JP7287852B2 - 監視システム、収集装置、アナライザ、監視方法、および監視プログラム - Google Patents

Description

本発明は、監視対象ネットワークのフローを監視する監視システム、収集装置、アナライザ、監視方法、および監視プログラムに関する。

通信装置が中継するトラフィックを、ＮｅｔＦｌｏｗのモニタリング機能を備えたフロー情報収集装置によって収集し、収集したフロー情報をネットワークフロー解析装置(以下、アナライザと呼ぶ)宛に送信し、アナライザによってネットワークフローを解析するネットワーク監視方法がある。近年、トラフィック量の増加に伴いアナライザの処理性能も向上しているが、アナライザが受信できる単位時間あたりのフロー情報量には上限があり、フロー情報収集装置からアナライザに送信するフロー情報を効率的に選択する必要がある。

また、特許文献１は、クラスに応じて抽出するパケット長や配信方法を変更可能とするＮＷ機器を開示する。このＮＷ機器は、分類手段とクラス別処理手段とトラフィック情報配信データ作成配信手段とを有する。分類手段が、受信したパケットを各クラスに分類する。クラス別処理手段が、各クラスに定められたトラフィック情報の配信手法に基づいて、パケットの一部を抽出するパケット抽出手法又はフローを集約するフロー集約手法のいずれかの配信手法を選択する。トラフィック情報配信データ作成配信手段が、クラス別処理手段で選択された配信手法による各トラフィック情報により構成されたトラフィック情報配信プロトコルパケットを作成し、トラフィック情報収集機器に配信する。また、クラス別処理手段はクラス毎にサンプリングや配信限度量のチェックもおこなう。

特開２００８－１９３６２８号公報

一般的に、通信装置が中継するデータ量は多く、通信装置が中継するデータをＮｅｔＦｌｏｗによりモニタリングしてフロー情報を収集し、全てのデータをアナライザに送信すると、フロー情報収集装置とアナライザの通信回線帯域やアナライザの性能から定まるアナライザの許容受信レートを超過しデータを喪失してしまう可能性が高い。

上記問題の解決策として特許文献１があるが、フロー情報収集装置がアナライザに送信するデータ量に応じて設置するアナライザの性能スペックと設置数を決定するため、アナライザに送信するデータ量が増加した場合、アナライザの受信許容レートを超過して情報が欠落してしまう可能性がある、という課題がある。

そこで本発明の一態様は、アナライザの許容受信レートを超えないように、フロー情報収集装置がアナライザに送信するデータを動的に決定することを目的とする。

上記課題を解決するため、第１開示技術の監視システムは、ネットワークを流れるパケットのフロー情報を収集する収集装置と、前記収集装置によって収集されたフロー情報を分析するアナライザと、を有する監視システムであって、前記収集装置は、前記パケットの識別情報ごとに前記パケットのフロー情報を登録し、動作レベルに基づいて前記フロー情報を制御する登録制御部と、前記フロー情報を収集する期間の経過後に前記フロー情報を前記アナライザに送信する第１送信部と、前記アナライザからの前記動作レベルの変更指示に基づいて、前記動作レベルを変更する第１動作レベル制御部と、を有し、前記アナライザは、前記第１送信部から送信されてくる前記フロー情報に基づいて、前記動作レベルの変更指示を前記収集装置に送信する第２送信部と、を有し、前記登録制御部は、特定のフロー情報を規定する前記パケットの識別情報の一部を無効にする、ことを特徴とする。
第２開示技術の監視システムは、ネットワークを流れるパケットのフロー情報を収集する収集装置と、前記収集装置によって収集されたフロー情報を分析するアナライザと、を有する監視システムであって、前記収集装置は、前記パケットの識別情報ごとに前記パケットのフロー情報を登録し、動作レベルに基づいて前記フロー情報を制御する登録制御部と、前記フロー情報を収集する期間の経過後に前記フロー情報を前記アナライザに送信する第１送信部と、前記アナライザからの前記動作レベルの変更指示に基づいて、前記動作レベルを変更する第１動作レベル制御部と、を有し、前記アナライザは、前記アナライザの負荷を監視する負荷監視部と、前記負荷監視部による決定結果から、前記動作レベルの変更の必要性を判定する第２動作レベル制御部と、前記第２動作レベル制御部によって前記動作レベルの変更の必要ありと判定された場合、前記動作レベルの変更指示を前記収集装置に送信する第２送信部と、を有する、ことを特徴とする。
第３開示技術の収集装置は、ネットワークを流れるパケットのフロー情報を収集する収集装置であって、前記パケットの識別情報ごとに前記パケットのフロー情報を登録し、動作レベルに基づいて前記フロー情報を制御する登録制御部と、前記フロー情報を収集する期間の経過後に前記フロー情報を、前記収集装置と通信可能なアナライザに送信する第１送信部と、前記動作レベルの変更指示に基づいて、前記動作レベルを変更する動作レベル制御部と、を有し、前記登録制御部は、特定のフロー情報を規定する前記パケットの識別情報の一部を無効にする、ことを特徴とする。
第４開示技術のアナライザは、フロー情報を収集する収集装置と通信可能なアナライザであって、前記収集装置によって収集されたネットワークを流れるパケットのフロー情報を受信する受信部と、前記アナライザの負荷を監視する負荷監視部と、前記負荷監視部による決定結果から、前記収集装置の動作レベルの変更の必要性を判定する動作レベル制御部と、前記動作レベル制御部によって前記動作レベルの変更の必要ありと判定された場合、前記動作レベルの変更指示を前記収集装置に送信する送信部と、を有することを特徴とする。

本発明の代表的な実施の形態によれば、アナライザの受信許容レートを超えないように、収集装置が送信するデータ量を決定することができる。前述した以外の課題、構成及び効果は、以下の実施例の説明により明らかにされる。

図１は、本実施例のネットワークフロー監視システムの構成例を示す説明図である。 図２は、フロー情報収集装置の構成例を示すブロック図である。 図３は、情報記録部で保持するフロー情報の一例を示す説明図である。 図４は、動作レベル情報の一例を示す説明図である。 図５は、フロー情報記録制御部が、動作レベル制御部から動作レベルの変更通知を受信した時のフロー情報記録処理の一例を示すフローチャートである。 図６は、フロー情報記録制御部が、ミラーリングパケット受信インタフェースで受信したパケットをフロー情報に記録するまでのフロー情報記録処理の一例を説明したフローチャートである。 図７は、動作レベル制御部が、アナライザから制御パケットにより動作レベル変更指示を受信してからフロー情報記録制御部へ動作レベル情報の変更を通知するまでの変更通知処理の一例を示すフローチャートである。 図８は、アナライザの構成例を示すブロック図である。 図９は、監視条件テーブルの一例を示す説明図である。 図１０は、動作レベル変更指示契機テーブルの一例を示す説明図である。 図１１は、負荷監視部の負荷監視処理の一例を示すフローチャートである。 図１２は、動作レベル制御部の動作レベル制御処理の一例を示すフローチャートである。 図１３は、実施例２にかかるネットワークフロー監視システムの構成例を示すブロック図である。 図１４は、実施例２にかかる情報記録部の記憶内容例を示す説明図である。 図１５は、実施例３にかかるネットワークフロー監視システムの構成例を示すブロック図である。

以下、添付図面を参照して本発明の実施形態を説明する。本実施形態は本発明を実現するための一例にすぎず、本発明の技術的範囲を限定するものではないことに注意すべきである。各図において共通の構成については同一の参照符号が付されている。

＜ネットワークフロー監視システムの構成例＞
図１は、本実施例のネットワークフロー監視システムの構成例を示す説明図である。ネットワークフロー監視システム１００は、フロー情報収集装置１０１と、アナライザ１０２と、を有する。

フロー情報収集装置１０１は、監視対象ネットワーク１０３を流れるパケットを複製したミラーリングパケット１２０を受信する。監視対象ネットワーク１０３は、たとえば、中継装置１１０を経由してネットワーク１１１、１１２、１１３、…とＷＡＮ１１４との間を流れるパケットである。

フロー情報収集装置１０１は、ミラーリングパケット１２０からフロー情報を抽出し、フロー情報をＮｅｔＦｌｏｗパケット１３０としてアナライザ１０２に送信する。アナライザ１０２は、受信したフロー情報からネットワークを流れるフローのフロー情報を分析し、監視対象ネットワーク１０３を監視する。なお、フロー情報収集装置１０１が中継装置１１０を兼ねてもよい。

このような構成により、アナライザ１０２の許容受信レートを超えないように、フロー情報収集装置１０１がアナライザ１０２に送信するフロー情報の量を動的に決定することが可能となる。このため、アナライザ１０２の性能リソースを有効活用することができる。また、重要度の低いフロー情報から削減することにより、フロー情報の量を削減しつつ、重要度が高い情報を確実にアナライザ１０２に送信することが可能となる。

＜フロー情報収集装置１０１の構成例＞
図２は、フロー情報収集装置１０１の構成例を示すブロック図である。まず、ハードウェアの構成要素について説明する。ハードウェアの構成要素は、バス２００に接続されている。中央演算装置２０１は、プログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。単に演算装置ともいう。補助記憶装置２０２は、たとえばＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）やフラッシュメモリ、ハードディスクである。主記憶装置２０３は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。リアルタイムクロック２０４は、時刻を計時する。

ネットワークインタフェース２０５は、通信装置である。ミラーリングパケット受信インタフェース２５１は、中継装置１１０が送信するミラーリングパケットを受信するための専用インタフェースである。アナライザ間通信インタフェース２５２は、アナライザ１０２とパケットを送受信するためのインタフェースである。

入出力装置２０６は、たとえばキーボード、ディスプレイ等である。フロー情報収集装置１０１をネットワークインタフェース２０５経由で制御する場合、入出力装置２０６は無くてもよい。

つぎに、ソフトウェアの構成要素について説明する。ＢＯＯＴ２２１は、フロー情報収集装置１０１を起動して最初に実行されるソフトウェアである。ＢＯＯＴ２２１は、補助記憶装置２０２に格納されたプログラム２３０を主記憶装置２０３に展開することで実行される。プログラム２３０は、ＢＯＯＴ２２１がネットワークインタフェース２０５を使いＦＴＰ（Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）等により外部の装置から取得されてもよい。

コンフィグレーション２２２は、プログラム２３０を決定する設定情報であり、たとえば、動作レベル情報４００の初期値が格納され、プログラム２３０起動時に、中央演算装置２０１によって、動作レベル情報４００にロードされる。コンフィグレーション２２２は、たとえば、アナライザ１０２からネットワークインタフェース２０５経由で取得してもよい。

プログラム２３０は、ＮｅｔＦｌｏｗによりフロー情報を収集するソフトウェアである。プログラム２３０は、中央演算装置２０１に実行される。これにより、フロー情報収集装置１０１は、パケット受信部２３１、パケット判定部２３２、フロー情報記録制御部２３３、動作レベル制御部２３４、フロー情報監視部２３６、ＮｅｔＦｌｏｗパケット作成部２３７、およびパケット送信部２３８の機能ブロックと、情報記録部２３５のデータストアとして機能する。情報記録部２３５には、フロー情報テーブル３００、動作レベル情報４００が格納されている。情報記録部２３５は、補助記憶装置２０２にあってもよい。

パケット受信部２３１は、ネットワークインタフェース２０５に到達したパケットの受信をおこなう。パケット判定部２３２は、パケットを受信したインタフェースがミラーリングパケット受信インタフェース２５１と、アナライザ間通信インタフェース２５２の、いずれであるかを、当該パケットを受信したポートに基づいて判定する。フロー情報収集装置１０１は、複数のポートを有する。各ポートは、ミラーリングパケット受信インタフェース２５１と、アナライザ間通信インタフェース２５２とのいずれかに対応する。

パケット判定部２３２は、パケットを受信したインタフェースがミラーリングパケット受信インタフェース２５１である場合には、フロー情報記録制御部２３３に、パケットを受信したインタフェースがアナライザ間通信インタフェース２５２である場合には、動作レベル制御部２３４に、受信データを渡す。

フロー情報記録制御部２３３は、パケット判定部２３２からの受信パケットからフロー情報を抽出する。フロー情報記録制御部２３３は、抽出したフロー情報に対しておこなう制御処理内容を動作レベル情報４００から取得し、抽出したフロー情報に対し制御処理を実行する。その後、フロー情報記録制御部２３３は、抽出したフロー情報を情報記録部２３５のフロー情報テーブル３００に記録する。

フロー情報記録制御部２３３は、動作レベル制御部２３４から動作レベル情報の変更通知を受けた場合、動作レベル情報４００からフロー情報に対する制御処理内容を取得し、フロー情報に対し制御処理を実行する。

動作レベル制御部２３４は、アナライザ１０２から制御パケットによる指示を受けて動作レベル情報４００を更新し、動作レベル情報４００の変更をフロー情報記録制御部２３３に通知する。

フロー情報監視部２３６は、モニタリング期間がタイムアウト（タイムアウト期間３０６が経過）したフロー情報をフロー情報テーブル３００から取り出し、ＮｅｔＦｌｏｗパケット作成部２３７にフロー情報を渡す。

ＮｅｔＦｌｏｗパケット作成部２３７は、フロー情報監視部２３６から受けたフロー情報を梱包したＮｅｔＦｌｏｗパケット１３０を作成し、アナライザ１０２宛てに送信する。パケット送信部２３８は、アナライザ間通信インタフェース２５２からＮｅｔＦｌｏｗパケット１３０を送信する。

＜フロー情報テーブル３００の一例＞
図３は、情報記録部２３５で保持するフロー情報テーブル３００の一例を示す説明図である。フロー情報テーブル３００とは、ｎ個のフローエントリの集合である。フローエントリとは、エントリ番号３０１ごとに、一意のフロー識別子３０２と、受信したパケットの受信パケット数３０３と、受信したパケットの受信バイト数３０４と、タイムアウト時間３０５と、を記録したフロー情報である。フロー情報は、フローエントリのうち少なくともフロー識別子３０２を含む。

フロー識別子３０２は、フロー情報を規定する識別情報であり、たとえば、受信したパケットに含まれる宛先ＩＰアドレス３２１、送信元ＩＰアドレス３２２、プロトコル番号３２３、宛先ポート番号３２４、および送信元ポート番号３２５（５タプル）を有する。フロー識別子３０２は一例であり、通常はネットワークフロー監視システム１００を導入するネットワーク環境に合わせて選択される。

受信パケット数３０３は、フロー識別子３０２で特定されるパケットを受信した数である。受信バイト数３０４は、フロー識別子３０２で特定されるパケットごとのバイト数を加算した値である。

タイムアウト時間３０５は、同一フロー識別子３０２のミラーリングパケットを受信する期間である。あるフロー識別子３０２のミラーリングパケット１２０が最初に受信されると、当該フロー識別子３０２のフローエントリが作成され、タイムアウト時間３０５（たとえば、３０秒）が設定されて、カウントダウンが開始される。その間に、同一フロー識別子３０２のミラーリングパケット１２０が受信されると、受信パケット数３０３および受信バイト数３０４が更新される。タイムアウト時間３０５が「０」秒になると、そのフローエントリは、ＮｅｔＦｌｏｗパケット１３０としてアナライザ１０２に送信され、フロー情報テーブル３００から消去される。

＜動作レベル情報の一例＞
図４は、動作レベル情報４００の一例を示す説明図である。動作レベル情報４００は、制御内容情報４１０と、現在の動作レベル４２０と、処理内容情報４３０と、を有する。

制御内容情報４１０は、動作レベル４１１に対応するフロー情報記録制御部２３３の動作内容を規定する情報である。動作レベル４１１と、動作内容４１２と、を対応付けた情報である。動作レベル４１１とは、たとえば、０から始まる数値情報であって、アナライザ１０２からの制御パケットによって、増加または減少する情報である。動作内容４１２は、フロー情報記録制御部２３３が動作レベル４１１に応じて動作する内容を示す。動作内容４１２は、少なくとも１つの制御番号４３１により決定される。

制御内容情報４１０には、現在の動作レベル４２０の値が高いほど、アナライザ１０２へ送信するＮｅｔＦｌｏｗパケット１３０に梱包されたフロー情報のデータ量が小さくなるように動作内容４１２が設定される。

現在の動作レベル４２０は、フロー情報記録制御部２３３が現在動作中の動作内容４１２に対応する動作レベル４１１である。現在の動作レベル４２０の初期値は「０」である。すなわち、制御内容情報４１０は、フロー情報記録制御部２３３が、現在の動作レベル４２０の値に応じて、ミラーリングパケット受信インタフェース２５１で受信したパケットから抽出したフロー情報に対して実行する動作内容４１２を規定する。

処理内容情報４３０は、制御対象であるフロー条件に対応する処理内容を示す情報である。処理内容情報４３０は、制御番号４３１と、対象フロー４３２と、処理内容４３３と、を有する。制御番号４３１は、対象フロー４３２および処理内容４３３を一意に特定する識別情報である。対象フロー４３２は、処理内容４３３の処理対象となるフローを示す。処理内容４３３は、フロー情報記録制御部２３３が動作する処理の内容を示す。

たとえば、制御番号４３１が「１」の処理内容は、『タイムアウト時間を２倍に延長する』であるため、対象フロー４３２のタイムアウト時間３０５が（カウントダウン中であっても）２倍になる。これにより、対象フロー４３２のフロー情報の送信タイミングを遅延させることができ、アナライザ１０２の受信キュー長の増加を抑制して、アナライザ１０２の負荷軽減を図ることができる。なお、アナライザ１０２の負荷に余裕がある場合には、処理内容４３３は、『タイムアウト時間を０．５倍にする』のように、タイムアウト時間３０５を短縮してもよい。

また、制御番号４３１が「２」の処理内容は、『送信元ポート番号の値を０に変更する』であるため、対象フロー４３２の送信元ポート番号３２５の値「４９１５２～６５５３５」が「０」に変更される。このように、送信元ポート番号３２５の値を無効な値に変更することにより、送信元ポート番号３２５の値が「４９１５２～６５５３５」である複数のフローエントリが１つのフローエントリに集約される。したがって、ＮｅｔＦｌｏｗパケット１３０のパケット数を抑制することができ、アナライザ１０２の受信キュー長の増加を抑制して、アナライザ１０２の負荷軽減を図ることができる。

なお、制御番号４３１が「２」の処理内容は、『送信元ポート番号の値を０に変更する』としたが、送信元ポート番号３２５ではなく、宛先ＩＰアドレス３２１、送信元ＩＰアドレス３２２、宛先ポート番号３２４でもよい。また、宛先ＩＰアドレス３２１、送信元ＩＰアドレス３２２、宛先ポート番号３２４および送信元ポート番号３２５のうち２以上の組み合わせでもよい。

また、制御番号４３１が「３」の処理内容は、『フロー識別子からプロトコル番号を除外する』である。このように、プロトコル番号３２３を無効化することにより、宛先ＩＰアドレス３２１、送信元ＩＰアドレス３２２、宛先ポート番号３２４、および送信元ポート番号３２５が一致するがプロトコル番号３２３が異なる複数のフローエントリは、１つのフローエントリに集約される。したがって、プロトコルに依存することなく、ＮｅｔＦｌｏｗパケット１３０のパケット数を抑制することができ、アナライザ１０２の受信キュー長の増加を抑制して、アナライザ１０２の負荷軽減を図ることができる。

たとえば、現在の動作レベル４２０が「２」の状態のとき、ミラーリングパケット受信インタフェース２５１からパケットを受信すると、フロー情報記録制御部２３３は、制御内容情報４１０を参照し、制御番号４３１が「１」および「２」の処理を実行する。

制御番号４３１が「１」の処理としては、具体的には、たとえば、フロー情報記録制御部２３３は、処理内容情報４３０において制御番号４３１が「１」の対象フロー４３２である「受信パケット数が上位１０％」と処理内容４３３の「タイムアウト時間を２倍に延長する」に従い、受信したパケットのフローエントリにおける受信パケット数３０３がフロー情報テーブル３００内の総パケット数の上位１０％を占める場合には、当該フローエントリのタイムアウト時間３０５を２倍に延長する。

タイムアウト時間３０５は、たとえば、初期値の「３０」秒からカウントダウンされるが、カウントダウン中の「１０」秒の時点で制御番号４３１が「１」の処理が実行されると、「１０」秒が「２０」秒に変更され、カウントダウンが継続する。

また、制御番号４３１が「２」の処理としては、具体的には、たとえば、フロー情報記録制御部２３３は、処理内容情報４３０において制御番号４３１が「２」の対象フロー４３２である「送信元ポート番号が４９１５２～６５５３５」と処理内容４３３の「送信元ポート番号の値を０に変更する」に従い、受信したパケットの送信元ポート番号を対象フロー４３２の値「４９１５２～６５５３５」と比較し、「４９１５２～６５５３５」に該当する場合には、受信パケットの送信元ポート番号を「０」に書き換えて、フロー情報テーブル３００に記録する。

実施例１では、制御内容情報４１０はコンフィグレーション２２２より与えられることを想定しているが、アナライザ１０２からの制御パケットによって与えられてもよい。

＜フロー情報記録処理の一例＞
図５は、フロー情報記録制御部２３３が、動作レベル制御部２３４から動作レベル４１１の変更通知を受信した時のフロー情報記録処理の一例を示すフローチャートである。フロー情報記録制御部２３３は、動作レベル制御部２３４から動作レベル４１１の変更通知を受信する（ステップＳ５０１）。動作レベル４１１の変更通知は、たとえば、アナライザ１０２からアナライザ間通信インタフェース２５２、パケット受信部２３１、パケット判定部２３２および動作レベル制御部２３４を介して、フロー情報記録制御部２３３に送信される。

なお、動作レベル４１１の変更通知を受信した時点では、現在の動作レベル４２０は、後述する図７の処理で最新の値に更新されている。動作レベル情報４００の現在の動作レベル４２０の値を動作レベル４１１とした場合の動作内容４１２を特定し（ステップＳ５０２）、特定した動作内容４１２に規定される制御番号４３１に対応する処理内容４３３を対象フロー４３２のフローエントリに対して実行する(ステップＳ５０３)。そして、フロー情報記録制御部２３３は、処理を終了する。

図６は、フロー情報記録制御部２３３が、ミラーリングパケット受信インタフェース２５１で受信したパケットをフロー情報テーブル３００に記録するまでのフロー情報記録処理の一例を説明したフローチャートである。

フロー情報記録制御部２３３は、パケット判定部２３２から受信したパケットを取得する（ステップＳ６０１）。と、フロー情報記録制御部２３３は、当該パケットからフロー識別子３０２と受信バイト数３０４とを抽出する（ステップＳ６０２）。フロー情報記録制御部２３３は、動作レベル情報４００の現在の動作レベル４２０の値を動作レベル４１１とした場合の動作内容４１２を特定し（ステップＳ６０３）、特定した動作内容４１２に規定される制御番号４３１に対応する処理内容４３３を、抽出したフロー識別子３０２のフローエントリに対して実行する(ステップＳ６０４)。

その後、フロー情報記録制御部２３３は、抽出したフロー識別子３０２が一致するフローエントリをフロー情報テーブル３００から探索する（ステップＳ６０５）。一致したフローエントリがある場合（ステップＳ６０６：Ｙｅｓ）、フロー情報記録制御部２３３は、当該フローエントリの受信パケット数３０３と、受信バイト数３０４との値をそれぞれ更新する（ステップＳ６０７）。たとえば、ステップＳ６０１でパケット判定部２３２から受信した１パケット取得した場合、受信パケット数３０３の値が１加算され、受信バイト数３０４の値に当該１パケット分のバイト数が加算される。

一方、一致するフローエントリがない場合（ステップＳ６０６：Ｎｏ）、フロー情報記録制御部２３３は、フロー情報テーブル３００に、新規フローエントリとしてエントリ番号３０１を発行し、フロー識別子３０２、受信パケット数３０３、受信バイト数３０４、タイムアウト時間３０５を登録する（ステップＳ６０８）。そして、フロー情報記録制御部２３３は、処理を終了する。なお、タイムアウト時間３０５の値は、コンフィグレーション２２２によって与えられる。また、タイムアウト時間３０５の値は、たとえば、リアルタイムクロック２０４から取得した現在時刻からｎ秒後の時刻でもよい。

図７は、動作レベル制御部２３４が、アナライザ１０２から制御パケットにより動作レベル変更指示を受信してからフロー情報記録制御部２３３へ動作レベルの変更を通知するまでの変更通知処理の一例を示すフローチャートである。

動作レベル制御部２３４は、アナライザ１０２から受信した制御パケットをパケット判定部２３２から取得する（ステップＳ７０１）と、現在の動作レベル４２０をアナライザ１０２の指示通りに変更可能であるか判定する（ステップＳ７０２）。

具体的には、たとえば、現在の動作レベル４２０が「３」であり、動作レベル４１１の変更指示内容が現在の動作レベル４２０を１つ上昇させる指示である場合、これ以上動作レベル４１１を上げられないため、指示通りの変更は不可となる。同様に、現在の動作レベル４２０が「０」であり、動作レベル４１１の変更指示内容が現在の動作レベル４２０を１つ下降させる指示である場合、これ以上動作レベル４１１を下げられないため、指示通りの変更は不可となる。

動作レベル４１１の変更が不可能な場合（ステップＳ７０２：Ｎｏ）、動作レベル制御部２３４は、処理を終了する。動作レベル４１１の変更が可能な場合（ステップＳ７０２：Ｙｅｓ）、動作レベル４１１の変更指示が動作レベル上昇の場合（ステップＳ７０３：動作レベル上昇）は、動作レベル制御部２３４は、現在の動作レベル４２０の値を１つ増加する（ステップＳ７０４）。

動作レベル４１１の変更指示が動作レベル下降の場合（ステップＳ７０３：動作レベル下降）、現在の動作レベル４２０の値を１つ減少する（ステップＳ７０５）。動作レベル制御部２３４は、フロー情報記録制御部２３３に動作レベル４１１の変更通知を送信する（ステップＳ７０６）。そして、動作レベル制御部２３４は、処理を終了する。

＜アナライザの一例＞
図８は、アナライザ１０２の構成例を示すブロック図である。まず、ハードウェアの構成要素について説明する。ハードウェアの構成要素は、バス８０１に接続されている。中央演算装置８０２は、２０１と同等である。補助記憶装置８０３は２０２と同等である。ネットワークインタフェース８０５は２０４と同等である。リアルタイムクロック８０６は２０５と同等である。入出力装置８０７は入出力装置２０６と同等である。

つぎに、ソフトウェアの構成要素について説明する。ＢＯＯＴ８３１はＢＯＯＴ２２１と同等である。コンフィグレーション８３２は、負荷監視部８４２４と動作レベル制御部８４２５の動作を決定する設定情報であり、たとえば、ネットワーク管理者によって、入出力装置８０７から与えられる。

ＯＳ（Ｏｐｅｒａｔｉｏｎｇ Ｓｙｓｔｅｍ）８４１は、補助記憶装置８０３に格納されており、ＢＯＯＴ８３１によって主記憶装置２０３に展開されて実行される。プログラム８４２は、フロー情報収集装置１０１から受信したフロー情報を解析するソフトウェアである。プログラム８４２は、補助記憶装置８０３に格納されており、ＯＳ８４１によって主記憶装置８０４に展開されて実行される。プログラム８４２は、ＢＯＯＴ８３１によって主記憶装置８０４に展開されて、実行されてもよい。

プログラム８４２は、中央演算装置８０２に実行される。これにより、アナライザ１０２は、パケット受信部８４２１、ＮｅｔＦｌｏｗ情報記録制御部８４２２、負荷監視部８４２４、動作レベル制御部８４２５、パケット送信部８４２６の機能ブロックと、情報記録部８４２３のデータストアとして機能する。情報記録部８４２３は、補助記憶装置８０３にあってもよい。

パケット受信部８４２１は、ネットワークインタフェース８０５に到達した、フロー情報収集装置１０１が送信したＮｅｔＦｌｏｗパケット１３０を受信し、ＮｅｔＦｌｏｗ情報記録制御部８４２２に受信したＮｅｔＦｌｏｗパケット１３０を渡す。

ＮｅｔＦｌｏｗ情報記録制御部８４２２は、受信したＮｅｔＦｌｏｗパケット１３０からＮｅｔＦｌｏｗのシーケンス番号、フロー識別子３０２、受信パケット数３０３、受信バイト数３０４を抽出し、情報記録部８４２３に記録する。

負荷監視部８４２４は、フロー情報収集装置１０１が送信するＮｅｔＦｌｏｗパケット１３０を受信可能な状態であるか定期的に判定を行い、判定結果を動作レベル制御部８４２５に通知する。

動作レベル制御部８４２５は、負荷監視部８４２４の判定結果から、フロー情報収集装置１０１の動作レベル４１１の上昇または下降の変更が必要か判定し、変更が必要と判定した場合は、フロー情報収集装置１０１に、制御パケットで動作レベル４１１の変更を指示する。

図９は、監視条件テーブルの一例を示す説明図である。監視条件テーブル９００は、アナライザ１０２のＮｅｔＦｌｏｗパケット１３０の受信許容レートが超えないようにアナライザ１０２の動作を監視するためのテーブルである。監視条件テーブル９００は、負荷監視部８４２４が監視をおこなう項目と監視をおこなうための条件を規定する。監視条件テーブル９００は、たとえば、主記憶装置８０４または補助記憶装置８０３に記憶される。

監視条件テーブル９００は、項番９０１ごとに、監視項目９０２と、動作レベル下降の要因となる第１監視条件９０３と、動作レベル上昇の要因となる第２監視条件９０４と、を有する。負荷監視部８４２４は、監視項目９０２が第１監視条件９０３、第２監視条件９０４を満たしているか定期的に判定する。監視項目９０２、第１監視条件９０３、第２監視条件９０４は一例であり、アナライザ１０２の性能や監視対象ネットワーク１０３のネットワーク環境によって、アナライザ１０２のＮｅｔＦｌｏｗパケット１３０の受信許容レートが超えないように、最適な監視項目９０２、監視条件９０３，９０４が選択される。

図１０は、動作レベル変更指示契機テーブルの一例を示す説明図である。動作レベル変更指示契機テーブル１０００は、動作レベル制御部８４２５がフロー情報収集装置１０１に動作レベル変更を指示する契機を規定する。動作レベル変更指示契機テーブル１０００は、たとえば、主記憶装置８０４または補助記憶装置８０３に記憶される。

動作レベル変更指示契機テーブル１０００は、動作レベル変更種別１００１と契機１００２とを有する。動作レベル変更種別１００１は、現在の動作レベル４２０の変更種別として、動作レベル上昇または動作レベル下降を規定する。契機１００２は、対応する動作レベル変更種別１００１の動作レベル変更を指示するタイミングを規定する。契機１００２は、コンフィグレーション８３２によって与えられる。

動作レベル制御部８４２５は、負荷監視部８４２４の判定結果から、８４２５Ａの契機に該当するか判定し、該当する場合はフロー情報収集装置１０１に、動作レベルの上昇、または下降を制御パケットで指示する。

図１１は、負荷監視部８４２４の負荷監視処理の一例を示すフローチャートである。図１１は、監視項目９０２毎に実行される。負荷監視部８４２４は、監視条件テーブル９００の監視項目９０２が第１監視条件９０３または第２監視条件９０４のいずれかに到達しているか確認する（ステップＳ１１０１）。

第１監視条件９０３または第２監視条件９０４のいずれか一方に到達した場合（ステップＳ１１０２：Ｙｅｓ）、負荷監視部８４２４は、動作レベル制御部８４２５に監視結果（監視項目９０２と到達した監視条件の組み合わせ）を通知して（ステップＳ１１０３）、ステップＳ１１０４に移行する。一方、条件に到達していない場合（ステップＳ１１０２：Ｎｏ）も、ステップＳ１１０４に移行する。ステップＳ１１０４では、負荷監視部８４２４は、次回の監視周期まで待機して（ステップＳ１１０４）、監視周期に到達するとステップＳ１１０１に戻る。

図１２は、動作レベル制御部８４２５の動作レベル制御処理の一例を示すフローチャートである。動作レベル制御部８４２５は、負荷監視部８４２４から監視結果（ステップＳ７０４）を受信する（ステップＳ１２０１）。動作レベル制御部８４２５は、監視結果が、動作レベル変更指示契機テーブル１０００の契機１００２に該当するか否かを判断する（ステップＳ１２０２）。契機１００２に該当しない場合（ステップＳ１２０２：Ｎｏ）、動作レベル制御部８４２５は、動作レベル制御処理を終了する。

一方、契機１００２に該当する場合（ステップＳ１２０２：Ｙｅｓ）、動作レベル制御部８４２５は、フロー情報収集装置１０１に、該当した契機１００２に対応する動作レベル変更種別１００１の動作レベル変更指示を示す制御パケットを送信する（ステップＳ１２０３）。そして、動作レベル制御部８４２５は、動作レベル制御処理を終了する。

このように、実施例１によれば、アナライザ１０２の許容受信レートを超えないように、フロー情報収集装置がアナライザ１０２に送信するデータを動的に決定することができる。したがって、アナライザ１０２の許容受信レートの超過によるデータ喪失を抑制することができる。

また、アナライザ１０２の受信レートを動的に変更するため、アナライザ１０２のリソースを有効活用することができ、アナライザ１０２の性能を最大限に活用することができる。また、アナライザ１０２へ送信するデータのトラフィック量が急増した場合でも、アナライザ１０２の受信レートを動的に変更可能であるため、アナライザ１０２が必要とする情報を得ることができる。

実施例２は、ネットワークフロー監視システム１００において、実施例１のアナライザ１０２を複数設けた構成である。なお、実施例２では、実施例１との相違点を中心に説明するため、実施例１と同一構成については同一符号を付し、その説明を省略する。

図１３は、実施例２にかかるネットワークフロー監視システム１００の構成例を示すブロック図である。フロー情報収集装置１０１は、複数（図１３では例として３台）のアナライザ１０２Ａ、１０２Ｂ、１０２Ｃと通信可能に接続される。アナライザ１０２Ａ、１０２Ｂ、１０２Ｃを区別しない場合は、単に、アナライザ１０２と表記する。

図１４は、実施例２にかかる情報記録部２３５の記憶内容例を示す説明図である。フロー情報収集装置１０１は、ＮｅｔＦｌｏｗパケット１３０を送信するアナライザ１０２に毎に、情報記録部２３５Ａ～２３５Ｃを保持する。情報記録部２３５Ａは、フロー情報テーブル３００Ａと動作レベル情報４００Ａとを保持する。

情報記録部２３５Ｂは、フロー情報テーブル３００Ｂと動作レベル情報４００Ｂとを保持する。情報記録部２３５Ｃは、フロー情報テーブル３００Ｃと動作レベル情報４００Ｃとを保持する。情報記録部２３５Ａはアナライザ１０２Ａ、情報記録部２３５Ｂはアナライザ１０２Ｂ、情報記録部２３５Ｃはアナライザ１０２Ｃに対応している。

フロー情報収集装置１０１は、アナライザ１０２から動作レベル変更指示の制御パケットを受信すると、動作レベル制御部２３４は、制御パケットの送信元のアナライザ１０２に対応する動作レベル情報を更新する。

このように、実施例２では、フロー情報収集装置１０１は、複数（図１３では例として３台）のアナライザ１０２Ａ、１０２Ｂ、１０２Ｃと通信可能に接続されることとしたため、アナライザ１０２Ａ、１０２Ｂ、１０２Ｃの冗長化を図ることができる。また、パケットのフロー情報の一部である送信元や宛先の情報ごとにアナライザ１０２Ａ、１０２Ｂ、１０２Ｃを設定することにより、アナライザ１０２Ａ、１０２Ｂ、１０２Ｃの負荷分散を図ることができる。

また、アナライザ１０２Ａ、１０２Ｂ、１０２Ｃの各々についてフロー情報の利用目的が異なっていてもよい。たとえば、アナライザ１０２Ａは、マルウェアの検出に特化したアナライザ１０２とし、アナライザ１０２Ｂは、電子メールの監視に特化したアナライザ１０２としてもよい。これにより、利用目的に特化した分析を各アナライザ１０２で実行することができる。

実施例３は、ネットワークフロー監視システム１００において、実施例１のフロー情報収集装置１０１を複数設けた構成である。なお、実施例３では、実施例１との相違点を中心に説明するため、実施例１と同一構成については同一符号を付し、その説明を省略する。

図１５は、実施例３にかかるネットワークフロー監視システム１００の構成例を示すブロック図である。アナライザ６００は、複数のフロー情報収集装置１０１Ａ、１０１Ｂ、１０１Ｃと通信可能に接続される。フロー情報収集装置１０１Ａ、１０１Ｂ、１０１Ｃを区別しない場合は、単に、フロー情報収集装置１０１と表記する。

複数のフロー情報収集装置１０１Ａ、１０１Ｂ、１０１Ｃには優先度が設定されていてもよい。この場合、アナライザ１０２は、優先度が高いフロー情報収集装置１０１から順に現在の動作レベル４２０の変更をおこなってもよい。優先度は、たとえば、アナライザ１０２に送信するフロー情報の情報量が多い順に決定される。

フロー情報の情報量とは、フロー情報、すなわち、フローエントリの数でもよく、フロー情報テーブル３００における全フローエントリの受信パケット数３０３の総和でもよく、受信バイト数３０４の総和でもよい。このように、優先度順に現在の動作レベル４２０を変更することにより、許容受信レートを超えそうなアナライザ１０２から順に、アナライザ１０２に送信するデータを動的に決定することが可能となる。

１００ ネットワークフロー監視システム
１０１ フロー情報収集装置
１０２ アナライザ
１０３ 監視対象ネットワーク
１１０ 中継装置
１２０ ミラーリングパケット
１３０ ＮｅｔＦｌｏｗパケット
２０５ ネットワークインタフェース
２３１ パケット受信部
２３２ パケット判定部
２３３ フロー情報記録制御部
２３４ 動作レベル制御部
２３５ 情報記録部
２３６ フロー情報監視部
２３７ ＮｅｔＦｌｏｗパケット作成部
２３８ パケット送信部
２５１ ミラーリングパケット受信インタフェース
２５２ アナライザ間通信インタフェース
３００ フロー情報テーブル
３０１ エントリ番号
３０２ フロー識別子
３０３ 受信パケット数
３０４ 受信バイト数
３０５ タイムアウト時間
４００ 動作レベル情報
４１０ 制御内容情報
４１１ 動作レベル
４１２ 動作内容
４２０ 現在の動作レベル
４３０ 処理内容情報
４３１ 制御番号
４３２ 対象フロー
４３３ 処理内容
９００ 監視条件テーブル
９０２ 監視項目
９０３ 第１監視条件
９０４ 第２監視条件
１０００ 動作レベル変更指示契機テーブル
１００１ 動作レベル変更種別
１００２ 契機
８４２１ パケット受信部
８４２２ 情報記録制御部
８４２３ 情報記録部
８４２４ 負荷監視部
８４２５ 動作レベル制御部

Claims (15)

1. ネットワークを流れるパケットのフロー情報を収集する収集装置と、前記収集装置によって収集されたフロー情報を分析するアナライザと、を有する監視システムであって、
   前記収集装置は、
   前記パケットの識別情報ごとに前記パケットのフロー情報を登録し、動作レベルに基づいて前記フロー情報を制御する登録制御部と、
   前記フロー情報を収集する期間の経過後に前記フロー情報を前記アナライザに送信する第１送信部と、
   前記アナライザからの前記動作レベルの変更指示に基づいて、前記動作レベルを変更する第１動作レベル制御部と、を有し、
   前記アナライザは、
   前記第１送信部から送信されてくる前記フロー情報に基づいて、前記動作レベルの変更指示を前記収集装置に送信する第２送信部と、を有し、
   前記登録制御部は、特定のフロー情報を規定する前記パケットの識別情報の一部を無効にする、
   ことを特徴とする監視システム。
2. ネットワークを流れるパケットのフロー情報を収集する収集装置と、前記収集装置によって収集されたフロー情報を分析するアナライザと、を有する監視システムであって、
   前記収集装置は、
   前記パケットの識別情報ごとに前記パケットのフロー情報を登録し、動作レベルに基づいて前記フロー情報を制御する登録制御部と、
   前記フロー情報を収集する期間の経過後に前記フロー情報を前記アナライザに送信する第１送信部と、
   前記アナライザからの前記動作レベルの変更指示に基づいて、前記動作レベルを変更する第１動作レベル制御部と、を有し、
   前記アナライザは、
   前記アナライザの負荷を監視する負荷監視部と、
   前記負荷監視部による決定結果から、前記動作レベルの変更の必要性を判定する第２動作レベル制御部と、
   前記第２動作レベル制御部によって前記動作レベルの変更の必要ありと判定された場合、前記動作レベルの変更指示を前記収集装置に送信する第２送信部と、を有する、
   ことを特徴とする監視システム。
3. 請求項２に記載の監視システムであって、
   前記第２動作レベル制御部は、前記アナライザ内のプロセッサの使用率に基づいて、前記動作レベルの変更の必要性を判定する、
   ことを特徴とする監視システム。
4. 請求項２に記載の監視システムであって、
   前記第２動作レベル制御部は、前記アナライザ内の前記フロー情報に関する受信キュー長に基づいて、前記動作レベルの変更の必要性を判定する、
   ことを特徴とする監視システム。
5. 請求項２に記載の監視システムであって、
   前記第２動作レベル制御部は、前記収集装置から前記アナライザへの前記フロー情報を含む一連のパケットのシーケンス番号の欠落に基づいて、前記動作レベルの変更の必要性を判定する、
   ことを特徴とする監視システム。
6. 請求項２に記載の監視システムであって、
   前記第２動作レベル制御部は、前記収集装置から前記アナライザへの前記フロー情報を含む一連のパケットの受信レートに基づいて、前記動作レベルの変更の必要性を判定する、
   ことを特徴とする監視システム。
7. 請求項１または２に記載の監視システムであって、
   前記登録制御部は、前記収集装置が特定のフロー情報を収集する期間を増減する、
   ことを特徴とする監視システム。
8. 請求項１または２に記載の監視システムであって、
   前記収集装置は、複数の前記アナライザと通信可能に接続されている、
   ことを特徴とする監視システム。
9. 請求項８に記載の監視システムであって、
   前記第１送信部は、前記フロー情報の内容に基づいて、前記フロー情報を前記複数のアナライザのいずれか１つに送信する、
   ことを特徴とする監視システム。
10. 請求項８に記載の監視システムであって、
    前記複数のアナライザは、前記フロー情報の利用目的が異なる、
    ことを特徴とする監視システム。
11. 請求項１または２に記載の監視システムであって、
    前記アナライザは、複数の前記収集装置と通信可能に接続されている、
    ことを特徴とする監視システム。
12. ネットワークを流れるパケットのフロー情報を収集する収集装置であって、
    前記パケットの識別情報ごとに前記パケットのフロー情報を登録し、動作レベルに基づいて前記フロー情報を制御する登録制御部と、
    前記フロー情報を収集する期間の経過後に前記フロー情報を、前記収集装置と通信可能なアナライザに送信する第１送信部と、
    前記動作レベルの変更指示に基づいて、前記動作レベルを変更する動作レベル制御部と、を有し、
    前記登録制御部は、特定のフロー情報を規定する前記パケットの識別情報の一部を無効にする、
    ことを特徴とする収集装置。
13. フロー情報を収集する収集装置と通信可能なアナライザであって、
    前記収集装置によって収集されたネットワークを流れるパケットのフロー情報を受信する受信部と、
    前記アナライザの負荷を監視する負荷監視部と、
    前記負荷監視部による決定結果から、前記収集装置の動作レベルの変更の必要性を判定する動作レベル制御部と、
    前記動作レベル制御部によって前記動作レベルの変更の必要ありと判定された場合、前記動作レベルの変更指示を前記収集装置に送信する送信部と、
    を有することを特徴とするアナライザ。
14. フロー情報を収集する収集装置と通信可能なアナライザが実行する監視方法であって、
    前記監視方法は、
    前記収集装置によって収集されたネットワークを流れるパケットのフロー情報を受信する受信処理と、
    前記アナライザの負荷を監視する負荷監視処理と、
    前記負荷監視処理による決定結果から、前記収集装置の動作レベルの変更の必要性を判定する動作レベル制御処理と、
    前記動作レベル制御処理によって前記動作レベルの変更の必要ありと判定された場合、前記動作レベルの変更指示を前記収集装置に送信する送信処理と、
    を含むことを特徴とする監視方法。
15. フロー情報を収集する収集装置と通信可能なアナライザに、
    前記収集装置によって収集されたネットワークを流れるパケットのフロー情報を受信する受信処理と、
    前記アナライザの負荷を監視する負荷監視処理と、
    前記負荷監視処理による決定結果から、前記収集装置の動作レベルの変更の必要性を判定する動作レベル制御処理と、
    前記動作レベル制御処理によって前記動作レベルの変更の必要ありと判定された場合、前記動作レベルの変更指示を前記収集装置に送信する送信処理と、
    を実行させることを特徴とする監視プログラム。

Images