JP2010135871A

JP2010135871A - ネットワーク機器、及びネットワーク情報の推定方法

Info

Publication number: JP2010135871A
Application number: JP2008307019A
Authority: JP
Inventors: Nobuyuki Nakamura; 信之中村
Original assignee: Oki Electric Industry Co Ltd
Current assignee: Oki Electric Industry Co Ltd
Priority date: 2008-12-02
Filing date: 2008-12-02
Publication date: 2010-06-17
Anticipated expiration: 2028-12-02
Also published as: JP5035224B2

Abstract

【課題】暗号化又は隠蔽化されたトラフィックのセッション数及び対応アプリケーションを推定することができるネットワーク機器、及びネットワーク情報の推定方法が望まれていた。
【解決手段】暗号化又は隠蔽化されたフローを抽出するフロー抽出部１０２と、抽出されたフローをスペクトル解析し、該スペクトル解析結果とトラフィック量とに基づいて総セッション数を推定し、既知アプリケーションＤＢ１０４に記録された既知アプリケーションのスペクトル解析結果のうち、フローのスペクトル解析結果と特徴周波数が重複する既知アプリケーションのスペクトル解析結果を抽出し、抽出した既知アプリケーションのスペクトル解析結果と総セッション数とに基づき、フローに対応する１又は複数のアプリケーションと、当該アプリケーション毎のセッション数とを推定する推定部１０３とを備えたものである。
【選択図】図１

Description

本発明は、ネットワークに流れるトラフィックのうち、暗号化又は隠蔽化されたトラフィックのセッション数及び対応アプリケーションを推定する技術に関するものである。

従来のネットワークでは、ユーザー同士が通信し合うトラフィックを暗号化・隠蔽化するためのインフラが少なく、ネットワーク管理においてはそれらを気にする必要はなかった。
しかし、昨今、Ｐ２Ｐ（ＰｅｅｒｔｏＰｅｅｒ）ソフトウェアが多数開発され、それらのトラフィックがネットワーク管理者にとって無視できない量になっており、そのための設備投資や、それらのインフラを用いた著作権侵害や情報漏えいなどの問題が発生している。
一般に、これらの問題に対する装置は、ＩＤＳ（ＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎＳｙｓｔｅｍ）のように、トラフィックを解析して遮断することが最善とされていたが、暗号化や隠蔽化などにより、容易にトラフィックを解析することができず、ネットワーク管理者を悩ませている。

従来の技術として、例えば非特許文献１に、既存の非暗号化プロトコルが、暗号化された際にどのようなトラフィック挙動を示すかを調査したものがある。

また、例えば特許文献１に、「暗号化プロセスを識別するインデックスを与えること；シグナリング・メッセージ中に前記インデックスを含ませること」が提案されている（請求項１参照）。

また、例えば特許文献２に、「暗号化プロトコルを使用するＷＬＡＮ無線通信においても、音声トラフィックの通信品質の良否を判定できる監視トラフィック通信品質監視装置」が提案されている（要約参照）。

特表２００８−５０７２０９号公報特開２００７−２８５２６号公報 "On Inferring Application Protocol Behaviors in Encrypted Network Traffic", The Journal of Machine Learning Research, Volume 7 , (December 2006) table of contents, Pages: 2745 - 2769 , 2006

しかしながら、従来の技術においては、暗号化又は隠蔽化されたトラフィックが、どのくらいの数のセッションが束ねられたものであり、どういった種類の通信プロトコル（アプリケーション）のデータであるのか、ということが分からない。そのため、ネットワーク管理者にとって、遮断すべきトラフィックなのか、何らかの対策をとらないといけないトラフィックなのか、あるいは通常のユーザートラフィックであり安全なものであるのかの区別ができない、という問題点があった。

上記非特許文献１に記載の技術は、既存の非暗号化プロトコルが、暗号化された際にどのようなトラフィック挙動を示すかを調査したものであり、１つのフローが暗号化されたフローであれば元プロトコルの推定ができる可能性が示されている。
しかしながら、複数のセッションが１つの暗号化フローに含まれている場合は、切り分けられない、という課題がある。

また、上記特許文献１に記載の技術は、予め暗号化の際にフロー毎にインデックスをつけておくことで、暗号化されたトラフィックのフローを管理できるようにしたものである。
しかしながら、この基準に沿わない形で暗号化されたフローの識別はできない、という課題がある。

また、上記特許文献２に記載の技術は、無線ＬＡＮの上で、暗号化された音声パケットの通信品質を、パケット到着間隔の周波数解析によって管理しようとするものである。
しかしながら、目的が無線ＬＡＮの揺らぎを周波数の揺らぎにより検出しようとするものであり、どういったプロトコルが利用されているか、何セッション含まれているのか、などの解析をすることができない、という課題がある。

そのため、暗号化又は隠蔽化されたトラフィックのセッション数及び対応アプリケーションを推定することができるネットワーク機器、及びネットワーク情報の推定方法が望まれていた。

本発明に係るネットワーク機器は、ネットワークに接続されるネットワーク機器であって、暗号化又は隠蔽化された既知のアプリケーションのトラフィックがそれぞれスペクトル解析され、少なくとも特徴周波数の情報を含むスペクトル解析結果が記録された既知アプリケーションデータベースと、前記ネットワークに流れるトラフィックを収集するトラフィックキャプチャー部と、前記トラフィックキャプチャー部により収集されたトラフィックのうち、暗号化又は隠蔽化されたフローを抽出するフロー抽出部と、前記フロー抽出部により抽出されたフローをスペクトル解析し、該スペクトル解析結果とトラフィック量とに基づいて総セッション数を推定し、前記既知アプリケーションデータベースに記録された既知アプリケーションのスペクトル解析結果のうち、前記フローのスペクトル解析結果と特徴周波数が重複する既知アプリケーションのスペクトル解析結果を抽出し、抽出した前記既知アプリケーションのスペクトル解析結果と前記総セッション数とに基づき、前記フローに対応する１又は複数のアプリケーションと、当該アプリケーション毎のセッション数とを推定する推定部とを備えたものである。

また、本発明に係るネットワーク情報の推定方法は、ネットワークを流れる暗号化又は隠蔽化トラフィックのセッション数及び対応アプリケーションを推定するネットワーク情報の推定方法であって、前記ネットワークに流れるトラフィックを収集するステップと、収集された前記トラフィックのうち、暗号化又は隠蔽化されたフローを抽出するステップと、抽出された前記フローをスペクトル解析し、該スペクトル解析結果とトラフィック量とに基づいて総セッション数を推定するステップと、予め記憶された、暗号化又は隠蔽化された既知のアプリケーションのトラフィックがそれぞれスペクトル解析され、少なくとも特徴周波数の情報を含むスペクトル解析結果のうち、前記フローのスペクトル解析結果と特徴周波数が重複する既知アプリケーションのスペクトル解析結果を抽出するステップと、抽出された前記既知アプリケーションのスペクトル解析結果と前記総セッション数とに基づき、前記フローに対応する１又は複数のアプリケーションと、当該アプリケーション毎のセッション数とを推定するステップとを有するものである。

本発明は、暗号化又は隠蔽化されたトラフィックのセッション数及び対応アプリケーションを推定することができる。

実施の形態１．
図１は実施の形態１に係るネットワーク機器の機能ブロック図である。
図１に示すように、ネットワーク機器１０は、トラフィックキャプチャー部１０１、フロー抽出部１０２、推定部１０３、既知アプリケーションＤＢ１０４、予測結果出力部１０５を備える。

トラフィックキャプチャー部１０１は、ネットワークに接続され、当該ネットワークに流れているトラフィックを収集してフロー抽出部１０２に出力する。

フロー抽出部１０２は、例えばシグネチャベースのＩＤＳのように実装され、暗号化又は隠蔽化されていない既知のトラフィックのシグネチャを持つ。
そして、トラフィックキャプチャー部１０１により収集されたトラフィックのうち、暗号化又は隠蔽化されたフロー（暗号化セッション又はトンネルセッション）を抽出して、推定部１０３に出力する。

推定部１０３は、暗号化又は隠蔽化されたトラフィックの総セッション数、並びに対応アプリケーション及びアプリケーション毎のセッション数を推定する。推定動作については後述する。

既知アプリケーションＤＢ１０４は、予め、典型的な既知のアプリケーション（以下「既知アプリケーション」ともいう。）のトラフィックが、１又は複数の暗号化方式（例えば、ＳＳＬ、ＩＰｓｅｃ、など）で暗号化又は隠蔽化され、この暗号化又は隠蔽化されたトラフィックのそれぞれのスペクトル解析結果の周波数ピーク値（特徴周波数及び強さ）がそれぞれ保持されている。
そして、推定部１０３からの要求にしたがってＤＢを検索し、特徴周波数と同じ周波数にピークを持つアプリケーションの情報を、推定部１０３に返すものである。

予測結果出力部１０５は、推定部１０３により推定された、暗号化又は隠蔽化されたトラフィックの総セッション数、並びに対応アプリケーション及びアプリケーション毎のセッション数の情報を出力するものである。
この予測結果出力部１０５は画面表示のような視覚的なものでも良いし、当該ネットワーク機器１０の外部にデータを伝送するものであっても良い。
尚、推定値の情報が複数ある場合には、例えば送信元・宛先アドレスの組みなどに応じて、推定値の情報を切り替えて又は選択して、出力するようにしても良い。

トラフィックキャプチャー部１０１は、ＬＡＮインターフェースなどのネットワークインターフェースにより構成することができる。
フロー抽出部１０２、推定部１０３は、これらの機能を実現する回路デバイスなどのハードウェアで実現することもできるし、マイコンやＣＰＵなどの演算装置上で実行されるソフトウェアとして実現することもできる。
既知アプリケーションＤＢ１０４は、ＨＤＤ（ＨａｒｄＤｉｓｋＤｒｉｖｅ）やフラッシュメモリなどの記憶装置で構成することができる。
予測結果出力部１０５は、推定値の情報の出力に必要なインターフェースを適宜備える。

次に、本実施の形態におけるネットワーク機器１０の動作について説明する。

まず、予め、既知アプリケーションＤＢ１０４に記録されるデータについて説明する。

図２は実施の形態１に係る既知アプリケーションＤＢ１０４に記録されるデータを説明する図である。
図２（ａ）に示すように、暗号化又は隠蔽化された既知アプリケーションのトラフィックについて、パケットサイズ、及びパケット到達間隔が抽出される。
次に、図２（ｂ）に示すように、パケットサイズ、パケット到着間隔などの情報を元に、当該トラフィックがフーリエ変換、Ｗａｖｅｌｅｔ変換などの手法を用いてスペクトル解析される。
また、図２（ｃ）に示すように、フィルタ処理を施して所定の閾値以下の強さ（振幅）成分が削除される。
そして、図２（ｄ）に示すように、所定の閾値以上の強さを有する特徴周波数の情報と、この特徴周波数における強さの情報とをスペクトル解析結果として取得され、このスペクトル解析結果が、図２（ｅ）に示すように、既知アプリケーションＤＢ１０４に記録される。
このようなスペクトル解析結果は、典型的な１又は複数の既知アプリケーションについてそれぞれ既知アプリケーションＤＢ１０４に記録される。
また、これら典型的な既知アプリケーションについて、１若しくは複数の暗号化方式により暗号化され、又は／及び、１若しくは複数の隠蔽化方式により隠蔽化されたトラフィックについて、それぞれスペクトル解析結果が取得され、既知アプリケーションＤＢ１０４に記録される。

尚、既知アプリケーションＤＢ１０４に記録されるスペクトル解析結果は、新しい暗号化方式や、新しいアプリケーションなどに対応して、適宜、新たなスペクトル解析結果を追加又は更新可能に記録するようにしても良い。
このように追加又は更新可能に記録することにより、ネットワークのトレンドに応じた新しいデータを持つ既知アプリケーションＤＢ１０４とすることができる。

尚、既知アプリケーションＤＢ１０４に記録されるスペクトル解析結果は、更新や追加を不可能とするように記録するようにしても良い。
このように更新や追加を不可能とすることにより、当該データベースの容量を固定とすることができ、当該ネットワーク機器のスペックに応じた容量とすることができる。また、データベースの更新を予定していない組み込みシステムとして用いる場合、動作の高速化を図ることができる。

次に、暗号化又は隠蔽化トラフィックのセッション数、及び対応アプリケーションを推定する動作について、図３〜図５を用いて説明する。

図３は実施の形態１に係るネットワーク機器１０の動作を示すフローチャートである。
図４は実施の形態１に係る入力トラフィックのスペクトル解析結果を示す図である。
図５は実施の形態１に係る既知のスペクトル解析結果の組合せを説明する図である。

本実施の形態１におけるネットワーク機器１０は、ＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）ネットワークに接続される。このＩＰネットワークには、たくさんのパケットが流れており、１つの意味のあるパケットの時系列の集合をフローと呼び、フローの集合をトラフィックと呼ぶことにする。

以下、本実施の形態１におけるネットワーク機器１０の動作を図３の各ステップに基づき、図４及び図５を参照しながら説明する。

（Ｓ１０１）
まず、トラフィックキャプチャー部１０１は、当該ネットワーク機器１０が接続されたＩＰネットワークに流れているトラフィックを全てキャプチャー（収集）して、フロー抽出部１０２に出力する。

（Ｓ１０２）
フロー抽出部１０２は、トラフィックキャプチャー部１０１から入力されたトラフィックをフロー毎に分けて、既存アプリケーション識別を行い、暗号化又は隠蔽化されてないフローを破棄し、それ以外の暗号化又は隠蔽化されていると考えられるフローを推定部１０３に出力する。

（Ｓ１０３）
推定部１０３は、フロー抽出部１０２により抽出されたフローをスペクトル解析し、このスペクトル解析結果とトラフィック量とに基づいて、暗号化又は隠蔽化されたトラフィックに含まれるセッション数（以下「総セッション数」という。）を推定する。

例えば、推定部１０３は、図４（ａ）に示すように、フロー抽出部１０２により抽出されたフローから、送信元・宛先アドレスが同一の組み毎に、トラフィック量（データサイズ・ビットレート）、パケット到着間隔などの情報を抽出する。
次に、図４（ｂ）に示すように、トラフィック量（パケットサイズ）、パケット到着間隔などの情報を元に、暗号化又は隠蔽化されたフローに対して、フーリエ変換、Ｗａｖｅｌｅｔ変換などの単一フローの推定に用いられる手法を用いてスペクトル解析し、トラフィックに含まれる周期性の種類を分離する。
また、図４（ｃ）に示すように、フィルタ処理を施して所定の閾値以下の強さ（振幅）成分をカット（削除）して、所定値以上の強さを有する特徴周波数と、該特徴周波数における強さの情報を求める。
以下、フィルタ処理を施した後のスペクトル解析結果を、「抽出フローのスペクトル解析結果」と呼ぶことにする。

そして、推定部１０３は、特徴周波数における強さと、当該フローのトラフィック量とに基づいて総セッション数を推定する。
例えば上記スペクトル解析にフーリエ変換を用いた場合、次のように行う。
まず、送信元・宛先アドレスの組み毎に、スペクトル解析結果の特徴周波数における強さ（ピーク値）をそれぞれ所定値β（β：予め与えられる値）で割り、この割った値をそれぞれ足し合わせて算出値γを求める。
そして、当該送信元・宛先アドレスの組みのトラフィック量を算出値γで割った値が、数ｋｂｐｓ〜数Ｍｂｐｓの間であれば、当該算出値γを総セッション数の推定値とする。
尚、トラフィック量を算出値γで割った値が、数ｋｂｐｓ〜数Ｍｂｐｓの間に収まらない場合は、所定値βの値が適当でない可能性があるため、エラーである旨の情報を予測結果出力部１０５へ出力して、推定動作を終了する。

（Ｓ１０４）
次に、推定部１０３は、既知アプリケーションＤＢ１０４に記録された既知アプリケーションのスペクトル解析結果のうち、抽出フローのスペクトル解析結果と、特徴周波数が全て重複する既知アプリケーションのスペクトル解析結果を抽出する。

（Ｓ１０５）
推定部１０３は、既知アプリケーションＤＢ１０４から抽出した既知アプリケーションのスペクトル解析結果を、それぞれ１又は複数組合せ、総数が総セッション数となる組合せパターンを求める。
例えば、図５に示すように、既知アプリケーションのスペクトル解析結果（Ｘ１）をａ個、スペクトル解析結果（Ｘ２）をｂ個、同様に、スペクトル解析結果（Ｘｎ）をｚ個とし、これらの個数の総数（ａ＋ｂ＋…＋ｚ）が、上記ステップＳ１０３で推定した総セッション数となる組合せを全て求める。

（Ｓ１０６）
推定部１０３は、求めた組合せパターンに応じて、抽出した既知アプリケーションのスペクトル解析結果を加算する。
図５に示す例では、スペクトル解析結果（Ｘ１）＊ａ個＋スペクトル解析結果（Ｘ２）＊ｂ個＋…＋スペクトル解析結果（Ｘｎ）＊ｚ個となる。

そして、この加算した既知アプリケーションのスペクトル解析結果と、抽出フローのスペクトル解析結果との乖離度を求める。
この乖離度は、例えば、加算した既知アプリケーションのスペクトル解析結果における各特徴周波数での強さ（ピーク値）と、抽出フローのスペクトル解析結果における各特徴周波数での強さ（ピーク値）との差分を算出し、その差分の絶対値を乖離度の算出値とする。

（Ｓ１０７）
推定部１０３は、全ての組合せパターンが完了するまで、スペクトル解析結果を加算と乖離度の算出とを繰り返す。

（Ｓ１０８）
次に、推定部１０３は、上記ステップＳ１０６で求めた各組合せパターンのうち、乖離度が最小となる組合せパターンと、当該乖離度の情報を保持する。

（Ｓ１０９，Ｓ１１０）
推定部１０３は、ステップＳ１０３で求めた総セッション数を、所定の範囲内で加算又は減算して、総セッション数を更新する。
そして、所定の範囲内での更新が全て完了するまで、上記ステップＳ１０５〜Ｓ１０９を繰り返す。

例えば、総セッション数−（総セッション数のα％）から、総セッション数をインクリメントし、総セッション数が、総セッション数＋（総セッション数のα％）となったとき更新を完了する。このα値としては例えば３％に設定する。
尚、総セッション数を加算又は減算する所定の範囲は、これに限らず任意の範囲に設定することができる。

（Ｓ１１１）
次に、推定部１０３は、上記ステップＳ１０８で保持した乖離度のうち、乖離度が最も小さくなる総セッション数、及び当該総セッション数におけるアプリケーション毎のセッション数を、総セッション数の推定値、及びアプリケーション毎のセッション数の推定値として、予測結果出力部１０５に出力する。

このような動作を、送信元・宛先アドレスの組み毎に行い、順次、推定結果を予測結果出力部１０５に出力する。

予測結果出力部１０５は、推定された、総セッション数の推定値、対応アプリケーション及びアプリケーション毎のセッション数の推定値の情報を出力する。

このような動作により、ネットワーク管理者（オペレーター）は、暗号化又は隠蔽化されたフローの総セッション数、対応アプリケーション及びそのアプリケーション毎のセッション数を知ることができる。
そして、ネットワーク管理者（オペレーター）は、これらの情報に基づいて、送信元・宛先アドレスの組みに応じて、通信のシェーピング・遮断などを行うことになる。

以上のように本実施の形態においては、暗号化又は隠蔽化されたフローを抽出して、このフローをスペクトル解析して総セッション数を推定し、既知アプリケーションＤＢ１０４に記録された既知アプリケーションのスペクトル解析結果を用いて、抽出したフローに対応するアプリケーションと、当該アプリケーション毎のセッション数とを推定する。
したがって、暗号化又は隠蔽化されたトラフィックであっても、そのセッション数及び対応アプリケーションを推定することができる。
これにより、暗号化又は隠蔽化されたトラフィックに対して、ネットワーク管理者等が通信を遮断するなどの対策を可能にすることができる。

また、既知アプリケーションのスペクトル解析結果を、複数の組合せパターンで加算して、抽出フローのスペクトル解析結果との乖離度を求め、乖離度が最も小さい組合せにおける既知アプリケーション毎の加算数を、アプリケーション毎のセッション数の推定値とする。
このため、アプリケーション毎のセッション数の推定値を精度良く推定することができる。

また、総セッション数を所定の範囲内で加算又は減算して、総セッション数を更新し、この更新した総セッション数を用いて、アプリケーション毎のセッション数を繰り返し推定し、乖離度が最も小さくなる総セッション数、及び当該総セッション数におけるアプリケーション毎のセッション数を、総セッション数の推定値、及びアプリケーション毎のセッション数の推定値とする。
このため、総セッション数の推定値、及びアプリケーション毎のセッション数を精度良く推定することができる。

また、ＩＰネットワークに流れる暗号化又は隠蔽化されたトラフィックを、そのトラフィック量（パケットサイズ）やパケット到達間隔など、隠蔽できない要素によりスペクトル解析するので、暗号化又は隠蔽化されたトラフィックであっても、確実な推定動作を可能とする。

尚、本実施の形態１では、ステップＳ１０９，Ｓ１１０において、総セッション数を所定の範囲内で更新して、再度、スペクトル解析結果の加算及び乖離度の算出を行う場合を説明したが、本発明はこれに限らず、総セッション数の更新を行わずに、ステップＳ１０３で求めた総セッション数のみを用いて、対応アプリケーション及びアプリケーション毎のセッション数を推定するようにしても良い。

実施の形態１に係るネットワーク機器の機能ブロック図である。実施の形態１に係る既知アプリケーションＤＢ１０４に記録されるデータを説明する図である。実施の形態１に係るネットワーク機器の動作を示すフローチャートである。実施の形態１に係る入力トラフィックのスペクトル解析結果を示す図である。実施の形態１に係る既知のスペクトル解析結果の組合せを説明する図である。

符号の説明

１０ネットワーク機器、１０１トラフィックキャプチャー部、１０２フロー抽出部、１０３推定部、１０４既知アプリケーションＤＢ、１０５予測結果出力部。

Claims

ネットワークに接続されるネットワーク機器であって、
暗号化又は隠蔽化された既知のアプリケーションのトラフィックがそれぞれスペクトル解析され、少なくとも特徴周波数の情報を含むスペクトル解析結果が記録された既知アプリケーションデータベースと、
前記ネットワークに流れるトラフィックを収集するトラフィックキャプチャー部と、
前記トラフィックキャプチャー部により収集されたトラフィックのうち、暗号化又は隠蔽化されたフローを抽出するフロー抽出部と、
前記フロー抽出部により抽出されたフローをスペクトル解析し、該スペクトル解析結果とトラフィック量とに基づいて総セッション数を推定し、
前記既知アプリケーションデータベースに記録された既知アプリケーションのスペクトル解析結果のうち、前記フローのスペクトル解析結果と特徴周波数が重複する既知アプリケーションのスペクトル解析結果を抽出し、
抽出した前記既知アプリケーションのスペクトル解析結果と前記総セッション数とに基づき、前記フローに対応する１又は複数のアプリケーションと、当該アプリケーション毎のセッション数とを推定する推定部と
を備えたことを特徴とするネットワーク機器。
前記推定部は、
前記フロー抽出部により抽出されたフローのパケットサイズ及びパケット到着間隔の情報に基づき、前記フローをスペクトル解析し、
該スペクトル解析の結果から、所定値以上の強さを有する特徴周波数と、該特徴周波数における強さとを抽出し、
前記特徴周波数における強さと、当該フローのトラフィック量とに基づいて前記総セッション数を推定することを特徴とする請求項１記載のネットワーク機器。
前記推定部は、
前記既知アプリケーションデータベースから抽出した既知アプリケーションのスペクトル解析結果を、総数が前記総セッション数となるように、それぞれ１又は複数組合せて加算し、該加算した既知アプリケーションのスペクトル解析結果と、前記フローのスペクトル解析結果との乖離度を求め、
前記既知アプリケーションのスペクトル解析結果を加算した組合せのうち、前記乖離度が最も小さい組合せにおける前記既知アプリケーション毎の加算数を、前記アプリケーション毎のセッション数の推定値とすることを特徴とする請求項１又は２記載のネットワーク機器。
前記推定部は、
前記総セッション数を所定の範囲内で加算又は減算して、前記総セッション数を更新し、
該更新した総セッション数を用いて、前記アプリケーション毎のセッション数を繰り返し推定し、
前記乖離度が最も小さくなる前記総セッション数、及び当該総セッション数における前記アプリケーション毎のセッション数を、前記総セッション数の推定値、及び前記アプリケーション毎のセッション数の推定値とすることを特徴とする請求項３記載のネットワーク機器。
前記既知アプリケーションデータベースは、
１若しくは複数の暗号化方式により暗号化され、又は／及び、１若しくは複数の隠蔽化方式により隠蔽化された、１又は複数の既知のアプリケーションのトラフィックが、それぞれスペクトル解析され、所定値以上の強さを有する特徴周波数の情報と、該特徴周波数における強さの情報とが、前記スペクトル解析結果として記録されることを特徴とする請求項１〜４の何れかに記載のネットワーク機器。
前記既知アプリケーションデータベースは、
前記スペクトル解析結果が、更新可能又は／及び追加可能に記録されることを特徴とする請求項１〜５の何れかに記載のネットワーク機器。
前記既知アプリケーションデータベースは、
前記スペクトル解析結果が、更新不可能又は／及び追加不可能に記録されることを特徴とする請求項１〜５の何れかに記載のネットワーク機器。
ネットワークを流れる暗号化又は隠蔽化トラフィックのセッション数及び対応アプリケーションを推定するネットワーク情報の推定方法であって、
前記ネットワークに流れるトラフィックを収集するステップと、
収集された前記トラフィックのうち、暗号化又は隠蔽化されたフローを抽出するステップと、
抽出された前記フローをスペクトル解析し、該スペクトル解析結果とトラフィック量とに基づいて総セッション数を推定するステップと、
予め記憶された、暗号化又は隠蔽化された既知のアプリケーションのトラフィックがそれぞれスペクトル解析され、少なくとも特徴周波数の情報を含むスペクトル解析結果のうち、前記フローのスペクトル解析結果と特徴周波数が重複する既知アプリケーションのスペクトル解析結果を抽出するステップと、
抽出された前記既知アプリケーションのスペクトル解析結果と前記総セッション数とに基づき、前記フローに対応する１又は複数のアプリケーションと、当該アプリケーション毎のセッション数とを推定するステップと
を有することを特徴とするネットワーク情報の推定方法。