JP2008079138A - 通信監視システム、フロー収集装置、解析マネージャ装置及びプログラム - Google Patents

Abstract

【課題】大量のデータが流れるネットワークにおいて、効率的且つリアルタイムに異常トラフィックを検出すること
【解決手段】フロー収集装置４から解析マネージャ装置５へトラフィック情報８を送信するタイミングが重ならないようにフロー収集装置４の待機時間を調整する。また、フロー収集装置４は、宛先情報を含んだトラフィック情報８を作成し、解析マネージャ装置５へ送信する。解析マネージャ装置５は、このトラフィック情報８に基づいて、異常トラフィックを検出する。
【選択図】図１

Description

本発明は、ネットワーク上のトラフィックの異常を検出する通信監視システム、フロー収集装置、解析マネージャ装置及びプログラムに関する。

近年、インターネット等のオープンな情報ネットワークの普及に伴い、ネットワーク上のトラフィックは多様化している。このネットワーク上のトラフィックの計測技術として、様々な技術が利用されている。例えば、ネットワーク間のインターフェースを通過する通信パケットを全てキャプチャし、トラフィック計測を行う技術が挙げられる（特許文献１参照）。

また、特許文献１には、プローブ装置（フロー収集装置）から通信監視サーバ（解析マネージャ装置）へトラフィック情報を送信する技術が示されている。

さらに、フローデータを用いた技術として、ネットワークの回線上からパケットを受信し、フローデータ単位でトラフィックの観測を行い、その回線上のトラフィックを通常状態からの逸脱度によって異常度を判断し、その回線のトラフィックの異常（以下、異常トラフィックと称す）を検出するものが挙げられる（特許文献２参照）。

ここで、フローデータとは、「宛先ＩＰアドレス」「送信元ＩＰアドレス」「Ｌ３プロトコルタイプ」「宛先ポート番号」「送信元ポート番号」「ＴＯＳ」等の項目が等しい一連の片方向パケットのことをいう。
特開２００６−１４８６８６号公報 特開２００５−２０３９９２号公報

しかし、特許文献１の技術では、高速回線のトラフィック計測を行う際に、通信周波数の広帯域化により汎用ツールでの計測が困難となる。また、通信周波数の広帯域化によって膨大な量の測定結果が生成されるため、大容量の記憶装置が必要となってくる。また、従来の転送バイト／パケット数の計測だけでは、サービス種別やホスト単位の動作を検出することができない。

さらに、特許文献１と特許文献２の技術では、回線上に流れるパケットを直接受信して異常トラフィックを検出するため、フローの「宛先ＩＰアドレス」に該当する宛先ホスト毎に異常トラフィックを判断することができない。

さらに、特許文献１の技術では、フロー収集装置が多数存在する場合、解析マネージャ装置への送信タイミングが重なるため、解析マネージャ装置への回線に負担がかかり、また解析マネージャ装置の負荷も高まる。

また、解析マネージャ装置から各フロー収集装置へポーリングすると、フロー収集装置は、ポーリングタイミングでトラフィック情報の生成と転送を行うため、リアルタイム性が損なわれる。

本発明は、上述したような課題に鑑みて為されたものであり、その目的とするところは、大量のデータが流れるネットワークにおいて、効率的且つリアルタイムに異常トラフィックを検出することである。

上記の課題を解決するために、請求項１に記載の発明は、
複数のフロー収集装置と、
前記フロー収集装置から受信したトラフィック情報の解析を行う解析マネージャ装置と、
をそれぞれネットワーク回線に接続した通信監視システムにおいて、
前記フロー収集装置は、
周辺の通信装置からフロー情報を収集するフロー収集手段と、
前記フロー収集手段によって収集されたフロー情報に基づいて、トラフィック情報を作成する情報作成手段と、
前記解析マネージャ装置に前記情報作成手段によって作成されたトラフィック情報を、所定の待機時間、待機してから送信する情報送信手段と、
を備えることを特徴としている。

請求項２に記載の発明は、請求項１に記載の発明において、
前記情報送信手段は、
前記情報作成手段のトラフィック情報の作成時間に基づいて前記待機時間を算出する第１待機時間算出手段、
を有することを特徴としている。

請求項３に記載の発明は、請求項１に記載の発明において、
前記解析マネージャ装置は、
前記各フロー収集装置に固有の管理番号を振り分け、その各フロー収集装置に通知する番号通知手段を更に備え、
前記情報作成手段は、
前記解析マネージャ装置によって通知された前記管理番号に基づいて前記待機時間を算出する第２待機時間算出手段、
を有することを特徴としている。

請求項４に記載の発明は、請求項３に記載の発明において、
前記番号通知手段は、
前記フロー収集装置の台数が増減した場合、再び前記管理番号を振り分けて各フロー収集装置に再通知する番号再通知手段、
を有することを特徴としている。

請求項５に記載の発明は、
複数のフロー収集装置と、
前記フロー収集装置から受信したトラフィック情報の解析を行う解析マネージャ装置と、
をそれぞれネットワーク回線に接続した通信監視システムにおいて、
前記フロー収集装置は、
通信装置同士を結ぶリンク毎の宛先情報を含むフロー情報を、周辺の通信装置から収集するフロー収集手段と、
前記フロー収集手段によって収集されたフロー情報に基づいて、各リンクにおける宛先毎のトラフィック情報を作成する情報作成手段と、
前記情報作成手段によって作成されたトラフィック情報を、前記解析マネージャ装置に送信する情報送信手段と、
を備えることを特徴としている。

請求項６に記載の発明は、請求項５に記載の発明において、
トラフィック量の閾値と、前記フロー収集装置から送信されたトラフィック情報とに基づいて、特定リンクの特定宛先へのトラフィックの異常を判定する異常判定手段と、
前記異常判定手段によって判定されたトラフィックの異常をユーザに通知する通知手段と、
を備えることを特徴としている。

請求項７に記載の発明は、請求項６に記載の発明において、
前記フロー情報は、送信元情報を含み、
前記情報作成手段は、
前記フロー収集手段によって収集されたフロー情報に基づいて、各リンクにおける各宛先の送信元毎のトラフィック情報を作成する送信元毎情報作成手段、
を有することを特徴としている。

請求項８に記載の発明は、請求項７に記載の発明において、
前記異常判定手段は、
トラフィック量の閾値と、前記フロー収集装置から送信されたトラフィック情報とに基づいて、特定リンクの特定宛先への特定送信元のトラフィックの異常を判定する送信元毎異常判定手段、
を有することを特徴としている。

請求項９に記載のフロー収集装置は、
周辺の通信装置からフロー情報を収集するフロー収集手段と、
前記フロー収集手段によって収集されたフロー情報に基づいて、トラフィック情報を作成する情報作成手段と、
トラフィック情報の解析を行う解析マネージャ装置に前記情報作成手段によって作成されたトラフィック情報を、所定の待機時間、待機してから送信する情報送信手段と、
を備えることを特徴としている。

請求項１０に記載の発明は、請求項９に記載の発明において、
前記情報送信手段は、
前記情報作成手段のトラフィック情報の作成時間に基づいて前記待機時間を算出する待機時間算出手段、
を有することを特徴としている。

請求項１１に記載のフロー収集装置は、
通信装置同士を結ぶリンク毎の宛先情報を含むフロー情報を、周辺の通信装置から収集するフロー収集手段と、
前記フロー収集手段によって収集されたフロー情報に基づいて、各リンクにおける宛先毎のトラフィック情報を作成する情報作成手段と、
前記情報作成手段によって作成されたトラフィック情報を、トラフィック情報の解析を行う解析マネージャ装置に送信する情報送信手段と、
を備えることを特徴としている。

請求項１２に記載の発明は、請求項１１に記載の発明において、
前記フロー情報は、送信元情報を含み、
前記情報作成手段は、
前記フロー収集手段によって収集されたフロー情報に基づいて、各リンクにおける各宛先の送信元毎のトラフィック情報を作成する送信元毎情報作成手段、
を有することを特徴としている。

請求項１３に記載の解析マネージャ装置は、
トラフィック量の閾値と、フロー収集装置から送信された各リンクにおける宛先毎のトラフィック情報とに基づいて、特定リンクの特定宛先へのトラフィックの異常を判定する異常判定手段と、
前記異常判定手段によって判定されたトラフィックの異常をユーザに通知する通知手段と、
を備えることを特徴としている。

請求項１４に記載の発明は、請求項１３に記載の発明において、
前記異常判定手段は、
トラフィック量の閾値と、フロー収集装置から送信された各リンクにおける各宛先の送信元毎のトラフィック情報とに基づいて、特定リンクの特定宛先への特定送信元のトラフィックの異常を判定する送信元毎異常判定手段、
を有することを特徴としている。

請求項１５に記載のプログラムは、
コンピュータを、
周辺の通信装置からフロー情報を収集するフロー収集手段、
前記フロー収集手段によって収集されたフロー情報に基づいて、トラフィック情報を作成する情報作成手段、
トラフィック情報の解析を行う解析マネージャ装置に前記情報作成手段によって作成されたトラフィック情報を、所定の待機時間、待機してから送信する情報送信手段、
として機能させることを特徴としている。

請求項１６に記載のプログラムは、
コンピュータを、
通信装置同士を結ぶリンク毎の宛先情報を含むフロー情報を、周辺の通信装置から収集するフロー収集手段、
前記フロー収集手段によって収集されたフロー情報に基づいて、各リンクにおける宛先毎のトラフィック情報を作成する情報作成手段、
前記情報作成手段によって作成されたトラフィック情報を、トラフィック情報の解析を行う解析マネージャ装置に送信する情報送信手段、
として機能させることを特徴としている。

請求項１７に記載のプログラムは、
コンピュータを、
トラフィック量の閾値と、フロー収集装置から送信された各リンクにおける宛先毎のトラフィック情報とに基づいて、特定リンクの特定宛先へのトラフィックの異常を判定する異常判定手段、
前記異常判定手段によって判定されたトラフィックの異常をユーザに通知する通知手段、
として機能させることを特徴としている。

請求項１、９及び１５に記載の発明によれば、フロー収集装置が、解析マネージャ装置へ、所定の待機時間、待機してからトラフィック情報の送信を行うため、待機時間の設定に応じて複数のフロー収集装置の送信タイミングをずらすことができる。従って、効率的且つリアルタイムに異常トラフィックを検出することができる。

請求項２及び１０に記載の発明によれば、請求項１及び９に記載の発明と同様の効果が得られるのは無論のこと、待機時間を、トラフィック情報の作成時間に基づいて算出するため、各フロー収集装置のトラフィック情報の送信処理が重ならずに連続的に行われるように、複数のフロー収集装置の送信タイミングを設定することができる。

請求項３に記載の発明によれば、請求項１及び９に記載の発明と同様の効果が得られるのは無論のこと、解析マネージャ装置が、各フロー収集装置に固有の管理番号を振り分け、通知するため、各フロー収集装置は、管理番号に基づいて待機時間を決定することができる。具体的にはトラフィック情報作成時間と管理番号を乗算した時間を待機時間とする。従って、各フロー収集装置のトラフィック情報の送信処理が重ならずに連続的に行われるように、各フロー収集装置の待機時間の設定が、自動的に行われる。従って、ユーザは、手動で待機時間を設定する必要がなく、通信監視システムの設定の煩わしさは軽減される。

請求項４に記載の発明によれば、請求項３に記載の発明と同様の効果が得られるのは無論のこと、解析マネージャ装置がフロー収集装置の個数が増減した場合、再び管理番号を振り分け、各フロー収集装置へ通知する。そのため、通信監視システム運用中にフロー収集装置が増減しても、各フロー収集装置の待機時間の設定が自動的に行われる。

請求項５、６、１１、１３、１６及び１７に記載の発明によれば、フロー収集装置が、各リンクにおける宛先毎のトラフィック情報を作成する。そして解析マネージャ装置は、異常なトラフィックがどの宛先に向けたものかを特定し、ユーザに通知する。そのため、ユーザは、どのリンクのどの宛先へのトラフィックが異常かを知ることができ、特定宛先へのトラフィックの帯域制御や遮断を行うことで、ネットワークの状態を最適に保つことができる。

請求項７、８、１２及び１４に記載の発明によれば、請求項５、６、１１及び１３に記載の発明と同様の効果が得られるのは無論のこと、フロー収集装置が、各リンクにおける各宛先の送信元毎のトラフィック情報を作成する。そして解析マネージャ装置は、異常なトラフィックがどの送信元から送られてきたものかを特定し、ユーザに通知する。そのため、ユーザは、どのリンクのどの宛先への、どの送信元からのトラフィックが異常かを知ることができ、異常なトラフィックを発生させている送信元を特定することができる。

〔システム概要〕
以下、本発明の通信監視システムの実施形態について、図１〜図１４を参照して説明する。

図１は、本通信監視システムの概要図である。図１に示すように、ネットワーク１とネットワーク１以外のネットワーク２とは、それぞれルータ等の通信機器６によって接続されている。また、他ネットワーク２に、ホストコンピュータ３が接続されている。

自ネットワーク１において、一台の解析マネージャ装置５と複数台のフロー収集装置４が接続されている。フロー収集装置４は、ネットワーク上にある周辺のルータやスイッチ等の通信機器６からフロー情報７の収集を行い、収集したフロー情報７に基づいて、トラフィック情報８を作成する。そして、作成したトラフィック情報８を解析マネージャ装置５に、それぞれ送信する（詳しくは後述）。

また、フロー収集装置４によるフロー情報７の収集は、各フロー収集装置間で同期をとり、所定のインターバル時間Ｔ（秒）（図３参照）毎に行われる。インターバル時間Ｔ（秒）は、ネットワークの回線スピードやトラフィック量等に応じて調整され、秒単位で設定が可能である。

解析マネージャ装置５は、フロー収集装置４から送信されたトラフィック情報８を受信して解析を行い、ネットワークにおけるトラフィックの状態をユーザに通知する（詳しくは後述）。

〔フロー収集装置と解析マネージャ装置の構成〕
図２は、フロー収集装置４と解析マネージャ装置５のブロック図である。フロー収集装置４は、制御部９、通信部１０、表示部１１、入力部１２及び記憶部１３を備えて構成される。

制御部９は、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）等を有して構成され、フロー収集装置４の各機能部を統括的に制御する。

通信部１０は、外部機器とデータ通信するための機能部であり、ネットワークインターフェース等により構成される。表示部１１は、ＬＣＤ（Liquid Crystal Display）等によって構成され、制御部９から出力される表示データに基づいて各種情報を表示する。

入力部１２は、キーボード等によって構成され、ユーザにより押下操作されたキーの操作信号を制御部９に出力する。記憶部１３は、読み書き可能な不揮発性メモリやハードディスク等から構成され、制御部９が実行する各種プログラムに用いられるデータや、当該プログラムで処理されたデータ等を記憶する。

解析マネージャ装置５は、制御部１４、通信部１５、表示部１６、入力部１７及び記憶部１８を備えて構成される。尚、各構成要素の説明は、フロー収集装置４と同様なので省略する。

〔第１の実施形態：送信タイミングの調整〕
以下、複数のフロー収集装置４と、解析マネージャ装置５におけるトラフィック情報８の送信タイミングの調整についての第１の実施形態を説明する。

フロー収集装置４の通信部１０は、周辺の通信機器６からフロー情報７を受け取り、記憶部１３を送る。そして、制御部９はフロー情報７を記憶部１３に記憶する。

次に制御部９は、記憶されたフロー情報７を読み出し、そのフロー情報７に基づいて、トラフィック情報８を作成する。制御部９は所定の時間、待機してから、作成したトラフィック情報８を、通信部１３を介して解析マネージャ装置５へ送信する。この待機する時間を以下、待機時間と称す。

待機時間の設定において、入力部１２からユーザが手動で設定してもよいし、他の端末から受信した信号に基づいて設定してもよい。

図３は、複数のフロー収集装置４における送信タイミングの調整の概要図である。自ネットワーク１内にフロー収集装置４が３台あり、各フロー収集装置４をそれぞれ、フロー収集装置４Ａ、フロー収集装置４Ｂ、フロー収集装置４Ｃとする。

フロー収集装置４の処理は、周辺の通信機器６からフロー情報７を収集する「フロー収集処理ｘ」、収集したフロー情報７に基づいてトラフィック情報８を作成する「トラフィック情報作成処理ｙ」、作成したトラフィック情報８を解析マネージャ装置５に送信する「トラフィック情報送信処理ｚ」の３つに大きく分けられる。

各フロー収集装置４は、トラフィック情報作成処理ｘにかかる時間と、トラフィック情報送信処理ｙにかかる時間とが、同じ長さになるように設定する。この時間の長さをＴｄ秒とする。

ここで、フロー収集装置４Ａの待機時間は０秒、フロー収集装置４Ｂの待機時間はＴｄ秒、フロー収集装置４Ｃの待機時間は２Ｔｄ秒（＝Ｔｄ＋Ｔｄ）と、ユーザによって手動で設定されているとする。

この場合、フロー収集装置４Ｂは、トラフィック情報作成処理ｙを完了後、Ｔｄ秒待機してからトラフィック情報送信処理ｚを行う。また、フロー収集装置４Ｃは、トラフィック情報作成処理ｙを完了後、２Ｔｄ秒（＝Ｔｄ＋Ｔｄ）待機してからトラフィック情報送信処理ｚを行う。

その結果、フロー収集装置４Ａ、４Ｂ、４Ｃのトラフィック情報送信処理ｚは、順次連続で行われる。そのため、トラフィック情報送信処理ｚはそれぞれ同一のタイミングで重なって行われることがなく、解析マネージャ装置５にポーリングのような特殊なスケジューリング機能を持たせる必要はない。従って、解析マネージャ装置５への回線の負担と解析マネージャ装置５の負荷を軽減し、効率よく、リアルタイム性を損なうことなく、解析マネージャ装置５へトラフィック情報８の送信が行われる。

〔第２の実施形態：送信タイミングの調整〕
次に、送信タイミングの調整についての第２の実施形態を説明する。本実施形態は、解析マネージャ装置５から送られてきた「管理番号」と「固定基準時間」に基づいて、フロー収集装置４がそれぞれ待機時間を算出する。以下、詳しく説明する。

管理番号とは、解析マネージャ装置５によって割り当てられる各フロー収集装置４に固有の整数値である。また、固定基準時間とは、待機時間の基準となる時間であり、解析マネージャ装置５において、ユーザによって入力部１７から設定される。尚、他のコンピュータから受信した信号に基づいて設定されてもよい。ここでは、固定基準時間を、トラフィック情報作成処理ｙに係る時間Ｔｄ（秒）とする。

図４を用いて、解析マネージャ装置５が、管理番号と固定基準時間をフロー収集装置４に通知するシーケンスを説明する。フロー収集装置４は、ネットワークに接続されると、解析マネージャ装置５へ接続されたことを知らせる接続信号を送信する（ステップＳ１）。解析マネージャ装置５は、接続信号を受信すると、フロー収集装置４の管理番号を生成し（ステップＳ２）、管理番号と固定基準時間をフロー収集装置４へ通知する（ステップＳ３）。

フロー収集装置４は、管理番号と固定基準時間を解析マネージャ装置５から受け取り、これらの値に基づいて、待機時間を算出する（ステップＳ４）。待機時間は、管理番号と固定基準時間を乗算して算出される。算出された待機時間は、各フロー収集装置４において設定される。

図５を用いて、フロー収集装置４が複数台ある場合における、待機時間を算出する具体例を示す。ここでフロー収集装置４は３台あり、各フロー収集装置４をそれぞれ、フロー収集装置４Ａ、フロー収集装置４Ｂ、フロー収集装置４Ｃとする。

解析マネージャ装置５は、フロー収集装置４Ａに管理番号を「０」、フロー収集装置４Ｂに管理番号を「１」、フロー収集装置４Ｃに管理番号を「２」、として振り分ける。

解析マネージャ装置５は、各フロー収集装置４に固定基準時間と管理番号を通知する（ステップＳ１１）。各フロー収集装置４は、受け取った固定基準時間と管理番号を乗算して、待機時間を算出する（ステップＳ１２）。具体的には、フロー収集装置４Ａの待機時間は０秒（＝Ｔｄ×０）、フロー収集装置４Ｂの待機時間はＴｄ秒（＝Ｔｄ×１）、フロー収集装置４Ｃの待機時間は２Ｔｄ秒（＝Ｔｄ×２）となる。

以上、本実施形態によれば、各フロー収集装置４の送信タイミングが重ならずに連続的になるように、各フロー収集装置４に対して自動で待機時間が設定される。従ってユーザが手動で待機時間を調整する必要がなく、通信監視システムの設定の煩わしさは軽減される。

〔変形例：送信タイミングの調整〕
尚、一定期間フロー収集装置４からトラフィック情報８が送信されなくなった場合、フロー収集装置４がネットワーク上から無くなったとして、解析マネージャ装置５は、該当する管理番号を開放する。開放された管理番号は、以後、新たにネットワーク上に接続されたフロー収集装置４に通知される。このとき、解析マネージャ装置５は、使用されていない最小の番号を、管理番号として割り振る。

そのため、通信監視システム運用中にフロー収集装置４が増減しても自動的に送信タイミングが調整されるので、フロー収集装置４が増減するたびに各フロー収集装置４の待機時間を、ユーザが手動で調整する必要がない。

〔第３の実施形態：宛先情報〕
〔フロー収集装置の動作〕
以下、通信監視システムにおける宛先毎の異常トラフィックの検出についての第３の実施形態について説明する。図６は、フロー情報７を収集する際のフロー収集装置４のフローチャート図である。これらの処理は、制御部９で行われる。

先ず、フロー収集装置４は、フロー情報７を周辺の通信機器６から受信する（ステップＳ２１）。具体的には、ｓＦｌｏｗパケットやＮｅｔＦｌｏｗパケット等のフローデータを有しているフローパケットを受信する。フロー受信装置４は、ｓＦｌｏｗパケットとＮｅｔＦｌｏｗパケットが混在しても、それぞれ正しく認識する。

ｓＦｌｏｗとはＩｎＭｏｎ社、ＮｅｔＦｌｏｗとはＣｉｓｃｏＳｙｓｔｅｍｓ社が提唱したサンプリングされたフローデータをベースとした計測技術である。

ｓＦｌｏｗパケット、ＮｅｔＦｌｏｗパケットには、複数のフローデータが登録されており、ルータやスイッチ等の通信機器６間のリンク毎のフローデータを一つのパケットに集約している。これらｓＦｌｏｗパケット、ＮｅｔＦｌｏｗパケット等の、フローデータを使用した情報のことをフロー情報と呼ぶ。

フロー収集装置４は、複数のフローデータを単独のフローデータに分解する。その際、フロー収集装置は、分解された単独のフローデータに、どのリンクのフローデータなのかを識別するリンク情報を付加する。

そして、フロー収集装置４は、フローデータの種類毎にエントリを行い、エントリ毎にＩＰパケット数、ＴＣＰパケット数等の統計項目の統計値を取っていく。フロー収集装置４が受信したフローデータが既にエントリされている場合は、該当フローデータの統計項目に、受信したフローデータ中のＩＰパケット数、ＴＣＰパケット数等の値を加算していく。また、フロー収集装置４によって受信されたフローデータがエントリされていない場合は、新たにフローデータをエントリし、統計項目に受信したフローデータ中のＩＰパケット数、ＴＣＰパケット数等の値をカウントしていく。

統計項目は、「ＩＰパケット数」、「ＩＰバイト数」、「ＩＰバイト分布：２９〜６３バイトのＩＰパケット数」、「ＩＰバイト分布：１０２４以上のＩＰパケット数」、「ＴＣＰパケット数」、「ＵＤＰパケット数」、「ＩＣＭＰパケット数」、「ＴＣＰ−ＳＹＮ数」、「ＴＣＰ−ＲＳＴ数」、「ＴＣＰ−ＦＩＮ数」、「ＴＣＰ−ＦＴＰ−ＤＡＴＡ数」、「ＴＣＰ−ＨＴＴＰ数」、「ＵＤＰ−ＷｅｌｌＫｎｏｗｎ数」、「ＩＣＭＰ−Ｒｅｑｕｅｓｔ数」、「ＩＣＭＰ−ＵｎＲｅａｃｈａｂｌｅ数」から成る。ここで統計項目は、ここに示したものに限るものではなく、適宜変更可能である。

「ＩＰパケット数」は、インターバル時間Ｔ（秒）の間にフロー収集装置４が受け取ったＩＰパケットの総数である。「ＩＰバイト数」は、その受け取ったＩＰパケットのバイト総数である。

「ＩＰバイト分布」は、その受け取ったＩＰパケットのバイト数の範囲毎の、ＩＰパケットの総数である。バイト数の範囲は、０〜２８バイト、２９〜６３バイト、１０２４バイト以上等のように分けられる。

「ＴＣＰパケット数」は、その受け取ったＩＰパケットのうち、ＴＣＰパケットの総数である。「ＵＤＰパケット数」は、その受け取ったＩＰパケットのうち、ＵＤＰパケットの総数である。「ＩＣＭＰパケット数」は、そのＩＰパケットのうち、ＩＣＭＰパケットの総数である。

「ＴＣＰ−ＳＹＮ数」は、インターバル時間Ｔ（秒）中にフロー収集装置４が受け取ったＴＣＰパケットのうち、ＳＹＮパケットの総数である。「ＴＣＰ−ＲＳＴ数」は、その受け取ったＴＣＰパケットのうち、ＲＳＴパケットの総数である。「ＴＣＰ−ＦＩＮ数」は、その受け取ったＴＣＰパケットのうち、ＦＩＮパケットの総数である。

「ＴＣＰ―ＦＴＰ―ＤＡＴＡ数」は、その受け取ったＴＣＰパケットのうち、ＦＴＰ ＤＡＴＡパケットの総数である。「ＴＣＰ―ＨＴＴＰ数」は、その受け取ったＴＣＰパケットのうち、ＨＴＴＰパケットの総数である。

「ＵＤＰ―ＷｅｌｌＫｎｏｗｎ数」は、インターバル時間Ｔ（秒）中にフロー収集装置４が受け取ったＵＤＰパケットのうち、ＷｅｌｌＫｎｏｗｎパケットの総数である。

「ＩＣＭＰ―Ｒｅｑｕｅｓｔ数」は、インターバル時間Ｔ（秒）中にフロー収集装置４が受け取ったＩＣＭＰパケットのうち、Ｒｅｑｕｅｓｔパケットの総数である。「ＩＣＭＰ―ＵｎＲｅａｃｈａｂｌｅ数」は、その受け取ったＩＣＭＰパケットのうち、ＵｎＲｅａｃｈａｂｌｅパケットの総数である。

ステップＳ２１のフロー情報受信後、インターバル期間内に受信したフロー情報７を、付加されたリンク情報に基づいてリンク毎に分類し、統計項目に、統計値を加算していく（ステップＳ２２）。

インターバル期間の境界を判断した時点で、図８のような該当インターバルの特定リンクにおける統計項目の統計値のテーブル（以下、統計値テーブルと称す）を作成する。

以下、図８において、「ＩＰＰｋｔ」はＩＰパケット数、「ＩＰＢｙｔｅ」はＩＰバイト数、「ＩＰＢｙｔｅ２９−６３」は２９〜６３バイトのＩＰバイト分布、「ＩＰＢｙｔｅ１０２４−」は１０２４バイト以上のＩＰバイト分布、「ＴＣＰ」はＴＣＰパケット数、「ＵＤＰ」はＵＤＰパケット数、「ＩＣＭＰ」はＩＣＭＰパケット数、「ＳＹＮ」はＴＣＰ−ＳＹＮ数、「ＲＳＴ」はＴＣＰ−ＲＳＴ数、「ＦＩＮ」はＴＣＰ−ＦＩＮ数、「ＴＣＰＦＴＰＤＡＴＡ」はＴＣＰ−ＦＴＰ−ＤＡＴＡ数、「ＴＣＰＨＴＴＰ」はＴＣＰ−ＨＴＴＰ数、「ＵＤＰＷｅｌｌＫｎｏｗｎ」はＵＤＰ−ＷｅｌｌＫｎｏｗｎ数、「ＩＣＭＰＲｅｑｕｅｓｔ」はＩＣＭＰ−Ｒｅｑｕｅｓｔ数、「ＩＣＭＰＵｎＲｅａｃｈａｂｌｅ」はＩＣＭＰ−ＵｎＲｅａｃｈａｂｌｅ数に対応している。

また、ステップＳ２２と並行して、インターバル期間の境界を判断した時点で、図９のようなＴｏｐＮテーブルを作成する（ステップＳ２３）。ＴｏｐＮテーブルとは、該当インターバルの特定リンクにおけるＩＰパケット数を基準とした上位Ｎ番目までの宛先ＩＰアドレス（宛先ホスト）とその統計項目の統計値を抽出したテーブルである。

そして、ステップＳ２２、Ｓ２３で作成された統計値テーブルとＴｏｐＮテーブルを、トラフィック情報８として集約する（ステップＳ２４）。次に、ステップＳ２４で集約されたトラフィック情報８を解析マネージャ装置５に送信する（ステップＳ２５）。

以上のフロー収集装置４の動作によって、フロー情報７からトラフィック情報８が作成される。

〔解析マネージャ装置の動作〕
図７は、各フロー収集装置４からトラフィック情報８を受信した後の、解析マネージャ装置５におけるトラフィック情報８の解析処理のフローチャート図である。

先ず、解析マネージャ装置５は、各フロー収集装置４から受け取ったトラフィック情報８を、フロー収集装置４で作成した図８に示す統計値テーブルに基づいて、リンク毎に分類する（ステップＳ３１）。ステップＳ３２以降、分類したリンク毎に処理を行う。

次に、リンク単位で、それぞれのリンク全体のトラフィック量が閾値を超えているかを判定する（ステップＳ３２）。解析マネージャ装置５は、リンクにおけるＩＰパケットの閾値を記憶部１８に保持している。この閾値は、ユーザによって入力部１７より設定可能である。

この閾値と図８の統計値テーブルのＩＰパケット数とを比較して、ＩＰパケット数の方が大きい値だったらトラフィック量が閾値を超えていると判定する。閾値の方が大きい値だったらトラフィック量は閾値を超えていないと判定する。

閾値を超えていないリンクは、ネットワークのトラフィックに対して脅威は無いと判定する。また、閾値を超えている場合は、該当リンクに異常トラフィックが存在するものと判定してステップＳ３３の処理へと進む。

次に、異常トラフィックが存在していると判定されたリンクに対して、ＩＰパケット数の多い宛先ホストの上位Ｎ番目までの統計値の情報（以後、ＴｏｐＮ情報と称す）を抽出する（ステップＳ３３）。ここでは、フロー収集装置４において、図９に示すＴｏｐＮテーブルが既に作成されている為、このＴｏｐＮテーブルを使用する。そのため、解析マネージャ装置５において、特別なソート処理等を行う必要はない。

次に、ＴｏｐＮテーブルの、宛先ホスト毎の各統計項目に対して統計項目異常スコアを算出する（ステップＳ３４）。統計項目異常スコアの算出には、以下の式（１）を使う。

統計項目異常スコア＝
標準異常スコア＋閾値超過スコア＋閾値超過継続スコア＋閾値変化度スコア
・・・・（１）

式（１）における標準異常スコアは、統計項目毎に設定されている。解析マネージャ装置５は、記憶部１８に、図１０に示す統計項目に標準異常スコアを対応させたテーブル（以下、標準異常スコアテーブルと称す）を保持している。ここでは、一般に、異常トラフィックの発生要因となりやすい統計項目ほど異常スコアを高くしている。この異常スコアは、各ネットワーク状況等に合わせて適宜変更することが可能である。

また、解析マネージャ装置５は、記憶部１８に、図１１に示す統計項目に閾値を対応させたテーブル（以下、閾値テーブルと称す）を保持しており、統計項目毎に統計値が閾値を超えたかどうかを判断する。

統計項目の統計値が閾値を超えた場合、標準異常スコアの値は、標準異常スコアテーブルの統計項目に対応した標準異常スコアの値が設定される。統計項目の統計値が閾値を超えない場合は、標準異常スコアの値は０と設定される。

式（１）における閾値超過スコアは、閾値からの超過度を示すスコアである。閾値超過スコアは、次式（２）で表される。

閾値超過スコア＝ａ×Ｃ／Ｔ ・・・・（２）

ここで、Ｃは特定の統計項目の統計値、Ｔは特定の統計項目の閾値、ａは例えば、０．５のように影響度を調整可能な係数とする。

このスコアが加算されることで、統計項目異常スコアの値は高くなる。そのため、一つの統計項目のみが異常であっても、超過度が高ければ、その宛先ホストへのトラフィックは異常であると判断されるようになる。

式（１）における閾値超過継続スコアは、統計値が閾値を超過した時間を示すスコアである。閾値超過継続スコアは、次式（３）で表される。

閾値超過継続スコア＝ｂ×Ｎ ・・・・（３）

ここで、Ｎは閾値超過の継続インターバル回数、ｂは例えば、０．５のように影響度を調整可能な係数とする。

これにより閾値超過度が微小な値であっても、長時間にわたり閾値超過状態が続くことで、統計項目異常スコアの値は高くなる。

式（１）における閾値変化度スコアは、統計値の異常スコアの変化度を示すスコアである。閾値変化度スコアは、次式（４）で表される。

閾値変化度スコア＝ｃ×｜Ｄ｜ ・・・・（４）

ここで、Ｄは前回の閾値超過スコアから今回の閾値超過スコアを引いたもの、ｃは例えば、０．５のように影響度を調整可能な係数とする。

これにより、閾値超過状態の激しい変動があった場合、統計項目異常スコアの値は高くなる。

式（１）に基づいて統計項目毎の異常スコアを算出した結果を図１２に示す。ここでは、ある特定のインターバルでの統計値を参考例にしているため、異常スコアの算出には「標準異常スコア」と「閾値超過スコア（ａ＝１）」のみ使用している。

具体的な算出例として、宛先Ａの統計項目「ＩＰパケット数」の異常スコアを挙げる。ここで、標準異常スコアは１、閾値超過スコアの係数は１、統計値は４４３８５５、閾値は３３３００である。よって、式（１）により、異常スコアは１４（＝１＋（１×４４３８５５／３３３００））となる。

次に、宛先ホスト毎に統計項目異常スコアを加算して、宛先ホスト毎異常スコアを算出する。図１３に算出結果を示す。そして、宛先ホスト毎異常スコアの値に基づいて、異常トラフィックが存在するリンクにおいて、どの宛先ホストへのトラフィックが異常なのかを判定する（ステップＳ３５）。この判定には、図１４のような宛先ホスト毎異常スコアに異常ステータスを対応させたテーブル（以下、異常ステータステーブルと称す）を使用する。異常ステータステーブルは、解析マネージャ装置５が記憶部１８に保持している。

異常ステータスとは、ネットワークの異常度であり、異常ステータスを「正常」、「通知」、「注意」、「警告」、「緊急」、「遮断」の６つのレベルに分けられる。正常、通知、注意、警告、緊急、遮断の順にネットワークの異常度が高くなる。

そして、異常スコアが０の場合は「正常」、異常スコアが１〜５の場合は「通知」、異常スコアが６〜１０の場合は「注意」、異常スコアが１１〜１５の場合は「警告」、異常スコアが２１以上の場合は「遮断」と判定する。

例えば、図１３において、宛先Ａの宛先ホスト毎異常スコアは２３６４である。図１４の異常ステータステーブルを参照すると異常ステータスは「遮断」となる。

さらに、図１２中の統計項目異常スコアを参照して、宛先の異常ステータスの異常度が高くなっている原因を特定することができる。例えば、図１２中の宛先Ａにおいて、ＵＤＰ−ＷｅｌｌＫｎｏｗｎ数の統計項目異常スコアが２２２０となっているため、宛先Ａの異常ステータスが「遮断」となっている原因は、宛先ＡへのＤｏｓ攻撃ＵＤＰ Ｆｌｏｏｄであると特定される。

また、図１４における異常スコアと異常ステータスの対応は、ユーザによって、解析マネージャ装置５の入力部１７によって、適宜設定可能である。

解析マネージャ装置５は、この異常ステータスを表示部１６に表示し、ユーザへ異常トラフィックが存在するリンクの、宛先毎の異常ステータスを知らせる。

以上、本実施形態によれば、ユーザは、異常トラフィックが存在するリンクの宛先毎の異常ステータスを知ることができる。そのため、ユーザは、この異常ステータスに応じて、特定宛先ホストへのトラフィックの帯域制御や遮断を行うことで、ネットワークの状態を最適に保つことができる。

特に、処理が複雑なプロトコル解析処理をしなくても、特定リンク内の特定宛先ホストへの異常トラフィックを特定することができる。

〔変形例：宛先情報〕
尚、特定のポート番号を使用するＰ２Ｐアプリケーションのトラフィックがネットワークの通信帯域に影響を及ぼすほどの高トラフィックとなった場合を考える。このとき、フロー収集装置４において、フロー情報７に含まれる特定のポート番号の統計項目をトラフィック情報８に新たに設定すれば、解析マネージャ装置５における統計項目異常スコア算出時に、統計項目異常スコアが高い値として現れるため、高レイヤのプロトコル解析処理を行わなくても異常ホストを特定できる。

また、フロー収集装置４において、図９のＴｏｐＮテーブルを作成した後、各宛先ホストの送信元ホスト毎の、ＩＰパケット数を基準とした上位Ｎ番目までの送信元ＩＰアドレス（送信元ホスト）とその統計項目の統計値を抽出したテーブルを作成し（以下、送信元毎ＴｏｐＮテーブルと称す）、トラフィック情報８に追加する。

解析マネージャ装置５は、トラフィック情報８に追加された送信元毎ＴｏｐＮテーブルに基づいて、異常トラフィックが存在するリンクの異常ステータスが高い宛先について、高トラフィックを発生している送信元ホストの識別を行うことができる。

さらに、宛先ホスト毎異常スコアを算出した方法と同様に、数式（１）を使用し、送信元毎の異常スコアを算出し、異常トラフィックを発生させている送信元を特定することもできる。

通信監視システムのシステム図。 フロー収集装置、解析マネージャ装置のブロック図。 複数のフロー収集装置における送信タイミングの調整の概要図。 新規にフロー収集装置を追加した際の通信シーケンス図。 待機時間の算出における通信監視システムのシーケンス図。 フロー収集装置のフローチャート。 解析マネージャ装置のフローチャート。 統計値テーブルのデータ構成を示す図。 ＴｏｐＮテーブルのデータ構成を示す図。 標準異常スコアテーブルのデータ構成を示す図。 閾値テーブルのデータ構成を示す図。 異常スコア算出結果を示す図。 宛先ホスト毎異常スコア算出結果を示す図。 異常ステータステーブルのデータ構成を示す図。

符号の説明

１ 自ネットワーク
２ 他ネットワーク
３ ホストコンピュータ
４ フロー収集装置
５ 解析マネージャ装置
６ 通信機器(ルータ又はスイッチ)
７ フロー情報
８ トラフィック情報
９ 制御部
１０ 通信部
１１ 表示部
１２ 入力部
１３ 記憶部
１４ 制御部
１５ 通信部
１６ 表示部
１７ 入力部
１８ 記憶部

Claims (17)

1. 複数のフロー収集装置と、
   前記フロー収集装置から受信したトラフィック情報の解析を行う解析マネージャ装置と、
   をそれぞれネットワーク回線に接続した通信監視システムにおいて、
   前記フロー収集装置は、
   周辺の通信装置からフロー情報を収集するフロー収集手段と、
   前記フロー収集手段によって収集されたフロー情報に基づいて、トラフィック情報を作成する情報作成手段と、
   前記解析マネージャ装置に前記情報作成手段によって作成されたトラフィック情報を、所定の待機時間、待機してから送信する情報送信手段と、
   を備えることを特徴とする通信監視システム。
2. 前記情報送信手段は、
   前記情報作成手段のトラフィック情報の作成時間に基づいて前記待機時間を算出する第１待機時間算出手段、
   を有することを特徴とする請求項１に記載の通信監視システム。
3. 前記解析マネージャ装置は、
   前記各フロー収集装置に固有の管理番号を振り分け、その各フロー収集装置に通知する番号通知手段を更に備え、
   前記情報作成手段は、
   前記解析マネージャ装置によって通知された前記管理番号に基づいて前記待機時間を算出する第２待機時間算出手段、
   を有することを特徴とする請求項１に記載の通信監視システム。
4. 前記番号通知手段は、
   前記フロー収集装置の台数が増減した場合、再び前記管理番号を振り分けて各フロー収集装置に再通知する番号再通知手段、
   を有することを特徴とする請求項３に記載の通信監視システム。
5. 複数のフロー収集装置と、
   前記フロー収集装置から受信したトラフィック情報の解析を行う解析マネージャ装置と、
   をそれぞれネットワーク回線に接続した通信監視システムにおいて、
   前記フロー収集装置は、
   通信装置同士を結ぶリンク毎の宛先情報を含むフロー情報を、周辺の通信装置から収集するフロー収集手段と、
   前記フロー収集手段によって収集されたフロー情報に基づいて、各リンクにおける宛先毎のトラフィック情報を作成する情報作成手段と、
   前記情報作成手段によって作成されたトラフィック情報を、前記解析マネージャ装置に送信する情報送信手段と、
   を備えることを特徴とする通信監視システム。
6. 前記解析マネージャ装置は、
   トラフィック量の閾値と、前記フロー収集装置から送信されたトラフィック情報とに基づいて、特定リンクの特定宛先へのトラフィックの異常を判定する異常判定手段と、
   前記異常判定手段によって判定されたトラフィックの異常をユーザに通知する通知手段と、
   を更に備えることを特徴とする請求項５に記載の通信監視システム。
7. 前記フロー情報は、送信元情報を含み、
   前記情報作成手段は、
   前記フロー収集手段によって収集されたフロー情報に基づいて、各リンクにおける各宛先の送信元毎のトラフィック情報を作成する送信元毎情報作成手段、
   を有することを特徴とする請求項６に記載の通信監視システム。
8. 前記異常判定手段は、
   トラフィック量の閾値と、前記フロー収集装置から送信されたトラフィック情報とに基づいて、特定リンクの特定宛先への特定送信元のトラフィックの異常を判定する送信元毎異常判定手段、
   を有することを特徴とする請求項７に記載の通信監視システム。
9. 周辺の通信装置からフロー情報を収集するフロー収集手段と、
   前記フロー収集手段によって収集されたフロー情報に基づいて、トラフィック情報を作成する情報作成手段と、
   トラフィック情報の解析を行う解析マネージャ装置に前記情報作成手段によって作成されたトラフィック情報を、所定の待機時間、待機してから送信する情報送信手段と、
   を備えることを特徴とするフロー収集装置。
10. 前記情報送信手段は、
    前記情報作成手段のトラフィック情報の作成時間に基づいて前記待機時間を算出する待機時間算出手段、
    を有することを特徴とする請求項９に記載のフロー収集装置。
11. 通信装置同士を結ぶリンク毎の宛先情報を含むフロー情報を、周辺の通信装置から収集するフロー収集手段と、
    前記フロー収集手段によって収集されたフロー情報に基づいて、各リンクにおける宛先毎のトラフィック情報を作成する情報作成手段と、
    前記情報作成手段によって作成されたトラフィック情報を、トラフィック情報の解析を行う解析マネージャ装置に送信する情報送信手段と、
    を備えることを特徴とするフロー収集装置。
12. 前記フロー情報は、送信元情報を含み、
    前記情報作成手段は、
    前記フロー収集手段によって収集されたフロー情報に基づいて、各リンクにおける各宛先の送信元毎のトラフィック情報を作成する送信元毎情報作成手段、
    を有することを特徴とする請求項１１に記載のフロー収集装置。
13. トラフィック量の閾値と、フロー収集装置から送信された各リンクにおける宛先毎のトラフィック情報とに基づいて、特定リンクの特定宛先へのトラフィックの異常を判定する異常判定手段と、
    前記異常判定手段によって判定されたトラフィックの異常をユーザに通知する通知手段と、
    を備えることを特徴とする解析マネージャ装置。
14. 前記異常判定手段は、
    トラフィック量の閾値と、フロー収集装置から送信された各リンクにおける各宛先の送信元毎のトラフィック情報とに基づいて、特定リンクの特定宛先への特定送信元のトラフィックの異常を判定する送信元毎異常判定手段、
    を有することを特徴とする請求項１３に記載の解析マネージャ装置。
15. コンピュータを、
    周辺の通信装置からフロー情報を収集するフロー収集手段、
    前記フロー収集手段によって収集されたフロー情報に基づいて、トラフィック情報を作成する情報作成手段、
    トラフィック情報の解析を行う解析マネージャ装置に前記情報作成手段によって作成されたトラフィック情報を、所定の待機時間、待機してから送信する情報送信手段、
    として機能させるためのプログラム。
16. コンピュータを、
    通信装置同士を結ぶリンク毎の宛先情報を含むフロー情報を、周辺の通信装置から収集するフロー収集手段、
    前記フロー収集手段によって収集されたフロー情報に基づいて、各リンクにおける宛先毎のトラフィック情報を作成する情報作成手段、
    前記情報作成手段によって作成されたトラフィック情報を、トラフィック情報の解析を行う解析マネージャ装置に送信する情報送信手段、
    として機能させるためのプログラム。
17. コンピュータを、
    トラフィック量の閾値と、フロー収集装置から送信された各リンクにおける宛先毎のトラフィック情報とに基づいて、特定リンクの特定宛先へのトラフィックの異常を判定する異常判定手段、
    前記異常判定手段によって判定されたトラフィックの異常をユーザに通知する通知手段、
    として機能させるためのプログラム。

Images