JP4415380B2 - パケット解析装置及びこれを用いたパケット解析システム - Google Patents

Description

本発明は、インターネット等のネットワークを伝播するパケットを解析するパケット解析装置及びこれを用いたパケット解析システムに関し、特に新種のワーム発生等のインシデント（出来事）を効率よく検出することが可能なパケット解析装置及びこれを用いたパケット解析システムに関する。

従来のインターネット等のネットワークを伝播するパケットを捕捉して解析するパケット解析システムに関連する先行技術文献としては次のようなものがある。

特開２００２−１８５５３９号公報 特開２００２−３４２２７６号公報 特開２００２−３５２０５７号公報 特開２００３−２０４３５８号公報 特開２００３−２７３９３６号公報 特開２００４−０３０２８６号公報 特開２００４−０５４７０６号公報

図１３はこのような従来のパケット解析システムの一例を示す構成ブロック図である。図１３において１はパケット解析システムの全体を管理するサーバ、２，３及び４は内部のネットワークとその外部のネットワークとの間に外部からの不正なアクセスを防ぐ目的で設置されるファイアウォール、５及び６はそれぞれ内部のネットワークに接続されるコンピュータ、１００はインターネット等の外部のネットワーク、１０１はイントラネット等の内部のネットワークである。

サーバ１はネットワーク１００に相互に接続され、ファイアウォール２，３及び４の外部ネットワーク接続用の接続端にはネットワーク１００に相互に接続される。ファイアウォール２及び３の内部ネットワーク接続用の接続端にはコンピュータ５及び６がそれぞれ接続され、ファイアウォール４の内部ネットワーク接続用の接続端にはネットワーク１０１が接続される。

ここで、図１３に示す従来例の動作を図１４、図１５、図１６及び図１７を用いて説明する。図１４はパケット解析システムの全体を管理するサーバ１の動作を説明するフロー図、図１５及び図１６はパケット等の情報の流れを説明する説明図、図１７はファイアウォールで取得されたパケットのログ情報のフォーマット及び解析レポートの一例を示す説明図である。

図１４中”Ｓ００１”においてサーバ１は、パケットログを解析するか否かを判断し、もし、パケットログを解析すると判断した場合には、図１４中”Ｓ００２”においてサーバ１は、ネットワーク１００を介して各ファイアウォール２〜４から蓄積されているパケットのログ情報を収集する。

例えば、図１５中”ＣＤ０１”に示すようにサーバ１は、ネットワーク１００を介してファイアウォール２からパケットのログ情報を収集し、図１５中”ＣＤ０２”及び”ＣＤ０３”に示すようサーバ１は、ネットワーク１００を介してファイアウォール３及び４からパケットのログ情報を収集する。

そして、図１４中”Ｓ００３”においてサーバ１は、収集したパケットのログ情報を解析すると共に図１４中”Ｓ００４”においてサーバ１は、解析結果をレポートとして作成すると共にコンピュータ等に送信する。

例えば、図１６中”ＲＰ１１”に示すようにサーバ１は、解析結果をレポートとして作成すると共にコンピュータ５に送信する。

収集したパケットのログ情報の解析方法としては、図１７中”ＦＷ２１”に示すような情報を有するファイアウォールのパケットのログ情報に基づき或る期間毎の統計を取ることにより、どのようなパケットが伝播してきているのかを判断する。

具体的には、各期間のパケットの宛先ポート毎にその個数を集計することにより、図１７中”ＲＰ２１”に示すようなレポートを得ることができる。例えば、図１７中”ＴＲ２１”に示すように”８／１０”の”００：００〜００：５９”の時刻の間には”ＴＣＰ／１３５（ＴＣＰ（Transmission Control Protocol：以下、単にＴＣＰと呼ぶ。）のプロトコルでポート番号１３５）”宛に飛んできたパケットが”２１２５個”である等の情報を得ることができる。

この結果、内部のネットワークとその外部のネットワークとの間にファイアウォールを設置し、パケット解析システムの全体を管理するサーバで各ファイアウォールに蓄積されたパケットのログ情報を収集し解析することにより、ネットワークを伝播するパケットの解析を行うことが可能になる。

また、ファイアウォールのみだけではなくＩＤＳ（Intrusion Detection System：侵入検知システム：以下、単にＩＤＳと呼ぶ。）のログ情報に基づきネットワークを伝播するパケットの解析を行っても構わない。

図１８はＩＤＳで取得されたパケットのログ情報のフォーマット及び解析レポートの一例を示す説明図である。

収集したパケットのログ情報の解析方法としては、図１８中”ＩＤ３１”に示すような情報を有するＩＤＳのパケットのログ情報に基づき或る期間毎の統計を取ることにより、どのようなパケットが伝播してきているのかを判断する。

具体的には、各期間のＩＤＳのイベント毎にその個数を集計することにより、図１８中”ＲＰ３１”に示すようなレポートを得ることができる。例えば、図１８中”ＴＲ３１”に示すように”８／１０”の”００：００〜００：５９”の時刻の間には”ＴＣＰ／１３５（ＴＣＰのプロトコルでポート番号１３５）”にアクセスを試みたパケットが”１１２５個”である等の情報を得ることができる。

また、図１９は解析レポートの他の一例を示す説明図であり、パケットのダンプからプロトコル／ポート番号毎にその個数を集計することにより、図１９中”ＲＰ４１”に示すようなレポートを得ることができる。例えば、図１９中”ＴＲ４１”に示すように”８／１０”の”００：００〜００：５９”の時刻の間には”ＵＤＰ／１４３４（ＵＤＰ（User Datagram Protocol：以下、単にＵＤＰと呼ぶ。）のプロトコルでポート番号１４３４）”宛に飛んできたパケットが”１８８５個”である等の情報を得ることができる。

さらに、図２０はパケット解析システムの全体を管理すると共に検出条件を設定してパケットのログ情報を検索するサーバ１の動作を説明するフロー図である。

図２０中”Ｓ１０１”においてサーバ１は、ユーザ等の外部からの検出条件の設定を受け、図２０中”Ｓ１０２”においてサーバ１は、設定された検出条件に基づきパケットのログ情報を検索し、図２０中”Ｓ１０３”においてサーバ１は、検索結果を表示手段等に表示させる。

例えば、検出条件としては”プロトコル種別”、”ポート番号”、”ＩＤＳのシグネチャ（Signature：侵入パターンである一般的に行なわれている不正アクセス特有のトラフィック）名”、”統計間隔”、或いは、”検出対象期間”等があり、ユーザは自らの経験等に基づき適宜検出条件を設定する。

そして、例えば、図２１は設定された検出条件に基づく検索結果の一例を示す説明図であり、図２１中”ＤＳ５１”に示す表示画面上には図２１中”ＰＮ５１”、”ＰＲ５１”及び”ＤＴ５１”に示すようなポート番号（１７３００番）、プロトコル種別（ＴＣＰ）及び検出対象期間（過去１４日間）等が表示されると共に当該検出条件に合致するパケットのヒストグラムが図２１中”ＨＴ５１”に示すように表示される。

また、図２０中”Ｓ１０４”においてサーバ１は、検出条件の変更の有無を判断し、もし、検出条件が変更されたと判断した場合には、サーバ１は、図２０中”Ｓ１０１”のステップに戻り、もし、検出条件が変更されなかったと判断した場合には処理を終了する。

例えば、ユーザ等による外部からの検出条件の変更を受けたと判断した場合には、当該変更された検出条件に基づき再度パケットのログ情報を検索する等して、図２０中”Ｓ１０１”から図２０中”Ｓ１０３”の処理を行う。

すなわち、新種のワーム発生、広域スキャン、ＤｏＳ（Denial of Service attack）攻撃等のインシデント（incident：出来事：以下、単にインシデントと呼ぶ）を検出するまでには、検出条件を変更しながら解析作業を繰り返すことになり、例えば、図２０に示すような検索結果では新種のワーム発生等のインシデントを検出できていないとユーザが判断した場合には、検出条件を変更して再度解析作業を行うことになる。

しかし、図１３に示す従来例では、検出条件を変更しながら解析作業を繰り返すことになるので、ユーザのスキルが低い場合にはなかなかインシデントを検出することが困難であると言った問題点があった。

また、図１３に示す従来例では、ワームの亜種等の検出が難しく、このため、ワームの亜種が発生して従来のワームと混在した場合等には亜種の分離が困難であるといった問題点があった。

例えば、”ＴＣＰ／４４５（ＴＣＰのプロトコルでポート番号４４５）”へのアクセスは以下に示すようなバリエーションがあり、それぞれ異なるワームであるものの分離が困難である。
（１）”ICMP(Internet Control Message Protocol：以下、単にＩＣＭＰと呼ぶ。) Rcho Request”でサーバの存在を確認してから”ＴＣＰ／４４５”にアクセス。
（２）”ＴＣＰ／４４５"にだけアクセス。
（３）ネットワークをスキャンして”ＴＣＰ／４４５”サービスを探す。
（４）”ＴＣＰ１３９”にアクセスしてから”ＴＣＰ／４４５”にアクセス。
（５）”ＴＣＰ／２７４５”、”ＴＣＰ／１３５”、”ＴＣＰ／１０２５”、”ＴＣＰ／４４５”、”ＴＣＰ／３１２７”、”ＴＣＰ６１２９”、”ＴＣＰ１３９”、”ＴＣＰ／８０”の組み合わせでアクセス。

すねわち、図１３に示す従来例では、上述の（１）、（３）、（４）及び（５）のバリエーションを見落とす可能性があると言った問題点があった。
従って本発明が解決しようとする課題は、新種のワーム発生等のインシデントを効率よく検出することが可能なパケット解析システムを実現することにある。

このような課題を達成するために、本発明の請求項１記載の発明は、
ネットワークを伝播するパケットを解析するパケット解析装置において、
前記ネットワークを介して通信を行う通信手段と、
パケットの解析により得られたイベントの時間的推移を示す表示画面を表示する表示手段と、
設定された検出条件に基づき前記ネットワークを介して収集されたパケットのログ情報から得られるイベントの時間的推移を示す表示画面を前記表示手段に表示すると共に検出されたイベントが検出頻度順に並べられた検索条件候補リストを併せて表示し、前記検索条件候補リストの操作により検索条件を自動設定して検索して絞り込みたいイベントを検索して検索の結果として前記表示手段に前記検索して絞り込みたいイベントの時間的推移を示す表示画面を表示し、さらに、前記検索条件候補リストの操作により検索条件を自動設定してさらに検索して絞り込みたい候補を検索して検索の結果として前記表示手段に前記さらに検索して絞り込みたいイベントの時間的推移を示す表示画面を表示する演算制御手段と、から構成されることにより、新種のワーム発生等のインシデントを効率よく検出することが可能になる。

請求項２記載の発明は、
請求項１記載の発明であるパケット解析装置において、
前記検索条件候補リストの操作を行う入力手段と、前記検索条件候補リストが予め格納されている記憶手段と、から構成されることにより、新種のワーム発生等のインシデントを効率よく検出することが可能になる。

請求項３記載の発明は、
請求項１または請求項２記載の発明であるパケット解析装置において、
前記演算制御手段が、前記ログ情報を検索する毎に学習して前記検索条件候補リストに検索条件候補を順次追加することにより、新種のワーム発生等のインシデントを効率よく検出することが可能になる。

請求項４記載の発明は、
ネットワークを伝播するパケットを捕捉して解析するパケット解析システムにおいて、
複数の場所に設置され伝播するパケットを捕捉してパケットのログ情報を順次蓄積するパケットログ収集装置と、前記ネットワークを介して前記複数のパケットログ収集装置から前記ログ情報を取得してこのログ情報から得られるイベントの時間的推移を示す表示画面を表示すると共に検出されたイベントが検出頻度順に並べられた検索条件候補リストを併せて表示し、前記検索条件候補リストの操作により検索条件を自動設定して検索して絞り込みたいイベントを検索して検索の結果として前記検索して絞り込みたいイベントの時間的推移を示す表示画面を表示し、さらに、前記検索条件候補リストの操作により検索条件を自動設定してさらに検索して絞り込みたい候補を検索して検索の結果として前記さらに検索して絞り込みたいイベントの時間的推移を示す表示画面を表示するパケット解析装置とを備えたことにより、新種のワーム発生等のインシデントを効率よく検出することが可能になる。

請求項５記載の発明は、
請求項４記載の発明であるパケット解析システムにおいて、
前記パケット解析装置が、前記ネットワークを介して通信を行う通信手段と、パケットの解析により得られたイベントの時間的推移を示す表示画面を表示する表示手段と、前記ネットワークを介して前記複数のパケットログ収集装置から取得した前記ログ情報ログ情報から得られるイベントの時間的推移を示す表示画面を前記表示手段に表示すると共に検出されたイベントが検出頻度順に並べられた検索条件候補リストを併せて表示し、前記検索条件候補リストの操作により検索条件を自動設定して検索して絞り込みたいイベントを検索して検索の結果として前記表示手段に前記検索して絞り込みたいイベントの時間的推移を示す表示画面を表示し、さらに、前記検索条件候補リストの操作により検索条件を自動設定してさらに検索して絞り込みたい候補を検索して検索の結果として前記表示手段に前記さらに検索して絞り込みたいイベントの時間的推移を示す表示画面を表示する演算制御手段とから構成されることにより、新種のワーム発生等のインシデントを効率よく検出することが可能になる。

請求項６記載の発明は、
請求項４または請求項５記載の発明であるパケット解析システムにおいて、
前記検索条件候補リストが、前記記憶手段若しくは前記パケット解析装置内に予め格納されていることにより、新種のワーム発生等のインシデントを効率よく検出することが可能になる。

請求項７記載の発明は、
請求項４または請求項５記載の発明であるパケット解析システムにおいて、
前記演算制御手段が、前記ログ情報を検索する毎に学習して前記検索条件候補リストに索条件候補を順次追加することにより、新種のワーム発生等のインシデントを効率よく検出することが可能になる。

請求項８記載の発明は、
請求項４または請求項５記載の発明であるパケット解析システムにおいて、
前記パケット解析装置が、前記ログ情報を検索する場合に前記ネットワークを介して前記複数のパケットログ収集装置から蓄積されているログ情報を取得し検索して検索結果を表示させることにより、新種のワーム発生等のインシデントを効率よく検出することが可能になる。

請求項９記載の発明は、
請求項４または請求項５記載の発明であるパケット解析システムにおいて、
前記パケット解析装置が、前記ログ情報を検索する場合に前記ネットワークを介して前記複数のパケットログ収集装置の一から蓄積されているログ情報を取得し検索して検索結果を表示させることにより、新種のワーム発生等のインシデントを効率よく検出することが可能になる。

請求項１０記載の発明は、
請求項４または請求項５記載の発明であるパケット解析システムにおいて、
前記パケット解析装置が、前記ログ情報を検索する場合に前記ネットワークを介して前記複数のパケットログ収集装置の内選択された任意のパケットログ収集装置から蓄積されているログ情報を取得し検索して検索結果を表示させることにより、新種のワーム発生等のインシデントを効率よく検出することが可能になる。

本発明によれば次のような効果がある。
請求項１，２，３，４，５，６，７及び請求項８の発明によれば、パケット解析装置が、パケットログ収集装置に蓄積されたパケットのログ情報の検索結果を表示手段に表示させると共に検索条件候補リストを表示手段に併せて表示させ、当該検索条件候補リストを操作することにより、検索条件を自動設定して再検索させることにより、新種のワーム発生等のインシデントを効率よく検出することが可能になる。

また、請求項９及び請求項１０の発明によれば、個別のパケットログ収集装置毎に蓄積されているパケットのログ情報を検索して検索結果を表示させ、或いは、選択された任意のパケットログ収集装置に蓄積されているパケットのログ情報を検索して検索結果を表示させることにより、パケット解析システムの部分的な領域における解析が容易になる。

以下本発明を図面を用いて詳細に説明する。図１は本発明に係るパケット解析装置を用いたパケット解析システムの一実施例を示す構成ブロック図である。

図１において７はパケット解析装置、８，９及び１０は内部のネットワークとその外部のネットワークとの間に外部からの不正なアクセスを防ぐ目的で設置されると共にパケットログを収集するファイアウォール等のパケットログ収集装置、１１及び１２はそれぞれ内部のネットワークに接続されるコンピュータ、１０２はインターネット等の外部のネットワーク、１０３はイントラネット等の内部のネットワークである。

パケット解析装置７はネットワーク１０２に相互に接続され、パケットログ収集装置８，９及び１０の外部ネットワーク接続用の接続端にはネットワーク１０２に相互に接続される。パケットログ収集装置８及び９の内部ネットワーク接続用の接続端にはコンピュータ１１及び１２がそれぞれ接続され、パケットログ収集装置１０の内部ネットワーク接続用の接続端にはネットワーク１０３が接続される。

また、図２はパケット解析装置７の具体例を示す構成ブロック図である。図２において１３はネットワーク１０２を介して通信を行う通信手段、１４はキーボードやポインティングデバイス等の入力手段、１５はＣＲＴ（Cathode Ray Tube）やＬＣＤ（Liquid Crystal Display）等の表示手段、１６はパケット解析装置全体を制御するＣＰＵ（Central Processing Unit）等の演算制御手段、１７は検索条件候補リストが予め格納等されているハードディスクやＲＡＭ（Random Access Memory）、フラッシュメモリ等の記憶手段である。また、１３，１４，１５，１６及び１７はパケット解析装置５０を構成している。

入力手段１４の出力は演算制御手段１６に接続され、演算制御手段１６の表示出力は表示手段１５に接続される。また、通信手段１３及び記憶手段１７の入出力はそれぞれ演算制御手段１６に相互に接続される。また、通信手段１３はネットワーク１０２（図示せず。）と相互に接続される。

ここで、図１等に示す実施例の動作を図３、図４、図５、図６、図７、図８、図９、図１０、図１１及び図１２を用いて説明する。図３はパケット解析装置７の動作を説明するフロー図、図４は全イベントのアクセス推移を示す説明図、図５及び図８は検索条件候補リストの表示画面の一例を示す説明図、図６、図９及び図１１は検索条件候補の選択画面の一例を示す説明図、図７は”ＴＣＰ／５０００”へアクセスするものの推移を示す説明図、図１０は”ＴＣＰ／５０００”へのみアクセスするものの推移を示す説明図、図１２は”ＴＣＰ／５０００”と”ＴＣＰ／１３５”のみをセットでアクセスするものの推移を示す説明図である。

パケットログ収集装置８〜１０はネットワーク１０２等を伝播してくるパケットを捕捉して、当該パケットのログ情報を順次蓄積し、パケット解析装置７からの要求に応じて蓄積したパケットのログ情報を適宜提供する。

一方、図３中”Ｓ２０１”においてパケット解析装置７（具体的には、演算制御手段１６）は、ユーザ等の外部からの検出条件の設定を受け、図３中”Ｓ２０２”においてパケット解析装置７（具体的には、演算制御手段１６）は、設定された検出条件に基づきパケットログ収集装置８〜１０に蓄積されているパケットのログ情報を収集して検索する。

例えば、検出条件としては”プロトコル種別”、”ポート番号”、”ＩＤＳのシグネチャ名”、”統計間隔”、或いは、”検出対象期間”等があり、ユーザは自らの経験等に基づき適宜検出条件を設定する。

図３中”Ｓ２０３”においてパケット解析装置７（具体的には、演算制御手段１６）は、検索結果を表示手段１５に表示させると共に図３中”Ｓ２０４”において検索条件候補リストを表示手段１５に併せて表示させる。

例えば、図４中”ＤＳ６１”に示すようにパケットのログ情報を全て表示した場合、”５月１７日”〜”５月１９日”の間にアクセスが集中していることが分かる。同時に図５中”ＤＳ７１”に示すように検索条件候補リストが検出頻度順に表示手段１５上に表示される。

この場合、図５中”ＤＳ７１”に示すような検索条件候補リストの表示画面においては、図５中”ＰＫ７１”、”ＰＫ７２”及び”ＰＫ７３”に示すような”ICMP Rcho Request”、”ＴＣＰ／５０００”及び”ＴＣＰ／４４５”の検出頻度が高いことが分かる。

また、図３中”Ｓ２０５”においてパケット解析装置７（具体的には、演算制御手段１６）は、検索条件候補が選択されたか否かを判断し、もし、検索条件候補が選択されたと判断した場合には、パケット解析装置７（具体的には、演算制御手段１６）は、図３中”Ｓ２０１”のステップに戻り検索条件を自動設定して再検索を行い、もし、検索条件候補が選択されなかったと判断した場合には処理を終了する。

そして、図５中”ＤＳ７１”に示すような検索条件候補リストの表示画面において検索して絞り込みたい候補、例えば、”ＴＣＰ／５０００”に関して絞込みを行いたいと想定した場合には、入力手段１４によって図５中”ＢＴ７１”に示すボタンを操作することにより、図６中”ＤＳ８１”に示す表示画面において図６中”ＣＤ８１”に示すように検索条件が自動的に設定される。

さらに、入力手段１４によって図６中”ＢＴ８１”に示す検索ボタンを操作することにより、再検索が実行され、例えば、図７中”ＤＳ９１”に示すような”ＴＣＰ／５０００”にアクセスするものの推移を示す画面が表示手段１５上に表示される。

同時に、図７中”ＤＳ９１”に示すような”ＴＣＰ／５０００”へアクセスするものの推移を示す画面と併せて図８中”ＤＳ１０１”に示すような検索条件候補リスト（”ＴＣＰ／５０００”へアクセスするものに関する検索条件候補リスト）の画面が表示手段１５上に表示される。

図８中”ＤＳ１０１”に示すような検索条件候補リストの表示画面においては、図８中”ＰＫ１０１”及び”ＰＫ１０２”に示すような”ＴＣＰ／５０００”及び”ＴＣＰ／５０００とＴＣＰ／１３５のみをセット”の検出頻度が高いことが分かる。

そして、図８中”ＤＳ１０１”に示すような検索条件候補リストの表示画面において更に検索して絞り込みたい候補、例えば、”ＴＣＰ／５０００”に関して更に絞込みを行いたいと想定した場合には、入力手段１４によって図８中”ＢＴ１０１”に示すボタンを操作することにより、図９中”ＤＳ１１１”に示す表示画面において図９中”ＣＤ１１１”に示すように検索条件が自動的に設定される。

さらに、入力手段１４によって図９中”ＢＴ１１１”に示す検索ボタンを操作することにより、再検索が実行され、例えば、図１０中”ＤＳ１２１”に示すような”ＴＣＰ／５０００”へのみアクセスするものの推移を示す画面が表示手段１５上に表示される

例えば、図１０中”ＤＳ１２１”に示す”ＴＣＰ／５０００”へのみアクセスするものの推移を示す画面では図１０中”ＲＧ１２１”に示す時期にアクセスが集中し、図１０中”ＤＴ１２１”に示す”５月１６日”から”ＴＣＰ／５０００”にのみアクセスするワームが発生したことを容易に識別（検出）することが可能になる。

同様に、図８中”ＤＳ１０１”に示すような検索条件候補リストの表示画面において更に検索して絞り込みたい候補、例えば、”ＴＣＰ／５０００とＴＣＰ／１３５のみをセット”に関して更に絞込みを行いたいと想定した場合には、入力手段１４によって図８中”ＢＴ１０２”に示すボタンを操作することにより、図１１中”ＤＳ１３１”に示す表示画面において図１１中”ＣＤ１３１”に示すように検索条件が自動的に設定される。

さらに、入力手段１４によって図１１中”ＢＴ１３１”に示す検索ボタンを操作することにより、再検索が実行され、例えば、図１２中”ＤＳ１４１”に示すような”ＴＣＰ／５０００とＴＣＰ／１３５のみをセット”でアクセスするものの推移を示す画面が表示手段１５上に表示される

例えば、図１２中”ＤＳ１４１”に示すＴＣＰ／５０００とＴＣＰ／１３５のみをセット”でアクセスするものの推移を示す画面では図１２中”ＲＧ１４１”に示す時期にアクセスが集中し、図１２中”ＤＴ１４１”に示す”５月１８日”から”ＴＣＰ／５０００とＴＣＰ／１３５のみをセット”でアクセスするワーム（亜種）が発生したことを容易に識別（検出）することが可能になる。

この結果、パケット解析装置７（具体的には、演算制御手段１６）が、パケットログ収集装置に蓄積されたパケットのログ情報の検索結果を表示手段１５に表示させると共に検索条件候補リストを表示手段１５に併せて表示させ、当該検索条件候補リストを操作することにより、検索条件を自動設定して再検索させることにより、新種のワーム発生等のインシデントを効率よく検出することが可能になる。

なお、図１に示す実施例ではパケット解析装置を用いたパケット解析システムを例示しているが、勿論、パケット解析装置単体で各種装置、或いは、様々な手法により収集されたログ情報を解析する構成であっても構わない。

図１等に示す実施例の説明に際しては、２回の再検索を行う場合例示しているが、勿論、再検索の回数は何ら制限されるものではく何回であっても構わない。

また、図１等に示す実施例の説明に際しては記憶手段に検索条件候補リストが予め格納している旨記載しているが、勿論、パケットのログ情報を検索する毎に学習して検索条件候補リストに検索条件候補を順次追加していっても構わないし、両者の併用であっても構わない。

この場合には、検索条件候補リストが順次蓄積されて行くので、更に新種のワーム発生等のインシデントを効率よく検出することが可能になる。

また、パケット解析装置７（具体的には、演算制御手段１６）では各パケットログ収集装置に蓄積されているパケットのログ情報を検索して検索結果を表示させているが、勿論、個別のパケットログ収集装置毎に蓄積されているパケットのログ情報を検索して検索結果を表示させても構わないし、選択された任意のパケットログ収集装置に蓄積されているパケットのログ情報を検索して検索結果を表示させても構わない。

この場合には、パケット解析システム全体の検索結果のみだけではない、個々のパケットログ収集装置毎や選択された任意のパケットログ収集装置に蓄積されているパケットのログ情報を検索して検索結果が得られるので、パケット解析システムの部分的な領域における解析が容易になる。

本発明に係るパケット解析システムの一実施例を示す構成ブロック図である。 パケット解析装置の具体例を示す構成ブロック図である。 パケット解析装置の動作を説明するフロー図である。 全イベントのアクセス推移を示す説明図である。 検索条件候補リストの表示画面の一例を示す説明図である。 検索条件候補の選択画面の一例を示す説明図である。 ”ＴＣＰ／５０００”へアクセスするものの推移を示す説明図である。 検索条件候補リストの表示画面の一例を示す説明図である。 検索条件候補の選択画面の一例を示す説明図である。 ”ＴＣＰ／５０００”へのみアクセスするものの推移を示す説明図である。 検索条件候補の選択画面の一例を示す説明図である。 ”ＴＣＰ／５０００”と”ＴＣＰ／１３５”のみをセットでアクセスするものの推移を示す説明図である。 従来のパケット解析システムの一例を示す構成ブロック図である。 パケット解析システムの全体を管理するサーバの動作を説明するフロー図である。 パケット等の情報の流れを説明する説明図である。 パケット等の情報の流れを説明する説明図である。 ファイアウォールで取得されたパケットのログ情報のフォーマット及び解析レポートの一例を示す説明図である。 ＩＤＳで取得されたパケットのログ情報のフォーマット及び解析レポートの一例を示す説明図である。 解析レポートの他の一例を示す説明図である。 パケット解析システムの全体を管理すると共に検出条件を設定してパケットのログ情報を検索するサーバの動作を説明するフロー図である。 設定された検出条件に基づく検索結果の一例を示す説明図である。

符号の説明

１ サーバ
２，３，４ ファイアウォール
５，６，１１，１２ コンピュータ
７，５０ パケット解析装置
８，９，１０ パケットログ収集装置
１３ 通信手段
１４ 入力手段
１５ 表示手段
１６ 演算制御手段
１７ 記憶手段
１００，１０１，１０２，１０３ ネットワーク

Claims (10)

1. ネットワークを伝播するパケットを解析するパケット解析装置において、
   前記ネットワークを介して通信を行う通信手段と、
   パケットの解析により得られたイベントの時間的推移を示す表示画面を表示する表示手段と、
   設定された検出条件に基づき前記ネットワークを介して収集されたパケットのログ情報から得られるイベントの時間的推移を示す表示画面を前記表示手段に表示すると共に検出されたイベントが検出頻度順に並べられた検索条件候補リストを併せて表示し、前記検索条件候補リストの操作により検索条件を自動設定して検索して絞り込みたいイベントを検索して検索の結果として前記表示手段に前記検索して絞り込みたいイベントの時間的推移を示す表示画面を表示し、さらに、前記検索条件候補リストの操作により検索条件を自動設定してさらに検索して絞り込みたい候補を検索して検索の結果として前記表示手段に前記さらに検索して絞り込みたいイベントの時間的推移を示す表示画面を表示する演算制御手段と、から構成されることを特徴とするパケット解析装置。
2. 前記検索条件候補リストの操作を行う入力手段と、
   前記検索条件候補リストが予め格納されている記憶手段と、
   から構成されることを特徴とする
   請求項１記載のパケット解析装置。
3. 前記演算制御手段が、
   前記ログ情報を検索する毎に学習して前記検索条件候補リストに検索条件候補を順次追加することを特徴とする
   請求項１または請求項２記載のパケット解析装置。
4. ネットワークを伝播するパケットを捕捉して解析するパケット解析システムにおいて、
   複数の場所に設置され伝播するパケットを捕捉してパケットのログ情報を順次蓄積するパケットログ収集装置と、
   前記ネットワークを介して前記複数のパケットログ収集装置から前記ログ情報を取得してこのログ情報から得られるイベントの時間的推移を示す表示画面を表示すると共に検出されたイベントが検出頻度順に並べられた検索条件候補リストを併せて表示し、前記検索条件候補リストの操作により検索条件を自動設定して検索して絞り込みたいイベントを検索して検索の結果として前記検索して絞り込みたいイベントの時間的推移を示す表示画面を表示し、さらに、前記検索条件候補リストの操作により検索条件を自動設定してさらに検索して絞り込みたい候補を検索して検索の結果として前記さらに検索して絞り込みたいイベントの時間的推移を示す表示画面を表示するパケット解析装置と
   を備えたことを特徴とするパケット解析システム。
5. 前記パケット解析装置が、
   前記ネットワークを介して通信を行う通信手段と、
   パケットの解析により得られたイベントの時間的推移を示す表示画面を表示する表示手段と、
   前記ネットワークを介して前記複数のパケットログ収集装置から取得した前記ログ情報ログ情報から得られるイベントの時間的推移を示す表示画面を前記表示手段に表示すると共に検出されたイベントが検出頻度順に並べられた検索条件候補リストを併せて表示し、前記検索条件候補リストの操作により検索条件を自動設定して検索して絞り込みたいイベントを検索して検索の結果として前記表示手段に前記検索して絞り込みたいイベントの時間的推移を示す表示画面を表示し、さらに、前記検索条件候補リストの操作により検索条件を自動設定してさらに検索して絞り込みたい候補を検索して検索の結果として前記表示手段に前記さらに検索して絞り込みたいイベントの時間的推移を示す表示画面を表示する演算制御手段と、から構成されることを特徴とする
   請求項４記載のパケット解析装置。
6. 前記検索条件候補リストが、
   前記記憶手段若しくは前記パケット解析装置内に予め格納されていることを特徴とする
   請求項４若しくは請求項５記載のパケット解析システム。
7. 前記演算制御手段が、
   前記ログ情報を検索する毎に学習して前記検索条件候補リストに索条件候補を順次追加することを特徴とする
   請求項５記載のパケット解析システム。
8. 前記パケット解析装置が、
   前記ログ情報を検索する場合に前記ネットワークを介して前記複数のパケットログ収集装置から蓄積されているログ情報を取得し検索して検索結果を表示させることを特徴とする
   請求項４若しくは請求項５記載のパケット解析システム。
9. 前記パケット解析装置が、
   前記ログ情報を検索する場合に前記ネットワークを介して前記複数のパケットログ収集装置の一から蓄積されているログ情報を取得し検索して検索結果を表示させることを特徴とする
   請求項４若しくは請求項５記載のパケット解析システム。
10. 前記パケット解析装置が、
    前記ログ情報を検索する場合に前記ネットワークを介して前記複数のパケットログ収集装置の内選択された任意のパケットログ収集装置から蓄積されているログ情報を取得し検索して検索結果を表示させることを特徴とする
    請求項４若しくは請求項５記載のパケット解析システム。