JP5955720B2 - 監視装置、監視方法および監視プログラム - Google Patents

Description

本発明は、監視対象ネットワークに属する監視対象機器のトラフィックデータを処理する監視装置、監視方法および監視プログラムに関する。

近年、通信ネットワークの発達に伴い、大量のトラフィックが発生している。通信ネットワーク上のトラフィック量の変動を監視することは、異常トラフィックの発見、ネットワークリソースの配置設計等に資する重要な技術である。

従来、トラフィックを監視する際、その監視対象のポイントであるネットワーク内のノードに、それぞれ監視用のプローブを立てる技術が一般的であった。この監視方法は、例えば、専用のソフトウェアやハードウェアによって実現される。また、監視対象のネットワークごとに、ネットワーク内の各ノードから監視データを収集する監視装置を設ける方法がある。この方法では、ひとつの監視装置が、監視対象のひとつのネットワークのトラフィックを、集中的に監視する。

例えば、ソフトウェアとハードウェアが一体のアプライアンスボックスとして提供して、トラフィックの監視する方法もある（例えば、非特許文献１参照。）。 また、ネットワーク経由で、トラフィックを監視する方法もある（例えば、非特許文献２参照。）。

ＮＴＴコミュニケーションズ、" ＩＰネットワーク運用者向けオペレーションシステム「トラフィック解析ツール」の提供について"、［online］、［平成２４年９月１８日検索］、インターネット＜http://www.ntt.com/release/monthNEWS/detail/20080804.html＞ ＮＴＴコミュニケーションズ、" グローバルＩＰネットワークサービスにて「トラフィック解析ツール・ネットワーク型」の提供開始"、［online］、［平成２４年９月１８日検索］、インターネット＜http://www.ntt.com/serviceinfo/monthinfo/detail/20090706.html＞

しかしながら、非特許文献１および非特許文献２に記載のトラフィック監視方法において、監視対象のネットワークごとに監視装置を設ける必要があるため、監視装置の設置にコストがかかる問題があった。また、一般的なコンピュータを用いて監視装置を実装するとしても、その監視機能を実現するためのソフトウェアを要するので、監視対象ネットワークのノードごと、またはネットワークごとに、このようなソフトウェアのインストールをすることになる。従って、ユーザにとって、これらのソフトウェアのライセンス費用によるコスト負担が、大きくなってしまう問題があった。さらに、ハードウェアまたはソフトウェアで実現するに関わらず、その装置のメンテナンスにかかるコストも膨大になるという問題があった。

従って本発明の目的は、複数の通信ネットワークのトラフィックを監視する監視装置、監視方法および監視プログラムを提供することである。

上記課題を解決するために、本発明の第１の特徴は、監視対象ネットワークに属する監視対象機器のトラフィックデータを処理する監視装置に関する。即ち本発明の第１の特徴に係る監視装置は、ユーザの識別子と、当該ユーザがトラフィック解析データを参照可能な監視対象ネットワークの識別子とを対応づけたアクセス権データを記憶する記憶装置と、
監視対象ネットワークに属する監視対象機器からトラフィックデータを受信し、当該監視対象ネットワークの識別子と、受信したトラフィックデータとを対応づけてトラフィック蓄積データに記憶する処理手段と、トラフィック蓄積データから、監視対象ネットワークごとにトラフィックデータを抽出し、抽出されたトラフィックデータから生成したトラフィック解析データを、当該監視対象ネットワークの識別子に対応づけて記憶する解析手段と、ユーザの識別子とともに解析データの参照要求が入力されると、アクセス権データに基づいて、入力されたユーザの識別子に対応する監視対象ネットワークの識別子に対応づけられたトラフィック解析データを出力する解析提供手段とを備える。

ここで処理手段は、監視対象ネットワークごとにエージェントを備えても良い。各エージェントには、対応する監視対象ネットワークから送信されるトラフィックデータの宛先となるアドレスが付与される。

また、記憶装置は、監視対象ネットワークの識別子と、当該監視対象ネットワークに送信する際に用いるアドレスとを対応づけた処理アドレスデータを記憶し、処理手段は、監視対象ネットワークの監視対象機器にデータを送信する際、処理アドレスデータを読み出して、当該監視対象ネットワークに対応するアドレス宛にデータを送信しても良い。

さらに、記憶装置はさらに、監視対象ネットワークの識別子と、当該監視対象ネットワークに属する監視対象機器の識別子とを対応づけた監視対象データを記憶し、処理手段は、監視対象機器からトラフィックデータを受信すると、監視対象データを読み出して、送信元の監視対象機器の識別子に対応する監視対象ネットワークの識別子を抽出し、当該監視対象ネットワークの識別子と、監視対象機器のアドレスと、受信したトラフィックデータとを対応づけてトラフィック蓄積データに記憶しても良い。

また、監視対象機器のアドレスは、プライベートアドレス空間のアドレスであっても良い。

本発明の第２の特徴は、監視対象ネットワークに属する監視対象機器のトラフィックデータを処理する監視方法に関する。即ち本発明の第２の特徴に係る監視方法は、複数の監視対象ネットワークに属する複数の監視対象機器のそれぞれが、当該監視対象機器のトラフィックデータを、監視装置に送信するステップと、監視装置が、トラフィックデータを受信し、トラフィックデータを送信した監視対象機器の属する監視対象ネットワークの識別子と、受信したトラフィックデータとを対応づけて、トラフィック蓄積データに記憶するステップと、監視装置が、トラフィック蓄積データから、監視対象ネットワークごとにトラフィックデータを抽出し、抽出されたトラフィックデータから生成したトラフィック解析データを、当該監視対象ネットワークの識別子に対応づけて記憶するステップと、監視装置が、ユーザの識別子とともに解析データの参照要求が入力されると、ユーザの識別子と、当該ユーザがトラフィック解析データを参照可能な監視対象ネットワークの識別子とを対応づけたアクセス権データに基づいて、入力されたユーザの識別子に対応する監視対象ネットワークの識別子に対応づけられたトラフィック解析データを出力するステップとを備える。

ここで監視装置は、監視対象ネットワークごとに設けられたエージェントを備え、各エージェントには、対応する監視対象ネットワークから送信されるトラフィックデータの宛先となるアドレスが付与されても良い。この場合、トラフィックデータを、監視装置に送信するステップは、複数の監視対象機器のそれぞれが、当該監視対象機器の属する監視対象ネットワークに対応するエージェントのアドレスを宛先として、トラフィックデータを監視装置に送信する。

また、監視対象ネットワークの監視対象機器にデータを送信する際、監視対象ネットワークの識別子と、当該監視対象ネットワークに送信する際に用いるアドレスとを対応づけた処理アドレスデータを読み出して、当該監視対象ネットワークに対応するアドレス宛にデータを送信するステップをさらに備えても良い。

さらに、トラフィック蓄積データに記憶するステップは、監視対象機器からトラフィックデータを受信すると、監視対象ネットワークの識別子と当該監視対象ネットワークに属する監視対象機器の識別子とを対応づけた監視対象データを読み出して、送信元の監視対象機器の識別子に対応する監視対象ネットワークの識別子を抽出し、当該監視対象ネットワークの識別子と、監視対象機器のアドレスと、受信したトラフィックデータとを対応づけてトラフィック蓄積データに記憶しても良い。

また、監視対象機器のアドレスは、プライベートアドレス空間のアドレスであっても良い。

本発明の第３の特徴は、監視対象ネットワークに属する監視対象機器のトラフィックデータを処理する監視プログラムに関する。ここでコンピュータは、ユーザの識別子と、当該ユーザがトラフィック解析データを参照可能な監視対象ネットワークの識別子とを対応づけたアクセス権データを記憶する記憶装置を備える。本発明の第３の特徴に係る監視プログラムは、コンピュータを、監視対象ネットワークに属する監視対象機器からトラフィックデータを受信し、当該監視対象ネットワークの識別子と、受信したトラフィックデータとを対応づけてトラフィック蓄積データに記憶する処理手段と、トラフィック蓄積データから、監視対象ネットワークごとにトラフィックデータを抽出し、抽出されたトラフィックデータから生成したトラフィック解析データを、当該監視対象ネットワークの識別子に対応づけて記憶する解析手段と、ユーザの識別子とともに解析データの参照要求が入力されると、アクセス権データに基づいて、入力されたユーザの識別子に対応する監視対象ネットワークの識別子に対応づけられたトラフィック解析データを出力する解析提供手段として機能させる。

本発明によれば、複数の通信ネットワークのトラフィックを監視する監視装置、監視方法および監視プログラムを提供することができる。

本発明の実施の形態に係る監視システムのシステム構成を説明する図である。 本発明の実施の形態に係る監視システムにおいて、監視対象ネットワークからトラフィックデータを送信する場合の処理を説明するシーケンス図である。 本発明の実施の形態に係る監視システムにおいて、監視装置から監視対象ネットワークに下りデータを送信する場合の処理を説明するシーケンス図である。 本発明の実施の形態に係る監視装置のハードウェア構成と機能ブロックを説明する図である。 本発明の実施の形態に係る監視対象データのデータ構造とデータの一例を説明する図である。 本発明の実施の形態に係る処理アドレスデータのデータ構造とデータの一例を説明する図である。 本発明の実施の形態に係るトラフィック蓄積データのデータ構造とデータの一例を説明する図である。 本発明の実施の形態に係るアクセス権データのデータ構造とデータの一例を説明する図である。

次に、図面を参照して、本発明の実施の形態を説明する。以下の図面の記載において、同一または類似の部分には同一または類似の符号を付している。

（監視システム）
図１を参照して、本発明の実施の形態に係る監視システム３を説明する。監視システム３は、監視装置１、監視制御装置２、第１の監視対象ネットワーク１０ａ、第２の監視対象ネットワーク１０ｂ、第１の端末２１ａ、第２の端末２１ｂ、第３の端末２１ｃおよび第４の端末２１ｄを備える。図１に示す例では、監視装置１が、第１の監視対象ネットワーク１０ａおよび第２の監視対象ネットワーク１０ｂの２つのネットワークを監視する場合を説明するが、監視装置１が監視するネットワークの数はこれに限らない。

監視装置１および監視制御装置２は、相互に通信可能に接続されている。監視装置１は、第1の暗号化ネットワーク１５ａを介して、第１の監視対象ネットワーク１０ａと相互に通信可能に接続されるとともに、第２の暗号化ネットワーク１５ｂを介して、第２の監視対象ネットワーク１０ｂと相互に通信可能に接続される。これらの監視対象ネットワークは、個別のユーザの所有、もしくは異なる管理下になるものであり、例えば、企業のイントラネットでも良いし、通信業者が提供する公衆ネットワークでも良い。

本発明の実施の形態において、第１の監視対象ネットワーク１０ａおよび第２の監視対象ネットワーク１０ｂを特に区別しない場合、単に監視対象ネットワーク１０と記載する場合がある。また、第１の端末２１ａ、第２の端末２１ｂ、第３の端末２１ｃおよび第４の端末２１ｄを特に区別しない場合、単に端末２１と記載する場合がある。第1の暗号化ネットワーク１５ａおよび第２の暗号化ネットワーク１５ｂを特に区別しない場合、単に暗号化ネットワーク１５と記載する場合がある。

暗号化ネットワーク１５は、例えばＶＰＮなどの既存の仮想専用線技術を用いて確保されたセキュアの通信路である。より具体的には暗号化ネットワーク１５は、例えば、ＩＰＳｅｃのような暗号通信のためのプロトコルを用いることができる。本発明の実施の形態に係る監視システム３において、監視対象ネットワーク１０と監視装置１とを、暗号化ネットワーク１５で接続する。これにより、監視装置１を、監視対象ネットワーク１０の外側に設置し、監視装置１が、複数の監視対象ネットワーク１０を監視すること実現している。

なお本発明の実施の形態において、暗号化ネットワーク１５では、データ通信の実データを送信することなく、データのヘッダ部分に関するトラフィックデータのみを送信する。従って暗号化ネットワーク１５は、実データを含まないトラフィックデータの送信に適した程度のセキュリティが確保されていれば良い。

本発明の実施の形態に係る監視システム３において、監視装置１は、監視対象ネットワーク１０に属する監視対象機器１１のトラフィックデータを処理する。監視装置１は、いわゆるネットワーククラウド上のサーバで実装され、複数の監視対象ネットワーク１０内のそれぞれ複数の監視対象機器１１のトラフィックデータを収集し、監視する。監視装置１は、物理的に単一のサーバも良いし、またクラウド内で物理的には複数の装置が仮想的に構成されたサーバであっても良い。監視装置１は、このようなサーバ上に、所定の処理を実行するためのソフトウェアプログラムがインストールされることにより実現されている。

監視制御装置２は、監視システム３における監視対象ネットワーク１０の監視サービスを提供する事業者が管理する装置である。監視制御装置２は、監視装置１の各種設定や異常時の対応などの指示を入力したり、監視装置１の稼働状況の表示などの管理に関する情報を表示したりする。また、監視制御装置２は、新たに監視対象ネットワーク１０や監視対象機器１１が追加される場合、その情報を、監視装置１に入力する。監視装置１は入力された情報に基づいて、データを更新したりエージェントを増やしたりする。このように、監視制御装置２は、監視装置１に対する人手によるデータの入出力を担い、ＧＵＩにより監視装置１の設定管理を容易に実現することができる。

監視対象ネットワーク１０は、端末２１に通信ネットワークサービスを提供するとともに、トラフィックデータを送信することによって、監視装置１に監視される。

第１の監視対象ネットワーク１０ａは、第１の監視対象機器１１ａおよび第１の中継装置１４ａを備える。第１の監視対象ネットワーク１０ａは、ほかに複数の監視対象機器を備えても良い。第１の監視対象機器１１ａやこれらの監視対象機器は、監視装置１によるトラフィックの監視対象の装置であって、例えば、ルータである。第１の監視対象ネットワーク１０ａの第１の監視対象機器１１ａおよびこれらの監視対象機器は、それぞれ、監視装置１と送受信する際、アドレス“ＮＷＤ＿１１”、“ＮＷＤ＿１２”および“ＮＷＤ＿１３”を用いる。アドレス“ＮＷＤ＿１１”、“ＮＷＤ＿１２”および“ＮＷＤ＿１３”は、第１の監視対象ネットワーク１０ａ内で一意に識別されるアドレスである。

第１の中継装置１４ａは、第１の監視対象機器１１ａおよびこれらの監視対象機器が、それぞれトラフィックデータを監視装置１に送信する際に、トラフィックデータを中継する装置である。第１の中継装置１４ａは、各監視対象機器から監視装置１宛のトラフィックデータを受信すると、所定のアルゴリズムで暗号化して第1の暗号化ネットワーク１５ａにデータを送出する。また第１の中継装置１４ａは、監視装置１から、第１の監視対象ネットワーク１０ａの各監視対象機器宛のデータを受信すると、所定のアルゴリズムで復号化して各監視対象機器に送信する。

第２の監視対象ネットワーク１０ｂの各装置も、第１の監視対象ネットワーク１０ａの各装置と同様の構成を備える。第２の監視対象ネットワーク１０ｂの第２の監視対象機器１１ｂおよびこれらの監視対象機器は、それぞれ、監視装置１と送受信する際、アドレス“ＮＷＤ＿２１”、“ＮＷＤ＿２２”および“ＮＷＤ＿２３”を用いる。アドレス“ＮＷＤ＿２１”、“ＮＷＤ＿２２”および“ＮＷＤ＿２３” は、第２の監視対象ネットワーク１０ｂ内で一意に識別されるアドレスである。

本発明の実施の形態において、第１の監視対象ネットワーク１０ａの第１の中継装置１４ａと、第２の監視対象ネットワーク１０ｂの第２の中継装置１４ｂとを区別しない場合、単に中継装置１４と記載する場合がある。また、第１の監視対象機器１１ａ、第２の監視対象機器１１ｂおよびそのほかの監視対象機器を特に区別しない場合、単に監視対象機器１１と記載する場合がある。

なお、各監視対象機器１１は、複数のアドレスが付与されていても良い。端末２１にネットワークサービスを提供する際、各監視対象機器１１は例えば、ネットワークサービスを提供するために、表側ネットワークのためのグローバルアドレスを用いる。監視装置１にトラフィックデータなどを送信する際、監視対象機器１１は例えば、裏側ネットワークのためのプライベートアドレスを用いる。

本発明の実施の形態において、監視対象機器１１側からみた監視対象機器１１のアドレスは、少なくとも各監視対象ネットワーク１０内では一意に識別できる場合を想定する。本発明の実施の形態に係る監視システム３は、所定のひとつの監視対象ネットワーク１０内で一意に識別されたアドレスであって、複数の監視対象ネットワーク１０内では、重複するアドレスであっても、対応することができる。

中継装置１４は、監視対象ネットワーク１０内の各ノードから、各ノードのトラフィックデータを収集する。トラフィックデータは例えば、（１）各監視対象機器１１を通過するパケットの個数、（２）送信元アドレス毎もしくは宛先アドレス毎のパケットの個数等の統計情報、（３）すべてのパケットのヘッダ情報の一部もしくは全部、および（４）各監視対象機器１１を通過するパケットのうち、一部サンプリングされたパケットのヘッダ情報の一部もしくは全部、のうちいずれかひとつ以上である。

このトラフィックデータの収集方法としては、ＮｅｔＦｌｏｗ、ｓＦｌｏｗなどの既存のネットワーク分析管理プロトコルを用いることが可能である。これらのプロトコルをサポートしている監視対象機器１１も普及している。各監視対象機器１１は、所定の手順に従って、トラフィックデータを生成し、暗号化ネットワーク１５を介して監視装置１に入力する。このとき各監視対象機器１１は、例えば、当該ノードを通過するパケットを所定のサンプリングレートによりサンプリングし、さらに、サンプリングされたパケットのうちヘッダ情報のみをトラフィックデータとして生成する。ここで中継装置１４は、パケットのヘッダ情報をそのまま、トラフィックデータとして監視装置１に入力しても良いし、ヘッダ情報を解析したり、暗号化したりして生成したトラフィックデータを、監視装置１に入力しても良い。

ここで監視対象ネットワーク１０の監視対象機器１１のサンプリングレートは、適宜適切に設定される。例えば、サンプリングレートは、監視対象機器１１を流れるトラフィック量、暗号化ネットワーク１５の容量、監視対象ネットワークの性質、ユーザからの要望等によって、トラフィック監視の品質を保つ範囲で、決定される。サンプリングレートが低い場合、急峻なトラフィックの変化に追従できず、トラフィック監視の品質が低下する。このため急峻なトラフィック変化が想定される監視対象ネットワーク１０の監視対象機器１１や、故障やハッキングなどのトラフィック異常に即時に対応する必要がある監視対象ネットワーク１０の監視対象機器１１については、サンプリングレートを高く設定する。これにより、監視品質を向上させることができる。一方、トラフィックの季節変動などの長期的なトラフィック変動の監視を目的とする場合、その監視対象ネットワーク１０のノードについて、サンプリングレートを低く設定する。これにより、長期的な変動監視を、低廉なコストで対応することができる。

端末２１は、監視対象ネットワーク１０の利用者の端末である。端末２１は、監視対象ネットワーク１０を介して監視装置１に接続される場合もあるし、監視対象ネットワーク１０とは異なる通信ネットワークを介して、監視装置１に接続される場合もある。端末２１は、監視対象ネットワークが提供する表側ネットワークのサービスを享受する。さらに端末２１は、端末２１を操作するユーザの属性によって、そのユーザにアクセス権のある監視対象ネットワーク１０のトラフィック解析データ１４４を閲覧する場合もある。例えば、第１の監視対象ネットワーク１０ａと第２の監視対象ネットワーク１０ｂとが、同一企業に管理されるネットワークであって、一方がアメリカのネットワークで、もう一方が日本のネットワークであるとする。第１の端末２１ａのユーザがアメリカおよび日本のネットワークの両方のトラフィック解析データ１４４を閲覧できる場合、監視装置１は、これらの両方のトラフィック解析データ１４４を第１の端末２１ａに提供する。また第３の端末２１ｃは、どちらか一方のトラフィック解析データ１４４のみを閲覧できる場合、監視装置１は、閲覧可能なトラフィック解析データ１４４を第３の端末２１ｃに提供する。

（監視方法）
図２および図３を参照して、本発明の実施の形態に係る監視方法を説明する。

図２において、第１の監視対象ネットワーク１０ａの第１の監視対象機器１１ａのトラフィックデータと、第２の監視対象ネットワーク１０ｂの第２の監視対象機器１１ｂのトラフィックデータとを、監視装置１に送信する場合を説明する。ここで、第１の監視対象ネットワーク１０ａの第１の監視対象機器１１ａは、監視装置１と接続する際、アドレス“ＮＷＤ＿１１”を用いる。第２の監視対象ネットワーク１０ｂの第２の監視対象機器１１ｂは、監視装置１と接続する際、アドレス“ＮＷＤ＿２１”を用いる。

また、監視装置１は、第１の処理手段１２１ａおよび第２の処理手段１２１ｂを備える。第１の処理手段１２１ａに、アドレス“ＮＷＰ＿１”が付与され、第１の処理手段１２１ａは、第１の監視対象ネットワーク１０ａのトラフィックデータを処理する。第２の処理手段１２１ｂに、アドレス“ＮＷＰ＿２”が付与され、第２の処理手段１２１ｂは、第２の監視対象ネットワーク１０ｂのトラフィックデータを処理する。

まずステップＳ１０１において第１の監視対象機器１１ａは、トラフィックデータを第１の中継装置１４ａに送信する。このとき、トラフィックデータの送信元アドレスは、“ＮＷＤ＿１１”で、宛先アドレスは、 “ＮＷＰ＿１”である。このトラフィックデータは、第１の監視対象機器１１ａのトラフィックのヘッダ部のデータや、このヘッダ部をサンプリングしたり解析したりして得られたデータである。

第１の監視対象ネットワーク１０ａの第１の中継装置１４ａが、第１の監視対象機器１１ａからトラフィックデータを受信すると、ステップＳ１０２において第１の中継装置１４ａは、受信したトラフィックデータを暗号化する。ステップＳ１０３において第１の中継装置１４ａは、暗号化したトラフィックデータを、第1の暗号化ネットワーク１５ａを介して、監視装置１に送信する。

監視装置１は、第１の監視対象ネットワーク１０ａから暗号化済みトラフィックデータを受信すると、ステップＳ１０４において送受信手段１００が、そのデータを復号化する。さらにステップＳ１０５において送受信手段１００は、受信したデータの宛先アドレス“ＮＷＰ＿１”に対応する第１の処理手段１２１ａに、復号化したデータを入力する。

第１の処理手段１２１ａは、復号化されたデータを受信すると、ステップＳ１０６においてそのデータを、トラフィック蓄積データ１４３に記憶する。第１の処理手段１２１ａは、第１の監視対象ネットワーク１０ａの識別子と、第１の監視対象機器１１ａのアドレス“ＮＷＤ＿１１”と、受信したトラフィックデータとを対応づけて、トラフィック蓄積データ１４３に記憶する。

またステップＳ１０７において第２の監視対象機器１１ｂは、トラフィックデータを第２の中継装置１４ｂに送信する。このとき、トラフィックデータの送信元アドレスは、“ＮＷＤ＿２１”で、宛先アドレスは、 “ＮＷＰ＿２”である。このトラフィックデータは、第２の監視対象機器１１ｂのトラフィックのヘッダ部のデータや、このヘッダ部をサンプリングしたり解析したりして得られたデータである。

第２の監視対象ネットワーク１０ｂの第２の中継装置１４ｂが、第２の監視対象機器１１ｂからトラフィックデータを受信すると、ステップＳ１０８において第２の中継装置１４ｂは、受信したトラフィックデータを暗号化する。ステップＳ１０９において第２の中継装置１４ｂは、暗号化したトラフィックデータを、第２の暗号化ネットワーク１５ｂを介して、監視装置１に送信する。

監視装置１は、第２の監視対象ネットワーク１０ｂから暗号化済みトラフィックデータを受信すると、ステップＳ１１０において送受信手段１００が、そのデータを復号化する。さらにステップＳ１１１において送受信手段１００は、受信したデータの宛先アドレス“ＮＷＰ＿２”に対応する第２の処理手段１２１ｂに、復号化したデータを入力する。

第２の処理手段１２１ｂは、復号化されたデータを受信すると、そのデータを、トラフィック蓄積データ１４３に記憶する。第２の処理手段１２１ｂは、第２の監視対象ネットワーク１０ｂの識別子と、第２の監視対象機器１１ｂのアドレス“ＮＷＤ＿２１”と、受信したトラフィックデータとを対応づけて、トラフィック蓄積データ１４３に記憶する。

図３を参照して、監視装置１が、第１の監視対象機器１１ａおよび第２の監視対象機器１１ｂにそれぞれ下りデータを送信する場合を説明する。図３に示す例において、監視装置１の送受信手段１００は、第1の送信手段１０２ａと、第２の送信手段１０２ｂとを備える。第1の送信手段１０２ａは、第１の監視対象ネットワーク１０ａに送信するためのアドレス“ＲＤ＿１”が付与される。第２の送信手段１０２ｂは、第２の監視対象ネットワーク１０ｂに送信するためのアドレス“ＲＤ＿２”が付与される。下りデータは例えば、監視対象機器１１におけるサンプリングレートやヘッダの解析方法などの情報である。

まず、第１の処理手段１２１ａは、第１の監視対象ネットワーク１０ａの第１の監視対象機器１１ａに下りデータを送信する際、ステップＳ２０１において、宛先アドレスとして“ＮＷＤ＿１１”を指定して、第1の送信手段１０２ａに入力する。ステップＳ２０２において第1の送信手段１０２ａは、入力された下りデータを暗号化して、ステップＳ２０３において第1の暗号化ネットワーク１５ａを介して、第１の中継装置１４ａに送信する。

第１の中継装置１４ａは、監視装置１から暗号化済み下りデータを受信すると、ステップＳ２０４においてそのデータを復号化する。さらにステップＳ２０５において第１の中継装置１４ａは、復号化した下りデータを、宛先アドレス“ＮＷＤ＿１１”に対応する第１の監視対象機器１１ａに入力する。第１の監視対象機器１１ａは、受信した下りデータに基づいて、サンプリングレートの変更などの処理をする。

また、第２の処理手段１２１ｂは、第２の監視対象ネットワーク１０ｂの第２の監視対象機器１１ｂに下りデータを送信する際、ステップＳ２０６において、宛先アドレスとして“ＮＷＤ＿２１”を指定して、第２の送信手段１０２ｂに入力する。ステップＳ２０７において第２の送信手段１０２ｂは、入力された下りデータを暗号化して、ステップＳ２０８において第２の暗号化ネットワーク１５ｂを介して、第２の中継装置１４ｂに送信する。

第２の中継装置１４ｂは、監視装置１から暗号化済み下りデータを受信すると、ステップＳ２０９においてそのデータを復号化する。さらにステップＳ２１０において第２の中継装置１４ｂは、復号化した下りデータを、宛先アドレス“ＮＷＤ＿２１”に対応する第２の監視対象機器１１ｂに入力する。第２の監視対象機器１１ｂは、受信した下りデータに基づいて、サンプリングレートの変更などの処理をする。

なお図２および図３においては、監視装置１からみた監視対象機器１１のアドレスが重複する場合、具体的には、“ＮＷＤ＿１１”と“ＮＷＤ＿２１”が同一の場合にも対応可能な実装例である。図２に示す例では、各監視対象機器１１が、当該監視対象機器１１が属する監視対象ネットワーク１０を処理する処理手段に付与されたアドレスを宛先として指定する。また図３に示す例では、送受信手段１００が、監視対象ネットワーク１０ごとの送信手段を有し、各処理手段が、所定の送信手段に下りデータを入力する。本発明の実施の形態は、監視対象機器１１のアドレスの重複を解決し、監視対象ネットワーク１０ごとにトラフィックデータの収集することができる。

（監視装置）
図４を参照して、本発明の実施の形態に係る監視装置１を説明する。監視装置１は、中央処理制御装置１２０、記憶装置１４０および送受信手段１００を備えた一般的なコンピュータである。送受信手段１００は、通信インタフェースなどの送受信装置をそれぞれ仮想化した手段であっても良い。

記憶装置１４０は、監視プログラムを記憶するとともに、監視対象データ１４１、処理アドレスデータ１４２、トラフィック蓄積データ１４３、トラフィック解析データおよびアクセス権データ１４５を記憶する。

監視対象データ１４１は、監視対象ネットワーク１０の識別子と、当該監視対象ネットワーク１０に属する監視対象機器１１の識別子とを対応づけたデータである。監視対象データ１４１は、図５に示すように、監視対象ネットワークＩＤ“ＮＷ＿１”と、このネットワークに属する監視対象機器ＩＤ“ＮＷＤ＿１１”とを対応づけて記憶する。図５に示す例において、監視対象ネットワークＩＤ”ＮＷ＿１“は、図１に示す第１の監視対象ネットワークＩＤの識別子であり、監視対象機器ＩＤ“ＮＷＤ＿１１”は、図１に示す第１の監視対象機器１１ａのアドレスである。

処理アドレスデータ１４２は、監視装置１が、各監視対象ネットワーク１０とデータを送受信するときに参照するデータである。処理アドレスデータ１４２は、監視対象ネットワーク１０の識別子をキーに、上りデータを処理するときに用いるアドレスと、下りデータを処理するときに用いるアドレスとを対応づける。

ここで、上りデータを処理するときに用いる上り処理アドレスは、監視対象機器１１から送信されたトラフィックデータの宛先アドレスである。この上りアドレスは、当該監視対象機器１１が属する監視対象ネットワーク１０のトラフィックデータを処理する処理手段に割り当てられたアドレスである。この上り処理アドレスを、対応する監視対象ネットワーク１０の監視対象機器１１も保持する。具体的には、第１の監視対象ネットワーク１０ａの第１の監視対象機器１１ａのトラフィックは第１の処理手段１２１ａが処理する。そこで、第１の監視対象ネットワーク“ＮＷ＿１”に、第１の処理手段１２１ａのアドレス“ＮＷＰ＿１”が対応づけられている。また第１の監視対象機器１１ａは、第１の処理手段１２１ａのアドレス“ＮＷＰ＿１”を予め保持し、このアドレスを使って第１の処理手段１２１ａにトラフィックデータを送信する。

下りデータを処理するときに用いる下り処理アドレスは、監視対象ネットワーク１０の識別子と、当該監視対象ネットワーク１０に送信する際に用いる送受信手段１００のアドレスである。具体的には、第１の監視対象ネットワーク１０ａの第１の監視対象機器１１ａに下りデータを送信する際、第１の処理手段１２１ａは、送受信手段１００の第1の送信手段１０２ａに下りデータを入力する。そこで、第１の監視対象ネットワーク“ＮＷ＿１”に、第1の送信手段１０２ａのアドレス“ＲＤ＿１”が対応づけられている。

トラフィック蓄積データ１４３は、監視対象機器１１から受信したトラフィックデータを、監視対象機器１１の識別子と、この監視対象機器１１の属する監視対象ネットワーク１０の識別子とを対応づけたデータである。トラフィック蓄積データ１４３は、図７に示すように、監視対象ネットワークＩＤ“ＮＷ＿１”と、監視対象機器ＩＤ“ＮＷＥ＿１２”と、この監視対象機器１１から受信したトラフィックデータとを対応づけて記憶する。監視対象ネットワークＩＤ“ＮＷ＿１”は、図１に示す第１の監視対象ネットワーク１０ａの識別子である。監視対象機器ＩＤ“ＮＷＤ＿１１”は、図１に示す第１の監視対象ネットワーク１０ａに属する監視対象機器１１のアドレスである。トラフィック蓄積データ１４３は、各レコードを識別するためにさらに、トラフィックデータの受信時刻を対応づけても良い。

トラフィック解析データ１４４は、トラフィック蓄積データ１４３に蓄積されたトラフィックデータを、監視対象ネットワーク１０ごとに解析したデータである。従ってトラフィック解析データ１４４は、監視対象ネットワーク１０の識別子と、この監視対象ネットワーク１０の解析データとを対応づける。解析データは、この監視対象ネットワーク１０に属する監視対象機器１１のトラフィックデータから生成される。

アクセス権データ１４５は、トラフィック解析データ１４４の参照の問い合わせを受けた際、問い合わせしたユーザのアクセス権に基づいて参照可能なトラフィック解析データ１４４を出力するために参照される。アクセス権データ１４５は、図８に示すように、ユーザＩＤと、このユーザが参照可能なネットワークＩＤとを対応づけたデータである。ここでネットワークＩＤは、監視対象ネットワーク１０の識別子である。図８に示す例において、ユーザＩＤ“ＵＩＤ＿００１“のユーザは、第１の監視対象ネットワーク１０ａに関するトラフィック解析データ１４４のみを参照可能であることを示す。ユーザＩＤ“ＵＩＤ＿００３“のユーザは、第１の監視対象ネットワーク１０ａおよび第２の監視対象ネットワーク１０ｂに関するトラフィック解析データ１４４を参照可能であることを示す。

送受信手段１００は、監視対象ネットワーク１０からの接続を受け付けて処理手段１２１に入力するとともに、処理手段１２１の処理結果を返す。送受信手段１００は、受信手段１０１、第1の送信手段１０２ａ、第２の送信手段１０２ｂ、・・・・第ｎの送信手段１０２ｎを備える。

受信手段１０１は、監視対象ネットワーク１０から受信したデータを、その宛先に従って、処理手段１２１に入力する。具体的には、第1の暗号化ネットワーク１５ａを介して、第１の監視対象ネットワーク１０ａの監視対象機器１１から受信したトラフィックデータの宛先は、第１の処理手段１２１ａであるので、受信したトラフィックデータを第１の処理手段１２１ａに入力する。同様に、受信手段１０１は、受信したトラフィックデータの宛先に応じて、第１の処理手段１２１ａ、第２の処理手段１２１ｂ、…第ｎの処理手段１２１ｎのいずれかに入力する。

ここで受信手段１０１は、各監視対象ネットワーク１０から暗号化されたトラフィックデータが送信された場合、復号化して処理手段に入力する。

第1の送信手段１０２ａは、中央処理制御装置１２０から入力されたデータを、第1の暗号化ネットワーク１５ａを介して、第１の監視対象ネットワーク１０ａに送信する。第1の送信手段１０２ａが送信するデータの宛先は、第１の監視対象ネットワーク１０ａに属するいずれかの監視対象機器１１のアドレスが設定される。監視対象ネットワーク１０は、第１の処理手段１２１ａ、第1の送信手段１０２ａおよび第1の暗号化ネットワーク１５ａを介して受信したデータを、その宛先に従って監視対象機器１１に送信する。図６に示す処理アドレスデータ１４２において、第1の送信手段１０２ａは、アドレス“ＲＤ＿１”が対応づけられる。

第２の送信手段１０２ｂ、およびその他の送信手段も同様である。

ここで、送受信手段１００の受信手段１０１、第1の送信手段１０２ａ、第２の送信手段１０２ｂ、…第ｎの送信手段１０２ｎの各処理は、物理的に個別の手段でなくとも良く、論理的に設定されるものでもかまわない。例えば、仮想化技術により実現しても良いし、各手段の処理を、一つの送受信装置を時間的に振り分けることにより実現しても良い。

また送受信手段１００は、各監視対象ネットワーク１０から暗号化されたデータが送信された場合、復号化して処理手段１２１に入力する。また送受信手段１００は、必要に応じて、処理手段１２１が出力したデータを暗号化して、各監視対象ネットワーク１０に送信する。

制御装置インタフェース１５０は、監視装置１が監視制御装置２と通信するためのインタフェースである。制御装置インタフェース１５０は、監視制御装置２から入力された情報を、中央処理制御装置１２０に入力する。

解析提供インタフェース１６０は、監視装置１が端末２１と通信するためのインタフェースである。ここで、端末２１は、解析提供インタフェース１６０を介して、端末２１を利用しているユーザが閲覧可能な監視対象ネットワーク１０のトラフィック解析データ１４４を参照することができる。ここで、監視装置１は、端末２１がアクセス可能なポータルサイトを提供して、ユーザにポータルサイトを介してログインさせて、ユーザのアクセス権に応じたトラフィック解析データ１４４を提供しも良い。

中央処理制御装置１２０は、処理手段１２１、解析手段１２２および解析提供手段１２３を備える。

処理手段１２１は、監視対象ネットワーク１０に属する監視対象機器１１からトラフィックデータを受信し、当該監視対象ネットワーク１０の識別子と、監視対象機器１１のアドレスと、受信したトラフィックデータとを対応づけてトラフィック蓄積データ１４３に記憶する。ここで、本発明の実施の形態において処理手段１２１は、監視対象機器１１からトラフィックデータを受信すると、監視対象データ１４１を読み出して、送信元の監視対象機器１１の識別子に対応する監視対象ネットワーク１０の識別子を抽出する。処理手段１２１は、当該監視対象ネットワーク１０の識別子と、送信元の監視対象機器１１のアドレスと、受信したトラフィックデータとを対応づけてトラフィック蓄積データ１４３に記憶する。この方法は、他の監視対象機器１１とアドレスに重複がない監視対象機器１１からトラフィックデータを受信した場合に好適である。

本発明の実施の形態において処理手段１２１は、監視対象ネットワーク１０ごとにエージェントを備え、各エージェントには、対応する監視対象ネットワーク１０から送信されるトラフィックデータの宛先となるアドレスが付与される。ここで、各エージェントに付与されるアドレスは、ＩＰアドレスでも良いし、ＩＰアドレスとポート番号の組み合わせであっても良い。監視対象機器１１がトラフィックデータを送信する際の宛先を一意に識別できれば良い。

具体的には、処理手段１２１は、第１の処理手段１２１ａ、第２の処理手段１２１ｂ、…第ｎの処理手段１２１ｎなどの複数のエージェントを有する。ここで、処理手段１２１の第１の処理手段１２１ａ、第２の処理手段１２１ｂ、…第ｎの処理手段１２１ｎの各処理は、物理的に個別の手段でなくとも良く、論理的に設定されるものでもかまわない。例えば、各手段の処理を、時間的に振り分けて実行することにより実現しても良い。

第１の処理手段１２１ａは、第１の監視対象ネットワーク１０ａに属する監視対象機器１１のトラフィックデータを受信する。本発明の実施の形態において、第１の処理手段１２１ａには、アドレス“ＮＷＰ＿１”が付与される。第１の監視対象ネットワーク１０ａに属する監視対象機器１１は、アドレス“ＮＷＰ＿１”宛に、トラフィックデータを送信することにより、第１の処理手段１２１ａは、第１の監視対象ネットワーク１０ａの監視対象機器１１が送信したトラフィックデータを受信する。第１の処理手段１２１ａは、このように受信したトラフィックデータを、第１の監視対象ネットワーク１０ａの識別子と、送信元の監視対象機器１１の識別子と、受信したトラフィックデータとを対応づけて、トラフィック蓄積データ１４３に記憶する。ここで送信元の第１の監視対象機器１１ａの識別子は、第１の監視対象ネットワーク１０ａ内で一意に識別可能なプライベートアドレスでも良い。第１の処理手段１２１ａが、このようなプライベートアドレスに、第１の監視対象ネットワーク１０ａの識別子を対応づけることにより、監視装置１のすべての監視対象機器１１から一意に識別することができる。

第２の処理手段１２１ｂは、第２の監視対象ネットワーク１０ｂに属する監視対象機器のトラフィックデータを受信する。本発明の実施の形態において、第２の処理手段１２１ｂには、アドレス“ＮＷＰ＿２”が付与される。第２の監視対象ネットワーク１０ｂに属する監視対象機器１１は、アドレス“ＮＷＰ＿２”宛に、トラフィックデータを送信することにより、第２の処理手段１２１ｂは、第２の監視対象ネットワーク１０ｂの監視対象機器１１が送信したトラフィックデータを受信する。第２の処理手段１２１ｂは、このように受信したトラフィックデータを、第２の監視対象ネットワーク１０ｂの識別子と、送信元の監視対象機器１１の識別子と、受信したトラフィックデータとを対応づけて、トラフィック蓄積データ１４３に記憶する。ここで送信元の監視対象機器１１の識別子は、第２の監視対象ネットワーク１０ｂ内で一意に識別可能なプライベートアドレスでも良い。第２の処理手段１２１ｂが、このようなプライベートアドレスに、第２の監視対象ネットワーク１０ｂの識別子を対応づけることにより、監視装置１のすべての監視対象機器１１から一意に識別することができる。

例えば図１に示す例において、第１の監視対象ネットワーク１０ａの第１の監視対象機器１１ａは、アドレス“ＮＷＤ＿１１”が付与され、第２の監視対象ネットワーク１０ｂの第２の監視対象機器１１ｂは、アドレス“ＮＷＤ＿２１”が付与される。ここで、アドレス“ＮＷＤ＿１１”と“ＮＷＤ＿２１”とが同一の場合を考える。監視装置１は、このような監視対象機器１１からトラフィックデータを受信したとしても、その送信元アドレスが同一の場合、いずれの監視対象機器から受信したのか判別できない。

そこで第１の監視対象ネットワーク１０ａに属する第１の監視対象機器１１ａが、第１の処理手段１２１ａ宛にトラフィックデータを送信する。これにより監視装置１は、第１の処理手段１２１ａがそのトラフィックデータを受信し、そのトラフィックデータの送信元を、第１の監視対象ネットワーク１０ａに属する第１の監視対象機器１１ａと把握することができる。第２の監視対象ネットワーク１０ｂに属する第２の監視対象機器１１ｂについても同様である。第２の監視対象ネットワーク１０ａに属する第２の監視対象機器１１ｂが、第２の処理手段１２１ｂ宛にトラフィックデータを送信する。これにより監視装置１は、第２の処理手段１２１ｂが受信したトラフィックデータの送信元を、第２の監視対象ネットワーク１０ｂに属する第２の監視対象機器１１ｂと把握することができる。

またさらに、処理手段１２１が、監視対象機器１１の属する監視対象ネットワーク１０の識別子と、トラフィックデータの送信元の監視対象機器１１のアドレスとを対応づけて、トラフィック蓄積データに記憶する。これにより、監視対象機器１１のアドレスが重複している場合でも、トラフィック蓄積データ１４３内で、どの監視対象機器１１が出力したトラフィックデータかを一意に識別することができる。

このように、処理手段１２１が、複数のエージェントを備えて処理する方法は、他の監視対象機器１１とアドレスが重複する監視対象機器１１からトラフィックデータを受信する場合に好適である。また他の実施例として、他の監視対象機器１１とアドレス重複の有無にかかわらず、処理手段１２１が、複数のエージェントを備えて処理する方法を適用しても良い。

処理手段１２１が、監視対象機器１１宛にデータを送信する際、第１の処理手段１２１ａ、第２の処理手段１２１ｂ、…第ｎの処理手段１２１ｎが、各監視対象ネットワーク１０の監視対象機器１１に入力する。例えば、後述する解析手段１２２によって、監視対象ネットワーク１０になんらかの異常が生じた場合、処理手段１２１は、その監視対象ネットワーク１０の管理者にアラーム情報を送信する。また、各監視対象ネットワーク１０に属する端末２１の要求に応じて、処理手段１２１は、当該端末２１で閲覧可能なトラフィック解析データ１４４を提供する。さらに、適切なトラフィックデータを得るためのサンプリングレートの設定指示などのデータを、処理手段１２１は、監視対象ネットワーク１０の監視対象機器１１に送信する。

このような、処理手段１２１が、監視対象ネットワーク１０の監視対象機器１１にデータを送信する際、処理アドレスデータ１４２を読み出して、当該監視対象ネットワークに対応するアドレス宛にデータを送信する。具体的には、第１の処理手段１２１ａが第１の監視対象ネットワーク１０ａの第１の監視対象機器１１ａにデータを送信する場合、処理アドレスデータ１４２から、第１の監視対象ネットワーク１０ａに対応する下り処理アドレス“ＲＤ＿１”を抽出する。第１の処理手段１２１ａは、送受信手段１００のアドレス“ＲＤ＿１”に対応する送信手段、具体的には第1の送信手段１０２ａにデータを入力する。第1の送信手段１０２ａは、にデータが入力されると、第1の暗号化ネットワーク１５ａを介して、第１の監視対象ネットワーク１０ａにデータを送信する。

解析手段１２２は、処理手段１２１によって収集されたトラフィックデータを、監視対象ネットワークごとに解析し、トラフィック解析データ１４４に記憶する。解析手段１２２は、トラフィック蓄積データ１４３から、監視対象ネットワーク１０ごとにトラフィックデータを抽出し、抽出されたトラフィックデータから生成したトラフィック解析データ１４４を、監視対象ネットワーク１０の識別子に対応づけて記憶する。解析手段１２２は、トラフィック蓄積データ１４３から、第１の監視対象ネットワーク１０ａの識別子が対応づけられたトラフィックデータを抽出し、所定の手法で解析する。その結果得られるトラフィック解析データ１４４を、第１の監視対象ネットワーク１０ａの識別子と対応づけて、記憶装置１４０に記憶する。

解析手段１２２は、さまざまなタイプのトラフィック変動の分析を行うことで、新たなネットワーク設計の基礎データとして用いることを可能とする。また、解析手段１２２は、トラフィック異常時のデータの蓄積とパターンの解析によって、故障やハッキングのタイプに応じたトラフィックパターンを得ることも可能とする。このように出力されるトラフィック解析データ１４４は、たとえば、需要変動予測にも用いるなど、幅広い応用が期待できる。

解析提供手段１２３は、ユーザの識別子とともに解析データの参照要求が入力されると、アクセス権データ１４５に基づいて、入力されたユーザの識別子に対応する監視対象ネットワーク１０の識別子に対応づけられたトラフィック解析データ１４４を出力する。図８に示す例において、ユーザＩＤ“ＵＩＤ＿００１“のユーザから参照要求があると、解析提供手段１２３は、第１の監視対象ネットワーク１０ａに関するトラフィック解析データ１４４のみを提供する。ユーザＩＤ“ＵＩＤ＿００３“のユーザから参照要求があると、解析提供手段１２３は、第１の監視対象ネットワーク１０ａおよび第２の監視対象ネットワーク１０ｂに関するトラフィック解析データ１４４を提供する。

このような本発明の実施の形態に係る監視システム３は、ネットワーク上のサーバ上にある監視装置１において、複数の監視対象ネットワーク１０内のそれぞれ複数の監視対象機器１１のトラフィック情報を収集する。さらに監視システム３は、監視対象ネットワーク１０の単位で、所定の監視対象ネットワーク１０に属する複数の監視対象機器１１のトラフィックを収集して解析することで、この監視対象ネットワーク１０を監視する。

このような本発明の実施の形態に係る監視システム３は、複数の監視対象ネットワーク１０を、ひとつの監視装置１が監視することができる。従来のように、個々の監視対象ネットワーク１０にひとつの監視装置が必要であった場合に比べ、監視対象ネットワーク１０のユーザにとっては、従来に比べ導入コストを軽減することができる。また、本発明の実施の形態に係る監視システム３は、従来の監視装置のためのハードウェアおよびソフトウェアを容易する必要もなく維持管理コストも、軽減することができる。

また監視対象ネットワーク１０の監視対象機器１１は、ユーザの通信内容にかかわるような実データを含まずにヘッダ情報およびヘッダの解析情報のみを送付する。これにより、監視対象ネットワーク１０および監視装置１間のセキュリティを、相対的に安価なセキュリティシステムで実現することで、監視対象ネットワーク１０外の監視装置１にトラフィックデータを送信することができる。これにより、ユーザが必要とするセキュリティを確保しつつ、事業者は安価にサービスを提供することができる。

また、監視装置１を提供する事業者にとっては、複数の監視対象ネットワーク１０を１箇所で集中して監視することができるので、その運用コストおよび保守コストが大幅に軽減することが期待できる。また、複数のネットワークからトラフィックデータを集約して収集することにより、監視装置１は、膨大な通信トラフィックデータを容易に解析することができる。これにより、新たなネットワーク設計の基礎データに資することが可能となる。

このように本発明の実施の形態に係る監視システム３は、監視対象ネットワーク１０のユーザおよびサービス提供者双方にとって、従来技術では得られない、大きな効果が期待できる。

（変形例）
本発明の実施の形態においては、各監視対象ネットワーク１０の監視対象機器１１のアドレスがプライベートアドレス空間で、監視対象ネットワーク１０を越えて重複する可能性がある場合を説明した。一方変形例においては、監視対象機器１１のアドレスが重複しない場合を説明する。

本発明の変形例において、図１に示す例のアドレス“ＮＷＤ＿１１”、“ＮＷＤ＿１２”、“ＮＷＤ＿１３”、“ＮＷＤ＿２１”、“ＮＷＤ＿２２”および“ＮＷＤ＿２３”がすべて異なる場合を想定する。また、本発明の変形例において、図４に示すような、送受信手段１００が複数の仮想化手段を備える必要もなく、処理手段１２１も複数のエージェントを備える必要がない。変形例において、監視装置１に一つのアドレスが付与されていれば良い。

監視対象ネットワーク１０の監視対象機器１１は、監視装置１のアドレスを宛先アドレスに設定して、トラフィックデータを送信する。監視装置１の処理手段１２１は、監視対象機器１１からトラフィックデータを受信すると、監視対象データ１４１を読み出して、送信元の監視対象機器１１の識別子に対応する監視対象ネットワーク１０の識別子を抽出する。さらに処理手段１２１は、当該監視対象ネットワーク１０の識別子と、監視対象機器のアドレスと、受信したトラフィックデータとを対応づけてトラフィック蓄積データ１４３に記憶する。

また監視装置１が監視対象機器１１にデータを送信する際、送受信手段１００を介して、その監視対象機器１１のアドレス宛にデータを送信すればよい。

ほかの実施例として、監視装置１と監視対象ネットワーク１０とがＶＰＮで接続されている場合、処理手段１２１は、そのデータが送信されたＶＰＮの識別子によって、送信元の監視対象ネットワーク１０を特定しても良い。具体的には、処理手段１２１は、第1の暗号化ネットワーク１５ａを介してトラフィックデータを受信すると、その送信元の監視対象機器１１は、第１の監視対象ネットワーク１０ａに属すると把握することができる。また、監視装置１が監視対象機器１１にデータを送信する際、送受信手段１００を介して、その監視対象機器１１のアドレス宛にデータを送信すれば良い。

（その他の実施の形態）
上記のように、本発明の実施の形態によって記載したが、この開示の一部をなす論述および図面はこの発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施の形態、実施例および運用技術が明らかとなる。

例えば、本発明の実施の形態に記載したサービス制御装置は、図３に示すように一つのハードウェア上に構成されても良いし、その機能や処理数に応じて複数のハードウェア上に構成されても良い。

本発明はここでは記載していない様々な実施の形態などを含むことは勿論である。従って、本発明の技術的範囲は上記の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。

１ 監視装置
２ 監視制御装置
３ 監視システム
１０ 監視対象ネットワーク
１１ 監視対象機器
１４ 中継装置
１５ 暗号化ネットワーク
２１ 端末
１００ 送受信手段
１０１ 受信手段
１０２ 送信手段
１２０ 中央処理制御装置
１２１ 処理手段
１２２ 解析手段
１２３ 解析提供手段
１４０ 記憶装置
１４１ 監視対象データ
１４２ 処理アドレスデータ
１４３ トラフィック蓄積データ
１４４ トラフィック解析データ
１４５ アクセス権データ

Claims (11)

1. 監視対象ネットワークに属する監視対象機器のトラフィックデータを処理する監視装置であって、
   ユーザの識別子と、当該ユーザがトラフィック解析データを参照可能な監視対象ネットワークの識別子とを対応づけたアクセス権データを記憶する記憶装置と、
   監視対象ネットワークに属する監視対象機器からトラフィックデータを受信し、当該監視対象ネットワークの識別子と、受信したトラフィックデータとを対応づけてトラフィック蓄積データに記憶する処理手段と、
   前記トラフィック蓄積データから、前記監視対象ネットワークごとに前記トラフィックデータを抽出し、抽出されたトラフィックデータから生成したトラフィック解析データを、当該監視対象ネットワークの識別子に対応づけて記憶する解析手段と、
   ユーザの識別子とともに解析データの参照要求が入力されると、前記アクセス権データに基づいて、入力されたユーザの識別子に対応する監視対象ネットワークの識別子に対応づけられたトラフィック解析データを出力する解析提供手段
   とを備えることを特徴とする監視装置。
2. 前記処理手段は、監視対象ネットワークごとにエージェントを備え、
   各エージェントには、対応する監視対象ネットワークから送信されるトラフィックデータの宛先となるアドレスが付与される
   ことを特徴とする請求項１に記載の監視装置。
3. 前記記憶装置は、監視対象ネットワークの識別子と、当該監視対象ネットワークに送信する際に用いるアドレスとを対応づけた処理アドレスデータを記憶し、
   前記処理手段は、前記監視対象ネットワークの前記監視対象機器にデータを送信する際、前記処理アドレスデータを読み出して、当該監視対象ネットワークに対応するアドレス宛にデータを送信する
   ことを特徴とする請求項１または２に記載の監視装置。
4. 前記記憶装置はさらに、前記監視対象ネットワークの識別子と、当該監視対象ネットワークに属する監視対象機器の識別子とを対応づけた監視対象データを記憶し、
   前記処理手段は、前記監視対象機器からトラフィックデータを受信すると、前記監視対象データを読み出して、送信元の監視対象機器の識別子に対応する監視対象ネットワークの識別子を抽出し、当該監視対象ネットワークの識別子と、監視対象機器のアドレスと、受信したトラフィックデータとを対応づけてトラフィック蓄積データに記憶する
   ことを特徴とする請求項１ないし３のいずれか１項に記載の監視装置。
5. 前記監視対象機器のアドレスは、プライベートアドレス空間のアドレスである
   ことを特徴とする請求項４に記載の監視装置。
6. 監視対象ネットワークに属する監視対象機器のトラフィックデータを処理する監視方法であって、
   複数の監視対象ネットワークに属する複数の監視対象機器のそれぞれが、当該監視対象機器のトラフィックデータを、監視装置に送信するステップと、
   前記監視装置が、前記トラフィックデータを受信し、トラフィックデータを送信した監視対象機器の属する監視対象ネットワークの識別子と、受信したトラフィックデータとを対応づけて、トラフィック蓄積データに記憶するステップと、
   前記監視装置が、前記トラフィック蓄積データから、前記監視対象ネットワークごとに前記トラフィックデータを抽出し、抽出されたトラフィックデータから生成したトラフィック解析データを、当該監視対象ネットワークの識別子に対応づけて記憶するステップと、
   前記監視装置が、ユーザの識別子とともに解析データの参照要求が入力されると、ユーザの識別子と、当該ユーザがトラフィック解析データを参照可能な監視対象ネットワークの識別子とを対応づけたアクセス権データに基づいて、入力されたユーザの識別子に対応する監視対象ネットワークの識別子に対応づけられたトラフィック解析データを出力するステップ
   とを備えることを特徴とする監視方法。
7. 前記監視装置は、監視対象ネットワークごとに設けられたエージェントを備え、
   各エージェントには、対応する監視対象ネットワークから送信されるトラフィックデータの宛先となるアドレスが付与され、
   前記トラフィックデータを、監視装置に送信するステップは、前記複数の監視対象機器のそれぞれが、当該監視対象機器の属する監視対象ネットワークに対応するエージェントのアドレスを宛先として、前記トラフィックデータを前記監視装置に送信する
   ことを特徴とする請求項６に記載の監視方法。
8. 前記監視対象ネットワークの前記監視対象機器にデータを送信する際、監視対象ネットワークの識別子と、当該監視対象ネットワークに送信する際に用いるアドレスとを対応づけた処理アドレスデータを読み出して、当該監視対象ネットワークに対応するアドレス宛にデータを送信するステップ
   をさらに備えることを特徴とする請求項６または７に記載の監視方法。
9. 前記トラフィック蓄積データに記憶するステップは、前記監視対象機器からトラフィックデータを受信すると、監視対象ネットワークの識別子と当該監視対象ネットワークに属する監視対象機器の識別子とを対応づけた監視対象データを読み出して、送信元の監視対象機器の識別子に対応する監視対象ネットワークの識別子を抽出し、当該監視対象ネットワークの識別子と、監視対象機器のアドレスと、受信したトラフィックデータとを対応づけてトラフィック蓄積データに記憶する
   ことを特徴とする請求項６ないし８のいずれか１項に記載の監視方法。
10. 前記監視対象機器のアドレスは、プライベートアドレス空間のアドレスである
    ことを特徴とする請求項９に記載の監視方法。
11. 監視対象ネットワークに属する監視対象機器のトラフィックデータを処理する監視プログラムであって、
    コンピュータは、
    ユーザの識別子と、当該ユーザがトラフィック解析データを参照可能な監視対象ネットワークの識別子とを対応づけたアクセス権データを記憶する記憶装置を備え、
    前記コンピュータを、
    監視対象ネットワークに属する監視対象機器からトラフィックデータを受信し、当該監視対象ネットワークの識別子と、受信したトラフィックデータとを対応づけてトラフィック蓄積データに記憶する処理手段と、
    前記トラフィック蓄積データから、前記監視対象ネットワークごとに前記トラフィックデータを抽出し、抽出されたトラフィックデータから生成したトラフィック解析データを、当該監視対象ネットワークの識別子に対応づけて記憶する解析手段と、
    ユーザの識別子とともに解析データの参照要求が入力されると、前記アクセス権データに基づいて、入力されたユーザの識別子に対応する監視対象ネットワークの識別子に対応づけられたトラフィック解析データを出力する解析提供手段
    として機能させることを特徴とする監視プログラム。

Images