(57)【要約】【課題】経路情報の変化に動的に対応するトラフィック観測を行なうことで、効率的かつ精度の高いトラフィック流量分析を実現する。【解決手段】本発明のネットワーク監視システムは、自律システムを複数有して構成されるネットワークにおいて、自律システムの接続機器間の通信データを取得し、収集する複数の収集手段と、各収集手段により収集された収集情報を集計する集計手段と、自律システムの接続機器間で交換される経路情報を収集する複数の経路情報収集手段と、各経路情報を保持する経路情報保持手段と、経路情報保持手段の経路情報の変化を検出する動的変化検出手段と、動的変化検出手段により経路情報の動的変化が検出されると、動的に変化した変更後の経路のトラフィックフローを観測する収集手段に対し、集計手段による集計情報を参照した観測設定を指示する観測設定指示手段とを備える。【選択図】      図１
2008085812.tif 000002
【特許請求の範囲】
【請求項１】
自律的なルーティングポリシーにより経路情報を設定することができる自律システムを複数有して構成されるネットワークのトラフィックを監視するネットワーク監視システムであって、
上記各自律システム間を接続する接続機器間の接続回線上を流れる通信データを取得し、観測設定されている観測対象のトラフィック情報を収集する複数の収集手段と、
上記各収集手段により収集された収集情報を受け取り、観測設定に従って上記各収集情報を集計する集計手段と、
上記各自律システムの接続機器間で交換される経路情報を収集する複数の経路情報収集手段と、
上記各経路情報収集手段から上記各経路情報を受け取り、上記各経路情報を保持する経路情報保持手段と、
上記経路情報保持手段を監視し、上記経路情報の変化を検出する動的変化検出手段と、
上記動的変化検出手段により上記経路情報の動的変化が検出されると、動的に変化した変更後の経路のトラフィックフローを観測する上記収集手段に対し、上記集計手段による集計情報を参照した観測設定を指示する観測設定指示手段と
を備えることを特徴とするネットワーク監視システム。
【請求項２】
自律的なルーティングポリシーにより経路情報を設定することができる自律システムを複数有して構成されるネットワークのトラフィックを監視するネットワーク監視方法であって、
複数の収集手段が、上記各自律システム間を接続する接続機器間の接続回線上を流れる通信データを取得し、観測設定されている観測対象のトラフィック情報を収集する収集工程と、
集計手段が、上記各収集手段により収集された収集情報を受け取り、観測設定に従って上記各収集情報を集計する集計工程と、
経路情報保持手段が、上記各自律システムの接続機器間で交換される経路情報を収集する複数の経路情報収集工程と、
経路情報保持手段が、上記各経路情報収集手段から上記各経路情報を受け取り、上記各経路情報を保持する経路情報保持工程と、
動的変化検出手段が、上記経路情報保持手段を監視し、上記経路情報の変化を検出する動的変化検出工程と、
観測設定指示手段が、上記動的変化検出手段により上記経路情報の動的変化が検出されると、動的に変化した変更後の経路のトラフィックフローを観測する上記収集手段に対し、上記集計手段による集計情報を参照した観測設定を指示する観測設定指示工程と
を備えることを特徴とするネットワーク監視方法。
【請求項３】
自律的なルーティングポリシーにより経路情報を設定することができる自律システムを複数有して構成されるネットワークのトラフィックを監視するネットワーク監視プログラムであって、
コンピュータに、
上記各自律システム間を接続する接続機器間の接続回線上を流れる通信データを取得し、観測設定されている観測対象のトラフィック情報を収集する複数の収集手段、
上記各収集手段により収集された収集情報を受け取り、観測設定に従って上記各収集情報を集計する集計手段、
上記各自律システムの接続機器間で交換される経路情報を収集する複数の経路情報収集手段、
上記各経路情報収集手段から上記各経路情報を受け取り、上記各経路情報を保持する経路情報保持手段、
上記経路情報保持手段を監視し、上記経路情報の変化を検出する動的変化検出手段、
上記動的変化検出手段により上記経路情報の動的変化が検出されると、動的に変化した変更後の経路のトラフィックフローを観測する上記収集手段に対し、上記集計手段による集計情報を参照した観測設定を指示する観測設定指示手段
として機能させるネットワーク監視プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク監視システム、ネットワーク監視方法及びネットワーク監視プログラムに関し、例えば、広帯域ネットワークのトラフィックを多地点で観測する多地点広帯域トラフィックを測定するネットワーク監視システムに適用し得る。
【背景技術】
【０００２】
近年、ネットワーク技術の発展に伴い、その重要性が高まり、ネットワークシステムが社会基盤として浸透している。その一方で、高度化・複雑化した新しいウィルスが日々発生しており、ウィルス感染等の脅威がネットワーク障害を引き起こし、その被害はネットワークの規模に応じて大きくなる。そこで、ネットワークのトラフィックを監視し、異常を検出するシステムが強く望まれている。
【０００３】
従来、ネットワークにおける異常を検出するシステムとして、特許文献１に示す技術がある。
【０００４】
特許文献１には、ネットワーク内に配置された複数の監視対象機器から内部におけるトラフィック流量情報を取得し、正常なトラフィックと、正常でないトラフィックの総量とを比較し、正常でないトラフィックの総量が所定の比率を超えた場合に異常と判定する障害検出装置が記載されている。
【０００５】
【特許文献１】特開２００５−７２７２３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
ところで、ＡＳ（Autonomous  System）単位や動的に通信経路を変更するネットワーク単位のトラフィック情報を収集装置が収集し、これら収集装置が収集したトラフィック情報に基づいて、大規模なネットワークのトラフィックを観測する多地点広帯域トラフィック監視システムがある。
【０００７】
このような多地点広帯域トラフィック観測システムにおいては、通信トラフィックの経路が動的に変化するため、各収集装置がＡＳ単位等のトラフィックを静的に収集しようとすると、トラフィック量の少ない場合においても、通常の場合と同様の処理を行う必要があるので、収集装置の処理負荷が大きくなってしまう。
【０００８】
また、特定事象がトラフィック内で生じた場合、経路変更によって監視ポイントを変更し追跡し、特定事象の分析や解析をすることが望まれる。
【０００９】
そのため、上記課題を踏まえ、経路情報の変化に動的に対応するトラフィック観測を行なうことで、経路情報の変化に追従したトラフィック観測を可能とし、効率的かつ精度の高いトラフィックフローの分析を実現するネットワーク監視システム、ネットワーク監視方法及びネットワーク監視プログラムが求められている。
【課題を解決するための手段】
【００１０】
かかる課題を解決するために、第１の本発明のネットワーク監視システムは、自律的なルーティングポリシーにより経路情報を設定することができる自律システムを複数有して構成されるネットワークのトラフィックを監視するネットワーク監視システムであって、（１）各自律システム間を接続する接続機器間の接続回線上を流れる通信データを取得し、観測設定されている観測対象のトラフィック情報を収集する複数の収集手段と、（２）各収集手段により収集された収集情報を受け取り、観測設定に従って各収集情報を集計する集計手段と、（３）各自律システムの接続機器間で交換される経路情報を収集する複数の経路情報収集手段と、（４）各経路情報収集手段から各経路情報を受け取り、各経路情報を保持する経路情報保持手段と、（５）経路情報保持手段を監視し、経路情報の変化を検出する動的変化検出手段と、（６）動的変化検出手段により経路情報の動的変化が検出されると、動的に変化した変更後の経路のトラフィックフローを観測する収集手段に対し、集計手段による集計情報を参照した観測設定を指示する観測設定指示手段とを備えることを特徴とする。
【００１１】
第２の本発明のネットワーク監視方法は、自律的なルーティングポリシーにより経路情報を設定することができる自律システムを複数有して構成されるネットワークのトラフィックを監視するネットワーク監視方法であって、（１）複数の収集手段が、各自律システム間を接続する接続機器間の接続回線上を流れる通信データを取得し、観測設定されている観測対象のトラフィック情報を収集する収集工程と、（２）集計手段が、各収集手段により収集された収集情報を受け取り、観測設定に従って上記各収集情報を集計する集計工程と、（３）経路情報保持手段が、各自律システムの接続機器間で交換される経路情報を収集する複数の経路情報収集工程と、（４）経路情報保持手段が、各経路情報収集手段から各経路情報を受け取り、各経路情報を保持する経路情報保持工程と、（５）動的変化検出手段が、経路情報保持手段を監視し、経路情報の変化を検出する動的変化検出工程と、（６）観測設定指示手段が、動的変化検出手段により経路情報の動的変化が検出されると、動的に変化した変更後の経路のトラフィックフローを観測する収集手段に対し、集計手段による集計情報を参照した観測設定を指示する観測設定指示工程とを備えることを特徴とする。
【００１２】
第３の本発明のネットワーク監視プログラムは、自律的なルーティングポリシーにより経路情報を設定することができる自律システムを複数有して構成されるネットワークのトラフィックを監視するネットワーク監視プログラムであって、コンピュータに、（１）各自律システム間を接続する接続機器間の接続回線上を流れる通信データを取得し、観測設定されている観測対象のトラフィック情報を収集する複数の収集手段、（２）各収集手段により収集された収集情報を受け取り、観測設定に従って各収集情報を集計する集計手段、（３）各自律システムの接続機器間で交換される経路情報を収集する複数の経路情報収集手段、（４）各経路情報収集手段から各経路情報を受け取り、各経路情報を保持する経路情報保持手段、（５）経路情報保持手段を監視し、経路情報の変化を検出する動的変化検出手段、（６）動的変化検出手段により経路情報の動的変化が検出されると、動的に変化した変更後の経路のトラフィックフローを観測する収集手段に対し、集計手段による集計情報を参照した観測設定を指示する観測設定指示手段として機能させるプログラムである。
【発明の効果】
【００１３】
本発明のネットワーク監視システム、ネットワーク監視方法及びネットワーク監視プログラムによれば、自律的なルーティングポリシーにより経路情報を設定することができる自律システムを複数有して構成されるネットワークにおいて、自律システムの接続機器間の経路情報変化に追従したトラフィック設定を実現することができ、効率的なトラフィックフローの分析及び精度の高い観測データの収集を実現することができる。
【発明を実施するための最良の形態】
【００１４】
（Ａ）第１の実施形態
以下、本発明のネットワーク監視システム、ネットワーク監視方法及びネットワーク監視プログラムの第１の実施形態について図面を参照して説明する。
【００１５】
第１の実施形態は、広帯域ネットワークを構成する小規模ネットワーク（例えば、ＡＳ単位又は動的に経路情報を変更可能なネットワーク等）のトラフィック情報を観測し、これら小規模ネットワークのトラフィック情報を集計して、広帯域ネットワークのトラフィック情報を観測する多地点広帯域ネットワークのトラフィック監視システムに、本発明のネットワーク監視システム、ネットワーク監視方法及びネットワーク監視プログラムを適用する場合を説明する。
【００１６】
（Ａ−１）第１の実施形態の構成
図１は、第１の実施形態のネットワーク監視システムの全体的な構成を示す構成図である。
【００１７】
図１において、第１の実施形態のネットワーク監視システム４は、複数のＡＳ１〜ＡＳ５を有して構成される広帯域ネットワークのトラフィックを監視するシステムであり、各ＡＳ１〜ＡＳ５は、他のＡＳと接続するルータ３（３−１〜３−５）を有する。
【００１８】
また、図１において、第１の実施形態のネットワーク監視システム４は、各ＡＳ間のトラフィックを観測する収集装置２（２−１〜２−６）と、統合管理装置１とを少なくとも有して構成される。
【００１９】
ＡＳ１〜ＡＳ５は、例えば、企業ネットワークシステムやネットワーク接続業者等が管理する自律的なシステムであり、それぞれのシステムで独立して運用するポリシーに従ったルーティングプロトコルにより自律的な経路情報（ルーティングテーブル）を保持するものである。また、各ＡＳ１〜ＡＳ５においては、他のＡＳとの接続境界にルータ３−１〜３−５を備えている。
【００２０】
各ルータ３−１〜３−５は、所定の経路情報交換プロトコル（例えば、ＢＧＰやＯＳＰＦなどのプロトコル）を用いて、他のＡＳとの間で、各ＡＳ１〜ＡＳ５における経路情報（ルーティングテーブル）を交換しあい、各ＡＳ間の通信データの授受を行なうものである。
【００２１】
収集装置２−１〜２−６は、各ＡＳ間の回線上を流れる全ての通信データやルータ３間で交換される経路情報（ルーティングテーブル）を取得し、全通信データを記憶するものである。
【００２２】
また、収集装置２−１〜２−６は、経路情報（ルーティングテーブル）の作成又は更新を行なうと共に、設定されている観測設定に従って、取得した通信データを分析・解析し、観測対象の統計データを収集するものである。すなわち、収集装置２−１〜２−６は、特定のアプリケーション別のトラフィック量や、特定の送信元又は送信先のトラフィック量や、監視回線のトラフィック量などを収集する。ここで、収集装置２−１〜２−６の観測設定は、統合管理装置１からの指示に応じて設定され、統合管理装置１からの指示に従って、起動又は停止をしたり、観測対象の内容が設定されたりする。
【００２３】
さらに、収集装置２−１〜２−６は、収集装置２−１〜２−６は、定期的に、監視設定に基づくトラフィックフローの統計データ、及び、経路情報を統合管理装置１に与えるものである。
【００２４】
なお、収集装置２−１はＡＳ１とＡＳ２との間を流れるトラフィックフローを収集し、収集装置２−２はＡＳ２とＡＳ３との間を流れるトラフィックフローを収集し、収集装置２−３はＡＳ３とＡＳ５との間を流れるトラフィックフローを収集し、収集装置２−４はＡＳ２とＡＳ４との間を流れるトラフィックフローを収集し、収集装置２−５はＡＳ３とＡＳ４との間を流れるトラフィックフローを収集し、収集装置２−６はＡＳ４とＡＳ５との間を流れるトラフィックフローを収集するものである。
【００２５】
統合管理装置１は、複数の収集装置２−１〜２−６からの収集情報（統計データ）を取得し、所定の集約方法に従って収集情報（統計データ）を集計するものである。また、統合管理装置１は、複数の収集装置２−１〜２−６から経路情報（ルーティングテーブル）を受け取り、広帯域ネットワークにおける経路情報を管理するものである。
【００２６】
統合管理装置１における統計データの集約方法の詳細は後述するが、統合管理装置１を備えることにより、常時監視回線を監視することができ、各統計データを集計することにより、ＡＳ１〜ＡＳ５を統合した広帯域ネットワークにおけるトラフィックを監視することができる。すなわち、統合管理装置１は、ＡＳ１〜ＡＳ５を統合した広帯域ネットワークのトラフィックフローの集約データに基づいて、ＡＳ１〜ＡＳ５を統合した広帯域ネットワーク上において、監視回線毎のトラフィック情報や、アプリケーション別のトラフィック情報や、特定の送信元からのトラフィック情報や、特定の送信先へのトラフィック情報等を少なくとも収集し、トラフィック異常などを監視する。また、統合管理装置１は、集約データを参照して、観測設定に基づく異常検出の条件を満たした場合には、トラフィック異常であることを検出し、この場合には図示しない管理者端末に対してアラームを通知するアラーム通知機能を有する。
【００２７】
また、統合管理装置１は、経路情報の動的変化を検出すると、変更後の経路を監視する収集装置２に対し、観測設定の指示を行なうものである。この統合管理装置１による経路情報の動的変化に応じた観測設定処理については、動作の項で詳細に説明する。
【００２８】
図２は、収集装置２のハードウェア構成を示すブロック図である。また、図３は、収集装置２が実現する機能を示す機能ブロック図である。
【００２９】
図２に示すように、収集装置２は、ＣＰＵ２１、記憶部２２、通信部２３を少なくとも有する。ＣＰＵ２１は、収集装置２における全体の制御機能を司っているものである。記憶部２２は、例えば、ＲＯＭ、ＲＡＭ（ＥＥＰＲＯＭなどの不揮発性の書き込み可能メモリを含む概念である）等により構成されているものである。例えば、ＣＰＵ２１は、ＲＯＭに格納されている固定データやＲＡＭに格納されているテンポラリーデータを用い、ＲＡＭをワーキングメモリとして、ＲＯＭに格納されている処理プログラムを実行することにより、収集装置２の機能を制御する。また、通信部２３は、所定の通信プロトコルに従って、統合管理装置１との間の情報の送受信とルータ３間の情報の受信するものである。
【００３０】
図３において、この実施形態の収集装置２が実現する主な機能部としては、通信データ収集機能部２２１、データ保存管理機能部２２３、異常検出機能部２２４、一時蓄積機能部２２５、通信データ記憶部２２６、統計データ記憶部２２７、一時蓄積データ記憶部２２８、経路情報記憶部２２０、を少なくとも有する。
【００３１】
通信データ収集機能部２２１は、ＡＳ間で交換される経路情報を取得し、経路情報記憶部２２０に経路情報を与えて、経路情報の作成又は更新をするものである。経路情報の取得は、パケットタイプに基づいて経路情報交換プロトコルを認識することで実現することができる。また、通信データ収集機能部２２１は、定期的に経路情報を統合管理装置１に与えるものである。
【００３２】
また、通信データ収集機能部２２１は、監視回線であるＡＳ間の接続回線上を流れる通信データを取得し、取得した通信データを通信データ記憶部２２６に記憶するものである。ここで、第１の実施形態では、通信データ収集機能部２２１の監視回線が超高速回線（例えば、３Ｇｂｐｓ等）を想定し、通信データの超高速取得に係る処理負荷が増大することとなるので、通常時のサンプリング速度で通信データの取得を行なうものとし、統合管理装置１からの指示を受けてから超高速取得（超高速回線に対応できるサンプリング速度での取得）を行なうようにする。
【００３３】
さらに、通信データ収集機能部２２１は、観測設定に従って、通信データに基づくトラフィックフローの統計処理を行なうものであり、その統計処理により得られたトラフィックフローの統計データを統計データ記憶部２２７に記憶するものである。また、通信データ収集機能部２２１は、所定のトラフィックフローの統計データを統合管理装置１に通知する。
【００３４】
ここで、観測設定の情報としては、例えば、超高速取得をするか否かの命令、特定アプリケーションの名称や、特定送信元又は送信先のアドレス情報（例えば、ＯＳＩ基本参照モデルの第３層、第４層におけるアドレス情報）や、監視対象とする特定の経路情報（ＡＳ番号を含む情報）、異常検出の条件情報等が該当する。
【００３５】
これにより、通信データ収集機能部２２１は、観測設定情報に従って、監視回線のトラフィックフローの統計データを収集することができる。すなわち、通信データ収集機能部２２１は、記憶している通信データのヘッダ情報に基づいて、アプリケーションプロトコルの判別、送信元アドレスの判別、送信先アドレスの判別などを行ない、所定時間内において、観測対象のアプリケーション別のトラフィック情報、観測対象の送信元アドレス別のトラフィック情報、観測対象の送信先アドレス別のトラフィック情報、監視対象の経路別のトラフィック情報等を収集し、観測対象のトラフィック情報を把握することができる。
【００３６】
観測設定情報取得機能部２２２は、統合管理装置１から観測設定に関するリクエスト情報を受信すると、受信した観測設定に関するリクエスト情報に含まれている観測設定情報を観測設定情報記憶部２２９に設定するものである。なお、観測設定情報の配信に所定の暗号化処理（例えばＳＳＬ通信）を利用してもよい。
【００３７】
データ保存管理機能部２２３は、通信データ記憶部２２６の記憶容量を監視し、所定の記憶量を超えると、古いデータから削除するものである。これにより、全ての通信データを取得するために、過大な記憶容量の記憶装置を用意することなく、通信データを記憶することができる。
【００３８】
異常検出機能部２２４は、通信データ記憶部２２６に記憶されている通信データに基づいて、特定の送信先へのトラフィック量や、特定の送信元からのトラフィック量や、送信先や送信元に関係なくポート種別毎のトラフィック量を監視し、それぞれのトラフィック量が、それぞれの設定された閾値を超えた場合にトラフィック異常を検出する機能である。これにより、例えば、いわゆるＰｏｒｔＳｃａｎやいわゆるＩＰスイープやポート種別毎のトラフィック異常を判定できる。また、異常検出機能部２２４が異常を検出すると、検出した異常に関する異常検出情報を統合管理装置１に対し通知する。このとき、異常検出情報としては、例えば、収集装置２の識別情報、監視ネットワークの識別情報、閾値条件（例えば、アプリケーションプロトコル名や閾値の値や単位など）、異常時のトラフィック量、検知時刻などとする。また、異常検出情報の通知方法としては、例えば、メール通知やＳＮＭＰＴＲＡＰ通知などを適用することができる。
【００３９】
一時蓄積機能部２２５は、異常検出機能部２２４により異常が検出されると、異常検出時の通信データ情報を一時的に蓄積するものである。これにより、異常検出時の通信データ情報を別に保存することができる。一時蓄積機能部２２５は、例えば、異常検出時の通信データにハードリンク等を設置することで実現することができ、また通常の通信データの保存期間が経過しても消去できないようにしても良い。このように、蓄積機能部２２５は、いわゆるスナップショット機能として、集約の効率化を図るためのものであり、収集情報（統計データ）の転送軽減ができれば分散配置しても良い。
【００４０】
通信データ記憶部２２６は、データ保存管理機能部２２３の管理の下、通信データ収集機能部２２１が取得した全ての通信データを記憶するものである。統計データ記憶部２２７は、通信データ収集機能部２２１が収集した監視回線のトラフィックフローの統計データを記憶するものである。一時蓄積データ記憶部２２８は、一時蓄積機能部２２５の指示の下、異常検出時の通信データ情報を一時的に記憶するものである。
【００４１】
経路情報記憶部２２０は、通信データ収集機能部２２１が取得した経路情報を記憶するものである。
【００４２】
次に、統合管理装置１のハードウェア構成及び機能を図面を参照しながら説明する。図４は、統合管理装置１のハードウェア構成を示すブロック図である。また、図５は、統合管理装置１が実現する機能を示す機能ブロック図である。
【００４３】
図４に示すように、統合管理装置１は、ＣＰＵ１１、記憶部１２、通信部１３を少なくとも有する。ＣＰＵ１１は、統合管理装置１における全体の制御機能を司っているものである。記憶部１２は、例えば、ＲＯＭ、ＲＡＭ（ＥＥＰＲＯＭなどの不揮発性の書き込み可能メモリを含む概念である）等により構成されているものである。例えば、ＣＰＵ１１は、ＲＯＭに格納されている固定データやＲＡＭに格納されているテンポラリーデータを用い、ＲＡＭをワーキングメモリとして、ＲＯＭに格納されている処理プログラムを実行することにより、統合管理装置１の機能を制御する。また、通信部１３は、所定の通信プロトコルに従って、収集装置２との間で情報を送受信するものである。
【００４４】
図５において、この実施形態の統合管理装置１が実現する主な機能は、統計データ収集機能部１２１、統計データ集約機能部１２２、動的変化検出機能部１２３、観測設定管理機能部１２４、異常検出機能部１２５、経路情報記憶部１２７、統計データ記憶部１２８、集約データ記憶部１２９、を少なくとも有する。
【００４５】
統計データ収集機能部１２１は、各収集装置２からの統計データを取得し、取得した統計データを統計データ記憶部１２８に与えて記憶するものである。また、統計データ収集機能部１２１は、各収集装置２からの経路情報を取得し、取得した経路情報を経路情報記憶部１２７に記憶するものである。
【００４６】
ここで、統計データは、各収集装置２から収集したトラフィックフローの統計データであり、例えば、観測対象であるアプリケーション別のトラフィック情報や、観測対象である送信先アドレス別のトラフィック情報や、観測対象である送信元アドレス別のトラフィック情報、監視対象である経路間別のトラフィック情報である。
【００４７】
統計データ集約機能部１２２は、統計データ記憶部１２８に記憶されている統計データに基づいて、所定の観測設定に従った集約データを作成し、作成した集約データを集約データ記憶部１２９に記憶するものである。
【００４８】
ここで、統計データ集約機能部１２２は、観測設定に従って観測対象のトラフィック情報を集約するが、その集約方法としては、例えば、物理的な観点から集約する方法、論理的な観点から集約する方法、時間的な観点から集約する方法、若しくは、これら上記の集約方法を組み合わせた集約方法などがある。
【００４９】
物理的な観点からの集約方法は、例えば、（ａ）監視回線毎の集約、（ｂ）監視回線が採用するプロトコル毎の集約、（ｃ）特定接続先の複数の監視回線毎の集約、（ｄ）接続先全ての監視回線毎の集約などのように物理的に有形なものを集約の対象とし、統計データを集約する方法をいう。
【００５０】
（ａ）監視回線毎の集約は、監視回線毎に統計データを集約する方法であり、例えば、収集装置２からの統計データに当該収集装置２が監視したネットワークの識別情報を含ませるようにし、そのネットワーク識別情報に基づいてネットワーク別の統計データを識別し、各監視回線毎に統計データを集計（例えば、パケット数の集計、帯域（データ量）の集計等）することでき実現できる。これにより、例えば、光回線と電気回線等のように媒体が異なるネットワークを監視する収集装置２と、各ネットワーク上の設置ロケーションの異なる収集装置２からの統計データであっても、各ネットワーク毎の集約データを集計することができ、回線媒体の違いによるトラフィック量の差分や物理的に離れているネットワークのトラフィック量を集計することができる。
【００５１】
（ｂ）監視回線プロトコル毎の集約は、例えば、ＴＣＰ／ＩＰ、ＡＴＭ、ＯＣ３、ＳＯＮＥＴなどそれぞれ監視回線プロトコルが異なる収集装置２をグループ化し、各プロトコルの違いによるトラフィック量の差分や同一プロトコルのトラフィック量の集約を集計するものである。これにより、アプリケーションプロトコル毎のトラフィック量の違いを示すことができる。
【００５２】
（ｃ）特定接続先の複数の監視回線毎の集約は、例えば、ある特定の送信先（宛先）に対する通信があった複数の監視回線のトラフィック量を集計するものである。これにより、ある特定の送信先に対する通信を監視することができる。これは、特定のネットワークアドレスや特定のＴＣＰポート番号、特定のＵＤＰポート番号を識別することにより、実現することができる。
【００５３】
（ｄ）接続先全ての監視回線毎の集約は、例えば、同一の送信元から全接続先に対する回線６をグループ化し、その同一の送信元からのトラフィック量を集計するものである。これにより、ある特定の送信元からの通信を監視することができる。
【００５４】
論理的な観点からの集約方法は、例えば、（ｅ）特定の送受信先の通信毎の集約、（ｆ）セキュリティ攻撃に使用される特殊なデータ毎の集約などのように論理的なものを集約の対象として、統計データを集約する方法をいう。
【００５５】
（ｅ）特定送受信先通信毎の集約は、特定の宛先への通信、若しくは特定の発信元からの通信の統計データを集約する。
【００５６】
（ｆ）特殊データのみの集約は、セキュリティ攻撃に使用される特殊な攻撃用パケットデータ（例えば、Ｓｙｎパケットや、属性の誤ったパケット等）の統計データを集約する。
【００５７】
時間的な観点からの集約方法は、（ｇ）例えば、分、時、日、月などの時間間隔で収集情報を集約する方法をいう。例えば、５分毎、１時間毎、１日毎、１週間毎、１ヶ月毎の集約情報を作成できる。
【００５８】
動的変化検出機能部１２３は、経路情報記憶部１２７に記憶されているＡＳ間の経路情報を監視しており、経路情報の動的変化を検出するものである。
【００５９】
観測設定管理機能部１２４は、動的変化検出機能部１２３により経路情報の動的変化が検出されると、経路情報記憶部１２７及び集約データ記憶部１２９を参照して、変更後の経路を観測している収集装置２に対し、観測設定指示を行なうものである。
【００６０】
このとき、観測設定管理機能部１２４は、例えば、すべての経路情報の動的変化に応じて観測設定の指示を行なうようにしてもよいし、又は、集約データ記憶部１２９を参照し、動的に変化する前の経路におけるトラフィック量が閾値を超えている場合（すなわち、変更前の経路のトラフィック量が多い場合）に観測設定の指示を行なうようにしたり、特定のアプリケーションプロトコルによるトラフィックである場合に観測設定の指示を行なうようにしたりしてもよい。
【００６１】
また、収集装置２に対する観測設定指示の内容としては、例えば、超高速取得をすることの命令、特定のアプリケーションのトラフィック情報の観測、特定の送信先からのトラフィック情報の取得、特定の送信元へのトラフィック情報の取得などを適用し得る。
【００６２】
異常検出機能部１２５は、集約データ記憶部１２９に記憶されている集約データに基づいて、例えば、ｐｐｓやｂｐｓで表わされるトラフィックの流量や、単位時間当たりのスキャン数及び又はスイープホスト数などが閾値を超過していないか、通常と大きく乖離していないか判断し、通知データの異常の度合いを数値化（例えば、％表示）し、異常が検出された場合に、各収集装置２の設定ファイルを配布し、特定の送信元若しくは送信先のデータを監視する設定や、グループ化範囲の設定、閾値の更新などを実施するものである。この設定値は、各収集装置２に反映され、新たな設定での監視を継続することができる。
【００６３】
経路情報記憶部１２７は、各収集装置２からの経路情報を記憶するものであり、統計データ記憶部１２８は、各収集装置１２１からの統計データを記憶するものであり、集約データ記憶部１２９は、統計データ集約機能部１２２により集約された集約データを記憶するものである。
【００６４】
（Ａ−２）第１の実施形態の動作
次に、第１の実施形態のネットワーク監視システム４において、経路情報の動的変化に応じた観測設定処理の動作について図面を参照しながら説明する。
【００６５】
以下では、図１に示すＡＳ１（送信元）からＡＳ５（送信先）に対する通信トラフィックフローに注目し、ＡＳ１からＡＳ５への通信経路が動的に変化した場合の観測設定処理の動作を説明する。
【００６６】
まず、各ＡＳ１〜ＡＳ５のルータ３−１〜３−５は、所定の経路情報交換プロトコルを用いて、ルータ間で経路情報（ルーティングテーブル）の交換を行なう(ステップＳ１)。
【００６７】
また、各ルータ３−１〜３−５が交換しあう経路情報は、各収集装置２−１〜２−６の通信データ収集機能部２２１により取得され（ステップＳ２）、各収集装置２−１〜２−６において、取得された経路情報は、経路情報記憶部２２０に記憶されると共に、統合管理装置１に与えられる(ステップＳ３)。
【００６８】
ここで、ルータ３−１〜３−５が適用する経路情報交換プロトコルは、特に限定されないが、この実施形態では、例えばインターネット等に代表される広帯域ネットワークを想定しているので、例えば、ＢＧＰやＯＳＰＦなどを適用することができる。
【００６９】
なお、図１では、説明をわかりやすくするために、ルータ３−１とルータ３−２との間で交換される経路情報が、収集装置２−１及び統合管理装置１に与えられる場合を示すが、すべてのルータ３−１〜３−５間で交換される経路情報についても、同様に処理される。
【００７０】
ここで、ＡＳ１（送信元）からＡＳ５（送信先）への通信トラフィックについて注目すると、当初のトラフィックフローは、ＡＳ１→ＡＳ２→ＡＳ３→ＡＳ５の経路で流れるものとする。
【００７１】
そうすると、ルータ３−１、ルータ３−２及びルータ３−３のそれぞれから見た経路情報（ルーティングテーブル）は、図６の（Ａ−１）〜（Ａ−３）に示すようなものである。なお、図６（Ａ−４）は、ルータ３−４から見たルーティングテーブルの内容例であり、この時点では、送信先をＡＳ５とする経路情報は作成されていないものとする。
【００７２】
すなわち、図６（Ａ−１）は、ルータ３−１から見て、ＡＳ５を送信先とするときの通信データの転送先をルータ３−２のアドレスとすることを示し、図６（Ａ−２）は、ルータ３−２から見て、ＡＳ５を送信先とするときの通信データの転送先をルータ３−３のアドレスとすることを示し、図６（Ａ−３）は、ルータ３−３から見て、ＡＳ５を送信先とするときの通信データの転送先をルータ３−５のアドレスとすることを示す。
【００７３】
また、統合管理装置１においても、図６と同様の経路情報（ルーティングテーブル）が管理されている。
【００７４】
図１において、ＡＳ１からＡＳ５に向けて通信データが送信されると、通信データは、ルータ３−１〜３−３により、経路情報（ルーティングテーブル）に基づく転送処理が施され、ルータ間を介して送信先であるＡＳ５のルータ３−５に転送される（ステップＳ４）。
【００７５】
このとき、収集装置２−１〜２−３は、統合管理装置１から指示を受けており、超高速取得を行なうものとして設定されているものとする。
【００７６】
ルータ間を流れる通信データは、各収集装置２−１〜２−３の通信データ収集機能部２２１により超高速取得され（ステップＳ５）、取得された通信データは通信データ記憶部２２６に記憶され、観測対象のトラフィックフローの統計処理が行なわれる。
【００７７】
そして、各収集装置２−１〜２−３において統計処理されたトラフィックフローの統計データは、統合管理装置１の統計データ収集機能部１２１に与えられ（ステップＳ６）、統計データ記憶部１２８に記憶されると共に、統計データ集約データ機能部１２２により監視対象のトラフィックフローの統計データが集計され、集約データとして集約データ記憶部１２９に記憶される。
【００７８】
ここで、ＡＳ１からＡＳ５へのトラフィックフローにおいて、何らかの事象が生じ、図６（Ｂ−１）〜（Ｂ−４）に示すように、経路情報が変化し、ＡＳ１からＡＳ５へのトラフックフローの経路が、ＡＳ１→ＡＳ２→ＡＳ４→ＡＳ５に変わったとする。
【００７９】
すなわち、図６（Ｂ−２）に示すように、ルータ３−２から見た、ＡＳ経路情報（ルーティングテーブル）が、送信先をＡＳ５とする転送先がルータ３−３からルータ３−４に変更したとする。
【００８０】
これに応じて、図６（Ｂ−３）に示すように、ルータ３−３から見た、送信先をＡＳ５とする経路情報が削除され、図６（Ｂ−４）に示すように、ルータ３−４から見て、送信先をＡＳ５とする転送先がルータ３−５とする経路情報が新たに追加されるものとする。
【００８１】
そうすると、ステップＳ１〜Ｓ３と同様に、各ルータ３−１〜３−５間で交換する経路情報は、収集装置２−１〜２−５により取得され、統合管理装置１に与えられ、統合管理装置１の統計データ収集機能部１２１により経路情報の更新が行なわれる。
【００８２】
図７は、統合管理装置１における経路情報の動的変化に応じた観測設定処理の動作を示すフローチャートである。
【００８３】
図７において、経路情報が変化し、経路情報記憶部１２７に記憶されている経路情報が更新されると、動的変化検出機能部１２３により経路情報の動的変化が検出される（ステップＳ２１）。
【００８４】
動的変化検出機能部１２３により経路情報の動的変化が検出されると、観測設定管理機能部１２４は、経路情報記憶部１２７及び集約データ記憶部１２９を参照し、変更前の経路のトラフィック情報を分析すると共に(ステップＳ２２)、変更後の経路の収集装置２を特定し（ステップＳ２３）、収集装置２に対し観測設定の指示を行なう（ステップＳ２４）。
【００８５】
例えば、図６に示すように、経路情報が変化すると、ＡＳ１からＡＳ５へのトラフィックフローが、ＡＳ１→ＡＳ２→ＡＳ４→ＡＳ５の経路に変更する（Ｓ７）。
【００８６】
そうすると、観測設定管理機能部１２４は、ルータ３−２とルータ３−４との間を観測する収集装置２−４と、ルータ３−４とルータ３−５との間を観測する収集装置２−６に対し、観測設定の指示を行なう（Ｓ８）。
【００８７】
このように、経路情報の動的変化に応じて観測設定ができるようになれば、収集装置２−４及び２−６について、通常のワイヤスピードのデータ取得で設定しておき、経路が変わり、トラフィック量が多くなることを認識したときに、超高速取得の設定を指示することができるので、収集装置の処理負荷の軽減を図ることができる。また、特定事象の追跡をする際にも、追跡先となる回線を観測している収集装置に対して、観測設定することにより、収集装置の処理負荷を軽減しながら、効率よく追跡を実現することができる。
【００８８】
（Ａ−３）第１の実施形態の効果
以上のように、第１の実施形態によれば、経路情報の動的変化に応じて観測設定することにより、収集装置が静的に観測する場合に比べ、収集装置の処理負荷を軽減することができる。
【００８９】
また、第１の実施形態によれば、特定事象がトラフィック内で発生した場合でも、経路変更によるトラフィックの追跡を実現することができ、効率的に特定事象の分析・解析を実現することができる。
【００９０】
（Ｂ）他の実施形態
第１の実施形態において、収集装置、統合管理装置の機能構成は、ネットワーク上で接続可能であり、上記第１の実施形態で説明した機能を実現できるのであれば、それぞれの機能を実現するサーバとして分散配置されるようにしても良いし、また同一サーバ内に備えるようにしても良い。
【００９１】
上述した収集装置、統合管理装置及び観測設定管理装置の各機能は、ソフトウェアとしてコンピュータにより実行され得る処理プログラムとして実現されるが、ハードウェアとして実現するようにしても良い。
【図面の簡単な説明】
【００９２】
【図１】第１の実施形態のネットワーク監視システムの全体構成図である。
【図２】第１の実施形態の収集装置のハードウェア構成を示すブロック図である。
【図３】第１の実施形態の収集装置が実現する機能を示す機能ブロック図である。
【図４】第１の実施形態の統合管理装置のハードウェア構成を示すブロック図である。
【図５】第１の実施形態の統合管理装置が実現する機能を示す機能ブロック図である。
【図６】第１の実施形態の経路情報の構成例を示す説明図である。
【図７】第１の実施形態の経路情報の動的変化に応じた観測設定処理を示すフローチャートである。
【符号の説明】
【００９３】
１…統合管理装置、２（２−１〜２−６）…収集装置、３（３−１〜３−５）…ルータ（接続機器）、４…ネットワーク監視システム。
【図１】
2008085812.tif 000003
【図２】
2008085812.tif 000004
【図３】
2008085812.tif 000005
【図４】
2008085812.tif 000006
【図５】
2008085812.tif 000007
【図６】
2008085812.tif 000008
【図７】
2008085812.tif 000009