WO2022176034A1 - 変換装置、変換方法及び変換プログラム - Google Patents

変換装置、変換方法及び変換プログラム Download PDF

Info

Publication number
WO2022176034A1
WO2022176034A1 PCT/JP2021/005778 JP2021005778W WO2022176034A1 WO 2022176034 A1 WO2022176034 A1 WO 2022176034A1 JP 2021005778 W JP2021005778 W JP 2021005778W WO 2022176034 A1 WO2022176034 A1 WO 2022176034A1
Authority
WO
WIPO (PCT)
Prior art keywords
grouping
packet
conditions
header
analysis
Prior art date
Application number
PCT/JP2021/005778
Other languages
English (en)
French (fr)
Inventor
孟朗 西岡
千晴 森岡
星平 鎌村
裕平 林
勇樹 三好
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to JP2023500161A priority Critical patent/JPWO2022176034A1/ja
Priority to PCT/JP2021/005778 priority patent/WO2022176034A1/ja
Priority to US18/277,028 priority patent/US12028234B2/en
Publication of WO2022176034A1 publication Critical patent/WO2022176034A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/18—Protocol analysers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/02—Capturing of monitoring data
    • H04L43/026—Capturing of monitoring data using flow identification
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0893—Assignment of logical groups to network elements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/04—Processing captured monitoring data, e.g. for logfile generation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/06—Generation of reports
    • H04L43/062—Generation of reports related to network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/22—Parsing or analysis of headers

Definitions

  • the present invention relates to a conversion device, a conversion method, and a conversion program.
  • xFlow technology collects and analyzes traffic by sampling packets and transferring flow statistical information calculated from header information and the header itself (header sample). be.
  • the conversion device of the present invention includes an analysis unit that analyzes an input packet and acquires header information included in the packet; Analysis based on a grouping unit that classifies the packet into one of a plurality of groups based on header information and a set grouping condition, and processing corresponding to the group classified by the grouping unit and a generator for generating a packet for.
  • a conversion method of the present invention is a conversion method executed by a conversion device, comprising: an analysis step of analyzing an input packet and obtaining header information included in the packet; a grouping step of classifying the packets into one of a plurality of groups based on information and a set grouping condition; and a generation step of generating a packet of
  • the conversion program of the present invention includes an analysis step of analyzing an input packet and obtaining header information contained in the packet, and based on the header information obtained by the analysis step and the set grouping condition a grouping step of classifying the packets into one of a plurality of groups; and a generating step of generating packets for analysis based on processing corresponding to the groups classified by the grouping step. It is characterized by executing
  • FIG. 1 is a block diagram showing an example of the configuration of a communication system according to an embodiment.
  • FIG. 2 is a block diagram showing an example of the configuration of the conversion device shown in FIG.
  • FIG. 3 is a diagram showing an example of grouping conditions stored in a grouping condition DB (database).
  • FIG. 4 is a diagram for explaining the flow of processing in the conversion device shown in FIG.
  • FIG. 5 is a diagram for explaining optimization processing of grouping conditions.
  • FIG. 6 is a flowchart illustrating an example of a processing procedure of conversion processing according to the embodiment.
  • FIG. 7 is a diagram illustrating an example of a computer that implements a conversion device by executing a program.
  • the conversion device 10 When converting the format of an encapsulated packet, the conversion device 10 according to the present embodiment uses one of a preset packet header outside the capsule (outer header) and a packet header inside the capsule (inner header), Alternatively, a group identifier (group ID) is given to each packet based on the conditions of both packet headers. Based on the group ID, the conversion device 10 performs different processing for each group, such as deleting the capsule outer packet header, performing statistical processing, and changing the destination IP address. Allows individual processing and analysis.
  • group ID group identifier
  • FIG. 1 is a block diagram showing an example of the configuration of a communication system according to an embodiment.
  • a communication system 1 according to the embodiment includes multiple NW devices 2, conversion devices 10, and multiple analysis devices 3 (external devices).
  • NW devices 2 and conversion device 10 communicate via network N.
  • NW devices 2 and conversion device 10 communicate via network N.
  • the NW device 2 samples packets in the monitored traffic.
  • the NW device 2 may, for example, transfer the mirrored encapsulated packet to the conversion device 10, cut the sampled packet header samples, and transfer to the conversion device 10 an xFlow packet in which the cut header samples are encapsulated. may At this time, the NW device 2 may transfer statistical information about the flow such as the number of packets to the converting device 10 by adding it to the xFlow packet to be transferred or as another xFlow packet.
  • the conversion device 10 converts xFlow packets input from various NW devices 2 into xFlow packets in a format corresponding to the processing content of the external analysis device 3 . Specifically, the conversion device 10 identifies header information by protocol analysis and performs grouping based on conditions. Then, the conversion device 10 performs processing defined for each group and transmits the generated packets to the analysis device 3 . For example, as a process defined for each group, the conversion device 10 obtains statistics of inner headers of xFlow packets input from various NW devices 2, and generates xFlow packets containing at least statistical information indicating statistics of the obtained inner headers. Generate and transmit to the external analysis device 3 .
  • Each analysis device 3 analyzes the traffic to be monitored and aggregates the packets in the traffic to be monitored. For example, the analysis device 3 uses the statistical information included in the xFlow packets converted by the conversion device 10 to perform analysis and aggregation.
  • FIG. 2 is a block diagram showing an example of the configuration of the conversion device 10 shown in FIG. 1. As shown in FIG. 1
  • the conversion device 10 has a packet analysis unit 11, a grouping unit 12, a generation unit 13, a grouping condition DB 14, and a group processing DB 15.
  • a computer including ROM (Read Only Memory), RAM (Random Access Memory), CPU (Central Processing Unit), etc. loads a predetermined program, and the CPU executes the predetermined program.
  • the conversion device 10 also has a communication interface for transmitting and receiving various information to and from other devices connected via a network or the like.
  • the conversion device 10 has a NIC (Network Interface Card) or the like, and communicates with other devices via an electric communication line such as a LAN (Local Area Network) or the Internet.
  • NIC Network Interface Card
  • the grouping condition DB 14 stores grouping conditions that are conditions for grouping input packets. Grouping conditions are set in advance by the operator, and can be changed, added, or deleted as appropriate. In addition, the grouping condition DB 14 stores information on either or both of the outer header and the inner header as grouping conditions.
  • FIG. 3 is a diagram showing an example of grouping conditions stored in a grouping condition DB.
  • the grouping condition DB 14 stores the conditions of "Src IP", "Protocol” and "Src Port" included in the inner header as grouping conditions.
  • the grouping condition is not limited to this, and may include conditions related to other information included in the inner header, conditions related to information included in the outer header, or conditions included in the outer header. It may be only information-related conditions.
  • the grouping condition DB 14 stores group IDs that identify groups in association with conditions of "Src IP", "Protocol” and "Src Port” included in the inner header.
  • the grouping condition illustrated in FIG. 3 is that if the Src IP (source IP address) included in the inner header is within the range of "192.168.0.0/24" or "192.168.1.0/24", It means that it is a condition for classifying the corresponding packet into group ID "A".
  • the grouping conditions illustrated in FIG. 3 are that the protocol is "TCP (Transmission Control Protocol)” or “UDP ((User Datagram Protocol))” and the Src Port (source port number) is "443". In case, it means that the condition is to classify the corresponding packet into the group ID "B".
  • TCP Transmission Control Protocol
  • UDP User Datagram Protocol
  • the group processing DB 15 stores processing defined for each group. That is, the group processing DB 15 stores details of processing to be performed for each group of packets classified by the grouping unit 12, which will be described later. For example, the group processing DB 15 stores the processing content and the destination of the generated analysis packet in association with the group ID.
  • the conditions and processes stored in the grouping condition DB 14 and group processing DB 15 are set in advance by the operator, and can be changed, added, and deleted as appropriate.
  • the conversion device 10 groups the conditions for narrowing down the packets to be statistically processed and the processing for transmitting the information necessary for the analysis to the analysis device 3 in order to perform different processing and analysis for each attribute of the service provider. It can be stored in the condition DB 14 and group processing DB 15 .
  • the packet analysis unit 11 analyzes the information of the input packet and acquires the header information included in the packet. For example, when the packet analysis unit 11 receives an input of an encapsulated packet (RAW packet) or an xFlow packet containing a header sample that is the header portion itself, the packet analysis unit 11 performs protocol analysis on the encapsulated packet or xFlow packet, and analyzes the outer header and the Header information is identified by extracting either one or both of the inner headers.
  • RAW packet encapsulated packet
  • xFlow packet containing a header sample that is the header portion itself
  • the grouping unit 12 classifies packets into one of a plurality of groups based on the header information acquired by the packet analysis unit 11 and the set grouping conditions. For example, the grouping unit 12 classifies the packets into one of a plurality of groups based on one or both of the outer header and the inner header, which are header information, as grouping conditions.
  • the grouping unit 12 refers to the grouping conditions stored in the grouping condition DB 14, and performs grouping using one or both of the outer header and the inner header extracted by the packet analysis unit 11. Classify incoming packets into groups that match the conditions.
  • the generation unit 13 generates analysis packets corresponding to groups classified by the grouping unit 12 . For example, the generating unit 13 obtains statistics of the inner header as processing corresponding to the group, generates an xFlow packet including at least statistical information indicating the statistics of the inner header, obtains statistics of the outer header, and obtains statistics of the outer header. and generating (shaping) packets in which the outer header is removed and the destination is rewritten to the external analysis device 3, any one or more of process.
  • the process of generating a packet by the generation unit 13 includes a process of generating a new packet for analysis and a process of rewriting or deleting information in the input encapsulated packet to shape it into a packet for analysis. and the processing to be performed.
  • the generation unit 13 refers to information about processing defined for each group stored in the group processing DB 15, and executes processing corresponding to the group for each grouped packet. Generate packets for analysis.
  • FIG. 4 is a diagram for explaining the flow of processing in the conversion device shown in FIG.
  • the conversion device 10 receives an input of an encapsulated packet mirrored by the NW device 2 or an xFlow packet including a header sample, and identifies the header information by protocol analysis (see FIG. 4). (1)).
  • the conversion device 10 groups the input packets based on the grouping conditions (see (2) in FIG. 4).
  • the example of FIG. 4 illustrates a case where conversion device 10 classifies a packet into one of a plurality of groups "groups #1 to #3" based on conditions regarding both the outer header and the inner header. is doing.
  • the conversion device 10 performs the processing defined for each group (see (3) in FIG. 4). For example, in the example of FIG. 4, the conversion device 10 obtains inner header statistics for packets classified into group "#1" and generates xFlow packets including at least statistical information indicating the inner header statistics. The conversion device 10 then transmits the generated xFlow packet with the xFlow analysis device 3A (also described as the destination “analysis A” in FIG. 4) as the destination.
  • the conversion device 10 performs the processing defined for each group (see (3) in FIG. 4). For example, in the example of FIG. 4, the conversion device 10 obtains inner header statistics for packets classified into group "#1" and generates xFlow packets including at least statistical information indicating the inner header statistics. The conversion device 10 then transmits the generated xFlow packet with the xFlow analysis device 3A (also described as the destination “analysis A” in FIG. 4) as the destination.
  • the conversion device 10 obtains inner header statistics for packets classified into group "#2" and generates xFlow packets that include at least statistical information indicating the inner header statistics. The conversion device 10 then transmits the generated xFlow packet to the xFlow analysis device 3B (also described as the destination “analysis B” in FIG. 4) as the destination.
  • the conversion device 10 removes the outer header from packets classified into group "#3", and generates (shapes) packets whose destination is rewritten to the external analysis device 3 . Then, the conversion device 10 transmits the generated packet with the destination as the packet capture device 3C (also described as the destination “capture C” in FIG. 4). Note that the conversion device 10 may generate and transmit a packet at any timing for each of the processes described above.
  • the conversion device 10 when the conversion device 10 performs statistical processing like the processing corresponding to groups "#1" and "#2", the statistical processing is performed when the number of grouped packets reaches a predetermined number, Generate and send packets. Further, for example, when the conversion device 10 removes the outer header and rewrites the transmission destination to the external analysis device 3 as in the processing corresponding to the group "#3", it is grouped into the group "#3". Each time a packet is generated and sent.
  • the conversion device 10 may automatically optimize the grouping conditions. In other words, in the conversion device 10, for example, by optimizing the conditions when reading the set grouping conditions, the number of times the conditions are referred to can be minimized and the processing speed can be improved.
  • a plurality of similar conditions are set as conditions for the same group, and the condition can be changed to a higher-level condition that includes all of the multiple similar conditions.
  • multiple conditions of the same type may be changed to higher conditions.
  • FIG. 5 is a diagram for explaining optimization processing of grouping conditions.
  • the grouping condition DB 14 classifies the packet into group ID "A" when the Src IP included in the inner header is within the range of "192.168.0.0/24".
  • Condition "#1" and grouping condition "#2" that classifies the packet into group ID "A” if the Src IP included in the inner header is within the range of "192.168.1.0/24" memorize
  • both grouping conditions "#1" and “#2" classify into group "A" with SrcIP as a condition, and multiple conditions of the same type are set as conditions in the same group.
  • the grouping unit 12 includes both conditions “192.168.0.0/24" and "192.168.1.0/24" for the grouping conditions "#1" and "#2", and Change to the higher condition "192.168.0.0/23" which is the same condition.
  • the grouping unit 12 changes the Src IP "192.168.0.0/24" of the grouping condition "#1" to "192.168.0.0/23” and deletes the grouping condition "#2". It is optimized by In addition, the method of optimization of the grouping unit 12 is not limited to the above process. A new grouping condition “#5” with a condition of being “/23” may be added.
  • the grouping condition DB 14 classifies the packet into the group ID "B" when the protocol included in the inner header is "TCP” and the Src Port is “443". #3", and when the protocol contained in the inner header is "UDP” and the Src Port is "443", the grouping condition "#4" classifies the packet into group ID "B". ” is stored.
  • the grouping conditions "#3" and “#4" are both classified into group “B” with protocol and Src Port as conditions, and multiple conditions of the same kind are set as conditions in the same group.
  • the grouping unit 12 includes conditions for both protocols "TCP” and “UDP” for the grouping conditions “#3" and “#4", and a wild card as the upper condition. Since it is changed to "*" and the Src Port is common, it is left as “443".
  • the grouping unit 12 optimizes by changing the protocol "TCP" of the grouping condition "#3" to "*” and deleting the grouping condition "#4".
  • FIG. 6 is a flowchart illustrating an example of a processing procedure of conversion processing according to the embodiment.
  • the packet analysis unit 11 of the conversion device 10 receives a packet input (Yes at step S101), it identifies the header by protocol analysis of the packet (step S102). For example, when the packet analysis unit 11 receives an input of an xFlow packet including a header sample that is the encapsulated packet or the header portion itself, the packet analysis unit 11 performs protocol analysis on the encapsulated packet or the xFlow packet, and performs protocol analysis on the outer header and the inner header.
  • the header information is identified by extracting either one or both.
  • the grouping unit 12 assigns a group ID to each packet (step S103). For example, the grouping unit 12 classifies the packets into one of a plurality of groups based on one or both of the outer header and the inner header, which are header information, as grouping conditions.
  • the generation unit 13 performs the processing defined for each group (step S104), and transmits the packet for analysis to the analysis device 3 (step S105).
  • the generation unit 13 refers to information about processing defined for each group stored in the group processing DB 15, and executes processing corresponding to the group for each grouped packet. to generate packets for analysis.
  • the conversion device 10 analyzes an input packet and acquires header information included in the packet. Then, the conversion device 10 classifies the packets into one of the plurality of groups based on the acquired header information and the set grouping conditions. Subsequently, the conversion device 10 generates packets for analysis based on the processing corresponding to the classified groups. Therefore, the conversion device 10 can perform flexible processing and analysis that differ for each attribute of a business operator.
  • the conversion device 10 groups the input packets, deletes the capsule outer packet header, performs statistical processing, and performs different processing for each group, such as changing the destination IP address. In addition, it allows flexible implementation of individual processing and analysis.
  • the conversion device 10 identifies packets based on packet header information, and performs different processing and analysis for each attribute of a business operator, for example, in a network in which encapsulated packets used by a plurality of business operators are transferred. becomes possible.
  • Each component of the conversion device 10 shown in FIG. 1 is functionally conceptual, and does not necessarily need to be physically configured as shown. That is, the specific form of distribution and integration of the functions of the conversion device 10 is not limited to the illustrated one, and all or part of it can be functionally or physically distributed in arbitrary units according to various loads and usage conditions. can be distributed or integrated into
  • each process performed in the conversion device 10 may be implemented entirely or in part by a CPU and a program that is analyzed and executed by the CPU. Further, each process performed in the conversion device 10 may be realized as hardware by wired logic.
  • FIG. 7 is a diagram showing an example of a computer implemented by the conversion device 10 by executing a program.
  • the computer 1000 has a memory 1010 and a CPU 1020, for example.
  • Computer 1000 also has hard disk drive interface 1030 , disk drive interface 1040 , serial port interface 1050 , video adapter 1060 and network interface 1070 . These units are connected by a bus 1080 .
  • the memory 1010 includes a ROM 1011 and a RAM 1012.
  • the ROM 1011 stores a boot program such as BIOS (Basic Input Output System).
  • BIOS Basic Input Output System
  • Hard disk drive interface 1030 is connected to hard disk drive 1090 .
  • a disk drive interface 1040 is connected to the disk drive 1100 .
  • a removable storage medium such as a magnetic disk or optical disk is inserted into the disk drive 1100 .
  • Serial port interface 1050 is connected to mouse 1110 and keyboard 1120, for example.
  • Video adapter 1060 is connected to display 1130, for example.
  • the hard disk drive 1090 stores an OS (Operating System) 1091, application programs 1092, program modules 1093, and program data 1094, for example. That is, a program that defines each process of the conversion device 10 is implemented as a program module 1093 in which code executable by the computer 1000 is described. Program modules 1093 are stored, for example, on hard disk drive 1090 .
  • the hard disk drive 1090 stores a program module 1093 for executing processing similar to the functional configuration in the conversion device 10 .
  • the hard disk drive 1090 may be replaced by an SSD (Solid State Drive).
  • the setting data used in the processing of the above-described embodiment is stored as program data 1094 in the memory 1010 or the hard disk drive 1090, for example. Then, the CPU 1020 reads out the program module 1093 and the program data 1094 stored in the memory 1010 and the hard disk drive 1090 to the RAM 1012 as necessary and executes them.
  • the program modules 1093 and program data 1094 are not limited to being stored in the hard disk drive 1090, but may be stored in a removable storage medium, for example, and read by the CPU 1020 via the disk drive 1100 or the like. Alternatively, the program modules 1093 and program data 1094 may be stored in another computer connected via a network (LAN (Local Area Network), WAN (Wide Area Network), etc.). Program modules 1093 and program data 1094 may then be read by CPU 1020 through network interface 1070 from other computers.
  • LAN Local Area Network
  • WAN Wide Area Network

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Data Mining & Analysis (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

変換装置（１０）は、入力されたパケットを解析し、該パケットに含まれるヘッダ情報を取得する。そして、変換装置（１０）は、取得したヘッダ情報と設定されたグルーピング条件とに基づいて、パケットを複数のグループのうちのいずれかのグループに分類する。続いて、変換装置（１０）は、分類したグループに対応する処理に基づいて、分析用のパケットを生成する。

Description

変換装置、変換方法及び変換プログラム
　本発明は、変換装置、変換方法及び変換プログラムに関する。
　ネットワークの監視やトラヒックの傾向分析のため、パケットのサンプリングを行い、ヘッダ情報から算出したフロー統計情報や、ヘッダ部分そのもの（ヘッダサンプル）を転送することによりトラヒックの集計や分析等を行うｘＦｌｏｗ技術がある。
　また、カプセル化パケットの分析手法として、ＲＡＷパケットおよびヘッダサンプルｘＦｌｏｗパケットにおける、カプセル内側のパケットを取り出し分析を可能にするフォーマット変換技術が存在する。また、カプセル化パケットについて、カプセル内側のパケットヘッダとカプセル外側のパケットヘッダの対応づけをデータベースに登録する技術が存在する。
三好他、"ｘＦｌｏｗパケット内のヘッダサンプルフォーマット変換方式"、2020年電子情報通信学会総合大会、B-6-36、2020年3月
　しかしながら、従来のフォーマット変換技術では、事業者等の属性ごとに異なった柔軟な処理や分析を行うことができないという課題があった。例えば、従来のフォーマット変換技術は、入力パケットのカプセル化形式に応じた画一的な処理しか行えず、カプセル外側、内側のパケットヘッダ内容によって処理を分岐させることができないため、複数の事業者が利用するようなネットワーク上のカプセル化パケットについて、事業者等の属性ごとに異なった処理や分析を行うことができないといった課題があった。
　本発明は、上記に鑑みてなされたものであって、事業者等の属性ごとに異なった柔軟な処理や分析を行うことができる変換装置、変換方法及び変換プログラムを提供することを目的とする。
　上述した課題を解決し、目的を達成するために、本発明の変換装置は、入力されたパケットを解析し、該パケットに含まれるヘッダ情報を取得する解析部と、前記解析部によって取得されたヘッダ情報と設定されたグルーピング条件とに基づいて、前記パケットを複数のグループのうちのいずれかのグループに分類するグルーピング部と、前記グルーピング部によって分類されたグループに対応する処理に基づいて、分析用のパケットを生成する生成部とを有することを特徴とする。
　また、本発明の変換方法は、変換装置が実行する変換方法であって、入力されたパケットを解析し、該パケットに含まれるヘッダ情報を取得する解析工程と、前記解析工程によって取得されたヘッダ情報と設定されたグルーピング条件とに基づいて、前記パケットを複数のグループのうちのいずれかのグループに分類するグルーピング工程と、前記グルーピング工程によって分類されたグループに対応する処理に基づいて、分析用のパケットを生成する生成工程とを含んだことを特徴とする。
　また、本発明の変換プログラムは、入力されたパケットを解析し、該パケットに含まれるヘッダ情報を取得する解析ステップと、前記解析ステップによって取得されたヘッダ情報と設定されたグルーピング条件とに基づいて、前記パケットを複数のグループのうちのいずれかのグループに分類するグルーピングステップと、前記グルーピングステップによって分類されたグループに対応する処理に基づいて、分析用のパケットを生成する生成ステップとをコンピュータに実行させることを特徴とする。
　本発明によれば、事業者等の属性ごとに異なった柔軟な処理や分析を行うことができる。
図１は、実施の形態に係る通信システムの構成の一例を示すブロック図である。 図２は、図１に示す変換装置の構成の一例を示すブロック図である。 図３は、グーピング条件ＤＢ（データベース）に記憶されたグルーピング条件の一例を示す図である。 図４は、図２に示す変換装置における処理の流れを説明する図である。 図５は、グルーピング条件の最適化処理を説明する図である。 図６は、実施の形態に係る変換処理の処理手順の一例を示すフローチャートである。 図７は、プログラムが実行されることにより、変換装置が実現されるコンピュータの一例を示す図である。
　以下に、本願に係る変換装置、変換方法及び変換プログラムの実施の形態を図面に基づいて詳細に説明する。また、本発明は、以下に説明する実施の形態により限定されるものではない。
［実施の形態］
　まず、実施の形態について説明する。本実施の形態に係る変換装置１０は、カプセル化パケットのフォーマット変換を行う際に、あらかじめ設定されたカプセル外側のパケットヘッダ（ｏｕｔｅｒヘッダ）および内側のパケットヘッダ（ｉｎｎｅｒヘッダ）のいずれか一つ、もしくは、両方のパケットヘッダの条件をもとに各パケットにグループ識別子（グループＩＤ）を付与する。そして、変換装置１０は、グループＩＤをもとに、カプセル外側パケットヘッダの削除や統計処理、送信先ＩＰアドレス変更等グループ毎に異なる処理を実施することにより、ネットワーク利用事業者等の属性ごとの個別の処理や分析を可能とする。
［通信システムの構成］
　図１は、実施の形態に係る通信システムの構成の一例を示すブロック図である。図１に示すように、実施の形態に係る通信システム１では、複数のＮＷ装置２と、変換装置１０と、複数の分析装置３（外部装置）とを有する。例えば、複数のＮＷ装置２と、変換装置１０とは、ネットワークＮを介して通信を行う。なお、図１に示す構成は一例にすぎず、具体的な構成や各装置の数は特に限定されない。
　ＮＷ装置２は、監視対象のトラヒックにおいてパケットのサンプリングを行う。ＮＷ装置２は、例えば、ミラーリングされたカプセル化パケットを変換装置１０に転送してもよいし、サンプリングしたパケットヘッダサンプルを切り取り、切り取ったヘッダサンプルをカプセル化したｘＦｌｏｗパケットを変換装置１０に転送してもよい。この際、ＮＷ装置２は、パケット数等のフローに関する統計情報を、転送するｘＦｌｏｗパケットに載せて、或いは、別のｘＦｌｏｗパケットとして、変換装置１０に転送するようにしてもよい。
　変換装置１０は、各種ＮＷ装置２から入力されたｘＦｌｏｗパケットを、外部の分析装置３の処理内容に応じた形式のｘＦｌｏｗパケットに変換する。具体的には、変換装置１０は、プロトコル解析によりヘッダ情報を識別し、条件に基づいてグルーピングを行う。そして、変換装置１０は、グループごとに定義された処理を行い、生成したパケットを分析装置３に送信する。例えば、グループごとに定義された処理として、変換装置１０は、各種ＮＷ装置２から入力されたｘＦｌｏｗパケットのｉｎｎｅｒヘッダの統計を求め、求めたｉｎｎｅｒヘッダの統計を示す統計情報を少なくとも含むｘＦｌｏｗパケットを生成し、外部の分析装置３に送信する。
　各分析装置３は、監視対象のトラヒックに対する分析や、監視対象のトラヒックにおけるパケットの集計を行う。例えば、分析装置３は、変換装置１０が変換したｘＦｌｏｗパケットに含まれる統計情報を用いて、分析や集計を行う。
［変換装置の構成］
　次に、変換装置１０の構成について説明する。図２は、図１に示す変換装置１０の構成の一例を示すブロック図である。
　図２に示すように、変換装置１０は、パケット解析部１１、グルーピング部１２、生成部１３、グルーピング条件ＤＢ１４及び、グループ処理ＤＢ１５を有する。なお、変換装置１０は、例えば、ＲＯＭ（Read　Only　Memory）、ＲＡＭ（Random　Access　Memory）、ＣＰＵ（Central　Processing　Unit）等を含むコンピュータ等に所定のプログラムが読み込まれて、ＣＰＵが所定のプログラムを実行することで実現される。また、変換装置１０は、ネットワーク等を介して接続された他の装置との間で、各種情報を送受信する通信インタフェースを有する。例えば、変換装置１０は、ＮＩＣ（Network　Interface　Card）等を有し、ＬＡＮ（Local　Area　Network）やインターネットなどの電気通信回線を介した他の装置との間の通信を行う。
　グルーピング条件ＤＢ１４は、入力されたパケットをグルーピングするための条件であるグルーピング条件を記憶する。グルーピング条件は、運用者によって予め設定されたものであり、適宜変更、追加、削除を行うことができるものとする。また、グルーピング条件ＤＢ１４は、グルーピング条件として、ｏｕｔｅｒヘッダおよびｉｎｎｅｒヘッダのうちいずれか一つまたは両方に関する情報を記憶する。
　ここで、図３を用いて、グルーピング条件ＤＢ１４が記憶する情報の一例について説明する。図３は、グーピング条件ＤＢに記憶されたグルーピング条件の一例を示す図である。図３の例では、グルーピング条件ＤＢ１４は、ｉｎｎｅｒヘッダに含まれる「Ｓｒｃ　ＩＰ」、「Ｐｒｏｔｏｃｏｌ」および「Ｓｒｃ　Ｐｏｒｔ」の条件をグルーピング条件として記憶しているものとする。なお、グルーピング条件は、これに限定されるものではなく、ｉｎｎｅｒヘッダに含まれる他の情報に関する条件を含んでもよいし、ｏｕｔｅｒヘッダに含まれる情報に関する条件を含んでもよいし、ｏｕｔｅｒヘッダに含まれる情報に関する条件のみであってもよい。
　図３に例示するように、グルーピング条件ＤＢ１４は、ｉｎｎｅｒヘッダに含まれる「Ｓｒｃ　ＩＰ」、「Ｐｒｏｔｏｃｏｌ」および「Ｓｒｃ　Ｐｏｒｔ」の条件に対応付けて、グループを識別するグループＩＤを記憶する。例えば、図３に例示するグルーピング条件は、ｉｎｎｅｒヘッダに含まれるＳｒｃ　ＩＰ（送信元ＩＰアドレス）が、「192.168.0.0/24」または「192.168.1.0/24」の範囲内である場合には、該当パケットをグループＩＤ「Ａ」に分類する条件であることを意味する。
　また、図３に例示するグルーピング条件は、プロトコルが「ＴＣＰ（Transmission　Control　Protocol）」または「ＵＤＰ（（User　Datagram　Protocol））」であって、Ｓｒｃ　Ｐｏｒｔ（送信元ポート番号）が「４４３」である場合には、該当パケットをグループＩＤ「Ｂ」に分類する条件であることを意味する。
　グループ処理ＤＢ１５は、グループごとに定義された処理を記憶する。つまり、グループ処理ＤＢ１５は、後述するグルーピング部１２によって分類された各パケットについて、グループごとに実施すべき処理の内容を記憶する。例えば、グループ処理ＤＢ１５は、グループＩＤに対応付けて処理内容および生成した分析用のパケットの送信先を記憶する。
　グルーピング条件ＤＢ１４およびグループ処理ＤＢ１５に記憶される条件および処理は、運用者によって予め設定されたものであり、適宜変更、追加、削除を行うことができるものとする。つまり、変換装置１０では、事業者等の属性ごとに異なった処理や分析を行うために、統計対象のパケットを絞り込む条件や、分析に必要な情報を分析装置３に送信するための処理をグルーピング条件ＤＢ１４およびグループ処理ＤＢ１５に記憶させることが可能である。
　パケット解析部１１は、入力されたパケットの情報を解析し、該パケットに含まれるヘッダ情報を取得する。例えば、パケット解析部１１は、カプセル化パケット（ＲＡＷパケット）またはヘッダ部分そのものであるヘッダサンプルを含むｘＦｌｏｗパケットの入力を受け付けると、カプセル化パケットまたはｘＦｌｏｗパケットに対してプロトコル解析を行い、ｏｕｔｅｒヘッダおよびｉｎｎｅｒヘッダのうちいずれか一つまたは両方を抽出することで、ヘッダ情報を識別する。
　グルーピング部１２は、パケット解析部１１によって取得されたヘッダ情報と設定されたグルーピング条件とに基づいて、パケットを複数のグループのうちのいずれかのグループに分類する。例えば、グルーピング部１２は、グルーピング条件として、ヘッダ情報であるｏｕｔｅｒヘッダおよびｉｎｎｅｒヘッダのうちいずれか一つまたは両方に関する条件に基づいて、パケットを複数のグループのうちのいずれかのグループに分類する。
　具体的には、グルーピング部１２は、グルーピング条件ＤＢ１４に記憶されているグルーピング条件を参照し、パケット解析部１１によって抽出されたｏｕｔｅｒヘッダおよびｉｎｎｅｒヘッダのうちいずれか一つまたは両方を用いて、グルーピング条件に合致するグループに入力パケットを分類する。
　生成部１３は、グルーピング部１２によって分類されたグループに対応する分析用のパケットを生成する。例えば、生成部１３は、グループに対応する処理として、ｉｎｎｅｒヘッダの統計を求め、ｉｎｎｅｒヘッダの統計を示す統計情報を少なくとも含むｘＦｌｏｗパケットを生成する処理、ｏｕｔｅｒヘッダの統計を求め、ｏｕｔｅｒヘッダの統計を示す統計情報を少なくとも含むｘＦｌｏｗパケットを生成する処理、および、ｏｕｔｅｒヘッダを除去し、送信先を外部の分析装置３に書き換えたパケットを生成（整形）する処理のうち、いずれか一つまたは複数の処理を実行する。なお、生成部１３がパケットを生成する処理には、新しく分析用のパケットを生成する処理と、入力されたカプセル化パケットの情報を書き換えたり削除したりする処理を行って分析用のパケットに整形する処理とを含むものとする。
　具体的には、生成部１３は、グループ処理ＤＢ１５に記憶された、グループごとに定義された処理の情報を参照し、グループ分けされたパケットごとに、グループに対応する処理を実行することで、分析用のパケットを生成する。
　ここで、図４を用いて、変換装置１０における処理の流れを説明する。図４は、図２に示す変換装置における処理の流れを説明する図である。図４に例示するように、変換装置１０は、ＮＷ装置２によってミラーリングされたカプセル化パケット、または、ヘッダサンプルを含むｘＦｌｏｗパケットの入力を受け付けると、プロトコル解析によりヘッダ情報を識別する（図４の（１）参照）。
　そして、変換装置１０は、入力されたパケットについて、グルーピング条件に基づいてグルーピングを行う（図４の（２）参照）。図４の例では、変換装置１０が、ｏｕｔｅｒヘッダおよびｉｎｎｅｒヘッダの両方に関する条件に基づいて、複数のグループ「グループ＃１～＃３」のうちのいずれかのグループにパケットを分類する場合を例示している。
　続いて、変換装置１０は、グループごとに定義された処理を行う（図４の（３）参照）。例えば、図４の例では、変換装置１０は、グループ「＃１」に分類されたパケットについては、ｉｎｎｅｒヘッダの統計を求め、ｉｎｎｅｒヘッダの統計を示す統計情報を少なくとも含むｘＦｌｏｗパケットを生成する。そして、変換装置１０は、送信先をｘＦｌｏｗ分析装置３Ａ（図４では、送信先「分析Ａ」とも記載）として、生成したｘＦｌｏｗパケットを送信する。
　また、例えば、変換装置１０は、グループ「＃２」に分類されたパケットについては、ｉｎｎｅｒヘッダの統計を求め、ｉｎｎｅｒヘッダの統計を示す統計情報を少なくとも含むｘＦｌｏｗパケットを生成する。そして、変換装置１０は、送信先をｘＦｌｏｗ分析装置３Ｂ（図４では、送信先「分析Ｂ」とも記載）として、生成したｘＦｌｏｗパケットを送信する。
　また、例えば、変換装置１０は、グループ「＃３」に分類されたパケットについては、ｏｕｔｅｒヘッダを除去し、送信先を外部の分析装置３に書き換えたパケットを生成（整形）する処理を行う。そして、変換装置１０は、送信先をパケットキャプチャ装置３Ｃ（図４では、送信先「キャプチャＣ」とも記載）として、生成したパケットを送信する。なお、変換装置１０は、上記した各処理について、パケットを生成して送信するタイミングは、どのようなタイミングであってもよい。
　例えば、変換装置１０は、グループ「＃１」、「＃２」に対応する処理のように統計処理を行う場合には、グルーピングされたパケット数が所定数になった場合に統計処理を行い、パケットを生成して送信する。また、例えば、変換装置１０は、グループ「＃３」に対応する処理のようにｏｕｔｅｒヘッダを除去して送信先を外部の分析装置３に書き換える場合には、グループ「＃３」にグルーピングされるたびに、パケットを生成して送信する。
　また、変換装置１０は、グルーピング条件を自動的に最適化するようにしてもよい。つまり、変換装置１０では、例えば、設定されたグルーピング条件を読み込む際に条件の最適化を行うことにより、条件の参照回数を最低限に抑え、処理速度の向上を実現することが可能である。
　例えば、変換装置１０のグルーピング部１２は、グルーピング条件として、複数の同種の条件が同一グループの条件として設定されており、かつ、該複数の同種の条件を全て含む上位の条件に変更可能である場合には、複数の同種の条件を上位の条件に変更するようにしてもよい。
　ここで、図５の例を用いて、グルーピング条件の最適化処理について説明する。図５は、グルーピング条件の最適化処理を説明する図である。図５に例示するように、グルーピング条件ＤＢ１４は、ｉｎｎｅｒヘッダに含まれるＳｒｃ　ＩＰが、「192.168.0.0/24」の範囲内である場合には、該当パケットをグループＩＤ「Ａ」に分類するグルーピング条件「＃１」と、ｉｎｎｅｒヘッダに含まれるＳｒｃ　ＩＰが、「192.168.1.0/24」の範囲内である場合には、該当パケットをグループＩＤ「Ａ」に分類するグルーピング条件「＃２」とを記憶する。
　つまり、グルーピング条件「＃１」と「＃２」とは、両方ともＳｒｃ　ＩＰを条件としてグループ「Ａ」に分類するものであり、複数の同種の条件が同一グループの条件として設定されている。
　このような場合には、グルーピング部１２は、グルーピング条件「＃１」と「＃２」について、「192.168.0.0/24」と「192.168.1.0/24」との両方の条件を含み、且つ、同一の条件となる上位の条件「192.168.0.0/23」に変更する。例えば、図５の例では、グルーピング部１２は、グルーピング条件「＃１」のＳｒｃ　ＩＰ「192.168.0.0/24」を「192.168.0.0/23」に変更し、グルーピング条件「＃２」を削除することで最適化している。なお、グルーピング部１２は、最適化のやり方は上記の処理に限定されるものではなく、例えば、グルーピング条件「＃１」および「＃２」の両方を削除して、Ｓｒｃ　ＩＰが「192.168.0.0/23」であることを条件とする新たなグルーピング条件「＃５」を追加してもよい。
　また、グルーピング条件ＤＢ１４は、ｉｎｎｅｒヘッダに含まれるプロトコルが、「ＴＣＰ」であって、かつ、Ｓｒｃ　Ｐｏｒｔが「４４３」である場合には、該当パケットをグループＩＤ「Ｂ」に分類するグルーピング条件「＃３」と、ｉｎｎｅｒヘッダに含まれるプロトコルが、「ＵＤＰ」であって、かつ、Ｓｒｃ　Ｐｏｒｔが「４４３」である場合には、該当パケットをグループＩＤ「Ｂ」に分類するグルーピング条件「＃４」とを記憶する。つまり、グルーピング条件「＃３」と「＃４」とは、両方ともプロトコルとＳｒｃ　Ｐｏｒｔを条件としてグループ「Ｂ」に分類するものであり、複数の同種の条件が同一グループの条件として設定されている。
　このような場合には、グルーピング部１２は、グルーピング条件「＃３」と「＃４」について、プロトコル「ＴＣＰ」と「ＵＤＰ」の両方の条件を含み、且つ、上位の条件としてワイルドカードである「＊」に変更し、Ｓｒｃ　Ｐｏｒｔは共通しているので、そのまま「４４３」としている。例えば、図５の例では、グルーピング部１２は、グルーピング条件「＃３」のプロトコル「ＴＣＰ」を「＊」に変更し、グルーピング条件「＃４」を削除することで最適化している。
［変換処理の処理手順］
　次に、変換装置１０が実行するパケットの変換処理の処理手順について説明する。図６は、実施の形態に係る変換処理の処理手順の一例を示すフローチャートである。
　図６に示すように、変換装置１０のパケット解析部１１では、パケットの入力を受け付けると（ステップＳ１０１肯定）、パケットのプロトコル解析により、ヘッダを識別する（ステップＳ１０２）。例えば、パケット解析部１１は、カプセル化パケットまたはヘッダ部分そのものであるヘッダサンプルを含むｘＦｌｏｗパケットの入力を受け付けると、カプセル化パケットまたはｘＦｌｏｗパケットに対してプロトコル解析を行い、ｏｕｔｅｒヘッダおよびｉｎｎｅｒヘッダのうちいずれか一つまたは両方を抽出することで、ヘッダ情報を識別する。
　そして、グルーピング部１２は、各パケットにグループＩＤを付与する（ステップＳ１０３）。例えば、グルーピング部１２は、グルーピング条件として、ヘッダ情報であるｏｕｔｅｒヘッダおよびｉｎｎｅｒヘッダのうちいずれか一つまたは両方に関する条件に基づいて、パケットを複数のグループのうちのいずれかのグループに分類する。
　続いて、生成部１３は、グループごとに定義された処理を実施し（ステップＳ１０４）、分析装置３に分析用のパケットを送信する（ステップＳ１０５）。例えば、生成部１３は、生成部１３は、グループ処理ＤＢ１５に記憶された、グループごとに定義された処理の情報を参照し、グループ分けされたパケットごとに、グループに対応する処理を実行することで、分析用のパケットを生成する。
［実施の形態の効果］
　このように、実施形態に係る変換装置１０は、入力されたパケットを解析し、該パケットに含まれるヘッダ情報を取得する。そして、変換装置１０は、取得したヘッダ情報と設定されたグルーピング条件とに基づいて、パケットを複数のグループのうちのいずれかのグループに分類する。続いて、変換装置１０は、分類したグループに対応する処理に基づいて、分析用のパケットを生成する。このため、変換装置１０は、事業者等の属性ごとに異なった柔軟な処理や分析を行うことが可能である。
　つまり、変換装置１０は、入力されたパケットをグルーピングし、カプセル外側パケットヘッダの削除や統計処理、送信先ＩＰアドレス変更等グループ毎に異なる処理を実施することにより、ネットワーク利用事業者等の属性ごとに、個別の処理や分析を柔軟に実施することを可能とする。
　変換装置１０は、例えば、複数の事業者が利用するようなカプセル化パケットが転送されるネットワークにおいて、パケットヘッダ情報に基づきパケットを識別し、事業者等の属性ごとに異なった処理や分析を行うことが可能となる。
［実施形態のシステム構成について］
　図１に示した変換装置１０の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、変換装置１０の機能の分散および統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散または統合して構成することができる。
　また、変換装置１０においておこなわれる各処理は、全部または任意の一部が、ＣＰＵおよびＣＰＵにより解析実行されるプログラムにて実現されてもよい。また、変換装置１０においておこなわれる各処理は、ワイヤードロジックによるハードウェアとして実現されてもよい。
　また、実施の形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的に行うこともできる。もしくは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上述および図示の処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて適宜変更することができる。
［プログラム］
　図７は、プログラムが実行されることにより、変換装置１０実現されるコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
　メモリ１０１０は、ＲＯＭ１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
　ハードディスクドライブ１０９０は、例えば、ＯＳ（Operating　System）１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、変換装置１０の各処理を規定するプログラムは、コンピュータ１０００により実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、変換装置１０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid　State　Drive）により代替されてもよい。
　また、上述した実施の形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。
　なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３およびプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local　Area　Network）、ＷＡＮ（Wide　Area　Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３およびプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
　以上、本発明者によってなされた発明を適用した実施の形態について説明したが、本実施の形態による本発明の開示の一部をなす記述および図面により本発明は限定されることはない。すなわち、本実施の形態に基づいて当業者等によりなされる他の実施の形態、実施例および運用技術等はすべて本発明の範疇に含まれる。
　１　通信システム
　２　ＮＷ装置
　３　分析装置
　１０　変換装置
　１１　パケット解析部
　１２　グルーピング部
　１３　生成部
　１４　グルーピング条件ＤＢ
　１５　グループ処理ＤＢ

Claims (6)

  1. 　入力されたパケットを解析し、該パケットに含まれるヘッダ情報を取得する解析部と、
    　前記解析部によって取得されたヘッダ情報と設定されたグルーピング条件とに基づいて、前記パケットを複数のグループのうちのいずれかのグループに分類するグルーピング部と、
    　前記グルーピング部によって分類されたグループに対応する処理に基づいて、分析用のパケットを生成する生成部と
    　を有することを特徴とする変換装置。
  2. 　前記グルーピング部は、前記グルーピング条件として、前記ヘッダ情報であるｏｕｔｅｒヘッダおよびｉｎｎｅｒヘッダのうちいずれか一つまたは両方に関する条件に基づいて、前記パケットを複数のグループのうちのいずれかのグループに分類することを特徴とする請求項１に記載の変換装置。
  3. 　前記グルーピング部は、前記グルーピング条件として、複数の同種の条件が同一グループの条件として設定されており、かつ、該複数の同種の条件を全て含む上位の条件に変更可能である場合には、前記複数の同種の条件を上位の条件に変更することを特徴とする請求項１に記載の変換装置。
  4. 　前記生成部は、前記グループに対応する処理として、ｉｎｎｅｒヘッダの統計を求め、前記ｉｎｎｅｒヘッダの統計を示す統計情報を少なくとも含むパケットを生成する処理、ｏｕｔｅｒヘッダの統計を求め、前記ｏｕｔｅｒヘッダの統計を示す統計情報を少なくとも含むパケットを生成する処理、および、前記ｏｕｔｅｒヘッダを除去し、送信先を外部の分析装置に書き換えたパケットを生成する処理のうち、いずれか一つまたは複数の処理を実行することを特徴とする請求項１に記載の変換装置。
  5. 　変換装置が実行する変換方法であって、
    　入力されたパケットを解析し、該パケットに含まれるヘッダ情報を取得する解析工程と、
    　前記解析工程によって取得されたヘッダ情報と設定されたグルーピング条件とに基づいて、前記パケットを複数のグループのうちのいずれかのグループに分類するグルーピング工程と、
    　前記グルーピング工程によって分類されたグループに対応する処理に基づいて、分析用のパケットを生成する生成工程と
    　を含んだことを特徴とする変換方法。
  6. 　入力されたパケットを解析し、該パケットに含まれるヘッダ情報を取得する解析ステップと、
    　前記解析ステップによって取得されたヘッダ情報と設定されたグルーピング条件とに基づいて、前記パケットを複数のグループのうちのいずれかのグループに分類するグルーピングステップと、
    　前記グルーピングステップによって分類されたグループに対応する処理に基づいて、分析用のパケットを生成する生成ステップと
    　をコンピュータに実行させるための変換プログラム。
PCT/JP2021/005778 2021-02-16 2021-02-16 変換装置、変換方法及び変換プログラム WO2022176034A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2023500161A JPWO2022176034A1 (ja) 2021-02-16 2021-02-16
PCT/JP2021/005778 WO2022176034A1 (ja) 2021-02-16 2021-02-16 変換装置、変換方法及び変換プログラム
US18/277,028 US12028234B2 (en) 2021-02-16 Conversion device, conversion method, and conversion program

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2021/005778 WO2022176034A1 (ja) 2021-02-16 2021-02-16 変換装置、変換方法及び変換プログラム

Publications (1)

Publication Number Publication Date
WO2022176034A1 true WO2022176034A1 (ja) 2022-08-25

Family

ID=82931234

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/005778 WO2022176034A1 (ja) 2021-02-16 2021-02-16 変換装置、変換方法及び変換プログラム

Country Status (2)

Country Link
JP (1) JPWO2022176034A1 (ja)
WO (1) WO2022176034A1 (ja)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018066228A1 (ja) * 2016-10-06 2018-04-12 日本電信電話株式会社 フロー情報解析装置、フロー情報解析方法及びフロー情報解析プログラム
JP2019097069A (ja) * 2017-11-24 2019-06-20 日本電信電話株式会社 フォーマット変換装置及びフォーマット変換プログラム
JP2020088517A (ja) * 2018-11-21 2020-06-04 キヤノン株式会社 通信装置、通信装置の制御方法およびプログラム
JP2020174257A (ja) * 2019-04-09 2020-10-22 日本電信電話株式会社 登録システム、登録方法及び登録プログラム

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018066228A1 (ja) * 2016-10-06 2018-04-12 日本電信電話株式会社 フロー情報解析装置、フロー情報解析方法及びフロー情報解析プログラム
JP2019097069A (ja) * 2017-11-24 2019-06-20 日本電信電話株式会社 フォーマット変換装置及びフォーマット変換プログラム
JP2020088517A (ja) * 2018-11-21 2020-06-04 キヤノン株式会社 通信装置、通信装置の制御方法およびプログラム
JP2020174257A (ja) * 2019-04-09 2020-10-22 日本電信電話株式会社 登録システム、登録方法及び登録プログラム

Also Published As

Publication number Publication date
US20240129218A1 (en) 2024-04-18
JPWO2022176034A1 (ja) 2022-08-25

Similar Documents

Publication Publication Date Title
US7840664B2 (en) Automated characterization of network traffic
JP4774357B2 (ja) 統計情報収集システム及び統計情報収集装置
JP4076974B2 (ja) ネットワーク・トラフィックの自動特性記述
US7106751B2 (en) Apparatus for linking a SAN with a LAN
US20120182891A1 (en) Packet analysis system and method using hadoop based parallel computation
CN108696452B (zh) 一种容器级网络流量采集、网络质量标识方法、装置、系统
CN108270699B (zh) 报文处理方法、分流交换机及聚合网络
JP7215604B2 (ja) 変換装置、変換方法及び変換プログラム
JPWO2012127894A1 (ja) ネットワークシステム、及びスイッチ方法
WO2022176035A1 (ja) 変換装置、変換方法及び変換プログラム
CN113347258B (zh) 云流量下的数据采集监控分析的方法及系统
CN102918511A (zh) 中继装置、中继系统、中继方法、程序以及记录了程序的计算机可读取的记录介质
CN100574312C (zh) 分析数据分组的分析器
CN113328956B (zh) 一种报文处理方法及装置
WO2022176034A1 (ja) 変換装置、変換方法及び変換プログラム
US12028234B2 (en) Conversion device, conversion method, and conversion program
JP7239016B2 (ja) 振り分け装置、振り分け方法、振り分けプログラム
CN114143385A (zh) 一种网络流量数据的识别方法、装置、设备和介质
WO2024038523A1 (ja) 変換装置、変換方法及び変換プログラム
WO2023144946A1 (ja) 分析装置、分析方法及び分析プログラム
WO2024105892A1 (ja) 変換装置、変換方法及び変換プログラム
CN116319468B (zh) 网络遥测方法、装置、交换机、网络、电子设备和介质
JP7435744B2 (ja) 識別方法、識別装置及び識別プログラム
JP7491404B2 (ja) 識別器生成装置、識別器生成方法および識別器生成プログラム
US11570067B2 (en) Analysis system and analysis method

Legal Events

Date Code Title Description
ENP Entry into the national phase

Ref document number: 2023500161

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 18277028

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 21926474

Country of ref document: EP

Kind code of ref document: A1