トップ :: H 電気 :: H04 電気通信技術




【発明の名称】 パケット追跡方法およびパケット追跡プログラム
【発明者】 【氏名】大谷 尚通

【氏名】キニ グレン マンスフィールド
【要約】 【課題】パケットに含まれる情報が書き換えられるネットワークにおいてもパケット追跡を行うこと。

【構成】パケットプリント装置４００Ａは、監視対象ネットワークを流れるパケット（２５０（２５０’））について、該パケットに含まれる情報（ＩＰアドレス、ポート番号等）を通過時に書き換えるパケット変換装置５００における書き換え前のパケット２５０を特定するためのＰＰａ＿１と、書き換え後のパケット２５０’を特定するためのＰＰｂ＿１とを生成し、パケットプリント装置４００Ａの第１のＰＰ格納部４０６Ａおよび第２のＰＰ格納部４０６Ｂに格納し、追跡マネージャ３００からの追跡対象パケットを特定するためのＰＰａ＿１を含む検索要求を受けて、第１のＰＰ格納部４０６Ａまたは第２のＰＰ格納部４０６Ｂを検索し、検索結果を追跡マネージャ３００へ送信する。
【特許請求の範囲】
【請求項１】
監視対象のネットワークの要所に配置された複数のパケットプリント装置と、これらのパケットプリント装置との間で情報の送受を行う追跡マネージャとを備えたパケット追跡システムに適用されるパケット追跡方法であって、
前記ネットワークを流れるパケットについて、該パケットに含まれる情報を通過時に書き換えるパケット変換装置における書き換えで変化する情報がマスクされたパケットを特定し該パケット変換装置の前後で共通な内容の共通パケット特定情報と、マスク前のパケットを特定するための通常パケット特定情報とを生成するとともに、前記共通パケット特定情報と前記通常パケット特定情報との対応関係を表す対応テーブルを生成し、格納するパケット特定情報格納工程と、
追跡対象パケットを特定するための追跡対象パケット特定情報を含む検索要求を受けて、前記対応テーブルにおける前記追跡対象パケット特定情報を検索することで、前記パケット変換装置の前後におけるパケットを同定する同定工程と、
を含むことを特徴とするパケット追跡方法。
【請求項２】
前記パケット特定情報格納工程では、前記ネットワークを流れるパケットの方向に対応させて、マスクする情報を変化させ前記共通パケット特定情報を生成することを特徴とする請求項１に記載のパケット追跡方法。
【請求項３】
前記パケット特定情報格納工程では、前記パケット変換装置における書き換えで変化する情報がマスクされたパケットを複数分割し、分割された各部分パケットを特定するための部分パケット特定情報を生成し、部分パケット特定情報を任意の組み合わせで組み合わせることにより共通パケット特定情報を生成し、格納することを特徴とする請求項１に記載のパケット追跡方法。
【請求項４】
前記ネットワークに送出されるバリアパケットの情報を格納するバリアパケット情報格納工程を含み、前記同定工程では、前記共通パケット特定情報および前記通常パケット特定情報でパケットの同定ができない場合、前記バリアパケットの情報に基づいて、該パケットの同定を行うことを特徴とする請求項１に記載のパケット追跡方法。
【請求項５】
前記追跡マネージャが主導で前記追跡対象パケットの追跡調査を行うことを特徴とする請求項１〜４のいずれか一つに記載のパケット追跡方法。
【請求項６】
前記パケットプリント装置が主導で前記追跡対象パケットの追跡調査を行うことを特徴とする請求項１〜４のいずれか一つに記載のパケット追跡方法。
【請求項７】
前記追跡対象パケットの追跡を、前記追跡マネージャ、前記パケットプリント装置の機能を有するプロキシ装置へ代理依頼する依頼工程を含むことを特徴とする請求項１〜４のいずれか一つに記載のパケット追跡方法。
【請求項８】
請求項１〜７のいずれか一つに記載されたパケット追跡方法をコンピュータに実行させるためのパケット追跡プログラム。
【発明の詳細な説明】【技術分野】
【０００１】
本発明は、ネットワークを流れる監視対象パケットを追跡するパケット追跡方法およびパケット追跡プログラムに関するものであり、特に、パケットに含まれる情報が書き換えられるネットワークにおいてもパケット追跡を行うことができるパケット追跡方法およびパケット追跡プログラムに関するものである。
【背景技術】
【０００２】
従来より、ネットワーク内の不審なパケットを検出するために、ＩＤＳ（Intrusion Detection System：侵入検知装置）が使用されている。このＩＤＳにより不審なパケットを検知し、そのパケットの追跡を行う場合には、発信元アドレスをキーとしてパケットの追跡を行う。
【０００３】
そのため、発信元アドレスが詐称されていると、正確なパケットの追跡ができない。このような発信元の詐称されたパケットを特定し、追跡するために、パケット内に目印となる情報を付与する等、パケットに手を加える方法や、パケットの中身を精査する方法が考えられていた。
【０００４】
しかし、上述したパケット内に目印となる情報を付与する従来の方法は、その中身を調べるため、プライバシを侵害するという問題点があった。また、第三者によってパケット内に追跡するためとして付与された情報が、悪意ある第三者によって付与された、または変更された欺購情報である場合には、そのパケットを正確に追跡することができなかった。
【０００５】
また、従来では、ルータ等、既存のネットワーク機器において追跡する方法も考えられていた。しかし、この方法を実現するには、対象となるネットワーク装置内部の仕組みや、ネットワークの構成を一部変更しなければならない。そのため、機器の追加、設置場所変更等の構成変更を柔軟に行うことができなくなるという問題点があった。
【０００６】
図３３は、上記問題点を解決するための従来のパケット追跡システムの構成概要を示すブロック図である。同図において、ローカルネットワーク５０Ａ、５０Ｂ、５０Ｃおよび５０Ｄは、イントラネット内のネットワークである。従って、これらのローカルネットワーク５０Ａ、５０Ｂ、５０Ｃおよび５０Ｄでは、ローカルＩＰ（Internet Protocol Address）アドレスが用いられる。
【０００７】
これらのローカルネットワーク５０Ａ、５０Ｂ、５０Ｃおよび５０Ｄを監視するため、それぞれのローカルネットワーク間には、パケットプリント装置１０１（１０１ａ、１０１ｂ、１０１ｃ）が、タッピングなどの手法を用いてＩＰアドレスなどの論理接続を持たない接続方式（ステルス接続方式）により接続されている。したがって、これらのパケットプリント装置１０１ａ、１０１ｂおよび１０１ｃは、監視対象ネットワーク内の他の装置から自己の存在を隠すことができる。
【０００８】
また、パケットプリント装置１０１ａ、１０１ｂおよび１０１ｃは、監視対象ネットワークとは独立に存在する管理用ネットワークにも接続されている。この場合、パケットプリント装置１０１ａ、１０１ｂおよび１０１ｃは、監視対象ネットワークとの接続（ステルス接続）とは異なり、管理用ネットワークに接続された他の装置から認識可能な接続方式（例えばＩＰ接続方式）で接続されている。
【０００９】
これらのパケットプリント装置１０１ａ、１０１ｂおよび１０１ｃは、それぞれが接続されているローカルネットワーク間の接続リンクを監視の対象とし、それぞれの監視対象ネットワークを通過するパケットのコピーを取り込み、コピーしたパケットを一意に特定するためのパケットプリント（ＰＰ）を生成するとともに、このパケットプリントを記憶する。
【００１０】
ここで、パケットプリントとして最も一般的なのがハッシュ値と呼ばれるものである。このハッシュ値の生成には、ハッシュ関数と呼ばれる一方向性関数が用いられる。この一方向性関数に基づいて、パケットに含まれる文字、数字などを含んだ可変長の文字列データが固定長のデータに要約される。この要約された固定長データをハッシュ値と呼んでいる。なお、これ以降、このパケットプリントをハッシュ値として説明する。
【００１１】
ＩＤＳ１０３は、ローカルネットワーク５０Ｃおよび管理用ネットワークに接続されている。このＩＤＳ１０３は、監視対象ネットワークに侵入した不正アクセスパケットの検知を行う装置である。追跡マネージャ１０２は、管理用ネットワークに接続され、パケットプリント装置１０１ａ、１０１ｂおよび１０１ｃと管理用ネットワークを介して通信する装置である。構成情報格納部１２６は監視対象ネットワークおよび管理用ネットワークの構成情報を記憶している。
【００１２】
上記構成において、ＩＤＳ１０３が、ローカルネットワーク５０Ｃ内で不正アクセスパケットを検知したものとする。この不正アクセスパケットの検知は、ユーザが定義した不正アクセスの判定基準およびルールに基づいて行われる。
【００１３】
例えば、ポートスキャンが行われた場合、ＩＤＳ１０３は、このポートスキャンに対する警報と、このポートスキャンを行ったパケットを追跡対象パケットとして追跡マネージャ１０２に送信する。これにより、追跡マネージャ１０２は、これらのＩＤＳ１０３からの警報と、追跡対象パケットを受信すると、受信したパケットからパケットプリント（ハッシュ値）を生成する。
【００１４】
つぎに、追跡マネージャ１０２は、パケットプリント装置の位置を確認し、生成したパケットプリント（ハッシュ値）を含む検索要求を送信する。ここでは、パケットプリント装置１０１ａ、１０１ｂおよび１０１ｃのすべてに生成したパケットプリント（ハッシュ値）を含む検索要求を送信するものとする。このとき、パケットプリント装置１０１ａ、１０１ｂおよび１０１ｃは、受信したパケットプリント（ハッシュ値）と一致するパケットプリント（ハッシュ値）を記憶しているかどうか検索する。
【００１５】
そして、パケットプリント装置１０１ａ、１０１ｂおよび１０１ｃのそれぞれは、検索が終わると、検索結果を追跡マネージャ１０２に送信する。追跡マネージャ１０２は、パケットプリント装置１０１ａ、１０１ｂおよび１０１ｃから送信された検索結果と、ネットワークの構成情報とから、パケットの経路を得る。
【００１６】
例えば、パケットプリント装置１０１ｂ、１０１ｃから、一致するパケットプリント（ハッシュ値）を記憶しているという検索結果を受信した場合、追跡対象パケットは、ローカルネットワーク５０Ｂを介してローカルネットワーク５０Ｄから来たということが明らかになる。
【００１７】
なお、図３３に示す構成では、追跡マネージャ１０２やＩＤＳ１０３などを接続する管理用ネットワークは、監視対象ネットワークとは独立して存在するものとしているが、この接続形態に限定されるものではなく、監視対象ネットワークと論理的、物理的に同一な通信回線であってもよいし、物理的に同一であって、論理的に異なる通信回線であってもよい。
【００１８】
図３４は、パケットプリント装置１０１の機能構成を示すブロック図である。同図において、タッピング装置１１１は、接続する監視対象ネットワークを通過するパケットのコピーを作成する。プリント制御部１１２は、予め、パケットプリント（ハッシュ値）を生成する方式（ハッシュ関数）を、パケットプリント部１１３に指示しておく。
【００１９】
パケットプリント部１１３は、プリント制御部１１２に指示された方式（ハッシュ関数）で、タッピング装置１１１がコピーしたパケットのパケットプリント（ハッシュ値）を生成する。キャッシュ制御部１１４は、ＰＰ格納部１１５に記憶されているパケットプリント（ハッシュ値）の量を認識する。
【００２０】
ここで、ＰＰ格納部１１５に記憶されているパケットプリント（ハッシュ値）が一定量以上であった場合、キャッシュ制御部１１４は、ＰＰ格納部１１５に記憶されている最も古いパケットプリント（ハッシュ値）を破棄する。
【００２１】
ＰＰ格納部１１５に記憶されているパケットプリント（ハッシュ値）が一定量以下であった場合、キャッシュ制御部１１４は、ＰＰ格納部１１５に記憶されている情報の最後尾に新しいハッシュ値を追加して記憶する。このように、キャッシュ制御部１１４は、ＰＰ格納部１１５に記憶されているパケットプリントが常に一定量以下になるよう制御する。
【００２２】
パケットプリント装置１０１ａ、１０１ｂおよび１０１ｃは、監視対象ネットワークを通過するすべてのパケットに対し、上述の動作を行っている。追跡エージェント部１１６は、管理用ネットワークと接続され、追跡マネージャ１０２と通信する。なお、追跡エージェント部１１６の動作については、後述する追跡マネージャ１０２の動作のところで説明する。
【００２３】
図３５は、追跡マネージャ１０２の機能構成を示すブロック図である。同図において、警報受信部１２１は、ＩＤＳ１０３から不正アクセスパケットに対する警報を受信し、パケット受信部１２２は、ＩＤＳ１０３から不正アクセスパケット（追跡対象パケット）を受信する。プリント制御部１２３は、あらかじめ、ハッシュ値を生成する方式（ハッシュ関数）を、パケットプリント部１２４に指示しておく。
【００２４】
なお、パケットプリント装置１０１のプリント制御部１１２で指定される方式と、追跡マネージャ１０２のプリント制御部１２３で指定される方式は常に同じ方式である。パケットプリント部１２４は、プリント制御部１２３から指示された方式（ハッシュ関数）で、パケット受信部１２２で受信されたパケットのパケットプリント（ハッシュ値）を生成する。
【００２５】
追跡要求部１２５は、パケットプリント部１２４で生成されたパケットプリント（ハッシュ値）を含む検索要求をパケットプリント装置１０１ａ、１０１ｂおよび１０１ｃに送信するとともに、パケットプリント装置１０１ａ、１０１ｂおよび１０１ｃからの検索結果を受信する。
【００２６】
これらのパケットプリント装置１０１ａ、１０１ｂおよび１０１ｃから送信された検索結果と、監視対象ネットワークおよび管理用ネットワークの構成を記憶する構成情報格納部１２６とに基づいて、通過ルート作成部１２７がパケットの通過経路を作成する。
【００２７】
このようにして、通過ルート作成部１２７が作成した追跡対象パケットの通過経路の情報がシステム管理者等に通知される。システム管理者等は、この通過経路の情報に基づき、追跡対象パケットがどこから侵入してきたのかを判断することができ、不正アクセスのパケットに対する対策を打つことができる。
【００２８】
【特許文献１】特開２０００−１２４９５２号公報
【非特許文献１】武井，「トラヒックパターンを用いた不正アクセス検出及び追跡方式」，信学技報，財団法人電子情報通信学会，１９９９年１１月１８日，Ｖｏｌ．９９ Ｎｏ．４３６，ｐ．３７−４２
【非特許文献２】小久保，「不正アクセス発信源追跡システムのモデル検討」，第６０回（平成１２年度前期）全国大会講演論文集（３），財団法人情報処理学会，平成１２年３月１４日，ｐ．３-２８３−３-２８４
【非特許文献３】渡辺，「不正アクセス発信源追跡のためのパケット識別情報の検討」，第６０回（平成１２年度前期）全国大会講演論文集（３），財団法人情報処理学会，平成１２年３月１４日，ｐ．３-２８９−３-２９０
【非特許文献４】渡辺，「不正アクセス発信源追跡におけるパケット識別情報の有効性検証」，第６１回（平成１２年度後期）全国大会講演論文集（３），財団法人情報処理学会，平成１２年１０月３日，ｐ．３-２５９−３-２６０
【非特許文献５】池田，「不正アクセス発信源追跡システムのアーキテクチャの有効性検証」，第６２回（平成１３年度前記）全国大会講演論文集（３），財団法人情報処理学会，平成１３年３月１３日，ｐ．３-２８５−３-２８６
【非特許文献６】Alex C Snoeren，「Hash-Based IP Traceback」，BBN Technical Memorandum No.1284，February 7,2001
【発明の開示】
【発明が解決しようとする課題】
【００２９】
ところで、前述したように、従来のパケット追跡システムでは、図３３に示したローカルネットワーク５０Ａ、５０Ｂ、５０Ｃおよび５０Ｄを通じて、追跡対象パケットに含まれるローカルＩＰアドレス等が変化しない。
【００３０】
このため、従来のパケット追跡システムでは、ローカルＩＰアドレス等が変化しない追跡対象パケットのパケットプリントをキーとして、追跡が可能となる。
【００３１】
これに対して、ＮＡＴ（Network Address Translation）やＩＰマスカレードが適用されたネットワークにおいては、追跡対象パケットに含まれるＩＰアドレス、ポート番号やシーケンス番号等が通過の途中で書き換えられるため、上述した従来のパケット追跡システムで追跡を行うことができないという問題があった。
【００３２】
ここで、ＮＡＴは、社内のみで通用するローカルＩＰアドレスと、インターネット等のグローバルネットワークへのアクセスに利用できる本来のグローバルＩＰアドレスとを相互に変換し、ローカルＩＰアドレスしか割り当てられていないローカルネットワークから、透過的にグローバルネットワークへアクセスできるようにする技術である。
【００３３】
ＩＰマスカレードは、ＮＡＴによるＩＰアドレスの変換だけでなく、その上位プロトコルであるＴＣＰ／ＵＤＰ（Transmission Control Protocol/User Datagram Protocol）のポート番号やシーケンス番号等も変換することで、異なる通信ポートを利用するものについて、１つのグローバルＩＰアドレスを利用して、複数のローカルＩＰノードが外部と通信できるようにした技術である。
【００３４】
図３６には、上述したＮＡＴやＩＰマスカレードが適用されたネットワーク構成が図示されている。同図において、グローバルネットワークＡとローカルネットワークＢとの間には、パケット変換装置２１０が設けられている。ローカルネットワークＢは、内部ネットワークであり、ローカルＩＰアドレスが適用される。
グローバルネットワークＡは、外部ネットワークであり、グローバルＩＰアドレスが適用される。
【００３５】
パケット変換装置２１０は、ＮＡＴやＩＰマスカレードの機能により、通過するパケットのＩＰアドレスや、ポート番号等を変換する装置である。例えば、グローバルネットワークＡからローカルネットワークＢへ流れるパケット２５０は、パケット変換装置２１０でパケット２５０’に変換される。
【００３６】
具体的には、パケット２５０のDstIP:210.162.74.2（発信先のグローバルＩＰアドレス）は、パケット２５０’のDstIP:192.168.1.5（発信先のローカルＩＰアドレス）に変換される。また、パケット２５０のDstPort:8080（発信先のポート番号）は、パケット２５０’のDstPort:80（発信先のポート番号）に変換される。
【００３７】
ここで、図３６に示したネットワークに、従来のパケット追跡システムを適用した場合には、パケット変換装置２１０の前後でパケットプリントが異なるため、追跡が行えないのである。同図の例では、パケット２５０に対応するパケットプリントＰＰが1A85DE81BCであるのに対して、パケット２５０’に対応するパケットプリントＰＰがC48EB4A58Dである。
【００３８】
同様にして、ローカルネットワークＢからグローバルネットワークＡへ流れるパケット２６０は、パケット変換装置２１０でパケット２６０’に変換される。具体的には、パケット２６０のSrcIP:192.168.1.5（発信元のローカルＩＰアドレス）は、パケット２６０’のSrcIP:210.162.74.2（発信元のグローバルＩＰアドレス）に変換される。
【００３９】
同図の例では、パケット２６０に対応するパケットプリントＰＰが8A5E616C8Bであるのに対して、パケット２６０’に対応するパケットプリントＰＰがF58EA85C64であるため、従来のパケット追跡システムが使えないのである。
【００４０】
この発明は、上記に鑑みてなされたものであり、パケットに含まれる情報が書き換えられるネットワークにおいてもパケット追跡を行うことができるパケット追跡方法およびパケット追跡プログラムを提供することを目的とする。
【課題を解決するための手段】
【００４１】
上述した課題を解決し、目的を達成するために、本発明は、監視対象のネットワークの要所に配置された複数のパケットプリント装置と、これらのパケットプリント装置との間で情報の送受を行う追跡マネージャとを備えたパケット追跡システムに適用されるパケット追跡方法であって、前記ネットワークを流れるパケットについて、該パケットに含まれる情報を通過時に書き換えるパケット変換装置における書き換えで変化する情報がマスクされたパケットを特定し該パケット変換装置の前後で共通な内容の共通パケット特定情報と、マスク前のパケットを特定するための通常パケット特定情報とを生成するとともに、前記共通パケット特定情報と前記通常パケット特定情報との対応関係を表す対応テーブルを生成し、格納するパケット特定情報格納工程と、追跡対象パケットを特定するための追跡対象パケット特定情報を含む検索要求を受けて、前記対応テーブルにおける前記追跡対象パケット特定情報を検索することで、前記パケット変換装置の前後におけるパケットを同定する同定工程と、を含むことを特徴とする。
【００４２】
この発明によれば、ネットワークを流れるパケットについて、パケット変換装置における書き換えで変化する情報がマスクされたパケットを特定し該パケット変換装置の前後で共通な内容の共通パケット特定情報と、マスク前のパケットを特定するための通常パケット特定情報とを生成するとともに、共通パケット特定情報と通常パケット特定情報との対応関係を表す対応テーブルを生成、格納し、追跡対象パケット特定情報を含む検索要求を受けて、対応テーブルにおける追跡対象パケット特定情報を検索することで、パケット変換装置の前後におけるパケットを同定することとしたので、パケットに含まれる情報が書き換えられるネットワークにおいてもパケット追跡を行うことができる。
【００４３】
また、本発明は、上記発明において、前記パケット特定情報格納工程では、前記ネットワークを流れるパケットの方向に対応させて、マスクする情報を変化させ前記共通パケット特定情報を生成することを特徴とする。
【００４４】
この発明によれば、ネットワークを流れるパケットの方向に対応させて、マスクする情報を変化させ共通パケット特定情報を生成することとしたので、パケットの方向に応じてパケットの追跡を行うことができる。
【００４５】
また、本発明は、上記発明において、前記パケット特定情報格納工程では、前記パケット変換装置における書き換えで変化する情報がマスクされたパケットを複数分割し、分割された各部分パケットを特定するための部分パケット特定情報を生成し、部分パケット特定情報を任意の組み合わせで組み合わせることにより共通パケット特定情報を生成し、格納することを特徴とする。
【００４６】
この発明によれば、パケット変換装置における書き換えで変化する情報がマスクされたパケットを複数分割し、分割された各部分パケットを特定するための部分パケット特定情報を生成し、部分パケット特定情報を任意の組み合わせで組み合わせることにより共通パケット特定情報を生成し、格納することとしたので、共通パケット特定情報の生成効率を高めることができる。
【００４７】
また、本発明は、上記発明において、前記ネットワークに送出されるバリアパケットの情報を格納するバリアパケット情報格納工程を含み、前記同定工程では、前記共通パケット特定情報および前記通常パケット特定情報でパケットの同定ができない場合、前記バリアパケットの情報に基づいて、該パケットの同定を行うことを特徴とする。
【００４８】
この発明によれば、ネットワークに送出されるバリアパケットの情報を格納し、共通パケット特定情報および通常パケット特定情報でパケットの同定ができない場合、バリアパケットの情報に基づいて、該パケットの同定を行うこととしたので、パケットの同定精度を高めることができる。
【００４９】
また、本発明は、上記発明において、前記追跡マネージャが主導で前記追跡対象パケットの追跡調査を行うことを特徴とする。
【００５０】
この発明によれば、追跡マネージャが主導でパケットに含まれる情報が書き換えられるネットワークにおいてもパケット追跡を行うことができる。
【００５１】
また、本発明は、上記発明において、前記パケットプリント装置が主導で前記追跡対象パケットの追跡調査を行うことを特徴とする。
【００５２】
また、本発明は、上記発明において、前記追跡対象パケットの追跡を、前記追跡マネージャ、前記パケットプリント装置の機能を有するプロキシ装置へ代理依頼する依頼工程を含むことを特徴とする。
【００５３】
この発明によれば、追跡対象パケットの追跡を、追跡マネージャ、パケットプリント装置の機能を有するプロキシ装置へ代理依頼することとしたので、追跡マネージャの追跡処理負荷を軽減することができる。また、この発明によれば、追跡マネージャ、パケットプリント装置等が一つのプロキシ装置としてまとめられ、一つのハードウェアとして実装、運用管理のコストを削減することができ、パケットプリント装置、追跡マネージャ間の通信の高速化、秘匿性の向上を図ることができる。
【００５４】
また、本発明にかかるパケット追跡プログラムによれば、上記の発明のいずれか一つに記載された方法をコンピュータに実行させるようにしたので、そのパケット追跡プログラムがコンピュータ読み取り可能となり、これによって、上記の発明のいずれか一つの動作をコンピュータによって実行することができる。
【発明の効果】
【００５５】
以上説明したように、本発明によれば、ネットワークを流れるパケットについて、パケット変換装置における書き換えで変化する情報がマスクされたパケットを特定し該パケット変換装置の前後で共通な内容の共通パケット特定情報と、マスク前のパケットを特定するための通常パケット特定情報とを生成するとともに、共通パケット特定情報と通常パケット特定情報との対応関係を表す対応テーブルを生成、格納し、追跡対象パケット特定情報を含む検索要求を受けて、対応テーブルにおける追跡対象パケット特定情報を検索することで、パケット変換装置の前後におけるパケットを同定することとしたので、パケットに含まれる情報が書き換えられるネットワークにおいてもパケット追跡を行うことができるという効果を奏する。
【００５６】
また、本発明によれば、ネットワークを流れるパケットの方向に対応させて、マスクする情報を変化させ共通パケット特定情報を生成することとしたので、パケットの方向に応じてパケットの追跡を行うことができるという効果を奏する。
【００５７】
また、本発明によれば、パケット変換装置における書き換えで変化する情報がマスクされたパケットを複数分割し、分割された各部分パケットを特定するための部分パケット特定情報を生成し、部分パケット特定情報を任意の組み合わせで組み合わせることにより共通パケット特定情報を生成し、格納することとしたので、共通パケット特定情報の生成効率を高めることができるという効果を奏する。
【００５８】
また、本発明によれば、ネットワークに送出されるバリアパケットの情報を格納し、共通パケット特定情報および通常パケット特定情報でパケットの同定ができない場合、バリアパケットの情報に基づいて、該パケットの同定を行うこととしたので、パケットの同定精度を高めることができるという効果を奏する。
【００５９】
また、本発明によれば、追跡マネージャが主導でパケットに含まれる情報が書き換えられるネットワークにおいてもパケット追跡を行うことができるという効果を奏する。
【００６０】
また、本発明によれば、パケットプリント装置が主導でパケットに含まれる情報が書き換えられるネットワークにおいてもパケット追跡を行うことができるという効果を奏する。
【００６１】
また、本発明によれば、追跡対象パケットの追跡を、追跡マネージャ、パケットプリント装置の機能を有するプロキシ装置へ代理依頼することとしたので、追跡マネージャの追跡処理負荷を軽減することができるという効果を奏する。また、本発明によれば、追跡マネージャ、パケットプリント装置等が一つのプロキシ装置としてまとめられ、一つのハードウェアとして実装、運用管理のコストを削減することができ、パケットプリント装置、追跡マネージャ間の通信の高速化、秘匿性の向上を図ることができるという効果を奏する。
【００６２】
また、本発明にかかるパケット追跡プログラムによれば、上記の発明のいずれか一つに記載された方法をコンピュータに実行させるようにしたので、そのパケット追跡プログラムがコンピュータ読み取り可能となり、これによって、上記の発明のいずれか一つの動作をコンピュータによって実行することができるという効果を奏する。
【発明を実施するための最良の形態】
【００６３】
以下、図面を参照して本発明にかかるパケット追跡方法およびパケット追跡プログラムの実施例１〜７について詳細に説明する。
【実施例１】
【００６４】
図１は、本発明にかかる実施例１の構成を示すブロック図である。同図には、パケットに含まれる情報を変換する機能を備えるネットワークにおいてもパケット追跡を行うためのパケット追跡システムが図示されている。
【００６５】
ＩＤＳ２００は、グローバルネットワークＡ、ローカルネットワークＢおよび管理用ネットワーク（図示略）に接続されており、監視対象ネットワークに侵入した不正アクセスパケットの検知を行う装置である。
【００６６】
ローカルネットワークＢは、内部ネットワークであり、ローカルＩＰアドレスが適用される。グローバルネットワークＡは、外部ネットワークであり、グローバルＩＰアドレスが適用される。
【００６７】
パケット変換装置５００は、前述したパケット変換装置２１０（図３６参照）と同様の機能を備えており、ＮＡＴやＩＰマスカレードの機能により、通過するパケットのＩＰアドレスや、ポート番号等を変換する装置である。具体的には、パケット変換装置５００は、変換ルール（ＩＰアドレス変換データ）が記述された変換テーブル５０１に基づいて、例えば、グローバルネットワークＡからローカルネットワークＢへ流れるパケット２５０をパケット２５０’に変換する。
【００６８】
追跡マネージャ３００は、追跡マネージャ１０２（図３３参照）と同様の機能を備えており、管理用ネットワーク（図示略）に接続され、パケットプリント装置４００Ａおよび４００Ｂと管理用ネットワークを介して通信する装置である。
【００６９】
パケットプリント装置４００Ａおよび４００Ｂは、タッピングなどの手法を用いてＩＰアドレスなどの論理接続を持たない接続方式（ステルス接続方式）により接続されている。したがって、これらのパケットプリント装置４００Ａおよび４００Ｂは、監視対象ネットワーク内の他の装置から自己の存在を隠すことができる。
【００７０】
また、パケットプリント装置４００Ａおよび４００Ｂは、監視対象ネットワークとは独立に存在する管理用ネットワークにも接続されている。この場合、パケットプリント装置４００Ａおよび４００Ｂは、監視対象ネットワークとの接続（ステルス接続）とは異なり、管理用ネットワークに接続された他の装置から認識可能な接続方式（例えばＩＰ接続方式）で接続されている。
【００７１】
パケットプリント装置４００Ａは、グローバルネットワークＡとパケット変換装置５００との間の接続リンクを監視の対象とし、監視対象ネットワークを通過するパケットのコピーを取り込み、コピーしたパケットを一意に特定するためのパケットプリント（ハッシュ値）を生成するとともに、このパケットプリントを記憶する。
【００７２】
ここで、パケットプリント装置４００Ａは、パケット変換装置５００における処理前のパケット２５０からパケットプリント（ＰＰａ＿１）を生成するとともに、パケット２５０から処理後のパケット２５０’を生成し、このパケット２５０’からパケットプリント（ＰＰｂ＿１）を生成する機能を備えている。パケット２５０には、グローバルＩＰアドレスが含まれている。また、パケット２５０’には、ローカルＩＰアドレスが含まれている。
【００７３】
つまり、パケットプリント装置４００Ａは、パケット変換装置５００のエミュレータとしても機能し、パケット変換装置５００の処理前後の二種類のパケットプリント（ＰＰａ＿１、ＰＰｂ＿１）を生成し、これらを第１のＰＰ格納部４０６Ａおよび第２のＰＰ格納部４０６Ｂにそれぞれ格納する。
【００７４】
一方、パケットプリント装置４００Ｂは、ローカルネットワークＢとパケット変換装置５００との間の接続リンクを監視の対象とし、監視対象ネットワークを通過するパケットのコピーを取り込み、コピーしたパケットを一意に特定するためのパケットプリント（ハッシュ値）を生成するとともに、このパケットプリントを記憶する。
【００７５】
ここで、パケットプリント装置４００Ｂも、パケット変換装置５００における処理後のパケット２５０’からパケットプリント（ＰＰｂ＿１）を生成するとともに、パケット２５０’から処理前のパケット２５０を生成し、このパケット２５０からパケットプリント（ＰＰａ＿１）を生成する機能を備えている。
【００７６】
つまり、パケットプリント装置４００Ｂも、パケットプリント装置４００Ａと同様にして、パケット変換装置５００のエミュレータとしても機能し、パケット変換装置５００の処理前後の二種類のパケットプリント（ＰＰａ＿１、ＰＰｂ＿１）を生成し、これらを第１のＰＰ格納部４０６Ａおよび第２のＰＰ格納部４０６Ｂにそれぞれ格納する。
【００７７】
図２は、図１に示したパケットプリント装置４００（４００Ａ、４００Ｂ）の構成を示すブロック図である。同図において、タッピング装置４０１は、接続する監視対象ネットワークを通過するパケットのコピーを作成する。
【００７８】
プリント制御部４０２は、予め、パケットプリント（ハッシュ値）を生成する方式（ハッシュ関数）を、パケットプリント部４０３に指示しておく。変換テーブル４０４は、図１に示したパケット変換装置５００の変換テーブル５０１と同様のテーブルであり、変換ルール（ＩＰアドレス変換データ）を記述したものである。
【００７９】
パケットプリント装置４００Ａのパケットプリント部４０３は、プリント制御部４０２に指示された方式（ハッシュ関数）で、タッピング装置４０１がコピーしたパケット２５０（図１参照）から第１のＰＰ（ハッシュ値）を生成する。この第１のＰＰは、図１に示したパケットプリント装置４００Ａの第１のＰＰ格納部４０６Ａに格納されるＰＰａ＿１等に対応している。
【００８０】
また、パケットプリント装置４００Ａのパケットプリント部４０３は、変換テーブル４０４を参照して、タッピング装置４０１からのパケット２５０（図１参照）からパケット２５０’を生成し、このパケット２５０’から第２のＰＰを生成する。この第２のＰＰは、図１に示したパケットプリント装置４００Ａの第２のＰＰ格納部４０６Ｂに格納されるＰＰｂ＿１等に対応している。
【００８１】
第１のＰＰ格納部４０６Ａは、第１のＰＰ（ハッシュ値）を格納する。第２のＰＰ格納部４０６Ｂは、第２のＰＰ（ハッシュ値）を格納する。
【００８２】
キャッシュ制御部４０５は、第１のＰＰ格納部４０６Ａおよび第２のＰＰ格納部４０６Ｂに格納されているパケットプリントの量を認識し、パケットプリントが一定量以上であった場合、最も古いパケットプリントを破棄する。
【００８３】
また、パケットプリントが一定量以下であった場合、キャッシュ制御部４０５は、パケットプリントを追加して格納する。このように、キャッシュ制御部４０５は、第１のＰＰ格納部４０６Ａおよび第２のＰＰ格納部４０６Ｂに格納されているパケットプリントが常に一定量以下になるよう制御する。
【００８４】
追跡エージェント部４０７は、管理用ネットワークと接続され、追跡マネージャ３００からの検索要求を受け付け、第１のＰＰ格納部４０６Ａまたは第２のＰＰ格納部４０６Ｂの検索結果を検索応答として追跡マネージャ３００へ返す機能を備えている。
【００８５】
また、パケットプリント装置４００Ｂのパケットプリント部４０３は、プリント制御部４０２に指示された方式（ハッシュ関数）で、タッピング装置４０１がコピーしたパケット２５０’（図１参照）から第２のＰＰ（ハッシュ値）を生成する。この第２のＰＰは、図１に示したパケットプリント装置４００Ｂの第２のＰＰ格納部４０６Ｂに格納されるＰＰｂ＿１等に対応している。
【００８６】
また、パケットプリント装置４００Ｂのパケットプリント部４０３は、変換テーブル４０４を参照して、タッピング装置４０１からのパケット２５０’（図１参照）からパケット２５０を生成し、このパケット２５０から第１のＰＰを生成する。この第１のＰＰは、図１に示したパケットプリント装置４００Ｂの第１のＰＰ格納部４０６Ａに格納されるＰＰａ＿１等に対応している。
【００８７】
つぎに、実施例１の動作について、図３および図４を参照しつつ説明する。図３は、図１および図２に示したパケットプリント装置４００（４００Ａ、４００Ｂ）の動作を説明するフローチャートである。図４は、同実施例１の動作を説明するシーケンス図である。
【００８８】
図３に示したステップＳＡ１では、パケットプリント装置４００Ａのパケットプリント部４０３（図２参照）は、タッピング装置４０１により監視対象ネットワークを通過するパケットがコピーされたか否かを判断し、この場合、判断結果を「Ｎｏ」として、同判断を繰り返す。
【００８９】
そして、パケットプリント装置４００Ａの監視対象ネットワーク（グローバルネットワークＡ〜パケット変換装置５００の間）をパケット２５０（図１参照）が通過すると、パケットプリント装置４００Ａのタッピング装置４０１により当該パケット２５０がコピーされる。これにより、パケットプリント部４０３は、ステップＳＡ１の判断結果を「Ｙｅｓ」とする。ステップＳＡ２では、パケットプリント部４０３は、タッピング装置４０１よりコピーされたパケット２５０を取得する。
【００９０】
ステップＳＡ３では、パケットプリント部４０３は、パケット２５０からパケットプリントＰＰａ＿１（ハッシュ値）（図１参照）を生成する。ステップＳＡ４では、パケットプリント部４０３は、変換テーブル４０４を参照して、パケット２５０をパケット２５０’に変換する。ステップＳＡ５では、パケットプリント部４０３は、パケット２５０’からパケットプリントＰＰｂ＿１（図１参照）を生成する。
【００９１】
ステップＳＡ６では、キャッシュ制御部４０５は、パケットプリント装置４００Ａの第１のＰＰ格納部４０６Ａおよび第２のＰＰ格納部４０６Ｂに格納されているパケットプリントが一定量以上であるか否かを判断し、この場合、判断結果を「Ｎｏ」とする。ステップＳＡ７では、キャッシュ制御部４０５は、パケットプリント装置４００Ａの第１のＰＰ格納部４０６Ａおよび第２のＰＰ格納部４０６Ｂの最後尾に新しいパケットプリントＰＰａ＿１およびＰＰｂ＿１を格納する。
【００９２】
一方、ステップＳＡ６の判断結果が「Ｙｅｓ」である場合、ステップＳＡ８では、キャッシュ制御部４０５は、パケットプリント装置４００Ａの第１のＰＰ格納部４０６Ａおよび第２のＰＰ格納部４０６Ｂに格納されている最も古いパケットプリントを破棄した後、ステップＳＡ７の処理を実行する。
【００９３】
そして、図１に示したパケット２５０は、監視対象ネットワーク（グローバルネットワークＡ〜パケット変換装置５００の間）を通過した後、パケット変換装置５００で変換テーブル５０１に基づき、パケット２５０’に変換される。
【００９４】
さらに、パケットプリント装置４００Ｂの監視対象ネットワーク（パケット変換装置５００〜ローカルネットワークＢの間）をパケット２５０’（図１参照）が通過すると、パケットプリント装置４００Ｂのタッピング装置４０１により当該パケット２５０’がコピーされる。これにより、パケットプリント部４０３は、ステップＳＡ１の判断結果を「Ｙｅｓ」とする。ステップＳＡ２では、パケットプリント部４０３は、タッピング装置４０１よりコピーされたパケット２５０’を取得する。
【００９５】
ステップＳＡ３では、パケットプリント部４０３は、パケット２５０’からパケットプリントＰＰｂ＿１（ハッシュ値）（図１参照）を生成する。ステップＳＡ４では、パケットプリント部４０３は、変換テーブル４０４を参照して、パケット２５０’をパケット２５０に変換する。ステップＳＡ５では、パケットプリント部４０３は、パケット２５０からパケットプリントＰＰａ＿１（図１参照）を生成する。
【００９６】
ステップＳＡ６では、キャッシュ制御部４０５は、パケットプリント装置４００Ｂの第１のＰＰ格納部４０６Ａおよび第２のＰＰ格納部４０６Ｂに格納されているパケットプリントが一定量以上であるか否かを判断し、この場合、判断結果を「Ｎｏ」とする。
【００９７】
ステップＳＡ７では、キャッシュ制御部４０５は、パケットプリント装置４００Ｂの第１のＰＰ格納部４０６Ａおよび第２のＰＰ格納部４０６Ｂの最後尾に新しいパケットプリントＰＰａ＿１およびＰＰｂ＿１を格納する。以後、パケットが通過する毎にパケットプリント装置４００Ａおよび４００Ｂで二種類のパケットプリントが生成された後、格納される。
【００９８】
そして、図４に示したステップＳＢ１で、ＩＤＳ２００により、ローカルネットワークＢ内で不正アクセスパケットが検知されると、ステップＳＢ２では、ＩＤＳ２００は、検知位置情報および不正アクセスパケットを追跡マネージャ３００へ送信する。ここで、不正アクセスパケットは、図１に示したパケット２５０’であるものとする。また、検知位置情報は、当該不正アクセスパケットの検知位置（パケット変換装置５００の前または後）を表す情報である。この場合の検知位置は、パケット変換装置５００の後である。
【００９９】
ステップＳＢ３では、追跡マネージャ３００は、不正アクセスパケット（パケット２５０’）からパケットプリント（ハッシュ値）を算出する。ステップＳＢ４では、追跡マネージャ３００は、パケットプリント装置４００Ａおよび４００Ｂの中から、検索要求先のパケットプリント装置として、ＩＤＳ２００に最も近い、例えば、パケットプリント装置４００Ｂを選択する。
【０１００】
ステップＳＢ５では、追跡マネージャ３００は、パケットプリント装置４００Ｂの位置を確認した後、管理用ネットワークを介して、不正アクセスパケット（パケット２５０’）のパケットプリントおよび検出位置情報を含む検索要求を送信する。すなわち、追跡マネージャ３００は、不正パケットを検出したＩＤＳ２００に最も近いパケットプリント装置から順番に追跡処理（検索要求の送信処理）を実行する。
【０１０１】
ステップＳＢ６では、パケットプリント装置４００Ｂの追跡エージェント部４０７（図２参照）は、追跡マネージャ３００からの検索要求を受け付け、検出位置情報に基づき、検索先として、第１のＰＰ格納部４０６Ａ、第２のＰＰ格納部４０６Ｂから一つを選択する。
【０１０２】
ここで、検出位置情報がパケット変換装置５００の後である場合には、パケット２５０’に対応する第２のＰＰ格納部４０６Ｂが選択される。一方、検出位置情報がパケット変換装置５００の前である場合には、パケット２５０に対応する第１のＰＰ格納部４０６Ａが選択される。
【０１０３】
この場合、追跡エージェント部４０７は、第２のＰＰ格納部４０６Ｂを選択する。ステップＳＢ７では、追跡エージェント部４０７は、追跡マネージャ３００からのパケットプリントをキーとして、第２のＰＰ格納部４０６Ｂを検索する。この場合、検索結果がヒットであるものとする。ステップＳＢ８では、追跡エージェント部４０７は、検索結果（検索結果＝ヒット）を追跡マネージャ３００へ通知する。
【０１０４】
ステップＳＢ９では、追跡マネージャ３００は、検索結果より当該不正アクセスパケットの通過ルートを判定する。ステップＳＢ１０では、追跡マネージャ３００は、ステップＳＢ９の判定に基づいて、検索継続が必要であるか否かを判断する。この場合、追跡マネージャ３００は、検索継続の必要があるとし、判断結果を「Ｙｅｓ」とする。
【０１０５】
ステップＳＢ４では、追跡マネージャ３００は、つぎの検索要求先のパケットプリント装置として、例えば、パケットプリント装置４００Ａを選択する。以後、前述した動作が繰り返される。そして、ステップＳＢ１０の判断結果が「Ｎｏ」になると、ステップＳＢ１１では、パケットの追跡が終了される。
【０１０６】
以上説明したように、実施例１によれば、監視対象ネットワークを流れるパケットについて、パケット変換装置５００における書き換え前のパケット２５０を特定するためのＰＰａ＿１（第１のパケット特定情報）と、書き換え後のパケット２５０’を特定するためのＰＰｂ＿１（第２のパケット特定情報）とを生成し、第１のＰＰ格納部４０６Ａおよび第２のＰＰ格納部４０６Ｂに格納し、追跡マネージャ３００からの検索要求を受けて、第１のＰＰ格納部４０６Ａまたは第２のＰＰ格納部４０６Ｂを検索し、検索結果を追跡マネージャ３００へ送信することとしたので、パケットに含まれる情報が書き換えられるネットワークにおいてもパケット追跡を行うことができる。
【実施例２】
【０１０７】
さて、前述した実施例１においては、パケットプリント装置側でパケット変換装置５００の変換前後のパケットに対応する二種類のパケットプリントを生成する例について説明したが、パケットプリント装置に代えて、追跡マネージャ側で二種類のパケットプリントを生成するように構成してもよい。以下では、この構成例を実施例２として説明する。
【０１０８】
図５は、本発明にかかる実施例２の構成を示すブロック図である。この図において、図１の各部に対応する部分には同一の符号を付ける。図５においては、図１に示した追跡マネージャ３００、パケットプリント装置４００Ａおよび４００Ｂに代えて、追跡マネージャ３１０、パケットプリント装置４１０Ａおよび４１０Ｂが設けられている。
【０１０９】
追跡マネージャ３１０は、追跡マネージャ１０２（図３３参照）と同様の機能を備えており、管理用ネットワーク（図示略）に接続され、パケットプリント装置４１０Ａおよび４１０Ｂと管理用ネットワークを介して通信する装置である。また、追跡マネージャ３１０は、ＩＤＳ２００から渡された不正アクセスパケットに基づいて、パケット変換装置５００の変換前後の二種類のパケットプリントを生成する。
【０１１０】
図６は、追跡マネージャ３１０の機能構成を示すブロック図である。この図において、図３５の各部に対応する部分には同一の符号を付ける。同図において、警報受信部１２１は、ＩＤＳ２００から不正アクセスパケットに対する警報を受信し、パケット受信部１２２は、ＩＤＳ２００から不正アクセスパケットを受信する。プリント制御部３１１は、あらかじめ、ハッシュ値を生成する方式（ハッシュ関数）を、パケットプリント部３１２に指示しておく。
【０１１１】
パケットプリント部３１２は、プリント制御部３１１に指示された方式（ハッシュ関数）で、パケット受信部１２２からのパケットから第１のＰＰ（ハッシュ値）を生成する。また、パケットプリント部３１２は、変換テーブル３１３を参照して、パケット受信部１２２からのパケットから、変換後のパケットを生成し、このパケットから第２のＰＰを生成する。変換テーブル３１３は、図５に示した変換テーブル５０１と同一である。
【０１１２】
追跡要求部３１４は、パケットプリント部３１２で生成された二種類のパケットプリント（ハッシュ値）のうちいずれか一方を含む検索要求をパケットプリント装置４１０Ａ、４１０Ｂに送信するとともに、パケットプリント装置４１０Ａ、４１０Ｂからの検索結果を受信する。
【０１１３】
これらのパケットプリント装置４１０Ａ、４１０Ｂから送信された検索結果と、監視対象ネットワークおよび管理用ネットワークの構成を記憶する構成情報格納部１２６とに基づいて、通過ルート作成部１２７がパケットの通過経路を作成する。
【０１１４】
図５に戻り、パケットプリント装置４１０Ａは、パケットプリント装置１０１（図３４参照）と同一構成とされており、グローバルネットワークＡとパケット変換装置５００との間の接続リンクを監視の対象としている。
【０１１５】
すなわち、パケットプリント装置４１０Ａは、監視対象ネットワークを通過するパケット２５０のコピーを取り込み、コピーしたパケット２５０を一意に特定するためのパケットプリントＰＰａ＿１等（ハッシュ値）を生成するとともに、このパケットプリントＰＰａ＿１等（ハッシュ値）をＰＰ格納部４１６に格納する。
【０１１６】
一方、パケットプリント装置４１０Ｂも、パケットプリント装置１０１（図３４参照）と同一構成とされており、パケット変換装置５００とローカルネットワークＢとの間の接続リンクを監視の対象としている。
【０１１７】
すなわち、パケットプリント装置４１０Ｂは、監視対象ネットワークを通過するパケット２５０’のコピーを取り込み、コピーしたパケット２５０’を一意に特定するためのパケットプリントＰＰｂ＿１等（ハッシュ値）を生成するとともに、このパケットプリントＰＰｂ＿１等（ハッシュ値）をＰＰ格納部４１６に格納する。
【０１１８】
つぎに、実施例２の動作について、図７に示したシーケンス図を参照しつつ説明する。同図に示したステップＳＣ１で、ＩＤＳ２００により、ローカルネットワークＢ内で不正アクセスパケットが検知されると、ステップＳＣ２では、ＩＤＳ２００は、検知位置情報および不正アクセスパケットを追跡マネージャ３１０へ送信する。
【０１１９】
ここで、不正アクセスパケットは、図５に示したパケット２５０’であるものとする。また、検知位置情報は、当該不正アクセスパケットの検知位置（パケット変換装置５００の前または後）を表す情報である。この場合の検知位置は、パケット変換装置５００の後である。
【０１２０】
ステップＳＣ３では、追跡マネージャ３１０のパケットプリント部３１２（図６参照）は、不正アクセスパケット（パケット２５０’）からパケットプリントＰＰｂ＿１（ハッシュ値）を生成する。ステップＳＣ４では、パケットプリント部３１２は、変換テーブル３１３を参照して、不正アクセスパケット（パケット２５０’）をパケット２５０に変換する。
【０１２１】
ステップＳＣ５では、パケットプリント部３１２は、パケット２５０からパケットプリントＰＰａ＿１（ハッシュ値）を生成する。ステップＳＣ６では、追跡マネージャ３１０は、パケットプリント装置４１０Ａおよび４１０Ｂの中から、検索要求先のパケットプリント装置として、例えば、パケットプリント装置４１０Ｂを選択する。
【０１２２】
ステップＳＣ７では、追跡マネージャ３１０の追跡要求部３１４は、パケットプリント装置４１０Ｂの位置を確認した後、管理用ネットワークを介して、パケットプリントＰＰａ＿１またはＰＰｂ＿１をパケットプリント装置４１０Ｂへ送信する。
【０１２３】
ここで、検出位置情報がパケット変換装置５００の前である場合には、パケット２５０に対応するパケットプリントＰＰａ＿１が追跡要求部３１４により選択された後、パケットプリント装置４１０Ｂへ送信される。
【０１２４】
一方、検出位置情報がパケット変換装置５００の後である場合には、パケット２５０’に対応するパケットプリントＰＰｂ＿１が追跡要求部３１４により選択された後、パケットプリント装置４１０Ｂへ送信される。この場合には、パケット２５０’に対応するパケットプリントＰＰｂ＿１が送信される。
【０１２５】
ステップＳＣ８では、パケットプリント装置４１０Ｂは、追跡マネージャ３１０からのパケットプリントＰＰｂ＿１をキーとして、ＰＰ格納部４１６を検索する。この場合、検索結果がヒットであるものとする。ステップＳＣ９では、パケットプリント装置４１０Ｂは、検索結果（検索結果＝ヒット）を追跡マネージャ３１０へ通知する。
【０１２６】
ステップＳＣ１０では、追跡マネージャ３１０の追跡要求部３１４は、検索結果より当該不正アクセスパケットの通過ルートを判定する。ステップＳＣ１１では、追跡マネージャ３１０は、ステップＳＣ１０の判定に基づいて、検索継続が必要であるか否かを判断する。この場合、追跡マネージャ３１０は、検索継続の必要があるとし、判断結果を「Ｙｅｓ」とする。
【０１２７】
ステップＳＣ６では、追跡マネージャ３１０は、つぎの検索要求先のパケットプリント装置として、例えば、パケットプリント装置４１０Ａを選択する。以後、前述した動作が繰り返される。そして、ステップＳＣ１１の判断結果が「Ｎｏ」になると、ステップＳＣ１２では、パケットの追跡が終了される。
【０１２８】
以上説明したように、実施例２によれば、追跡マネージャ３１０でパケット変換装置５００における書き換え前の追跡対象パケットを特定するためのＰＰａ＿１（第１の追跡対象パケット特定情報）と、書き換え後の追跡対象パケットを特定するためのＰＰｂ＿１（第２の追跡対象パケット特定情報）とを生成し、追跡対象パケットの検出位置に基づいて、ＰＰａ＿１またはＰＰｂ＿１をパケットプリント装置４１０Ａやパケットプリント装置４１０Ｂへ通知し、パケット特定情報の検索を依頼することとしたので、パケットに含まれる情報が書き換えられるネットワークにおいてもパケット追跡を行うことができる。
【実施例３】
【０１２９】
図８は、本発明にかかる実施例３の構成を示すブロック図である。実施例３では、パケット変換装置５００の前後のパケットを同定する方法について説明する。
【０１３０】
同図において、パケットプリント装置４２０Ａは、グローバルネットワークＡとパケット変換装置５００との間の接続リンクを監視の対象とし、監視対象ネットワークを通過するパケット２５０のコピーを取り込む。
【０１３１】
また、パケットプリント装置４２０Ａは、コピーしたパケット２５０からＰＰ（ハッシュ値）を生成・格納するとともに、該パケット２５０のうちパケット変換装置５００の変換前後で変化する情報をマスクした状態で共通ＰＰを生成・格納する。さらに、パケットプリント装置４２０Ａは、ＰＰと共通ＰＰとの対応関係を表す対応テーブル４２１Ａを格納する。
【０１３２】
一方、パケットプリント装置４２０Ｂは、パケット変換装置５００とローカルネットワークＢとの間の接続リンクを監視の対象とし、監視対象ネットワークを通過するパケット２５０’のコピーを取り込む。
【０１３３】
また、パケットプリント装置４２０Ｂは、コピーしたパケット２５０’からＰＰ’（ハッシュ値）を生成・格納するとともに、該パケット２５０’のうちパケット変換装置５００の変換前後で変化する情報をマスクした状態で共通ＰＰ’を生成・格納する。さらに、パケットプリント装置４２０Ｂは、ＰＰ’と共通ＰＰ’との対応関係を表す対応テーブル４２１Ｂを格納する。
【０１３４】
このように、実施例３においては、変化する情報をマスクすることにより、共通ＰＰと共通ＰＰ’とが同一の値となるため、パケット変換装置５００の前後におけるパケットの同定が可能となる。
【０１３５】
図９は、図８に示した共通ＰＰおよび共通ＰＰ’を生成する場合のパケット２５０（２５０’）のマスク箇所を表す図である。同図において、網掛け部分がパケット変換装置５００の前後で変換する情報でありマスクされる。
【０１３６】
なお、実施例３においては、パケットが流れる方向によって、マスク箇所を変えてもよい。図１０は、グローバルネットワークＡ（外側）からローカルネットワークＢ（内側）へパケットが流れる場合のマスク箇所を表す図である。同図の例では、主として発信先ＩＰアドレスおよび発信先ポートがマスクされる。
【０１３７】
図１１は、ローカルネットワークＢ（内側）からグローバルネットワークＡ（外側）へパケットが流れる場合のマスク箇所を表す図である。同図の例では、主として発信元ＩＰアドレスおよび発信元ポートがマスクされる。
【０１３８】
また、パケット通信に用いられるプロトコルのうち、一部のプロトコル（ＦＴＰ（File Transfer Protocol）、ＩＣＭＰ（Internet Control Message Protocol ）、ＳＮＭＰ（Simple Network Management Protocol））においては、パケットのペイロードにもＩＰアドレスが記述され、パケット変換装置５００で書き換えられる場合がある。
【０１３９】
そこで、実施例３においては、図１２に示したように、パケット変換装置５００によって書き換えられるＩＰアドレスを含むペイロードをマスク箇所としてもよい。
【０１４０】
さて、図８に示した例では、パケットプリント装置４２０Ａとパケットプリント装置４２０Ｂとの間におけるパケットの同定時に、共通ＰＰおよび共通ＰＰ’とを比較し、一致する場合にパケットを同定しているが、共通ＰＰや共通ＰＰ’の値の衝突が発生し、一意に同定できない場合がある。
【０１４１】
例えば、パケットプリント装置４２０Ａ側の一つの共通ＰＰに対して、パケットプリント装置４２０Ｂ側で同値の複数の共通ＰＰ’が存在する場合に、上記衝突が発生する。
【０１４２】
そこで、実施例３においては、同定精度を高めるため、図１３に示したように、パケットプリント装置４２０Ａ側で、パケットプリントを生成する前のパケット２５０から補足情報（識別子、ＴＴＬ、ＴＯＳ、パケット長、シーケンスＩＤ、Ｔｉｍｅ（ＵＴＣ））を取得しておき、ＰＰ、共通ＰＰおよび補足情報を対応テーブル４２２Ａとして格納しておいてもよい。ここで、補足情報は、マスクによってＰＰに反映されない情報である。
【０１４３】
同様にして、パケットプリント装置４２０Ｂ側でも、パケットプリントを生成する前のパケット２５０’から補足情報（識別子、ＴＴＬ、ＴＯＳ、パケット長、シーケンスＩＤ、Ｔｉｍｅ（ＵＴＣ））を取得しておき、ＰＰ’、共通ＰＰ’および補足情報を対応テーブル４２２Ｂとして格納しておいてもよい。
【０１４４】
このように構成することにより、パケットプリント装置４２０Ａ側の一つの共通ＰＰに対して、パケットプリント装置４２０Ｂ側で同値の複数の共通ＰＰ’が存在（衝突発生）する場合であっても、補足情報同士を比較することにより、パケットの同定が可能となる。
【０１４５】
また、実施例３においては、ペイロードにデータを持たないパケットの場合、共通ＰＰと共通ＰＰ’との間で上述した衝突が発生する可能性が高い。ここで、図８に示したパケットプリント装置４２０Ａとパケットプリント装置４２０Ｂとの間で完全に時刻同期をとり、時刻に基づいてパケットを同定することも考えられるが、時刻同期を完全にとることが困難であり、実現が難しい。
【０１４６】
そこで、実施例３においては、図１４に示したように、バリアパケットを発生させるバリアパケット発生装置５００Ａおよび５００Ｂを設けて、パケットの同定精度を高めるようにしてもよい。
【０１４７】
バリアパケット発生装置５００Ａは、グローバルネットワークＡとパケット変換装置５００との間に設けられており、グローバルネットワークＡからローカルネットワークＢ（外側から内側）へバリアパケット（同図では、バリアパケット５１０（ｏｕｔ））を発生させるとともに、送出する。
【０１４８】
このバリアパケット（ｏｕｔ）には、識別用のバリアＮｏ（ｏｕｔ）が付与されている。例えば、バリアパケット５１０には、バリアＮｏ（ｏｕｔ）として１６８４６３が付与されている。このバリアパケット５１０は、通常のパケットと同様にして、パケット変換装置５００によりバリアパケット５１０’に変換される。
【０１４９】
一方、バリアパケット発生装置５００Ｂは、パケット変換装置５００とローカルネットワークＢとの間に設けられており、ローカルネットワークＢからグローバルネットワークＡ（内側から外側）へバリアパケット（同図では、バリアパケット５２０（ｉｎ））を発生させるとともに、送出する。
【０１５０】
このバリアパケット（ｉｎ）には、識別用のバリアＮｏ（ｉｎ）が付与されている。例えば、バリアパケット５２０には、バリアＮｏ（ｉｎ）として３４８５８６が付与されている。このバリアパケット５２０も、通常のパケットと同様にして、パケット変換装置５００により、バリアパケット５２０’に変換される。
【０１５１】
パケットプリント装置４２０Ａは、バリアパケット５１０（ｏｕｔ）から、通常のパケットと同様にして、ＰＰと共通ＰＰとを生成し、これらとバリアＮｏ（ｏｕｔ）とを対応テーブル４２３Ａに格納する。また、パケットプリント装置４２０Ａは、バリアパケット５２０’（ｉｎ）から、通常のパケットと同様にして、ＰＰと共通ＰＰとを生成し、これらとバリアＮｏ（ｉｎ）とを対応テーブル４２３Ａに格納する。
【０１５２】
なお、パケットプリント装置４２０Ａは、通常のパケットについても、前述した動作（図８参照）と同様にして、ＰＰおよび共通ＰＰとを生成し、これらを対応テーブル４２３Ａに格納する。
【０１５３】
一方、パケットプリント装置４２０Ｂも、バリアパケット５１０’（ｏｕｔ）から、通常のパケットと同様にして、ＰＰ’と共通ＰＰ’とを生成し、これらとバリアＮｏ（ｏｕｔ）とを対応テーブル４２３Ｂに格納する。また、パケットプリント装置４２０Ｂは、バリアパケット５２０（ｉｎ）から、通常のパケットと同様にして、ＰＰ’と共通ＰＰ’とを生成し、これらとバリアＮｏ（ｉｎ）とを対応テーブル４２３Ｂに格納する。
【０１５４】
なお、パケットプリント装置４２０Ｂは、通常のパケットについても、前述した動作（図８参照）と同様にして、ＰＰ’および共通ＰＰ’とを生成し、これらを対応テーブル４２３Ｂに格納する。
【０１５５】
上記構成において、例えば、パケットプリント装置４２０Ａ側の一つの共通ＰＰに対して、パケットプリント装置４２０Ｂ側で同値の複数の共通ＰＰ’が存在（衝突発生）する場合には、対応テーブル４２３Ａ側における当該共通ＰＰ（図示略）を挟む前後の二つのバリアＮｏ（同図では、168463、168464）と、対応テーブル４２３ＢのバリアＮｏとを比較することにより、パケットの同定が可能となる。
【０１５６】
つまり、対応テーブル４２３Ａ側の二つのバリアＮｏ（同図では、168463、168464）と同一の二つのバリアＮｏが対応テーブル４２３Ｂに存在する場合、対応テーブル４２３Ｂの二つのバリアＮｏに挟まれた共通ＰＰ’と、これに対応する対応テーブル４２３Ａの共通ＰＰとが同一であることがわかる。
【０１５７】
図１５は、図１４に示したバリアパケットを用いたパケット追跡を説明するブロック図である。この図において、図１および図１４の各部に対応する部分には同一の符号を付ける。図１５において、パケットプリント装置４２０Ｃは、ローカルネットワークＢとローカルネットワークＣとの間を流れるパケットからＰＰを生成し、これをＰＰ格納部４２１Ｃに格納する。
【０１５８】
上記構成において、ＩＤＳ２００により不正アクセスパケットが検出されると、追跡マネージャ３００は、パケットプリント装置４２０Ａに対して、通常のＰＰ１を問い合わせる（▲１▼）。この場合、対応テーブル４２３ＡからＰＰ１が見つかったとすると、追跡マネージャ３００は、ＰＰ１に対応する共通ＰＰを取得する（▲２▼）。
【０１５９】
つぎに、追跡マネージャ３００は、パケットプリント装置４２０Ｂに対して共通ＰＰを問い合わせた後（▲３▼）、共通ＰＰに対応するＰＰ２を取得する（▲４▼）。つぎに、追跡マネージャ３００は、パケットプリント装置４２０Ｃに対して、ＰＰ２を問い合わせた後（▲５▼）、パケットプリント装置４２０ＣからＰＰ２が見つかったことの通知を受ける（▲６▼）。
【０１６０】
図１６は、実施例３において追跡マネージャを高機能化した場合の具体例を説明するブロック図である。同図に示した構成例では、追跡マネージャ３２０は、不正アクセスパケットの検出位置に基づいて、問い合わせ先のパケットプリント装置、パケットプリントタイプ（通常パケットプリント（ＰＰ）、共通パケットプリント（共通ＰＰ））、問い合わせ順序等を判別する機能を備えている。
【０１６１】
また、追跡マネージャ３２０には、図１７（ａ）に示したような対応表３２１が設けられている。この対応表３２１は、図１７（ｂ）に示したパケットプリント装置（ＰＰ１〜ＰＰ１０）、ルータ（Ｒ）、パケット変換装置（ＮＡＴ１、ＮＡＴ２）の構成図３２１ａに対応している。なお、構成図３２１ａおよび対応表３２１は、例示である図１６と異なるが、実際には、対応表３２１は、図１６に対応する情報が格納されている。
【０１６２】
対応表３２１には、パケットプリント装置番号、隣接パケットプリント装置番号、パケットプリントタイプの情報が格納されている。隣接パケットプリント装置番号は、パケットプリント装置番号のパケット装置に隣接するパケット装置に対応するパケットプリント装置番号である。パケットプリントタイプは、パケットプリントのタイプ（通常または共通）である。
【０１６３】
図１６に示した追跡マネージャ３２０は、対応表３２１に基づいて、パケット追跡を行う。すなわち、ＩＤＳ２００により不正アクセスパケットが検出されると、追跡マネージャ３２０は、パケットプリント装置４２０Ａに対して、通常のＰＰ１を問い合わせる（▲１▼）。この場合、ＰＰ１が見つかったとすると、追跡マネージャ３２０は、ＰＰ１に対応する共通ＰＰを取得する（▲２▼）。
【０１６４】
つぎに、追跡マネージャ３２０は、パケットプリント装置４２０Ｂに対して共通ＰＰを問い合わせた後（▲３▼）、共通ＰＰに対応するＰＰ２を取得する（▲４▼）。つぎに、追跡マネージャ３２０は、パケットプリント装置４２０Ｃに対して、ＰＰ２を問い合わせた後（▲５▼）、パケットプリント装置４２０ＣからＰＰ２が見つかったことの通知を受ける（▲６▼）。
【０１６５】
以上説明したように、実施例３によれば、ネットワークを流れるパケットについて、パケット変換装置５００における書き換えで変化する情報がマスクされたパケットを特定し該パケット変換装置５００の前後で共通な内容の共通ＰＰ（共通パケット特定情報）と、マスク前のパケットを特定するためのＰＰ（通常パケット特定情報）とを生成、格納し、検索要求を受けて、共通ＰＰおよびＰＰに基づいて、パケット変換装置５００の前後におけるパケットを同定することとしたので、パケットに含まれる情報が書き換えられるネットワークにおいてもパケット追跡を行うことができる。
【０１６６】
また、実施例３によれば、ネットワークを流れるパケットの方向に対応させて、マスクする情報を変化させ共通ＰＰを生成することとしたので、パケットの方向に応じてパケットの追跡を行うことができる。
【０１６７】
また、実施例３によれば、図１４に示したように、ネットワークに送出されるバリアパケットの情報を格納し、共通ＰＰおよびＰＰでパケットの同定ができない場合、バリアパケットの情報に基づいて、該パケットの同定を行うこととしたので、パケットの同定精度を高めることができる。
【０１６８】
また、実施例３によれば、追跡マネージャが主導でパケットに含まれる情報が書き換えられるネットワークにおいてもパケット追跡を行うことができる。
【実施例４】
【０１６９】
さて、前述した実施例３（図１６参照）においては、追跡マネージャを高機能化した例について説明したが、パケットプリント装置を高機能化してもよい。以下では、この構成例を実施例４として説明する。
【０１７０】
図１８は、本発明にかかる実施例４の構成を示すブロック図である。この図において、図１の各部に対応する部分には同一の符号を付ける。図１８において、追跡マネージャ３３０は、追跡マネージャ３００（図１参照）と同一の機能を備えている。
【０１７１】
パケットプリント装置４３０Ａは、グローバルネットワークＡを流れるパケットを監視対象とし、実施例１〜３と同様にしてパケットプリントを生成、格納する。パケットプリント装置４３０Ｂは、グローバルネットワークＡとパケット変換装置５００との間を流れるパケット（同図では、パケット２５０）を監視対象とし、パケットプリントを生成、格納する。
【０１７２】
パケットプリント装置４３０Ｃは、パケット変換装置５００とローカルネットワークＢとの間を流れるパケット（同図では、パケット２５０’）を監視対象とし、パケットプリントを生成、格納する。パケットプリント装置４３０Ｄは、ローカルネットワークＢを流れるパケットを監視対象とし、パケットプリントを生成、格納する。
【０１７３】
また、パケットプリント装置４３０Ａ、４３０Ｂ、４３０Ｃおよび４３０Ｄは、上述した高機能化を実現するための対応テーブルに基づいて、自装置の設置場所、追跡対象パケットの追跡経路、パケット変換の有無、問い合わせ先等について判断する。
【０１７４】
図１９（ａ）、（ｂ）、（ｃ）および（ｄ）は、対応テーブル４３１Ａ、４３１Ｂ、４３１Ｃおよび４３１Ｄを示す図である。これらの対応テーブル４３１Ａ、４３１Ｂ、４３１Ｃおよび４３１Ｄは、パケットプリント装置４３０Ａ、４３０Ｂ、４３０Ｃおよび４３０Ｄで用いられる。
【０１７５】
これらの対応テーブル４３１Ａ、４３１Ｂ、４３１Ｃおよび４３１Ｄは、パケットプリント装置番号、追跡開始パケットプリント装置番号、パケット変換装置有無、変換処理前のパケットプリントに関する問い合わせ先パケットプリント装置の情報を格納している。
【０１７６】
上記構成において、ＩＤＳ２００により不正アクセスパケットとしてパケット２５０が検出されると、追跡マネージャ３３０は、パケット２５０からパケットプリントＰＰａ＿１を作成し、パケットプリント装置４３０Ａ〜４３０Ｄに一斉にパケットプリントＰＰａ＿１の有無を問い合わせる（▲１▼〜▲４▼）。これにより、パケットプリント装置４３０Ａ〜４３０Ｄは、追跡マネージャ３３０の問い合わせ内容を各対応テーブルに基づいて、適切に解釈し、応答する。
【０１７７】
図２０は、上述した実施例４（パケットプリント装置の高機能化）に実施例１を適用した構成例を示すブロック図である。同図において、図１８の各部に対応する部分には同一の符号を付ける。
【０１７８】
図２０においては、図１８に示したパケットプリント装置４３０Ａ〜４３０Ｄに代えて、パケットプリント装置４００Ａ〜４００Ｄが設けられている。これらのパケットプリント装置４００Ａ〜４００Ｄは、実施例１で説明した図２に示したパケットプリント装置４００と同一構成とされている。また、パケットプリント装置４００Ａ〜４００Ｄのそれぞれには、上述した対応テーブル（図１９参照）と同様の対応テーブルがそれぞれ格納されている。
【０１７９】
上記構成において、ＩＤＳ２００により不正アクセスパケットとしてパケット２５０が検出されると、追跡マネージャ３３０は、パケット２５０からパケットプリントＰＰａ＿１を作成し、パケットプリント装置４００Ａ〜４００Ｄに一斉にパケットプリントＰＰａ＿１の有無を問い合わせる（▲１▼〜▲４▼）。これにより、パケットプリント装置４００Ａ〜４００Ｄは、追跡マネージャ３３０の問い合わせ内容を各対応テーブルに基づいて、適切に解釈し、応答する。
【０１８０】
図２１は、上述した実施例４（パケットプリント装置の高機能化）に実施例３を適用した構成例を示すブロック図である。同図において、図１８の各部に対応する部分には同一の符号を付ける。
【０１８１】
図２１においては、図１８に示したパケットプリント装置４３０Ａ〜４３０Ｄに代えて、パケットプリント装置４２０Ａおよび４２０Ｂが設けられている。これらのパケットプリント装置４２０Ａおよび４２０Ｂは、実施例３で説明した図８に示したパケットプリント装置４２０Ａおよび４２０Ｂと同一構成とされている。
【０１８２】
同図において、パケットプリント装置４２０Ａの対応テーブル４２１Ａには、ＰＰ（同図では、ＰＰａ＿１等）および共通ＰＰ（同図では、Commonkey1等）が格納されている。
【０１８３】
一方、パケットプリント装置４２０Ｂの対応テーブル４２１Ｂにも、ＰＰ（同図では、ＰＰｂ＿１等）および共通ＰＰ（同図では、Commonkey1等）が格納されている。
【０１８４】
上記構成において、ＩＤＳ２００により不正アクセスパケットとしてパケット２５０が検出されると、追跡マネージャ３３０は、パケット２５０からパケットプリントＰＰａ＿１を作成し、パケットプリント装置４２０ＡにパケットプリントＰＰａ＿１の有無を問い合わせる（▲１▼）。
【０１８５】
これにより、パケットプリント装置４２０Ａは、追跡マネージャ３３０の問い合わせ内容を対応テーブル（図１９参照）に基づいて、適切に解釈し、応答する。すなわち、パケットプリント装置４２０Ａは、対応テーブル４２１Ａから事前に他のパケットプリント装置を問い合わせる必要がないことを判断し、ＰＰａ＿１を検索し（▲２▼）、ＰＰａ＿１を見つける（▲３▼）。つぎに、パケットプリント装置４２０Ａは、検索結果（ＰＰａ＿１）を通知する。
【０１８６】
また、追跡マネージャ３３０は、パケットプリント装置４２０ＢにもパケットプリントＰＰａ＿１の有無を問い合わせる（▲１▼’）。
【０１８７】
これにより、パケットプリント装置４２０Ｂは、追跡マネージャ３３０の問い合わせ内容を対応テーブル（図１９参照）に基づいて、適切に解釈し、応答する。すなわち、パケットプリント装置４２０Ｂは、対応テーブル４２１ＢからＰＰａ＿１を検索する（▲２▼’）。
【０１８８】
この場合、パケットプリント装置４２０Ｂは、パケット変換装置５００の外側に位置する追跡マネージャ３３０からのパケットプリント装置４２０Ａを起点とした検索要求であると判断する。また、パケットプリント装置４２０Ｂは、対応テーブル４２１ＢにＰＰａ＿１が存在しないため、対応テーブル（図１９参照）に基づいて、まず、対応テーブル４２１ＡからＰＰａ＿１を検索し（▲３▼’）、ＰＰａ＿１および対応するCommonKey1（共通ＰＰ）を見つける（▲４▼’）。
【０１８９】
つぎに、パケットプリント装置４２０Ｂは、対応テーブル４２１ＡからのCommonKey1（共通ＰＰ）をキーとして、対応テーブル４２１Ｂを検索し（▲５▼’）、CommonKey1（共通ＰＰ）を見つける（▲６▼’）。そして、パケットプリント装置４２０Ｂは、検索結果（ＰＰａ＿１）を通知する（▲７▼’）。
【０１９０】
また、実施例４においては、図２２に示したように、図２１に示した内側のパケットプリント装置４２０Ｂを複数台の構成としてもよい。図２２においては、図２１に示したパケットプリント装置４２０Ｂに代えて３台のパケットプリント装置４２０Ｂ1 〜４２０Ｂ3 が設けられている。
【０１９１】
これらのパケットプリント装置４２０Ｂ1 〜４２０Ｂ3 は、パケットプリント装置４２０Ｂと同一構成とされており、対応テーブル４２１Ｂ1 〜４２１Ｂ3 をそれぞれ備えている。
【０１９２】
上記構成において、ＩＤＳ２００により不正アクセスパケットとしてパケット２５０が検出されると、追跡マネージャ３３０は、パケット２５０からパケットプリントＰＰａ＿１を作成し、パケットプリント装置４２０ＡにパケットプリントＰＰａ＿１の有無を問い合わせる（▲１▼）。
【０１９３】
これにより、パケットプリント装置４２０Ａは、追跡マネージャ３３０の問い合わせ内容を対応テーブル（図１９参照）に基づいて、適切に解釈し、応答する。すなわち、パケットプリント装置４２０Ａは、対応テーブル４２１ＡからＰＰａ＿１を検索し、ＰＰａ＿１を見つける（▲２▼）。つぎに、パケットプリント装置４２０Ａは、検索結果（ＰＰａ＿１）を通知する（▲２▼’）。
【０１９４】
また、追跡マネージャ３３０は、パケットプリント装置４２０Ｂ1 にもパケットプリントＰＰａ＿１の有無を問い合わせる（▲３▼）。これにより、パケットプリント装置４２０Ｂ1 は、追跡マネージャ３３０の問い合わせ内容を対応テーブル（図１９参照）に基づいて、適切に解釈し、応答する。すなわち、パケットプリント装置４２０Ｂ1 は、対応テーブル４２１Ｂ1 からＰＰａ＿１を検索する（▲４▼）。
【０１９５】
この場合、パケットプリント装置４２０Ｂ1 は、パケット変換装置５００の外側に位置する追跡マネージャ３３０からのパケットプリント装置４２０Ａを起点とした検索要求であると判断する。また、パケットプリント装置４２０Ｂ1 は、対応テーブル４２１Ｂ1 にＰＰａ＿１が存在しないため、対応テーブル（図１９参照）に基づいて、まず、対応テーブル４２１ＡからＰＰａ＿１を検索する（▲５▼）。
【０１９６】
そして、パケットプリント装置４２０Ｂ1 と同様にして、追跡マネージャ３３０は、パケットプリント装置４２０Ｂ2 および４２０Ｂ3 に対しても、パケットプリントＰＰａ＿１の有無を並列的に問い合わせる。以後、パケットプリント装置４２０Ｂ2 および４２０Ｂ3 でも、パケットプリント装置４２０Ｂ1 と同様の動作が実行される（▲６▼以降）。
【０１９７】
また、実施例４では、図２２に示したように、パケット変換装置５００の外側に追跡マネージャ３３０およびパケットプリント装置４２０Ａを設け、内側に複数台のパケットプリント装置４２０Ｂ1 〜４２０Ｂ3 を設けた構成例について説明したが、図２３に示したように、パケット変換装置５００の内側に追跡マネージャ３３０およびパケットプリント装置４２０Ｂを設け、外側に複数台のパケットプリント装置４２０Ａ1 〜４２０Ａ3 を設ける構成としてもよい。これらのパケットプリント装置４２０Ａ1 〜４２０Ａ3 には、対応テーブル４２１Ａ1 〜４２１Ａ3 が設けられている。
【０１９８】
また、実施例４では、図２１に示したように、パケットプリント装置４２０Ｂが対応テーブル４２１ＡからＰＰａ＿１を検索し（▲３▼’）、ＰＰａ＿１および対応するCommonKey1（共通ＰＰ）を見つける（▲４▼’）場合の構成例について説明したが、図２４に示したように、取得部４２２Ｂにより、定期的に対応テーブル４２１Ａをコピーし、パケットプリント装置４２０Ｂ側にコピーの対応テーブル４２１Ａ’をパケットプリント装置４２０Ｂに設けてもよい。
【０１９９】
この場合には、パケットプリント装置４２０Ｂは、対応テーブル４２１Ａ’を用いて自装置内で検索を行う。なお、実施例４において、取得部４２２Ｂは、全データをコピーすると容量の問題が生じるため、対応テーブル４２１Ａと対応テーブル４２１Ａ’との差分のみを対応テーブル４２１Ａから対応テーブル４２１Ａ’にコピーするようにしてもよい。
【０２００】
また、実施例４においては、図２５に示したように、図２４に示した内側のパケットプリント装置４２０Ｂを複数台の構成としてもよい。図２５においては、図２４に示したパケットプリント装置４２０Ｂに代えて３台のパケットプリント装置４２０Ｂ1 〜４２０Ｂ3 が設けられている。
【０２０１】
これらのパケットプリント装置４２０Ｂ1 〜４２０Ｂ3 は、図２４に示したパケットプリント装置４２０Ｂと同一構成とされており、取得部４２２Ｂ1 〜４２２Ｂ3 、対応テーブル４２１Ｂ1 〜４２１Ｂ3 、対応テーブル４２１Ａのコピーである対応テーブル４２２Ａ’をそれぞれ備えている。
【０２０２】
以上説明したように、実施例４によれば、パケットプリント装置が主導でパケットに含まれる情報が書き換えられるネットワークにおいてもパケット追跡を行うことができる。
【実施例５】
【０２０３】
さて、前述した実施例３においては、マスクをかけないパケットのＰＰと、マスクをかけたパケットの共通ＰＰとを生成する例について説明したが、ＰＰの生成時にもマスクをかけるようにしてもよい。以下では、この構成例を実施例５として説明する。
【０２０４】
図２６は、本発明にかかる実施例５の構成を示すブロック図である。この図において、パケットプリント装置４４０Ａは、グローバルネットワークＡとパケット変換装置５００との間の接続リンクを監視の対象とし、監視対象ネットワークを通過するパケット２５０のコピーを取り込む。
【０２０５】
また、パケットプリント装置４４０Ａは、コピーしたパケット２５０からＰＰａ＿１（ハッシュ値）等およびＰＰｂ＿１（ハッシュ値）等を生成・格納する。
【０２０６】
具体的には、パケットプリント装置４４０Ａは、図２７（ａ）に示したように、パケット２５０にノーマルパターンでマスク（網掛け部分）をかけ、残りの部分２５０ａからパケットプリントＰＰａ＿１を生成し、第１のＰＰ格納部４４１Ａ（図２６参照）に格納する。
【０２０７】
また、パケットプリント装置４４０Ａは、図２７（ｂ）に示したように、パケット２５０にＮＡＴパターンでマスク（網掛け部分）をかけ、残りの部分２５０ｂからパケットプリントＰＰｂ＿１を生成し、第２のＰＰ格納部４４１Ｂ（図２６参照）に格納する。
【０２０８】
図２６に示したパケットプリント装置４４０Ｂにおいても、同様にして、ノーマルマスクパターンおよびＮＡＴマスクパターンに対応するパケットプリントが生成、格納される。
【０２０９】
上記構成において、ＩＤＳ２００により不正アクセスパケット（例えば、パケット２５０）が検出されると、追跡マネージャ３００は、パケット２５０からノーマルマスクパターンからＰＰａ＿１を生成するとともに、ＮＡＴマスクパターンからＰＰｂ＿１を生成する。
【０２１０】
つぎに、追跡マネージャ３００は、パケットプリント装置４４０Ａに対して、第１のＰＰ格納部４４１ＡのＰＰａ＿１を問い合わせる（▲１▼）。これにより、パケットプリント装置４４０Ａは、ＰＰａ＿１をキーとして、第１のＰＰ格納部４４１Ａを検索し（▲２▼）、ＰＰａ＿１を見つける（▲３▼）。つぎに、パケットプリント装置４４０Ａは、追跡マネージャ３００に対して、ＰＰａ＿１が見つかったことを通知する。
【０２１１】
また、追跡マネージャ３００は、パケットプリント装置４４０Ｂに対して、第２のＰＰ格納部４４１ＢのＰＰｂ＿１を問い合わせる（▲１▼’）。これにより、パケットプリント装置４４０Ｂは、ＰＰｂ＿１をキーとして、第２のＰＰ格納部４４１Ｂを検索し（▲２▼’）、ＰＰｂ＿１を見つける（▲３▼’）。つぎに、パケットプリント装置４４０Ｂは、追跡マネージャ３００に対して、ＰＰｂ＿１が見つかったことを通知する。
【実施例６】
【０２１２】
なお、実施例５においては、パケットが流れる方向によって、マスクパターンを変えてもよい。以下では、この構成例を実施例６として説明する。図２８は、本発明にかかる実施例６の構成を示すブロック図である。
【０２１３】
この図において、パケットプリント装置４５０Ａは、グローバルネットワークＡとパケット変換装置５００との間の接続リンクを監視の対象とし、監視対象ネットワークを通過するパケット（例えば、２５０（２６０’））のコピーを取り込む。
【０２１４】
また、パケットプリント装置４５０Ａは、コピーしたパケットからＰＰａ１＿１、ＰＰｂ＿１およびＰＰｃ＿１等を生成・格納する。
【０２１５】
具体的には、パケットプリント装置４５０Ａは、図２９（ａ）に示したように、パケットＰにノーマルパターンでマスク（網掛け部分）をかけ、残りの部分ＰａからパケットプリントＰＰａ＿１を生成し、第１のＰＰ格納部４５１Ａ（図２８参照）に格納する。
【０２１６】
また、グローバルネットワークＡ（外側）からローカルネットワークＢ（内側）へパケットが流れる場合、パケットプリント装置４５０Ａは、図２９（ｂ）に示したように、主として、パケット変換装置５００で変更される発信先ＩＰアドレスがマスクされる。
【０２１７】
この場合、パケットプリント装置４５０Ａは、パケットＰに発信元マスクパターンで（網掛け部分）をかけ、残りの部分ＰｂからパケットプリントＰＰｂ＿１を生成し、第２のＰＰ格納部４５１Ｂ（図２８参照）に格納する。
【０２１８】
また、ローカルネットワークＢ（内側）からグローバルネットワークＡ（外側）へパケットが流れる場合、パケットプリント装置４５０Ａは、図２９（ｃ）に示したように、主として、パケット変換装置５００で変更される発信元ＩＰアドレスがマスクされる。
【０２１９】
この場合、パケットプリント装置４５０Ａは、パケットＰに発信先マスクパターンで（網掛け部分）をかけ、残りの部分ＰｃからパケットプリントＰＰｃ＿１を生成し、第３のＰＰ格納部４５１Ｃ（図２８参照）に格納する。
【０２２０】
なお、実施例６においては、図３０（ａ）に示したように、パケットＰにマスクをかけた残りの部分Ｐ’からパケットプリントを生成しているが、図３０（ｂ）に示したように、パケットＰにマスクをかけた残りの部分を部分Ｐ１、Ｐ２およびＰ３に分割し、部分Ｐ１、Ｐ２およびＰ３に対応するパケットプリントＡ、ＢおよびＣを生成してもよい。
【０２２１】
これらのパケットプリントＡ、ＢおよびＣを組み合わせることにより、図３０（ｃ）に示したように、パケットプリント、発信先ＮＡＴマスクパケットプリント、発信元ＮＡＴマスクパケットプリントとしてもよい。
【０２２２】
パケットプリントは、パケットプリントＡ、パケットプリントＢおよびパケットプリントＣの組み合わせから生成され、図２９（ａ）に示したＰＰａ＿１の代用としてもよい。発信先ＮＡＴマスクパケットプリントは、パケットプリントＡおよびパケットプリントＣの組み合わせから生成され、図２９（ｂ）に示したＰＰｂ＿１の代用としてもよい。
【０２２３】
発信元ＮＡＴマスクパケットプリントは、パケットプリントＡおよびパケットプリントＢの組み合わせから生成され、図２９（ｃ）に示したＰＰｃ＿１の代用としてもよい。
【０２２４】
このように、分割されたパケットプリントＡ、ＢおよびＣを生成することにより、組み合わせで様々なパケットプリントを生成することができるため、図２８に示したように、三つのＰＰ格納部（第１のＰＰ格納部４５１Ａ、第２のＰＰ格納部４５１Ｂ、第３のＰＰ格納部４５１Ｃ）を持つ必要が無いため、構成を簡略化することができる。
【０２２５】
以上説明したように、実施例６によれば、図３０に示したように、パケット変換装置５００における書き換えで変化する情報がマスクされたパケットを複数分割し、分割された各部分パケットを特定するためのパケットプリントを生成し、部分パケットのパケットプリントを組み合わせることにより共通ＰＰ等を生成し、格納することとしたので、共通ＰＰ等の生成効率を高めることができる。
【実施例７】
【０２２６】
さて、前述した実施例１〜６においては、図３１に示したように、追跡マネージャやパケットプリント装置の機能を代理するプロキシ装置６００を設けて、追跡マネージャ３００からの指示に基づいて、プロキシ装置６００にパケット追跡を行わせるようにしてもよい。
【０２２７】
プロキシ装置６００は、追跡サブマネージャ３００Ｓと、パケットプリント装置４１０Ｂと、パケットプリント装置４１０Ｃと、マッチング装置６０１とから構成されており、上記代理機能を備えている。追跡サブマネージャ３００Ｓは、追跡マネージャ３００と同様の機能を備えている。
【０２２８】
パケットプリント装置４１０Ｂは、ＰＰ格納部４１６を備えており、グローバルネットワークＡとパケット変換装置５００との間を流れるパケットを監視し、ＰＰａ＿１等を生成、格納する。パケットプリント装置４１０Ｃは、ＰＰ格納部４１６を備えており、パケット変換装置５００とローカルネットワークＢとの間を流れるパケットを監視し、ＰＰｂ＿１等を生成、格納する。
【０２２９】
パケットプリント装置４１０Ａは、ＰＰ格納部４１６を備えており、グローバルネットワークＡを流れるパケットを監視し、ＰＰａ＿１等を生成、格納する。マッチング装置６０１は、追跡サブマネージャ３００Ｓがパケットプリント装置４１０Ｂおよびパケットプリント装置４１０Ｃに対して検索要求を行い、検索結果から追跡対象パケットがパケットプリント装置４１０Ｂおよびパケットプリント装置４１０Ｃの双方を通過したことを判断するために必要な情報および手段を提供する。また、追跡サブマネージャ３００Ｓは、図１に示したようなパケット変換装置５００から変換テーブル５０１の情報を取得し、パケットプリント装置４１０Ｂおよびパケットプリント装置４１０Ｃに提供する。また、追跡サブマネージャ３００Ｓは、図８および図１３に示したような共通ＰＰおよび共通ＰＰ’の同定処理および補足情報を追加利用した同定処理を行い、その結果をパケットプリント装置４１０Ｂおよびパケットプリント装置４１０Ｃに提供する。また、追跡サブマネージャ３００Ｓは、図１４に示したようなバリアパケットを用いた共通ＰＰおよび共通ＰＰ’の同定処理の支援を行い、その結果をパケットプリント装置４１０Ｂおよびパケットプリント装置４１０Ｃに提供する。また、追跡サブマネージャ３００Ｓは、図２１に示したような他パケットプリント装置に対するCommonkey（共通ＰＰ）の問い合わせ処理を行い、その結果をパケットプリント装置４１０Ｂおよびパケットプリント装置４１０Ｃに提供する。また、追跡サブマネージャ３００Ｓは、図２４に示したような他パケットプリント装置からのCommonkey（共通ＰＰ）の定期的コピー処理を行う。
【０２３０】
上記構成において、ＩＤＳ２００が不正アクセスパケット（パケット２５０’）を検出すると、追跡マネージャ３００は、当該不正アクセスパケットに対応するＰＰｂ＿１を生成し、追跡サブマネージャ３００Ｓに追跡の代理を依頼する（▲１▼）。これにより、追跡サブマネージャ３００Ｓは、不正アクセスパケットの検出位置（パケット変換装置５００の前後）に基づいて、パケットプリント装置４１０Ｂまたはパケットプリント装置４１０Ｃにアクセスし、パケットプリントの検索を行う（▲２▼）。
【０２３１】
また、追跡サブマネージャ３００Ｓは、パケットプリント装置４１０Ｂ、パケットプリント装置４１０Ｃの検索終了後、さらに追跡が必要な場合、パケットプリント装置４１０Ａなど、他のパケットプリント装置に対して、ＰＰａ＿１の検索を要求する。追跡サブマネージャ３００Ｓは、パケットの追跡処理の経過および結果を追跡マネージャ３００へ通知する（▲１▼’）。なお、実施例７において、プロキシ装置６００には、実施例１〜６で開示した機能の組み合わせも含まれる。なお、実施例７においては、図３１に示したプロキシ装置６００をネットワーク上に複数設け、あるプロキシ装置６００から他のプロキシ装置６００へと多段的に問い合わせる構成としてもよい。
【０２３２】
以上説明したように、実施例７によれば、追跡対象パケットの追跡を、追跡マネージャ、パケットプリント装置の機能を有するプロキシ装置６００へ代理依頼することとしたので、追跡マネージャ３００の追跡処理負荷を軽減することができる。また、実施例７によれば、追跡マネージャ、パケットプリント装置等が一つのプロキシ装置６００としてまとめられ、一つのハードウェアとして実装、運用管理のコストを削減することができ、パケットプリント装置、追跡マネージャ間の通信の高速化、秘匿性の向上を図ることができる。
【０２３３】
以上本発明にかかる実施例１〜７について図面を参照して詳述してきたが、具体的な構成例はこれらの実施例１〜７に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等があっても本発明に含まれる。
【０２３４】
例えば、前述した実施例１〜７においては、追跡マネージャ、パケットプリント装置の各機能を実現するためのプログラムを図３２に示したコンピュータ読み取り可能な記録媒体８００に記録して、この記録媒体８００に記録されたプログラムを同図に示したコンピュータ７００に読み込ませ、実行することにより各機能を実現してもよい。
【０２３５】
同図に示したコンピュータ７００は、上記プログラムを実行するＣＰＵ（Central Processing Unit）７１０と、キーボード、マウス等の入力装置７２０と、各種データを記憶するＲＯＭ（Read Only Memory）７３０と、演算パラメータ等を記憶するＲＡＭ（Random Access Memory）７４０と、記録媒体８００からプログラムを読み取る読取装置７５０と、ディスプレイ、プリンタ等の出力装置７６０と、装置各部を接続するバス７７０とから構成されている。
【０２３６】
ＣＰＵ７１０は、読取装置７５０を経由して記録媒体８００に記録されているプログラムを読み込んだ後、プログラムを実行することにより、前述した機能を実現する。なお、記録媒体８００としては、光ディスク、フレキシブルディスク、ハードディスク等が挙げられる。
【図面の簡単な説明】
【０２３７】
【図１】本発明にかかる実施例１の構成を示すブロック図である。
【図２】図１に示したパケットプリント装置４００（４００Ａ、４００Ｂ）の構成を示すブロック図である。
【図３】図１および図２に示したパケットプリント装置４００（４００Ａ、４００Ｂ）の動作を説明するフローチャートである。
【図４】同実施例１の動作を説明するシーケンス図である。
【図５】本発明にかかる実施例２の構成を示すブロック図である。
【図６】図５に示した追跡マネージャ３１０の構成を示すブロック図である。
【図７】同実施例２の動作を説明するシーケンス図である。
【図８】本発明にかかる実施例３の構成を示すブロック図である。
【図９】図８に示した共通ＰＰおよび共通ＰＰ’を生成する場合のパケット２５０（２５０’）のマスク状態を表す図である。
【図１０】グローバルネットワークＡ（外側）からローカルネットワークＢ（内側）へパケットが流れる場合のマスク箇所を表す図である。
【図１１】ローカルネットワークＢ（内側）からグローバルネットワークＡ（外側）へパケットが流れる場合のマスク箇所を表す図である。
【図１２】同実施例３においてパケット変換装置５００よって書き換えられるＩＰアドレスを含むペイロードをマスク箇所とする場合を説明する図である。
【図１３】同実施例３において補足情報を用いてパケットの同定精度を高めるための構成を示すブロック図である。
【図１４】同実施例３においてバリアパケットを用いてパケットの同定精度を高めるための構成を示すブロック図である。
【図１５】図１４に示したバリアパケットを用いたパケット追跡を説明するブロック図である。
【図１６】同実施例３において追跡マネージャを高機能化した場合の具体例を説明するブロック図である。
【図１７】同実施例３における対応表３２１および構成図３２１ａを示す図である。
【図１８】本発明にかかる実施例４の構成を示すブロック図である。
【図１９】対応テーブル４３１Ａ、４３１Ｂ、４３１Ｃおよび４３１Ｄを示す図である。
【図２０】同実施例４（パケットプリント装置の高機能化）に実施例１を適用した構成例を示すブロック図である。
【図２１】同実施例４（パケットプリント装置の高機能化）に実施例３を適用した構成例を示すブロック図である。
【図２２】同実施例４において、内側のパケットプリント装置を複数台とした場合の構成例を示すブロック図である。
【図２３】同実施例４において、パケット変換装置５００の内側に追跡マネージャ３３０およびパケットプリント装置４２０Ｂを設け、外側に複数台のパケットプリント装置４２０Ａ1 〜４２０Ａ3 を設けた構成例を示すブロック図である。
【図２４】同実施例４における図２１に示した構成の変形例を示すブロック図である。
【図２５】図２４に示した内側のパケットプリント装置４２０Ｂを複数台とした場合の構成例を示すブロック図である。
【図２６】本発明にかかる実施例５の構成を示すブロック図である。
【図２７】同実施例５におけるマスクパターンを説明する図である。
【図２８】本発明にかかる実施例６の構成を示すブロック図である。
【図２９】同実施例６におけるマスクパターンを説明する図である。
【図３０】同実施例６における変形例を説明する図である。
【図３１】本発明にかかる実施例７の構成を示すブロック図である。
【図３２】本発明にかかる実施例１〜７の変形例の構成を示すブロック図である。
【図３３】従来のパケット追跡システムの構成を示すブロック図である。
【図３４】図３３に示したパケットプリント装置１０１（１０１ａ、１０１ｂ、１０１ｃ）の構成を示すブロック図である。
【図３５】図３３に示した追跡マネージャ１０２の構成を示すブロック図である。
【図３６】従来のパケット追跡システムの問題点を説明する図である。
【符号の説明】
【０２３８】
２００ ＩＤＳ
３００ 追跡マネージャ
３１０ 追跡マネージャ
４００Ａ パケットプリント装置
４１０Ａ パケットプリント装置
４２０Ａ パケットプリント装置
４３０Ａ パケットプリント装置
５００ パケット変換装置
【出願人】 【識別番号】０００１０２７２８
【氏名又は名称】株式会社エヌ・ティ・ティ・データ
【識別番号】５０１１７５２８１
【氏名又は名称】株式会社サイバー・ソリューションズ
【出願日】 平成１９年１０月１日（２００７．１０．１）
【代理人】 【識別番号】１０００８９１１８
【弁理士】
【氏名又は名称】酒井 宏明
【公開番号】 特開２００８−６１２７１（Ｐ２００８−６１２７１Ａ）
【公開日】 平成２０年３月１３日（２００８．３．１３）
【出願番号】 特願２００７−２５７９７８（Ｐ２００７−２５７９７８）