(57)【要約】【課題】ネットワーク監視システムの監視対象を自動的に追加し、複数の監視対象のネットワークトラフィックを同時に監視できるようにする。【解決手段】本発明の監視対象設定システムは、１又は複数の監視回線上を流れる全通信パケットのパケット情報に基づいて、所定の収集条件のトラフィックフロー情報を求める複数の収集手段と、各収集手段からのトラフィックフロー情報に基づいて集計した所定の監視対象の集計情報を管理する管理手段とを備えるネットワーク監視システムで、監視対象を設定する監視対象設定システムにおいて、管理手段における監視対象を特定する監視条件を管理するものであって、外部の監視対象通知手段から受け取った監視対象特定情報に基づいて新たな監視対象の監視設定条件を設定し、その監視設定条件を新たな収集条件として各収集手段に設定させる監視対象設定管理手段を備える。【選択図】      図１
2008244632.tif 000002
【特許請求の範囲】
【請求項１】
１又は複数の監視回線上を流れる全通信パケットのパケット情報に基づいて、所定の収集条件のトラフィックフロー情報を求める複数の収集手段と、
上記各収集手段からの上記トラフィックフロー情報に基づいて集計した所定の監視対象の集計情報を管理する管理手段と
を備えるネットワーク監視システムで、上記監視対象を設定する監視対象設定システムにおいて、
上記管理手段における上記監視対象を特定する監視条件を管理するものであって、外部の監視対象通知手段から受け取った監視対象特定情報に基づいて、新たな監視対象の監視設定条件を設定し、その監視設定条件を新たな上記収集条件として上記各収集手段に設定させる監視対象設定管理手段を備えることを特徴とする監視対象設定システム。
【請求項２】
上記監視対象通知手段が不正パケットを検知する不正パケット検知手段であり、上記監視対象特定情報が、上記不正パケット検知手段が検知した上記不正パケットのパケット情報及び又は検知時刻情報を有するものであることを特徴とする請求項１に記載の監視対象設定システム。
【請求項３】
上記監視対象設定管理手段が、それぞれ内容が異なる複数の監視設定条件を同時に設定可能であることを特徴とする請求項１又は２に記載の監視対象設定システム。
【請求項４】
１又は複数の監視回線上を流れる全通信パケットのパケット情報に基づいて、所定の収集条件のトラフィックフロー情報を求める複数の収集手段と、
上記各収集手段からの上記トラフィックフロー情報に基づいて集計した所定の監視対象の集計情報を管理する管理手段と、
監視対象を特定する監視対象特定情報を通知する監視対象通知手段と、
上記管理手段における上記監視対象を特定する監視条件を管理するものであって、上記監視対象通知手段からの上記監視対象特定情報に基づいて新たな監視対象の監視設定条件を設定し、その監視設定条件を新たな上記収集条件として上記各収集手段に設定させる監視対象設定管理手段と
を備えることを特徴とするネットワーク監視システム。
【請求項５】
上記各収集手段は、上記新たな収集条件が追加設定されると、既設の他の上記収集条件に基づく上記トラフィックフロー情報の計測と並列して、上記新たな収集条件に基づいて上記トラフィックフロー情報を計測するトラフィックフロー情報計測部を有することを特徴とする請求項４に記載のネットワーク監視システム。
【請求項６】
１又は複数の監視回線上を流れる全通信パケットのパケット情報に基づいて、所定の収集条件のトラフィックフロー情報を求める複数の収集装置と、
上記各収集装置からの上記トラフィックフロー情報に基づいて集計した所定の監視対象の集計情報を管理する管理装置と
を備えるネットワーク監視システムを構成する上記管理装置であって、
上記管理装置における上記監視対象を特定する監視条件を管理するものであって、外部の監視対象通知手段から受け取った監視対象特定情報に基づいて新たな監視対象の監視設定条件を設定し、その監視設定条件を新たな上記収集条件として上記各収集装置に設定させる監視対象設定管理手段を備えることを特徴とする管理装置。
【請求項７】
１又は複数の監視回線上を流れる全通信パケットのパケット情報に基づいて、所定の収集条件のトラフィックフロー情報を求める複数の収集手段と、
上記各収集手段からの上記トラフィックフロー情報に基づいて集計した所定の監視対象の集計情報を管理する管理手段と、
上記管理手段における上記監視対象を特定する監視条件を管理するものであって、外部の監視対象通知手段から受け取った監視対象特定情報に基づいて、新たな監視対象の監視設定条件を設定し、その監視設定条件を新たな上記収集条件として上記各収集手段に設定させる監視対象設定管理手段と
を備えるネットワーク監視システムを構成する上記各収集装置において、
上記新たな収集条件の追加設定の際、監視条件が既設の収集条件と重複する場合、監視期間を延長して、上記既設の収集条件の上記トラフィックフローの計測を実行させ、重複しない場合、上記新たな収集条件に基づく上記トラフィックフロー情報の計測を実行させるトラフィックフロー情報計測手段を備えることを特徴とする収集装置。
【請求項８】
１又は複数の監視回線上を流れる全通信パケットのパケット情報に基づいて、所定の収集条件のトラフィックフロー情報を求める複数の収集手段と、
上記各収集手段からの上記トラフィックフロー情報に基づいて集計した所定の監視対象の集計情報を管理する管理手段と
を備えるネットワーク監視システムで、上記監視対象を設定する監視対象設定方法であって、
上記管理手段における上記監視対象を特定する監視条件を管理する監視対象設定管理手段が、外部の監視対象通知手段から受け取った監視対象特定情報に基づいて、新たな監視対象の監視設定条件を設定し、その監視対象設定条件を新たな上記収集条件として上記各収集手段に設定させる監視対象設定管理工程を備えることを特徴とする監視対象設定方法。
【請求項９】
１又は複数の監視回線上を流れる全通信パケットのパケット情報に基づいて、所定の収集条件のトラフィックフロー情報を求める複数の収集手段と、
上記各収集手段からの上記トラフィックフロー情報に基づいて集計した所定の監視対象の集計情報を管理する管理手段と
を備えるネットワーク監視システムで、上記監視対象を設定する監視対象設定プログラムであって、
コンピュータに、
上記管理手段における上記監視対象を特定する監視条件を管理するものであって、外部の監視対象通知手段から受け取った監視対象特定情報に基づいて、新たな監視対象の監視設定条件を設定し、その監視設定条件を新たな上記収集条件として上記各収集手段に設定させる監視対象設定管理手段として機能させる監視対象設定プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、監視対象設定システム、監視対象設定方法、監視対象設定プログラム、ネットワーク監視システム、管理装置及び収集装置に関し、例えば、広帯域ネットワーク上のトラフィックフロー情報を多地点で観測する多地点広帯域トラフィック監視システムに適用し得る。
【背景技術】
【０００２】
近年、ネットワーク上では、複雑かつ高度なウィルスが日々発生している。また、近年のネットワーク技術の進展に伴い、ネットワークが一般的に広く普及されているが、今後、さらなる技術の進展により、広帯域のネットワークが広く導入され、社会基盤として浸透することが期待される。そこで、既存規模のネットワークだけでなく、大規模な広帯域ネットワークを監視することができ、ネットワーク異常を効率的検出するシステムが強く望まれている。
【０００３】
一般に、従来のネットワークセキュリティシステムとしては、例えばファイアウォールによるパケット単位での許可又は拒否の設定や、不正侵入検知システム（ＩＤＳ（Intrusion  Detection  System）又はＩＰＳ（Intrusion  Prevention  System））によるパケット単位での不正通信の検出等が行なわれている。
【０００４】
また、従来のネットワークトラフィック監視システムとしては、種々の技術があるが、そのうちの１つとして、ネットワーク上の通過するパケットのパケット情報に基づいて、通信パケット量等のトラフィック情報を監視する技術がある（特許文献１参照）。
【０００５】
例えば、ネットワーク上のパケット量を監視する技術としては、例えば、図２に示すように、ＳＮＭＰ（Simple  Network  Management  Protocol）等のプロトコルを用いて、監視装置が、ルータやスイッチングハブ等の中継装置から、通過するパケット量を取得し、監視する技術や、また例えば、スイッチングハブ等の中継装置がミラーポートを備え、ミラーポート経由のパケットを監視装置に与え、監視装置がパケット量を直接計測する技術などがある。
【０００６】
従来のネットワーク監視システムでは、事前に監視条件を設定しておき、その事前設定した条件に従って、リアルタイムにネットワークトラフィックを監視し、トラフィックフロー量を解析している。
【０００７】
ところで、例えば、ネットワーク障害やウィルス感染等は、いつ、どこで発生するか分からないため、従来の障害等の調査・解析方法は、セキュリティシステムのセキュリティ事象（例えば、スイッチダウンやトラフィックフロー量の急増検出等）が発生した後、事後的に行なわれている。
【０００８】
【特許文献１】特開平５−２６００６３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
ところで、従来のファイアウォールや不正侵入検知システム等では、通信パケット単位でのネットワーク異常を検出することができるが、その検出時のネットワーク全体の状態がどのような状態であるかを認識することができない。
【００１０】
一方、従来のネットワーク監視システムは、事前設定された監視条件に従ってネットワークを監視するが、自動的に監視条件を設定できない。また、ネットワーク監視システムは、ファイアウォール及び不正侵入検知システム等との連携がとれていない。
【００１１】
そのため、例えば、セキュリティ事象を持つパケットの検知後は、ネットワーク状態の変化が予測されるが、従来のネットワーク監視システムの監視条件を自動的に設定することができないので、セキュリティ事象に係るトラフィックフローを観測することができない。
【００１２】
このとき、複数の監視条件を設定し、同時に監視していたのでは、監視対象が莫大となり、監視負担が増大するおそれがある。また、監視対象の設定時に、同一の監視対象を同時に監視してしまうおそれも生じる。
【００１３】
そのため、上記の課題を解決し、ネットワーク監視システムの監視対象を自動的に追加し、複数の監視対象のネットワークトラフィックを同時に監視することができる、監視対象設定システム、監視対象設定方法、監視対象設定プログラム、ネットワーク監視システム、管理装置及び収集装置が求められている。
【課題を解決するための手段】
【００１４】
かかる課題を解決するために、第１の本発明の監視対象設定システムは、１又は複数の監視回線上を流れる全通信パケットのパケット情報に基づいて、所定の収集条件のトラフィックフロー情報を求める複数の収集手段と、各収集手段からのトラフィックフロー情報に基づいて集計した所定の監視対象の集計情報を管理する管理手段とを備えるネットワーク監視システムで、上記監視対象を設定する監視対象設定システムにおいて、（１）管理手段における監視対象を特定する監視条件を管理するものであって、外部の監視対象通知手段から受け取った監視対象特定情報に基づいて、新たな監視対象の監視設定条件を設定し、その監視設定条件を新たな収集条件として各収集手段に設定させる監視対象設定管理手段を備えることを特徴とする。
【００１５】
第２の本発明のネットワーク監視システムは、（１）１又は複数の監視回線上を流れる全通信パケットのパケット情報に基づいて、所定の収集条件のトラフィックフロー情報を求める複数の収集手段と、（２）各収集手段からのトラフィックフロー情報に基づいて集計した所定の監視対象の集計情報を管理する管理手段と、（３）監視対象を特定する監視対象特定情報を通知する監視対象通知手段と、（４）管理手段における監視対象を特定する監視条件を管理するものであって、監視対象通知手段からの監視対象特定情報に基づいて新たな監視対象の監視設定条件を設定し、その監視設定条件を新たな収集条件として各収集手段に設定させる監視対象設定管理手段とを備えることを特徴とする。
【００１６】
第３の本発明の管理装置は、１又は複数の監視回線上を流れる全通信パケットのパケット情報に基づいて、所定の収集条件のトラフィックフロー情報を求める複数の収集装置と、各収集装置からのトラフィックフロー情報に基づいて集計した所定の監視対象の集計情報を管理する管理装置とを備えるネットワーク監視システムを構成する管理装置において、（１）管理装置における監視対象を特定する監視条件を管理するものであって、外部の監視対象通知手段から受け取った監視対象特定情報に基づいて新たな監視対象の監視設定条件を設定し、その監視設定条件を新たな収集条件として各収集装置に設定させる監視対象設定管理手段を備えることを特徴とする。
【００１７】
第４の本発明の収集装置は、１又は複数の監視回線上を流れる全通信パケットのパケット情報に基づいて、所定の収集条件のトラフィックフロー情報を求める複数の収集手段と、各収集手段からのトラフィックフロー情報に基づいて集計した所定の監視対象の集計情報を管理する管理手段と、管理手段における監視対象を特定する監視条件を管理するものであって、外部の監視対象通知手段から受け取った監視対象特定情報に基づいて、新たな監視対象の監視設定条件を設定し、その監視設定条件を新たな収集条件として各収集手段に設定させる監視対象設定管理手段とを備えるネットワーク監視システムを構成する各収集装置において、（１）新たな収集条件の追加設定の際、監視条件が既設の収集条件と重複する場合、監視期間を延長して、既設の収集条件のトラフィックフローの計測を実行させ、重複しない場合、新たな収集条件に基づく上記トラフィックフロー情報の計測を実行させるトラフィックフロー情報計測手段を備えることを特徴とする。
【００１８】
第５の本発明の監視対象設定方法は、１又は複数の監視回線上を流れる全通信パケットのパケット情報に基づいて、所定の収集条件のトラフィックフロー情報を求める複数の収集手段と、各収集手段からのトラフィックフロー情報に基づいて集計した所定の監視対象の集計情報を管理する管理手段とを備えるネットワーク監視システムで、監視対象を設定する監視対象設定方法において、（１）管理手段における監視対象を特定する監視条件を管理する監視対象設定管理手段が、外部の監視対象通知手段から受け取った監視対象特定情報に基づいて、新たな監視対象の監視設定条件を設定し、その監視対象設定条件を新たな収集条件として各収集手段に設定させる監視対象設定管理工程を備えることを特徴とする。
【００１９】
第６の本発明の監視対象設定プログラムは、１又は複数の監視回線上を流れる全通信パケットのパケット情報に基づいて、所定の収集条件のトラフィックフロー情報を求める複数の収集手段と、各収集手段からのトラフィックフロー情報に基づいて集計した所定の監視対象の集計情報を管理する管理手段とを備えるネットワーク監視システムで、監視対象を設定する監視対象設定プログラムにおいて、コンピュータに、（１）管理手段における監視対象を特定する監視条件を管理するものであって、外部の監視対象通知手段から受け取った監視対象特定情報に基づいて、新たな監視対象の監視設定条件を設定し、その監視設定条件を新たな収集条件として各収集手段に設定させる監視対象設定管理手段として機能させるプログラム。
【発明の効果】
【００２０】
本発明の監視対象設定システム、監視対象設定方法、監視対象設定プログラム、ネットワーク監視システム、管理装置及び収集装置によれば、ネットワーク監視システムの監視対象を自動的に追加し、複数の監視対象のネットワークトラフィックを同時に監視することができる
【発明を実施するための最良の形態】
【００２１】
（Ａ）第１の実施形態
以下、本発明の監視対象設定システム、監視対象設定方法、監視対象設定プログラム、ネットワーク監視システム、管理装置及び収集装置の第１の実施形態を図面を参照して説明する。
【００２２】
（Ａ−１）第１の実施形態の構成
図１は、第１の実施形態のネットワーク監視システムの全体構成を示す構成図である。図１において、第１の実施形態のネットワーク監視システム６は、マネージャ装置１、収集プローブ装置２（２−１〜２−２）、検知装置３、中継装置５（５−１〜５−２）、管理者端末７、を少なくとも有して構成される。
【００２３】
第１の実施形態では、ネットワーク媒体としては、例えば、電気回線や光ファイバ回線等の有線回線や、無線回線を一部又は全部に有するものを適用することができる。また、ＯＳＩ基本参照モデルのトランスポート層に対応するプロトコルとしては、特に限定されないが、例えば、ＴＣＰ、ＵＤＰ、ＩＣＭＰ等を適用することができる。
【００２４】
収集プローブ装置２−１〜２−２は、中継装置５−１〜５−２と接続し、中継装置５−１〜５−２上を通過するパケットを全て取得し、全てのパケットのパケット情報に基づいて、所定の収集条件に該当するトラフィックのトラフィック量（以下、トラフィックフロー統計情報ともいう）を計測するものである。また、収集プローブ装置２−１〜２−２は、常時又は周期的に、計測したトラフィックフロー統計情報をマネージャ装置１に与えるものである。
【００２５】
また、収集プローブ装置２−１〜２−２は、マネージャ装置１から監視対象の設定情報を受け取ると、その設定情報に応じて、パケット情報を収集する収集条件を設定するものである。
【００２６】
このとき、収集プローブ装置２−１〜２−２は、複数の収集条件を設定することができ、それぞれの収集条件毎のトラフィックフロー統計情報を計測する。これにより、新たな収集条件が追加された場合でも、追加前に設定されている収集条件に該当するトラフィックフロー統計情報の計測処理と、追加された収集条件に該当するトラフィックフロー統計情報の計測処理とを同時に実行させることができる。その結果、セキュリティ事象に係るパケットのトラフィック量を、事象発生期間中に計測することができる。
【００２７】
また、収集プローブ装置２−１〜２−２は、監視対象である収集条件の設定追加時に、これから追加する監視対象が新規のものか又は既存のものかを判断し、新規の監視対象である場合、その設定情報を新規に追加し、既存の監視対象である場合、監視設定を延期するようにして管理する。なお、既存のものか否かの判断は、既存の設定情報と重複する情報であるか否かの判断による。
【００２８】
さらに、収集プローブ装置２−１〜２−２は、マネージャ装置１から監視対象の設定情報を受け取ると、その設定情報に基づいて監視時間条件が過去の時間範囲であるか否かを判断し、過去の時間条件とする設定情報である場合には、リアルタイムのトラフィックフロー統計情報の計測処理を維持しながら、既に保持しているパケット情報から監視時間条件の当該パケット情報を障害等の分析用に別途保存する。
【００２９】
図４は、第１の実施形態の収集プローブ装置２（２−１〜２−２）が有する主な内部機能を示す機能ブロック図である。図４に示すように、収集プローブ装置２は、パケット取得部２０１、パケット情報保持部２０２、収集対象選定部２０３、マネージャ送受信部２０４、解析部２０５、新規トラフィック量記憶部２０６、解析部２０７、新規トラフィック量記憶部２０８、を少なくとも有する。
【００３０】
パケット取得部２０１は、中継装置５を通過する全ての通信パケットを捕捉するものである。パケット取得部２０１の取得方法としては、例えば、中継装置５（例えばルータやスイッチングハブ等）からＳＮＭＰ等のプロトコルを用いて取得する方法や、中継装置５のミラーポートに接続し、ネットワーク上を流れるパケットを取得する方法等が適用できる。
【００３１】
パケット情報保持部２０２は、パケット取得部２０１により取得された全通信パケットのパケット情報を受信時刻に対応付けて保持するものである。
【００３２】
収集対象選定部２０３は、マネージャ装置１からの設定情報に従って、パケット情報の収集対象の条件を選定するものである。
【００３３】
ここで、マネージャ装置１からの設定情報は、例えば、監視対象を特定する監視条件（例えば、送信元ＩＰアドレス、送信先ＩＰアドレス、ＶＬＡＮタグ番号、通信ポート番号等）及び監視時間範囲を特定する時間条件（例えば、監視開始時刻、監視終了時刻等）を有するパケット情報解析ルール情報や、アラート設定情報（例えば、ポートスキャンやＩＰスイープ等の不正通信の設定情報や、ポートまたはアプリケーション単位での閾値超過に対する設定情報等）等を有するものである。
【００３４】
また、収集対象選定部２０３は、マネージャ装置１から新たな監視対象の設定情報が通知されると、現在実行している解析部２０５とは別の解析部２０７を起動させ、新たな収集条件に従ってトラフィックフロー統計情報の計測を実行させるものである。
【００３５】
さらに、収集対象選定部２０３は、受け取った監視対象の設定情報である時間条件が過去の時間範囲を指定するものであるか否かを判断するものであり、時間条件が過去の時間範囲を指定する場合、図示しない既存のパケット情報記憶部から、設定情報に従ったパケット情報を収集し、所定の収集条件のトラフィックフロー統計情報を計測させる。
【００３６】
マネージャ送受信部２０４は、マネージャ装置１との間で、各種情報を授受するものである。また、マネージャ送受信部２０４は、新規トラフィック量記憶部２０６及び２０８に記憶されているトラフィックフロー統計情報を、所定時間間隔毎にマネージャ装置１に送信するものである。なお、トラフィックフロー統計情報を送信する時間間隔は、任意に設定・変更することができるものであり、マネージャ装置１からの指示に応じて設定・変更するようにしてもよい。
【００３７】
解析部２０５は、収集対象選定部２０３が選定した収集条件に従って、現在通過するパケットの個数やサイズを単位時間毎に集計し、当該収集対象のトラフィックのトラフィック量を計測するものである。これにより、監視対象のトラフィックフロー統計情報をリアルタイムに求めることができる。
【００３８】
解析部２０７も、解析部２０５と同様の機能を備えるものである。解析部２０７は、新たに追加された収集条件に従ってトラフィックフロー統計情報を計測するものであり、解析部２０７は、新たな収集条件の追加前にトラフィックフロー統計情報の計測処理を実行しているものである。
【００３９】
新規トラフィック量記憶部２０６及び２０８は、解析部２０５及び２０７が求めたトラフィックフロー統計情報を記憶するものである。この新規トラフィック量記憶部２０６及び２０８に記憶されるトラフィックフロー統計情報は、常時又は周期的に、マネージャ送受信部２０４によりマネージャ装置１に送信される。
【００４０】
なお、監視対象の設定条件が、過去の時間範囲内のものである場合、この時間範囲内のデータを長期に保管可能な記憶領域に保管し、分析に必要な情報のみを長期間保管するようにする。
【００４１】
図１に戻り、マネージャ装置１について説明する。マネージャ装置１は、複数の収集プローブ装置２−１〜２−２が収集したトラフィック情報を常時又は周期的に取得し、所定の監視対象毎のトラフィックフロー情報を集計するものである。これにより、多地点に配置された各収集プローブ装置２からのトラフィックフローの統計情報を集約することができ、さらに、これらのトラフィックフローの統計情報を加工することで、広帯域ネットワーク全体のトラフィック解析を得ることができる。
【００４２】
また、マネージャ装置１は、管理者端末７又は検知装置３から、ネットワークトラフィックの監視対象を特定する設定情報を取り込むと、その監視対象の設定情報を管理すると共に、その監視対象の設定情報を全ての収集プローブ装置２（２−１〜２−２）に通知するものである。
【００４３】
なお、ネットワークトラフィックの監視対象の設定情報の初期設定は、基本的には、管理者端末７からの指示によるものとする。しかし、その後、所定のセキュリティ事象のパケットを検知装置３が検知すると、当該事象を監視対象とする設定情報の設定を検知装置３がマネージャ装置１に指示し、この事象を監視対象とする設定情報をマネージャ装置１が自動的に設定する。
【００４４】
図５は、第１の実施形態のマネージャ装置１が有する主な機能構成を示す機能ブロック図である。図５に示すように、マネージャ装置１は、監視設定受付部１０１、監視対象設定管理部１０２、出力制御部１０３、を有する。
【００４５】
監視設定受付部１０１は、管理者端末７及び又は検知装置３から監視対象の設定情報を受け取り、その監視対象の設定情報を監視対象設定管理部１０２に与えるものである。
【００４６】
ここで、管理者端末７からの監視対象の設定情報としては、管理者の操作を受けて、取り込んだ設定情報が該当する。また、検知装置３からの監視対象の設定情報としては、検知装置３が所定のセキュリティ事象検知条件に従って検知したパケットのパケット情報及び検知時刻情報が該当する。
【００４７】
監視対象設定管理部１０２は、監視設定受付部１０１が取得した１又は複数の監視対象の設定情報を管理すると共に、これら監視対象の設定情報を全ての収集プローブ装置２（２−１〜２−２）に通知するものである。
【００４８】
図６は、監視対象の設定情報の構成例を説明する説明図である。図６において、監視対象の設定情報としては、上述したように、例えば送信元ＩＰアドレス、送信先ＩＰアドレス、ＶＬＡＮ番号、プロトコルＩＤ、通信ポート番号等の監視条件と、監視時間を特定する時間条件とを、少なくとも有する情報である。
【００４９】
図６において、時間条件は、「条件Ｎｏ.１」のように、監視時間範囲が指定されていないものや、「条件Ｎｏ.２」のように監視時間範囲が指定されているものとすることができる。例えば、「条件Ｎｏ．２」及び「条件Ｎｏ．３」の場合、「２００７／２／１から監視を開始し、２００７／２／１５に監視期間の更新がされ、２００７／３／１５に監視を終了する。また例えば、「条件Ｎｏ．４」の場合、２００６／１０／１から２００７／３／１５までの過去のデータを解析する条件である。
【００５０】
なお、図６では、監視対象設定管理部１０２が２種類の条件を管理する場合を示したが、３種類以上の条件も管理できる。この場合、時間条件が設定されているものが２種類以上であってもよいし、及び又は、時間条件が設定されていないものが２種類以上であってもよい。
【００５１】
出力制御部１０３は、各収集プローブ装置２−１〜２−２が解析したトラフィックフロー統計情報を全収集プローブ装置２−１〜２−２から取得し、各トラフィックフロー統計情報に基づいて所定の加工処理（例えば、集計処理等）を施し、その処理結果を管理者端末７に出力するものである。
【００５２】
図１に戻り、管理者端末７は、第１の実施形態のネットワーク監視システム６の管理者が操作する端末であり、例えばパーソナルコンピュータ等の情報処理装置が該当する。管理者端末７は、管理者の操作を受けて、監視対象の設定情報を取り込み、その監視対象の設定情報をマネージャ装置１に与えたり、又、管理者の操作を受けて、マネージャ装置１と連携して、所定の加工処理されたトラフィックフロー統計結果を表示するものである。
【００５３】
検知装置３は、所定の通信無効条件やインシデント事象に一致する通信内容のパケットを検知するセキュリティシステムであり、例えば、ファイアウォールや、ＩＤＳ、ＩＰＳ等に代表される不正侵入検知システム等のセキュリティシステムが該当する。検知装置３は、所定検知条件に一致するパケットを検知すると、そのパケット情報（例えば、送信元ＩＰアドレス、送信先ＩＰアドレス、ＶＬＡＮ番号、ポート番号、プロトコルＩＤ等）及び検知時刻情報を、マネージャ装置１に与えるものである。なお、図１では、説明便宜上、１個の検知装置３を示した場合を示すが、複数個の検知装置３を備えるものとしてもよい。
【００５４】
中継装置５（５−１〜５−２）は、例えば、スイッチングハブやルータ等の装置が該当し、通過するパケットを全て対応する収集プローブ装置２−１〜２−２に与えるものである。
【００５５】
（Ａ−２）第１の実施形態の動作
次に、第１の実施形態のネットワーク監視システム６において、ネットワークトラフィックの監視条件を自動的に追加し、ネットワークを監視する処理動作を図面を参照しながら説明する。
【００５６】
図１において、ネットワーク監視システム６の管理者が、管理者端末７を用いて、監視対象の設定情報を入力すると、管理者端末７は、入力された監視対象の設定情報をマネージャ装置１に与える（ステップＳ１）。
【００５７】
なお、ステップＳ１での監視対象の設定情報は、従来と同様の事前に設定される設定情報に相当する。すなわち、監視対象の設定情報としては、例えば、送信元ＩＰアドレス、送信先ＩＰアドレス、ＶＬＡＮ番号、通信ポート番号等の監視条件と時間条件とを有するものである。
【００５８】
マネージャ装置１では、監視設定受付部１０１が、監視対象の設定情報を管理者端末１から受け取ると、その受け取った監視対象の設定情報を監視対象設定管理部１０２に与える。監視対象の設定情報が監視対象設定管理部１０２に与えられると、監視対象の設定情報は、監視対象設定管理部１０２により管理されると共に、監視対象設定管理部１０２により全ての収集プローブ装置２−１〜２−２に通知される（ステップＳ２）。
【００５９】
各収集プローブ装置２−１〜２−２では、パケット取得部２０１により監視回線上を流れる全てのパケットが取得され、パケット情報保持部２０２により全パケットのパケット情報が保持される（ステップＳ３）。
【００６０】
そして、各収集プローブ装置２−１〜２−２の解析部２０５により、監視対象の設定情報に基づく収集条件に従ったトラフィックフロー統計情報が計測され、新規トラフィック量記憶部２０６に記憶される。その後、計測されたトラフィックフロー統計情報は、マネージャ送受信部２０４により所定の時間間隔毎でマネージャ装置１に送信される（ステップＳ４）。
【００６１】
以上は、ネットワーク監視システム６の基本的なネットワーク監視処理の流れである。これにより、マネージャ装置１は、全ての収集プローブ装置２−１〜２−２から収集したトラフィックフロー統計情報を基にして、所定の加工処理を施して集約した集計結果を得て、その集計結果を管理者端末７に出力させることができる。
【００６２】
その後、検知装置３が、所定の検知条件に一致するセキュリティ事象のパケットを検知する。なお、検知装置３の検知処理は、既存技術を適用できるので、ここでの詳細な説明は省略する。
【００６３】
そうすると、検知装置３は、検知したパケットのパケット情報（例えば、送信元ＩＰアドレス、送信先ＩＰアドレス、ＶＬＡＮ番号、通信ポート番号、プロトコルＩＤ等）及び検知時刻情報を、マネージャ装置１に送信する（ステップＳ５）。
【００６４】
検知装置３からパケット情報及び検知時刻情報がマネージャ装置１に与えられると、マネージャ装置１の監視対象設定管理部１０２により、これらパケット情報及び検知時刻情報が、新たな監視対象の設定情報として管理される。
【００６５】
すなわち、監視対象設定管理部１０２は、検知装置３からのパケット情報の内容を監視条件の内容とし、検知装置３からの検知時刻情報を時間条件（監視開始時刻）として管理する。
【００６６】
そして、監視対象設定管理部１０２は、上記新たな監視対象の設定情報を、全ての収集プローブ装置２−１〜２−２に対し通知する（ステップＳ６）。
【００６７】
新たな監視対象の設定情報が監視対象設定管理部１０２から全ての収集プローブ装置２−１〜２−２に与えられると、各収集プローブ装置２−１〜２−２では、以下の動作を行なう。
【００６８】
図７は、各収集プローブ装置２−１〜２−２におけるトラフィック量の計測動作を示すフローチャートである。
【００６９】
まず、新たな監視対象の設定情報がマネージャ送受信部２０４により取得されると（ステップＳ１０１）、収集対象選定部２０３により、当該取得した監視対象の設定情報の内容が新たな収集条件であることと判定される（ステップＳ１０２）。
【００７０】
このとき、新たな監視対象の設定情報が、既存の監視対象の設定情報と重複するものであるかを判断することで新たな収集条件であるかを判断する。そして、新たな監視対象の設定情報が既存の設定情報と重複しない場合、新たな収集条件と判定する。
【００７１】
そうすると、収集対象選定部２０３により、現在実行している解析部２０５とは異なる別の解析部２０７が起動し（ステップＳ１０３）、当該新たな監視対象の設定情報に基づく収集条件に該当するトラフィックフロー統計情報が解析部２０７により解析され（ステップＳ１０４）、その解析結果が新規トラフィック量記憶部２０８に記憶される（ステップＳ１０５）。
【００７２】
そして、新規トラフィック量記憶部２０８のトラフィック量は、マネージャ送受信部２０４により、所定の時間間隔でマネージャ装置１に送信される（ステップＳ１０６、図１のステップＳ７）。
【００７３】
このとき、解析部２０７の処理は、解析部２０５の処理と並列的に実行される。これにより、新たな収集条件の設定前に実行している解析部２０５の解析処理と、解析部２０７の解析処理とを同時に実行させることができる。
【００７４】
一方、ステップＳ１０２において、新しい監視対象の設定情報が既存の設定情報と重複する場合、既存の監視対象を解析している解析部２０５の監視期間を延長させる。これにより、同一の監視対象について、新たに監視を追加することなく、効率的な監視ができる。
【００７５】
例えば、図６の「条件Ｎｏ．２」が既に設定される条件であるとする。そして、「条件Ｎｏ．３」が新たな監視対象として設定されるとすると、新たな「条件Ｎｏ．３」は、時間条件は異なるが、監視条件が「条件Ｎｏ．２」と重複する。従って、この場合、「条件Ｎｏ．２」に従った監視の監視期間を「条件Ｎｏ．２」の時間から「条件Ｎｏ．３」の時間に延長するようにする。
【００７６】
なお、監視対象の設定情報が過去の時間範囲を示すものである場合、収集した分析に必要な情報（例えば、アラート検出時のパケット情報等）のみを長期間保管できるように保管する。
【００７７】
その結果、マネージャ装置１では、既存の収集条件のトラフィックフロー統計情報の集計を保持しながら、事象発生期間内で、当該事象を監視対象とする新たな収集条件のトラフィックフロー統計情報の集計することができる。これにより、例えば、過去１時間前に、Ａ国を発信源としたＢ国への攻撃が発生した場合、この攻撃発生により影響を受けている現時点において、Ａ国を発信源とする特定範囲のトラフィックの解析することができる。
【００７８】
（Ａ−３）第１の実施形態の効果
以上のように、第１の実施形態によれば、ネットワーク監視中に、他のセキュリティシステムから取得したパケット情報及び検知時刻情報に基づいて、複数の監視条件を追加することができるため、監視状態を初期化することなく、監視時間及び監視範囲を変化させることができる。
【００７９】
その結果、多拠点・広域網のネットワーク監視において、時間条件、監視条件に影響を受けないシステム的な監視を実現することができる。
【００８０】
（Ｂ）他の実施形態
（Ｂ−１）第１の実施形態では、１つのネットワークで１台のマネージャ装置を備える場合を示したが、複数台のマネージャ装置を備えるようにしてもよい。この場合、複数台のマネージャ装置をさらに統括する統括管理装置を備えるようにしてもよい。
【００８１】
また、１台の観測プローブ装置が、複数の中継装置を通過するトラフィックフローを観測するようにしてもよい。この場合、観測プローブ装置が、どのルータを通過したトラフィックフローの統計情報であるかを識別する必要がある。
【００８２】
（Ｂ−２）第１の実施形態で説明した収集プローブ装置が有する各機能部は、物理的に同一の収集プローブ装置に搭載されていなくてもよい。つまり、各機能部間で連携処理を図ることができ、第１の実施形態で説明した機能を実現することができれば、各機能部は別々に分散配置されてもよい。同様に、第１の実施形態のマネージャ装置が有する各機能部も、別々に分散配置されてもよい。
【００８３】
また、マネージャ装置が、収集プローブ装置の機能部の一部又は全部を有するようにしてもよいし、収集プローブ装置が、マネージャ装置の機能部の一部又は全部を有するようにしてもよい。
【００８４】
さらに、中継装置が、収集プローブ装置の有する機能部の一部又は全部を搭載するようにしてもよいし、マネージャ装置の有する機能部の一部又は全部を搭載するようにしてもよい。また、中継装置が、収集プローブ装置の機能部の一部又は全部と、マネージャ装置の機能部の一部又は全部を搭載するようにしてもよい。
【００８５】
（Ｂ−３）第１の実施形態では、マネージャ装置１は、全ての収集プローブ装置２の監視対象の設定情報を共通に管理する場合を示した。しかし、マネージャ装置１が、監視対象の設定情報を、１又は複数の収集プローブ装置２毎に管理するようにしてもよい。
【００８６】
（Ｂ−４）特許請求の範囲における監視対象通知手段は、第１の実施形態の検知装置３に限定されるものではなく、管理者端末や他のセキュリティシステムも含む概念である。また、検知装置３も含め他のセキュリティシステムは、外部ネットワークに存在するものであってもよい。
【００８７】
（Ｂ−５）第１の実施形態で説明した収集プローブ装置及びマネージャ装置は、ハードウェア資源（例えばＣＰＵ等）がプログラムを実行して実現するソフトウェア処理で実現できる。つまり、収集プローブ装置及びマネージャ装置の各種機能はプログラムとして格納されるものである。なお、収集プローブ装置及びマネージャ装置の処理をハードウェアで実現するようにしてもよい。
【図面の簡単な説明】
【００８８】
【図１】第１の実施形態のネットワーク監視システムの全体構成と共に、過去の監視時間範囲内のトラフィックを監視する動作を示す図である。
【図２】従来のネットワーク監視システムを説明する説明図である（その１）。
【図３】従来のネットワーク監視システムを説明する説明図である（その２）。
【図４】第１の実施形態の収集プローブ装置の内部構成を示す機能ブロック図である。
【図５】第１の実施形態のマネージャ装置の内部構成を示す機能ブロック図である。
【図６】第１の実施形態の監視対象の設定情報の内容例を説明する説明図である。
【図７】第１の実施形態の収集プローブ装置の処理を示す動作フローチャートである。
【符号の説明】
【００８９】
１…マネージャ装置、２−１〜２−２…収集プローブ装置、３…検知装置、５−１〜５−２…中継装置、１０１、３０１…監視設定受付部、１０２…監視対象設定部、１０３…出力制御部、２０１…パケット取得部、２０２…パケット保持部、２０３…収集対象選定部、２０４…マネージャ送受信部、２０５、２０７…解析部、２０６、２０８…新規トラフィック量記憶部。
【図１】
2008244632.tif 000003
【図２】
2008244632.tif 000004
【図３】
2008244632.tif 000005
【図４】
2008244632.tif 000006
【図５】
2008244632.tif 000007
【図６】
2008244632.tif 000008
【図７】
2008244632.tif 000009