JP6581053B2 - フロー解析装置、トラフィック解析システム、及びフロー解析方法 - Google Patents

Description

本発明は、ネットワーク上で活動するボットネットを検出する技術に関するものであり、特にネットワーク事業者が、ネットワークを流れるパケットやフローに関する情報を用いて効率的にボットネットを検出するための技術に関するものである。

ボット（有害プログラム）に感染した多数のコンピュータからなるネットワークであるボットネットに関する検知技術の例として、非特許文献１に開示された技術及び特許文献１に開示された技術がある。非特許文献１に開示された技術は、通信内容等を解析することによりボットネットに関わる通信を特定する技術である。特許文献１に開示された技術は、ＮｅｔＦｌｏｗなど転送機器が出力する通信の統計情報を用いてＤＤｏＳ攻撃の発生を検知する技術である。

いずれの技術においても、フローと呼ばれる通信元のＩＰアドレス及びポート、通信先のＩＰアドレス及びポート、プロトコル番号によって特定される一連の通信について、その通信量や通信時間などの特性を用いて解析を行っている。

まず、ボットネットに関わる通信を特定する非特許文献１に開示された技術では、解析対象とするネットワークの全通信パケットを用いて、フローの特徴量として時間あたりの通信量（ｐｐｓ／ｂｐｓなど）や通信時間などを抽出・解析する。解析においては、正常通信とボットネットに関する通信のそれぞれについて、特徴量の分布を機械的に学習し、正常通信とボットネットに関する通信とを区別する特徴量に関する条件を決定し、それを用いてボットネットに関わる通信を特定可能としている。

次に、ＤＤｏＳ攻撃の発生を検知する特許文献１に開示された技術では、ＮｅｔＦｌｏｗなど、フローに関する統計情報であるフロー情報を用いて、通信先毎に通信量を推定するとともに、推定された通信量が大きく増大したことをもってＤＤｏＳ攻撃の発生を検知している。なお、解析に用いるＮｅｔＦｌｏｗ等では、全パケットに関する統計情報は通常出力されず、サンプリングと呼ばれる、１０００あるいは１００００に１のパケットだけを用いて統計情報を出力する手法が通常用いられる。このサンプリングにより、大規模なネットワークにも対応可能な技術となっている。

Gu, Guofei, et al. "BotMiner: Clustering Analysis of Network Traffic for Protocol-and Structure-Independent Botnet Detection." USENIX Security Symposium. Vol. 5. No. 2. 2008.

特開2011-250201号公報

非特許文献１に開示された技術により、ボットネットを高精度で検知可能であるが、当該技術はネットワークを流れる全通信パケットの抽出・解析が前提となっている。この前提は、小規模のネットワークにおいては成り立つが、キャリアネットワークのような大規模なネットワークにおいては、通信量が莫大であり、通信に影響を与えることなく全てを抽出・解析することが困難である。一方でボットネットを検出するにあたっては、一部のネットワークでだけ解析されるよりも、可能な限り広いネットワークを対象に解析することが望ましいため、解析効率の向上が課題となる。

これに対し、特許文献１に開示された技術においては、サンプリングを用いて出力されたＮｅｔＦｌｏｗを用いてＤＤｏＳ攻撃を検知できるため、大規模なネットワーク等へも適用可能となっている。しかし、検知の条件が大幅な通信量の増加となっているため、ＤＤｏＳ攻撃発生前にボットネット中のホスト状態を定期確認するなどの通信量が少ない状況では検知できず、攻撃発生後の事後対応しか行うことができない。このため、攻撃発生から対処までに時間を要すること、対処にあたって多くの機器の設定変更が必要で対処が大規模になることなどが課題となる。

本発明は上記の点に鑑みてなされたものであり、大規模なネットワークを対象とした場合であっても、そのネットワークを介して通信するボットネットを早期に検出することを可能とする技術を提供することを目的とする。

開示の技術によれば、サービスネットワークを構成する転送機器からフロー情報を受信するパケット収集部と、
前記フロー情報から抽出された分析の対象とする同じ送信先エンドポイントを持つフロー群について、当該フロー群における送信元の種類の数が第１の閾値以上であり、かつ、当該フロー群における通信が、第２の閾値以上に単位時間当たりの通信量が増加することなく予め定めた時間以上継続していることを検知した場合に、当該フロー群の送信先エンドポイントを、ボットネットに関する被疑エンドポイントとして抽出する被疑エンドポイント抽出部と、
を備えることを特徴とするフロー解析装置が提供される。

開示の技術によれば、大規模なネットワークを対象とした場合であっても、そのネットワークを介して通信するボットネットを早期に検出することが可能となる。これにより、ボットネットによる攻撃が実際に発生するより前に対処することが可能となり、また大規模なネットワークを対象に検知ができるため、より多くのボットネットを検知することができる。

本発明の実施の形態におけるトラフィック解析システムを示す構成図である。 本発明の実施の形態におけるトラフィック解析システムの別の例を示す構成図である。 本発明の実施の形態におけるボットネット検知・対処の流れを示すシーケンス図である。 本発明の実施の形態におけるボットネットの例を示す図である。 本発明の実施の形態におけるフローの絞り込み処理を説明するための図である。 本発明の実施の形態におけるＣ＆Ｃサーバと疑われるエンドポイントを抽出する処理を説明するための図である。

以下、図面を参照して本発明の実施の形態（本実施の形態）を説明する。以下で説明する実施の形態は一例に過ぎず、本発明が適用される実施の形態は、以下の実施の形態に限られるわけではない。

例えば、本実施の形態では、適用サービスの一例として、ネットワーク事業者が自らのネットワーク上で行われるボットネットの挙動を捉えその後の攻撃等を防ぐことで、自らのネットワークに加え当該ネットワークに接続された他ネットワークやユーザをボットネットによる攻撃から守る例を用いて各機能の動作を説明するが、本発明の適用サービスはこれに限られるものではない。

（トラフィック解析システムの全体構成）
図１は、本実施の形態におけるトラフィック解析システムを示す構成図である。図１に示すように、本実施の形態におけるトラフィック解析システムは、ネットワーク内でパケット転送を行う転送機器１００と、転送機器１００が出力するフロー情報を解析しボットネットとの関連が疑われるエンドポイントを抽出するフロー解析装置２００と、転送機器１００から転送された全パケットを用いてボットネットの解析等を行うパケット解析装置３００と、複数の転送機器１００の管理・制御を行う転送機器制御装置４００とを備える。

なお、以下ではトラフィック解析システム全体を１のネットワーク事業者が運営する形で説明を行う。しかし、以降で説明するようなそれぞれの機器・装置間の通信が可能である限り、すべての運営者が一致している必要はないため、実施の形態はこれに限られるものではない。例えば、図２に示すように、フロー解析装置２００とパケット解析装置３００を、別の事業者がＳａａＳ等の形で運営・提供しているような形態も考えられる。

本実施の形態に係る転送機器１００、フロー解析装置２００、パケット解析装置３００、及び転送機器制御装置４００はいずれも、例えば、１つ又は複数のコンピュータ（コンピュータの構成を有する通信装置を含む）に、本実施の形態で説明する処理内容を記述したプログラムを実行させることにより実現可能である。すなわち、各装置が有する機能は、当該コンピュータに内蔵されるＣＰＵやメモリ、ハードディスクなどのハードウェア資源を用いて、当該装置で実施される処理に対応するプログラムを実行することによって実現することが可能である。また、上記プログラムは、コンピュータが読み取り可能な記録媒体（可搬メモリ等）に記録して、保存したり、配布したりすることが可能である。また、上記プログラムをインターネットや電子メールなど、ネットワークを通して提供することも可能である。なお、上記の「コンピュータ」は、物理マシンでもよいし、仮想マシンでもよい。

（トラフィック解析システムを構成する各装置の機能部の概要）
まず、各装置が備える機能部の概要について説明する。

転送機器１００は、ルータやスイッチなどネットワーク内でパケット転送を行う装置であり、パケット転送ルールに基づき受信パケットの転送を行うパケット転送部１０１と、パケット転送ルールの管理とパケット転送部１０１の制御を行う転送制御部１０２と、パケット転送部１０１によって転送されるパケットの全て又は一部を用いてフロー情報を生成するフロー生成部１０３とを備える。

フロー解析装置２００は、フロー情報を解析しボットネットとの関連が疑われるエンドポイントを抽出する装置であり、１以上の転送機器１００からフロー情報を収集するフロー収集部２０１と、フロー収集部２０１が受信したフロー情報を一定期間保管するフロー管理部２０２と、フロー解析にあたりボットネットとは明らかに無関係なフローを取り除くホワイトリスト部２０３と、通信先のエンドポイント（ＥＰ）毎にフロー情報を分析してフローの絞り込みを行うＥＰ毎フローフィルタ２０４と、ＥＰの通信特性を用いてボットネットの通信先と疑われる被疑ＥＰを抽出する被疑ＥＰ抽出部２０５と、抽出された被疑ＥＰを出力する被疑ＥＰ通知部２０６とを備える。

パケット解析装置３００は、受信する全パケットを用いてボットネット分析を行う装置であり、１以上の転送機器１００とパケットの送受信を行うパケット送受部３０１と、受信したパケットを解析してボットネットを抽出するボットネット抽出部３０２と、ボットネット抽出部３０２の解析結果をもとにフローの正常や異常を出力する分析結果通知部３０３と、抽出されたボットネットに関するパケットについて観察や対処を実施するボットネット観察・対処部３０４とを備える。

転送機器制御装置４００は、１以上の転送機器１００の管理・制御を行う装置であり、フロー解析装置２００やパケット解析装置３００から転送機器の制御に係るイベントを受信するイベント受信部４０１と、受け取ったイベントに基づいて対処内容を決定する対処設計部４０２と、対処設計部４０２が対処を設計する際に用いる転送機器１００の接続情報等を管理する設備情報管理部４０３と、対処設計部４０２の決定内容に基づき転送機器１００に制御指示を行う転送機器制御部４０４とを備える。

以上の各装置を用いてネットワーク事業者がトラフィック解析システムを導入する際には、ユーザサービス等に用いるサービスネットワークを転送機器１００を用いて構築し、それとは別にフロー解析装置２００とパケット解析装置３００と転送機器制御装置４００とを設置する。

それぞれの転送機器１００は、サービスネットワークとは別の管理ネットワークでフロー解析装置２００及び転送機器制御装置４００と接続し、フロー情報や転送機器の制御情報を送受可能とする。またパケット解析装置３００についても転送機器１００との接続を持たせ、パケット解析装置３００にて解析すべきパケットが転送装置１００に届いた場合には、パケット解析装置に転送できるようにしておく。最後に、フロー解析装置２００及びパケット解析装置３００は、分析結果に基づいて必要な制御を転送機器１００に行うために、それらを管理・制御する転送機器制御装置４００と管理ネットワーク等を介して接続する。

各種装置が接続され、ユーザや他ネットワークとの接続を開始した後に、ボットネットの検知や検知結果に基づく対処が行われる。

（トラフィック解析システムの動作）
次に、図３に示すシーケンス図を参照して、上述した各種装置により実行されるボットネットの検知及び検知結果に基づく対処の処理内容を詳細に説明する。また、適宜、図４〜図６も参照して説明を行う。

まず、転送機器１００では、ユーザや他ネットワークとの接続が開始されると、パケット転送部１０１が、受信するパケットがボットネットに関係する／しないに係わらずパケットの転送を開始する。この際、パケット転送部１０１では、事前設定に基づき１０００パケットあるいは１００００パケットに１つの割合でランダムにパケットを抽出し、フロー生成部１０３に送る。フロー生成部１０３では、受信したパケットについてフロー毎の情報として通信量等を集計し、蓄積していく。フロー生成部１０３では、蓄積したフロー情報が一定量を超えた等の契機で、そのフロー情報をフロー収集部２０１に送信する（ステップＳ１０１）。

次に、フロー解析装置２００では、フロー収集部２０１が転送機器１００からのフロー情報を受信すると、それらをフロー管理部２０２に保管する。フロー管理部２０２では受信したフロー情報について３０分など事前に定められた一定期間保管するとともに、新たなフロー情報を受信したことをホワイトリスト部２０３に通知する。通知を受けたホワイトリスト部２０３では、事前に設定された正常なエンドポイントのリストであるホワイトリストに基づき、送信元又は送信先のＩＰアドレスがホワイトリストに含まれるフローについて、ボットネットとは無関係としてフロー管理部２０２から削除するとともに、ホワイトリストに基づく処理が完了したことをＥＰ毎フローフィルタ２０４に通知する（ステップＳ１０２）。

通知を受けたＥＰ毎フローフィルタ２０４では、フロー情報を送信先ＩＰアドレス及びポートが同じもの毎（つまり、送信先エンドポイント毎）に集約し（ステップＳ１０３）、集約されたフロー群毎に分析し、ボットネットに無関係と推定されるフロー群に関してフロー情報を削除する（ステップＳ１０４）。

最後に、被疑ＥＰ抽出部２０５では、ＥＰ毎フローフィルタ２０４を通過したフロー情報をもとに、各ＥＰへの通信傾向からボットネットに関わっている可能性のある被疑ＥＰリストを抽出し、被疑ＥＰ通知部２０６に送る（ステップＳ１０５）。

被疑ＥＰ通知部２０６では、受信した被疑ＥＰリストをもとにパケットを用いた更なる解析ができるよう、転送機器制御装置４００に被疑ＥＰリストを通知する（ステップＳ１０６）。なお、転送機器制御装置４００が無いようなネットワークにおいては、転送機器１００との接続方法やその制御方法等を被疑ＥＰ通知部２０６等に事前に設定しておき、直接被疑ＥＰ通知部２０６から転送機器１００を制御してもよい。

後続処理の説明の前に、前記ＥＰ毎フローフィルタ２０４及び被疑ＥＰ抽出部２０５における処理について、より詳細に説明する。説明にあたっては、攻撃前のボットネットの通信が図４のようである例を考える。この例では、ボットネットは多数のボットと、それらに指示を与えるＣ＆Ｃ（Command and Control）サーバで構成されている。また、図４に示すとおり、各ボットは自らの存在をＣ＆Ｃサーバに伝えること、及びＣ＆Ｃサーバから指示を受け取ることを目的に、定期的にＣ＆Ｃサーバへ低量の通信を実施する。

＜ＥＰ毎フローフィルタ２０４における分析について＞
まず、ＥＰ毎フローフィルタ２０４における分析について図５を参照して説明する。攻撃前には低量で持続的な通信を行うボットネットを検出する例では、パケットサイズ（ｂｐｐ）、時間あたりの通信量（ｂｐｓ）、あるいはパケット量（ｐｐｓ）の小さなフローのグループに関するフロー情報を取り出す。この際、事前に閾値を定めてパケットサイズ等の小さいものを抽出してもよいし、機械学習によってクラスタリングし、その中でパケットサイズ等の小さなグループを取り出してもよい。

図５に示す例では、フロー毎に、パケットサイズの平均値及び時間あたりのパケット量からなる特徴量の空間へマッピングし（ステップＳ１）、クラスタリングを行って、ボットネットの通信モデルに沿ったフロー群を抽出する（ステップＳ２）。

＜被疑ＥＰ抽出部２０５における分析について＞
次に、被疑ＥＰ抽出部２０５における分析について図６を参照して説明する。多数のボットネットがＣ＆Ｃサーバにアクセスし指示を取得するようなものの例では、各ＥＰは定期的にＣ＆Ｃサーバと通信するとともに、各通信の量は少ないという特性を利用する。そのため、ＥＰ毎に通信してきた通信元の種類が多く、またそれらからの通信の合計として、概ね一定量程度の通信量が長時間継続していることをもって被疑ＥＰを抽出する。例えば、ある分析対象のフロー群について、送信先ＥＰと送信元との間の通信量の合計を単位時間毎に算出し、当該通信量の合計の時間経過による変動量が所定の閾値以下である状態が、予め定めた時間長以上継続している場合に、当該フロー群について「一定量程度の通信量が長時間継続している」と判断する。上記の変動量は、例えば、（「単位時間の通信量の合計」−「上記予め定めた時間長における単位時間の通信量の合計の平均値」）の絶対値として算出できる。

図６に示す例では、まず、通信元の種類の数がある閾値未満のものはＣ＆Ｃサーバ（被疑ＥＰ）の候補から除外する（ステップＳ１）。そして、対象のフロー群における各フローを、どのボットからの通信かを区別せず、ひとつの時間軸上へマッピングし（ステップＳ２）、ある閾値以上に通信量が増加せず、通信が継続していればＣ＆Ｃサーバの疑いがあると判別する（ステップＳ３）。例えば、ある分析対象のフロー群について、送信先ＥＰと送信元との間の通信量の合計を単位時間毎に算出し、当該通信量の合計が閾値以下であり、かつ、当該通信量の合計が別の閾値以上である状態が、予め定めた時間長以上継続している場合に、「ある閾値以上に通信量が増加せず、通信が継続している」と判断することができる。

以下では再び、図３を参照してトラフィック解析システム全体の動作説明を行う。以下は、図３におけるステップＳ１０６以降の説明である。

転送機器制御装置４００では、フロー解析装置２００から送信されてくる被疑ＥＰリストをイベント受信部４０１で受信し、それらの被疑ＥＰへ向かう通信についてパケット解析を行うべきことを解釈し、対処設計部４０２に通知する。対処設計部４０２では、設備情報管理部４０３にて管理される転送機器１００の接続構成等をもとに、被疑ＥＰへ向かうパケットを取り出す場所や手順、例えば「全ての転送機器１００において、被疑ＥＰ宛の全パケットをパケット解析装置３００へ転送する」を決め、転送機器制御部４０４へ通知する。転送機器制御部４０４では、受信した制御場所・手順に基づき、該当する転送機器１００を制御する（ステップＳ１０７）。

転送機器１００では、転送機器制御装置４００からの指示を転送制御部１０２が受信し、被疑ＥＰ宛のパケットについてはパケット解析装置３００に転送するようにパケット転送部１０１に設定する。当該設定以降は、前記のフロー解析装置２００での処理時には現れなかった送信元からのパケットについても、被疑ＥＰ宛のパケットは全てパケット解析装置３００へ転送される（ステップＳ１０８）。

ボットネット検知の最後の段階として、パケット解析装置３００では、パケット送受部３０１がパケットを受信し、ボットネット抽出部３０２に転送する。ボットネット抽出部３０２では、例えば非特許文献１の技術を用いてボットネットを抽出する（ステップＳ１０９）。具体的には、ボットネットのメンバとなってしまっているエンドポイントであるボットや、それらボットを制御するためのＣ＆Ｃサーバを抽出する。抽出後はボットネットに対処すべく、分析結果通知部３０３がＣ＆Ｃサーバの情報を転送機器制御装置４００に送信する（ステップＳ１１０）。

ボットネット検知後は、ネットワーク事業者のポリシーに応じて転送機器１００やパケット解析装置３００にて対処することが可能となる。

例えばＣ＆Ｃサーバへの通信を全て遮断し、当該Ｃ＆Ｃサーバを介したボットネットの無力化を図る場合には、転送機器制御装置４００から全ての転送機器１００に対し、Ｃ＆Ｃサーバ宛のパケットを破棄するようなブラックホールルーティングを設定すればよい（ステップＳ１１１、Ｓ１１２）。このような設定を行うことで、各ボットは攻撃者の指示を受けることができなくなるため、その後のＤＤｏＳ攻撃を実施することもなくなり、自らのネットワークや接続された他ネットワーク等をＤＤｏＳ攻撃から未然に保護することができる。

また、予備のＣ＆Ｃサーバが用意されている場合に備えるため、当面ボットネットの挙動を観察するような対処例も想定される。この場合には、転送機器制御装置４００が各転送機器１００に前記ブラックホールルーティングを設定するとともに、パケット解析装置３００に対しボットと特定されたＥＰの通信を観察するように指示を行う。この場合、各ＥＰが通信遮断されたＣ＆Ｃ以外に予備のＣ＆ＣサーバのＩＰアドレスを把握していた場合などにおいては、各ＥＰは元のＣ＆Ｃサーバとの通信が遮断されたことをもって新たなＣ＆Ｃサーバへの通信を試みることになるため、その観察によって予備のＣ＆Ｃサーバも容易に検出することが可能となる。

（実施の形態のまとめ）
以上、説明したとおり、本実施の形態により、サービスネットワークを構成する転送機器からフロー情報を受信するパケット収集部と、前記フロー情報から抽出された分析の対象とする同じ送信先エンドポイントを持つフロー群について、当該フロー群における送信元の種類の数が第１の閾値以上であり、かつ、当該フロー群における通信が、第２の閾値以上に通信量が増加することなく継続していることを検知した場合に、当該フロー群の送信先エンドポイントを、ボットネットに関する被疑エンドポイントとして抽出する被疑エンドポイント抽出部と、を備えることを特徴とするフロー解析装置が提供される。

前記フロー解析装置は、前記パケット収集部により収集された前記フロー情報からホワイトリストに含まれるフローを削除するホワイトリスト部と、前記ホワイトリスト部によるフローの削除が行われたフロー情報を同じ送信先エンドポイント毎に集約し、集約された複数のフロー群から、ボットネットに無関係と推定されるフロー群を除いたフロー群を、前記分析の対象とする同じ送信先エンドポイントを持つフロー群として抽出するフローフィルタと、を更に備えることとしてもよい。

また、本実施の形態により、前記フロー解析装置と、前記転送機器と、パケット解析装置とを備えるトラフィック解析システムであって、前記パケット解析装置は、前記フロー解析装置により抽出された前記被疑エンドポイント宛のパケットを前記転送機器から受信するパケット受信部と、前記パケット受信部により受信したパケットを解析することによりボットネットを抽出するボットネット抽出部と、を備えることを特徴とするトラフィック解析システムが提供される。

前記トラフィック解析システムは、転送機器制御装置を更に備えてもよく、当該転送機器制御装置は、前記フロー解析装置から受信した被疑エンドポイントの情報に基づいて、当該被疑エンドポイント宛のパケットを前記パケット解析装置に転送するよう前記転送機器に指示するとともに、前記パケット解析装置から受信したボットネットの情報に基づいて、ボットネットに対処するための動作を前記転送機器に指示する転送機器制御部を備えることとしてもよい。

本発明は上記実施形態に限定されず、本発明の精神から逸脱することなく、様々な変形例、修正例、代替例、置換例等が本発明に包含される。

１００ 転送機器
１０１ パケット転送部
１０２ 転送制御部
１０３ フロー生成部
２００ フロー解析装置
２０１ フロー収集部
２０２ フロー管理部
２０３ ホワイトリスト部
２０４ ＥＰ毎フローフィルタ
２０５ 被疑ＥＰ抽出部
２０６ 被疑ＥＰ通知部
３００ パケット解析装置
３０１ パケット送受部
３０２ ボットネット抽出部
３０３ 分析結果通知部
３０４ ボットネット観察・対処部
４００ 転送機器制御装置
４０１ イベント受信部
４０２ 対処設計部
４０３ 設備情報管理部
４０４ 転送機器制御部

Claims (5)

1. サービスネットワークを構成する転送機器からフロー情報を受信するパケット収集部と、
   前記フロー情報から抽出された分析の対象とする同じ送信先エンドポイントを持つフロー群について、当該フロー群における送信元の種類の数が第１の閾値以上であり、かつ、当該フロー群における通信が、第２の閾値以上に単位時間当たりの通信量が増加することなく予め定めた時間以上継続していることを検知した場合に、当該フロー群の送信先エンドポイントを、ボットネットに関する被疑エンドポイントとして抽出する被疑エンドポイント抽出部と、
   を備えることを特徴とするフロー解析装置。
2. 前記パケット収集部により収集された前記フロー情報からホワイトリストに含まれるフローを削除するホワイトリスト部と、
   前記ホワイトリスト部によるフローの削除が行われたフロー情報を同じ送信先エンドポイント毎に集約し、集約された複数のフロー群から、ボットネットに無関係と推定されるフロー群を除いたフロー群を、前記分析の対象とする同じ送信先エンドポイントを持つフロー群として抽出するフローフィルタと、
   を更に備えることを特徴とする請求項１に記載のフロー解析装置。
3. 請求項１又は２に記載されたフロー解析装置と、前記転送機器と、パケット解析装置とを備えるトラフィック解析システムであって、
   前記パケット解析装置は、
   前記フロー解析装置により抽出された前記被疑エンドポイント宛のパケットを前記転送機器から受信するパケット受信部と、
   前記パケット受信部により受信したパケットを解析することによりボットネットを抽出するボットネット抽出部と、
   を備えることを特徴とするトラフィック解析システム。
4. 前記トラフィック解析システムは、転送機器制御装置を更に備え、当該転送機器制御装置は、
   前記フロー解析装置から受信した被疑エンドポイントの情報に基づいて、当該被疑エンドポイント宛のパケットを前記パケット解析装置に転送するよう前記転送機器に指示するとともに、前記パケット解析装置から受信したボットネットの情報に基づいて、ボットネットに対処するための動作を前記転送機器に指示する転送機器制御部
   を備えることを特徴とする請求項３に記載のトラフィック解析システム。
5. フロー解析装置が実行するフロー解析方法であって、
   サービスネットワークを構成する転送機器からフロー情報を受信するパケット収集ステップと、
   前記フロー情報から抽出された分析の対象とする同じ送信先エンドポイントを持つフロー群について、当該フロー群における送信元の種類の数が第１の閾値以上であり、かつ、当該フロー群における通信が、第２の閾値以上に単位時間当たりの通信量が増加することなく予め定めた時間以上継続していることを検知した場合に、当該フロー群の送信先エンドポイントを、ボットネットに関する被疑エンドポイントとして抽出する被疑エンドポイント抽出ステップと、
   を備えることを特徴とするフロー解析方法。

Images