WO2023112173A1 - トラフィック監視装置、トラフィック監視方法、及びプログラム - Google Patents

トラフィック監視装置、トラフィック監視方法、及びプログラム Download PDF

Info

Publication number
WO2023112173A1
WO2023112173A1 PCT/JP2021/046133 JP2021046133W WO2023112173A1 WO 2023112173 A1 WO2023112173 A1 WO 2023112173A1 JP 2021046133 W JP2021046133 W JP 2021046133W WO 2023112173 A1 WO2023112173 A1 WO 2023112173A1
Authority
WO
WIPO (PCT)
Prior art keywords
flow
packets
unit
traffic
monitored
Prior art date
Application number
PCT/JP2021/046133
Other languages
English (en)
French (fr)
Inventor
悠介 関原
周平 吉田
寛之 鵜澤
晶子 大輝
奈美子 池田
彩希 八田
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to PCT/JP2021/046133 priority Critical patent/WO2023112173A1/ja
Publication of WO2023112173A1 publication Critical patent/WO2023112173A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/02—Capturing of monitoring data
    • H04L43/026—Capturing of monitoring data using flow identification
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D30/00—Reducing energy consumption in communication networks
    • Y02D30/50—Reducing energy consumption in communication networks in wire-line communication networks, e.g. low power modes or reduced link rate

Definitions

  • the present invention relates to a traffic monitoring device, a traffic monitoring method, and a program.
  • Non-Patent Document 1 a large number of flows exist on a communication network due to factors such as the fact that a plurality of communication networks are configured on a single physical configuration due to the virtualization of the communication network.
  • An object of the present invention is to appropriately select flows to be monitored.
  • a traffic monitoring device for monitoring traffic in a communication network for each flow, comprising: a receiving unit for sequentially receiving a plurality of packets flowing through the communication network; a packet identification unit for sequentially identifying whether or not each of the plurality of packets sequentially received by the receiving unit belongs to a flow to be monitored; and a packet identified by the packet identification unit as belonging to the flow to be monitored.
  • an aggregating unit for aggregating, an output unit for outputting the results of aggregation by the aggregating unit, and based on the plurality of packets sequentially received by the receiving unit, the traffic flow rate or its increase is greater than the first criterion a burst flow detection unit for detecting a burst flow as a burst flow; a packet sampling unit for sampling a portion of the plurality of packets sequentially received by the receiving unit; and the portion sampled by the packet sampling unit.
  • a traffic monitoring method is a traffic monitoring method for monitoring traffic in a communication network for each flow, wherein each of a plurality of packets flowing through the communication network sequentially received by a receiving unit is monitored.
  • a packet identification step of sequentially identifying whether or not it belongs to the flow to be monitored; an aggregation step of counting packets identified as belonging to the flow to be monitored by the packet identification step; and the plurality of packets sequentially received by the receiving unit a burst flow detection step of detecting as a burst flow a flow whose traffic flow rate or its increase exceeds a first reference based on the above, and sampling some of the plurality of packets sequentially received by the receiver.
  • the program according to the present invention causes a computer that monitors traffic in a communication network for each flow to determine whether or not each of a plurality of packets flowing through the communication network sequentially received by a receiving unit belongs to a flow to be monitored.
  • a packet identification step of sequentially identifying packets; an aggregation step of counting packets identified as belonging to the flow to be monitored by the packet identification step; or a burst flow detection step of detecting a flow whose increment is greater than a first reference as a burst flow; and a packet sampling step of sampling some of the plurality of packets sequentially received by the receiving unit; estimating an average traffic flow before sampling of a flow to which each of the partial packets belongs based on the partial packets sampled by the packet sampling step; a high flow rate detection step of detecting a flow larger than a reference as a high flow rate; adding the flow detected as the burst flow to the monitoring target; and a monitoring target control step to be added to the monitoring target.
  • monitoring target flows are appropriately selected.
  • FIG. 1 is a configuration diagram of a traffic monitoring device according to one embodiment of the present invention.
  • FIG. 2 is a diagram showing an example of the data structure of a packet.
  • FIG. 3 is a diagram showing a configuration example of a rule table.
  • FIG. 4 is a graph showing changes in traffic flow when microbursts occur.
  • FIG. 5 is a graph showing changes in traffic flow for high-flow flows.
  • FIG. 6 is a flow chart of the first rule control process.
  • FIG. 7 is a flowchart of the second rule control process.
  • FIG. 8 is a configuration diagram when the traffic monitoring apparatus of FIG. 1 is configured by a computer.
  • the traffic monitoring device 10 further includes a burst flow detection unit 15, a packet sampling unit 16A, a large flow detection unit 16B, a monitoring target control unit 17, and a storage unit 19.
  • the traffic monitoring device 10 having such a configuration is configured to monitor the traffic of the communication network NW for each flow.
  • each of the above units 11 to 17 is composed of a logic circuit written in, for example, FPGA (Field-Programmable Gate Array), ASIC (Application Specific Integrated Circuit), or the like. At least part of each unit 11 to 17 may be configured by a processor such as a CPU (Central Processing Unit) that executes programs.
  • the storage unit 19 is composed of an appropriate non-volatile storage device such as a flash memory or SSD (Solid State Drive).
  • the storage unit 19 may be composed of at least a part of memory such as FPGA (Field-Programmable Gate Array), ASIC (Application Specific Integrated Circuit), or the like.
  • Each of the units 11 to 17 may include a memory that temporarily holds data being processed.
  • the receiving unit 11 sequentially receives a plurality of packets (more specifically, mirroring packets) transmitted and received over the communication network NW.
  • a packet consists of data (also called payload) and a header placed before the data.
  • Each data that constitutes the header has meaning for each certain number of bits.
  • This meaningful bit-delimited data is called a header field value, and a group of packets with matching header field values is called a flow. Therefore, the header field value is also information that identifies the flow.
  • the header field value may include IP (Internet Protocol) addresses indicating the source and destination of the L3 header.
  • a flow may be, for example, a set of packets having a common header field value indicating at least one of destination, source, and communication protocol.
  • the packets received by the receiving unit 11 are individually arranged in parallel with each other when viewed from the receiving unit 11. is entered in
  • the packet identification unit 12 identifies whether or not each of the plurality of packets sequentially received by the reception unit 11 belongs to the monitored flow.
  • a flow to be monitored is a flow that has been detected as a burst flow or a high-volume flow and added to the monitoring targets, as will be described later.
  • the packet identification unit 12 extracts the header field value from the packet to be processed. Further, the packet identification unit 12 refers to the rule table 19A stored in the storage unit 19.
  • FIG. The rule table 19A registers rules specifying packets belonging to the flow to be monitored. As shown in FIG. 3, a rule is registered for each flow to be monitored. One rule includes the header field value of the flow, the flow ID associated with the header field value, and monitoring cause (burst flow or high flow rate).
  • a flow ID may consist of a rule ID that identifies a rule.
  • the packet identification unit 12 searches the header field value extracted above from the rule table 19A. If the search hits, the packet to be processed this time is identified as belonging to the flow to be monitored. In this case, the packet identification unit 12 acquires the flow ID and monitoring cause corresponding to the header field value used for the search from the rule table 19A. The packet identification unit 12 further measures the data amount of the packet to be processed this time. Here, the number of bytes is counted as the data amount. After that, the packet identification unit 12 outputs the acquired flow ID, the cause of monitoring, and the measured amount of data to the aggregation unit 13 . If the search does not hit, the flow to which the packet to be processed this time belongs is not monitored. In this case, the packet identification unit 12 does not output the flow ID, monitoring cause, and data amount to the counting unit 13 .
  • the packet identification unit 12 compares each of the plurality of packets sequentially received by the reception unit 11 with the rules registered in the rule table 19A that specify packets belonging to the flow to be monitored.
  • the packet identification unit 12 identifies packets that match the rule among the plurality of packets as packets belonging to the flow to be monitored.
  • the aggregation unit 13 aggregates packets identified by the packet identification unit 12 as belonging to the flow to be monitored.
  • the counting unit 13 counts the number of receptions of flow IDs from the packet identification unit 12 for each flow ID, that is, for each flow.
  • the counted number of receptions can be said to be the number of packets received by the receiving unit 11, that is, the number of packets.
  • the totalizing unit 13 totalizes the amount of data for each flow ID, that is, for each flow.
  • the totalizing unit 13 outputs the number of packets and data amount counted or integrated during the certain period, the flow ID, and the cause of monitoring to the output unit 14 as a totaling result for each flow to be monitored at regular intervals.
  • the counting result may be either the number of packets or the number of bytes.
  • the tallied result is also output to the monitored object control unit 17 .
  • the output unit 14 outputs the tally result from the tally unit 13.
  • the output unit 14 may output at least the latter of the flow ID (or the name of the flow or rule identified from the flow ID, etc.) and the number of packets and accumulated data amount for each flow as the totalization result. .
  • the output unit 14 displays the aggregated results on a display device provided in the traffic monitoring device 10 or external to the traffic monitoring device 10, for example.
  • the output unit 14, for example, outputs the aggregated result to a processing unit provided inside or outside the traffic monitoring device 10, and the processing unit determines the presence or absence of traffic anomalies for each flow based on the aggregated result. You may
  • the processing unit may execute a process of displaying on the display device a flow determined to have a traffic anomaly and/or a process of blocking communication in the flow.
  • the burst flow detecting section 15 Based on a plurality of packets sequentially received by the receiving section 11, the burst flow detecting section 15 detects as a burst flow a flow in which the traffic flow rate or the amount of increase thereof exceeds the first reference.
  • FIG. 4 shows burst flows detected by the burst flow detector 15 .
  • a burst flow causes a sudden increase in traffic volume. Burst flows have a sudden and significant impact on the behavior of the communication network NW.
  • the burst flow detection unit 15 monitors, for example, the number of packets for each fixed period P and the total data amount of packets as traffic flow for each flow (for each header field value).
  • the burst flow detection unit 15 determines whether the number of packets or the total amount of data in the most recent period P has exceeded a predetermined threshold. When the number of packets or the total amount of data exceeds a predetermined threshold, it means that the traffic flow rate in that flow has started to increase (such as period T in FIG. 4), and that flow is detected as a burst flow.
  • the traffic flow rate to be monitored may be only one of the number of packets and the total amount of data.
  • the burst flow detection method may be performed by the method for detecting occurrence of burst traffic described in International Publication WO/2021/014552.
  • the detection of burst traffic in this publication corresponds to the detection of burst flow.
  • the burst flow detection unit 15 monitors the time change of the traffic flow when the number of packets per unit time or the total amount of data is defined as the traffic flow, and detects the flow whose increase in traffic flow exceeds a predetermined threshold as the burst flow. may be detected.
  • the burst flow detection unit 15 supplies the field value of the packet to which the detected burst flow belongs to the monitoring target control unit 17 .
  • the packet sampling unit 16A samples some of the packets sequentially received by the receiving unit 11 . As a result, some packets are randomly extracted from all packets sequentially received by the receiving unit 11 . The packet sampling unit 16A sequentially supplies only some of the packets obtained by sampling to the large flow detection unit 16B in the subsequent stage.
  • the high-volume flow detector 16B Based on some of the packets sampled by the packet sampling unit 16A, the high-volume flow detector 16B estimates the average pre-sampling traffic flow of the flow to which each of the packets belongs.
  • the high-volume flow detection unit 16B detects a flow whose estimated average traffic volume is greater than the second reference as a high-volume flow.
  • the second criterion may differ from flow to flow.
  • FIG. 5 shows the large flow detected by the large flow detector 16B.
  • a high-flow flow has a high traffic flow over a long period of time. High volume flows have a long-term impact on the behavior of the communication network NW.
  • the high-volume flow detection unit 16B holds, for example, packets sampled by the packet sampling unit 16A for each flow (for each header field value).
  • the high-volume flow detection unit 16B performs pre-sampling, that is, sampling based on this new packet and the held packet of the same flow (header field value) as this packet.
  • This average traffic flow rate is, for example, an average value or a representative value of the number of packets per unit time or the total amount of data (traffic amount) in a predetermined period including the holding timing of the new packet.
  • the estimation method is an arbitrary method using the sampling theorem or the like.
  • the estimation method may be a method learned by machine learning or the like.
  • the high volume flow detection unit 16B determines whether the estimated average traffic volume exceeds a predetermined threshold. When it is determined that the average traffic flow exceeds a predetermined threshold, the flow to which the new packet belongs is detected as a high traffic flow with a high traffic flow. At this time, the high-volume flow detection unit 16B supplies the header field value of the new packet to the monitoring target control unit 17.
  • FIG. By estimating the traffic flow rate of the original flow after sampling, the influence of a rapid decrease in the traffic flow rate due to microbursts is reduced, and high-volume flows can be detected with high accuracy.
  • the monitoring target control unit 17 adds the flow detected as the burst flow by the burst flow detection unit 15 to the monitoring targets. Furthermore, the monitoring target control unit 17 adds the flow detected as the high flow rate by the high flow detection section 16B to the monitoring target. This addition is performed here by additionally registering in the rule table 19A a rule specifying packets belonging to each flow, that is, a combination of a flow ID and a header field value.
  • the monitoring target control unit 17 adds the flow to the monitoring target by executing the first rule control process shown in FIG. 6, for example.
  • the monitored object control unit 17 executes the first rule control process from the start of the traffic monitoring device 10 .
  • the monitored object control unit 17 first determines whether a header field value has been supplied from the burst flow detection unit 15 (step S11). If the determination result is affirmative, the monitored object control unit 17 determines whether the supplied header field value is registered in the rule table 19A (step S12). If yes, the flow for that header field value has already been monitored. In this case, the monitored object control unit 17 proceeds to the process of step S21.
  • step S13 the monitoring target control unit 17 acquires the flow ID corresponding to the header field value supplied this time (step S13).
  • the monitoring target control unit 17 acquires the flow ID corresponding to the header field value supplied this time, for example, by referring to a table showing the correspondence between flow IDs and header field values stored in the storage unit 19 or the like. If the header field value supplied this time is not registered in the table, the monitoring target control unit 17 issues a new flow ID to acquire the flow ID. In this case, the monitoring target control unit 17 also registers the flow ID and header field value in the table.
  • the monitoring target control unit 17 associates the header field value supplied this time and the flow ID acquired in step S13 as one rule and registers them in the rule table 19A (step S14).
  • step S14 if the determination result of step S11 is negative, or if the determination result of step S12 is positive, the monitored control unit 17 determines whether the header field value has been supplied from the large flow detection unit 16B. (step S21). When the determination result is affirmative, the monitored object control unit 17 executes the processes of steps S22 to S24. Steps S22 to S24 are the same processes as steps S12 to S14, respectively, so detailed description thereof will be omitted. After step S24, when the determination result of step S21 is negative, or when the determination result of step S22 is positive, the monitored object control unit 17 executes step S11 again.
  • the monitored target control unit 17 deletes the monitored flow by executing the second rule control process shown in FIG. 7, for example.
  • the monitored object control unit 17 executes the second rule control process from the start of the traffic monitoring device 10 .
  • the monitored object control unit 17 first determines whether the counting result has been supplied from the counting unit 13 (step S31). If the determination result is affirmative, the monitoring target control unit 17 determines whether the number of packets or the amount of data, that is, the traffic flow rate, included in the totalization result for each flow to be monitored is lower than the third reference (step S32). ). If the determination result is affirmative, the monitoring target control unit 17 assumes that the flow to be determined has become normal, and deletes the rule including the flow ID included in the aggregate result of the processing target from the rule table 19A (step S33). As a result, the normalized flow is deleted from the monitoring targets. If the determination result of step S31 or S32 is negative or after step S33, step S31 is executed again.
  • the third criteria may vary from flow to flow and/or monitoring cause.
  • the monitoring target control unit 17 excludes a flow whose number of packets or data volume, that is, traffic flow rate, contained in the totalization result is lower than the third criterion from the monitoring target as a normal flow.
  • burst flows and high-volume flows are added to the monitoring targets of the packet identification unit 12.
  • bursty flows and high-flow flows affect the behavior of the communication network NW in different ways.
  • the burst flow changes abruptly (see FIG. 4), and is difficult to detect by the detection method using sampling by the packet sampling unit 16A and the high-volume flow detection unit 16B.
  • the high-volume flow is difficult to detect by the burst flow detector 15 because it changes little (see FIG. 5).
  • the burst flow detection unit 15, and the packet sampling unit 16A and the high flow rate detection unit 16B respectively detect the burst flow and the high flow rate separately by a suitable method for detecting each flow. .
  • the detected flow is added to the flow to be monitored by the packet identification unit 12 by the monitoring target control unit 17 . Therefore, the two types of flows that give the behavior of the communication network NW can be appropriately added to the monitoring targets, thereby properly selecting the flows to be monitored. In addition, by using the rule table 19A to manage the flow to be monitored, the flow to be monitored is facilitated.
  • a flow whose number of packets or data amount, that is, traffic flow rate, included in the aggregation result is lower than the third criterion is excluded from the monitoring target as a normal flow. Remaining in the monitoring target is suppressed, and monitoring target flows are properly selected.
  • FIG. 8 shows a hardware configuration diagram when the traffic monitoring device 10 is configured by a computer.
  • the traffic monitoring device 10 includes a processor 101 such as a CPU, a main memory 102 of the processor 101, and a non-volatile storage device 103 that stores programs and various data and constitutes the storage unit 19 in FIG.
  • the traffic monitoring device 10 includes a NIC (Network Interface Card) 104 that is connected to the communication network NW and relays packets.
  • the processor 101 executes or uses programs and data stored in the storage device 103 and read out to the main memory 102 to operate as the units 11 to 17 described above.
  • the receiving unit 11 and the output unit 14 may be implemented by a combination of the processor 101 executing the program and the NIC 104 .
  • the present invention is not limited to the above embodiments and modifications.
  • the present invention includes various modifications to the above embodiments and modifications that can be understood by those skilled in the art within the scope of the technical idea of the present invention.
  • the configurations described in the above embodiments and modified examples can be appropriately combined within a consistent range. It is also possible to delete any configuration among the above configurations.
  • the various programs described above may be stored not only in the non-volatile storage device 103 but also in a non-temporary computer-readable storage medium.
  • "Apparatus” and "unit” refer to an object whose configuration realizing its operation is housed in a plurality of housings, even if the configuration realizing its operation is housed in a single housing ( system).

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

トラフィック監視装置（１０）は、受信部（１１）が順次受信した複数のパケットに基づいて、トラフィック流量又はその増加量が第１基準より大きくなったフローをバーストフローとして検出するバーストフロー検出部（１５）を備える。トラフィック監視装置は、パケットサンプリング部（１６Ａ）によりサンプリングされたパケットに基づいて当該パケットのそれぞれが属するフローのサンプリング前の平均的なトラフィック流量を推定し、推定した平均的なトラフィック流量が第２基準よりも多いフローを多流量フローとして検出する多流量フロー検出部（１６Ｂ）と、を備える。トラフィック監視装置（１０）は、バーストフローとして検出されたフローを監視対象に追加し、かつ、多流量フローとして検出されたフローを監視対象に追加する監視対象制御部（１７）を備える。監視対象のフローの取捨選択が適切に行われる。

Description

トラフィック監視装置、トラフィック監視方法、及びプログラム
　本発明は、トラフィック監視装置、トラフィック監視方法、及びプログラムに関する。
　通信ネットワークの通信状況、特に、通信ネットワークを流れる宛先及び又は送信元などが共通するパケットの集合であるフローのトラフィック異常を把握するため、通信ネットワークを流れる全パケットを取得して全フローのトラフィックを監視することが一般的に行われている（例えば、非特許文献１）。ここで、通信ネットワークの仮想化により複数の通信ネットワークが単一の物理構成上で構成されるようになったことなどを要因として、通信ネットワーク上には多量のフローが存在する。
Michal Kekely, Jan Korenek, "Mapping of P4 Match Action Tables to FPGA," 2017 27th International Conference on Field Programmable Logic and Applications (FPL)
　通信ネットワーク上に多量のフローが存在する場合、全てのフローを監視するのは現実的ではなく、一部のフローのみを監視対象とした方がよい。
　本発明は、監視対象のフローの取捨選択を適切に行うことを課題とする。
　上記課題を解決するために、本発明に係るトラフィック監視装置は、通信ネットワークのトラフィックをフローごとに監視するトラフィック監視装置であって、前記通信ネットワークを流れる複数のパケットを順次受信する受信部と、前記受信部が順次受信した前記複数のパケットのそれぞれについて、監視対象のフローに属するか否かを順次識別するパケット識別部と、前記パケット識別部により前記監視対象のフローに属すると識別されたパケットについて集計を行う集計部と、前記集計部による集計の結果を出力する出力部と、前記受信部が順次受信した前記複数のパケットに基づいて、トラフィック流量又はその増加量が第１基準より大きくなったフローをバーストフローとして検出するバーストフロー検出部と、前記受信部が順次受信した前記複数のパケットのうち一部のパケットをサンプリングするパケットサンプリング部と、前記パケットサンプリング部によりサンプリングされた前記一部のパケットに基づいて当該一部のパケットのそれぞれが属するフローのサンプリング前の平均的なトラフィック流量を推定し、推定した前記平均的なトラフィック流量が第２基準よりも多いフローを多流量フローとして検出する多流量フロー検出部と、前記バーストフローとして検出された前記フローを前記監視対象に追加し、かつ、前記多流量フローとして検出された前記フローを前記監視対象に追加する監視対象制御部と、を備える。
　また、本発明に係るトラフィック監視方法は、通信ネットワークのトラフィックをフローごとに監視するトラフィック監視方法であって、受信部が順次受信した前記通信ネットワークを流れる複数のパケットのそれぞれについて、監視対象のフローに属するか否かを順次識別するパケット識別ステップと、前記パケット識別ステップにより前記監視対象のフローに属すると識別されたパケットについて集計を行う集計ステップと、前記受信部が順次受信した前記複数のパケットに基づいて、トラフィック流量又はその増加量が第１基準より大きくなったフローをバーストフローとして検出するバーストフロー検出ステップと、前記受信部が順次受信した前記複数のパケットのうち一部のパケットをサンプリングするパケットサンプリングステップと、前記パケットサンプリングステップによりサンプリングされた前記一部のパケットに基づいて当該一部のパケットのそれぞれが属するフローのサンプリング前の平均的なトラフィック流量を推定し、推定した前記平均的なトラフィック流量が第２基準よりも多いフローを多流量フローとして検出する多流量フロー検出ステップと、前記バーストフローとして検出された前記フローを前記監視対象に追加し、かつ、前記多流量フローとして検出された前記フローを前記監視対象に追加する監視対象制御ステップと、を備える。
　また、本発明に係るプログラムは、通信ネットワークのトラフィックをフローごとに監視するコンピュータに、受信部が順次受信した前記通信ネットワークを流れる複数のパケットのそれぞれについて、監視対象のフローに属するか否かを順次識別するパケット識別ステップと、前記パケット識別ステップにより前記監視対象のフローに属すると識別されたパケットについて集計を行う集計ステップと、前記受信部が順次受信した前記複数のパケットに基づいて、トラフィック流量又はその増加量が第１基準より大きくなったフローをバーストフローとして検出するバーストフロー検出ステップと、前記受信部が順次受信した前記複数のパケットのうち一部のパケットをサンプリングするパケットサンプリングステップと、前記パケットサンプリングステップによりサンプリングされた前記一部のパケットに基づいて当該一部のパケットのそれぞれが属するフローのサンプリング前の平均的なトラフィック流量を推定し、推定した前記平均的なトラフィック流量が第２基準よりも多いフローを多流量フローとして検出する多流量フロー検出ステップと、前記バーストフローとして検出された前記フローを前記監視対象に追加し、かつ、前記多流量フローとして検出された前記フローを前記監視対象に追加する監視対象制御ステップと、を実行させる。
　本発明によれば、監視対象のフローの取捨選択が適切に行われる。
図１は、本発明の一実施形態のトラフィック監視装置の構成図である。 図２は、パケットのデータ構造の一例を示す図である。 図３は、ルールテーブルの構成例を示す図である。 図４は、マイクロバーストが発生したときのトラフィック流量の変化を示すグラフである。 図５は、高流量フローのトラフィック流量の変化を示すグラフである。 図６は、第１ルール制御処理のフローチャートである。 図７は、第２ルール制御処理のフローチャートである。 図８は、図１のトラフィック監視装置をコンピュータにより構成したときの構成図である。
　以下、本発明の実施の形態について図面を参照して説明する。
　本実施の形態に係るトラフィック監視装置１０は、図１に示すように、受信部１１と、パケット識別部１２と、集計部１３と、出力部１４と、を備える。トラフィック監視装置１０は、さらに、バーストフロー検出部１５と、パケットサンプリング部１６Ａと、多流量フロー検出部１６Ｂと、監視対象制御部１７と、記憶部１９と、を備える。このような構成のトラフィック監視装置１０は、通信ネットワークＮＷのトラフィックをフローごとに監視するように構成されている。
　上記各部１１～１７の少なくとも一部は、例えば、ＦＰＧＡ（Field-Programmable Gate Array）、ＡＳＩＣ（Application Specific Integrated Circuit）などに書き込まれた論理回路から構成される。各部１１～１７の少なくとも一部は、プログラムを実行するＣＰＵ（Central Processing Unit）などのプロセッサにより構成されてもよい。記憶部１９は、フラッシュメモリ、ＳＳＤ（Solid State Drive）などの適宜の不揮発性の記憶装置からなる。記憶部１９は、ＦＰＧＡ（Field-Programmable Gate Array）、ＡＳＩＣ（Application Specific Integrated Circuit）などの少なくとも一部のメモリにより構成されてもよい。各部１１～１７は、処理中のデータなどを一時的に保持するメモリを含んで構成されてもよい。
　受信部１１は、通信ネットワークＮＷで送受信されている複数のパケット（より具体的にはミラーリングパケット）を１つずつ順次受信する。パケットは、図２に示すように、データ（ペイロードともいう）と、データの前に配置されたヘッダと、で構成されている。ヘッダを構成する各データは、あるビット数ごとに意味づけられている。この意味づけられたビット区切りのデータを、ヘッダフィールド値といい、ヘッダフィールド値が一致するパケットの一群をフローという。従って、ヘッダフィールド値はフローを特定する情報でもある。なお、ヘッダフィールド値は、Ｌ３ヘッダの送信元及び宛先を示す各ＩＰ（Internet Protocol）アドレスなどを含んでもよい。フローは、例えば、宛先、送信元、及び、通信プロトコルのうちの少なくとも１つを示すヘッダフィールド値が共通するパケットの集合であればよい。
　図１に戻り、受信部１１が受信したパケットは、１つ１つ、当該受信部１１から見て互いに並列に配置されているパケット識別部１２、バーストフロー検出部１５、パケットサンプリング部１６Ａのそれぞれに入力される。
　パケット識別部１２は、受信部１１が順次受信した複数のパケットのそれぞれについて、監視対象のフローに属するか否かを識別する。監視対象のフローは、後述のように、バーストフロー又は多流量フローとして検出され、監視対象に追加されたフローである。
　例えば、パケット識別部１２は、処理対象のパケットからヘッダフィールド値を抽出する。さらに、パケット識別部１２は、記憶部１９が記憶するルールテーブル１９Ａを参照する。ルールテーブル１９Ａには、監視対象のフローに属するパケットを指定するルールが登録されている。図３に示すように、ルールは、監視対象のフローごとに登録され、１つのルールは、そのフローのヘッダフィールド値と、当該ヘッダフィールド値に対応付けられたフローＩＤと、そのフローが監視対象となった監視原因（バーストフロー又は多流量フロー）と、を含む。フローＩＤは、ルールを識別するルールＩＤからなってもよい。
　パケット識別部１２は、ルールテーブル１９Ａから、前記で抽出したヘッダフィールド値を検索する。検索がヒットした場合、今回の処理対象のパケットが監視対象のフローに属していると識別される。この場合、パケット識別部１２は、検索に使用したヘッダフィールド値に対応するフローＩＤ及び監視原因をルールテーブル１９Ａから取得する。パケット識別部１２は、さらに、今回の処理対象のパケットのデータ量を計測する。ここでは、データ量として、バイト数がカウントされる。その後、パケット識別部１２は、取得したフローＩＤ及び監視原因と、計測したデータ量とを集計部１３に出力する。検索がヒットしなかった場合、今回の処理対象のパケットが属するフローは監視対象となっていない。この場合、パケット識別部１２は、フローＩＤ、監視原因、及びデータ量を集計部１３に出力しない。
　以上のようにして、パケット識別部１２は、受信部１１が順次受信した複数のパケットのそれぞれを、ルールテーブル１９Ａに登録されている、監視対象のフローに属するパケットを指定するルールと比較する。パケット識別部１２は、前記複数のパケットのうち前記ルールと一致するパケットを監視対象のフローに属するパケットと識別する。
　集計部１３は、パケット識別部１２により監視対象のフローに属すると識別されたパケットについて集計を行う。ここでは、集計部１３は、パケット識別部１２からのフローＩＤの受信回数を、フローＩＤごとつまりフローごとにカウントする。カウントされる受信回数は、受信部１１が受信したパケットの数つまりパケット数ともいえる。集計部１３は、データ量を、フローＩＤごとつまりフローごとに積算する。集計部１３は、一定期間ごとに、監視対象のフローそれぞれについて、当該一定期間にカウント又は積算したパケット数及びデータ量と、フローＩＤ及び監視原因とを集計結果として出力部１４に出力する。集計結果は、パケット数とバイト数とのいずれかであってもよい。集計結果は、監視対象制御部１７にも出力される。
　出力部１４は、集計部１３からの集計結果を出力する。出力部１４は、フローＩＤ（又はフローＩＤから特定されるフロー又はルールの名称など）と、フローごとの上記パケット数及び積算データ量と、のうちの少なくとも後者を集計結果として出力してもよい。出力部１４は、例えば、トラフィック監視装置１０が備える又はトラフィック監視装置１０の外部の表示装置などに集計結果を表示する。出力部１４は、例えば、集計結果を、トラフィック監視装置１０の内部又は外部に設けられた処理部に出力し、当該処理部は、集計の結果に基づいて、フローごとにトラフィック異常の有無を判定してもよい。処理部は、トラフィック異常があると判定したフローを前記表示装置に表示する処理、及び又は、当該フローでの通信を遮断するための処理を実行してもよい。
　バーストフロー検出部１５は、受信部１１が順次受信した複数のパケットに基づいて、トラフィック流量又はその増加量が第１基準より大きくなったフローをバーストフローとして検出する。バーストフロー検出部１５により検出されるバーストフローを図４に示す。バーストフローは、トラフィック量が急増する。バーストフローは、通信ネットワークＮＷの挙動に対して突発的に大きな影響を与える。
　図１に戻り、バーストフロー検出部１５は、例えば、フローごと（ヘッダフィールド値ごと）に、一定期間Ｐごとのパケット数及びパケットの合計データ量をトラフィック流量として監視する。バーストフロー検出部１５は、直近の期間Ｐのパケット数又は合計データ量が所定の閾値を超えたかを判別する。前記パケット数又は合計データ量が所定の閾値を超えた場合、そのフローでのトラフィック流量が増加し始めていることになり（図４の期間Ｔなど）、そのフローがバーストフローとして検出される。監視対象のトラフィック流量は、パケット数及び合計データ量のうちのいずれか一方のみであってもよい。バーストフローの検出方法は、国際公開ＷＯ／２０２１／０１４５５２号公報に記載のバーストトラフィックの発生の検知の方法により行われてもよい。この公報のバーストトラフィックの検知が、バーストフローの検出に相当する。バーストフロー検出部１５は、単位時間当たりのパケット数又は合計データ量をトラフィック流量としたときのトラフィック流量の時間変化を監視し、トラフィック流量の増加量が所定の閾値を超えたフローをバーストフローとして検出してもよい。バーストフロー検出部１５は、検出したバーストフローが属するパケットのフィールド値を監視対象制御部１７に供給する。
　パケットサンプリング部１６Ａは、受信部１１が順次受信した複数のパケットのうち一部のパケットをサンプリングする。これにより、受信部１１が順次受信した全てのパケットから、一部のパケットが無作為に抽出される。パケットサンプリング部１６Ａは、サンプリングにより得た前記一部のパケットのみを後段の多流量フロー検出部１６Ｂに順次供給する。
　多流量フロー検出部１６Ｂは、パケットサンプリング部１６Ａによりサンプリングされた一部のパケットに基づいて、当該一部のパケットのそれぞれが属するフローのサンプリング前の平均的なトラフィック流量を推定する。多流量フロー検出部１６Ｂは、推定した平均的なトラフィック流量が第２基準よりも多いフローを多流量フローとして検出する。第２基準は、フロー毎に異なってもよい。多流量フロー検出部１６Ｂで検出される多流量フローを図５に示す。多流量フローは、トラフィック流量が長期間にわたって多くなっている。多流量フローは、通信ネットワークＮＷの挙動に対して長期的な影響を与える。
　多流量フロー検出部１６Ｂは、例えば、パケットサンプリング部１６Ａからサンプリングされたパケットをフローごと（ヘッダフィールド値ごと）に保持する。多流量フロー検出部１６Ｂは、新たなパケットを保持したときに、この新たなパケットと、このパケットと同じフロー（ヘッダフィールド値）の保持中のパケットとに基づいて、サンプリング前、つまり、サンプリングをしなかったとしたときの元の全パケットによるフローの平均的なトラフィック流量を推定する。この平均的なトラフィック流量は、例えば、前記の新たなパケットの保持タイミングを含む所定期間における単位時間当たりのパケット数又は合計データ量（トラフィック量）の平均値又は代表値などである。推定方法は、サンプリング定理などを用いた任意の方法により行われる。推定方法は、機械学習などで学習した方法などであってもよい。多流量フロー検出部１６Ｂは、推定した平均的なトラフィック流量が所定の閾値を超えているかを判別する。平均的なトラフィック流量が所定の閾値を超えていると判別されたとき、前記の新たなパケットが属するフローが、トラフィック流量の多い多流量フローとして検出される。このとき、多流量フロー検出部１６Ｂは、前記の新たなパケットのヘッダフィールド値を監視対象制御部１７に供給する。サンプリングを行ってから元のフローのトラフィック流量を推定することにより、マイクロバーストなどによるトラフィック流量の急減の影響が低減され、高精度に多流量フローが検出される。
　監視対象制御部１７は、バーストフロー検出部１５によりバーストフローとして検出されたフローを、監視対象に追加する。さらに、監視対象制御部１７は、多流量フロー検出部１６Ｂにより多流量フローとして検出されたフローを、監視対象に追加する。この追加は、ここでは、各フローに属するパケットを指定するルール、つまり、フローＩＤとヘッダフィールド値との組み合わせがルールテーブル１９Ａに追加登録されることにより行われる。
　監視対象制御部１７は、例えば図６に示す第１ルール制御処理を実行することで上記フローの監視対象への追加を行う。監視対象制御部１７は、第１ルール制御処理を、トラフィック監視装置１０の起動時から実行する。
　監視対象制御部１７は、ルール制御処理において、まず、バーストフロー検出部１５からヘッダフィールド値が供給されたかを判別する（ステップＳ１１）。監視対象制御部１７は、この判別結果が肯定の場合、供給されたヘッダフィールド値がルールテーブル１９Ａに登録されているかを判別する（ステップＳ１２）。肯定の場合、そのヘッダフィールド値のフローがすでに監視対象となっている。この場合、監視対象制御部１７は、ステップＳ２１の処理に進む。
　ステップＳ１２の判別結果が否定の場合、監視対象制御部１７は、今回供給されたヘッダフィールド値に対応するフローＩＤを取得する（ステップＳ１３）。監視対象制御部１７は、例えば、記憶部１９などに記憶されたフローＩＤとヘッダフィールド値との対応関係を示すテーブルを参照し、今回供給されたヘッダフィールド値に対応するフローＩＤを取得する。監視対象制御部１７は、今回供給されたヘッダフィールド値が前記のテーブルに登録されていない場合、フローＩＤを新規に発行することで、当該フローＩＤを取得する。この場合、監視対象制御部１７は、当該フローＩＤとヘッダフィールド値とを前記テーブルにも登録する。
　監視対象制御部１７は、今回供給されたヘッダフィールド値と、ステップＳ１３で取得したフローＩＤとを１つのルールとして互いに対応付けてルールテーブル１９Ａに登録する（ステップＳ１４）。
　ステップＳ１４のあと、ステップＳ１１の判別結果が否定の場合、又は、ステップＳ１２の判別結果が肯定の場合、監視対象制御部１７は、多流量フロー検出部１６Ｂからヘッダフィールド値が供給されたかを判別する（ステップＳ２１）。監視対象制御部１７は、この判別結果が肯定の場合、ステップＳ２２～Ｓ２４の処理を実行する。ステップＳ２２～Ｓ２４は、それぞれ、ステップＳ１２～Ｓ１４と同様の処理であるので、その詳細な説明は省略する。ステップＳ２４のあと、ステップＳ２１の判別結果が否定の場合、又は、ステップＳ２２の判別結果が肯定の場合、監視対象制御部１７は、再度ステップＳ１１を実行する。
　監視対象制御部１７は、例えば図７に示す第２ルール制御処理を実行することで監視対象のフローの削除を行う。監視対象制御部１７は、第２ルール制御処理を、トラフィック監視装置１０の起動時から実行する。
　監視対象制御部１７は、第２ルール制御処理において、まず、集計部１３から集計結果が供給されたかを判別する（ステップＳ３１）。判別結果が肯定の場合、監視対象制御部１７は、監視対象のフローのそれぞれについて、集計結果に含まれる上記パケット数又はデータ量つまりトラフィック流量が第３基準よりも低いかを判別する（ステップＳ３２）。判別結果が肯定の場合、監視対象制御部１７は、判別対象のフローが正常になったとして、処理対象の集計結果に含まれるフローＩＤを含むルールをルールテーブル１９Ａから削除する（ステップＳ３３）。これにより、正常となったフローが監視対象から削除される。ステップＳ３１又はＳ３２の判別結果が否定あるいはステップＳ３３のあとは、再度ステップＳ３１が実行される。第３基準は、フローごと及び又は監視原因ごとに異なってもよい。
　以上のように、監視対象制御部１７は、集計結果に含まれる上記パケット数又はデータ量つまりトラフィック流量が第３基準よりも低いフローを正常となったフローとして監視対象から除外する。
　以上のような一連の処理により、バーストフロー及び多流量フローが、パケット識別部１２による監視対象に追加される。上述のように、バーストフロー及び多流量フローは、通信ネットワークＮＷの挙動に異なる態様の影響を与える。ここで、バーストフローは、変化が急峻であり（図４参照）、パケットサンプリング部１６Ａ及び多流量フロー検出部１６Ｂによるサンプリングを用いた検出方法では検出困難である。他方、多流量フローは、変化が少ないため（図５参照）、バーストフロー検出部１５によっては検出困難である。この実施の形態では、バーストフロー検出部１５と、パケットサンプリング部１６Ａ及び多流量フロー検出部１６Ｂとのそれぞれにより、バーストフローと多流量フローとを各フローの検出に好適な方法により別個に検出する。そして、検出されたフローは、監視対象制御部１７により、パケット識別部１２による監視対象のフローに追加される。従って、通信ネットワークＮＷの挙動を与える２種のフローを適切に監視対象に加えることができ、これにより、監視対象のフローの取捨選択を適切に行われることになる。また、監視対象のフローの管理に、ルールテーブル１９Ａが使用されることで、監視対象のフローが容易となっている。
　さらに、本実施の形態では、集計結果に含まれる上記パケット数又はデータ量つまりトラフィック流量が第３基準よりも低いフローを正常となったフローとして監視対象から除外するので、正常となったフローが監視対象に残ることが抑制され、監視対象のフローの取捨選択を適切に行われることになる。
　図８にトラフィック監視装置１０をコンピュータにより構成したときのハードウェア構成図を示す。トラフィック監視装置１０は、ＣＰＵなどのプロセッサ１０１と、プロセッサ１０１のメインメモリ１０２と、プログラム及び各種データを記憶し、図１の記憶部１９を構成する不揮発性の記憶装置１０３と、を備える。さらに、トラフィック監視装置１０は、通信ネットワークＮＷに接続され、パケットを中継するＮＩＣ（Network Interface Card）１０４を備える。プロセッサ１０１は、記憶装置１０３に記憶され、メインメモリ１０２に読み出されたプログラム及びデータを実行又は使用して上記各部１１～１７として動作する。なお、受信部１１及び出力部１４は、プログラムを実行するプロセッサ１０１とＮＩＣ１０４との組み合わせにより実現されてもよい。
[本発明の範囲]
　本発明は、上記の実施の形態及び変形例に限定されるものではない。例えば、本発明には、本発明の技術思想の範囲内で当業者が理解し得る、上記の実施の形態及び変形例に対する様々な変更が含まれる。上記実施の形態及び変形例に挙げた各構成は、矛盾の無い範囲で適宜組み合わせることができる。また、上記の各構成のうちの任意の構成を削除することも可能である。上記各種のプログラムは、不揮発性の記憶装置１０３に限らず、非一時的なコンピュータ読み取り可能な記憶媒体に記憶されてもよい。「装置」及び「部」は、その動作を実現する構成が一つの筐体に収容された物であっても、その動作を実現する構成が複数の筐体に分散して収容された物（システム）であってもよい。
　１０…トラフィック監視装置、１１…受信部、１２…パケット識別部、１３…集計部、１４…出力部、１５…バーストフロー検出部、１６Ａ…パケットサンプリング部、１６Ｂ…多流量フロー検出部、１７…監視対象制御部、１９…記憶部、１９Ａ…ルールテーブル、１０１…プロセッサ、１０２…メインメモリ、１０３…記憶装置、ＮＷ…通信ネットワーク。

Claims (5)

  1. 　通信ネットワークのトラフィックをフローごとに監視するトラフィック監視装置であって、
    　前記通信ネットワークを流れる複数のパケットを順次受信する受信部と、
    　前記受信部が順次受信した前記複数のパケットのそれぞれについて、監視対象のフローに属するか否かを順次識別するパケット識別部と、
    　前記パケット識別部により前記監視対象のフローに属すると識別されたパケットについて集計を行う集計部と、
    　前記集計部による集計の結果を出力する出力部と、
    　前記受信部が順次受信した前記複数のパケットに基づいて、トラフィック流量又はその増加量が第１基準より大きくなったフローをバーストフローとして検出するバーストフロー検出部と、
    　前記受信部が順次受信した前記複数のパケットのうち一部のパケットをサンプリングするパケットサンプリング部と、
    　前記パケットサンプリング部によりサンプリングされた前記一部のパケットに基づいて当該一部のパケットのそれぞれが属するフローのサンプリング前の平均的なトラフィック流量を推定し、推定した前記平均的なトラフィック流量が第２基準よりも多いフローを多流量フローとして検出する多流量フロー検出部と、
    　前記バーストフローとして検出された前記フローを前記監視対象に追加し、かつ、前記多流量フローとして検出された前記フローを前記監視対象に追加する監視対象制御部と、
    　を備えるトラフィック監視装置。
  2. 　前記パケット識別部は、前記受信部が順次受信した前記複数のパケットのそれぞれを、ルールテーブルに登録されている、前記監視対象のフローに属するパケットを指定するルールと比較し、前記複数のパケットのうち前記ルールと一致するパケットを監視対象のフローに属するパケットと識別し、
    　前記監視対象制御部は、前記バーストフロー又は前記多流量フローを前記監視対象のフローに追加するときに、前記バーストフロー又は前記多流量フローに属するパケットを指定するルールを前記ルールテーブルに追加する、
    　請求項１に記載のトラフィック監視装置。
  3. 　前記監視対象制御部は、前記集計部による集計結果に基づいて、当該集計結果により示されるトラフィック流量が第３基準よりも低いフローを前記監視対象から削除する、
    　請求項１又は２に記載のトラフィック監視装置。
  4. 　通信ネットワークのトラフィックをフローごとに監視するトラフィック監視方法であって、
    　受信部が順次受信した前記通信ネットワークを流れる複数のパケットのそれぞれについて、監視対象のフローに属するか否かを順次識別するパケット識別ステップと、
    　前記パケット識別ステップにより前記監視対象のフローに属すると識別されたパケットについて集計を行う集計ステップと、
    　前記受信部が順次受信した前記複数のパケットに基づいて、トラフィック流量又はその増加量が第１基準より大きくなったフローをバーストフローとして検出するバーストフロー検出ステップと、
    　前記受信部が順次受信した前記複数のパケットのうち一部のパケットをサンプリングするパケットサンプリングステップと、
    　前記パケットサンプリングステップによりサンプリングされた前記一部のパケットに基づいて当該一部のパケットのそれぞれが属するフローのサンプリング前の平均的なトラフィック流量を推定し、推定した前記平均的なトラフィック流量が第２基準よりも多いフローを多流量フローとして検出する多流量フロー検出ステップと、
    　前記バーストフローとして検出された前記フローを前記監視対象に追加し、かつ、前記多流量フローとして検出された前記フローを前記監視対象に追加する監視対象制御ステップと、
    　を備えるトラフィック監視方法。
  5. 　通信ネットワークのトラフィックをフローごとに監視するコンピュータに、
    　受信部が順次受信した前記通信ネットワークを流れる複数のパケットのそれぞれについて、監視対象のフローに属するか否かを順次識別するパケット識別ステップと、
    　前記パケット識別ステップにより前記監視対象のフローに属すると識別されたパケットについて集計を行う集計ステップと、
    　前記受信部が順次受信した前記複数のパケットに基づいて、トラフィック流量又はその増加量が第１基準より大きくなったフローをバーストフローとして検出するバーストフロー検出ステップと、
    　前記受信部が順次受信した前記複数のパケットのうち一部のパケットをサンプリングするパケットサンプリングステップと、
    　前記パケットサンプリングステップによりサンプリングされた前記一部のパケットに基づいて当該一部のパケットのそれぞれが属するフローのサンプリング前の平均的なトラフィック流量を推定し、推定した前記平均的なトラフィック流量が第２基準よりも多いフローを多流量フローとして検出する多流量フロー検出ステップと、
    　前記バーストフローとして検出された前記フローを前記監視対象に追加し、かつ、前記多流量フローとして検出された前記フローを前記監視対象に追加する監視対象制御ステップと、
    　を実行させるプログラム。
PCT/JP2021/046133 2021-12-14 2021-12-14 トラフィック監視装置、トラフィック監視方法、及びプログラム WO2023112173A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
PCT/JP2021/046133 WO2023112173A1 (ja) 2021-12-14 2021-12-14 トラフィック監視装置、トラフィック監視方法、及びプログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2021/046133 WO2023112173A1 (ja) 2021-12-14 2021-12-14 トラフィック監視装置、トラフィック監視方法、及びプログラム

Publications (1)

Publication Number Publication Date
WO2023112173A1 true WO2023112173A1 (ja) 2023-06-22

Family

ID=86773780

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/046133 WO2023112173A1 (ja) 2021-12-14 2021-12-14 トラフィック監視装置、トラフィック監視方法、及びプログラム

Country Status (1)

Country Link
WO (1) WO2023112173A1 (ja)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008244635A (ja) * 2007-03-26 2008-10-09 Oki Electric Ind Co Ltd ネットワーク監視システム、ネットワーク監視方法、ネットワーク監視プログラム及び収集装置
JP2010034708A (ja) * 2008-07-25 2010-02-12 Alaxala Networks Corp 中継装置
JP2020078057A (ja) * 2018-11-09 2020-05-21 日本放送協会 パケットフロー監視装置、パケットデータ抽出装置、抽出データ集計装置、及びプログラム
WO2021234764A1 (ja) * 2020-05-18 2021-11-25 日本電信電話株式会社 バーストトラフィック検出装置、バーストトラフィック検出方法およびバーストトラフィック検出プログラム
WO2021240634A1 (ja) * 2020-05-26 2021-12-02 日本電信電話株式会社 トラフィック監視装置、トラフィック監視方法およびトラフィック監視プログラム

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008244635A (ja) * 2007-03-26 2008-10-09 Oki Electric Ind Co Ltd ネットワーク監視システム、ネットワーク監視方法、ネットワーク監視プログラム及び収集装置
JP2010034708A (ja) * 2008-07-25 2010-02-12 Alaxala Networks Corp 中継装置
JP2020078057A (ja) * 2018-11-09 2020-05-21 日本放送協会 パケットフロー監視装置、パケットデータ抽出装置、抽出データ集計装置、及びプログラム
WO2021234764A1 (ja) * 2020-05-18 2021-11-25 日本電信電話株式会社 バーストトラフィック検出装置、バーストトラフィック検出方法およびバーストトラフィック検出プログラム
WO2021240634A1 (ja) * 2020-05-26 2021-12-02 日本電信電話株式会社 トラフィック監視装置、トラフィック監視方法およびトラフィック監視プログラム

Similar Documents

Publication Publication Date Title
US10097464B1 (en) Sampling based on large flow detection for network visibility monitoring
US9979624B1 (en) Large flow detection for network visibility monitoring
US10536360B1 (en) Counters for large flow detection
CN106471778B (zh) 攻击检测装置和攻击检测方法
US8054744B1 (en) Methods and apparatus for flow classification and flow measurement
US9485155B2 (en) Traffic analysis of data flows
US10003515B1 (en) Network visibility monitoring
JP4924503B2 (ja) 輻輳検出方法、輻輳検出装置及び輻輳検出プログラム
JPWO2012147909A1 (ja) ネットワーク装置、通信システム、異常トラヒックの検出方法およびプログラム
US20190068502A1 (en) Information processing apparatus, method and non-transitory computer-readable storage medium
CN114584485B (zh) 检测边缘网络质量的方法、装置、设备和计算机可读存储介质
JP2008283621A (ja) ネットワーク輻輳状況監視装置、ネットワーク輻輳状況監視方法及びプログラム
JP2006148686A (ja) 通信監視システム
JP5963974B2 (ja) 情報処理装置及び情報処理方法及びプログラム
Shirali-Shahreza et al. Empowering software defined network controller with packet-level information
EP3895386A1 (en) A system and a method for monitoring traffic flows in a communications network
JP6317685B2 (ja) 通信監視システム、通信監視方法およびプログラム
WO2023112173A1 (ja) トラフィック監視装置、トラフィック監視方法、及びプログラム
WO2021234764A1 (ja) バーストトラフィック検出装置、バーストトラフィック検出方法およびバーストトラフィック検出プログラム
US10749765B2 (en) Method and system for monitoring communication in a network
US20200382397A1 (en) System and method for detecting dropped aggregated traffic metadata packets
JP4282556B2 (ja) フローレベル通信品質管理装置と方法およびプログラム
JP4209897B2 (ja) 大量フロー生成ホスト特定方法およびシステム
JP5362769B2 (ja) ネットワーク監視装置及びネットワーク監視方法
KR101263218B1 (ko) 단일 세션 내 단일 패킷 집성 방법 및 장치

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21968090

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2023567360

Country of ref document: JP

Kind code of ref document: A