JP2009171431A

JP2009171431A - トラフィック分析装置、トラフィック分析方法及びトラフィック分析システム

Info

Publication number: JP2009171431A
Application number: JP2008009470A
Authority: JP
Inventors: Joo Hwa Tan; ジューホアタン
Original assignee: Oki Electric Industry Co Ltd
Current assignee: Oki Electric Industry Co Ltd
Priority date: 2008-01-18
Filing date: 2008-01-18
Publication date: 2009-07-30
Also published as: US20090185503A1; CN101488882A

Abstract

【課題】ネットワークのトラフィックを確実且つ高精度に分析するトラフィック分析装置を提供すること。
【解決手段】ネットワークへ接続されるアクセス網のトラフィックを分析するトラフィック分析装置７００であって、ネットワークとアクセス網との間の通信データに関する情報をトラフィック収集装置１００からリアルタイムで収集するリアルタイム統計情報設定管理部７０４、リアルタイム統計情報モニタ部７０６と、トラフィック収集装置１００からリアルタイムで収集した情報に関するアラート条件を設定するアラート条件設定部７０８と、アラート条件に基づいて、ネットワークとアクセス網との間のトラフィックに関するアラートを発生させるアラート管理通知部７１０と、を備える。
【選択図】図６

Description

本発明は、トラフィック分析装置、トラフィック分析方法及びトラフィック分析システムに関する。

従来、回線のトラフィックを分析する方法として、トラフィック収集装置が収集したトラフィックデータを吸い上げ、専門業者にトラフィック分析を依頼する手法が知られている。また、トラフィック収集装置が収集したトラフィックデータをそのままカウンタ表や波形に変換し、管理者がこれらの波形を基に分析を行う手法が知られている。

特開２００７−００６４７７号公報

しかしながら、近時においては、音声・映像・データの統合により、ＩＰネットワークに流れるトラフィックの種類や量が増え、ネットワーク（ＮＷ）の運用上や、一定品質サービス提供上において、トラフィックの状態把握と管理が不可欠となっている。このため、ネットワークのトラフィックを収集できるよう、トラフィック収集装置が開発されている。

そして、ネットワークの状態をより正確に把握するために、収集するデータの精度が上がり、収集するトラフィックの種類も増大している。これに伴い、収集されたデータが膨大になり、データの分析が益々複雑となり、ネットワークトラフィック分析のノウハウが無い場合は、分析の重点が分からず、分析が困難になるという問題が生じている。また、膨大なデータの吸い上げ、処理、分析に時間がかかるという問題も生じている。これに伴い、管理者の負担やネットワーク運用費用が増大する。

そこで、本発明は、上記問題に鑑みてなされたものであり、本発明の目的とするところは、ネットワークのトラフィックを確実且つ高精度に分析することが可能な、新規かつ改良されたトラフィック分析装置、トラフィック分析方法及びトラフィック分析システムを提供することにある。

上記課題を解決するために、本発明のある観点によれば、ネットワークへ接続されるアクセス網のトラフィックを分析するトラフィック分析装置であって、ネットワークとアクセス網との間の通信データに関する情報をトラフィック収集装置からリアルタイムで収集するリアルタイムモニタ機能部と、前記トラフィック収集装置からリアルタイムで収集した情報に関するアラート条件を設定するアラート条件設定部と、前記アラート条件に基づいて、ネットワークとアクセス網との間のトラフィックに関するアラートを発生させるアラート管理通知部と、を備えるトラフィック分析装置が提供される。

上記構成によれば、ネットワークへ接続されるアクセス網のトラフィックを分析するトラフィック分析装置において、ネットワークとアクセス網との間の通信データに関する情報がトラフィック収集装置からリアルタイムで収集され、トラフィック収集装置からリアルタイムで収集した情報に関するアラート条件が設定され、設定されたアラート条件に基づいて、ネットワークとアクセス網との間のトラフィックに関するアラートが発生される。従って、リアルタイムで異常トラフィック／正常トラフィックをモニタして監視することができ、アラート条件に該当した場合に管理者に認知させることでトラフィックの実態を容易に分析することができる。

また、前記トラフィック収集装置からリアルタイムで収集した情報に関して、１時間毎の波形、１日毎の波形、又は１月毎の波形に基づいてトラフィックを分析するトラフィック分析部を備えるものであってもよい。かかる構成によれば、１時間毎の波形、１日毎の波形、又は１月毎の波形に基づいてトラフィックを分析できるため、トラフィックの実態を精度よく分析することができる。

また、前記トラフィック分析部の分析結果に基づいてレポートを作成する分析レポート作成部を備えるものであってもよい。かかる構成によれば、分析レポートに基づいて管理者側でトラフィックの実態を容易に把握することができる。

また、前記トラフィック収集装置からリアルタイムで収集した情報は、前記トラフィック収集装置のパケットフィルタで収集された情報、又は異常トラフィックとして収集された情報を含み、前記トラフィック分析部は、前記パケットフィルタで収集された情報に基づく全受信パケットの基本統計分析、前記パケットフィルタで収集された情報に基づく特定範囲のパケットの統計分析、又は前記異常トラフィックの分析を行うものであってもよい。かかる構成によれば、パケットフィルタで収集された情報に基づく全受信パケットの基本統計分析、パケットフィルタで収集された情報に基づく特定範囲のパケットの統計分析、又は前記異常トラフィックの分析を行うことにより、各分析条件に基づいてトラフィックの実態を詳細に分析することができる。

また、上記課題を解決するために、本発明の別の観点によれば、ネットワークとアクセス網との間の通信データに関する情報をトラフィック収集装置からリアルタイムで収集するステップと、前記トラフィック収集装置からリアルタイムで収集した情報に関するアラート条件を設定するステップと、前記アラート条件に基づいて、ネットワークとアクセス網との間のトラフィックに関するアラートを発生させるステップと、を備えるトラフィック分析方法が提供される。

上記構成によれば、ネットワークとアクセス網との間の通信データに関する情報がトラフィック収集装置からリアルタイムで収集され、トラフィック収集装置からリアルタイムで収集した情報に関するアラート条件が設定され、設定されたアラート条件に基づいて、ネットワークとアクセス網との間のトラフィックに関するアラートが発生される。従って、リアルタイムで異常トラフィック／正常トラフィックをモニタして監視することができ、アラート条件に該当した場合に管理者に認知させることでトラフィックの実態を容易に分析することができる。

また、上記課題を解決するために、本発明の別の観点によれば、ネットワークとのアクセス網からトラフィック情報を収集するトラフィック収集装置と、前記トラフィック情報を分析するトラフィック分析装置とが接続されたトラフィック分析システムであって、前記トラフィック分析装置は、ネットワークとアクセス網との間の通信データに関する情報を前記トラフィック収集装置からリアルタイムで収集するリアルタイムモニタ機能部と、前記トラフィック収集装置からリアルタイムで収集した情報に関するアラート条件を設定するアラート条件設定部と、前記アラート条件に基づいて、ネットワークとアクセス網との間のトラフィックに関するアラートを発生させるアラート管理通知部と、を備えるトラフィック分析システムが提供される。

上記構成によれば、ネットワークとのアクセス網からトラフィック情報を収集するトラフィック収集装置と、前記トラフィック情報を分析するトラフィック分析装置とが接続されたトラフィック分析システムにおいて、トラフィック分析装置では、ネットワークとアクセス網との間の通信データに関する情報がトラフィック収集装置からリアルタイムで収集され、トラフィック収集装置からリアルタイムで収集した情報に関するアラート条件が設定され、設定されたアラート条件に基づいて、ネットワークとアクセス網との間のトラフィックに関するアラートが発生される。従って、リアルタイムで異常トラフィック／正常トラフィックをモニタして監視することができ、アラート条件に該当した場合に管理者に認知させることでトラフィックの実態を容易に分析することができる。

本発明によれば、ネットワークのトラフィックを確実且つ高精度に分析することが可能な、トラフィック分析装置、トラフィック分析方法及びトラフィック分析システムを提供することができる。

以下に添付図面を参照しながら、本発明の好適な実施の形態について詳細に説明する。なお、本明細書及び図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。

先ず、本発明の題１の実施形態について説明する。図１は、本発明の一実施形態に係るトラフィック収集装置１００のネットワーク２００への設置構成を示す模式図である。図１の例では、アクセス網３００とＩＳＰ(Internet Services Provider)４００間の回線に通信信号を分岐して出力する転送装置（ネットワークタップ装置）５００，５１０，５２０，５３０を配置し、転送装置５００，５１０，５２０，５３０のＩｎ（入力）側（アクセス網３００側）、Ｏｕｔ（出力）側（ＩＳＰ４００側）の分岐の出力回線をそれぞれトラフィック収集装置１００の回線側のＩｎ側、Ｏｕｔ側に接続する。同様に、トラフィック収集装置１００のモニタ側の出力回線をモニタリング装置６００に接続する。図１の例では、モニタリング装置６００は、単独でインライン設置が可能な装置を想定している。

図１に示すように、トラフィック収集装置１００には、トラフィックの分析を行うトラフィック分析装置（Ａ）７００が接続されている。

転送装置５００とトラフィック収集装置１００によってアクセス網３００とＩＳＰ４００間の複数の回線トラフィック情報が収集される。トラフィック分析装置７００は、複数の回線から収集したトラフィックを自動的に分析し、分析結果の重点を抽出して分析レポートを作成する。トラフィック分析装置７００は、設定された秒／分間隔で定期的にこれらのトラフィックデータを吸い上げ、トラフィックの監視を実施しながら、リアルタイムで表と波形を表示し、定時レポートや分析レポートを生成する。

同様に、他のアクセス網３００とＩＳＰ４００間の回線に配置された転送装置５００を介して、トラフィック収集装置１００によってトラフィック情報が収集され、トラフィック分析装置（Ｂ）７００、トラフィック分析装置（Ｃ）７００により分析が行われる。

図２は、トラフィック収集装置１００の機能と構成を示す模式図である。図２（Ａ）に示すように、トラフィック収集装置１００は、収集機能、異常トラフィック検出機能、情報保持機能を備える。また、図２（Ｂ）は、トラフィック収集装置１００の機能ブロック構成を示す模式図である。受信部１０５は、転送装置５１０，５２０，５３０からＩｎ側、Ｏｕｔ側の入力を区別して受信する。入力(Ingress)パケットフィルタ部１１０は、回線側の各転送装置５１０，５２０，５３０から受信したパケットからイーサヘッド、ＩＰヘッダ、ＴＣＰ／ＵＤＰヘッダの識別子を抽出して検索し、識別子に基づいてフィルタリングすることができる。

異常トラフィック検出部１２０は、Ｉｎｇｒｅｓｓパケットフィルタ部１１０を通過したＩｎ側、Ｏｕｔ側の双方のパケットを処理することで、セッションとして認識することができる。

出力(Egress)パケットフィルタ部１７０は、Ｉｎｇｒｅｓｓパケットフィルタ部１１０と同様に、ヘッダの識別子に基づいてパケットをフィルタリングすることができる。Ｅｇｒｅｓｓパケットフィルタ部１７０を通過したパケットは、モニタ側の送信部１８０より送信される。

管理部１９０は、Ｉｎｇｒｅｓｓパケットフィルタ部１１０の統計収集部１９１、異常トラフィック検出部１２０の統計収集部１９２、Ｅｇｒｅｓｓパケットフィルタ部１７０の統計収集部１９３、Ｉｎｇｒｅｓｓパケットフィルタ部１１０の設定部１９４、異常トラフィック検出部１２０の設定部１９５、及びＥｇｒｅｓｓパケットフィルタ部１７０の設定部１９６から構成される。

管理部１９０は、送受信部１９５を介してトラフィック分析装置７００と接続され、トラフィック分析装置７００との統計情報、設定情報のインターフェースになる。

以下、図３、図４、及び図５に基づいて、トラフィック収集装置１００のＩｎｇｒｅｓｓ／Ｅｇｒｅｓｓパケットフィルタ部１１０，１７０の構成、異常トラフィック検出部１２０の構成、セッション処理のフローについて説明する。これらの情報、条件を基に、図８のリアルタイム統計情報設定管理部７０４が設計される。

図３にＩｎｇｒｅｓｓパケットフィルタ部１１０、Ｅｇｒｅｓｓパケットフィルタ部１７０の構成を示す。これらのパケットフィルタ部１１０，１７０は、パケットフィルタテーブル１１５で構成されている。ポリシールールに設定できるイーサヘッダ、ＩＰヘッダ、ＴＣＰ／ＵＤＰヘッダの識別子としては、図３に示すように、ＶＬＡＮ−ＩＤ、イーサプライオリティ(Ether Priority)、イーサタイプ(Ether Type)、宛先ＩＰアドレス、送信元ＩＰアドレス、ＴＯＳ、プロトコル番号、ＴＣＰフラグ、宛先ポート番号、送信元ポート番号が挙げられる。それぞれの識別子には、マスクビットを指定して範囲検索が可能である。

パケットフィルタテーブル１１５は、各エントリに優先度が付与されており、図３に示す例では、小さい番号が高優先度とされている。識別子を検索した結果、より高優先度にヒットしたエントリが採用され、予め設定された各エントリに対応するアクション(permit、もしくはdeny)に従って、通過(permit)か廃棄(deny)が選択される。また、パケットフィルタテーブル１１５は、エントリ毎の統計情報として、パケットカウンタ(pps)とバイトカウンタ(bps)を備えている。パケットカウンタとバイトカウンタは、検索の結果、ヒットした全てのエントリで加算される。

図４は、異常トラフィック検出部１２０の構成を示す模式図である。異常トラフィック検出部１２０に入力されたＩｎ側とＯｕｔ側の双方のパケットは、セッション処理部１２２に入力され、図５のセッション処理のフローチャートに従って処理される。

ここで、図５のセッション処理について説明する。先ず、ステップＳ１では、セッション処理部にパケットが入力される。次のステップＳ２では、シグネチャを検索し、シグネチャがヒットした場合は、ステップＳ３へ進む。ステップＳ３では、シグネチャ異常パケット統計情報を加算し、ステップＳ４でパケットを廃棄する。

ステップＳ２でシグネチャがミスヒットの場合は、ステップＳ５に進み、セッション管理テーブルを検索する。セッション管理テーブルでパケットがヒットした場合は、ステップＳ６へ進み、ＦＩＮ／ＲＳＴを受信したか否かを判定する。ステップＳ６で、ＦＩＮ／ＲＳＴを受信した場合は、ステップＳ７へ進み、ステップＳ８のガーベージタイマの終了を受けて、セッション管理テーブルを削除する。その後、ステップＳ９でセッション異常パケット統計情報を加算し、ステップＳ１０でパケットを廃棄する。

一方、ステップＳ５で、セッション管理テーブルがミスヒットの場合は、ステップＳ１１へ進み、最初のパケット（１ｓｔパケット）を受信する。次のステップＳ１２では、ガーベージタイマを設定し、次のステップＳ１３では、同時セッション数の登録の有無を判定する。

ステップＳ１３で同時セッション数の登録が有る場合は、ステップＳ１４へ進み、同時セッション数が上限値であるか否かを判定する。ステップＳ１４で同時セッション数が上限値の場合は、ステップＳ１５で同時セッション数が上限値を超えた異常パケットの統計情報を加算し、ステップＳ１０でパケットを廃棄する。一方、ステップＳ１４で同時セッション数が上限値でない場合、またはステップＳ１３で同時セッション数の登録がない場合は、ステップＳ１６へ進む。

ステップＳ１６では、秒間セッション数の登録の有無を判定し、秒間セッション数の登録がある場合は、ステップＳ１７で秒間セッション数が上限値であるか否かを判定する。テップＳ１７で秒間セッション数が上限値の場合は、ステップＳ１８で秒間セッション数が上限値を超えたパケットの統計情報を加算し、ステップＳ１９でパケットを廃棄する。一方、ステップＳ１７で秒間セッション数が上限値でない場合、またはステップＳ１６で秒間セッション数の登録がない場合は、ステップＳ２０へ進む。

ステップＳ２０では、セッション統計情報を加算する。次のステップＳ２１では、セッション管理テーブルを登録する。次のステップＳ２２では、パケットを出力する。ステップＳ２２の後は処理を終了する(END)。

セッション処理部１２２で処理されたセッションは、セッション管理テーブル１２４に登録される。このとき、登録される識別子は図４に示す５つの識別子（宛先ＩＰアドレス、送信元ＩＰアドレス、プロトコル番号、宛先ポート番号、送信元ポート番号）である。セッション統計情報保持部１２６は、セッション管理テーブル１２４に登録され、その時点で、維持されているセッション数を宛先ＩＰアドレスと送信元ＩＰアドレスの組み合わせ単位で保持している。

異常トラフィック検出部１２０に入力されたパケットは、図５のステップＳ２において、シグネチャ保持部１２８に登録された各シグネチャとマッチングして、当該パケットが異常パケットであるか否かを判断する。シグネチャ保持部１２８に登録されたシグネチャは、異常パケットであるパターンを記述しているものであり、例えば、宛先ＩＰアドレスと送信元ＩＰアドレスが同一であったり、送信元ＩＰアドレスが詐称されていたり、宛先のホストでＩＰパケットを再構築したときに最大長を超えるなどのパターンを記述している。異常パケット統計情報保持部１２９は、シグネチャ単位に検出した異常パケット数を保持しており、ステップＳ２でシグネチャがヒットした場合は、ステップＳ３で異常パケット統計情報が加算される。

トラフィック分析装置７００は、トラフィック収集装置１００の管理部１９０のＩｎｇｒｅｓｓパケットフィルタ統計収集部１９１、異常トラフィック検出統計収集部１９２、Ｅｇｒｅｓｓパケットフィルタ統計収集部１９３によって収集されたデータを秒／分間隔で定期的に吸い上げ、処理、監視、リアルタイムの表と波形表示、レポート等を生成する。トラフィック分析装置７００は、トラフィック収集装置１００が収集したデータを基にレポートと分析を実施するため、収集したデータのフォーマット情報や、データの収集方法などを認識する。

図６は、トラフィック分析装置７００の機能と、その機能を実現するための構成を示す模式図である。トラフィック分析装置７００は演算処理部（ＣＰＵ）を備え、トラフィック分析装置７００の各構成要素は演算処理部をソフトウェア（プログラム）によって機能させることで実現できる。

図６（Ａ）は、トラフィック分析装置７００の機能を示しており、図６（Ｂ）はトラフィック分析装置７００の構成を示している。図６（Ａ）に示すように、トラフィック分析装置７００は、構成管理機能、リアルタイムモニタ機能、監視機能、アラート通知機能、定時レポート機能、自動分析機能（トラフィック分析機能）、データ蓄積機能を有する。

また、図６（Ｂ）に示すように、トラフィック分析装置７００は、構成管理部７０２、リアルタイム統計情報設定管理部７０４、リアルタイム統計情報モニタ部７０６、アラート条件設定部７０８、アラート管理通知部７１０、定時レポート設定管理部７１２、定時統計情報モニタ部７１４、定時統計情報レポート作成部７１６、トラフィック分析設定管理部７１８、トラフィック分析部７２０、分析レポート作成部７２２、及びデータベース部７２４を備える。また、トラフィック分析装置７００は、トラフィック収集装置１００との間で情報を送受信する送受信部７３０、統合管理装置８００との間で情報を送受信する送受信部７３２を備える。

トラフィック分析装置７００がトラフィック監視において発するアラートや、生成した定時レポートと分析レポートは、複数のトラフィック分析装置（Ａ）７００、トラフィック分析装置（Ｂ）７００、トラフィック分析装置（Ｃ）７００を統合管理する統合管理装置８００に送られる。図７は、統合管理装置８００の機能構成を示す模式図である。統合管理装置８００は、構成管理機能部８０２、アラーム表示機能部８０４、レポート蓄積機能部８０６を備える。管理者は、統合管理装置８００にて、複数のトラフィック分析装置７００を統合管理し、各トラフィック分析装置７００のトラフィックデータを参照することができる。

トラフィック分析装置７００のリアルタイムモニタ機能（リアルタイムモニタ機能部）は、リアルタイム統計情報設定管理部７０４とリアルタイム統計情報モニタ部７０６により実現される。

図８及び図９は、リアルタイム統計情報設定管理部７０４の構成を示す模式図である。リアルタイム統計情報設定管理部７０４は、トラフィック分析装置７００によるリアルタイムの情報収集に際し、モニタする情報の設定を管理する。図８に示すように、リアルタイム統計情報設定管理部７０４は、モニタ基本設定、モニタ項目設定を管理する。モニタ項目設定として、Ｉｎｇｒｅｓｓ／Ｅｇｒｅｓｓモニタ設定と異常トラフィックモニタ設定がある。Ｉｎｇｒｅｓｓ／Ｅｇｒｅｓｓモニタ設定には、全受信パケット基本統計設定とポリシールール統計設定がある。そして、ポリシールール統計設定としては、図９に示すように、宛先／送信元ＩＰアドレス範囲指定統計の項目選択による設定と、ＴＣＰ／ＵＤＰポート番号分析指定設定がある。更に、ＴＣＰ／ＵＤＰポート番号分析指定にはＴＣＰ／ＵＤＰポート番号指定統計の項目選択による設定がある。

図１０は、リアルタイム統計情報モニタ部７０６の処理を示す模式図である。リアルタイム統計情報モニタ部７０６は、リアルタイムモニタ間隔設定で設定された時間間隔でトラフィック収集装置１００よりデータを取得する（ステップＳ３１）。そして、取得したデータの平均値ｐｐｓ／ｂｐｓを算出し（ステップＳ３２）、３０分間のリアルタイムモニタ波形の表示を更新する（ステップＳ３３）。ステップＳ２で算出された平均値ｐｐｓ／ｂｐｓはリアルタイムモニタ監視Ａに出力される。

トラフィック分析装置７００の監視機能とアラート通知機能は、リアルタイム統計情報モニタ部７０６と、アラート条件設定部７０８及びアラート管理通知部７１０との連携で実現される。

図１１は、アラート条件設定部７０８で行われる設定を示す模式図である。図１１に示すように、アラート条件設定部７０８では、主にリアルタイム統計情報モニタの監視設定が行われ、アラート発生時に統合監視装置８００にアラート情報を送付し、管理者にメールを発送する等のアクションを行う。

図１２は、アラート管理通知部７１０の処理を示すフローチャートである。アラート管理通知部７１０は、リアルタイムモニタ監視Ａに出力された平均値ｐｐｓ／ｂｐｓに基づいてアラートを発生させる。先ず、ステップＳ４１では、リアルタイム統計情報モニタの監視設定の有無を確認し、監視設定がある場合はステップＳ４２へ進む。ステップＳ４２では、上限閾値の設定の有無を確認し、上限設定値が有る場合は、次のステップＳ４３で平均値ｐｐｓ／ｂｐｓが上限閾値を超えたか否かを判定する。

ステップＳ４３で上限閾値を超えている場合は、ステップＳ４４へ進み、連続発生回数を超えたか否かを判定する。連続発生回数を超えている場合は、ステップＳ４５へ進み、アラートを発生する。具体的には、統合監視装置へのアラート情報の送付、管理者へのメール発送等の処理を行う。

一方、ステップＳ４２で上限閾値の設定が無い場合、ステップＳ４３で上限閾値を越えていない場合、またはステップＳ４４で連続発生回数を超えていない場合は、ステップＳ４６へ進む。ステップＳ４６では、下限閾値の設定の有無を確認し、下限閾値が設定されている場合は、ステップＳ４７へ進む。

ステップＳ４７では、下限閾値を超えたか否か（下限閾値を下回ったか否か）を判定し、下限閾値を超えている場合は、ステップＳ４８へ進み、連続発生回数を超えたか否かを判定する。連続発生回数を超えている場合は、ステップＳ４９へ進み、アラートを発生する。具体的には、統合監視装置８００へのアラート情報の送付、管理者へのメール発送等の処理を行う。

一方、ステップＳ４１で監視設定が無い場合、ステップＳ４６で下限閾値が設定されていない場合、ステップＳ４７で下限閾値超えが発生していない場合、またはステップＳ４８で連続発生回数を超えていない場合は、アクションを発生させない。以上のように、アラート管理通知部７１０は、アラート条件設定部７０８の設定と平均値ｐｐｓ／ｂｐｓとの比較によりアラートを発生させることができる。

トラフィック分析装置７００の定時レポート機能は、定時レポート設定管理部７１２と定時統計情報モニタ部７１４、及び定時統計情報レポート作成部７１６により実現される。

図１３は、定時レポート設定管理部７１２、定時統計情報モニタ部７１４、及び定時統計情報レポート作成部７１６で行われる処理を示す模式図である。図１３に示すように、定時レポート設定管理部７１２は、レポートの基本設定を行う。定時統計情報モニタ部７１４は、所定の時間間隔（例えば１分間隔）でトラフィック収集装置１００よりデータを取得する処理を行う。定時統計情報レポート作成部７１６は、図１３に示すステップＳ５１〜Ｓ５３、ステップＳ５４〜Ｓ５６、ステップＳ５７〜Ｓ５９の処理により時表波形レポート、日表波形レポート、月表波形レポートの保持／表示を行う。時表波形レポートはトラフィック分析部Ｂに出力され、日表波形レポートはトラフィック分析部Ｃに出力され、月表波形レポートはトラフィック分析部Ｄに出力される。

トラフィック分析装置７００のトラフィック分析機能は、トラフィック分析設定管理部７１８と、トラフィック分析部７２０及び分析レポート作成部７２２により、定時レポートのデータを分析することによって実現される。

図１４は、トラフィック分析設定管理部７１８による処理を示す模式図である。図１４に示すように、トラフィック分析設定管理部７１８では、分析基本設定が行われ、分析対象選択により、Ｉｎｇｒｅｓｓ／Ｅｇｒｅｓｓモニタの全受信パケット基本統計分析（Ｘ）、Ｉｎｇｒｅｓｓ／Ｅｇｒｅｓｓモニタのポリシールール統計分析、異常トラフィックモニタの分析（Ｚ）が選択される。Ｉｎｇｒｅｓｓ／Ｅｇｒｅｓｓモニタのポリシールール統計分析としては、宛先／送信元ＩＰアドレス範囲（サブネット）指定統計分析（Ｙ１）、ＴＣＰ／ＵＤＰポート番号指定統計分析（Ｙ２）の処理が行われる。

図１５〜図１８は、トラフィック分析部７２０及び分析レポート作成部７２４による処理を示す模式図である。ここで、図１５は、Ｉｎｇｒｅｓｓ／Ｅｇｒｅｓｓモニタの全受信パケット基本統計分析（Ｘ）を示している。トラフィック分析部７２０では、定時統計情報レポート作成部７１６から出力された時表波形レポート、日表波形レポート、月表波形レポートに基づいてトラフィックの分析を行う。

トラフィック分析部Ｂには、時表波形レポートが入力され、指定期間の全時表のデータ（1分間平均値(pps/bps))を大→小順に並び替え（ステップＳ６１）、上位5位の瞬間トラフィックデータの量(pps/bps)と日時を分析レポートに出力する（ステップＳ６２）。また、ステップＳ１で並び換えたデータを指定の段階に分け、各段階のデータ割合（各段階のデータ個数／全段階のデータ個数）を算出する（ステップＳ６３）。そして、各段階の情報（トラフィック量範囲／データ個数／割合）を分析レポートに出力する（ステップＳ６４）。

トラフィック分析部Ｃには、日表波形レポートが入力され、指定期間の全日表のデータ（1時間平均値(pps/bps))を大→小順に並び替え（ステップＳ６５）、上位1割のトラフィックの発生時間帯を集計し、1割のトラフィック量範囲と上位3位の時間帯をトラフィック量集中する時間帯として分析レポートに出力する（ステップＳ６６）。

トラフィック分析部Ｄには、月表波形レポートが入力され、指定期間の月表のデータ（1日平均値(pps/bps))をサブネット毎に大→小順に並び替え（ステップＳ６７）、上位3位の日平均データのトラフィック量(pps/bps)と日付を分析レポートに出力する（ステップＳ６８）。

分析レポート作成部７２２は、トラフィック分析部７２０によるトラフィック分析に基づいて分析レポートを作成し（ステップＳ６９）、これを保持、表示する（ステップＳ７０）。

また、図１６は、宛先／送信元ＩＰアドレス範囲（サブネット）指定統計分析（Ｙ１）を示している。図１６の基本的な処理は図１５と同様であるが、図１６ではサブネット毎に処理が行われる。

また、図１７は、ＴＣＰ／ＵＤＰポート番号指定統計分析（Ｙ２）を示す模式図である。
図１７の基本的な処理は図１５と同様であるが、図１７では音声／映像／制御／その他のデータ毎に処理が行われる。

また、図１８は、異常トラフィックモニタの分析（Ｚ）を示す模式図である。図１８に示すように、トラフィック分析部Ｂには時表波形レポートが入力され、指定期間の全時表のデータ（1分間平均値(pps/bps))から、シグネチャ異常/セッション異常/同時セッション数超え異常/秒間セッション数超え異常/全異常パケット数毎項目ごとに異常パケットを統計する（ステップＳ８１）。そして、各種異常パケットの割合を算出し、その結果を分析レポートに出力する（ステップＳ８２）。

トラフィック分析部Ｃには、日表波形レポートが入力され、指定期間の全日表のデータ（1時間平均値(pps/bps))をシグネチャ異常/セッション異常/同時セッション数超え異常/秒間セッション数超え異常毎に大→小順に並び替え（ステップＳ８３）、各種異常毎に、異常トラフィックの発生時間帯を集計し、上位3位の時間帯（異常頻発時間帯）を割り出し、分析レポートに出力する（ステップＳ８４）。

トラフィック分析部Ｄには、月表波形レポートが入力され、指定期間の月表のデータ（1日平均値(pps/bps))をシグネチャ異常/セッション異常/同時セッション数超え異常/秒間セッション数超え異常毎に大→小順に並び替え（ステップＳ８５）、各種異常毎に、異常トラフィックの発生日時・曜日を集計し、上位3位の日付・曜日（異常頻発日付・曜日）を割り出し、分析レポートに出力する（ステップＳ８６）。また、指定期間の月表のデータ（1日平均値(pps/bps))より、全異常パケット数を統計し（ステップＳ８７）、全異常パケット数/全正常受信パケット数の割合を算出し、分析レポートに出力する（ステップＳ８８）。

分析レポート作成部７２２は、トラフィック分析部７２０によるトラフィック分析に基づいて分析レポートを作成し（ステップＳ８９）、これを保持、表示する（ステップＳ９０）。

以上説明したように本実施形態によれば、リアルタイムで異常トラフィック／正常トラフィックをモニタと監視でき、管理者に閾値超えのアラートメールを発送できる。また、時表／日表／月表の定時レポート（波形）を生成できるため、トラフィックの実態を容易に分析することができる。

また、Ｉｎｇｒｅｓｓ／Ｅｇｒｅｓｓモニタの全受信パケット基本統計分析により、上位５位の瞬間トラフィック量とその発生日時、各段階のトラフィックの割合、上位１割のトラフィック量範囲とこれらのトラフィックが集中する上位３位の時間帯、上位３位の日平均データのトラフィック量（ｐｐｓ／ｂｐｓ）と日付等を分析することが可能となる。

また、宛先／送信元ＩＰアドレス範囲（サブネット）指定の統計分析により、サブネット毎に、上位３位の瞬間トラフィック量とその発生日時、各段階のトラフィックの割合、上位１割のトラフィック量範囲とこれらのトラフィックが集中する上位３位の時間帯、上位３位の日平均データのトラフィック量（ｐｐｓ／ｂｐｓ）と日付、全体的各サブネットのトラフィック割合等を分析することが可能となる。

また、ＴＣＰ／ＵＤＰポート番号指定統計分析により、音声／映像／制御／その他毎の各段階のトラフィックの割合、上位３位の瞬間トラフィックデータの量（ｐｐｓ／ｂｐｓ）と日時、上位１割のトラフィック量範囲とその集中時間帯上位３位、上位３位の日平均データのトラフィック量（ｐｐｓ／ｂｐｓ）と日付、全体的にそれぞれのトラフィック割合等を分析することができる。

また、異常トラフィックモニタの分析により、各種異常パケットの割合、異常トラフィックの発生時間帯の上位３位、発生日付（曜日）の上位３位、全異常パケット数と全正常受信パケット数の割合等を分析することができる。

従って、本実施形態によれば、ネットワーク管理者が自分でトラフィックを分析、或いは、専門業者にトラフィック分析を依頼する必要がなく、容易に各回線の状態を把握することができる。これにより、ネットワーク管理者の負担や、ネットワーク運用費用を低減することが可能となる。

以上、添付図面を参照しながら本発明の好適な実施形態について説明したが、本発明は係る例に限定されないことは言うまでもない。当業者であれば、特許請求の範囲に記載された範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、それらについても当然に本発明の技術的範囲に属するものと了解される。

本発明の一実施形態に係るトラフィック収集装置のネットワークへの設置構成を示す模式図である。トラフィック収集装置の機能と構成を示す模式図である。Ｉｎｇｒｅｓｓパケットフィルタ部、Ｅｇｒｅｓｓパケットフィルタ部の構成を示す模式図である。異常トラフィック検出部の構成を示す模式図である。セッション処理部による処理を示すフローチャートである。トラフィック分析装置の機能と、その機能を実現するための構成を示す模式図である。統合管理装置の機能構成を示す模式図である。リアルタイム統計情報設定管理部の構成を示す模式図である。リアルタイム統計情報設定管理部の構成を示す模式図である。リアルタイム統計情報モニタ部の処理を示す模式図である。アラート条件設定部で行われる設定を示す模式図である。アラート管理通知部の処理を示すフローチャートである。定時レポート設定管理部、定時統計情報モニタ部、及び定時統計情報レポート作成部で行われる処理を示す模式図である。トラフィック分析設定管理部による処理を示す模式図である。トラフィック分析部及び分析レポート作成部による処理を示す模式図である。トラフィック分析部及び分析レポート作成部による処理を示す模式図である。トラフィック分析部及び分析レポート作成部による処理を示す模式図である。トラフィック分析部及び分析レポート作成部による処理を示す模式図である。

符号の説明

１００トラフィック収集装置
７００トラフィック分析装置
７０４リアルタイム統計情報設定管理部
７０６リアルタイム統計情報モニタ部
７０８アラート条件設定部
７１０アラート管理通知部
７２０トラフィック分析部
７２２分析レポート作成部

Claims

ネットワークへ接続されるアクセス網のトラフィックを分析するトラフィック分析装置であって：
ネットワークとアクセス網との間の通信データに関する情報をトラフィック収集装置からリアルタイムで収集するリアルタイムモニタ機能部と；
前記トラフィック収集装置からリアルタイムで収集した情報に関するアラート条件を設定するアラート条件設定部と；
前記アラート条件に基づいて、ネットワークとアクセス網との間のトラフィックに関するアラートを発生させるアラート管理通知部と；
を備えることを特徴とする、トラフィック分析装置。
前記トラフィック収集装置からリアルタイムで収集した情報に関して、１時間毎の波形、１日毎の波形、又は１月毎の波形に基づいてトラフィックを分析するトラフィック分析部を備えることを特徴とする、請求項１に記載のトラフィック分析装置。
前記トラフィック分析部の分析結果に基づいてレポートを作成する分析レポート作成部を備えることを特徴とする、請求項２に記載のトラフィック分析装置。
前記トラフィック収集装置からリアルタイムで収集した情報は、前記トラフィック収集装置のパケットフィルタで収集された情報、又は異常トラフィックとして収集された情報を含み、
前記トラフィック分析部は、前記パケットフィルタで収集された情報に基づく全受信パケットの基本統計分析、前記パケットフィルタで収集された情報に基づく特定範囲のパケットの統計分析、又は前記異常トラフィックの分析を行うことを特徴とする、請求項２に記載のトラフィック分析装置。
ネットワークとアクセス網との間の通信データに関する情報をトラフィック収集装置からリアルタイムで収集するステップと；
前記トラフィック収集装置からリアルタイムで収集した情報に関するアラート条件を設定するステップと；
前記アラート条件に基づいて、ネットワークとアクセス網との間のトラフィックに関するアラートを発生させるステップと；
を備えることを特徴とする、トラフィック分析方法。
ネットワークとのアクセス網からトラフィック情報を収集するトラフィック収集装置と、前記トラフィック情報を分析するトラフィック分析装置とが接続されたトラフィック分析システムであって：
前記トラフィック分析装置は：
ネットワークとアクセス網との間の通信データに関する情報を前記トラフィック収集装置からリアルタイムで収集するリアルタイムモニタ機能部と；
前記トラフィック収集装置からリアルタイムで収集した情報に関するアラート条件を設定するアラート条件設定部と；
前記アラート条件に基づいて、ネットワークとアクセス網との間のトラフィックに関するアラートを発生させるアラート管理通知部と；
を備えることを特徴とする、トラフィック分析システム。