JP2011146808A

JP2011146808A - Traffic analyzer, traffic analyzing method, and traffic analysis program

Info

Publication number: JP2011146808A
Application number: JP2010004294A
Authority: JP
Inventors: Shun Kyo; 濬許; Tetsuya Kusumoto; 哲也楠本; Chen Eric; チェンエリック
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2010-01-12
Filing date: 2010-01-12
Publication date: 2011-07-28

Abstract

<P>PROBLEM TO BE SOLVED: To inhibit normal traffic from being erroneously excluded as abnormal traffic from analysis objects. <P>SOLUTION: A traffic analyzer 10 includes: a traffic analyzing part 123 for analyzing traffic on the basis of traffic data 112; a ratio difference calculating part 121 for calculating a difference between a ratio for which the number of transmission sources in which the total value obtained by accumulating traffic included in the traffic data 112 in a transmission source unit is equal to or less than a first threshold 111 accounts of the number of the entire transmission sources and a ratio for which the total of traffic of transmission sources in which the total value is equal to or less than the first threshold 111 accounts of the entire traffic; and an abnormal traffic excluding part 122 for excluding the traffic of transmission sources in which the total value is larger than the first threshold 111 from analysis objects by a traffic analyzing part 123, when the difference calculated by the ratio difference calculating part 121 is greater than a second threshold 113. <P>COPYRIGHT: (C)2011,JPO&INPIT

Description

本発明は、トラフィック分析装置、トラフィック分析方法およびトラフィック分析プログラムに関する。 The present invention relates to a traffic analysis device, a traffic analysis method, and a traffic analysis program.

従来より、ネットワークのトラフィックを分析して、通信品質の改善等に利用するための分析データを生成する技術が知られている。トラフィックを分析することにより、例えば、時間帯毎の利用者数の推移、メッセージの種別の割合、エラー率のような様々な情報を分析データとして得ることができる。 2. Description of the Related Art Conventionally, a technique for analyzing network traffic and generating analysis data for use in improving communication quality is known. By analyzing the traffic, for example, various information such as the transition of the number of users in each time zone, the message type ratio, and the error rate can be obtained as analysis data.

また、ネットワークのトラフィックを分析するに当たって、分析の精度向上を目的として、異常トラフィックを分析対象から除外する技術も知られている。例えば、特許文献１では、マルウェア等の影響を除外するため、トラフィック量に基づいて度数分布表を作成し、トラフィック量の多い順に上位から一定割合のデータを削除する技術が開示されている。 Also, a technique for excluding abnormal traffic from the analysis target is known for the purpose of improving the accuracy of analysis in analyzing network traffic. For example, Patent Document 1 discloses a technique of creating a frequency distribution table based on traffic volume and deleting a certain percentage of data from the top in descending order of traffic volume in order to exclude the influence of malware or the like.

特開２００５−３２３１８３号公報JP 2005-323183 A

ところで、トラフィックの量や内容は、曜日や時間帯によって変化するのに加えて、何らかのイベントやキャンペーンのような突発的な事由によって大きく変化することもある。このため、上述した従来技術のように、異常トラフィックを一定の基準に基づいて常に除外することとすると、正常なトラフィックまでが分析対象から除外され、分析の精度が低下してしまうことがあった。 By the way, in addition to changing according to the day of the week and the time zone, the amount and content of traffic may change greatly due to an unexpected event such as an event or a campaign. For this reason, as in the conventional technology described above, if abnormal traffic is always excluded based on a certain standard, even normal traffic is excluded from the analysis target, and the accuracy of the analysis may be reduced. .

本発明は、上記に鑑みてなされたものであって、正常なトラフィックを異常トラフィックとして誤って分析対象から除外することを抑止できるトラフィック分析装置、トラフィック分析方法およびトラフィック分析プログラムを提供することを目的とする。 The present invention has been made in view of the above, and an object of the present invention is to provide a traffic analysis device, a traffic analysis method, and a traffic analysis program that can prevent normal traffic from being erroneously excluded from analysis as abnormal traffic. And

上述した課題を解決し、目的を達成するために、本発明に係るトラフィック分析装置は、トラフィックデータに基づいてトラフィックを分析する分析部と、前記トラフィックデータに含まれるトラフィックを送信元単位で集計した集計値が第１の閾値以下である送信元の数が全送信元数に占める比率と、前記集計値が第１の閾値以下である送信元のトラフィックの合計が全トラフィックに占める比率との差を算出する比率差算出部と、前記比率差算出部によって算出された差が第２の閾値よりも大きい場合に、前記集計値が第１の閾値よりも多い送信元のトラフィックを前記分析部による分析の対象外とする除外部とを備えることを特徴とする。 In order to solve the above-described problems and achieve the object, a traffic analysis apparatus according to the present invention includes an analysis unit that analyzes traffic based on traffic data, and aggregates traffic included in the traffic data in units of transmission sources. The difference between the ratio of the number of transmission sources whose total value is equal to or less than the first threshold to the total number of transmission sources and the ratio of the total traffic of the transmission sources whose total value is equal to or less than the first threshold to the total traffic When the difference calculated by the ratio difference calculation unit and the ratio difference calculation unit is larger than a second threshold, the analysis unit determines the traffic of the transmission source whose aggregate value is greater than the first threshold. And an exclusion unit that is not subject to analysis.

また、本発明に係るトラフィック分析方法は、トラフィックデータに基づいてトラフィックを分析する分析工程と、前記トラフィックデータに含まれるトラフィックを送信元単位で集計した集計値が第１の閾値以下である送信元の数が全送信元数に占める比率と、前記集計値が第１の閾値以下である送信元のトラフィックの合計が全トラフィックに占める比率との差を算出する比率差算出工程と、前記比率差算出工程によって算出された差が第２の閾値よりも大きい場合に、前記集計値が第１の閾値よりも多い送信元のトラフィックを前記分析工程における分析の対象外とする除外工程とを含むことを特徴とする。 In addition, the traffic analysis method according to the present invention includes an analysis step of analyzing traffic based on traffic data, and a transmission source in which a total value obtained by totaling traffic included in the traffic data for each transmission source is equal to or less than a first threshold value A ratio difference calculating step for calculating a difference between the ratio of the total number of transmission sources to the total number of transmission sources and the ratio of the total traffic of the transmission sources whose total value is equal to or less than a first threshold to the total traffic, and the ratio difference And an exclusion step of excluding the traffic of the transmission source whose aggregate value is larger than the first threshold value from being analyzed in the analysis step when the difference calculated by the calculation step is larger than the second threshold value. It is characterized by.

また、本発明に係るトラフィック分析プログラムは、コンピュータを上記のトラフィック分析装置として機能させることを特徴とする。 A traffic analysis program according to the present invention causes a computer to function as the traffic analysis device.

本発明に係るトラフィック分析装置、トラフィック分析方法およびトラフィック分析プログラムは、正常なトラフィックを異常トラフィックとして誤って分析対象から除外することを抑止できるという効果を奏する。 The traffic analysis apparatus, the traffic analysis method, and the traffic analysis program according to the present invention have an effect that normal traffic can be prevented from being erroneously excluded from the analysis target as abnormal traffic.

図１は、実施例１に係るトラフィック分析装置の構成を示す図である。FIG. 1 is a diagram illustrating the configuration of the traffic analysis apparatus according to the first embodiment. 図２は、異常トラフィックの除外について説明するための図である。FIG. 2 is a diagram for explaining exclusion of abnormal traffic. 図３は、実施例１に係るトラフィック分析装置の処理手順を示す図である。FIG. 3 is a diagram illustrating a processing procedure of the traffic analysis apparatus according to the first embodiment. 図４は、実施例２に係るトラフィック分析装置の構成を示す図である。FIG. 4 is a diagram illustrating the configuration of the traffic analysis apparatus according to the second embodiment. 図５は、集計データの一例を示す図である。FIG. 5 is a diagram illustrating an example of total data. 図６は、異常閾値の決定について説明するための図である。FIG. 6 is a diagram for explaining the determination of the abnormal threshold value. 図７は、異常トラフィックの除外について説明するための図である。FIG. 7 is a diagram for explaining exclusion of abnormal traffic. 図８は、実施例２に係るトラフィック分析装置の処理手順を示す図である。FIG. 8 is a diagram illustrating a processing procedure of the traffic analysis apparatus according to the second embodiment. 図９は、トラフィック分析処理の処理手順を示す図である。FIG. 9 is a diagram illustrating a processing procedure of traffic analysis processing. 図１０は、実施例２に係るトラフィック分析方法を示す図である。FIG. 10 is a diagram illustrating the traffic analysis method according to the second embodiment. 図１１は、トラフィック分析プログラムを実行するコンピュータを示す機能ブロック図である。FIG. 11 is a functional block diagram illustrating a computer that executes a traffic analysis program. 図１２は、トラフィックデータの取得の仕方の一例を示す図である。FIG. 12 is a diagram illustrating an example of how to obtain traffic data.

以下に、本発明に係るトラフィック分析装置、トラフィック分析方法およびトラフィック分析プログラムの実施例を図面に基づいて詳細に説明する。なお、この実施例によりこの発明が限定されるものではない。 Embodiments of a traffic analysis apparatus, a traffic analysis method, and a traffic analysis program according to the present invention will be described below in detail with reference to the drawings. Note that the present invention is not limited to the embodiments.

図１〜３を参照しながら、本実施例に係るトラフィック分析装置およびトラフィック分析方法について説明する。図１は、本実施例に係るトラフィック分析装置１０の構成を示すブロック図である。図１に示すように、トラフィック分析装置１０は、記憶部１１と、制御部１２とを有する。記憶部１１は、例えば、ハードディスク装置や半導体記憶装置であり、異常閾値（第１の閾値）１１１、トラフィックデータ１１２、比率差閾値（第２の閾値）１１３等を記憶する。 A traffic analysis apparatus and a traffic analysis method according to this embodiment will be described with reference to FIGS. FIG. 1 is a block diagram illustrating a configuration of a traffic analysis device 10 according to the present embodiment. As illustrated in FIG. 1, the traffic analysis device 10 includes a storage unit 11 and a control unit 12. The storage unit 11 is, for example, a hard disk device or a semiconductor storage device, and stores an abnormal threshold value (first threshold value) 111, traffic data 112, a ratio difference threshold value (second threshold value) 113, and the like.

トラフィックデータ１１２は、ネットワーク上を流れるメッセージ（パケットやフレームともいう）に関する情報が記録されたデータである。トラフィックデータ１１２には、例えば、ネットワーク上を流れるメッセージ毎に、送信元アドレス、送信先アドレス、メッセージの種別、メッセージ長、送信時刻を示すタイムスタンプ等の情報が記録される。なお、トラフィックデータ１１２は、トラフィック分析装置１０がネットワークを経由してアクセス可能な他の装置に記憶されていてもよい。 The traffic data 112 is data in which information about messages (also referred to as packets or frames) flowing on the network is recorded. For example, information such as a transmission source address, a transmission destination address, a message type, a message length, and a time stamp indicating a transmission time is recorded in the traffic data 112 for each message flowing on the network. The traffic data 112 may be stored in another device that the traffic analysis device 10 can access via the network.

トラフィックデータ１１２の取得の仕方の一例を図１２に示す。図１２に示すネットワーク環境では、ＳＩＰ（Session Initiation Protocol）クライアント２ａ〜２ｎとＳＩＰサーバ３とがインターネット１を介して接続されている。ＳＩＰクライアント２ａ〜２ｎは、ＩＰ電話の発呼者または着呼者となる端末である。ＳＩＰサーバ３は、ＩＰ電話の発呼者と着呼者との間にセッションを確立させるとともに、発呼者と着呼者との間でやりとりされる通話用のメッセージを中継する。 An example of how to obtain the traffic data 112 is shown in FIG. In the network environment shown in FIG. 12, SIP (Session Initiation Protocol) clients 2 a to 2 n and a SIP server 3 are connected via the Internet 1. The SIP clients 2a to 2n are terminals that are callers or callees of IP telephones. The SIP server 3 establishes a session between the caller and the callee of the IP phone and relays a call message exchanged between the caller and the callee.

タップ４は、ＳＩＰクライアント２ａ〜２ｎとＳＩＰサーバ３とを接続する経路上に設けられており、通過するメッセージに含まれる項目のうち分析に必要な項目または通過するメッセージそのものをトラフィックデータ１１２として記録する。トラフィックデータ１１２には、セッションの確立／切断や通話のためのメッセージに関する情報がメッセージ毎に記録される。トラフィックデータ１１２は、ネットワークや記録媒体等を介してトラフィック分析装置１０に転送される。 The tap 4 is provided on a path connecting the SIP clients 2 a to 2 n and the SIP server 3, and records items necessary for analysis among the items included in the passing message or the passing message itself as the traffic data 112. To do. In the traffic data 112, information related to a message for session establishment / disconnection or a call is recorded for each message. The traffic data 112 is transferred to the traffic analysis device 10 via a network, a recording medium, or the like.

図１の説明に戻って、異常閾値１１１と比率差閾値１１３は、異常トラフィックの除外を制御するためのパラメータであり、トラフィック分析装置１０の利用者によって設定される。異常閾値１１１は、送信元単位で集計したトラフィックが正常トラフィックであるか異常トラフィックであるかを判別するために用いられる。比率差閾値１１３は、異常閾値１１１に基づいて異常トラフィックを除外することが適切であるか否かを判定するために用いられる。 Returning to the description of FIG. 1, the abnormal threshold value 111 and the ratio difference threshold value 113 are parameters for controlling the exclusion of abnormal traffic, and are set by the user of the traffic analysis device 10. The abnormal threshold 111 is used to determine whether the traffic aggregated in units of transmission sources is normal traffic or abnormal traffic. The ratio difference threshold 113 is used to determine whether it is appropriate to exclude abnormal traffic based on the abnormal threshold 111.

ここで、異常トラフィックとは、悪意者やマルウェアによる攻撃、機器の障害やプログラムのバグ、利用者の操作ミス等によって生じる多大なトラッフィックであり、トラフィックの分析の精度を低下させるものをいう。また、送信元とは、送信元アドレス等によって識別される個別の装置であってもよいし、送信元アドレスの所定部分等によって識別されるサブネットワークであってもよい。 Here, the abnormal traffic is a large amount of traffic generated by an attack by a Service-to-Self or malware, a device failure or a program bug, a user's operation mistake, and the like, and refers to traffic that reduces the accuracy of traffic analysis. The transmission source may be an individual device identified by a transmission source address or the like, or may be a subnetwork identified by a predetermined part of the transmission source address or the like.

なお、異常閾値１１１と比率差閾値１１３は、必ずしも記憶部１１に記憶させておく必要はなく、必要となる度に図示しないユーザインターフェースを用いて利用者が入力することとしてもよいし、何らかのパラメータを用いて動的に算出することとしてもよい。 Note that the abnormal threshold 111 and the ratio difference threshold 113 do not necessarily need to be stored in the storage unit 11, and may be input by a user using a user interface (not shown) whenever necessary, It is good also as calculating dynamically using.

制御部１２は、トラフィック分析装置１０を全体制御する制御部であり、比率差算出部１２１と、異常トラフィック除外部１２２と、トラフィック分析部１２３とを有する。比率差算出部１２１は、トラフィックデータ１１２に記録されているメッセージ数やメッセージのデータ量等のトラフィックを送信元単位で集計し、集計されたトラフィックが異常閾値１１１以下の送信元数が全送信元数に占める比率と、集計されたトラフィックが異常閾値１１１以下の送信元のトラフィックの合計が全トラフィックに占める比率との差を算出する。 The control unit 12 is a control unit that totally controls the traffic analysis device 10, and includes a ratio difference calculation unit 121, an abnormal traffic exclusion unit 122, and a traffic analysis unit 123. The ratio difference calculation unit 121 totals traffic such as the number of messages and the amount of message data recorded in the traffic data 112 in units of transmission sources, and the total number of transmission sources whose total traffic is the abnormal threshold value 111 or less is the total transmission source. The difference between the ratio in the number and the ratio in which the total traffic of the transmission sources whose aggregated traffic is the abnormality threshold value 111 or less occupies the total traffic is calculated.

異常トラフィック除外部１２２は、比率差算出部１２１によって算出された比率の差と比率差閾値１１３を比較し、比率差算出部１２１によって算出された比率の差の方が大きい場合に、トラフィックデータ１１２に含まれる異常トラフィックを分析対象外とする。比率差算出部１２１によって算出された比率の差の方が大きい場合に分析対象外とされるトラフィックは、集計されたトラフィックが異常閾値１１１よりも多い送信元のトラフィックである。 The abnormal traffic excluding unit 122 compares the ratio difference calculated by the ratio difference calculating unit 121 with the ratio difference threshold 113, and when the ratio difference calculated by the ratio difference calculating unit 121 is larger, the traffic data 112 Anomalous traffic included in is excluded from analysis. The traffic that is excluded from the analysis target when the ratio difference calculated by the ratio difference calculation unit 121 is larger is the traffic of the transmission source whose aggregated traffic is greater than the abnormal threshold value 111.

トラフィック分析部１２３は、トラフィックデータ１１２に記録されているトラフィックのうち、異常トラフィック除外部１２２によって分析対象外とされたトラフィック以外のトラフィックに基づいて所定の分析を行う。トラフィック分析部１２３の分析の結果として、例えば、時間帯毎の利用者数の推移、メッセージの種別の割合、エラー率のような様々な情報や、他の分析装置が用いるトラフィックモデルデータが生成される。 The traffic analysis unit 123 performs a predetermined analysis based on traffic other than the traffic excluded from the analysis target by the abnormal traffic exclusion unit 122 among the traffic recorded in the traffic data 112. As a result of the analysis of the traffic analysis unit 123, for example, various information such as the transition of the number of users for each time zone, the ratio of message types, and the error rate, and traffic model data used by other analysis devices are generated. The

トラフィック分析装置１０における異常トラフィックの除外について図２を参照しながらさらに詳しく説明する。図２に示すグラフは、トラフィックデータ１１２に記録されているトラフィックを送信元単位で集計した結果に基づいて、１送信元当たりのトラフィックと送信元数の累積比率の関係と、１送信元当たりのトラフィックとトラフィックの累積比率の関係とを表したものである。 The exclusion of abnormal traffic in the traffic analyzer 10 will be described in more detail with reference to FIG. The graph shown in FIG. 2 shows the relationship between the traffic per transmission source and the cumulative ratio of the number of transmission sources based on the result of counting the traffic recorded in the traffic data 112 for each transmission source. It represents the relationship between traffic and the cumulative ratio of traffic.

図２に示すグラフにおいて、ρは、適切に設定された異常閾値１１１である。また、Ｒ１は、集計されたトラフィックがρ以下の送信元数が全送信元数に占める比率を表しており、Ｒ２は、集計されたトラフィックがρ以下の送信元のトラフィックの合計が全トラフィックに占める比率を表している。一般に、ネットワーク環境では、全トラフィックのかなり多くの部分が比較的少数の送信元のトラフィックによって占められる傾向があるため、Ｒ１はＲ２よりも大きな値となる。 In the graph shown in FIG. 2, ρ is an appropriately set abnormality threshold value 111. Further, R1 represents the ratio of the total number of senders whose total traffic is less than or equal to ρ to the total number of sources, and R2 is the total traffic of sources whose total traffic is less than or equal to ρ. It represents the ratio. In general, in a network environment, R1 is larger than R2 because a significant portion of the total traffic tends to be occupied by a relatively small number of source traffic.

そして、異常トラフィックは少数の送信元による多大なトラフィックであるため、トラフィックデータ１１２に異常トラフィックが含まれる場合は、全トラフィックのより多くの部分がより少数の送信元のトラフィックによって占められる傾向が強くなり、Ｒ１とＲ２の差が平常時よりも大きくなる。一方、特定の曜日や時間帯または特定のイベントがあった際に多くの送信者のトラフィックがρを超えた場合は、全トラフィックのより多くの部分がより少数の送信元のトラフィックによって占められる傾向はあまり強くならないため、Ｒ１とＲ２の差はそれほど変化しない。 Since abnormal traffic is a large amount of traffic from a small number of sources, when traffic data 112 includes abnormal traffic, a larger portion of the total traffic tends to be occupied by traffic from a smaller number of sources. Thus, the difference between R1 and R2 becomes larger than in normal times. On the other hand, if the traffic of many senders exceeds ρ when there is a specific day of the week, time of day, or a specific event, a larger part of the total traffic tends to be occupied by fewer traffic from the source Is not so strong, the difference between R1 and R2 does not change much.

したがって、Ｒ１とＲ２の差を、適切に設定された比率差閾値１１３と比較することにより、トラフィックデータ１１２に異常トラフィックが含まれるか否かを判定できる。すなわち、Ｒ１とＲ２の差が比率差閾値１１３よりも小さければ、送信元単位で集計したトラフィックが異常閾値１１１を超える送信元があっても、それらの送信元のトラフィックは正常であると判定できる。一方、Ｒ１とＲ２の差が比率差閾値１１３よりも大きければ、送信元単位で集計したトラフィックが異常閾値１１１を超える送信元のトラフィックは異常トラフィックであると判定できる。 Therefore, by comparing the difference between R1 and R2 with the appropriately set ratio difference threshold 113, it can be determined whether or not abnormal traffic is included in the traffic data 112. That is, if the difference between R1 and R2 is smaller than the ratio difference threshold 113, it can be determined that even if there are transmission sources whose traffic aggregated over the transmission source exceeds the abnormal threshold 111, the traffic of those transmission sources is normal. . On the other hand, if the difference between R1 and R2 is larger than the ratio difference threshold 113, it can be determined that the traffic of the transmission source whose traffic aggregated in units of transmission sources exceeds the abnormal threshold value 111 is abnormal traffic.

次に、図１に示したトラフィック分析装置１０による分析処理の処理手順について図３を参照しながら説明する。比率差算出部１２１は、トラフィックデータ１１２に基づいて、トラフィックが異常閾値１１１以下の送信元数が全送信元数に占める比率を取得するとともに（ステップＳ１０１）、トラフィックが異常閾値１１１以下の送信元のトラフィックの合計が全トラフィックに占める比率を取得し（ステップＳ１０２）、それらの比率の差を算出する（ステップＳ１０３）。 Next, a processing procedure of analysis processing by the traffic analysis device 10 shown in FIG. 1 will be described with reference to FIG. Based on the traffic data 112, the ratio difference calculation unit 121 acquires the ratio of the number of transmission sources whose traffic is below the abnormal threshold 111 to the total number of transmission sources (step S101), and the transmission source whose traffic is below the abnormal threshold 111 The ratio of the total traffic to the total traffic is acquired (step S102), and the difference between these ratios is calculated (step S103).

比率の差が比率差閾値１１３よりも大きければ（ステップＳ１０４肯定）、異常トラフィック除外部１２２は、トラフィックが異常閾値１１１よりも多い送信元のトラフィックを異常トラフィックとして分析対象から除外し（ステップＳ１０５）、トラフィック分析部１２３は、異常トラフィックが分析対象から除外されたトラフィックデータ１１２に基づいて分析を行う（ステップＳ１０６）。一方、比率の差が比率差閾値１１３よりも大きくなければ（ステップＳ１０４否定）、トラフィック分析部１２３は、異常トラフィックの除外が行われていないトラフィックデータ１１２に基づいて分析を行う（ステップＳ１０６）。 If the ratio difference is larger than the ratio difference threshold 113 (Yes in Step S104), the abnormal traffic exclusion unit 122 excludes the traffic of the transmission source whose traffic is larger than the abnormal threshold 111 from the analysis target as abnormal traffic (Step S105). The traffic analysis unit 123 performs analysis based on the traffic data 112 from which abnormal traffic is excluded from the analysis target (step S106). On the other hand, if the difference in the ratio is not greater than the ratio difference threshold 113 (No in step S104), the traffic analysis unit 123 performs analysis based on the traffic data 112 from which the abnormal traffic is not excluded (step S106).

このように、本実施例に係るトラフィック分析装置およびトラフィック分析方法では、トラフィックが異常閾値１１１以下の送信元数が全送信元数に占める比率と、トラフィックが異常閾値１１１以下の送信元のトラフィックの合計が全トラフィックに占める比率との差とに基づいて異常トラフィックの除外の要否を判定することとしたので、正常なトラフィックを異常トラフィックと誤って分析対象から除外することを抑止できる。 As described above, in the traffic analysis apparatus and the traffic analysis method according to the present embodiment, the ratio of the number of transmission sources whose traffic is the abnormal threshold value 111 or less to the total number of transmission sources and the traffic of the transmission source whose traffic is the abnormal threshold value 111 or less. Since the necessity of excluding abnormal traffic is determined based on the difference between the total and the ratio of the total traffic, it is possible to prevent normal traffic from being erroneously excluded from the analysis target as abnormal traffic.

本発明の他の実施例について説明する。なお、本実施例では、メッセージ数に基づいてトラフィックの大きさを評価することとし、また、ＩＰ電話において発呼者側から発生するＳＩＰメッセージであるＩＮＶＩＴＥ、ＲＥＧＩＳＴＥＲ、ＡＣＫ、ＢＹＥ、ＣＡＮＣＥＬ、ＯＰＴＩＯＮＳという６つの種別のメッセージのみを分析対象とすることとする。このため、本実施例では、実施例１において「トラフィック」と記載されている事項を「メッセージ数」と記載することがあり、実施例１において「送信元」と記載されている事項を「発呼者」と記載することがある。 Another embodiment of the present invention will be described. In this embodiment, the size of traffic is evaluated based on the number of messages. In addition, INVITE, REGISTER, ACK, BYE, CANCEL, and OPTIONS, which are SIP messages generated from the caller side in an IP phone, are called. Only six types of messages are to be analyzed. Therefore, in the present embodiment, the item described as “traffic” in the first embodiment may be described as “number of messages”, and the item described as “transmission source” in the first embodiment may be described as “source”. May be described as "caller".

図４は、本実施例に係るトラフィック分析装置２０の構成を示すブロック図である。図４に示すように、トラフィック分析装置２０は、記憶部２１と、制御部２２とを有する。記憶部２１は、例えば、ハードディスク装置や半導体記憶装置であり、ウィンドウサイズ２１１、異常閾値決定パラメータ２１２、トラフィックデータ２１３、比率差閾値２１４、重み２１５、分析結果データ２１６等を記憶する。 FIG. 4 is a block diagram illustrating a configuration of the traffic analysis device 20 according to the present embodiment. As illustrated in FIG. 4, the traffic analysis device 20 includes a storage unit 21 and a control unit 22. The storage unit 21 is, for example, a hard disk device or a semiconductor storage device, and stores a window size 211, an abnormal threshold determination parameter 212, traffic data 213, a ratio difference threshold 214, weight 215, analysis result data 216, and the like.

トラフィックデータ２１３は、ネットワーク上を流れるＩＰ電話関連のメッセージに関する情報が記録されたデータである。トラフィックデータ２１３には、例えば、メッセージ毎に、発呼者を識別するためのＩＤ、着呼者を識別するためのＩＤ、セッションを識別するためのＩＤ、メッセージの種別、メッセージ長、送信時刻を示すタイムスタンプ等の情報が記録される。なお、トラフィックデータ２１３は、トラフィック分析装置２０がネットワークを経由してアクセス可能な他の装置に記憶されていてもよい。 The traffic data 213 is data in which information related to IP telephone related messages flowing on the network is recorded. The traffic data 213 includes, for example, for each message, an ID for identifying the calling party, an ID for identifying the called party, an ID for identifying the session, a message type, a message length, and a transmission time. Information such as a time stamp is recorded. The traffic data 213 may be stored in another device that the traffic analysis device 20 can access via the network.

分析結果データ２１６は、分析結果として生成されるデータである。ウィンドウサイズ２１１、異常閾値決定パラメータ２１２、トラフィックデータ２１３、比率差閾値２１４および重み２１５は、トラフィック分析装置２０の動作を制御するためのパラメータであり、トラフィック分析装置２０の利用者によって設定される。トラフィック分析装置２０の利用者は、これらのパラメータを変更することで、処理時間および確率的正確度を調整することができる。 The analysis result data 216 is data generated as an analysis result. The window size 211, the abnormal threshold determination parameter 212, the traffic data 213, the ratio difference threshold 214 and the weight 215 are parameters for controlling the operation of the traffic analysis device 20, and are set by the user of the traffic analysis device 20. The user of the traffic analysis device 20 can adjust the processing time and the probabilistic accuracy by changing these parameters.

ウィンドウサイズ２１１は、トラフィックデータ２１３を分類する時間帯の単位を示す。異常閾値決定パラメータ２１２は、図１に示した異常閾値１１１に相当する閾値を決定するために用いられる。比率差閾値２１４は、図１に示した比率差閾値１１３に相当する。重み２１５は、分類によって得られた各サブデータによる分析結果を調整するために用いられる。 The window size 211 indicates a unit of time zone for classifying the traffic data 213. The abnormal threshold determination parameter 212 is used to determine a threshold corresponding to the abnormal threshold 111 shown in FIG. The ratio difference threshold 214 corresponds to the ratio difference threshold 113 shown in FIG. The weight 215 is used to adjust the analysis result based on each sub-data obtained by classification.

制御部２２は、トラフィック分析装置２０を全体制御する制御部であり、分類部２２１と、集計部２２２と、異常閾値決定部２２３と、比率差算出部２２４と、異常トラフィック除外部２２５と、トラフィック分析部２２６と、分析結果調整部２２７とを有する。 The control unit 22 is a control unit that totally controls the traffic analysis device 20, and includes a classification unit 221, a totaling unit 222, an abnormal threshold determination unit 223, a ratio difference calculation unit 224, an abnormal traffic exclusion unit 225, traffic An analysis unit 226 and an analysis result adjustment unit 227 are included.

分類部２２１は、トラフィックデータ２１３に含まれる各メッセージに関する情報を、メッセージの種別とタイムスタンプに基づいて、複数のサブデータのいずれかへ分類する。例えば、情報を３０分の時間帯毎に分類すべき旨がウィンドウサイズ２１１に設定されており、トラフィックデータ２１３が６時間分の情報を含んでいる場合、分類部２２１は、トラフィックデータ２１３に含まれる各メッセージに関する情報のうち上記の種別に該当するものを、各メッセージの種別とタイムスタンプに基づいて、７２個（１２個の時間帯×６個の種別）のサブデータのいずれかに分類する。 The classification unit 221 classifies information on each message included in the traffic data 213 into one of a plurality of sub data based on the message type and the time stamp. For example, if the window size 211 indicates that the information should be classified every 30 minutes, and the traffic data 213 includes information for 6 hours, the classification unit 221 includes the traffic data 213. Information corresponding to the above-mentioned type of information regarding each message is classified into one of 72 (12 time zones × 6 types) sub-data based on the type and time stamp of each message. .

トラフィックデータ２１３は、膨大な量の情報を含むことがあるため、全体を一括して処理しようとすると、集計や分析に要する処理時間が非常に長くなったり、処理負荷が非常に高くなったりするおそれがある。このようにトラフィックデータ２１３に含まれる各メッセージに関する情報を分類し、分類後のサブデータ単位で集計や分析を行うことにより、全体の処理時間の短縮や、処理負荷の軽減が可能になる。 Since the traffic data 213 may contain an enormous amount of information, the processing time required for aggregation and analysis becomes very long and the processing load becomes very high if the entire data is processed at once. There is a fear. Thus, by classifying information about each message included in the traffic data 213 and performing aggregation and analysis in units of sub-data after classification, it is possible to reduce the overall processing time and the processing load.

なお、ウィンドウサイズ２１１に設定される時間帯の単位は、短期間に大量の異常トラフィックが発生する場合には短いことが好ましく、持続的に異常トラフィックが発生する場合には長いことが好ましい。 The unit of the time zone set in the window size 211 is preferably short when a large amount of abnormal traffic occurs in a short period of time, and is preferably long when abnormal traffic occurs continuously.

集計部２２２は、分類部２２１による分類後のサブデータ単位で集計処理を実行し、図５に示すような集計データをサブデータ毎に作成する。図５に示す集計データは、セット（１）〜セット（ｎ）というｎ個のセットを含んでおり、各セットは、メッセージ数、発呼者数、メッセージ数の累積比率、発呼者数の累積比率という項目を有する。セット（１）〜セット（ｎ）は、メッセージ数の値に基づいて昇順にソートされている。 The aggregation unit 222 executes aggregation processing in units of sub-data after classification by the classification unit 221 and creates aggregation data as shown in FIG. 5 for each sub-data. The aggregate data shown in FIG. 5 includes n sets of sets (1) to (n). Each set includes the number of messages, the number of callers, the cumulative ratio of the number of messages, and the number of callers. It has an item of cumulative ratio. The sets (1) to (n) are sorted in ascending order based on the number of messages.

メッセージ数は、発呼者単位でメッセージの数を集計した値である。発呼者数は、発呼者単位で集計したメッセージの数がメッセージ数の項目の値と同一の発呼者の数である。メッセージ数の累積比率は、発呼者単位で集計したメッセージの数がメッセージ数の項目の値以下である発呼者数のメッセージの数の合計が全メッセージ数に占める比率である。発呼者数の累積比率は、発呼者単位で集計したメッセージの数がメッセージ数の項目の値以下である発呼者数が全発呼者数に占める比率である。 The number of messages is a value obtained by summing up the number of messages for each caller. The number of callers is the number of callers in which the number of messages aggregated for each caller is the same as the value of the message number item. The cumulative ratio of the number of messages is a ratio of the total number of messages of the number of callers whose number of messages aggregated per caller is equal to or less than the value of the number of messages item to the total number of messages. The cumulative ratio of the number of callers is the ratio of the total number of callers to the number of callers in which the number of messages aggregated per caller is equal to or less than the value of the message number item.

例えば、図５に示す集計データのセット（２）では、メッセージ数として「Ｎｍ_２」が設定され、発呼者数として「Ｎｃ_２」が設定され、メッセージ数の累積比率として「Ｒｍ_２」が設定され、発呼者数の累積比率として「Ｒｃ_２」が設定されている。これは、発呼者単位で集計したメッセージの数が「Ｎｍ_２」である発呼者の数が「Ｎｃ_２」であり、発呼者単位で集計したメッセージの数が「Ｎｍ_２」以下である発呼者数のメッセージの数の合計が全メッセージ数に占める比率が「Ｒｍ_２」であり、発呼者単位で集計したメッセージの数が「Ｎｍ_２」以下である発呼者数が全発呼者数に占める比率が「Ｒｃ_２」であることを示している。 For example, in the aggregated data set (2) shown in FIG. 5, “Nm ₂ ” is set as the number of messages, “Nc ₂ ” is set as the number of callers, and “Rm ₂ ” is set as the cumulative ratio of the number of messages. “Rc ₂ ” is set as the cumulative ratio of the number of callers. This is because the number of callers for which the number of messages aggregated for each caller is “Nm ₂ ” is “Nc ₂ ”, and the number of messages for each caller is “Nm ₂ ” or less. The ratio of the total number of messages of a certain number of callers to the total number of messages is “Rm ₂ ”, and the total number of callers whose total number of messages per caller is “Nm ₂ ” or less. It shows that the ratio of the number of callers to “Rc ₂ ”.

なお、セット毎に値のばらつきが生じたり、セットの数が増大して必要な記憶容量や処理負荷が増大したりすることを回避するため、発呼者単位で集計したメッセージの数については、１００未満を切り下げまたは四捨五入する等して値を丸めて扱うこととしてもよい。 In order to avoid variation in values for each set or an increase in the number of sets to increase the required storage capacity and processing load, the number of messages aggregated per caller is: The value may be rounded or handled by rounding down to the nearest 100 or rounding off.

異常閾値決定部２２３は、異常閾値決定パラメータ２１２と、集計部２２２によって作成された集計データとに基づいて、送信元単位で集計した各メッセージ数に対応するトラフィックが正常トラフィックであるか異常トラフィックであるかを判別するための異常閾値を決定する。 Based on the abnormal threshold determination parameter 212 and the total data created by the totaling unit 222, the abnormal threshold determination unit 223 determines whether the traffic corresponding to the number of messages aggregated in units of transmission sources is normal traffic or abnormal traffic. An abnormal threshold value for determining whether or not there is is determined.

異常閾値決定部２２３による異常閾値の決定について、図６を参照しながら、さらに詳細に説明する。異常閾値決定部２２３は、下記の式（１）を用いて、異常閾値ρを決定する。 The determination of the abnormal threshold by the abnormal threshold determination unit 223 will be described in more detail with reference to FIG. The abnormal threshold determination unit 223 determines the abnormal threshold ρ using the following equation (1).

ここで、μは、１発呼者当たりのメッセージ数の平均であり、δは、１発呼者当たりのメッセージ数の標準偏差である。μとδは、それぞれ、下記の式（２）と式（３）を用いて算出される。 Where μ is the average number of messages per caller, and δ is the standard deviation of the number of messages per caller. μ and δ are calculated using the following equations (2) and (3), respectively.

ωは、異常閾値決定パラメータ２１２の値であり、例えば、１、２、３のいずれかの値をとる。 ω is the value of the abnormal threshold determination parameter 212, and takes one of 1, 2, and 3, for example.

比率差算出部２２４は、メッセージ数が異常閾値ρ以下の発呼者数が全発呼者数に占める比率と、メッセージ数が異常閾値ρ以下の発呼者のメッセージ数の合計が全メッセージ数に占める比率との差を算出する。 The ratio difference calculation unit 224 calculates the total number of messages by the ratio of the number of callers whose number of messages is equal to or less than the abnormal threshold ρ to the total number of callers and the number of messages of callers whose number of messages is equal to or less than the abnormal threshold ρ The difference from the ratio to the ratio is calculated.

比率差算出部２２４による比率の差の算出について、図７を参照しながら、さらに詳細に説明する。メッセージ数の項目の値が異常閾値ρと同一または最も近似するセットがセット（ｔ）である場合、比率差算出部２２４は、集計部２２２により作成された集計データからセット（ｔ）の発呼者数の累計比率の値であるＲｃ_ｔと、メッセージ数の累計比率の値であるＲｍ_ｔとを取得し、これらの差を算出する。 The ratio difference calculation by the ratio difference calculation unit 224 will be described in more detail with reference to FIG. When the set whose value of the item of the number of messages is the same or closest to the abnormal threshold ρ is the set (t), the ratio difference calculation unit 224 calls the set (t) from the totaled data created by the totaling unit 222 It gets the Rc _t is the value of the cumulative proportion of number of interrupted, and Rm _t is the value of the cumulative ratio of the number of messages, and calculates the differences.

なお、集計部２２２が作成する集計データに発呼者数の累計比率とメッセージ数の累計比率を含めないこととし、比率差算出部２２４が以下の式（４）を用いて比率の差を算出することとしてもよい。 Note that the total data created by the totaling unit 222 does not include the cumulative ratio of the number of callers and the cumulative ratio of the number of messages, and the ratio difference calculation unit 224 calculates the ratio difference using the following equation (4). It is good to do.

異常トラフィック除外部２２５は、比率差算出部２２４によって算出された比率の差と比率差閾値２１４を比較し、比率差算出部２２４によって算出された比率の差の方が大きい場合に、処理対象となっている集計データに対応するサブデータに含まれる異常トラフィックを分析対象外とする。比率差算出部２２４によって算出された比率の差の方が大きい場合に分析対象外とされるトラフィックは、発呼者単位で集計されたメッセージ数が異常閾値ρよりも多い発呼者のトラフィックである。 The abnormal traffic excluding unit 225 compares the ratio difference calculated by the ratio difference calculating unit 224 with the ratio difference threshold 214, and if the ratio difference calculated by the ratio difference calculating unit 224 is larger, The abnormal traffic included in the sub-data corresponding to the aggregated data is excluded from analysis. The traffic that is excluded from the analysis target when the ratio difference calculated by the ratio difference calculation unit 224 is larger is the traffic of the caller whose number of messages aggregated per caller is larger than the abnormal threshold ρ. is there.

トラフィック分析部２２６は、処理対象となっている集計データに対応するサブデータに含まれるトラフィックのうち、異常トラフィック除外部２２５によって分析対象外とされたトラフィック以外のトラフィックに基づいて所定の分析を行う。 The traffic analysis unit 226 performs a predetermined analysis based on traffic other than the traffic excluded from the analysis target by the abnormal traffic exclusion unit 225 among the traffic included in the sub data corresponding to the aggregated data to be processed. .

分析結果調整部２２７は、トラフィック分析部２２６による分析結果を以前の時間帯における同一種別のサブデータについてのトラフィック分析部２２６の分析結果と所定の割で混合することにより、分析結果を調整する。分析結果調整部２２７による調整は、例えば、下記の式（５）を用いて行われる。 The analysis result adjustment unit 227 adjusts the analysis result by mixing the analysis result of the traffic analysis unit 226 with the analysis result of the traffic analysis unit 226 for the same type of sub-data in the previous time zone at a predetermined rate. The adjustment by the analysis result adjustment unit 227 is performed using, for example, the following formula (5).

ここで、ｗは、重み２１５の値であり、０〜１の範囲で設定される。Ｖ_{ｐｒｅｖｉｏｕｓ}は、トラフィック分析部２２６による今回の分析結果であり、Ｖ_{ｃｕｒｒｅｎｔ}は、トラフィック分析部２２６による以前の時間帯における同一種別のサブデータについての分析結果であり、Ｖは、調整後の分析結果である。このように分析結果を混合することにより、時間帯毎の分析結果のばらつきを抑制することができる。 Here, w is the value of the weight 215 and is set in the range of 0-1. _Vprevious is the _current analysis result by the traffic analysis unit 226, _Vcurrent is the analysis result of the same type of subdata in the previous time zone by the traffic analysis unit 226, and V is the analysis result after adjustment. It is. By mixing the analysis results in this way, variations in the analysis results for each time zone can be suppressed.

次に、図４に示したトラフィック分析装置２０による分析処理の処理手順について図８および図９を参照しながら説明する。分類部２２１は、トラフィックデータ２１３に含まれる各メッセージに関する情報をウィンドウサイズ２１１に基づいて時間帯毎に分類するとともに（ステップＳ２０１）、種別毎に分類して時間帯毎かつ種別毎のサブデータを作成する（ステップＳ２０２）。 Next, a processing procedure of analysis processing by the traffic analysis apparatus 20 shown in FIG. 4 will be described with reference to FIGS. The classification unit 221 classifies the information regarding each message included in the traffic data 213 for each time zone based on the window size 211 (step S201), and classifies the data for each type to sub-data for each time zone and each type. Create (step S202).

集計部２２２は、未選択の種別を選択するとともに（ステップＳ２０３）、最初の時間帯を選択する（ステップＳ２０４）。そして、集計部２２２は、選択した種別と時間帯に対応するサブデータを選択して（ステップＳ２０５）、集計データを作成する（ステップＳ２０６）。 The counting unit 222 selects an unselected type (step S203) and selects the first time zone (step S204). Then, the totaling unit 222 selects sub-data corresponding to the selected type and time zone (step S205), and creates total data (step S206).

続いて、異常閾値決定部２２３は、集計部２２２によって生成された集計データから算出した平均および標準偏差と、異常閾値決定パラメータ２１２とに基づいて、異常閾値を決定する（ステップＳ２０７）。そして、集計部２２２によって生成された集計データと、異常閾値決定部２２３によって決定された異常閾値と、比率差閾値２１４とに基づいて、後述するトラフィック分析処理が実行され、選択されている時間帯と種別に対応する分析結果が得られる（ステップＳ２０８）。 Subsequently, the abnormal threshold determination unit 223 determines an abnormal threshold based on the average and standard deviation calculated from the total data generated by the totaling unit 222 and the abnormal threshold determination parameter 212 (step S207). Then, based on the total data generated by the totaling unit 222, the abnormal threshold determined by the abnormal threshold determining unit 223, and the ratio difference threshold 214, a traffic analysis process to be described later is executed and the selected time zone And an analysis result corresponding to the type is obtained (step S208).

そして、分析結果調整部２２７は、今回得られた分析結果を、重み２１５に基づく比率で、同一種別で以前の時間帯に対応する分析結果と混合して調整する（ステップＳ２０９）。ここで、選択されている時間帯が最後の時間帯でなければ（ステップＳ２１０否定）、次の時間帯が選択され（ステップＳ２１１）、ステップＳ２０５から処理手順が再開される。一方、選択されている時間帯が最後の時間帯である場合は（ステップＳ２１０肯定）、全ての種別を選択済みでなければ（ステップＳ２１２否定）、ステップＳ２０３から処理手順が再開され、全ての種別を選択済みであれば（ステップＳ２１２肯定）、分析処理が完了となる。 Then, the analysis result adjustment unit 227 adjusts the analysis result obtained this time by mixing with the analysis result corresponding to the previous time zone of the same type at a ratio based on the weight 215 (step S209). If the selected time zone is not the last time zone (No at Step S210), the next time zone is selected (Step S211), and the processing procedure is restarted from Step S205. On the other hand, if the selected time zone is the last time zone (Yes at Step S210), if not all types have been selected (No at Step S212), the processing procedure is restarted from Step S203, and all types are selected. Is already selected (Yes at step S212), the analysis process is completed.

図９に示すように、図８に示したトラフィック分析処理では、比率差算出部２２４は、集計データに基づいて、メッセージ数が異常閾値以下の発呼者数が全発呼者数に占める比率を取得するとともに（ステップＳ３０１）、メッセージ数が異常閾値以下の発呼者のメッセージ数の合計が全メッセージ数に占める比率を取得し（ステップＳ３０２）、それらの比率の差を算出する（ステップＳ３０３）。 As shown in FIG. 9, in the traffic analysis processing shown in FIG. 8, the ratio difference calculation unit 224 determines the ratio of the number of callers whose number of messages is equal to or less than the abnormal threshold to the total number of callers based on the aggregated data. (Step S301), the ratio of the total number of messages of callers whose number of messages is equal to or less than the abnormal threshold to the total number of messages is acquired (step S302), and the difference between the ratios is calculated (step S303). ).

比率の差が比率差閾値２１４よりも大きければ（ステップＳ３０４肯定）、異常トラフィック除外部２２５は、メッセージ数が異常閾値よりも多い発呼者のトラフィックを異常トラフィックとして分析対象から除外し（ステップＳ３０５）、トラフィック分析部２２６は、異常トラフィックが分析対象から除外されたサブデータに基づいて分析を行う（ステップＳ３０６）。一方、比率の差が比率差閾値２１４よりも大きくなければ（ステップＳ３０４否定）、トラフィック分析部２２６は、異常トラフィックの除外が行われていないサブデータに基づいて分析を行う（ステップＳ３０６）。 If the ratio difference is larger than the ratio difference threshold 214 (Yes at Step S304), the abnormal traffic exclusion unit 225 excludes the caller's traffic whose number of messages is larger than the abnormal threshold from the analysis target as abnormal traffic (Step S305). ) The traffic analysis unit 226 performs analysis based on the sub data from which the abnormal traffic is excluded from the analysis target (step S306). On the other hand, if the difference in ratio is not greater than the ratio difference threshold 214 (No in step S304), the traffic analysis unit 226 performs analysis based on the sub-data in which the abnormal traffic is not excluded (step S306).

図１０に示すように、本実施例に係るトラフィック分析装置およびトラフィック分析方法では、異常トラフィックであるか否かを判定するための閾値ρが動的に算出される。そして、この閾値ρに基づいて異常トラフィックを除外することが適切であると判定された場合は、メッセージ数が閾値ρよりも多い発呼者のトラフィックが異常トラフィックとして除外される。そして、異常トラフィックを除外した残りの正常トラフィックを用いて分析が行われ、分析結果は重みｗを用いて調整される。 As shown in FIG. 10, in the traffic analysis apparatus and the traffic analysis method according to the present embodiment, a threshold value ρ for determining whether or not the traffic is abnormal is dynamically calculated. When it is determined that it is appropriate to exclude abnormal traffic based on the threshold value ρ, the traffic of the caller having the number of messages larger than the threshold value ρ is excluded as abnormal traffic. Then, the analysis is performed using the remaining normal traffic excluding the abnormal traffic, and the analysis result is adjusted using the weight w.

上述したトラフィック分析装置１０または２０の制御部１２または２２の機能をソフトウェアとして実装し、これをコンピュータで実行することにより、トラフィック分析装置１０または２０と同等の機能を実現することもできる。以下に、制御部１２の機能をソフトウェアとして実装したトラフィック分析プログラム１０７１を実行するコンピュータの一例を示す。 By implementing the function of the control unit 12 or 22 of the traffic analysis device 10 or 20 described above as software and executing this by a computer, a function equivalent to that of the traffic analysis device 10 or 20 can be realized. An example of a computer that executes a traffic analysis program 1071 in which the function of the control unit 12 is implemented as software will be described below.

図１１は、トラフィック分析プログラム１０７１を実行するコンピュータ１０００を示す機能ブロック図である。このコンピュータ１０００は、各種演算処理を実行するＣＰＵ（Central Processing Unit）１０１０と、ユーザからのデータの入力を受け付ける入力装置１０２０と、各種情報を表示するモニタ１０３０と、記録媒体からプログラム等を読み取る媒体読取り装置１０４０と、ネットワークを介して他のコンピュータとの間でデータの授受を行うネットワークインターフェース装置１０５０と、各種情報を一時記憶するＲＡＭ（Random Access Memory）１０６０と、ハードディスク装置１０７０とをバス１０８０で接続して構成される。 FIG. 11 is a functional block diagram showing a computer 1000 that executes the traffic analysis program 1071. The computer 1000 includes a CPU (Central Processing Unit) 1010 that executes various arithmetic processes, an input device 1020 that receives input of data from a user, a monitor 1030 that displays various information, and a medium that reads a program from a recording medium. A bus 1080 includes a reading device 1040, a network interface device 1050 that exchanges data with other computers via a network, a RAM (Random Access Memory) 1060 that temporarily stores various information, and a hard disk device 1070. Connected and configured.

そして、ハードディスク装置１０７０には、図１に示した制御部１２と同様の機能を有するトラフィック分析プログラム１０７１と、図１に示した記憶部１１に記憶される各種データに対応するトラフィック分析用データ１０７２とが記憶される。なお、トラフィック分析用データ１０７２を、適宜分散させ、ネットワークを介して接続された他のコンピュータに記憶させておくこともできる。 The hard disk device 1070 includes a traffic analysis program 1071 having the same function as that of the control unit 12 shown in FIG. 1 and traffic analysis data 1072 corresponding to various data stored in the storage unit 11 shown in FIG. Is memorized. The traffic analysis data 1072 can be appropriately distributed and stored in another computer connected via a network.

そして、ＣＰＵ１０１０がトラフィック分析プログラム１０７１をハードディスク装置１０７０から読み出してＲＡＭ１０６０に展開することにより、トラフィック分析プログラム１０７１は、トラフィック分析プロセス１０６１として機能するようになる。そして、トラフィック分析プロセス１０６１は、トラフィック分析用データ１０７２から読み出した情報等を適宜ＲＡＭ１０６０上の自身に割り当てられた領域に展開し、この展開したデータ等に基づいて各種データ処理を実行する。 Then, the CPU 1010 reads out the traffic analysis program 1071 from the hard disk device 1070 and develops it in the RAM 1060, whereby the traffic analysis program 1071 functions as the traffic analysis process 1061. Then, the traffic analysis process 1061 expands information read from the traffic analysis data 1072 as appropriate in an area allocated to itself on the RAM 1060, and executes various data processing based on the expanded data.

なお、上記のトラフィック分析プログラム１０７１は、必ずしもハードディスク装置１０７０に格納されている必要はなく、ＣＤ−ＲＯＭ等の記憶媒体に記憶されたこのプログラムを、コンピュータ１０００が読み出して実行するようにしてもよい。また、公衆回線、インターネット、ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等を介してコンピュータ１０００に接続される他のコンピュータ（またはサーバ）等にこのプログラムを記憶させておき、コンピュータ１０００がこれらからプログラムを読み出して実行するようにしてもよい。 The traffic analysis program 1071 is not necessarily stored in the hard disk device 1070, and the computer 1000 may read and execute the program stored in a storage medium such as a CD-ROM. . The computer 1000 stores the program in another computer (or server) connected to the computer 1000 via a public line, the Internet, a LAN (Local Area Network), a WAN (Wide Area Network), or the like. You may make it read and run a program from these.

１インターネット
２ａ〜２ｎＳＩＰクライアント
３ＳＩＰサーバ
４タップ
１０、２０トラフィック分析装置
１１、２１記憶部
１１１異常閾値
１１２、２１３トラフィックデータ
１１３、２１４比率差閾値
１２、２２制御部
１２１、２２４比率差算出部
１２２、２２５異常トラフィック除外部
１２３、２２６トラフィック分析部
２１１ウィンドウサイズ
２１２異常閾値決定パラメータ
２１５重み
２１６分析結果データ
２２１分類部
２２２集計部
２２３異常閾値決定部
２２７分析結果調整部
１０００コンピュータ
１０１０ＣＰＵ
１０２０入力装置
１０３０モニタ
１０４０媒体読取り装置
１０５０ネットワークインターフェース装置
１０６０ＲＡＭ
１０６１トラフィック分析プロセス
１０７０ハードディスク装置
１０７１トラフィック分析プログラム
１０７２トラフィック分析用データ
１０８０バス DESCRIPTION OF SYMBOLS 1 Internet 2a-2n SIP client 3 SIP server 4 Tap 10, 20 Traffic analysis apparatus 11, 21 Storage part 111 Abnormal threshold value 112, 213 Traffic data 113, 214 Ratio difference threshold value 12, 22 Control part 121,224 Ratio difference calculation part 122 225 Abnormal traffic exclusion unit 123, 226 Traffic analysis unit 211 Window size 212 Abnormal threshold determination parameter 215 Weight 216 Analysis result data 221 Classification unit 222 Totaling unit 223 Abnormal threshold determination unit 227 Analysis result adjustment unit 1000 Computer 1010 CPU
1020 Input device 1030 Monitor 1040 Medium reader 1050 Network interface device 1060 RAM
1061 Traffic analysis process 1070 Hard disk device 1071 Traffic analysis program 1072 Traffic analysis data 1080 Bus

Claims

An analysis unit that analyzes traffic based on traffic data;
The ratio of the total number of transmission sources in which the total value of traffic included in the traffic data is aggregated for each transmission source is less than or equal to the first threshold to the total number of transmission sources, and transmission in which the aggregation value is less than or equal to the first threshold A ratio difference calculator that calculates the difference between the total of the original traffic and the total traffic,
When the difference calculated by the ratio difference calculation unit is larger than a second threshold value, an exclusion unit that excludes the traffic of the transmission source whose aggregate value is larger than the first threshold value from the analysis by the analysis unit; A traffic analysis apparatus comprising:

A classification unit that classifies the traffic data for each time period;
The traffic analysis apparatus according to claim 1, wherein the analysis unit, the ratio difference calculation unit, and the exclusion unit execute processing for each classification performed by the classification unit.

The traffic analysis apparatus according to claim 2, wherein the classification unit further classifies the traffic data for each message type.

The traffic analysis apparatus according to claim 2, further comprising an adjustment unit that mixes and adjusts the analysis results of the analysis unit for different time zones at a predetermined ratio.

The traffic analyzer according to any one of claims 1 to 4, further comprising a threshold value determination unit that determines the first threshold value based on an average value and a standard deviation value of the aggregate values.

An analysis process that analyzes traffic based on traffic data;
The ratio of the total number of transmission sources in which the total value of traffic included in the traffic data is aggregated for each transmission source is less than or equal to the first threshold to the total number of transmission sources, and transmission in which the aggregation value is less than or equal to the first threshold A ratio difference calculation step that calculates the difference between the total of the original traffic and the total traffic,
When the difference calculated by the ratio difference calculating step is larger than a second threshold value, an excluding step of excluding the traffic of the transmission source whose aggregate value is larger than the first threshold value from the analysis in the analyzing step; The traffic analysis method characterized by including.

A traffic analysis program for causing a computer to function as the traffic analysis device according to any one of claims 1 to 5.