JP2015080193A - ネットワーク装置およびこれを用いた選別的情報モニタリング方法 - Google Patents

Abstract

【課題】受信されるすべてのパケットから必要な情報（パケットのフィールド情報）だけをユーザがモニタリングできるネットワーク装置およびこれを用いた選別的情報モニタリング方法を提示する。【解決手段】前記ネットワーク装置は、モニタリング対象ホストに接続され、モニタリング対象ホストからネットワークパケットを受信する１つ以上の物理インタフェースと、１つ以上の物理インタフェースを介して収集されるネットワークパケットに対して選別的な情報抽出が可能となるようにフィルタリングするコンフィギュラブルモニタリング部を含むスイッチファブリックモジュールとを含む。【選択図】図１

Description

本発明は、ネットワーク装置およびこれを用いた選別的情報モニタリング方法に関するものであって、より詳細には、選別的情報だけをモニタリングできるネットワーク装置およびこれを用いた選別的情報モニタリング方法に関するものである。

今日のネットワークは、多くのサービスによって多くのセキュリティ脅威にさらされている。このような問題を解決するために、既存のネットワークにセキュリティ装備を追加して運営している。

外部の攻撃を遮断するために、ファイアウォールを用いてネットワークを保護し、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）とＩＰＳ（Ｉｎｔｒｕｓｉｏｎ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ）を用いて外部への侵入の試みおよびハッキングの試みをリアルタイムに探知し防御している。

しかし、今日のネットワークに対する攻撃は、特定ホストのハッキングの試みだけでなく、ネットワークの装備にエラーを誘発してネットワーク不能化を誘発するセキュリティ脅威にもさらされている。このような攻撃を防御するために、ネットワークのパケットをリアルタイムに分析可能な技術および探知可能な技術の開発が行われている。

内部ネット監視のためには、ネットワークスイッチを通過するすべてのトラフィックをモニタリングしなければならない。このために、現在使用可能な方法は、ネットワークスイッチミラーリング手法とタッピング手法がある。

ネットワークスイッチミラーリング手法は、ネットワークスイッチ内のソフトウェアがモニタリング対象パケットをコピーし、モニタリングしようとするスイッチインタフェースに伝送する方式である。これは、トラフィックが多い場合、ネットワークスイッチリソース（ＣＰＵなど）を多く使用し、ネットワークスイッチ自体の性能に問題を起こすことがある。

タッピング手法は、モニタリングしようとするスイッチインタフェースごとにタッピング装備を設け、電気的にパケットをコピーする装備である。この場合、２４個のポートをモニタリングするためには、２４個の装備を設けなければならない。また、２４個のポートでモニタリングしようとするトラフィックを１つのポートに集めてモニタリングするには、トラフィックアグリゲータ（Ａｇｇｒｅｇａｔｏｒ）という別の装備が必要である。すなわち、現実的に線接続が複雑化して管理が難しく、追加装備の価格が非常に高くて導入しにくい。

従来の方式における最大の問題は、モニタリングしようとするトラフィックの量が多い場合、パケットドロップ（Ｄｒｏｐ）が発生するほかない点である。

１Ｇポート２４個ですべてのパケットを１つのトラフィック分析システムがモニタリングしようとする場合、最大２４Ｇｂｐｓを１つのポートに集めてトラフィック分析システムに伝送しなければならない。しかし、スイッチインタフェースが処理可能な最大容量は１Ｇｂｐｓであるので、２３個のインタフェースでミラーリングされる２３Ｇｂｐｓのトラフィックをすべて収集することができない。

このような現象は、トラフィックアグリゲータにおいても類似していて、価格によって、１０Ｇポートを支援するなど、大容量ポートを支援したりするが、このような物理的限界状況は発生するほかない。

関連する先行技術としては、通信データを収集および分析する内容が、大韓民国登録特許第１０−０８１４５４６号（通信データを収集して分析する装置および方法）に開示された。

他の関連する先行技術としては、内部ネットワーク上における有害トラフィックをリアルタイムに見つけ、それに伴う適切な対応を行えるように支援する内容が、大韓民国登録特許第１０−０６７１０４４号（内部ネットワーク上の有害トラフィック分析システムおよび方法）に開示された。

大韓民国登録特許第１０−０８１４５４６号明細書 大韓民国登録特許第１０−０６７１０４４号明細書

本発明は、上記の従来の問題を解決するためになされたものであって、受信されるすべてのパケットから必要な情報（パケットのフィールド情報）だけをユーザがモニタリングできるネットワーク装置およびこれを用いた選別的情報モニタリング方法を提供することを目的とする。

上記の目的を達成するために、本発明の好ましい実施態様にかかるネットワーク装置は、モニタリング対象ホストに接続され、前記モニタリング対象ホストからネットワークパケットを受信する１つ以上の物理インタフェースと、前記１つ以上の物理インタフェースを介して収集されるネットワークパケットに対して選別的な情報抽出が可能となるようにフィルタリングするコンフィギュラブルモニタリング部を含むスイッチファブリックモジュールとを含む。

好ましくは、前記コンフィギュラブルモニタリング部は、入力されるモニタリング設定情報に基づいて、前記１つ以上の物理インタフェースを介して収集されるネットワークパケットからモニタリングする情報だけを抽出するパケット情報フィルタリング部と、前記パケット情報フィルタリング部から抽出したモニタリング情報を、前記モニタリング設定情報内の伝送方式に従って伝送する情報伝送部とを含むことができる。

好ましくは、前記モニタリング設定情報は、モニタリングするパケットの条件を含むモニタリング対象と、前記収集されたネットワークパケットからどの情報だけをモニタリングするかを決定するモニタリング情報と、前記モニタリング情報をどのインタフェースに伝送するかおよびモニタリング情報伝送方式を決定するモニタリング方式とを含むことができる。

好ましくは、前記モニタリング対象は、モニタリングする前記物理インタフェースの名称と、それぞれの物理インタフェースで前記モニタリングするパケットがインバウンドであるか、アウトバウンドであるかを明示した情報とを含むことができる。

好ましくは、前記モニタリング情報は、レイヤ２パケットの情報抽出の場合、プリアンブル、開始フィールド、目的地ＭＡＣ、送信元ＭＡＣ、および長さタイプを含むことができる。

好ましくは、前記モニタリング情報は、レイヤ３パケットの情報抽出の場合、送信元ＩＰアドレス、宛先ＩＰアドレス、ヘッダ長さ、プロトコル番号、およびＴＴＬを含むことができる。

好ましくは、前記モニタリング情報は、レイヤ４パケットの情報抽出の場合、送信元ポート、宛先ポート、シーケンスナンバー、ＡＣＫナンバー、およびフラグを含むことができる。

好ましくは、前記モニタリング情報伝送方式は、前記ネットワークパケットの形態をそのまま維持する単一パケットコピー方式、前記単一パケットコピー方式でコピーした部分を、ユーザの所望するプロトコルを用いてモニタリング情報受信装備に伝送する単一パケットコピー遠隔伝送方式、前記モニタリング情報受信装備に、特定のプロトコルを用いて前記ネットワークパケットのモニタリング情報だけをモニタリング対象パケットが発生する度に伝送する単一パケット情報遠隔伝送方式、および複数のパケットのモニタリング情報を１つのパケットに集めて伝送する複数パケット情報遠隔伝送方式のうちの１つであってよい。

好ましくは、前記モニタリング情報は、前記１つ以上の物理インタフェースを介して収集されるネットワークパケットのタイムスタンプと、どの物理インタフェースを介して入ったネットワークパケットであるかを示すインタフェース名とを含むことができる。

本発明の好ましい実施態様にかかる選別的情報モニタリング方法は、モニタリング対象ホストに接続された１つ以上の物理インタフェースが、前記モニタリング対象ホストからのネットワークパケットを受信するステップと、コンフィギュラブルモニタリング部が、前記１つ以上の物理インタフェースを介して収集されるネットワークパケットに対して選別的な情報抽出が可能となるようにフィルタリングするステップとを含む。

好ましくは、前記選別的な情報抽出が可能となるようにフィルタリングするステップは、入力されるモニタリング設定情報に基づいて、前記１つ以上の物理インタフェースを介して収集されるネットワークパケットからモニタリングする情報だけを抽出するステップと、前記抽出したモニタリング情報を、前記モニタリング設定情報内の伝送方式に従って伝送するステップとを含むことができる。

このような構成の本発明によれば、正確なトラフィック分析のために、パケットドロップ（ｐａｃｋｅｔ ｄｒｏｐ）なくすべてのパケットから特定情報をモニタリングできるため、パケットからトラフィック分析システムの所望する（すなわち、ユーザの所望する）情報だけをモニタリング可能とする。
これにより、モニタリングのために伝送するトラフィックの量が減少し、すべてのパケットの情報をモニタリング可能とする。

本発明の実施形態にかかるネットワーク装置の構成図である。 図１に示されたコンフィギュラブルモニタリング部の内部構成図である。 本発明の実施形態に採用されるパケットのモニタリング対象情報を例示した図である。 モニタリング対象情報の中から一部だけをモニタリング情報として決定する方式を説明する図である。 単一パケットコピー方式と単一パケットコピー遠隔伝送方式の比較を示した図である。 単一パケット情報遠隔伝送の例を示した図である。 複数パケット情報遠隔伝送の例を示した図である。 本発明の実施形態にかかる選別的情報モニタリング方法を説明するフローチャートである。

本発明は、多様な変更を加えることができ、様々な実施形態を有することができるが、特定の実施形態を図面に例示および詳細に説明する。

しかし、これは、本発明を特定の実施形態に対して限定しようとするのではなく、本発明の思想および技術範囲に含まれるすべての変更、均等物または代替物を含むことが理解されなければならない。

本出願で使用された用語は、単に特定の実施形態を説明するために使用されたものであり、本発明を限定しようとするものではない。単数の表現は、文脈上別途に明示されない限り、複数の表現を含む。本出願において、「含む」または「有する」などの用語は、明細書上に記載された特徴、数字、段階、動作、構成要素、部品またはこれらを組み合わせたものが存在することを指すものであり、１つまたはそれ以上の他の特徴や数字、段階、動作、構成要素、部品またはこれらを組み合わせたものの存在または付加の可能性を予め排除しないことが理解されなければならない。

別途に定義されない限り、技術的または科学的な用語を含み、ここで使用されるすべての用語は、本発明の属する技術分野における通常の知識を有する者によって一般的に理解されるものと同じ意味を有している。一般的に使用される、辞書に定義されているような用語は、関連技術の文脈上有する意味と一致する意味を有すると解釈されなければならず、本出願で明らかに定義しない限り、理想的または過度に形式的な意味で解釈されない。

以下、添付した図面を参照して、本発明の好ましい実施形態をより詳細に説明する。本発明を説明するにあたり、全体的な理解を容易にするために、図面上の同一の構成要素については同一の参照符号を使用し、同一の構成要素について重複した説明は省略する。

図１は、本発明の実施形態にかかるネットワーク装置の構成図であり、図２は、図１に示されたコンフィギュラブルモニタリング部の内部構成図であり、図３は、本発明の実施形態に採用されるパケットのモニタリング対象情報を例示した図であり、図４は、モニタリング対象情報の中から一部だけをモニタリング情報として決定する方式を説明する図であり、図５は、単一パケットコピー方式と単一パケットコピー遠隔伝送方式の比較を示した図であり、図６は、単一パケット情報遠隔伝送の例を示した図であり、図７は、複数パケット情報遠隔伝送の例を示した図である。

図１において、本発明の実施形態にかかるネットワーク装置は、物理（ＰＨＹ）インタフェース１０と、管理インタフェース１２と、管理部１４と、中央処理装置１６と、メモリ１８と、電源部２０と、スイッチファブリックモジュール２２とを含む。

物理（ＰＨＹ）インタフェース１０は、モニタリング対象ホスト（図示せず）に接続される物理的なインタフェースである。物理インタフェース１０は、モニタリング対象ホストからネットワークパケットを受信することができる。物理インタフェース１０は複数個から構成できる。

管理インタフェース１２は、管理部１４の設定および管理のための物理的インタフェースである。

中央処理装置１６は、ソフトウェア命令などを処理し、演算を担当する機能を果たす。

メモリ１８は、ソフトウェア命令などの情報を一時的に格納する。

電源部２０は、本発明の装置を駆動するための電源を提供する物理的インタフェースである。

スイッチファブリックモジュール２２は、コンフィギュラブルモニタリング部（Ｃｏｎｆｉｇｕｒａｂｌｅ Ｍｏｎｉｔｏｒｉｎｇ Ｍｏｄｕｌｅ）（ＣＭＭ）２４と、スイッチング部（Ｓｗｉｔｃｈｉｎｇ Ｍｏｄｕｌｅ）（ＳＭ）２６とを含む。ここで、コンフィギュラブルモニタリング部２４は、１つ以上の物理インタフェース１０を介して収集されるネットワークパケットに対して必要な情報だけを選別的に抽出可能にフィルタリングを行うモジュールである。スイッチング部２６は、物理的に接続されたモニタリング対象ホストのネットワーク接続のためのスイッチング機能を担当する。コンフィギュラブルモニタリング部２４およびスイッチング部２６は、それぞれ個別的なモジュール形態で構成できる。

一方、コンフィギュラブルモニタリング部２４は、図２のように、パケット情報フィルタリング部２４ａと、情報伝送部２４ｂとを含む。

パケット情報フィルタリング部２４ａは、管理部１４を介してユーザの決定したモニタリング設定情報に基づいて、当該ネットワーク装置で収集したパケットからモニタリングする情報だけを抽出する。すなわち、パケット情報フィルタリング部２４ａは、管理部１４を介して入力されるパケット情報フィルタリング命令（モニタリング設定情報を含む）に基づいて、１つ以上の物理インタフェース１０を介して収集されるネットワークパケットからモニタリングする情報だけを抽出する。

情報伝送部２４ｂは、パケット情報フィルタリング部２４ａから抽出したモニタリング情報を、モニタリング設定情報内の伝送方式に従ってモニタリング情報受信装備（図示せず）に伝送する。

パケット情報フィルタリング部２４ａに入力されるモニタリング設定情報のために、ユーザが決定すべき事項は、モニタリング対象、モニタリング情報、およびモニタリング方式である。

モニタリング対象とは、下記の表１に示す、モニタリングするパケットの条件を意味する。

モニタリング情報とは、パケットからどの情報だけをモニタリングするかを決定するものである。当該情報に基づいてパケット全体をモニタリングするか、パケットの一部情報だけをモニタリングする。

パケットからモニタリングする情報は、図３のように例示することができる。ユーザは、図４のように、モニタリング対象情報の中から一部だけをモニタリング情報として設定する。図４をみると、モニタリング情報は、１つ以上の物理インタフェースを介して収集されるネットワークパケットのタイムスタンプ（ｔｉｍｅｓｔａｍｐ；Ｔ）と、どの物理インタフェースを介して入ったネットワークパケットであるかを示すインタフェース名（Ｐ）とを含むことができる。タイムスタンプ（Ｔ）は、パケットがネットワーク装置に到着した時間と見なしてもよい。

ここで、モニタリング情報に設定されるべき情報がレイヤ２パケットの情報の場合（すなわち、レイヤ（Ｌａｙｅｒ）２パケットの情報抽出の場合）は、｛“プリアンブル”、“ＳＯＦ”、“目的地ＭＡＣ”、“送信元ＭＡＣ”、“長さ／タイプ”｝を基準としてパケットの選別が可能である。

“プリアンブル”は、イーサネット（登録商標）フレームが伝送されたかを知らせる機能を担当するフィールドである。

“ＳＯＦ（Ｓｔａｒｔ ｏｆ Ｆｒａｍｅ）”は、フレームの開始を知らせる役割を果たすフィールドである。

“目的地ＭＡＣ”は、目的地ホストのハードウェアのアドレスである。

“送信元ＭＡＣ”は、送信元ホストのハードウェアのアドレスである。

“長さ／タイプ”は、フレームのデータ長さとプロトコルのイーサタイブ（Ｅｔｈｅｒ Ｔｙｐｅ）値を示す。イーサタイプ値は、使用する通信プロトコルに関する内容であって、ＩＰｖ４、ＡＲＰ、Ａｐｐｌｅｔａｌｋ、ＩＥＥＥ８０２．１Ｑ ＩＰｖ６などの通信プロトコルに関する内容を含んでいる。

一方、モニタリング情報に設定されるべき情報がレイヤ３パケットの情報の場合（すなわち、レイヤ（Ｌａｙｅｒ）３パケットの情報抽出の場合）は、ネットワークセッションに関する抽出情報で、ＩＰヘッダのフィールドを基準として選別するものである。本発明では、通信の接続性とモニタリングに必要なフィールドを｛“送信元ＩＰアドレス”、“宛先ＩＰアドレス”、“ヘッダ長さ”、“プロトコル番号”、“ＴＴＬ”｝を基準として選別が可能である。

“送信元ＩＰアドレス”は、パケットの送信元ＩＰアドレスである。

“宛先ＩＰアドレス”は、パケットの宛先ＩＰアドレスである。

“ヘッダ長さ”は、当該パケットのＩＰヘッダの長さである。

“プロトコル”は、当該パケットのプロトコル形態に関するもので、ＴＣＰ、ＵＤＰ、ＩＣＭＰなどのプロトコルの番号を表す。

“ＴＴＬ”は、ネットワークのパケットの生存期間を表す。

一方、モニタリング情報に設定されるべき情報がレイヤ４パケットの情報の場合（すなわち、レイヤ（Ｌａｙｅｒ）４パケットの情報抽出の場合）は、「送信元ポート」、「宛先ポート」、「シーケンスナンバー」、「ＡＣＫナンバー」、「フラグ」フィールドの情報を使用する。

“送信元ポート”は、送信元のポートナンバーである。

“宛先ポート”は、宛先のポートナンバーである。

“シーケンスナンバー”は、パケットの応答番号および確認番号である。

“ＡＣＫナンバー”は、パケットの応答番号である。

“フラグ”は、ヘッダにおいてデータの流れおよび接続制御に関するものであって、略８Ｂｉｔを用いる。「フラグ」フィールドは、ＣＷＲ、ＥＣＥ、ＵＲＧ、ＡＣＫ、ＰＳＨ、ＲＳＴ、ＳＹＮ、ＦＩＮに分類できる。

そして、モニタリング方式では、モニタリング情報をネットワーク装備のどのインタフェースに伝送するかおよびモニタリング情報伝送方式を決定しなければならない。ここで、モニタリング情報伝送方式は、下記の表２の通り、４つあり得る。

表２において、「単一パケットコピー」は、ミラーリングやタッピング装備のように、モニタリング対象パケットの形態をそのまま維持する方式である。管理部１４の設定により、モニタリング情報に基づいてモニタリング対象パケットの一部分は除外できる。

「単一パケットコピー遠隔伝送」は、「単一パケットコピー」方式でコピーした部分を、ユーザの所望するプロトコルを用いて本発明で提案するネットワーク装置がモニタリング情報を受信する装備に伝送する方式である。

図５は、「単一パケットコピー」方式と「単一パケットコピー遠隔伝送」方式（ＵＤＰプロトコルの使用時）を簡単に比較した図である。この時、ＭＡＣヘッダ（ＭＡＣ ｈｅａｄｅｒ）、ＩＰヘッダ（ＩＰ ｈｅａｄｅｒ）、ＵＤＰヘッダ（ＵＤＰ ｈｅａｄｅｒ）において、送信元ＭＡＣ（ｓｒｃ ＭＡＣ）、送信元ＩＰ（ｓｒｃ ＩＰ）、送信元ポート（ｓｒｃ ｐｏｒｔ）は、本発明で提案するネットワーク装置に関する情報であり、宛先ＭＡＣ（ｄｓｔ ＭＡＣ）、宛先ＩＰ（ｄｓｔ ＩＰ）、宛先ポート（ｄｓｔ ｐｏｒｔ）は、モニタリング情報を受信する装備に関する情報を意味する。

一方、「単一パケット情報遠隔伝送」は、本発明で提案するネットワーク装置が、モニタリング情報を受信する装備に、特定のプロトコルを用いてモニタリング対象パケットのモニタリング情報だけをモニタリング対象パケットが発生する度に伝送するものである。

図６は、「単一パケット情報遠隔伝送」の例である。伝送プロトコルがＵＤＰであり、モニタリング情報がタイムスタンプ（Ｔ）、送信元ＩＰ（Ｓｒｃ ＩＰ）、目的地ＩＰ（Ｄｓｔ ＩＰ）の場合、当該情報だけをＵＤＰペイロード（ＵＤＰ ｐａｙｌｏａｄ）部分を利用して伝送するものである。この時、ＭＡＣヘッダ（ＭＡＣ ｈｅａｄｅｒ）、ＩＰヘッダ（ＩＰ ｈｅａｄｅｒ）、ＵＤＰヘッダ（ＵＤＰ ｈｅａｄｅｒ）において、送信元ＭＡＣ（ｓｒｃ ＭＡＣ）、送信元ＩＰ（ｓｒｃ ＩＰ）、送信元ポート（ｓｒｃ ｐｏｒｔ）は、本発明で提案するネットワーク装置に関する情報であり、宛先ＭＡＣ（ｄｓｔ ＭＡＣ）、宛先ＩＰ（ｄｓｔ ＩＰ）、宛先ポート（ｄｓｔ ｐｏｒｔ）は、モニタリング情報を受信する装備に関する情報を意味する。

このようにする場合、本発明で提案するネットワーク装置とモニタリング情報を受信する装備とがネットワーク上に接続されてさえいれば、遠隔での伝送が可能である利点がある。また、モニタリング情報にタイムスタンプ（Ｔ）を含んで伝送するため、モニタリング情報の伝送から発生する時間のディレイに関係なく、モニタリング対象パケットが本発明で提示するネットワーク装置に到着する時刻情報を正確に知ることができる利点がある。

そして、「複数パケット情報遠隔伝送」は、「単一パケット情報遠隔伝送」と類似の方式であるが、複数のパケットのモニタリング情報を１つのパケットに集めて伝送する方式である。

図７は、「複数パケット情報遠隔伝送」の例を示す。モニタリング情報が決定されており、１つのパケットで伝送可能な最大容量を決定すると、１つのパケットで複数のモニタリングパケットの情報を伝送可能であるかを知ることができる。このようにすれば、１つのパケットで複数のモニタリング対象パケットの情報を伝送することができ、モニタリング情報伝送量および速度（ｐｐｓ、ｐａｃｋｅｔ ｐｅｒ ｓｅｃｏｎｄ）を大きく減少させることができる。特に、ｐｐｓの減少は、モニタリング情報受信システムの性能の限界による、受信過程でのパケットドロップ（ｐａｃｋｅｔ ｄｒｏｐ）などの問題を低減することができる。

図８は、本発明の実施形態にかかる選別的情報モニタリング方法を説明するフローチャートである。

まず、Ｓ１０において、物理（ＰＨＹ）インタフェース１０がモニタリング対象ホスト（図示せず）からパケットを受信する。物理（ＰＨＹ）インタフェース１０は、入力されたパケットをスイッチファブリックモジュール２２のコンフィギュラブルモニタリング部２４に送る。

Ｓ１２において、コンフィギュラブルモニタリング部２４は、モニタリング対象ホストであるか否かを、管理部１４で設定された情報に基づいてモニタリング対象ホストをモニタリングするか否かを決定する。

仮に、モニタリング対象ホストでない場合には、モニタリングを行わず（Ｓ１４）、モニタリング対象ホストであれば、コンフィギュラブルモニタリング部２４は、図３および図４の形態でモニタリング情報の抽出を行う（Ｓ１６）。

次に、Ｓ１８において、コンフィギュラブルモニタリング部２４は、モニタリング情報の抽出が完了すると、モニタリング伝送方式を確認する。ここで、モニタリング伝送方式は、表２のような方式で決定して処理する。これは、モニタリング対象パケットの場合、パケット全体をモニタリングするか、それとも一部情報だけをモニタリングするかを決定して処理する。

コンフィギュラブルモニタリング部２４は、管理部１４のパケットモニタリング設定情報に基づいて単一パケットコピー伝送が設定されていれば、モニタリング対象パケットから、モニタリング情報を含むように、モニタリング対象パケットの最初から一定バイトまでだけ、またはモニタリング対象パケットの全体をコピーして伝送する（Ｓ２０）。

コンフィギュラブルモニタリング部２４は、管理部１４のパケットモニタリング設定情報に基づいて単一パケットコピー遠隔伝送が設定されていれば、モニタリング対象パケットから、モニタリング情報を含むように、モニタリング対象パケットの最初から一定バイトまでだけ、またはモニタリング対象パケットの全体をコピーし、特定のプロトコルを用いて伝送する（Ｓ２２）。

コンフィギュラブルモニタリング部２４は、管理部１４のパケットモニタリング設定情報に基づいて単一パケット情報遠隔伝送が設定されていれば、プロトコルによってヘッダを生成し、モニタリング情報を追加して伝送する（Ｓ２４）。

コンフィギュラブルモニタリング部２４は、管理部１４のパケットモニタリング設定情報に基づいて複数パケット情報遠隔伝送が設定されていれば、用意された伝送パケットがあるかを確認する（Ｓ２６）。

Ｓ２６での確認の結果、用意された伝送パケットがなければ、コンフィギュラブルモニタリング部２４は、プロトコルによってヘッダを生成し、モニタリング情報を追加した伝送パケットを生成する（Ｓ２８）。Ｓ２８では、生成した伝送パケットを伝送しない。

Ｓ２６での確認の結果、用意された伝送パケットがあれば、伝送パケットにモニタリング情報が追加可能であるかを確認する（Ｓ３０）。

仮に、伝送パケットにモニタリング情報を追加できれば、コンフィギュラブルモニタリング部２４は、伝送パケットにモニタリング情報を追加する（Ｓ３２）。

逆に、伝送パケットにモニタリング情報を追加できなければ、コンフィギュラブルモニタリング部２４は、現在までの伝送パケットを伝送する（Ｓ３４）。

以上、図面および明細書で最適な実施形態が開示された。ここで、特定の用語が使用されたが、これは、単に本発明を説明するための目的で使用されたものであり、意味の限定や特許請求の範囲に記載された本発明の範囲を制限するために使用されたものではない。そのため、本技術分野における通常の知識を有する者であれば、これから多様な変形および均等な他の実施形態が可能である点を理解することができる。したがって、本発明の真の技術的保護範囲は、添付した特許請求の範囲の技術的思想によって定められなければならない。

１０：物理インタフェース
１２：管理インタフェース
１４：管理部
１６：中央処理装置
１８：メモリ
２０：電源部
２２：スイッチファブリックモジュール
２４：コンフィギュラブルモニタリング部
２６：スイッチング部
２４ａ：パケット情報フィルタリング部
２４ｂ：情報伝送部

Claims (18)

1. モニタリング対象ホストに接続され、前記モニタリング対象ホストからネットワークパケットを受信する１つ以上の物理インタフェースと、
   前記１つ以上の物理インタフェースを介して収集されるネットワークパケットに対して選別的な情報抽出が可能となるようにフィルタリングするコンフィギュラブルモニタリング部を含むスイッチファブリックモジュールとを含むことを特徴とする、ネットワーク装置。
2. 前記コンフィギュラブルモニタリング部は、
   入力されるモニタリング設定情報に基づいて、前記１つ以上の物理インタフェースを介して収集されるネットワークパケットからモニタリングする情報だけを抽出するパケット情報フィルタリング部と、
   前記パケット情報フィルタリング部から抽出したモニタリング情報を、前記モニタリング設定情報内の伝送方式に従って伝送する情報伝送部とを含むことを特徴とする、請求項１に記載のネットワーク装置。
3. 前記モニタリング設定情報は、モニタリングするパケットの条件を含むモニタリング対象と、前記収集されたネットワークパケットからどの情報だけをモニタリングするかを決定するモニタリング情報と、前記モニタリング情報をどのインタフェースに伝送するかおよびモニタリング情報伝送方式を決定するモニタリング方式とを含むことを特徴とする、請求項２に記載のネットワーク装置。
4. 前記モニタリング対象は、モニタリングする前記物理インタフェースの名称と、それぞれの物理インタフェースで前記モニタリングするパケットがインバウンドであるか、アウトバウンドであるかを明示した情報とを含むことを特徴とする、請求項３に記載のネットワーク装置。
5. 前記モニタリング情報は、レイヤ２パケットの情報抽出の場合、プリアンブル、開始フィールド、目的地ＭＡＣ、送信元ＭＡＣ、および長さタイプを含むことを特徴とする、請求項３に記載のネットワーク装置。
6. 前記モニタリング情報は、レイヤ３パケットの情報抽出の場合、送信元ＩＰアドレス、宛先ＩＰアドレス、ヘッダ長さ、プロトコル番号、およびＴＴＬを含むことを特徴とする、請求項３に記載のネットワーク装置。
7. 前記モニタリング情報は、レイヤ４パケットの情報抽出の場合、送信元ポート、宛先ポート、シーケンスナンバー、ＡＣＫナンバー、およびフラグを含むことを特徴とする、請求項３に記載のネットワーク装置。
8. 前記モニタリング情報伝送方式は、
   前記ネットワークパケットの形態をそのまま維持する単一パケットコピー方式、前記単一パケットコピー方式でコピーした部分を、ユーザの所望するプロトコルを用いてモニタリング情報受信装備に伝送する単一パケットコピー遠隔伝送方式、前記モニタリング情報受信装備に、特定のプロトコルを用いて前記ネットワークパケットのモニタリング情報だけをモニタリング対象パケットが発生する度に伝送する単一パケット情報遠隔伝送方式、および複数のパケットのモニタリング情報を１つのパケットに集めて伝送する複数パケット情報遠隔伝送方式のうちの１つであることを特徴とする、請求項３に記載のネットワーク装置。
9. 前記モニタリング情報は、前記１つ以上の物理インタフェースを介して収集されるネットワークパケットのタイムスタンプと、どの物理インタフェースを介して入ったネットワークパケットであるかを示すインタフェース名とを含むことを特徴とする、請求項２に記載のネットワーク装置。
10. モニタリング対象ホストに接続された１つ以上の物理インタフェースが、前記モニタリング対象ホストからのネットワークパケットを受信するステップと、
    コンフィギュラブルモニタリング部が、前記１つ以上の物理インタフェースを介して収集されるネットワークパケットに対して選別的な情報抽出が可能となるようにフィルタリングするステップとを含むことを特徴とする、選別的情報モニタリング方法。
11. 前記選別的な情報抽出が可能となるようにフィルタリングするステップは、
    入力されるモニタリング設定情報に基づいて、前記１つ以上の物理インタフェースを介して収集されるネットワークパケットからモニタリングする情報だけを抽出するステップと、
    前記抽出したモニタリング情報を、前記モニタリング設定情報内の伝送方式に従って伝送するステップとを含むことを特徴とする、請求項１０に記載の選別的情報モニタリング方法。
12. 前記モニタリング設定情報は、モニタリングするパケットの条件を含むモニタリング対象と、前記収集されたネットワークパケットからどの情報だけをモニタリングするかを決定するモニタリング情報と、前記モニタリング情報をどのインタフェースに伝送するかおよびモニタリング情報伝送方式を決定するモニタリング方式とを含むことを特徴とする、請求項１１に記載の選別的情報モニタリング方法。
13. 前記モニタリング対象は、モニタリングする前記物理インタフェースの名称と、それぞれの物理インタフェースで前記モニタリングするパケットがインバウンドであるか、アウトバウンドであるかを明示した情報とを含むことを特徴とする、請求項１２に記載の選別的情報モニタリング方法。
14. 前記モニタリング情報は、レイヤ２パケットの情報抽出の場合、プリアンブル、開始フィールド、目的地ＭＡＣ、送信元ＭＡＣ、および長さタイプを含むことを特徴とする、請求項１２に記載の選別的情報モニタリング方法。
15. 前記モニタリング情報は、レイヤ３パケットの情報抽出の場合、送信元ＩＰアドレス、宛先ＩＰアドレス、ヘッダ長さ、プロトコル番号、およびＴＴＬを含むことを特徴とする、請求項１２に記載の選別的情報モニタリング方法。
16. 前記モニタリング情報は、レイヤ４パケットの情報抽出の場合、送信元ポート、宛先ポート、シーケンスナンバー、ＡＣＫナンバー、およびフラグを含むことを特徴とする、請求項１２に記載の選別的情報モニタリング方法。
17. 前記モニタリング情報伝送方式は、
    前記ネットワークパケットの形態をそのまま維持する単一パケットコピー方式、前記単一パケットコピー方式でコピーした部分を、ユーザの所望するプロトコルを用いてモニタリング情報受信装備に伝送する単一パケットコピー遠隔伝送方式、前記モニタリング情報受信装備に、特定のプロトコルを用いて前記ネットワークパケットのモニタリング情報だけをモニタリング対象パケットが発生する度に伝送する単一パケット情報遠隔伝送方式、および複数のパケットのモニタリング情報を１つのパケットに集めて伝送する複数パケット情報遠隔伝送方式のうちの１つであることを特徴とする、請求項１２に記載の選別的情報モニタリング方法。
18. 前記モニタリング情報は、前記１つ以上の物理インタフェースを介して収集されるネットワークパケットのタイムスタンプと、どの物理インタフェースを介して入ったネットワークパケットであるかを示すインタフェース名とを含むことを特徴とする、請求項１１に記載の選別的情報モニタリング方法。

Images