JP2007019981A

JP2007019981A - ネットワーク監視システム

Info

Publication number: JP2007019981A
Application number: JP2005200532A
Authority: JP
Inventors: Nobuyuki Nakamura; 信之中村
Original assignee: Oki Electric Industry Co Ltd
Current assignee: Oki Electric Industry Co Ltd
Priority date: 2005-07-08
Filing date: 2005-07-08
Publication date: 2007-01-25
Anticipated expiration: 2025-07-08
Also published as: JP4161989B2

Abstract

【課題】未知の不正プログラム活動を早期に発見することができるネットワーク監視システムを提供する。
【解決手段】インタフェース２１０が抽出したパケットについて、アプリケーション特定部２２１が送信アプリケーションを特定し、ヘッダ解析抽出部２２２がヘッダ情報を解析し、さらに、これらの解析結果に応じて帯域解析部２２３が通信帯域を解析する。これらの解析結果は、データベース２３０に保存され、出力処理部２４０に統計処理される。アプリケーション毎の解析ができるので、未知或いは既知の不正プログラムが既知のアプリケーションを利用して行う不正活動を早期発見できる。
【選択図】図２

Description

この発明は、ネットワークの状態を監視して、例えばワーム(Worm)やＤＤｏＳ攻撃(Distributed Denial of Service attacks) 等の不正プログラム活動を検知するシステムに関する。

インターネット等の通信ネットワークでは、コンピュータ・プログラムの不正な活動に起因して障害が発生する場合がある。不正な活動を行うコンピュータ・プログラムとしては、例えば、ワームやＤＤｏＳ攻撃プログラム等が知られている。

ワームとは、自己増殖を繰り返しながらコンピュータの破壊活動を行う不正プログラムであり、広義のコンピュータウイルスに分類される。ワームは、感染したコンピュータの電子メール用ソフトウエア等を利用して、多数の他のコンピュータに当該ワームのコピーを送信しようとする。このため、ワームは、多数のコンピュータを破壊するだけでなく、ネットワークの輻輳障害を発生させる場合がある。

ＤＤｏＳ攻撃は、多数のコンピュータで同時にＤＤｏＳ攻撃用プログラムを動作させることによって、標的となる特定のコンピュータに大量のデータを送りつける攻撃である。ＤＤｏＳ攻撃は、標的となったコンピュータに障害を発生させるだけでなく、ネットワークの輻輳障害を発生させる場合がある。

このような不正プログラム活動からコンピュータやネットワークを防御する技術としては、例えば、インターネット定点観測システムや、アプリケーション識別技術を用いた防御システム、ファイアウォールを用いた防御システム等が知られている。

インターネット定点観測システムを開示する文献としては、例えば下記非特許文献１が知られている。インターネット定点観測システムとは、インターネットに接続されたネットワーク機器を用いてトラフィックを監視・解析するシステムである。このシステムでは、トラフィックの状態を目視で監視することにより、不正プログラム活動に起因するネットワーク障害の発生を検知することができる。

アプリケーション識別技術を用いた防御システムとしては、例えば下記非特許文献２が知られている。このシステムは、受信パケットから、そのパケットの送信に使用されたアプリケーションを特定する。そして、既知の不正プログラムを用いて送信されてきたパケットをフィルタリングすることにより、コンピュータを防御することができる。

ファイアウォールを用いた防御システムを開示する文献としては、例えば下記特許文献１が知られている。特許文献１の技術では、管理対象となるサーバとネットワークとの接続部分にファイアウォールを設けるとともに、該ネットワークと他のネットワークとのボーダ部分にフィルタ装置を設ける。そして、ファイアウォールは、攻撃パケットを受信した際にその攻撃パケットをフィルタリングするとともに、その攻撃パケットの情報を各フィルタ装置に通知する。これにより、攻撃パケットがネットワークに侵入できなくなるので、そのネットワークにおける輻輳障害の発生を防止することができる。
小池英樹、外２名、"広域ネットワーク監視のための視覚化手法の提案と実装"、[online]、日本ソフトウエア科学会第２１回大会（２００４年度）論文集、［２００５年５月１９日検索］、インターネット＜URL:http://www.vogue.is.uec.ac.jp/~koike/ipmatrix/jssst2004.pdf＞ Net Agent、"One Point Wall"[online]、ネットエージェント株式会社、［２００５年５月１９日検索］、インターネット＜URL:http://www.netagent.co.jp/onepoint/＞特開２００５−１３０１９０号公報

これらのシステムでは、既知の不正プログラム活動に対しては、予めインターネット・サービス・プロバイダ間で連携してフィルタやブラックホール・ルータを設定することなどにより、被害の防止や軽減を図ることができる。また、ＤＤｏＳ攻撃の標的となるコンピュータのＩＰアドレスが判明している場合等には、予めドメイン・ネーム・サーバを書き換えてＩＰアドレスを変更することにより対処することもできる。

しかしながら、未知の不正プログラム活動に対しては、ネットワークのトラフィック量や特定ポートへのアクセス数を解析することによって対応するしかないため、不正プログラム活動の発生を早期に発見することが困難であった。

この発明の課題は、未知の不正プログラム活動を早期に発見することができるネットワーク監視システムを提供することにある。

この発明に係るネットワーク監視システムは、監視ポイントのネットワーク・トラフィックからパケットを順次抽出するインタフェース部と、インタフェース部が抽出した１以上のパケットを解析することによりパケットの通信に使用されているアプリケーションを特定するアプリケーション特定部と、インタフェース部が抽出したパケットのヘッダ情報を抽出して解析するヘッダ解析抽出部と、アプリケーション特定部およびヘッダ解析抽出部の解析結果に応じて通信帯域を解析する帯域解析部と、アプリケーション特定部、ヘッダ解析抽出部および帯域解析部の解析結果を含む監視データを保存する保存部と、保存部に保存された監視データを統計的に処理することにより統計データを生成する出力処理部とを備える。

この発明に係るネットワーク監視システムによれば、ヘッダ情報や通信帯域の解析を、パケット通信に使用されているアプリケーション毎に行うことができるので、不正プログラムの未知／既知に拘わらず、不正活動を早期に発見することができる。

以下、この発明の実施の形態について、図面を用いて説明する。なお、図中、各構成成分の大きさ、形状および配置関係は、この発明が理解できる程度に概略的に示してあるにすぎず、また、以下に説明する数値的条件は単なる例示にすぎない。

第１の実施形態
この発明の第１の実施形態に係るネットワーク監視システムについて、図１〜図６を用いて説明する。

図１は、この実施形態に係るネットワークの構成を示す概念図である。図１に示したように、監視対象となるネットワーク１１０は、複数のルータ１１１，１１２，１１３や、ファイアウォール１１４を含む。ルータ１１１〜１１３やファイアウォール１１４は、この実施形態に係るネットワーク監視システム（図１では図示せず）の監視ポイントとなる。また、外部ネットワーク１２０は、ルータ１２１を含む。ルータ１１１とルータ１２１とは、通信回線１３０で接続されている。以下の説明では、ネットワーク１１０側からネットワーク１２０側への通信方向を「アウトバウンド」と称し、ネットワーク１２０側からネットワーク１１０側への通信方向を「インバウンド」と称する。この実施形態に係るネットワーク監視システムは、例えば、ネットワーク１１０，１２０を接続するルータ１１１内に設置される。

図２は、この実施形態に係るネットワーク監視システム２００の構成を概略的に示すブロック図である。図２に示したように、ネットワーク監視システム２００は、インタフェース２１０と、解析部２２０と、データベース２３０と、出力処理部２４０とを備えている。また、解析部２２０は、アプリケーション特定部２２１と、ヘッダ解析抽出部２２２と、帯域解析部２２３とを備える。

インタフェース２１０は、監視ポイント（ここではルータ１１１とする）のネットワーク・トラフィックからパケットを順次抽出する。また、インタフェース２１０は、管理者の操作に基づき、特定のパケットをフィルタリング（監視ポイントがファイアウォールの場合はパッチの適用によるパケットの遮断）することができる。

アプリケーション特定部２２１は、インタフェース２１０が抽出したパケットを解析して、それらのパケットの送信に使用されているアプリケーションを特定する。この実施形態で特定されるアプリケーションは、ワームやＤＤｏＳ攻撃用プログラム等の不正なアプリケーションだけでなく、電気メール用ソフトウエア、ファイル交換用ソフトウエア等の合法的通信アプリケーションを含む。アプリケーションは、１個のパケットのみから特定できる場合もあり、また、複数個のパケットを用いて特定できる場合もある。アプリケーションの特定は、例えば、パケットのペイロード部（通信データを格納する部分）から読み出した情報の特徴や通信プロトコルの特徴などを利用して行うことが望ましい。例えば、オペレーティング・システムの脆弱性を利用するワームの場合、その脆弱性を利用するための不正コードによってそのワームであると特定できる場合がある。また、独自のピア・ツー・ピア通信方式を用いたファイル交換用ソフトウエアの場合、その独自性に基づく通信データの特徴からそのソフトウエアであると特定できる場合がある。このような特定方法によれば、ヘッダ情報や送受信ポート番号のみを使用して特定する方法よりも、特定の精度を向上させることができる。なぜなら、不正プログラムによってヘッダ情報が改ざんされる場合があり、また、アプリケーションによってはポート番号を変更できる場合があるからである。アプリケーションを特定するための特徴情報は、予め作成されて、アプリケーション特定部２２１内に格納される。この特徴情報は、新しいアプリケーションが知得されるたびに更新されることが望ましい。アプリケーションを特定するソフトウエアとしては、例えば上述の非特許文献２で開示されたものが知られている。

ヘッダ解析抽出部２２２は、インタフェース２１０が抽出したパケットから、所定のヘッダ情報を抽出して解析する。複数のパケットからアプリケーションが特定された場合、ヘッダ解析抽出部２２２は、これらのパケットを一括して処理する。この実施形態では、ヘッダ情報として、送信元アドレス、宛先アドレス、使用プロトコル、ＴＣＰ／ＵＤＰ(Transmission Control Protocol/User datagram Protocol)の送信元ポート番号および宛先ポート番号を抽出する。さらに、ヘッダ解析抽出部２２２は、、抽出された送信元アドレスや宛先アドレスと、監視対象となるネットワーク１１０のＩＰアドレス情報（図示せず）とを用いて、ネットワーク１１０内のアドレスと、ネットワーク１１０外のアドレスと、通信方向（インバウンド／アウトバウンド）とを解析する。そして、ヘッダ解析抽出部２２２は、使用プロトコル、送信元ポート番号、宛先ポート番号、ネットワーク１１０内のアドレス、ネットワーク１１０外のアドレスおよび通信方向を、解析結果として出力する。なお、ヘッダ解析抽出部２２２が抽出、解析するヘッダ情報の種類は、特に限定されず、ネットワーク監視システム２００の製造者或いは使用者が任意に決定できる。例えば、ネットワーク１１０内のアドレスおよびネットワーク１１０外のアドレスに代えて、送信元アドレスや宛先アドレスをそのまま用いることにしてもよい。

帯域解析部２２３は、アプリケーション特定部およびヘッダ情報解析抽出部の解析結果に基づいて通信帯域を解析する。帯域解析部２２３は、例えば、アプリケーション特定部２２１で特定されたアプリケーション毎に使用帯域を解析してもよいし、ヘッダ解析抽出部２２２が解析した送信元アドレス・ポート番号および宛先アドレス・ポート番号がともに一致する通信毎に使用帯域を解析してもよい。この実施形態では、送信元アドレス・ポート番号および宛先アドレス・ポート番号がともに一致する通信毎の使用帯域を、帯域解析部２２３に解析させることにする。一方、アプリケーション毎の使用帯域は、アプリケーション特定部２２１、ヘッダ解析抽出部２２２および帯域解析部２２３の解析結果を用いた演算処理によって、出力処理部２４０に算出させる（後述）。

データベース２３０は、ハードディスク等の記憶装置内に構築され、アプリケーション特定部２２１、ヘッダ解析抽出部２２２および帯域解析部２２３の解析結果を含む監視データを保存する（後述の図３参照）。

出力処理部２４０は、データベース２３０から監視データを読み出すとともに、かかる監視データに統計処理や視覚処理を施して、監視者用の表示装置に表示させる。後述するように、この実施形態では、出力処理部２４０が行う統計処理として、アプリケーション毎の使用帯域および帯域占有率、アプリケーション毎の通信ホスト数、インバウンドの通信におけるアプリケーション毎の使用帯域および帯域占有率、アウトバウンドの通信におけるアプリケーション毎の使用帯域および帯域占有率、アドレスおよびポート番号がともに一致する通信毎の使用帯域および帯域占有率、および、これらの使用帯域や帯域占有率の時間変化等を採用することにする。また、視覚処理として、それぞれの使用帯域、帯域占有率の時間変化をグラフ化する（後述の図４〜図６参照）。

次に、図２に示したネットワーク監視システム２００の動作について、図３〜図６を用いて説明する。

まず、上述のように、インタフェース２１０が、ルータ１１１からパケットを抽出する。抽出されたパケットは、解析部２２０に送られる。

解析部２２０内のアプリケーション特定部２２１は、上述のようにして通信パケットを解析し、そのパケット通信に使用されているアプリケーションを特定する。上述のように、アプリケーションは、１個のパケットのみから特定できる場合もあり、また、複数個のパケットを用いて特定しなければならない場合もある。複数のパケットから特定する場合、アプリケーション特定部２２１は、パケットのヘッダ情報（例えば送信元アドレス、宛先アドレス、ポート番号、シーケンス番号等）から関連するパケットを判断して、アプリケーションを特定する。続いて、ヘッダ解析抽出部２２２が、これらのパケットから、送信元アドレス、宛先アドレス、プロトコルの種類、送信元ポート番号および宛先ポート番号を抽出・解析する。さらに、帯域解析部２２３が、アプリケーション、送信元アドレス・ポート番号および宛先アドレス・ポート番号がすべて一致するパケット毎に使用帯域を解析する。これらの解析結果は、監視データとして、データベース２３０に送られる。

なお、この実施形態では、アプリケーション特定部２２１がアプリケーションを特定できなかったパケットについてはヘッダ解析抽出部２２２および帯域解析部２２３による解析を行わないが、上述したように、アプリケーション特定部２２１内の特徴情報を随時更新することによって、特定できるアプリケーションの種類を増やすことができる。

データベース２３０は、監視データを、テーブル化して保存する。データベース２３０内のテーブル構成を、図３に示す。図３に示したように、ネットワーク１１０内のアドレス、ネットワーク１１０外のアドレス、使用プロトコル、送信元ポート番号、宛先ポート番号、使用帯域、使用アプリケーションおよび通信方向の各項目が、データベース２３０に格納される。

出力処理部２４０は、データベース２３０から各監視データを読み出し、以下のような統計処理・視覚処理を施して、表示装置に表示させる。

図４（Ａ）は、アプリケーション毎の使用帯域および帯域占有率を統計処理により算出して表示した例である。アプリケーション毎の使用帯域は、監視データ（図３参照）を用い、同じアプリケーションに対応する使用帯域を加算することにより得ることができる。また、帯域占有率は、このようにして算出された使用帯域を回線容量で除算することによって得ることができる。

図４（Ｂ）は、アプリケーション毎の使用帯域および帯域占有率の時間変化を視覚処理によりグラフ化した例である。このようなグラフにより、かかる使用帯域や帯域占有率の変動を視覚的に把握しやすくなる。特定アプリケーションの使用帯域が短時間に急増した場合、そのアプリケーションを利用した不正プログラム活動が行われている可能性が高い。また、特定アプリケーションの帯域占有率が急増した場合、不正プログラム活動によりネットワーク１１０に輻輳障害が発生する可能性が高くなる。

図５（Ａ）は、アプリケーション毎の通信ホスト数を統計処理により算出して表示した例である。ここで、通信ホスト数とは、そのアプリケーションを利用してサービスを行っているサーバ・コンピュータの台数である。通信ホスト数は、それぞれの監視データ（図３参照）について、ネットワーク１１０内のアドレス、ネットワーク１１０外のアドレスおよび通信方向から送信元アドレスを判断し、さらに、異なる送信アドレスの個数を計数することによって、算出することができる。

図５（Ｂ）は、アプリケーション毎の通信ホスト数の時間変化を視覚処理によりグラフ化した例である。通信ホスト数が短時間に急増した場合、その通信を行うアプリケーションが多数の他のコンピュータに自己のコピーを送信している可能性が高く、したがってワーム等の不正プログラムである可能性が高い。

図６（Ａ）は、特定のアプリケーションについて、アウトバウンドの通信における使用帯域および帯域占有率と、インバウンドの通信における使用帯域および帯域占有率とを統計処理により算出した例である。これらの使用帯域は、監視データ（図３参照）を用い、同じアプリケーションに対応し且つ通信方向が同一の使用帯域を加算することにより、それぞれ算出することができる。また、これらの帯域占有率は、このようにして算出された使用帯域をアウトバウンド或いはインバウンドの回線容量で除算することによって、それぞれ算出することができる。使用帯域や帯域占有率のアウトバウンド／インバウンド比が急激に変化している場合、そのアプリケーションを利用したＤＤｏＳ攻撃等が行われている可能性がある。なお、図６（Ａ）に示した統計処理結果の時間変化を、図４（Ｂ）や図５（Ｂ）と同様にグラフ化して表示してもよい。

図６（Ｂ）は、特定のアプリケーションについて、インバウンドの通信における使用帯域および帯域占有率を、ネットワーク１１０内のアドレス毎に算出して表示した例である。このような使用帯域および帯域占有率が短時間で急増した場合、そのアドレスに対応するコンピュータが、そのアプリケーションを利用したＤＤｏＳ攻撃等を受けている可能性がある。図６（Ｂ）に示した統計処理結果の時間変化を、図４（Ｂ）や図５（Ｂ）と同様にグラフ化して表示してもよい。

ネットワーク１１０の管理者は、図４〜図６のような統計処理情報から異常を発見した場合、その監視点（ここではルータ１１１、図１参照）のフィルタ設定等によって、その不正プログラム活動に係る通信パケットを遮断する。これにより、かかる不正プログラム活動からネットワーク１１０を防御することができる。また、ルータ１１２，１１３やファイアウォール１１４等で異常を発見した場合に、他のルータ（特に他のネットワーク１２０等との接続ポイントに近いルータ）でもフィルタリングを行うことにより、特許文献１と同様にして、ネットワーク全体における障害の発生を防止することとしてもよい。さらには、不正でないアプリケーション（例えば一般の電子メール用ソフトウエア等）を利用して不正プログラム活動が行われている場合には、フィルタリングにより正常な通信まで損なわれてしまうことを防ぐために、そのアプリケーションを利用した通信の帯域制限を行うこととしてもよい。

以上説明したように、この実施形態に係るネットワーク監視システム２００によれば、トラフィックの状態をアプリケーション毎に監視することができる。したがって、この実施形態によれば、不正プログラム活動の発生を早期に発見できるとともに、その不正プログラム活動によるネットワーク１１０の被害状況を迅速且つ詳細に把握することが可能である。

また、この実施形態に係るネットワーク監視システム２００によれば、不正プログラムだけでなく合法的アプリケーションの特定も行うので、未知或いは既知の不正プログラムが合法的プリケーションを用いて不正活動を行っているような場合にも、かかる不正活動を早期に発見することが可能であり、また、その不正活動によるネットワーク１１０の被害状況を迅速且つ詳細に把握することが可能である。

また、実際にネットワーク輻輳障害が発生した場合にも、アプリケーションを特定することにより、その不正プログラム活動に起因する輻輳と、同時に発生した他の要因による輻輳とを区別し易くなるので、正確な分析が可能になる。

第２の実施形態
次に、この発明の第２の実施形態に係るネットワーク監視システムについて、図７を用いて説明する。

この実施形態に係るネットワーク構成は、第１の実施形態のネットワーク構成（図１参照）と同様であるので、説明を省略する。

図７は、この実施形態に係るネットワーク監視システム７００の構成を概略的に示すブロック図である。図７において、図２と同じ符号を付した構成要素は、それぞれ図２の場合と同じものを示している。

図７において、出力処理部７１０は、第１の実施形態に係る出力処理部２４０と同様、データベース２３０から監視データを読み出すとともに、かかる監視データに統計処理や視覚処理を施して監視者用の表示装置に表示させる（図４〜図６参照）。加えて、出力処理部７１０は、統計処理結果を、異常検知部７２０からの要求に応じて出力する。

異常検知部７２０は、出力処理部７１０から受信した統計処理結果を用いて、不正プログラム活動を検知する。例えば、異常検知部７２０は、同一アプリケーションに対応する送信アドレス数または宛先アドレス数の時間変化が所定値を超えた場合に、不正プログラム活動が行われていると判断することができる。また、同一アプリケーションによる帯域使用量の時間変化が所定値を超えた場合に、不正プログラム活動が行われていると判断することもできる。

防御実行部７３０は、異常検知部７２０によって不正プログラム活動が検知されたときに、インタフェース２１０を制御してフィルタリング設定またはパッチの適用を行わせることにより、その不正プログラム活動に係るパケットを遮断する。

次に、図７に示したネットワーク監視システム７００の動作を説明する。

第１の実施形態と同様、インタフェース２１０は、ルータ１１１からパケットを抽出する。解析部２２０内のアプリケーション特定部２２１は、第１の実施形態と同様にして、受信パケットの通信に使用されているアプリケーションを特定する。続いて、ヘッダ解析抽出部２２２が、これらのパケットから、第１の実施形態と同様のヘッダ情報を抽出して解析する。さらに、帯域解析部２２３が、送信元アドレス・ポート番号および宛先アドレス・ポート番号がともに一致する通信毎に使用帯域を解析する。これらの解析結果は、監視データとして、データベース２３０に送られる。データベース２３０は、監視データを、テーブル化して保存する。

出力処理部７１０は、データベース２３０から各監視データを読み出し、第１の実施形態と同様の統計処理・視覚処理を施して、表示装置に表示させる。加えて、出力処理部７１０は、異常検知部７２０から要求信号を受信すると、所定の統計処理結果を異常検知部７２０に送信する。

異常検知部７２０は、上述のようにして、受信した統計処理結果から不正プログラム活動の発生／非発生を判断する。そして、不正プログラム活動が検知された場合、検知結果を示す信号を、防御実行部７３０に送る。

防御実行部７３０は、異常検知部７２０によって不正プログラム活動が検知されたときに、インタフェース２１０を制御して、フィルタリング設定またはパッチの適用を行わせる。これにより、その不正プログラム活動に係るパケットを、そのルータまたはファイアウォールで遮断することができる。

また、これと併せて、出力処理部７１０の表示に基づいてネットワーク１１０の管理者が人為的にフィルタ設定等を行えるようにしてもよい。

さらに、ルータ１１２，１１３等で異常を発見された場合に、他のルータ（特に他のネットワーク１２０等との接続ポイントに近いルータ）でもフィルタリングを行うことにより、特許文献１と同様にして、ネットワーク全体における障害の発生を防止することとしてもよい。この防御処理は、防御実行部７３０が自動で行うこととしてもよいし、管理者が行うこととしてもよい。

加えて、不正でないアプリケーション（例えば一般の電子メール用ソフトウエア等）を利用して不正プログラム活動が行われている場合には、フィルタリングにより正常な通信まで損なわれてしまうことを防ぐために、防御実行部７３０または管理者が、そのアプリケーションを利用した通信の帯域制限を行うこととしてもよい。

この実施形態によれば、第１の実施形態と同様の理由により、不正プログラムの未知／既知に拘わらず、不正プログラム活動の早期発見や、被害状況の迅速且つ詳細な把握、被害原因の正確な分析等が可能になる。

加えて、この実施形態によれば、異常検知および対策を自動で行うことができるので、管理の人的コスト削減や人的ミス削減を図ることができる。

第３の実施形態
次に、この発明の第３の実施形態に係るネットワーク監視システムについて、図８〜図１０を用いて説明する。

図８は、この実施形態に係るネットワーク構成を示す概念図である。図８に示したように、監視対象となるネットワーク８００は、ルータ８１１，８１２，８１３やファイアウォール８１４を含む。ルータ８１１，８１２，８１３およびファイアウォール８１４は、ネットワーク監視装置８２１，８２２，８２３，８２４を備えている。加えて、ネットワーク８００は、統括監視センタ８３０を備えている。

図９は、ネットワーク監視装置８２１〜８２４の内部構成を示すブロック図である。図９において、図２と同じ符号を付した構成要素は、それぞれ図２の場合と同じものを示している。

出力処理部９１０は、第１の実施形態に係る出力処理部２４０と同様、データベース２３０から監視データを読み出すとともに、かかる監視データに統計処理や視覚処理を施して監視者用の表示装置に表示させる（図４〜図６参照）。加えて、出力処理部９１０は、データベース２３０から読み出した監視データ（すなわち、統計・視覚処理前のデータ）を、統括監視センタ８３０からの要求に応じて出力する。

図１０は、統括監視センタ８３０の内部構成を示すブロック図である。図１０に示したように、統括監視センタ８３０は、インタフェース１０１０と、入力処理部１０２０と、統括データベース１０３０と、統括出力処理部１０４０とを備えている。

インタフェース１０１０は、入力処理部１０２０から受信した要求信号をネットワーク監視装置８２１〜８２４に送るとともに、ネットワーク監視装置８２１〜８２４から受信した監視データを入力処理部１０２０に送る。

入力処理部１０２０は、要求信号を生成してインタフェース１０１０に送るとともに、インタフェース１０１０から受信した監視データを統括データベース１０３０に格納する。

統括データベース１０３０は、入力処理部１０２０から受信した監視データ（図３参照）に、ネットワーク監視装置８２１〜８２４を識別するための情報を付加し、テーブル化して保存する。

統括出力処理部１０４０は、統括データベース１０３０から監視データを読み出すとともに、かかる監視データに、統計処理・視覚処理を施す。この処理により、ネットワーク８００全体についての統計処理データが生成される。例えば、アプリケーション毎の通信ホスト数やその時間変化（図５参照）を、ネットワーク監視装置８２１〜８２４毎ではなく、ネットワーク８００全体について統計処理することができる。そして、統括出力処理部１０４０は、この処理データを、統括監視センタ８３０の表示装置（図示せず）に表示させる。

次に、この実施形態に係るネットワーク監視システムの動作を説明する。

第１の実施形態と同様、ネットワーク監視装置８２１〜８２４のインタフェース２１０は、ルータ１１１からパケットを抽出する。解析部２２０内のアプリケーション特定部２２１は、第１の実施形態と同様にして、受信パケットの通信に使用されているアプリケーションを特定する。続いて、ヘッダ解析抽出部２２２が、これらのパケットから、第１の実施形態と同様のヘッダ情報を抽出して解析する。さらに、帯域解析部２２３が、送信元アドレス・ポート番号および宛先アドレス・ポート番号がともに一致するパケット毎に使用帯域を解析する。これらの解析結果は、監視データとして、データベース２３０に送られる。データベース２３０は、監視データをテーブル化して、保存する。出力処理部９１０は、第１の実施形態と同様の統計処理および視覚化処理を行って、統計データを表示する。

統括監視センタ８３０の入力処理部１０２０は、要求信号を、適宜生成する。この要求信号は、インタフェース１０１０を介して、対応するネットワーク監視装置８２１〜８２４に送信される。ネットワーク監視装置８２１〜８２４の出力処理部９１０は、統括監視センタ８３０からの要求信号に応じてデータベース２３０から監視データを読み出し、送信する。送信された監視データは、インタフェース１０１０を介して、入力処理部１０２０に受信される。入力処理部１０２０は、この監視データを、データベース１０３０に保存する。

統括出力処理部１０４０は、上述したように、統括データベース１０３０から監視データを読み出すとともに、かかる監視データに統計処理や視覚処理を施して監視者用の表示装置に表示させる。

加えて、この実施形態によれば、ネットワーク内の各ルータやファイアウォールを統括的に監視することができる。このため、この実施形態によれば、被害の拡散を迅速且つ詳細に把握・分析できることに加えて、人為的な設定ミス等に起因する局所的な異常を発見し易くなる。

なお、この実施形態に係るネットワーク監視システムの各ネットワーク監視装置８２１〜８２４に、第２の実施形態と同様の異常検知部および防御実行部（図７参照）を設け、不正プログラム活動の発生と防御とを自動的に行わせることとしてもよい。

第４の実施形態
次に、この発明の第４の実施形態に係るネットワーク監視システムについて、図１１を用いて説明する。

この実施形態に係るネットワークの全体構成および各ネットワーク監視装置の構成は、第３の実施形態の場合（図８および図９参照）と同様であるので、説明を省略する。

図１１は、この実施形態に係る統括監視センタの内部構成を示すブロック図である。図１１に示したように、この統括監視センタ１１００は、統括防御実行部１１１０を備えている点で、第３の実施形態と異なる。

統括防御実行部１１１０は、統括監視センタの管理者が不正プログラム活動を検知したときに、その管理者の操作により、各ネットワーク監視装置のインタフェース２１０を統括的に制御して、フィルタリング設定やパッチの適用を行う。これにより、その不正プログラム活動に係るパケットをそのルータまたはファイアウォールで遮断或いは帯域制限することができる。加えて、この統括防御実行部１１１０は、一部のルータ等で異常が発見された場合に、管理者の操作により、他のルータ（特に他のネットワーク１２０等との接続ポイントに近いルータ）の遮断や帯域制限を行って、ネットワーク全体における障害の発生を防止することができる。

また、この実施形態によれば、第３の実施形態と同様の理由により、人為的な設定ミス等に起因する局所的な異常を発見し易くなる。

加えて、この実施形態によれば、各ネットワーク監視装置のインタフェースにおけるパケットの遮断や帯域制限を統括監視センタ１１００で統括的に行うことができるので、不正プログラム活動に対するネットワーク全体の防御処置を、迅速且つ有効に行うことができる。

第１の実施形態に係るネットワーク構成を示す概念図である。第１の実施形態に係るネットワーク監視システムの構成を概略的に示すブロック図である。第１の実施形態に係るデータベースに格納される監視データの構成示す概念図である。第１の実施形態に係る出力処理部の動作を説明するための概念図である。第１の実施形態に係る出力処理部の動作を説明するための概念図である。第１の実施形態に係る出力処理部の動作を説明するための概念図である。第２の実施形態に係るネットワーク監視システムの構成を概略的に示すブロック図である。第３の実施形態に係るネットワーク監視システムの構成を概略的に示すブロック図である。第３の実施形態に係るネットワーク監視装置の構成を概略的に示すブロック図である。第３の実施形態に係る統括監視センタの内部構成を示すブロック図である。第４の実施形態に係る統括監視センタの内部構成を示すブロック図である。

符号の説明

１１０，１２０ネットワーク
１１１，１１２，１１３，１２１ルータ
１１４ファイアウォール
１３０通信回線
２００ネットワーク監視システム
２１０インタフェース
２２０解析部
２２１アプリケーション特定部
２２２ヘッダ解析抽出部
２２３帯域解析部
２３０データベース
２４０出力処理部

Claims

監視ポイントのネットワーク・トラフィックからパケットを順次抽出するインタフェース部と、
該インタフェース部が抽出した１以上の前記パケットを解析することにより該パケットの通信に使用されているアプリケーションを特定するアプリケーション特定部と、
前記インタフェース部が抽出した前記パケットのヘッダ情報を抽出して解析するヘッダ解析抽出部と、
前記アプリケーション特定部および前記ヘッダ解析抽出部の解析結果に応じて通信帯域を解析する帯域解析部と、
前記アプリケーション特定部、前記ヘッダ解析抽出部および前記帯域解析部の解析結果を含む監視データを保存する保存部と、
前記保存部に保存された前記監視データを統計的に処理することにより統計データを生成する出力処理部と、
を備えることを特徴とするネットワーク監視システム。
前記統計データを用いて不正プログラム活動を検知する異常検知部をさらに備えることを特徴とする請求項１に記載のネットワーク監視システム。
前記異常検知部が、同一アプリケーションに対応するアドレス数の時間変化が所定値を超えた場合に、前記不正プログラム活動が行われていると判断することを特徴とする請求項２に記載のネットワーク監視システム。
前記異常検知部が、同一アプリケーションによる帯域使用量の時間変化が所定値を超えた場合に、前記不正プログラム活動が行われていると判断することを特徴とする請求項２または３に記載のネットワーク監視システム。
前記異常検知部によって前記不正プログラム活動が検知されたときに、該不正プログラム活動に係るパケットを前記インタフェース部に遮断または帯域制限させる防御実行部をさらに備えることを特徴とする請求項２〜４のいずれかに記載のネットワーク監視システム。
複数の前記監視ポイントに対応して生成された複数の前記監視データを統括的に保存する統括保存部と、
該統括保存部に保存された前記監視データを統計処理することにより統括的な統計データを生成する統括出力処理部と、
を有する統括監視装置をさらに備えることを特徴とする請求項１〜５のいずれかに記載のネットワーク監視システム。
前記統括監視装置が、前記複数の監視ポイントに対応するそれぞれの前記インタフェース部に該不正プログラム活動に係るパケットを遮断または帯域制限させる統括防御実行部をさらに備えることを特徴とする請求項６に記載のネットワーク監視システム。