(57)【要約】【課題】ＩＰネットワークにおいて、異常トラヒックによる障害発生の原因箇所を迅速に特定すること。【解決手段】ネットワーク内に複数の異常トラヒック監視装置４ａと、それらに共通のエントリ管理装置５を設ける。異常トラヒック監視装置４ａでは、パケット受信部４１により、発信元アドレス、宛先アドレスおよびＴＴＬ値を抽出し、エントリ登録部４２にエントリとして登録する。受信宛先アドレス数計測部４３により、発信元アドレスとＴＴＬ値が同じエントリの数を計測し、受信ＴＴＬ数計測部４４により、発信元アドレスと宛先アドレスが同じエントリの数と、最大ＴＴＬ値を計測する。エントリ通知部４５により、エントリ管理装置５へＴＴＬ値または最大ＴＴＬ値を通知する。エントリ管理装置５は、最も大きなＴＴＬ値または最も大きな最大ＴＴＬ値を通知した異常トラヒック監視装置４ａを異常の発生元と特定する。【選択図】図２
2008153752.tif 000002
【特許請求の範囲】
【請求項１】
パケットから発信元アドレス、宛先アドレスおよびＴＴＬ値を抽出するパケット受信手段と、
前記パケット受信手段により抽出された発信元アドレス、宛先アドレスおよびＴＴＬ値をエントリとして登録するエントリ登録手段と、
前記エントリ登録手段に登録されている、発信元アドレスおよびＴＴＬ値が同じで、かつ宛先アドレスが異なるエントリの数を、発信元アドレスとＴＴＬ値の組み合わせごとに計測する受信宛先アドレス数計測手段と、
前記受信宛先アドレス数計測手段により計測されたエントリ数が閾値を超える、発信元アドレスとＴＴＬ値の組み合わせがある場合に、当該組み合わせの発信元アドレスおよびＴＴＬ値を通信相手へ通知するエントリ通知手段と、
を備えることを特徴とする異常トラヒック監視装置。
【請求項２】
前記エントリ登録手段に登録されている、発信元アドレスおよび宛先アドレスが同じで、かつＴＴＬ値が異なるエントリの数を、発信元アドレスと宛先アドレスの組み合わせごとに計測するとともに、該組み合わせごとに、異なるＴＴＬ値の中で最大のＴＴＬ値を計測する受信ＴＴＬ数計測手段、
をさらに備えることを特徴とする請求項１に記載の異常トラヒック監視装置。
【請求項３】
前記エントリ通知手段は、前記受信ＴＴＬ数計測手段により計測されたエントリ数が閾値を超える、発信元アドレスと宛先アドレスの組み合わせがある場合に、当該組み合わせの発信元アドレスおよび最大のＴＴＬ値を通信相手へ通知することを特徴とする請求項２に記載の異常トラヒック監視装置。
【請求項４】
発信元アドレスとＴＴＬ値の組み合わせからなるエントリを複数の通信相手から受信するエントリ収集手段と、
前記エントリ収集手段により複数の通信相手から収集された複数のエントリのＴＴＬ値を、同じ発信元アドレスごとに比較し、当該発信元アドレスについて、ＴＴＬ値が最も大きいエントリを送信してきた通信相手を異常の発生元と特定するエントリ比較手段と、
を備えることを特徴とするエントリ管理装置。
【請求項５】
ネットワーク内に配置された複数の異常トラヒック監視装置と、前記複数の異常トラヒック監視装置に対して共通のエントリ管理装置と、を備えるネットワークシステムであって、
前記異常トラヒック監視装置は、
パケットから発信元アドレス、宛先アドレスおよびＴＴＬ値を抽出するパケット受信手段と、
前記パケット受信手段により抽出された発信元アドレス、宛先アドレスおよびＴＴＬ値をエントリとして登録するエントリ登録手段と、
前記エントリ登録手段に登録されている、発信元アドレスおよびＴＴＬ値が同じで、かつ宛先アドレスが異なるエントリの数を、発信元アドレスとＴＴＬ値の組み合わせごとに計測する受信宛先アドレス数計測手段と、
前記受信宛先アドレス数計測手段により計測されたエントリ数が閾値を超える、発信元アドレスとＴＴＬ値の組み合わせがある場合に、当該組み合わせの発信元アドレスおよびＴＴＬ値を前記エントリ管理装置へ通知するエントリ通知手段と、を備え、
前記エントリ管理装置は、
発信元アドレスとＴＴＬ値の組み合わせからなるエントリを前記複数の異常トラヒック監視装置から受信するエントリ収集手段と、
前記エントリ収集手段により前記複数の異常トラヒック監視装置から収集された複数のエントリのＴＴＬ値を、同じ発信元アドレスごとに比較し、当該発信元アドレスについて、ＴＴＬ値が最も大きいエントリを送信してきた異常トラヒック監視装置を異常の発生元と特定するエントリ比較手段と、を備えることを特徴とするネットワークシステム。
【請求項６】
前記異常トラヒック監視装置は、
前記エントリ登録手段に登録されている、発信元アドレスおよび宛先アドレスが同じで、かつＴＴＬ値が異なるエントリの数を、発信元アドレスと宛先アドレスの組み合わせごとに計測するとともに、該組み合わせごとに、異なるＴＴＬ値の中で最大のＴＴＬ値を計測する受信ＴＴＬ数計測手段、をさらに備えることを特徴とする請求項５に記載のネットワークシステム。
【請求項７】
前記エントリ通知手段は、前記受信ＴＴＬ数計測手段により計測されたエントリ数が閾値を超える、発信元アドレスと宛先アドレスの組み合わせがある場合に、当該組み合わせの発信元アドレスおよび最大のＴＴＬ値を前記エントリ管理装置へ通知することを特徴とする請求項６に記載のネットワークシステム。
【請求項８】
前記異常トラヒック監視装置は、発信元アドレスおよびＴＴＬ値を定期的に前記エントリ管理装置へ通知することを特徴とする請求項５〜７のいずれか一つに記載のネットワークシステム。
【請求項９】
前記エントリ管理装置は、定期的に前記異常トラヒック監視装置から発信元アドレスおよびＴＴＬ値のエントリを収集することを特徴とする請求項５〜７のいずれか一つに記載のネットワークシステム。
【請求項１０】
前記エントリ管理装置は、管理用のネットワークを用いて前記複数の異常トラヒック監視装置と通信することを特徴とする請求項５〜９のいずれか一つに記載のネットワークシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ネットワークに発生する障害を検知する異常トラヒック監視装置、エントリ管理装置およびネットワークシステムに関する。
【背景技術】
【０００２】
ＩＰ（インターネットプロトコル）を基にした通信網（ＩＰネットワーク）において、ネットワークワーム（以下、単にワームとする）などの原因により、異常なトラヒックが大量に発生し、ネットワークの不通などの障害が発生することがある。これを回避するには、ワームの送信元など、障害発生の原因となっている端末に最も近い経路を、迅速かつ正しく特定する必要がある。
【０００３】
そのため、従来は、ルータに流れるパケットを捕捉してワームの送信元のＩＰアドレスを特定し、そのＩＰアドレスでルーティングテーブルを検索することにより、その発信元までの経路を特定することが行われている。また、デフォルトルートで転送されているパケットに対しては、トレースルートを発行して発信元までの経路を特定することが行われている。
【０００４】
また、トラヒック量の時間的な変動により異常を検知する通信監視システムが公知である。この通信監視システムは、予め定められた測定周期で、ネットワーク装置を通過する通信パケットのトラフィックを測定するトラフィック測定部と、前記通信パケットから読み出された一種類または複数種類のヘッダ情報を、前記測定周期毎に統計処理する統計計算部と、前記トラフィック測定部の測定結果および前記統計計算部の計算結果を含む複数の特徴項目を有する特徴情報を、前記測定周期毎に作成・保持する特徴情報保持部と、当該特徴情報保持部が新しい前記特徴情報を作成するたびに、当該特徴情報保持部から古い当該特徴情報を読み出して蓄積するデータベース部と、当該特徴情報保持部が新しい前記特徴情報を作成するたびに、所定の１または複数の前記特徴項目が当該新しい特徴情報と同一性の範囲内にある特徴情報を前記データベース部から読み出し、読み出された特徴情報の他の前記特徴項目についての正常範囲を統計的に算出し、前記新しい特徴情報の当該他の特徴項目と当該正常範囲とを比較することによって異常の発生を判断する異常検出部と、を備えることを特徴とする（例えば、特許文献１参照。）。
【０００５】
【特許文献１】特開２００６−１４８６８６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、上述した従来のルーティングテーブルを参照する方法では、全てのルータでパケットを捕捉してルーティングテーブルを検索する必要があるため、ルータの数が多くなると、ワームの送信元までの経路を特定するのに時間がかかるという問題点がある。また、ワームがネットワーク内に蔓延してしまった後や、ワームの発信元ＩＰアドレスが詐称されている場合には、トレースルートを発行しても発信元までたどりつかないことがあるという問題点がある。さらに、前記特許文献１に開示された通信監視システムでは、異常の発生を検出することはできても、その原因となる端末や、そこまでの経路を特定することはできないという問題点がある。
【０００７】
この発明は、上述した従来技術による問題点を解消するため、障害発生の原因箇所を迅速に特定することができる異常トラヒック監視装置、エントリ管理装置およびネットワークシステムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
上述した課題を解決し、目的を達成するため、本発明にかかる異常トラヒック監視装置、エントリ管理装置およびネットワークシステムは、以下の特徴を有する。ネットワーク内に複数の異常トラヒック監視装置が配置され、それら複数の異常トラヒック監視装置に対して共通のエントリ管理装置が設けられる。各異常トラヒック監視装置は、パケットから発信元アドレス、宛先アドレスおよびＴＴＬ（Ｔｉｍｅ  Ｔｏ  Ｌｉｖｅ）値を抽出し、エントリとして登録する。ＴＴＬ値は、パケットの送信もとにより設定され、ルータ等のネットワークスイッチを経由するたびに１ずつ減算される値である。ＴＴＬ値がゼロになると、そのパケットは廃棄される。
【０００９】
各異常トラヒック監視装置は、発信元アドレスおよびＴＴＬ値が同じで、かつ宛先アドレスが異なるエントリの数を、発信元アドレスとＴＴＬ値の組み合わせごとに計測する。そして、その計測値が閾値を超える組み合わせがある場合、各異常トラヒック監視装置は、その組み合わせの発信元アドレスとＴＴＬ値をエントリ管理装置へ通知する。
【００１０】
また、各異常トラヒック監視装置は、発信元アドレスおよび宛先アドレスが同じで、かつＴＴＬ値が異なるエントリの数を、発信元アドレスと宛先アドレスの組み合わせごとに計測する。さらに、各異常トラヒック監視装置は、その組み合わせごとに、異なるＴＴＬ値の中で最大のＴＴＬ値（以下、最大ＴＴＬ値とする）を計測する。エントリ数の計測値が閾値を超える組み合わせがある場合、各異常トラヒック監視装置は、その組み合わせの発信元アドレスと最大ＴＴＬ値をエントリ管理装置へ通知する。
【００１１】
エントリ管理装置は、複数の異常トラヒック監視装置から複数のエントリを収集する。そして、エントリ管理装置は、ＴＴＬ値が最も大きいエントリを送信してきた異常トラヒック監視装置を異常の発生元と特定する。
【００１２】
この発明によれば、発信元アドレスおよびＴＴＬ値が同じで、かつ宛先アドレスが異なるエントリを収集し、その数を監視することによって、ワームによって異常なトラヒックが大量に発生するのを検出することができる。その際、複数の異常トラヒック監視装置から収集された複数のエントリのＴＴＬ値を比較することによって、異常の発生元を特定することができる。
【００１３】
また、発信元アドレスおよび宛先アドレスが同じで、かつＴＴＬ値が異なるエントリを収集し、その数を監視することによって、Ｌ３ループによって異常なトラヒックが大量に発生するのを検出することができる。その際、複数の異常トラヒック監視装置から収集された複数のエントリについて最大ＴＴＬ値を比較することによって、異常の発生元を特定することができる。
【発明の効果】
【００１４】
本発明にかかる異常トラヒック監視装置、エントリ管理装置およびネットワークシステムによれば、障害発生の原因箇所を迅速に特定することができるという効果を奏する。
【発明を実施するための最良の形態】
【００１５】
以下に添付図面を参照して、この発明にかかる異常トラヒック監視装置、エントリ管理装置およびネットワークシステムの好適な実施の形態を詳細に説明する。
【００１６】
（ネットワークシステムの構成）
図１は、この発明の実施の形態にかかるネットワークシステムの構成を説明する図である。図１において、符号１ａ，１ｂ，１ｃは、別々のネットワークを構成する通信経路である。符号２ａ，２ｂ，２ｃ，２ｄ、符号２ｅ，２ｆ，２ｇ，２ｈおよび符号２ｊ，２ｋ，２ｍ，２ｎは、それぞれ、第１のネットワークの通信経路１ａ、第２のネットワークの通信経路１ｂおよび第３のネットワークの通信経路１ｃに設けられたルータである。符号３ａ，３ｂ，３ｃ，３ｄは、それぞれ、ルータ２ａ，２ｂ，２ｅ，２ｆに接続された端末である。
【００１７】
また、第１のネットワークのルータ２ｃと第３のネットワークのルータ２ｊは、通信経路１ｄにより相互に接続されている。この通信経路１ｄには、この通信経路１ｄを流れるパケットを監視する第１の異常トラヒック監視装置４ａが設けられている。同様に、第２のネットワークのルータ２ｈと第３のネットワークのルータ２ｋは、通信経路１ｅにより相互に接続されている。この通信経路１ｅを流れるパケットは、第２の異常トラヒック監視装置４ｂにより監視されている。
【００１８】
第３のネットワークのルータ２ｍには、通信経路１ｆを介してエントリ管理装置５が接続されている。エントリ管理装置５は、第１および第２の異常トラヒック監視装置４ａ，４ｂによるパケットの監視結果に基づいて、異常トラヒックの発生箇所を特定する。第１および第２の異常トラヒック監視装置４ａ，４ｂ並びにエントリ管理装置５の詳細については、後述する。
【００１９】
（異常トラヒック監視装置およびエントリ管理装置の構成）
図２は、この発明の実施の形態にかかる異常トラヒック監視装置およびエントリ管理装置の構成を説明する図である。なお、第１の異常トラヒック監視装置４ａの構成と第２の異常トラヒック監視装置４ｂの構成は同じであるので、ここでは、第１の異常トラヒック監視装置４ａ（以下、単に異常トラヒック監視装置４ａとする）について説明する。図３は、ＩＰパケットのフォーマットを示す図である。
【００２０】
図２に示すように、異常トラヒック監視装置４ａは、パケット受信部４１、エントリ登録部４２、受信宛先アドレス数計測部４３、受信ＴＴＬ数計測部４４およびエントリ通知部４５を備えている。パケット受信部４１は、一方のルータ２ｃ，２ｊから他方のルータ２ｊ，２ｃへ転送されるＩＰパケット６（図３参照）のヘッダ部を参照する。そして、パケット受信部４１は、発信元ＩＰアドレス部（Ｓｏｕｒｃｅ  ＩＰ  Ａｄｄｒｅｓｓ）６１、宛先ＩＰアドレス部（Ｄｅｓｔｉｎａｔｉｏｎ  ＩＰ  Ａｄｄｒｅｓｓ）６２およびＴＴＬ部６３からそれぞれの格納値を抽出し、それらの値をエントリ登録部４２へ送る。
【００２１】
エントリ登録部４２は、パケット受信部４１から送られてくる発信元ＩＰアドレス、宛先ＩＰアドレスおよびＴＴＬ値の組み合わせと同じエントリが既に登録されているか否かを調べる。エントリ登録部４２は、その組み合わせと同じエントリが登録されていない場合には、その組み合わせを新規エントリとして登録する。一方、エントリ登録部４２は、その組み合わせと同じエントリが登録されている場合には、受信宛先アドレス数計測部４３または受信ＴＴＬ数計測部４４の値をインクリメントする。
【００２２】
受信宛先アドレス数計測部４３は、例えば、発信元ＩＰアドレスとＴＴＬ値の組み合わせが同じエントリの数を、その組み合わせごとに計測するカウンタを備えている。受信宛先アドレス数計測部４３は、エントリ登録部４２により指定されたエントリのカウンタをインクリメントする。受信宛先アドレス数計測部４３は、カウンタ値が閾値を超える、発信元ＩＰアドレスとＴＴＬ値の組み合わせがある場合、その組み合わせの発信元ＩＰアドレスとＴＴＬ値をエントリ通知部４５へ通知する。
【００２３】
ここで、カウンタ値の閾値は、予め設定されている。このような構成によって、種々の宛先ＩＰアドレスに対してパケットを送信するような異常トラヒックのＴＴＬ値を把握することが可能となる。
【００２４】
受信ＴＴＬ数計測部４４は、例えば、発信元ＩＰアドレスと宛先ＩＰアドレスの組み合わせが同じエントリの数を、その組み合わせごとに計測するカウンタを備えている。また、受信ＴＴＬ数計測部４４は、発信元ＩＰアドレスと宛先ＩＰアドレスの組み合わせごとに、それぞれの組み合わせに含まれる全エントリのＴＴＬ値の中で最大のもの、すなわち最大ＴＴＬ値を記憶する。受信ＴＴＬ数計測部４４は、カウンタ値が閾値を超える、発信元ＩＰアドレスと宛先ＩＰアドレスの組み合わせがある場合、その組み合わせの発信元ＩＰアドレスと最大ＴＴＬ値をエントリ通知部４５へ通知する。
【００２５】
受信ＴＴＬ数計測部４４のカウンタ値の閾値も予め設定されている。このような構成によって、発信元ＩＰアドレスと宛先ＩＰアドレスの組み合わせが同じであるにもかかわらず、異なるＴＴＬ値で何度もパケットを送信するような異常トラヒックの最大ＴＴＬ値を把握することが可能となる。
【００２６】
エントリ通知部４５は、受信宛先アドレス数計測部４３から通知される発信元ＩＰアドレスとＴＴＬ値をエントリ管理装置５へ通知する。また、エントリ通知部４５は、受信ＴＴＬ数計測部４４から通知される発信元ＩＰアドレスと最大ＴＴＬ値をエントリ管理装置５へ通知する。エントリ通知部４５は、受信宛先アドレス数計測部４３または受信ＴＴＬ数計測部４４から通知を受け取るたびに、エントリ管理装置５への通知を行うようになっていてもよい。あるいは、エントリ通知部４５は、タイマ機能を有しており、エントリ管理装置５に対して定期的、例えば監視周期が終了するたびに、通知を行うようになっていてもよい。
【００２７】
また、図２に示すように、エントリ管理装置５は、エントリ収集部５１およびエントリ比較部５２を備えている。エントリ収集部５１は、複数の異常トラヒック監視装置４ａ，４ｂから通知されるエントリの発信元ＩＰアドレスとＴＴＬ値を収集する。その際、エントリ収集部５１が、定期的、例えば監視周期が終了するたびに、各異常トラヒック監視装置４ａ，４ｂのエントリ通知部４５の発信元ＩＰアドレスとＴＴＬ値を収集してもよい。
【００２８】
エントリ比較部５２は、エントリ収集部５１から渡される複数のエントリのＴＴＬ値を、同じ発信元ＩＰアドレスごとに比較する。そして、エントリ比較部５２は、最も大きなＴＴＬ値を通知する異常トラヒック監視装置を異常の発生元と特定する。
【００２９】
（ワーム監視処理手順）
図４は、この発明の実施の形態にかかる異常トラヒック監視装置のワーム監視処理手順を説明するフローチャートである。図４に示すように、異常トラヒック監視装置４ａにおいてワーム監視処理が開始されると、まず、ルータ２ｃ，２ｊ間を流れるＩＰパケットを受信し、そのＩＰパケットのヘッダ部から発信元ＩＰアドレス（ＳＡ）と宛先ＩＰアドレス（ＤＡ）とＴＴＬ値（ＴＴＬ）を抽出する（ステップＳ１）。
【００３０】
そして、エントリ登録部４２に、発信元ＩＰアドレスとＴＴＬ値の組み合わせと同じエントリがあるか否かを判断する（ステップＳ２）。同じエントリがない場合には（ステップＳ２：Ｎｏ）、その発信元ＩＰアドレスとＴＴＬ値の組み合わせをエントリとしてエントリ登録部４２に新規に登録してから（ステップＳ３）、ステップＳ４へ進む。
【００３１】
一方、同じエントリがある場合（ステップＳ２：Ｙｅｓ）には、受信宛先アドレス数計測部４３の、発信元ＩＰアドレスとＴＴＬ値の組み合わせが同じものの受信ＤＡ数（カウンタ値）をインクリメントする（ステップＳ４）。ステップＳ３に続いてステップＳ４を行う場合には、ステップＳ３でエントリ登録部４２に新規に登録したエントリについて、受信宛先アドレス数計測部４３の受信ＤＡ数を１にする。
【００３２】
次いで、受信宛先アドレス数計測部４３の受信ＤＡ数が閾値を超えているか否かを判断する（ステップＳ５）。超えている場合には（ステップＳ５：Ｙｅｓ）、その超えているものの発信元ＩＰアドレスとＴＴＬ値をエントリ管理装置５へ通知する（ステップＳ６）。超えていない場合には（ステップＳ５：Ｎｏ）、エントリ管理装置５へ通知しない。
【００３３】
次いで、所定の監視周期を超過したか否かを判断する（ステップＳ７）。超過している場合には（ステップＳ７：Ｙｅｓ）、エントリ登録部４２のエントリおよび受信宛先アドレス数計測部４３のカウンタ値をともにクリアして初期状態に戻し（ステップＳ８）、ステップＳ１へ戻る。超過していない場合には（ステップＳ７：Ｎｏ）、エントリ登録部４２のエントリおよび受信宛先アドレス数計測部４３のカウンタ値をそのままにして、ステップＳ１へ戻る。以後、上述したワーム監視処理の一連の手順を繰り返す。
【００３４】
図５は、この発明の実施の形態にかかるエントリ管理装置のワーム発信元特定処理手順を説明するフローチャートである。図５に示すように、エントリ管理装置５においてワーム発信元特定処理が開始されると、まず、複数の異常トラヒック監視装置４ａ，４ｂから発信元ＩＰアドレスとＴＴＬ値からなるエントリを受信する（ステップＳ１１）。次いで、所定の監視周期が超過したか否かを判断する（ステップＳ１２）。超過していない場合には（ステップＳ１２：Ｎｏ）、ステップＳ１１へ戻る。
【００３５】
超過している場合には（ステップＳ１２：Ｙｅｓ）、発信元ＩＰアドレスが同じエントリごとにＴＴＬ値を比較する（ステップＳ１３）。そして、最も大きなＴＴＬ値を通知した異常トラヒック監視装置を、その発信元ＩＰアドレスに対する異常の発信元と特定し（ステップＳ１４）、ステップＳ１１へ戻る。以後、上述したワーム発信元特定処理の一連の手順を繰り返す。
【００３６】
（Ｌ３ループ監視処理手順）
図６は、この発明の実施の形態にかかる異常トラヒック監視装置のＬ３ループ監視処理手順を説明するフローチャートである。図６に示すように、異常トラヒック監視装置４ａにおいてＬ３ループ監視処理が開始されると、まず、ルータ２ｃ，２ｊ間を流れるＩＰパケットを受信し、そのＩＰパケットのヘッダ部から発信元ＩＰアドレスと宛先ＩＰアドレスとＴＴＬ値を抽出する（ステップＳ２１）。
【００３７】
そして、エントリ登録部４２に、発信元ＩＰアドレスと宛先ＩＰアドレスの組み合わせと同じエントリがあるか否かを判断する（ステップＳ２２）。同じエントリがない場合には（ステップＳ２２：Ｎｏ）、その発信元ＩＰアドレスと宛先ＩＰアドレスの組み合わせをエントリとしてエントリ登録部４２に新規に登録してから（ステップＳ２３）、ステップＳ２４へ進む。
【００３８】
一方、同じエントリがある場合には（ステップＳ２２：Ｙｅｓ）、受信ＴＴＬ数計測部４４の、発信元ＩＰアドレスと宛先ＩＰアドレスの組み合わせが同じものの受信ＴＴＬ数（カウンタ値）をインクリメントする。また、ステップＳ２１で抽出したＴＴＬ値が、受信ＴＴＬ数計測部４４の、発信元ＩＰアドレスと宛先ＩＰアドレスの組み合わせが同じものの最大ＴＴＬ値よりも大きければ、その抽出したＴＴＬ値で最大ＴＴＬ値を上書きして、最大ＴＴＬ値を更新する（ステップＳ２４）。
【００３９】
ステップＳ２３に続いてステップＳ２４を行う場合には、ステップＳ２３でエントリ登録部４２に新規に登録したエントリについて、受信ＴＴＬ数計測部４４の受信ＴＴＬ数を１にする。そして、ステップＳ２１で抽出したＴＴＬ値を最大ＴＴＬ値とする。
【００４０】
次いで、受信ＴＴＬ数計測部４４の受信ＴＴＬ数が閾値を超えているか否かを判断する（ステップＳ２５）。超えている場合には（ステップＳ２５：Ｙｅｓ）、その超えているものの発信元ＩＰアドレスと宛先ＩＰアドレスと最大ＴＴＬ値をエントリ管理装置５へ通知する（ステップＳ２６）。超えていない場合には（ステップＳ２５：Ｎｏ）、エントリ管理装置５へ通知しない。
【００４１】
次いで、所定の監視周期を超過したか否かを判断する（ステップＳ２７）。超過している場合には（ステップＳ２７：Ｙｅｓ）、エントリ登録部４２のエントリおよび受信ＴＴＬ数計測部４４のカウンタ値をともにクリアして初期状態に戻し（ステップＳ２８）、ステップＳ２１へ戻る。超過していない場合には（ステップＳ２７：Ｎｏ）、エントリ登録部４２のエントリおよび受信ＴＴＬ数計測部４４のカウンタ値をそのままにして、ステップＳ２１へ戻る。以後、上述したＬ３ループ監視処理の一連の手順を繰り返す。
【００４２】
図７は、この発明の実施の形態にかかるエントリ管理装置のＬ３ループ発生箇所特定処理手順を説明するフローチャートである。図７に示すように、エントリ管理装置５においてＬ３ループ発生箇所特定処理が開始されると、まず、複数の異常トラヒック監視装置４ａ，４ｂから発信元ＩＰアドレスと宛先ＩＰアドレスと最大ＴＴＬ値からなるエントリを受信する（ステップＳ３１）。次いで、所定の監視周期が超過したか否かを判断する（ステップＳ３２）。超過していない場合には（ステップＳ３２：Ｎｏ）、ステップＳ３１へ戻る。
【００４３】
超過している場合には（ステップＳ３２：Ｙｅｓ）、発信元ＩＰアドレスと宛先ＩＰアドレスの組み合わせが同じエントリごとに最大ＴＴＬ値を比較する（ステップＳ３３）。そして、最も大きな最大ＴＴＬ値を通知した異常トラヒック監視装置を、その発信元ＩＰアドレスに対する異常の発信元、すなわちＬ３ループの発生箇所と特定し（ステップＳ３４）、ステップＳ３１へ戻る。以後、上述したＬ３ループ発生箇所特定処理の一連の手順を繰り返す。
【００４４】
（ワーム発信元特定動作）
図８は、この発明の実施の形態にかかるネットワークシステムにおけるワーム発信元特定動作を説明する図である。図８に示すように、ＳＱＬ  Ｓｌａｍｍｅｒ等のワームに感染した端末（ＩＰアドレス：Ａ）３ｂは、多くの端末（ＩＰアドレス：Ｂ、Ｃ、Ｄ）３ｄ，３ｅ，３ｆへパケットを送信する。
【００４５】
例えば、感染端末（ＩＰアドレス：Ａ）３ｂがＴＴＬ値を６４に設定してパケットを送信すると、そのパケットのＴＴＬ値は、各ルータ２ｂ，２ｃ，２ｊ，２ｋ，２ｈ，２ｅ，２ｆを経由するたびに１ずつ減算される。従って、発信元ＩＰアドレスが同じ（Ａ）であり、かつ宛先ＩＰアドレスが異なる（Ｂ、Ｃ、Ｄ）パケットのＴＴＬ値は、第１の異常トラヒック監視装置４ａでは６２となり、その先の通信経路上の第２の異常トラヒック監視装置４ｂでは６０となる。
【００４６】
両異常トラヒック監視装置４ａ，４ｂは、それぞれが検出した発信元ＩＰアドレスとＴＴＬ値をエントリ管理装置５へ通知する。エントリ管理装置５は、両異常トラヒック監視装置４ａ，４ｂから通知されたＴＴＬ値を比較する。その結果、第１の異常トラヒック監視装置４ａから通知されたＴＴＬ値の方が大きいので、エントリ管理装置５は、異常の発生元が第１の異常トラヒック監視装置４ａ側であると特定する。
【００４７】
（Ｌ３ループ発生箇所特定動作）
図９は、この発明の実施の形態にかかるネットワークシステムにおけるＬ３ループ発生箇所特定動作を説明する図である。図９に示すように、Ｌ３ループが発生すると、発信元ＩＰアドレスが同じであり、かつ宛先ＩＰアドレスも同じであるパケットが、異なるＴＴＬ値で何度も送信されてしまう。
【００４８】
例えば、端末（ＩＰアドレス：Ａ）３ｂがＴＴＬ値を６４に設定してパケットを送信すると、そのパケットのＴＴＬ値は、各ルータ２ｂ，２ｃ，２ｊ，２ｋ，２ｈ，２ｋ，２ｊ，２ｃ，・・・を経由するたびに１ずつ減算される。従って、発信元ＩＰアドレスが同じ（Ａ）であり、かつ宛先ＩＰアドレスも同じ（Ｂ）パケットのＴＴＬ値は、第１の異常トラヒック監視装置４ａでは、６２、５７、５６、５１、・・・の計２１通りの値となる。そして、このときの最大ＴＴＬ値は６２となる。
【００４９】
同様に、第２の異常トラヒック監視装置４ｂでのＴＴＬ値は、６０、５９、５４、５３、・・・の計２０通りの値となり、最大ＴＴＬ値は６０となる。両異常トラヒック監視装置４ａ，４ｂは、それぞれが検出した発信元ＩＰアドレスと宛先ＩＰアドレスと最大ＴＴＬ値をエントリ管理装置５へ通知する。エントリ管理装置５は、両異常トラヒック監視装置４ａ，４ｂから通知された最大ＴＴＬ値を比較する。その結果、第１の異常トラヒック監視装置４ａから通知された最大ＴＴＬ値の方が大きいので、エントリ管理装置５は、異常の発生元が第１の異常トラヒック監視装置４ａ側であると特定する。
【００５０】
以上説明したように、実施の形態によれば、複数の異常トラヒック監視装置４ａ，４ｂから、それらが受信したパケットのＴＴＬ値や最大ＴＴＬ値を収集して比較することにより、個々のルータの情報を詳細に調査することなく、異常トラヒックの発信元を迅速に特定することができる。従って、ルータの数が増えても、異常トラヒックの発信元を迅速に特定することができる。例えば、ルータの数が多くても、数分程度で異常トラヒックの発信元を特定することができる。
【００５１】
また、詐称されたＩＰアドレスで送信されたトラヒックについても、ＴＴＬ値を比較することにより、発信元を特定することができる。さらに、異常トラヒック監視装置４ａ，４ｂおよびエントリ管理装置５により常時、ネットワークを監視することにより、迅速に障害箇所を特定することができるので、異常トラヒックの充満を防ぐことができる。また、管理対象外のネットワークで異常が発生した場合でも、障害の発生元のネットワークを迅速に検知することができる。
【００５２】
以上において本発明は、上述した実施の形態に限らず、種々変更可能である。例えば、図１０に示すように、エントリ管理装置５と異常トラヒック監視装置４ａ，４ｂの間の通信経路１ｇ，１ｈを、バーチャルＬＡＮなどの管理用のネットワークにより構成してもよい。あるいは、エントリ管理装置５と異常トラヒック監視装置４ａ，４ｂを専用線により接続してもよい。このようにすれば、管理用の通信経路を通常の通信経路と異なる経路にすることができるので、通常の通信経路に断線等の障害が発生しても管理用のエントリをエントリ管理装置５へ通知することができる。
【００５３】
また、各ルータ間に適宜、異常トラヒック監視装置を配置してもよい。あるいは、ルータに異常トラヒック監視装置を内蔵させてもよい。さらに、本発明は、ワームやＬ３ループによる異常トラヒックの発生箇所の特定に限らず、種々の宛先ＩＰアドレスに対してパケットを大量に送信するような異常トラヒックの発生元を特定する場合や、発信元ＩＰアドレスが同じで、かつ宛先ＩＰアドレスも同じであるパケットを、異なるＴＴＬ値で何度も送信するような異常トラヒックの発生箇所を特定する場合に適用することができる。
【００５４】
（付記１）パケットから発信元アドレス、宛先アドレスおよびＴＴＬ値を抽出するパケット受信手段と、前記パケット受信手段により抽出された発信元アドレス、宛先アドレスおよびＴＴＬ値をエントリとして登録するエントリ登録手段と、前記エントリ登録手段に登録されている、発信元アドレスおよびＴＴＬ値が同じで、かつ宛先アドレスが異なるエントリの数を、発信元アドレスとＴＴＬ値の組み合わせごとに計測する受信宛先アドレス数計測手段と、前記受信宛先アドレス数計測手段により計測されたエントリ数が閾値を超える、発信元アドレスとＴＴＬ値の組み合わせがある場合に、当該組み合わせの発信元アドレスおよびＴＴＬ値を通信相手へ通知するエントリ通知手段と、を備えることを特徴とする異常トラヒック監視装置。
【００５５】
（付記２）前記エントリ登録手段に登録されている、発信元アドレスおよび宛先アドレスが同じで、かつＴＴＬ値が異なるエントリの数を、発信元アドレスと宛先アドレスの組み合わせごとに計測するとともに、該組み合わせごとに、異なるＴＴＬ値の中で最大のＴＴＬ値を計測する受信ＴＴＬ数計測手段、をさらに備えることを特徴とする付記１に記載の異常トラヒック監視装置。
【００５６】
（付記３）前記エントリ通知手段は、前記受信ＴＴＬ数計測手段により計測されたエントリ数が閾値を超える、発信元アドレスと宛先アドレスの組み合わせがある場合に、当該組み合わせの発信元アドレスおよび最大のＴＴＬ値を通信相手へ通知することを特徴とする付記２に記載の異常トラヒック監視装置。
【００５７】
（付記４）前記エントリ登録手段により登録されたエントリ、および前記受信宛先アドレス数計測手段により計測されたエントリの数は、予め設定された周期で初期値に戻ることを特徴とする付記１に記載の異常トラヒック監視装置。
【００５８】
（付記５）前記受信ＴＴＬ数計測手段により計測されたエントリの数は、予め設定された周期で初期値に戻ることを特徴とする付記２に記載の異常トラヒック監視装置。
【００５９】
（付記６）発信元アドレスとＴＴＬ値の組み合わせからなるエントリを複数の通信相手から受信するエントリ収集手段と、前記エントリ収集手段により複数の通信相手から収集された複数のエントリのＴＴＬ値を、同じ発信元アドレスごとに比較し、当該発信元アドレスについて、ＴＴＬ値が最も大きいエントリを送信してきた通信相手を異常の発生元と特定するエントリ比較手段と、を備えることを特徴とするエントリ管理装置。
【００６０】
（付記７）前記エントリ比較手段は、予め設定された周期でＴＴＬ値の比較を行うことを特徴とする付記６に記載のエントリ管理装置。
【００６１】
（付記８）ネットワーク内に配置された複数の異常トラヒック監視装置と、前記複数の異常トラヒック監視装置に対して共通のエントリ管理装置と、を備えるネットワークシステムであって、前記異常トラヒック監視装置は、パケットから発信元アドレス、宛先アドレスおよびＴＴＬ値を抽出するパケット受信手段と、前記パケット受信手段により抽出された発信元アドレス、宛先アドレスおよびＴＴＬ値をエントリとして登録するエントリ登録手段と、前記エントリ登録手段に登録されている、発信元アドレスおよびＴＴＬ値が同じで、かつ宛先アドレスが異なるエントリの数を、発信元アドレスとＴＴＬ値の組み合わせごとに計測する受信宛先アドレス数計測手段と、前記受信宛先アドレス数計測手段により計測されたエントリ数が閾値を超える、発信元アドレスとＴＴＬ値の組み合わせがある場合に、当該組み合わせの発信元アドレスおよびＴＴＬ値を前記エントリ管理装置へ通知するエントリ通知手段と、を備え、前記エントリ管理装置は、発信元アドレスとＴＴＬ値の組み合わせからなるエントリを前記複数の異常トラヒック監視装置から受信するエントリ収集手段と、前記エントリ収集手段により前記複数の異常トラヒック監視装置から収集された複数のエントリのＴＴＬ値を、同じ発信元アドレスごとに比較し、当該発信元アドレスについて、ＴＴＬ値が最も大きいエントリを送信してきた異常トラヒック監視装置を異常の発生元と特定するエントリ比較手段と、を備えることを特徴とするネットワークシステム。
【００６２】
（付記９）前記異常トラヒック監視装置は、前記エントリ登録手段に登録されている、発信元アドレスおよび宛先アドレスが同じで、かつＴＴＬ値が異なるエントリの数を、発信元アドレスと宛先アドレスの組み合わせごとに計測するとともに、該組み合わせごとに、異なるＴＴＬ値の中で最大のＴＴＬ値を計測する受信ＴＴＬ数計測手段、をさらに備えることを特徴とする付記８に記載のネットワークシステム。
【００６３】
（付記１０）前記エントリ通知手段は、前記受信ＴＴＬ数計測手段により計測されたエントリ数が閾値を超える、発信元アドレスと宛先アドレスの組み合わせがある場合に、当該組み合わせの発信元アドレスおよび最大のＴＴＬ値を前記エントリ管理装置へ通知することを特徴とする付記９に記載のネットワークシステム。
【００６４】
（付記１１）前記異常トラヒック監視装置は、発信元アドレスおよびＴＴＬ値を定期的に前記エントリ管理装置へ通知することを特徴とする付記８〜１０のいずれか一つに記載のネットワークシステム。
【００６５】
（付記１２）前記エントリ管理装置は、定期的に前記異常トラヒック監視装置から発信元アドレスおよびＴＴＬ値のエントリを収集することを特徴とする付記８〜１０のいずれか一つに記載のネットワークシステム。
【００６６】
（付記１３）前記エントリ管理装置は、管理用のネットワークを用いて前記複数の異常トラヒック監視装置と通信することを特徴とする付記８〜１２のいずれか一つに記載のネットワークシステム。
【産業上の利用可能性】
【００６７】
以上のように、本発明にかかる異常トラヒック監視装置、エントリ管理装置およびネットワークシステムは、ルータ等のネットワークスイッチを経由するたびに増加または減少するような値を含むデータを送受信するネットワークに有用であり、特に、ＩＰネットワークに適している。
【図面の簡単な説明】
【００６８】
【図１】この発明の実施の形態にかかるネットワークシステムの構成を説明する図である。
【図２】この発明の実施の形態にかかる異常トラヒック監視装置およびエントリ管理装置の構成を説明する図である。
【図３】ＩＰパケットのフォーマットを示す図である。
【図４】この発明の実施の形態にかかる異常トラヒック監視装置のワーム監視処理手順を説明するフローチャートである。
【図５】この発明の実施の形態にかかるエントリ管理装置のワーム発信元特定処理手順を説明するフローチャートである。
【図６】この発明の実施の形態にかかる異常トラヒック監視装置のＬ３ループ監視処理手順を説明するフローチャートである。
【図７】この発明の実施の形態にかかるエントリ管理装置のＬ３ループ発生箇所特定処理手順を説明するフローチャートである。
【図８】この発明の実施の形態にかかるネットワークシステムにおけるワーム発信元特定動作を説明する図である。
【図９】この発明の実施の形態にかかるネットワークシステムにおけるＬ３ループ発生箇所特定動作を説明する図である。
【図１０】この発明の実施の形態にかかるネットワークシステムの他の構成を説明する図である。
【符号の説明】
【００６９】
４ａ，４ｂ  異常トラヒック監視装置
５  エントリ管理装置
４１  パケット受信部
４２  エントリ登録部
４３  受信宛先アドレス数計測部
４４  受信ＴＴＬ数計測部
４５  エントリ通知部
５１  エントリ収集部
５２  エントリ比較部
【図１】
2008153752.tif 000003
【図２】
2008153752.tif 000004
【図３】
2008153752.tif 000005
【図４】
2008153752.tif 000006
【図５】
2008153752.tif 000007
【図６】
2008153752.tif 000008
【図７】
2008153752.tif 000009
【図８】
2008153752.tif 000010
【図９】
2008153752.tif 000011
【図１０】
2008153752.tif 000012