JP2008244635A - ネットワーク監視システム、ネットワーク監視方法、ネットワーク監視プログラム及び収集装置 - Google Patents

Abstract

【課題】予め監視対象を限定するのではなく、過去に遡って監視対象を指定し、既存保存データから分析に必要な監視対象のデータを生成することができるようにする。
【解決手段】本発明のネットワーク監視システムは、監視回線上の全通信パケットのパケット情報を受信時刻情報と対応付けてパケット情報保持部の保持し、所定の収集条件のトラフィックフロー情報を求める複数の収集手段と、各収集手段からのトラフィックフロー情報に基づく所定の監視対象の集計情報を管理する管理手段と、外部の監視対象通知手段からの少なくとも監視時間条件を有する監視対象特定情報より新たな監視設定条件を設定し、その監視設定条件を新たな収集条件として各収集手段に設定させる監視対象設定管理手段とを備え、各収集手段は、新たな収集条件の監視時間条件が過去の時間範囲である場合、パケット情報保持部を参照して、新たな収集条件のトラフィックフロー情報を求める。
【選択図】 図１

Description

本発明は、ネットワーク監視システム、ネットワーク監視方法、ネットワーク監視プログラム及び収集装置に関し、例えば、広帯域ネットワーク上のトラフィックフロー情報を多地点で観測する多地点広帯域トラフィック監視システムに適用し得る。

近年、ネットワーク上では、複雑かつ高度なウィルスが日々発生している。また、近年のネットワーク技術の進展に伴い、ネットワークが一般的に広く普及されているが、今後、さらなる技術の進展により、広帯域のネットワークが広く導入され、社会基盤として浸透することが期待される。そこで、既存規模のネットワークだけでなく、大規模な広帯域ネットワークを監視することができ、ネットワーク異常を効率的に検出するシステムが強く望まれている。

従来、ネットワーク監視システムとしては、種々の技術があるが、そのうちの１つとして、ネットワーク上を通過するパケットのパケット情報に基づいて、通信パケット量等のトラフィック情報を監視する技術がある（特許文献１参照）。

例えば、ネットワーク上のパケット量を監視する技術としては、例えば、図２に示すように、ＳＮＭＰ（Simple Network Management Protocol）等のプロトコルを用いて、監視装置が、ルータやスイッチングハブ等の中継装置から、通過するパケット量を取得し、監視する技術や、また例えば、図３に示すように、スイッチングハブ等の中継装置がミラーポートを備え、ミラーポート経由のパケットを監視装置に与え、監視装置がパケット量を直接計測する技術などがある。

従来のネットワーク監視システムでは、事前に監視条件を設定しておき、その事前設定した条件に従って、リアルタイムにネットワークトラフィックを監視し、トラフィックフロー量を解析している。

ところで、例えば、ネットワーク障害やウィルス感染等は、いつ、どこで発生するか分からないため、従来の障害等の調査・解析方法は、セキュリティシステムのセキュリティ事象（例えば、スイッチダウンやトラフィックフロー量の急増検出等）が発生した後、過去の通信データを利用して改めて行なうこととしている。

特開平５−２６００６３号公報

従来のネットワーク監視システムは、上述したように、事前設定された時間条件や監視条件に基づいてネットワークを監視することとしている。従って、ネットワーク監視システムの時間条件や監視条件を設定変更することで対応することも考えられる。

しかしながら、一般に、ネットワークトラフィックの特性は、長期的な時間単位でみた場合には周期的な特性が見受けられるが、突発的な事象等は再現することなく逐次変化を続けている。そのため、ネットワーク監視に係る時間条件や監視条件を複数設定する必要があるが、記憶領域が圧縮されてしまい、設定する条件によってはデータ取得できないという問題があった。

そのため、予め監視対象を限定するのではなく、過去に遡って監視対象を指定し、既存保存データから分析に必要な監視対象のデータを生成することができる、ネットワーク監視システム、ネットワーク監視方法、ネットワーク監視プログラム及び収集装置が求められている。

かかる課題を解決するために、第１の本発明のネットワーク監視システムは、（１）１又は複数の監視回線上を流れる全通信パケットのパケット情報を、それぞれの受信時刻情報と対応付けて保持するパケット情報保持部を有し、所定の収集条件のトラフィックフロー情報を求める複数の収集手段と、（２）各収集手段からのトラフィックフロー情報に基づいて集計した所定の監視対象の集計情報を管理する管理手段と、（３）管理手段における監視対象を特定する監視条件を管理するものであって、外部の監視対象通知手段から受け取った、少なくとも監視時間条件を有する監視対象特定情報に基づいて新たな監視設定条件を設定し、その監視設定条件を新たな収集条件として各収集手段に設定させる監視対象設定管理手段とを備え、（１−１）各収集手段は、監視対象設定管理手段から受け取った新たな収集条件の監視時間条件が過去の時間範囲を指定する場合、パケット情報保持部を参照して、新たな収集条件のトラフィックフロー情報を求めることを特徴とする。

第２の本発明の収集装置は、１又は複数の監視回線上を流れる全通信パケットのパケット情報を、それぞれの受信時刻情報と対応付けて保持するパケット情報保持部を有し、所定の収集条件のトラフィックフロー情報を求める複数の収集手段と、各収集手段からのトラフィックフロー情報に基づいて集計した所定の監視対象の集計情報を管理する管理手段と、管理手段における監視対象を特定する監視条件を管理するものであって、外部の監視対象通知手段から受け取った、少なくとも監視時間条件を有する監視対象特定情報に基づいて新たな監視設定条件を設定し、その監視設定条件を新たな収集条件として各収集手段に設定させる監視対象設定管理手段とを備えるネットワーク監視システムを構成する各収集装置において、（１）各収集手段が、監視対象設定管理手段から受け取った新たな収集条件の監視時間条件が過去の時間範囲を指定する場合、パケット情報保持部を参照して、新たな収集条件のトラフィックフロー情報を求めることを特徴とする。

第３の本発明のネットワーク監視方法は、複数の収集手段、管理手段及び監視対象設定管理手段を備え、（１）各収集手段が、１又は複数の監視回線上を流れる全通信パケットのパケット情報を、それぞれの受信時刻情報と対応付けてパケット情報保持部に保持し、所定の収集条件のトラフィックフロー情報を求める収集工程と、（２）管理手段が、各収集手段からのトラフィックフロー情報に基づいて集計した所定の監視対象の集計情報を管理する管理工程と、（３）管理手段における監視対象を特定する監視条件を管理する監視対象設定管理手段が、外部の監視対象通知手段から受け取った、少なくとも監視時間条件を有する監視対象特定情報に基づいて新たな監視設定条件を設定し、その監視設定条件を新たな収集条件として各収集手段に設定させる監視対象設定管理工程とを備え、（１−１）各収集手段は、監視対象設定管理手段から受け取った新たな収集条件の監視時間条件が過去の時間範囲を指定する場合、パケット情報保持部を参照して、新たな収集条件のトラフィックフロー情報を求めることを特徴とする。

第４の本発明のネットワーク監視プログラムは、コンピュータに、（１）１又は複数の監視回線上を流れる全通信パケットのパケット情報を、それぞれの受信時刻情報と対応付けてパケット情報保持部に保持し、所定の収集条件のトラフィックフロー情報を求める複数の収集手段、（２）各収集手段からのトラフィックフロー情報に基づいて集計した所定の監視対象の集計情報を管理する管理手段、（３）管理手段における監視対象を特定する監視条件を管理するものであって、外部の監視対象通知手段から受け取った、少なくとも監視時間条件を有する監視対象特定情報に基づいて新たな監視設定条件を設定し、その監視設定条件を新たな収集条件として各収集手段に設定させる監視対象設定管理手段として機能させ、さらに、（１−１）各収集手段として、監視対象設定管理手段から受け取った新たな収集条件の監視時間条件が過去の時間範囲を指定する場合、パケット情報保持部を参照して、新たな収集条件のトラフィックフロー情報を求めさせるプログラム。

本発明のネットワーク監視システム、ネットワーク監視方法、ネットワーク監視プログラム及び収集装置によれば、予め監視対象を限定するのではなく、過去に遡って監視対象を指定し、既存保存データから分析に必要な監視対象のデータを生成することができる。

（Ａ）第１の実施形態
以下、本発明のネットワーク監視システム、ネットワーク監視方法、ネットワーク監視プログラム及び収集装置の第１の実施形態を図面を参照して説明する。

（Ａ−１）第１の実施形態の構成
図１は、第１の実施形態のネットワーク監視システムの全体構成を示す構成図である。図１において、第１の実施形態のネットワーク監視システム６は、マネージャ装置１、収集プローブ装置２（２−１〜２−２）、検知装置３、中継装置５（５−１〜５−２）、管理者端末７、を少なくとも有して構成される。

第１の実施形態では、ネットワーク媒体としては、例えば、電気回線や光ファイバ回線等の有線回線や、無線回線を一部又は全部に有するものを適用することができる。また、ＯＳＩ基本参照モデルのトランスポート層に対応するプロトコルとしては、特に限定されないが、例えば、ＴＣＰ、ＵＤＰ、ＩＣＭＰ等を適用することができる。

収集プローブ装置２−１〜２−２は、中継装置５−１〜５−２と接続し、中継装置５−１〜５−２上を通過するパケットを全て取得し、全てのパケットのパケット情報に基づいて、所定の収集条件に該当するトラフィックのトラフィック量（以下、トラフィックフロー統計情報ともいう）を計測するものである。また、収集プローブ装置２−１〜２−２は、常時又は周期的に、計測したトラフィックフロー統計情報をマネージャ装置１に与えるものである。

また、収集プローブ装置２−１〜２−２は、マネージャ装置１から監視対象の設定情報を受け取ると、その設定情報に応じて、パケット情報を収集する収集条件を設定するものである。

さらに、収集プローブ装置２−１〜２−２は、マネージャ装置１から監視対象の設定情報を受け取ると、その設定情報である時間条件が過去の時間範囲であるか否かを判断するものであり、過去の時間条件とする設定情報である場合には、既に保持しているパケット情報の中から、過去の時間範囲内の条件に該当するパケット情報を抽出して、解析処理を行なうものである。

これにより、予め複数の監視対象についての条件を設定する必要がないので、分析に必要なデータのみを効率的に蓄積することができる。

なお、時間条件が過去の時間範囲でない場合、収集プローブ装置２−１〜２−２は、当該設定情報に基づく収集条件を追加的に設定し、並列的な処理ができる。

図４は、第１の実施形態の収集プローブ装置２（２−１〜２−２）が有する主な内部機能を示す機能ブロック図である。図４に示すように、収集プローブ装置２は、パケット取得部２０１、パケット情報保持部２０２、収集対象選定部２０３、マネージャ送受信部２０４、解析部２０５、新規トラフィック量記憶部２０６、既存パケット情報記憶部２０７、パケット情報収集部２０８、解析部２０９、指定時間条件トラフィック量記憶部２１０、を少なくとも有する。

パケット取得部２０１は、中継装置５を通過する全ての通信パケットを捕捉するものである。パケット取得部２０１の取得方法としては、例えば、中継装置５（例えばルータやスイッチングハブ等）からＳＮＭＰ等のプロトコルを用いて取得する方法や、中継装置５のミラーポートに接続し、ネットワーク上を流れるパケットを取得する方法等が適用できる。

パケット情報保持部２０２は、パケット取得部２０１により取得された全通信パケットのパケット情報を受信時刻に対応付けて保持するものである。

収集対象選定部２０３は、マネージャ装置１からの設定情報に従って、パケット情報の収集対象の条件を選定するものである。

ここで、マネージャ装置１からの設定情報は、例えば、監視対象を特定する監視条件（例えば、送信元ＩＰアドレス、送信先ＩＰアドレス、ＶＬＡＮタグ番号、通信ポート番号等）及び監視時間範囲を特定する時間条件（例えば、監視開始時刻、監視終了時刻等）を有するパケット情報解析ルール情報や、アラート設定情報（例えば、ポートスキャンやＩＰスイープ等の不正通信の設定情報や、ポートまたはアプリケーション単位での閾値超過に対する設定情報等）等を有するものである。

また、収集対象選定部２０３は、マネージャ装置１からの設定情報に基づいて、時間条件が過去の時間情報であるか否かを判断するものである。そして、時間条件が過去の時間情報であるとき、収集対象選定部２０３は、パケット情報収集部２０８に対し、既存パケット情報記憶部２０７に保持されるパケット情報から、設定情報に含まれている過去の時間条件及び監視条件に従ったパケット情報を収集させるものである。

マネージャ送受信部２０４は、マネージャ装置１との間で、各種情報を授受するものである。また、マネージャ送受信部２０４は、新規トラフィック量記憶部２０６及び指定時間条件トラフィック量記憶部２１０に記憶されているトラフィックフロー統計情報を、所定時間間隔毎にマネージャ装置１に送信するものである。なお、トラフィックフロー統計情報を送信する時間間隔は、任意に設定・変更することができるものであり、マネージャ装置１からの指示に応じて設定・変更するようにしてもよい。

解析部２０５は、収集対象選定部２０３が選定した収集条件に従って、現在通過するパケットの個数やサイズを単位時間毎に集計し、当該収集対象のトラフィックのトラフィック量を計測するものである。これにより、監視対象のトラフィックフロー統計情報をリアルタイムに求めることができる。

新規トラフィック量記憶部２０６は、解析部２０５が求めたトラフィックフロー統計情報を記憶するものである。この新規トラフィック量記憶部２０６に記憶されるトラフィックフロー統計情報は、常時又は周期的に、マネージャ送受信部２０４によりマネージャ装置１に送信される。

パケット情報収集部２０８は、収集対象選定部２０３の指示を受けて、過去の時間条件及び監視条件に従ったパケット情報を、既存パケット情報記憶部２０７から収集するものである。これにより、過去の時間範囲内で通過した、監視条件に該当するパケット情報を抽出することができる。

解析部２０９は、パケット情報収集部２０８により収集されたパケット情報に基づいて、トラフィックフロー統計情報を計測するものである。これにより、過去の時間範囲内で条件に該当するパケットのトラフィックフロー統計情報を計測することができる。

指定時間条件トラフィック量記憶部２１０は、解析部２０９が求めた過去の時間範囲内の監視条件に該当するトラフィックフロー統計情報を記憶するものである。この指定時間条件トラフィック量記憶部２１０に記憶されるトラフィックフロー統計情報も、常時又は周期的に、マネージャ送受信部２０４によりマネージャ装置１に送信される。

上述した新規トラフィック量記憶部２０６は、従来の記憶領域同様に短期でクリアされるものであるのに対し、指定時間条件トラフィック量記憶部２１０は、長期に保存することができる。これにより、過去の時間範囲内で解析したデータのみを長期に亘って保存することができる。そのため、分析に必要なデータのみを記憶することで、記憶領域を節約し、かつ、有用な情報のみを蓄積することができる。

図１に戻り、マネージャ装置１について説明する。マネージャ装置１は、複数の収集プローブ装置２−１〜２−２が収集したトラフィック情報を常時又は周期的に取得し、所定の監視対象毎のトラフィックフロー情報を集計するものである。これにより、多地点に配置された各収集プローブ装置２からのトラフィックフローの統計情報を集約することができ、さらに、これらのトラフィックフローの統計情報を加工することで、広帯域ネットワーク全体のトラフィック解析を得ることができる。

また、マネージャ装置１は、管理者端末７又は検知装置３から、ネットワークトラフィックの監視対象を特定する設定情報を取り込むと、その監視対象の設定情報を管理すると共に、その監視対象の設定情報を全ての収集プローブ装置２（２−１〜２−２）に通知するものである。

なお、ネットワークトラフィックの監視対象の設定情報の初期設定は、基本的には、管理者端末７からの指示によるものとするが、その後の設定は、管理者端末７からの指示だけでなく、検知装置３からの指示によっても、自動的に設定される。

図５は、第１の実施形態のマネージャ装置１が有する主な機能構成を示す機能ブロック図である。図５に示すように、マネージャ装置１は、監視設定受付部１０１、監視対象設定管理部１０２、出力制御部１０３、を有する。

監視設定受付部１０１は、管理者端末７及び又は検知装置３から監視対象の設定情報を受け取り、その監視対象の設定情報を監視対象設定管理部１０２に与えるものである。

ここで、管理者端末７からの監視対象の設定情報としては、管理者の操作を受けて、取り込んだ設定情報が該当する。また、検知装置３からの監視対象の設定情報としては、検知装置３が検知したパケットのパケット情報及び検知時間に関する情報が該当する。

監視対象設定管理部１０２は、監視設定受付部１０１が取得した１又は複数の監視対象の設定情報を管理すると共に、これら監視対象の設定情報を全ての収集プローブ装置２（２−１〜２−２）に通知するものである。

図６は、監視対象の設定情報の構成例を説明する説明図である。図６において、監視対象の設定情報としては、上述したように、例えば送信元ＩＰアドレス、送信先ＩＰアドレス、ＶＬＡＮ番号、プロトコルＩＤ、通信ポート番号等の監視条件と、監視時間を示す時間条件とを、少なくとも有する情報である。

図６において、時間条件は、「条件Ｎｏ.１」のように、監視時間範囲が指定されていないものや、「条件Ｎｏ.２」〜「条件Ｎｏ．４」のように監視時間範囲が指定されているものとすることができる。「条件Ｎｏ．２」は、２００７／２／０１から２００７／３／１の範囲を監視する条件である。「条件Ｎｏ．３」は、２００７／２／１から２００７／３０１の範囲で、「192.168.1.0」のネットワークから「192.168.2.0」のネットワークの通信のみを抽出する条件である。「条件Ｎｏ．４」は、２００７／２／１から２００７／３／１まで範囲で、「192.168.1.100」のホストから「192.168.2.200」のホストへの通信のみを抽出する条件である。

このような時間条件を設けることで、過去の時間範囲を条件とする場合には、全収集プローブ装置２−１〜２−２に対して、過去の時間範囲の中で監視条件に該当するトラフィック量の解析を遡及的に実行させることができる。

なお、図６では、監視対象設定管理部１０２が２種類の条件を管理する場合を示したが、３種類以上の条件も管理できる。この場合、時間条件が設定されているものが２種類以上であってもよいし、及び又は、時間条件が設定されていないものが２種類以上であってもよい。

出力制御部１０３は、各収集プローブ装置２−１〜２−２が解析したトラフィックフロー統計情報を全収集プローブ装置２−１〜２−２から取得し、各トラフィックフロー統計情報に基づいて所定の加工処理（例えば、集計処理等）を施し、その処理結果を管理者端末７に出力するものである。

図１に戻り、管理者端末７は、第１の実施形態のネットワーク監視システム６の管理者が操作する端末であり、例えばパーソナルコンピュータ等の情報処理装置が該当する。管理者端末７は、管理者の操作を受けて、監視対象の設定情報を取り込み、その監視対象の設定情報をマネージャ装置１に与えたり、又、管理者の操作を受けて、マネージャ装置１と連携して、所定の加工処理されたトラフィックフロー統計結果を表示するものである。

検知装置３は、所定の通信無効条件やインシデント事象に一致する通信内容のパケットを検知するセキュリティシステムであり、例えば、ファイアウォールやＩＤＳ／ＩＰＳ等に代表されるセキュリティシステムが該当する。検知装置３は、所定検知条件に一致するパケットを検知すると、そのパケット情報（例えば、送信元ＩＰアドレス、送信先ＩＰアドレス、ＶＬＡＮ番号、ポート番号、プロトコルＩＤ等）及び検知時刻情報を、マネージャ装置１に与えるものである。なお、図１では、説明便宜上、１個の検知装置３を示した場合を示すが、複数個の検知装置３を備えるものとしてもよい。

中継装置５（５−１〜５−２）は、例えば、スイッチングハブやルータ等の装置が該当し、通過するパケットを全て対応する収集プローブ装置２−１〜２−２に与えるものである。

（Ａ−２）第１の実施形態の動作
次に、第１の実施形態のネットワーク監視システム６において、過去の時間条件及び監視条件に従ったトラフィックを自動的に監視する処理動作を図面を参照しながら説明する。

図１において、ネットワーク監視システム６の管理者が、管理者端末７を用いて、監視対象の設定情報を入力すると、管理者端末７は、入力された監視対象の設定情報をマネージャ装置１に与える（ステップＳ１）。

なお、ステップＳ１での監視対象の設定情報は、従来と同様の事前に設定される設定情報に相当する。すなわち、監視対象の設定情報としては、例えば、送信元ＩＰアドレス、送信先ＩＰアドレス、ＶＬＡＮ番号、通信ポート番号等の監視条件と、時間条件（ここでは、過去の時間範囲としない条件）とを有するものである。

マネージャ装置１では、監視設定受付部１０１が、監視対象の設定情報を管理者端末１から受け取ると、その受け取った監視対象の設定情報を監視対象設定管理部１０２に与える。監視対象の設定情報が監視対象設定管理部１０２に与えられると、監視対象の設定情報は、監視対象設定管理部１０２により管理されると共に、監視対象設定管理部１０２により全ての収集プローブ装置２−１〜２−２に通知される（ステップＳ２）。

監視対象設定管理部１０２から監視対象の設定情報が各収集プローブ装置２−１〜２−２に与えられると、各収集プローブ装置２−１〜２−２では、監視対象の設定情報の時間条件の内容に応じて、以下の動作を行なう。

図７は、各収集プローブ装置２−１〜２−２におけるトラフィック量の計測動作を示すフローチャートである。

図７において、マネージャ送受信部２０４が監視対象の設定情報を取得すると（ステップＳ１０１）、収集対象選定部２０３は、監視対象の設定情報に従って、パケットの収集条件を設定し、監視対象の設定情報に含まれている時間条件に基づいて、過去の監視時間範囲のものであるか否かを判断する（ステップＳ１０２）。

そして、当該時間条件が過去の監視時間範囲のものである場合、処理はステップＳ１０６に移行し、そうでない場合、処理はステップＳ１０３に移行する。

ここでは、当該監視対象の設定情報は、過去の監視時間範囲とない場合を想定しているので、ステップＳ１０３に移行する。

このとき、収集プローブ装置２−１〜２−２は、中継装置５−１〜５−２を通過する全てのパケットを取得し、全てのパケット情報を保持している（図１のステップＳ３）。

ステップＳ１０３では、解析部２０５が、収集対象選定部２０３の指示の下、監視対象の設定情報に従ったトラフィックのトラフィック量を計測し（ステップＳ１０３）、その計測したトラフィック量を新規トラフィック量記憶部２０６に記憶する（ステップＳ１０４）。

そして、新規トラフィック量記憶部２０６に記憶されているトラフィック量が、一定時間間隔で、マネージャ装置１に送信される（ステップＳ１０５、図１のステップＳ４）。

以上は、ネットワーク監視システム６の基本的なネットワーク監視処理の流れである。これにより、マネージャ装置１は、全ての収集プローブ装置２−１〜２−２から収集したトラフィックフロー統計情報を基にして、所定の加工処理を施して集約した集計結果を得て、その集計結果を管理者端末７に出力させることができる。

その後、何らかのネットワーク障害やウィルス発生等が発生し、これら事象についての原因追求を行なうものとする。

このとき、上記事象の特定情報が、監視対象の設定情報として、管理者端末７又は検知装置３からマネージャ装置１に与えられる（ステップＳ５）。この監視対象の設定情報は、過去の監視時間範囲が指定された時間条件を有するものとする。

マネージャ装置１では、監視設定受付部１０１が、監視対象の設定情報を管理者端末７から受け取ると、その受け取った監視対象の設定情報を監視対象設定管理部１０２に与える。そして、監視対象設定管理部１０２が、全ての収集プローブ装置２−１〜２−２に監視対象の設定情報を通知する（ステップＳ６）。

収集プローブ装置２−１〜２−２では、マネージャ送受信部２０４が、マネージャ装置１からの監視対象の設定情報を受け取ると、上記同様に、図７に示す動作フローを行なう。

図７において、マネージャ送受信部２０４が監視対象の設定情報を取得すると（ステップＳ１０１）、収集対象選定部２０３は、監視対象の設定情報の時間条件及び監視条件に従ってパケットの収集条件を設定し、監視対象の設定情報の時間条件に基づいて、過去の監視時間範囲のものであるか否かを判断する（ステップＳ１０２）。

ここでは、時間条件が過去の監視時間範囲を指定するものであるから、処理はステップＳ１０６に移行する。

すなわち、時間条件が過去の監視対象範囲を指定するものであると判断されると、パケット情報収集部２０８が起動し（ステップＳ１０６）、パケット情報収集部２０８が、既存パケット情報記憶部２０７に保持されているパケット情報から、時間条件で指定された過去の監視時間範囲内で監視条件に該当するパケット情報を収集する（ステップＳ１０７）。

そして、解析部２０９は、パケット情報収集部２０８が収集したパケット情報に基づいて、監視条件に従ったパケットのトラフィック量を計測する（ステップＳ１０８）。

このとき、パケット情報収集部２０８及び解析部２０９の処理は、解析部２０５が現在行なっているトラフィック量の計測処理とは別個に行なわれる処理であり、並列処理が可能である。これにより、現在の監視条件に従ったトラフィックフロー統計情報の計測をリアルタイムに行なうと共に、過去の時間範囲内での監視条件に従ったトラフィックフロー統計情報を計測することができる。

解析部２０９により計測されたトラフィック量は、指定時間条件トラフィック量記憶部２１０に記憶され（ステップＳ１０９）、一定時間間隔で、マネージャ装置１に送信される（ステップＳ１１０、図１のステップＳ７）。

以上のように、監視対象の設定情報の時間条件が過去の監視時間範囲を指定するものである場合に、過去の監視時間範囲内で監視条件に該当するトラフィックフロー統計情報を解析することができる。これにより、例えば、過去１時間前に、Ａ国を発信源としたＢ国への攻撃が発生した場合、１時間前に遡り、再度、Ａ国を発信源とする特定範囲のトラフィックの解析することができる。

（Ａ−３）第１の実施形態の効果
以上のように、第１の実施形態によれば、ネットワーク監視中に、複数の監視条件を追加することができるため、監視状態を初期化することなく、監視時間及び監視範囲を変化させることができる。

その結果、多拠点・広域網のネットワーク監視において、時間条件、監視条件に影響を受けないシステム的な監視を実現することができる。

（Ｂ）他の実施形態
（Ｂ−１）第１の実施形態では、１つのネットワークで１台のマネージャ装置を備える場合を示したが、複数台のマネージャ装置を備えるようにしてもよい。この場合、複数台のマネージャ装置をさらに統括する統括管理装置を備えるようにしてもよい。

また、１台の観測プローブ装置が、複数の中継装置を通過するトラフィックフローを観測するようにしてもよい。この場合、観測プローブ装置が、どのルータを通過したトラフィックフローの統計情報であるかを識別する必要がある。

（Ｂ−２）第１の実施形態で説明した収集プローブ装置が有する各機能部は、物理的に同一の収集プローブ装置に搭載されていなくてもよい。つまり、各機能部間で連携処理を図ることができ、第１の実施形態で説明した機能を実現することができれば、各機能部は別々に分散配置されてもよい。同様に、第１の実施形態のマネージャ装置が有する各機能部も、別々に分散配置されてもよい。

また、マネージャ装置が、収集プローブ装置の機能部の一部又は全部を有するようにしてもよいし、収集プローブ装置が、マネージャ装置の機能部の一部又は全部を有するようにしてもよい。

さらに、中継装置が、収集プローブ装置の有する機能部の一部又は全部を搭載するようにしてもよいし、マネージャ装置の有する機能部の一部又は全部を搭載するようにしてもよい。また、中継装置が、収集プローブ装置の機能部の一部又は全部と、マネージャ装置の機能部の一部又は全部を搭載するようにしてもよい。

（Ｂ−３）第１の実施形態では、検知装置が、過去の監視時間範囲を指定した時間条件の設定情報を設定する場合を説明した。しかし、リアルタイムに当該事象のトラフィックを監視させる場合には、過去の監視時間範囲を指定していない、設定情報を設定するようにしてもよい。

また、第１の実施形態において、時間条件は、監視開始時刻と監視終了時刻とが設定されたものとしたが、監視開始時刻だけ指定されているものであってもよい。これにより、過去に生じた事象について、過去から現在までのトラフィック量を解析することができる。

（Ｂ−４）第１の実施形態では、マネージャ装置１は、全ての収集プローブ装置２の監視対象の設定情報を共通に管理する場合を示した。しかし、マネージャ装置１が、監視対象の設定情報を、１又は複数の収集プローブ装置２毎に管理するようにしてもよい。

（Ｂ−５）第１の実施形態で説明した収集プローブ装置及びマネージャ装置は、ハードウェア資源（例えばＣＰＵ等）がプログラムを実行して実現するソフトウェア処理で実現できる。つまり、収集プローブ装置及びマネージャ装置の各種機能はプログラムとして格納されるものである。なお、収集プローブ装置及びマネージャ装置の処理をハードウェアで実現するようにしてもよい。

第１の実施形態のネットワーク監視システムの全体構成と共に、過去の監視時間範囲内のトラフィックを監視する動作を示す図である。 従来のネットワーク監視システムを説明する説明図である（その１）。 従来のネットワーク監視システムを説明する説明図である（その２）。 第１の実施形態の収集プローブ装置の内部構成を示す機能ブロック図である。 第１の実施形態のマネージャ装置の内部構成を示す機能ブロック図である。 第１の実施形態の監視対象の設定情報の内容例を説明する説明図である。 第１の実施形態の収集プローブ装置の処理を示す動作フローチャートである。

符号の説明

１…マネージャ装置、２−１〜２−２…収集プローブ装置、３…検知装置、５−１〜５−２…中継装置、１０１、３０１…監視設定受付部、１０２…監視対象設定管理部、１０３…出力制御部、２０１…パケット取得部、２０２…パケット保持部、２０３…収集対象選定部、２０４…マネージャ送受信部、２０５、２０９…解析部、２０６…新規トラフィック量記憶部、２０７…既存パケット情報記憶部、２０８…パケット情報収集部、２１０…指定時間条件トラフィック量記憶部。

Claims (5)

1. １又は複数の監視回線上を流れる全通信パケットのパケット情報を、それぞれの受信時刻情報と対応付けて保持するパケット情報保持部を有し、所定の収集条件のトラフィックフロー情報を求める複数の収集手段と、
   上記各収集手段からの上記トラフィックフロー情報に基づいて集計した所定の監視対象の集計情報を管理する管理手段と、
   上記管理手段における上記監視対象を特定する監視条件を管理するものであって、外部の監視対象通知手段から受け取った、少なくとも監視時間条件を有する監視対象特定情報に基づいて新たな監視設定条件を設定し、その監視設定条件を新たな上記収集条件として上記各収集手段に設定させる監視対象設定管理手段と
   を備え、
   上記各収集手段は、上記監視対象設定管理手段から受け取った上記新たな収集条件の上記監視時間条件が過去の時間範囲を指定する場合、上記パケット情報保持部を参照して、上記新たな収集条件のトラフィックフロー情報を求めることを特徴とするネットワーク監視システム。
2. 上記各収集手段は、
   上記監視対象設定管理手段からの上記新たな収集条件の上記監視時間条件が過去の監視時間範囲を指定するものであるか否かを判定する時間条件判定部と、
   上記監視時間条件が過去の監視時間範囲を指定するものである場合、既設の上記収集条件に基づく上記トラフィックフロー情報の計測とは別に、上記新たな収集条件に基づく上記トラフィックフロー情報の計測を行なうトラフィックフロー情報計測部と
   を有することを特徴とするネットワーク監視システム。
3. １又は複数の監視回線上を流れる全通信パケットのパケット情報を、それぞれの受信時刻情報と対応付けて保持するパケット情報保持部を有し、所定の収集条件のトラフィックフロー情報を求める複数の収集手段と、
   上記各収集手段からの上記トラフィックフロー情報に基づいて集計した所定の監視対象の集計情報を管理する管理手段と、
   上記管理手段における上記監視対象を特定する監視条件を管理するものであって、外部の監視対象通知手段から受け取った、少なくとも監視時間条件を有する監視対象特定情報に基づいて新たな監視設定条件を設定し、その監視設定条件を新たな上記収集条件として上記各収集手段に設定させる監視対象設定管理手段と
   を備えるネットワーク監視システムを構成する上記各収集装置であって、
   上記各収集手段が、上記監視対象設定管理手段から受け取った上記新たな収集条件の上記監視時間条件が過去の時間範囲を指定する場合、上記パケット情報保持部を参照して、上記新たな収集条件のトラフィックフロー情報を求めることを特徴とする収集装置。
4. 複数の収集手段、管理手段及び監視対象設定管理手段を備え、
   上記各収集手段が、１又は複数の監視回線上を流れる全通信パケットのパケット情報を、それぞれの受信時刻情報と対応付けてパケット情報保持部に保持し、所定の収集条件のトラフィックフロー情報を求める収集工程と、
   上記管理手段が、上記各収集手段からの上記トラフィックフロー情報に基づいて集計した所定の監視対象の集計情報を管理する管理工程と、
   上記管理手段における上記監視対象を特定する監視条件を管理する上記監視対象設定管理手段が、外部の監視対象通知手段から受け取った、少なくとも監視時間条件を有する監視対象特定情報に基づいて新たな監視設定条件を設定し、その監視設定条件を新たな上記収集条件として上記各収集手段に設定させる監視対象設定管理工程と
   を備え、
   上記各収集手段は、上記監視対象設定管理手段から受け取った上記新たな収集条件の上記監視時間条件が過去の時間範囲を指定する場合、上記パケット情報保持部を参照して、上記新たな収集条件のトラフィックフロー情報を求めることを特徴とするネットワーク監視方法。
5. コンピュータに、
   １又は複数の監視回線上を流れる全通信パケットのパケット情報を、それぞれの受信時刻情報と対応付けてパケット情報保持部に保持し、所定の収集条件のトラフィックフロー情報を求める複数の収集手段、
   上記各収集手段からの上記トラフィックフロー情報に基づいて集計した所定の監視対象の集計情報を管理する管理手段、
   上記管理手段における上記監視対象を特定する監視条件を管理するものであって、外部の監視対象通知手段から受け取った、少なくとも監視時間条件を有する監視対象特定情報に基づいて新たな監視設定条件を設定し、その監視設定条件を新たな上記収集条件として上記各収集手段に設定させる監視対象設定管理手段
   として機能させ、さらに、
   上記各収集手段として、上記監視対象設定管理手段から受け取った上記新たな収集条件の上記監視時間条件が過去の時間範囲を指定する場合、上記パケット情報保持部を参照して、上記新たな収集条件のトラフィックフロー情報を求めさせるネットワーク監視プログラム。

Images