JP2009077136A - トラヒック情報提供装置、トラヒック情報取得装置、トラヒック情報収集システム、トラヒック情報提供プログラム、トラヒック情報取得プログラム及びトラヒック情報収集方法 - Google Patents

Abstract

【課題】 処理量を抑えつつ、所望のトラフィックを精度良く観測することができるようにする。
【解決手段】 トラヒック情報収集システムは、トラヒックの統計情報を得て提供するトラヒック情報提供装置と、提供されたトラヒックの統計情報を取得するトラヒック情報取得装置とを有する。トラヒック情報提供装置は、複数段階の識別レベルによってトラヒックを識別可能であり、最下位の識別レベル以外は設定された識別条件によって、入力されたトラヒックを識別すると共に、各識別レベルによって定まっているサンプリングレートに応じて、識別したトラヒックを選択して出力する手段と、各識別レベルのトラヒックについて、統計情報を得る手段とを備える。トラヒック情報取得装置は、得られた各識別レベルのトラヒックの統計情報を分析する手段と、識別条件を設定させる手段とを備える。
【選択図】 図１

Description

本発明は、トラヒック情報提供装置、トラヒック情報取得装置、トラヒック情報収集システム、トラヒック情報提供プログラム、トラヒック情報取得プログラム及びトラヒック情報収集方法に関し、例えば、ネットワーク上の通信トラヒックの異常を効率良く検知する場合に適用し得るものである。

従来、ＤｏＳ攻撃のようなトラヒック異常を検出するために、以下のような方法でトラフィック情報を取得している。

監視対象ネットワークあるいは監視対象回線のパケットを特定サンプリングレートで監視し、送信先／受信先アドレス、送信先／受信先ポート等により集約した後、トラヒックの変化を解析し、異常トラヒック検出を実施するモジュールへ情報を展関する。情報の集約方法と情報展聞方法では、一般的に、ＮｅｔＦｌｏｗスイッチングやＳＮＭＰ／ＭＩＢと呼ばれるプロトコルを利用している（非特許文献１、２参照）。

トラヒック流量が少なく観測のためのシステムリソース（メモリ、ＣＰＵ資源）に余裕がある場合は、サンプリングレートを１００％として、監視対象ネットワーク又は回線の全パケットに対してトラヒック統計情報を取得するが、高速回線（例えば、ＮＧＮ（次世代ネットワークの回線）の監視などの場合には、監視装置の負荷とリソースの上限からサンプリングレートを落とし、パケットをそのサンプリングレートに従ってサンプリングしてトラヒック統計情報を取得することで監視をする。
ＲＦＣ １１５７ ＲＦＣ １２１３

全トラヒックに対して統計情報の収集が可能でることが望ましい。

しかし、従来方式では、高速トラヒックに対して監視装置のリソース（負荷、メモリ量）の制限から、パケットサンプリングによる統計情報の収集が行われており、全トラヒックに対して統計情報を収集する場合に比較すれば収集の精度は低くなる。すなわち、特定のサンプリングレートでパケットを監視する場合、サンプリングレートを落とすと、パケットの監視漏れによる変化の見逃しが発生し、サンプリングレートが高いと、まれにトラヒックのバースト転送の変化に過敏に反応しすぎるケースがあり、特徴のあるトラヒック状況の変化を見逃す可能性があり、異常トラヒックの検出がうまくできない場合がある。

そのため、変化があるトラフィックを効率的に観測することができるトラヒック情報提供装置、トラヒック情報取得装置、トラヒック情報収集システム、トラヒック情報提供プログラム、トラヒック情報取得プログラム及びトラヒック情報収集方法が望まれている。

第１の本発明は、トラヒックの統計情報を得て提供するトラヒック情報提供装置と、提供されたトラヒックの統計情報を取得するトラヒック情報取得装置とを有するトラヒック情報収集システムにおいて、（１）上記トラヒック情報提供装置は、（１−１）複数段階の識別レベルによってトラヒックを識別可能であり、最下位の識別レベル以外は設定された識別条件によって、入力されたトラヒックを識別すると共に、各識別レベルによって定まっているサンプリングレートに応じて、識別したトラヒックを選択して出力するトラヒック識別手段と、（１−２）各識別レベルのトラヒックについて、統計情報を得る統計情報収集手段とを備え、（２）上記トラヒック情報取得装置は、（２−１）上記統計情報収集手段が得た、各識別レベルのトラヒックの統計情報を分析するトラヒック分析手段と、（２−２）上記トラヒック識別手段に識別条件を設定させる識別条件設定手段とを備えることを特徴とする。

第２の本発明は、トラヒックの統計情報を得て、トラヒック情報取得装置に提供するトラヒック情報提供装置において、（１）複数段階の識別レベルによってトラヒックを識別可能であり、最下位の識別レベル以外は設定された識別条件によって、入力されたトラヒックを識別すると共に、各識別レベルによって定まっているサンプリングレートに応じて、識別したトラヒックを選択して出力するトラヒック識別手段と、（２）各識別レベルのトラヒックについて、統計情報を得る統計情報収集手段とを備えることを特徴とする。

第３の本発明は、第２の本発明のトラヒック情報提供装置が得たトラヒックの統計情報を取得するトラヒック情報取得装置において、（１）トラヒック情報提供装置における統計情報収集手段が得た、各識別レベルのトラヒックの統計情報を分析するトラヒック分析手段と、（２）トラヒック情報提供装置におけるトラヒック識別手段に識別条件を設定させる識別条件設定手段とを備えることを特徴とする。

第４の本発明は、トラヒックの統計情報を得て、トラヒック情報取得装置に提供させるためのトラヒック情報提供プログラムであって、ＣＰＵを、（１）複数段階の識別レベルによってトラヒックを識別可能であり、最下位の識別レベル以外は設定された識別条件によって、入力されたトラヒックを識別すると共に、各識別レベルによって定まっているサンプリングレートに応じて、識別したトラヒックを選択して出力するトラヒック識別手段と、（２）各識別レベルのトラヒックについて、統計情報を得る統計情報収集手段と
して機能させることを特徴とする。

第５の本発明は、第２の本発明のトラヒック情報提供装置が得たトラヒックの統計情報を取得するためのトラヒック情報取得プログラムであって、ＣＰＵを、（１）トラヒック情報提供装置における統計情報収集手段が得た、各識別レベルのトラヒックの統計情報を分析するトラヒック分析手段と、（２）トラヒック情報提供装置におけるトラヒック識別手段に識別条件を設定させる識別条件設定手段として機能させることを特徴とする。

第６の本発明は、トラヒックの統計情報を得て提供するトラヒック情報提供装置と、提供されたトラヒックの統計情報を取得するトラヒック情報取得装置とを有するトラヒック情報収集システムにおけるトラヒック情報収集方法であって、（１）上記トラヒック情報提供装置は、トラヒック識別手段及び統計情報収集手段を有すると共に、上記トラヒック情報取得装置は、トラヒック分析手段及び識別条件設定手段を有し、（２）上記識別条件設定手段は、上記トラヒック識別手段に識別条件を設定し、（３）上記トラヒック識別手段は、複数段階の識別レベルによってトラヒックを識別可能であり、最下位の識別レベル以外は上記識別条件設定手段によって設定された識別条件によって、入力されたトラヒックを識別すると共に、各識別レベルによって定まっているサンプリングレートに応じて、識別したトラヒックを選択して出力し、（４）上記統計情報収集手段は、各識別レベルのトラヒックについて、統計情報を得、（５）上記トラヒック分析手段は、上記統計情報収集手段が得た、各識別レベルのトラヒックの統計情報を分析することを特徴とする。

本発明によれば、処理量を抑えつつ、所望のトラフィックを精度良く観測することができる。

（Ａ）主たる実施形態
以下、本発明によるトラヒック情報提供装置、トラヒック情報取得装置、トラヒック情報収集システム、トラヒック情報提供プログラム、トラヒック情報取得プログラム及びトラヒック情報収集方法の一実施形態を、図面を参照しながら詳述する。

（Ａ−１）実施形態の構成
実施形態のトラヒック情報収集システム１は、図２に示すように、トラヒック情報提供装置２とトラヒック情報取得装置３とを備える。トラヒック情報提供装置２は、トラヒック情報を得てトラヒック情報取得装置３に提供するものであり、トラヒック情報取得装置３は、トラヒック情報提供装置２が提供したトラヒック情報を保存したり分析したりするものである。

トラヒック情報提供装置２は、例えば、ルータ４からスイッチ５への物理的な回線などに介挿されて提供するトラヒック情報を取得するものであっても良く、また、ルータ４やスイッチ５などがコピーしたトラヒックが与えられるように、ルータ４やスイッチ５に近接（内蔵でも良い）して設けられたものであっても良い。トラヒック情報取得装置３は、例えば、ネットワーク管理装置（ＮＭＳ）の一機能として設けられる。

図１は、トラヒック情報収集システム１の機能的構成を示すブロック図である。図１において、トラヒック情報収集システム１は、パケット受信部１０、パケット識別部１１、統計情報収集部１２、パケット送信部１３、統計情報転送部１４、異常トラヒック検出モジュール部１５及びパケット識別情報設定部１６を有する。

ここで、パケット受信部１０、パケット識別部１１、統計情報収集部１２、パケット送信部１３、及び、統計情報転送部１４の転送元構成がトラヒック情報提供装置２の構成要素であり、統計情報転送部１４の転送先構成、異常トラヒック検出モジュール部１５、及び、パケット識別情報設定部１６がトラヒック情報取得装置３の構成要素である。

パケット識別部１１及び統計情報収集部１２は、例えば、トラヒック情報提供装置２に設けられているＣＰＵ、及び、ＣＰＵが実行するプログラム（トラヒック情報提供プログラム）で実現される。異常トラヒック検出モジュール部１５及びパケット識別情報設定部１６も、例えば、トラヒック情報取得装置３に設けられているＣＰＵ、及び、ＣＰＵが実行するプログラム（トラヒック情報取得プログラム）で実現される。

パケット受信部１０は、トラヒック情報（トラヒックの統計情報）の取得のために、トラヒック情報提供装置２に与えられたパケット（統計情報収集対象パケット）を受け付けるものである。

パケット識別部１１は、パケット受信部１０が受け付けた統計情報収集対象パケットを識別し、識別レベル毎に分類するものである。パケット識別部１１は、レベル１識別部１１Ａ、レベル２識別部１１Ｂ、レベル０サンプリング部１１Ｃ及びレベル１サンプリング部１１Ｄを有する。

レベル１識別部１１Ａは、受信した統計情報収集対象パケットのうち、設定された絞込み要件に該当するパケット（レベル１のパケット）を抽出するものである。レベル２識別部１１Ｂは、受信した統計情報収集対象パケットのうち、設定された特定要件に該当するパケット（レベル２のパケット）を抽出するものである。受信した統計情報収集対象パケットのうち、レベル１識別部１１Ａによっても、レベル２識別部１１Ｂによっても抽出されなかったものがレベル０のパケットである。

なお、レベル１識別部１１Ａ及びレベル２識別部１１Ｂはそれぞれ、絞込み要件、特定要件が設定されていない場合には抽出動作を実行しないものである。レベル１識別部１１Ａに絞込み要件が設定されておらず、しかも、レベル２識別部１１Ｂに特定要件が設定されていない場合には、受信したパケットは全てレベル０のパケットとして取り扱われる。

レベル０サンプリング部１１Ｃは、レベル０のパケットを第１のサンプリングレートでサンプリングするものであり、レベル１サンプリング部１１Ｄは、レベル１のパケットを第２のサンプリングレートでサンプリングするものである。ここで、第１のサンプリングレートは第２のサンプリングレートより小さい値になされている。従って、当該パケット識別部１１からは、レベル２のパケットは全数出力され、レベル１のパケットは多少間引かれて出力され、レベル０のパケットはかなり間引かれて出力される。

統計情報収集部１２は、パケット識別レベルに対応した情報収集を行うものである。そのため、統計情報収集部１２は、レベル０情報収集部１２Ａ、レベル１情報収集部１２Ｂ、レベル２情報収集部１２Ｃを有する。レベル０情報収集部１２Ａ、レベル１情報収集部１２Ｂ及びレベル２情報収集部１２Ｃの機能は、動作の説明の項で明らかにするが、レベル０情報収集部１２Ａは、トラヒックの概要（全体概況）を把握可能な観点からトラヒックの統計情報を得、レベル１情報収集部１２Ｂは、トラヒックの概要から異常の恐れがあるときに絞り込んだトラヒックの統計情報を得、レベル２情報収集部１２Ｃは、絞り込んだトラヒックから異常の可能性が非常に高いときに特定のトラヒックの統計情報を得るものである。

パケット送信部１３は、受信パケットを外部に送出するものである。パケット送信部１３は、単なる転送機能だけでなく、ルーティング機能やシェーパー機能などを備えていても良く、また、異常トラヒック検出モジュール部１５等の制御下で受信パケットの廃棄（転送しない）を行うようにしても良い。なお、ルータ４やスイッチ５などがコピーしたトラヒックがトラヒック情報提供装置２に与えられる場合には、パケット送信部１３は省略される。

統計情報転送部１４は、統計情報収集部１２が収集、蓄積したトラヒックの統計情報（レベル０統計情報、レベル１統計情報、レベル２統計情報）を、異常トラヒック検出モジュール部１５へ引き渡すものである。転送周期は固定されたものであっても良く、また、異常トラヒック検出モジュール部１５が自ら統計情報収集部１２の統計情報を参照できるようにしても良い。例えば、統計情報転送部１４による転送が実行されたときには、統計情報収集部１２の蓄積情報はクリアされ、蓄積が新たに開始される。

異常トラヒック検出モジュール部１５は、統計情報転送部１４によって、統計情報収集部１２から転送されてきたトラヒックの統計情報に基づき、異常トラヒックがあるか否か、ある場合にはその異常トラヒックを特定するものである。

異常トラヒック検出モジュール部１５は、異常トラヒックの検出のために、概要分析部１５Ａ、絞込み分析部１５Ｂ、特定分析部１５Ｃを有する。概要分析部１５Ａは、レベル０の統計情報を分析し、トラヒックの異常が生じている恐れを検出するものであり、絞込み分析部１５Ｂは、レベル１の統計情報を分析し、トラヒックを絞り込んで見てトラヒックの異常が生じている可能性があることを検出するものであり、特定分析部１５Ｃは、レベル２の統計情報を分析し、トラヒックを特定して異常があることを検出するものである。

パケット識別情報設定部１６は、パケット識別部１１に対して、絞込み要件や特定要件を設定させるものである。パケット識別情報設定部１６は、絞込み特徴抽出部１６Ａ及び特定特徴抽出部１６Ｂを有する。絞込み特徴抽出部１６Ａは、概要分析部１５Ａの分析結果に応じ、異常が生じている恐れがあるトラヒック群（パケット群）を規定する絞込み条件を定めて、上述したレベル１識別部１１Ａに設定するものである。特定特徴抽出部１６Ｂは、絞込み分析部１５Ｂの分析結果に応じ、異常が生じている可能性が高いトラヒックを規定する特定条件を定めて、上述したレベル２識別部１１Ｂに設定するものである。

（Ａ−２）実施形態の動作
次に、実施形態のトラヒック情報収集システムの動作（トラヒック情報収集方法）を説明する。以下では、異常トラヒックが存在しないときから、ＤｏＳ攻撃などによるような異常トラヒックが生じるようになった変化があった場合の動作例を説明する。

トラヒックの統計情報の取得のために、トラヒック情報提供装置２に与えられた統計情報収集対象パケットは、パケット受信部１０において受け付けられ、パケット識別部１１に与えられる。

異常トラヒックが生じておらず、バースト的な正常トラヒックも存在しないような状況においては、パケット識別部１１に対し、絞込み要件も特定要件も設定されていない。このような状態においては、パケット受信部１０からパケット識別部１１へ与えられた統計情報収集対象パケット（動作の項においてはＩＰパケットであるとする）は全てレベル０のパケットとして扱われ、レベル０サンプリング部１１Ｃによって、第１のサンプリングレートに従って一部が選択されて統計情報収集部１２に与えられる。

統計情報収集部１２には、選択されたレベル０のパケットだけが入力されるので、レベル０情報収集部１２Ａだけが機能する。レベル０情報収集部１２Ａは、トラヒック全体の概況を表すような統計情報を得る。例えば、ＩＰパケットに係るトラヒックを規定する、送信元ポート番号、宛先ポート番号、送信元ＩＰアドレス、宛先ＩＰアドレス、ＵＤＰかＴＣＰかを表すプロトコルフラグの計５タプルのうち、宛先ポート番号毎に、パケット数を集計する。なお、統計情報収集部１２によって計数処理された統計情報収集対象パケットは、パケット送信部１３に与えられて送信される。

統計情報転送部１４が、例えば、所定周期毎に、宛先ポート番号毎のパケット数をレベル０の統計情報として、異常トラヒック検出モジュール部１５に転送し、転送後、宛先ポート番号毎のパケット数をクリアする。

異常トラヒック検出モジュール部１５においては、レベル０の統計情報だけが与えられるので、概要分析部１５Ａだけが機能する。概要分析部１５Ａは、例えば、宛先ポート番号毎のパケット数をそれぞれ、第１の閾値と比較し、パケット数が第１の閾値を超えている送信元ポート番号が存在するか否かを判別する（トラヒック概要を分析する）。第１の閾値は、異常トラヒックが生じておらず、バースト的な正常トラヒックも存在しないような状況では、当該閾値を超えるパケット数が生じない値に選定されており、この段階では、パケット数が第１の閾値を超えている送信元ポート番号が存在しないという結果が得られる。そのため、絞込み特徴抽出部１６Ａも機能せず、レベル１識別部１１Ａに絞込み条件が設定されない。

このような正常な状態から、ＤｏＳ攻撃などによるような異常トラヒックが生じる状態に変化したとする。

このような変化直後においては、パケット識別部１１も統計情報収集部１２も、上述したように、レベル０のパケットだけを処理する動作を行う。

しかしながら、異常トラヒックに係る送信元ポート番号を有するパケットの数は多くなり、概要分析部１５Ａによる処理により、パケット数が第１の閾値を超えている送信元ポート番号が存在すると判定される。その結果、絞込み特徴抽出部１６Ａは、レベル１識別部１１Ａによってその送信元ポート番号のパケットを抽出させる絞込み条件を、レベル１識別部１１Ａに設定する。

この絞込み条件の設定により、パケット受信部１０からパケット識別部１１へ与えられたパケットのうち、絞込み条件に該当するパケット（レベル１のトラヒック）は、レベル１識別部１１Ａによって抽出され、レベル１サンプリング部１１Ｄによって、第２のサンプリングレートに従って一部が選択されて統計情報収集部１２に与えられ、絞込み条件に該当しないパケットは、レベル０サンプリング部１１Ｃによって、第１のサンプリングレートに従って一部が選択されて統計情報収集部１２に与えられる。

統計情報収集部１２のレベル０情報収集部１２Ａは上述した動作を行う。また、統計情報収集部１２のレベル１情報収集部１２Ｂは、例えば、上述した５タプルのうち、送信元ポート番号、宛先ポート番号、送信元ＩＰアドレス及び宛先ＩＰアドレスが同一の組毎に、パケット数を集計する。なお、統計情報収集部１２によって計数処理されたレベル１の統計情報収集対象パケットも、パケット送信部１３に与えられて送信される。

統計情報転送部１４は、絞込み条件が設定されているときも、所定周期毎に、レベル０の統計情報やレベル１の統計情報（組毎のパケット数）を、異常トラヒック検出モジュール部１５に転送し、転送後、宛先ポート番号毎のパケット数や組毎のパケット数をクリアする。

概要分析部１５Ａの動作は上述の場合と同様である。絞込み分析部１５Ｂは、例えば、送信元ポート番号、宛先ポート番号、送信元ＩＰアドレス及び宛先ＩＰアドレスが同一の組毎のパケット数をそれぞれ、第２の閾値と比較し、パケット数が第２の閾値を超えている組が存在するか否かを判別する（絞り込んだトラヒック群を分析する）。第２の閾値は、異常トラヒックが生じておらず、バースト的な正常トラヒックも存在しないような状況では、当該第２の閾値を超えるパケット数が生じない値であって、異常トラヒックが生じている場合には（バースト的な正常トラヒックが存在する場合も同様な結果となる）、当該第２の閾値を超えるパケット数が生じる値に選定されている。この段階では、異常トラヒックが存在するため、異常トラヒックに係る、送信元ポート番号、宛先ポート番号、送信元ＩＰアドレス及び宛先ＩＰアドレスが同一の組のパケット数は多くなり、絞込み分析部１５Ｂによる処理により、パケット数が第２の閾値を超えている組が存在すると判定される。その結果、特定特徴抽出部１６Ｂは、レベル２識別部１１Ｂによってその組のパケットを抽出させる特定条件を、レベル２識別部１１Ｂに設定する。

なお、特定条件をレベル２識別部１１Ｂに設定しても、絞込み条件をそのままレベル１識別部１１Ａに継続して設定するようにしても良く、また、特定条件をレベル２識別部１１Ｂに設定する場合には特定条件に係るトラヒックを絞込み条件の該当トラヒックから除外するようにしても良い。

特定条件が設定されても、レベル０及びレベル１に係るトラヒックの処理は、上述の通りである。そのため、以下では、レベル２のトラヒックに対する処理を説明する。

特定条件の設定により、パケット受信部１０からパケット識別部１１へ与えられたパケットのうち、特定条件に該当するパケット（レベル２のトラヒック）は、レベル２識別部１１Ｂによって抽出され、抽出されたものはサンプリングされることなく全て統計情報収集部１２に与えられる。

統計情報収集部１２のレベル２情報収集部１２Ｃは、例えば、レベル２のパケットをＵＤＰかＴＣＰかによって集計したり、受信時刻の時系列又は平均受信間隔を得たり、パケットのペイロードが同一か否かなどによって集計したり、特定条件のトラヒックが異常か否かを最終的に判断できるレベル２の統計情報を得る。なお、レベル２情報収集部１２Ｃが処理したパケットも、パケット送信部１３に与えられるが、パケット送信部１３は直ちには送信せず、異常トラヒック検出モジュール部１５からの指示を待ち受ける。

統計情報転送部１４は、所定周期毎に、レベル２の統計情報を、異常トラヒック検出モジュール部１５に転送し、転送後、その情報をクリアする。

異常トラヒック検出モジュール部１５の特定分析部１５Ｃは、レベル２の統計情報を分析し、その特定トラヒックが異常トラヒックか否かを最終的に決定する。特定分析部１５Ｃは、例えば、パケットの再送処理が実行されていないのに、同一内容のパケットが短時間に集中している場合には、異常トラヒックと判断する。異常トラヒックを検出した場合の措置方法は、既存のいずれの方法を適用しても良い。例えば、当該ネットワークの、フィルタリングを行う機能を有する装置に通知したり、パケット送信部１３で廃棄させたりしても良い。

なお、絞込み分析部１５Ｂや概要分析部１５Ａによって、閾値を超えていたものが閾値を超えなくなったと判断された場合には、特定条件の設定や絞込み条件の設定は解除される。また、異なる複数の異常トラヒックが生じているような状況では、それぞれについて、特定条件や絞込み条件の設定が実行され、レベル２情報収集部１２Ｃやレベル１情報収集部１２Ｂも、それぞれ、異なる特定条件や絞込み条件に応じた情報の収集動作を行う。

（Ａ−３）実施形態の効果
上記実施形態によれば、トラヒックの識別レベルを複数にすると共に、識別レベルが低いほどトラヒックのサンプリングレートを小さくし、低いレベルの識別によるトラヒックの統計情報を分析し、異常トラヒックの可能性がある場合に、一段上の識別レベルでトラヒックを識別して統計情報を得て分析することに移行するようにしたので、処理量を抑えつつ、異常トラフィックを精度良く観測することができる。

例えば、レベル０の場合、サンプリングされたパケットを、宛先ポート番号毎に集計するので、その処理負担は小さい。しかし、一旦、異常の可能性があると判断されると、レベル１、レベル２に徐々に移行し、レベル２では特定パケットの全数を確認するので、異常トラヒックを精度良く検出することができる。なお、概要分析に、宛先ＩＰアドレス毎のパケット数を適用しても良いが（これは他の実施形態となる）、ポート番号はアプリケーションと対応することが多く、ＩＰアドレスより異常が反映される率が高く、また、ポート番号は１６ビットであってＩＰアドレスの３２ビットより処理が容易であるので、実施形態のように、宛先ポート番号毎のパケット数を概要分析に適用することが好ましい。

異常の可能性があると判断された場合だけ、絞込み条件や特定条件を設定（エントリ）するようにしたので、パケット識別部１１に絞込み条件や特定条件を記載する検索テーブルを設けたとしても、エントリ数が少なく、小容量の検索テーブルとした場合にも、検索テーブルがオーバーフローするようなことを防止できる（検索テーブルエントリが枯渇しない）。また、レベル１及びレベル２については、限定されたトラヒックについてのみ、情報の蓄積、収集を実行すれば良く、メモリ容量を抑えることができる。

また、統計情報収集部１２や異常トラヒック検出モジュール部１５の処理などは、並列処理が可能であり、全体処理の高速化が実現可能である。

さらに、監視対象を絞り込んでいく段階で、絞り込むトラヒックの属性に依存したサンプリングレートを設定でき、個別事象（レベル）に最適なサンプリングレートでの監視を行うことができる。

レベル０の場合、サンプリングされたパケットを宛先ポート番号毎に集計するので、ＮＧＮなどの高速回線（パケット数が多い）であっても、上記実施形態を適用することができる。

（Ｂ）他の実施形態
上記実施形態では、パケット識別情報設定部１６が、異常トラヒック検出モジュール部１５の分析結果に応じて自動的に絞込み条件や特定条件を設定するものを示したが、異常トラヒック検出モジュール部１５の分析結果を監視オペレータに提示し、監視オペレータの指示に応じて、絞込み条件や特定条件を設定するようにしても良い。また、監視オペレータが、異常トラヒック検出モジュール部１５の分析結果に関係なく、絞込み条件や特定条件を設定できるようにしても良い。

また、上記実施形態においては、トラヒックの識別レベルがレベル０〜レベル２の３段階のものを示したが、識別レベルの段階数はこれに限定されるものではない。例えば、識別レベルが低いものほど、上述した５タプルのうちで特定される条件を少なくすれば良い。また、識別レベルを規定する情報は、上述した５タプルの情報に限定されない。例えば、音声に係るパケットか映像に係るパケットかをも、識別レベルを規定するタプルとするようにしても良い。

例えば、パケット識別部１１、統計情報収集部１２、異常トラヒック検出モジュール部１５及びパケット識別情報設定部１６を、ＣＰＵ、及び、ＣＰＵが実行するプログラムで実現する場合には、識別レベルをＮ段階も可能とするようにプログラムを構成しておき、トラヒック情報提供装置２が設けられる位置のトラヒック又はハードウェアのパケット処理能力に応じて、識別レベルの段階をチューニングするようにしても良い。

レベル１対象ポリシーで識別されるパケットは、必要があれば所定のサンプリングレートにより観測パケットをサンプリングした後に、複数の分類方法によりトラヒック統計情報を収集する機能へ引き渡される。

各識別レベルにおける統計情報の収集方法が上記実施形態のものに限定されないことは勿論である。例えば、レベル０情報収集部１２Ａが、送信先及び送信元ポートの組毎にパケット数を計数するものであっても良い。

上記実施形態では、レベル０及びレベル１については、所定時間当たりのパケット数を統計情報とするものを示したが、他の情報であっても良いことは勿論であり、例えば、クリアした後、パケット数が所定パケット数に達するまでの時間を統計情報とするようにしても良い。また、レベル２についても、上記で説明した以外の情報を統計情報としても良いことは勿論である。

上記実施形態では、異常トラヒックの検出するために、トラヒックの統計情報を取得するものを示したが、通信品質（例えばＱｏＳ）を把握するためにトラヒックの識別レベルを制御するようにしても良い。すなわち、観測内容はトラヒックの異常に限定されるものではない。

実施形態のトラヒック情報収集システムの機能的構成を示すブロック図である。 実施形態のトラヒック情報収集システムにおける構成要素のネットワーク内での配置位置の説明図である。

符号の説明

１…トラヒック情報収集システム、
２…トラヒック情報提供装置、
３…トラヒック情報取得装置、
１０…パケット受信部、
１１…パケット識別部、１１Ａ…レベル１識別部、１１Ｂ…レベル２識別部、１１Ｃ…レベル０サンプリング部、１１Ｄ…レベル１サンプリング部、
１２…統計情報収集部、１２Ａ…レベル０情報収集部、１２Ｂ…レベル１情報収集部、１２Ｃ…レベル２情報収集部、
１３…パケット送信部、
１４…統計情報転送部、
１５…異常トラヒック検出モジュール部、１５Ａ…概要分析部、１５Ｂ…絞込み分析部、１５Ｃ…特定分析部、
１６…パケット識別情報設定部、１６Ａ…絞込み特徴抽出部、１６Ｂ…特定特徴抽出部。

Claims (6)

1. トラヒックの統計情報を得て提供するトラヒック情報提供装置と、提供されたトラヒックの統計情報を取得するトラヒック情報取得装置とを有するトラヒック情報収集システムにおいて、
   上記トラヒック情報提供装置は、
   複数段階の識別レベルによってトラヒックを識別可能であり、最下位の識別レベル以外は設定された識別条件によって、入力されたトラヒックを識別すると共に、各識別レベルによって定まっているサンプリングレートに応じて、識別したトラヒックを選択して出力するトラヒック識別手段と、
   各識別レベルのトラヒックについて、統計情報を得る統計情報収集手段とを備え、
   上記トラヒック情報取得装置は、
   上記統計情報収集手段が得た、各識別レベルのトラヒックの統計情報を分析するトラヒック分析手段と、
   上記トラヒック識別手段に識別条件を設定させる識別条件設定手段とを備える
   ことを特徴とするトラヒック情報収集システム。
2. トラヒックの統計情報を得て、トラヒック情報取得装置に提供するトラヒック情報提供装置において、
   複数段階の識別レベルによってトラヒックを識別可能であり、最下位の識別レベル以外は設定された識別条件によって、入力されたトラヒックを識別すると共に、各識別レベルによって定まっているサンプリングレートに応じて、識別したトラヒックを選択して出力するトラヒック識別手段と、
   各識別レベルのトラヒックについて、統計情報を得る統計情報収集手段と
   を備えることを特徴とするトラヒック情報提供装置。
3. 請求項２のトラヒック情報提供装置が得たトラヒックの統計情報を取得するトラヒック情報取得装置において、
   トラヒック情報提供装置における統計情報収集手段が得た、各識別レベルのトラヒックの統計情報を分析するトラヒック分析手段と、
   トラヒック情報提供装置におけるトラヒック識別手段に識別条件を設定させる識別条件設定手段と
   を備えることを特徴とするトラヒック情報取得装置。
4. トラヒックの統計情報を得て、トラヒック情報取得装置に提供させるためのトラヒック情報提供プログラムであって、
   ＣＰＵを、
   複数段階の識別レベルによってトラヒックを識別可能であり、最下位の識別レベル以外は設定された識別条件によって、入力されたトラヒックを識別すると共に、各識別レベルによって定まっているサンプリングレートに応じて、識別したトラヒックを選択して出力するトラヒック識別手段と、
   各識別レベルのトラヒックについて、統計情報を得る統計情報収集手段と
   して機能させることを特徴とするトラヒック情報提供プログラム。
5. 請求項２のトラヒック情報提供装置が得たトラヒックの統計情報を取得するためのトラヒック情報取得プログラムであって、
   ＣＰＵを、
   トラヒック情報提供装置における統計情報収集手段が得た、各識別レベルのトラヒックの統計情報を分析するトラヒック分析手段と、
   トラヒック情報提供装置におけるトラヒック識別手段に識別条件を設定させる識別条件設定手段と
   して機能させることを特徴とするトラヒック情報取得プログラム。
6. トラヒックの統計情報を得て提供するトラヒック情報提供装置と、提供されたトラヒックの統計情報を取得するトラヒック情報取得装置とを有するトラヒック情報収集システムにおけるトラヒック情報収集方法であって、
   上記トラヒック情報提供装置は、トラヒック識別手段及び統計情報収集手段を有すると共に、上記トラヒック情報取得装置は、トラヒック分析手段及び識別条件設定手段を有し、
   上記識別条件設定手段は、上記トラヒック識別手段に識別条件を設定し、
   上記トラヒック識別手段は、複数段階の識別レベルによってトラヒックを識別可能であり、最下位の識別レベル以外は上記識別条件設定手段によって設定された識別条件によって、入力されたトラヒックを識別すると共に、各識別レベルによって定まっているサンプリングレートに応じて、識別したトラヒックを選択して出力し、
   上記統計情報収集手段は、各識別レベルのトラヒックについて、統計情報を得、
   上記トラヒック分析手段は、上記統計情報収集手段が得た、各識別レベルのトラヒックの統計情報を分析する
   ことを特徴とするトラヒック情報収集方法。

Images