WO2023157052A1 - 収集装置、収集方法および収集プログラム - Google Patents

収集装置、収集方法および収集プログラム Download PDF

Info

Publication number
WO2023157052A1
WO2023157052A1 PCT/JP2022/005826 JP2022005826W WO2023157052A1 WO 2023157052 A1 WO2023157052 A1 WO 2023157052A1 JP 2022005826 W JP2022005826 W JP 2022005826W WO 2023157052 A1 WO2023157052 A1 WO 2023157052A1
Authority
WO
WIPO (PCT)
Prior art keywords
collection
information
traffic
unit
router
Prior art date
Application number
PCT/JP2022/005826
Other languages
English (en)
French (fr)
Inventor
晶規 古田
裕平 林
篤史 須藤
千晴 森岡
勇樹 三好
里美 井上
賢杜 山田
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to JP2024500709A priority Critical patent/JP7704282B2/ja
Priority to US18/837,973 priority patent/US20250150366A1/en
Priority to PCT/JP2022/005826 priority patent/WO2023157052A1/ja
Publication of WO2023157052A1 publication Critical patent/WO2023157052A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/02—Capturing of monitoring data
    • H04L43/026—Capturing of monitoring data using flow identification
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/14—Network analysis or design
    • H04L41/142—Network analysis or design using statistical or mathematical methods
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/02—Capturing of monitoring data

Definitions

  • the present invention relates to a collection device, collection method and collection program.
  • NetFlow is known as a technique for sending flow statistical information in a network (see Non-Patent Document 1).
  • the present invention has been made in view of the above, and aims to focus on monitoring an event to be monitored while considering network restrictions.
  • a collection device provides an identification unit that identifies a traffic path based on past flow information, and a traffic related to a designated event that is identified. and a determination unit that determines a network device on the path.
  • FIG. 1 is a diagram for explaining the outline of the collection device of this embodiment.
  • FIG. 2 is a diagram for explaining the configuration of a collection system including collection devices.
  • FIG. 3 is a schematic diagram illustrating the schematic configuration of the collecting device.
  • FIG. 4 is a flow chart showing a collection processing procedure.
  • FIG. 5 is a diagram for explaining a conventional technique.
  • FIG. 6 is a diagram showing an example of a computer that executes a collection program.
  • FIG. 1 is a diagram for explaining the outline of the collection device of this embodiment.
  • the collection device 10 connects network devices 2 (NE, Network Element) and IF (Network Element) such as routers arranged on traffic exchange. Interface).
  • network devices 2 NE, Network Element
  • IF Network Element
  • the collection device 10 solves the traffic path in advance based on the flow information obtained during normal operation and stored in the data lake 4 .
  • the collection device 10 discriminates the router and IF through which the traffic of the user in question passes and sets them as monitoring targets, increases the sampling rate of the IF of the user in question, and collects the flow statistics from the xFlow conversion device 3. control the collection of information;
  • the collection device 10 can collect the maximum amount of flow statistical information that is to be intensively monitored while reducing information as a whole, and can capture events that occur infrequently. If the number of combinations of all routers and IFs is N, and the number of combinations of routers and IFs through which event-related traffic passes is K, the information reduction effect is K/N.
  • FIG. 2 is a diagram for explaining the configuration of a collection system including collection devices.
  • the collection system 1 includes a router 2 on the VPN, an xFlow conversion device 3, and a data lake 4 in addition to the collection device 10.
  • FIG. 2 is a diagram for explaining the configuration of a collection system including collection devices.
  • the collection system 1 includes a router 2 on the VPN, an xFlow conversion device 3, and a data lake 4 in addition to the collection device 10.
  • the router 2 has the functions of the external device 2b related to the collection processing described later added to the functions of the conventional router 2a.
  • the external device 2b is implemented using an NP (Network Processor) or the like, and as will be described later, according to instructions from the collection device 10, settings such as output/stop of flow statistical information to be collected for the router 2a make changes.
  • NP Network Processor
  • the xFlow converter 3 collects flow statistical information from the router 2 a and stores the collected flow statistical information in the data lake 4 . At that time, the xFlow conversion device 3 collects flow statistical information at a sampling rate specified in the collection process described later.
  • the data lake 4 is realized by a database device or the like, and stores collected flow statistical information.
  • the collection device 10 resolves traffic paths in advance using the normal flow statistical information obtained from the data lake 4 .
  • the collection device 10 identifies the traffic path related to the event, identifies the routers 2 on the path, and selects the routers 2 to be focused flow statistical information collection targets. do.
  • the collection device 10 instructs the external device 2b of the router 2, which is the collection target of the flow statistical information, to change settings according to the collection position, such as output/stop of the flow statistical information to be collected.
  • FIG. 3 is a schematic diagram illustrating the schematic configuration of the collecting device.
  • the collection device 10 of this embodiment is realized by a general-purpose computer such as a personal computer, and includes an input unit 11 , an output unit 12 , a communication control unit 13 , a storage unit 14 and a control unit 15 .
  • the input unit 11 is implemented using input devices such as a keyboard and a mouse, and inputs various instruction information such as processing start to the control unit 15 in response to input operations by the operator.
  • the output unit 12 is implemented by a display device such as a liquid crystal display, a printing device such as a printer, or the like. For example, the output unit 12 displays the result of collection processing, which will be described later.
  • the communication control unit 13 is realized by a NIC (Network Interface Card) or the like, and controls communication between an external device and the control unit 15 via an electrical communication line such as a LAN (Local Area Network) or the Internet.
  • the communication control unit 13 controls communication between the router 2, the xFlow conversion device 3 that outputs the flow statistical information of the router 2, the data lake 4, and the like, and the control unit 15.
  • FIG. 1 Network Interface Card
  • the storage unit 14 is implemented by semiconductor memory devices such as RAM (Random Access Memory) and flash memory, or storage devices such as hard disks and optical disks.
  • a processing program for operating the collecting device 10 data used during execution of the processing program, and the like are stored in advance, or are temporarily stored each time processing is performed.
  • the storage unit 14 may be configured to communicate with the control unit 15 via the communication control unit 13 .
  • the control unit 15 is implemented using a CPU (Central Processing Unit) or the like, and executes a processing program stored in memory. Thereby, as illustrated in FIG. 3, the control unit 15 functions as an acquisition unit 15a, a specification unit 15b, a determination unit 15c, and an instruction unit 15d. Note that these functional units may be implemented in different hardware, respectively or partially.
  • the acquisition unit 15a may be implemented as a device different from other functional units.
  • the control unit 15 may include other functional units.
  • the acquisition unit 15a acquires past flow information. For example, the acquisition unit 15 a acquires normal flow information stored in the data lake 4 via the input unit 11 or the communication control unit 13 .
  • the acquisition unit 15a may store the acquired past flow information in the storage unit 14 prior to the collection process described later. Alternatively, the acquiring unit 15a may transfer these pieces of information to the specifying unit 15b described below without storing them in the storage unit 14. FIG.
  • the identifying unit 15b identifies a traffic path based on past flow information. Specifically, the identifying unit 15 b resolves the traffic path for the normal flow information acquired from the data lake 4 .
  • the determination unit 15c determines the router 2 on the identified path for traffic related to the specified event. Specifically, when information designating an event to be monitored is input via the input unit 11 or the communication control unit 13, the determining unit 15c determines whether the router on the traffic path related to the event specified by the specifying unit 15b 2 and IF are determined. For example, the discrimination unit 15c discriminates the router 2 and the IF of UserB's traffic in the event, as illustrated in FIG.
  • the instruction unit 15d instructs collection of flow statistical information from the determined router 2. Specifically, the instructing unit 15d instructs the determined external device 2b of the router 2 to change the setting so as to output the flow statistical information to the xFlow conversion device 3 via the communication control unit 13. .
  • the instruction unit 15d instructs the external device 2b of the router 2 accommodating UserB to output flow statistical information.
  • the instruction unit 15d instructs the external device 2b of the router 2 accommodating UserA and UserC to stop outputting the flow statistical information. This allows the collection system 1 to collect userB-specific flow statistics information related to the event.
  • the instruction unit 15d may instruct collection so that the granularity of collection of flow statistical information from the determined router 2 is higher than the granularity of collection of flow statistical information from routers 2 other than this router 2 .
  • the instructing unit 15d instructs the xFlow conversion device 3 to set the sampling rate from the determined router 2 higher than the sampling rate of other routers 2 .
  • the collection system 1 can collect the flow statistical information of the traffic to be monitored intensively, and minimize the collection of the flow statistical information of other traffic. In this way, it is possible to collect the maximum amount of flow statistical information of traffic to be monitored, taking into account network restrictions.
  • FIG. 4 is a flow chart showing a collection processing procedure.
  • the flowchart of FIG. 4 is started, for example, at the timing when the user performs an operation input instructing the start.
  • the acquisition unit 15a acquires normal flow information from the data lake 4. Further, the identifying unit 15b identifies a traffic path based on the acquired normal flow information (step S1).
  • the identification unit 15b identifies a traffic path related to the event, and the determination unit 15c determines the router 2 and IF on the traffic path (step S2).
  • the instruction unit 15d instructs collection of flow statistical information from the determined router 2 (step S3). Specifically, the instruction unit 15 d instructs the external device 2 b of the determined router 2 to output the flow statistical information to the xFlow conversion device 3 via the communication control unit 13 . The instruction unit 15d also instructs the external device 2b of the other router 2 to stop outputting the flow statistical information to the xFlow conversion device 3.
  • FIG. 1 the instruction unit 15d instructs collection of flow statistical information from the determined router 2 (step S3). Specifically, the instruction unit 15 d instructs the external device 2 b of the determined router 2 to output the flow statistical information to the xFlow conversion device 3 via the communication control unit 13 . The instruction unit 15d also instructs the external device 2b of the other router 2 to stop outputting the flow statistical information to the xFlow conversion device 3.
  • the instruction unit 15d designates the sampling rate from each router 2 to the xFlow conversion device 3. At that time, the instruction unit 15d instructs the xFlow conversion device 3 to set the sampling rate from the determined router 2 higher than the sampling rate of the other routers 2 . This completes a series of collection processing.
  • the xFlow conversion device 3 collects flow statistical information from the determined router 2 intensively and stores it in the data lake 4 .
  • the identification unit 15b identifies a traffic path based on past flow information.
  • the determination unit 15c determines the network device (router) 2 on the identified path for traffic related to the designated event.
  • FIG. 5 is a diagram for explaining the conventional technology.
  • xFlow including conventional NetFlow it is difficult to change the sampling rate of flow statistical information to be collected for each user. Therefore, even if there is an event related to a user to be monitored intensively, the amount of information to be collected is enormous, and it has been difficult to carefully monitor it.
  • the collection device 10 of the present embodiment it is possible to determine the router 2 through which the event-related traffic passes as the router 2 to be focused on. Therefore, it is possible to collect the maximum amount of flow statistical information that is to be monitored intensively while reducing information as a whole, and to capture events that occur infrequently. In this way, it is possible to perform intensive monitoring of events to be monitored while considering network restrictions.
  • the instruction unit 15d instructs collection of flow statistical information from the determined router 2.
  • the collection device 10 can collect flow statistical information limited to events targeted for intensive monitoring.
  • the instruction unit 15d instructs collection such that the granularity of collection of flow statistical information from the determined router 2 is higher than the granularity of collection of flow statistical information from routers 2 other than this router 2 .
  • the instruction unit 15d instructs collection such that the granularity of collection of flow statistical information from the determined router 2 is higher than the granularity of collection of flow statistical information from routers 2 other than this router 2 .
  • the collection device 10 can be implemented by installing a collection program for executing the above collection processing as package software or online software on a desired computer.
  • the information processing device can function as the collection device 10 by causing the information processing device to execute the collection program.
  • the information processing apparatus referred to here includes a desktop or notebook personal computer.
  • information processing devices include smart phones, mobile communication terminals such as mobile phones and PHSs (Personal Handyphone Systems), and slate terminals such as PDAs (Personal Digital Assistants).
  • the functions of the collection device 10 may be implemented in a cloud server.
  • FIG. 6 is a diagram showing an example of a computer that executes a collection program.
  • Computer 1000 includes, for example, memory 1010 , CPU 1020 , hard disk drive interface 1030 , disk drive interface 1040 , serial port interface 1050 , video adapter 1060 and network interface 1070 . These units are connected by a bus 1080 .
  • the memory 1010 includes a ROM (Read Only Memory) 1011 and a RAM 1012 .
  • the ROM 1011 stores a boot program such as BIOS (Basic Input Output System).
  • BIOS Basic Input Output System
  • Hard disk drive interface 1030 is connected to hard disk drive 1031 .
  • Disk drive interface 1040 is connected to disk drive 1041 .
  • a removable storage medium such as a magnetic disk or an optical disk is inserted into the disk drive 1041, for example.
  • a mouse 1051 and a keyboard 1052 are connected to the serial port interface 1050, for example.
  • a display 1061 is connected to the video adapter 1060 .
  • the hard disk drive 1031 stores an OS 1091, application programs 1092, program modules 1093 and program data 1094, for example. Each piece of information described in the above embodiment is stored in the hard disk drive 1031 or the memory 1010, for example.
  • the collection program is stored in the hard disk drive 1031, for example, as a program module 1093 in which commands to be executed by the computer 1000 are described.
  • the hard disk drive 1031 stores a program module 1093 that describes each process executed by the collection apparatus 10 described in the above embodiment.
  • Data used for information processing by the collection program is stored as program data 1094 in the hard disk drive 1031, for example. Then, the CPU 1020 reads out the program module 1093 and the program data 1094 stored in the hard disk drive 1031 to the RAM 1012 as necessary, and executes each procedure described above.
  • program module 1093 and program data 1094 related to the collection program are not limited to being stored in the hard disk drive 1031.
  • they may be stored in a removable storage medium and read by the CPU 1020 via the disk drive 1041 or the like.
  • the program module 1093 and program data 1094 related to the collection program are stored in another computer connected via a network such as LAN or WAN (Wide Area Network), and are read out by the CPU 1020 via the network interface 1070.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Physics & Mathematics (AREA)
  • Algebra (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Physics (AREA)
  • Probability & Statistics with Applications (AREA)
  • Pure & Applied Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

特定部（１５ｂ）が、過去のフロー情報に基づいて、トラヒックのパスを特定する。判別部（１５ｃ）が、指定されたイベントに関するトラヒックについて、特定されたパス上のネットワーク装置を判別する。

Description

収集装置、収集方法および収集プログラム
　本発明は、収集装置、収集方法および収集プログラムに関する。
　ネットワークにおけるフロー統計情報を送出する技術として、ＮｅｔＦｌｏｗが知られている（非特許文献１参照）。
"RFC3954　Cisco　Systems　NetFlow　Services　Export　Version　9"、[online]、2004年10月、［2022年1月11日検索］、インターネット<URL：https://datatracker.ietf.org/doc/html/rfc3954.html>
　しかしながら、従来技術によれば、ネットワークの制約を加味しつつ、監視したいイベントを重点監視することが困難である。例えば、複雑大規模化するキャリア網に対して、フロー統計情報を格納するデータレイクへの通信路は潤沢ではないため、フロー統計情報の収集粒度を低くしたりする必要があり、タイムリーに障害やセキュリティ脅威を検出することが困難である。一方、重要ユーザ申告、ＤＤｏＳ攻撃、ＯＳアップデート、ＯＴＴ（Over　The　Top）障害等のイベントを監視するには、全てのイベントの情報を収集する必要があって情報量が膨大であるため、必要なイベントのトラヒックを重点監視することが困難である。
　本発明は、上記に鑑みてなされたものであって、ネットワークの制約を加味しつつ、監視したいイベントを重点監視することを目的とする。
　上述した課題を解決し、目的を達成するために、本発明に係る収集装置は、過去のフロー情報に基づいて、トラヒックのパスを特定する特定部と、指定されたイベントに関するトラヒックについて、特定されたパス上のネットワーク装置を判別する判別部と、を有することを特徴とする。
　本発明によれば、ネットワークの制約を加味しつつ、監視したいイベントを重点監視することが可能となる。
図１は、本実施形態の収集装置の概要を説明するための図である。 図２は、収集装置を含む収集システムの構成を説明するための図である。 図３は、収集装置の概略構成を例示する模式図である。 図４は、収集処理手順を示すフローチャートである。 図５は、従来の技術を説明するための図である。 図６は、収集プログラムを実行するコンピュータの一例を示す図である。
　以下、図面を参照して、本発明の一実施形態を詳細に説明する。なお、この実施形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。
［収集装置の概要］
　図１は、本実施形態の収集装置の概要を説明するための図である。収集装置１０は、重要ユーザ申告、ＤＤｏＳ攻撃、ＯＳアップデート、ＯＴＴ障害等のイベントが発生した際に、トラヒックの交流上に配置されているルータ等のネットワーク装置２（ＮＥ、Network　Element）やＩＦ（Interface）を重点的に監視する。
　具体的には、収集装置１０は、通常時に得られデータレイク４に格納されているフロー情報を元に、予めトラヒックパスを解決しておく。イベントが発生した際には、収集装置１０は、該当ユーザのトラヒックが経由するルータとＩＦとを判別して監視対象とし、該当ユーザのＩＦのサンプリングレートを上げて、ｘＦｌｏｗ変換装置３からフロー統計情報を収集するように制御する。
　これにより、収集装置１０は、全体として情報削減しつつ、重点監視したいフロー統計情報を最大限に収集し、発生頻度の少ない事象を捉えることが可能となる。全てのルータとＩＦとの組み合わせ数をＮ、イベントに関するトラヒックが経由るルータとＩＦと組み合わせ数をＫとすると、情報削減効果はＫ／Ｎとなる。
［収集システムの構成］
　図２は、収集装置を含む収集システムの構成を説明するための図である。図２に示すように、収集システム１は、収集装置１０の他に、ＶＰＮ上のルータ２、ｘＦｌｏｗ変換装置３、データレイク４を含んで構成される。
　ルータ２は、従来のルータ２ａの機能に対し、後述する収集処理に関する外付け装置２ｂの機能が追加されたものである。外付け装置２ｂは、ＮＰ（Network　Processor）等を用いて実現され、後述するように、収集装置１０の指示に応じて、ルータ２ａに対して収集対象のフロー統計情報の出力／停止等の設定変更を行う。
　ｘＦｌｏｗ変換装置３は、ルータ２ａからフロー統計情報を収集し、収集したフロー統計情報をデータレイク４に格納する。その際に、ｘＦｌｏｗ変換装置３は、後述する収集処理で指定されたサンプリングレートでフロー統計情報の収集を行う。データレイク４は、データベース装置等で実現され、収集されたフロー統計情報を格納する。
　収集装置１０は、後述するように、データレイク４から取得した通常時のフロー統計情報を用いて、予めトラヒックパスを解決しておく。また、収集装置１０は、監視したいイベントのイベント情報やユーザ情報を受信した場合に、イベントに関するトラヒックパスを特定してパス上にあるルータ２を判別し、重点的なフロー統計情報の収集対象とする。そして、収集装置１０は、フロー統計情報の収集対象のルータ２の外付け装置２ｂに、収集対象のフロー統計情報の出力／停止等の収集位置に応じた設定変更を指示する。
［収集装置の構成］
　図３は、収集装置の概略構成を例示する模式図である。図３に例示するように、本実施形態の収集装置１０は、パソコン等の汎用コンピュータで実現され、入力部１１、出力部１２、通信制御部１３、記憶部１４、および制御部１５を備える。
　入力部１１は、キーボードやマウス等の入力デバイスを用いて実現され、操作者による入力操作に対応して、制御部１５に対して処理開始などの各種指示情報を入力する。出力部１２は、液晶ディスプレイなどの表示装置、プリンター等の印刷装置等によって実現される。例えば、出力部１２には、後述する収集処理の結果が表示される。
　通信制御部１３は、ＮＩＣ（Network　Interface　Card）等で実現され、ＬＡＮ（Local　Area　Network）やインターネットなどの電気通信回線を介した外部の装置と制御部１５との通信を制御する。例えば、通信制御部１３は、ルータ２や、ルータ２のフロー統計情報を出力するｘＦｌｏｗ変換装置３、データレイク４等と制御部１５との通信を制御する。
　記憶部１４は、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ（Flash　Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現される。記憶部１４には、収集装置１０を動作させる処理プログラムや、処理プログラムの実行中に使用されるデータなどが予め記憶され、あるいは処理の都度一時的に記憶される。なお、記憶部１４は、通信制御部１３を介して制御部１５と通信する構成でもよい。
　制御部１５は、ＣＰＵ（Central　Processing　Unit）等を用いて実現され、メモリに記憶された処理プログラムを実行する。これにより、制御部１５は、図３に例示するように、取得部１５ａ、特定部１５ｂ、判別部１５ｃおよび指示部１５ｄとして機能する。なお、これらの機能部は、それぞれ、あるいは一部が異なるハードウェアに実装されてもよい。例えば、取得部１５ａは、その他の機能部とは異なる装置として実装されてもよい。また、制御部１５は、その他の機能部を備えてもよい。
　取得部１５ａは、過去のフロー情報を取得する。例えば、取得部１５ａは、入力部１１あるいは通信制御部１３を介して、データレイク４に格納されている通常時のフロー情報を取得する。
　取得部１５ａは、後述する収集処理に先立って、取得した過去のフロー情報を記憶部１４に記憶させてもよい。あるいは、取得部１５ａは、これらの情報を記憶部１４に記憶させずに、以下に説明する特定部１５ｂに転送してもよい。
　特定部１５ｂは、過去のフロー情報に基づいて、トラヒックのパスを特定する。具体的には、特定部１５ｂは、データレイク４から取得された通常時のフロー情報について、トラヒックのパスを解決する。
　判別部１５ｃは、指定されたイベントに関するトラヒックについて、特定されたパス上のルータ２を判別する。具体的には、監視対象のイベントを指定する情報が入力部１１あるいは通信制御部１３を介して入力された場合に、判別部１５ｃは、特定部１５ｂが特定したイベントに関するトラヒックのパス上のルータ２とＩＦとを判別する。例えば、判別部１５ｃは、図１に例示したように、イベントのＵｓｅｒＢのトラヒックのルータ２とＩＦとを判別する。
　指示部１５ｄは、判別されたルータ２からのフロー統計情報の収集を指示する。具体的には、指示部１５ｄは、通信制御部１３を介して、判別されたルータ２の外付け装置２ｂに対し、ｘＦｌｏｗ変換装置３にフロー統計情報を出力するように、設定変更を指示する。
　例えば、図１に示した例では、指示部１５ｄが、ＵｓｅｒＢが収容されているルータ２の外付け装置２ｂに対し、フロー統計情報の出力を指示している。一方、指示部１５ｄは、ＵｓｅｒＡおよびＵｓｅｒＣが収容されているルータ２の外付け装置２ｂに対し、フロー統計情報の出力を停止するように指示している。これにより、収集システム１は、イベントに関連するＵｓｅｒＢに限定したフロー統計情報を収集することが可能となる。
　また、指示部１５ｄは、判別されたルータ２からのフロー統計情報の収集粒度を、このルータ２以外のルータ２からのフロー統計情報の収集粒度より高くするように収集を指示してもよい。具体的には、指示部１５ｄは、判別したルータ２からのサンプリングレートを、それ以外のルータ２のサンプリングレートより高くするように、ｘＦｌｏｗ変換装置３に指定する。
　これにより、収集システム１は、監視対象のトラヒックのフロー統計情報を重点的に収集し、それ以外のトラヒックのフロー統計情報の収集を最低限に抑制することが可能となる。このように、ネットワークの制約を加味して、監視対象のトラヒックのフロー統計情報を最大限に収集することが可能となる。
［収集処理］
　次に、図４を参照して、本実施形態に係る収集装置１０による収集処理について説明する。図４は、収集処理手順を示すフローチャートである。図４のフローチャートは、例えば、ユーザが開始を指示する操作入力を行ったタイミングで開始される。
　まず、取得部１５ａが、通常時のフロー情報をデータレイク４から取得する。また、特定部１５ｂが、取得された通常時のフロー情報に基づいて、トラヒックのパスを特定する（ステップＳ１）。
　また、イベントを指定する情報が入力された場合に、特定部１５ｂがイベントに関するトラヒックのパスを特定し、判別部１５ｃが、トラヒックのパス上のルータ２とＩＦとを判別する（ステップＳ２）。
　そして、指示部１５ｄは、判別されたルータ２からのフロー統計情報の収集を指示する（ステップＳ３）。具体的には、指示部１５ｄは、通信制御部１３を介して、判別されたルータ２の外付け装置２ｂに対し、ｘＦｌｏｗ変換装置３へのフロー統計情報の出力を指示する。また、指示部１５ｄは、その他のルータ２の外付け装置２ｂに対し、ｘＦｌｏｗ変換装置３へのフロー統計情報の出力の停止を指示する。
　または、指示部１５ｄは、各ルータ２からのサンプリングレートをｘＦｌｏｗ変換装置３に指定する。その際に、指示部１５ｄは、判別したルータ２からのサンプリングレートを、それ以外のルータ２のサンプリングレートより高くするように、ｘＦｌｏｗ変換装置３に指定する。これにより、一連の収集処理が終了する。
　その後、ｘＦｌｏｗ変換装置３により、判別されたルータ２からのフロー統計情報が重点的に収集され、データレイク４に格納される。
［効果］
　以上、説明したように、本実施形態の収集装置１０において、特定部１５ｂが、過去のフロー情報に基づいて、トラヒックのパスを特定する。判別部１５ｃが、指定されたイベントに関するトラヒックについて、特定されたパス上のネットワーク装置（ルータ）２を判別する。
　ここで、図５は、従来の技術を説明するための図である。図５に例示するように、従来のＮｅｔＦｌｏｗを含むｘＦｌｏｗによれば、収集するフロー統計情報のサンプリングレートをユーザごとに変更することは困難であった。そのため、重点監視したいユーザに関するイベントがあっても、収集する情報量が膨大となるため、手厚く監視することが困難であった。
　これに対し、本実施形態の収集装置１０によれば、イベントに関連するトラヒックが経由するルータ２を、重点監視の対象のルータ２として判別することが可能となる。したがって、全体として情報削減しつつ、重点監視したいフロー統計情報を最大限に収集し、発生頻度の少ない事象を捉えることが可能となる。このように、ネットワークの制約を加味しつつ、監視したいイベントを重点監視することが可能となる。
　また、指示部１５ｄが、判別されたルータ２からのフロー統計情報の収集を指示する。これにより、収集装置１０は、重点監視の対象のイベントに限定してフロー統計情報を収集することが可能となる。
　また、指示部１５ｄは、判別されたルータ２からのフロー統計情報の収集粒度を、該ルータ２以外のルータ２からのフロー統計情報の収集粒度より高くするように、収集を指示する。これにより、監視対象のトラヒックのフロー統計情報を重点的に収集し、それ以外のトラヒックのフロー統計情報の収集を最低限に抑制することが可能となる。このように、収集装置１０によれば、ネットワークの制約を加味して、監視対象のトラヒックのフロー統計情報を最大限に収集することが可能となる。
［プログラム］
　上記実施形態に係る収集装置１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。一実施形態として、収集装置１０は、パッケージソフトウェアやオンラインソフトウェアとして上記の収集処理を実行する収集プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の収集プログラムを情報処理装置に実行させることにより、情報処理装置を収集装置１０として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal　Handyphone　System）などの移動体通信端末、さらには、ＰＤＡ（Personal　Digital　Assistant）などのスレート端末などがその範疇に含まれる。また、収集装置１０の機能を、クラウドサーバに実装してもよい。
　図６は、収集プログラムを実行するコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。
　メモリ１０１０は、ＲＯＭ（Read　Only　Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。ディスクドライブ１０４１には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１０５１およびキーボード１０５２が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１０６１が接続される。
　ここで、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した各情報は、例えばハードディスクドライブ１０３１やメモリ１０１０に記憶される。
　また、収集プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュール１０９３として、ハードディスクドライブ１０３１に記憶される。具体的には、上記実施形態で説明した収集装置１０が実行する各処理が記述されたプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。
　また、収集プログラムによる情報処理に用いられるデータは、プログラムデータ１０９４として、例えば、ハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。
　なお、収集プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、収集プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮやＷＡＮ（Wide　Area　Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
　以上、本発明者によってなされた発明を適用した実施形態について説明したが、本実施形態による本発明の開示の一部をなす記述および図面により本発明は限定されることはない。すなわち、本実施形態に基づいて当業者等によりなされる他の実施形態、実施例および運用技術等は全て本発明の範疇に含まれる。
　１　収集システム
　２、２ａ　ネットワーク装置（ルータ）
　２ｂ　外付け装置
　３　ｘＦｌｏｗ変換装置
　４　データレイク
　１０　収集装置
　１１　入力部
　１２　出力部
　１３　通信制御部
　１４　記憶部
　１５　制御部
　１５ａ　取得部
　１５ｂ　特定部
　１５ｃ　判別部
　１５ｄ　指示部

Claims (5)

  1. 　過去のフロー情報に基づいて、トラヒックのパスを特定する特定部と、
    　指定されたイベントに関するトラヒックについて、特定されたパス上のネットワーク装置を判別する判別部と、
    　を有することを特徴とする収集装置。
  2. 　判別された前記ネットワーク装置からのフロー統計情報の収集を指示する指示部をさらに有することを特徴とする請求項１に記載の収集装置。
  3. 　前記指示部は、判別された前記ネットワーク装置からのフロー統計情報の収集粒度を、該ネットワーク装置以外のネットワーク装置からのフロー統計情報の収集粒度より高くするように、収集を指示することを特徴とする請求項２に記載の収集装置。
  4. 　収集装置が実行する収集方法であって、
    　過去のフロー情報に基づいて、トラヒックのパスを特定する特定工程と、
    　指定されたイベントに関するトラヒックについて、特定されたパス上のネットワーク装置を判別する判別工程と、
    　を含んだことを特徴とする収集方法。
  5. 　過去のフロー情報に基づいて、トラヒックのパスを特定する特定ステップと、
    　指定されたイベントに関するトラヒックについて、特定されたパス上のネットワーク装置を判別する判別ステップと、
    　をコンピュータに実行させるための収集プログラム。
PCT/JP2022/005826 2022-02-15 2022-02-15 収集装置、収集方法および収集プログラム WO2023157052A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2024500709A JP7704282B2 (ja) 2022-02-15 収集装置、収集方法および収集プログラム
US18/837,973 US20250150366A1 (en) 2022-02-15 2022-02-15 Collecting device, collecting method, and collecting program
PCT/JP2022/005826 WO2023157052A1 (ja) 2022-02-15 2022-02-15 収集装置、収集方法および収集プログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2022/005826 WO2023157052A1 (ja) 2022-02-15 2022-02-15 収集装置、収集方法および収集プログラム

Publications (1)

Publication Number Publication Date
WO2023157052A1 true WO2023157052A1 (ja) 2023-08-24

Family

ID=87577724

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2022/005826 WO2023157052A1 (ja) 2022-02-15 2022-02-15 収集装置、収集方法および収集プログラム

Country Status (2)

Country Link
US (1) US20250150366A1 (ja)
WO (1) WO2023157052A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016147613A1 (ja) * 2015-03-13 2016-09-22 日本電気株式会社 管理装置、ネットワーク管理方法及びプログラムが記憶された記憶媒体
JP2018098590A (ja) * 2016-12-09 2018-06-21 日本電信電話株式会社 トラヒック需要予測装置、トラヒック需要予測方法、及びプログラム
JP2021013081A (ja) * 2019-07-05 2021-02-04 アラクサラネットワークス株式会社 監視システム、収集装置、アナライザ、監視方法、および監視プログラム

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016147613A1 (ja) * 2015-03-13 2016-09-22 日本電気株式会社 管理装置、ネットワーク管理方法及びプログラムが記憶された記憶媒体
JP2018098590A (ja) * 2016-12-09 2018-06-21 日本電信電話株式会社 トラヒック需要予測装置、トラヒック需要予測方法、及びプログラム
JP2021013081A (ja) * 2019-07-05 2021-02-04 アラクサラネットワークス株式会社 監視システム、収集装置、アナライザ、監視方法、および監視プログラム

Also Published As

Publication number Publication date
US20250150366A1 (en) 2025-05-08
JPWO2023157052A1 (ja) 2023-08-24

Similar Documents

Publication Publication Date Title
US11770387B1 (en) Graph-based detection of lateral movement in computer networks
US20220038353A1 (en) Technologies for annotating process and user information for network flows
US7752307B2 (en) Technique of analyzing an information system state
EP4060958B1 (en) Attack behavior detection method and apparatus, and attack detection device
JP6691268B2 (ja) 監視装置、監視方法および監視プログラム
EP3862879B1 (en) Container network interface monitoring
CN106254312B (zh) 一种通过虚拟机异构实现服务器防攻击的方法及装置
CN114500247B (zh) 工控网络故障诊断方法、装置、电子设备及可读存储介质
WO2020123030A1 (en) Discovering a computer network topology for an executing application
US10129277B1 (en) Methods for detecting malicious network traffic and devices thereof
JP6708575B2 (ja) 分類装置、分類方法および分類プログラム
JP6915305B2 (ja) 検知装置、検知方法および検知プログラム
JP2020102671A (ja) 検知装置、検知方法、および、検知プログラム
US9559904B2 (en) Dynamic agent replacement within a cloud network
CN110932878A (zh) 一种分布式网络的管理方法、设备及系统
WO2023157052A1 (ja) 収集装置、収集方法および収集プログラム
CN111245800B (zh) 网络安全测试方法和装置、存储介质、电子装置
JP7704282B2 (ja) 収集装置、収集方法および収集プログラム
JP2020136888A (ja) 検知装置および検知方法
CN109688142B (zh) 一种工业控制系统网络中威胁管理方法和系统
US12095815B2 (en) Monitoring apparatus, monitoring method, and program
KR20200075725A (ko) 복수개의 디바이스 정보 종합 분석을 통한 디바이스 이상 징후 탐지 방법 및 그 장치
WO2024180636A1 (ja) 収集装置、収集方法及び収集プログラム
WO2025041343A1 (ja) 抽出装置
Pekarčík et al. A Centralized Approach to Intrusion Detection System Management: Design, Implementation and Evaluation

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22926957

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2024500709

Country of ref document: JP

WWE Wipo information: entry into national phase

Ref document number: 18837973

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 22926957

Country of ref document: EP

Kind code of ref document: A1

WWP Wipo information: published in national office

Ref document number: 18837973

Country of ref document: US