JP2008135871A - ネットワーク監視システム、ネットワーク監視方法及びネットワーク監視プログラム - Google Patents

Abstract

【課題】処理負荷を軽減しながら、効率的に広帯域ネットワークのトラフィックフローの統計処理を行うようにする。
【解決手段】本発明のネットワーク監視システムは、１又は複数の監視回線上の全ての通信パケットを収集し、所定のトラフィック情報を集計することにより異常トラフィックを検出するものであって、既に検出されている異常トラフィックに係る通信パケットとそうでない通信パケットとを分別する１又は複数の収集手段と、各収集手段により既に検出されている異常トラフィックに係るものとして分別された通信パケットを各収集手段から受け取り、異常トラフィック毎のトラフィック情報を集計する１又は複数の個別集計手段と、各収集手段及び各個別集計手段により集計された集計結果を受け取り、所定の分析処理を行う分析手段とを備える。
【選択図】 図１

Description

本発明は、ネットワーク監視システム、ネットワーク監視方法及びネットワーク監視プログラムに関し、例えば、広帯域ネットワークのトラフィックを多地点で観測し、広帯域ネットワークのトラフィック情報の統計、集約及び分析等を行なう多地点広帯域ネットワーク監視システムに適用し得る。

近年、ネットワーク技術の発展に伴い、その重要性が高まり、ネットワークシステムが社会基盤として浸透している。その一方で、高度化・複雑化した新しいウィルスが日々発生しており、ウィルス感染等の脅威がネットワーク障害を引き起こし、その被害はネットワークの規模に応じて大きくなる。そのため、ネットワークにおけるセキュリティ監視システムの重要性が高まっている。

非特許文献１には、上記課題を解決するためのネットワークセキュリティ技術が提案されている。

非特許文献１に記載されているネットワークセキュリティ技術の方法は、広帯域ネットワーク上に多数のプローブシステムを備え、各プローブシステムは、監視回線を流れる全てのパケットを取り込み、各監視回線のトラフィックをモニタリングする。

このとき、各プローブシステムは、全てのパケットのヘッダ情報から、少なくとも１つ以上の主要データ項目をキーとして検索・グルーピングを行い、主要データ項目毎のパケット数やサイズを集計する。そして、例えば、件数、サイズ、使用ポート等の集計結果に基づいて、特異な傾向（すなわち、異常なトラフィックフロー）を検出し、これを異常パケット候補として抽出してネットワーク情報収集システムに与える。

ネットワーク情報収集システムでは、各プローブシステムから異常パケット候補の抽出結果を定期的に集約し、その集約結果に基づいて詳細な分析データを分析システムに渡し、インシデント対策を決定するというものである。

加藤圭、五十嵐譲、「ブロードバンド・ユビキタス社会を支えるネットワークセキュリティ技術」、沖テクニカルレビュー ２００５年１０月−２０４号 Ｎｏ．２０４ ユビキタスネットワーク特集、Ｖｏｌ．７２ Ｎｏ．４、２００５年１０月、ｐｐ．７６−７９

ところで、上述した多地点広帯域ネットワークにおけるトラフィックセキュリティ技術において、プローブシステムは、常時、所定時間単位のトラフィックフローの統計結果を取り、所定時間単位毎の統計結果に基づいて異常パケット候補を決定している。

そのため、以前に異常なトラフィックとみなされたパケットと同一内容のパケットが、今回の単位時間内に収集したパケットの中に含まれていたとしても、当該パケットについても他の全てのパケットと同様に統計処理の対象となってしまい、重複した判定処理がプローブシステムで行われていた。

上述した非特許文献１に記載のシステムは、超高速化するインターネット回線のトラフィックを監視するものとして期待されるものであり、広帯域通信に対応できるプローブシステムの性能向上が要求される。

そのため、それぞれの監視回線上を流れる全てのパケットを収集してトラフィックフローの統計結果を求める収集装置（プローブシステム）を多数備え、これら多数の収集装置の統計結果に基づいて広帯域ネットワークのトラフィックセキュリティを監視するシステムにおいて、効率的にトラフィックフローの統計処理を行うことができるネットワーク監視システム、ネットワーク監視方法及びネットワーク監視プログラムが求められている。

かかる課題を解決するために、第１の本発明のネットワーク監視システムは、（１）１又は複数の監視回線上の全ての通信パケットを収集し、所定のトラフィック情報を集計することにより異常トラフィックを検出するものであって、既に検出されている異常トラフィックに係る通信パケットとそうでない通信パケットとを分別する１又は複数の収集手段と、（２）各収集手段により既に検出されている異常トラフィックに係るものとして分別された通信パケットを各収集手段から受け取り、異常トラフィック毎のトラフィック情報を集計する１又は複数の個別集計手段と、（３）各収集手段及び各個別集計手段により集計された集計結果を受け取り、所定の分析処理を行う分析手段とを備えることを特徴とする。

第２の本発明のネットワーク監視方法は、１又は複数の収集手段が、１又は複数の監視回線上の全ての通信パケットを収集し、所定のトラフィック情報を集計することにより異常トラフィックを検出するものであって、既に検出されている異常トラフィックに係る通信パケットとそうでない通信パケットとを分別する収集工程と、（２）１又は複数の個別集計手段が、各収集手段により既に検出されている異常トラフィックに係るものとして分別された通信パケットを各収集手段から受け取り、異常トラフィック毎のトラフィック情報を集計する個別集計工程と、（３）分析手段が、各収集手段及び各個別集計手段により集計された集計結果を受け取り、所定の分析処理を行う分析工程とを備えることを特徴とする。

第３の本発明のネットワーク監視プログラムは、コンピュータに、（１）１又は複数の監視回線上の全ての通信パケットを収集し、所定のトラフィック情報を集計することにより異常トラフィックを検出するものであって、既に検出されている異常トラフィックに係る通信パケットとそうでない通信パケットとを分別する収集手段と、（２）収集手段により既に検出されている異常トラフィックに係るものとして分別された通信パケットを収集手段から受け取り、異常トラフィック毎のトラフィック情報を集計する個別集計手段、（３）収集手段及び個別集計手段により集計された集計結果を受け取り、所定の分析処理を行う分析手段として機能させるものである。

本発明によれば、それぞれの監視回線上を流れる全てのパケットを収集してトラフィックフローの統計結果を求める収集手段を多数備え、これら多数の収集手段の統計結果に基づいて広帯域ネットワークのトラフィックセキュリティを監視するシステムにおいて、収集手段の処理負荷を軽減しながら、効率的にトラフィックフローの統計処理を行うことができる。

（Ａ）第１の実施形態
以下、本発明のネットワーク監視システム、ネットワーク監視方法及びネットワーク監視プログラムを適用した第１の実施形態を図面を参照しながら説明する。

第１の実施形態は、本発明のネットワーク監視システム、ネットワーク監視方法及びネットワーク監視プログラムを利用して、多地点広帯域トラフィック監視システムを一元監視し、不正アクセスやＤｏｓ攻撃等の異常トラフィックの検出、分析を実現する場合の実施形態を説明する。

（Ａ−１）第１の実施形態の構成
図１は、第１の実施形態のネットワーク監視システムの全体構成を示す構成図である。図１において、第１の実施形態のネットワーク監視システム１０は、収集システム１（１−１〜１−ｎ）、統合管理システム２、管理者端末３、接続装置５（５−１〜５−ｎ）、監視回線６（６−１〜６−ｎ）、転送装置７（７−１〜７−ｎ）、超高速回線８、を少なくとも有して構成される。

超高速回線８は、転送装置７−１〜７−ｎを介して、それぞれの監視回線６−１〜６−ｎと接続するバックボーンネットワークである。

監視回線６−１〜６−ｎは、収集システム１−１〜１−ｎの監視対象のネットワーク回線であり、例えば、ＩＳＰ（インターネットサービスプロトコル）の管理対象ネットワークの高速ネットワーク回線（例えば、帯域は５Ｇｂｐｓ〜１０Ｇｂｐｓ程度のものを想定する）などが該当する。監視回線６−１〜６−ｎの回線媒体としては、例えば、電気回線や光ファイバ回線などの有線回線や、一部又は全部に無線回線を有するものを適用できる。また、各監視回線６−１〜６−ｎ上には、ユーザが操作する複数のユーザ端末９を備えている。また、監視回線６−１〜６−ｎにおいて、ＯＳＩ基本参照モデルのトランスポート層に対応する層のプロトコルは特に限定されないが、例えば、ＴＣＰ、ＵＤＰ、ＩＣＭＰなどを適用できる。なお、端末９としては、例えばＰＣ等に代表される通信端末、音声通信端末（ソフトフォンを実現する通信端末、携帯電話機等を含む概念）や、ネットワーク機器などが該当する。

転送装置７−１〜７−ｎは、超高速回線８と各監視回線６−１〜６−ｎとの間のデータ転送を行なう中継装置であり、例えば、スイッチ装置、ルータ等が該当する。

接続装置５−１〜５−ｎは、各監視回線６−１〜６−ｎ上を流れるパケットを、それぞれの収集システム１−１〜１−ｎに与えるものであり、例えば、ＴＡＰ装置、各転送装置７−１〜７−ｎのミラー回線、スプリッタ等が該当する。

収集システム１−１〜１−ｎは、接続装置５−１〜５−ｎを介して、それぞれの監視回線６−１〜６−ｎ上を流れる全てのパケットを取り込み、各監視回線６−１〜６−ｎのトラフィックをモニタリングするものである。つまり、収集システム１−１〜１−ｎは、各パケットのヘッダ情報に基づいて、所定の設定条件に従って各監視回線６−１〜６−ｎのトラフィックフローに関する統計処理を行なう統計処理機能や、統計結果に基づいてトラフィック異常を検出する異常検出機能や、統計結果を統合管理システム２に対して送信する送信機能等を備えるものである。

また、収集システム１−１〜１−ｎは、既に検出されているトラフィック異常の種類をグループ化し、取り込んだパケットのうち異常トラフィックグループに属すパケットを分別する分別機能や、異常トラフィックグループに属すパケットをグループ毎の個別統計処理機能に振り分ける振分機能や、異常トラフィックグループに属さないパケットの中から新たなトラフィック異常を検出して新たな異常トラフィックグループを生成する新グループ生成機能等を備える。なお、この収集システム１−１〜１−ｎが実現する機能の詳細な説明については後述する。

統合管理システム２は、各収集システム１−１〜１−ｎから統計結果を受け取り、受け取った統計結果に基づいて所定の集約方法に従って統計結果を集約する集約する集約機能や、集約した集約結果に基づいてトラフィックフローを分析する分析機能や、アラーム通知機能等を備えるものである。

管理者端末３は、ネットワークを管理する管理者が操作する端末であり、統合管理システム２が分析したトラフィックフローの分析結果や統計結果等の表示や、ネットワーク監視や異常検出に関する設定等を統合管理システム２に対して行うものである。

続いて、収集システム１（１−１〜１−ｎ）が実現する機能の詳細を図面を参照して説明する。

図２は、収集システム１が実現する機能を示す機能ブロック図である。図２に示すように、収集システム１は、観測プローブ機能部１１、個別統計システム１２（１２−１〜１２−ｎ）を少なくとも有して構成されるものである。

観測プローブ機能部１１は、接続装置５を介して受け取った全パケットのヘッダ情報に基づいて異常トラフィックグループに属すパケットを分別し、異常トラフィックグループに属すパケットについては、そのグループの統計処理を行なう個別統計システム１２−１〜１２−ｎのいずれかに与え、異常トラフィックグループに属さないパケットについては、新たなトラフィック異常の検出をした上で、統合管理システム２に与えるものである。

図３は、観測プローブ機能部１１の詳細な内部機能を示す機能ブロック図である。図３において、観測プローブ機能部１１は、パケット取得機能部１０１、ポリシー照合機能部１０２、ポート識別情報取得機能部１０３、ポート振分機能部１０４、送信機能部１０５、グルーピング機能部１０６、集計機能部１０７、判定機能部１０８、ポリシー追加機能部１０９、集計データ送信機能部１１０、終了機能部１１１、グルーピングポリシーデータベースＸ１、を少なくとも有して構成される。

パケット取得機能部１０１は、監視回線６から接続装置５を介して、監視回線６上を流れる全てのパケットを捕捉するものであり、捕捉したパケットをポリシー照合機能部１０２に与えるものである。

ポリシー照合機能部１０２は、パケット取得機能部１０１からパケットを受け取ると、各パケットのヘッダ情報（例えば、ＩＰヘッダ情報、ＵＤＰヘッダ情報等）をグルーピングポリシーデータベースＸ１と照合し、グルーピングポリシーデータベースＸ１に設定されているグルーピングポリシーに一致するパケットについてはポート識別情報取得機能部１０３に与え、グルーピングポリシーに一致するポリシーがなかったパケットについてはグルーピング機能１０６に与えるものである。

ここで、グルーピングポリシーデータベースＸ１は、異常トラフィックグループを特定するために定義されたグルーピングポリシーを記憶するものである。すなわち、既に分かっているトラフィッククローの特異な傾向をグループ化して記憶しておく。

なお、トラフィックフローの特異な傾向としては、例えば、特定の送信先（例えばＩＰアドレス、送信先ポート番号等）へのパケット数が、他の送信先へのそれより数十倍以上である場合（例えばflood攻撃の疑いの場合）、特定の送信先のパケットサイズが規定値（例えば、数ＭＢ）より大きい場合（例えばＤｏＳ攻撃の疑いの場合）、特定の送信元（例えばＩＰアドレス、送信元ポート番号）からのパケットの突発的に１００件以上（例えば１００ｐｐｓ以上）が発生する場合等がある。

グルーピングポリシーデータベースＸ１においては、予め設定された設定項目に異常トラフィックを特定する情報が設定され、これらを組み合わせたものを１つのグループとして定義される。また、各グループには、各グループを識別するグループ識別情報を付与し、当該グルーピングポリシーに一致するパケットの送信先を示す個別統計システム１２−１〜１２−ｎのポート識別情報等が設定されている。

図４は、グルーピングポリシーデータベースＸ１が管理する内容例を説明する説明図である。

図４において、グルーピングポリシーデータベースＸ１は、「送信元ＩＰアドレス（ScIP／Mask）」、「送信元ポート番号（SrcPort）」、「送信先ＩＰアドレス（DstIP／Mask）」、「送信先ポート番号（DstPort）」、「プロトコル番号（Protocol）」を設定項目とする場合を示す。

また、グルーピングポリシーデータベースＸ１は、各グループを識別する「グループＩＤ」、個別統計システム１２−１〜１２−ｎの「ポート識別ＩＤ」及び「予備ポートＩＤ」、グルーピングポリシーに一致したパケットに対する処理を示す「Action」も設定項目とする。

なお、図４に示す「特徴」は、説明便宜上、各グループの内容を説明するために示したものであり、グルーピングポリシーデータベースＸ１で管理されない。

また、「ポート識別ＩＤ」及び「予備ポートＩＤ」は、１又は複数のポートＩＤを設定することができるものである。「予備ポートＩＤ」は、「ポート識別ＩＤ」とは異なる別のポートＩＤを設定するものである。このように「予備ポートＩＤ」を設けることにより、例えば、大量パケットによる過負荷状態であっても、パケットを分配することにより、個別統計システムの統計処理や分析処理を分散させることができたり、また例えば、新グループの追加の際に、新たなグループの統計処理を行なう個別統計システムを確定するまでの間の統計処理を、ある個別統計システムに行なわせたりすることができる。

例えば、図４の第１列目は、グループＩＤを「00000」とするものであり、その内容は、プロトコルが「ＴＣＰ」、送信元ＩＰアドレスが「vvv.xxx.yyy.zzz／255.255.255.0」、送信先ＩＰアドレスが「rrr.sss.ttt.uuu／255.255.255.0」であるものとし、送信元ポート番号及び送信先ポート番号は特に限定されない。そして、このグルーピングポリシーに一致したパケットについては、ポート識別ＩＤ「01」に「Forward」させるように定義されている。このように定義することで、例えば、Ａ国から国内のＩＳＰ宛のパケットをポート番号０１の個別統計システムに与えることができる。

また例えば、図４の第３列目は、グループＩＤを「00004」とするものであり、その内容は、プロトコルが「ＴＣＰ」、送信元ＩＰアドレスが「vvv.xxx.yyy.zzz／255.255.255.0」、であるものとし、送信元ポート番号、送信先ＩＰアドレス及び送信先ポート番号は特に限定されない。そして、このグルーピングポリシーに一致したパケットについては、ポート識別ＩＤ「05」に「Forward」させるように定義されている。このように定義することで、例えば、Ａ国からの全パケットをポート番号０５の個別統計システムに与えることができる。

ポート識別情報取得機能部１０３は、パケットのポリシーがグルーピングポリシーに一致する場合、グルーピングポリシーデータベースＸ１を参照して、当該グループＩＤに対応するポート識別ＩＤを取得するものである。

ポート振分機能部１０４は、同一のグループＩＤに該当するパケットのサイズを集計し（例えば、１秒間あたりの合計パケットサイズを集計し）、その集計結果が閾値を超えたか否かを判定し、閾値を超えたとき、グルーピングポリシーデータベースＸ１に設定されている予備ポートＩＤに変更するものである。

送信機能部１０５は、グルーピングポリシーデータベースＸ１のActionが「Forward」である場合に、ポート識別情報取得機能部１０３により取得されたポート識別ＩＤ若しくは予備ポートＩＤに基づいて、個別統計システム１２−１〜１２−ｎにパケットを送信するものである。

グルーピング機能部１０６は、ポリシー照合機能部１０２によりポリシーがグルーピングポリシーに一致しないと判断されたパケットを受け取ると、受け取ったパケットをグルーピングするものである。

ここで、パケットのグルーピング方法としては、グルーピング機能部１０６が予め設定されたグループ設定テーブルＸ２を用いて行う方法を適用する。すなわち、グルーピング機能部１０６は、グループ設定テーブルＸ２に設定されている主要項目内容のパケットを受け取ったか否かの判断により、パケットをグループ化する。

図５は、グループ設定テーブルＸ２の主要項目の内容例を説明する説明図である。図５に示すように、第１の実施形態のグループ設定テーブルＸ２は、その項目例として、「送信元ＩＰアドレス（ScIP／Mask）」、「送信元ポート番号（SrcPort）」、「送信先ＩＰアドレス（DstIP／Mask）」、「送信先ポート番号（DstPort）」、「プロトコル番号（Protocol）」とする場合を示す。なお、図５に示す「特徴」は、説明便宜上、グループ設定テーブルＸ２の主要項目の内容例を説明するために示したものであり、グループ設定テーブルＸ２で管理されない。

例えば、図５の第１列目は、プロトコルが「ＴＣＰ」、送信先ＩＰアドレスが「fff.ggg.hhh.iii／255.255.255.0」、送信先ポート番号が「80」であるものを１つのグループとするものである。なお、送信先ＩＰアドレス及び送信先ポート番号は特に限定されない。この場合、グルーピング機能部１０６は、ポリシー照合機能部１０２からのパケットのヘッダ情報を参照して、図５の第１列目に該当するパケットを当該グループに属するものとする。

集計機能部１０７は、グルーピング機能部１０６によりグルーピングされたパケットの累積数及び又は累積サイズを、各グループ毎に集計するものである。また、集計機能部１０７は、各グループの集計結果を判定機能部１０８に与えるものである。

判定機能部１０８は、集計機能部１０７から集計された集計結果を受け取ると、その集計結果の正常又は異常を判定するものである。また、判定機能部１０８は、集計結果が正常である場合にその旨を終了機能部１１１に与え、集計結果が異常である場合にその旨をポリシー追加機能部１０９に与えるものである。

ここで、判定機能部１０８による正常又は異常の判定方法としては、例えば、グループ設定テーブルＸ２に設定の主要項目をキーにソート・グルーピングして、例えば１秒当りの件数又は合計サイズを集計し、以下の例に該当するとき異常と判定する。

例えば、件数があらかじめコンフィグファイルなどに設定された件数を超えたとき（例えば、秒平均１０００件以上）を異常とする。また例えば、サイズがあらかじめコンフィグファイルなどに設定されたサイズを超えたとき（例えば、秒平均１００ＭＢ以上）を異常とする。また例えば、コンフィグファイル等で設定された時間（例えば、１０分間）のパケット数の統計をとったときの統計結果より、当該パケット数が総数の８０％以上であったり、またＴｏｐ３入りしている場合等を異常とする。

これにより、監視回線のトラフィックフローの特異な傾向（例えば、突発的な大量パケットの発生、ＤｏＳ攻撃など）を判定することができ、後述するように、これらの事象を引き起こすグループをグルーピングポリシーデータベースＸ１に追加することができる。

ポリシー追加機能部１０９は、判定機能部１０８から異常である旨が与えられると、当該異常と判定されたグループの主要項目に設定されている設定情報を、グルーピングポリシーデータベースＸ１に追加するものである。

このとき、グループの主要項目に設定されている設定情報をグルーピングポリシーデータベースＸ１に追加する際、ポリシー追加機能部１０９は、新たなグループＩＤ（例えば、00001〜31999）を付与し、どの個別統計システムと接続するポート識別ＩＤ及び予備ポートＩＤの対応付けを行う。

集計データ送信機能部１１０は、集計機能部１０７により集計された各グループの集計結果を、統合管理システム２に与えるものである。

終了機能部１１１は、判定機能部１０８から正常である旨が与えられると、当該パケットを破棄し、当該パケットに対する観測プローブ機能部１１の処理を終了するものである。

図２に戻り、個別統計システム１２−１〜１２−ｎについて説明する。個別統計システム１２−１〜１２−ｎは、観測プローブ機能部１１からパケットを受け取り、集計処理を行なうものであり、その集計結果を統合管理システム２に与えるものである。なお、個別統計システム１２−１〜１２−ｎは、各グループのパケットのパケット数やパケットサイズを集計するものである。また、個別統計システム１２−１〜１２−ｎはそれぞれ、物理的なポートを有しており、通常用ポートの他に少なくとも１個以上の予備用ポートを備えている。

図６は、個別統計システム１２（１２−１〜１２−ｎ）の内部機能を示す機能ブロック図である。図６において、個別統計システム１２は、観測プローブ機能部１１からパケットを受け取る受信機能部２０１、受信機能部２０１が受け取ったパケットのパケット数やパケットサイズを集計する集計機能部２０２、集計機能部２０２により集計された集計結果を統合管理システム２に与える集計データ送信機能部２０３、を少なくとも有して構成される。

（Ａ−２）第１の実施形態の動作
次に、第１の実施形態のネットワーク監視システム１０におけるネットワーク監視処理の動作を図面を参照しながら説明する。図７は、第１の実施形態のネットワーク監視処理の動作を説明する説明図である。

まず、監視回線６上を流れるパケットＰ１は全て、接続装置５を介して、収集システム１の観測プローブ機能部１１に与えられる（Ｓ１）。

パケットＰ１が観測プローブ機能部１１のパケット取得機能部１０１により受信されると、パケットＰ１は、ポリシー照合機能部１０２に与えられ、グルーピングポリシーデータベースＸ１のグルーピングポリシーと一致するものであるか否かの照合処理が行われる（Ｓ２）。

ポリシー照合機能部１０２によるグルーピングポリシーとの照合の結果、パケットのポリシーがグルーピングポリシーに一致する場合（Ｓ３）、ポート識別情報取得機能部１０３によりグルーピングポリシーデータベースＸ１が参照され、当該グルーピングポリシーに対応付けられる「ポート識別ＩＤ」又は「予備ポートＩＤ」が取得される（Ｓ４）。

このとき、ポート振分部１０４により同一グループＩＤのパケットサイズが集計され、その集計結果と閾値との比較処理が行われており、同一グループＩＤについての集計結果が閾値以下である場合には「ポート識別ＩＤ」が取得され、同一グループＩＤについての集計結果が閾値を超えた場合には「予備ポートＩＤ」が取得される（Ｓ５）。

ポート識別情報取得機能部１０３により「ポート識別ＩＤ」又は「予備ポートＩＤ」が取得されると、当該パケットは、送信機能部１０５により、「ポート識別ＩＤ」又は「予備ポートＩＤ」を出力先として送信される（Ｓ６）。これにより、既にグループ化されているトラフィック異常に係るパケットを、各個別統計システム１２−１〜１２−ｎに振り分けることができる。

送信機能部１０５からパケットが個別統計システム１２−１〜１２−ｎに与えられると、各個別統計システム１２−１〜１２−ｎでは所定内容のトラフィックフローの統計処理が行われ、その統計結果が統合管理システム２に与えられる（Ｓ７）。ここで、各個別統計システム１２−１〜１２−ｎにおける統計処理では、各グループに当たるトラフィック情報の統計処理を行う。

また、ポリシー照合機能部１０２によるグルーピングポリシーとの照合の結果、パケットのポリシーがグルーピングポリシーに一致しない場合（Ｓ８）、グルーピング機能部１０６により、グループ設定テーブルＸ２を用いたグループ化が行なわれ（Ｓ９）、集計機能部１０７により各グループ毎のトラフィック情報（パケット数、パケット量）の集計処理が行われる（Ｓ１０）。

そして、判定機能部１０８により、集計機能部１０７による各グループの集計結果に基づいて正常／異常の判定処理が行われる（Ｓ１１）。

判定機能部１０８による判定結果が正常である場合、パケットは終了機能部１１１に与えられ（Ｓ１２）、終了機能部１１１により当該パケットは廃棄され（Ｓ１３）、観測プローブ機能部１１の処理が終了する。

一方、判定機能部１０８による判定結果が異常である場合、パケットはポリシー追加機能部１０９に与えられ（Ｓ１４）、ポリシー追加機能部１０９により、当該パケットのグループの主要項目に設定されている設定情報がグルーピングポリシーデータベースＸ１に新たに追加される（Ｓ１５）。また、集計機能部１０７により集計された各グループの集計結果は、集計データ送信機能部１０７により、統合管理システム２に送信される（Ｓ１６）。

（Ａ−３）第１の実施形態の効果
以上のように、第１に実施形態によれば、グルーピングポリシーデータベースに登録されているポリシーに一致するパケットに関して、グルーピング機能部、集計機能部による処理を行なわずに、既定のポリシーにしたがい、個別統計システムに転送することにより、観測プローブの限られたリソースで行なう処理を外部に分散することができる。

また、第１の実施形態によれば、観測プローブのリソースを増設したり、スペックの高い新たな観測プローブを開発し、同等機能を移設するのは、インターネット接続サービスを提供するプロバイダにとっては、インパクトが大きく、サービス維持管理におけるリスクが高いため、本発明は効果的である。

さらに、第１の実施形態によれば、個別統計システムに転送されるパケットによるネットワーク過負荷を回避するために、グルーピングポリシーにしたがいパケットを分配する機能に加え、パケット量を計測し、閾値を超える場合は、あらかじめ指定したポートを経由し、予備の個別統計システムに分散させて転送する機能を設けたことにより、大量パケットによる負荷の大きいトラフィックが一点集中攻撃した場合でも、観測、統計解析における可用性を確保することができるのである。

（Ｂ）他の実施形態
第１の実施形態では、主要項目を基準にしたポリシーにしたがい個別統計システムにトラフィックを分散することにより、観測プローブの処理を効率化し、性能向上する効果を説明したが、未使用ポートに個別統計システムを接続し、ポート識別ＩＤ取得機能部１０３及びポート振分機能部１０４から送信機能部１０５にパケットを渡す際に、あらかじめグルーピングポリシーデータベースに振分先の予備ポート識別ＩＤを設定していないグループＩＤの場合は、未使用ポートをデフォルトとして振り分けて出力させることにより、個別統計システムに与える処理負荷を、均等に分散させることができる。

図４のグルーピングポリシーデータベース及び図５のグループ設定テーブルのそれぞれの項目は、図４及び図５に示すものに限定されない。また、各項目に設定される情報について、変更することができる。

また、図４において、項目「Action」には、「Forward（通過）」以外に「Drop（廃棄）」等のほかの設定情報を設定することができる。「Drop」の場合、通信パケットを個別統計システムに与えることなく、通信パケットを廃棄することができる。これにより、例えば、監視対象を減らす必要がある場合に、パケットの通過を遮断することで、個別統計処理を減らすことができる。

第１の実施形態において、ポリシー照合の順序について、グルーピングポリシーデータベースに登録されている順序に従って照合するものとする。ここで、グルーピングポリシーについて、照合優先度を付与するようにしてもよい。この照合優先度の付与の仕方としては、例えば、管理者等により付与する方法や自動により付与する方法を適用することができる。ここで、自動により付与する方法には、種々の方法を適用することができるが、例えば、ポリシー追加機能部が、集計機能部が集計したトラフィック情報を考慮し、例えばトラフィック量がある規定値を超える等の突発的に増大する場合には、高い優先度を付与する機能を備えるようにしてもよい。

第１の実施形態において、収集システムの監視対象のネットワークは１つであるが、複数のネットワークを監視するものとしてもよい。複数のネットワークを監視する場合、観測プローブは、監視回線毎のトラフィック情報を集計するようにしてもよい。

第１の実施形態において説明した収集システムの各機能構成は、第１の実施形態で説明した機能を実現することができるのであれば、物理的に同一のサーバ上にある必要はなく、各機能を実現するサーバを分散配置させるようにしてもよい。

第１の実施形態では、ＩＳＰが運用する複数のネットワークから構成される広帯域ネットワークに適用した場合を示したが、その他に、複数の拠点ネットワークを有して構成される企業内ネットワーク等にも適用できる。

第１の実施形態において、収集システム、統合管理システムが実現する機能は、例えば、ＣＰＵ等ハードウェア資源が処理プログラムのソフトウェアを実行することにより実現される。勿論、電気回路等を構成してハードウェアで実現するようにしてもよい。

第１の実施形態のネットワーク監視システムの全体構成図である。 第１の実施形態の収集システムの構成を示す構成図である。 第１の実施形態の観測プローブ機能部の内部構成を示す機能ブロック図である。 第１の実施形態のグルーピングポリシーデータベースの項目を説明する説明図である。 第１の実施形態のグループ設定テーブルの項目を説明する説明図である。 第１の実施形態の個別統計システムの内部構成を示す機能ブロック図である。 第１の実施形態のネットワーク監視システムの処理を説明する説明図である。

符号の説明

１（１−１〜１−ｎ）…収集システム、２…統合管理システム、３…管理者端末、５（５−１〜５−ｎ）…接続装置、６（６−１〜６−ｎ）…監視回線、７（７−１〜７−ｎ）…転送装置、８…超高速回線、１１…観測プローブ機能部、１２（１２−１〜１２−ｎ）…個別統計システム、１０１…パケット取得機能部、１０２…ポリシー照合機能部、１０３…ポート識別情報取得機能部、１０４…ポート振分機能部、１０５…送信機能部、１０６…グルーピング機能部、１０７…集計機能部、１０８…判定機能部、１０９…ポリシー追加機能部、１１０…集計データ送信機能部、１１１…終了機能部、Ｘ１…グルーピングポリシーデータベース、Ｘ２…グループ設定テーブル。

Claims (6)

1. １又は複数の監視回線上の全ての通信パケットを収集し、所定のトラフィック情報を集計することにより異常トラフィックを検出するものであって、既に検出されている異常トラフィックに係る通信パケットとそうでない通信パケットとを分別する１又は複数の収集手段と、
   上記各収集手段により既に検出されている異常トラフィックに係るものとして分別された通信パケットを上記各収集手段から受け取り、異常トラフィック毎のトラフィック情報を集計する１又は複数の個別集計手段と、
   上記各収集手段及び上記各個別集計手段により集計された集計結果を受け取り、所定の分析処理を行う分析手段と
   を備えることを特徴とするネットワーク監視システム。
2. 上記各収集手段が、
   異常トラフィックを特定する少なくとも１個以上の設定情報と、上記各個別集計手段へ向けて出力するポート識別情報とを対応付けた、１又は複数のグルーピングポリシーを記憶するグルーピングポリシー記憶部と、
   上記通信パケットヘッダ情報を上記グルーピングポリシー記憶部の上記各グルーピングポリシーと照合するポリシー照合部と、
   上記ポリシー照合部により上記グルーピングポリシーのいずれかに一致すると判断された場合、上記ポート識別情報に基づいて、対応する上記個別集計手段に当該通信パケットを送信する送信部と
   を有することを特徴とする請求項１に記載のネットワーク監視システム。
3. 上記各グルーピングポリシーが、上記ポート識別情報のほかに、１又は複数の予備ポート識別情報を有するものであり、
   上記ポート識別情報又は上記各予備ポート識別情報のうち、どのポート識別情報を用いるかを決定するポート決定手段を備えることを特徴とする請求項２に記載のネットワーク監視システム。
4. 上記ポリシー照合部により上記グルーピングポリシーのいずれかにも一致しないと判断された場合、通信パケットのヘッダ情報に基づいて所定項目毎のグループ化を行い、各グループ毎のトラフィック情報の集計を行う集計部と、
   上記集計部による集計結果に基づいて、新たな異常トラフィックを検出する異常トラフィック検出部と、
   異常トラフィック検出部により新たな異常トラフィックが検出されると、当該トラフィックにあたるグループの所定項目の設定内容を有するグルーピングポリシーを、上記グルーピングポリシー記憶部に追加するポリシー追加部と
   を有することを特徴とする請求項２又は３に記載のネットワーク監視システム。
5. １又は複数の収集手段が、１又は複数の監視回線上の全ての通信パケットを収集し、所定のトラフィック情報を集計することにより異常トラフィックを検出するものであって、既に検出されている異常トラフィックに係る通信パケットとそうでない通信パケットとを分別する収集工程と、
   １又は複数の個別集計手段が、上記各収集手段により既に検出されている異常トラフィックに係るものとして分別された通信パケットを上記各収集手段から受け取り、異常トラフィック毎のトラフィック情報を集計する個別集計工程と、
   分析手段が、上記各収集手段及び上記各個別集計手段により集計された集計結果を受け取り、所定の分析処理を行う分析工程と
   を備えることを特徴とするネットワーク監視方法。
6. コンピュータに、
   １又は複数の監視回線上の全ての通信パケットを収集し、所定のトラフィック情報を集計することにより異常トラフィックを検出するものであって、既に検出されている異常トラフィックに係る通信パケットとそうでない通信パケットとを分別する収集手段、
   上記収集手段により既に検出されている異常トラフィックに係るものとして分別された通信パケットを上記各収集手段から受け取り、異常トラフィック毎のトラフィック情報を集計する個別集計手段、
   上記収集手段及び上記個別集計手段により集計された集計結果を受け取り、所定の分析処理を行う分析手段
   として機能させるネットワーク監視プログラム。

Images