(57)【要約】【課題】通信網上に設置後、短期間で当該通信網の異常発生を検知可能な装置を提供する。また、通信網の接続構成などが変更された場合にも、早期に正しい検知結果を示す装置を提供する。【解決手段】本発明による通信異常検知装置は、装置設置時には検知処理をなすまでのパケット情報の抽出期間が短いサンプリング手法を用い、抽出されたパケット情報量が所定量に達したら別のサンプリング手法を用いて検知処理をなす。また、蓄積されるパケット情報の蓄積量の増加に応じて、段階的に、パケット情報の抽出間隔を広げて検知処理をなす。また、検知処理の解除入力があれば、一旦、検知処理を解除し、検知処理をなすまでのパケット情報の抽出期間が短いサンプリング手法に変更して検知処理を再開する。【選択図】図１
2008131075.tif 000002
【特許請求の範囲】
【請求項１】
通信網から到来するパケット信号を順次、受信するパケット受信部と、
供給されるサンプリング手法に基づいて、前記パケット受信部が受信したパケット信号を順次、選別し、当該選別したパケット信号に含まれる付随情報を抽出するサンプリング部と、
前記サンプリング部が抽出した付随情報を蓄積する情報蓄積部と、
データ解析手法に基づいて前記情報蓄積部に蓄積されている付随情報を解析し、前記通信網における異常発生の検知処理をなす異常検知処理部とを含む通信異常検知装置であって、
前記情報蓄積部に蓄積されている付随情報の蓄積量が所定量に達した場合、サンプリング手法を前記サンプリング部に、当該サンプリング手法に対応したデータ解析手法を前記異常検知処理部にそれぞれ供給するトリガー部を含むことを特徴とする通信異常検知装置。
【請求項２】
前記トリガー部は、初期設定時に初期サンプリング手法を前記サンプリング部に、当該初期サンプリング手法に対応したデータ解析手法を前記異常検知処理部にそれぞれ供給する初期サンプリング設定手段と、
前記情報蓄積部に蓄積されている付随情報の蓄積量が所定量に達した場合、標準サンプリング手法を前記サンプリング部に、当該標準サンプリング手法に対応したデータ解析手法を前記異常検知処理部にそれぞれ供給する標準サンプリング設定手段と含むを特徴とする請求項１に記載の通信異常検知装置。
【請求項３】
前記検知処理の解除入力を受け入れる入力部を更に含み、
前記トリガー部は、解除入力に応じて一旦検知処理を解除し、前記サンプリング手法を前記サンプリング部に、当該サンプリング手法に対応したデータ解析手法を前記異常検知処理部にそれぞれ供給する手段を含むことを特徴とする請求項１に記載の通信異常検知装置。
【請求項４】
前記異常検知処理部は、前記トリガー部から前記標準サンプリング手法に対応したデータ解析手法を供給された場合、前記初期サンプリング手法にて抽出されて前記情報蓄積部に蓄積されている付随情報の全部または一部を前記標準サンプリング手法に対応したデータ解析手法にて解析可能な形式の付随情報に変換する手段を含み、
当該変換した付随情報と前記標準サンプリング手法にて抽出されて前記情報蓄積部に蓄積される付随情報とを解析し、前記通信網における異常発生の検知処理をなすことを特徴とする請求項２に記載の通信異常検知装置。
【請求項５】
前記情報蓄積部に蓄積されている付随情報の変換範囲を受け入れる入力部を更に含み、
前記異常検知処理部は、前記変換範囲に基づいて前記初期サンプリング手法にて抽出されて前記情報蓄積部に蓄積されている付随情報の全部または一部を前記標準サンプリング手法に対応したデータ解析手法にて解析可能な形式の付随情報に変換することを特徴とする請求項４に記載の通信異常検知装置。
【請求項６】
前記初期サンプリング手法においては前記標準サンプリング手法に比較して前記検知処理をなすまでの付随情報の抽出期間が短いことを特徴とする請求項２に記載の通信異常検知装置。
【請求項７】
前記初期サンプリング手法はパケットカウントベースサンプリング手法であり、前記標準サンプリング手法は時間ベースサンプリング手法であることを特徴とする請求項２に記載の通信異常検知装置。
【請求項８】
通信網から到来するパケット信号を順次、受信するパケット受信部と、
供給されるサンプリング手法及び情報抽出間隔に基づいて、前記パケット受信部が受信したパケット信号を順次、選別し、当該選別したパケット信号に含まれる付随情報を抽出するサンプリング部と、
前記サンプリング部が抽出した付随情報を蓄積する情報蓄積部と、
データ解析手法に基づいて前記情報蓄積部に蓄積されている付随情報を解析し、前記通信網における異常発生の検知処理をなす異常検知処理部とを含む通信異常検知装置であって、
サンプリング手法を前記サンプリング部に、当該サンプリング手法に対応したデータ解析手法を前記異常検知処理部にそれぞれ供給するトリガー部と、
前記情報蓄積部に蓄積されている付随情報の蓄積量が所定量に達する毎に、情報抽出間隔を前記サンプリング部に供給する解析制御部を含むことを特徴とする通信異常検知装置。
【請求項９】
前記解析制御部が前記サンプリング部に供給する情報抽出間隔は、直前に前記サンプリング部に供給された情報抽出間隔よりも広いことを特徴とする請求項８に記載の通信異常検知装置。
【請求項１０】
前記解析制御部は、前記情報抽出間隔を前記サンプリング部に供給するとき、当該供給前の情報抽出間隔にて抽出され既に前記情報蓄積部に蓄積されている付随情報を当該供給後においても継続して前記異常検知処理部が解析できる形態に変換することを特徴とする請求項８に記載の通信異常検知装置。
【請求項１１】
前記検知処理の解除入力を受け入れる入力部を更に含み、
前記解析制御部は、解除入力に応じて一旦検知処理を解除し、情報抽出間隔を前記サンプリング部に供給する手段を更に含むことを特徴とする請求項８に記載の通信異常検知装置。
【請求項１２】
前記付随情報は、前記パケット信号に含まれる通信プロトコル情報であることを特徴とする請求項１または８に記載の通信異常検知装置。
【請求項１３】
前記異常検知処理部は、前記情報蓄積部に既に蓄積されている付随情報を解析して当該解析結果を通信網の平常状態とし、前記情報蓄積部に蓄積された最新の付随情報を解析して当該解析結果を通信網の最新状態とし、当該平常状態と最新状態との比較により通信網における異常の度合いを求めて異常発生の検知処理をなすことを特徴とする請求項１または８に記載の通信異常検知装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信網上から到来するパケット信号に含まれる情報を解析し、当該通信網における異常発生を検知する通信異常検知装置に関する。
【背景技術】
【０００２】
インターネット等の通信網の拡大や通信量の増加に伴い、通信網に接続されるコンピュータへのいわゆるワームなどの悪意を持ったプログラムの感染や、ワームに感染した複数のコンピュータが特定のサーバに対して攻撃するＤＤｏｓ(Distributed Denial of Service)攻撃などが問題となっている。これらの問題への対策として近年、通信網の異常を検知するための装置を通信網上の特定の場所に設置し、パケット信号に含まれる情報を長期に亘って取得する方法が用いられるようになった。この方法では，長期に亘って取得した情報を解析し当該解析により得られた結果から平常時の通信状態を把握し、平常時の通信状態に基づいて通信網における異常発生を検知するなどの手段が用いられる。
【０００３】
例えば、通信網上に通信される情報を監視するための監視装置を通信網上の広範囲に設置し、これらの監視装置が探知した情報を統合的に解析することにより通信網上の異常を検知する技術が非特許文献１に開示されている。
【非特許文献１】「広域セキュリティ監視における統合解析アーキテクチャ」  竹森、山田、三宅  The 2006 Symposium on Cryptography and Information Security Hiroshima, Japan, Jan, 17-20, 2006 The Institute of Electronics, Information and Communication Engineers
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら非特許文献１に開示される技術においては当該文献の４．１．１項に示されるように、通信網上における異常を検知するために監視装置が直前に得た統計データと一週間前に得た統計データとに基づいて異常発生の検知解析を行っている。そのため、監視装置を通信網上に設置してから少なくとも一週間程度、通信情報を蓄積する必要があり、その間は通信網における異常発生を検知できないという問題があった。
【０００５】
また、一般に通信網の接続構成などが変更された場合、変更前までの監視により得られた平常時の通信状態と変更後の通信状態とが異なるため、実際には正常であるにもかかわらず異常が発生したという解析結果を示し続けるという問題点があった。
【０００６】
本発明は上記した如き問題点に鑑みてなされたものであって、通信網上に設置後、短期間で通信網の異常発生を検知可能な装置を提供することを目的とする。
【０００７】
また、本発明は、通信網の接続構成などが変更された場合においても、早期に正しい検知結果を示すことが可能な装置を提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明による通信異常検知装置は、通信網から到来するパケット信号を順次、受信するパケット受信部と、供給されるサンプリング手法に基づいて、前記パケット受信部が受信したパケット信号を順次、選別し、当該選別したパケット信号に含まれる付随情報を抽出するサンプリング部と、前記サンプリング部が抽出した付随情報を蓄積する情報蓄積部と、データ解析手法に基づいて前記情報蓄積部に蓄積されている付随情報を解析し、前記通信網における異常発生の検知処理をなす異常検知処理部とを含む通信異常検知装置であって、前記情報蓄積部に蓄積されている付随情報の蓄積量が所定量に達した場合、サンプリング手法を前記サンプリング部に、当該サンプリング手法に対応したデータ解析手法を前記異常検知処理部にそれぞれ供給するトリガー部を含むことを特徴とする。
【０００９】
また、本発明による通信異常検知装置は、通信網から到来するパケット信号を順次、受信するパケット受信部と、供給されるサンプリング手法及び情報抽出間隔に基づいて、前記パケット受信部が受信したパケット信号を順次、選別し、当該選別したパケット信号に含まれる付随情報を抽出するサンプリング部と、前記サンプリング部が抽出した付随情報を蓄積する情報蓄積部と、データ解析手法に基づいて前記情報蓄積部に蓄積されている付随情報を解析し、前記通信網における異常発生の検知処理をなす異常検知処理部とを含む通信異常検知装置であって、サンプリング手法を前記サンプリング部に、当該サンプリング手法に対応したデータ解析手法を前記異常検知処理部にそれぞれ供給するトリガー部と、前記情報蓄積部に蓄積されている付随情報の蓄積量が所定量に達する毎に、情報抽出間隔を前記サンプリング部に供給する解析制御部を含むことを特徴とする。
【発明を実施するための最良の形態】
【００１０】
以下、本発明に係る実施例について添付の図面を参照しつつ詳細に説明する。
【実施例１】
【００１１】
図１は、本発明による通信異常検知装置１０を表すブロック図である。
【００１２】
通信異常検知装置１０は、パケット受信部１と、サンプリング部２と、情報蓄積部３と、異常検知処理部４と、入力部５と、トリガー部６とを含む。
【００１３】
パケット受信部１は、通信網（図示せず）からパケット信号を順次、受信し、当該受信したパケット信号をサンプリング部２に順次、供給する。
【００１４】
サンプリング部２は、パケット受信部１から供給されるパケット信号を、トリガー部６から供給されたサンプリング条件に基づいて順次、選別し、当該選別したパケット信号に含まれる付随情報を抽出する。続いて、サンプリング部２は、抽出された付随情報を情報蓄積部３に供給する。同時に、サンプリング部２は、付随情報を情報蓄積部３に供給した旨をトリガー部６に通知する。
【００１５】
情報蓄積部３は、サンプリング部２から供給される付随情報を順次、蓄積する。情報蓄積部３は、少なくとも異常発生の検知処理に利用される分の付随情報を一定期間、蓄積している。なお、異常発生の検知処理に利用されない付随情報は破棄されても良い。また、情報蓄積部３は、異常検知処理部４からの要求に応じて付随情報を異常検知処理部４に供給する。
【００１６】
異常検知処理部４は、トリガー部６から発せられる検知処理の開始指令に応じて、情報蓄積部３に付随情報の供給を要求する。続いて、異常検知処理部４は、トリガー部６から供給されたデータ解析手法に基づいて情報蓄積部３から供給される付随情報を解析し、通信網（図示せず）における異常発生の検知処理を行う。
【００１７】
入力部５は、通信異常検知装置１０の管理者や通信状態の監視者などが入力する検知処理の解除入力及び付随情報を変換する際の変換範囲入力を受け入れる。
【００１８】
トリガー部６は、付随情報を情報蓄積部３に供給した旨をサンプリング部２から通知される毎に検知処理の開始指令を異常検知処理部４に発する。通常、トリガー部６は、初期設定時に初期サンプリング手法をサンプリング部２に、当該初期サンプリング手法に対応したデータ解析手法を異常検知処理部４にそれぞれ供給する。初期設定は例えば通信異常検知装置１０が通信網上に設置されたときなどに行われる。また、トリガー部６は、情報蓄積部３に蓄積されている付随情報の蓄積量が所定量に達した場合に、初期サンプリング手法と異なる標準サンプリング手法をサンプリング部２に、当該標準サンプリング手法に対応したデータ解析手法を異常検知処理部４にそれぞれ供給する。ここでの所定量は少なくとも標準サンプリング手法による解析が可能となる量以上の量である。また、所定量はトリガー部６に予め記憶されている。通常、サンプリング手法の供給と同時に関連する変数なども併せてサンプリング部２に供給する。本実施例においては、初期サンプリング手法をパケットカウントベースサンプリング（packetcount-based sampling）手法、標準サンプリング手法を時間ベースサンプリング（time-based sampling）手法とする。これら両手法は、IETF（Internet Engineering Task Force）のpsamp（Packet Sampling）ワーキンググループにおいて定義される標準的なサンプリング手法であれば良い。
【００１９】
図２は時間ベースサンプリング手法における付随情報の抽出期間の例を表す図である。Ｘ軸は経過時間、Ｙ軸は抽出される付随情報量をそれぞれ表す。同図中のＤ１〜Ｄ８の各々はサンプリング部２が付随情報を抽出する期間を表す。ここでは仮にＤ１〜Ｄ８の各々において抽出される付随情報量は同量であるとする。同図中のＳ１〜Ｓ７の各々は抽出期間Ｄ１〜Ｄ２、Ｄ２〜Ｄ３、・・・、Ｄ７〜Ｄ８の各々の時間間隔を表す。抽出期間Ｄ１〜Ｄ８及び時間間隔Ｓ１〜Ｓ７は予めトリガー部６に記憶されており、トリガー部６はこれらを含むサンプリング条件をサンプリング部２に供給する。サンプリング部２は、Ｄ１〜Ｄ８の各々の抽出期間内に少なくとも１以上のパケット信号が含まれていれば、サンプリング条件に基づいて、パケット信号を順次、選別し、当該選別したパケット信号に含まれる付随情報を抽出する。ここでは、抽出期間Ｄ８において抽出された付随情報の解析を行うまでに、抽出期間Ｄ１〜Ｄ７の各々において抽出された付随情報が必要であるとする。
【００２０】
図３はパケットカウントベースサンプリング手法における付随情報の抽出期間の例を表す図である。Ｘ軸は経過時間、Ｙ軸は抽出される付随情報量をそれぞれ表す。同図中のＤ１〜Ｄ８の各々は少なくとも１以上のパケット信号からなる一連のパケット信号列であり、サンプリング部２が付随情報を抽出する期間を表す。ここでは仮にＤ１〜Ｄ８の各々において抽出される付随情報量は同量であるとする。同図中のＳ１はパケット信号列Ｄ１が通信異常検知装置１０に到来してから、パケット信号列Ｄ２が通信異常検知装置１０に到来するまでの時間間隔を表す。同様にＳ１〜Ｓ７の各々はパケット信号列Ｄ２が到来してからパケット信号列Ｄ３が到来するまで、パケット信号列Ｄ３が到来してからパケット信号列Ｄ４が到来するまで、・・・、パケット信号列Ｄ７が到来してからパケット信号列Ｄ８が到来するまでの時間間隔を表す。サンプリング部２は、パケット信号列Ｄ１〜Ｄ８の各々に含まれるパケット信号を、サンプリング条件に基づいて順次、選別し、当該選別したパケット信号に含まれる付随情報を抽出する。ここでは、抽出期間Ｄ８において抽出された付随情報の解析を行うまでに、パケット信号列Ｄ１〜Ｄ７の各々において抽出された付随情報が必要であるとする。
【００２１】
サンプリング部２が抽出する付随情報は例えば、パケット信号に含まれる通信プロトコルの情報などである。通信プロトコルの情報としてはＴＣＰ（Transmission Control Protocol）やＵＤＰ（User Datagram Protocol）などがある。この場合、異常検知処理部４は、例えば、情報蓄積部３に既に蓄積されている複数の通信プロトコル情報の各々の種類がＴＣＰであるかＵＤＰであるかを判別し、通信プロトコル情報の総量に占めるＴＣＰおよびＵＤＰの各々の構成比率を求めるなどの解析を行い、当該解析結果を通信網の平常状態における構成比率とする。続いて、異常検知処理部４は、例えば、前記情報蓄積部に蓄積された最新の付随情報を解析して当該解析結果を通信網の最新状態とし、当該平常状態における構成比率と解析された最新の構成比率とを比較して通信網における異常の度合いを求めるなどして異常発生の検知処理を行う。
【００２２】
時間ベースサンプリング手法が予め定められた時間間隔で付随情報の抽出を行うのに対して、パケットカウントベースサンプリング手法は、パケット信号列が到来する毎に付随情報の抽出を行うため、パケットカウントベースサンプリング手法を用いる方が、異常発生の検知処理を開始するまでに付随情報を抽出する期間が短期で済むという利点がある。異常発生の検知処理開始までの付随情報の抽出期間は、図２及び３に表される例においては時間間隔Ｓ１〜Ｓ７の合計で示される。図３に表されるパケットカウントベースサンプリング手法の方が、図２に表される時間ベースサンプリング手法に比較して時間間隔Ｓ１〜Ｓ７の合計量が小さい、すなわち、異常発生の検知処理開始までの付随情報の抽出期間が短い。
【００２３】
また、過去に抽出された付随情報に基づいて通信網の平常状態を定め、当該定められた平常状態と抽出された最新の付随情報を比較することにより現状の通信状態が正常であるか否かを解析する場合、付随情報を抽出する時間間隔を適度な間隔にすることにより解析精度を高められる。そのため、短期間に到来するパケット信号列から付随情報の抽出を行うパケットカウントベースサンプリング手法よりも、予め定められた適度な時間間隔で付随情報の抽出を行う時間ベースサンプリング手法の方が異常発生の検知精度が高いという利点を有する。本実施例においては、上記した両手法の利点に鑑みて、通信異常検知装置１０の設置時点においては早期に異常発生の検知処理を行うためにパケットカウントベースサンプリング手法を用い、予め記憶されている所定量以上のデータが蓄積されたら異常発生の検知精度向上のために時間ベースサンプリング手法に変更する。
【００２４】
図４は、トリガー部６におけるサンプリング手法の変更ルーチンの例を表すフローチャートである。本実施例においては、トリガー部６は初期設定時にパケットカウントベースサンプリング手法をサンプリング部２に、当該手法に対応したデータ解析手法を異常検知処理部４にそれぞれ供給してあるとする。また、本実施例における初期設定は通信異常検知装置１０が通信網上に設置された時点に行われるものとする。トリガー部６は、前記情報蓄積部に蓄積されている付随情報の蓄積量が所定量に達したか否かを判断する（Ｓ１）。当該判断は、例えば、付随情報を情報蓄積部３に供給した旨をサンプリング部２から通知される毎に行われる。ここでの所定量は少なくとも時間ベースサンプリング手法による解析が可能となる量以上の量である。トリガー部６は、情報蓄積部３に蓄積されている付随情報の蓄積量が予め記憶されている所定量に達すれば、時間ベースサンプリング手法をサンプリング部２に供給する（Ｓ２）。これと同時に、トリガー部６は、時間ベースサンプリング手法に対応したデータ解析手法を異常検知処理部４に供給する。トリガー部６は、入力部５が検知処理の解除入力を受け入れたら（Ｓ３）、これに応じて検知処理を一旦解除し、サンプリング部２にパケットカウントベースサンプリング手法を供給する（Ｓ４）。これと同時に、トリガー部６は、パケットカウントベースサンプリング手法に対応したデータ解析手法を異常検知処理部４に供給する。続いて、トリガー部６は、前記情報蓄積部に蓄積されている付随情報の蓄積量が所定量に達したか否かを判断する処理（Ｓ１）に戻る。なお、検知処理の解除入力は、サンプリング部２がパケットカウントベースサンプリング手法を用いて付随情報を抽出しているときに入力されても良い。この場合においてもトリガー部６は、検知処理を一旦解除し、サンプリング部２にパケットカウントベースサンプリング手法を供給する。
【００２５】
上記した処理において、サンプリング部２は、トリガー部６から時間ベースサンプリング手法を供給された場合は時間ベースサンプリング手法に基づいて、また、トリガー部６からパケットカウントベースサンプリング手法を供給された場合はパケットカウントベースサンプリング手法に基づいて、パケット受信部１から供給されるパケット信号を順次、選別し、当該選別したパケット信号に含まれる付随情報を抽出する。
【００２６】
異常検知処理部４は、トリガー部６から時間ベースサンプリング手法を供給されたときに、パケットカウントベースサンプリング手法にて抽出されて情報蓄積部３に蓄積されている付随情報の全部または一部を、時間ベースサンプリング手法にて解析可能な形式の付随情報に変換する機能を有する。異常検知処理部４は、当該変換した付随情報と時間ベースサンプリング手法にて抽出されて情報蓄積部３に蓄積される付随情報とを解析し、通信網における異常発生の検知処理を行うことにより、情報蓄積部３に蓄積されている付随情報を有効利用することもできる。更に、通信異常検知装置１０の管理者や通信状態の監視者などが付随情報を変換する際の変換範囲が入力部５に入力された場合、異常検知処理部４は、入力された変換範囲に基づいてパケットカウントベースサンプリング手法により抽出されて情報蓄積部３に蓄積されている付随情報の全部または一部を時間ベースサンプリング手法にて解析可能な形式の付随情報に変換できる。また、仮にパケットカウントベースサンプリング手法にて抽出されて情報蓄積部３に蓄積されている付随情報を時間ベースサンプリング手法にて解析可能な形式の付随情報に変換できない場合は、サンプリング部２が、パケットカウントベースサンプリング手法にて解析可能な形式で付随情報を抽出するのに平行して、通信異常検知装置１０の設置時点から、時間ベースサンプリング手法にて解析可能な形式で付随情報を併せて抽出する。この場合、時間ベースサンプリング手法に切り替えた時点より、時間ベースサンプリング手法にて解析可能な形式で抽出した付随情報を利用することで、サンプリング手法を切り替えた時点から即座に異常発生の検知処理を行うことができる。
【００２７】
図５は、異常検知処理部４による付随情報の解析結果の例を表す図である。矢印の上側の図は、仮に通信異常検知装置１０の設置時点から継続して時間ベースサンプリング手法を用いた場合の例である。矢印の下側の図は、通信異常検知装置１０の設置時点においてはパケットカウントベースサンプリング手法を用い、予め記憶されている所定量以上の付随情報が蓄積されたら時間ベースサンプリング手法を用いる場合の例である。Ｘ軸が経過時間、Ｙ軸が解析結果である異常の度合いをそれぞれ表す。また、通信異常検知装置１０が通信網上に設置された時間を時間０とする。
【００２８】
通信異常検知装置１０の設置時点から継続して時間ベースサンプリング手法を用いた場合（同図中における矢印の上側の図）、異常発生の検知処理開始までの期間は同図中の期間Ａ１となる。通信異常検知装置１０の設置時点においてはパケットカウントベースサンプリング手法を用いた場合（同図中における矢印の下側の図）、異常発生の検知処理開始までの期間は同図中の期間Ａ２となる。パケットカウントベースサンプリング手法は時間ベースサンプリング手法と比較して、通信異常検知装置１０の設置から異常発生の検知処理開始までの付随情報の抽出期間が短期で済むため、同図中の期間Ａ１に比較して短い期間Ａ２で異常発生の検知処理を開始できる。また、予め記憶されている所定量以上のデータが蓄積されたら、パケットカウントベースサンプリング手法から時間ベースサンプリング手法に変更することにより解析精度の高い異常発生の検知処理を継続できる。
【００２９】
図６は、検知処理の解除入力無しのとき及び解除入力有りのときの異常検知処理部４による付随情報の解析結果の例を表す図である。矢印の上側の図が検知処理の解除入力無しのとき、矢印の下側の図が検知処理の解除入力有りのときの例である。Ｘ軸が経過時間、Ｙ軸が解析結果である異常の度合いをそれぞれ表す。また、通信網の接続構成などが変更された時間を同図中の時間Ｃとする。入力部５が検知処理の解除入力を受け入れた時点を同図中の時間Ｒとする。
【００３０】
仮に通信網の接続構成などが変更された場合（同図中における矢印の上側の図）、構成変更前までの解析により得られた平常時の通信状態と構成変更後の通信状態とが異なるため、構成変更時点である時間Ｃ以降、実際には通信状態が正常であるにもかかわらず異常の度合いが大きい解析結果が示され続ける。通信異常検知装置１０の管理者や通信状態の監視者などが通信網の接続構成などの変更を受けて、入力部５に検知処理の解除入力を行うと検知処理が一旦解除される。検知処理解除後、短期間で検知処理を再開するために、トリガー部６は、パケットカウントベースサンプリング手法をサンプリング部２に、パケットカウントベースサンプリング手法に対応したデータ解析手法を解析制御部７にそれぞれ供給する。この場合、図６中における矢印の下側の図に示されるように、時間Ｒ以降、パケットカウントベースサンプリング手法を用いた異常発生の検知処理が行われる。そのため、通信網の接続構成などが変更され、実際には通信状態が正常であるにもかかわらず異常の度合いが大きい解析結果を示され続けた場合においても、検知処理を一旦解除することにより、短期間で異常発生の検知処理を再開できる。
【００３１】
上記した如く、本発明によれば、通信異常検知装置を通信網上に設置後、短期間で通信網の異常発生を検知可能である。また、本発明によれば、通信網の接続構成などが変更された場合にも、一旦、検知処理を解除し、早期に正しい検知結果を示すことが可能である。
【実施例２】
【００３２】
図７は、解析制御部７を更に含む本発明による通信異常検知装置１０を表すブロック図である。なお、解析制御部７以外のブロックは実施例１と同一であるため、ここでは説明を省略する。
【００３３】
解析制御部７はサンプリング部２に接続されており、これにパケット信号の情報抽出間隔を供給する。先ず、情報抽出間隔は通信異常検知装置１０の設置時等の初期設定段階においてサンプリング部２に供給される。通常、このときサンプリング部２に供給される情報抽出間隔は付随情報の解析を早期に開始するために比較的狭い間隔である。また、解析制御部７は、情報蓄積部３に蓄積されている付随情報の蓄積量が所定量に達する毎に、情報抽出間隔をサンプリング部２に供給する。通常、このときサンプリング部２に供給される情報抽出間隔は直前に供給された情報抽出間隔よりも広い間隔である。なお、解析制御部７は少なくとも１以上の所定量及び情報抽出間隔を予め記憶しておく。解析制御部７は情報蓄積部３にも接続されており、これに蓄積されている付随情報の蓄積量に基づいて情報抽出間隔をサンプリング部２に供給する。また、解析制御部７は比較的狭い情報抽出間隔にて抽出されて既に情報蓄積部３に蓄積されている付随情報を結合するなどして、情報抽出間隔の拡大後に利用できる形態に変換する。また、解析制御部７はトリガー部６に接続されており、これに情報抽出間隔及び付随情報の解析タイミングを通知する。
【００３４】
図8は、解析制御部７における情報抽出間隔の変更ルーチンの例を表す図である。本実施例においてもトリガー部６は、通信異常検知装置１０の設置時に、パケットカウントベースサンプリング手法をサンプリング部２に、当該手法に対応したデータ解析手法を異常検知処理部４にそれぞれ供給してあるとする。
【００３５】
解析制御部７は、情報蓄積部３に蓄積されている付随情報の蓄積量が予め記憶されている所定量に達したか否かを判断する（Ｔ１）。この処理は例えば、サンプリング部２が付随情報を抽出する毎に、解析制御部７が情報蓄積部３に蓄積されている付随情報の蓄積量と予め記憶されている所定量とを所定量の小さいものから順に比較することによりなされる。解析制御部７は、付随情報の蓄積量が当該所定量に達すれば（Ｔ１）、直前にサンプリング部２に供給した情報抽出間隔よりも広い情報抽出間隔をサンプリング部２に供給する（Ｔ２）。供給される情報抽出間隔は解析精度が大幅に低下しない程度の間隔である。また、解析制御部７は、付随情報の情報抽出間隔を拡大する時に、当該拡大前の間隔にて抽出され既に情報蓄積部３に蓄積されている付随情報を当該情報抽出間隔の拡大後に利用できる形態に変換する（Ｔ３）。また、情報抽出間隔が広くなり過ぎると解析精度が低下するため、解析制御部７は、情報抽出間隔を適度な間隔まで拡大したら（Ｔ４）、情報抽出間隔の拡大を停止する。情報抽出間隔が上限まで拡大されていない場合は（Ｔ４）、付随情報の蓄積量が所定量に達したか否かを判断する処理（Ｔ１）に戻る。情報抽出間隔の上限値は予め解析制御部７に記憶されている。サンプリング部２は、上記した処理によって解析制御部７から情報抽出間隔を供給されることにより、抽出間隔を段階的に拡大しながら付随情報を抽出できる。
【００３６】
図８に示した処理に引き続いて実施例１と同様にトリガー部６は、情報蓄積部３に蓄積されている付随情報の蓄積量が所定量に達した場合に、時間ベースサンプリング手法をサンプリング部２に、当該手法に対応したデータ解析手法を異常検知処理部４にそれぞれ供給する。当該所定量は通常、情報抽出間隔を拡大する際に用いられる所定量よりも大きい量に設定されている。このとき異常検知処理部４は実施例１と同様に、パケットカウントベースサンプリング手法にて抽出されて情報蓄積部３に蓄積されている付随情報の全部または一部を、時間ベースサンプリング手法にて解析可能な形式の付随情報に変換する。なお、情報抽出間隔の変更処理終了後から時間ベースサンプリング手法を用いた解析に必要な量の付随情報が蓄積されるまでの間、解析制御部７は抽出間隔の変更処理は行わず、トリガー部６に解析タイミングを通知するなどの処理を実行している。
【００３７】
実施例１と同様に通信網の接続構成などが変更された場合に通信異常検知装置１０の管理者や通信状態の監視者などが入力部５に検知処理の解除入力を行うと検知処理が一旦解除される。解除後、付随情報の抽出処理を再開した時点では、上記した処理と同様に、解析制御部７は、比較的狭い間隔の情報抽出間隔をサンプリング部２に供給し、付随情報の蓄積量の増加に応じて段階的に拡大した抽出間隔をサンプリング部２に供給する。
【００３８】
付随情報の抽出間隔が短い程、解析に必要な分の付随情報を短期間に蓄積することができ、早期に異常発生の検知処理を開始できる。しかし、蓄積期間が長期に亘る場合、付随情報の量が情報蓄積部３に蓄積可能な量を超過するおそれがある。上記した如く、付随情報抽出の初期段階においては狭い抽出間隔で付随情報を抽出することにより早期に検知処理の開始が可能であり、情報抽出間隔を広げても解析精度が落ちない程度の付随情報が蓄積されたら、付随情報の抽出間隔を拡大することにより、情報蓄積部３に蓄積される付随情報量を抑制しつつ解析精度を保ちながら検知処理を継続することが本発明において可能である。
【００３９】
上記した如く、本実施例によれば、通信異常検知装置を通信網上に設置後、より短期間で通信網の異常発生を検知することが本発明において可能である。また、本実施例によれば、通信網の接続構成などが変更された場合にも、一旦、検知処理を解除し、より早期に正しい検知結果を示すことが本発明において可能である。
【図面の簡単な説明】
【００４０】
【図１】本発明による通信異常検知装置を表すブロック図である。
【図２】パケットカウントベースサンプリング手法における付随情報の抽出期間の例を表す図である。
【図３】時間ベースサンプリング手法における付随情報の抽出期間の例を表す図である。
【図４】サンプリング手法の変更ルーチンの例を表すフローチャートである。
【図５】付随情報の解析結果の例を表す図である。
【図６】付随情報の解析結果の例を表す図である。
【図７】本発明による通信異常検知装置を表すブロック図である。
【図８】情報抽出間隔の変更ルーチンの例を表すフローチャートである。
【符号の説明】
【００４１】
１  パケット受信部
２  サンプリング部
３  情報蓄積部
４  異常検知処理部
５  入力部
６  トリガー部
７  解析制御部
１０  通信異常検知装置
【図１】
2008131075.tif 000003
【図２】
2008131075.tif 000004
【図３】
2008131075.tif 000005
【図４】
2008131075.tif 000006
【図５】
2008131075.tif 000007
【図６】
2008131075.tif 000008
【図７】
2008131075.tif 000009
【図８】
2008131075.tif 000010