JP3919488B2 - データ中継装置、データ中継方法、データ中継処理プログラム及びデータ中継処理プログラムを記録したコンピュータ読み取り可能な記録媒体 - Google Patents
データ中継装置、データ中継方法、データ中継処理プログラム及びデータ中継処理プログラムを記録したコンピュータ読み取り可能な記録媒体 Download PDFInfo
- Publication number
- JP3919488B2 JP3919488B2 JP2001272867A JP2001272867A JP3919488B2 JP 3919488 B2 JP3919488 B2 JP 3919488B2 JP 2001272867 A JP2001272867 A JP 2001272867A JP 2001272867 A JP2001272867 A JP 2001272867A JP 3919488 B2 JP3919488 B2 JP 3919488B2
- Authority
- JP
- Japan
- Prior art keywords
- network distance
- data
- data communication
- value
- communication device
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Description
【０００１】
【発明の属する技術分野】
この発明は、攻撃データが複数のパケットに分割されてネットワークへ送られた際に、その攻撃データを正しく発見したり、無効化する装置等に関するものである。
【０００２】
【従来の技術】
従来の技術として、特開２０００−３５４０３４に「事業：ハッカー監視室」が開示されている。
図１４及び図１５は、この「事業：ハッカー監視室」を説明する図である。
図１４において、１００は、データ通信装置が接続可能でパケットの送受信が可能なネットワークＡ、２００は、データ通信装置が接続可能でパケットの送受信が可能なネットワークＢである。
２は、ネットワークＡ１００にてターゲットマシン４に対する攻撃データを複数のパケットにて送る攻撃マシンである。
３は、ネットワークＡ１００とネットワークＢ２００の間のパケットの中継を行うルータである。
４は、ネットワークＢ２００にてサービスを提供するターゲットマシンである。
６は、ネットワークＡ１００に接続され、ネットワークＡ１００内のデータ通信装置から送信されたパケットを受信し、受信したパケットの中から攻撃データを検出する攻撃検出システムである。
【０００３】
図１５は、攻撃検出システム６の内部構成を示しており、６１は、ネットワークＡ１００にて通信されるパケットをパケットの宛先にかかわらず受信するパケット受信部である。
６２は、パケット受信部６１から渡されたパケットを元に通信データを再構成するデータ再構成部である。
６３は、攻撃データの特徴である攻撃シグネチャ（攻撃コマンド）を、予め保存しておくシグネチャデータベース（以下、シグネチャＤＢとする）である。
６４は、再構成された通信データと攻撃シグネチャとを比較して攻撃データかどうかを判定する攻撃チェック部である。
【０００４】
次に、攻撃検出システム６の動作について説明する。
パケット受信部６１は、ネットワークＡ１００に接続されたデータ通信装置より送信されたパケットを受信する。
ここで、例えば、攻撃マシン２よりターゲットマシン４を宛先とする図１６（ｂ）〜（ｄ）に示すパケットＡ、パケットＢ、パケットＣを受信したとする。
次に、データ再構成部６２は、パケット受信部６１により受信されたパケットのデータ内容の再構成を行う。
図１６の例では、パケットＡ、パケットＢ、パケットＣのそれぞれのデータ内容を組み合わせて図１６（ｅ）に示すように、”／ｃｇｉ−ｂｉｎ／ｐｈａｆ”というデータ内容に再構成する。
次に、攻撃チェック部６４が、再構成されたデータ内容と、シグネチャＤＢ６３に蓄積されている攻撃シグネチャとを比較し、比較の結果攻撃データであると判定した場合は、その攻撃データを破棄し、攻撃データでないと判断した場合は、宛先のデータ通信装置への転送を許可する。
図１６（ａ）は、シグネチャＤＢ６３に蓄積された攻撃シグネチャを示す。
図１６（ａ）の攻撃シグネチャと図１６（ｅ）の再構成結果は、データ内容が一致しないため（攻撃シグネチャでは／ｐｈｆ”となっているのに対して再構成結果では／ｐｈａｆ”となっているため）、攻撃チェック部６４は、これらパケットＡ、パケットＢ、パケットＣは攻撃データではないと判断し、これらのパケットの転送を許可する。
【０００５】
一方で、図１６（ｂ）〜（ｄ）のパケットＡ、パケットＢ、パケットＣには、それぞれＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）の値が示されている。
このＴＴＬ値は、パケットがネットワークの中に滞在可能な時間（秒数）を示す値であり、ルータ（ゲートウェイ）を通過する度にルータ（ゲートウェイ）の処理に費やした時間が、表示されたＴＴＬ値から減算される。ただし、処理時間が１秒に満たない場合や、処理時間を計測できない場合は、少なくとも１秒が減らされる。そして、ＴＴＬ値が０となった場合には、ルータ（ゲートウェイ）によりそのパケットは破棄されることになる。即ち、ＴＴＬは、パケットの有効期間を示す値となる。
また、ルータの処理に費やした時間の代わりに、ホップカウントを用いてＴＴＬ値とすることも可能である。つまり、ルータを１つ通過するたびにＴＴＬ値を１つづつ減らし、ＴＴＬ値が０となった時点でルータがパケットを破棄するようにしてもよい。この場合には、ＴＴＬ値は、パケットが転送されるネットワーク距離を示すことになる。
ここで、パケットＡではＴＴＬ＝５、パケットＢではＴＴＬ＝１、パケットＣではＴＴＬ＝５である。このため、攻撃検出システム６からターゲットマシン４までに必要なＴＴＬ値が２〜５の間の場合は、パケットＢは途中のルータで破棄され、パケットＡ及びパケットＣのみがターゲットマシン４に到達することになる。
ターゲットマシン４に到達したパケットＡ及びパケットＣのデータ内容は、図１６（ｆ）に示すものとなり、これは、結局図１６（ａ）の攻撃シグネチャと一致する結果となる。
【０００６】
【発明が解決しようとする課題】
このように、従来の技術においては、攻撃検出システムには到達するものの、ルータを経由するターゲットマシンには到達しないようにＴＴＬを操作したダミーのパケットを、攻撃データの分割された複数のパケットの間に潜り込ませることによって、攻撃シグネチャとして検出不能（見かけ上は攻撃データと判定できない）でありながらターゲットマシンが攻撃されるという問題があった。
そこで、本発明は、このような問題点を解決することを目的とする。
【０００７】
【課題を解決するための手段】
本発明に係るデータ中継装置は、
複数のデータ通信装置間のデータ通信を中継するデータ中継装置であって、
いずれかのデータ通信装置から他のいずれかのデータ通信装置を宛先として送信され、前記データ中継装置からデータ転送可能なネットワーク距離が表示ネットワーク距離として表示された送信データを受信するデータ受信部と、
前記データ中継装置から前記送信データの宛先とされた宛先データ通信装置までのネットワーク距離を測定ネットワーク距離として測定するネットワーク距離測定部と、
前記送信データに表示された前記表示ネットワーク距離と、前記ネットワーク距離測定部により測定された前記測定ネットワーク距離とを比較し、比較結果に基づき前記送信データを破棄するか否かを決定するデータ検査部とを有することを特徴とする。
【０００８】
前記データ中継装置は、更に、同一のデータ通信装置を宛先データ通信装置とする複数の送信データが前記データ受信部により受信され、受信された前記複数の送信データのうち少なくとも二以上の送信データが前記データ検査部により破棄されずに維持された場合に、維持された送信データを組み合わせて維持された送信データのデータ内容を再構成するデータ再構成部と、
前記データ再構成部により再構成されたデータ内容が、前記宛先データ通信装置への攻撃を目的とするデータ内容であるか否かを判定するデータ判定部とを有することを特徴とする。
【０００９】
データ検査部は、前記送信データの前記表示ネットワーク距離の値が、前記測定ネットワーク距離の値よりも小さい場合に前記送信データを破棄する決定を行うことを特徴とする。
【００１０】
前記データ受信部は、前記表示ネットワーク距離としてＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値が表示された送信データを受信し、
前記ネットワーク距離測定部は、前記測定ネットワーク距離として前記データ中継装置から前記宛先データ通信装置までに必要なＴＴＬ値を測定し、
前記データ検査部は、前記送信データに表示されたＴＴＬ値と、前記ネットワーク距離測定部により測定されたＴＴＬ値とを比較し、比較結果に基づき前記送信データを破棄するか否かを決定することを特徴とする。
【００１１】
前記データ中継装置は、更に、いずれかのデータ通信装置への攻撃に用いられる攻撃コマンドを少なくとも一つ以上記憶した攻撃コマンド記憶部を有し、
前記データ判定部は、前記データ再構成部により再構成されたデータ内容が前記攻撃コマンド記憶部に記憶された前記攻撃コマンドのいずれかに一致するか否かを判定することを特徴とする。
【００１２】
本発明に係るデータ中継装置は、
複数のデータ通信装置間のデータ通信を中継するデータ中継装置であって、
前記複数のデータ通信装置のそれぞれについて、前記データ中継装置からそれぞれのデータ通信装置までのネットワーク距離を記憶ネットワーク距離として記憶するネットワーク距離記憶部と、
いずれかのデータ通信装置から他のいずれかのデータ通信装置を宛先として送信され、前記データ中継装置からデータ転送可能なネットワーク距離が表示ネットワーク距離として表示された送信データを受信するデータ受信部と、
前記送信データに表示された前記表示ネットワーク距離と、前記送信データの宛先とされた宛先データ通信装置の記憶ネットワーク距離とを比較し、比較結果に基づき前記表示ネットワーク距離及び前記宛先データ通信装置の記憶ネットワーク距離のいずれか一方の値を変更するネットワーク距離変更部と、
前記ネットワーク距離変更部により前記表示ネットワーク距離及び前記宛先通信装置の記憶ネットワーク距離のいずれか一方の値の変更が行われた後に、前記送信データを前記宛先データ通信装置に対して送信するデータ送信部とを有することを特徴とする。
【００１３】
前記ネットワーク距離変更部は、前記表示ネットワーク距離の値が前記宛先データ通信装置の記憶ネットワーク距離の値よりも小さい場合は、前記表示ネットワーク距離の値を前記宛先データ通信装置の記憶ネットワーク距離の値に変更し、前記宛先データ通信装置の記憶ネットワーク距離の値が前記表示ネットワーク距離の値よりも小さい場合は、前記宛先データ通信装置の記憶ネットワーク距離の値を前記表示ネットワーク距離の値に変更することを特徴とする。
【００１４】
前記ネットワーク距離記憶部に記憶ネットワーク距離が記憶されていない新規のデータ通信装置を宛先とする送信データが前記データ受信部により受信された場合に、前記ネットワーク距離記憶部は、前記送信データに表示されたネットワーク距離を、前記新規のデータ通信装置の記憶ネットワーク距離として記憶することを特徴とする。
【００１５】
前記ネットワーク距離記憶部は、前記記憶ネットワーク距離として前記データ中継装置からそれぞれのデータ通信装置までに必要なＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値を記憶し、
前記データ受信部は、前記表示ネットワーク距離としてＴＴＬ値が表示された送信データを受信し、
前記ネットワーク距離変更部は、前記送信データに表示された表示ＴＴＬ値と前記ネットワーク距離記憶部に記憶された前記宛先データ通信装置の記憶ＴＴＬ値とを比較し、比較結果に基づき前記表示ＴＴＬ値及び前記宛先データ通信装置の記憶ＴＴＬ値のいずれか一方の値を変更することを特徴とする。
【００１６】
本発明に係るデータ中継方法は、
複数のデータ通信装置間のデータ通信を中継するデータ中継方法であって、
いずれかのデータ通信装置から他のいずれかのデータ通信装置を宛先として送信され、前記データ中継方法からデータ転送可能なネットワーク距離が表示ネットワーク距離として表示された送信データを受信するデータ受信ステップと、
前記データ中継方法から前記送信データの宛先とされた宛先データ通信装置までのネットワーク距離を測定ネットワーク距離として測定するネットワーク距離測定ステップと、
前記送信データに表示された前記表示ネットワーク距離と、前記ネットワーク距離測定ステップにより測定された前記測定ネットワーク距離とを比較し、比較結果に基づき前記送信データを破棄するか否かを決定するデータ検査ステップとを有することを特徴とする。
【００１７】
前記データ中継方法は、更に、同一のデータ通信装置を宛先データ通信装置とする複数の送信データが前記データ受信ステップにより受信され、受信された前記複数の送信データのうち少なくとも二以上の送信データが前記データ検査ステップにより破棄されずに維持された場合に、維持された送信データを組み合わせて維持された送信データのデータ内容を再構成するデータ再構成ステップと、
前記データ再構成ステップにより再構成されたデータ内容が、前記宛先データ通信装置への攻撃を目的とするデータ内容であるか否かを判定するデータ判定ステップとを有することを特徴とする。
【００１８】
データ検査ステップは、前記送信データの前記表示ネットワーク距離の値が、前記測定ネットワーク距離の値よりも小さい場合に前記送信データを破棄する決定を行うことを特徴とする。
【００１９】
前記データ受信ステップは、前記表示ネットワーク距離としてＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値が表示された送信データを受信し、
前記ネットワーク距離測定ステップは、前記測定ネットワーク距離として前記データ中継方法から前記宛先データ通信装置までに必要なＴＴＬ値を測定し、
前記データ検査ステップは、前記送信データに表示されたＴＴＬ値と、前記ネットワーク距離測定ステップにより測定されたＴＴＬ値とを比較し、比較結果に基づき前記送信データを破棄するか否かを決定することを特徴とする。
【００２０】
本発明に係るデータ中継方法は、
複数のデータ通信装置間のデータ通信を中継するデータ中継方法であって、
前記複数のデータ通信装置のそれぞれについて、前記データ中継方法からそれぞれのデータ通信装置までのネットワーク距離を記憶ネットワーク距離として記憶するネットワーク距離記憶ステップと、
いずれかのデータ通信装置から他のいずれかのデータ通信装置を宛先として送信され、前記データ中継方法からデータ転送可能なネットワーク距離が表示ネットワーク距離として表示された送信データを受信するデータ受信ステップと、
前記送信データに表示された前記表示ネットワーク距離と、前記送信データの宛先とされた宛先データ通信装置の記憶ネットワーク距離とを比較し、比較結果に基づき前記表示ネットワーク距離及び前記宛先データ通信装置の記憶ネットワーク距離のいずれか一方の値を変更するネットワーク距離変更ステップと、
前記ネットワーク距離変更ステップにより前記表示ネットワーク距離及び前記宛先通信装置の記憶ネットワーク距離のいずれか一方の値の変更が行われた後に、前記送信データを前記宛先データ通信装置に対して送信するデータ送信ステップとを有することを特徴とする。
【００２１】
前記ネットワーク距離変更ステップは、前記表示ネットワーク距離の値が前記宛先データ通信装置の記憶ネットワーク距離の値よりも小さい場合は、前記表示ネットワーク距離の値を前記宛先データ通信装置の記憶ネットワーク距離の値に変更し、前記宛先データ通信装置の記憶ネットワーク距離の値が前記表示ネットワーク距離の値よりも小さい場合は、前記宛先データ通信装置の記憶ネットワーク距離の値を前記表示ネットワーク距離の値に変更することを特徴とする。
【００２２】
前記ネットワーク距離記憶ステップは、前記記憶ネットワーク距離として前記データ中継方法からそれぞれのデータ通信装置までに必要なＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値を記憶し、
前記データ受信ステップは、前記表示ネットワーク距離としてＴＴＬ値が表示された送信データを受信し、
前記ネットワーク距離変更ステップは、前記送信データに表示された表示ＴＴＬ値と前記ネットワーク距離記憶ステップに記憶された前記宛先データ通信装置の記憶ＴＴＬ値とを比較し、比較結果に基づき前記表示ＴＴＬ値及び前記宛先データ通信装置の記憶ＴＴＬ値のいずれか一方の値を変更することを特徴とする。
【００２３】
本発明に係るデータ中継処理プログラムは、
複数のデータ通信装置間のデータ通信を中継するデータ中継処理をデータ中継装置に実行させるためのデータ中継処理プログラムであって、
いずれかのデータ通信装置から他のいずれかのデータ通信装置を宛先として送信され、前記データ中継装置からデータ転送可能なネットワーク距離が表示ネットワーク距離として表示された送信データを受信するデータ受信処理と、
前記データ中継装置から前記送信データの宛先とされた宛先データ通信装置までのネットワーク距離を測定ネットワーク距離として測定するネットワーク距離測定処理と、
前記送信データに表示された前記表示ネットワーク距離と、前記ネットワーク距離測定処理により測定された前記測定ネットワーク距離とを比較し、比較結果に基づき前記送信データを破棄するか否かを決定するデータ検査処理とを前記データ中継装置に実行させるためのデータ中継処理プログラムであることを特徴とする。
【００２４】
前記データ中継処理プログラムは、更に、同一のデータ通信装置を宛先データ通信装置とする複数の送信データが前記データ受信処理により受信され、受信された前記複数の送信データのうち少なくとも二以上の送信データが前記データ検査処理により破棄されずに維持された場合に、維持された送信データを組み合わせて維持された送信データのデータ内容を再構成するデータ再構成処理と、
前記データ再構成処理により再構成されたデータ内容が、前記宛先データ通信装置への攻撃を目的とするデータ内容であるか否かを判定するデータ判定処理とを前記データ中継装置に実行させるためのデータ中継処理プログラムであることを特徴とする。
【００２５】
本発明に係るデータ中継処理プログラムは、
複数のデータ通信装置間のデータ通信を中継するデータ中継処理をデータ中継装置に実行させるためのデータ中継処理プログラムであって、
前記複数のデータ通信装置のそれぞれについて、前記データ中継装置からそれぞれのデータ通信装置までのネットワーク距離を記憶ネットワーク距離として記憶するネットワーク距離記憶処理と、
いずれかのデータ通信装置から他のいずれかのデータ通信装置を宛先として送信され、前記データ中継装置からデータ転送可能なネットワーク距離が表示ネットワーク距離として表示された送信データを受信するデータ受信処理と、
前記送信データに表示された前記表示ネットワーク距離と、前記送信データの宛先とされた宛先データ通信装置の記憶ネットワーク距離とを比較し、比較結果に基づき前記表示ネットワーク距離及び前記宛先データ通信装置の記憶ネットワーク距離のいずれか一方の値を変更するネットワーク距離変更処理と、
前記ネットワーク距離変更処理により前記表示ネットワーク距離及び前記宛先通信装置の記憶ネットワーク距離のいずれか一方の値の変更が行われた後に、前記送信データを前記宛先データ通信装置に対して送信するデータ送信処理とを前記データ中継装置に実行させるためのデータ中継処理プログラムであることを特徴とする。
【００２６】
本発明に係るコンピュータ読み取り可能な記録媒体は、
複数のデータ通信装置間のデータ通信を中継するデータ中継処理をデータ中継装置に実行させるためのデータ中継処理プログラムを記録したコンピュータ読み取り可能な記録媒体であって、
いずれかのデータ通信装置から他のいずれかのデータ通信装置を宛先として送信され、前記データ中継装置からデータ転送可能なネットワーク距離が表示ネットワーク距離として表示された送信データを受信するデータ受信処理と、
前記データ中継装置から前記送信データの宛先とされた宛先データ通信装置までのネットワーク距離を測定ネットワーク距離として測定するネットワーク距離測定処理と、
前記送信データに表示された前記表示ネットワーク距離と、前記ネットワーク距離測定処理により測定された前記測定ネットワーク距離とを比較し、比較結果に基づき前記送信データを破棄するか否かを決定するデータ検査処理とを前記データ中継装置に実行させるためのデータ中継処理プログラムを記録したコンピュータ読み取り可能な記録媒体であることを特徴とする。
【００２７】
前記データ中継処理プログラムを記録したコンピュータ読み取り可能な記録媒体は、更に、同一のデータ通信装置を宛先データ通信装置とする複数の送信データが前記データ受信処理により受信され、受信された前記複数の送信データのうち少なくとも二以上の送信データが前記データ検査処理により破棄されずに維持された場合に、維持された送信データを組み合わせて維持された送信データのデータ内容を再構成するデータ再構成処理と、
前記データ再構成処理により再構成されたデータ内容が、前記宛先データ通信装置への攻撃を目的とするデータ内容であるか否かを判定するデータ判定処理とを前記データ中継装置に実行させるためのデータ中継処理プログラムを記録したコンピュータ読み取り可能な記録媒体であることを特徴とする。
【００２８】
本発明に係るコンピュータ読み取り可能な記録媒体は、
複数のデータ通信装置間のデータ通信を中継するデータ中継処理をデータ中継装置に実行させるためのデータ中継処理プログラムを記録したコンピュータ読み取り可能な記録媒体であって、
前記複数のデータ通信装置のそれぞれについて、前記データ中継装置からそれぞれのデータ通信装置までのネットワーク距離を記憶ネットワーク距離として記憶するネットワーク距離記憶処理と、
いずれかのデータ通信装置から他のいずれかのデータ通信装置を宛先として送信され、前記データ中継装置からデータ転送可能なネットワーク距離が表示ネットワーク距離として表示された送信データを受信するデータ受信処理と、
前記送信データに表示された前記表示ネットワーク距離と、前記送信データの宛先とされた宛先データ通信装置の記憶ネットワーク距離とを比較し、比較結果に基づき前記表示ネットワーク距離及び前記宛先データ通信装置の記憶ネットワーク距離のいずれか一方の値を変更するネットワーク距離変更処理と、
前記ネットワーク距離変更処理により前記表示ネットワーク距離及び前記宛先通信装置の記憶ネットワーク距離のいずれか一方の値の変更が行われた後に、前記送信データを前記宛先データ通信装置に対して送信するデータ送信処理とを前記データ中継装置に実行させるためのデータ中継処理プログラムを記録したコンピュータ読み取り可能な記録媒体であることを特徴とする。
【００２９】
【発明の実施の形態】
実施の形態１．
図１は、本実施の形態に係るネットワーク構成の一例を示す図である。
図１において、１はネットワークＡ１００に接続され、ネットワークＡ１００内のデータ通信装置から送信されたパケットを受信し、受信したパケットの中から攻撃データを検出する攻撃対策システムである。攻撃対策システムは、本発明に係るデータ中継装置に相当する。
なお、他の構成要素は、図１４に示したものと同様である。
【００３０】
図２は、攻撃対策システム１の内部構成を示す図である。
１１は、ネットワークＡ１００にて通信されるパケットをパケットの宛先にかかわらず受信するとともに、攻撃チェック部１７により攻撃データでないと判定されたパケットを宛先のデータ通信装置に対して送信するパケット送受信部である。なお、パケット送受信部１１が受信するパケットには、ＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値が含まれている。このＴＴＬ値は、ネットワーク距離に相当する。前述したように、ルータの処理に費やした時間の代わりに、ホップカウントを用いてＴＴＬ値とすることも可能であり、ルータを１つ通過するたびにＴＴＬ値を１つづつ減らし、ＴＴＬ値が０となった時点でルータがパケットを破棄するようにしてもよい。この場合には、ＴＴＬ値はパケットが転送されるネットワーク距離に相当する。
１２は、パケット送受信部１１によりパケットが受信された場合に、受信されたパケットの宛先であるデータ通信装置（宛先データ通信装置）までのネットワーク距離を測定するための測定パケットを生成する測定パケット生成部である。１３は、測定パケット生成部１２により生成された測定パケットを宛先データ通信装置に対して送信し、測定パケットに対する応答を受信する測定パケット送受信部である。
なお、測定パケット生成部１２と測定パケット送受信部１３とを合わせてネットワーク距離測定部という。
１４は、パケット送受信部１１で受信されたパケットに含まれるＴＴＬ値と測定パケット送受信部１３から得られたネットワーク距離を比較し、比較結果に基づき、パケットの破棄の決定又はパケットをデータ再構成部１５へ渡す決定のいずれかを行うパケット検査部である。パケット検査部１４は、データ検査部に相当する。
１５は、パケット検査部１４から渡されたパケットを元に通信データを再構成するデータ再構成部である。
１６は、攻撃データの特徴である攻撃シグネチャ（攻撃コマンド）を、予め保存しておくシグネチャデータベース（以下、シグネチャＤＢとする）である。シグネチャＤＢ１６は、攻撃コマンド記憶部に相当する。
１７は、再構成された通信データと攻撃シグネチャとを比較して攻撃データかどうかを判定する攻撃チェック部である。攻撃チェック部１７は、データ判定部に相当する。
【００３１】
なお、攻撃対策システム１（データ中継装置）は、図示していないが、例えばマイクロプロセッサ等のＣＰＵ、半導体メモリ等や磁気ディスク等の記録手段、及び通信手段を有する計算機により実現することができる。記録手段には、攻撃対策システム１に含まれる各構成要素の機能を実現するプログラムが記録されており、ＣＰＵがこれらのプログラムを読み込むことにより攻撃対策システム１の動作を制御し、各構成要素の機能を実現することができる。
なお、これらのプログラムを計算機で読みとり可能な記録媒体に記録することも可能である。更には、これらのプログラムを通信網を介して転送することも可能である。
【００３２】
次に、攻撃対策システム１の動作について説明する。
パケット送受信部１１は、ネットワークＡ１００に接続されたデータ通信装置より送信されたパケットを受信する。
ここで、例えば、攻撃マシン２よりターゲットマシン４を宛先とする図３（ｂ）〜（ｄ）に示すパケットＡ、パケットＢ、パケットＣを受信したとする。
次に、パケット送受信部１１は、受信したパケットＡ、パケットＢ、パケットＣをパケット検査部１４へと渡す。
パケット検査部１４では、図４に示すパケット検査手順によりパケットを処理する。
以下、図４のフローチャート図に従って、パケット検査部１４の処理を説明する。
【００３３】
まず、パケット検査部１４は、ステップＳ１１にて、パケットから宛先データ通信装置（ここでは、ターゲットマシン４）のアドレス（以下、宛先アドレスとする）を取得する。
次に、ステップＳ１２にて、宛先アドレスを測定パケット生成部１２に渡して呼び出す。
ここで、図５を用いて、測定パケット生成部１２及び測定パケット送受信部１３によるネットワーク距離の測定手順を説明する。
【００３４】
まず、測定パケット生成部１２が、ステップＳ２１において、測定パケットを作成する。具体的には、ＩＰデータグラム・ヘッダ・フォーマットのＤｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ＝宛先アドレス（ここでは、ターゲットマシン４のアドレス）、ＴＴＬ＝１に設定した測定パケットを生成する。図６に、ＩＰデータグラム・ヘッダ・フォーマットの例を示す。図６の例では、Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ３５に宛先アドレスを設定し、Ｔｉｍｅ Ｔｏ Ｌｉｖｅ３６にＴＴＬ＝１を設定する。また、測定パケットは、図７に示すように、ＩＣＭＰエコー要求メッセージ３７とする。
次に、ステップＳ２２において、測定パケット送受信部１３が、測定パケットをネットワークＡ１００に送る。
ここで、宛先データ通信装置（ここでは、ターゲットマシン４）までに配置されたルータ３では、測定パケットのＴＴＬ値を確認し、ＴＴＬ値を１減算する。減算の結果、ＴＴＬ値は０となるので、ＩＣＭＰ時間超過メッセージ３８（図８）が結果パケットとしてルータ３から送り返される。
次に、ステップＳ２３において、測定パケット送受信部１３が結果パケットを受信する。
次に、ステップＳ２４において、測定パケット生成部１２が、結果パケットより測定パケットが宛先データ通信装置に到達したか否かを判断する。ここでは、結果パケットがＩＣＭＰ時間超過メッセージであるためパケット未到着と判断される。
次に、ステップＳ２５において、測定パケット生成部１２は、現在のＴＴＬ値とＴＴＬ値の上限値（＝２２５）とを比較する。ここでは、現在のＴＴＬ＝１が上限値未満と判断される。
次に、ステップＳ２６において、測定パケット生成部１２は、現在のＴＴＬの値に１加算し、ＴＴＬ＝２が設定された測定パケットを生成し、ステップＳ２２に戻り、処理を繰り返す。
なお、ステップＳ２５において、ＴＴＬが上限値（＝２５５）に達した場合は、ステップＳ２７にて測定不能とする。
ステップＳ２３において、宛先アドレス（ターゲットマシン４）から送信されたＩＣＭＰエコー応答メッセージを受信した場合（図９）は、ステップＳ２４にて、測定パケット生成部１２は、パケット到達と判定する。
ステップＳ２４において、パケット到達と判断した場合は、測定パケット生成部１２は、ＴＴＬの値を測定したネットワーク距離としてパケット検査部１４に渡す。
【００３５】
パケット検査部１４では、図４のステップＳ１３において、パケット送受信部１１により受信されたパケットに表示されたＴＴＬ値と測定されたネットワーク距離（ＴＴＬ値）とを比較し、測定結果（測定されたネットワーク距離）がパケットのＴＴＬ値以下の場合は、ステップＳ１４へ、パケットのＴＴＬ値が測定結果より小さい場合は、Ｓ１５へ進む。
ステップＳ１４では、パケット検査部１４は、そのパケットが宛先データ通信装置（ターゲットマシン４）へ到達すると判断して、データ再構成部１５へそのパケットを渡す。
一方、ステップＳ１５では、パケットが宛先データ通信装置（ターゲットマシン４）へ到達しないと判断して、そのパケットを破棄する決定を行い、破棄する。
図３の例では、測定されたＴＴＬ値が２〜５である場合は、パケットＡ及びパケットＣは、ステップＳ１４において、データ再構成部１５へ渡され、パケットＢは、ステップＳ１５において、破棄されることになる。
【００３６】
次に、データ再構成部１５では、パケット検査部１４から渡されたパケットを元にデータを再構成し、再構成結果を攻撃チェック部１７へ渡す。
攻撃チェック部１７は、再構成結果と、シグネチャＤＢ１６に格納された攻撃シグネチャを比較することで、攻撃データかどうかの判断を行う。
図３の例では、データ再構成部１５は、パケットＡ及びパケットＣを元に、図３（ｅ）に示すデータ内容を再構成する。
攻撃チェック部１７は、シグネチャＤＢ１６に格納された図３（ａ）に示す攻撃シグネチャと図３（ｅ）の再構成結果とを比較し、再構成結果が攻撃シグネチャと一致するためパケットＡ及びパケットＣは攻撃データであると判定し、パケットＡ及びパケットＣは破棄される。
【００３７】
実施の形態２．
図１０は、本実施の形態に係るネットワーク構成の一例を示す図である。
本実施の形態では、攻撃対策システム１は、実施の形態１におけるルータ３としての役割も果たし、ネットワークＡ１００とネットワークＢ２００との間に配置され、ネットワークＡ１００より送信したパケットを受信し、受信したパケットをネットワークＢ２００へ渡す。
なお、他の構成要素は、図１に示したものと同様である。
また、図１０では、省略しているが、図１４と同様に、攻撃検出システム６を配備してもよい。
【００３８】
図１１は、本実施の形態に係る攻撃対策システム１の内部構成を示す図である。
図１１において、１０１は、ネットワークＡ１００にて通信されるパケットを受信し、中継制御部１０３へと渡すパケット送受信部（以下、パケット送受信部Ａとする）である。なお、パケット送受信部Ａ１０１が受信するパケットには、ＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値が含まれている。また、パケット送受信部Ａ１０１は、データ送信部又はデータ受信部に相当する。
１０２は、ネットワークＢ２００にて通信されるパケットを受信し、中継制御部１０３へと渡すパケット送受信部（以下、パケット送受信部Ｂとする）である。なお、パケット送受信部Ｂ１０２は、データ送信部又はデータ受信部に相当する。
１０３は、パケット送受信部Ａ１０１、パケット送受信部Ｂ１０２、ＴＴＬ変更部１０５間の制御を行う中継制御部である。
１０４は、パケットの宛先とＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値の組み合わせを記憶するネットワーク距離記憶部である。ネットワーク距離記憶部１０４は、例えば、図１３（ａ）に示すようにパケットの宛先とＴＴＬ値の組合せを記憶している。
１０５は、中継制御部１０３から渡されたパケットについて、パケットに含まれたＴＴＬ値とネットワーク距離記憶部１０４に格納された対応するＴＴＬ値とを比較し、比較結果に応じてパケットのＴＴＬ値又はネットワーク距離記憶部１０４に記憶されたＴＴＬ値を変更するＴＴＬ変更部である。また、ＴＴＬ値がネットワーク距離記憶部１０４に格納されていない新規データ通信装置がパケットの宛先となっている場合は、ＴＴＬ変更部１０５は、その新規データ通信装置宛のパケットに含まれたＴＴＬ値をネットワーク距離記憶部１０４に格納する。なお、ＴＴＬ変更部１０５は、ネットワーク距離変更部に相当する。
なお、本実施の形態における攻撃対策システム１（データ中継装置）も、図示していないが、例えばマイクロプロセッサ等のＣＰＵ、半導体メモリ等や磁気ディスク等の記録手段、及び通信手段を有する計算機により実現することができる。記録手段には、攻撃対策システム１に含まれる各構成要素の機能を実現するプログラムが記録されており、ＣＰＵがこれらのプログラムを読み込むことにより攻撃対策システム１の動作を制御し、各構成要素の機能を実現することができる。
なお、これらのプログラムを計算機で読みとり可能な記録媒体に記録することも可能である。更には、これらのプログラムを通信網を介して転送することも可能である。
【００３９】
次に、本実施の形態に係る攻撃対策システム１の動作について説明する。
パケット送受信部Ａ１０１は、ネットワークＡ１００に接続されたデータ通信装置より送信されたパケットを受信する。
ここで、例えば、攻撃マシン２よりターゲットマシン４を宛先とする図３（ｂ）〜（ｄ）に示すパケットＡ、パケットＢ、パケットＣを受信したとする。
次に、パケット送受信部Ａ１０１は、受信したパケットＡ、パケットＢ、パケットＣを中継制御部１０３へと渡す。
中継制御部１０３は、受信したパケットをＴＴＬ変更部１０５へと渡す。
ＴＴＬ変更部１０５では、図１２に示すＴＴＬ変更手順によりパケットを処理する。
以下、図１２のフローチャート図に従って、ＴＴＬ変更部１０５の処理を説明する。
【００４０】
まず、ＴＴＬ変更部１０５は、ステップＳ３１において、パケットから宛先データ通信装置（ここでは、ターゲットマシン４）のアドレス（以下、宛先アドレスとする）を取得する。
次に、ＴＴＬ変更部１０５は、ステップＳ３２において、ネットワーク距離記憶部１０４に宛先アドレスに対応したＴＴＬ値（ネットワーク距離）が登録されているかどうかを判定する。
登録済みの場合は、ステップＳ３３に進み、ネットワーク距離記憶部１０４から宛先アドレスに対応するＴＴＬ値を取り出す。
未登録の場合（新規データ通信装置の場合）は、ステップＳ３４に進み、パケットからＴＴＬ値を取りだし、ネットワーク距離記憶部１０４に宛先アドレスとＴＴＬ値を登録する。
次に、ステップＳ３３へ進んだ場合は、ＴＴＬ変更部１０５は、ステップＳ３５において、ネットワーク距離記憶部１０４より取得したＴＴＬ値と、パケットに含まれたＴＴＬ値とを比較する。そして、比較結果により、パケットのＴＴＬ値の方が大きい場合は、ステップＳ３６において、ネットワーク距離記憶部１０４のＴＴＬ値をパケットのＴＴＬ値に変更する更新を行う。
一方、パケットのＴＴＬ値の方が小さい場合は、ステップＳ３７において、パケットのＴＴＬ値をネットワーク距離記憶部のＴＴＬ値に変更する更新を行う。
【００４１】
このようにしてＴＴＬ値の変更が行われた後は、ＴＴＬ変更部１０５は、パケット（パケットのＴＴＬ値の変更が行われた場合は、ＴＴＬ値が変更されたパケット）を中継制御部１０３へと渡す。
中継制御部１０３は、ＴＴＬ変更部１０５から受け取ったパケットをパケット送受信部Ｂ１０２へと渡す。
パケット送受信部Ｂ１０２は、パケットをネットワークＢ２００へと渡す。
【００４２】
ここで、ターゲットマシン４までのＴＴＬ値がネットワーク距離記憶部１０４に記憶されていないとした場合（ターゲットマシン４が新規データ通信装置であった場合）に、図３（ｂ）のパケットＡがＴＴＬ変更部１０５で処理されると、パケットＡから取り出された宛先アドレス（ターゲットマシン４）とＴＴＬ＝５がネットワーク距離記憶部１０４に格納され（図１３（ａ））、図１３（ｂ）に示す中継後パケットＡ’がターゲットマシン４へと送られる。
次に、図３（ｃ）のパケットＢがＴＴＬ変更部１０５で処理されると、パケットＢから取り出された宛先アドレス（ターゲットマシン４）とＴＴＬ＝１とが、ネットワーク距離記憶部１０４に格納されている対応するＴＴＬ値（ＴＴＬ＝５）と比較され、パケットＢのＴＴＬ値の方が小さいので、パケットＢのＴＴＬ値はＴＴＬ＝５に更新され、図１３（ｃ）の中継後パケットＢ’がターゲットマシン４へと送られる。
次に、図３（ｄ）のパケットＣがＴＴＬ変更部１０５で処理されると、パケットＣから取り出された宛先アドレス（ターゲットマシン４）とＴＴＬ＝５とが、ネットワーク距離記憶部１０４に格納されている対応するＴＴＬ値（ＴＴＬ＝５）と比較され、両者のＴＴＬ値は同じなので、パケットＣのＴＴＬ値はＴＴＬ＝５のまま、図１３（ｄ）の中継後パケットＣ’がターゲットマシン４へと送られる。
ターゲットマシン４上に到着した中継後パケットＡ’、中継後パケットＢ’、中継後パケットＣ’によりデータが再構築されると、図１３（ｅ）のターゲットマシンでの結果が得られる。
しかし、このターゲットマシンでの結果は、図３（ａ）に示す攻撃シグネチャと異なる。このため、これら中継後パケットＡ’、中継後パケットＢ’、中継後パケットＣ’のデータ内容は、攻撃としては動作しない為、ターゲットマシン４への攻撃が無効化されたことになる。
【００４３】
ところで、上記の説明ではネットワークプロトコルとしてＴＣＰ／ＩＰを用いた場合について述べているが、その他のパケットを送受するネットワークプロトコルに関しても応用可能である。
【００４４】
ところで、上記の説明ではネットワークが２つの場合について述べているが、それ以上のネットワークが接続されている場合にも応用可能である。
【００４５】
また、上記の実施の形態１、２では、本発明に係るデータ中継装置について説明したが、実施の形態１、２に示した処理手順と同様の処理手順により本発明に係るデータ中継方法を実現することができる。
【００４６】
また、ここで、実施の形態１、２で説明した攻撃対策システムの特徴をまとめる。
【００４７】
実施の形態１に係る攻撃対策システムは、
通信装置が接続可能でパケットの送受信が可能なネットワークＡと、
通信装置が接続可能でパケットの送受信が可能なネットワークＢと、
ネットワークＡとネットワークＢの間のパケットの中継を行うルータと、
ネットワークＢにてサービスを提供するターゲットマシンと、
ネットワークＡにてターゲットマシンに攻撃データを複数のパケットにて送る攻撃マシンからなる環境において、
ネットワークＡに接続され、
ネットワークＡにて通信されるパケットをパケットの宛先にかかわらず受信するパケット受信部と、
パケットの宛先までのネットワーク距離を測定する測定パケットを生成する測定パケット生成部と、
ネットワーク距離測定用のパケットをネットワークＡに送受信する測定パケット送受信部と、
受信されたパケットに含まれるＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値と測定されたネットワーク距離を比較してパケットをデータ再構成部へ渡すかどうかを判定するパケット検査部と、
パケット検査部から渡されたパケットを元に通信データを再構成するデータ再構成部と、
攻撃データの特徴である攻撃シグネチャを、予め保存しておくシグネチャＤＢと、
再構成された通信データと攻撃シグネチャを比較して攻撃データかどうかを判定する攻撃チェック部を持つことを特徴とする。
【００４８】
実施の形態２に係る攻撃対策システムは、
通信装置が接続可能でパケットの送受信が可能なネットワークＡと、
通信装置が接続可能でパケットの送受信が可能なネットワークＢと、
ネットワークＢにてサービスを提供するターゲットマシンと、
ネットワークＡにてターゲットマシンに攻撃データを複数のパケットにて送る攻撃マシンからなる環境において、ネットワークＡとネットワークＢの間で、ネットワークＡにて通信されるパケットを受信し中継制御部へと渡すパケット送受信部Ａと、
ネットワークＢにて通信されるパケットを受信し中継制御部へと渡すパケット送受信部Ｂと、
パケットの宛先とＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値の組み合わせを記憶するネットワーク距離記憶部と、
パケット中継制御部から渡されたパケットの宛先とＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値の組み合わせがネットワーク距離記憶部に含まれない場合は格納し、既に含まれる場合はＴＴＬの比較と更新を行ってＴＴＬをパケット中継制御部へ渡すＴＴＬ変更部と、
パケット送受信部Ａまたはパケット送受信部Ｂから渡されたパケットの宛先とＴＴＬをＴＴＬ変更部に渡し、ＴＴＬ変更部から渡されたＴＴＬをパケットのＴＴＬに設定し、反対側のパケット送受信部にパケットを中継の為に渡す中継制御部を持つことを特徴とする。
【００４９】
【発明の効果】
以上のように、本発明によれば、受信した送信データに表示されたネットワーク距離と、測定した宛先データ通信装置までのネットワーク距離とを比較し、表示されたネットワーク距離の値が測定したネットワーク距離の値よりも小さい場合には受信した送信データを破棄し、破棄されなかった送信データのデータ内容を再構成して攻撃目的の有無を判定するため、宛先データ通信装置まで到達しないダミーデータが含まれているため見かけ上攻撃データと判定されないような攻撃データも検出することができ、宛先データ通信装置への攻撃を未然に防止することができる。
【００５０】
また、本発明によれば、各データ通信装置までのネットワーク距離を記憶しておき、受信した送信データに表示されたネットワーク距離と、宛先データ通信装置について記憶しているネットワーク距離とを比較し、表示されたネットワーク距離の値が記憶しているネットワーク距離の値よりも小さい場合は、表示されたネットワーク距離の値を記憶しているネットワーク距離の値に変更して送信データを宛先データ通信装置に対して送信するため、宛先データ通信装置まで到達しないダミーデータが含まれているため見かけ上攻撃データと判定されないような攻撃データの攻撃を無効化することができる。
【図面の簡単な説明】
【図１】 実施の形態１に係るネットワーク構成の一例を示す図である。
【図２】 実施の形態１に係る攻撃対策システムの内部構成を示す図である。
【図３】 攻撃シグネチャ、受信パケット、再構成結果の例を示す図である。
【図４】 パケット検査部における手順の流れを示すフローチャート図である。
【図５】 ネットワーク距離測定部における手順の流れを示すフローチャート図である。
【図６】 ＴＣＰ／ＩＰにおけるＩＰデータグラム・ヘッダ・フォーマットの例を示す図である。
【図７】 ＴＣＰ／ＩＰにおけるＩＣＭＰのエコー要求メッセージの例を示す図である。
【図８】 ＴＣＰ／ＩＰにおけるＩＣＭＰの時間超過メッセージの例を示す図である。
【図９】 ＴＣＰ／ＩＰにおけるＩＣＭＰのエコー応答メッセージの例を示す図である。
【図１０】 実施の形態２に係るネットワーク構成の一例を示す図である。
【図１１】 実施の形態２に係る攻撃対策システムの内部構成を示す図である。
【図１２】 ＴＴＬ変更部における手順の流れを示すフローチャート図である。
【図１３】 ネットワーク距離記憶部の記憶内容、更新処理後のパケット、ターゲットマシンでの結果の例を示す図である。
【図１４】 従来技術を適用するネットワーク構成の一例を示す図である。
【図１５】 従来技術における攻撃検出システムの内部構成を示す図である。
【図１６】 攻撃シグネチャ、受信パケット、従来の再構成結果、従来のターゲットマシンでの結果を示す図である。
【符号の説明】
１ 攻撃対策システム、２ 攻撃マシン、３ ルータ、４ ターゲットマシン、１１ パケット送受信部、１２ 測定パケット生成部、１３ 測定パケット送受信部、１４ パケット検査部、１５ データ再構成部、１６ シグネチャデータベース、１７ 攻撃チェック部、１００ ネットワークＡ、１０１ パケット送受信部、１０２ パケット送受信部、１０３ 中継制御部、１０４ ネットワーク距離記憶部、１０５ ＴＴＬ変更部、２００ ネットワークＢ。
【発明の属する技術分野】
この発明は、攻撃データが複数のパケットに分割されてネットワークへ送られた際に、その攻撃データを正しく発見したり、無効化する装置等に関するものである。
【０００２】
【従来の技術】
従来の技術として、特開２０００−３５４０３４に「事業：ハッカー監視室」が開示されている。
図１４及び図１５は、この「事業：ハッカー監視室」を説明する図である。
図１４において、１００は、データ通信装置が接続可能でパケットの送受信が可能なネットワークＡ、２００は、データ通信装置が接続可能でパケットの送受信が可能なネットワークＢである。
２は、ネットワークＡ１００にてターゲットマシン４に対する攻撃データを複数のパケットにて送る攻撃マシンである。
３は、ネットワークＡ１００とネットワークＢ２００の間のパケットの中継を行うルータである。
４は、ネットワークＢ２００にてサービスを提供するターゲットマシンである。
６は、ネットワークＡ１００に接続され、ネットワークＡ１００内のデータ通信装置から送信されたパケットを受信し、受信したパケットの中から攻撃データを検出する攻撃検出システムである。
【０００３】
図１５は、攻撃検出システム６の内部構成を示しており、６１は、ネットワークＡ１００にて通信されるパケットをパケットの宛先にかかわらず受信するパケット受信部である。
６２は、パケット受信部６１から渡されたパケットを元に通信データを再構成するデータ再構成部である。
６３は、攻撃データの特徴である攻撃シグネチャ（攻撃コマンド）を、予め保存しておくシグネチャデータベース（以下、シグネチャＤＢとする）である。
６４は、再構成された通信データと攻撃シグネチャとを比較して攻撃データかどうかを判定する攻撃チェック部である。
【０００４】
次に、攻撃検出システム６の動作について説明する。
パケット受信部６１は、ネットワークＡ１００に接続されたデータ通信装置より送信されたパケットを受信する。
ここで、例えば、攻撃マシン２よりターゲットマシン４を宛先とする図１６（ｂ）〜（ｄ）に示すパケットＡ、パケットＢ、パケットＣを受信したとする。
次に、データ再構成部６２は、パケット受信部６１により受信されたパケットのデータ内容の再構成を行う。
図１６の例では、パケットＡ、パケットＢ、パケットＣのそれぞれのデータ内容を組み合わせて図１６（ｅ）に示すように、”／ｃｇｉ−ｂｉｎ／ｐｈａｆ”というデータ内容に再構成する。
次に、攻撃チェック部６４が、再構成されたデータ内容と、シグネチャＤＢ６３に蓄積されている攻撃シグネチャとを比較し、比較の結果攻撃データであると判定した場合は、その攻撃データを破棄し、攻撃データでないと判断した場合は、宛先のデータ通信装置への転送を許可する。
図１６（ａ）は、シグネチャＤＢ６３に蓄積された攻撃シグネチャを示す。
図１６（ａ）の攻撃シグネチャと図１６（ｅ）の再構成結果は、データ内容が一致しないため（攻撃シグネチャでは／ｐｈｆ”となっているのに対して再構成結果では／ｐｈａｆ”となっているため）、攻撃チェック部６４は、これらパケットＡ、パケットＢ、パケットＣは攻撃データではないと判断し、これらのパケットの転送を許可する。
【０００５】
一方で、図１６（ｂ）〜（ｄ）のパケットＡ、パケットＢ、パケットＣには、それぞれＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）の値が示されている。
このＴＴＬ値は、パケットがネットワークの中に滞在可能な時間（秒数）を示す値であり、ルータ（ゲートウェイ）を通過する度にルータ（ゲートウェイ）の処理に費やした時間が、表示されたＴＴＬ値から減算される。ただし、処理時間が１秒に満たない場合や、処理時間を計測できない場合は、少なくとも１秒が減らされる。そして、ＴＴＬ値が０となった場合には、ルータ（ゲートウェイ）によりそのパケットは破棄されることになる。即ち、ＴＴＬは、パケットの有効期間を示す値となる。
また、ルータの処理に費やした時間の代わりに、ホップカウントを用いてＴＴＬ値とすることも可能である。つまり、ルータを１つ通過するたびにＴＴＬ値を１つづつ減らし、ＴＴＬ値が０となった時点でルータがパケットを破棄するようにしてもよい。この場合には、ＴＴＬ値は、パケットが転送されるネットワーク距離を示すことになる。
ここで、パケットＡではＴＴＬ＝５、パケットＢではＴＴＬ＝１、パケットＣではＴＴＬ＝５である。このため、攻撃検出システム６からターゲットマシン４までに必要なＴＴＬ値が２〜５の間の場合は、パケットＢは途中のルータで破棄され、パケットＡ及びパケットＣのみがターゲットマシン４に到達することになる。
ターゲットマシン４に到達したパケットＡ及びパケットＣのデータ内容は、図１６（ｆ）に示すものとなり、これは、結局図１６（ａ）の攻撃シグネチャと一致する結果となる。
【０００６】
【発明が解決しようとする課題】
このように、従来の技術においては、攻撃検出システムには到達するものの、ルータを経由するターゲットマシンには到達しないようにＴＴＬを操作したダミーのパケットを、攻撃データの分割された複数のパケットの間に潜り込ませることによって、攻撃シグネチャとして検出不能（見かけ上は攻撃データと判定できない）でありながらターゲットマシンが攻撃されるという問題があった。
そこで、本発明は、このような問題点を解決することを目的とする。
【０００７】
【課題を解決するための手段】
本発明に係るデータ中継装置は、
複数のデータ通信装置間のデータ通信を中継するデータ中継装置であって、
いずれかのデータ通信装置から他のいずれかのデータ通信装置を宛先として送信され、前記データ中継装置からデータ転送可能なネットワーク距離が表示ネットワーク距離として表示された送信データを受信するデータ受信部と、
前記データ中継装置から前記送信データの宛先とされた宛先データ通信装置までのネットワーク距離を測定ネットワーク距離として測定するネットワーク距離測定部と、
前記送信データに表示された前記表示ネットワーク距離と、前記ネットワーク距離測定部により測定された前記測定ネットワーク距離とを比較し、比較結果に基づき前記送信データを破棄するか否かを決定するデータ検査部とを有することを特徴とする。
【０００８】
前記データ中継装置は、更に、同一のデータ通信装置を宛先データ通信装置とする複数の送信データが前記データ受信部により受信され、受信された前記複数の送信データのうち少なくとも二以上の送信データが前記データ検査部により破棄されずに維持された場合に、維持された送信データを組み合わせて維持された送信データのデータ内容を再構成するデータ再構成部と、
前記データ再構成部により再構成されたデータ内容が、前記宛先データ通信装置への攻撃を目的とするデータ内容であるか否かを判定するデータ判定部とを有することを特徴とする。
【０００９】
データ検査部は、前記送信データの前記表示ネットワーク距離の値が、前記測定ネットワーク距離の値よりも小さい場合に前記送信データを破棄する決定を行うことを特徴とする。
【００１０】
前記データ受信部は、前記表示ネットワーク距離としてＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値が表示された送信データを受信し、
前記ネットワーク距離測定部は、前記測定ネットワーク距離として前記データ中継装置から前記宛先データ通信装置までに必要なＴＴＬ値を測定し、
前記データ検査部は、前記送信データに表示されたＴＴＬ値と、前記ネットワーク距離測定部により測定されたＴＴＬ値とを比較し、比較結果に基づき前記送信データを破棄するか否かを決定することを特徴とする。
【００１１】
前記データ中継装置は、更に、いずれかのデータ通信装置への攻撃に用いられる攻撃コマンドを少なくとも一つ以上記憶した攻撃コマンド記憶部を有し、
前記データ判定部は、前記データ再構成部により再構成されたデータ内容が前記攻撃コマンド記憶部に記憶された前記攻撃コマンドのいずれかに一致するか否かを判定することを特徴とする。
【００１２】
本発明に係るデータ中継装置は、
複数のデータ通信装置間のデータ通信を中継するデータ中継装置であって、
前記複数のデータ通信装置のそれぞれについて、前記データ中継装置からそれぞれのデータ通信装置までのネットワーク距離を記憶ネットワーク距離として記憶するネットワーク距離記憶部と、
いずれかのデータ通信装置から他のいずれかのデータ通信装置を宛先として送信され、前記データ中継装置からデータ転送可能なネットワーク距離が表示ネットワーク距離として表示された送信データを受信するデータ受信部と、
前記送信データに表示された前記表示ネットワーク距離と、前記送信データの宛先とされた宛先データ通信装置の記憶ネットワーク距離とを比較し、比較結果に基づき前記表示ネットワーク距離及び前記宛先データ通信装置の記憶ネットワーク距離のいずれか一方の値を変更するネットワーク距離変更部と、
前記ネットワーク距離変更部により前記表示ネットワーク距離及び前記宛先通信装置の記憶ネットワーク距離のいずれか一方の値の変更が行われた後に、前記送信データを前記宛先データ通信装置に対して送信するデータ送信部とを有することを特徴とする。
【００１３】
前記ネットワーク距離変更部は、前記表示ネットワーク距離の値が前記宛先データ通信装置の記憶ネットワーク距離の値よりも小さい場合は、前記表示ネットワーク距離の値を前記宛先データ通信装置の記憶ネットワーク距離の値に変更し、前記宛先データ通信装置の記憶ネットワーク距離の値が前記表示ネットワーク距離の値よりも小さい場合は、前記宛先データ通信装置の記憶ネットワーク距離の値を前記表示ネットワーク距離の値に変更することを特徴とする。
【００１４】
前記ネットワーク距離記憶部に記憶ネットワーク距離が記憶されていない新規のデータ通信装置を宛先とする送信データが前記データ受信部により受信された場合に、前記ネットワーク距離記憶部は、前記送信データに表示されたネットワーク距離を、前記新規のデータ通信装置の記憶ネットワーク距離として記憶することを特徴とする。
【００１５】
前記ネットワーク距離記憶部は、前記記憶ネットワーク距離として前記データ中継装置からそれぞれのデータ通信装置までに必要なＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値を記憶し、
前記データ受信部は、前記表示ネットワーク距離としてＴＴＬ値が表示された送信データを受信し、
前記ネットワーク距離変更部は、前記送信データに表示された表示ＴＴＬ値と前記ネットワーク距離記憶部に記憶された前記宛先データ通信装置の記憶ＴＴＬ値とを比較し、比較結果に基づき前記表示ＴＴＬ値及び前記宛先データ通信装置の記憶ＴＴＬ値のいずれか一方の値を変更することを特徴とする。
【００１６】
本発明に係るデータ中継方法は、
複数のデータ通信装置間のデータ通信を中継するデータ中継方法であって、
いずれかのデータ通信装置から他のいずれかのデータ通信装置を宛先として送信され、前記データ中継方法からデータ転送可能なネットワーク距離が表示ネットワーク距離として表示された送信データを受信するデータ受信ステップと、
前記データ中継方法から前記送信データの宛先とされた宛先データ通信装置までのネットワーク距離を測定ネットワーク距離として測定するネットワーク距離測定ステップと、
前記送信データに表示された前記表示ネットワーク距離と、前記ネットワーク距離測定ステップにより測定された前記測定ネットワーク距離とを比較し、比較結果に基づき前記送信データを破棄するか否かを決定するデータ検査ステップとを有することを特徴とする。
【００１７】
前記データ中継方法は、更に、同一のデータ通信装置を宛先データ通信装置とする複数の送信データが前記データ受信ステップにより受信され、受信された前記複数の送信データのうち少なくとも二以上の送信データが前記データ検査ステップにより破棄されずに維持された場合に、維持された送信データを組み合わせて維持された送信データのデータ内容を再構成するデータ再構成ステップと、
前記データ再構成ステップにより再構成されたデータ内容が、前記宛先データ通信装置への攻撃を目的とするデータ内容であるか否かを判定するデータ判定ステップとを有することを特徴とする。
【００１８】
データ検査ステップは、前記送信データの前記表示ネットワーク距離の値が、前記測定ネットワーク距離の値よりも小さい場合に前記送信データを破棄する決定を行うことを特徴とする。
【００１９】
前記データ受信ステップは、前記表示ネットワーク距離としてＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値が表示された送信データを受信し、
前記ネットワーク距離測定ステップは、前記測定ネットワーク距離として前記データ中継方法から前記宛先データ通信装置までに必要なＴＴＬ値を測定し、
前記データ検査ステップは、前記送信データに表示されたＴＴＬ値と、前記ネットワーク距離測定ステップにより測定されたＴＴＬ値とを比較し、比較結果に基づき前記送信データを破棄するか否かを決定することを特徴とする。
【００２０】
本発明に係るデータ中継方法は、
複数のデータ通信装置間のデータ通信を中継するデータ中継方法であって、
前記複数のデータ通信装置のそれぞれについて、前記データ中継方法からそれぞれのデータ通信装置までのネットワーク距離を記憶ネットワーク距離として記憶するネットワーク距離記憶ステップと、
いずれかのデータ通信装置から他のいずれかのデータ通信装置を宛先として送信され、前記データ中継方法からデータ転送可能なネットワーク距離が表示ネットワーク距離として表示された送信データを受信するデータ受信ステップと、
前記送信データに表示された前記表示ネットワーク距離と、前記送信データの宛先とされた宛先データ通信装置の記憶ネットワーク距離とを比較し、比較結果に基づき前記表示ネットワーク距離及び前記宛先データ通信装置の記憶ネットワーク距離のいずれか一方の値を変更するネットワーク距離変更ステップと、
前記ネットワーク距離変更ステップにより前記表示ネットワーク距離及び前記宛先通信装置の記憶ネットワーク距離のいずれか一方の値の変更が行われた後に、前記送信データを前記宛先データ通信装置に対して送信するデータ送信ステップとを有することを特徴とする。
【００２１】
前記ネットワーク距離変更ステップは、前記表示ネットワーク距離の値が前記宛先データ通信装置の記憶ネットワーク距離の値よりも小さい場合は、前記表示ネットワーク距離の値を前記宛先データ通信装置の記憶ネットワーク距離の値に変更し、前記宛先データ通信装置の記憶ネットワーク距離の値が前記表示ネットワーク距離の値よりも小さい場合は、前記宛先データ通信装置の記憶ネットワーク距離の値を前記表示ネットワーク距離の値に変更することを特徴とする。
【００２２】
前記ネットワーク距離記憶ステップは、前記記憶ネットワーク距離として前記データ中継方法からそれぞれのデータ通信装置までに必要なＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値を記憶し、
前記データ受信ステップは、前記表示ネットワーク距離としてＴＴＬ値が表示された送信データを受信し、
前記ネットワーク距離変更ステップは、前記送信データに表示された表示ＴＴＬ値と前記ネットワーク距離記憶ステップに記憶された前記宛先データ通信装置の記憶ＴＴＬ値とを比較し、比較結果に基づき前記表示ＴＴＬ値及び前記宛先データ通信装置の記憶ＴＴＬ値のいずれか一方の値を変更することを特徴とする。
【００２３】
本発明に係るデータ中継処理プログラムは、
複数のデータ通信装置間のデータ通信を中継するデータ中継処理をデータ中継装置に実行させるためのデータ中継処理プログラムであって、
いずれかのデータ通信装置から他のいずれかのデータ通信装置を宛先として送信され、前記データ中継装置からデータ転送可能なネットワーク距離が表示ネットワーク距離として表示された送信データを受信するデータ受信処理と、
前記データ中継装置から前記送信データの宛先とされた宛先データ通信装置までのネットワーク距離を測定ネットワーク距離として測定するネットワーク距離測定処理と、
前記送信データに表示された前記表示ネットワーク距離と、前記ネットワーク距離測定処理により測定された前記測定ネットワーク距離とを比較し、比較結果に基づき前記送信データを破棄するか否かを決定するデータ検査処理とを前記データ中継装置に実行させるためのデータ中継処理プログラムであることを特徴とする。
【００２４】
前記データ中継処理プログラムは、更に、同一のデータ通信装置を宛先データ通信装置とする複数の送信データが前記データ受信処理により受信され、受信された前記複数の送信データのうち少なくとも二以上の送信データが前記データ検査処理により破棄されずに維持された場合に、維持された送信データを組み合わせて維持された送信データのデータ内容を再構成するデータ再構成処理と、
前記データ再構成処理により再構成されたデータ内容が、前記宛先データ通信装置への攻撃を目的とするデータ内容であるか否かを判定するデータ判定処理とを前記データ中継装置に実行させるためのデータ中継処理プログラムであることを特徴とする。
【００２５】
本発明に係るデータ中継処理プログラムは、
複数のデータ通信装置間のデータ通信を中継するデータ中継処理をデータ中継装置に実行させるためのデータ中継処理プログラムであって、
前記複数のデータ通信装置のそれぞれについて、前記データ中継装置からそれぞれのデータ通信装置までのネットワーク距離を記憶ネットワーク距離として記憶するネットワーク距離記憶処理と、
いずれかのデータ通信装置から他のいずれかのデータ通信装置を宛先として送信され、前記データ中継装置からデータ転送可能なネットワーク距離が表示ネットワーク距離として表示された送信データを受信するデータ受信処理と、
前記送信データに表示された前記表示ネットワーク距離と、前記送信データの宛先とされた宛先データ通信装置の記憶ネットワーク距離とを比較し、比較結果に基づき前記表示ネットワーク距離及び前記宛先データ通信装置の記憶ネットワーク距離のいずれか一方の値を変更するネットワーク距離変更処理と、
前記ネットワーク距離変更処理により前記表示ネットワーク距離及び前記宛先通信装置の記憶ネットワーク距離のいずれか一方の値の変更が行われた後に、前記送信データを前記宛先データ通信装置に対して送信するデータ送信処理とを前記データ中継装置に実行させるためのデータ中継処理プログラムであることを特徴とする。
【００２６】
本発明に係るコンピュータ読み取り可能な記録媒体は、
複数のデータ通信装置間のデータ通信を中継するデータ中継処理をデータ中継装置に実行させるためのデータ中継処理プログラムを記録したコンピュータ読み取り可能な記録媒体であって、
いずれかのデータ通信装置から他のいずれかのデータ通信装置を宛先として送信され、前記データ中継装置からデータ転送可能なネットワーク距離が表示ネットワーク距離として表示された送信データを受信するデータ受信処理と、
前記データ中継装置から前記送信データの宛先とされた宛先データ通信装置までのネットワーク距離を測定ネットワーク距離として測定するネットワーク距離測定処理と、
前記送信データに表示された前記表示ネットワーク距離と、前記ネットワーク距離測定処理により測定された前記測定ネットワーク距離とを比較し、比較結果に基づき前記送信データを破棄するか否かを決定するデータ検査処理とを前記データ中継装置に実行させるためのデータ中継処理プログラムを記録したコンピュータ読み取り可能な記録媒体であることを特徴とする。
【００２７】
前記データ中継処理プログラムを記録したコンピュータ読み取り可能な記録媒体は、更に、同一のデータ通信装置を宛先データ通信装置とする複数の送信データが前記データ受信処理により受信され、受信された前記複数の送信データのうち少なくとも二以上の送信データが前記データ検査処理により破棄されずに維持された場合に、維持された送信データを組み合わせて維持された送信データのデータ内容を再構成するデータ再構成処理と、
前記データ再構成処理により再構成されたデータ内容が、前記宛先データ通信装置への攻撃を目的とするデータ内容であるか否かを判定するデータ判定処理とを前記データ中継装置に実行させるためのデータ中継処理プログラムを記録したコンピュータ読み取り可能な記録媒体であることを特徴とする。
【００２８】
本発明に係るコンピュータ読み取り可能な記録媒体は、
複数のデータ通信装置間のデータ通信を中継するデータ中継処理をデータ中継装置に実行させるためのデータ中継処理プログラムを記録したコンピュータ読み取り可能な記録媒体であって、
前記複数のデータ通信装置のそれぞれについて、前記データ中継装置からそれぞれのデータ通信装置までのネットワーク距離を記憶ネットワーク距離として記憶するネットワーク距離記憶処理と、
いずれかのデータ通信装置から他のいずれかのデータ通信装置を宛先として送信され、前記データ中継装置からデータ転送可能なネットワーク距離が表示ネットワーク距離として表示された送信データを受信するデータ受信処理と、
前記送信データに表示された前記表示ネットワーク距離と、前記送信データの宛先とされた宛先データ通信装置の記憶ネットワーク距離とを比較し、比較結果に基づき前記表示ネットワーク距離及び前記宛先データ通信装置の記憶ネットワーク距離のいずれか一方の値を変更するネットワーク距離変更処理と、
前記ネットワーク距離変更処理により前記表示ネットワーク距離及び前記宛先通信装置の記憶ネットワーク距離のいずれか一方の値の変更が行われた後に、前記送信データを前記宛先データ通信装置に対して送信するデータ送信処理とを前記データ中継装置に実行させるためのデータ中継処理プログラムを記録したコンピュータ読み取り可能な記録媒体であることを特徴とする。
【００２９】
【発明の実施の形態】
実施の形態１．
図１は、本実施の形態に係るネットワーク構成の一例を示す図である。
図１において、１はネットワークＡ１００に接続され、ネットワークＡ１００内のデータ通信装置から送信されたパケットを受信し、受信したパケットの中から攻撃データを検出する攻撃対策システムである。攻撃対策システムは、本発明に係るデータ中継装置に相当する。
なお、他の構成要素は、図１４に示したものと同様である。
【００３０】
図２は、攻撃対策システム１の内部構成を示す図である。
１１は、ネットワークＡ１００にて通信されるパケットをパケットの宛先にかかわらず受信するとともに、攻撃チェック部１７により攻撃データでないと判定されたパケットを宛先のデータ通信装置に対して送信するパケット送受信部である。なお、パケット送受信部１１が受信するパケットには、ＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値が含まれている。このＴＴＬ値は、ネットワーク距離に相当する。前述したように、ルータの処理に費やした時間の代わりに、ホップカウントを用いてＴＴＬ値とすることも可能であり、ルータを１つ通過するたびにＴＴＬ値を１つづつ減らし、ＴＴＬ値が０となった時点でルータがパケットを破棄するようにしてもよい。この場合には、ＴＴＬ値はパケットが転送されるネットワーク距離に相当する。
１２は、パケット送受信部１１によりパケットが受信された場合に、受信されたパケットの宛先であるデータ通信装置（宛先データ通信装置）までのネットワーク距離を測定するための測定パケットを生成する測定パケット生成部である。１３は、測定パケット生成部１２により生成された測定パケットを宛先データ通信装置に対して送信し、測定パケットに対する応答を受信する測定パケット送受信部である。
なお、測定パケット生成部１２と測定パケット送受信部１３とを合わせてネットワーク距離測定部という。
１４は、パケット送受信部１１で受信されたパケットに含まれるＴＴＬ値と測定パケット送受信部１３から得られたネットワーク距離を比較し、比較結果に基づき、パケットの破棄の決定又はパケットをデータ再構成部１５へ渡す決定のいずれかを行うパケット検査部である。パケット検査部１４は、データ検査部に相当する。
１５は、パケット検査部１４から渡されたパケットを元に通信データを再構成するデータ再構成部である。
１６は、攻撃データの特徴である攻撃シグネチャ（攻撃コマンド）を、予め保存しておくシグネチャデータベース（以下、シグネチャＤＢとする）である。シグネチャＤＢ１６は、攻撃コマンド記憶部に相当する。
１７は、再構成された通信データと攻撃シグネチャとを比較して攻撃データかどうかを判定する攻撃チェック部である。攻撃チェック部１７は、データ判定部に相当する。
【００３１】
なお、攻撃対策システム１（データ中継装置）は、図示していないが、例えばマイクロプロセッサ等のＣＰＵ、半導体メモリ等や磁気ディスク等の記録手段、及び通信手段を有する計算機により実現することができる。記録手段には、攻撃対策システム１に含まれる各構成要素の機能を実現するプログラムが記録されており、ＣＰＵがこれらのプログラムを読み込むことにより攻撃対策システム１の動作を制御し、各構成要素の機能を実現することができる。
なお、これらのプログラムを計算機で読みとり可能な記録媒体に記録することも可能である。更には、これらのプログラムを通信網を介して転送することも可能である。
【００３２】
次に、攻撃対策システム１の動作について説明する。
パケット送受信部１１は、ネットワークＡ１００に接続されたデータ通信装置より送信されたパケットを受信する。
ここで、例えば、攻撃マシン２よりターゲットマシン４を宛先とする図３（ｂ）〜（ｄ）に示すパケットＡ、パケットＢ、パケットＣを受信したとする。
次に、パケット送受信部１１は、受信したパケットＡ、パケットＢ、パケットＣをパケット検査部１４へと渡す。
パケット検査部１４では、図４に示すパケット検査手順によりパケットを処理する。
以下、図４のフローチャート図に従って、パケット検査部１４の処理を説明する。
【００３３】
まず、パケット検査部１４は、ステップＳ１１にて、パケットから宛先データ通信装置（ここでは、ターゲットマシン４）のアドレス（以下、宛先アドレスとする）を取得する。
次に、ステップＳ１２にて、宛先アドレスを測定パケット生成部１２に渡して呼び出す。
ここで、図５を用いて、測定パケット生成部１２及び測定パケット送受信部１３によるネットワーク距離の測定手順を説明する。
【００３４】
まず、測定パケット生成部１２が、ステップＳ２１において、測定パケットを作成する。具体的には、ＩＰデータグラム・ヘッダ・フォーマットのＤｅｓｔｉｎａｔｉｏｎ Ａｄｄｒｅｓｓ＝宛先アドレス（ここでは、ターゲットマシン４のアドレス）、ＴＴＬ＝１に設定した測定パケットを生成する。図６に、ＩＰデータグラム・ヘッダ・フォーマットの例を示す。図６の例では、Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ３５に宛先アドレスを設定し、Ｔｉｍｅ Ｔｏ Ｌｉｖｅ３６にＴＴＬ＝１を設定する。また、測定パケットは、図７に示すように、ＩＣＭＰエコー要求メッセージ３７とする。
次に、ステップＳ２２において、測定パケット送受信部１３が、測定パケットをネットワークＡ１００に送る。
ここで、宛先データ通信装置（ここでは、ターゲットマシン４）までに配置されたルータ３では、測定パケットのＴＴＬ値を確認し、ＴＴＬ値を１減算する。減算の結果、ＴＴＬ値は０となるので、ＩＣＭＰ時間超過メッセージ３８（図８）が結果パケットとしてルータ３から送り返される。
次に、ステップＳ２３において、測定パケット送受信部１３が結果パケットを受信する。
次に、ステップＳ２４において、測定パケット生成部１２が、結果パケットより測定パケットが宛先データ通信装置に到達したか否かを判断する。ここでは、結果パケットがＩＣＭＰ時間超過メッセージであるためパケット未到着と判断される。
次に、ステップＳ２５において、測定パケット生成部１２は、現在のＴＴＬ値とＴＴＬ値の上限値（＝２２５）とを比較する。ここでは、現在のＴＴＬ＝１が上限値未満と判断される。
次に、ステップＳ２６において、測定パケット生成部１２は、現在のＴＴＬの値に１加算し、ＴＴＬ＝２が設定された測定パケットを生成し、ステップＳ２２に戻り、処理を繰り返す。
なお、ステップＳ２５において、ＴＴＬが上限値（＝２５５）に達した場合は、ステップＳ２７にて測定不能とする。
ステップＳ２３において、宛先アドレス（ターゲットマシン４）から送信されたＩＣＭＰエコー応答メッセージを受信した場合（図９）は、ステップＳ２４にて、測定パケット生成部１２は、パケット到達と判定する。
ステップＳ２４において、パケット到達と判断した場合は、測定パケット生成部１２は、ＴＴＬの値を測定したネットワーク距離としてパケット検査部１４に渡す。
【００３５】
パケット検査部１４では、図４のステップＳ１３において、パケット送受信部１１により受信されたパケットに表示されたＴＴＬ値と測定されたネットワーク距離（ＴＴＬ値）とを比較し、測定結果（測定されたネットワーク距離）がパケットのＴＴＬ値以下の場合は、ステップＳ１４へ、パケットのＴＴＬ値が測定結果より小さい場合は、Ｓ１５へ進む。
ステップＳ１４では、パケット検査部１４は、そのパケットが宛先データ通信装置（ターゲットマシン４）へ到達すると判断して、データ再構成部１５へそのパケットを渡す。
一方、ステップＳ１５では、パケットが宛先データ通信装置（ターゲットマシン４）へ到達しないと判断して、そのパケットを破棄する決定を行い、破棄する。
図３の例では、測定されたＴＴＬ値が２〜５である場合は、パケットＡ及びパケットＣは、ステップＳ１４において、データ再構成部１５へ渡され、パケットＢは、ステップＳ１５において、破棄されることになる。
【００３６】
次に、データ再構成部１５では、パケット検査部１４から渡されたパケットを元にデータを再構成し、再構成結果を攻撃チェック部１７へ渡す。
攻撃チェック部１７は、再構成結果と、シグネチャＤＢ１６に格納された攻撃シグネチャを比較することで、攻撃データかどうかの判断を行う。
図３の例では、データ再構成部１５は、パケットＡ及びパケットＣを元に、図３（ｅ）に示すデータ内容を再構成する。
攻撃チェック部１７は、シグネチャＤＢ１６に格納された図３（ａ）に示す攻撃シグネチャと図３（ｅ）の再構成結果とを比較し、再構成結果が攻撃シグネチャと一致するためパケットＡ及びパケットＣは攻撃データであると判定し、パケットＡ及びパケットＣは破棄される。
【００３７】
実施の形態２．
図１０は、本実施の形態に係るネットワーク構成の一例を示す図である。
本実施の形態では、攻撃対策システム１は、実施の形態１におけるルータ３としての役割も果たし、ネットワークＡ１００とネットワークＢ２００との間に配置され、ネットワークＡ１００より送信したパケットを受信し、受信したパケットをネットワークＢ２００へ渡す。
なお、他の構成要素は、図１に示したものと同様である。
また、図１０では、省略しているが、図１４と同様に、攻撃検出システム６を配備してもよい。
【００３８】
図１１は、本実施の形態に係る攻撃対策システム１の内部構成を示す図である。
図１１において、１０１は、ネットワークＡ１００にて通信されるパケットを受信し、中継制御部１０３へと渡すパケット送受信部（以下、パケット送受信部Ａとする）である。なお、パケット送受信部Ａ１０１が受信するパケットには、ＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値が含まれている。また、パケット送受信部Ａ１０１は、データ送信部又はデータ受信部に相当する。
１０２は、ネットワークＢ２００にて通信されるパケットを受信し、中継制御部１０３へと渡すパケット送受信部（以下、パケット送受信部Ｂとする）である。なお、パケット送受信部Ｂ１０２は、データ送信部又はデータ受信部に相当する。
１０３は、パケット送受信部Ａ１０１、パケット送受信部Ｂ１０２、ＴＴＬ変更部１０５間の制御を行う中継制御部である。
１０４は、パケットの宛先とＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値の組み合わせを記憶するネットワーク距離記憶部である。ネットワーク距離記憶部１０４は、例えば、図１３（ａ）に示すようにパケットの宛先とＴＴＬ値の組合せを記憶している。
１０５は、中継制御部１０３から渡されたパケットについて、パケットに含まれたＴＴＬ値とネットワーク距離記憶部１０４に格納された対応するＴＴＬ値とを比較し、比較結果に応じてパケットのＴＴＬ値又はネットワーク距離記憶部１０４に記憶されたＴＴＬ値を変更するＴＴＬ変更部である。また、ＴＴＬ値がネットワーク距離記憶部１０４に格納されていない新規データ通信装置がパケットの宛先となっている場合は、ＴＴＬ変更部１０５は、その新規データ通信装置宛のパケットに含まれたＴＴＬ値をネットワーク距離記憶部１０４に格納する。なお、ＴＴＬ変更部１０５は、ネットワーク距離変更部に相当する。
なお、本実施の形態における攻撃対策システム１（データ中継装置）も、図示していないが、例えばマイクロプロセッサ等のＣＰＵ、半導体メモリ等や磁気ディスク等の記録手段、及び通信手段を有する計算機により実現することができる。記録手段には、攻撃対策システム１に含まれる各構成要素の機能を実現するプログラムが記録されており、ＣＰＵがこれらのプログラムを読み込むことにより攻撃対策システム１の動作を制御し、各構成要素の機能を実現することができる。
なお、これらのプログラムを計算機で読みとり可能な記録媒体に記録することも可能である。更には、これらのプログラムを通信網を介して転送することも可能である。
【００３９】
次に、本実施の形態に係る攻撃対策システム１の動作について説明する。
パケット送受信部Ａ１０１は、ネットワークＡ１００に接続されたデータ通信装置より送信されたパケットを受信する。
ここで、例えば、攻撃マシン２よりターゲットマシン４を宛先とする図３（ｂ）〜（ｄ）に示すパケットＡ、パケットＢ、パケットＣを受信したとする。
次に、パケット送受信部Ａ１０１は、受信したパケットＡ、パケットＢ、パケットＣを中継制御部１０３へと渡す。
中継制御部１０３は、受信したパケットをＴＴＬ変更部１０５へと渡す。
ＴＴＬ変更部１０５では、図１２に示すＴＴＬ変更手順によりパケットを処理する。
以下、図１２のフローチャート図に従って、ＴＴＬ変更部１０５の処理を説明する。
【００４０】
まず、ＴＴＬ変更部１０５は、ステップＳ３１において、パケットから宛先データ通信装置（ここでは、ターゲットマシン４）のアドレス（以下、宛先アドレスとする）を取得する。
次に、ＴＴＬ変更部１０５は、ステップＳ３２において、ネットワーク距離記憶部１０４に宛先アドレスに対応したＴＴＬ値（ネットワーク距離）が登録されているかどうかを判定する。
登録済みの場合は、ステップＳ３３に進み、ネットワーク距離記憶部１０４から宛先アドレスに対応するＴＴＬ値を取り出す。
未登録の場合（新規データ通信装置の場合）は、ステップＳ３４に進み、パケットからＴＴＬ値を取りだし、ネットワーク距離記憶部１０４に宛先アドレスとＴＴＬ値を登録する。
次に、ステップＳ３３へ進んだ場合は、ＴＴＬ変更部１０５は、ステップＳ３５において、ネットワーク距離記憶部１０４より取得したＴＴＬ値と、パケットに含まれたＴＴＬ値とを比較する。そして、比較結果により、パケットのＴＴＬ値の方が大きい場合は、ステップＳ３６において、ネットワーク距離記憶部１０４のＴＴＬ値をパケットのＴＴＬ値に変更する更新を行う。
一方、パケットのＴＴＬ値の方が小さい場合は、ステップＳ３７において、パケットのＴＴＬ値をネットワーク距離記憶部のＴＴＬ値に変更する更新を行う。
【００４１】
このようにしてＴＴＬ値の変更が行われた後は、ＴＴＬ変更部１０５は、パケット（パケットのＴＴＬ値の変更が行われた場合は、ＴＴＬ値が変更されたパケット）を中継制御部１０３へと渡す。
中継制御部１０３は、ＴＴＬ変更部１０５から受け取ったパケットをパケット送受信部Ｂ１０２へと渡す。
パケット送受信部Ｂ１０２は、パケットをネットワークＢ２００へと渡す。
【００４２】
ここで、ターゲットマシン４までのＴＴＬ値がネットワーク距離記憶部１０４に記憶されていないとした場合（ターゲットマシン４が新規データ通信装置であった場合）に、図３（ｂ）のパケットＡがＴＴＬ変更部１０５で処理されると、パケットＡから取り出された宛先アドレス（ターゲットマシン４）とＴＴＬ＝５がネットワーク距離記憶部１０４に格納され（図１３（ａ））、図１３（ｂ）に示す中継後パケットＡ’がターゲットマシン４へと送られる。
次に、図３（ｃ）のパケットＢがＴＴＬ変更部１０５で処理されると、パケットＢから取り出された宛先アドレス（ターゲットマシン４）とＴＴＬ＝１とが、ネットワーク距離記憶部１０４に格納されている対応するＴＴＬ値（ＴＴＬ＝５）と比較され、パケットＢのＴＴＬ値の方が小さいので、パケットＢのＴＴＬ値はＴＴＬ＝５に更新され、図１３（ｃ）の中継後パケットＢ’がターゲットマシン４へと送られる。
次に、図３（ｄ）のパケットＣがＴＴＬ変更部１０５で処理されると、パケットＣから取り出された宛先アドレス（ターゲットマシン４）とＴＴＬ＝５とが、ネットワーク距離記憶部１０４に格納されている対応するＴＴＬ値（ＴＴＬ＝５）と比較され、両者のＴＴＬ値は同じなので、パケットＣのＴＴＬ値はＴＴＬ＝５のまま、図１３（ｄ）の中継後パケットＣ’がターゲットマシン４へと送られる。
ターゲットマシン４上に到着した中継後パケットＡ’、中継後パケットＢ’、中継後パケットＣ’によりデータが再構築されると、図１３（ｅ）のターゲットマシンでの結果が得られる。
しかし、このターゲットマシンでの結果は、図３（ａ）に示す攻撃シグネチャと異なる。このため、これら中継後パケットＡ’、中継後パケットＢ’、中継後パケットＣ’のデータ内容は、攻撃としては動作しない為、ターゲットマシン４への攻撃が無効化されたことになる。
【００４３】
ところで、上記の説明ではネットワークプロトコルとしてＴＣＰ／ＩＰを用いた場合について述べているが、その他のパケットを送受するネットワークプロトコルに関しても応用可能である。
【００４４】
ところで、上記の説明ではネットワークが２つの場合について述べているが、それ以上のネットワークが接続されている場合にも応用可能である。
【００４５】
また、上記の実施の形態１、２では、本発明に係るデータ中継装置について説明したが、実施の形態１、２に示した処理手順と同様の処理手順により本発明に係るデータ中継方法を実現することができる。
【００４６】
また、ここで、実施の形態１、２で説明した攻撃対策システムの特徴をまとめる。
【００４７】
実施の形態１に係る攻撃対策システムは、
通信装置が接続可能でパケットの送受信が可能なネットワークＡと、
通信装置が接続可能でパケットの送受信が可能なネットワークＢと、
ネットワークＡとネットワークＢの間のパケットの中継を行うルータと、
ネットワークＢにてサービスを提供するターゲットマシンと、
ネットワークＡにてターゲットマシンに攻撃データを複数のパケットにて送る攻撃マシンからなる環境において、
ネットワークＡに接続され、
ネットワークＡにて通信されるパケットをパケットの宛先にかかわらず受信するパケット受信部と、
パケットの宛先までのネットワーク距離を測定する測定パケットを生成する測定パケット生成部と、
ネットワーク距離測定用のパケットをネットワークＡに送受信する測定パケット送受信部と、
受信されたパケットに含まれるＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値と測定されたネットワーク距離を比較してパケットをデータ再構成部へ渡すかどうかを判定するパケット検査部と、
パケット検査部から渡されたパケットを元に通信データを再構成するデータ再構成部と、
攻撃データの特徴である攻撃シグネチャを、予め保存しておくシグネチャＤＢと、
再構成された通信データと攻撃シグネチャを比較して攻撃データかどうかを判定する攻撃チェック部を持つことを特徴とする。
【００４８】
実施の形態２に係る攻撃対策システムは、
通信装置が接続可能でパケットの送受信が可能なネットワークＡと、
通信装置が接続可能でパケットの送受信が可能なネットワークＢと、
ネットワークＢにてサービスを提供するターゲットマシンと、
ネットワークＡにてターゲットマシンに攻撃データを複数のパケットにて送る攻撃マシンからなる環境において、ネットワークＡとネットワークＢの間で、ネットワークＡにて通信されるパケットを受信し中継制御部へと渡すパケット送受信部Ａと、
ネットワークＢにて通信されるパケットを受信し中継制御部へと渡すパケット送受信部Ｂと、
パケットの宛先とＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値の組み合わせを記憶するネットワーク距離記憶部と、
パケット中継制御部から渡されたパケットの宛先とＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値の組み合わせがネットワーク距離記憶部に含まれない場合は格納し、既に含まれる場合はＴＴＬの比較と更新を行ってＴＴＬをパケット中継制御部へ渡すＴＴＬ変更部と、
パケット送受信部Ａまたはパケット送受信部Ｂから渡されたパケットの宛先とＴＴＬをＴＴＬ変更部に渡し、ＴＴＬ変更部から渡されたＴＴＬをパケットのＴＴＬに設定し、反対側のパケット送受信部にパケットを中継の為に渡す中継制御部を持つことを特徴とする。
【００４９】
【発明の効果】
以上のように、本発明によれば、受信した送信データに表示されたネットワーク距離と、測定した宛先データ通信装置までのネットワーク距離とを比較し、表示されたネットワーク距離の値が測定したネットワーク距離の値よりも小さい場合には受信した送信データを破棄し、破棄されなかった送信データのデータ内容を再構成して攻撃目的の有無を判定するため、宛先データ通信装置まで到達しないダミーデータが含まれているため見かけ上攻撃データと判定されないような攻撃データも検出することができ、宛先データ通信装置への攻撃を未然に防止することができる。
【００５０】
また、本発明によれば、各データ通信装置までのネットワーク距離を記憶しておき、受信した送信データに表示されたネットワーク距離と、宛先データ通信装置について記憶しているネットワーク距離とを比較し、表示されたネットワーク距離の値が記憶しているネットワーク距離の値よりも小さい場合は、表示されたネットワーク距離の値を記憶しているネットワーク距離の値に変更して送信データを宛先データ通信装置に対して送信するため、宛先データ通信装置まで到達しないダミーデータが含まれているため見かけ上攻撃データと判定されないような攻撃データの攻撃を無効化することができる。
【図面の簡単な説明】
【図１】 実施の形態１に係るネットワーク構成の一例を示す図である。
【図２】 実施の形態１に係る攻撃対策システムの内部構成を示す図である。
【図３】 攻撃シグネチャ、受信パケット、再構成結果の例を示す図である。
【図４】 パケット検査部における手順の流れを示すフローチャート図である。
【図５】 ネットワーク距離測定部における手順の流れを示すフローチャート図である。
【図６】 ＴＣＰ／ＩＰにおけるＩＰデータグラム・ヘッダ・フォーマットの例を示す図である。
【図７】 ＴＣＰ／ＩＰにおけるＩＣＭＰのエコー要求メッセージの例を示す図である。
【図８】 ＴＣＰ／ＩＰにおけるＩＣＭＰの時間超過メッセージの例を示す図である。
【図９】 ＴＣＰ／ＩＰにおけるＩＣＭＰのエコー応答メッセージの例を示す図である。
【図１０】 実施の形態２に係るネットワーク構成の一例を示す図である。
【図１１】 実施の形態２に係る攻撃対策システムの内部構成を示す図である。
【図１２】 ＴＴＬ変更部における手順の流れを示すフローチャート図である。
【図１３】 ネットワーク距離記憶部の記憶内容、更新処理後のパケット、ターゲットマシンでの結果の例を示す図である。
【図１４】 従来技術を適用するネットワーク構成の一例を示す図である。
【図１５】 従来技術における攻撃検出システムの内部構成を示す図である。
【図１６】 攻撃シグネチャ、受信パケット、従来の再構成結果、従来のターゲットマシンでの結果を示す図である。
【符号の説明】
１ 攻撃対策システム、２ 攻撃マシン、３ ルータ、４ ターゲットマシン、１１ パケット送受信部、１２ 測定パケット生成部、１３ 測定パケット送受信部、１４ パケット検査部、１５ データ再構成部、１６ シグネチャデータベース、１７ 攻撃チェック部、１００ ネットワークＡ、１０１ パケット送受信部、１０２ パケット送受信部、１０３ 中継制御部、１０４ ネットワーク距離記憶部、１０５ ＴＴＬ変更部、２００ ネットワークＢ。
Claims (7)
- 複数のデータ通信装置間のデータ通信を中継するデータ中継装置であって、
前記複数のデータ通信装置のそれぞれについて、前記データ中継装置からそれぞれのデータ通信装置までのネットワーク距離を記憶ネットワーク距離として記憶するネットワーク距離記憶部と、
いずれかのデータ通信装置から他のいずれかのデータ通信装置を宛先として送信され、前記データ中継装置からデータ転送可能なネットワーク距離が表示ネットワーク距離として表示された送信データを受信するデータ受信部と、
前記送信データに表示された前記表示ネットワーク距離と、前記送信データの宛先とされた宛先データ通信装置の記憶ネットワーク距離とを比較し、比較結果に基づき前記表示ネットワーク距離及び前記宛先データ通信装置の記憶ネットワーク距離のいずれか一方の値を変更するネットワーク距離変更部と、
前記ネットワーク距離変更部により前記表示ネットワーク距離及び前記宛先通信装置の記憶ネットワーク距離のいずれか一方の値の変更が行われた後に、前記送信データを前記宛先データ通信装置に対して送信するデータ送信部とを有し、
前記ネットワーク距離変更部は、前記表示ネットワーク距離の値が前記宛先データ通信装置の記憶ネットワーク距離の値よりも小さい場合は、前記表示ネットワーク距離の値を前記宛先データ通信装置の記憶ネットワーク距離の値に変更し、前記宛先データ通信装置の記憶ネットワーク距離の値が前記表示ネットワーク距離の値よりも小さい場合は、前記宛先データ通信装置の記憶ネットワーク距離の値を前記表示ネットワーク距離の値に変更することを特徴とするデータ中継装置。 - 前記ネットワーク距離記憶部に記憶ネットワーク距離が記憶されていない新規のデータ通信装置を宛先とする送信データが前記データ受信部により受信された場合に、前記ネットワーク距離記憶部は、前記送信データに表示されたネットワーク距離を、前記新規のデータ通信装置の記憶ネットワーク距離として記憶することを特徴とする請求項１に記載のデータ中継装置。
- 前記ネットワーク距離記憶部は、前記記憶ネットワーク距離として前記データ中継装置からそれぞれのデータ通信装置までに必要なＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値を記憶し、
前記データ受信部は、前記表示ネットワーク距離としてＴＴＬ値が表示された送信データを受信し、
前記ネットワーク距離変更部は、前記送信データに表示された表示ＴＴＬ値と前記ネットワーク距離記憶部に記憶された前記宛先データ通信装置の記憶ＴＴＬ値とを比較し、比較結果に基づき前記表示ＴＴＬ値及び前記宛先データ通信装置の記憶ＴＴＬ値のいずれか一方の値を変更することを特徴とする請求項１に記載のデータ中継装置。 - 複数のデータ通信装置間のデータ通信を中継するデータ中継方法であって、
前記複数のデータ通信装置のそれぞれについて、前記データ中継方法からそれぞれのデータ通信装置までのネットワーク距離を記憶ネットワーク距離として記憶するネットワーク距離記憶ステップと、
いずれかのデータ通信装置から他のいずれかのデータ通信装置を宛先として送信され、前記データ中継方法からデータ転送可能なネットワーク距離が表示ネットワーク距離として表示された送信データを受信するデータ受信ステップと、
前記送信データに表示された前記表示ネットワーク距離と、前記送信データの宛先とされた宛先データ通信装置の記憶ネットワーク距離とを比較し、比較結果に基づき前記表示ネットワーク距離及び前記宛先データ通信装置の記憶ネットワーク距離のいずれか一方の値を変更するネットワーク距離変更ステップと、
前記ネットワーク距離変更ステップにより前記表示ネットワーク距離及び前記宛先通信装置の記憶ネットワーク距離のいずれか一方の値の変更が行われた後に、前記送信データを前記宛先データ通信装置に対して送信するデータ送信ステップとを有し、
前記ネットワーク距離変更ステップは、前記表示ネットワーク距離の値が前記宛先データ通信装置の記憶ネットワーク距離の値よりも小さい場合は、前記表示ネットワーク距離の値を前記宛先データ通信装置の記憶ネットワーク距離の値に変更し、前記宛先データ通信装置の記憶ネットワーク距離の値が前記表示ネットワーク距離の値よりも小さい場合は、前記宛先データ通信装置の記憶ネットワーク距離の値を前記表示ネットワーク距離の値に変更することを特徴とするデータ中継方法。 - 前記ネットワーク距離記憶ステップは、前記記憶ネットワーク距離として前記データ中継方法からそれぞれのデータ通信装置までに必要なＴＴＬ（Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）値を記憶し、
前記データ受信ステップは、前記表示ネットワーク距離としてＴＴＬ値が表示された送信データを受信し、
前記ネットワーク距離変更ステップは、前記送信データに表示された表示ＴＴＬ値と前記ネットワーク距離記憶ステップに記憶された前記宛先データ通信装置の記憶ＴＴＬ値とを比較し、比較結果に基づき前記表示ＴＴＬ値及び前記宛先データ通信装置の記憶ＴＴＬ値のいずれか一方の値を変更することを特徴とする請求項４に記載のデータ中継方法。 - 複数のデータ通信装置間のデータ通信を中継するデータ中継処理をデータ中継装置に実行させるためのデータ中継処理プログラムであって、
前記複数のデータ通信装置のそれぞれについて、前記データ中継装置からそれぞれのデータ通信装置までのネットワーク距離を記憶ネットワーク距離として記憶するネットワーク距離記憶処理と、
いずれかのデータ通信装置から他のいずれかのデータ通信装置を宛先として送信され、前記データ中継装置からデータ転送可能なネットワーク距離が表示ネットワーク距離として表示された送信データを受信するデータ受信処理と、
前記送信データに表示された前記表示ネットワーク距離と、前記送信データの宛先とされた宛先データ通信装置の記憶ネットワーク距離とを比較し、比較結果に基づき前記表示ネットワーク距離及び前記宛先データ通信装置の記憶ネットワーク距離のいずれか一方の値を変更する処理であって、前記表示ネットワーク距離の値が前記宛先データ通信装置の記憶ネットワーク距離の値よりも小さい場合は、前記表示ネットワーク距離の値を前記宛先データ通信装置の記憶ネットワーク距離の値に変更し、前記宛先データ通信装置の記憶ネットワーク距離の値が前記表示ネットワーク距離の値よりも小さい場合は、前記宛先データ通信装置の記憶ネットワーク距離の値を前記表示ネットワーク距離の値に変更するネットワーク距離変更処理と、
前記ネットワーク距離変更処理により前記表示ネットワーク距離及び前記宛先通信装置の記憶ネットワーク距離のいずれか一方の値の変更が行われた後に、前記送信データを前記宛先データ通信装置に対して送信するデータ送信処理とを前記データ中継装置に実行させるためのデータ中継処理プログラム。 - 複数のデータ通信装置間のデータ通信を中継するデータ中継処理をデータ中継装置に実行させるためのデータ中継処理プログラムを記録したコンピュータ読み取り可能な記録媒体であって、
前記複数のデータ通信装置のそれぞれについて、前記データ中継装置からそれぞれのデータ通信装置までのネットワーク距離を記憶ネットワーク距離として記憶するネットワーク距離記憶処理と、
いずれかのデータ通信装置から他のいずれかのデータ通信装置を宛先として送信され、前記データ中継装置からデータ転送可能なネットワーク距離が表示ネットワーク距離として表示された送信データを受信するデータ受信処理と、
前記送信データに表示された前記表示ネットワーク距離と、前記送信データの宛先とされた宛先データ通信装置の記憶ネットワーク距離とを比較し、比較結果に基づき前記表示ネットワーク距離及び前記宛先データ通信装置の記憶ネットワーク距離のいずれか一方の値を変更する処理であって、前記表示ネットワーク距離の値が前記宛先データ通信装置の 記憶ネットワーク距離の値よりも小さい場合は、前記表示ネットワーク距離の値を前記宛先データ通信装置の記憶ネットワーク距離の値に変更し、前記宛先データ通信装置の記憶ネットワーク距離の値が前記表示ネットワーク距離の値よりも小さい場合は、前記宛先データ通信装置の記憶ネットワーク距離の値を前記表示ネットワーク距離の値に変更するネットワーク距離変更処理と、
前記ネットワーク距離変更処理により前記表示ネットワーク距離及び前記宛先通信装置の記憶ネットワーク距離のいずれか一方の値の変更が行われた後に、前記送信データを前記宛先データ通信装置に対して送信するデータ送信処理とを前記データ中継装置に実行させるためのデータ中継処理プログラムを記録したコンピュータ読み取り可能な記録媒体。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001272867A JP3919488B2 (ja) | 2001-09-10 | 2001-09-10 | データ中継装置、データ中継方法、データ中継処理プログラム及びデータ中継処理プログラムを記録したコンピュータ読み取り可能な記録媒体 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001272867A JP3919488B2 (ja) | 2001-09-10 | 2001-09-10 | データ中継装置、データ中継方法、データ中継処理プログラム及びデータ中継処理プログラムを記録したコンピュータ読み取り可能な記録媒体 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2003087333A JP2003087333A (ja) | 2003-03-20 |
| JP3919488B2 true JP3919488B2 (ja) | 2007-05-23 |
Family
ID=19098165
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2001272867A Expired - Fee Related JP3919488B2 (ja) | 2001-09-10 | 2001-09-10 | データ中継装置、データ中継方法、データ中継処理プログラム及びデータ中継処理プログラムを記録したコンピュータ読み取り可能な記録媒体 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3919488B2 (ja) |
Families Citing this family (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP4649253B2 (ja) * | 2005-03-30 | 2011-03-09 | 株式会社野村総合研究所 | ログ取得プログラムおよび方法 |
| JP4551316B2 (ja) * | 2005-11-22 | 2010-09-29 | 日本電信電話株式会社 | 中継装置および中継装置用プログラム |
| JP4148526B2 (ja) | 2006-04-20 | 2008-09-10 | インターナショナル・ビジネス・マシーンズ・コーポレーション | ネットワークアドレス変換機器を検出する装置および方法。 |
-
2001
- 2001-09-10 JP JP2001272867A patent/JP3919488B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2003087333A (ja) | 2003-03-20 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4509955B2 (ja) | Ｖｐｎ通信検出方法及び装置 | |
| US7936743B2 (en) | Method and system for determining a path between two points of an IP network over which datagrams are transmitted | |
| CN113132342B (zh) | 方法、网络装置、隧道入口点装置及存储介质 | |
| EP2001165B1 (en) | Method and system for measuring network performance | |
| JP3225924B2 (ja) | 通信品質制御装置 | |
| EP2764662B1 (en) | Test traffic interceptor in a data network | |
| CN108111509B (zh) | 数据传输方法 | |
| US11943147B2 (en) | Method of determining passive round trip time, RTT, delay in a telecommunications system | |
| US20090316719A1 (en) | Method for managing mechanisms to enhance transmission of data streams in a tunnel, corresponding computer program product, storage medium and tunnel end-point | |
| CN101237468A (zh) | 中继装置、程序以及中继方法 | |
| JP2008098813A (ja) | 情報通信装置、情報通信方法、及びプログラム | |
| US20160156742A1 (en) | Relaying system and method of transmitting ip address of client to server using encapsulation protocol | |
| US20080192641A1 (en) | Automatic discovery of blocking access-list ID and match statements in a network | |
| Edeline et al. | A bottom-up investigation of the transport-layer ossification | |
| Simpson | TCP cookie transactions (TCPCT) | |
| Göhring et al. | Path mtu discovery considered harmful | |
| JP3919488B2 (ja) | データ中継装置、データ中継方法、データ中継処理プログラム及びデータ中継処理プログラムを記録したコンピュータ読み取り可能な記録媒体 | |
| Custura et al. | Reducing the acknowledgement frequency in IETF QUIC | |
| JP2003163681A (ja) | パケット転送装置、パケット転送方法およびプログラム | |
| JP3961415B2 (ja) | プロトコル不具合自動検出方法、及び、プロトコル不具合自動検出装置 | |
| Hoogstraaten | Evaluating server-side internet proxy detection methods | |
| JP2001358771A (ja) | 通信品質制御装置 | |
| CN113965338B (zh) | 内网穿透方法 | |
| Hinden et al. | RFC 9268: IPv6 Minimum Path MTU Hop-by-Hop Option | |
| Ekman | Automobile Control Systems: Transition from Controller Area Networks to Ethernets |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20040518 |
|
| RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20041019 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20050411 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20061206 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20061212 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20070123 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20070213 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20070213 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 Ref document number: 3919488 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100223 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110223 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120223 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130223 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130223 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20140223 Year of fee payment: 7 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| LAPS | Cancellation because of no payment of annual fees |