JP2003087333A - Data relay apparatus, data relay method, data relay processing program and computer-readable recording medium having the data relay processing program recorded thereon - Google Patents

Abstract

PROBLEM TO BE SOLVED: To effectively detect attack data including a dummy packet whose TTL (Time To Live) is controlled so as not to reach a target machine. SOLUTION: A packet inspection section 14 compares a TTL value indicated in a packet received by a packet transmission reception section 11 with a TTL value required up to a packet destination (target machine) measured by a measurement packet generating section 12 and a measurement packet transmission/ reception section 13. A packet inspection section 14 discards the packet when the indicated TTL value is smaller than the measured TTL value, a data reconfiguration section 15 combines a plurality of packets not discarded but maintained by the packet inspection section 14 to reconfigure data contents and an attack check section 17 determines whether the reconfigured data contents are coincident with an attack signature stored in a signature DB 16.

Description

【発明の詳細な説明】Detailed Description of the Invention

【０００１】[0001]

【発明の属する技術分野】この発明は、攻撃データが複
数のパケットに分割されてネットワークへ送られた際
に、その攻撃データを正しく発見したり、無効化する装
置等に関するものである。BACKGROUND OF THE INVENTION 1. Field of the Invention The present invention relates to a device or the like for correctly finding or invalidating attack data when the attack data is divided into a plurality of packets and sent to a network.

【０００２】[0002]

【従来の技術】従来の技術として、特開２０００−３５
４０３４に「事業：ハッカー監視室」が開示されてい
る。図１４及び図１５は、この「事業：ハッカー監視
室」を説明する図である。図１４において、１００は、
データ通信装置が接続可能でパケットの送受信が可能な
ネットワークＡ、２００は、データ通信装置が接続可能
でパケットの送受信が可能なネットワークＢである。２
は、ネットワークＡ１００にてターゲットマシン４に対
する攻撃データを複数のパケットにて送る攻撃マシンで
ある。３は、ネットワークＡ１００とネットワークＢ２
００の間のパケットの中継を行うルータである。４は、
ネットワークＢ２００にてサービスを提供するターゲッ
トマシンである。６は、ネットワークＡ１００に接続さ
れ、ネットワークＡ１００内のデータ通信装置から送信
されたパケットを受信し、受信したパケットの中から攻
撃データを検出する攻撃検出システムである。2. Description of the Related Art As a conventional technique, Japanese Patent Laid-Open No. 2000-35
4034 discloses "Business: Hacker Monitoring Room". 14 and 15 are diagrams for explaining the "business: hacker monitoring room". In FIG. 14, 100 is
A network A, 200 to which a data communication device is connectable and capable of sending and receiving packets, is a network B, to which a data communication device is connectable and capable of sending and receiving packets. Two
Is an attack machine that sends attack data to the target machine 4 in a plurality of packets on the network A100. 3 is network A100 and network B2
It is a router that relays packets between 00s. 4 is
It is a target machine that provides a service on the network B200. An attack detection system 6 is connected to the network A100, receives a packet transmitted from a data communication device in the network A100, and detects attack data from the received packet.

【０００３】図１５は、攻撃検出システム６の内部構成
を示しており、６１は、ネットワークＡ１００にて通信
されるパケットをパケットの宛先にかかわらず受信する
パケット受信部である。６２は、パケット受信部６１か
ら渡されたパケットを元に通信データを再構成するデー
タ再構成部である。６３は、攻撃データの特徴である攻
撃シグネチャ（攻撃コマンド）を、予め保存しておくシ
グネチャデータベース（以下、シグネチャＤＢとする）
である。６４は、再構成された通信データと攻撃シグネ
チャとを比較して攻撃データかどうかを判定する攻撃チ
ェック部である。FIG. 15 shows the internal structure of the attack detection system 6, and 61 is a packet receiving unit for receiving a packet communicated on the network A 100 regardless of the destination of the packet. A data reconstructing unit 62 reconstructs communication data based on the packet passed from the packet receiving unit 61. Reference numeral 63 denotes a signature database (hereinafter referred to as signature DB) in which attack signatures (attack commands), which are characteristics of attack data, are stored in advance.
Is. Reference numeral 64 is an attack check unit that compares the reconstructed communication data with the attack signature to determine whether the data is attack data.

【０００４】次に、攻撃検出システム６の動作について
説明する。パケット受信部６１は、ネットワークＡ１０
０に接続されたデータ通信装置より送信されたパケット
を受信する。ここで、例えば、攻撃マシン２よりターゲ
ットマシン４を宛先とする図１６（ｂ）〜（ｄ）に示す
パケットＡ、パケットＢ、パケットＣを受信したとす
る。次に、データ再構成部６２は、パケット受信部６１
により受信されたパケットのデータ内容の再構成を行
う。図１６の例では、パケットＡ、パケットＢ、パケッ
トＣのそれぞれのデータ内容を組み合わせて図１６
（ｅ）に示すように、”／ｃｇｉ−ｂｉｎ／ｐｈａｆ”
というデータ内容に再構成する。次に、攻撃チェック部
６４が、再構成されたデータ内容と、シグネチャＤＢ６
３に蓄積されている攻撃シグネチャとを比較し、比較の
結果攻撃データであると判定した場合は、その攻撃デー
タを破棄し、攻撃データでないと判断した場合は、宛先
のデータ通信装置への転送を許可する。図１６（ａ）
は、シグネチャＤＢ６３に蓄積された攻撃シグネチャを
示す。図１６（ａ）の攻撃シグネチャと図１６（ｅ）の
再構成結果は、データ内容が一致しないため（攻撃シグ
ネチャでは／ｐｈｆ”となっているのに対して再構成結
果では／ｐｈａｆ”となっているため）、攻撃チェック
部６４は、これらパケットＡ、パケットＢ、パケットＣ
は攻撃データではないと判断し、これらのパケットの転
送を許可する。Next, the operation of the attack detection system 6 will be described. The packet receiving unit 61 uses the network A10.
The packet transmitted from the data communication device connected to 0 is received. Here, for example, it is assumed that the packet A, the packet B, and the packet C shown in FIGS. 16B to 16D having the destination of the target machine 4 are received from the attacking machine 2. Next, the data reconstructing unit 62 uses the packet receiving unit 61.
The data content of the packet received by is reconstructed. In the example of FIG. 16, the data contents of the packet A, the packet B, and the packet C are combined and the combination of FIG.
As shown in (e), "/ cgi-bin / phaf"
It is reconfigured to the data content. Next, the attack check unit 64 uses the reconstructed data content and the signature DB 6
3 is compared with the attack signature stored in No. 3, and if it is determined that the attack data is attack data as a result of the comparison, the attack data is discarded, and if it is determined that the attack data is not attack data, the data is transferred to the destination data communication device. Allow Figure 16 (a)
Indicates an attack signature accumulated in the signature DB 63. The attack signature of FIG. 16A and the reconstruction result of FIG. 16E do not have the same data content (the attack signature is / phf ", whereas the reconstruction result is / phaf". Therefore, the attack check unit 64 determines that the packet A, the packet B, and the packet C are
Judges that it is not attack data and permits the transfer of these packets.

【０００５】一方で、図１６（ｂ）〜（ｄ）のパケット
Ａ、パケットＢ、パケットＣには、それぞれＴＴＬ（Ｔ
ｉｍｅ Ｔｏ Ｌｉｖｅ）の値が示されている。このＴ
ＴＬ値は、パケットがネットワークの中に滞在可能な時
間（秒数）を示す値であり、ルータ（ゲートウェイ）を
通過する度にルータ（ゲートウェイ）の処理に費やした
時間が、表示されたＴＴＬ値から減算される。ただし、
処理時間が１秒に満たない場合や、処理時間を計測でき
ない場合は、少なくとも１秒が減らされる。そして、Ｔ
ＴＬ値が０となった場合には、ルータ（ゲートウェイ）
によりそのパケットは破棄されることになる。即ち、Ｔ
ＴＬは、パケットの有効期間を示す値となる。また、ル
ータの処理に費やした時間の代わりに、ホップカウント
を用いてＴＴＬ値とすることも可能である。つまり、ル
ータを１つ通過するたびにＴＴＬ値を１つづつ減らし、
ＴＴＬ値が０となった時点でルータがパケットを破棄す
るようにしてもよい。この場合には、ＴＴＬ値は、パケ
ットが転送されるネットワーク距離を示すことになる。
ここで、パケットＡではＴＴＬ＝５、パケットＢではＴ
ＴＬ＝１、パケットＣではＴＴＬ＝５である。このた
め、攻撃検出システム６からターゲットマシン４までに
必要なＴＴＬ値が２〜５の間の場合は、パケットＢは途
中のルータで破棄され、パケットＡ及びパケットＣのみ
がターゲットマシン４に到達することになる。ターゲッ
トマシン４に到達したパケットＡ及びパケットＣのデー
タ内容は、図１６（ｆ）に示すものとなり、これは、結
局図１６（ａ）の攻撃シグネチャと一致する結果とな
る。On the other hand, the packet A, the packet B, and the packet C shown in FIGS.
The value of “ime To Live” is shown. This T
The TL value is a value indicating the time (in seconds) that a packet can stay in the network, and the time spent processing the router (gateway) every time it passes through the router (gateway) is the displayed TTL value. Is subtracted from. However,
When the processing time is less than 1 second or when the processing time cannot be measured, at least 1 second is reduced. And T
When the TL value becomes 0, the router (gateway)
Causes the packet to be discarded. That is, T
TL is a value indicating the valid period of the packet. It is also possible to use the hop count as the TTL value instead of the time spent for processing by the router. In other words, each time you go through one router, you decrease the TTL value by one,
The router may discard the packet when the TTL value becomes 0. In this case, the TTL value will indicate the network distance over which the packet is transferred.
Here, TTL = 5 in packet A and T in packet B
TL = 1, and in packet C, TTL = 5. Therefore, when the TTL value required from the attack detection system 6 to the target machine 4 is between 2 and 5, the packet B is discarded by the router on the way, and only the packet A and the packet C reach the target machine 4. It will be. The data contents of the packet A and the packet C that have reached the target machine 4 are as shown in FIG. 16 (f), which results in a match with the attack signature of FIG. 16 (a).

【０００６】[0006]

【発明が解決しようとする課題】このように、従来の技
術においては、攻撃検出システムには到達するものの、
ルータを経由するターゲットマシンには到達しないよう
にＴＴＬを操作したダミーのパケットを、攻撃データの
分割された複数のパケットの間に潜り込ませることによ
って、攻撃シグネチャとして検出不能（見かけ上は攻撃
データと判定できない）でありながらターゲットマシン
が攻撃されるという問題があった。そこで、本発明は、
このような問題点を解決することを目的とする。As described above, although the conventional technique reaches the attack detection system,
Unable to detect as an attack signature by making a dummy packet that manipulates TTL so that it does not reach the target machine via the router, among multiple packets that are divided into attack data (apparently, it cannot be detected as attack data. However, there was a problem that the target machine was attacked. Therefore, the present invention is
The purpose is to solve such problems.

【０００７】[0007]

【課題を解決するための手段】本発明に係るデータ中継
装置は、複数のデータ通信装置間のデータ通信を中継す
るデータ中継装置であって、いずれかのデータ通信装置
から他のいずれかのデータ通信装置を宛先として送信さ
れ、前記データ中継装置からデータ転送可能なネットワ
ーク距離が表示ネットワーク距離として表示された送信
データを受信するデータ受信部と、前記データ中継装置
から前記送信データの宛先とされた宛先データ通信装置
までのネットワーク距離を測定ネットワーク距離として
測定するネットワーク距離測定部と、前記送信データに
表示された前記表示ネットワーク距離と、前記ネットワ
ーク距離測定部により測定された前記測定ネットワーク
距離とを比較し、比較結果に基づき前記送信データを破
棄するか否かを決定するデータ検査部とを有することを
特徴とする。A data relay device according to the present invention is a data relay device for relaying data communication between a plurality of data communication devices, wherein any one of the data communication devices transfers data to another data communication device. A data receiving unit that receives the transmission data transmitted from the communication device and has the data transferable network distance displayed as the display network distance from the data relay device; and a destination of the transmission data from the data relay device. A network distance measuring unit that measures a network distance to a destination data communication device as a measurement network distance, the display network distance displayed in the transmission data, and the measured network distance measured by the network distance measuring unit are compared. Then, based on the comparison result, it is decided whether to discard the transmission data. And having a data checking unit for.

【０００８】前記データ中継装置は、更に、同一のデー
タ通信装置を宛先データ通信装置とする複数の送信デー
タが前記データ受信部により受信され、受信された前記
複数の送信データのうち少なくとも二以上の送信データ
が前記データ検査部により破棄されずに維持された場合
に、維持された送信データを組み合わせて維持された送
信データのデータ内容を再構成するデータ再構成部と、
前記データ再構成部により再構成されたデータ内容が、
前記宛先データ通信装置への攻撃を目的とするデータ内
容であるか否かを判定するデータ判定部とを有すること
を特徴とする。In the data relay device, a plurality of transmission data having the same data communication device as a destination data communication device is received by the data receiving unit, and at least two or more of the received plurality of transmission data are received. A data reconstructing unit that reconstructs the data content of the maintained transmission data by combining the maintained transmission data when the transmission data is maintained without being discarded by the data inspection unit,
The data content reconstructed by the data reconstructing unit is
And a data determination unit that determines whether or not the data content is for the purpose of attacking the destination data communication device.

【０００９】データ検査部は、前記送信データの前記表
示ネットワーク距離の値が、前記測定ネットワーク距離
の値よりも小さい場合に前記送信データを破棄する決定
を行うことを特徴とする。The data inspection unit may determine to discard the transmission data when the value of the display network distance of the transmission data is smaller than the value of the measurement network distance.

【００１０】前記データ受信部は、前記表示ネットワー
ク距離としてＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値が
表示された送信データを受信し、前記ネットワーク距離
測定部は、前記測定ネットワーク距離として前記データ
中継装置から前記宛先データ通信装置までに必要なＴＴ
Ｌ値を測定し、前記データ検査部は、前記送信データに
表示されたＴＴＬ値と、前記ネットワーク距離測定部に
より測定されたＴＴＬ値とを比較し、比較結果に基づき
前記送信データを破棄するか否かを決定することを特徴
とする。The data receiving unit receives the transmission data in which a TTL (Time To Live) value is displayed as the display network distance, and the network distance measuring unit receives the transmission network distance from the data relay device as the measured network distance. TT required for data communication equipment
Whether the data inspection unit measures the L value, compares the TTL value displayed in the transmission data with the TTL value measured by the network distance measurement unit, and discards the transmission data based on the comparison result. It is characterized by determining whether or not.

【００１１】前記データ中継装置は、更に、いずれかの
データ通信装置への攻撃に用いられる攻撃コマンドを少
なくとも一つ以上記憶した攻撃コマンド記憶部を有し、
前記データ判定部は、前記データ再構成部により再構成
されたデータ内容が前記攻撃コマンド記憶部に記憶され
た前記攻撃コマンドのいずれかに一致するか否かを判定
することを特徴とする。The data relay device further includes an attack command storage unit that stores at least one attack command used to attack any one of the data communication devices,
The data determination unit determines whether the data content reconstructed by the data reconfiguration unit matches any of the attack commands stored in the attack command storage unit.

【００１２】本発明に係るデータ中継装置は、複数のデ
ータ通信装置間のデータ通信を中継するデータ中継装置
であって、前記複数のデータ通信装置のそれぞれについ
て、前記データ中継装置からそれぞれのデータ通信装置
までのネットワーク距離を記憶ネットワーク距離として
記憶するネットワーク距離記憶部と、いずれかのデータ
通信装置から他のいずれかのデータ通信装置を宛先とし
て送信され、前記データ中継装置からデータ転送可能な
ネットワーク距離が表示ネットワーク距離として表示さ
れた送信データを受信するデータ受信部と、前記送信デ
ータに表示された前記表示ネットワーク距離と、前記送
信データの宛先とされた宛先データ通信装置の記憶ネッ
トワーク距離とを比較し、比較結果に基づき前記表示ネ
ットワーク距離及び前記宛先データ通信装置の記憶ネッ
トワーク距離のいずれか一方の値を変更するネットワー
ク距離変更部と、前記ネットワーク距離変更部により前
記表示ネットワーク距離及び前記宛先通信装置の記憶ネ
ットワーク距離のいずれか一方の値の変更が行われた後
に、前記送信データを前記宛先データ通信装置に対して
送信するデータ送信部とを有することを特徴とする。A data relay device according to the present invention is a data relay device for relaying data communication between a plurality of data communication devices, wherein each of the plurality of data communication devices receives data communication from the data relay device. A network distance storage unit that stores a network distance to a device as a storage network distance, and a network distance that is transmitted from any data communication device to another data communication device as a destination and is capable of transferring data from the data relay device. A data receiving unit that receives transmission data displayed as a display network distance, the display network distance displayed in the transmission data, and a storage network distance of a destination data communication device that is the destination of the transmission data. Based on the comparison result, A network distance changing unit that changes one of the values of the storage network distance of the destination data communication device, and a value of one of the display network distance and the storage network distance of the destination communication device by the network distance changing unit. A data transmission unit that transmits the transmission data to the destination data communication device after the change is made.

【００１３】前記ネットワーク距離変更部は、前記表示
ネットワーク距離の値が前記宛先データ通信装置の記憶
ネットワーク距離の値よりも小さい場合は、前記表示ネ
ットワーク距離の値を前記宛先データ通信装置の記憶ネ
ットワーク距離の値に変更し、前記宛先データ通信装置
の記憶ネットワーク距離の値が前記表示ネットワーク距
離の値よりも小さい場合は、前記宛先データ通信装置の
記憶ネットワーク距離の値を前記表示ネットワーク距離
の値に変更することを特徴とする。When the value of the display network distance is smaller than the value of the storage network distance of the destination data communication device, the network distance changing unit sets the value of the display network distance to the storage network distance of the destination data communication device. And the value of the storage network distance of the destination data communication device is smaller than the value of the display network distance, the value of the storage network distance of the destination data communication device is changed to the value of the display network distance. It is characterized by doing.

【００１４】前記ネットワーク距離記憶部に記憶ネット
ワーク距離が記憶されていない新規のデータ通信装置を
宛先とする送信データが前記データ受信部により受信さ
れた場合に、前記ネットワーク距離記憶部は、前記送信
データに表示されたネットワーク距離を、前記新規のデ
ータ通信装置の記憶ネットワーク距離として記憶するこ
とを特徴とする。When transmission data destined for a new data communication device whose storage network distance is not stored in the network distance storage unit is received by the data reception unit, the network distance storage unit is configured to transmit the transmission data. The network distance displayed on the screen is stored as the storage network distance of the new data communication device.

【００１５】前記ネットワーク距離記憶部は、前記記憶
ネットワーク距離として前記データ中継装置からそれぞ
れのデータ通信装置までに必要なＴＴＬ（Ｔｉｍｅ Ｔ
ｏＬｉｖｅ）値を記憶し、前記データ受信部は、前記表
示ネットワーク距離としてＴＴＬ値が表示された送信デ
ータを受信し、前記ネットワーク距離変更部は、前記送
信データに表示された表示ＴＴＬ値と前記ネットワーク
距離記憶部に記憶された前記宛先データ通信装置の記憶
ＴＴＬ値とを比較し、比較結果に基づき前記表示ＴＴＬ
値及び前記宛先データ通信装置の記憶ＴＴＬ値のいずれ
か一方の値を変更することを特徴とする。The network distance storage unit has a TTL (Time T) required as the storage network distance from the data relay device to each data communication device.
oLive) value is stored, the data receiving unit receives transmission data in which a TTL value is displayed as the display network distance, and the network distance changing unit is configured to display the display TTL value displayed in the transmission data and the network. The stored TTL value of the destination data communication device stored in the distance storage unit is compared, and the display TTL is based on the comparison result.
One of the value and the stored TTL value of the destination data communication device is changed.

【００１６】本発明に係るデータ中継方法は、複数のデ
ータ通信装置間のデータ通信を中継するデータ中継方法
であって、いずれかのデータ通信装置から他のいずれか
のデータ通信装置を宛先として送信され、前記データ中
継方法からデータ転送可能なネットワーク距離が表示ネ
ットワーク距離として表示された送信データを受信する
データ受信ステップと、前記データ中継方法から前記送
信データの宛先とされた宛先データ通信装置までのネッ
トワーク距離を測定ネットワーク距離として測定するネ
ットワーク距離測定ステップと、前記送信データに表示
された前記表示ネットワーク距離と、前記ネットワーク
距離測定ステップにより測定された前記測定ネットワー
ク距離とを比較し、比較結果に基づき前記送信データを
破棄するか否かを決定するデータ検査ステップとを有す
ることを特徴とする。A data relay method according to the present invention is a data relay method for relaying data communication between a plurality of data communication devices, wherein any one of the data communication devices transmits to any of the other data communication devices. A data receiving step of receiving transmission data in which a network distance capable of data transfer is displayed as a display network distance from the data relay method; and a destination data communication device from the data relay method to a destination of the transmission data. A network distance measuring step of measuring the network distance as a measurement network distance, the display network distance displayed in the transmission data, and the measured network distance measured by the network distance measuring step are compared, and based on the comparison result. Whether to discard the transmission data And having a data checking step for constant.

【００１７】前記データ中継方法は、更に、同一のデー
タ通信装置を宛先データ通信装置とする複数の送信デー
タが前記データ受信ステップにより受信され、受信され
た前記複数の送信データのうち少なくとも二以上の送信
データが前記データ検査ステップにより破棄されずに維
持された場合に、維持された送信データを組み合わせて
維持された送信データのデータ内容を再構成するデータ
再構成ステップと、前記データ再構成ステップにより再
構成されたデータ内容が、前記宛先データ通信装置への
攻撃を目的とするデータ内容であるか否かを判定するデ
ータ判定ステップとを有することを特徴とする。In the data relay method, a plurality of transmission data having the same data communication device as a destination data communication device is received by the data receiving step, and at least two or more of the received plurality of transmission data are received. A data reconstruction step of reconstructing the data content of the maintained transmission data by combining the maintained transmission data when the transmission data is maintained without being discarded by the data inspection step; A data determination step of determining whether or not the reconstructed data content is data content intended to attack the destination data communication device.

【００１８】データ検査ステップは、前記送信データの
前記表示ネットワーク距離の値が、前記測定ネットワー
ク距離の値よりも小さい場合に前記送信データを破棄す
る決定を行うことを特徴とする。The data inspection step is characterized by making a decision to discard the transmission data when the value of the display network distance of the transmission data is smaller than the value of the measurement network distance.

【００１９】前記データ受信ステップは、前記表示ネッ
トワーク距離としてＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖ
ｅ）値が表示された送信データを受信し、前記ネットワ
ーク距離測定ステップは、前記測定ネットワーク距離と
して前記データ中継方法から前記宛先データ通信装置ま
でに必要なＴＴＬ値を測定し、前記データ検査ステップ
は、前記送信データに表示されたＴＴＬ値と、前記ネッ
トワーク距離測定ステップにより測定されたＴＴＬ値と
を比較し、比較結果に基づき前記送信データを破棄する
か否かを決定することを特徴とする。In the data receiving step, TTL (Time To Live) is used as the display network distance.
e) receiving transmission data with a value displayed, the network distance measuring step measures a TTL value required as the measured network distance from the data relay method to the destination data communication device, and the data checking step includes , Comparing the TTL value displayed in the transmission data with the TTL value measured in the network distance measuring step, and deciding whether or not to discard the transmission data based on the comparison result.

【００２０】本発明に係るデータ中継方法は、複数のデ
ータ通信装置間のデータ通信を中継するデータ中継方法
であって、前記複数のデータ通信装置のそれぞれについ
て、前記データ中継方法からそれぞれのデータ通信装置
までのネットワーク距離を記憶ネットワーク距離として
記憶するネットワーク距離記憶ステップと、いずれかの
データ通信装置から他のいずれかのデータ通信装置を宛
先として送信され、前記データ中継方法からデータ転送
可能なネットワーク距離が表示ネットワーク距離として
表示された送信データを受信するデータ受信ステップ
と、前記送信データに表示された前記表示ネットワーク
距離と、前記送信データの宛先とされた宛先データ通信
装置の記憶ネットワーク距離とを比較し、比較結果に基
づき前記表示ネットワーク距離及び前記宛先データ通信
装置の記憶ネットワーク距離のいずれか一方の値を変更
するネットワーク距離変更ステップと、前記ネットワー
ク距離変更ステップにより前記表示ネットワーク距離及
び前記宛先通信装置の記憶ネットワーク距離のいずれか
一方の値の変更が行われた後に、前記送信データを前記
宛先データ通信装置に対して送信するデータ送信ステッ
プとを有することを特徴とする。A data relay method according to the present invention is a data relay method for relaying data communication between a plurality of data communication devices, wherein each of the plurality of data communication devices uses the data communication method. A network distance storing step of storing the network distance to the device as a storage network distance, and a network distance capable of being transferred from the data relay method by being transmitted from any of the data communication devices to another of the data communication devices. A data receiving step of receiving transmission data displayed as a display network distance, the display network distance displayed in the transmission data, and a storage network distance of a destination data communication device that is the destination of the transmission data. Then, based on the comparison result, the above-mentioned display net Network distance changing step of changing one of the values of the network distance and the storage network distance of the destination data communication apparatus, and any one of the display network distance and the storage network distance of the destination communication apparatus by the network distance changing step. A data transmission step of transmitting the transmission data to the destination data communication device after one value is changed.

【００２１】前記ネットワーク距離変更ステップは、前
記表示ネットワーク距離の値が前記宛先データ通信装置
の記憶ネットワーク距離の値よりも小さい場合は、前記
表示ネットワーク距離の値を前記宛先データ通信装置の
記憶ネットワーク距離の値に変更し、前記宛先データ通
信装置の記憶ネットワーク距離の値が前記表示ネットワ
ーク距離の値よりも小さい場合は、前記宛先データ通信
装置の記憶ネットワーク距離の値を前記表示ネットワー
ク距離の値に変更することを特徴とする。In the network distance changing step, if the value of the display network distance is smaller than the value of the storage network distance of the destination data communication device, the value of the display network distance is changed to the storage network distance of the destination data communication device. And the value of the storage network distance of the destination data communication device is smaller than the value of the display network distance, the value of the storage network distance of the destination data communication device is changed to the value of the display network distance. It is characterized by doing.

【００２２】前記ネットワーク距離記憶ステップは、前
記記憶ネットワーク距離として前記データ中継方法から
それぞれのデータ通信装置までに必要なＴＴＬ（Ｔｉｍ
ｅＴｏ Ｌｉｖｅ）値を記憶し、前記データ受信ステッ
プは、前記表示ネットワーク距離としてＴＴＬ値が表示
された送信データを受信し、前記ネットワーク距離変更
ステップは、前記送信データに表示された表示ＴＴＬ値
と前記ネットワーク距離記憶ステップに記憶された前記
宛先データ通信装置の記憶ＴＴＬ値とを比較し、比較結
果に基づき前記表示ＴＴＬ値及び前記宛先データ通信装
置の記憶ＴＴＬ値のいずれか一方の値を変更することを
特徴とする。In the network distance storing step, the TTL (Tim) required as a storage network distance from the data relay method to each data communication device is used.
eTo Live) value is stored, the data receiving step receives transmission data in which a TTL value is displayed as the display network distance, and the network distance changing step includes the display TTL value displayed in the transmission data and the display data. Comparing the stored TTL value of the destination data communication device stored in the network distance storing step, and changing one of the display TTL value and the stored TTL value of the destination data communication device based on the comparison result. Is characterized by.

【００２３】本発明に係るデータ中継処理プログラム
は、複数のデータ通信装置間のデータ通信を中継するデ
ータ中継処理をデータ中継装置に実行させるためのデー
タ中継処理プログラムであって、いずれかのデータ通信
装置から他のいずれかのデータ通信装置を宛先として送
信され、前記データ中継装置からデータ転送可能なネッ
トワーク距離が表示ネットワーク距離として表示された
送信データを受信するデータ受信処理と、前記データ中
継装置から前記送信データの宛先とされた宛先データ通
信装置までのネットワーク距離を測定ネットワーク距離
として測定するネットワーク距離測定処理と、前記送信
データに表示された前記表示ネットワーク距離と、前記
ネットワーク距離測定処理により測定された前記測定ネ
ットワーク距離とを比較し、比較結果に基づき前記送信
データを破棄するか否かを決定するデータ検査処理とを
前記データ中継装置に実行させるためのデータ中継処理
プログラムであることを特徴とする。A data relay processing program according to the present invention is a data relay processing program for causing a data relay device to execute a data relay process for relaying data communication between a plurality of data communication devices, wherein A data reception process for receiving transmission data transmitted from the device to any one of the other data communication devices and displaying a network distance capable of data transfer from the data relay device as a display network distance; A network distance measuring process of measuring a network distance to a destination data communication device as a destination of the transmission data as a measurement network distance, the display network distance displayed in the transmission data, and the network distance measuring process. And the measured network distance And compare, characterized in that it is a data relay processing program for executing the data checking process of determining whether to discard the transmission data based on a comparison result to the data relay apparatus.

【００２４】前記データ中継処理プログラムは、更に、
同一のデータ通信装置を宛先データ通信装置とする複数
の送信データが前記データ受信処理により受信され、受
信された前記複数の送信データのうち少なくとも二以上
の送信データが前記データ検査処理により破棄されずに
維持された場合に、維持された送信データを組み合わせ
て維持された送信データのデータ内容を再構成するデー
タ再構成処理と、前記データ再構成処理により再構成さ
れたデータ内容が、前記宛先データ通信装置への攻撃を
目的とするデータ内容であるか否かを判定するデータ判
定処理とを前記データ中継装置に実行させるためのデー
タ中継処理プログラムであることを特徴とする。The data relay processing program further includes
A plurality of transmission data destined for the same data communication device as the destination data communication device is received by the data reception process, and at least two or more transmission data of the received plurality of transmission data are not discarded by the data inspection process. In the case of being maintained at, the data reconstruction process for reconstructing the data contents of the maintained transmission data by combining the maintained transmission data, and the data contents reconstructed by the data reconstruction process are the destination data. It is a data relay processing program for causing the data relay device to execute a data determination process for determining whether or not the data content is intended to attack a communication device.

【００２５】本発明に係るデータ中継処理プログラム
は、複数のデータ通信装置間のデータ通信を中継するデ
ータ中継処理をデータ中継装置に実行させるためのデー
タ中継処理プログラムであって、前記複数のデータ通信
装置のそれぞれについて、前記データ中継装置からそれ
ぞれのデータ通信装置までのネットワーク距離を記憶ネ
ットワーク距離として記憶するネットワーク距離記憶処
理と、いずれかのデータ通信装置から他のいずれかのデ
ータ通信装置を宛先として送信され、前記データ中継装
置からデータ転送可能なネットワーク距離が表示ネット
ワーク距離として表示された送信データを受信するデー
タ受信処理と、前記送信データに表示された前記表示ネ
ットワーク距離と、前記送信データの宛先とされた宛先
データ通信装置の記憶ネットワーク距離とを比較し、比
較結果に基づき前記表示ネットワーク距離及び前記宛先
データ通信装置の記憶ネットワーク距離のいずれか一方
の値を変更するネットワーク距離変更処理と、前記ネッ
トワーク距離変更処理により前記表示ネットワーク距離
及び前記宛先通信装置の記憶ネットワーク距離のいずれ
か一方の値の変更が行われた後に、前記送信データを前
記宛先データ通信装置に対して送信するデータ送信処理
とを前記データ中継装置に実行させるためのデータ中継
処理プログラムであることを特徴とする。A data relay processing program according to the present invention is a data relay processing program for causing a data relay device to perform a data relay process for relaying data communication between a plurality of data communication devices, wherein For each of the devices, a network distance storing process for storing the network distance from the data relay device to each of the data communication devices as a storage network distance, and from any data communication device to any other data communication device as a destination. A data reception process of receiving transmitted data that is transmitted and the network distance at which data can be transferred from the data relay device is displayed as a display network distance, the display network distance displayed in the transmission data, and the destination of the transmission data. Address data communication device A network distance changing process for comparing a network distance and a value of one of the display network distance and the storage network distance of the destination data communication device based on the comparison result; and the display network distance by the network distance changing process. And a data transmission process of transmitting the transmission data to the destination data communication device after the value of any one of the storage network distances of the destination communication device is changed. Is a data relay processing program.

【００２６】本発明に係るコンピュータ読み取り可能な
記録媒体は、複数のデータ通信装置間のデータ通信を中
継するデータ中継処理をデータ中継装置に実行させるた
めのデータ中継処理プログラムを記録したコンピュータ
読み取り可能な記録媒体であって、いずれかのデータ通
信装置から他のいずれかのデータ通信装置を宛先として
送信され、前記データ中継装置からデータ転送可能なネ
ットワーク距離が表示ネットワーク距離として表示され
た送信データを受信するデータ受信処理と、前記データ
中継装置から前記送信データの宛先とされた宛先データ
通信装置までのネットワーク距離を測定ネットワーク距
離として測定するネットワーク距離測定処理と、前記送
信データに表示された前記表示ネットワーク距離と、前
記ネットワーク距離測定処理により測定された前記測定
ネットワーク距離とを比較し、比較結果に基づき前記送
信データを破棄するか否かを決定するデータ検査処理と
を前記データ中継装置に実行させるためのデータ中継処
理プログラムを記録したコンピュータ読み取り可能な記
録媒体であることを特徴とする。The computer-readable recording medium according to the present invention has a computer-readable recording medium recorded with a data relay processing program for causing the data relay apparatus to execute a data relay processing for relaying data communication between a plurality of data communication apparatuses. Receiving transmission data which is a recording medium and is transmitted from any one of the other data communication devices as a destination and in which the data transferable network distance is displayed as the display network distance from the data relay device. Data receiving processing, network distance measuring processing for measuring a network distance from the data relay apparatus to a destination data communication apparatus as a destination of the transmission data as a measurement network distance, and the display network displayed in the transmission data Distance and the network distance A data relay processing program for causing the data relay device to perform a data inspection process of comparing the measured network distance measured by the measurement process and determining whether to discard the transmission data based on the comparison result. The recording medium is a computer-readable recording medium.

【００２７】前記データ中継処理プログラムを記録した
コンピュータ読み取り可能な記録媒体は、更に、同一の
データ通信装置を宛先データ通信装置とする複数の送信
データが前記データ受信処理により受信され、受信され
た前記複数の送信データのうち少なくとも二以上の送信
データが前記データ検査処理により破棄されずに維持さ
れた場合に、維持された送信データを組み合わせて維持
された送信データのデータ内容を再構成するデータ再構
成処理と、前記データ再構成処理により再構成されたデ
ータ内容が、前記宛先データ通信装置への攻撃を目的と
するデータ内容であるか否かを判定するデータ判定処理
とを前記データ中継装置に実行させるためのデータ中継
処理プログラムを記録したコンピュータ読み取り可能な
記録媒体であることを特徴とする。In the computer-readable recording medium recording the data relay processing program, a plurality of transmission data having the same data communication device as the destination data communication device is received by the data receiving process, and is received. When at least two or more transmission data among a plurality of transmission data are maintained without being discarded by the data inspection process, a data reconfiguration for reconstructing the data content of the maintained transmission data by combining the maintained transmission data In the data relay device, a configuration process and a data determination process for determining whether or not the data content reconfigured by the data reconfiguration process is data content for the purpose of attacking the destination data communication device. It is a computer-readable recording medium that records a data relay processing program to be executed. The features.

【００２８】本発明に係るコンピュータ読み取り可能な
記録媒体は、複数のデータ通信装置間のデータ通信を中
継するデータ中継処理をデータ中継装置に実行させるた
めのデータ中継処理プログラムを記録したコンピュータ
読み取り可能な記録媒体であって、前記複数のデータ通
信装置のそれぞれについて、前記データ中継装置からそ
れぞれのデータ通信装置までのネットワーク距離を記憶
ネットワーク距離として記憶するネットワーク距離記憶
処理と、いずれかのデータ通信装置から他のいずれかの
データ通信装置を宛先として送信され、前記データ中継
装置からデータ転送可能なネットワーク距離が表示ネッ
トワーク距離として表示された送信データを受信するデ
ータ受信処理と、前記送信データに表示された前記表示
ネットワーク距離と、前記送信データの宛先とされた宛
先データ通信装置の記憶ネットワーク距離とを比較し、
比較結果に基づき前記表示ネットワーク距離及び前記宛
先データ通信装置の記憶ネットワーク距離のいずれか一
方の値を変更するネットワーク距離変更処理と、前記ネ
ットワーク距離変更処理により前記表示ネットワーク距
離及び前記宛先通信装置の記憶ネットワーク距離のいず
れか一方の値の変更が行われた後に、前記送信データを
前記宛先データ通信装置に対して送信するデータ送信処
理とを前記データ中継装置に実行させるためのデータ中
継処理プログラムを記録したコンピュータ読み取り可能
な記録媒体であることを特徴とする。The computer-readable recording medium according to the present invention has a computer-readable recording medium recorded with a data relay processing program for causing the data relay apparatus to execute a data relay processing for relaying data communication between a plurality of data communication apparatuses. A recording medium, for each of the plurality of data communication devices, a network distance storing process for storing a network distance from the data relay device to each data communication device as a storage network distance; Data reception processing for receiving transmission data transmitted from any other data communication device and displaying the network distance at which data transfer is possible from the data relay device as the display network distance; Display network distance Compares the stored network distance destinations and destination data communication apparatus of the transmitting data,
A network distance changing process for changing one of the values of the display network distance and the storage network distance of the destination data communication device based on a comparison result, and storage of the display network distance and the destination communication device by the network distance changing process. A data relay process program for causing the data relay device to perform a data transmission process of transmitting the transmission data to the destination data communication device after the value of any one of the network distances is changed is recorded. And a computer-readable recording medium.

【００２９】[0029]

【発明の実施の形態】実施の形態１．図１は、本実施の
形態に係るネットワーク構成の一例を示す図である。図
１において、１はネットワークＡ１００に接続され、ネ
ットワークＡ１００内のデータ通信装置から送信された
パケットを受信し、受信したパケットの中から攻撃デー
タを検出する攻撃対策システムである。攻撃対策システ
ムは、本発明に係るデータ中継装置に相当する。なお、
他の構成要素は、図１４に示したものと同様である。BEST MODE FOR CARRYING OUT THE INVENTION Embodiment 1. FIG. 1 is a diagram showing an example of a network configuration according to the present embodiment. In FIG. 1, reference numeral 1 denotes an attack countermeasure system which is connected to a network A100, receives a packet transmitted from a data communication device in the network A100, and detects attack data from the received packet. The attack countermeasure system corresponds to the data relay device according to the present invention. In addition,
The other components are the same as those shown in FIG.

【００３０】図２は、攻撃対策システム１の内部構成を
示す図である。１１は、ネットワークＡ１００にて通信
されるパケットをパケットの宛先にかかわらず受信する
とともに、攻撃チェック部１７により攻撃データでない
と判定されたパケットを宛先のデータ通信装置に対して
送信するパケット送受信部である。なお、パケット送受
信部１１が受信するパケットには、ＴＴＬ（ＴｉｍｅＴ
ｏ Ｌｉｖｅ）値が含まれている。このＴＴＬ値は、ネ
ットワーク距離に相当する。前述したように、ルータの
処理に費やした時間の代わりに、ホップカウントを用い
てＴＴＬ値とすることも可能であり、ルータを１つ通過
するたびにＴＴＬ値を１つづつ減らし、ＴＴＬ値が０と
なった時点でルータがパケットを破棄するようにしても
よい。この場合には、ＴＴＬ値はパケットが転送される
ネットワーク距離に相当する。１２は、パケット送受信
部１１によりパケットが受信された場合に、受信された
パケットの宛先であるデータ通信装置（宛先データ通信
装置）までのネットワーク距離を測定するための測定パ
ケットを生成する測定パケット生成部である。１３は、
測定パケット生成部１２により生成された測定パケット
を宛先データ通信装置に対して送信し、測定パケットに
対する応答を受信する測定パケット送受信部である。な
お、測定パケット生成部１２と測定パケット送受信部１
３とを合わせてネットワーク距離測定部という。１４
は、パケット送受信部１１で受信されたパケットに含ま
れるＴＴＬ値と測定パケット送受信部１３から得られた
ネットワーク距離を比較し、比較結果に基づき、パケッ
トの破棄の決定又はパケットをデータ再構成部１５へ渡
す決定のいずれかを行うパケット検査部である。パケッ
ト検査部１４は、データ検査部に相当する。１５は、パ
ケット検査部１４から渡されたパケットを元に通信デー
タを再構成するデータ再構成部である。１６は、攻撃デ
ータの特徴である攻撃シグネチャ（攻撃コマンド）を、
予め保存しておくシグネチャデータベース（以下、シグ
ネチャＤＢとする）である。シグネチャＤＢ１６は、攻
撃コマンド記憶部に相当する。１７は、再構成された通
信データと攻撃シグネチャとを比較して攻撃データかど
うかを判定する攻撃チェック部である。攻撃チェック部
１７は、データ判定部に相当する。FIG. 2 is a diagram showing the internal configuration of the attack countermeasure system 1. Reference numeral 11 denotes a packet transmission / reception unit that receives a packet communicated on the network A 100 regardless of the destination of the packet, and transmits a packet determined by the attack check unit 17 not to be the attack data to the destination data communication device. is there. The packet received by the packet transmitting / receiving unit 11 includes TTL (TimeT).
o Live) values are included. This TTL value corresponds to the network distance. As described above, it is also possible to use the hop count as the TTL value instead of the time spent in the processing of the router, and the TTL value is decreased by one each time the router passes through, and the TTL value is reduced. The router may discard the packet when it reaches 0. In this case, the TTL value corresponds to the network distance over which the packet is transferred. A packet generation unit 12 generates a measurement packet for measuring a network distance to a data communication device (destination data communication device) which is a destination of the received packet when the packet transmission / reception unit 11 receives the packet. It is a department. 13 is
A measurement packet transmission / reception unit that transmits the measurement packet generated by the measurement packet generation unit 12 to the destination data communication device and receives a response to the measurement packet. The measurement packet generator 12 and the measurement packet transmitter / receiver 1
Together with 3, it is called a network distance measuring unit. 14
Compares the TTL value included in the packet received by the packet transmission / reception unit 11 with the network distance obtained from the measurement packet transmission / reception unit 13, and based on the comparison result, a decision to discard the packet or a packet data reconfiguration unit 15 It is a packet inspection unit that makes any of the decisions to be passed to. The packet inspection unit 14 corresponds to the data inspection unit. Reference numeral 15 is a data reconstruction unit that reconstructs communication data based on the packet passed from the packet inspection unit 14. 16 is an attack signature (attack command) which is a characteristic of attack data,
This is a signature database (hereinafter referred to as a signature DB) that is stored in advance. The signature DB 16 corresponds to an attack command storage unit. An attack check unit 17 compares the reconstructed communication data with the attack signature to determine whether the attack data is attack data. The attack check unit 17 corresponds to a data determination unit.

【００３１】なお、攻撃対策システム１（データ中継装
置）は、図示していないが、例えばマイクロプロセッサ
等のＣＰＵ、半導体メモリ等や磁気ディスク等の記録手
段、及び通信手段を有する計算機により実現することが
できる。記録手段には、攻撃対策システム１に含まれる
各構成要素の機能を実現するプログラムが記録されてお
り、ＣＰＵがこれらのプログラムを読み込むことにより
攻撃対策システム１の動作を制御し、各構成要素の機能
を実現することができる。なお、これらのプログラムを
計算機で読みとり可能な記録媒体に記録することも可能
である。更には、これらのプログラムを通信網を介して
転送することも可能である。Although not shown, the attack countermeasure system 1 (data relay device) is realized by a computer having, for example, a CPU such as a microprocessor, a recording means such as a semiconductor memory or a magnetic disk, and a communication means. You can Programs for realizing the functions of the respective constituent elements included in the attack countermeasure system 1 are recorded in the recording means, and the CPU controls the operation of the attack countermeasure system 1 by reading these programs, and Function can be realized. It is also possible to record these programs in a computer-readable recording medium. Further, these programs can be transferred via a communication network.

【００３２】次に、攻撃対策システム１の動作について
説明する。パケット送受信部１１は、ネットワークＡ１
００に接続されたデータ通信装置より送信されたパケッ
トを受信する。ここで、例えば、攻撃マシン２よりター
ゲットマシン４を宛先とする図３（ｂ）〜（ｄ）に示す
パケットＡ、パケットＢ、パケットＣを受信したとす
る。次に、パケット送受信部１１は、受信したパケット
Ａ、パケットＢ、パケットＣをパケット検査部１４へと
渡す。パケット検査部１４では、図４に示すパケット検
査手順によりパケットを処理する。以下、図４のフロー
チャート図に従って、パケット検査部１４の処理を説明
する。Next, the operation of the attack countermeasure system 1 will be described. The packet transmitting / receiving unit 11 uses the network A1.
00 to receive the packet transmitted from the data communication device. Here, for example, it is assumed that the packet A, the packet B, and the packet C shown in FIGS. 3B to 3D having the destination of the target machine 4 are received from the attacking machine 2. Next, the packet transmission / reception unit 11 passes the received packet A, packet B, and packet C to the packet inspection unit 14. The packet inspection unit 14 processes the packet according to the packet inspection procedure shown in FIG. The processing of the packet inspection unit 14 will be described below with reference to the flowchart of FIG.

【００３３】まず、パケット検査部１４は、ステップＳ
１１にて、パケットから宛先データ通信装置（ここで
は、ターゲットマシン４）のアドレス（以下、宛先アド
レスとする）を取得する。次に、ステップＳ１２にて、
宛先アドレスを測定パケット生成部１２に渡して呼び出
す。ここで、図５を用いて、測定パケット生成部１２及
び測定パケット送受信部１３によるネットワーク距離の
測定手順を説明する。First, the packet inspection unit 14 performs step S
At 11, the address of the destination data communication device (here, the target machine 4) (hereinafter referred to as the destination address) is acquired from the packet. Next, in step S12,
The destination address is passed to the measurement packet generator 12 and called. Here, the procedure for measuring the network distance by the measurement packet generator 12 and the measurement packet transmitter / receiver 13 will be described with reference to FIG.

【００３４】まず、測定パケット生成部１２が、ステッ
プＳ２１において、測定パケットを作成する。具体的に
は、ＩＰデータグラム・ヘッダ・フォーマットのＤｅｓ
ｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ＝宛先アドレス（こ
こでは、ターゲットマシン４のアドレス）、ＴＴＬ＝１
に設定した測定パケットを生成する。図６に、ＩＰデー
タグラム・ヘッダ・フォーマットの例を示す。図６の例
では、Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ３５に宛先アドレ
スを設定し、Ｔｉｍｅ Ｔｏ Ｌｉｖｅ３６にＴＴＬ＝
１を設定する。また、測定パケットは、図７に示すよう
に、ＩＣＭＰエコー要求メッセージ３７とする。次に、
ステップＳ２２において、測定パケット送受信部１３
が、測定パケットをネットワークＡ１００に送る。ここ
で、宛先データ通信装置（ここでは、ターゲットマシン
４）までに配置されたルータ３では、測定パケットのＴ
ＴＬ値を確認し、ＴＴＬ値を１減算する。減算の結果、
ＴＴＬ値は０となるので、ＩＣＭＰ時間超過メッセージ
３８（図８）が結果パケットとしてルータ３から送り返
される。次に、ステップＳ２３において、測定パケット
送受信部１３が結果パケットを受信する。次に、ステッ
プＳ２４において、測定パケット生成部１２が、結果パ
ケットより測定パケットが宛先データ通信装置に到達し
たか否かを判断する。ここでは、結果パケットがＩＣＭ
Ｐ時間超過メッセージであるためパケット未到着と判断
される。次に、ステップＳ２５において、測定パケット
生成部１２は、現在のＴＴＬ値とＴＴＬ値の上限値（＝
２２５）とを比較する。ここでは、現在のＴＴＬ＝１が
上限値未満と判断される。次に、ステップＳ２６におい
て、測定パケット生成部１２は、現在のＴＴＬの値に１
加算し、ＴＴＬ＝２が設定された測定パケットを生成
し、ステップＳ２２に戻り、処理を繰り返す。なお、ス
テップＳ２５において、ＴＴＬが上限値（＝２５５）に
達した場合は、ステップＳ２７にて測定不能とする。ス
テップＳ２３において、宛先アドレス（ターゲットマシ
ン４）から送信されたＩＣＭＰエコー応答メッセージを
受信した場合（図９）は、ステップＳ２４にて、測定パ
ケット生成部１２は、パケット到達と判定する。ステッ
プＳ２４において、パケット到達と判断した場合は、測
定パケット生成部１２は、ＴＴＬの値を測定したネット
ワーク距離としてパケット検査部１４に渡す。First, the measurement packet generator 12 creates a measurement packet in step S21. Specifically, Des of IP datagram header format
destination Address = destination address (here, the address of the target machine 4), TTL = 1
Generate the measurement packet set to. FIG. 6 shows an example of the IP datagram header format. In the example of FIG. 6, the destination address is set in the Identification 35, and TTL = in the Time To Live 36.
Set 1. The measurement packet is an ICMP echo request message 37 as shown in FIG. next,
In step S22, the measurement packet transmitting / receiving unit 13
Sends a measurement packet to network A100. Here, in the router 3 arranged up to the destination data communication device (here, the target machine 4), the T of the measurement packet is
Check the TL value and subtract 1 from the TTL value. The result of the subtraction,
Since the TTL value becomes 0, the ICMP time excess message 38 (FIG. 8) is sent back from the router 3 as a result packet. Next, in step S23, the measurement packet transmitting / receiving unit 13 receives the result packet. Next, in step S24, the measurement packet generation unit 12 determines from the result packet whether the measurement packet has reached the destination data communication device. Here, the result packet is ICM
Since the message is over the P time, it is determined that the packet has not arrived. Next, in step S25, the measurement packet generator 12 determines the current TTL value and the upper limit value (=) of the TTL value.
225). Here, it is determined that the current TTL = 1 is less than the upper limit value. Next, in step S26, the measurement packet generation unit 12 sets the current TTL value to 1
Addition is performed to generate a measurement packet in which TTL = 2 is set, the process returns to step S22, and the process is repeated. If the TTL reaches the upper limit (= 255) in step S25, the measurement is disabled in step S27. When the ICMP echo response message transmitted from the destination address (target machine 4) is received in step S23 (FIG. 9), the measurement packet generation unit 12 determines that the packet has arrived in step S24. When it is determined in step S24 that the packet has arrived, the measurement packet generation unit 12 passes the TTL value to the packet inspection unit 14 as the measured network distance.

【００３５】パケット検査部１４では、図４のステップ
Ｓ１３において、パケット送受信部１１により受信され
たパケットに表示されたＴＴＬ値と測定されたネットワ
ーク距離（ＴＴＬ値）とを比較し、測定結果（測定され
たネットワーク距離）がパケットのＴＴＬ値以下の場合
は、ステップＳ１４へ、パケットのＴＴＬ値が測定結果
より小さい場合は、Ｓ１５へ進む。ステップＳ１４で
は、パケット検査部１４は、そのパケットが宛先データ
通信装置（ターゲットマシン４）へ到達すると判断し
て、データ再構成部１５へそのパケットを渡す。一方、
ステップＳ１５では、パケットが宛先データ通信装置
（ターゲットマシン４）へ到達しないと判断して、その
パケットを破棄する決定を行い、破棄する。図３の例で
は、測定されたＴＴＬ値が２〜５である場合は、パケッ
トＡ及びパケットＣは、ステップＳ１４において、デー
タ再構成部１５へ渡され、パケットＢは、ステップＳ１
５において、破棄されることになる。The packet inspection unit 14 compares the TTL value displayed in the packet received by the packet transmission / reception unit 11 with the measured network distance (TTL value) in step S13 of FIG. If the calculated network distance) is less than or equal to the TTL value of the packet, the process proceeds to step S14, and if the TTL value of the packet is smaller than the measurement result, the process proceeds to step S15. In step S14, the packet inspection unit 14 determines that the packet reaches the destination data communication device (target machine 4), and passes the packet to the data reconfiguration unit 15. on the other hand,
In step S15, it is determined that the packet does not reach the destination data communication device (target machine 4), a decision is made to discard the packet, and the packet is discarded. In the example of FIG. 3, when the measured TTL value is 2 to 5, the packet A and the packet C are passed to the data reconstructing unit 15 in step S14, and the packet B is passed to step S1.
At 5, it will be discarded.

【００３６】次に、データ再構成部１５では、パケット
検査部１４から渡されたパケットを元にデータを再構成
し、再構成結果を攻撃チェック部１７へ渡す。攻撃チェ
ック部１７は、再構成結果と、シグネチャＤＢ１６に格
納された攻撃シグネチャを比較することで、攻撃データ
かどうかの判断を行う。図３の例では、データ再構成部
１５は、パケットＡ及びパケットＣを元に、図３（ｅ）
に示すデータ内容を再構成する。攻撃チェック部１７
は、シグネチャＤＢ１６に格納された図３（ａ）に示す
攻撃シグネチャと図３（ｅ）の再構成結果とを比較し、
再構成結果が攻撃シグネチャと一致するためパケットＡ
及びパケットＣは攻撃データであると判定し、パケット
Ａ及びパケットＣは破棄される。Next, the data reconstructing unit 15 reconstructs the data based on the packet delivered from the packet inspection unit 14, and delivers the reconstructed result to the attack checking unit 17. The attack check unit 17 compares the reconstruction result with the attack signature stored in the signature DB 16 to determine whether the attack data is attack data. In the example of FIG. 3, the data reconstruction unit 15 is based on the packet A and the packet C, and is based on FIG.
The data contents shown in are reconstructed. Attack check unit 17
Compares the attack signature shown in FIG. 3 (a) stored in the signature DB 16 with the reconstruction result of FIG. 3 (e),
Packet A because the reconstruction result matches the attack signature
And packet C are determined to be attack data, and packet A and packet C are discarded.

【００３７】実施の形態２．図１０は、本実施の形態に
係るネットワーク構成の一例を示す図である。本実施の
形態では、攻撃対策システム１は、実施の形態１におけ
るルータ３としての役割も果たし、ネットワークＡ１０
０とネットワークＢ２００との間に配置され、ネットワ
ークＡ１００より送信したパケットを受信し、受信した
パケットをネットワークＢ２００へ渡す。なお、他の構
成要素は、図１に示したものと同様である。また、図１
０では、省略しているが、図１４と同様に、攻撃検出シ
ステム６を配備してもよい。Embodiment 2. FIG. 10 is a diagram showing an example of a network configuration according to the present embodiment. In the present embodiment, the attack countermeasure system 1 also serves as the router 3 in the first embodiment, and the network A10
It is arranged between 0 and the network B200, receives the packet transmitted from the network A100, and passes the received packet to the network B200. The other components are the same as those shown in FIG. Also, FIG.
Although omitted in 0, the attack detection system 6 may be provided as in FIG.

【００３８】図１１は、本実施の形態に係る攻撃対策シ
ステム１の内部構成を示す図である。図１１において、
１０１は、ネットワークＡ１００にて通信されるパケッ
トを受信し、中継制御部１０３へと渡すパケット送受信
部（以下、パケット送受信部Ａとする）である。なお、
パケット送受信部Ａ１０１が受信するパケットには、Ｔ
ＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値が含まれている。
また、パケット送受信部Ａ１０１は、データ送信部又は
データ受信部に相当する。１０２は、ネットワークＢ２
００にて通信されるパケットを受信し、中継制御部１０
３へと渡すパケット送受信部（以下、パケット送受信部
Ｂとする）である。なお、パケット送受信部Ｂ１０２
は、データ送信部又はデータ受信部に相当する。１０３
は、パケット送受信部Ａ１０１、パケット送受信部Ｂ１
０２、ＴＴＬ変更部１０５間の制御を行う中継制御部で
ある。１０４は、パケットの宛先とＴＴＬ（Ｔｉｍｅ
Ｔｏ Ｌｉｖｅ）値の組み合わせを記憶するネットワー
ク距離記憶部である。ネットワーク距離記憶部１０４
は、例えば、図１３（ａ）に示すようにパケットの宛先
とＴＴＬ値の組合せを記憶している。１０５は、中継制
御部１０３から渡されたパケットについて、パケットに
含まれたＴＴＬ値とネットワーク距離記憶部１０４に格
納された対応するＴＴＬ値とを比較し、比較結果に応じ
てパケットのＴＴＬ値又はネットワーク距離記憶部１０
４に記憶されたＴＴＬ値を変更するＴＴＬ変更部であ
る。また、ＴＴＬ値がネットワーク距離記憶部１０４に
格納されていない新規データ通信装置がパケットの宛先
となっている場合は、ＴＴＬ変更部１０５は、その新規
データ通信装置宛のパケットに含まれたＴＴＬ値をネッ
トワーク距離記憶部１０４に格納する。なお、ＴＴＬ変
更部１０５は、ネットワーク距離変更部に相当する。な
お、本実施の形態における攻撃対策システム１（データ
中継装置）も、図示していないが、例えばマイクロプロ
セッサ等のＣＰＵ、半導体メモリ等や磁気ディスク等の
記録手段、及び通信手段を有する計算機により実現する
ことができる。記録手段には、攻撃対策システム１に含
まれる各構成要素の機能を実現するプログラムが記録さ
れており、ＣＰＵがこれらのプログラムを読み込むこと
により攻撃対策システム１の動作を制御し、各構成要素
の機能を実現することができる。なお、これらのプログ
ラムを計算機で読みとり可能な記録媒体に記録すること
も可能である。更には、これらのプログラムを通信網を
介して転送することも可能である。FIG. 11 is a diagram showing the internal configuration of the attack countermeasure system 1 according to the present embodiment. In FIG.
Reference numeral 101 denotes a packet transmission / reception unit (hereinafter, referred to as packet transmission / reception unit A) that receives a packet communicated on the network A 100 and transfers it to the relay control unit 103. In addition,
The packet received by the packet transmitting / receiving unit A101 includes T
A TL (Time To Live) value is included.
The packet transmitting / receiving unit A101 corresponds to a data transmitting unit or a data receiving unit. 102 is the network B2
00 to receive a packet to be communicated, and the relay control unit 10
3 is a packet transmitting / receiving unit (hereinafter, referred to as packet transmitting / receiving unit B). The packet transmitting / receiving unit B102
Corresponds to the data transmitting unit or the data receiving unit. 103
Is a packet transmitting / receiving unit A101, a packet transmitting / receiving unit B1
02 is a relay control unit that controls the TTL changing unit 105. Reference numeral 104 denotes a packet destination and TTL (Time
A network distance storage unit that stores combinations of To Live values. Network distance storage unit 104
Stores a combination of a packet destination and a TTL value, for example, as shown in FIG. For the packet passed from the relay control unit 103, 105 compares the TTL value included in the packet with the corresponding TTL value stored in the network distance storage unit 104, and depending on the comparison result, the TTL value of the packet or Network distance storage unit 10
4 is a TTL changing unit that changes the TTL value stored in FIG. If the new data communication device whose TTL value is not stored in the network distance storage unit 104 is the destination of the packet, the TTL changing unit 105 determines that the TTL value included in the packet addressed to the new data communication device. Is stored in the network distance storage unit 104. The TTL changing unit 105 corresponds to the network distance changing unit. Although not shown, the attack countermeasure system 1 (data relay device) in the present embodiment is also realized by a computer having a CPU such as a microprocessor, a recording means such as a semiconductor memory or a magnetic disk, and a communication means. can do. Programs for realizing the functions of the respective constituent elements included in the attack countermeasure system 1 are recorded in the recording means, and the CPU controls the operation of the attack countermeasure system 1 by reading these programs, and Function can be realized. It is also possible to record these programs in a computer-readable recording medium. Further, these programs can be transferred via a communication network.

【００３９】次に、本実施の形態に係る攻撃対策システ
ム１の動作について説明する。パケット送受信部Ａ１０
１は、ネットワークＡ１００に接続されたデータ通信装
置より送信されたパケットを受信する。ここで、例え
ば、攻撃マシン２よりターゲットマシン４を宛先とする
図３（ｂ）〜（ｄ）に示すパケットＡ、パケットＢ、パ
ケットＣを受信したとする。次に、パケット送受信部Ａ
１０１は、受信したパケットＡ、パケットＢ、パケット
Ｃを中継制御部１０３へと渡す。中継制御部１０３は、
受信したパケットをＴＴＬ変更部１０５へと渡す。ＴＴ
Ｌ変更部１０５では、図１２に示すＴＴＬ変更手順によ
りパケットを処理する。以下、図１２のフローチャート
図に従って、ＴＴＬ変更部１０５の処理を説明する。Next, the operation of the attack countermeasure system 1 according to the present embodiment will be described. Packet transmitting / receiving unit A10
1 receives the packet transmitted from the data communication device connected to the network A100. Here, for example, it is assumed that the packet A, the packet B, and the packet C shown in FIGS. 3B to 3D having the destination of the target machine 4 are received from the attacking machine 2. Next, the packet transmitting / receiving unit A
101 passes the received packet A, packet B, and packet C to the relay control unit 103. The relay control unit 103
The received packet is passed to the TTL changing unit 105. TT
The L changing unit 105 processes the packet according to the TTL changing procedure shown in FIG. The processing of the TTL changing unit 105 will be described below with reference to the flowchart of FIG.

【００４０】まず、ＴＴＬ変更部１０５は、ステップＳ
３１において、パケットから宛先データ通信装置（ここ
では、ターゲットマシン４）のアドレス（以下、宛先ア
ドレスとする）を取得する。次に、ＴＴＬ変更部１０５
は、ステップＳ３２において、ネットワーク距離記憶部
１０４に宛先アドレスに対応したＴＴＬ値（ネットワー
ク距離）が登録されているかどうかを判定する。登録済
みの場合は、ステップＳ３３に進み、ネットワーク距離
記憶部１０４から宛先アドレスに対応するＴＴＬ値を取
り出す。未登録の場合（新規データ通信装置の場合）
は、ステップＳ３４に進み、パケットからＴＴＬ値を取
りだし、ネットワーク距離記憶部１０４に宛先アドレス
とＴＴＬ値を登録する。次に、ステップＳ３３へ進んだ
場合は、ＴＴＬ変更部１０５は、ステップＳ３５におい
て、ネットワーク距離記憶部１０４より取得したＴＴＬ
値と、パケットに含まれたＴＴＬ値とを比較する。そし
て、比較結果により、パケットのＴＴＬ値の方が大きい
場合は、ステップＳ３６において、ネットワーク距離記
憶部１０４のＴＴＬ値をパケットのＴＴＬ値に変更する
更新を行う。一方、パケットのＴＴＬ値の方が小さい場
合は、ステップＳ３７において、パケットのＴＴＬ値を
ネットワーク距離記憶部のＴＴＬ値に変更する更新を行
う。First, the TTL changing unit 105 performs step S
At 31, the address of the destination data communication device (here, the target machine 4) (hereinafter referred to as the destination address) is acquired from the packet. Next, the TTL changing unit 105
Determines whether or not the TTL value (network distance) corresponding to the destination address is registered in the network distance storage unit 104 in step S32. If it has been registered, the process proceeds to step S33, and the TTL value corresponding to the destination address is extracted from the network distance storage unit 104. If not registered (for new data communication device)
Advances to step S34 to extract the TTL value from the packet and register the destination address and the TTL value in the network distance storage unit 104. Next, when the process proceeds to step S33, the TTL changing unit 105 acquires the TTL acquired from the network distance storage unit 104 in step S35.
Compare the value with the TTL value contained in the packet. Then, when the TTL value of the packet is larger than the comparison result, the TTL value of the network distance storage unit 104 is changed to the TTL value of the packet in step S36. On the other hand, when the TTL value of the packet is smaller, in step S37, the TTL value of the packet is updated to the TTL value of the network distance storage unit.

【００４１】このようにしてＴＴＬ値の変更が行われた
後は、ＴＴＬ変更部１０５は、パケット（パケットのＴ
ＴＬ値の変更が行われた場合は、ＴＴＬ値が変更された
パケット）を中継制御部１０３へと渡す。中継制御部１
０３は、ＴＴＬ変更部１０５から受け取ったパケットを
パケット送受信部Ｂ１０２へと渡す。パケット送受信部
Ｂ１０２は、パケットをネットワークＢ２００へと渡
す。After changing the TTL value in this way, the TTL changing unit 105
When the TL value is changed, the packet having the changed TTL value) is passed to the relay control unit 103. Relay control unit 1
03 passes the packet received from the TTL changing unit 105 to the packet transmitting / receiving unit B102. The packet transmitting / receiving unit B102 delivers the packet to the network B200.

【００４２】ここで、ターゲットマシン４までのＴＴＬ
値がネットワーク距離記憶部１０４に記憶されていない
とした場合（ターゲットマシン４が新規データ通信装置
であった場合）に、図３（ｂ）のパケットＡがＴＴＬ変
更部１０５で処理されると、パケットＡから取り出され
た宛先アドレス（ターゲットマシン４）とＴＴＬ＝５が
ネットワーク距離記憶部１０４に格納され（図１３
（ａ））、図１３（ｂ）に示す中継後パケットＡ’がタ
ーゲットマシン４へと送られる。次に、図３（ｃ）のパ
ケットＢがＴＴＬ変更部１０５で処理されると、パケッ
トＢから取り出された宛先アドレス（ターゲットマシン
４）とＴＴＬ＝１とが、ネットワーク距離記憶部１０４
に格納されている対応するＴＴＬ値（ＴＴＬ＝５）と比
較され、パケットＢのＴＴＬ値の方が小さいので、パケ
ットＢのＴＴＬ値はＴＴＬ＝５に更新され、図１３
（ｃ）の中継後パケットＢ’がターゲットマシン４へと
送られる。次に、図３（ｄ）のパケットＣがＴＴＬ変更
部１０５で処理されると、パケットＣから取り出された
宛先アドレス（ターゲットマシン４）とＴＴＬ＝５と
が、ネットワーク距離記憶部１０４に格納されている対
応するＴＴＬ値（ＴＴＬ＝５）と比較され、両者のＴＴ
Ｌ値は同じなので、パケットＣのＴＴＬ値はＴＴＬ＝５
のまま、図１３（ｄ）の中継後パケットＣ’がターゲッ
トマシン４へと送られる。ターゲットマシン４上に到着
した中継後パケットＡ’、中継後パケットＢ’、中継後
パケットＣ’によりデータが再構築されると、図１３
（ｅ）のターゲットマシンでの結果が得られる。しか
し、このターゲットマシンでの結果は、図３（ａ）に示
す攻撃シグネチャと異なる。このため、これら中継後パ
ケットＡ’、中継後パケットＢ’、中継後パケットＣ’
のデータ内容は、攻撃としては動作しない為、ターゲッ
トマシン４への攻撃が無効化されたことになる。Here, the TTL up to the target machine 4
When the value is not stored in the network distance storage unit 104 (when the target machine 4 is a new data communication device), when the packet A in FIG. 3B is processed by the TTL changing unit 105, The destination address (target machine 4) extracted from the packet A and TTL = 5 are stored in the network distance storage unit 104 (see FIG. 13).
(A)) and the post-relay packet A ′ shown in FIG. 13 (b) are sent to the target machine 4. Next, when the packet B in FIG. 3C is processed by the TTL changing unit 105, the destination address (target machine 4) extracted from the packet B and TTL = 1 are stored in the network distance storage unit 104.
13 is compared with the corresponding TTL value (TTL = 5) stored in, and the TTL value of packet B is smaller, the TTL value of packet B is updated to TTL = 5, and FIG.
The post-relay packet B ′ in (c) is sent to the target machine 4. Next, when the packet C in FIG. 3D is processed by the TTL changing unit 105, the destination address (target machine 4) extracted from the packet C and TTL = 5 are stored in the network distance storage unit 104. Corresponding TTL value (TTL = 5), and
Since the L value is the same, the TTL value of packet C is TTL = 5
As it is, the post-relay packet C ′ in FIG. 13D is sent to the target machine 4. When data is reconstructed by the after-relay packet A ′, after-relay packet B ′, and after-relay packet C ′ that have arrived on the target machine 4, FIG.
The result on the target machine of (e) is obtained. However, the result on this target machine is different from the attack signature shown in FIG. Therefore, these post-relay packet A ', post-relay packet B', and post-relay packet C '
Since the data content of does not work as an attack, the attack on the target machine 4 is invalidated.

【００４３】ところで、上記の説明ではネットワークプ
ロトコルとしてＴＣＰ／ＩＰを用いた場合について述べ
ているが、その他のパケットを送受するネットワークプ
ロトコルに関しても応用可能である。By the way, in the above description, the case where TCP / IP is used as the network protocol has been described, but the present invention is also applicable to other network protocols for transmitting and receiving packets.

【００４４】ところで、上記の説明ではネットワークが
２つの場合について述べているが、それ以上のネットワ
ークが接続されている場合にも応用可能である。In the above description, the case where there are two networks is described, but the present invention can be applied to the case where more networks are connected.

【００４５】また、上記の実施の形態１、２では、本発
明に係るデータ中継装置について説明したが、実施の形
態１、２に示した処理手順と同様の処理手順により本発
明に係るデータ中継方法を実現することができる。Further, although the data relay device according to the present invention has been described in the above first and second embodiments, the data relay device according to the present invention is performed by the same processing procedure as the processing procedure shown in the first and second embodiments. The method can be realized.

【００４６】また、ここで、実施の形態１、２で説明し
た攻撃対策システムの特徴をまとめる。The features of the attack countermeasure system described in the first and second embodiments will be summarized here.

【００４７】実施の形態１に係る攻撃対策システムは、
通信装置が接続可能でパケットの送受信が可能なネット
ワークＡと、通信装置が接続可能でパケットの送受信が
可能なネットワークＢと、ネットワークＡとネットワー
クＢの間のパケットの中継を行うルータと、ネットワー
クＢにてサービスを提供するターゲットマシンと、ネッ
トワークＡにてターゲットマシンに攻撃データを複数の
パケットにて送る攻撃マシンからなる環境において、ネ
ットワークＡに接続され、ネットワークＡにて通信され
るパケットをパケットの宛先にかかわらず受信するパケ
ット受信部と、パケットの宛先までのネットワーク距離
を測定する測定パケットを生成する測定パケット生成部
と、ネットワーク距離測定用のパケットをネットワーク
Ａに送受信する測定パケット送受信部と、受信されたパ
ケットに含まれるＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）
値と測定されたネットワーク距離を比較してパケットを
データ再構成部へ渡すかどうかを判定するパケット検査
部と、パケット検査部から渡されたパケットを元に通信
データを再構成するデータ再構成部と、攻撃データの特
徴である攻撃シグネチャを、予め保存しておくシグネチ
ャＤＢと、再構成された通信データと攻撃シグネチャを
比較して攻撃データかどうかを判定する攻撃チェック部
を持つことを特徴とする。The attack countermeasure system according to the first embodiment is
A network A to which a communication device is connectable and capable of sending and receiving packets, a network B to which a communication device is connectable and capable of sending and receiving packets, a router for relaying packets between the networks A and B, and a network B. In an environment that consists of a target machine that provides a service at and an attack machine that sends attack data in multiple packets to the target machine at network A, packets connected to network A and communicated at network A A packet receiving unit for receiving regardless of the destination, a measuring packet generating unit for generating a measuring packet for measuring a network distance to the destination of the packet, a measuring packet transmitting / receiving unit for transmitting / receiving a network distance measuring packet to the network A, Included in received packet TL (Time To Live)
A packet inspection unit that determines whether to pass the packet to the data reconfiguration unit by comparing the measured value with the measured network distance, and a data reconfiguration unit that reconfigures communication data based on the packet passed from the packet inspection unit. And a signature DB in which an attack signature, which is a characteristic of the attack data, is stored in advance, and an attack check unit for comparing the reconstructed communication data with the attack signature to determine whether the attack data is attack data. To do.

【００４８】実施の形態２に係る攻撃対策システムは、
通信装置が接続可能でパケットの送受信が可能なネット
ワークＡと、通信装置が接続可能でパケットの送受信が
可能なネットワークＢと、ネットワークＢにてサービス
を提供するターゲットマシンと、ネットワークＡにてタ
ーゲットマシンに攻撃データを複数のパケットにて送る
攻撃マシンからなる環境において、ネットワークＡとネ
ットワークＢの間で、ネットワークＡにて通信されるパ
ケットを受信し中継制御部へと渡すパケット送受信部Ａ
と、ネットワークＢにて通信されるパケットを受信し中
継制御部へと渡すパケット送受信部Ｂと、パケットの宛
先とＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値の組み合わ
せを記憶するネットワーク距離記憶部と、パケット中継
制御部から渡されたパケットの宛先とＴＴＬ（Ｔｉｍｅ
ＴｏＬｉｖｅ）値の組み合わせがネットワーク距離記
憶部に含まれない場合は格納し、既に含まれる場合はＴ
ＴＬの比較と更新を行ってＴＴＬをパケット中継制御部
へ渡すＴＴＬ変更部と、パケット送受信部Ａまたはパケ
ット送受信部Ｂから渡されたパケットの宛先とＴＴＬを
ＴＴＬ変更部に渡し、ＴＴＬ変更部から渡されたＴＴＬ
をパケットのＴＴＬに設定し、反対側のパケット送受信
部にパケットを中継の為に渡す中継制御部を持つことを
特徴とする。The attack countermeasure system according to the second embodiment is
A network A to which a communication device is connectable and capable of sending and receiving packets, a network B to which a communication device is connectable and capable of sending and receiving packets, a target machine that provides services on network B, and a target machine on network A In an environment composed of an attack machine that sends attack data in a plurality of packets, a packet transmission / reception unit A that receives a packet communicated on the network A and passes it to the relay control unit between the network A and the network B
And a packet transmission / reception unit B that receives a packet communicated on the network B and passes it to a relay control unit, a network distance storage unit that stores a combination of a packet destination and a TTL (Time To Live) value, and packet relay control And the TTL (Time
If the combination of ToLive) values is not included in the network distance storage unit, the value is stored, and if already included, T
The TTL changing unit that compares and updates the TL and passes the TTL to the packet relay control unit, the destination and TTL of the packet passed from the packet transmitting / receiving unit A or the packet transmitting / receiving unit B to the TTL changing unit, and the TTL changing unit TTL passed
Is set to the TTL of the packet, and the packet transmission / reception unit on the opposite side has a relay control unit for passing the packet for relaying.

【００４９】[0049]

【発明の効果】以上のように、本発明によれば、受信し
た送信データに表示されたネットワーク距離と、測定し
た宛先データ通信装置までのネットワーク距離とを比較
し、表示されたネットワーク距離の値が測定したネット
ワーク距離の値よりも小さい場合には受信した送信デー
タを破棄し、破棄されなかった送信データのデータ内容
を再構成して攻撃目的の有無を判定するため、宛先デー
タ通信装置まで到達しないダミーデータが含まれている
ため見かけ上攻撃データと判定されないような攻撃デー
タも検出することができ、宛先データ通信装置への攻撃
を未然に防止することができる。As described above, according to the present invention, the network distance displayed in the received transmission data is compared with the measured network distance to the destination data communication device, and the value of the displayed network distance is compared. If it is smaller than the measured network distance value, the received transmission data is discarded, and the data content of the transmission data that was not discarded is reconfigured to determine the presence or absence of the attack purpose. Since the dummy data that is not included is included, it is possible to detect attack data that is not apparently determined as attack data, and it is possible to prevent an attack on the destination data communication device.

【００５０】また、本発明によれば、各データ通信装置
までのネットワーク距離を記憶しておき、受信した送信
データに表示されたネットワーク距離と、宛先データ通
信装置について記憶しているネットワーク距離とを比較
し、表示されたネットワーク距離の値が記憶しているネ
ットワーク距離の値よりも小さい場合は、表示されたネ
ットワーク距離の値を記憶しているネットワーク距離の
値に変更して送信データを宛先データ通信装置に対して
送信するため、宛先データ通信装置まで到達しないダミ
ーデータが含まれているため見かけ上攻撃データと判定
されないような攻撃データの攻撃を無効化することがで
きる。Further, according to the present invention, the network distance to each data communication device is stored, and the network distance displayed in the received transmission data and the network distance stored for the destination data communication device are stored. Compare and if the displayed network distance value is smaller than the stored network distance value, change the displayed network distance value to the stored network distance value and change the transmission data to the destination data. Since the data is transmitted to the communication device, it is possible to invalidate the attack of the attack data that cannot be apparently determined as the attack data because it includes the dummy data that does not reach the destination data communication device.

【図面の簡単な説明】[Brief description of drawings]

【図１】 実施の形態１に係るネットワーク構成の一例
を示す図である。FIG. 1 is a diagram showing an example of a network configuration according to a first embodiment.

【図２】 実施の形態１に係る攻撃対策システムの内部
構成を示す図である。FIG. 2 is a diagram showing an internal configuration of an attack countermeasure system according to the first embodiment.

【図３】 攻撃シグネチャ、受信パケット、再構成結果
の例を示す図である。FIG. 3 is a diagram showing an example of an attack signature, a received packet, and a reconstruction result.

【図４】 パケット検査部における手順の流れを示すフ
ローチャート図である。FIG. 4 is a flowchart showing a procedure flow in a packet inspection unit.

【図５】 ネットワーク距離測定部における手順の流れ
を示すフローチャート図である。FIG. 5 is a flowchart showing a procedure flow in a network distance measuring unit.

【図６】 ＴＣＰ／ＩＰにおけるＩＰデータグラム・ヘ
ッダ・フォーマットの例を示す図である。FIG. 6 is a diagram showing an example of an IP datagram header format in TCP / IP.

【図７】 ＴＣＰ／ＩＰにおけるＩＣＭＰのエコー要求
メッセージの例を示す図である。FIG. 7 is a diagram showing an example of an ICMP echo request message in TCP / IP.

【図８】 ＴＣＰ／ＩＰにおけるＩＣＭＰの時間超過メ
ッセージの例を示す図である。FIG. 8 is a diagram showing an example of an ICMP time exceeded message in TCP / IP.

【図９】 ＴＣＰ／ＩＰにおけるＩＣＭＰのエコー応答
メッセージの例を示す図である。FIG. 9 is a diagram showing an example of an ICMP echo response message in TCP / IP.

【図１０】 実施の形態２に係るネットワーク構成の一
例を示す図である。FIG. 10 is a diagram showing an example of a network configuration according to the second embodiment.

【図１１】 実施の形態２に係る攻撃対策システムの内
部構成を示す図である。FIG. 11 is a diagram showing an internal configuration of an attack countermeasure system according to the second embodiment.

【図１２】 ＴＴＬ変更部における手順の流れを示すフ
ローチャート図である。FIG. 12 is a flowchart showing a procedure flow in a TTL changing unit.

【図１３】 ネットワーク距離記憶部の記憶内容、更新
処理後のパケット、ターゲットマシンでの結果の例を示
す図である。FIG. 13 is a diagram showing an example of stored contents of a network distance storage unit, a packet after update processing, and a result on a target machine.

【図１４】 従来技術を適用するネットワーク構成の一
例を示す図である。FIG. 14 is a diagram showing an example of a network configuration to which a conventional technique is applied.

【図１５】 従来技術における攻撃検出システムの内部
構成を示す図である。FIG. 15 is a diagram showing an internal configuration of an attack detection system in a conventional technique.

【図１６】 攻撃シグネチャ、受信パケット、従来の再
構成結果、従来のターゲットマシンでの結果を示す図で
ある。FIG. 16 is a diagram showing an attack signature, a received packet, a conventional reconstruction result, and a result of a conventional target machine.

【符号の説明】[Explanation of symbols]

１ 攻撃対策システム、２ 攻撃マシン、３ ルータ、
４ ターゲットマシン、１１ パケット送受信部、１２
測定パケット生成部、１３ 測定パケット送受信部、
１４ パケット検査部、１５ データ再構成部、１６
シグネチャデータベース、１７ 攻撃チェック部、１０
０ ネットワークＡ、１０１ パケット送受信部、１０
２ パケット送受信部、１０３ 中継制御部、１０４
ネットワーク距離記憶部、１０５ ＴＴＬ変更部、２０
０ ネットワークＢ。1 attack countermeasure system, 2 attack machines, 3 routers,
4 target machine, 11 packet transceiver, 12
Measurement packet generator, 13 measurement packet transmitter / receiver,
14 packet inspection unit, 15 data reconstruction unit, 16
Signature database, 17 Attack check section, 10
0 network A, 101 packet transceiver, 10
2 packet transmission / reception unit, 103 relay control unit, 104
Network distance storage unit, 105 TTL change unit, 20
0 Network B.

Claims (22)

【特許請求の範囲】[Claims] 【請求項１】 複数のデータ通信装置間のデータ通信を
中継するデータ中継装置であって、 いずれかのデータ通信装置から他のいずれかのデータ通
信装置を宛先として送信され、前記データ中継装置から
データ転送可能なネットワーク距離が表示ネットワーク
距離として表示された送信データを受信するデータ受信
部と、 前記データ中継装置から前記送信データの宛先とされた
宛先データ通信装置までのネットワーク距離を測定ネッ
トワーク距離として測定するネットワーク距離測定部
と、 前記送信データに表示された前記表示ネットワーク距離
と、前記ネットワーク距離測定部により測定された前記
測定ネットワーク距離とを比較し、比較結果に基づき前
記送信データを破棄するか否かを決定するデータ検査部
とを有することを特徴とするデータ中継装置。1. A data relay device for relaying data communication between a plurality of data communication devices, wherein any one of the data communication devices transmits to another one of the data communication devices, and the data relay device transmits the data. A data receiving unit that receives transmission data whose data transferable network distance is displayed as a display network distance, and a network distance from the data relay device to a destination data communication device that is the destination of the transmission data is measured network distance. Whether to measure the network distance measuring unit, the display network distance displayed in the transmission data, and the measured network distance measured by the network distance measuring unit, and discard the transmission data based on the comparison result. And a data inspection unit for determining whether or not Data relay device. 【請求項２】 前記データ中継装置は、更に、同一のデ
ータ通信装置を宛先データ通信装置とする複数の送信デ
ータが前記データ受信部により受信され、受信された前
記複数の送信データのうち少なくとも二以上の送信デー
タが前記データ検査部により破棄されずに維持された場
合に、維持された送信データを組み合わせて維持された
送信データのデータ内容を再構成するデータ再構成部
と、 前記データ再構成部により再構成されたデータ内容が、
前記宛先データ通信装置への攻撃を目的とするデータ内
容であるか否かを判定するデータ判定部とを有すること
を特徴とする請求項１に記載のデータ中継装置。2. The data relay device further includes a plurality of transmission data having the same data communication device as a destination data communication device received by the data receiving unit, and at least two of the plurality of received transmission data. A data reconstructing unit for reconstructing the data content of the maintained transmission data by combining the maintained transmission data when the above transmission data is maintained without being discarded by the data inspection unit; The data contents reconstructed by the department
The data relay device according to claim 1, further comprising a data determination unit that determines whether or not the data content is intended to attack the destination data communication device. 【請求項３】 データ検査部は、前記送信データの前記
表示ネットワーク距離の値が、前記測定ネットワーク距
離の値よりも小さい場合に前記送信データを破棄する決
定を行うことを特徴とする請求項１に記載のデータ中継
装置。3. The data inspection unit makes a decision to discard the transmission data when the value of the display network distance of the transmission data is smaller than the value of the measurement network distance. The data relay device described in 1. 【請求項４】 前記データ受信部は、前記表示ネットワ
ーク距離としてＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値
が表示された送信データを受信し、 前記ネットワーク距離測定部は、前記測定ネットワーク
距離として前記データ中継装置から前記宛先データ通信
装置までに必要なＴＴＬ値を測定し、 前記データ検査部は、前記送信データに表示されたＴＴ
Ｌ値と、前記ネットワーク距離測定部により測定された
ＴＴＬ値とを比較し、比較結果に基づき前記送信データ
を破棄するか否かを決定することを特徴とする請求項１
に記載のデータ中継装置。4. The data receiving unit receives transmission data in which a TTL (Time To Live) value is displayed as the display network distance, and the network distance measuring unit receives the transmission network distance from the data relay device as the measured network distance. The TTL value required up to the destination data communication device is measured, and the data inspection unit displays the TT displayed in the transmission data.
The L value and the TTL value measured by the network distance measuring unit are compared, and whether or not to discard the transmission data is determined based on the comparison result.
The data relay device described in 1. 【請求項５】 前記データ中継装置は、更に、いずれか
のデータ通信装置への攻撃に用いられる攻撃コマンドを
少なくとも一つ以上記憶した攻撃コマンド記憶部を有
し、 前記データ判定部は、前記データ再構成部により再構成
されたデータ内容が前記攻撃コマンド記憶部に記憶され
た前記攻撃コマンドのいずれかに一致するか否かを判定
することを特徴とする請求項２に記載のデータ中継装
置。5. The data relay device further includes an attack command storage unit that stores at least one attack command used to attack any one of the data communication devices, and the data determination unit includes the data The data relay apparatus according to claim 2, wherein it is determined whether or not the data content reconstructed by the reconfiguration unit matches any one of the attack commands stored in the attack command storage unit. 【請求項６】 複数のデータ通信装置間のデータ通信を
中継するデータ中継装置であって、 前記複数のデータ通信装置のそれぞれについて、前記デ
ータ中継装置からそれぞれのデータ通信装置までのネッ
トワーク距離を記憶ネットワーク距離として記憶するネ
ットワーク距離記憶部と、 いずれかのデータ通信装置から他のいずれかのデータ通
信装置を宛先として送信され、前記データ中継装置から
データ転送可能なネットワーク距離が表示ネットワーク
距離として表示された送信データを受信するデータ受信
部と、 前記送信データに表示された前記表示ネットワーク距離
と、前記送信データの宛先とされた宛先データ通信装置
の記憶ネットワーク距離とを比較し、比較結果に基づき
前記表示ネットワーク距離及び前記宛先データ通信装置
の記憶ネットワーク距離のいずれか一方の値を変更する
ネットワーク距離変更部と、 前記ネットワーク距離変更部により前記表示ネットワー
ク距離及び前記宛先通信装置の記憶ネットワーク距離の
いずれか一方の値の変更が行われた後に、前記送信デー
タを前記宛先データ通信装置に対して送信するデータ送
信部とを有することを特徴とするデータ中継装置。6. A data relay device for relaying data communication between a plurality of data communication devices, wherein a network distance from the data relay device to each data communication device is stored for each of the plurality of data communication devices. A network distance storage unit that stores the network distance, and a network distance that is transmitted from one of the data communication devices to another of the data communication devices and that can transfer data from the data relay device is displayed as the display network distance. A data receiving unit that receives the transmitted data, the display network distance displayed in the transmitted data, and the storage network distance of the destination data communication device that is the destination of the transmitted data, and based on the comparison result, Display network distance and description of the destination data communication device A network distance changing unit that changes any one of the storage network distances, and after changing either one of the display network distance and the storage network distance of the destination communication device by the network distance changing unit. And a data transmission unit that transmits the transmission data to the destination data communication device. 【請求項７】 前記ネットワーク距離変更部は、前記表
示ネットワーク距離の値が前記宛先データ通信装置の記
憶ネットワーク距離の値よりも小さい場合は、前記表示
ネットワーク距離の値を前記宛先データ通信装置の記憶
ネットワーク距離の値に変更し、前記宛先データ通信装
置の記憶ネットワーク距離の値が前記表示ネットワーク
距離の値よりも小さい場合は、前記宛先データ通信装置
の記憶ネットワーク距離の値を前記表示ネットワーク距
離の値に変更することを特徴とする請求項６に記載のデ
ータ中継装置。7. The network distance changing unit stores the value of the display network distance in the destination data communication device when the value of the display network distance is smaller than the value of the storage network distance in the destination data communication device. If the value of the storage network distance of the destination data communication device is smaller than the value of the display network distance, the value of the storage network distance of the destination data communication device is changed to the value of the display network distance. The data relay device according to claim 6, wherein the data relay device is changed to. 【請求項８】 前記ネットワーク距離記憶部に記憶ネッ
トワーク距離が記憶されていない新規のデータ通信装置
を宛先とする送信データが前記データ受信部により受信
された場合に、前記ネットワーク距離記憶部は、前記送
信データに表示されたネットワーク距離を、前記新規の
データ通信装置の記憶ネットワーク距離として記憶する
ことを特徴とする請求項６に記載のデータ中継装置。8. When the data receiving unit receives transmission data destined for a new data communication device whose storage network distance is not stored in the network distance storage unit, the network distance storage unit is 7. The data relay device according to claim 6, wherein the network distance displayed in the transmission data is stored as a storage network distance of the new data communication device. 【請求項９】 前記ネットワーク距離記憶部は、前記記
憶ネットワーク距離として前記データ中継装置からそれ
ぞれのデータ通信装置までに必要なＴＴＬ（Ｔｉｍｅ
Ｔｏ Ｌｉｖｅ）値を記憶し、 前記データ受信部は、前記表示ネットワーク距離として
ＴＴＬ値が表示された送信データを受信し、 前記ネットワーク距離変更部は、前記送信データに表示
された表示ＴＴＬ値と前記ネットワーク距離記憶部に記
憶された前記宛先データ通信装置の記憶ＴＴＬ値とを比
較し、比較結果に基づき前記表示ＴＴＬ値及び前記宛先
データ通信装置の記憶ＴＴＬ値のいずれか一方の値を変
更することを特徴とする請求項６に記載のデータ中継装
置。9. The network distance storage unit has a TTL (Time) required for the storage network distance from the data relay device to each data communication device.
To Live) value is stored, the data receiving unit receives transmission data in which a TTL value is displayed as the display network distance, and the network distance changing unit includes the display TTL value displayed in the transmission data and the Comparing the stored TTL value of the destination data communication device stored in the network distance storage unit, and changing one of the display TTL value and the stored TTL value of the destination data communication device based on the comparison result. 7. The data relay device according to claim 6, wherein: 【請求項１０】 複数のデータ通信装置間のデータ通信
を中継するデータ中継方法であって、 いずれかのデータ通信装置から他のいずれかのデータ通
信装置を宛先として送信され、前記データ中継方法から
データ転送可能なネットワーク距離が表示ネットワーク
距離として表示された送信データを受信するデータ受信
ステップと、 前記データ中継方法から前記送信データの宛先とされた
宛先データ通信装置までのネットワーク距離を測定ネッ
トワーク距離として測定するネットワーク距離測定ステ
ップと、 前記送信データに表示された前記表示ネットワーク距離
と、前記ネットワーク距離測定ステップにより測定され
た前記測定ネットワーク距離とを比較し、比較結果に基
づき前記送信データを破棄するか否かを決定するデータ
検査ステップとを有することを特徴とするデータ中継方
法。10. A data relay method for relaying data communication between a plurality of data communication devices, comprising: transmitting from any data communication device to any other data communication device as a destination; A data receiving step of receiving transmission data in which a network distance capable of data transfer is displayed as a display network distance, and a network distance from the data relay method to a destination data communication device as a destination of the transmission data is set as a measurement network distance. Whether to measure the measured network distance, compare the displayed network distance displayed in the transmission data with the measured network distance measured in the network distance measurement step, and discard the transmission data based on the comparison result. Data inspection step to decide whether or not A data relay method comprising: 【請求項１１】 前記データ中継方法は、更に、同一の
データ通信装置を宛先データ通信装置とする複数の送信
データが前記データ受信ステップにより受信され、受信
された前記複数の送信データのうち少なくとも二以上の
送信データが前記データ検査ステップにより破棄されず
に維持された場合に、維持された送信データを組み合わ
せて維持された送信データのデータ内容を再構成するデ
ータ再構成ステップと、 前記データ再構成ステップにより再構成されたデータ内
容が、前記宛先データ通信装置への攻撃を目的とするデ
ータ内容であるか否かを判定するデータ判定ステップと
を有することを特徴とする請求項１０に記載のデータ中
継方法。11. The data relaying method further includes receiving a plurality of transmission data items having the same data communication device as a destination data communication device in the data receiving step, and at least two of the received transmission data items. A data reconstruction step of reconstructing the data content of the maintained transmission data by combining the maintained transmission data when the above transmission data is maintained without being discarded by the data inspection step; 11. The data according to claim 10, further comprising a data determination step of determining whether or not the data content reconstructed by the step is a data content intended to attack the destination data communication device. Relay method. 【請求項１２】 データ検査ステップは、前記送信デー
タの前記表示ネットワーク距離の値が、前記測定ネット
ワーク距離の値よりも小さい場合に前記送信データを破
棄する決定を行うことを特徴とする請求項１０に記載の
データ中継方法。12. The data inspection step makes a decision to discard the transmission data when the value of the display network distance of the transmission data is smaller than the value of the measured network distance. Data relay method described in. 【請求項１３】 前記データ受信ステップは、前記表示
ネットワーク距離としてＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉ
ｖｅ）値が表示された送信データを受信し、 前記ネットワーク距離測定ステップは、前記測定ネット
ワーク距離として前記データ中継方法から前記宛先デー
タ通信装置までに必要なＴＴＬ値を測定し、 前記データ検査ステップは、前記送信データに表示され
たＴＴＬ値と、前記ネットワーク距離測定ステップによ
り測定されたＴＴＬ値とを比較し、比較結果に基づき前
記送信データを破棄するか否かを決定することを特徴と
する請求項１０に記載のデータ中継方法。13. The data receiving step includes TTL (Time To Li) as the display network distance.
ve) receiving transmission data having a value displayed, the network distance measuring step measures a TTL value required as the measured network distance from the data relay method to the destination data communication device, and the data checking step comprises And comparing the TTL value displayed in the transmission data with the TTL value measured in the network distance measuring step, and determining whether to discard the transmission data based on the comparison result. Item 11. The data relay method according to Item 10. 【請求項１４】 複数のデータ通信装置間のデータ通信
を中継するデータ中継方法であって、 前記複数のデータ通信装置のそれぞれについて、前記デ
ータ中継方法からそれぞれのデータ通信装置までのネッ
トワーク距離を記憶ネットワーク距離として記憶するネ
ットワーク距離記憶ステップと、 いずれかのデータ通信装置から他のいずれかのデータ通
信装置を宛先として送信され、前記データ中継方法から
データ転送可能なネットワーク距離が表示ネットワーク
距離として表示された送信データを受信するデータ受信
ステップと、 前記送信データに表示された前記表示ネットワーク距離
と、前記送信データの宛先とされた宛先データ通信装置
の記憶ネットワーク距離とを比較し、比較結果に基づき
前記表示ネットワーク距離及び前記宛先データ通信装置
の記憶ネットワーク距離のいずれか一方の値を変更する
ネットワーク距離変更ステップと、 前記ネットワーク距離変更ステップにより前記表示ネッ
トワーク距離及び前記宛先通信装置の記憶ネットワーク
距離のいずれか一方の値の変更が行われた後に、前記送
信データを前記宛先データ通信装置に対して送信するデ
ータ送信ステップとを有することを特徴とするデータ中
継方法。14. A data relay method for relaying data communication between a plurality of data communication devices, wherein a network distance from the data relay method to each data communication device is stored for each of the plurality of data communication devices. A network distance storing step of storing as a network distance, and a network distance which is transmitted from one of the data communication devices to another of the data communication devices and is capable of data transfer from the data relay method is displayed as a display network distance. A data receiving step of receiving the transmission data, comparing the display network distance displayed in the transmission data, and the storage network distance of the destination data communication device that is the destination of the transmission data, and based on the comparison result, Display network distance and destination data The network distance changing step of changing one of the values of the storage network distance of the communication device and the change of the value of one of the display network distance and the storage network distance of the destination communication device by the network distance changing step. And a data transmitting step of transmitting the transmission data to the destination data communication device after being performed. 【請求項１５】 前記ネットワーク距離変更ステップ
は、前記表示ネットワーク距離の値が前記宛先データ通
信装置の記憶ネットワーク距離の値よりも小さい場合
は、前記表示ネットワーク距離の値を前記宛先データ通
信装置の記憶ネットワーク距離の値に変更し、前記宛先
データ通信装置の記憶ネットワーク距離の値が前記表示
ネットワーク距離の値よりも小さい場合は、前記宛先デ
ータ通信装置の記憶ネットワーク距離の値を前記表示ネ
ットワーク距離の値に変更することを特徴とする請求項
１４に記載のデータ中継方法。15. The network distance changing step stores the value of the display network distance in the destination data communication device when the value of the display network distance is smaller than the value of the storage network distance in the destination data communication device. If the value of the storage network distance of the destination data communication device is smaller than the value of the display network distance, the value of the storage network distance of the destination data communication device is changed to the value of the display network distance. 15. The data relay method according to claim 14, wherein the data relay method is changed to. 【請求項１６】 前記ネットワーク距離記憶ステップ
は、前記記憶ネットワーク距離として前記データ中継方
法からそれぞれのデータ通信装置までに必要なＴＴＬ
（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値を記憶し、 前記データ受信ステップは、前記表示ネットワーク距離
としてＴＴＬ値が表示された送信データを受信し、 前記ネットワーク距離変更ステップは、前記送信データ
に表示された表示ＴＴＬ値と前記ネットワーク距離記憶
ステップに記憶された前記宛先データ通信装置の記憶Ｔ
ＴＬ値とを比較し、比較結果に基づき前記表示ＴＴＬ値
及び前記宛先データ通信装置の記憶ＴＴＬ値のいずれか
一方の値を変更することを特徴とする請求項１４に記載
のデータ中継方法。16. The network distance storing step includes a TTL required as the storage network distance from the data relay method to each data communication device.
(Time To Live) value is stored, the data receiving step receives the transmission data in which the TTL value is displayed as the display network distance, and the network distance changing step is in the display TTL value displayed in the transmission data. And the storage T of the destination data communication device stored in the network distance storing step.
15. The data relaying method according to claim 14, wherein one of the display TTL value and the stored TTL value of the destination data communication device is changed based on a comparison result with a TL value. 【請求項１７】 複数のデータ通信装置間のデータ通信
を中継するデータ中継処理をデータ中継装置に実行させ
るためのデータ中継処理プログラムであって、 いずれかのデータ通信装置から他のいずれかのデータ通
信装置を宛先として送信され、前記データ中継装置から
データ転送可能なネットワーク距離が表示ネットワーク
距離として表示された送信データを受信するデータ受信
処理と、 前記データ中継装置から前記送信データの宛先とされた
宛先データ通信装置までのネットワーク距離を測定ネッ
トワーク距離として測定するネットワーク距離測定処理
と、 前記送信データに表示された前記表示ネットワーク距離
と、前記ネットワーク距離測定処理により測定された前
記測定ネットワーク距離とを比較し、比較結果に基づき
前記送信データを破棄するか否かを決定するデータ検査
処理とを前記データ中継装置に実行させるためのデータ
中継処理プログラム。17. A data relay processing program for causing a data relay device to perform a data relay process for relaying data communication between a plurality of data communication devices, the data relay device comprising: A data reception process of receiving transmission data transmitted from a communication device and displaying a network distance at which data transfer is possible from the data relay device as a display network distance; and a destination of the transmission data from the data relay device. A network distance measuring process for measuring a network distance to a destination data communication device as a measuring network distance, the display network distance displayed in the transmission data, and the measuring network distance measured by the network distance measuring process are compared. The transmission date based on the comparison result. A data relay processing program for causing the data relay device to perform a data inspection process for determining whether or not to discard the data. 【請求項１８】 前記データ中継処理プログラムは、更
に、同一のデータ通信装置を宛先データ通信装置とする
複数の送信データが前記データ受信処理により受信さ
れ、受信された前記複数の送信データのうち少なくとも
二以上の送信データが前記データ検査処理により破棄さ
れずに維持された場合に、維持された送信データを組み
合わせて維持された送信データのデータ内容を再構成す
るデータ再構成処理と、 前記データ再構成処理により再構成されたデータ内容
が、前記宛先データ通信装置への攻撃を目的とするデー
タ内容であるか否かを判定するデータ判定処理とを前記
データ中継装置に実行させるための請求項１７に記載の
データ中継処理プログラム。18. The data relay processing program further receives at least a plurality of pieces of transmission data having the same data communication apparatus as a destination data communication apparatus by the data reception processing, and at least the plurality of pieces of transmission data received. A data reconstruction process for reconstructing the data content of the maintained transmission data by combining the maintained transmission data when two or more transmission data are maintained without being discarded by the data inspection process; 18. A data determination process for determining whether or not the data content reconfigured by the configuration process is a data content for the purpose of attacking the destination data communication device, and causing the data relay device to execute the data determination process. The data relay processing program described in. 【請求項１９】 複数のデータ通信装置間のデータ通信
を中継するデータ中継処理をデータ中継装置に実行させ
るためのデータ中継処理プログラムであって、前記複数
のデータ通信装置のそれぞれについて、前記データ中継
装置からそれぞれのデータ通信装置までのネットワーク
距離を記憶ネットワーク距離として記憶するネットワー
ク距離記憶処理と、 いずれかのデータ通信装置から他のいずれかのデータ通
信装置を宛先として送信され、前記データ中継装置から
データ転送可能なネットワーク距離が表示ネットワーク
距離として表示された送信データを受信するデータ受信
処理と、 前記送信データに表示された前記表示ネットワーク距離
と、前記送信データの宛先とされた宛先データ通信装置
の記憶ネットワーク距離とを比較し、比較結果に基づき
前記表示ネットワーク距離及び前記宛先データ通信装置
の記憶ネットワーク距離のいずれか一方の値を変更する
ネットワーク距離変更処理と、 前記ネットワーク距離変更処理により前記表示ネットワ
ーク距離及び前記宛先通信装置の記憶ネットワーク距離
のいずれか一方の値の変更が行われた後に、前記送信デ
ータを前記宛先データ通信装置に対して送信するデータ
送信処理とを前記データ中継装置に実行させるためのデ
ータ中継処理プログラム。19. A data relay processing program for causing a data relay device to execute a data relay process for relaying data communication between a plurality of data communication devices, wherein the data relay process is performed for each of the plurality of data communication devices. Network distance storage processing for storing the network distance from the device to each data communication device as a storage network distance, and transmission from any data communication device to any other data communication device as a destination, and from the data relay device A data receiving process for receiving transmission data in which a network distance capable of data transfer is displayed as a display network distance; the display network distance displayed in the transmission data; and a destination data communication device as a destination of the transmission data. Compare with memory network distance and compare A network distance changing process for changing one of the display network distance and the storage network distance of the destination data communication device based on the above, and the display network distance and the storage network distance of the destination communication device by the network distance changing process. A data relay process program for causing the data relay device to perform a data transmission process of transmitting the transmission data to the destination data communication device after any one of the values is changed. 【請求項２０】 複数のデータ通信装置間のデータ通信
を中継するデータ中継処理をデータ中継装置に実行させ
るためのデータ中継処理プログラムを記録したコンピュ
ータ読み取り可能な記録媒体であって、 いずれかのデータ通信装置から他のいずれかのデータ通
信装置を宛先として送信され、前記データ中継装置から
データ転送可能なネットワーク距離が表示ネットワーク
距離として表示された送信データを受信するデータ受信
処理と、 前記データ中継装置から前記送信データの宛先とされた
宛先データ通信装置までのネットワーク距離を測定ネッ
トワーク距離として測定するネットワーク距離測定処理
と、 前記送信データに表示された前記表示ネットワーク距離
と、前記ネットワーク距離測定処理により測定された前
記測定ネットワーク距離とを比較し、比較結果に基づき
前記送信データを破棄するか否かを決定するデータ検査
処理とを前記データ中継装置に実行させるためのデータ
中継処理プログラムを記録したコンピュータ読み取り可
能な記録媒体。20. A computer-readable recording medium having recorded therein a data relay processing program for causing a data relay device to perform a data relay process for relaying data communication between a plurality of data communication devices, wherein: A data reception process of receiving transmission data transmitted from a communication device to any other data communication device and displaying a network distance at which data transfer is possible from the data relay device as a display network distance; To the destination data communication device that is the destination of the transmission data from the network distance measuring process as a measurement network distance, the display network distance displayed in the transmission data, and the network distance measuring process Said measurement network A computer-readable recording medium recording a data relay processing program for causing the data relay apparatus to perform a data inspection process of comparing the distance and determining whether or not to discard the transmission data based on the comparison result. 【請求項２１】 前記データ中継処理プログラムを記録
したコンピュータ読み取り可能な記録媒体は、更に、同
一のデータ通信装置を宛先データ通信装置とする複数の
送信データが前記データ受信処理により受信され、受信
された前記複数の送信データのうち少なくとも二以上の
送信データが前記データ検査処理により破棄されずに維
持された場合に、維持された送信データを組み合わせて
維持された送信データのデータ内容を再構成するデータ
再構成処理と、 前記データ再構成処理により再構成されたデータ内容
が、前記宛先データ通信装置への攻撃を目的とするデー
タ内容であるか否かを判定するデータ判定処理とを前記
データ中継装置に実行させるためのデータ中継処理プロ
グラムを記録した請求項２０に記載のコンピュータ読み
取り可能な記録媒体。21. A computer-readable recording medium having the data relay processing program recorded thereon, wherein a plurality of transmission data having the same data communication device as a destination data communication device is further received and received by the data reception process. When at least two or more transmission data among the plurality of transmission data are maintained without being discarded by the data inspection process, the maintained transmission data are combined to reconstruct the data content of the maintained transmission data. The data relay process includes a data reconfiguration process and a data determination process for determining whether or not the data content reconfigured by the data reconfiguration process is data content for the purpose of attacking the destination data communication device. The computer reading according to claim 20, wherein a data relay processing program to be executed by the device is recorded. Capacity recording medium. 【請求項２２】 複数のデータ通信装置間のデータ通信
を中継するデータ中継処理をデータ中継装置に実行させ
るためのデータ中継処理プログラムを記録したコンピュ
ータ読み取り可能な記録媒体であって、 前記複数のデータ通信装置のそれぞれについて、前記デ
ータ中継装置からそれぞれのデータ通信装置までのネッ
トワーク距離を記憶ネットワーク距離として記憶するネ
ットワーク距離記憶処理と、 いずれかのデータ通信装置から他のいずれかのデータ通
信装置を宛先として送信され、前記データ中継装置から
データ転送可能なネットワーク距離が表示ネットワーク
距離として表示された送信データを受信するデータ受信
処理と、 前記送信データに表示された前記表示ネットワーク距離
と、前記送信データの宛先とされた宛先データ通信装置
の記憶ネットワーク距離とを比較し、比較結果に基づき
前記表示ネットワーク距離及び前記宛先データ通信装置
の記憶ネットワーク距離のいずれか一方の値を変更する
ネットワーク距離変更処理と、 前記ネットワーク距離変更処理により前記表示ネットワ
ーク距離及び前記宛先通信装置の記憶ネットワーク距離
のいずれか一方の値の変更が行われた後に、前記送信デ
ータを前記宛先データ通信装置に対して送信するデータ
送信処理とを前記データ中継装置に実行させるためのデ
ータ中継処理プログラムを記録したコンピュータ読み取
り可能な記録媒体。22. A computer-readable recording medium having recorded therein a data relay processing program for causing a data relay device to perform a data relay process for relaying data communication between a plurality of data communication devices, wherein: For each of the communication devices, a network distance storing process of storing the network distance from the data relay device to each of the data communication devices as a storage network distance, and a destination of any one of the other data communication devices from the data communication device. And a data receiving process of receiving transmission data in which the network distance capable of data transfer from the data relay device is displayed as a display network distance, the display network distance displayed in the transmission data, and the transmission data. Destination data communication with destination A network distance changing process for comparing the storage network distance of the device and changing one of the display network distance and the storage network distance of the destination data communication device based on the comparison result; A data transmission process of transmitting the transmission data to the destination data communication device after the value of any one of the display network distance and the storage network distance of the destination communication device is changed, is transmitted to the data relay device. A computer-readable recording medium recording a data relay processing program to be executed.