JP4479459B2 - パケット解析システム - Google Patents

パケット解析システム Download PDF

Info

Publication number
JP4479459B2
JP4479459B2 JP2004303857A JP2004303857A JP4479459B2 JP 4479459 B2 JP4479459 B2 JP 4479459B2 JP 2004303857 A JP2004303857 A JP 2004303857A JP 2004303857 A JP2004303857 A JP 2004303857A JP 4479459 B2 JP4479459 B2 JP 4479459B2
Authority
JP
Japan
Prior art keywords
packet
analysis system
network
types
information
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Lifetime
Application number
JP2004303857A
Other languages
English (en)
Other versions
JP2006121143A (ja
Inventor
俊輔 馬場
和也 鈴木
貴志 田中
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Yokogawa Electric Corp
Original Assignee
Yokogawa Electric Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Yokogawa Electric Corp filed Critical Yokogawa Electric Corp
Priority to JP2004303857A priority Critical patent/JP4479459B2/ja
Priority to US11/233,063 priority patent/US20060083180A1/en
Publication of JP2006121143A publication Critical patent/JP2006121143A/ja
Application granted granted Critical
Publication of JP4479459B2 publication Critical patent/JP4479459B2/ja
Anticipated expiration legal-status Critical
Expired - Lifetime legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/12—Network monitoring probes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/18—Protocol analysers

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)
  • Maintenance And Management Of Digital Transmission (AREA)

Description

本発明は、インターネット等のネットワークを伝播するパケットを捕捉して解析するパケット解析システムに関し、特に分離が困難であったアクセスのバリエーションを分離することが可能なパケット解析システムに関する。
従来のインターネット等のネットワークを伝播するパケットを捕捉して解析するパケット解析システムに関連する先行技術文献としては次のようなものがある。
特開２００２−１８５５３９号公報 特開２００３−２０４３５８号公報 特開２００３−２７３９３６号公報
図２４はこのような従来のパケット解析システムの一例を示す構成ブロック図である。図２４において１はパケット解析システムの全体を管理するサーバ、２，３及び４は内部のネットワークとその外部のネットワークとの間に外部からの不正なアクセスを防ぐ目的で設置されるファイアウォール、５及び６はそれぞれ内部のネットワークに接続されるコンピュータ、１００はインターネット等の外部のネットワーク、１０１はイントラネット等の内部のネットワークである。
サーバ１はネットワーク１００に相互に接続され、ファイアウォール２，３及び４の外部ネットワーク接続用の接続端にはネットワーク１００に相互に接続される。ファイアウォール２及び３の内部ネットワーク接続用の接続端にはコンピュータ５及び６がそれぞれ接続され、ファイアウォール４の内部ネットワーク接続用の接続端にはネットワーク１０１が接続される。
ここで、図２４に示す従来例の動作を図２５、図２６、図２７及び図２８を用いて説明する。図２５はパケット解析システムの全体を管理するサーバ１の動作を説明するフロー図、図２６及び図２７はパケット等の情報の流れを説明する説明図、図２８はファイアウォールで取得されたパケットのログ情報のフォーマット及び解析レポートの一例を示す説明図である。
図２５中”Ｓ００１”においてサーバ１は、パケットログを解析するか否かを判断し、もし、パケットログを解析すると判断した場合には、図２５中”Ｓ００２”においてサーバ１は、ネットワーク１００を介して各ファイアウォール２〜４から蓄積されているパケットのログ情報を収集する。
例えば、図２６中”ＣＤ０１”に示すようにサーバ１は、ネットワーク１００を介してファイアウォール２からパケットのログ情報を収集し、図２６中”ＣＤ０２”及び”ＣＤ０３”に示すようサーバ１は、ネットワーク１００を介してファイアウォール３及び４からパケットのログ情報を収集する。
そして、図２５中”Ｓ００３”においてサーバ１は、収集したパケットのログ情報を解析すると共に図２５中”Ｓ００４”においてサーバ１は、解析結果をレポートとして作成すると共にコンピュータ等に送信する。
例えば、図２７中”ＲＰ１１”に示すようにサーバ１は、解析結果をレポートとして作成すると共にコンピュータ５に送信する。
収集したパケットのログ情報の解析方法としては、図２８中”ＦＷ２１”に示すような情報を有するファイアウォールのパケットのログ情報に基づき或る期間毎の統計を取ることにより、どのようなパケットが伝播してきているのかを判断する。
具体的には、各期間のパケットの宛先ポート毎にその個数を集計することにより、図２８中”ＲＰ２１”に示すようなレポートを得ることができる。例えば、図２８中”ＴＲ２１”に示すように”８／１０”の”００：００〜００：５９”の時刻の間には”ＴＣＰ／１３５（ＴＣＰ（Transmission Control Protocol：以下、単にＴＣＰと呼ぶ。）のプロトコルでポート番号１３５）”宛に飛んできたパケットが”２１２５個”である等の情報を得ることができる。
この結果、内部のネットワークとその外部のネットワークとの間にファイアウォールを設置し、パケット解析システムの全体を管理するサーバで各ファイアウォールに蓄積されたパケットのログ情報を収集し解析することにより、ネットワークを伝播するパケットの解析を行うことが可能になる。
また、ファイアウォールのみだけではなくＩＤＳ（Intrusion Detection System：侵入検知システム：以下、単にＩＤＳと呼ぶ。）のログ情報に基づきネットワークを伝播するパケットの解析を行っても構わない。
図２９はＩＤＳで取得されたパケットのログ情報のフォーマット及び解析レポートの一例を示す説明図である。
収集したパケットのログ情報の解析方法としては、図２９中”ＩＤ３１”に示すような情報を有するＩＤＳのパケットのログ情報に基づき或る期間毎の統計を取ることにより、どのようなパケットが伝播してきているのかを判断する。
具体的には、各期間のＩＤＳのイベント毎にその個数を集計することにより、図２９中”ＲＰ３１”に示すようなレポートを得ることができる。例えば、図２９中”ＴＲ３１”に示すように”８／１０”の”００：００〜００：５９”の時刻の間には”ＴＣＰ／１３５（ＴＣＰのプロトコルでポート番号１３５）”にアクセスを試みたパケットが”１１２５個”である等の情報を得ることができる。
さらに、図３０は解析レポートの他の一例を示す説明図であり、パケットのダンプからプロトコル／ポート番号毎にその個数を集計することにより、図３０中”ＲＰ４１”に示すようなレポートを得ることができる。例えば、図３０中”ＴＲ４１”に示すように”８／１０”の”００：００〜００：５９”の時刻の間には”ＵＤＰ／１４３４（ＵＤＰ（User Datagram Protocol：以下、単にＵＤＰと呼ぶ。）のプロトコルでポート番号１４３４）”宛に飛んできたパケットが”１８８５個”である等の情報を得ることができる。
しかし、図２４に示す従来例では、パケット毎の、或いは、ＩＤＳのイベント毎の統計を取ることができるものの、パケット同士の間連や、パケット送信者の意思の分類を行っていない。
このため、或るパケットが”ワーム（別のプログラムに感染しないで増殖するプログラム）Ａ”によるものなのか、”ワームＢ”によるものなのか、或いは、ポートスキャンであるのか等はパケット同士の関連を知ることが重要であるものの従来のパケット解析システムではパケット同士の関連が分かりにくく、ワームの亜種が発生して従来のワームと混在した場合等には亜種の分離が困難であるといった問題点があった。
例えば、”ＴＣＰ／４４５（ＴＣＰのプロトコルでポート番号４４５）”へのアクセスは以下に示すようなバリエーションがあり、それぞれ異なるワームであるものの分離が困難である。
（１）”ICMP(Internet Control Message Protocol：以下、単にＩＣＭＰと呼ぶ。) Rcho Request”でサーバの存在を確認してから”ＴＣＰ／４４５”にアクセス。
（２）”ＴＣＰ／４４５"にだけアクセス。
（３）ネットワークをスキャンして”ＴＣＰ／４４５”サービスを探す。
（４）”ＴＣＰ１３９”にアクセスしてから”ＴＣＰ／４４５”にアクセス。
（５）”ＴＣＰ／２７４５”、”ＴＣＰ／１３５”、”ＴＣＰ／１０２５”、”ＴＣＰ／４４５”、”ＴＣＰ／３１２７”、”ＴＣＰ６１２９”、”ＴＣＰ１３９”、”ＴＣＰ／８０”の組み合わせでアクセス。
従って本発明が解決しようとする課題は、分離が困難であったアクセスのバリエーションを分離することが可能なパケット解析システムを実現することにある。
このような課題を達成するために、本発明のうち請求項１記載の発明は、
ネットワークを伝播するパケットを捕捉して解析するパケット解析システムにおいて、複数の場所に設置され伝播するパケットを捕捉し、捕捉した前記パケットの送信先ポート、タイプまたはこれらの一方若しくは両方の組み合わせによる分類を自動生成してパケット同士を互いに関連付けて分類する端末ノード型センサと、前記ネットワークを介して前記複数の端末ノード型センサから分類された情報を取得してシステムの全体的なレポートを生成するサーバとを備えたことにより、パケット同士を互いに関連付けて分類し解析することが可能になる。
請求項２記載の発明は、
ネットワークを伝播するパケットを捕捉して解析するパケット解析システムにおいて、複数の場所に設置され伝播するパケットを捕捉する端末ノード型センサと、前記ネットワークを介して前記複数の端末ノード型センサから取得した情報を統合して前記パケットのアクセスのバリエーションを分離するサーバとを備えたことにより、パケット同士を互いに関連付けて分類し解析することが可能になる。
請求項３記載の発明は、
請求項１または２記載の発明であるパケット解析システムにおいて、
前記端末ノード型センサが、
前記ネットワークを伝播するパケットを捕捉する通信手段と、記憶手段と、捕捉した前記パケットを前記記憶手段に格納すると共に捕捉した前記パケットをパケット同士で互いに関連付けて分類し前記記憶手段に保存する演算制御手段とから構成されることにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
請求項４記載の発明は、
請求項１〜３のいずれかに記載の発明であるパケット解析システムにおいて、
前記端末ノード型センサ、若しくは、前記演算制御手段が、
捕捉した前記パケットを送信先ポート若しくはタイプの組み合わせにより分類することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
請求項５記載の発明は、
請求項４記載の発明であるパケット解析システムにおいて、
前記演算制御手段が、
捕捉されたパケットの送信元ＩＰアドレスを調べて既に同一の受信元ＩＰアドレスに対応するオブジェクトが存在しない場合にパケット情報クラスのインスタンスの情報のリストを蓄積し最終的に分類情報を生成するオブジェクトを起動すると共にパケット情報をパケット情報インスタンスのリストに生成し、その時刻を記録し、順次捕捉されたパケットの送信元ＩＰアドレスを調べて同一の受信元ＩＰアドレスに対応するオブジェクトが存在している場合には、パケット情報をパケット情報インスタンスのリストに順次追加し、追加時刻を記録し、定期的な検査時刻毎に当該オブジェクトの生存条件を判断し、もし、生存条件を満足しない場合には、受信元ＩＰアドレスと共にパケット情報インスタンスのリストに蓄積されたパケット情報を出力して分類情報を生成させることにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
請求項６記載の発明は、
請求項５記載の発明であるパケット解析システムにおいて、
前記演算制御手段が、
パケット情報の前記パケット情報インスタンスのリストへの追加が一定時間行われない場合に生存条件を満足していないと判断することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
請求項７記載の発明は、
請求項６記載の発明であるパケット解析システムにおいて、
前記演算制御手段が、
前記一定時間を可変にしたことにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
請求項８記載の発明は、
請求項１、２若しくは請求項３記載の発明であるパケット解析システムにおいて、
前記端末ノード型センサ、若しくは、前記演算制御手段が、
捕捉した前記パケットを前記パケットの伝播の仕方の違いにより分類することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
請求項９記載の発明は、
請求項８記載の発明であるパケット解析システムにおいて、
前記演算制御手段が、
送信元ポート番号の種類数と送信先ポート番号の種類数とが同じであり、尚且つ、送信先ネットワークのアドレスの種類数と送信先ホストのアドレス種類数とが同じである場合にタイプ”Ｎｏｒｍａｌ”に分類することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
請求項１０記載の発明は、
請求項８記載の発明であるパケット解析システムにおいて、
前記演算制御手段が、
送信元ポート番号の種類数の方が送信先ポート番号の種類数よりも多く、尚且つ、送信先ネットワークのアドレスの種類数と送信先ホストのアドレス種類数とが同じである場合にタイプ”Ｐｏｒｔ＿Ｓｃａｎ”に分類することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
請求項１１記載の発明は、
請求項８記載の発明であるパケット解析システムにおいて、
前記演算制御手段が、
送信元ポート番号の種類数の方が送信先ポート番号の種類数よりも少なく、尚且つ、送信先ネットワークのアドレスの種類数と送信先ホストのアドレス種類数とが同じである場合にタイプ”Ｐｏｒｔ＿Ｓｃａｎ２”に分類することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
請求項１２記載の発明は、
請求項８記載の発明であるパケット解析システムにおいて、
前記演算制御手段が、
送信元ポート番号の種類数の方が送信先ポート番号の種類数よりも多く、尚且つ、送信先ネットワークのアドレスの種類数の方が送信先ホストのアドレス種類数よりも少ない場合にタイプ”Ｎｅｔｗｏｒｋ＿Ｓｃａｎ”に分類することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
請求項１３記載の発明は、
請求項８記載の発明であるパケット解析システムにおいて、
前記演算制御手段が、
送信元ポート番号の種類数と送信先ポート番号の種類数と同じであり、尚且つ、送信先ネットワークのアドレスの種類数の方が送信先ホストのアドレス種類数よりも少ない場合にタイプ”Ｎｅｔｗｏｒｋ＿Ｓｃａｎ２”に分類することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
請求項１４記載の発明は、
請求項８記載の発明であるパケット解析システムにおいて、
前記演算制御手段が、
送信元ポート番号の種類数の方が送信先ポート番号の種類数よりも少なく、尚且つ、送信先ネットワークのアドレスの種類数の方が送信先ホストのアドレス種類数よりも少ない場合にタイプ”Ｎｅｔｗｏｒｋ＿Ｓｃａｎ３”に分類することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
請求項１５記載の発明は、
請求項１〜１４のいずれかに記載の発明であるパケット解析システムにおいて、
前記サーバが、
前記レポートを作成すると判断した場合に前記ネットワークを介して前記複数の端末ノード型センサから保存されている分類情報を取得し、取得した分類情報を統合して前記レポートを作成すると共に記憶手段に保存することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
請求項１６記載の発明は、
請求項１〜１４のいずれかに記載の発明であるパケット解析システムにおいて、
前記サーバが、
前記レポートを作成すると判断した場合に前記ネットワークを介して前記複数の端末ノード型センサの一から保存されている分類情報を取得し、取得した分類情報を統合して前記レポートを作成すると共に記憶手段に保存することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
請求項１７記載の発明は、
請求項１〜１４のいずれかに記載の発明であるパケット解析システムにおいて、
前記サーバが、
前記レポートを作成すると判断した場合に前記ネットワークを介して前記複数の端末ノード型センサの内選択された任意の端末ノード型センサから保存されている分類情報を取得し、取得した分類情報を統合して前記レポートを作成すると共に記憶手段に保存することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
請求項１８記載の発明は、
請求項１５乃至請求項１７のいずれかに記載の発明であるパケット解析システムにおいて、
前記サーバが、
前記レポートのフォーマットとして、日付、時刻、ミリ秒、送信元ＩＰアドレス、国コード”、プロトコル、前記パケットの伝播の仕方の違いによる分類及び前記パケットを送信先ポート若しくはタイプの組み合わせによる分類を順次記述することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
本発明によれば次のような効果がある。
請求項１，２，３，４，５，６，７，８，９，１０，１１，１２、１３及び請求項１４の発明によれば、コンピュータと接続され、或いは、単独で複数の場所に設置される端末ノード型センサが、ネットワークを伝播するパケットを捕捉してポート毎（或いは、タイプ毎）に分類及び伝播の仕方の違いによる分類することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
また、請求項１５，１６，１７及び請求項１８の発明によれば、サーバが各端末ノード型センサで分類された情報を統合して全体的なレポート（ログファイル）を作成することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
以下本発明を図面を用いて詳細に説明する。図１は本発明に係るパケット解析システムの一実施例を示す構成ブロック図である。
図１において７はパケット解析システムの全体的なレポート（ログファイル）を生成するサーバ、８及び９はコンピュータ、１０，１１及び１２はコンピュータと接続され、或いは、単独で複数の場所に設置され伝播するパケットを捕捉してパケット同士を互いに関連付けて分類する端末ノード型センサ、１０２はインターネット等の汎用のネットワークである。
サーバ７はネットワーク１０２に相互に接続され、端末ノード型センサ１０，１１及び１２もまたネットワーク１０２に相互に接続される。端末ノード型センサ１０及び１１の端子にはコンピュータ８及び９がそれぞれ接続される。
また、図２は端末ノード型センサ１０〜１２の具体例を示す構成ブロック図である。図２において１３はネットワーク１０２（図示せず。）を介して伝播するパケットを捕捉等する通信手段、１４はＣＰＵ（Central Processing Unit）等の演算制御手段、１５は端子に接続されるコンピュータ等の機器との間でパケットのやり取りを行なう入出力手段、１６は端末ノード型センサ自体を制御するプログラムや捕捉したパケット及びそれを分類した情報等が格納される記憶手段である。また、１３，１４，１５及び１６は端末ノード型センサ５０を構成している。
ここで、図１及び図２に示す実施例の動作、特に端末ノード型センサの動作を図３，図４，図５，図６，図７，図８，図９，図１０，図１１及び図１２を用いて説明する。
図３及び図６は端末ノード型センサの動作を説明するフロー図、図４及び図５はパケット等の情報の流れを説明する説明図、図７は送信先ポート（正確には、ＴＣＰ及びＵＤＰでは送信元ＩＰアドレスと送信先ポート番号に着目、ＩＣＭＰでは送信元ＩＰアドレスとＩＣＭＰタイプに着目している）の組み合わせによる分類方法を説明する説明図、図８は捕捉された生のパケットログの一例を示す表、図９は送信先ポート（正確には、ＴＣＰ及びＵＤＰでは送信元ＩＰアドレスと送信先ポート番号に着目、ＩＣＭＰでは送信元ＩＰアドレスとＩＣＭＰタイプに着目している）の組み合わせにより分類した情報の一例を示す表、図１０はパケットの伝播の仕方の違いにより分類されるタイプの定義を説明する表、図１１はパケットの伝播の仕方の違いによる分類方法のパラメータと判定条件を説明する表、図１２はパケットの伝播の仕方の違いにより分類した情報の一例を示す表である。
図３中”Ｓ１０１”において端末ノード型センサ、具体的には演算制御手段１４は、定常状態において通信手段１３を介してネットワーク１０２を伝播してきたパケットを受信（捕捉）したか否かを判断し、もし、パケットを受信（捕捉）したと判断した場合には、図３中”Ｓ１０２”において端末ノード型センサ、具体的には演算制御手段１４は、受信（捕捉）したパケットを記憶手段１６に格納する。また、演算制御手段１４は必要に応じて受信（捕捉）したパケットを入出力手段１５を介して後段の機器に転送する。
例えば、端末ノード型センサ１０（具体的には演算制御手段１４）は、図４中”ＣＰ５１”に示すように通信手段１３を介してネットワーク１０２を伝播してきたパケットを受信（捕捉）した場合には図４中”ＳＴ５１”に示すように受信（捕捉）したパケットを記憶手段１６に格納する。
例えば、同様に、端末ノード型センサ１１及び１２（具体的には演算制御手段１４）は、図５中”ＣＰ６１”及び”ＣＰ６２”に示すように通信手段１３を介してネットワーク１０２を伝播してきたパケットを受信（捕捉）した場合には図５中”ＳＴ６１”及び”ＳＴ６２”に示すように受信（捕捉）したパケットをそれぞれの記憶手段１６に格納する。
一方、図６中”Ｓ２０１”において端末ノード型センサ、具体的には演算制御手段１４は、受信（捕捉）したパケットを記憶手段１６から読み出すと共に図６中”Ｓ２０２”においてポート毎、或いは、タイプ毎に分類する。
具体的には、演算制御手段１４において、受信（捕捉）されたパケットの送信元ＩＰアドレスを調べて既に同一の受信元ＩＰアドレスに対応するオブジェクトが存在しない場合には、図７中（ａ）に示すようにパケット情報クラスのインスタンスの情報のリストを蓄積し最終的に分類情報を生成するオブジェクトが起動される。この時、”パケット情報１"がパケット情報インスタンスのリストに生成され、その時刻が”ＴＩＭＥ＿ＦＩＲＳＴ”に記録される。
そして、演算制御手段１４は、順次受信（捕捉）されたパケットの送信元ＩＰアドレスを調べて同一の受信元ＩＰアドレスに対応するオブジェクトが存在している場合には、図７中（ｂ）に示すように”パケット情報２"等がパケット情報インスタンスのリストに順次追加され、追加時刻が”ＴＩＭＥ＿ＬＡＳＴ”に記録される。
最後に、定期的な検査時刻毎に当該オブジェクトの生存条件を判断し、もし、生存条件を満足しない場合には、受信元ＩＰアドレスと共にパケット情報インスタンスのリストに蓄積された”パケット情報１”〜”パケット情報Ｎ”を出力して分類情報を生成する。
前述の生存条件としては、検査間隔”Ｌ=１０秒”とした場合、「検査時刻と”ＴＩＭＥ＿ＬＡＳＴ”の差が”Ｎ=３０秒”未満」且つ「検査時刻と”ＴＩＭＥ＿ＦＩＲＳＴ”との差が”Ｍ＝６０秒”未満」としている。
例えば、図８中”ＬＧ７１”に示すような受信（捕捉）された生のパケットログを上述の方法で分類することにより、図９中”ＲＰ８１”に示すような情報が得られる。すなわち、自動生成されたイベント名部分には、受信元ＩＰアドレス毎にアクセスのあったポート番号毎、或いは、タイプ毎に分類されアクセス順に時系列に列挙される。
また、図６中”Ｓ２０３”において端末ノード型センサ、具体的には演算制御手段１４は、受信（捕捉）したパケットの伝播の仕方の違いによる分類を行い、図６中”Ｓ２０４”において端末ノード型センサ、具体的には演算制御手段１４は、それぞれ分類された情報を記憶手段１６に保存する。
例えば、図１０中”ＤＦ９１”に示すように受信（捕捉）したパケットの伝播の仕方の違いにより、”Ｎｏｒｍａｌ”、”Ｐｏｒｔ＿Ｓｃａｎ”、”Ｐｏｒｔ＿Ｓｃａｎ２”、Ｎｅｔｗｏｒｋ＿Ｓｃａｎ”、”Ｎｅｔｗｏｒｋ＿Ｓｃａｎ２”及び”Ｎｅｔｗｏｒｋ＿Ｓｃａｎ３”の６つのタイプに分類する。
また、図１１中”ＰＲ１０１”は分類の際のパラメータであり、図１１中”ＣＤ１０１”は判定条件である。
具体的には、このような、受信（捕捉）したパケットの伝播の仕方の違いにより分類した情報は図１２中”ＲＰ１１１”のようになる。
例えば、図１２中”ＰＫ１１１”は、図１１中”ＣＤ１０１”の判定条件から送信元ポート番号の種類数（１個：ポート番号３１４５）と送信先ポート番号の種類数（１個：ポート番号４４５）とが同じ（ＳＲＣ＝ＤＳＴ）であり、尚且つ、送信先ネットワークのアドレスの種類数（１個：ａａａ．ｂｂｂ．ｃｃｃ）と送信先ホストのアドレス種類数（１個：ａａａ．ｂｂｂ．ｃｃｃ．ｄｄｄ）とが同じ（Ｎ＝Ｈ）であるのでタイプ”Ｎｏｒｍａｌ”に分類されることになる。
例えば、同様に、図１２中”ＰＫ１１２”は、図１１中”ＣＤ１０１”の判定条件から送信元ポート番号の種類数（５個：ポート番号６２３０４，６２７６９，６３０３７，６０２２５，６０７８５）の方が送信先ポート番号の種類数（２個：ポート番号１３５，４４５）よりも多く（ＳＲＣ＞ＤＳＴ）、尚且つ、送信先ネットワークのアドレスの種類数（１個：ａａａ．ｂｂｂ．ｃｃｃ）と送信先ホストのアドレス種類数（１個：ａａａ．ｂｂｂ．ｃｃｃ．ｄｄｄ）とが同じ（Ｎ＝Ｈ）であるのでタイプ”Ｐｏｒｔ＿Ｓｃａｎ”に分類されることになる。
例えば、同様に、図１２中”ＰＫ１１３”は、図１１中”ＣＤ１０１”の判定条件から送信元ポート番号の種類数（１個：ポート番号６３６４４）の方が送信先ポート番号の種類数（２個：ポート番号１３５，４４５）よりも少なく（ＳＲＣ＜ＤＳＴ）、尚且つ、送信先ネットワークのアドレスの種類数（１個：ａａａ．ｂｂｂ．ｃｃｃ）と送信先ホストのアドレス種類数（１個：ａａａ．ｂｂｂ．ｃｃｃ．ｄｄｄ）とが同じ（Ｎ＝Ｈ）であるのでタイプ”Ｐｏｒｔ＿Ｓｃａｎ２”に分類されることになる。
例えば、同様に、図１２中”ＰＫ１１４”は、図１１中”ＣＤ１０１”の判定条件から送信元ポート番号の種類数（４個：ポート番号３５９４，３５９６，３５９７，３５９８）の方が送信先ポート番号の種類数（１個：ポート番号４４５）よりも多く（ＳＲＣ＞ＤＳＴ）、尚且つ、送信先ネットワークのアドレスの種類数（１個：ａａａ．ｂｂｂ．ｃｃｃ）の方が送信先ホストのアドレス種類数（４個：ａａａ．ｂｂｂ．ｃｃｃ．８０〜ａａａ．ｂｂｂ．ｃｃｃ．８３）よりも少ない（Ｎ＜Ｈ）のでタイプ”Ｎｅｔｗｏｒｋ＿Ｓｃａｎ”に分類されることになる。
例えば、同様に、図１２中”ＰＫ１１５”は、図１１中”ＣＤ１０１”の判定条件から送信元ポート番号の種類数（３個：ポート番号４２３０，１６４０，２１１７）と送信先ポート番号の種類数（３個：ポート番号１０２３，４４５、９８９８）と同じ（ＳＲＣ＝ＤＳＴ）であり、尚且つ、送信先ネットワークのアドレスの種類数（１個：ａａａ．ｂｂｂ．ｃｃｃ）の方が送信先ホストのアドレス種類数（３個：ａａａ．ｂｂｂ．ｃｃｃ．８０〜ａａａ．ｂｂｂ．ｃｃｃ．８２）よりも少ない（Ｎ＜Ｈ）のでタイプ”Ｎｅｔｗｏｒｋ＿Ｓｃａｎ２”に分類されることになる。
例えば、同様に、図１２中”ＰＫ１１６”は、図１１中”ＣＤ１０１”の判定条件から送信元ポート番号の種類数（１個：ポート番号２２０２２）の方が送信先ポート番号の種類数（２個：ポート番号３１２７，１０８０）よりも少なく（ＳＲＣ＜ＤＳＴ）、尚且つ、送信先ネットワークのアドレスの種類数（１個：ａａａ．ｂｂｂ．ｃｃｃ）の方が送信先ホストのアドレス種類数（２個：ａａａ．ｂｂｂ．ｃｃｃ．９１，ａａａ．ｂｂｂ．ｃｃｃ．９３）よりも少ない（Ｎ＜Ｈ）のでタイプ”Ｎｅｔｗｏｒｋ＿Ｓｃａｎ３”に分類されることになる。
この結果、コンピュータと接続され、或いは、単独で複数の場所に設置される端末ノード型センサが、ネットワークを伝播するパケットを捕捉してポート毎（或いは、タイプ毎）に分類及び伝播の仕方の違いによる分類することにより、パケット同士を互いに関連付けて分類し解析することが可能になり、分離が困難であったアクセスのバリエーションを分離することが可能になる。
また、ネットワークを伝播するパケットを捕捉してポート毎（或いは、タイプ毎）に分類する場合に、オブジェクトにより分類処理をパイプライン的に行われているので、リアルタイム性が高い。
また、ここで、図１及び図２に示す実施例の動作、特にサーバ７の動作を図１３，図１４，図１５，図１６，図１７，図１８，図１９，図２０，図２１，図２２及び図２３を用いて説明する。
図１３はサーバ７の動作を説明するフロー図、図１４は情報の流れを説明する説明図、図１５は全体的なレポート（ログファイル）のフォーマット等を説明する説明図、図１６は全体的なレポート（ログファイル）の具体例を示す説明図、図１７は分離可能なバリエーションを説明する説明図、図１８は”ＴＣＰ／４４５”へのアクセス推移を示す説明図、図１９は”ＩＣＭＰ Ｅｃｈｏ Ｒｅｑｕｅｓｔ”の推移を示す説明図、図２０は”ＩＣＭＰ Ｅｃｈｏ Ｒｅｑｕｅｓｔ”後に”ＴＣＰ／４４５”へのみアクセスするものの推移を示す説明図、図２１は”ＴＣＰ／１３５”と”ＴＣＰ／４４５”のみをセットでアクセスするものの推移を示す説明図、図２２は”ＴＣＰ／１３５”、”ＴＣＰ／４４５”、”ＴＣＰ／１０２５”のみをセットでアクセスするものの推移を示す説明図、図２３は”ＴＣＰ／２７４５”、”ＴＣＰ／１３５”、”ＴＣＰ／１０２５”、”ＴＣＰ／４４５”、”ＴＣＰ／３１２７”、”ＴＣＰ／６１９２”、”ＴＣＰ／１３９”及び”ＴＣＰ／８０”のみをセットでアクセスするものの推移を示す説明図である。
図１３中”Ｓ３０１”においてサーバ７は、全体的なレポート（ログファイル）を生成するか否かを判断し、もし、全体的なレポート（ログファイル）を作成すると判断した場合には、図１３中”Ｓ３０２”においてネットワーク１０２を介して各端末ノード型センサから保存されている分類情報（ポート毎（或いは、タイプ毎）に分類及び伝播の仕方の違いによる分類）を取得する。
例えば、図１４中”ＣＲ１２１”、”ＣＲ１２２”及び”ＣＲ１２３”に示すように端末ノード型センサ１０，１１及び１２から各々で保存されている分類情報（ポート毎、或いは、タイプ毎）に分類及び伝播の仕方の違いによる分類）を収集する。
図１３中”Ｓ３０３”においてサーバ７は、各端末ノード型センサから取得した分類情報を統合等して全体的なレポート（ログファイル）を作成すると共に図１３中”Ｓ３０４”において作成した全体的なレポート（ログファイル）を記憶手段（図示せず。）に保存する。
例えば、全体的なレポート（ログファイル）のフォーマットとしては、図１５中”ＦＭ１３１”に示すように”日付”、”時刻”、”ミリ秒”、"送信元ＩＰアドレス"、”国コード”、”プロトコル（順番）”、”タイプ”及び”イベント名”を順次記述する。
より具体的には、図１５中”ＤＳ１３１”に示すように、”日付”、”時刻”及び”ミリ秒”としては”２００４-０６−２１，００：００：０７，８６８”、"送信元ＩＰアドレス"としては”１３３．１４０．４０．４１”、”国コード”としては”ＪＰ”、”プロトコル（順番）"としては”ＩＵ”，”ＵＳ”或いは”ＩＵＳ”、”タイプ”としては”Ｎｅｔｗｏｒｋ＿Ｓｃａｎ”、”イベント名”としては”ＴＣＰ／２７４５、ＴＣＰ／１３５、ＴＣＰ１０２５、ＴＣＰ４４５”等のように記述される。
このように、全体的なレポート（ログファイル）の具体例としては図１６中”ＰＲ１４１”に示すようになる。
図１６中”ＰＲ１４１”に示すような全体的なレポート（ログファイル）の具体例において、”ＴＣＰ／４４５にアクセスするパケットを、ワームやスキャン毎に分離”した場合、従来例で問題となっていた図１７中”ＡＮ１５１”に示すようなアクセスのバリエーションを分離することが可能になる。
すなわち、「（１）”ICMP(Internet Control Message Protocol：以下、単にＩＣＭＰと呼ぶ。) Rcho Request”でサーバの存在を確認してから”ＴＣＰ／４４５”にアクセス」は図１６中”ＰＲ１４１”中第６行該当する。
同様に、「（２）”ＴＣＰ／４４５"にだけアクセス」は図１６中”ＰＲ１４１”中第１行，第５行，第７行該当する。
同様に、「（３）ネットワークをスキャンして”ＴＣＰ／４４５”サービスを探す」は図１６中”ＰＲ１４１”中第４行該当する。
同様に、「（４）”ＴＣＰ１３９”にアクセスしてから”ＴＣＰ／４４５”にアクセス」は図１６中”ＰＲ１４１”中第８行該当する。
同様に、「（５）”ＴＣＰ／２７４５”、”ＴＣＰ／１３５”、”ＴＣＰ／１０２５”、”ＴＣＰ／４４５”、”ＴＣＰ／３１２７”、”ＴＣＰ６１２９”、”ＴＣＰ１３９”、”ＴＣＰ／８０”の組み合わせでアクセス」は図１６中”ＰＲ１４１”中第９行該当する。
この結果、サーバ７が各端末ノード型センサで分類された情報を統合して全体的なレポート（ログファイル）を作成することにより、従来では分離が困難であったアクセスのバリエーションを分離することが可能になる。
最後に、図１８中”ＤＳ１６１”に示す”ＴＣＰ／４４５”へのアクセス推移を示す説明図では、図１８中”ＰＴ１６１”に示す時刻にアクセスのピークが認められるものの、あくまで、”ＴＣＰ／４４５”へアクセスする全てのパケットが対象となるためアクセスのバリエーションを分離することは困難である。
また、図１９中”ＤＳ１７１”に示す”ＩＣＭＰ Ｅｃｈｏ Ｒｅｑｕｅｓｔ”の推移を示す説明図では、図１９中”ＰＴ１７１”に示す時刻から”ＩＣＭＰ Ｅｃｈｏ Ｒｅｑｕｅｓｔ”が頻繁に発生していることが認められるものの、アクセスのバリエーションを分離することは困難である。
これに対して、図２０中”ＤＳ１８１”に示す”ＩＣＭＰ Ｅｃｈｏ Ｒｅｑｕｅｓｔ”後に”ＴＣＰ／４４５”へのみアクセスするものの推移を示す説明図では、明らかに図２０中”ＲＧ１８１”に示す時刻領域に”ＩＣＭＰ Ｅｃｈｏ Ｒｅｑｕｅｓｔ”後に”ＴＣＰ／４４５”へのみアクセスするものが集中している。
同様に、図２１中”ＤＳ１９１”に示す”ＴＣＰ／１３５”と”ＴＣＰ／４４５”のみをセットでアクセスするものの推移を示す説明図では、ほぼまんべんなく”ＴＣＰ／１３５”と”ＴＣＰ／４４５”のみをセットでアクセスするものが認められる。
同様に、図２２中”ＤＳ２０１”に示す”ＴＣＰ／１３５”、”ＴＣＰ／４４５”、”ＴＣＰ／１０２５”のみをセットでアクセスするものの推移を示す説明図では、明らかに図２２中”ＲＧ２０１”に示す時刻領域に”ＴＣＰ／１３５”、”ＴＣＰ／４４５”、”ＴＣＰ／１０２５”のみをセットでアクセスするものが集中している。
最後に、図２３中”ＤＳ２１１”に示す”ＴＣＰ／２７４５”、”ＴＣＰ／１３５”、”ＴＣＰ／１０２５”、”ＴＣＰ／４４５”、”ＴＣＰ／３１２７”、”ＴＣＰ／６１９２”、”ＴＣＰ／１３９”及び”ＴＣＰ／８０”のみをセットでアクセスするものの推移を示す説明図では、図２２中”ＰＴ２１１”に示す時刻に”ＴＣＰ／２７４５”、”ＴＣＰ／１３５”、”ＴＣＰ／１０２５”、”ＴＣＰ／４４５”、”ＴＣＰ／３１２７”、”ＴＣＰ／６１９２”、”ＴＣＰ／１３９”及び”ＴＣＰ／８０”のみをセットでアクセスするものピークが認められ全体的にほぼまんべんなくアクセスが認められる。
なお、図１等に示す実施例においては、説明の簡単のためポート毎（或いは、タイプ毎）に分類に際して、生存条件を、「検査時刻と”ＴＩＭＥ＿ＬＡＳＴ”の差が”Ｎ=３０秒”未満」且つ「検査時刻と”ＴＩＭＥ＿ＦＩＲＳＴ”との差が”Ｍ＝６０秒”未満」としたが、生存条件の間隔を固定ではなく可変にしても構わない。
また、サーバ７では各端末ノード型センサで分類された情報を統合して全体的なレポート（ログファイル）を作成しているが、勿論、個別の端末ノード型センサ毎にレポート（ログファイル）を作成しても構わないし、選択された任意の端末ノード型センサで分類された情報を統合してレポート（ログファイル）を作成しても構わない。
この場合には、パケット解析システム全体のレポート（ログファイル）のみだけではない、個々の端末ノード型センサ毎や選択された任意の端末ノード型センサで分類された情報を統合してレポート（ログファイル）が得られるので、パケット解析システムの部分的な領域における解析が容易になる。
また、図１等に示す実施例においてはパケットの伝播の仕方の違いにより、パケットを分類しているので、新種の攻撃や新種のワームであってもパケットを分離することが可能になる。言い換えれば、アノーマリ検出型の不正侵入検知装置として使用することが可能である。
また、図１等に示す実施例では、ポート毎（或いは、タイプ毎）に分類及び伝播の仕方の違いによる分類をそれぞれ同時に行う端末ノード型センサを例示しているが、ポート毎（或いは、タイプ毎）に分類、或いは、伝播の仕方の違いによる分類のどちらか一方の分類を行う端末ノード型センサであっても勿論構わない。
また、図２に示す具体例では、端末ノード型センサの構成要素として、接続されるコンピュータ等の機器との間でパケットのやり取りを行なう入出力手段１５を例示しているが、勿論、単独に設置、或いは、コンピュータ等の機器と並列に設置される場合等に当該入出力手段１５は不要であり、パケット解析システムの必須の構成要素ではない。また、コンピュータ自身もパケット解析システムの必須の構成要素ではない。
本発明に係るパケット解析システムの一実施例を示す構成ブロック図である。 端末ノード型センサの具体例を示す構成ブロック図である。 端末ノード型センサの動作を説明するフロー図である。 パケット等の情報の流れを説明する説明図である。 パケット等の情報の流れを説明する説明図である。 端末ノード型センサの動作を説明するフロー図である。 送信先ポートの組み合わせによる分類方法を説明する説明図である。 捕捉された生のパケットログの一例を示す表である。 送信先ポートの組み合わせにより分類した情報の一例を示す表である。 パケットの伝播の仕方の違いにより分類されるタイプの定義を説明する表である。 パケットの伝播の仕方の違いによる分類方法のパラメータと判定条件を説明する表である。 パケットの伝播の仕方の違いにより分類した情報の一例を示す表である。 サーバの動作を説明するフロー図である。 情報の流れを説明する説明図である。 全体的なレポート（ログファイル）のフォーマット等を説明する説明図である。 全体的なレポート（ログファイル）の具体例を示す説明図である。 分離可能なバリエーションを説明する説明図である。 ”ＴＣＰ／４４５”へのアクセス推移を示す説明図である。 ”ＩＣＭＰ Ｅｃｈｏ Ｒｅｑｕｅｓｔ”の推移を示す説明図である。 ”ＩＣＭＰ Ｅｃｈｏ Ｒｅｑｕｅｓｔ”後に”ＴＣＰ／４４５”へのみアクセスするものの推移を示す説明図である。 ”ＴＣＰ／１３５”と”ＴＣＰ／４４５”のみをセットでアクセスするものの推移を示す説明図である。 ”ＴＣＰ／１３５”、”ＴＣＰ／４４５”、”ＴＣＰ／１０２５”のみをセットでアクセスするものの推移を示す説明図である。 ”ＴＣＰ／２７４５”、”ＴＣＰ／１３５”、”ＴＣＰ／１０２５”、”ＴＣＰ／４４５”、”ＴＣＰ／３１２７”、”ＴＣＰ／６１９２”、”ＴＣＰ／１３９”及び”ＴＣＰ／８０”のみをセットでアクセスするものの推移を示す説明図である。 従来のパケット解析システムの一例を示す構成ブロック図である。 パケット解析システムの全体を管理するサーバの動作を説明するフロー図である。 パケット等の情報の流れを説明する説明図である。 パケット等の情報の流れを説明する説明図である。 ファイアウォールで取得されたパケットのログ情報のフォーマット及び解析レポートの一例を示す説明図である。 ＩＤＳで取得されたパケットのログ情報のフォーマット及び解析レポートの一例を示す説明図である。 解析レポートの他の一例を示す説明図である。
符号の説明
１，７ サーバ
２，３，４ ファイアウォール
５，６，８，９ コンピュータ
１０，１１，１２，５０ 端末ノード型センサ
１３ 通信手段
１４ 演算制御手段
１５ 入出力手段
１６ 記憶手段
１００，１０１，１０２ ネットワーク

Claims (18)

  1. ネットワークを伝播するパケットを捕捉して解析するパケット解析システムにおいて、
    複数の場所に設置され伝播するパケットを捕捉し、捕捉した前記パケットの送信先ポート、タイプまたはこれらの一方若しくは両方の組み合わせによる分類を自動生成してパケット同士を互いに関連付けて分類する端末ノード型センサと、
    前記ネットワークを介して前記複数の端末ノード型センサから分類された情報を取得してシステムの全体的なレポートを生成するサーバと
    を備えたことを特徴とするパケット解析システム。
  2. ネットワークを伝播するパケットを捕捉して解析するパケット解析システムにおいて、
    複数の場所に設置され伝播するパケットを捕捉する端末ノード型センサと、
    前記ネットワークを介して前記複数の端末ノード型センサから取得した情報を統合して前記パケットのアクセスのバリエーションを分離するサーバと
    を備えたことを特徴とするパケット解析システム。
  3. 前記端末ノード型センサが、
    前記ネットワークを伝播するパケットを捕捉する通信手段と、
    記憶手段と、
    捕捉した前記パケットを前記記憶手段に格納すると共に捕捉した前記パケットをパケット同士で互いに関連付けて分類し前記記憶手段に保存する演算制御手段とから構成されることを特徴とする
    請求項１または２のいずれかに記載のパケット解析システム。
  4. 前記端末ノード型センサ、若しくは、前記演算制御手段が、
    捕捉した前記パケットを送信先ポート若しくはタイプの組み合わせにより分類することを特徴とする
    請求項１〜３のいずれかに記載のパケット解析システム。
  5. 前記演算制御手段が、
    捕捉されたパケットの送信元ＩＰアドレスを調べて既に同一の受信元ＩＰアドレスに対応するオブジェクトが存在しない場合にパケット情報クラスのインスタンスの情報のリストを蓄積し最終的に分類情報を生成するオブジェクトを起動すると共にパケット情報をパケット情報インスタンスのリストに生成し、その時刻を記録し、
    順次捕捉されたパケットの送信元ＩＰアドレスを調べて同一の受信元ＩＰアドレスに対応するオブジェクトが存在している場合には、パケット情報をパケット情報インスタンスのリストに順次追加し、追加時刻を記録し、
    定期的な検査時刻毎に当該オブジェクトの生存条件を判断し、もし、生存条件を満足しない場合には、受信元ＩＰアドレスと共にパケット情報インスタンスのリストに蓄積されたパケット情報を出力して分類情報を生成させることを特徴とする
    請求項４記載のパケット解析システム。
  6. 前記演算制御手段が、
    パケット情報の前記パケット情報インスタンスのリストへの追加が一定時間行われない場合に生存条件を満足していないと判断することを特徴とする
    請求項５記載のパケット解析システム。
  7. 前記演算制御手段が、
    前記一定時間を可変にしたことを特徴とする
    請求項６記載のパケット解析システム。
  8. 前記端末ノード型センサ、若しくは、前記演算制御手段が、
    捕捉した前記パケットを前記パケットの伝播の仕方の違いにより分類することを特徴とする
    請求項１、２若しくは請求項３記載のパケット解析システム。
  9. 前記演算制御手段が、
    送信元ポート番号の種類数と送信先ポート番号の種類数とが同じであり、尚且つ、送信先ネットワークのアドレスの種類数と送信先ホストのアドレス種類数とが同じである場合にタイプ”Ｎｏｒｍａｌ”に分類することを特徴とする
    請求項８記載のパケット解析システム。
  10. 前記演算制御手段が、
    送信元ポート番号の種類数の方が送信先ポート番号の種類数よりも多く、尚且つ、送信先ネットワークのアドレスの種類数と送信先ホストのアドレス種類数とが同じである場合にタイプ”Ｐｏｒｔ＿Ｓｃａｎ”に分類することを特徴とする
    請求項８記載のパケット解析システム。
  11. 前記演算制御手段が、
    送信元ポート番号の種類数の方が送信先ポート番号の種類数よりも少なく、尚且つ、送信先ネットワークのアドレスの種類数と送信先ホストのアドレス種類数とが同じである場合にタイプ”Ｐｏｒｔ＿Ｓｃａｎ２”に分類することを特徴とする
    請求項８記載のパケット解析システム。
  12. 前記演算制御手段が、
    送信元ポート番号の種類数の方が送信先ポート番号の種類数よりも多く、尚且つ、送信先ネットワークのアドレスの種類数の方が送信先ホストのアドレス種類数よりも少ない場合にタイプ”Ｎｅｔｗｏｒｋ＿Ｓｃａｎ”に分類することを特徴とする
    請求項８記載のパケット解析システム。
  13. 前記演算制御手段が、
    送信元ポート番号の種類数と送信先ポート番号の種類数と同じであり、尚且つ、送信先ネットワークのアドレスの種類数の方が送信先ホストのアドレス種類数よりも少ない場合にタイプ”Ｎｅｔｗｏｒｋ＿Ｓｃａｎ２”に分類することを特徴とする
    請求項８記載のパケット解析システム。
  14. 前記演算制御手段が、
    送信元ポート番号の種類数の方が送信先ポート番号の種類数よりも少なく、尚且つ、送信先ネットワークのアドレスの種類数の方が送信先ホストのアドレス種類数よりも少ない場合にタイプ”Ｎｅｔｗｏｒｋ＿Ｓｃａｎ３”に分類することを特徴とする
    請求項８記載のパケット解析システム。
  15. 前記サーバが、
    前記レポートを作成すると判断した場合に前記ネットワークを介して前記複数の端末ノード型センサから保存されている分類情報を取得し、
    取得した分類情報を統合して前記レポートを作成すると共に記憶手段に保存することを特徴とする
    請求項１〜１４のいずれかに記載のパケット解析システム。
  16. 前記サーバが、
    前記レポートを作成すると判断した場合に前記ネットワークを介して前記複数の端末ノード型センサの一から保存されている分類情報を取得し、
    取得した分類情報を統合して前記レポートを作成すると共に記憶手段に保存することを特徴とする
    請求項１〜１４のいずれかに記載のパケット解析システム。
  17. 前記サーバが、
    前記レポートを作成すると判断した場合に前記ネットワークを介して前記複数の端末ノード型センサの内選択された任意の端末ノード型センサから保存されている分類情報を取得し、
    取得した分類情報を統合して前記レポートを作成すると共に記憶手段に保存することを特徴とする
    請求項１〜１４のいずれかに記載のパケット解析システム。
  18. 前記サーバが、
    前記レポートのフォーマットとして、日付、時刻、ミリ秒、送信元ＩＰアドレス、国コード”、プロトコル、前記パケットの伝播の仕方の違いによる分類及び前記パケットを送信先ポート若しくはタイプの組み合わせによる分類を順次記述することを特徴とする
    請求項１５〜１７のいずれかに記載のパケット解析システム。
JP2004303857A 2004-10-19 2004-10-19 パケット解析システム Expired - Lifetime JP4479459B2 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2004303857A JP4479459B2 (ja) 2004-10-19 2004-10-19 パケット解析システム
US11/233,063 US20060083180A1 (en) 2004-10-19 2005-09-23 Packet analysis system

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2004303857A JP4479459B2 (ja) 2004-10-19 2004-10-19 パケット解析システム

Publications (2)

Publication Number Publication Date
JP2006121143A JP2006121143A (ja) 2006-05-11
JP4479459B2 true JP4479459B2 (ja) 2010-06-09

Family

ID=36180652

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2004303857A Expired - Lifetime JP4479459B2 (ja) 2004-10-19 2004-10-19 パケット解析システム

Country Status (2)

Country Link
US (1) US20060083180A1 (ja)
JP (1) JP4479459B2 (ja)

Families Citing this family (52)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7774604B2 (en) * 2003-12-10 2010-08-10 Mcafee, Inc. Verifying captured objects before presentation
US8548170B2 (en) 2003-12-10 2013-10-01 Mcafee, Inc. Document de-registration
US8656039B2 (en) 2003-12-10 2014-02-18 Mcafee, Inc. Rule parser
US7814327B2 (en) * 2003-12-10 2010-10-12 Mcafee, Inc. Document registration
US7899828B2 (en) * 2003-12-10 2011-03-01 Mcafee, Inc. Tag data structure for maintaining relational data over captured objects
US7984175B2 (en) 2003-12-10 2011-07-19 Mcafee, Inc. Method and apparatus for data capture and analysis system
US20050131876A1 (en) * 2003-12-10 2005-06-16 Ahuja Ratinder Paul S. Graphical user interface for capture system
US7930540B2 (en) * 2004-01-22 2011-04-19 Mcafee, Inc. Cryptographic policy enforcement
US7962591B2 (en) * 2004-06-23 2011-06-14 Mcafee, Inc. Object classification in a capture system
US8560534B2 (en) * 2004-08-23 2013-10-15 Mcafee, Inc. Database for a capture system
US7949849B2 (en) * 2004-08-24 2011-05-24 Mcafee, Inc. File system for a capture system
US20100195538A1 (en) * 2009-02-04 2010-08-05 Merkey Jeffrey V Method and apparatus for network packet capture distributed storage system
US7907608B2 (en) * 2005-08-12 2011-03-15 Mcafee, Inc. High speed packet capture
US7818326B2 (en) * 2005-08-31 2010-10-19 Mcafee, Inc. System and method for word indexing in a capture system and querying thereof
US7730011B1 (en) * 2005-10-19 2010-06-01 Mcafee, Inc. Attributes of captured objects in a capture system
US7657104B2 (en) * 2005-11-21 2010-02-02 Mcafee, Inc. Identifying image type in a capture system
US7930748B1 (en) * 2005-12-29 2011-04-19 At&T Intellectual Property Ii, L.P. Method and apparatus for detecting scans in real-time
JP4583312B2 (ja) * 2006-01-30 2010-11-17 富士通株式会社 通信状況判定方法、通信状況判定システム及び判定装置
US8504537B2 (en) 2006-03-24 2013-08-06 Mcafee, Inc. Signature distribution in a document registration system
US20070226504A1 (en) * 2006-03-24 2007-09-27 Reconnex Corporation Signature match processing in a document registration system
US8010689B2 (en) * 2006-05-22 2011-08-30 Mcafee, Inc. Locational tagging in a capture system
US7689614B2 (en) * 2006-05-22 2010-03-30 Mcafee, Inc. Query generation for a capture system
US7958227B2 (en) * 2006-05-22 2011-06-07 Mcafee, Inc. Attributes of captured objects in a capture system
US7751340B2 (en) * 2006-11-03 2010-07-06 Microsoft Corporation Management of incoming information
AU2007351385B2 (en) * 2006-11-14 2013-05-16 Fmr Llc Detecting and interdicting fraudulent activity on a network
KR20080062817A (ko) * 2006-12-29 2008-07-03 한전케이디엔주식회사 지그비 센서 네트워크 분석 시스템
JP4780413B2 (ja) * 2007-01-12 2011-09-28 横河電機株式会社 不正アクセス情報収集システム
KR100920304B1 (ko) 2007-11-26 2009-10-08 에스케이 텔레콤주식회사 패킷 데이터 통신에서의 오브젝트 생성 방법 및 장치
CN102016844A (zh) * 2008-03-03 2011-04-13 奎提公司 用于映射企业数据的系统和方法
US7793001B2 (en) * 2008-05-09 2010-09-07 Microsoft Corporation Packet compression for network packet traffic analysis
US8625642B2 (en) 2008-05-23 2014-01-07 Solera Networks, Inc. Method and apparatus of network artifact indentification and extraction
US8004998B2 (en) * 2008-05-23 2011-08-23 Solera Networks, Inc. Capture and regeneration of a network data using a virtual software switch
US20090292736A1 (en) * 2008-05-23 2009-11-26 Matthew Scott Wood On demand network activity reporting through a dynamic file system and method
US8521732B2 (en) 2008-05-23 2013-08-27 Solera Networks, Inc. Presentation of an extracted artifact based on an indexing technique
US8205242B2 (en) 2008-07-10 2012-06-19 Mcafee, Inc. System and method for data mining and security policy management
US9253154B2 (en) 2008-08-12 2016-02-02 Mcafee, Inc. Configuration management for a capture/registration system
JP5286018B2 (ja) * 2008-10-07 2013-09-11 Ｋｄｄｉ株式会社 情報処理装置、プログラム、および記録媒体
JP5328283B2 (ja) * 2008-10-07 2013-10-30 Ｋｄｄｉ株式会社 情報処理装置、プログラム、および記録媒体
US8850591B2 (en) 2009-01-13 2014-09-30 Mcafee, Inc. System and method for concept building
US8706709B2 (en) 2009-01-15 2014-04-22 Mcafee, Inc. System and method for intelligent term grouping
US8473442B1 (en) 2009-02-25 2013-06-25 Mcafee, Inc. System and method for intelligent state management
US8667121B2 (en) 2009-03-25 2014-03-04 Mcafee, Inc. System and method for managing data and policies
US8447722B1 (en) 2009-03-25 2013-05-21 Mcafee, Inc. System and method for data mining and security policy management
KR20100107801A (ko) * 2009-03-26 2010-10-06 삼성전자주식회사 무선 통신 시스템에서 안테나 선택을 위한 장치 및 방법
US20110125748A1 (en) * 2009-11-15 2011-05-26 Solera Networks, Inc. Method and Apparatus for Real Time Identification and Recording of Artifacts
WO2011060368A1 (en) * 2009-11-15 2011-05-19 Solera Networks, Inc. Method and apparatus for storing and indexing high-speed network traffic data
KR101097553B1 (ko) 2010-03-04 2011-12-22 주식회사 건지소프트 Ｕｓｎ에서 에너지 효율성 및 응용 확장성 지원을 위한 상황 인식 방법 및 시스템
US8806615B2 (en) 2010-11-04 2014-08-12 Mcafee, Inc. System and method for protecting specified data combinations
US8849991B2 (en) 2010-12-15 2014-09-30 Blue Coat Systems, Inc. System and method for hypertext transfer protocol layered reconstruction
US8666985B2 (en) 2011-03-16 2014-03-04 Solera Networks, Inc. Hardware accelerated application-based pattern matching for real time classification and recording of network traffic
TW201241780A (en) * 2011-04-06 2012-10-16 Hon Hai Prec Ind Co Ltd System and method for optimizing the test data reports
US20130246334A1 (en) 2011-12-27 2013-09-19 Mcafee, Inc. System and method for providing data protection workflows in a network environment

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FI106089B (fi) * 1997-12-23 2000-11-15 Sonera Oyj Liikkuvan päätelaitteen seuranta matkaviestinjärjestelmässä
US7444404B2 (en) * 2001-02-05 2008-10-28 Arbor Networks, Inc. Network traffic regulation including consistency based detection and filtering of packets with spoof source addresses
US7827272B2 (en) * 2002-11-04 2010-11-02 Riverbed Technology, Inc. Connection table for intrusion detection
US7949737B2 (en) * 2002-11-04 2011-05-24 Riverbed Technology, Inc. Method and apparatus for grouping nodes based on connection characteristics
US7363656B2 (en) * 2002-11-04 2008-04-22 Mazu Networks, Inc. Event detection/anomaly correlation heuristics
US7743166B2 (en) * 2003-04-04 2010-06-22 Ellacoya Networks, Inc. Scaleable flow-based application and subscriber traffic control
KR100561628B1 (ko) * 2003-11-18 2006-03-20 한국전자통신연구원 통계적 분석을 이용한 네트워크 수준에서의 이상 트래픽감지 방법
KR100628296B1 (ko) * 2003-12-18 2006-09-27 한국전자통신연구원 네트워크 공격상황 분석 방법
WO2005065023A2 (en) * 2004-01-05 2005-07-21 Checkpoint Software Technologies Ltd. Internal network security

Also Published As

Publication number Publication date
JP2006121143A (ja) 2006-05-11
US20060083180A1 (en) 2006-04-20

Similar Documents

Publication Publication Date Title
JP4479459B2 (ja) パケット解析システム
US11936764B1 (en) Generating event streams based on application-layer events captured by remote capture agents
JP4658340B2 (ja) ネットワークゲートウェイの解析方法及び装置
US20190075049A1 (en) Determining Direction of Network Sessions
EP2774346B1 (en) Network analysis device and method
CN115865525B (zh) 日志数据处理方法、装置、电子设备和存储介质
JP2011101172A (ja) ワーム感染源特定システム、特定方法および特定プログラム、エージェント並びにマネージャコンピュータ
CN111818041A (zh) 一种基于网络层报文解析的实时报文处理系统及方法
CN102271331A (zh) 一种检测业务提供商sp站点可靠性的方法及系统
KR100969455B1 (ko) 네트워크 이용경향 관리를 위한 홈게이트웨이 장치 및 그동작 방법과, 그를 이용한 네트워크 이용경향 관리 방법
JP2006295232A (ja) セキュリティ監視装置、セキュリティ監視方法、及びプログラム
JP2007249348A (ja) アプリケーショントレースバックにおけるデータ収集装置及び方法並びにそのプログラム
JP2006221327A (ja) 計算機システムおよびストレージ装置
JP7050042B2 (ja) 情報処理システムおよび情報処理方法
JP4952531B2 (ja) 記録装置、記録プログラム、および記録方法
JP4434053B2 (ja) 不正侵入検知装置
JP4235907B2 (ja) ワーム伝播監視システム
US9049170B2 (en) Building filter through utilization of automated generation of regular expression
JP4687978B2 (ja) パケット解析システム
JP2006067279A (ja) 侵入検知システム及び通信装置
JP6023738B2 (ja) 送信パケット解析システム、送信パケット解析装置および送信パケット解析プログラム
FR2834848A1 (fr) Procede d'observation d'un reseau de communication et systeme pour la mise en oeuvre de ce procede
CN108737291B (zh) 一种网络流量表示的方法及装置
CN114024765B (zh) 基于旁路流量与防火墙配置相结合的防火墙策略收敛方法
JP4415380B2 (ja) パケット解析装置及びこれを用いたパケット解析システム

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20061205

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20090730

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20090804

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20091001

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20100223

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20100308

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20130326

Year of fee payment: 3

R150 Certificate of patent or registration of utility model

Ref document number: 4479459

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

Free format text: JAPANESE INTERMEDIATE CODE: R150

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20140326

Year of fee payment: 4