次のステップＳ５７において、トラフィック測定部６は、最新統計値のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗと、過去の値のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗとが大きく異なる場合には、異常であると判定する。例えば、最新統計値のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗが、同曜日の、同時刻帯のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗと比べて、５倍以上である場合には、異常であると判定する。又は、過去の同一セッションパケットの通過割合ｗに対して、最新統計値の同一セッションパケットの通過割合ｗが±０．２％の開きがある場合には、異常であると判定する。最新のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗが異常である場合にはステップＳ５９に処理を進め、正常である場合にはステップＳ５８に処理を進める。
【０１３２】
ステップＳ５８において、トラフィック測定部６は、過去の同曜日、同時刻帯のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗと、最新統計値のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗとをそれぞれ足して２で割る。そして、トラフィック測定部６は、当該演算して得た当該パケット数平均Ｐ及び同一セッションパケットの通過割合ｗを、トラフィック統計データにおける同曜日、同時刻のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗにセットする。これにより、トラフィック測定部６は、最新統計値のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗを用いて、同曜日、同時刻帯のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗを更新する。これにより、次回に最新統計値のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗが正常である場合に、今回にセットした同曜日、同時刻帯のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗを用いることができる。
【０１３３】
ステップＳ５９において、トラフィック測定部６は、トラフィック統計データにおける過去の同曜日、同時刻帯を、最新統計値のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗにセットする。これにより、最新統計値のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗが異常である場合には、過去のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗを最新統計値にセットする。これにより、異常である場合のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗを使用しないようにする。
【０１３４】
次のステップＳ６０において、トラフィック測定部６は、統計用一次データ記憶部７における統計用一次データの統計用ハッシュビットテーブルＨＴをゼロクリアする。
【０１３５】
このように、パケットハッシュ記録装置Ｌは、接続された汎用パケット通信網Ｎ２における通信状況として最新統計値のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗを取得する。最新統計値のパケット数平均Ｐ及び同一セッションパケットの通過割合ｗが正常である場合には、パケット数平均Ｐ及び同一セッションパケットの通過割合ｗを後述するようにハッシュ算出数ｋ、フローハッシュ算出数ｃを設定するために設定することができる（設定手段）。これにより、パケットハッシュ記録装置Ｌは、正常に取得された汎用パケット通信網Ｎ２の通信状況のみを用いて、ハッシュ算出数ｋ、フローハッシュ算出数ｃを最適化することができる。
【０１３６】
「ハッシュ算出数ｋ、フローハッシュ算出数ｃの最適化処理」
つぎに、パケットハッシュ記録装置Ｌによってハッシュ算出数ｋ、フローハッシュ算出数ｃを最適化する処理について、図１９を参照して説明する。
【０１３７】
パラメータ最適化部９は、図１４に示したように、タイマー部１０によって最適化間隔Ｔ３が開始されることが通知される。すると、パラメータ最適化部９は、図１９のステップＳ６１において、トラフィック統計データ記憶部８からパケット数平均Ｐ及び同一セッションパケットの通過割合ｗを取得する。このパケット数平均Ｐ及び同一セッションパケットの通過割合ｗは、上述の図１８の処理によってトラフィック測定部６がセットしたものである。
【０１３８】
次のステップＳ６２において、パラメータ最適化部９は、パケットハッシュ算出パラメータ記憶部４に記憶されたハッシュビット幅ｂ、ハッシュ算出数上限値Ｋ、誤検知率ＦＰＲｓの上限値Ｓ、ハッシュ算出数ｋ及びフローハッシュ算出数ｃを取得する。これらのパケットハッシュ算出パラメータのうち、ハッシュビット幅ｂ、ハッシュ算出数上限値Ｋ及び誤検知率ＦＰＲｓの上限値Ｓは、例えばユーザの操作に応じて、任意の値に設定される。
【０１３９】
次のステップＳ６３において、パラメータ最適化部９は、ハッシュ算出数ｋ、フローハッシュ算出数ｃを変化させたときの誤検知率ＦＰＲ及びＦＰＲｓを算出する。このとき、パラメータ最適化部９は、現状のハッシュ算出数ｋ、フローハッシュ算出数ｃを用いて、
ＦＰＲ（ｋ，ｃ）、ＦＰＲｓ（ｋ，ｃ）
ＦＰＲ（ｋ＋１，ｃ）、ＦＰＲｓ（ｋ＋１，ｃ）
ＦＰＲ（ｋ−１，ｃ）、ＦＰＲｓ（ｋ−１，ｃ）
ＦＰＲ（ｋ，ｃ＋１）、ＦＰＲｓ（ｋ，ｃ＋１）
ＦＰＲ（ｋ，ｃ−１）、ＦＰＲｓ（ｋ，ｃ−１）
の何れかを算出する。このとき、パラメータ最適化部９は、上記の式１の演算をして誤検知率ＦＰＲを求め、上記の式２の演算をして誤検知率ＦＰＲｓを求める。また、式１，２におけるハッシュビットテーブルのサイズＭは、２のハッシュビット幅ｂ乗で求められる。なお、これらの誤検知率ＦＰＲ、ＦＰＲｓを算出する処理は、一例であり、更にハッシュ算出数ｋ、フローハッシュ算出数ｃを変化させて誤検知率ＦＰＲ、ＦＰＲｓを算出しても良い。
【０１４０】
次のステップＳ６４において、パラメータ最適化部９は、ステップＳ６３にて算出した誤検知率ＦＰＲ、ＦＰＲｓのうちの最適値を求める。このとき、パラメータ最適化部９は、
（１）０＜ハッシュ算出数ｋ≦ハッシュ算出数上限値Ｋ
（２）０≦フローハッシュ算出数ｃ≦ハッシュ算出数ｋ
（３）誤検知率ＦＰＲｓ≦誤検知率ＦＰＲｓの上限値Ｓ
という３つの条件を満たす誤検知率ＦＰＲ、ＦＰＲｓの組み合わせのうち、誤検知率ＦＰＲが最小のものを最適値として求める。
【０１４１】
次のステップＳ６５において、パラメータ最適化部９は、ステップＳ６３にて算出された誤検知率ＦＰＲ（ｋ，ｃ）が、ステップＳ６４にて求められた最適値であるか否かを判定する。誤検知率ＦＰＲ（ｋ，ｃ）が最適値である場合には処理を終了し、最適値ではない場合には処理をステップＳ６６に進める。
【０１４２】
ステップＳ６６において、パラメータ最適化部９は、誤検知率ＦＰＲの最適値となったパラメータにハッシュ算出数ｋ及びフローハッシュ算出数ｃを更新して、ステップＳ６３に処理を戻す。
【０１４３】
このように、パケットハッシュ記録装置Ｌは、汎用パケット通信網Ｎ２における通信状況の統計値であるパケット数平均Ｐ、同一セッションパケットの通過割合ｗを用いてハッシュ算出数ｋ、フローハッシュ算出数ｃを最適化することができる（設定手段）。
【０１４４】
［トレースバックマネージャ装置Ｍの構成］
つぎに、上述したトレースバックシステムにおけるトレースバックマネージャ装置Ｍについて説明する。
【０１４５】
トレースバックマネージャ装置Ｍは、図２０に示すような機能的な構成を備えている。なお、図２０では、機能的な構成を示しているが、通信装置（追跡管理装置）に、図２０に示す各部を実現するためのプログラムを格納して、当該追跡管理装置のコンピュータが当該プログラムを実行することで実現されたものであっても良い。
【０１４６】
トレースバックマネージャ装置Ｍは、通信インターフェース部２１（攻撃パケット取得手段）、パケットハッシュ算出部（第１パケット特定情報作成手段）２２、パケットハッシュ上限パラメータ記憶部２３、通過確認問合せ処理部（問い合わせ手段）２４、問合せメッセージ管理情報記憶部２５及び装置隣接関係情報記憶部２６を備える。
【０１４７】
通信インターフェース部２１は、トレースバックシステム専用網Ｎ１と接続されている。通信インターフェース部２１は、トレースバックシステム専用網Ｎ１を介して攻撃パケット特定装置Ｄから追跡対象パケット（攻撃パケット）が供給される。通信インターフェース部２１は、追跡対象パケットの通過の有無を問い合わせる通過確認要求メッセージを各パケットハッシュ記録装置Ｌに送信する。その後、通信インターフェース部２１は、各パケットハッシュ記録装置Ｌから追跡対象パケットの通過の有無を含む通過確認応答メッセージを受信する。通信インターフェース部２１は、通過確認応答メッセージに基づいて追跡対象パケットを中継したパケット中継装置Ｒを特定する情報を攻撃パケット特定装置Ｄに送信する。
【０１４８】
パケットハッシュ算出部２２は、通信インターフェース部２１により受信した追跡対象パケットを用いて、パケットハッシュ値を算出する。このとき、パケットハッシュ算出部２２は、パケットハッシュ上限パラメータ記憶部２３に記憶されたパケットハッシュ上限パラメータに従ってパケットハッシュを算出する。パケットハッシュ算出部２２は、算出されたパケットハッシュ値を、パケットハッシュテーブル記憶部５に記憶させる。
【０１４９】
パケットハッシュ上限パラメータ記憶部２３には、図２１（ａ）に示すように、ハッシュビット幅上限値Ｂ及びハッシュ算出数上限値Ｋが記憶されている。ハッシュビット幅上限値Ｂは、パケットハッシュ記録装置Ｌが設定しうるハッシュビット幅ｂの上限値である。ハッシュ算出数上限値Ｋは、パケットハッシュ記録装置Ｌが設定しうる最大のハッシュ算出数ｋである。そして、パケットハッシュ上限パラメータ記憶部２３は、ハッシュ算出数上限値Ｋで設定された数のパケットハッシュ値を作成して、追跡対象パケットのパケット特定情報を生成できる。
【０１５０】
このようなパケットハッシュ算出部２２は、追跡対象パケットに含まれる情報のうちパケット個別フィールド値Ｄ１に対して所定の変換処理を施して第１パケット特定情報を作成する第１変換処理と、追跡対象パケットに含まれる情報のうちセッション内同一フィールド値Ｄ２に対して変換処理を施して第２パケット特定情報を作成する第２変換処理とを行う。そして、パケットハッシュ算出部２２は、第１変換処理により作成された第１パケット特定情報と第２変換処理により作成された第２パケット特定情報とを含むパケット特定情報を作成する。
【０１５１】
通過確認問合せ処理部２４は、パケットハッシュ算出部２２により生成されたパケット特定情報であるパケットハッシュ値をパケットハッシュ記録装置Ｌに送信させる。これにより、通過確認問合せ処理部２４は、追跡対象パケットの通過の有無をパケットハッシュ記録装置Ｌに問い合わせる。また、通過確認問合せ処理部２４は、通過確認要求メッセージに対して返信された通過確認応答メッセージを取得して、パケットハッシュ記録装置Ｌにおける追跡対象パケットの通過の有無を取得する。
【０１５２】
このとき、通過確認問合せ処理部２４は、問合せメッセージ管理情報記憶部２５に記憶された問合せメッセージ管理情報を参照及び更新する。この問い合わせメッセージ管理情報は、図２１（ｂ）に示すように、メッセージＩＤ、確認済み装置名、通過装置名、処理完了時刻を含む。メッセージＩＤは、追跡対象パケットごとにパケットハッシュ記録装置Ｌに送信される通過確認要求メッセージごとに生成される。確認済み装置名は、通過確認要求メッセージに対して通過確認応答メッセージを返信したパケットハッシュ記録装置Ｌの装置名である。通過装置名は、追跡対象パケットを中継した経路に接続されたパケットハッシュ記録装置Ｌの装置名である。処理完了時刻は、全てのパケットハッシュ記録装置Ｌから通過確認応答メッセージを受信した時刻である。
【０１５３】
通過確認問合せ処理部２４は、メッセージＩＤごとの通過確認要求メッセージに対して通過確認応答メッセージを受信した場合には、確認済み装置名にパケットハッシュ記録装置Ｌの装置名を追加する。通過確認問合せ処理部２４は、追跡対象パケットの通過が「有り」の通過確認応答メッセージを送信したパケットハッシュ記録装置Ｌの装置名を、通過装置名として追加する。
【０１５４】
通過確認問合せ処理部２４は、装置隣接関係情報記憶部２６に記憶された装置隣接関係情報を参照して、追跡対象パケットが通過した装置名を特定する。この装置隣接関係情報は、図２１（ｃ）に示すように、トレースバックシステム専用網Ｎ１を介してトレースバックマネージャ装置Ｍに接続された装置名、当該装置名のＩＰアドレス、当該装置名に隣接する装置の隣接装置名が対応付けられている。通過確認問合せ処理部２４は、通過確認応答メッセージに追跡対象パケットの通過が「有り」である場合に、問い合わせメッセージ管理情報における通過装置名を更新し、処理完了時刻となったら装置隣接関係情報を参照して、追跡対象パケットの通過経路を特定する。
【０１５５】
例えばメッセージＩＤが「０００２」の通過確認要求メッセージに対して、追跡対象パケットの通過が「有り」の通過確認応答メッセージがパケットハッシュ記録装置Ｌ５、Ｌ４であったとする。このとき、パケットハッシュ記録装置Ｌ５に隣接するパケットハッシュ記録装置Ｌは、Ｌ３とＬ４である。また、パケットハッシュ記録装置Ｌ４に隣接するパケットハッシュ記録装置Ｌは、Ｌ２とＬ３とＬ５である。したがって、通過確認問合せ処理部２４は、追跡対象パケットが、パケット中継装置Ｒ３、Ｒ１、Ｒ２、通信端末Ａ１を経由して通信端末Ｖに到着したことを認識でき、通信端末Ａ１が追跡対象パケットの発信源であることを認識できる。
【０１５６】
「追跡要求メッセージ受信時の処理」
つぎに、上述したように構成されたトレースバックマネージャ装置Ｍにより追跡要求メッセージを受信したときの処理について、図２２を参照して説明する。
【０１５７】
トレースバックマネージャ装置Ｍは、攻撃パケット特定装置Ｄからトレースバックシステム専用網Ｎ１を介して送信された追跡要求メッセージを、通信インターフェース部２１により受信すると（攻撃パケット取得手段）、ステップＳ７１以降の処理を開始する。この追跡要求メッセージには、攻撃パケット特定装置Ｄが攻撃パケットして特定した追跡対象パケットが含まれている。
【０１５８】
ステップＳ７１において、パケットハッシュ算出部２２は、通信インターフェース部２１により受信した追跡要求メッセージの送信元ＩＰアドレスを抽出する。
【０１５９】
次のステップＳ７２において、パケットハッシュ算出部２２は、通信インターフェース部２１により受信した追跡要求メッセージに含まれている追跡対象パケットから、パケット個別フィールド値Ｄ１及びセッション内同一フィールド値Ｄ２を抽出する。これらパケット個別フィールド値Ｄ１及びセッション内同一フィールド値Ｄ２は、トレースバックマネージャ装置Ｍとパケットハッシュ記録装置Ｌとの間で予め設定されたＩＰヘッダ及びＩＰパケットである。
【０１６０】
次のステップＳ７３において、パケットハッシュ算出部２２は、パケットハッシュ上限パラメータ記憶部２３に記憶されたパケットハッシュ上限パラメータのうちハッシュ算出数上限値Ｋ及びハッシュビット幅上限値Ｂを取得する。
【０１６１】
次のステップＳ７４において、パケットハッシュ算出部２２は、ステップＳ７２にて抽出したパケット個別フィールド値Ｄ１及びセッション内同一フィールド値Ｄ２からそれぞれハッシュ算出数上限値Ｋの数のパケットハッシュであって、各パケットハッシュがハッシュビット幅上限値Ｂのビット幅のパケットハッシュを算出する（第１パケット特定情報作成手段）。ここで、パケット個別フィールド値Ｄ１及びセッション内同一フィールド値Ｄ２から生成するハッシュ関数についても、トレースバックマネージャ装置Ｍとパケットハッシュ記録装置Ｌとで予め設定されたものである。これにより、パケットハッシュ算出部２２は、各パケットハッシュ記録装置Ｌが生成しうる最大数のパケットハッシュ値を生成する。
【０１６２】
次のステップＳ７５において、通過確認問合せ処理部２４は、問い合わせメッセージ管理情報に１つのレコードを追加し、メッセージＩＤの最大値に１を加えたメッセージＩＤをセットする。
【０１６３】
次のステップＳ７６において、通過確認問合せ処理部２４は、パケットハッシュ記録装置Ｌに送信する通過確認要求メッセージを生成する。通過確認問合せ処理部２４は、ステップＳ７５にてセットされたメッセージＩＤと、ステップＳ７４にてパケット個別フィールド値Ｄ１、セッション内同一フィールド値Ｄ２にてそれぞれ算出した（ハッシュ算出数上限値Ｋ×２個）のパケットハッシュとを含める。
【０１６４】
次のステップＳ７７において、通過確認問合せ処理部２４は、装置隣接関係情報から、ステップＳ７１にて抽出した送信元ＩＰアドレスに該当する装置の隣接装置名を取得する。例えば図１において、通過確認問合せ処理部２４は、攻撃パケット特定装置Ｄから追跡要求メッセージを受信した場合、攻撃パケット特定装置Ｄに隣接する隣接装置名を、装置隣接関係情報から取得する。
【０１６５】
次のステップＳ７８において、通過確認問合せ処理部２４は、ステップＳ７７にて取得した隣接装置名に対応するそれぞれの隣接装置名のＩＰアドレスを宛先ＩＰアドレスとして、通過確認要求メッセージを生成する。そして、通過確認問合せ処理部２４は、当該通過確認要求メッセージを通信インターフェース部２１から送信させる（問い合わせ手段）。これにより、トレースバックマネージャ装置Ｍは、パケットハッシュ記録装置Ｌに対して通過確認要求メッセージを受信させることができる。
【０１６６】
「通過確認応答メッセージ受信時の処理」
つぎに、上述したように通過確認要求メッセージを送信したことに対する通過確認応答メッセージを受信したときのトレースバックマネージャ装置Ｍの処理について、図２３を参照して説明する。
【０１６７】
トレースバックマネージャ装置Ｍは、パケットハッシュ記録装置Ｌからトレースバックシステム専用網Ｎ１を介して送信された通過確認応答メッセージを、通信インターフェース部２１により受信すると（問い合わせ手段）、ステップＳ８１以降の処理を開始する。この通過確認応答メッセージには、追跡対象パケットの通過の有無を示す情報が含まれている。
【０１６８】
ステップＳ８１において、通過確認問合せ処理部２４は、通信インターフェース部２１により受信した通過確認応答メッセージの送信元ＩＰアドレスを抽出する。
【０１６９】
次のステップＳ８２において、通過確認問合せ処理部２４は、通信インターフェース部２１により受信した通過確認応答メッセージからメッセージＩＤを取得する。
【０１７０】
次のステップＳ８３において、通過確認問合せ処理部２４は、問合せメッセージ管理情報からメッセージＩＤが合致するレコードＲ２を検索する。このとき、通過確認問合せ処理部２４は、図２２における追跡要求メッセージの受信時に、通過確認要求メッセージを送信する前のステップＳ７５にて追加されたレコードのメッセージＩＤが存在するかを検索する。これにより、通過確認問合せ処理部２４は、ステップＳ７８にて送信した通過確認要求メッセージに対する返信として通過確認応答メッセージを受信したかを確認する。
【０１７１】
次のステップＳ８４において、通過確認問合せ処理部２４は、装置隣接関係情報から、ステップＳ８１にて取得した送信元ＩＰアドレスに該当する装置名を取得する。
【０１７２】
次のステップＳ８５において、通過確認問合せ処理部２４は、問い合わせメッセージ管理情報のうちステップＳ８３にて見つけられたレコードＲ２に対応する確認済み装置名に対して、ステップＳ８４にて取得された装置名を、確認済み装置名として追加する。
【０１７３】
次のステップＳ８６において、通過確認問合せ処理部２４は、通信インターフェース部２１により受信した通過確認応答メッセージに通過が「有り」の情報が含まれているか否かを判定する。
【０１７４】
次のステップＳ８７において、通過確認問合せ処理部２４は、ステップＳ８６における判定の結果、通過確認応答メッセージに通過が「有り」の情報が含まれている場合にはステップＳ８８に処理を進め、そうでない場合にはステップＳ９０に処理を進める。
【０１７５】
ステップＳ８８において、通過確認問合せ処理部２４は、問い合わせメッセージ管理情報のうちのレコードＲ２に対応する通過装置名に、ステップＳ８４にて取得された装置名を追加する。
【０１７６】
次のステップＳ８９において、通過確認問合せ処理部２４は、装置隣接関係情報から、ステップＳ７１にて抽出した通過確認応答メッセージの送信元ＩＰアドレスに該当するパケットハッシュ記録装置Ｌの隣接装置名を取得する。
【０１７７】
次のステップＳ９０において、通過確認問合せ処理部２４は、ステップＳ８９にて取得した隣接装置名に対応するＩＰアドレスを宛先として、通過確認要求メッセージを送信する。
【０１７８】
これにより、トレースバックマネージャ装置Ｍは、あるパケットハッシュ記録装置Ｌから返送された通過確認応答メッセージに追跡対象パケットの通過が「有り」の情報が含まれている場合には、当該通過確認応答メッセージを返送したパケットハッシュ記録装置Ｌに隣接するパケットハッシュ記録装置Ｌに通過確認要求メッセージを送信できる。これにより、トレースバックマネージャ装置Ｍは、段階的に追跡対象パケットを取得したパケットハッシュ記録装置Ｌから、追跡対象パケットの通過が「有り」の通過確認応答メッセージを取得できる。
【０１７９】
なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。
【符号の説明】
【０１８０】
Ｌ パケットハッシュ記録装置
Ｍ トレースバックマネージャ装置
Ｎ１ トレースバックシステム専用網
Ｎ２ 汎用パケット通信網
Ｒ パケット中継装置
Ｖ 通信端末
１ 監視用通信インターフェース部
２ 管理用通信インターフェース部
３ パケットハッシュ算出部
４ パケットハッシュ算出パラメータ記憶部
５ パケットハッシュテーブル記憶部
６ トラフィック測定部
７ 統計用一次データ記憶部
８ トラフィック統計データ記憶部
９ パラメータ最適化部
１０ タイマー部
１１ タイマーパラメータ記憶部
１２ テーブル切り替え部
１３ 問合せ処理部
２１ 通信インターフェース部
２２ パケットハッシュ算出部
２３ パケットハッシュ上限パラメータ記憶部
２４ 通過確認問合せ処理部
２５ メッセージ管理情報記憶部
２６ 装置隣接関係情報記憶部
【特許請求の範囲】
【請求項１】
攻撃端末から送信されて複数の中継装置で経由されて被害端末で受信された攻撃パケットの発信源を追跡する発信源追跡システムであって、
前記中継装置により中継されたパケットを取得し、当該取得したパケットに含まれる情報に対して所定の処理を施してパケット特定情報として記録し、前記攻撃パケットを特定するパケット特定情報に基づいて前記攻撃パケットの通過の有無を判定する複数の記録装置と、
前記記録装置に前記攻撃パケットを特定するパケット特定情報を供給し、前記複数の記録装置から供給された攻撃パケットの通過の有無に基づいて、当該攻撃パケットを中継した複数の中継装置を特定する追跡管理装置とを備え、
前記各記録装置は、前記所定の処理として、前記パケットに含まれる情報のうちパケットごとに異なる情報に対して変換処理を施して第１パケット特定情報を作成する第１変換処理と、前記パケットに含まれる情報のうち前記端末間で設定されたセッションごとに共通した情報に対して変換処理を施して第２パケット特定情報を作成する第２変換処理と、前記第１変換処理により作成された第１パケット特定情報と前記第２変換処理により作成された第２パケット特定情報とを含む前記パケット特定情報を作成する作成処理とを行うこと
を特徴とする発信源追跡システム。
【請求項２】
前記各記録装置は、当該各記録装置が接続された通信網のトラフィック測定情報に基づいて、前記攻撃パケットを誤検知する誤検知率が最低となる任意の数の第１パケット特定情報及び第２パケット特定情報を作成して、前記パケット特定情報を作成することを特徴とする請求項１に記載の発信源追跡システム。
【請求項３】
前記追跡管理装置は、
前記被害端末で受信された攻撃パケットを取得する攻撃パケット取得手段と、
前記攻撃パケット取得手段により取得された攻撃パケットに含まれる情報のうちパケットごとに異なる情報に対して変換処理を施して第１パケット特定情報を作成する第１変換処理と、前記攻撃パケットに含まれる情報のうち前記端末間で設定されたセッションごとに共通した情報に対して変換処理を施して第２パケット特定情報を作成する第２変換処理と、前記第１変換処理により作成された第１パケット特定情報と前記第２変換処理により作成された第２パケット特定情報とを含むパケット特定情報を作成する第１パケット特定情報作成手段と、
前記第１パケット特定情報作成手段が作成したパケット特定情報を前記記録装置に送信し、前記攻撃パケットの通過の有無を前記記録装置から受信する問い合わせ手段とを備え、
前記記録装置は、
前記中継装置により中継されるパケットを取得するパケット取得手段と、
前記パケットに含まれる情報のうちパケットごとに異なる情報に対して変換処理を施して第１パケット特定情報を作成する第１変換処理と、前記パケットに含まれる情報のうち前記端末間で設定されたセッションごとに共通した情報に対して変換処理を施して第２パケット特定情報を作成する第２変換処理と、前記第１変換処理により作成された第１パケット特定情報と前記第２変換処理により作成された第２パケット特定情報とを含む前記パケット特定情報を作成する作成処理とを行う第２パケット特定情報作成手段と、
前記パケット取得手段が所定期間内に取得した複数のパケットに基づいて当該所定期間内における通信状況の統計値を算出し、当該算出した統計値に基づいて、前記第２パケット特定情報作成手段が作成する第１パケット特定情報数及び第２パケット特定情報数を設定する設定手段と、
前記第２パケット特定情報作成手段が作成したパケット特定情報を記録する記録手段と、
前記記録手段に記録したパケット特定情報と、前記問い合わせ手段から送信されたパケット特定情報とを比較して、前記攻撃パケットの通過の有無を作成して前記問い合わせ手段に返信する返信手段とを備え、
前記追跡管理装置の第１パケット特定情報作成手段は、前記記録装置の設定手段が設定しうる最大の第１パケット特定情報数及び第２パケット特定情報数を含むパケット特定情報を作成し、
前記記録装置の第２パケット特定情報作成手段は、前記設定手段により設定された第１パケット特定情報数及び第２パケット特定情報数のパケット特定情報を作成し、
前記返信手段は、前記問い合わせ手段から送信されたパケット特定情報のうち、前記設定手段が設定した第１パケット特定情報数及び第２パケット特定情報数のパケット特定情報を抽出して、当該抽出されたパケット特定情報と、前記第２パケット特定情報作成手段により作成されたパケット特定情報とを比較して、前記攻撃パケットを記録したかの情報を作成すること
を特徴とする請求項１又は請求項２に記載の発信源追跡システム。
【請求項４】
通信ネットワークにおける端末間で送受され中継装置により中継されるパケットを取得するパケット取得手段と、
前記パケットに含まれる情報のうちパケットごとに異なる情報に対して変換処理を施して第１パケット特定情報を作成する第１変換処理と、前記パケットに含まれる情報のうち前記端末間で設定されたセッションごとに共通した情報に対して変換処理を施して第２パケット特定情報を作成する第２変換処理と、前記第１変換処理により作成された第１パケット特定情報と前記第２変換処理により作成された第２パケット特定情報とを含む前記パケット特定情報を作成する作成処理とを行うパケット特定情報作成手段と、
前記パケット特定情報作成手段が作成したパケット特定情報を記録する記録手段と
を備えることを特徴とするパケット特定情報記録装置。
【請求項５】
前記パケット特定情報作成手段は、接続された通信網のトラフィック測定情報に基づいて、特定のパケットを誤検知する誤検知率が最低となる任意の数の第１パケット特定情報及び第２パケット特定情報を作成して、前記パケット特定情報を作成することを特徴とする請求項４に記載のパケット特定情報記録装置。
【請求項６】
前記パケット取得手段が所定期間内に取得した複数のパケットに基づいて当該所定期間内における通信状況の統計値を算出し、当該算出した統計値に基づいて、前記パケット特定情報作成手段が作成する第１パケット特定情報数及び第２パケット特定情報数を設定する設定手段を更に備え、
前記パケット特定情報作成手段は、前記設定手段により設定された第１パケット特定情報数の第１パケット特定情報と、前記設定手段により設定された第２パケット特定情報数の第２パケット特定情報とを含む前記パケット特定情報を作成すること
を特徴とする請求項４又は請求項５に記載のパケット特定情報記録装置。
【請求項７】
攻撃端末から送信されて複数の中継装置で経由されて被害端末で受信された攻撃パケットの発信源を追跡する追跡管理装置であって、
前記被害端末で受信された攻撃パケットを取得する攻撃パケット取得手段と、
前記攻撃パケット取得手段により取得された攻撃パケットに含まれる情報のうちパケットごとに異なる情報に対して変換処理を施して第１パケット特定情報を作成する第１変換処理と、前記攻撃パケットに含まれる情報のうち前記端末間で設定されたセッションごとに共通した情報に対して変換処理を施して第２パケット特定情報を作成する第２変換処理と、前記第１変換処理により作成された第１パケット特定情報と前記第２変換処理により作成された第２パケット特定情報とを含むパケット特定情報を作成するパケット特定情報作成手段と、
前記中継装置により中継されたパケットを表すパケット特定情報を記録する記録装置に前記パケット特定情報作成手段が作成したパケット特定情報を送信し、前記攻撃パケットの通過の有無を前記記録装置から受信する問い合わせ手段と
を備えることを特徴とする追跡管理装置。
【請求項８】
通信装置に内蔵されたコンピュータが実行するプログラムであって、
通信ネットワークにおける端末間で送受され中継装置により中継されるパケットを取得する処理と、
前記パケットに含まれる情報のうちパケットごとに異なる情報に対して変換処理を施して第１パケット特定情報を作成する第１変換処理と、
前記パケットに含まれる情報のうち前記端末間で設定されたセッションごとに共通した情報に対して変換処理を施して第２パケット特定情報を作成する第２変換処理と、
前記第１変換処理により作成された第１パケット特定情報と前記第２変換処理により作成された第２パケット特定情報とを含む前記パケット特定情報を作成する作成処理と、
前記作成したパケット特定情報を記録媒体に記録する処理と
をコンピュータに実行させることを特徴とする通信装置のプログラム。
【請求項９】
攻撃端末から送信されて複数の中継装置で経由されて被害端末で受信された攻撃パケットの発信源を追跡する追跡管理装置内のコンピュータが実行するプログラムであって、
前記被害端末で受信された攻撃パケットを取得する処理と、
前記取得された攻撃パケットに含まれる情報のうちパケットごとに異なる情報に対して変換処理を施して第１パケット特定情報を作成する第１変換処理と、
前記攻撃パケットに含まれる情報のうち前記端末間で設定されたセッションごとに共通した情報に対して変換処理を施して第２パケット特定情報を作成する第２変換処理と、
前記第１変換処理により作成された第１パケット特定情報と前記第２変換処理により作成された第２パケット特定情報とを含むパケット特定情報を作成する処理と、
前記中継装置により中継されたパケットを記録する記録装置に前記作成したパケット特定情報を送信させ、前記攻撃パケットを記録したかの情報を前記記録装置から受信させる処理と
をコンピュータに実行させることを特徴とする追跡管理装置のプログラム。
【請求項１】
攻撃端末から送信されて複数の中継装置で経由されて被害端末で受信された攻撃パケットの発信源を追跡する発信源追跡システムであって、
前記中継装置により中継されたパケットを取得し、当該取得したパケットに含まれる情報に対して所定の処理を施してパケット特定情報として記録し、前記攻撃パケットを特定するパケット特定情報に基づいて前記攻撃パケットの通過の有無を判定する複数の記録装置と、
前記記録装置に前記攻撃パケットを特定するパケット特定情報を供給し、前記複数の記録装置から供給された攻撃パケットの通過の有無に基づいて、当該攻撃パケットを中継した複数の中継装置を特定する追跡管理装置とを備え、
前記各記録装置は、前記所定の処理として、前記パケットに含まれる情報のうちパケットごとに異なる情報に対して変換処理を施して第１パケット特定情報を作成する第１変換処理と、前記パケットに含まれる情報のうち前記端末間で設定されたセッションごとに共通した情報に対して変換処理を施して第２パケット特定情報を作成する第２変換処理と、前記第１変換処理により作成された第１パケット特定情報と前記第２変換処理により作成された第２パケット特定情報とを含む前記パケット特定情報を作成する作成処理とを行うこと
を特徴とする発信源追跡システム。
【請求項２】
前記各記録装置は、当該各記録装置が接続された通信網のトラフィック測定情報に基づいて、前記攻撃パケットを誤検知する誤検知率が最低となる任意の数の第１パケット特定情報及び第２パケット特定情報を作成して、前記パケット特定情報を作成することを特徴とする請求項１に記載の発信源追跡システム。
【請求項３】
前記追跡管理装置は、
前記被害端末で受信された攻撃パケットを取得する攻撃パケット取得手段と、
前記攻撃パケット取得手段により取得された攻撃パケットに含まれる情報のうちパケットごとに異なる情報に対して変換処理を施して第１パケット特定情報を作成する第１変換処理と、前記攻撃パケットに含まれる情報のうち前記端末間で設定されたセッションごとに共通した情報に対して変換処理を施して第２パケット特定情報を作成する第２変換処理と、前記第１変換処理により作成された第１パケット特定情報と前記第２変換処理により作成された第２パケット特定情報とを含むパケット特定情報を作成する第１パケット特定情報作成手段と、
前記第１パケット特定情報作成手段が作成したパケット特定情報を前記記録装置に送信し、前記攻撃パケットの通過の有無を前記記録装置から受信する問い合わせ手段とを備え、
前記記録装置は、
前記中継装置により中継されるパケットを取得するパケット取得手段と、
前記パケットに含まれる情報のうちパケットごとに異なる情報に対して変換処理を施して第１パケット特定情報を作成する第１変換処理と、前記パケットに含まれる情報のうち前記端末間で設定されたセッションごとに共通した情報に対して変換処理を施して第２パケット特定情報を作成する第２変換処理と、前記第１変換処理により作成された第１パケット特定情報と前記第２変換処理により作成された第２パケット特定情報とを含む前記パケット特定情報を作成する作成処理とを行う第２パケット特定情報作成手段と、
前記パケット取得手段が所定期間内に取得した複数のパケットに基づいて当該所定期間内における通信状況の統計値を算出し、当該算出した統計値に基づいて、前記第２パケット特定情報作成手段が作成する第１パケット特定情報数及び第２パケット特定情報数を設定する設定手段と、
前記第２パケット特定情報作成手段が作成したパケット特定情報を記録する記録手段と、
前記記録手段に記録したパケット特定情報と、前記問い合わせ手段から送信されたパケット特定情報とを比較して、前記攻撃パケットの通過の有無を作成して前記問い合わせ手段に返信する返信手段とを備え、
前記追跡管理装置の第１パケット特定情報作成手段は、前記記録装置の設定手段が設定しうる最大の第１パケット特定情報数及び第２パケット特定情報数を含むパケット特定情報を作成し、
前記記録装置の第２パケット特定情報作成手段は、前記設定手段により設定された第１パケット特定情報数及び第２パケット特定情報数のパケット特定情報を作成し、
前記返信手段は、前記問い合わせ手段から送信されたパケット特定情報のうち、前記設定手段が設定した第１パケット特定情報数及び第２パケット特定情報数のパケット特定情報を抽出して、当該抽出されたパケット特定情報と、前記第２パケット特定情報作成手段により作成されたパケット特定情報とを比較して、前記攻撃パケットを記録したかの情報を作成すること
を特徴とする請求項１又は請求項２に記載の発信源追跡システム。
【請求項４】
通信ネットワークにおける端末間で送受され中継装置により中継されるパケットを取得するパケット取得手段と、
前記パケットに含まれる情報のうちパケットごとに異なる情報に対して変換処理を施して第１パケット特定情報を作成する第１変換処理と、前記パケットに含まれる情報のうち前記端末間で設定されたセッションごとに共通した情報に対して変換処理を施して第２パケット特定情報を作成する第２変換処理と、前記第１変換処理により作成された第１パケット特定情報と前記第２変換処理により作成された第２パケット特定情報とを含む前記パケット特定情報を作成する作成処理とを行うパケット特定情報作成手段と、
前記パケット特定情報作成手段が作成したパケット特定情報を記録する記録手段と
を備えることを特徴とするパケット特定情報記録装置。
【請求項５】
前記パケット特定情報作成手段は、接続された通信網のトラフィック測定情報に基づいて、特定のパケットを誤検知する誤検知率が最低となる任意の数の第１パケット特定情報及び第２パケット特定情報を作成して、前記パケット特定情報を作成することを特徴とする請求項４に記載のパケット特定情報記録装置。
【請求項６】
前記パケット取得手段が所定期間内に取得した複数のパケットに基づいて当該所定期間内における通信状況の統計値を算出し、当該算出した統計値に基づいて、前記パケット特定情報作成手段が作成する第１パケット特定情報数及び第２パケット特定情報数を設定する設定手段を更に備え、
前記パケット特定情報作成手段は、前記設定手段により設定された第１パケット特定情報数の第１パケット特定情報と、前記設定手段により設定された第２パケット特定情報数の第２パケット特定情報とを含む前記パケット特定情報を作成すること
を特徴とする請求項４又は請求項５に記載のパケット特定情報記録装置。
【請求項７】
攻撃端末から送信されて複数の中継装置で経由されて被害端末で受信された攻撃パケットの発信源を追跡する追跡管理装置であって、
前記被害端末で受信された攻撃パケットを取得する攻撃パケット取得手段と、
前記攻撃パケット取得手段により取得された攻撃パケットに含まれる情報のうちパケットごとに異なる情報に対して変換処理を施して第１パケット特定情報を作成する第１変換処理と、前記攻撃パケットに含まれる情報のうち前記端末間で設定されたセッションごとに共通した情報に対して変換処理を施して第２パケット特定情報を作成する第２変換処理と、前記第１変換処理により作成された第１パケット特定情報と前記第２変換処理により作成された第２パケット特定情報とを含むパケット特定情報を作成するパケット特定情報作成手段と、
前記中継装置により中継されたパケットを表すパケット特定情報を記録する記録装置に前記パケット特定情報作成手段が作成したパケット特定情報を送信し、前記攻撃パケットの通過の有無を前記記録装置から受信する問い合わせ手段と
を備えることを特徴とする追跡管理装置。
【請求項８】
通信装置に内蔵されたコンピュータが実行するプログラムであって、
通信ネットワークにおける端末間で送受され中継装置により中継されるパケットを取得する処理と、
前記パケットに含まれる情報のうちパケットごとに異なる情報に対して変換処理を施して第１パケット特定情報を作成する第１変換処理と、
前記パケットに含まれる情報のうち前記端末間で設定されたセッションごとに共通した情報に対して変換処理を施して第２パケット特定情報を作成する第２変換処理と、
前記第１変換処理により作成された第１パケット特定情報と前記第２変換処理により作成された第２パケット特定情報とを含む前記パケット特定情報を作成する作成処理と、
前記作成したパケット特定情報を記録媒体に記録する処理と
をコンピュータに実行させることを特徴とする通信装置のプログラム。
【請求項９】
攻撃端末から送信されて複数の中継装置で経由されて被害端末で受信された攻撃パケットの発信源を追跡する追跡管理装置内のコンピュータが実行するプログラムであって、
前記被害端末で受信された攻撃パケットを取得する処理と、
前記取得された攻撃パケットに含まれる情報のうちパケットごとに異なる情報に対して変換処理を施して第１パケット特定情報を作成する第１変換処理と、
前記攻撃パケットに含まれる情報のうち前記端末間で設定されたセッションごとに共通した情報に対して変換処理を施して第２パケット特定情報を作成する第２変換処理と、
前記第１変換処理により作成された第１パケット特定情報と前記第２変換処理により作成された第２パケット特定情報とを含むパケット特定情報を作成する処理と、
前記中継装置により中継されたパケットを記録する記録装置に前記作成したパケット特定情報を送信させ、前記攻撃パケットを記録したかの情報を前記記録装置から受信させる処理と
をコンピュータに実行させることを特徴とする追跡管理装置のプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【公開番号】特開２０１１−１１４８２０（Ｐ２０１１−１１４８２０Ａ）
【公開日】平成２３年６月９日（２０１１．６．９）
【国際特許分類】
【出願番号】特願２００９−２７２０８０（Ｐ２００９−２７２０８０）
【出願日】平成２１年１１月３０日（２００９．１１．３０）
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成２１年度、独立行政法人 情報通信研究機構、「インターネットにおけるトレースバック技術に関する研究開発」委託研究、産業技術力強化法第１９条の適用を受ける特許出願
【出願人】（０００００５８３２）パナソニック電工株式会社 (17,916)
【Ｆターム（参考）】
【公開日】平成２３年６月９日（２０１１．６．９）
【国際特許分類】
【出願日】平成２１年１１月３０日（２００９．１１．３０）
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成２１年度、独立行政法人 情報通信研究機構、「インターネットにおけるトレースバック技術に関する研究開発」委託研究、産業技術力強化法第１９条の適用を受ける特許出願
【出願人】（０００００５８３２）パナソニック電工株式会社 (17,916)
【Ｆターム（参考）】
[ Back to top ]