JP2011509561A - ネットワーク機器のネットワークフロー内のホスト名にネットワークアドレスを変換する方法 - Google Patents

Abstract

【課題】ネットワーク機器アドレスをネットワーク機器のドメイン名に効率的に変換する。
【解決手段】本発明は、ネットワークルータからエクスポートされたネットワークフロー記録を使用して機器に入力する／機器から出力するトラフィックについての情報を提供するシステム及び方法を提供する。ネットワーク機器からエクスポートされるネットワークフロー情報は、ネットワーク機器のネットワークアドレスを使用して、フロー内のネットワーク機器を識別する。あるアプリケーションは、ネットワーク機器のユーザフレンドリなホスト名を表示する。この方法は、ネットワーク機器アドレスをネットワーク機器のドメイン名に効率的に変換するために必要なステップを記述する。
【選択図】図１

Description

本発明は、ネットワークルータからエクスポートされたネットワークフローデータを使用して、機器に対して入出力されるトラフィックについての情報を提供することに関する。ネットワーク機器からエクスポートされるネットワークフロー情報は、当該ネットワーク機器のネットワークアドレスを使用して、当該フロー内の当該ネットワーク機器を識別する。本出願は、当該ネットワーク機器のユーザフレンドリーな名を使用して、ネットワーク機器アドレスを当該ネットワーク機器のドメイン名に効率的に変換するのに必要なステップを記述する。

ネットワーク使用データは、契約者課金、マーケッティング・顧客ケア、製品開発、ネットワークオペレーション管理、ネットワーク・システム容量計画及びセキュリティのような多くの重要ビジネスのために役に立つ。ネットワーク使用データは、当事者間の通信セッションにおいて交換される本文情報を含むことはないが、１又は複数のタイプのメタデータ（すなわち、“データについてのデータ”）を含む“フロー記録”として知られている多くの使用詳細記録を含む。公知のネットワークフロー記録プロトコルとして、Ｎｅｔｆｌｏｗ（登録商標）、ｓＦｌｏｗ（登録商標）、ｊＦｌｏｗ（登録商標）、ｃＦｌｏｗ（登録商標）及びＮｅｔｓｔｒｅａｍ（登録商標）等がある。ここで使用されているように、フロー記録は、ある時間間隔内で共通の発信元パラメータ及び宛先パラメータを有するＩＰパケットのストリームによって、一方向ネットワークの使用状況を計測する際の小さな単位として、定義される。

各フロー記録内に含まれるメタデータのタイプは、使用されるサービス及びネットワークのタイプに基づいて変化し、フロー記録を提供するネットワーク機器が特定の機器であるか否かによって変化することもある。一般的に、フロー記録は、特定のイベント又は当事者間の特定の通信接続についての詳細使用情報を提供する。この情報は、例えば、通信開始時刻、通信終了時刻、送信データの発信元（又は発信者）、送信データの宛先（又は受信者）及び送信データ量である。フロー記録は、非常に短い時間（数ミリ秒から数秒、時には数分）の使用情報を要約する。使用されるサービス及びネットワークのタイプによっては、フロー記録は、転送プロトコル、転送データのタイプ、提供されるサービスのタイプ（ＴｏＳ）等についての情報を含んでもよい。電話ネットワークにおいては、使用情報となるフロー記録は通話詳細記録（ＣＤＲｓ）と呼ばれる。

ネットワーク監視においては、有意な監視結果を作成するために、ネットワークフロー記録が収集され、格納され、分析される。ネットワーク使用分析システムは、これらのフロー記録を処理し、様々なビジネスを支援するレポート又は要約データファイルを生成する。ネットワーク使用分析システムは、ネットワークが誰によってどのように使用されつつあるかについての情報を提供する。ネットワーク混雑及びネットワーク不正使用に起因する問題のような、顧客満足関連の諸問題を識別する（又は予想する）ために、ネットワーク使用分析システムが使用され得る。例えば、契約者使用態様の関数として、ネットワークの使用状況を監視して、ユーザの閲覧履歴を追跡したり、将来のネットワーク容量を予想したり、ネットワークの悪用、虚偽使用及び窃盗使用を示す使用態様を識別したりすることができる。

さらに、ウイルスを識別する公知技術には限界がある。公知技術は一般的に、ネットワーク資源の使用を監視する、不自然に多量のネットワーク資源を要求するアプリケーションを識別する、というような、ウイルスの副作用を探索する技術である。しかしながら、ウイルスと、多量のネットワーク資源を要求する適法なアプリケーションとを区別することは難しい場合もある。また、ウイルスは、検知されることを避けようとして進化しつつある。ウイルスは、しばらくの間、起動信号を待ちながらシステム上で休眠していることもある。例えば、悪性ウイルスは、秘密データが取得されるまでは休眠しているかも知れない。このように、ウイルスが積極的に活動していないうちは、ウイルスは最小限の副産物を作成するだけなので、検出されにくい。

（発明の要約）
このような必要性に応えるべく、本発明の実施形態は、ネットワーク機器のネットワークフロー内のホスト名にネットワークアドレスを変換するシステム及び方法を提供する。ある実施形態においては、前記システムは、フロー記録を作成するネットワーク機器、前記ネットワーク機器から前記フロー記録を受け取り前記フロー記録を格納するフロー記録ストレージ、前記格納されたフロー記録にアクセスし前記格納されたフロー記録に含まれる数値ネットワークアドレスを識別するデータ分析ツール、及び、前記数値ネットワークアドレスを受け取り前記数値ネットワークアドレスに対応する文字列ネットワークアドレスを識別するアドレス分析ツールを含む。

オプションとして、前記フロー記録ストレージは、前記文字列ネットワークアドレスを受け取り、前記文字列ネットワークアドレスを含むように前記格納されたフロー記録を修正する。前記システムは、さらに、前記フロー記録と前記文字列ネットワークアドレスを受け取り表示するユーザインタフェースを含んでもよい。オプションとして、前記ネットワーク機器は、ユーザインタフェースから、前記数値ネットワークアドレスの指示を受け取り、前記数値ネットワークアドレスをアクセス制御リストに付加する。また、前記ユーザインタフェースは、予め定義された判断基準に応じて前記数値ネットワークアドレスの前記指示を転送してもよい。データ入力装置が、前記判断基準を定義してもよい。前記アドレス分析ツールは、さらに、前記数値ネットワークアドレスを文字列ネットワークアドレスに関連付けるマッピングテーブルを含んでもよい。また、前記アドレス分析ツールは、ネットワークにアクセスして前記マッピングテーブルにデータを入力するデータエージェントを含んでもよい。

他の実施形態においては、本発明は、ネットワーク機器のネットワークフロー内のホスト名にネットワークアドレスを変換する方法を含む。この実施形態においては、当該方法は、ネットワーク機器からフロー記録を受け取り、前記ネットワーク機器からの前記フロー記録を格納するステップを含んでもよい。次に、前記格納されたフロー記録に含まれるネットワークアドレスの位置が検索され、前記数値ネットワークアドレスに対応するホスト名が識別される。

オプションとして、前記方法は、前記ホスト名を含むように前記格納されたフロー記録を修正するステップを有してもよい。また、前記方法は、前記フロー記録及び前記ホスト名を表示するステップを含んでもよい。前記方法は、前記ネットワーク機器が前記ネットワークアドレスの指示を受け取るステップを含んでもよい。前記ネットワークアドレスの指示は、予め定義された判断基準に応じて送信されてもよい。オプションとして、前記方法は、データの入力を受けて前記判断基準を定義するステップを含んでもよい。また、オプションとして、前記方法は、前記ネットワークアドレスをホスト名に関連付けるマッピングテーブルを設定するステップを含んでもよい。また、前記方法は、ネットワークにアクセスして前記マッピングテーブルにデータを入力するデータエージェントを設定してもよい。

他の実施形態においては、ネットワーク機器のネットワークフロー内のホスト名にネットワークアドレスを動的に変換するシステムは、フローの記録を受け取りかつ格納するフロー記録ストレージシステム及びデータ分析機器を含む。前記データ分析機器は、前記ストレージシステムにアクセスして前記フロー記録内でネットワークアドレスを識別し、前記フロー記録を修正して前記ネットワークアドレスをホスト名に置換する。オプションとして、前記データ分析機器は、前記ネットワークアドレスを前記ホスト名に関連付けるマッピングテーブルを含む。前記データ分析機器は、前記ホスト名を保持する前記フロー記録を表示するユーザインタフェースを含んでもよい。また、前記データ分析機器は、前記ネットワークアドレスを受け取り、ネットワークにアクセスして前記ホスト名を識別し、前記マッピングテーブルに前記ネットワークアドレス及び前記ホスト名を入力するデータエージェントを含んでもよい。

オプションとして、前記データエージェントは、ある回数の試行の後又はある期間の経過後停止し、エラーメッセージを返信して前記ネットワークアドレスに関連付けられているホスト名が容易に発見できないことを示す。また、オプションとして、前記マッピングは、ある期間の経過後失効するので、前記データエージェントは、前記ネットワークアドレスと前記ホスト名との間のマッピング関係を最新状態で保持できる。

添付する図面を参照しつつ後記する詳細説明を読めば、本発明の、いくつかの実施形態の前記した又は他の目的、特徴及び効果が明らかになる。

本発明のある実施形態に係る、ネットワークの一例である。 フロー記録の一例である。 本発明のある実施形態に係る、フロー記録を格納するテーブルの一例である。 本発明のある実施形態に係る、集計フロー記録を格納するテーブルの一例である。 本発明のある実施形態に係る、アドレスマッピングテーブルの一例である。 本発明のある実施形態に係る図５Ａのアドレスマッピングテーブルを使用して変換された図３のフロー記録データテーブルの一例である。 本発明のある実施形態に係る、ネットワークノード、アクセス制御システム及びフロー記録格納システム間の通信を説明するフロー図である。 本発明のある実施形態に係る、ユーザフレンドリーなアドレスを含むフロー記録を生成する方法のステップを示すフロー図である。 本発明のある実施形態に係る、ユーザフレンドリーなアドレスを含むフロー記録を生成する方法のステップを示すフロー図である。

図１に示されるように、ある実施形態においては、ネットワーク使用分析システム１１１は、データ収集システムサーバ１３０、データストレージシステム１４０を含む。データ収集システムサーバ１３０は、リスナとも呼ばれ、格納用及び分析用のすべての様々なネットワークエージェント１２０からフロー１９０を収集するセンタサーバである。データ収集システムサーバ１３０は、ローカルエリアネットワークのようなＩＰネットワーク１１２の一部であるネットワーク機器であるフロー記録生成機器１２０からフロー記録を受け取る。ある実施形態においては、ＩＰネットワーク１１２は、インターネット１１５を含む。

一般に、フロー記録生成機器１２０は、“回線速度”で未加工ネットワークトラフィックを処理し当該トラフィックからフロー記録を生成することができるあらゆるネットワーク機器を含む。代表的なフロー記録生成機器１２０は、ルータ、スイッチ及びゲートウエイを含み、ある場合においては、アプリケーションサーバシステム及びネットワークプローブを含んでもよい。多くの場合、フロー記録生成機器１２０によって生成される小さなフロー記録は、フロー記録１９０のストリームとしてデータ収集システムサーバ１３０にエクスポートされる。

ネットワーク情報及びインターネットプロトコルトラフィック情報を収集するネットワーク設備上で様々なネットワークプロトコルが実行される。典型的には、ルータのような様々なネットワークエージェント１２０は、フロー記録を生成することができるフロー特徴を有している。フロー記録１９０は、典型的にはユーザデータグラムプロトコル（ＵＤＰ）パケット又はストリーム制御送信プロトコル（ＳＣＴＰ）パケットの形でネットワークエージェント１２０からエクスポートされ、フロー収集器を使用して収集される。さらに情報が必要な場合は、http://www.ietf.org/html.charters/ipfix-charter.html.にてインターネットプロトコルフロー情報エクスポート（ＩＰＦＩＸ）のためのインターネット工学タスクフォース（ＩＥＴＦ）を参照されたい。

前記したように、フロー記録１９０は、ＵＤＰ又はＳＣＴＰを使用してネットワークエージェント１２０によって送信される。効率面の理由から、ネットワークエージェント１２０は、一旦エクスポートされたフロー記録を格納することはない。ＵＤＰフローでは、ネットワークエージェント１２０及びデータ収集サーバ１３０の間のネットワーク混雑に起因してフロー記録１９０が読み飛ばされる場合、フロー記録は永久に失われたままになることもある。なぜなら、ネットワークエージェント１２０がフロー記録１９０を再送する方法はないからである。ルータのプロセッサに不要な負荷をかけることを回避するために、フローがインタフェースごとに起動されるようにしてもよい。このように、フロー記録１９０は、二重カウントを回避しネットワークエージェント１２０の処理を省くことができるようなインタフェースへのパケット入力に一般的に基づく。また、ネットワークエージェント１２０は、読み飛ばされたパケットについてのフロー記録をエクスポートしてもよい。

ネットワークフローは、多くの方法で定義される。ある実施形態においては、フローは５要素を含む。すなわち、発信元ＩＰアドレス、宛先ＩＰアドレス、発信元ＴＣＰポート、宛先ＴＣＰポート及びＩＰプロトコルを定義するパケットの一方向シーケンスである。典型的には、ネットワークエージェント１２０は、フローが終了したと判断したとき、フロー記録を出力する。ネットワークエージェント１２０は当該処理を“フローエイジング”によって実行する。既存のフローについての新たなトラフィックを発見したとき、ネットワークエージェント１２０は、エイジングカウンタをリセットする。また、ＴＣＰフロー中にＴＣＰセッションが終了すると、ネットワークエージェント１２０は、フローを終了する。ネットワークエージェント１２０は、フローが継続中であっても、固定された間隔でフロー記録を出力することもできる。代替的に、管理者は、ネットワークエージェント１２０上でフロー特性を定義し得る。

フロー記録１９０は、所与のフロー中に、トラフィックについての様々な情報を含み得る。公知の代表的なフロー記録例２００は、図２（従来技術）に記述されるように、以下の値を含む。具体的には、公知のフロー記録２００は、バージョン番号２１０を含み使用されつつあるフローのタイプを識別する。シーケンス番号２２０は、フロー記録を識別する。

図２の説明を続ける。入出力インタフェース簡易ネットワーク管理プロトコル（ＳＮＭＰ）指標が使用されて、ＳＮＭＰを介してネットワーク機器を動的に識別し得る。ＳＮＭＰは、ネットワーク管理システムによって使用されて、ネットワークに接続された機器が、管理上の留意点を保証する条件を満たしているか否かを監視するものであり、アプリケーションレイヤプロトコル、データベーススキーマ、及び、データオブジェクトのセットを含む、ネットワーク管理についての基準のセットからなる。ＳＮＭＰは、管理されるシステム上の変数の形で管理データを明示する。当該変数は、システム設定を記述する。これらの変数は、管理アプリケーションによって入力を促され得る（設定されることもある）。スロット式のハードウエアが追加され又は除去されるときはいつでも、モジュール式の機器がそのＳＮＭＰ指標の番号を付け直す。指標値は、典型的には、起動時に割り当てられ、次回再起動するまでは不変である。

図２の説明を続ける。フロー記録２００のそれぞれは、典型的には、開始時刻及び終了時刻タイムスタンプ２４０を含む、データ送信についての情報を含む。データ送信についての他の情報は、フロー中のバイト数及び／又はパケット数についての情報２５０を含む。発信元アドレス及び宛先アドレス、発信元アドレスポート番号及び宛先アドレスポート番号、転送プロトコル並びにサービスのタイプ（ＴｏＳ）を既述するヘッダデータ２６０のような、データ伝送条件もフロー記録２００に含まれ得る。転送制御プロトコル（ＴＣＰ）については、フロー記録２００は、フローを通じて現れるすべてのＴＣＰフラグの結合をさらに示してもよい。ＴＣＰではよく知られているように、データ送信は、例えば確認フラグ（ＡＣＫｓ）のペアによる、一連の通信確認が必要である。ＴＣＰフラグのバランスが取れていないということは、メッセージが送信されたものの受け取られていない、のようなメッセージ障害が起きたことを示唆する。

次に図１を説明する。データ収集システムサーバ１３０は、ストリーミングフロー記録１９０を、フロー記録生成機器１２０から、通信リンク１７０を介して受け取る。ある実施形態においては、フロー記録生成機器１２０は、ネットワーク１１２に含まれてもよい。他の実施形態においては、フロー記録生成機器１２０は、ネットワーク１１２と機能的に接続されてはいるが、ネットワーク１１２からは物理的に離れた場所に実装される。図１では、データ収集システムサーバ１３０から離れたものとして示されているが、他の実施形態では、フロー記録生成機器１２０は、データ分析システムサーバ１３０の一部であってもよい。

データ分析システムサーバ１５０は、フロー記録１９０にアクセスしたうえでこれを使用し、予め定義されたネットワーク使用統計分析を実行する。一般的に、データ分析システムサーバ１５０は、ネットワーク混雑並びにネットワークの不正使用、虚偽使用及び窃盗使用のような１又は複数のネットワーク使用に関する諸問題を解決するために定義されている様々な統計モデルを実装する。データ分析システムサーバ１５０は、フロー記録１９０及び統計モデルを使用して、統計結果を生成する。当該結果は、後にデータストレージシステム１４０に格納されてもよい。統計結果を格納する代表的な実施形態の詳細は後記する。フローデータを分析することによって、データ分析システムサーバ１５０は、ネットワーク内のトラフィックフロー及びトラフィック量を図示することができる。データ分析システム１５０の適用例は、さらに詳しく後記する。

ある実施形態においては、データ分析システムサーバ１５０は、フロー記録１９０の相互分析をするために、ユーザインタフェース１６０に応答してもよい。ユーザインタフェース１６０は、キーボード、マウス、タッチパッド、表示スクリーンのような当業者には公知であるあらゆる入出力機器を含んでもよい。ある例では、統計結果の図解表示が、ユーザインタフェース１６０の表示スクリーンに対して出力されてもよい。

ある実施形態においては、データ分析システムサーバ１５０は、コンピュータソフトウエアプログラムを含む。当該プログラムは、１又は複数のコンピュータ又はサーバ上で実行可能であり、本発明の様々な実施形態にしたがってネットワーク使用データを分析する。データストレージシステム１４０は、データ収集システムサーバ１３０及び／又はデータ分析システムサーバ１５０の外側にあるものとして示されているが、データストレージシステム１４０は、サーバ１３０又はサーバ１５０の何れかの内部に配置されることも可能である。データストレージシステム１４０は、当業者には公知であるあらゆる揮発性メモリ（例えばＲＡＭ）及び／又は不揮発性メモリ（例えば、ハードディスクドライブ又は他の持続的ストレージ機器）を含んでもよい。

本発明の好適な実施形態においては、データ分析ツール１５０は、アドレスデータストレージシステム１７０を使用してフロー記録データを解釈するのに必要とされる分析を実行する。具体的には、アドレスデータストレージシステム１７０は、図２において記述されたように、フローの発信元機器及び宛先機器ごとにアドレスを受け取る。前記したように、フロー記録１９０は、典型的には１又は複数のＩＰアドレス又は他の数値アドレス形式を含む。インターネットプロトコルは、現在使用されている２つのバージョンを有する。すなわち、ＩＰバージョン４（ＩＰｖ４）及びＩＰバージョン６（ＩＰｖ６）である。ＩＰｖ４は３２ビット（４バイト）アドレスを使用するのに対し、ＩＰｖ６は、１２８ビット（１６バイト）アドレスを有する。

図５においてより詳しく後記するように、アドレスデータストレージシステム１７０は、数値ＩＰアドレスを文字列アドレスにマッピングするデータベースを含む。このことによって、ユーザは、より容易にフロー記録１９０を調べることができる。

複数のフロー記録２００をストレージ機器１４０に格納するための代表的テーブル３００の例が図３に示されている。具体的には、描写されているテーブル３００は、受け取られたフロー記録２００ごとにフロー記録識別子３１０を割り当てる列を含む。テーブル３００は、受け取られたフロー記録２００ごとに発信元ＩＰアドレス３２０を記憶する列、受け取られたフロー記録２００ごとに宛先ＩＰアドレス３３０を記憶する列、受け取られたフロー記録２００ごとにタイムスタンプ３４０を記憶する列、及び、フロー記録２００に関連付けられたフローのバイトサイズ３５０を記憶する列も含む。

図３の例では、フローテーブル３００は、フロー記録識別子３１０が示しているように、４つのフローを記述する４つのフロー記録を含む。この例では、１〜３番目のフローは、ｓ１〜ｓ３という発信元アドレスから、それぞれｄ１〜ｄ３という宛先アドレスに対して送信されたものであり、４番目のフローは、ｓ３という発信元アドレスから送信されたフローである。ここには記載されていないが、フローテーブル３００は、ＱｏＳ、転送プロトコルのようなフロー記録２００の他の属性を、図２にて前記したように含むこともできる。図３のフローテーブル３００の説明を続ける。タイムスタンプ値３４０は、それぞれのフローに関連付けられた時刻を示す。バイトサイズ値３５０は、それぞれのフローのサイズを示す。これらの値は、列３１０のフロー記録識別子１〜４に関連付けられている。

図４に進む。フローデータテーブル３００に記載のデータを、公知の技術によって集計してもよい。例えば、集計フローテーブル４００は、発信元ＩＰアドレス４２０をキーとして集計されている。このように、集計フローテーブル４００は、列ごとに集計結果を示すが、その集計は、１又は複数の予め定義された期間ごとに行われることがわかる。例えば、集計フローテーブル４００は、テーブル３００の発信元ＩＰアドレス４２０のそれぞれに関連付けられたフロー記録４１０の総数を示す列を含む。集計フローテーブル４００は、テーブル４００の発信元ＩＰアドレス４２０ごとに、フローの合計バイトサイズをさらに示している。集計フローテーブル４００の適用例は、後記する。フロー記録１９０は、例えば、図２のフロー記録２００に記述される１又は複数のフロー記録カテゴリにしたがって、所望の方法で集計されてよいことは、フロー記録テーブル３００を参照すれば当然に分かる。

アドレスデータストレージシステム１７０に格納されるマッピングテーブル５００が図５Ａに例示されている。具体的には、マッピングテーブル５００は、数値ＩＰアドレスを対応する文字列アドレスにマッピングするために使用される。図の例では、１つのＩＰアドレス５１０が、１つの文字列アドレス５２０にマッピングされる。具体的に、図３のフロー記録テーブル３００との関連で説明を続ける。マッピングテーブル５００は、フロー記録テーブル３００に含まれる発信元アドレス及び宛先アドレスごとに対応した文字列アドレスを含む。マッピングテーブル５００の形式はさらに詳しく後記するが、マッピングテーブル５００の適用は、初めて導入されたものである。

図５Ｂでは、マッピングテーブル５００を使用して、修正フローテーブル５３０が生成され、フローデータストレージシステム１４０に格納される。具体的には、修正フローテーブル５３０は図３のフロー記録テーブル３００に対応していることが分かる。具体的には、修正テーブル５３０は、受け取られたフロー記録２００のそれぞれを特定するフロー記録識別子５４０を割り当てる列も含む。修正テーブル５３０は、受け取られたフロー記録２００のそれぞれに対応する発信元アドレス５５０を記憶する列、受け取られたフロー記録２００のそれぞれに対応する宛先アドレス５６０を記憶する列、受け取られたフロー記録２００のそれぞれに対応するタイムスタンプ５７０を記憶する列、及び、受け取られたフロー記録２００に関連付けられたフローのバイトサイズ５８０を記憶する列も含む。発信元ＩＰアドレス３２０及び宛先ＩＰアドレス３３０は、マッピングテーブル５００の文字列アドレス５２０に置換されていることを除けば、以上から、修正フローテーブル５３０は図３のフロー記録テーブルに対応していることが分かる。

図１に戻る。データ分析ツール１５０は、オプションとして、データエージェント１５１を含んでもよい。データエージェント１５１は、典型的には、所与のＩＰアドレスに関連付けられた文字列アドレスを決定するソフトウエアツールである。通常のインターネット操作では、ユーザが１つの文字列アドレスを入力すると、当該文字列アドレスはネームサーバに送信されて、１つのＩＰアドレスに変換される。データエージェントは、ＩＰネットワーク１１２を介してネームサーバにアクセスし、ある数値ＩＰアドレスに関連付けられた１つの文字列アドレスを決定することによって、逆方向の操作も行う。好ましくは、ＩＰアドレスから文字列アドレスへのマッピングが将来の使用に備えて格納される。こうすることによって、次回フロー記録２００内にＩＰアドレスが含まれていると、マッピングテーブル５００内の既存マッピングを使用して、マッピングを再度取得するためにデータエージェントにアクセスすることなく文字列アドレスを決定できる。

図６に、修正フロー記録テーブル５００を生成し使用する処理フローが記述されている。処理フロー６００に含まれる構成要素には、ネットワークノード６１０、ネットワーク監視システム６２０、アドレス分析システム６３０及びユーザインタフェース６４０がある。これらの構成要素の機能を説明する。ネットワークノードは、フロー記録６５０をネットワーク監視システム６２０に送信する。ネットワーク監視システム６２０は、従来から知られているフロー記録収集技術にしたがってフロー記録を収集し格納する。アドレス分析システム６３０は、ネットワーク監視システム６２０に格納されているフロー記録データ６６０にアクセスし、当該データを取得する。アドレス分析システム６３０は、例えば、前記したようにＩＰアドレスを文字列アドレスに関連付けているマッピングテーブルを使用することによって、フロー記録データ６６０に含まれるＩＰアドレスを識別する。アドレス分析システム６３０は、フロー記録データ６６０に含まれるＩＰアドレスを文字列アドレスに置換し、ネットワーク監視システム６２０で格納するために、変換されたフロー記録６７０を返送する。ユーザは、ユーザインタフェース６４０を使用して、ネットワーク監視システム６２０から、変換されたフロー記録データ６８０を要求してもよい。

図７Ａには、本発明の実施形態に係るフロー記録アドレス変換方法７００が開示されている。ステップ７１０において、ネットワーク構成要素が、前記したように既知の技術にしたがって監視され、ステップ７２０において、フロー記録が収集される。典型的には、ステップ７１０及びステップ７２０は、ルータ、ハブ、サーバのような殆どのネットワーク構成要素に既に含まれている機能を使用して実行されてもよいし、フロー記録テーブル３００のようなフロー記録テーブルを収集し格納するために使用されてもよい。ステップ７２０で収集されたフロー記録は、ステップ７３０において分析される。例えば、フロー記録は、フロー記録に含まれる様々な宛先ＩＰアドレス及び発信元ＩＰアドレスの位置を特定するために検索されてもよい。

アクセス制御方法７００の説明を続ける。ステップ７３０において分析されたフロー記録のＩＰアドレスは、ステップ７４０において識別される。具体的には、前記したように、例えば、ＩＰアドレスを文字列アドレスに変換する表記法を含むアドレスマッピングテーブル、又は、アドレスサーバにアクセスして数値ＩＰアドレスを文字列アドレスに変換するデータエージェントのいずれかを使用することによって、機器アドレスとしてよりユーザフレンドリーなバージョンが決定される。ステップ７５０において、フロー記録内のこれらの文字列アドレスがユーザに送信され、必要に応じて使用されてもよい。例えば、ＩＰアドレスに加えて、又はＩＰアドレスに替えて、文字列アドレスを反映するためにフロー記録が更新され得る。オプションとして、文字列アドレス、並びに、時刻、サイズ及びフロー継続時間のような、フロー記録に関連付けられたトラフィックの他の態様を示すフロー記録データをユーザが受け取ってもよい。

図７Ｂに記述するように、ステップ７４０においてＩＰアドレスを特定する処理は、ステップ７４１においてアドレステーブル内でＩＰアドレスを発見することを含む。アドレステーブルは、ＩＰアドレスと文字列アドレスとを関連付ける。ステップ７４２においてＩＰアドレスが特定された場合は、ＩＰアドレスに関連付けられている、アドレステーブル内に発見された文字列アドレスが、ステップ７４５において返信される。

ステップ７４２においてＩＰアドレスが特定されない場合は、当該ＩＰアドレスを含みかつ、前記した技術を使用して決定され得る、文字列アドレスに対するあらゆるマッピングを含むように、ステップ７４３においてテーブルが更新される。さらに、アドレステーブル内に発見された、ＩＰアドレスと１又は複数の文字列アドレスとの間のマッピングは、予め定義された期間に限り有効であり当該期間の経過後は失効する。このようにすることによって、マッピングが再生成され得る。このように、マッピングテーブルは、定期的に更新され、数値ＩＰアドレスに関連付けられた文字列アドレスの変化のようなアドレスマッピングの変化を反映することができる。マッピングが更新されて新たな情報を反映した後、又は、陳腐化した（又は古くなりすぎた）マッピングを削除した後、ステップ７４４において、予め特定された回数だけＩＰアドレスの検索が繰り返される。すなわち、ＩＰアドレスを発見するために再度マッピングが検索される。予め特定された回数の繰り返し又は試行の後、又は、予め特定された期間の経過後、ステップ７４６において、ＩＰアドレスの検索は終了する。典型的には、ステップ７４６においてＩＰアドレスの検索が終了した場合、エラーメッセージが作成され、ユーザ又は管理者に送信される。

ある実施形態を参照しながら本発明を説明したが、本発明の主旨を逸脱することなく、様々な追加、削除、置換又は他の修正が可能である。したがって、本発明は前記した発明を実施するための形態に限定されるのではなく、添付の特許請求の範囲によってのみ限定される。

Claims (24)

1. ネットワーク機器のネットワークフロー内のホスト名にネットワークアドレスを変換するシステムであって、
   前記システムは、
   フロー記録を作成するネットワーク機器と、
   前記フロー記録を前記ネットワーク機器から受け取り前記フロー記録を格納するフロー記録ストレージと、
   前記格納されたフロー記録にアクセスし、前記格納されたフロー記録に含まれる数値ネットワークアドレスを特定するデータ分析ツールと、
   マッピングテーブルを有するアドレス分析ツールと、
   を有し、
   前記マッピングテーブルは、
   数値ネットワークアドレスを文字列ネットワークアドレスの候補にマッピングする複数のマッピングを有し、
   前記マッピングのそれぞれは、
   前記数値ネットワークアドレスの候補の１つを、前記文字列ネットワークアドレスの候補の１つに関連付け、
   前記アドレス分析ツールは、
   前記数値ネットワークアドレスを受け取り、
   前記数値ネットワークアドレスに対応する前記マッピングの１つを特定し、
   前記１つの特定されたマッピング内の対応する文字列ネットワークアドレスを返信すること、
   を特徴とするシステム。
2. 前記フロー記録ストレージは、
   前記文字列ネットワークアドレスを受け取り、
   前記文字列ネットワークアドレスを含むように前記格納されたフロー記録を修正すること、
   を特徴とする請求項１に記載のシステム。
3. 前記システムは、
   前記フロー記録及び前記文字列ネットワークアドレスを受け取りかつ表示するユーザインタフェースを有すること、
   を特徴とする請求項１に記載のシステム。
4. 前記ネットワーク機器は、
   前記ユーザインタフェースから前記数値ネットワークアドレスの指示を受け取ること、
   を特徴とする請求項３に記載のシステム。
5. 前記ユーザインタフェースは、
   予め定義された判断基準に応じて前記数値ネットワークアドレスの指示を送信すること、
   を特徴とする請求項４に記載のシステム
6. 前記アドレス分析ツールは、
   データエージェントを有し、
   前記データエージェントは、
   前記ネットワークにアクセスし、
   前記数値ネットワークアドレスの候補が前記数値ネットワークアドレスを含まないときは、前記マッピングテーブルの新たなマッピングを動的に生成すること、
   を特徴とする請求項１に記載のシステム。
7. 前記アドレス分析ツールは、
   前記受け取られた数値ネットワークアドレスについての前記新たなマッピングを検索すること、
   を特徴とする請求項６に記載のシステム。
8. 前記受け取られた数値ネットワークアドレスが前記新たなマッピングに含まれていないときは、
   前記データエージェントは、
   新たなマッピングの生成を繰り返し、
   前記アドレス分析ツールは、
   前記受け取られた数値ネットワークアドレスを探して前記新たなマッピングを再度検索すること、
   を特徴とする請求項７に記載のシステム。
9. 前記アドレス分析ツールは、
   ある時間の経過後、又は予め特定された回数の試行後、前記受け取られた数値ネットワークアドレスの検索を終了すること、
   を特徴とする請求項８に記載のシステム。
10. 前記マッピングのそれぞれは、
    予め特定された時間の経過後失効すること、
    を特徴とする請求項１に記載のシステム。
11. ネットワーク機器のネットワークフロー内のホスト名にネットワークアドレスを変換する方法であって、
    前記方法は、
    前記ネットワーク機器からフロー記録を受け取り、
    前記ネットワーク機器からの前記フロー記録を格納し、
    前記格納されたフロー記録に含まれるネットワークアドレスを特定し、
    数値ネットワークアドレスとホスト名とを１対１に関連付けて記憶しているマッピングテーブルにアクセスし、
    前記数値ネットワークアドレスに対応するホスト名を特定すること、
    を特徴とする方法。
12. 前記方法は、
    前記ホスト名を含むように前記格納されたフロー記録を修正すること、
    を特徴とする請求項１１に記載の方法。
13. 前記方法は、
    前記フロー記録及び前記ホスト名を表示すること、
    を特徴とする請求項１１に記載の方法。
14. 前記方法は、
    前記ネットワークアドレスが前記マッピングテーブルに含まれない場合は、ネットワークにアクセスして前記マッピングテーブルにデータを入力するデータエージェントを設定すること、
    を特徴とする請求項１１に記載の方法。
15. 前記データエージェントは、
    予め特定された回数だけ又は予め特定された期間だけ作動すること、
    を特徴とする請求項１１に記載の方法。
16. 前記マッピングテーブルのマッピングは、
    予め特定された期間の経過後失効すること、
    を特徴とする請求項１１に記載の方法。
17. ネットワーク機器のネットワークフロー内のホスト名にネットワークアドレスを動的に変換するシステムであって、
    前記システムは、
    前記フローの記録を受け取り格納するフロー記録ストレージシステムと、
    データ分析機器と、
    を有し、
    前記データ分析機器は、
    前記ストレージシステムにアクセスして前記フロー記録内のネットワークアドレスを特定し、
    前記フロー記録を修正して前記ネットワークアドレスをホスト名に置換すること、
    を特徴とするシステム。
18. 前記データ分析機器は、
    前記ネットワークアドレスを前記ホスト名に関連付けるマッピングテーブルを有すること、
    を特徴とする請求項１７に記載のシステム。
19. 前記システムは、
    前記ホスト名を含む前記フロー記録を表示するユーザインタフェースを有すること、
    を特徴とする請求項１７に記載のシステム。
20. 前記データ分析機器は、
    データエージェントを有し、
    前記データエージェントは、
    前記ネットワークアドレスを受け取り、
    ネットワークにアクセスして前記ホスト名を特定し、
    マッピングテーブルに前記ネットワークアドレス及び前記ホスト名を入力すること、
    を特徴とする請求項１７に記載のシステム。
21. 前記データエージェントは、
    予め特定された回数だけ又は予め特定された期間だけ作動すること、
    を特徴とする請求項２０に記載のシステム。
22. 前記マッピングテーブルのマッピングは、
    予め特定された期間の経過後失効すること、
    を特徴とする請求項２０に記載のシステム。
23. 複数のマッピングを有するマッピングテーブルであって、
    前記マッピングのそれぞれは、
    数値ネットワークアドレスとホスト名とを１対１に関連付けて記憶しており、
    前記マッピングテーブルは、
    フロー記録に含まれるネットワークアドレスを受け取り、前記ネットワークアドレスに対応するホスト名を特定し、
    前記マッピングテーブルが、前記数値ネットワークアドレスに関連付けられたマッピングを有さない場合は、前記ネットワークアドレスをデータエージェントに送信し、
    前記データエージェントは、
    前記ネットワークアドレスを受け取り、
    ネットワークにアクセスして前記ホスト名を特定し、
    マッピングテーブルに、前記ネットワークアドレスを前記ホスト名にマッピングする新たなマッピングを入力すること、
    を特徴とするマッピングテーブル。
24. 前記マッピングテーブルのマッピングは、
    予め特定された期間の経過後失効すること、
    を特徴とする請求項２３に記載のマッピングテーブル。

Images