JP4808787B2 - ネットワークトラフィックを分割するシステムおよび方法 - Google Patents

Description

本発明は、コンピュータネットワークの管理に関し、さらに詳細には、コンピュータネットワークの状態を管理するシステムおよび方法に関する。

企業の日々の業務を支援するコンピュータネットワークに頼る多くの企業にとって、企業コンピュータネットワークの安定性および信頼性は、重要である。ますます巨大かつ複雑になっていくコンピュータネットワークを管理するため、重要なイベントをネットワーク上の各サーバに記録および保存する方法が、常に要求されている。この要求は、コンピュータネットワークの開発当初に認識されており、現在使用されている主要なオペレーティングシステムは全て、重要なイベントを記録および保存するようになっている。重要なイベントは、多数のデータフォーマットプロトコルの中の１つ（たとえば、シスログ（syslog）プロトコルまたはＳＮＭＰプロトコル）で保存される。たとえば、サーバ、ルータ、ブリッジなどといった、たいていのネットワーク装置は、重要なイベントを保存および送信するようにプログラムされるとともに、たとえば、ＴＣＰまたはＵＤＰといったネットワークトランスポート層プロトコルの１つを使用するデータフォーマットプロトコルの１つを通常扱う。巨大ネットワークでは、サーバ、ルータ、ブリッジなどといった、数百または数千個のネットワーク装置が、重要なイベントに関するログ情報を送信することは通常ない。

膨大な量のログデータを管理および洗練するため、ネットワーク上で生成されたログデータを管理するようにセキュリティ情報管理（ＳＩＭ）ソフトウェアが通常インストールされる。ＳＩＭソフトウェアは、たとえばアークサイト（Arcsight）のようなスタンドアロン製品、または、たとえばHewlett-Packard社のＨＰオープンビュー（HP Openview）のようなネットワーク管理ソフトウェアの一部である。各ＳＩＭ製品は、特定のプロトコルを使用して、ネットワークからセキュリティデータを受信する。幾つかのネットワーク装置は、単一の受信先のみにセキュリティデータを送信することができるのに対して、他は、複数の受信先に送信することができるため、ログデータを受信する複数ネットワーク分散型ＳＩＭ製品を使用可能にする。さらに、幾つかのプロトコルは、データパケットの変更を必要とし、データパケットは、ネットワークを通して送信される。ＳＩＭ製品によって使用される多様な方法は、ライブネットワーク上でのＳＩＭ製品の評価および検査を非常に困難なものにする。さらに、巨大ネットワークでは、様々な支援グループに対して様々なネットワーク管理機能を支援するように、幾つかのＳＩＭ製品がインストールされる。

シスログおよびＳＮＭＰのようなプロトコルは、共通フォーマットに対して、ネットワーク装置およびサーバによる基本システムイベントを様々なＳＩＭ製品に報告するようにする。しかし、これらの製品は、生データを、システム管理者がコンピュータネットワークをインテリジェントに管理するのに使用できる有用な情報に整理または洗練しない。さらに、システム管理は、単一グループによって中心地からは通常行われない。実際、ネットワークエンジニアリングまたはネットワークセキュリティのような様々なシステム管理機能は、企業ネットワーク中に地理的に分散された様々なグループによって行われる。各グループは、これらの機能を実行するため、適時かつ正確なデータを受信しなければならない。したがって、コンピュータネットワークを管理する各システム管理機能に対して、適切なイベントロギングデータを提供するシステムおよび方法が必要である。

ルーティングサーバがコンピュータネットワーク上の１つまたは複数のサーバからデータパケットを受信するように構成されるシステムを記載する。データパケットは、たとえば、セキュリティイベントまたはシステム状態を表すシステムイベントデータを有している。各データパケットは、ルーティングサーバで開かれるとともに、データパケットのコンテンツに応じて、１つまたは複数の受信先ホストに転送される。ルーティングサーバは、データパケットの送信元および受信先に関する統計データを収集するとともに、収集された統計データを定期的にまたはコマンドに応じてファイルに書き込む。

本発明の一実施構成は、コンピュータネットワークに属する１つまたは複数のサーバと、コンピュータネットワークに属する１つまたは複数の受信先ホストと、前記１つまたは複数のサーバからデータパケットを受信するとともに、受信したデータパケットをデータパケットのコンテンツに応じて１つまたは複数の受信先ホストに転送するように構成されるルーティングサーバとを具備するシステムを提供する。幾つかの実施構成では、データパケットはシステムイベントを表す。幾つかの実施構成では、コンピュータネットワークは、企業イントラネットである。

本発明の他の実施構成は、前記１つまたは複数のサーバからメッセージを受信するステップと、前記受信メッセージを受信先ホストに関連したパターンと照合するステップと、前記受信メッセージが受信先ホストに関連したパターンに適合した場合、メッセージを受信先ホストに転送するステップとを具備する方法を提供する。幾つかの実施構成は、受信メッセージが受信先ホストに関連したエクスクルードパターンに適合した場合、受信先ホストにメッセージが転送されないようにするステップをさらに具備する。幾つかの実施構成では、メッセージを転送するステップは、受信メッセージのコピーを生成するステップと、受信メッセージのコピーを受信先ホストに送信するステップとをさらに具備している。

本発明は、以下の図面と併せて、好ましい実施形態および代替実施形態への参照によって記載される。

図１は、本発明の一実施形態を例示する図である。

図２は、本発明の一実施形態を例示するフローチャートである。

本明細書の記載は、単に本発明の好ましい一実施形態を記載するものとして理解されるべきである。たとえば、記載された実施形態が、単に、ネットワークトラフィックを分割する新規システムおよび方法の簡単な例の１つであることは、当業者にとって自明である。簡単な例とは、本発明が具備するさらに全般的なシステムおよび方法を可能にするために、詳細に記載する必要のあるもの全てである。

本発明の幾つかの実施形態は、イベントロギングデータトラフィックを複数の受信先またはＳＩＭ製品に容易に転送するシステムおよび方法を提供する。これは、リアルタイムに元データのコピーを受信するネットワーク監視ツールを可能にするのと同時に、ＳＩＭ製品を変更または更新できるようにすることによって、様々なＳＩＭ製品のより便利な検査を可能にする。ログトラフィックを複数の受信先に送信する性能は、他のＳＩＭまたは自動製品が、幾つかまたは全てのログトラフィックを受信することを可能にする。さらに、これは、単一の受信先のみに送信可能な送信装置に対して、送信装置またはそのソフトウェアを変更せずに、複数の受信先に送信されるそれらのデータを有する性能をもたらす。

本発明の幾つかの実施形態は、変更なしにネットワークパケットを転送するともに、各パケットのコンテンツに基づいて、指定の受信先にネットワークパケットを転送するように構成されている。さらに、指定の受信先は、各ポートに対する固有のポート番号を有している。統計情報は、後の解析のために収集および格納されるとともに、所定の一定間隔において提供される。統計情報は、各送信元から各目標受信先に転送されたパケット数を有している。設定ファイルは、送信元を事前に指定する必要がないといった、転送ルールを提供するのに使用される。他の実施形態では、設定情報は、データベースまたは他の送信元から読み込まれる、および／または得られる。

好ましい一実施形態では、トラフィックの分割は、ＯＳＩレベル４トランスポート層において実行される。トランスポート層における分割の利点は、たいていのネットワーク装置が、ＴＣＰまたはＵＤＰデータパケットとしてログデータを送信することである。トランスポート層にネットワークスプリッタを配置することで、様々なネットワーク装置からのネットワークトラフィックは、ネットワーク上で実行するＳＩＭソフトウェアをカスタマイズすることなしに、分割される。本発明の実施形態は、好ましくは、ネットワーク装置によって典型的に使用されるＵＤＰパケットを分割する。ＵＤＰは、ＴＣＰで必要な２つのコンピュータ間のセッションの保持に関連したオーバーヘッドを有効に削減する。しかし、ＴＣＰパケットを分割する実施形態も、過度の労力なく構成することができるとともに、本発明の範囲内であることは、当業者にとって自明である。

本発明の実施形態は、好ましくは、ウィンドウズ（登録商標）およびリナックス（Linux）といったプラットフォーム上で、ＵｄｐＳｐｌｉｔプログラムを実行可能にするジャバ（Java（登録商標））のようなプラットフォーム非依存言語を使用して、実施される。ＵｄｐＳｐｌｉｔプログラムは、好ましくは、一旦プログラムが実行されたら、人的介入を必要としないようなサービスとして実行する。

前記設定ファイルは、ＵＤＰポートを指定し、サービスは、ＵＤＰパケットと、ログファイルおよび統計データファイルを書き込む位置と、各受信先の詳細とを受信（listen）する。各受信先に対して、設定ファイルは、受信先ホスト名またはアドレスを有し、ネットワークパケットは、パケットを転送するのに使用するネットワークポートと、パール（Perl）正規表現のようなインクルードパターン（たとえば、パケットがインクルードパターンに適合した場合のみ、受信先にパケットを転送する）と、パール正規表現のようなエクスクルードパターン（たとえば、パケットがエクスクルードパターンに適合した場合、パケットが受信先に転送されないようにする）とに転送される。

図１は、本発明の一実施形態を例示した図である。サーバ１１０，１２０，１３０，１４０は、企業イントラネット１００を通して相互に通信する。前記１つまたは複数のサーバは、システムイベント情報をルーティングサーバ１５０に記録および送信するように構成されている。ルーティングサーバ１５０は、１つまたは複数のサーバ、あるいはネットワーク装置からのデータパケットを受信するとともに、各データパケットをデータパケットのコンテンツに従って１つまたは複数の受信先サーバ１６０，１７０，１８０に転送する。受信先サーバ１６０，１７０，１８０は、ルーティングサーバ１５０によって受信されたデータパケットの幾つかまたは全てを受信するとともに、受信データは、たとえば、ネットワーク侵入検出、ネットワーク状態、またはネットワークセキュリティといったネットワークシステム機能を支援する様々なＳＩＭ製品によって使用される。統計データは、ルーティングサーバ１５０によって受信された各データパケットに対して収集されるとともに、レポートは、照会に応じて、あるいは所定の時間または間隔で、送信される。

図２は、本発明の一実施形態を例示したフローチャートである。ステップ２１０で、前記ＵｄｐＳｐｌｉｔプログラムは、初期化される。プログラムは、好ましくは、ルーティングサーバ上で実行するサービスとしてインストールされる。ステップ２１０で、設定ファイルは、プログラムによって開かれるとともに、読み込まれる。設定ファイルは、ルーティングサーバに格納される、またはルーティングサーバにアクセス可能な他の記憶装置に格納される。設定ファイルは、ルーティングサーバ上のＵＤＰポートを識別し、ＵｄｐＳｐｌｉｔは、ネットワークパケットを受信する。設定ファイルは、受信先サーバおよびポートを同様に識別し、ネットワークパケットは送信される。各受信先サーバに対して、ネットワークパケットが受信先サーバに転送されるかどうか決定するため、１つまたは複数のパターンが指定される。パターンは、好ましくは、パール正規表現であるが、他の表現プロトコルも使用できるとともに、本発明の範囲内であることが理解される。１つまたは複数のパターンは、インクルードパターンに適合するネットワークパケットが受信先サーバに転送されるような、インクルードパターンであってもよい。１つまたは複数のパターンは、エクスクルードパターンに適合するネットワークパケットが受信先サーバに転送されないような、エクスクルードパターンであってもよい。

前記設定ファイルが一旦読み込まれると、ＵｄｐＳｐｌｉｔは、各受信先ホストとそれらの各ポートとの接続を開くとともに、ネットワークパケットに対して受信を開始する。ステップ２２０で、指定ポート中に受信された各ネットワークパケットは、開かれる。ステップ２３０で、データパケットのコンテンツは、各受信先ホストに関連した全てのインクルードパターンまたはエクスクルードパターンに対して照合される。データパケットが、受信先ホストに対するエクスクルードパターンに適合した場合、ＵｄｐＳｐｌｉｔは、データパケットのコピーを前記ホストに送信しない。逆に、データパケットが、受信先ホストに対するインクルードパターンに適合した場合、ステップ２４０で、ＵｄｐＳｐｌｉｔはデータパケットのコピーを生成するとともに、受信先ホストにコピーを送信する。データパケットのコンテンツが、１つまたは複数のホストに対するインクルードパターンに適合した場合、コンテンツは、複数の受信先ホストに送信される。ホストが、インクルードパターンおよびエクスクルードパターンの両方を有している場合は、データパケットのコンテンツがインクルードパターンに適合し、かつエクスクルードパターンに適合しなかった場合にのみ、データパケットはホストに送信される。

前記データパケットが開かれた場合、ＵｄｐＳｐｌｉｔは、ホスト（データパケットはホストから受信される）に関連したカウンタを加算する。データパケットが受信先ホストに転送された場合、ＵｄｐＳｐｌｉｔは、受信先ホストに関連したカウンタを加算する。定期的にまたはコマンドに対して、ＵｄｐＳｐｌｉｔは、最新のレポート以後収集された統計データを有するファイルを書き込む。他の実施形態では、ＵｄｐＳｐｌｉｔは、収集された統計データをデータベースに書き込む、または他のデータ収集ポイントに統計データを転送する。好ましい一実施形態では、統計レポートは、たとえば、各入力データパケットの送信元アドレスと、受信データパケットの総計と、最新のレポート以後受信されたデータパケットの計数と、第１パケットが送信元アドレスから受信された時間と、前記ホストが何らかのデータを送信した最新の期間などといった、情報を有している。各受信先ホストに対して、統計レポートは、たとえば、受信先名と、送信元アドレスと、受信先に転送されたデータパケットの総計と、最新のレポート以後受信先に転送されたデータパケットの計数と、第１データパケットが受信先に送信された時間と、データパケットが受信先に転送された最新の期間などといった、情報を有してもよい。最新の期間の情報は、ホストがオフライン状態にあることを識別するまたは標識するのに使用される。

当業者には自明であるように、本発明の実施形態は、コンピュータコンポーネントおよびコンピュータによって実行されるステップを具備している。説明の都合上、本発明の全てのステップまたは構成要素が、コンピュータシステムの一部として本明細書に記載されたわけではないが、各ステップまたはコンポーネントが、対応するコンピュータシステムまたはソフトウェアコンポーネントを具備していることは、当業者にとって自明である。したがって、そのようなコンピュータシステム、および／またはソフトウェアコンポーネントは、対応するステップまたは構成要素（それらの機能性である）の記載によって可能であるとともに、本発明の範囲内である。

したがって、少なくとも本発明の例示的な実施形態を記載したことによって、本発明の範囲内に意図された様々な変更および改良が、当業者にとって容易である。したがって、上述の記載は、単に例示目的であり、限定を意図するものではない。本発明は、添付の請求項およびその均等物に定義されるものとしてのみ限定される。

本発明の一実施形態を例示する図である。 本発明の一実施形態を例示するフローチャートである。

符号の説明

１００ 企業イントラネット
１１０，１２０，１３０，１４０ サーバ
１５０ ルーティングサーバ
１６０，１７０，１８０ 受信先サーバ
２１０ サービスを初期化するステップ
２２０ データパケットを開くステップ
２３０ コンテンツのパターンマッチを行うステップ
２４０ パケットを生成および転送するステップ
２５０ 統計データを収集および報告するステップ

Claims (8)

1. 複数の受信先ホストを具備するシステムであって、
   各受信先ホストは、少なくとも１つのインクルードまたはエクスクルードパターンに関連し、前記少なくとも１つのインクルードまたはエクスクルードパターンは、複数のデータパケットが、少なくとも１つの受信先ホストに転送されるかどうかを定め、
   前記システムは、前記複数の受信先ホストと各受信先ホストに関連した少なくとも１つのインクルードまたはエクスクルードパターンとを識別する設定ファイルを格納するとともに、コンピュータネットワーク上の複数のネットワークデバイス装置から１つまたは複数のシステムイベントに関するログデータを含む複数のデータパケットを受信するように構成されたルーティングサーバを具備し、
   前記ルーティングサーバはさらに、前記複数のデータパケットのコンテンツを前記設定ファイル内の少なくとも１つのインクルードまたはエクスクルードパターンと比較するとともに、前記データパケットのコンテンツが前記受信先ホストの少なくとも１つに関連したインクルードパターンに適合した場合、前記受信先ホストの少なくとも１つに前記データパケットを送信することによって、前記複数のデータパケットを前記受信先ホストの少なくとも１つに転送するように構成されるとともに、
   前記ルーティングサーバはさらに、前記データパケットのコンテンツが前記受信先ホストの少なくとも１つに関連したエクスクルードパターンに適合した場合、前記データパケットが前記受信先ホストの少なくとも１つに転送されないように構成されることを特徴とするシステム。
2. 前記データパケットは、システムイベントを表すことを特徴とする請求項１に記載のシステム。
3. 前記コンピュータネットワークはイントラネットであることを特徴とする請求項１に記載のシステム。
4. 前記受信先ホストの少なくとも１つに前記複数のデータパケットを転送することは、前記複数のデータパケットのコピーを生成するとともに、前記複数のデータパケットのコピーを受信先ホストに送信することを含むことを特徴とする請求項１に記載のシステム。
5. コンピュータネットワーク上の複数のネットワーク装置から１つまたは複数のシステムイベントに関するログデータを含む複数のデータパケットを受信するステップを具備する方法であって、
   複数の受信先ホストと各受信先ホストに関連した少なくとも１つのインクルードまたはエクスクルードパターンとを識別する設定ファイルを格納するステップを具備し、前記少なくとも１つのインクルードまたはエクスクルードパターンは、前記複数のデータパケットが少なくとも１つの受信先ホストに転送されるかどうかを定め、
   前記方法は、
   前記複数のデータパケットのコンテンツを前記設定ファイル内の少なくとも１つのインクルードまたはエクスクルードパターンと比較するステップと、
   前記データパケットのコンテンツが、前記受信先ホストの少なくとも１つに関連したインクルードパターンに適合した場合、前記受信先ホストの少なくとも１つに前記データパケットを送信することによって、前記受信先ホストの少なくとも１つに前記複数のデータパケットを転送するステップと、
   前記データパケットのコンテンツが、前記受信先ホストの少なくとも１つに関連したエクスクルードパターンに適合した場合、前記データパケットが前記受信先ホストの少なくとも１つに転送されないようにするステップと
   を具備することを特徴とする方法。
6. 前記データパケットは、システムイベントを表すことを特徴とする請求項５に記載の方法。
7. 前記コンピュータネットワークはイントラネットであることを特徴とする請求項５に記載の方法。
8. 前記受信先ホストの少なくとも１つに前記複数のデータパケットを転送するステップは、
   前記複数のデータパケットのコピーを生成するステップと、
   前記複数のデータパケットのコピーを受信先ホストに送信するステップと
   をさらに具備することを特徴とする請求項５に記載の方法。

Images