JPH07321783A - ネットワーク監視装置 - Google Patents

Abstract

(57)【要約】 【目的】この発明は、ネットワークのトラフィック及び
データ通信する装置に影響を与えることなく、ネットワ
ークアプリケーションの動作状況をモニタリングするこ
とのできるネットワーク監視装置を提供する。 【構成】パケット選択部３０はパケット受信部１０によ
って受信されたパケットのうち、所望のパケットを選択
し、パケット蓄積部４０に蓄積する。プロトコル解析部
５０は、パケット蓄積部４０に蓄積されているパケット
内のデータフレームのヘッダを解析し、該解析結果と当
該ヘッダ以降のアプリケーション層のデータとを出力す
る。データ選択部６０は、データ形式を推定しこの推定
されたデータ形式に基づいて前記アプリケーション層の
データを選択し、これをデータ抽出部７０に渡す。デー
タ抽出部７０は、受け取ったデータから、モニタリング
に必要なデータを抽出してアクティビティ蓄積部８０に
蓄積する。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】この発明はネットワークに伝送さ
れるデータフレームを受信して解析するネットワーク監
視装置に関する。

【０００２】

【従来の技術】従来、ネットワークのモニタにおいて
は、ネットワーク上のパケット単位での統計の集計／表
示、及びパケツト内容の解析／表示を行っている。

【０００３】また他のモニタとしては、特開平４−１３
７９４４号公報に記載されたプロトコル解析装置があ
る。この解析装置では、コネクション型プロトコルで通
信しているノード間でやりとりしているデータグラムを
もとに、各ノードにおけるコネクションの状態を検出し
て、例えばマトリクス型または時系列的に表示するよう
にしている。

【０００４】一方、ネットワークを利用するアプリケー
ションのアクディビティをモニタする方法としては、監
視されるステーション側にエージェントと呼ばれるプロ
グラムを実装し、そのエージェントに対して、問い合わ
せを行ったり、イベントを報告させることにより情報を
得るのが一般的な方法である。

【０００５】

【発明が解決しようとする課題】しかしながら、上記公
報のプロトコル解析装置を含めた上記従来のネットワー
クモニタでは、例えばプリントアウトの実行、ファイル
へのアクセスなどのレベルでネットワークを利用するア
プリケーションのアクティビティを解析し表示すること
はできなかった。

【０００６】なお、アプリケーションのアクティビティ
を解析し表示するには、処理の要求元と要求先の双方の
状態をシミュレートし、その状態に基づきデータを解釈
する必要があり、複雑な処理が必要であった。

【０００７】また、上述したアプリケーションのアクデ
ィビティをモニタする方法すなわちエージェントを用い
る方法にあっては、各ステーションにエージェントを組
み込む必要があるため、モニタリングを前提としたネッ
トワークシステムを構築する必要がある。このことは、
エージェントを用いていない既存のネットワークシステ
ムにおいては、当然ながらエージェントを用いることに
よるモニタリングの結果を得ることはできないことを意
味する。またモニタリングすることにより、問い合わせ
結果やイベントの報告情報がネットワーク上に転送され
ることになるので、ネットワークのトラフィクあるいは
監視されるステーションの活動に影響を及ぼす虞が極め
て高い。

【０００８】本発明は、ネットワークのトラフィック及
びデータ通信する装置に影響を与えることなく、ネット
ワークアプリケーションの動作状況をモニタリングする
ことのできるネットワーク監視装置を提供することを目
的とする。

【０００９】

【課題を解決するための手段】本発明は、ネットワーク
に接続され、該ネットワークに伝送されるデータフレー
ムを受信して解析するネットワーク監視装置において、
前記データフレームのうち、所望のデータフレームを選
択する第１の選択処理処理手段（図１の３０）と、該第
１の選択処理手段の選択結果を記憶する第１の記憶手段
（図１の４０）と、該第１の記憶手段に記憶されたデー
タフレームのヘッダを解析し、該解析結果と当該ヘッダ
以降のアプリケーション層のデータとを出力するプロト
コル解析手段（図１の５０）と、該プロトコル解析手段
により得られたアプリケーション層のデータのデータ形
式を推定し、必要なデータ形式のデータを選択する第２
の選択処理手段（図１の６０）と、該第２の選択処理手
段の選択結果及びこれに対応する前記解析結果のうち必
要な情報を記憶する第２の記憶手段（図１の８０）とを
具備している。

【００１０】

【作用】この発明では、第１の選択処理手段が、ネット
ワークに伝送されるデータフレームのうち、所望のデー
タフレームを選択して第１の記憶手段に記憶し、プロト
コル解析手段が、第１の記憶手段に記憶されたデータフ
レームのヘッダを解析し、該解析結果と当該ヘッダ以降
のアプリケーション層のデータとを出力し、第２の選択
処理手段が、前記アプリケーション層のデータのデータ
形式を推定し、必要なデータ形式の前記アプリケーショ
ン層のデータを選択し、そして第２の記憶手段は、第２
の選択処理手段の選択結果及び、これに対応する前記解
析結果のうち必要な情報を記憶するようにしているの
で、ネットワーク上でのデータの送受を行うことなく、
また、アプリケーションの状態をシミュレートするため
の複雑な処理を行うことなく、ネットワークアプリケー
ションの動作状況をモニタリングすることができる。

【００１１】

【実施例】以下、本発明の実施例を添付図面を参照して
説明する。

【００１２】図１は、本発明に係るネットワーク監視装
置の一実施例を示す機能ブロック図である。

【００１３】同図において、パケット受信部１０は、ネ
ットワークに接続され、該ネットワークに転送されてい
る全てのパケット（すなわちデータフレーム）を受信す
ると共に、この受信時刻を受信したパケットに付加し、
更にそのパケッを時刻検出部２０及びパケット選択部３
０に渡す。時刻検出部２０は、パケット受信部１０から
のパケットの中から受信時刻を検出する。パケット選択
部３０は、渡されたパケット中の特定位置のデータに基
づいてパケットを選択する。パケット蓄積部４０には、
パケット選択部３０によって選択されたパケットを時刻
検出部２０からの受信時刻のデータと共に蓄積する。

【００１４】プロトコル解析部５０は、パケット蓄積部
４０に蓄積されているパケットに含まれているプロトコ
ルのヘッダを解析し、必要なプロトコル情報と、そのパ
ケットにより送られるアプリケーションデータを抽出
し、これらのデータをデータ選択部６０に渡す。

【００１５】なお、上記必要なプロトコル情報とは、例
えば宛先及び発信元のアドレスなどであり、また上記ア
プリケーションデータとは、例えばＴＣＰ（トランスミ
ッション・コントロール・プロトコル）より上位のデー
タ、即ち、セッション層からアプリケーション層までの
データのことである。

【００１６】データ選択部６０は、渡されたアプリケー
ションデータを解析して、該データのデータ形式を推定
し、推定されたデータ形式に基づき該データがモニタリ
ングに必要なデータであるか否かを判定し、必要なデー
タのみを選択する。すなわち、アプリケーションに関す
る知識、及びそのモニタリングに必要なデータに関する
固有の知識に基づき、渡されたアプリケーションデータ
のデータ形式を推定し、必要なデータか否かを判定す
る。ここで、データ選択部６０は、字句解析によりデー
タが特定の文法に従うか否かによって、データが所望の
データ形式のものか否かを推定し、所望のデータ形式で
あると推定されたアプリケーションデータのみを選択す
るようにしている。

【００１７】データ抽出部７０は、データ選択部６０に
より選択されたデータ、プロトコル解析の結果及び受信
時刻データから必要なものを取り出す。

【００１８】アクティビティ情報蓄積部８０は、データ
抽出部７０により抽出されたデータを蓄積する。

【００１９】次に、ＵＮＩＸシステムにおけるリモート
プリントのモニタリングを行う場合の処理について説明
する。

【００２０】ＵＮＩＸシステムにおけるリモートプリン
トは、lpdデーモン間のＴＣＰプロトコルによるデータ
転送により行われる。転送されるデータは、プリントコ
ントロールファイルとプリントデータファイルである。
これらのファイルのデータは、コマンドバイトに続きフ
ァイルサイズ、ファイル名を含んだメッセージに続き送
られる。この転送の手順を図２に示す。

【００２１】図２に示される例の転送されるデータの内
容について説明する。

【００２２】［ ＼００２ ｐｒｉｎｔｅｒｎａｍｅ
＼０１２ ］について “ ＼００２（８進数で２）”はこれに続く文字列がプ
リンタ名またはコントロールファイルとそのサイズであ
ることを示すコマンドバイトを表している。この場合、
“ｐｒｉｎｔｅｒｎａｍｅ”はプリンタ名を表す文字列
がコマンドバイトに続くことを表している。“＼０１２
（８進数０１２）”はコマンドの終わりを示す１バイト
のデータである。これ全体で出力先プリンタがコマンド
バイトに続く文字列で示されたものであることを意味し
ている。 ［ ＼０００ ］について “＼０００ ”は応答を示すコマンドバイトである。こ
れでコマンドの受理を意味している。

【００２３】［ ＼００３ ｓｉｚｅ ｆｉｌｅｎａｍ
ｅ ＼０１２ ］について “＼００３”はこれに続く文字列が転送されるファイル
のサイズとファイル名であることを示すコマンドバイト
である。“ｓｉｚｅ”はコマンドバイトに続きファイル
サイズを表す数字列が続くことを表し、“ｆｉｌｅｎａ
ｍｅ” はそれに続き空白をはさんでファイル名を表す
文字列が続くことを意味する。“＼０１２”は上記と同
様である。

【００２４】［ ｄａｔａ＼０００ ］について “ｄａｔａ”は実際のデータを表し、“＼０００”はデ
ータの終わりを表している。

【００２５】［ ＼００２ ｓｉｚｅ ｆｉｌｅｎａｍ
ｅ ＼０１２ ］について これは、上述した＼００２コマンドバイトにおいてコン
トロールファイル名とそのサイズが続く場合のものであ
る。

【００２６】図２に示される様に、上述したlpd間のデ
ータ転送は、printer（プリンター）ポートと呼ばれる
事実上固定のポートに対して行われる。また、コマンド
バイト及びそれに続くパラメータは１つのメッセージ単
位として送られるので、コマンドバイトは１つのパケッ
トで送られるデータの先頭に位置する。

【００２７】ここでは、リモートプリントのモニタとし
ては、一例として、転送の起こった時刻、データファイ
ルのサイズ、リモートプリントを発行したステーショ
ン、リモートプリントを受けたステーションの項目につ
いてモニタリングするものとする。

【００２８】このような前提条件下において、モニタリ
ングの処理について図３及び図４を参照して説明する。

【００２９】図３はパケットの受信処理及び選択処理の
動作を示すフローチャートであり、図４はモニタリング
に必要なデータの抽出処理の動作を示すフローチャート
である。

【００３０】最初にパケットの受信処理及び選択処理に
ついて説明する。

【００３１】図３において、パケット受信部１０は、モ
ニタリングが終了したか否かを判断し（ステップ１１
０）、終了していない場合は１パケットを受信すると共
に（ステップ１２０）、このパケットをパケット選択部
３０に渡す。これと並行して、時刻検出部２０はパケッ
ト受信部１０が受信したパケットの受信時刻を検出する
（ステップ１３０）。

【００３２】パケット選択部３０は、パケット受信部１
０から渡されたパケットは、ＴＣＰプロトコルのフォー
マットに基づいているか否かに応じてＴＣＰパケットか
否かを判断する（ステップ１４０）。ここで、ＴＣＰパ
ケットの場合はパケット受信部１０から渡されたパケッ
ト中の特定位置のデータすなわちポート番号に基づいて
printerポート宛パケットか否かを判断する（ステップ
１５０）。

【００３３】ここで、printerポート宛パケットの場
合、パケット選択部３０は、そのパケットデータをパケ
ット蓄積部４０に蓄積する。これと同時に、そのパケッ
トの受信時刻データについても、時刻検出部２０によっ
てパケット蓄積部４０に蓄積される（ステップ１６
０）。

【００３４】このステップ１６０が終了した後は、上記
ステップ１１０に戻り、このステップ以降が実行され
る。

【００３５】また上記ステップ１４０及びステップ１５
０において「ＮＯ」の場合は、上記ステップ１１０に戻
る。このステップ１１０においてモニタリングが終了し
た場合は処理を終了する。

【００３６】次にモニタリングに必要なデータの抽出処
理について説明する。

【００３７】図４ににおいて、プロトコル解析部５０
は、モニタリングが終了したか否かを判断し（ステップ
２１０）、終了している場合には処理を終了し、一方、
終了していない場合は、パケット蓄積部４０から、１パ
ケット分のパケットデータを取り出す（ステップ２２
０）。またプロトコル解析部５０は、取り出したパケッ
トデータ内のＬＬＣ（論理リンク制御），ＩＰ（インタ
ーネットプロトコル）及びＴＣＰ（トランスミッション
プロトコル）プロトコルヘッダの解析を行うと共に（ス
テップ２３０）、ソース及びデスティネーションのＩＰ
アドレス、及びＴＣＰプロトコル上のデータ（つまりア
プリケーションデータ）を抽出し、これらの抽出結果を
データ選択部６０に渡す。この時、当該パケットの受信
時刻データも渡される。

【００３８】データ選択部６０では、渡された抽出結果
のうちアプリケーションデータについて字句解析を行い
（ステップ２４０）、当該データが、値＼００３のバイ
ト、数字列、空白及びＵＮＩＸファイル名の規則に従っ
た文字列及び改行コードバイトにより構成されるもので
あるか否かを判断する（ステップ２５０）。

【００３９】ここで、該当するデータの場合は、データ
選択部６０は、当該データ（アプリケーションデータ）
と、既にプロトコル解析部５０から受け取っているソー
ス及びデスティネーションのＩＰアドレス、及び受信時
刻データとをデータ抽出部７０に渡す。

【００４０】データ抽出部７０は、数字列として、デー
タ選択部６０から渡された上記データ中に含まれるファ
イルサイズデータを取り出すとともに（ステップ２６
０）、このファイルサイズデータと、既にデータ選択部
６０から受け取っている受信信時刻データ、ソース及び
デスティネーションのＩＰアドレスデータをアクティビ
ティ情報蓄部８０に蓄積する（ステップ２７０）。

【００４１】このステップ２７０を終了した後は、上記
ステップ２１０に戻り、このステップ以降が実行され
る。また上記ステップ２５０において「ＮＯ」の場合
は、上記ステップ２１０に戻る。

【００４２】以上説明したように本実施例によれば、通
常のパケットのフィルタリングに加え、特定のアプリケ
ーションに関す知識、及びモニタリングに必要な情報に
関する知識に基づき、効率よくネットワークアプリケー
ションのモニタリングに必要なデータを収集することが
できる。

【００４３】このため、アプリケーションレベルでのア
クティビティのモニタリングが可能となる。

【００４４】また、必要なデータのみを蓄積するのでデ
ータ蓄積のための領域を削減することができる。

【００４５】さらに、パケット単位での解析が可能であ
り、ＩＰにおけるセグメンテーション分割、コネクショ
ン型のプロトコルにおけるコネクション管理など複雑な
メカニズムを必要としない。

【００４６】

【発明の効果】以上詳細に説明したように本発明によれ
ば、第１の選択処理手段が、ネットワークに伝送される
データフレームのうち、所望のデータフレームを選択し
て第１の記憶手段に記憶し、プロトコル解析手段が、第
１の記憶手段に記憶されたデータフレームのヘッダを解
析し、該解析結果と当該ヘッダ以降のアプリケーション
層のデータとを出力し、第２の選択処理手段が、プロト
コル解析手段により得られたアプリケーション層のデー
タのデータ形式を推定し、必要なデータ形式のデータを
選択し、そして第２の記憶手段は、第２の選択処理手段
の選択結果及び、これに対応する前記解析結果のうち必
要な情報を記憶するようにしているので、ネットワーク
のトラフィック及びデータ通信する装置に影響を与える
ことなく、ネットワークアプリケーションの動作状況を
モニタリングすることができる。

【００４７】従って、エージェントが組み込まれていな
い既存のネットワークシステムにおいても、ネットワー
クアプリケーションの動作状況をモニタリングすること
ができる。

【図面の簡単な説明】

【図１】本発明に係るネットワーク監視装置の一実施例
を示した機能ブロック図。

【図２】本実施例のモニタリングを説明するたもの図。

【図３】本実施例におけるパケットの受信処理及び選択
処理の動作を示すフローチャート。

【図４】本実施例におけるモニタリングに必要なデータ
の抽出処理の動作を示すフローチャート。

【符号の説明】

１０…パケット受信部、２０…時刻検出部、３０…パケ
ット選択部、４０…パケット蓄積部、５０…プロトコル
解析部、６０…データ選択部、７０…データ抽出部、８
０…アクティビティ情報蓄積部。

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁶ 識別記号 庁内整理番号 ＦＩ 技術表示箇所 Ｈ０４Ｌ 29/14 // Ｇ０６Ｆ 15/16 ４５０ Ｄ

Claims (1)

【特許請求の範囲】
1. 【請求項１】 ネットワークに接続され、該ネットワー
   クに伝送されるデータフレームを受信して解析するネッ
   トワーク監視装置において、 前記データフレームのうち、所望のデータフレームを選
   択する第１の選択処理処理手段と、 前記第１の選択処理手段の選択結果を記憶する第１の記
   憶手段と、 前記第１の記憶手段に記憶されたデータフレームのヘッ
   ダを解析し、該解析結果と当該ヘッダ以降のアプリケー
   ション層のデータとを出力するプロトコル解析手段と、 前記プロトコル解析手段により得られたアプリケーショ
   ン層のデータのデータ形式を推定し、必要なデータ形式
   のデータを選択する第２の選択処理手段と、 前記第２の選択処理手段の選択結果及びこれに対応する
   前記解析結果のうち必要な情報を記憶する第２の記憶手
   段とを具備したことを特徴とするネットワーク監視装
   置。