JP2011015047A - トラヒック特性計測方法および装置 - Google Patents

Abstract

【課題】トラヒックの階層的構造を反映させた階層的集約エントロピーを用いることにより、より詳細な情報を抽出し、その特性量による異常検出精度を向上させる。
【解決手段】トラヒックを取得するトラヒック取得部と、計測対象トラヒックを抽出する計測対象トラヒック抽出部と、計測対象トラヒックの階層構造に応じてトラヒックを集約する階層的トラヒック集約部と、それぞれの階層での集約トラヒックのエントロピーを計算するエントロピー計算部と、階層毎のエントロピーを用いて、当該トラヒックの特性付けを行うトラヒック特性計算部とを有する。
【選択図】図１

Description

本発明は、階層的集約エントロピーを用いたトラヒック特性計測方法および装置に係わり、特に、階層的構造を持つトラヒックをその構造に応じて特性付け、その特性量によって異常検出等を行う技術に関する。

ワームによるスキャン、大量トラヒックによるサービス不能（ＤｏＳ）攻撃や故障による異常トラヒックの検出手法として、トラヒックのばらつきを示すエントロピーを特性量とし、その特性量の正常値からの逸脱により異常を検出する手法が提案されている。（下記、非特許文献１、２、３参照）
宛先の集合をＤとし、ある宛先ｄ∈Ｄへのトラヒック量が全体のトラヒック量に占める割合をｐ_ｄとする。このとき宛先に関するトラヒックのエントロピーＨ（Ｄ）は、下記（１）式で与えられる。

例えば、多くのワームは、他の脆弱性を持つ端末をスキャンするために宛先ＩＰアドレスを変えながらスキャンパケットを送信するが、このようなスキャントラヒックが発生した場合は、広範囲の宛先へのトラヒックが発生するためにトラヒックの宛先に関するばらつきが増大し、従ってエントロピーＨ（Ｄ）は増大する。
一方で、ＤｏＳ攻撃の場合は、単一または少数の被害者へのトラヒック集中が発生するためにトラヒックの宛先に関するばらつきが減少し、従ってエントロピーＨ（Ｄ）は減少する。
また、ＤＮＳトラヒックに対して、エントロピーを計算し、ワームによるＤＮＳクエリ発生を検出手法も提案されている（下記、非特許文献４参照）。

A. Lakhina, M. Crovella, and C. Diot,"Mining anomalies using traffic feature distributions",in Proc. ACM SIGCOMM 2005, Philadelphia, PA, USA, August 2005.

Y. Gu, A. McCallum, and D. Towsley,"Detecting anomalies in network traffic using maximum entropy estimation", in Proc. ACM IMC 2005, Berkeley, CA,USA,October 2005.

G. Nychis, V. Sekar, D. G. Anderson, H. Kim, and H. Zhang,"An empirical evaluation of entropy-based traffic anomaly detection," in Proc. ACM IMC 2008, Vouliagmeni, Greece, October 2008.

D. Arturo, L. Roma, and Y. Musashi, "Entropy based analysis of DNS query traffic in the campus network," in Proc. CTISA2007, Orlando, FL USA, 2007.

W. K. Ehrlich, K. Futamura, and D. Liu, "An enyropy based method to detect spoofed denial of service (Dos) attacks," Telecommunicaions Modeling, Policy and Technology (Operations Research/Computer Science Interfaces) Vol. 44, Springer,2008.

しかしながら、エントロピーによるトラヒック特性計測には、トラヒックの階層的構造を反映できないという問題点がある。前述の（１）式からわかるとおり、エントロピーの計算で用いるのは宛先ｄに対するトラヒック比率ｐ_ｄであり、宛先ｄが宛先集合Ｄのどこに位置するかを考慮していない。
例えば、多くのワームは、宛先ＩＰｖ４アドレスをスキャンする際に、自身のＩＰアドレスを含む近隣アドレス空間へのスキャンを行うことが知られている。このようなスキャンのエントロピーはアドレス単位で観測した場合にはエントロピーは大きいが、近隣アドレス空間の単位で集約したトラヒックを観測した場合は、その集約トラヒックが単一空間に集中するため、エントロピーが減少すると考えられる。
しかしながら、前述の（１）式で示されるエントロピーはアドレス単位で観測したエントロピーであり、このようなアドレス空間単位で観測した場合に集中しているか否かという情報を得ることはできない。
トラヒックに階層構造がある場合、その階層構造に応じて集約したトラヒックを対象にエントロピーを計算することにより、前述したような詳細なトラヒック特性を得ることができると期待される。

また、前述の非特許文献５では、ＩＰアドレス上位１６ビット単位で集約したトラヒックによるエントロピーの時系列から異常検出する手法が提案されているが、同手法で計測できるのは１６ビット固定で集約したトラヒックのエントロピーであり、他の粒度で観測したトラヒックのエントロピーを計測することはできない。
また、ＩＰアドレスを対象とし、アドレスをいくつかのブロックに分割し、アドレスブロック毎の発生頻度を計算し、アドレスブロック間のエントロピーを用いて、不正通信か否かを判別する手法も、一般的である。しかし、この手法はブロック毎のエントロピーであり、階層構造を考慮したトラヒック特性量を計測することはできない。
階層構造のそれぞれの階層において、トラヒック特性としてそのばらつきを評価することにより、どの階層においてばらつきが増加しているかが明らかとなり、結果的にそのトラヒック特性の発生原因等が明らかとなる。
本発明は、前記従来技術の問題点を解決するためになされたものであり、本発明の目的は、トラヒック特性計測方法および装置において、トラヒックの階層的構造を反映させた階層的集約エントロピーを用いることにより、より詳細な情報を抽出し、その特性量による異常検出精度を向上させることが可能となる技術を提供することにある。
本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述及び添付図面によって明らかにする。

本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、下記の通りである。
（１）トラヒック特性計測方法であって、トラヒックを取得するステップ１と、計測対象トラヒックを抽出するステップ２と、計測対象トラヒックの階層構造に応じてトラヒックを集約するステップ３と、それぞれの階層での集約トラヒックのエントロピーを計算するステップ４と、階層毎のエントロピーを用いて、当該トラヒックの特性付けを行うステップ５とを有し、前記ステップ３において、Ｎ個の階層でトラヒックを集約し、Ｄ_Ｎを最上位階層で集約したトラヒック、Ｄ_Ｎ−１をその一段階下位の階層で集約したトラヒック、Ｄ_０を集約する前の最下位階層のトラヒックとした時に、前記ステップ４において、Ｄ_ＮのエントロピーＨ（Ｄ_Ｎ）、Ｄ_Ｎ−１のエントロピーＨ（Ｄ_Ｎ−１）,…, Ｄ_０のエントロピーＨ（Ｄ_０）を計算し、前記ステップ５において、Ｄ_ＮのエントロピーＨ（Ｄ_Ｎ）、Ｄ_Ｎ−１のエントロピーＨ（Ｄ_Ｎ−１）,…, Ｄ_０のエントロピーＨ（Ｄ_０）を用いて、トラヒックの特性付けを行う。

（２）トラヒック特性計測方法であって、トラヒックを取得するステップ１と、計測対象トラヒックを抽出するステップ２と、計測対象トラヒックの階層構造に応じてトラヒックを集約するステップ３と、それぞれの階層での集約トラヒックのエントロピーを計算するステップ４と、階層毎のエントロピーを用いて、当該トラヒックの特性付けを行うステップ５とを有し、前記ステップ３において、Ｎ個の階層でトラヒックを集約し、Ｄ_Ｎを最上位階層で集約したトラヒック、Ｄ_Ｎ−１をその一段階下位の階層で集約したトラヒック、Ｄ_０を集約する前の最下位階層のトラヒックとした時に、前記ステップ４において、Ｄ_ＮのエントロピーＨ（Ｄ_Ｎ）、Ｄ_Ｎで条件付けられたＤ_Ｎ−１のエントロピーＨ（Ｄ_Ｎ−１｜Ｄ_Ｎ）、Ｄ_Ｎ−１で条件付けられたＤ_Ｎ−２のエントロピーＨ（Ｄ_Ｎ−２｜Ｄ_Ｎ−１）,…,Ｄ_１で条件付けられたＤ_０のエントロピーＨ（Ｄ_０｜Ｄ_１）を計算し、前記ステップ５において、Ｄ_ＮのエントロピーＨ（Ｄ_Ｎ）、Ｄ_Ｎで条件付けられたＤ_Ｎ−１のエントロピーＨ（Ｄ_Ｎ−１｜Ｄ_Ｎ）、Ｄ_Ｎ−１で条件付けられたＤ_Ｎ−２のエントロピーＨ（Ｄ_Ｎ−２｜Ｄ_Ｎ−１）,…,Ｄ_１で条件付けられたＤ_０のエントロピーＨ（Ｄ_０｜Ｄ_１）を用いて、トラヒックの特性付けを行う。

（３）（１）または（２）において、前記ステップ４において、各階層毎のエントロピーをその最大値で正規化し、前記ステップ５において、正規化した各階層毎のエントロピーを用いて、トラヒックの特性付けを行う。
（４）（１）ないし（３）の何れかにおいて、前記ステップ５において、階層的に集約したトラヒックのエントロピーの時系列を生成し、その時系列の変動によりトラヒックの異常を検出する。
（５）（１）ないし（３）の何れかにおいて、前記計測対象のトラヒックは、ホスト単位のトラヒックであり、当該計測したホスト単位のトラヒック特性を、ホストの異常・正常分類に用いる。
（６）また、本発明は、前述のトラヒック特性計測方法を実行するトラヒック特性計測装置である。

本願において開示される発明のうち代表的なものによって得られる効果を簡単に説明すれば、下記の通りである。
本発明によれば、トラヒックの階層的構造を反映させた階層的集約エントロピーを用いることにより、より詳細な情報を抽出し、その特性量による異常検出精度を向上させることが可能となる。

本発明の実施例のトラヒック特性計測装置の概略構成を示すブロック図である。 階層構造を持つＤＮＳトラヒックにおける集約トラヒックのエントロピーを示す図である。 本発明の実施例のトラヒック特性計測装置の処理手順の一例を示すフローチャートである。

以下、図面を参照して本発明の実施例を詳細に説明する。
なお、実施例を説明するための全図において、同一機能を有するものは同一符号を付け、その繰り返しの説明は省略する。
図１は、本発明の実施例のトラヒック特性計測装置の概略構成を示すブロック図である。図１において、１０はトラヒック取得部、１１は計測対象トラヒック抽出部、１２は階層的トラヒック集約部、１３はエントロピー計算部、１４はトラフヒック特性計算部である。
トラヒック取得部１０は、ＩＰ網の２台もしくはそれ以上の端末間で転送される通信データである通信トラヒックを一定期間取得する。
取得方法としては、ＩＰ網のリンク中に流れるトラヒックをタッピング機器によって取得する方法でもよいし、通信網内のスイッチ・ルータ等ノードにおけるミラーリングによる取得でもよいし、ノードが出力するトラヒックフロー情報の取得でもよいし、端末における通信ログ等の取得であってもよい。
取得されるトラヒックデータは、個別トラヒックの集合となるが、個別トラヒックは取得方法によって異なり、タッピング、ミラーリングの場合はＩＰパケットであり、フロー情報の場合は一般的には｛送信／受信ＩＰアドレス、送信／受信ポート番号、プロトコル｝の５組の識別子の値が同一となるフローであり、通信ログの場合は個々のアクセス情報である。

計測対象トラヒック抽出部１１は、取得したトラヒックから計測対象のトラヒックを抽出する。計測対象トラヒックは、例えば、ＩＰトラヒック全体、ＤＮＳトラヒック、ＶｏＩＰトラヒックである。
また、計測対象トラヒック抽出部１１では、ホスト単位毎のトラヒックに分別するようにしてもよい。この場合は、後述する計測したホスト単位のトラヒック特性により、ホストの異常・正常を分類することたできる。
階層的トラヒック集約部１２は、計測対象トラヒックの階層構造に応じて抽出トラヒックを集約する。ここで集約とは、個別トラヒックを区別している識別子の一部を無視することにより、それ以外の識別子が同一となる、一つもしくは複数の個別トラヒックを同一視して新たに個別トラヒックとし、併せてその個別トラヒックに付随するバイト数等のトラヒック量を同一視された個別トラヒックのトラヒック量の合算値とすることを示す。
階層的に集約するとは、無視される識別子の部分が最下位層から最上位層にかけて包含関係となることを示す。

以下、階層的トラヒック集約部１２での集約方法について説明する。
（１）計測対象トラヒックがＩＰトラヒックの場合には、そのＩＰアドレスの先頭の単一、もしくは複数ビットを最上位の階層とし、より長いビット列を下位の階層とし、最下位の階層を当該ＩＰアドレスとする階層構造に従いトラヒックを集約する。
（２）計測対象トラヒックがＩＰトラヒックの場合には、計測箇所のＡｕｔｏｎｏｍｏｕｓ Ｓｙｓｔｅｍ（自律システム；以下、ＡＳという）を最上位の階層とし、最下位の階層となる、当該ＩＰアドレスが属するＡＳまでの経由ＡＳパスで表される階層構造に従い、トラヒックを集約する。
（３）計測対象トラヒックがＤｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ（ＤＮＳ）トラヒックの場合には、トップレベルドメインを最上位の階層とし、以下、ドメインツリー構造と同一の階層構造に従い、トラヒックを集約する。
この場合、最上位階層は、（.ｃｏｍ）、（.ｎｅｔ）、（.ｊｐ）などのトップレベルドメイン（ＴＬＤ）となる。
図２に、階層構造を持つＤＮＳトラヒックにおける集約トラヒックのエントロピーを示す。図２の左半分はＤＮＳドメインツリーを示す。個々の楕円がドメインであり、上位のドメインは集約ドメインとなる。上位階層ほど集約ドメイン数は減る。右半分はそれら集約ドメイン間のトラヒック量分布を示す。

（４）計測対象トラヒックがＤＮＳトラヒックの場合には、直下にユーザが名前を登録できるドメインを最上位階層とし、以下ドメインツリー構造と同一の階層構造に従い、トラヒックを集約する。
これはトップレベルドメインが、その直下にユーザのドメイン名を登録される（.ｃｏｍ）などのｇＴＬＤと、その直下はユーザのドメイン名でない場合がある（.ｊｐ）などのｃｃＴＬＤの双方があることから、階層構造のレベルを統一するためにｐｕｂｌｉｃ ｓｕｆｆｉｘと呼ばれる、直下にユーザが名前を登録できるドメインを最上位階層としたものである。
（５）計測対象トラヒックがＤＮＳトラヒックのＩＰアドレスに対するドメイン名を問い合わせる逆引きクエリの場合には、問い合わせられたＩＰアドレスに対して、前述の（１）または（２）方法で階層的にトラヒックを集約する。

（６）計測対象トラヒックがＤＮＳトラヒックのＩＰアドレスに対するドメイン名を問い合わせる逆引きクエリの場合には、クエリに対する応答のドメイン名に対して、前述の（３）または（４）方法で階層的にトラヒックを集約する。
（７）計測対象トラヒックがＶｏｉｃｅ ｏｖｅｒ ＩＰ（ＶｏＩＰ）の電話トラヒックの場合には、電話番号はＥ．１６４番号と呼ばれる階層構造が定められているため、この階層構造を用いてトラヒックを集約する。
（８）計測対象トラヒックが、Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ（ＷＷＷ）トラヒックの場合には、Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｉｄｅｎｔｉｆｉｅｒ（ＵＲＩ）の階層構造に従い、トラヒックを集約する。即ち、計測対象が、Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ（ＷＷＷ）トラヒックの場合、ＷＷＷは”／”で区切られる階層構造を持つため、この階層構造を用いてトラヒックを集約する。

エントロピー計算部１３は、階層的トラヒック集約部１２によって、階層毎に集約されたトラヒックに対して、集約単位のトラヒック割合から階層毎にエントロピーを計算する。
条件付きでないエントロピーの場合は、第ｋ階（ｋ＝０〜Ｎ）の階層で集約された宛先の集合をＤ_ｋとし、ある宛先ｄ_ｋ∈Ｄ_ｋへのトラヒック量が全体のトラヒック量に占める割合をｐ_ｄｋとする。このとき宛先に関するトラヒックのエントロピーＨ（Ｄ_ｋ）を、下記（２）式で計算する。

また、条件付きエントロピーの場合は、最上位階層Ｎで集約されたトラヒックＤ_Ｎのエントロピーは、前述の（２）式で計算し、Ｄ_Ｎで条件付けられた階層Ｎ−１のトラヒックのエントロピーＨ（Ｄ_Ｎ−１｜Ｄ_Ｎ）、を、下記（３）式で計算する。

ここで、ｄ’_Ｎ∈Ｄ_Ｎは、Ｎ−１階層の宛先ｄ∈Ｄ_Ｎ−１が属するＮ階層の宛先である。
以下、同様に、Ｈ（Ｄ_Ｎ−２｜Ｄ_Ｎ−１）,...,Ｈ（Ｄ_０｜Ｄ_１）を計算する。

一般的に、前述の（４）式が成り立つため、階層的に集約したトラヒック毎に条件付きエントロピーを計算することで、集約前のエントロピーＨ（Ｄ_０）に含まれるトラヒック特性量を全て含み、かつ階層構造に起因するトラヒック特性も計測することができる。
この場合に、エントロピーは集合Ｄ_ｋの要素数に依存し、Ｄ_ｋの要素数が大きくなるにつれてエントロピーも増大するため、集合Ｄ_ｋの要素数に依存しないようにその最大値で正規化する。例えば、条件付きでないエントロピーの場合は最大値がｌｏｇ（Ｄ_ｋ）であるため、その数で除する。条件付きエントロピーの場合は、最大値は下記（５）式で与えられるので、この数で除算する。

トラヒック特性計算部１４では、エントロピー計算部１３で計算されたエントロピーを用いてトラヒック特性付けを行う。
このトラヒック特性計算部１４では、一定期間毎に取得したトラヒックデータから逐次計算された、一定期間毎のエントロピーの時系列から、その期間のトラヒックの正常・異常判定を行う。ここで、時系列データからの正常・異常判定については、一定期間毎のエントロピー値の集合の確率分布を生成し、その分布の１％点、９９％点などの閾値未満、以上の外れ値となる期間を以上と判別してもよい。
あるいは、ある一定期間のトラヒックデータを送信ホスト毎に分割し、ホスト毎に計算されたエントロピー値からそのホストの正常・異常判定を行う。ここで、ホスト毎エントロピー値からの正常・異常判定については、ホスト毎エントロピー値の集合の確率分布を生成し、その分布の１％点、９９％点などの閾値未満、以上の外れ値となる期間を以上と判別してもよい。
以上説明したように、本実施例によれば、エントロピーを用いたトラヒックの特性付けにおいて、そのトラヒックが持つ階層構造を考慮することができ、特性量を用いた異常検出において精度向上することが可能となる。

以下、図３を用いて、本実施例のトラヒック特性計測装置の処理手順の一例を説明する。この図３は、計測対象のトラヒックとしてホスト単位のトラヒックを使用し、階層的トラヒック集約部１２での集約方法については前述の（３）の方法を用い、さらに、エントロピー計算部１３において条件付きエントロピーを計算する場合の処理手順を示すフローチャートである。
（１）ステップ１０１
ＩＰ網を構成するリンクのトラヒックを観測し、トラヒック取得部１０において、トラヒック転送されたパケットを取得する。このステップでの出力は、一定期間に当該リンクを経由したパケット群となる。
（２）ステップ１０２
計測対象トラヒック抽出部１１において、宛先ポート番号５３番のＤＮＳ問い合わせパケットのみを抽出し、送信ホストｉ毎のパケット集合を生成する。このステップでの出力は、送信ホストｉ（ｉ＝１,...,Ｎ）のＤＮＳ問い合わせパケット群Ｄ_ｉ（ｉ＝１,...,Ｎ）となる。

（３）ステップ１０３
階層的トラヒック集約部１２において、送信ホストｉ（ｉ＝１,...,Ｎ）のＤＮＳ問い合わせパケット群Ｄ_ｉ（ｉ＝１,...,Ｎ）から、ドメイン名階層ｋ（ｋ＝１,...,Ｍ）毎に集約トラヒックを生成する。ここで、階層Ｍが最上位の階層、階層１が最下位の階層とする。このステップでの出力は、送信ホストｉ（ｉ＝１,...,Ｎ）、階層ｋ（ｋ＝１,...,Ｍ）毎の集約ＤＮＳ問い合わせパケット群Ｄ_ｉ ^（ｋ）（ｉ＝１,...,Ｎ）、（ｋ＝１,...,Ｍ）となる。
（４）ステップ１０４
エントロピー計算部１３において、Ｄ_ｉ ^（ｋ）に対して条件付きエントロピーＨ（Ｄ_ｉ ^{（ｋ−１）}｜Ｄ_ｉ ^（ｋ））（ｋ＝１,...,Ｍ） 、およびＨ（Ｄ_ｉ ^（ｋ））を計算する。このステップでの出力は、Ｈ（Ｄ_ｉ ^{（ｋ−１）}｜Ｄ_ｉ ^（ｋ））（ｋ＝１,...,Ｍ） 、およびＨ（Ｄ_ｉ ^（ｋ））となる。
（５）ステップ１０５
トラヒック特性計算部１４において、各送信ホストｉに対して、Ｈ（Ｄ_ｉ ^{（ｋ−１）}｜Ｄ_ｉ ^（ｋ））（ｋ＝１,...,Ｍ） 、およびＨ（Ｄ_ｉ ^（ｋ））の分布を計算、分布を外れ値となる送信ホストｉを特定する。このステップでの出力は、異常トラヒック送信ホスト群となる。
以上、本発明者によってなされた発明を、前記実施例に基づき具体的に説明したが、本発明は、前記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。

１０ トラヒック取得部
１１ 計測対象トラヒック抽出部
１２ 階層的トラヒック集約部
１３ エントロピー計算部
１４ トラヒック特性計算部

Claims (9)

1. トラヒックを取得するステップ１と、
   計測対象トラヒックを抽出するステップ２と、
   計測対象トラヒックの階層構造に応じてトラヒックを集約するステップ３と、
   それぞれの階層での集約トラヒックのエントロピーを計算するステップ４と、
   階層毎のエントロピーを用いて、当該トラヒックの特性付けを行うステップ５とを有し、
   前記ステップ３において、Ｎ個の階層でトラヒックを集約し、
   Ｄ_Ｎを最上位階層で集約したトラヒック、Ｄ_Ｎ−１をその一段階下位の階層で集約したトラヒック、Ｄ_０を集約する前の最下位階層のトラヒックとした時に、前記ステップ４において、Ｄ_ＮのエントロピーＨ（Ｄ_Ｎ）、Ｄ_Ｎ−１のエントロピーＨ（Ｄ_Ｎ−１）,…, Ｄ_０のエントロピーＨ（Ｄ_０）を計算し、
   前記ステップ５において、Ｄ_ＮのエントロピーＨ（Ｄ_Ｎ）、Ｄ_Ｎ−１のエントロピーＨ（Ｄ_Ｎ−１）,…, Ｄ_０のエントロピーＨ（Ｄ_０）を用いて、トラヒックの特性付けを行うことを特徴とするトラヒック特性計測方法。
2. トラヒックを取得するステップ１と、
   計測対象トラヒックを抽出するステップ２と、
   計測対象トラヒックの階層構造に応じてトラヒックを集約するステップ３と、
   それぞれの階層での集約トラヒックのエントロピーを計算するステップ４と、
   階層毎のエントロピーを用いて、当該トラヒックの特性付けを行うステップ５とを有し、
   前記ステップ３において、Ｎ個の階層でトラヒックを集約し、
   Ｄ_Ｎを最上位階層で集約したトラヒック、Ｄ_Ｎ−１をその一段階下位の階層で集約したトラヒック、Ｄ_０を集約する前の最下位階層のトラヒックとした時に、前記ステップ４において、Ｄ_ＮのエントロピーＨ（Ｄ_Ｎ）、Ｄ_Ｎで条件付けられたＤ_Ｎ−１のエントロピーＨ（Ｄ_Ｎ−１｜Ｄ_Ｎ）、Ｄ_Ｎ−１で条件付けられたＤ_Ｎ−２のエントロピーＨ（Ｄ_Ｎ−２｜Ｄ_Ｎ−１）,…,Ｄ_１で条件付けられたＤ_０のエントロピーＨ（Ｄ_０｜Ｄ_１）を計算し、
   前記ステップ５において、Ｄ_ＮのエントロピーＨ（Ｄ_Ｎ）、Ｄ_Ｎで条件付けられたＤ_Ｎ−１のエントロピーＨ（Ｄ_Ｎ−１｜Ｄ_Ｎ）、Ｄ_Ｎ−１で条件付けられたＤ_Ｎ−２のエントロピーＨ（Ｄ_Ｎ−２｜Ｄ_Ｎ−１）,…,Ｄ_１で条件付けられたＤ_０のエントロピーＨ（Ｄ_０｜Ｄ_１）を用いて、トラヒックの特性付けを行うことを特徴とするトラヒック特性計測方法。
3. 前記ステップ４において、各階層毎のエントロピーをその最大値で正規化し、
   前記ステップ５において、正規化した各階層毎のエントロピーを用いて、トラヒックの特性付けを行うことを特徴とする請求項１または請求項２に記載のトラヒック特性計測方法。
4. 前記ステップ５において、階層的に集約したトラヒックのエントロピーの時系列を生成し、その時系列の変動によりトラヒックの異常を検出することを特徴とする請求項１ないし請求項３のいずれか１項に記載のトラヒック特性計測方法。
5. 前記計測対象のトラヒックは、ホスト単位のトラヒックであり、
   当該計測したホスト単位のトラヒック特性を、ホストの異常・正常分類に用いることを特徴とする請求項１ないし請求項３のいずれか１項に記載のトラヒック特性計測方法。
6. トラヒックを取得するトラヒック取得部と、
   計測対象トラヒックを抽出する計測対象トラヒック抽出部と、
   計測対象トラヒックの階層構造に応じてトラヒックを集約する階層的トラヒック集約部と、
   それぞれの階層での集約トラヒックのエントロピーを計算するエントロピー計算部と、
   階層毎のエントロピーを用いて、当該トラヒックの特性付けを行うトラヒック特性計算部とを有するトラヒック特性計測装置であって、
   前記階層的トラヒック集約部は、Ｎ個の階層でトラヒックを集約し、
   Ｄ_Ｎを最上位階層で集約したトラヒック、Ｄ_Ｎ−１をその一段階下位の階層で集約したトラヒック、Ｄ_０を集約する前の最下位階層のトラヒックとした時に、前記エントロピー計算部は、Ｄ_ＮのエントロピーＨ（Ｄ_Ｎ）、Ｄ_Ｎ−１のエントロピーＨ（Ｄ_Ｎ−１）,…, Ｄ_０のエントロピーＨ（Ｄ_０）を計算し、
   前記トラヒック特性計算部は、Ｄ_ＮのエントロピーＨ（Ｄ_Ｎ）、Ｄ_Ｎ−１のエントロピーＨ（Ｄ_Ｎ−１）,…, Ｄ_０のエントロピーＨ（Ｄ_０）を用いて、トラヒックの特性付けを行うことを特徴とするトラヒック特性計測装置。
7. トラヒックを取得するトラヒック取得部と、
   計測対象トラヒックを抽出する計測対象トラヒック抽出部と、
   計測対象トラヒックの階層構造に応じてトラヒックを集約する階層的トラヒック集約部と、
   それぞれの階層での集約トラヒックのエントロピーを計算するエントロピー計算部と、
   階層毎のエントロピーを用いて、当該トラヒックの特性付けを行うトラヒック特性計算部とを有するトラヒック特性計測装置であって、
   前記階層的トラヒック集約部は、Ｎ個の階層でトラヒックを集約し、
   Ｄ_Ｎを最上位階層で集約したトラヒック、Ｄ_Ｎ−１をその一段階下位の階層で集約したトラヒック、Ｄ_０を集約する前の最下位階層のトラヒックとした時に、前記エントロピー計算部は、Ｄ_ＮのエントロピーＨ（Ｄ_Ｎ）、Ｄ_Ｎで条件付けられたＤ_Ｎ−１のエントロピーＨ（Ｄ_Ｎ−１｜Ｄ_Ｎ）、Ｄ_Ｎ−１で条件付けられたＤ_Ｎ−２のエントロピーＨ（Ｄ_Ｎ−２｜Ｄ_Ｎ−１）,…,Ｄ_１で条件付けられたＤ_０のエントロピーＨ（Ｄ_０｜Ｄ_１）を計算し、
   前記トラヒック特性計算部は、Ｄ_ＮのエントロピーＨ（Ｄ_Ｎ）、Ｄ_Ｎで条件付けられたＤ_Ｎ−１のエントロピーＨ（Ｄ_Ｎ−１｜Ｄ_Ｎ）、Ｄ_Ｎ−１で条件付けられたＤ_Ｎ−２のエントロピーＨ（Ｄ_Ｎ−２｜Ｄ_Ｎ−１）,…,Ｄ_１で条件付けられたＤ_０のエントロピーＨ（Ｄ_０｜Ｄ_１）を用いて、トラヒックの特性付けを行うことを特徴とするトラヒック特性計測装置。
8. 前記エントロピー計算部は、各階層毎のエントロピーをその最大値で正規化し、
   前記トラヒック特性計算部は、正規化した各階層毎のエントロピーを用いて、トラヒックの特性付けを行うことを特徴とする請求項６または請求項７に記載のトラヒック特性計測装置。
9. 前記トラヒック特性計算部は、階層的に集約したトラヒックのエントロピーの時系列を生成し、その時系列の変動によりトラヒックの異常を検出することを特徴とする請求項６ないし請求項８のいずれか１項に記載のトラヒック特性計測方法。

Images