JP2012151689A - トラヒック情報収集装置、ネットワーク制御装置およびトラヒック情報収集方法 - Google Patents

Abstract

【課題】多量のトラヒックが流れる高速なネットワークにおいても攻撃トラヒックや過大トラヒックのような不適切なトラフィックを検出可能で、また、該トラヒックの遮断や帯域制御を自動的に行なえるネットワーク制御装置またはシステムにおいて、フロー情報検出・収集部１０７を搭載したネットワーク制御装置１００で利用者毎のネットワークにおけるフロー情報を監視・検出できる装置またはシステムを提供する。
【解決手段】利用者と利用者を特定するパケットの情報（例えばＶＬＡＮ）とを対応させるコンフィグと、コンフィグをもとにパケットを利用者毎に判別する利用者識別処理部１３０と、判別処理されたパケットのフロー情報を利用者毎に格納するテーブル１２２−１〜１２２−Ｎを所持したフロー情報検出・収集部によって、ネットワークのフロー情報を利用者毎に監視・検出する。
【選択図】図２

Description

本発明は、ネットワークで転送されるパケットの統計情報を収集するトラヒック情報収集装置、トラヒック情報収集機能を含むネットワーク制御装置およびトラヒック情報収集方法に関する。

インターネットやＬＡＮの利用が普及するとともに、それらトラヒックを中継するネットワークの安定した運用管理の重要性が増している。特にインターネットにおいては不特定多数のユーザが様々なアプリケーションを利用する。そのため、ネットワークの運用者の想定を上回る想定外トラヒックが発生する。ここで、想定外のトラヒックとは、具体的には、特定アプリによる過負荷トラヒック、攻撃およびネットワークワームの流布などの不正行為によるトラヒックである。しかし、大容量・高速のトラヒックの特徴把握をオンライン的に短期間でコストを抑えて行なうことは難しい。想定外のトラヒックをどのように監視・計測するか、そして安定した通信環境の維持・運用のために活用できるかが課題となっていた。

このような課題に対処するために、特許文献１は、インターネットのバックボーンネットワークなどの膨大なトラヒックが流れるネットワークにおいて、所定の特徴を持ち、大きな帯域を占有するトラヒックを高速に抽出するためにバスケット解析を応用したトラヒックの解析方法を開示している。ここで、バスケット解析とは、データマイニング手法の一つで、小売店等で一緒に買われることが多い商品の組み合わせを見つけるためのデータ解析である。特許文献１によれば、統計的にトラヒックの特徴情報を抽出する機能についてメモリ等の必要リソースを低減しつつ、パケット処理速度を向上させることができる。

また、特許文献２は、抽出したトラヒックの特徴情報から、トラヒックの特性を精度よく判定できる技術を開示する。ここで、トラヒックの特性とは、具体的には、ＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ Ｏｆ Ｓｅｒｖｉｃｅ）攻撃、ネットワークワームの拡散、Ｐ２Ｐファイル交換等である。

特開２００５−２８５０４８号公報 特開２００６−３１４０７７号公報

一つの物理的なネットワーク内に複数の仮想的な私設網を設定し統合的に運用するＶＰＮ（Virtual Private Network）において、私設網毎にトラヒックの特徴情報を安定的に収集したいというニーズがある。

しかし、ＶＰＮ網に特許文献１または特許文献２の技術を適用した場合、私設網毎に収集されるべきトラヒックの特徴情報を安定的に収集できない。これを、簡単に説明する。
まず、前提を説明する。企業ユーザ群Ａは、企業ルータＡに集約されており、企業ユーザ群Ｂは、企業ルータＢに集約されている。企業ルータＡと企業ルータＢは、ＶＰＮ網に接続されている。ＶＰＮ網のエッジルータにフロー情報検出・収集部が接続されている。エッジルータは、インターネットに接続されている。また、インターネットにＷｅｂサーバが接続されている。企業ユーザＡとＷｅｂサーバとのフロー量を１００、企業ユーザＢとＷｅｂサーバとのフロー量を１とする。

これらのフローを特許文献２の技術でフロー情報を収集した場合を、考える。特許文献２の技術では、その第１図の特定トラフィック検出・制御部１１７に示すようにフロー情報を格納するパケットカウントテーブル１１９が一つしかない。このため、フロー量の多いフロー情報が優先的にフロー情報テーブルに格納され、フロー量の少ないフロー情報はフロー情報テーブルに格納しきれずに廃棄されてしまう。

よって、Ｗｅｂサーバとのフロー量が多い企業ユーザ群Ａとフロー量の少ない企業ユーザ群Ｂとを同一装置でフロー収集した場合、企業ユーザ群Ａのフロー情報が企業ユーザ群Ｂのフロー情報を駆逐してしまう。

上記課題を解決するために、本発明は、特許文献２の技術に以下の（１）ないし（４）の機能を追加する。これらにより、フロー統計情報について、利用者毎のフロー監視および異常フローの検出を可能とする。
（１）ネットワークを流れるパケットの識別子から利用者を識別する。
（２）識別子と利用者を対応させるコンフィグ、およびコンフィグを保存する記憶部を備える。
（３）識別子と利用者を対応させるコンフィグから、利用者識別処理を行なう利用者識別処理部を備える。
（４）利用者毎にフロー情報を格納する複数のテーブルを備える。

上述した課題は、パケットの識別子と利用者識別情報とを対応させて保持する第１の記憶部と、利用者ごとのフローテーブルを保持する第２の記憶部と、転送されたパケットを保持する第１のバッファと、第１のバッファのパケットの識別子について、第１の記憶部を参照して、利用者識別情報を取得し、パケットとともに第２のバッファに格納する利用者識別処理部と、第２のバッファの利用者識別情報に基づくフローテーブルについて、パケットにかかるフロー情報を更新するフローテーブル更新部と、から構成されるトラヒック情報収集装置により、達成できる。

また、パケットを送受信するネットワークに接続され、トラヒック情報収集部とパケット転送処理部とから構成されたネットワーク制御装置において、パケット転送処理部は、受信したパケットをトラヒック情報収集部に送信し、トラヒック情報収集部は、パケットの識別子と利用者識別情報とを対応させて保持する第１の記憶部と、利用者ごとのフローテーブルを保持する第２の記憶部と、受信したパケットを保持する第１のバッファと、第１のバッファのパケットの識別子について、第１の記憶部を参照して、利用者識別情報を取得し、パケットとともに第２のバッファに格納する利用者識別処理部と、第２のバッファの利用者識別情報に基づくフローテーブルについて、パケットにかかるフロー情報を更新するフローテーブル更新部と、から構成されるネットワーク制御装置により、達成できる。

さらに、転送されたパケットを第１のバッファに格納するステップと、パケットの識別子から利用者識別情報を取得するステップと、パケットに利用者識別情報を付加して第２のバッファに格納するステップと、利用者識別情報に基づくフローテーブルのフロー情報を更新するステップと、からなるトラヒック情報収集方法により、達成できる。

本発明により、パケットの識別子を利用者毎に対応させ、利用者毎にフロー情報を解析するテーブルを保有し、利用者毎にフロー情報の解析処理を実施することにより、フロー量の少ない利用者であっても詳細なフローを検出することができる。

ネットワークの構成を説明するブロック図である。 フロー情報検出・収集部を搭載したネットワーク制御装置のブロック図である。 フロー情報検出・収集部に入力されるパケットフォーマットである。 利用者識別処理を説明するフローチャートである。 パケットカウントテーブルを説明する図である。 コンフィグ命令を説明する図である。

以下、本発明の実施の形態について、実施例を用い図面を参照しながら詳細に説明する。なお、実質同一部位には同じ参照番号を振り、説明は繰り返さない。
まず、図１を参照して、ネットワークの構成を説明する。図１において、ネットワーク１０００は、Ｗｅｂサーバ５００と、インターネット３００と、ＶＰＮ網２００と、ネットワーク制御装置１００と、企業ルータ４００と、企業ユーザ（端末）群６００とから構成される。

企業ユーザ群６００−Ａは、企業ルータ４００−Ａに集約されている。企業ユーザ群６００−Ｂは、企業ルータ４００−Ｂに集約されている。企業ルータ４００−Ａと企業ルータ４００−Ｂは、ＶＰＮ網２００に接続されている。ＶＰＮ網２００のインターネット側エッジにネットワーク制御装置１００が配置されている。ネットワーク制御装置１００は、インターネット３００に接続されている。また、インターネット３００にＷｅｂサーバ５００が接続されている。ネットワーク制御装置１００は、パケット転送処理部１０６とフロー情報検出・収集部１０７とから構成されている。パケット転送処理部１０６は、企業ユーザ群６００からのパケットをＷｅｂサーバ５００に転送する。パケット転送処理部１０６は、また、Ｗｅｂサーバ５００からのパケットを企業ユーザ群６００に転送する。フロー情報検出・収集部１０７は、パケット転送処理部１０６が転送するパケットを監視する。
ここで、企業ユーザ群６００−ＡとＷｅｂサーバ５００とのフロー量を１００、企業ユーザ群６００−ＢとＷｅｂサーバ５００とのフロー量を１とする。

図２を参照して、フロー情報検出・収集部１０７を搭載したネットワーク制御装置１００の構成を説明する。図２において、ネットワーク制御装置１００は、フロー情報検出・収集部１０７と、パケット転送処理部１０６と、接続インタフェース１０８とから構成されている。パケット転送処理部１０６は、ネットワーク８００からのパケットを他のネットワーク８００に転送する。フロー情報検出・収集部１０７は、パケット転送処理部１０６が転送するパケットを監視する。接続インタフェース１０８は、フロー情報検出・収集部１０７とパケット転送処理部１０６とを接続する。

ユーザインタフェース７００は、フロー情報検出・収集部１０７とパケット転送処理部１０６とに接続する。入出力装置７５０は、フロー情報検出・収集部１０７に接続する。ユーザインタフェース７００は、ネットワーク制御装置１００のコンフィグ情報を設定する。入出力装置７５０は、統計情報の出力と、データの絞り込み情報の入力に使用する。

パケット転送処理部１０６は、パケット送受信部１１１を含む。パケット送受信部１１１は、３つのネットワーク８００を接続する。ネットワーク８００は、区別するときネットワーク８００−ｉ（ｉ＝１〜３）と記載する。

フロー情報検出・収集部１０７は、内部バス１０２で相互接続されたＣＰＵ１１６と、利用者識別処理部１３０と、メモリ１１７と、利用者識別処理部１３０に接続されたコンフィグ記憶部１３２とから構成される。利用者識別処理部１３０は、パケットバッファ１３１を含む。メモリ１１７は、トラヒック情報バッファ１１８と、Ｎ式の利用者毎のフローテーブル１２２を保持する。フローテーブル１２２は、それぞれ制御ポリシテーブル１２１と、しきい値テーブル１２０と、パケットカウントテーブル１１９とから構成される。フローテーブル１２２は、区別するときフローテーブル１２２−ｊ（ｊ＝１〜Ｎ）と記載する。内部バス１０２は、ユーザインタフェース７００と、接続インタフェース１０８と、入出力装置７５０とをも接続する。なお、本明細書で利用者とは、ＶＰＮの契約者を意味する。

図３を参照して、フロー情報検出・収集部１０７に入力されるパケットフォーマットを説明する。図３において、入力されるパケット２５０は、ＤＭＡＣ２０１と、ＳＭＡＣ２０２と、ＶＬＡＮ−Ｔａｇ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ−Ｔａｇ）２０３と、Ｅｔｈｅｒ Ｔｙｐｅ２０４と、ＳＲＣ ＩＰ２０５と、ＤＳＴ ＩＰ２０６と、ＳＲＣ Ｐｏｒｔ２０７と、ＤＳＴ Ｐｏｒｔ２０８と、Ｐｒｏｔｏｃｏｌ２０９と、Ｄａｔａ２１０と、ＣＲＣ２１１とから構成される。

ＤＭＡＣ２０１は、宛先ＭＡＣアドレスである。ＳＭＡＣ２０２は、送信元ＭＡＣアドレスである。ＶＬＡＮ−Ｔａｇ２０３は、ＶＬＡＮを特定する。Ｅｔｈｅｒ Ｔｙｐｅ２０４は、Ｅｔｈｅｒの型である。ＳＲＣ ＩＰ２０５は、送信元ＩＰアドレスである。ＤＳＴ ＩＰ２０６は、宛先ＩＰアドレスである。ＳＲＣ Ｐｏｒｔ２０７は、送信元Ｐｏｒｔ番号である。ＤＳＴ Ｐｏｒｔ２０８は、宛先Ｐｏｒｔ番号である。Ｐｒｏｔｏｃｏｌ２０９は、ＹＣＰのプロトコルである。Ｄａｔａ２１０は、送信データである。ＣＲＣ２１１は、エラー検出用のコードである。

パケット２５０は、ネットワーク８００−１〜８００−３からパケット転送処理部１０６のパケット送受信部１１１に入力され、接続インタフェース１０８を経由し、利用者識別処理部１３０に転送される。

図４を参照して、フロー情報検出・収集部１０７の利用者識別処理を説明する。図４において、利用者識別処理部１３０は、コンフィグ記憶部１３２からＶＬＡＮ−Ｔａｇと利用者の対応付けの設定がされたコンフィグを読み込む（Ｓ３０２）。パケット転送処理部１０６は、ネットワーク８００−１〜８００−３から受信したパケットを接続インタフェース１０８経由で利用者識別処理部１３０に送信する（Ｓ３０３）。利用者識別処理部１３０は、パケット転送処理部１０６からのパケット２５０をパケットバッファ１３１に格納する（Ｓ３０４）。

利用者識別処理部１３０は、受信したパケットのＶＬＡＮ−Ｔａｇ２０３をコンフィグにもとづいて利用者との対応付けを行なう（Ｓ３０５）。利用者識別処理部１３０は、パケットに利用者識別情報を付加し、トラフィック情報バッファ１１８に送信する（Ｓ３０６）。ＣＰＵ１１６は、トラフィック情報バッファ１１８に受信したパケットの利用者識別情報をもとに利用者毎にフローテーブル１２２−１〜１２２−Ｎのいずれかのフロー情報を更新して（Ｓ３０７）、ステップ３０４に遷移する。
利用者毎に振り分けられたパケットについて、フロー情報検出・収集部１０７は、利用者毎のフローテーブル１２２−１〜１２２−Ｎに基づいて、フロー情報の解析を行なう。

図５を参照して、パケットカウントテーブルの構成を説明する。ここで、図５（ａ）は、企業ユーザ群６００−Ａのパケットカウントテーブル１１９−Ａ、図５（ｂ）は、企業ユーザ群６００−Ｂのパケットカウントテーブル１１９−Ｂである。図５において、パケットカウントテーブル１１９は、いずれもエントリ番号１０と、種類２０と、パケット数３０とから構成されている。種類２０は、さらにＶＬＡＮ２１と、ＳＲＣＩＰ２２と、値２３とから構成されている。

エントリ番号１０は、パケットカウントテーブル１１９のエントリ番号である。種類２０は、パケットを特定する。パケット数３０は、パケットのカウント数である。ＶＬＡＮ２１は、ＶＬＡＮ−Ｔａｇである。ＳＲＣＩＰ２２は、送信元のＩＰアドレスである。値２３は、パケットを特定する項目である。

図５（ａ）と図５（ｂ）の対比により、ユーザ群６００−Ｂのパケットカウントが企業ユーザ群６００−Ａのパケットカウントより、圧倒的に少ないことが分かる。しかし、フロー情報検出・収集部１０７は、フロー量の多い企業ユーザ群６００−Ａとフロー量の少ない企業ユーザ群６００−Ｂのネットワークが混在している場合でも、パケットカウントテーブル１１９−Ａと、パケットカウントテーブル１１９−Ｂとそれぞれ保有しているため、フロー量の少ない企業ユーザ群６００−Ｂのフロー情報を監視・検出することができる。

図６を参照して、コンフィグコマンドを説明するテーブルを説明する。コンフィグコマンドは、ユーザによりユーザインタフェース部７００よりコンフィグ記憶部１３２に入力される。図６において、テーブル５０は、コマンド５１と、説明５２とから構成される。”ａｆｍ ｖｌａｎ Ｔａ ｓｅｔ Ｎａ”は、Ｔａｇ名（Ｔａ）と利用者名（Ｎａ）を結び付ける。なお、ａｆｍは、ａｇｇｒｅｇａｔｅｄ ｆｌｏｗ ｍｉｎｉｎｇである。”ｓｈｏｗ ａｆｍ ｓｔａｔｕｓ ｖｌａｎ Ｔａ”は、ネットワークを使用／非使用、パケットを送信中か否かといったステータスを表示する。”ｓｈｏｗ ａｆｍ ｆｌｏｗ ｅｎｔｒｙ ｖｌａｎ Ｔａ”は、インターネットに接続された状態でのｆｌｏｗの量、エントリ数、内容を表示する。”ｓｈｏｗ ａｆｍ ｓｔａｔｉｓｔｉｃｓ ｖｌａｎ Ｔａ”は、累計でどれだけのパケットを送受信しているかとの統計情報を表示する。”ｃｌｅａｒ ａｆｍ ｖｌａｎ Ｔａ”は、統計情報のクリアである。”ａｆｍ ｅｎａｂｌｅ／ｄｉｓａｂｌｅ”は、ＡＦＭ機能の有効／無効である。”ａｆｍ ｃｏｌｌｅｃｔｏｒ ｉｐ ａｄｄｒｅｓｓ”は、入出力装置７５０のＩＰアドレスを設定する。”ａｆｍ ｃｏｌｌｅｃｔｏｒ ｐｏｒｔ”は、入出力装置７５０のポート番号を設定する。

本実施例によれば、パケットの識別子を利用者毎に対応させ、利用者毎にフロー情報を解析するテーブルを保有し、利用者毎にフロー情報の解析処理を実施することにより、フロー量の少ない利用者であっても詳細なフローを検出することができる。また、コンフィグによりパケットの識別子を利用者毎に対応させることで、ネットワーク構成や状況により自由に設定することができる。

なお、この発明は、上述した実施例に限られるものではなく、種々の態様において実施することが可能であり、次のような変形も可能である。
図２ではフロー情報検出・収集部１０７を搭載したネットワーク制御装置１００であるが、フロー情報検出・収集部１０７がネットワーク制御装置１００の外部に特定トラヒック検出・制御装置として接続されていてもよい。

利用者識別処理部１３０は、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅ Ｃｉｒｃｕｉｔ）またはＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）などの専用デバイスで行なってもよいし、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）などの汎用デバイスで同様の処理を行なってもよい。

利用者の識別方法は、ＶＬＡＮ−Ｔａｇに限らずＱｉｎＱ（ＩＥＥＥ８０２.１ｑ Ｔｕｎｎｅｌｉｎｇ）、ＥｏＥ（Ｅｔｈｅｒｎｅｔ（登録商標） Ｏｖｅｒ Ｅｔｈｅｒｎｅｔ）、ＭＰＬＳ（Ｍｕｌｔｉ Ｐｒｏｔｏｃｏｌ Ｌａｂｅｌ Ｓｗｉｔｃｈｉｎｇ）などパケットのヘッダ情報や、パケット内のある決められた範囲の情報などでもよい。
コンフィグ記憶部１３２は、フロー情報検出・収集部１０７の内部に限らず、データサーバなどの外部装置からコンフィグ情報を取得してもよい。

１００…ネットワーク制御装置、１０２…内部バス、１０６…パケット転送処理部、１０７…フロー情報検出・収集部、１０８…接続インタフェース、１１１…パケット送受信部、１１８…トラフィック情報バッファ、１１９…パケットカウントテーブル、１２０…しきい値テーブル、１２１…制御ポリシテーブル、１２２…フローテーブル、１３０…利用者識別処理部、１３１…パケットバッファ、１３２…コンフィグ記憶部、２００…ＩＳＰ−ＶＰＮ、２０１…ＤＭＡＣ部、２０２…ＳＭＡＣ部、２０３…ＶＬＡＮ−Ｔａｇ部、２０４…Ｅｔｈｅｒ Ｔｙｐｅ部、２０５…ＳＲＣ ＩＰ部、２０６…ＤＳＴ ＩＰ部、２０７…ＳＲＣ Ｐｏｒｔ部、２０８…ＤＳＴ Ｐｏｒｔ部、２０９…Ｐｒｏｔｏｃｏｌ部、２１０…Ｄａｔａ部、２１１…ＣＲＣ部、２５０…パケット、３００…インターネット、４００…企業ルータ、５００…Ｗｅｂサーバ、６００…企業ユーザ群、７００…ユーザインターフェース部、７５０…入出力装置、１０００…ネットワーク。

Claims (5)

1. パケットの識別子と利用者識別情報とを対応させて保持する第１の記憶部と、
   利用者ごとのフローテーブルを保持する第２の記憶部と、
   転送されたパケットを保持する第１のバッファと、
   前記第１のバッファの前記パケットの識別子について、前記第１の記憶部を参照して、利用者識別情報を取得し、前記パケットとともに第２のバッファに格納する利用者識別処理部と、
   前記第２のバッファの前記利用者識別情報に基づくフローテーブルについて、前記パケットにかかるフロー情報を更新するフローテーブル更新部と、から構成されることを特徴とするトラヒック情報収集装置。
2. 請求項１に記載のトラヒック情報収集装置であって、
   前記利用者識別処理部は、前記パケットの識別子と前記利用者識別情報との対応関係を前記第１の記憶部から、事前に読み込むことを特徴とするトラヒック情報収集装置。
3. 請求項１に記載のトラヒック情報収集装置であって、
   前記識別子は、前記パケットのヘッダ情報であることを特徴とするトラヒック情報収集装置。
4. パケットを送受信するネットワークに接続され、トラヒック情報収集部とパケット転送処理部とから構成されたネットワーク制御装置において、
   前記パケット転送処理部は、受信したパケットを前記トラヒック情報収集部に送信し、
   前記トラヒック情報収集部は、パケットの識別子と利用者識別情報とを対応させて保持する第１の記憶部と、利用者ごとのフローテーブルを保持する第２の記憶部と、受信した前記パケットを保持する第１のバッファと、前記第１のバッファの前記パケットの識別子について、前記第１の記憶部を参照して、利用者識別情報を取得し、前記パケットとともに第２のバッファに格納する利用者識別処理部と、前記第２のバッファの前記利用者識別情報に基づくフローテーブルについて、前記パケットにかかるフロー情報を更新するフローテーブル更新部と、から構成されることを特徴とするネットワーク制御装置。
5. 転送されたパケットを第１のバッファに格納するステップと、
   前記パケットの識別子から利用者識別情報を取得するステップと、
   前記パケットに前記利用者識別情報を付加して第２のバッファに格納するステップと、
   前記利用者識別情報に基づくフローテーブルのフロー情報を更新するステップと、からなるトラヒック情報収集方法。

Images