(57)【要約】【課題】ネットワーク監視方法の違いの解決、ネットワークとシステム間の情報統合を行ない、異なる監視視点を統合的に解析できるようにする。【解決手段】本発明の監視情報解析システムは、複数のネットワークシステムのそれぞれにおいて設けられた、それぞれ独自の監視方法に従ってそれぞれ所定の監視対象を監視する１又は複数の監視システム手段と、各ネットワークシステム上の各監視システム手段の全部又は一部に対して、各監視システム手段が管理する監視情報を要求する監視情報要求手段と、監視情報要求手段から要求された各監視システム手段から監視情報を受け取り、各監視システム手段からの監視情報に基づく統合的な解析処理を行なう統合解析処理手段とを備えることを特徴とする。【選択図】      図１
2008244640.tif 000002
【特許請求の範囲】
【請求項１】
複数のネットワークシステムのそれぞれにおいて設けられた、それぞれ独自の監視方法に従ってそれぞれ所定の監視対象を監視する１又は複数の監視システム手段と、
上記各ネットワークシステム上の上記各監視システム手段の全部又は一部に対して、上記各監視システム手段が管理する監視情報を要求する監視情報要求手段と、
上記監視情報要求手段から要求された上記各監視システム手段から上記監視情報を受け取り、上記各監視システム手段からの上記監視情報に基づく統合的な解析処理を行なう統合解析処理手段と
を備えることを特徴とする監視情報解析システム。
【請求項２】
上記各監視システム手段が、上記各ネットワークシステムのトラフィックを監視するネットワークトラフィック監視システム手段、及び又は、上記各ネットワークシステム上の１又は複数の監視対象装置を監視するシステム監視手段であることを特徴とする請求項１に記載の監視情報解析システム。
【請求項３】
上記監視情報要求手段が、上記監視情報を要求する際、要求する上記監視情報の情報項目を指定することを特徴とする請求項１又は２に記載の監視情報解析システム。
【請求項４】
複数のネットワークシステムのそれぞれにおいて設けられた、それぞれ独自の監視方法に従ってそれぞれ所定の監視対象を監視する１又は複数の監視システム手段と、
上記各ネットワークシステム上の上記各監視システム手段の全部又は一部に対して、上記各監視システム手段が管理する監視情報を要求する監視情報要求手段と、
上記監視情報要求手段から要求された上記各監視システム手段から上記監視情報を受け取り、上記各監視システム手段からの上記監視情報に基づく統合的な解析処理を行なう統合解析処理手段と
を備えることを特徴とするネットワーク監視システム。
【請求項５】
１又は複数の監視回線上を流れる全通信パケットのパケット情報に基づいて、所定の収集条件のトラフィックフロー情報を求める複数の収集手段を備え、
上記統合解析手段が、上記各収集手段からの上記トラフィックフロー情報も用いて、統合的な解析処理を行なうことを特徴とする請求項４に記載のネットワーク監視システム。
【請求項６】
複数のネットワークシステムのそれぞれにおいて設けられた、それぞれ独自の監視方法に従ってそれぞれ所定の監視対象を監視する１又は複数の監視システム装置と、
上記各監視システム装置からの監視情報に基づいて所定の集約情報を管理する管理装置と
を備えるネットワーク監視システムを構成する上記管理装置において、
上記各ネットワークシステム上の上記各監視システム装置の全部又は一部に対して、上記各監視システム装置が管理する監視情報を要求する監視情報要求手段と、
上記監視情報要求手段から要求された上記各監視システム装置から上記監視情報を受け取り、上記各監視システム装置からの上記監視情報に基づく統合的な解析処理を行なう統合解析処理手段と
を有することを特徴とする管理装置。
【請求項７】
複数のネットワークシステムのそれぞれにおいて設けられた、それぞれ独自の監視方法に従ってそれぞれ所定の監視対象を監視する１又は複数の監視システム手段が管理する監視情報を解析する監視情報解析方法であって、
監視情報要求手段が、上記各ネットワークシステム上の上記各監視システム手段の全部又は一部に対して、上記各監視システム手段が管理する監視情報を要求する監視情報要求工程と、
統合解析処理手段が、上記監視情報要求手段から要求された上記各監視システム手段から上記監視情報を受け取り、上記各監視システム手段からの上記監視情報に基づく統合的な解析処理を行なう統合解析処理工程と
を有することを特徴とする監視情報解析方法。
【請求項８】
複数のネットワークシステムのそれぞれにおいて設けられた、それぞれ独自の監視方法に従ってそれぞれ所定の監視対象を監視する１又は複数の監視システム手段が管理する監視情報を解析する監視情報解析プログラムであって、
コンピュータに、
上記各ネットワークシステム上の上記各監視システム手段の全部又は一部に対して、上記各監視システム手段が管理する監視情報を要求する監視情報要求手段、
上記監視情報要求手段から要求された上記各監視システム手段から上記監視情報を受け取り、上記各監視システム手段からの上記監視情報に基づく統合的な解析処理を行なう統合解析処理手段
として機能させる監視情報解析プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、監視情報解析システム、監視情報解析方法、監視情報解析プログラム、ネットワーク監視システム及び管理装置に関し、例えば、広帯域ネットワーク上のトラフィックフロー情報を多地点で観測する多地点広帯域トラフィック監視システムに適用し得る。
【背景技術】
【０００２】
近年、ネットワーク上では、複雑かつ高度なウィルスや障害等が日々発生している。また、近年のネットワーク技術の進展に伴い、ネットワークが一般的に広く普及されているが、今後、さらなる技術の進展により、広帯域のネットワークが広く導入され、社会基盤として浸透することが期待される。そこで、既存規模のネットワークだけでなく、大規模な広帯域ネットワークを監視することができ、ネットワーク異常を効率的検出するシステムが強く望まれている。
【０００３】
従来のネットワークトラフィック監視システムとしては、種々の技術があるが、そのうちの１つとして、ネットワーク上を通過するパケットのパケット情報に基づいて、通信パケット量等のトラフィック情報を監視する技術がある（特許文献１参照）。
【０００４】
また、ネットワークトラフィック監視システムは、例えば図２に示すように、ＳＮＭＰ（Simple  Network  Management  Protocol）、ｓＦｌｏｗ、ＲＭＯＮ（Remote  Monitoring  MIB）等のプロトコルを用いて、ルータやスイッチングハブ等を通過するパケットを収集してトラフィック量を監視する方法や、又例えば図３に示すように、スイッチングハブ等の中継装置がミラーポートを備え、ミラーポート経由でパケットを収集してトラフィック量を監視する方法等がある。
【０００５】
これらの各監視方法で監視できる情報は、それぞれ異なるものである。そのため、ネットワーク管理者は、必要に応じて、各セグメントで監視する監視方法を決定し、セグメント毎に監視対象を設定し、セグメント毎の監視結果を出力表示できるようにしている。
【０００６】
ところで、ネットワークトラフィック監視とシステム監視とは、それぞれ異なる視点で実施されるものである。つまり、ネットワークトラフィック監視は、ネットワーク上をパケットが正常に流れているか否かを監視するものであるのに対し、システム監視は、特定の監視対象装置（例えば、メールサーバやＷＷＷサーバ等）が正常に稼動しているか否かを監視するものである。
【０００７】
従来、複数のセグメントを管理するネットワーク管理者は、上記のように、セグメント毎に決定した監視方法による複数のネットワークトラフィック監視と、メールサーバ等を監視対象とする複数のシステム監視との両者を監視している。
【０００８】
そのため、ネットワーク上で何らかの障害やウィルス感染等が発生した場合、ネットワーク管理者は、それぞれ連携されていない多数の監視システムの結果を参照しながら、障害等の解析を個別的に行ない、監視結果同士の関連性を解明していき、障害等の原因を追求している。
【０００９】
【特許文献１】特開平５−２６００６３号公報
【発明の開示】
【発明が解決しようとする課題】
【００１０】
上述したように、従来のネットワークトラフィック監視システムは、監視方法が異なることから、それぞれのセグメント毎で監視設定することが必要であった。また、ネットワークトラフィック監視システムとは別に、例えばメールサーバ等のような監視対象装置を監視するシステム監視を設けることが必要であった。
【００１１】
そのため、ネットワーク管理者は、それぞれ連携されていない多種多様な複数の監視システムの結果を用いて解析処理する必要があり、解析時におけるネットワーク管理者の負担が大きいという問題がある。また、ネットワークの大規模化・複雑化に伴い、この問題解決がさらに重要となる。
【００１２】
さらに、近年のセキュリティ管理の重要性から早期の対応が求められるところ、従来の複雑な解析処理の効率化が強く望まれている。
【００１３】
そこで、ネットワーク監視方法の違いの解決、ネットワークとシステム間の情報統合を行ない、異なる監視視点を統合的に解析する、監視情報解析システム、監視情報解析方法、監視情報解析プログラム、ネットワーク監視システム及び管理装置が求められている。
【課題を解決するための手段】
【００１４】
かかる課題を解決するために、第１の本発明の監視情報解析システムは、（１）複数のネットワークシステムのそれぞれにおいて設けられた、それぞれ独自の監視方法に従ってそれぞれ所定の監視対象を監視する１又は複数の監視システム手段と、（２）各ネットワークシステム上の各監視システム手段の全部又は一部に対して、各監視システム手段が管理する監視情報を要求する監視情報要求手段と、（３）監視情報要求手段から要求された各監視システム手段から監視情報を受け取り、各監視システム手段からの監視情報に基づく統合的な解析処理を行なう統合解析処理手段とを備えることを特徴とする。
【００１５】
第２の本発明のネットワーク監視システムは、（１）複数のネットワークシステムのそれぞれにおいて設けられた、それぞれ独自の監視方法に従ってそれぞれ所定の監視対象を監視する１又は複数の監視システム手段と、（２）各ネットワークシステム上の各監視システム手段の全部又は一部に対して、各監視システム手段が管理する監視情報を要求する監視情報要求手段と、（３）監視情報要求手段から要求された各監視システム手段から監視情報を受け取り、各監視システム手段からの監視情報に基づく統合的な解析処理を行なう統合解析処理手段とを備えることを特徴とする。
【００１６】
第３の本発明の管理装置は、複数のネットワークシステムのそれぞれにおいて設けられた、それぞれ独自の監視方法に従ってそれぞれ所定の監視対象を監視する１又は複数の監視システム装置と、各監視システム装置からの監視情報に基づいて所定の集約情報を管理する管理装置とを備えるネットワーク監視システムを構成する管理装置において、（１）各ネットワークシステム上の各監視システム装置の全部又は一部に対して、各監視システム装置が管理する監視情報を要求する監視情報要求手段と、（２）監視情報要求手段から要求された各監視システム装置から監視情報を受け取り、各監視システム装置からの監視情報に基づく統合的な解析処理を行なう統合解析処理手段とを有することを特徴とする。
【００１７】
第４の本発明の監視情報解析方法は、複数のネットワークシステムのそれぞれにおいて設けられた、それぞれ独自の監視方法に従ってそれぞれ所定の監視対象を監視する１又は複数の監視システム手段が管理する監視情報を解析する監視情報解析方法であって、（１）監視情報要求手段が、各ネットワークシステム上の各監視システム手段の全部又は一部に対して、各監視システム手段が管理する監視情報を要求する監視情報要求工程と、（２）統合解析処理手段が、監視情報要求手段から要求された各監視システム手段から監視情報を受け取り、各監視システム手段からの監視情報に基づく統合的な解析処理を行なう統合解析処理工程とを有することを特徴とする。
【００１８】
第５の本発明の監視情報化遺跡プログラムは、複数のネットワークシステムのそれぞれにおいて設けられた、それぞれ独自の監視方法に従ってそれぞれ所定の監視対象を監視する１又は複数の監視システム手段が管理する監視情報を解析する監視情報解析プログラムであって、コンピュータに、（１）各ネットワークシステム上の各監視システム手段の全部又は一部に対して、各監視システム手段が管理する監視情報を要求する監視情報要求手段、（２）監視情報要求手段から要求された各監視システム手段から監視情報を受け取り、各監視システム手段からの監視情報に基づく統合的な解析処理を行なう統合解析処理手段として機能させるものである。
【発明の効果】
【００１９】
本発明の監視情報解析システム、監視情報解析方法、監視情報解析プログラム、ネットワーク監視システム及び管理装置によれば、ネットワーク監視方法の違いの解決、ネットワークとシステム間の情報統合を行ない、異なる監視視点を統合的に解析することができる。
【発明を実施するための最良の形態】
【００２０】
（Ａ）第１の実施形態
以下、本発明の監視情報解析システム、監視情報解析方法、監視情報解析プログラム、ネットワーク監視システム及び管理装置の第１の実施形態を図面を参照して説明する。
【００２１】
（Ａ−１）第１の実施形態の構成
図４は、第１の実施形態のネットワーク監視システムの全体構成を示す構成図である。図４において、第１の実施形態のネットワーク監視システム６は、複数（図４では４個）のネットワーク９−１〜９−４が中継装置５を通じてそれぞれ接続されている。
【００２２】
なお、図４では、説明を分かり易くするため、ネットワーク９−１とネットワーク９−２との間のみ、中継装置５−１及び５−２による接続の様子を示すが、他のネットワーク間の接続も同様に中継装置を通じて接続する。
【００２３】
また、説明便宜上、ネットワーク９−１は、複数のネットワークのセキュリティを統合的に管理する主体的なシステムを備えるものとし、ネットワーク９−２〜９−４は、被管理ネットワークとして説明する。
【００２４】
各ネットワーク９−１〜９−４は、それぞれ自律的な管理ポリシーで運用されるネットワークシステムであり、１個のネットワークを１個のセグメントとし、例えば、ＩＳＰ（インターネットサービスプロバイダ）等のネットワークシステム等が該当する。また、各ネットワーク９−１〜９−４のネットワーク媒体としては、例えば、電気回線や光ファイバ回線等の有線回線や、無線回線を一部又は全部に有するものを適用することができる。ＯＳＩ基本参照モデルのトランスポート層に対応するプロトコルとしては、特に限定されないが、例えば、ＴＣＰ、ＵＤＰ、ＩＣＭＰ等を適用することができる。
【００２５】
また、各ネットワーク９−１〜９−４のシステム構成は、それぞれのシステム運用に応じた構成要素を備えることができる。
【００２６】
ネットワーク９−１は、マネージャ装置１、収集プローブ装置２、管理者端末７、他トラフィック監視装置４−１、システム監視装置８−１、中継装置５−１を少なくとも有して構成される。
【００２７】
また、ネットワーク９−２〜９−４は、それぞれ、他トラフィック監視装置４−２〜４−４、システム監視装置８−２〜８−４、中継装置５（５−２）、を少なくとも有して構成される。
【００２８】
他トラフィック監視装置４−１〜４−４は、それぞれのネットワーク９−１〜９−４上のネットワークトラフィックを所定の監視方法で監視するネットワークトラフィック監視装置である。他トラフィック監視装置４−１〜４−４は、既存のネットワークトラフィック監視装置を適用することができ、例えば、ＳＮＭＰプロトコル等を用いた監視システムの管理装置や、ｓＦｌｏｗやＲＭＯＮなどを用いた監視システムの管理装置や、中継装置を通過するパケットのパケット情報を収集する管理装置などが該当する。
【００２９】
システム監視装置８−１〜８−４は、それぞれのネットワーク９−１〜９−４上の管理対象装置（例えば、メールサーバ、ＷＷＷサーバ、ＦＴＰサーバ等のアプリケーションサーバなど）をシステム監視するシステム監視装置である。システム監視装置８−１〜８−４は、例えば、ファイアウォールサーバや、不正侵入検知装置（例えば、ＩＤＳ（Intrusion  Detection  System）、ＩＰＳ（Intrusion  Prevention  System））等が該当する。
【００３０】
中継装置５（５−１〜５−２）は、図４では各ネットワーク９−１〜９−４間を接続するルータを想定して示すが、これに限定されず、スイッチングハブ等の中継装置も該当する。
【００３１】
収集プローブ装置２は、例えば中継装置５−１と接続し、中継装置５−１上を通過するパケットを全て取得し、全てのパケットのパケット情報に基づいて、所定の収集条件に該当するトラフィックのトラフィック量（以下、トラフィックフロー統計情報ともいう）を計測するものである。
【００３２】
また、収集プローブ装置２は、常時又は周期的に、計測したトラフィックフロー統計情報をマネージャ装置１に与えるものである。収集プローブ装置２は、マネージャ装置１から監視対象の設定情報を受け取ると、その設定情報に応じて、パケット情報を収集する収集条件を設定するものである。収集プローブ装置２は、複数の収集条件を設定することができ、それぞれの収集条件毎のトラフィックフロー統計情報を計測する。
【００３３】
さらに、収集プローブ装置２は、ネットワーク９−１上に複数設置することができ、これにより、多拠点で計測したトラフィックフロー統計情報をマネージャ装置１に集約することができる。また、説明便宜上、収集プローブ装置２はネットワーク９−１にのみ設置するものとするが、他のネットワーク（他のセグメント）上に１又は複数備えるようにしてもよい。
【００３４】
図５は、収集プローブ装置２が有する主な内部機能を示す機能ブロック図である。図５に示すように、収集プローブ装置２は、パケット取得部２０１、パケット情報保持部２０２、収集対象選定部２０３、マネージャ送受信部２０４、解析部２０５、トラフィック量記憶部２０６、を少なくとも有する。
【００３５】
パケット取得部２０１は、中継装置５を通過する全ての通信パケットを捕捉するものである。パケット取得部２０１の取得方法としては、例えば、中継装置５（例えばルータやスイッチングハブ等）からＳＮＭＰ等のプロトコルを用いて取得する方法や、中継装置５のミラーポートに接続し、ネットワーク上を流れるパケットを取得する方法等が適用できる。
【００３６】
パケット情報保持部２０２は、パケット取得部２０１により取得された全通信パケットのパケット情報を受信時刻に対応付けて保持するものである。パケット情報保持方法としては、種々の方法を適用することができる。
【００３７】
収集対象選定部２０３は、マネージャ装置１からの設定情報に従って、パケット情報の収集対象の条件を選定するものである。また、収集対象選定部２０３は、複数の収集対象の条件を選定するようにしてもよいし、監視する時間条件が過去の時間範囲のものを選定するようにしてもよい。
【００３８】
ここで、マネージャ装置１からの設定情報は、例えば、監視対象を特定する監視条件（例えば、送信元ＩＰアドレス、送信先ＩＰアドレス、ＶＬＡＮタグ番号、通信ポート番号等）及び監視時間範囲を特定する時間条件（例えば、監視開始時刻、監視終了時刻等）を有するパケット情報解析ルール情報や、アラート設定情報（例えば、ポートスキャンやＩＰスイープ等の不正通信の設定情報や、ポート又はアプリケーション単位での閾値超過に対する設定情報等）等を有するものである。
【００３９】
マネージャ送受信部２０４は、マネージャ装置１との間で、各種情報を授受するものである。また、マネージャ送受信部２０４はトラフィック量記憶部２０６に記憶されているトラフィックフロー統計情報を、所定時間間隔毎にマネージャ装置１に送信するものである。なお、トラフィックフロー統計情報を送信する時間間隔は、任意に設定・変更することができるものであり、マネージャ装置１からの指示に応じて設定・変更するようにしてもよい。
【００４０】
解析部２０５は、収集対象選定部２０３が選定した収集条件に従って、現在通過するパケットの個数やサイズを単位時間毎に集計し、当該収集対象のトラフィックのトラフィック量を計測するものである。これにより、監視対象のトラフィックフロー統計情報をリアルタイムに求めることができる。
【００４１】
また、解析部２０５は、収集対象選定部２０３が複数の収集条件を選定する場合には、それぞれの収集条件に従ったトラフィックフロー統計情報を計測するようにしてもよいし、また、収集対象選定部２０３が過去の時間範囲を監視対象とする収集条件を選定する場合には、過去に取得保持したデータベース（図５に図示しない）を用いて、過去の時間範囲内での収集条件に従ったトラフィックフロー統計情報を計測するようにしてもよい。
【００４２】
トラフィック量記憶部２０６は、解析部２０５が求めたトラフィックフロー統計情報を記憶するものである。このトラフィック量記憶部２０６に記憶されるトラフィックフロー統計情報は、常時又は周期的に、マネージャ送受信部２０４によりマネージャ装置１に送信される。
【００４３】
図４に戻り、マネージャ装置１について説明する。マネージャ装置１は、複数の収集プローブ装置２が収集したトラフィック情報を常時又は周期的に取得し、所定の監視対象毎のトラフィックフロー情報を集計するものである。これにより、多地点に配置された各収集プローブ装置２からのトラフィックフローの統計情報を集約することができ、さらに、これらのトラフィックフローの統計情報を加工することで、広帯域ネットワーク全体のトラフィック解析を得ることができる。
【００４４】
また、マネージャ装置１は、他トラフィック監視装置４−１〜４−４に対して、各他トラフィック監視装置４−１〜４−４が観測した観測情報を要求し、各他トラフィック４−１〜４−４から受け取ったそれぞれの観測情報を管理すると共に、それぞれの観測情報を用いて所定のトラフィックフロー統計情報を解析するものである。
【００４５】
これにより、収集プローブ装置２からのトラフィックフロー統計情報の集約解析だけでなく、他のネットワーク４−２〜４−４上のトラフィック観測情報を用いた集約解析もできる。
【００４６】
また、一般に他トラフィック監視装置４−１〜４−４の監視方法はネットワーク毎（セグメント毎）で異なり、観測情報も異なる。そのため、従来は、各トラフィック監視装置４−１〜４−４の観測情報の連携が図れなかったが、マネージャ装置１が各他トラフィック監視装置４−１〜４−４からの観測情報を用いて集約解析を行なうことで、監視方法や観測情報が異なる場合でも統合的に集約解析が可能となる。
【００４７】
さらに、マネージャ装置１は、システム監視装置８−１〜８−４に対して、各システム監視装置８−１〜８−４が監視する管理対象装置の通信ログ情報を要求し、各システム監視装置８−１〜８−４からの通信ログ情報を管理すると共に、管理対象装置の障害発生時に、その障害に関する情報を用いて解析処理を行なうものである。
【００４８】
これにより、システム監視装置８−１〜８−４との間で連携処理を図ることができ、その結果、管理対象装置の障害原因が、管理対象装置における障害であるのか、又はネットワークを通じた障害であるのか等、ネットワークトラフィックを考慮して統合的な解析処理をとることができる。
【００４９】
図１は、第１の実施形態のマネージャ装置１が有する主な機能構成を示す機能ブロック図である。図１に示すように、マネージャ装置１は、観測情報設定部１０１、統合解析部１０２、出力制御部１０３、情報統合データベース部１０４、を少なくとも有する。
【００５０】
観測情報設定部１０３は、管理者端末７からの指示を受けて、他トラフィック監視装置４−１〜４−４、システム監視装置８−１〜８−４に対して観測情報の要求を行なうものである。
【００５１】
なお、他トラフィック監視装置４−１〜４−４やシステム監視装置８−１〜８−４は、それぞれ独自の監視方法に従って、それぞれ予め設定された監視対象を監視し、監視結果を管理する。第１の実施形態の観測情報設定部１０３は、他トラフィック監視装置４−１〜４−４やシステム監視装置８−１〜８−４が管理する管理情報（観測情報）を統合的に収集させるために寄与するものである。
【００５２】
ここで、観測情報設定部１０３は、管理者端末７の指示の下、取得する観測情報についての所望の情報項目を指定して要求する。
【００５３】
図６及び図９は、観測情報設定部１０３が観測情報の要求の際に指定する情報項目例を示す説明図である。
【００５４】
図６及び図９において、観測情報設定部１０３は、観測情報の要求の際に指定する情報項目例としては、例えば、監視条件と時間条件とを指定できる。監視条件としては、例えば、送信元ＩＰアドレス、送信先ＩＰアドレス、送信元ポート番号、送信先ポート番号、ＶＬＡＮ番号等がある。また、時間条件としては、例えば、監視開始時刻、監視終了時刻がある。
【００５５】
情報項目については、図６に示す項目の全てを指定項目としてもよいし、又は一部を指定項目としてもよい。
【００５６】
また、時間条件としては、図６の「Ｎｏ．１」のように、監視時間範囲が指定されていないものや、図６の「Ｎｏ．２」〜「Ｎｏ．４」のように、監視開始時刻、監視終了時刻が指定されているものとすることができる。
【００５７】
また、観測情報設定部１０３は、複数の観測情報の項目を指定することができる。さらに、観測情報設定部１０３は、全部の他トラフィック監視装置４−１〜４−４、システム監視装置８−１〜８−４に要求するようにしてもよいし、又は、管理者端末７からの指示に従って指示された一部の装置に対して要求するようにしてもよい。このとき、要求する他トラフィック監視装置４やシステム監視装置８毎に、それぞれ異なる観測情報の項目を指定してもよい。
【００５８】
また、観測情報設定部１０３は、管理者端末７からの指示に限らず、例えば、他トラフィック監視装置４やシステム監視装置８から異常発生の情報通知を受け、この情報通知に基づいて観測情報を要求してもよい。この情報通知に、例えば、送信元ＩＰアドレス、送信先ＩＰアドレス、送信元ポート番号、送信先ポート番号、ＶＬＡＮ番号、異常検知時刻等の情報の全部又は一部が含まれている場合、観測情報設定部１０３は、この情報通知に含まれる情報項目を指定して、観測情報を要求する。
【００５９】
統合解析部１０２は、１又は複数の収集プローブ装置２から取得したトラフィックフロー統計情報に基づいて、所定の集約方法で加工して集約解析を行なうものである。
【００６０】
また、統合解析部１０２は、必要に応じて、情報統合データベース部１０４を参照し、各他トラフィック監視装置４−１〜４−４の観測情報、各システム監視装置８−１〜８−４の通信路具情報に基づいて、所定の集約方法で加工して集約解析を行なうものである。
【００６１】
ここで、統合解析部１０２による集約の仕方としては、種々の処理を適用することができ、例えば、物理的観点からの集約方法、論理的観点からの集約方法、時間的観点からの集約方法、これらを１又は複数組み合わせた方法等を適用できる。
【００６２】
例えば、物理的観点からの集約方法としては、（ａ）ネットワーク別（セグメント別）のトラフィック量、（ｂ）ネットワークが採用するプロトコル（例えば、ＴＣＰ／ＩＰ、ＡＴＭ、ＯＣ３、ＳＯＮＥＴ）別のトラフィック量、（ｃ）ある特定通信先についてのネットワーク別のトラフィック量、等のような観点から集約する方法である。
【００６３】
また例えば、論理的観点からの集約方法としては、（ｅ）ある特定通信先についてのトラフィック量や、（ｆ）セキュリティ攻撃に使用される特殊なデータ別（例えば、Ｓｙｎパケットや、属性の誤ったパケット等）のトラフィック量、等の観点からの集約方法である。
【００６４】
さらに、例えば、時間的観点からの集約方法としては、（ｇ）例えば、分、時、日などの時間間隔のトラフィック量、（ｈ）時間範囲（例えば、過去の時間範囲、過去の開始時刻から現在時刻の範囲等）のトラフィック量、等の観点からの集約方法である。例えば、１分毎、１週間毎、１ヶ月毎の集約情報や、「○月○日、○時×分〜○時□分までの、１分毎のトラフィック量」等の集約ができる。
【００６５】
出力制御部１０３は、各収集プローブ装置２−１〜２−２が解析したトラフィックフロー統計情報を全収集プローブ装置２−１〜２−２から取得し、各トラフィックフロー統計情報に基づいて所定の加工処理（例えば、集計処理等）を施し、その処理結果を管理者端末７に出力するものである。
【００６６】
情報統合データベース部１０４は、各他トラフィック監視装置４−１〜４−４から受け取った各他トラフィック監視装置４−１〜４−４の観測情報を、各他トラフィック監視装置４−１〜４−４毎に保持するものである。また、情報統合データベース部１０４は、各システム監視装置８−１〜８−４が管理する管理対象装置の通信ログ情報を、各システム監視装置８−１〜８−４から受け取り、これら各通信ログ情報を各システム監視装置８−１〜８−４毎に保持するものである。
【００６７】
また、情報統合データベース部１０４が保持する各他トラフィック監視装置４−１〜４−４の観測情報、各システム監視装置８−１〜８−４の通信ログ情報は、統合解析部１０２に与えられる。
【００６８】
図４に戻り、管理者端末７は、第１の実施形態のネットワーク監視システム６の管理者が操作する端末であり、例えばパーソナルコンピュータ等の情報処理装置が該当する。管理者端末７は、管理者の操作を受けて、監視対象の設定情報を取り込み、その監視対象の設定情報をマネージャ装置１に与えたり、又、管理者の操作を受けて、マネージャ装置１と連携して、所定の加工処理されたトラフィックフロー統計結果を表示するものである。
【００６９】
（Ａ−２）第１の実施形態の動作
次に、第１の実施形態のネットワーク監視システム６において、ネットワークトラフィックの監視条件を自動的に追加し、ネットワークを監視する処理動作を図面を参照しながら説明する。
【００７０】
図１において、まず、収集プローブ装置２において、中継装置５を通過する全てのパケットが取得され、全パケットのパケット情報を保持し、所定の収集条件に該当するトラフィックフロー統計情報が計測される。そして、収集プローブ装置２において、計測されたトラフィックフロー統計情報は、所定の時間間隔毎にマネージャ装置１に送信される（ステップＳ１）。
【００７１】
以上の処理は、ネットワーク監視システム６の基本的なネットワーク監視処理の流れである。これにより、マネージャ装置１は、全ての収集プローブ装置２から収集したトラフィックフロー統計情報を基にして、所定の加工処理を施して集約した集計結果を得て、その集計結果を管理者端末７に出力させることができる。
【００７２】
その後、ネットワーク９−１〜９−４のいずれかで何らかの異常が発生したとする。
【００７３】
この場合、管理者の操作を受けて、他トラフィック監視装置４−１〜４−４、システム監視装置８−１〜８−４で観測した観測結果を取得すべき旨の指示情報が、管理者端末７からマネージャ装置１の観測情報設定部１０１に対して通知される（ステップＳ２）。
【００７４】
このとき、管理者端末７からの指示情報としては、取得すべき情報項目（例えば、送信元ＩＰアドレス、送信先ＩＰアドレス、送信元ポート番号、送信先ポート番号、ＶＬＡＮ番号、監視開始時刻、監視終了時刻等の全部又は一部の項目）が指定される。
【００７５】
そうすると、観測情報設定部は、他トラフィック監視装置４、システム監視装置８に対して、観測情報の要求を行なう（ステップＳ３）。このとき、管理者端末７から指示された情報項目も同時に通知する。
【００７６】
マネージャ装置１の観測情報設定部１０１から観測情報の要求を受けると、他トラフィック監視装置４、システム監視装置８では、指定された観測情報が読み出され、指定された観測情報がマネージャ装置１に送信される（ステップＳ４）。
【００７７】
他トラフィック監視装置４、システム監視装置８からの観測情報は、マネージャ装置１の情報統合データベース部１０４に保持され、情報統合データベース部１０４に保持される観測情報が統合解析部１０２に与えられる（ステップＳ５）。
【００７８】
統合解析部１０２では、情報統合データベース部１０４に保持される各観測情報を用いて、所定の集約方法に従って所定のトラフィック量が求められ、求められたトラフィック量が、出力制御部１０３の制御の下、管理者端末７の表示部に出力表示される（ステップＳ６、Ｓ７）。
【００７９】
以下では、例えば、各ネットワーク９−２〜９−４でそれぞれ異なるネットワーク監視方式を行なっている場合に、マネージャ装置１が他ネットワーク監視装置４−２〜４−４と連携して統合的な集約解析を行なう場合の例を、図７及び図８を参照して説明する。
【００８０】
図７は、セグメントＣ上で発生したある通信のトラフィック量の時系列変化を示す説明図である。図８は、統合解析部１０２により解析された解析結果を示す説明図である。
【００８１】
例えば、セグメントＡのトラフィック監視装置４−２は、ネットワーク９−２上を流れるパケットを収集してネットワークトラフィックを監視する方法であるとする。
【００８２】
また、セグメントＢのトラフィック監視装置４−３は、ルータやスイッチ等の中継装置からＳＮＭＰを用いてネットワークトラフィックを監視する方法であるとする。
【００８３】
さらに、セグメントＣのトラフィック監視装置４−４は、ルータやスイッチ等の中継装置からｓＦｌｏｗ、ＲＭＯＮを利用してネットワークトラフィックを監視する方法であるとする。
【００８４】
そして、例えば、セグメントＣ上で、ワームや不正通信等の異常トラフィックを検知した場合、他のセグメントに影響を与える場合がある。そこで、セグメントＣで生じた異常を示す、送信元ＩＰアドレス、送信先ＩＰアドレス、送信元ポート番号、送信先ポート番号、ＶＬＡＮ番号、時刻情報等を基にして、他のセグメントのトラフィック量を解析する。
【００８５】
なお、以下では、ある通信のトラフィック量の時系列変化を解析する場合を例示するが、解析方法はこれに限定されない。
【００８６】
図７において、セグメントＣで、ある通信のトラフィック量の異常は、例えば、３／１の１２：００付近で生じたものとする。
【００８７】
そこで、ある特定の時間帯（図７では、３／１の１２：００付近）にトラフィック量が急激に増大している場合、例えば３／１の１２：００を監視開始時刻を時間条件とし、トラフィック異常を引き起こす情報（例えば、送信元ＩＰアドレス、送信先ＩＰアドレス、送信元ポート番号、送信先ポート番号、ＶＬＡＮ番号等）を監視条件として、管理者端末７は、マネージャ装置１の観測情報設定部１０１に対して指示情報を通知する。
【００８８】
その後、マネージャ装置１の観測情報設定部１０１は、セグメントＡ（ネットワーク９−２）の他トラフィック監視装置４−２とセグメントＢ（ネットワーク９−３）の他トラフィック監視装置４−３とに対して、観測情報を要求する。
【００８９】
これを受けて、セグメントＡ（ネットワーク９−２）及びセグメントＢ（ネットワーク９−３）の他トラフィック監視装置４−２及び４−３から所望の観測情報が、マネージャ装置１に送信される。
【００９０】
他トラフィック監視装置４−２及び４−３からの観測情報がマネージャ装置１の情報統合データベース部１０４に与えられると、マネージャ装置１の統合解析部１０２は、監視条件に該当するトラフィック量の時系列変化を各セグメント毎に解析する。
【００９１】
つまり、統合解析部１０２は、まず、セグメントＢ（ネットワーク９−３）の他トラフィック監視装置４−３からの観測情報に基づいて、所定の単位時間毎のトラフィック量を求め、そのトラフィック量に基づいて時系列変化を求める。
【００９２】
次に、統合解析部１０２は、セグメントＡ（ネットワーク９−２）の他トラフィック監視装置４−２からの観測情報に基づいて、所定の単位時間毎のトラフィック量を求め、そのトラフィック量に基づいて時系列変化を求める。
【００９３】
そして、これらセグメント毎のトラフィック量の時系列変化を、比較可能な状態、例えば、図８（Ａ）に示すように、両者のトラフィック量の時系列変化の様子を重ね合わせた状態で、管理者端末７に出力表示する。
【００９４】
さらに、図８（Ｂ）に示しように、セグメントＣでのトラフィック量の時系列変化も、セグメントＡ及びセグメントＢのトラフィック量の時系列変化を重ね合わせた結果に、重ね合わせて、管理者端末７に出力表示する。
【００９５】
図８（Ｂ）より、異常発生が生じたセグメントＣと隣接するセグメントＢでは、異常発発生時刻から約６時間遅れの３／１の１８：００付近で、セグメントＣで生じたトラフィック量の異常を識別する特徴に近似する特徴の異常が発生していることがわかる。
【００９６】
さらに、図８（Ｂ）より、セグメントＢに隣接するセグメントＡにおいても、さらに時間経過後に、セグメントＣで生じたトラフィック量の異常を識別する特徴と近似する特徴の異常が発生していることがわかる。
【００９７】
（Ａ−３）第１の実施形態の効果
以上のように、第１の実施形態によれば、マネージャ装置が、他のネットワーク上の他の監視システムと連携することにより、他の監視システムが管理する情報を収集し、他の監視システムの管理情報を統合して解析することができる。その結果、各監視システムによる障害・事象解析を不要とすることができる。
【００９８】
また、例えば、ＳＮＭＰを用いた監視システム等はＩＰ網に接続されているシステム監視対象とするが、第１の実施形態によれば、アプリケーションサーバ等を監視するシステム監視装置からの管理情報も収集して統合解析するので、ネットワークトラフィック監視だけでなく、例えば、Ｗｅｂサーバの状態や、入管システムの記録情報、ネットワーク接続機器の稼動情報等の情報も同時に監視することができる。
【００９９】
（Ｂ）他の実施形態
（Ｂ−１）第１の実施形態では、１つのネットワークで１台のマネージャ装置を備える場合を示したが、複数台のマネージャ装置を備えるようにしてもよい。この場合、複数台のマネージャ装置をさらに統括する統括管理装置を備えるようにしてもよい。
【０１００】
また、１台の観測プローブ装置が、複数の中継装置を通過するトラフィックフローを観測するようにしてもよい。この場合、観測プローブ装置が、どのルータを通過したトラフィックフローの統計情報であるかを識別する必要がある。
【０１０１】
（Ｂ−２）第１の実施形態で説明した収集プローブ装置が有する各機能部は、物理的に同一の収集プローブ装置に搭載されていなくてもよい。つまり、各機能部間で連携処理を図ることができ、第１の実施形態で説明した機能を実現することができれば、各機能部は別々に分散配置されてもよい。同様に、第１の実施形態のマネージャ装置が有する各機能部も、別々に分散配置されてもよい。
【０１０２】
また、マネージャ装置が、収集プローブ装置の機能部の一部又は全部を有するようにしてもよいし、収集プローブ装置が、マネージャ装置の機能部の一部又は全部を有するようにしてもよい。
【０１０３】
さらに、中継装置が、収集プローブ装置の有する機能部の一部又は全部を搭載するようにしてもよいし、マネージャ装置の有する機能部の一部又は全部を搭載するようにしてもよい。また、中継装置が、収集プローブ装置の機能部の一部又は全部と、マネージャ装置の機能部の一部又は全部を搭載するようにしてもよい。
【０１０４】
（Ｂ−３）第１の実施形態では、マネージャ装置１は、全ての収集プローブ装置２の監視対象の設定情報を共通に管理する場合を示した。しかし、マネージャ装置１が、監視対象の設定情報を、１又は複数の収集プローブ装置２毎に管理するようにしてもよい。
【０１０５】
（Ｂ−４）観測情報設定部は、管理者端末から指示を受けた場合に限らず、他の監視システムから、障害やウィルスなどの検知情報を受け取った場合、この検知情報に基づいて観測情報の要求を行なうようにしても良い。また、所定の時間間隔ごとに、観測情報の要求を行うようにしてもよい。
【０１０６】
（Ｂ−５）第１の実施形態で説明した収集プローブ装置及びマネージャ装置は、ハードウェア資源（例えばＣＰＵ等）がプログラムを実行して実現するソフトウェア処理で実現できる。つまり、収集プローブ装置及びマネージャ装置の各種機能はプログラムとして格納されるものである。なお、収集プローブ装置及びマネージャ装置の処理をハードウェアで実現するようにしてもよい。
【図面の簡単な説明】
【０１０７】
【図１】第１の実施形態のマネージャ装置の内部構成を示すブロック図である。
【図２】従来のネットワーク監視システムを説明する説明図である（その１）。
【図３】従来のネットワーク監視システムを説明する説明図である（その２）。
【図４】第１の実施形態のネットワーク監視システムの全体構成を示す構成図である。
【図５】第１の実施形態の収集プローブ装置の内部構成を示す機能ブロック図である。
【図６】第１の実施形態の観測情報の情報項目例を説明する説明図である（その１）。
【図７】第１の実施形態において、セグメントＣ上でのトラフィック量の時系列変化を示す説明図である。
【図８】第１の実施形態における統合解析結果を示す説明図である。
【図９】第１の実施形態の観測情報の情報項目例を説明する説明図である（その２）。
【符号の説明】
【０１０８】
１…マネージャ装置、２…収集プローブ装置、４−１〜４−４…他トラフィック監視装置、５−１〜５−２…中継装置、６…ネットワーク監視システム、７…管理者端末、８−１〜８−４…システム監視装置、９−１〜９−４…ネットワーク、１０１…観測情報設定部、１０２…統合解析部、１０３…出力制御部、１０４…情報統合データベース部。
【図１】
2008244640.tif 000003
【図２】
2008244640.tif 000004
【図３】
2008244640.tif 000005
【図４】
2008244640.tif 000006
【図５】
2008244640.tif 000007
【図６】
2008244640.tif 000008
【図７】
2008244640.tif 000009
【図８】
2008244640.tif 000010
【図９】
2008244640.tif 000011