(57)【要約】  ネットワーク異常検出器（３０）は、ネットワーク統計における２つの相補的な測定、すなわち時間変化（５８）と相関関係（７６）を評価して、ネットワーク異常の極めてロバストな検出を提供する。1つの実施例において、変動性（５８）と対応度（７６）が、履歴的に導出された閾値（８２）に対して比較されて、ローカルネットワーク条件に適合したシステム（２６）を提供し、ネットワークの質を発展させる。
2010511359.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク（１０）に接続されて、時系列で多数のネットワーク・トラフィック統計データ（５２）を抽出するためにモニタされる、ネットワーク・インタフェース（５０）と、
前記ネットワーク・トラフィック統計データ（５２）を受信して、前記ネットワーク・トラフィック統計データ（５２）の変動性を特性化するための第一解析器（５４）と、
前記ネットワーク・トラフィック統計データ（５２）を受信して、前記ネットワーク・トラフィック統計データ（５２）間の対応度を特性化するための第二解析器（６８）と、
前記第一解析器（５４）及び第二解析器（６８）から変動性特性値（５８）及び対応度特性値（７６）を受信して、ネットワーク異常の可能性を示す出力（６６）を提供する検出器ユニット（４４）と、
を有していることを特徴とするネットワーク・トラフィック異常検出器（３０）。
【請求項２】
前記第一解析器（５４）が、ネットワーク統計データのウェーブレット分解を実行するウェーブレット解析器であることを特徴とする請求項１に記載のネットワーク・トラフィック異常検出器（３０）。
【請求項３】
前記変動性の特性値が、各ウェーブレット分解の係数に渡る変動値に基づいて導出されていることを特徴とする請求項２に記載のネットワーク・トラフィック異常検出器（３０）。
【請求項４】
前記検出器ユニット（４４）が、変動性の増加をネットワーク異常の可能性の増加と結びつけるように動作することを特徴とする請求項１に記載のネットワーク・トラフィック異常検出器（３０）。
【請求項５】
前記第二解析器（６８）が、多数の前記ネットワーク・トラフィック統計データ（５２）間の相関関係を評価することを特徴とする請求項１に記載のネットワーク・トラフィック異常検出器（３０）。
【請求項６】
前記第二解析器（６８）が、どのように成功裏に多数の前記ネットワーク・トラフィック統計データ（５２）の異なる時系列信号を、単一の時系列信号（７２）で表現できるかを評価することを特徴とする請求項１に記載のネットワーク・トラフィック異常検出器（３０）。
【請求項７】
前記単一の時系列信号（７２）が、特異値分解によって生成されるものであることを特徴とする請求項６に記載のネットワーク・トラフィック異常検出器（３０）。
【請求項８】
前記検出器ユニット（４４）が、対応度の低下をネットワーク異常の可能性の増加と結び付けるように動作することを特徴とする請求項１に記載のネットワーク・トラフィック異常検出器（３０）。
【請求項９】
前記ネットワーク・インタフェース（５０）が、構造的に比例関係の傾向にある一対の対称的なカウント数からネットワーク・トラフィック統計データを抽出することを特徴とする請求項１に記載のネットワーク・トラフィック異常検出器（３０）。
【請求項１０】
前記一対の対称的なカウント数が、パケット・レートとビット・レートの対及び流入トラフィック・レートと流出トラフィック・レートの対からなるグループから選択されることを特徴とする請求項９に記載のネットワーク・トラフィック異常検出器（３０）。
【請求項１１】
前記第一解析器（５４）及び前記第二解析器（６８）には、解析のための異なる時間窓が用いられ、そして、前記第二解析器（６８）の時間窓が、前記第一解析器（５４）の時間窓より大きくされていることを特徴とする請求項１に記載のネットワーク・トラフィック異常検出器（３０）。
【請求項１２】
前記第一解析器（５４）には、５分未満の時間窓が用いられることを特徴とする請求項１に記載のネットワーク・トラフィック異常検出器（３０）。
【請求項１３】
前記ネットワーク・トラフィック異常検出器（３０）が、さらに、前記ネットワーク（１０）と接続されて時系列で多数のネットワーク・トラフィック統計データ（５２）を抽出するためにモニタされる少なくとも1つの新たなネットワーク・インタフェース（５０）を有していることを特徴とする請求項１に記載のネットワーク・トラフィック異常検出器（３０）。
【請求項１４】
前記ネットワーク・トラフィック異常検出器（３０）が、さらに、変動性と対応度の周期的な履歴測定を提供するデータベースを有しており、
前記検出ユニットが、変動性及び対応度の現在の特性値を履歴測定値とさらに比較処理して、異常を検出することを特徴とする請求項１に記載のネットワーク・トラフィック異常検出器（３０）。
【請求項１５】
前記比較処理が、前記履歴測定時に発生する現在のネットワーク統計データの特性値の可能性を評価するものであることを特徴とする請求項１４に記載のネットワーク・トラフィック異常検出器（３０）。
【請求項１６】
ネットワーク（１０）に接続されて、ネットワーク・トラフィック統計データ（５２）の多重相関を測定するためにモニタされる、ネットワーク入力（５０）と、
前記ネットワーク・トラフィック統計データを受信して、異なる前記ネットワーク・トラフィック統計データ間の対応度を特性化するためのネットワーク解析器（４２）と、
対応度の周期的履歴測定結果を提供するデータベース（８２）と、
対応度の特性値及び履歴測定結果を受信して、ネットワーク異常の可能性を示す出力（６６）を提供する検出器ユニット（４４）と、
を有していることを特徴とするネットワーク・トラフィック異常検出器（３０）。
【請求項１７】
ブール入力を受信する論理AND/OR検出ユニット及び連続的な重み値を受信するベイジアン・ネットワークからなるグループから、前記検出器ユニット（４４）が選択されることを特徴とする請求項１６に記載のネットワーク・トラフィック異常検出器（３０）。
【請求項１８】
前記ネットワーク解析器（４２）が、どのように成功裏に多数の前記ネットワーク・トラフィック統計データの異なる時系列信号を単一の時系列信号（７２）で表現できるかを評価して、ネットワーク・トラフィック信号の対応度を特性化することを特徴とする請求項１６に記載のネットワーク・トラフィック異常検出器（３０）。
【請求項１９】
前記単一の時系列信号（７２）が、特異値分解によって生成されるものであることを特徴とする請求項１８に記載のネットワーク・トラフィック異常検出器（３０）。
【請求項２０】
前記検出器ユニット（４４）が、対応度の低下を、ネットワーク異常の可能性の増加と結び付けるように動作することを特徴とする請求項１６に記載のネットワーク・トラフィック異常検出器（３０）。
【請求項２１】
前記ネットワーク・インタフェース（５０）が、構造的に比例関係の傾向にある一対の対称的なカウント数からネットワーク・トラフィック統計データを抽出することを特徴とする請求項１６に記載のネットワーク・トラフィック異常検出器（３０）。
【請求項２２】
前記一対の対称的なカウント数が、パケット・レートとビット・レートの対及び流入トラフィック・レートと流出トラフィック・レートの対からなるグループから選択されることを特徴とする請求項２１に記載のネットワーク・トラフィック異常検出器（３０）。
【請求項２３】
前記ネットワーク解析器（４２）が、ネットワーク・スイッチ装置（３６）上で走るソフトウエア（３２）で構成されていることを特徴とする請求項１６に記載のネットワーク・トラフィック異常検出器（３０）。
【請求項２４】
（ａ）ネットワークと接続して、時系列（５２）で多数のネットワーク・トラフィック統計データを抽出するステップと、
（ｂ）前記ネットワーク・トラフィック統計データを解析して、前記ネットワーク・トラフィック統計データ（５８）の変動性を特性化するステップと、
（ｃ）前記ネットワーク・トラフィック統計データ（５２）を解析して、異なるネットワーク・トラフィック統計データ（７６）間の対応度を特性化するステップと、
（ｄ）前記変動性の特性値（５８）及び前記対応度の特性値（７６）に基づいて、ネットワーク異常の可能性を示す出力（６６）を提供するステップと、
を有していることを特徴とするネットワーク・トラフィック異常検出方法。
【請求項２５】
（ａ）ネットワーク（１０）と接続して、ネットワーク・トラフィック統計データ（５２）の多重相関を時系列（５２）に測定するステップと、
（ｂ）前記ネットワーク・トラフィック統計データを解析して、多数の前記ネットワーク・トラフィック統計データ（７６）間の対応度を特性化するステップと、
（ｃ）現在の対応度と対応度の周期的履歴測定結果（８２）とを比較して、ネットワーク異常の可能性を示す出力（６６）を提供するステップと、
を有していることを特徴とするネットワーク・トラフィック異常検出方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、例えばインターネット上のネットワークデータの伝送のモニタリングに関し、特に、進歩したネットワーク異常検出を提供するモニタリングシステムに関する。
【背景技術】
【０００２】
例えばインターネットのようなコンピュータネットワークは、異なるネットワーク・スイッチ又はルーターによって結ばれた様々な異なる通信メディア（例えば電線や光ファイバケーブル）を介してコンピュータ間にデータを送信する。例えばＴＣＰ／ＩＰのような共通のデータ伝送プロトコルは、データを、個別に届けられ通信先で組み立てられる個別パケットに分割する。データは、文字や映像や音楽を含む様々なソースからなり、デジタル形式に変換される。
【０００３】
通信リンクとしてのインターネットに対する世界中の信頼の増加と共に、その適切な動作を確保し、ネットワーク上の問題に迅速に応答するために、コンピュータネットワークをモニタリングすることがますます重要になってきている。特に懸念されるのは、ネットワーク「異常」、即ち問題を示唆する異常なネットワーク活動の正確かつ迅速な検出である。洪水のようなデータパケットが特定のネットワーク・ノードに向けられて正常な動作を妨げたり、システムによる大規模な問い合わせで悪用可能なネットワークの弱点を探すといったサービス妨害攻撃のような、悪意のある活動を、ネットワーク異常は反映している。また、例えば1つのサーバーから多くの受信者へ供給される予期できない人気のあるスポーツイベントのような、特定データの予期できない一時的な要求によって生じる「フラッシュ・クラウド」イベント、又は、ネットワーク・トラフィックとネットワーク容量に重要な変化を生じさせる、通常ネットワークハードウエア、ネットワークメディア、又はネットワークソフトウエアを含む「ノード障害」などの、モニタすべき悪意のない活動をも、ネットワーク異常は反映している。
【０００４】
ネットワークの特定の部分におけるトラフィックは、ネットワーク管理者によって、収集されたデータの自動又は手動モニタリングを可能にする種々のツール、例えば簡易ネットワーク管理プロトコル（ＳＮＭＰ）クエリーや「ＩＰフロー・モニター」を用いてモニタされている。ＳＮＭＰクエリーは、例えばルーターのようなネットワーク・ノードからデータを得て、例えばノードを通って伝送されるパケットの数のようにアクティビティのカウント数によって大部分が構成される。ＩＰフロー・モニターは、例えばパケットの論理メッセージやセッションとの関係を識別するような、データパケットの発信元及び／又は受信先を含むネットワーク・トラフィックに関するより高度な情報を提供する。
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ネットワークデータが大量であって、ネットワーク・イベントをコンスタントに人間がモニタリングすることは非現実的であることから、ネットワーク異常検出プロセスを自動化することは重要である。それにも関わらず、このプロセス自動化は、特にノーマルなネットワーク・トラフィックの高い変動性を考慮すると、困難である。「誤判定」検出を制限するように調整する単純な閾値化技術は、基本ネットワーク統計にマイナーな変化をもたらす重要な異常を検出することができない。例えば正常なネットワーク行動を手本としたニューラル・ネットのように、より複雑なモデルを用いることは、重要な未知の又は想定外の異常を犠牲にして、「既知」の異常に偏るという危険を冒す。大量のデータ・ストレージ又はコンピュータ・パワーが必要な高度に洗練された自動検出技術は、日常的なネットワーク解析に対して、非現実的である。
【課題を解決するための手段】
【０００６】
本発明は、2つのシンプルかつロバストな検出技術を組み合わせたネットワーク異常検出器を提供するものである。第一の技術は、ネットワーク統計の変動性を調査するものである。このアプローチは、正常なネットワーク動作において、ネットワーク異常が経時的な変化を示すという直感に適合している。第二の技術は、ネットワークの多重時系列測定間の相互関係を求めるものである。このアプローチは、ネットワーク異常がネットワーク動作において「アンバランス」を示すという直感に従うものである。これら2つの相補的アプローチが、「ローカル」な高速応答検出と、「グローバル」なより長い水平検出とのバランスをとって、誤報に耐性のあるネットワーク異常の正確な検出を提供する。
【０００７】
具体的には、本発明は、多重で時系列なネットワーク統計を抽出するためにモニタされるネットワークと接続したネットワークインタフェースを有するネットワーク・トラフィック異常検出器を提供する。第一の解析装置は、ネットワーク・トラフィック統計を受信して、ネットワーク・トラフィック統計の変動性を特性化し、一方、第二の解析装置は、ネットワーク・トラフィック統計を受信して、異なるネットワーク・トラフィック統計間の対応度を特性化する。検出ユニットは、変動性特性と対応度特性を受信して、ネットワーク異常の可能性を示す出力を提供する。
【０００８】
従って、本発明の少なくとも1つの実施例の特徴は、2つの相補的な検出技術を組み合わせることによって、シンプルだが正確なネットワーク異常検出器を提供することである。
【０００９】
第一の解析装置は、ネットワーク統計のウェーブレット分解を行なうウェーブレット解析装置である。
【００１０】
本発明の少なくとも1つの実施例における追加の特徴は、一定範囲の時間的尺度における変動性の洗練された測定を提供することである。
【００１１】
変動性の特性解析は、各ウェーブレット分解の係数間の変動に基づいて行なわれる。
【００１２】
従って、本発明の少なくとも1つの実施例における特徴は、多重時間的尺度にわたる変動性のコンパクトな表現を提供することである。
【００１３】
検出ユニットは、変動性が大きくなるほど、ネットワーク異常の可能性が高くなるように結び付ける。
【００１４】
従って、本発明の少なくとも1つの実施例の特徴は、異常がネットワーク統計における急変を表わすという直感的センスと合致した検出システムを提供することである。
【００１５】
第二の解析装置は、多重ネットワーク・トラフィック統計間の相関を評価するものである。
【００１６】
従って、本発明の少なくとも1つの実施例における特徴は、ネットワークにおけるアンバランスの進展が明白なものをネットワーク異常として検出するシステムを提供することである。
【００１７】
第二の解析装置は、例えば特異値分解によって生成されるような、どのように成功裏に多数のネットワーク・トラフィック統計データの異なる時系列信号を、単一の時系列信号で表現できるかを評価するものである。
【００１８】
従って、本発明の少なくとも1つの実施例における特徴は、異なるネットワーク統計間の偏差を、その正常な相互関係から定量化する、洗練された方法を提供することである。
【００１９】
検出ユニットは、対応度が低下するほど、ネットワーク異常の可能性が高くなるように結び付ける。
【００２０】
従って、本発明の少なくとも1つの実施例における重要な特徴は、ネットワーク統計の非相関が、根本的なネットワーク異常を示すという直感を引き出すシステムを提供することである。
【００２１】
ネットワークインタフェースは、構造的に比例関係の傾向にある２つ一組の「対称的カウント数」からなるネットワーク統計データを抽出する。例えば、カウント数は共に移動する傾向のあるパケット・レートとビット・レートの統計データであるか、又は、共に移動する傾向のある（ビット又はパケットの）流入トラフィック・レートと、流出トラフィック・レートである。
【００２２】
従って、本発明の少なくとも1つの実施例における特徴は、根本的な異常を示す、本質的に対称的な測定のアンバランスに敏感なシステムを提供することである。
【００２３】
第一と第二の解析装置は、解析に異なる時間窓を用い、第二解析装置の時間窓は、第一解析装置の時間窓より大きい。
【００２４】
従って、本発明の少なくとも1つの実施例における特徴は、異なる時間的尺度に対して同時に敏感な異常検出器を提供することである。
【００２５】
異常検出器は、５分未満、好ましくは約１分未満の時間窓を用いる第一の解析装置を有する。
【００２６】
従って、本発明の少なくとも1つの実施例における特徴は、誤判定としての異常を示すあいまいなレベルを生成することなしに、ネットワーク異常の重要なクラスを示すような、極めて短い時間窓の非常に敏感なシステムを提供することである。
【００２７】
異常検出器は、変動性と対応度に関する周期的な測定履歴を提供するデータベースをさらに備え、検出器ユニットは、異常を検出するために、現在の変動性と対応度の特性値を、測定履歴とさらに比較する。
【００２８】
従って、本発明の少なくとも1つの実施例における特徴は、あらゆる与えられたネットワークに対して、何が正常な挙動かを自動的に学習するような、発見的挙動に容易に適応できるシステムを提供することである。本発明の少なくとも1つの実施例におけるもう1つの特徴は、部分的に保存され加工されたネットワーク挙動に関するコンパクトな履歴記録を用いた発見的システムを提供することである。
【００２９】
ここで比較とは、現在のネットワークの特性（例えば変動性や対応度）が、履歴データセットにあるものと同じである可能性を評価することである。
【００３０】
従って、本発明の少なくとも1つの実施例における特徴は、何が異常挙動であるかの動的定義を供給するシステムを提供することである。
【００３１】
トラフィック異常検出器は、ネットワーク交換装置上を走るソフトウエアであっても良い。
【００３２】
従って、本発明の少なくとも1つの実施例における特徴は、コンピュータと、ネットワーク・ノードを部分的に置換可能なデータ記憶装置からなるシステムを提供することである。
【００３３】
これらの特定の特徴や長所は、請求項に含まれる幾つかの実施例にのみ適用され、従って発明の範囲を定義するものではない。
【図面の簡単な説明】
【００３４】
【図１】本発明に係るネットワーク解析器の2つの実施例を示したコンピュータネットワークの概略図であって、1つは独立型のネットワークモニタであり、もう1つはネットワーク・スイッチに内蔵されている。
【図２】図１のネットワークアナライザの両実施例の主成分を示すブロック図であって、信号抽出、変換、検出の各コンポーネントを提供し、変換コンポーネントは独立変動性解析と対応度解析の両方を提供する。
【図３】図２の変動性解析に使用するウェーブレット変換ブロックの拡大ブロック図である。
【図４】履歴データを用いた異常ネットワーク挙動の定義を提供する発見的検出システムを示す図２の検出ステージの別の実施例である。
【図５】時間に依存した統計的閾値と確率分布関数を示す図４の実施例に用いられる履歴データのグラフ表示である。
【図６】図５によって集められた確率分布関数に対応度統計を応用した様子を示す閾値化ブロックの詳細なブロック図である。
【発明を実施するための形態】
【００３５】
図１を参照して、例えばインターネットのようなコンピュータネットワーク１０が、いろいろなより小さなネットワーク１２と、1つ以上のネットワークライン１６と結合したスタブ・ネットワークを備える。一般的なネットワークライン１６は、例えば、IEEE802.1qギガバイトイーサネット（登録商標）・トランクである。
【００３６】
ネットワークライン１６は、ネットワーク１２、１４と、ネットワーク１２からネットワーク１４への流入方向２２と、ネットワーク１４からネットワーク１２への流出方向２４の両方向において、データパケット１８を交換する。
【００３７】
独立型ネットワークモニタ２６は、独立型ネットワークモニタ２６をネットワークライン１６に接続して、そこに伝送されたパケット１８を読み取るためのタップ２８を備える。独立型ネットワークモニタ２６は、記憶されたプログラム３２を実行することで本発明のネットワーク・トラフィック異常検出器を実装し、オペレータ又は応答システムに警報出力３４を供給する専用プロセッサ３０を備える。警報出力は、独立型ネットワークモニタ２６と関係し、又はネットワーク自身を通って遠隔地へ伝送される。
【００３８】
他の実施例において、本発明は例えばブリッジ又は境界ルーターのようなネットワーク・ノード３６によって実施され、ネットワーク・ノード３６は警報出力３４を生成するためのプロセッサ３０と記憶されたプログラム３２を備える。
【００３９】
独立型ネットワークモニタ２６又はネットワーク・ノード３６は、例えばデュアルIntel Xeon プロセッサとEndace DAG4.3GEネットワークモニタリングカードとマルチプルSCSIディスクを備えた専用コンピュータで構成される。
【００４０】
次に図２を参照して、ソフトウエア又はファームウエア又はその両方で構成される記憶されたプログラム３２は、３つの論理セクション：ネットワークからデータを抽出する第一抽出セクション４０；抽出したデータを変換する変換セクション４２；そして、変換したデータを解析して異常が存在するか否かを決定する検出セクション４４を有するネットワーク異常検出器を提供する。
【００４１】
抽出セクション４０は、所定の割合のパケット１８を読み取って、所定の時間窓当たりの基本統計データを抽出し、時系列データとしてこれらの統計データを提供する抽出ユニット５０を備える。好ましい実施例において、統計データは、時間窓の期間の流入パケット１８の総数である流入パケットカウントと、時間窓の期間の流出パケット１８の総数である流出パケットカウントと、時間窓の期間の流入パケット１８のビット２０の総数である流入ビットカウントと、時間窓の期間の流出パケット１８のビット２０の総数である流出ビットカウントとで構成される。抽出セクション４０は、例えばDAGドライバソフトウエアバージョン2.5.3リリース１と、NeTraMetソフトウエアバージョン5.1ベータ9のパッチを当てたバージョンを用いて、1秒の時間窓に対するこれらのカウント数を抽出する。
【００４２】
また図３を参照して、抽出セクション４０によって抽出されたカウント数を表現する４つの時系列信号５２が、統計データの時間変化を解析する変動性解析器５４へ供給される。好ましい実施例において、各信号５２に独立して作用して、各信号５２を異なる時間的尺度の基本ウェーブレットのセットに分解して、ウェーブレットコンポーネントの振幅対ウェーブレットコンポーネントの時間的尺度を定義する関数５５を供給するウェーブレット変換ユニット５６を備える。
【００４３】
この関数５５の全体的な傾斜が、ウェーブレットの時間的尺度を渡る変動性を示す変動性出力５８を提供し、小さな時間的尺度から大きな時間的尺度に移動するにつれて、関数５５の傾斜が大きくなり（従って変動性出力５８が大きくなり）、所定の時系列信号５２の「滑らかさ」が大きくなる。
【００４４】
各時系列信号５２に対する変動性出力５８は、変動性出力５８と経験的に決定された閾値とを比較して二進出力６２を生成する閾値検出器６０に供給される。閾値検出器６０は、二進出力６２が、時系列信号５２が比較的高い変動性又は滑らかさの程度が低い場合に、論理的真又はhighになり、時系列信号５２が比較的低い変動性又は滑らかさの程度が高い場合に、論理的偽又はlowとなるように動作する。
【００４５】
再び図２を参照して、抽出セクション４０によって抽出されたカウント数を表現する４つの時系列信号５２は、異なる時系列信号５２間の対応度を解析する対応度解析器６８にも供給される。好ましい実施例において、時系列信号５２のそれぞれは、４つの信号５２から2つの固有値７２を抽出する特異値分解ブロック７０によって処理される。固有値７２は、時系列信号間に内在する関数関係、例えば正常に機能しているネットワークの流入データと流出データ間や、パケットやビット間の対応度可能性を捕獲する。
【００４６】
例えば固有値７２から時系列信号５２を再構築できない場合のように、時系列信号５２の本質的な性質を正確に引き出す固有値７２の抽出に失敗することは、時系列信号５２間の対応度又は相関関係の欠如を示し、エラー計算器７４によって検出される。エラー計算器７４は、時系列信号５２と固有値７２とを受け取って、各固有値７２に対する対応度出力７６を出力する。
【００４７】
対応度出力７６は、閾値検出器６０と類似の閾値検出器７８に供給され、閾値検出器７８は時系列信号５２間が低い対応度の時に真で、高い対応度の時に偽である二進出力８０を出力する。
【００４８】
変動性解析器５４に関係する閾値検出器６０からの出力６２と、対応度解析器６８に関係する閾値検出器７８からの出力８０は、出力６６がネットワーク異常を示す警報出力３４を提供する論理ANDゲート６４（又は代替的な論理AND／ORゲートアレイ）に供給される。従って、ネットワーク異常の誤判定指示が、異常を示す前に閾値検出器６０と閾値検出器７８の各出力がhighであることが必要であるという事実によって減じることが理解されるであろう。このプロセスが、対応度がhighを維持している場合の変動性を増加させる感度を減じ、変動性がlowを維持している場合に対応度の損失に関する感度を減じることに留意すべきである。
【００４９】
代替的に、変動性出力５８が所定の重み値を有するベイジアン・ネットワークによって直接受け取られて、出力６６を生成することができることが理解されるであろう。
【００５０】
次に図４を参照して、別の実施例において、閾値検出器６０と７８に加えられる閾値が、時間と共に変化し、正常なネットワーク挙動の新たな定義が「学習」されるように、上記検出器セクション４４が変形されている。この発見的閾値化プロセスは、変動性出力５８と対応度出力７６とをデータベース８２に周期的に収集する。この実施例において、過去の４ヶ月のデータが収集されている。変動性出力５８と対応度出力７６が（ネットワーク・トラフィックのフル・キャプチャと比較して）比較的コンパクトであるので、このデータベースが容易に収集でき、サーバー上に保存できることに留意すべきである。また、このデータは一日の正常な区分を反映した限定された数の「二値」に集約することで、さらに記憶すべきデータ容量を削減できる。
【００５１】
図５を参照して、このデータ記憶プロセスにおいて、新しい変動性出力５８又は対応度出力７６が計算されると、それらは、各日８８を例えば等しい長さで割った期間９０に分類される。各期間９０の中で、データは集約されて、必要なデータ容量が削減される。
【００５２】
変動性出力５８に対し、データは、この期間９０の周期的な以前の４ヶ月のデータと共に集約されて、統計的に重要な百分率、例えば各時系列信号５２に対する集約された変動性データの５番目と９５番目のデータが計算される。これらの百分率値は各期間９０に関係するデータ要素９２に保存される。図４を参照して、閾値検出器６０’はこれらのデータ要素９２を読み取り、閾値を生成する。それは、もし現在の変動性出力５８が図５のデータ要素９２の５番目と９５番目の百分率値間にあれば、ＦＡＬＳＥの二進出力６２を生成し、もし現在の変動性出力５８が５番目と９５番目の外側であれば、ＴＲＵＥの二進出力６２を生成する。
【００５３】
対応度出力７６に対し、データはこの期間９０の周期的な以前の４ヶ月のデータと共に集約されて、確率密度関数９４を集める。確率値を４つの区間カテゴリー０〜０．７、０．７〜０．８、０．８〜０．９２、０．９２〜１に離散化することによって、確率密度関数９４のために必要な容量は、さらに削減される。図６を参照して、エラー計算機７４からの各対応度出力７６は、閾値検出器７８’に供給され、閾値検出器７８’は、確率密度関数９４に基づいて閾値を生成し、所定の確率閾値を生成する。具体的には、各応答出力は確率密度関数９４に加えられて、確率が得られ、その確率は所定の閾値（好ましい実施例において、１×１０-4）と比較されて、もし現在の対応度出力７６結果の確率が、所定の閾値より大きければＦＡＬＳＥの２進出力値８０を生成し、もし現在の対応度出力７６結果の確率が所定の閾値より小さければ、ＴＲＵＥの2進出力値８０を生成する。
【００５４】
従って、もし閾値に従って応答が履歴的に観察された応答以下に落ちた場合に、異常が明示される。このプロセスにおいて、たとえ固定された閾値が確立されていたとしても、
基本的なネットワーク統計データの変化を反映して、閾値が変化することが理解されるであろう。
【００５５】
本発明が本明細書に含まれる実施例や図面によって限定されるものではなく、以下のクレームの範囲内で実施例の一部や異なる実施例の要素の組み合わせを含むこれらの実施例の変形例を含むものであることが具体的に意図されている。例えば、ネットワーク・トラフィック異常検出器によって収集されたデータは、多数の異なるネットワーク・ロケーションから抽出することができる。又は、多数の異なるネットワーク・トラフィック異常検出器は、ネットワークの異なる部分を解析でき、その出力は論理的又は統計的に組み合わされて異常を検出する。加えて、ネットワーク・トラフィック異常検出器は、ネットワーク・トラフィックの２つの特性を解析するものに限定されず、多数の特性をモニタすることができる。例えば、「滑らかさ」の多重度における相関関係の有無がある。
【図１】
2010511359.tif 000003
【図２】
2010511359.tif 000004
【図３】
2010511359.tif 000005
【図４】
2010511359.tif 000006
【図５】
2010511359.tif 000007
【図６】
2010511359.tif 000008
【国際調査報告】
2010511359.tif 000009
2010511359.tif 000010
2010511359.tif 000011