(57)【特許請求の範囲】
【請求項１】
端末とサーバとの通信をコネクションの単位で再構築し、当該コネクションそれぞれにおける送受信方向、送受信データサイズ又は送受信パケット数を含む特徴データを取得するデータ分析部と、
所定時間内に発生した複数のコネクションをグループに集約する集約部と、
前記グループに含まれるコネクションそれぞれにおける前記特徴データの組み合わせパターンに基づいて、前記端末において利用しているサービス種別を判定する判定部と、を備えるサービス種別推定装置。
【請求項２】
前記集約部は、所定時間内に発生した複数のＤＮＳリクエストに対して、当該ＤＮＳリクエストの応答であるＤＮＳレスポンスに記述されるＩＰアドレスに対応して当該ＤＮＳレスポンスの有効期間内に発生したコネクションを集約する請求項１に記載のサービス種別推定装置。
【請求項３】
前記ＤＮＳレスポンスとコネクションとの対応関係から、当該コネクションの宛先のドメイン名を取得するドメイン分析部を備え、
前記判定部は、前記ドメイン名により識別されるサービス提供事業者に基づいて、前記サービス種別を判定する請求項２に記載のサービス種別推定装置。
【請求項４】
前記判定部は、前記ドメイン名の組み合わせパターンに基づいて、前記サービス種別を判定する請求項３に記載のサービス種別推定装置。
【請求項５】
前記ドメイン名からドメイン名登録情報を検索し、サービス提供事業者情報を取得する事業者検索部を備え、
前記判定部は、前記サービス提供事業者情報の類似性から同一のサービス提供事業者を識別する請求項３又は請求項４に記載のサービス種別推定装置。
【請求項６】
前記事業者検索部による検索結果を、所定の有効期間が満了するまでキャッシュするキャッシュ部を備える請求項５に記載のサービス種別推定装置。
【請求項７】
前記データ分析部は、前記コネクションに対応するセッションを再構築し、当該セッションにおける特徴データを取得する請求項１から請求項６のいずれかに記載のサービス種別推定装置。
【請求項８】
コンピュータの制御部が、
端末とサーバとの通信をコネクションの単位で再構築し、当該コネクションそれぞれにおける送受信方向、送受信データサイズ又は送受信パケット数を含む特徴データを取得するデータ分析ステップと、
所定時間内に発生した複数のコネクションをグループに集約する集約ステップと、
前記グループに含まれるコネクションそれぞれにおける前記特徴データの組み合わせパターンに基づいて、前記端末において利用しているサービス種別を判定する判定ステップと、を実行するサービス種別推定方法。
【請求項９】
コンピュータの制御部に、
端末とサーバとの通信をコネクションの単位で再構築し、当該コネクションそれぞれにおける送受信方向、送受信データサイズ又は送受信パケット数を含む特徴データを取得するデータ分析ステップと、
所定時間内に発生した複数のコネクションをグループに集約する集約ステップと、
前記グループに含まれるコネクションそれぞれにおける前記特徴データの組み合わせパターンに基づいて、前記端末において利用しているサービス種別を判定する判定ステップと、を実行させるためのサービス種別推定プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークを介して端末が利用しているサービスの種別を推定する装置、方法及びプログラムに関する。
【背景技術】
【０００２】
従来、様々なサービス提供事業者がネットワークを介してユーザの端末にサービスを提供している。このようなサービスの利用状況は一定ではなく、例えば、個々のサービス盛衰、又は季節、曜日、時間等の時期に応じて変動する。したがって、ネットワークの保守及び運用のために、ユーザのネットワークの利用状況を分析できることが望まれている。
【０００３】
このような状況において、特許文献１では、通信パケットをコネクション単位で再構築し、ＤＮＳクエリ及びレスポンスとの対応付けから得られたドメイン名により、サービス種別の推定を行う技術が提案されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１４−２３０１３９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、端末で利用される１つのアプリケーションは、複数の機能、例えばチャット、通話、地図、ゲーム等のサービス種別を持つ場合がある。したがって、ドメイン名によってサービス種別を詳細に判別することは難しかった。
【０００６】
本発明は、ネットワークを介して端末が利用中のサービス種別を精度良く推定できるサービス種別推定装置、方法及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明に係るサービス種別推定装置は、端末とサーバとの通信をコネクションの単位で再構築し、当該コネクションそれぞれにおける送受信方向、送受信データサイズ又は送受信パケット数を含む特徴データを取得するデータ分析部と、所定時間内に発生した複数のコネクションをグループに集約する集約部と、前記グループに含まれるコネクションそれぞれにおける前記特徴データの組み合わせパターンに基づいて、前記端末において利用しているサービス種別を判定する判定部と、を備える。
【０００８】
前記集約部は、所定時間内に発生した複数のＤＮＳリクエストに対して、当該ＤＮＳリクエストの応答であるＤＮＳレスポンスに記述されるＩＰアドレスに対応して当該ＤＮＳレスポンスの有効期間内に発生したコネクションを集約してもよい。
【０００９】
前記サービス種別推定装置は、前記ＤＮＳレスポンスとコネクションとの対応関係から、当該コネクションの宛先のドメイン名を取得するドメイン分析部を備え、前記判定部は、前記ドメイン名により識別されるサービス提供事業者に基づいて、前記サービス種別を判定してもよい。
【００１０】
前記判定部は、前記ドメイン名の組み合わせパターンに基づいて、前記サービス種別を判定してもよい。
【００１１】
前記サービス種別推定装置は、前記ドメイン名からドメイン名登録情報を検索し、サービス提供事業者情報を取得する事業者検索部を備え、前記判定部は、前記サービス提供事業者情報の類似性から同一のサービス提供事業者を識別してもよい。
【００１２】
前記サービス種別推定装置は、前記事業者検索部による検索結果を、所定の有効期間が満了するまでキャッシュするキャッシュ部を備えてもよい。
【００１３】
前記データ分析部は、前記コネクションに対応するセッションを再構築し、当該セッションにおける特徴データを取得してもよい。
【００１４】
本発明に係るサービス種別推定方法は、コンピュータの制御部が、端末とサーバとの通信をコネクションの単位で再構築し、当該コネクションそれぞれにおける送受信方向、送受信データサイズ又は送受信パケット数を含む特徴データを取得するデータ分析ステップと、所定時間内に発生した複数のコネクションをグループに集約する集約ステップと、前記グループに含まれるコネクションそれぞれにおける前記特徴データの組み合わせパターンに基づいて、前記端末において利用しているサービス種別を判定する判定ステップと、を実行する。
【００１５】
本発明に係るサービス種別推定プログラムは、コンピュータの制御部に、端末とサーバとの通信をコネクションの単位で再構築し、当該コネクションそれぞれにおける送受信方向、送受信データサイズ又は送受信パケット数を含む特徴データを取得するデータ分析ステップと、所定時間内に発生した複数のコネクションをグループに集約する集約ステップと、前記グループに含まれるコネクションそれぞれにおける前記特徴データの組み合わせパターンに基づいて、前記端末において利用しているサービス種別を判定する判定ステップと、を実行させる。
【発明の効果】
【００１６】
本発明によれば、ネットワークを介して端末が利用中のサービス種別を精度良く推定できる。
【図面の簡単な説明】
【００１７】
【図１】実施形態に係るサービス種別推定装置が適用される通信システムの概要を示す図である。
【図２】実施形態に係るサービス種別推定装置の機能構成を示す図である。
【図３】実施形態に係る宛先ドメイン名の取得方法を例示する図である。
【図４】実施形態に係るコネクションの集約方法を例示する図である。
【発明を実施するための形態】
【００１８】
以下、本発明の実施形態の一例について説明する。
図１は、本実施形態に係るサービス種別推定装置１が適用される通信システムの概要を示す図である。
【００１９】
サービス種別推定装置１は、ネットワーク上の利用状況を把握したい地点に配置され、端末２とインターネット上の種々のサービス提供サーバ３との間で送受信される通信パケットを取得する。サービス種別推定装置１は、例えば、端末２がアクセスする基地局４と、インターネットに接続するルータ５との間に配置される。
【００２０】
端末２は、サービス提供サーバ３にアクセスする際、ＤＮＳサーバ６との間でＤＮＳリクエスト及びＤＮＳレスポンスのパケットを送受信する。サービス種別推定装置１は、これらのＤＮＳパケットを解析することにより、通信先のドメイン名を、さらには検索サーバ７から得られるドメイン名登録情報に基づいてサービス提供事業者を特定する。
【００２１】
図２は、本実施形態に係るサービス種別推定装置１の機能構成を示す図である。
サービス種別推定装置１は、データ分析部１１と、ドメイン分析部１２と、事業者検索部１３と、キャッシュ部１４と、集約部１５と、判定部１６とを備える。
【００２２】
データ分析部１１は、端末２とサービス提供サーバ３との間の通信パケットをコネクション単位で再構築し、このコネクションそれぞれにおける特徴データを取得する。具体的には、データ分析部１１は、送信元／宛先ＩＰアドレス、送信元／宛先ポート番号及びプロトコルの５−ｔｕｐｌｅによって、コネクション単位でパケットを識別することにより、このコネクションを再構築する。コネクションの特徴データは、送受信方向、送受信データサイズ、送受信パケット数等を含む。
【００２３】
また、データ分析部１１は、コネクションに対応する特定のセッション、例えばＨＴＴＰセッションについては、このセッションを再構築し、セッションの特徴データを取得する。セッションの特徴データは、Ｃｏｎｔｅｎｔ−ｔｙｐｅ、Ｒｅｆｅｒｅｒ、Ｒｅｑｕｅｓｔ／Ｒｅｓｐｏｎｓｅ数等を含む。
【００２４】
ドメイン分析部１２は、ＤＮＳレスポンスとコネクションとの対応関係を判別し、この対応関係から、コネクションの宛先ドメイン名を取得する。
図３は、本実施形態に係るドメイン分析部１２による宛先ドメイン名の取得方法を例示する図である。
【００２５】
ＤＮＳレスポンスには、ＤＮＳリクエストにより問い合わせたドメイン名と、応答された１又は複数のＩＰアドレスとが有効期限（ＴＴＬ；  Ｔｉｍｅ  ｔｏ  ｌｉｖｅ）付きで記述されている。ドメイン分析部１２は、このドメイン名とＩＰアドレスとを対応付けたＤＮＳマップを作成する。
【００２６】
ドメイン分析部１２は、データ分析部１１によって再構成されたコネクションにおける宛先ＩＰアドレスを、ＤＮＳマップと照合することにより、宛先ＩＰアドレスと合致するＤＮＳレスポンスを特定してドメイン名を取得する。例えば、ＤＮＳレスポンスから有効期限内に発生した宛先ＩＰアドレス「１９８．５１．１００．２」のコネクションについて、ＤＮＳマップからドメイン名「ｅｘａｍｐｌｅ．ｃｏｍ」が導出される。
【００２７】
このとき、ドメイン分析部１２は、ＤＮＳレスポンスから有効期限（例えば、１２秒）内のコネクションを対象とすることにより、ＤＮＳパケットとコネクションとの対応付けを誤るリスクを低減して、判別精度を向上できる。
【００２８】
また、ドメイン分析部１２は、取得したドメイン名から、ホスト名を取り除き、上位レベルドメインを抽出する。これにより、サービス提供事業者又は提供サービス単位でのコネクションのグループ化が可能となる。
【００２９】
事業者検索部１３は、ＷＨＯＩＳ（登録商標）サービスを提供する検索サーバ７を利用して、ドメイン名からドメイン名登録情報を検索し、サービス提供事業者情報を取得する。これにより、サービス提供事業者情報は、例えば、登録者名、連絡窓口のメールアドレス等を含み、これらの情報の類似性又は部分一致等の条件に基づいて、同一事業者として纏めることができる。
【００３０】
キャッシュ部１４は、事業者検索部１３による検索結果の少なくとも一部、例えばＲｅｇｉｓｔｒａｎｔ、Ｎａｍｅ  Ｓｅｒｖｅｒ、Ｃｏｎｔａｃｔ  ＩｎｆｏｒｍａｔｉｏｎのＥｍａｉｌ等のサービス提供事業者を識別するための情報を、ドメイン名と対応付けで所定の有効期間が満了するまでキャッシュする。これらのキャッシュされた情報は、事業者検索部１３により抽出され、検索サーバ７への問い合わせによる処理負荷が低減される。さらに、事業者検索部１３は、検索結果をキャッシュされている過去のデータと照合することにより、効率的に事業者をグループ化できる。
キャッシュ部１４は、有効期限を超過した情報、又は検索頻度が低下した情報をキャッシュから削除してもよい。
【００３１】
集約部１５は、所定時間内に発生した複数のコネクションを、同一サービスに起因した通信とみなしてグループに集約する。
具体的には、集約部１５は、所定時間内（例えば３秒以内）に発生した複数のＤＮＳリクエストに対して、これらのＤＮＳリクエストの応答であるＤＮＳレスポンスに記述されるＩＰアドレスに対応してＤＮＳレスポンスの有効期間内に発生したコネクションを集約する。
【００３２】
図４は、本実施形態に係る集約部１５によるコネクションの集約方法を例示する図である。
端末２からＤＮＳサーバ６に対して３つのＤＮＳリクエスト（ｒｅｑ１、ｒｅｑ２、ｒｅｑ３）が送信され、それぞれに対する応答として３つのＤＮＳレスポンス（ｒｅｓ１、ｒｅｓ２、ｒｅｓ３）が端末２へ返信されている。
【００３３】
これらのＤＮＳリクエストのうち、ｒｅｑ１及びｒｅｑ２がＮ秒以内に発生しており、ｒｅｑ３とは別のグループに分類される。
ｒｅｑ１及びｒｅｑ２に対応するＴＣＰコネクション（ＴＣＰ１、ＴＣＰ２）がｒｅｓ１及びｒｅｓ２からそれぞれＴＴＬ以内に発生し、これらが同一のサービス１に起因する通信として集約される。
また、ｒｅｑ３に対応するＴＣＰコネクション（ＴＣＰ３）がｒｅｓ３からＴＴＬ以内に発生し、このＴＣＰ３がサービス２に起因する通信と判断される。
【００３４】
判定部１６は、グループに含まれるコネクションそれぞれにおける特徴データの組み合わせパターンに基づいて、端末２において利用しているサービス種別を判定する。
サービス種別は、例えば、セッション数が多いサービス、通信データ量が多いサービス、双方向の通信が多いサービス等、ネットワークの利用方法を特徴付けるタイプに分類されたものであってよい。
【００３５】
また、判定部１６は、ドメイン名により識別されるサービス提供事業者に基づいて、より詳細にサービス種別を判定してもよい。このとき、判定部１６は、サービス提供事業者情報の類似性から事業者検索部１３により同一のサービス提供事業者と判断されたドメイン群を識別してサービス種別を判定する。
この場合、判定部１６は、グループ内のコネクション数及び通信データ量等の特徴から、例えば、Ａ社提供の音声通話サービスとチャットサービスとを判別する等、サービス提供事業者が提供する複数のサービス種別を判別できる。
【００３６】
さらに、判定部１６は、複数のドメイン名の組み合わせパターンに基づいて、サービス種別を判定してもよい。この場合、判定部１６は、例えば１つのサービス提供事業者が提供する複数のサービスのうち、サービス種別に応じて異なるドメイン名の組み合わせパターンを識別する。
【００３７】
判定部１６は、グループの特徴データを所定の種類に分類するための分類器であってよい。この分類器は、既知の通信データを教師データとして学習するものであってよく、これにより分類精度が向上する。
【００３８】
本実施形態によれば、サービス種別推定装置１は、所定時間内に発生した複数のコネクションをグループに集約し、グループ内のコネクションそれぞれの特徴データの組み合わせパターンに基づいて、サービス種別を推定する。したがって、サービス種別推定装置１は、サービス種別によって異なる通信の特徴を、１つのサービスに起因するコネクションのグループ毎に判別できるので、ネットワークを介して端末２が利用中のサービス種別を精度良く推定できる。
【００３９】
このように、サービス種別推定装置１は、関連するコネクションを集約してサービス種別を推定することで、ユーザによるネットワークの利用状況を、サービス種別毎に、通信の発生単位で詳細に把握できるので、将来のトラフィック需要予測の精度向上に貢献できる。
【００４０】
サービス種別推定装置１は、所定時間内に発生したＤＮＳリクエストとコネクションとを対応付けるので、コネクションが発生するトリガーとしてのＤＮＳリクエストを基準にして、コネクションを精度良くグループ化できる。したがって、サービス種別推定装置１は、サービス種別をより精度良く推定できる。
【００４１】
また、サービス種別推定装置１は、コネクションの宛先ドメイン名を取得し、このドメイン名によりサービス種別を推定するので、サービス提供事業者毎に複数のサービス種別を識別できる。この結果、サービス種別推定装置１は、ネットワークの利用状況を、より詳細に把握できる。
このとき、サービス種別推定装置１は、複数のドメイン名の組み合わせパターンに基づいて、提供されるサービス種別毎に異なるパターンを識別できるので、サービス種別の推定精度をより向上できる。
【００４２】
さらに、サービス種別推定装置１は、ドメイン名登録情報を検索し、検索結果の類似性から同一のサービス提供事業者を識別するので、事業者毎に複数のサービス種別をより精度良く識別できる。
このとき、サービス種別推定装置１は、頻繁に現れるドメイン名の検索結果をキャッシュに一時記憶することにより、処理負荷を低減できると共に、効率的に同一のサービス提供事業者を判別できる。
【００４３】
また、サービス種別推定装置１は、コネクションに対応するセッションを再構築し、セッションにおける特徴データを取得するので、このセッションの特徴データをさらに用いて、サービス種別をより詳細に判別できる。
【００４４】
以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、本実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本実施形態に記載されたものに限定されるものではない。
【００４５】
サービス種別推定装置１は、所定時間内に発生したＤＮＳリクエストに対応するコネクションをグループ化したが、これには限られない。サービス種別推定装置１は、例えば、ＤＮＳリクエストとの対応関係を用いず、コネクション自体の発生時刻を基準にして、所定時間以内に発生したコネクションをグループ化してもよい。これにより、コネクションの集約処理が簡略化される。
【００４６】
サービス種別推定装置１による制御方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（サービス種別推定装置１）にインストールされる。また、これらのプログラムは、ＣＤ−ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータ（サービス種別推定装置１）に提供されてもよい。
【符号の説明】
【００４７】
１  サービス種別推定装置
２  端末
３  サービス提供サーバ
１１  データ分析部
１２  ドメイン分析部
１３  事業者検索部
１４  キャッシュ部
１５  集約部
１６  判定部
【図１】
0006403624.tif 000002
【図２】
0006403624.tif 000003
【図３】
0006403624.tif 000004
【図４】
0006403624.tif 000005