WO2018186242A1 - 監視装置、監視方法および監視プログラム - Google Patents

監視装置、監視方法および監視プログラム Download PDF

Info

Publication number
WO2018186242A1
WO2018186242A1 PCT/JP2018/012566 JP2018012566W WO2018186242A1 WO 2018186242 A1 WO2018186242 A1 WO 2018186242A1 JP 2018012566 W JP2018012566 W JP 2018012566W WO 2018186242 A1 WO2018186242 A1 WO 2018186242A1
Authority
WO
WIPO (PCT)
Prior art keywords
predetermined
monitoring
packets
abnormality
flow information
Prior art date
Application number
PCT/JP2018/012566
Other languages
English (en)
French (fr)
Inventor
弘 倉上
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to JP2019511175A priority Critical patent/JP6691268B2/ja
Priority to US16/499,871 priority patent/US11115427B2/en
Priority to EP18780384.6A priority patent/EP3591910B1/en
Publication of WO2018186242A1 publication Critical patent/WO2018186242A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/02—Capturing of monitoring data
    • H04L43/022—Capturing of monitoring data by sampling
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/02—Capturing of monitoring data
    • H04L43/026—Capturing of monitoring data using flow identification
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/16—Threshold monitoring
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic

Definitions

  • the present invention relates to a monitoring device, a monitoring method, and a monitoring program.
  • traffic analysis techniques such as packet capture and MIB (Management Information Base) are known.
  • packet capture can analyze packet contents in detail, the amount of data increases, so it is not appropriate for traffic monitoring of the entire ISP (Internet Service Provider).
  • ISP Internet Service Provider
  • MIB Management Information Base
  • the MIB knows the amount of traffic passing through a network device interface such as a router, it is suitable for monitoring the traffic of the entire ISP, but cannot analyze the contents of packets such as protocols.
  • Non-Patent Document 1 a technique called nfdump
  • fastnetmon a technique called fastnetmon
  • Non-Patent Document 3 discloses a sampling error in packet sampling.
  • the detection threshold is set to 10 kpps and the sampling rate is set to 1/10000, assuming that the detection required period is 1 second, it is determined that there is an abnormality only by receiving one packet. In this case, if the required detection period is 30 seconds, it is determined that there is an abnormality only by receiving 30 packets.
  • the present invention has been made in view of the above, and an object of the present invention is to detect traffic abnormalities quickly and accurately using flow information.
  • the monitoring apparatus includes an acquisition unit that acquires a packet indicating flow information output by a network device at a predetermined sampling rate, and a predetermined traffic pattern.
  • the sampling error rate is less than or equal to a predetermined upper limit value, and the number of packets acquired during a predetermined period retroactive from the present or the average value per unit time of the number of packets is equal to or greater than a predetermined detection threshold
  • a determination unit that determines that there is an abnormality.
  • FIG. 1 is an explanatory diagram for explaining a processing outline of a monitoring apparatus according to an embodiment of the present invention.
  • FIG. 2 is a schematic view illustrating a schematic configuration of the monitoring apparatus of the present embodiment.
  • FIG. 3 is an explanatory diagram for explaining processing of the determination unit.
  • FIG. 4 is an explanatory diagram for explaining the processing of the determination unit.
  • FIG. 5 is a flowchart showing the monitoring processing procedure of this embodiment.
  • FIG. 6 is a diagram illustrating a computer that executes a monitoring program.
  • the monitoring device targets traffic in the IP network for monitoring processing.
  • a user network 4 such as a Web server 3 or a VLAN is connected to a network composed of network devices such as a router 2.
  • IP network 1 For example, when a terminal 41 in the user network 4 accesses the Web server 3 via the router 2 and uses a service provided by the Web server 3, traffic is generated.
  • Each router 2 generates flow information including information such as a source IP address, a destination IP address, a protocol, a source port number, and a destination port number from a packet of traffic received by the interface 20 with another device. Yes.
  • the routers 2a, 2b, and 2c are connected to each other via an interface 20 (20a, 20b, 20c) provided in each of the routers 2a, 2b, and 2c. That is, the router 2a includes an interface 20a including an interface 21a with the Web server 3, an interface 22a with the router 2b, and an interface 23a with the router 2c.
  • the router 2b includes an interface 20b including an interface 21b with the user network 4 and an interface 22b with the router 2a.
  • the router 2c includes an interface 20c including an interface 21c with the user network 4 and an interface 22c with the router 2a.
  • Each router 2 is connected to the monitoring apparatus 10 through an interface so as to be communicable.
  • Each router 2 samples the traffic flow information received by each interface 20 included in the router 2 at a predetermined sampling rate and transmits the sampled information to the monitoring device 10.
  • the monitoring device 10 performs a monitoring process, which will be described later, using the received flow information, and detects a traffic abnormality.
  • the monitoring device 10 is realized by a general-purpose computer such as a workstation or a personal computer, and includes an input unit 11, an output unit 12, a communication control unit 13, a storage unit 14, and a control unit. 15.
  • the input unit 11 is realized by using an input device such as a keyboard and a mouse, and inputs various instruction information to the control unit 15 in response to an input operation by the operator.
  • the output unit 12 is realized by a display device such as a liquid crystal display, a printing device such as a printer, an information communication device, and the like, and outputs a result of monitoring processing described later to the operator.
  • the communication control unit 13 is realized by a NIC (Network Interface Card) or the like, and communicates with an external device such as the router 2 or the server and the control unit 15 via a telecommunication line such as a LAN (Local Area Network) or the Internet. Control.
  • NIC Network Interface Card
  • LAN Local Area Network
  • the storage unit 14 is realized by a semiconductor memory device such as a RAM (Random Access Memory) or a flash memory, or a storage device such as a hard disk or an optical disk.
  • a processing program for operating the monitoring device 10 data used during the execution of the processing program, and the like are stored in advance, or temporarily stored for each processing.
  • the storage unit 14 may be configured to communicate with the control unit 15 via the communication control unit 13.
  • the storage unit 14 stores setting values used for monitoring processing described later.
  • the storage unit 14 includes a plurality of monitoring target traffic patterns such as a known attack traffic pattern for detecting abnormal traffic from the flow information output from each router 2 to be monitored, A detection threshold Tt for each traffic pattern is stored.
  • the storage unit 14 stores a sampling rate R for each interface 20, a count period W, an upper limit value E 0 of an allowable sampling error rate, information on an alert destination, and the like.
  • control unit 15 executes a processing program stored in a memory by an arithmetic processing device such as a CPU (Central Processing Unit), so that an acquisition unit 15 a, a determination unit 15 b, and an alert transmission unit 15 c Function as. Note that these functional units may be implemented on different or different hardware.
  • arithmetic processing device such as a CPU (Central Processing Unit)
  • CPU Central Processing Unit
  • the acquisition unit 15a acquires a packet indicating flow information output by the router 2 at a predetermined sampling rate.
  • each router 2 generates flow information based on the attribute of the packet received by each interface 20 using techniques such as NetFlow, sFlow, and IPFIX.
  • the flow information includes information such as a source IP address, a destination IP address, a protocol, a source port number, a destination port number, a layer 3 protocol, and an interface.
  • Each router 2 samples the traffic received by each interface 20 at a predetermined sampling rate, and outputs it to the monitoring apparatus 10 as flow information. It is assumed that the same traffic flow information between the interfaces 20 of each router 2 is not output to the monitoring apparatus 10 in duplicate. For example, the flow information transmitted to the monitoring apparatus 10 for the user network 4 is only the interface 21c of the router 2c and the interface 21b of the router 2b.
  • the acquisition unit 15a acquires flow information output by each router 2.
  • each router 2 a different sampling rate may be set for each interface 20.
  • the monitoring device 10 applies the sampling rate for each interface 20 stored in the storage unit 14 in processing to be described later.
  • the determination unit 15b For each predetermined traffic pattern, the determination unit 15b has a sampling error rate equal to or less than a predetermined upper limit value E 0 and a unit of the number of packets or the number of packets acquired in a predetermined count period W retroactive to the present When the average value per time is equal to or greater than a predetermined detection threshold Tt, it is determined as abnormal.
  • the processing of the determination unit 15b will be described with reference to FIG.
  • the determination unit 15b is first stored in the storage unit 14 from flow information acquired within a predetermined count period (traffic count window) W up to the present when the acquisition unit 15a slides momentarily. For each traffic pattern, the number Cr of corresponding packets is counted for each interface 20.
  • the sample number C is expressed by the following equation (2).
  • the determination unit 15b determines whether the sampling error rate E is equal to or less than the upper limit value E 0 of the allowable sampling error rate, and the number of packets counted within the count period W up to now as shown in FIG. Alternatively, it is determined that an abnormality has been detected when the average pps is equal to or greater than a predetermined detection threshold Tt.
  • the average pps means an average value of the number of packets per unit time.
  • the average pps is also referred to as the average number of packets.
  • the average number of packets T [number / second] counted in the predetermined count period W [seconds] is expressed by the following equation (3) using the sampling rate R.
  • the sampling error rate E decreases as the number of packets Cr counted by the determination unit 15b in the count period W increases. Therefore, if the following expression (4) is satisfied, it can be said that the sampling error rate E is equal to or less than the upper limit value E 0 .
  • the acquisition unit 15a describes the number of packets acquired for the interface 1 of the router 1 as Cr11, and the number of packets acquired for the interface 2 of the router 2 as Cr21. In that case, if the following equation (5) holds for the number of packets sampled and acquired by the acquisition unit 15a in the flow information of the traffic pattern to be monitored, the following equation (5) holds, and the sampling error rate: It can be said that E is not more than the upper limit value E 0 .
  • the sampling rate R may be set to a different value for each interface. Therefore, the sampling rate of the interface 1 of the router 1 is denoted as R11, and the sampling rate of the interface 1 of the router 2 is denoted as R21.
  • the average traffic pattern to be monitored It can be said that the number of packets is equal to or greater than the detection threshold Tt.
  • the monitoring target acquired in the count period W within the allowable sampling error rate range. It can be said that the average number of packets in the traffic pattern is equal to or greater than the detection threshold Tt.
  • the determination unit 15b determines that an abnormality has occurred in the traffic when the above equation (8) is satisfied. Note that the determination unit 15b uses the value stored in the storage unit 14 when the value of the sampling rate R for each interface 20 is not included in the flow information when calculating the above equation (8).
  • the determination unit 15b performs abnormality determination by calculating the above formula (8) every time the flow information is acquired or every short time of about 1 second. As a result, it is possible to quickly detect an abnormality while suppressing the sampling error to an allowable range.
  • the determination unit 15b outputs a determination result including information such as the counted number of packets to the alert transmission unit 15c.
  • the determination unit 15b determines the end of the abnormal traffic using a predetermined end threshold value and an end determination duration time that are set in advance and stored in the storage unit 14.
  • the determination process of the abnormal end by the determination part 15b is demonstrated.
  • the determination unit 15b determines that there is an abnormality for each predetermined traffic pattern, and then, as shown in FIG. 4, the number of packets or the average number of packets within the count period (traffic count window) falls below the end threshold.
  • the abnormal end is determined at the time when the end determination continuation time has elapsed from that time.
  • the end threshold value and the end determination duration time are set in advance for each traffic pattern and stored in the storage unit 14 in the same manner as the detection threshold value Tt.
  • the end threshold value may be the same value as the detection threshold value, or may be suppressed from being repeatedly determined to be abnormal by setting a value smaller than the detection threshold value.
  • the frequency of the abnormal end determination may be the same as that of the abnormality determination, or may be every longer time of about 1 minute because the urgency is lower than the abnormality determination.
  • the alert sending unit 15c functions as a notification unit, and notifies a predetermined notification destination of a determination result by the determination unit 15b. Specifically, when the determination unit 15b determines that an abnormality has occurred, the alert transmission unit 15c notifies the predetermined alert transmission destination that an abnormality has been detected via the communication control unit 13. At that time, the alert sending unit 15c may also notify information such as the counted number of packets output from the determination unit 15b. The alert sending unit 15c may output a message, an alert, or the like indicating abnormality detection to the output unit 12. The alert sending unit 5c also notifies the predetermined alert sending destination of the abnormal end even when the determining unit 15b determines that the abnormal end has occurred, as in the case of determining the abnormal end.
  • FIG. 5 is a flowchart illustrating the monitoring processing procedure.
  • the flowchart in FIG. 5 is started, for example, at a timing when there is an operation input instructing the start of the monitoring process.
  • the acquisition unit 15a acquires a packet indicating flow information output by the router 2 at a predetermined sampling rate (step S1).
  • the determination unit 15b is acquired for each traffic pattern stored in the storage unit 14 in a predetermined count period W whose sampling error rate is equal to or less than a predetermined upper limit value E 0 and goes back from the present. It is checked whether the number of packets or the average value of the number of packets per unit time is equal to or greater than a predetermined detection threshold Tt (step S2). That is, the determination unit 15b confirms whether or not the above formula (8) is satisfied.
  • step S2 When the above equation (8) is not satisfied (step S2, No), the determination unit 15b returns the process to step S1. On the other hand, when the above equation (8) is satisfied (step S2, Yes), the determination unit 15b determines that an abnormality has occurred in the traffic (step S3). Further, the alert sending unit 15c notifies a predetermined alert sending destination that an abnormality has been detected. Thereby, a series of monitoring processes are completed.
  • the acquisition unit 15a acquires a packet indicating flow information output by the router 2 at a predetermined sampling rate.
  • the determination unit 15b is, for each traffic pattern stored in the storage unit 14, sampling error constant of 0 or less than a predetermined upper limit value E, and is obtained in a predetermined count period W which prior to the current packet Or the average value of the number of packets per unit time is equal to or greater than a predetermined detection threshold Tt.
  • the determination unit 15b determines, for each traffic pattern stored in the storage unit 14, that there is an abnormality, and after the number of packets or the average number of packets acquired in the count period W falls below a predetermined end threshold, When a predetermined duration has elapsed, it is determined that the abnormality has ended. Thereby, the result of abnormality detection by the monitoring device 10 can be utilized more effectively.
  • the alert sending unit 15c notifies the predetermined alert sending destination of the determination result by the determining unit 15b. Thereby, the result of abnormality detection by the monitoring device 10 can be utilized more effectively.
  • the monitoring apparatus 10 can be implemented by installing a monitoring program for executing the above-described monitoring processing as package software or online software on a desired computer.
  • the information processing apparatus can function as the monitoring apparatus 10 by causing the information processing apparatus to execute the above monitoring program.
  • the information processing apparatus referred to here includes a desktop or notebook personal computer.
  • the information processing apparatus includes mobile communication terminals such as smartphones, mobile phones and PHS (Personal Handyphone System), and slate terminals such as PDA (Personal Digital Assistants).
  • a terminal device used by a user can be a client, and the client can be implemented as a server device that provides services related to the above-described monitoring processing to the client.
  • the monitoring device 10 is implemented as a server device that provides a monitoring processing service that receives flow information output from the router 2 and outputs a detection result of abnormal traffic.
  • the monitoring apparatus 10 may be implemented as a Web server, or may be implemented as a cloud that provides a service related to the above monitoring process by outsourcing.
  • a computer that executes a monitoring program that implements the same function as the monitoring device 10 will be described.
  • a computer 1000 that executes a monitoring program includes, for example, a memory 1010, a CPU 1020, a hard disk drive interface 1030, a disk drive interface 1040, a serial port interface 1050, a video adapter 1060, and a network interface. 1070. These units are connected by a bus 1080.
  • the memory 1010 includes a ROM (Read Only Memory) 1011 and a RAM 1012.
  • the ROM 1011 stores a boot program such as BIOS (Basic Input Output System).
  • BIOS Basic Input Output System
  • the hard disk drive interface 1030 is connected to the hard disk drive 1031.
  • the disk drive interface 1040 is connected to the disk drive 1041.
  • a removable storage medium such as a magnetic disk or an optical disk is inserted into the disk drive 1041.
  • a mouse 1051 and a keyboard 1052 are connected to the serial port interface 1050.
  • a display 1061 is connected to the video adapter 1060.
  • the hard disk drive 1031 stores, for example, an OS 1091, an application program 1092, a program module 1093, and program data 1094.
  • Each table described in the above embodiment is stored in the hard disk drive 1031 or the memory 1010, for example.
  • the monitoring program is stored in the hard disk drive 1031 as a program module 1093 in which a command executed by the computer 1000 is described, for example.
  • a program module 1093 describing each process executed by the monitoring apparatus 10 described in the above embodiment is stored in the hard disk drive 1031.
  • data used for information processing by the monitoring program is stored as, for example, the hard disk drive 1031 as program data 1094.
  • the CPU 1020 reads the program module 1093 and the program data 1094 stored in the hard disk drive 1031 to the RAM 1012 as necessary, and executes the above-described procedures.
  • program module 1093 and the program data 1094 related to the monitoring program are not limited to being stored in the hard disk drive 1031, but are stored in a removable storage medium, for example, and read out by the CPU 1020 via the disk drive 1041 or the like. May be.
  • the program module 1093 and the program data 1094 related to the monitoring program are stored in another computer connected via a network such as a LAN or a WAN (Wide Area Network), and read by the CPU 1020 via the network interface 1070. May be.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

フロー情報を用いて迅速かつ高精度にトラフィックの異常を検知するため、取得部（１５ａ）が、ネットワーク機器が所定のサンプリングレートで出力するフロー情報を示すパケットを取得し、判定部（１５ｂ）が、所定のトラフィックパターンごとに、サンプリング誤差率が所定の上限値以下であり、かつ、現在から遡った所定のカウント期間に取得されるパケットの数またはパケットの数の単位時間当たりの平均値が所定の検出閾値以上である場合に、異常と判定する。

Description

監視装置、監視方法および監視プログラム
　本発明は、監視装置、監視方法および監視プログラムに関する。
　近年、ＩＰネットワークに対して、ＤＤｏＳ（Distributed　Denial　of　Service）攻撃に代表される攻撃が大規模化かつ巧妙化している。そのため、トラフィック監視の重要性が増している。
　従来、パケットキャプチャ、ＭＩＢ（Management　Information　Base）等のトラフィック解析の技術が知られている。パケットキャプチャは、パケットの内容を詳細に解析できるものの、データ量が多くなることから、ＩＳＰ（Internet　Service　Provider）全体のトラフィック監視には適切ではない。一方、ＭＩＢは、ルータ等のネットワーク機器インタフェースを経由するトラフィック量がわかるため、ＩＳＰ全体のトラフィック監視に好適であるものの、プロトコル等のパケットの内容を解析することができない。
　近年では、ネットワーク機器が出力するフロー情報をトラフィック解析に利用する、ＮｅｔＦｌｏｗ、ｓＦｌｏｗ、ＩＰＦＩＸ（Internet　Protocol　Flow　Information　eXport）等と呼ばれる技術が知られている。これらの技術では、フロー情報を利用することにより、送受信ＩＰアドレス、プロトコル、あるいはポート番号等の詳細なパケットの内容毎にトラフィックを解析することができる。
　ここで、フロー情報は、例えば、ｎｆｄｕｍｐと呼ばれる技術（非特許文献１参照）やｆａｓｔｎｅｔｍｏｎと呼ばれる技術（非特許文献２参照）を用いて収集される。ｎｆｄｕｍｐでは、収集されたフロー情報が１分毎に出力される。また、ｆａｓｔｎｅｔｍｏｎでは、受信したトラフィック量を予め設定された検出必要期間で除して算出された単位時間当たりのトラフィック量が、所定の検出閾値を超過した場合に、異常なトラフィックと判定される。なお、非特許文献３には、パケットサンプリングにおけるサンプリング誤差が開示されている。
ＮＦＤＵＭＰ、[online]、２０１４年、［２０１７年２月２７日検索]、インターネット＜URL:http://nfdump.sourceforge.net/＞ "FASTNETMON　DDOS　DETECTION　TOOL"、[online]、［２０１７年２月２７日検索]、インターネット＜URL:https://fastnetmon.com/＞ "Packet　Sampling　Basics"、[online]、［２０１７年３月３日検索]、インターネット＜URL:http://www.sflow.org/packetSamplingBasics/index.htm＞
　しかしながら、従来知られているｎｆｄｕｍｐを用いた場合には、フロー情報の入力が１分毎であるため、フロー情報を用いたトラフィックの解析に分単位の時間がかかってしまうという問題があった。また、ｆａｓｔｎｅｔｍｏｎを用いた場合には、数秒から数十秒程度の短時間で異常を検出できるものの、多大なサンプリング誤差が生じて異常の誤検出が多くなるという問題があった。例えば、検出閾値を１０ｋｐｐｓ、サンプリングレートを１／１００００とした場合に、検出必要期間を１秒とすると、１パケットを受信しただけで異常と判定してしまっていた。また、この場合に、検出必要期間を３０秒とすると、３０パケットを受信しただけで異常と判定してしまっていた。
　本発明は、上記に鑑みてなされたものであって、フロー情報を用いて迅速かつ高精度にトラフィックの異常を検知することを目的とする。
　上述した課題を解決し、目的を達成するために、本発明に係る監視装置は、ネットワーク機器が所定のサンプリングレートで出力するフロー情報を示すパケットを取得する取得部と、所定のトラフィックパターンごとに、サンプリング誤差率が所定の上限値以下であり、かつ、現在から遡った所定の期間に取得される前記パケットの数または前記パケットの数の単位時間当たりの平均値が所定の検出閾値以上である場合に、異常と判定する判定部と、を備えることを特徴とする。
　本発明によれば、フロー情報を用いて迅速かつ高精度にトラフィックの異常を検知することが可能となる。
図１は、本発明の一実施形態に係る監視装置の処理概要を説明するための説明図である。 図２は、本実施形態の監視装置の概略構成を例示する模式図である。 図３は、判定部の処理を説明するための説明図である。 図４は、判定部の処理を説明するための説明図である。 図５は、本実施形態の監視処理手順を示すフローチャートである。 図６は、監視プログラムを実行するコンピュータを例示する図である。
　以下、図面を参照して、本発明の一実施形態を詳細に説明する。なお、この実施形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。
［監視装置の処理概要］
　まず、図１を参照して、本実施形態に係る監視装置の処理概要を説明する。本実施形態において、監視装置は、ＩＰネットワーク内のトラフィックを監視処理の対象とする。図１に示すように、ＩＰネットワーク１は、ルータ２等のネットワーク機器で構成されるネットワークに、Ｗｅｂサーバ３やＶＬＡＮ等のユーザネットワーク４が接続される。
　ＩＰネットワーク１内で、例えば、ユーザネットワーク４内の端末４１が、ルータ２を介してＷｅｂサーバ３にアクセスし、Ｗｅｂサーバ３が提供するサービスを利用する際に、トラフィックが発生する。各ルータ２は、他の装置とのインタフェース２０が受信したトラフィックのパケットから、送信元ＩＰアドレス、宛先ＩＰアドレス、プロトコル、送信元ポート番号、宛先ポート番号等の情報を含むフロー情報を生成している。
　図１に示す例では、ルータ２ａ、ルータ２ｂおよびルータ２ｃの３台のルータ２がそれぞれに備わるインタフェース２０（２０ａ、２０ｂ、２０ｃ）を介して互いに通信可能に接続されている。すなわち、ルータ２ａは、Ｗｅｂサーバ３との間のインタフェース２１ａ、ルータ２ｂとの間のインタフェース２２ａ、およびルータ２ｃとの間のインタフェース２３ａを含むインタフェース２０ａを備える。また、ルータ２ｂは、ユーザネットワーク４との間のインタフェース２１ｂ、およびルータ２ａとの間のインタフェース２２ｂを含むインタフェース２０ｂを備える。また、ルータ２ｃは、ユーザネットワーク４との間のインタフェース２１ｃ、およびルータ２ａとの間のインタフェース２２ｃを含むインタフェース２０ｃを備える。また、各ルータ２は、監視装置１０とインタフェースを介して通信可能に接続されている。
　各ルータ２は、自身が備える各インタフェース２０が受信したトラフィックのフロー情報を、所定のサンプリングレートでサンプリングして、監視装置１０に送信している。監視装置１０は、受信したフロー情報を用いて後述する監視処理を行って、トラフィックの異常を検出する。
［監視装置の構成］
　次に、図２を参照して、本実施形態に係る監視装置の概略構成を説明する。図２に示すように、本実施形態に係る監視装置１０は、ワークステーションやパソコン等の汎用コンピュータで実現され、入力部１１と出力部１２と通信制御部１３と、記憶部１４と、制御部１５とを備える。
　入力部１１は、キーボードやマウス等の入力デバイスを用いて実現され、操作者による入力操作に対応して、制御部１５に対して各種指示情報を入力する。出力部１２は、液晶ディスプレイなどの表示装置、プリンター等の印刷装置、情報通信装置等によって実現され、後述する監視処理の結果等を操作者に対して出力する。
　通信制御部１３は、ＮＩＣ（Network　Interface　Card）等で実現され、ＬＡＮ（Local　Area　Network）やインターネットなどの電気通信回線を介したルータ２やサーバ等の外部の装置と制御部１５との通信を制御する。
　記憶部１４は、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ（Flash　Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現される。記憶部１４には、監視装置１０を動作させる処理プログラムや、処理プログラムの実行中に使用されるデータなどが予め記憶され、あるいは処理の都度一時的に記憶される。記憶部１４は、通信制御部１３を介して制御部１５と通信する構成でもよい。
　本実施形態の監視装置１０において、記憶部１４には、後述する監視処理に用いられる各設定値が保存されている。例えば、記憶部１４には、監視処理の対象とする各ルータ２から出力されるフロー情報から異常なトラフィックを検出するための既知の攻撃のトラフィックのパターン等の複数の監視対象のトラフィックパターンと、トラフィックパターンごとの検出閾値Ｔｔとが保存されている。また、記憶部１４には、インタフェース２０ごとのサンプリングレートＲ、カウント期間Ｗ、許容されるサンプリング誤差率の上限値Ｅ0、およびアラート送出先の情報等が保存されている。
　制御部１５は、ＣＰＵ（Central　Processing　Unit）等の演算処理装置がメモリに記憶された処理プログラムを実行することにより、図２に例示するように、取得部１５ａ、判定部１５ｂおよびアラート送出部１５ｃとして機能する。なお、これらの機能部は、それぞれ、あるいは一部が異なるハードウェアに実装されてもよい。
　取得部１５ａは、ルータ２が所定のサンプリングレートで出力するフロー情報を示すパケットを取得する。
　ここで、各ルータ２は、ＮｅｔＦｌｏｗ、ｓＦｌｏｗ、ＩＰＦＩＸ等の技術を用いて、各インタフェース２０で受信したパケットの属性をもとにフロー情報を生成している。フロー情報は、送信元ＩＰアドレス、宛先ＩＰアドレス、プロトコル、送信元ポート番号、宛先ポート番号、レイヤ３プロトコル、およびインタフェース等の情報を含む。
　各ルータ２は、各インタフェース２０で受信したトラフィックを所定のサンプリングレートでサンプリングして、フロー情報として監視装置１０に出力する。なお、各ルータ２のインタフェース２０間で同一のトラフィックのフロー情報を重複して監視装置１０に出力することはないものとする。例えば、ユーザネットワーク４に対して監視装置１０に送信されるフロー情報はルータ２ｃのインタフェース２１ｃおよびルータ２ｂのインタフェース２１ｂのみにする。取得部１５ａは、各ルータ２が出力するフロー情報を取得する。
　各ルータ２には、インタフェース２０ごとに異なるサンプリングレートが設定されてもよい。監視装置１０が取得したフロー情報にサンプリングレートが含まれていない場合には、監視装置１０は、後述する処理において、記憶部１４に記憶されているインタフェース２０ごとのサンプリングレートを適用する。
　判定部１５ｂは、所定のトラフィックパターンごとに、サンプリング誤差率が所定の上限値Ｅ0以下であり、かつ、現在から遡った所定のカウント期間Ｗに取得されるパケットの数またはパケットの数の単位時間当たりの平均値が所定の検出閾値Ｔｔ以上である場合に、異常と判定する。
　具体的に、図３を参照して、判定部１５ｂの処理を説明する。図３に示すように、判定部１５ｂは、まず、取得部１５ａが時々刻々スライドする現在までの所定のカウント期間（トラフィックカウントウィンドウ）Ｗ内に取得したフロー情報から、記憶部１４に記憶されているトラフィックパターンごとに、該当するパケットの数Ｃｒを、インタフェース２０ごとに計数する。
　ここで、サンプリングされたサンプル数Ｃ［個］とサンプリング誤差率Ｅ［％］との関係は、次式（１）で表されることが知られている（非特許文献３参照）。
Figure JPOXMLDOC01-appb-M000001
　この場合に、サンプル数Ｃは、次式（２）で表される。
Figure JPOXMLDOC01-appb-M000002
　次に、判定部１５ｂは、サンプリング誤差率Ｅが許容されるサンプリング誤差率の上限値Ｅ0以下であり、かつ、図３に示すように、現在までのカウント期間Ｗ内に計数されるパケット数または平均ｐｐｓが所定の検出閾値Ｔｔ以上になった時点で、異常検出と判定する。ここで、平均ｐｐｓとは、単位時間当たりのパケット数の平均値を意味する。以下、平均ｐｐｓを平均パケット数とも記す。所定のカウント期間Ｗ［秒］に計数される平均パケット数Ｔ［個／秒］は、サンプリングレートＲを用いて、次式（３）で表される。
Figure JPOXMLDOC01-appb-M000003
　上記式（１）によれば、判定部１５ｂがカウント期間Ｗに計数するパケット数Ｃｒが多くなるほど、サンプリング誤差率Ｅが小さくなることがわかる。したがって、次式（４）が成立すれば、サンプリング誤差率Ｅが上限値Ｅ0以下ということができる。
Figure JPOXMLDOC01-appb-M000004
　次に、取得部１５ａが、ルータ１のインタフェース１について取得するパケット数をＣｒ１１、ルータ２のインタフェース２について取得するパケット数をＣｒ２１等と記すことにする。その場合に、監視対象のトラフィックパターンのフロー情報のうち、サンプリングされて取得部１５ａが取得したパケット数について、上記式（４）と同様に、次式（５）が成立すれば、サンプリング誤差率Ｅが上限値Ｅ0以下ということができる。
Figure JPOXMLDOC01-appb-M000005
　また、カウント期間Ｗに計数される監視対象のトラフィックパターンの平均パケット数Ｔが、各パターンに対応する検出閾値Ｔｔ以上となる場合に、上記式（３）により、次式（６）が成立する。なお、監視対象のトラフィックパターンおよびトラフィックパターンごとの検出閾値Ｔｔは、予め設定され、記憶部１４に記憶されている。
Figure JPOXMLDOC01-appb-M000006
　ここで、上記のとおり、サンプリングレートＲはインタフェースごとに異なる値が設定され得る。そこで、ルータ１のインタフェース１のサンプリングレートをＲ１１、ルータ２のインタフェース１のサンプリングレートをＲ２１等と記すことにする。その場合に、上記式（６）と同様に、各インタフェースのパケット数とサンプリングレートの逆数との積を足し合わせて導出された次式（７）が成立すれば、監視対象のトラフィックパターンの平均パケット数が検出閾値Ｔｔ以上ということができる。
Figure JPOXMLDOC01-appb-M000007
　従って、上記式（５）および式（７）を同時に満たす場合、すなわち、次式（８）が成立する場合に、許容されるサンプリング誤差率の範囲で、カウント期間Ｗに取得される監視対象のトラフィックパターンの平均パケット数が検出閾値Ｔｔ以上になったということができる。
Figure JPOXMLDOC01-appb-M000008
　そこで、判定部１５ｂは、上記式（８）が成立する場合に、トラフィックに異常が発生したものと判定する。なお、判定部１５ｂは、上記式（８）の算出の際、インタフェース２０ごとのサンプリングレートＲの値がフロー情報に含まれていない場合には、記憶部１４に記憶されている値を用いる。
　また、判定部１５ｂは、上記式（８）の算出による異常の判定を、フロー情報を取得する度に、あるいは、１秒程度の短時間ごとに行う。これにより、サンプリング誤差を許容される範囲に抑止して迅速に異常を検出することが可能となる。また、判定部１５ｂは、計数されたパケット数等の情報を含む判定結果をアラート送出部１５ｃに出力する。
　また、判定部１５ｂは、異常なトラフィックを検出した場合に、予め設定され記憶部１４に記憶された所定の終了閾値と終了判定継続時間とを用いて、異常なトラフィックの終了を判定する。ここで、図４を参照して、判定部１５ｂによる異常終了の判定処理を説明する。判定部１５ｂは、上記のように、所定のトラフィックパターンごとに、異常と判定した後、図４に示すように、カウント期間（トラフィックカウントウィンドウ）内のパケット数または平均パケット数が終了閾値を下回った時刻から、終了判定継続時間が経過した時点で異常終了を判定する。
　なお、終了閾値および終了判定継続時間は、検出閾値Ｔｔと同様に、トラフィックパターンごとに予め設定され、記憶部１４に記憶される。終了閾値は、検出閾値と同一の値でもよいし、検出閾値より小さい値にすることにより異常の判定が繰り返されることを抑止してもよい。また、異常終了の判定の頻度は、異常の判定と同程度としてもよいし、異常の判定より緊急性が低いことから１分程度のより長い時間ごとにしてもよい。
　アラート送出部１５ｃは、通知部として機能し、判定部１５ｂによる判定結果を所定の通知先に通知する。具体的に、アラート送出部１５ｃは、判定部１５ｂが異常と判定した場合に、所定のアラート送出先に通信制御部１３を介して異常を検出した旨を通知する。その際に、アラート送出部１５ｃは、判定部１５ｂが出力した計数されたパケット数等の情報を併せて通知してもよい。また、アラート送出部１５ｃは、出力部１２に異常の検出を示すメッセージやアラート等を出力してもよい。また、アラート送出部５ｃは、判定部１５ｂが異常終了と判定した場合にも、異常と判定した場合と同様に、所定のアラート送出先に異常終了の旨を通知する。
［監視処理］
　次に、図５を参照して、監視装置１０の監視処理について説明する。図５は、監視処理手順を例示するフローチャートである。図５のフローチャートは、例えば、監視処理の開始を指示する操作入力があったタイミングで開始される。
　取得部１５ａが、ルータ２が所定のサンプリングレートで出力するフロー情報を示すパケットを取得する（ステップＳ１）。
　次に、判定部１５ｂが、記憶部１４に記憶されているトラフィックパターンごとに、サンプリング誤差率が所定の上限値Ｅ0以下であり、かつ、現在から遡った所定のカウント期間Ｗに取得されるパケットの数またはパケットの数の単位時間当たりの平均値が所定の検出閾値Ｔｔ以上であるか否かを確認する（ステップＳ２）。すなわち、判定部１５ｂは、上記式（８）を満たすか否かを確認する。
　上記式（８）を満たさない場合に（ステップＳ２，Ｎｏ）、判定部１５ｂは処理をステップＳ１に処理を戻す。一方、上記式（８）を満たす場合に（ステップＳ２，Ｙｅｓ）、判定部１５ｂは、トラフィックに異常が発生したものと判定する（ステップＳ３）。また、アラート送出部１５ｃが、所定のアラート送出先に異常を検出した旨を通知する。これにより、一連の監視処理が終了する。
　以上、説明したように、本実施形態の監視装置１０では、取得部１５ａが、ルータ２が所定のサンプリングレートで出力するフロー情報を示すパケットを取得する。また、判定部１５ｂが、記憶部１４に記憶されているトラフィックパターンごとに、サンプリング誤差率が所定の上限値Ｅ0以下であり、かつ、現在から遡った所定のカウント期間Ｗに取得されるパケットの数またはパケットの数の単位時間当たりの平均値が所定の検出閾値Ｔｔ以上である場合に、異常と判定する。
　これにより、本実施形態の監視装置１０の監視処理によれば、サンプリング誤差を許容される範囲に抑止して、高精度かつ迅速に異常を検出することが可能となる。
　また、判定部１５ｂは、記憶部１４に記憶されているトラフィックパターンごとに、異常と判定した後に、カウント期間Ｗに取得されるパケット数または平均パケット数が所定の終了閾値を下回った時点から、所定の継続時間が経過した場合に、異常の終了と判定する。これにより、監視装置１０による異常検知の結果をより有効に活用できるようになる。
　また、アラート送出部１５ｃが、判定部１５ｂによる判定結果を所定のアラート送出先に通知する。これにより、監視装置１０による異常検知の結果をより有効に活用できるようになる。
［プログラム］
　上記実施形態に係る監視装置１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。一実施形態として、監視装置１０は、パッケージソフトウェアやオンラインソフトウェアとして上記の監視処理を実行する監視プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の監視プログラムを情報処理装置に実行させることにより、情報処理装置を監視装置１０として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal　Handyphone　System）などの移動体通信端末、さらには、ＰＤＡ（Personal　Digital　Assistants）などのスレート端末などがその範疇に含まれる。また、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の監視処理に関するサービスを提供するサーバ装置として実装することもできる。例えば、監視装置１０は、ルータ２が出力するフロー情報を入力とし、異常なトラフィックの検知結果を出力する監視処理サービスを提供するサーバ装置として実装される。この場合、監視装置１０は、Ｗｅｂサーバとして実装することとしてもよいし、アウトソーシングによって上記の監視処理に関するサービスを提供するクラウドとして実装することとしてもかまわない。以下に、監視装置１０と同様の機能を実現する監視プログラムを実行するコンピュータの一例を説明する。
　図６に示すように、監視プログラムを実行するコンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。
　メモリ１０１０は、ＲＯＭ（Read　Only　Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。ディスクドライブ１０４１には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１０５１およびキーボード１０５２が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１０６１が接続される。
　ここで、図６に示すように、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した各テーブルは、例えばハードディスクドライブ１０３１やメモリ１０１０に記憶される。
　また、監視プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュール１０９３として、ハードディスクドライブ１０３１に記憶される。具体的には、上記実施形態で説明した監視装置１０が実行する各処理が記述されたプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。
　また、監視プログラムによる情報処理に用いられるデータは、プログラムデータ１０９４として、例えば、ハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。
　なお、監視プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、監視プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮやＷＡＮ（Wide　Area　Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
　以上、本発明者によってなされた発明を適用した実施形態について説明したが、本実施形態による本発明の開示の一部をなす記述および図面により本発明は限定されることはない。すなわち、本実施形態に基づいて当業者等によりなされる他の実施形態、実施例および運用技術等は全て本発明の範疇に含まれる。
　１　ＩＰネットワーク
　２　ルータ
　２０　インタフェース
　３　Ｗｅｂサーバ
　４　ユーザネットワーク
　４１　端末
　１０　監視装置
　１１　入力部
　１２　出力部
　１３　通信制御部
　１４　記憶部
　１５　制御部
　１５ａ　取得部
　１５ｂ　判定部
　１５ｃ　アラート送出部

Claims (5)

  1. 　ネットワーク機器が所定のサンプリングレートで出力するフロー情報を示すパケットを取得する取得部と、
    　所定のトラフィックパターンごとに、サンプリング誤差率が所定の上限値以下であり、かつ、現在から遡った所定の期間に取得される前記パケットの数または前記パケットの数の単位時間当たりの平均値が所定の検出閾値以上である場合に、異常と判定する判定部と、
    　を備えることを特徴とする監視装置。
  2. 　前記判定部は、所定のトラフィックパターンごとに、異常と判定した後に、前記期間に取得される前記パケットの数または前記パケットの数の単位時間当たりの平均値が所定の終了閾値を下回った時点から、所定の継続時間が経過した場合に、異常の終了と判定することを特徴とする請求項１に記載の監視装置。
  3. 　さらに、前記判定部による判定結果を所定の通知先に通知する通知部を備えることを特徴とする請求項１または２に記載の監視装置。
  4. 　監視装置で実行される監視方法であって、
    　ネットワーク機器が所定のサンプリングレートで出力するフロー情報を示すパケットを取得する取得工程と、
    　所定のトラフィックパターンごとに、サンプリング誤差率が所定の上限値以下であり、かつ、現在から遡った所定の期間に取得される前記パケットの数または前記パケットの数の単位時間当たりの平均値が所定の検出閾値以上である場合に、異常と判定する判定工程と、
    　を含んだことを特徴とする監視方法。
  5. 　ネットワーク機器が所定のサンプリングレートで出力するフロー情報を示すパケットを取得する取得ステップと、
    　所定のトラフィックパターンごとに、サンプリング誤差率が所定の上限値以下であり、かつ、現在から遡った所定の期間に取得される前記パケットの数または前記パケットの数の単位時間当たりの平均値が所定の検出閾値以上である場合に、異常と判定する判定ステップと、
    　をコンピュータに実行させることを特徴とする監視プログラム。
PCT/JP2018/012566 2017-04-04 2018-03-27 監視装置、監視方法および監視プログラム WO2018186242A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2019511175A JP6691268B2 (ja) 2017-04-04 2018-03-27 監視装置、監視方法および監視プログラム
US16/499,871 US11115427B2 (en) 2017-04-04 2018-03-27 Monitoring device, monitoring method, and monitoring program
EP18780384.6A EP3591910B1 (en) 2017-04-04 2018-03-27 Monitoring device, monitoring method and monitoring program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2017074559 2017-04-04
JP2017-074559 2017-04-04

Publications (1)

Publication Number Publication Date
WO2018186242A1 true WO2018186242A1 (ja) 2018-10-11

Family

ID=63712210

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/012566 WO2018186242A1 (ja) 2017-04-04 2018-03-27 監視装置、監視方法および監視プログラム

Country Status (4)

Country Link
US (1) US11115427B2 (ja)
EP (1) EP3591910B1 (ja)
JP (1) JP6691268B2 (ja)
WO (1) WO2018186242A1 (ja)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6691268B2 (ja) * 2017-04-04 2020-04-28 日本電信電話株式会社 監視装置、監視方法および監視プログラム
US11711398B2 (en) * 2018-10-26 2023-07-25 Netography, Inc. Distributed network security service
US11558410B2 (en) * 2019-05-29 2023-01-17 Arbor Networks, Inc. Measurement and analysis of traffic filtered by network infrastructure
CN114050981B (zh) * 2022-01-11 2022-05-10 广东睿江云计算股份有限公司 一种弹性网卡稳定性自动巡检方法及系统

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6182157B1 (en) * 1996-09-19 2001-01-30 Compaq Computer Corporation Flexible SNMP trap mechanism
JP2003069661A (ja) * 2001-08-29 2003-03-07 Yokogawa Electric Corp 監視システム
US20050210533A1 (en) * 2001-11-30 2005-09-22 Copeland John A Packet Sampling Flow-Based Detection of Network Intrusions

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020133586A1 (en) 2001-01-16 2002-09-19 Carter Shanklin Method and device for monitoring data traffic and preventing unauthorized access to a network
WO2009086843A1 (en) 2007-12-31 2009-07-16 Telecom Italia S.P.A. Method of detecting anomalies in a communication system using symbolic packet features
JP5067479B2 (ja) * 2008-03-25 2012-11-07 富士通株式会社 フロー情報収集装置
JP2013093735A (ja) * 2011-10-25 2013-05-16 Fujitsu Ltd データサンプリング装置、方法、及び、プログラム
US9973473B2 (en) * 2012-03-30 2018-05-15 The University Of North Carolina At Chapel Hill Methods, systems, and computer readable media for rapid filtering of opaque data traffic
US9363151B2 (en) * 2013-01-17 2016-06-07 International Business Machines Corporation Dynamically determining packet sampling rates
US9288220B2 (en) * 2013-11-07 2016-03-15 Cyberpoint International Llc Methods and systems for malware detection
JP6691268B2 (ja) * 2017-04-04 2020-04-28 日本電信電話株式会社 監視装置、監視方法および監視プログラム

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6182157B1 (en) * 1996-09-19 2001-01-30 Compaq Computer Corporation Flexible SNMP trap mechanism
JP2003069661A (ja) * 2001-08-29 2003-03-07 Yokogawa Electric Corp 監視システム
US20050210533A1 (en) * 2001-11-30 2005-09-22 Copeland John A Packet Sampling Flow-Based Detection of Network Intrusions

Non-Patent Citations (6)

* Cited by examiner, † Cited by third party
Title
FSTNETMON DDOS DETECTION TOOL, 27 February 2017 (2017-02-27), Retrieved from the Internet <URL:http://fastnetmon.com>
NFDUMP, 2014, Retrieved from the Internet <URL:http://nfdump.sourceforge.net>
PACKET SAMPLING BASICS, 3 March 2017 (2017-03-03), Retrieved from the Internet <URL:http://www.sflow.org/packetSamplingBasics/index.htm>
PHAAL, P. ET AL.: "Packet Sampling Basics", 31 October 2016 (2016-10-31), XP002350604, Retrieved from the Internet <URL:http://web.archive.org/web/20161031150145/https://sflow.org/packetSamplingBasics> [retrieved on 20180604] *
See also references of EP3591910A4
TAJIMA, HIROTAKA ET AL.: "Pragmatic NetFlow/sFlow configuration", JANOG23, JAPAN NETWORK OPERATOR'S GROUP MEETING, GREEN HALL IN KOCHI PREFECTURAL CULTURE HALL, 22-23 JANUARY 2009, 23 January 2009 (2009-01-23), pages 1 - 39, XP009516761, Retrieved from the Internet <URL:https://www.janog.gr.jp/meeting/janog23/doc/d2p5.pdf> *

Also Published As

Publication number Publication date
EP3591910A4 (en) 2021-01-13
EP3591910A1 (en) 2020-01-08
JPWO2018186242A1 (ja) 2019-07-18
JP6691268B2 (ja) 2020-04-28
US20200028866A1 (en) 2020-01-23
US11115427B2 (en) 2021-09-07
EP3591910B1 (en) 2022-08-17

Similar Documents

Publication Publication Date Title
JP6691268B2 (ja) 監視装置、監視方法および監視プログラム
US9654484B2 (en) Detecting DGA-based malicious software using network flow information
WO2016106592A1 (zh) 一种特征信息分析方法及装置
US10862781B2 (en) Identifying network issues using an agentless probe and end-point network locations
US20120317306A1 (en) Statistical Network Traffic Signature Analyzer
KR20140106547A (ko) 네트워크 메타데이터를 처리하기 위한 스트리밍 방법 및 시스템
WO2021061250A1 (en) Detection and mitigation ddos attacks performed over quic communication protocol
US20210400072A1 (en) Port scan detection using destination profiles
JP2018026747A (ja) 攻撃検知装置、攻撃検知システムおよび攻撃検知方法
JP6470201B2 (ja) 攻撃検知装置、攻撃検知システムおよび攻撃検知方法
US11895146B2 (en) Infection-spreading attack detection system and method, and program
JP6325993B2 (ja) サービス監視装置、および、サービス監視方法
JP6740264B2 (ja) 監視システム、監視方法及び監視プログラム
WO2020170802A1 (ja) 検知装置および検知方法
CN110661684B (zh) 流量统计方法及装置
JP2018207345A (ja) 計算装置及び計算方法
JP6629174B2 (ja) 通信監視装置、通信監視方法及び通信監視プログラム
EP3432544B1 (en) System and method of determining ddos attacks
Kumar et al. Comparison: Wireshark on different parameters
JP6683673B2 (ja) 異常検知システム、異常検知方法、および、異常検知プログラム
JP7396368B2 (ja) 方法、システム及び変換装置
WO2023157052A1 (ja) 収集装置、収集方法および収集プログラム
EP4087216A1 (en) Method for detecting systematic communications in a communications network, corresponding device, and computer program product
EP3964988B1 (en) Sensing device, sensing method, and sensing program
Kumar et al. Botnet Detection using Obscured Substantial Stochastic Modeling

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18780384

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2019511175

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2018780384

Country of ref document: EP

Effective date: 20191001