(57)【要約】【課題】暗号化又は隠蔽化されたトラフィックのセッション数及び対応アプリケーションを推定することができるネットワーク機器、及びネットワーク情報の推定方法が望まれていた。【解決手段】暗号化又は隠蔽化されたフローを抽出するフロー抽出部１０２と、抽出されたフローをスペクトル解析し、該スペクトル解析結果とトラフィック量とに基づいて総セッション数を推定し、既知アプリケーションＤＢ１０４に記録された既知アプリケーションのスペクトル解析結果のうち、フローのスペクトル解析結果と特徴周波数が重複する既知アプリケーションのスペクトル解析結果を抽出し、抽出した既知アプリケーションのスペクトル解析結果と総セッション数とに基づき、フローに対応する１又は複数のアプリケーションと、当該アプリケーション毎のセッション数とを推定する推定部１０３とを備えたものである。【選択図】図１
2010135871.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに接続されるネットワーク機器であって、
暗号化又は隠蔽化された既知のアプリケーションのトラフィックがそれぞれスペクトル解析され、少なくとも特徴周波数の情報を含むスペクトル解析結果が記録された既知アプリケーションデータベースと、
前記ネットワークに流れるトラフィックを収集するトラフィックキャプチャー部と、
前記トラフィックキャプチャー部により収集されたトラフィックのうち、暗号化又は隠蔽化されたフローを抽出するフロー抽出部と、
前記フロー抽出部により抽出されたフローをスペクトル解析し、該スペクトル解析結果とトラフィック量とに基づいて総セッション数を推定し、
前記既知アプリケーションデータベースに記録された既知アプリケーションのスペクトル解析結果のうち、前記フローのスペクトル解析結果と特徴周波数が重複する既知アプリケーションのスペクトル解析結果を抽出し、
抽出した前記既知アプリケーションのスペクトル解析結果と前記総セッション数とに基づき、前記フローに対応する１又は複数のアプリケーションと、当該アプリケーション毎のセッション数とを推定する推定部と
を備えたことを特徴とするネットワーク機器。
【請求項２】
前記推定部は、
前記フロー抽出部により抽出されたフローのパケットサイズ及びパケット到着間隔の情報に基づき、前記フローをスペクトル解析し、
該スペクトル解析の結果から、所定値以上の強さを有する特徴周波数と、該特徴周波数における強さとを抽出し、
前記特徴周波数における強さと、当該フローのトラフィック量とに基づいて前記総セッション数を推定することを特徴とする請求項１記載のネットワーク機器。
【請求項３】
前記推定部は、
前記既知アプリケーションデータベースから抽出した既知アプリケーションのスペクトル解析結果を、総数が前記総セッション数となるように、それぞれ１又は複数組合せて加算し、該加算した既知アプリケーションのスペクトル解析結果と、前記フローのスペクトル解析結果との乖離度を求め、
前記既知アプリケーションのスペクトル解析結果を加算した組合せのうち、前記乖離度が最も小さい組合せにおける前記既知アプリケーション毎の加算数を、前記アプリケーション毎のセッション数の推定値とすることを特徴とする請求項１又は２記載のネットワーク機器。
【請求項４】
前記推定部は、
前記総セッション数を所定の範囲内で加算又は減算して、前記総セッション数を更新し、
該更新した総セッション数を用いて、前記アプリケーション毎のセッション数を繰り返し推定し、
前記乖離度が最も小さくなる前記総セッション数、及び当該総セッション数における前記アプリケーション毎のセッション数を、前記総セッション数の推定値、及び前記アプリケーション毎のセッション数の推定値とすることを特徴とする請求項３記載のネットワーク機器。
【請求項５】
前記既知アプリケーションデータベースは、
１若しくは複数の暗号化方式により暗号化され、又は／及び、１若しくは複数の隠蔽化方式により隠蔽化された、１又は複数の既知のアプリケーションのトラフィックが、それぞれスペクトル解析され、所定値以上の強さを有する特徴周波数の情報と、該特徴周波数における強さの情報とが、前記スペクトル解析結果として記録されることを特徴とする請求項１〜４の何れかに記載のネットワーク機器。
【請求項６】
前記既知アプリケーションデータベースは、
前記スペクトル解析結果が、更新可能又は／及び追加可能に記録されることを特徴とする請求項１〜５の何れかに記載のネットワーク機器。
【請求項７】
前記既知アプリケーションデータベースは、
前記スペクトル解析結果が、更新不可能又は／及び追加不可能に記録されることを特徴とする請求項１〜５の何れかに記載のネットワーク機器。
【請求項８】
ネットワークを流れる暗号化又は隠蔽化トラフィックのセッション数及び対応アプリケーションを推定するネットワーク情報の推定方法であって、
前記ネットワークに流れるトラフィックを収集するステップと、
収集された前記トラフィックのうち、暗号化又は隠蔽化されたフローを抽出するステップと、
抽出された前記フローをスペクトル解析し、該スペクトル解析結果とトラフィック量とに基づいて総セッション数を推定するステップと、
予め記憶された、暗号化又は隠蔽化された既知のアプリケーションのトラフィックがそれぞれスペクトル解析され、少なくとも特徴周波数の情報を含むスペクトル解析結果のうち、前記フローのスペクトル解析結果と特徴周波数が重複する既知アプリケーションのスペクトル解析結果を抽出するステップと、
抽出された前記既知アプリケーションのスペクトル解析結果と前記総セッション数とに基づき、前記フローに対応する１又は複数のアプリケーションと、当該アプリケーション毎のセッション数とを推定するステップと
を有することを特徴とするネットワーク情報の推定方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークに流れるトラフィックのうち、暗号化又は隠蔽化されたトラフィックのセッション数及び対応アプリケーションを推定する技術に関するものである。
【背景技術】
【０００２】
従来のネットワークでは、ユーザー同士が通信し合うトラフィックを暗号化・隠蔽化するためのインフラが少なく、ネットワーク管理においてはそれらを気にする必要はなかった。
しかし、昨今、Ｐ２Ｐ（Ｐｅｅｒ  ｔｏ  Ｐｅｅｒ）ソフトウェアが多数開発され、それらのトラフィックがネットワーク管理者にとって無視できない量になっており、そのための設備投資や、それらのインフラを用いた著作権侵害や情報漏えいなどの問題が発生している。
一般に、これらの問題に対する装置は、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）のように、トラフィックを解析して遮断することが最善とされていたが、暗号化や隠蔽化などにより、容易にトラフィックを解析することができず、ネットワーク管理者を悩ませている。
【０００３】
従来の技術として、例えば非特許文献１に、既存の非暗号化プロトコルが、暗号化された際にどのようなトラフィック挙動を示すかを調査したものがある。
【０００４】
また、例えば特許文献１に、「暗号化プロセスを識別するインデックスを与えること；シグナリング・メッセージ中に前記インデックスを含ませること」が提案されている（請求項１参照）。
【０００５】
また、例えば特許文献２に、「暗号化プロトコルを使用するＷＬＡＮ無線通信においても、音声トラフィックの通信品質の良否を判定できる監視トラフィック通信品質監視装置」が提案されている（要約参照）。
【０００６】
【特許文献１】特表２００８−５０７２０９号公報
【特許文献２】特開２００７−２８５２６号公報
【非特許文献１】“On Inferring Application Protocol Behaviors in Encrypted Network Traffic", The Journal of Machine Learning Research, Volume 7 ,  (December 2006)  table of contents, Pages: 2745 - 2769 , 2006
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、従来の技術においては、暗号化又は隠蔽化されたトラフィックが、どのくらいの数のセッションが束ねられたものであり、どういった種類の通信プロトコル（アプリケーション）のデータであるのか、ということが分からない。そのため、ネットワーク管理者にとって、遮断すべきトラフィックなのか、何らかの対策をとらないといけないトラフィックなのか、あるいは通常のユーザートラフィックであり安全なものであるのかの区別ができない、という問題点があった。
【０００８】
上記非特許文献１に記載の技術は、既存の非暗号化プロトコルが、暗号化された際にどのようなトラフィック挙動を示すかを調査したものであり、１つのフローが暗号化されたフローであれば元プロトコルの推定ができる可能性が示されている。
しかしながら、複数のセッションが１つの暗号化フローに含まれている場合は、切り分けられない、という課題がある。
【０００９】
また、上記特許文献１に記載の技術は、予め暗号化の際にフロー毎にインデックスをつけておくことで、暗号化されたトラフィックのフローを管理できるようにしたものである。
しかしながら、この基準に沿わない形で暗号化されたフローの識別はできない、という課題がある。
【００１０】
また、上記特許文献２に記載の技術は、無線ＬＡＮの上で、暗号化された音声パケットの通信品質を、パケット到着間隔の周波数解析によって管理しようとするものである。
しかしながら、目的が無線ＬＡＮの揺らぎを周波数の揺らぎにより検出しようとするものであり、どういったプロトコルが利用されているか、何セッション含まれているのか、などの解析をすることができない、という課題がある。
【００１１】
そのため、暗号化又は隠蔽化されたトラフィックのセッション数及び対応アプリケーションを推定することができるネットワーク機器、及びネットワーク情報の推定方法が望まれていた。
【課題を解決するための手段】
【００１２】
本発明に係るネットワーク機器は、ネットワークに接続されるネットワーク機器であって、暗号化又は隠蔽化された既知のアプリケーションのトラフィックがそれぞれスペクトル解析され、少なくとも特徴周波数の情報を含むスペクトル解析結果が記録された既知アプリケーションデータベースと、前記ネットワークに流れるトラフィックを収集するトラフィックキャプチャー部と、前記トラフィックキャプチャー部により収集されたトラフィックのうち、暗号化又は隠蔽化されたフローを抽出するフロー抽出部と、前記フロー抽出部により抽出されたフローをスペクトル解析し、該スペクトル解析結果とトラフィック量とに基づいて総セッション数を推定し、前記既知アプリケーションデータベースに記録された既知アプリケーションのスペクトル解析結果のうち、前記フローのスペクトル解析結果と特徴周波数が重複する既知アプリケーションのスペクトル解析結果を抽出し、抽出した前記既知アプリケーションのスペクトル解析結果と前記総セッション数とに基づき、前記フローに対応する１又は複数のアプリケーションと、当該アプリケーション毎のセッション数とを推定する推定部とを備えたものである。
【００１３】
また、本発明に係るネットワーク情報の推定方法は、ネットワークを流れる暗号化又は隠蔽化トラフィックのセッション数及び対応アプリケーションを推定するネットワーク情報の推定方法であって、前記ネットワークに流れるトラフィックを収集するステップと、収集された前記トラフィックのうち、暗号化又は隠蔽化されたフローを抽出するステップと、抽出された前記フローをスペクトル解析し、該スペクトル解析結果とトラフィック量とに基づいて総セッション数を推定するステップと、予め記憶された、暗号化又は隠蔽化された既知のアプリケーションのトラフィックがそれぞれスペクトル解析され、少なくとも特徴周波数の情報を含むスペクトル解析結果のうち、前記フローのスペクトル解析結果と特徴周波数が重複する既知アプリケーションのスペクトル解析結果を抽出するステップと、抽出された前記既知アプリケーションのスペクトル解析結果と前記総セッション数とに基づき、前記フローに対応する１又は複数のアプリケーションと、当該アプリケーション毎のセッション数とを推定するステップとを有するものである。
【発明の効果】
【００１４】
本発明は、暗号化又は隠蔽化されたトラフィックのセッション数及び対応アプリケーションを推定することができる。
【発明を実施するための最良の形態】
【００１５】
実施の形態１．
図１は実施の形態１に係るネットワーク機器の機能ブロック図である。
図１に示すように、ネットワーク機器１０は、トラフィックキャプチャー部１０１、フロー抽出部１０２、推定部１０３、既知アプリケーションＤＢ１０４、予測結果出力部１０５を備える。
【００１６】
トラフィックキャプチャー部１０１は、ネットワークに接続され、当該ネットワークに流れているトラフィックを収集してフロー抽出部１０２に出力する。
【００１７】
フロー抽出部１０２は、例えばシグネチャベースのＩＤＳのように実装され、暗号化又は隠蔽化されていない既知のトラフィックのシグネチャを持つ。
そして、トラフィックキャプチャー部１０１により収集されたトラフィックのうち、暗号化又は隠蔽化されたフロー（暗号化セッション又はトンネルセッション）を抽出して、推定部１０３に出力する。
【００１８】
推定部１０３は、暗号化又は隠蔽化されたトラフィックの総セッション数、並びに対応アプリケーション及びアプリケーション毎のセッション数を推定する。推定動作については後述する。
【００１９】
既知アプリケーションＤＢ１０４は、予め、典型的な既知のアプリケーション（以下「既知アプリケーション」ともいう。）のトラフィックが、１又は複数の暗号化方式（例えば、ＳＳＬ、ＩＰｓｅｃ、など）で暗号化又は隠蔽化され、この暗号化又は隠蔽化されたトラフィックのそれぞれのスペクトル解析結果の周波数ピーク値（特徴周波数及び強さ）がそれぞれ保持されている。
そして、推定部１０３からの要求にしたがってＤＢを検索し、特徴周波数と同じ周波数にピークを持つアプリケーションの情報を、推定部１０３に返すものである。
【００２０】
予測結果出力部１０５は、推定部１０３により推定された、暗号化又は隠蔽化されたトラフィックの総セッション数、並びに対応アプリケーション及びアプリケーション毎のセッション数の情報を出力するものである。
この予測結果出力部１０５は画面表示のような視覚的なものでも良いし、当該ネットワーク機器１０の外部にデータを伝送するものであっても良い。
尚、推定値の情報が複数ある場合には、例えば送信元・宛先アドレスの組みなどに応じて、推定値の情報を切り替えて又は選択して、出力するようにしても良い。
【００２１】
トラフィックキャプチャー部１０１は、ＬＡＮインターフェースなどのネットワークインターフェースにより構成することができる。
フロー抽出部１０２、推定部１０３は、これらの機能を実現する回路デバイスなどのハードウェアで実現することもできるし、マイコンやＣＰＵなどの演算装置上で実行されるソフトウェアとして実現することもできる。
既知アプリケーションＤＢ１０４は、ＨＤＤ（Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅ）やフラッシュメモリなどの記憶装置で構成することができる。
予測結果出力部１０５は、推定値の情報の出力に必要なインターフェースを適宜備える。
【００２２】
次に、本実施の形態におけるネットワーク機器１０の動作について説明する。
【００２３】
まず、予め、既知アプリケーションＤＢ１０４に記録されるデータについて説明する。
【００２４】
図２は実施の形態１に係る既知アプリケーションＤＢ１０４に記録されるデータを説明する図である。
図２（ａ）に示すように、暗号化又は隠蔽化された既知アプリケーションのトラフィックについて、パケットサイズ、及びパケット到達間隔が抽出される。
次に、図２（ｂ）に示すように、パケットサイズ、パケット到着間隔などの情報を元に、当該トラフィックがフーリエ変換、Ｗａｖｅｌｅｔ変換などの手法を用いてスペクトル解析される。
また、図２（ｃ）に示すように、フィルタ処理を施して所定の閾値以下の強さ（振幅）成分が削除される。
そして、図２（ｄ）に示すように、所定の閾値以上の強さを有する特徴周波数の情報と、この特徴周波数における強さの情報とをスペクトル解析結果として取得され、このスペクトル解析結果が、図２（ｅ）に示すように、既知アプリケーションＤＢ１０４に記録される。
このようなスペクトル解析結果は、典型的な１又は複数の既知アプリケーションについてそれぞれ既知アプリケーションＤＢ１０４に記録される。
また、これら典型的な既知アプリケーションについて、１若しくは複数の暗号化方式により暗号化され、又は／及び、１若しくは複数の隠蔽化方式により隠蔽化されたトラフィックについて、それぞれスペクトル解析結果が取得され、既知アプリケーションＤＢ１０４に記録される。
【００２５】
尚、既知アプリケーションＤＢ１０４に記録されるスペクトル解析結果は、新しい暗号化方式や、新しいアプリケーションなどに対応して、適宜、新たなスペクトル解析結果を追加又は更新可能に記録するようにしても良い。
このように追加又は更新可能に記録することにより、ネットワークのトレンドに応じた新しいデータを持つ既知アプリケーションＤＢ１０４とすることができる。
【００２６】
尚、既知アプリケーションＤＢ１０４に記録されるスペクトル解析結果は、更新や追加を不可能とするように記録するようにしても良い。
このように更新や追加を不可能とすることにより、当該データベースの容量を固定とすることができ、当該ネットワーク機器のスペックに応じた容量とすることができる。また、データベースの更新を予定していない組み込みシステムとして用いる場合、動作の高速化を図ることができる。
【００２７】
次に、暗号化又は隠蔽化トラフィックのセッション数、及び対応アプリケーションを推定する動作について、図３〜図５を用いて説明する。
【００２８】
図３は実施の形態１に係るネットワーク機器１０の動作を示すフローチャートである。
図４は実施の形態１に係る入力トラフィックのスペクトル解析結果を示す図である。
図５は実施の形態１に係る既知のスペクトル解析結果の組合せを説明する図である。
【００２９】
本実施の形態１におけるネットワーク機器１０は、ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）ネットワークに接続される。このＩＰネットワークには、たくさんのパケットが流れており、１つの意味のあるパケットの時系列の集合をフローと呼び、フローの集合をトラフィックと呼ぶことにする。
【００３０】
以下、本実施の形態１におけるネットワーク機器１０の動作を図３の各ステップに基づき、図４及び図５を参照しながら説明する。
【００３１】
（Ｓ１０１）
まず、トラフィックキャプチャー部１０１は、当該ネットワーク機器１０が接続されたＩＰネットワークに流れているトラフィックを全てキャプチャー（収集）して、フロー抽出部１０２に出力する。
【００３２】
（Ｓ１０２）
フロー抽出部１０２は、トラフィックキャプチャー部１０１から入力されたトラフィックをフロー毎に分けて、既存アプリケーション識別を行い、暗号化又は隠蔽化されてないフローを破棄し、それ以外の暗号化又は隠蔽化されていると考えられるフローを推定部１０３に出力する。
【００３３】
（Ｓ１０３）
推定部１０３は、フロー抽出部１０２により抽出されたフローをスペクトル解析し、このスペクトル解析結果とトラフィック量とに基づいて、暗号化又は隠蔽化されたトラフィックに含まれるセッション数（以下「総セッション数」という。）を推定する。
【００３４】
例えば、推定部１０３は、図４（ａ）に示すように、フロー抽出部１０２により抽出されたフローから、送信元・宛先アドレスが同一の組み毎に、トラフィック量（データサイズ・ビットレート）、パケット到着間隔などの情報を抽出する。
次に、図４（ｂ）に示すように、トラフィック量（パケットサイズ）、パケット到着間隔などの情報を元に、暗号化又は隠蔽化されたフローに対して、フーリエ変換、Ｗａｖｅｌｅｔ変換などの単一フローの推定に用いられる手法を用いてスペクトル解析し、トラフィックに含まれる周期性の種類を分離する。
また、図４（ｃ）に示すように、フィルタ処理を施して所定の閾値以下の強さ（振幅）成分をカット（削除）して、所定値以上の強さを有する特徴周波数と、該特徴周波数における強さの情報を求める。
以下、フィルタ処理を施した後のスペクトル解析結果を、「抽出フローのスペクトル解析結果」と呼ぶことにする。
【００３５】
そして、推定部１０３は、特徴周波数における強さと、当該フローのトラフィック量とに基づいて総セッション数を推定する。
例えば上記スペクトル解析にフーリエ変換を用いた場合、次のように行う。
まず、送信元・宛先アドレスの組み毎に、スペクトル解析結果の特徴周波数における強さ（ピーク値）をそれぞれ所定値β（β：予め与えられる値）で割り、この割った値をそれぞれ足し合わせて算出値γを求める。
そして、当該送信元・宛先アドレスの組みのトラフィック量を算出値γで割った値が、数ｋｂｐｓ〜数Ｍｂｐｓの間であれば、当該算出値γを総セッション数の推定値とする。
尚、トラフィック量を算出値γで割った値が、数ｋｂｐｓ〜数Ｍｂｐｓの間に収まらない場合は、所定値βの値が適当でない可能性があるため、エラーである旨の情報を予測結果出力部１０５へ出力して、推定動作を終了する。
【００３６】
（Ｓ１０４）
次に、推定部１０３は、既知アプリケーションＤＢ１０４に記録された既知アプリケーションのスペクトル解析結果のうち、抽出フローのスペクトル解析結果と、特徴周波数が全て重複する既知アプリケーションのスペクトル解析結果を抽出する。
【００３７】
（Ｓ１０５）
推定部１０３は、既知アプリケーションＤＢ１０４から抽出した既知アプリケーションのスペクトル解析結果を、それぞれ１又は複数組合せ、総数が総セッション数となる組合せパターンを求める。
例えば、図５に示すように、既知アプリケーションのスペクトル解析結果（Ｘ１）をａ個、スペクトル解析結果（Ｘ２）をｂ個、同様に、スペクトル解析結果（Ｘｎ）をｚ個とし、これらの個数の総数（ａ＋ｂ＋…＋ｚ）が、上記ステップＳ１０３で推定した総セッション数となる組合せを全て求める。
【００３８】
（Ｓ１０６）
推定部１０３は、求めた組合せパターンに応じて、抽出した既知アプリケーションのスペクトル解析結果を加算する。
図５に示す例では、スペクトル解析結果（Ｘ１）＊ａ個＋スペクトル解析結果（Ｘ２）＊ｂ個＋…＋スペクトル解析結果（Ｘｎ）＊ｚ個となる。
【００３９】
そして、この加算した既知アプリケーションのスペクトル解析結果と、抽出フローのスペクトル解析結果との乖離度を求める。
この乖離度は、例えば、加算した既知アプリケーションのスペクトル解析結果における各特徴周波数での強さ（ピーク値）と、抽出フローのスペクトル解析結果における各特徴周波数での強さ（ピーク値）との差分を算出し、その差分の絶対値を乖離度の算出値とする。
【００４０】
（Ｓ１０７）
推定部１０３は、全ての組合せパターンが完了するまで、スペクトル解析結果を加算と乖離度の算出とを繰り返す。
【００４１】
（Ｓ１０８）
次に、推定部１０３は、上記ステップＳ１０６で求めた各組合せパターンのうち、乖離度が最小となる組合せパターンと、当該乖離度の情報を保持する。
【００４２】
（Ｓ１０９，Ｓ１１０）
推定部１０３は、ステップＳ１０３で求めた総セッション数を、所定の範囲内で加算又は減算して、総セッション数を更新する。
そして、所定の範囲内での更新が全て完了するまで、上記ステップＳ１０５〜Ｓ１０９を繰り返す。
【００４３】
例えば、総セッション数−（総セッション数のα％）から、総セッション数をインクリメントし、総セッション数が、総セッション数＋（総セッション数のα％）となったとき更新を完了する。このα値としては例えば３％に設定する。
尚、総セッション数を加算又は減算する所定の範囲は、これに限らず任意の範囲に設定することができる。
【００４４】
（Ｓ１１１）
次に、推定部１０３は、上記ステップＳ１０８で保持した乖離度のうち、乖離度が最も小さくなる総セッション数、及び当該総セッション数におけるアプリケーション毎のセッション数を、総セッション数の推定値、及びアプリケーション毎のセッション数の推定値として、予測結果出力部１０５に出力する。
【００４５】
このような動作を、送信元・宛先アドレスの組み毎に行い、順次、推定結果を予測結果出力部１０５に出力する。
【００４６】
予測結果出力部１０５は、推定された、総セッション数の推定値、対応アプリケーション及びアプリケーション毎のセッション数の推定値の情報を出力する。
【００４７】
このような動作により、ネットワーク管理者（オペレーター）は、暗号化又は隠蔽化されたフローの総セッション数、対応アプリケーション及びそのアプリケーション毎のセッション数を知ることができる。
そして、ネットワーク管理者（オペレーター）は、これらの情報に基づいて、送信元・宛先アドレスの組みに応じて、通信のシェーピング・遮断などを行うことになる。
【００４８】
以上のように本実施の形態においては、暗号化又は隠蔽化されたフローを抽出して、このフローをスペクトル解析して総セッション数を推定し、既知アプリケーションＤＢ１０４に記録された既知アプリケーションのスペクトル解析結果を用いて、抽出したフローに対応するアプリケーションと、当該アプリケーション毎のセッション数とを推定する。
したがって、暗号化又は隠蔽化されたトラフィックであっても、そのセッション数及び対応アプリケーションを推定することができる。
これにより、暗号化又は隠蔽化されたトラフィックに対して、ネットワーク管理者等が通信を遮断するなどの対策を可能にすることができる。
【００４９】
また、既知アプリケーションのスペクトル解析結果を、複数の組合せパターンで加算して、抽出フローのスペクトル解析結果との乖離度を求め、乖離度が最も小さい組合せにおける既知アプリケーション毎の加算数を、アプリケーション毎のセッション数の推定値とする。
このため、アプリケーション毎のセッション数の推定値を精度良く推定することができる。
【００５０】
また、総セッション数を所定の範囲内で加算又は減算して、総セッション数を更新し、この更新した総セッション数を用いて、アプリケーション毎のセッション数を繰り返し推定し、乖離度が最も小さくなる総セッション数、及び当該総セッション数におけるアプリケーション毎のセッション数を、総セッション数の推定値、及びアプリケーション毎のセッション数の推定値とする。
このため、総セッション数の推定値、及びアプリケーション毎のセッション数を精度良く推定することができる。
【００５１】
また、ＩＰネットワークに流れる暗号化又は隠蔽化されたトラフィックを、そのトラフィック量（パケットサイズ）やパケット到達間隔など、隠蔽できない要素によりスペクトル解析するので、暗号化又は隠蔽化されたトラフィックであっても、確実な推定動作を可能とする。
【００５２】
尚、本実施の形態１では、ステップＳ１０９，Ｓ１１０において、総セッション数を所定の範囲内で更新して、再度、スペクトル解析結果の加算及び乖離度の算出を行う場合を説明したが、本発明はこれに限らず、総セッション数の更新を行わずに、ステップＳ１０３で求めた総セッション数のみを用いて、対応アプリケーション及びアプリケーション毎のセッション数を推定するようにしても良い。
【図面の簡単な説明】
【００５３】
【図１】実施の形態１に係るネットワーク機器の機能ブロック図である。
【図２】実施の形態１に係る既知アプリケーションＤＢ１０４に記録されるデータを説明する図である。
【図３】実施の形態１に係るネットワーク機器の動作を示すフローチャートである。
【図４】実施の形態１に係る入力トラフィックのスペクトル解析結果を示す図である。
【図５】実施の形態１に係る既知のスペクトル解析結果の組合せを説明する図である。
【符号の説明】
【００５４】
１０  ネットワーク機器、１０１  トラフィックキャプチャー部、１０２  フロー抽出部、１０３  推定部、１０４  既知アプリケーションＤＢ、１０５  予測結果出力部。
【図１】
2010135871.tif 000003
【図２】
2010135871.tif 000004
【図３】
2010135871.tif 000005
【図４】
2010135871.tif 000006
【図５】
2010135871.tif 000007