(57)【要約】      （修正有）【課題】ネットワークにおけるトラヒック量の変動の周期性の有無を自動的に判別可能とする。【解決手段】入力待機装置５１により、収集したトラヒックデータを時系列で記憶装置に格納し、入力時系列／スペクトル分解装置５２により、記憶装置に格納した時系列のトラヒックデータを読み出して高速フーリエ変換し、特定スペクトル抽出装置５３により、高速フーリエ変換結果データから、予め定められた（１日、１週間、１ヶ月、１年など）周波数成分のみを抽出し、スペクトル／抽出時系列変換装置５４により、抽出した周波数成分を対象にして逆フーリエ変換し、入力時系列／抽出時系列比較装置５５により、逆フーリエ変換結果と高速フーリエ変換結果との相関値を算出し、入力時系列分類装置５６により、算出した相関値と予め定められた閾値とを比較して、収集したトラヒックデータの周期性の有無を判別する。【選択図】図５
2010283668.tif 000002
【特許請求の範囲】
【請求項１】
プログラムされたコンピュータ処理によって、ネットワークにおけるトラヒックデータを収集し、トラヒックの変動の周期性の有無の判別を行うトラヒック分類システムであって、
プログラムされたコンピュータ処理を実行する手段として、
上記収集したトラヒックデータを時系列で記憶装置に格納する第１の手段と、
上記記憶装置に格納した時系列のトラヒックデータを読み出して高速フーリエ変換する第２の手段と、
該第２の手段による高速フーリエ変換結果データから、予め定められた周波数成分のみを抽出する第３の手段と、
該第３の手段が抽出した周波数成分を対象にして逆フーリエ変換する第４の手段と、
該第４の手段による逆フーリエ変換結果と上記第２の手段による高速フーリエ変換結果との相関値を算出する第５の手段と、
該第５の手段が算出した相関値と予め定められた閾値とを比較して、上記トラヒックの周期性の有無を判別する第６の手段と
を有することを特徴とするトラヒック分類システム。
【請求項２】
請求項１に記載のトラヒック分類システムであって、
上記第２の手段は、
上記時系列のトラヒックデータを離散フーリエ変換し、
上記第４の手段は、
該第２の手段の出力値を逆離散フーリエ変換する
ことを特徴とするトラヒック分類システム。
【請求項３】
プログラムされたコンピュータ処理によって、ネットワークにおけるトラヒックデータを収集し、トラヒックの変動の周期性の有無の判別を行うコンピュータ装置によるトラヒック分類方法であって、
コンピュータ装置のプログラムされたコンピュータ処理実行手順として、
請求項１もしくは請求項２のいずれかに記載のトラヒック分類システムにおける各手段が実行する処理手順を含むことを特徴とするトラヒック分類方法。
【請求項４】
コンピュータを、請求項１もしくは請求項２のいずれかに記載のトラヒック分類システムにおける各手段として機能させるためのプログラム。
【請求項５】
プログラムされたコンピュータ処理によって、ネットワークから収集したトラヒックデータを用いて当該ネットワークの異常を検知する異常トラヒック検知システムであって、
プログラムされたコンピュータ処理を実行する手段として、
請求項１もしくは請求項２のいずれかに記載のトラヒック分類システムにおける第１から第６の各手段と、
該第６の手段で周期性有りと判別したトラヒックを対象に、当該トラヒックの変動の差分を抽出する手段と、
該手段で抽出した差分が予め定められた値以上の場合に上記ネットワークに異常があったものと判別する手段と
を有することを特徴とする異常トラヒック検知システム。
【請求項６】
プログラムされたコンピュータ処理によって、ネットワークから収集したトラヒックデータを用いて当該ネットワークの異常を検知するコンピュータ装置による異常トラヒック検知方法であって、
コンピュータ装置のプログラムされたコンピュータ処理実行手順として、
請求項５に記載のサービス不能攻撃検知システムにおける各手段が実行する処理手順を含むことを特徴とする異常トラヒック検知方法。
【請求項７】
コンピュータを、請求項５に記載の異常トラヒック検知システムにおける各手段として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク上において時々刻々と観測されるトラヒック時系列データの解析技術に係り、特に、観測されるトラヒックの日変動や週変動といった周期性の強さを判定し、その結果を、ネットワークにおける異常トラヒックの高精度な分析に用いるのに好適な技術に関するものである。
【背景技術】
【０００２】
日々増大するネットワーク需要を背景に、ＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ  Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）攻撃にあげられるようなネットワークトラヒック資源を大量消費する不正行為が増えてきた。このような不正行為でネットワーク帯域が浪費されてしまえば、ネットワークを利用する一般ユーザの通信品質を著しく劣化させることにつながる。
【０００３】
そのため、このＤＤｏＳ攻撃のような異常トラヒックが発生したことを一刻も早く検知し、対策をとることがネットワークの管理に求められている。
【０００４】
このような要求に対し、例えば、非特許文献１に記載のように、ネットワーク全体を対象とした異常トラヒックの監視制御技術が検討されている。この技術では、図１に示すように、ネットワークの観測地点から統計情報（Ｎｅｔｆｌｏｗデータ）を収集し、パケット数や転送バイト数といったトラヒックのボリューム変化から異常を検出している。
【０００５】
異常トラヒック検知技術としては、例えば非特許文献２や特許文献１のように、時系列解析モデルや統計的手法を用いて、トラヒック値の急変を検知するものがある。
【０００６】
また、バックボーンネットワークで観測されるトラヒックのように、人の生活サイクルに依存してトラヒック量が変動する、周期性を持つトラヒックに対しては、非特許文献３のように、このようなトラヒック量の周期性を利用することで、異常検出の精度を向上させる技術も提案されている。
【０００７】
異常トラヒックを精度良く検出するためには、観測トラヒックの時系列の特徴に合わせた異常検知手法の適用が効果的である。例えば、図２に示すようなトラヒックの発生のしかたに統計的な規則性が見られないものには、利用可能帯域の５０％と言った固定的な閾値を設定する方法が適当である。
【０００８】
また、図３に示すように、トラヒック量の多い観測地点では、過去数時間のトラヒック量の平均値と分散といった統計的手法を用いて閾値を設定することで、統計的に正常とみなせる変動は検出せず、過去数時間には見られなかった大きな変動のみを検出することが可能となる。
【０００９】
さらに、図４に示すようなトラヒックの変動に周期的な傾向が見られる場合には、急激なトラヒック変動であっても、一日周期や一週間周期で見られる周期的な変動は検出せず、その他の、突発的な急変動のみを検出することが可能となる。すなわち、誤報を少なく抑えることができる。
【００１０】
このような周期的なトラヒック変動は、例えば、企業のネットワークにおける昼休み時間のトラヒック増などが挙げられる。
【００１１】
以上のように、トラヒックの周期性といった時系列の特徴に応じた異常検知手法を適用することで、より精度良くより正確に異常トラヒックの検出が行えるようになる。しかし、従来は周期性の判定を目視によって行っていた。
【００１２】
このような目視による周期性の判定では、大規模化するネットワークにおいては、監視地点やパケット数、バイト数といった監視項目も膨大となるため、全てを人手により実施することは困難となる。
【先行技術文献】
【特許文献】
【００１３】
【特許文献１】特開平１１−１７７５４９号公報
【特許文献２】特開２００８−１４１６４１号公報
【非特許文献】
【００１４】
【非特許文献１】大倉、八木、田邉、村山、「階層型監視制御方式の設計」、２００６信学ソ大、Ｂ−７−７０，２００６．
【非特許文献２】Ａ．Ｓｏｕｌｅ，Ｋ．Ｓａｌａｍａｔｉａｎ  ａｎｄ  Ｎ．Ｔａｆｔ．「Ｃｏｍｂｉｎｉｎｇ  Ｆｉｌｔｅｒｉｎｇ  ａｎｄ  Ｓｔａｔｉｓｔｉｃａｌ  Ｍｅｔｈｏｄｓ  ｆｏｒ  Ａｎｏｍａｌｙ  Ｄｅｔｅｃｔｉｏｎ」、ＩＭＣ’０５，ｐｐ．３３１−３４４，２００５．
【非特許文献３】Ｓ．Ｈａｒａｄａ  ｅｔ  ａｌ．，「Ａ  Ｍｅｔｈｏｄ  ｏｆ  Ｄｅｔｅｃｔｉｎｇ  Ｎｅｔｗｏｒｋ  Ａｎｏｍａｌｉｅｓ  ｉｎ  Ｃｙｃｌｉｃ  Ｔｒａｆｆｉｃ」、ＩＥＥＥ  ＧＬOＢＥＣOＭ，２００８．
【発明の概要】
【発明が解決しようとする課題】
【００１５】
解決しようとする問題点は、従来の技術では、膨大な監視トラヒックを、周期性といった時系列の特徴によって効率的に分類することができない点である。
【００１６】
本発明の目的は、これら従来技術の課題を解決し、トラヒックデータの変動の周期性を自動的に判断し、ネットワークにおける異常トラヒックの検出を高精度に行うことを可能とすることである。
【課題を解決するための手段】
【００１７】
上記目的を達成するため、本発明では、ネットワーク上で収集した時系列のトラヒックデータを高速フーリエ変換し、高速フーリエ変換した、１日、１週間、１ヶ月、１年などの予め定められた期間における結果データ（周波数成分）に対して逆フーリエ変換を行い、逆フーリエ変換結果データと高速フーリエ変換結果データとの相関値を計算し、計算した相関値と予め設定された閾値とを比較して周期性の有無を判断する。そして、周期性有りと判別したトラヒックデータを対象に、当該トラヒックデータの変動の差分を抽出し、抽出した差分が予め定められた値以上の場合に、当該ネットワークに対するサービス不能攻撃等があったものと判別し、異常トラヒックを検出する。
【発明の効果】
【００１８】
本発明によれば、入力時系列と抽出時系列を比較した際のスコアが高いものは周期的な性質が強く、スコアが低いものは周期的な性質が弱いと自動的に判定でき、これにより、周期的な性質が強いトラヒックには周期性を利用した異常トラヒック検知技術の適用が適当であると判断でき、周期的な性質が弱いトラヒックには周期性を利用しない統計手法を用いた異常トラヒック検知技術の適用ないしは固定的な閾値設定を適用すべきと判断でき、当該ネットワークに対するサービス不能攻撃等の異常トラヒックの検出を高精度に行うことが可能となる。
【図面の簡単な説明】
【００１９】
【図１】ネットワーク上におけるＤＤｏＳ攻撃を含む異常トラヒック監視システムの構成例を示す説明図である。
【図２】流量の少ないトラヒックに対する閾値設定例を示す説明図である。
【図３】流量は多いが周期性のないトラヒックに対する閾値設定例を示す説明図である。
【図４】周期性のあるトラヒックに対する閾値設定例を示す説明図である。
【図５】本発明に係るトラヒック分類システムの第１の構成例を示すブロック図である。
【図６】本発明に係るトラヒック分類システムの第２の構成例を示すブロック図である。
【図７】図５と図６における入力時系列／スペクトル分解装置の高速フーリエ変換処理例を示す説明図である。
【図８】図５と図６における特定スペクトル抽出装置の処理例を示す説明図である。
【図９】図５と図６におけるスペクトル／抽出時系列変換装置の逆高速フーリエ変換処理例を示す説明図である。
【図１０】図５と図６における入力時系列／抽出時系列比較装置の処理例を示す説明図である。
【図１１】図５と図６における入力時系列分類装置の処理例を示す説明図である。
【図１２】図６における周期特定装置の構成例を示すブロック図である。
【図１３】本発明による出力結果となるスコアを入力時系列の平均トラヒック量（横軸）と相関係数（縦軸）における各点で表した説明図である。
【図１４】本発明による分類結果例を各入力時系列と抽出時系列およびスコア（表題部）で表示した説明図である。
【図１５】本発明に係るサービス不能攻撃検知システムの構成例を示すブロック図である。
【発明を実施するための形態】
【００２０】
以下、図を用いて本発明を実施するための形態例を説明する。図５においては、本発明に係るトラヒック分類システムの構成例を示しており、本例のトラヒック分類システムは、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）や主メモリを具備したコンピュータ装置からなり、プログラムされたコンピュータ処理を実行する手段として、入力待機装置５１、入力時系列／スペクトル分解装置５２、特定スペクトル抽出装置５３、スペクトル／抽出時系列変換装置５４、入力時系列／抽出時系列比較装置５５、入力時系列分類装置５６を具備している。
【００２１】
すなわち、本例のパケット転送遅延測定周期決定システムを構成するコンピュータ装置は、ＣＰＵと主メモリの他に、表示装置、入力装置、外部記憶装置を具備し、光ディスク駆動装置等を介してＣＤ−ＲＯＭ等の記憶媒体に記録されたプログラムやデータを外部記憶装置内にインストールした後、この外部記憶装置から主メモリに読み込みＣＰＵで処理することにより、各入力待機装置５１、入力時系列／スペクトル分解装置５２、特定スペクトル抽出装置５３、スペクトル／抽出時系列変換装置５４、入力時系列／抽出時系列比較装置５５、入力時系列分類装置５６の機能を実行する。このような構成により、本例のトラヒック分類システムでは、プログラムされたコンピュータ処理によって、ネットワークにおけるトラヒックデータを収集し、トラヒックデータの変動の周期性の有無の自動的に判別を行う。
【００２２】
すなわち、入力待機装置５１により、収集したトラヒックデータを時系列で記憶装置に格納し、入力時系列／スペクトル分解装置５２により、記憶装置に格納した時系列のトラヒックデータを読み出して高速フーリエ変換し、特定スペクトル抽出装置５３により、高速フーリエ変換結果データから、予め定められた（１日、１週間、１ヶ月、１年など）周波数成分のみを抽出し、スペクトル／抽出時系列変換装置５４により、抽出した周波数成分を対象にして逆フーリエ変換し、入力時系列／抽出時系列比較装置５５により、逆フーリエ変換結果と高速フーリエ変換結果との相関値を算出し、入力時系列分類装置５６により、算出した相関値と予め定められた閾値とを比較して、収集したトラヒックデータの周期性の有無を判別する。
【００２３】
尚、入力待機装置５１においては、ＳＮＭＰ（Ｓｉｎｐｌｅ  Ｎｅｔｗｏｒｋ  Ｍａｎａｇｅｍｅｎｔ  Ｐｒｏｔｏｃｏｌ）などで取得されるＭＩＢ（Ｍａｎａｇｅｍｅｎｔ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｂａｓｅ）情報を、監視対象となるネットワークの各装置から収集する。また、入力時系列／スペクトル分解装置５２では、時系列のトラヒックデータを離散フーリエ変換し、スペクトル／抽出時系列変換装置５４では、入力時系列／スペクトル分解装置５２の出力値を逆離散フーリエ変換する。
【００２４】
以下、このような構成からなる本例のトラヒック分類システムの動作の詳細および構成の詳細等について説明する。
【００２５】
図５に示す構成により、本例のトラヒック分類システムでは、図１に示すようなネットワークにおける複数の観測地点から計測された膨大な監視トラヒックを、周期性の強度や平均トラヒック量により分類し、トラヒックの時系列の特徴に合わせた異常検出手法に振り分けられる状態にする。
【００２６】
本トラヒック分類システムへの入力は、監視項目名ないしは識別番号と、該当項目の監視トラヒック量時系列の組み合わせからなる時系列データである。以降、前述の組み合わせからなる時系列データを１本、２本、…と数える。また、本例においては、１本以上の時系列データを同時に入力可能である。
【００２７】
具体的には、以下の手順によって入力時系列の特長を分類し、判定結果を入力時系列の識別番号に付与する。本例では分類方法として周期性の強弱を判定するため、まず周期性の強度をスコア化する。
【００２８】
前述の非特許文献３に挙げられる高速フーリエ変換を利用することで、入力波形を周波成分のスペクトルに分解する。分解した周波成分の中から、多重トラヒックに特徴的な周波成分を抽出する。抽出した周波成分のみを用いて逆高速フーリエ変換を実施し、入力波形の中の周期波形を得る。
【００２９】
そして最後に、抽出された周期波形と入力波形の比較により、一致度の高さを、相関係数に基づく計算により、０〜１の実数値でスコア化、すなわち周期性の強度を定量化する。さらに、予め指定される閾値を用い、時系列の周期性の強さに応じたラベルを時系列の識別番号と対にして出力する。
【００３０】
例えば、周期性の強さを５段階に表す場合、スコアが０以上０．２未満の時系列にはラベルとして「１」を付与して（該当時系列の識別番号，１）と出力し、スコアが０．２以上０．４未満の時系列にはラベルとして「２」を付与して（該当時系列の識別番号，２）と出力するといったように、予め指定される閾値とスコアの比較により判定を行っていく。これにより、入力時系列の周期性の強度が判定される。
【００３１】
本例においては、ＳＮＭＰ（Ｓｉｎｐｌｅ  Ｎｅｔｗｏｒｋ  Ｍａｎａｇｅｍｅｎｔ  Ｐｒｏｔｏｃｏｌ）などで取得されるＭＩＢ（Ｍａｎａｇｅｍｅｎｔ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｂａｓｅ）情報が監視対象となるネットワークの各装置から収集されていることを前提とする。
【００３２】
収集された各ＭＩＢ情報は、パケット数やバイト数といった監視項目ごとの時系列へと変換が可能で、本例においては、この各時系列が入力となる。出力は、周期性の強さを表すスコアであり、入力された時系列ごとに算出される。
【００３３】
本例のトラヒック分類システムでは、図５に示したように、入力待機装置５１が、複数の入力時系列を受け付け、一旦保持した後に、一つ一つの時系列を順次以降の装置へと送り出す。
【００３４】
入力時系列／スペクトル分解装置５２は、入力待機装置５１から送られてきた一本の入力時系列を周波成分に分解し、スペクトル抽出装置５３は、入力時系列／スペクトル分解装置５２によって分解された周波成分から、予め指定される周期の周波成分を抽出し、スペクトル／抽出時系列変換装置５４は、スペクトル抽出装置５３で抽出された周波成分からなるスペクトルを時系列へと再変換し、入力時系列／抽出時系列比較装置５５は、スペクトル／抽出時系列変換装置５４によって出力された抽出時系列と元々の入力時系列とを予め定められる関数によってスコア化し、入力時系列分類装置５６は、スコアの大きさに応じて入力時系列の識別番号に判定結果を付与する。
【００３５】
尚、ここに付加される装置として、スペクトル抽出装置５３に入力する設定値（抽出すべき周期）を計算する周期特定装置があり、これを組み合わせると図６に示した構成となる。
【００３６】
図５の例においては、入力時系列／スペクトル分解装置５２として高速フーリエ変換（ＦＦＴ：Ｆａｓｔ  Ｆｏｕｒｉｅｒ  Ｔｒａｎｓｆｏｒｍ）、スペクトル／抽出時系列変換装置５４として逆高速フーリエ変換（ＩＦＦＴ：Ｉｎｖｅｒｓｅ  ＦＦＴ）を用いる。
【００３７】
スペクトル抽出装置５３は、予め設定される周期の周波成分のみを残し、それ以外の周波成分のスペクトル強度を０にセットする。入力時系列／抽出時系列比較装置５５では、二つの時系列の相関係数を計算し周期性の強さを表すスコアとする。
【００３８】
このような構成により、具体的には以下の動作に従う。
【００３９】
まず、ＭＩＢ情報から変換された時系列を｛ｘ＿０，ｘ＿１，…，ｘ＿｛ｎ−１｝｝とあらわす。この時系列は、１分毎や５分毎に集計される平均パケット数や平均バイト数の時間変動を表す。例えば、２時間分のデータを観測したとき、集計が１分毎であればｎ＝１２０の時系列となり、５分毎であればｎ＝２４の時系列となる。
【００４０】
この時系列を、同時に一本ないしは複数本を入力として受け付け、入力待機装置５１にて記憶装置に一時保持する。以降の処理は、入力待機装置５１から一本一本出力される時系列に対し、それぞれ行われる。
【００４１】
入力待機装置５１から出力された時系列を、入力時系列／スペクトル分解装置５２におけるＦＦＴによってスペクトルに分解する。
【００４２】
この処理を図７を用いて説明する。
【００４３】
まず、ＦＦＴを適用する際に、入力時系列の長さは２のべき乗とするため、ＦＦＴに使用するデータは、入力時系列の長さ以下で、かつ、最大で２のべき乗長までの区間｛ｘ＿０，ｘ＿１，…，ｘ＿｛（２＾ｋ）−１｝｝（２＾ｋ≦ｎ）を切り出して使用する（Ｓ７０１：入力時系列成型）。
【００４４】
切り出した入力波形をＦＦＴに入力して周波成分に分解する（Ｓ７０２：高速フーリエ変換（ＦＦＴ））。
【００４５】
以降では、ＦＦＴにてスペクトル分解された周波成分を｛ｆ＿０，ｆ＿１，…，ｆ＿｛（２＾ｋ）−１｝｝と表す。尚、｛ｆ＿０，ｆ＿１，…，ｆ＿｛（２＾ｋ）−１｝｝の添え字は入力時系列｛ｘ＿０，ｘ＿１，…，ｘ＿｛（２＾ｋ）−１｝｝上に現れる周波成分の周波数に対応する。
【００４６】
具体的には、ｆ＿０は周波数なし、すなわち、定常成分で、ｆ＿１は周波数１、すなわち周期２＾ｋで、ｆ＿２は周波数２、すなわち周期２＾（ｋ−１）である。以降、同様の対応で、ｊ番目の項目ｆ＿ｊは周期（２＾ｋ）／ｊとなる。また、それぞれの周波成分は、その周波数の波の強度と位相の情報を持っている。
【００４７】
このように、入力時系列／スペクトル分解装置５２において、ＦＦＴでスペクトルに分解した後、特定スペクトル抽出装置５３によって、スペクトルを抽出する。処理の内容を図８を用いて説明する。
【００４８】
ここで抽出するスペクトルは、設定値として予め指定する周波成分とする（設定周期）。
【００４９】
ネットワークトラヒックのように、人間の生活サイクルに強く依存する周期を持つ時系列であれば、ここで抽出する周波成分は、周期に換算して１週間や１日に相当するスペクトルとなる。
【００５０】
例えば、入力時系列となるＭＩＢ情報が５分毎の集計データであり、その長さがｎ＝４０９６点であるとする。このとき、周波成分として分解される周期は、５分×４０９６点の約２週間（ｆ＿１として取り出される）を最大として、ｆ＿２が約１週間、ｆ＿３が約５日となる。従って、１週間と１日の周波成分を取り出す場合は、ｆ＿２とｆ＿１４を指定すればよい。
【００５１】
ここで指定された周波成分以外は、波の強度が「０」として｛ｆ＿０，ｆ＿１，…，ｆ＿｛（２＾ｋ）−１｝｝を書き換える（Ｓ８０１：スペクトル抽出）。これを改めて｛ｆ’＿０，ｆ’＿１，…，ｆ’＿｛（２＾ｋ）−１｝｝と表す。
【００５２】
この図８の処理により特定スペクトル抽出装置５３においてスペクトルを抽出した後、スペクトル／抽出時系列変換装置５４におけるＩＦＦＴにより、時系列へと逆変換を行う。この処理を図９を用いて説明する。
【００５３】
ここでは、特定周波成分以外の強度が０に書き換えられたスペクトル、すなわち｛ｆ’＿０，ｆ’＿１，…，ｆ’＿｛（２＾ｋ）−１｝｝が入力となる。この抽出スペクトルをＩＦＦＴに入力して、時系列に変換する（Ｓ９０１：逆高速フーリエ変換（ＩＦＦＴ））。
【００５４】
以降では、ＩＦＦＴによりスペクトルから変換された時系列を｛ｙ＿０，ｙ＿１，…，ｙ＿｛（２＾ｋ）−１｝｝とあらわし、「抽出時系列」と呼ぶ。
【００５５】
そして、入力時系列／抽出時系列比較装置５５によって、両者の類似度をスコアにする。この入力時系列／抽出時系列比較装置５５による処理内容を図１０を用いて説明する。
【００５６】
ここでは、入力時系列／スペクトル分解装置５２が出力した入力時系列｛ｘ＿０，ｘ＿１，…，ｘ＿｛（２＾ｋ）−１｝｝と、スペクトル／抽出時系列変換装置５４が出力した抽出時系列｛ｙ＿０，ｙ＿１，…，ｙ＿｛（２＾ｋ）−１｝｝の相関係数をスコアとする（Ｓ１００１：相関係数計算）。
【００５７】
抽出時系列は、入力時系列の中の１週間や１日と言った、特定スペクトル抽出装置５３においてスペクトル抽出時に指定した周期波からなり、入力時系列の周期性が強い場合は抽出時系列との相関が高くなる。
【００５８】
この入力時系列／抽出時系列比較装置５５によって出力されたスコアを用いて、最後に、入力時系列分類装置５６において、スコアと予め定められた閾値とを比較し、入力トラヒックの識別番号に判定結果を付与する。この入力時系列分類装置５６による処理内容を図１１を用いて説明する。
【００５９】
閾値は、網設計ポリシーに基づいて予め設定される数値であり、入力時系列分類装置５６は、入力時系列／抽出時系列比較装置５５から出力されるスコアと閾値を比較し、スコアが閾値を下回る場合は周期性が弱いと判定し、スコアが閾値を上回る場合は周期性が強いと判定する（Ｓ１１０１：スコア／閾値比較装置）。
【００６０】
この閾値は、スコアの算出が相関係数に基づく処理である場合、０．７程度の数値を用いればよい。また、複数の閾値を用いて、複数通りに分類しても良い。さらに、スコアが閾値を下回るトラヒックに対して、時系列の値が０になるものとならないもの、ないしは時系列の平均値が別に定める閾値以上か閾値未満かでさらに振り分けてもよい。この別に定める閾値も網設計ポリシーに基づいて予め設定される数値とする。
【００６１】
この入力時系列分類装置５６による判定結果は、入力トラヒックの識別番号と、予め定められる設定により判定結果に対応付けられる文字列の組み合わせで出力される。
【００６２】
このようなトラヒック分類システムにおいては、図６に示す構成のように、入力待機装置６１、入力時系列／スペクトル分解装置６２、特定スペクトル抽出装置６３、スペクトル／抽出時系列変換装置６４、入力時系列／抽出時系列比較装置６５、入力時系列分類装置６６と共に、特定スペクトル抽出装置６３に入力する設定値を算出する周期特定装置６７を組み合わせることができる。
【００６３】
周期特定装置６７の構成を図１２に示す。具体的には、入力時系列和算装置７１により、分類対象となる全ての時系列を入力とし、全てを時刻ごとに足し合わせて一つの時系列を作る。
【００６４】
その後、周期特定装置６７における入力時系列／スペクトル分解装置７２へ入力時系列として入力し、入力時系列／スペクトル分解装置７２において、周波成分へと分解する。
【００６５】
そして、スペクトル強度上位選別装置７３により、分解した周波成分のスペクトル強度の高いものから、予め指定される個数分の周波成分ｆ＿ｊを指定するｊの集合、ないしは周波成分のスペクトル強度の高いものから選び出して行き、スペクトル強度の和が予め指定される数値以上となる周波成分ｆ＿ｊを指定するｊの集合を、図６における特定スペクトル抽出装置６３に入力するための設定値として出力する。
【００６６】
これにより、多重されたトラヒックに顕著な周波成分を自動的に判別することができ、手動で設定すべき項目の入力を省略できる。
【００６７】
さらに、本例のトラヒック分類システムにおいては、入力時系列／スペクトル分解装置５２，６２として離散フーリエ変換（ＤＦＴ）を用い、スペクトル／抽出時系列変換装置５４，６４として逆離散フーリエ変換（ＩＤＦＴ）を用いる。
【００６８】
これにより、入力長を２のべき乗に調整する必要がなくなる。この結果、丁度１週間ないしは１ヶ月といった長さの時系列を入力として周波成分に分解でき、出力される周期を１週間ないしは１ヶ月の１／ｊ倍とすることができる。
【００６９】
このように、本例のトラヒック分類システムによれば、入力時系列と抽出時系列を比較した際のスコアが高いものは周期的な性質が強く、スコアが低いものは周期的な性質が弱いと判定できる。これにより、周期的な性質が強いトラヒックには、周期性を利用した異常検知手法の適用が適当であると判断することができ、周期的な性質が弱いトラヒックには、周期性を利用しない統計手法を用いた異常検知手法の適用ないしは固定的な閾値設定を適用すべきと判断することが可能となる。
【００７０】
以下、さらに、数式等を用いて、より具体的に、本例のトラヒック分類システムの詳細を説明する。
【００７１】
図５に示すトラヒック分類システムにおける入力時系列は、ＳＮＭＰで取得されたＭＩＢ情報などを、予め観測項目ごと（パケット数やバイト数）の時系列に成型したものである。
【００７２】
ここでは、ｚ個の監視先から５分毎に収集された２０日分のバイト数時系列を例として取り上げる。以降では、この時系列を添え字ｍ＝１〜ｚで識別して、｛ｘｍ＿０，ｘｍ＿１，…，ｘｍ＿｛ｎ−１｝｝と標記する。ここで、ｎは「１２点（一時間当たりの時系列数）×２４時間×２０日＝５７６０点」である。
【００７３】
まず、第１の実施例として以下説明する。
【００７４】
最初に、入力時系列の分類を行う場合を説明する。なお、抽出するスペクトルの設定値は、「ｆ＿０、ｆ＿２、ｆ＿４、ｆ＿１４、ｆ＿２８」とする。これは、入力時系列が４０９６点の場合の定常成分（ｆ＿０）、１週間周期成分（ｆ＿２）、半週間周期成分（ｆ＿４）、一日周期成分（ｆ＿１４）、半日周期成分（ｆ＿２８）を取り出す設定に相当する。
【００７５】
本例のトラヒック分類システムでは、ｚ本の入力時系列を入力待機装置５１に保持し、順次１本ずつ処理を行う。ここでは、ｍ番目の時系列の処理を説明する。
【００７６】
ｍ番目の入力時系列を、入力時系列／スペクトル分解装置５２に入力する。入力時系列／スペクトル分解装置５２では、図７に示すように、入力時系列を高速フーリエ変換で処理するために、まず入力時系列の長さが入力点数ｎを超えない最大の２＾ｋ個となるように成型する（Ｓ７０１）。
【００７７】
すなわち、ｎ＝５７６０であれば、２＾１２＝４０９６であり、フーリエ変換を行う入力時系列は｛ｘｍ＿０，ｘｍ＿１，…，ｘｍ＿４０９５｝となる。
【００７８】
また、高速フーリエ変換は、以下の数１に示す式で定義される。ここで、ｉは虚数単位を表す。
【００７９】
【数１】
2010283668.tif 000003
【００８０】
以降、上述のフーリエ変換によって算出されたスペクトルを｛ｆ＿０，ｆ＿１，…，ｆ＿｛（２＾ｋ）−１｝｝で表す。
【００８１】
特定スペクトル抽出装置５３では、予め設定された周波成分以外をｆ＿ｊ＝０と置き換える。また、置き換えたスペクトルを｛ｆ’＿０，ｆ’＿１，…，ｆ’＿｛（２＾ｋ）−１｝｝と表す。これにより、設定値の周波成分のみが抽出される。
【００８２】
抽出されたスペクトルを、スペクトル／抽出時系列変換装置５４において、図９に示す逆高速フーリエ変換を行うことにより、特定の周波成分のみからなる抽出時系列を得る。ここで、逆高速フーリエ変換は以下の数２に示す式で定義される。
【００８３】
【数２】
2010283668.tif 000004
【００８４】
以降、抽出スペクトル｛ｆ’＿０，ｆ’＿１，…，ｆ’＿｛（２＾ｋ）−１｝｝から上述の逆フーリエ変換によって算出された抽出時系列を｛ｙｍ＿０，ｙｍ＿１，…，ｙｍ＿｛（２＾ｋ）−１｝｝で表す。
【００８５】
抽出時系列が得られた後、入力時系列／抽出時系列比較装置５５において、入力時系列と比較して類似度合いをスコア化する。ここでは、以下の数３で定義される相関係数をスコアとして用いる。
【００８６】
【数３】
2010283668.tif 000005
【００８７】
本例のトラヒック分類システムにおける入力時系列／抽出時系列比較装置５５によるスコア化の結果を図１３に示す。なお、スコアは０〜１の間の実数値を取るように必要に応じて正規化する。
【００８８】
この相関係数により算出されるスコアは、入力時系列と抽出時系列の類似性が強いと１に近い数値となり、類似性が弱いと０に近い数値となる。すなわち、抽出時系列は周期的な特徴を強く持った時系列になっているため、スコアが高いと元々の入力時系列も周期的な特徴が強いと判定できる。
【００８９】
入力時系列分類装置５６においては、以上で算出されたスコアを予め設定される閾値と比較し、スコアが閾値を上回れば周期性が強いと分類し、そうでなければ周期性が弱いと分類する。
【００９０】
本例のトラヒック分類システムの処理による効果の一例として、算出されたスコアと入力時系列の周期性の関係を図１４に示す。なお、相関係数をスコアとして用いる場合、閾値は０．６〜０．７の間に設定すると良い。
【００９１】
次に、第２の実施例を以下説明する。
【００９２】
本第２の実施例では、図６に示すように、特定スペクトル抽出装置６３に入力する設定値を、周期特定装置６７で算出する。
【００９３】
この周期特定装置６７では、ｚ個の入力時系列を、図１２に示す入力時系列和算装置７１に入力する。入力時系列和算装置７１では、下記の数４に示す式のとおりに、時刻ごとの値を和算し、一つの時系列を出力する。
【００９４】
【数４】
2010283668.tif 000006
【００９５】
そして、上述の処理で得られた時系列｛ｘ＿０，ｘ＿１，…，ｘ＿｛ｎ−１｝｝を入力時系列／スペクトル分解装置７２に入力する。入力時系列／スペクトル分解装置７２における処理で得られたスペクトル｛ｆ＿０，ｆ＿１，…，ｆ＿｛ｎ−１｝｝のうち、定常成分であるｆ＿０の強度を０に置き換え、残りのｆ＿１，ｆ＿２，…，ｆ＿｛ｎ−１｝の強度の和が１となるように正規化を行う。
【００９６】
その後、スペクトル強度上位選択装置７３において、ｆ＿１，ｆ＿２，…，ｆ＿｛ｎ−１｝の強度が大きい順に周波成分を足して行き、和が予め指定された設定強度を上回ったら、足し込んだ周期成分を示す周期（定常成分の０を含んだ１〜ｎ−１の値の集合）を、図６における特定スペクトル抽出装置６３用の設定値として書き出す。
【００９７】
これにより、多重されたトラヒックにおいて特徴的な周期の自動抽出が可能となり、抽出したい周期を手動で設定する必要がなくなる。
【００９８】
次に、第３の実施例について以下に説明する。
【００９９】
本実施例では、本例のトラヒック分類システムを、図１に示した異常トラヒック監視制御システムにおける異常検知システムの一部として動作させる場合を説明する。構成例を図１５に示す。この図１５における異常検知システムは、プログラムされたコンピュータ処理を実行する手段として、トラヒック情報計測装置（以下および図中「計測ポイント（１）〜（４）」と記載）（１）１５０ａ〜（４）１５０ｄ、トラヒック記憶装置１５１、トラヒック分類装置１５２、トラヒック振分装置１５３、異常検知装置（１）１５４〜（３）１５６を具備している。尚、計測ポイント（１）１５０ａ〜（４）１５０ｄ、トラヒック記憶装置１５１、トラヒック分類装置１５２、トラヒック振分装置１５３、異常検知装置（１）１５４〜（３）１５６のそれぞれは、ＣＰＵと主メモリ等を具備したコンピュータ装置からなり、例えば、具備した光ディスク駆動装置等を介してＣＤ−ＲＯＭ等の記憶媒体に記録されたプログラムやデータを外部記憶装置内にインストールした後、この外部記憶装置から主メモリに読み込みＣＰＵで処理することにより、各装置の機能を実行する。
【０１００】
ここで、ネットワークの各計測ポイント（１）１５０ａ〜（４）１５０ｄから取得されるトラヒック情報は、パケット数やバイト数、同時接続セッション数などとする。
【０１０１】
これらトラヒック情報は、予め指定される期間（例えば１分毎や５分毎）により定期的に取得され、別に用意されるトラヒック記憶装置１５１において、監視項目ごとに蓄えられ、時系列へと成型される。
【０１０２】
時系列の長さは、トラヒック記憶装置１５１の記憶容量にも依存するが、各監視項目につき予め設定される期間（１ヶ月など）分を記憶し、古いデータから順次消去されていく。
【０１０３】
なお、各時系列には、各計測ポイント（１）１５０ａ〜（４）１５０ｄの監視項目に対応する識別番号が付与されているとする。
【０１０４】
本例の異常検知システムは、２つ以上の異常検知装置を有しているとする。図１５においては、３つの異常検知装置（１）１５４〜（３）１５６を有しているものとする。例えば、前述の非特許文献３に挙げられる周期性を利用した異常検知アルゴリズムに基づく装置や、特許文献２に挙げられる周期性を利用しない統計情報に基づく異常検知アルゴリズムに基づく装置である。本例では、各計測ポイントをどの異常検知装置で監視するかの判定に利用される。
【０１０５】
予め指定される更新期間（例えば１週間毎や１ヵ月毎）が経過すると、トラヒック記憶装置１５１中の各時系列を、図５，６に示した本例のトラヒック分類システムとしてのトラヒック分類装置１５２に入力する。このとき、各時系列にはどの計測ポイントのどんなデータ（パケット数やバイト数）かが識別できるように番号がつけられている。
【０１０６】
トラヒック分類装置１５２では、入力された時系列を分析し、予め指定される閾値に基づいて周期性の強度によって時系列の分類を行う。その後、該当時系列に対応する識別番号と周期性の強度のラベルを対にして出力する。
【０１０７】
トラヒック分類装置１５２から出力された識別番号とラベルの対は、トラヒック振分装置１５３に入力され、トラヒック振分装置１５３は、識別番号に相当する計測ポイントで取得されるトラヒックを、ラベルに対応する異常検知装置（１）１５４〜（３）１５６に入力するように切り替え操作を行う。
【０１０８】
ただし、実際には、ラベルが変化した識別番号のみ、監視装置の変更処理を行う。また、本装置により付与されるラベルと異常検知装置の対応付けは予め設定として指定しておく。
【０１０９】
これにより、各時系列の周期性の強弱に合わせた異常検知方法の見直しが定期的に実施され、異常検知システム全体として精度の向上が可能となる。
【０１１０】
例えば、図５，６におけるトラヒック分類システムが入力時系列分類装置５６，６６により周期性有りと判別したトラヒックデータを対象に、当該トラヒックデータの変動の差分を抽出し、抽出した差分が予め定められた値以上の場合には、ネットワークに対するサービス不能攻撃等があり、異常トラヒックとなったものと判別する。
【０１１１】
以上、図１および図５〜図１５を用いて説明したように、本例では、ネットワーク上で収集した時系列のトラヒックデータを高速フーリエ変換し、高速フーリエ変換した、１日、１週間、１ヶ月、１年などの予め定められた期間における結果データ（周波数成分）に対して逆フーリエ変換を行い、逆フーリエ変換結果データと高速フーリエ変換結果データとの相関値を計算し、計算した相関値と予め設定された閾値とを比較して周期性の有無を判断する。
【０１１２】
すなわち、入力である監視情報の時系列データを高速フーリエ変換するし、この出力値を逆フーリエ変換し、入力値と逆フーリエ変換の出力値において、予め設定された周波数成分における相関を計算し、この計算値と予め設定された閾値とを比較して周期性の有無を判断する。
【０１１３】
特に、高速フーリエ変換の処理では、入力である監視情報の時系列データを離散フーリエ変換し、逆フーリエ変換の処理では、出力値を逆離散フーリエ変換する。
【０１１４】
そして、周期性の有無の判断結果を用いて、監視トラヒックからのサービス不能攻撃の検知を行う。すなわち、上述の処理により、周期性を有すトラヒック変動を抽出すると、周期性有りと判別したトラヒックデータを対象に、当該トラヒックデータの変動の差分を抽出し、抽出した差分が予め定められた値以上の場合に、当該ネットワークに対するサービス不能攻撃等があったものと判別し、異常トラヒックを検出する。
【０１１５】
このように、本例の技術によれば、入力時系列と抽出時系列を比較した際のスコアが高いものは周期的な性質が強く、スコアが低いものは周期的な性質が弱いと自動的に判定でき、これにより、周期的な性質が強いトラヒックには周期性を利用した異常トラヒック検知技術の適用が適当であると判断でき、周期的な性質が弱いトラヒックには周期性を利用しない統計手法を用いた異常トラヒック検知技術の適用ないしは固定的な閾値設定を適用すべきと判断でき、当該ネットワークに対するサービス不能攻撃等の異常トラヒックの検出を高精度に行うことが可能となる。
【０１１６】
尚、本発明は、図１および図５〜図１５を用いて説明した例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能である。例えば、本例では図１に示すようにインターネットを対象として説明したが、イントラネット等の他のネットワークにおけるトラヒック測定および異常トラヒック検知にも適用することができる。
【０１１７】
また、図５におけるトラヒック分類システムおよび図１５における異常検知システムを構成する各装置へのプログラムのインストールに用いる記録媒体としてはＦＤ（Ｆｌｅｘｉｂｌｅ  Ｄｉｓｋ）を用いることでも良いし、通信装置を介してネットワーク経由でプログラムをダウンロードしてインストールすることでも良い。
【符号の説明】
【０１１８】
５１，６１：入力待機装置、５２，６２：入力時系列／スペクトル分解装置、５３，６３：特定スペクトル抽出装置、５４，６４：スペクトル／抽出時系列変換装置、５５，６５：入力時系列／抽出時系列比較装置、５６，６６：入力時系列分類装置、６７：周期特定装置、７１：入力時系列和算装置、７２：入力時系列／スペクトル分解装置、７３：スペクトル強度上位選別装置、１５０ａ〜１５０ｄ：ネットワークの各計測ポイント（１）〜（４）、１５１：トラヒック記憶装置、１５２：トラヒック分類装置、１５３：トラヒック振分装置、１５４〜１５６：異常検知装置（１）〜（３）。
【図１】
2010283668.tif 000007
【図２】
2010283668.tif 000008
【図３】
2010283668.tif 000009
【図４】
2010283668.tif 000010
【図５】
2010283668.tif 000011
【図６】
2010283668.tif 000012
【図７】
2010283668.tif 000013
【図８】
2010283668.tif 000014
【図９】
2010283668.tif 000015
【図１０】
2010283668.tif 000016
【図１１】
2010283668.tif 000017
【図１２】
2010283668.tif 000018
【図１３】
2010283668.tif 000019
【図１４】
2010283668.tif 000020
【図１５】
2010283668.tif 000021