JP2005159501A - パケット選別装置 - Google Patents

Abstract

【課題】 監視対象ネットワークの設定等を変更することなく宛先不明のパケットを選別することが可能なパケット選別装置を実現する。
【解決手段】 ネットワークを伝播するパケットを選別するパケット選別装置において、ネットワークを伝播するパケットを分岐させる分岐手段と、ルータとの間でルーティング情報を共有すると共に前記分岐手段で分岐された前記パケットを前記ルーティング情報に基づき通過させ、或いは、破棄するフィルタ手段とを設ける。
【選択図】 図１

Description

本発明は、ネットワークを伝播するパケットを選別するパケット選別装置に関し、特に、監視対象ネットワークの設定等を変更することなく宛先不明のパケットを選別することが可能なパケット選別装置に関する。

従来のネットワークを伝播するパケットを選別するパケット選別装置に関連する先行技術文献としては次のようなものがある。

特開平１１−０２７３２０号公報 特開平１１−０９８１９６号公報 特開２００１−３１３６４０公報

近年のインターネットにおいては、”ＭＳ−ＳＱＬ Ｓｌａｍｍｅｒ”や”Ｂｌａｓｔｅｒ”等と言った無差別にサーバマシン等の装置に感染し拡大してゆくワーム（ネットワークを徘徊して感染するタイプのウイルス。単体で動作し、ほかのファイルへの感染は行わない。）が流行している。

そして、このようなワームにより世界的にネットワークの障害が起こる等、深刻な社会問題となっており、広範囲でのワームの活動の監視強化が望まれている。

一方、このようなワームは装置に対して感染を試みる場合には、無差別にパケットを送りつけるため、大量の宛先不明のパケットが発生すると言う特徴がある。

一般に、宛先不明のパケットは通信経路のルータにおいて破棄されるものであるが、近年、このような宛先不明のパケットを積極的に監視し記録することが注目されている。

図１５はこのような従来のパケット選別装置を用いた監視対象ネットワークの一例を示す構成ブロック図である。図１５において１，２，３及び４は一般的なＬＡＮ（Local Area Network）等のネットワーク、５，６，７，８，９及び１０はネットワーク上でのデータ転送の経路を最も効率的に選択するネットワークの中継装置であるルータ、１１はパケットの記録等を行うパケット監視装置、１００はインターネット上でネットワークとネットワークを結んでいる高速・大容量の基幹の回線であるバックボーン・ネットワークである。

ルータ７及び１０はそれぞれバックボーン・ネットワーク１００に接続され、ルータ５はルータ７とネットワーク１との間を接続する。また、ルータ６はルータ７とネットワーク２との間を接続する。

ルータ８はルータ１０とネットワーク３との間を接続し、ルータ９はルータ１０とネットワーク４との間を接続する。さらに、ルータ１０にはパケット監視装置１１が接続される。

ここで、図１５に示す従来例の動作を図１６、図１７、図１８、図１９及び図２０を用いて説明する。図１６はルーティング情報の一例を示す説明図、図１７は正しい宛先のパケットの一例を示す説明図、図１８及び図２０はパケットの伝播経路の一例を示す説明図、図１９は宛先不明のパケットの一例を示す説明図である。

また、伝播経路の説明に際して説明の簡単のため、これ以降適宜、ネットワーク１，２，３及び４は”ネットワークＡ”、”ネットワークＢ”、”ネットワークＣ”及び”ネットワークＤ”と呼び、バックボーン・ネットワーク１００に接続されるルータ７及び１０を”ルータＡ”及び”ルータＢ”、或いは、基幹ルータと呼ぶことにする。

バックボーン・ネットワーク１００に接続されているルータ７及び１０はバックボーン・ネットワーク１００を介してルータの配下にどのようなネットワークが存在するかと言ったルーティング情報を互いに交換しており、図１５中”ＲＩ０１”及び”ＲＩ０２”に示すようにルーティング情報を共有している。

例えば、図１６はルーティング情報の一例を示すものであり、ルーティング情報には、宛先アドレスと当該宛先アドレスのパケットを受け取った場合の送信先である送信先ルータの名前が記述されている。

図１６に示すルーティング情報から分かるように、受信したパケットの宛先アドレスが”ネットワークＡ”若しくは”ネットワークＢ”である場合には、”ルータＡ”に送信し、受信したパケットの宛先アドレスが”ネットワークＣ”若しくは”ネットワークＤ”である場合には、”ルータＢ”に送信することを示している。

また、パケット監視装置１１が接続されている”ルータＢ”は、図１５中”ＲＩ０２”に示すルーティング情報に記述されていない宛先アドレスのパケットを受信した場合には、当該パケットを破棄することなくパケット監視装置１１に転送するように予め設定されている。

図１７中”ＰＫ１１”に示す正しい宛先のパケットにおいて、図１７中”ＤＡ１１”、ＳＡ１１”及び”ＤＴ１１”は宛先アドレス、送信元アドレス及びその他データ等である。

また、図１７中”ＤＡ１１”に示す宛先アドレスは、ネットワーク部とホストアドレス部で表現されており、例えば、”ネットワークＡ．アドレス１”と言う宛先アドレスは”ネットワークＡ”と言うネットワークにある”アドレス１”と言うホストアドレスを有する機器を示している。

同様に、図１７中”ＳＡ１１”に示す送信元アドレスも、ネットワーク部とホストアドレス部で表現されており、例えば、”ネットワークＤ．アドレス１”と言う宛先アドレスは”ネットワークＤ”と言うネットワークにある”アドレス１”と言うホストアドレスを有する機器を示している。

すなわち、図１７中”ＰＫ１１”に示すような正しい宛先のパケットを”ネットワークＤ”から送信した場合、図１８中”ＲＴ２１”に示す伝播経路のように、ルータ９を介して”ルータＢ”に転送される。

そして、”ルータＢ”は、受信したパケットの宛先アドレスが”ネットワークＡ．アドレス１”であるので、図１８中”ＲＩ０２”に示すルーティング情報、具体的には、図１６に示すルーティング情報を参照して送信先ルータを”ルータＡ”と特定し、図１８中”ＲＴ２２”に示すように”ルータＡ”にパケットを転送する。

最後に、”ルータＡ”は、図１８中”ＲＴ２３”に示すように受信したパケットをルータ５を介して宛先アドレスである”ネットワークＡ”に対して転送し、最終的に図１８中”ＰＫ１１”に示すようにパケットが”ネットワークＡ”に到達する。

一方、図１９中”ＰＫ３１”に示す宛先不明のパケットにおいて、図１９中”ＤＡ３１”、ＳＡ３１”及び”ＤＴ３１”は宛先アドレス、送信元アドレス及びその他データ等である。

図１９中”ＤＡ３１”に示す宛先アドレスは、”ネットワークＧ．アドレス１”であり、図１５に示すネットワークには”ネットワークＧ”と言ったネットワークは存在しないので図１９中”ＰＫ３１”に示すパケットは宛先不明（正しくない）であることが分かる。

すなわち、図１９中”ＰＫ３１”に示すような宛先不明のパケットを”ネットワークＤ”から送信した場合、図２０中”ＲＴ４１”に示す伝播経路のように、ルータ９を介して”ルータＢ”に転送される。

そして、”ルータＢ”は、受信したパケットの宛先アドレスが”ネットワークＧ．アドレス１”であるので、図２０中”ＲＩ０２”に示すルーティング情報、具体的には、図１６に示すルーティング情報を参照しても”ネットワークＧ”に関する記述がないので、予めなされた設定に基づき、図２０中”ＲＴ４２”に示すようパケット監視装置１１にパケットを転送し、最終的に図２０中”ＰＫ３１”に示すようにパケットがパケット監視装置１１に到達する。

この結果、バックボーン・ネットワーク１００に接続されるルータにパケット監視装置１１を接続すると共にルーティング情報に記述されていない宛先アドレスのパケットを受信した場合には、当該パケットを破棄することなくパケット監視装置１１に転送するように設定することにより、宛先不明のパケットを積極的に監視し記録することが可能になる。

しかし、図１５等に示す従来例では、監視対象ネットワークを構成する基幹のルータである”ルータＢ（ルータ１０）”の構成や設定を変更する必要性が生じる。具体的には、”ルータＢ（ルータ１０）”の１つのインターフェースをパケット監視装置１１に割り振ると共にルーティング情報に記述されていない宛先アドレスのパケット、言い換えれば、宛先不明のパケットをパケット監視装置１１に転送するように手動で設定を追加（設定の変更）しなければならない。

このような基幹ルータの構成や設定の変更に際して、基幹ルータのインターフェースが高価であれば、パケット監視装置専用にインターフェースを確保することが困難となると言った場合がある。

また、基幹ルータの設定を変更することは場合によっては思わぬ不具合を生じさせる恐れがあり、一般的に、管理者は帰還ルータの設定変更には消極的であり、設定変更には相当のスキルを必要とされる。

さらには、バックボーン・ネットワーク１００に接続されている基幹ルータは稼動停止が許されないため、できるだけルータの設定変更、言い換えれば、監視対象ネットワークの設定等を変更することなしに宛先不明のパケットを選別することが求められている。
従って本発明が解決しようとする課題は、監視対象ネットワークの設定等を変更することなく宛先不明のパケットを選別することが可能なパケット選別装置を実現することにある。

このような課題を達成するために、本発明のうち請求項１記載の発明は、
ネットワークを伝播するパケットを選別するパケット選別装置において、
ネットワークを伝播するパケットを分岐させる分岐手段と、ルータとの間でルーティング情報を共有すると共に前記分岐手段で分岐された前記パケットを前記ルーティング情報に基づき通過させ、或いは、破棄するフィルタ手段とを備えたことにより、監視対象ネットワークの設定等を変更することなく宛先不明のパケットを選別することが可能になる。

請求項２記載の発明は、
請求項１記載の発明であるパケット選別装置において、
前記フィルタ手段が、
前記分岐手段で分岐された前記パケットを取得する取得手段と、前記ルータとの間で通信を行う通信手段と、転送手段と、前記通信手段を制御して前記ルータから前記ルーティング情報を取得すると共に前記分岐手段で分岐された前記パケットを前記ルーティング情報に基づき通過させ、或いは、破棄し、通過させた前記パケットを前記転送手段を介して後段のパケット監視装置に転送する演算制御手段とから構成されることにより、監視対象ネットワークの設定等を変更することなく宛先不明のパケットを選別することが可能になる。

請求項３記載の発明は、
請求項１若しくは請求項２記載の発明であるパケット選別装置において、
前記フィルタ手段若しくは演算制御手段が、
前記ルーティング情報に前記パケットの宛先アドレスが記述されていなければ前記パケットを通過させ、前記ルーティング情報に前記パケットの宛先アドレスが記述されていれば前記パケットを破棄することにより、監視対象ネットワークの設定等を変更することなく宛先不明のパケットを選別することが可能になる。

請求項４記載の発明は、
請求項１若しくは請求項２記載の発明であるパケット選別装置において、
前記フィルタ手段若しくは演算制御手段が、
前記パケットを前記ルーティング情報に基づき破棄する場合に、パケットを破棄するためのインターフェースに出力することにより、監視対象ネットワークの設定等を変更することなく宛先不明のパケットを選別することが可能になる。

請求項５記載の発明は、
請求項１若しくは請求項２記載の発明であるパケット選別装置において、
前記フィルタ手段若しくは前記通信手段が、
バックボーン・ネットワークを介して前記ルータとの間で通信を行うことにより、監視対象ネットワークの設定等を変更することなく宛先不明のパケットを選別することが可能になる。

請求項６記載の発明は、
請求項１若しくは請求項２記載の発明であるパケット選別装置において、
前記フィルタ手段若しくは前記演算制御手段が、
直接入力により前記ルーティング情報を取得するルーティング情報入力手段を備えたことにより、監視対象ネットワークの設定等を変更することなく宛先不明のパケットを選別することが可能になる。

請求項７記載の発明は、
請求項１若しくは請求項２記載の発明であるパケット選別装置において、
前記フィルタ手段若しくは前記演算制御手段が、
ファイル入力により前記ルーティング情報を取得するルーティング情報入力手段を備えたことにより、監視対象ネットワークの設定等を変更することなく宛先不明のパケットを選別することが可能になる。

請求項８記載の発明は、
請求項１若しくは請求項２記載の発明であるパケット選別装置において、
前記フィルタ手段若しくは前記演算制御手段が、
前記ルータ以外の機器からの入力により前記ルーティング情報を取得するルーティング情報入力手段を備えたことにより、監視対象ネットワークの設定等を変更することなく宛先不明のパケットを選別することが可能になる。

請求項９記載の発明は、
請求項１若しくは請求項２記載の発明であるパケット選別装置において、
前記フィルタ手段若しくは前記演算制御手段が、
パケットフィルタ条件を設定するパケットフィルタ条件設定手段を備えると共にパケットフィルタ機能として動作することにより、監視対象ネットワークの設定等を変更することなく宛先不明のパケットを選別することが可能になる。

請求項１０記載の発明は、
ネットワークを伝播するパケットを選別するパケット選別装置において、
過去に記録されたパケットの情報を取り込む入力手段と、前記ルータとの間で通信を行う通信手段と、転送手段と、前記通信手段を制御して前記ルータから一定時間毎、若しくは、ルーティング情報に変更があった場合に順次ルーティング情報を取得して蓄積し、前記パケットの記録時刻に対応したルーティング情報を選択し、選択されたルーティング情報に基づき前記パケットを通過させ、或いは、破棄し、通過させた前記パケットを前記転送手段を介して後段のパケット監視装置に転送するフィルタ手段とを備えたことにより、過去に記録されたパケットであっても監視対象ネットワークの設定等を変更することなく宛先不明のパケットを選別することが可能になる。

請求項１１記載の発明は、
請求項１乃至請求項９のいずれかに記載の発明であるパケット選別装置において、
前記分岐手段が、
ケーブルタップ装置であることにより、監視対象ネットワークの設定等を変更することなく宛先不明のパケットを選別することが可能になる。

請求項１２記載の発明は、
請求項１乃至請求項９のいずれかに記載の発明であるパケット選別装置において、
前記分岐手段が、
ネットワークを伝播しているパケットを全てミラーポートにコピーすることによりパケットを分岐させることにより、監視対象ネットワークの設定等を変更することなく宛先不明のパケットを選別することが可能になる。

請求項１３記載の発明は、
請求項１乃至請求項１２のいずれかに記載の発明であるパケット選別装置において、
前記パケット監視装置が、
パケットを記録する装置、パケットの構造を解析する装置、パケットを分類し統計を取る装置、パケットの送信元と宛先によって分類し統計を取る装置、特定のパケットを受信すると設定された動作を行う装置、不正パケット検知装置、或いは、パケット経路追跡装置のいずれかであることにより、監視対象ネットワークの設定等を変更することなく宛先不明のパケットを選別することが可能になる。

本発明によれば次のような効果がある。
請求項１，２，３，４，５，６，７，８，９，１１，１２及び請求項１３の発明によれば、ネットワークに設けられた分岐手段１２によってネットワークを伝播するパケットを分岐させて取得し、フィルタ手段１３がルーティング情報に宛先アドレスの記述がないパケットを通過させ、ルーティング情報に宛先アドレスの記述があるパケットを破棄することにより、監視対象ネットワークの設定等を変更することなく宛先不明のパケットを選別することが可能になる。また、ワームが発生させる宛先不明のパケットを選別するのみならず、機器の設定ミスや不具合に起因する宛先不明のパケットの選別にも利用することが可能である。

また、請求項１０の発明によれば、一定時間毎、若しくは、ルーティング情報に変更があった場合（イベント発生時）に順次ルーティング情報を取得して蓄積し、入力されたパケットの記録時刻に対応したルーティング情報を選択し、選択されたルーティング情報に基づき入力されたパケットを通過させ、或いは、破棄することにより、過去に記録されたパケットであっても監視対象ネットワークの設定等を変更することなく宛先不明のパケットを選別することが可能になる。

以下本発明を図面を用いて詳細に説明する。図１は本発明に係るパケット選別装置を用いた監視対象ネットワークの一実施例を示す構成ブロック図である。図１において１，２，３，４，５，６，７，８，９，１０及び１００は図１５に示す従来例と同一符号を付してあり、１２はネットワークを伝播するパケットを分岐させる分岐手段、１３は正しい宛先のパケットを破棄し、宛先不明のパケットを通過させるフィルタ手段、１４はパケットの記録等を行うパケット監視手段である。また、分岐手段１２及びフィルタ手段１３はパケット選別装置５０を構成している。

ルータ７及び１０はそれぞれバックボーン・ネットワーク１００に接続され、ルータ５はルータ７とネットワーク１との間を接続する。また、ルータ６はルータ７とネットワーク２との間を接続する。

ルータ８はルータ１０とネットワーク３との間を接続し、ルータ９はルータ１０とネットワーク４との間を接続する。さらに、ルータ９とルータ１０との間には分岐手段１２が設けられ、分岐手段１２の出力はフィルタ手段１３に接続され、フィルタ手段１３の出力がパケット監視装置１４に接続される。また、バックボーン・ネットワーク１００はフィルタ手段１３に接続される。

ここで、図１に示す実施例の動作を図２、図３、図４、図５、図６、図７、図８及び図９を用いて説明する。但し、図１５に示す従来例と同様の動作に関してはその説明を省略する。

図２はフィルタ手段１３の具体例を示す構成ブロック図、図３及び図５は演算制御手段１６の動作を説明するフロー図、図４はルーティング情報の一例を示す説明図、図６は正しい宛先のパケットの一例を示す説明図、図７及び図９はパケットの伝播経路の一例を示す説明図、図８は宛先不明のパケットの一例を示す説明図である。

また、伝播経路の説明に際して説明の簡単のため、これ以降適宜、ネットワーク１，２，３及び４は”ネットワークＡ”、”ネットワークＢ”、”ネットワークＣ”及び”ネットワークＤ”と呼び、バックボーン・ネットワーク１００に接続されるルータ７及び１０を”ルータＡ”及び”ルータＢ”、或いは、基幹ルータと呼ぶことにする。

図２において１２，１３、１００及び”ＲＩ５３”は図１と同一符号を付してあり、１５は分岐手段１２で分岐されたパケットを取得する取得手段、１６はＣＰＵ（Central Processing Unit）等の演算制御手段、１７は通過したパケットを後段のパケット監視装置に転送する転送手段、１８はバックボーン・ネットワーク１００を介して他のルータとの間で通信をしてルーティング情報を取得する通信手段である。

また、取得手段１５，演算制御手段１６，転送手段１７及び通信手段１８はフィルタ手段１３を構成している。

分岐手段１２からの分岐信号は取得手段１５に接続され、取得手段１５の出力は演算制御手段１６に接続される。演算制御手段１６の出力は転送手段１７に接続され、転送手段１７の出力は後段のパケット監視装置１４（図示せず。）に接続される。

また、バックボーン・ネットワーク１００は通信手段１８に接続され、通信手段１８の出力は演算制御手段１６に接続される。

図３中”Ｓ００１”において演算制御手段１６は、通信手段１８を制御してバックボーン・ネットワーク１００に接続されているルータ７及び１０との間で、バックボーン・ネットワーク１００を介してルータの配下にどのようなネットワークが存在するかと言ったルーティング情報を互いに交換する。

もし、図３中”Ｓ００１”において新しいルーティング情報を取得したと判断した場合には、図３中”Ｓ００２”において演算制御手段１６は、図２中”ＲＩ５３”に示すようなルーティング情報を更新する。

例えば、図４はルーティング情報の一例を示すものであり、ルーティング情報には、宛先アドレスと当該宛先アドレスのパケットを受け取った場合の送信先である送信先ルータの名前が記述されている。

図４に示すルーティング情報から分かるように、受信したパケットの宛先アドレスが”ネットワークＡ”若しくは”ネットワークＢ”である場合には、”ルータＡ”に送信し、受信したパケットの宛先アドレスが”ネットワークＣ”若しくは”ネットワークＤ”である場合には、”ルータＢ”に送信することを示している。

図５中”Ｓ１０１”において演算制御手段１６は、取得手段１５を介して図７中”ＲＴ７１”に示す伝播経路でパケットを取得したか否かを判断し、もし、パケットを取得しなかったと判断した場合には図５中”Ｓ１０１”に示すステップに戻る。

もし、図５中”Ｓ１０１”においてパケットを取得したと判断した場合には、図５中”Ｓ１０２”において演算制御手段１６は、取得したパケットの宛先アドレスと図２中”ＲＩ５３”に示すルーティング情報を比較すると共に図５中”Ｓ１０３”においてルーティング情報に記述があるか否かを判断する。

もし、例えば、取得したパケットが図６中”ＰＫ６１”に示す正しい宛先のパケットである場合を考える。この時、図６中”ＤＡ６１”、ＳＡ６１”及び”ＤＴ６１”は宛先アドレス、送信元アドレス及びその他データ等である。

また、図６中”ＤＡ６１”に示す宛先アドレスは、ネットワーク部とホストアドレス部で表現されており、例えば、”ネットワークＡ．アドレス１”と言う宛先アドレスは”ネットワークＡ”と言うネットワークにある”アドレス１”と言うホストアドレスを有する機器を示している。

同様に、図６中”ＳＡ６１”に示す送信元アドレスも、ネットワーク部とホストアドレス部で表現されており、例えば、”ネットワークＤ．アドレス１”と言う宛先アドレスは”ネットワークＤ”と言うネットワークにある”アドレス１”と言うホストアドレスを有する機器を示している。

すなわち、図６中”ＰＫ６１”に示すような正しい宛先のパケットを取得した場合、図２中”ＲＩ５３”に示すルーティング情報に”ネットワークＡ”に関する記述があるので、図５中”Ｓ１０４”において演算制御手段１６は図７中”ＰＫ６２”に示す取得したパケットを破棄する。

ちなみに、図６中”ＰＫ６１”に示すような正しい宛先のパケットを”ネットワークＤ”から送信した場合、図７中”ＲＴ７２”に示す伝播経路のように、ルータ９を介して”ルータＢ”に転送される。

そして、図１４に示す従来例と同様に、”ルータＢ”は、受信したパケットの宛先アドレスが”ネットワークＡ．アドレス１”であるので、図７中”ＲＴ７３”に示すように”ルータＡ”にパケットを転送し、”ルータＡ”は、図７中”ＲＴ７４”に示すように受信したパケットをルータ５を介して宛先アドレスである”ネットワークＡ”に対して転送し、最終的に図７中”ＰＫ６１”に示すようにパケットが”ネットワークＡ”に到達する。

また、図５中”Ｓ１０３”においてルーティング情報に記述がないと判断した場合、図５中”Ｓ１０５”において演算制御手段１６は、転送手段１７を制御して取得したパケットを後段のパケット監視装置１４に転送する。

もし、例えば、取得したパケットが図８中”ＰＫ８１”に示す宛先不明のパケットである場合を考える。この時、図８中”ＤＡ８１”、ＳＡ８１”及び”ＤＴ８１”は宛先アドレス、送信元アドレス及びその他データ等である。

また、図８中”ＤＡ８１”に示す宛先アドレスは、ネットワーク部とホストアドレス部で表現されており、例えば、”ネットワークＧ．アドレス１”と言う宛先アドレスは”ネットワークＧ”と言うネットワークにある”アドレス１”と言うホストアドレスを有する機器を示している。

同様に、図８中”ＳＡ８１”に示す送信元アドレスも、ネットワーク部とホストアドレス部で表現されており、例えば、”ネットワークＤ．アドレス１”と言う宛先アドレスは”ネットワークＤ”と言うネットワークにある”アドレス１”と言うホストアドレスを有する機器を示している。

すなわち、取得手段１５を介して図９中”ＲＴ９１”に示す伝播経路で図８中”ＰＫ８１”に示すような宛先不明のパケットを取得した場合、図２中”ＲＩ５３”に示すルーティング情報に”ネットワークＧ”に関する記述はないので、図９中”ＲＴ９２”に示すように演算制御手段１６は図９中”ＰＫ８２”に示す取得したパケットをパケット監視装置１４に転送し、最終的に図９中”ＰＫ８３”に示すようにパケットがパケット監視装置１４に到達する。

ちなみに、図８中”ＰＫ８１”に示すような宛先不明のパケットを”ネットワークＤ”から送信した場合、図９中”ＲＴ９３”に示す伝播経路のように、ルータ９を介して”ルータＢ”に転送される。

但し、図９中”ＲＩ５２”に示すルーティング情報には宛先アドレスである”ネットワークＧ”が記述されていないので、”ルータＢ”は受信したパケットを図９中”ＣＡ９１”に示すように破棄する。

この結果、ネットワークに設けられた分岐手段１２によってネットワークを伝播するパケットを分岐させて取得し、フィルタ手段１３がルーティング情報に宛先アドレスの記述がないパケットを通過させ、ルーティング情報に宛先アドレスの記述があるパケットを破棄することにより、監視対象ネットワークの設定等を変更することなく宛先不明のパケットを選別することが可能になる。

また、ワームが発生させる宛先不明のパケットを選別するのみならず、機器の設定ミスや不具合に起因する宛先不明のパケットの選別にも利用することが可能である。

なお、図１等に示す実施例では、フィルタ手段１３がルーティング情報に宛先アドレスの記述がないパケットを通過させ、ルーティング情報に宛先アドレスの記述があるパケットを破棄しているが、特にこのような手順に限定されるものではなく、取得したパケットをフィルタ手段１３がルーティング情報に基づき通過させ、或いは、破棄するものであっても構わない。

また、図１等に示す実施例では、フィルタ手段１３がルーティング情報に宛先アドレスの記述がないパケットを通過させ、ルーティング情報に宛先アドレスの記述があるパケットを破棄しているが、ルーティング情報に”宛先不明”として特定の宛先アドレスが記述されている場合には、当該”宛先不明”にして記述されている宛先アドレスのパケットを通過させても勿論構わない。

また、図２に示すフィルタ手段１３の具体例においては、ルーティング情報に宛先アドレスの記述があるパケットを破棄しているが、パケットを破棄するためのインターフェースを設けておき、ルーティング情報に宛先アドレスの記述があるパケットを当該インターフェースに出力しても構わない。

また、図１等に示す実施例では、バックボーン・ネットワーク１００を介して他のルータからルーティング情報を取得しているが、フィルタ手段１３にルーティング情報入力手段を設けて、直接入力、ファイル入力、若しくは、ルータ以外の機器からの入力によりルーティング情報を取得しても勿論構わない。

また、図１等に示す実施例では、バックボーン・ネットワーク１００を介して他のルータからルーティング情報を取得しているが、フィルタ手段１３にルーティング情報入力手段を設けてルーティング情報としては共有されていないもののルータには設定されているルーティング情報を個別に設定したり、特別にルーティング情報を変更したりしても構わない。

また、フィルタ手段１３にパケットフィルタ条件設定手段を設けてパケットフィルタ条件を設定して、フィルタ手段１３をパケットフィルタ機能として動作させても構わない。当該パケットフィルタ条件の入力方法としては、直接入力、ファイル入力、若しくは、他の機器からの入力のいずれであっても構わない。

ちなみに、パケットフィルタ条件としては、パケットの内容（宛先アドレス、送信元アドレス、パケットの各フィールドの値等）に基づいたフィルタリング、ルーティング情報に基づくフィルタリング、或いは、両者の組み合わせを用いることができる。

この場合、ルーティング情報入力手段によりルーティング情報を個別に設定したり、特別にルーティング情報を変更したり、若しくは、パケットフィルタ条件設定手段を設けてパケットフィルタ条件を設定しフィルタ手段１３をパケットフィルタ機能として動作させることにより、ルーティング情報に宛先アドレスが記述されている、或いは、記述されていないのみならず、特定の宛先アドレスのパケットを選別することも可能になる。

また、図１等に示す実施例では、リアルタイムにネットワーク伝播しているパケットを取得してルーティング情報に基づきパケットを選別（通過、若しくは、破棄）しているが、過去に記録されたパケットを選別させても構わない。

図１０はこのような過去に記録されたパケットを選別するパケット選別装置の一実施例を示す構成ブロック図である。図１０において１７、１８及び１００は図２と同一符号を付してあり、１９は過去に記録されたパケットの情報を取り込むための入力手段、２０はＣＰＵ等の演算制御手段、２１は過去のパケットの情報が記録されているフレキシブルディスク等の記録媒体である。

また、転送手段１７、通信手段１８、入力手段１９及び演算制御手段２０はパケット選別装置５１を構成している。

入力手段１９の出力は演算制御手段２０に接続され、演算制御手段２０の出力は転送手段１７に接続され、転送手段１７の出力は後段のパケット監視装置１４（図示せず。）に接続される。また、バックボーン・ネットワーク１００は通信手段１８に接続され、通信手段１８の出力は演算制御手段２０に接続される。

ここで、図１０に示す実施例の動作を図１１、図１２、図１３及び図１４を用いて説明する。図１１及び図１３は演算制御手段２０の動作を説明するフロー図、図１２は蓄積されたルーティング情報の一例を示す説明図、図１４は過去に記録されたパケットの情報の一例を示す説明図である。

ちなみに、分岐手段１２がない点及びフィルタ手段１３をパケット選別装置５１と置換した以外の監視対象ネットワークの接続関係等は図１と同様であり、従って、図１等の実施例と同様の動作に関しては説明を省略する。

図１１中”Ｓ２０１”において演算制御手段２０は、通信手段１８を制御してバックボーン・ネットワーク１００に接続されているルータ７及び１０との間で、バックボーン・ネットワーク１００を介してルータの配下にどのようなネットワークが存在するかと言ったルーティング情報を互いに交換する。

もし、図１１中”Ｓ２０１”において新しいルーティング情報を取得したと判断した場合には、図１１中”Ｓ２０２”において演算制御手段２０は、取得したルーティング情報をその時間帯と共に順次蓄積する。

例えば、図１２中”ＲＩ１０１”、”ＲＩ１０２”及び”ＲＩ１０３”に示すように時間帯がそれぞれ”１：００〜１：５９（正確には０１：００：００〜０１：５９：５９であり、以下同様である。）”、”２：００〜２：５９”及び”３：００〜３：５９”におけるルーティング情報が順次蓄積される。

図１３中”Ｓ３０１”において演算制御手段２０は、入力手段１９を介して記憶媒体２１に記録されているパケットの情報の入力があったか否かを判断し、もし、パケットの情報の入力がなかったと判断した場合には図１３中”Ｓ３０１”に示すステップに戻る。

もし、図１３中”Ｓ３０１”においてパケットの情報が入力されたと判断した場合には、図１３中”Ｓ３０２”において演算制御手段２０は、入力されたパケットの宛先アドレスと図１２中”ＲＩ１０１”、”ＲＩ１０２”及び”ＲＩ１０３”に示すルーティング情報の内で同一時間帯のルーティング情報を比較すると共に図１３中”Ｓ３０３”において選択した同一時間帯のルーティング情報に記述があるか否かを判断する。

例えば、入力されたパケットの情報が図１４に示すようなものであった場合、演算制御手段２０は、図１４中”パケットＡ”に関してはパケットの記録時刻が”０１：３０：１０”であるので、図１２中”ＲＩ１０１”に示す時間帯が”１：００〜１：５９（０１：００：００〜０１：５９：５９）”のルーティング情報を選択する。

同様に、例えば、演算制御手段２０は、図１４中”パケットＢ”及び”パケットＣ”に関してはパケットの記録時刻が”０２：１０：２５”及び”０３：１８：３６”であるので、図１２中”ＲＩ１０２”及び”ＲＩ１０３”に示す時間帯が”２：００〜２：５９（０２：００：００〜０２：５９：５９）”及び”３：００〜３：５９（０３：００：００〜０３：５９：５９）”のルーティング情報を選択する。

もし、図１３中”Ｓ３０３”において選択した時間帯のルーティング情報に記述があると判断した場合、図１３中”Ｓ３０４””において演算制御手段２０は、入力されたパケットを破棄する。

また、もし、図１３中”Ｓ３０３”において選択した時間帯のルーティング情報に記述がないと判断した場合、図１３中”Ｓ３０５”において演算制御手段２０は、転送手段１７を制御して取得したパケットを後段のパケット監視装置１４に転送する。

但し、図１２に示すようにルーティング情報は、規則的（一定時間毎）に交換される場合のみならず、ルーティング情報に変更があった場合（イベント発生時）に随時交換するものであってもいずれであっても構わない。

この場合、一定時間毎、若しくは、ルーティング情報に変更があった場合（イベント発生時）に順次ルーティング情報を取得して蓄積し、入力されたパケットの記録時刻に対応したルーティング情報を選択し、選択されたルーティング情報に基づき入力されたパケットを通過させる、或いは、破棄することにより、過去に記録されたパケットであっても監視対象ネットワークの設定等を変更することなく宛先不明のパケットを選別することが可能になる。

また、図１等に示す分岐手段１２の具体例としては、ケーブルタップ装置である。また、ケーブルタップ装置としては、電気的にパケットを分岐するものであったり、ネットワークが光ネットワークの場合には光学的にパケットを分岐するものである。

また、図１等に示す分岐手段１２としてケーブルタップ装置を用いることなく、ルータ等のミラーポートを用いて伝播しているパケットを全てミラーポートにコピーしても構わない。

また、図１等に示すパケット監視装置１４の具体例としては、単純にパケットを記録する装置、パケットの構造を解析する装置、パケットを分類し統計を取る装置、パケットの送信元と宛先によって分類し統計を取る装置、設定された条件に一致若しくは一致しなかったパケットを受信すると設定された動作を行う装置、不正パケット検知装置、或いは、パケット経路追跡装置等がある。

本発明に係るパケット選別装置を用いた監視対象ネットワークの一実施例を示す構成ブロック図である。 フィルタ手段の具体例を示す構成ブロック図である。 演算制御手段の動作を説明するフロー図である。 ルーティング情報の一例を示す説明図である。 演算制御手段の動作を説明するフロー図である。 正しい宛先のパケットの一例を示す説明図である。 パケットの伝播経路の一例を示す説明図である。 宛先不明のパケットの一例を示す説明図である。 パケットの伝播経路の一例を示す説明図である。 過去に記録されたパケットを選別するパケット選別装置の一実施例を示す構成ブロック図である。 演算制御手段の動作を説明するフロー図である。 蓄積されたルーティング情報の一例を示す説明図である。 演算制御手段の動作を説明するフロー図である。 過去に記録されたパケットの情報の一例を示す説明図である。 従来のパケット選別装置を用いた監視対象ネットワークの一例を示す構成ブロック図である。 ルーティング情報の一例を示す説明図である。 正しい宛先のパケットの一例を示す説明図である。 パケットの伝播経路の一例を示す説明図である。 宛先不明のパケットの一例を示す説明図である。 パケットの伝播経路の一例を示す説明図である。

符号の説明

１，２，３，４ ネットワーク
５，６，７，８，９，１０ ルータ
１１，１４ パケット監視装置
１２ 分岐手段
１３ フィルタ手段
１５ 取得手段
１６，２０ 演算制御手段
１７ 転送手段
１８ 通信手段
１９ 入力手段
２１ 記録媒体
５０，５１ パケット選別装置
１００ バックボーン・ネットワーク

Claims (13)

1. ネットワークを伝播するパケットを選別するパケット選別装置において、
   ネットワークを伝播するパケットを分岐させる分岐手段と、
   ルータとの間でルーティング情報を共有すると共に前記分岐手段で分岐された前記パケットを前記ルーティング情報に基づき通過させ、或いは、破棄するフィルタ手段と
   を備えたことを特徴とするパケット選別装置。
2. 前記フィルタ手段が、
   前記分岐手段で分岐された前記パケットを取得する取得手段と、
   前記ルータとの間で通信を行う通信手段と、
   転送手段と、
   前記通信手段を制御して前記ルータから前記ルーティング情報を取得すると共に前記分岐手段で分岐された前記パケットを前記ルーティング情報に基づき通過させ、或いは、破棄し、通過させた前記パケットを前記転送手段を介して後段のパケット監視装置に転送する演算制御手段とから構成されることを特徴とする
   請求項１記載のパケット選別装置。
3. 前記フィルタ手段若しくは前記演算制御手段が、
   前記ルーティング情報に前記パケットの宛先アドレスが記述されていなければ前記パケットを通過させ、前記ルーティング情報に前記パケットの宛先アドレスが記述されていれば前記パケットを破棄することを特徴とする
   請求項１若しくは請求項２記載のパケット選別装置。
4. 前記フィルタ手段若しくは前記演算制御手段が、
   前記パケットを前記ルーティング情報に基づき破棄する場合に、パケットを破棄するためのインターフェースに出力することを特徴とする
   請求項１若しくは請求項２記載のパケット選別装置。
5. 前記フィルタ手段若しくは前記通信手段が、
   バックボーン・ネットワークを介して前記ルータとの間で通信を行うことを特徴とする
   請求項１若しくは請求項２記載のパケット選別装置。
6. 前記フィルタ手段若しくは前記演算制御手段が、
   直接入力により前記ルーティング情報を取得するルーティング情報入力手段を備えたことを特徴とする
   請求項１若しくは請求項２記載のパケット選別装置。
7. 前記フィルタ手段若しくは前記演算制御手段が、
   ファイル入力により前記ルーティング情報を取得するルーティング情報入力手段を備えたことを特徴とする
   請求項１若しくは請求項２記載のパケット選別装置。
8. 前記フィルタ手段若しくは前記演算制御手段が、
   前記ルータ以外の機器からの入力により前記ルーティング情報を取得するルーティング情報入力手段を備えたことを特徴とする
   請求項１若しくは請求項２記載のパケット選別装置。
9. 前記フィルタ手段若しくは前記演算制御手段が、
   パケットフィルタ条件を設定するパケットフィルタ条件設定手段を備えると共にパケットフィルタ機能として動作することを特徴とする
   請求項１若しくは請求項２記載のパケット選別装置。
10. ネットワークを伝播するパケットを選別するパケット選別装置において、
    過去に記録されたパケットの情報を取り込む入力手段と、
    前記ルータとの間で通信を行う通信手段と、
    転送手段と、
    前記通信手段を制御して前記ルータから一定時間毎、若しくは、ルーティング情報に変更があった場合に順次ルーティング情報を取得して蓄積し、前記パケットの記録時刻に対応したルーティング情報を選択し、選択されたルーティング情報に基づき前記パケットを通過させ、或いは、破棄し、通過させた前記パケットを前記転送手段を介して後段のパケット監視装置に転送するフィルタ手段と
    を備えたことを特徴とするパケット選別装置。
11. 前記分岐手段が、
    ケーブルタップ装置であることを特徴とする
    請求項１乃至請求項９のいずれかに記載のパケット選別装置。
12. 前記分岐手段が、
    ネットワークを伝播しているパケットを全てミラーポートにコピーすることによりパケットを分岐させることを特徴とする
    請求項１乃至請求項９のいずれかに記載のパケット選別装置。
13. 前記パケット監視装置が、
    パケットを記録する装置、パケットの構造を解析する装置、パケットを分類し統計を取る装置、パケットの送信元と宛先によって分類し統計を取る装置、設定された条件に一致若しくは一致しなかったパケットを受信すると設定された動作を行う装置、不正パケット検知装置、或いは、パケット経路追跡装置のいずれかであることを特徴とする
    請求項１乃至請求項１２のいずれかに記載のパケット選別装置。
    

Images