JP2019097069A - Format converter and format conversion program - Google Patents
Format converter and format conversion program Download PDFInfo
- Publication number
- JP2019097069A JP2019097069A JP2017226004A JP2017226004A JP2019097069A JP 2019097069 A JP2019097069 A JP 2019097069A JP 2017226004 A JP2017226004 A JP 2017226004A JP 2017226004 A JP2017226004 A JP 2017226004A JP 2019097069 A JP2019097069 A JP 2019097069A
- Authority
- JP
- Japan
- Prior art keywords
- packet
- unit
- protocol
- protocol stack
- header
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
Description
本発明は、フォーマット変換装置及びフォーマット変換プログラムに関する。 The present invention relates to a format conversion device and a format conversion program.
近年、インターネットの普及に伴い、ＤＤｏＳ攻撃が急増している。このような攻撃に対する解析ツールとして、Mitigation装置やＩＤＳ(Intrusion Detection System)やＷＡＦ(Web Application Firewall)等の解析ツールが使用される。 In recent years, with the spread of the Internet, DDoS attacks are rapidly increasing. As an analysis tool for such an attack, analysis tools such as a mitigation apparatus, IDS (Intrusion Detection System), WAF (Web Application Firewall), etc. are used.
この一般の解析ツールでは、パケット転送においてトンネリングを行っているネットワークに対し、トンネルプロトコルをサポートしていない場合があった。そこで、従来、トンネルプロトコルをサポートしていない解析ツールでもパケットを解析できるようにするために、パケットのトンネルプロトコルを検知してプロトコルヘッダ部分を削除し、パケットフォーマットを変換する技術が提案されている（例えば、非特許文献１，２参照）。
In this general analysis tool, there is a case where the tunneling protocol is not supported for the network performing tunneling in packet transfer. Therefore, in order to make it possible to analyze a packet even by an analysis tool that does not support the tunnel protocol, a technology has been proposed which detects the tunnel protocol of the packet, deletes the protocol header portion, and converts the packet format (For example, refer
図４８は、従来技術に係るフォーマット変換装置の処理を説明する図である。図４８に示すように、例えば、ネットワークからは、トンネリングのためにEtherヘッダ以降に任意のプロトコルヘッダがスタックされたパケットが入力される。そして、解析ツール２０Ｐの解析対象がインナーパケット（IPv4）Ｐａ，Ｐｂである場合には、インナーパケット（IPv4）以外のプロトコルヘッダが削除されたパケットを解析ツール２０Ｐに入力する必要がある。
FIG. 48 is a diagram for explaining the process of the format conversion device according to the prior art. As shown in FIG. 48, for example, from the network, a packet in which an arbitrary protocol header is stacked after the Ether header is input for tunneling. Then, when the analysis target of the
しかしながら、従来技術に係るフォーマット変換装置１０Ｐは、変換可能なトンネルパケットが限定されていた（図４８の（１）参照）。具体的には、フォーマット変換装置１０Ｐでは、削除可能なプロトコルヘッダの種類が限定されていた。このため、フォーマット変換装置１０Ｐは、変換対象ではないパケットＣ１が入力されると、パケットＣ１のフォーマットを変換できずにそのまま解析ツール２０Ｐに出力していた。この場合、解析ツール２０Ｐでは、このパケットＣ１については、解析不能となっていた（図４８の（２）参照）。
However, in the format conversion device 10P according to the prior art, the convertible tunnel packet is limited (see (1) in FIG. 48). Specifically, in the format conversion device 10P, the types of deletable protocol headers are limited. Therefore, when the packet C1 which is not the conversion target is input, the format conversion device 10P can not convert the format of the packet C1 and outputs the packet C1 as it is to the
また、従来技術に係るフォーマット変換装置１０Ｐは、多段でカプセル化されているパケットの場合は一段のみしかプロトコルヘッダが削除できなかった（図４８の（３）参照）。例えば、フォーマット変換装置１０Ｐは、多段のパケットＣ２が入力されると、プロトコルヘッダのうちカプセルヘッダ（MPLS）一段しか削除できなかった。この場合、解析ツール２０Ｐでは、フォーマット変換装置１０Ｐから出力されたパケットＣ２Ｐ´については、カプセルヘッダ（IPv6）が残存しているため、解析不能となる（図４８の（２）参照）。
Further, in the case of a packet encapsulated in multiple stages, the format conversion device 10P according to the prior art can delete the protocol header only in one stage (see (3) in FIG. 48). For example, when the multistage packet C2 is input, the format conversion device 10P can delete only one capsule header (MPLS) of the protocol headers. In this case, the
このように、従来のフォーマット変換装置１０Ｐは、入力されたトンネルパケットによっては、解析ツール２０Ｐが解析可能であるフォーマットに変換することができない場合があった。
As described above, the conventional format conversion device 10P may not be able to convert into a format that can be analyzed by the
本発明は、上記に鑑みてなされたものであって、フォーマットによらず、入力されたトンネルパケットを、解析ツールが解析可能であるフォーマットに変換することができるフォーマット変換装置及びフォーマット変換プログラムを提供することを目的とする。 The present invention has been made in view of the above, and provides a format conversion apparatus and a format conversion program capable of converting an input tunnel packet into a format that can be analyzed by an analysis tool regardless of the format. The purpose is to
上述した課題を解決し、目的を達成するために、本発明に係るフォーマット変換装置は、パケットを解析する解析装置の前段に設けられたフォーマット変換装置であって、トンネリングを行うためにEtherヘッダ以降に付加された任意のプロトコルヘッダがスタックされたパケットの入力を受け付ける入力部と、予め作成された判別ルールにしたがって、入力されたパケットの各プロトコルヘッダの種別と配置とを示すプロトコルスタックパターンを判別する判別部と、判別部によって判別されたプロトコルスタックパターンを基に、パケットのフォーマットを、解析装置の解析対象以外のプロトコルヘッダを除外したフォーマットに変換する変換部と、変換部がフォーマットを変換したパケットを解析装置に出力する出力部と、を有することを特徴とする。 In order to solve the problems described above and to achieve the object, the format conversion device according to the present invention is a format conversion device provided in the front stage of an analysis device for analyzing packets, and for performing tunneling following Ether header The protocol stack pattern indicating the type and arrangement of each protocol header of the input packet is determined according to the input unit that receives the input of the packet in which the optional protocol header added to is stacked and the identification rule created in advance A converting unit that converts the format of the packet into a format excluding the protocol header other than the analysis target of the analysis device based on the determining unit, the protocol stack pattern determined by the determining unit, and the converting unit converts the format And an output unit for outputting the packet to the analysis device And features.
本発明によれば、フォーマットによらず、入力されたトンネルパケットを、解析ツールが解析可能であるフォーマットに変換することができる。 According to the present invention, regardless of the format, an input tunnel packet can be converted into a format that can be analyzed by an analysis tool.
以下、図面を参照して、本発明の一実施形態を詳細に説明する。なお、この実施の形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。 Hereinafter, an embodiment of the present invention will be described in detail with reference to the drawings. The present invention is not limited by the embodiment. Further, in the description of the drawings, the same portions are denoted by the same reference numerals.
［実施の形態１］
［通信システムの概要］
まず、図１を用いて、実施の形態１に係る通信システムの構成について説明する。図１は、実施の形態に係る通信システムの構成の一例を示す図である。
First Embodiment
[Overview of communication system]
First, the configuration of the communication system according to the first embodiment will be described using FIG. FIG. 1 is a diagram illustrating an example of a configuration of a communication system according to an embodiment.
図１に示すように、通信システム１は、ネットワークＮと、解析装置２０との間に、フォーマット変換装置１０が設けられた構成を有する。
As shown in FIG. 1, the
解析装置２０は、ＩＤＳ、ＷＡＦ等の攻撃に対する解析ツールを有する装置である。本実施の形態１では、解析装置２０は、トンネルプロトコルをサポートしていない解析ツールを有する場合を例に説明する。
The
フォーマット変換装置１０は、解析装置２０の前段に設けられる。フォーマット変換装置１０は、ネットワークＮを介して入力されたトンネルパケットを、フォーマットによらず、解析装置２０が解析可能であるフォーマットに変換する。そして、フォーマット変換装置１０は、変換後のパケットを解析装置２０に出力することで、トンネルプロトコルをサポートしていない解析装置２０でもパケットを解析できるようにしている。具体的には、フォーマット変換装置１０は、トンネリングを行うためにEtherヘッダ以降に付加された任意のプロトコルヘッダがスタックされたパケットから、解析装置２０の解析対象以外のプロトコルヘッダを除外したフォーマットに変換する。
The
ネットワークＮは、例えば、有線又は無線のＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）及びＶＰＮ（Virtual Private Network）等の任意の種類のネットワークである。 The network N is, for example, any type of network such as a wired or wireless LAN (Local Area Network), a WAN (Wide Area Network), and a VPN (Virtual Private Network).
［フォーマット変換装置の構成］
次に、フォーマット変換装置１０の構成について説明する。図２は、図１に示すフォーマット変換装置１０の構成の一例を示す図である。フォーマット変換装置１０は、図２に示すように、パケット入力部１１（入力部）、プロトコルスタック判別部１２（判別部）、パケットフォーマット変換部１３（変換部）及びパケット出力部１４（出力部）を有する。
[Configuration of format converter]
Next, the configuration of the
なお、フォーマット変換装置１０は、例えば、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、ＣＰＵ（Central Processing Unit）等を含むコンピュータ等に所定のプログラムが読み込まれて、ＣＰＵが所定のプログラムを実行することで実現される。また、フォーマット変換装置１０は、ネットワークＮ等を介して接続された他の装置との間で、各種情報を送受信する通信インタフェースを有する。例えば、フォーマット変換装置１０は、ＮＩＣ（Network Interface Card）等を有し、ＬＡＮやインターネットなどの電気通信回線を介した他の装置との間の通信を行う。
In the
パケット入力部１１は、ネットワークＮを介して送信されたパケットの入力を受付ける。これらのパケットは、トンネリングを行うためにEtherヘッダ以降に付加された任意のプロトコルヘッダがスタックされたパケットである。言い換えると、これらのパケットは、Etherヘッダと、インナーパケットとの間に、任意のプロトコルヘッダが、任意にスタックされている。なお、本実施の形態１では、インナーパケットが解析装置２０の解析対象となる例について説明する。したがって、本フォーマット変換装置１０は、入力を受付けたパケットからEtherヘッダとインナーパケットとの間のプロトコルヘッダを除外したフォーマットに変換する。
The
プロトコルスタック判別部１２は、予め作成された判別ルールにしたがって、入力されたパケットの各プロトコルヘッダの種別と配置とを示すプロトコルスタックパターンを判別する。判別ルールは、例えば、他の装置で予め作成され、このプロトコルスタック判別部１２に事前設定される。 The protocol stack determination unit 12 determines a protocol stack pattern indicating the type and arrangement of each protocol header of the input packet according to a determination rule created in advance. The determination rule is created in advance by another device, for example, and is preset in the protocol stack determination unit 12.
プロトコルスタック判別部１２は、判別ルールとして判別木を用いて、入力されたパケットのプロトコルスタックパターンを判別する。判別木は、プロトコルスタックパターンが既知のパケットを下位ヘッダから順次捜査して作成される。また、プロトコルスタック判別部１２は、判別木を用いて、入力されたパケットから除外するプロトコルヘッダ箇所も判別する。以降、パケットから除外するプロトコルヘッダ箇所を示す情報を、ヘッダストリップ箇所として、説明を行う。なお、プロトコルスタック判別部１２は、各種のプロトコルスタックパターンのパケットを判別できるように、複数の判別木が事前設定される。 The protocol stack determination unit 12 determines the protocol stack pattern of the input packet using a determination tree as a determination rule. The discrimination tree is created by sequentially examining packets with known protocol stack patterns from lower headers. Also, the protocol stack discrimination unit 12 also discriminates the protocol header part to be excluded from the input packet, using the discrimination tree. Hereinafter, information indicating a protocol header location to be excluded from the packet will be described as a header strip location. A plurality of discrimination trees are preset in the protocol stack discrimination unit 12 so that packets of various protocol stack patterns can be discriminated.
パケットフォーマット変換部１３は、プロトコルスタック判別部１２によって判別されたプロトコルスタックパターンを基に、パケットのフォーマットを、解析装置２０の解析対象以外のプロトコルヘッダを除外したフォーマットに変換する。パケットフォーマット変換部１３は、プロトコルスタックパターンとともにヘッダストリップ箇所も用いて、フォーマット変換を行う。
Based on the protocol stack pattern determined by the protocol stack determination unit 12, the packet
パケット出力部１４は、パケットフォーマット変換部１３がフォーマットを変換したパケットを解析装置２０に出力する。
The packet output unit 14 outputs the packet whose format has been converted by the packet
［フォーマット変換装置の処理の流れ］
次に、フォーマット変換装置１０の処理の流れについて説明する。図３は、図２に示すフォーマット変換装置１０の処理の流れを説明する図である。
[Flow of processing of format conversion device]
Next, the flow of processing of the
図３に示すように、プロトコルスタック判別部１２には、事前に、予め作成された判別木３０が設定される。そして、パケット入力部１１がパケットの入力を受付けると、プロトコルスタック判別部１２は、判別木３０を用いて、到着したパケットのプロトコルスタックパターンを判別する（図３の（１）参照）。プロトコルスタック判別部１２は、判別結果として、到着したパケット自身に加え、このパケットのプロトコルスタックパターン、ヘッダストリップ箇所、変換後Ethertypeに指定するプロトコル番号を出力する。
As shown in FIG. 3, a discrimination tree 30 created in advance is set in the protocol stack discrimination unit 12 in advance. Then, when the
パケットフォーマット変換部１３は、プロトコルスタック判別部１２の判別結果を基に、フォーマット変換を実行する（図３の（２）参照）。そして、パケットフォーマット変換部１３によるフォーマット変換後のパケットは、パケット出力部１４から、解析装置２０（不図示）に出力される。
The packet
［判別木の構成］
次に、プロトコルスタック判別部１２に設定される判別木の構成について説明する。図４は、判別木の構成を説明する図である。図４の（ａ）は、判別木の作成に使用するプロトコルスタックパターンが既知であるパケットの一例を示す図である。図４の（ａ）では、各パケットは、左から右に向かって下位ヘッダから上位ヘッダを配置する。図４の（ｂ）は、図４の（ａ）に示すパケットから作成された判別木の一例を示す図である。
[Structure of Discrimination Tree]
Next, the configuration of the discrimination tree set in the protocol stack discrimination unit 12 will be described. FIG. 4 is a diagram for explaining the configuration of the discrimination tree. FIG. 4A shows an example of a packet whose protocol stack pattern used to create a discrimination tree is known. In (a) of FIG. 4, each packet arranges the high order header from the low order header from the left to the right. (B) of FIG. 4 is a diagram showing an example of a discrimination tree created from the packet shown in (a) of FIG.
図４の（ａ）の枠Ｕ１内に示すように、既知情報として、パケットＡ〜Ｃが使用される。既知情報として、各プロトコルスタックパターンにおける各ヘッダの上位ヘッダを特定するための情報（各ヘッダの上位ヘッダの位置及び値）が示される。また、既知情報として、各プロトコルスタックパターンにおけるヘッダストリップ箇所、変換後Ethertypeに指定するプロトコル番号が設定されている。 As shown in a frame U1 of (a) of FIG. 4, packets A to C are used as known information. Information (position and value of upper header of each header) for specifying the upper header of each header in each protocol stack pattern is indicated as the known information. In addition, as known information, a header strip location in each protocol stack pattern and a protocol number designated to Ethertype after conversion are set.
例えば、プロトコルスタックパターンがパターンＡのパケットの場合、図示するように４段のヘッダＨ１〜Ｈ４のうちヘッダＨ１〜Ｈ３の上位ヘッダの位置及び値、ヘッダストリップ箇所ａ１〜ａ２byte、変換後Ethertypeに指定するプロトコル番号ｍが設定されている。また、プロトコルスタックパターンがパターンＢのパケットの場合、６段の各ヘッダＨ１〜Ｈ３，Ｈ５，Ｈ６，Ｈ４のうちヘッダＨ１〜Ｈ３，Ｈ５，Ｈ６の上位ヘッダの位置及び値、ヘッダストリップ箇所ｂ１〜ｂ２byte、変換後Ethertypeに指定するプロトコル番号ｌが設定されている。また、プロトコルスタックパターンがパターンＣのパケットの場合、４段の各ヘッダＨ１，Ｈ２，Ｈ７，Ｈ４のうちＨ１，Ｈ２，Ｈ７の上位ヘッダの位置及び値、ヘッダストリップ箇所ｃ１〜ｃ２byte、変換後Ethertypeに指定するプロトコル番号ｎが設定されている。
For example, if the protocol stack pattern of packet pattern A, the position and the value of the upper header of the header H1~H3 within the header H1~H4 four stages as illustrated, the
そして、パターンＡ〜Ｃを判別するための判別木を作成する場合には、図４の（ｂ）に示すように、既知である各パターンの下位ヘッダから分岐を作成し、マッチするパターンを絞り込んでいく。例えば、図４の（ａ）に示すように、各パターンＡ〜Ｃの下位ヘッダはＨ１である。このため、判別対象のパターンがパターンＡ〜Ｃに含まれるか否かを判別するために、最上位のノードＮ１（図４の（ｂ）参照）は「ヘッダＨ１の上位ヘッダは？」と設定される。そして、パターンＡ〜Ｃのいずれについても、ヘッダＨ１の上位ヘッダはヘッダＨ２である。このため、ヘッダＨ１の上位ヘッダがヘッダＨ２である場合、判別対象のパターンは、パターンＡ〜Ｃにマッチする（エッジＥ１）。 Then, when creating a discrimination tree for discriminating the patterns A to C, as shown in FIG. 4B, a branch is created from lower headers of each known pattern, and the matching patterns are narrowed down. Go out. For example, as shown in FIG. 4A, the lower headers of the patterns A to C are H1. Therefore, in order to determine whether or not the pattern to be determined is included in the patterns A to C, the top node N1 (see (b) in FIG. 4) is set as "? Be done. Then, for any of the patterns A to C, the upper header of the header H1 is the header H2. Therefore, when the upper header of the header H1 is the header H2, the pattern to be discriminated matches the patterns A to C (edge E1).
続いて、判別対象のパターンがパターンＡ〜Ｃのいずれにマッチするかを判別するために、次のノードＮ２は「ヘッダＨ２の上位ヘッダは？」と設定される。ヘッダＨ２の上位ヘッダがヘッダＨ７である場合には、パターンＣとマッチし（エッジＥ３）、判別対象のパケットのプロトコルスタックパターンは、パターンＣであると判別される（ノードＮ３）。 Subsequently, in order to determine which of the patterns A to C the pattern to be determined matches, the next node N2 is set as “upper header of header H2?”. If the upper header of the header H2 is the header H7, it matches the pattern C (edge E3), and the protocol stack pattern of the packet to be identified is determined to be the pattern C (node N3).
一方、ヘッダＨ２の上位ヘッダがヘッダＨ３である場合には、パターンＡ，Ｂとマッチする（エッジＥ２）。次のノードＮ４は、判別対象のパターンがパターンＡ，Ｂのいずれであるかを判別するために、「ヘッダＨ３の上位ヘッダは？」に設定される。この際、ヘッダＨ３の上位ヘッダがヘッダＨ４である場合には、パターンＡとマッチし（エッジＥ４）、判別対象のパケットのプロトコルスタックパターンは、パターンＡであると判別される（ノードＮ５）。これに対し、ヘッダＨ３の上位ヘッダがヘッダＨ５である場合には、パターンＢとマッチし（エッジＥ５）、判別対象のパケットのプロトコルスタックパターンは、パターンＢであると判別される（ノードＮ６）。 On the other hand, when the upper header of the header H2 is the header H3, the patterns A and B are matched (edge E2). In order to determine whether the pattern to be determined is the pattern A or B, the next node N4 is set to “high-order header of header H3?”. At this time, when the upper header of the header H3 is the header H4, the pattern A is matched (edge E4), and the protocol stack pattern of the packet to be identified is determined to be the pattern A (node N5). On the other hand, if the upper header of the header H3 is the header H5, the pattern B is matched (edge E5), and the protocol stack pattern of the packet to be identified is determined to be pattern B (node N6) .
このように、パターンＡ〜Ｃについて一意に特定可能な判別木Ｔ１を作成した段階で、判別木の作成は終了となる。このような判別木は、各種のプロトコルスタックパターンに対応できるよう複数作成される。 As described above, at the stage when the discrimination tree T1 that can uniquely identify the patterns A to C is created, the generation of the discrimination tree ends. A plurality of such discrimination trees are created to correspond to various protocol stack patterns.
［プロトコルスタック判別部の処理］
次に、プロトコルスタック判別部１２の処理について説明する。図５は、図２に示すプロトコルスタック判別部１２の処理を説明する図である。
[Process of Protocol Stack Discrimination Unit]
Next, the process of the protocol stack determination unit 12 will be described. FIG. 5 is a diagram for explaining the process of the protocol stack determination unit 12 shown in FIG.
図５に示すように、プロトコルスタック判別部１２は、例えば判別木Ｔ１を事前設定される（図５の（１）参照）。プロトコルスタック判別部１２は、この判別木Ｔ１を用いて、パケットのプロトコルスタックパターンを判別する（図５の（２）参照）。具体的には、プロトコルスタック判別部１２は、判別木Ｔ１を基に、入力されたパケットの下位ヘッダからヘッダを上位に向かって各ヘッダを順次特定していき、プロトコルスタックパターンを判別する。 As shown in FIG. 5, the protocol stack discrimination unit 12 pre-sets, for example, the discrimination tree T1 (see (1) in FIG. 5). The protocol stack determination unit 12 uses this determination tree T1 to determine the protocol stack pattern of the packet (see (2) in FIG. 5). Specifically, the protocol stack discrimination unit 12 sequentially identifies each header from the lower header of the input packet toward the upper layer based on the discrimination tree T1, and discriminates the protocol stack pattern.
例えば、プロトコルスタック判別部１２は、パケットＣａが入力された場合、判別木Ｔ１を用いて、パケットＣａが、ヘッダＨ１〜Ｈ４を有するパターンＡのプロトコルスタックパターンであることを判別する。パターンＡのパケットのヘッダストリップ箇所はａ１〜ａ２byteであり、変換後Ethertypeに指定するプロトコル番号としてｍが設定されている。このため、プロトコルスタック判別部１２は、パケットＣａとともに、このパケットＣａのパターン「Ａ」、ヘッダストリップ箇所「ａ１〜ａ２byte」、変換後Ethertypeに指定するプロトコル番号「ｍ」を出力する。 For example, when the packet Ca is input, the protocol stack determination unit 12 determines that the packet Ca is the protocol stack pattern of the pattern A having the headers H1 to H4 using the determination tree T1. The header strip locations of the packet of pattern A are a 1 to a 2 bytes, and m is set as the protocol number designated in Ethertype after conversion. Therefore, the protocol stack determination unit 12 outputs, together with the packet Ca, the pattern “A” of the packet Ca, the header strip location “a 1 to a 2 byte”, and the protocol number “m” specified as Ethertype after conversion.
［パケットフォーマット変換部の処理］
次に、パケットフォーマット変換部１３の処理について説明する。図６は、図２に示すパケットフォーマット変換部１３の処理を説明する図である。
[Process of packet format converter]
Next, processing of the packet
図６に示すように、パケットフォーマット変換部１３に、プロトコルスタック判別部１２の判別結果として、パケットＣａ、このパケットＣａのパターン「Ａ」、ヘッダストリップ箇所「ａ１〜ａ２byte」、変換後Ethertypeに指定するプロトコル番号「ｍ」が入力された場合を例に説明する。パケットフォーマット変換部１３は、この判別結果を受けて、ポインタを設定する（図６の枠Ｗ１の（１）参照）。
As shown in FIG. 6, the packet
例えば、ポインタとして、先頭ポインタ、ヘッダストリップ開始ポインタ、ヘッダストリップ終了ポインタがある。このため、パケットフォーマット変換部１３は、パケットＣａに対し、下位ヘッダＨ１の先頭に先頭ポインタを設定する。そして、パケットフォーマット変換部１３は、パケットＣａに対し、ヘッダＨ２の先頭にヘッダストリップ開始ポインタａ１を設定し、ヘッダＨ４の先頭にヘッダストリップ終了ポインタａ２を設定する。
For example, as the pointers, there are a head pointer, a header strip start pointer, and a header strip end pointer. Therefore, the packet
次に、パケットフォーマット変換部１３は、先頭ポインタからヘッダストリップ開始ポインタａ１までの部分を上位側にずらし、ヘッダストリップ開始ポインタａ１がヘッダストリップ終了ポインタａ２に重なるようにヘッダＨ１を上書きする（図６の（２）参照）。
Next, the packet
そして、パケットフォーマット変換部１３は、先頭ポインタを、上書きしたヘッダＨ１の先頭に移動する（図６の（３）参照）。続いて、パケットフォーマット変換部１３は、Ethertype情報を書き換え（図６の（４）参照）、先頭ポインタ以降のヘッダＨ１，Ｈ４を有するパケットを、フォーマット変換後のパケットＣａ´として出力する（図６の（５）参照）。
Then, the packet
このように、パケットフォーマット変換部１３は、先頭から、ヘッダストリップ対象外の箇所をヘッダストリップ箇所に上書きをし、先頭ポインタをずらす。そして、パケットフォーマット変換部１３は、上位ヘッダを特定する情報を書き換え、先頭ポインタ以降を出力することで、フォーマットの変換を行う。
As described above, the packet
［フォーマット変換装置による処理の手順］
次に、フォーマット変換装置１０による処理の手順について説明する。図７は、図２に示すフォーマット変換装置１０によるフォーマット変換処理の手順を示すフローチャートである。
[Procedure of processing by the format converter]
Next, the procedure of processing by the
図７に示すように、パケット入力部１１が、パケットの入力を受け付けると（ステップＳ１１）、プロトコルスタック判別部１２は、予め作成された判別木にしたがって、入力されたパケットのプロトコルスタックパターンを判別するプロトコルスタック判別処理を行う（ステップＳ１２）。
As shown in FIG. 7, when the
続いて、パケットフォーマット変換部１３は、プロトコルスタック判別部１２によって判別されたプロトコルスタックパターンを基に、パケットのフォーマットを、解析装置２０の解析対象以外のプロトコルヘッダを除外したフォーマットに変換するパケットフォーマット変換処理を行う（ステップＳ１３）。そして、パケット出力部１４は、パケットフォーマット変換部１４がフォーマットを変換したパケットを解析装置２０に出力して（ステップＳ１４）、処理を終了する。
Subsequently, based on the protocol stack pattern determined by the protocol stack determination unit 12, the packet
［実施の形態１の効果］
このように、実施の形態１では、予め作成された判別木にしたがって、入力されたパケットのプロトコルスタックパターンを判別し、パケットのフォーマットを、解析装置２０の解析対象以外のプロトコルヘッダを除外したフォーマットに変換する。すなわち、このフォーマット変換装置１０によれば、トンネリングを行うためにEtherヘッダ以降に付加された任意のプロトコルヘッダがスタックされたパケットに対しパケットストリッピングが可能となる。このため、このフォーマット変換装置１０を解析装置２０の前段に設けることによって、トンネルプロトコルをサポートしていない解析装置２０を活用することができる。
[Effect of Embodiment 1]
As described above, in the first embodiment, the protocol stack pattern of the input packet is determined according to the discrimination tree created in advance, and the format of the packet is a format excluding the protocol header other than the analysis target of the
図８は、図２に示すフォーマット変換装置１０によるフォーマット変換後のパケットを具体的に説明する図である。例えば、フォーマット変換装置１０に、パケットＣ１，Ｃ２が入力された場合について説明する。
FIG. 8 is a diagram for specifically explaining a packet after format conversion by the
この場合、フォーマット変換装置１０は、予め作成された判別木にしたがって、パケットＣ１が、Etherヘッダ以降に、カプセルヘッダ（IPv4）、カプセルヘッダ（UDP）、カプセルヘッダ（L2TP）、カプセルヘッダ（PPP）、インナーパケット（IPv4）Ｐａがスタックされたプロトコルスタックパターンを有することを判別する。このため、フォーマット変換装置１０は、パケットＣ１のフォーマットを、解析装置２０の解析対象のインナーパケット（IPv4）Ｐａ以外のプロトコルヘッダを除外したフォーマットに変換する。すなわち、フォーマット変換装置１０は、パケットＣ１を、Etherヘッダの次にインナーパケット（IPv4）Ｐａが配置するパケットＣ１´に変換する。この結果、解析装置２０では、このパケットＣ１´についての解析が可能になる。
In this case, according to the discrimination tree created in advance, the
また、フォーマット変換装置１０は、予め作成された判別木にしたがって、パケットＣ２が、Etherヘッダ以降に、カプセルヘッダ（MPLS）、カプセルヘッダ（IPv6）、インナーパケット（IPV4）Ｐｂがスタックされたプロトコルスタックパターンを有することを判別する。このため、フォーマット変換装置１０は、パケットＣ２のフォーマットを、解析装置２０の解析対象のインナーパケット（IPV4）Ｐｂ以外のプロトコルヘッダを除外したフォーマットに変換する。すなわち、フォーマット変換装置１０は、パケットＣ２を、Etherヘッダの次にインナーパケット（IPV4）Ｐｂが配置するパケットＣ２´に変換する。この結果、解析装置２０では、このパケットＣ２´についての解析が可能になる。
In addition, the
このように、本実施の形態１に係るフォーマット変換装置１０によれば、フォーマットによらず、入力されたトンネルパケットを、解析装置２０が解析可能であるフォーマットに変換することができる。
As described above, according to the
［実施の形態２］
次に、実施の形態２について説明する。図９は、実施の形態２に係るフォーマット変換装置の構成の一例を示す図である。図９に示すように、フォーマット変換装置２１０は、図２に示すフォーマット変換装置１０と比して、プロトコルスタック判別部１２に代えて、プロトコルスタック判別部２１２を有する。
Second Embodiment
Next, the second embodiment will be described. FIG. 9 is a diagram showing an example of the configuration of the format conversion device according to the second embodiment. As shown in FIG. 9, the
プロトコルスタック判別部２１２は、プロトコルスタックパターンが既知のパケットの内部の特定bit列を基に作成されたプロトコルスタックパターンを判別する判別論理式を用いて、入力されたパケットのプロトコルスタックパターンを判別する。そして、プロトコルスタック判別部２１２は、判別論理式を用いて、入力されたパケットから除外するプロトコルヘッダ箇所も判別する。判別論理式は、例えば、他の装置で予め作成され、このプロトコルスタック判別部２１２に事前設定される。なお、プロトコルスタック判別部２１２は、各種のプロトコルスタックパターンのパケットを判別できるように、複数の判別論理式が事前設定される。 The protocol stack determination unit 212 determines the protocol stack pattern of the input packet using a determination logical expression that determines the protocol stack pattern created based on the specific bit string inside the packet whose protocol stack pattern is known. . Then, the protocol stack determination unit 212 also determines the protocol header location to be excluded from the input packet using the determination logical expression. The determination logical expression is created in advance by another device, for example, and is preset in the protocol stack determination unit 212. A plurality of discrimination logical expressions are preset in the protocol stack discrimination unit 212 so that packets of various protocol stack patterns can be discriminated.
［フォーマット変換装置の処理の流れ］
次に、フォーマット変換装置２１０の処理の流れについて説明する。図１０は、図９に示すフォーマット変換装置２１０の処理の流れを説明する図である。
[Flow of processing of format conversion device]
Next, the flow of processing of the
図１０に示すように、プロトコルスタック判別部２１２には、事前に、予め作成された判別論理式２３０が設定される。そして、パケット入力部１１がパケットの入力を受付けると、プロトコルスタック判別部２１２は、判別論理式２３０を用いて、到着したパケットのプロトコルスタックパターンを判別する（図１０の（１）参照）。プロトコルスタック判別部２１２は、判別結果として、到着したパケット自身に加え、このパケットのヘッダストリップ箇所、変換後Ethertypeに指定するプロトコル番号を出力する。
As shown in FIG. 10, a discrimination logical expression 230 created in advance is set in the protocol stack discrimination unit 212 in advance. Then, when the
そして、パケットフォーマット変換部１３は、プロトコルスタック判別部２１２の判別結果を基に、フォーマット変換を実行する（図１０の（２）参照）。そして、パケットフォーマット変換部１３によるフォーマット変換後のパケットは、パケット出力部１４から、解析装置２０（不図示）に出力される。
Then, the packet
［判別論理式の構成］
次に、図１１を参照して、プロトコルスタック判別部２１２に設定される判別論理式の構成について説明する。図１１は、判別論理式の構成を説明する図である。図１１の（ａ）は、判別論理式の作成に使用するプロトコルスタックパターンが既知であるパケットの一例を示す図である。図１１の（ａ）に示すパターンＡ〜Ｃは、図４の（ａ）に示すパターンＡ〜Ｃと同様である。図１１の（ｂ）は、真理値表を例示する図である。図１１の（ｃ）は、図１１の（ｂ）に示す真理値表を基に作成された判別論理式を示す図である。
[Configuration of discriminant formula]
Next, with reference to FIG. 11, the configuration of the determination logical expression set in the protocol stack determination unit 212 will be described. FIG. 11 is a diagram for explaining the configuration of the discriminant logical expression. (A) of FIG. 11 is a diagram illustrating an example of a packet in which a protocol stack pattern used to create a discriminant logical expression is known. The patterns A to C shown in (a) of FIG. 11 are the same as the patterns A to C shown in (a) of FIG. 4. (B) of FIG. 11 is a diagram illustrating a truth table. (C) of FIG. 11 is a diagram showing a discriminant logical expression created based on the truth table shown in (b) of FIG.
判別論理式を作成する場合、まず、各パターンの上位ヘッダを特定する情報の位置及び値を基に真理値表を作成する。パターンＡ〜Ｃについては、上位ヘッダを特定する情報のbyte位置及び値を参照する。具体的には、図１１の（ｂ）のグラフＧ１に示すように、パターンＡについては、ヘッダＨ１，Ｈ２，Ｈ３の上位ヘッダを特定する各情報は［（a,1010），（b,1111），（d,0101）]（なお、各情報の配置は［（byte位置,値）］である）である。この結果から、inputが（a,b,c,d,e,f）＝（1010,1111,＊,0101,＊／｛1111｝,＊／｛1011｝）である場合には、outputが、パターンＡに対応する（x,y,z）＝(0,0,0)となる組み合わせが、真理値表Ｌ１の１行目に設定される。 When creating a discriminant logical expression, first, a truth table is created based on the position and value of information specifying the upper header of each pattern. For the patterns A to C, reference is made to the byte position and value of the information specifying the upper header. Specifically, as shown by the graph G1 in (b) of FIG. 11, with regard to the pattern A, each piece of information for specifying the upper headers of the headers H1, H2 and H3 is [(a, 1010), (b, 1111 , (D, 0101)] (note that the arrangement of each information is [(byte position, value)]). From this result, when the input is (a, b, c, d, e, f) = (1010, 1111, *, 0101, * / {1111}, * / {1011}), the output is A combination of (x, y, z) = (0, 0, 0) corresponding to the pattern A is set in the first line of the truth table L1.
また、パターンＢについては、ヘッダＨ１，Ｈ２，Ｈ３，Ｈ５，Ｈ６の上位ヘッダを特定する各情報が［（a,1010），（b,1111），（d,0101），(e,1111)，（f,1011）]である。このため、inputが（a,b,c,d,e,f）＝（1010,1111,＊,0101,1111,1011｝）である場合には、outputが、パターンＢに対応する（x,y,z）＝(0,0,1)となる組み合わせが、真理値表Ｌ１の２行目に設定される。そして、パターンＣについては、ヘッダＨ１，Ｈ２，Ｈ７の上位ヘッダを特定する各情報が［（a,1010），（b,1101），(c,1110)]である。このため、inputが（a,b,c,d,e,f）＝（1010,1101,1110,＊,＊,＊）である場合には、outputが、パターンＣに対応する（x,y,z）＝(0,1,1)となる組み合わせが、真理値表Ｌ１の３行目に設定される。 Also, for the pattern B, each piece of information specifying the high order header of the headers H1, H2, H3, H5 and H6 is [(a, 1010), (b, 1111), (d, 0101), (e, 1111) , (F, 1011)]. Therefore, when the input is (a, b, c, d, e, f) = (1010, 1111, *, 0101, 1111, 1011}), the output corresponds to the pattern B (x, A combination such that y, z) = (0, 0, 1) is set in the second line of the truth table L1. And about the pattern C, each information which specifies the high-order header of header H1, H2, H7 is [(a, 1010), (b, 1101), (c, 1110)]. Therefore, when the input is (a, b, c, d, e, f) = (1010, 1101, 1110, *, *, *), the output corresponds to the pattern C (x, y , z) = (0, 1, 1) is set in the third line of the truth table L1.
そして、この真理値表Ｌ１を基に、Quine-McCluskey法等を使用して、プロトコルスタックパターン判別用の判別論理式２３０−１（図１１の（ｃ）参照）が作成される。この判別論理式２３０−１は、output(0,0,0)，(0,0,1)，(0,1,1)のそれぞれに、対応するパターンの種別、ヘッダストリップ箇所、変換後Ethertypeに指定するプロトコル番号が対応付けられている。 Then, based on the truth table L1, the discrimination logical expression 230-1 (see (c) in FIG. 11) for protocol stack pattern discrimination is created using the Quine-McCluskey method or the like. The discriminant logical expression 230-1 is a type of pattern corresponding to each of output (0, 0, 0), (0, 0, 1), and (0, 1, 1), header strip location, Ethertype after conversion. The protocol numbers specified in are associated with each other.
［プロトコルスタック判別部の処理］
次に、プロトコルスタック判別部２１２の処理について説明する。図１２は、図９に示すプロトコルスタック判別部２１２の処理を説明する図である。
[Process of Protocol Stack Discrimination Unit]
Next, processing of the protocol stack determination unit 212 will be described. FIG. 12 is a diagram for explaining the process of the protocol stack determination unit 212 shown in FIG.
図１２に示すように、プロトコルスタック判別部２１２は、例えば判別論理式２３０−１を事前設定される（図１２の（１）参照）。プロトコルスタック判別部２１２は、この判別論理式２３０−１を用いて、パケットのプロトコルスタックパターンを判別する（図１２の（２）参照）。具体的には、プロトコルスタック判別部２１２は、判別論理式２３０−１に、判別のために必要なbit列をパケットから抽出する。すなわち、プロトコルスタック判別部２１２は、判別対象のパケットから、（a,b,c,d,e,f）に対応するbit列を抽出し、抽出した（a,b,c,d,e,f）を判別論理式２３０−１に入力する。そして、プロトコルスタック判別部２１２は、判別論理式２３０−１のoutputに対応するパケットのパターンの種別、ヘッダストリップ箇所、変換後Ethertypeに指定するプロトコル番号を、パケットとともに出力する。 As shown in FIG. 12, the protocol stack discrimination unit 212 pre-sets, for example, the discrimination logical expression 230-1 (see (1) in FIG. 12). The protocol stack determination unit 212 determines the protocol stack pattern of the packet using this determination logical expression 230-1 (see (2) in FIG. 12). Specifically, the protocol stack determination unit 212 extracts, from the packet, a bit string necessary for determination in the determination logical expression 230-1. That is, the protocol stack determination unit 212 extracts bit strings corresponding to (a, b, c, d, e, f) from the packets to be determined, and extracts (a, b, c, d, e, f) is input to the discriminant logical expression 230-1. Then, the protocol stack determination unit 212 outputs, together with the packet, the type of the packet pattern corresponding to “output” in the determination logical expression 230-1, the header strip location, and the protocol number designated as Ethertype after conversion.
例えば、パケットＣａが入力された場合を例に説明する。プロトコルスタック判別部２１２は、パケットＣａから、（a,b,c,d,e,f）に対応するbit列を抽出し、判別論理式２３０−１を入力する。この結果、判別論理式２３０−１のoutputとして(0,0,0)が得られた場合には、プロトコルスタック判別部２１２は、パケットＣａとともに、このパケットＣａのパターン「Ａ」、ヘッダストリップ箇所「ａ１〜ａ２byte」、変換後Ethertypeに指定するプロトコル番号「ｍ」を出力する。 For example, the case where the packet Ca is input will be described as an example. The protocol stack determination unit 212 extracts a bit string corresponding to (a, b, c, d, e, f) from the packet Ca, and inputs a determination logical expression 230-1. As a result, when (0, 0, 0) is obtained as output of the discriminant logical expression 230-1, the protocol stack discrimination unit 212 determines, together with the packet Ca, the pattern “A” of this packet Ca and the header strip location. “A 1 to a 2 byte”, and the protocol number “m” specified in Ethertype after conversion are output.
［フォーマット変換装置による処理の手順］
次に、フォーマット変換装置２１０による処理の手順について説明する。図１３は、図９に示すフォーマット変換装置２１０によるフォーマット変換処理の手順を示すフローチャートである。
[Procedure of processing by the format converter]
Next, the procedure of processing by the
図１３に示すように、パケット入力部１１が、パケットの入力を受け付けると（ステップＳ２１）、プロトコルスタック判別部２１２は、予め作成された判別論理式を用いて、入力されたパケットのプロトコルスタックパターンを判別するプロトコルスタック判別処理を行う（ステップＳ２２）。図１３に示すステップＳ２３，Ｓ２４は、図７に示すステップＳ１３，Ｓ１４と同様の処理を行う。
As shown in FIG. 13, when the
［実施の形態２の効果］
このように、実施の形態２では、予め作成された判別論理式を用いて、入力されたパケットのプロトコルスタックパターンを判別し、パケットのフォーマットを、解析装置２０の解析対象以外のプロトコルヘッダを除外したフォーマットに変換するため、実施の形態１と同様の効果を奏する。
[Effect of Embodiment 2]
As described above, in the second embodiment, the protocol stack pattern of the input packet is determined using the discrimination logical expression created in advance, and the format of the packet is excluded from protocol headers other than the analysis target of the
［実施の形態３］
次に、実施の形態３について説明する。図１４は、実施の形態３に係るフォーマット変換装置の構成の一例を示す図である。図１４に示すように、フォーマット変換装置３１０は、図２に示すフォーマット変換装置１０と比して、プロトコルスタック判別部１２に代えて、プロトコルスタック判別部３１２を有する。
Third Embodiment
Next, the third embodiment will be described. FIG. 14 is a diagram showing an example of the configuration of a format conversion apparatus according to a third embodiment. As shown in FIG. 14, the format conversion device 310 has a protocol stack determination unit 312 in place of the protocol stack determination unit 12 in comparison with the
プロトコルスタック判別部３１２は、標準化された各プロトコルのヘッダ情報を示すプロトコルconfigファイルを用いて、入力されたパケットのプロトコルスタックパターンを判別する。そして、プロトコルスタック判別部３１２は、プロトコルconfigファイルを用いて、入力されたパケットから除外するプロトコルヘッダ箇所も判別する。 The protocol stack determination unit 312 determines a protocol stack pattern of the input packet by using a protocol config file indicating header information of each standardized protocol. Then, using the protocol config file, the protocol stack determination unit 312 also determines the protocol header location to be excluded from the input packet.
［プロトコルconfigファイルの一例］
プロトコルconfigファイルは、一般的に使用される各プロトコルヘッダ情報が記載されたファイルである。プロトコルconfigファイルは、例えば、プロトコルヘッダ情報として、標準化されたプロトコルのヘッダのヘッダ長、上位プロトコルのヘッダを示すフィールド位置等が記載される。
[Example of protocol config file]
The protocol config file is a file in which generally used protocol header information is described. The protocol config file describes, as protocol header information, for example, the header length of the standardized protocol header, the field position indicating the upper protocol header, and the like.
図１５は、プロトコルconfigファイルの一例を示す図である。図１５に示す表Ｌ３１は、Etherヘッダのプロトコルconfigファイルである。表Ｌ３１に示すように、要素名及び概要が項目として示されている。例えば、１行目には、要素名「eth_continue」の概要が「上位探索を続けるEtherytpeを指定（ネットワークバイトオーダー）」であることが登録される。２行目には、要素名「eth_destruct」の概要が「破棄するEthertypeを指定（ネットワークバイトオーダー）」であることが登録される。 FIG. 15 is a diagram showing an example of the protocol config file. Table L31 shown in FIG. 15 is a protocol config file of the Ether header. As shown in Table L31, element names and summary are shown as items. For example, in the first line, it is registered that the summary of the element name “eth_continue” is “designate Etherytpe continuing high-order search (network byte order)”. In the second line, it is registered that the summary of the element name "eth_destruct" is "designate Ethertype to be destroyed (network byte order)".
図１６は、プロトコルconfigファイルの一例を示す図である。図１６に示す表Ｌ３２は、プロトコルヘッダのプロトコルconfigファイルである。表Ｌ３２に示すように、要素名及び概要が項目として示されている。例えば、１行目には、要素名「1_proto_index」の概要が「設定するプロトコル情報群を表すｉｄ」であることが登録される。２行目には、要素名「2_proto_num」の概要が「プロトコルの通番」であることが登録される。また、３行目には要素名「3_proto_next」の概要が「上位プロトコルを示すフィールドの位置情報」であることが登録される。４行目には、要素名「4_proto_next_len」の概要が「上位プロトコルを示すフィールドの長さ」であることが登録される。 FIG. 16 is a diagram showing an example of the protocol config file. A table L32 shown in FIG. 16 is a protocol config file of the protocol header. As shown in Table L32, element names and outlines are shown as items. For example, in the first line, it is registered that the summary of the element name “1_proto_index” is “id representing a set of protocol information”. In the second line, it is registered that the summary of the element name "2_proto_num" is "serial number of protocol". In the third line, it is registered that the outline of the element name "3_proto_next" is "position information of a field indicating a higher order protocol". In the fourth line, it is registered that the summary of the element name "4_proto_next_len" is "length of field indicating upper protocol".
このように、プロトコルconfigファイルは、標準化された各プロトコルのヘッダ情報として、プロトコル名、プロトコルのヘッダのヘッダ長、ヘッダ長が固定または可変であるか、上位プロトコルを示すフィールド位置、上位ヘッダがストリップ対象か否か、変換後Ethertypeに指定するプロトコル番号等の各項目が記載される。 As described above, the protocol config file includes, as header information of each standardized protocol, the protocol name, the header length of the protocol header, whether the header length is fixed or variable, the field position indicating the upper protocol, and the upper header Each item such as whether it is a target or not and the protocol number designated to Ethertype after conversion is described.
［フォーマット変換装置の処理の流れ］
次に、フォーマット変換装置３１０の処理の流れについて説明する。図１７は、図１４に示すフォーマット変換装置３１０の処理の流れを説明する図である。
[Flow of processing of format conversion device]
Next, the flow of processing of the format conversion device 310 will be described. FIG. 17 is a view for explaining the flow of processing of the format conversion device 310 shown in FIG.
図１７に示すように、プロトコルスタック判別部３１２には、事前に、予め作成されたプロトコルconfigファイル３３０が設定される。そして、パケット入力部１１がパケットの入力を受付けると、プロトコルスタック判別部３１２は、プロトコルconfigファイル３３０を用いて、到着したパケットのプロトコルスタックパターンを判別する（図１７の（１）参照）。プロトコルスタック判別部３１２は、判別結果として、到着したパケット自身に加え、このパケットのプロトコルスタックパターン、ヘッダストリップ箇所、変換後Ethertypeに指定するプロトコル番号を出力する。
As shown in FIG. 17, a
そして、パケットフォーマット変換部１３は、プロトコルスタック判別部３１２の判別結果を基に、フォーマット変換を実行する（図１７の（２）参照）。そして、パケットフォーマット変換部１３によるフォーマット変換後のパケットは、パケット出力部１４から、解析装置２０（不図示）に出力される。
Then, the packet
［プロトコルスタック判別部の処理］
次に、プロトコルスタック判別部３１２の処理について説明する。図１８は、図１４に示すプロトコルスタック判別部３１２の処理を説明する図である。
[Process of Protocol Stack Discrimination Unit]
Next, the process of the protocol stack determination unit 312 will be described. FIG. 18 is a diagram for explaining the process of the protocol stack determination unit 312 shown in FIG.
図１８に示すように、プロトコルスタック判別部３１２は、プロトコルconfigファイル３３０を事前設定される（図１８の（１）参照）。プロトコルスタック判別部３１２は、このプロトコルconfigファイル３３０を参照し、判別対象のパケットの下位からヘッダを順次特定して、このパケットのプロトコルスタックパターン、ストリップ領域、変換後Ethertypeに指定するプロトコル番号を特定する（図１８の（２）参照）。具体的には、プロトコルスタック判別部３１２は、プロトコルconfigファイル３３０を参照し、下位のヘッダから順に、各ヘッダの各要素の概要を判別することで、パケットのプロトコルスタックパターンを判別する。そして、プロトコルスタック判別部３１２は、プロトコルconfigファイル３３０を参照し、各ヘッダのうちストリップ対象のヘッダを特定する。これによって、プロトコルスタック判別部３１２は、ヘッダストリップ箇所、変換後Ethertypeに指定するプロトコル番号を特定する。
As shown in FIG. 18, the protocol stack determination unit 312 presets the protocol config file 330 (see (1) in FIG. 18). The protocol stack determination unit 312 refers to the
例えば、プロトコルスタック判別部３１２は、パケットＣａが入力された場合、プロトコルconfigファイル３３０を参照して、パケットＣａが、ヘッダが、下位から、Ｈ１，Ｈ２，Ｈ３，Ｈ４であることを特定する。そして、プロトコルスタック判別部３１２は、プロトコルconfigファイル３３０を参照して、パケットＣａにおけるストリップ対象のヘッダＨ２，Ｈ３を特定する。そして、プロトコルスタック判別部３１２は、プロトコルconfigファイル３３０を参照して、パケットＣａの、ヘッダストリップ箇所「ａ１〜ａ２byte」、変換後Ethertypeに指定するプロトコル番号「ｍ」を判別後、出力する。
For example, when the packet Ca is input, the protocol stack determination unit 312 refers to the
［フォーマット変換装置による処理の手順］
次にフォーマット変換装置３１０による処理の手順について説明する。図１９は、図１４に示すフォーマット変換装置３１０によるフォーマット変換処理の手順を示すフローチャートである。
[Procedure of processing by the format converter]
Next, the procedure of processing by the format conversion device 310 will be described. FIG. 19 is a flow chart showing the procedure of format conversion processing by the format conversion device 310 shown in FIG.
図１９に示すように、パケット入力部１１が、パケットの入力を受け付けると（ステップＳ３１）、プロトコルスタック判別部３１２は、プロトコルconfigファイル３３０を参照して、入力されたパケットのプロトコルスタックパターンを判別するプロトコルスタック判別処理を行う（ステップＳ３２）。図１９に示すステップＳ３３，Ｓ３４は、図７に示すステップＳ１３，Ｓ１４と同様の処理を行う。
As shown in FIG. 19, when the
［実施の形態３の効果］
このように、実施の形態３では、予め作成されたプロトコルconfigファイル３３０を用いて、入力されたパケットのプロトコルスタックパターンを判別し、パケットのフォーマットを、解析装置２０の解析対象以外のプロトコルヘッダを除外したフォーマットに変換するため、実施の形態１と同様の効果を奏する。
[Effect of Third Embodiment]
As described above, in the third embodiment, the protocol stack pattern of the input packet is determined using the protocol config file 330 created in advance, and the format of the packet is determined by using a protocol header other than the analysis target of the
［実施の形態４］
次に、実施の形態４について説明する。実施の形態１〜３に係るフォーマット変換装置１０，２１０，３１０は、他の装置等において予め作成された判別ルールを用いるのに対し、実施の形態４に係るフォーマット変換装置は、自装置において判別ルールを作成する。
Fourth Embodiment
Next, the fourth embodiment will be described. While the
具体的には、実施の形態４に係るフォーマット変換装置は、一定期間、入力されたパケットに対しプロトコルconfigファイルを用いて学習することによって、判別ルールを作成する。そして、実施の形態４に係るフォーマット変換装置は、学習処理において作成された判別ルールにしたがって、プロトコルスタックパターンを判別してパケットのフォーマットを変換する。 Specifically, the format conversion apparatus according to the fourth embodiment creates a determination rule by learning an input packet for a fixed period using a protocol config file. Then, the format conversion apparatus according to the fourth embodiment determines the protocol stack pattern and converts the packet format in accordance with the determination rule created in the learning process.
［フォーマット変換装置の構成］
まず、実施の形態４に係るフォーマット変換装置の構成について説明する。図２０は、実施の形態４に係るフォーマット変換装置の構成の一例を示す図である。図２０に示すように、フォーマット変換装置４１０は、パケット入力部１１、ミラー部４１２、パケットキャプチャ部４１３、学習部４１４、フォーマット変換部４１５及びパケット出力部１４を有する。
[Configuration of format converter]
First, the configuration of the format conversion apparatus according to the fourth embodiment will be described. FIG. 20 is a diagram showing an example of the configuration of a format conversion apparatus according to the fourth embodiment. As shown in FIG. 20, the format conversion apparatus 410 includes a
ミラー部４１２は、パケット入力部１１が受け付けたパケットを、パケットキャプチャ部４１３、または、パケットキャプチャ部４１３及びフォーマット変換部４１５、に出力する。ミラー部４１２は、学習部４１４による学習処理時には、パケットをパケットキャプチャ部４１３に出力する。一方、ミラー部４１２は、フォーマット変換部４１５によるフォーマット変換処理時には、パケットをパケットキャプチャ部４１３及びフォーマット変換部４１５の双方に出力する。
The
パケットキャプチャ部４１３は、入力されたパケットをバッファリングし、バッファリングしたパケットを、所定タイミングにしたがって、順次、学習部４１４に出力する。
The
学習部４１４は、入力されたパケットに対しプロトコルconfigファイルを用いて学習することによって判別ルールを作成し、作成した判定ルールをフォーマット変換部４１５に出力する。学習部４１４は、判別ルールとして、パケット内の特定bit列を基にプロトコルスタックパターンを判別する判別木を作成する。学習部４１４は、プロトコルスタック解析部４１４１、パターン分布格納部４１４２、判別木作成部４１４３及びパターン分布ＤＢ４１４４を有する。なお、学習部４１４は、各種のプロトコルスタックパターンのパケットを判別できるように、複数の判別木を作成する。
The
プロトコルスタック解析部４１４１は、プロトコルconfigファイルを用いて、入力された各パケットを下位ヘッダから順次解析して、それぞれのプロトコルスタックパターンを特定する。
The protocol
パターン分布格納部４１４２は、入力されたパケットのプロトコルスタックパターンの分布を作成し、判別木作成部４１４３に出力するとともに、パターン分布ＤＢ４１４４に格納する。
The pattern
判別木作成部４１４３は、入力されたパケットのプロトコルスタックパターン及びプロトコルスタックパターンの分布を基に、プロトコルスタックパターンを判別する判別木を作成する。判別木作成部４１４３は、パケット内の特定bit列を基にプロトコルスタックパターンを判別する判別木を作成する。
The discrimination
パターン分布ＤＢ４１４４は、学習部４１４が学習したパケットのプロトコルスタックパターン及びプロトコルスタックパターンの分布を記憶する。パターン分布ＤＢ４１４４が記憶するプロトコルスタックパターン及びプロトコルスタックパターンの分布は、パターン分布格納部４１４２によって更新される。
The
フォーマット変換部４１５は、学習部４１４が作成した判別木を用いて、パケットのプロトコルパターンを判別し、フォーマット変換を行う。フォーマット変換部４１５は、プロトコルスタック判別部４１５１及びパケットフォーマット変換部１３を有する。
The
プロトコルスタック判別部４１５１は、学習部４１４が作成した判別木を用いて、入力されたパケットのプロトコルスタックパターンを判別する。そして、プロトコルスタック判別部４１５１は、この判別木を用いて、入力されたパケットから除外するプロトコルヘッダ箇所も判別する。
The protocol
［学習部の処理の流れ］
次に、学習部４１４の処理の流れについて説明する。図２１は、図２０に示す学習部４１４の処理の流れ（学習時）を説明する図である。学習部４１４では、まず、プロトコルスタック解析部４１４１に、標準化された各プロトコルのヘッダ情報を示すプロトコルconfigファイルが事前に設定される。このプロトコルconfigファイルは、図１５，１６に例示したデータ構成を有し、事前に作成されたものである。
[Flow of processing of learning unit]
Next, the flow of processing of the
そして、図２１に示すように、学習部４１４のプロトコルスタック解析部４１４１には、パケットキャプチャ部４１３によってキャプチャされたキャプチャパケットが入力される。プロトコルスタック解析部４１４１は、プロトコルconfigファイルを参照し、キャプチャパケットの下位ヘッダから順次解析し、入力された各パケットのプロトコルスタックパターンを特定する（図２１の（１）参照）。ここで、プロトコルスタック解析部４１４１は、各パケットのプロトコルスタックパターンに加え、プロトコルスタックパターンの分布を出力する。パターン分布格納部４１４２は、入力されたパケットのプロトコルスタックパターンの分布を作成し、パターン分布ＤＢ４１４４に格納することでＤＢ化を行う（図２１の（２）参照）。
Then, as shown in FIG. 21, the protocol
続いて、判別木作成部４１４３は、入力されたパケットのプロトコルスタックパターン及び分布情報から、入力されたパケットを判別するために最適な判別木を作成する（図２１の（３）参照）。そして、判別木作成部４１４３は、作成した判別木をプロトコルスタック判別部４１５１に出力する。この学習部４１４における学習処理は、フォーマット変換部４１５におけるフォーマット変換処理前に一定期間実行された後は、例えば、定期的に実行される。なお、学習処理では、ミラー部４１２からフォーマット変換部４５１にパケットが入力されないため、フォーマット変換部４５１によるフォーマット変換処理は実行されない。
Subsequently, the discrimination
［フォーマット変換部の処理の流れ］
次に、フォーマット変換部４１５の処理の流れについて説明する。図２２は、図２０に示すフォーマット変換部４１５の処理の流れ（変換時）を説明する図である。
[Flow of processing of format conversion unit]
Next, the flow of processing of the
プロトコルスタック判別部４１５１には、学習部４１４が作成した判別木が設定される。そして、図２２に示すように、ミラー部４１２からパケットが入力されると、プロトコルスタック判別部４１５１は、入力されたパケットのプロトコルスタックパターンを、学習部４１４が作成した判別木を用いて判別する（図２２の（１）参照）。この際、プロトコルスタック判別部４１５１は、判別結果として、到着したパケット自身に加え、このパケットのプロトコルスタックパターン、ヘッダストリップ箇所、変換後Ethertypeに指定するプロトコル番号を出力する。
In the protocol
そして、パケットフォーマット変換部１３は、プロトコルスタック判別部４１５１の判別結果を基に、フォーマット変換を実行する（図２２の（２）参照）。そして、パケットフォーマット変換部１３によるフォーマット変換後のパケットは、パケット出力部１４から、解析装置２０（不図示）に出力される。なお、フォーマット変換処理中も、学習部４１４は、キャプチャパケットを受け取り、プロトコルスタック解析及びパターン分布の格納を行い、データを蓄積している。
Then, the packet
［プロトコルスタック解析部の処理］
次に、プロトコルスタック解析部４１４１の処理について説明する。図２３は、図２０に示すプロトコルスタック解析部４１４１の処理を説明する図である。
[Process of Protocol Stack Analyzer]
Next, processing of the protocol
まず、図２３に示すように、プロトコルスタック解析部４１４１には、事前に、予め作成されたプロトコルconfigファイル３３０が設定される（図２３の（１）参照）。プロトコルconfigファイル３３０は、標準化された各プロトコルのヘッダ情報として、プロトコル名、プロトコルのヘッダのヘッダ長、ヘッダ長が固定または可変であるか、上位プロトコルを示すフィールド位置、上位ヘッダがストリップ対象か否か、変換後Ethertypeに指定するプロトコル番号等が記載される。
First, as shown in FIG. 23, a
そして、プロトコルスタック解析部４１４１は、入力されたキャプチャパケットの下位ヘッダから捜査を開始し、プロトコルconfigファイル３３０を用いてプロトコルスタックパターンを特定する。プロトコルスタック解析部４１４１は、プロトコルスタックパターン情報、パケットのヘッダストリップ箇所、変換後Ethertypeに指定するプロトコル番号、及び、各パターンの出現頻度を解析して、送出する（図２３の（２）参照）。
Then, the protocol
具体的には、枠Ｗ４１のパターン図Ｇ４１に示すように、例えば、４つのパケットがキャプチャパケットとして入力された場合について説明する。この場合、プロトコルスタック解析部４１４１は、プロトコルconfigファイル３３０を用いて、入力された各キャプチャパケットの下位ヘッダから捜査を開始する。
Specifically, as shown in a pattern diagram G41 of the frame W41, for example, a case where four packets are input as a capture packet will be described. In this case, the protocol
この結果、プロトコルスタック解析部４１４１は、１段目のパケットのプロトコルスタックパターンが「Ａ」であることを判別する。そして、プロトコルスタック解析部４１４１は、１段目のパケットのヘッダストリップ箇所「ａ１〜ａ２byte」、変換後Ethertypeに指定するプロトコル番号「ｍ」を判別する。そして、プロトコルスタック解析部４１４１は、２段目のパケットのプロトコルスタックパターンが「Ｂ」であり、パケットのヘッダストリップ箇所「ｂ１〜ｂ２byte」、変換後Ethertypeに指定するプロトコル番号「ｌ」を判別する。
As a result, the protocol
そして、プロトコルスタック解析部４１４１は、３段目のパケットのプロトコルスタックパターンが「Ａ」であり、パケットのヘッダストリップ箇所「ａ１〜ａ２byte」、変換後Ethertypeに指定するプロトコル番号「ｍ」を判別する。そして、プロトコルスタック解析部４１４１は、４段目のパケットのプロトコルスタックパターンが「Ｃ」であり、パケットのヘッダストリップ箇所「ｃ１〜ｃ２byte」、変換後Ethertypeに指定するプロトコル番号「ｎ」を判別する。
Then, the protocol
この解析によって、プロトコルスタック解析部４１４１は、各プロトコルスタックパターンの出現頻度を求めることができる。例えば、図２３に示す例では、キャプチャパケットのうち、パターンＡが２回、パターンＢが１回、パターンＣが１回出現している。プロトコルスタック解析部４１４１は、この出現頻度を基に求めた各パターンの分布情報を、プロトコルスタックパターンとともに出力する。
By this analysis, the protocol
さらに、プロトコルスタック解析部４１４１は、各パケットにおけるパターンＡ〜Ｃについて、上位ヘッダを特定する情報のbyte位置及び値を取得する。具体的には、プロトコルスタック解析部４１４１は、枠Ｗ４１のグラフＧ１に示すように、パターンＡについては、上位ヘッダを特定する各情報として［（a,1010），（b,1111），（d,0101）]を取得する。同様に、プロトコルスタック解析部４１４１は、パターンＢについては、上位ヘッダを特定する各情報として、［（a,1010），（b,1111），（d,0101），(e,1111)，（f,1011）]を取得する。また、プロトコルスタック解析部４１４１は、パターンＣについては、上位ヘッダを特定する各情報として［（a,1010），（b,1101）， (c,1110)]を取得する。プロトコルスタック解析部４１４１は、取得した上位ヘッダを特定する情報のbyte位置及び値も、各プロトコルスタックパターンに対応付けて出力する。
Furthermore, the protocol
［パターン分布格納部の処理］
次に、パターン分布格納部４１４２の処理について説明する。図２４は、図２０に示すパターン分布格納部４１４２の処理を説明する図である。
[Process of pattern distribution storage unit]
Next, the process of the pattern
図２４に示すように、パターン分布格納部４１４２は、プロトコルスタック解析部４１４１から出力されたプロトコルスタックパターンの分布情報を基に、パターン分布ＤＢ４１４４のプロトコルスタックパターンの分布情報を更新する（図２４の（１）参照）。例えば、枠Ｗ４２のグラフＧ４３に示すように、プロトコルスタック解析部４１４１による解析結果では、パターンＡが２回、パターンＢが１回、パターンＣが１回出現していた。このため、パターン分布格納部４１４２は、各パターンの出現回数をパターンごとに対応付けたグラフＧ４３の内容を基に、パターン分布ＤＢ４１４４のプロトコルスタックパターンの分布情報を更新する。
As shown in FIG. 24, the pattern
そして、パターン分布格納部４１４２は、プロトコルスタックパターンの各プロトコルスタックパターン情報、パケットのヘッダストリップ箇所、変換後Ethertypeに指定するプロトコル番号と、プロトコルスタックパターンの分布情報を出力する（図２４の（２）参照）。例えば、パターン分布格納部４１４２は、図２４のグラフＧ４４のような情報を出力する。
Then, the pattern
［判別木作成部の処理］
次に、図２５を参照して、判別木作成部４１４３の処理について説明する。図２５は、図２０に示す判別木作成部４１４３の処理を説明する図である。
[Process of discrimination tree creation unit]
Next, the processing of the discrimination
図２５に示すように、判別木作成部４１４３は、例えば、ハフマン符号化アルゴリズムを応用し、判別回数の平均が最小になるような判別木の構成を実施する（図２５の（１）参照）。ここでは、入力されたプロトコルスタックパターン情報とプロトコルスタックパターンの分布情報とが、枠Ｗ４３に示すように、パターンＡが２回、パターンＢが１回、パターンＣが１回である場合について説明する。この場合、パケット数「４」のノードＮ４１から、パターンＡが２個のノードＮ４２へのエッジＥ４１、または、パケット数「２」のノードＮ４３へのエッジＥ４２に枝分かれし、ノードＮ４３から、パターンＢが１個のノードＮ４４へのエッジＥ４３、または、パターンＣが１個のノードＮ４５へのエッジＥ４４に枝分かれする判別木構成Ｔ４１が、判別回数の平均が最小となる。
As shown in FIG. 25, the discrimination
そこで、判別木作成部４１４３は、判別対象のパケットについて、上位のノードＮ４１´を「is パターンＡ？［（a,1010），（b,1111），（d,0101）]」とする。そして、判別木作成部４１４３は、ノードＮ４１´に対してｙｅｓである場合（エッジＥ４１´）である場合には、ノードＮ４２´に、判別対象のパケットがパターンＡであって、ヘッダストリップ箇所はａ１〜ａ２byteであり、変換後Ethertypeに指定するプロトコル番号はｍである旨を設定する。
Therefore, the discrimination
一方、判別木作成部４１４３は、ノードＮ４１´に対してＮｏである場合（エッジＥ４２´）である場合には、ノード４３´に「is パターンＢ？［（a,1010），（b,1111），（d,0101），(e,1111)，（f,1011）]」を設定する。
On the other hand, if the judgment
そして、判別木作成部４１４３は、ノードＮ４３´に対してｙｅｓである場合（エッジＥ４３´）である場合には、ノードＮ４４´に、判別対象のパケットがパターンＢであって、ヘッダストリップ箇所はｂ１〜ｂ２byteであり、変換後Ethertypeに指定するプロトコル番号はｌである旨を設定する。また、判別木作成部４１４３は、ノードＮ４３´に対してＮｏである場合（エッジＥ４４´）である場合には、ノードＮ４５´に、判別対象のパケットがパターンＣであって、ヘッダストリップ箇所はｃ１〜ｃ２byteであり、変換後Ethertypeに指定するプロトコル番号はｎである旨を設定する（図２５の（２）参照）。
Then, in the case of “yes” for the node N43 ′ (edge E43 ′), the discrimination
このように、判別木作成部４１４３は、パターンＡ〜Ｃを判別するための判別木Ｔ４２を作成することができる。判別木作成部４１４３は、作成した判別木をフォーマット変換部４１５に出力する。
Thus, the discrimination
［プロトコルスタック判別部の処理］
次に、図２６を参照して、プロトコルスタック判別部４１５１の処理について説明する。図２６は、図２０に示すプロトコルスタック判別部４１５１の処理を説明する図である。
[Process of Protocol Stack Discrimination Unit]
Next, processing of the protocol
図２６に示すように、プロトコルスタック判別部４１５１は、例えば、判別木作成部４１４３から出力された判別木Ｔ４２を、事前設定される（図２６の（１）参照）。プロトコルスタック判別部４１５１は、この判別木Ｔ４２を用いて、パケットのプロトコルスタックパターンを判別する（図２６の（２）参照）。具体的には、プロトコルスタック判別部４１５１は、判別木Ｔ４２を基に、入力されたパケットの各パターンの上位ヘッダを特定する情報の位置及び値を基に、パケットがＡ〜Ｃのいずれのパターンであるかを判別する。
As shown in FIG. 26, the protocol
例えば、プロトコルスタック判別部４１５１は、パケットＣａが入力された場合、このパケットの上位ヘッダを特定する情報の位置及び値を抽出する。判別木Ｔ４２に、抽出した上位ヘッダを特定する情報の位置及び値を適用して、このパケットが、パターンＡであることを判別する。これにともない、プロトコルスタック判別部４１５１は、パケットＣａとともに、このパケットＣａのパターン「Ａ」、ヘッダストリップ箇所「ａ１〜ａ２byte」、変換後Ethertypeに指定するプロトコル番号「ｍ」を出力する。
For example, when the packet Ca is input, the protocol
［学習処理の手順］
次に、フォーマット変換装置４１０による学習処理の処理手順について説明する。図２７は、図２０に示すフォーマット変換装置４１０による学習処理の手順を示すフローチャートである。
[Procedure of learning process]
Next, a processing procedure of learning processing by the format conversion device 410 will be described. FIG. 27 is a flowchart showing the procedure of learning processing by the format conversion device 410 shown in FIG.
図２７に示すように、まず、学習部４１４では、キャプチャパケットが入力されると、プロトコルスタック解析部４１４１が、プロトコルconfigファイルを用いて、入力された各パケットを下位ヘッダから順次解析して、それぞれのプロトコルスタックパターン及び分布を特定するプロトコルスタック解析処理を行う（ステップＳ４１）。そして、パターン分布格納部４１４２は、入力されたパケットのプロトコルスタックパターンの分布を作成し、判別木作成部４１４３に出力するとともに、パターン分布ＤＢ４１４４に格納するパターン分布格納処理を行う（ステップＳ４２）。
As shown in FIG. 27, first, in the
続いて、判別木作成部４１４３は、入力されたパケットのプロトコルスタックパターン及びプロトコルスタックパターンの分布を基に、プロトコルスタックパターンを判別する判別木を作成する判別木作成処理を行う（ステップＳ４３）。判別木作成部４１４３は、作成した判別木をプロトコルスタック判別部４１５１に出力する（ステップＳ４４）。
Subsequently, the discrimination
［フォーマット変換処理の処理手順］
次に、フォーマット変換装置４１０によるフォーマット変換処理の手順について説明する。図２８は、図２０に示すフォーマット変換装置４１０によるフォーマット変換処理の手順を示すフローチャートである。
[Process procedure of format conversion process]
Next, the procedure of format conversion processing by the format converter 410 will be described. FIG. 28 is a flow chart showing the procedure of format conversion processing by the format conversion device 410 shown in FIG.
図２８に示すように、パケット入力部１１が、パケットの入力を受け付けると（ステップＳ４５）、プロトコルスタック判別部４１５１は、ミラー部４１２からミラーリングされたパケットに対し、判別木作成部４１４３が作成した判別木を基に、プロトコルスタックパターンを判別するプロトコルスタック判別処理を行う（ステップＳ４６）。図２８に示すステップＳ４７，Ｓ４８は、図７に示すステップＳ１３，Ｓ１４と同様の処理を行う。
As shown in FIG. 28, when the
［実施の形態４の効果］
このように、実施の形態４に係るフォーマット変換装置は、自装置においてパケットを学習することによって判別ルールを作成し、パケットのプロトコルスタックパターンを判別する。このため、実施の形態４によれば、実施の形態１と同様の効果を奏するとともに、判別ルールの作成、パケットのプロトコルスタックパターン及びパケットのフォーマット変換処理の一連の処理を自装置で完結することができるという効果を奏する。
[Effect of Fourth Embodiment]
Thus, the format conversion apparatus according to the fourth embodiment creates a determination rule by learning a packet in its own apparatus, and determines the protocol stack pattern of the packet. Therefore, according to the fourth embodiment, the same effects as those of the first embodiment can be achieved, and the self device completes a series of processes of creation of determination rule, protocol stack pattern of packet, and format conversion process of packet. The effect of being able to
［実施の形態５］
次に、実施の形態５について説明する。実施の形態５では、判別ルールとして判別論理式を作成する。
Fifth Embodiment
Next, the fifth embodiment will be described. In the fifth embodiment, a discriminant logical expression is created as a discrimination rule.
図２９は、実施の形態５に係るフォーマット変換装置の構成の一例を示す図である。図２９に示すように、実施の形態５に係るフォーマット変換装置５１０は、図２０に示すフォーマット変換装置４１０と比して、学習部４１４に代えて学習部５１４を有し、フォーマット変換部４１５に代えてフォーマット変換部５１５を有する。
FIG. 29 is a diagram showing an example of the configuration of a format conversion apparatus according to the fifth embodiment. As shown in FIG. 29, the
学習部５１４は、入力されたパケットに対しプロトコルconfigファイルを用いて学習することによって、判別ルールを作成し、作成した判定ルールをフォーマット変換部５１５に出力する。学習部５１４は、判別ルールとして、パケット内の特定bit列を基にプロトコルスタックパターンを判別する判別論理式を作成する。学習部５１４は、プロトコルスタック解析部５１４１、パターン格納部５１４２、判別論理式作成部５１４３及びパターンＤＢ５１４４を有する。なお、学習部５１４は、各種のプロトコルスタックパターンのパケットを判別できるように、複数の判別論理式を作成する。
The
プロトコルスタック解析部５１４１は、プロトコルconfigファイルを用いて、入力された各パケットを下位ヘッダから順次解析して、それぞれのプロトコルスタックパターンを特定する。
The protocol
パターン格納部５１４２は、入力されたパケットのプロトコルスタックパターンを、判別論理式作成部５１４３に出力するとともに、パターンＤＢ５１４４に格納する。
The
判別論理式作成部５１４３は、入力されたパケットのプロトコルスタックパターンを基に、プロトコルスタックパターンを判別する判別論理式を作成する。判別論理式作成部５１４３は、パケット内の特定bit列を基にプロトコルスタックパターンを判別する判別論理式を作成する。
The determination logical
パターンＤＢ５１４４は、学習部５１４が学習したパケットのプロトコルスタックパターンを記憶する。パターンＤＢ５１４４が記憶するプロトコルスタックパターンは、パターン格納部５１４２によって更新される。
The
フォーマット変換部５１５は、学習部５１４が作成した判別論理式を用いて、パケットのプロトコルパターンを判別し、フォーマット変換を行う。フォーマット変換部５１５は、プロトコルスタック判別部５１５１及びパケットフォーマット変換部１３を有する。
The
プロトコルスタック判別部５１５１は、学習部５１４が作成した判別論理式を用いて、入力されたパケットのプロトコルスタックパターンを判別する。そして、プロトコルスタック判別部５１５１は、この判別論理式を用いて、入力されたパケットから除外するプロトコルヘッダ箇所も判別する。
The protocol
［学習部の処理の流れ］
次に、学習部５１４の処理の流れについて説明する。図３０は、図２９に示す学習部５１４の処理の流れを説明する図である。学習部５１４では、まず、プロトコルスタック解析部５１４１に、標準化された各プロトコルのヘッダ情報を示すプロトコルconfigファイルが事前に設定される。このプロトコルconfigファイルは、図１５，１６に例示したデータ構成を有し、事前に作成されたものである。
[Flow of processing of learning unit]
Next, the flow of processing of the
そして、図３０に示すように、学習部５１４では、プロトコルスタック解析部５１４１が、プロトコルconfigファイルを参照し、キャプチャパケットの下位ヘッダから順次解析し、入力された各パケットのプロトコルスタックパターンを特定する（図３０の（１）参照）。そして、プロトコルスタック解析部５１４１は、各パケットのプロトコルスタックパターンを出力する。パターン格納部５１４２は、入力されたパケットのプロトコルスタックパターンを、パターンＤＢ５１４４に格納することでＤＢ化を行う（図３０の（２）参照）。
Then, as shown in FIG. 30, in the
続いて、判別論理式作成部５１４３は、入力されたパケットのプロトコルスタックパターンから、入力されたパケットを判別するために最適な判別論理式を作成する（図３０の（３）参照）。そして、判別論理式作成部５１４３は、作成した判別論理式をプロトコルスタック判別部５１５１に出力する。この学習部５１４における学習処理は、フォーマット変換部５１５におけるフォーマット変換処理前に一定期間実行された後は、例えば、定期的に実行される。なお、学習処理では、ミラー部４１２からフォーマット変換部５５１にパケットが入力されないため、フォーマット変換部５５１によるフォーマット変換処理は実行されない。
Subsequently, the discriminant logical
［フォーマット変換部の処理の流れ］
次に、フォーマット変換部５１５の処理の流れについて説明する。図３１は、図２９に示すフォーマット変換部５１５の処理の流れを説明する図である。
[Flow of processing of format conversion unit]
Next, the flow of processing of the
プロトコルスタック判別部５１５１には、学習部５１４が作成した判別論理式が事前に設定される。そして、図３１に示すように、ミラー部４１２からパケットが入力されると、プロトコルスタック判別部５１５１は、入力されたパケットのプロトコルスタックパターンを、学習部５１４が作成した判別論理式を用いて判別する（図３１の（１）参照）。この際、プロトコルスタック判別部５１５１は、判別結果として、到着したパケット自身に加え、このパケットのプロトコルスタックパターン、パケットのヘッダストリップ箇所、変換後Ethertypeに指定するプロトコル番号を出力する。
The determination logical expression created by the
そして、パケットフォーマット変換部１３は、プロトコルスタック判別部５１５１の判別結果を基に、フォーマット変換を実行する（図３１の（２）参照）。そして、パケットフォーマット変換部１３によるフォーマット変換後のパケットは、パケット出力部１４から、解析装置２０（不図示）に出力される。なお、フォーマット変換処理中も、学習部５１４は、キャプチャパケットを受け取り、プロトコルスタック解析及びプロトコルスタックパターンの格納を行い、データを蓄積している。
Then, the packet
［プロトコルスタック解析部の処理］
図３２を参照し、プロトコルスタック解析部５１４１の処理について説明する。図３２は、図２９に示すプロトコルスタック解析部５１４１の処理を説明する図である。
[Process of Protocol Stack Analyzer]
The process of the protocol
まず、図３２に示すように、プロトコルスタック解析部５１４１には、事前に、予め作成されたプロトコルconfigファイル３３０が設定される（図３２の（１）参照）。そして、プロトコルスタック解析部５１４１は、入力されたキャプチャパケットの下位ヘッダから捜査を開始し、プロトコルconfigファイル３３０を用いてプロトコルスタックパターンを特定する。プロトコルスタック解析部５１４１は、プロトコルスタックパターン情報、パケットのヘッダストリップ箇所、変換後Ethertypeに指定するプロトコル番号を解析して、送出する（図３２の（２）参照）。
First, as shown in FIG. 32, a
例えば、枠Ｗ５１のパターン図Ｇ４１に示す４つのパケットがキャプチャパケットとして入力された場合について説明する。この場合、プロトコルスタック解析部５１４１は、プロトコルスタック解析部４１４１と同様に、プロトコルconfigファイル３３０を用いて、入力された各キャプチャパケットの下位ヘッダから捜査を開始する。そして、プロトコルスタック解析部５１４１は、これらのパケットが、パターン「Ａ」、パターン「Ｂ」、パターン「Ａ」、パターン「Ｃ」であることを判別する。
For example, the case where four packets shown in the pattern diagram G41 of the frame W51 are input as capture packets will be described. In this case, the protocol
続いて、プロトコルスタック解析部５１４１は、プロトコルスタック解析部４１４１と同様に、各パケットにおけるパターンＡ〜Ｃについて、上位ヘッダを特定する情報のbyte位置及び値を取得する。例えば、プロトコルスタック解析部５１４１は、グラフＧ４２に示すように、例えばパターンＡについては、上位ヘッダを特定する各情報として［（a,1010），（b,1111），（d,0101）]）を取得し、各プロトコルスタックパターンに対応付けて出力する。
Subsequently, the protocol
［パターン分布格納部の処理］
次に、パターン格納部５１４２の処理について説明する。図３３は、図２９に示すパターン格納部５１４２の処理を説明する図である。
[Process of pattern distribution storage unit]
Next, the process of the
図３３に示すように、パターン格納部５１４２は、プロトコルスタック解析部５１４１から出力されたプロトコルスタックパターン情報を基に、パターンＤＢ５１４４を更新する（図３３の（１）参照）。例えば、枠Ｗ５２のパターン一覧Ｌ５１は、パターンＤＢ５１４４が記憶する情報の一例である。パターン格納部５１４２は、パターン一覧Ｌ５１のうち、プロトコルスタックパターン情報が入力されたパターンＡについては、パターンＡの上位ヘッダを特定する［（byte位置,値）］を［（a,1010），（b,1111），（d,0101）]に、ヘッダストリップ箇所を「ａ１〜ａ２byte」に、変換後Ethertypeに指定するプロトコル番号を「ｍ」に更新する。
As shown in FIG. 33, the
このように、パターン格納部５１４２は、パケットごとに、パターンの識別情報、上位ヘッダを特定するbyte位置及び値、ヘッダストリップ箇所、及び、変換後Ethertypeに指定するプロトコル番号を対応付けて、パターンＤＢ５１４４に格納する。また、パターン格納部５１４２は、パケットのプロトコルスタックパターン情報を判別論理式作成部５１４３に出力する。パターン格納部５１４２は、各パケットとともに、プロトコルスタックパターン、上位ヘッダを特定する情報の位置及び値、ヘッダストリップ箇所、変換後Ethertypeに指定するプロトコル番号を出力する。
As described above, the
［判別論理式作成部の処理］
次に、判別論理式作成部５１４３の処理について説明する。図３４は、図２９に示す判別論理式作成部５１４３の処理を説明する図である。
[Process of the discriminant logical expression creation unit]
Next, the process of the discriminant logical
図３４に示すように、判別論理式作成部５１４３は、パターン格納部１５４２によって出力された各パターンの上位ヘッダを特定する情報の位置及び値を基に、真理値表Ｌ１（枠Ｗ５３参照）を作成する（図３４の（１）参照）。
As shown in FIG. 34, the discriminant logical
判別論理式作成部５１４３は、真理値表Ｌ１の１行目に示すように、パターンＡについては、inputを［（a,1010），（b,1111），（d,0101），(e,＊／｛1111｝)，（d,＊／｛1011｝）]に設定し、outputを（x,y,z）＝(0,0,0)に設定する。同様に、判別論理式作成部５１４３は、真理値表Ｌ１の２行目に示すように、パターンＢについては、inputを［（a,1010），（b,1111），（d,0101），(e,1111)，（f,1011）]に設定し、outputを（x,y,z）＝(0,0,1)に設定する。同様に、判別論理式作成部５１４３は、真理値表Ｌ１の３行目に示すように、パターンＣについては、inputを［（a,1010），（b,1101）， (c,1110)]に設定し、outputを（x,y,z）＝(0,1,1)に設定する。
As shown in the first line of the truth table L1, the discriminant logical
そして、判別論理式作成部５１４３は、真理値表Ｌ１を基に、Quine-McCluskey法等を使用して、プロトコルスタックパターン判別用の判別論理式２３０−１（図３４の（２）参照）を作成する。この判別論理式２３０−１は、output(0,0,0)，(0,0,1)，(0,1,1)のそれぞれに、対応するパターンの種別、ヘッダストリップ箇所、変換後Ethertypeに指定するプロトコル番号が対応付けられている。判別論理式作成部５１４３は、作成した判別論理式をフォーマット変換部５１５に出力する。
Then, based on the truth table L1, the discriminant logical
［プロトコルスタック判別部の処理］
次に、プロトコルスタック判別部５１５１の処理について説明する。図３５は、図２９に示すプロトコルスタック判別部５１５１の処理を説明する図である。
[Process of Protocol Stack Discrimination Unit]
Next, processing of the protocol
図３５に示すように、プロトコルスタック判別部５１５１は、例えば、判別論理式作成部５１４３が作成した判別論理式２３０−１を事前設定される（図３５の（１）参照）。プロトコルスタック判別部５１５１は、この判別論理式２３０−１を用いて、パケットのプロトコルスタックパターンを判別する（図３５の（２）参照）。具体的には、プロトコルスタック判別部５１５１は、（a,b,c,d,e,f）に対応するbit列を抽出し、抽出した（a,b,c,d,e,f）を判別論理式２３０−１に入力する。そして、プロトコルスタック判別部５１５１は、判別論理式２３０−１のoutputに対応するパケットのパターンの種別、ヘッダストリップ箇所、変換後Ethertypeに指定するプロトコル番号を、パケットとともに出力する。
As shown in FIG. 35, the protocol
［学習処理の手順］
次に、フォーマット変換装置５１０による学習処理の処理手順について説明する。図３６は、図２９に示すフォーマット変換装置５１０による学習処理の手順を示すフローチャートである。
[Procedure of learning process]
Next, a processing procedure of learning processing by the
図３６に示すように、まず、学習部５１４では、キャプチャパケットが入力されると、プロトコルスタック解析部５１４１が、プロトコルconfigファイルを用いて、入力された各パケットを下位ヘッダから順次解析して、それぞれのプロトコルスタックパターンを特定するプロトコルスタック解析処理を行う（ステップＳ５１）。そして、パターン格納部５１４２は、入力されたパケットのプロトコルスタックパターンを、判別論理式作成部５１４３に出力するとともに、パターンＤＢ５１４４に格納するパターン格納処理を行う（ステップＳ５２）。
As shown in FIG. 36, first, in the
続いて、判別論理式作成部５１４３は、入力されたパケットのプロトコルスタックパターンを基に、プロトコルスタックパターンを判別する判別論理式を作成する判別論理式作成処理を行う（ステップＳ５３）。判別論理式作成部４１４３は、作成した判別論理式をプロトコルスタック判別部５１５１に出力する（ステップＳ４４）。
Subsequently, the discriminant logical
［フォーマット変換処理の処理手順］
次に、フォーマット変換装置５１０によるフォーマット変換処理の手順について説明する。図３７は、図２９に示すフォーマット変換装置５１０によるフォーマット変換処理の手順を示すフローチャートである。
[Process procedure of format conversion process]
Next, the procedure of format conversion processing by the
図３７に示すステップＳ５５は、図２８に示すステップＳ４５と同様の処理である。プロトコルスタック判別部５１５１は、ミラー部４１２からミラーリングされたパケットに対し、判別論理式作成部５１４３が作成した判別論理式を基に、プロトコルスタックパターンを判別するプロトコルスタック判別処理を行う（ステップＳ５６）。図３７に示すステップＳ５７，Ｓ５８は、図７に示すステップＳ１３，Ｓ１４と同様の処理を行う。
Step S55 shown in FIG. 37 is the same process as step S45 shown in FIG. The protocol
［実施の形態５の効果］
このように、実施の形態５に係るフォーマット変換装置は、自装置においてパケットを学習することによって判別論理式を作成し、パケットのプロトコルスタックパターンを判別するため、実施の形態４と同様の効果を奏する。
[Effect of Fifth Embodiment]
As described above, the format conversion apparatus according to the fifth embodiment produces the discriminant logical expression by learning the packet in the own apparatus, and determines the protocol stack pattern of the packet. Therefore, the same effect as the fourth embodiment can be obtained. Play.
［実施の形態６］
次に、実施の形態６について説明する。実施の形態６では、フォーマット変換処理において、学習前のパケットが入力された場合に、プロトコルconfigファイルを用いて該パケットの下位ヘッダから順次捜査してプロトコルスタックパターンを判別する。
Sixth Embodiment
A sixth embodiment will now be described. In the sixth embodiment, in the format conversion process, when a packet before learning is input, the protocol config file is used to sequentially search from the lower header of the packet to determine the protocol stack pattern.
図３８は、実施の形態６に係るフォーマット変換装置の構成の一例を示す図である。図３８に示すように、実施の形態６に係るフォーマット変換装置６１０は、図２９に示すフォーマット変換装置５１０と比して、フォーマット変換部５１５に代えてフォーマット変換部６１５を有する。フォーマット変換部６１５は、プロトコルスタック判別部５１５１（第１のプロトコルスタック判別部）、プロトコルスタック判別部６１５１（第２のプロトコルスタック判別部）及びパケットフォーマット変換部１３を有する。
FIG. 38 is a diagram showing an example of the configuration of a format conversion apparatus according to a sixth embodiment. As shown in FIG. 38, the format conversion device 610 according to the sixth embodiment has a format conversion unit 615 instead of the
プロトコルスタック判別部６１５１は、予め作成されたプロトコルconfigファイルが事前に設定されている。プロトコルスタック判別部６１５１は、学習前のパケットが入力された場合に、プロトコルconfigファイルを用いて該パケットの下位ヘッダから順次捜査してプロトコルスタックパターンを判別する。言い換えると、プロトコルスタック判別部６１５１は、プロトコルスタック判別部５１５１では判別が不可能なパケットについては、プロトコルconfigファイルを用いてプロトコルスタックパターンを判別する。
The protocol stack determination unit 6151 has a protocol config file created in advance set in advance. When a packet before learning is input, the protocol stack determination unit 6151 sequentially investigates the lower header of the packet using the protocol config file to determine the protocol stack pattern. In other words, the protocol stack discrimination unit 6151 discriminates the protocol stack pattern using the protocol config file for packets that can not be discriminated by the protocol
［フォーマット変換部の処理の流れ］
次に、フォーマット変換部６１５の処理の流れについて説明する。図３９は、図３８に示すフォーマット変換部６１５の処理の流れを説明する図である。
[Flow of processing of format conversion unit]
Next, the flow of processing of the format conversion unit 615 will be described. FIG. 39 is a diagram for explaining the flow of processing of the format conversion unit 615 shown in FIG.
プロトコルスタック判別部５１５１には、学習部５１４が作成した判別論理式が事前に設定される。そして、図３９に示すように、ミラー部４１２からパケットが入力されると、プロトコルスタック判別部５１５１は、入力されたパケットのプロトコルスタックパターンに対し、学習部５１４が作成した判別論理式を用いたプロトコル判別処理を行う（図３９の（１）参照）。
The determination logical expression created by the
ただし、プロトコルスタック判別部５１５１による判別ビット決打型（判別論理式を用いた判別手法）では判別が不可能なパケットは、プロトコルスタック判別部６１５１による下位ヘッダ捜査型（プロトコルconfigファイルを用いた判別手法）で判別を実行する（図３９の（２））。言い換えると、学習前のパケットがフォーマット変換部６１５に入力された場合、プロトコルスタック判別部６１５１は、プロトコルconfigファイルを用いたプロトコルスタックパターンの判別を行う（図３９の（３）参照）。 However, packets that can not be discriminated by the discrimination bit decision type by the protocol stack discrimination unit 5151 (discrimination method using discrimination logical expression) are lower header inspection types by the protocol stack discrimination unit 6151 (discrimination using a protocol config file) The determination is performed by the method ((2) in FIG. 39). In other words, when the packet before learning is input to the format conversion unit 615, the protocol stack determination unit 6151 determines the protocol stack pattern using the protocol config file (see (3) in FIG. 39).
フォーマット変換部６１５では、プロトコルスタック判別部５１５１またはプロトコルスタック判別部６１５１が、判別結果として、到着したパケット自身に加え、このパケットプロトコルスタックパターン、ヘッダストリップ箇所、変換後Ethertypeに指定するプロトコル番号を出力する。パケットフォーマット変換部１３は、プロトコルスタック判別部５１５１またはプロトコルスタック判別部６１５１の判別結果を基に、フォーマット変換を実行する（図３９の（４）参照）。そして、パケットフォーマット変換部１３によるフォーマット変換後のパケットは、パケット出力部１４から、解析装置２０（不図示）に出力される。
In the format conversion unit 615, the protocol
なお、フォーマット変換処理中も、学習部５１４は、キャプチャパケットを受け取り、プロトコルスタック解析及びプロトコルスタックパターンの格納を行い、データを蓄積している。
Also during the format conversion process, the
［フォーマット変換処理の処理手順］
次に、フォーマット変換装置６１０によるフォーマット変換処理の手順について説明する。図４０は、図３８に示すフォーマット変換装置６１０によるフォーマット変換処理の手順を示すフローチャートである。
[Process procedure of format conversion process]
Next, the procedure of format conversion processing by the format converter 610 will be described. FIG. 40 is a flow chart showing the procedure of format conversion processing by the format conversion device 610 shown in FIG.
図４０に示すステップＳ６１は、図２８に示すステップＳ４５と同様の処理である。プロトコルスタック判別部５１５１は、ミラー部４１２からミラーリングされたパケットに対し、判別論理式作成部５１４３が作成した判別論理式を基に、プロトコルスタックパターンを判別する第１プロトコルスタック判別処理を行う（ステップＳ６２）。
Step S61 shown in FIG. 40 is the same process as step S45 shown in FIG. The protocol
そして、プロトコルスタック判別部５１５１は、第１プロトコルスタック判別処理においてパケットのプロトコルスタックパターンが判別可能であるか否かを判定する（ステップＳ６３）。
Then, the protocol
プロトコルスタック判別部５１５１が、第１プロトコルスタック判別処理においてパケットのプロトコルスタックパターンが判別可能でないと判定した場合（ステップＳ６３：Ｎｏ）、このパケットをプロトコルスタック判別部６１５１に出力する。そして、プロトコルスタック判別部６１５１は、プロトコルconfigファイルを用いて該パケットの下位ヘッダから順次捜査してプロトコルスタックパターンを判別する第２プロトコルスタック判別処理を行う（ステップＳ６４）。
When the protocol
続いて、プロトコルスタック判別部５１５１が、第１プロトコルスタック判別処理においてパケットのプロトコルスタックパターンが判別可能であると判定した場合（ステップＳ６３：Ｙｅｓ）、または、第２プロトコルスタック判別処理（ステップＳ６４）終了後、ステップＳ６５に進む。図４０に示すステップＳ６５，Ｓ６６は、図７に示すステップＳ１３，Ｓ１４と同様の処理を行う。
Subsequently, if the protocol
［実施の形態６の効果］
このように、実施の形態６に係るフォーマット変換装置は、自装置において作成した判別論理式でプロトコルスタックパターンを判別できないパケットについては、プロトコルconfigファイルを用いて、該パケットの下位ヘッダから順次捜査してプロトコルスタックパターンを判別する。したがって、実施の形態６によれば、２段階でパケットのプロトコルスタックパターンを判別するため、パケットのプロトコルスタックパターンの判別をさらに高速かつ確実に実行することが可能になる。
[Effect of Embodiment 6]
As described above, the format conversion apparatus according to the sixth embodiment sequentially investigates, from the lower header of the packet, packets for which the protocol stack pattern can not be determined by the determination logical expression created in the own apparatus using the protocol config file. To determine the protocol stack pattern. Therefore, according to the sixth embodiment, since the protocol stack pattern of the packet is determined in two steps, the determination of the protocol stack pattern of the packet can be performed more quickly and more reliably.
［実施の形態７］
次に、実施の形態７について説明する。図４１は、実施の形態７に係るフォーマット変換装置の構成の一例を示す図である。例えば、図４１に示すように、フォーマット変換装置７１０は、図１に示すフォーマット変換装置１０と比して、対応付部７１６をさらに有する。
Seventh Embodiment
A seventh embodiment will now be described. FIG. 41 is a diagram showing an example of a configuration of a format conversion apparatus according to a seventh embodiment. For example, as shown in FIG. 41, the format conversion device 710 further includes a correspondence unit 716 as compared with the
対応付部７１６は、パケットにおける各プロトコルヘッダのテキスト情報を、該パケットのプロトコルヘッダの配置情報に対応付けて記憶するＤＢを有する。そして、対応付部７１６は、任意のプロトコルヘッダ情報を照合情報とし、プロトコルヘッダを含むパケットのプロトコルヘッダの配置情報を検索可能としている。 The associating unit 716 includes a DB that stores text information of each protocol header in the packet in association with arrangement information of the protocol header of the packet. Then, the association unit 716 sets arbitrary protocol header information as collation information, and makes it possible to search for arrangement information of a protocol header of a packet including the protocol header.
［対応付部の構成］
図４２は、図４１に示す対応付部７１６の構成の一例を示す図である。図４２に示すように、対応付部７１６は、パケットデコード部７１６１、パース部７１６２、格納部７１６３、ＤＢ７１６４及び検索部７１６５を有する。
[Configuration of correspondence part]
FIG. 42 is a diagram showing an example of the configuration of the correspondence unit 716 shown in FIG. As shown in FIG. 42, the association unit 716 includes a packet decoding unit 7161, a
パケットデコード部７１６１は、パケット入力部１１が入力を受け付けたパケットを取得し、取得したパケットのデコードを行い、バイナリをテキスト変換する。パース部７１６２は、パケットデコード部７１６１が変換したパケットのテキスト情報を、プロトコルヘッダ毎にパースする。格納部７１６３は、パース済みのパケット情報をバッファリングし、定期的にＤＢ７１６４に書き込む。
The packet decoding unit 7161 acquires the packet received by the
ＤＢ７１６４は、パース済みパケット情報を保持する。図４３は、図４２に示すＤＢ７１６４が保持するデータの一例を示す図である。図４３の表Ｌ７１に示すように、ＤＢ７１６４は、入力されたパケットの、プロトコルヘッダ毎にパースされたテキスト情報を、プロトコルヘッダ毎に分けて保持する。例えば、表Ｌ７１の１行目には、「青」、「緑」、「赤」、「橙」のテキスト情報を有する４個のプロトコルヘッダで構成されるパケットの情報が保持される。また、表Ｌ７１の２行目には、「青」、「緑」、「赤」、「桃」、「黄」のテキスト情報を有する５個のプロトコルヘッダで構成されるパケットの情報が保持される。 The DB 7164 holds parsed packet information. FIG. 43 is a diagram showing an example of data held by the DB 7164 shown in FIG. As shown in the table L71 of FIG. 43, the DB 7164 divides and holds, for each protocol header, the text information of the input packet parsed for each protocol header. For example, the first line of the table L71 holds information of a packet constituted by four protocol headers having text information of "blue", "green", "red" and "orange". In the second line of the table L71, information of a packet constituted of five protocol headers having text information of "blue", "green", "red", "peach" and "yellow" is held. Ru.
検索部７１６５は、任意のプロトコルヘッダ情報を照合情報とし、ＤＢ７１６４から、このプロトコルヘッダを含むパケットのプロトコルヘッダの配置情報を検索する。検索部７１６５は、フォーマット変換装置７１０に接続するＵＩ部（不図示）から、１個のプロトコルヘッダのテキスト情報が入力されると、ＢＤ７１６４に照合し、このプロトコルヘッダのテキスト情報を含むパケット全体の構成情報を検索する。
The
［対応付部の処理］
次に、対応付部７１６の処理の流れについて説明する。図４４は、図４２に示す対応付部７１６の処理の流れを説明する図である。
[Processing of correspondence part]
Next, the process flow of the association unit 716 will be described. FIG. 44 is a diagram for explaining the process flow of the correspondence unit 716 shown in FIG.
図４４に示すように、対応付部７１６にパケットが入力すると、まず、パケットデコード部７１６１がパケットのデコードを行い、バイナリをテキスト変換する（図４４の（１）参照）。そして、パケットデコード部７１６１は、テキスト情報に変換されたパケット情報をパース部７１６２に出力する。
As shown in FIG. 44, when a packet is input to the associating unit 716, first, the packet decoding unit 7161 decodes the packet and converts binary into text (see (1) in FIG. 44). Then, the packet decoding unit 7161 outputs the packet information converted into the text information to the
例えば、ヘッダＨ１〜Ｈ４を有するパケットＣａがパケットデコード部７１６１に入力した場合を例に説明する。この場合、パケットデコード部７１６１は、このパケットＣａのデコードを行い、各プロトコルヘッダＨ１〜Ｈ４を、テキスト「青緑赤橙」に変換し、パース部７１６２に出力する。テキスト「青」、「緑」、「赤」、「橙」は、それぞれプロトコルヘッダＨ１，Ｈ２，Ｈ３，Ｈ４に対応する。
For example, the case where a packet Ca having headers H1 to H4 is input to the packet decoding unit 7161 will be described as an example. In this case, the packet decoding unit 7161 decodes the packet Ca, converts each of the protocol headers H1 to H4 into the text “green, green and orange”, and outputs the converted text to the
そして、パース部７１６２は、パケットのテキスト情報をヘッダ毎にパースする（図４４の（２）参照）。パース部７１６２は、例えば、パケットデコード部７１６１から入力されたパケットＣａのテキスト「青緑赤橙」を、プロトコルヘッダごとに、「青」、「緑」、「赤」、「橙」にパースし、このパース済みパケット情報（テキスト）を格納部７１６３に出力する。
Then, the
続いて、格納部７１６３は、パース済みパケット情報を定期的にＤＢ７１６４に書き込む（図４４の（３）参照）。これによって、ＤＢ７１６４は、パース済みパケット情報を保存する（図４４の（４）参照）。例えば、格納部７１６３は、パース済みパケット情報として、「青」、「緑」、「赤」、「橙」が入力された場合には、「青」、「緑」、「赤」、「橙」のそれぞれを、この順序でＤＢ７１６４に書き込む。この結果、図４３の１行目に示すように、「青」、「緑」、「赤」、「橙」がこの順で登録される。したがって、テキスト情報「青」、「緑」、「赤」、「橙」の順でプロトコルヘッダが配置されたパケットが、フォーマット変換装置７１０に入力したことが登録される。
Subsequently, the
対応付部７１６は、このようなＤＢ７１６４を構成することによって、検索部７１６５が、カプセルパケットの任意のプロトコルヘッダ情報をクエリとして検索をかけた場合には、このプロトコルヘッダを含むパケット全体のプロトコルヘッダの配置情報を応答することができる（図４４の（５）参照）。この任意のプロトコルヘッダ情報には、インナーパケットも含む。例えば、検索部７１６５から、「橙」が検索クエリとして検索された場合には、ＤＢ７１６４から、図４３の表Ｌ１のうち「橙」を含む「青」、「緑」、「赤」、「橙」のテキスト情報がレスポンスされる。
When the association unit 716 configures such DB 764, when the
［対応付け部の処理手順］
図４５は、図４２に示す対応付部７１６による情報の対応付け処理の処理手順を示すフローチャートである。図４５に示すように、パケットが入力されると（ステップＳ７１）、パケットデコード部７１６１は、パケットのデコードを行い、バイナリをテキスト変換するパケットデコード処理を行う（ステップＳ７２）。続いて、パース部７１６２は、パケットデコード部７１６１が変換したパケットのテキスト情報を、プロトコルヘッダ毎にパースするパース処理を行う（ステップＳ７３）。そして、格納部７１６３は、パース済みのパケット情報をバッファリングし、定期的にＤＢ７１６４に書き込む格納処理を行い（ステップＳ７４）、処理を終了する。
[Processing procedure of association section]
FIG. 45 is a flowchart of a process procedure of the information associating process by the associating unit 716 illustrated in FIG. As shown in FIG. 45, when a packet is input (step S71), the packet decoding unit 7161 decodes the packet and performs packet decoding processing to convert binary into text (step S72). Subsequently, the
［実施の形態７の効果］
このように、実施の形態７は、パケットにおける各プロトコルヘッダのテキスト情報を、該パケットのプロトコルヘッダの配置情報に対応付けて記憶する。図４６は、図４２に示す対応付部７１６の対応付け機能を説明する図である。
[Effect of Seventh Embodiment]
Thus, the seventh embodiment stores text information of each protocol header in a packet in association with arrangement information of the protocol header of the packet. FIG. 46 is a diagram for explaining the associating function of the associating unit 716 shown in FIG.
例えば、ユーザは、解析装置２０の検知結果（インナーパケットＰａの情報）を、ＤＢ７１６４で検索した場合について説明する。この場合、図４６に示すように、ユーザは、ＤＢ７１６４から、このインナーパケットＰａを含むパケットＣ１全体のプロトコルヘッダの配置情報を取得することが可能になる（矢印Ｙ７２：正引き）。また、ユーザは、任意のプロトコルヘッダ、例えば、カプセルヘッダ（IPv4）を、ＤＢ７１６４で検索することによって、このカプセルヘッダ（IPv4）を含むパケットＣ１全体のプロトコルヘッダの配置情報を取得することが可能になる（矢印Ｙ７１：逆引き）。
For example, the case where the user searches the detection result (information of the inner packet Pa) of the
このように、実施の形態７によれば、ユーザは、任意のプロトコルヘッダ情報を照合情報として、プロトコルヘッダを含むパケットのプロトコルヘッダの配置情報を検索することができる。 As described above, according to the seventh embodiment, the user can search for arrangement information of a protocol header of a packet including a protocol header, using arbitrary protocol header information as collation information.
なお、実施の形態７では、フォーマット変換装置１０に対応付部７１６をさらに追加した構成を例として説明したが、これに限らない。対応付部７１６は、フォーマット変換装置２１０，３１０，４１０，５１０，６１０に追加することも可能である。
In the seventh embodiment, the configuration in which the mapping unit 716 is further added to the
また、実施の形態１〜７では、解析装置２０とフォーマット変換装置１０，２１０，３１０，４１０，５１０，６１０，７１０とは別の装置である例について説明したが、解析装置２０が、フォーマット変換装置１０，２１０，３１０，４１０，５１０，６１０，７１０の機能を有していてもよい。
In the first to seventh embodiments, although the
［システム構成等］
図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
[System configuration etc.]
The components of the illustrated devices are functionally conceptual and do not necessarily have to be physically configured as illustrated. That is, the specific form of the dispersion and integration of each device is not limited to that shown in the drawings, and all or a part thereof is functionally or physically dispersed in any unit depending on various loads, usage conditions, etc. It can be integrated and configured. Furthermore, all or any part of each processing function performed by each device may be realized by a CPU and a program analyzed and executed by the CPU, or may be realized as wired logic hardware.
また、本実施の形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的におこなうこともでき、あるいは、手動的に行なわれるものとして説明した処理の全部又は一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。 Further, among the processes described in the present embodiment, all or part of the process described as being automatically performed may be manually performed, or the process described as being manually performed. All or part of can be performed automatically by a known method. In addition to the above, the processing procedures, control procedures, specific names, and information including various data and parameters shown in the above documents and drawings can be arbitrarily changed unless otherwise specified.
［プログラム］
図４７は、プログラムが実行されることにより、フォーマット変換装置１０，２１０，３１０，４１０，５１０，６１０，７１０が実現されるコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
[program]
FIG. 47 is a diagram illustrating an example of a computer in which the
メモリ１０１０は、ＲＯＭ１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
The
ハードディスクドライブ１０９０は、例えば、ＯＳ（Operating System）１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、フォーマット変換装置１０，２１０，３１０，４１０，５１０，６１０，７１０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、フォーマット変換装置１０，２１０，３１０，４１０，５１０，６１０，７１０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid State Drive）により代替されてもよい。
The hard disk drive 1090 stores, for example, an OS (Operating System) 1091, an
また、上述した実施の形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。
The setting data used in the process of the above-described embodiment is stored as
なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ、ＷＡＮ等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
The
以上、本発明者によってなされた発明を適用した実施の形態について説明したが、本実施の形態による本発明の開示の一部をなす記述及び図面により本発明は限定されることはない。すなわち、本実施の形態に基づいて当業者等によりなされる他の実施の形態、実施例及び運用技術等は全て本発明の範疇に含まれる。 Although the embodiment to which the invention made by the inventor is applied has been described above, the present invention is not limited by the description and the drawings that form a part of the disclosure of the present invention according to the present embodiment. That is, all other embodiments, examples, operation techniques and the like made by those skilled in the art based on the present embodiment are included in the scope of the present invention.
１ 通信システム
１０，２１０，３１０，４１０，５１０，６１０，７１０ フォーマット変換装置
２０ 解析装置
１１ パケット入力部
１２，２１２，３１２，４１５１，５１５１，６１５１ プロトコルスタック判別部
１３ パケットフォーマット変換部
１４ パケット出力部
４１２ ミラー部
４１３ パケットキャプチャ部
４１４，５１４ 学習部
４１５，５１５，６１５ フォーマット変換部
４１４１，５１４１ プロトコルスタック解析部
４１４２ パターン分布格納部
４１４３ 判別木作成部
４１４４ パターン分布ＤＢ
５１４２ パターン格納部
５１４３ 判別論理式作成部
５１４４ パターンＤＢ
７１６ 対応付部
７１６１ パケットデコード部
７１６２ パース部
７１６３ 格納部
７１６４ ＤＢ
７１６５ 検索部
Ｎ ネットワーク
1
5142
716 Corresponding part 7161
7165 Retrieval unit N network
Claims (8)
トンネリングを行うためにEtherヘッダ以降に付加された任意のプロトコルヘッダがスタックされたパケットの入力を受け付ける入力部と、
予め作成された判別ルールにしたがって、入力されたパケットの各プロトコルヘッダの種別と配置とを示すプロトコルスタックパターンを判別する判別部と、
前記判別部によって判別されたプロトコルスタックパターンを基に、前記パケットのフォーマットを、前記解析装置の解析対象以外のプロトコルヘッダを除外したフォーマットに変換する変換部と、
前記変換部がフォーマットを変換したパケットを前記解析装置に出力する出力部と、
を有することを特徴とするフォーマット変換装置。 A format converter provided at the front stage of an analyzer that analyzes packets,
An input unit that receives an input of a packet in which an arbitrary protocol header added after the Ether header for performing tunneling is stacked;
A determination unit that determines a protocol stack pattern indicating the type and arrangement of each protocol header of the input packet in accordance with a determination rule created in advance;
A conversion unit which converts the format of the packet into a format excluding any protocol header other than the analysis target of the analysis apparatus based on the protocol stack pattern determined by the determination unit;
An output unit that outputs the packet whose format has been converted by the conversion unit to the analysis device;
A format conversion apparatus characterized by having:
前記記憶部に対し、任意のプロトコルヘッダ情報を照合情報とし、前記プロトコルヘッダを含むパケットのプロトコルヘッダの配置情報を検索する検索部と、
をさらに有することを特徴とする請求項１または２に記載のフォーマット変換装置。 A storage unit that stores text information of each protocol header in the packet input by the input unit in association with arrangement information of the protocol header of the packet;
A search unit which makes arbitrary protocol header information match information for the storage unit and searches for arrangement information of protocol headers of packets including the protocol header;
The format conversion device according to claim 1, further comprising:
トンネリングを行うためにEtherヘッダ以降に付加された任意のプロトコルヘッダがスタックされたパケットの入力を受け付ける入力部と、
入力されたパケットについてプロトコルconfigファイルを用いて学習し、パケットのプロトコルスタックパターンを判別する判別ルールを作成する学習部と、
前記学習部によって作成された判別ルールにしたがって、入力されたパケットの各プロトコルヘッダの種別と配置とを示すプロトコルスタックパターンを判別する第１の判別部と、
前記第１の判別部によって判別されたプロトコルスタックパターンを基に、前記パケットのフォーマットを、前記解析装置の解析対象以外のプロトコルヘッダを除外したフォーマットに変換する変換部と、
前記変換部がフォーマットを変換したパケットを前記解析装置に出力する出力部と、
を有することを特徴とするフォーマット変換装置。 A format converter provided at the front stage of an analyzer that analyzes packets,
An input unit that receives an input of a packet in which an arbitrary protocol header added after the Ether header for performing tunneling is stacked;
A learning unit that learns an input packet using a protocol config file and creates a determination rule that determines the protocol stack pattern of the packet;
A first determination unit that determines a protocol stack pattern indicating the type and arrangement of each protocol header of the input packet according to the determination rule created by the learning unit;
A conversion unit which converts the format of the packet into a format excluding the protocol header other than the analysis target of the analysis apparatus based on the protocol stack pattern determined by the first determination unit;
An output unit that outputs the packet whose format has been converted by the conversion unit to the analysis device;
A format conversion apparatus characterized by having:
前記記憶部に対し、任意のプロトコルヘッダ情報を照合情報とし、前記プロトコルヘッダを含むパケットのプロトコルヘッダの配置情報を検索する検索部と、
をさらに有することを特徴とする請求項４〜６のいずれか一つに記載のフォーマット変換装置。 A storage unit that stores text information of each protocol header in the packet input by the input unit in association with arrangement information of the protocol header of the packet;
A search unit which makes arbitrary protocol header information match information for the storage unit and searches for arrangement information of protocol headers of packets including the protocol header;
The format conversion device according to any one of claims 4 to 6, further comprising:
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2017226004A JP6734248B2 (en) | 2017-11-24 | 2017-11-24 | Format conversion device and format conversion program |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2017226004A JP6734248B2 (en) | 2017-11-24 | 2017-11-24 | Format conversion device and format conversion program |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2019097069A true JP2019097069A (en) | 2019-06-20 |
| JP6734248B2 JP6734248B2 (en) | 2020-08-05 |
Family
ID=66972103
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2017226004A Active JP6734248B2 (en) | 2017-11-24 | 2017-11-24 | Format conversion device and format conversion program |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP6734248B2 (en) |
Cited By (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2021090161A (en) * | 2019-12-05 | 2021-06-10 | 日本電信電話株式会社 | Format conversion device, method, and program |
| WO2022148190A1 (en) * | 2021-01-07 | 2022-07-14 | 大唐移动通信设备有限公司 | L2tp message processing method and apparatus, and storage medium |
| WO2022176034A1 (en) * | 2021-02-16 | 2022-08-25 | 日本電信電話株式会社 | Conversion device, conversion method, and conversion program |
| WO2022176035A1 (en) * | 2021-02-16 | 2022-08-25 | 日本電信電話株式会社 | Conversion device, conversion method, and conversion program |
| WO2024038523A1 (en) * | 2022-08-17 | 2024-02-22 | 日本電信電話株式会社 | Conversion device, conversion method, and conversion program |
Citations (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2003060727A (en) * | 2001-07-31 | 2003-02-28 | Agilent Technol Inc | Method and apparatus for protocol pattern identification in protocol data unit |
| JP2003163712A (en) * | 2001-11-22 | 2003-06-06 | Hitachi Ulsi Systems Co Ltd | Network system and program |
| JP2010514248A (en) * | 2006-12-19 | 2010-04-30 | ケイ ティー コーポレイション | Intrusion prevention apparatus and method for point-to-point tunneling communication |
| JP2013121075A (en) * | 2011-12-07 | 2013-06-17 | Nec Corp | Packet communication system, quality evaluation method in packet communication, packet analyzer, and control method and control program of the same |
| JP2016086378A (en) * | 2014-10-29 | 2016-05-19 | 三菱電機株式会社 | Gateway device |
| JP2017098907A (en) * | 2015-11-27 | 2017-06-01 | 日本電信電話株式会社 | System and method for traffic analysis |
| WO2018066228A1 (en) * | 2016-10-06 | 2018-04-12 | 日本電信電話株式会社 | Flow information analysis apparatus, flow information analysis method, and flow information analysis program |
-
2017
- 2017-11-24 JP JP2017226004A patent/JP6734248B2/en active Active
Patent Citations (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2003060727A (en) * | 2001-07-31 | 2003-02-28 | Agilent Technol Inc | Method and apparatus for protocol pattern identification in protocol data unit |
| JP2003163712A (en) * | 2001-11-22 | 2003-06-06 | Hitachi Ulsi Systems Co Ltd | Network system and program |
| JP2010514248A (en) * | 2006-12-19 | 2010-04-30 | ケイ ティー コーポレイション | Intrusion prevention apparatus and method for point-to-point tunneling communication |
| JP2013121075A (en) * | 2011-12-07 | 2013-06-17 | Nec Corp | Packet communication system, quality evaluation method in packet communication, packet analyzer, and control method and control program of the same |
| JP2016086378A (en) * | 2014-10-29 | 2016-05-19 | 三菱電機株式会社 | Gateway device |
| JP2017098907A (en) * | 2015-11-27 | 2017-06-01 | 日本電信電話株式会社 | System and method for traffic analysis |
| WO2018066228A1 (en) * | 2016-10-06 | 2018-04-12 | 日本電信電話株式会社 | Flow information analysis apparatus, flow information analysis method, and flow information analysis program |
Cited By (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2021090161A (en) * | 2019-12-05 | 2021-06-10 | 日本電信電話株式会社 | Format conversion device, method, and program |
| JP7294764B2 (en) | 2019-12-05 | 2023-06-20 | 日本電信電話株式会社 | Format conversion device, method and program |
| WO2022148190A1 (en) * | 2021-01-07 | 2022-07-14 | 大唐移动通信设备有限公司 | L2tp message processing method and apparatus, and storage medium |
| WO2022176034A1 (en) * | 2021-02-16 | 2022-08-25 | 日本電信電話株式会社 | Conversion device, conversion method, and conversion program |
| WO2022176035A1 (en) * | 2021-02-16 | 2022-08-25 | 日本電信電話株式会社 | Conversion device, conversion method, and conversion program |
| WO2024038523A1 (en) * | 2022-08-17 | 2024-02-22 | 日本電信電話株式会社 | Conversion device, conversion method, and conversion program |
Also Published As
| Publication number | Publication date |
|---|---|
| JP6734248B2 (en) | 2020-08-05 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP6734248B2 (en) | Format conversion device and format conversion program | |
| CN104243315B (en) | Device and method for uniquely enumerating the path in analytic tree | |
| US6594655B2 (en) | Wildcards in radix- search tree structures | |
| US10122380B2 (en) | Compression of javascript object notation data using structure information | |
| US7602780B2 (en) | Scalably detecting and blocking signatures at high speeds | |
| JP5407883B2 (en) | Topology tree creation device, program, and method | |
| US20090138440A1 (en) | Method and apparatus for traversing a deterministic finite automata (DFA) graph compression | |
| US20080186974A1 (en) | System and method to process data packets in a network using stateful decision trees | |
| US20030123456A1 (en) | Methods and system for data packet filtering using tree-like hierarchy | |
| JP2013502130A (en) | Automatic address range detection for IP networks | |
| TW200415878A (en) | A method and apparatus for deep packet processing | |
| WO2010065418A1 (en) | Graph-based data search | |
| TW200934181A (en) | Method and system for packet classificiation with reduced memory space and enhanced access speed | |
| CN110083746B (en) | Quick matching identification method and device based on character strings | |
| CN111935081B (en) | Data packet desensitization method and device | |
| EP3529709A1 (en) | Systems and methods for scalable network modeling | |
| WO2012081148A1 (en) | Packet classifier, packet classification method and packet classification program | |
| Kesselman et al. | Space and speed tradeoffs in TCAM hierarchical packet classification | |
| CN106656948A (en) | Data packet modification method and related network device | |
| CN107689899A (en) | A kind of unknown protocol recognition methods and system based on bit stream | |
| CN105491094A (en) | HTTP request handling method and device | |
| CN111597139B (en) | Communication method, system, equipment and medium of GPU | |
| CN112054992B (en) | Malicious traffic identification method and device, electronic equipment and storage medium | |
| US11968286B2 (en) | Packet filtering using binary search trees | |
| Maudoux et al. | Combined Forest: A New Supervised Approach for a Machine-Learning-based Botnets Detection |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20190522 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20200312 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20200317 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20200514 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20200707 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20200709 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 6734248 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |