(57)【要約】【課題】ネットワーク監視において、ＩＲＲデータベース不備の場合でも、ネットワーク異常の正確な検出と、迅速な分析を行う。【解決手段】ＢＧＰルータより出力されるＢＧＰメッセージを受信するＢＧＰメッセージ受信手段と、前記ＢＧＰメッセージ受信手段で抽出された経路情報を管理する経路情報管理手段と、前記経路情報管理手段が管理する経路情報の中で、ＩＰアドレス空間に一部でも重複があり、かつ生成元ＡＳ番号が異なる経路を検出した場合にＢＧＰ経路生成元ＡＳ変更として記録する経路生成元ＡＳ変更記録手段と、トラフィック情報を収集するトラフィック収集手段と、変更前後の経路生成元ＡＳ番号を含む経路情報毎のトラフィック量を算出する経路トラフィック算出手段と、前記ＢＧＰ経路生成元ＡＳ変更によるトラフィック変動を算出する経路トラフィック変動算出手段とを具備する。【選択図】図２
2011114743.tif 000002
【特許請求の範囲】
【請求項１】
複数の自律システムで構成されるネットワークに適用されるネットワーク監視装置におけるネットワーク監視方法であって、
ＢＧＰルータより出力されるＢＧＰメッセージ、あるいは、ＢＧＰルータより出力されるＢＧＰメッセージ及びＩＲＲデータベースに記録している経路情報を受信するステップ１と、
前記ステップ１で抽出された経路情報を管理するステップ２と、
前記ステップ２で管理した経路情報の中で、ＩＰアドレス空間に一部でも重複があり、かつ生成元ＡＳ番号が異なる経路を検出した場合に、変更前後の生成元ＡＳ番号と、変更時刻とを変更ＢＧＰ経路生成元ＡＳ変更として記記録するステップ３と、
トラフィック情報を収集するステップ４と、
前記ステップ３において前記ＢＧＰ経路生成元ＡＳ変更を記録したときに、前記ステップ２で管理した経路情報と前記ステップ４で収集したトラフィック情報とに基づき、変更前後の経路生成元ＡＳ番号を含む経路情報毎のトラフィック量を算出するステップ５と、
前記ステップ３で前記ＢＧＰ経路生成元ＡＳ変更を記録したときに、前記ステップ５で算出された前記トラフィック量に基づき、前記ＢＧＰ経路生成元ＡＳ変更によるトラフィック変動を算出するステップ６とを具備することを特徴とするネットワーク監視方法。
【請求項２】
前記ステップ６において、変更前後の経路生成元ＡＳ番号と、変更前後の経路生成元ＡＳ番号を含む経路情報毎のトラフィック量を管理者に通知することを特徴とする請求項１に記載のネットワーク監視方法。
【請求項３】
前記ステップ６において、前記ＢＧＰ経路生成元ＡＳ変更によるトラフィック変動が許容範囲を超えたときに、変更前後の経路生成元ＡＳ番号と、変更前後の経路生成元ＡＳ番号を含む経路情報毎のトラフィック変動量を管理者に通知することを特徴とする請求項１に記載のネットワーク監視方法。
【請求項４】
前記ステップ５において、前記算出した変更前後の経路生成元ＡＳ番号を含む経路情報毎のトラフィック量を、経路情報・プロトコル毎のトラフィック量、あるいは、経路情報・ポート番号毎トラフィック量に集計し、
前記ステップ６において、前記ＢＧＰ経路生成元ＡＳ変更による経路情報・プロトコル毎のトラフィック量変動、あるいは、経路情報・ポート番号毎トラフィック量変動が許容範囲を超えたときに、変更前後の経路生成元ＡＳ番号と、変更前後の経路生成元ＡＳ番号を含む経路情報・プロトコル毎のトラフィック量変動、あるいは、経路情報・ポート番号毎トラフィック量を管理者に通知することを特徴とすることを特徴とする請求項１に記載のネットワーク監視方法。
【請求項５】
前記ステップ６において、前記ＢＧＰ経路生成元ＡＳ変更によるトラフィック変動が許容範囲を超えたときに、トラフィック量変動時刻付近の受信ＢＧＰメッセージと、経路情報と、経路生成元ＡＳ変更記録と、変更前後の経路生成元ＡＳ番号を含む経路情報毎のトラフィック変動量を管理者に通知することを特徴とする請求項１に記載のネットワーク監視方法。
【請求項６】
複数の自律システムで構成されるネットワークに適用されるネットワーク監視装置であって、
ＢＧＰルータより出力されるＢＧＰメッセージを受信するＢＧＰメッセージ受信手段と、
経路情報管理手段と、
経路生成元ＡＳ変更記録手段と、
トラフィック情報を収集するトラフィック収集手段と、
経路トラフィック算出手段と、
経路トラフィック変動算出手段とを具備し、
前記経路情報管理手段は、前記ＢＧＰメッセージ受信手段で抽出された経路情報を管理するとともに、前記経路情報管理手段で管理している経路情報の中で、ＩＰアドレス空間に一部でも重複があり、かつ生成元ＡＳ番号が異なる経路を検出した場合に、生成元ＡＳ番号変更前後の経路情報を前記経路生成元ＡＳ変更記録手段に渡し、
前記経路生成元ＡＳ変更記録手段は、前記経路情報管理手段から渡された生成元ＡＳ番号変更前後の経路情報に基づき、変更前後の生成元ＡＳ番号と、変更時刻とを変更ＢＧＰ経路生成元ＡＳ変更として記録するとともに、前記経路トラフィック算出手段と前記経路トラフィック変動算出手段に通知し、
前記経路トラフィック算出手段は、前記経路生成元ＡＳ変更記録手段から前記ＢＧＰ経路生成元ＡＳ変更が通知されたときに、前記経路情報管理手段に管理されている経路情報と前記トラフィック収集手段で収集したトラフィック情報とに基づき、変更前後の経路生成元ＡＳ番号を含む経路情報毎のトラフィック量を算出し、
前記経路トラフィック算出手段は、前記経路生成元ＡＳ変更記録手段から前記ＢＧＰ経路生成元ＡＳ変更が通知されたときに、前記経路トラフィック算出手段で算出された前記トラフィック量に基づき、前記ＢＧＰ経路生成元ＡＳ変更によるトラフィック変動を算出することを特徴とするネットワーク監視装置。
【請求項７】
複数の自律システムで構成されるネットワークに適用されるネットワーク監視装置であって、
ＢＧＰルータより出力されるＢＧＰメッセージ、およびＩＲＲデータベースに記録されている経路情報を受信するＢＧＰメッセージ受信手段と、
経路情報管理手段と、
経路生成元ＡＳ変更記録手段と、
トラフィック情報を収集するトラフィック収集手段と、
経路トラフィック算出手段と、
経路トラフィック変動算出手段とを具備し、
前記経路情報管理手段は、前記ＢＧＰメッセージ受信手段で抽出された経路情報を管理するとともに、管理している経路情報の中で、ＩＰアドレス空間に一部でも重複があり、かつ生成元ＡＳ番号が異なる経路を検出した場合に、生成元ＡＳ番号変更前後の経路情報を前記経路生成元ＡＳ変更記録手段に渡し、
前記経路生成元ＡＳ変更記録手段は、前記経路情報管理手段から渡された生成元ＡＳ番号変更前後の経路情報に基づき、変更前後の生成元ＡＳ番号と、変更時刻とを変更ＢＧＰ経路生成元ＡＳ変更として記録するとともに、前記経路トラフィック算出手段と前記経路トラフィック変動算出手段に通知し、
前記経路トラフィック算出手段は、前記経路生成元ＡＳ変更記録手段から前記ＢＧＰ経路生成元ＡＳ変更が通知されたときに、前記経路情報管理手段に管理されている経路情報と前記トラフィック収集手段で収集したトラフィック情報とに基づき、変更前後の経路生成元ＡＳ番号を含む経路情報毎のトラフィック量を算出し、
前記経路トラフィック算出手段は、前記経路生成元ＡＳ変更記録手段から前記ＢＧＰ経路生成元ＡＳ変更が通知されたときに、前記経路トラフィック算出手段で算出された前記トラフィック量に基づき、前記ＢＧＰ経路生成元ＡＳ変更によるトラフィック変動を算出することを特徴とするネットワーク監視装置。
【請求項８】
前記経路トラフィック変動算出手段は、変更前後の経路生成元ＡＳ番号と、変更前後の経路生成元ＡＳ番号を含む経路情報毎のトラフィック量を管理者に通知することを特徴とする請求項６または請求項７に記載のネットワーク監視装置。
【請求項９】
前記経路トラフィック変動算出手段は、前記ＢＧＰ経路生成元ＡＳ変更によるトラフィック変動が許容範囲を超えたときに、変更前後の経路生成元ＡＳ番号と、変更前後の経路生成元ＡＳ番号を含む経路情報毎のトラフィック変動量を管理者に通知することを特徴とする請求項６または請求項７に記載のネットワーク監視装置。
【請求項１０】
前記経路トラフィック算出手段は、前記算出した変更前後の経路生成元ＡＳ番号を含む経路情報毎のトラフィック量を、経路情報・プロトコル毎のトラフィック量、あるいは、経路情報・ポート番号毎トラフィック量に集計し、
前記経路トラフィック変動算出手段は、前記ＢＧＰ経路生成元ＡＳ変更による経路情報・プロトコル毎のトラフィック量変動、あるいは、経路情報・ポート番号毎トラフィック量変動が許容範囲を超えたときに、変更前後の経路生成元ＡＳ番号と、変更前後の経路生成元ＡＳ番号を含む経路情報・プロトコル毎のトラフィック量変動、あるいは、経路情報・ポート番号毎トラフィック量を管理者に通知することを特徴とする請求項６または請求項７に記載のネットワーク監視装置。
【請求項１１】
前記経路トラフィック変動算出手段は、前記ＢＧＰ経路生成元ＡＳ変更によるトラフィック変動が許容範囲を超えたときに、トラフィック量変動時刻付近の受信ＢＧＰメッセージと、経路情報と、経路生成元ＡＳ変更記録と、変更前後の経路生成元ＡＳ番号を含む経路情報毎のトラフィック変動量を管理者に通知することを特徴とする請求項６または請求項７に記載のネットワーク監視装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク監視方法及びネットワーク監視装置に係わり、特に、インターネットの経路変動を監視する際に有効な技術に関する。
【背景技術】
【０００２】
複数の自律システム（Autonomous System；以下、ＡＳという）より構成されるインターネットにおいて、ＩＰパケットはＢＧＰ（Border Gateway Protocol）経路情報に基づいて送信される。ＢＧＰ経路情報には、経路生成元ＡＳ番号と経由ＡＳがＡＳパス属性として記録される。
攻撃目的により経路を乗っ取ってＩＰパケットを誘導したり、一時的に経路を注入してＳＰＡＭメールを送信したり、設定誤りで他ＡＳが所有する経路を広告すること等による不正経路広告により、経路を所有するＡＳ以外のＡＳ番号が経路生成元ＡＳとして記録されたＢＧＰ経路情報がＡＳ間を伝播する場合がある。
従来のネットワーク監視装置としては、ＢＧＰ経路情報を受信するＢＧＰ経路情報受信手段と、ＩＲＲ（Internet Routing Registry）データベースを基に構成され、外部ＡＳより受信したＢＧＰ経路情報を照合して不正経路を判定するＢＧＰ経路情報判定手段で構成されるものが知られている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００７−５３４３０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、従来のネットワーク監視装置では、ＢＧＰ経路情報及びＩＲＲデータベースを基に不正経路を判定しているため、ＩＲＲデータベース更新不備による経路生成元ＡＳ番号不一致と不正経路広告による経路生成元ＡＳ番号不一致を判別できないといった問題があり、経路変動によりどれだけのトラフィックが影響を受けたかの監視や、トラフィック変動を基にして関係する経路変動を抽出することができず、ネットワーク監視において支障を来していた。
本発明は、前記従来技術の問題点を解決するためになされたものであり、本発明の目的は、ネットワーク監視において、ＩＲＲデータベース不備の場合でも、ネットワーク異常の正確な検出と、迅速な分析を行うことが可能となる技術を提供することにある。
本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述及び添付図面によって明らかにする。
【課題を解決するための手段】
【０００５】
本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、下記の通りである。
（１）複数の自律システムで構成されるネットワークに適用されるネットワーク監視装置におけるネットワーク監視方法であって、ＢＧＰルータより出力されるＢＧＰメッセージ、あるいは、ＢＧＰルータより出力されるＢＧＰメッセージ及びＩＲＲデータベースに記録している経路情報を受信するステップ１と、前記ステップ１で抽出された経路情報を管理するステップ２と、前記ステップ２で管理した経路情報の中で、ＩＰアドレス空間に一部でも重複があり、かつ生成元ＡＳ番号が異なる経路を検出した場合に、変更前後の生成元ＡＳ番号と、変更時刻とを変更ＢＧＰ経路生成元ＡＳ変更として記記録するステップ３と、トラフィック情報を収集するステップ４と、前記ステップ３において前記ＢＧＰ経路生成元ＡＳ変更を記録したときに、前記ステップ２で管理した経路情報と前記ステップ４で収集したトラフィック情報とに基づき、変更前後の経路生成元ＡＳ番号を含む経路情報毎のトラフィック量を算出するステップ５と、前記ステップ３で前記ＢＧＰ経路生成元ＡＳ変更を記録したときに、前記ステップ５で算出された前記トラフィック量に基づき、前記ＢＧＰ経路生成元ＡＳ変更によるトラフィック変動を算出するステップ６とを具備することを特徴とする。
【０００６】
（２）（１）において、前記ステップ６において、変更前後の経路生成元ＡＳ番号と、変更前後の経路生成元ＡＳ番号を含む経路情報毎のトラフィック量を管理者に通知する。
（３）（１）において、前記ステップ６において、前記ＢＧＰ経路生成元ＡＳ変更によるトラフィック変動が許容範囲を超えたときに、変更前後の経路生成元ＡＳ番号と、変更前後の経路生成元ＡＳ番号を含む経路情報毎のトラフィック変動量を管理者に通知する。
（４）（１）において、前記ステップ５において、前記算出した変更前後の経路生成元ＡＳ番号を含む経路情報毎のトラフィック量を、経路情報・プロトコル毎のトラフィック量、あるいは、経路情報・ポート番号毎トラフィック量に集計し、前記ステップ６において、前記ＢＧＰ経路生成元ＡＳ変更による経路情報・プロトコル毎のトラフィック量変動、あるいは、経路情報・ポート番号毎トラフィック量変動が許容範囲を超えたときに、変更前後の経路生成元ＡＳ番号と、変更前後の経路生成元ＡＳ番号を含む経路情報・プロトコル毎のトラフィック量変動、あるいは、経路情報・ポート番号毎トラフィック量を管理者に通知する。
（５）（１）において、前記ステップ６において、前記ＢＧＰ経路生成元ＡＳ変更によるトラフィック変動が許容範囲を超えたときに、トラフィック量変動時刻付近の受信ＢＧＰメッセージと、経路情報と、経路生成元ＡＳ変更記録と、変更前後の経路生成元ＡＳ番号を含む経路情報毎のトラフィック変動量を管理者に通知する。
（６）また、本発明は、前述のネットワーク監視方法を実施するネットワーク監視装置である。
【発明の効果】
【０００７】
本願において開示される発明のうち代表的なものによって得られる効果を簡単に説明すれば、下記の通りである。
本発明によれば、ネットワーク監視において、ＩＲＲデータベース不備の場合でも、ネットワーク異常の正確な検出と、迅速な分析を行うことが可能となる。
【図面の簡単な説明】
【０００８】
【図１】本発明の実施例１に係るネットワーク監視装置が適用されるＢＧＰネットワークの一例を示す図である。
【図２】本発明の各実施例のネットワーク監視装置の概略構成を示すブロック図である。
【図３】本発明の実施例１に係るネットワーク監視装置が適用され、ＲＲを用いたＢＧＰネットワークの一例を示す図である。
【図４】本発明の実施例２に係るネットワーク監視装置が適用されるＢＧＰネットワークの一例を示す図である。
【図５】本発明の実施例２に係るネットワーク監視装置が適用され、ＲＲを用いたＢＧＰネットワークの一例を示す図である。
【図６】本発明の各実施例において、ＡＳ２の自律システムから受信したＢＧＰ経路情報の一例を示す図である。
【図７】本発明の各実施例において、ルータ１−１から受信した出力トラフィック情報の一例を示す図である。
【図８】本発明の各実施例において、ルータ１−１から受信した入力トラフィック情報の一例を示す図である。
【図９】本発明の各実施例において、ネットワーク監視装置の経路トラフィック算出部で記録する経路毎出力トラフィック情報の一例を示す図である。
【図１０】本発明の各実施例において、ネットワーク監視装置の経路トラフィック算出部で記録する経路毎入力トラフィック情報の一例を示す図である。
【図１１】本発明の各実施例において、ネットワーク監視装置の経路情報管理部で記録する次ホップ毎トラフィック情報の一例を示す図である。
【図１２】本発明の各実施例において、ネットワーク監視装置の経路情報管理部で記録するピアＡＳ毎トラフィック情報の一例を示す図である。
【図１３】本発明の各実施例において、ネットワーク監視装置の経路情報管理部で記録する生成元ＡＳ毎トラフィック情報の一例を示す図である。
【図１４】本発明の各実施例において、ネットワーク監視装置の経路情報管理部で記録するＡＳホップ数毎トラフィック情報の一例を示す図である。
【図１５】本発明の各実施例において、ネットワーク監視装置の経路情報管理部で記録するＡＳパス毎トラフィック情報の一例を示す図である。
【図１６】本発明の各実施例において、ネットワーク監視装置の経路情報管理部で記録するコミュニティ毎トラフィック情報の一例を示す図である。
【図１７】本発明の各実施例において、ＡＳ３の自律システムから受信した不正ＢＧＰ経路情報の一例を示す図である。
【図１８】本発明の各実施例において、ネットワーク監視装置の経路トラフィック算出部で記録する経路毎出力トラフィック情報の一例を示す図である。
【図１９】本発明の各実施例において、ネットワーク監視装置の経路トラフィック算出部で記録する経路毎入力トラフィック情報の一例を示す図である。
【図２０】本発明の各実施例において、ネットワーク監視装置の経路トラフィック変動算出部で記録し、アラート出力する生成元ＡＳ変更情報の一例を示す図である。
【図２１】本発明の各実施例において、ネットワーク監視装置の経路トラフィック変動算出部で記録し、アラート出力する次ホップルータトラフィック異常情報の一例を示す図である。
【図２２】本発明の各実施例において、経路トラフィック変動算出部で記録し、アラート出力するピアＡＳトラフィック異常情報の一例を示す図である。
【図２３】本発明の各実施例において、ネットワーク監視装置の経路トラフィック変動算出部で記録し、アラート出力する生成元ＡＳトラフィック異常情報の一例を示す図である。
【図２４】本発明の各実施例において、ネットワーク監視装置の経路トラフィック変動算出部で記録し、アラート出力するＡＳホップ数トラフィック異常情報の一例を示す図である。
【図２５】本発明の各実施例において、ネットワーク監視装置の経路トラフィック変動算出部で記録し、アラート出力するＡＳパストラフィック異常情報の一例を示す図である。
【図２６】本発明の各実施例において、ネットワーク監視装置の経路トラフィック変動算出部で記録し、アラート出力するコミュニティトラフィック異常情報の一例を示す図である。
【図２７】本発明の各実施例において、ネットワーク監視装置の経路トラフィック変動算出部で記録し、アラート出力する次ホップルータトラフィック異常情報の一例を示す図である。
【図２８】本発明の各実施例において、ネットワーク監視装置の経路トラフィック変動算出部で記録し、アラート出力するピアＡＳトラフィック異常情報の一例を示す図である。
【図２９】本発明の各実施例において、ネットワーク監視装置の経路トラフィック変動算出部で記録し、アラート出力する生成元ＡＳトラフィック異常情報の一例を示す図である。
【図３０】本発明の各実施例において、ネットワーク監視装置の経路トラフィック変動算出部で記録し、アラート出力するＡＳホップ数トラフィック異常情報の一例を示す図である。
【図３１】本発明の各実施例において、ネットワーク監視装置の経路トラフィック変動算出部で記録し、アラート出力するＡＳパストラフィック異常情報の一例を示す図である。
【図３２】本発明の各実施例において、ネットワーク監視装置の経路トラフィック変動算出部で記録し、アラート出力するコミュニティトラフィック異常情報の一例を示す図である。
【発明を実施するための形態】
【０００９】
以下、図面を参照して本発明の実施例を詳細に説明する。
なお、実施例を説明するための全図において、同一機能を有するものは同一符号を付け、その繰り返しの説明は省略する。また、以下の実施例は、本発明の特許請求の範囲の解釈を限定するためのものではない。
［実施例１］
図１は、本発明の実施例１に係るネットワーク監視装置が適用されるＢＧＰネットワークの一例を示す図である。
図１において、１００は自ＡＳであるＡＳ１、１１０は他ＡＳであるＡＳ２、１２０は他ＡＳのＡＳ３である。ＡＳ１（１００）のＢＧＰルータ（Border Gateway Protocol；以下、ルータという）１−１（１１）とＡＳ２（１１０）のルータ２−１（１３）との間でＢＧＰメッセージを用いて経路情報を交換し、ＡＳ１（１００）のルータ１−２（１２）とＡＳ３（１２０）のルータ３−１（１４）との間でＢＧＰメッセージを用いて経路情報を交換する。
ネットワーク監視装置１０は、ルータ１−１（１１）及びルータ１−２（１２）より、Ｉ−ＢＧＰ（Internal-BGP）によりＢＧＰメッセージを受信し、フローデータを用いて端末（１５）とＷｅｂサーバ１６との間のトラフィックを含むルータ１−１（１１）及びルータ１−２（１２）のトラフィック情報を受信する。
【００１０】
図２は、本発明の実施例１におけるネットワーク監視装置の概略構成を示すブロック図である。
ＢＧＰメッセージ受信部２０は、ルータからＢＧＰメッセージを受信して記録し、経路情報管理部２１に、経路情報として、プレフィックス、次ホップルータ、ピアＡＳ、生成元ＡＳ、ＡＳホップ数、ＡＳパス、コミュニティ情報・受信時刻を渡す。
経路情報管理部２１は、受信した経路情報を記録し、記録している経路情報の中で、記録しているプレフィックスと完全に一致して生成元ＡＳが異なる新たな経路情報を受信した場合、及び、記録しているプレフィックスの一部に含まれるプレフィックスであり生成元ＡＳが異なる新たな経路情報を受信した場合、並びに、記録しているプレフィックスを含むプレフィックスであり生成元ＡＳが異なる新たな経路情報を受信した場合、経路生成元ＡＳ変更として経路生成元ＡＳ変更記録部２２に変更前後の経路情報を渡す。前述の処理の際、Withdrawメッセージを受信して一時的に経路情報が削除されても、該経路情報を一定時間保持することで、生成元ＡＳの変更を判断する。
経路生成元ＡＳ変更記録部２２は、経路生成元ＡＳ変更前後の経路情報を受信し、経路生成元ＡＳ変更を検出して記録し、経路トラフィック変動算出部２５、及び経路トラフィック算出部２４へ経路生成元ＡＳ変更前後の経路情報を渡す。
【００１１】
トラフィック収集部２３は、ルータからトラフィック情報を受信して、ルータのインタフェース毎への入力トラフィック及び出力トラフィックに対して、送信元ＩＰアドレス・宛先ＩＰアドレス・プロトコル・送信元ポート番号・宛先ポート番号の組み合わせに対するトラフィック量を時系列で記録し、経路トラフィック算出部２４に渡す。ルータから得られるトラフィック情報として、例えばＮｅｔｆｌｏｗ及びｓＦｌｏｗ及びＩＰＦＩＸ等のフローデータがあげられる。
経路トラフィック算出部２４は、経路情報管理部２１で記録している経路情報と、受信したトラフィック情報を基にして、プレフィックス宛て及びプレフィックス向けのトラフィック量を、プロトコル毎、送信元ポート番号毎、および宛先ポート番号毎の条件で算出し、かつ、プレフィックス宛及びプレフィックス向けトラフィック量を、次ホップルータ毎、ピアＡＳ毎、生成元ＡＳ毎、ＡＳホップ数毎、ＡＳパス毎およびコミュニティ情報毎に集計し、記録する。
また、経路生成元ＡＳ変更記録部２２より経路生成元ＡＳ変更前後の経路情報が渡された場合、該当するプレフィックスに関して、トラフィック収集部２３の記録を用いて一定時間過去のプレフィックス宛て及びプレフィックス向けのトラフィック量を、プロトコル毎、送信元ポート番号毎、および宛先ポート番号毎の条件で算出し、かつ、プレフィックス宛及びプレフィックス向けトラフィック量を、次ホップルータ毎、ピアＡＳ毎、生成元ＡＳ毎、ＡＳホップ数毎、ＡＳパス毎およびコミュニティ情報毎に集計し、記録する。
【００１２】
経路トラフィック変動算出部２５は、経路生成元ＡＳ変更記録部２２より経路生成元ＡＳ変更前後の経路情報を受信し、経路トラフィック算出部２４より生成元ＡＳが変更される前の該当するプレフィックスに対する変更前後の時刻に対するトラフィック量を取得する。次に、生成元ＡＳを変更した後に該当するプレフィックスに対して、経路トラフィック算出部２４より変更前後の時刻に対するトラフィック量を取得する。
生成元ＡＳ変更前後のプレフィックス毎のトラフィック量の差分をプロトコル毎、送信元ポート番号毎、および宛先ポート番号毎の条件で算出し、変動量があらかじめ設定された閾値を超えた場合、生成元ＡＳ変更によるトラフィック異常として、変更前後の生成元ＡＳ番号およびトラフィック量情報を含むアラートを管理者に送信する。
同時に、経路トラフィック算出部２４より、変更前後の時刻に対するトラフィック量を、次ホップルータ毎、ピアＡＳ毎、生成元ＡＳ毎、ＡＳホップ数毎、ＡＳパス毎、およびコミュニティ毎に取得し、トラフィック変動量があらかじめ設定された閾値を超えた場合、トラフィック異常として、変更前後の生成元ＡＳ番号およびトラフィック量情報を含むアラートを管理者に送信する。
経路トラフィック変動算出部２５は、経路トラフィック算出部２４からの情報だけでも、プロトコル毎、送信元ポート番号毎、および宛先ポート番号毎に集計されたプレフィックス毎のトラフィック変動量、並びに、次ホップルータ毎、ピアＡＳ毎、生成元ＡＳ毎、ＡＳホップ数毎、ＡＳパス毎、およびコミュニティ毎のトラフィック変動量に対して、あらかじめ設定された閾値を超えた場合、トラフィック量変動時刻付近の受信ＢＧＰメッセージと経路情報と経路生成元ＡＳ変更記録を、ＢＧＰメッセージ受信部２０と、経路情報管理部２１と、経路生成元ＡＳ変更記録部２２から取得し、ＢＧＰメッセージ、経路情報、経路生成元ＡＳ変更記録およびトラフィック情報を含むアラートを管理者に送信する。
【００１３】
図１のＡＳ２（１１０）が保有するプレフィックス［１９２．１６８．０．０／１６］がルータ２−１（１３）から広告されているとき、ＡＳ１（１００）内のルータは、［１９２．１６８．０．０／１６］宛てのＩＰパケットをＡＳ２（１１０）宛てに送信するよう転送テーブルに設定し、ＡＳ２（１１０）内のＷｅｂサーバ１６のＩＰアドレス［１９２．１６８．０．１］に対して、ＴＣＰプロトコル・宛先ポート番号８０番で通信を行う。また、ＡＳ１（１００）内のルータは、経路［１９２．１６８．１．０／１６］の生成元ＡＳがＡＳ２（１１０）である旨のＢＧＰメッセージをピアルータに送信する。
図２のＢＧＰメッセージ受信部２０は受信したＢＧＰメッセージを記録し、経路情報管理部２１は、図６に示すように、プレフィックス、次ホップルータ、ピアＡＳ、生成元ＡＳ、ＡＳホップ数、ＡＳパス、コミュニティ、受信時刻を記録する。
図２のトラフィック収集部２３は、受信したトラフィック情報を記録し、図７及び図８に示すように、トラフィック情報出力ルータ、入力インタフェース、出力インタフェース、送信元ＩＰアドレス、宛先ＩＰアドレス、プロトコル、送信元ポート番号、宛先ポート番号、トラフィック量、パケット数、受信時刻を記録する。プロトコル、送信元ポート番号、宛先ポート番号については、全数（ＡＮＹ）条件でも計測、記録する。即ち、プロトコル、送信元ポート番号、宛先ポート番号については分類せず、トラフィック情報出力ルータ、入力インタフェース、出力インタフェース、宛先プレフィックス毎の分類だけでも計測、記録する。
経路トラフィック算出部２４は、図９及び図１０に示すように、トラフィック情報出力ルータ、入力インタフェース、出力インタフェース、宛先プレフィックス、プロトコル、送信元ポート番号、宛先ポート番号、トラフィック量、パケット数、受信時刻を記録する。プロトコル、送信元ポート番号、宛先ポート番号については、全数（ＡＮＹ）条件でも計測、記録する。
また、経路トラフィック算出部２４は、トラフィック収集部２３及び経路情報管理部２１より、受信したトラフィック情報に対して、図１１〜１６に示すように、次ホップルータ毎、ピアＡＳ毎、生成元ＡＳ毎、ＡＳホップ数毎、ＡＳパス毎、およびコミュニティ毎にトラフィック量を集計し、記録する。
【００１４】
図１のＡＳ３（１２０）のルータ３−１（１４）から、攻撃目的あるいは設定間違いにより［１９２．１６８．０．０／２４］の経路が広告されると、プレフィックス長のより長い経路を優先するLongestMatchにより、ＡＳ１（１００）内のルータは［１９２．１６８．１．０／２４］宛てのＩＰパケットをＡＳ３（１２０）向けに送信するよう転送テーブルを設定し、経路［１９２．１６８．１．０／２４］の生成元ＡＳがＡＳ３（１２０）である旨のＢＧＰメッセージをピアルータに送信する。
この結果、ＡＳ１（１００）内のルータは、［１９２．１６８．０．１］宛てのＩＰパケットを含む［１９２．１６８．０．０／２４］宛てのパケットをＡＳ３（１２０）宛てに送信するため、ＡＳ１（１００）内の端末１５は、ＡＳ２（１１０）のＷｅｂサーバ１６宛にパケットを送信してもＡＳ３（１２０）に送信され、Ｗｅｂサーバ１６からの戻りのパケットは受信しなくなる。
図２のＢＧＰメッセージ受信部２０は受信したＢＧＰメッセージを記録し、経路情報管理部２１に、経路情報として、プレフィックス、次ホップルータ、ピアＡＳ、生成元ＡＳ、ＡＳホップ数、ＡＳパス、コミュニティ情報・受信時刻を渡す。
【００１５】
経路情報管理部２１は、図１７に示すように、プレフィックス、次ホップルータ、ピアＡＳ、生成元ＡＳ、ＡＳホップ数、ＡＳパス、コミュニティ、受信時刻を記録する。また、経路情報管理部２１は、受信した経路情報が、記録している経路情報のプレフィックスに含まれるプレフィックスであり生成元ＡＳが異なる新たな経路情報であるので、経路生成元ＡＳ変更記録部２２に変更前後の経路情報を渡す。
図２のトラフィック収集部２３は、受信したトラフィック情報を記録する。送信元ＩＰアドレス［１０．０．０．１］、及び宛先ＩＰアドレス［１９２．１６８．０．１］の時刻Ｔ４以降のトラフィックは、ＴＣＰ接続を試みるＳＹＮパケットを少量受信する可能性があるが、送信元ＩＰアドレス［１９２．１６８．０．１］、及び宛先ＩＰアドレス［１０．０．０．１］のパケットは流れないため、ルータ１−１（１１）からトラフィック情報として出力されない。
このとき、経路トラフィック算出部２４は、トラフィック収集部２３より渡されるトラフィック情報について、［１９２．１６８．０．０／２４］を宛先ＩＰアドレスとするトラフィック情報として少量のトラフィックが観測された場合に記録する。［１９２．１６８．０．０／２４］を送信元ＩＰアドレスとするトラフィック情報については受信しないため、トラフィック量は記録されない。
【００１６】
経路生成元ＡＳ変更記録部２２は、プレフィックス［１９２．１６８．０．０／２４］、生成元ＡＳ［３］、受信時刻［Ｔ３］と、プレフィックス［１９２．１６８．０．０／１６］、生成元ＡＳ［２］、受信時刻［Ｔ１］を比較し、プレフィックス［１９２．１６８．０．０／１６］に、プレフィックス［１９２．１６８．０．０／２４］が含まれること、かつ生成元ＡＳがＡＳ２（１１０）からＡＳ３（１２０）に変更されたことを検出し、プレフィックス［１９２．１６８．０．０／２４］、変更前生成元ＡＳ［２］、変更後生成元ＡＳ［３］、変更時刻［Ｔ３］を記録し、経路トラフィック変動算出部２５と、トラフィック算出部２４へ通知するとともに、管理者に記録した情報を含むアラートを送信する。
また、経路トラフィック算出部２４は、経路生成元ＡＳ変更記録部２２から通知されたプレフィックスである［１９２．１６８．０．０／２４］を宛先または送信元とする一定時間前（例えば、３０分前）のトラフィック量について、トラフィック収集部２３の記録を用いて算出し記録する。例えば、図１８、図１９に示すような値を記録する。
経路トラフィック変動算出部２５は、通知された経路生成元ＡＳ変更記録より、プレフィックス［１９２．１６８．０．０／２４］に対するトラフィック変化量を算出する。経路生成元ＡＳ変更を検出した時刻Ｔ３の一定時間前と、Ｔ３以降の該プレフィックス［１９２．１６８．０．０／２４］に関するトラフィック量を比較し、プロトコル毎、送信元ポート番号毎、宛先ポート番号毎のいずれかでトラフィック変動量の許容範囲（例えば、５０％）を超えていることを検出する。そして、生成元ＡＳ変更によるトラフィック異常アラートとして、図２０の情報を含むアラートを設定された管理者に送信する。
また、経路トラフィック変動算出部２５は、経路生成元ＡＳ変更を検出した時刻Ｔ３の一定時間前と、Ｔ３以降のトラフィック量を比較し、次ホップルータ毎、ピアＡＳ毎、生成元ＡＳ毎、ＡＳホップ数毎、ＡＳパス毎、コミュニティ毎のトラフィック変化量に対して、許容範囲（例えば、５０％）を超えていることを検出する。そして、トラフィック異常アラートとして、例えば図２１〜図２６の情報を含むアラートを設定された管理者に送信する。
【００１７】
経路トラフィック変動算出部２５は、経路情報変更の検出有無に関わらず、経路トラフィック算出部２４の記録に基づき、プレフィックス［１９２．１６８．０．０／２４］、及びプレフィックス［１９２．１６８．０．０／１６］に対して、最新時刻のトラフィック量と一定時間（例えば、３０分）前のトラフィック量を比較し、プロトコル毎、送信元ポート番号毎、宛先ポート番号毎の各条件のいずれかでトラフィック変動量の許容範囲（例えば、５０％）を超えていることを検出する。同時に次ホップルータ毎、ピアＡＳ毎、生成元ＡＳ毎、ＡＳホップ数毎、ＡＳパス毎、コミュニティ毎のトラフィック変化量に対してもトラフィック変動量の許容範囲（例えば、５０％）を超えていることを検出する。
そして、最新時刻と一定時間前の間に受信したＢＧＰメッセージと、経路情報と、経路生成元ＡＳ変更記録を、ＢＧＰメッセージ受信部２０、経路情報管理部２１、経路生成元ＡＳ変更記録部２２から取得し、図２０及び図２７〜図３２を含むアラートを管理者に送信する。
なお、図１ではネットワーク監視装置１０がルータ１−１（１１）及びルータ１−２（１２）とＢＧＰメッセージを交換していたが、図３に示すようにＲＲ（Route Reflector）１７とネットワーク監視装置１０がＢＧＰメッセージを交換する構成にしてもよい。
以上説明したように、本実施例に係るネットワーク監視装置は、受信したＢＧＰメッセージより経路生成元ＡＳ変更を検出するだけでなく、トラフィック情報よりプレフィックス毎のトラフィック変動量が許容範囲を超えたことを検出することで、トラフィックに影響を与える経路生成元ＡＳ変更と、ＩＲＲデータベース不備のときのようにトラフィックに影響を与えない経路生成元ＡＳ変更を判別して検出可能とし、経路変動によりどれだけのトラフィックが影響を受けたかの監視や、トラフィック変動を基にして関係する経路変動を抽出することが可能になる。
【００１８】
［実施例２］
本発明の実施例２に係るネットワーク監視装置の動作について、図２及び図４を参照して説明する。なお、本発明の実施例２に係るネットワーク監視装置を構成する構成要素のうち、本発明の実施例１に係るネットワーク監視装置を構成する構成要素と同一の構成要素には同一の符号を付し、それぞれの説明を省略する。
図４のＡＳ２（１１０）が保有するプレフィックス［１９２．１６８．０．０／１６］がルータ２−１（１３）から広告されているとき、ＡＳ１（１００）内のルータは、［１９２．１６８．０．０／１６］宛てのＩＰパケットをＡＳ２（１１０）宛てに送信するよう転送テーブルに設定する。ＡＳ２（１１０）内のＷｅｂサーバ１６のＩＰアドレス［１９２．１６８．０．１］に対してＴＣＰプロトコル・宛先ポート番号８０番で通信を行う。また、ＡＳ１（１００）内のルータは、経路［１９２．１６８．１．０／１６］の生成元ＡＳがＡＳ２（１１０）である旨のＢＧＰメッセージをピアルータに送信する。
図４のネットワーク監視装置１０は、ルータ１−１（１１）及びルータ１−２（１２）より、Ｉ−ＢＧＰを用いてＢＧＰメッセージを受信し、フローデータを用いて端末とＷｅｂサーバ１６とのトラフィックを含むルータ１−１（１１）及びルータ１−２（１２）のトラフィック情報を受信し、ＩＲＲデータベース（以下、ＩＲＲという）１８より、ＡＳに割り当てられている経路情報を取得する。
【００１９】
図２のＢＧＰメッセージ受信部２０は、一定時間ごとにＩＲＲ１８から経路情報を取得し、経路情報管理部２１はプレフィックス［１９２．１６８．０．０／１６］、生成元ＡＳ［２］、情報源［ＩＲＲ］を記録する。また、ルータ１−１（１１）から受信したＢＧＰメッセージを記録し、経路情報管理部２１は図６に示すように経路情報を記録する。
経路生成元ＡＳ変更記録部２２は、プレフィックス［１９２．１６８．０．０／１６］、生成元ＡＳ［２］、受信時刻［Ｔ１］と、ＩＲＲ１８を情報源とするプレフィックス［１９２．１６８．０．０／１６］、生成元ＡＳ［２］を比較し、経路生成元ＡＳに相違がないことを記録する。
トラフィック収集部２３は、受信したトラフィック情報として、図７、図８の情報を記録する。プロトコル、送信元ポート番号、宛先ポート番号については、全数（ＡＮＹ）条件でも計測、記録する。
経路トラフィック算出部２４は、プレフィックス毎のトラフィック量として、図９、図１０の情報を記録する。プロトコル、送信元ポート番号、宛先ポート番号については、全数（ＡＮＹ）条件でも計測、記録する。
また、経路トラフィック算出部２４は、トラフィック収集部２３及び経路情報管理部２１より、受信したトラフィック情報に対して、次ホップルータ毎、ピアＡＳ毎、生成元ＡＳ毎、ＡＳホップ数毎、ＡＳパス毎、コミュニティ毎にトラフィック量を集計し、例えば図１１〜図１６の情報を記録する。
【００２０】
図４のＡＳ３（１２０）のルータ３−１（１４）から、攻撃目的あるいは設定間違いにより［１９２．１６８．０．０／２４］の経路が広告されると、プレフィックス長のより長い経路を優先するLongestMatchにより、ＡＳ１（１００）内のルータは［１９２．１６８．１．０／２４］宛てのＩＰパケットをＡＳ３（１２０）向けに送信するよう転送テーブルを設定し、経路［１９２．１６８．１．０／２４］の生成元ＡＳがＡＳ３（１２０）である旨のＢＧＰメッセージをピアルータに送信する。
この結果、ＡＳ１（１００）内のルータは、［１９２．１６８．０．１］宛てのＩＰパケットを含む［１９２．１６８．０．０／２４］宛てのパケットをＡＳ３（１２０）宛てに送信するため、ＡＳ１（１００）内の端末１５は、ＡＳ２（１１０）のＷｅｂサーバ１６宛にパケットを送信してもＡＳ３（１２０）に送信され、Ｗｅｂサーバ１６からの戻りのパケットは受信しなくなる。
図２のＢＧＰメッセージ受信部２０は受信したＢＧＰメッセージを記録し、経路情報管理部２１に、経路情報として、プレフィックス、次ホップルータ、ピアＡＳ、生成元ＡＳ、ＡＳホップ数、ＡＳパス、コミュニティ情報・受信時刻を渡す。
【００２１】
経路情報管理部２１は、例えば図１７に示すように、プレフィックス、次ホップルータ、ピアＡＳ、生成元ＡＳ、ＡＳホップ数、ＡＳパス、コミュニティ、受信時刻を記録する。また、経路情報管理部２１は、受信した経路情報が、記録している経路情報のプレフィックスに含まれるプレフィックスであり生成元ＡＳが異なる新たな経路情報であるので、経路生成元ＡＳ変更記録部２２に変更前後の経路情報を渡す。
図２のトラフィック収集部２３は、受信したトラフィック情報を記録する。送信元ＩＰアドレス［１０．０．０．１］、宛先ＩＰアドレス［１９２．１６８．０．１］の時刻Ｔ３以降のトラフィックは、ＴＣＰ接続を試みるＳＹＮパケットを少量受信する可能性があるが、送信元ＩＰアドレス［１９２．１６８．０．１］、宛先ＩＰアドレス［１０．０．０．１］のパケットは流れないため、ルータ１−１（１１）からトラフィック情報として出力されない。
このとき、経路トラフィック算出部２４は、トラフィック収集部２３より渡されるトラフィック情報について、［１９２．１６８．０．０／２４］を宛先ＩＰアドレスとするトラフィック情報として少量のトラフィックが観測された場合に記録する。［１９２．１６８．０．０／２４］を送信元ＩＰアドレスとするトラフィック情報については受信しないため、トラフィック情報を記録しない。
【００２２】
経路生成元ＡＳ変更記録部２２は、プレフィックス［１９２．１６８．０．０／２４］、生成元ＡＳ［３］、受信時刻［Ｔ３］と、ＩＲＲ１８を情報源とするプレフィックス［１９２．１６８．０．０／１６］、生成元ＡＳ［２］を比較し、ＩＲＲ１８を情報源とするプレフィックス［１９２．１６８．０．０／１６］に、ＢＧＰメッセージを情報源とするプレフィックス［１９２．１６８．０．０／２４］が含まれること、かつ生成元ＡＳがＡＳ２（１１０）からＡＳ３（１２０）に変更されたことを検出し、経路生成元ＡＳ変更として、プレフィックス［１９２．１６８．０．０／２４］、変更前生成元ＡＳ［２］、変更後生成元ＡＳ［３］、変更時刻［Ｔ３］を記録し、経路トラフィック変動算出部２５と、経路トラフィック算出部２４へ渡すとともに、管理者に記録した情報を含むアラートを送信する。
また、経路トラフィック算出部２４は、経路生成元ＡＳ変更記録部２２から渡されたプレフィックスである［１９２．１６８．０．０／２４］を宛先または送信元とする一定時間前（例えば、３０分前）のトラフィック量について、トラフィック収集部２３の記録を用いて算出し記録する。例えば、図１８、図１９の情報を得る。
経路トラフィック変動算出部２５は、受信した経路生成元ＡＳ変更記録より、プレフィックス［１９２．１６８．０．０／２４］に対するトラフィック変化量を算出する。経路生成元ＡＳ変更を検出した時刻Ｔ３の一定時間前と、Ｔ３以降の該プレフィックス［１９２．１６８．０．０／２４］に関するトラフィック量を比較し、プロトコル毎、送信元ポート番号毎、宛先ポート番号毎のいずれかでトラフィック変動量の許容範囲（例えば、５０％）を超えていることを検出する。そして、生成元ＡＳ変更によるトラフィック異常アラートとして、図２０の情報を含むアラートを設定された管理者に送信する。
【００２３】
また、経路トラフィック変動算出部２５は、経路生成元ＡＳ変更を検出した時刻Ｔ３の一定時間前と、Ｔ３以降のトラフィック量を比較し、次ホップルータ毎、ピアＡＳ毎、生成元ＡＳ毎、ＡＳホップ数毎、ＡＳパス毎、コミュニティ毎のトラフィック変化量に対して、許容範囲（例えば、５０％）を超えていることを検出する。そして、トラフィック異常アラートとして、図２０〜図２６の情報を含むアラートを設定された管理者に送信する。
経路トラフィック変動算出部２５は、経路情報変更の検出有無に関わらず、経路トラフィック算出部２４の記録に基づき、プレフィックス［１９２．１６８．０．０／２４］、及びプレフィックス［１９２．１６８．０．０／１６］に対して、最新時刻のトラフィック量と一定時間前のトラフィック量を比較し、プロトコル毎、送信元ポート番号毎、宛先ポート番号毎の各条件のいずれかでトラフィック変動量の許容範囲を超えていることを検出する。同時に次ホップルータ毎、ピアＡＳ毎、生成元ＡＳ毎、ＡＳホップ数毎、ＡＳパス毎、コミュニティ毎のトラフィック変化量に対してもトラフィック変動量の許容範囲を超えていることを検出する。
そして、最新時刻と一定時間前の間に受信したＢＧＰメッセージと経路情報と経路生成元ＡＳ変更記録をＢＧＰメッセージ受信部２０と、経路情報管理部２１と、経路生成元ＡＳ変更記録部２２から取得し、図２０及び図２７〜図３２を含むアラートを管理者に送信する。
【００２４】
なお、図４ではネットワーク監視装置１０がルータ１−１（１１）及びルータ１−２（１２）とＢＧＰメッセージを交換していたが、図５に示すようにＲＲ（７）とネットワーク監視装置１０がＢＧＰメッセージを交換する構成にしてもよい。
以上説明したように、本実施例に係るネットワーク監視装置は、ＩＲＲ（１８）による経路情報を基準にして、受信したＢＧＰメッセージと照合することで経路生成元ＡＳ変更を検出するだけでなく、トラフィック情報よりプレフィックス毎のトラフィック変動量が許容範囲を超えたことを検出することで、トラフィックに影響を与える経路生成元ＡＳ変更と、ＩＲＲデータベース不備のときのように経路生成元ＡＳが異なる経路広告であってもトラフィックに影響を与えないものを判別して検出可能とし、経路変動によりどれだけのトラフィックが影響を受けたかの監視や、トラフィック変動を基にして関係する経路変動を抽出することが可能になる。
【００２５】
このように、本実施例のネットワーク監視装置は、ＢＧＰ経路情報以外に経路毎トラフィック変動量を合わせて分析することにより、ＢＧＰ経路生成元ＡＳの変更を検出した上で、トラフィック変化の有無を認識でき、経路変動によりどれだけのトラフィックが影響を受けたかの監視や、トラフィック変動を基にして関係する経路変動を抽出することが可能になるという効果を有し、ネットワーク監視装置として有用である。
本発明によれば、ＢＧＰ経路情報及びＩＲＲデータベース以外に、経路情報毎トラフィック変動量、及びプロトコル・ポート番号毎の経路毎トラフィック変動量を観測することにより、ＩＲＲデータベース不備の場合でも、ＢＧＰ経路生成元ＡＳの変更を検出した上で、トラフィック変動量の許容量超過を検出できる。これにより、攻撃目的により経路を乗っ取ってＩＰパケットを誘導する場合の不正経路広告で現れる送受信トラフィック量変化や、一時的に経路を注入してＳＰＡＭメールを送信するときの不正経路広告で現れるトラフィックのプロトコル・ポート番号変化や、設定誤りで他ＡＳが所有する経路を広告することによる送受信トラフィックの減少を検出可能にするとともに、ＩＲＲデータベース不備のときのように経路生成元ＡＳが異なる経路広告であってもトラフィックに影響を与えないものを判別して検出可能とし、経路変動によりどれだけのトラフィックが影響を受けたかの監視や、トラフィック変動を基にして関係する経路変動を抽出することが可能になる。
以上、本発明者によってなされた発明を、前記実施例に基づき具体的に説明したが、本発明は、前記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。
【符号の説明】
【００２６】
１０  ネットワーク監視装置
１１，１２，１３，１４  ルータ
１５  端末
１６  Ｗｅｂサーバ
１７  ＲＲ（Route Reflector）
１８  ＩＲＲ（Internet Routing Registry）データベース
２０  ＢＧＰメッセージ受信部
２１  経路情報管理部
２２  経路生成元ＡＳ変更記録部
２３  トラフィック収集部
２４  経路トラフィック算出部
２５  経路トラフィック変動算出部
１００，１１０，１２０  ＡＳ
【図１】
2011114743.tif 000003
【図２】
2011114743.tif 000004
【図３】
2011114743.tif 000005
【図４】
2011114743.tif 000006
【図５】
2011114743.tif 000007
【図６】
2011114743.tif 000008
【図７】
2011114743.tif 000009
【図８】
2011114743.tif 000010
【図９】
2011114743.tif 000011
【図１０】
2011114743.tif 000012
【図１１】
2011114743.tif 000013
【図１２】
2011114743.tif 000014
【図１３】
2011114743.tif 000015
【図１４】
2011114743.tif 000016
【図１５】
2011114743.tif 000017
【図１６】
2011114743.tif 000018
【図１７】
2011114743.tif 000019
【図１８】
2011114743.tif 000020
【図１９】
2011114743.tif 000021
【図２０】
2011114743.tif 000022
【図２１】
2011114743.tif 000023
【図２２】
2011114743.tif 000024
【図２３】
2011114743.tif 000025
【図２４】
2011114743.tif 000026
【図２５】
2011114743.tif 000027
【図２６】
2011114743.tif 000028
【図２７】
2011114743.tif 000029
【図２８】
2011114743.tif 000030
【図２９】
2011114743.tif 000031
【図３０】
2011114743.tif 000032
【図３１】
2011114743.tif 000033
【図３２】
2011114743.tif 000034