JP2006352831A - ネットワーク制御装置およびその制御方法 - Google Patents

Abstract

【課題】 大容量のトラフィックが流れるネットワークにおいては、ワーム、ＤＤｏＳ等の異常トラフィックを検知するためには複数台のトラフィック解析装置を設置する必要がある。
【解決手段】 ネットワーク制御装置１０にトラフィック統計分析処理部１３を設け、異常トラフィックを検出する。異常トラフィックを検出したときには、パケット転送処理部１１にフィルタを設定して異常トラフィックの転送を停止すると同時に、統計情報パケットに異常検知情報を重畳して、トラフィック解析装置に送出する。
【選択図】 図２

Description

本発明は、ネットワーク制御装置およびその制御方法に係り、特に異常トラフィックの検知に関わるネットワーク制御装置およびその制御方法に関する。

電話や放送を含む様々なサービスがIP網を通じて提供され始め、IP網を流れるトラフィックの品質管理技術が急速に発展している。トラフィックの検知技術やモニタリング技術については、ＩＥＴＦ等の標準化団体でも標準化が進められている。またトラフィック分析技術を用いた通信品質制御機能の製品化も行われている。

まず、ＩＥＴＦ等で標準化が進められているsFlowと呼ばれるトラフィックのモニタリング方法について述べる（非特許文献１）。sFlowでは、ルータ（またはスイッチ：以下同様）は転送中のパケット（トラフィック）のサンプリング処理と、サンプリングされたパケットの切り出しを行って、対応するsFlowパケットを作成する。ルータから出力されるsFlowパケットは、コレクタまたはアナライザと呼ばれるトラフィック解析装置に送出され、トラフィック解析装置はこれらのsFlowパケットの蓄積と統計解析及び管理者への結果表示を行う。このsFlow技術はパケットの計測技術が中心であり、ルータがトラフィック解析装置に送出するsFlowパケットの情報要素が主として記載されている。分析機能は各ベンダのトラフィック解析装置の実装に任されており（表示主体の製品もある）、sFlow技術ではルータ装置内部で分析機能を備えることは無い。

次に、ルータ（またはスイッチ：以下同様）内にトラフィック分析技術を備えた製品の例として、CLEAR-Flowと呼ばれるトラフィックのモニタリング方法について述べる（非特許文献２）。CLEAR-Flowの動作フローは「監視」「解析」「対応」の３ステージで構成される。トラフィック分析技術はルータ内で行われる「監視」ステージに相当する。「監視」ステージでは監視基準に一致するパケットに焦点を当て、一致するパケットを見つける（ステップ１−フィルタ）とイベントカウンタを用いて発生の様子を追跡し（ステップ２−カウント）、予め設定した閾値を超えると設定されたアクションを実行する（ステップ３-閾値）。「監視」ステージの結果、該当トラフィックが検出されると、「解析」ステージに移る。「解析」ステージでは、さらに詳しい解析が必要な場合の動作を行い、ルータは該当トラフィックパケットデータを、より高度な解析機能を備えた外部装置に送る。このトラフィックデータの転送としては、ミラー方式、トンネル方式、sFlow方式の３方式がある。外部装置はこれらの情報を用いてより高度なトラフィック解析を行う。CLEAR-Flowは監視対象に対する監視基準をスイッチに組み込まれたCLEAR-Flowクラシファイアに運用者が予め指定することが必要である。例えば、非特許文献２に記載してあるように、特定ポートに送られるSYNパケットの個数をカウントする設定を行う。この設定を受けて、ルータ・スイッチで「監視」を行い、検出の結果、外部装置に送るトラフィックデータは、予め設定した検出条件に合致したトラフィックデータになる。

なお、未公開ではあるが、本発明に関連する出願として、特願２００５−１０９７４４号がある。

P. Phaal、外２名、"A Method for Monitoring Traffic in Switched and Routed Networks"、[online]、２００１年９月、IETF、[平成１７年４月１９日検索]、インターネット<URL：http://www.ietf.org/rfc/rfc3176.txt> "WHITE PAPER CLEAR-Flow"、[online]、２００４年、[平成１８年２月１９日検索]、インターネット<URL：http://www.extremenetworks.co.jp/download/Whitepaper/CLEAR-Flow_WP.pdf>

非特許文献１に記載されたsFlow技術では、ルータは転送中のトラフィック（パケット）のサンプリング処理と、サンプリングされたパケットの切り出しを行ってトラフィックデータパケットを作成する。ルータから出力されるトラフィックデータパケットは、サンプルされた個々のパケットの切り出し情報である。ルータ装置内部では情報の蓄積やパケットのヘッダ内情報を対象にした統計解析処理は行わない。このため、大容量のトラフィックに隠れたワーム、ＤＤｏＳ（Distributed Denial Of Service）等の特徴的トラフィックの現象を検知する場合には、ルータから出力されるトラフィックデータパケットも比例して大容量となり、ルータのsFlowパケット生成負荷とトラフィック解析装置へ向けての転送負荷、さらにネットワークの帯域への負荷が大きくなるという課題がある。

非特許文献２に記載されたCLEAR-Flow技術では、ルータ内に「監視」処理機能を備え、対象トラフィックの絞込み処理を行う。検出すべきトラフィック対象をCLEAR-Flowクラシファイアに運用者が予め指定することが必要であり、設定したクラシファイア条件に合致するトラフィック内から、該当トラフィックとして顕著なトラフィックを検出する（ステップ１-フィルタ）。本発明のトラフィック統計分析処理部１３で実行する様なトラフィック全体の中の特徴トラフィックを抽出する機能や、微小トラフィックを集約し特徴トラフィックを浮かび上がらせる機能は備えていない。

また、ルータは該当トラフィックが検出された場合のみ転送を行い（「解析」ステージ）、常時トラフィック解析装置へ向けて転送する必要はなくなる。これにより、転送すべき該当トラフィック情報の生成負荷とトラフィック解析装置へ向けての転送負荷、さらにネットワークの帯域への負荷が減少する。しかし、転送する該当トラフィック情報は、個々のパケットのコピーである為、まだ転送時の転送量は大きいと言う課題がある。CLEAR-Flow技術では、特徴情報に集約する機能はトラフィック解析装置が備えている。

本発明の目的は、非特許文献１及び非特許文献２の課題を解決し、ネットワーク制御装置（ルータまたはスイッチ）でトラフィック分析し、特徴情報に集約し、転送負荷・コストを低減することができるネットワーク制御装置を提供することにある。

上記目的を達成するために本発明は、ネットワーク制御装置（ルータまたはスイッチ）にトラフィック統計分析処理部を設け、特徴的トラフィックを該トラフィック統計分析処理部１３で監視する。該トラフィック統計分析処理部は特徴的トラフィックを検出すると、特徴的トラフィックの特徴要素や流量（時間間隔やその間に転送されたトラフィック量）の情報をパケットに組み込み、この集約情報をトラフィック解析装置に転送する構成を採用した。また、ネットワーク制御装置のトラフィック統計分析処理の行う分析範囲（パケットのどの情報要素を対象に分析するか等）の設定は、制御情報内のパラメータで、上位装置（トラフィック解析装置等）から変更可能とする構成を採用した。

本発明によれば、異常トラフィックをネットワーク制御装置で分析/検知するので、トラフィック解析装置の負荷を減らすことができ、ネットワーク制御装置１０のトラフィック解析装置２０へ向けてのパケット転送負荷、さらにネットワークの帯域への負荷が小さくできる。

また、本発明によれば、ネットワーク制御装置を介してPCの認証を行うシステムにおいて、PC単位の異常トラフィック検出情報を認証/再認証時にネットワーク制御装置から認証サーバに伝えることにより、静的な認証情報(パスワード、デジタル署名情報等)に加えて、動的なトラフィック情報が加わるため、認証機能に加えて、該当PCのトラフィック制御を行うことが可能となる。

以下本発明の実施の形態について、実施例を用いて、図面を参照しながら説明する。

本発明の第１の実施例を図１ないし図１０、および、図１２、図１５、図１６を用いて説明する。ここで、図１はトラフィックのモニタリングシステムの構成を説明するブロック図である。図２はネットワーク制御装置のブロック図である。図３はトラフィック解析装置のブロック図である。図４と図１５はパケットカウントテーブルを説明する図である。図５はしきい値テーブルを説明する図である。図６は異常検知情報テーブルを説明する図である。図７、図１２、図１６は異常フローを検知したフロー統計情報のパケットを説明する図である。図８はトラフィック分析処理部の処理フロー図である。図９はトラフィック分析処理部の異常判定処理フロー図である。図１０はトラフィック解析装置がネットワーク制御装置に送信する制御情報パケットを説明する図である。

図１において、トラフィックのモニタリングシステム１００は、複数のネットワーク１−１１、１−１２、…、１−１ｎに接続されたネットワーク制御装置１０−１と、複数のネットワーク１−ｋ１、１−ｋ２、…、１−ｋｍに接続されたネットワーク制御装置１０−ｋと、トラフィック解析装置２０とで構成される。ネットワーク制御装置１０はトラフィック解析装置２０にフロー統計情報を送る。逆に、トラフィック解析装置２０はネットワーク制御装置１０に制御情報（パラメータ等）を送る。

ここで、フロー統計情報には、ネットワーク制御装置１０が検出した異常情報が含まれる。また、制御情報には、異常情報に基づいてトラフィック解析装置２０が判定したカウンタのリセット、しきい値レベルの変更（しきい値の増加指示）が含まれる。また、逆に異常トラフィックが少ないときには、しきい値の減少指示が含まれる。この様に構成することで、異常トラフィックをネットワーク制御装置１０で分析/検知するので、異常トラフィックの状況に応じてしきい値レベルを変更できる。この結果、異常トラフィックの状況に応じた感度とすることができる。なお、トラフィック解析装置２０とネットワーク制御装置１０−ｋとの間のフロー統計情報、制御情報の矢印は、図示の簡便のため省いた。

図２に示すネットワーク制御装置１０は、パケット転送処理部１１と、統計情報取得生成部１２と、トラフィック統計分析処理部１３とで構成される。また、統計情報取得生成部１２は、サンプリング統計処理部１２１とトラフィック異常検知情報パケット生成部１２２とで構成される。

通常パケットは、パケット転送処理部１１で転送先宛てに転送される。また、通常パケットは、パケット転送処理部１１からサンプリング統計処理部１２１にコピーが転送される。サンプリング統計処理部１２１は、予め定めた割合でサンプリングして、サンプル対象となったパケットのヘッダを含むＮバイトを切り出す。サンプリング統計処理部１２１は、切り出したパケットの一部を重畳してペイロードに格納したパケット（sFlowパケット）を作成し、統計情報パケットとして、パケット転送処理部１１を経由して、トラフィック解析装置２０に転送する。

また、サンプリング統計処理部１２１は、サンプル対象となったパケットをトラフィック統計分析処理部１３に転送する。トラフィック統計分析処理部１３は、予めトラフィック解析装置２０からの制御情報パケットを、パケット転送処理部１１を介して受取り、しきい値が設定されている。トラフィック統計分析処理部１３は、このしきい値を用いてトラフィック異常を検知する。トラフィック異常を検知したトラフィック統計分析処理部１３は、トラフィック異常検知情報パケット生成部１２２に異常検知情報を転送する。トラフィック異常検知情報パケット生成部１２２は異常検知情報に基づいて、異常検知情報パケットを生成し、サンプリング統計処理部１２１に転送する。異常検知情報パケットを受信したサンプリング統計処理部１２１は、sFlowパケットに続けて異常フロー検知情報を加え、統計情報パケットとして、パケット転送処理部１１を経由して、トラフィック解析装置２０に転送する。

本実施例のネットワーク制御装置１０は、外部からしきい値を可変することができるので、制御パラメータを可変することができるトラフィック異常を検知可能なネットワーク制御装置とすることができる。

図３に示すトラフィック解析装置２０は、パケット転送処理部２１と、統計処理部２２と、分析処理部２３と、制御情報パケット生成部２４とで構成される。ネットワーク制御装置１０から転送されてきた統計情報パケットは、パケット転送処理部２１を介して統計処理部２２に転送され、統計処理を受ける。統計処理部２２は、統計処理結果を分析処理部２３に転送する。分析処理部２３は統計処理結果を用いて分析処理を行う。分析処理部２３は分析処理結果に基づいて、トラフィック異常を検出したネットワーク制御装置１０の後述するパケットカウントテーブルのカウント値をリセットし、カウント値のしきい値を増加させる。具体的には、制御情報パケット生成部２４にカウント値のリセットと、しきい値の変更とを制御するパケットを生成させ、これをパケット転送処理部２１を介して、ネットワーク制御装置１０へ転送する。

図４に示すパケットカウントテーブル２００は、ネットワーク制御装置１０のトラフィック統計分析処理部１３に保持されるテーブルである。パケットカウントテーブル２００は、項目数１テーブル２０１と、項目数２テーブル２０２と、項目数３テーブル２０３と、項目数４テーブル２０４とで構成されている。項目数１テーブル２０１は項目１の種類と値とに対応して、トラフィック統計分析処理部１３がカウントしたパケット数を保持している。ここで、src ipは、source ipであり、送信元のＩＰアドレスを意味する。また、dst portは、destination portであり、送信先のポート番号を意味する。

項目数２テーブル２０２は、項目１の種類と値および項目２の種類と値のＡＮＤ条件でパケット数をカウントする。項目数３テーブル２０３と、項目数４テーブル２０４は、いずれも項目数３または項目数４のＡＮＤ条件でパケット数をカウントする。パケットカウントテーブルのパケット数は予め定めた間隔で、リセットを行う。また、リセットはトラフィック解析装置２０が送信する制御情報に基づいても実施できる。

パケットカウントテーブルの項目欄は、パケットの情報から選択している。情報の例としては、IPヘッダ、TCPヘッダ、UDPヘッダ、MPLSヘッダ、MACヘッダ等のヘッダに含まれ
る情報やペイロードデータのハッシュ値等がある。この意味で、パケットカウントテーブルは、パケットのヘッダ情報に基づいてパケットの到達数をカウントしている。

図１５のパケットカウントテーブル１５００は、図４に示したパケットカウントテーブル２００の他の実施形態である。

本実施例では、トラフィックを識別する項目は、送信元ＩＰアドレス（src ip）、宛先ＩＰアドレス（dst ip）、送信元ポート番号（src port）、宛先ポート番号（dst port）の４種類とし、前記４種類の項目から任意のｎ項目（１≦ｎ≦４）の組み合わせを生成する。前記項目の種類は項目フィールド１５０１に示される。

なお、本実施例では処理対象項目を前記４種類としているが、検知したいトラフィックの特性に応じてさらに別の項目を加えたり、あるいは削除したりしてもよい。例えば、ＴＣＰセッションの確立、切断処理に関連するトラフィックを抽出するためにＴＣＰヘッダ中のフラグ情報を含めてもよい。あるいは、トラフィックの特性をより正確に把握するために、ＴＣＰヘッダまたはＵＤＰヘッダの後ろに続くアプリケーションデータの先頭何バイト分かを含めてもよい。あるいは、ＭＰＬＳラベルが付いている場合に、前記ＭＰＬＳラベルの値も含め、ＬＳＰ毎にトラフィックの分析を行えるようにしてもよい。あるいは、Ｌ２ＴＰなどのトンネリングプロトコルを使用しているときに、トンネル識別子を含め、トンネル毎にその中を通過するトラフィックの分析を行えるようにしてもよい。

パケットカウントテーブル１５００の値フィールド１５０３には、前記組み合わせの構成要素となる項目であれば前記項目の値を格納し、前記組み合わせの構成要素とならない項目あれば、前記組み合わせを持つパケットのカウント中に出現した前記項目の値の種類数を格納する。値フィールド１５０３に格納される数値が値なのか出現種類数なのかを示す情報は、属性フィールド１５０２に格納する。

たとえば、図１５においてエントリ番号４のエントリでは、送信元ＩＰアドレスがＺ、宛先ＩＰアドレスがＹ、宛先ポート番号がｄであるパケットが２０個出現し、前記２０個のパケットに含まれていた送信元ポート番号の種類が８種類であったことを表している。

さらに、パケットカウントテーブル１５００の各エントリは、前記エントリ毎にパケット数をカウントするためのパケット数フィールド１５０４、前記エントリでカウント対象となるパケットの長さを積算するための積算オクテット数フィールド１５０５、前記エントリでパケット数のカウントを開始した時刻を保持するカウント開始時刻フィールド１５０６を持つ。

パケットカウントテーブル２００との違いは、ある項目の組み合わせに着目したパケット数をカウントする際に、前記項目の組み合わせに含まれない項目について異なる値がいくつ出現したかを同時にカウントする点である。

図５に示すしきい値テーブルは、ネットワーク制御装置１０のトラフィック統計分析処理部１３に保持されるテーブルである。しきい値テーブル３０は、フロー種別３１と、検知レベル３２と、しきい値３３とで構成される。フロー種別３１は、具体的にはワーム、ＤＤｏＳ等のトラフィック異常である。ここでは、フローＸのパケットについて５００を超えて検出したとき、検知レベル１と判定し、１０００を超えて検出したとき、検知レベル２と判定する。なお、これらのしきい値はトラフィック解析装置２０からの制御情報によって書き換えられる。

図６に示す異常検知情報テーブルは、ネットワーク制御装置１０のトラフィック統計分析処理部１３が生成し、トラフィック異常検知情報パケット生成部１２２に転送されるテーブルである。異常検知情報テーブル８０は、フロー構成要素をシリアルにつなげたテーブルである。具体的には、検出したフローのDDoS、ワーム等のフロー種別と、検出したフローの容疑度である検知レベルと、TCP/IPヘッダの情報として送信元・宛先アドレスと、送信元・宛名ポートと、レイヤ４のプロトコル種別と、ネットワーク制御装置のネットワークインタフェース情報であるインタフェースとから構成される。その他、レイヤ２やアプリケーションの情報が入ってもよい。

異常フローを検知したフロー統計情報のパケット（図７）は、ネットワーク制御装置１０のサンプリング統計処理部１２１が生成するパケットである。フロー情報パケット４０は、ＭＡＣヘッダ４１と、ＩＰヘッダ４２と、ＵＤＰヘッダ４３と、フロー情報４４と、異常フロー検知情報４５とから構成される。ＭＡＣヘッダ４１と、ＩＰヘッダ４２と、ＵＤＰヘッダ４３と、フロー情報４４とから構成されるパケットは、sFlowのパケットである。しかし、フロー情報パケット４０には、異常フロー検知情報４５が付加され、ネットワーク制御装置１０がトラフィックの異常を検出したことを意味する。
異常フロー検知情報４５の構成例について図１２と図１６を用いて説明する。

異常フロー検知情報４５は、フロー種別１２０１、サンプリングレート１２０２、しきい値１２０３、積算オクテット数１２０４、積算時間１２０５、アイテム数１２０６、複数のアイテム１２０７から構成される。フロー種別１２０１は、検知されたフローの種別を示す。フロー種別の値には、例えばDDoS、ワーム等の種別情報が入る。サンプリングレート１２０２は、フロー検知時のパケットサンプリングレートを示すもので、サンプリング統計処理部１２１が保持するサンプリングレートが格納される。しきい値１２０３は、本メッセージを通知する契機となったパケットカウント数のしきい値を示すもので、しきい値テーブル３０のしきい値３３の値のいずれかが格納される。積算オクテット数１２０４は、パケットカウント数がしきい値を超えるまでの間に受信したパケット長の総オクテット数を示すもので、パケット数フィールド１５０４がしきい値を超えたパケットカウントテーブル１５００のエントリの積算オクテット数フィールド１５０５の値が格納される。

エントリ積算時間１２０５は、本メッセージで通知するフローのパケットカウント数をカウントし始めてからしきい値を超えるまでの時間を示すもので、パケット数フィールド１５０４がしきい値を超えたパケットカウントテーブル１５００のエントリのカウント開始時刻１５０６の値と現在時刻の差が格納される。アイテム数１２０６は、本メッセージに含まれるアイテム１２０７の数を示す。パケットカウントテーブル１５００の例では一つのエントリは4個の項目で構成されているので、アイテム数１２０６の値は４となる。アイテム１２０７は、パケット数１５０４がしきい値を超えたパケットカウントテーブル１５００のエントリに含まれる各項目の内容を示す。

アイテム１２０７は、図１６に示すような構造となっている。項目１６０１は、アイテムの種類を表すもので、具体的にはパケットカウントテーブル１５００の項目フィールド１５０１に示されるsrc ipやdst ipなどの識別情報を格納する。属性１６０２は、パケットカウントテーブル１５００の属性フィールド１５０２に示される「値」か「出現種類数」が格納される。値１６０３は、パケットカウントテーブル１５００の値フィールド１５０３に示される値が格納される。

ネットワーク制御装置１０が、異常フローを検出したときに上記のような情報を含むパケットをトラフィック解析装置２０に送信することで、トラフィック解析装置２０は前記情報から異常フローの種類や規模、継続時間などを少ない処理負荷で短時間に把握することが可能となる。

次に、図８を用いて、ネットワーク制御装置１０のトラフィック統計分析処理部１３の動作を説明する。サンプリング統計処理１２１がサンプリングしたパケットをトラフィック統計分析処理部１３が受信する（Ｓ５０１）。トラフィック統計分析処理部１３は、パケットのヘッダ情報を用いて、図４に示したパケットカウンタテーブル２００の該当エントリ（一般に複数存在する）のパケット数をインクリメントする（Ｓ５０２）。該当エントリが存在しなかった場合は新規にエントリを作成する。その際、新規にエントリの作成対象とする前記ヘッダ情報中の項目の組み合わせは事前に設定可能であり、さらには、制御情報パケット５０の制御情報５４によっても変更可能とする。次に、項目数２テーブル２０２と図５に示すしきい値テーブル３０を参照して、被疑フローを示す項目の組み合わせで検知レベル１のしきい値を超えたエントリの有無を調べる（Ｓ５０３）。無い場合（Ｎｏ）には、ステップ５０１に戻り、ある場合（Ｙｅｓ）には異常判定に遷移する。異常判定（Ｓ５０４）で、異常と判断した場合（Ｙｅｓ）には、しきい値テーブルを再度参照して、図６に示す異常検知情報テーブル８０を作成する（Ｓ５０５）。なお、異常で無いと判断した場合（Ｎｏ）には、ステップ５０１に戻る。トラフィック統計分析処理部１３は、異常検知情報テーブル８０を、トラフィック異常検知情報生成部１２２に転送する（Ｓ５０６）。

図９を用いて、図８のステップ５０３とステップ５０４を、ネットワークワームとＤＤｏＳの検出フローとしてさらに詳しく説明する。
まず、項目数２テーブル２０２でしきい値を超えた項目の種類と値との組み合わせを判断する（Ｓ１００１）。“scr ip”と“dst port”または“dst ip”と“dst port”以外の組み合わせの場合には、検出フローを終了する。

項目数２テーブル２０２でしきい値を超えた項目の種類と値との組み合わせが、“scr ip”と“dst port”のときには、項目数３テーブルを検索する（Ｓ１００２）。項目数３テーブルで、“scr ip”と“dst port”とが同じで、特定のホスト間での通信であることを示すエントリが存在するか確認する（Ｓ１００３）。ここで特定のホスト間の通信であることを示す項目として、“dst ip”を採用する。この結果がＹｅｓならば、ワームではないと判断し処理を終了する。一方、結果がＮｏならば、ワームと判断する（Ｓ１００４）。

一方、項目数２テーブル２０２でしきい値を超えた項目の種類と値との組み合わせが、
“dst ip”と“dst port”のときには、項目数３テーブルを検索する（Ｓ１００５）。項目数３テーブルで、“scr ip”と“dst port”とが同じで、特定のホスト間での通信であることを示すエントリが存在するか確認する（Ｓ１００６）。ここで特定のホスト間の通信であることを示す３番目の項目として、“scr ip”を採用する。この結果がＹｅｓならば、特定の２台の端末間のＰ２Ｐ通信であって、DDoSではないと判断し処理を終了する。一方、結果がＮｏならば、複数の送信元から特定の宛先への通信であるDDoSと判断する（Ｓ１００７）。

図２に戻って、異常検知情報テーブル８０を受信したトラフィック異常検知情報生成部１２２は、異常検知情報テーブルから、図７に示す異常フロー検知情報４５を生成する。トラフィック異常検知情報生成部１２２は、異常フロー検知情報４５をサンプリング統計処理部１２１に転送する。サンプリング統計処理部１２１は、通常のsFlowパケットの後ろに異常フロー検知情報４５を追加したフロー統計情報パケット４０を、トラフィック解析装置２０に転送する。

ネットワーク制御装置１０は、これと同時に、パケット転送処理部１１の出力部に図示しないフィルタを設定して、異常パケットの転送を停止する。

図３において、異常フロー検知情報４５を追加されたフロー統計情報パケット４０を受信したトラフィック解析装置２０は、分析処理部２３で分析し、図５のフローＸの異常で検知レベル２の以上の場合、これ以上の検知ができないことを判定する。この結果、パケットカウントテーブルのリセットと、フローＸの検知レベル１のしきい値を１０００に、検知レベル２のしきい値を２０００にすべく、制御情報作成部２４を介して制御情報パケット５０を、ネットワーク制御装置１０に送出する。

図１０に示すトラフィック解析装置がネットワーク制御装置に送信する制御情報パケットは、トラフィック解析装置２０の制御情報パケット生成部２４が生成する。制御情報パケット５０は、ＭＡＣヘッダ５１と、ＩＰヘッダ５２と、ＵＤＰヘッダ５３と、制御情報５４とから構成される。制御情報５４には、カウンタリセット信号、パラメータ等から構成されている。

なお、上述した実施例ではsFlowとして説明したが、NetFlow、あるいは、ミラーリングしたパケットでも構わず、これらに限られない。制御情報５４には、パケットカウントテーブルでパケット数カウントの対象とする項目の組み合わせ設定情報を変更する情報、または、しきい値テーブルのフロー種別および検知レベルを変更する情報を含んでもよい。さらに、フローＸの検知レベル１および２のしきい値を変更するのではなく、新たに検知レベル３（しきい値：２０００）を設けても良い。

また、トラフィック異常発生時の、異常通知の発信先はトラフィック解析装置に限らず、より上位のネットワーク監視装置であってもよい。

本実施例に拠れば、異常トラフィック、過負荷トラフィックの分析を分散して配置されたネットワーク制御装置（ルータまたはスイッチ）で行うことができる。この結果、トラフィック解析装置（コレクタまたはアナライザ）の分析負荷を低減することができる。また、従来のsFlow統計情報に異常トラフィックの分析情報を付け加えることにより、従来のＦｌｏｗ統計計算サーバの機能を生かした拡張ができる。さらに本実施例に拠れば、今後新たに発生するネットワーク攻撃に対しても、攻撃パターンに応じてパケットカウンタテーブルおよびしきい値テーブルの設定を変更することにより、対応することができる。

本実施例では、処理負荷の小さいアルゴリズムをトラフィック統計分析処理部１３に適用し、それをネットワーク制御装置１０に内蔵し、ネットワーク制御装置１０でトラフィック分析と情報集約を実施すれば、ネットワーク制御装置１０のトラフィック解析装置２０へ向けてのパケット転送負荷、さらにネットワークの帯域への負荷が小さくできる。

さらにトラフィック分析を各ネットワーク制御装置１０に分散して実施することができるため、トラフィック解析装置２０の処理負荷とコストが軽減できる。

次に、第２の実施例について図１１を用いて説明する。本実施例のシステム構成は、第１の実施例と同様である。図１１は他の実施例の異常フローを検知したフロー統計情報のパケットを説明する図である。

図１１に示すの異常フローを検知したフロー統計情報のパケットは、ネットワーク制御装置１０のサンプリング統計処理部１２１が生成するパケットである。フロー情報パケット６０は、ＭＡＣヘッダ６１と、ＩＰヘッダ６２と、ＵＤＰヘッダ６３と、異常フロー検知情報６４とから構成される。

この実施例では、異常フロー検知情報のみトラフィック解析装置２０に転送する。したがって、サンプリング統計処理部１２１の処理が簡単である。

また、トラフィック異常発生時の、異常通知の発信先はトラフィック解析装置に限らず、より上位のネットワーク監視装置であってもよい。また、通常パケットと同様にネットワークを介して、ネットワーク管理者のＰＣに通知しても良い。

次に第3の実施例について図１３及び図１４を用いて説明する。図１３は、トラフィック解析装置として、RADIUSプロトコル等の認証機能をもつ認証サーバを用いた認証システムを示している。図１３に示す認証システムは、複数のPCに接続された複数のネットワークと複数のネットワークに接続されたネットワーク制御装置と認証サーバとで構成される。PCは、ネットワーク制御装置を介して認証サーバで認証される。ネットワーク制御装置は、認証/再認証のタイミングで、該当するPCの異常トラフィック検知情報を認証サーバに送信する。認証サーバは、認証情報を使って認証を行い、異常トラフィック検知情報を使って該当PCのトラフィック制御を行う。

ネットワーク制御装置と認証サーバ間は、図１４に示すようにオリジナルの認証情報に加えて異常トラフィック検知情報が付加されている。

トラフィックのモニタリングシステムの構成を説明するブロック図である。 ネットワーク制御装置のブロック図である。 トラフィック解析装置のブロック図である。 パケットカウントテーブルを説明する図である。 しきい値テーブルを説明する図である。 異常検知情報テーブルを説明する図である。 異常フローを検知したフロー統計情報のパケットを説明する図である。 トラフィック分析処理部の処理フロー図である。 トラフィック分析処理部の異常判定処理フロー図である。 トラフィック解析装置がネットワーク制御装置に送信する制御情報パケットを説明する図である。 他の実施例の異常フローを検知したフロー統計情報のパケットを説明する図である。 異常フローを検知したフロー統計情報のパケットの異常フロー検知情報の構成例を説明する図である。 他の実施例の認証機能を持つトラフィック解析装置を含むトラフィックのモニタリングシステムの構成を説明するブロック図である。 異常フロー検知情報を含む認証パケットの構成例を示す図である。 パケットカウントテーブルの他の例を示す図である。 異常フローを検知したフロー統計情報のパケットの異常フロー検知情報中のアイテムフィールド構成例を示す図である。

符号の説明

１…ネットワーク、１０…ネットワーク制御装置、１１…パケット転送処理部、１２…統計情報生成処理部、１３…トラフィック統計分析処理部、２０…トラフィック解析装置
、２１…パケット転送処理部、２２…統計処理部、２３…分析処理部、２４…制御情報生成部、３０…しきい値テーブル、４０…フロー情報パケット、５０…制御情報パケット、６０…フロー情報パケット、８０…異常検知情報テーブル、１００…トラフィックのモニタリングシステム、１２１…サンプリング統計処理部、１２２…トラフィック異常検知情報生成部、２００…パケットカウントテーブル、２０１…項目数１テーブル、２０２…項目数２テーブル、２０３…項目数３テーブル、２０４…項目数４テーブル。

Claims (12)

1. ネットワークとトラフィック解析装置との間に配置され、前記ネットワークとの間でパケットの転送を行うネットワーク制御装置であって、
   前記トラフィック解析装置が送信した制御情報を受信し、
   前記制御情報に含まれるパラメータを用いて前記パケットの監視を行い、
   トラフィック異常を検出したとき、検出した異常情報を前記トラフィック解析装置に送信することを特徴とするネットワーク制御装置。
2. 請求項１に記載のネットワーク制御装置であって、
   前記パケットのヘッダ情報に基づいてパケットの到達数をカウントするパケットカウントテーブルを含み、
   前記制御情報によって前記パケットカウントテーブルの前記到達数をリセットすることを特徴とするネットワーク制御装置。
3. 請求項２に記載のネットワーク制御装置であって、
   フロー種別に応じた複数のしきい値からなるしきい値テーブルをさらに含み、
   前記到達数が前記しきい値を超えたとき、前記パケットカウントテーブルを参照してトラフィック異常を判定することを特徴とするネットワーク制御装置。
4. ネットワークとトラフィック解析装置との間に配置され、パケット転送処理部を設けて前記ネットワークとの間でパケットの転送を行うネットワーク制御装置であって、
   受信したパケットのサンプリングを行うサンプリング統計処理部と、異常トラフィックの検出を行うトラフィック統計分析処理部とを有することを特徴とするネットワーク制御装置。
5. 請求項４に記載のネットワーク制御装置であって、
   前記トラフィック統計処理部がトラフィック異常を検出したとき、前記トラフィック解析装置に異常検出通知を送信することを特徴とするネットワーク制御装置。
6. 請求項４または請求項５に記載のネットワーク制御装置であって、
   前記トラフィック統計処理部がトラフィック異常を検出したとき、当該トラフィック異常のパケットの転送を停止することを特徴とするネットワーク制御装置。
7. 請求項４ないし請求項６のいずれか一つに記載のネットワーク制御装置であって、
   前記トラフィック統計処理部のトラフィック異常検出パラメータは、前記トラフィック解析装置からの制御情報により変更可能なことを特徴とするネットワーク制御装置。
8. ネットワークからパケットを受信するステップと、
   受信したパケットのヘッダ情報に基づくパケットカウンタテーブルの到達数を更新するステップと、
   前記到達数と予め定められたしきい値とを比較するステップと、
   前記到達数が前記しきい値を超えていたとき、異常判定を実施するステップと、
   トラフィック異常と判定したとき、トラフィック異常通知を送信するステップとからなるネットワーク制御装置の制御方法。
9. 請求項８に記載のネットワーク制御装置の制御方法であって、
   前記トラフィック異常通知の送信先はトラフィック解析装置であることを特徴とするネットワーク制御装置の制御方法。
10. 請求項８または９に記載のネットワーク制御装置の制御方法であって、
    前記受信したパケットは、サンプリング後のパケットであることを特徴とするネットワーク制御装置の制御方法。
11. PCとネットワーク制御装置と認証サーバがネットワークを介して接続し、前記PCの認証を行うネットワークシステムにおいて、
    前記ネットワーク制御装置は、認証/再認証の際に、該当するPCの異常トラフィック情報を前記認証サーバに送信することを特徴とするネットワークシステム。
12. 前記検出された異常情報は、送信されるパケットの送信元または受信先に関する情報を特定する項目、その項目の属性、およびその項目の値を含むことを特徴とする請求項１記載のネットワーク制御装置。
    

Images