JP2008085819A - ネットワーク異常検出システム、ネットワーク異常検出方法及びネットワーク異常検出プログラム - Google Patents

Abstract

【課題】通常とは異なるトラフィック特性を検出することができるネットワーク異常検出システム、ネットワーク異常検出方法及びネットワーク異常検出プログラムを提供する。
【解決手段】本発明のネットワーク異常検出システムは、ネットワークシステムのトラフィックフロー情報に基づいて、ネットワーク異常を検出するネットワーク異常検出システムであって、ネットワークシステム上を流れる通信データを取得し、観測対象のトラフィックフロー情報を収集する複数の収集手段と、各収集手段からのトラフィックフロー情報を集計する集計手段と、あらかじめ通信アプリケーション別のトラフィックフロー特性が定義されたトラフィックルールを少なくとも記憶するトラフィックルール記憶手段と、トラフィックルールに定義されている内容とは異なるトラフィックフローを検出したとき、ネットワークの異常を検出するネットワーク異常検出手段とを備えることを特徴とする。
【選択図】 図１

Description

本発明は、ネットワーク異常検出システム、ネットワーク異常検出方法及びネットワーク異常検出プログラムに関し、例えば、ネットワークウィルスを検出するネットワーク異常検出システム、方法及びプログラムに適用し得る。

近年、ネットワーク技術の発展に伴い、その重要性が高まり、ネットワークシステムが社会基盤として浸透している。その一方で、高度化・複雑化した新しいウィルスが日々発生しており、ウィルス感染等の脅威がネットワーク障害を引き起こし、その被害はネットワークの規模に応じて大きくなる。そこで、ネットワークのトラフィックを監視し、異常を検出するシステムが強く望まれている。

従来、ネットワークにおける異常を検出するシステムとして、特許文献１に示す技術がある。

特許文献１には、ネットワーク内に配置された複数の監視対象機器から内部におけるトラフィック流量情報を取得し、正常なトラフィックと、正常でないトラフィックの総量とを比較し、正常でないトラフィックの総量が所定の比率を超えた場合に異常と判定する障害検出装置が記載されている。

特開２００５−７２７２３号公報

ところで、ネットワークウィルスの中で、利用者の意図と異なる処理を実行させ、攻撃者に成り代わり、感染した利用者端末がシステムに対し攻撃を行なうというものがある。例えば「ボット」と呼ばれるウィルス等がこれに当たる。

この種のウィルスが利用者端末に感染すると、利用者が知らないうちに、利用者端末が感染プログラムを起動し、例えば、特定のサーバやＰＣ（パーソナルコンピュータ）等からの攻撃者の命令を受けて、特定の送信先に対する迷惑メールの送信や、特定の送信先に対する大量データの送信等の攻撃を行なう。

一般に、上記のような広帯域ネットワークにおいて、利用者端末は、クライアントとして機能するのが主であり、サーバに対してリクエストを送信し、サーバからレスポンスを受信する。一方、サーバは、クライアントからのリクエストを受信し、レスポンスを送信する。

しかしながら、この種のウィルスに感染した利用者端末は、サーバと同等の動作をすることが多く、特定の送信先に対してデータサイズやデータ量が大きい通信データを送りつける場合が多い。

また、この種のウィルスを感染させる感染元を特定することは難しく、上記のような広帯域ネットワークのようにネットワーク規模が大きくなると更に困難である。

そのため、上記のようなウィルス種による被害を少なくする観点から、通常とは異なるトラフィック特性を検出することができるネットワーク異常検出システム、ネットワーク異常検出方法及びネットワーク異常検出プログラムが求められている。

かかる課題を解決するために、第１の本発明のネットワーク異常検出システムは、ネットワークシステムのトラフィックフロー情報に基づいて、ネットワーク異常を検出するネットワーク異常検出システムであって、（１）ネットワークシステム上を流れる通信データを取得し、観測対象のトラフィックフロー情報を収集する複数の収集手段と、（２）各収集手段からのトラフィックフロー情報を集計する集計手段と、（３）あらかじめ通信アプリケーション別のトラフィックフロー特性が定義されたトラフィックルールを少なくとも記憶するトラフィックルール記憶手段と、（４）トラフィックルールに定義されている内容とは異なるトラフィックフローを検出したとき、ネットワークの異常を検出するネットワーク異常検出手段とを備えることを特徴とする。

第２の本発明のネットワーク異常検出方法は、ネットワークシステムのトラフィックフロー情報に基づいて、ネットワーク異常を検出するネットワーク異常検出方法であって、（１）あらかじめ通信アプリケーション別のトラフィックフロー特性が定義されたトラフィックルールを少なくとも記憶するトラフィックルール記憶手段を備え、（２）複数の収集手段が、ネットワークシステム上を流れる通信データを取得し、観測対象のトラフィックフロー情報を収集する収集工程と、（３）集計手段が、各収集手段からの上記トラフィックフロー情報を集計する集計工程と、（４）ネットワーク異常検出手段が、トラフィックルールに定義されている内容とは異なるトラフィックフローを検出したとき、ネットワークの異常を検出するネットワーク異常検出工程とを備えることを特徴とする。

第３の本発明のネットワーク異常検出プログラムは、ネットワークシステムのトラフィックフロー情報に基づいて、ネットワーク異常を検出するネットワーク異常検出プログラムであって、（１）あらかじめ通信アプリケーション別のトラフィックフロー特性が定義されたトラフィックルールを少なくとも記憶するトラフィックルール記憶手段を備え、コンピュータに、（２）ネットワークシステム上を流れる通信データを取得し、観測対象のトラフィックフロー情報を収集する収集手段、（３）各収集手段からのトラフィックフロー情報を集計する集計手段、（４）トラフィックルールに定義されている内容とは異なるトラフィックフローを検出したとき、ネットワークの異常を検出するネットワーク異常検出手段として機能させるプログラムである。

本発明のネットワーク異常検出システム、ネットワーク異常検出方法及びネットワーク異常検出プログラムによれば、ネットワークウィルスによる被害を少なくする観点から、通常とは異なるトラフィック特性を検出することで、ネットワーク異常を検出することができる。

（Ａ）第１の実施形態
以下、本発明のネットワーク監視システム、ネットワーク監視方法及びネットワーク監視プログラムの第１の実施形態について図面を参照して説明する。

第１の実施形態は、広帯域ネットワークのトラフィックを監視するシステムに、本発明のネットワーク監視システム、ネットワーク監視方法及びネットワーク監視プログラムを適用する場合を説明する。

（Ａ−１）第１の実施形態の構成
図１は、第１の実施形態のネットワーク監視システムの全体的な構成を示す構成図である。

図１において、第１の実施形態のネットワーク監視システム５は、例えば、ＬＡＮやＷＡＮなどを構成する通信回線を監視回線とし、それら監視回線を流れる通信データを収集し、更にこれら収集情報を集計した集約データに基づいて、統括的及び又は個別的に、広帯域ネットワークのトラフィックを分析するものである。

図１に示すように、第１の実施形態のネットワーク監視システム５は、複数の監視回線３（３−１〜３−３）と、それぞれの監視回線３−１〜３−３を観測する収集装置２（２−１〜２−３）と、統合管理装置１と、管理者端末４と、を少なくとも有して構成される。

監視回線３は、収集装置２により監視される通信回線であり、ＯＳＩ基本参照モデルのトランスポート層に対応する層に採用するプロトコルは特に限定されないが、例えば、ＴＣＰ、ＵＤＰ、ＩＣＭＰなどを適用することができるものである。また、監視回線３の回線媒体は、例えば、電気回線や光ファイバ回線などの有線回線や、一部又は全部に無線回線を有するものを適用できる。また、図１では省略しているが、各監視回線３−１〜３−３の構成要素としては、複数のユーザ通信端末や、音声通信端末（ソフトフォンを実現する通信端末、携帯電話機等を含む概念）や、ネットワーク機器などを有して構成されるものである。

収集装置２−１〜２−３は、監視回線３−１〜３−３上を流れる全ての通信データを取得し、全通信データを記憶し、監視回線３−１〜３−３のトラフィック量を解析したり、解析したトラフィック量に基づいてトラフィック異常を検出したり、通信データのヘッダ情報に基づいて所定のネットワーク異常を検出したり、通信データのヘッダ情報に基づいて所定内容の統計処理を行ない、その統計データを記憶したりするものである。また、収集装置２−１〜２−３は、定期的に、通信データの解析結果としての統計データを統合管理装置１に与えるものである。これにより、監視ネットワークＡ〜Ｃ上の通信状況に関する解析結果を収集することができると共に、その解析結果を統合管理装置１に与え、統合的に集約したネットワークの分析をさせることができる。なお、図１では１つのネットワークを監視するものとして示しているが、収集装置２は複数のネットワークを監視するものとしても良い。

なお、収集装置２−１〜２−３は、図１では省略しているが、例えば、ＴＡＰ装置や、転送装置のミラー回線などと接続しており、このＴＡＰ装置や転送装置のミラー回線から、転送装置が扱う通信データを取得できる。

統合管理装置１は、複数の収集装置２−１〜２−３からの収集情報（統計データ）を取得し、所定の集約方法に従って収集情報（統計データ）を集約するものである。統合管理装置１における統計データの集約方法の詳細は後述するが、統合管理装置１を備えることにより、常時監視回線を監視することができ、その監視結果に基づいて複数の監視ポイントを集計した集計情報を作成させたり、それぞれの監視ポイントの統計情報を作成させたり、監視回線の回線プロトコル毎の集計情報を作成させたりすることができる。また、統合管理装置１は、監視回線３−１〜３−３に異常が検出された場合に、管理者端末４に対してアラームを通知するアラーム通知機能を有する。

また、統合管理装置１は、管理者端末４からの指示に基いて、監視対象の設定、異常検出の設定など各種分析設定をする設定機能、統合管理装置１から集約情報を取得し、各種設定に従って集約情報を分析し、分析結果を管理者端末４に与える分析機能を有する。これにより、監視対象となる監視回線を常時監視することができ、ネットワーク異常が生じた場合だけでなく、正常時のトラフィック解析等をすることができる。

管理者端末４は、ネットワークを管理する管理者が操作する端末であり、統合管理装置１に対して異常検出、ネットワーク監視等に関する設定情報の設定や分析結果の表示などその他各種操作をするための端末である。

図２は、収集装置２のハードウェア構成を示すブロック図である。また、図３は、収集装置２が実現する機能を示す機能ブロック図である。

図２に示すように、収集装置２は、ＣＰＵ２１、記憶部２２、通信部２３を少なくとも有する。ＣＰＵ２１は、収集装置２における全体の制御機能を司っているものである。記憶部２２は、例えば、ＲＯＭ、ＲＡＭ（ＥＥＰＲＯＭなどの不揮発性の書き込み可能メモリを含む概念である）等により構成されているものである。例えば、ＣＰＵ２１は、ＲＯＭに格納されている固定データやＲＡＭに格納されているテンポラリーデータを用い、ＲＡＭをワーキングメモリとして、ＲＯＭに格納されている処理プログラムを実行することにより、収集装置２の機能を制御する。また、通信部２３は、所定の通信プロトコルに従って、統合管理装置１との間で情報の送受信をするものである。

図３において、この実施形態の収集装置２が実現する主な機能部としては、通信データ収集機能部２２１、観測設定情報取得機能２２２、データ保存管理機能部２２３、異常検出機能部２２４、一時蓄積機能部２２５、通信データ記憶部２２６、統計データ記憶部２２７、一時蓄積データ記憶部２２８、観測設定情報記憶部２２９、異常検出ルール記憶部２３０を少なくとも有する。

通信データ収集機能部２２１は、監視回線３を流れる通信データを全て取得し、全ての通信データ情報を通信データ記憶部２２６に記憶するものである。また、通信データ収集機能部２２１は、観測設定情報記憶部２２９に設定されている観測設定に従って、通信データに基づくトラフィックフローの統計処理を行なうものであり、その統計処理により得られたトラフィックフローの統計データを統計データ記憶部２２７に記憶するものである。また、通信データ収集機能部２２１は、所定のトラフィックフローの統計データを統合管理装置１に通知する。

ここで、観測設定の情報としては、例えば、特定アプリケーションの名称や、特定送信元又は送信先のアドレス情報（例えば、ＯＳＩ基本参照モデルの第３層、第４層におけるアドレス情報）や、異常検出の条件情報等が該当する。

これにより、通信データ収集機能部２２１は、観測設定情報に従って、監視回線のトラフィックフローの統計データを収集することができる。すなわち、通信データ収集機能部２２１は、記憶している通信データのヘッダ情報に基づいて、アプリケーションプロトコルの判別、送信元アドレスの判別、送信先アドレスの判別などを行ない、所定時間内において、観測対象のアプリケーション別のトラフィック情報、観測対象の送信元アドレス別のトラフィック情報、観測対象の送信先アドレス別のトラフィック情報、監視対象の経路別のトラフィック情報等を収集し、観測対象のトラフィック情報を把握することができる。

観測設定情報取得機能部２２２は、統合管理装置１から観測設定に関するリクエスト情報を受信すると、受信した観測設定に関するリクエスト情報に含まれている観測設定情報を観測設定情報記憶部２２９に設定するものである。なお、観測設定情報の配信に所定の暗号化処理（例えばＳＳＬ通信）を利用してもよい。

データ保存管理機能部２２３は、通信データ記憶部２２６の記憶容量を監視し、所定の記憶量を超えると、古いデータから削除するものである。これにより、全ての通信データを取得するために、過大な記憶容量の記憶装置を用意することなく、通信データを記憶することができる。

異常検出機能部２２４は、異常検出ルール記憶部２３０に記憶されている異常検出ルールを参照して、通信データ記憶部２２６に記憶されている通信データに基づいて、特定の送信先へのトラフィック量や、特定の送信元からのトラフィック量や、送信先や送信元に関係なくポート種別毎のトラフィック量を監視し、それぞれのトラフィック量が、それぞれの設定された閾値を超えた場合にトラフィック異常を検出する機能である。これにより、例えば、いわゆるＰｏｒｔＳｃａｎやいわゆるＩＰスイープやポート種別毎のトラフィック異常を判定できる。また、異常検出機能部２２４が異常を検出すると、検出した異常に関する異常検出情報を統合管理装置１に対し通知する。このとき、異常検出情報としては、例えば、収集装置２の識別情報、監視ネットワークの識別情報、閾値条件（例えば、アプリケーションプロトコル名や閾値の値や単位など）、異常時のトラフィック量、検知時刻などとする。また、異常検出情報の通知方法としては、例えば、メール通知やＳＮＭＰＴＲＡＰ通知などを適用することができる。

一時蓄積機能部２２５は、異常検出機能部２２４により異常が検出されると、異常検出時の通信データ情報を一時的に蓄積するものである。これにより、異常検出時の通信データ情報を別に保存することができる。一時蓄積機能部２２５は、例えば、異常検出時の通信データにハードリンク等を設置することで実現することができ、また通常の通信データの保存期間が経過しても消去できないようにしても良い。このように、蓄積機能部２２５は、いわゆるスナップショット機能として、集約の効率化を図るためのものであり、収集情報（統計データ）の転送軽減ができれば分散配置しても良い。

通信データ記憶部２２６は、データ保存管理機能部２２３の管理の下、通信データ収集機能部２２１が取得した全ての通信データを記憶するものである。統計データ記憶部２２７は、通信データ収集機能部２２１が収集した監視回線のトラフィックフローの統計データを記憶するものである。一時蓄積データ記憶部２２８は、一時蓄積機能部２２５の指示の下、異常検出時の通信データ情報を一時的に記憶するものである。

次に、統合管理装置１のハードウェア構成及び機能を図面を参照しながら説明する。図４は、統合管理装置１のハードウェア構成を示すブロック図である。また、図５は、統合管理装置１が実現する機能を示す機能ブロック図である。

図４に示すように、統合管理装置１は、ＣＰＵ１１、記憶部１２、通信部１３を少なくとも有する。ＣＰＵ１１は、統合管理装置１における全体の制御機能を司っているものである。記憶部１２は、例えば、ＲＯＭ、ＲＡＭ（ＥＥＰＲＯＭなどの不揮発性の書き込み可能メモリを含む概念である）等により構成されているものである。例えば、ＣＰＵ１１は、ＲＯＭに格納されている固定データやＲＡＭに格納されているテンポラリーデータを用い、ＲＡＭをワーキングメモリとして、ＲＯＭに格納されている処理プログラムを実行することにより、統合管理装置１の機能を制御する。また、通信部１３は、所定の通信プロトコルに従って、収集装置２との間で情報を送受信するものである。

図５において、この実施形態の統合管理装置１が実現する主な機能は、観測設定機能部１２１、統計データ収集機能部１２２、統計データ集約機能部１２３、トラフィック分析機能部１２４、異常情報記憶部１２５、統計データ記憶部１２６、集約データ記憶部１２７、トラフィックルール格納部１２８、を少なくとも有する。

観測設定機能部１２１は、各収集装置２−１〜２−３の観測設定や当該統合管理装置１の観測設定を行なうものである。観測設定機能部１２１は、例えば、収集装置２の通信データの取得サンプリング速度の指示（例えば、監視回線が超高速回線の場合、収集装置の処理負荷軽減のため、通常時のサンプリング速度を遅くし、トラフィック観測が必要と判断した場合、超高速のサンプリング速度とするよう指示する）、特定のアプリケーションのトラフィック情報の観測、特定の送信先からのトラフィック情報の取得、特定の送信元へのトラフィック情報の取得などを適用し得る。

統計データ収集機能部１２２は、各収集装置２からの統計データを取得し、取得した統計データを統計データ記憶部１２６に与えて記憶するものである。

統計データ集約機能部１２３は、統計データ記憶部１２６に記憶されている統計データに基づいて、所定の観測設定に従った集約データを作成し、作成した集約データを集約データ記憶部１２７に記憶するものである。

ここで、統計データ集約機能部１２３は、観測設定に従って観測対象のトラフィック情報を集約するが、その集約方法としては、例えば、物理的な観点から集約する方法、論理的な観点から集約する方法、時間的な観点から集約する方法、若しくは、これら上記の集約方法を組み合わせた集約方法などがある。

物理的な観点からの集約方法は、例えば、（ａ）監視回線毎の集約、（ｂ）監視回線が採用するプロトコル毎の集約、（ｃ）特定接続先の複数の監視回線毎の集約、（ｄ）接続先全ての監視回線毎の集約などのように物理的に有形なものを集約の対象とし、統計データを集約する方法をいう。

（ａ）監視回線毎の集約は、監視回線毎に統計データを集約する方法であり、例えば、収集装置２からの統計データに当該収集装置２が監視したネットワークの識別情報を含ませるようにし、そのネットワーク識別情報に基づいてネットワーク別の統計データを識別し、各監視回線毎に統計データを集計（例えば、パケット数の集計、帯域（データ量）の集計等）することでき実現できる。これにより、例えば、光回線と電気回線等のように媒体が異なるネットワークを監視する収集装置２と、各ネットワーク上の設置ロケーションの異なる収集装置２からの統計データであっても、各ネットワーク毎の集約データを集計することができ、回線媒体の違いによるトラフィック量の差分や物理的に離れているネットワークのトラフィック量を集計することができる。

（ｂ）監視回線プロトコル毎の集約は、例えば、ＴＣＰ／ＩＰ、ＡＴＭ、ＯＣ３、ＳＯＮＥＴなどそれぞれ監視回線プロトコルが異なる収集装置２をグループ化し、各プロトコルの違いによるトラフィック量の差分や同一プロトコルのトラフィック量の集約を集計するものである。これにより、アプリケーションプロトコル毎のトラフィック量の違いを示すことができる。

（ｃ）特定接続先の複数の監視回線毎の集約は、例えば、ある特定の送信先（宛先）に対する通信があった複数の監視回線のトラフィック量を集計するものである。これにより、ある特定の送信先に対する通信を監視することができる。これは、特定のネットワークアドレスや特定のＴＣＰポート番号、特定のＵＤＰポート番号を識別することにより、実現することができる。

（ｄ）接続先全ての監視回線毎の集約は、例えば、同一の送信元から全接続先に対する回線６をグループ化し、その同一の送信元からのトラフィック量を集計するものである。これにより、ある特定の送信元からの通信を監視することができる。

論理的な観点からの集約方法は、例えば、（ｅ）特定の送受信先の通信毎の集約、（ｆ）セキュリティ攻撃に使用される特殊なデータ毎の集約などのように論理的なものを集約の対象として、統計データを集約する方法をいう。

（ｅ）特定送受信先通信毎の集約は、特定の宛先への通信、若しくは特定の発信元からの通信の統計データを集約する。

（ｆ）特殊データのみの集約は、セキュリティ攻撃に使用される特殊な攻撃用パケットデータ（例えば、Ｓｙｎパケットや、属性の誤ったパケット等）の統計データを集約する。

時間的な観点からの集約方法は、（ｇ）例えば、分、時、日、月などの時間間隔で収集情報を集約する方法をいう。例えば、５分毎、１時間毎、１日毎、１週間毎、１ヶ月毎の集約情報を作成できる。

トラフィック分析機能部１２４は、集約データ記憶部１２７に記憶されている集約データに基づいて、様々な観点からのトラフィック情報を分析するものである。トラフィック分析機能部１２４は、トラフィックルール格納部１２８に格納されているトラフィックルール（通信アプリケーション別トラフィックルール１２８ａ及びＩＰノード別トラフィックルール１２８ｂ）を満たしていないトラフィックを検出すると、管理者端末４にアラートを発すると共に、検出したトラフィック情報を異常情報として異常情報記憶部１２５に記憶するものである。なお、トラフィック分析機能部１２４によるトラフィックルールを用いたトラフィック分析処理については後述する。

また、トラフィック分析機能部１２４は、集約データ記憶部１２７に記憶されている集約データに基づいて、例えば、ｐｐｓやｂｐｓで表わされるトラフィックの流量や、単位時間当たりのスキャン数及び又はスイープホスト数などが閾値を超過していないか、通常と大きく乖離していないか判断し、通知データの異常の度合いを数値化（例えば、％表示）し、異常が検出された場合に、各収集装置２の設定ファイルを配布し、特定の送信元若しくは送信先のデータを監視する設定や、グループ化範囲の設定、閾値の更新などを行なうものである。この設定値は、各収集装置２に反映され、新たな設定での監視を継続することができる。

統計データ記憶部１２６は、各収集装置１２１からの統計データを記憶するものであり、集約データ記憶部１２７は、統計データ集約機能部１２３により集約された集約データを記憶するものである。

トラフィックルール格納部１２８は、トラフィックルールを格納するものである。トラフィックルールとしては、通信アプリケーション別トラフィックルール１２８ａと、ＩＰノード別トラフィックルール１２８ｂとを適用する。

通信アプリケーション別トラフィックルール１２８ａは、例えばＴＣＰやＵＤＰやＩＣＭＰなどの通信アプリケーション別で、送信元と送信先との間のトラフィック情報に基づいて、トラフィック異常を検出するためのルールである。

ＩＰノード別トラフィックルール１２８ｂは、送信先又は送信元のアドレス情報（例えば、ＩＰアドレス等）を利用してノード別のトラフィック情報に基づいて、トラフィック異常を検出するためのルールである。

図６は、通信アプリケーション別トラフィックルール１２８ａの構成例を示す図であり、図７は、ＩＰノード別トラフィックルール１２８ｂの構成例を示す図である。

図６に示すように、通信アプリケーション別トラフィックルール１２８ａは、例えば、ＴＣＰ、ＵＤＰ、ＩＣＭＰなどの通信アプリケーション毎に定義されている。また、通信アプリケーショントラフィックルール１２８ａは、「リクエストの送信元のポート番号３１」、送信元からの「送信データサイズ３２」、「リクエストの送信先のポート番号３３」、リクエストに対する「応答データのサイズ３４」、リクエスト若しくはレスポンスの「送信頻度（回／ｓ）３５」を項目として有する。

「リクエストの送信元のポート番号３１」は、当該通信アプリケーションに使用する送信元のポート番号が定義されており、この定義されているポート番号以外のポート番号を使用して送信元が送信データを送信している場合、当該ルールに違反しているものとトラフィック分析機能部１２４は判断する。

「送信データサイズ３２」は、当該通信アプリケーションを使用する送信元から送信される送信データのサイズが定義されており、この定義されているサイズ以上のデータサイズが送信されている場合、当該ルールに違反しているものとトラフィック分析機能部１２４は判断する。なお、「送信データサイズ３２」に定義される送信データのサイズは、それぞれのパケット毎のサイズであっても良いし、所定時間の平均的なサイズであっても良い。

「リクエストの送信先のポート番号３３」は、当該通信アプリケーションに使用する送信先のポート番号が定義されており、この定義されているポート番号以外のポート番号を使用して送信先が受信している場合、当該ルールに違反しているものとトラフィック分析機能部１２４は判断する。

「応答データのサイズ３４」は、当該通信アプリケーションを使用する送信元からのデータに対し、送信先が応答するデータのサイズが定義されており、この定義されているサイズ以上のデータサイズを返信している場合、当該ルールに違反しているものとトラフィック分析機能部１２４は判断する。なお、「応答データサイズ３４」に定義される応答するデータのサイズは、それぞれのパケット毎のサイズであっても良いし、所定時間の平均的なサイズであっても良い。

「送信頻度３５」は、当該通信アプリケーションを使用する送信元が送信データを送信する頻度が定義されており、送信元からの送信データの送信頻度が定義されている頻度以上である場合、当該ルールに違反しているものとトラフィック分析機能部１２４は判断する。

図７に示すように、ＩＰノード別トラフィックルール１２８ｂは、後述するようにルール１〜ルール６が定義されている。

ルール１は、感染したクライアント端末を検出するルールであり、同一の通信アプリケーションによる通信であって、特定の送信元から所定数を超えたノード（すなわち、不特定多数のノード）に向けたトラフィックを検出することが定義されている。

ルール２は、感染ノードからサーバへの攻撃を検出するルールであり、同一の通信アプリケーションによる通信であって、所定数を超えたノード（すなわち、不特定多数のノード）を送信元とし、特定の送信先に対するトラフィックを検出することが定義されている。

ルール３は、感染ノードからサーバへの攻撃を検出するルールであり、特定の送信元から特定の送信先に対し、連続性をもつポート番号でのトラフィックを検出することが定義されている。

ルール４は、感染されたクライアント端末から情報流出を抑止するルールであり、特定の送信元から同一の送信先へのパケット量の多いリクエスト通信を検出することが定義されている。

ルール５は、感染されたクライアント端末から情報流出を抑止するルールであり、特定の送信元から複数の送信先へのレスポンス通信を検出することが定義されている。

ルール６は、感染したクライアント端末を検出するルールであり、許可されたホスト以外のホストからの特定のアプリケーションの通信を検出することが定義されている。

（Ａ−２）第１の実施形態の動作
次に、第１の実施形態のネットワーク監視システム５におけるトラフィック分析処理の動作を、図面を参照しながら詳細に説明する。

図８は、第１の実施形態のネットワーク監視システム５のネットワーク監視動作の流れを示すフローチャートである。

図８において、管理者は管理者端末４を操作し、観測対象とする観測設定情報の入力を行ない、入力された観測対象の設定情報が統合管理装置１に与えられ、観測設定情報が、統合管理装置１の観測設定機能部１２１から、各収集装置２の観測設定情報取得機能部２２２に与えられる。観測設定情報取得機能部２２２により取得された観測設定情報は、観測設定情報記憶部２２９に記憶されて観測設定がなされる（ステップＳ１０１）。

次に、各収集装置２は、それぞれの各監視回線３上を流れる全通信データを取得し（ステップＳ１０２）、各収集装置２により取得された全通信データは、通信データ記憶部２２６に記憶される。

通信データが通信データ記憶部２２６に記憶されると、通信データ記憶部２２６に記憶されている通信データに基づいて、通信データ収集機能部２２１により、観測設定に従った統計処理が行なわれる（ステップＳ１０３）。

ここで、通信データ収集機能部２２１による統計処理は、観測設定に従って行ない、例えば、収集した通信データの通信プロトコル別のトラフィックフロー情報や、送信元別のトラフィックフロー情報や、送信先別のトラフィックフロー情報等、の統計処理をする。

各収集装置２により統計処理がなされた統計データは、定期的に、統合管理装置１の統計データ収集機能部１２２により収集され、収集された統計データは、統合管理装置１の統計データ記憶部１２６に記憶される。また、統合管理装置１において、統計データ集約機能部１２３により、統計データ記憶部１２６に記憶された統計データが集計され、集計された集約データが、集約データ記憶部１２７に記憶される（ステップＳ１０４）。

集約データが集約データ記憶部１２７に記憶されると、トラフィック分析機能部１２４は、トラフィックルール格納部１２８に格納されているトラフィックルール（通信アプリケーショントラフィックルール１２８ａ及びＩＰノード属性トラフィックルール１２８ｂ）を用いて、トラフィック分析処理を行ない、トラフィックルールに反するトラフィック情報を検出する（ステップＳ１０５）。

ここで、図９は、トラフィック分析機能部１２４によるトラフィック分析処理を示す説明図である。

まず、トラフィック分析機能部１２４は、集約データ記憶部１２７に記憶されている集約データを読み出すと（ステップＳ２０１）、読み出した集約データが、トラフィックルール格納部１２８の通信アプリケーション別トラフィックルール１２８ａに定義されているルールを満たしているか否かを分析する（ステップＳ２０２）。

この通信アプリケーション別トラフィックルール１２８ａを用いた分析では、利用者端末が例えばボットなどのウィルスに感染した場合に起こりうる、通常とは異なるトラフィックフローを、通信アプリケーション別のトラフィックフローの集約データに基づいて検出する分析処理である。

例えば、ウィルスに感染した利用者端末は、ある通信アプリケーションを使用してリクエストメッセージを大量に特定ノード又は不特定ノードに送りつけたり、あるレスポンスメッセージを特定ノード又は不特定ノードに送りつけたりする。

そこで、通信アプリケーション別トラフィックルール１２８ａを用いたトラフック分析では、トラフィック分析機能部１２４が、ＲＦＣ若しくは内部ネットワークで使用する独自の通信アプリケーション別のトラフィックフローの集約データを見て、クライアント端末からのリクエスト処理で要する送信元の通信ポート番号、リクエストメッセージの送信データサイズ、サーバ側の受信用の通信ポート番号、サーバが応答時に送信する応答データのデータサイズ、送信頻度が、通信アプリケーション別トラフィックルール１２８ａに定義されているものに反しているか否かを判断し、定義に反している場合、トラフィック異常であると判断する。

次に、トラフィック分析機能部１２４は、トラフィックルール格納部１２８のＩＰノード別トラフィックルール１２８ｂに定義されているルールを満たしているか否かを分析する（ステップＳ２０３）。

このＩＰノード別トラフィックルール１２８ｂを用いた分析では、通常とは異なるトラフィックフローを、ノード別のトラフィックフローの集約データに基づいて検出する分析処理である。

トラフィック分析機能部１２４が、ノード別（すなわち、送信元又は送信先別）のトラフィックフローの集約データを見て、ノード別のトラフィックフローの集約データが、ルール１〜ルール６の定義に反しているか否かを判断し、ルール１〜ルール６のいずれか１つにでも反している場合、トラフィック異常であると判断する。

トラフィック分析機能部１２４により通信アプリケーション別トラフィックルール１２８ａ及びＩＰノード別トラフィックルール１２８ｂを用いたトラフィック分析処理を行い、いずれかのトラフィックルールに１つでも反している場合、トラフィック異常であるとし（ステップＳ２０４）、トラフィック分析機能部１２４は、アラーム通知を行ない(ステップＳ２０５）、検出したトラフィックフローの集計データを異常情報として異常情報記憶部１２５に記憶し、異常情報の確保を行なう（ステップＳ２０６）。

（Ａ−３）第１の実施形態の効果
以上のように、第１の実施形態によれば、通信アプリケーション別トラフィックルール１２８ａ及びＩＰノード別トラフィックルールを用いて、通常の通信アプリケーションを使用したトラフィックとは異なるトラフィック特性を検出することにより、例えばボットや新種のネットワークウィルスを検出することができる。

（Ｂ）他の実施形態
第１の実施形態において、収集装置、統合管理装置の機能構成は、ネットワーク上で接続可能であり、上記第１の実施形態で説明した機能を実現できるのであれば、それぞれの機能を実現するサーバとして分散配置されるようにしても良いし、また同一サーバ内に備えるようにしても良い。

上述した収集装置、統合管理装置及び観測設定管理装置の各機能は、ソフトウェアとしてコンピュータにより実行され得る処理プログラムとして実現されるが、ハードウェアとして実現するようにしても良い。

第１の実施形態のネットワーク監視システムの全体構成図である。 第１の実施形態の収集装置のハードウェア構成を示すブロック図である。 第１の実施形態の収集装置が実現する機能を示す機能ブロック図である。 第１の実施形態の統合管理装置のハードウェア構成を示すブロック図である。 第１の実施形態の統合管理装置が実現する機能を示す機能ブロック図である。 第１の実施形態の通信アプリケーション別トラフィックルールの構成例を示す説明図である。 第１の実施形態のＩＰノード別トラフィックルールの構成例を示す説明図である。 第１の実施形態の全体的な動作の流れを示すフローチャートである。 第１の実施形態のトラフィック分析処理を示すフローチャートである。

符号の説明

１…統合管理装置、２（２−１〜２−３）…収集装置、３（３−１〜３−３）…収集装置、４…管理者端末、５…ネットワーク監視システム。

Claims (5)

1. ネットワークシステムのトラフィックフロー情報に基づいて、ネットワーク異常を検出するネットワーク異常検出システムであって、
   上記ネットワークシステム上を流れる通信データを取得し、観測対象のトラフィックフロー情報を収集する複数の収集手段と、
   上記各収集手段からの上記トラフィックフロー情報を集計する集計手段と、
   あらかじめ通信アプリケーション別のトラフィックフロー特性が定義されたトラフィックルールを少なくとも記憶するトラフィックルール記憶手段と、
   上記トラフィックルールに定義されている内容とは異なるトラフィックフローを検出したとき、ネットワークの異常を検出するネットワーク異常検出手段と
   を備えることを特徴とするネットワーク異常検出システム。
2. 上記ネットワーク異常検出手段が、送信元から送信先への一方向のトラフィックフローの集計情報と、送信先から送信元への他方向の応答トラフィックフローの集計情報とに基づいて、トラフィックフローの異常性を分析することを特徴とする請求項１に記載のネットワーク異常検出システム
3. 上記トラフィックルールには、送信元及び送信先のポート番号、送信元から送信先への一方向に送信される通信データのサイズ、送信先から送信元への他方向に送信される通信データのサイズ、上記一方向又は他方向の通信データの送信頻度について、通信アプリケーション別に定義されていることを特徴とする請求項１又は２に記載のネットワーク異常検出システム。
4. ネットワークシステムのトラフィックフロー情報に基づいて、ネットワーク異常を検出するネットワーク異常検出方法であって、
   あらかじめ通信アプリケーション別のトラフィックフロー特性が定義されたトラフィックルールを少なくとも記憶するトラフィックルール記憶手段を備え、
   複数の収集手段が、上記ネットワークシステム上を流れる通信データを取得し、観測対象のトラフィックフロー情報を収集する収集工程と、
   集計手段が、上記各収集手段からの上記トラフィックフロー情報を集計する集計工程と、
   ネットワーク異常検出手段が、上記トラフィックルールに定義されている内容とは異なるトラフィックフローを検出したとき、ネットワークの異常を検出するネットワーク異常検出工程と
   を備えることを特徴とするネットワーク異常検出方法。
5. ネットワークシステムのトラフィックフロー情報に基づいて、ネットワーク異常を検出するネットワーク異常検出プログラムであって、
   あらかじめ通信アプリケーション別のトラフィックフロー特性が定義されたトラフィックルールを少なくとも記憶するトラフィックルール記憶手段を備え、
   コンピュータに、
   上記ネットワークシステム上を流れる通信データを取得し、観測対象のトラフィックフロー情報を収集する収集手段、
   上記各収集手段からの上記トラフィックフロー情報を集計する集計手段、
   上記トラフィックルールに定義されている内容とは異なるトラフィックフローを検出したとき、ネットワークの異常を検出するネットワーク異常検出手段
   として機能させるネットワーク異常検出プログラム。

Images