JP2013255196A - ネットワーク監視装置及びネットワーク監視方法 - Google Patents

Abstract

【課題】ネットワーク全体のトラフィックを集中監視して異常トラフィックを検出することを課題とする。
【解決手段】ネットワーク監視装置１０は、各々の中継装置から当該中継装置で動作するエージェントによってスイッチを通過するパケットがサンプリングされたヘッダサンプルを含むフロー情報を収集し、収集されたフロー情報中のヘッダサンプルに含まれるＩＰヘッダデータ及びペイロードデータを抽出し、抽出されたＩＰヘッダデータまたはペイロードデータを用いて、異常トラフィックを検出する。
【選択図】図１

Description

本発明の実施形態は、ネットワーク監視装置及びネットワーク監視方法に関する。

ＩＰ（Internet Protocol）ネットワークにおいて、外部からの攻撃などの異常トラフィックを検出するために、ＩＤＳ（Intrusion Detection System）が用いられている。かかるＩＤＳを用いて異常トラフィックを検出する技術の一例としては、予め用意されたシグネチャを用いて観測トラフィックの異常を検出する技術が挙げられる。

米国Snort.org資料、SNORT Users Manual、［online］、［平成２４年６月３日検索］、インターネット＜http://www.snort.org/assets/166/snort_manual.pdf＞

しかしながら、上記のＩＤＳでは、通信路ごとに設置する必要があるので、ネットワーク全体を監視するためには外部ＩＰネットワークと接続する全通信路に設置しなければならないという問題がある。

そこで、本発明の実施形態は、上記に鑑みてなされたものであって、ネットワーク全体のトラフィックを集中監視して異常トラフィックを検出できるネットワーク監視装置及びネットワーク監視方法を提供することを目的とする。

実施形態に係るネットワーク監視装置は、複数の中継装置を含むネットワークのトラフィックを監視するネットワーク監視装置であって、各々の中継装置から当該中継装置で動作するエージェントによって前記中継装置を通過するパケットがサンプリングされたヘッダサンプルを含むフロー情報を収集する収集部と、前記収集部によって収集されたフロー情報中のヘッダサンプルに含まれるＩＰヘッダデータ及びペイロードデータを抽出する抽出部と、前記抽出部によって抽出されたＩＰヘッダデータまたはペイロードデータを用いて、異常トラフィックを検出する検出部とを有する。

実施形態に係るネットワーク監視装置の一つの態様によれば、ネットワーク全体のトラフィックを集中監視して異常トラフィックを検出できるという効果を奏する。

図１は、第１の実施形態に係るネットワークシステムの構成例を示す図である。 図２は、第１の実施形態に係るネットワーク監視装置の構成を示す図である。 図３は、フロー情報の一例を示す図である。 図４は、第１の実施形態に係るネットワーク監視処理の手順を示すフローチャートである。 図５は、第２の実施形態に係るネットワーク監視プログラムによる情報処理がコンピュータを用いて具体的に実現されることを示す図である。

以下に、本発明の実施形態に係るネットワーク監視装置及びネットワーク監視方法を図面に基づいて詳細に説明する。なお、この実施形態は本発明を限定するものではない。そして、各実施形態は、処理内容を矛盾させない範囲で適宜組み合わせることが可能である。

［第１の実施形態］
［ネットワークシステム１の構成］
まず、図１を用いて、第１の実施形態に係るネットワークシステムについて説明する。図１は、第１の実施形態に係るネットワークシステム１の構成例を示す図である。図１に例示するように、第１の実施形態に係るネットワークシステム１には、ユーザ端末２０と、スイッチ３０Ａ〜３０Ｄと、Ｗｅｂサーバ５０とが収容される。

図１に示すネットワークシステム１には、１台のユーザ端末２０と、４台のスイッチ３０Ａ〜３０Ｄと、１台のＷｅｂサーバ５０とが含まれる例を示したが、ネットワークシステム１に含まれる各装置の台数は図１に示した例に限られない。例えば、ネットワークシステム１には、複数台のユーザ端末が含まれてもよいし、複数台のＷｅｂサーバが含まれてもよいし、３台以下のスイッチが含まれてもよいし、５台以上のスイッチが含まれてもよい。なお、図１の例では、スイッチを中継装置として例示したが、スイッチの代わりに一部または全部をルータに置き換えることとしてもかまわない。

ユーザ端末２０は、スイッチ３０Ａ〜３０ＤやＷｅｂサーバ５０と通信を行う通信装置であり、例えば、ＰＣ（Personal Computer）やＰＤＡ（Personal Digital Assistant）等である。図１に示す例では、ユーザ端末２０は、スイッチ３０Ｂと通信可能に接続される。なお、ユーザ端末２０と接続されるスイッチはスイッチ３０Ｂに限られない。例えば、ユーザ端末２０は、スイッチ３０Ｂ以外のスイッチ３０Ａ、スイッチ３０Ｃやスイッチ３０Ｄなどと接続されてもよい。

Ｗｅｂサーバ５０は、各種Ｗｅｂサービスを提供する通信装置である。例えば、Ｗｅｂサーバ５０は、スイッチ３０Ａ〜３０Ｄのいずれかを経由して、ユーザ端末２０からＨＴＴＰ（HyperText Transfer Protocol）リクエストを受信した場合に、ＨＴＭＬ（HyperText Markup Language）ファイル等をユーザ端末２０に返信する。図１に示す例では、Ｗｅｂサーバ５０は、スイッチ３０Ｃと通信可能に接続される。なお、Ｗｅｂサーバ５０と接続されるスイッチはスイッチ３０Ｃに限られない。例えば、Ｗｅｂサーバ５０は、スイッチ３０Ｃ以外のスイッチ３０Ａやスイッチ３０Ｂやスイッチ３０Ｄなどと接続されてもよい。

また、図１に示す例では、ネットワークシステム１にＷｅｂサーバ５０が含まれる例を示したが、ネットワークシステム１には、Ｗｅｂサービス以外のサービスを提供するサーバ装置が含まれてもよい。例えば、ネットワークシステム１には、電子メールの送受信処理を中継するメールサーバ、ファイルを管理するファイルサーバやその他のアプリケーションサーバが含まれてもよい。

スイッチ３０Ａ〜３０Ｄは、ＩＰパケットを中継する通信装置、すなわちＩＰパケットを転送するパケット転送装置である。図１に示す例では、スイッチ３０Ａは、他の通信装置（スイッチ３０Ｂ又は３０Ｃ等）との間でＩＰパケットを送受信するＩＦ（InterFace）部３１Ａ及び３２Ａを有する。また、スイッチ３０ＢはＩＦ部３１Ｂ〜３３Ｂを有し、スイッチ３０ＣはＩＦ部３１Ｃ〜３３Ｃを有し、スイッチ３０ＤはＩＦ部３１Ｄ及び３２Ｄを有する。これらスイッチ３０Ａ〜３０Ｄが有するＩＦ部の数は、図１に示す例に限定されない。例えば、スイッチ３０Ａは、３個以上のＩＦ部を有してもよく、また、スイッチ３０Ｂは、２個のＩＦ部又は４個以上のＩＦ部を有してもよい。なお、以下では、スイッチ３０Ａ〜３０Ｄを区別なく説明する場合に「スイッチ３０」と総称する場合がある。

各ＩＦ部は、図１に図示するように接続される。一例を挙げて説明すると、スイッチ３０ＡのＩＦ部３１Ａとスイッチ３０ＢのＩＦ部３１Ｂとが接続され、スイッチ３０ＡのＩＦ部３２Ａとスイッチ３０ＣのＩＦ部３１Ｃとが接続される。また、スイッチ３０ＢのＩＦ部３３Ｂとユーザ端末２０とが接続され、スイッチ３０ＣのＩＦ部３３ＣとＷｅｂサーバ５０とが接続される。

さらに、図１に示す各ＩＦ部には、図示したＩＰアドレスが割り当てられているものとする。一例を挙げて説明すると、ＩＦ部３１ＡにはＩＰアドレス「１０．１．１．１」が割り当てられ、ＩＦ部３２ＡにはＩＰアドレス「１０．２．１．２」が割り当てられる。また、図１に示すように、ユーザ端末２０のＩＰアドレスは「１０．０．０．１」であり、Ｗｅｂサーバ５０のＩＰアドレスは「１０．２．３．１」であるものとする。

ネットワーク監視装置１０は、ネットワークシステム１のトラフィックを監視する装置である。一態様としては、ネットワーク監視装置１０は、ｓＦｌｏｗ（登録商標）、ＮｅｔＦｌｏｗ（登録商標）やＩＰＦＩＸ等の技術が適用されたスイッチ３０Ａ〜３０Ｄからフロー情報を収集する。すなわち、ネットワーク監視装置１０は、スイッチ３０Ａ〜３０Ｄが有するＩＦ部ごとに、かかるＩＦ部によって送受信されるトラフィック量やパケットに関する情報を含むフロー情報を収集する。その上で、ネットワーク監視装置１０は、スイッチ３０から収集したフロー情報中のヘッダサンプルに含まれるＩＰヘッダデータやペイロードデータを用いて、各種の異常トラフィックを検出する。

このように、本実施形態に係るネットワーク監視装置１０は、各々の通信路にＩＤＳを設置するのではなく、ネットワークシステム１に含まれるスイッチやルータ等の中継装置からフロー情報を収集した上でそのフロー情報から各種の異常トラフィックを検出する。これによって、ネットワーク全体のトラフィックを集中監視して異常トラフィックを検出することを可能にする。

なお、以下では、一例として、ｓＦｌｏｗ（登録商標）エージェントが内蔵または付設されたスイッチ３０からｓＦｌｏｗ（登録商標）パケットを収集する場合を想定して説明を行う。これらスイッチ３０でトラフィックをモニタリングしたり、パケットをサンプリングしたりするｓＦｌｏｗ（登録商標）エージェントはハードウェアによって実装されることとしてもよいし、ソフトウェアによって実装されることとしてもかまわない。

［ネットワーク監視装置１０の構成］
続いて、本実施形態に係るネットワーク監視装置１０について説明する。図２は、第１の実施形態に係るネットワーク監視装置１０の構成を示す図である。図２に示すように、ネットワーク監視装置１０は、収集部１１と、抽出部１２と、第１の検出部１３と、ダークネット・シグネチャＤＢ１４ａと、第２の検出部１４と、第３の検出部１５と、関連付け情報ＤＢ１６ａと、登録部１６と、出力制御部１７とを有する。なお、ネットワーク監視装置１０は、図２に示した機能部以外にも既知のコンピュータが有する各種の機能部、例えば各種の入力デバイスや音声出力デバイスなどの機能部を有することとしてもかまわない。

このうち、収集部１１は、スイッチ３０からフロー情報を収集する処理部である。一態様としては、収集部１１は、ｓＦｌｏｗ（登録商標）コレクタとして機能し、各々のスイッチ３０Ａ〜３０Ｄごとに、当該スイッチ３０に内蔵または付設されたｓＦｌｏｗ（登録商標）エージェントによってモニタリング及びサンプリングが実行されたカウンタサンプルやヘッダサンプルの他、拡張情報を含むフローサンプルを含むフロー情報を収集する。

例えば、ユーザ端末２０がＷｅｂサーバ５０からＨＴＴＰのＧＥＴコマンドを用いてＨＴＭＬファイルを取得する場合を想定する。具体例を挙げて説明すると、ユーザ端末２０によって送信元のＩＰアドレス「10.0.0.1」、宛先のＩＰアドレス「10.2.3.1」、プロトコル「ＴＣＰ」、送信先ポート番号「80」及びペイロードデータ「http get」とされたＩＰパケットが送信される。このとき、ユーザ端末２０から送信されたＩＰパケットは、スイッチ３０Ｂ、スイッチ３０Ａ、スイッチ３０Ｃの順に各スイッチを経由してＷｅｂサーバ５０に到達するものとする。この場合には、スイッチ３０Ｂ、スイッチ３０Ａ及びスイッチ３０Ｃからカウンタサンプル、ヘッダサンプル及びフローサンプルを含むフロー情報が収集されることになる。

抽出部１２は、フロー情報に含まれる所望のデータを抽出する処理部である。一態様としては、抽出部１２は、収集部１１によって収集されたフロー情報中のヘッダサンプルに含まれるＩＰヘッダデータ及びペイロードデータを抽出する。さらに、抽出部１２は、ＩＰヘッダデータに含まれる送信元のＩＰアドレス、宛先のＩＰアドレス、プロトコル、ポート番号を抽出したり、ペイロードデータに含まれるプロトコルヘッダを抽出したりする。また、抽出部１２は、フロー情報中のフローサンプルに含まれるＩＰパケット生成元のＡＳ番号などの拡張情報を抽出することもできる。

図３は、フロー情報の一例を示す図である。図３の最下段に示すように、ｓＦｌｏｗ（登録商標）データグラムは、ＵＤＰ（User Datagram Protocol）上にカプセル化されて収集される。かかるｓＦｌｏｗ（登録商標）データグラムには、ｓＦｌｏｗ（登録商標）のバージョンやエージェントのアドレスなどが記述されたｓＦｌｏｗ（登録商標）ヘッダと、パケット数やバイト数、エラー数といったトラフィックに関する情報が格納されるカウンタサンプルと、エージェントによってサンプリングされたＩＰパケットの一部分が格納されるヘッダサンプルと、ＩＰパケットの生成元が所属するＡＳ（Autonomous System：自律システム）番号やＵＲＬ（Uniform Resource Locator）などの拡張情報を含むフローサンプルとが含まれる。このうち、ヘッダサンプル中のＩＰヘッダデータに含まれる送信元のＩＰアドレス、宛先のＩＰアドレス、プロトコル及びポート番号が抽出されるとともに、ペイロードデータに含まれるプロトコルヘッダが抽出される。また、フローサンプルに拡張データが含まれる場合には、ＩＰパケット生成元のＡＳ番号も抽出される。

第１の検出部１３は、ポリシー情報を用いて、異常トラフィックを検出する処理部である。一態様としては、第１の検出部１３は、抽出部１２によって抽出されたデータのうちＩＰヘッダデータから抽出されたプロトコル及びポート番号を参照する。一方、第１の検出部１３は、図示しない内部メモリに記憶されたポリシー情報を読み出す。かかるポリシー情報の一例としては、ネットワークシステム１内で使用が許可されたプロトコル及びポート番号が定義された情報が挙げられる。その上で、第１の検出部１３は、ＩＰヘッダデータに含まれるプロトコル及びポート番号が内部メモリから読み出したポリシー情報に登録されているか否かを判定する。このとき、第１の検出部１３は、ネットワークシステム１内で使用が許可されていないプロトコルまたはポート番号がＩＰヘッダデータに含まれる場合には、当該ＩＰヘッダに対応するトラフィックが異常トラフィックであると判定する。

この場合には、異常トラフィックの種別としてプロトコルまたはポート番号の違反に対応して採番された種別番号「１」、ＩＰヘッダデータがサンプリングされたスイッチ３０のＩＰアドレス、ＩＰヘッダデータに含まれる送信元及び宛先のＩＰアドレスを関連付けた関連付け情報が後述の関連付け情報ＤＢ１６ａへ登録される。このとき、フローサンプルから拡張情報が抽出されている場合には、ＩＰパケット生成元のＡＳ番号が併せて関連付けられた関連付け情報が後述の関連付け情報ＤＢ１６ａへ登録される。

ダークネット・シグネチャＤＢ１４ａは、ＩＰアドレスリストと、シグネチャのパターンファイルとを記憶する記憶部である。かかるＩＰアドレスリストの一例としては、未割当もしくは使用されていないＩＰアドレスの空間がダークネットとして登載されたリストが挙げられる。他の一例としては、マルウェア感染やＤｏｓ攻撃に関するブラックリストに指定されたＩＰアドレスが登載されたリストが挙げられる。例えば、ブラックリストには、マルウェアが感染対象を探索する場合に探索のアルゴリズムから推測されるＩＰアドレスを指定することができる。また、パターンファイルの一例としては、Ｗｅｂアプリケーション等のアプリケーションの脆弱性を狙った不正パターンの特徴がシグネチャとして定義されたファイルが挙げられる。なお、上記のＩＰアドレスリストやパターンファイルは、ネットワークシステム１のオペレータからの指示にしたがって任意のタイミングで任意の内容に更新することができる。

第２の検出部１４は、ダークネット・シグネチャＤＢ１４ａを用いて、異常トラフィックを検出する処理部である。一態様としては、第２の検出部１４は、ダークネット・シグネチャＤＢ１４ａに記憶されたダークネット及びブラックリスト指定のＩＰアドレスリストを読み出す。そして、第２の検出部１４は、抽出部１２によってＩＰヘッダデータから抽出された送信元のＩＰアドレス及び宛先のＩＰアドレスがＩＰアドレスリストに登録されているか否かを判定する。

ここで、送信元のＩＰアドレスまたは宛先のＩＰアドレスがＩＰアドレスリストに登録されている場合には、マルウェアが感染対象を探索するためにスキャンを行っていたり、マルウェアが感染対象を攻撃するためにファイルを送信していたり、送信元のＩＰアドレスが詐称されたＤｏｓ攻撃に返信を行っているトラフィックのおそれが高い。このため、第２の検出部１４は、マルウェア感染またはＤｏｓ攻撃に起因する異常トラフィックであると判定する。

この場合には、異常トラフィックの種別としてＩＰアドレスリストの違反に対応して採番された種別番号「２」、ＩＰヘッダデータがサンプリングされたスイッチ３０のＩＰアドレス、ＩＰヘッダデータに含まれる送信元及び宛先のＩＰアドレスを関連付けた関連付け情報が後述の関連付け情報ＤＢ１６ａへ登録される。なお、フローサンプルから拡張情報が抽出されている場合には、ＩＰパケット生成元のＡＳ番号が併せて関連付けられた関連付け情報が後述の関連付け情報ＤＢ１６ａへ登録される。

一方、第２の検出部１４は、送信元のＩＰアドレス及び宛先のＩＰアドレスがＩＰアドレスリストに登録されていない場合に、抽出部１２によってＩＰヘッダデータから抽出されたＲＦＣの仕様がＲＦＣ（Request For Comment）違反であるか否か、例えばＷｅｂサーバ５０の管理者によって定められたＲＦＣの仕様と異なるか否かをさらに判定する。このとき、第２の検出部１４は、ＲＦＣ違反である場合には、当該ＲＦＣ違反のあるトラフィックを異常トラフィックと判定する。

この場合には、異常トラフィックの種別としてＲＦＣ違反に対応して採番された種別番号「３」、ＩＰヘッダデータがサンプリングされたスイッチ３０のＩＰアドレス、ＩＰヘッダデータに含まれる送信元及び宛先のＩＰアドレスを関連付けた関連付け情報が後述の関連付け情報ＤＢ１６ａへ登録される。なお、フローサンプルから拡張情報が抽出されている場合には、ＩＰパケット生成元のＡＳ番号が併せて関連付けられた関連付け情報が後述の関連付け情報ＤＢ１６ａへ登録される。

また、第２の検出部１４は、ＲＦＣ違反でない場合に、抽出部１２によってペイロードデータから抽出されたプロトコルヘッダを参照する。そして、第２の検出部１４は、ダークネット・シグネチャＤＢ１４ａからシグネチャのパターンファイルを読み出す。その上で、第２の検出部１４は、抽出部１２によってペイロードデータから抽出されたプロトコルヘッダと、シグネチャのパターンファイルとをマッチングする。このとき、パターンファイルに定義されたシグネチャがプロトコルヘッダに含まれる場合には、Ｗｅｂアプリケーション等のアプリケーションの脆弱性を狙ってプロトコル違反や攻撃が行われているトラフィックのおそれが高い。このため、第２の検出部１４は、アプリケーションへの攻撃に起因する異常トラフィックであると判定する。

この場合には、異常トラフィックの種別としてシグネチャ違反に対応して採番された種別番号「４」、ＩＰヘッダデータがサンプリングされたスイッチ３０のＩＰアドレス、ＩＰヘッダデータに含まれる送信元及び宛先のＩＰアドレスを関連付けた関連付け情報が後述の関連付け情報ＤＢ１６ａへ登録される。なお、フローサンプルから拡張情報が抽出されている場合には、ＩＰパケット生成元のＡＳ番号が併せて関連付けられた関連付け情報が後述の関連付け情報ＤＢ１６ａへ登録される。

第３の検出部１５は、フロー情報の収集元の中継装置および送信元と宛先のＩＰアドレスの組合せごとに時系列に記録されたデータが所定の条件を満たすか否かを判定することによって異常トラフィックを検出する処理部である。

一態様としては、第３の検出部１５は、フロー情報の収集元の中継装置および送信元と宛先のＩＰアドレスの組合せごとにプロトコルヘッダを図示しない内部メモリへ時系列に記録する。その上で、第３の検出部１５は、例えば、（イ）ＨＴＴＰヘッダ内にファイル情報が含まれているか否か、（ロ）ＨＴＴＰヘッダのサイズやＵＲＬ長等が他の送信元のＩＰアドレスと乖離しているか否か、さらには、（ハ）一定期間の送信パケット量と受信パケット量の比率が所定の閾値を超えているか否か等を判定する。このとき、第３の検出部１５は、ＨＴＴＰヘッダ内にファイル情報が含まれている場合、ＨＴＴＰヘッダサイズやＵＲＬ長等が他の送信元のＩＰアドレスと乖離している場合、一定期間の送信パケット量と受信パケット量の比率が一定値を超えている場合には、異常トラフィックと判定する。上記の条件（イ）を判定することによって、例えば、ユーザ端末２０が攻撃者に乗っ取られ、ユーザが意図せずユーザ端末２０から攻撃者が用意したＩＰアドレス宛にユーザ端末２０内のファイル情報がＨＴＴＰヘッダ内のＵＲＬ情報等に組み込まれて送信されたことを検出できる。

この場合には、異常トラフィックの種別として上記の（イ）、（ロ）及び（ハ）の３つの条件のうちいずれかの条件の違反に対応して採番された種別番号「５」、ＩＰヘッダデータがサンプリングされたスイッチ３０のＩＰアドレス、ＩＰヘッダデータに含まれる送信元及び宛先のＩＰアドレスを関連付けた関連付け情報が後述の関連付け情報ＤＢ１６ａへ登録される。このとき、フローサンプルから拡張情報が抽出されている場合には、ＩＰパケット生成元のＡＳ番号が併せて関連付けられた関連付け情報が後述の関連付け情報ＤＢ１６ａへ登録される。なお、ここでは、（イ）、（ロ）及び（ハ）の３つの条件のうちいずれかの条件に違反するケースに１つの種別番号を割り当てる場合を例示したが、各条件ごとに種別番号を割り当てることとしてもかまわない。

登録部１６は、第１の検出部１３、第２の検出部１４または第３の検出部１５によって異常トラフィックが検出された場合に、当該異常トラフィックに関する所定の項目が関連付けられた関連付け情報を関連付け情報ＤＢ１６ａへ登録する処理部である。一態様としては、登録部１６は、異常トラフィックの種別番号、ＩＰヘッダデータがサンプリングされたスイッチ３０のＩＰアドレス、ＩＰヘッダデータに含まれる送信元及び宛先のＩＰアドレスを対応付けて関連付け情報ＤＢ１６ａへ登録する。このとき、登録部１６は、抽出部１２によってフローサンプルから拡張情報が抽出されている場合には、ＩＰパケット生成元のＡＳ番号が併せて関連付けられた関連付け情報を関連付け情報ＤＢ１６ａへ登録する。

関連付け情報ＤＢ１６ａは、関連付け情報を記憶する記憶部である。かかる関連付け情報には、上述のように、少なくとも異常トラフィックの種別番号、中継装置のＩＰアドレス、送信元と宛先のＩＰアドレスが含まれ、オプションとしてＩＰパケット生成元のＡＳ番号が含まれる場合がある。

出力制御部１７は、第１の検出部１３、第２の検出部１４または第３の検出部１５によって異常トラフィックが検出された場合に、当該異常トラフィックの検出に関する出力制御を実行する処理部である。一態様としては、出力制御部１７は、異常トラフィックが検出されると、異常トラフィックの種別番号が同一であり、かつ異常トラフィックが検出された中継装置とは異なる中継装置のＩＰアドレスを含む関連付け情報を関連付け情報ＤＢ１６ａから検索する。このとき、出力制御部１７は、送信元のＩＰアドレス及び宛先のＩＰアドレスが同一である関連付け情報に絞り込んで検索することもできるし、また、出力制御部１７は、送信元のＩＰアドレスまたは宛先のＩＰアドレスのうち一方が同一である関連付け情報に絞り込んで検索することもできる。また、出力制御部１７は、ＩＰパケット生成元のＡＳ番号が同一である関連付け情報に絞り込んで検索することもできる。

その上で、出力制御部１７は、当該異常トラフィックに関する情報、例えば異常トラフィックの種別番号、中継装置のＩＰアドレス及び送信元と宛先のＩＰアドレスとともに、検索結果として得られた関連付け情報を所定の出力先へ出力させる。かかる出力先の一例としては、図示しないネットワーク監視装置１０の表示部であってもよいし、ネットワーク監視装置１０に接続されたコンソールであってもよいし、また、他の外部装置の表示部であってもよい。これによって、異常トラフィックが発生した中継装置に関する情報だけでなく、同種の異常トラフィックが発生した中継装置に関する情報を併せてネットワークシステム１のオペレータに報知できる。

このように、本実施形態に係るネットワーク監視装置１０では、同一装置内の情報だけでネットワークの複数箇所で発生した異常トラフィックを関連付けることを可能にし、ネットワーク全体で未使用等不正なＩＰアドレスやブラックリストのＩＰアドレスではないか、プロトコル違反していないか、脆弱性に対する攻撃ではないか、過去の傾向と逸脱していないか等の異常判断が可能になる。

なお、図１に示した収集部１１、抽出部１２、第１の検出部１３、第２の検出部１４、第３の検出部１５、登録部１６及び出力制御部１７などの各種の機能部には、各種の集積回路や電子回路を採用できる。例えば、集積回路としては、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）が挙げられる。また、電子回路としては、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などが挙げられる。

また、図１に示したダークネット・シグネチャＤＢ１４ａ及び関連付け情報ＤＢ１６ａなどを記憶する記憶部には、次のようなデバイスを採用できる。例えば、ＲＡＭ（Random Access Memory)、ＲＯＭ（Read Only Memory）やフラッシュメモリ（flash memory）などの半導体メモリ素子を採用できる。また、ハードディスク、光ディスクなどの記憶装置も採用できる。

［処理の流れ］
次に、本実施形態に係るネットワーク監視装置１０の処理の流れについて説明する。図４は、第１の実施形態に係るネットワーク監視処理の手順を示すフローチャートである。このネットワーク監視処理は、ネットワーク監視装置１０の電源がＯＮ状態である限り、繰り返し実行される処理である。

図４に示すように、収集部１１によってスイッチ３０等からフロー情報が収集されると（ステップＳ１０１）、抽出部１２は、フロー情報中のヘッダサンプルに含まれるＩＰヘッダデータ、ペイロードデータ及びＩＰパケット生成元のＡＳ番号などの拡張情報を抽出する（ステップＳ１０２）。

続いて、第１の検出部１３は、抽出部１２によって抽出されたデータのうちＩＰヘッダデータを参照する（ステップＳ１０３）。そして、第１の検出部１３は、図示しない内部メモリに記憶されたポリシー情報を読み出す（ステップＳ１０４）。

その上で、第１の検出部１３は、ＩＰヘッダデータに含まれるプロトコルがポリシー情報に登録されているか否かを判定する（ステップＳ１０４）。このとき、ＩＰヘッダデータに含まれるプロトコルがポリシー情報に登録されている場合（ステップＳ１０４，Ｙｅｓ）には、第１の検出部１３は、ＩＰヘッダデータに含まれるポート番号がポリシー情報に登録されているか否かをさらに判定する（ステップＳ１０５）。

そして、ＩＰヘッダデータに含まれるポート番号もポリシー情報に登録されている場合（ステップＳ１０５，Ｙｅｓ）には、ダークネット・シグネチャＤＢ１４ａに記憶されたダークネット及びブラックリスト指定のＩＰアドレスリストを読み出す（ステップＳ１０６）。

続いて、第２の検出部１４は、抽出部１２によってＩＰヘッダデータから抽出された送信元のＩＰアドレス及び宛先のＩＰアドレスがＩＰアドレスリストに登録されているか否かを判定する（ステップＳ１０７）。

そして、送信元のＩＰアドレス及び宛先のＩＰアドレスがＩＰアドレスリストに登録されていない場合（ステップＳ１０７，Ｙｅｓ）には、抽出部１２によってＩＰヘッダデータから抽出されたＲＦＣの仕様がＲＦＣ違反であるか否か、例えばＷｅｂサーバ５０の管理者によって定められたＲＦＣの仕様と異なるか否かをさらに判定する（ステップＳ１０８）。

このとき、ＲＦＣ違反でない場合、すなわちＲＦＣの仕様が正規のものである場合（ステップＳ１０８，Ｙｅｓ）には、第２の検出部１４は、抽出部１２によってペイロードデータから抽出されたプロトコルヘッダを参照する（ステップＳ１０９）。そして、第２の検出部１４は、ダークネット・シグネチャＤＢ１４ａからシグネチャのパターンファイルを読み出す（ステップＳ１１０）。

その上で、第２の検出部１４は、抽出部１２によってペイロードデータから抽出されたプロトコルヘッダと、シグネチャのパターンファイルとをマッチングする（ステップＳ１１１）。

このとき、パターンファイルに定義されたシグネチャがプロトコルヘッダに含まれない場合（ステップＳ１１１，Ｙｅｓ）には、第３の検出部１５は、時系列に記録されたプロトコルヘッダのデータが所定の条件を満たすか否かを判定する（ステップＳ１１２）。

そして、時系列に記録されたプロトコルヘッダのデータが所定の条件を満たさなければ（ステップＳ１１２，Ｙｅｓ）、第３の検出部１５は、観測しているトラフィックに異常がないと判定し、そのまま処理を終了する。

一方、ステップＳ１０４，Ｎｏ、ステップＳ１０５，Ｎｏ、ステップＳ１０７，Ｎｏ、ステップＳ１０８，Ｎｏ、ステップＳ１１１，ＮｏまたはステップＳ１１２，Ｎｏのいずれかの場合には、異常トラフィックと判定される。すなわち、ＩＰヘッダデータに含まれるプロトコルまたはポート番号がポリシー情報に登録されていない場合、送信元のＩＰアドレス及び宛先のＩＰアドレスがＩＰアドレスリストに登録されている場合、ＲＦＣ違反である場合、パターンファイルに定義されたシグネチャがプロトコルヘッダに含まれる場合、あるいは時系列に記録されたプロトコルヘッダのデータが所定の条件を満たす場合には、異常トラフィックと判定される。

これらの場合には、登録部１６は、異常トラフィックの種別番号、ＩＰヘッダデータがサンプリングされたスイッチ３０のＩＰアドレス、ＩＰヘッダデータに含まれる送信元及び宛先のＩＰアドレスを対応付けて関連付け情報ＤＢ１６ａへ登録する（ステップＳ１１３）。

そして、出力制御部１７は、異常トラフィックに関する情報、例えば異常トラフィックの種別番号、中継装置のＩＰアドレス及び送信元と宛先のＩＰアドレスとともに、当該異常トラフィックと同種の異常トラフィックが検出された関連付け情報を所定の出力先へ報知し（ステップＳ１１４）、処理を終了する。

なお、図４に示すフローチャートで実行される各判定処理、すなわちステップＳ１０４、ステップＳ１０５、ステップＳ１０７、ステップＳ１０８、ステップＳ１１１及びステップＳ１１２は、互いの順序を入れ換えて実行することもできるし、同時に並行して実行することもできる。

［実施例１の効果］
上述してきたように、本実施形態に係るネットワーク監視装置１０によれば、各々の通信路にＩＤＳを設置するのではなく、ネットワークシステム１に含まれるスイッチやルータ等の中継装置からフロー情報を収集した上でそのフロー情報から抽出されるＩＰヘッダデータまたはペイロードデータを用いて、異常トラフィックを検出するので、ネットワーク全体のトラフィックを集中監視して異常トラフィックを検出できる。

さらに、本実施形態に係るネットワーク監視装置１０によれば、少なくとも異常トラフィックの種別番号、中継装置のＩＰアドレス、送信元と宛先のＩＰアドレスが関連付けられた関連付け情報を登録するので、同一装置内の情報だけでネットワークの複数箇所で発生した異常トラフィックを関連付けることを可能にし、ネットワーク全体で未使用等不正なＩＰアドレスやブラックリストのＩＰアドレスではないか、プロトコル違反していないか、脆弱性に対する攻撃ではないか、過去の傾向と逸脱していないか等の異常判断が可能になる。

さらに、本実施形態に係るネットワーク監視装置１０によれば、異常トラフィックが発生した中継装置に関する情報だけでなく、同種の異常トラフィックが発生した中継装置に関する情報を併せてネットワークシステム１のオペレータに報知できる。

［第２の実施形態］
さて、これまで本発明の実施形態について説明したが、本発明は上述した実施形態以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下では、本発明に含まれる他の実施形態を説明する。

［分散および統合］
図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、収集部１１、抽出部１２、第１の検出部１３、第２の検出部１４、第３の検出部１５、登録部１６または出力制御部１７をネットワーク監視装置１０の外部装置としてネットワーク経由で接続するようにしてもよい。また、収集部１１、抽出部１２、第１の検出部１３、第２の検出部１４、第３の検出部１５、登録部１６または出力制御部１７を別の装置がそれぞれ有し、ネットワーク接続されて協働することで、上記のネットワーク監視装置１０の機能を実現するようにしてもよい。

［ネットワーク監視プログラム］
図５は、第２の実施形態に係るネットワーク監視プログラムによる情報処理がコンピュータを用いて具体的に実現されることを示す図である。図５に例示するように、コンピュータは、例えば、メモリと、ＣＰＵと、ハードディスクドライブインタフェースと、ディスクドライブインタフェースと、シリアルポートインタフェースと、ビデオアダプタと、ネットワークインタフェースとを有し、これらの各部はバスによって接続される。

メモリは、図５に例示するように、ＲＯＭ及びＲＡＭを含む。ＲＯＭは、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェースは、図５に例示するように、ハードディスクドライブに接続される。ディスクドライブインタフェースは、図５に例示するように、ディスクドライブに接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブに挿入される。シリアルポートインタフェースは、図５に例示するように、例えばマウス、キーボードに接続される。ビデオアダプタは、図５に例示するように、例えばディスプレイに接続される。

ここで、図５に例示するように、ハードディスクドライブは、例えば、ＯＳ（Operating System）、アプリケーションプログラム、プログラムモジュール、プログラムデータを記憶する。すなわち、第２の実施形態に係るネットワーク監視プログラムは、コンピュータによって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブに記憶される。具体的には、上記実施形態で説明した監視サーバの各種の機能部と同様の情報処理を実行する監視手順が記述されたプログラムモジュールが、ハードディスクドライブに記憶される。また、上記実施形態で説明した各種の記憶部に記憶されるデータのように、ネットワーク監視プログラムによる情報処理に用いられるデータは、プログラムデータとして、例えばハードディスクドライブに記憶される。そして、ＣＰＵが、ハードディスクドライブに記憶されたプログラムモジュールやプログラムデータを必要に応じてＲＡＭに読み出し、監視手順を実行する。

なお、ネットワーク監視プログラムに係るプログラムモジュールやプログラムデータは、ハードディスクドライブに記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵによって読み出されてもよい。あるいは、ネットワーク監視プログラムに係るプログラムモジュールやプログラムデータは、ネットワーク、ＷＡＮ（Wide Area Network）等を介して接続された他のコンピュータに記憶され、ネットワークインタフェースを介してＣＰＵによって読み出されてもよい。

１ ネットワークシステム
１０ ネットワーク監視装置
１１ 収集部
１２ 抽出部
１３ 第１の検出部
１４ａ ダークネット・シグネチャＤＢ
１４ 第２の検出部
１５ 第３の検出部
１６ 登録部
１６ａ 関連付け情報ＤＢ
１７ 出力制御部
２０ ユーザ端末
３０Ａ，３０Ｂ，３０Ｃ，３０Ｄ スイッチ
５０ Ｗｅｂサーバ

Claims (8)

1. 複数の中継装置を含むネットワークのトラフィックを監視するネットワーク監視装置であって、
   各々の中継装置から当該中継装置で動作するエージェントによって前記中継装置を通過するパケットがサンプリングされたヘッダサンプルを含むフロー情報を収集する収集部と、
   前記収集部によって収集されたフロー情報中のヘッダサンプルに含まれるＩＰヘッダデータ及びペイロードデータを抽出する抽出部と、
   前記抽出部によって抽出されたＩＰヘッダデータまたはペイロードデータを用いて、異常トラフィックを検出する検出部と
   を有することを特徴とするネットワーク監視装置。
2. 前記検出部によって異常トラフィックが検出された場合に、前記異常トラフィックの種別、前記異常トラフィックが検出されたフロー情報の収集元である中継装置、前記ＩＰヘッダデータに含まれる送信元及び宛先のＩＰアドレスを対応付けて所定の記憶部へ登録する登録部をさらに有することを特徴とする請求項１に記載のネットワーク監視装置。
3. 前記検出部は、前記ネットワーク内で使用が許可されたプロトコル及びポート番号が定義されたポリシー情報を参照し、前記ＩＰヘッダデータに含まれるプロトコル及びポート番号が前記ポリシー情報に登録されているか否かを判定することによって異常トラフィックを検出することを特徴とする請求項１または２に記載のネットワーク監視装置。
4. 前記検出部は、未割当もしくは使用されていないＩＰアドレスまたはブラックリストに指定されたＩＰアドレスが定義されたＩＰアドレスリストを参照し、前記ＩＰヘッダデータに含まれる送信元のＩＰアドレス及び宛先のＩＰアドレスが前記ＩＰアドレスリストに登録されているか否かを判定することによって異常トラフィックを検出することを特徴とする請求項１または２に記載のネットワーク監視装置。
5. 前記検出部は、前記ＩＰヘッダデータに含まれるＲＦＣの仕様が所定のＲＦＣの仕様と異なるか否かを判定することによって異常トラフィックを検出することを特徴とする請求項１または２に記載のネットワーク監視装置。
6. 前記検出部は、シグネチャが定義されたパターンファイルを参照し、前記パターンファイルに定義されたシグネチャが前記ペイロードデータのプロトコルヘッダに含まれるか否かを判定することによって異常トラフィックを検出することを特徴とする請求項１または２に記載のネットワーク監視装置。
7. 前記検出部は、収集元の中継装置および送信元と宛先のＩＰアドレスの組合せごとに前記ペイロードデータに含まれるプロトコルヘッダを時系列に記録し、時系列に記録されたプロトコルヘッダが所定の条件を満たすか否かを判定することによって異常トラフィックを検出することを特徴とする請求項１または２に記載のネットワーク監視装置。
8. 複数の中継装置を含むネットワークのトラフィックを監視するネットワーク監視装置で実行されるネットワーク監視方法であって、
   各々の中継装置から当該中継装置で動作するエージェントによって前記中継装置を通過するパケットがサンプリングされたヘッダサンプルを含むフロー情報を収集する収集工程と、
   前記収集工程によって収集されたフロー情報中のヘッダサンプルに含まれるＩＰヘッダデータ及びペイロードデータを抽出する抽出工程と、
   前記抽出工程によって抽出されたＩＰヘッダデータまたはペイロードデータを用いて、異常トラフィックを検出する検出工程と
   を含んだことを特徴とするネットワーク監視方法。

Images