JP6683673B2 - 異常検知システム、異常検知方法、および、異常検知プログラム - Google Patents

異常検知システム、異常検知方法、および、異常検知プログラム Download PDF

Info

Publication number
JP6683673B2
JP6683673B2 JP2017237772A JP2017237772A JP6683673B2 JP 6683673 B2 JP6683673 B2 JP 6683673B2 JP 2017237772 A JP2017237772 A JP 2017237772A JP 2017237772 A JP2017237772 A JP 2017237772A JP 6683673 B2 JP6683673 B2 JP 6683673B2
Authority
JP
Japan
Prior art keywords
tunnel
sampling rate
packets
flow
router
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2017237772A
Other languages
English (en)
Other versions
JP2019106621A (ja
Inventor
裕志 鈴木
裕志 鈴木
裕平 林
裕平 林
孟朗 西岡
孟朗 西岡
勝彦 阪井
勝彦 阪井
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nippon Telegraph and Telephone Corp
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Priority to JP2017237772A priority Critical patent/JP6683673B2/ja
Publication of JP2019106621A publication Critical patent/JP2019106621A/ja
Application granted granted Critical
Publication of JP6683673B2 publication Critical patent/JP6683673B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Landscapes

  • Data Exchanges In Wide-Area Networks (AREA)

Description

本発明は、異常検知システム、異常検知方法、および、異常検知プログラムに関する。
近年、インターネットの普及に伴い、ＤＤｏＳ（Distributed Denial of Service attack）攻撃等の様々なサイバー攻撃が急増している。このような攻撃に対する検知・対処装置として、ＤｏＳ対策製品やＩＰＳ（Intrusion Prevention System）やＷＡＦ(Web Application Firewall)等の検知・対処装置が使用される。
これらの検知・対処装置では、パケット転送においてトンネリングを行っているネットワークに対し、トンネルプロトコルをサポートしていない場合があった。そこで、従来、トンネルプロトコルをサポートしていない検知・対処装置でもパケットを解析できるようにするために、パケットのトンネルプロトコルを検知してプロトコルヘッダ部分を削除し、パケットフォーマットを変換する技術が提案されている（例えば、非特許文献１，２参照）。
Ixia，"Vision ONE"，［平成２９年１０月２６日検索］，インターネット＜ＵＲＬ：https://www.ixiacom.com/ja/products/vision-one＞ Ixia，"Vision ONE Data Sheet"，［平成２９年１０月２６日検索］，インターネット＜ＵＲＬ：https://www.ixiacom.com/sites/default/files/2017-07/915-6691-01-V-DS-Vision-ONE.pdf＞
上記のパケットフォーマットを変換するフォーマット変換装置を、ネットワークのトンネル通信の経路ごとに設置するとコストが高くなる。そこで、本発明は、前記した問題を解決し、複数のトンネルを備えるネットワークにおいて、トンネルパケットを解析ツールが解析可能なフォーマットに変換するためのコストを低減することを課題とする。
前記した課題を解決するため、本発明は、トンネルのパケットを所定のサンプリングレートでサンプリングし、コピーするルータと、コピーされた前記トンネルのパケットのフォーマットをセキュリティ装置で解析可能なフォーマットに変換するフォーマット変換装置と、前記ルータの制御を行うコントローラとを備える異常検知システムであって、前記フォーマット変換装置は、前記ルータから、１以上の前記トンネルのパケットのコピーを受信し、前記受信したパケットのフォーマットの変換を行う変換部を備え、前記コントローラは、前記パケットのフローの異常が検知された場合、前記異常が検知されたフローを収容するトンネルを特定するトンネル特定部と、特定した前記トンネルのパケットのサンプリングレートを、前記所定のサンプリングレートよりも高くするよう、前記トンネルを中継するルータに設定し、前記トンネル以外のトンネルのパケットのコピーの中止を、当該トンネルを中継するルータに設定するサンプリングレート設定部と、を備えることを特徴とする。
本発明によれば、複数のトンネルを備えるネットワークにおいて、トンネルパケットを解析ツールが解析可能なフォーマットに変換するためのコストを低減することができる。
図１は、本実施形態のシステムの構成例と動作概要とを説明する図である。 図２は、図１のフォーマット変換装置の構成例を示す図である。 図３は、図１のフローコレクタの構成例を示す図である。 図４は、図１のコントローラの構成例を示す図である。 図５は、図１のシステムの初期状態の動作例を説明する図である。 図６は、図１のシステムの初期状態の動作例を説明する図である。 図７は、図１のフローコレクタがフローの異常を検知した場合の動作例を説明する図である。 図８は、図１のフローコレクタがフローの異常を検知した場合の動作例を説明する図である。 図９は、図８において、セキュリティ装置が異常を検知しなかった場合の動作例を説明する図である。 図１０は、図９のシステムが、各トンネルの監視状態を初期状態に戻す場合の動作例を説明する図である。 図１１は、図１のシステムの処理手順を示すフローチャートである。 図１２は、図１のシステムの処理手順例を示すシーケンス図である。 図１３は、図１のシステムの処理手順例を示すシーケンス図である。 図１４は、図１のシステムにおけるサンプリングレートの決定方法を説明するための図である。 図１５は、各トンネルのサンプリングレートの決定に用いられるトラフィックデータを説明するための図である。 図１６は、サンプリングレートの決定方法と、帯域の取得方法とを説明するための図である。 図１７は、サンプリングレートの計算方法を説明するための図である。 図１８は、被疑トンネルを１本ずつ順番に検査する場合におけるサンプリングレートの計算方法を説明するための図である。 図１９は、異常検知プログラムを実行するコンピュータを示す図である。
［概要］
以下、図面を参照しながら、本発明を実施するための形態（実施形態）について説明する。図１を用いて、本実施形態のシステムの構成例と動作概要とを説明する。システム１は、例えば、複数のＣＰＥ（Customer-Premises Equipment）と、ＣＰＥを収容するユーザエッジと、網（ネットワーク）を終端する網終端装置と、網を集約し、ＩＳＰ（Internet Services Provider）のネットワーク等に接続する網集約装置とを備える。
ここで、ユーザエッジと網終端装置との間には、例えば、トンネルが設定される。そして、ユーザエッジと網終端装置との間には、トンネルを中継するバックボーンルータ（ルータ）１０が設置される。このトンネルを用いて、ＣＰＥは他の装置（例えば、サーバ）との間でトンネル通信を行う。また、システムは、フォーマット変換装置２０と、ＳＷ（スイッチ）３０と、セキュリティ装置４０と、フローコレクタ５０と、コントローラ６０とを備える。
フォーマット変換装置２０は、バックボーンルータ１０でサンプリングされコピーされた、各トンネルのトンネルパケットをセキュリティ装置４０で解析可能なフォーマットに変換する。ＳＷ３０は、フォーマット変換装置２０から出力されたパケットのフローのトラフィック情報（例えば、xFlow情報）をフローコレクタ５０へ出力する。また、ＳＷ３０は、フォーマット変換装置２０から出力されたパケットのうち、フィルタの対象となっていないパケットをセキュリティ装置４０へ出力する。なお、以下の説明において、ＳＷ３０は、初期の状態では、フィルタリングによりいずれのパケットもセキュリティ装置４０へ出力しないものとする。
セキュリティ装置４０は、入力されたパケットの解析を行う。例えば、セキュリティ装置４０は、ＳＷ３０経由で入力されたフォーマット変換済みのパケットの解析を行う。ここでの解析は、例えば、入力されたパケットが攻撃パケットである場合、その攻撃の詳細の検知等である。
フローコレクタ５０は、入力されたパケットのフローのトラフィック状況の監視を行う。例えば、フローコレクタ５０は、入力されたパケットのフローのトラフィック状況を監視した結果、あるフローのトラフィック（帯域）が所定値以上である場合、当該フローに異常が発生していることを検知する。
コントローラ６０は、システム１内の各装置の制御を行う。例えば、コントローラ６０は、バックボーンルータ１０における各トンネルのパケットのサンプリングレートやコピーの設定を行う。また、コントローラ６０は、ＳＷ３０におけるフィルタの設定等を行う。
このようなシステム１は、まず、バックボーンルータ１０が中継するトンネルパケットのサンプリングコピーにより各トンネルの常時監視を行う（（１））。なお、ここでの各トンネルのサンプリングレートは、例えば、単位時間内にサンプリングされたパケットの合計が、フォーマット変換装置２０に設定された帯域を超えないような値とする。その後、フォーマット変換装置２０は、（１）でサンプリングコピーされたトンネルパケット（パケット）のフォーマット変換を行い、ＳＷ３０へ出力する。そして、ＳＷ３０は、フォーマット変換された全パケットのフローをフローコレクタ５０に出力する（（２））。例えば、ＳＷ３０は、全パケットのフローのxFlow情報をフローコレクタ５０に出力する。
（２）の後、フローコレクタ５０は、各フローの帯域による異常検知を行う（（３））。例えば、フローコレクタ５０は、（２）でＳＷ３０から出力された各トンネルのフローのうち、帯域が所定値以上になっているフローがあった場合、当該フローに異常が発生したと判定する。そして、フローコレクタ５０は、異常検知の結果を、コントローラ６０へ通知する。
その後、コントローラ６０は、（３）でフローコレクタ５０から通知されたフローの異常検知の結果に基づき、バックボーンルータ１０に対し、異常が発生しているフローのトンネル（被疑トンネル）のパケットのサンプリングレートの変更指示を行う（（４））。例えば、コントローラ６０は、バックボーンルータ１０に対し、被疑トンネルのパケットのサンプリングレートを今までよりも大きくするよう指示する。また、コントローラ６０は、バックボーンルータ１０に対し、被疑トンネル以外のトンネルのパケットのコピーを中止するよう指示する。
（４）の後、コントローラ６０は、ＳＷ３０へのフィルタ解除指示を行う（（５））。これにより、被疑トンネルからサンプリングされ、フォーマット変換されたパケットは、ＳＷ３０からセキュリティ装置４０に転送される。そして、セキュリティ装置４０は、受信したパケットの攻撃（検知された異常）の詳細検知を行う（（６））。
このようにすることで、システム１は、複数のトンネルを備えるネットワークにおいて、トンネルごとにフォーマット変換装置２０を装備する必要がなくなる。よって、複数のトンネルを備えるネットワークにおいて、トンネルパケットをセキュリティ装置４０等の解析ツールが解析可能なフォーマットに変換するためのコストを低減することができる。
［構成］
次に、図１のフォーマット変換装置２０、フローコレクタ５０、および、コントローラ６０の構成を詳細に説明する。
フォーマット変換装置２０は、例えば、図２に示すように、入出力部２１、記憶部２２および制御部２３を備える。入出力部２１は、フォーマット変換対象のパケットの入力や、フォーマット変換後のパケットの出力を司る入出力インタフェースである。
記憶部２２は、制御部２３が処理を実行する際に必要な各種情報を記憶する。この記憶部２２は、トンネルＤＢ（データベース）を記憶する。このトンネルＤＢは、加入者アドレス（例えば、ＣＰＥのアドレス）と当該加入者が利用するトンネルのトンネルアドレス（トンネルの識別情報）とを対応付けた情報である。このトンネルＤＢは、システム１の管理者等により入力される。なお、このトンネルＤＢは、フォーマット変換装置２０以外の装置に記憶されていてもよい。
制御部２３は、フォーマット変換装置２０全体の制御を司り、例えば、変換部２３１を備える。変換部２３１は、入力されたパケットを、セキュリティ装置４０で解析可能なフォーマットに変換する。
フローコレクタ５０は、例えば、図３に示すように、入出力部５１、記憶部５２、および制御部５３を備える。入出力部５１は、フローのトラフィック情報（例えば、xFlow情報）の入力や、フローの検査結果の出力を司る入出力インタフェースである。
記憶部５２は、制御部５３が処理を実行する際に必要な各種情報を記憶する。また、記憶部５２は、トンネルトラフィックＤＢと、ユーザトラフィックＤＢとを記憶する。トンネルトラフィックＤＢは、トンネルごとのトラフィック状況（例えば、トンネルごとの使用帯域等）を示した情報である。ユーザトラフィックＤＢは、フローごとのトラフィック状況を示した情報である。なお、記憶部５２は、各装置（例えば、フォーマット変換装置２０、ＳＷ３０、セキュリティ装置４０）の利用帯域の情報も記憶する。
制御部５３は、フローコレクタ５０全体の制御を司り、例えば、異常検知部５３１と、トラフィック情報処理部５３２とを備える。異常検知部５３１は、フローやトンネルのトラフィック情報に基づき、当該フローやトンネルの異常検知を行う。例えば、異常検知部５３１は、ＳＷ３０から出力されたxFlow情報を参照して、帯域が所定値以上のフローを検知した場合、当該フローに異常が発生していることを検知する。
トラフィック情報処理部５３２は、各トンネルのトラフィック状況をトンネルトラフィックＤＢに記録する。例えば、トラフィック情報処理部５３２は、バックボーンルータ１０から取得した各トンネルのトラフィック状況（トラフィック情報）をトンネルトラフィックＤＢに記録する。また、トラフィック情報処理部５３２は、各トンネルを流れるフローのトラフィック状況をユーザトラフィックＤＢに記録する。例えば、トラフィック情報処理部５３２は、ＳＷ３０から出力されたフローのxFlow情報に示される帯域情報、プロトコル情報等をユーザトラフィックＤＢに記録する。
コントローラ６０は、例えば、図４に示すように、入出力部６１、記憶部６２および制御部６３を備える。入出力部６１は、フローコレクタ５０による異常検知の結果の入力や、バックボーンルータ１０へのサンプリングレートの設定の出力等を司る。記憶部６２は、制御部５３が処理を実行する際に必要な各種情報を記憶する。制御部６３は、コントローラ６０全体の制御を司り、例えば、トンネル特定部６３０、サンプリングレート算出部６３１、サンプリングレート設定部６３２、フィルタ設定部６３３を備える。
トンネル特定部６３０は、サンプリングレート設定部６３２によるサンプリングレートの変更の対象となるトンネル（被疑トンネル）を特定する。例えば、トンネル特定部６３０は、フローコレクタ５０から、フローの異常を検知した旨の検知通知を受信した場合、異常が検知されたフローと同じ通信元または通信先を持つフローを収容するトンネルを特定する。一例を挙げると、トンネル特定部６３０は、フローコレクタ５０から、攻撃者と思われるサーバと通信を行っているフローを検知した旨の検知結果を受信した場合、フォーマット変換装置２０に記憶されるトンネルＤＢにアクセスし、当該サーバとの通信に用いられているトンネル（被疑トンネル）を特定する。
サンプリングレート算出部６３１は、各トンネルのサンプリングレートを算出する。例えば、サンプリングレート算出部６３１は、全トンネルのトラフィック量に基づき、全トンネルのサンプリングレート（初期状態のサンプリングレート）を算出する。また、サンプリングレート算出部６３１は、トンネル特定部６３０により、被疑トンネルが特定された場合、当該被疑トンネルのパケットのサンプリングレートを、初期状態のサンプリングレートよりも高くするよう設定する。
なお、サンプリングレート算出部６３１による各トンネルのサンプリングレートの算出の詳細は後記する。
サンプリングレート設定部６３２は、バックボーンルータ１０に対し、各トンネルのサンプリングレートの設定を行う。例えば、サンプリングレート設定部６３２は、バックボーンルータ１０に対し、サンプリングレート算出部６３１により算出された各トンネルのサンプリングレートを設定する。また、トンネル特定部６３０により被疑トンネルが特定された場合、サンプリングレート設定部６３２は、バックボーンルータ１０に対し、被疑トンネル以外のトンネルのパケットのコピーの中止を指示する（コピーの設定解除を行う）。
また、サンプリングレート設定部６３２は、バックボーンルータ１０に対し、被疑トンネルのパケットのサンプリングレートを高く設定したが、セキュリティ装置４０において、当該被疑トンネルのパケットのフローの異常が検知されなかった場合、セキュリティ装置４０において当該被疑トンネルをさらに詳細に検査させるようにする。例えば、サンプリングレート設定部６３２は、セキュリティ装置４において当該被疑トンネルを１本ずつさらに詳細に検査させるようにする。
例えば、被疑トンネルがトンネルＡ，Ｂである場合を考える。この場合、サンプリングレート設定部６３２は、まず、トンネルＡ，Ｂを収容するバックボーンルータ１０に対し、トンネルＡにパケットのコピーを設定し、トンネルＢについてはパケットのコピーの中止を設定する。その後、サンプリングレート設定部６３２は、バックボーンルータ１０に対し、トンネルＢにパケットのコピーを設定し、トンネルＡについてはパケットのコピーの中止を設定する。これにより、セキュリティ装置４０においてトンネルＡ→トンネルＢの順に１本ずつトンネルのパケットの検査が行われることになる。
フィルタ設定部６３３は、ＳＷ３０に対するフィルタの設定を行う。例えば、フィルタ設定部６３３は、初期状態（例えば、全トンネルのパケットのサンプリングが行われている状態）では、ＳＷ３０に全パケットを遮断するようフィルタを設定する。また、被疑トンネルのパケットのサンプリングの開始後は、フィルタ設定部６３３は、例えば、ＳＷ３０に被疑サーバ等との通信トラフィックのみを通すようフィルタを設定する。また、被疑トンネルのパケットのサンプリングの開始後、フィルタ設定部６３３は、ＳＷ３０にフィルタをすべて解除するよう設定してもよい。
［初期状態］
次に、システム１の動作例を説明する。まず、図５、図６を用いて、システム１の初期状態の動作例を説明する。
図５に示すように、システム１は、全トンネルのトラフィックをフローコレクタ５０で監視する（（１））。つまり、フローコレクタ５０は、バックボーンルータ１０から全トンネルのトラフィック情報を取得し、このトラフィック情報により全トンネルのトラフィックを監視する。
その後、コントローラ６０（図５、図６において図示省略）は、フローコレクタ５０による全トンネルのトラフィックの監視結果に基づき、各トンネルのサンプリングレートを決定する。
例えば、コントローラ６０のサンプリングレート算出部６３１は、全トンネルのトラフィック量に基づき、全トンネルからサンプリングされた時間あたりのパケットの合計が、フォーマット変換装置２０に設定された帯域を超えないような値となるよう、各トンネルのサンプリングレート（例えば、サンプリングレートｘ）を決定する。そして、サンプリングレート設定部６３２は、バックボーンルータ１０に対し、サンプリングレートｘで各トンネルのパケットをサンプリングし、コピーするよう設定する。
これにより、バックボーンルータ１０は、サンプリングレートｘで各トンネルのパケットをサンプリングし、コピーし（（２））、フォーマット変換装置２０へ出力する。フォーマット変換装置２０は、フォーマット変換後の各トンネルのパケットをＳＷ３０へ出力する。
図６の説明に移る。図５の（２）の後、ＳＷ３０は、フォーマット変換装置２０から出力されたパケット（つまり、各トンネルからサンプリングされたパケット）のxFlow情報をフローコレクタ５０へ送信する（図６の（３））。フローコレクタ５０は、（３）でＳＷ３０から送信されたxFlow情報により、各トンネルのパケットのフローを監視する（（４））。
［フローコレクタがフローの異常を検知した場合］
次に、図７、図８を用いて、図６において、システム１のフローコレクタ５０がフローの異常を検知した場合の動作例を説明する。
例えば、図６の（４）の後、フローコレクタ５０が攻撃者（ＩＰ：Ａ）との通信を検知すると（図７の（５））、コントローラ６０のトンネル特定部６３０は、フォーマット変換装置２０のトンネルＤＢへアクセスし、攻撃者（ＩＰ：Ａ）と通信を行っているトンネル（被疑トンネル）を特定する（（６））。そして、コントローラ６０は、被疑トンネルに対して、サンプリングレートをｙ（ｙ＞ｘ）に変更し、他のトンネルに対しては、コピー設定を解除する（（７））。これにより、サンプリングレートｙでサンプリングされたパケットは、フォーマット変換装置２０により変換され、ＳＷ３０に出力される。
図８の説明に移る。図７の（７）の後、コントローラ６０は、ＳＷ３０に対し、特定のトラフィック（攻撃者と通信しているトラフィック）のみ通すようにフィルタの設定を行う（図８の（８））。これにより、被疑トンネルからサンプリングされたパケットは、セキュリティ装置４０に到達する。そして、セキュリティ装置４０は、被疑トンネルからサンプリングされたパケットの詳細検知を実施し（（９））、検知情報をコントローラ６０へ送信する（（１０））。これにより、コントローラ６０は、被疑トンネルを流れるパケットの詳細な検知結果を得ることができる。
［被疑トンネルを１本ずつ検査する場合］
次に、図９、図１０を用いて、図８において、セキュリティ装置４０が異常を検知しなかった場合の動作例を説明する。
例えば、図８の（９）において、セキュリティ装置４０が被疑トンネルのパケットの詳細検知を実施したが、異常を検知できなかった場合、コントローラ６０は、被疑トンネル（図７の（６）で特定した被疑トンネル）の中から１つずつ検査を行うために、特定のトンネルトラフィックのみサンプリングレートｚでコピー設定を行う（図９の（１１））。例えば、コントローラ６０は、被疑トンネルの中から選択した特定のトンネルに対し、サンプリングレートｚ（ｚ＞ｙ）でのパケットのコピー設定を行い、その他のトンネルのパケットのコピー設定を解除する。
（１１）の後、特定のトンネルからコピーされたパケットはフォーマット変換装置２０によりフォーマット変換され、ＳＷ３０経由でセキュリティ装置４０に到達する。そして、セキュリティ装置４０は、パケットの詳細検知を実施し（（１２））、検知情報をコントローラ６０へ送信する（（１３））。コントローラ６０は、（１１）の特定のトンネルのコピー設定と、他のトンネルのコピー設定の解除とを、他の被疑トンネルに対しても実行する。これにより、セキュリティ装置４０において、被疑トンネルを１本ずつ、より詳細に検査することができる。
（１３）の後、システム１は、各トンネルの監視状態を初期状態に戻す。例えば、コントローラ６０は、図１０に示すように、バックボーンルータ１０の全トンネルに対し、初期状態であるサンプリングレートｘを再設定する（図１０の（１４））。また、コントローラ６０は、ＳＷ３０のフィルタの再設定を実施する（（１５））。
［処理手順］
次に、図１１を用いて、システム１の処理手順を説明する。まず、システム１は、各トンネルの常時監視を行う（図１１の（１））。ここでの監視トンネルは全トンネルである。
例えば、システム１のフローコレクタ５０のトラフィック情報処理部５３２は、バックボーンルータ１０から全トンネルのトラフィック情報を取得する（Ｓ１）。そして、コントローラ６０は、Ｓ１で取得された各トンネルのトラフィック情報を参照して、全トンネルのサンプリングレートの計算・決定を行い（Ｓ２）、バックボーンルータ１０に対し、各トンネルに、Ｓ２で決定したサンプリングレートｘを設定する（Ｓ３）。
Ｓ３の後、ＳＷ３０は、各トンネルからサンプリングされ、フォーマット変換装置２０によりフォーマット変換されたパケットを受信すると、フローコレクタ５０へ、受信したパケットのフローのxFlow情報を通知する。そして、フローコレクタ５０は、通知されたxFlow情報による異常検知を行う（Ｓ４）。例えば、フローコレクタ５０は、xFlow情報を参照して、帯域が所定値以上のフローがあった場合、そのフローの異常を検知する。
Ｓ４の後、システム１は、フローコレクタ５０において異常が検知されたフローを収容するトンネル（被疑トンネル）のパケットの詳細検知を行う（（２））。つまり、システム１は、被疑トンネルに対する詳細な検知を行う。
すなわち、Ｓ４の後、まず、コントローラ６０のトンネル特定部６３０は、パケットのサンプリングを行うトンネルの決定（被疑トンネル）を行う（Ｓ５）。例えば、コントローラ６０のトンネル特定部６３０は、Ｓ４において異常が検知されたフローを収容するトンネルや、当該フローの通信先のサーバと同じサーバとトンネル通信を行うトンネルを被疑トンネルとして決定（特定）する。ここでの、被疑トンネルの決定には、例えば、フォーマット変換装置２０のトンネルＤＢの情報が参照される。
Ｓ５の後、コントローラ６０は、Ｓ５で決定した被疑トンネルのサンプリングレートの計算・決定を行う（Ｓ６）。そして、コントローラ６０は、バックボーンルータ１０に対し、Ｓ６で決定した、被疑トンネルのサンプリングレートｙ（例えば、上記のサンプリングレートｘより大きいサンプリングレート）を設定する（Ｓ７）。また、サンプリングレート設定部６３２は、被疑トンネル以外のトンネルのコピー設定を解除する。
Ｓ７の後、サンプリングレートｙでサンプリングされた被疑トンネルのパケットが、フォーマット変換装置２０、ＳＷ３０経由でセキュリティ装置４０に到達すると、セキュリティ装置４０は、当該パケットの詳細な検査を実施する。そして、セキュリティ装置４０において当該パケットの詳細な検査の結果、攻撃（異常）を検知した場合（Ｓ８でＹｅｓ）、攻撃に対する何らかの対処が行われた後、システム１は、各トンネルの監視状態を初期状態に戻す（Ｓ１５）。
一方、セキュリティ装置４０における被疑トンネルのパケットの詳細な検査の結果、いずれの被疑トンネルのパケットについても攻撃（異常）を検知しなかった場合（Ｓ７でＮｏ）、システム１は被疑トンネルを順番に検査する（（３））。つまり、システム１は、被疑トンネルを１本ずつ順番にさらに詳細に検査する。
例えば、セキュリティ装置４０が、いずれの被疑トンネルのパケットについても攻撃（異常）を検知しなかった場合（Ｓ８でＮｏ）、コントローラ６０は、被疑トンネルの検査順を決定する（Ｓ９）。例えば、被疑トンネルがトンネルＡ，Ｂであった場合、コントローラ６０は、トンネルＡ→トンネルＢの順で検査することを決定する。
ここで、Ｓ９で決定された検査対象のトンネルの帯域が、各装置（例えば、フォーマット変換装置２０、セキュリティ装置４０）の帯域以上であれば（Ｓ１０でＹｅｓ）、コントローラ６０はサンプリングレートの再計算を行う。つまり、コントローラ６０は、検査対象のトンネルのサンプリングレートの計算・決定を行う（Ｓ１１）。そして、コントローラ６０は、バックボーンルータ１０に対し、検査対象のトンネルのサンプリングレートとして、Ｓ１１で決定したサンプリングレートｚを設定する（Ｓ１２）。
一方、Ｓ９で決定された検査対象のトンネルの帯域が、各装置（例えば、フォーマット変換装置２０、ＳＷ３０、セキュリティ装置４０）の帯域未満であれば（Ｓ１０でＮｏ）、コントローラ６０は、バックボーンルータ１０に対し、検査対象のトンネルのサンプリングレートを１／１に設定する（Ｓ１３）。例えば、コントローラ６０は、検査対象のトンネルの帯域が、フォーマット変換装置２０、ＳＷ３０およびセキュリティ装置４０のいずれの帯域よりも小さければ、当該検査対象のトンネルに対し、すべてのパケットをコピーし、フォーマット変換装置２０へ出力するよう設定する。
コントローラ６０は、上記のＳ１０〜Ｓ１３の処理を、被疑トンネルすべてに対し実行する。そして、コントローラ６０は、被疑トンネルすべてについて検査完了を確認すると（Ｓ１４でＹｅｓ）、全トンネルの監視状態を初期状態に戻す（Ｓ１５）。例えば、コントローラ６０は、バックボーンルータ１０の全トンネルを低サンプリングレート（サンプリングレートｘ）に戻し、ＳＷ３０のフィルタの再設定を行う。なお、コントローラ６０は、いずれかの被疑トンネルの検査がまだ完了していなければ（Ｓ１４でＮｏ）、Ｓ１４の処理に戻る。
［動作シーケンス］
次に、システム１の処理手順の詳細を、図１２、図１３に示すシーケンス図を用いて説明する。まず、図１２を用いて、システム１の常時監視フェーズ（初期の状態）について説明する。
例えば、システム１は、図１２に示すように、バックボーンルータ１０は、自身の収容するトンネルのトラフィック情報をフローコレクタ５０へ送信する（Ｓ１０１）。その後、フローコレクタ５０は、受信したトンネルのトラフィック情報をコントローラ６０へ通知する（Ｓ１０２）。コントローラ６０は、Ｓ１０２で通知されたトンネルのトラフィック情報に基づき、当該トンネルのサンプリングレートを決定する（Ｓ１０３）。そして、コントローラ６０は、当該トンネルを収容するバックボーンルータ１０に対し、Ｓ１０３で決定した当該トンネルのサンプリングレートｘを設定する（Ｓ１０４）。
バックボーンルータ１０は、Ｓ１０４で設定されたサンプリングレートｘでトンネルのパケットのサンプリング（サンプリングコピー）を行い、サンプリングしたパケットをフォーマット変換装置２０へ送信する（Ｓ１０５）。フォーマット変換装置２０は、Ｓ１０５で送信されたパケットのフォーマットを変換し、フォーマット変換後のパケットをＳＷ３０へ出力する（Ｓ１０６）。その後、ＳＷ３０は、Ｓ１０６で出力されたパケットのフローのxFlow情報をフローコレクタ５０へ出力する（Ｓ１０７）。
次に、システム１の詳細検知フェーズについて説明する。フローコレクタ５０は、Ｓ１０７で出力されたxFlow情報に基づき、フローの異常を検知すると、異常を検知したフローにおける被疑サーバと通信しているＣＰＥのアドレス情報をコントローラ６０へ通知する（Ｓ１１１）。
Ｓ１１１の後、コントローラ６０は、フォーマット変換装置２０のトンネルＤＢを参照して、Ｓ１１１で通知されたＣＰＥのアドレス情報に対応するトンネルアドレスを特定する（Ｓ１１２）。そして、コントローラ６０は、Ｓ１１２で特定したトンネルアドレスのトンネルを、パケットのサンプリングを行うトンネル（被疑トンネル）とする（Ｓ１１３：サンプリングを行うトンネルの決定）。
Ｓ１１３の後、コントローラ６０は、フローコレクタ５０に対し、各装置（例えば、フォーマット変換装置２０、ＳＷ３０、セキュリティ装置４０）の利用帯域を問い合わせ（Ｓ１１４）、フローコレクタ５０から各装置の利用帯域を取得する（Ｓ１１５）。そして、コントローラ６０は、Ｓ１１５で取得した各装置の利用帯域の値を参照して、各トンネル（被疑トンネル）のサンプリングレートを決定する（Ｓ１１６）。
例えば、Ｓ１１６において、コントローラ６０は、各トンネルのサンプリングレートが、フォーマット変換装置２０、ＳＷ３０およびセキュリティ装置４０のいずれの帯域未満となるよう、各トンネルのサンプリングレートｙを決定する。なお、ここで決定されるサンプリングレートｙは、常時監視フェーズにおいて全トンネルに設定されていたサンプリングレートｘよりも高いものとする。
図１３の説明に移る。コントローラ６０は、被疑トンネルを収容するバックボーンルータ１０に対し、Ｓ１１６で決定した被疑トンネルのサンプリングレートｙへ変更する（Ｓ１２０）。また、コントローラ６０は、ＳＷ３０に対し、特定のトラフィック（被疑サーバと通信しているトラフィック）のみ通すようにフィルタを設定する（Ｓ１２１）。その後、バックボーンルータ１０は、Ｓ１２１で変更されたサンプリングレート（常時監視フェーズよりも高いサンプリングレート）でパケットのサンプリングを行い、サンプリングしたパケットをフォーマット変換装置２０へ送信する（Ｓ１２２）。そして、フォーマット変換装置２０によるフォーマット変換後のパケットはＳＷ３０経由でセキュリティ装置４０に到達する（Ｓ１２３）。その後、セキュリティ装置４０は、受信したパケットの詳細な検知を行い（Ｓ１２４）、検知情報をコントローラ６０へ送信する（Ｓ１２５）。
このようにすることで、システム１は、まず全トンネルの監視を行った後、異常が発生している可能性のあるトンネル（被疑トンネル）について、セキュリティ装置４０に詳細な検知（検査）を行わせることができる。
ここで、上記の詳細検知フェーズにおいて、セキュリティ装置４０がいずれの被疑トンネルについても異常を検知しなかった場合、システム１は、被疑トンネルを順番に検査するフェーズ（さらに詳細な検知を行うフェーズ）を実行する。
例えば、コントローラ６０は、Ｓ１２５で受信した検知情報がいずれの被疑トンネルについても異常を検知しなかった旨の情報であった場合、被疑トンネルに対しさらに詳細な検査を行うための検査順を決定する。そして、コントローラ６０は、最初に検査するトンネルから順に以下の処理を実行する。すなわち、コントローラ６０は、検査対象のトンネルを収容するバックボーンルータ１０に対し、当該トンネルのサンプリングレートｚ（Ｓ１２１で設定したサンプリングレートｙよりもさらに高いサンプリングレート）に変更する（Ｓ１２６）。例えば、サンプリングレートを１／１に設定する。また、コントローラ６０は、ＳＷ３０に対し、特定のトラフィック（被疑サーバと通信しているトラフィック）のみ通すようにフィルタを設定する（Ｓ１２７）。
Ｓ１２７の後、バックボーンルータ１０は、Ｓ１２６で変更されたサンプリングレートｚでパケットのサンプリングを行い、サンプリングしたパケットをフォーマット変換装置２０へ送信する（Ｓ１２８）。Ｓ１２９〜Ｓ１３１の処理は、Ｓ１２３〜Ｓ１２５の処理と同様なので説明を省略する。Ｓ１３１の後、コントローラ６０は、次の被疑トンネルについて、Ｓ１２６〜Ｓ１３１の処理を実行する。コントローラ６０は、このような処理をすべての被疑トンネルについて実行する。
このようにすることで、システム１は、被疑トンネルについて、詳細検知フェーズで異常が検知されなかった場合、被疑トンネル１本１本について、さらに詳細な検知（検査）を行うことができる。
システム１は、詳細検知フェーズ、または、順番に検査するフェーズが終了すると、初期状態（常時監視フェーズ）への再設定フェーズを実行する。すなわち、コントローラ６０は、バックボーンルータ１０に対し、全トンネルにサンプリングレートをサンプリングレートｘに再設定し（Ｓ１３２）、ＳＷ３０にフィルタの再設定を行う（Ｓ１３３）。このようにすることで、システム１は、被疑トンネルの検査終了後、再度、全トンネルの常時監視状態に戻すことができる。
［サンプリングレートの決定の詳細］
次に、コントローラ６０のサンプリングレート算出部６３１におけるサンプリングレートの決定について詳細に説明する。
コントローラ６０のサンプリングレート算出部６３１は、図１４に示すように、フォーマット変換装置２０、ＳＷ３０およびセキュリティ装置４０の帯域を溢れさせないように各バックボーンルータ１０のトンネルのサンプリングレートを決定する。例えば、サンプリングレート算出部６３１は、フォーマット変換装置２０、ＳＷ３０およびセキュリティ装置４０それぞれの帯域のうち、最少の帯域未満で、最大のサンプリングレートを決定する。つまり、サンプリングレート算出部６３１は、フォーマット変換装置２０、ＳＷ３０およびセキュリティ装置４０の帯域のボトルネックを考慮しつつ、各トンネルのサンプリングレートを最大限上げるようにする。
ここで、サンプリングレートの決定にあたり、事前に各トンネルのトラフィック（帯域）を学習しておく必要がある。そこで、例えば、フローコレクタ５０は、図１５に示すように、全トンネルのトラフィックを監視し、過去のトラフィックデータを蓄積する。例えば、フローコレクタ５０は、トンネル（１）〜トンネル（４）の帯域を時間ごとに監視し、蓄積する。また、フローコレクタ５０は、時間ごとの各トンネルの合計トラフィックについても蓄積しておく。そして、コントローラ６０のサンプリングレート算出部６３１は、フローコレクタ５０に蓄積された、時間ごとの各トンネルのトラフィック、時間ごとの各トンネルの合計トラフィック等を用いて、各トンネルのサンプリングレートを決定する。
ここで、サンプリングレート算出部６３１によるサンプリングレートの決定方法には、例えば、２つの方法がある。例えば、図１６の方法（１）に示すように、各トンネルのサンプリングレートを同一（例えば、サンプリングレートｘ）にする方法と、方法（２）に示すように、各トンネルのコピー後（サンプリング後）のトラフィックを同一にするようなサンプリングレート（サンプリングレートｘ、サンプリングレートｙ）にする方法とがある。方法（２）の場合、サンプリングレート算出部６３１は、トラフィックの多いトンネルについてはサンプリングレートを低く決定し、トラフィックの少ないトンネルについてはサンプリングレートを高く決定する。
また、各トンネルの帯域（トラフィック）の取得方法は、例えば、２つの方法がある。例えば、図１６の帯域取得方法（１）に示すように、各トンネル（トンネル（１）〜トンネル（Ｎ））のトラフィックの最大値を利用する方法と、帯域取得方法（２）に示すように各トンネルの合計トラフィックの最大値を利用する方法とがある。
ここでサンプリングレートの決定方法と、帯域取得方法との組み合わせごとに、各トンネルのサンプリングレートｒの算出方法をまとめると、図１７に示すようになる。
すなわち、図１７に示すように、帯域取得方法（１）（各トンネルのトラフィックの最大値を利用する方法）で、サンプリングレートの決定方法（１）（各トンネルのサンプリングレートを同一にする方法）を用いた場合、サンプリングレート算出部６３１は、フォーマット変換装置２０、ＳＷ３０およびセキュリティ装置４０（各装置）の帯域を溢れさせないようにするため、全トンネルのサンプリングレートｒを、式（１）により計算する。
また、帯域取得方法（１）（各トンネルのトラフィックの最大値を利用する方法）で、サンプリングレートの決定方法（２）（各トンネルのコピー後のトラフィックを同一にする方法）を用いた場合、サンプリングレート算出部６３１は、各装置の帯域を溢れさせないようにするため、トンネルｉのサンプリングレートｒｉを、式（２）により計算する。なお、式（２）におけるＴＦ／Ｎは、トンネル１本当たりの帯域を示す。
さらに、帯域取得方法（２）（各トンネルの合計トラフィックの最大値を利用する方法）で、サンプリングレートの決定方法（１）（各トンネルのサンプリングレートを同一にする方法）を用いた場合、サンプリングレート算出部６３１は、各装置の帯域を溢れさせないようにするため、全トンネルのサンプリングレートｒを、式（３）により計算する。
なお、帯域取得方法（２）（各トンネルの合計トラフィックの最大値を利用する方法）で、サンプリングレートの決定方法（２）（各トンネルのコピー後のトラフィックを同一にする方法）を用いる場合については、該当する方法はない。
なお、システム１が被疑トンネルを１本ずつ順番に検査する場合、サンプリングレート算出部６３１は、図１８に示す方法で、検査対象のトンネルのサンプリングレートを決定する。すなわち、各装置の最低帯域（フォーマット変換装置２０、ＳＷ３０およびセキュリティ装置４０の帯域のうち、最低の帯域）が、検査対象のトンネルの帯域以下の場合、サンプリングレート算出部６３１は、フォーマット変換装置２０、ＳＷ３０およびセキュリティ装置４０の帯域を溢れさせないようにするため、検査対象のトンネルｉのサンプリングレートｒｉを、式（４）により決定する。
一方、各装置の最低帯域が、検査対象のトンネルの帯域よりも大きい場合、単一トンネルの全てのトラフィックをサンプリングしても、いずれの装置の帯域も溢れさせないので、サンプリングレート算出部６３１は、サンプリングレートを１／１に決定する。
このようにすることで、コントローラ６０は、フォーマット変換装置２０、ＳＷ３０およびセキュリティ装置４０の帯域を溢れさせないように、各バックボーンルータ１０のトンネルのサンプリングレートを設定することができる。
［プログラム］
また、上記の各実施形態で述べたコントローラ６０の機能を実現するプログラムを所望の情報処理装置（コンピュータ）にインストールすることによって実装できる。例えば、パッケージソフトウェアやオンラインソフトウェアとして提供される上記のプログラムを情報処理装置に実行させることにより、情報処理装置をコントローラ６０として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal Handyphone System）等の移動体通信端末、さらには、ＰＤＡ（Personal Digital Assistant）等がその範疇に含まれる。また、コントローラ６０の機能を、クラウドサーバに実装してもよい。
図１９を用いて、上記のプログラム（異常検知プログラム）を実行するコンピュータの一例を説明する。図１９に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。
メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１およびＲＡＭ（Random Access Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。ディスクドライブ１１００には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。
ここで、図１９に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記の実施形態で説明した各種データや情報は、例えばハードディスクドライブ１０９０やメモリ１０１０に記憶される。
そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。
なお、上記の異常検知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１１００等を介してＣＰＵ（Central Processing Unit）１０２０によって読み出されてもよい。あるいは、上記のプログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
１ システム
１０ バックボーンルータ
２０ フォーマット変換装置
３０ ＳＷ
４０ セキュリティ装置
５０ フローコレクタ
６０ コントローラ
２３１ 変換部
５３１ 異常検知部
５３２ トラフィック情報処理部
６３０ トンネル特定部
６３１ サンプリングレート算出部
６３２ サンプリングレート設定部
６３３ フィルタ設定部

Claims (6)

  1. トンネルのパケットを所定のサンプリングレートでサンプリングし、コピーするルータと、コピーされた前記トンネルのパケットのフォーマットをセキュリティ装置で解析可能なフォーマットに変換するフォーマット変換装置と、前記ルータの制御を行うコントローラとを備える異常検知システムであって、
    前記フォーマット変換装置は、
    前記ルータから、１以上の前記トンネルのパケットのコピーを受信し、前記受信したパケットのフォーマットの変換を行う変換部を備え、
    前記コントローラは、
    前記パケットのフローの異常が検知された場合、前記異常が検知されたフローを収容するトンネルを特定するトンネル特定部と、
    特定した前記トンネルのパケットのサンプリングレートを、前記所定のサンプリングレートよりも高くするよう、前記トンネルを中継するルータに設定し、前記トンネル以外のトンネルのパケットのコピーの中止を、当該トンネルを中継するルータに設定するサンプリングレート設定部と、
    を備えることを特徴とする異常検知システム。
  2. 前記トンネル特定部は、
    前記パケットのフローの異常が検知された場合、前記異常が検知されたフローと同じ通信元または通信先を持つフローを収容するトンネルを特定する
    ことを特徴とする請求項１に記載の異常検知システム。
  3. 前記サンプリングレート設定部は、
    特定した前記トンネルのパケットのサンプリングレートを設定する際、前記所定のサンプリングレートよりも高く、かつ、前記サンプリングされるパケットのトラフィック量の合計が、前記フォーマット変換装置および前記セキュリティ装置のいずれの帯域よりも低くなるようサンプリングレートを設定する
    ことを特徴とする請求項１に記載の異常検知システム。
  4. 前記サンプリングレート設定部は、
    特定した前記トンネルのパケットのサンプリングレートを設定する際、前記所定のサンプリングレートよりも高く、かつ、過去所定期間における、特定した前記トンネルのトラフィック量の最大値の合計、または、特定した前記トンネルのトラフィック量の合計の最大値が、前記フォーマット変換装置および前記セキュリティ装置のいずれの帯域よりも低くなるようサンプリングレート設定する
    ことを特徴とする請求項１に記載の異常検知システム。
  5. トンネルのパケットを所定のサンプリングレートでサンプリングし、コピーするルータと、前記コピーされたトンネルのパケットのフォーマットをセキュリティ装置で解析可能なフォーマットに変換するフォーマット変換装置と、前記ルータの制御を行うコントローラとを備える異常検知システムにおける異常検知方法であって、
    前記フォーマット変換装置が、
    前記ルータから、１以上の前記トンネルのパケットのコピーを受信し、前記受信したパケットのフォーマットの変換を行うステップと、
    前記コントローラが、
    前記パケットのフローの異常が検知された場合、前記異常が検知されたフローを収容するトンネルを特定するステップと、
    特定した前記トンネルのパケットのサンプリングレートを、前記所定のサンプリングレートよりも高くするよう、前記トンネルを中継するルータに設定し、前記異常が検知されなかったフローを中継するトンネルのパケットのコピーの中止を、前記トンネルを中継するルータに設定するステップと、
    を含んだことを特徴とする異常検知方法。
  6. トンネルのパケットを所定のサンプリングレートでサンプリングし、コピーするルータと、前記コピーされたトンネルのパケットのフォーマットをセキュリティ装置で解析可能なフォーマットに変換するフォーマット変換装置と、前記ルータの制御を行うコンピュータとを備える異常検知システムにおける異常検知プログラムであって、
    前記コンピュータに、
    前記パケットのフローの異常が検知された場合、前記異常が検知されたフローを収容するトンネルを特定するステップと、
    特定した前記トンネルのパケットのサンプリングレートを、前記所定のサンプリングレートよりも高くするよう、前記トンネルを中継するルータに設定し、前記異常が検知されなかったフローを中継するトンネルのパケットのコピーの中止を、前記トンネルを中継するルータに設定するステップと、
    を実行させることを特徴とする異常検知プログラム。
JP2017237772A 2017-12-12 2017-12-12 異常検知システム、異常検知方法、および、異常検知プログラム Active JP6683673B2 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2017237772A JP6683673B2 (ja) 2017-12-12 2017-12-12 異常検知システム、異常検知方法、および、異常検知プログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2017237772A JP6683673B2 (ja) 2017-12-12 2017-12-12 異常検知システム、異常検知方法、および、異常検知プログラム

Publications (2)

Publication Number Publication Date
JP2019106621A JP2019106621A (ja) 2019-06-27
JP6683673B2 true JP6683673B2 (ja) 2020-04-22

Family

ID=67062087

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2017237772A Active JP6683673B2 (ja) 2017-12-12 2017-12-12 異常検知システム、異常検知方法、および、異常検知プログラム

Country Status (1)

Country Link
JP (1) JP6683673B2 (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021149245A1 (ja) * 2020-01-24 2021-07-29 日本電信電話株式会社 変換装置、変換方法及び変換プログラム

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006191433A (ja) * 2005-01-07 2006-07-20 Nippon Telegr & Teleph Corp <Ntt> 踏み台パケット・進入中継装置特定装置
JP2007142841A (ja) * 2005-11-18 2007-06-07 Nippon Telegr & Teleph Corp <Ntt> 攻撃パケット迂回システム、方法、およびトンネル機能付きルータ
US9794272B2 (en) * 2006-01-03 2017-10-17 Alcatel Lucent Method and apparatus for monitoring malicious traffic in communication networks
KR20080057161A (ko) * 2006-12-19 2008-06-24 주식회사 케이티프리텔 점대점 터널링 통신을 위한 침입 방지 장치 및 방법
JP2009130664A (ja) * 2007-11-26 2009-06-11 Yokogawa Electric Corp 不正侵入検出システムおよび不正侵入検出方法
JP2010088031A (ja) * 2008-10-02 2010-04-15 Nec Corp アンダーレイネットワーク障害検知方法及びネットワークシステム
EP3145130B1 (en) * 2014-06-18 2019-02-27 Nippon Telegraph and Telephone Corporation Network system, communication control method, and communication control program
JP6290849B2 (ja) * 2015-11-27 2018-03-07 日本電信電話株式会社 トラフィック解析システムおよびトラフィック解析方法

Also Published As

Publication number Publication date
JP2019106621A (ja) 2019-06-27

Similar Documents

Publication Publication Date Title
US9794272B2 (en) Method and apparatus for monitoring malicious traffic in communication networks
JP5518594B2 (ja) 内部ネットワーク管理システム及び内部ネットワーク管理方法及びプログラム
EP1682990B1 (en) Apparatus method and medium for detecting payload anomaly using n-gram distribution of normal data
US7752307B2 (en) Technique of analyzing an information system state
JP6691268B2 (ja) 監視装置、監視方法および監視プログラム
WO2021061250A1 (en) Detection and mitigation ddos attacks performed over quic communication protocol
US11558410B2 (en) Measurement and analysis of traffic filtered by network infrastructure
JP6502902B2 (ja) 攻撃検知装置、攻撃検知システムおよび攻撃検知方法
JP2014123996A (ja) ネットワーク監視装置及びプログラム
JP6683673B2 (ja) 異常検知システム、異常検知方法、および、異常検知プログラム
US20110141899A1 (en) Network access apparatus and method for monitoring and controlling traffic using operation, administration, and maintenance (oam) packet in internet protocol (ip) network
JP6470201B2 (ja) 攻撃検知装置、攻撃検知システムおよび攻撃検知方法
JP4161989B2 (ja) ネットワーク監視システム
US11611584B2 (en) Smart bits
JP6649296B2 (ja) セキュリティ対処案設計装置及びセキュリティ対処案設計方法
US20180191744A1 (en) System and method to implement cloud-based threat mitigation for identified targets
JP6325993B2 (ja) サービス監視装置、および、サービス監視方法
JP2013121008A (ja) 攻撃対策装置、攻撃対策方法及び攻撃対策プログラム
JP2020136888A (ja) 検知装置および検知方法
US9049170B2 (en) Building filter through utilization of automated generation of regular expression
JP6629174B2 (ja) 通信監視装置、通信監視方法及び通信監視プログラム
JP6563872B2 (ja) 通信システム、および、通信方法
EP3964988B1 (en) Sensing device, sensing method, and sensing program
US20080271148A1 (en) Anti-worm program, anti-worm apparatus, and anti-worm method
JP2016170651A (ja) 不正アクセス検出方法、装置、及びプログラム

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20190522

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20200312

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20200324

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20200326

R150 Certificate of patent or registration of utility model

Ref document number: 6683673

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150