JP2009049490A - ネットワーク監視装置、ネットワーク監視システム - Google Patents

Abstract

【課題】家庭内網や小規模オフィス網のような小さなネットワークにおいて、トラフィックデータの統計的な解析に基づきネットワークの異常を検知することのできるネットワーク監視装置を得る。
【解決手段】ネットワークのトラフィックに基づき当該ネットワークの異常を検知するネットワーク監視装置であって、ネットワークのトラフィックデータを収集するデータ収集部１１０と、当該ネットワークの異常を検知する検知部１６０と、を備え、検知部１６０は、トラフィックデータを一定期間分集計した期間集計データが当該ネットワークにおける期間集計データと類似する他のネットワークにおいて収集されたトラフィックデータと、当該ネットワークにおいてデータ収集部１１０が収集したトラフィックデータと、に基づき当該ネットワークの異常を検知する。
【選択図】図１

Description

本発明は、ネットワークのトラフィックに基づき当該ネットワークの異常を検知するネットワーク監視装置、およびそのネットワーク監視装置を有するネットワーク監視システムに関するものである。

従来、ネットワークの異常検知に関し、トラフィックなどの時系列データが平常状態から急激に変化する際などの変化点を検出することで、そのネットワークの異常を検知する手法が提案されている（非特許文献１）。

また、トラフィック傾向が類似するか否かの判定に関し、利用アプリケーションの構成による、ＴＣＰフラグ（ＳＹＮ、ＳＹＮ−ＡＣＫなど）の構成比率や帯域幅の違いに着目し、このような特徴量の一致度に基づき、トラフィック傾向の類似度を判定する手法が提案されている（非特許文献２）。

"変化点検出エンジンを利用したインシデント検知システムの構築"、２００６年 暗号と情報セキュリティシンポジウム（ＳＣＩＳ２００６）、２Ｅ２−２ "アプリケーション特性によるトラフィック分類を用いたトラフィック異常検知システム"、電子情報通信学会 信学技報、ＮＳ２００６−２３４、２００７年３月

上記非特許文献１に記載の手法は、統計や学習に基づく検知手法の１つと見ることができる。このような手法は、事業者網やイントラネット等のある程度大きなネットワークでは、多くのネットワーク機器の挙動を統計的に扱うことが可能となり、有効に機能する。

しかし、家庭内網や小規模オフィス網のような小さなネットワークでは、接続されているネットワーク機器、即ちトラフィックの発生源が少なく、また網外部から流入するトラフィックも限定的である。このため、統計的に安定した処理が行えるほどのトラフィックデータが得られない。
また、統計的に有意な量のトラフィックデータが蓄積されるまでには、長時間を要するため、異常の検知までに時間がかかり過ぎる。

そのため、家庭内網や小規模オフィス網のような小さなネットワークにおいて、トラフィックデータの統計的な解析に基づきネットワークの異常を検知することのできるネットワーク監視装置が望まれていた。

本発明に係るネットワーク監視装置は、ネットワークのトラフィックに基づき当該ネットワークの異常を検知するネットワーク監視装置であって、ネットワークのトラフィックデータを収集するデータ収集部と、当該ネットワークの異常を検知する検知部と、を備え、前記検知部は、トラフィックデータを一定期間分集計した期間集計データが当該ネットワークにおける期間集計データと類似する他のネットワークにおいて収集されたトラフィックデータと、当該ネットワークにおいて前記データ収集部が収集したトラフィックデータと、に基づき当該ネットワークの異常を検知するものである。

本発明に係るネットワーク監視装置によれば、他のネットワークにおいて収集されたトラフィックデータを用いて異常を検知するので、検知対象のネットワークの規模が小さい場合でも、大きなネットワークにおける異常検知と同様の手法を用いることができる。

実施の形態１．
図１は、本発明の実施の形態１に係る自網プローブ装置１００の機能ブロック図を示すものである。なお、本実施の形態１における「ネットワーク監視装置」は、自網プローブ装置１００がこれに相当するものである。

自網プローブ装置１００は、家庭網や小規模オフィス網のような小規模網（以下、自網と呼ぶ）に設置され、自網のトラフィック状況から自網の異常を検知するものである。
他網プローブ装置２００は、自網プローブ装置１００と同様の構成を備え、インターネット３００を介して自網プローブ装置１００と接続されている。

自網プローブ装置１００は、自網データ収集部１１０、期間データ集計部１２１、期間データ記憶部１２２、自網データ送信部１３０、他網データ受信部１４０、データ融合部１５０、検知部１６０、比較部１６１、期間データ送信部１７０、他端末探索部１８１、期間データ受信部１８２、類似度算出部１８３、類似端末記憶部１８４、類似端末情報交換部１８５、出力部１９０を備える。

まず、自網内のトラフィックデータの収集とその集計等に係る構成について説明する。

自網データ収集部１１０は、自網内のトラフィックデータあるいはその統計量・特徴量を収集する。自網データ収集部１１０が、自網の入口等、自網のトラフィックの多くが通る場所からトラフィックデータを収集できるよう、自網プローブ装置１００の設置場所を工夫することが望ましい。
なお、トラフィックデータの正確を期すため、自網データ送信部１３０、期間データ送信部１７０、他端末探索部１８１、期間データ受信部１８２、類似端末情報交換部１８５が、他網プローブ装置２００との間で送受信するデータは、収集の対象から除外する。

期間データ集計部１２１は、自網データ収集部１１０が収集したトラフィックデータに、一定期間にわたって平均をとるなどの統計処理を施し、処理後のデータを期間データ記憶部１２２に格納する。格納したデータを、期間集計データと呼ぶ。
統計処理の取り方は、例えば以下のようにする。

（１）各日の同じ時刻のトラフィックデータを重ね合わせ、時間帯毎に平均化する。これにより、１日２４時間のトラフィックの経時的な変動を平均化した期間集計データが生成される。
（２）さらに、曜日、または平日・休日によりトラフィックデータを区別し、それぞれ異なる期間集計データとして格納する。これにより、きめ細かなトラフィック分析を行うことができる。

なお、期間データ集計部１２１は、期間データ記憶部１２２に格納される期間集計データが、妥当な期間の集計となるよう、随時期間集計データの更新を行う。
ここでいう妥当な期間は、例えば以下のように定めたものである。
（１）その期間で平均することで日々の変動が平滑されるに十分である、と経験的に判断される期間。
（２）任意の時間帯のトラフィック量の総計があらかじめ定められた一定量以上になる、すなわち統計的に意味があると経験的に判断されるトラフィック量が蓄積されるまでの期間。

次に、期間集計データの傾向が類似する他網プローブ装置２００を探索する構成について説明する。

他端末探索部１８１は、自網以外のネットワーク（以下、他網と呼ぶ）に設置されたネットワーク監視装置、即ち図１の他網プローブ装置２００を探索する。
探索範囲は、既知の他網プローブ装置２００をあらかじめ記憶しておくことで設定する。もしくは、後述の類似端末情報交換部１８５により、他網プローブ装置２００が知っている他のネットワーク監視装置の情報を取得し、探索範囲をさらに広げてもよい。

期間データ受信部１８２は、他網プローブ２００に期間集計データを要求し、送信されてきた期間集計データを受信する。要求する対象となる他網プローブ２００は、他端末探索部１８１が探索した他網プローブ装置２００である。

類似度算出部１８３は、期間データ受信部１８２が受信した他網プローブ装置２００の期間集計データと、期間データ記憶部１２２に格納されている期間集計データとの類似度を算出する。
類似度が所定の基準値以上である場合は、その期間集計データを送信した他網プローブ装置２００を類似端末と判定し、その他網プローブ装置２００のアドレス等の識別子を類似端末記憶部１８４に格納する。

ここで、類似度の算出には、例えば上記非特許文献２に記載のような技術を用いることができる。その他、公知の一般的な類似度算出手法を用いてもよい。

類似端末情報交換部１８５は、類似端末記憶部１８４に格納されている他網プローブ装置２００と互いに、類似端末記憶部１８４に格納されているデータを交換する。
他端末探索部１８１は、類似端末情報交換部１８５が他網プローブ装置２００より取得した上記データに基づき、探索範囲をさらに広げることができる。即ち、類似端末が重なる範囲を広げていくことで、「類似端末が知っている別の類似端末」といったように、期間集計データが類似する他網プローブ装置２００の範囲を広げていくことができるのである。

次に、他端末探索部１８１が探索した他網プローブ装置２００が、そのネットワーク内で収集したトラフィックデータを取得する構成について説明する。

他網データ受信部１４０は、類似端末記憶部１８４に格納されている他網プローブ装置２００のデータに基づき、その他網プローブ装置２００がネットワーク内で収集したトラフィックデータの送信を要求する。
受信したトラフィックデータは、データ融合部１５０に出力する。

次に、他網プローブ装置２００から取得したトラフィックデータに基づき、自網の異常検知を行う構成について説明する。

データ融合部１５０は、自網データ収集部１１０が収集したトラフィックデータと、他網データ受信部１４０が受信した他網プローブ装置２００のトラフィックデータとを融合し、解析するための融合データを作成する。
融合データの作成は、例えば以下のようにすることができる。なお、融合データのイメージについて、後述の図６〜図８で補足説明する。

（１）自網トラフィックデータと他網トラフィックデータを単に加算して作成する。
（２）自網トラフィックデータと他網トラフィックデータの間に重み付けをして加算することで作成する。
（３）他網トラフィックデータについては、類似度により重み付けをして加算する。

検知部１６０は、データ融合部１５０が作成した融合データに基づき、例えば上記特許文献１に記載のようなトラフィック傾向の変化の検知などの手法により、自網の異常検知を行う。

比較部１６１は、期間データ記憶部１２２に格納された期間集計データと、データ融合部１５０が作成した融合データとを比較する。その結果、両者の間に乖離があった場合は、自網に慢性的異常が存在するか、もしくは他のネットワークも含めた突発的な広域異常が発生しているものと判定する。
乖離の判定は、あらかじめ定められたパラメータと比較するか、もしくは普段の乖離の平均値を測定しておき、その平均値から一定割合以上の乖離が生じた場合に異常と判定する、などの手法を用いることができる。

出力部１９０は、検知部１６０および比較部１６１の判定結果を出力する。出力手段は画面表示のような視覚的なものでもよいし、判定結果のデータを出力する、あるいは警報音のような報知手段によるものでもよい。

期間データ送信部１７０は、他網プローブ装置２００から要求された場合に、期間データ記憶部１２２に格納されている期間集計データを送信する。
自網データ送信部１３０は、他網プローブ装置２００から要求された場合に、自網データ収集部１１０が収集した自網のトラフィックデータを送信する。

次に、以上説明した構成の動作手順について、以下の図２〜図５を用いて説明する。

図２は、自網のトラフィックデータを集計するまでの動作手順を説明するものである。以下、各ステップについて簡単に説明する。

（１）トラフィックデータの収集
自網データ収集部１１０は、自網のトラフィックデータを収集する。
（２）トラフィックデータの集計
期間データ集計部１２１は、自網データ収集部１１０が収集した自網のトラフィックデータを集計して期間集計データを作成する。
（３）期間集計データの蓄積
期間データ集計部１２１は、期間集計データを期間データ記憶部１２２に格納する。

図３は、期間集計データの傾向が類似する他網プローブ装置２００を探索する動作手順を説明するものである。以下、各ステップについて簡単に説明する。

（４）他端末の探索指示
他端末探索部１８１は、他網に設置されている他網プローブ装置２００のアドレス等を期間データ受信部１８２に出力し、他網プローブ装置２００の期間集計データを受信するよう指示する。これにより、他網プローブ装置２００の探索が開始される。
（５）期間集計データの受信
期間データ受信部１８２は、指定されたアドレス等に基づき、他網プローブ装置２００から期間集計データを受信する。
（６）類似度算出
類似度算出部１８３は、期間データ受信部１８２が受信した期間集計データと、期間データ記憶部１２２に蓄積されているデータとの類似度を算出する。
（７）類似端末の蓄積
類似度算出部１８３は、類似度が所定の基準値以上である場合は、その他網プローブ装置２００のアドレス等を類似端末記憶部１８４に格納する。
（８）類似端末情報の交換
以上のステップに加えて、類似端末記憶部１８４に蓄積されている情報を他網プローブ装置２００と交換することにより、探索範囲をさらに広げてもよい。

図４は、自網トラフィックデータと他網トラフィックデータを融合して異常判定を行うまでの動作手順を説明するものである。以下、各ステップについて説明する。

（９）他網トラフィックの受信
他網データ受信部１４０は、類似端末記憶部１８４に蓄積されているアドレス等に基づき、期間集計データが類似する他網プローブ装置２００より、トラフィックデータを受信する。該当する他網プローブ装置２００が複数ある場合は、全ての他網プローブ装置２００から受信する。
（１０）トラフィックデータの融合
データ融合部１５０は、自網データ収集部１１０が収集した自網トラフィックデータと、他網データ受信部１４０が受信した他網プローブ装置２００のトラフィックデータとを融合した融合データを作成する。
（１１）異常判定
検知部１６０は、データ融合部１５０が作成した融合データと、自網データ収集部１１０が収集した自網トラフィックデータとに基づき、自網の異常判定を行う。判定結果は出力部１９０より出力される。

図５は、自網トラフィックデータと他網トラフィックデータを融合し、自網の期間集計データと比較することで異常判定を行うまでの動作手順を説明するものである。以下、各ステップについて説明する。

（１２）他網トラフィックの受信〜（１３）トラフィックデータの融合
図４のステップ（９）〜（１０）と同様であるため、説明を省略する。ステップ（９）〜（１０）で受信ないし作成したデータを流用してもよい。
（１４）比較部１６１は、期間データ記憶部１２２に格納された期間集計データと、データ融合部１５０が作成した融合データとを比較することにより、異常判定を行う。

次に、トラフィックデータの具体例について、他網トラフィックデータや期間集計データとの比較の観点から、実際のデータ例を交えて説明する。また、上記図２〜図５で説明した動作について、トラフィックデータの具体例を交えて補足する。

図６は、自網のトラフィックデータの時間変化例を示すものである。ここではトラフィックの特徴量として、トラフィック量そのものをグラフ表示したが、その他の複数の特徴量を組み合わせてもよい。

図６（ａ）は、自網データ収集部１１０が収集したトラフィックデータを示すものである。ここでは１日のトラフィック量の変化をグラフ表示した。

図６（ｂ）は、図６（ａ）のトラフィックデータを期間集計して平均したものである。
期間データ集計部１２１は、自網データ収集部１１０が収集したトラフィックデータを、例えば１ヶ月間毎日、同じ時刻に収集されたものを加算して日数で平均化する。この平均化されたトラフィックデータを、期間集計データとして期間データ記憶部１２２に格納する。例えば、１２時３０分の期間集計データは、過去１か月分の１２時３０分に得られたトラフィックデータを平均化したものとなる。

図６（ｂ）のように、ある一定期間の平均値をとることにより、日々の自網の利用の仕方が違うことによるトラフィックデータのバラツキが平滑化され、１日の間の平均的な利用サイクルを示す期間集計データが得られる。

図７は、他網プローブ装置２００が他網内で収集したトラフィックデータを示すものである。ここでは図６と同様に、１日のトラフィック量の変化をグラフ表示した。図７（ａ）が１日のトラフィックデータ、図７（ｂ）がその期間集計データである。

他網に設置されたそれぞれの他網プローブ装置２００も、自網プローブ装置１００と同様に期間集計データの作成を行っている。期間集計データが類似している他網プローブ装置２００が設置されているネットワークのトラフィック傾向は、自網と類似しているものと思われる。
そこで、トラフィック傾向が類似する他網プローブ装置２００のトラフィックデータを取得して、自網の異常判定に用いることを考える。

そこで、自網プローブ装置１００は、他網プローブ装置２００の期間集計データを期間データ受信部１８２で受信した後、類似度算出部１８３で自網の期間集計データとの類似度を算出し、期間集計データが類似している他網プローブ装置２００を特定する。
このように、ある一定期間の集計トラフィックを比較することにより、短期的なトラフィック傾向が異なる場合でも、ネットワークのトラフィック傾向が類似する他網プローブ装置２００を安定的に探索することができる。特に、個々の網が小さく、短期的なトラフィックが大きく変動する場合に、効果が大きい。

以上説明したような手法で期間集計データの類似する他網プローブ装置２００を特定した後、その他網プローブ装置２００の（短期的な）トラフィックデータを、他網データ受信部１４０で取得する。このとき取得するデータは、自網データ収集部１１０で収集する、集計前のトラフィックデータに相当する。
ここでは、図７（ａ）のようなトラフィックデータを取得したものとする。

図６（ａ）に示す自網トラフィックデータ、図７（ａ）に示す他網トラフィックデータは、特に個々の網が小規模な場合、個々の網内のネットワークの利用状況によって大きく変化する。
しかし、各網のトラフィックデータを足し合わせることにより、個々の変動が平均化され、期間集計データのような平滑化されたデータが得られる。そこで、データ融合部１５０は、他網プローブ装置２００より受信した他網のトラフィックデータと、自網データ収集部１１０が収集した自網のトラフィックデータとを融合し、融合データを作成する。

図８は、データ融合部１５０が作成した融合データの例である。図６（ｂ）や図７（ｂ）で示した期間集計データと同様に、個々の変動が平滑化されているのが分かる。
このように、他網のトラフィックデータを足し合わせることにより個々の変動が平滑化されるのは、複数の網のトラフィックデータを足し合わせることにより、大規模網でトラフィックデータを収集したのと実質的に同様のデータが得られるからである。

図８のような融合データが得られた後は、図４で説明したように、検知部１６０で融合データに対して変化点の検出等を行うなど、従来の異常検知手法により融合データの異常を検知することにより、自網を含めた類似網に発生した短期的な異常を検知することができる。

また、図５で説明したように、比較部１６１は、図６（ｂ）に示す自網の期間集計データと、図８に示す融合データとを比較し、両者の乖離を判定することにより、以下の異常判定を行うことができる。

（１）融合データが示す短期的なトラフィックデータは、他網を含めた短期的なトラフィックの傾向を示している。したがって、この融合データと、自網の期間集計データとの間に乖離がある場合は、自網に期間慢性的な異常が発生している可能性がある。
（２）一方、自網の期間集計データが示すトラフィックの方が正常である場合は、他網も含めた広域に渡り、短期的な異常トラフィックが発生している可能性がある。

なお、本実施の形態１における「類似端末探索部」は、他端末探索部１８１、期間データ受信部１８２、類似度算出部１８３、類似端末情報交換部１８５がこれに相当する。

自網データ収集部１１０、自網データ送信部１３０、他網データ受信部１４０、期間データ送信部１７０、期間データ受信部１８２、および類似端末情報交換部１８５は、データの送受信に必要なインターフェースを適宜備えるか、もしくは自網プローブ装置１００が備える図示しないインターフェースを利用してデータの送受信を行う。

期間データ集計部１２１、データ融合部１５０、検知部１６０、比較部１６１、他端末探索部１８１、および類似度算出部１８３は、これらの機能を実現する回路デバイス等のハードウェアを用いて構成することもできるし、ＣＰＵやマイコンなどの演算装置上で実行されるソフトウェアとして構成することもできる。

期間データ記憶部１２２、類似端末記憶部１８４は、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）やフラッシュメモリのような、書き込み可能な記憶装置で構成することができる。

出力部１９０は、異常判定結果の出力に必要なインターフェースを適宜備える。

以上のように、本実施の形態１に係る自網プローブ装置１００は、期間集計データが自網と類似する他網プローブ装置２００を特定し、その他網プローブ装置２００からトラフィックデータを取得し、自網のトラフィックデータと融合して融合データを作成する。そして、この融合データに基づき自網の異常判定を行う。
そのため、小規模網の特徴であるトラフィックの短期的な変動を平滑化し、大規模網と同様の異常判定手法を用いて、自網の異常判定を行うことができる。

特に、コンピュータウイルスが家庭網や小規模オフィス内で蔓延した際に、ウイルス検知ソフトでは既知のパターンしか検知できないため新種のウイルスの出現に対処できないが、これに代えて、ネットワーク機器が異常なトラフィックを発生し始めた変化点を、大規模網と同様の手法により検知することで、これらを検知することが期待される。

また、比較部１６１が、自網の期間集計データと融合データとを比較することにより、自網に慢性的異常が存在していること、もしくは他のネットワークも含めた広域的異常が発生していることを検知することができる。
即ち、自網における統計的データである期間集計データと、他網も含めた短期的な広域統計データである融合データとを用いることにより、小規模網においても、大規模網と同様の統計的な手法による異常判定を行うことができるのである。

特に、同じような利用状況であると推定される他網のデータを加算して融合データを作成しているため、特定の環境に対してネットワーク攻撃が発生した場合に、これを重畳して強い異常として検出することができるので、異常の見逃しが少なくなるという効果がある。

また、トラフィックデータを取得する対象となる他網プローブ装置２００は、期間集計データが自網と類似しているものであるため、ネットワークの利用状況も自網と類似しているものであると予測される。
したがって、自網のトラフィックデータとの乖離がある場合に、自網に異常が発生しているものと判定する基準として用いるのに適している。これにより、小規模網のように取得できるデータが少ない網においても、異常判定の精度を向上させることができる。

また、類似端末情報交換部１８５は、類似端末記憶部１８４に蓄積されている類似端末情報を交換し、その交換結果に基づき探索範囲を拡大するので、より広範な類似端末からトラフィックデータを得ることができ、平滑化効果の向上が期待できる。
特に、Ｐ２Ｐ（Ｐｅｅｒ ｔｏ Ｐｅｅｒ）ネットワークのようなアドホックネットワークにおいて、類似端末を探索する際に、このような互いの情報を交換する手法が効果的である。

また、期間データ集計部１２１は、自網データ収集部１１０が収集したトラフィックデータを、時間帯毎、曜日毎、平日・休日の区別毎に集計し、それぞれ異なる期間集計データとして、期間データ記憶部１２２に格納するので、分析を詳細に行うことができる。

実施の形態２．
実施の形態１では、他端末探索部１８１が他網プローブ装置２００を探索する際に、既知の他網プローブ装置２００を探索するか、もしくは類似端末情報交換部１８５が類似端末記憶部１８４に蓄積されている情報を交換することにより、探索範囲を広げることとした。
本発明の実施の形態２では、他網プローブ装置２００の情報を、中央のサーバで一括して管理する構成について説明する。

図９は、本実施の形態２に係るネットワーク監視システムの構成図である。なお、記載の都合上、ネットワーク３００は省略している。
図９において、サーバ４００は、自網プローブ装置１００および他網プローブ装置２００の所在を一括して管理する中央サーバである。

本実施の形態２において、自網プローブ装置１００は、図１の他端末探索部１８１、期間データ受信部１８２、類似度算出部１８３、および類似端末情報交換部１８５に代えて、類似端末情報受信部１８７を備える。また、端末情報送信部１８８を備える。

類似端末情報受信部１８７は、サーバ４００に、期間集計データが自網プローブ装置１００と類似している他網プローブ装置２００の所在を問合せ、その結果を類似端末記憶部１８４に格納する。
端末情報送信部１８８は、自網プローブ装置１００のアドレス等の所在情報を、サーバ４００に送信する。
期間データ送信部１７０は、期間データ記憶部１２２に蓄積されている期間集計データを、サーバ４００に送信する。

サーバ４００は、端末登録部４０１、端末記憶部４０２、期間データ収集部４０３、クラスタリング部４０４、類似端末情報送信部４０５を備える。

端末登録部４０１は、自網プローブ装置１００や他網プローブ装置２００が送信した、自己のアドレス等の所在情報を受信し、端末記憶部４０２に格納する。
期間データ収集部４０３は、自網プローブ装置１００や他網プローブ装置２００が送信した、それぞれの期間集計データを受信し、クラスタリング部４０４に出力する。
クラスタリング部４０４は、期間データ収集部４０３が収集した期間集計データを、類似したもの同士で分類する。分類手法は、例えば公知のデータマイニング手法を用いることができる。
類似端末情報送信部４０５は、互いに似ているものとして分類された端末の情報を、各端末に送信する。

類似端末情報受信部１８７、端末情報送信部１８８は、データの送受信に必要なインターフェースを適宜備えるか、もしくは自網プローブ装置１００が備える図示しないインターフェースを利用してデータの送受信を行う。

端末登録部４０１、期間データ収集部４０３は、データの送受信に必要なインターフェースを適宜備えるか、もしくはサーバ４００が備える図示しないインターフェースを利用してデータの送受信を行う。

端末記憶部４０２は、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）やフラッシュメモリのような、書き込み可能な記憶装置で構成することができる。

クラスタリング部４０４は、その機能を実現する回路デバイス等のハードウェアを用いて構成することもできるし、ＣＰＵやマイコンなどの演算装置上で実行されるソフトウェアとして構成することもできる。

以上のように、本実施の形態２によれば、類似度の判定や類似端末情報の管理をサーバ４００で一括して行うことができるので、自網プローブ装置１００の負担が減少する。
また、一括管理により、探索漏れ等の可能性が少なくなり、より多くの端末のトラフィックデータを収集することができるので、平滑化の効果を向上させ、異常判定の精度を向上させることができる。

なお、実施の形態１で説明した他端末探索部１８１、期間データ受信部１８２、類似度算出部１８３、および類似端末情報交換部１８５と、実施の形態２で説明した類似端末情報受信部１８７、端末情報送信部１８８とを、１つの自網プローブ装置１００が兼ね備えていてもよい。

実施の形態３．
本発明は、小規模網において、網内のトラフィックを測定して異常を検知するものである。そのため、網内のトラフィックや、網外に出るトラフィックの多くが通る位置に設置される、モデムや網終端装置、あるいはルータのようなネットワーク機器のファームウェアとして実装すると効果的である。
また、家庭内ネットワーク機器を管理するセットトップボックスや、主要な機器がＰＣであれば各ＰＣのソフトウェアとして実装しても同様の効果が得られる。

実施の形態１に係る自網プローブ装置１００の機能ブロック図を示すものである。 自網のトラフィックデータを集計するまでの動作手順を説明するものである。 期間集計データの傾向が類似する他網プローブ装置２００を探索する動作手順を説明するものである。 自網トラフィックデータと他網トラフィックデータを融合して異常判定を行うまでの動作手順を説明するものである。 自網トラフィックデータと他網トラフィックデータを融合し、自網の期間集計データと比較することで異常判定を行うまでの動作手順を説明するものである。 自網のトラフィックデータの時間変化例を示すものである。 他網プローブ装置２００が他網内で収集したトラフィックデータを示すものである。 データ融合部１５０が作成した融合データの例である。 実施の形態２に係るネットワーク監視システムの構成図である。

符号の説明

１００ 自網プローブ装置、１１０ 自網データ収集部、１２１ 期間データ集計部、１２２ 期間データ記憶部、１３０ 自網データ送信部、１４０ 他網データ受信部、１５０ データ融合部、１６０ 検知部、１６１ 比較部、１７０ 期間データ送信部、１８１ 他端末探索部、１８２ 期間データ受信部、１８３ 類似度算出部、１８４ 類似端末記憶部、１８５ 類似端末情報交換部、１８７ 類似端末情報受信部、１８８ 端末情報送信部、１９０ 出力部、２００ 他網プローブ装置、４００ サーバ、４０１ 端末登録部、４０２ 端末機億部、４０３ 期間データ収集部、４０４ クラスタリング部、４０５ 類似端末情報送信部。

Claims (10)

1. ネットワークのトラフィックに基づき当該ネットワークの異常を検知するネットワーク監視装置であって、
   ネットワークのトラフィックデータを収集するデータ収集部と、
   当該ネットワークの異常を検知する検知部と、
   を備え、
   前記検知部は、
   トラフィックデータを一定期間分集計した期間集計データが当該ネットワークにおける期間集計データと類似する他のネットワークにおいて収集されたトラフィックデータと、
   当該ネットワークにおいて前記データ収集部が収集したトラフィックデータと、
   に基づき当該ネットワークの異常を検知する
   ことを特徴とするネットワーク監視装置。
2. 前記データ収集部が収集したトラフィックデータを一定期間分集計して期間集計データを求める期間データ集計部と、
   前記期間集計データが類似している１ないし複数の他のネットワーク監視装置を探索する類似端末探索部と、
   前記類似端末探索部が探索した１ないし複数の他のネットワーク監視装置が自己の属するネットワークで収集したトラフィックデータを受信する他網データ受信部と、
   前記データ収集部が収集したトラフィックデータと前記他網データ受信部が受信したトラフィックデータとを集計するデータ融合部と、
   を備え、
   前記検知部は、
   前記データ融合部が集計したトラフィックデータに基づき当該ネットワークの異常を検知する
   ことを特徴とする請求項１に記載のネットワーク監視装置。
3. 前記検知部は、
   前記期間データ集計部が集計した期間集計データと、前記データ融合部が集計したデータとの乖離を判定し、
   両者が乖離しているものと判定した場合は、
   当該ネットワークに慢性的異常が存在するか、もしくは他のネットワークも含めた広域的異常が発生しているものと判定する
   ことを特徴とする請求項２に記載のネットワーク監視装置。
4. 他のネットワークにおけるトラフィックデータを一定期間分集計した期間集計データをそのネットワークに設置されたネットワーク監視装置から受信する期間データ受信部を備え、
   前記類似端末探索部は、
   前記期間データ受信部が受信した他のネットワークにおける期間集計データと、
   前記期間データ集計部が集計した当該ネットワークにおける期間集計データと、
   の類似度を算出し、
   その類似度があらかじめ定められた基準値以上である場合に、両者が類似しているものと判定する
   ことを特徴とする請求項２または請求項３に記載のネットワーク監視装置。
5. 前記類似端末探索部は、
   前記探索結果を他のネットワーク監視装置と交換し、その交換結果に基づき、前記期間集計データが類似しているものと判定される端末の探索範囲を拡大する
   ことを特徴とする請求項４に記載のネットワーク監視装置。
6. 前記期間データ集計部は、
   前記データ収集部が収集したトラフィックデータを時間帯毎に集計し、
   集計した各時間帯毎に前記期間集計データを作成する
   ことを特徴とする請求項２ないし請求項５のいずれかに記載のネットワーク監視装置。
7. 前記期間データ集計部は、
   前記期間集計データを曜日または平日・休日の別に基づき分類する
   ことを特徴とする請求項６に記載のネットワーク監視装置。
8. 前記データ収集部は、
   他のネットワーク監視装置との間で送受信するデータをトラフィックデータ収集の対象から除外する
   ことを特徴とする請求項１ないし請求項７のいずれかに記載のネットワーク監視装置。
9. 請求項１ないし請求項８のいずれかに記載の１ないし複数のネットワーク監視装置と、
   各前記ネットワーク監視装置と接続されたサーバと、
   を有し、
   前記サーバは、
   各前記ネットワーク監視装置の情報を格納する記憶部を備え、
   前記ネットワーク監視装置は、
   前記サーバより、他のネットワーク監視装置の情報を取得する
   ことを特徴とするネットワーク監視システム。
10. 前記サーバは、
    各前記ネットワーク監視装置がそのネットワークにおけるトラフィックデータを一定期間分集計した期間集計データを、類似するもの毎に分類するクラスタリング部を備え、
    前記ネットワーク監視装置は、
    前記クラスタリング部の分類結果に基づき、前記サーバより、当該ネットワーク監視装置と期間集計データが類似する他のネットワーク監視装置の情報を取得する
    ことを特徴とする請求項９に記載のネットワーク監視システム。

Images