(57)【要約】【課題】監視者が複数のアラート間の関連性を迅速に確認することを可能とする。【解決手段】ネットワーク上のトラヒックを監視し、異常状態を検出する異常トラヒック監視装置であって、トラヒックの統計情報を前記ネットワーク上のネットワーク装置から受信し、トラヒックの統計情報からトラヒックの異常状態を検出し、アラート情報として監視者に通知する手段と、前記アラート情報の通知を契機として、異常状態のトラヒック情報を分析し、アラート情報に付随する分析情報として保存する手段と、保存された前記分析情報から、関連するアラート情報を検索し、監視者に提示する手段とを有する。【選択図】図２
2011130238.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク上のトラヒックを監視し、異常状態を検出する異常トラヒック監視装置における異常トラヒック監視方法であって、
トラヒックの統計情報を前記ネットワーク上のネットワーク装置から受信するステップ１と、
前記ステップ１で受信したトラヒックの統計情報からトラヒックの異常状態を検出し、アラート情報として監視者に通知するステップ２と、
前記ステップ２での前記アラート情報の通知を契機として、異常状態のトラヒック情報を分析し、アラート情報に付随する分析情報として保存するステップ３と、
前記ステップ３で保存された前記分析情報から、関連するアラート情報を検索するステップ４と、
前記ステップ４で検索した前記関連するアラート情報を監視者に提示するステップ５とを有することを特徴とする異常トラヒック監視方法。
【請求項２】
前記ステップ４は、前記分析情報から関連するアラート情報を検索する際に、分析結果の宛先アドレス、送信元アドレス、プロトコル番号、宛先ポート番号、送信元ポート番号の５つの情報の中の少なくとも１つの情報が一致し、且つ、前記アラート情報の時刻情報から前後一定の時間幅の範囲に、各アラート情報の時刻情報が含まれるアラート情報を関連するアラートとして検索し、アラート間の関連性を自動判定するステップを有することを特徴とする請求項１に記載の異常トラヒック監視方法。
【請求項３】
前記ステップ４は、前記分析情報から関連するアラート情報を検索する際に、当該アラート情報の分析結果の宛先情報と、各アラート情報の分析結果の送信元情報が一致し、かつ、前記アラート情報の時刻情報から前後一定の時間幅の範囲に、アラート情報の時刻情報が含まれるアラート情報、あるいは、当該アラート情報の分析結果の送信元情報と、各アラート情報の分析結果の宛先情報が一致し、かつ、前記アラート情報の時刻情報から前後一定の時間幅の範囲に、アラート情報の時刻情報が含まれるアラート情報を関連するアラートとして検索し、アラート間の関連性を自動判定するステップを有することを特徴とする請求項１に記載の異常トラヒック監視方法。
【請求項４】
前記ステップ３は、前記分析結果の宛先アドレスまたは送信元アドレスからドメイン名を検索するステップを有し、
前記ステップ４は、前記分析情報から関連するアラート情報を検索する際に、宛先アドレスまたは送信元アドレスから検索したドメイン名が一致し、且つ、前記アラート情報の時刻情報から前後一定の時間幅の範囲に、各アラート情報の時刻情報が含まれるアラート情報を関連するアラートとして検索し、アラート間の関連性を自動判定するステップを有することを特徴とする請求項１に記載の異常トラヒック監視方法。
【請求項５】
前記ステップ４において、関連するアラート情報の検索条件を複数設定し、加えて前記検索条件の優先度を設定し、前記分析情報から関連するアラート情報を検索する際に、前記優先度の順に該当する検索条件を用いて、順次、関連するアラート情報を検索し、アラート間の関連性を自動判定することを特徴とする請求項１ないし請求項４のいずれか１項に記載の異常トラヒック監視方法。
【請求項６】
前記ステップ２において、監視者に対して、検知した異常トラヒック情報として、ＧＵＩによるトラヒック量の時間変化をグラフ表示し、
前記ステップ５において、前記検索したアラート情報から時刻情報を抽出し、前記異常トラヒック情報のグラフ表示の中に、前記抽出した時刻情報を表示することを特徴とする請求項１ないし請求項５のいずれか１項に記載の異常トラヒック監視方法。
【請求項７】
ネットワーク上のトラヒックを監視し、異常状態を検出する異常トラヒック監視装置であって、
トラヒックの統計情報を前記ネットワーク上のネットワーク装置から受信し、トラヒックの統計情報からトラヒックの異常状態を検出し、アラート情報として監視者に通知する手段１と、
前記アラート情報の通知を契機として、異常状態のトラヒック情報を分析し、アラート情報に付随する分析情報として保存する手段２と、
保存された前記分析情報から、関連するアラート情報を検索し、監視者に提示する手段３とを有することを特徴とする異常トラヒック監視装置。
【請求項８】
前記手段３は、前記分析情報から関連するアラート情報を検索する際に、分析結果の宛先アドレス、送信元アドレス、プロトコル番号、宛先ポート番号、送信元ポート番号の５つの情報の中の少なくとも１つの情報が一致し、且つ、前記アラート情報の時刻情報から前後一定の時間幅の範囲に、各アラート情報の時刻情報が含まれるアラート情報を関連するアラートとして検索し、アラート間の関連性を自動判定する手段を有することを特徴とする請求項７に記載の異常トラヒック監視装置。
【請求項９】
前記手段３は、前記分析情報から関連するアラート情報を検索する際に、当該アラート情報の分析結果の宛先情報と、各アラート情報の分析結果の送信元情報が一致し、かつ、前記アラート情報の時刻情報から前後一定の時間幅の範囲に、アラート情報の時刻情報が含まれるアラート情報、あるいは、当該アラート情報の分析結果の送信元情報と、各アラート情報の分析結果の宛先情報が一致し、かつ、前記アラート情報の時刻情報から前後一定の時間幅の範囲に、アラート情報の時刻情報が含まれるアラート情報を関連するアラートとして検索し、アラート間の関連性を自動判定する手段を有することを特徴とする請求項７に記載の異常トラヒック監視装置。
【請求項１０】
前記手段２は、前記分析結果の宛先アドレスまたは送信元アドレスからドメイン名を検索する手段を有し、
前記手段３は、前記分析情報から関連するアラート情報を検索する際に、宛先アドレスまたは送信元アドレスから検索したドメイン名が一致し、且つ、前記アラート情報の時刻情報から前後一定の時間幅の範囲に、各アラート情報の時刻情報が含まれるアラート情報を関連するアラートとして検索し、アラート間の関連性を自動判定する手段を有することを特徴とする請求項７に記載の異常トラヒック監視装置。
【請求項１１】
前記手段３は、関連するアラート情報の検索条件を複数設定し、加えて前記検索条件の優先度を設定し、前記分析情報から関連するアラート情報を検索する際に、前記優先度の順に該当する検索条件を用いて、順次、関連するアラート情報を検索し、アラート間の関連性を自動判定することを特徴とする請求項７ないし請求項１０のいずれか１項に記載の異常トラヒック監視装置。
【請求項１２】
前記手段１は、監視者に対して、検知した異常トラヒック情報として、ＧＵＩによるトラヒック量の時間変化をグラフ表示し、
前記手段３は、前記検索したアラート情報から時刻情報を抽出し、前記異常トラヒック情報のグラフ表示の中に、前記抽出した時刻情報を表示することを特徴とする請求項７ないし請求項１１のいずれか１項に記載の異常トラヒック監視装置。
【請求項１３】
ネットワーク上のトラヒックを監視し、異常状態を検出する異常トラヒック監視装置であって、
フロー情報受信機能と、
フロー情報蓄積機能と、
異常トラヒック検出機能と、
アラート情報蓄積機能と、
異常トラヒック分析機能と、
分析情報蓄積機能と、
関連アラート検索機能とを有し、
前記フロー情報受信機能は、前記ネットワーク上のネットワーク装置からフロー情報を受信し、当該受信したフロー情報を前記フロー情報蓄積機能へ送信し、
前記フロー情報蓄積機能は、前記フロー情報受信機能から受信したフロー情報を順次保存し、要求に応じて該当するフロー情報を抽出し、要求元に対して送信し、
前記異常トラヒック検出機能は、前記フロー情報蓄積機能に対して、一定周期毎のフロー情報を要求し、前記フロー情報蓄積機能から受信したフロー情報に対して異常トラヒックの検査を実施し、検出した異常トラヒックに対して、アラートＩＤを付与し、アラート情報として前記アラート情報蓄積機能に送信し、かつ、前記異常トラヒック分析機能にアラートＩＤを送信し、
前記アラート情報蓄積機能は、前記異常トラヒック検出機能から受信したアラート情報を順次保存し、要求に応じて該当するアラート情報を抽出し、要求元に対して送信し、
前記異常トラヒック分析機能は、前記異常トラヒック検出機能からアラートＩＤを受信すると、前記アラート情報蓄積機能に当該アラートＩＤのアラート情報を要求し、前記アラート情報蓄積機能から要求したアラート情報を受信すると、アラート情報に基づくフロー情報を前記フロー情報蓄積機能に要求し、前記フロー情報蓄積機能から受信したフロー情報に対して異常トラヒック分析を実施し、異常トラヒックの原因となったフロー情報を特定し、特定した複数のフロー情報に対して、フローＩＤを付与するとともに、異常トラヒック分析の実施毎に分析ＩＤを付与し、当該分析ＩＤの分析情報を前記分析情報蓄積機能に送信し、かつ、アラートＩＤと分析ＩＤを関連アラート検索機能に送信し、
前記分析情報蓄積機能は、前記異常トラヒック分析機能から受信した分析情報を順次保存し、要求に応じて該当する分析情報を抽出し、要求元に対して送信し、
前記関連アラート検索機能は、前記異常トラヒック分析機能からアラートＩＤと分析ＩＤを受信すると、当該分析ＩＤの分析情報を前記分析情報蓄積機能に要求し、前記分析情報蓄積機能から要求した分析情報を受信すると、分析情報と関連する他の分析情報を指定した相関条件を元に前記分析情報蓄積機能に対して要求し、得られた関連分析情報からアラートＩＤを抽出し、これを関連アラートＩＤとすることを特徴とする異常トラヒック監視装置。
【請求項１４】
ＧＵＩ・グラフ表示機能を有し、
前記ＧＵＩ・グラフ表示機能は、前記関連アラート検索機能から受信したアラートＩＤおよび関連アラートＩＤのアラート情報を前記アラート情報蓄積機能から取得し、前記取得したアラート情報の発生日時を含む区間のフロー情報を前記フロー情報蓄積機能から取得し、時間単位毎のトラヒック量を算出してトラヒックグラフを描画するとともに、前記描画したトラヒックグラフに対して、取得したアラート情報から発生日時を抽出し、関連するアラートの時刻情報を図示し、かつ、取得した関連アラートＩＤの関連アラート情報の時刻情報を抽出し、前記トラヒックグラフ表示中に、抽出した時刻情報を表示することを特徴とする請求項１３に記載の異常トラヒック監視装置。
【請求項１５】
ドメイン名取得機能を有し、
前記ドメイン名取得機能は、前記異常トラヒック分析機能において特定したフロー情報に含まれるアドレス情報を、前記異常トラヒック分析機能から受信してＤＮＳサーバに送信し、前記ＤＮＳサーバから対応するドメイン名を受信し、当該受信したドメイン名を異常トラヒック分析機能に返信することを特徴とする請求項１３または請求項１４に記載の異常トラヒック監視装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、異常トラヒック監視方法および異常トラヒック監視装置に係わり、特に、複数のアラートの関連性を提示することにより、監視者が迅速に対応策の判断を行うことが可能となる技術に関する。
【背景技術】
【０００２】
従来の異常トラヒック監視装置においては、複数のアラートが検出された場合、それを検出した際に取得した情報（例えば、宛先アドレス等）により関連するアラートを抽出し、時系列で列挙することで、それらの関連性を監視者に対して提示していた。
また、一方で複数アラートを一つのアラートに集約することで、アラート数を削減する技術が提案されている。（下記、特許文献１参照）
前述の特許文献１では、アラートの種別毎に単位時間当たりのアラート数を計測し、その数が一定数以上になった場合に、当該閾値を超えたアラート情報を生成する。この方式では、監視者が確認可能な情報は集約されたアラート情報であり、集約可能なアラートも同一種別に限定されるため、複数の種別のアラート間の関連性を監視者が把握することは困難であった。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００６‐２３７８４２号公報
【０００４】
【特許文献２】特開２００９‐４４５０１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
従来の異常トラヒック監視装置においては、トラヒックの異常状態の検出には、監視対象となる攻撃先の情報とそのトラヒック量を用いるため、検出時の情報によるアラートの関連付けだけでは、関連性を判定できない異常トラヒックのケースが存在し、監視者に対して十分に複数アラート間の関連性を提示することは困難であった。
このため、従来の異常トラヒック監視装置においては、監視者が複数のアラート情報を手動で交互に参照することで、アラート間の関連性を判断する必要があり、異常トラヒックの把握と判断に時間を要する課題があった。
以下に複数アラートの関連性を提示することが困難な場合を、インターネット上で発生しているＤｏＳ攻撃を監視する例としていくつか挙げる。
【０００６】
（１）同一の攻撃元から複数の攻撃先に対してＤｏＳ攻撃が発生しており、攻撃に起因した異常トラヒックのアラートとしては、攻撃先毎に別々のアラートとして検出され、同一の攻撃元であることがアラート情報からは判定できないケース
（２）ある攻撃元から特定の攻撃先に対してｂａｃｋｓｃａｔｔｅｒ攻撃が発生しており、攻撃に起因した異常トラヒックのアラートとしては、攻撃元から攻撃先に対するトラヒック急増をアラートとして検出し、また、同時に攻撃先からの跳ね返りトラヒックの急増を別のアラートとして検出しているケース
（３）同一の攻撃元から特定の攻撃先に対して断続的に繰り返しＤｏＳ攻撃が発生し、それを複数のアラートとして検出している際に、その間に別の攻撃元から同一の攻撃先に対してＤｏＳ攻撃が発生し、別のアラートとして検出しているケース
本発明は、前記従来技術の問題点を解決するためになされたものであり、本発明の目的は、監視者が複数のアラート間の関連性を迅速に確認することが可能となる技術を提供することにある。
本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述及び添付図面によって明らかにする。
【課題を解決するための手段】
【０００７】
本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、下記の通りである。
（１）ネットワーク上のトラヒックを監視し、異常状態を検出する異常トラヒック監視装置における異常トラヒック監視方法であって、トラヒックの統計情報を前記ネットワーク上のネットワーク装置から受信するステップ１と、前記ステップ１で受信したトラヒックの統計情報からトラヒックの異常状態を検出し、アラート情報として監視者に通知するステップ２と、前記ステップ２での前記アラート情報の通知を契機として、異常状態のトラヒック情報を分析し、アラート情報に付随する分析情報として保存するステップ３と、前記ステップ３で保存された前記分析情報から、関連するアラート情報を検索するステップ４と、前記ステップ４で検索した前記関連するアラート情報を監視者に提示するステップ５とを有することを特徴とする。
【０００８】
（２）（１）において、前記ステップ４は、前記分析情報から関連するアラート情報を検索する際に、分析結果の宛先アドレス、送信元アドレス、プロトコル番号、宛先ポート番号、送信元ポート番号の５つの情報の中の少なくとも１つの情報が一致し、且つ、前記アラート情報の時刻情報から前後一定の時間幅の範囲に、各アラート情報の時刻情報が含まれるアラート情報を関連するアラートとして検索し、アラート間の関連性を自動判定するステップを有することを特徴とする。
（３）（１）において、前記ステップ４は、前記分析情報から関連するアラート情報を検索する際に、当該アラート情報の分析結果の宛先情報と、各アラート情報の分析結果の送信元情報が一致し、かつ、前記アラート情報の時刻情報から前後一定の時間幅の範囲に、アラート情報の時刻情報が含まれるアラート情報、あるいは、当該アラート情報の分析結果の送信元情報と、各アラート情報の分析結果の宛先情報が一致し、かつ、前記アラート情報の時刻情報から前後一定の時間幅の範囲に、アラート情報の時刻情報が含まれるアラート情報を関連するアラートとして検索し、アラート間の関連性を自動判定するステップを有することを特徴とする。
【０００９】
（４）（１）において、前記ステップ３は、前記分析結果の宛先アドレスまたは送信元アドレスからドメイン名を検索するステップを有し、前記ステップ４は、前記分析情報から関連するアラート情報を検索する際に、宛先アドレスまたは送信元アドレスから検索したドメイン名が一致し、且つ、前記アラート情報の時刻情報から前後一定の時間幅の範囲に、各アラート情報の時刻情報が含まれるアラート情報を関連するアラートとして検索し、アラート間の関連性を自動判定するステップを有することを特徴とする。
（５）（１）ないし（４）の何れかにおいて、前記ステップ４で、関連するアラート情報の検索条件を複数設定し、加えて前記検索条件の優先度を設定し、前記分析情報から関連するアラート情報を検索する際に、前記優先度の順に該当する検索条件を用いて、順次、関連するアラート情報を検索し、アラート間の関連性を自動判定することを特徴とする。
（６）（１）ないし（５）の何れかにおいて、前記ステップ２で、監視者に対して、検知した異常トラヒック情報として、ＧＵＩによるトラヒック量の時間変化をグラフ表示し、前記ステップ５で、前記検索したアラート情報から時刻情報を抽出し、前記異常トラヒック情報のグラフ表示の中に、前記抽出した時刻情報を表示することを特徴とする。
（７）また、本発明は、前述の異常トラヒック監視方法を実行する異常トラヒック監視装置である。
【発明の効果】
【００１０】
本願において開示される発明のうち代表的なものによって得られる効果を簡単に説明すれば、下記の通りである。
本発明によれば、監視者が複数のアラート間の関連性を迅速に確認することが可能となる。
【図面の簡単な説明】
【００１１】
【図１】本発明の実施例の異常トラヒック監視装置が適用されるネットワーク構成を示すブロック図である。
【図２】本発明の実施例の異常トラヒック監視装置の概略構成を示すブロック図である。
【図３】本発明の実施例の異常トラヒック監視装置で分析した分析情報の一例を示す図である。
【図４】本発明の実施例の異常トラヒック監視装置で検出した関連アラート情報の一例を示す図である。
【図５】本発明の実施例の異常トラヒック監視装置に表示されるトラヒックグラフの一例を示す図である。
【図６】本発明の実施例の異常トラヒック監視装置における、分析情報と相関条件の関係の一例を示す図である。
【図７】本発明の実施例の異常トラヒック監視装置における、分析情報と相関条件の関係の他の例を示す図である。
【図８】本発明の実施例の異常トラヒック監視装置における、分析情報と相関条件の関係の他の例を示す図である。
【図９】本発明の実施例の異常トラヒック監視装置における、相関条件とその優先度の設定を保持するテーブルの一例を示す図である。
【発明を実施するための形態】
【００１２】
以下、図面を参照して本発明の実施例を詳細に説明する。
なお、実施例を説明するための全図において、同一機能を有するものは同一符号を付け、その繰り返しの説明は省略する。また、以下の実施例は、本発明の特許請求の範囲の解釈を限定するものではない。
図１は、本発明の実施例の異常トラヒック監視装置が適用されるネットワーク構成を示すブロック図である。
図１に示すネットワーク構成では、監視ネットワーク２０は、ネットワーク装置＃１〜４（１１〜１４）で構成され、この監視ネットワーク２０には、宛先サーバ４０と送信元端末３０が接続される。ネットワーク装置＃１〜４（１１〜１４）としては、例えば、ＩＰネットワークにおけるルータが該当し、その場合、監視ネットワーク２０では、送信元端末３０と宛先サーバ４０との間のＩＰ通信のトラヒックが転送される。
また、ネットワーク装置＃１〜４（１１〜１４）には、異常トラヒック監視装置１００が接続されている。このネットワーク装置＃１〜４（１１〜１４）と異常トラヒック監視装置１００との間の接続は、ＬＡＮやＷＡＮによるものでも良く、監視ネットワーク経由の接続でも構わない。
異常トラヒック監視装置１００には、監視者用端末６０が接続されている。この異常トラヒック監視装置１００と監視者用端末６０との間の接続は、例えば、ＬＡＮ経由でも、インターネット等のＷＡＮ経由によるものでも良い。
また、異常トラヒック監視装置１００には、ＤＮＳサーバ５０が接続されている。この異常トラヒック監視装置１００とＤＮＳサーバ５０との間の接続も、ＬＡＮ経由でも、インターネット等のＷＡＮ経由によるものでも良い。
【００１３】
図１に示す構成において、送信元端末３０から宛先サーバ４０への通信トラヒックが発生すると、通信トラヒックを経由するネットワーク装置＃３（１３）およびネットワーク装置＃４（１４）は、転送する通信トラヒックの宛先アドレス、送信元アドレス、宛先ポート番号、送信元ポート番号、プロトコル番号のまとまり毎のトラヒックの統計情報をフロー情報として算出し、それらを異常トラヒック監視装置１００へ送信する。
異常トラヒック監視装置１００は、前記フロー情報を各ネットワーク装置＃１〜４（１１〜１４）から受信する。異常トラヒック監視装置１００は、各ネットワーク装置＃１〜４（１１〜１４）から受信したフロー情報を解析することで監視ネットワーク２０の状態を把握することが可能となる。
各ネットワーク装置＃１〜４（１１〜１４）が異常トラヒック監視装置１００へフロー情報を送信する際には、ＮｅｔＦｌｏｗやｓＦｌｏｗなどのプロトコルを用いる。
一方、監視者７０は、監視用端末６０を操作し、異常トラヒック監視装置１００にアクセスすることにより、遠隔から異常トラヒック監視装置１００の操作を可能とする。ここで、異常トラヒック監視装置１００は、Ｗｅｂサーバとして動作しており、監視用端末上でのＷｅｂブラウザにより、監視者用端末６０からのアクセスを受け付ける。ＷｅｂサーバやＷｅｂブラウザは、従来技術で構成される。
更に、ＤＮＳサーバ５０は、アドレスとドメイン名の対応関係を管理し、外部からのドメイン名によるアドレス解決要求、アドレスからのドメイン名の検索要求に応答する機能を有しており、これは従来技術で構成される。
【００１４】
図２は、本発明の実施例の異常トラヒック監視装置１００の概略構成を示すブロック図である。
異常トラヒック監視装置１００は、フロー情報受信機能１０１と、異常トラヒック検出機能１０２と、異常トラヒック分析機能１０３と、関連アラート検索機能１０４と、ＧＵＩ・グラフ表示機能１０５と、フロー情報蓄積機能１０６と、分析情報蓄積機能１０７と、アラート情報蓄積機能１０８と、ドメイン名取得機能１０９とで構成される。
各ネットワーク装置＃１〜４（１１〜１４）から、前記フロー情報が異常トラヒック監視装置１００へ送信されると、フロー情報受信機能１０１は、各ネットワーク装置＃１〜４（１１〜１４）からの通信プロトコルを終端し、フロー情報を受信する。また、フロー情報受信機能１０１は、受信したフロー情報をフロー情報蓄積機能１０６へ送信する。
フロー情報蓄積機能１０６は、フロー情報受信機能１０１から受信したフロー情報を順次保存し、要求に応じて該当するフロー情報を抽出し、要求元に対して送信する。
異常トラヒック検出機能１０２は、一定期間に受信したフロー情報を解析し、トラヒックの急激な変化を異常トラヒックのアラート情報として検出する機能である。
異常トラヒック検出機能１０２は、フロー情報蓄積機能１０６に対して、一定周期毎のフロー情報を要求する。要求に応じて、フロー情報蓄積機能１０６から複数のフロー情報を受信すると、受信したフロー情報に対して異常トラヒックの検査を実施し、異常トラヒックを検出する。
ここで、異常トラヒックの検査方法は、特に限定しないため、目的に応じて任意のアルゴリズムを採用して良い。例えば、保持したフロー情報の中から特定の宛先アドレス毎にトラヒック量を積算し、予め設定された閾値を超えた場合に該当宛先アドレスに対する異常トラヒックと判定する方法がある。
【００１５】
異常トラヒック検出機能１０２は、検出した異常トラヒックに対して、順次、アラートＩＤを付与し、アラート情報をアラート情報蓄積機能１０８に送信する。ここで、アラート情報としては、アラートＩＤ、時刻情報である発生日時、トラヒック量、宛先アドレスが送信される。また、異常トラヒック検出機能１０２は、異常トラヒックを検出すると、アラートＩＤを異常トラヒック分析機能１０３に送信する。
アラート情報蓄積機能１０８は、異常トラヒック検出機能１０２から受信したアラート情報を順次保存し、要求に応じて該当するアラート情報を抽出し、要求元に対して送信する。
異常トラヒック分析機能１０３は、アラート情報を元にフロー情報を詳細に分析し、異常トラヒックの原因となったフロー情報を特定する機能である。異常トラヒック分析機能１０３は、異常トラヒック検出機能１０２から、アラートＩＤを受信すると、アラート情報蓄積機能１０８に、該当アラートＩＤのアラート情報を要求する。要求に応じて、アラート情報蓄積機能１０８から要求したアラート情報を受信すると、アラート情報に基づくフロー情報をフロー情報蓄積機能１０６に要求する。
要求に応じて、フロー情報蓄積機能１０６から要求したフロー情報を受信すると、フロー情報に対して異常トラヒック分析を実施し、異常トラヒックの原因となったフロー情報を特定する。すなわち、異常トラヒックの原因となったフロー情報として、宛先アドレス、送信元アドレス、宛先ポート番号、送信元ポート番号、プロトコル番号、トラヒック量を得る。
ここで、異常トラヒック分析の方法は、特に限定しないが、異常トラヒックの原因となるフロー情報が特定可能な任意のアルゴリズムを採用して良い。例えば、前述の特許文献２では、異常トラヒックを検出した前後のフロー情報の差分を抽出することで、トラヒックの変化の原因となったフロー情報を特定する。特定されたフロー情報は、単一でも複数でもよい。
【００１６】
異常トラヒック分析機能１０３は、特定したフロー情報に含まれるアドレス情報をドメイン名取得機能１０９に送信する。ドメイン名取得機能１０９では、受信したアドレスをＤＮＳサーバ５０に送信し、応答としてドメイン名を解決する機能を有する。ドメイン名取得機能１０９は、受信したドメイン名を異常トラヒック分析機能１０３に返信する。
異常トラヒック分析機能１０３は、特定した複数のフロー情報に対して、フローＩＤを付与する。また、異常トラヒック分析の実施毎に分析ＩＤを付与する。さらに、異常トラヒック分析機能１０３は、分析情報として、アラートＩＤ、分析ＩＤ、分析ＩＤに対応する単一または複数のフローＩＤ、各フローＩＤに対応するフロー情報、およびドメイン名取得機能１０９から取得したドメイン名を、分析情報蓄積機能１０７に送信する。
図３は、本実施例の異常トラヒック監視装置１００で分析した分析情報の一例を示す図である。
図３の分析情報は、分析ＩＤ：００４３に対して、複数のフローＩＤ（フローＩＤ：０００１、フローＩＤ：０００２）、各フローＩＤに対応するフロー情報（宛先アドレス、宛先アドレスのドメイン名、送信元アドレス、送信元アドレスのドメイン名、宛先ポート番号、送信元ポート番号、プロトコル番号）で構成される。なお、図３は、フロー情報が複数の例を示しているが、単一でもよい。
また、異常トラヒック分析機能１０３は、分析情報の送信後、アラートＩＤと分析ＩＤを関連アラート検索機能１０４に送信する。
分析情報蓄積機能１０７は、異常トラヒック分析機能１０３から受信した分析情報を順次保存し、要求に応じて該当する分析情報を抽出し、要求元に対して送信する。
【００１７】
関連アラート検索機能１０４は、分析情報から、それに関連する他の分析情報を特定する機能である。関連アラート検索機能１０４は、異常トラヒック分析機能１０３からアラートＩＤと分析ＩＤを受信すると、分析ＩＤを分析情報蓄積機能１０７に送信し、当該分析情報を要求する。要求に応じて、分析情報蓄積機能１０７から要求した分析情報を受信すると、分析情報と関連する他の分析情報を指定した相関条件を元に分析情報蓄積機能１０７に対して要求し、関連分析情報を得る。この際に得られる関連分析情報は、単一でも複数でも良い。
また、得られた各関連分析情報から、アラートＩＤを抽出し、これを関連アラートＩＤとする。さらに、異常トラヒック分析機能１０３から受信したアラート情報と、検索した関連アラートＩＤを関連アラート情報として、ＧＵＩ・グラフ表示機能１０５に送信する。
図４は、本実施例の異常トラヒック監視装置１００で検索した関連アラート情報の一例を示す図である。
図４の関連アラート情報は、検索の契機となったアラートＩＤ：００２４に対して、関連アラートのアラートＩＤのリスト（アラートＩＤ：００１８およびアラートＩＤ：００２２）で構成される。なお、図４では、関連アラートは複数の例を示しているが、単一でもよい。
なお、前記相関条件とは、ある分析情報と別の分析情報の間で、関連性があることを検索するための条件を意味する。
【００１８】
ＧＵＩ・グラフ表示機能１０５では、受信した関連アラート情報から、アラートＩＤを抽出し、アラート情報蓄積機能１０８に送信し、対応するアラート情報を取得する。また、取得したアラート情報の発生日時を含む区間のフロー情報を取得し、時間単位毎のトラヒック量を算出することで、トラヒックグラフを描画する。さらに、ＧＵＩ・グラフ表示機能１０５では、描画したトラヒックグラフに対して、先に取得したアラート情報から発生日時を抽出し、関連するアラートの時刻情報を示す。
図５は、本実施例の異常トラヒック監視装置１００に表示されるトラヒックグラフの一例を示す図である。
図５においては、アラートＩＤ：００２４に対応するトラヒックグラフが表示されている。また、日時Ｃで発生したアラートＩＤ：００２４が、トラヒックグラフ中の発生日時の箇所に実線で表示されており、関連するアラートＩＤ：００１８およびアラートＩＤ：００２２のアラートＩＤが、同様に各アラートＩＤに対応するアラート情報の発生日時の箇所（日時Ａ、日時Ｂ）に対して、点線で表示されている。
監視者７０が、監視用端末６０のＷｅｂブラウザ経由で、異常トラヒック監視装置１００にアクセスすると、ＧＵＩ・グラフ表示機能１０５がこれを受信し、ＧＵＩ機能として、前記のトラヒックグラフと関連するアラート情報を表示する。
これにより、監視者７０はアラート情報と当該アラート情報のトラヒックグラフ、当該アラート情報に関連するアラート情報の時刻情報を一画面で確認することができ、迅速な対応の判断が可能となる。
【００１９】
以下、前記関連アラート検索機能における相関条件について、より具体的な例で説明する。
関連アラート検索機能１０４は、相関条件を元に分析情報蓄積機能１０７に対して、関連分析情報を要求するが、指定された相関条件と検索元となる分析情報から検索条件を生成して、分析情報蓄積機能１０７に要求することで、応答として関連する分析情報を得ることが可能である。
図６は、本実施例の異常トラヒック監視装置１００における、分析情報と相関条件の関係の一例を示す図である。
図６は、相関条件として、５−ｔｕｐｌｅ情報（宛先アドレス、送信元アドレス、プロトコル番号、宛先ポート番号、送信元ポート番号）の内、単一または複数の情報が一致する条件を分析情報から抽出した例である。
相関条件：Ａでは、「対象日時」と「宛先アドレスが一致」する条件が設定されており、これを分析ＩＤ：００４３の分析情報のフローＩＤ：０００１に適用すると、検索条件：Ａ−０００１が得られる。
また、相関条件：Ｂでは、「対象日時」と「宛先アドレスが一致」し、且つ「送信元アドレスが一致」する条件が設定されており、これを同様に分析ＩＤ００４３の分析情報のフローＩＤ：０００２に適用すると、検索条件：Ｂ−０００１が得られる。
【００２０】
図７は、本実施例の異常トラヒック監視装置１００における、分析情報と相関条件の関係の他の例を示す図である。
図７は、相関条件として、宛先情報と送信元情報が一致するか、または、送信元情報と宛先情報が一致する条件を分析情報から抽出した例である。
相関条件：Ｃでは、「対象日時」と「宛先アドレスと送信元アドレスが一致」する条件が設定されており、これを分析ＩＤ：００４３の分析情報のフローＩＤ：０００１に適用すると、検索条件：Ｃ−０００１が得られる。
また、相関条件：Ｄでは、「対象日時」と「送信元アドレスと宛先アドレスが一致」する条件が設定されており、これを同様に分析ＩＤ００４３の分析情報のフローＩＤ：０００２に適用すると、検索条件：Ｄ−０００１が得られる。
図８は、本実施例の異常トラヒック監視装置１００における、分析情報と相関条件の関係の他の例を示す図である。
図８は、相関条件として、宛先または送信元のドメイン名が一致する条件を分析情報から抽出した例である。
相関条件：Ｅでは、「対象日時」と「宛先アドレスのドメイン名が一致」する条件が設定されており、これを分析ＩＤ：００４３の分析情報のフローＩＤ：０００１に適用すると、検索条件：Ｅ−０００１が得られる。
また、相関条件：Ｆでは、「対象日時」と「送信元アドレスのドメイン名が一致」する条件が設定されており、これを同様に分析ＩＤ００４３の分析情報のフローＩＤ：０００２に適用すると、検索条件：Ｆ−０００１が得られる。
関連アラート検索機能１０４は、これらの検索条件：Ａ−０００１、Ｂ−０００１、Ｃ−０００１、Ｄ−０００１、Ｅ−０００１、Ｆ−０００１に例示した検索条件を分析情報蓄積機能１０７に送信することで、それぞれ対応する相関条件を満足する分析情報を抽出する。
【００２１】
以下に関連アラート検索機能１０４において、複数の相関条件を用いて関連アラートを抽出する方法を説明する。
関連アラート検索機能１０４では、相関条件により、分析情報から検索条件を生成し、これを分析情報蓄積機能１０７に送信することで、相関条件を満足する分析情報を抽出する。
図９は、本発明の実施例の異常トラヒック監視装置において、関連アラート検索機能１０４に設定される複数の相関条件とその優先度の設定を保持するテーブルの内容を示す図である。
関連アラート検索機能１０４では、あらかじめ設定された複数の相関条件の中から設定された優先度の順に相関条件を抽出し、関連アラートを抽出する。該当するアラートが抽出されれば、処理を終了するが、抽出されない場合は、次の優先度を有する相関条件を用いて関連アラートを抽出する。これを関連アラートが抽出されるか、全ての相関条件に対する検索が完了するまで繰り返すことで、複数の相関条件を用いて関連アラートを抽出することが可能となる。
なお、前述の説明では、異常トラヒック監視装置１００を１台の装置で構成した場合について説明したが、異常トラヒック監視装置１００を複数の装置で構成することも可能である。
【００２２】
以上説明したように、本実施例の異常トラヒック監視装置では、異常トラヒックのアラート検出時の情報のみを用いたアラートの関連付けではなく、アラート検出後にトラヒックの分析を実施し、得られた分析結果を用いて、複数アラート間の関連性を判定する手段を備えることで、アラート検出時の情報だけでは、判定できない異常トラヒックのケースにおいても、相互の関連性を自動的に判定することが可能となり、監視者に対して、複数アラート間の関連性を提示することが可能となる。
このように、本実施例によれば、ネットワーク上のトラヒックを監視し、異常状態を検出するシステムにおいて、異常トラヒックのアラート情報と共に関連するアラート情報が表示されることで、監視者がトラヒック情報と関連アラート情報を迅速に確認することが可能となり、対応策の判断が容易となる。
以上、本発明者によってなされた発明を、前記実施例に基づき具体的に説明したが、本発明は、前記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。
【符号の説明】
【００２３】
１１〜１４  ネットワーク装置＃１〜＃４
２０  監視ネットワーク
３０  送信元端末
４０  宛先サーバ
５０  ＤＮＳサーバ
６０  監視者端末
７０  監視者
１００  異常トラヒック監視装置
１０１  フロー情報受信機能
１０２  異常トラヒック検出機能
１０３  異常トラヒック分析機能
１０４  関連アラート検索機能
１０５  ＧＵＩ・グラフ表示機能
１０６  フロー情報蓄積機能
１０７  分析情報蓄積機能
１０８  アラート情報蓄積機能
１０９  ドメイン名取得機能
【図１】
2011130238.tif 000003
【図２】
2011130238.tif 000004
【図３】
2011130238.tif 000005
【図４】
2011130238.tif 000006
【図５】
2011130238.tif 000007
【図６】
2011130238.tif 000008
【図７】
2011130238.tif 000009
【図８】
2011130238.tif 000010
【図９】
2011130238.tif 000011