JP2010213143A - トラフィック記録装置 - Google Patents

Abstract

【課題】特徴的な事象の前後のトラフィックデータを低コストで記録することができるトラフィック記録装置を提供する。
【解決手段】トラフィックデータを受信するデータ受信部と、不揮発的な記録領域であるダンプファイル記録部と、受信したトラフィックデータを所定時間毎に分割してキャッシュデータとして一時的に保持するキャッシュ部と、を備え、トラフィックデータを記録するトラフィック記録装置であって、トラフィックデータで所定の事象が発生したことを通知する検出通知を受信すると、キャッシュ部のキャッシュデータの中から、検出通知の受信から所定時間前までのトラフィックデータを記録したキャッシュデータを特定し、特定したキャッシュデータを検出通知と関連付けてダンプファイル記録部に記録するキャッシュ管理部を備えたトラフィック記録装置。
【選択図】図１

Description

本発明は、コンピュータネットワークにおけるトラフィックデータを記録するトラフィック記録装置に係り、特に、特徴的な事象が発生した場合に、その前後のトラフィックデータを記録するトラフィック記録装置に関する。

コンピュータネットワークのセキュリティ分野において、インシデントは、コンピュータやネットワークのセキュリティにとって何らかの形で有害な事象を意味する。インシデントとして代表的なものに、不正アクセス、不正中継、システムへの侵入、データの改ざん、サービス妨害行為等がある。

コンピュータネットワークに伝送される多種のトラフィックデータをリアルタイムに解析して、インシデントの可能性がある特徴的な事象の発生を検出する装置が知られている。このような特徴的な事象の発生が検出された場合には、その事象が対応すべきインシデントであるかどうかの判断を行なうために、関連するトラフィックデータを取得して詳細に二次解析する必要がある。

特開２００８−２１１４６４号公報 特開２００６−１７４１８８号公報

二次解析の対象となる特徴的な事象に関連するトラフィックデータを取得する方法としては、特徴的な事象が検出されてから所定期間のトラフィックデータを記録装置に格納し、二次解析を行なう際にトラフィックデータを再現する方法と、すべてのトラフィックデータを蓄積しておき、二次解析を行なう際に対象となるトラフィックデータを抽出する方法とが考えられる。

前者の方法は、特徴的な事象が検出されてから所定期間のトラフィックデータを格納するため、大容量の記録装置を用意する必要がないが、特徴的な事象が検出された時点および特徴的な事象が検出される前のトラフィックデータを解析することができないという問題がある。

後者の方法は、すべてのトラフィックデータを蓄積するため、特徴的な事象が検出された時点および特徴的な事象が検出される前のトラフィックデータを解析することができるが、大容量の記録装置が必要になるのに加え、必要なトラフィックデータを抽出するのに手間と時間がかかるという問題がある。

そこで、本発明は、インシデントの可能性がある特徴的な事象が発生した場合に、特徴的な事象の前後のトラフィックデータを低コストで記録することができるトラフィック記録装置を提供することを目的とする。

上記課題を解決するため、本発明の第１の態様であるトラフィック記録装置は、トラフィックデータを受信するデータ受信部と、不揮発的な記録領域であるダンプファイル記録部と、前記受信したトラフィックデータを所定時間毎に分割してキャッシュデータとして一時的に保持するキャッシュ部と、を備え、前記トラフィックデータを記録するトラフィック記録装置であって、前記トラフィックデータで所定の事象が発生したことを通知する検出通知を受信すると、前記キャッシュ部のキャッシュデータの中から、検出通知の受信から所定時間前までのトラフィックデータを記録したキャッシュデータを特定し、特定したキャッシュデータを前記検出通知と関連付けて前記ダンプファイル記録部に記録するキャッシュ管理部を備える。

上記課題を解決するため、本発明の第２の態様であるトラフィック記録装置は、トラフィックデータを受信するデータ受信部と、不揮発的な記録領域であるダンプファイル記録部と、前記受信したトラフィックデータを所定時間毎に分割してキャッシュデータとして一時的に保持するキャッシュ部と、を備え、前記トラフィックデータを記録するトラフィック記録装置であって、リング構造の複数個のキャッシュポインタを用いて前記キャッシュ部に保持された直近複数個のキャッシュデータを参照するとともに、前記トラフィックデータで所定の事象が発生したことを通知する検出通知を受信すると、前記キャッシュ部のキャッシュデータの中から、検出通知の受信から所定時間前までのトラフィックデータを記録したキャッシュデータを特定し、特定したキャッシュデータを前記検出通知と関連付けて前記ダンプファイル記録部に記録するキャッシュ管理部を備える。

ここで、前記キャッシュ管理部は、さらに、前記検出通知受信から所定時間後までのトラフィックデータを前記ダンプファイル記録部に記録することができる。また、受信した再現要求に基づいて、前記ダンプファイル記録部に記録したトラフィックデータを出力するダンプファイル管理部をさらに備えるようにしてもよい。

本発明によれば、インシデントの可能性がある特徴的な事象が発生した場合に、特徴的な事象の前後のトラフィックデータを低コストで記録することができるトラフィック記録装置が提供される。

本実施形態に係るトラフィック記録装置を含むネットワーク構成を示すブロック図である。 トラフィック記録装置の機能構成を示すブロック図である。 本実施形態におけるキャッシュ部とキャッシュポインタ部との関係を模式的に示す図である。 格納されるキャッシュデータを説明する図である。 キャッシュ管理部のキャッシュ管理処理について説明するフローチャートである。 検出通知を受信した場合のキャッシュ管理部の処理について説明するフローチャートである。 特徴的な事象発生の瞬間を含む前後所定期間内のキャプチャデータがダンプファイルとして記録される様子を示す図である。 ユーザから再現要求を受け付けた場合のダンプファイル管理部の処理について説明する図である。 本実施形態に係るトラフィック記録装置の応用例を示すブロック図である。

本発明の実施の形態について図面を参照して説明する。図１は、本実施形態に係るトラフィック記録装置を含むネットワーク構成を示すブロック図である。本図においてトラフィック記録装置１０は、コンピュータネットワーク６０を伝送されるトラフィックデータにおいてインシデントの可能性がある特徴的な事象の発生が検出された場合に、特徴的な事象の発生前後のトラフィックデータを記録する装置である。

コンピュータネットワーク６０を伝送されるトラフィックデータはネットワーク・キャプチャ２０によって、例えば、パケット単位でキャプチャされ、分析用データ送信装置３０に送られる。分析用データ送信装置３０は、ネットワーク・キャプチャ２０から送られてきたデータを分析用データバス７０に出力する。この結果、分析用データバス７０には、コンピュータネットワーク６０で伝送されているトラフィックデータと同じデータがリアルタイムで伝送されることになる。以下、このデータをキャプチャデータと称する。ただし、キャプチャデータは初期解析等の何らかの処理が施されたデータであってもよい。

キャプチャデータは、トラフィック記録装置１０と、解析装置４０に入力される。解析装置４０は、複数の解析モジュールを備えており、キャプチャデータをリアルタイムで解析し、インシデントの可能性がある特徴的な事象の発生を検出する。特徴的な事象の検出方法は従来の技術を用いることができる。解析装置４０は、インシデントの可能性がある特徴的な事象の発生を検出すると、検出通知信号をトラフィック記録装置１０に出力する。

トラフィック記録装置１０は、キャプチャデータを常時取り込んでおり、解析装置４０から検出通知信号が入力されると、その前後のキャプチャデータをダンプファイルとして記録する。ただし、検出通知信号は、他の装置から入力されたり、ユーザによって入力されるようにしてもよい。記録されたダンプファイルは、ユーザからの再現要求に応じて解析装置４０と、二次解析装置５０に再現データとして分析用データバス８０に出力される。ユーザは、再現要求を任意のタイミングで行なうことができる。

再現データは、解析装置４０および二次解析装置５０に入力される。二次解析装置５０は、複数の二次解析モジュールを備えており、解析装置４０より詳細なトラフィック解析を行なうことで、対応すべきインシデントが発生したかどうかの判断等を行なう。

図２は、トラフィック記録装置１０の機能構成を示すブロック図である。本図に示すように、トラフィック記録装置１０は、データ受信部１１０、キャッシュ管理部１２０、キャッシュ部１３０、キャッシュポインタ部１４０、ダンプファイル記録部１５０、検出通知受信部１６０、データ出力部１７０、ダンプファイル管理部１８０、再現要求受信部１９０を備えている。

データ受信部１１０は、分析用データバス７０を伝送されるキャプチャデータを常時受信してキャッシュ管理部１２０に送る。検出通知受信部１６０は、解析装置４０が出力した検出通知を受信して、キャッシュ管理部１２０に通知する。再現要求受信部１９０は、ユーザから再現要求を受け付け、ダンプファイル管理部１８０に出力する。

キャッシュ管理部１２０は、データ受信部１１０から送られたキャプチャデータを所定の時間間隔で分割し、キャッシュ部１３０にキャッシュデータとして順次記憶させる。ここで、キャッシュ部１３０は、所定の容量を有する記憶領域である。キャッシュ部１３０に記憶させたキャッシュデータはキャッシュポインタ部１４０で管理する。

図３は、本実施形態におけるキャッシュ部１３０とキャッシュポインタ部１４０との関係を模式的に示す図である。本実施形態では、キャッシュポインタ部１４０は、キャッシュポインタＡ〜キャッシュポインタＨの８個のキャッシュポインタで構成されるものとする。もちろん、キャッシュポインタの個数は適宜変更することができる。

それぞれのキャッシュポインタは、キャッシュ部１３０に記録された所定時間間隔分のキャッシュデータのアドレスをポイントする。本実施形態では、所定時間間隔でキャプチャデータを分割するため、各キャッシュデータの容量は可変となる。所定時間間隔でキャプチャデータを分割することにより、必要なデータの抽出が容易となるが、時間間隔を可変として固定データ容量でキャッシュデータを作成するようにしてもよい。

各キャッシュデータは、そのキャッシュデータが格納するキャプチャデータの時間範囲を示す時間情報と、キャプチャデータ本体であるデータ部とを備えて構成される。なお、キャッシュポインタで参照されるため各キャッシュデータは連続してキャッシュ部１３０に格納される必要はない。

８個のキャッシュポインタは、記憶するキャッシュデータのアドレスを順次記憶していく。例えば、キャッシュポインタＦがキャッシュデータ（Ｎ−４）を指している場合には、キャッシュポインタＧが次の時間のキャッシュデータ（Ｎ−３）を指すという具合である。

８個のキャッシュポインタは、リング構造をなしており、キャッシュポインタＨがキャッシュデータ（Ｎ−２）を指している場合には、次の時間のキャッシュデータ（Ｎ−１）は、キャッシュポインタＡによって参照されることになる。この場合、それ以前にキャッシュポインタＡが指していたキャッシュデータは参照されなくなり、キャッシュ部１３０は開放される。すなわち、古い順にキャッシュデータが削除されることになる。

このため、キャッシュ部１３０には、図４に示すように、直近の８個のキャッシュデータが格納される。すなわち、時刻ｔ０において、時刻（−ｔ１）〜時刻ｔ０までのキャプチャデータは最新のキャッシュデータとして格納され、時刻（−ｔ８）〜時刻（−ｔ１）までのキャプチャデータは、７個の過去のキャッシュデータとして格納され、時刻（−ｔ８）以前のキャプチャデータは削除されることになる。ここで、時刻ｔ（ｎ−１）〜時刻ｔｎは等間隔であり、例えば、１秒間隔、１分間等とすることができる。この間隔は、トラフィックデータ量等に応じて適宜変更することができる。

図２の説明に戻って、キャッシュ管理部１２０は、検出通知が入力されると、キャッシュポインタ部１４０を参照して、キャッシュ部１３０に記録しているキャッシュデータをダンプファイル記録部１５０に記録する。ここで、ダンプファイル記録部１５０は、不揮発性の記憶領域である。

ダンプファイル記録部１５０に記録するキャッシュデータは、検出通知があった時刻の所定時間前から所定時間後までのデータである。すなわち、インシデントの可能性がある特徴的な事象の発生前後のキャプチャデータがダンプファイル記録部１５０に記録されることになる。

所定時間前をＸ時間とすると、キャッシュ管理部１２０は、キャッシュデータ作成時間間隔を考慮して、Ｘ時間前から現時点に対応するキャッシュデータ群を特定する。そして、特定したキャッシュデータ群をダンプファイル記録部１５０に記録する。例えば、所定時間前が５秒であり、キャッシュデータの作成時間間隔が１秒であれば、直近の５個のキャッシュデータ群を特定すればよい。

また、所定時間後をＹ時間とすると、キャッシュ管理部１２０は、現時点からＹ時間後までのキャッシュデータ群をダンプファイル記録部１５０に記録するようにする。ただし、キャッシュデータではなく、受信した所定時間分のキャプチャデータをそのままダンプファイル記録部１５０に記録するようにしてもよい。

所定時間Ｘ、所定時間Ｙは、固定時間としてもよいが、発生した特徴的な事象の内容に応じて可変としてもよい。本実施形態では、所定時間間隔で分割した複数個のキャッシュデータを用いて過去のキャプチャデータを格納しているため、ダンプ対象とするキャプチャデータの時間範囲を柔軟に変更することが容易である。

キャッシュ管理部１２０は、ダンプファイルを記録する際に、特徴的な事象が発生した時刻の情報を付加する。ダンプファイルに基づいて再現データを出力する際に、この時刻情報を用いて、対象となるダンプファイルを特定することができるようになる。また、発生した特徴的な事象に識別子を付してダンプファイル記録部１５０に記録するようにしてもよい。この場合、対象ダンプファイルの特定が一層容易になる。

ダンプファイル管理部１８０は、ユーザからの再現要求に基づいて、ダンプファイル記録部１５０に記録されているダンプファイルを特定し、特定されたダンプファイルをデータ出力部１７０に出力する。ここで、再現要求には、特徴的な事象が発生した時刻あるいは特徴的な事象の識別子を含めることができる。

データ出力部１７０は、ダンプファイル記録部１５０から出力されたダンプファイルを再現データとして分析用データバス８０に出力する。

以上説明したように、本実施形態では、複数個のキャッシュデータを用いて特徴的な事象の発生前後のキャプチャデータを記録するため、大容量の記録装置を用いる必要がない。このため、低コストでトラフィック記録装置１０を構成することが可能となる。

また、本実施形態では、キャッシュポインタおよびキャッシュデータを複数個設けるようにしているため、キャッシュデータを古い順に段階的に消去することができる。このため、キャッシュデータの一括消去による必要な最新データの誤削除を防ぐことが可能となる。さらに、キャッシュデータ１個当たりに記録するキャプチャデータのデータ量を制限することができるため、キャッシュデータの保存時および再現の際のデータ抽出処理の負荷が軽減される。

次に、本実施形態におけるキャッシュ管理部１２０のキャッシュ管理処理について図５のフローチャートを参照して説明する。

キャッシュ管理部１２０は、キャプチャデータを常時入力し（Ｓ１０１）、所定時間間隔でキャッシュデータを作成して、キャッシュ部１３０に記録する（Ｓ１０２）。そして、作成したキャッシュデータを指し示すキャッシュポインタを更新する（Ｓ１０３）。

キャッシュポインタは、図３に示したようにリング構造をしている。このため、キャッシュポインタの更新に伴い、参照されなくなったキャッシュデータの領域を、逐次開放する（Ｓ１０４）。すなわち、古い順にキャッシュデータが削除されることになる。これによりキャッシュ部１３０の領域を有効活用することができる。以上の処理を、キャッシュ管理を終了するまで繰り返す（Ｓ１０５）。

次に、検出通知を受信した場合のキャッシュ管理部１２０の処理について図６のフローチャートを参照して説明する。本処理は、図５に示したキャッシュ管理処理と並列に行なうことができる。すなわち、キャッシュ管理部１２０は、キャッシュ管理処理中に検出通知の有無を判断する（Ｓ２０１）。検出通知は、例えば、検出通知受信部１６０からの割り込み処理とすることができる。

検出通知があった場合（Ｓ２０１：Ｙｅｓ）は、キャッシュ作成間隔と、あらかじめ定められた事象発生前の記録時間とに基づいて記録すべきキャッシュデータの範囲を特定する（Ｓ２０２）。上述のように、事象発生前の記録時間は、検出通知の対象となった事象の内容に応じて変化させることができる。この場合、検出通知に、検出通知の対象となった事象の内容を示す情報を含めるようにする。

そして、記録すべき範囲として特定されたキャッシュデータの内容をダンプファイル記録部１５０に記録する（Ｓ２０３）。また、あらかじめ定められた事象後の記録時間に基づいて、検出通知後に入力した所定記録時間内のキャプチャデータの内容をダンプファイル記録部１５０に記録する（Ｓ２０４）。この際に、特徴的な事象の発生時間あるいは特徴的な事象の識別子を付してダンプファイル記録部１５０に記録する。この結果、図７に示すように、特徴的な事象発生の瞬間を含む前後所定期間内のキャプチャデータがダンプファイルとして記録されることになる。

次に、図８を参照して、ユーザから再現要求を受け付けた場合のダンプファイル管理部１８０の処理について説明する。

ダンプファイル管理部１８０は、再現要求受信部１９０を介して、ユーザから再現要求を受け付けると（Ｓ３０１：Ｙｅｓ）と、再現要求対象のダンプファイルを特定する（Ｓ３０２）。再現要求に特徴的な事象の発生時間情報が含まれている場合には、その時間情報が付加されたダンプファイルを再現要求対象として特定し、再現要求に特徴的な事象の識別子が含まれている場合には、その識別子が付されたダンプファイルを再現要求対象として特定することができる。

そして、特定されたダンプファイルを、データ出力部１７０を介して再現データとして分析用データバス８０に出力する（Ｓ３０３）。ただし、出力すべきキャプチャデータがダンプ前の状態であれば、キャッシュ部１３０に格納されているキャッシュデータを出力する。

最後に図９を参照して、本実施形態に係るトラフィック記録装置１０の応用例について説明する。本図に示す応用例は、トラフィック記録装置１０を組織内ネットワーク防衛および情報漏洩対策に適用した例である。

本図の例では、社内、プラント等の組織内のイントラネット２７０上のトラフィックが集まるＶＬＡＮ（Virtual LAN）スイッチ２１０、あるいは、基幹ルータのトラフィックを、ＩＤＳ（Intrusion Detection System）２４０を用いて観測することで、ワーム等がネットワークを跨いで通信するセキュリティアラートの検出や、ファイル転送、メール等の情報漏洩につながる行為の検出ができるようになっている。ここで、ＶＬＡＮスイッチ２１０は、ミラーポートまたはＮｅｔｗｏｒｋＴＡＰ装置によりイントラネット２７０のトラフィックをコピーすることができる。

検出通知や特徴的な事象の内容を確認してインシデント解析を行なうためには、その原因となるトラフィックデータを解析する必要があるが、従来の構成では、検出通知または特徴的な事象、およびトラフィックログを保存するだけとなっていた。なお、従来からＩＤＳ２４０には、検出通知を発生させたパケット自身を検出通知と一緒に保存する機能を持つものがあるが、総合的なインシデント解析を行なうためにはやはりその前後のトラフィックが必要となる。

図９に示した応用例では、パケットキャプチャセンサ２２０でキャプチャしたトラフィックデータを、分析用データバス２８０を介してトラフィック記録装置１０に入力する。そして、トラフィック記録装置１０は、ＩＤＳ２４０から検出通知が入力されると、その前後のトラフィックデータを上述の手順にしたがって記録するようにしている。すなわち、インシデント解析に必要なトラフィックデータを検出通知や特徴的な事象と関連付けた状態で記録することができる。

そして、トラフィック記録装置１０に記録されたトラフィックデータを解析するためのインシデント解析装置２５０を設けることで、効果的な組織内ネットワーク防衛システムを構築することができる。なお、インシデント解析装置２５０は、特徴的な事象とインシデントとを関連付けて管理する装置一般を用いることができる。

１０…トラフィック記録装置
２０…ネットワーク・キャプチャ
３０…分析用データ送信装置
４０…解析装置
５０…二次解析装置
６０…コンピュータネットワーク
７０…分析用データバス
８０…分析用データバス
１１０…データ受信部
１２０…キャッシュ管理部
１３０…キャッシュ部
１４０…キャッシュポインタ部
１５０…ダンプファイル記録部
１６０…検出通知受信部
１７０…データ出力部
１８０…ダンプファイル管理部
１９０…再現要求受信部
２１０…ＶＬＡＮスイッチ
２２０…パケットキャプチャセンサ
２４０…ＩＤＳ
２５０…インシデント解析装置
２７０…イントラネット
２８０…分析用データバス

Claims (4)

1. トラフィックデータを受信するデータ受信部と、
   不揮発的な記録領域であるダンプファイル記録部と、
   前記受信したトラフィックデータを所定時間毎に分割してキャッシュデータとして一時的に保持するキャッシュ部と、を備え、前記トラフィックデータを記録するトラフィック記録装置であって、
   前記トラフィックデータで所定の事象が発生したことを通知する検出通知を受信すると、前記キャッシュ部のキャッシュデータの中から、検出通知の受信から所定時間前までのトラフィックデータを記録したキャッシュデータを特定し、特定したキャッシュデータを前記検出通知と関連付けて前記ダンプファイル記録部に記録するキャッシュ管理部を備えたことを特徴とするトラフィック記録装置。
2. トラフィックデータを受信するデータ受信部と、
   不揮発的な記録領域であるダンプファイル記録部と、
   前記受信したトラフィックデータを所定時間毎に分割してキャッシュデータとして一時的に保持するキャッシュ部と、を備え、前記トラフィックデータを記録するトラフィック記録装置であって、
   リング構造の複数個のキャッシュポインタを用いて前記キャッシュ部に保持された直近複数個のキャッシュデータを参照するとともに、前記トラフィックデータで所定の事象が発生したことを通知する検出通知を受信すると、前記キャッシュ部のキャッシュデータの中から、検出通知の受信から所定時間前までのトラフィックデータを記録したキャッシュデータを特定し、特定したキャッシュデータを前記検出通知と関連付けて前記ダンプファイル記録部に記録するキャッシュ管理部を備えたことを特徴とするトラフィック記録装置。
3. 請求項１または２に記載のトラフィック記録装置であって、
   前記キャッシュ管理部は、さらに、前記検出通知受信から所定時間後までのトラフィックデータを前記ダンプファイル記録部に記録することを特徴とするトラフィック記録装置。
4. 請求項１または２に記載のトラフィック記録装置であって、
   再現要求を受信し、前記再現要求に基づいて、前記ダンプファイル記録部に記録したトラフィックデータを出力するダンプファイル管理部をさらに備えたことを特徴とするトラフィック記録装置。