JP2006050442A - トラヒック監視方法及びシステム - Google Patents

Abstract

【課題】 ネットワークにおいて、ＤｏＤ攻撃などの異常トラヒックを、輻輳を起こすことなく確実に検出する。
【解決手段】 ネットワークに、一次集約データ分析装置３２１，３２２を分散配置するとともに、二次集約データ分析装置３００を設ける。一次集約データ分析装置３２１、３２２では、各ルータからのトラヒックを集約し、集約されたトラヒックから、異常トラヒックであるとの疑いがある被疑トラヒックを検出し、検出された被疑トラヒックから、多地点間分析で必要なデータを抽出し、抽出されたデータを二次集約データ分析装置３００。二次集約データ分析装置３００は、一次集約データ分析装置３２１、３２２から送信されてきたデータから、異常トラヒックを検出する。
【選択図】 図１

Description

本発明は、インターネットにおける異常なトラヒックを監視するトラヒック監視方法及びシステムに関し、特に、ＤｏＳ(Denial of Service)やＤＤｏＳ(Distributed Denial of Service)によるトラヒックのような、特定のユーザに対し過度のトラヒックを送信することによりそのユーザのサービス停止を狙ったトラヒックを、多地点でのトラヒック観測情報を基に監視するトラヒック監視方法及びシステムに関する。

インターネット上では、特定のサイトに対して異常なパケットを大量に送信しそれによってそのサイトにおけるサービスを停止させようとする攻撃が、しばしば行われるようになってきた。そのような攻撃のことをＤｏＳ攻撃と呼ぶが、さらに巧妙な攻撃として、異なる複数の場所から同時に同一サイトに対してＤｏＳ攻撃を仕掛けてくることもあり、そのような複数の場所からの攻撃をＤＤｏＳ攻撃と呼んでいる。

ＤｏＳあるいはＤＤｏＳ攻撃による妨害を排除するためには、ＤｏＳやＤＤｏＳの異常トラヒックを送信する不正アクセスを検出してそのような不正アクセスに対処するだけでなく、そのような異常トラヒックの発信元である攻撃元を特定するトラヒック監視ステムが必要となっている。

このようなトラヒック監視システムとして、ネットワーク内の多地点でトラヒックを監視するシステムが有効である。複数のネットワークがそれぞれルータを介して接続しているネットワーク構成を考えた場合に、このような監視システムとして、抽出データ分析型と集約データ分析型とが知られている。抽出データ分析型の監視システムは、各ルータにおいてそのルータを疎通するトラヒックから必要な情報だけを抽出し、その後、その情報を抽出データ分析装置に送信し、抽出データ分析装置では、集められた抽出データから異常トラヒックを検出するものである。したがって、ルータごとに、トラヒックをモニタしてトラヒックデータを抽出する抽出装置を設ける必要がある。一方、集約データ分析型のシステムは、各ルータでは、トラヒック集約制御装置からの指示に従い、関連するデータを全て集約データ分析装置へ迂回させ、集約データ分析装置では、迂回により集約されたデータから異常トラヒックを検出するものである。

抽出データ分析型のトラヒック監視システムの代表例として、米国アーバー・ネットワーク(ARBOR NETWORKS)社（http://www.arbornetworks.com)のＰｅａｋｆｌｏｗ Ｐｌａｔｆｏｒｍと呼ばれる製品（詳細は、ＵＲＬ：http://www.arbornetworks.com/products_sp.php（非特許文献１）を参照）と、米国シスコ(Cisco)社のＮｅｔ Ｆｌｏｗ Ｓｅｒｖｉｃｅ（詳細は、ＵＲＬ：http://www.cisco.com/warp/public/cc/pd/iosw/ioft/neflct/tech/napps_wp.htmあるいはこれと同内容のｐｄｆ文書であるＵＲＬ：http://www.cisco.com/warp/public/cc/pd/iosw/ioft/nelflct/tech/napps_wp.pdf（非特許文献２）を参照）を使った製品とがある。一方、集約データ分析型のトラヒック監視システムの代表例として、濱野貴文他、“トラヒック集約処理を用いたネットワークベース攻撃防御方式”、電子情報通信学会 信学技報、ＮＳ２００３−２８８、１７９〜１８２ページ、２００４年（非特許文献３）において報告されている方式や、米国のスプリント(SPRINT)社の技術資料、Sharad Agarwal et al., "DDos Mitigation via Regional Cleaning Centers," SPRINT ATL RESEARCH REPORT RR04-ATL-013177、２００４年１月（非特許文献４、ＵＲＬ：http://ipmon.sprint.com/pubs_trs/trs/RR04-ATL-013177.pdfから入手可能）がある。

まず、抽出データ分析型のトラヒック監視システムを説明する。図６は、抽出データ分析型システムの構成を示すブロック図である。

図６に示したものでは、ネットワーク１、２、３が設けられており、ネットワーク１とネットワーク２とがルータ４により接続され、ネットワーク１とネットワーク３とがルータ５により接続されていることにより、これらネットワーク１、２、３が相互に接続されている。ネットワーク２に接続されている攻撃コンピュータ１１は、ネットワーク３に接続されている被攻撃コンピュータ１２に対し、ＤｏＳ攻撃などの過大な流量のトラヒックを送信する攻撃を行っているものとする。ネットワーク１には、ルータ４を疎通するトラヒックを収集し、必要なデータを抽出するトラヒックデータ抽出装置６と、ルータ５を疎通するトラヒックを収集し、必要なデータを抽出するトラヒックデータ抽出装置７と、トラヒックデータ抽出装置６とトラヒックデータ抽出装置７とから抽出されたデータを集約し分析する抽出データ分析装置８とが接続されている。

なお、アーバー・ネットワークス社の製品Ｐｅａｋｆｌｏｗ Ｐｌａｔｆｏｒｍでの装置「Ｃｏｌｌｅｃｔｏｒ」は、図６でのトラヒックデータ抽出装置６、７に相当し、装置「Ｃｏｎｔｒｏｌｌｅｒ」は抽出データ分析装置８に相当する。同様に、シスコ社のＮｅｔｆｌｏｗ Ｓｅｒｖｉｃｅを使った製品では、装置「ＮｅｔＦｌｏｗ Ｆｌｏｗ Ｃｏｌｌｅｃｔｏｒ」は、図６でのトラヒックデータ抽出装置６、７に相当し、装置「ＮｅｔＦｌｏｗ Ｆｌｏｗ Ｓｅｒｖｅｒは抽出データ分析装置８に相当する（厳密には、「ＮｅｔＦｌｏｗ Ｆｌｏｗ Ｓｅｒｖｅｒ」には、異常トラヒック検出機能を具備しておく必要がある）。

図７は、図６に示した抽出データ分析型システムにおける各装置の詳細を示している。以下、図７を用いて、抽出データ分析型のトラヒック監視システムの動作を説明する。

ネットワーク１とネットワーク２とを相互接続しているルータ４には、トラヒックのルーティングを行うルーティング部４１と、ルーティングに際して参照されるルーティングテーブル４２と、ルータ４を疎通するトラヒックを監視するトラヒック監視部４３とが設けられている。ルーティング部４１は、ルーティングテーブル４２に格納された情報を使い、ルーティング処理を行う。トラヒックモニタ部４３は、ルータ４を疎通するトラヒックの情報をコピーし、そのトラヒック情報を含んだパケット（ＮｅｔＦｌｏｗ Ｓｅｒｖｉｃｅの用語では、「ＮｅｔＦｌｏｗ ｄａｔａ ｅｘｐｏｒｔ ｐａｃｋｅｔ」と呼ぶ）を作成し、トラヒックデータ抽出装置６に送信する。

トラヒックデータ抽出装置６、７は、各ルータのトラヒックモニタ部から送信されてきたデータから必要なデータだけを抽出し、抽出されたデータを抽出データ分析装置８に送信する。あるいは、抽出データ分析装置８自体がトラヒックデータ抽出装置６、７にアクセスして抽出データを取得するようにしてもよい。なお、装置ＮｅｔＦｌｏｗ ＦｌｏｗＳｅｒｖｅｒの場合は、抽出データ分析装置がトラヒックデータ抽出装置にアクセスして抽出データを取得している。

抽出データ分析装置８は、各トラヒックデータ抽出装置６、７から抽出データを収集する抽出データ収集部８１と、抽出データをトラヒックデータ抽出装置６、７ごとにそれぞれ格納する抽出データベース８２、８３と、抽出データベース８２、８３に格納されているデータから、異常トラヒック検出アルゴリズムを用いて異常トラヒックを検出する異常トラヒック検出部８４と、を備えている。この異常トラヒック検出装置８では、抽出データ収集部８１を通して、トラヒックデータ抽出装置６、７から抽出されたデータを収集し、それぞれ抽出データベース８２、８３に格納される。異常トラヒック検出部８４は、抽出データベース８２、８３に格納されているデータから、異常トラヒック検出アルゴリズムを用いて、異常トラヒックを検出する。異常トラヒック検出部８４で用いる異常トラヒック検出アルゴリズムとしては、例えば、技術報告書、J. Mirkovic et al., "A Taxonomy of DDoS Attacks and DDoS Defense Mechanisims", Technical report#020018（非特許文献５、ＵＲＬ：http://www.lasr.cs.ucla.edu/ddos/ucla_tech_report_020018.pdfから入手可能）に概要が記載されたものを使用することができる。この異常トラヒック検出アルゴリズムの詳細については、非特許文献５の参考文献を参照されたい。例えば、ルータ４、ルータ５を経由する被攻撃コンピュータ１２宛のトラヒックの流量が規定以上であれば、そのトラヒックは異常と判定する。なお、複数地点からのトラヒック情報をもとに攻撃元を特定する追跡アルゴリズムについては、例えば、武井洋介他、“トラヒックパターンを用いた不正アクセス検出及び追跡方法”、電子情報通信学会論文誌 Ｂ−Ｉ、第Ｊ８２−Ｂ−Ｉ巻、第１０号、１−１０ページ、１９９９年１０月（非特許文献６）を参照されたい。

次に、集約データ分析型のトラヒック監視システムを説明する。図８は、集約データ分析型システムの構成を示すブロック図である。

図８に示したものでは、ネットワーク１０１、１０２、１０３が設けられており、ネットワーク１０１とネットワーク１０２とがルータ１０４により接続され、ネットワーク１０１とネットワーク１０３とがルータ１０５により接続されていることにより、これらネットワーク１０１、１０２、１０３が相互に接続されている。ネットワーク１０２に接続されている攻撃コンピュータ１１１は、ネットワーク３に接続されている被攻撃コンピュータ１１２に対し、ＤｏＳ攻撃などの過大な流量のトラヒックを送信する攻撃を行っているものとする。ネットワーク１には、トラヒック集約制御装置１０６と集約データ分析装置１０７とが接続しており、ネットワーク１０１内のルータ１０４と集約データ分析装置１０７との間、及び、ルータ１０５と集約データ分析装置１０７との間には、それぞれ、トラヒック集約制御装置１０６により設定されたトンネル１０８、１０９が設定されている。

このシステムは、各ルータ１０４、１０５は、それぞれ、そのルータを疎通するトラヒックをトンネル１０８、１０９を介して、集約データ分析装置１０７に転送する。転送する方法としては、ｉＢＧＰルーティングテーブルの書き替え方式や、トンネリング方式などがある。ｉＢＧＰルーティングテーブルの書き替え方式では、被攻撃コンピュータ１１２宛のパケットのネットワーク１０１内の最終ルータ宛先が集約データ分析装置１０７になるように、ネットワーク１０１内のすべてのＢＧＰ(Border gateway Protocol)スピーカ(Speaker)ルータ内のｉ(internal)ＢＧＰルーティングテーブルを設定する。一方、トンネリング方式では、被攻撃コンピュータ１１２宛のトラヒックが疎通するルータと集約データ分析装置１０７との間でトンネルを確立する。そして、被攻撃コンピュータ１１２宛のパケットがこのトンネルを使用するように、そのルータ内のアクセス制御リストのルールを設定する。なお、トンネルを設定するためのプロトコルとしては、例えば、Ｌ２ＴＰ(Layer 2 Tunneling Protocol)、ＧＲＥ(Generic Routing Encapsulation)、ＭＰＬＳ(Multiprotocol Label Switching)などがある。集約データ分析型のトラヒック監視システムで用いる各プロトコルについては、上述の非特許文献４を参照されたい。

なお、非特許文献３に記述されている装置「管理サーバ」は、図８に示したシステムにおけるトラヒック集約制御装置１０６に相当し、「集約型攻撃防御装置」は、集約データ分析装置１０７に相当する。一方、非特許文献４において記述されている装置「Ｃｌｅａｎｉｎｇ Ｃｅｎｔｅｒ」は、集約データ分析装置１０７に相当する。非特許文献４には、図８に示した構成でのトラヒック集約制御装置１０６に対応する構成については、明確には記述されていない。

以下、トラヒックの転送方式としてトンネリング方式を用いるものとして仮定して、集約データ分析型のトラヒック監視システムの動作を説明するが、ここで述べる各課題は、トラヒックの転送方式としてトンネリング方式以外のものを使用した場合にも当てはまるものである。図９は、図８に示した抽出データ分析型システムにおける各装置の詳細を示している。

ネットワーク１０１とネットワーク１０２を相互接続しているルータ１０４には、トラヒックのルーティングを行うルーティング部１４１と、ルーティングに際して参照されるルーティングテーブル１４２と、同じくルーティングに際して参照されるアクセス制御リスト１４３と、トンネル１０８の管理を行うトンネル管理部１４４とを備えている。ルータ１０５もルータ１０４と同じ構成である。トラヒック集約制御装置１０６にも、トンネル１０８、１０９の管理を行うトンネル管理部１６１が設けられている。集約データ分析装置１０７には、ルータ１０４、１０５から抽出されたトラヒックをそれぞれトンネル１０８、１０９を介して収集する実データ収集部１７１と、収集されたデータをルータ１０４、１０５ごとにそれぞれ格納する実データベース１７２、１７３と、実データベース１７２、１７３に格納されているデータから異常トラヒックを検出する異常トラヒック検出部１７４と、を備えている。ここでは、トラヒック集約制御装置１０６のトンネル管理部１６１が、事前にルータ１０４内のトンネル管理部１４４とルータ１０５内のトンネル管理部とを用いて、ルータ１０４と集約データ分析装置１０７との間とルータ１０５と集約データ分析装置１０７との間に、それぞれ、トンネル１０８、トンネル１０９を設定しているものとする。

このトラヒック監視システムにおいて、ルーティング部１４１は、ルーティングテーブル１４２の情報のみならずアクセス制御リスト１４３の情報を用い、ルーティング処理を行う。トラヒック集約制御装置１０６からの指示により、アクセス制御リスト１４３には、ネットワーク１０３宛のトラヒックはすべてトンネル１０８を使用するよう明示されている。これにより、ネットワーク１０３宛のトラヒックは、集約データ分析装置１０７へと迂回させることができる。

なお、被攻撃コンピュータ１１２のユーザの指示（非特許文献４を参照）もしくはルータ１０４による指示（非特許文献３を参照）によりアクセス制御リストを動的に変更することによって、攻撃の発生が疑われもしくは予見し得るときに、トンネル１０８を使用してネットワーク１０３宛のトラヒックを集約データ分析装置１０７へ迂回できるが、ここでは、常時、集約データ分析装置１０７へ迂回されているとする。

集約データ分析装置１０７では、実データ収集部１７１を通して、ルータ１０４、ルータ１０５から抽出されたデータを収集し、それぞれ実データベース１７２、１７３に格納する。異常トラヒック検出部１７４は、実データベース１７２、１７３に格納されているデータを分析し、異常トラヒックがあるか調べる。例えば、実データベース１７２内のデータにより、ルータ１０４、ルータ１０５を経由する被攻撃コンピュータ１１２宛のトラヒックの流量が規定以上であると判断されれば、そのトラヒックは異常と判定する。
米国ＡＲＢＯＲ ＮＥＴＯＷＲＫＳ社の資料、[online]、米国ＡＲＢＯＲ ＮＥＴＯＷＲＫＳ社、［２００４年７月４日検索］、インターネット〈ＵＲＬ：http://www.arbornetworks.com/products_sp.php〉 "NetFlow Services and Applications"、[online]、米国シスコ社、［２００４年７月４日検索］、インターネット〈ＵＲＬ：http://www.cisco.com/warp/public/cc/pd/iosw/ioft/nelflct/tech/napps_wp.pdf〉 濱野貴文他、"トラヒック集約処理を用いたネットワークベース攻撃防御方式"、電子情報通信学会 信学技報、ＮＳ２００３−２８８、１７９−１８２ページ、２００４年 Sharad Agarwal et al., "DDos Mitigation via Regional Cleaning Centers," SPRINT ATL RESEARCH REPORT RR04-ATL-013177、[online]、２００４年１月、［２００４年７月４日検索］、インターネット〈ＵＲＬ：http://ipmon.sprint.com/pubs_trs/trs/RR04-ATL-013177.pdf〉 J. Mirkovic et al., "A Taxonomy of DDoS Attacks and DDoS Defense Mechanisims", Technical report#020018、[online]、［２００４年７月４日検索］、インターネット〈：http://www.lasr.cs.ucla.edu/ddos/ucla_tech_report_020018.pdf〉 武井洋介他、"トラヒックパターンを用いた不正アクセス検出及び追跡方法"、電子情報通信学会論文誌 Ｂ−Ｉ、第Ｊ８２−Ｂ−Ｉ巻、第１０号、１−１０ページ、１９９９年１０月

しかしながら、上述した従来のトラヒック監視システムには、以下に述べるような課題がある。

抽出データ分析型のトラヒック監視システムでは、ルータごとに設けられたトラヒックデータ抽出装置において、抽出データ分析装置へ送るデータを実トラヒックから抽出する。例えば、一定時間でサンプリングした値もしくは統計情報のみのデータをトラヒックデータ抽出装置から抽出データ分析装置へ送る。このデータの抽出処理により本来あるべき情報量が減少し、これにより、抽出データ分析装置での異常トラヒック検出率が低下する。図１０に、実トラヒックをサンプリングすることによっては異常トラヒックであることを検出できない場合の例を示す。

図１０は、トラヒックのレート（流量）の時間変化の一例を示すグラフである。ここでは、レートにおいて異常閾値が設定されており、レートが異常閾値を超えるときに異常と判断する異常検出アルゴリズムを仮定している。ＤｏＳ攻撃のように、一時的に過度のトラヒックを送信する攻撃の例では、このアルゴリズムは有効である。図１０の例では、実トラヒック１０００では攻撃攻撃１００１、攻撃１００２によってレートが異常閾値を超えている期間があるのに対し、一定間隔で平均化するサンプルトラヒック２０００ではいずれの時間帯でもレートは異常閾値を下回っている。したがって、このようなサンプルトラヒック２０００を用いて異常トラヒックの検出を行った場合には、攻撃１００１、１００２は検出できないことになる。なお、実トラヒックをもとに分析する集約データ分析型のシステムでは、攻撃２０１、攻撃２０２は検出可能である。

さらに、抽出データ分析型のシステムは、すべてのルータに対してルータごとにトラヒックデータ抽出装置を設ける必要があるので、コスト面や実装面での問題点も生じる。

一方、集約データ分析型のトラヒック監視システムでは、集約データ分析装置がルータからの実トラヒックを集約するため、ルータから集約データ分析装置までの間のパスで輻輳が発生する可能性がある。特に、ＤｏＳ攻撃のような攻撃トラヒックは、過度の流量のトラヒックをもたらすため、ますます、輻輳が発生する確率が高くなる。また、ＤＤｏＳ攻撃のように複数の攻撃コンピュータがひとつの被攻撃コンピュータを攻撃する場合には、輻輳が発生する確率はさらに高くなる。例えば、図１１に示すように複数の攻撃コンピュータがひとつの被攻撃コンピュータを攻撃する場合における、集約データ分析型のシステムを考える。

図１１に示したものでは、ネットワーク２００にルータ２３１、２３２、２３３が収容されており、ルータ２３１はネットワーク２００とネットワーク２０１を接続し、ルータ２３２はネットワーク２００とネットワーク２０２を接続し、ルータ２３３はネットワーク２００とネットワーク２０３を接続している。ネットワーク２００には集約データ分析装置２４０が接続しており、ネットワーク２００に接続されたトラヒック集約制御装置（不図示）によって、各ルータ２３１〜２３３と集約データ分析装置２４０と間には、それぞれ、トンネル２１１〜２１３が設定されているものとする。被攻撃コンピュータ２５３はネットワーク２０３に収容されており、被攻撃コンピュータ２５３に攻撃を仕掛ける攻撃コンピュータ２５１、２５２は、それぞれ、ネットワーク２０１、２０２に収容されている。このとき、集約データ分析装置２４０は、攻撃コンピュータ２５１、２５２からの実トラヒックを受信することになり、ネットワーク２００での輻輳の発生確率は高くなる。この問題は上述の非特許文献４にも記載されている。

なお、このトラヒックの集中による輻輳の問題は、抽出データ分析型のシステムの場合には、抽出データ分析装置へのトラヒックがトラヒックデータ抽出装置でのデータ抽出により緩和されるため、発生しにくくなっている。

さらに、集約データ分析型のシステムの場合、上述した輻輳のみならず、過度のトラヒックによって集約データ分析装置の処理能力が足りなくなるおそれがあり、また、集約データ分析装置が故障した場合にＤｏＳ攻撃やＤＤｏＳ攻撃に対する防御ができなくなる、という問題点もある。

そこで本発明の目的は、集約データ分析型のシステムの利点を生かしつつ、ネットワークでの輻輳を防止し、さらに、データ分析装置に障害が発生した場合であっても各種の攻撃に対して防御することができる、ネットワーク監視システム方法及びを提供することにある。

本発明では、集約データ分析装置内もしくは集約データ分析装置とルータ間のパスで輻輳が発生しないように、ネットワーク内で一次集約データ分析装置を分散配置させ、各一次集約データ分析装置内で、異常トラヒックと疑われる被疑トラヒックを検出し、さらに、二次集約データ分析装置を設け、この二次集約データ分析装置において、被疑トラヒックに対する分析結果をさらに統合して分析するようにしている。

すなわち、本発明のトラヒック監視方法は、トラヒックを疎通する複数の中継装置を含んでいるネットワークにおいてトラヒックを監視するトラヒック監視方法であって、各中継装置から、その中継装置でのトラヒックを一次集約データ分析装置に集約する段階と、一次集約データ分析装置が、集約されたトラヒックから異常トラヒックであるとの疑いがある被疑トラヒックを検出する段階と、一次集約データ分析装置が、検出された被疑トラヒックから、多地点間分析で必要なデータを抽出し、抽出されたデータを二次集約データ分析装置に送信する段階と、二次集約データ分析装置が、一次集約データ分析装置から送信されてきたデータから異常トラヒックを検出する段階と、を有する。

また本発明のトラヒック監視システムは、トラヒックを疎通する複数の中継装置を含んでいるネットワークにおいてトラヒックを監視するトラヒック監視システムであって、一次集約データ分析装置と、二次集約データ分析装置と、を有し、一次集約データ分析装置は、中継装置からのトラヒックを集約し、集約されたトラヒックから、異常トラヒックであるとの疑いがある被疑トラヒックを検出する手段と、検出された被疑トラヒックから、多地点間分析で必要なデータを抽出し、抽出されたデータを二次集約データ分析装置に送信する手段と、を備え、二次集約データ分析装置は、一次集約データ分析装置から送信されてきたデータから異常トラヒックを検出する手段を備える。

本発明において中継装置は、典型的にはルータである。

さらに本発明では、中継装置と対応する一次集約データ装置との間にトンネルを設定するとともに、一次集約データ分析装置の処理状態に応じてルータと一次集約データ分析装置間のトンネルを統合管理するようにすることが好ましい。

本発明では、一次集約データ分析装置において実トラヒックを分析するため、従来の抽出データ分析型のシステムでの問題点であったトラヒック情報の欠落が起こりにくく、これによって、異常トラヒックを確実に検出できるようになる、という効果が得られる。また、単一の一次集約データ分析装置によってネットワーク内のすべてのルータからの実トラヒックを集約するのではなく、複数の一次集約データ分析装置をネットワーク内に分散配置し、各一次集約データ分析装置がその担当するルータから実トラヒックを集約するようにすることができるので、ネットワーク及び一次集約データ分析装置での輻輳の発生が抑制される効果が得られる。

さらに、一次集約データ分析装置における障害の発生を監視しまた処理量や回線利用率を監視する手段を設けることにより、故障もしくは輻輳などにより運用停止状態となった場合、あるいは高負荷状態となった場合に、他の一次集約データ分析装置に切り替えることが可能となり、信頼性が向上する。

次に、本発明の好ましい実施の形態について、図面を参照して説明する。

《第１の実施形態》
図１は、本発明の第１の実施形態のネットワーク監視システムの構成を示すブロック図である。ここでは、図１１に示したものと同様に、ネットワーク２００にルータ２３１、２３２、２３３が収容されており、ルータ２３１はネットワーク２００とネットワーク２０１を接続し、ルータ２３２はネットワーク２００とネットワーク２０２を接続し、ルータ２３３はネットワーク２００とネットワーク２０３を接続し、被攻撃コンピュータ２５３はネットワーク２０３に収容されており、被攻撃コンピュータ２５３に攻撃を仕掛ける攻撃コンピュータ２５１、２５２は、それぞれ、ネットワーク２０１、２０２に収容されているものとする。さらに本実施形態では、図１に示すように、ネットワーク２００に対し、一次集約データ分析装置３２１、３２２と、二次集約データ分析装置３００と、トラヒック集約制御装置３４０が接続している。ルータ２３１〜２３３としては図８、９に示した従来のネットワーク監視システムにおけるルータ１０４、１０５と同等のものを使用することができ、同様に、トラヒック集約制御装置３４０としては、図８、９に示したトラヒック集約制御装置１０６と同等のものを使用できる。

一次集約データ分析装置３２１、３２２は、各ルータ２３１〜２３３からのトラヒックを集約し、集約されたトラヒックの中から被疑トラヒックを検出し、検出した被疑トラックから、必要十分なデータすなわち多地点間分析に必要なトラヒックを抽出して抽出したデータを二次集約データ分析装置３００に送信するものである。二次集約データ分析装置３００は、各一次集約データ分析装置３２１、３２２から送られてきたデータ（すなわち多地点間分析に必要なトラヒック）を蓄積し、これらのデータから異常トラヒックを抽出し、さらに攻撃元を追跡するものである。

各ルータから一次集約データ分析装置にトラヒックを集約する方法としては、従来の集約データ分析型のシステムの場合と同様に各種のものが考えられるが、ここでは、トンネリング方式を用いることとする。図１に示すように、ルータ２３１、２３２は、それらのルータを疎通するトラヒックを、それぞれ、トンネル３１１、３１２を使って一次集約データ分析装置３２１に転送する。ルータ２３３は、そのルータを疎通するトラヒックを、トンネル３１３を用いて一次集約データ分析装置３２２に転送する。

図２は、図１に示したネットワーク監視システムにおける各装置の詳細を示している。

ルータ２３１〜２３３は同一の構成のものであるから、ここではルータ２３１により、ルータの構成を説明する。ルータ２３１は、トラヒックのルーティングを行うルーティング部３５１と、ルーティングに際して参照されるルーティングテーブル３５２及びアクセス制御リスト３５３と、トンネル３１１の管理を行うトンネル管理部３５４とを備えている。トラヒック集約制御装置３４０には、各トンネル３１１〜３１３の管理を行うトンネル管理部３７１が設けられている。

一次集約データ分析装置３２１、３２２は同一の構成のものであり一次集約データ分析装置３２１によってこれらを説明すると、一次集約データ分析装置３２１は、ルータ２３１、２３２から抽出されたトラヒックをそれぞれトンネル３１１、３１２を介して収集する実データ収集部３６１と、収集されたデータをルータ２３１、２３２ごとにそれぞれ格納する実データベース３６２、３６３と、実データベース３６２、３６３に格納されているデータから被疑トラヒックを検出する一次異常トラヒック検出部３６４と、被疑トラヒックが検出された場合に、そのトラヒックからサンプル値及び／または統計情報を抽出し抽出したデータを二次集約データ分析装置３００に送信するトラヒックデータ抽出部３６５と、を備えている。

二次集約データ分析装置３００は、各一次集約データ分析装置３２１、３２２から抽出データを収集する抽出データ収集部３８１と、抽出データを一次集約データ分析装置３２１、３２２ごとにそれぞれ格納する抽出データベース３８２、３８３と、抽出データベース３８２、３８３に格納されているデータから、異常トラヒック検出アルゴリズムを用いて異常トラヒックを検出する二次異常トラヒック検出部３８４と、を備えている。

次に、このトラヒック監視システムの動作を説明する。

トラヒック集約制御装置３４０のトンネル管理部３７１によって、ルータ２３１、２３２と一次集約データ分析装置３２１との間のトンネル３１１、３１２と、ルータ２３３と一次集約データ分析装置３２２との間のトンネル３１３とが、事前に設定されているものとする。各ルータ２３１〜２３３は、アクセス制御リスト３５３に記載された条件に基づき、それらのルータを疎通するトラヒックを、トンネルを介して対応する一次集約データ分析装置３２１、３２２に迂回させる。

一次集約データ分析装置３２１では、実データ収集部３６１により、トンネル３１１、３１２を介してルータ２３１、２３２から迂回されてきたトラヒックを抽出して実データベース３６３、３６３に蓄積される。一次異常トラヒック検出部３６４は、異常トラヒック検出アルゴリズムを用いて実データベース３６２、３６３に格納されているデータを分析し、異常トラヒックではないかと疑われる被疑トラヒックをあるかどうかを調べる。被疑トラヒックが検出された場合には、トラヒックデータ検出部３６５が起動して、その被疑トラヒックからサンプル値及び／または統計情報が抽出され二次集約データ分析装置３００に送信される。もう一台の一次集約データ分析装置３２２も同様に動作するから、二次集約データ分析装置３００には、被疑トラヒックから得られたサンプル値及び／または統計情報が集約されることになる。そこで二次集約データ分析装置では、抽出データ収集部３８７によってこれらのデータを収集されて抽出データベース３８２、３８３に格納される。そして、二次異常トラヒック検出部３８４が、抽出データベース３８２、３８３に格納されている抽出データから、異常トラヒック検出アルゴリズムを用いて、異常トラヒックを検出し、さらに多地点間分析の手法を用いて、攻撃元の追跡を行う。

なお、本実施形態では、一次集約データ分析装置３２１、３２２と二次集約データ分析装置３００の双方で異常トラヒック検出アルゴリズムを適用しているが、両者において用いられる検出アルゴリズムは、必ずしも同一である必要ない。本実施形態では、一次と二次の二段構えで集約データ分析装置を配置しているので、一次集約データ分析装置３２１、３２２では、大量のトラヒックの中から取りこぼしなく被疑トラヒックを検出できることが望ましく、二次集約データ分析装置３００では、既に抽出されている被疑トラヒックの中から精度よく確実に異常トラヒックを検出できることが望ましい。そこで、一次集約データ分析装置３２１、３２２の一次異常トラヒック検出部３６４では、精度の低いアノマリ検知アルゴリズムなどを用い、二次集約データ分析装置３００の二次異常トラヒック検出部３８４では、精度の高いシグネチャ検知アルゴリズムなどを用いることが好ましい。

このトラヒック監視システムでは、図１に示されるように、一次集約データ分析装置がネットワーク２００内に分散されて配置されているため、従来の集約データ分析型のシステムでの問題点であった集約データ分析装置での輻輳の発生が起こり難くなる。また、トラヒック集約制御装置３４０のトンネル管理部３７１により、多数のトンネルが同一パスを通過しないように設定すれば、ネットワーク上での輻輳発生頻度も低減される。さらに、一次集約データ分析装置では実トラヒックの分析を行うため、従来の抽出データ分析型のシステムと比べ、異常トラヒックの検出精度の劣化が防止される。

《第２の実施形態》
次に、本発明の第２の実施形態のトラヒック監視システムについて説明する。

図３は、本発明の第２の実施形態のトラヒック監視システムの構成を示すブロック図である。このトラヒック監視システムは、図１に示すトラヒック監視システムにおいて、分散配置された各一次集約データ分析装置３２１、３２２を監視する一次集約データ分析装置監視装置４００がさらに設けられたものである。一次集約データ分析装置監視装置４００は、ネットワーク２００に接続している。

図４は、一次集約データ分析装置監視装置４００の構成を示している。一次集約データ分析装置監視装置４００は、一次集約データ分析装置状態監視部４０１と、一次集約データ分析装置状態テーブル４０２と、トンネル切り替え指示部４０３と、を備えている。一次集約データ分析装置状態テーブル４０２は、一次集約データ分析装置ごとにその装置の状態、すなわちその装置が正常に動作しているかどうかを示すテーブルである。一次集約データ分析装置状態監視部４０１は、各一次集約データ分析装置３２１、３２２に対して、ＩＣＭＰ(Internet Control Message Protocol)のエコー(ECHO)メッセージのような、一次集約データ分析装置からの応答があるメッセージを送信し、そのメッセージに対する応答があるかどうかによってその一次集約データ分析装置が動作中が確認し、確認結果（一次集約データ分析装置の状態）に基づいて一次集約データ分析装置状態テーブル４０２を更新する。また、トンネル切替え部４０３は、一次集約データ分析装置状態テーブル４０２を定期的に確認し、もし運用停止状態の一次集約データ分析装置があれば、ルータからその一次集約データ分析装置宛のトンネルを切断し、運用中の一次集約データ分析装置にトンネルを再設定するよう、トラヒック集約制御装置３４０に指示する。

このような本実施形態によれば、一次集約データ分析装置監視装置４００を設けることにより、いずれかの一次集約データ分析装置が故障などにより運用停止となっても、他の一次集約データ分析装置においてその運用停止となった一次集約データ分析装置の代替をできるため、信頼性が向上する。

《第３の実施形態》
次に、本発明の第３の実施形態のトラヒック監視システムについて説明する。この実施形態は、図３及び図４に示した第２の実施形態において、各ルータに対し、図５に示すように、そのルータ内の処理量を監視し、処理量が一定値を超えたときに、処理量が一定値を超えた旨を通知する信号を一次集約データ分析装置監視装置４００に対して送信する処理量監視部３５５と、そのルータに収容されている回線の利用率を監視し、利用率が一定値を超えたときに、利用率が一定値を超えた旨を通知する信号を一次集約データ分析装置監視装置４００に対して送信する回線利用率監視部３５６とが追加されたものである。

そして、一次集約データ分析装置監視装置４００の一次集約データ分析装置状態監視部４０１は、各ルータからこれらの信号を受信し、ルータと一次集約データ分析装置との対応関係に基づき、一次集約データ分析装置ごとに、一次集約データ分析装置の処理量やその処理に関連した回線の利用率を推定する。ここではトンネリング方式を前提としているので、一次集約データ分析装置の処理に関連した回線の利用率は、実質的に、その一次集約データ分析装置が収容している回線利用率ということになる。そして、一次集約データ分析装置監視装置４００は、ある一次集約データ分析装置について処理量あるいは回線使用率が所定の閾値を上回ったときには、トンネル切り替え指示部４０３によって、その処理量あるいは回線使用率が高いルータからその一次集約データ分析装置あてのトンネルを切断し、処理量もしくは回線利用率が閾値を超えていない一次集約データ分析装置にトンネルを再設定するように、トラヒック集約制御装置３４０に指示する。

このような本実施形態によれば、一次集約データ分析装置間での負荷の分散化が果たされ、これにより、輻輳がより発生しにくくなるとともに、信頼性が向上する。

本発明の第１の実施形態のトラヒック監視システムの構成を示すブロック図である。 図１に示すトラヒック監視システムの詳細を示すブロック図である。 本発明の第２の実施形態のトラヒック監視システムの構成を示すブロック図である。 図２に示すトラヒック監視システムにおける一次集約データ分析装置監視装置の構成を示すブロック図である。 本発明の第３の実施形態のトラヒック監視システムにおけるルータの構成を示すブロック図である。 従来の抽出データ分析型のトラヒック監視システムの全体構成を示すブロック図である。 図６に示すシステムの詳細を示すブロック図である。 従来の集約データ分析型のトラヒック監視システムの全体構成を示すブロック図である。 図８に示すシステムの詳細を示すブロック図である。 抽出データ分析型のシステムにおいては実トラヒックのサンプリングでは攻撃を検知できない場合があることを示す図である。 集約データ分析型のシステムにおけるＤＤｏＳ攻撃に検出を説明する図である。

符号の説明

１〜３、１０１〜１０３、２００〜２０３ ネットワーク
４、５、１０４、１０５、２３１〜２３３ ルータ
６、７ トラヒックデータ抽出装置
８ 抽出データ分析装置
１１、１１１、２５１、２５２ 攻撃コンピュータ
１２、１１２、２５３ 被攻撃コンピュータ
４１、１４１、３５１ ルーティング部
４２、１４２、３５２ ルーティングテーブル
４３ トラヒックモニタ部
８１、３８１ 抽出データ収集部
８２、８３、３８２、３８３ 抽出データベース
８４、１７４ 異常トラヒック検出部
１０６、３４０ トラヒック集約制御装置
１０７、２４０ 集約データ分析装置
１４３、３５３ アクセス制御リスト
１０８、１０９、２１１〜２１３、３１１〜３１３ トンネル
１４４、１６１、３５４、３７１ トンネル管理部
１７１、３６１ 実データ収集部
１７２、１７３、３６２、３６３ 実データベース
３００ 二次集約データ分析装置
３２１、３２２ 一次集約データ分析装置
３５５ 処理量監視部
３５６ 回線利用率監視部
３６４ 一次異常トラヒック検出部
３６５ トラヒックデータ抽出部
３８４ 二次異常トラヒック検出部
４００ 一次集約データ分析装置監視装置
４０１ 一次集約データ分析装置状態監視部
４０２ 一次集約データ分析装置状態テーブル
４０３ トンネル切り替え指示部

Claims (12)

1. トラヒックを疎通する複数の中継装置を含んでいるネットワークにおいてトラヒックを監視するトラヒック監視方法であって、
   前記各中継装置から、当該中継装置でのトラヒックを一次集約データ分析装置に集約する段階と、
   前記一次集約データ分析装置が、集約されたトラヒックから異常トラヒックであるとの疑いがある被疑トラヒックを検出する段階と、
   前記一次集約データ分析装置が、検出された被疑トラヒックから、多地点間分析で必要なデータを抽出し、抽出されたデータを二次集約データ分析装置に送信する段階と、
   前記二次集約データ分析装置が、前記一次集約データ分析装置から送信されてきたデータから異常トラヒックを検出する段階と、
   を有するトラヒック監視方法。
2. 前記中継装置と当該中継装置を担当する前記一次集約データ分析装置との間にトンネルを設定する段階を有し、前記中継装置は、当該中継装置を疎通するパケットを対応する前記一次集約データ分析装置に転送する、請求項１に記載のトラヒック監視方法。
3. 複数の前記一次集約データ分析装置が設けられている場合に、前記各一次集約データ分析装置の運用状態を監視する段階と、
   運用停止状態にある一次集約データ分析装置を検出したときに、前記中継装置からのトラヒックの転送先を当該運用停止状態にある一次集約データ分析装置から運用中の一次集約データ分析装置に切替える段階と、
   を有する、請求項１または２に記載のトラヒック監視方法。
4. 複数の前記一次集約データ分析装置が設けられている場合に、前記各一次集約データ分析装置の処理状態を監視する手段と、
   処理量が所定の閾値を越えている一次集約データ分析装置に関し、前記中継装置からのトラヒックの転送先を、当該一次集約データ分析装置から、処理量が前記閾値を超えていない一次集約データ分析装置に切り替える段階と、
   を有する、請求項１または２に記載のトラヒック監視方法。
5. 複数の前記一次集約データ分析装置が設けられている場合に、前記各一次集約データ分析装置において収容している回線の利用率を監視する手段と、
   利用率が所定の閾値を越えている一次集約データ分析装置に関し、前記中継装置からのトラヒックの転送先を、当該一次集約データ分析装置から、利用率が前記閾値を超えていない一次集約データ分析装置に切り替える段階と、
   を有する、請求項１または２に記載のトラヒック監視方法。
6. トラヒックを疎通する複数の中継装置を含んでいるネットワークにおいてトラヒックを監視するトラヒック監視システムであって、
   一次集約データ分析装置と、
   二次集約データ分析装置と、
   を有し、
   前記一次集約データ分析装置は、前記中継装置からのトラヒックを集約し、集約されたトラヒックから、異常トラヒックであるとの疑いがある被疑トラヒックを検出する手段と、検出された被疑トラヒックから、多地点間分析で必要なデータを抽出し、抽出されたデータを前記二次集約データ分析装置に送信する手段と、を備え、
   前記二次集約データ分析装置は、前記一次集約データ分析装置から送信されてきたデータから異常トラヒックを検出する手段を備える、
   トラヒック監視システム。
7. 複数の前記一次集約データ分析装置を有し、前記複数の一次集約データ分析装置は、前記複数の中継装置を分担して受け持つ、請求項６に記載のトラヒック監視システム。
8. 前記中継装置と当該中継装置を担当する前記一次集約データ分析装置との間にトンネルが設定され、前記中継装置は、当該中継装置を疎通するパケットを対応する前記一次集約データ分析装置に転送する、請求項７に記載のトラヒック監視システム。
9. 前記トンネルの設定を制御するトラヒック集約制御装置をさらに有する、請求項８に記載のトラヒック監視システム。
10. 複数の前記一次集約データ分析装置を有し、
    前記各一次集約データ分析装置の運用状態を監視する手段と、
    運用停止状態にある一次集約データ分析装置を検出したときに、前記中継装置からのトラヒックの転送先を当該運用停止状態にある一次集約データ分析装置から運用中の一次集約データ分析装置に切替えるように前記トラヒック集約制御装置に指示する手段と、
    をさらに有する、請求項９に記載のトラヒック監視システム。
11. 複数の前記一次集約データ分析装置を有し、
    前記各一次集約データ分析装置の処理状態を監視する手段と、
    処理量が所定の閾値を越えている一次集約データ分析装置に関し、前記中継装置からのトラヒックの転送先を、当該一次集約データ分析装置から、処理量が前記閾値を超えていない一次集約データ分析装置に切替えるように前記トラヒック集約制御装置に指示する手段と、
    をさらに有する、請求項９に記載のトラヒック監視システム。
12. 複数の前記一次集約データ分析装置を有し、
    前記各一次集約データ分析装置において収容している回線の利用率を監視する手段と、
    利用率が所定の閾値を越えている一次集約データ分析装置に関し、前記中継装置からのトラヒックの転送先を、当該一次集約データ分析装置から、利用率が前記閾値を超えていない一次集約データ分析装置に切替えるように前記トラヒック集約制御装置に指示する手段と、
    をさらに有する、請求項９に記載のトラヒック監視システム。

Images