(57)【特許請求の範囲】
【請求項１】
暗号化されていないトンネルを確立するトンネリングプロトコルであって、ユーザ通信のパケットにヘッダを付加しカプセル化するトンネリングプロトコルが使われているネットワークからサンプリングされたパケットの、前記トンネリングプロトコルによって付加されたヘッダに含まれるトラフィックに関する情報とサンプリングされたパケットの全部または一部とを関連付けたフローサンプルを要素として持つフローパケットから、前記トラフィックに関する情報であるトンネルパケット情報を抽出し、前記サンプリングされたパケットの全部または一部から前記ユーザ通信のパケットのヘッダに含まれるトンネル内部のトラフィックに関する情報である内部パケット情報を抽出する解析部と、
前記トンネルパケット情報および前記内部パケット情報から所定の条件に基づいて通信量を集計する集計部と、
前記トンネルパケット情報、前記内部パケット情報および前記通信量を関連付けたデータを保存する保存部と、
を有することを特徴とするトラフィック解析システム。
【請求項２】
前記集計部は、前記フローパケット内に含まれるパケット量を基に前記通信量を集計することを特徴とする請求項１に記載のトラフィック解析システム。
【請求項３】
前記集計部は、前記トンネルパケット情報に含まれる所定の要素が同一である前記トンネルパケット情報をグループ化し、また、関連する前記トンネルパケット情報が同一であり、かつ前記内部パケット情報に含まれる所定の要素が同一である前記内部パケット情報をグループ化し、前記通信量を集計することを特徴とする請求項１または２に記載のトラフィック解析システム。
【請求項４】
前記保存部によって保存された前記データから、前記トンネルパケット情報および前記通信量を関連付けたトンネルトラフィック情報を取得し、前記トンネルトラフィック情報をドリルダウンすることで、該トンネルトラフィック情報に関連する前記内部パケット情報および前記通信量を関連付けた内部トラフィック情報をドリルダウン型のチャートを用いて表示する表示部をさらに有することを特徴とする請求項１から３のいずれか１項に記載のトラフィック解析システム。
【請求項５】
前記解析部は、Ｌ２ＴＰ、ＧＲＥ、ＩＰｖ６  ｏｖｅｒ  ＩＰｖ４トンネリング、またはＩＰｖ４  ｏｖｅｒ  ＩＰｖ６トンネリングといった非暗号化トンネリングプロトコルが使われているネットワークからサンプリングされたパケットの、前記トラフィックに関する情報と前記サンプリングされたパケットの全部または一部とを関連付けた前記フローサンプルを要素として持つ前記フローパケットから、前記トンネルパケット情報を抽出し、前記サンプリングされたパケットの全部または一部から前記内部パケット情報を抽出することを特徴とする請求項１から４のいずれか１項に記載のトラフィック解析システム。
【請求項６】
前記フローパケットは、前記フローサンプルの前記サンプリングされたパケットの全部または一部として、ＩＰペイロードの全部または一部を含み、
前記解析部は、前記ＩＰペイロードの全部または一部から前記内部パケット情報を抽出することを特徴とする請求項１から５のいずれか１項に記載のトラフィック解析システム。
【請求項７】
暗号化されていないトンネルを確立するトンネリングプロトコルであって、ユーザ通信のパケットにヘッダを付加しカプセル化するトンネリングプロトコルが使われているネットワークからサンプリングされたパケットの、前記トンネリングプロトコルによって付加されたヘッダに含まれるトラフィックに関する情報とサンプリングされたパケットの全部または一部とを関連付けたフローサンプルを要素として持つフローパケットから、前記トラフィックに関する情報であるトンネルパケット情報を抽出し、前記サンプリングされたパケットの全部または一部から前記ユーザ通信のパケットのヘッダに含まれるトンネル内部のトラフィックに関する情報である内部パケット情報を抽出する解析工程と、
前記トンネルパケット情報および前記内部パケット情報から所定の条件に基づいて通信量を集計する集計工程と、
前記トンネルパケット情報、前記内部パケット情報および前記通信量を関連付けたデータを保存する保存工程と、
を含んだことを特徴とするトラフィック解析方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、トラフィック解析システムおよびトラフィック解析方法に関する。
【背景技術】
【０００２】
昨今、ネットワークを利用したサービスは多様化しており、安定したネットワークを提供することの重要性は増している。このような状況において、ＤＤｏＳ（Distributed  Denial  of  Service）攻撃に代表されるネットワークへの攻撃は多様化し、また大規模化しており、大きな脅威となっている。なお、ＤＤｏＳ攻撃とは、特定の組織・企業のサーバを狙ってサイバー攻撃を行うサービス不能攻撃の１つであり、標的サーバへデータを多量に送信して、サーバ機能を無効化させるものである。
【０００３】
通信を監視しトラフィックの計測を行い、ネットワークの状態を正確かつ効率的に把握することで、ネットワークへの攻撃が発生した際、迅速に対応することができる。従来、通信を監視しトラフィックを計測する方法として、ＳＮＭＰ（Simple  Network  Management  Protocol）を利用する方法や、パケットキャプチャを行う方法が知られている。
【０００４】
ＳＮＭＰを利用する方法は、インタフェースを通過したバイト数やパケット数をカウントすることはできるが、ＩＰ（Internet  Protocol）アドレス単位やプロトコル単位といった詳細解析をすることはできない。また、パケットキャプチャを行う方法は、特定の区間を流れる全てのパケットを取得するため詳細な解析を行うことはできるが、取得するデータ量が非常に多くなってしまい、定常的に使用するには不向きである。
【０００５】
このため、近年ではＮｅｔＦｌｏｗ、ｓＦｌｏｗ、ＩＰＦＩＸ（Internet  Protocol  Flow  Information  Export）といったネットワーク機器が出力するフローを利用したトラフィック計測方法が普及している。フローとは、ネットワーク機器を流れるトラフィックに対して、送受信ＩＰアドレス・ポート番号・プロトコル等の情報を専用のフォーマットで出力するものである。
【０００６】
フローを利用したトラフィック計測方法によれば、ＳＮＭＰより詳細な情報を、パケットキャプチャよりも少ないデータ量で得ることができ、ＩＰアドレス単位やプロトコル単位のトラフィック解析が容易となる。
【０００７】
特に、ネットワーク上の脅威を検知するための一般的な手法として、ＮｅｔＦｌｏｗを利用した解析が知られている（例えば非特許文献１）。ＮｅｔＦｌｏｗを利用することで、Ｌ２ＴＰ（Layer  2  Tunneling  Protocol）やＧＲＥ（Generic  Routing  Encapsulation）のように元のＩＰパケットにトンネル用のヘッダを付加する技術や、ＭＰＬＳ（Multi-Protocol  Label  Switching）のように元のＩＰパケットにラベルを付加する技術が使用されたネットワークであっても、そのネットワークにどのようなパケットが流れているかを把握できることも知られている（例えば非特許文献２）。
【先行技術文献】
【非特許文献】
【０００８】
【非特許文献１】“Worldwide  Infrastructure  Security  Report”［online］、［2015年10月29日検索］、インターネット（http://pages.arbornetworks.com/rs/arbor/images/WISR2014_EN2014.pdf）
【非特許文献２】“NetFlow  on  Logical  Interfaces:  Frame  Relay,  Asynchronous  Transfer  Mode,  Inter-Switch  Link,  802.1q,  Multilink  Point  to  Point  Protocol,  General  Routing  Encapsulation,  Layer  2  Tunneling  Protocol,  Multiprotocol  Label  Switching  VPNs,  and  Tunnel”  ［online］、［2015年10月29日検索］、インターネット（http://www.cisco.com/c/dam/en/us/products/collateral/ios-nx-os-software/ios-netflow/prod_white_paper0900aecd8045b422.pdf）
【発明の概要】
【発明が解決しようとする課題】
【０００９】
しかしながら、従来のＮｅｔＦｌｏｗを利用した解析には、トンネリングプロトコルが使われているネットワークの中継区間からのみフローを取得できる環境においては、トラフィックの計測を正確に行うことができないという問題があった。
【００１０】
例えば、末端の機器の処理能力や通信が複数のネットワークにまたがることに起因して、末端の機器からＮｅｔＦｌｏｗを取得することができず、ネットワークの中継区間の機器からのみＮｅｔＦｌｏｗを取得できる場合がある。このとき、ＮｅｔＦｌｏｗからは、カプセル化されたパケットのヘッダ部分に関する情報は得られるものの、ペイロード部分に関する情報を得ることができない。そのため、ペイロード部分に含まれるパケットについての情報を得ることができず、トラフィックの計測を正確に行うことができない。
【課題を解決するための手段】
【００１１】
本発明のトラフィック解析システムは、暗号化されていないトンネルを確立するトンネリングプロトコルであって、ユーザ通信のパケットにヘッダを付加しカプセル化するトンネリングプロトコルが使われているネットワークからサンプリングされたパケットの、前記トンネリングプロトコルによって付加されたヘッダに含まれるトラフィックに関する情報とサンプリングされたパケットの全部または一部とを関連付けたフローサンプルを要素として持つフローパケットから、前記トラフィックに関する情報であるトンネルパケット情報を抽出し、前記サンプリングされたパケットの全部または一部から前記ユーザ通信のパケットのヘッダに含まれるトンネル内部のトラフィックに関する情報である内部パケット情報を抽出する解析部と、前記トンネルパケット情報および前記内部パケット情報から所定の条件に基づいて通信量を集計する集計部と、前記トンネルパケット情報、前記内部パケット情報および前記通信量を関連付けたデータを保存する保存部と、を有することを特徴とする。
【００１２】
また、本発明のトラフィック解析方法は、暗号化されていないトンネルを確立するトンネリングプロトコルであって、ユーザ通信のパケットにヘッダを付加しカプセル化するトンネリングプロトコルが使われているネットワークからサンプリングされたパケットの、前記トンネリングプロトコルによって付加されたヘッダに含まれるトラフィックに関する情報とサンプリングされたパケットの全部または一部とを関連付けたフローサンプルを要素として持つフローパケットから、前記トラフィックに関する情報であるトンネルパケット情報を抽出し、前記サンプリングされたパケットの全部または一部から前記ユーザ通信のパケットのヘッダに含まれるトンネル内部のトラフィックに関する情報である内部パケット情報を抽出する解析工程と、前記トンネルパケット情報および前記内部パケット情報から所定の条件に基づいて通信量を集計する集計工程と、前記トンネルパケット情報、前記内部パケット情報および前記通信量を関連付けたデータを保存する保存工程と、を含んだことを特徴とする。
【発明の効果】
【００１３】
本発明によれば、トンネリングプロトコルが使われているネットワークの中継区間からのみフローを取得できる環境において、トラフィックの計測を正確に行うことができる。
【図面の簡単な説明】
【００１４】
【図１】図１は、第１の実施形態に係るトラフィック解析システムの概要を示す図である。
【図２】図２は、第１の実施形態に係る解析装置の構成を示すブロック図である。
【図３】図３は、トンネルトラフィックのパケットの一例を示す図である。
【図４】図４は、フローパケットの一例を示す図である。
【図５】図５は、フローサンプルに含まれる要素の一例を示す図である。
【図６】図６は、内部パケット情報に含まれる要素の一例を示す図である。
【図７】図７は、トンネルパケット情報および非トンネルパケット情報に含まれる要素の一例を示す図である。
【図８】図８は、トンネルパケット情報および非トンネルパケット情報のグループ化の一例を示す図である。
【図９】図９は、トンネルトラフィック情報および非トンネルトラフィック情報に含まれる要素の一例を示す図である。
【図１０】図１０は、内部トラフィック情報に含まれる要素の一例を示す図である。
【図１１】図１１は、トンネルトラフィック情報と内部トラフィック情報の関係を示す図である。
【図１２】図１２は、トンネルトラフィックのグラフの一例を示す図である。
【図１３】図１３は、ドリルダウンしたトンネルトラフィックのグラフの一例を示す図である。
【図１４】図１４は、トラフィック解析システムの解析処理の一例を示すフローチャートである。
【図１５】図１５は、トラフィック解析システムの解析処理の一例を示すフローチャートである。
【図１６】図１６は、トラフィック解析システムの集計処理の一例を示すフローチャートである。
【図１７】図１７は、プログラムが実行されることにより、作成装置または解析装置が実現されるコンピュータの一例を示す図である。
【発明を実施するための形態】
【００１５】
以下に、本願に係るトラフィック解析システムおよびトラフィック解析方法の実施形態を図面に基づいて詳細に説明する。なお、この実施形態により本発明が限定されるものではない。
【００１６】
［第１の実施形態］
まず、図１を用いてトラフィック解析システムの概要について説明する。図１は、第１の実施形態に係るトラフィック解析システムの概要を示す図である。図１に示すように、トラフィック解析システム１は、解析装置２０を有する。ネットワーク２は、ユーザ端末３０、ＣＰＥ（Customer  Premises  Equipment）４０、ＬＡＣ（L2TP  Access  Concentrator）５０、ルータ６０、作成装置１０およびＬＮＳ（L2TP  Network  Server）７０を有する。また、ネットワーク２の作成装置１０は、ルータ６０に接続されている。なお、作成装置１０とルータ６０とは一体化された装置であってもよい。
【００１７】
ユーザ端末３０は、ユーザ通信のパケットを送出する。ＣＰＥ４０は、ユーザ端末３０から送出されたパケットに対して必要に応じて変換等を行う。ＬＡＣ５０は、パケットにヘッダを付加しカプセル化する。ルータ６０は、パケットを中継する。ＬＮＳ７０は、カプセル化されたパケットのカプセル化を解除する。これにより、ＬＡＣ５０とＬＮＳ７０の間にはトンネル８０が構成される。そして、トンネル８０内にはカプセル化されたトンネルトラフィックのパケット８１が流れる。なお、ネットワーク２においては、トンネルトラフィック以外のトラフィックが発生していてもよい。
【００１８】
トンネル８０は、暗号化されていないトンネルを確立するトンネリングプロトコルであって、ユーザ通信のパケットにヘッダを付加しカプセル化するトンネリングプロトコルによって確立される。このようなトンネリングプロトコルの例として、例えばＬ２ＴＰやＧＲＥ等がある。また、トンネル８０は、ＩＰｖ６  ｏｖｅｒ  ＩＰｖ４トンネリング、またはＩＰｖ４  ｏｖｅｒ  ＩＰｖ６トンネリングによって確立されたトンネルであってもよい。
【００１９】
作成装置１０は、ルータ６０によって中継されるパケットを基にフローパケット９０を作成し、作成したフローパケット９０を解析装置２０に送信する。解析装置２０は、フローパケット９０を解析し、解析した結果をトンネルトラフィック情報および内部トラフィック情報として保存する。解析装置２０は、さらにトンネルトラフィック情報および内部トラフィック情報をグラフとして出力することもできる。
【００２０】
［第１の実施形態の構成］
まず、トラフィック解析システム１の解析対象となるフローパケット９０について説明する。その後、トラフィック解析システム１の解析装置２０の構成について説明するとともに、フローパケット９０の解析方法について説明する。
【００２１】
［解析対象のフローパケット］
第１の実施形態においては、例として、フローパケット９０はネットワーク２の作成装置１０によって作成され、解析装置２０へ送信されるものとする。なお、作成装置１０はルータ６０と一体であってもよい。また、ネットワーク２のルータ６０を含む機器に作成装置２０と同様の機能を持たせる構成としてもよい。また、フローパケット９０を作成するための装置および方法は、ここで説明するものに限られず、既知の装置および方法を用いることとしてもよい。
【００２２】
作成装置１０は、ルータからパケットのサンプリングを行う。作成装置１０は、あらかじめ設定されたサンプリングの割合であるサンプリングレートに従って、ルータ６０によって中継されるパケットのサンプリングを行う。例えば、サンプリングレートを１／１００００と設定した場合、作成装置１０は、ルータ６０によって中継されるパケットを１００００個に１個の割合でサンプリングする。
【００２３】
さらに、作成装置１０は、パケットのサンプリングとは別に、ルータ６０によって中継されるパケットの数やサイズといった、パケットの量をさらに取得するようにしてもよい。このとき、作成装置１０は、サンプリングレートによらず、ルータ６０によって中継されるパケットの数やサイズを取得するようにしてもよい。また、ルータ６０によって中継されるパケットには、カプセル化されたトンネルトラフィックのパケット、およびそれ以外の非トンネルトラフィックのパケットの両方が含まれる。
【００２４】
ここで、図３を用いて、作成装置１０が抽出するトンネルトラフィックのパケット８１について説明する。図３は、トンネルトラフィックのパケットの一例を示す図である。図３に示すように、トンネルトラフィックのパケット８１は、イーサネット（登録商標）ヘッダ８１１、ＩＰヘッダ８１２、ＵＤＰヘッダ８１３、Ｌ２ＴＰヘッダ８１４、ＰＰＰヘッダ８１５、ＩＰヘッダ８１６、ＴＣＰ（Transmission  Control  Protocol）／ＵＤＰ（User  Datagram  Protocol）ヘッダ８１７およびデータ８１８を有する。
【００２５】
ユーザ端末３０から送出されるユーザ通信のパケットには、ヘッダとしてＩＰヘッダ８１６およびＴＣＰ／ＵＤＰヘッダ８１７が含まれ、ペイロードとしてデータ８１８が含まれる。そして、ＬＡＣ５０は、ユーザ通信のパケットに、イーサネットヘッダ８１１、ＩＰヘッダ８１２、ＵＤＰヘッダ８１３、Ｌ２ＴＰヘッダ８１４およびＰＰＰヘッダ８１５を付加する。なお、図３の例では、ネットワーク２で用いられるトンネリングプロトコルをＬ２ＴＰとしている。
【００２６】
また、以降の説明において、イーサネットヘッダ８１１、ＩＰヘッダ８１２、ＵＤＰヘッダ８１３、Ｌ２ＴＰヘッダ８１４、ＰＰＰヘッダ８１５をトンネリングプロトコルのヘッダ８２ａと呼び、ＩＰヘッダ８１６、ＴＣＰ／ＵＤＰヘッダ８１７およびデータ８１８をトンネリングプロトコルのペイロード８２ｂと呼ぶ。また、イーサネットヘッダ８１１およびＩＰヘッダ８１２をＩＰヘッダ８３ａと呼び、ＵＤＰヘッダ８１３、Ｌ２ＴＰヘッダ８１４、ＰＰＰヘッダ８１５、ＩＰヘッダ８１６、ＴＣＰ／ＵＤＰヘッダ８１７およびデータ８１８をＩＰペイロード８３ｂと呼ぶ。
【００２７】
作成装置１０は、フローパケット９０を作成する。まず、図４を用いて、フローパケット９０について説明する。図４は、フローパケットの一例を示す図である。図４に示すように、フローパケット９０は、フローヘッダ９１およびｎ個（ｎ＞０）のフローサンプル９２を有する。作成装置１０は、フローヘッダ９１にフローパケット９０が生成された時刻や、フローパケット９０のシーケンス番号等を含める。また、作成装置１０は、抽出したトンネルトラフィックのパケット８１に含まれる各ヘッダの情報を基にフローサンプル９２を作成する。
【００２８】
ここで、図５を用いて、フローサンプル９２について説明する。図５は、フローサンプルに含まれる要素の一例を示す図である。作成装置１０は、例えば図５の「送信元ＩＰアドレス」、「宛先ＩＰアドレス」、「プロトコル番号」および「ＴｏＳ」をＩＰヘッダ８１２から取得する。また、作成装置１０は、例えば図５の「送信元ポート番号」および「宛先ポート番号」をＵＤＰヘッダ８１３から取得する。また、作成装置１０は、図５の「送信インタフェースのＳＮＭＰ  Ｉｎｔｅｒｆａｃｅ  Ｉｎｄｅｘ」および「受信インタフェースのＳＮＭＰ  Ｉｎｔｅｒｆａｃｅ  Ｉｎｄｅｘ」をルータ６０から直接取得する。
【００２９】
さらに、作成装置１０は、トンネルトラフィックのパケット８１の数やサイズを取得している場合、パケットの量をさらに含むフローパケット９０を作成する。例えば、作成装置１０は、取得したトンネルトラフィックのパケット８１の数やサイズを、「フローのパケット総バイト数」および「フローの総パケット数」とする。
【００３０】
また、作成装置１０は、サンプリングされたパケットの全部または一部をフローパケット９０に含める。作成装置１０は、例えばＩＰペイロード８３ｂを図５の「サンプリングされたパケットの全部または一部」とする。このように、作成装置１０は、パケットのヘッダ部分だけでなく、ペイロード部分に関する情報をフローパケット９０に含めるため、解析装置２０においてペイロード部分から得られる情報に基づく解析を行うことができるようになる。
【００３１】
また、作成装置１０は、図５に示すようなフローサンプル９２の各要素を項目として有するテンプレート情報をフローパケット９０に含めるようにしてもよい。このとき、作成装置１０は、例えば各項目に値を設定することでフローサンプル９２を作成する。また、フローサンプル９２の数ｎは、ネットワーク環境により可変である。例えば、作成装置１０は、所定時間の間に作成されたフローサンプル９２の数をｎとしてもよいし、フローの消滅が確認できた時点までに作成されたフローサンプル９２の数をｎとしてもよい。なお、作成装置１０は、非トンネルトラフィックのパケットについても同様にフローサンプル９２を作成するようにしてもよい。
【００３２】
作成装置１０は、作成したフローパケット９０を解析装置２０に送信する。作成装置１０は、あらかじめ集計間隔として設定された時間が経過するたびにフローパケット９０を送信するようにしてもよい。
【００３３】
［解析装置の構成］
次に、図２を用いて解析装置２０の構成について説明する。図２は、第１の実施形態に係る解析装置の構成を示すブロック図である。図２に示すように、解析装置２０は、送受信部２１、解析部２２、集計部２３、保存部２４、表示部２５および記憶部２６を有する。
【００３４】
解析装置２０の送受信部２１は、作成装置１０によって送信されたフローパケット９０を受信する。送受信部２１は、受信したフローパケット９０を解析部２２へ受け渡す。
【００３５】
解析装置２０の解析部２２は、フローパケット９０からトラフィックに関する情報であるトンネルパケット情報を抽出し、サンプリングされたパケットの全部または一部からユーザ通信のパケットのヘッダに含まれるトンネル内部のトラフィックに関する情報である内部パケット情報を抽出することで、フローパケット９０を解析する。
【００３６】
解析部２２は、まずフローサンプル９２の「宛先ポート番号」や「プロトコル番号」等に基づいて、当該フローサンプル９２がトンネルトラフィックのパケットに関するものであるか、もしくは非トンネルトラフィックのパケットに関するものであるかを判定する。そして、解析部２２は、フローパケット９２に基づいて、内部パケット情報、トンネルパケット情報および非トンネルパケット情報を作成する。
【００３７】
解析部２２は、トンネルトラフィックのパケットに関するものであると判定されたフローサンプル９２に基づいて、内部パケット情報を作成する。ここで、内部パケット情報について、図６を用いて説明する。図６は、内部パケット情報に含まれる要素の一例を示す図である。図６に示すように、内部パケット情報には、例えば「ＩＤ」、「日時」、「送信元ＩＰアドレス」、「宛先ＩＰアドレス」、「送信元ポート番号」、「宛先ポート番号」、「プロトコル番号」、「ＴｏＳ」および「パケットサイズ」が含まれる。
【００３８】
解析部２２は、内部パケット情報の「日時」として、例えばフローヘッダ９１に含まれる、フローパケットが生成された時刻を取得する。また、解析部２２は、内部パケット情報を識別するための値である「ＩＤ」を設定する。
【００３９】
また、解析部２２は、フローサンプル９２の「サンプリングされたパケットの全部または一部」から取得したＩＰヘッダ８１６およびＴＣＰ／ＵＤＰヘッダ８１７から、内部パケット情報の「送信元ＩＰアドレス」、「宛先ＩＰアドレス」、「送信元ポート番号」、「宛先ポート番号」、「プロトコル番号」、「ＴｏＳ」を取得する。なお、フローサンプル９２の「サンプリングされたパケットの全部または一部」にＴＣＰやＵＤＰの情報が含まれていない場合、解析部２２は、内部パケット情報の「送信元ポート番号」および「宛先ポート番号」に情報が含まれていないことを示す値を設定する。
【００４０】
また、フローサンプル９２に「フローのパケット総バイト数」および「フローの総パケット数」が含まれる場合、集計部２３は、これらのパケット量を基に通信量を集計する。例えば、解析部２２は、内部パケット情報の「パケットサイズ」を式（１）によって計算する。
パケットサイズ＝フローのパケット総バイト数／フローの総パケット数・・・（１）
【００４１】
解析部２２は、トンネルトラフィックのパケットに関するものであると判定されたフローサンプル９２、および非トンネルトラフィックのパケットに関するものであると判定されたフローサンプル９２に基づいて、トンネルパケット情報および非トンネルパケット情報を作成する。ここで、図７を用いて、トンネルパケット情報および非トンネルパケット情報について説明する。図７は、トンネルパケット情報および非トンネルパケット情報に含まれる要素の一例を示す図である。
【００４２】
図７に示すように、トンネルパケット情報および非トンネルパケット情報には、例えば「ＩＤ」、「日時」、「送信元ＩＰアドレス」、「宛先ＩＰアドレス」、「送信元ポート番号」、「宛先ポート番号」、「プロトコル番号」、「送信インタフェースのＳＮＭＰ  Ｉｎｔｅｒｆａｃｅ  Ｉｎｄｅｘ」、「受信インタフェースのＳＮＭＰ  Ｉｎｔｅｒｆａｃｅ  Ｉｎｄｅｘ」、「ＴｏＳ」、「パケットサイズ」および「トンネルフラグ」が含まれる。なお、フローサンプル９２にＴＣＰやＵＤＰの情報が含まれていない場合、解析部２２は、トンネルパケット情報および非トンネルパケット情報の「送信元ポート番号」および「宛先ポート番号」に情報が含まれていないことを示す値を設定する。
【００４３】
解析部２２は、トンネルパケット情報および非トンネルパケット情報を識別するための値である「ＩＤ」を発行する。このとき、解析部２２は、同一のフローパケットサンプル９２から作成された内部パケット情報とトンネルパケット情報については、「ＩＤ」が同一となるようにする。
【００４４】
また、解析部２２は、フローサンプル９２から、トンネルパケット情報および非トンネルパケット情報の「送信元ＩＰアドレス」、「宛先ＩＰアドレス」、「送信元ポート番号」、「宛先ポート番号」、「プロトコル番号」、「送信インタフェースのＳＮＭＰ  Ｉｎｔｅｒｆａｃｅ  Ｉｎｄｅｘ」、「受信インタフェースのＳＮＭＰ  Ｉｎｔｅｒｆａｃｅ  Ｉｎｄｅｘ」、「ＴｏＳ」を取得する。解析部２２は、トンネルパケット情報および非トンネルパケット情報の「日時」および「パケットサイズ」を、内部パケット情報の場合と同様の方法によって取得する。
【００４５】
また、解析部２２は、トンネルパケット情報および非トンネルパケット情報の「トンネルフラグ」について、トンネルパケット情報と非トンネルパケット情報との間で異なる値を設定する。例えば、解析部２２は、トンネルパケット情報の「トンネルフラグ」を「ＴＲＵＥ」とし、非トンネルパケット情報の「トンネルフラグ」を「ＦＡＬＳＥ」とする。
【００４６】
解析装置２０の集計部２３は、トンネルパケット情報および内部パケット情報から所定の条件に基づいて通信量を集計する。また、解析装置２０の保存部２４は、トンネルパケット情報、内部パケット情報および通信量を関連付けたデータを記憶部２６に保存する。まず、集計部２３および保存部２４によるトンネルパケット情報および非トンネルパケット情報の作成方法を説明し、次に、集計部２３および保存部２４による内部トラフィック情報の作成方法について説明する。
【００４７】
［トンネルトラフィック情報および非トンネルトラフィック情報の作成方法］
まず、トンネルトラフィック情報および非トンネルトラフィック情報の作成方法について説明する。集計部２３は、トンネルパケット情報および非トンネルパケット情報について所定の条件に基づいて通信量を集計する。ここで、条件とは、例えばトラフィックを確認したい期間、集計間隔、送信元ＩＰアドレスや送信元ポート番号等の情報の単位等である。なお、これらの条件は、解析装置２０の設定の初期値としてあらかじめ設定されていてもよい。
【００４８】
集計部２３は、所定の条件を満たすトンネルパケット情報および非トンネルパケット情報をグループ化する。例えば、期間の条件を所定の日の０：００〜１：００とし、集計間隔の条件を５分とし、情報の単位の条件をプロトコル番号とする。以降、集計部２３によってグループ化された各グループを集計グループと呼ぶ。
【００４９】
集計部２３は、例えば、トンネルパケット情報に含まれる所定の要素が同一であるトンネルパケット情報をグループ化し、また、関連するトンネルパケット情報が同一であり、かつ内部パケット情報に含まれる所定の要素が同一である内部パケット情報をグループ化し、通信量を集計する。
【００５０】
例として、集計部２３が情報の単位の条件をプロトコル番号としてグループ化を行った場合の例を図８に示す。図８は、トンネルパケット情報および非トンネルパケット情報のグループ化の一例を示す図である。図８の例では、プロトコル番号が同一であるトンネルパケット情報および非トンネルパケット情報は同一の集計グループとなる。
【００５１】
集計部２３は、グループ化を行った後、集計グループごとに式（２）および式（３）によって通信量を計算する。なお、集計部２３は、式（２）によって容量を計算し、式（３）によってパケット数を計算する。
通信量［ｂｐｓ］＝（集計グループに所属するトンネルパケット情報または非トンネルパケット情報のパケットサイズ要素の合計値／サンプリングレート）／集計間隔・・・（２）
通信量［ｐｐｓ］＝（集計グループに所属するトンネルパケット情報または非トンネルパケット情報の数／サンプリングレート）／集計間隔・・・（３）
【００５２】
例えば、集計グループに所属するトンネルパケット情報または非トンネルパケット情報のパケットサイズ要素の合計値が３Ｍ［ｂ］、集計グループに所属するトンネルパケット情報または非トンネルパケット情報の数が３４５０個、サンプリングレートが１／１００００、集計間隔が５分すなわち３００秒である場合、式（２）より通信量［ｂｐｓ］は１００Ｍｂｐｓとなり、式（３）より通信量［ｐｐｓ］は１１５００ｐｐｓとなる。
【００５３】
保存部２４は、集計部２３によって行われたグループ化および集計の結果を、トンネルトラフィック情報２６１または非トンネルトラフィック情報２６２として記憶部２６に保存する。図９を用いてトンネルトラフィック情報２６１および非トンネルトラフィック情報２６２について説明する。図９は、トンネルトラフィック情報および非トンネルトラフィック情報に含まれる要素の一例を示す図である。
【００５４】
図９に示すように、トンネルトラフィック情報２６１および非トンネルトラフィック情報２６２には、例えば「トラフィックＩＤ」、「期間」、「送信元ＩＰアドレス」、「宛先ＩＰアドレス」、「送信元ポート番号」、「宛先ポート番号」、「プロトコル番号」、「送信インタフェースのＳＮＭＰ  Ｉｎｔｅｒｆａｃｅ  Ｉｎｄｅｘ」、「受信インタフェースのＳＮＭＰ  Ｉｎｔｅｒｆａｃｅ  Ｉｎｄｅｘ」、「ＴｏＳ」、「通信量［ｂｐｓ］」、「通信量［ｐｐｓ］」および「内部トラフィックＩＤ」が含まれる。なお、トンネルトラフィック情報２６１および非トンネルトラフィック情報２６２に含まれる要素は、「トラフィックＩＤ」、「期間」、「通信量［ｂｐｓ］」、「通信量［ｐｐｓ］」、「内部トラフィックＩＤ」、集計の単位となる要素（例えば、図５の場合だとプロトコル番号）、すなわち集計に利用した要素だけでもよい。
【００５５】
保存部２４は、トンネルトラフィック情報２６１および非トンネルトラフィック情報２６２を識別するための値である「トラフィックＩＤ」を設定する。保存部２４は、トンネルトラフィック情報２６１および非トンネルトラフィック情報２６２の「期間」として、集計部２３の期間の条件を設定する。
【００５６】
また、保存部２４は、トンネルトラフィック情報２６１および非トンネルトラフィック情報２６２の「送信元ＩＰアドレス」、「宛先ＩＰアドレス」、「送信元ポート番号」、「宛先ポート番号」、「プロトコル番号」、「送信インタフェースのＳＮＭＰ  Ｉｎｔｅｒｆａｃｅ  Ｉｎｄｅｘ」、「受信インタフェースのＳＮＭＰ  Ｉｎｔｅｒｆａｃｅ  Ｉｎｄｅｘ」、「ＴｏＳ」等をトンネルパケット情報および非トンネルパケット情報から取得する。
【００５７】
保存部２４は、トンネルトラフィック情報２６１および非トンネルトラフィック情報２６２の「内部トラフィックＩＤ」として、関連する内部トラフィック情報２６３の「内部トラフィックＩＤ」を設定する。このとき、保存部２４は、トンネルトラフィック情報２６１については１つ以上の「内部トラフィックＩＤ」を設定し、非トンネルトラフィック情報２６２についてはトンネルトラフィック情報でないことを示す値を設定する。なお、内部トラフィック２６３の作成方法については後述する。
【００５８】
［内部トラフィック情報の作成方法］
次に、内部トラフィック情報の作成方法について説明する。集計部２３は、前述の集計グループに含まれるトンネルパケット情報に関連する内部パケット情報について、所定の条件に基づいて通信量を集計する。ここで、条件は、例えばトンネルトラフィック情報および非トンネルトラフィック情報の集計に用いた条件と異なってもよい。
【００５９】
集計部２３は、同一の集計グループに含まれる所定の条件を満たす内部パケット情報をグループ化する。集計部２３は、グループ化を行った後、グループごとに式（４）および式（５）によって通信量を計算する。なお、集計部２３は、式（４）によって容量を計算し、式（５）によってパケット数を計算する。
通信量［ｂｐｓ］＝集計グループの通信量［ｂｐｓ］×（自グループに所属する内部パケット情報のパケットサイズ要素の合計値／集計グループに所属するパケット情報のパケットサイズ要素の合計値）・・・（４）
通信量［ｐｐｓ］＝集計グループの通信量［ｐｐｓ］×（自グループに所属する内部パケット情報の数／集計グループに所属する内部パケット情報の数）・・・（５）
【００６０】
例えば、集計グループの通信量［ｂｐｓ］が１００Ｍｂｐｓ、自グループに所属するパケット情報のパケットサイズ要素の合計値が２２．５ＧＢ、集計グループに所属するパケット情報のパケットサイズ要素の合計値が４５ＧＢである場合、式（４）より通信量［ｂｐｓ］は５０Ｍｂｐｓとなる。
【００６１】
また、通信量［ｐｐｓ］が１１５０００ｐｐｓ、自グループに所属する内部パケット情報の数が１２００個、集計グループに所属する内部パケット情報の数が３４５０個である場合、式（５）より通信量［ｐｐｓ］は４００００ｐｐｓとなる。
【００６２】
保存部２４は、集計部２３によって行われたグループ化および集計の結果を、内部トラフィック情報２６３として記憶部２６に保存する。図１０を用いて内部トラフィック情報２６３について説明する。図１０は、内部トラフィック情報に含まれる要素の一例を示す図である。
【００６３】
図１０に示すように、内部トラフィック情報２６３には、例えば「内部トラフィックＩＤ」、「期間」、「送信元ＩＰアドレス」、「宛先ＩＰアドレス」、「送信元ポート番号」、「宛先ポート番号」、「プロトコル番号」、「ＴｏＳ」、「通信量［ｂｐｓ］」および「通信量［ｐｐｓ］」が含まれる。なお、内部トラフィック情報２６３に含まれる要素は、「内部トラフィックＩＤ」、「期間」、「通信量［ｂｐｓ］」、「通信量［ｐｐｓ］」、集計の単位となる要素（例えば、宛先ＩＰアドレス）、すなわち集計に利用した要素だけでもよい。
【００６４】
保存部２４は、内部トラフィック情報２６３を識別するための値である「内部トラフィックＩＤ」を設定する。保存部２４は、内部トラフィック情報２６３の「期間」として、集計部２３の期間の条件を設定する。
【００６５】
また、保存部２４は、内部トラフィック情報２６３の「送信元ＩＰアドレス」、「宛先ＩＰアドレス」、「送信元ポート番号」、「宛先ポート番号」、「プロトコル番号」、「ＴｏＳ」等を内部パケット情報から取得する。ここで、保存部２４は、設定した「内部トラフィックＩＤ」を、関連するトンネルトラフィック情報２６１の「内部トラフィックＩＤ」にも設定する。
【００６６】
また、トンネルトラフィック情報２６１および内部トラフィック情報２６３は、「内部トラフィックＩＤ」によって関連付けられることで、図１１に示すような「トンネルトラフィック情報  ｈａｓ−ａ  内部トラフィック情報」という関係のデータ構造で表される。図１１は、トンネルトラフィック情報と内部トラフィック情報の関係を示す図である。
【００６７】
図１１に示すように、「トラフィックＩＤ」が「トラフィックＡ」であるトンネルトラフィック情報２６１の「内部トラフィックＩＤ」は「トラフィックＢ」、「トラフィックＣ」および「トラフィックＤ」である。そのため、「トラフィックＩＤ」が「トラフィックＡ」であるトンネルトラフィック情報２６１は、「内部トラフィックＩＤ」が「トラフィックＢ」である内部トラフィック情報２６３、「トラフィックＣ」である内部トラフィック情報２６３、および「トラフィックＤ」である内部トラフィック情報２６３とそれぞれ関連付けられる。
【００６８】
解析装置２０の表示部２５は、保存部２４によって保存されたデータから、トンネルパケット情報をドリルダウンすることで該トンネルパケット情報に関連する内部パケット情報および通信量を取得し、該内部パケット情報に対応する通信量をドリルダウン型のチャートを用いて表示する。
【００６９】
図１２および図１３を用いて、表示部２５が出力するグラフについて説明する。図１２は、トンネルトラフィックのグラフの一例を示す図である。また、図１３は、ドリルダウンしたトンネルトラフィックのグラフの一例を示す図である。
【００７０】
図１２に示すように、表示部２５は、トンネルトラフィックまたは非トンネルトラフィックであるトラフィックＡについてのグラフを作成する。図１２は、所定の日の２３：００〜３：００における、プロトコル番号が「１１５」のトラフィックを、３０分周期で集計した場合のグラフを示している。このとき、トラフィックＡがトンネルトラフィックである場合であっても、図１２のグラフからは内部トラフィック情報２６３を把握することができない。
【００７１】
図１３は、図１２に示すグラフのトラフィックＡについてさらにドリルダウンした場合のグラフである。図１３に示すように、ドリルダウンを実施すると、図１１で示した関係を利用し、内部トラフィックＢ、内部トラフィックＣ、内部トラフィックＤの内部トラフィック情報２６３をグラフに表すことができ、トンネルの内部でどのようなトラフィックが発生していたかを把握することができる。
【００７２】
［第１の実施形態の処理］
図１４を用いて、トラフィック解析システム１の解析装置２０における解析処理について説明する。図１４は、トラフィック解析システムの解析処理の一例を示すフローチャートである。まず、図１４に示すように、管理者等によってトラフィックを集計する条件が指定される（ステップＳ２１）。なお、条件の指定は事前に行われていることとしてもよい。
【００７３】
次に、解析部２２は、フローパケットから、指定された条件と一致したトンネルパケット情報および非トンネルパケット情報を抽出する（ステップＳ２２）。そして、集計部２３は、抽出した情報を集計する単位でグループ化する（ステップＳ２３）。
【００７４】
以降、解析装置２０は、それぞれのグループについてループ処理を行う（ステップＳ２４）。まず、集計部２３は、グループごとに通信量を計算する（ステップＳ２５）。次に、グループがトンネルに関するトラフィック情報のものでない場合（ステップＳ２６、Ｎｏ）、保存部２４は、当該トラフィック情報を非トンネルトラフィック情報として保存し（ステップＳ２９）、次のループへ進む。また、グループがトンネルに関するトラフィック情報のものである場合（ステップＳ２６、Ｙｅｓ）、集計部２３は、内部トラフィックの集計処理を行う（ステップＳ２７）。
【００７５】
また、トラフィック解析システム１は、図１５に示す方法で解析処理を行うこととしてもよい。図１５は、トラフィック解析システムの解析処理の一例を示すフローチャートである。図１４に示す方法では、内部トラフィックの集計処理（ステップＳ２７）は、グループがトンネルに関するトラフィック情報のものであるか否かの判定（ステップＳ２６）がＹｅｓである場合に行われる。一方、図１５においては、内部トラフィックの集計処理は、解析処理の中では行われず、例えばグラフ表示でトンネルトラフィック情報をドリルダウンした際に行われる。
【００７６】
図１６を用いて、内部トラフィックの集計処理について説明する。図１６は、トラフィック解析システムの集計処理の一例を示すフローチャートである。まず、図１６に示すように、解析部２２は、フローパケットから、処理中のトンネルに関連した内部パケット情報を抽出する（ステップＳ２７１）。そして、管理者等によってトラフィックを集計する条件が指定される（ステップＳ２７２）。なお、条件の指定は事前に行われていることとしてもよい。
【００７７】
そして、集計部２３は、抽出した情報を集計する単位でグループ化する（ステップＳ２７３）。以降、解析装置２０は、それぞれのグループについてループ処理を行う（ステップＳ２７４）。まず、集計部２３は、グループごとに通信量を計算する（ステップＳ２７５）。次に、保存部２４は、内部パケット情報およびステップＳ２７５における集計部２３の計算結果を内部トラフィック情報として保存し（ステップＳ２７６）、次のループへ進む。解析装置２０は、以上のループ処理を全てのグループについて繰り返す（ステップＳ２７７）。
【００７８】
図１５に戻り、解析処理について説明する。内部トラフィックの集計処理が完了すると、保存部２４は、トンネルパケット情報およびステップＳ２５における集計部２３の計算結果をトンネルトラフィック情報として保存し（ステップＳ２８）、次のループへ進む。解析装置２０は、以上のループ処理を全てのグループについて繰り返す（ステップＳ３０）。
【００７９】
［第１の実施形態の効果］
第１の実施形態において、解析部２２は、暗号化されていないトンネルを確立するトンネリングプロトコル（例えばＬ２ＴＰ、またはＧＲＥ）であって、ユーザ通信のパケットにヘッダを付加しカプセル化するトンネリングプロトコルが使われているネットワークからサンプリングされたパケットの、トンネリングプロトコルによって付加されたヘッダに含まれるトラフィックに関する情報とサンプリングされたパケットの全部または一部とを関連付けたフローサンプルを要素として持つフローパケットから、トラフィックに関する情報であるトンネルパケット情報を抽出し、サンプリングされたパケットの全部または一部からユーザ通信のパケットのヘッダに含まれるトンネル内部のトラフィックに関する情報である内部パケット情報を抽出する。また、集計部２３は、トンネルパケット情報および内部パケット情報から所定の条件に基づいて通信量を集計する。そして、保存部２４は、トンネルパケット情報、内部パケット情報および通信量を関連付けたデータを保存する。
【００８０】
このように、第１の実施形態のトラフィック解析システム１は、サンプリングされたパケットの全部または一部からトラフィックの計測に必要な情報を得ることができる。これにより、第１の実施形態によれば、トンネリングプロトコルが使われているネットワークの中継区間からのみフローを取得できる環境において、トラフィックの計測を正確に行うことができる。
【００８１】
集計部２３は、ルータ６０および作成装置１０によって取得されたパケット量を基に通信量を集計する。これにより、通信量の推定をより正確に行うことができるようになり、トラフィックの計測の精度を向上させることができる。
【００８２】
集計部２３は、トンネルパケット情報に含まれる所定の要素が同一であるトンネルパケット情報をグループ化し、また、関連するトンネルパケット情報が同一であり、かつ内部パケット情報に含まれる所定の要素が同一である内部パケット情報をグループ化し、通信量を集計する。これにより、トンネルのトラフィック情報とトンネル内部のトラフィック情報のうち、トラフィックの計測に必要な情報が関連付けられるため、計測の効率が向上する。
【００８３】
また、表示部２５は、保存部２４によって保存されたデータから、トンネルパケット情報および通信量を関連付けたトンネルトラフィック情報を取得し、トンネルトラフィック情報をドリルダウンすることで、該トンネルトラフィック情報に関連する内部パケット情報および通信量を関連付けた内部トラフィック情報をドリルダウン型のチャートを用いて表示する。これにより、トンネル内部のトラフィック情報を、ユーザが視覚的に認識することができるようになる。
【００８４】
［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵ（Central  Processing  Unit）および当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【００８５】
また、本実施形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【００８６】
［プログラム］
一実施形態として、解析装置２０は、パッケージソフトウェアやオンラインソフトウェアとして上記の作成または監視を実行する作成プログラムまたは解析プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の作成プログラムまたは解析プログラムを情報処理装置に実行させることにより、情報処理装置を解析装置２０として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal  Handyphone  System）等の移動体通信端末、さらには、ＰＤＡ（Personal  Digital  Assistants）等のスレート端末等がその範疇に含まれる。
【００８７】
また、解析装置２０は、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の作成または監視に関するサービスを提供するサーバ装置として実装することもできる。例えば、解析装置２０は、フローパケットを入力とし、グラフを出力とする解析サービスを提供するサーバ装置として実装される。この場合、解析装置２０は、Ｗｅｂサーバとして実装することとしてもよいし、アウトソーシングによって上記の作成または解析に関するサービスを提供するクラウドとして実装することとしてもかまわない。
【００８８】
図１７は、プログラムが実行されることにより、解析装置が実現されるコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
【００８９】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１およびＲＡＭ（Random  Access  Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
【００９０】
ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、作成装置１０または解析装置２０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、作成装置１０または解析装置２０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid  State  Drive）により代替されてもよい。
【００９１】
また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。
【００９２】
なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３およびプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local  Area  Network）、ＷＡＮ（Wide  Area  Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３およびプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【００９３】
１  トラフィック解析システム
２  ネットワーク
１０  作成装置
２０  解析装置
２１  送受信部
２２  解析部
２３  集計部
２４  保存部
２５  表示部
２６  記憶部
３０  ユーザ端末
４０  ＣＰＥ
５０  ＬＡＣ
６０  ルータ
７０  ＬＮＳ
８０  トンネル
８１  トンネルトラフィックのパケット
９０  フローパケット
２６１  トンネルトラフィック情報
２６２  非トンネルトラフィック情報
２６３  内部トラフィック情報
【図１】
0006290849.tif 000002
【図２】
0006290849.tif 000003
【図３】
0006290849.tif 000004
【図４】
0006290849.tif 000005
【図５】
0006290849.tif 000006
【図６】
0006290849.tif 000007
【図７】
0006290849.tif 000008
【図８】
0006290849.tif 000009
【図９】
0006290849.tif 000010
【図１０】
0006290849.tif 000011
【図１１】
0006290849.tif 000012
【図１２】
0006290849.tif 000013
【図１３】
0006290849.tif 000014
【図１４】
0006290849.tif 000015
【図１５】
0006290849.tif 000016
【図１６】
0006290849.tif 000017
【図１７】
0006290849.tif 000018