JP2011015253A - 通信トラヒック分類方法、装置、およびプログラム - Google Patents

Abstract

【課題】通信トラヒックに含まれる各フローのアプリケーション種別を、十分な精度で識別する。
【解決手段】特徴量ＤＢ１２で、通信リンクを利用してデータ通信を行うアプリケーションのアプリケーション種別ごとに各種特徴量を記憶しておき、類似度算出部１４により、通信リンク上のトラヒックを構成する各フローを個別に観測して得られた観測情報に含まれる、対象フローのトラヒックの特徴を示す各種の特徴量ごとに、当該特徴量と特徴量データベースのアプリケーション種別ごとの特徴量との類似度を算出し、アプリケーション識別部１５により、これら類似度からなる特徴ベクトル１３Ａを、類似度と各アプリケーションとの対応関係を示す識別マップ１３Ｂで照合することにより、当該フローのアプリケーション種別を識別する。
【選択図】 図１

Description

本発明は、通信管理技術に関し、特にデータ通信トラヒックをアプリケーション種別に基づいて分類するトラヒック分類技術に関する。

近年における通信サービスの充実化やこのような通信サービスを利用するアプリケーションの発展に伴って、通信網上を流れるトラヒックも多様化かつ複雑化している。また、アプリケーションの種別ごとに、必要となる通信設備も異なる。このため、通信サービス事業者では、これらトラヒック需要に対応して、高い品質で通信サービスを提供するためには、需要の高いアプリケーション種別に応じた通信設備を、適切なタイミングで増減設する必要がある。

従来より、特定のビット列など、個々の種別のアプリケーションが有する動作上の特徴に注目し、その特徴付けられる動作の発生を監視することで、アプリケーションに関するトラヒックを検出する技術がある（以下、従来技術１という）。この技術は、主にＰ２Ｐ型アプリケーションより送出されるトラヒックを検出することに適用されている。

一方、非特許文献１では、通信網上を流れるトラヒックをデータマイニング処理により分析することで、特定のフローを検出する技術が提案されている（以下、従来技術２という）。この技術は、主にＤＤｏＳ攻撃（Distributed Denial of Service Attack：分散サービス妨害）や、コンピュータウィルスによる異常フローを分類することに適用されている。この技術では、複数の特徴量を１つの識別器で分類する、複数識別器の統合手法の一手段であるフィーチャーレベルのマルチモーダル手法がよく用いられている。

八木,和泉,角田,根本、「ネットワークアプリケーション弁別のためのペイロード長の遷移パタンの評価方法に関する一検討」、信学技報,TM2007-34、社団法人電子情報通信学会、2007-11

しかしながら、このような従来技術では、いずれの技術も十分な分類精度が得られないという問題点があった。
例えば、従来技術１によれば、アプリケーションの動作上の特徴を予め把握しておく必要がある。このため、このような特徴が見いだせないアプリケーションや新たなアプリケーションのフローについては、正確にアプリケーション種別を識別することができず、結果として十分な識別精度が得られない。また、従来技術１では、フローごとに送受信されたデータ内容を常時監視する必要があるため、トラヒック監視装置の処理負荷が増大するという問題点もあった。

また、従来技術２によれば、複数の識別器の統合手法であるフィーチャーレベルによるマルチモーダル手法を用いて、アプリケーション種別を識別しているため、実際の通信トラヒックのように、対象となるアプリケーション種別数が多い状況では、十分な識別精度が得られないという問題点があった。

本発明はこのような課題を解決するためのものであり、アプリケーション種別数が多い状況であっても、通信トラヒックに含まれる各フローのアプリケーション種別を、十分な精度で識別できるトラヒック分類技術を提供することを目的としている。

このような目的を達成するために、本発明にかかるトラヒック分類方法は、通信リンクを流れるトラヒックを、当該トラヒックに含まれる各フローのアプリケーション種別に基づいて分類するトラヒック分類装置で用いられるトラヒック分類方法であって、特徴量データベースが、通信リンクを利用してデータ通信を行うアプリケーションのアプリケーション種別ごとに、当該アプリケーション種別のアプリケーションによるトラヒックの特徴を示す各種特徴量を記憶する特徴量記憶ステップと、類似度算出部が、通信リンク上のトラヒックを構成する各フローを個別に観測して得られた観測情報に含まれる、対象フローのトラヒックの特徴を示す各種の特徴量ごとに、当該特徴量と特徴量データベースのアプリケーション種別ごとの特徴量との類似度を算出する類似度算出ステップと、アプリケーション識別部が、これら類似度からなる特徴ベクトルを、類似度と各アプリケーションとの対応関係を示す識別マップで照合することにより、当該フローのアプリケーション種別を識別するアプリケーション識別ステップとを備えている。

この際、トラヒック集計部が、各フローのアプリケーション種別ごとに、各フローのトラヒック量を集計するトラヒック集計ステップをさらに備えてもよい。

また、本発明にかかるトラヒック分類装置は、通信リンクを利用してデータ通信を行うアプリケーションのアプリケーション種別ごとに、当該アプリケーション種別のアプリケーションによるトラヒックの特徴を示す各種特徴量を記憶する特徴量データベースと、通信リンク上のトラヒックを構成する各フローを個別に観測して得られた観測情報に含まれる、対象フローのトラヒックの特徴を示す各種の特徴量ごとに、当該特徴量と特徴量データベースのアプリケーション種別ごとの特徴量との類似度を算出する類似度算出部と、これら類似度からなる特徴ベクトルを、類似度と各アプリケーションとの対応関係を示す識別マップで照合することにより、当該対象フローのアプリケーション種別を識別するアプリケーション識別部とを備えている。

この際、各フローのアプリケーション種別ごとに、各フローのトラヒック量を集計するトラヒック集計部をさらに備えてもよい。

また、本発明にかかるプログラムは、コンピュータに、前述したトラヒック分類方法の各ステップを実行させるためのプログラムである。

本発明によれば、スコアレベルのマルチモーダル手法を用いていることから、同一通信リンク上のトラヒックで使用されているアプリケーション種別数が多い状況であっても、通信トラヒックに含まれる各フローのアプリケーション種別を、十分な精度で識別することができる。
したがって、各フローのアプリケーション種別ごとに、各フローのトラヒック量を集計することにより、分類対象となる通信リンクにおいて需要の高いアプリケーション種別を的確に把握することができる。これにより、需要の高いアプリケーション種別に応じた通信設備を、適切なタイミングで増減設することができ、通信サービス事業者では、高い品質で通信サービスを提供することが可能となる。

本実施の形態にかかるトラヒック分類装置の構成を示すブロック図である。 本実施の形態にかかるトラヒック分類装置のトラヒック分類処理を示すフローチャートである。 類似度算出過程を示す説明図である。 識別マップの構成例である。

次に、本発明の一実施の形態について図面を参照して説明する。
［トラヒック分類装置］
まず、図１を参照して、本実施の形態にかかるトラヒック分類装置について説明する。図１は、本実施の形態にかかるトラヒック分類装置の構成を示すブロック図である。
このトラヒック分類装置１０は、全体として一般的なサーバ装置やパーソナルコンピュータなどの情報処理装置からなり、網管理システム２０で通信網５０から収集された観測情報に基づいて、通信リンクを流れるトラヒックを構成する任意のフローについて、当該フローのアプリケーション種別を識別し、アプリケーション種別ごとにトラヒック量を集計する機能を有している。

図１には、３つのノード５１Ａ〜５１Ｃを含む通信網５０が示されており、このうちノード５１Ａとノード５１Ｂとの間に通信リンク５２Ａが設けられており、ノード５１Ｂとノード５１Ｃとの間に通信リンク５２Ｂが設けられている。
網管理システム２０は、全体として一般的なサーバ装置からなり、観測情報収集部２１により、通信網５０の各ノード５１Ａ〜５１Ｃから、通信リンク５２Ａ，５２Ｂ上のフローごとに観測情報を収集し、観測情報データベース（以下、観測情報ＤＢという）２２へ蓄積する機能を有している。

表示端末装置３０は、全体として一般的なパーソナルコンピュータなどの情報処理装置からなり、トラヒック分類装置１０で集計されたアプリケーション種別ごとにトラヒック量を画面表示する機能を有している。

本実施の形態は、分類対象となる通信リンクを流れるトラヒックから抽出した分類対象フローの各種特徴量と、アプリケーション種別ごとのフローの各種特徴量との類似度をスコアとして算出し、これら類似度から当該フローのアプリケーションを分類する方法であり、いわゆるスコアレベルのマルチモーダル手法により通信トラヒックを分類している。

具体的には、通信リンクを利用してデータ通信を行うアプリケーションのアプリケーション種別ごとに、当該アプリケーション種別のアプリケーションによるトラヒックの特徴を示す各種特徴量を記憶しておき、通信リンク上のトラヒックを構成する各フローを個別に観測して得られた観測情報に含まれる、対象フローのトラヒックの特徴を示す各種の特徴量ごとに、当該特徴量と特徴量データベースのアプリケーション種別ごとの特徴量との類似度を算出し、これら類似度からなる特徴ベクトルを、類似度と各アプリケーションとの対応関係を示す識別マップで照合することにより、当該対象フローのアプリケーション種別を識別している。

次に、図１を参照して、本実施の形態にかかるトラヒック分類装置１０の構成について詳細に説明する。
このトラヒック分類装置１０には、主な機能部として、データ入出力部１１、特徴量データベース（以下、特徴量ＤＢという）１２、記憶部１３、類似度算出部１４、アプリケーション識別部１５、およびトラヒック集計部１６が設けられている。

データ入出力部１１は、網管理システム２０の観測情報ＤＢ２２から、分類対象となる通信リンクを流れるトラヒックを構成する各フローを個別に観測して得られた観測情報を取得する機能と、得られた解析結果を表示端末装置３０へ出力する機能とを有している。

網管理システム２０では、送信元・送信先ＩＰアドレス、送信元・送信先ポート、通信プロトコル（ＴＣＰ／ＵＤＰ) などの条件で識別されるフローごとに、パケットの到着間隔、パケットサイズ、フロー持続時間、フローのサイズなどの指標を、任意の時刻、あるいは時系列で通信網５０から収集し、当該フローの特徴量として観測情報ＤＢ２２へ蓄積している。特に、時系列で観測する場合には、数秒〜数十秒の粒度で観測すればよい。

特徴量ＤＢ１２は、ハードディスクなどの記憶装置からなり、通信リンクを利用してデータ通信を行うアプリケーションのアプリケーション種別ごとに、当該アプリケーション種別のアプリケーションによるトラヒックの特徴を示す各種特徴量を、データベースとして記憶する機能を有している。

記憶部１３は、半導体メモリやハードディスクなどの記憶装置からなり、トラヒック分類装置１０でのトラヒック分類処理で用いる各種処理情報やプログラム１３Ｐを記憶する機能を有している。記憶部１３で記憶する主な処理情報として、特徴ベクトル１３Ａと識別マップ１３Ｂとがある。
特徴ベクトル１３Ａは、類似度算出部１４で算出された各種類似度からなるベクトルデータである。識別マップ１３Ｂは、類似度と各アプリケーションとの対応関係がベクトル空間（特徴空間）内に表現されたデータである。

類似度算出部１４は、データ入出力部１１で取得した観測情報に基づいて、これら観測情報に含まれる対象フローのトラヒックの特徴を示す各種の特徴量ごとに、当該特徴量と特徴量ＤＢ１２のアプリケーション種別ごとの特徴量との類似度を算出する機能と、これら類似度から当該対象フローの特徴ベクトルを生成する機能とを有している。

アプリケーション識別部１５は、これら類似度からなる特徴ベクトル１３Ａを、類似度算出部１４で得られた類似度と各アプリケーションとの対応関係を示す識別マップ１３Ｂで照合することにより、当該フローのアプリケーション種別を識別する機能を有している。
トラヒック集計部１６は、アプリケーション識別部１５で識別した、分類対象となる通信リンク上の各フローのアプリケーション種別ごとに、各フローのトラヒック量を集計する機能を有している。

トラヒック分類装置１０の各機能のうち、類似度算出部１４、アプリケーション識別部
１５、およびトラヒック集計部１６は、演算処理部から構成される。演算処理部は、ＣＰＵなどのマイクロプロセッサとその周辺回路を有し、記憶部１３のプログラム１３Ｐを読み出して実行することにより、これら機能部を実現する。プログラム１３Ｐは、データ入出力部１１を介して外部装置や記録媒体から予め読み込まれて記憶部１３へ格納される。
このほか、トラヒック分類装置１０には、一般的なパーソナルコンピュータに設けられている、操作入力部や画面表示部など基本的な構成が設けられており、オペレータとのインターフェースなどに用いられるものとする。

［本実施の形態の動作］
次に、図２を参照して、本実施の形態にかかるトラヒック分類装置の動作について説明する。図２は、本実施の形態にかかるトラヒック分類装置のトラヒック分類処理を示すフローチャートである。

トラヒック分類装置１０は、まず、データ入出力部１１により、網管理システム２０の観測情報ＤＢ２２から、分類対象となる通信リンク上の各フローに関する観測情報を取得して記憶部１３へ保存し（ステップ１００）、これらフローのうちからアプリケーション種別の識別処理が未処理のフローを選択する（ステップ１０１）。

続いて、トラヒック分類装置１０は、類似度算出部１４により、選択した対象フローに関する観測情報を記憶部１３から取得し、当該観測情報に含まれる特徴量と、特徴量ＤＢ１２から取得した各アプリケーション種別ごとの特徴量との類似度を算出し（ステップ１０２）、これら類似度からなる特徴ベクトル１３Ａを生成する（ステップ１０３）。

この際、類似度算出部１４では、類似度算出対象となる特徴量は、観測情報に含まれる１つの指標からなる特徴量であってもよく、複数の指標の組み合わせからなる特徴量であってもよい。また、これら特徴量は、任意の時刻における指標値を用いてもよく、時系列で変化する指標値を用いてもよい。また、これら時刻や時系列は、絶対的な時刻を用いてもよく、フロー開始時点などの基準時刻からの相対的な時刻を用いてもよい。

図３は、類似度算出過程を示す説明図である。ここでは、対象フローについてｎ個（ｎは２以上の整数）の特徴量Ｐ₁〜Ｐ_nが記憶部１３の観測情報から取得されている。一方、特徴量ＤＢ１２には、ｍ個（ｍは２以上の整数）のアプリケーション種別Ａ₁〜Ａ_mごとに、特徴量の組が登録されており、各特徴量の組には、ｎ個の特徴量Ｑ_i1〜Ｑ_in（ｉは１〜ｍの整数）が含まれている。

類似度算出部１４は、例えばアプリケーション種別Ａ₁について、特徴量Ｐ₁と特徴量Ｑ₁₁の類似度Ｓ₁₁を算出し、同様にして特徴量Ｐ_nと特徴量Ｑ_1nの類似度Ｓ_1nまでを算出し、アプリケーション種別Ａ₁に関する特徴ベクトルＶ₁を算出する。
類似度算出部１４は、このようにして、アプリケーション種別Ａ₁〜Ａ_mに関する特徴ベクトルＶ₁〜Ｖ_mを算出し、これらを統合して特徴ベクトル１３Ａを生成する。

この後、アプリケーション識別部１５は、これら類似度からなる特徴ベクトル１３Ａを、記憶部１３の識別マップ１３Ｂで照合することにより、当該対象フローのアプリケーション種別を識別し、識別結果を記憶部１３へ保存する（ステップ１０４）。
図４は、識別マップの構成例である。ここでは、理解を容易とするため、２つの類似度Ｓ₁₁，Ｓ₁₂と２つのアプリケーション種別Ａ₁，Ａ₂との対応関係に関する２次元空間上での識別マップが示されているが、図３の例では、ｍ×ｎ次元のベクトル空間で表現される。

図４において、特徴ベクトル１３Ａを識別マップ１３Ｂで照合した際、特徴ベクトル１３Ａが点Ｍ１にマッピングされた場合には、当該対象フローのアプリケーション種別がＡ₁と識別され、点Ｍ２にマッピングされた場合には、当該対象フローのアプリケーション種別がＡ₂と識別される。

このようにして、対象フローのアプリケーション種別を識別した後、トラヒック分類装置１０は、記憶部１３の観測情報のうち未処理のフローがあるかどうか確認し（ステップ１０５）、未処理フローが存在する場合には（ステップ１０５：ＮＯ）、ステップ１０１へ戻る。

一方、未処理フローが存在しない場合（ステップ１０５：ＹＥＳ）、トラヒック分類装置１０は、トラヒック集計部１６により、記憶部１３に保存されている各フローの識別結果に基づいて、分類対象となる通信リンク上の各フローのアプリケーション種別ごとに、各フローのトラヒック量を集計して記憶部１３へ保存し（ステップ１０６）、一連のトラヒック分類処理を終了する。

これにより、表示端末装置３０からの要求に応じて、トラヒック分類装置１０は、記憶部１３からアプリケーション種別ごとのトラヒック集計量を取得し、データ入出力部１１から表示端末装置３０へ送信する。これにより、表示端末装置３０のトラヒック量表示部３１でアプリケーション種別ごとのトラヒック集計量が画面表示される。
また、トラヒック分類装置１０は、自装置におけるオペレータ操作に応じて、記憶部１３からアプリケーション種別ごとのトラヒック集計量を取得して、自装置で画面表示し、あるいはデータ入出力部１から外部装置や記録媒体へ出力する。

［本実施の形態の効果］
このように、本実施の形態は、特徴量ＤＢ１２で、通信リンクを利用してデータ通信を行うアプリケーションのアプリケーション種別ごとに、当該アプリケーション種別のアプリケーションによるトラヒックの特徴を示す各種特徴量を記憶しておき、類似度算出部１４により、通信リンク上のトラヒックを構成する各フローを個別に観測して得られた観測情報に含まれる、対象フローのトラヒックの特徴を示す各種の特徴量ごとに、当該特徴量と特徴量データベースのアプリケーション種別ごとの特徴量との類似度を算出し、アプリケーション識別部１５により、これら類似度からなる特徴ベクトル１３Ａを、類似度と各アプリケーションとの対応関係を示す識別マップ１３Ｂで照合することにより、当該フローのアプリケーション種別を識別している。

したがって、本実施の形態によれば、このようなスコアレベルのマルチモーダル手法を用いていることから、同一通信リンク上のトラヒックで使用されているアプリケーション種別数が多い状況であっても、通信トラヒックに含まれる各フローのアプリケーション種別を、十分な精度で識別することができる。

また、本実施の形態では、トラヒック集計部１６により、各フローのアプリケーション種別ごとに、各フローのトラヒック量を集計するようにしたので、分類対象となる通信リンクにおいて需要の高いアプリケーション種別を的確に把握することができる。これにより、需要の高いアプリケーション種別に応じた通信設備を、適切なタイミングで増減設することができ、通信サービス事業者では、高い品質で通信サービスを提供することが可能となる。

また、本実施の形態では、識別マップ１３Ｂを生成する識別マップ生成処理部を設けてもよい。識別マップ１３Ｂは、アプリケーション種別が既知のフローを試験的に観測し、得られた観測情報から前述と同様にして特徴ベクトルを求め、この特徴ベクトルをベクトル空間内にマッピングすることにより生成することができる。これにより、別個の構成を設けることなく、容易に識別マップ１３Ｂを生成することが可能となる。

また、本実施の形態では、特徴量ＤＢ１２を生成する特徴量ＤＢ生成処理部を設けてもよい。特徴量ＤＢ１２は、アプリケーション種別が既知のフローを試験的に観測し、得られた観測情報から前述と同様にして特徴ベクトルを求めることにより生成することができる。これにより、別個の構成を設けることなく、容易に特徴量ＤＢ１２を生成することが可能となる。

また、本実施の形態では、アプリケーション種別識別処理に用いる特徴量ＤＢ１２や識別マップ１３Ｂなどのルールの変動を検出するルール変動検出部を設けてもよい。通信網５０のトポロジーや設備の変更、あるいはアプリケーションの更新などの外的要因に応じて、アプリケーション種別ごとのトラヒックも変化する。この変化は、アプリケーション種別が既知のフローを試験的に観測し、得られた観測情報から前述と同様にして特徴ベクトルを求め、この特徴ベクトルをベクトル空間内にマッピングすることにより、識別誤差として検出することができる。

これにより、別個の構成を設けることなく、容易にルール変動を検出することが可能となり、トラヒック分類装置１０の画面表示部で、識別誤差の大きさやルール修正の要否などを表示するようにしてもよい。
また、前述した識別マップ生成処理部や特徴量ＤＢ生成処理部を合わせて備える場合には、これら機能部を利用して、これらルールの再構築を自動実行してもよい。

［実施の形態の拡張］
以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しうる様々な変更をすることができる。

１０…トラヒック分類装置、１１…データ入出力部、１２…特徴量ＤＢ、１３…記憶部、１３Ａ…特徴ベクトル、１３Ｂ…識別マップ、１３Ｐ…プログラム、１４…類似度算出部、１５…アプリケーション識別部、１６…トラヒック集計部、２０…網管理システム、２１…観測情報収集部、２２…観測情報ＤＢ、３０…表示端末装置、３１…トラヒック量表示部、５０…通信網、５１Ａ，５１Ｂ，５１Ｃ…ノード、５２Ａ，５２Ｂ…通信リンク。

Claims (5)

1. 通信リンクを流れるトラヒックを、当該トラヒックに含まれる各フローのアプリケーション種別に基づいて分類するトラヒック分類装置で用いられるトラヒック分類方法であって、
   特徴量データベースが、前記通信リンクを利用してデータ通信を行うアプリケーションのアプリケーション種別ごとに、当該アプリケーション種別のアプリケーションによるトラヒックの特徴を示す各種特徴量を記憶する特徴量記憶ステップと、
   類似度算出部が、前記通信リンク上のトラヒックを構成する各フローを個別に観測して得られた観測情報に含まれる、対象フローのトラヒックの特徴を示す各種の特徴量ごとに、当該特徴量と前記特徴量データベースのアプリケーション種別ごとの特徴量との類似度を算出する類似度算出ステップと、
   アプリケーション識別部が、これら類似度からなる特徴ベクトルを、前記類似度と前記各アプリケーションとの対応関係を示す識別マップで照合することにより、当該フローのアプリケーション種別を識別するアプリケーション識別ステップと
   を備えることを特徴とするトラヒック分類方法。
2. 請求項１に記載のトラヒック分類方法において、
   トラヒック集計部が、前記各フローのアプリケーション種別ごとに、前記各フローのトラヒック量を集計するトラヒック集計ステップをさらに備えることを特徴とするトラヒック分類方法。
3. 通信リンクを利用してデータ通信を行うアプリケーションのアプリケーション種別ごとに、当該アプリケーション種別のアプリケーションによるトラヒックの特徴を示す各種特徴量を記憶する特徴量データベースと、
   前記通信リンク上のトラヒックを構成する各フローを個別に観測して得られた観測情報に含まれる、対象フローのトラヒックの特徴を示す各種の特徴量ごとに、当該特徴量と前記特徴量データベースのアプリケーション種別ごとの特徴量との類似度を算出する類似度算出部と、
   これら類似度からなる特徴ベクトルを、前記類似度と前記各アプリケーションとの対応関係を示す識別マップで照合することにより、当該対象フローのアプリケーション種別を識別するアプリケーション識別部と
   を備えることを特徴とするトラヒック分類装置。
4. 請求項３に記載のトラヒック分類装置において、
   前記各フローのアプリケーション種別ごとに、前記各フローのトラヒック量を集計するトラヒック集計部をさらに備えることを特徴とするトラヒック分類装置。
5. コンピュータに、請求項１に記載の各ステップを実行させるためのプログラム。

Images