JP4244355B2 - 通過パケット監視装置および方法 - Google Patents

Description

この発明は、ＩＳＰ（Internet Service Provider）ネットワークを通過するパケットの異常監視手段として、監視制御装置を用いた広域監視と詳細監視の階層型監視制御方式を導入し、複数ユーザへの監視サービスの提供において、監視装置の共有化によるコストの低減化を行う通過パケット監視装置および方法に関する。

近年、ＤｏＳ（Denial of Service）攻撃やＤＤｏＳ（Distributed Denial of Service）攻撃、あるいは災害時トラヒック等の異常トラヒックを検出する目的から、ＩＳＰネットワークを通過するパケットを監視する機能の重要性が増している。

従来、異常トラヒックの検出を目的として利用される通過パケット監視装置として、ＩＤＳ（Intrusion Detection System）やＰｒｏｂｅ装置が存在する。前者の装置例は、予め装置内に記録している異常パケットデータと観測パケットデータの比較から異常検出を行うシグネチャマッチング技術や、定常時の通過パケット特性と観測パケットデータの差分情報から異常性を検出するＡｎｏｍａｌｙ検出技術により構成されている。

また、後者の製品例としては、非特許文献１に示す装置があり、実パケットデータの収集とその解析機能を提供する。尚、非特許文献２に記載のＮｅｔＦｌｏｗデータと非特許文献３に示されるｓＦｌｏｗデータ（以後、「フローデータ」と記載する）が、実パケットデータのデータ標準として広くサポートされる傾向にある。

そして、前記両装置の共通的機能としては、ＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）で疎通されるパケットを、パケットヘッダ部の構成項目の情報（例えば、送信先ＩＰアドレス、送信元ＩＰアドレス、送信先ポート番号、送信元ポート番号、プロトコル、生存期間（ＴＴＬ，Time To Live）等の値）で識別し（以降、「フロー」と記載する）、このフローの単位でパケット特性を詳細に監視する機能が挙げられる（以降、「詳細監視」と記載する）。この詳細監視により、特定の宛先ＩＰアドレスを持つ通過パケットに対して、Ｗｅｂサイト等の受信端末単位、あるいはＨＴＴＰ（Hyper Text Transfer Protocol）等の受信端末サービス単位で異常性を監視することが可能となる。

また、ＩＳＰネットワーク側で通過パケット監視を行う場合、図１に示す通り、これら装置（Ｐｒｏｂｅ装置３−１，２、ＩＤＳ装置４−１，２）は、受信端末収容ネットワーク２−１〜４とＩＳＰネットワーク７との接続地点に位置するルータ等のパケット中継装置５−１〜４（以下、「受信端末収容パケット中継装置」と記載する）の近傍に配備される。つまり、受信端末収容ネットワーク単位で設置され、個別ユーザ単位での通過パケット監視を行う運用がとられる。これにより、特定受信端末宛の通過パケットから異常パケットを高い精度で検出する監視サービスの提供が可能となる。

一方、ＩＳＰネットワーク全体の通過パケットを対象とした監視手段として、非特許文献４に示す通過パケット交流分布監視技術が存在する。これは、詳細監視手段に比べ、監視粒度を粗くしてネットワーク全体の通過パケット監視を行い、異常パケットが通過しているネットワーク地点を推定することを目的とする監視手段（以降、「広域監視」と記載する）である。

特に、ＩＳＰネットワークを構成する複数の受信端末収容パケット中継装置を監視ポイントとし、２対の受信端末収容パケット中継装置間、又は各受信端末収容パケット中継装置の通過パケット情報を集約したＰｏＰ−ＰｏＰ（Point of Presence）間等の通過パケット交流分布を観測対象とする。通過パケット交流分布の観測は、各受信端末収容パケット中継装置が生成するフローデータを集約し、広域監視に必要な程度にデータ量が削減された通過パケット情報に基づいて、通過パケットのヘッダ情報の送信元と送信先の対で構成される情報配列を作成して行う。この広域監視手段により、ＩＳＰネットワーク内で単一設置された広域監視装置を用いて、ネットワーク全体の通過パケットの異常性を、受信端末収容パケット中継装置単位の監視粒度で監視することが可能となる。

"nGenius Gigabit Ethernet Probe"、[online]、米国NetScout社、[２００６年７月１０日検索、インターネット＜URL：http：//www.netscout.com/docs/datasheets/NetScout_ds_Gigabit_Ethernet_Probe.pdf＞ B. Claise，"Cisco Systems NetFlow Services Export Version 9"，RFC3954，October 2004 P. Phaal，"InMon Corporation's sFlow：A Method for Monitoring Traffic in Switched and Routed Networks"，RFC3176，September 2001 廣川祐他、"次世代バックボーン向けトラヒック監視システムの開発"、２００６ 電子情報通信学会総合大会、ＢＳ−５−１１、Ｍａｒｃｈ．２００６

しかしながら、ＩＳＰ事業者が複数ユーザに対して通過パケット監視サービスを提供する場合、従来技術には以下の課題が存在する。
まず、詳細監視を行うＩＤＳやプローブ装置は、ユーザ単位の通過パケットに対し、フロー単位で詳細に監視することが可能であるが、各装置のパケット処理能力は１Ｇｂｐｓ程度であり限界がある。従って、複数ユーザへのサービス提供では、当該装置を受信端末収容ネットワーク単位で設置することが必要となり、装置コストの負担が課題となる。

一方、広域監視装置を用いた場合、サービス提供の対象ユーザ数に関わらず、ネットワーク内で単一の装置を用いて監視サービスを提供することができる。しかし、広域監視装置の監視粒度は、受信端末収容パケット中継装置単位であり、特定受信端末宛通過パケット単位での詳細な監視サービスの提供は不可能である。例えば、ＤＤｏＳ攻撃のような、特定ユーザサイトを宛先アドレスとして持つパケットが集中する異常パケットの発生に対し、フロー単位でパケット監視して異常パケット検知を行うことは困難である。

これらのことから、従来技術である詳細監視又は広域監視を個別に用いた場合、装置コストに関する経済性と通過パケットの監視粒度の点で、両監視手段の間にトレードオフが存在し、これが複数ユーザへのサービス提供の際の課題となる。

上述した課題を解決するため、この発明は、広域監視手段を用いてＩＳＰネットワーク全体における異常パケットの存在を推定した後、同パケットを共有化された詳細監視装置によりフロー単位で監視する階層型監視方式を採用する。ＤＤｏＳ攻撃等の異常パケットは、ＩＳＰネットワークの局所地点に集中するため、詳細監視装置を共有化して利用し、同共有装置による局所的な詳細監視を行うことでサービス提供する。これにより、複数ユーザへの監視サービスの提供を経済化することが可能となる。

この発明の特徴である階層型監視方式は、新たに導入する監視制御機能によってなされる広域監視状態と詳細監視状態の遷移動作によって実現される。この発明の通過パケット監視装置の槻要を図２に示す（図２については「発明を実施するための最良の形態」の項で詳細に説明する）。また、以下に、請求項１から４の発明について、各請求項で採用している主な手段と工程に関する説明を行う。

請求項１に係る発明は、複数のパケット中継装置を含むネットワークにおいて、通過するパケットを監視する通過パケット監視装置であり、広域監視手段、監視制御手段、および詳細監視手段を有している。

また、前記広域監視手段は、各パケット中継装置が生成するフローデータを収集する手段と、これを用いて通過パケット交流分布を監視する手段と、異常パケットを中継する受信端末収容パケット中継装置を特定し、異常パケット量を計測する手段と、これらからなる広域監視情報を監視制御装置へ送信する手段を備えることを特徴としている。

また、前記監視制御手段は、本発明の特徴的技術であり、広域監視情報を受信した場合に、状態管理番号（状態管理を識別する情報であり、一般的には状態管理識別情報である）を生成して広域監視状態から詳細監視状態への遷移を管理する手段と、詳細監視を行うためのフローデータを生成するよう受信端末収容パケット中継装置に送信するパケット中継装置コマンドを決定する手段と、当該コマンドを同パケット中継装置へ送信する手段と、前記詳細監視装置に対して詳細監視指示情報を送信する手段と、詳細監視情報を受信した場合に状態管理番号に基づき状態遷移を管理し、異常パケットを中継する受信端末収容パケット中継装置の識別子、並びに異常パケットからなるフローの識別子およびパケット量を出力する手段を備えることを特徴としている。

また、前記詳細監視手段は、前記監視制御手段から送信された詳細監視指示情報を受信した場合、状態管理番号を蓄積する手段と、当該詳細監視指示情報で指定されるパケット中継装置を通過するパケットをフロー単位で詳細監視する手段と、異常パケットを検出したとき、該当するフローの識別子と通過パケット量を特定する手段と、前記監視制御装置に対して詳細監視情報として前記状態管理番号、前記通過パケット量、および前記フロー識別子を送信する手段を備えることを特徴としている。

また、請求項２に係る発明は、請求項１に係る発明において、前記広域監視手段と前記詳細監視手段が同一装置内に実装されている場合であり、前記監視制御手段において、前記パケット中継装置コマンドが、所定のフローデータ出力間隔とフローデータ標本化間隔に基づいて決定されることを特徴としている。

また、請求項３に係る発明は、請求項１に係る発明において、前記広域監視手段と前記詳細監視手段が異なる装置内に実装されている場合であり、前記監視制御手段において、前記パケット中継装置コマンドが、当該詳細監視手段を含む装置の宛先アドレスと、所定のフローデータ出力間隔、およびフローデータ標本化間隔に基づいて決定されることを特徴としている。
また、請求項４に係る発明は、請求項１の通過パケット監視装置の通過パケット監視方法である。

請求項１または４の発明によれば、通過パケットの存在をネットワーク全体に渡り広域に監視し、その後、局所的に存在する異常パケットに対して、詳細監視手段を用いてフロー単位の監視を行うことを可能としている。これにより、ＩＳＰネットワークにおいて共有化して設置された詳細監視手段を用いて、複数ユーザへの通過パケット監視サービスが可能となる。つまり、通過パケットの監視粒度を一定の詳細レベルに保持したまま、詳細監視手段を具備する装置に関する導入コストあるいは運用コストを削減することができるという効果を奏する。

また、請求項１の発明によれば、広域監視手段によりＩＳＰネットワーク全体を対象とした広域監視を行い、詳細監視手段によりフロー単位の詳細監視を行うことを可能としている。これにより、ＩＳＰネットワーク全体の通過パケットを監視対象とし、異常性の検出は特定受信端末単位あるいは特定受信端末サービス単位での詳細粒度で実施できるという効果を奏する。

また、請求項２の発明によれば、詳細監視手段の所定のパケット処理能力に応じて、パケット中継装置が生成するフローデータ情報量を制御することが可能となり、許容される詳細監視能力の範囲で実現可能な詳細粒度の監視サービスの提供を行うことができるという効果を奏する。尚、フローデータ情報量は、パケット中継装置のフローデータ出力間隔とフローデータ標本化間隔を、監視制御手段により所定の値に制御することでなされる。

また、請求項３の発明によれば、詳細監視手段が広域監視手段とは別の装置に実装され、あるいは複数の詳細監視手段が別の装置として実装される場合、パケット中継装置のフローデータ出力先をこれらの詳細監視手段宛に制御することにより、詳細監視手段の効率的な共有化を行うことが可能となる。例えば、詳細監視手段を二重化し、サービス提供上の安定運用を可能とするという効果を奏する。

以下に添付図面を参照して、通過パケット監視装置および方法の実施例１〜２を詳細に説明する。
各実施例の説明に先立って、本発明に係る通過パケット監視装置の概要を図２により説明しておく。通過パケット監視装置は、図２に示す広域監視機能４０と監視制御機能５０と詳細監視機能６０とを有している。通過パケット監視装置は、これらの機能を実現する手段を備えており、その手段はコンピュータとプログラムで構成することができ、その一部または全部をハードウェアで構成することもできる。なお、図２においてはＩＳＰネットワーク２０において、受信端末２１−２宛に例えばＤＤｏＳ攻撃が発生しており、受信端末収容パケット中継装置３０−４と受信端末収容ネットワーク２２−２を接続する回線が異常通過パケット２３により輻輳しているものとする。

ＩＳＰネットワーク２０と受信端末収容ネットワーク２２−１〜４は、受信端末収容パケット中継装置３０−１〜４で接続されている。各受信端末収容パケット中継装置は、ｓＦｌｏｗデータあるいはＮｅｔＦｌｏｗデータを生成し、フローデータとして広域監視機能４０に所定のフローデータ出力間隔とフローデータ標本化間隔で送信している。なお、両間隔の値が小さいほど、より精度の高い通過パケット監視が可能となる。前記フローデータ出力間隔は、受信端末収容パケット中継装置がフローデータを固定サイズのデータ群として生成する際の時間間隔であり、前記フローデータ標本間隔は、受信端末収容パケット中継装置が実パケットをサンプリング抽出する際の、抽出するパケット比率を示す。

広域監視機能４０は、フローデータを集約して通過パケット交流分布を監視し、異常通過パケットが受信端末収容パケット中継装置３０−４を通過している情報を含む広域監視情報を送信する（図２の（１）参照）。

次に、監視制御機能５０は、受信端末収容パケット中継装置３０−４に対し、詳細監視のためのフローデータ出力条件で受信端末収容パケット中継装置３０−４が動作するようパケット中継装置コマンドを送信する（図２の（２）を参照）。なお、パケット中継装置コマンドは、通常、ルータ等のパケット中継装置が具備するＣＬＩ（Command Line Interface）等のエントリ登録、変更、削除機能により実現されてもよい。

受信端末収容パケット中継装置３０−４は、パケット中継装置コマンドで指定されたフローデータ出力条件により、フローデータを詳細監視機能６０へ送信する（図２の（３）を参照）。詳細監視機能６０は、フロー単位の詳細監視を行い、受信端末２１−２宛のＤＤｏＳ攻撃パケットが発生していることを検出し、監視制御機能５０へ詳細監視情報として送信する（図２の（４）を参照）。

最後に、監視制御機能５０は、監視結果として受信端末収容パケット中継装置３０−４の識別子、受信端末２１−２宛パケットのフロー識別子、および当該フローのパケット量を出力する。

なお、本発明に係る通過パケット監視装置では、単体のハードウェアとして広域監視機能、監視制御機能、詳細監視機能を実装してもよいし、あるいは、異なるハードウェア内に各機能が実装されてもよい。

実施例１では、本発明の広域監視機能、監視制御機能、および詳細監視機能が単一の装置内に実装され、同一ＩＰアドレスを有する場合について説明する。まず、受信端末収容パケット中継装置、および当該３機能の構成について、図３〜８を用いて説明する。図３〜６は、パケット中継装置および各３機能の機能ブロック図であり、図７〜８は監視制御機能が具備するテーブルの構成である。

まず、図２に記載の受信端末収容パケット中継装置３０−１〜４の構成について図３を用いて説明する。受信端末収容パケット中継装置３０は、ネットワークインターフェース部３０−ａ，ｆ，ｈ、ルーティング機能部３０ｇ、フロー情報蓄積部３０ｅ、フローデータ生成部３０ｄ、フローデータ送信部３０ｃ、およびパケット中継装置コマンド受信部３０ｂを備えている。ネットワークインターフェース部３０−ａ，ｆ，ｈは、ＬＡＮ（Local Area Network）あるいはＷＡＮ（Wide Area Network）インタフェースボードなどの通信デバイスであり、他の受信端末収容パケット中継装置や受信端末２１−１〜４とのデータ送受信処理を行う。

ルーティング機能部３０ｇは、ネットワークインターフェース部３０ｈ，３０ｆを介してパケットを受取り、受取ったパケットの転送先をルーティングテーブルに基づいて決定し、決定した宛先に対して当該パケットを転送する処理を行う。フロー情報蓄積部３０ｅは、パケットの転送処理に関する転送パケット統計情報などの、フローデータを生成するために必要なパケット情報を蓄積する蓄積部であり、フローデータ生成部３０ｄに対して情報参照機能を提供する。

フローデータ生成部３０ｄは、ＮｅｔＦｌｏｗデータあるいはｓＦｌｏｗデータ（フローデータ）を所定のデータフォーマットに従って生成し、フローデータ送信部３０ｃおよびネットワークインターフェース部３０ａを介して監視制御機能にフローデータを送信する。また、フローデータ出力条件は、監視制御機能からネットワークインターフェース部３０ａを介してパケット中継装置コマンド受信部３０ｂに送信されるコマンド情報により決定され、当該フローデータ出力条件で指定された変数値によりフローデータ生成部３０ｄでデータ生成される。

次に、広域監視機能４０の構成について図４を用いて説明する。図４に示すように、広域監視機能４０は、フローデータ集約部４０ｇと、通過パケット交流分布蓄積部４０ｆと、通過パケット交流分布監視部４０ｅと、受信端末収容パケット中継装置特定部４０ａと、通過パケット量測定部４０ｂと、広域監視情報送信部４０ｃを備えている。入出力インターフェース部４０ｄは、ＬＡＮ（Local Area Network）ボードなどの通信デバイスであり、受信端末収容パケット中継装置や監視制御機能などの他装置等とのデータ送受信処理を行う。

フローデータ集約部４０ｇは、ＩＳＰネットワーク内の複数の受信端末収容パケット中継装置が生成するフローデータを収集して集約し、通過パケット交流分布蓄積部４０ｆに送信する。通過パケット交流分布蓄積部４０ｆでは、例えば、図２の受信端末収容パケット中継装置３０−１と３０−２間の通過パケット量（数）、受信端末収容パケット中継装置３０−１と３０−３間の通過パケット量（数）、同様に３０−１と３０−４間、といった受信端末収容パケット中継装置２つのペアの通過パケット量（数）を配列化して蓄積する。通過パケット量（数）の測定は、通過パケット量測定部４０ｂが通過パケット交流分布蓄積部４０ｆの集約フローデータを参照して測定し、結果値を再度、通過パケット交流分布蓄積部４０ｆに書込む処理を行う。なお、この場合、受信端末収容パケット中継装置３０−１〜４の４台の装置が存在するため、当該交流分布配列は１６個（４×４）の通過パケット量（数）を持つことになる。

通過パケット交流分布監視部４０ｅは、当該交流分布配列の通過パケット量（数）が所定の閾値（例えば、一定時間あたりのｂｙｔｅ数、あるいはパケット数でありシステム的に保持している値）を超えた場合、受信端末収容パケット中継装置特定部４０ａと通過パケット量測定部４０ｂに、それぞれ受信端末収容パケット中継装置の特定と、その通過パケット量（数）を特定する処理を依頼する。

その結果、広域監視情報送信部４０ｃと入出力インターフェース部４０ｄを介して、当該受信端末収容パケット中継装置識別子と通過パケット量（数）が監視制御機能へ送信される。

つづいて、監視制御機能５０の構成について、図５を用いて説明する。図５に示すように、監視制御機能５０は、入出力インターフェース部５０ｊと、広域監視情報受信部５０ｇと、閾値判定部５０ｂと、状態管理テーブル５０ａと、パケット中継装置コマンド決定処理部５０ｃと、パケット中継装置送受信部５０ｈと、パケット中継装置コマンドテーブル５０ｆと、詳細監視情報処理部５０ｄと、詳細監視機能送受信部５０ｉと、詳細監視結果出力部５０ｅを備える。入出力インターフェース部５０ｊは、ＬＡＮ（Local Area Network）ボードなどの通信デバイスであり、受信端末収容パケット中継装置、広域監視機能、あるいは監視制御機能などの他装置等とのデータ送受信処理を行う。

広域監視情報受信部５０ｇは、広域監視機能から入出力インターフェース部５０ｊを介して受信した広域監視情報を閾値判定部５０ｂに送信する。閾値判定部５０ｂは、当該広域監視情報に含まれる受信端末収容パケット中継装置識別子に該当する閾値を、状態管理テーブル５０ａの検索により取得し、当該閾値よりも通過パケット量（数）が大きい値の場合は、状態管理番号を発行し、状態管理テーブル５０ａに書込み処理を行う。当該閾値は、一定期間内のｂｙｔｅ数若しくはパケット数であってもよく、かかる閾値判定処理により広域監視から詳細監視への遷移判断を、異常パケットの量と受信端末収容パケット中継装置のパケット中継処理能力等の比較に基づいて行うことが可能となる。また、状態管理番号を発行し、状態管理テーブル５０ａに蓄積して管理することにより、複数の広域監視情報を受信した場合の監視状態遷移の管理を行うことが可能となる。なお、状態管理番号は、状態管理を識別する情報であり、一般的には状態管理識別情報ということができる。

次に、パケット中継装置コマンド決定処理部５０ｃは、パケット中継装置コマンドテーブル５０ｆを検索し、フローデータ出力条件に該当するパケット中継装置コマンドを取得し、パケット中継装置送受信部５０ｈと入出力インターフェース部５０ｊを介して、受信端末収容パケット中継装置へ当該パケット中継装置コマンドを送信する。この際、当該パケット中継装置コマンドで指定された受信端末収容パケット中継装置内でのエントリ処理の結果応答に対して、パケット中継装置送受信部５０ｈがリトライ処理を行い、処理の正常終了の保障処理を行う。

つづいて、詳細監視情報処理部５０ｄは、状態管理テーブル５０ａおよびパケット中継装置コマンドテーブル５０ｆを検索し、状態管理番号、パケット中継装置識別子、およびフローデータ出力条件からなる詳細監視指示情報を生成する。当該情報は、詳細監視機能送受信部５０ｉおよび入出力インターフェース５０ｊを介して、詳細監視機能に送信される。当該詳細監視機能からの処理結果応答の受信は、詳細監視機能送受信部５０ｉが行い、一定期間内の処理結果応答が無い場合のリトライ処理は、当該詳細監視機能送受信部５０ｉによってなされる。詳細監視情報を受信した場合、詳細監視結果出力部５０ｅにより、外部装置に対して、受信端末収容パケット中継装置識別子、並びに当該詳細監視情報に含まれるフロー識別子およびフロー流量（数）（当該フローのパケット量（数））が出力される。

なお、状態管理テーブル５０ａの構成を図７に示す。図７に示すように、受信端末収容パケット中継装置毎に、その識別子、閾値、監視状態、および状態管理番号が蓄積されている。例えば、広域監視情報に含まれる受信端末収容パケット中継識別子が「ＥＲＴ２」で受信された場合、異常パケットを中継している受信端末収容パケット中継装置は、「番号」が「２」の行に記載の「パケット中継装置２」であることを示している。また、閾値判定部５０ｂでの判定処理は、「１Ｇｂｐｓ」以上の値が用いられる。生成された状態管理番号「２００６０７１０００」は、同行に当該値で蓄積され、以降、詳細監視状態へ遷移することの状態管理処理の識別値として「監視状態」が「階層型監視」と変更される。

また、図５のパケット中継装置コマンドテーブル５０ｆの構成を図８に示す。図８に示されるように、パケット中継装置コマンドテーブルは、受信端末収容パケット中継装置識別子に対するフローデータ出力条件（出力間隔、標本化間隔、詳細監視機能宛先）と受信端末収容パケット中継装置種別を規定するテーブル（図８（ａ））と、受信端末収容パケット中継装置種別に対するコマンド列を規定するテーブル（図８（ｂ））からなる。

例えば、「番号」が「１」の列で示される受信端末収容パケット中継装置識別子「ＥＲＴ１」に該当する受信端末収容パケット中継装置のフローデータ出力条件は、「出力間隔」を１０ｓｅｃ毎とし、「標本化間隔」は１２８パケットに１パケットを標本抽出することとし、フローデータの出力先として「１０．１０．１０．２」へ出力するという条件を示している。ここで当該中継装置の装置種別である「受信端末収容パケット中継装置種別」は「ＴＹＰＥ１」であるため、図８（ｂ）のテーブルの「番号」が「１」の行を参照することで、装置個別のコマンド列を取得し、最終的には詳細監視指示情報として、例えば、コマンド文字列｛ｓｅｔ ｉｎｔｅｒｖａｌ １０ ｓｅｃ；ｓｅｔ ｓａｍｐｌｅ １２８；ｓｅｔ ｄｅｓｔ １０．１０．１０．２｝が生成されることとなる。

つづいて、詳細監視機能６０の構成について図６を用いて説明する。図６に示すように、詳細監視機能６０は、入出力インターフェース部６０ｇと、詳細監視指示情報受信部６０ｄと、状態管理テーブル６０ａと、詳細監視部６０ｂと、詳細監視情報送信部６０ｅと、フローデータ蓄積部６０ｃと、フローデータ受信部６０ｆを備える。入出力インターフェース部６０ｇは、ＬＡＮ（Local Area Network）ボードなどの通信デバイスであり、監視制御機能および受信端末収容パケット中継装置などの他装置等とのデータ送受信処理を行う。

詳細監視指示情報受信部６０ｄは、入出力インターフェース部６０ｇを介して、監視制御機能から詳細監視指示情報を受信し、当該情報に含まれる状態管理番号を状態管理テーブル６０ａに蓄積する。これは、詳細監視結果として、詳細監視情報を後続処理で当該監視制御機能に送信する際に当該状態管理番号を付与し、当該監視制御機能が状態管理を行うことを可能とするためである。

詳細監視部６０ｂは、フローデータ蓄積部６０ｃを参照し、受信端末収容パケット中継装置から送信されるフローデータをフロー単位で監視する。例えば、特定の受信端末宛ＩＰアドレス（１０．１０．１０．１）を持つ通過パケット量（数）が大きい場合には、当該パケットを更に宛先ポート番号（８０，２５，４４３）などで分割して各パケット量（数）を監視し、受信端末サービス単位での監視を行う。この場合、宛先ポート番号（８０）を持つパケット量が大きい場合には、受信端末（宛先ＩＰアドレス＝１０．１０．１０．１）のＨＴＴＰサービス（宛先ポート番号＝８０）に対して異常通過パケットが発生しているという詳細監視結果が得られることとなる。

このようにして、詳細監視部６０ｂは、異常パケットを含むフロー識別子、通過パケット量、および状態管理テーブル６０ａに蓄積した状態管理番号からなる詳細監視情報を、詳細監視情報送信部６０ｅを介して監視制御機能に送信する。

上述した実施例の説明では、本発明を実現する各機能（広域監視機能、監視制御機能、詳細監視機能）を機能面から説明した。これらは、上述した各機能に加えて、ＣＰＵ（Central Processing Unit）、メモリ、ハードディスクといったデバイスを備えているものとする。また、各機能は、それぞれＣＰＵによって処理されるプログラムのモジュールであってもよい。そして、各モジュールは１つのＣＰＵで処理されてもよく、複数のＣＰＵにより分散して処理されてもよい。

次に、本実施例１に係る通過パケット監視装置の処理手順の概要について図９〜１１を用いて説明する。図９は、広域監視機能から監視制御機能に対して広域監視情報を送信し、当該監視制御機能が受信端末収容パケット中継装置に対して、パケット中継装置コマンドを送信するまでの処理手順を示すフローチャートである。同図に示すように、広域監視機能はパケット交流分布を監視し（Ｓ１０１）、閾値以上のパケット量を検出した場合（Ｓ１０２，Ｙｅｓ）、広域監視情報を送信する（Ｓ１０３）。監視制御機能は、広域監視情報に含まれる通過パケット量が閾値以上の場合（Ｓ１０４，Ｙｅｓ）、パケット中継装置コマンドを受信端末収容パケット中継装置に対して送信する（Ｓ１０５）。

また、図１０は、監視制御装置が受信端末収容パケット中継装置からの結果応答を待つ処理手順を示すフローチャートである。監視制御機能は、正常終了の結果応答を受信した場合（Ｓ２０２，Ｙｅｓ）、詳細監視指示情報を詳細監視機能に送信する（Ｓ２０３）。一方、正常終了を受信しない場合は（Ｓ２０２，Ｎｏ）、リトライ処理（Ｓ２０４）を行う。

また、図１１は、詳細監視機能による詳細監視の実施から、監視制御機能による詳細監視情報の出力処理までの処理手順を示すフローチャートである。まず、詳細監視機能が、詳細監視指示情報を受信した場合（Ｓ３０１，Ｙｅｓ）、当該詳細監視機能は、フローデータを監視し（Ｓ３０２）、閾値以上のパケット量を検出した場合（Ｓ３０３，Ｙｅｓ），フロー識別子を特定する（Ｓ３０５）。その結果、詳細監視情報を監視制御機能に送信する（Ｓ３０４）。

監視制御機能は、詳細監視指示情報を送信した後（図１０，Ｓ２０３）、所定の期間、応答待ち処理を行っている（Ｓ３０６）。詳細監視情報を受信した場合（Ｓ３０７）、当該情報に含まれる受信端末収容パケット中継装置識別子、通過パケット量、およびフロー識別子を出力し（Ｓ３０８）、終了する。なお、所定の期間を過ぎても詳細監視情報を受信しない場合（Ｓ３０７，Ｎｏ）、再度、詳細監視機能に対して詳細監視指示情報の送信によるリトライ処理を行う（Ｓ３０９）。

上述のとおり、実施例１の説明では、本発明の広域監視機能、監視制御機能、および詳細監視機能が単一の装置内に実装された場合について、広域監視から詳細監視への階層型監視を行うための通過パケット監視装置に関して、機能面と処理手順面からの詳細な説明を行った。

実施例２では、実施例１の広域監視機能と詳細監視機能が、異なる装置内に実装され、異なるＩＰアドレスを有する場合について、通過パケット監視装置の構成について説明する。具体的には、詳細監視機能が複数台で負荷分散しながら動作するケースなどが考えられる。

実施例１の構成と異なる点は、広域監視機能と詳細監視機能が異なるＩＰアドレスを持つことである。また、複数の詳細監視機能が同時稼動する場合は、各詳細監視機能がそれぞれ異なるＩＰアドレスを持つ。つまり、受信端末収容パケット中継装置がフローデータを送信する際の、詳細監視機能の宛先ＩＰアドレスが異なる点が実施例１と主な違いである。以下、実施例２における各機能等の構成を詳細に説明する。

まず、受信端末収容パケット中継装置、広域監視機能、監視制御機能、および詳細監視機能の機能ブロック構成については、上述の実施例１に関する説明と同様であり、それぞれ図３〜６で示す構成と同じものとなる。

次に、詳細監視機能の宛先ＩＰアドレス値が反映される部分である監視制御機能中のパケット中継装置コマンドテーブル（図８）について説明する。特に、図８（ａ）で示すテーブル上の詳細監視機能宛先に当該ＩＰアドレスが記載されることで、フローデータの出力先が制御される。すなわち、監視制御機能が、当該ＩＰアドレス値をフローデータ出力条件の一部として、受信端末収容パケット中継装置にコマンドを送信することにより、同中継装置からのフローデータの出力先が所定の詳細監視機能宛先となる。また、複数の詳細監視機能が同時稼動する場合には、図８（ａ）に示すよう、受信端末収容パケット中継装置毎に担当する詳細監視機能を割り当て、該当するＩＰアドレスを同テーブルの「詳細監視機能宛先」に登録することで所望の動作を実現することが可能となる。

以上、本発明の広域監視機能と詳細監視機能が、異なる装置内に実装された場合について、通過パケット監視装置の構成について説明した。

以上、実施例１、２に基づいて詳細に説明したが、基本的な点をまとめると次のようになる。通過パケット監視装置は広域監視手段と監視制御手段と詳細監視手段とを有する。

広域監視手段は、各パケット中継装置からフローデータを収集する手段と、収集されたフローデータを用いて、ネットワーク全体について、パケット中継装置の対を通過する通過パケット量の分布である通過パケット交流分布を監視する手段と、所定の閾値以上の通過パケット量を検出した場合、当該通過パケットを受信端末収容側で疎通する受信端末収容パケット中継装置を特定し、当該受信端末収容パケット中継装置が疎通する通過パケット量を計測する手段と、前記受信端末収容パケット中継装置を識別する受信端末収容パケット中継装置識別子および前記通過パケット量を含む広域監視情報を前記監視制御手段に送信する手段と、を備える。

これにより、広域監視手段は、広域監視状態におけるフローデータを収集し、ネットワーク全体について通過パケット交流分布を監視し、所定の閾値以上の通過パケット量を検出した場合、広域監視情報を監視制御手段に送信する。

監視制御手段は、前記広域監視情報を受信した場合、前記受信端末収容パケット中継装置識別子で特定されるパケット中継装置に対する所定の閾値よりも前記通過パケット量が大きいときに、状態管理を識別する情報である状態管理識別情報を生成する手段と、前記パケット中継装置に送信するパケット中継装置コマンドを当該パケット中継装置により出力されるフローデータに関する所定の出力条件であるフローデータ出力条件に基づいて決定するパケット中継装置コマンド決定手段と、前記パケット中継装置コマンドを前記パケット中継装置へ送信する手段と、前記パケット中継装置識別子、前記フローデータ出力条件、および前記状態管理識別情報を含む詳細監視指示情報を生成する手段と、前記詳細監視指示情報を前記詳細監視手段に送信する手段と、前記詳細監視手段から詳細監視情報を受信した場合、当該詳細監視情報に含まれる状態管理識別情報に対応する受信端末収容パケット中継装置識別子並びに当該詳細監視情報に含まれるフロー識別子およびパケット量を出力する手段と、を備える。

これにより、監視制御手段は、広域監視手段から広域監視情報を受信すると、受信端末収容パケット中継装置識別子で特定されるパケット中継装置に対する所定の閾値よりも通過パケット量が大きいときに、状態管理を識別する情報である状態管理識別情報を生成し、詳細監視状態へ移行する。詳細監視状態へ移行すると、パケット中継装置コマンドを当該パケット中継装置により出力されるフローデータに関する所定の出力条件であるフローデータ出力条件に基づいて決定し、前記パケット中継装置へ送信する。また、パケット中継装置識別子、フローデータ出力条件、および状態管理識別情報を含む詳細監視指示情報を前記詳細監視手段に送信する。なお、この詳細監視のためのフローデータ出力条件は、広域監視状態におけるフローデータ出力条件よりも出力間隔や標本化間隔の間隔を短いものとすることができる。

詳細監視手段は、前記詳細監視指示情報を受信した場合、前記受信端末収容パケット中継装置識別子に該当するパケット中継装置が出力するフローデータを監視する手段と、前記フローデータ出力条件に基づいて前記パケット中継装置の通過パケットをフロー単位で詳細分析し、所定の閾値以上の通過パケット量を有するフローを検出した場合、当該フローの宛先情報を含むフロー識別子を特定する手段と、前記状態管理識別情報、前記通過パケット量、および前記フロー識別子を含む詳細監視情報を、前記監視制御手段に送信する手段と、を備える。

これにより、詳細監視手段は、詳細監視指示情報を受信した場合、受信端末収容パケット中継装置識別子に該当するパケット中継装置が出力するフローデータを監視し、前記フローデータ出力条件に基づいて前記パケット中継装置の通過パケットをフロー単位で詳細分析し、詳細監視情報を、前記監視制御手段に送信する。

このようにして、通過パケットの存在をネットワーク全体に渡り広域に監視し、その後、局所的に存在する異常パケットに対して、詳細監視手段を用いてフロー単位の監視を行うことを可能としている。

以上のように、本発明に係る通過パケット監視装置および方法は、ＩＳＰネットワークを通過するパケットの異常監視手段として有用であり、特に、監視制御機能を用いた広域監視と詳細監視の階層型監視制御方式を導入することで、複数ユーザへの監視サービスの提供において、監視装置の共有化によるコストの低減化が可能となる点で有益である。

以上、本発明者によってなされた発明を、前記実施例に基づき具体的に説明したが、本発明は、前記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。

従来技術を用いた通過パケット監視手段の概要を示す図である。 本発明に係る通過パケット監視装置の概要を示す図である。 受信端末収容パケット中継装置の構成を示すブロック図である。 広域監視機能の構成を示すブロック図である。 監視制御機能の構成を示すブロック図である。 詳細監視機能の構成を示すブロック図である。 監視制御機能が具備する状態管理テーブルの例である。 パケット中継装置コマンドテーブルの例である。 広域監視機能と監視制御機能の連携処理手順を示すフローチャートである。 監視制御機能のパケット中継装置応答待ち処理手順を示すフローチャートである。 詳細監視機能と監視制御機能の連携処理手順を示すフローチャートである。

符号の説明

１，２１…受信端末、２，２２…受信端末収容ネットワーク、３…Ｐｒｏｂｅ装置、４…ＩＤＳ装置、５…パケット中継装置、７，２０…ＩＳＰネットワーク、２３…異常通過パケット、３０…受信端末収容パケット中継装置、３０ａ，ｆ，ｈ…ネットワークインターフェース部、３０ｂ…パケット中継装置コマンド受信部、３０ｃ…フローデータ送信部、３０ｄ…フローデータ生成部、３０ｅ…フロー情報蓄積部、３０ｇ…ルーティング機能部、４０…広域監視機能、４０ａ…受信端末収容パケット中継装置特定部、４０ｂ…通過パケット量測定部、４０ｃ…広域監視情報送信部、４０ｄ…入出力インターフェース部、４０ｅ…通過パケット交流分布監視部、４０ｆ…通過パケット交流分布蓄積部、４０ｇ…フローデータ集約部、５０…監視制御機能、５０ａ…状態管理テーブル、５０ｂ…閾値判定部、５０ｃ…パケット中継装置コマンド決定処理部、５０ｄ…詳細監視情報処理部、５０ｅ…詳細監視結果出力部、５０ｆ…パケット中継装置コマンドテーブル、５０ｇ…広域監視情報受信部、５０ｈ…パケット中継装置送受信部、５０ｉ…詳細監視機能送受信部、５０ｊ…入出力インターフェース部、６０…詳細監視機能、６０ａ…状態管理テーブル、６０ｂ…詳細監視部、６０ｃ…フローデータ蓄積部、６０ｄ…詳細監視指示情報受信部、６０ｅ…詳細監視情報送信部、６０ｆ…フローデータ受信部、６０ｇ…入出力インターフェース部

Claims (4)

1. 通過パケットを疎通する複数のパケット中継装置を含むネットワークにおいて通過パケットを監視する通過パケット監視装置であって、
   広域監視手段と、
   監視制御手段と、
   詳細監視手段と、
   を有し、
   前記広域監視手段は、
   前記各パケット中継装置からフローデータを収集する手段と、
   収集されたフローデータを用いて、前記ネットワーク全体について、パケット中継装置の対を通過する通過パケット量の分布である通過パケット交流分布を監視し、通過パケット交流分布の通過パケット量が所定の閾値を超えた場合、当該通過パケットを受信端末収容側で疎通する受信端末収容パケット中継装置を特定し、当該受信端末収容パケット中継装置が疎通する通過パケット量を計測する手段と、
   前記受信端末収容パケット中継装置を識別する受信端末収容パケット中継装置識別子および前記通過パケット量を含む広域監視情報を前記監視制御手段に送信する手段と、
   を備え、
   前記監視制御手段は、
   前記広域監視情報を受信した場合、前記受信端末収容パケット中継装置識別子で特定されるパケット中継装置に対する所定の閾値よりも前記通過パケット量が大きいときに、状態管理を識別する情報である状態管理識別情報を生成し、当該パケット中継装置に送信するパケット中継装置コマンドを当該パケット中継装置により出力されるフローデータに関する所定の出力条件であるフローデータ出力条件に基づいて決定し、決定したパケット中継装置コマンドを当該パケット中継装置へ送信する手段と、
   前記パケット中継装置識別子、前記フローデータ出力条件、および前記状態管理識別情報を含む詳細監視指示情報を生成する手段と、
   前記詳細監視指示情報を前記詳細監視手段に送信する手段と、
   前記詳細監視手段から詳細監視情報を受信した場合、当該詳細監視情報に含まれる状態管理識別情報に対応する受信端末収容パケット中継装置識別子並びに当該詳細監視情報に含まれるフロー識別子およびパケット量を出力する手段と、
   を備え、
   前記詳細監視手段は、
   前記詳細監視指示情報を受信した場合、前記受信端末収容パケット中継装置識別子に該当するパケット中継装置が出力するフローデータを監視する手段と、
   前記フローデータ出力条件に基づいて前記パケット中継装置の通過パケットをフロー単位で詳細分析し、所定の閾値以上の通過パケット量を有するフローを検出した場合、当該フローの宛先情報を含むフロー識別子を特定する手段と、
   前記状態管理識別情報、前記通過パケット量、および前記フロー識別子を含む詳細監視情報を、前記監視制御手段に送信する手段と、
   を備えることを特徴とする通過パケット監視装置。
2. 請求項１に記載の通過パケット監視装置であって、
   前記広域監視手段と前記詳細監視手段が、前記ネットワークに設置された同一装置内に設けられ、かつ同一宛先アドレスを有し、
   前記監視制御手段のパケット中継装置コマンド決定手段は、所定のフローデータ出力間隔とフローデータ標本化間隔からなるフローデータ出力条件に基づいて、パケット中継装置コマンドを決定することを特徴とする通過パケット監視装置。
3. 請求項１に記載の通過パケット監視装置であって、
   前記広域監視手段と前記詳細監視手段が、前記ネットワークに設置された異なる装置内に設けられ、かつ異なる宛先アドレスを有し、
   前記監視制御手段のパケット中継装置コマンド決定手段は、パケット中継装置のフローデータ出力先として前記詳細監視手段の宛先アドレスを指定し、当該宛先アドレス、並びに所定のフローデータ出力間隔およびフローデータ標本化間隔からなるフローデータ出力条件に基づいて、パケット中継コマンドを決定することを特徴とする通過パケット監視装置。
4. 通過パケットを疎通する複数のパケット中継装置を含むネットワークにおいて通過パケットを監視する通過パケット監視装置の通過パケット監視方法であって、
   前記通過パケット監視装置は、
   広域監視手段と、
   監視制御手段と、
   詳細監視手段と、
   を有し、
   前記広域監視手段が、
   前記各パケット中継装置からフローデータを収集し、
   収集されたフローデータを用いて、前記ネットワーク全体について、パケット中継装置の対を通過する通過パケット量の分布である通過パケット交流分布を監視し、通過パケット交流分布の通過パケット量が所定の閾値を超えた場合、当該通過パケットを受信端末収容側で疎通する受信端末収容パケット中継装置を特定し、当該受信端末収容パケット中継装置が疎通する通過パケット量を計測し、
   前記受信端末収容パケット中継装置を識別する受信端末収容パケット中継装置識別子および前記通過パケット量を含む広域監視情報を前記監視制御手段に送信し、
   前記監視制御手段が、
   前記広域監視情報を受信した場合、前記受信端末収容パケット中継装置識別子で特定されるパケット中継装置に対する所定の閾値よりも前記通過パケット量が大きいときに、状態管理を識別する情報である状態管理識別情報を生成し、当該パケット中継装置に送信するパケット中継装置コマンドを当該パケット中継装置により出力されるフローデータに関する所定の出力条件であるフローデータ出力条件に基づいて決定し、決定したパケット中継装置コマンドを当該パケット中継装置へ送信し、
   前記パケット中継装置識別子、前記フローデータ出力条件、および前記状態管理識別情報を含む詳細監視指示情報を生成し、
   前記詳細監視指示情報を前記詳細監視手段に送信し、
   前記詳細監視手段から詳細監視情報を受信した場合、当該詳細監視情報に含まれる状態管理識別情報に対応する受信端末収容パケット中継装置識別子並びに当該詳細監視情報に含まれるフロー識別子およびパケット量を出力し、
   前記詳細監視手段が、
   前記詳細監視指示情報を受信した場合、前記受信端末収容パケット中継装置識別子に該当するパケット中継装置が出力するフローデータを監視し、
   前記フローデータ出力条件に基づいて前記パケット中継装置の通過パケットをフロー単位で詳細分析し、所定の閾値以上の通過パケット量を有するフローを検出した場合、当該フローの宛先情報を含むフロー識別子を特定し、
   前記状態管理識別情報、前記通過パケット量、および前記フロー識別子を含む詳細監視情報を、前記監視制御手段に送信する、
   ことを特徴とする通過パケット監視方法。

Images