JP2022089178A - ネットワーク接続を分析するコンピュータ実施方法、コンピュータ・プログラム製品、およびコンピュータ・システム（ネットワーク・トラフィック規則の識別） - Google Patents

Abstract

【課題】ネットワーク接続を分析するコンピュータ実施方法を提供する。【解決手段】本方法は、対象とする接続および対応する１組の接続データを識別することを含む。本方法は、対象とする接続に対応する１つまたは複数のサリエンシ・マップを生成することをさらに含む。本方法は、生成された１つまたは複数のサリエンシ・マップを下層プロトコルおよびフィールドにマッピングすることと、下層プロトコルおよびフィールドの各々に対応する１つまたは複数の値を識別することとをさらに含む。本方法は、下層プロトコルおよびフィールドの各々に対応する識別された１つまたは複数の値から一般対応を抽出することをさらに含む。【選択図】図２

Description

本発明は、概して、ネットワーク分析の分野に関し、より詳細には、ネットワークにおける基本規則の検出に関する。

ディープ・ラーニングは、アセット・インベントリ、アセット監視、および他のネットワーク・トラフィック分析のための高性能の解決策を提供する。企業向けのアセット管理には、アセット・インベントリ、アセット・ライフサイクル管理、およびアセット監視を含むいくつかの重要なタスクが含まれる。ディープ・モデルは、精度、再現度、ｆ１スコアなどのメトリクスに対してはるかに高性能の能力を提供する。

サリエンシ・マップは、画像内の視覚的特徴を区別するために使用される画像処理技術である。たとえば、フル・カラー画像は、画像内に存在する最も強い色を分析および描写するために、白黒画像に変換される。他の例には、暗視技術を使用した光源の検出および描写を含むことができ、緑色を使用して明るさを描写することができ、黒色が暗い領域を描写する。サリエンシ・マップの概念は、画像分析以外の応用例に拡張されると本明細書では説明されており、厳密な画像データ以外のデータについて記述することができる特徴に基づいている。

本発明は、ネットワーク接続の分析として、アセット・インベントリ、アセット監視、および他のネットワーク・トラフィック分析などを行う際に、より高性能の能力を有するコンピュータ実施方法等を提供することを目的とする。

本明細書に開示するように、ネットワーク接続を分析するコンピュータ実施方法は、対象とする接続および対応する１組の接続データを識別することを含む。この方法は、対象とする接続に対応する１つまたは複数のサリエンシ・マップを生成することをさらに含む。この方法は、生成された１つまたは複数のサリエンシ・マップを下層プロトコルおよびフィールドにマッピングすることと、下層プロトコルおよびフィールドの各々に対応する１つまたは複数の値を識別することとをさらに含む。この方法は、下層プロトコルおよびフィールドの各々に対応する識別された１つまたは複数の値から一般対応を抽出することをさらに含む。この方法に対応するコンピュータ・プログラム製品およびコンピュータ・システムも開示される。

本発明の少なくとも１つの実施形態によるネットワーク・トラフィック分析システムを示すブロック図である。 本発明の少なくとも１つの実施形態によるネットワーク・トラフィック分析方法を示す流れ図である。 本発明の少なくとも１つの実施形態による例示的なバイト・ストリームのマッピングを示す図である。 本発明の一実施形態による画像分析システムを実行する計算システムの構成要素のブロック図である。

ディープ・ラーニングに関して説明するとき、サリエンシ・マップは、画像を計算するために使用される視覚化技術に対応する。この技術は、視覚処理のコンテキストで画像の画素、解像度などの一意の特徴を指す画像のサリエンシの概念に由来する。前記一意の特徴は、画像内の対象とする箇所を一意に示し、サリエンシ・マップは、画像に対する対象とする箇所の地形表現である。具体的には、サリエンシ・マップは、視覚フィールド内のすべての箇所の顕著性またはサリエンシをスカラ量によって表し、最終的には、サリエンシの空間分布に基づいて、一意の箇所の選択を誘導する。

図１は、本発明の少なくとも１つの実施形態によるネットワーク・トラフィック分析システム１００を示すブロック図である。図示のように、ネットワーク・トラフィック分析システム１００は、計算システム１１０、ネットワーク１２０、および計算システム１３０を含む。ネットワーク・トラフィック分析システム１００は、システム内の接続に関する規則および依存性の分析および識別を可能にすることができる。

計算システム１１０は、デスクトップ・コンピュータ、ラップトップ・コンピュータ、特殊コンピュータ・サーバ、または当技術分野では知られている任意の他のコンピュータ・システムとすることができる。いくつかの実施形態では、計算システム１１０は、クラスタ化されたコンピュータを利用して、シームレス資源の単一のプールとして作用するコンピュータ・システムである。概して、計算システム１１０は、図４に関してより詳細に説明するように、データを受信および伝送することが可能な任意の電子デバイスまたは電子デバイスの組合せを表す。計算システム１１０は、図４に関してさらに詳細に図示および説明するように、内部および外部のハードウェア構成要素を含むことができる。

図示のように、計算システム１１０は、接続分析アプリケーション１１５を含む。接続分析アプリケーション１１５は、図２に関して説明するものなどのネットワーク・トラフィック分析方法を実行するように構成することができる。接続分析アプリケーション１１５は、上記または下記で詳述する動作ステップのいずれかを実行することが可能とすることができる。少なくともいくつかの実施形態では、接続分析アプリケーション１１５は、計算システム１１０と計算システム１３０Ａおよび１３０Ｂのいずれかとの間の接続を分析するように構成される。

計算システム１３０は各々、デスクトップ・コンピュータ、ラップトップ・コンピュータ、特殊コンピュータ・サーバ、または当技術分野では知られている任意の他のコンピュータ・システムとすることができる。いくつかの実施形態では、計算システム１３０は、クラスタ化されたコンピュータを利用して、シームレス資源の単一のプールとして作用するコンピュータ・システムである。概して、計算システム１３０は、図４に関してより詳細に説明するように、データを受信および伝送することが可能な任意の電子デバイスまたは電子デバイスの組合せを表す。計算システム１３０は、図４に関してさらに詳細に図示および説明するように、内部および外部のハードウェア構成要素を含むことができる。

ネットワーク１２０は、たとえば、ローカル・エリア・ネットワーク（ＬＡＮ）、インターネットなどのワイド・エリア・ネットワーク（ＷＡＮ）、または２つの組合せとすることができ、有線、無線、または光ファイバ接続を含むことができる。概して、ネットワーク１２０は、計算システム１１０と計算システム１３０との間の通信に対応する接続およびプロトコルの任意の組合せとすることができる。

図２は、本発明の少なくとも１つの実施形態によるネットワーク・トラフィック分析方法２００を示す流れ図である。図示のように、ネットワーク・トラフィック分析方法２００は、対象とする接続を識別すること（２１０）と、対象とする接続に対応するサリエンシ・マップを生成すること（２２０）と、生成されたサリエンシ・マップを下層プロトコルおよびフィールドにマッピングすること（２３０）と、下層プロトコルおよびフィールドの各々に対応する１つまたは複数の値を識別すること（２４０）と、下層プロトコルおよびフィールドの各々に対応する識別された１つまたは複数の値から一般対応を抽出すること（２５０）と、抽出された対応を表す一般規則を生成すること（２６０）とを含む。

ネットワークまたは対象とする接続を識別すること（２１０）は、分析すべき１つまたは１組の接続の指示を受信することを含むことができる。少なくともいくつかの実施形態では、対象とする接続を識別すること（２１０）は、１組のネットワーク・トラフィック・データを識別することを含む。ネットワーク・トラフィック・データは、１つまたは複数のバイト・ストリームを含むことができる。少なくともいくつかの実施形態では、対象とする接続を識別すること（２１０）は、前記対象とする接続へデータがそれぞれ送信される１つまたは複数の明確に定義されたプロトコルを識別することを含む。

対象とする接続に対応するサリエンシ・マップを生成すること（２２０）は、対象とする接続に対応するデータに対してアテンション・ベースのモデリングを実施することを含むことができる。少なくともいくつかの実施形態では、対象とする接続に対応するサリエンシ・マップを生成すること（２２０）は、対象とする接続に対応する１つまたは複数のバイト・ストリームにアテンション・ベースのモデルを適用することを含む。アテンション・ベースのモデルは、アテンションの重みをバイト・ストリームの様々な部分に帰するように構成することができる。少なくともいくつかの実施形態では、アテンションの重みは、バイト・ストリームの分析された部分の重要性を正確に反映するために適用される。アテンション・モデルは、アテンションをグローバル・アテンションおよびローカル・アテンションという２つのタイプに分割することができる。グローバル・アテンションが実施される場合、バイト・ストリーム内のすべてのソース位置に注意が払われ、ローカル・アテンションが実施される場合、バイト・ストリーム内のいくつかのソース位置にのみ注意が払われる。ローカル・アテンションに関しては、注意が払われる位置は、顕著なバイトを含む可能性が最も高い位置に対応する。グローバル・アテンションに関しては、特定のバイトに注意を払うことが不可能または不正確になる可能性があり、したがってすべてのバイト位置にわたって均一に注意を払うことができる。追加の実施形態では、ローカルおよびグローバル・アテンションは、１つのバイト位置に払われる注意の分散化を指すことができる。たとえば、バイト・ストリームを様々なより大きいチャンクまたはセグメントに分割することができる。これらのセグメントの各々に関して、バイト位置は、一意の「重要性」または重みを保持することができる。したがって、そのような状況では、ローカル・アテンションを適用することができ、したがって第１のセグメントに対するバイト位置が第１の重みを保持し、その同じ位置にある第２のセグメントに対するバイトが第２の重みを保持する。そのようなセグメントの識別が適用可能でない実施形態、またはバイト・ストリームの分析前に様々なバイト位置の識別を実現することができない実施形態では、バイト・ストリーム内の値を不適切に特徴付けしないように、グローバル・アテンションを代わりに実施することができる。少なくともいくつかの実施形態では、使用されるアテンション・ベースのモデルは、生のＴＣＰ／ＵＤＰストリームで訓練される。このモデルのアテンションの重みは、予測において重要な役割を担うバイトのシーケンスを強調することによって、サリエンシ・マップを提供する。

対象とする接続に対応するサリエンシ・マップを生成すること（２２０）は、ガウス・ピラミッドを作成して、対象とする接続に対応する１つまたは複数の対象とする特徴に対して特徴マップを作成することをさらに含むことができる。ピラミッド表現は、一種のマルチスケールの信号表現であり、信号または画像が繰返しの平滑化およびサブサンプリングを受ける。ピラミッド表現は、ローパスおよびバンドパスという２つの主なタイプに分割することができる。ローパス・ピラミッドを作成することは、画像または信号を平滑化し、平滑化された画像を、場合により各座標方向に沿って２倍でサブサンプリングすることを含む。その結果得られる画像または信号は次いで、同じ手順にかけられ、このサイクルが繰返し実行される。各サイクルの結果、より小さい画像または信号が得られて、平滑化が増大するが、空間サンプリング密度は減少する。画像に対して実行されるとき、これらの結果の図形表現によってピラミッドがもたらされ、元の画像が上に位置し、結果として得られる画像はそこから互いに積み重ねられる。ガウス・ピラミッドは、具体的には、ガウス平均を使用して重みが減らされ、したがって縮小される。ローカル平均を含む各画素またはバイトは、ピラミッドのより低いレベルにある近傍の画素またはバイトに対応する。

いくつかの実施形態では、対象とする接続に対応するサリエンシ・マップを生成すること（２２０）は、１つのクラスにおける１つまたは複数の生成されたサリエンシ・マップを集約し、そのクラスに対する規則を形成することを含む。この点について説明するために、特有のベンダからのデバイスからのすべての接続を見たいと考える可能性がある。複数の接続における結果を集約することで、フィールドｋ内にＶの値を有することが前記特有のベンダにとって非常に特異的となり得ることを明らかにすることができる。各入力に対して、スライディングウインドウは、そのシーケンスのアテンションの重みを合計する。次いで、各シーケンスに対する重みが、複数のインスタンスにわたって計算および合計され、各インスタンスは、別個の接続に対応することができる。このウィンドウの目標は、重要なシーケンスを学習することである。上記の例を引き続き参照すると、フィールドｋ内の「ＡＢＣＤ」のシーケンスが別のベンダにとって非常に特異的となり得ることを明らかにすることができる。本発明の実施形態では、バイト値によるサリエンシ・マップを構築し、言い換えれば、バイト・ストリームに対して各バイトが値を有しており、サリエンシ方法は、各バイトに適合性スコアを割り当てる。バイトに対する値の重要性は、バイト・ストリームのコンテキストに完全に依存しており、したがって重要であるものとして評価することができる値とできない値とを一般化しようとすることは実用的でないことを理解されたい。受信されるバイト・ストリームのコンテキストに関して理解される重要性を考慮して、バイト・ストリームが受信される前に、バイト値に適合性スコアを割り当てることができる。

生成されたサリエンシ・マップを下層プロトコルおよびフィールドにマッピングする（２３０）ことは、バイト・ストリームのうち対象とする接続に関して受信された部分と、バイト・ストリームの前記部分によって示される下層プロトコルとの間の関連付けを偽造することを含むことができる。たとえば、ＴＣＰ接続に対して、位置ＸおよびＸ＋Ｋに対するバイトＸ～（Ｘ＋Ｋ）は、サリエンシ・マップによって強調することができる。サリエンシ・マップの結果に基づいて、これらのバイトまたは部分は特に関心が高いと判定したとき、生成されたサリエンシ・マップを下層プロトコルにマッピングすること（２３０）は、前記バイトの位置を識別し、前記位置が特定のフィールドに対応するかどうかを処理することによって継続する。前述したＴＣＰ接続の例を参照すると、ＴＣＰ接続に対するバイトＸ～Ｘ＋Ｋの分析は、前記バイトが対応するＨＴＴＰプロトコルのユーザ・エージェント・フィールドに対応することをもたらすことができる。この場合、生成されたサリエンシ・マップを下層プロトコルおよびフィールドにマッピングする（２３０）ことは、サリエンシ・マップの該当部分（すなわち、たとえばバイトＸ～Ｘ＋Ｋに対応する部分）を、前記部分が影響するユーザ・エージェント・フィールドに関連付けることを含む。

図３は、バイト・ストリームのセクションを下層プロトコル構造体およびフィールドにマッピングするプロセスの一例を示す。図示のように、バイト・ストリームは、グレースケールによって示すように、セクションに分割される。これらのセクションの各々は、示されているプロトコル構造体内の１つまたは複数のフィールドに対応すると識別される。図示のように、バイト・ストリームの様々なセクションが、複数のプロトコル構造体型に対応する。これらの対応は、バイト・ストリームの各セクションを下層プロトコル構造体のうちの１つまたは複数における１つまたは複数のフィールドへ接続する線によって示されている。図３は、サリエンシ・マップ（またはバイト・ストリーム）から下層フィールドおよびプロトコルへのマッピングの単一の例のみに対応することを理解されたい。実施形態が存在することができる。

下層プロトコルおよびフィールドの各々に対応する１つまたは複数の値を識別すること（２４０）は、生成されたサリエンシ・マップと対象とする接続との間の関連付けに関して識別されたフィールドの各々に対応する少なくとも１つの値を識別することを含むことができる。

下層プロトコルおよびフィールドの各々に対応する識別された１つまたは複数の値から一般対応を抽出すること（２５０）は、下層プロトコルおよびフィールドの各々に対応する識別された１つまたは複数の値によって示される１つまたは複数のエンティティまたは特徴を識別することを含むことができる。たとえば、場合により、特定のフィールドに対する値は、適当なフィールドまたは下層プロトコルに対応するデータを提供または受信することができるエンティティまたはデバイスを示すネットワーク・アドレスを示すことができる。言い換えれば、識別された１つまたは複数の値は、対象とする接続において伝送されるバイト・ストリームのうち、アテンション・モデリングに従って最も重要である部分に影響または寄与する１つまたは複数のエンティティ、デバイス、またはアドレスを示すことができる。たとえば、バイト・ストリームの５つの部分が、対応するアテンション・ベースのモデルに従って重要性が高いと識別された状況を考慮されたい。これらの部分は、最大の注意が払われている部分、すなわち最大に観察されまたは相互作用される部分とすることができる。この実施形態では、バイト・ストリームの識別された部分のうちの４つが、ネットワーク・アドレスＸに対応する。言い換えれば、いずれにせよ、バイト・ストリームのこれらの部分は、ネットワーク・アドレスＸに位置するデバイスに影響し、またはその影響を受ける。そのような場合、ネットワーク・アドレスＸに対応するデバイスによって提供されるデータ、またはそのようなデバイスに提供されるデータは、重要性が高いと考えることができる。

追加の実施形態では、下層プロトコルおよびフィールドの各々に対応する識別された１つまたは複数の値から一般対応を抽出すること（２５０）は、識別された１つまたは複数の値が互いに対する関係を共有するかどうかを判定することをさらに含む。たとえば、バイト・ストリームの２つの部分は、互いに依存する要求またはコマンドに対応することができる。簡単な例示的な実施形態としては、バイト・ストリームの最初の識別された部分が、いくらかのデータＸを提供し、バイト・ストリームの後の部分が、データＸのいくらかの部分を利用する実施形態が挙げられる。そのような部分は、互いに対応または依拠するものとしてタグ付けまたはラベル付けすることができる。

抽出された対応を表す一般規則を生成すること（２６０）は、バイト・ストリームの識別された部分と、識別された部分に関して識別された値と、対応との間に、傾向が存在するか否かを判定することを含むことができる。たとえば、抽出された対応を表す一般規則を生成すること（２６０）は、Ｘの値を示すバイト・ストリームの各部分が重要であると識別されたと判定することを含むことができる。次いで、バイト・ストリームの一部分が前記値Ｘに対応すると判定されるとすぐ、あらゆる追加の分析の前に、前記部分を重要であると即座にマークすることができるように、対応する規則を生成することができる。たとえば、バイト・ストリームが位置ｋに特定の値Ｖを有する場合、対応するデバイスはサーバＸへの接続を確立していると判定することができる。そのような対応を識別することで、前記対応を考慮して立てることができる仮定に基づいて、後続の規則の作成を同様に可能にすることができる。他の実施形態では、抽出された対応を表す一般規則を生成すること（２６０）は、値のすべてのインスタンスが、特定の箇所から受信されたデータに対応するかどうかを判定することを含み、そのような実施形態では、この規則は、特定のフィールド内の値Ｘを有するいずれかのバイト・ストリーム部分が、特定のデバイスによって提供されるデータに対応することを示すことができる。そのような規則を生成することで、後続の接続に関する事前分析の必要をなくすことができ、それによって追加の処理の必要をなくすことができる。

図４は、本発明の説明的な実施形態による計算システム１１０の構成要素のブロック図を示す。図４は、１つの実装についての説明を提供するだけであり、異なる実施形態を実施することができる環境に関するいかなる限定も示唆しないことを理解されたい。示されている環境には、多くの修正を加えることができる。

図示のように、コンピュータ４００は、コンピュータ・プロセッサ４０４と、メモリ４０６と、永続ストレージ４０８と、通信ユニット４１２と、入出力（Ｉ／Ｏ）インターフェース４１４との間の通信を提供する通信ファブリック４０２を含む。通信ファブリック４０２は、システム内のプロセッサ（マイクロプロセッサ、通信およびネットワーク・プロセッサなど）と、システム・メモリと、周辺デバイスと、任意の他のハードウェア構成要素との間で、データまたは制御情報あるいはその両方を通過させるように設計された任意のアーキテクチャによって実施することができる。たとえば、通信ファブリック４０２は、１つまたは複数のバスによって実施することができる。

メモリ４０６および永続ストレージ４０８は、コンピュータ可読記憶媒体である。この実施形態では、メモリ４０６は、ランダム・アクセス・メモリ（ＲＡＭ）４１６およびキャッシュ・メモリ４１８を含む。概して、メモリ４０６は、任意の好適な揮発性または不揮発性のコンピュータ可読記憶媒体を含むことができる。

メモリ４０６のうちの１つまたは複数のメモリを介して、それぞれのコンピュータ・プロセッサ４０４のうちの１つまたは複数によるアクセスまたは実行あるいはその両方のために、永続ストレージ４０８内に１つまたは複数のプログラムを記憶することができる。この実施形態では、永続ストレージ４０８は、磁気ハード・ディスク・ドライブを含む。磁気ハード・ディスク・ドライブに対する別法または追加として、永続ストレージ４０８は、固体状態ハード・ドライブ、半導体記憶デバイス、読取り専用メモリ（ＲＯＭ）、消去可能プログラマブル読取り専用メモリ（ＥＰＲＯＭ）、フラッシュ・メモリ、またはプログラム命令もしくはデジタル情報を記憶することが可能な任意の他のコンピュータ可読記憶媒体を含むことができる。

永続ストレージ４０８によって使用される媒体はまた、取外し可能とすることもできる。たとえば、永続ストレージ４０８に取外し可能なハード・ドライブを使用することができる。他の例には、同じく永続ストレージ４０８の一部である別のコンピュータ可読記憶媒体への伝達のためにドライブに挿入される光および磁気ディスク、サム・ドライブ、およびスマート・カードが含まれる。

これらの例では、通信ユニット４１２は、他のデータ処理システムまたはデバイスとの通信を提供する。これらの例では、通信ユニット４１２は、１つまたは複数のネットワーク・インターフェース・カードを含む。通信ユニット４１２は、物理通信リンクおよび無線通信リンクのいずれかまたは両方を使用することによって、通信を提供することができる。

Ｉ／Ｏインターフェース４１４は、コンピュータ４００に接続することができる他のデバイスとのデータの入力および出力を可能にする。たとえば、Ｉ／Ｏインターフェース４１４は、キーボード、キーパッド、タッチ・スクリーン、または何らかの他の好適な入力デバイスなどの外部デバイス４２０あるいはその組合せへの接続を提供することができる。外部デバイス４２０はまた、たとえば、サム・ドライブ、携帯型の光または磁気ディスク、およびメモリ・カードなどの携帯型コンピュータ可読記憶媒体を含むことができる。本発明の実施形態を実行するために使用されるソフトウェアおよびデータは、そのような携帯型コンピュータ可読記憶媒体に記憶することができ、Ｉ／Ｏインターフェース４１４を介して永続ストレージ４０８へロードすることができる。Ｉ／Ｏインターフェース４１４はまた、ディスプレイ４２２に接続する。

ディスプレイ４２２は、ユーザにデータを表示するための機構を提供し、たとえばコンピュータ・モニタとすることができる。

本明細書に記載するプログラムは、本発明の特有の実施形態においてそれらのプログラムが実施される応用例に基づいて識別される。しかし、本明細書では、いずれの特定のプログラムの用語も便宜上使用しただけであり、したがって本発明は、そのような用語によって識別または示唆あるいはその両方が行われる何らかの特有の応用例のみでの使用に限定されるべきではないことを理解されたい。

本発明は、可能なあらゆる技術的詳細統合レベルのシステム、方法、またはコンピュータ・プログラム製品あるいはその組合せとすることができる。コンピュータ・プログラム製品は、プロセッサに本発明の態様を実施させるためのコンピュータ可読プログラム命令を有するコンピュータ可読記憶媒体を含むことができる。

コンピュータ可読記憶媒体は、命令実行デバイスによって使用するための命令を保持および記憶することができる有形のデバイスとすることができる。コンピュータ可読記憶媒体は、たとえば、それだけに限定されるものではないが、電子記憶デバイス、磁気記憶デバイス、光記憶デバイス、電磁記憶デバイス、半導体記憶デバイス、または上記の任意の好適な組合せとすることができる。コンピュータ可読記憶媒体のより具体的な例の非網羅的な一覧には、携帯型コンピュータ・ディスケット、ハード・ディスク、ランダム・アクセス・メモリ（ＲＡＭ）、読取り専用メモリ（ＲＯＭ）、消去可能プログラマブル読取り専用メモリ（ＥＰＲＯＭまたはフラッシュ・メモリ）、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ）、携帯型コンパクト・ディスク読取り専用メモリ（ＣＤ－ＲＯＭ）、デジタル・バーサタイル・ディスク（ＤＶＤ）、メモリ・スティック、フロッピー（Ｒ）・ディスク、命令が記録されたパンチカードまたは溝の中の浮出し構造体などの機械的コード化デバイス、および上記の任意の好適な組合せが含まれる。本明細書では、コンピュータ可読記憶媒体は、無線波または他の自由に伝播する電磁波、導波管もしくは他の伝送媒体を通って伝播する電磁波（たとえば、光ファイバ・ケーブルを通過する光パルス）、またはワイヤを通って伝送される電気信号などの一過性の信号自体であると解釈されるべきではない。

本明細書に記載するコンピュータ可読プログラム命令は、コンピュータ可読記憶媒体からそれぞれの計算／処理デバイスへダウンロードすることができ、あるいはネットワーク、たとえばインターネット、ローカル・エリア・ネットワーク、ワイド・エリア・ネットワーク、もしくは無線ネットワークまたはその組合せを介して外部コンピュータもしくは外部記憶デバイスへダウンロードすることができる。ネットワークは、銅伝送ケーブル、光伝送ファイバ、無線伝送、ルータ、ファイアウォール、スイッチ、ゲートウェイ・コンピュータ、またはエッジ・サーバあるいはその組合せを含むことができる。各計算／処理デバイス内のネットワーク・アダプタ・カードまたはネットワーク・インターフェースが、ネットワークからコンピュータ可読プログラム命令を受信し、それらのコンピュータ可読プログラム命令を、それぞれの計算／処理デバイス内のコンピュータ可読記憶媒体での記憶のために転送する。

本発明の動作を実施するためのコンピュータ可読プログラム命令は、アセンブラ命令、命令セット・アーキテクチャ（ＩＳＡ）命令、機械命令、機械依存命令、マイクロコード、ファームウェア命令、状態設定データ、集積回路のための構成データ、またはソース・コードもしくはオブジェクト・コードとすることができ、Ｓｍａｌｌｔａｌｋ（Ｒ）、Ｃ＋＋などのオブジェクト指向プログラミング言語を含む１つもしくは複数のプログラミング言語、および「Ｃ」プログラミング言語などの手続き型プログラミング言語、または類似のプログラミング言語の任意の組合せで書かれている。コンピュータ可読プログラム命令は、全体的にユーザのコンピュータで、独立型ソフトウェア・パッケージとして部分的にユーザのコンピュータで、部分的にユーザのコンピュータおよび部分的に遠隔コンピュータで、または全体的に遠隔コンピュータもしくはサーバで実行することができる。後者のシナリオでは、遠隔コンピュータは、ローカル・エリア・ネットワーク（ＬＡＮ）もしくはワイド・エリア・ネットワーク（ＷＡＮ）を含む任意のタイプのネットワークを介して、ユーザのコンピュータに接続することができ、または外部コンピュータへの接続を形成することができる（たとえば、インターネット・サービス・プロバイダを使用してインターネットを経由）。いくつかの実施形態では、たとえばプログラマブル論理回路、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）、またはプログラマブル論理アレイ（ＰＬＡ）を含む電子回路が、本発明の態様を実行するために、コンピュータ可読プログラム命令の状態情報を利用して電子回路をパーソナライズすることによって、コンピュータ可読プログラム命令を実行することができる。

本発明の態様について、本発明の実施形態による方法、装置（システム）、およびコンピュータ・プログラム製品の流れ図またはブロック図あるいはその両方を参照して、本明細書に説明した。流れ図またはブロック図あるいはその両方の各ブロック、および流れ図またはブロック図あるいはその両方のブロックの組合せは、コンピュータ可読プログラム命令によって実施することができることが理解されよう。

これらのコンピュータ可読プログラム命令は、コンピュータまたは他のプログラマブル・データ処理装置のプロセッサを介して実行される命令が、流れ図またはブロック図あるいはその両方の１つまたは複数のブロックに指定される機能／動作を実施するための手段を生成するように、コンピュータまたは他のプログラマブル・データ処理装置のプロセッサに提供して、機械を作り出すことができる。これらのコンピュータ可読プログラム命令はまた、命令が記憶されたコンピュータ可読記憶媒体が、流れ図またはブロック図あるいはその両方の１つまたは複数のブロックに指定される機能／動作の態様を実施する命令を含む製品を含むように、コンピュータ可読記憶媒体内に記憶することができ、コンピュータ、プログラマブル・データ処理装置、または他のデバイスあるいはその組合せに特定の方法で機能するように指示することができる。

コンピュータ可読プログラム命令はまた、コンピュータ、他のプログラマブル装置、または他のデバイスで実行される命令が、流れ図またはブロック図あるいはその両方の１つまたは複数のブロックに指定される機能／動作を実施するように、コンピュータ、他のプログラマブル・データ処理装置、または他のデバイスへロードして、一連の動作ステップをコンピュータ、他のプログラマブル装置、または他のデバイスで実行させ、コンピュータ実施プロセスを作り出すことができる。

これらの図の流れ図およびブロック図は、本発明の様々な実施形態によるシステム、方法、およびコンピュータ・プログラム製品の可能な実装のアーキテクチャ、機能性、および動作を示す。この点で、流れ図またはブロック図の各ブロックは、指定の論理機能を実施するための１つまたは複数の実行可能な命令を含む命令のモジュール、セグメント、または部分を表すことができる。いくつかの代替実装では、ブロックに記載の機能を、図に示す順序以外で行うこともできる。たとえば、必要とされる機能性に応じて、連続して示されている２つのブロックを、実際には１つのステップとして実現することができ、部分的もしくは完全に時間的に重複して同時に、実質的に同時に実行することができ、または場合により、ブロックを逆の順序で実行することができる。ブロック図または流れ図あるいはその両方の各ブロック、およびブロック図または流れ図あるいはその両方のブロックの組合せは、指定の機能もしくは動作の実行または専用ハードウェアおよびコンピュータ命令の組合せの実施を行う専用ハードウェアに基づくシステムによって実施することができることにも留意されたい。

本発明の様々な実施形態の説明は、例示の目的で提示されており、開示する実施形態に関して網羅的または限定的であることを意図したものではない。本発明の範囲および思想から逸脱することなく、多くの修正形態および変形形態が当業者には明らかである。本明細書に使用される術語は、実施形態の原理、実用的な応用例、もしくは市場に見られる技術に対する技術的な改善について最もよく説明するために、または本明細書に開示する実施形態を当業者が理解することが可能になるように選択されたものである。

１００ ネットワーク・トラフィック分析システム
１１０ 計算システム
１１５ 接続分析アプリケーション
１２０ ネットワーク
１３０Ａ 計算システム
１３０Ｂ 計算システム
４００ コンピュータ
４０２ 通信ファブリック
４０４ コンピュータ・プロセッサ
４０６ メモリ
４０８ 永続ストレージ
４１２ 通信ユニット
４１４ 入出力（Ｉ／Ｏ）インターフェース
４１６ ランダム・アクセス・メモリ（ＲＡＭ）
４１８ キャッシュ・メモリ
４２０ 外部デバイス
４２２ ディスプレイ

Claims (20)

1. ネットワーク接続を分析するコンピュータ実施方法であって、
   対象とする接続および対応する１組の接続データを識別することと、
   前記対象とする接続に対応する１つまたは複数のサリエンシ・マップを生成することと、
   前記生成された１つまたは複数のサリエンシ・マップを下層プロトコルおよびフィールドにマッピングすることと、
   前記下層プロトコルおよびフィールドの各々に対応する１つまたは複数の値を識別することと、
   前記下層プロトコルおよびフィールドの各々に対応する前記識別された１つまたは複数の値から一般対応を抽出することとを含む、コンピュータ実施方法。
2. 前記抽出された対応を表す一般規則を生成することをさらに含む、請求項１に記載のコンピュータ実施方法。
3. 前記対象とする接続に対応する１つまたは複数のサリエンシ・マップを生成することが、データのうち前記対象とする接続を介して伝送された部分に向けられた注意を示すマップを作成することを含む、請求項１に記載のコンピュータ実施方法。
4. 前記対応する１組の接続データが、１つまたは複数のバイト・ストリームを含む、請求項１に記載のコンピュータ実施方法。
5. 前記対象とする接続に対応する１つまたは複数のサリエンシ・マップを生成することが、前記バイト・ストリームの一部に払われた注意に従って前記バイト・ストリームの前記一部が強調されるように、前記１つまたは複数のバイト・ストリームに対応する１つまたは複数のサリエンシ・マップを生成することを含む、請求項４に記載のコンピュータ実施方法。
6. 前記生成された１つまたは複数のサリエンシ・マップを下層プロトコルおよびフィールドにマッピングすることが、前記バイト・ストリームの１つまたは複数の部分を、前記バイト・ストリームの前記１つまたは複数の部分によって影響された下層フィールドまたはプロトコルにマッピングすることを含む、請求項５に記載のコンピュータ実施方法。
7. 前記対象とする接続に対応するサリエンシ・マップを生成することが、
   受信された前記１つまたは複数のバイト・ストリームに対応するコンテキストを識別することと、
   前記バイト・ストリームを分析して、前記識別されたコンテキストに対する前記バイト・ストリーム内の１つまたは複数の値に対応する重要性レベルを判定することと、
   前記判定された重要性レベルに基づいて、前記バイト・ストリーム内の前記値に１つまたは複数の重みを割り当てることとを含む、請求項４に記載のコンピュータ実施方法。
8. ネットワーク接続を分析するコンピュータ・プログラム製品であって、
   １つまたは複数のコンピュータ可読記憶媒体と、前記１つまたは複数のコンピュータ可読記憶媒体に記憶されたプログラム命令とを備え、前記プログラム命令が、
   対象とする接続を識別し、
   前記対象とする接続に対応するサリエンシ・マップを生成し、
   前記生成されたサリエンシ・マップを下層プロトコルおよびフィールドにマッピングし、
   前記下層プロトコルおよびフィールドの各々に対応する１つまたは複数の値を識別し、
   前記下層プロトコルおよびフィールドの各々に対応する前記識別された１つまたは複数の値から一般対応を抽出するための命令を含む、コンピュータ・プログラム製品。
9. 前記抽出された対応を表す一般規則を生成するための命令をさらに備える、請求項８に記載のコンピュータ・プログラム製品。
10. 前記対象とする接続に対応する１つまたは複数のサリエンシ・マップを生成するための命令が、データのうち前記対象とする接続を介して伝送された部分に向けられた注意を示すマップを作成するための命令を含む、請求項８に記載のコンピュータ・プログラム製品。
11. 対応する１組の接続データが、１つまたは複数のバイト・ストリームを含む、請求項８に記載のコンピュータ・プログラム製品。
12. 前記対象とする接続に対応する１つまたは複数のサリエンシ・マップを生成するための命令が、前記バイト・ストリームの一部に払われた注意に従って前記バイト・ストリームの前記一部が強調されるように、前記１つまたは複数のバイト・ストリームに対応する１つまたは複数のサリエンシ・マップを生成するための命令を含む、請求項１１に記載のコンピュータ・プログラム製品。
13. 前記生成された１つまたは複数のサリエンシ・マップを下層プロトコルおよびフィールドにマッピングするための命令が、前記バイト・ストリームの１つまたは複数の部分を、前記バイト・ストリームの前記１つまたは複数の部分によって影響された下層フィールドまたはプロトコルにマッピングするための命令を含む、請求項１２に記載のコンピュータ・プログラム製品。
14. 前記対象とする接続に対応するサリエンシ・マップを生成するための命令が、
    受信された前記１つまたは複数のバイト・ストリームに対応するコンテキストを識別し、
    前記バイト・ストリームを分析して、前記識別されたコンテキストに対する前記バイト・ストリーム内の１つまたは複数の値に対応する重要性レベルを判定し、
    前記判定された重要性レベルに基づいて、前記バイト・ストリーム内の前記値に１つまたは複数の重みを割り当てるための命令を含む、請求項１１に記載のコンピュータ・プログラム製品。
15. ネットワーク接続を分析するコンピュータ・システムであって、
    １つまたは複数のコンピュータ・プロセッサと、
    １つまたは複数のコンピュータ可読記憶媒体と、
    前記１つまたは複数のコンピュータ・プロセッサのうちの少なくとも１つによる実行のために前記コンピュータ可読記憶媒体に記憶されたプログラム命令とを備え、前記プログラム命令が、
    対象とする接続を識別し、
    前記対象とする接続に対応するサリエンシ・マップを生成し、
    前記生成されたサリエンシ・マップを下層プロトコルおよびフィールドにマッピングし、
    前記下層プロトコルおよびフィールドの各々に対応する１つまたは複数の値を識別し、
    前記下層プロトコルおよびフィールドの各々に対応する前記識別された１つまたは複数の値から一般対応を抽出するための命令を含む、コンピュータ・システム。
16. 前記抽出された対応を表す一般規則を生成するための命令をさらに備える、請求項１５に記載のコンピュータ・システム。
17. 前記対象とする接続に対応する１つまたは複数のサリエンシ・マップを生成するための命令が、データのうち前記対象とする接続を介して伝送された部分に向けられた注意を示すマップを作成するための命令を含む、請求項１５に記載のコンピュータ・システム。
18. 対応する１組の接続データが、１つまたは複数のバイト・ストリームを含む、請求項１５に記載のコンピュータ・システム。
19. 前記対象とする接続に対応する１つまたは複数のサリエンシ・マップを生成するための命令が、前記バイト・ストリームの一部に払われた注意に従って前記バイト・ストリームの前記一部が強調されるように、前記１つまたは複数のバイト・ストリームに対応する１つまたは複数のサリエンシ・マップを生成するための命令を含む、請求項１８に記載のコンピュータ・システム。
20. 前記生成された１つまたは複数のサリエンシ・マップを下層プロトコルおよびフィールドにマッピングするための命令が、前記バイト・ストリームの１つまたは複数の部分を、前記バイト・ストリームの前記１つまたは複数の部分によって影響された下層フィールドまたはプロトコルにマッピングするための命令を含む、請求項１９に記載のコンピュータ・システム。

Images