JP3957712B2

JP3957712B2 - 通信監視システム

Info

Publication number: JP3957712B2
Application number: JP2004337676A
Authority: JP
Inventors: 信之中村
Original assignee: Oki Electric Industry Co Ltd
Current assignee: Oki Electric Industry Co Ltd
Priority date: 2004-11-22
Filing date: 2004-11-22
Publication date: 2007-08-15
Anticipated expiration: 2024-11-22
Also published as: JP2006148686A

Description

この発明は、ネットワーク上での不正や異常を検出する通信監視システムに関する。

近年、インターネット等の通信ネットワークでは、ハッカー等による不正行為（攻撃や侵入等）の問題が顕著になっている。かかる問題への対処技術の一つとして、ネットワーク侵入検知システム(NIDS;Network Intrusion Detection System) が知られている。ネットワーク侵入検知システムとは、予め定めた判定ルールとネットワーク状態とを比較することによって、不正行為を検知するシステムである。

ネットワーク侵入検知システムの侵入検出アルゴリズムは、不正検出法と異常検出法とに大別される。不正検出法とは、不正行為が行われる際にネットワーク状態に表れる特徴を予め分析・ルール化しておき、ネットワーク状態がこのルールと一致したときに不正行為が行われていると判断する検出技術である。一方、異常検出法とは、正常時（不正行為等が発生していないとき）にネットワーク状態に表れる特徴を予め分析・ルール化しておき、ネットワーク状態がこのルールと一致しなくなったときに不正行為が行われていると判断する検出技術である。

これらの検出方法を比較すると、未知の不正行為等にも対処し得るという点では、異常検出法の方が優れている。しかしながら、異常検出法には、アルゴリズムが複雑であり、誤報率が高いという欠点がある。

これに対して、ＳＶＭ(Support Vector Machines) と称される学習装置を用いて異常検出ルールを作成する技術が、下記非特許文献１によって提案されている。この技術によれば、ヘッダ情報から得られる情報を統計的に学習して異常検出ルールを作成することにより、アルゴリズムの複雑化を伴わずに誤報率を下げることが可能になる。
宮本貴朗、他３名、「ＳＶＭを用いたネットワークトラヒックからの異常検出」、電子情報通信学会論文誌、電子通信情報学会、２００４年４月、Vol.J87-B No.4、p593-598

しかしながら、非特許文献１の技術には、以下のような欠点がある。
（１）非特許文献１の技術では、ネットワークの正常／異常を検出することはできるものの、システム管理者が異常の原因を判別することはできないという欠点がある。このため、非特許文献１の技術を採用したシステムでは、異常の原因を解明するためには人手で解析する必要があり、このため、多大なコストや時間等を要することになる。
（２）非特許文献１の技術では、ネットワークに異常が発生したことを検出できても、かかる異常がネットワーク全体の異常であるのか或いは局地的な異常であるのかを判断することはできない。このため、異常の発生が検出されたときに、正常状態を回復するための迅速な対策を取ることが困難である。
（３）非特許文献１の技術では、ネットワーク装置（例えばプローブ装置）毎にトラフィックデータを集積し続けるため、各ネットワーク装置は膨大なディスク資源を必要となる。さらには、ディスク資源へのデータ書き込み等に計算機資源を奪われることになるので、通信パケットの取りこぼし等の不都合が発生するおそれもある。
（４）非特許文献１の技術では、学習機能を用いるので、ネットワーク装置を設置する場所でのトラフィックの傾向を予め学習させる必要があり、したがって運用開始までの作業負担が大きい。
（５）非特許文献１の技術ではネットワーク装置毎に学習データを保存するが、この学習データは一般に秘密情報として扱われるため、ネットワーク装置毎に漏洩対策を施す必要があり、コスト増の原因になる。
（６）非特許文献１の技術では、学習機能を用いるので、小規模システム等で学習データが少ない場合には、誤報率を低く抑えることが困難になる。

この発明の課題は、信頼性が高く且つ低コストで実現できる通信監視システムを提供する点にある。

この発明に係る通信監視システムは、予め定められた測定周期でネットワーク装置を通過する通信パケットのトラフィックを測定するトラフィック測定部と、通信パケットから読み出された一種類または複数種類のヘッダ情報を測定周期毎に統計処理する統計計算部と、トラフィック測定部の測定結果および統計計算部の計算結果を含む複数の特徴項目を有する特徴情報を測定周期毎に作成・保持する特徴情報保持部と、特徴情報保持部が新しい特徴情報を作成するたびに特徴情報保持部から古い特徴情報を読み出して蓄積するデータベース部と、特徴情報保持部が新しい特徴情報を作成するたびに、所定の１または複数の特徴項目が新しい特徴情報と同一性の範囲内にある特徴情報をデータベース部から読み出し、読み出された特徴情報の他の特徴項目についての正常範囲を統計的に算出し、新しい特徴情報の他の特徴項目と正常範囲とを比較することによって異常の発生を判断する異常検出部とを備える。

本発明によれば、複数の特徴項目を含む特徴情報をデータベース部に順次蓄積し、これらの各特徴項目の相関性から異常検出部で正常／異常を判断するので、信頼性の高い通信監視システムを低コストで提供することができる。

以下、この発明の実施の形態について、図面を用いて説明する。なお、図中、各構成成分の大きさ、形状および配置関係は、この発明が理解できる程度に概略的に示してあるにすぎず、また、以下に説明する数値的条件は単なる例示にすぎない。

第１の実施形態
以下、この発明に係る通信監視システムの一実施形態について、この発明をプローブ装置に適用した場合を例に採り、図１および図２を用いて説明する。プローブ装置とは、通信トラフィックを監視する装置であり、ネットワークどうしを接続するインタフェース部分に設置される。

図１は、この実施形態に係るプローブ装置の要部構成を概略的に示すブロック図である。

図１に示したように、この実施形態のプローブ装置１００は、ネットワークインタフェース部１１０と、トラフィック測定部１２０と、パケット解析部１３０と、解析区切指定部１４０と、統計計算部１５０と、特徴情報保持部１６０と、データベース部１７０と、異常検出部１８０とを備える。

ネットワークインタフェース部１１０は、２つのネットワーク１９１，１９２どうしを接続する伝送路１９３上に配置され、この伝送路１９３上を伝送されるＩＰパケットを中継する。すなわち、これらのネットワーク１９１，１９２間を伝送されるＩＰパケットは、すべてネットワークインタフェース部１１０を通過する。

トラフィック測定部１２０は、解析区切指定部１４０が指定した測定周期毎に、ネットワークインタフェース部１１０を通過するＩＰパケット数やスループットを測定する。また、トラフィック測定部１２０は、解析区切指定部１４０から受信した測定周期情報に基づいて各測定周期の開始・終了日時を記録し、特徴情報保持部１６０に送る。

パケット解析部１３０は、ネットワークインタフェース部１１０を通過したＩＰパケットを解析して当該ＩＰパケットの種類やポート番号等（後述）を判別し、統計計算部１５０に送る。

解析区切指定部１４０は、トラフィック測定部１２０およびパケット解析部１３０の測定周期を制御する。測定周期としては、例えば、時間的な周期や総パケット数の周期等を採用することができる。

統計計算部１５０は、パケット解析部１３０から解析結果を受け取り、測定周期毎に統計処理を行う。

特徴情報保持部１６０は、トラフィック測定部１２０から測定結果や日時情報を受け取り、統計計算部１５０から処理結果を受け取る。そして、特徴情報保持部１６０は、これらの情報（以下、「特徴項目」と記す）を有する特徴情報を、測定周期毎に作成し、保持する（後述の図２参照）。また、特徴情報保持部１６０は、新しい特徴情報を作成するたびに、その直前に作成された古い特徴情報をデータベース部１７０に送るとともに、異常検出部１８０に更新通知信号を送る。

データベース部１７０は、特徴情報保持部１６０から受け取った特徴情報を、すべて蓄積する。

異常検出部１８０は、特徴情報保持部１６０の特徴情報が更新されるたびに、当該特徴情報とデータベース部１７０に蓄積された過去の特徴情報とを用いて、正常／異常の判断を行う（後述）。

図２は、特徴情報保持部１６０が作成した特徴情報の一例を示す表である。

図２に示したように、この実施形態の特徴情報は、特徴項目として、「日時」、「総パケット数」、「スループット」、「ＴＣＰパケット数」、「ＵＤＰパケット数」、「ＩＣＭＰパケット数」、「ＴＣＰウインドウズサイズ」、「ＴＣＰポート番号」、「送信元ＴＣＰポート番号」、「宛先ＴＣＰポート番号」、「ＵＤＰポート番号」、「発信元ＵＤＰポート番号」、「宛先ＵＤＰポート番号」、「ＴＣＰフラグ」、「ＴＣＰフラグセット」、「ＩＣＭＰタイプコード」、「ＩＰ−ＴＯＳ」、「ＩＰ−ＴＴＬ」、「ＩＰプロトコル」を含む。

「日時」とは、当該特徴情報に係る測定周期の開始・終了日時である。図２の例では、２００４年９月１０日の０時０分から０時５分までの５分間にネットワークインタフェース部１１０を通過したＩＰパケットに関する特徴情報であることを示している。この特徴項目は、トラフィック測定部１２０から取得される。

「総パケット数」は、当該測定周期内にネットワークインタフェース部１１０を通過したＩＰパケットの総数である。この特徴項目は、パケット解析部１３０によって測定される。

「スループット」は、当該プローブ装置１００の実効的な通信速度であり、アプリケーション層で単位時間内に処理できる情報量を規定する。この特徴項目は、トラフィック測定部１２０によって測定される。

「ＴＣＰパケット数」は、当該測定周期内にネットワークインタフェース部１１０を通過したＩＰパケットのうち、ＴＣＰパケット（トランスポート層のプロトコルとしてＴＣＰ(Transmission Control Protocol) を使用するパケット）の総数である。ＴＣＰパケット数は、パケット解析部１３０によって、測定周期毎にカウントされる。

「ＵＤＰパケット数」は、当該測定周期内にネットワークインタフェース部１１０を通過したＩＰパケットのうち、ＵＤＰパケット（トランスポート層のプロトコルとしてＵＤＰ(User Datagram Protocol)を使用するパケット）の総数である。この特徴項目も、パケット解析部１３０で、測定周期毎にカウントされる。

「ＩＣＭＰパケット数」は、当該測定周期内にネットワークインタフェース部１１０を通過したＩＰパケットのうち、ＩＣＭＰパケット（ＩＣＭＰ(Internet Control Message Protocol) を使用するパケット）の総数である。この特徴項目も、パケット解析部１３０で、測定周期毎にカウントされる。

「ＴＣＰウィンドウサイズ」は、ＴＣＰヘッダ内に格納された情報の一つであり、通信端末装置が一度に受信できるデータ量を示す値である。ＴＣＰウィンドウサイズは、パケット解析部１３０により、すべての通過ＴＣＰパケットから読み出される。そして、統計計算部１５０が、各ウィンドウサイズ値のＴＣＰパケット数をカウントし、カウント数が多いウィンドウサイズ値の上位３個をリストアップする。

「ＴＣＰポート番号」は、ＴＣＰヘッダ内に格納された情報の一つであり、ＴＣＰで使用されるポート番号（アプリケーションを特定するためにＩＰアドレスの下位に設けられる補助アドレス）である。ＴＣＰヘッダには、送信元ポート番号と宛先ポート番号とが格納されるが、この実施形態では、これらを総称してＴＣＰポート番号と記す。ＴＣＰポート番号は、パケット解析部１３０により、すべての通過ＴＣＰパケットから読み出される。そして、統計計算部１５０が、各ＴＣＰポート番号のＴＣＰパケット数をカウントし、カウント数が多いＴＣＰポート番号の上位５個をリストアップする。

「送信元ＴＣＰポート番号」は、上述のＴＣＰポート番号のうち、当該ＴＣＰパケットを送信したプローブ装置のアプリケーションを特定するためのポート番号である。送信元ＴＣＰポート番号は、パケット解析部１３０により、すべての通過ＴＣＰパケットから読み出される。そして、統計計算部１５０が、当該ポート番号毎のＴＣＰパケット数をカウントアップする。

「宛先ＴＣＰポート番号」は、上述のＴＣＰポート番号のうち、当該ＴＣＰパケットを受信する通信端末装置のアプリケーションを特定するためのポート番号である。宛先ＴＣＰポート番号は、パケット解析部１３０により、すべての通過ＴＣＰパケットから読み出される。そして、統計計算部１５０が、当該ポート番号毎のＴＣＰパケット数をカウントアップする。

「ＵＤＰポート番号」は、ＵＤＰヘッダ内に格納された情報の一つであり、ＵＤＰで使用されるポート番号である。この実施形態では、送信元ポート番号と宛先ポート番号とを総称してＵＤＰポート番号と記す。ＵＤＰポート番号は、パケット解析部１３０により、すべての通過ＵＤＰパケットから読み出される。そして、統計計算部１５０が、ＵＤＰポート番号毎のＵＤＰパケット数をカウントし、カウント数が多いＵＤＰポート番号の上位５個をリストアップする。

「送信元ＵＤＰポート番号」は、上述のＵＤＰポート番号のうち、当該ＵＤＰパケットを送信したプローブ装置のアプリケーションを特定するためのポート番号である。送信元ＵＤＰポート番号は、パケット解析部１３０により、すべての通過ＵＤＰパケットから読み出される。そして、統計計算部１５０が、当該ポート番号毎のＵＤＰパケット数をカウントアップする。

「宛先ＵＤＰポート番号」は、上述のＵＤＰポート番号のうち、当該ＵＤＰパケットを受信する通信端末装置のアプリケーションを特定するためのポート番号である。宛先ＵＤＰポート番号は、パケット解析部１３０により、すべての通過ＵＤＰパケットから読み出される。そして、統計計算部１５０が、当該ポート番号毎のＵＤＰパケット数をカウントアップする。

「ＴＣＰフラグ」は、ＴＣＰヘッダのフラグ領域（１バイト）に格納されたフラグのビット値である。このフラグ領域には、２ビットの予約フラグと、ＵＲＧフラグと、ＡＣＫフラグと、ＰＵＳＨフラグと、ＲＳＴフラグと、ＳＹＮフラグと、ＦＩＮフラグとが格納されている（図２の特徴項目ＮのＵ，Ａ，Ｐ，Ｒ，Ｓ，Ｆに対応）。パケット解析部１３０は、これらのフラグのうち予約フラグを除く６個について、フラグがセットされている（‘１’になっている）ＴＣＰパケット数をカウントする。

「ＴＣＰフラグセット」は、上述の６個のＴＣＰフラグのうち、セットされているフラグの組み合わせを示す情報である。パケット解析部１３０は、すべての通過ＴＣＰパケットのヘッダから各ＴＣＰフラグの値を読み出し、セットされているフラグの組み合わせ毎にＴＣＰパケット数をカウントする。例えば、ＡＣＫフラグおよびＳＹＮフラグの値は‘１’であるが他のフラグの値は‘０’のＴＣＰパケットが１個解析されたとき、‘ＡＣＫ＋ＳＹＮ’のＴＣＰパケット数が１個増加することになる。統計計算部１５０は、読み出し回数が多いフラグ値組み合わせの上位３個をリストアップする。

「ＩＣＭＰタイプコード」は、ＩＣＭＰパケットのヘッダ内に格納された情報の一つであり、ネットワーク制御のためのメッセージを示すタイプ（大分類）およびコード（小分類）である。例えばタイプ・コードが８・０の場合、エコー要求メッセージを示している。パケット解析部１３０は、すべての通過ＩＣＭＰパケットのヘッダからタイプおよびコードを読み出し、タイプコード毎のＩＣＭＰパケット数をカウントする。そして、統計計算部１５０が、カウント数が多いタイプ・コードの上位３個をリストアップする。

「ＩＰ−ＴＯＳ」は、ＩＰヘッダのＴＯＳ(Type Of Service) 領域に格納された８ビット情報であり、そのＩＰパケットのルーティング優先度等を示している。パケット解析部１３０は、すべての通過ＩＰパケットからＩＰ−ＴＯＳを読み出して、ＩＰ−ＴＯＳ値毎のＩＰパケット数をカウントする。そして、統計計算部１５０が、カウント数が多いＩＰ−ＴＯＳ値の上位３個をリストアップする。

「ＩＰ−ＴＴＬ」は、ＩＰヘッダのＴＴＬ(Time To Live)領域に格納された８ビット情報であり、そのＩＰパケットの寿命を示している。パケット解析部１３０は、すべての通過ＩＰパケットからＩＰ−ＴＴＬを読み出して、ＩＰ−ＴＴＬ値毎のＩＰパケット数をカウントする。そして、統計計算部１５０が、カウント数が多いＩＰ−ＴＴＬ値の上位３個をリストアップする。

「ＩＰプロトコル」は、ＩＰ（ネットワーク層）よりも上位の層に属するプロトコルを示す情報であり、上述のＴＣＰ、ＵＤＰ、ＩＣＭＰ等がある。パケット解析部１３０は、すべての通過ＩＰパケットのＩＰプロトコルを判定して、各ＩＰプロトコルの検出回数をカウントする。そして、統計計算部１５０が、カウント数が多いＩＰプロトコルの上位３個をリストアップする。

なお、図２の特徴項目は一例にすぎず、これらの特徴項目の一部のみを採用してもよいし、他の特徴項目を使用してもよい。例えば、ＴＣＰパケット数、ＵＤＰパケット数、ＩＣＭＰパケット数に代えて、ＴＣＰパケット数／総パケット数、ＵＤＰパケット数／総パケット数、ＩＣＭＰパケット数／総パケット数を使用してもよい。

また、ＩＰパケットがフラグメントパケットである場合に、当該フラグメントパケットの先頭のＩＰパケットのみをカウントすることにしてもよい。

次に、この実施形態のプローブ装置１００の全体動作を説明する。

ネットワークインタフェース部１１０は、ネットワーク（図示せず）のトラフィックを解析するために、ＩＰパケットのヘッダ情報を随時取得する。取得されたＩＰパケット・ヘッダは、パケット解析部１３０に送られる。

トラフィック測定部１２０は、ネットワークインタフェース部１１０を常に監視することにより、スループットを測定する（図２の特徴項目Ｃ参照）。また、トラフィック測定部１２０は、上述のように、各測定周期の開始・終了日時を記録・保持する（図２の特徴項目Ａ参照）。これらの特徴項目Ａ，Ｃは、測定周期毎に作成されて、特徴情報保持部１６０に送られる。

パケット解析部１３０は、ネットワークインタフェース部１１０から受け取ったＩＰパケット・ヘッダを解析することにより、パケットやポートの種類の判断、カウント等を行う。この解析処理の結果は、統計計算部１５０に送られる。

統計計算部１５０は、パケット解析部１３０から受け取った解析結果に基づいて、上述のリストアップ等を行い、特徴項目Ｂ，Ｄ〜Ｓ（図２参照）を作成する。これらの特徴項目Ｂ，Ｄ〜Ｓは、特徴情報保持部１６０に送られる。

特徴情報保持部１６０は、同じ測定周期に対応する特徴項目Ａ〜Ｓを一覧表化することにより、特徴情報を作成する。作成された特徴情報は、次の測定周期に対応する特徴情報が作成されるまで、特徴情報保持部１６０内に保持される。新しい特徴情報（すなわち、次の測定周期に対応する特徴情報）が作成されたとき、特徴情報保持部１６０は、内部に保持されていた古い特徴情報を、データベース部１７０に送ったあとで、内部に保持されている特徴情報を、当該新しい特徴情報に更新する。そして、特徴情報保持部１６０は、特著情報が更新されたことを示す信号を、異常検出部１８０に送る。

異常検出部１８０は、特徴情報が更新されるたびに、特徴情報保持部１６０から新しい特徴情報を読み出す。そして、異常検出部１８０は、当該特徴情報の所定の１種類または複数種類の特徴項目について、同一性の範囲を判断する。例えば、スループットの同一性の範囲を求める場合、このスループット値の±１０パーセント以内を、同一性の範囲とすることができる。また、ＴＣＰウィンドウサイズの同一性を求める場合に、上位３個のリストのサイズ値および順位が完全に一致する場合のみを同一性の範囲としてもよく、さらには、上位３個のリストの各サイズ値のみが一致していればこれら３個の順位が異なっていても同一性の範囲であるとしてもよい。

続いて、異常検出部１８０は、当該特徴項目が同一性の範囲内にある特徴情報を、データベース部１７０から、すべて読み出す。そして、異常検出部１８０は、読み出された特徴情報から、「同一性の範囲」の判断対象となった特徴項目を除く各特徴項目について、正常範囲を統計的に算出する。例えば、読み出された特徴情報にそれぞれ含まれるＴＣＰパケット数の標準偏差を算出し、かかる標準偏差の３倍以内を正常範囲とすることができる。また、例えば、ＴＣＰウィンドウサイズについて、上位３個のリストのうち２個以上が一致する場合を正常範囲とすることができる。正確な異常検出を行うためには、正常範囲の判断方法を、プローブ装置のトラフィック環境等に応じて、特徴項目毎に定めることが望ましい。

異常検出部１８０は、特徴情報保持部１６０から読み出された特徴情報の各特徴項目（同一性の範囲の判断対象となった特徴項目を除く）を、対応する正常範囲と比較する。そして、この比較結果に応じて、ネットワークの正常／異常を判断する。例えば、ＴＣＰポート１３５およびＩＣＭＰのカウント値が非常に大きい場合には（図２の特徴項目Ｈ，Ｓ参照）、‘MS Blaster’と称される不正攻撃を受けている可能性が高い。この判断では、正常範囲内にない特徴項目が一つでもあれば異常と判断することとしてもよいし、正常範囲内にない特徴項目が所定数個以上である場合にのみ異常と判断することとしてもよい。さらには、特定の特徴項目については正常範囲内にないものが一つでもあれば異常と判断するが、他の特徴項目については正常範囲内にないものが所定数個以上である場合にのみ異常と判断することとしてもよい。

異常検出部１８０は、正常と判断された場合には、そのまま検出動作を終了して、特徴情報保持部１６０の次の特徴情報更新まで待機する。一方、異常と判断された場合には、異常検出部１８０は、ユーザ或いはオペレータに対して、異常の発生と正常範囲内にない特徴項目とを告知する。

以上説明したように、この実施形態に係る通信監視システムによれば、新しく取得した特徴情報の各特徴項目を過去の各特徴項目と統計的に比較して正常／異常を判断するので、簡単な構成で、信頼性の高い通信監視を行うことができる。

また、この実施形態に係る通信監視システムによれば、正常範囲内にない特徴項目を簡単に特定することができるので、異常の原因を容易に解明することができる。

加えて、この実施形態に係る通信監視システムによれば、学習機能を使用する必要がないので、誤検出であった場合にも、誤検出である旨や当該誤検出の原因を容易に特定することができ、このため、正常範囲の判断方法の改善等の対策が容易である。

第２の実施形態
次に、この発明に係る通信監視システムの第２の実施形態について、図３〜図５を用いて説明する。

この実施形態は、複数台のプローブ装置が特徴情報を共用できるように通信監視システムを構築した例である。

図３は、この実施形態に係る通信監視システムの全体構成を概略的に示す概念図である。

図３に示したように、この実施形態に係る通信監視システム３００は、ネットワーク３１１〜３１４のインタフェース部分の伝送路１９３上に設置された複数台（図３の例では３台）のプローブ装置３２１，３２２，３２３を備えている。

図４は、プローブ装置３２１の要部構成を概略的に示すブロック図である。図４において、図１と同じ符号を付した構成要素は、それぞれ図１の場合と同じものである。なお、プローブ装置３２２，３２３の内部構成も、それぞれプローブ装置３２１と同様である。また、図５は、特徴情報保持部４２１（後述）が作成した特徴情報の一例を示す概念図である。

図４において、特徴情報保持部４０１は、第１の実施形態と同様にして特徴情報を作成するとともに、この特徴情報に、図５に示したようなプローブＩＤを付加する。プローブＩＤとは、プローブ装置３２１で取得された特徴情報を他のプローブ装置３２２，３２３で取得されたものと区別するためのＩＤ(Identity Data) である。特徴情報保持部４０１は、図５のような特徴情報を測定周期毎に作成して保持する。そして、特徴情報保持部４０１は、新しい特徴情報を作成するたびに、その直前に作成された古い特徴情報をデータベース部１７０に送るとともに、異常検出部４０３に更新通知信号を送る。

分散データベース制御部４０２には、プローブ装置３２１と特徴情報を共用する他のプローブ装置（この実施形態では、プローブ装置３２２，３２３）が登録されている。分散データベース制御部４０２は、データベース部１７０に蓄積されていない特徴情報を、他のプローブ装置３２２，３２３に要求する。加えて、分散データベース制御部４０２は、プローブ装置３２２，３２３から送信された当該特徴情報を、データベース部１７０に蓄積する。例えば、特徴情報保持部４０１に保持された特徴情報からスループットの同一性の範囲を求めたが、該当する特徴情報がデータベース部１７０に存在しないような場合（或いは所定数に達していないような場合）等に、分散データベース制御部４０２が他のプローブ装置３２２，３２３から特徴情報を取得する。さらに、分散データベース制御部４０２は、他のプローブ装置３２２，３２３からの要求にしたがい、データベース部１７０に格納された特徴情報を、これらプローブ装置３２２，３２３に送る。

異常検出部４０３は、特徴情報保持部４０１の特徴情報が更新されるたびに、当該特徴情報とデータベース部１７０に蓄積された過去の特徴情報とを用いて、正常／異常の判断を行う。このとき、異常検出部４０３は、上述のプローブＩＤによって各特徴情報を作成したプローブ装置を判断し、自己のプローブ装置３２１で作成された特徴情報の重みを他のプローブ装置３２２，３２３で作成された特徴情報の重みよりも大きくして、「正常範囲」の統計的計算を行うこととしてもよい。そして、異常検出部４０３は、第１の実施形態と同様にして、ネットワークの正常／異常を判断する。

また、異常検出部４０３は、異常が検出された場合に、他のプローブ装置３２２，３２３から、正常／異常の判断結果を取得する。そして、異常検出部４０３は、この取得情報に基づいて、かかる異常が、プローブ装置３２１周辺のみで発生した局地的な異常であるのか、それともネットワークの広域わたって発生した異常であるのかを、判断する。この判断結果は、異常が発生した旨とともに、ユーザ或いはオペレータに告知される。

他の構成部分の構成および動作は、上述の第１の実施形態と同様であるので、説明を省略する。

この実施形態に係る通信監視システムによれば、第１の実施形態と同様、簡単な構成で信頼性の高いネットワーク侵入検知を行うことができ、異常の原因を容易に解明することができ、且つ、誤検出である旨や当該誤検出の原因を容易に特定することができる。

加えて、この実施形態に係る通信監視システムによれば、複数のプローブ装置間で特徴情報を共用することができるので、データベース部１７０に蓄積された特徴情報の量が少ない場合にも、信頼性の高い異常検出が期待できる。したがって、通信監視システムの運用を開始する際の作業負担が小さく、また、小規模システム等でも高い信頼性を確保し易くなる。

第３の実施形態
次に、この発明に係る通信監視システムの第３の実施形態について、図６〜図８を用いて説明する。

この実施形態は、複数台のプローブ装置のデータベース部を共通化した通信監視システムの例である。

図６は、この実施形態に係る通信監視システムの全体構成を概略的に示す概念図である。図６において、図３と同じ符号を付した構成要素は、それぞれ図３の場合と同じものである。

図６に示したように、この実施形態に係る通信監視システム６００は、プローブ装置６１１〜６１３と、通信監視サーバ装置６２１とを備えている。

図７は、プローブ装置６１１の要部構成を概略的に示すブロック図である。図７において、図１と同じ符号を付した構成要素は、それぞれ図１の場合と同じものである。なお、プローブ装置６１２，６１３の内部構成も、それぞれ、プローブ装置６１１の内部構成と同様である。

図７に示したように、このプローブ装置６１１は、データベース部を備えておらず、且つ、データ送信部７０１と、統計情報問い合わせ部７０２と、異常検出部７０３とを備えている。

データ送信部７０１は、特徴情報保持部４０１が新しい特徴情報を作成するたびに、その直前に作成された古い特徴情報を受け取り、通信監視サーバ装置６２１（図６参照）に送る。

統計情報問い合わせ部７０２は、異常検出部７０３からの要求にしたがって、通信監視サーバ装置６２１に情報送信要求を送る。さらに、統計情報問い合わせ部７０２は、この要求に応じて通信監視サーバ装置６２１から送られてきた特徴情報を受信し、異常検出部７０３に提供する。

異常検出部７０３は、特徴情報保持部４０１が特徴情報を更新するたびに、同一性の範囲」の算出と、当該「同一性の範囲」の判断対象となった特徴項目を除く各特徴項目について「正常範囲」か否かの判断を行う点で、第１の実施形態の異常検出部１８０と同様である。但し、「正常範囲」を求めるための統計処理を行わない点で、第１の実施形態の異常検出部１８０と異なる。後述するように、「正常範囲」の統計処理は、監視サーバ装置６２１内の統計情報解析部８５０が行う（図８参照）。

図８は、通信監視サーバ装置６２１の要部構成を概略的に示すブロック図である。図８に示したように、この通信監視サーバ装置６２１は、ネットワークインタフェース部８１０と、データ受信部８２０と、データベース部８３０と、統計情報返答部８４０と、統計情報解析部８５０とを備えている。

ネットワークインタフェース部８１０は、ネットワーク３１１との間で、ＩＰパケットの送受信を行う。

データ受信部８２０は、プローブ装置６１１〜６１３から送信された特徴情報を受信して、データベース部８３０に書き込む。

データベース部８３０は、データ受信部８２０から受け取った特徴情報を、すべて蓄積する。

統計情報返答部８４０は、プローブ装置６１１〜６１３から送信された情報送信要求を受信して、統計情報解析部８５０に送る。さらに、統計情報返答部８４０は、統計情報解析部８５０から受け取った情報（統計処理結果）を、当該情報送信要求を発行したプローブ装置に送信する。

統計解析部８５０は、統計情報返答部８４０から受け取った情報送信要求に対応する特徴情報をデータベース部８３０から読み出して、統計処理を施し（後述）、処理結果を統計情報返答部８４０に送る。

次に、この実施形態に係る通信監視システムの全体動作について、プローブ装置６１１の通信監視を例に採って説明する。

第１の実施形態と同様、プローブ装置６１１のトラフィック測定部１２０はネットワークインタフェース部１１０を通過するＩＰパケットのスループット測定や日時情報の作成を行ない、パケット解析部１３０は当該ＩＰパケットのヘッダ解析等を行ない、さらに、統計計算部１５０はパケット解析部１３０の解析結果に基づいてカウント数のリストアップ等を行う。そして、第１の実施形態と同様にして、このようにして作成された特徴項目Ａ〜Ｓから、特徴情報保持部４０１が特徴情報を作成・保持する。

特徴情報が更新されるときに、特徴情報保持部４０１は、内部に保持されていた古い特徴情報を、データ送信部７０１に送るとともに、この更新を示す信号を異常検出部７０３に送る。

データ送信部７０１は、特徴情報保持部４０１から受け取った特徴情報を、ネットワークインタフェース部１１０を介して、通信監視サーバ装置６２１に送る。

通信監視サーバ装置６２１のデータ受信部８２０は、ネットワークインタフェース部８１０を介して受け取った特徴情報を、データベース部８３０に書き込む。

一方、プローブ装置６１１の異常検出部７０３は、特徴情報保持部４０１が特徴情報を更新するたびに、この新しい特徴情報を特徴情報保持部４０１から読み出す。そして、異常検出部７０３は、第１の実施形態と同様にして、当該特徴情報の所定の特徴項目について、同一性の範囲を判断する。さらに、当該特徴項目が同一性の範囲内にある特徴情報を、統計情報問い合わせ部７０２に要求する。

統計情報問い合わせ部７０２は、該当する特徴情報に関する情報送信要求を、通信監視サーバ装置６２１に送る。

通信監視サーバ装置６２１内の統計情報返答部８４０は、この情報送信要求を受信して、統計情報解析部８５０に送る。

統計情報解析部８５０は、この情報送信要求に対応する特徴情報のすべてを、データベース部８３０から読み出す。そして、統計情報解析部８５０は、第１の実施形態の異常検出部７０３と同様にして、これらの特徴情報から、「同一性の範囲」の判断対象となった特徴項目を除く各特徴項目について、「正常範囲」を統計的に算出する。そして、統計情報解析部８５０は、かかる統計処理の結果を、統計情報返答部８４０に送る。このような統計解析をプローブ装置６１１内ではなく通信監視サーバ装置６２１内で行うことにより、プローブ装置６１１と通信監視サーバ装置６２１との間の通信データ量を減らすことができる。

統計情報返答部８４０は、この統計処理結果を、プローブ装置６１１に送信する。

プローブ装置６１１の統計情報問い合わせ部７０２は、かかる統計処理結果を受け取って、異常検出部７０３に送る。

異常検出部７０３は、特徴情報保持部４０１から読み出された特徴情報の各特徴項目（同一性の範囲の判断対象となった特徴項目を除く）を、受信した統計処理結果から得た「正常範囲」と比較する。そして、この比較結果に応じて、ネットワークの正常／異常を判断する。そして、異常検出部７０３は、正常と判断された場合にはそのまま検出動作を終了し、異常と判断された場合には、異常検出部７０３はユーザ或いはオペレータに異常の発生と正常範囲内にない特徴項目とを告知する。

加えて、この実施形態に係る通信監視システムによれば、第２の実施形態と同様、複数のプローブ装置間で特徴情報を共用することができるので、データベース部８３０に蓄積された特徴情報の量が少ない場合にも、信頼性の高い異常検出が期待できる。したがって、通信監視システムの運用を開始する際の作業負担が小さく、また、小規模システム等でも高い信頼性を確保し易くなる。

また、プローブ装置毎にハードディスクを設ける必要がないので、装置の小型化、低価格化を図ることができる。

第４の実施形態
次に、この発明に係る通信監視システムの第４の実施形態について、図９および図１０を用いて説明する。

この実施形態は、複数台のプローブ装置のデータベース部を共通化した通信監視システムの他の例である。

この実施形態に係る通信監視システムの全体構成は、上述の第３の実施形態の場合（図６参照）と同様であるため、説明を省略する。

図９は、この実施形態に係るプローブ装置９００の要部構成を概略的に示すブロック図である。図９において、図７と同じ符号を付した構成要素は、ぞれぞれ図７の場合と同じものである。図９に示したように、この実施形態のプローブ装置９００は、異常検出部および情報問い合わせ部を備えていない。

図９において、データ送信部９０１は、特徴情報保持部４０１が新しい特徴情報を作成するたびに、その直前に作成された古い特徴情報と更新通知信号とを当該特徴情報保持部１６０から受け取り、通信監視サーバ装置６２１に送る。

図１０は、この実施形態に係る通信監視サーバ装置１０００の要部構成を概略的に示すブロック図である。図１０において、図８と同じ符号を付した構成要素は、ぞれぞれ図８の場合と同じものである。図１０に示したように、この通信監視サーバ装置１０００は、データ受信部１００１と、異常検出部１００２とを備えている。

データ受信部１００１は、プローブ装置から受信した特徴情報をおよび更新通知信号を異常検出部１００２に送るとともに、異常検出処理の終了後に、この特徴情報をデータベース部８３０に書き込む。

異常検出部１００２は、特徴情報が更新されるたびに、「同一性の範囲」の演算および「正常範囲」の演算を行い、さらに、異常検出部１００２は、この「正常範囲」を用いてネットワークの正常／異常を判断する。

次に、この実施形態に係る通信監視システムの全体動作について説明する。

第３の実施形態と同様、プローブ装置９００のトラフィック測定部１２０はネットワークインタフェース部１１０を通過するＩＰパケットのスループット測定や日時情報の作成を行ない、パケット解析部１３０は当該ＩＰパケットのヘッダ解析等を行ない、さらに、統計計算部１５０はパケット解析部１３０の解析結果に基づいてカウント数のリストアップ等を行う。そして、第３の実施形態と同様にして、このようにして作成された特徴項目Ａ〜Ｓから、特徴情報保持部４０１が特徴情報を作成・保持する。

特徴情報が更新されるときに、特徴情報保持部４０１は、内部に保持されていた古い特徴情報および更新通知信号を、データ送信部９０１に送る。

データ送信部９０１は、特徴情報保持部４０１から受け取った特徴情報および更新通知信号を、ネットワークインタフェース部１１０を介して、通信監視サーバ装置１０００に送る。

通信監視サーバ装置１０００のデータ受信部１００１は、受信した特徴情報および更新通知信号を、異常検出部１００２に送る。

異常検出部１００２は、新しい特徴情報と更新通知信号とを受け取るたびに、第１の実施形態と同様にして、当該新しい特徴情報の所定の特徴項目について、同一性の範囲を判断する。さらに、当該特徴項目が同一性の範囲内にある特徴情報をすべて、データベース部８３０から読み出す。そして、異常検出部１００２は、これらの特徴情報から、「同一性の範囲」の判断対象となった特徴項目を除く各特徴項目について、「正常範囲」を統計的に算出する。さらに、新しい特徴情報の各特徴項目（同一性の範囲の判断対象となった特徴項目を除く）を「正常範囲」と比較して、ネットワークの正常／異常を判断する。そして、異常検出部１００２は、正常と判断された場合にはそのまま検出動作を終了し、異常と判断された場合には、異常検出部１００２はユーザ或いはオペレータに異常の発生と正常範囲内にない特徴項目とを告知する。

その後、この特徴情報を、データベース部８３０に書き込む。

この実施形態に係る通信監視システムによれば、第１〜第３の実施形態と同様、簡単な構成で信頼性の高いネットワーク侵入検知を行うことができ、異常の原因を容易に解明することができ、且つ、誤検出である旨や当該誤検出の原因を容易に特定することができる。また、この実施形態に係る通信監視システムによれば、第２の実施形態と同様、複数のプローブ装置間で特徴情報を共用することができるので、データベース部８３０に蓄積された特徴情報の量が少ない場合にも、信頼性の高い異常検出が期待できる。したがって、通信監視システムの運用を開始する際の作業負担が小さく、また、小規模システム等でも高い信頼性を確保し易くなる。さらに、この実施形態に係る通信監視システムによれば、第３の実施形態と同様、プローブ装置毎にハードディスクを設ける必要がないので、装置の小型化、低価格化を図ることができる。

加えて、この実施形態では、特徴情報の管理や正常／異常の判断はすべて通信監視サーバ装置１０００内で行い、プローブ装置９００は新しい特徴情報を作成するだけである。このため、この実施形態では、機密漏洩防止の対策は、通信監視サーバ装置１０００だけで行えばよく、セキュリティコストを低減することができる。

さらに、この実施形態では、通信監視サーバ装置１０００が複数台のプローブ装置９００の正常／異常の判断を行うので、異常の発生状況（当該異常がネットワーク全体の異常であるのか或いは局地的な異常であるのか等）を、監視用のネットワークを使用せずに、即座に判断することができる。したがって、ＮＯＣ(Network Operatin Center) やＳＯＣ(Security Operatin Center)に通信監視サーバ装置１０００を設置することとすれば、監視用ネットワークがダウンしたような場合でも、ネットワークの正常状態を回復するための迅速な対策を取ることができる。

第５の実施形態
次に、この発明に係る通信監視システムの第５の実施形態について、図１１を用いて説明する。

この実施形態は、データベース部に格納する特徴情報を加工・整形することによって異常の検出精度を向上させた通信監視システムの例である。

図１１は、この実施形態に係るプローブ装置１１００の要部構成を概略的に示すブロック図である。図１１において、図１と同じ符号を付した構成要素は、ぞれぞれ図１の場合と同じものである。図１１に示したように、この実施形態のプローブ装置１１００は、データフィルタ部１１０１と、データ適合部１１０２とを備えている。

データフィルタ部１１０１は、統計計算部１５０から特徴項目Ｂ，Ｄ〜Ｓを受け取って、特異なデータを有する特徴項目（すなわち、出現率が所定のしきい値より低いデータを含む特徴項目）を加工する。例えば、ＴＣＰウインドウサイズの上位３個のリストのうち、１位および２位の値の比率の和が９９パーセントを超えており、３位の値の比率が１パーセントにも満たないような場合には、当該３位の値を誤差であるとみなして「不定」に変更する。その後、データフィルタ部１１０１は、加工後の特徴項目を、統計計算部１５０に返送する。例えば、上述のように上位３個のリストのうち３位以降の値の比率が１パーセントにも満たない場合には、３位の値を特定することは無意味である場合が多い。このため、このような特異データを削除した方が、異常検出の信頼性を高めることができる。

データ適合部１１０２は、異常検出部１８０が出力した「同一性の範囲」条件の一部を削除し、残りの条件と一致する特徴情報をデータベース部１７０からすべて読み出す。そして、データ適合部１１０２は、データベース部１７０から読み出された特徴情報を、削除された「同一性の範囲」の条件を用いて、整形する。例えば、異常検出部１８０が出力した「同一性の範囲」の条件が、条件Ａ：「スループットが３８Ｍｂｐｓ±１０パーセント」と条件Ｂ：「ＴＣＰウインドウサイズの上位３個が３３３０４，３３２９８，３２１４８」とであった場合に、データ適合部１１０２は、条件Ａを削除し、条件Ｂのみを満たす特徴情報をデータベース部１７０から読み出す。そして、読み出された特徴情報のうち、条件Ａにも適合する特徴情報は、そのまま異常検出部１８０に送る。また、条件Ｂには適合するが条件Ａには適合しない特徴情報については、条件Ａに適合するように各特徴項目を整形して、異常検出部１８０に送る。例えば、条件Ｂには適合するがスループットは１９Ｍｂｐｓの特徴情報が読み出された場合、データ適合部１１０２は、当該特徴情報の総パケット数、ＴＣＰパケット数、ＵＤＰパケット数およびＩＣＭＰパケット数の値をそれぞれ２倍（＝３８Ｍｂｐｓ／１９Ｍｂｐｓ）して、異常検出部１８０に送る。これにより、異常検出に使用する特徴情報の数を増やすことができるので、当該異常検出の信頼性を高めることができる。

また、この実施形態に係る通信監視システムによれば、特異なデータを有する特徴項目をデータフィルタ部１１０１で加工するので、特徴情報の信頼性を高めることができる。

加えて、この実施形態に係る通信監視システムによれば、「同一性の範囲」の一部の条件が一致しない特徴情報を、データ適合部１１０２で特徴項目を整形して使用するので、データベース部１７０に蓄積された特徴情報の量が少ない場合でも、信頼性の高い異常検出が期待できる。したがって、通信監視システムの運用を開始する際の作業負担が小さく、また、小規模システム等でも高い信頼性を確保し易くなる。

第１の実施形態に係るプローブ装置の要部構成を概略的に示すブロック図である。第１の実施形態に係る特徴情報の一例を示す表である。第２の実施形態に係る通信監視システムの全体構成を概略的に示す概念図である。第２の実施形態に係るプローブ装置の要部構成を概略的に示すブロック図である。第２の実施形態に係る特徴情報の一例を示す表である。第３の実施形態に係る通信監視システムの全体構成を概略的に示す概念図である。第３の実施形態に係るプローブ装置の要部構成を概略的に示すブロック図である。第３の実施形態に係る通信監視サーバ装置の要部構成を概略的に示すブロック図である。第４の実施形態に係るプローブ装置の要部構成を概略的に示すブロック図である。第４の実施形態に係る通信監視サーバ装置の要部構成を概略的に示すブロック図である。第５の実施形態に係るプローブ装置の要部構成を概略的に示すブロック図である。

符号の説明

１００，３２１，３２２，３２３，６１１，６１２，６１３プローブ装置
１１０，８１０ネットワークインタフェース部
１２０トラフィック測定部
１３０パケット解析部
１４０解析区切指定部
１５０統計計算部
１６０，４０１特徴情報保持部
１７０，８３０データベース部
１８０，４０３，７０３，１００２異常検出部
１９１，１９２，３１１，３１２，３１３，３１４ネットワーク
１９３伝送路
４０２分散データベース制御部
６２１，１０００通信監視サーバ装置
７０１，９０１データ送信部
７０２統計情報問い合わせ部
８２０，１００１データ受信部
８４０統計情報返答部
８５０統計情報解析部

Claims

予め定められた測定周期で、ネットワーク装置を通過する通信パケットのトラフィックを測定するトラフィック測定部と、
前記通信パケットから読み出された一種類または複数種類のヘッダ情報を、前記測定周期毎に統計処理する統計計算部と、
前記トラフィック測定部の測定結果および前記統計計算部の計算結果を含む複数の特徴項目を有する特徴情報を、前記測定周期毎に作成・保持する特徴情報保持部と、
当該特徴情報保持部が新しい前記特徴情報を作成するたびに、当該特徴情報保持部から古い当該特徴情報を読み出して蓄積するデータベース部と、
当該特徴情報保持部が新しい前記特徴情報を作成するたびに、所定の１または複数の前記特徴項目が当該新しい特徴情報と同一性の範囲内にある特徴情報を前記データベース部から読み出し、読み出された特徴情報の他の前記特徴項目についての正常範囲を統計的に算出し、前記新しい特徴情報の当該他の特徴項目と当該正常範囲とを比較することによって異常の発生を判断する異常検出部と、
を備えることを特徴とする通信監視システム。
前記トラフィック測定部、前記統計計算部、前記特徴情報保持部、前記データベース部および前記異常検出部が、侵入検知を行う前記ネットワーク装置内に設けられたことを特徴とする請求項１に記載の通信監視システム。
前記ネットワーク装置が、自己の前記データベース部から読み出した前記特徴情報を他のネットワーク装置に送信し、且つ、当該他のネットワーク装置から受信した前記特徴情報を前記自己の前記データベース部に格納する、分散データベース制御部をさらに備えることを特徴とする請求項２に記載の通信監視システム。
前記トラフィック測定部、前記統計計算部、前記特徴情報保持部および前記異常検出部が、侵入検知を行う複数の前記ネットワーク装置内にそれぞれ設けられ、
前記データベース部が、前記複数のネットワーク装置と通信接続されたサーバ装置内に設けられ、
当該サーバ装置が、前記ネットワーク装置から受信した前記特徴情報を前記データベース部に蓄積し、該ネットワーク装置からの要求に応じて前記特徴項目が同一性の範囲内にある特徴情報を当該ネットワーク装置に送信する、
ことを特徴とする請求項１に記載の通信監視システム。
前記トラフィック測定部、前記統計計算部および前記特徴情報保持部が、侵入検知を行う複数の前記ネットワーク装置内にそれぞれ設けられ、
前記データベース部および前記異常検出部が、前記複数のネットワーク装置と通信接続されたサーバ装置内に設けられ、
当該サーバ装置が、前記ネットワーク装置から受信した前記特徴情報を前記データベース部に蓄積し、当該データベース部内の前記特徴情報を用いて前記異常検出部に異常の発生の有無を判断させる、
ことを特徴とする請求項１に記載の通信監視システム。
前記統計処理が、前記所定のヘッダ情報の値を出現数が多い順に所定数個リストアップする処理であることを特徴とする請求項１〜５のいずれかに記載の通信監視システム。
リストアップされた所定数の前記ヘッダ情報値のうち、出現率が他の前記ヘッダ情報値の出現率と比較して所定しきい値よりも小さいヘッダ情報値を、前記統計処理の結果から削除することを特徴とする請求項６に記載の通信監視システム。
前記特徴項目が、総パケット数、所定プロトコルのパケット数、総パケット数に対する所定プロトコルのパケット数の比のいずれか１つ以上をさらに含むことを特徴とする請求項１〜７のいずれかに記載の通信監視システム。
通信パケットがフラグメントパケットである場合に、当該フラグメントパケットの先頭の通信パケットのみを計数することを特徴とする請求項１〜８のいずれかに記載の通信監視システム。
前記同一性の範囲が、当該新しい特徴情報に含まれる当該他の特徴項目の値と、判断対象となる当該特徴情報の当該他の特徴項目の値との比で規定されることを特徴とする請求項１〜９のいずれかに記載の通信監視システム。
前記正常範囲が、当該他の特徴項目の標準偏差で規定されることを特徴とする請求項１〜９のいずれかに記載の通信監視システム。
前記新しい特徴情報のトラフィック測定結果と前記データベース部から読み出された前記特徴情報のトラフィック測定結果との比を、当該読み出された特徴情報の所定の前記特徴項目に乗じ、当該乗算後の当該他の特徴項目を用いて前記異常検出部による正常範囲の算出を行うことを特徴とする請求項１〜１１のいずれかに記載の通信監視システム。