JP2014116827A

JP2014116827A - キャプチャデータ解析装置

Info

Publication number: JP2014116827A
Application number: JP2012270218A
Authority: JP
Inventors: Hiroki Tsukiji; 裕希築地; Kota Yamamoto; 高大山本; Kenichi Maruyama; 健一丸山
Original assignee: Nippon Telegraph and Telephone Corp; Nippon Telegraph and Telephone East Corp
Current assignee: Nippon Telegraph and Telephone Corp; Nippon Telegraph and Telephone East Corp
Priority date: 2012-12-11
Filing date: 2012-12-11
Publication date: 2014-06-26

Abstract

【課題】複数のキャプチャファイルを入力してパケットデータを解析する。
【解決手段】複数に分割されたキャプチャファイルを時系列順にメモリ上に読み込んで統計処理し、必要な情報を集計した後はメモリ上から破棄して順次キャプチャファイルを読み込む。これにより、複数のキャプチャファイルにまたがるデータを意識せずに解析することができる。
【選択図】図１

Description

本発明は、ネットワーク上を流れるパケットをキャプチャしたキャプチャデータを解析する技術に関する。

ネットワークのトラブルの原因を追求する方法として、ネットワークに流れるパケットをキャプチャして記憶装置に蓄積し、解析する方法がある。

例えば、特許文献１には、収集されたデータについて、監視対象のプロトコルのパケットが正当な手続きに沿って送受信されているか否か判定する技術が開示されている。

特開２０１２−２０５１８７号公報

長中期間にわたってパケットをキャプチャしたキャプチャデータは膨大な量となる。このような場合に、１つのキャプチャファイルにキャプチャデータを全て記載するとデータが大容量となり、扱いが困難になるため、キャプチャファイルをサイズや時間で分割し、複数のキャプチャファイルとして生成されることが一般的である。特に、ＩＰ電話サービスやＩＰ放送サービスを利用している場合は、音声データや放送データが含まれるため、非常に膨大な量のパケットがキャプチャされて、生成されるファイル数も膨大になる。

従来のキャプチャデータを解析する装置は、キャプチャファイルを１つ読み込んで解析するものであった。そのため、複数のファイルが生成された場合、利用者が障害発生時に関連するキャプチャファイルを特定して装置に読み込ませる必要があった。また、障害の原因と思われる箇所が複数のキャプチャファイルにまたがっていると思われる場合は、利用者がキャプチャファイルを結合して１つのキャプチャファイルを作成し装置に読み込ませる必要があった。

本発明は、上記に鑑みてなされたものであり、複数のキャプチャファイルを入力してパケットデータを解析することを目的とする。

本発明に係るキャプチャデータ解析装置は、ネットワーク上を流れるパケットをキャプチャしたパケットデータを記載したキャプチャファイルを解析するキャプチャデータ解析装置であって、複数に分割された前記キャプチャファイルを時系列順に取得してメモリ上に読み込む読込手段と、メモリ上に読み込まれた前記キャプチャファイルからパケットデータを取得して統計情報を集計する統計処理手段と、前記統計処理手段が集計した統計情報を出力する出力手段と、を有することを特徴とする。

上記キャプチャデータ解析装置において、前記出力手段は、前記統計情報のうちの複数の時系列型の統計情報を時間軸を合わせて重ねて表示することを特徴とする。

上記キャプチャデータ解析装置において、前記キャプチャファイルのパケットデータから送受信されるデータを復元する復元手段を有することを特徴とする。

本発明によれば、複数のキャプチャファイルを入力してパケットデータを解析することができる。

本実施の形態におけるキャプチャデータ解析装置の構成を示す機能ブロック図である。本実施の形態におけるキャプチャデータ解析装置の処理の流れを示すフローチャートである。ＩＰ電話サービスの統計情報の出力例を示す図である。ＨＴＴＰの統計情報の出力例を示す図である。時系列型の情報の表示例を示す図である。

以下、本発明の実施の形態について図面を用いて説明する。

図１は、本実施の形態におけるキャプチャデータ解析装置の構成を示す機能ブロック図である。同図に示すキャプチャデータ解析装置は、ユーザ宅内のネットワーク上を流れるパケットをキャプチャしたパケットデータを記載したキャプチャファイルをキャプチャファイル蓄積部２から読み出して解析する。キャプチャファイル蓄積部２には、ユーザ宅内でキャプチャされたパケットの数カ月分のキャプチャデータが蓄積される。キャプチャデータを記載したキャプチャファイルは、キャプチャファイルのサイズやキャプチャの期間に応じて複数に分割されてキャプチャファイル蓄積部２に蓄積される。なお、キャプチャファイルは、キャプチャしたパケットデータがキャプチャ時刻とともに時系列順に記載される。また、キャプチャファイル内で一番最初のキャプチャデータのキャプチャ時刻を開始時刻、一番最後のキャプチャデータのキャプチャ時刻を終了時刻としたヘッダーを備える。以下、キャプチャデータ解析装置について説明する。

図１に示すキャプチャデータ解析装置は、入力部１１、ファイル操作部１２、統計処理部１３、復元部１４、および出力部１５を備える。キャプチャデータ解析装置が備える各部は、演算処理装置、記憶装置等を備えたコンピュータにより構成して、各部の処理がプログラムによって実行されるものとしてもよい。このプログラムはキャプチャデータ解析装置が備える記憶装置に記憶されており、磁気ディスク、光ディスク、半導体メモリ等の記録媒体に記録することも、ネットワークを通して提供することも可能である。

入力部１１は、キャプチャファイルが蓄積されている格納場所の指定、パケットがキャプチャされた時間に対するオフセット時間の設定、パケットデータを抜き出して処理する抜き出し期間の設定、および解析結果の出力先を入力する。

キャプチャファイルが蓄積されている格納場所の指定は、例えば、キャプチャファイル蓄積部２がキャプチャファイルを蓄積しているフォルダを指定する。指定されたフォルダに存在するキャプチャファイル全てが処理対象となる。あるいは、キャプチャファイルを複数選択して処理対象のキャプチャファイルを指定してもよい。

オフセット時間とは、キャプチャファイルに記録されたパケットをキャプチャした時刻に対するオフセットを指定する時間である。キャプチャファイルには、キャプチャしたパケットのデータとキャプチャした時刻が記載されるが、パケットをキャプチャするパケットキャプチャ装置内の時計がずれていた場合、そのずれた時刻が記載される。そこで、本実施の形態では、パケットキャプチャ装置内の時計のずれを補正するオフセット時間を入力し、キャプチャファイル内に記載されたキャプチャ時刻を統計処理時に補正する。

抜き出し期間は、キャプチャファイル蓄積部２に蓄積されたキャプチャファイルにおいて処理対象とする期間である。抜き出し期間が指定された場合、指定された格納場所に存在する全てのキャプチャファイルを処理対象とするのではなく、抜き出し期間に該当するキャプチャファイルを処理対象とする。

ファイル操作部１２は、入力部１１が入力したキャプチャファイルの格納場所からキャプチャファイルを時系列順に取得してキャプチャデータ解析装置が備えるメモリ上に読み込む。指定された格納場所に存在する全てのキャプチャファイルをメモリ上に一度に全部読み込むことはできないので、メモリ上に読み込んだキャプチャファイルを統計処理部１３が処理した後は、メモリ上のデータを破棄して次のキャプチャファイルを読み込む。キャプチャファイルの時系列順は、キャプチャファイルの先頭に記述されたヘッダーの開始時刻、終了時刻を参照して判定する。あるいは、キャプチャファイルのファイル名が規則的に付けられる場合、例えばファイル名に通し番号が付与される場合、ファイル名に作成された日時を含む場合など、そのファイル名によりキャプチャファイルの時系列順を判定してもよい。キャプチャファイルの時系列順は、例えばキャプチャファイルのファイル名を時系列順に並べてファイル操作部１２が保持しておくとよい。

統計処理部１３は、ファイル操作部１２が読み込んだキャプチャファイルからパケットデータを抽出し、所定の統計情報を収集する。統計情報としては、例えば、ＴＣＰセッション数、ＴＣＰエラー数などの通信に関係するものや、ＩＰ電話の呼数、ＩＰ放送の視聴時間などのネットワークを利用したサービスに関係するものがある。キャプチャファイルには、キャプチャしたパケットデータがキャプチャ時刻とともに時系列順に記載されているので、統計処理部１３は、キャプチャファイルの先頭から順にパケットデータを取得し、必要な統計情報を収集する。メモリ上に読み込まれたキャプチャファイルの最後のキャプチャデータを処理し終えると、そのキャプチャファイルは不要となるのでメモリ上から破棄される。

復元部１４は、ファイル操作部１２が読み込んだキャプチャファイルのパケットデータから送受信されるデータ、例えばＨＴＴＰのＧＥＴメソッドで取得されたファイル等を復元する。復元したファイルは、メモリ上に保持してもよいが、キャプチャデータ解析装置が備える記憶装置の所定の場所にファイルとして保存してもよい。

出力部１５は、統計処理部１３による解析結果を出力する。出力形式としては、入力部１１が入力した出力先（指定されたフォルダなど）に、表形式のファイルで書き出したり、時系列型の統計情報をグラフにしてディスプレイなどの表示装置に表示させる方法がある。複数の時系列型の統計情報を表示する場合は、時間軸を合わせて重ねて表示する。

次に、本実施の形態におけるキャプチャデータ解析装置の動作について説明する。

図２は、本実施の形態におけるキャプチャデータ解析装置の処理の流れを示すフローチャートである。

まず、入力部１１がキャプチャファイルの格納場所、オフセット時間、および抜き出し期間を入力する（ステップＳ１１〜Ｓ１３）。なお、オフセット時間と抜き出し期間の入力は任意であり、必要無い場合は入力を省略できる。

続いて、ファイル操作部１２がキャプチャファイルを時系列順に取得してメモリ上に読み込む（ステップＳ１４）。ステップＳ１３で抜き出し期間が指定されていない場合は、格納場所のキャプチャファイルで最も古いパケットデータが記載されたキャプチャファイルをメモリ上に読み込む。また、ステップＳ１３で抜き出し期間が指定されている場合は、開始時刻以降にキャプチャされたパケットデータをメモリ上に読み込む。抜き出し期間の開始時刻がキャプチャファイルの途中にあるとき、つまり抜き出し期間の開始時刻より前にキャプチャされたパケットデータと開始時刻以降にキャプチャされたパケットデータが同一のキャプチャファイルに存在するときは、開始時刻以降のパケットデータをそのキャプチャファイルから抜き出して新たなキャプチャファイルを作成し、新たなキャプチャファイルをメモリ上に読み込んでもよい。同様に、抜き出し期間の終了時刻がキャプチャファイルの途中にあるときは、終了時刻以前のパケットデータをそのキャプチャファイルから抜き出して新たなキャプチャファイルを作成しておいてもよい。

そして、統計処理部１３が読み込まれたキャプチャファイルに記載されたパケットデータを取得して所定の統計処理を行う（ステップＳ１５）。ステップＳ１２でオフセット時間が指定されている場合は、取得したパケットデータのキャプチャ時刻にオフセット時間を加味する。統計処理の具体例については後述する。なお、キャプチャファイルに復元するデータが存在する場合は、復元部１４がパケットデータを取得して復元データを構成する。

読み込んだキャプチャファイルの処理が終了すると、処理対象となるキャプチャファイルを全て処理したか否か判定し（ステップＳ１６）、まだ処理していないキャプチャファイルが存在する場合は（ステップＳ１６のＮｏ）、ステップＳ１４に戻り次のキャプチャファイルを読み込む。このときメモリ上に読み込まれているキャプチャファイルは処理し終えているので破棄する。

処理対象となるキャプチャファイルを全て処理した場合は（ステップＳ１６のＹｅｓ）、統計処理部１３の解析結果を出力部１５が出力する（ステップＳ１７）。

次に、統計処理部１３による統計処理の具体例について説明する。なお、以下に示す統計情報は一例であり、もちろん他の統計情報を集計するものでもよい。

（１）サービスに関する統計情報
サービスに関する統計情報には、例えばＩＰ電話サービスやＩＰ放送サービスの統計情報がある。

図３に、ＩＰ電話サービスの統計情報の出力例を示す。同図に示すＩＰ電話サービスの統計情報には、総呼数、完了呼の数、不完了呼の数、通話中の呼の数、および平均保留時間がある。総呼数は、キャプチャファイル中のＳＩＰのＩＮＶＩＴＥメッセージの数をカウントして求める。完了呼は正常に終了した呼である。不完了呼は相手が通話中でＢＵＳＹメッセージが返ってきたもの、あるいはＣＡＮＣＥＬメッセージを送信して呼び出しをやめた呼であり、ＳＩＰの該当するメッセージの数をカウントして求める。通話中の呼は、処理対象期間のキャプチャ終了時点で通話中の呼である。平均保留時間は、完了呼における平均通話時間である。

また、ＩＰ電話サービスの別の統計情報としては、呼毎に、開始時間、終了時間、発番号、着番号、および状態などの情報を集計する。開始時間はＩＮＶＩＴＥメッセージが送信された時間、終了時間はＢＹＥメッセージが送信された時間とする。発番号、着番号はＳＩＰのメッセージから抽出する。状態は、発側、着側のどちら側から切断されたのか、ＣＡＮＣＥＬされたのか、あるいはＢＵＳＹであったのかなどの状態を記載する。

各呼に、復元部１４が復元した通話内容へのリンクを備えてもよい。音声データは、ＲＴＰを用いて送受信されるので、復元部１４は、ＲＴＰのパケットからデータを抽出して通話内容を復元する。音声データは、上り下りの２ストリームで送受信されるので、それぞれの音声データへのリンクを備える。

また、パケットデータを表示する別のアプリケーションと連携させ、各呼の開始時間や終了時間の項目を選択することで、パケットファイル中の対応するパケットデータを表示するアプリケーションを起動するようにしてもよい。

ＩＰ放送サービスについては、視聴の開始から終了までをひとまとまりとして、視聴開始時間、終了時間、視聴チャンネル、パケット数、パケットロスの数などの情報を集計する。

（２）アプリケーション層の統計情報
アプリケーション層の統計情報には、例えばＨＴＴＰやＤＮＳの統計情報がある。

図４に、ＨＴＴＰの統計情報の出力例を示す。同図に示すＨＴＴＰの統計情報は、ＨＴＴＰリクエストとＨＴＴＰレスポンスの組みをひとまとまりとして、ＨＴＴＰリクエストの送信時間、ＨＴＴＰレスポンスの受信時間、アクセス種別、接続先アドレス、ドメイン名、ＵＲＩ、応答種別、ファイル名、およびファイルサイズがある。ファイル名には、復元部１４がキャプチャファイルから復元したデータへのリンクを張っておく。

ＤＮＳについては、ＤＮＳＱｕｅｒｙとＤＮＳＲｅｓｐｏｎｓｅの組みをひとまとまりとして、ＤＮＳＱｕｅｒｙの送出時間、ＤＮＳＲｅｓｐｏｎｓｅの受信時間、要求元アドレス、要求ドメイン名、要求タイプ、回答、およびレスポンスタイムなどの情報を集計する。

（３）トランスポート層の統計情報
トランスポート層の統計情報には、例えばＴＣＰセッションやＵＤＰパケットに関する統計情報がある。

ＴＣＰセッションについては、ＴＣＰセッション毎にＳＹＮパケットが送信された時間、ＦＩＮパケットあるいはＲＳＴパケットが送信された時間、ＳＹＮパケット送信元アドレス、ＳＹＮパケット送信先アドレス、およびレスポンスタイムなどの情報を集計する。レスポンスタイムは、ＴＣＰのＳＹＮパケット送信からＳＹＮ／ＡＣＫパケット受信までの時間である。

また、トランスポート層全体の時系列型の統計情報として、ＴＣＰセッション数の遷移、レスポンスタイム（μｓｅｃ）の遷移、およびＴＣＰエラー数（回／秒）の遷移を集計する。図５に、時系列型の情報の表示例を示す。同図に示すグラフは、横軸に時間軸を取り、ＴＣＰセッション数の遷移（点線）、レスポンスタイムの遷移（実線）、およびＴＣＰエラー数の遷移（一点鎖線）を１つの画面に重ねて表示した。ＴＣＰエラー数は、再送や順序逆転などの数である。

（４）通信機器の統計情報
通信機器の統計情報としては、ＩＰアドレス／ＭＡＣアドレスの対応情報やＵＰｎＰアドレス情報がある。

ＩＰアドレス／ＭＡＣアドレスの対応情報は、処理対象のキャプチャファイルに出現するＩＰアドレスとＭＡＣアドレスを対応付けて集計する。

ＵＰｎＰアドレス情報は、ルータ内に作成されたＵＰｎＰテーブルを処理対象のキャプチャファイルから推測する。具体的な情報としては、ＵＰｎＰテーブルが作成または削除された作成時間、内部ＩＰアドレス、内部ポートと外部ＩＰアドレス、外部ポート、およびＭＡＣアドレスがある。これらの情報は、処理対象のキャプチャファイルからＨＴＴＰ−ＳＯＡＰメッセージを有するパケットを抽出することで得られる。

（５）ネットワークの統計情報
ネットワークの統計情報としては、トラヒック量やフラグメントされたパケットの有無などがある。

トラヒック量（ｂｐｓ）は、１秒毎にキャプチャされたパケットの総ビット数を求めて算出する。

フラグメントされたパケットの有無は、パケットのヘッダーのフラグメント・フラグを参照して集計する。

以上説明したように、本実施の形態によれば、複数に分割されたキャプチャファイルを時系列順にメモリ上に読み込んで統計処理し、必要な情報を集計した後はメモリ上から破棄して順次キャプチャファイルを読み込むことにより、複数のキャプチャファイルにまたがるデータを意識せずに解析することができる。

本実施の形態によれば、パケットのキャプチャされた時間を補正するオフセット時間を入力し、統計処理する際にオフセット時間を加味することで、複数のキャプチャファイルのパケットのキャプチャ時間を一括して補正することができる。

本実施の形態によれば、複数の時系列型の統計情報を時間軸を合わせて重ねて表示することで、各統計情報の関連性が比較しやすくなる。

本実施の形態によれば、キャプチャファイルのパケットデータから送受信されるデータを復元する復元部１４を備えることで、複数のキャプチャファイルにまたがったデータを復元し、送受信されたデータを確認できる。

１１…入力部
１２…ファイル操作部
１３…統計処理部
１４…復元部
１５…出力部
２…キャプチャファイル蓄積部

Claims

ネットワーク上を流れるパケットをキャプチャしたパケットデータを記載したキャプチャファイルを解析するキャプチャデータ解析装置であって、
複数に分割された前記キャプチャファイルを時系列順に取得してメモリ上に読み込む読込手段と、
メモリ上に読み込まれた前記キャプチャファイルからパケットデータを取得して統計情報を集計する統計処理手段と、
前記統計処理手段が集計した統計情報を出力する出力手段と、
を有することを特徴とするキャプチャデータ解析装置。
前記出力手段は、前記統計情報のうちの複数の時系列型の統計情報を時間軸を合わせて重ねて表示することを特徴とする請求項１記載のキャプチャデータ解析装置。
前記キャプチャファイルのパケットデータから送受信されるデータを復元する復元手段を有することを特徴とする請求項１又は２記載のキャプチャデータ解析装置。