JP6071809B2 - トラフィック分析システム、トラフィック分析方法およびコンピュータプログラム - Google Patents

Description

本発明は、通信のトラフィックに係る、トラフィック分析システム、トラフィック分析方法およびコンピュータプログラムに関する。

従来、トラフィック分析技術として、例えば特許文献１、２に記載の技術が知られている。特許文献１に記載の従来技術では、トラフィックを転送するルータ等の通信中継装置にトラフィック分析の一部の機能を持たせることにより、トラフィック分析装置の負荷を下げるようにしている。特許文献２に記載の従来技術では、通信中継装置がトラフィック分析装置からの指示に応じてサンプルパケットをトラフィック分析装置へ送信し、トラフィック分析装置がサンプルパケットの分析を行うことにより、通常時のトラフィック分析装置の負荷を下げるようにしている。

特開２０１１−３５９３２号公報 特開２０１０−２８３５１６号公報

しかし、上述した特許文献１に記載の従来技術では、通常のトラフィック転送処理のために複数の通信プロトコルを動作させたルータ等の通信中継装置に対して余計な処理負荷をかけることになる。特許文献２に記載の従来技術では、トラフィック分析装置がサンプルパケットを要求するタイミングの与え方が人手による場合、トラフィック分析の即時性を確保できない。また、一度に大量のサンプルパケットがトラフィック分析装置に供給されると、トラフィック分析装置が過負荷状態になる可能性がある。

本発明は、このような事情を考慮してなされたもので、トラフィック分析の対象にするトラフィックを適切に選択することができるトラフィック分析システム、トラフィック分析方法およびコンピュータプログラムを提供することを課題とする。

（１）本発明に係るトラフィック分析システムは、特定の通信装置で受信されるトラフィックの分析を行うトラフィック分析システムであり、前記特定の通信装置の代替装置と、前記トラフィックの一部である部分トラフィックを前記代替装置へ送信するスイッチと、前記代替装置を監視する装置監視部と、前記装置監視部の監視結果に基づいて、前記スイッチに対し、前記代替装置へ送信する前記部分トラフィックを変更させるスイッチ制御部と、を備え、前記装置監視部の監視結果に基づいて、前記特定の通信装置で受信されるトラフィックの中から前記分析の対象にするトラフィックを選択する、ことを特徴とする。

（２）本発明に係るトラフィック分析システムにおいては、上記（１）のトラフィック分析システムにおいて、前記スイッチ制御部は、前記スイッチに対し、所定以上の処理負荷を発生させる前記部分トラフィックの中から一部を前記代替装置へ送信させることを特徴とする。

（３）本発明に係るトラフィック分析システムにおいては、上記（１）または（２）のいずれかのトラフィック分析システムにおいて、前記代替装置は、複数の前記部分トラフィックの各々に対応して複数設けられることを特徴とする。

（４）本発明に係るトラフィック分析システムにおいては、上記（１）から（３）のいずれかのトラフィック分析システムにおいて、前記代替装置は、前記特定の通信装置の冗長装置であることを特徴とする。

（５）本発明に係るトラフィック分析システムにおいては、上記（１）から（３）のいずれかのトラフィック分析システムにおいて、前記代替装置は仮想マシンで作成されていることを特徴とする。

（６）本発明に係るトラフィック分析システムにおいては、上記（５）のトラフィック分析システムにおいて、前記部分トラフィックに対応する前記代替装置を前記仮想マシンで作成させる仮想マシン作成制御部を備えたことを特徴とする。

（７）本発明に係るトラフィック分析システムにおいては、上記（１）から（６）のいずれかのトラフィック分析システムにおいて、前記トラフィックの送信元アドレスの中から、前記部分トラフィックの送信元アドレスを分割する送信元アドレス管理部を備えたことを特徴とする。

（８）本発明に係るトラフィック分析方法は、特定の通信装置で受信されるトラフィックの分析を行うトラフィック分析方法であり、前記トラフィックの一部である部分トラフィックを前記特定の通信装置の代替装置へ送信させるスイッチステップと、前記代替装置を監視する装置監視ステップと、前記装置監視ステップの監視結果に基づいて、前記スイッチステップに対し、前記代替装置へ送信する前記部分トラフィックを変更させるスイッチ制御ステップと、前記装置監視部の監視結果に基づいて、前記特定の通信装置で受信されるトラフィックの中から前記分析の対象にするトラフィックを選択するステップと、を含むことを特徴とする。

（９）本発明に係るコンピュータプログラムは、特定の通信装置で受信されるトラフィックの一部である部分トラフィックを前記特定の通信装置の代替装置へ送信させるスイッチステップと、前記代替装置の監視結果に基づいて、前記スイッチステップに対し、前記代替装置へ送信する前記部分トラフィックを変更させるスイッチ制御ステップと、前記代替装置の監視結果に基づいて、前記特定の通信装置で受信されるトラフィックの中からトラフィック分析の対象にするトラフィックを選択するステップと、をコンピュータに実行させるためのコンピュータプログラムであることを特徴とする。

本発明によれば、トラフィック分析の対象にするトラフィックを適切に選択することができるという効果が得られる。

本発明の第１実施形態に係るトラフィック分析システム１の構成を示すブロック図である。 図１に示す経路制御ＤＢ１３０の構成例を示す図である。 図１に示す構成管理ＤＢ１５０の構成例を示す図である。 図１に示す送信元アドレスＤＢ１２０の構成例を示す図である。 本発明の第１実施形態に係るトラフィック分析処理の手順を示すシーケンスチャートである。 本発明の第１実施形態に係るトラフィック分析処理の手順を示すシーケンスチャートである。 本発明の第１実施形態に係るトラフィック分析処理の手順を示すシーケンスチャートである。 本発明の第１実施形態に係るトラフィック分析処理の手順を示すシーケンスチャートである。 本発明の第１実施形態に係るトラフィック分析処理を説明するための図である。 本発明の第１実施形態に係るトラフィック分析処理を説明するための図である。 本発明の第１実施形態に係るトラフィック分析処理を説明するための図である。 本発明の第１実施形態に係るトラフィック分析処理を説明するための図である。 本発明の第１実施形態に係るトラフィック分析処理を説明するための図である。 本発明の第１実施形態に係る送信元アドレス分割処理の説明図である。 本発明の第１実施形態に係る送信元アドレス分割処理の説明図である。 本発明の第１実施形態に係る送信元アドレス分割処理の説明図である。 本発明の第２実施形態に係るトラフィック分析システム１の構成を示すブロック図である。 本発明の第３実施形態に係るトラフィック分析システム１の構成を示すブロック図である。 本発明の第４実施形態に係るトラフィック分析システム１の構成を示すブロック図である。

以下、図面を参照し、本発明の実施形態について説明する。

［第１実施形態］
図１は、本発明の第１実施形態に係るトラフィック分析システム１の構成を示すブロック図である。図１において、制御部１０は、装置監視部１１と送信元アドレス管理部１２とスイッチ（ＳＷ）制御部１３と仮想マシン作成制御部１４と構成管理部１５を有する。送信元アドレス管理部１２は送信元アドレスデータベース（送信元アドレスＤＢ）１２０を有する。ＳＷ制御部１３は経路制御データベース（経路制御ＤＢ）１３０を有する。構成管理部１５は構成管理データベース（構成管理ＤＢ）１５０を有する。制御部１０は、単独の装置として構成されてもよく、または、制御部１０の各部１１〜１５のうちの一つまたは複数ごとに一装置として構成されてもよい。

トラフィック分析装置２０およびダミーサーバ装置３０は、中間スイッチ（中間ＳＷ）４０に接続されている。中間ＳＷ４０は、トラフィックを転送する中継装置６０に接続されている。中間ＳＷ４０は、トラフィックの転送機能およびミラーリング機能を有する。中間ＳＷ４０および中継装置６０として、例えば、レイヤ３（Ｌ３）のスイッチ（Ｌ３ＳＷ）などが挙げられる。

トラフィック分析装置２０は、中間ＳＷ４０から入力されるトラフィックを対象にしてトラフィック分析を行う。

ダミーサーバ装置３０は、仮想マシン基盤としての機能を有し、仮想マシンの作成を行う。ダミーサーバ装置３０は、事前に作成された仮想スイッチ（仮想ＳＷ）３００を有する。仮想ＳＷ３００は、トラフィックの転送機能を有する。仮想ＳＷ３００は、例えばＬ３ＳＷの機能を有する。

アプライアンス装置（ア０１、イ０１、ウ０１）５１−１、２、３およびアプライアンス装置（ア０２、イ０２、ウ０２）５２−１、２、３は、中間ＳＷ４０に接続されている。各アプライアンス装置（ア０１、イ０１、ウ０１）５１−１、２、３を特に区別しないときは、アプライアンス装置５１と称する。各アプライアンス装置（ア０２、イ０２、ウ０２）５２−１、２、３を特に区別しないときは、アプライアンス装置５２と称する。アプライアンス装置５１、５２は、通信装置である。アプライアンス装置５１、５２として、例えば、ファイアウォール装置、ＮＡＴ（Network Address Translation）装置、ＷＡＮ（Wide Area Network）高速化装置などが挙げられる。アプライアンス装置５２は、アプライアンス装置５１の冗長装置である。

制御部１０は、各装置２０、３０、４０、５１−１〜３、５２−１〜３と通信ネットワークを介してデータを送受する。

制御部１０において、装置監視部１１は、監視対象の装置の監視を行う。送信元アドレス管理部１２は、トラフィックの送信元アドレスを管理する。ＳＷ制御部１３は、中間ＳＷ４０および仮想ＳＷ３００の制御を行う。仮想マシン作成制御部１４は、ダミーサーバ装置３０に対して仮想マシンの作成の制御を行う。構成管理部１５は、中間ＳＷ４０に接続される装置構成を管理する。

図２は、経路制御ＤＢ１３０の構成例を示す図である。経路制御ＤＢ１３０は、ＳＷ制御部１３の制御対象のスイッチのノード名と、パケットの一致条件と、該一致条件を満たすパケットに対する処理内容とを組にして格納する。ＳＷ制御部１３は、経路制御ＤＢ１３０に基づいて、制御対象のスイッチを制御する。経路制御ＤＢ１３０の形式として、例えばオープンフロー（OpenFlow)が挙げられる。

図３は、構成管理ＤＢ１５０の構成例を示す図である。構成管理ＤＢ１５０は、中間ＳＷ４０のポート名と、該ポート名のポートの接続先の装置のノード名と、該接続先の装置のＩＰアドレスと、該接続先の装置の冗長装置のノード名と、該冗長装置の冗長分担とを組にして格納する。構成管理部１５は、構成管理ＤＢ１５０に基づいて、中間ＳＷ４０に接続される装置構成の情報を取得する。

図４は、送信元アドレスＤＢ１２０の構成例を示す図である。送信元アドレスＤＢ１２０は、２種類のデータベースを有する。図４（１）に示される送信元アドレスＤＢ１２０は、中継装置６０から中間ＳＷ４０に入力されるトラフィックの送信元ＩＰアドレスおよび宛先ＩＰアドレスを格納する。図４（２）に示される送信元アドレスＤＢ１２０は、図（１）に示される送信元アドレスＤＢ１２０に格納される送信元ＩＰアドレスをサブネットごとにまとめたものである。図４（２）に示される送信元アドレスＤＢ１２０は、サブネットごとの送信元ＩＰアドレスと、該サブネットに含まれる送信元ＩＰアドレスの個数と、該サブネットに含まれる送信元ＩＰアドレスのトラフィックが経由するアプライアンス装置の識別子とを組にして格納する。

次に、図５〜図１３を参照して、図１に示すトラフィック分析システム１の動作を説明する。図５〜図８は、本実施形態に係るトラフィック分析処理の手順を示すシーケンスチャートである。図９〜図１３は、本実施形態に係るトラフィック分析処理を説明するための図である。

図９には、通常時のトラフィックの流れが示されている。通常時には、トラフィックは、一方の中継装置６０から中間ＳＷ４０へ入力され、中間ＳＷ４０によってアプライアンス装置５１へ転送され、アプライアンス装置５１から中間ＳＷ４０へ転送され、中間ＳＷ４０によってもう一方の中継装置６０へ転送される。この通常時には、トラフィック分析装置２０に対して、トラフィックは入力されない。

また、通常時には、中間ＳＷ４０は、新規通過パケットのヘッダ情報を装置監視部１１へ送信する。装置監視部１１は、その新規通過パケットのヘッダ情報を送信元アドレス管理部１２へ渡す。送信元アドレス管理部１２は、その新規通過パケットのヘッダ情報に含まれるアドレス情報と、経路制御ＤＢ１３０および構成管理ＤＢ１５０の情報とに基づいて、送信元アドレスＤＢ１２０を更新する。

（ステップＳ１）アプライアンス装置５１が、装置監視部１１に対して、アラームを送信する。例えば、アプライアンス装置５１に所定以上の処理負荷が発生した時に、アラームが送信される。処理負荷としては、例えば、アプライアンス装置５１に入力されるトラフィック量、アプライアンス装置５１のＣＰＵ使用率などが挙げられる。

（ステップＳ２、Ｓ３、Ｓ４）装置監視部１１は、アプライアンス装置５１からアラームを受信すると、該アラームをＳＷ制御部１３へ伝達する。

（ステップＳ５）ＳＷ制御部１３は、装置監視部１１からアラームを受信すると、送信元アドレス管理部１２に対して、アドレス分割を依頼する。

（ステップＳ６）送信元アドレス管理部１２は、ＳＷ制御部１３からのアドレス分割の依頼に応じて、送信元アドレスの分割を行う。この送信元アドレスの分割では、送信元アドレスＤＢ１２０に格納されている送信元ＩＰアドレスのうち、アプライアンス装置５１を経由しているトラフィックの送信元ＩＰアドレスを、所定の分割数に所定の割合で分割する。その分割数および分割の割合は、任意に設定可能とする。ここでは、所定の分割数は２であり、均等に分割するとする。

（ステップＳ７、Ｓ８）送信元アドレス管理部１２は、送信元アドレスの分割結果をＳＷ制御部１３へ送信する。

（ステップＳ９、Ｓ１０）ＳＷ制御部１３は、送信元アドレス管理部１２から受信した送信元アドレスの分割結果に基づいて、中間ＳＷ４０に対し、アプライアンス装置５１を経由しているトラフィックの一部（部分トラフィック）を、アプライアンス装置５２を経由するように変更させる指示を行う。ここでは、アプライアンス装置５１を経由しているトラフィックの半分が部分トラフィックとなる。

（ステップＳ１１、Ｓ１２）中間ＳＷ４０は、ＳＷ制御部１３からの指示に従って、部分トラフィックをアプライアンス装置５２経由に変更する。これにより、図１０に示されるように、中継装置６０から中間ＳＷ４０に入力されるトラフィックのうち、半分はアプライアンス装置５１経由の経路ｒｔ１を流れ、もう半分（部分トラフィック）はアプライアンス装置５２経由の経路ｒｔ２を流れるようになる。次いで、中間ＳＷ４０は、該スイッチ制御の完了をＳＷ制御部１３へ通知する。

（ステップＳ１３、Ｓ１４）ＳＷ制御部１３は、中間ＳＷ４０の制御結果を送信元アドレス管理部１２へ通知する。

（ステップＳ１５、Ｓ１６）送信元アドレス管理部１２は、ＳＷ制御部１３から受信した中間ＳＷ４０の制御結果に基づいて、送信元アドレスＤＢ１２０を更新する。次いで、送信元アドレス管理部１２は、該更新の完了をＳＷ制御部１３へ通知する。

（ステップＳ１７）ＳＷ制御部１３は、装置監視部１１に対して、アプライアンス装置５１、５２の監視を依頼する。

（ステップＳ１８）装置監視部１１は、ＳＷ制御部１３からの依頼に応じて、アプライアンス装置５１、５２の監視を開始する。この監視では、アラームの情報に基づいて監視項目を特化させてもよい。例えば、ＣＰＵに関するアラームであればＣＰＵの監視を行う、または、トラフィックに関するアラームであればトラフィックの監視を行うなどが挙げられる。

（ステップＳ１９、Ｓ２０）アプライアンス装置５１、５２は、装置監視部１１からの監視要求に応じて、監視情報を装置監視部１１へ送信する。

（ステップＳ２１）装置監視部１１は、アプライアンス装置５１、５２から受信した監視情報に基づいて、アプライアンス装置５１、５２の処理負荷を判定する。この判定では、アプライアンス装置５１、５２の中に所定以上の処理負荷であるものがあるか否かを判定する。

ステップＳ２１の判定の結果、所定以上の処理負荷であるものがない、つまり全てのアプライアンス装置５１、５２が所定未満の処理負荷（低負荷）である場合には処理を終了する。この場合、アプライアンス装置５１へのトラフィックの集中がアラームの原因と考えられ、特にトラフィック自体に原因があるわけではないので、トラフィック分析装置２０によるトラフィック分析は実施しない。

一方、ステップＳ２１の判定の結果、アプライアンス装置５１、５２の中に所定以上の処理負荷（高負荷）であるものがある場合には、ステップＳ２２に進む。

図１１は、アプライアンス装置５１、５２の処理負荷の判定方法を説明するための図である。ここでは、処理負荷としてＣＰＵ使用率を用い、所定のＣＰＵ使用率の閾値は８０％であるとする。なお、図１１中のＣＰＵ使用率および所定のＣＰＵ使用率の閾値は説明の便宜上の値である。また、図１１にはアプライアンス装置（ア０１）５１−１とアプライアンス装置（ア０２）５２−１を例示している。

図１１（１）の例では、アプライアンス装置（ア０１）５１−１とアプライアンス装置（ア０２）５２−１の２台にトラフィックを分散させた結果、アプライアンス装置（ア０１）５１−１とアプライアンス装置（ア０２）５２−１の両方ともに、ＣＰＵ使用率は８０％未満（低負荷）となっている。このため、特にトラフィック分析は実施しない。

一方、図１１（２）、（３）の例では、アプライアンス装置（ア０１）５１−１とアプライアンス装置（ア０２）５２−１の２台にトラフィックを分散させた結果でも、アプライアンス装置（ア０１）５１−１とアプライアンス装置（ア０２）５２−１の中に、ＣＰＵ使用率が８０％以上（高負荷）のものがある。このため、高負荷のアプライアンス装置に入力されているトラフィックについては、トラフィック自体にアラームの原因がある可能性がある。

（ステップＳ２２、Ｓ２３）装置監視部１１は、アプライアンス装置５１、５２の中で高負荷のアプライアンス装置の情報（アプライアンス情報）をＳＷ制御部１３へ通知する。

（ステップＳ２４、Ｓ２５）ＳＷ制御部１３は、装置監視部１１から受信したアプライアンス情報に基づいて、中間ＳＷ４０に対し、高負荷のアプライアンス装置に入力されているトラフィックを、トラフィック分析装置２０およびダミーサーバ装置３０の両方へそれぞれミラーリングさせる指示を行う。

（ステップＳ２６、Ｓ２７）中間ＳＷ４０は、ＳＷ制御部１３からの指示に従って、高負荷のアプライアンス装置に入力されているトラフィックを、トラフィック分析装置２０およびダミーサーバ装置３０の両方へそれぞれミラーリングさせる。これにより、図１２に示されるように、中継装置６０から中間ＳＷ４０に入力されるトラフィックのうち、高負荷のアプライアンス装置に入力されているトラフィックが、経路ｃｐ１でトラフィック分析装置２０へミラーリングされ、また、経路ｃｐ２でダミーサーバ装置３０へミラーリングされる。これ以降、トラフィック分析装置２０は、中間ＳＷ４０から入力されたトラフィックを対象にしてトラフィック分析を行う。次いで、中間ＳＷ４０は、該スイッチ制御の完了をＳＷ制御部１３へ通知する。

（ステップＳ２８、Ｓ２９）ＳＷ制御部１３は、中間ＳＷ４０の制御結果を送信元アドレス管理部１２へ通知する。

（ステップＳ３０、Ｓ３１）送信元アドレス管理部１２は、ＳＷ制御部１３から受信した中間ＳＷ４０の制御結果に基づいて、送信元アドレスＤＢ１２０を更新する。次いで、送信元アドレス管理部１２は、該更新の完了をＳＷ制御部１３へ通知する。

（ステップＳ３２、Ｓ３３）ＳＷ制御部１３は、仮想マシン作成制御部１４に対して、アプライアンス装置５１、５２の仮想マシンの作成を依頼する。この作成依頼の仮想マシンは、アプライアンス装置５１、５２と同じ機能の装置パラメータを有するものである。

（ステップＳ３４、Ｓ３５）仮想マシン作成制御部１４は、ダミーサーバ装置３０に対して、アプライアンス装置５１、５２の仮想マシンを複数作成させる。この作成させる仮想マシンの数は、任意に設定可能である。例えば、事前に仮想マシンの作成数を決めておいてもよく、または、作成可能な最大数まで仮想マシンを作成してもよい。ここでは、３台の仮想マシンを作成させるとする。

（ステップＳ３６、Ｓ３７）ダミーサーバ装置３０は、仮想マシンを作成し、仮想マシンの作成完了を仮想マシン作成制御部１４へ通知する。

（ステップＳ３８、Ｓ３９）仮想マシン作成制御部１４は、仮想マシン作成依頼の完了をＳＷ制御部１３へ通知する。ここで、ＳＷ制御部１３は、作成された仮想マシンの構成情報を構成管理部１５へ通知し、構成管理ＤＢ１５０を更新させる。

（ステップＳ４０）ＳＷ制御部１３は、送信元アドレス管理部１２に対して、アドレス分割を依頼する。このアドレス分割の依頼では、作成された仮想マシンの数分に、ミラーリングしているトラフィックを分けるように、送信元アドレスを分割させる。その分割の割合は、任意に設定可能とする。ここでは、均等に分割するとする。

（ステップＳ４１）送信元アドレス管理部１２は、ＳＷ制御部１３からのアドレス分割の依頼に応じて、送信元アドレスの分割を行う。この送信元アドレスの分割では、送信元アドレスＤＢ１２０に格納されている送信元ＩＰアドレスのうち、ミラーリングしているトラフィックの送信元ＩＰアドレスを、仮想マシンの数分に均等に分ける。

（ステップＳ４２、Ｓ４３）送信元アドレス管理部１２は、送信元アドレスの分割結果をＳＷ制御部１３へ送信する。

（ステップＳ４４、Ｓ４５）ＳＷ制御部１３は、送信元アドレス管理部１２から受信した送信元アドレスの分割結果に基づいて、仮想ＳＷ３００に対し、ミラーリングしているトラフィックを各仮想マシンに分配させる指示を行う。

（ステップＳ４６、Ｓ４７）仮想ＳＷ３００は、ＳＷ制御部１３からの指示に従って、ミラーリングにより入力されているトラフィック（ミラーリングトラフィック）を各仮想マシンに分配する。次いで、仮想ＳＷ３００、該スイッチ制御の完了をＳＷ制御部１３へ通知する。

図１３は、各仮想マシンへの分配を説明するための図である。図１３において、３台の仮想マシン（ＶＭ）３１０−１、２、３が作成されている。仮想ＳＷ３００は、ＳＷ制御部１３からの指示に従って、ミラーリングトラフィックを３台の仮想マシン３１０−１、２、３に分配する。ここでは、各仮想マシン３１０−１、２、３に対して、均等にミラーリングトラフィックの１／３ずつが各経路ｒｔ１１、ｒｔ１２、ｒｔ１３で入力される。

（ステップＳ４８、Ｓ４９）ＳＷ制御部１３は、仮想ＳＷ３００の制御結果を送信元アドレス管理部１２へ通知する。

（ステップＳ５０、Ｓ５１）送信元アドレス管理部１２は、ＳＷ制御部１３から受信した仮想ＳＷ３００の制御結果に基づいて、送信元アドレスＤＢ１２０を更新する。次いで、送信元アドレス管理部１２は、該更新の完了をＳＷ制御部１３へ通知する。

（ステップＳ５２）ＳＷ制御部１３は、装置監視部１１に対して、仮想マシン３１０−１、２、３の監視を依頼する。

（ステップＳ５３）装置監視部１１は、ＳＷ制御部１３からの依頼に応じて、仮想マシン３１０−１、２、３の監視を開始する。この監視では、アラームの情報に基づいて監視項目を特化させてもよい。例えば、ＣＰＵに関するアラームであればＣＰＵの監視を行う、または、トラフィックに関するアラームであればトラフィックの監視を行うなどが挙げられる。

（ステップＳ５４、Ｓ５５）仮想マシン３１０−１、２、３は、装置監視部１１からの監視要求に応じて、監視情報を装置監視部１１へ送信する。

（ステップＳ５６）装置監視部１１は、仮想マシン３１０−１、２、３から受信した監視情報に基づいて、仮想マシン３１０−１、２、３の処理負荷を判定する。この判定では、仮想マシン３１０−１、２、３の中に所定未満の処理負荷であるものがあるか否かを判定する。この判定の結果、所定未満の処理負荷（低負荷）であるものがある場合には、ステップＳ６０に進む。一方、低負荷であるものがない場合には、ステップＳ５７に進む。

（ステップＳ５７、Ｓ５８）装置監視部１１は、仮想マシン３１０−１、２、３の中に低負荷であるものがない旨をＳＷ制御部１３へ通知する。

（ステップＳ５９）ＳＷ制御部１３は、仮想マシン作成制御部１４に対して、仮想マシンの追加の作成を依頼する。この仮想マシンの追加の作成の理由は、現状の３台の仮想マシン３１０−１、２、３へのトラフィック分配では、仮想マシン３１０−１、２、３の処理負荷に顕著な差がでないので、仮想マシンを追加してトラフィックの分配数を増やすことにより、処理負荷の増加とは無関係のトラフィックを発見しやすくするためである。この後、ステップＳ３３へ戻る。

（ステップＳ６０、Ｓ６１）装置監視部１１は、仮想マシン３１０−１、２、３の中で低負荷の仮想マシンの情報（仮想マシン情報）をＳＷ制御部１３へ通知する。

（ステップＳ６２、Ｓ６３）ＳＷ制御部１３は、装置監視部１１から受信した仮想マシン情報に基づいて、中間ＳＷ４０に対し、低負荷の仮想マシンに入力されているトラフィックを、トラフィック分析装置２０およびダミーサーバ装置３０へミラーリングすることの停止を指示する。

（ステップＳ６４、Ｓ６５）中間ＳＷ４０は、ＳＷ制御部１３からの指示に従って、低負荷の仮想マシンに入力されているトラフィックを、トラフィック分析装置２０およびダミーサーバ装置３０へミラーリングすることを停止する。これにより、トラフィック分析装置２０のトラフィック分析の対象のトラフィックが当該ミラーリング停止分だけ減るので、トラフィック分析装置２０の負荷が軽くなる。次いで、中間ＳＷ４０は、該スイッチ制御の完了をＳＷ制御部１３へ通知する。

（ステップＳ６６、Ｓ６７）ＳＷ制御部１３は、中間ＳＷ４０の制御結果を送信元アドレス管理部１２へ通知する。

（ステップＳ６８、Ｓ６９）送信元アドレス管理部１２は、ＳＷ制御部１３から受信した中間ＳＷ４０の制御結果に基づいて、送信元アドレスＤＢ１２０を更新する。次いで、送信元アドレス管理部１２は、該更新の完了をＳＷ制御部１３へ通知する。

（ステップＳ７０）ＳＷ制御部１３は、トラフィック分析装置２０から分析完了の通知を受信したかを確認する。この結果、トラフィック分析装置２０から分析完了の通知を受信した場合には、ステップＳ７１に進む。一方、トラフィック分析装置２０から分析完了の通知を受信していない場合には、ステップＳ４０に戻り、送信元アドレス管理部１２へアドレス分割の依頼を行う。このアドレス分割の依頼では、仮想マシン３１０−１、２、３に分配しているトラフィックの分配の仕方を変更（送信元アドレスの分割のやり直し）することにより、処理負荷の増加とは無関係のトラフィックの発見を試みる。

（ステップＳ７１）ＳＷ制御部１３は終了処理を行う。この終了処理として、トラフィック分析装置２０から受けたトラフィック転送に係る指示の実行、ミラーリングの停止、監視の停止、仮想マシンの削除、データベースの更新などが挙げられる。

次に、図１４から図１６を参照して、本実施形態に係る送信元アドレス分割処理を説明する。図１４から図１６は、本実施形態に係る送信元アドレス分割処理の説明図である。図１４において、送信元アドレス群ａｄ１、ａｄ２がアプライアンス装置（ア０１）５１−１を経由しているトラフィックの送信元ＩＰアドレスである。ここでは、該送信元アドレス群ａｄ１、ａｄ２を３等分する。また、分割割合の誤差は±１０％まで許容する。

（１）まず、送信元アドレス分割の対象のアプライアンス装置（ア０１）５１−１を経由するトラフィックの送信元ＩＰアドレスの数を合算する。この結果、合算値は１３３である。

（２）次いで、分割数「３」で合算値「１３３」を割る。この結果、商は４４．３３３・・・となる。

（３）次いで、分割後の各アドレス数が商の±１０％になるまで、送信元アドレス群ａｄ１、ａｄ２の等分を繰り返す。つまり、分割後の３つのアドレス群の各アドレス数が４０から４８までの範囲になるように、送信元アドレス群ａｄ１、ａｄ２を３つに分ける。

（４）この結果、図１４に例示される３つの送信元アドレス群Ａ、Ｂ、Ｃが作成される。

次に、図１５において、送信元アドレス群Ａのトラフィックは仮想マシン３１０−１に分配され、送信元アドレス群Ｂのトラフィックは仮想マシン３１０−２に分配され、送信元アドレス群Ｃのトラフィックは仮想マシン３１０−３に分配されている。ここでは、送信元アドレス群Ａ、Ｂ、Ｃに含まれる送信元ＩＰアドレスのうち、図１５中の下線の送信元ＩＰアドレス群がアラームの原因のトラフィックのものとする。そして、該アラームの原因のトラフィックが含まれていない送信元アドレス群Ｂのトラフィックが分配されている仮想マシン３１０−２のみが低負荷となっている。このため、送信元アドレス群Ｂのトラフィックについては、トラフィック分析装置２０およびダミーサーバ装置３０へのミラーリングを停止する。そして、高負荷の仮想マシン３１０−１、３に分配されている送信元アドレス群Ａ、Ｃのトラフィックについては、アドレス分割の再計算を行い、３台の仮想マシン３１０−１、２、３へ３等分して分配することを行う。これにより、処理負荷の増加とは無関係のトラフィックの発見を試みる。

次に、図１６において、送信元アドレス群Ａ、Ｃに対するアドレス分割の再計算の結果、図１６中に示される送信元アドレス群Ｄ，Ｅ，Ｆが作成されている。送信元アドレス群Ｄのトラフィックは仮想マシン３１０−１に分配され、送信元アドレス群Ｅのトラフィックは仮想マシン３１０−２に分配され、送信元アドレス群Ｆのトラフィックは仮想マシン３１０−３に分配されている。そして、アラームの原因のトラフィックが含まれていない送信元アドレス群Ｅのトラフィックが分配されている仮想マシン３１０−２のみが低負荷となっている。このため、送信元アドレス群Ｅのトラフィックについては、トラフィック分析装置２０およびダミーサーバ装置３０へのミラーリングを停止する。そして、高負荷の仮想マシン３１０−１、３に分配されている送信元アドレス群Ｄ、Ｆのトラフィックについては、アドレス分割の再計算を行い、３台の仮想マシン３１０−１、２、３へ３等分して分配することを行う。これにより、処理負荷の増加とは無関係のトラフィックの発見を試みる。

上述した第１実施形態では、アプライアンス装置５２および仮想マシン３１０−１、２、３がアプライアンス装置５１の代替装置に対応する。

［第２実施形態］
第２実施形態は第１実施形態の変形例である。図１７は、本発明の第２実施形態に係るトラフィック分析システム１の構成を示すブロック図である。図１７において、図１の各部に対応する部分には同一の符号を付している。図１７に示す第２実施形態において、図１に示す第１実施形態と異なる点は、アプライアンス装置を仮想マシンで作成する点である。以下、第１実施形態と異なる点を説明する。

図１７において、トラフィック分析システム１は、仮想アプライアンスサーバ装置７０を有する。仮想アプライアンスサーバ装置７０は、仮想マシン基盤としての機能を有し、仮想マシンの作成を行う。仮想アプライアンスサーバ装置７０は、仮想マシンにより作成された、仮想アプライアンス装置（ア０１、イ０１、ウ０１）７１−１、２、３および仮想アプライアンス装置（ア０２、イ０２、ウ０２）７２−１、２、３、並びに仮想ＳＷ７３を有する。

仮想アプライアンス装置（ア０１、イ０１、ウ０１）７１−１、２、３および仮想アプライアンス装置（ア０２、イ０２、ウ０２）７２−１、２、３は、図１に示す第１実施形態のアプライアンス装置（ア０１、イ０１、ウ０１）５１−１、２、３およびアプライアンス装置（ア０２、イ０２、ウ０２）５２−１、２、３に対応する。

仮想アプライアンスサーバ装置７０は、仮想マシン作成制御部１４からの制御により、図１３に示される仮想マシン３１０−１、２、３を作成する。そして、仮想ＳＷ７３は図１に示す第１実施形態の仮想ＳＷ３００に対応する。

上述した第２実施形態では、仮想アプライアンス装置７２および仮想マシン３１０−１、２、３が仮想アプライアンス装置７１の代替装置に対応する。

［第３実施形態］
第３実施形態は第１実施形態の変形例である。図１８は、本発明の第３実施形態に係るトラフィック分析システム１の構成を示すブロック図である。図１８において、図１の各部に対応する部分には同一の符号を付している。図１８に示す第３実施形態において、図１に示す第１実施形態と異なる点は、アプライアンス装置および中間ＳＷを仮想マシンで作成する点である。以下、第１実施形態と異なる点を説明する。

図１８において、トラフィック分析システム１は、仮想アプライアンス・中継サーバ装置８０を有する。仮想アプライアンス・中継サーバ装置８０は、仮想マシン基盤としての機能を有し、仮想マシンの作成を行う。仮想アプライアンス・中継サーバ装置８０は、仮想マシンにより作成された、仮想アプライアンス装置（ア０１、イ０１、ウ０１）８１−１、２、３および仮想アプライアンス装置（ア０２、イ０２、ウ０２）８２−１、２、３、並びに仮想ＳＷ８３を有する。

仮想アプライアンス装置（ア０１、イ０１、ウ０１）８１−１、２、３および仮想アプライアンス装置（ア０２、イ０２、ウ０２）８２−１、２、３は、図１に示す第１実施形態のアプライアンス装置（ア０１、イ０１、ウ０１）５１−１、２、３およびアプライアンス装置（ア０２、イ０２、ウ０２）５２−１、２、３に対応する。

仮想アプライアンス・中継サーバ装置８０は、仮想マシン作成制御部１４からの制御により、図１３に示される仮想マシン３１０−１、２、３を作成する。仮想ＳＷ８３は、図１に示す第１実施形態の中間ＳＷ４０および仮想ＳＷ３００に対応する。

上述した第３実施形態では、仮想アプライアンス装置８２および仮想マシン３１０−１、２、３が仮想アプライアンス装置８１の代替装置に対応する。

［第４実施形態］
図１９は、本発明の第４実施形態に係るトラフィック分析システム１の構成を示すブロック図である。図１９において、図１の各部に対応する部分には同一の符号を付している。図１９に示す第４実施形態において、図１に示す第１実施形態と異なる点は、ダミーサーバ装置を使用しない点である。以下、第１実施形態と異なる点を説明する。

第１実施形態では、図１３に示されるように、アプライアンス装置５１の代替装置として仮想マシン３１０−１、２、３を作成し、該仮想マシン３１０−１、２、３に対して、中継装置６０から中間ＳＷ４０に入力されるトラフィックのうち、高負荷のアプライアンス装置に入力されているトラフィック（アラームの原因を含むと判定されたトラフィック）を分配した。そして、装置監視部１１が該仮想マシン３１０−１、２、３を監視した。

本第４実施形態では、アプライアンス装置５１の代替装置として、アプライアンス装置５１の冗長装置であるアプライアンス装置５２を使用する。そして、第１実施形態の仮想マシン３１０−１、２、３に対するトラフィックの分配と同様に、中継装置６０から中間ＳＷ４０に入力されるトラフィックのうち、高負荷のアプライアンス装置に入力されているトラフィックを、中間ＳＷ４０によって、各アプライアンス装置（ア０２、イ０２、ウ０２）５２−１、２、３に分配する。そして、装置監視部１１が、該アプライアンス装置（ア０２、イ０２、ウ０２）５２−１、２、３を監視する。これにより、第４実施形態によれば、ダミーサーバ装置３０および仮想マシン作成制御部１４は不要となる。

上述した第４実施形態では、アプライアンス装置５２がアプライアンス装置５１の代替装置に対応する。

上述した実施形態によれば、トラフィック分析装置２０に入力するトラフィックを、アラームの原因を含むと判定されたトラフィックに絞り込むことができる。これにより、トラフィック分析装置２０の負荷を適切に軽減することができる。

以上、本発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。

なお、本発明は、様々なトラフィックの分析に適用可能である。例えば、ネットワーク機器等に対する攻撃を検知するために行われるトラフィック分析に適用可能である。ネットワーク機器等に対する攻撃として、例えばＤｏＳ（Denial of Service attack）やＤＤｏＳ（Distributed Denial of Service attack）などが挙げられる。

また、上述したトラフィック分析システム１を実現するためのコンピュータプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するようにしてもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものであってもよい。

また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、フラッシュメモリ等の書き込み可能な不揮発性メモリ、ＤＶＤ（Digital Versatile Disk）等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。

さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（例えばＤＲＡＭ（Dynamic Random Access Memory））のように、一定時間プログラムを保持しているものも含むものとする。
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

１…トラフィック分析システム、１０…制御部、１１…装置監視部、１２…送信元アドレス管理部、１３…スイッチ（ＳＷ）制御部、１４…仮想マシン作成制御部、１５…構成管理部、２０…トラフィック分析装置、３０…ダミーサーバ装置、４０…中間スイッチ（中間ＳＷ）、５１，５２…アプライアンス装置、６０…中継装置、７０…仮想アプライアンスサーバ装置、７１，７２，８１，８２…仮想アプライアンス装置、８０…仮想アプライアンス・中継サーバ装置、１２０…送信元アドレスデータベース（送信元アドレスＤＢ）、１３０…経路制御データベース（経路制御ＤＢ）、１５０…構成管理データベース（構成管理ＤＢ）、７３，８３，３００…仮想スイッチ（仮想ＳＷ）

Claims (9)

1. 特定の通信装置で受信されるトラフィックの分析を行うトラフィック分析システムであり、
   前記特定の通信装置の代替装置と、
   前記トラフィックの一部である部分トラフィックを前記代替装置へ送信するスイッチと、
   前記代替装置を監視する装置監視部と、
   前記装置監視部の監視結果に基づいて、前記スイッチに対し、前記代替装置へ送信する前記部分トラフィックを変更させるスイッチ制御部と、を備え、
   前記装置監視部の監視結果に基づいて、前記特定の通信装置で受信されるトラフィックの中から前記分析の対象にするトラフィックを選択する、
   ことを特徴とするトラフィック分析システム。
2. 前記スイッチ制御部は、前記スイッチに対し、所定以上の処理負荷を発生させる前記部分トラフィックの中から一部を前記代替装置へ送信させることを特徴とする請求項１に記載のトラフィック分析システム。
3. 前記代替装置は、複数の前記部分トラフィックの各々に対応して複数設けられることを特徴とする請求項１または２のいずれか１項に記載のトラフィック分析システム。
4. 前記代替装置は、前記特定の通信装置の冗長装置であることを特徴とする請求項１から３のいずれか１項に記載のトラフィック分析システム。
5. 前記代替装置は仮想マシンで作成されていることを特徴とする請求項１から３のいずれか１項に記載のトラフィック分析システム。
6. 前記部分トラフィックに対応する前記代替装置を前記仮想マシンで作成させる仮想マシン作成制御部を備えたことを特徴とする請求項５に記載のトラフィック分析システム。
7. 前記トラフィックの送信元アドレスの中から、前記部分トラフィックの送信元アドレスを分割する送信元アドレス管理部を備えたことを特徴とする請求項１から６のいずれか１項に記載のトラフィック分析システム。
8. 特定の通信装置で受信されるトラフィックの分析を行うトラフィック分析方法であり、
   前記トラフィックの一部である部分トラフィックを前記特定の通信装置の代替装置へ送信させるスイッチステップと、
   前記代替装置を監視する装置監視ステップと、
   前記装置監視ステップの監視結果に基づいて、前記スイッチステップに対し、前記代替装置へ送信する前記部分トラフィックを変更させるスイッチ制御ステップと、
   前記装置監視部の監視結果に基づいて、前記特定の通信装置で受信されるトラフィックの中から前記分析の対象にするトラフィックを選択するステップと、
   を含むことを特徴とするトラフィック分析方法。
9. 特定の通信装置で受信されるトラフィックの一部である部分トラフィックを前記特定の通信装置の代替装置へ送信させるスイッチステップと、
   前記代替装置の監視結果に基づいて、前記スイッチステップに対し、前記代替装置へ送信する前記部分トラフィックを変更させるスイッチ制御ステップと、
   前記代替装置の監視結果に基づいて、前記特定の通信装置で受信されるトラフィックの中からトラフィック分析の対象にするトラフィックを選択するステップと、
   をコンピュータに実行させるためのコンピュータプログラム。

Images