(57)【要約】【課題】  通信ネットワークトラヒック分析システムにおけるトラヒック分析装置とトラヒック情報測定装置の処理負荷を軽減する。【解決手段】  トラヒック分析装置４は、トラヒック情報測定装置１、２、３から受信したパケット情報を集計し、トラヒック量が多い順に指定された個数のパケット識別子の値を出力し、トラヒック情報測定装置１、２、３に対して、監視対象の通信回線単位、および、得られたパケット識別子値を監視対象としたトラヒック量測定の実行を指示する。トラヒック分析装置４は、トラヒック情報測定装置からトラヒック情報を受信し、受信したパケット識別子値単位のトラヒック量情報の累算値が受信した回線単位のトラヒック量情報の７割以上かどうか判定を行い、判定結果が７割以上の場合、異常トラヒック判定処理を行う。【選択図】  図１
2006054652.tif 000002
【特許請求の範囲】
【請求項１】
通信ネットワークを流れるトラヒックを監視して異常トラヒックを検出する通信ネットワークトラヒック分析システムにおけるトラヒック分析装置であって、
パケット情報、パケット識別子毎のトラヒック量情報、回線単位のトラヒック量情報を収集するトラヒック情報収集手段と、
前記トラヒック情報収集手段により収集されたパケット情報を、パケット識別子毎に分析して、異常トラヒックを送受信している被疑がある通信ホストのパケット識別子の値を抽出する異常トラヒック被疑パケット識別子値抽出手段と、
前記異常トラヒック被疑パケット識別子値抽出手段により得られたパケット識別子の値を持つパケットを監視対象としてトラヒック量測定を実施するように、ルータ、ゲートウェイ、通信装置、またはトラヒック情報測定装置に対して指示するトラヒック量測定対象パケット識別子値指示手段と、
前記トラヒック情報収集手段により収集されたパケット識別子毎のトラヒック量情報に対し、パケット識別子毎に異常トラヒックを送受信しているかどうかを判定するパケット識別子毎異常トラヒック判定手段と、
前記パケット識別子毎異常トラヒック判定手段により得られたパケット識別子の値を出力する異常トラヒックパケット識別子値出力手段と、
前記トラヒック情報収集手段により収集されたパケット識別子値毎のトラヒック量情報を累算した結果のトラヒック量情報と、前記トラヒック情報収集手段により収集された回線単位のトラヒック量情報とを比較するトラヒック量情報比較手段と、
前記トラヒック量情報比較手段による比較結果に基づき、前記トラヒック情報収集手段により収集されたパケット情報を、パケット識別子毎に分析して、異常トラヒックを送受信している被疑がある通信ホストのパケット識別子の値を再抽出するかどうかを判定する異常トラヒック被疑パケット識別子値再抽出判定手段と、
を有するトラヒック分析装置。
【請求項２】
通信ネットワークを流れるトラヒックを監視して異常トラヒックを検出する通信ネットワークトラヒック分析システムであって、
監視対象の通信回線単位、および、監視対象のパケット識別子値単位にトラヒック量を測定して蓄積するトラヒック量測定手段と、監視対象の通信回線を流れるすべてあるいはサンプリングされたパケット情報を取得して蓄積するパケットロギング手段と、前記トラヒック量測定手段および前記パケットロギング手段により蓄積されたトラヒック情報を別装置に転送するトラヒック情報転送手段とを含むルータ、ゲートウェイ、通信装置、またはトラヒック情報測定装置と、
パケット情報、パケット識別子毎のトラヒック量情報、回線単位のトラヒック量情報を収集するトラヒック情報収集手段と、前記トラヒック情報収集手段により収集されたパケット情報を、パケット識別子毎に分析して、異常トラヒックを送受信している被疑がある通信ホストのパケット識別子の値を抽出する異常トラヒック被疑パケット識別子値抽出手段と、前記異常トラヒック被疑パケット識別子値抽出手段により得られたパケット識別子の値を持つパケットを監視対象としてトラヒック量測定を実施するように、ルータ、ゲートウェイ、通信装置、またはトラヒック情報測定装置に対して指示するトラヒック量測定対象パケット識別子値指示手段と、前記トラヒック情報収集手段により収集されたパケット識別子毎のトラヒック量情報に対し、パケット識別子毎に異常トラヒックを送受信しているかどうかを判定するパケット識別子毎異常トラヒック判定手段と、前記パケット識別子毎異常トラヒック判定手段により得られたパケット識別子の値を出力する異常トラヒックパケット識別子値出力手段と、前記トラヒック情報収集手段により収集されたパケット識別子値毎のトラヒック量情報を累算した結果のトラヒック量情報と、前記トラヒック情報収集手段により収集された回線単位のトラヒック量情報とを比較するトラヒック量情報比較手段と、前記トラヒック量情報比較手段による比較結果に基づき、前記トラヒック情報収集手段により収集されたパケット情報を、パケット識別子毎に分析して、異常トラヒックを送受信している被疑がある通信ホストのパケット識別子の値を再抽出するかどうかを判定する異常トラヒック被疑パケット識別子値再抽出判定手段とを含むトラヒック分析装置と、
を有する通信ネットワークトラヒック分析システム。
【請求項３】
トラヒック分析装置と、ルータ、ゲートウェイ、通信装置、またはトラヒック情報測定装置とを有する通信ネットワークトラヒック分析システムにおいて、
前記ルータ、ゲートウェイ、通信装置、またはトラヒック情報測定装置に対し、監視対象の通信回線を流れるすべてあるいはサンプリングされたパケット情報を取得して蓄積するパケットロギング機能を起動するステップと、
前記トラヒック分析装置において、受信したパケット情報をパケット識別子毎に分析して、異常トラヒックを送受信している被疑がある通信ホストのパケット識別子の値を抽出するステップと、
得られたパケット識別子の値を持つパケットを監視対象としてトラヒック量測定を実施するように、前記ルータ、ゲートウェイ、通信装置、またはトラヒック情報測定装置に対して指示するステップと、
受信したパケット識別子値毎のトラヒック量情報を累算した結果のトラヒック量情報と、受信した回線単位のトラヒック量情報とを比較する処理を定期的に行うステップと、
該比較結果に基づき、受信したパケット情報をパケット識別子毎に分析して、異常トラヒックを送受信している被疑がある通信ホストのパケット識別子の値を再抽出するかどうかを判定するステップと、
再抽出すると判定した場合に、前記パケット識別子の値を抽出するステップ、および、前記ルータ、ゲートウェイ、通信装置、またはトラヒック情報測定装置に対して、得られたパケット識別子の値を持つパケットを監視対象としてトラヒック量測定を実施するように指示するステップを再実行するステップと、
再抽出しないと判定した場合に、受信したパケット識別子毎のトラヒック量情報に対し、パケット識別子毎に異常トラヒックを送受信しているかどうかを判定するステップ、および、異常トラヒックを送受信していると判定した通信ホストのパケット識別子の値を出力するステップと、
を有する通信ネットワークトラヒック分析方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信ネットワークにおける輻輳や攻撃などの異常トラヒックを検出するのに有用な、通信ネットワークトラヒック分析システムならびに分析方法に関するものである。
【背景技術】
【０００２】
通信ネットワークにおける攻撃などの異常トラヒックを検出するために、ルータ、ゲートウェイ、通信装置、またはトラヒック情報測定装置で取得したトラヒック情報をトラヒック分析装置に転送し、該トラヒック分析装置が、受信したトラヒック情報を分析して異常トラヒック判定を行う方式が用いられている。
【０００３】
ルータ、ゲートウェイ、通信装置またはトラヒック情報測定装置が保持するＲＭＯＮ  ＭＩＢをトラヒック情報として利用するトラヒック分析装置は、前記ＲＭＯＮ  ＭＩＢ情報を周期的に収集し、時間経過に伴うトラヒック量変化を分析する。前記ＲＭＯＮ  ＭＩＢ情報として、指定された回線を流れるパケット数やトラヒック量、指定されたアドレスの発／着パケット数やトラヒック量などが用いられる。この方式のトラヒック分析装置の例として、非特許文献１や非特許文献２がある。
【０００４】
ルータ、ゲートウェイ、通信装置またはトラヒック情報測定装置のパケットロギング機能あるいはパケットサンプリング機能により得られるパケット情報をトラヒック情報として利用するトラヒック分析装置は、前記ルータ、ゲートウェイ、通信装置、またはトラヒック情報測定装置に対し、該装置が保持するパケット情報をトラヒック分析装置に転送するようあらかじめ設定しておくことにより、該トラヒック分析装置は、通信ネットワークを流れるパケットの情報を収集し、時間経過に伴うトラヒックパターンの変化を分析する。前記パケット情報として、送信元ＩＰアドレス、宛先ＩＰアドレス、プロトコルなどが用いられる。この方式のトラヒック分析装置の例として、非特許文献３がある。
【非特許文献１】Ｔｏｂｉａｓ  Ｏｅｔｉｋｅｒ他、”ＭＲＴＧ”、［Ｏｎｌｉｎｅ］、［平成１６年７月１５日検索］、インターネット  http://people.ee.ethz.ch/~oqtiker/webtools/mrtg/
【非特許文献２】ｎＴＯＰ資料、［Ｏｎｌｉｎｅ］、［平成１６年７月１５日検索］、インターネット  http://www.ntop.org/ntop.html
【非特許文献３】ＩｎＭｏｎ社  、”ＩｎＭｏｎ  Ｔｒａｆｆｉｃ  Ｓｅｒｖｅｒ”、［Ｏｎｌｉｎｅ］、［平成１６年７月１５日検索］、インターネット  http://www.inmon.com/products/trafficserver.php
【発明の開示】
【発明が解決しようとする課題】
【０００５】
トラヒック分析システムに求められる機能として、複数通信ホスト間の通信トラヒックが多重される通信回線において、サービス拒否（ＤｏＳ，Ｄｉｓｔｒｉｂｕｔｅｄ  Ｄｅｎｉａｌ  Ｓｅｒｖｉｃｅ）攻撃や分散型サービス拒否（ＤＤｏＳ，Ｄｉｓｔｒｉｂｕｔｅｄ  Ｄｅｎｉａｌ  Ｓｅｒｖｉｃｅ）攻撃のように、特定通信ホスト宛てまたは特定通信ホスト発のトラヒックが前記通信回線帯域の大部分を占有する状況のリアルタイム検出機能があげられる。
【０００６】
前記従来方法のうち、ＲＭＯＮ  ＭＩＢを利用したトラヒック分析装置を用いて前記攻撃検出を行う場合、前記ルータ、ゲートウェイ、通信装置またはトラヒック情報測定装置および前記トラヒック分析装置に対し、あらかじめ監視対象通信ホストのネットワークアドレスを登録しておく必要がある。このため、不特定多数の通信ホスト間トラヒックが多重されるバックボーン通信回線の分析を行う際、登録するネットワークアドレス数が非常に多くなり、その処理にボトルネックが生じる。
【０００７】
また、前記従来方法のうち、パケットロギング機能またはパケットサンプリング機能を利用したトラヒック分析装置を用いて前記攻撃検出を行う場合、受信するパケット情報を分析することにより通信回線帯域の大部分を占有している通信ホストを特定する必要がある。このため、不特定多数の通信ホスト間トラヒックが多重されるバックボーン通信回線のトラヒック分析を行う際、該装置が受信する送信元ＩＰアドレスと宛先ＩＰアドレスの情報が非常に多いため、受信するパケット情報を分析する処理にボトルネックが生じる。
【０００８】
本発明の目的は、従来方法における、ボトルネックを解消することをねらった通信ネットワークトラヒック分析装置、システムおよび分析方法を提供することにある。
【課題を解決するための手段】
【０００９】
本発明による通信ネットワークトラヒック分析システムは、
監視対象の通信回線単位、および、監視対象のパケット識別子値単位にトラヒック量を測定して蓄積するトラヒック量測定手段と、監視対象の通信回線を流れるすべてあるいはサンプリングされたパケット情報を取得して蓄積するパケットロギング手段と、前記トラヒック量測定手段および前記パケットロギング手段により蓄積されたトラヒック情報を別装置に転送するトラヒック情報転送手段とを含むルータ、ゲートウェイ、通信装置、またはトラヒック情報測定装置と、
パケット情報、パケット識別子毎のトラヒック量情報、回線単位のトラヒック量情報を収集するトラヒック情報収集手段と、前記トラヒック情報収集手段により収集されたパケット情報を、パケット識別子毎に分析して、異常トラヒックを送受信している被疑がある通信ホストのパケット識別子の値を抽出する異常トラヒック被疑パケット識別子値抽出手段と、前記異常トラヒック被疑パケット識別子値抽出手段により得られたパケット識別子の値を持つパケットを監視対象としてトラヒック量測定を実施するように、ルータ、ゲートウェイ、通信装置、またはトラヒック情報測定装置に対して指示するトラヒック量測定対象パケット識別子値指示手段と、前期トラヒック情報収集手段により収集されたパケット識別子毎のトラヒック量情報に対し、パケット識別子毎に異常トラヒックを送受信しているかどうかを判定するパケット識別子毎異常トラヒック判定手段と、前記パケット識別子毎異常トラヒック判定手段により得られたパケット識別子の値を出力する異常トラヒックパケット識別子値出力手段と、前記トラヒック情報収集手段により収集されたパケット識別子値毎のトラヒック量情報を累算した結果のトラヒック量情報と、前記トラヒック情報収集手段により収集された回線単位のトラヒック量情報とを比較するトラヒック量情報比較手段と前記トラヒック量情報比較手段による比較結果に基づき、前記トラヒック情報収集手段により収集されたパケット情報を、パケット識別子毎に分析して、異常トラヒックを送受信している被疑がある通信ホストのパケット識別子の値を再抽出するかどうかを判定する異常トラヒック被疑パケット識別子値再抽出判定手段と、を含むトラヒック分析装置と
を有する。
【００１０】
本発明による通信ネットワークトラヒック分析方法は、
ルータ、ゲートウェイ、通信装置、またはトラヒック情報測定装置に対し、監視対象の通信回線を流れるすべてあるいはサンプリングされたパケット情報を取得して蓄積するパケットロギング機能を起動するステップと、
前記トラヒック分析装置において、受信したパケット情報をパケット識別子毎に分析して、異常トラヒックを送受信している被疑がある通信ホストのパケット識別子の値を抽出するステップと、
得られたパケット識別子の値を持つパケットを監視対象としてトラヒック量測定を実施するように、ルータ、ゲートウェイ、通信装置、またはトラヒック情報測定装置に対して指示するステップと、
受信したパケット識別子値毎のトラヒック量情報を累算した結果のトラヒック量情報と、受信した回線単位のトラヒック量情報とを比較する処理を定期的に行うステップと、
該比較結果に基づき、受信したパケット情報をパケット識別子毎に分析して、異常トラックを送受信している被疑がある通信ホストのパケット識別子の値を再抽出するかどうかを判定するステップと、
再抽出すると判定した場合に、前記パケット識別子の値を抽出するステップ、および、前記ルータ、ゲートウェイ、通信装置、またはトラヒック情報測定装置に対して、得られたパケット識別子の値を持つパケットを監視対象としてトラヒック量測定を実施するように指示するステップを再実行するステップと、
再抽出しないと判定した場合に、受信したパケット識別子毎にトラヒック量情報に対し、パケット識別子毎に異常トラヒックを送受信しているかどうかを判定するステップ、および、異常トラヒックを送受信していると判定した通信ホストのパケット識別子の値を出力するステップと
を有する。
【００１１】
本発明は、パケット情報を分析して、ＤｏＳやＤＤｏＳ攻撃のような異常トラヒックを送受信している被疑がある通信ホストを特定し、ルータ、ゲートウェイ、通信装置、またはトラヒック情報測定装置およびトラヒック分析装置に対し、該通信ホストのネットワークアドレスなどのパケット識別子を監視対象通信ホストとして登録し、該監視対象通信ホストのトラヒック量情報の累積値と、回線全体のトラヒック量情報との比較によって監視対象通信ホストの再登録が必要かどうか判定を行い、再登録が必要と判定した場合にのみ、再びパケット情報を分析して監視対象通信ホストを再登録するようにしたものである。
【００１２】
このため、ルータ、ゲートウェイ、通信装置、またはトラヒック情報測定装置に対して、いったん監視対象となるパケット識別子を設定した後、監視対象通信ホストの再登録を不要と判定している間は、再度受信したパケット情報を分析して、異常トラヒック量を送受信している被疑がある通信ホストを特定する処理をする必要はない。したがって、監視対象の回線を流れるパケットのネットワークアドレス値などのパケット識別子の値の種類が非常に多い場合でも、リアルタイムに異常トラヒック判定を行うことができる。
【発明の効果】
【００１３】
本発明は、以下に述べる効果がある。
【００１４】
１）トラヒック情報測定装置とトラヒック分析装置間の通信量を減らすことにより、トラヒック分析装置およびトラヒック情報測定装置の処理負荷を軽減することができる。
【００１５】
２）トラヒック情報測定装置を、ルータ、ゲートウェイまたは通信装置の既存機能を用いて実施することにより、通信ネットワークトラヒック分析システムを経済的に実現できる。
【発明を実施するための最良の形態】
【００１６】
次に、本発明の実施の形態について図面を参照して詳細に説明する。
【００１７】
図１を参照すると、本発明の一実施形態の通信ネットワークトラヒック分析システムは、トラヒック情報測定装置１、２、３と、トラヒック分析装置４と、ＩＰネットワークＮ１と、ユーザＬＡＮ１１、Ｎ１２、Ｎ１３で構成されている。
【００１８】
トラヒック情報測定装置１、２、３は、それぞれユーザＬＡＮ１、２、３とＩＰネットワークＮ１を接続する通信路に配備される。トラヒック分析装置４は、ＩＰネットワークＮ１に接続する。
【００１９】
図２は、図１のシステムによる異常トラヒック検出処理手順を示すフローチャートである。
【００２０】
異常トラヒックの判定として、単一ホスト宛て／発トラヒックが一例として全体の回線帯域の７０％以上を占めるかどうかを判定する処理を行う。
【００２１】
トラヒック分析装置４は、トラヒック情報測定装置１、２、３に対してパケットロギングの実行を指示する（ステップ１０１）。トラヒック情報測定装置１、２、３はパケットロギングの実行指示を受信し（ステップ１０２）、パケットロギングを実行する（ステップ１０３）。トラヒック情報測定装置１、２、３は、パケットロギングにより蓄積されたパケット情報をトラヒック分析装置４に転送する（ステップ１０４）。トラヒック分析装置４は、パケット情報を受信し（ステップ１０５）、あらかじめ決められた時間、例えば１秒間待ち（ステップ１０６）、トラヒック情報測定装置１、２、３に対してパケットロギングの実行停止を指示する（ステップ１０７）。トラヒック情報測定装置１、２、３は、パケットロギングの実行停止指示を受信し（ステップ１０８）、パケットロギングの実行を停止する（ステップ１０９）。トラヒック分析装置４は、受信したパケット情報をパケット識別子毎に分析して、異常トラヒックを送受信している被疑がある通信ホストとして、送受信トラヒック量が多い順に、指定された個数の通信ホストのパケット識別子の値を抽出し（ステップ１１０）、トラヒック情報測定装置１、２、３に対して、監視対象の通信回線単位、および、得られたパケット識別子値を監視対象としたトラヒック量測定の実行を指示する（ステップ１１１）。トラヒック情報測定装置１、２、３は、監視対象の通信回線単位、および、得られたパケット識別子値を監視対象としたトラヒック量測定の実行指示を受信し（ステップ１１２）、監視対象の通信回線単位、および受信したパケット識別子値単位のトラヒック情報測定を実行する（ステップ１１３）。トラヒック分析装置４は、ステップ１１１の後あらかじめ決められた時間、例えば１秒間待ち（ステップ１１４）、トラヒック情報測定装置１、２、３に対してトラヒック量情報の転送を指示する（ステップ１１５）。トラヒック情報測定装置１、２、３はトラヒック量情報の転送指示を受信し（ステップ１１６）、トラヒック情報測定により蓄積したトラヒック量情報をトラヒック分析装置４に転送する（ステップ１１７）。トラヒック分析装置４は、トラヒック情報を受信し（ステップ１１８）、受信したパケット識別子値毎のトラヒック量情報を累算した結果のトラヒック量情報を、回線単位のトラヒック量情報と比較し（ステップ１１９）、累算したトラヒック情報量が受信した回線単位のトラヒック量情報の７割以上かどうか判定を行い（ステップ１２０）、判定結果が７割以上でない場合は、ステップ１０１以降を繰り返し、判定結果が７割以上の場合は、トラヒック分析装置４は、異常トラヒックを送受信しているかどうかをパケット識別子毎に判定する処理として、パケット識別子毎のトラヒック情報量が回線単位のトラヒック量情報の７割以上となるパケット識別子が存在するかどうかを判定する処理を行い（ステップ１２１）、該当するパケット識別子が１つもなかった場合（ステップ１２２）、ステップ１１４から繰り返し、該当するパケット識別子が見つかった場合、パケット識別子毎のトラヒック情報量が回線単位のトラヒック量情報の７割以上となるパケット識別子値を出力し（ステップ１２３）、ステップ１１４から繰り返す。
【００２２】
図３を参照すると、トラヒック情報測定装置１〜３は、通信ポート１００１、１００２と、パケット送受信・コピー部１００３と、トラヒック量測定部１００４と、パケットロギング処理部１００５と、トラヒック情報転送部１００６と、パケット識別子値登録テーブル１００７と、トラヒック情報データベース１００８とから構成されている。
【００２３】
通信ポート１００１は、図１のユーザＬＡＮ  Ｎ１１、Ｎ１２、Ｎ１３のいずれかと接続している通信ポートである。通信ポート１００２は、図１のＩＰネットワークＮ１と接続している通信ポートである。
【００２４】
パケット送受信・コピー部１００３は、通信ポート１００１から受信したパケットに対し、該パケットの宛先を解決し、宛先解決の結果通信ポート１００２から送信すべきパケットであれば、通信ポート１００２から送信するとともに、パケットコピーを行い、コピーしたパケットをトラヒック量測定部１００４とパケットロギング部１００５に渡し、宛先解決の結果パケット識別子値設定部１００７で処理すべきパケットであれば、該パケットをパケット識別子値設定部１００７に渡し、通信ポート１００２から受信したパケットに対し、該パケットの宛先を解決し、宛先解決の結果通信ポート１００１から送信すべきパケットであれば、通信ポート１００１から送信するとともに、パケットコピーを行い、コピーしたパケットをトラヒック量測定部１００４とパケットロギング部１００５に渡し、宛先解決の結果パケット識別子値設定部１００７で処理すべきパケットであれば、該パケットをパケット識別子値設定部１００７に渡し、トラヒック情報転送部１００６から受信したパケットに対し、該パケットの宛先を解決し、宛先解決の結果通信ポート１００１から送信すべきパケットであれば、通信ポート１００１から送信し、宛先解決の結果通信ポート１００２から送信すべきパケットであれば、通信ポート１００２から送信する。
【００２５】
トラヒック量測定部１００４は、パケット識別子値登録テーブル１００８に登録されているパケット識別子値単位、および、通信ポート１００１から受信したのか、通信ポート１００２から受信したのかの通信回線単位にトラヒック量を測定し、該測定結果をトラヒック情報データベース１００９に格納する。
【００２６】
パケットロギング部１００５は、通信ポート１００１および通信ポート１００２から受信したパケット情報を取得し、該取得結果をトラヒック情報データベース１００９に格納する。
【００２７】
トラヒック情報転送部１００６は、トラヒック情報データベース１００９に格納されたトラヒック情報を定期的にパケット送受信・コピー部１００３に渡す。
【００２８】
パケット識別子値設定部１００７は、受信したパケットのデータに基づき、パケット識別子値登録テーブル１００８に対し、パケット識別子値の追加および変更および削除を行う。
【００２９】
図４を参照すると、トラヒック分析装置４は、通信ポート２００１と、パケット送受信部２００２、トラヒック情報収集部２００３、異常トラヒック被疑パケット識別子値抽出部２００４、トラヒック量測定対象パケット識別子値指示部２００５、トラヒック量情報比較部２００６、パケット識別子毎異常トラヒック判定部２００７、異常トラヒックパケット識別子値出力部２００８、異常トラヒック被疑パケット識別子値再抽出判定部２００９、パケット識別子値登録テーブル２０１０、トラヒック情報データベース２０１１とから構成されている。
【００３０】
通信ポート２００１は、図１のＩＰネットワークＮ１と接続している通信ポートである。
【００３１】
パケット送受信部２００２は、通信ポート２００１から受信したパケットをトラヒック情報収集部２００３に渡し、トラヒック量測定対象パケット識別子値指示部２００５から受信したパケットを通信ポート２００１から送信する。
【００３２】
トラヒック情報収集部２００３は、パケット送受信部２００２から受信したトラヒック情報を収集してトラヒック情報データベース２０１１に蓄積する。
【００３３】
異常トラヒック被疑パケット識別子値抽出部２００４は、トラヒック情報データベース２０１１に蓄積されたパケット情報をパケット識別子毎に分析して、異常トラヒックを送受信している被疑がある通信ホストとして、送受信トラヒック量が多い順に、指定された個数の通信ホストのパケット識別子の値を抽出し、パケット識別子値登録テーブル２０１０に登録する。
【００３４】
トラヒック量測定対象パケット識別子値指示部２００５は、異常トラヒック被疑パケット識別子値抽出部２００４からの指示があった場合に、パケット識別子値登録テーブル２０１０に登録された、パケット識別子の値を持つパケットを監視対象としてトラヒック量測定を実施するように、ルータ、ゲートウェイ、通信装置またはトラヒック情報測定装置に対して指示する指示パケットを、パケット送受信部２００２に渡す。
【００３５】
パケット識別子毎異常トラヒック判定部２００７はトラヒック情報データベース２０１１に蓄積されたパケット識別子毎のトラヒック量情報に対し、パケット識別子毎のトラヒック情報量が回線単位のトラヒック量情報の７割以上となるパケット識別子が存在するかどうかを判定する。
【００３６】
異常トラヒックパケット識別子値出力部２００８はパケット識別子毎異常トラヒック判定部２００７により得られたパケット識別子の値を外部の出力装置などに出力する。
トラヒック量情報比較部２００６は、トラヒック情報データベース２０１１に蓄積されたパケット識別子値単位のトラヒック量情報を累算した結果のトラヒック量情報と、トラヒック情報データベース２００９に蓄積された回線単位のトラヒック量情報とを比較する。
【００３７】
異常トラヒック被疑パケット識別子値再抽出判定部２００９はトラヒック量情報比較部２００６による比較結果として、前記累算したトラヒック情報量が前記回線単位のトラヒック情報量の７割以上かどうかにより、トラヒック情報データベース２０１１に蓄積されたパケット情報を、パケット識別子毎に分析して、異常トラヒックを送受信している被疑がある通信ホストのパケット識別子の値を抽出するかどうかを判定する。前記比較結果が７割以上でなかった場合、異常トラヒック被疑パケット識別子値抽出部２００４に対し、指示を行う。
【００３８】
なお、トラヒック情報測定装置、トラヒック分析装置は専用のハードウェアにより実現されるもの以外に、その機能を実現するためのプログラムを、コンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するものであってもよい。コンピュータ読み取り可能な記録媒体とは、フロッピーディスク、光磁気ディスク、ＣＤ−ＲＯＭ等の記録媒体、コンピュータシステムに内蔵されるハードディスク装置等の記憶装置を指す。さらに、コンピュータ読み取り可能な記録媒体は、インターネットを介してプログラムを送信する場合のように、短時間の間、動的にプログラムを保持するもの（伝送媒体もしくは伝送波）、その場合のサーバとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含む。
【図面の簡単な説明】
【００３９】
【図１】本発明の一実施形態による通信ネットワークトラヒック分析システムの構成図である。
【図２】図１の通信ネットワークトラヒック分析システムの処理手順を示すフローチャートである。
【図３】トラヒック情報測定装置の構成例を示す図である。
【図４】トラヒック分析装置の構成例を示す図である。
【符号の説明】
【００４０】
１、２、３    トラヒック情報測定装置
４    トラヒック分析装置
Ｎ１    ＩＰネットワーク
Ｎ１１、Ｎ１２、Ｎ１３    ユーザＬＡＮ
１０１〜１２２    ステップ
１００１、１００２    通信ポート
１００３    パケット送受信・コピー部
１００４    トラヒック量測定部
１００５    パケットロギング部
１００６    トラヒック情報転送部
１００７    パケット識別子値設定部
１００８    パケット識別子値登録テーブル
１００９    トラヒック情報データベース
２００１    通信ポート
２００２    パケット送受信部
２００３    トラヒック情報収集部
２００４    異常トラヒック被疑パケット識別子値抽出部
２００５    トラヒック量測定対象パケット識別子値指示部
２００６    トラヒック量情報比較部
２００７    パケット識別子毎異常トラヒック判定部
２００８    異常トラヒックパケット識別子値出力部
２００９    異常トラヒック被疑パケット識別子値再抽出判定部
２０１０    パケット識別子値登録テーブル
２０１１    トラヒック情報データベース
【図１】
2006054652.tif 000003
【図２】
2006054652.tif 000004
【図３】
2006054652.tif 000005
【図４】
2006054652.tif 000006