JP2011130238A

JP2011130238A - Abnormal traffic monitoring method, and abnormal traffic monitoring device

Info

Publication number: JP2011130238A
Application number: JP2009287475A
Authority: JP
Inventors: Takeshi Kuwabara; 健桑原; Masaki Minami; 正樹南; Masahiro Maruyoshi; 政博丸吉; Junichi Murayama; 純一村山
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2009-12-18
Filing date: 2009-12-18
Publication date: 2011-06-30

Abstract

<P>PROBLEM TO BE SOLVED: To allow a superintendent to confirm the relevancy between a plurality of alerts swiftly. <P>SOLUTION: In an abnormal traffic monitoring device which monitors traffic on a network and detects an abnormal state, the monitoring device has a module for receiving statistical information of the traffic from a network device on the network, detecting the abnormal state of the traffic from the statistical information of the traffic, and notifying to the superintendent as alert information, a module for analyzing traffic information in the abnormal state upon notification of the alert information as a trigger, and storing it as analysis information accompanying the alert information, and a module for retrieving the associated alert information from the stored analysis information, and presenting it to the superintendent. <P>COPYRIGHT: (C)2011,JPO&INPIT

Description

本発明は、異常トラヒック監視方法および異常トラヒック監視装置に係わり、特に、複数のアラートの関連性を提示することにより、監視者が迅速に対応策の判断を行うことが可能となる技術に関する。 The present invention relates to an abnormal traffic monitoring method and an abnormal traffic monitoring apparatus, and more particularly to a technique that enables a monitor to quickly determine a countermeasure by presenting a relationship between a plurality of alerts.

従来の異常トラヒック監視装置においては、複数のアラートが検出された場合、それを検出した際に取得した情報（例えば、宛先アドレス等）により関連するアラートを抽出し、時系列で列挙することで、それらの関連性を監視者に対して提示していた。
また、一方で複数アラートを一つのアラートに集約することで、アラート数を削減する技術が提案されている。（下記、特許文献１参照）
前述の特許文献１では、アラートの種別毎に単位時間当たりのアラート数を計測し、その数が一定数以上になった場合に、当該閾値を超えたアラート情報を生成する。この方式では、監視者が確認可能な情報は集約されたアラート情報であり、集約可能なアラートも同一種別に限定されるため、複数の種別のアラート間の関連性を監視者が把握することは困難であった。 In the conventional abnormal traffic monitoring device, when a plurality of alerts are detected, the related alerts are extracted based on information (for example, destination address) acquired when the alerts are detected, and enumerated in time series, Their relevance was presented to the observer.
On the other hand, a technique for reducing the number of alerts by consolidating a plurality of alerts into one alert has been proposed. (See Patent Document 1 below)
In Patent Document 1 described above, the number of alerts per unit time is measured for each alert type, and when the number exceeds a certain number, alert information exceeding the threshold is generated. In this method, the information that can be confirmed by the monitor is aggregated alert information, and the alerts that can be aggregated are also limited to the same type. Therefore, the monitor cannot grasp the relationship between multiple types of alerts. It was difficult.

特開２００６‐２３７８４２号公報JP 2006-237842 A

特開２００９‐４４５０１号公報JP 2009-44501 A

従来の異常トラヒック監視装置においては、トラヒックの異常状態の検出には、監視対象となる攻撃先の情報とそのトラヒック量を用いるため、検出時の情報によるアラートの関連付けだけでは、関連性を判定できない異常トラヒックのケースが存在し、監視者に対して十分に複数アラート間の関連性を提示することは困難であった。
このため、従来の異常トラヒック監視装置においては、監視者が複数のアラート情報を手動で交互に参照することで、アラート間の関連性を判断する必要があり、異常トラヒックの把握と判断に時間を要する課題があった。
以下に複数アラートの関連性を提示することが困難な場合を、インターネット上で発生しているＤｏＳ攻撃を監視する例としていくつか挙げる。 In the conventional abnormal traffic monitoring device, the detection of the abnormal state of the traffic uses the information of the attack target to be monitored and its traffic volume, so the relevance cannot be determined only by associating the alert with the information at the time of detection. There are cases of anomalous traffic, and it has been difficult to present enough relevance between multiple alerts to the observer.
For this reason, in the conventional abnormal traffic monitoring device, it is necessary for a monitor to manually and alternately refer to a plurality of alert information to determine the relationship between alerts, and it takes time to grasp and determine abnormal traffic. There was a problem that needed.
Several cases where it is difficult to present the relevance of a plurality of alerts will be described below as examples of monitoring DoS attacks occurring on the Internet.

（１）同一の攻撃元から複数の攻撃先に対してＤｏＳ攻撃が発生しており、攻撃に起因した異常トラヒックのアラートとしては、攻撃先毎に別々のアラートとして検出され、同一の攻撃元であることがアラート情報からは判定できないケース
（２）ある攻撃元から特定の攻撃先に対してｂａｃｋｓｃａｔｔｅｒ攻撃が発生しており、攻撃に起因した異常トラヒックのアラートとしては、攻撃元から攻撃先に対するトラヒック急増をアラートとして検出し、また、同時に攻撃先からの跳ね返りトラヒックの急増を別のアラートとして検出しているケース
（３）同一の攻撃元から特定の攻撃先に対して断続的に繰り返しＤｏＳ攻撃が発生し、それを複数のアラートとして検出している際に、その間に別の攻撃元から同一の攻撃先に対してＤｏＳ攻撃が発生し、別のアラートとして検出しているケース
本発明は、前記従来技術の問題点を解決するためになされたものであり、本発明の目的は、監視者が複数のアラート間の関連性を迅速に確認することが可能となる技術を提供することにある。
本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述及び添付図面によって明らかにする。 (1) A DoS attack has occurred from the same attack source to a plurality of attack destinations, and as an alert for abnormal traffic caused by the attack, it is detected as a separate alert for each attack destination, and the same attack source Case in which it cannot be determined from the alert information (2) A backscatter attack has occurred from a certain attack source to a specific attack destination, and as an alert of abnormal traffic resulting from the attack, the traffic from the attack source to the attack destination A case where a sudden increase is detected as an alert, and a sudden increase in rebound traffic from the attack destination is detected as another alert at the same time. (3) A DoS attack is intermittently repeated from the same attack source to a specific attack destination. Occurred and detected as multiple alerts, during that time, another attack source from the same attack destination against the DoS attack The present invention has been made to solve the problems of the prior art described above, and the object of the present invention is to provide a relationship between a plurality of alerts by a monitor. It is an object of the present invention to provide a technique capable of quickly confirming.
The above and other objects and novel features of the present invention will become apparent from the description of this specification and the accompanying drawings.

本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、下記の通りである。
（１）ネットワーク上のトラヒックを監視し、異常状態を検出する異常トラヒック監視装置における異常トラヒック監視方法であって、トラヒックの統計情報を前記ネットワーク上のネットワーク装置から受信するステップ１と、前記ステップ１で受信したトラヒックの統計情報からトラヒックの異常状態を検出し、アラート情報として監視者に通知するステップ２と、前記ステップ２での前記アラート情報の通知を契機として、異常状態のトラヒック情報を分析し、アラート情報に付随する分析情報として保存するステップ３と、前記ステップ３で保存された前記分析情報から、関連するアラート情報を検索するステップ４と、前記ステップ４で検索した前記関連するアラート情報を監視者に提示するステップ５とを有することを特徴とする。 Of the inventions disclosed in this application, the outline of typical ones will be briefly described as follows.
(1) An abnormal traffic monitoring method in an abnormal traffic monitoring apparatus that monitors traffic on a network and detects an abnormal state, and receives the statistical information of traffic from the network apparatus on the network; Detecting an abnormal state of traffic from the traffic statistical information received in step 2, and notifying the monitor as alert information, and analyzing the traffic information in the abnormal state triggered by the notification of the alert information in step 2 Step 3 for storing the analysis information accompanying the alert information, Step 4 for searching for the related alert information from the analysis information stored in Step 3, and the related alert information searched for in Step 4 And step 5 presenting to the observer. .

（２）（１）において、前記ステップ４は、前記分析情報から関連するアラート情報を検索する際に、分析結果の宛先アドレス、送信元アドレス、プロトコル番号、宛先ポート番号、送信元ポート番号の５つの情報の中の少なくとも１つの情報が一致し、且つ、前記アラート情報の時刻情報から前後一定の時間幅の範囲に、各アラート情報の時刻情報が含まれるアラート情報を関連するアラートとして検索し、アラート間の関連性を自動判定するステップを有することを特徴とする。
（３）（１）において、前記ステップ４は、前記分析情報から関連するアラート情報を検索する際に、当該アラート情報の分析結果の宛先情報と、各アラート情報の分析結果の送信元情報が一致し、かつ、前記アラート情報の時刻情報から前後一定の時間幅の範囲に、アラート情報の時刻情報が含まれるアラート情報、あるいは、当該アラート情報の分析結果の送信元情報と、各アラート情報の分析結果の宛先情報が一致し、かつ、前記アラート情報の時刻情報から前後一定の時間幅の範囲に、アラート情報の時刻情報が含まれるアラート情報を関連するアラートとして検索し、アラート間の関連性を自動判定するステップを有することを特徴とする。 (2) In (1), when searching for related alert information from the analysis information, the step 4 includes 5 of the analysis result destination address, transmission source address, protocol number, destination port number, transmission source port number. And at least one of the two pieces of information is matched, and the alert information including the time information of each alert information is searched as a related alert in a range of a certain time width before and after the time information of the alert information, It has the step which determines automatically the relationship between alerts, It is characterized by the above-mentioned.
(3) In step (1), when searching for related alert information from the analysis information, the step 4 includes that the destination information of the analysis result of the alert information and the transmission source information of the analysis result of each alert information are identical. In addition, the alert information that includes the time information of the alert information within the range of a certain time width before and after the time information of the alert information, or the sender information of the analysis result of the alert information and the analysis of each alert information Search for alert information that includes the time information of the alert information in the range of a certain time width before and after the time information of the alert information that matches the destination information of the result as the related alert, and find the relationship between the alerts It has the step which determines automatically.

（４）（１）において、前記ステップ３は、前記分析結果の宛先アドレスまたは送信元アドレスからドメイン名を検索するステップを有し、前記ステップ４は、前記分析情報から関連するアラート情報を検索する際に、宛先アドレスまたは送信元アドレスから検索したドメイン名が一致し、且つ、前記アラート情報の時刻情報から前後一定の時間幅の範囲に、各アラート情報の時刻情報が含まれるアラート情報を関連するアラートとして検索し、アラート間の関連性を自動判定するステップを有することを特徴とする。
（５）（１）ないし（４）の何れかにおいて、前記ステップ４で、関連するアラート情報の検索条件を複数設定し、加えて前記検索条件の優先度を設定し、前記分析情報から関連するアラート情報を検索する際に、前記優先度の順に該当する検索条件を用いて、順次、関連するアラート情報を検索し、アラート間の関連性を自動判定することを特徴とする。
（６）（１）ないし（５）の何れかにおいて、前記ステップ２で、監視者に対して、検知した異常トラヒック情報として、ＧＵＩによるトラヒック量の時間変化をグラフ表示し、前記ステップ５で、前記検索したアラート情報から時刻情報を抽出し、前記異常トラヒック情報のグラフ表示の中に、前記抽出した時刻情報を表示することを特徴とする。
（７）また、本発明は、前述の異常トラヒック監視方法を実行する異常トラヒック監視装置である。 (4) In (1), the step 3 includes a step of searching for a domain name from a destination address or a source address of the analysis result, and the step 4 searches for related alert information from the analysis information. When the domain name searched from the destination address or the source address matches, the alert information including the time information of each alert information is related to the range of the predetermined time width from the time information of the alert information. It is characterized by having a step of searching as an alert and automatically determining a relationship between alerts.
(5) In any one of (1) to (4), in step 4, a plurality of search conditions for relevant alert information are set, and in addition, the priority of the search conditions is set and related from the analysis information. When searching for alert information, using the search conditions corresponding to the order of priority, the related alert information is sequentially searched, and the relevance between alerts is automatically determined.
(6) In any one of (1) to (5), the time change of the traffic amount due to the GUI is displayed as a graph as the abnormal traffic information detected in step 2 to the monitor. In step 5, Time information is extracted from the retrieved alert information, and the extracted time information is displayed in a graph display of the abnormal traffic information.
(7) Moreover, this invention is an abnormal traffic monitoring apparatus which performs the above-mentioned abnormal traffic monitoring method.

本願において開示される発明のうち代表的なものによって得られる効果を簡単に説明すれば、下記の通りである。
本発明によれば、監視者が複数のアラート間の関連性を迅速に確認することが可能となる。 The effects obtained by the representative ones of the inventions disclosed in the present application will be briefly described as follows.
According to the present invention, it is possible for a supervisor to quickly confirm the relationship between a plurality of alerts.

本発明の実施例の異常トラヒック監視装置が適用されるネットワーク構成を示すブロック図である。It is a block diagram which shows the network structure to which the abnormal traffic monitoring apparatus of the Example of this invention is applied. 本発明の実施例の異常トラヒック監視装置の概略構成を示すブロック図である。It is a block diagram which shows schematic structure of the abnormal traffic monitoring apparatus of the Example of this invention. 本発明の実施例の異常トラヒック監視装置で分析した分析情報の一例を示す図である。It is a figure which shows an example of the analysis information analyzed with the abnormal traffic monitoring apparatus of the Example of this invention. 本発明の実施例の異常トラヒック監視装置で検出した関連アラート情報の一例を示す図である。It is a figure which shows an example of the related alert information detected with the abnormal traffic monitoring apparatus of the Example of this invention. 本発明の実施例の異常トラヒック監視装置に表示されるトラヒックグラフの一例を示す図である。It is a figure which shows an example of the traffic graph displayed on the abnormal traffic monitoring apparatus of the Example of this invention. 本発明の実施例の異常トラヒック監視装置における、分析情報と相関条件の関係の一例を示す図である。It is a figure which shows an example of the relationship between analysis information and correlation conditions in the abnormal traffic monitoring apparatus of the Example of this invention. 本発明の実施例の異常トラヒック監視装置における、分析情報と相関条件の関係の他の例を示す図である。It is a figure which shows the other example of the relationship between analysis information and correlation conditions in the abnormal traffic monitoring apparatus of the Example of this invention. 本発明の実施例の異常トラヒック監視装置における、分析情報と相関条件の関係の他の例を示す図である。It is a figure which shows the other example of the relationship between analysis information and correlation conditions in the abnormal traffic monitoring apparatus of the Example of this invention. 本発明の実施例の異常トラヒック監視装置における、相関条件とその優先度の設定を保持するテーブルの一例を示す図である。It is a figure which shows an example of the table holding the setting of a correlation condition and its priority in the abnormal traffic monitoring apparatus of the Example of this invention.

以下、図面を参照して本発明の実施例を詳細に説明する。
なお、実施例を説明するための全図において、同一機能を有するものは同一符号を付け、その繰り返しの説明は省略する。また、以下の実施例は、本発明の特許請求の範囲の解釈を限定するものではない。
図１は、本発明の実施例の異常トラヒック監視装置が適用されるネットワーク構成を示すブロック図である。
図１に示すネットワーク構成では、監視ネットワーク２０は、ネットワーク装置＃１〜４（１１〜１４）で構成され、この監視ネットワーク２０には、宛先サーバ４０と送信元端末３０が接続される。ネットワーク装置＃１〜４（１１〜１４）としては、例えば、ＩＰネットワークにおけるルータが該当し、その場合、監視ネットワーク２０では、送信元端末３０と宛先サーバ４０との間のＩＰ通信のトラヒックが転送される。
また、ネットワーク装置＃１〜４（１１〜１４）には、異常トラヒック監視装置１００が接続されている。このネットワーク装置＃１〜４（１１〜１４）と異常トラヒック監視装置１００との間の接続は、ＬＡＮやＷＡＮによるものでも良く、監視ネットワーク経由の接続でも構わない。
異常トラヒック監視装置１００には、監視者用端末６０が接続されている。この異常トラヒック監視装置１００と監視者用端末６０との間の接続は、例えば、ＬＡＮ経由でも、インターネット等のＷＡＮ経由によるものでも良い。
また、異常トラヒック監視装置１００には、ＤＮＳサーバ５０が接続されている。この異常トラヒック監視装置１００とＤＮＳサーバ５０との間の接続も、ＬＡＮ経由でも、インターネット等のＷＡＮ経由によるものでも良い。 Hereinafter, embodiments of the present invention will be described in detail with reference to the drawings.
In all the drawings for explaining the embodiments, parts having the same functions are given the same reference numerals, and repeated explanation thereof is omitted. Also, the following examples do not limit the interpretation of the scope of the claims of the present invention.
FIG. 1 is a block diagram showing a network configuration to which an abnormal traffic monitoring apparatus according to an embodiment of the present invention is applied.
In the network configuration shown in FIG. 1, the monitoring network 20 includes network devices # 1 to 4 (11 to 14), and a destination server 40 and a transmission source terminal 30 are connected to the monitoring network 20. As the network devices # 1 to 4 (11 to 14), for example, routers in an IP network are applicable. In this case, in the monitoring network 20, the traffic of IP communication between the transmission source terminal 30 and the destination server 40 is transferred. Is done.
In addition, the abnormal traffic monitoring device 100 is connected to the network devices # 1 to 4 (11 to 14). The connection between the network devices # 1 to 4 (11 to 14) and the abnormal traffic monitoring device 100 may be a LAN or WAN connection, or a connection via a monitoring network.
A monitor terminal 60 is connected to the abnormal traffic monitoring apparatus 100. The connection between the abnormal traffic monitoring apparatus 100 and the supervisor terminal 60 may be, for example, via a LAN or via a WAN such as the Internet.
In addition, a DNS server 50 is connected to the abnormal traffic monitoring apparatus 100. The connection between the abnormal traffic monitoring apparatus 100 and the DNS server 50 may be via a LAN or via a WAN such as the Internet.

図１に示す構成において、送信元端末３０から宛先サーバ４０への通信トラヒックが発生すると、通信トラヒックを経由するネットワーク装置＃３（１３）およびネットワーク装置＃４（１４）は、転送する通信トラヒックの宛先アドレス、送信元アドレス、宛先ポート番号、送信元ポート番号、プロトコル番号のまとまり毎のトラヒックの統計情報をフロー情報として算出し、それらを異常トラヒック監視装置１００へ送信する。
異常トラヒック監視装置１００は、前記フロー情報を各ネットワーク装置＃１〜４（１１〜１４）から受信する。異常トラヒック監視装置１００は、各ネットワーク装置＃１〜４（１１〜１４）から受信したフロー情報を解析することで監視ネットワーク２０の状態を把握することが可能となる。
各ネットワーク装置＃１〜４（１１〜１４）が異常トラヒック監視装置１００へフロー情報を送信する際には、ＮｅｔＦｌｏｗやｓＦｌｏｗなどのプロトコルを用いる。
一方、監視者７０は、監視用端末６０を操作し、異常トラヒック監視装置１００にアクセスすることにより、遠隔から異常トラヒック監視装置１００の操作を可能とする。ここで、異常トラヒック監視装置１００は、Ｗｅｂサーバとして動作しており、監視用端末上でのＷｅｂブラウザにより、監視者用端末６０からのアクセスを受け付ける。ＷｅｂサーバやＷｅｂブラウザは、従来技術で構成される。
更に、ＤＮＳサーバ５０は、アドレスとドメイン名の対応関係を管理し、外部からのドメイン名によるアドレス解決要求、アドレスからのドメイン名の検索要求に応答する機能を有しており、これは従来技術で構成される。 In the configuration shown in FIG. 1, when communication traffic from the source terminal 30 to the destination server 40 occurs, the network device # 3 (13) and the network device # 4 (14) that pass through the communication traffic The statistical information of traffic for each group of destination address, transmission source address, destination port number, transmission source port number, and protocol number is calculated as flow information, and these are transmitted to the abnormal traffic monitoring apparatus 100.
The abnormal traffic monitoring device 100 receives the flow information from each of the network devices # 1 to 4 (11 to 14). The abnormal traffic monitoring device 100 can grasp the state of the monitoring network 20 by analyzing the flow information received from each of the network devices # 1 to # 4 (11 to 14).
When each of the network devices # 1 to 4 (11 to 14) transmits flow information to the abnormal traffic monitoring device 100, a protocol such as NetFlow or sFlow is used.
On the other hand, the monitor 70 operates the monitoring terminal 60 to access the abnormal traffic monitoring apparatus 100, thereby enabling the abnormal traffic monitoring apparatus 100 to be operated remotely. Here, the abnormal traffic monitoring apparatus 100 operates as a Web server, and accepts access from the monitoring terminal 60 by a Web browser on the monitoring terminal. Web servers and Web browsers are configured by conventional techniques.
Furthermore, the DNS server 50 has a function of managing the correspondence between addresses and domain names and responding to address resolution requests from external domain names and domain name search requests from addresses. Consists of.

図２は、本発明の実施例の異常トラヒック監視装置１００の概略構成を示すブロック図である。
異常トラヒック監視装置１００は、フロー情報受信機能１０１と、異常トラヒック検出機能１０２と、異常トラヒック分析機能１０３と、関連アラート検索機能１０４と、ＧＵＩ・グラフ表示機能１０５と、フロー情報蓄積機能１０６と、分析情報蓄積機能１０７と、アラート情報蓄積機能１０８と、ドメイン名取得機能１０９とで構成される。
各ネットワーク装置＃１〜４（１１〜１４）から、前記フロー情報が異常トラヒック監視装置１００へ送信されると、フロー情報受信機能１０１は、各ネットワーク装置＃１〜４（１１〜１４）からの通信プロトコルを終端し、フロー情報を受信する。また、フロー情報受信機能１０１は、受信したフロー情報をフロー情報蓄積機能１０６へ送信する。
フロー情報蓄積機能１０６は、フロー情報受信機能１０１から受信したフロー情報を順次保存し、要求に応じて該当するフロー情報を抽出し、要求元に対して送信する。
異常トラヒック検出機能１０２は、一定期間に受信したフロー情報を解析し、トラヒックの急激な変化を異常トラヒックのアラート情報として検出する機能である。
異常トラヒック検出機能１０２は、フロー情報蓄積機能１０６に対して、一定周期毎のフロー情報を要求する。要求に応じて、フロー情報蓄積機能１０６から複数のフロー情報を受信すると、受信したフロー情報に対して異常トラヒックの検査を実施し、異常トラヒックを検出する。
ここで、異常トラヒックの検査方法は、特に限定しないため、目的に応じて任意のアルゴリズムを採用して良い。例えば、保持したフロー情報の中から特定の宛先アドレス毎にトラヒック量を積算し、予め設定された閾値を超えた場合に該当宛先アドレスに対する異常トラヒックと判定する方法がある。 FIG. 2 is a block diagram illustrating a schematic configuration of the abnormal traffic monitoring apparatus 100 according to the embodiment of this invention.
The abnormal traffic monitoring apparatus 100 includes a flow information reception function 101, an abnormal traffic detection function 102, an abnormal traffic analysis function 103, a related alert search function 104, a GUI / graph display function 105, a flow information accumulation function 106, The analysis information storage function 107, the alert information storage function 108, and the domain name acquisition function 109 are configured.
When the flow information is transmitted from each of the network devices # 1 to 4 (11 to 14) to the abnormal traffic monitoring device 100, the flow information receiving function 101 is sent from each of the network devices # 1 to 4 (11 to 14). Terminate the communication protocol and receive flow information. The flow information reception function 101 transmits the received flow information to the flow information storage function 106.
The flow information storage function 106 sequentially stores the flow information received from the flow information reception function 101, extracts the corresponding flow information in response to the request, and transmits it to the request source.
The abnormal traffic detection function 102 is a function that analyzes flow information received during a certain period and detects a sudden change in traffic as alert information of abnormal traffic.
The abnormal traffic detection function 102 requests the flow information accumulation function 106 for flow information for each fixed period. When a plurality of pieces of flow information are received from the flow information storage function 106 in response to the request, the received flow information is inspected for abnormal traffic, and abnormal traffic is detected.
Here, the method for inspecting abnormal traffic is not particularly limited, and an arbitrary algorithm may be employed depending on the purpose. For example, there is a method of accumulating the traffic amount for each specific destination address from the stored flow information, and determining that the traffic is abnormal for the destination address when a predetermined threshold value is exceeded.

異常トラヒック検出機能１０２は、検出した異常トラヒックに対して、順次、アラートＩＤを付与し、アラート情報をアラート情報蓄積機能１０８に送信する。ここで、アラート情報としては、アラートＩＤ、時刻情報である発生日時、トラヒック量、宛先アドレスが送信される。また、異常トラヒック検出機能１０２は、異常トラヒックを検出すると、アラートＩＤを異常トラヒック分析機能１０３に送信する。
アラート情報蓄積機能１０８は、異常トラヒック検出機能１０２から受信したアラート情報を順次保存し、要求に応じて該当するアラート情報を抽出し、要求元に対して送信する。
異常トラヒック分析機能１０３は、アラート情報を元にフロー情報を詳細に分析し、異常トラヒックの原因となったフロー情報を特定する機能である。異常トラヒック分析機能１０３は、異常トラヒック検出機能１０２から、アラートＩＤを受信すると、アラート情報蓄積機能１０８に、該当アラートＩＤのアラート情報を要求する。要求に応じて、アラート情報蓄積機能１０８から要求したアラート情報を受信すると、アラート情報に基づくフロー情報をフロー情報蓄積機能１０６に要求する。
要求に応じて、フロー情報蓄積機能１０６から要求したフロー情報を受信すると、フロー情報に対して異常トラヒック分析を実施し、異常トラヒックの原因となったフロー情報を特定する。すなわち、異常トラヒックの原因となったフロー情報として、宛先アドレス、送信元アドレス、宛先ポート番号、送信元ポート番号、プロトコル番号、トラヒック量を得る。
ここで、異常トラヒック分析の方法は、特に限定しないが、異常トラヒックの原因となるフロー情報が特定可能な任意のアルゴリズムを採用して良い。例えば、前述の特許文献２では、異常トラヒックを検出した前後のフロー情報の差分を抽出することで、トラヒックの変化の原因となったフロー情報を特定する。特定されたフロー情報は、単一でも複数でもよい。 The abnormal traffic detection function 102 sequentially assigns alert IDs to the detected abnormal traffic, and transmits alert information to the alert information storage function 108. Here, as the alert information, an alert ID, an occurrence date and time information, a traffic amount, and a destination address are transmitted. Further, when detecting abnormal traffic, the abnormal traffic detection function 102 transmits an alert ID to the abnormal traffic analysis function 103.
The alert information storage function 108 sequentially stores the alert information received from the abnormal traffic detection function 102, extracts the corresponding alert information in response to the request, and transmits it to the request source.
The abnormal traffic analysis function 103 is a function that analyzes the flow information in detail based on the alert information and identifies the flow information that caused the abnormal traffic. When the abnormal traffic analysis function 103 receives the alert ID from the abnormal traffic detection function 102, the abnormal traffic analysis function 103 requests the alert information storage function 108 for the alert information of the corresponding alert ID. When the requested alert information is received from the alert information storage function 108 in response to the request, the flow information storage function 106 is requested for flow information based on the alert information.
When the requested flow information is received from the flow information storage function 106 in response to the request, an abnormal traffic analysis is performed on the flow information to identify the flow information that caused the abnormal traffic. That is, the destination address, the source address, the destination port number, the source port number, the protocol number, and the traffic amount are obtained as the flow information that has caused the abnormal traffic.
Here, the method of analyzing abnormal traffic is not particularly limited, but any algorithm that can identify flow information that causes abnormal traffic may be adopted. For example, in Patent Document 2 described above, the flow information that caused the change in the traffic is specified by extracting the difference between the flow information before and after detecting the abnormal traffic. The specified flow information may be single or plural.

異常トラヒック分析機能１０３は、特定したフロー情報に含まれるアドレス情報をドメイン名取得機能１０９に送信する。ドメイン名取得機能１０９では、受信したアドレスをＤＮＳサーバ５０に送信し、応答としてドメイン名を解決する機能を有する。ドメイン名取得機能１０９は、受信したドメイン名を異常トラヒック分析機能１０３に返信する。
異常トラヒック分析機能１０３は、特定した複数のフロー情報に対して、フローＩＤを付与する。また、異常トラヒック分析の実施毎に分析ＩＤを付与する。さらに、異常トラヒック分析機能１０３は、分析情報として、アラートＩＤ、分析ＩＤ、分析ＩＤに対応する単一または複数のフローＩＤ、各フローＩＤに対応するフロー情報、およびドメイン名取得機能１０９から取得したドメイン名を、分析情報蓄積機能１０７に送信する。
図３は、本実施例の異常トラヒック監視装置１００で分析した分析情報の一例を示す図である。
図３の分析情報は、分析ＩＤ：００４３に対して、複数のフローＩＤ（フローＩＤ：０００１、フローＩＤ：０００２）、各フローＩＤに対応するフロー情報（宛先アドレス、宛先アドレスのドメイン名、送信元アドレス、送信元アドレスのドメイン名、宛先ポート番号、送信元ポート番号、プロトコル番号）で構成される。なお、図３は、フロー情報が複数の例を示しているが、単一でもよい。
また、異常トラヒック分析機能１０３は、分析情報の送信後、アラートＩＤと分析ＩＤを関連アラート検索機能１０４に送信する。
分析情報蓄積機能１０７は、異常トラヒック分析機能１０３から受信した分析情報を順次保存し、要求に応じて該当する分析情報を抽出し、要求元に対して送信する。 The abnormal traffic analysis function 103 transmits the address information included in the identified flow information to the domain name acquisition function 109. The domain name acquisition function 109 has a function of transmitting the received address to the DNS server 50 and resolving the domain name as a response. The domain name acquisition function 109 returns the received domain name to the abnormal traffic analysis function 103.
The abnormal traffic analysis function 103 assigns a flow ID to the identified plurality of flow information. An analysis ID is assigned every time an abnormal traffic analysis is performed. Further, the abnormal traffic analysis function 103 is obtained from the alert ID, analysis ID, single or plural flow IDs corresponding to the analysis ID, flow information corresponding to each flow ID, and the domain name acquisition function 109 as analysis information. The domain name is transmitted to the analysis information storage function 107.
FIG. 3 is a diagram illustrating an example of analysis information analyzed by the abnormal traffic monitoring apparatus 100 according to the present embodiment.
The analysis information in FIG. 3 includes a plurality of flow IDs (flow ID: 0001, flow ID: 0002) for the analysis ID: 0043, flow information corresponding to each flow ID (destination address, domain name of destination address, transmission) Source address, source address domain name, destination port number, source port number, protocol number). FIG. 3 shows an example in which the flow information is plural, but it may be single.
The abnormal traffic analysis function 103 transmits the alert ID and the analysis ID to the related alert search function 104 after transmitting the analysis information.
The analysis information storage function 107 sequentially stores the analysis information received from the abnormal traffic analysis function 103, extracts the corresponding analysis information in response to the request, and transmits it to the request source.

関連アラート検索機能１０４は、分析情報から、それに関連する他の分析情報を特定する機能である。関連アラート検索機能１０４は、異常トラヒック分析機能１０３からアラートＩＤと分析ＩＤを受信すると、分析ＩＤを分析情報蓄積機能１０７に送信し、当該分析情報を要求する。要求に応じて、分析情報蓄積機能１０７から要求した分析情報を受信すると、分析情報と関連する他の分析情報を指定した相関条件を元に分析情報蓄積機能１０７に対して要求し、関連分析情報を得る。この際に得られる関連分析情報は、単一でも複数でも良い。
また、得られた各関連分析情報から、アラートＩＤを抽出し、これを関連アラートＩＤとする。さらに、異常トラヒック分析機能１０３から受信したアラート情報と、検索した関連アラートＩＤを関連アラート情報として、ＧＵＩ・グラフ表示機能１０５に送信する。
図４は、本実施例の異常トラヒック監視装置１００で検索した関連アラート情報の一例を示す図である。
図４の関連アラート情報は、検索の契機となったアラートＩＤ：００２４に対して、関連アラートのアラートＩＤのリスト（アラートＩＤ：００１８およびアラートＩＤ：００２２）で構成される。なお、図４では、関連アラートは複数の例を示しているが、単一でもよい。
なお、前記相関条件とは、ある分析情報と別の分析情報の間で、関連性があることを検索するための条件を意味する。 The related alert search function 104 is a function for identifying other analysis information related to the analysis information. Upon receiving the alert ID and analysis ID from the abnormal traffic analysis function 103, the related alert search function 104 transmits the analysis ID to the analysis information storage function 107 and requests the analysis information. Upon receiving the requested analysis information from the analysis information storage function 107 in response to the request, the analysis information storage function 107 is requested based on the correlation condition designating other analysis information related to the analysis information, and the related analysis information Get. The related analysis information obtained at this time may be single or plural.
Moreover, alert ID is extracted from each obtained related analysis information, and this is made into related alert ID. Furthermore, the alert information received from the abnormal traffic analysis function 103 and the retrieved related alert ID are transmitted to the GUI / graph display function 105 as related alert information.
FIG. 4 is a diagram illustrating an example of related alert information searched by the abnormal traffic monitoring apparatus 100 according to the present embodiment.
The related alert information shown in FIG. 4 is composed of a list of alert IDs (alert ID: 0018 and alert ID: 0022) of related alerts with respect to the alert ID: 0024 that triggered the search. In FIG. 4, a plurality of examples of related alerts are shown, but a single alert may be used.
The correlation condition means a condition for searching that there is a relationship between one analysis information and another analysis information.

ＧＵＩ・グラフ表示機能１０５では、受信した関連アラート情報から、アラートＩＤを抽出し、アラート情報蓄積機能１０８に送信し、対応するアラート情報を取得する。また、取得したアラート情報の発生日時を含む区間のフロー情報を取得し、時間単位毎のトラヒック量を算出することで、トラヒックグラフを描画する。さらに、ＧＵＩ・グラフ表示機能１０５では、描画したトラヒックグラフに対して、先に取得したアラート情報から発生日時を抽出し、関連するアラートの時刻情報を示す。
図５は、本実施例の異常トラヒック監視装置１００に表示されるトラヒックグラフの一例を示す図である。
図５においては、アラートＩＤ：００２４に対応するトラヒックグラフが表示されている。また、日時Ｃで発生したアラートＩＤ：００２４が、トラヒックグラフ中の発生日時の箇所に実線で表示されており、関連するアラートＩＤ：００１８およびアラートＩＤ：００２２のアラートＩＤが、同様に各アラートＩＤに対応するアラート情報の発生日時の箇所（日時Ａ、日時Ｂ）に対して、点線で表示されている。
監視者７０が、監視用端末６０のＷｅｂブラウザ経由で、異常トラヒック監視装置１００にアクセスすると、ＧＵＩ・グラフ表示機能１０５がこれを受信し、ＧＵＩ機能として、前記のトラヒックグラフと関連するアラート情報を表示する。
これにより、監視者７０はアラート情報と当該アラート情報のトラヒックグラフ、当該アラート情報に関連するアラート情報の時刻情報を一画面で確認することができ、迅速な対応の判断が可能となる。 The GUI / graph display function 105 extracts the alert ID from the received related alert information, transmits it to the alert information storage function 108, and acquires the corresponding alert information. In addition, the flow graph is drawn by acquiring the flow information of the section including the date and time of occurrence of the acquired alert information and calculating the traffic amount for each time unit. Further, the GUI / graph display function 105 extracts the occurrence date and time from the previously acquired alert information for the drawn traffic graph, and shows the time information of the related alert.
FIG. 5 is a diagram illustrating an example of a traffic graph displayed on the abnormal traffic monitoring apparatus 100 according to the present embodiment.
In FIG. 5, a traffic graph corresponding to the alert ID: 0024 is displayed. The alert ID 0024 that occurred at the date and time C is displayed by a solid line at the location of the occurrence date and time in the traffic graph, and the alert IDs of the related alert ID 0018 and alert ID 0022 are the same as each alert ID. Is displayed with a dotted line with respect to the location (date / time A, date / time B) of the occurrence date and time of alert information corresponding to.
When the monitor 70 accesses the abnormal traffic monitoring apparatus 100 via the web browser of the monitoring terminal 60, the GUI / graph display function 105 receives this, and alert information related to the traffic graph is received as the GUI function. indicate.
Thereby, the supervisor 70 can confirm alert information, the traffic graph of the alert information, and time information of the alert information related to the alert information on one screen, and can quickly determine the response.

以下、前記関連アラート検索機能における相関条件について、より具体的な例で説明する。
関連アラート検索機能１０４は、相関条件を元に分析情報蓄積機能１０７に対して、関連分析情報を要求するが、指定された相関条件と検索元となる分析情報から検索条件を生成して、分析情報蓄積機能１０７に要求することで、応答として関連する分析情報を得ることが可能である。
図６は、本実施例の異常トラヒック監視装置１００における、分析情報と相関条件の関係の一例を示す図である。
図６は、相関条件として、５−ｔｕｐｌｅ情報（宛先アドレス、送信元アドレス、プロトコル番号、宛先ポート番号、送信元ポート番号）の内、単一または複数の情報が一致する条件を分析情報から抽出した例である。
相関条件：Ａでは、「対象日時」と「宛先アドレスが一致」する条件が設定されており、これを分析ＩＤ：００４３の分析情報のフローＩＤ：０００１に適用すると、検索条件：Ａ−０００１が得られる。
また、相関条件：Ｂでは、「対象日時」と「宛先アドレスが一致」し、且つ「送信元アドレスが一致」する条件が設定されており、これを同様に分析ＩＤ００４３の分析情報のフローＩＤ：０００２に適用すると、検索条件：Ｂ−０００１が得られる。 Hereinafter, the correlation condition in the related alert search function will be described with a more specific example.
The related alert search function 104 requests the related analysis information to the analysis information storage function 107 based on the correlation condition. The related alert search function 104 generates a search condition from the specified correlation condition and the analysis information as the search source, and performs analysis. By making a request to the information storage function 107, it is possible to obtain related analysis information as a response.
FIG. 6 is a diagram illustrating an example of the relationship between the analysis information and the correlation condition in the abnormal traffic monitoring apparatus 100 according to the present embodiment.
In FIG. 6, as a correlation condition, a condition in which single or plural information matches among 5-tuple information (destination address, transmission source address, protocol number, destination port number, transmission source port number) is extracted from the analysis information. This is an example.
In the correlation condition: A, a condition that “target date and time” and “destination address match” is set, and when this is applied to the flow ID: 0001 of the analysis information of the analysis ID: 0043, the search condition: A-0001 is can get.
Further, in the correlation condition B, a condition that “target date and time” and “destination address match” and “transmission source address match” is set, and this is similarly applied to the flow ID of analysis information of analysis ID 0043: When applied to 0002, a search condition: B-0001 is obtained.

図７は、本実施例の異常トラヒック監視装置１００における、分析情報と相関条件の関係の他の例を示す図である。
図７は、相関条件として、宛先情報と送信元情報が一致するか、または、送信元情報と宛先情報が一致する条件を分析情報から抽出した例である。
相関条件：Ｃでは、「対象日時」と「宛先アドレスと送信元アドレスが一致」する条件が設定されており、これを分析ＩＤ：００４３の分析情報のフローＩＤ：０００１に適用すると、検索条件：Ｃ−０００１が得られる。
また、相関条件：Ｄでは、「対象日時」と「送信元アドレスと宛先アドレスが一致」する条件が設定されており、これを同様に分析ＩＤ００４３の分析情報のフローＩＤ：０００２に適用すると、検索条件：Ｄ−０００１が得られる。
図８は、本実施例の異常トラヒック監視装置１００における、分析情報と相関条件の関係の他の例を示す図である。
図８は、相関条件として、宛先または送信元のドメイン名が一致する条件を分析情報から抽出した例である。
相関条件：Ｅでは、「対象日時」と「宛先アドレスのドメイン名が一致」する条件が設定されており、これを分析ＩＤ：００４３の分析情報のフローＩＤ：０００１に適用すると、検索条件：Ｅ−０００１が得られる。
また、相関条件：Ｆでは、「対象日時」と「送信元アドレスのドメイン名が一致」する条件が設定されており、これを同様に分析ＩＤ００４３の分析情報のフローＩＤ：０００２に適用すると、検索条件：Ｆ−０００１が得られる。
関連アラート検索機能１０４は、これらの検索条件：Ａ−０００１、Ｂ−０００１、Ｃ−０００１、Ｄ−０００１、Ｅ−０００１、Ｆ−０００１に例示した検索条件を分析情報蓄積機能１０７に送信することで、それぞれ対応する相関条件を満足する分析情報を抽出する。 FIG. 7 is a diagram illustrating another example of the relationship between the analysis information and the correlation condition in the abnormal traffic monitoring apparatus 100 according to the present embodiment.
FIG. 7 shows an example in which, as the correlation condition, the condition in which the destination information and the transmission source information match or the transmission source information and the destination information match is extracted from the analysis information.
In the correlation condition: C, the condition “target date and time” and “destination address and source address match” are set, and when this is applied to the flow ID: 0001 of the analysis information of the analysis ID: 0043, the search condition: C-0001 is obtained.
Further, in the correlation condition D, a condition that “target date and time” and “source address and destination address match” is set, and when this is applied to the flow ID 0002 of the analysis information of the analysis ID 0043, the search is performed. Condition: D-0001 is obtained.
FIG. 8 is a diagram illustrating another example of the relationship between the analysis information and the correlation condition in the abnormal traffic monitoring apparatus 100 according to the present embodiment.
FIG. 8 shows an example in which a condition that matches the destination or source domain name is extracted from the analysis information as the correlation condition.
In the correlation condition: E, a condition for “target date and time” and “the domain name of the destination address match” is set. When this is applied to the flow ID: 0001 of the analysis information of the analysis ID: 0043, the search condition: E -0001 is obtained.
Further, in the correlation condition F, a condition that “target date and time” and “domain name of the source address match” is set, and when this is applied to the flow ID 0002 of the analysis information of the analysis ID 0043, the search is performed. Condition: F-0001 is obtained.
The related alert search function 104 transmits the search conditions exemplified in these search conditions: A-0001, B-0001, C-0001, D-0001, E-0001, and F-0001 to the analysis information storage function 107. Then, the analysis information satisfying the corresponding correlation condition is extracted.

以下に関連アラート検索機能１０４において、複数の相関条件を用いて関連アラートを抽出する方法を説明する。
関連アラート検索機能１０４では、相関条件により、分析情報から検索条件を生成し、これを分析情報蓄積機能１０７に送信することで、相関条件を満足する分析情報を抽出する。
図９は、本発明の実施例の異常トラヒック監視装置において、関連アラート検索機能１０４に設定される複数の相関条件とその優先度の設定を保持するテーブルの内容を示す図である。
関連アラート検索機能１０４では、あらかじめ設定された複数の相関条件の中から設定された優先度の順に相関条件を抽出し、関連アラートを抽出する。該当するアラートが抽出されれば、処理を終了するが、抽出されない場合は、次の優先度を有する相関条件を用いて関連アラートを抽出する。これを関連アラートが抽出されるか、全ての相関条件に対する検索が完了するまで繰り返すことで、複数の相関条件を用いて関連アラートを抽出することが可能となる。
なお、前述の説明では、異常トラヒック監視装置１００を１台の装置で構成した場合について説明したが、異常トラヒック監視装置１００を複数の装置で構成することも可能である。 A method for extracting related alerts using a plurality of correlation conditions in the related alert search function 104 will be described below.
The related alert search function 104 generates a search condition from the analysis information based on the correlation condition, and transmits the search condition to the analysis information storage function 107, thereby extracting the analysis information satisfying the correlation condition.
FIG. 9 is a diagram showing the contents of a table holding a plurality of correlation conditions set in the related alert search function 104 and their priority settings in the abnormal traffic monitoring apparatus of the embodiment of the present invention.
The related alert search function 104 extracts correlation conditions in the order of priority set from a plurality of correlation conditions set in advance, and extracts related alerts. If the corresponding alert is extracted, the process is terminated. If not, the related alert is extracted using the correlation condition having the next priority. By repeating this until a related alert is extracted or a search for all correlation conditions is completed, it is possible to extract a related alert using a plurality of correlation conditions.
In the above description, the case where the abnormal traffic monitoring apparatus 100 is configured by one apparatus has been described. However, the abnormal traffic monitoring apparatus 100 may be configured by a plurality of apparatuses.

以上説明したように、本実施例の異常トラヒック監視装置では、異常トラヒックのアラート検出時の情報のみを用いたアラートの関連付けではなく、アラート検出後にトラヒックの分析を実施し、得られた分析結果を用いて、複数アラート間の関連性を判定する手段を備えることで、アラート検出時の情報だけでは、判定できない異常トラヒックのケースにおいても、相互の関連性を自動的に判定することが可能となり、監視者に対して、複数アラート間の関連性を提示することが可能となる。
このように、本実施例によれば、ネットワーク上のトラヒックを監視し、異常状態を検出するシステムにおいて、異常トラヒックのアラート情報と共に関連するアラート情報が表示されることで、監視者がトラヒック情報と関連アラート情報を迅速に確認することが可能となり、対応策の判断が容易となる。
以上、本発明者によってなされた発明を、前記実施例に基づき具体的に説明したが、本発明は、前記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。 As described above, in the abnormal traffic monitoring apparatus of the present embodiment, instead of associating alerts using only information at the time of detecting an abnormal traffic alert, the traffic analysis is performed after the alert detection, and the obtained analysis result is displayed. By using the means to determine the relevance between multiple alerts, it becomes possible to automatically determine the relevance even in the case of abnormal traffic that cannot be determined only by the information at the time of alert detection, It becomes possible to present the relevance between a plurality of alerts to the monitor.
As described above, according to the present embodiment, in the system that monitors traffic on the network and detects an abnormal state, the alert information related to the abnormal traffic is displayed together with the alert information of the abnormal traffic. The related alert information can be quickly confirmed, and the countermeasure can be easily determined.
As mentioned above, the invention made by the present inventor has been specifically described based on the above embodiments. However, the present invention is not limited to the above embodiments, and various modifications can be made without departing from the scope of the invention. Of course.

１１〜１４ネットワーク装置＃１〜＃４
２０監視ネットワーク
３０送信元端末
４０宛先サーバ
５０ＤＮＳサーバ
６０監視者端末
７０監視者
１００異常トラヒック監視装置
１０１フロー情報受信機能
１０２異常トラヒック検出機能
１０３異常トラヒック分析機能
１０４関連アラート検索機能
１０５ＧＵＩ・グラフ表示機能
１０６フロー情報蓄積機能
１０７分析情報蓄積機能
１０８アラート情報蓄積機能
１０９ドメイン名取得機能 11-14 Network devices # 1 to # 4
DESCRIPTION OF SYMBOLS 20 Monitoring network 30 Source terminal 40 Destination server 50 DNS server 60 Monitor terminal 70 Monitor 100 Abnormal traffic monitoring apparatus 101 Flow information reception function 102 Abnormal traffic detection function 103 Abnormal traffic analysis function 104 Related alert search function 105 GUI / graph display Function 106 Flow information storage function 107 Analysis information storage function 108 Alert information storage function 109 Domain name acquisition function

Claims

An abnormal traffic monitoring method in an abnormal traffic monitoring device for monitoring traffic on a network and detecting an abnormal state,
Receiving traffic statistics information from a network device on the network; and
Detecting an abnormal state of traffic from the traffic statistical information received in step 1, and notifying the monitor as alert information;
Step 3 of analyzing the traffic information in an abnormal state triggered by the notification of the alert information in Step 2, and storing it as analysis information accompanying the alert information;
Searching for relevant alert information from the analysis information stored in step 3;
And a step 5 of presenting the relevant alert information retrieved in the step 4 to a monitor.

In the step 4, when searching for relevant alert information from the analysis information, at least one of the five information of destination address, source address, protocol number, destination port number and source port number of the analysis result is obtained. Search for alert information that includes the time information of each alert information as a related alert in the range of a certain time width before and after the time information of the alert information that matches, and automatically determine the relevance between alerts The abnormal traffic monitoring method according to claim 1, further comprising the step of:

In step 4, when searching for related alert information from the analysis information, the destination information of the analysis result of the alert information matches the transmission source information of the analysis result of each alert information, and the alert information The alert information that includes the time information of the alert information within the range of a certain time width before and after the time information, or the source information of the analysis result of the alert information matches the destination information of the analysis result of each alert information, And, there is a step of searching the alert information including the time information of the alert information as related alerts within a certain time width range before and after the time information of the alert information, and automatically determining the relevance between the alerts. The abnormal traffic monitoring method according to claim 1, wherein:

The step 3 includes a step of searching a domain name from a destination address or a source address of the analysis result,
When searching for related alert information from the analysis information, the step 4 matches a domain name searched from a destination address or a source address, and a range of a certain time width from the time information of the alert information. The abnormal traffic monitoring method according to claim 1, further comprising: searching for alert information including time information of each alert information as related alerts and automatically determining a relationship between the alerts.

In step 4, when a plurality of search conditions for related alert information are set, in addition, the priority of the search conditions is set, and when the related alert information is searched for from the analysis information, the priority order is met. 5. The abnormal traffic monitoring method according to claim 1, wherein the alert information is sequentially searched using the search condition, and the association between the alerts is automatically determined.

In the step 2, the time change of the traffic amount due to the GUI is displayed as a graph as the detected abnormal traffic information for the monitor.
6. The time information is extracted from the retrieved alert information in the step 5, and the extracted time information is displayed in a graph display of the abnormal traffic information. The abnormal traffic monitoring method according to claim 1.

An abnormal traffic monitoring device that monitors traffic on a network and detects an abnormal state,
Means 1 for receiving traffic statistical information from a network device on the network, detecting an abnormal state of traffic from the traffic statistical information, and notifying a monitor as alert information;
Triggering the notification of the alert information, analyzing the traffic information in an abnormal state, and storing means 2 as analysis information accompanying the alert information;
An abnormal traffic monitoring apparatus comprising means 3 for searching for relevant alert information from the stored analysis information and presenting it to a monitor.

When the means 3 retrieves relevant alert information from the analysis information, at least one of the five information of the destination address, the source address, the protocol number, the destination port number, and the source port number of the analysis result is retrieved. Search for alert information that includes the time information of each alert information as a related alert in the range of a certain time width before and after the time information of the alert information that matches, and automatically determine the relevance between alerts The abnormal traffic monitoring apparatus according to claim 7, further comprising:

When the means 3 retrieves relevant alert information from the analysis information, the destination information of the analysis result of the alert information matches the transmission source information of the analysis result of each alert information, and the alert information The alert information that includes the time information of the alert information within the range of a certain time width before and after the time information, or the source information of the analysis result of the alert information matches the destination information of the analysis result of each alert information, And it has means for searching for alert information including the time information of the alert information as a related alert in a range of a certain time width before and after the time information of the alert information, and automatically determining the relevance between the alerts. The abnormal traffic monitoring apparatus according to claim 7, wherein the apparatus is an abnormal traffic monitoring apparatus.

The means 2 includes means for searching a domain name from a destination address or a source address of the analysis result,
When the means 3 searches for the relevant alert information from the analysis information, the domain name searched from the destination address or the source address matches, and the range of a certain time width before and after the time information of the alert information The abnormal traffic monitoring apparatus according to claim 7, further comprising means for searching for alert information including time information of each alert information as related alerts and automatically determining a relationship between the alerts.

The means 3 sets a plurality of search conditions for related alert information, sets the priority of the search conditions in addition, and searches for related alert information from the analysis information, corresponding to the order of the priorities. 11. The abnormal traffic monitoring apparatus according to claim 7, wherein related alert information is sequentially searched using a search condition, and an association between alerts is automatically determined.

The means 1 displays a time change in traffic volume by GUI as abnormal traffic information detected for the monitor,
The said means 3 extracts time information from the searched alert information, and displays the extracted time information in a graph display of the abnormal traffic information. The abnormal traffic monitoring device according to claim 1.

An abnormal traffic monitoring device that monitors traffic on a network and detects an abnormal state,
Flow information reception function,
Flow information storage function,
Anomaly traffic detection function,
Alert information storage function,
Anomaly traffic analysis function,
Analysis information storage function,
A related alert search function,
The flow information reception function receives flow information from a network device on the network, transmits the received flow information to the flow information storage function,
The flow information accumulation function sequentially stores the flow information received from the flow information reception function, extracts corresponding flow information in response to a request, and transmits it to the request source.
The abnormal traffic detection function requests the flow information accumulation function for flow information at a fixed period, performs an inspection of abnormal traffic on the flow information received from the flow information accumulation function, and detects the detected abnormality. An alert ID is assigned to the traffic, is sent to the alert information storage function as alert information, and an alert ID is sent to the abnormal traffic analysis function,
The alert information storage function sequentially stores alert information received from the abnormal traffic detection function, extracts corresponding alert information in response to a request, and transmits it to the request source.
When the abnormal traffic analysis function receives an alert ID from the abnormal traffic detection function, the abnormal traffic analysis function requests alert information of the alert ID from the alert information storage function, and receives the requested alert information from the alert information storage function. Request flow information based on information to the flow information storage function, perform abnormal traffic analysis on the flow information received from the flow information storage function, identify and identify the flow information that caused the abnormal traffic A flow ID is assigned to a plurality of flow information, an analysis ID is assigned every time an abnormal traffic analysis is performed, the analysis information of the analysis ID is transmitted to the analysis information storage function, and an alert ID and analysis are performed. Send ID to related alert search function,
The analysis information storage function sequentially stores the analysis information received from the abnormal traffic analysis function, extracts the corresponding analysis information according to the request, and transmits it to the request source.
When the related alert search function receives an alert ID and an analysis ID from the abnormal traffic analysis function, the related alert search function requests analysis information of the analysis ID to the analysis information storage function, and receives the analysis information requested from the analysis information storage function. Then, a request is made to the analysis information storage function based on a correlation condition specifying other analysis information related to the analysis information, and an alert ID is extracted from the obtained related analysis information, and this is used as the related alert ID. An abnormal traffic monitoring device characterized by that.

It has a GUI / graph display function,
The GUI / graph display function acquires the alert ID received from the related alert search function and the alert information of the related alert ID from the alert information storage function, and the flow information of the section including the occurrence date and time of the acquired alert information is obtained. Obtained from the flow information storage function, calculates the traffic volume per time unit and draws a traffic graph, extracts the date and time of occurrence from the obtained alert information for the drawn traffic graph, The time information of the related alert information of the acquired related alert ID is extracted and time information is extracted, and the extracted time information is displayed during the traffic graph display. Traffic monitoring device.

It has a domain name acquisition function,
The domain name acquisition function receives address information included in the flow information specified in the abnormal traffic analysis function from the abnormal traffic analysis function and transmits it to the DNS server, and receives a corresponding domain name from the DNS server. 15. The abnormal traffic monitoring apparatus according to claim 13, wherein the received domain name is returned to the abnormal traffic analysis function.