JP7447910B2

JP7447910B2 - 送信制御装置、送信制御方法、および、送信制御プログラム

Info

Publication number: JP7447910B2
Application number: JP2021553973A
Authority: JP
Inventors: 浩大澤; 裕平林; 千晴森岡; 寛規井上; 孟朗西岡; 勇樹三好
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2019-10-30
Filing date: 2019-10-30
Publication date: 2024-03-12
Anticipated expiration: 2039-10-30
Also published as: US20220407794A1; JPWO2021084668A1; WO2021084668A1

Description

本発明は、送信制御装置、送信制御方法、および、送信制御プログラムに関する。

ネットワークの監視やトラヒックの傾向分析のため、ネットワーク装置が、対象となるフローのパケットのサンプリングを行い、サンプリングしたパケットのヘッダ情報からフローの統計情報等を作成し、フローコレクタ（以下、適宜、コレクタと略す）に送信したり、サンプリングしたパケットのヘッダ部分そのものをコレクタに送信したりする技術がある。そして、コレクタは、ネットワーク装置から受信したフローの情報に基づき、当該フローのトラヒックの傾向分析等を行う。

NetFlow(RFC3954)、［2019年10月16日検索］、インターネット＜URL：https://www.ietf.org/rfc/rfc3954.txt＞ IPFIX（RFC5103)、［2019年10月16日検索］、インターネット＜URL：https://www.ietf.org/rfc/rfc5103.txt＞ sFlow、［2019年10月16日検索］、インターネット＜URL：https://sflow.org/sflow_version_5.txt＞ Information Elements for Data Link Layer Traffic Measurement(RFC7133)、［2019年10月16日検索］、インターネット＜URL：https://tools.ietf.org/html/rfc7133＞ pmacct、［2019年10月16日検索］、インターネット＜URL：http://www.pmacct.net/＞ nProbe、［2019年10月16日検索］、インターネット＜https://www.ntop.org/products/netflow/nprobe/＞

ここで、異なる分析機能を備えるコレクタを用意し、コレクタそれぞれがトラヒックの傾向分析、DDoS（Distributed Denial of Service attack）検知等を行う場合もある。このような場合、コレクタごとに分析の処理能力が異なったり、分析に必要な情報量が異なったりする。そのため、例えば、ネットワーク装置が、上記のフローの情報を複数のコレクタへ同報で送信すると、コレクタの中には、フローの情報があふれてコレクタの処理能力が低下してしまったり、フローの情報が足りないためコレクタの分析精度や検知精度が低下してしまったりするおそれがある。

ここで、コレクタの処理能力が足りない場合、同じ機能を備えるコレクタの台数を増やして、各ネットワーク装置がフローの情報を別々のコレクタに送信することも考えられる。しかし、この方法は、各コレクタが同じフローの情報を二重に持つことになるため効率が低い。また、この方法は、フローの情報が各コレクタに分散してしまうため、各コレクタがフローの分析を行う場合に、フローの分析精度が低下してしまうという問題がある。

そこで、本発明は、前記した問題を解決し、各コレクタがフローの分析を行う際の効率を向上させ、かつ、分析精度の低下を防止することを課題とする。

前記した課題を解決するため、本発明は、ネットワーク装置からフローのパケットを受信する受信部と、受信したパケットのフローの情報の送信先となる１以上のフローコレクタの情報を記憶する記憶部と、前記フローコレクタの処理能力に応じて、当該フローコレクタへ前記フローの情報を送信する際のレートを決定するレート決定部と、前記受信したパケットのヘッダ情報に基づき、当該パケットのフローの情報の送信先となるフローコレクタを選択する選択部と、前記フローの情報を、前記フローコレクタごとに決定されたレートで当該フローコレクタへ送信する送信処理部と、を備えることを特徴とする。

本発明によれば、各コレクタがフローの分析を行う際の効率を向上させ、かつ、分析精度の低下を防止することができる。

図１は、送信制御装置を含むシステムの動作例を説明するための図である。図２は、送信制御装置の構成例を示す図である。図３は、図２の送信制御装置の処理手順の例を示すフローチャートである。図４は、図２の送信制御装置におけるレートの調整方法の例を説明するための図である。図５は、図４に示すレートの調整方法のうち、（１）相対レートを用いる方法における処理手順の例を示すフローチャートである。図６は、図４に示すレートの調整方法のうち、（２）絶対レートを用いる方法における処理手順の例を示すフローチャートである。図７は、図４に示すレートの調整方法のうち、（３）フローコレクタへの出力レートを制限する方法における処理手順の例を示すフローチャートである。図８は、図２の送信制御装置におけるフローコレクタの選択方法の例を説明するための図である。図９は、図２の送信制御装置がフローコレクタを選択する際、（１）並べ替えハッシュを用いる場合における処理手順の例を示すフローチャートである。図１０は、図２の送信制御装置がフローコレクタを選択する際、（２）自アドレスハッシュを用いる場合における処理手順の例を示すフローチャートである。図１１は、送信制御プログラムを実行するコンピュータの構成例を示す図である。

［動作例］
以下、図面を参照しながら、本発明を実施するための形態（実施形態）について説明する。本発明は、本実施形態に限定されない。まず、図１を用いて、本実施形態の送信制御装置１０を含むシステムの動作例を説明する。ネットワーク装置１、送信制御装置１０、フローコレクタ２０の数は、図１に示す数に限定されない。

なお、以下の説明において、システムが扱うxFlowパケットは、例えば、NetFlow、IPFIX、sFlow等のパケットである。

また、送信制御装置１０が、フローコレクタ２０へ送信するxFlowパケットの情報（xFlow情報）は、ネットワーク装置１から受信したxFlowパケットに関する情報を、フローコレクタ２０において処理可能な形式にした情報である。なお、xFlowパケットに関する情報は、例えば、ネットワーク装置１から受信したxFlowパケットの統計情報であってもよいし、ネットワーク装置１から受信したxFlowパケットそのものであってもよい。

システムは、例えば、ネットワーク装置１と、送信制御装置１０と、フローコレクタ２０とを備える。ネットワーク装置１は、例えば、ルータ等であり、xFlowパケットのサンプリングを行い、サンプリングしたxFlowパケットを送信制御装置１０へ送信する。

送信制御装置１０は、ネットワーク装置１によりサンプリングされたxFlowパケットに基づきxFlow情報を生成し、各フローコレクタ２０に送信する。フローコレクタ２０は、受信したxFlow情報に基づき、xFlowの分析や各種検知を行う。

図１においては、送信制御装置１０のxFlow情報の送信先のフローコレクタ２０が、フローコレクタ２０Ａ（２０Ａ－１，２０Ａ－２）と、フローコレクタ２０Ｂとである場合を例に説明する。フローコレクタ２０Ａは、受信したxFlow情報からbotの検知を行う。フローコレクタ２０Ｂは、受信したxFlow情報からフローの傾向を分析する。

また、以下では、特に区別しない場合は、フローコレクタ２０Ａ，２０Ｂをまとめてフローコレクタ２０と呼ぶ。また、同様に、２つのフローコレクタ２０Ａ－１，２０Ａ－２をまとめてフローコレクタ２０Ａと呼ぶ。このフローコレクタ２０Ａ－１，２０Ａ－２にはそれぞれ同じ機能が装備されるものとする。

ここで送信制御装置１０は、フローコレクタ２０それぞれの処理能力に応じたレートでxFlow情報を送信する。

例えば、フローコレクタ２０Ｂの処理能力に比べ、フローコレクタ２０Ａ－１，２０Ａ－２の処理能力の方が低い場合、送信制御装置１０は、フローコレクタ２０Ａ－１，２０Ａ－２へxFlow情報を送信する際のレートを、フローコレクタ２０Ｂへ送信する際のレートよりも低くする。

具体例を挙げる。送信制御装置１０は、フローコレクタ２０ＢへxFlow情報を送信する際のレート（最終レートＲ_Ｌ）を1/10とし、フローコレクタ２０Ａ－１，２０Ａ－２へxFlow情報を送信する際のレート（最終レートＲ_Ｌ）を1/100とする。このようにすることで、フローコレクタ２０Ａ－１，２０Ａ－２において、xFlow情報があふれてしまうことを防止できる。

また、送信制御装置１０が、フローコレクタ２０Ａ－１，２０Ａ－２にxFlow情報を送信する際、当該xFlow情報のもととなったxFlowパケットのヘッダ情報に基づき、当該xFlow情報の送信先のフローコレクタを選択する。

例えば、送信制御装置１０は、ネットワーク装置１から受信したxFlowパケットのヘッダ情報に示される送信元ＩＰアドレスおよび送信先ＩＰアドレスの組み合わせが同じxFlowパケットに関するxFlow情報については、当該xFlow情報の送信先のフローコレクタ２０Ａを同じフローコレクタ２０Ａにする。

これにより、送信制御装置１０は、例えば、同じフローのxFlowパケットのxFlow情報を同じフローコレクタ２０Ａに送信することができる。その結果、フローコレクタ２０Ａにおける当該フローの分析精度が低下することを防止することができる。

［構成例］
次に、図２を用いて送信制御装置１０の構成例を示す図である。送信制御装置１０は、通信部１１と、記憶部１２と、制御部１３とを備える。

通信部１１は、例えば、ＮＩＣ（Network Interface Card）等によって実現される。そして、通信部１１は、ネットワークと有線または無線で接続され、ネットワーク装置１、フローコレクタ２０との間で各種データの送受信を行う。

記憶部１２は、例えば、ＲＡＭ（Random Access Memory)、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現される。

記憶部１２は、制御部１３が各種処理を実行する際に参照する情報を記憶する。例えば、記憶部１２は、フローコレクタ情報を記憶する。このフローコレクタ情報は、例えば、xFlow情報の送信先となるフローコレクタ２０それぞれの処理能力、機能、アドレス等を示した情報である。

制御部１３は、送信制御装置１０全体の制御を司る。制御部１３は、例えば、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等によって、送信制御装置１０内部の記憶装置に記憶されている各種プログラム（送信制御プログラムの一例に相当）がＲＡＭを作業領域として実行されることにより実現される。

制御部１３は、例えば、受信部１３０と、生成部１３１と、レート決定部１３２と、送信先選択部（選択部）１３３と、送信処理部１３４とを備える。

受信部１３０は、ネットワーク装置１からxFlowパケットを受信する。生成部１３１は、受信部１３０により受信されたたxFlowパケットに基づき、当該xFlowパケットのxFlow情報を生成する。

レート決定部１３２は、生成部１３１により生成されたxFlow情報を各フローコレクタ２０へ送信する際のレートを決定する。具体的には、レート決定部１３２は、フローコレクタ２０それぞれの処理能力に応じ、当該フローコレクタ２０へxFlow情報を送信する際のレートを決定する。このレート決定部１３２の詳細は、具体例を交えながら後記する。

送信先選択部１３３は、生成部１３１により生成されたxFlow情報の送信先となるフローコレクタ２０を選択する。

例えば、送信先選択部１３３は、xFlow情報の送信先となるフローコレクタ２０に、同じ機能のフローコレクタ２０が複数ある場合を考える。この場合、生成部１３１により生成されたxFlow情報のうち、送信元アドレスまたは送信先アドレスの少なくともいずれかが同じxFlowパケットに関するxFlow情報の送信先を、上記の同じ機能のフローコレクタ２０から選択したいずれか１つのフローコレクタ２０とする。

例えば、xFlow情報の送信先となるフローコレクタ２０として、それぞれ同じ機能を持つフローコレクタ２０Ａ－１とフローコレクタ２０Ａ－２とがある場合を考える。この場合、送信先選択部１３３は、送信元アドレスおよび送信先アドレスの組み合わせが同じxFlow情報の送信先として、フローコレクタ２０Ａ‐１とフローコレクタ２０Ａ－２のうちいずれかのフローコレクタ２０を選択する。これにより、例えば、同じフローの双方向のxFlow情報がそれぞれ同じフローコレクタ２０に到達する。

送信処理部１３４は、生成部１３１により生成されたxFlow情報を、レート決定部１３２により決定されたレートで各フローコレクタ２０へ送信する。例えば、送信処理部１３４は、xFlow情報をフローコレクタ２０ごとに決定されたレートで送信する。

このような送信制御装置１０によれば、各フローコレクタ２０がフローの分析を行う際の効率を向上させ、かつ、分析精度の低下を防止することができる。

［処理手順の例］
次に、図３を用いて、送信制御装置１０の処理手順の例を説明する。

送信制御装置１０の受信部１３０は、ネットワーク装置１からxFlowパケットを受信する（Ｓ１）。そして、生成部１３１は、Ｓ１で受信したxFlowパケットのxFlow情報を生成する（Ｓ２）。その後、レート決定部１３２は、各フローコレクタ２０へxFlow情報の送信する際のレートを決定する（Ｓ３）。

また、xFlow情報の送信先のフローコレクタ２０に同じ機能のフローコレクタ２０が複数ある場合、送信先選択部１３３は、送信元および送信先の少なくともいずれが同じxFlow情報の送信先として、上記の同じ機能のフローコレクタ２０群から１つのフローコレクタ２０を選択する（Ｓ４：送信先の決定）。

そして、送信処理部１３４は、Ｓ２で生成されたxFlow情報を、Ｓ３で決定したレートで各フローコレクタ２０へ送信する（Ｓ５：各フローコレクタへの送信処理）。なお、Ｓ４で送信先選択部１３３が、xFlow情報の送信先のフローコレクタ２０を選択した場合、送信処理部１３４は、Ｓ４で選択されたフローコレクタ２０へ当該xFlow情報を送信する。

このようにすることで、送信制御装置１０は各フローコレクタ２０の処理能力に応じたレートでxFlow情報を送信することができる。また、送信制御装置１０は、xFlow情報の送信先のフローコレクタ２０に同じ機能のフローコレクタ２０が複数ある場合、送信元および送信先の少なくともいずれが同じxFlow情報については、当該xFlow情報を同じフローコレクタ２０に送信することができる。その結果、各フローコレクタ２０がフローの分析を行う際の効率を向上させ、かつ、分析精度の低下を防止することができる。

［レートの調整の例］
次に、図４を用いて、送信制御装置１０におけるxFlow情報を各フローコレクタ２０へ送信する際のレートの調整方法の例を説明する。レートの調整方法は、例えば、（１）相対レートを用いる方法、（２）絶対レートを用いる方法、（３）フローコレクタへの出力レートを制限する方法がある。

なお、以下の説明において、送信制御装置１０がxFlow情報をフローコレクタ２０Ａ，２０Ｂへ送信する場合を例に説明する。ここで、フローコレクタ２０Ａの処理能力は、フローコレクタ２０Ｂの処理能力よりも低いものとする。

（１）相対レートを用いる方法
まず、（１）相対レートを用いる方法について説明する。例えば、送信制御装置１０が、ネットワーク装置１からレートＲ_ＩでサンプリングされたxFlowパケットを受信すると、受信したxFlowパケットのxFlow情報をフローコレクタ２０ごとに決められた設定レートＲ_Ｃでフローコレクタ２０へ送信する。

つまり、各フローコレクタ２０における最終レートＲ_Ｌは、以下の式（１）に示す値となる。

Ｒ_Ｌ＝Ｒ_Ｉ×Ｒ_Ｃ…式（１）

ここでレート決定部１３２は、例えば、フローコレクタ２０の処理能力に応じ、フローコレクタ２０Ｂの設定レートＲ_Ｃを1/1とし、フローコレクタ２０Ａの設定レートＲ_Ｃを1/10とする。

そして、送信処理部１３４は、上記の各フローコレクタ２０の設定レートＲ_Ｃに従い、受信したxFlowパケットのxFlow情報をレート＝1/10でフローコレクタ２０Ａへ送信する。また、送信処理部１３４は、受信したxFlowパケットのxFlow情報をレート＝1/1でフローコレクタ２０Ｂへ送信する。その結果、フローコレクタ２０Ａに入力されるxFlow情報の最終レートＲ_Ｌは、1/100となる。また、フローコレクタ２０Ｂに入力されるxFlow情報の最終レートＲ_Ｌは、1/10となる。

このようにすることで、送信制御装置１０は、xFlow情報を各フローコレクタ２０の処理能力に応じた設定レートで送信することができる。

（２）絶対レートを用いる方法
図４に戻り、（２）絶対レートを用いる方法について説明する。ここでも、送信制御装置１０が、ネットワーク装置１から、レートＲ_ＩでサンプリングされたxFlowパケットを受信する場合を例に説明する。なお、このサンプリングされたxFlowパケットには、上記のレートＲ_Ｉを示す情報が付与されているものとする。

送信制御装置１０は、ネットワーク装置１からxFlowパケットを受信すると、上記のレートＲ_Ｉを示す情報を参照し、各フローコレクタ２０に入力されるxFlow情報の最終レートＲ_Ｌが、各フローコレクタ２０の設定レートＲ_Ｃとなるよう各フローコレクタ２０へxFlow情報を送信する際のレートを制御する。

例えば、フローコレクタ２０Ａの設定レートＲ_Ｃが1/100であり、フローコレクタ２０Ｂの設定レートＲ_Ｃが1/10である場合を考える。

この場合、Ｒ_Ｉ≦Ｒ_Ｃであるときは、送信制御装置１０は、ネットワーク装置１から受信したxFlowパケットのxFlow情報をレート1/1でフローコレクタ２０へ送信する。一方、Ｒ_Ｉ＞Ｒ_Ｃであるときは、送信制御装置１０は、xFlow情報をＲ_Ｃ＝Ｒ_Ｌとなるようなレートで各フローコレクタ２０へ送信する。

上記の（２）絶対レートを用いる方法は、（１）相対レートを用いる方法に比べて、各フローコレクタ２０に入力されるxFlow情報のレートが分かりやすいというメリットがある。

（３）フローコレクタへの出力レートを制限する方法
図４に戻り、（３）フローコレクタへの出力レートを制限する方法について説明する。この方法は、送信制御装置１０が各フローコレクタ２０へxFlow情報を送信する際のレート（出力レート）を制限する方法である。

すなわち、送信制御装置１０は、上記のＲ_Ｉの値にかかわらず、xFlow情報のフローコレクタ２０への出力レートが当該フローコレクタ２０に設定された設定値を超える場合に当該フローコレクタ２０への出力レートを制限する。

例えば、フローコレクタ２０Ａの設定値（設定フロー量Ｆ）が1000flow/secであり、フローコレクタ２０Ｂの設定値（設定フロー量Ｆ）が10000flow/secであり、送信制御装置１０が、ネットワーク装置１から受信したxFlowパケットのフロー量が5000flow/secである場合を考える。

この場合、送信制御装置１０がネットワーク装置１から受信したxFlowパケットのフロー量（5000flow/sec）は、フローコレクタ２０Ａの設定値（1000flow/sec）を超えている。よって、送信制御装置１０は、フローコレクタ２０ＡへのxFlow情報のフロー量が1000flow/sec未満となるよう、フローコレクタ２０Ａへの出力レートを制限する。一方、ネットワーク装置１から受信したxFlowパケットは、フローコレクタ２０Ｂの設定値（10000flow/sec）は超えていない。よって、送信制御装置１０は、フローコレクタ２０Ｂへの出力レートの制限は行わない。

上記の方法は、送信制御装置１０が受信するxFlowパケットのフロー量に関わらず、各フローコレクタ２０の処理性能の上限を超えないようにすることができる、というメリットがある。

次に、図５を用いて、上記の（１）相対レートを用いる方法における処理手順の例を説明する。なお、ここで送信処理部１３４が各フローコレクタ２０に送信するxFlow情報はxFlowパケットそのものである場合を例に説明する。

まず、送信制御装置１０の受信部１３０が、ネットワーク装置１からxFlowパケットを受信すると（Ｓ１１）、送信処理部１３４は、ＳｍｏｄＲ_Ｃを計算する（Ｓ１２）。なお、上記のＳは、Ｓ１１で受信したxFlowパケットのシーケンスナンバーである。また、上記のＲ_Ｃは、xFlowパケットの送信先のフローコレクタ２０に設定されたレートの逆数である。

Ｓ１２の計算結果が０であれば（Ｓ１２で「０」）、送信処理部１３４は、Ｓ１１で受信したxFlowパケットを当該フローコレクタ２０へ送信し（Ｓ１３）、Ｓ１１へ戻る。一方、Ｓ１２の計算結果が０以外であれば（Ｓ１２で「０以外」）、送信処理部１３４は、Ｓ１１で受信したxFlowパケットを廃棄し（Ｓ１４）、Ｓ１１へ戻る。

次に、図６を用いて、上記の（２）絶対レートを用いる方法における処理手順の例を説明する。

まず、送信制御装置１０は、入力サンプリングレートＲ_Ｉ（上記のレートＲ_Ｉ）を記憶する（Ｓ２１）。例えば、送信制御装置１０の受信部１３０は、ネットワーク装置１からレートＲ_Ｉを受信すると、レートＲ_Ｉを記憶部１２に記憶する。

次に、送信処理部１３４は、Ｒ_Ｉ≦Ｒ_Ｃか否かを判定し（Ｓ２２）、Ｒ_Ｉ≦Ｒ_Ｃであれば（Ｓ２２でＹｅｓ）、Ｒ_Ｃを１にする（Ｓ２３）。そして、Ｓ２５へ進む。一方、Ｒ_Ｉ≦Ｒ_Ｃでなければ（Ｓ２２でＮｏ）、送信処理部１３４は、レートＲｃをＲ_Ｃ／Ｒ_Ｉにする（Ｓ２４）。そして、Ｓ２５へ進む。

例えば、Ｒ_Ｃが1/100であり、Ｒ_Ｉが1/10である場合、送信処理部１３４はxFlowパケットをフローコレクタ２０へ送信する際のレートＲｃを1/10にする。これにより、ネットワーク装置１で受信したxFlowパケットに対する、フローコレクタ２０に入力されるxFlowパケットのレートを1/100にすることができる。

図６のＳ２５～Ｓ２８の処理は、図５のＳ１１～Ｓ１４の処理と同様なので説明を省略する。

次に、図７を用いて、上記の（３）フローコレクタへの出力レートを制限する方法における処理手順の例を説明する。

まず、送信制御装置１０の受信部１３０が、ネットワーク装置１からxFlowパケットを受信すると（Ｓ３１）、送信処理部１３４は、過去１秒間にフローコレクタ２０へ送信したxFlowパケットのフロー量を確認する（Ｓ３２）。そして、確認したxFlowパケットのフロー量がＦ（フローコレクタ２０の設定フロー量Ｆ）未満であれば（Ｓ３２で「Ｆ未満」）、送信処理部１３４は、Ｓ３１で受信したxFlowパケットをネットワーク装置１へ送信する（Ｓ３３）。そして、Ｓ３１へ戻る。一方、過去１秒間にフローコレクタ２０へ送信したxFlowパケットのフロー量が、Ｆ（フローコレクタ２０の設定フロー量Ｆ）以上であれば（Ｓ３２で「Ｆ以上」）、送信処理部１３４は、Ｓ３１で受信したxFlowパケットを廃棄する（Ｓ３４）。そして、Ｓ３１へ戻る。

［フローコレクタの選択の例］
前記したとおり、送信制御装置１０からのxFlow情報の送信先に同じ機能のフローコレクタ２０が複数ある場合、これらのフローコレクタ２０からいずれかのフローコレクタ２０を選択する。

例えば、図８に示すように、送信制御装置１０からのxFlow情報の送信先となるフローコレクタ２０として、フローコレクタ２０Ａ（フローコレクタ＃１）～フローコレクタ２０Ｎ（フローコレクタ＃Ｎ）がある場合を考える。なお、フローコレクタ２０Ａ（フローコレクタ＃１）～フローコレクタ２０Ｎ（フローコレクタ＃Ｎ）は、それぞれ同じ機能を備えるものとする。

例えば、送信制御装置１０がネットワーク装置１からxFlowパケットを受信すると、当該xFlowパケットのヘッダ情報に基づき、当該xFlowパケットのxFlow情報の送信先となるフローコレクタ２０を選択する。

ここで、xFlow情報の送信先となるフローコレクタ２０の選択方法としては、例えば、（１）並べ替えハッシュを用いる方法、（２）自アドレスハッシュを用いる方法等が考えられる。

（１）並べ替えハッシュを用いる方法は、例えば、以下のようにして行われる。

送信制御装置１０は、ネットワーク装置１から受信したxFlowパケットの送信元アドレスおよび送信先アドレスの組み合わせを昇順に並べ替え、それをキーとしたハッシュ値を計算し、計算したハッシュ値に対応するフローコレクタ２０を選択する。そして、送信制御装置１０は、当該送信元アドレスおよび送信先アドレスを持つxFlowパケットのxFlow情報を、選択したフローコレクタ２０へ送信する。

このようにすることで、受信したxFlowパケット群のうち、送信元アドレスと送信先アドレスが同じxFlowパケット（例えば、Ａ→ＢのxFlowパケットおよびＢ→ＡのxFlowパケット）に関するxFlow情報が同じフローコレクタ２０に送信される。これにより、フローコレクタ２０は、双方向の通信（例えば、Ａ→Ｂの通信およびＢ→Ａの通信）を分析することができる。

（２）自アドレスハッシュを用いる方法は、例えば、以下のようにして行われる。

まず、送信制御装置１０は、予め自アドレスを決めておく。ここでの自アドレスの数は、単数であってもよいし複数であってもよい。そして、送信制御装置１０がネットワーク装置１から受信したxFlowパケット群のヘッダ情報を参照して、送信元アドレスまたは送信先アドレスに自アドレスが設定されているxFlowパケットを抽出する。そして、送信制御装置１０は、抽出したxFlowパケットについて当該自アドレスをキーとしたハッシュ値を計算し、計算したハッシュ値に対応するフローコレクタ２０へ当該xFlowパケットのxFlow情報を送信する。

このようにすることで、受信したxFlowパケット群のうち、送信元アドレスまたは送信先アドレスが所定のアドレス（上記の自アドレス）であるxFlowパケットのxFlow情報が同じフローコレクタ２０に送信される。これにより、例えば、送信元アドレスまたは送信先アドレスが所定のアドレスである通信を、すべて同じフローコレクタ２０へ送信することができる。その結果、フローコレクタ２０は、所定のアドレスを送信元または送信先とする通信を分析することができる。

なお、上記の自アドレスの区別方法としては、例えば、送信制御装置１０において自アドレスのリストを用意しておき、当該リストに基づき、自アドレスを区別する方法が考えられる。

また、ネットワーク装置１が送信制御装置１０へxFlowパケットを送信する際、当該xFlowパケットが、ネットワーク装置１から見て出方向から来たパケットか、入方向から来たパケットかを示す識別情報を付与して送信してもよい。この場合、送信制御装置１０は、ネットワーク装置１から受信したxFlowパケットに、出方向を示す識別情報が付与されていれば、当該xFlowパケットの送信元は自アドレスであると判断する。また、送信制御装置１０は、xFlowパケットに入方向を示す識別情報が付与されていれば、当該xFlowパケットの送信先が自アドレスであると判断する。

次に、図９を用いて、上記の（１）並べ替えハッシュを用いる方法の処理手順の例を説明する。なお、図９および図１０において、「Ａ」はxFlowパケットの送信元アドレスを示し、「Ｂ」はxFlowパケットの送信先アドレスを示すものとする。

まず、送信制御装置１０の受信部１３０が、ネットワーク装置１からxFlowパケット（Ａ→Ｂ）を受信する（Ｓ５１）。次に、送信先選択部１３３は、受信したxFlowパケットのＡまたはＢをキーとして昇順に並べ替える（Ｓ５２：Ａ／Ｂを昇順に並べ替え）。その後、送信先選択部１３３は、ＡＢのハッシュ値Ｈを計算する（Ｓ５３）。そして、送信先選択部１３３が計算したハッシュ値Ｈに対応するフローコレクタ＃Ｈを、当該xFlowパケットのxFlow情報の送信先として選択する。そして、送信処理部１３４は、当該xFlowパケットのxFlow情報をフローコレクタ＃Ｈに送信する（Ｓ５４）。

次に、図１０を用いて、上記の（２）自アドレスハッシュを用いる方法の処理手順の例を説明する。

まず、送信制御装置１０の受信部１３０が、ネットワーク装置１からxFlowパケット（Ａ→Ｂ）を受信する（Ｓ６１）。次に、送信先選択部１３３は、受信したxFlowパケットが出方向のトラヒックか否かを判定する（Ｓ６２）。

Ｓ６２で、送信先選択部１３３が受信したxFlowパケットが出方向のトラヒックと判定した場合（Ｓ６２でＹｅｓ）、Ａのハッシュ値Ｈを計算する（Ｓ６３）。その後、Ｓ６５へ進む。一方、Ｓ６２で、送信先選択部１３３が受信したxFlowパケットが出方向のトラヒックではないと判定した場合（Ｓ６２でＮｏ）、Ｂのハッシュ値Ｈを計算する（Ｓ６４）。その後、送信先選択部１３３が計算したハッシュ値Ｈに対応するフローコレクタ＃Ｈを、当該xFlowパケットのxFlow情報の送信先として選択する。そして、送信処理部１３４は、当該xFlowパケットのxFlow情報をフローコレクタ＃Ｈに送信する（Ｓ６５）。

このようにすることで、送信制御装置１０は、xFlow情報の送信先のフローコレクタ２０に同じ機能のフローコレクタ２０が複数ある場合、送信元および送信先の少なくともいずれが同じxFlowパケットのxFlow情報については、当該xFlow情報を同じフローコレクタ２０に送信することができる。

［プログラム］
また、上記の実施形態で述べた送信制御装置１０の機能を実現するプログラムを所望の情報処理装置（コンピュータ）にインストールすることによって実装できる。例えば、パッケージソフトウェアやオンラインソフトウェアとして提供される上記のプログラムを情報処理装置に実行させることにより、情報処理装置を送信制御装置１０として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータ、ラック搭載型のサーバコンピュータ等が含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal Handyphone System）等の移動体通信端末、さらには、ＰＤＡ（Personal Digital Assistants）等がその範疇に含まれる。また、送信制御装置１０を、クラウドサーバに実装してもよい。

図１２を用いて、上記のプログラム（送信制御プログラム）を実行するコンピュータの一例を説明する。図１２に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１およびＲＡＭ（Random Access Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。ディスクドライブ１１００には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。

ここで、図１２に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。前記した実施形態で説明した各種データや情報は、例えばハードディスクドライブ１０９０やメモリ１０１０に記憶される。

そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。

なお、上記の送信制御プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、上記のプログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮやＷＡＮ（Wide Area Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

１ネットワーク装置
１０送信制御装置
２０，２０Ａ，２０Ｂフローコレクタ
１２記憶部
１３制御部
１３０受信部
１３１生成部
１３２レート決定部
１３３送信先選択部
１３４送信処理部

Claims

ネットワーク装置からフローのパケットを受信する受信部と、
受信したパケットのフローの情報の送信先となる１以上のフローコレクタの情報を記憶する記憶部と、
前記フローコレクタの処理能力に応じて設定されたレートと、前記ネットワーク装置が前記パケットをサンプリングした際のレートとの積により、当該フローコレクタへ前記フローの情報を送信する際のレートを決定するレート決定部と、
前記フローの情報の送信先のフローコレクタに、同じ機能のフローコレクタが複数ある場合、前記受信したパケットの送信元アドレスおよび送信先アドレスの組み合わせのハッシュ値を計算し、前記受信したパケットのフローの情報について、前記同じ機能のフローコレクタのうち、前記ハッシュ値に対応する１つのフローコレクタを送信先として選択する選択部と、
前記フローの情報を、前記フローコレクタごとに決定されたレートで当該フローコレクタへ送信する送信処理部と、
を備えることを特徴とする送信制御装置。
ネットワーク装置からフローのパケットを受信する工程と、
受信したパケットのフローの情報の送信先となるフローコレクタの処理能力に応じて設定されたレートと、前記ネットワーク装置が前記パケットをサンプリングした際のレートとの積により、当該フローコレクタへ前記フローの情報を送信する際のレートを決定する工程と、
前記フローの情報の送信先のフローコレクタに、同じ機能のフローコレクタが複数ある場合、前記受信したパケットの送信元アドレスおよび送信先アドレスの組み合わせのハッシュ値を計算し、前記受信したパケットのフローの情報について、前記同じ機能のフローコレクタのうち、前記ハッシュ値に対応する１つのフローコレクタを送信先として選択する工程と、
前記フローの情報を、前記フローコレクタごとに決定されたレートで当該フローコレクタへ送信する工程と、
を含むことを特徴とする送信制御方法。
ネットワーク装置からフローのパケットを受信するステップと、
受信したパケットのフローの情報の送信先となるフローコレクタの処理能力に応じて設定されたレートと、前記ネットワーク装置が前記パケットをサンプリングした際のレートとの積により、当該フローコレクタへ前記フローの情報を送信する際のレートを決定するステップと、
前記フローの情報の送信先のフローコレクタに、同じ機能のフローコレクタが複数ある場合、前記受信したパケットの送信元アドレスおよび送信先アドレスの組み合わせのハッシュ値を計算し、前記受信したパケットのフローの情報について、前記同じ機能のフローコレクタのうち、前記ハッシュ値に対応する１つのフローコレクタを送信先として選択するステップと、
前記フローの情報を、前記フローコレクタごとに決定されたレートで当該フローコレクタへ送信するステップと、
をコンピュータに実行させることを特徴とする送信制御プログラム。