JP6652912B2 - ネットワーク装置および異常検知システム - Google Patents
ネットワーク装置および異常検知システム Download PDFInfo
- Publication number
- JP6652912B2 JP6652912B2 JP2016247446A JP2016247446A JP6652912B2 JP 6652912 B2 JP6652912 B2 JP 6652912B2 JP 2016247446 A JP2016247446 A JP 2016247446A JP 2016247446 A JP2016247446 A JP 2016247446A JP 6652912 B2 JP6652912 B2 JP 6652912B2
- Authority
- JP
- Japan
- Prior art keywords
- information
- packet
- entry
- network device
- managed
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000001514 detection method Methods 0.000 title claims description 74
- 230000005856 abnormality Effects 0.000 title claims description 31
- 230000005540 biological transmission Effects 0.000 claims description 48
- 238000010801 machine learning Methods 0.000 claims description 9
- 238000009826 distribution Methods 0.000 claims description 6
- 238000012545 processing Methods 0.000 description 67
- 238000000034 method Methods 0.000 description 31
- 238000010586 diagram Methods 0.000 description 8
- 238000004891 communication Methods 0.000 description 6
- 230000008569 process Effects 0.000 description 5
- 230000006870 function Effects 0.000 description 4
- 230000002159 abnormal effect Effects 0.000 description 3
- 108090000248 Deleted entry Proteins 0.000 description 2
- 238000012706 support-vector machine Methods 0.000 description 2
- 238000013459 approach Methods 0.000 description 1
- 238000004364 calculation method Methods 0.000 description 1
- 238000007621 cluster analysis Methods 0.000 description 1
- 125000004122 cyclic group Chemical group 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 239000000284 extract Substances 0.000 description 1
- 230000008570 general process Effects 0.000 description 1
- 238000007689 inspection Methods 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 238000012544 monitoring process Methods 0.000 description 1
- 230000002035 prolonged effect Effects 0.000 description 1
- 230000004044 response Effects 0.000 description 1
- 238000012216 screening Methods 0.000 description 1
- 238000012546 transfer Methods 0.000 description 1
- 230000001960 triggered effect Effects 0.000 description 1
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Description
リソース消費型DDoSを検知するアプローチとして、ネットワーク上の通信装置でネットワーク統計を収集し、収集した統計を分析サーバで解析することで攻撃を検知する方法がある。
実施例1におけるネットワークを含むシステムの構成の例を図1に示す。実施例1のシステムは、ネットワークに接続し通信を行う複数の端末10(端末10a、10b、10nのそれぞれを区別することなく代表的に端末を指し示す場合に端末10と記載し、他の符号も同じ記載とする)及びサーバ20と、ネットワークに配置されたルータ100と、ルータ100に接続する分析サーバ200を備える。
分析サーバ200及びルータ100の構成の例を図2に示す。分析サーバ200は、コレクタ処理部220と、異常検知部210と、入力部230を備える。コレクタ処理部220は、ルータ100から送信される統計パケットを受信し、統計情報を蓄積する。入力部230は、管理端末としての動作し、管理者が入力したルータ100と分析サーバ200への設定情報を受け付け、分析サーバ200内では異常検知部210への設定情報、ルータ100への設定情報を通知する。
実施例1のシステムにおける動作シーケンスの例を図9に示す。まず、管理者により分析サーバ200の入力部230を介して、分析サーバ200の異常検知管理情報1001に対して検知対象(の種別)が指定され、フローテーブル5001とエントリ更新方法管理情報3001の設定情報及び分析サーバ200のアドレスなどの設定情報が受け付けられて、ルータ100に対して送信される(ステップS501)。
統計テーブル管理部143が統計テーブル150を更新するフローチャートの例を図10に示す。統計テーブル管理部143は、ヘッダ情報蓄積部142からパケットのヘッダ情報を受け取ると、統計テーブル150のエントリ更新処理を開始する(ステップS701)。なお、受信パケット処理部120がパケットを受信すると、トラフィック統計処理部140へ受信されたパケットのヘッダ情報を出力し、トラフィック統計処理部140の中では、ヘッダ情報蓄積部142がヘッダ情報を受け取る。
以上の説明では、統計テーブル150のフローテーブル5001がセットアソシエイティブの形態として、フローテーブル5001のエントリへの処理を説明した。しかしながら、以上の説明の形態に限定されるものではなく、フローテーブル5001の他の形態として、キー項目からライン番号を求める際に複数のハッシュ関数を使用して複数のライン番号の候補を求め、その中から対象となるエントリを求めるようにしてもよい。
以上の説明では、リソース消費型DDoSの検知における統計情報の欠落を課題とし、これを解決するための実施例を説明した。しかしながら、リソース消費型DDoSの検知に限定されるものではなく、リソース消費型DDoS以外の攻撃を検知することも可能であり、特にCommand and Control (C&C)サーバ通信やスキャン活動、フラッディングなどを検知対象とすることができる。
実施例1では分析サーバ200で異常を検知する例を説明したが、実施例2では一般的なパケット解析装置でトラフィックを検閲する例を説明する。実施例2におけるネットワークを含むシステムの構成の例を図14に示す。実施例1で説明した図1の例との違いは、ルータ100cが新たにパケット解析装置400と接続している点である。このため、端末10とサーバ20及びルータ100a、100bは図1を用いて説明したとおりであるが、ルータ100cと分析サーバ200は図1を用いた説明とは異なる。
実施例2におけるフローテーブル5001dの例を図15に示す。実施例1の図6を用いて説明したフローテーブル5001a〜5001cとの違いは、統計情報として、0か1の値をとる通知済フラグ5011の情報がエントリ毎に追加されている点である。通知済フラグ以外の統計情報と、エントリ番号と、キー項目は、既に説明したとおりである。図15に示した例は、キー項目が図6Aに相当するものであるが、図6B、6Cに相当するキー項目であってもよい。
実施例2におけるエントリ更新方法管理情報3001cの例を図16に示す。実施例1の図8を用いて説明したエントリ更新方法管理情報3001aとの違いは、早期通知パケットの生成条件5012が追加されている点である。検知対象3011と、エントリ置換のルール3021と、エントリ置換時の統計パケット生成条件3031と、適用するフローテーブル3041は、既に説明したとおりである。
実施例2のシステムにおける動作シーケンスの例を図15に示す。図15に示すようにパケット解析装置400の動作シーケンスが、図9に示した動作シーケンスに加わる。なお、ステップS901〜S905の説明は、実施例1における図9のステップS501〜505と同じ説明であるので、説明を省略する。
200 分析サーバ
300 統計収集サーバ
400 パケット解析装置
110 制御部
120 受信パケット処理部
130 送信パケット処理部
140 トラフィック統計処理部
150 統計テーブル
141 統計パケット生成部
143 統計テーブル管理部
Claims (14)
- ネットワークの統計情報を管理するネットワーク装置であって、
前記ネットワークからパケットを受信する受信部と、
前記受信部が受信したパケットの統計情報を第1のテーブルのエントリ単位で管理し、
前記第1のテーブルのエントリの置換ルールと、置換されるエントリの統計情報の送信条件を第2のテーブルで管理し、
前記第2のテーブルで管理される置換ルールに基づいて前記第1のテーブルのエントリを置換し、前記第2のテーブルで管理される送信条件に基づいて前記第1のテーブルのエントリの統計情報を送信するよう制御する管理部とを備え、
前記第2のテーブルで管理される送信条件は、
受信間隔が予め設定された閾値以上であり、パケット数が予め設定された一定数以上であるという情報を含み、
前記管理部は、
置換されると特定されたエントリの受信間隔の情報とパケット数の情報が、前記第2のテーブルで管理される送信条件を満たすか判定し、
送信条件を満たすと判定すると、置換されると特定されたエントリの受信間隔の情報とパケット数の情報を含む統計情報を送信するよう制御すること
を特徴とするネットワーク装置。 - 請求項1に記載のネットワーク装置であって、
前記第1のテーブルのエントリは、前記ネットワークのパケットの5タプルに含まれる値により識別されること
を特徴とするネットワーク装置。 - 請求項2に記載のネットワーク装置であって、
前記管理部は、
前記受信部で第1のパケットを受信すると、
前記第1のパケットの5タプルに含まれる値と、前記第1のテーブルのエントリが識別される5タプルに含まれる値との一致により、前記第1のパケットに対応するエントリが前記第1のテーブルにあるかを判定すること
を特徴とするネットワーク装置。 - 請求項3に記載のネットワーク装置であって、
前記第1のテーブルで管理される統計情報は、
前記受信部で既に受信された第2のパケットの受信間隔の情報と予め設定された時間に受信されたパケット数の情報を、エントリ毎に含み、
前記管理部は、
前記第1のパケットに対応するエントリが前記第1のテーブルに有ると判定すると、
前記第1のテーブルの有ると判定されたエントリの受信間隔の情報とパケット数の情報を、前記第1のパケットの情報で更新すること
を特徴とするネットワーク装置。 - 請求項4に記載のネットワーク装置であって、
前記管理部は、
前記第1のパケットに対応するエントリが前記第1のテーブルに無いと判定すると、
前記第1のテーブルのエントリの空きを判定し、
空きがないと判定すると、前記第2のテーブルで管理される置換ルールに基づいて置換すること
を特徴とするネットワーク装置。 - 請求項5に記載のネットワーク装置であって、
前記管理部は、
前記第2のテーブルで管理される置換ルールに基づいて置換するため、前記第1のテーブルで管理される統計情報に含まれる受信間隔の情報とパケット数の情報を、前記第2のテーブルで管理される置換ルールへ適用し、置換されるエントリを特定すること
を特徴とするネットワーク装置。 - 請求項6に記載のネットワーク装置であって、
前記第2のテーブルで管理される置換ルールは、
受信間隔が予め設定された閾値以上であり、パケット数が少ないエントリから置換するという情報を含むこと
を特徴とするネットワーク装置。 - 請求項7に記載のネットワーク装置であって、
前記管理部は、
置換されると特定されたエントリを、前記第1のパケットの5タプルに含まれる情報と、前記第1のパケットの受信間隔の情報とパケット数の情報で置換すること
を特徴とするネットワーク装置。 - 請求項8に記載のネットワーク装置であって、
前記第1のテーブルで管理される統計情報は、
さらに、TCPフラグの数、異なり数、採取時間、パケットサイズ、パケットサイズの分布、パケットの受信間隔の分布のいずれか1つ以上の情報を含むこと
を特徴とするネットワーク装置。 - 請求項9に記載のネットワーク装置であって、
前記第2のテーブルは、
複数種類の検知対象の情報と、検知対象それぞれに対応付けられた置換ルールの情報と送信条件の情報を含み、
前記管理部は、
異なる種類の検知対象の組み合わせにおいて、前記第2のテーブルに含まれる置換ルールが競合する組み合わせを第3のテーブルで管理し、
検知対象の複数の指定を受け付け、
受け付けられた指定が、前記第3のテーブルの組み合わせであるかを判定し、
組み合わせであると判定すると、組み合わせに含まれる検知対象毎に前記第1のテーブルを生成すること
を特徴とするネットワーク装置。 - ネットワークの統計情報を用いる異常検知システムであって、
統計情報を受信して機械学習により解析し、異常を検知するための判定器を生成する分析サーバと
前記ネットワークからパケットを受信する受信部と、前記受信部が受信したパケットの統計情報を第1のテーブルのエントリ単位で管理し、前記第1のテーブルのエントリの置換ルールと、置換されるエントリの統計情報の送信条件を第2のテーブルで管理し、前記第2のテーブルで管理される置換ルールに基づいて前記第1のテーブルのエントリを置換
し、前記第2のテーブルで管理される送信条件に基づいて前記第1のテーブルのエントリの統計情報を前記分析サーバへ送信するよう制御する管理部とを備えたネットワーク装置と、
を備え、
前記第2のテーブルで管理される送信条件は、
受信間隔が予め設定された閾値以上であり、パケット数が予め設定された一定数以上であるという情報を含み、
前記管理部は、
置換されると特定されたエントリの受信間隔の情報とパケット数の情報が、前記第2のテーブルで管理される送信条件を満たすか判定し、
送信条件を満たすと判定すると、置換されると特定されたエントリの受信間隔の情報とパケット数の情報を含む統計情報を送信するよう制御すること
を特徴とする異常検知システム。 - 請求項11に記載の異常検知システムであって、
パケット解析装置をさらに備え、
前記ネットワーク装置は、前記ネットワーク装置の前記受信部で受信したパケットを送信する送信部をさらに備え、
前記ネットワーク装置の前記管理部は、
前記第2のテーブルで早期検知の情報の通知条件をさらに管理し、
前記第2のテーブルで管理される通知条件に基づいて早期検知を前記分析サーバへ通知するように制御し、
前記分析サーバは、
早期検知が通知されると、前記ネットワーク装置へミラーリングの設定指示を通知し、
前記ネットワーク装置の送信部は、ミラーリングの設定指示が通知されると、前記受信部で受信したパケットを前記パケット解析装置へ送信すること
を特徴とする異常検知システム。 - 請求項12に記載の異常検知システムであって、
前記ネットワーク装置の前記管理部は、
前記第1のテーブルで早期検知の通知済みの情報をさらに管理し、
前記第1のテーブルで管理される早期検知の通知済みの情報が、通知済みでないことを示すと判定すると、前記第2のテーブルで管理される通知条件に基づいて早期検知を前記分析サーバへ通知するように制御し、前記第1のテーブルで管理される早期検知の通知済みの情報を、通知済みに変更すること
を特徴とする異常検知システム。 - ネットワークの統計情報を用いる異常検知システムであって、
前記ネットワークからパケットを受信し、受信されたパケットのパケットヘッダを出力する受信部と、受信されたパケットをルーティング先へ送信する送信部とを備えたルータと、
パケットヘッダを入力して蓄積する蓄積部と、蓄積されたパケットヘッダに基づいて、前記受信部が受信したパケットの統計情報を第1のテーブルのエントリ単位で管理し、前記第1のテーブルのエントリの置換ルールと、置換されるエントリの統計情報の送信条件を第2のテーブルで管理し、前記第2のテーブルで管理される置換ルールに基づいて前記第1のテーブルのエントリを置換し、前記第2のテーブルで管理される送信条件に基づいて前記第1のテーブルのエントリの統計情報を送信するよう制御する管理部とを備えた統計収集サーバと、
統計情報を受信して機械学習により解析し、異常を検知するための判定器を生成する分析サーバと
を備え、
前記第2のテーブルで管理される送信条件は、
受信間隔が予め設定された閾値以上であり、パケット数が予め設定された一定数以上であるという情報を含み、
前記管理部は、
置換されると特定されたエントリの受信間隔の情報とパケット数の情報が、前記第2のテーブルで管理される送信条件を満たすか判定し、
送信条件を満たすと判定すると、置換されると特定されたエントリの受信間隔の情報とパケット数の情報を含む統計情報を送信するよう制御すること
を特徴とする異常検知システム。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2016247446A JP6652912B2 (ja) | 2016-12-21 | 2016-12-21 | ネットワーク装置および異常検知システム |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2016247446A JP6652912B2 (ja) | 2016-12-21 | 2016-12-21 | ネットワーク装置および異常検知システム |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2018101926A JP2018101926A (ja) | 2018-06-28 |
JP6652912B2 true JP6652912B2 (ja) | 2020-02-26 |
Family
ID=62715627
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2016247446A Active JP6652912B2 (ja) | 2016-12-21 | 2016-12-21 | ネットワーク装置および異常検知システム |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP6652912B2 (ja) |
Families Citing this family (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP7319872B2 (ja) * | 2019-09-06 | 2023-08-02 | 株式会社日立製作所 | ネットワークセキュリティ装置及び学習優先度決定方法 |
Family Cites Families (7)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2004328307A (ja) * | 2003-04-24 | 2004-11-18 | Mitsubishi Electric Corp | 攻撃防御システム、攻撃防御制御サーバおよび攻撃防御方法 |
JP2006254134A (ja) * | 2005-03-11 | 2006-09-21 | Alaxala Networks Corp | 通信統計収集装置 |
CN1878141A (zh) * | 2005-05-20 | 2006-12-13 | 阿拉克斯拉网络株式会社 | 网络控制装置及其控制方法 |
JP4871775B2 (ja) * | 2007-04-06 | 2012-02-08 | アラクサラネットワークス株式会社 | 統計情報収集装置 |
EP2961111B1 (en) * | 2013-02-21 | 2018-01-31 | Nippon Telegraph and Telephone Corporation | Network monitoring device, network monitoring method, and network monitoring program |
JP2014192710A (ja) * | 2013-03-27 | 2014-10-06 | Oki Electric Ind Co Ltd | 音声通信品質測定システム、音声通信品質測定方法、音声通信品質測定装置、音声通信品質測定プログラム、音声通信品質要求装置及び音声通信品質要求プログラム |
JP2016046669A (ja) * | 2014-08-22 | 2016-04-04 | 沖電気工業株式会社 | パケット処理装置、プログラム及び方法 |
-
2016
- 2016-12-21 JP JP2016247446A patent/JP6652912B2/ja active Active
Also Published As
Publication number | Publication date |
---|---|
JP2018101926A (ja) | 2018-06-28 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
US10735379B2 (en) | Hybrid hardware-software distributed threat analysis | |
EP3420487B1 (en) | Hybrid hardware-software distributed threat analysis | |
JP6453976B2 (ja) | ネットワークシステム、制御装置、通信制御方法および通信制御プログラム | |
Musumeci et al. | Machine-learning-enabled ddos attacks detection in p4 programmable networks | |
US20210367887A1 (en) | Flow classification apparatus, methods, and systems | |
US9866426B2 (en) | Methods and apparatus for analyzing system events | |
JP6265397B2 (ja) | ネットワーク管理 | |
EP3304822B1 (en) | Method and apparatus for grouping features into classes with selected class boundaries for use in anomaly detection | |
JP4774357B2 (ja) | 統計情報収集システム及び統計情報収集装置 | |
JP5050781B2 (ja) | マルウエア検出装置、監視装置、マルウエア検出プログラム、およびマルウエア検出方法 | |
WO2017163352A1 (ja) | 異常検出装置、異常検出システム、及び、異常検出方法 | |
EP3905622A1 (en) | Botnet detection method and system, and storage medium | |
JP7135980B2 (ja) | 登録システム、登録方法及び登録プログラム | |
US8327444B2 (en) | Suspicious autonomous system path detection | |
EP2530873B1 (en) | Method and apparatus for streaming netflow data analysis | |
US11863584B2 (en) | Infection spread attack detection device, attack origin specification method, and program | |
JP6652912B2 (ja) | ネットワーク装置および異常検知システム | |
CN113765896A (zh) | 基于人工智能的物联网实现系统及方法 | |
US9794274B2 (en) | Information processing apparatus, information processing method, and computer readable medium | |
WO2019235403A1 (ja) | 感染拡大攻撃検知システム及び方法、並びに、プログラム | |
JP4871775B2 (ja) | 統計情報収集装置 | |
WO2018096685A1 (ja) | 情報処理装置、方法およびプログラム | |
JP2006135885A (ja) | 攻撃経路解析装置及び攻撃経路解析方法及びプログラム | |
JP5659393B2 (ja) | ネットワーク装置、及び、パケット処理方法 | |
KR101230254B1 (ko) | 객체 참조 정보를 관리하기 위한 장치 및 방법 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20190219 |
|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20191125 |
|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20191203 |
|
A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20191226 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20200114 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20200124 |
|
R150 | Certificate of patent or registration of utility model |
Ref document number: 6652912 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |