(57)【要約】【課題】複数のトンネルを備えるネットワークにおいて、トンネルのパケットを解析ツールが解析可能なフォーマットに変換するためのコストを低減する。【解決手段】トンネルの中継を行うバックボーンルータ１０と、バックボーンルータ１０でサンプリングされたパケットのフォーマットをセキュリティ装置４０で解析可能なフォーマットに変換するフォーマット変換装置２０と、変換されたパケットのフローの異常検知を行うフローコレクタ５０と、バックボーンルータ１０の制御を行うコントローラ６０とを備える異常検知システムであって、フォーマット変換装置２０は、１以上のトンネルのパケットのフォーマットの変換を行い、コントローラ６０は、パケットのフローの異常が検知された場合、異常が検知されたフローを中継するトンネルのサンプリングレートを高くし、他のトンネルのサンプリングを中止するようバックボーンルータ１０に設定する。【選択図】図１
2019106621.tif 000002
【特許請求の範囲】
【請求項１】
トンネルのパケットを所定のサンプリングレートでサンプリングし、コピーするルータと、コピーされた前記トンネルのパケットのフォーマットをセキュリティ装置で解析可能なフォーマットに変換するフォーマット変換装置と、前記ルータの制御を行うコントローラとを備える異常検知システムであって、
前記フォーマット変換装置は、
前記ルータから、１以上の前記トンネルのパケットのコピーを受信し、前記受信したパケットのフォーマットの変換を行う変換部を備え、
前記コントローラは、
前記パケットのフローの異常が検知された場合、前記異常が検知されたフローを収容するトンネルを特定するトンネル特定部と、
特定した前記トンネルのパケットのサンプリングレートを、前記所定のサンプリングレートよりも高くするよう、前記トンネルを中継するルータに設定し、前記トンネル以外のトンネルのパケットのコピーの中止を、当該トンネルを中継するルータに設定するサンプリングレート設定部と、
を備えることを特徴とする異常検知システム。
【請求項２】
前記トンネル特定部は、
前記パケットのフローの異常が検知された場合、前記異常が検知されたフローと同じ通信元または通信先を持つフローを収容するトンネルを特定する
ことを特徴とする請求項１に記載の異常検知システム。
【請求項３】
前記サンプリングレート設定部は、
特定した前記トンネルのパケットのサンプリングレートを設定する際、前記所定のサンプリングレートよりも高く、かつ、前記サンプリングされるパケットのトラフィック量の合計が、前記フォーマット変換装置および前記セキュリティ装置のいずれの帯域よりも低くなるようサンプリングレートを設定する
ことを特徴とする請求項１に記載の異常検知システム。
【請求項４】
前記サンプリングレート設定部は、
特定した前記トンネルのパケットのサンプリングレートを設定する際、前記所定のサンプリングレートよりも高く、かつ、過去所定期間における、特定した前記トンネルのトラフィック量の最大値の合計、または、特定した前記トンネルのトラフィック量の合計の最大値が、前記フォーマット変換装置および前記セキュリティ装置のいずれの帯域よりも低くなるようサンプリングレート設定する
ことを特徴とする請求項１に記載の異常検知システム。
【請求項５】
トンネルのパケットを所定のサンプリングレートでサンプリングし、コピーするルータと、前記コピーされたトンネルのパケットのフォーマットをセキュリティ装置で解析可能なフォーマットに変換するフォーマット変換装置と、前記ルータの制御を行うコントローラとを備える異常検知システムにおける異常検知方法であって、
前記フォーマット変換装置が、
前記ルータから、１以上の前記トンネルのパケットのコピーを受信し、前記受信したパケットのフォーマットの変換を行うステップと、
前記コントローラが、
前記パケットのフローの異常が検知された場合、前記異常が検知されたフローを収容するトンネルを特定するステップと、
特定した前記トンネルのパケットのサンプリングレートを、前記所定のサンプリングレートよりも高くするよう、前記トンネルを中継するルータに設定し、前記異常が検知されなかったフローを中継するトンネルのパケットのコピーの中止を、前記トンネルを中継するルータに設定するステップと、
を含んだことを特徴とする異常検知方法。
【請求項６】
トンネルのパケットを所定のサンプリングレートでサンプリングし、コピーするルータと、前記コピーされたトンネルのパケットのフォーマットをセキュリティ装置で解析可能なフォーマットに変換するフォーマット変換装置と、前記ルータの制御を行うコンピュータとを備える異常検知システムにおける異常検知プログラムであって、
前記コンピュータに、
前記パケットのフローの異常が検知された場合、前記異常が検知されたフローを収容するトンネルを特定するステップと、
特定した前記トンネルのパケットのサンプリングレートを、前記所定のサンプリングレートよりも高くするよう、前記トンネルを中継するルータに設定し、前記異常が検知されなかったフローを中継するトンネルのパケットのコピーの中止を、前記トンネルを中継するルータに設定するステップと、
を実行させることを特徴とする異常検知プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、異常検知システム、異常検知方法、および、異常検知プログラムに関する。
【背景技術】
【０００２】
近年、インターネットの普及に伴い、ＤＤｏＳ（Distributed  Denial  of  Service  attack）攻撃等の様々なサイバー攻撃が急増している。このような攻撃に対する検知・対処装置として、ＤｏＳ対策製品やＩＰＳ（Intrusion  Prevention  System）やＷＡＦ(Web  Application  Firewall)等の検知・対処装置が使用される。
【０００３】
これらの検知・対処装置では、パケット転送においてトンネリングを行っているネットワークに対し、トンネルプロトコルをサポートしていない場合があった。そこで、従来、トンネルプロトコルをサポートしていない検知・対処装置でもパケットを解析できるようにするために、パケットのトンネルプロトコルを検知してプロトコルヘッダ部分を削除し、パケットフォーマットを変換する技術が提案されている（例えば、非特許文献１，２参照）。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】Ixia，“Vision  ONE”，［平成２９年１０月２６日検索］，インターネット＜ＵＲＬ：https://www.ixiacom.com/ja/products/vision-one＞
【非特許文献２】Ixia，“Vision  ONE  Data  Sheet”，［平成２９年１０月２６日検索］，インターネット＜ＵＲＬ：https://www.ixiacom.com/sites/default/files/2017-07/915-6691-01-V-DS-Vision-ONE.pdf＞
【発明の概要】
【発明が解決しようとする課題】
【０００５】
上記のパケットフォーマットを変換するフォーマット変換装置を、ネットワークのトンネル通信の経路ごとに設置するとコストが高くなる。そこで、本発明は、前記した問題を解決し、複数のトンネルを備えるネットワークにおいて、トンネルパケットを解析ツールが解析可能なフォーマットに変換するためのコストを低減することを課題とする。
【課題を解決するための手段】
【０００６】
前記した課題を解決するため、本発明は、トンネルのパケットを所定のサンプリングレートでサンプリングし、コピーするルータと、コピーされた前記トンネルのパケットのフォーマットをセキュリティ装置で解析可能なフォーマットに変換するフォーマット変換装置と、前記ルータの制御を行うコントローラとを備える異常検知システムであって、前記フォーマット変換装置は、前記ルータから、１以上の前記トンネルのパケットのコピーを受信し、前記受信したパケットのフォーマットの変換を行う変換部を備え、前記コントローラは、前記パケットのフローの異常が検知された場合、前記異常が検知されたフローを収容するトンネルを特定するトンネル特定部と、特定した前記トンネルのパケットのサンプリングレートを、前記所定のサンプリングレートよりも高くするよう、前記トンネルを中継するルータに設定し、前記トンネル以外のトンネルのパケットのコピーの中止を、当該トンネルを中継するルータに設定するサンプリングレート設定部と、を備えることを特徴とする。
【発明の効果】
【０００７】
本発明によれば、複数のトンネルを備えるネットワークにおいて、トンネルパケットを解析ツールが解析可能なフォーマットに変換するためのコストを低減することができる。
【図面の簡単な説明】
【０００８】
【図１】図１は、本実施形態のシステムの構成例と動作概要とを説明する図である。
【図２】図２は、図１のフォーマット変換装置の構成例を示す図である。
【図３】図３は、図１のフローコレクタの構成例を示す図である。
【図４】図４は、図１のコントローラの構成例を示す図である。
【図５】図５は、図１のシステムの初期状態の動作例を説明する図である。
【図６】図６は、図１のシステムの初期状態の動作例を説明する図である。
【図７】図７は、図１のフローコレクタがフローの異常を検知した場合の動作例を説明する図である。
【図８】図８は、図１のフローコレクタがフローの異常を検知した場合の動作例を説明する図である。
【図９】図９は、図８において、セキュリティ装置が異常を検知しなかった場合の動作例を説明する図である。
【図１０】図１０は、図９のシステムが、各トンネルの監視状態を初期状態に戻す場合の動作例を説明する図である。
【図１１】図１１は、図１のシステムの処理手順を示すフローチャートである。
【図１２】図１２は、図１のシステムの処理手順例を示すシーケンス図である。
【図１３】図１３は、図１のシステムの処理手順例を示すシーケンス図である。
【図１４】図１４は、図１のシステムにおけるサンプリングレートの決定方法を説明するための図である。
【図１５】図１５は、各トンネルのサンプリングレートの決定に用いられるトラフィックデータを説明するための図である。
【図１６】図１６は、サンプリングレートの決定方法と、帯域の取得方法とを説明するための図である。
【図１７】図１７は、サンプリングレートの計算方法を説明するための図である。
【図１８】図１８は、被疑トンネルを１本ずつ順番に検査する場合におけるサンプリングレートの計算方法を説明するための図である。
【図１９】図１９は、異常検知プログラムを実行するコンピュータを示す図である。
【発明を実施するための形態】
【０００９】
［概要］
以下、図面を参照しながら、本発明を実施するための形態（実施形態）について説明する。図１を用いて、本実施形態のシステムの構成例と動作概要とを説明する。システム１は、例えば、複数のＣＰＥ（Customer-Premises  Equipment）と、ＣＰＥを収容するユーザエッジと、網（ネットワーク）を終端する網終端装置と、網を集約し、ＩＳＰ（Internet  Services  Provider）のネットワーク等に接続する網集約装置とを備える。
【００１０】
ここで、ユーザエッジと網終端装置との間には、例えば、トンネルが設定される。そして、ユーザエッジと網終端装置との間には、トンネルを中継するバックボーンルータ（ルータ）１０が設置される。このトンネルを用いて、ＣＰＥは他の装置（例えば、サーバ）との間でトンネル通信を行う。また、システムは、フォーマット変換装置２０と、ＳＷ（スイッチ）３０と、セキュリティ装置４０と、フローコレクタ５０と、コントローラ６０とを備える。
【００１１】
フォーマット変換装置２０は、バックボーンルータ１０でサンプリングされコピーされた、各トンネルのトンネルパケットをセキュリティ装置４０で解析可能なフォーマットに変換する。ＳＷ３０は、フォーマット変換装置２０から出力されたパケットのフローのトラフィック情報（例えば、xFlow情報）をフローコレクタ５０へ出力する。また、ＳＷ３０は、フォーマット変換装置２０から出力されたパケットのうち、フィルタの対象となっていないパケットをセキュリティ装置４０へ出力する。なお、以下の説明において、ＳＷ３０は、初期の状態では、フィルタリングによりいずれのパケットもセキュリティ装置４０へ出力しないものとする。
【００１２】
セキュリティ装置４０は、入力されたパケットの解析を行う。例えば、セキュリティ装置４０は、ＳＷ３０経由で入力されたフォーマット変換済みのパケットの解析を行う。ここでの解析は、例えば、入力されたパケットが攻撃パケットである場合、その攻撃の詳細の検知等である。
【００１３】
フローコレクタ５０は、入力されたパケットのフローのトラフィック状況の監視を行う。例えば、フローコレクタ５０は、入力されたパケットのフローのトラフィック状況を監視した結果、あるフローのトラフィック（帯域）が所定値以上である場合、当該フローに異常が発生していることを検知する。
【００１４】
コントローラ６０は、システム１内の各装置の制御を行う。例えば、コントローラ６０は、バックボーンルータ１０における各トンネルのパケットのサンプリングレートやコピーの設定を行う。また、コントローラ６０は、ＳＷ３０におけるフィルタの設定等を行う。
【００１５】
このようなシステム１は、まず、バックボーンルータ１０が中継するトンネルパケットのサンプリングコピーにより各トンネルの常時監視を行う（（１））。なお、ここでの各トンネルのサンプリングレートは、例えば、単位時間内にサンプリングされたパケットの合計が、フォーマット変換装置２０に設定された帯域を超えないような値とする。その後、フォーマット変換装置２０は、（１）でサンプリングコピーされたトンネルパケット（パケット）のフォーマット変換を行い、ＳＷ３０へ出力する。そして、ＳＷ３０は、フォーマット変換された全パケットのフローをフローコレクタ５０に出力する（（２））。例えば、ＳＷ３０は、全パケットのフローのxFlow情報をフローコレクタ５０に出力する。
【００１６】
（２）の後、フローコレクタ５０は、各フローの帯域による異常検知を行う（（３））。例えば、フローコレクタ５０は、（２）でＳＷ３０から出力された各トンネルのフローのうち、帯域が所定値以上になっているフローがあった場合、当該フローに異常が発生したと判定する。そして、フローコレクタ５０は、異常検知の結果を、コントローラ６０へ通知する。
【００１７】
その後、コントローラ６０は、（３）でフローコレクタ５０から通知されたフローの異常検知の結果に基づき、バックボーンルータ１０に対し、異常が発生しているフローのトンネル（被疑トンネル）のパケットのサンプリングレートの変更指示を行う（（４））。例えば、コントローラ６０は、バックボーンルータ１０に対し、被疑トンネルのパケットのサンプリングレートを今までよりも大きくするよう指示する。また、コントローラ６０は、バックボーンルータ１０に対し、被疑トンネル以外のトンネルのパケットのコピーを中止するよう指示する。
【００１８】
（４）の後、コントローラ６０は、ＳＷ３０へのフィルタ解除指示を行う（（５））。これにより、被疑トンネルからサンプリングされ、フォーマット変換されたパケットは、ＳＷ３０からセキュリティ装置４０に転送される。そして、セキュリティ装置４０は、受信したパケットの攻撃（検知された異常）の詳細検知を行う（（６））。
【００１９】
このようにすることで、システム１は、複数のトンネルを備えるネットワークにおいて、トンネルごとにフォーマット変換装置２０を装備する必要がなくなる。よって、複数のトンネルを備えるネットワークにおいて、トンネルパケットをセキュリティ装置４０等の解析ツールが解析可能なフォーマットに変換するためのコストを低減することができる。
【００２０】
［構成］
次に、図１のフォーマット変換装置２０、フローコレクタ５０、および、コントローラ６０の構成を詳細に説明する。
【００２１】
フォーマット変換装置２０は、例えば、図２に示すように、入出力部２１、記憶部２２および制御部２３を備える。入出力部２１は、フォーマット変換対象のパケットの入力や、フォーマット変換後のパケットの出力を司る入出力インタフェースである。
【００２２】
記憶部２２は、制御部２３が処理を実行する際に必要な各種情報を記憶する。この記憶部２２は、トンネルＤＢ（データベース）を記憶する。このトンネルＤＢは、加入者アドレス（例えば、ＣＰＥのアドレス）と当該加入者が利用するトンネルのトンネルアドレス（トンネルの識別情報）とを対応付けた情報である。このトンネルＤＢは、システム１の管理者等により入力される。なお、このトンネルＤＢは、フォーマット変換装置２０以外の装置に記憶されていてもよい。
【００２３】
制御部２３は、フォーマット変換装置２０全体の制御を司り、例えば、変換部２３１を備える。変換部２３１は、入力されたパケットを、セキュリティ装置４０で解析可能なフォーマットに変換する。
【００２４】
フローコレクタ５０は、例えば、図３に示すように、入出力部５１、記憶部５２、および制御部５３を備える。入出力部５１は、フローのトラフィック情報（例えば、xFlow情報）の入力や、フローの検査結果の出力を司る入出力インタフェースである。
【００２５】
記憶部５２は、制御部５３が処理を実行する際に必要な各種情報を記憶する。また、記憶部５２は、トンネルトラフィックＤＢと、ユーザトラフィックＤＢとを記憶する。トンネルトラフィックＤＢは、トンネルごとのトラフィック状況（例えば、トンネルごとの使用帯域等）を示した情報である。ユーザトラフィックＤＢは、フローごとのトラフィック状況を示した情報である。なお、記憶部５２は、各装置（例えば、フォーマット変換装置２０、ＳＷ３０、セキュリティ装置４０）の利用帯域の情報も記憶する。
【００２６】
制御部５３は、フローコレクタ５０全体の制御を司り、例えば、異常検知部５３１と、トラフィック情報処理部５３２とを備える。異常検知部５３１は、フローやトンネルのトラフィック情報に基づき、当該フローやトンネルの異常検知を行う。例えば、異常検知部５３１は、ＳＷ３０から出力されたxFlow情報を参照して、帯域が所定値以上のフローを検知した場合、当該フローに異常が発生していることを検知する。
【００２７】
トラフィック情報処理部５３２は、各トンネルのトラフィック状況をトンネルトラフィックＤＢに記録する。例えば、トラフィック情報処理部５３２は、バックボーンルータ１０から取得した各トンネルのトラフィック状況（トラフィック情報）をトンネルトラフィックＤＢに記録する。また、トラフィック情報処理部５３２は、各トンネルを流れるフローのトラフィック状況をユーザトラフィックＤＢに記録する。例えば、トラフィック情報処理部５３２は、ＳＷ３０から出力されたフローのxFlow情報に示される帯域情報、プロトコル情報等をユーザトラフィックＤＢに記録する。
【００２８】
コントローラ６０は、例えば、図４に示すように、入出力部６１、記憶部６２および制御部６３を備える。入出力部６１は、フローコレクタ５０による異常検知の結果の入力や、バックボーンルータ１０へのサンプリングレートの設定の出力等を司る。記憶部６２は、制御部５３が処理を実行する際に必要な各種情報を記憶する。制御部６３は、コントローラ６０全体の制御を司り、例えば、トンネル特定部６３０、サンプリングレート算出部６３１、サンプリングレート設定部６３２、フィルタ設定部６３３を備える。
【００２９】
トンネル特定部６３０は、サンプリングレート設定部６３２によるサンプリングレートの変更の対象となるトンネル（被疑トンネル）を特定する。例えば、トンネル特定部６３０は、フローコレクタ５０から、フローの異常を検知した旨の検知通知を受信した場合、異常が検知されたフローと同じ通信元または通信先を持つフローを収容するトンネルを特定する。一例を挙げると、トンネル特定部６３０は、フローコレクタ５０から、攻撃者と思われるサーバと通信を行っているフローを検知した旨の検知結果を受信した場合、フォーマット変換装置２０に記憶されるトンネルＤＢにアクセスし、当該サーバとの通信に用いられているトンネル（被疑トンネル）を特定する。
【００３０】
サンプリングレート算出部６３１は、各トンネルのサンプリングレートを算出する。例えば、サンプリングレート算出部６３１は、全トンネルのトラフィック量に基づき、全トンネルのサンプリングレート（初期状態のサンプリングレート）を算出する。また、サンプリングレート算出部６３１は、トンネル特定部６３０により、被疑トンネルが特定された場合、当該被疑トンネルのパケットのサンプリングレートを、初期状態のサンプリングレートよりも高くするよう設定する。
【００３１】
なお、サンプリングレート算出部６３１による各トンネルのサンプリングレートの算出の詳細は後記する。
【００３２】
サンプリングレート設定部６３２は、バックボーンルータ１０に対し、各トンネルのサンプリングレートの設定を行う。例えば、サンプリングレート設定部６３２は、バックボーンルータ１０に対し、サンプリングレート算出部６３１により算出された各トンネルのサンプリングレートを設定する。また、トンネル特定部６３０により被疑トンネルが特定された場合、サンプリングレート設定部６３２は、バックボーンルータ１０に対し、被疑トンネル以外のトンネルのパケットのコピーの中止を指示する（コピーの設定解除を行う）。
【００３３】
また、サンプリングレート設定部６３２は、バックボーンルータ１０に対し、被疑トンネルのパケットのサンプリングレートを高く設定したが、セキュリティ装置４０において、当該被疑トンネルのパケットのフローの異常が検知されなかった場合、セキュリティ装置４０において当該被疑トンネルをさらに詳細に検査させるようにする。例えば、サンプリングレート設定部６３２は、セキュリティ装置４において当該被疑トンネルを１本ずつさらに詳細に検査させるようにする。
【００３４】
例えば、被疑トンネルがトンネルＡ，Ｂである場合を考える。この場合、サンプリングレート設定部６３２は、まず、トンネルＡ，Ｂを収容するバックボーンルータ１０に対し、トンネルＡにパケットのコピーを設定し、トンネルＢについてはパケットのコピーの中止を設定する。その後、サンプリングレート設定部６３２は、バックボーンルータ１０に対し、トンネルＢにパケットのコピーを設定し、トンネルＡについてはパケットのコピーの中止を設定する。これにより、セキュリティ装置４０においてトンネルＡ→トンネルＢの順に１本ずつトンネルのパケットの検査が行われることになる。
【００３５】
フィルタ設定部６３３は、ＳＷ３０に対するフィルタの設定を行う。例えば、フィルタ設定部６３３は、初期状態（例えば、全トンネルのパケットのサンプリングが行われている状態）では、ＳＷ３０に全パケットを遮断するようフィルタを設定する。また、被疑トンネルのパケットのサンプリングの開始後は、フィルタ設定部６３３は、例えば、ＳＷ３０に被疑サーバ等との通信トラフィックのみを通すようフィルタを設定する。また、被疑トンネルのパケットのサンプリングの開始後、フィルタ設定部６３３は、ＳＷ３０にフィルタをすべて解除するよう設定してもよい。
【００３６】
［初期状態］
次に、システム１の動作例を説明する。まず、図５、図６を用いて、システム１の初期状態の動作例を説明する。
【００３７】
図５に示すように、システム１は、全トンネルのトラフィックをフローコレクタ５０で監視する（（１））。つまり、フローコレクタ５０は、バックボーンルータ１０から全トンネルのトラフィック情報を取得し、このトラフィック情報により全トンネルのトラフィックを監視する。
【００３８】
その後、コントローラ６０（図５、図６において図示省略）は、フローコレクタ５０による全トンネルのトラフィックの監視結果に基づき、各トンネルのサンプリングレートを決定する。
【００３９】
例えば、コントローラ６０のサンプリングレート算出部６３１は、全トンネルのトラフィック量に基づき、全トンネルからサンプリングされた時間あたりのパケットの合計が、フォーマット変換装置２０に設定された帯域を超えないような値となるよう、各トンネルのサンプリングレート（例えば、サンプリングレートｘ）を決定する。そして、サンプリングレート設定部６３２は、バックボーンルータ１０に対し、サンプリングレートｘで各トンネルのパケットをサンプリングし、コピーするよう設定する。
【００４０】
これにより、バックボーンルータ１０は、サンプリングレートｘで各トンネルのパケットをサンプリングし、コピーし（（２））、フォーマット変換装置２０へ出力する。フォーマット変換装置２０は、フォーマット変換後の各トンネルのパケットをＳＷ３０へ出力する。
【００４１】
図６の説明に移る。図５の（２）の後、ＳＷ３０は、フォーマット変換装置２０から出力されたパケット（つまり、各トンネルからサンプリングされたパケット）のxFlow情報をフローコレクタ５０へ送信する（図６の（３））。フローコレクタ５０は、（３）でＳＷ３０から送信されたxFlow情報により、各トンネルのパケットのフローを監視する（（４））。
【００４２】
［フローコレクタがフローの異常を検知した場合］
次に、図７、図８を用いて、図６において、システム１のフローコレクタ５０がフローの異常を検知した場合の動作例を説明する。
【００４３】
例えば、図６の（４）の後、フローコレクタ５０が攻撃者（ＩＰ：Ａ）との通信を検知すると（図７の（５））、コントローラ６０のトンネル特定部６３０は、フォーマット変換装置２０のトンネルＤＢへアクセスし、攻撃者（ＩＰ：Ａ）と通信を行っているトンネル（被疑トンネル）を特定する（（６））。そして、コントローラ６０は、被疑トンネルに対して、サンプリングレートをｙ（ｙ＞ｘ）に変更し、他のトンネルに対しては、コピー設定を解除する（（７））。これにより、サンプリングレートｙでサンプリングされたパケットは、フォーマット変換装置２０により変換され、ＳＷ３０に出力される。
【００４４】
図８の説明に移る。図７の（７）の後、コントローラ６０は、ＳＷ３０に対し、特定のトラフィック（攻撃者と通信しているトラフィック）のみ通すようにフィルタの設定を行う（図８の（８））。これにより、被疑トンネルからサンプリングされたパケットは、セキュリティ装置４０に到達する。そして、セキュリティ装置４０は、被疑トンネルからサンプリングされたパケットの詳細検知を実施し（（９））、検知情報をコントローラ６０へ送信する（（１０））。これにより、コントローラ６０は、被疑トンネルを流れるパケットの詳細な検知結果を得ることができる。
【００４５】
［被疑トンネルを１本ずつ検査する場合］
次に、図９、図１０を用いて、図８において、セキュリティ装置４０が異常を検知しなかった場合の動作例を説明する。
【００４６】
例えば、図８の（９）において、セキュリティ装置４０が被疑トンネルのパケットの詳細検知を実施したが、異常を検知できなかった場合、コントローラ６０は、被疑トンネル（図７の（６）で特定した被疑トンネル）の中から１つずつ検査を行うために、特定のトンネルトラフィックのみサンプリングレートｚでコピー設定を行う（図９の（１１））。例えば、コントローラ６０は、被疑トンネルの中から選択した特定のトンネルに対し、サンプリングレートｚ（ｚ＞ｙ）でのパケットのコピー設定を行い、その他のトンネルのパケットのコピー設定を解除する。
【００４７】
（１１）の後、特定のトンネルからコピーされたパケットはフォーマット変換装置２０によりフォーマット変換され、ＳＷ３０経由でセキュリティ装置４０に到達する。そして、セキュリティ装置４０は、パケットの詳細検知を実施し（（１２））、検知情報をコントローラ６０へ送信する（（１３））。コントローラ６０は、（１１）の特定のトンネルのコピー設定と、他のトンネルのコピー設定の解除とを、他の被疑トンネルに対しても実行する。これにより、セキュリティ装置４０において、被疑トンネルを１本ずつ、より詳細に検査することができる。
【００４８】
（１３）の後、システム１は、各トンネルの監視状態を初期状態に戻す。例えば、コントローラ６０は、図１０に示すように、バックボーンルータ１０の全トンネルに対し、初期状態であるサンプリングレートｘを再設定する（図１０の（１４））。また、コントローラ６０は、ＳＷ３０のフィルタの再設定を実施する（（１５））。
【００４９】
［処理手順］
次に、図１１を用いて、システム１の処理手順を説明する。まず、システム１は、各トンネルの常時監視を行う（図１１の（１））。ここでの監視トンネルは全トンネルである。
【００５０】
例えば、システム１のフローコレクタ５０のトラフィック情報処理部５３２は、バックボーンルータ１０から全トンネルのトラフィック情報を取得する（Ｓ１）。そして、コントローラ６０は、Ｓ１で取得された各トンネルのトラフィック情報を参照して、全トンネルのサンプリングレートの計算・決定を行い（Ｓ２）、バックボーンルータ１０に対し、各トンネルに、Ｓ２で決定したサンプリングレートｘを設定する（Ｓ３）。
【００５１】
Ｓ３の後、ＳＷ３０は、各トンネルからサンプリングされ、フォーマット変換装置２０によりフォーマット変換されたパケットを受信すると、フローコレクタ５０へ、受信したパケットのフローのxFlow情報を通知する。そして、フローコレクタ５０は、通知されたxFlow情報による異常検知を行う（Ｓ４）。例えば、フローコレクタ５０は、xFlow情報を参照して、帯域が所定値以上のフローがあった場合、そのフローの異常を検知する。
【００５２】
Ｓ４の後、システム１は、フローコレクタ５０において異常が検知されたフローを収容するトンネル（被疑トンネル）のパケットの詳細検知を行う（（２））。つまり、システム１は、被疑トンネルに対する詳細な検知を行う。
【００５３】
すなわち、Ｓ４の後、まず、コントローラ６０のトンネル特定部６３０は、パケットのサンプリングを行うトンネルの決定（被疑トンネル）を行う（Ｓ５）。例えば、コントローラ６０のトンネル特定部６３０は、Ｓ４において異常が検知されたフローを収容するトンネルや、当該フローの通信先のサーバと同じサーバとトンネル通信を行うトンネルを被疑トンネルとして決定（特定）する。ここでの、被疑トンネルの決定には、例えば、フォーマット変換装置２０のトンネルＤＢの情報が参照される。
【００５４】
Ｓ５の後、コントローラ６０は、Ｓ５で決定した被疑トンネルのサンプリングレートの計算・決定を行う（Ｓ６）。そして、コントローラ６０は、バックボーンルータ１０に対し、Ｓ６で決定した、被疑トンネルのサンプリングレートｙ（例えば、上記のサンプリングレートｘより大きいサンプリングレート）を設定する（Ｓ７）。また、サンプリングレート設定部６３２は、被疑トンネル以外のトンネルのコピー設定を解除する。
【００５５】
Ｓ７の後、サンプリングレートｙでサンプリングされた被疑トンネルのパケットが、フォーマット変換装置２０、ＳＷ３０経由でセキュリティ装置４０に到達すると、セキュリティ装置４０は、当該パケットの詳細な検査を実施する。そして、セキュリティ装置４０において当該パケットの詳細な検査の結果、攻撃（異常）を検知した場合（Ｓ８でＹｅｓ）、攻撃に対する何らかの対処が行われた後、システム１は、各トンネルの監視状態を初期状態に戻す（Ｓ１５）。
【００５６】
一方、セキュリティ装置４０における被疑トンネルのパケットの詳細な検査の結果、いずれの被疑トンネルのパケットについても攻撃（異常）を検知しなかった場合（Ｓ７でＮｏ）、システム１は被疑トンネルを順番に検査する（（３））。つまり、システム１は、被疑トンネルを１本ずつ順番にさらに詳細に検査する。
【００５７】
例えば、セキュリティ装置４０が、いずれの被疑トンネルのパケットについても攻撃（異常）を検知しなかった場合（Ｓ８でＮｏ）、コントローラ６０は、被疑トンネルの検査順を決定する（Ｓ９）。例えば、被疑トンネルがトンネルＡ，Ｂであった場合、コントローラ６０は、トンネルＡ→トンネルＢの順で検査することを決定する。
【００５８】
ここで、Ｓ９で決定された検査対象のトンネルの帯域が、各装置（例えば、フォーマット変換装置２０、セキュリティ装置４０）の帯域以上であれば（Ｓ１０でＹｅｓ）、コントローラ６０はサンプリングレートの再計算を行う。つまり、コントローラ６０は、検査対象のトンネルのサンプリングレートの計算・決定を行う（Ｓ１１）。そして、コントローラ６０は、バックボーンルータ１０に対し、検査対象のトンネルのサンプリングレートとして、Ｓ１１で決定したサンプリングレートｚを設定する（Ｓ１２）。
【００５９】
一方、Ｓ９で決定された検査対象のトンネルの帯域が、各装置（例えば、フォーマット変換装置２０、ＳＷ３０、セキュリティ装置４０）の帯域未満であれば（Ｓ１０でＮｏ）、コントローラ６０は、バックボーンルータ１０に対し、検査対象のトンネルのサンプリングレートを１／１に設定する（Ｓ１３）。例えば、コントローラ６０は、検査対象のトンネルの帯域が、フォーマット変換装置２０、ＳＷ３０およびセキュリティ装置４０のいずれの帯域よりも小さければ、当該検査対象のトンネルに対し、すべてのパケットをコピーし、フォーマット変換装置２０へ出力するよう設定する。
【００６０】
コントローラ６０は、上記のＳ１０〜Ｓ１３の処理を、被疑トンネルすべてに対し実行する。そして、コントローラ６０は、被疑トンネルすべてについて検査完了を確認すると（Ｓ１４でＹｅｓ）、全トンネルの監視状態を初期状態に戻す（Ｓ１５）。例えば、コントローラ６０は、バックボーンルータ１０の全トンネルを低サンプリングレート（サンプリングレートｘ）に戻し、ＳＷ３０のフィルタの再設定を行う。なお、コントローラ６０は、いずれかの被疑トンネルの検査がまだ完了していなければ（Ｓ１４でＮｏ）、Ｓ１４の処理に戻る。
【００６１】
［動作シーケンス］
次に、システム１の処理手順の詳細を、図１２、図１３に示すシーケンス図を用いて説明する。まず、図１２を用いて、システム１の常時監視フェーズ（初期の状態）について説明する。
【００６２】
例えば、システム１は、図１２に示すように、バックボーンルータ１０は、自身の収容するトンネルのトラフィック情報をフローコレクタ５０へ送信する（Ｓ１０１）。その後、フローコレクタ５０は、受信したトンネルのトラフィック情報をコントローラ６０へ通知する（Ｓ１０２）。コントローラ６０は、Ｓ１０２で通知されたトンネルのトラフィック情報に基づき、当該トンネルのサンプリングレートを決定する（Ｓ１０３）。そして、コントローラ６０は、当該トンネルを収容するバックボーンルータ１０に対し、Ｓ１０３で決定した当該トンネルのサンプリングレートｘを設定する（Ｓ１０４）。
【００６３】
バックボーンルータ１０は、Ｓ１０４で設定されたサンプリングレートｘでトンネルのパケットのサンプリング（サンプリングコピー）を行い、サンプリングしたパケットをフォーマット変換装置２０へ送信する（Ｓ１０５）。フォーマット変換装置２０は、Ｓ１０５で送信されたパケットのフォーマットを変換し、フォーマット変換後のパケットをＳＷ３０へ出力する（Ｓ１０６）。その後、ＳＷ３０は、Ｓ１０６で出力されたパケットのフローのxFlow情報をフローコレクタ５０へ出力する（Ｓ１０７）。
【００６４】
次に、システム１の詳細検知フェーズについて説明する。フローコレクタ５０は、Ｓ１０７で出力されたxFlow情報に基づき、フローの異常を検知すると、異常を検知したフローにおける被疑サーバと通信しているＣＰＥのアドレス情報をコントローラ６０へ通知する（Ｓ１１１）。
【００６５】
Ｓ１１１の後、コントローラ６０は、フォーマット変換装置２０のトンネルＤＢを参照して、Ｓ１１１で通知されたＣＰＥのアドレス情報に対応するトンネルアドレスを特定する（Ｓ１１２）。そして、コントローラ６０は、Ｓ１１２で特定したトンネルアドレスのトンネルを、パケットのサンプリングを行うトンネル（被疑トンネル）とする（Ｓ１１３：サンプリングを行うトンネルの決定）。
【００６６】
Ｓ１１３の後、コントローラ６０は、フローコレクタ５０に対し、各装置（例えば、フォーマット変換装置２０、ＳＷ３０、セキュリティ装置４０）の利用帯域を問い合わせ（Ｓ１１４）、フローコレクタ５０から各装置の利用帯域を取得する（Ｓ１１５）。そして、コントローラ６０は、Ｓ１１５で取得した各装置の利用帯域の値を参照して、各トンネル（被疑トンネル）のサンプリングレートを決定する（Ｓ１１６）。
【００６７】
例えば、Ｓ１１６において、コントローラ６０は、各トンネルのサンプリングレートが、フォーマット変換装置２０、ＳＷ３０およびセキュリティ装置４０のいずれの帯域未満となるよう、各トンネルのサンプリングレートｙを決定する。なお、ここで決定されるサンプリングレートｙは、常時監視フェーズにおいて全トンネルに設定されていたサンプリングレートｘよりも高いものとする。
【００６８】
図１３の説明に移る。コントローラ６０は、被疑トンネルを収容するバックボーンルータ１０に対し、Ｓ１１６で決定した被疑トンネルのサンプリングレートｙへ変更する（Ｓ１２０）。また、コントローラ６０は、ＳＷ３０に対し、特定のトラフィック（被疑サーバと通信しているトラフィック）のみ通すようにフィルタを設定する（Ｓ１２１）。その後、バックボーンルータ１０は、Ｓ１２１で変更されたサンプリングレート（常時監視フェーズよりも高いサンプリングレート）でパケットのサンプリングを行い、サンプリングしたパケットをフォーマット変換装置２０へ送信する（Ｓ１２２）。そして、フォーマット変換装置２０によるフォーマット変換後のパケットはＳＷ３０経由でセキュリティ装置４０に到達する（Ｓ１２３）。その後、セキュリティ装置４０は、受信したパケットの詳細な検知を行い（Ｓ１２４）、検知情報をコントローラ６０へ送信する（Ｓ１２５）。
【００６９】
このようにすることで、システム１は、まず全トンネルの監視を行った後、異常が発生している可能性のあるトンネル（被疑トンネル）について、セキュリティ装置４０に詳細な検知（検査）を行わせることができる。
【００７０】
ここで、上記の詳細検知フェーズにおいて、セキュリティ装置４０がいずれの被疑トンネルについても異常を検知しなかった場合、システム１は、被疑トンネルを順番に検査するフェーズ（さらに詳細な検知を行うフェーズ）を実行する。
【００７１】
例えば、コントローラ６０は、Ｓ１２５で受信した検知情報がいずれの被疑トンネルについても異常を検知しなかった旨の情報であった場合、被疑トンネルに対しさらに詳細な検査を行うための検査順を決定する。そして、コントローラ６０は、最初に検査するトンネルから順に以下の処理を実行する。すなわち、コントローラ６０は、検査対象のトンネルを収容するバックボーンルータ１０に対し、当該トンネルのサンプリングレートｚ（Ｓ１２１で設定したサンプリングレートｙよりもさらに高いサンプリングレート）に変更する（Ｓ１２６）。例えば、サンプリングレートを１／１に設定する。また、コントローラ６０は、ＳＷ３０に対し、特定のトラフィック（被疑サーバと通信しているトラフィック）のみ通すようにフィルタを設定する（Ｓ１２７）。
【００７２】
Ｓ１２７の後、バックボーンルータ１０は、Ｓ１２６で変更されたサンプリングレートｚでパケットのサンプリングを行い、サンプリングしたパケットをフォーマット変換装置２０へ送信する（Ｓ１２８）。Ｓ１２９〜Ｓ１３１の処理は、Ｓ１２３〜Ｓ１２５の処理と同様なので説明を省略する。Ｓ１３１の後、コントローラ６０は、次の被疑トンネルについて、Ｓ１２６〜Ｓ１３１の処理を実行する。コントローラ６０は、このような処理をすべての被疑トンネルについて実行する。
【００７３】
このようにすることで、システム１は、被疑トンネルについて、詳細検知フェーズで異常が検知されなかった場合、被疑トンネル１本１本について、さらに詳細な検知（検査）を行うことができる。
【００７４】
システム１は、詳細検知フェーズ、または、順番に検査するフェーズが終了すると、初期状態（常時監視フェーズ）への再設定フェーズを実行する。すなわち、コントローラ６０は、バックボーンルータ１０に対し、全トンネルにサンプリングレートをサンプリングレートｘに再設定し（Ｓ１３２）、ＳＷ３０にフィルタの再設定を行う（Ｓ１３３）。このようにすることで、システム１は、被疑トンネルの検査終了後、再度、全トンネルの常時監視状態に戻すことができる。
【００７５】
［サンプリングレートの決定の詳細］
次に、コントローラ６０のサンプリングレート算出部６３１におけるサンプリングレートの決定について詳細に説明する。
【００７６】
コントローラ６０のサンプリングレート算出部６３１は、図１４に示すように、フォーマット変換装置２０、ＳＷ３０およびセキュリティ装置４０の帯域を溢れさせないように各バックボーンルータ１０のトンネルのサンプリングレートを決定する。例えば、サンプリングレート算出部６３１は、フォーマット変換装置２０、ＳＷ３０およびセキュリティ装置４０それぞれの帯域のうち、最少の帯域未満で、最大のサンプリングレートを決定する。つまり、サンプリングレート算出部６３１は、フォーマット変換装置２０、ＳＷ３０およびセキュリティ装置４０の帯域のボトルネックを考慮しつつ、各トンネルのサンプリングレートを最大限上げるようにする。
【００７７】
ここで、サンプリングレートの決定にあたり、事前に各トンネルのトラフィック（帯域）を学習しておく必要がある。そこで、例えば、フローコレクタ５０は、図１５に示すように、全トンネルのトラフィックを監視し、過去のトラフィックデータを蓄積する。例えば、フローコレクタ５０は、トンネル（１）〜トンネル（４）の帯域を時間ごとに監視し、蓄積する。また、フローコレクタ５０は、時間ごとの各トンネルの合計トラフィックについても蓄積しておく。そして、コントローラ６０のサンプリングレート算出部６３１は、フローコレクタ５０に蓄積された、時間ごとの各トンネルのトラフィック、時間ごとの各トンネルの合計トラフィック等を用いて、各トンネルのサンプリングレートを決定する。
【００７８】
ここで、サンプリングレート算出部６３１によるサンプリングレートの決定方法には、例えば、２つの方法がある。例えば、図１６の方法（１）に示すように、各トンネルのサンプリングレートを同一（例えば、サンプリングレートｘ）にする方法と、方法（２）に示すように、各トンネルのコピー後（サンプリング後）のトラフィックを同一にするようなサンプリングレート（サンプリングレートｘ、サンプリングレートｙ）にする方法とがある。方法（２）の場合、サンプリングレート算出部６３１は、トラフィックの多いトンネルについてはサンプリングレートを低く決定し、トラフィックの少ないトンネルについてはサンプリングレートを高く決定する。
【００７９】
また、各トンネルの帯域（トラフィック）の取得方法は、例えば、２つの方法がある。例えば、図１６の帯域取得方法（１）に示すように、各トンネル（トンネル（１）〜トンネル（Ｎ））のトラフィックの最大値を利用する方法と、帯域取得方法（２）に示すように各トンネルの合計トラフィックの最大値を利用する方法とがある。
【００８０】
ここでサンプリングレートの決定方法と、帯域取得方法との組み合わせごとに、各トンネルのサンプリングレートｒの算出方法をまとめると、図１７に示すようになる。
【００８１】
すなわち、図１７に示すように、帯域取得方法（１）（各トンネルのトラフィックの最大値を利用する方法）で、サンプリングレートの決定方法（１）（各トンネルのサンプリングレートを同一にする方法）を用いた場合、サンプリングレート算出部６３１は、フォーマット変換装置２０、ＳＷ３０およびセキュリティ装置４０（各装置）の帯域を溢れさせないようにするため、全トンネルのサンプリングレートｒを、式（１）により計算する。
【００８２】
また、帯域取得方法（１）（各トンネルのトラフィックの最大値を利用する方法）で、サンプリングレートの決定方法（２）（各トンネルのコピー後のトラフィックを同一にする方法）を用いた場合、サンプリングレート算出部６３１は、各装置の帯域を溢れさせないようにするため、トンネルｉのサンプリングレートｒｉを、式（２）により計算する。なお、式（２）におけるＴＦ／Ｎは、トンネル１本当たりの帯域を示す。
【００８３】
さらに、帯域取得方法（２）（各トンネルの合計トラフィックの最大値を利用する方法）で、サンプリングレートの決定方法（１）（各トンネルのサンプリングレートを同一にする方法）を用いた場合、サンプリングレート算出部６３１は、各装置の帯域を溢れさせないようにするため、全トンネルのサンプリングレートｒを、式（３）により計算する。
【００８４】
なお、帯域取得方法（２）（各トンネルの合計トラフィックの最大値を利用する方法）で、サンプリングレートの決定方法（２）（各トンネルのコピー後のトラフィックを同一にする方法）を用いる場合については、該当する方法はない。
【００８５】
なお、システム１が被疑トンネルを１本ずつ順番に検査する場合、サンプリングレート算出部６３１は、図１８に示す方法で、検査対象のトンネルのサンプリングレートを決定する。すなわち、各装置の最低帯域（フォーマット変換装置２０、ＳＷ３０およびセキュリティ装置４０の帯域のうち、最低の帯域）が、検査対象のトンネルの帯域以下の場合、サンプリングレート算出部６３１は、フォーマット変換装置２０、ＳＷ３０およびセキュリティ装置４０の帯域を溢れさせないようにするため、検査対象のトンネルｉのサンプリングレートｒｉを、式（４）により決定する。
【００８６】
一方、各装置の最低帯域が、検査対象のトンネルの帯域よりも大きい場合、単一トンネルの全てのトラフィックをサンプリングしても、いずれの装置の帯域も溢れさせないので、サンプリングレート算出部６３１は、サンプリングレートを１／１に決定する。
【００８７】
このようにすることで、コントローラ６０は、フォーマット変換装置２０、ＳＷ３０およびセキュリティ装置４０の帯域を溢れさせないように、各バックボーンルータ１０のトンネルのサンプリングレートを設定することができる。
【００８８】
［プログラム］
また、上記の各実施形態で述べたコントローラ６０の機能を実現するプログラムを所望の情報処理装置（コンピュータ）にインストールすることによって実装できる。例えば、パッケージソフトウェアやオンラインソフトウェアとして提供される上記のプログラムを情報処理装置に実行させることにより、情報処理装置をコントローラ６０として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal  Handyphone  System）等の移動体通信端末、さらには、ＰＤＡ（Personal  Digital  Assistant）等がその範疇に含まれる。また、コントローラ６０の機能を、クラウドサーバに実装してもよい。
【００８９】
図１９を用いて、上記のプログラム（異常検知プログラム）を実行するコンピュータの一例を説明する。図１９に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。
【００９０】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１およびＲＡＭ（Random  Access  Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。ディスクドライブ１１００には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。
【００９１】
ここで、図１９に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記の実施形態で説明した各種データや情報は、例えばハードディスクドライブ１０９０やメモリ１０１０に記憶される。
【００９２】
そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。
【００９３】
なお、上記の異常検知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１１００等を介してＣＰＵ（Central  Processing  Unit）１０２０によって読み出されてもよい。あるいは、上記のプログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮ（Local  Area  Network）やＷＡＮ（Wide  Area  Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【００９４】
１  システム
１０  バックボーンルータ
２０  フォーマット変換装置
３０  ＳＷ
４０  セキュリティ装置
５０  フローコレクタ
６０  コントローラ
２３１  変換部
５３１  異常検知部
５３２  トラフィック情報処理部
６３０  トンネル特定部
６３１  サンプリングレート算出部
６３２  サンプリングレート設定部
６３３  フィルタ設定部
【図１】
2019106621.tif 000003
【図２】
2019106621.tif 000004
【図３】
2019106621.tif 000005
【図４】
2019106621.tif 000006
【図５】
2019106621.tif 000007
【図６】
2019106621.tif 000008
【図７】
2019106621.tif 000009
【図８】
2019106621.tif 000010
【図９】
2019106621.tif 000011
【図１０】
2019106621.tif 000012
【図１１】
2019106621.tif 000013
【図１２】
2019106621.tif 000014
【図１３】
2019106621.tif 000015
【図１４】
2019106621.tif 000016
【図１５】
2019106621.tif 000017
【図１６】
2019106621.tif 000018
【図１７】
2019106621.tif 000019
【図１８】
2019106621.tif 000020
【図１９】
2019106621.tif 000021