JP2004064694A

JP2004064694A - Load distribution method for packet collection in communication network, and its device

Info

Publication number: JP2004064694A
Application number: JP2002223872A
Authority: JP
Inventors: Hidekazu Tanno; 丹野　秀和; Yoshinaga Seki; 関　義長; Shinji Hasei; 長谷井　伸次
Original assignee: NEC Corp; NEC System Technologies Ltd
Current assignee: NEC Corp; NEC Solution Innovators Ltd
Priority date: 2002-07-31
Filing date: 2002-07-31
Publication date: 2004-02-26

Abstract

<P>PROBLEM TO BE SOLVED: To provide a load distribution method for packet collection in a communication network and its device capable of collecting and analyzing one of packets through the TCP (transmission control protocol) by only one packet collecting and analyzing device without generating errors in packets to be collected when performing load distribution, and without using the other packet collecting and analyzing device. <P>SOLUTION: Rules 211 to 21n for each identifying the packet are configured in the packet collecting and analyzing devices 201 to 20n, respectively. Each of the rules to be configured in respective devices has exclusive content, and each of the packets flowing through the network 13 is set to be matching any one of the rules. Each of the packets can be thus collected and analyzed by any one of the packet collecting and analyzing devices 201 to 20n without fail. <P>COPYRIGHT: (C)2004,JPO

Description

【０００１】
【発明の属する技術分野】
本発明は、通信ネットワークにおけるパケット収集の負荷分散方法及びその装置に関するものである。更に詳述すれば本発明は、負荷分散の際に収集するパケットに関して取りこぼしが発生せず、且つＴＣＰによる一連のパケットを複数台に跨ることなく一台のパケット収集分析装置で収集することができる通信ネットワークにおけるパケット収集の負荷分散方法及びその装置に関するものである。
【０００２】
【従来の技術】
インターネット等の通信ネットワーク内の通信状況を把握する手段として、ネットワーク内を流れているパケットを収集分析する手法が広く用いられている。従来、この手法はネットワーク内のトラフィックを調べるために用いられてきたが、近年、インターネットを介した不正な侵入が増えてくるに従い、収集したパケットを詳しく分析することにより不正な侵入を検知し、利用者に通知を行なうネットワーク侵入検知システムＮＩＤＳ（Ｎｅｔｗｏｒｋ　Ｉｎｔｒｕｓｉｏｎ　Ｄｅｔｅｃｔｉｏｎ　Ｓｙｓｔｅｍ）が利用されるようになってきた。
【０００３】
一方で、ネットワークの速度は年々高速化されており、基幹ネットワークにおいてはＧｂ（ギガビット）／ｓのオーダのネットワークが利用されることが多くなってきた。このような高速ネットワークにおいては、パケットの収集分析システムの処理能力の問題で、ネットワークを流れるすべてのパケットを収集して分析することが非常に困難になっている。
【０００４】
高速ネットワークのトラフィックを測定する際には、受信パケットを一定の割合で間引いて収集分析を行なうことで、分析結果より実トラフィックを推定することが可能であるが、ネットワーク侵入検知システムＮＩＤＳでは、受信パケットを間引くことで不正な侵入を見逃すことになりかねず、又ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ　Ｃｏｎｔｒｏｌ　Ｐｒｏｒｏｃｏｌ）での一連の通信に於いては、通信で用いられている複数のパケットより通信を復元して、不正な通信かどうかを検知するので、高速なネットワークにおいても全てのパケットを受信して分析する必要がある。
【０００５】
高速なネットワークにおいて、処理能力が十分ではないパケット収集分析装置を用いて全てのパケットを収集分析する解決策として、複数台のパケット収集分析装置をネットワークに接続して、パケット収集分析処理を負荷分散する方法がある。この方法では、ネットワークを流れるパケットを、複数台のパケット収集分析装置の内の何れか一台で処理を行なえば良いため、一台当たり−が処理するパケット数を減らすことができる。
【０００６】
上記の負荷分散に関連して、特開２０００−２９３４９６号公報には、（１）ネットワーク上で各種サービスを提供しているサーバの負荷を分散する、（２）ネットワーク上において各種サービスを効率良く提供する、という目的を達成するために以下の手段が開示されている。
【０００７】
第１の手段は、同種のサービス提供サーバが複数登録されたサービス提供サイトが端末からの求めに応じてサービス情報を提供するネットワークにおいて、前記サービス提供サーバの負荷を分散する装置であって、各サービス提供サーバの負荷状況を検出する負荷分散処理部と、サービス提供サーバの各ＩＰアドレスをサービス提供サイトのドメイン名に対応させて記憶するデータベースを備え、端末からドメイン名を指定してサービス情報の提供要求が受信されると、前記負荷分散処理部によって検出された各サービス提供サーバの負荷状況に基づいて、負荷が軽い方のサービス提供サーバのＩＰアドレスを当該端末に通知するＩＰアドレス通知手段である。
【０００８】
第２の手段は、上記第１の手段において、負荷分散処理部とＩＰアドレス通知手段とを各サービス提供サーバが接続されるルータ上に設け、かつ、サービス提供サーバのルータへの接続を検出すると、各サービス提供サーバに自動的にＩＰアドレスを割り当てた後、このＩＰアドレスをＩＰアドレス通知手段に通知するＩＰアドレス割当手段を備え、前記ＩＰアドレス通知手段は、このＩＰアドレス割当手段から通知されたＩＰアドレスを前記データベースに登録するという手段である。
【０００９】
そして、特開２００１−３４４２２７号公報には、ネットワーク内に分散している複数のリソース情報を階層的に監視し、リソース情報データベースを分散することと、ネットワーク内に分散している複数のリソース情報を監視する際の監視トラフィックを軽減することを目的として以下の手段が開示されている。
【００１０】
ネットワーク内に分散している複数のリソース情報を収集する階層型リソース監視システムであり、統括管理ステーションと、該統括管理ステーションにネットワークで接続された複数の分散管理ステーションを備え、前記各ステーションのそれぞれは、複数の管理ノードと、リソース情報データベースが接続され、設定された管理項目にしたがい該管理ノードからリソース情報を収集して該リソース情報データベースに格納するリソース情報収集手段と、ステーション間でのリソース情報の転送を行うリソース情報転送手段を備え、前記統括管理ステーションは、管理構成データベースが接続され、該管理構成データベースから各ステーションごとの管理項目を取得し、他のステーションに管理項目を転送し、自ステーションの前記リソース情報収集手段に管理項目を設定する統括管理構成制御手段を備え、前記分散管理ステーションは、統括管理構成制御手段から転送された管理項目を前記リソース情報収集手段に設定する分散管理構成制御手段を備えるようにしている。また、前記リソース情報転送手段は、他のステーションにリソース情報を要求して取得し、他のステーションからリソース情報の要求を受けたときリソース情報データベースを検索して要求されたリソース情報を該他のステーションに転送するようにしている。また、前記分散管理ステーションは、管理項目定義ファイルが接続され、前記分散管理構成制御手段は、前記統括管理構成制御手段から転送された管理項目を該管理項目定義ファイルに格納するようにしている。また、前記分散管理構成制御手段は、分散管理ステーションにおける管理項目が変更された場合、変更内容を前記統括管理構成制御手段に通知し、該統括管理構成制御手段は通知された変更内容を前記管理構成データベースに格納するようにしている。また、前記リソース情報転送手段は、他のステーションからリソース情報の要求に応じて、管理ノードの限定、リソースの種類の限定、リソース収集期間の限定、月平均または、週平均または、日平均による集約を行ってリソース情報を取得し、転送するようにしている。
【００１１】
又、特開２００２−９１９３６号公報には、サーバへのアクセス集中が突発的に発生した場合においても適切な負荷分散を実現でき、かつ、サーバ・システム全体を高い性能に保つことができる動的負荷分散を実現する負荷分散装置及び方法を実現すること、を目的として以下の手段が提供されている。
【００１２】
１）負荷分散装置において、クライアントからのサービス要求パケットのパケット・ヘッダを分析し、当該サービス要求パケットの要求内容に基づいてサーバで実行される処理負荷の大きさを負荷評価値として見積もる手段と、サーバ毎に過去一定時間における振り分けられたサービス要求パケットの負荷評価値の累計値を負荷状態値として保持する手段と、前記負荷状態値をもとにサービス要求を振り分けるサーバを決定する手段を提供する。
【００１３】
２）負荷分散装置において、クライアントからのサービス要求パケットのパケット・ヘッダより、要求するサービスの種類、要求するコンテンツ・データのサイズ、要求するコンテンツ・データを生成するための実行プログラムのうち、少なくとも一つを識別する手段と、これらの情報によりサーバで実行される処理負荷の大きさを負荷評価値として見積もる手段を提供する。
【００１４】
３）前記２）の負荷見積もりを実現するために、サーバ・システム稼動前、もしくは予備システムにおいて、サーバが提供可能な全サービス、全コンテンツ・データのアクセス要求を各サーバに対して行う手段と、前記要求に対する応答時間を測定する手段と、前記要求に基づいて各サーバが処理を実行する際のＣＰＵ負荷を測定する手段と、前記応答時間、ＣＰＵ負荷、及び、応答データのサイズにより、サービス要求データが各サーバに与える負荷の大きさを示す負荷評価値を求めるためのデータを生成する手段を提供する。
【００１５】
【発明が解決しようとする課題】
従来の技術には、以下に説明する問題点があった。
【００１６】
上記の開示されている手段・方法では、パケット収集を負荷分散する際に必要な次の条件を満たすものがなかった。
【００１７】
第一の条件は、負荷分散の際に、収集するパケットの取りこぼしが発生しないようにする必要があるという点である。それぞれのパケット収集分析装置が単純にパケットを間引いて収集するだけでは、パケットの取りこぼしが発生してしまう。更に、複数のパケット収集分析装置で二重に収集を行なってしまうということが発生するため、何らかの方法で複数のパケット収集分析装置が排他的にパケット収集を行なうように構成する必要がある。
第二の条件は、ＴＣＰ等、複数のパケットで一連の通信を実現している場合、それらのパケットは一台のパケット収集分析装置で処理する必要があるという点である。ＴＣＰによる一連の通信が複数のパケット収集分析装置に跨って収集されると、通信を復元することができず、不正侵入の検出等の処理が困難になってしまい問題である。
【００１８】
本発明は、以上の従来技術における問題点を鑑みてなされたものであって、その目的とするところは、上記の２つの条件を満たすパケット収集分析処理の負荷分散方法、つまり負荷分散の際に収集するパケットに関して取りこぼしが発生せず、且つＴＣＰによる一連のパケットを複数台に跨ることなく一台のパケット収集分析装置で収集することができる通信ネットワークにおけるパケット収集の負荷分散方法及びその装置を提供することにある。
【００１９】
【課題を解決するための手段】
前記課題を解決する本出願第一の発明の通信ネットワークにおけるパケット収集の負荷分散方法は、ネットワーク上を流れるパケットを、ルールを設定したパケット収集分析装置で収集し且つ前記ルールに基づいて分析することを特徴とするものである。
【００２０】
従って以上の本出願第一の発明の通信ネットワークにおけるパケット収集の負荷分散方法によれば、負荷分散の際に収集するパケットに関して取りこぼしが発生せず、且つＴＣＰによる一連のパケットを複数台に跨ることなく一台のパケット収集分析装置で収集することが可能となる。
【００２１】
前記課題を解決する本出願第二の発明の通信ネットワークにおけるパケット収集の負荷分散方法は、本出願第一の発明の通信ネットワークにおけるパケット収集の負荷分散方法に於いて、前記パケットは、該パケットの識別子情報と前記ルールとによって、前記パケット収集分析装置の何れか一台のみに収集分析されることを特徴とするものである。
【００２２】
従って以上の本出願第二の発明の通信ネットワークにおけるパケット収集の負荷分散方法によれば、負荷分散の際に収集するパケットに関して取りこぼしが発生せず、然も重複してパケットを収集することがない。
【００２３】
前記課題を解決する本出願第三の発明の通信ネットワークにおけるパケット収集の負荷分散方法は、本出願第一の発明の通信ネットワークにおけるパケット収集の負荷分散方法高速演算器に於いて、前記パケットの識別子情報と前記ルールとによって、一つのＴＣＰコネクションで用いられる複数のパケットは、全て、特定の一台のパケット収集分析装置に収集分析されることを特徴とするものである。
【００２４】
従って以上の本出願第三の発明の通信ネットワークにおけるパケット収集の負荷分散方法によれば、ＴＣＰによる一連のパケットを複数台に跨ることなく一台のパケット収集分析装置で収集することが可能となる。
【００２５】
前記課題を解決する本出願第四の発明の通信ネットワークにおけるパケット収集の負荷分散方法は、本出願第一乃至第三の発明の通信ネットワークにおけるパケット収集の負荷分散方法に於いて、前記パケット収集分析装置は、ネットワーク侵入検知システムであることを特徴とするものである。
【００２６】
従って以上の本出願第四の発明の通信ネットワークにおけるパケット収集の負荷分散方法によれば、収集したパケットを分析することにより、ネットワークへの不正侵入を検知することができる。
【００２７】
前記課題を解決する本出願第五の発明の通信ネットワークにおけるパケット収集の負荷分散方法は、本出願第四の発明の通信ネットワークにおけるパケット収集の負荷分散方法に於いて、前記ネットワーク侵入検知システムは、パケット受信部とルールとルール判別部と不正侵入検知部とから構成されることを特徴とするものである。
【００２８】
従って以上の本出願第五の発明の通信ネットワークにおけるパケット収集の負荷分散方法によれば、収集したパケットをルールに従って判別でき、ルールにマッチしたパケットだけを不正侵入検知部で検知することが可能となる。
【００２９】
前記課題を解決する本出願第六の発明の通信ネットワークにおけるパケット収集の負荷分散方法は、本出願第一乃至第三及び第五の発明の通信ネットワークにおけるパケット収集の負荷分散方法に於いて、前記ルールは、送信元ＩＰアドレスと、送信先ＩＰアドレスとによって設定されていることを特徴とするものである。
【００３０】
従って以上の本出願第六の発明の通信ネットワークにおけるパケット収集の負荷分散方法によれば、負荷分散の際に収集するパケットに関して取りこぼしが発生せず、且つＴＣＰによる一連のパケットを複数台に跨ることなく一台のパケット収集分析装置で収集することが可能となる。
【００３１】
前記課題を解決する本出願第七の発明の通信ネットワークにおけるパケット収集の負荷分散方法は、本出願第一乃至第三及び第五の発明の通信ネットワークにおけるパケット収集の負荷分散方法に於いて、前記ルールは、送信元ＩＰアドレスと送信先ＩＰアドレスと送信元ポートと送信先ポートとにより設定されていることを特徴とするものである。
【００３２】
従って以上の本出願第七の発明の通信ネットワークにおけるパケット収集の負荷分散方法によれば、特定のホストに通信が集中するようなネットワークで、特定のホストの通信を負荷分散して、パケットの収集分析を行なうことが可能となる。
【００３３】
前記課題を解決する本出願第八の発明の通信ネットワークにおけるパケット収集の負荷分散方法は、本出願第一の発明の通信ネットワークにおけるパケット収集の負荷分散方法に於いて、前記ルールを前記パケット収集分析装置から独立してルール判別装置として前記パケット収集分析装置の前段に設置してルール判別を行なうようにしたことを特徴とするするものである。
【００３４】
従って以上の本出願第八の発明の通信ネットワークにおけるパケット収集の負荷分散方法によれば、既存のパケット収集分析システムの構成を大幅に変更することなく、パケットの収集分析処理を行なうことが可能となる。
【００３５】
前記課題を解決する本出願第九の発明の通信ネットワークにおけるパケット収集の負荷分散装置は、ネットワークに接続し、該ネットワーク上を流れるパケットを収集分析するパケット収集分析装置であって、該パケット収集分析装置はネットワーク侵入検知システムであることを特徴とするものである。
【００３６】
従って以上の本出願第九の発明の通信ネットワークにおけるパケット収集の負荷分散装置によれば、ネットワーク上を流れるパケットをネットワーク侵入検知システムで収集分析することが可能となる。
【００３７】
前記課題を解決する本出願第十の発明の通信ネットワークにおけるパケット収集の負荷分散装置は、本出願第九の発明の通信ネットワークにおけるパケット収集の負荷分散装置に於いて、前記ネットワーク侵入検知システムは、パケット受信部と、ルール判定部と、不正侵入検知部と、ルールとから構成され、前記パケット受信部で受信した前記パケットは、該パケットの識別子情報と前記ルールとにより前記ルール判別部で判別され、前記ルールに一致する場合には前記パケットを前記不正侵入検知部に渡し、前記ルールに一致しない場合には前記パケットを破棄するように構成したことを特徴とするものである。
【００３８】
従って以上の本出願第十の発明の通信ネットワークにおけるパケット収集の負荷分散装置によれは、負荷分散の際に収集するパケットに関して取りこぼしが発生せず、且つＴＣＰによる一連のパケットを複数台に跨ることなく一台のネットワーク侵入検知ッシステムで収集することが可能となる。
【００３９】
前記課題を解決する本出願第十一の発明の通信ネットワークにおけるパケット収集の負荷分散装置は、本出願第九の発明の通信ネットワークにおけるパケット収集の負荷分散装置に於いて、前記ルールは、送信元ＩＰアドレスと送信先ＩＰアドレス、又は前記送信元ＩＰアドレスと前記送信先ＩＰアドレストと送信元ポートと送信先ポートとにより設定されていることを特徴とするものである。
【００４０】
従って以上の本出願第十一の通信ネットワークにおけるパケット収集の負荷分散装置によれば、特定のホストに通信が集中するようなネットワークで、特定のホストの通信を負荷分散して、且つ既存のパケット収集分析システムの構成を大幅に変更することなく、パケットの収集分析処理を行なうことが可能となる。
【００４１】
本出願第十二の発明の通信ネットワークにおけるパケット収集の負荷分散方法をコンピュータで実行するためのプログラムは、ネットワーク上を流れるパケットを、ルールを設定したパケット収集分析装置で収集し且つ前記ルールに基づいて分析する通信ネットワークにおけるパケット収集の負荷分散方法を実行可能にしたので、本出願の発明の通信ネットワークにおけるパケット収集の負荷分散方法を効率良くコンピュータで実行することができる。
【００４２】
本出願第十三の発明の通信ネットワークにおけるパケット収集の負荷分散方法をコンピュータで実行するためのプログラムを記録したコンピュータ読み取り可能な記録媒体は、ネットワーク上を流れるパケットを、ルールを設定したパケット収集分析装置で収集し且つ前記ルールに基づいて分析する通信ネットワークにおけるパケット収集の負荷分散方法をコンピュータで実行するためのプログラムをコンピュータに読み取り効率良く実行することができる。
【００４３】
【発明の実施の形態】
本発明の実施の形態を説明する。本発明の通信ネットワークにおけるパケット収集の負荷分散方法は、インターネットなどパケットを用いた通信ネットワークで利用されるネットワークトラフィック測定システムやネットワーク侵入検知システムなどにおける通信パケットの収集動作において、パケットに含まれている識別子情報を用いて、あらかじめ決めておいたルールに従って、パケットのグループ化を行ない、それぞれ異なるグループのパケットのみを収集する装置を複数台設置することで、パケット収集処理の負荷分散を行ない、高速なネットワークにおいてもパケットを取りこぼさずにパケットの収集を可能にする方式を提供するものである。
【００４４】
図１は、本発明の通信ネットワークにおけるパケット収集の負荷分散方法及びその装置の、実施の形態を示す概略構成図である。インターネット１１と内部ネットワーク１２とは、ルータ１０１とルータ１０２とを介してネットワーク１３で接続されている。
【００４５】
ネットワーク１３を流れるパケットの収集は、複数台のパケット収集分析装置２０１〜２０ｎで行なう。パケット収集分析装置２０１〜２０ｎには、予めパケット収集の際に用いるルール２１１〜２１ｎが設定されている。ルール２１１〜２１ｎは、通信パケットのグループ化に用い、パケットに記録されている識別子によって、パケットはルール２１１〜２１ｎのどれか一つに必ず分類されるように、又一連の通信で用いられる複数のパケットは同じグループに分類されるように、適宜設定されている。
【００４６】
パケット収集分析装置２０１〜２０ｎは、ネットワーク１３を流れるパケットを一旦受信し、受信したパケットがパケット収集分析装置に設定されているルール２１１〜２１ｎを満たしているかどうかを調べる。ルールを満たしている場合は、受信したパケットの収集分析処理を行なうが、ルールを満たしていない場合は、受信したパケットを破棄する。
【００４７】
受信したパケットは、ルール２１１〜２１ｎの内の何れか一つを必ず満たすように設定されているため、受信したパケットを収集分析するのは、常にパケット収集分析装置２０１〜２０ｎの内の何れか一台になる。これにより、パケット収集処理の負荷分散が可能になる。
【００４８】
【実施例】
図２は、本発明の通信ネットワークにおけるパケット収集の負荷分散方法の第一実施例を示す概略構成図である。第一実施例は、インターネット１１と内部ネットワーク１２とを接続するネットワーク１３上を流れるＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）パケットを収集して、インターネットからの不正な侵入を検知する構成例であり、インターネット１１とネットワーク１３とを接続するルータ１０１と、ネットワーク１３と内部ネットワーク１２とを接続するルータ１０２と、ネットワーク１３を流れるパケットを収集して不正な侵入を検知するネットワーク侵入検知システム２０１’〜２０ｎ’とから構成されている。尚、ネットワーク侵入検知システム２０１’〜２０ｎ’は、ルータ１０１とルータ１０２の間を流れるパケットが全て受信できるようにネットワーク１３に接続されている。
【００４９】
図３は、ネットワーク侵入検知システム２０１’〜２０ｎ’単体の概略内部構成図である。パケット受信部２２ｎはネットワーク１３を流れるパケットを受信して、その後に受信パケットをルール判別部２３ｎに渡す。ルール判別部２３ｎはパケット受信部２２ｎより受信パケットを受け取り、受信パケットに含まれる識別子がルール２１ｎを満たしているかどうかを判別し、ルールを満たしたパケットのみを不正侵入検知部２４ｎに渡す。不正侵入検知部２４ｎはルール判別部２３ｎより受け取ったパケットを分析し、不正侵入を検知する。尚、不正侵入検知部２４ｎは、従来のネットワーク侵入検知システムと同等の構成のものである。
【００５０】
次に、図２および図３を参照して本実施例の全体の動作について詳細に説明する。まず、図２において、インターネット１１と内部ネットワーク１２との間の通信が発生すると、ルータ１０１とルータ１０２とを介してネットワーク１３にパケットが流れ、そのパケットデータはネットワーク侵入検知システム２０１’〜２０ｎ’の全てにおいて受信される。ネットワーク侵入検知システム２０１’〜２０ｎ’は、設定されているルール２１１〜２１ｎの内容以外は全て同じ構成であるので、以降、図３を参照して、ネットワーク侵入検知システム２０ｎ’の動作について説明する。
【００５１】
図３において、ネットワーク侵入検知システム２０ｎ’に受信されたパケットデータは、まずパケット受信部２２ｎに入力され、パケットデータをそのままルール判別部２３ｎに渡す。ルール判別部２３ｎでは、パケット受信部２２ｎよりパケットデータを受け取ると、ルール２１ｎを参照して、パケットデータに含まれている識別子がルール２１ｎに設定されているルールとマッチしているかどうかを判別する。ルール２１ｎには複数のルール（サブルール）を設定することが可能であり、複数のサブルールが設定されている場合は、ルール判別部２３ｎは複数のサブルールの内の何れか一つのサブルールにパケットデータの識別子が一致しているかどうかを判別する。
【００５２】
ルール判別部２３ｎは、ルール判別を行ない、パケットデータがルール２１ｎに設定されているルールに一致している場合のみ、パケットデータを不正侵入検知部２４ｎに渡し、ルールに一致していない場合は破棄する。このようにして受信したパケットデータに対する処理を終了する。不正侵入検知部２４ｎでは、ルール判別部２３ｎからルールに一致したパケットデータのみを受け取り、受け取ったパケットデータを用いて不正侵入が行なわれているかどうかを検知する。
【００５３】
図４は、ルール２１１〜２１ｎの設定例についての説明図である。図４を参照して、ネットワーク侵入検知システム２０１’〜２０ｎ’に設定されているルール２１１〜２１ｎについて詳細に説明する。侵入検知の処理を複数のネットワーク侵入検知システムで適切に負荷分散するため、ネットワーク１３を流れるパケットは、ネットワーク侵入検出システム２０１’〜２０ｎ’の内の何れか一つで必ず処理されるようにしなければならない。又、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ　Ｃｏｎｔｒｏｌ　Ｐｒｏｔｏｃｏｌ）を用いた通信の場合、通信ホスト間でコネクションを生成して、複数のパケットにより通信が行なわれるが、侵入検知を行う際には、一つのコネクションによる通信のパケットをまとめて処理を行なう必要があるため、ＴＣＰによる通信の侵入検出処理を負荷分散する場合、一つのＴＣＰコネクションで用いられているパケットが一つのネットワーク侵入検出システムで纏めて処理される必要がある。そのために、ルールを設定するに当たり以下の条件を満たす必要がある。
【００５４】
（１）受信したパケットの識別子は、ルール２１１〜２１ｎの何れか一つに必ず一致すること。
（２）一つのＴＣＰコネクションで用いられている複数のパケットの識別子は、同じルールに一致すること。
【００５５】
図４に示したルール２１１〜２１ｎの設定例は、上記の条件を満たしたものである。この設定例では、ＩＰアドレスを識別子として用いており、内部ネットワークで利用されているアドレスの範囲によりグループ分けを行なっている。又、１つのルールは、更に２つのサブルールａ、ｂで構成されている。２つのサブルールａ、ｂを用いて、内部ネットワークアドレスが送信元アドレス、送信先アドレスのどちらの場合でも同じルールに分類されるようになっている。尚、本実施例ではＩＰパケットをパケットの識別子として用いたが、通信を適切に分類できる識別子であれば、どのような識別子を用いても構わない。
【００５６】
次に、具体例を用いて第一実施例の動作を更に説明する。図５は、第一実施例に係わり、具体例を説明する概略構成図である。この具体例において、内部ネットワーク１２は、ネットワークアドレスが１１．１１．１０．０、１１．１１．１１．０、１１．１１．１２．０、１１．１１．１３．０で、ネットマスクはそれぞれ２５５．２５５．２５５．０である４つのネットワークで構成されており、それらのネットワークがルータ１０２に接続されているものとする。
【００５７】
又、ネットワーク侵入検出システムは２０１’〜２０４’の４台を設置し、ネットワーク侵入検出システム２０１’には、図６のルール２１１が設定されているものとする。同様にネットワーク侵入検出システム２０２’にはルール２１２が、ネットワーク侵入検出システム２０３’にはルール２１３が、ネットワーク侵入検出システム２１４’にはルール２１４が設定されているものとする。
【００５８】
図７に示すＩＰアドレスのパケットが、番号順にネットワーク１３に流れた場合について説明する。まず番号１のパケットがネットワーク１３に流れると、ネットワーク侵入検出システム２０１’〜２０４’の全てでパケットデータが受信される。即ち、番号１のパケットは、ネットワーク侵入検出システム２０１’〜２０４’で受信され、以下に示すようにそれぞれのネットワーク侵入検出システム内でルール判定が行なわれる。つまり、パケットデータはネットワーク侵入検出システム内部のパケット受信部２２１〜２２４で受信され、ルール判別部２３１〜２３４に渡され、次いでルール判別部ではルール２１１〜２１４と比較が行なわれ、パケットデータのＩＰアドレスがどのルールにマッチするか比較される。
【００５９】
図６より、図７の番号１のパケットは、ルール２１１のサブルールａにマッチすることが分かる。このため、ルール判別部２３１でのみパケットデータを不正侵入検知部２４１に渡し、ルール判別部２３２〜２３４ではパケットデータは破棄される。以上の動作により、図７の番号１のパケットはネットワーク侵入検出システム２０１’で処理される。
【００６０】
同様に、図７の番号４、番号７、番号９のパケットは、番号１のパケットと送信元、送信先のＩＰアドレスが同一なので、ルール２１１のサブルールａにマッチし、番号１のパケットと同様にネットワーク侵入検出システム２０１’で処理される。番号２、番号５番号８のパケットは送信元、送信先ＩＰアドレスが同一であり、ルール２１１のサブルールｂにマッチするため、ネットワーク侵入検出システム２０１’で処理される。番号１、４、７、９のパケットのＩＰアドレスと、番号２、５、８のパケットのＩＰアドレスは、送信元と送信先の関係が逆転しているが、どちらもルール２１１にマッチしているのでネットワーク侵入検出システム２０１’で処理される。
【００６１】
番号３のパケットはルール２１３のサブルールａにマッチするため、ネットワーク侵入検出システム２０３’で処理される。番号６のパケットはルール２１４のサブルールｂにマッチするため、ネットワーク侵入検出システム２０４’で処理される。番号１０のパケットはルール２１３のサブルールｂにマッチするため、ネットワーク侵入検出システム２０３’で処理される。
【００６２】
以上のように、内部ネットワークのアドレスによりパケットの処理を行なうネットワーク侵入検出システムが一意に決定され、侵入検出処理が分散化されることとなる。
【００６３】
以上で説明したように、実施例によれば、以下の第１、第２、及び第３の効果を発揮する。
【００６４】
第１の効果は、パケットの収集分析を行なう処理を、複数のパケット収集分析装置に負荷分散することで、高速なネットワークにおいても、パケットを取りこぼすことなく、ネットワークを流れる全てのパケットを対象とした収集分析が可能となる。
【００６５】
その理由は、パケット収集分析装置にそれぞれ設定し分析を行なうパケットを判別するルールに関して、それぞれの装置に設定するルールはそれぞれ排他的な内容とし、更にネットワークを流れるパケットは設定されたルールの何れか１つに必ずマッチするように設定し、パケットは必ず複数のパケット収集分析装置の何れか一台で分析されるように構成したためである。
【００６６】
第２の効果は、既存のパケット収集分析システムの構成を大幅に変更することなく、パケットの収集分析処理を負荷分散できることにある。
【００６７】
その理由は、既存のパケット収集分析システムにパケットデータを入力する前に、本発明によって処理を行なうパケットデータの選別を行なうことで負荷分散を実現しているためである。例えば図３を参照すると、既存のパケット収集分析システムは図３の不正侵入検知部２４ｎに相当し、不正侵入検知部２４ｎへの入力をルール判別部２３ｎとルール２１ｎとで選別して行なう構成となっている。そのため、不正侵入検知部２４ｎには既存のネットワーク不正侵入システムを適用することが可能である。
【００６８】
第３の効果は、パケットの収集分析処理を行なう際に、パケットの収集分析を行なう複数の装置間で処理の同期を行なったり、情報のやり取りを行なうことなく負荷分散できることにある。
【００６９】
その理由は、各パケット収集分析装置において、あらかじめ装置間で排他的になるように設定したルールを用いてパケットを選別することで処理の負荷分散を実現しているためである。
【００７０】
次に、本発明の第二実施例について図面を参照して詳細に説明する。図８は、本発明の通信ネットワークにおけるパケット収集の負荷分散方法の第二実施例を示した概略構成図である。
【００７１】
図８を参照すると、第二実施例では、パケット収集分析装置内にルールを備えずに、ルールを設定していないパケット収集分析装置がネットワーク１３とルール判別部３０１〜３０ｎを介して接続されている点が、第一実施例と異なる。第二実施例では、図３のパケット受信部２２ｎ、ルール判別部２３ｎ、ルール２１ｎをルール判別装置として取り出したものであり、既存のパケット収集分析装置を用いて本発明の負荷分散を実現する実施例である。
【００７２】
第二実施例の動作は、第一実施例の動作とほぼ同じである。図３における不正侵入検知部２４ｎが第二実施例ではパケット収集分析装置２０ｎに相当し、図２及び図３の第一実施例ではルール判別部２３ｎの出力が装置内部で不正侵入検知部２４ｎに渡されるが、第二実施例ではルール判別部２３ｎの出力はルール判別装置３０１〜３０ｎから出力され、パケット収集分析装置２０１〜２０ｎに渡される。内部構成が多少異なるだけであるので、達成される効果は第一実施例と全く同様である。
【００７３】
次に、本発明の第三実施例について図面を参照して詳細に説明する。図９は、本発明の通信ネットワークにおけるパケット収集の負荷分散方法の第三の実施例に係わり、ルール設定例についての説明図である。
【００７４】
第三実施例では、５台の装置に負荷分散を行ない、特定のホストに通信が集中するようなネットワークで、負荷分散を行なうためにどのようにルールを設定したら良いか、そのルール設定の一例を示している。第三実施例では、特定のホストへの通信を分散して収集するために、ＩＰアドレスの他にＴＣＰＰ、ＵＤＰ（Ｕｓｅｒ　Ｄａｔａｇｒａｍ　Ｐｒｏｔｏｃｏｌ）の通信で使用されるポート番号をも用いてルールを設定している。
【００７５】
５つのルールのうち、ルール２１１〜ルール２１４に通信が集中するホスト１１．１１．１０．１のＴＣＰ、ＵＤＰの通信がマッチするように設定し、その他の通信はルール２１５にマッチするように設定している。特定のホストに通信が集中する場合、通常は特定のホストの特定のポート番号（例えばＷＷＷサーバであればポート番号８０）に通信が集中するため、ルール２１１〜ルール２１４では、送信元ＩＰアドレスと送信先ポートを組み合わせて（或いは送信先ＩＰアドレスと送信元ポートを組み合わせて）ルールを設定している。
【００７６】
ＴＣＰの通信の場合は、一連の通信は同じパケット収集分析装置で処理されることが望ましいため、一連の通信は同じルールにマッチする必要があるが、ＴＣＰによる一連の通信ではポート番号は変更されないので、ルール２１１〜ルール２１４において、一連の通信で利用されているパケットは同じルールにマッチすることになる。このように設定することで、特定のホストの通信を負荷分散してパケットの収集分析を行なうことが可能となる。
【００７７】
【発明の効果】
本発明の通信ネットワークにおけるパケット収集の負荷分散方法によれば、パケット収集分析装置に、パケットを判別するルールを設定し、それぞれの装置に設定するルールはそれぞれ排他的な内容とし、且つネットワークを流れるパケットは設定されたルールの何れか１つに必ずマッチするように設定したので、以下のような優れた効果を発揮する。
（１）高速なネットワークにおいても、パケットの取りこぼすことなく、ネットワークを流れるすべてのパケットを対象とした収集分析が可能となる。
（２）ＴＣＰによる一連のパケットを複数台に跨ることなく一台のパケット収集分析装置で収集することができる。
（３）既存のパケット収集分析システムの構成を大幅に変更することなく、パケットの収集分析処理を負荷分散できる。
（４）パケットの収集分析処理を行なう際に、パケットの収集分析を行なう複数の装置間で処理の同期を行なったり、情報のやり取りを行なうことなく負荷分散できる。
【図面の簡単な説明】
【図１】本発明の通信ネットワークにおけるパケット収集の負荷分散方法の実施の形態を示す概略構成図である。
【図２】本発明の通信ネットワークにおけるパケット収集の負荷分散方法の第一実施例を示す概略構成図である。
【図３】図２のネットワーク侵入検知システムの概略内部構成図である。
【図４】本発明の通信ネットワークにおけるパケット収集の負荷分散方法の第一実施例に係わり、ルールの設定例についての説明図である。
【図５】本発明の通信ネットワークにおけるパケット収集の負荷分散方法の第一実施例に係わり、具体例を説明する概略構成図である。
【図６】図５の具体例に係わり、ルールの設定例についての説明図である。
【図７】図５の具体例に係わり、ＩＰアドレスについての説明図である。
【図８】本発明の通信ネットワークにおけるパケット収集の負荷分散方法の第二実施例を示す概略構成図である。
【図９】本発明の通信ネットワークにおけるパケット収集の負荷分散方法の第三実施例に係わり、ルールの設定例についての説明図である。
【符号の説明】
１１　　インターネット
１２　　内部ネットワーク
１３　　ネットワーク
１０１、１０２　　ルータ
２０１、２０２、・・・２０ｎ　　パケット収集分析装置
２０１’、２０２’、・・・２０ｎ’　　ネットワーク侵入検知システム
２１１、２１２、・・・２１ｎ　　ルール
２２１、２２２、・・・２２ｎ　　パケット受信部
２３１、２３２、・・・２３ｎ　　ルール判別部
２４１、２４２、・・・２４ｎ　　不正侵入検知部
３０１、３０２、・・・３０ｎ　　ルール判別装置
ＩＰ　　Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ
ＴＣＰ　　Ｔｒａｎｓｍｉｓｓｉｏｎ　Ｃｏｎｔｒｏｌ　Ｐｒｏｔｏｃｏｌ
ＵＤＰ　　Ｕｓｅｒ　Ｄａｔａｇｒａｍ　Ｐｒｏｔｏｃｏｌ
ＷＷＷ　　Ｗｏｒｌｄ　Ｗｉｄｅ　Ｗｅｂ[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to a load distribution method and apparatus for packet collection in a communication network. More specifically, according to the present invention, a single packet collection / analysis device can prevent a packet to be collected at the time of load distribution from being missed, and a series of packets by TCP without straddling a plurality of packets. The present invention relates to a load distribution method and apparatus for packet collection in a communication network.
[0002]
[Prior art]
As a means for grasping the communication status in a communication network such as the Internet, a method of collecting and analyzing packets flowing in the network is widely used. Traditionally, this method has been used to examine traffic in the network, but in recent years, as the number of unauthorized intrusions via the Internet has increased, fraudulent intrusions have been detected by analyzing the collected packets in detail, A network intrusion detection system NIDS (Network Intrusion Detection System) for notifying users has been used.
[0003]
On the other hand, the speed of networks is increasing year by year, and networks of the order of Gb (gigabit) / s are often used in backbone networks. In such a high-speed network, it is very difficult to collect and analyze all packets flowing through the network due to the problem of the processing capability of the packet collection and analysis system.
[0004]
When measuring high-speed network traffic, actual traffic can be estimated from the analysis result by thinning out received packets at a fixed rate and performing collection analysis. However, the network intrusion detection system NIDS does not By thinning out the packets, an unauthorized intrusion may be overlooked. In a series of communication by TCP (Transmission Control Protocol), the communication is restored from a plurality of packets used in the communication, and the illegal intrusion is restored. It is necessary to receive and analyze all packets even in a high-speed network because it detects whether the communication is appropriate.
[0005]
In a high-speed network, as a solution to collect and analyze all packets using a packet collection and analysis device with insufficient processing capacity, connect multiple packet collection and analysis devices to the network and distribute the load of the packet collection and analysis process. There is a way to do that. According to this method, any one of a plurality of packet collection / analysis devices may process a packet flowing through the network, so that the number of packets processed per − can be reduced.
[0006]
In connection with the above load distribution, Japanese Patent Application Laid-Open No. 2000-293496 discloses that (1) distribute the load of a server providing various services on a network, and (2) efficiently distribute various services on a network. In order to achieve the purpose of providing, the following means are disclosed.
[0007]
A first means is an apparatus for distributing the load of the service providing server in a network in which a service providing site in which a plurality of service providing servers of the same type are registered provides service information in response to a request from a terminal, A load distribution processing unit for detecting a load state of the service providing server; and a database for storing each IP address of the service providing server in association with a domain name of the service providing site. When the provision request is received, based on the load status of each service providing server detected by the load distribution processing unit, the IP address notifying means for notifying the terminal of the IP address of the service providing server with a lighter load to the terminal. is there.
[0008]
The second means is that, in the first means, the load distribution processing unit and the IP address notifying means are provided on a router to which each service providing server is connected, and when the connection of the service providing server to the router is detected. Automatically assigning an IP address to each service providing server, and then notifying the IP address to an IP address notifying unit, wherein the IP address notifying unit is notified by the IP address notifying unit. This is a means for registering an IP address in the database.
[0009]
Japanese Patent Application Laid-Open No. 2001-344227 discloses that a plurality of resource information distributed in a network are hierarchically monitored, a resource information database is distributed, and a plurality of resource information distributed in the network are distributed. The following means are disclosed for the purpose of reducing the monitoring traffic when monitoring the traffic.
[0010]
A hierarchical resource monitoring system that collects information on a plurality of resources distributed in a network, comprising a central management station, and a plurality of distributed management stations connected to the central management station via a network. A plurality of management nodes, a resource information database is connected, resource information collection means for collecting resource information from the management nodes according to set management items, and storing the resource information in the resource information database; A resource information transfer unit for transferring information, wherein the central management station is connected to a management configuration database, acquires a management item for each station from the management configuration database, transfers the management item to another station, The resources of the own station The information management means includes a general management configuration control means for setting management items, and the distributed management station includes a distributed management configuration control means for setting the management items transferred from the general management configuration control means to the resource information collection means. Like that. Further, the resource information transfer means requests and obtains resource information from another station, and when receiving a request for resource information from another station, searches the resource information database to retrieve the requested resource information from the other station. Transfer to the station. The distributed management station is connected to a management item definition file, and the distributed management configuration control means stores the management items transferred from the general management configuration control means in the management item definition file. Further, when the management item in the distributed management station is changed, the distributed management configuration control means notifies the general management configuration control means of the change, and the general management configuration control means manages the notified change content in the management. It is stored in the configuration database. In addition, the resource information transfer unit may limit management nodes, limit resource types, limit resource collection periods, monthly average, weekly average, or daily average in response to a request for resource information from another station. To obtain and transfer resource information.
[0011]
Japanese Patent Application Laid-Open No. 2002-91936 discloses a dynamic load control system capable of realizing appropriate load distribution even when access concentration to a server suddenly occurs and maintaining the entire server system at high performance. The following means are provided for the purpose of realizing a load distribution apparatus and method for realizing load distribution.
[0012]
1) means for analyzing a packet header of a service request packet from a client in a load distribution device, and estimating, as a load evaluation value, a magnitude of a processing load executed by a server based on the request content of the service request packet; Provided are means for holding, as a load state value, the cumulative value of the load evaluation values of the service request packets distributed in the past fixed time for each server, and means for determining the server to which the service request is distributed based on the load state value. .
[0013]
2) In the load distribution device, at least one of the type of the requested service, the size of the requested content data, and the execution program for generating the requested content data from the packet header of the service request packet from the client. And means for estimating the magnitude of the processing load executed by the server as a load evaluation value based on the information.
[0014]
3) means for making an access request for all services and all content data that can be provided by the server to each server before the server system is operated or in the spare system in order to realize the load estimation of 2) above; Means for measuring a response time to the request, means for measuring a CPU load when each server executes processing based on the request, and a service request based on the response time, the CPU load, and the size of the response data. A means is provided for generating data for obtaining a load evaluation value indicating a magnitude of a load applied to each server by the data.
[0015]
[Problems to be solved by the invention]
The prior art has the problems described below.
[0016]
None of the means and methods disclosed above satisfy the following conditions necessary for load distribution of packet collection.
[0017]
The first condition is that it is necessary to prevent a packet to be collected from being missed during load distribution. If each packet collection / analysis device simply collects the packets by thinning them out, packets will be missed. Furthermore, since it may occur that a plurality of packet collection / analysis devices perform double collection, a plurality of packet collection / analysis devices must be configured to exclusively collect packets by some method.
The second condition is that when a series of communication is realized by a plurality of packets such as TCP, those packets need to be processed by one packet collection / analysis device. If a series of TCP communication is collected across a plurality of packet collection / analysis devices, communication cannot be restored, and processing such as detection of unauthorized intrusion becomes difficult.
[0018]
The present invention has been made in view of the above-described problems in the related art, and an object thereof is to provide a load distribution method of a packet collection analysis process that satisfies the above two conditions, that is, a load distribution method. Provided is a packet collection load distribution method and apparatus in a communication network in which a packet to be collected does not drop and a series of packets by TCP can be collected by one packet collection and analysis device without straddling a plurality of packets. Is to do.
[0019]
[Means for Solving the Problems]
According to a first aspect of the present invention, there is provided a load distribution method for collecting packets in a communication network, wherein a packet flowing on the network is collected by a packet collection / analysis device in which a rule is set and analyzed based on the rule. It is characterized by the following.
[0020]
Therefore, according to the load distribution method of packet collection in the communication network of the first invention of the present application described above, a packet to be collected at the time of load distribution does not drop, and a series of packets by TCP extends over a plurality of packets. And it is possible to collect the data with one packet collection analyzer.
[0021]
The load balancing method for packet collection in the communication network according to the second invention of the present application that solves the above-mentioned problem is a load balancing method for packet collection in the communication network according to the first invention of the present application, wherein the packet is a packet of the packet. According to another aspect of the present invention, only one of the packet collection / analysis devices is collected and analyzed based on the identifier information and the rule.
[0022]
Therefore, according to the load distribution method of packet collection in the communication network of the second invention of the present application described above, the packets to be collected at the time of load distribution do not drop, and the packets are not redundantly collected. .
[0023]
In order to solve the above-mentioned problem, a load distribution method for packet collection in a communication network according to the third invention of the present application is a method for distributing load for packet collection in a communication network according to the first invention of the present application, wherein According to the information and the rules, a plurality of packets used in one TCP connection are all collected and analyzed by one specific packet collection and analysis device.
[0024]
Therefore, according to the load distribution method of packet collection in the communication network of the third invention of the present application, a series of packets by TCP can be collected by one packet collection and analysis device without straddling a plurality of packets. .
[0025]
In order to solve the above problem, the load distribution method of packet collection in the communication network according to the fourth invention of the present application is a method according to the load distribution method of packet collection in the communication network of the first to third inventions of the present application. The device is a network intrusion detection system.
[0026]
Therefore, according to the load distribution method of packet collection in the communication network of the fourth invention of the present application, by analyzing the collected packets, it is possible to detect unauthorized intrusion into the network.
[0027]
In order to solve the above problems, the load distribution method of packet collection in the communication network of the fifth invention of the present application is a load distribution method of packet collection in the communication network of the fourth invention of the present application, wherein the network intrusion detection system comprises: It comprises a packet receiving section, a rule, a rule discriminating section, and an unauthorized intrusion detecting section.
[0028]
Therefore, according to the load distribution method of packet collection in the communication network of the fifth invention of the present application, the collected packets can be determined according to the rules, and only the packets that match the rules can be detected by the unauthorized intrusion detecting unit. Become.
[0029]
The load balancing method of packet collection in the communication network of the sixth invention of the present application that solves the above-mentioned problem is the load balancing method of packet collection in the communication network of the first to third and fifth inventions of the present application. The rule is characterized by being set by a source IP address and a destination IP address.
[0030]
Therefore, according to the load distribution method for packet collection in the communication network of the sixth invention of the present application described above, a packet to be collected at the time of load distribution does not drop, and a series of packets by TCP extends over a plurality of packets. And it is possible to collect the data with one packet collection analyzer.
[0031]
The load balancing method of packet collection in the communication network of the seventh invention of the present application that solves the above-mentioned problem is the load balancing method of packet collection in the communication network of the first to third and fifth inventions of the present application. The rule is characterized by being set by a source IP address, a destination IP address, a source port, and a destination port.
[0032]
Therefore, according to the load distribution method of packet collection in the communication network of the seventh invention of the present application, in a network in which communication is concentrated on a specific host, the load of the communication of the specific host is distributed to collect the packet. Analysis can be performed.
[0033]
In order to solve the above problem, the load distribution method of packet collection in the communication network according to the eighth invention of the present application is the load distribution method of packet collection in the communication network of the first invention of the present application. The apparatus is characterized in that a rule discriminating apparatus is installed in front of the packet collection and analysis apparatus independently of the apparatus and performs rule discrimination.
[0034]
Therefore, according to the load distribution method of packet collection in the communication network of the eighth invention of the present application, it is possible to perform packet collection and analysis processing without significantly changing the configuration of an existing packet collection and analysis system. Become.
[0035]
According to a ninth aspect of the present invention, there is provided a packet collection and load analyzing apparatus for collecting and analyzing packets flowing through a network, the packet collection and analysis apparatus being connected to a network. The device is a network intrusion detection system.
[0036]
Therefore, according to the load distribution apparatus for packet collection in the communication network of the ninth invention of the present application, it is possible to collect and analyze packets flowing on the network by the network intrusion detection system.
[0037]
The load balancing device for packet collection in the communication network of the tenth invention of the present application that solves the above problem is a load balancing device for packet collection in the communication network of the ninth invention of the present application, wherein the network intrusion detection system comprises: A packet receiving unit, a rule determining unit, an unauthorized intrusion detecting unit, and a rule, wherein the packet received by the packet receiving unit is determined by the rule determining unit based on the identifier information of the packet and the rule. When the packet matches the rule, the packet is passed to the unauthorized intrusion detection unit, and when the packet does not match the rule, the packet is discarded.
[0038]
Therefore, according to the load distribution device for packet collection in the communication network of the tenth invention of the present application, the packet to be collected at the time of load distribution does not drop, and a series of packets by TCP extends over a plurality of units. And it can be collected by one network intrusion detection system.
[0039]
The load balancing device for packet collection in the communication network of the eleventh invention of the present application which solves the above-mentioned problem is a load balancing device for packet collection in the communication network of the ninth invention of the present application, wherein the rule The IP address and the destination IP address, or the source IP address, the destination IP address, the source port, and the destination port are set.
[0040]
Therefore, according to the packet distribution load distribution device in the eleventh communication network of the present application, in a network in which communication is concentrated on a specific host, the communication of the specific host is load-balanced and the existing packet is distributed. The packet collection / analysis process can be performed without significantly changing the configuration of the collection / analysis system.
[0041]
A program for causing a computer to execute the load distribution method of packet collection in a communication network according to the twelfth invention of the present application is a program for collecting packets flowing on a network by a packet collection / analysis device in which rules are set, and based on the rules Since the load distribution method of packet collection in the communication network to be analyzed in the communication network can be executed, the load distribution method of packet collection in the communication network of the present invention can be efficiently executed by a computer.
[0042]
A computer-readable recording medium having recorded thereon a program for executing the load distribution method of packet collection in a communication network according to the thirteenth aspect of the present invention by a computer is provided. A program for executing a load distribution method of packet collection in a communication network, which is collected by an apparatus and analyzed based on the rule, can be read by a computer and efficiently executed by the computer.
[0043]
BEST MODE FOR CARRYING OUT THE INVENTION
An embodiment of the present invention will be described. The load distribution method for packet collection in a communication network according to the present invention is included in a packet in a communication packet collection operation in a network traffic measurement system or a network intrusion detection system used in a communication network using a packet such as the Internet. Using the identifier information, the packets are grouped according to a predetermined rule, and a plurality of devices that collect only the packets of different groups are installed. An object of the present invention is to provide a method for collecting packets without dropping packets even in a network.
[0044]
FIG. 1 is a schematic configuration diagram showing an embodiment of a method and an apparatus for load distribution of packet collection in a communication network according to the present invention. The Internet 11 and the internal network 12 are connected by a network 13 via a router 101 and a router 102.
[0045]
The collection of packets flowing through the network 13 is performed by a plurality of packet collection analyzers 201 to 20n. Rules 211 to 21n used at the time of packet collection are set in advance in the packet collection and analysis devices 201 to 20n. Rules 211 to 21n are used for grouping communication packets, and packets are always classified into any one of rules 211 to 21n according to identifiers recorded in the packets. Are appropriately set so as to be classified into the same group.
[0046]
The packet collection / analysis devices 201 to 20n once receive a packet flowing through the network 13, and check whether the received packet satisfies the rules 211 to 21n set in the packet collection / analysis device. If the rule is satisfied, the received packet is collected and analyzed. If the rule is not satisfied, the received packet is discarded.
[0047]
Since the received packet is set so as to always satisfy any one of the rules 211 to 21n, the received packet is always collected and analyzed by any one of the packet collection and analysis devices 201 to 20n. Become one. As a result, the load of the packet collection process can be distributed.
[0048]
【Example】
FIG. 2 is a schematic configuration diagram showing a first embodiment of a load distribution method for packet collection in a communication network according to the present invention. The first embodiment is a configuration example in which IP (Internet Protocol) packets flowing over a network 13 connecting the Internet 11 and an internal network 12 are collected to detect unauthorized intrusion from the Internet. 13, a router 102 connecting the network 13 and the internal network 12, and a network intrusion detection system 201'-20n 'for collecting packets flowing through the network 13 and detecting unauthorized intrusion. Have been. The network intrusion detection systems 201 'to 20n' are connected to the network 13 so that all packets flowing between the router 101 and the router 102 can be received.
[0049]
FIG. 3 is a schematic internal configuration diagram of the network intrusion detection systems 201 ′ to 20n ′ alone. The packet receiving unit 22n receives the packet flowing through the network 13, and then passes the received packet to the rule determining unit 23n. The rule determining unit 23n receives the received packet from the packet receiving unit 22n, determines whether the identifier included in the received packet satisfies the rule 21n, and passes only the packet that satisfies the rule to the unauthorized intrusion detecting unit 24n. The unauthorized intrusion detecting unit 24n analyzes the packet received from the rule determining unit 23n and detects an unauthorized intrusion. The unauthorized intrusion detection unit 24n has the same configuration as the conventional network intrusion detection system.
[0050]
Next, the overall operation of this embodiment will be described in detail with reference to FIGS. First, in FIG. 2, when communication between the Internet 11 and the internal network 12 occurs, a packet flows to the network 13 via the router 101 and the router 102, and the packet data is transmitted to the network intrusion detection systems 201 'to 20n'. Are received at all of. The network intrusion detection systems 201 'to 20n' have the same configuration except for the contents of the set rules 211 to 21n. Hereinafter, the operation of the network intrusion detection system 20n 'will be described with reference to FIG. .
[0051]
In FIG. 3, the packet data received by the network intrusion detection system 20n 'is first input to the packet receiving unit 22n, and the packet data is passed as it is to the rule determining unit 23n. Upon receiving the packet data from the packet receiving unit 22n, the rule determining unit 23n refers to the rule 21n to determine whether the identifier included in the packet data matches the rule set in the rule 21n. . A plurality of rules (sub-rules) can be set in the rule 21n. When a plurality of sub-rules are set, the rule discriminating unit 23n sets the packet data in one of the plurality of sub-rules. Determine whether the identifiers match.
[0052]
The rule determining unit 23n performs a rule determination, passes the packet data to the unauthorized intrusion detecting unit 24n only when the packet data matches the rule set in the rule 21n, and discards the packet data when the packet data does not match the rule. I do. The processing for the packet data received in this way is terminated. The unauthorized intrusion detection unit 24n receives only packet data that matches the rule from the rule determination unit 23n, and detects whether or not an unauthorized intrusion has been performed using the received packet data.
[0053]
FIG. 4 is an explanatory diagram of a setting example of the rules 211 to 21n. Referring to FIG. 4, rules 211 to 21n set in network intrusion detection systems 201 'to 20n' will be described in detail. In order to properly distribute the load of the intrusion detection processing by a plurality of network intrusion detection systems, packets flowing through the network 13 must be processed by any one of the network intrusion detection systems 201 'to 20n'. Must. Also, in the case of communication using TCP (Transmission Control Protocol), a connection is generated between communication hosts and communication is performed by a plurality of packets. When intrusion detection is performed, a packet of communication by one connection is used. Therefore, when performing load distribution for intrusion detection processing of communication by TCP, packets used by one TCP connection need to be collectively processed by one network intrusion detection system. . Therefore, it is necessary to satisfy the following conditions when setting rules.
[0054]
(1) The identifier of the received packet must match any one of the rules 211 to 21n.
(2) The identifiers of a plurality of packets used in one TCP connection must match the same rule.
[0055]
The setting examples of the rules 211 to 21n shown in FIG. 4 satisfy the above conditions. In this setting example, an IP address is used as an identifier, and grouping is performed according to a range of addresses used in the internal network. One rule is further composed of two sub-rules a and b. Using the two sub-rules a and b, the internal network address is classified into the same rule regardless of whether it is a source address or a destination address. In this embodiment, an IP packet is used as an identifier of a packet. However, any identifier may be used as long as communication can be appropriately classified.
[0056]
Next, the operation of the first embodiment will be further described using a specific example. FIG. 5 is a schematic configuration diagram illustrating a specific example according to the first embodiment. In this specific example, the internal network 12 has a network address of 11.11.10.0, 11.11.11.0, 11.11.12.0, 11.11.13.0 and a netmask of It is assumed that the network is composed of four networks of 255.255.255.0 and these networks are connected to the router 102.
[0057]
It is also assumed that four network intrusion detection systems 201 'to 204' are installed, and the rule 211 in FIG. 6 is set in the network intrusion detection system 201 '. Similarly, it is assumed that the rule 212 is set in the network intrusion detection system 202 ', the rule 213 is set in the network intrusion detection system 203', and the rule 214 is set in the network intrusion detection system 214 '.
[0058]
A case will be described where the packets of the IP addresses shown in FIG. First, when the packet of the number 1 flows through the network 13, the packet data is received by all of the network intrusion detection systems 201 'to 204'. That is, the packet of the number 1 is received by the network intrusion detection systems 201 ′ to 204 ′, and the rule determination is performed in each network intrusion detection system as described below. That is, the packet data is received by the packet receiving units 221 to 224 in the network intrusion detection system, passed to the rule determining units 231 to 234, and then compared with the rules 211 to 214 by the rule determining unit. The rule that the address matches is compared.
[0059]
From FIG. 6, it can be seen that the packet of number 1 in FIG. 7 matches the sub-rule a of the rule 211. Therefore, only the rule discriminating unit 231 passes the packet data to the unauthorized intrusion detecting unit 241, and the rule discriminating units 232 to 234 discard the packet data. By the above operation, the packet of No. 1 in FIG. 7 is processed by the network intrusion detection system 201 ′.
[0060]
Similarly, since the packets No. 4, No. 7, and No. 9 in FIG. 7 have the same source and destination IP addresses as the No. 1 packet, they match the sub-rule a of the rule 211 and are the same as the No. 1 packet. Is processed by the network intrusion detection system 201 '. The packets of No. 2 and No. 5 and No. 8 have the same source and destination IP addresses and match the sub-rule b of the rule 211, so that they are processed by the network intrusion detection system 201 ′. Although the relationship between the source and destination of the IP addresses of the packets Nos. 1, 4, 7, and 9 and the IP addresses of the packets Nos. 2, 5, and 8 are reversed, both match the rule 211. Therefore, it is processed by the network intrusion detection system 201 '.
[0061]
Since the packet of the number 3 matches the sub-rule a of the rule 213, it is processed by the network intrusion detection system 203 '. The packet with the number 6 matches the sub-rule b of the rule 214 and is processed by the network intrusion detection system 204 ′. Since the packet of the number 10 matches the sub-rule b of the rule 213, it is processed by the network intrusion detection system 203 '.
[0062]
As described above, the network intrusion detection system that performs packet processing based on the address of the internal network is uniquely determined, and the intrusion detection processing is distributed.
[0063]
As described above, according to the embodiment, the following first, second, and third effects are exhibited.
[0064]
The first effect is that the processing of collecting and analyzing packets is load-balanced among a plurality of packet collecting and analyzing apparatuses, so that even in a high-speed network, all packets flowing through the network can be targeted without dropping packets. Collected analysis can be performed.
[0065]
The reason is that, regarding the rules for setting packets to be analyzed in the packet collection and analysis device, the rules to be set in each device have exclusive contents, and the packets flowing through the network must be one of the set rules. This is because it is set so that one packet is always matched, and the packet is always analyzed by any one of the plurality of packet collection / analysis devices.
[0066]
The second effect is that the load of the packet collection / analysis processing can be distributed without significantly changing the configuration of the existing packet collection / analysis system.
[0067]
The reason is that load distribution is realized by selecting packet data to be processed according to the present invention before inputting the packet data into the existing packet collection and analysis system. For example, referring to FIG. 3, the existing packet collection / analysis system corresponds to the unauthorized intrusion detecting unit 24n in FIG. Has become. Therefore, an existing network intrusion system can be applied to the intrusion detection unit 24n.
[0068]
A third effect is that when performing packet collection / analysis processing, the load can be distributed without synchronizing processes or exchanging information between a plurality of devices that perform packet collection / analysis.
[0069]
The reason for this is that in each packet collection / analysis device, processing load distribution is realized by selecting packets using rules set in advance to be exclusive among the devices.
[0070]
Next, a second embodiment of the present invention will be described in detail with reference to the drawings. FIG. 8 is a schematic configuration diagram showing a second embodiment of the load distribution method for packet collection in the communication network of the present invention.
[0071]
Referring to FIG. 8, in the second embodiment, a packet collection / analysis device that does not have a rule in the packet collection / analysis device and has no rule set is connected to the network 13 via the rule determination units 301 to 30n. Is different from the first embodiment. In the second embodiment, the packet receiving unit 22n, the rule discriminating unit 23n, and the rule 21n of FIG. 3 are extracted as a rule discriminating device. The present invention realizes load distribution using the existing packet collection and analyzing device. It is an example.
[0072]
The operation of the second embodiment is almost the same as the operation of the first embodiment. The unauthorized intrusion detecting unit 24n in FIG. 3 corresponds to the packet collection / analysis device 20n in the second embodiment, and in the first embodiment of FIGS. In the second embodiment, the output of the rule determination unit 23n is output from the rule determination devices 301 to 30n and is passed to the packet collection / analysis devices 201 to 20n. The effect achieved is exactly the same as in the first embodiment, since the internal configuration is only slightly different.
[0073]
Next, a third embodiment of the present invention will be described in detail with reference to the drawings. FIG. 9 is an explanatory diagram of a rule setting example according to the third embodiment of the load distribution method of packet collection in the communication network of the present invention.
[0074]
In the third embodiment, an example of how to set rules to perform load distribution in a network in which communication is concentrated on a specific host by performing load distribution on five devices, and an example of the rule setting Is shown. In the third embodiment, a rule is set using a port number used in TCPP and UDP (User Datagram Protocol) communication in addition to an IP address in order to collect and collect communication to a specific host. ing.
[0075]
Of the five rules, TCP and UDP communications of the host 11.11.10.1 where communication concentrates on the rules 211 to 214 are set to match, and other communications are set to match the rule 215. are doing. When communication concentrates on a specific host, communication usually concentrates on a specific port number of a specific host (for example, port number 80 in the case of a WWW server). Rules are set by combining destination ports (or by combining destination IP addresses and source ports).
[0076]
In the case of TCP communication, since a series of communications is desirably processed by the same packet collection and analysis device, the series of communications must match the same rule, but the port number is not changed in the series of TCP communications Therefore, in rules 211 to 214, packets used in a series of communications match the same rule. With this setting, it is possible to perform packet collection and analysis by distributing the load of the communication of a specific host.
[0077]
【The invention's effect】
According to the load distribution method of packet collection in the communication network of the present invention, rules for discriminating packets are set in the packet collection / analysis device, rules set for each device have exclusive contents, and flow through the network. Since the packet is set so as to always match any one of the set rules, the following excellent effects are exhibited.
(1) Even in a high-speed network, collection and analysis of all packets flowing through the network can be performed without dropping packets.
(2) A single packet collection / analysis device can collect a series of packets by TCP without straddling a plurality of packets.
(3) The load of packet collection and analysis processing can be distributed without significantly changing the configuration of an existing packet collection and analysis system.
(4) When performing the packet collection / analysis processing, the load can be distributed without synchronizing the processing and exchanging information between a plurality of devices that perform the packet collection / analysis.
[Brief description of the drawings]
FIG. 1 is a schematic configuration diagram illustrating an embodiment of a load distribution method for packet collection in a communication network according to the present invention.
FIG. 2 is a schematic configuration diagram showing a first embodiment of a load distribution method of packet collection in a communication network according to the present invention.
FIG. 3 is a schematic internal configuration diagram of the network intrusion detection system of FIG. 2;
FIG. 4 is an explanatory diagram of a rule setting example according to a first embodiment of a packet collection load distribution method in a communication network of the present invention.
FIG. 5 is a schematic configuration diagram illustrating a specific example according to the first embodiment of the load distribution method of packet collection in the communication network of the present invention.
FIG. 6 is an explanatory diagram of an example of setting rules according to the specific example of FIG. 5;
FIG. 7 is an explanatory diagram of an IP address according to the specific example of FIG. 5;
FIG. 8 is a schematic configuration diagram showing a second embodiment of the load distribution method of packet collection in the communication network of the present invention.
FIG. 9 is an explanatory diagram of a rule setting example according to a third embodiment of the packet collection load distribution method in the communication network of the present invention.
[Explanation of symbols]
11 Internet
12 Internal network
13 Network
101, 102 router
201, 202,... 20n packet collection / analysis device
201 ', 202', ... 20n 'Network intrusion detection system
211, 212,... 21n rule
221, 222,... 22n packet receiving unit
231, 232,... 23n rule discriminator
241, 242,... 24n Intrusion detection section
.., 30n rule discriminating apparatus
IP Internet Protocol
TCP Transmission Control Protocol
UDP User Datagram Protocol
WWW World Wide Web

Claims

A load distribution method for packet collection in a communication network, characterized in that packets flowing on a network are collected by a packet collection / analysis device in which rules are set and analyzed based on the rules.

2. The load distribution method for packet collection in a communication network according to claim 1, wherein the packet is collected and analyzed by only one of the packet collection and analysis devices based on the identifier information of the packet and the rule. .

2. The communication network according to claim 1, wherein a plurality of packets used in one TCP connection are all collected and analyzed by one specific packet collection analyzer based on the packet identifier information and the rule. 3. Load distribution method of packet collection in the server.

4. The load distribution method for packet collection in a communication network according to claim 1, wherein the packet collection and analysis device is a network intrusion detection system.

The method according to claim 4, wherein the network intrusion detection system comprises a packet receiving unit, a rule, a rule discriminating unit, and an unauthorized intrusion detecting unit.

6. The load distribution method for packet collection in a communication network according to claim 1, wherein the rule is set by a source IP address and a destination IP address. .

6. The communication according to claim 1, wherein the rule is set by a source IP address, a destination IP address, a source port, and a destination port. A load distribution method for packet collection in a network.

2. The packet collection in a communication network according to claim 1, wherein the rule is set as a rule discriminator independent of the packet collection and analysis apparatus, and the rule is set in front of the packet collection and analysis apparatus. Load balancing method.

A packet collection / analysis device for connecting to a network and collecting / analyzing packets flowing on the network, wherein the packet collection / analysis device is a network intrusion detection system, wherein the load distribution device for packet collection in a communication network.

The network intrusion detection system includes a packet reception unit, a rule determination unit, an unauthorized intrusion detection unit, and a rule, and the packet received by the packet reception unit is based on the packet identifier information and the rule. It is determined by the rule determination unit, and when the packet matches the rule, the packet is passed to the intrusion detection unit, and when the packet does not match the rule, the packet is discarded. The load distribution device for packet collection in the communication network according to claim 9.

10. The rule according to claim 9, wherein the rule is set by a source IP address and a destination IP address, or the source IP address, the destination IP address, a source port, and a destination port. A load distribution apparatus for packet collection in the communication network according to claim 10.

A program for causing a computer to execute a load distribution method of packet collection in a communication network in which packets flowing on a network are collected by a packet collection / analysis device in which rules are set and analyzed based on the rules.

A computer-readable program recording a program for executing a load distribution method of packet collection in a communication network in which a packet flowing on a network is collected by a packet collection / analysis device in which a rule is set and analyzed based on the rule. recoding media.