JP2009253907A - ネットワーク監視プログラム、ネットワーク監視方法およびネットワーク監視装置 - Google Patents

Abstract

【課題】資源を過度に使用したり、不十分に使用したりせず、使用できる範囲内で最大限に使用することを課題とする。
【解決手段】ネットワーク監視装置１０は、パケットキャプチャ部２０によりネットワークにおいて監視対象となる経路上のパケットを取得する。取得したパケットについては、パケット解析部５０により解析する。そして、ネットワーク監視装置１０は、サンプリング部３０によって取得したパケットのうち何割かを廃棄するが、そのレートをサンプリングレート調整部８０にて決定する。ここで、資源使用量計測部７０では、装置内で現に資源がどれだけ使用されているかが計測されており、サンプリングレート調整部８０で決定されるレートは、当該資源使用量に基づくものである。
【選択図】 図１

Description

この発明は、経路上を流れるパケットを監視するネットワーク監視装置、当該ネットワーク監視装置としてのコンピュータに実行させるネットワーク監視プログラムおよび当該ネットワーク監視装置に実行させるネットワーク監視方法に関する。

従来、違法なコンテンツ送受信の発見や、ウイルス感染の被害拡大防止を目的として、ネットワーク上を流れるパケットの解析が行なわれている。

具体的には、監視対象の幹線から分岐させた配線に、かかるパケット解析を行なうネットワーク監視装置を接続し、ネットワーク監視装置は、幹線に流れるパケットと同様のパケットを取得する。なお、ルータなどの中継装置は、幹線に接続されるので、かかる中継装置にパケット解析を行なわせる場合もある。

このようなネットワーク監視装置には、幹線に流れるパケットのうちどれだけのパケットを解析対象とするかを示すサンプリングレートが設定される。

例えば、サンプリングレートを１００％に設定すれば、ネットワーク監視装置が、幹線に流れるパケット全てに対して解析を行なうことになる。

また、例えば、サンプリングレートを１００％より下の値、例えば８０％に設定すれば、ネットワーク監視装置が、幹線に流れるパケットの８割に対して解析を行なうことになる。

また、特許文献１では、パケットの送受信に係る配送情報と、配送情報に応じたサンプリングレートを対応付けたテーブルを予め用意し、パケットの配送情報に基づいてサンプリングレートの設定を動的に切り換える手法が開示されている。

特開２００７−７４３８５号公報

しかしながら、上記したいずれの場合にも、装置内の資源を使用できる範囲内で最大限に使用していないという課題があった。

すなわち、サンプリングレートを１００％に設定すると、パケット解析の処理により資源が枯渇する状況があっても、さらにパケットを取得する。したがって、資源を使用できる範囲以上に使用し、処理遅延が起こる。

また、サンプリングレートを１００％より下の値に設定すると、幹線に流れるパケット全てに対してパケット解析を行っても資源が余る状況があっても、同様に何割かのパケットだけを取得する。したがって、資源を使用できる範囲以下で使用し、解析結果の精度が落ちる。

また、特許文献１で開示された手法に基づいて、サンプリングレートの設定を動的に切り換えたとしても、上記した状況と同じことが起こり得る。

そこで、この発明は、資源を使用できる範囲内で最大限に使用することが可能なネットワーク監視装置としてのコンピュータに実行させるネットワーク監視プログラム、ネットワーク監視方法およびネットワーク監視装置を提供することを目的とする。

このプログラムは、ネットワーク監視装置を、ネットワークにおいて監視対象となる経路上のパケットを取得するパケット取得手段、前記パケット取得手段によって取得されたパケットを解析するパケット解析手段、自装置が現に資源をどれだけ使用しているかを計測する資源使用量計測手段、前記資源使用量計測手段による計測結果が所定の閾値を超える場合、前記パケット解析手段で解析される前記経路上のパケットの割合を示すサンプリングレートを、前記資源使用量計測手段による計測結果が所定の目標値に近づくように制御するサンプリングレート制御手段、として機能させることを要件とする。

また、この方法は、ネットワーク監視装置が、ネットワークにおいて監視対象となる経路上のパケットを取得するパケット取得工程と、前記パケット取得工程において取得されたパケットを解析するパケット解析工程と、自装置が現に資源をどれだけ使用しているかを計測する資源使用量計測工程と、前記資源使用量計測手段による計測結果が所定の閾値を超える場合、前記パケット解析工程で解析される前記経路上のパケットの割合を示すサンプリングレートを、前記資源使用量計測手段による計測結果が所定の目標値に近づくように制御するサンプリングレート制御工程と、を実行することを要件とする。

また、この装置は、ネットワークにおいて監視対象となる経路上のパケットを取得するパケット取得手段と、前記パケット取得手順において取得されたパケットを解析するパケット解析手段と、自装置が現に資源をどれだけ使用しているかを計測する資源使用量計測手段と、前記資源使用量計測手段による計測結果が所定の閾値を超える場合、前記パケット解析手順で解析される前記経路上のパケットの割合を示すサンプリングレートを、前記資源使用量計測手段による計測結果が所定の目標値に近づくように制御するサンプリングレート手段と、を備えたことを要件とする。

装置内のリソース（資源）状況に基づいて動的にサンプリングレートを調整するので、装置内の資源を過度に使用したり、資源を不十分に使用したりせず、使用できる範囲内で最大限に使用することが可能となる。その結果、システム処理が遅滞することもなく、資源が十分あるのにもかかわらず非効率的な間引き処理を実施することで解析結果の精度が必要以上に悪くなることもなくなる。

以下に添付図面を参照して、この発明に係るネットワーク監視装置の好適な実施の形態を詳細に説明する。

まず、ネットワーク監視装置の概要を説明する。ネットワーク監視装置は、監視対象の経路上を流れるパケットを取得できるように、例えば、幹線から分岐させた配線に接続して設置する。

そして、ネットワーク監視装置は、パケットを取得して解析する。解析結果については、例えば、違法なコンテンツ転送の発見や、ウイルス感染の被害拡大防止に利用される。

次に、ネットワーク監視装置の機能構成を説明する。図１は、ネットワーク監視装置の機能構成を示すブロック図である。

同図に示すように、ネットワーク監視装置１０は、パケットキャプチャ部２０と、サンプリング部３０と、パケット保持部４０と、パケット解析部５０と、タイマ６０と、資源使用量計測部７０と、サンプリングレート調整部８０と、制御パラメータ設定部９０と、を備える。

実際には、ネットワーク監視装置は、図２に示すように、ＣＰＵ（Central Processing Unit）１１０、ＲＯＭ（Read Only Memory）１２０、ＲＡＭ（Random Access Memory）１３０、ＨＤＤ（Hard Disk Drive）１４０、接続ポート１５０、電源ユニット１６０等を含むコンピュータ１００で実現される。

つまり、ＣＰＵ１１０によって実行されるプログラムが、パケットキャプチャ部２０、サンプリング部３０、パケット解析部５０、サンプリングレート調整部８０、制御パラメータ設定部９０、資源使用量計測部７０、および、タイマ６０の機能部を実現する。また、ＨＤＤ１４０またはＲＡＭ１３０がパケット保持部４０を実現する。

したがって、以下に説明する各部の処理や機能は、ネットワーク監視装置１０が、ＣＰＵ１１０、ＨＤＤ１４０、ＲＡＭ１３０等の資源を使用して実現される。

パケットキャプチャ部２０は、配線を流れ自装置に入力されるパケットを受け付け、サンプリング部３０へ出力する。

サンプリング部３０は、指定されたサンプリングレートに基づいてパケットを取得するか否かを判断し、取得したパケットについては、パケット保持部４０に格納する。

パケット取得の判断手法の一例としては、サンプリング部３０は、サンプリングレートが０．７である場合には、まず、１〜１００までの乱数を生成する。そして、サンプリング部３０は、乱数が１〜７０であれば、パケットを取得し、乱数が７１〜１００であれば、パケットを廃棄する。

パケット保持部４０は、サンプリング部３０によって取得されたパケットを保持する。

パケット解析部５０は、パケット保持部４０からパケットを読み出し、解析を行なう。なお、解析結果については、自装置で記憶してもよいし、所定の管理サーバ等に送信してもよい。

タイマ６０は、一定の時間間隔で、資源使用量計測部７０に対して制御信号を出力する。

資源使用量計測部７０は、一定の時間間隔で、自装置が現に資源をどれだけ使用しているか（資源使用量）の計測を行なう。

具体的には、資源使用量計測部７０は、タイマ６０から制御信号を受け取ると、資源使用量の計測を行ない、計測値をサンプリングレート調整部８０に出力する。

ここで、図２に示した、ＣＰＵ１１０、ＲＡＭ１３０、ＨＤＤ１４０または電源ユニット１６０が計測の対象となる。例えば、ＣＰＵ１１０の使用率、ＲＡＭ１３０またはＨＤＤ１４０へのデータ蓄積量、電源ユニット１６０の電力供給量などが実際の計測値となる。

監視対象の経路上にパケットが大量に流れ、ネットワーク監視装置が全てのパケットを取得して解析を行なうと、ＣＰＵ１１０の使用率、データ蓄積量、電力供給量等が次第に大きな値となる。

サンプリングレート調整部８０は、資源使用量計測部７０による計測結果に基づいて、サンプリング部３０に対してサンプリングレートを指定する。

具体的には、サンプリングレート調整部８０は、資源使用量計測部７０から受け取った計測値が所定の閾値を下回る場合には、サンプリング部３０に対し、サンプリングレートを１００％として指定する。なお、所定の閾値については、ネットワーク監視装置１０に予め設定される。

一方、計測値が所定の閾値を上回る場合には、サンプリングレート調整部８０は、次回受け取る計測値が所定の目標値に近づくようにサンプリングレートの更新を実施する。

サンプリングレート調整部８０は、数式１および数式２で示すＰＩ制御則によりサンプリングレートを決定する。

サンプリングレート調整部８０は、資源使用量計測部７０から計測値を受け取るたびにｅを算出しており、それと同時にサンプリングレートの更新を実施し、今回や前回算出したｅに基づいてサンプリングレートａを算出する。そして、サンプリング部３０に対し、サンプリングレートをａとして指定する。

その後、サンプリングレート調整部８０は、同様に計測値を受け取るので、再度ｅを算出し、今回や前回算出したｅに基づいてサンプリングレートａを算出し、サンプリング部３０に対し、サンプリングレートをａとして指定する。

このように、サンプリングレート調整部８０がサンプリングレートの更新を繰り返し行うことにより、計測値については目標値の近傍に収束する。

監視対象の経路上に流れるパケットが少量となってくると、計測値が所定の閾値を下回るので、その場合には、サンプリングレート調整部８０は、サンプリングレートの更新を実施しない。

ところで、数式１や数式２における目標値、Ｐ、Ｉは、制御パラメータであり、電源投入時、制御パラメータ設定部９０がサンプリングレート調整部８０に対して設定する。

目標値については任意であるが、この目標値に対する最適なＰ、Ｉの値については以下の手法で決定することが望ましい。

すなわち、サンプリングレート制御と、制御結果として得られる資源使用量との関係を表す数式モデルを用いて、安定な制御を実現するＰ、Ｉのパラメータ領域を決定する。

資源使用量の計測と同期して更新されるサンプリングレートと、その結果得られる資源使用量の変化を定式化した数式モデルである。

資源使用量の計測間隔内に到着するすべてのパケットに対し処理を行った場合の資源使用量をＥ、その時間間隔内に処理から解放され使用可能となる資源使用量をＣとする。そして、資源使用量の計測間隔内では、ａという固定のサンプリングレートでパケット取得が実施される。その結果、次回計測時の資源使用量ρを表す数式３を得る。

数式１および数式２のＰＩ制御則と、数式３の資源使用量の変化とを、資源使用量の計測間隔を単位時間とする離散時間フィードバック制御機構として解析する。

構築されたフィードバック制御機構のブロック線図は、図３のようになり、その時の離散時間閉ループ伝達関数は、数式４となる。

その結果、閉ループ系が安定となるような制御パラメータＰ、Ｉは、Ｊｕｒｙの安定判別法により、数式５と導出することができる。

数式５、すなわち、図４に示すような安定領域内のパラメータを用いれば、目標値への収束性が保証された安定なサンプリングレート制御が実現できる。

以下では、Ｅの決定からパラメータの選択までを具体的に説明するが、資源使用量の単位として総資源量に対する割合（％）を用いる。なお、単位が変わったとしてもパラメータのスケールが変化するだけで、上記モデルおよび以降の記述には依存しない。

図４の安定領域は、資源使用量の計測間隔内に到着するすべてのパケットを処理した場合の資源使用量Ｅに依存する。具体的には、Ｅが大きくなればなるほど安定領域は小さくなる。

さらに、Ｅは、資源使用量の計測間隔に依存する。具体的には、計測間隔が長くなればなるほどＥは大きくなる。

資源使用量の計測間隔の決定は任意であるので、計測間隔により最大限発生し得るパケットを見積もるとともに、資源使用量も見積もり、Ｅを安全側に決定することが望ましい。

例えば、資源使用量の計測間隔を１秒とした場合に、１秒間に最大限発生し得るすべてのパケットに対する解析を実施したとしても使用率が１００％以上にならない（例えば９０％）ＣＰＵであれば、Ｅについては１００とする。なお、この時決定した計測間隔がタイマ６０の時間間隔となる。

次にパラメータの選択を行なうが、例えば、ＣＰＵ使用率を計測値としてサンプリングレート制御を実施し、Ｅを１００としたときの安定領域内のパラメータ（Ｐ＝０．００５、Ｉ＝０．０００５）を使用した場合と、安定領域外のパラメータ（Ｐ＝０．０２、Ｉ＝０．０３）を使用した場合のＣＰＵ使用率の変化を図５に示す。

同図に示すように、安定領域外のパラメータを使用すると、ＣＰＵ使用率が目標値に収束できていないことが分かる。

したがって、図４で示した安定領域内から選択すればよいのだが、安定領域内の異なる２つのパラメータを用いたときの、同じ目標値に対する追従特性の違いを図６に示す。

同図に示すように、２つのパラメータは、安定領域内であっても、目標値への追従性の性能は異なる。

そこで、図４の安定領域のパラメータの中から最適なパラメータを一意に決定するためのシミュレーションを行なうことが望ましい。

具体的には、安定領域内のパラメータセット（Ｐ、Ｉ）をランダムに準備し、その中で最も目標値への追従性が高いものを最適なパラメータとして選択する。

その追従性を評価するために、数式３のＥに対し一定値（一定値＞目標値）、Ｃに対し一定値（微小）を与え、過負荷な状況をシミュレートする。なお、目標値についても具体的な数値を与える。

そして、数式１、数式２および数式３の有限時間シミュレーションから得られる信号の変化を観測し、シミュレーション時間内の目標値からのズレの総量が最も小さいパラメータセット（Ｐ、Ｉ）を最適なパラメータとして選択する。

追従性の評価シミュレーションの演算例を以下に示す。時刻をｋ（ｋ＜ｎ）とし、安定領域内の特定パラメータセット（Ｐ、Ｉ）に対し、下記のシミュレーションを実施する。

ｓｕｍ＝０；（目標値からのズレの総和）
Ｅ＝１００;
Ｃ＝１０；
ｆｏｒ（ｋ＝１；ｋ＜ｎ；ｋ＋＋）（ｋを時刻ｎまでループ）｛
ｅ［ｋ］＝目標値−ρ［ｋ］
ａ［ｋ］＝ａ［ｋ−１］＋Ｐ＊（ｅ［ｋ］−ｅ［ｋ−１］）＋Ｉ＊ｅ［ｋ］
ρ［ｋ＋１］＝ρ［ｋ］＋ａ［ｋ］＊Ｅ−Ｃ
ｓｕｍ＝ｓｕｍ＋（ｅ［ｋ］の絶対値）
｝

各パラメータセットに対し、目標値からのずれの総量ｓｕｍを比較し、この値が最小のパラメータセットを選択する。

追従性評価シミュレーションイメージを図７に示す。同図に示すように、直ちに目標値に追従するパラメータセットＣを選択するのが望ましい。

制御パラメータ設定部９０は、このように決定した目標値、Ｐ、Ｉをサンプリングレート調整部８０に対して設定する。

最後に、サンプリングレート調整部８０の処理動作について図８のフローチャートを参照して説明する。同図に示す処理フローは、資源使用量計測部７０から計測値が出力されるたびに実行される。

まず、サンプリングレート調整部８０は、資源使用量計測部７０から計測値を受け取る（ステップＳ１１０）。

そして、サンプリングレート調整部８０は、計測値が所定の閾値を上回る場合には（ステップＳ１２０肯定）サンプリング部３０に対するサンプリングレートを更新し（ステップＳ１５０）処理を終了する。

その後も計測値が所定の閾値を上回れば（ステップＳ１２０肯定）、サンプリング部３０に対するサンプリングレートの更新が継続される（ステップＳ１５０）。

一方、サンプリングレート調整部８０は、計測値が所定の閾値を下回る場合には（ステップＳ１２０否定）、サンプリング部３０に対するサンプリングレートを１００％に更新して（ステップＳ１６０）、処理を終了する。

上記したように、実施例１によれば、ネットワーク監視装置は、自装置の資源使用量を計測し、計測結果に基づいて動的にパケットに対するサンプリングレートを調整する。具体的には、資源使用量の値が閾値を下回ればサンプリングレートを１００％にして全パケットを取得し、閾値を上回れば、資源使用量の値が所定値近傍となるようにサンプリングレートの制御を行なう。その結果、自装置内の資源を使用できる範囲内で最大限に使用することが可能となる。

さて、これまで実施例１に係るネットワーク監視装置について説明したが、本発明は上述した実施例１以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下に示すように、（１）〜（３）にそれぞれ区分けして異なる実施例を説明する。

（１）ネットワーク監視装置
上記の実施例では、ネットワーク監視装置として、プログラムを実行したコンピュータを使用して説明したが、本発明はこれに限定されるものではなく、ハードウェアロジックによって各機能部の処理を実現する専用のネットワーク監視装置を使用してもよい。

（２）パケット取得
また、上記の実施例では、幹線から配線を分岐させるものとして説明したが、本発明はこれに限定されるものではなく、監視対象の経路上を流れるパケットを取得できればいかなる手法を用いてもよい。例えば、幹線に直接接続されるルータ等のデータ中継装置をネットワーク監視装置として兼用し、データ中継装置に入力されたパケットをミラーリングするようにしてもよい。

（３）分岐後のパケット
また、上記の実施例では、幹線から分岐した配線には、幹線を流れるパケット全てが流れてネットワーク監視装置に入力されるものとして説明したが、本発明はこれに限定されるものではなく、分岐手段についてもネットワーク監視装置の一部として機能し、分岐手段にサンプリングを行わせる実施形態でもよい。

つまり、パケットキャプチャ部２０およびサンプリング部３０が分岐手段に対応し、サンプリングレートが下がれば、幹線を流れるパケットの何割かが配線に流れて２つの機能部を除くネットワーク監視装置本体に入力されるようにしてもよい。

ネットワーク監視装置の構成を示すブロック図である。 ネットワーク監視装置としてのコンピュータを示す図である。 フィードバック制御機構のブロック線図を示す図である。 フィードバック制御機構のパラメータ安定領域を示す図である。 安定領域内／外のパラメータを使用した場合の評価結果を示す図である。 追従特性の評価結果を示す図である。 追従性評価シミュレーションの一例を示す図である。 サンプリングレート調整部の処理の流れを示すフローチャートである。

符号の説明

１０ ネットワーク監視装置
２０ パケットキャプチャ部
３０ サンプリング部
４０ パケット保持部
５０ パケット解析部
６０ タイマ
８０ サンプリングレート調整部
９０ 制御パラメータ設定部
１００ コンピュータ
１１０ ＣＰＵ
１２０ ＲＯＭ
１３０ ＲＡＭ
１４０ ＨＤＤ
１５０ 接続ポート
１６０ 電源ユニット

Claims (7)

1. ネットワーク監視装置を、
   ネットワークにおいて監視対象となる経路上のパケットを取得するパケット取得手段、
   前記パケット取得手段によって取得されたパケットを解析するパケット解析手段、
   自装置が現に資源をどれだけ使用しているかを計測する資源使用量計測手段、
   前記資源使用量計測手段による計測結果が所定の閾値を超える場合、前記パケット解析手段で解析される前記経路上のパケットの割合を示すサンプリングレートを、前記資源使用量計測手段による計測結果が所定の目標値に近づくように制御するサンプリングレート制御手段、
   として機能させることを特徴とするネットワーク監視プログラム。
2. 前記サンプリングレート制御手段は、前記資源使用量計測手段による計測結果が所定の閾値を超えない場合には、前記サンプリングレートを１００％に設定することを特徴とする請求項１に記載のネットワーク監視プログラム。
3. 前記資源使用量計測手段は、一定の時間間隔ごとに計測を行い、
   前記サンプリングレート制御手段は、前記所定の閾値を超える場合には、前記資源使用量計測手段による計測ごとに、当該計測結果と、前記所定の目標値との偏差に基づくＰＩ制御則を用いて、次回の計測結果が前記所定の目標値に近づくサンプリングレートを算出し、設定することを特徴とする請求項１または２に記載のネットワーク監視プログラム。
4. 前記資源使用量計測手段が使用する前記ＰＩ制御則のパラメータは、当該パラメータを変数とした数式モデルによるシミュレーションによって求めた最適値であることを特徴とする請求項３に記載のネットワーク監視プログラム。
5. 前記資源使用量計測手段による計測結果が、ＣＰＵの使用率、メモリまたはＨＤＤのデータ蓄積量、または、電力消費量であることを特徴とする請求項１〜４のいずれか一つに記載のネットワーク監視プログラム。
6. ネットワーク監視装置が、
   ネットワークにおいて監視対象となる経路上のパケットを取得するパケット取得工程と、
   前記パケット取得工程において取得されたパケットを解析するパケット解析工程と、
   自装置が現に資源をどれだけ使用しているかを計測する資源使用量計測工程と、
   前記資源使用量計測手段による計測結果が所定の閾値を超える場合、前記パケット解析工程で解析される前記経路上のパケットの割合を示すサンプリングレートを、前記資源使用量計測手段による計測結果が所定の目標値に近づくように制御するサンプリングレート制御工程と、
   を実行することを特徴とするネットワーク監視方法。
7. ネットワークにおいて監視対象となる経路上のパケットを取得するパケット取得手段と、
   前記パケット取得手順において取得されたパケットを解析するパケット解析手段と、
   自装置が現に資源をどれだけ使用しているかを計測する資源使用量計測手段と、
   前記資源使用量計測手段による計測結果が所定の閾値を超える場合、前記パケット解析手順で解析される前記経路上のパケットの割合を示すサンプリングレートを、前記資源使用量計測手段による計測結果が所定の目標値に近づくように制御するサンプリングレート手段と、
   を備えたことを特徴とするネットワーク監視装置。

Images