WO2020040002A1 - 分析システム及び分析方法 - Google Patents

分析システム及び分析方法 Download PDF

Info

Publication number
WO2020040002A1
WO2020040002A1 PCT/JP2019/031847 JP2019031847W WO2020040002A1 WO 2020040002 A1 WO2020040002 A1 WO 2020040002A1 JP 2019031847 W JP2019031847 W JP 2019031847W WO 2020040002 A1 WO2020040002 A1 WO 2020040002A1
Authority
WO
WIPO (PCT)
Prior art keywords
traffic
analysis
unit
function
distribution
Prior art date
Application number
PCT/JP2019/031847
Other languages
English (en)
French (fr)
Inventor
伊知郎 工藤
浩行 大西
浩 大澤
裕志 鈴木
孟朗 西岡
勇樹 三好
裕平 林
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to US17/270,410 priority Critical patent/US11570067B2/en
Publication of WO2020040002A1 publication Critical patent/WO2020040002A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/02—Capturing of monitoring data
    • H04L43/026—Capturing of monitoring data using flow identification
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/14—Network analysis or design
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/24—Traffic characterised by specific attributes, e.g. priority or QoS
    • H04L47/2441—Traffic characterised by specific attributes, e.g. priority or QoS relying on flow classification, e.g. using integrated services [IntServ]

Definitions

  • the present invention relates to an analysis system and an analysis method.
  • the carrier network has a plurality of operator networks and a core network connecting the operator networks.
  • JNSA Japan Network Security Association
  • IPA Information Processing Promotion Agency
  • the conventional method has a problem that it is sometimes difficult to efficiently perform a failure analysis and a security analysis in a carrier network.
  • the edges of a carrier network may be located at geographically separated locations. In such a case, dispatching a technician to each edge has a significant economic or time cost.
  • an analysis system includes a collection unit that collects traffic from a core network connected to a plurality of networks, and an analysis unit that has a plurality of functions for analyzing traffic.
  • a setting unit that sets a scenario that specifies at least one of the plurality of functions, and a conversion unit that converts the traffic collected by the collection unit into traffic in a format that matches the function specified by the scenario.
  • a distribution unit that distributes the traffic converted by the conversion unit to the designated function.
  • failure analysis and security analysis in a carrier network can be performed efficiently.
  • FIG. 1 is a diagram illustrating an example of a configuration of a carrier network according to the first embodiment.
  • FIG. 2 is a diagram illustrating an example of a configuration of the analysis system according to the first embodiment.
  • FIG. 3 is a sequence diagram illustrating an example of a process of the analysis system according to the first embodiment.
  • FIG. 4 is a flowchart illustrating a flow of a process of the analysis system according to the first embodiment.
  • FIG. 5 is a diagram illustrating an example of a computer that executes an analysis program.
  • FIG. 1 is a diagram illustrating an example of a configuration of a carrier network according to the first embodiment.
  • the carrier network 1N has a core network 10N and an operator network 20N. Further, the carrier network 1N has an analysis system 1.
  • the core network 10N includes the core router 30.
  • the core router 30 performs routing and transfer of traffic in the core network 10N.
  • the edges 40 between the core network 10N and the operator network 20N are assumed to be geographically separated from each other. For example, each edge may be provided in a different region of the country or even outside the country. For this reason, dispatching a technician to the edge 40 for failure analysis and security analysis of the carrier network 1N causes a large cost.
  • the analysis system 1 has a collection device 10 and an analysis site 20.
  • the analysis system 1 is a system for performing failure analysis and security analysis of the carrier network 1N. According to the analysis system 1, it is possible to perform a failure analysis and a security analysis without dispatching a technician to the edge 40.
  • the collection device 10 collects traffic from the core network 10N connected to the plurality of operator networks 20N.
  • the collection device 10 transfers the collected traffic to the analysis site 20.
  • the core router 30 may have the function of the collection device 10. In that case, the core router 30 collects traffic from the core network 10N and transfers the collected traffic to the analysis site 20. Note that the collection device 10 and the core router 30 are examples of a collection unit.
  • the analysis site 20 is a set of devices and the like for performing a failure analysis and a security analysis in the present embodiment.
  • the analysis site 20 may be a single device or a system including a plurality of devices connected so as to be able to communicate data with each other. Further, a plurality of analysis sites 20 may exist for one core network 10N.
  • traffic may be read as a set of packets transmitted and received.
  • the collection device 10 is connected to the core router 30 and collects traffic transferred by the core router 30.
  • the analysis site 20 is provided inside or outside the core network 10N, and can transmit and receive data at least with the collection device 10.
  • FIG. 2 is a diagram illustrating an example of a configuration of the analysis system according to the first embodiment.
  • the analysis system 1 includes a setting device 21, a distribution device 22, a pre-processing device 23, an analysis function group 24, and a post-processing device 25.
  • the analysis function group 24 includes a first analyzer 241 and a second analyzer 242. Note that the number of analyzers included in the analysis system 1 may be one or more.
  • the collection device 10 collects traffic from the core network 10N connected to the plurality of operator networks 20N.
  • the collection device 10 collects traffic of the core network 10N by sampling copy or non-sampling copy.
  • the collection device 10 has a policing function. For example, if the bandwidth of the traffic collected by the non-sampling copy in the core network 10N is 10 Gbps and the bandwidth between the collection device 10 and the analysis site 20 is limited to 5 Gbps, the collection device 10 Is limited to 5 Gbps by the policing function and transferred to the analysis site 20. Further, the collection device 10 can encapsulate the collected traffic and transfer it to the analysis site 20.
  • the collection device 10 may collect traffic at any time when an event requiring analysis occurs, may perform the collection at all times to perform regular monitoring, or may periodically collect traffic at a fixed date and time. May be implemented.
  • the collection device 10 can collect traffic after filtering the traffic using an ACL (Access ⁇ Control ⁇ List) function.
  • the setting device 21 sets a scenario that specifies at least one of a plurality of functions.
  • the scenario specifies one of the analysis functions included in the analysis function group 24, and further specifies a traffic collection method, pre-processing, post-processing, and the like.
  • the setting device 21 may receive designation of a scenario to be set from a user.
  • the distribution device 22 distributes traffic and data obtained based on the traffic (hereinafter, both are collectively referred to as distribution data) to each device and the processing unit of the analysis site 20 according to the scenario.
  • the distribution device 22 can distribute the distribution data in flow units.
  • the distribution device 22 can further receive data from the distribution destination of the distribution data and distribute the data to the next distribution destination.
  • the distribution device 22 can connect the plurality of distribution destinations in a daisy chain and continuously pass the distribution data. Further, the distribution device 22 can distribute the same distribution data to a plurality of distribution destinations by the mirror function. In addition, the distribution device 22 checks whether or not the distribution has been correctly performed by an OAM (Operations, $ Administration, $ Maintenance) function.
  • OAM Order, $ Administration, $ Maintenance
  • the pre-processing device 23 performs pre-processing for traffic analysis.
  • the preprocessing device 23 includes a conversion unit 231, a generation unit 232, and an extraction unit 233.
  • the conversion unit 231 converts the traffic collected by the collection device 10 into traffic in a format that conforms to the function specified by the scenario. For example, the conversion unit 231 removes the tunnel provided to the traffic collected by the collection device 10.
  • a tunnel function is used for the purpose of transferring packets at high speed and logically dividing traffic for each user.
  • Some analysis functions cannot analyze packets to which a tunnel header has been added. Therefore, the conversion unit 231 converts the traffic into a format that can be analyzed by the analysis function by removing the tunnel header from the packet.
  • the generation unit 232 generates traffic flow information based on the traffic converted by the conversion unit 231. Some analysis functions target flow information such as netflow, sflow, and IPFIX (Internet Protocol Flow Information Export) instead of individual packets included in traffic.
  • IPFIX Internet Protocol Flow Information Export
  • the extraction unit 233 performs filtering on the traffic converted by the conversion unit 231, and extracts a predetermined traffic. Some analysis functions target only traffic that meets predetermined conditions among the traffic collected by the collection device 10. Therefore, the extraction unit 233 can filter the packets included in the traffic according to the 5-tuple, the protocol, and the like, and extract the traffic to be analyzed by the analysis function.
  • the conversion unit 231, the generation unit 232, and the extraction unit 233 can further process the data obtained by each processing unit.
  • the extraction unit 233 may perform filtering on the traffic whose format has been converted by the conversion unit 231.
  • the generation unit 232 may generate the flow information from the traffic extracted by the extraction unit 233.
  • distribution of the distribution data to the conversion unit 231, the generation unit 232, and the extraction unit 233 is performed by the distribution device 22.
  • the analysis function group 24 has a plurality of functions for analyzing traffic.
  • the analysis function group 24 may have a plurality of analysis devices. Further, each analyzer may have a plurality of analysis functions.
  • the analysis function group 24 has a first analyzer 241 and a second analyzer 242.
  • the first analyzer 241 has an analysis function 241a.
  • the second analyzer 242 has an analysis function 242a and an analysis function 242b.
  • each analysis function may be commercially available software for traffic analysis.
  • the first analyzer 241 and the second analyzer 242 are obtained by installing software for traffic analysis on a computer.
  • the addition of the analysis function is performed by performing physical wiring to a connection switch in the analysis site 20, connecting a new analysis device, and distributing the distribution data to the connected analysis device. This can be realized by changing the settings of the device 21 and the distribution device 22 and the like.
  • the plurality of analysis sites 20 can share the analysis function of the analyzer. At this time, by performing occupation control that disables simultaneous activation by a plurality of analysis sites 20, inconsistency in analysis results can be prevented.
  • the distribution of traffic and the like to each analysis function is performed by the distribution device 22.
  • the distribution device 22 can distribute the traffic that has been preprocessed by each processing unit of the preprocessing device 23. That is, the distribution device 22 distributes the traffic converted by the conversion unit 231 to the designated function. In addition, the distribution device 22 distributes the flow information generated by the generation unit 232 to the designated function. In addition, the distribution device 22 distributes the traffic extracted by the extraction unit 233 to the designated function.
  • the post-processing device 25 includes a storage unit 251 and a reproduction unit 252.
  • the post-processing device 25 stores traffic information 253.
  • the storage unit 251 stores the traffic that has been analyzed by the analysis function as traffic information 253 in a storage area.
  • the reproducing unit 252 reproduces the traffic stored as the traffic information 253 in a predetermined network environment.
  • the traffic information 253 may be the traffic before the pre-processing by the pre-processing device 23 or the traffic after the pre-processing is performed. Further, the post-processing device 25 can write out the traffic information 253 to another storage for storage.
  • Whether the collection device 10 performs sampling copy or non-sampling copy.
  • the timing of collecting the traffic of the collection device 10 (as needed, always or periodically).
  • the distribution destination of the distribution device 22 and the distribution order. whether to enable the mirror function and the OAM function of the distribution device 22.
  • Whether the generation unit 232 generates flow information and the format of the flow information.
  • the extraction unit 233 performs extraction, and filtering conditions. Analysis functions to be used among the analysis functions of the analysis function group 24. -Whether to store the traffic information 253 by the storage unit 251.
  • scenarios are prepared for each event.
  • an analysis function to be used and a preprocessing for traffic are different between an analysis of an attack on a Web server and a failure analysis of a device, so that different scenarios are prepared.
  • FIG. 3 is a sequence diagram illustrating an example of a process of the analysis system according to the first embodiment.
  • a flow analysis function 245a and a UTM (Unified Threat Management) detailed analysis function 245b are used.
  • the flow analysis function 245a and the UTM detailed analysis function 245b are included in the analysis function group 24.
  • step S101 when an event occurs (step S101), the user instructs the setting device 21 from the terminal 2 to start the flow analysis (step S102).
  • the terminal 2 is a terminal that can access the setting device 21.
  • the event is an attack on a server on the carrier network 1N or a device failure.
  • the setting device 21 instructs the pre-processing device 23 to convert the traffic format and generate flow information according to the scenario corresponding to the flow analysis function 245a (steps S103 and S104). Further, the setting device 21 instructs the flow analysis function 245a to execute a flow analysis (step S105). Further, the setting device 21 instructs the distribution device 22 to distribute traffic (step S106). In addition, the setting device 21 instructs the collection device 10 to transfer the collected traffic (step S107).
  • the flow analysis function 245a executes a flow analysis (step S108). However, at this time, since the collection device 10, the distribution device 22, and the pre-processing device 23 are executing the respective processes according to the instruction from the setting device 21, the flow analysis function 245a includes the traffic that has been subjected to the pre-processing. Has been sorted out.
  • the flow analysis function 245a provides the analysis result to the setting device 21 (Step S109). Further, the setting device 21 provides the analysis result to the terminal 2 (Step S110). Here, the user who has confirmed the analysis result using the terminal 2 instructs the setting device 21 to start the detailed analysis (step S111).
  • the setting device 21 instructs the preprocessing device 23 to extract traffic according to the scenario corresponding to the UTM detailed analysis function 245b (step S112). Further, the setting device 21 instructs the UTM detailed analysis function 245b to execute a detailed analysis (step S113). Further, the setting device 21 instructs the post-processing device 25 to save the traffic (step S114). Further, the setting device 21 instructs the distribution device 22 to distribute and copy the traffic (step S115).
  • the UTM detailed analysis function 245b performs a detailed analysis (step S116). Further, the post-processing device 25 stores the traffic copied by the distribution device 22 as traffic information 253.
  • the UTM detailed analysis function 245b provides the analysis result to the setting device 21 (Step S117). Further, the setting device 21 provides the analysis result to the terminal 2 (Step S118).
  • FIG. 4 is a flowchart illustrating a flow of a process of the analysis system according to the first embodiment.
  • the collection device 10 collects traffic and transfers it to the analysis site 20 (step S11).
  • the distribution device 22 distributes the traffic in the order of the conversion unit 231, the generation unit 232, and the extraction unit 233 (Step S12). Which processing unit of the preprocessing device 23 is to be executed depends on the scenario. Here, it is assumed that the processing is executed by all of the conversion unit 231, the generation unit 232, and the extraction unit 233.
  • the conversion unit 231 converts the format of the distributed traffic (step S13). Further, the generation unit 232 generates flow information from the allocated traffic (Step S14). The extraction unit 233 extracts traffic from the allocated traffic by filtering (step S15).
  • the distribution device 22 distributes the traffic to the analysis function specified in the scenario (step S16).
  • the analysis function performs traffic analysis (step S17).
  • the post-processing device 25 stores the traffic used for the analysis as the traffic information 253 in the storage area.
  • the collection device 10 collects traffic from a core network 10N connected to a plurality of operator networks 20N. Further, the analyzer has a plurality of functions for analyzing traffic. Further, the setting device 21 sets a scenario that specifies at least one of the plurality of functions. Further, the pre-processing device 23 converts the traffic collected by the collection device 10 into traffic of a format compatible with the function specified by the scenario. Further, the distribution device 22 distributes the traffic converted by the preprocessing device 23 to the designated function. As described above, in the present embodiment, the functions necessary for the analysis of the carrier network are integrated in the analysis site. Further, the traffic of the carrier network is transferred to the analysis site. For this reason, according to this embodiment, it is not necessary to dispatch a technician to an installation location such as an edge, and the failure analysis and the security analysis in the carrier network can be performed efficiently.
  • the pre-processing device 23 removes the tunnel provided to the traffic collected by the collection device 10. This enables analysis using an analysis function that targets only traffic to which no tunnel is provided.
  • the generation unit 232 generates traffic flow information based on the traffic converted by the conversion unit 231.
  • the distribution device 22 distributes the flow information generated by the generation unit 232 to the designated function. This enables analysis using the analysis function for flow information.
  • the extraction unit 233 performs filtering on the traffic converted by the conversion unit 231, and extracts a predetermined traffic. Further, the distribution device 22 distributes the traffic extracted by the extraction unit 233 to the designated function, whereby only the traffic necessary for the analysis can be extracted, and the processing load of the analysis function can be reduced. .
  • the setting of the scenario, the distribution of the traffic, the pre-processing, the analysis, and the post-processing are respectively executed by different apparatuses.
  • setting of a scenario, distribution of traffic, pre-processing, analysis, and post-processing may be executed by one device.
  • each component of each device illustrated is a functional concept and does not necessarily need to be physically configured as illustrated.
  • the specific form of distribution and integration of each device is not limited to the illustrated one, and all or a part thereof may be functionally or physically dispersed or physically divided into arbitrary units in accordance with various loads and usage conditions. Can be integrated and configured.
  • all or any part of each processing function performed by each device can be realized by a CPU and a program analyzed and executed by the CPU, or can be realized as hardware by wired logic.
  • each device of the analysis system 1 can be implemented by installing an analysis program for executing the above-described analysis processing as package software or online software in a desired computer.
  • the information processing device can function as the analysis device.
  • the information processing apparatus referred to here includes a desktop or notebook personal computer.
  • the information processing apparatus includes mobile communication terminals such as a smartphone, a mobile phone, and a PHS (Personal Handyphone System), and a slate terminal such as a PDA (Personal Digital Assistant).
  • the analysis system 1 can also be implemented as a terminal device used by a user as a client, and as an analysis server device that provides the client with services related to the above-described analysis processing.
  • the analysis server device is implemented as a server device that provides an analysis service in which traffic of the core network is input and analysis results are output.
  • the analysis server device may be implemented as a Web server, or may be implemented as a cloud that provides the above-described analysis services by outsourcing.
  • FIG. 5 is a diagram illustrating an example of a computer that executes an analysis program.
  • the computer 1000 has, for example, a memory 1010 and a CPU 1020.
  • the computer 1000 has a hard disk drive interface 1030, a disk drive interface 1040, a serial port interface 1050, a video adapter 1060, and a network interface 1070. These components are connected by a bus 1080.
  • the memory 1010 includes a ROM (Read Only Memory) 1011 and a RAM 1012.
  • the ROM 1011 stores, for example, a boot program such as a BIOS (Basic Input Output System).
  • BIOS Basic Input Output System
  • the hard disk drive interface 1030 is connected to the hard disk drive 1090.
  • the disk drive interface 1040 is connected to the disk drive 1100.
  • a removable storage medium such as a magnetic disk or an optical disk is inserted into the disk drive 1100.
  • the serial port interface 1050 is connected to, for example, a mouse 1110 and a keyboard 1120.
  • the video adapter 1060 is connected to the display 1130, for example.
  • the hard disk drive 1090 stores, for example, the OS 1091, the application program 1092, the program module 1093, and the program data 1094. That is, a program that defines each process of the analysis system 1 is implemented as a program module 1093 in which codes executable by a computer are described.
  • the program module 1093 is stored in, for example, the hard disk drive 1090.
  • a program module 1093 for executing the same processing as the functional configuration in the analysis system 1 is stored in the hard disk drive 1090.
  • the hard disk drive 1090 may be replaced by an SSD.
  • the setting data used in the processing of the above-described embodiment is stored as the program data 1094 in, for example, the memory 1010 or the hard disk drive 1090. Then, the CPU 1020 reads the program module 1093 and the program data 1094 stored in the memory 1010 and the hard disk drive 1090 to the RAM 1012 as necessary, and executes the processing of the above-described embodiment.
  • the program module 1093 and the program data 1094 are not limited to being stored in the hard disk drive 1090, but may be stored in, for example, a removable storage medium and read out by the CPU 1020 via the disk drive 1100 or the like. Alternatively, the program module 1093 and the program data 1094 may be stored in another computer connected via a network (LAN (Local Area Network), WAN (Wide Area Network), etc.). Then, the program module 1093 and the program data 1094 may be read from another computer by the CPU 1020 via the network interface 1070.
  • LAN Local Area Network
  • WAN Wide Area Network
  • Reference Signs List 1 analysis system 1N carrier network 2 terminal 10 collection device 10N core network 20 analysis site 20N business network 21 setting device 22 distribution device 23 pre-processing device 24 analysis function group 25 post-processing device 30 core router 40 edge 231 conversion unit 232 generation unit 233 Extraction unit 241 First analysis device 241a, 242a, 242b Analysis function 242 Second analysis device 245a Flow analysis function 245b UTM detailed analysis function 251 Storage unit 252 Playback unit 253 Traffic information

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

収集装置（１０）は、複数の事業者ネットワーク（２０Ｎ）と接続されたコアネットワーク（１０Ｎ）から、トラヒックを収集する。また、分析装置は、トラヒックを分析する複数の機能を有する。また、設定装置は、複数の機能のうちの少なくともいずれかを指定するシナリオを設定する。また、前処理装置は、収集装置（１０）によって収集されたトラヒックを、シナリオによって指定された機能に適合する形式のトラヒックに変換する。また、振分装置は、前処理装置によって変換されたトラヒックを、指定された機能に振り分ける。

Description

分析システム及び分析方法
　本発明は、分析システム及び分析方法に関する。
　キャリアネットワークは、複数の事業者ネットワーク及び当該事業者ネットワーク間を接続するコアネットワークを有する。従来、キャリアネットワークの故障分析及びセキュリティ分析を行う方法として、事業者ネットワークとコアネットワークのエッジに備えられたルータ等の機器（以降、単にエッジと呼ぶ場合がある）の所在地に派遣された技術者が、当該機器に分析装置を接続することで分析を行う方法が知られている。
日本ネットワークセキュリティ協会（ＪＮＳＡ）、「セキュリティ対応組織の教科書　v1.0」、[online]、[２０１８年８月１３日検索]、インターネット（https://www.jnsa.org/result/2016/isog-j/data/textbook_soc-csirt_v1.0.pdf） 情報処理推進機構（ＩＰＡ）、「OSSモデルカリキュラムの学習ガイダンス　3-2-応.ネットワーク管理に関する知識」、[online]、[２０１８年８月１３日検索]、インターネット（https://www.ipa.go.jp/files/000056034.pdf） さくらインターネット、「Non　Sampledトラフィック解析の応用例　－　iDC編」、[online]、[２０１８年８月１３日検索]、インターネット（https://www.janog.gr.jp/meeting/janog19/files/Flow_Ohkubo.pdf）
　しかしながら、従来の方法には、キャリアネットワークにおける故障分析及びセキュリティ分析を効率良く行うことが困難な場合があるという問題がある。例えば、キャリアネットワークのエッジは、地理的に互いに離れた場所に設置される場合がある。そのような場合、各エッジへの技術者の派遣には、多大な経済的又は時間的なコストが生じる。
　上述した課題を解決し、目的を達成するために、分析システムは、複数のネットワークと接続されたコアネットワークから、トラヒックを収集する収集部と、トラヒックを分析する複数の機能を有する分析部と、前記複数の機能のうちの少なくともいずれかを指定するシナリオを設定する設定部と、前記収集部によって収集されたトラヒックを、前記シナリオによって指定された機能に適合する形式のトラヒックに変換する変換部と、前記変換部によって変換されたトラヒックを、前記指定された機能に振り分ける振分部と、を有することを特徴とする。
　本発明によれば、キャリアネットワークにおける故障分析及びセキュリティ分析を効率良く行うことができる。
図１は、第１の実施形態に係るキャリアネットワークの構成の一例を示す図である。 図２は、第１の実施形態に係る分析システムの構成の一例を示す図である。 図３は、第１の実施形態に係る分析システムの処理の一例を示すシーケンス図である。 図４は、第１の実施形態に係る分析システムの処理の流れを示すフローチャートである。 図５は、分析プログラムを実行するコンピュータの一例を示す図である。
　以下に、本願に係る分析システム及び分析方法の実施形態を図面に基づいて詳細に説明する。なお、本発明は、以下に説明する実施形態により限定されるものではない。
［第１の実施形態の構成］
　まず、図１を用いて、第１の実施形態に係る分析システムを含むキャリアネットワークの構成について説明する。図１は、第１の実施形態に係るキャリアネットワークの構成の一例を示す図である。図１に示すように、キャリアネットワーク１Ｎは、コアネットワーク１０Ｎ及び事業者ネットワーク２０Ｎを有する。また、キャリアネットワーク１Ｎは、分析システム１を有する。
　コアネットワーク１０Ｎは、コアルータ３０を有する。コアルータ３０は、コアネットワーク１０Ｎでのトラヒックのルーティング及び転送を行う。コアネットワーク１０Ｎと事業者ネットワーク２０Ｎとの間のエッジ４０は、それぞれ地理的に離れた場所にあるものとする。例えば、各エッジは、国内の異なる地域、さらには国外に設けられている場合がある。このため、キャリアネットワーク１Ｎの故障分析やセキュリティ分析のためにエッジ４０に技術者を派遣すると、多大なコストが生じる。
　分析システム１は、収集装置１０及び分析サイト２０を有する。分析システム１は、キャリアネットワーク１Ｎの故障分析やセキュリティ分析を行うためのシステムである。分析システム１によれば、技術者をエッジ４０に派遣することなく故障分析やセキュリティ分析を行うことが可能になる。
　収集装置１０は、複数の事業者ネットワーク２０Ｎと接続されたコアネットワーク１０Ｎから、トラヒックを収集する。また、収集装置１０は、収集したトラヒックを分析サイト２０に転送する。また、コアルータ３０に収集装置１０の機能を持たせてもよい。その場合、コアルータ３０は、コアネットワーク１０Ｎからトラヒックを収集し、収集したトラヒックを分析サイト２０に転送する。なお、収集装置１０及びコアルータ３０は、収集部の例である。
　ここで、分析サイト２０は、本実施形態における故障分析やセキュリティ分析を行うための装置等の集合である。分析サイト２０は、１つの装置であってもよいし、互いにデータの通信ができるように接続された複数の装置を含むシステムであってもよい。また、１つのコアネットワーク１０Ｎに対し、複数の分析サイト２０が存在していてもよい。なお、以降の説明では、トラヒックを、送受信されるパケットの集合と読み替えてもよい。
　例えば、収集装置１０は、コアルータ３０と接続され、コアルータ３０が転送するトラヒックを収集する。また、分析サイト２０は、コアネットワーク１０Ｎの内部又は外部に設けられ、少なくとも収集装置１０との間でデータの送受信を行うことができる。
　図２を用いて、分析システム１の構成について説明する。図２は、第１の実施形態に係る分析システムの構成の一例を示す図である。図２に示すように分析システム１は、設定装置２１、振分装置２２、前処理装置２３、分析機能群２４及び後処理装置２５を有する。また、分析機能群２４は、第１の分析装置２４１及び第２の分析装置２４２を含む。なお、分析システム１に含まれる分析装置は１つであってもよいし、複数であってもよい。
　収集装置１０は、複数の事業者ネットワーク２０Ｎと接続されたコアネットワーク１０Ｎから、トラヒックを収集する。収集装置１０は、サンプリングコピー又はノンサンプリングコピーによってコアネットワーク１０Ｎのトラヒックを収集する。
　また、収集装置１０は、ポリシング機能を有する。例えば、ノンサンプリングコピーによって収集したトラヒックのコアネットワーク１０Ｎ内における帯域が１０Ｇｂｐｓであり、収集装置１０と分析サイト２０との間の帯域が５Ｇｂｐｓに制限されている場合、収集装置１０は、収集したトラヒックをポリシング機能により５Ｇｂｐｓに制限した上で分析サイト２０に転送する。また、収集装置１０は、収集したトラヒックをカプセル化して分析サイト２０に転送することができる。
　また、収集装置１０は、トラヒックの収集を、分析が必要な事象が発生した場合に随時実施してもよいし、定常監視を行うために常時実施してもよいし、決まった日時で定期的に実施してもよい。また、収集装置１０は、ＡＣＬ（Access　Control　List）機能によりトラヒックをフィルタリングした上で収集することができる。
　設定装置２１は、設定装置２１は、複数の機能のうちの少なくともいずれかを指定するシナリオを設定する。シナリオは、分析機能群２４に含まれる分析機能のうちのいずれかを指定し、さらに、トラヒックの収集方法、前処理及び後処理等を指定する。設定装置２１は、ユーザから設定するシナリオの指定を受け付けてもよい。
　振分装置２２は、シナリオに従い、トラヒック及びトラヒックに基づいて得られたデータ（以降、両者をまとめて振り分けデータと呼ぶ）を分析サイト２０の各装置及び処理部に振り分ける。振分装置２２は、振り分けデータをフロー単位で振り分けることができる。
　また、振分装置２２は、振り分けデータの振り分け先からさらにデータを受け取り、当該データをさらに次の振り分け先に振り分けることができる。また、振分装置２２は、複数の振り分け先を数珠つなぎにして、連続して振り分けデータを通過させることができる。また、振分装置２２は、ミラー機能により、複数の振り分け先に同一の振り分けデータを振り分けることができる。また、振分装置２２は、ＯＡＭ（Operations,　Administration,　Maintenance）機能により、振り分けが正しく行われたか否かを確認する。
　前処理装置２３は、トラヒックの分析のための前処理を行う。前処理装置２３は、変換部２３１、生成部２３２及び抽出部２３３を有する。
　変換部２３１は、収集装置１０によって収集されたトラヒックを、シナリオによって指定された機能に適合する形式のトラヒックに変換する。例えば、変換部２３１は、収集装置１０によって収集されたトラヒックに付与されたトンネルを除去する。
　ここで、コアネットワーク１０Ｎでは、パケットを高速転送することや、ユーザ単位に論理的にトラヒックを分割することを目的として、トンネル機能が用いられる。分析機能の中には、トンネルヘッダが付与されたパケットを分析することができないものがある。そこで、変換部２３１は、パケットからトンネルヘッダを除去することで、分析機能が分析可能なフォーマットにトラヒックを変換する。
　生成部２３２は、変換部２３１によって変換されたトラヒックを基に、トラヒックのフロー情報を生成する。分析機能の中には、トラヒックに含まれる個々のパケットではなく、netflow、sflow及びＩＰＦＩＸ（Internet　Protocol　Flow　Information　Export）といったフロー情報を分析対象とするものがある。
　抽出部２３３は、変換部２３１によって変換されたトラヒックに対してフィルタリングを行い、所定のトラヒックを抽出する。分析機能中には、収集装置１０が収集したトラヒックのうち、所定の条件に合致するトラヒックのみを分析対象とするものがある。このため、抽出部２３３は、５－ｔｕｐｌｅ及びプロトコル等によりトラヒックに含まれるパケットをフィルタリングし、分析機能が分析対象とするトラヒックを抽出することができる。
　変換部２３１、生成部２３２及び抽出部２３３は、それぞれの処理部で得られたデータをさらに処理対象とすることができる。例えば、抽出部２３３は、変換部２３１によってフォーマットが変換されたトラヒックに対してフィルタリングを行ってもよい。また、生成部２３２は、抽出部２３３によって抽出されたトラヒックからフロー情報を生成してもよい。また、変換部２３１、生成部２３２及び抽出部２３３への振り分けデータの振り分けは、振分装置２２によって行われる。
　分析機能群２４は、トラヒックを分析する複数の機能を有する。分析機能群２４は、複数の分析装置を有していてもよい。また、各分析装置は、複数の分析機能を有していてもよい。図２の例では、分析機能群２４は、第１の分析装置２４１及び第２の分析装置２４２を有する。また、第１の分析装置２４１は、分析機能２４１ａを有する。また、第２の分析装置２４２は、分析機能２４２ａ及び分析機能２４２ｂを有する。
　ここで、各分析機能は、市販されているトラヒック分析用のソフトウェアであってもよい。例えば、第１の分析装置２４１及び第２の分析装置２４２は、コンピュータにトラヒック分析用のソフトウェアをインストールしたものである。
　また、例えば、分析機能の追加は、分析サイト２０内の接続スイッチに物理配線を行い、新たな分析装置を接続し、当該接続した分析装置に振り分けデータの振り分けが可能になるように、設定装置２１及び振分装置２２等の設定を変更することで実現できる。
　また、分析装置を仮想化することで、複数の分析サイト２０が当該分析装置の分析機能を共有することができる。その際、複数の分析サイト２０による同時起動を不可にする占有制御を行うことで、分析結果に不整合が生じることを防止できる。
　また、各分析機能へのトラヒック等の振り分けは、振分装置２２によって行われる。その際、振分装置２２は、前処理装置２３の各処理部によって前処理が行われたトラヒックを振り分けることができる。すなわち、振分装置２２は、変換部２３１によって変換されたトラヒックを、指定された機能に振り分ける。また、振分装置２２は、生成部２３２によって生成されたフロー情報を指定された機能に振り分ける。また、振分装置２２は、抽出部２３３によって抽出されたトラヒックを指定された機能に振り分ける。
　後処理装置２５は、格納部２５１及び再生部２５２を有する。また、後処理装置２５は、トラヒック情報２５３を記憶する。格納部２５１は、分析機能により分析が終了したトラヒックをトラヒック情報２５３として記憶領域に格納する。また、再生部２５２は、トラヒック情報２５３として記憶されているトラヒックを所定のネットワーク環境で再現する。なお、トラヒック情報２５３は、前処理装置２３による前処理が行われる前のトラヒックであってもよいし、前処理が行われた後のトラヒックであってもよい。また、後処理装置２５は、トラヒック情報２５３を、他の保存用ストレージに書き出すことができる。
　ここで、設定装置２１が設定するシナリオが指定する事項の例を以下に示す。
・収集装置１０がサンプリングコピーを行うかノンサンプリングコピーを行うか。
・収集装置１０のトラヒックを収集するタイミング（随時、常時又は定期的）。
・収集装置１０のポリシング機能、カプセル化機能、ＡＣＬ機能を有効化するか否か。
・振分装置２２の振り分け先及び振り分けの順序。
・振分装置２２のミラー機能及びＯＡＭ機能を有効化するか否か。
・変換部２３１によるフォーマット変換を行うか否か、及び変換するフォーマット。
・生成部２３２がフロー情報の生成を行うか否か、及びフロー情報の形式。
・抽出部２３３が抽出を行うか否か、及びフィルタリングの条件。
・分析機能群２４の分析機能のうち、使用する分析機能。
・格納部２５１によるトラヒック情報２５３の格納を行うか否か。
　また、シナリオは、事象ごとに用意されているものとする。例えば、Ｗｅｂサーバへの攻撃分析と、機器の故障分析とでは、使用される分析機能及びトラヒックへの前処理等が異なるため、それぞれ別のシナリオが用意される。
　ここで、図３を用いて、分析システム１の具体的な処理の一例を説明する。図３は、第１の実施形態に係る分析システムの処理の一例を示すシーケンス図である。また、図３の例では、フロー分析機能２４５ａ及びＵＴＭ（Unified　Threat　Management）詳細分析機能２４５ｂが使用されるものとする。また、フロー分析機能２４５ａ及びＵＴＭ詳細分析機能２４５ｂは、分析機能群２４に含まれる。
　図３に示すように、事象が発生すると（ステップＳ１０１）、ユーザは端末２から設定装置２１に対し、フロー分析の開始を指示する（ステップＳ１０２）。ここで、端末２は、設定装置２１にアクセス可能な端末である。また、事象は、キャリアネットワーク１Ｎ上のサーバへの攻撃や機器の故障である。
　設定装置２１は、フロー分析機能２４５ａに対応するシナリオに従い、前処理装置２３に、トラヒックのフォーマット変換及びフロー情報の生成を指示する（ステップＳ１０３、Ｓ１０４）。また、設定装置２１は、フロー分析機能２４５ａにフロー分析の実行を指示する（ステップＳ１０５）。また、設定装置２１は、振分装置２２に、トラヒックの振り分けを指示する（ステップＳ１０６）。また、設定装置２１は、収集装置１０に、収集したトラヒックの転送を指示する（ステップＳ１０７）。
　ここで、フロー分析機能２４５ａは、フロー分析を実行する（ステップＳ１０８）。ただし、このとき、収集装置１０、振分装置２２及び前処理装置２３は、設定装置２１による指示に従ってそれぞれの処理を実行しているため、フロー分析機能２４５ａには、前処理が実施されたトラヒックが振り分けられてきている。
　フロー分析機能２４５ａは、分析結果を設定装置２１に提供する（ステップＳ１０９）。さらに、設定装置２１は、分析結果を端末２に提供する（ステップＳ１１０）。ここで、端末２を用いて分析結果を確認したユーザは、設定装置２１に詳細分析の開始を指示する（ステップＳ１１１）。
　設定装置２１は、ＵＴＭ詳細分析機能２４５ｂに対応するシナリオに従い、前処理装置２３に、トラヒックの抽出を指示する（ステップＳ１１２）。また、設定装置２１は、ＵＴＭ詳細分析機能２４５ｂに詳細分析の実行を指示する（ステップＳ１１３）。また、設定装置２１は、後処理装置２５に、トラヒックの保存を指示する（ステップＳ１１４）。また、設定装置２１は、振分装置２２に、トラヒックの振り分け及びコピーを指示する（ステップＳ１１５）。
　ここで、ＵＴＭ詳細分析機能２４５ｂは、詳細分析を実行する（ステップＳ１１６）。また、後処理装置２５は、振分装置２２によってコピーされたトラヒックをトラヒック情報２５３として保存する。
　ＵＴＭ詳細分析機能２４５ｂは、分析結果を設定装置２１に提供する（ステップＳ１１７）。さらに、設定装置２１は、分析結果を端末２に提供する（ステップＳ１１８）。
［第１の実施形態の処理］
　図４を用いて、分析システム１の処理の流れについて説明する。図４は、第１の実施形態に係る分析システムの処理の流れを示すフローチャートである。図４に示すように、まず、収集装置１０は、トラヒックを収集し、分析サイト２０に転送する（ステップＳ１１）。
　振分装置２２は、トラヒックを変換部２３１、生成部２３２、抽出部２３３の順で振り分ける（ステップＳ１２）。なお、前処理装置２３のどの処理部を実行するかはシナリオによる。ここでは、変換部２３１、生成部２３２、抽出部２３３のすべてで処理が実行されるものとする。
　変換部２３１は、振り分けられたトラヒックのフォーマットを変換する（ステップＳ１３）。また、生成部２３２は、振り分けられたトラヒックからフロー情報を生成する（ステップＳ１４）。また、抽出部２３３は、振り分けられたトラヒックからフィルタリングによりトラヒックを抽出する（ステップＳ１５）。
　次に、振分装置２２は、トラヒックをシナリオで指定された分析機能に振り分ける（ステップＳ１６）。分析機能はトラヒックの分析を実行する（ステップＳ１７）。また、後処理装置２５は、分析に使用されたトラヒックを、トラヒック情報２５３として記憶領域に格納する。
［第１の実施形態の効果］
　収集装置１０は、複数の事業者ネットワーク２０Ｎと接続されたコアネットワーク１０Ｎから、トラヒックを収集する。また、分析装置は、トラヒックを分析する複数の機能を有する。また、設定装置２１は、複数の機能のうちの少なくともいずれかを指定するシナリオを設定する。また、前処理装置２３は、収集装置１０によって収集されたトラヒックを、シナリオによって指定された機能に適合する形式のトラヒックに変換する。また、振分装置２２は、前処理装置２３によって変換されたトラヒックを、指定された機能に振り分ける。このように、本実施形態では、キャリアネットワークの分析に必要な機能を、分析サイトに集約している。また、分析サイトには、キャリアネットワークのトラヒックが転送される。このため、本実施形態によれば、エッジ等の設置場所に技術者を派遣する必要がなく、キャリアネットワークにおける故障分析及びセキュリティ分析を効率良く行うことができる。
　前処理装置２３は、収集装置１０によって収集されたトラヒックに付与されたトンネルを除去する。これにより、トンネルが付与されていないトラヒックのみを対象とする分析機能を使った分析が可能になる。
　生成部２３２は、変換部２３１によって変換されたトラヒックを基に、トラヒックのフロー情報を生成する。また、振分装置２２は、生成部２３２によって生成されたフロー情報を指定された機能に振り分ける。これにより、フロー情報を対象とする分析機能を使った分析が可能になる。
　抽出部２３３は、変換部２３１によって変換されたトラヒックに対してフィルタリングを行い、所定のトラヒックを抽出する。また、振分装置２２は、抽出部２３３によって抽出されたトラヒックを指定された機能に振り分けるこれにより、分析に必要なトラヒックのみを抽出することができ、分析機能の処理負荷を低減することができる。
［その他の実施形態］
　上記の実施形態は、シナリオの設定、トラヒックの振り分け、前処理、分析及び後処理が、それぞれ別の装置で実行されるものであった。一方で、シナリオの設定、トラヒックの振り分け、前処理、分析及び後処理は、１つの装置で実行されてもよい。
［システム構成等］
　また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、各装置の分散及び統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散又は統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
　また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
［プログラム］
　一実施形態として、分析システム１の各装置は、パッケージソフトウェアやオンラインソフトウェアとして上記の分析処理を実行する分析プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の分析プログラムを情報処理装置に実行させることにより、情報処理装置を分析装置として機能させることができる。ここで言う情報処理装置には、デスクトップ型又はノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal　Handyphone　System）等の移動体通信端末、さらには、ＰＤＡ（Personal　Digital　Assistant）等のスレート端末等がその範疇に含まれる。
　また、分析システム１は、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の分析処理に関するサービスを提供する分析サーバ装置として実装することもできる。例えば、分析サーバ装置は、コアネットワークのトラヒックを入力とし、分析結果を出力とする分析サービスを提供するサーバ装置として実装される。この場合、分析サーバ装置は、Ｗｅｂサーバとして実装することとしてもよいし、アウトソーシングによって上記の分析に関するサービスを提供するクラウドとして実装することとしてもかまわない。
　図５は、分析プログラムを実行するコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
　メモリ１０１０は、ＲＯＭ（Read　Only　Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
　ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、分析システム１の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、分析システム１における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤにより代替されてもよい。
　また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０は、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した実施形態の処理を実行する。
　なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local　Area　Network）、ＷＡＮ（Wide　Area　Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
　１　分析システム
　１Ｎ　キャリアネットワーク
　２　端末
　１０　収集装置
　１０Ｎ　コアネットワーク
　２０　分析サイト
　２０Ｎ　事業者ネットワーク
　２１　設定装置
　２２　振分装置
　２３　前処理装置
　２４　分析機能群
　２５　後処理装置
　３０　コアルータ
　４０　エッジ
　２３１　変換部
　２３２　生成部
　２３３　抽出部
　２４１　第１の分析装置
　２４１ａ、２４２ａ、２４２ｂ　分析機能
　２４２　第２の分析装置
　２４５ａ　フロー分析機能
　２４５ｂ　ＵＴＭ詳細分析機能
　２５１　格納部
　２５２　再生部
　２５３　トラヒック情報

Claims (5)

  1. 　複数のネットワークと接続されたコアネットワークから、トラヒックを収集する収集部と、
    　トラヒックを分析する複数の機能を有する分析部と、
    　前記複数の機能のうちの少なくともいずれかを指定するシナリオを設定する設定部と、
    　前記収集部によって収集されたトラヒックを、前記シナリオによって指定された機能に適合する形式のトラヒックに変換する変換部と、
    　前記変換部によって変換されたトラヒックを、前記指定された機能に振り分ける振分部と、
    　を有することを特徴とする分析システム。
  2. 　前記変換部は、前記収集部によって収集されたトラヒックに付与されたトンネルを除去することを特徴とする請求項１に記載の分析システム。
  3. 　前記変換部によって変換されたトラヒックを基に、前記トラヒックのフロー情報を生成する生成部をさらに有し、
    　前記振分部は、前記生成部によって生成されたフロー情報を前記指定された機能に振り分けることを特徴とする請求項１又は２に記載の分析システム。
  4. 　前記変換部によって変換されたトラヒックに対してフィルタリングを行い、所定のトラヒックを抽出する抽出部をさらに有し、
    　前記振分部は、前記抽出部によって抽出されたトラヒックを前記指定された機能に振り分けることを特徴とする請求項１から３のいずれか１項に記載の分析システム。
  5. 　トラヒックを分析する複数の機能を有する分析部を有する分析システムによって実行される分析方法であって、
    　複数のネットワークと接続されたコアネットワークから、トラヒックを収集する収集工程と、
    　トラヒックを分析する複数の機能を有する分析工程と、
    　前記複数の機能のうちの少なくともいずれかを指定するシナリオを設定する設定工程と、
    　前記収集工程によって収集されたトラヒックを、前記シナリオによって指定された機能に適合する形式のトラヒックに変換する変換工程と、
    　前記変換工程によって変換されたトラヒックを、前記指定された機能に振り分ける振分工程と、
    　を含むことを特徴とする分析方法。
PCT/JP2019/031847 2018-08-24 2019-08-13 分析システム及び分析方法 WO2020040002A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US17/270,410 US11570067B2 (en) 2018-08-24 2019-08-13 Analysis system and analysis method

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2018157845A JP7091937B2 (ja) 2018-08-24 2018-08-24 分析システム及び分析方法
JP2018-157845 2018-08-24

Publications (1)

Publication Number Publication Date
WO2020040002A1 true WO2020040002A1 (ja) 2020-02-27

Family

ID=69592626

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/031847 WO2020040002A1 (ja) 2018-08-24 2019-08-13 分析システム及び分析方法

Country Status (3)

Country Link
US (1) US11570067B2 (ja)
JP (1) JP7091937B2 (ja)
WO (1) WO2020040002A1 (ja)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008219685A (ja) * 2007-03-07 2008-09-18 Nippon Telegr & Teleph Corp <Ntt> 経路情報・ｍｉｂ情報をもとにしたトラフィック監視方法
JP2013098706A (ja) * 2011-10-31 2013-05-20 Nec Corp ネットワーク管理システムにおけるネットワーク切替制御方法および装置

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100943078B1 (ko) * 2007-12-14 2010-02-18 한국전자통신연구원 Ｉｐ 기반의 진화된 이동 통신망에서의 베어러 제어 및관리방법
KR101327604B1 (ko) * 2009-08-07 2013-11-12 후지쯔 가부시끼가이샤 기지국 장치, 데이터 처리 장치 및 이동 통신 시스템
US9060269B2 (en) * 2010-12-15 2015-06-16 At&T Intellectual Property I, L.P. Optimization of cellular network architecture based on device type-specific traffic dynamics
US8995249B1 (en) * 2013-02-13 2015-03-31 Amazon Technologies, Inc. Predicting route utilization and non-redundant failures in network environments
EP3131234B1 (en) * 2015-08-14 2018-05-02 Accenture Global Services Limited Core network analytics system
WO2017219205A1 (zh) * 2016-06-20 2017-12-28 北京小米移动软件有限公司 基站、数据传输方法及装置

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008219685A (ja) * 2007-03-07 2008-09-18 Nippon Telegr & Teleph Corp <Ntt> 経路情報・ｍｉｂ情報をもとにしたトラフィック監視方法
JP2013098706A (ja) * 2011-10-31 2013-05-20 Nec Corp ネットワーク管理システムにおけるネットワーク切替制御方法および装置

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
KOBAYASHI, ATSUSHI: "Multipurpose traffic monitoring with flow-based measurement", IEICE TECHNICAL REPORT, vol. 109, no. 137, 10 July 2009 (2009-07-10), pages 43 - 48 *
YAGI, TAKESHI ET AL.: "A distributed traffic-monitoring scheme for overlay networks", IEICE TECHNICAL REPORT, vol. 105, no. 602, 9 February 2006 (2006-02-09), pages 7 - 12 *

Also Published As

Publication number Publication date
US20210250259A1 (en) 2021-08-12
US11570067B2 (en) 2023-01-31
JP7091937B2 (ja) 2022-06-28
JP2020031410A (ja) 2020-02-27

Similar Documents

Publication Publication Date Title
DE112014000415B4 (de) Quantisierte Überlastbenachrichtigung in einem virtuellen Netzwerksystem
US6483812B1 (en) Token ring network topology discovery and display
WO2015152436A1 (ko) Sdn 기반의 서비스 체이닝 시스템
US20180278498A1 (en) Process representation for process-level network segmentation
EP2393249A1 (en) Switching apparatus and method for setting up virtual LAN
US9787581B2 (en) Secure data flow open information analytics
CN106972985B (zh) 加速dpi设备数据处理与转发的方法和dpi设备
CN102577248A (zh) 用于nat设备的检测的方法和装置
JP2007336512A (ja) 統計情報収集システム及び統計情報収集装置
US10616378B2 (en) Adaptive session intelligence extender
CN101521630B (zh) 一种网络流量的分析方法和设备
WO2019160050A1 (ja) 情報収集システム及び情報収集方法
KR102153585B1 (ko) 네트워크 기능 가상화 장치 및 방법
RU2602333C2 (ru) Сетевая система, способ обработки пакетов и носитель записи
US10977252B2 (en) Monitoring network traffic to determine similar content
EP3096492B1 (en) Page push method and system
CN112637081A (zh) 带宽限速的方法及装置
WO2020040002A1 (ja) 分析システム及び分析方法
Lukashin et al. Distributed packet trace processing method for information security analysis
US20180198708A1 (en) Data center linking system and method therefor
Flittner et al. Trex: Tenant-driven network traffic extraction for sdn-based cloud environments
CN112511426B (zh) 面向业务的流量疏导方法、装置、计算设备及存储介质
CN110768870B (zh) 一种智能专线的质量监控方法和装置
WO2021095179A1 (ja) 振り分け装置、振り分け方法、振り分けプログラム
CN105282050A (zh) 聚合数据流的方法和装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19852982

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19852982

Country of ref document: EP

Kind code of ref document: A1