(57)【要約】【課題】  現在、通信キャリアは提供サービス形態が複雑化し扱うプロトコル種別も多種多様になっており、異常パケットによる攻撃を受ける脅威の範囲が拡大している。よって、きめ細かなフロー監視をすることで、利用者に安定的なネットワーク資源の供給を行う必要性がある。【解決手段】  上記課題を解決するために本発明では、ユーザ宅内装置が接続されるユーザネットワークを論理インターフェース毎に収容し、論理インターフェース毎にトラフィック量を収集し、対処する機能を有するトラフィック監視システムを提供する。【選択図】図５
2011151514.tif 000002
【特許請求の範囲】
【請求項１】
トラフィック監視システムであって、
端末装置と複数の通信回線を介して通信する通信装置と、
前記端末装置のトラフィックを監視する監視装置とを有し、
前記通信装置は、前記通信回線毎に、複数の前記端末装置と論理回線によりセッションを確立し、
前記監視装置は、前記端末装置のトラフィックを前記論理回線内のフロー種別毎に監視することを特徴とするトラフィック監視システム。
【請求項２】
請求項１記載のトラフィック監視システムであって、
前記監視装置は、監視対象のフローのトラフィックが所定の閾値を超過した場合は、所定の対処命令を前記通信装置に送信することを特徴とするトラフィック監視システム。
【請求項３】
請求項１記載のトラフィック監視システムであって、
前記フロー種別には、ＩＣＭＰ  Ｔｉｍｅ  Ｅｘｃｅｅｄｅｄメッセージが含まれることを特徴とするトラフィック監視システム。
【請求項４】
請求項１記載のトラフィック監視システムであって、
前記フロー種別には、ＩＣＭＰ  Ｔｏｏ  Ｂｉｇメッセージが含まれることを特徴とするトラフィック監視システム。
【請求項５】
請求項１記載のトラフィック監視システムであって、
前記フロー種別には、ＩＣＭＰ  Ｐｏｒｔ  Ｕｎｒｅａｃｈａｂｌｅメッセージが含まれることを特徴とするトラフィック監視システム。
【請求項６】
請求項１記載のトラフィック監視システムであって、
前記フロー種別には、ＩＣＭＰ  Ｄｅｓｔｉｎａｔｉｏｎ  Ｕｎｒｅａｃｈａｂｌｅメッセージが含まれることを特徴とするトラフィック監視システム。
【請求項７】
請求項１記載のトラフィック監視システムであって、
前記フロー種別には、ＩＣＭＰ  Ｅｃｈｏ  Ｒｅｑｕｅｓｔメッセージが含まれることを特徴とするトラフィック監視システム。
【請求項８】
請求項１記載のトラフィック監視システムであって、
前記フロー種別には、Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｈｅａｄｅｒメッセージを含むＩＰｖ６パケットが含まれることを特徴とするトラフィック監視システム。
【請求項９】
請求項１記載のトラフィック監視システムであって、
前記フロー種別には、Ｅｎｃａｐｓｕｌａｔｅｄ  Ｓｅｃｕｒｉｔｙ  Ｐａｙｌｏａｄ
を含むＩＰｖ６パケットが含まれることを特徴とするトラフィック監視システム。
【請求項１０】
請求項１記載のトラフィック監視システムであって、
前記フロー種別には、Ｎｅｉｇｈｂｏｒ  Ａｄｖｅｒｔｉｓｅｍｅｎｔ  （ＮＡ）又はＲｏｕｔｅｒ  ａｄｖｅｒｔｉｓｅｍｅｎｔ（ＲＡ）を含むＩＰｖ６パケットが含まれることを特徴とするトラフィック監視システム。
【請求項１１】
請求項１記載のトラフィック監視システムであって、
前記フロー種別には、ＰＰＰｏＥ  Ａｃｔｉｖｅ  Ｄｉｓｃｏｖｅｒｙ  Ｉｎｉｔｉａｔｉｏｎ  （ＰＡＤＩ）パケットが含まれることを特徴とするトラフィック監視システム。
【請求項１２】
請求項１記載のトラフィック監視システムであって、
前記フロー種別には、ブロードキャストパケットが含まれることを特徴とするトラフィック監視システム。
【請求項１３】
請求項２記載のトラフィック監視システムであって、
前記対処命令には、前記監視対象のフローのセッションの強制切断処理が含まれることを特徴とするトラフィック監視システム。
【請求項１４】
請求項２記載のトラフィック監視システムであって、
前記対処命令には、前記監視対象のフローのフィルタリング処理が含まれることを特徴とするトラフィック監視システム。
【請求項１５】
請求項２記載のトラフィック監視システムであって、
前記対処命令には、前記監視対象のフローを転送する物理回線又は論理回線の変更処理が含まれることを特徴とするトラフィック監視システム。
【請求項１６】
請求項２記載のトラフィック監視システムであって、
前記対処命令には、前記監視対象のフローの転送量の制限が含まれることを特徴とするトラフィック監視システム。
【請求項１７】
請求項１乃至１６記載のトラフィック監視システムであって、
前記通信装置と連携して端末装置の認証処理を行う認証装置を有し、
前記監視装置は、前記認証装置からセッション情報を取得し、当該セッション情報を基に、前記端末装置のフロー毎のトラフィックを監視することを特徴とするトラフィック監視システム。
【請求項１８】
請求１乃至１７記載のトラフィック監視システムであって、
前記監視装置は、前記通信装置から当該通信装置が収容する前記端末装置のトラフィックを収集することを特徴とするトラフィック監視システム。
【請求項１９】
請求１乃至１８記載のトラフィック監視システムであって、
前記トラフィックの収集はＳＮＭＰですることを特徴とするトラフィック監視システム。
【請求項２０】
請求１乃至１９記載のトラフィック監視システムであって、
前記対処命令の送信はＳＮＭＰですることを特徴とするトラフィック監視システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、サービス利用者に対してネットワークを介してサービスを提供するネットワークシステムに係わり、サービス利用者による特定のフローに対してトラフィック量を監視し、異常フローごとに異なる対処方法を提供するトラフィック監視システムに関する。
【背景技術】
【０００２】
近年、ブロードバンド技術の進歩および、配信技術の発達に伴い、インターネットが急速に普及する一方で、インターネットの安全性を脅かす攻撃による被害が増え、社会問題としての認識が高まっている。このような課題に対して、侵入検知システムなどいくつかの技術が出てきている。しかしながら、通信キャリアが行っているブロードバンド接続サービスでは、従来のトラフィック異常検出方法は、保護対象装置のパフォーマンスの低下やサービス提供の不能や、トラフィック過負荷によるアクセス能力の低下等の具体的な影響の感知など、何らかの異常状態を認識したタイミングでトラフィック異常を検出しているのが現状である。このため、一部の加入者からの異常トラフィックにより、それ以外の加入者が満足にサービスを受けられない状態を引き起こしている。
【０００３】
そのため、加入者のトラフィックフローを監視し異常を検出した場合に、異常トラフィックを発生させている加入者の利用を制限することをシステム化する案が出てきている（例えば特許文献１）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開2008-113409号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
上記の技術においては、送信元IPアドレス、送信先IPアドレス、送信元ポート番号または送信先ポート番号から異常フローの検出を試みている。現在、通信キャリアは提供サービス形態が複雑化し扱うプロトコル種別も多種多様になっており、異常パケットによる攻撃を受ける脅威の範囲が拡大している。そのため、従来の送信元IPアドレス、送信先IPアドレス、送信元ポート番号または送信先ポート番号でのフロー検出では十分な効果が発揮できない場合が出てきている。よって、よりきめ細かなフロー監視をすることは、利用者に安定的なネットワーク資源の供給を行う上で重要な課題の一つとなっている。
【０００６】
本発明の目的は、きめ細かなフロー監視を行い、ネットワーク資源の安定利用を提供することにある。さらに、監視対象をネットワークエッジ機器とし、加入者に最も近いブロードバンドアクセス網のエッジにて早期に異常フローの監視/検出/対処を行うことにある。
【課題を解決するための手段】
【０００７】
上記課題を解決するために、トラフィック監視システムであって、端末装置と複数の通信回線を介して通信する通信装置と、前記端末装置のトラフィックを監視する監視装置とを有し、前記通信装置は、前記通信回線毎に、複数の前記端末装置と論理回線によりセッションを確立し、前記監視装置は、前記端末装置のトラフィックを前記論理回線内のフロー種別毎に監視することを特徴とするトラフィック監視システムを提供する。
【発明の効果】
【０００８】
本発明によれば、加入者に最も近いブロードバンドアクセス網のエッジにて異常フローの監視/検出/対処を行うことで、ネットワークへの異常フローの流入を早い段階で防ぐことができる。さらに、異常フローによる問題発生から対処までにかかる時間を短縮することができるため、不意なサービス利用不能時間が減少し、加入者へのSLAを向上させることができる。加えて、監視対象フローの種別を細やかに設定することができ、特に、装置上の処理負荷が比較的高い制御系パケットに対する異常フローの検出および対処に効果を発揮する。また、異常フローの収集、監視および対処をサーバにて一元管理することで、運用コストが低減できるメリットがある。
【図面の簡単な説明】
【０００９】
【図１】現行サービスのネットワークシステム構成図の一例
【図２】ユーザ認証サーバの機能ブロック図の一例
【図３】ユーザ認証サーバが持つユーザセッション管理テーブルの一例
【図４】ユーザ認証サーバが持つ属性番号５（NAS-Port）のAVPフォーマットの一例
【図５】本発明の実施形態１のネットワークシステム構成図の一例
【図６】ユーザ監視サーバの機能ブロック図の一例
【図７】ユーザ監視サーバが持つ監視テーブルの一例
【図８】ユーザ監視サーバが持つユーザセッション管理テーブルの一例
【図９】ユーザ監視サーバが持つ超過トラフィック量テーブルの一例
【図１０】ユーザ監視サーバにおける監視フロー図の一例
【発明を実施するための形態】
【００１０】
以下、本発明の実施形態について図面を用いて説明する。本発明は次の実施形態の例に限定されるものではない。
【実施例１】
【００１１】
本実施例では、例えば、インターネット接続サービスなどにおいて、ＰＣ等のユーザ宅内装置をネットワークに接続する際に、個別の装置のフロー種別ごとに監視を行うことにより、きめ細かなフロー制御を行うことができる。
【００１２】
例えば、インターネットでは、ユーザはＰＣ等のユーザ宅内装置をインターネットに接続する際には、インターネットサービスプロバイダ(ISP)の用意するネットワークアクセスサーバ(NAS)に接続し、ISPのネットワークを経由してインターネットに接続する。
【００１３】
NASは一般に複数の物理ポートを有し、各物理ポート内に複ユーザ宅内装置を収容するための複数の論理ポートをもつことができる。そこで、本実施例では、NASが処理する各論理ポート内のフローを個別に監視し、ユーザ毎のきめ細かなフロー制御を行うこととしている。
【００１４】
図1は、インターネット接続サービスを実現するためのネットワーク構成例である。101はインターネット、102はインターネットサービスプロバイダ(ISP)網、103はネットワークアクセスサーバ(NAS)、104はユーザ宅内装置を示す。NAS103は物理インターフェース１05内に複数の論理インターフェース106を持ち、論理インターフェース106毎にユーザ宅内装置104を収容し、ユーザ宅内装置104に対してISP網102経由にてインターネット101に接続するサービスを提供するために利用される機器である。物理インターフェース105は物理回線を接続するためのインターフェースであり、論理インターフェース106は論理回線を接続するためのインターフェースである。すなわち、NAS103とユーザ宅内装置104は物理回線内の論理回線を介して接続されていることとなる。
【００１５】
なお、アクセス回線として提供される物理インターフェース105の回線種別は特に指定は無く、例として、802.11aや100BASE-Tなどが挙げられる。NAS103は、各ユーザ宅内装置104の認証を、ユーザ認証サーバ107と連携して実施する。認証が承認された後、NAS103とユーザ宅内装置104との間でコネクションが確立され、ユーザ宅内装置104からのデータは、NAS103を通してISP網102との間を転送される。
【００１６】
ユーザ認証サーバ107は、リモートからアクセスしてくるユーザを管理するデータベースを持つ。NAS103からの認証要求を受けると、データベース内に格納されているユーザの”USER NAME”や”PASSWORD”を確認し、これを基に認証を行う。ユーザ認証サーバ107によるユーザ認証が終了し、接続が承認された場合はNAS103に対してアクセス許可を返送する。
【００１７】
ユーザ認証サーバ107は、図2に示すように、通信を行うためのＩＰ機能処理部203と、ユーザセッション管理テーブル201と、ユーザセッション管理テーブル201に対しユーザごとのセッション情報の登録、削除を行うユーザセッション管理処理部202を有する。ユーザセッション管理テーブル201の内容を図3に示すと、ユーザセッション管理テーブル201内の各エントリは、ＩＰ機能処理部203により認証要求（Ａｃｃｅｓｓ−Ｒｅｑｕｅｓｔ）を受けたユーザ毎に登録され、ユーザセッション管理処理部202により、認証要求に使用される属性値ペア（Attribute  Value  Pairs:AVP）の属性番号１（User-Name301）、属性番号２（User-Password302）、属性番号４（NAS-IP-Address303）および属性番号５（NAS-Port304）が抽出され、ユーザセッション管理テーブル201に格納される。
【００１８】
属性番号１は認証されるユーザの名前を示すAVPであり、属性番号２は認証されるユーザのパスワードを示すAVPであり、属性番号４はユーザ認証を求めているNASを識別するＩＰアドレスを示すAVPであり、属性番号５はユーザを認証しているNASの物理的なポート番号を示すAVPである。
【００１９】
図4に属性番号５（NAS-Port304）のAVPフォーマット例を示す。ユーザセッション管理テーブル201へのユーザごとのセッション情報の登録の実行は、NAS103からの該当ユーザに対するAccounting-Request（Acct-Status-Typeが１）受信時とし、ユーザセッション管理テーブル201からの登録の削除は、NAS103からの該当ユーザに対するAccounting-Request（Acct-Status-Typeが２）受信時とする。
【００２０】
ユーザ認証サーバ107は、ユーザセッション管理テーブル201に格納されている情報の提供要求が外部からあった場合、登録ユーザ毎に該当情報を提供する機能を有する。
【００２１】
図5は、本発明の一実施例における構成図である。本ネットワークシステムは、ユーザ監視サーバ501、ネットワークアクセスサーバ103、ユーザ認証サーバ107、インターネット101、インターネットサービスプロバイダ(ISP)網102、ユーザ宅内装置104により形成される。以下、説明の簡単化のために、ユーザ宅内装置104は、NAS103との間でセッションが既に確立されており、ユーザ認証サーバ107のユーザセッション管理テーブル201に登録済みであるものとする。
【００２２】
図6は、ユーザ監視サーバ501の機能ブロックを示す図である。図示のように、ユーザ監視サーバ501は、ＩＰ機能処理部601、ユーザ管理部602、収集部603、監視部604、対処部605、フロー情報管理部606、ユーザ監視テーブル607、ユーザセッション管理テーブル608、超過トラフィック量テーブル609を有する。
【００２３】
ＩＰ機能処理部601は、ＩＰパケット処理機能を備え、NAS103、ユーザ認証サーバ107との間で通信を行う。ユーザ管理部602は、ユーザ認証サーバ107からユーザセッション管理テーブル608の情報を定期的に取得し、ユーザの接続状況の管理及び更新を行う。収集部603は、NAS103-1からNAS103-jに収容されている各ユーザセッションに流れる一定時間当たりの送受信トラフィック量の情報を収集する。収集には例えばSNMP（Simple  Network  Management  Protocol）を用いてもよい。
【００２４】
収集部603は、ユーザセッション管理テーブル608を参照し、収集対象のユーザセッションを識別する。収集部603が収集対象とするユーザセッションは、ユーザセッション管理テーブル608に登録されているユーザセッションとなる。収集部603が収集対象とする送受信トラフィック量の情報は、ユーザ監視テーブル607に登録されている各フロー種別に対して行われる。収集部603にて収集されたトラフィック量の情報は、監視部604に送られる。
【００２５】
監視部604は、収集部603からのトラフィック量の情報とユーザ監視テーブル607の情報を照合し、超過トラフィックが発生した場合は超過トラフィック量テーブル609にレコードを追加し、当該超過トラフィック量テーブル609にレコードが存在するか（超過トラフィックが存在するか）を確認して対処要否の判定を行う。なお、収集部603からのトラフィック量の情報とユーザ監視テーブル607の情報を照合して直接対処要求の判定を行ってもよい。対処が必要と判定される場合は、監視部604は対処部605に対し対処の実行命令を送る。対処部605は、監視部604からの実行命令に従い対象ユーザセッションに対して対処を実施する。対処部605は例えば、SNMPを用いて、対応するNAS103に対し、該当ユーザセッションが論理インターフェース106に対処指示を送信する。送信方法としては、CLI（Command line interface）を用いる方法も可能とする。
【００２６】
図7は、監視テーブル607の構成例を示すテーブル構成図である。監視テーブル607には、フローID702毎に、フローの内容を示すフロー種別703、NAS103のトラフィック量を収集する際に送信するOID（Object IDentifier）704およびCLI705、異常フローと判定する際の判断基準となる閾値706、異常フローと判定された際の対処方法を示す対処707が含まれる。運用管理者は、ユーザ監視サーバ501にログインした後、監視テーブル701の登録・更新を自由に行うことができる。
【００２７】
図8は、ユーザセッション管理テーブル801の構成例を示すテーブル構成図である。図2、図6のいずれのユーザセッション管理テーブル201、608も同じ構成であり、内容についてはユーザセッション管理テーブル801を用いて説明する。ユーザセッション管理テーブル801には、ユーザ認証サーバ107を識別する認証サーバID802、ユーザ認証サーバ107のIPアドレスを示すサーバアドレス803、ユーザを識別するために用いられるUser-Name804、ユーザが認証要求をする際に必要となるパスワードであるUser-Password805、NAS103のIPアドレスを示すNAS-IP-Address806および、NAS103上でユーザセッションが収容されている位置を示すNAS-Port807が含まれる。
【００２８】
図9は、超過トラフィック量テーブル609の構成例を示すテーブル構成図である。超過トラフィック量テーブル609には、ユーザ認証サーバを識別する認証サーバID902、NAS103のIPアドレスを示すNAS-IP-Address903、NAS103上でユーザセッションが収容されている位置を示すNAS-Port904、フローを識別するフローID905、トラフィック量の収集収集結果を示す収集トラフィック量906が含まれる。なお、フローID905は、NAS-IP-Address903、NAS-Port904毎に複数存在しても良い。超過トラフィック量テーブル609には、ユーザ認証サーバ107毎に閾値を超過するフローが登録される。閾値内のトラフィック量となった際は、超過トラフィック量テーブル609から該当フローのエントリは削除される。
【００２９】
図10は、ユーザ監視サーバが接続済みの任意のユーザセッションユーザに対して対処を実施するまでのフローを示した図である。1001は、ユーザセッション情報取得処理、1002は、セッション接続状態の確認処理、1003は、送受信トラフィック量取得処理、1004は、閾値超過の確認処理、1005は、対処実施処理、1006は、セッション情報削除処理である。
【００３０】
具体的には、ユーザセッション情報取得処理において、ユーザ監視サーバ501にて、IP機能処理部601を介してユーザ管理部がユーザ認証サーバ107からユーザセッション管理テーブル201の情報を取得し、ユーザセッション管理テーブル608にコピーする（1001）。
【００３１】
次に、セッション状態の確認処理において、監視部604は、ユーザセッション管理テーブル608の情報を参照し、コピー前のユーザセッション管理テーブル608内容とコピー後のユーザセッション管理テーブル608の内容を比較し、ユーザ認証が完了し接続状態にあるユーザセッションが存在するかを確認する（1002）。
【００３２】
確認した結果、接続状態のユーザセッションが無ければ（コピー前にはあるが、コピー後にはなくなっているユーザセッション）、セッション情報削除処理において、ユーザセッション管理テーブル801から対象のユーザセッション情報を削除する（1006）。接続状態のユーザセッションがある場合は、送受信トラフィック量取得処理において、監視部604は、収集部603によりIP機能処理部601を介して、対象のユーザセッションに対して、監視テーブル607に登録されている各フロー種別ごとにトラフィック量を取得する（1003）。
【００３３】
次に、閾値超過の確認処理において、取得したトラフィック量の情報を基に閾値とトラフィック量との比較を行う（1004）。
【００３４】
比較を行った結果、閾値よりも取得したトラフィック量が低い場合は、ユーザセッション情報取得処理において、ユーザ認証サーバ107からユーザセッション管理テーブル201の情報を取得し、ユーザセッション管理テーブル801の情報を更新する（1001）。
【００３５】
閾値よりも取得したトラフィック量が高い場合は、対処実施処理において、監視テーブル701の対処707の内容に従い、対象のユーザセッションに対して処置を実施する（1005）。なお、取得したトラフィック量の情報を基に閾値とトラフィック量とを直接比較しても良いし、図9の超過トラフィック量テーブル609の内容を更新し、更新した内容に基づいて、閾値を越えているかの判定処理をおこなってもよい。
【００３６】
（1002）〜（1006）の処理は、処理（1001）で取得したユーザセッション情報に含まれる個別のユーザセッションごとに順次行われてもよいし、各処理全てのユーザセッションに同時に行ってもよい。
【００３７】
以上で説明した動作により、加入者に最も近いブロードバンドアクセス網のエッジにて異常フローの監視/検出/対処を行うことができ、さらに、制御系パケットに対する異常フローの検出および対処に対し高い効果を発揮する。
【産業上の利用可能性】
【００３８】
本発明は、電気通信サービスプロバイダのネットワークエッジでの使用、または、ホールセール事業者のネットワークエッジでの使用を可能とする。
【符号の説明】
【００３９】
101  インターネット
102  インターネットサービスプロバイダ(ISP)網
103  ネットワークアクセスサーバ
104  ユーザ宅内装置
107  ユーザ認証サーバ
501  ユーザ監視サーバ
【図１】
2011151514.tif 000003
【図２】
2011151514.tif 000004
【図３】
2011151514.tif 000005
【図４】
2011151514.tif 000006
【図５】
2011151514.tif 000007
【図６】
2011151514.tif 000008
【図７】
2011151514.tif 000009
【図８】
2011151514.tif 000010
【図９】
2011151514.tif 000011
【図１０】
2011151514.tif 000012