JP2004328726A - ネットワークマネジャｓｎｍｐトラップ抑制 - Google Patents

Abstract

【課題】ネットワーク管理システムにおいて、通信ネットワーク内のネットワークノードから受信するＳＮＭＰイベントトラップメッセージを制御自在に抑制する方法および装置を提供すること。
【解決手段】ネットワークノードからの受信されるトラップの率がモニタされ、この率が閾値を超えると、設定された時間期間に受信される以降のすべてのトラップは処理されない。率は事前設定されるかプログラムされる時間期間にわたって受信されるイベントトラップをカウントすることで計算される。設定された時間期間が過ぎると、すべての新たに受信されるトラップがモニタされる。設定された時間期間中に受信されたトラップに関する情報が記録されうる。さらに、過度のトラップがそこから受信され、サービス拒否（ＤｏＳ）攻撃などのイベントを示すノードが識別されるので修正措置を講じることができる。
【選択図】 図１

Description

本発明は、通信システム内のネットワーク管理に関し、特に、ネットワーク管理システムがネットワークノードから受信するＳＮＭＰイベントトラップにより過負荷になることから保護するシステム及び方法に関する。

簡易ネットワーク管理プロトコル（ＳＮＭＰ）は、エージェントが最小限のソフトウェアを必要とするマネジャ／エージェントモデルに基づいている。１９８８年に開発されたＳＮＭＰは、ネットワーク間管理のデファクトスタンダードになっている。ＳＮＭＰは実行するコードがほとんど不要な簡単なソリューションであるため、多数のベンダがその製品に対してＳＮＭＰエージェントを構築することできた。一般に、ＳＮＭＰは拡張可能で、それにより、ベンダは自社の既存の製品にネットワーク管理機能を追加することが容易にできる。またＳＮＭＰは、ハードウェア装置の構成から管理機能を分離し、このためにマルチベンダサポートの裾野が広がった。

ＳＮＭＰプロトコルに含まれる処理能力とデータ記憶の大半は、管理システムに常駐している一方、これらの機能の補完的なサブセットは管理されるシステムに常駐する。簡素なＳＮＭＰであるという目標の達成は、１組の限定された手動のコマンドと応答を含む。管理システムは、ｇｅｔ、ｇｅｔ ｎｅｘｔおよびｓｅｔの各メッセージを発行して１つまたは複数のオブジェクト変数を検索するか１つの変数の値を確立する。管理されるエージェントは、応答メッセージを送信してｇｅｔ、ｇｅｔ ｎｅｘｔまたはｓｅｔメッセージを完了する。管理される要素は、閾値など予め定められた値を超える状態の発生を示すトラップと呼ばれるイベント通知を管理システムに送信する。要するに、ｇｅｔ、ｇｅｔ ｎｅｘｔ、ｇｅｔ ｒｅｓｐｏｎｓｅ、ｓｅｔおよびｔｒａｐという５つの基本操作が存在する。

トラップは、ＳＮＭＰマネジャにエージェントまたはノードで発生した重要なイベントを通知する非同期メッセージである。トラップはそれを受信するように構成されたＳＮＭＰマネジャに対して一方的に送信される。

特に管理システムが特定のノードから大量のトラップを受信する場合には、イベントトラップがネットワークノードの潜在的な問題を明らかにすることができるということは当業者には明らかであろう。また、悪意を持つ攻撃者がネットワーク管理システムによって提供されるサービスを中断するためにこのようなトラップを使用することができるということも当業者には明らかであろう。

ＣＥＲＴ（登録商標）Ｃｏｏｒｄｉｎａｔｉｏｎ Ｃｅｎｔｅｒは、特に悪意を持つ攻撃者が利用できるＳＮＭＰプロトコル内の潜在的な欠陥についての警告を発した。ＣＥＲＴが提案したこのような攻撃から防御するソリューションは、迷惑ノード（すなわち、過度のＳＮＭＰイベントトラップの生成元）を識別し、できればそのノードでＳＮＭＰを無効にすることを含む。残念ながら、もはやそのノードを管理できなくなるのでＮＭＳの選択肢ではなく、これはネットワークプロバイダにとっては許容できないであろう。

ＳＮＭＰサービスの別の重要な業界筋は、ある形式の複製トラップが蔓延を防止できるようにするために、ある形式のトラップを関連付けることでこの問題に対処している。この技法は、例えば、リンクアップ／ダウントラップなどのある標準形式のトラップに適用される。残念ながら、ＮＭＳが解析のために膨大なリソースを使い果たすような、未知のイベントトラップなどの非標準トラップをこの技法は扱わないので、このアプローチは、限定される。

したがって、ＮＭＳが過度のＳＮＭＰイベントトラップに応答する改良された技法が望まれる。従来のソリューションの問題は、上記のように、ＣＥＲＴのソリューションは、迷惑ノード上でＳＮＭＰを無効にしこれはＮＭＳについては許容できず、一方、第２のソリューションは、ある標準形式のトラップに限定され、特に分析するために処理量が膨大になり得る未知のイベントトラップなどの非標準トラップを扱わない。

したがって、上記の問題を解決する必要がある。

本発明は、ネットワーク管理システム（ＮＭＳ）がネットワークノードからの過度のＳＮＭＰイベントトラップで過負荷になるのを保護するという問題に関する。この過度のトラップの原因は、ネットワークノードに対するサービス拒否（ＤｏＳ）攻撃、または過度のＳＮＭＰイベントメッセージ送出を引き起こすノード障害の可能性がある。

本発明は、従来技術の標準メッセージに限定せず、いかなる形式のＳＮＭＰメッセージの氾濫からもＮＭを保護する。

本発明は、ＤｏＳ攻撃のような、ネットワークノードに対する悪意を持つ攻撃からＮＭを効率的に保護し、オペレータにその状況を警告して修正動作がとれるようにする。同様に、本発明は、過度の量のＳＮＭＰイベントトラップを生成する障害ノードからＮＭを保護する。さらに本発明は、ノードが再開する時に、ＮＭに対するＳＮＭＰの負荷を調整する。この手順を用いないと、いくつかのノードが同時に再開する場合に、負荷が非常に大きくなることがある。

本発明の一態様では、ネットワーク管理システムにおいて、通信ネットワーク内のネットワークノードからのＳＮＭＰイベントトラップメッセージを抑制する方法であって、ネットワーク管理システムにおいて、ある時間期間中に各ネットワークノードから受信されたイベントトラップメッセージをカウントするステップと、カウントが閾値を超えるのに応答して、予め定められた抑制期間が満了するまで、そのネットワークノードによりネットワーク管理システムに送信されるすべての更なるイベントトラップメッセージを無視するステップとを含む方法が提供される。

本発明の第２の態様では、ネットワーク管理システムにおいて、通信ネットワーク内のネットワークノードから受信されるＳＮＭＰイベントトラップメッセージを抑制するシステムであって、ネットワーク管理システムにおいて、ある時間期間中に各ネットワークノードから受信されたイベントトラップメッセージをカウントするカウンタと、カウントが閾値を超えるのに応答して、予め定められた抑制期間が満了するまで、そのネットワークノードによりネットワーク管理システムに送信されるすべてのさらなるイベントトラップメッセージを無視する手段とを含むシステムが提供される。

本発明の特徴と利点は、添付図面を参照しながら以下の好適な実施形態についての詳細な説明を読むことでより明らかになろう。

図１は、ネットワークおよびサービス管理のためのＮＭＳへのリンクを備えた通信ネットワークを形成するために相互接続された３つのネットワークノード（Ａ、Ｂ、およびＣ）を含む簡易ネットワークを示す。ノードの各々は、例えばリンクアップ／ダウンなどのＳＮＭＰイベントトラップメッセージを用いてイベントの発生をＮＭＳに通信する。ＮＭＳもＳＮＭＰ「ｇｅｔ」メッセージを用いてノードから情報を要求し、または特に他の機能の中でＳＮＭＰ「ｓｅｔ」メッセージを用いてノード上にリソースを構成することができる。イベントトラップが未知の形式である（未知のイベントトラップとも呼ばれる）ときに、標準の既知のイベントトラップ階を超えてトラップを分析するために、追加の処理がＮＭＳにより必要とされる。したがって、その不正な目的のために特に効果的なＤｏＳ攻撃は、ノードが過度の数の未知のイベントトラップを生成するものである。秒あたり数十万件の未知のイベントトラップの受信は、ＮＭＳを完全に「使用中」にする。

本発明に従って、ＮＭＳは、特定のノードからのトラップの着信率が予め定められた閾値を超えるときに、ＮＭＳ上の他の処理からＳＮＭＳイベントトラップをブロックする能力を備えている。この能力はトラップ抑制機能と呼ばれる。

ＮＭＳ上のファイルは、トラップ抑制に必要なある種のパラメータを定義する。第１のパラメータは、トラップ抑制機能を有効または無効にする。デフォルト値は有効である。次のパラメータはすべての形式のトラップについてノードごとの最大トラップ着信率である。このパラメータのデフォルト値は１００トラップ／秒である。好ましい実施形態ではすべてのノードとトラップの形式について同じ着信率値を用いている。しかしながら、別の実施形態では、トラップ形式ごとにおよびノード形式ごとに個別の着信率を指定することも可能である。次のパラメータは、ある迷惑ノードが最大トラップ着信率を超えた後に、そのノードからのトラップが阻止される時間の値を指定するトラップ抑制待ち時間である。このパラメータのデフォルト値は１００秒である。最後のパラメータは、ノードの記録がトラップその機能によって保持される期間の値を指定する、エージング時間である。各ノードについて、この時間は、そのノードからの最後のトラップの時間から測定される。デフォルトのエージング時間値は１００分である。

通常動作時には、いかなる特定のノードから受信したトラップも最大トラップ着信率を超えないべきである。各ノードについて、実際のトラップ着信率が最大トラップ着信率よりも低い間は、そのノードからのトラップはトラップを受信するように登録されたＮＭＳの上位レベルプロセスに転送される。これらのプロセスの例は自動発見プロセスとアラーム監視（ＧＧＰ）プロセスである。各ノードから受信されるトラップの数は各ノードについてトラップ着信率を決定するカウンタによって予め定められた期間（例えば１０秒）の間カウントされる。この期間の継続時間もパラメータファイル内のパラメータによって定義でき、したがって、プログラム可能である。

あるノードが最大トラップ着信率を超えると、そのノードからのすべてのさらなるトラップは、トラップ抑制待ち時間パラメータで指定された期間（例えば１００秒）にわたってドロップされる（即ち、転送されない）。この発生は記録され、アラーム監視（ＧＧＰ）プロセスなどのプロセスに選択的に通知されこれにより、ネットワークオペレータは適切な修正措置（例えばファイアウォールの設定、迷惑ノードの診断の実行など）を講じることができる。トラップ阻止期間が過ぎた後に、トラップが最大トラップ着信率を超えない限りＮＭＳはノードから受信したトラップの転送を開始し、最大トラップ着信率を超えていれば、以前と同様にトラップは阻止され、この手順が繰り返される。

図２および３はあるノードから受信されたイベントトラップのグラフの一例である。図２のゼロ秒において、ノードから受信したイベントトラップは大幅に増加し始め、これはノード再起動の結果という可能性がある。秒あたりのトラップ数は２００トラップ／秒まで急激に増加し、その後横ばいになって５秒間このトラップ着信率を保つ。したがって、約５秒後に受信したトラップの合計数は１０００トラップである。トラップ抑制機能の期間を５秒とすると、計算されたトラップ着信率は２００トラップ／秒である。したがって、ＮＭＳは、トラップ阻止待ち時間パラメータで指定した期間、例えば１００秒の間、このノードからのすべてのさらなるイベントトラップを阻止する。図２の曲線の斜線部分は、阻止されたトラップを示す。これらのイベントトラップは、後に、ＮＭＳにより調整される（ノードから取り出される）ことができる。

図３は、ＮＭＳへのトラップ着信の別の例を示す。この場合、トラップを送信するノードは繰り返し間隔で非常に多数のトラップを送信する。これは連続的な再始動を引き起こす何かの障害かＤｏＳ攻撃からによると思われる。ＮＭＳは、トラップ着信率を超えた後に、抑制待ち時間パラメータで指定された期間の間、そのノードから受信されるすべてのイベントトラップを阻止する。トラップ抑制機能は、オペレータにその状況について警告し、適切な措置が講じられるようにする。

以下に、本発明に従ったアルゴリズムの実施に関連する処理ステップについて説明する。
１）ネットワーク管理システム（ＮＭＳ）が起動され、トラップ抑制構成ステータスを読み出す。
２）ＮＭＳは、（トラップ抑制構成ステータスに基づいて）トラップ抑制アルゴリズムを使用可能にする。トラップ抑制ステータスが使用不能の場合、トラップ抑制は実行されず、すべてのタイプのトラップが通過する。
３）トラップ抑制アルゴリズムは、その構成を読み出して、以下のすべての必要なパラメータを更新する：トラップ抑制待ち時間（単位：秒）、トラップ抑制エージング時間（単位：秒）、トラップ抑制カウンタ、およびトラップ抑制着信率。
４）抑制アルゴリズムが完全に設定され、トラップを処理する準備が完了する。
５）あるノードから最初のトラップを受信；トラップ抑制アルゴリズムがアドミニストレータに通知し、送信元（送信側ノード）に関する簡潔な説明：ノードのＩＰアドレスとトラップが送信された時刻を、ディスクリプション（Ｄｅｓｃｒｉｐｔｉｏｎ）に提供する。
６）ＮＳＭはトラップを送信するノードの記録をとる：これまでに送信されたトラップ数、トラップが送信された最初の時刻と最後の時刻。
７）トラップ抑制アルゴリズムはトラップ送信率を評価（計算）する。
８）（閾値、すなわちトラップ抑制着信率に基づいて）トラップ送信率が予想より大きい場合には、そのノードからのトラップ処理を中止する。
９）さらに措置を講じられるようにアドミニストレータに通知する。
１０）トラップ抑制アルゴリズムは、そのノードのトラップ待ち時間タイマを起動する。
１１）トラップ待ち時間タイマが満了した時に、そのノードのトラップ処理を再開する（そのノードについての現在のトラップ待ち時間が、設定されたトラップ待ち時間と比較される）。
１２）ネットワークアドミニストレータは、その通知を受信する。
１３）ノードエージング時間以上の時間の期間の間、その同じノードがトラップの送信を停止した場合には、アルゴリズムはノードのエージングを行う。そのノードについてのステップ７の記録は削除される。

図４はそのアルゴリズムの処理ステップを示す簡単な流れ図である。

本発明のアルゴリズムが実施されると、悪意があるノードが不要なトラヒックをＮＳＭに送信することを効果的に阻止する。また、このアルゴリズムによって、ＮＭＳアドミニストレータが、どのノードがＮＳＭにトラップイベントを送信しているか検出することができる。あるノードが初めてＮＳＭにトラップを送信すると、トラップ率にかかわらずこのアルゴリズムがＮＭＳアドミニストレータに通知する。またＮＭＳアドミニストレータはトラップを送信するノードをダブルチェックできる。ＮＳＭがノードをもはや管理しないときには、ノードは記録から削除される。このアルゴリズムによってトラップ抑制のためのすべての必要なパラメータを設定でき、ＮＭＳの効率を高めることができる。

このアルゴリズムは、当業のデファクトスタンダードアラームフォーマットであるＸ．７３３などの一般的なアラームの使用を容易にすると予想される。

本発明のアルゴリズムは、管理される各ノードの事前定義されたパラメータについてトラップ抑制のために１レコードのみが保持されるという点でシステム効率が向上する。これらのパラメータは、トラップ着信率計算、トラップ抑制待ち時間計算、およびノードエージング時間計算である。

本発明に従って、アルゴリズムは以下の状況にＮＭＳアドミニストレータ部に通知するように働く。

ノードが初めてトラップを送信するとき、
トラップ受信が阻止されたとき、
トラップ受信が再開されたとき、
ノードがエージングされたとき。

その結果、ＤｏＳなどの攻撃とネットワーク障害が検出され、それに起因する問題を克服するステップが実行される。

上記の実施形態は例示的なものであり、本発明の精神を逸脱することなく上記の実施形態に変更を加えることができることは当業者には明らかであろう。本発明の範囲は添付の特許請求の範囲に規定される。

図１は本発明の要素を示す上位レベルネットワークの図である。 図２はノードで受信されるイベントトラップのグラフの一例である。 図３は第２のグラフ例である。 図４は本発明を実施する処理ステップを示す流れ図である。

符号の説明

Ａ、Ｂ、Ｃ ネットワークノード
５６２０ ネットワーク管理システム（ＮＭＳ）

Claims (20)

1. ネットワーク管理システムにおいて、通信ネットワーク内のネットワークノードからのＳＮＭＰイベントトラップメッセージを抑制する方法であって、
   ネットワーク管理システムにおいて、ある時間期間中に各ネットワークノードから受信されたイベントトラップメッセージをカウントするステップと、
   カウントが閾値を超えるのに応答して、予め定められた抑制期間が満了するまで、そのネットワークノードによりネットワーク管理システムに送信されるすべての更なるイベントトラップメッセージを無視するステップとを含む方法。
2. 抑制期間は、閾値を超えた時点から開始し、抑制期間の満了後、ネットワーク管理システムがネットワークノードにより送信されるメッセージの処理を再開する請求項１に記載の方法。
3. 前記時間期間は、予め定められた期間である請求項１に記載の方法。
4. 前記時間期間は、プログラム可能である請求項１に記載の方法。
5. 前記閾値は、ノードごとの基準で指定される請求項１に記載の方法。
6. 前記閾値は、トラップが受信されるノードの形式に基づいて指定される請求項１に記載の方法。
7. 前記閾値は、ネットワークノードから受信されたトラップメッセージの形式に従って指定される請求項１に記載の方法。
8. そうでない場合に無視されるトラップメッセージは、エージング特徴をうける請求項１に記載の方法。
9. 前記エージング特徴は、そうでない場合に無視されるトラップの記録を含み、トラップを送信する各ノードについて記録が保持され、それによりトラップ抑制機能がそれらのノードに再び適用されることができる請求項８に記載の方法。
10. 更なる任意のトラップが受信されることなしに、任意の所定のノードから受信された最後のトラップの時刻に基づいた期限が満了した後に、そのノードに関する記録が削除される請求項９に記載の方法。
11. 前記ネットワーク管理システムは、そのトラップ着信率閾値を超えたすべてのノードを選択的に記録する請求項１に記載の方法。
12. 前記ネットワーク管理システムは、そのトラップ着信率閾値を超えたすべてのノードに関する通知を選択的に提供する請求項１に記載の方法。
13. 前記通知は、アラームである請求項１２に記載の方法。
14. 前記通知は、修正措置をとれるように、ノードが閾値を超えたことをオペレータに警告する請求項１２に記載の方法。
15. ネットワーク管理システムにおいて、通信ネットワーク内のネットワークノードから受信されるＳＮＭＰイベントトラップメッセージを抑制するシステムであって、
    ネットワーク管理システムにおいて、ある時間期間中に各ネットワークノードから受信されたイベントトラップメッセージをカウントするカウンタと、
    カウントが閾値を超えるのに応答して、予め定められた抑制期間が満了するまで、そのネットワークノードによりネットワーク管理システムに送信されるすべてのさらなるイベントトラップメッセージを無視する手段とを含むシステム。
16. 前記時間期間は、予め定められた値を有する請求項１５に記載のシステム。
17. 前記時間期間は、プログラム可能である請求項１５に記載のシステム。
18. 前記時間期間が過ぎた後にネットワーク管理システムで受信されたイベントトラップに関する情報を記録する手段をさらに含む請求項１５に記載のシステム。
19. 前記時間期間が過ぎた後にトラップを阻止するための期限を設定するトラップ抑制従来手段を備えた請求項１８に記載のシステム。
20. 記録情報を保持する期間に関するパラメータを設定するエージング手段を備えた請求項１９に記載のシステム。

Images