(57)【要約】【課題】負荷分散の際に収集するパケットに関して取りこぼしが発生せず、且つＴＣＰによる一連のパケットを複数台に跨ることなく一台のパケット収集分析装置で収集分析することができる通信ネットワークにおけるパケット収集の負荷分散方法及びその装置を提供すること。【解決手段】パケット収集分析装置２０１〜２０ｎに、パケットを判別するルール２１１〜２１ｎを設定する。それぞれの装置に設定するルールはそれぞれ排他的な内容とし、且つネットワーク１３を流れるパケットは設定されたルールの何れか１つに必ずマッチするように設定する。このようにして、パケットは必ずパケット収集分析装置２０１〜２１ｎの何れか１台で収集分析されるように構成したことにある。【選択図】　図１
2004064694.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク上を流れるパケットを、ルールを設定したパケット収集分析装置で収集し且つ前記ルールに基づいて分析することを特徴とする通信ネットワークにおけるパケット収集の負荷分散方法。
【請求項２】
前記パケットは、該パケットの識別子情報と前記ルールとによって、前記パケット収集分析装置の何れか一台のみに収集分析されることを特徴とする請求項１記載の通信ネットワークにおけるパケット収集の負荷分散方法。
【請求項３】
前記パケットの識別子情報と前記ルールとによって、一つのＴＣＰコネクションで用いられる複数のパケットは、全て特定の一台のパケット収集分析装置に収集分析されることを特徴とする請求項１記載の通信ネットワークにおけるパケット収集の負荷分散方法。
【請求項４】
前記パケット収集分析装置は、ネットワーク侵入検知システムであることを特徴とする請求項１乃至請求項３のいずれか一に記載の通信ネットワークにおけるパケット収集の負荷分散方法。
【請求項５】
前記ネットワーク侵入検知システムは、パケット受信部とルールとルール判別部と不正侵入検知部とから構成されることを特徴とする請求項４記載の通信ネットワークにおけるパケット収集の負荷分散方法。
【請求項６】
前記ルールは、送信元ＩＰアドレスと送信先ＩＰアドレスとによって設定されていることを特徴とする請求項１または請求項２または請求項３または請求項５記載の通信ネットワークにおけるパケット収集の負荷分散方法。
【請求項７】
前記ルールは、送信元ＩＰアドレスと送信先ＩＰアドレスと送信元ポートと送信先ポートとにより設定されていることを特徴とする請求項１または請求項２または請求項３または請求項５記載の通信ネットワークにおけるパケット収集の負荷分散方法。
【請求項８】
前記ルールを前記パケット収集分析装置から独立してルール判別装置として前記パケット収集分析装置の前段に設置してルール判別を行なうように構成したことを特徴とする請求項１記載の通信ネットワークにおけるパケット収集の負荷分散方法。
【請求項９】
ネットワークに接続し、該ネットワーク上を流れるパケットを収集分析するパケット収集分析装置であって、該パケット収集分析装置はネットワーク侵入検知システムであることを特徴とする通信ネットワークにおけるパケット収集の負荷分散装置。
【請求項１０】
前記ネットワーク侵入検知システムは、パケット受信部と、ルール判定部と、不正侵入検知部と、ルールとから構成され、前記パケット受信部で受信した前記パケットは、該パケットの識別子情報と前記ルールとにより前記ルール判別部で判別され、前記ルールに一致する場合には前記パケットを前記不正侵入検知部に渡し、前記ルールに一致しない場合には前記パケットを破棄するように構成して成ることを特徴とする請求項９記載の通信ネットワークにおけるパケット収集の負荷分散装置。
【請求項１１】
前記ルールは、送信元ＩＰアドレスと送信先ＩＰアドレス、又は前記送信元ＩＰアドレスと前記送信先ＩＰアドレストと送信元ポートと送信先ポートとにより設定されていることを特徴とする請求項９または請求項１０記載の通信ネットワークにおけるパケット収集の負荷分散装置。
【請求項１２】
ネットワーク上を流れるパケットを、ルールを設定したパケット収集分析装置で収集し且つ前記ルールに基づいて分析する通信ネットワークにおけるパケット収集の負荷分散方法をコンピュータで実行するためのプログラム。
【請求項１３】
ネットワーク上を流れるパケットを、ルールを設定したパケット収集分析装置で収集し且つ前記ルールに基づいて分析する通信ネットワークにおけるパケット収集の負荷分散方法をコンピュータで実行するためのプログラムを記録したコンピュータ読み取り可能な記録媒体。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、通信ネットワークにおけるパケット収集の負荷分散方法及びその装置に関するものである。更に詳述すれば本発明は、負荷分散の際に収集するパケットに関して取りこぼしが発生せず、且つＴＣＰによる一連のパケットを複数台に跨ることなく一台のパケット収集分析装置で収集することができる通信ネットワークにおけるパケット収集の負荷分散方法及びその装置に関するものである。
【０００２】
【従来の技術】
インターネット等の通信ネットワーク内の通信状況を把握する手段として、ネットワーク内を流れているパケットを収集分析する手法が広く用いられている。従来、この手法はネットワーク内のトラフィックを調べるために用いられてきたが、近年、インターネットを介した不正な侵入が増えてくるに従い、収集したパケットを詳しく分析することにより不正な侵入を検知し、利用者に通知を行なうネットワーク侵入検知システムＮＩＤＳ（Ｎｅｔｗｏｒｋ　Ｉｎｔｒｕｓｉｏｎ　Ｄｅｔｅｃｔｉｏｎ　Ｓｙｓｔｅｍ）が利用されるようになってきた。
【０００３】
一方で、ネットワークの速度は年々高速化されており、基幹ネットワークにおいてはＧｂ（ギガビット）／ｓのオーダのネットワークが利用されることが多くなってきた。このような高速ネットワークにおいては、パケットの収集分析システムの処理能力の問題で、ネットワークを流れるすべてのパケットを収集して分析することが非常に困難になっている。
【０００４】
高速ネットワークのトラフィックを測定する際には、受信パケットを一定の割合で間引いて収集分析を行なうことで、分析結果より実トラフィックを推定することが可能であるが、ネットワーク侵入検知システムＮＩＤＳでは、受信パケットを間引くことで不正な侵入を見逃すことになりかねず、又ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ　Ｃｏｎｔｒｏｌ　Ｐｒｏｒｏｃｏｌ）での一連の通信に於いては、通信で用いられている複数のパケットより通信を復元して、不正な通信かどうかを検知するので、高速なネットワークにおいても全てのパケットを受信して分析する必要がある。
【０００５】
高速なネットワークにおいて、処理能力が十分ではないパケット収集分析装置を用いて全てのパケットを収集分析する解決策として、複数台のパケット収集分析装置をネットワークに接続して、パケット収集分析処理を負荷分散する方法がある。この方法では、ネットワークを流れるパケットを、複数台のパケット収集分析装置の内の何れか一台で処理を行なえば良いため、一台当たり−が処理するパケット数を減らすことができる。
【０００６】
上記の負荷分散に関連して、特開２０００−２９３４９６号公報には、（１）ネットワーク上で各種サービスを提供しているサーバの負荷を分散する、（２）ネットワーク上において各種サービスを効率良く提供する、という目的を達成するために以下の手段が開示されている。
【０００７】
第１の手段は、同種のサービス提供サーバが複数登録されたサービス提供サイトが端末からの求めに応じてサービス情報を提供するネットワークにおいて、前記サービス提供サーバの負荷を分散する装置であって、各サービス提供サーバの負荷状況を検出する負荷分散処理部と、サービス提供サーバの各ＩＰアドレスをサービス提供サイトのドメイン名に対応させて記憶するデータベースを備え、端末からドメイン名を指定してサービス情報の提供要求が受信されると、前記負荷分散処理部によって検出された各サービス提供サーバの負荷状況に基づいて、負荷が軽い方のサービス提供サーバのＩＰアドレスを当該端末に通知するＩＰアドレス通知手段である。
【０００８】
第２の手段は、上記第１の手段において、負荷分散処理部とＩＰアドレス通知手段とを各サービス提供サーバが接続されるルータ上に設け、かつ、サービス提供サーバのルータへの接続を検出すると、各サービス提供サーバに自動的にＩＰアドレスを割り当てた後、このＩＰアドレスをＩＰアドレス通知手段に通知するＩＰアドレス割当手段を備え、前記ＩＰアドレス通知手段は、このＩＰアドレス割当手段から通知されたＩＰアドレスを前記データベースに登録するという手段である。
【０００９】
そして、特開２００１−３４４２２７号公報には、ネットワーク内に分散している複数のリソース情報を階層的に監視し、リソース情報データベースを分散することと、ネットワーク内に分散している複数のリソース情報を監視する際の監視トラフィックを軽減することを目的として以下の手段が開示されている。
【００１０】
ネットワーク内に分散している複数のリソース情報を収集する階層型リソース監視システムであり、統括管理ステーションと、該統括管理ステーションにネットワークで接続された複数の分散管理ステーションを備え、前記各ステーションのそれぞれは、複数の管理ノードと、リソース情報データベースが接続され、設定された管理項目にしたがい該管理ノードからリソース情報を収集して該リソース情報データベースに格納するリソース情報収集手段と、ステーション間でのリソース情報の転送を行うリソース情報転送手段を備え、前記統括管理ステーションは、管理構成データベースが接続され、該管理構成データベースから各ステーションごとの管理項目を取得し、他のステーションに管理項目を転送し、自ステーションの前記リソース情報収集手段に管理項目を設定する統括管理構成制御手段を備え、前記分散管理ステーションは、統括管理構成制御手段から転送された管理項目を前記リソース情報収集手段に設定する分散管理構成制御手段を備えるようにしている。また、前記リソース情報転送手段は、他のステーションにリソース情報を要求して取得し、他のステーションからリソース情報の要求を受けたときリソース情報データベースを検索して要求されたリソース情報を該他のステーションに転送するようにしている。また、前記分散管理ステーションは、管理項目定義ファイルが接続され、前記分散管理構成制御手段は、前記統括管理構成制御手段から転送された管理項目を該管理項目定義ファイルに格納するようにしている。また、前記分散管理構成制御手段は、分散管理ステーションにおける管理項目が変更された場合、変更内容を前記統括管理構成制御手段に通知し、該統括管理構成制御手段は通知された変更内容を前記管理構成データベースに格納するようにしている。また、前記リソース情報転送手段は、他のステーションからリソース情報の要求に応じて、管理ノードの限定、リソースの種類の限定、リソース収集期間の限定、月平均または、週平均または、日平均による集約を行ってリソース情報を取得し、転送するようにしている。
【００１１】
又、特開２００２−９１９３６号公報には、サーバへのアクセス集中が突発的に発生した場合においても適切な負荷分散を実現でき、かつ、サーバ・システム全体を高い性能に保つことができる動的負荷分散を実現する負荷分散装置及び方法を実現すること、を目的として以下の手段が提供されている。
【００１２】
１）負荷分散装置において、クライアントからのサービス要求パケットのパケット・ヘッダを分析し、当該サービス要求パケットの要求内容に基づいてサーバで実行される処理負荷の大きさを負荷評価値として見積もる手段と、サーバ毎に過去一定時間における振り分けられたサービス要求パケットの負荷評価値の累計値を負荷状態値として保持する手段と、前記負荷状態値をもとにサービス要求を振り分けるサーバを決定する手段を提供する。
【００１３】
２）負荷分散装置において、クライアントからのサービス要求パケットのパケット・ヘッダより、要求するサービスの種類、要求するコンテンツ・データのサイズ、要求するコンテンツ・データを生成するための実行プログラムのうち、少なくとも一つを識別する手段と、これらの情報によりサーバで実行される処理負荷の大きさを負荷評価値として見積もる手段を提供する。
【００１４】
３）前記２）の負荷見積もりを実現するために、サーバ・システム稼動前、もしくは予備システムにおいて、サーバが提供可能な全サービス、全コンテンツ・データのアクセス要求を各サーバに対して行う手段と、前記要求に対する応答時間を測定する手段と、前記要求に基づいて各サーバが処理を実行する際のＣＰＵ負荷を測定する手段と、前記応答時間、ＣＰＵ負荷、及び、応答データのサイズにより、サービス要求データが各サーバに与える負荷の大きさを示す負荷評価値を求めるためのデータを生成する手段を提供する。
【００１５】
【発明が解決しようとする課題】
従来の技術には、以下に説明する問題点があった。
【００１６】
上記の開示されている手段・方法では、パケット収集を負荷分散する際に必要な次の条件を満たすものがなかった。
【００１７】
第一の条件は、負荷分散の際に、収集するパケットの取りこぼしが発生しないようにする必要があるという点である。それぞれのパケット収集分析装置が単純にパケットを間引いて収集するだけでは、パケットの取りこぼしが発生してしまう。更に、複数のパケット収集分析装置で二重に収集を行なってしまうということが発生するため、何らかの方法で複数のパケット収集分析装置が排他的にパケット収集を行なうように構成する必要がある。
第二の条件は、ＴＣＰ等、複数のパケットで一連の通信を実現している場合、それらのパケットは一台のパケット収集分析装置で処理する必要があるという点である。ＴＣＰによる一連の通信が複数のパケット収集分析装置に跨って収集されると、通信を復元することができず、不正侵入の検出等の処理が困難になってしまい問題である。
【００１８】
本発明は、以上の従来技術における問題点を鑑みてなされたものであって、その目的とするところは、上記の２つの条件を満たすパケット収集分析処理の負荷分散方法、つまり負荷分散の際に収集するパケットに関して取りこぼしが発生せず、且つＴＣＰによる一連のパケットを複数台に跨ることなく一台のパケット収集分析装置で収集することができる通信ネットワークにおけるパケット収集の負荷分散方法及びその装置を提供することにある。
【００１９】
【課題を解決するための手段】
前記課題を解決する本出願第一の発明の通信ネットワークにおけるパケット収集の負荷分散方法は、ネットワーク上を流れるパケットを、ルールを設定したパケット収集分析装置で収集し且つ前記ルールに基づいて分析することを特徴とするものである。
【００２０】
従って以上の本出願第一の発明の通信ネットワークにおけるパケット収集の負荷分散方法によれば、負荷分散の際に収集するパケットに関して取りこぼしが発生せず、且つＴＣＰによる一連のパケットを複数台に跨ることなく一台のパケット収集分析装置で収集することが可能となる。
【００２１】
前記課題を解決する本出願第二の発明の通信ネットワークにおけるパケット収集の負荷分散方法は、本出願第一の発明の通信ネットワークにおけるパケット収集の負荷分散方法に於いて、前記パケットは、該パケットの識別子情報と前記ルールとによって、前記パケット収集分析装置の何れか一台のみに収集分析されることを特徴とするものである。
【００２２】
従って以上の本出願第二の発明の通信ネットワークにおけるパケット収集の負荷分散方法によれば、負荷分散の際に収集するパケットに関して取りこぼしが発生せず、然も重複してパケットを収集することがない。
【００２３】
前記課題を解決する本出願第三の発明の通信ネットワークにおけるパケット収集の負荷分散方法は、本出願第一の発明の通信ネットワークにおけるパケット収集の負荷分散方法高速演算器に於いて、前記パケットの識別子情報と前記ルールとによって、一つのＴＣＰコネクションで用いられる複数のパケットは、全て、特定の一台のパケット収集分析装置に収集分析されることを特徴とするものである。
【００２４】
従って以上の本出願第三の発明の通信ネットワークにおけるパケット収集の負荷分散方法によれば、ＴＣＰによる一連のパケットを複数台に跨ることなく一台のパケット収集分析装置で収集することが可能となる。
【００２５】
前記課題を解決する本出願第四の発明の通信ネットワークにおけるパケット収集の負荷分散方法は、本出願第一乃至第三の発明の通信ネットワークにおけるパケット収集の負荷分散方法に於いて、前記パケット収集分析装置は、ネットワーク侵入検知システムであることを特徴とするものである。
【００２６】
従って以上の本出願第四の発明の通信ネットワークにおけるパケット収集の負荷分散方法によれば、収集したパケットを分析することにより、ネットワークへの不正侵入を検知することができる。
【００２７】
前記課題を解決する本出願第五の発明の通信ネットワークにおけるパケット収集の負荷分散方法は、本出願第四の発明の通信ネットワークにおけるパケット収集の負荷分散方法に於いて、前記ネットワーク侵入検知システムは、パケット受信部とルールとルール判別部と不正侵入検知部とから構成されることを特徴とするものである。
【００２８】
従って以上の本出願第五の発明の通信ネットワークにおけるパケット収集の負荷分散方法によれば、収集したパケットをルールに従って判別でき、ルールにマッチしたパケットだけを不正侵入検知部で検知することが可能となる。
【００２９】
前記課題を解決する本出願第六の発明の通信ネットワークにおけるパケット収集の負荷分散方法は、本出願第一乃至第三及び第五の発明の通信ネットワークにおけるパケット収集の負荷分散方法に於いて、前記ルールは、送信元ＩＰアドレスと、送信先ＩＰアドレスとによって設定されていることを特徴とするものである。
【００３０】
従って以上の本出願第六の発明の通信ネットワークにおけるパケット収集の負荷分散方法によれば、負荷分散の際に収集するパケットに関して取りこぼしが発生せず、且つＴＣＰによる一連のパケットを複数台に跨ることなく一台のパケット収集分析装置で収集することが可能となる。
【００３１】
前記課題を解決する本出願第七の発明の通信ネットワークにおけるパケット収集の負荷分散方法は、本出願第一乃至第三及び第五の発明の通信ネットワークにおけるパケット収集の負荷分散方法に於いて、前記ルールは、送信元ＩＰアドレスと送信先ＩＰアドレスと送信元ポートと送信先ポートとにより設定されていることを特徴とするものである。
【００３２】
従って以上の本出願第七の発明の通信ネットワークにおけるパケット収集の負荷分散方法によれば、特定のホストに通信が集中するようなネットワークで、特定のホストの通信を負荷分散して、パケットの収集分析を行なうことが可能となる。
【００３３】
前記課題を解決する本出願第八の発明の通信ネットワークにおけるパケット収集の負荷分散方法は、本出願第一の発明の通信ネットワークにおけるパケット収集の負荷分散方法に於いて、前記ルールを前記パケット収集分析装置から独立してルール判別装置として前記パケット収集分析装置の前段に設置してルール判別を行なうようにしたことを特徴とするするものである。
【００３４】
従って以上の本出願第八の発明の通信ネットワークにおけるパケット収集の負荷分散方法によれば、既存のパケット収集分析システムの構成を大幅に変更することなく、パケットの収集分析処理を行なうことが可能となる。
【００３５】
前記課題を解決する本出願第九の発明の通信ネットワークにおけるパケット収集の負荷分散装置は、ネットワークに接続し、該ネットワーク上を流れるパケットを収集分析するパケット収集分析装置であって、該パケット収集分析装置はネットワーク侵入検知システムであることを特徴とするものである。
【００３６】
従って以上の本出願第九の発明の通信ネットワークにおけるパケット収集の負荷分散装置によれば、ネットワーク上を流れるパケットをネットワーク侵入検知システムで収集分析することが可能となる。
【００３７】
前記課題を解決する本出願第十の発明の通信ネットワークにおけるパケット収集の負荷分散装置は、本出願第九の発明の通信ネットワークにおけるパケット収集の負荷分散装置に於いて、前記ネットワーク侵入検知システムは、パケット受信部と、ルール判定部と、不正侵入検知部と、ルールとから構成され、前記パケット受信部で受信した前記パケットは、該パケットの識別子情報と前記ルールとにより前記ルール判別部で判別され、前記ルールに一致する場合には前記パケットを前記不正侵入検知部に渡し、前記ルールに一致しない場合には前記パケットを破棄するように構成したことを特徴とするものである。
【００３８】
従って以上の本出願第十の発明の通信ネットワークにおけるパケット収集の負荷分散装置によれは、負荷分散の際に収集するパケットに関して取りこぼしが発生せず、且つＴＣＰによる一連のパケットを複数台に跨ることなく一台のネットワーク侵入検知ッシステムで収集することが可能となる。
【００３９】
前記課題を解決する本出願第十一の発明の通信ネットワークにおけるパケット収集の負荷分散装置は、本出願第九の発明の通信ネットワークにおけるパケット収集の負荷分散装置に於いて、前記ルールは、送信元ＩＰアドレスと送信先ＩＰアドレス、又は前記送信元ＩＰアドレスと前記送信先ＩＰアドレストと送信元ポートと送信先ポートとにより設定されていることを特徴とするものである。
【００４０】
従って以上の本出願第十一の通信ネットワークにおけるパケット収集の負荷分散装置によれば、特定のホストに通信が集中するようなネットワークで、特定のホストの通信を負荷分散して、且つ既存のパケット収集分析システムの構成を大幅に変更することなく、パケットの収集分析処理を行なうことが可能となる。
【００４１】
本出願第十二の発明の通信ネットワークにおけるパケット収集の負荷分散方法をコンピュータで実行するためのプログラムは、ネットワーク上を流れるパケットを、ルールを設定したパケット収集分析装置で収集し且つ前記ルールに基づいて分析する通信ネットワークにおけるパケット収集の負荷分散方法を実行可能にしたので、本出願の発明の通信ネットワークにおけるパケット収集の負荷分散方法を効率良くコンピュータで実行することができる。
【００４２】
本出願第十三の発明の通信ネットワークにおけるパケット収集の負荷分散方法をコンピュータで実行するためのプログラムを記録したコンピュータ読み取り可能な記録媒体は、ネットワーク上を流れるパケットを、ルールを設定したパケット収集分析装置で収集し且つ前記ルールに基づいて分析する通信ネットワークにおけるパケット収集の負荷分散方法をコンピュータで実行するためのプログラムをコンピュータに読み取り効率良く実行することができる。
【００４３】
【発明の実施の形態】
本発明の実施の形態を説明する。本発明の通信ネットワークにおけるパケット収集の負荷分散方法は、インターネットなどパケットを用いた通信ネットワークで利用されるネットワークトラフィック測定システムやネットワーク侵入検知システムなどにおける通信パケットの収集動作において、パケットに含まれている識別子情報を用いて、あらかじめ決めておいたルールに従って、パケットのグループ化を行ない、それぞれ異なるグループのパケットのみを収集する装置を複数台設置することで、パケット収集処理の負荷分散を行ない、高速なネットワークにおいてもパケットを取りこぼさずにパケットの収集を可能にする方式を提供するものである。
【００４４】
図１は、本発明の通信ネットワークにおけるパケット収集の負荷分散方法及びその装置の、実施の形態を示す概略構成図である。インターネット１１と内部ネットワーク１２とは、ルータ１０１とルータ１０２とを介してネットワーク１３で接続されている。
【００４５】
ネットワーク１３を流れるパケットの収集は、複数台のパケット収集分析装置２０１〜２０ｎで行なう。パケット収集分析装置２０１〜２０ｎには、予めパケット収集の際に用いるルール２１１〜２１ｎが設定されている。ルール２１１〜２１ｎは、通信パケットのグループ化に用い、パケットに記録されている識別子によって、パケットはルール２１１〜２１ｎのどれか一つに必ず分類されるように、又一連の通信で用いられる複数のパケットは同じグループに分類されるように、適宜設定されている。
【００４６】
パケット収集分析装置２０１〜２０ｎは、ネットワーク１３を流れるパケットを一旦受信し、受信したパケットがパケット収集分析装置に設定されているルール２１１〜２１ｎを満たしているかどうかを調べる。ルールを満たしている場合は、受信したパケットの収集分析処理を行なうが、ルールを満たしていない場合は、受信したパケットを破棄する。
【００４７】
受信したパケットは、ルール２１１〜２１ｎの内の何れか一つを必ず満たすように設定されているため、受信したパケットを収集分析するのは、常にパケット収集分析装置２０１〜２０ｎの内の何れか一台になる。これにより、パケット収集処理の負荷分散が可能になる。
【００４８】
【実施例】
図２は、本発明の通信ネットワークにおけるパケット収集の負荷分散方法の第一実施例を示す概略構成図である。第一実施例は、インターネット１１と内部ネットワーク１２とを接続するネットワーク１３上を流れるＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）パケットを収集して、インターネットからの不正な侵入を検知する構成例であり、インターネット１１とネットワーク１３とを接続するルータ１０１と、ネットワーク１３と内部ネットワーク１２とを接続するルータ１０２と、ネットワーク１３を流れるパケットを収集して不正な侵入を検知するネットワーク侵入検知システム２０１’〜２０ｎ’とから構成されている。尚、ネットワーク侵入検知システム２０１’〜２０ｎ’は、ルータ１０１とルータ１０２の間を流れるパケットが全て受信できるようにネットワーク１３に接続されている。
【００４９】
図３は、ネットワーク侵入検知システム２０１’〜２０ｎ’単体の概略内部構成図である。パケット受信部２２ｎはネットワーク１３を流れるパケットを受信して、その後に受信パケットをルール判別部２３ｎに渡す。ルール判別部２３ｎはパケット受信部２２ｎより受信パケットを受け取り、受信パケットに含まれる識別子がルール２１ｎを満たしているかどうかを判別し、ルールを満たしたパケットのみを不正侵入検知部２４ｎに渡す。不正侵入検知部２４ｎはルール判別部２３ｎより受け取ったパケットを分析し、不正侵入を検知する。尚、不正侵入検知部２４ｎは、従来のネットワーク侵入検知システムと同等の構成のものである。
【００５０】
次に、図２および図３を参照して本実施例の全体の動作について詳細に説明する。まず、図２において、インターネット１１と内部ネットワーク１２との間の通信が発生すると、ルータ１０１とルータ１０２とを介してネットワーク１３にパケットが流れ、そのパケットデータはネットワーク侵入検知システム２０１’〜２０ｎ’の全てにおいて受信される。ネットワーク侵入検知システム２０１’〜２０ｎ’は、設定されているルール２１１〜２１ｎの内容以外は全て同じ構成であるので、以降、図３を参照して、ネットワーク侵入検知システム２０ｎ’の動作について説明する。
【００５１】
図３において、ネットワーク侵入検知システム２０ｎ’に受信されたパケットデータは、まずパケット受信部２２ｎに入力され、パケットデータをそのままルール判別部２３ｎに渡す。ルール判別部２３ｎでは、パケット受信部２２ｎよりパケットデータを受け取ると、ルール２１ｎを参照して、パケットデータに含まれている識別子がルール２１ｎに設定されているルールとマッチしているかどうかを判別する。ルール２１ｎには複数のルール（サブルール）を設定することが可能であり、複数のサブルールが設定されている場合は、ルール判別部２３ｎは複数のサブルールの内の何れか一つのサブルールにパケットデータの識別子が一致しているかどうかを判別する。
【００５２】
ルール判別部２３ｎは、ルール判別を行ない、パケットデータがルール２１ｎに設定されているルールに一致している場合のみ、パケットデータを不正侵入検知部２４ｎに渡し、ルールに一致していない場合は破棄する。このようにして受信したパケットデータに対する処理を終了する。不正侵入検知部２４ｎでは、ルール判別部２３ｎからルールに一致したパケットデータのみを受け取り、受け取ったパケットデータを用いて不正侵入が行なわれているかどうかを検知する。
【００５３】
図４は、ルール２１１〜２１ｎの設定例についての説明図である。図４を参照して、ネットワーク侵入検知システム２０１’〜２０ｎ’に設定されているルール２１１〜２１ｎについて詳細に説明する。侵入検知の処理を複数のネットワーク侵入検知システムで適切に負荷分散するため、ネットワーク１３を流れるパケットは、ネットワーク侵入検出システム２０１’〜２０ｎ’の内の何れか一つで必ず処理されるようにしなければならない。又、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ　Ｃｏｎｔｒｏｌ　Ｐｒｏｔｏｃｏｌ）を用いた通信の場合、通信ホスト間でコネクションを生成して、複数のパケットにより通信が行なわれるが、侵入検知を行う際には、一つのコネクションによる通信のパケットをまとめて処理を行なう必要があるため、ＴＣＰによる通信の侵入検出処理を負荷分散する場合、一つのＴＣＰコネクションで用いられているパケットが一つのネットワーク侵入検出システムで纏めて処理される必要がある。そのために、ルールを設定するに当たり以下の条件を満たす必要がある。
【００５４】
（１）受信したパケットの識別子は、ルール２１１〜２１ｎの何れか一つに必ず一致すること。
（２）一つのＴＣＰコネクションで用いられている複数のパケットの識別子は、同じルールに一致すること。
【００５５】
図４に示したルール２１１〜２１ｎの設定例は、上記の条件を満たしたものである。この設定例では、ＩＰアドレスを識別子として用いており、内部ネットワークで利用されているアドレスの範囲によりグループ分けを行なっている。又、１つのルールは、更に２つのサブルールａ、ｂで構成されている。２つのサブルールａ、ｂを用いて、内部ネットワークアドレスが送信元アドレス、送信先アドレスのどちらの場合でも同じルールに分類されるようになっている。尚、本実施例ではＩＰパケットをパケットの識別子として用いたが、通信を適切に分類できる識別子であれば、どのような識別子を用いても構わない。
【００５６】
次に、具体例を用いて第一実施例の動作を更に説明する。図５は、第一実施例に係わり、具体例を説明する概略構成図である。この具体例において、内部ネットワーク１２は、ネットワークアドレスが１１．１１．１０．０、１１．１１．１１．０、１１．１１．１２．０、１１．１１．１３．０で、ネットマスクはそれぞれ２５５．２５５．２５５．０である４つのネットワークで構成されており、それらのネットワークがルータ１０２に接続されているものとする。
【００５７】
又、ネットワーク侵入検出システムは２０１’〜２０４’の４台を設置し、ネットワーク侵入検出システム２０１’には、図６のルール２１１が設定されているものとする。同様にネットワーク侵入検出システム２０２’にはルール２１２が、ネットワーク侵入検出システム２０３’にはルール２１３が、ネットワーク侵入検出システム２１４’にはルール２１４が設定されているものとする。
【００５８】
図７に示すＩＰアドレスのパケットが、番号順にネットワーク１３に流れた場合について説明する。まず番号１のパケットがネットワーク１３に流れると、ネットワーク侵入検出システム２０１’〜２０４’の全てでパケットデータが受信される。即ち、番号１のパケットは、ネットワーク侵入検出システム２０１’〜２０４’で受信され、以下に示すようにそれぞれのネットワーク侵入検出システム内でルール判定が行なわれる。つまり、パケットデータはネットワーク侵入検出システム内部のパケット受信部２２１〜２２４で受信され、ルール判別部２３１〜２３４に渡され、次いでルール判別部ではルール２１１〜２１４と比較が行なわれ、パケットデータのＩＰアドレスがどのルールにマッチするか比較される。
【００５９】
図６より、図７の番号１のパケットは、ルール２１１のサブルールａにマッチすることが分かる。このため、ルール判別部２３１でのみパケットデータを不正侵入検知部２４１に渡し、ルール判別部２３２〜２３４ではパケットデータは破棄される。以上の動作により、図７の番号１のパケットはネットワーク侵入検出システム２０１’で処理される。
【００６０】
同様に、図７の番号４、番号７、番号９のパケットは、番号１のパケットと送信元、送信先のＩＰアドレスが同一なので、ルール２１１のサブルールａにマッチし、番号１のパケットと同様にネットワーク侵入検出システム２０１’で処理される。番号２、番号５番号８のパケットは送信元、送信先ＩＰアドレスが同一であり、ルール２１１のサブルールｂにマッチするため、ネットワーク侵入検出システム２０１’で処理される。番号１、４、７、９のパケットのＩＰアドレスと、番号２、５、８のパケットのＩＰアドレスは、送信元と送信先の関係が逆転しているが、どちらもルール２１１にマッチしているのでネットワーク侵入検出システム２０１’で処理される。
【００６１】
番号３のパケットはルール２１３のサブルールａにマッチするため、ネットワーク侵入検出システム２０３’で処理される。番号６のパケットはルール２１４のサブルールｂにマッチするため、ネットワーク侵入検出システム２０４’で処理される。番号１０のパケットはルール２１３のサブルールｂにマッチするため、ネットワーク侵入検出システム２０３’で処理される。
【００６２】
以上のように、内部ネットワークのアドレスによりパケットの処理を行なうネットワーク侵入検出システムが一意に決定され、侵入検出処理が分散化されることとなる。
【００６３】
以上で説明したように、実施例によれば、以下の第１、第２、及び第３の効果を発揮する。
【００６４】
第１の効果は、パケットの収集分析を行なう処理を、複数のパケット収集分析装置に負荷分散することで、高速なネットワークにおいても、パケットを取りこぼすことなく、ネットワークを流れる全てのパケットを対象とした収集分析が可能となる。
【００６５】
その理由は、パケット収集分析装置にそれぞれ設定し分析を行なうパケットを判別するルールに関して、それぞれの装置に設定するルールはそれぞれ排他的な内容とし、更にネットワークを流れるパケットは設定されたルールの何れか１つに必ずマッチするように設定し、パケットは必ず複数のパケット収集分析装置の何れか一台で分析されるように構成したためである。
【００６６】
第２の効果は、既存のパケット収集分析システムの構成を大幅に変更することなく、パケットの収集分析処理を負荷分散できることにある。
【００６７】
その理由は、既存のパケット収集分析システムにパケットデータを入力する前に、本発明によって処理を行なうパケットデータの選別を行なうことで負荷分散を実現しているためである。例えば図３を参照すると、既存のパケット収集分析システムは図３の不正侵入検知部２４ｎに相当し、不正侵入検知部２４ｎへの入力をルール判別部２３ｎとルール２１ｎとで選別して行なう構成となっている。そのため、不正侵入検知部２４ｎには既存のネットワーク不正侵入システムを適用することが可能である。
【００６８】
第３の効果は、パケットの収集分析処理を行なう際に、パケットの収集分析を行なう複数の装置間で処理の同期を行なったり、情報のやり取りを行なうことなく負荷分散できることにある。
【００６９】
その理由は、各パケット収集分析装置において、あらかじめ装置間で排他的になるように設定したルールを用いてパケットを選別することで処理の負荷分散を実現しているためである。
【００７０】
次に、本発明の第二実施例について図面を参照して詳細に説明する。図８は、本発明の通信ネットワークにおけるパケット収集の負荷分散方法の第二実施例を示した概略構成図である。
【００７１】
図８を参照すると、第二実施例では、パケット収集分析装置内にルールを備えずに、ルールを設定していないパケット収集分析装置がネットワーク１３とルール判別部３０１〜３０ｎを介して接続されている点が、第一実施例と異なる。第二実施例では、図３のパケット受信部２２ｎ、ルール判別部２３ｎ、ルール２１ｎをルール判別装置として取り出したものであり、既存のパケット収集分析装置を用いて本発明の負荷分散を実現する実施例である。
【００７２】
第二実施例の動作は、第一実施例の動作とほぼ同じである。図３における不正侵入検知部２４ｎが第二実施例ではパケット収集分析装置２０ｎに相当し、図２及び図３の第一実施例ではルール判別部２３ｎの出力が装置内部で不正侵入検知部２４ｎに渡されるが、第二実施例ではルール判別部２３ｎの出力はルール判別装置３０１〜３０ｎから出力され、パケット収集分析装置２０１〜２０ｎに渡される。内部構成が多少異なるだけであるので、達成される効果は第一実施例と全く同様である。
【００７３】
次に、本発明の第三実施例について図面を参照して詳細に説明する。図９は、本発明の通信ネットワークにおけるパケット収集の負荷分散方法の第三の実施例に係わり、ルール設定例についての説明図である。
【００７４】
第三実施例では、５台の装置に負荷分散を行ない、特定のホストに通信が集中するようなネットワークで、負荷分散を行なうためにどのようにルールを設定したら良いか、そのルール設定の一例を示している。第三実施例では、特定のホストへの通信を分散して収集するために、ＩＰアドレスの他にＴＣＰＰ、ＵＤＰ（Ｕｓｅｒ　Ｄａｔａｇｒａｍ　Ｐｒｏｔｏｃｏｌ）の通信で使用されるポート番号をも用いてルールを設定している。
【００７５】
５つのルールのうち、ルール２１１〜ルール２１４に通信が集中するホスト１１．１１．１０．１のＴＣＰ、ＵＤＰの通信がマッチするように設定し、その他の通信はルール２１５にマッチするように設定している。特定のホストに通信が集中する場合、通常は特定のホストの特定のポート番号（例えばＷＷＷサーバであればポート番号８０）に通信が集中するため、ルール２１１〜ルール２１４では、送信元ＩＰアドレスと送信先ポートを組み合わせて（或いは送信先ＩＰアドレスと送信元ポートを組み合わせて）ルールを設定している。
【００７６】
ＴＣＰの通信の場合は、一連の通信は同じパケット収集分析装置で処理されることが望ましいため、一連の通信は同じルールにマッチする必要があるが、ＴＣＰによる一連の通信ではポート番号は変更されないので、ルール２１１〜ルール２１４において、一連の通信で利用されているパケットは同じルールにマッチすることになる。このように設定することで、特定のホストの通信を負荷分散してパケットの収集分析を行なうことが可能となる。
【００７７】
【発明の効果】
本発明の通信ネットワークにおけるパケット収集の負荷分散方法によれば、パケット収集分析装置に、パケットを判別するルールを設定し、それぞれの装置に設定するルールはそれぞれ排他的な内容とし、且つネットワークを流れるパケットは設定されたルールの何れか１つに必ずマッチするように設定したので、以下のような優れた効果を発揮する。
（１）高速なネットワークにおいても、パケットの取りこぼすことなく、ネットワークを流れるすべてのパケットを対象とした収集分析が可能となる。
（２）ＴＣＰによる一連のパケットを複数台に跨ることなく一台のパケット収集分析装置で収集することができる。
（３）既存のパケット収集分析システムの構成を大幅に変更することなく、パケットの収集分析処理を負荷分散できる。
（４）パケットの収集分析処理を行なう際に、パケットの収集分析を行なう複数の装置間で処理の同期を行なったり、情報のやり取りを行なうことなく負荷分散できる。
【図面の簡単な説明】
【図１】本発明の通信ネットワークにおけるパケット収集の負荷分散方法の実施の形態を示す概略構成図である。
【図２】本発明の通信ネットワークにおけるパケット収集の負荷分散方法の第一実施例を示す概略構成図である。
【図３】図２のネットワーク侵入検知システムの概略内部構成図である。
【図４】本発明の通信ネットワークにおけるパケット収集の負荷分散方法の第一実施例に係わり、ルールの設定例についての説明図である。
【図５】本発明の通信ネットワークにおけるパケット収集の負荷分散方法の第一実施例に係わり、具体例を説明する概略構成図である。
【図６】図５の具体例に係わり、ルールの設定例についての説明図である。
【図７】図５の具体例に係わり、ＩＰアドレスについての説明図である。
【図８】本発明の通信ネットワークにおけるパケット収集の負荷分散方法の第二実施例を示す概略構成図である。
【図９】本発明の通信ネットワークにおけるパケット収集の負荷分散方法の第三実施例に係わり、ルールの設定例についての説明図である。
【符号の説明】
１１　　インターネット
１２　　内部ネットワーク
１３　　ネットワーク
１０１、１０２　　ルータ
２０１、２０２、・・・２０ｎ　　パケット収集分析装置
２０１’、２０２’、・・・２０ｎ’　　ネットワーク侵入検知システム
２１１、２１２、・・・２１ｎ　　ルール
２２１、２２２、・・・２２ｎ　　パケット受信部
２３１、２３２、・・・２３ｎ　　ルール判別部
２４１、２４２、・・・２４ｎ　　不正侵入検知部
３０１、３０２、・・・３０ｎ　　ルール判別装置
ＩＰ　　Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ
ＴＣＰ　　Ｔｒａｎｓｍｉｓｓｉｏｎ　Ｃｏｎｔｒｏｌ　Ｐｒｏｔｏｃｏｌ
ＵＤＰ　　Ｕｓｅｒ　Ｄａｔａｇｒａｍ　Ｐｒｏｔｏｃｏｌ
ＷＷＷ　　Ｗｏｒｌｄ　Ｗｉｄｅ　Ｗｅｂ
【図１】
2004064694.tif 000003
【図２】
2004064694.tif 000004
【図３】
2004064694.tif 000005
【図４】
2004064694.tif 000006
【図５】
2004064694.tif 000007
【図６】
2004064694.tif 000008
【図７】
2004064694.tif 000009
【図８】
2004064694.tif 000010
【図９】
2004064694.tif 000011