(57)【要約】  本発明は、トラフィックを取得するステップおよび綿密なパケット分析ステップを含む、電気通信ネットワーク内のトラフィックを分類するための方法に関するものである。本発明は、統計的に生成される決定木を使用してトラフィックを統計的に分類することを含むステップも含む。好ましくはこの統計的トラフィック分類ステップは、綿密なパケット分析の後に実行され、このパケット分析によって特定されていないトラフィック、具体的には例えば暗号化されたピアツーピアプロトコルを使用する暗号化されたトラフィックのみを伴う。
2010536216.tif 000002
【特許請求の範囲】
【請求項１】
トラフィックを取得する段階および詳細なパケット分析の段階を含む、ＩＰ電気通信または企業ネットワーク上のトラフィックを分類するための方法であって、統計的に生成される決定木を使用してトラフィックを統計的に分類する段階を含むことを特徴とする、方法。
【請求項２】
トラフィックを統計的に分類する段階が、詳細なパケット分析の後に実行され、このパケット分析によって特定されていないトラフィック、具体的には暗号化されたトラフィックのみに関係することを特徴とする、請求項１に記載の方法。
【請求項３】
取得された要素から所定のパラメータが抽出され、前記パラメータが、決定木の少なくとも１つのノード用の分岐基準を定義するために使用されることを特徴とする、請求項１または２に記載の方法。
【請求項４】
所定のパラメータが、パケットサイズ、パケット間の時間間隔、パケット数、使用されるポート番号、パケット番号、所与のＩＰアドレスに関して異なるＩＰアドレスの数、を含む群から選択されることを特徴とする、請求項３に記載の方法。
【請求項５】
詳細なパケット分析によって特定されないトラフィックが、統計的分析により、知られているアプリケーション、具体的には暗号化されていないアプリケーションに属すると認識される場合、詳細なパケット分析の段階と、決定木によりトラフィックを統計的に分析する段階との間に、情報を交換する段階を含むことを特徴とする、請求項１から４のいずれか一項に記載の方法。
【請求項６】
決定木が二分木でないことを特徴とする、請求項１から５のいずれか一項に記載の方法。
【請求項７】
分岐基準としてエントロピが使用されることを特徴とする、請求項１から６のいずれか一項に記載の方法。
【請求項８】
決定木を規則に変換する段階を含むことを特徴とする、請求項１から７のいずれか一項に記載の方法。
【請求項９】
決定木がＣ４．５またはＣ５．０のタイプのものであることを特徴とする、請求項１から８のいずれか一項に記載の方法。
【請求項１０】
取得が、具体的にはルータ上で、パケットスニッファソフトウェアを使用して、またはデータベース内にコピーすることによって実行されることを特徴とする、請求項１から９のいずれか一項に記載の方法。
【請求項１１】
トラフィックを取得するための手段および詳細なパケット分析のための手段を含む、電気通信ネットワーク上のトラフィックを分類するための装置であって、統計的に生成される決定木を使用してトラフィックを統計的に分類するための手段を含むことを特徴とする、装置。
【請求項１２】
取得、パケット分析、および統計的分類のための手段が１つのボックスに統合されることを特徴とする、請求項１１に記載の装置。
【請求項１３】
内部ネットワークと少なくとも１つの外部ネットワークとの間のカットオフ位置に配置されることを特徴とする、請求項１１または１２に記載の装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はＩＰ電気通信または企業ネットワークの技術的領域に関し、より具体的にはアプリケーションを特定、分類、およびフィルタリングするためのトラフィック制御に関するものである。
【背景技術】
【０００２】
本発明は特に、暗号化されたストリームを用いるアプリケーションを分類するための技法に関する：それは例えばピアツーピア型アプリケーション（特にＶｏＩＰ  Ｓｋｙｐｅ）や、ｈｔｔｐｓトンネル用の企業ＶＰＮ（仮想私設ネットワーク）アプリケーションである。
【０００３】
技術的に可能ではあるが、著作権によって保護される著作物にオープン、自由、かつ無制限にアクセスすることは、その性質上違法であり、経済的に危険であり、よって争う必要がある。ＮａｐｓｔｅｒはＭＰ３形式の音楽ファイルを共有することを許可しなかったが、ピアツーピアネットワークは現在特にビデオ、ゲーム、およびソフトウェアを交換することを可能にしている。高速であることは、１時間の映画をほんの数分でダウンロードできることを意味する。
【０００４】
違法ダウンロードの証明を確立することは法律上の理由および技術上の理由から困難であり、それについては以下のように要約することができる。
【０００５】
まず、ピアツーピア（すなわちＰ２Ｐ）交換ソフトウェアを使用するインターネットユーザは、著作財産および芸術的財産に関係する法律に関して必ずしも違反を犯しているわけではない。特定の著作物（公的行為、報道資料）はその性質上またはその意図する目的により、パブリックドメイン内にあり得る。さらに、経過した期間が原因で多数の著作物がパブリックドメイン内にある。ダウンロードは、商業的に利用する権利を必ずしも含意するわけではない見る権利または聞く権利に結びつけることができる。例えば、ＤａｉｌｙＭｏｔｉｏｎのサイトは、インターネットユーザが自身のビデオを投稿し、他のインターネットユーザのビデオを自由に見ることを可能にする。ピアツーピアネットワークは、グリッドコンピューティング、テレビ会議、インスタントメッセージングなど、多様かつ完全に合法な活動を可能にする。
【０００６】
第２に、潜在的に違法なダウンロードの数は極めて多い。国庫経済政策総局（Ｔｒｅａｓｕｒｙ  ａｎｄ  ｅｃｏｎｏｍｉｃ  ｐｏｌｉｃｙ  ｇｅｎｅｒａｌ  ｄｉｒｅｃｔｏｒａｔｅ）によれば、２００５年にフランスでは、ピアツーピアネットワークの不定期ユーザが８００万人、常用ユーザが７５０，０００人いた。フランスでは、ＣＮＣ（国立映画センタ）が２００５年に違法な音声映像のダウンロード数を１日あたり１００万と推定し、この数は映画館に行く観客数の２倍にあたる。ＯＥＣＤによれば、２００４年には２００３年の３０％増である約１，０００万人がピアツーピアネットワークを使用した（ＯＥＣＤ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｔｅｃｈｎｏｌｏｇｙ  Ｏｕｔｌｏｏｋ  ２００４：Ｐｅｅｒ  ｔｏ  Ｐｅｅｒ  ｎｅｔｗｏｒｋｓ  ｉｎ  ＯＥＣＤ  ｃｏｕｎｔｒｉｅｓ）。
【０００７】
第３に、今日最も一般的に使用されているソフトウェアは、インターネットユーザの匿名コミュニティによって作成されるオープンソースソフトウェアである。このソフトウェアに関してはもはや編集者はおらず、この状況は無論、ピアツーピアソフトウェア編集者の刑事上の責任が審理された最近の法的評決に起因している（オランダ最高裁判所２００３年１２月１９日、Ｂｕｍａ／Ｓｔｅｍｒａ  ｖ．  ＫａＺａＡ、米国最高裁判所２００５年６月２７日、Ｍｅｔｒｏ−Ｇｏｌｄｗｙｎ−Ｍａｙｅｒ  ｖ．  Ｇｒｏｋｓｔｅｒ）。Ｋａｍｅｌｅｏｎ、Ｍｕｔｅ、Ｓｈａｒｅ、Ａｎｔｓ、Ｆｒｅｅｎｅｔ、ＧＮＵｎｅｔ、Ｉ２Ｐなどのこのソフトウェアは、ユーザをフィルタおよび特定することを非常に困難にする暗号化システムが備わっている。例えばＴＯＲ（Ｔｈｅ  Ｏｎｉｏｎ  Ｒｉｎｇ）など、匿名での接続を可能にするシステムもある。
【０００８】
第４に、インターネットユーザは、私的コピーするために合法的な情報源から著作物をダウンロードできなければならないが、通常はその情報源が合法的であることを確認する手段を有さない。したがって、例えばパリ大審裁判所（上級裁判所）（案件番号０５０４０９００９１）は、２００５年１２月８日の判決で、１０億を超える音楽ファイルへのアクセスを可能にしているピアツーピアソフトウェアＫａｚａａは、著作権によって保護された著作物のファイルとパブリックドメイン内にある著作物のファイルとの間の区別をできなくすることを認めた。
【０００９】
第５に、インターネットストリームを全般的に処理することは、プライバシを保護する法規に違反してはならない。例えば、保護された著作物を利用できるようにしているインターネットユーザのＩＰアドレスの集合は、原則として法的手続きとの関連でしか明示可能にすることができない。広範囲の侵害（何千もの著作物のダウンロード）との闘いは、個人データを収集することを正当化し得る。データが匿名の状態にされる限り、統計的目的でピアツーピアネットワークを継続的かつ自動的にスキャンすることも可能である。法的または行政的な通信傍受も当然可能である。しかし、ピアツーピアネットワークを自動的、網羅的、かつ非匿名的に処理することはプライバシの尊重に反する。
【００１０】
最後に、ＩＰアドレスを知ることは、必ずしもインターネットユーザを特定することを意味するとは限らない。
【００１１】
違法ダウンロード、具体的には著作権を無視した著作物のダウンロードには２つの異なる側面がある：
−  商業的な目的での大量ダウンロード。
−  個人レベルまたはコミュニティレベルでの不定期のダウンロード。
【００１２】
商業的な目的での大量ダウンロードは、特定の権利侵害では間違いなく一般的な制止技法によって撲滅に取り組むことができる。
【００１３】
しかし、不定期のダウンロードに関しては、切り離してとると限られた問題しかもたらさない多数の違反を適合処理するための技術的方策を見つける必要があり、これらの技術的方策はプライバシを保護する施行中の法律に準拠する必要がある。
【００１４】
ポート認識は推測的に想像でき、ＩＳＰ（インターネットサービスプロバイダ）のネットワーク上に導入されるルータがこの特徴を提供する（Ｃｉｓｃｏ、Ｊｕｎｉｐｅｒ、Ｅｘｔｒｅｍｅ  Ｎｅｔｗｏｒｋ、Ｆｏｕｎｄｒｙのルータ）。例えば、ポート１２１４はＦａｓｔｔｒａｃｋ（ＫａＺａＡ）のデフォルトポートであり、ポート４６６１、４６６５、４６７２はｅＤｏｎｋｅｙおよびｅＭｕｌｅアプリケーションによりデフォルトで使用され、ポート６３４６はＢｅａｒＳｈａｒｅ、Ｇｎｕｔｅｌｌａ、Ｌｉｍｅ  Ｗｉｒｅ、およびＭｏｒｐｈｅｕｓのデフォルトポートである。デフォルトポートはＤｉｒｅｃｔ  Ｃｏｎｎｅｃｔ、ＷｉｎＭｘ、ＢｉｔＴｏｒｒｅｎｔ、ＭＰ２Ｐアプリケーションにも関連する。しかし、ポート認識はピアツーピアトラフィックを特定するには十分ではない：ピアツーピアアプリケーションでの構成可能ポートの使用、ポートの動的割り当て、ピアツーピアアプリケーションへの標準ポート（例えばポート５３ＤＮＳやポート８０ＨＴＴＰ）の使用。ほとんどのＰ２Ｐアプリケーションは、どのポートをＰ２Ｐトラフィックに割り当てることに決めるのかを自らのユーザに手動で選択する権限を与える。Ｐ２Ｐアプリケーションは、内部管理者が空けておかなければならないポート、例えばデフォルトではウェブサイト専用のポート８０などをしばしば使用する。
【００１５】
従来技術で提案された主なインターネットトラフィックフィルタリングの技術的方策は、３つの主なカテゴリによって分類することができる：プロトコルのフィルタリング、コンテンツのフィルタリング、およびインターネットユーザの端末（ｓｔａｔｉｏｎ）に対するフィルタリングである。
【００１６】
プロトコルフィルタリング解決策は、例えばそれがピアツーピアストリームであるかどうかを判定するために、インターネットユーザのクライアント端末から交換されるネットワークフレーム内のシグネチャを認識することに基づく。プロトコルは、それに従ってアプリケーションまたはサービスがネットワーク上でデータを交換する規則を定義する。これらの規則は、一連の特徴的ビットがエンベロープ（ヘッダ）を越えて各パケット内に配置されることをもたらす。この順序はパケットの性質に応じて、しかしコンテンツからは独立して可変である。このプロトコルフィルタリングは、例えば下記の事項が区別されることを可能にしなければならない：
−  標準的プロトコル：ｓｍｔｐ（簡易メール転送プロトコル）、ｈｔｔｐ（ハイパーテキスト転送プロトコル）。
−  従来型ピアツーピアプロトコル：（企業ＭｅｔａＭａｃｈｉｎｅによって世に出され、２００６年９月以降即座に閉鎖された）ｅＤｏｎｋｅｙ、ＢｉｔＴｏｒｒｅｎｔ、Ｆａｓｔｔｒａｃｋ（Ｋａｚａａ、Ｋａｚａａ  Ｌｉｔｅ、ＩＭｅｓｈ）。
−  暗号化されたＰ２Ｐプロトコル：Ｆｒｅｅｎｅｔ、ＳｏｆｔＥｔｈｅｒ、ＥａｒｔｈＳｔａｔｉｏｎ５、Ｆｉｌｅｔｏｐｉａ。
【００１７】
現在、プロトコルフィルタリングは、詳細なパケット分析技法、具体的にはＤＰＩすなわちディープパケットインスペクションによって実施されている。このパケット分析は、ＣｉｓｃｏによるＰＤＭＬルータまたはＪｕｎｉｐｅｒによるＮｅｔｓｃｒｅｅｎ−ＩＤＰにおいてネイティブ状態で提案されている。特定の企業は、ＩＳＰが、そのネットワークに関するカットオフ位置に挿入される追加のボックスを使用することを提案する（Ａｌｌｏｔ  ｂｏｘ  Ｎｅｔｅｎｆｏｒｃｅｒ  ＫＡＣ１０２０、Ｐａｃｋｅｔｅｅｒ  ＰＳ８５００  ＩＳＰ）。Ｃｉｓｃｏもボックスを提供する（Ｃｉｓｃｏ  Ｐ＿Ｃｕｂｅ）。
【００１８】
クライアントソースコードの可用性は、特にオープンソースモードまたは同等のモードでの開発に関して、これらのプロトコルが実装される方法を分析するために使用され、妥当な場合、プロトコルの上流部分（接続、ネゴシエーション、暗号化モードへの転換）についての認識を可能であれば導入するために使用される（例えばｅＭｕｌｅスクランブルバージョンに関しては可能ではない）。そのような解決策は例えばＡｌｌｏｔによって導入されており、ＡｌｌｏｔはとりわけＳｏｆｔＥｔｈｅｒ、ＥａｒｔｈＳｔａｔｉｏｎ５、およびＦｉｌｅｔｏｐｉａのプロトコルをフィルタするように主張する。
【００１９】
プロトコルによるフィルタリングにはいくつかの不都合がある。
【００２０】
まず、このフィルタリングの標的とされるプロトコルは、合法データおよび違法データのどちらも運ぶことができるため、必ずしも違法活動の兆候ではない。
【００２１】
さらに、暗号化を実施することは、ネットワークフレームの検出を動作不能にし、またははるかに複雑にする可能性がある。この暗号化は、例えば接続フレームまたはファイルの接尾辞をアップグレードすることにより、ピアツーピアプロトコルを修正することによって導入することができ、これはインターネットユーザのワークステーションおよびサーバ上にインストールされたクライアントアプリケーション（Ｋａｚａａ、ｅＤｏｎｋｅｙ、ｔｒａｃｋｅｒｓ  ＢｉｔＴｏｒｒｅｎｔ）を修正することを意味する。暗号化は、例えばＳＳＬ／ＨＴＴＰＳまたはＳＳＨ（セキュアシェル）型のトンネリングプロトコルを使用することによっても導入できる。特定のピアツーピアプロトコル、具体的にはＦｒｅｅＮｅｔ（日本のプログラムＷｉｎｎｙ）、ＳＳＬ（ＳｏｆｔＥｔｈｅｒ、ＥａｒｔｈＳｔａｔｉｏｎ５、Ｆｉｌｅｔｏｐｉａ）、ＳＳＨ（ＳｏｆｔＥｔｈｅｒ）は既に暗号化されている。
【００２２】
さらに、ＩＰＶ６に向けたインターネットプロトコルの進化は、利用可能なアドレス指定範囲の拡張とは別に、具体的にはＩＰＳｅｃプロトコルおよび暗号化機能が一般化されながら、ＴＣＰ／ＩＰのセキュリティおよび認証機能についての進化をもたらす。
【００２３】
コンテンツフィルタリングは、ストリームをコンテンツレベルの要素に基づいて特定し、必要な場合はフィルタするために使用される：
−  生の音楽ファイル、例えばＷＡＶ（ウェーブフォーム）、ＭＰ３、ＭＰＣ。
−  ＤＲＭソリューションにリンクされた形式の音楽ファイル（例えばＡＡＣ、ＷＭＡ、Ａｔｒａｃ＋）。
−  ＣＤの画像または生の音楽ファイルのセットを含むアーカイブ（例えばＺＩＰ、ＲＡＲ、ＡＣＥ）。
【００２４】
企業Ａｕｄｉｂｌｅ  Ｍａｇｉｃは、コンテンツフィルタリングツール（ＣｏｐｙＳｅｎｓｅ  ｂｏｘ）を提供する。企業Ａｄｖｅｓｔｉｇｏも、文献ＦＲ２８８７３８５に記載のコンテンツフィルタリング技法を提供する。
【００２５】
インターネットユーザの端末上でのフィルタリングは、インターネットユーザの端末上の１組の機能へのアクセスが特定され、必要な場合は禁止されることを可能にする。これらの機能は以下のレベルにあり得る：
−  ネットワーク、例えば特定のポートの閉鎖や、ＤＮＳ名のリストまたは指標付きＩＰアドレスとの交換の禁止。
−  コンテンツ、例えばアプリケーション（ダウンロード後のＰ２Ｐクライアント）によりＭＰ３形式のファイルが作成される場合における検出およびアラート／禁止。
−  アプリケーション、例えばクライアント端末（例えばｅＭｕｌｅクライアント）上で特定のアプリケーションが起動されることの検出およびアラートまたは禁止。
【００２６】
クライアント端末上でフィルタリングするための多様なツールが利用可能である：ファイアウォール、Ｃｉｓｃｏ  ＣＳＡやＳｋｙＲｅｃｏｎ型のセキュリティソリューション、ＣｙｂｅｒＰａｔｒｏｌ型のペアレンタルコントロールソリューション。
【００２７】
要求に応じてのフィルタリングにはいくつかの不都合がある。
【００２８】
Ｐ２Ｐソフトウェアのユーザは、必ずしも自身をフィルタしたいと思うわけでなく、親は自分の子供に対してフィルタ済みのサブスクリプションを強いるのが困難である。要求に応じてＩＳＰレベルでフィルタリングすることは、すべてのフィルタ済みのサブスクリプションを処理できるプラットフォームへのタップ（例えばルーティングやトンネル）を作り出すことを意味する。インターネットユーザの端末上でのフィルタリングは、トラフィックの観測および分析、ストリームの体系的なフィルタリング、またはレーダのポジショニングを許さない。
【先行技術文献】
【特許文献】
【００２９】
【特許文献１】仏国特許第２８８７３８５号明細書
【非特許文献】
【００３０】
【非特許文献１】ＯＥＣＤ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｔｅｃｈｎｏｌｏｇｙ  Ｏｕｔｌｏｏｋ  ２００４：Ｐｅｅｒ  ｔｏ  Ｐｅｅｒ  ｎｅｔｗｏｒｋｓ  ｉｎ  ＯＥＣＤ  ｃｏｕｎｔｒｉｅｓ
【非特許文献２】Ｓｕｂｈａｂｒａｔａ  Ｓｅｎら、「Ａｃｃｕｒａｔｅ，  ｓｃａｌａｂｌｅ  ｉｎ−ｎｅｔｗｏｒｋ  ｉｄｅｎｔｉｆｉｃａｔｉｏｎ  ｏｆ  ｔｈｅ  Ｐ２Ｐ  ｔｒａｆｆｉｃ  ｕｓｉｎｇ  ａｐｐｌｉｃａｔｉｏｎ  ｓｉｇｎａｔｕｒｅｓ」（Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  １３ｔｈ  ｉｎｔｅｒｎａｔｉｏｎａｌ  ｃｏｎｆｅｒｅｎｃｅ  ｏｎ  ｗｏｒｌｄ  ｗｉｄｅ  ｗｅｂ，Ｎｅｗ  Ｙｏｒｋ  ２００４）
【非特許文献３】Ｋａｒａｇｉａｎｎｉｓら、「Ｔｒａｎｓｐｏｒｔ  ｌａｙｅｒ  ｉｄｅｎｔｉｆｉｃａｔｉｏｎ  ｏｆ  Ｐ２Ｐ  ｔｒａｆｆｉｃ」（Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  ４ｔｈ  ＡＣＭ  ＳＩＧＣＯＭＭ  Ｃｏｎｆｅｒｅｎｃｅ  ｏｎ  Ｉｎｔｅｒｎｅｔ  Ｍｅａｓｕｒｅｍｅｎｔ，  Ｔａｏｍｉｎａ，  Ｉｔａｌｙ，  ２００４）
【発明の概要】
【発明が解決しようとする課題】
【００３１】
本発明は、言及した問題の少なくとも一部に対する解決策を提供することを目的とする。本発明は具体的には、ＩＰ電気通信ネットワークおよび企業ネットワークにおけるサービス品質ＱｏＳの問題に対する解決策を提供することを目的とする。
【課題を解決するための手段】
【００３２】
このために、本発明は第１の態様によれば、ＩＰネットワーク／電気通信または企業ネットワーク上のトラフィックを分類するための方法に関し、前述の方法はトラフィックを取得する段階および詳細なパケット分析（具体的にはＤＰＩ）の段階を含み、前述の方法は統計的に生成される決定木を使用してトラフィックを統計的に分類する段階を含む。
【００３３】
有利には、トラフィックシグネチャを統計的に最適化することに基づき得るこのトラフィックを統計的に分類する段階は、詳細なパケット分析（具体的にはＤＰＩ）の後に実行され、このパケット分析によって特定されていないトラフィック、具体的には例えば暗号化されたピアツーピアプロトコルを実装する暗号化されたトラフィックのみに関係する。
【００３４】
有利には、この方法は、詳細なパケット分析によって特定されないトラフィックが、統計的に最適化されたシグネチャに基づき得る統計的分析により、知られているアプリケーション、具体的には暗号化されていないアプリケーションに属すると認識される場合、トラフィックシグネチャを最適化するために、詳細なパケット分析の段階と、決定木によりトラフィックを統計的に分析する段階との間に、情報を交換する段階を含む。
【００３５】
有利には、一方ではこの決定木は二分木ではなく（このことは区別を最適化し）、他方では分岐基準としてエントロピが使用される。一実装形態では、この決定木はＣ４．５またはＣ５．０のタイプのものである。有利には、この木は決定木を規則に変換する段階を含む。
【００３６】
有利には、この方法は、トラフィックを分類することを可能にする前述の規則を統計的に最適化する段階を含む。
【００３７】
取得は、具体的には例えばルータ上で、パケットスニッファソフトウェアを使用して、またはデータベース内にコピーすることによって実行される。取得された要素から所定のパラメータが抽出され、次いでこれらのパラメータは、決定木の少なくとも１つのノード用の分岐基準を定義するために使用される。この所定のパラメータは、次のものを含む群から選択される：パケットサイズ、パケット間の時間間隔、パケット数、使用されるポート番号、パケット番号、所与のＩＰアドレスに関して異なるＩＰアドレスの数。
【００３８】
本発明は第２の態様によれば、ＩＰネットワーク／電気通信または企業ネットワーク上のトラフィックを分類するための装置に関し、前述の装置はトラフィックを取得する手段および詳細なパケット分析のための手段を含み、前述の装置は統計的に生成される決定木を使用してトラフィックを統計的に分類するための手段を含む。トラフィックは、統計的に生成される決定木を変換することによりもたらされる規則によって分類される。この決定木は、分類すべきトラフィックと比較することができ、規則の形で定義されるトラフィックシグネチャを、自動的に定義するために使用される統計的ツールである。
【００３９】
有利には、取得、パケット分析、および統計的分類のための手段は１つのボックスに統合される。一実装形態では、この装置は、内部ネットワークと少なくとも１つの外部ネットワークとの間のカットオフ位置に配置することができる。
【００４０】
本発明の他の目的および利点は、以下の説明を添付の図面を参照して読むことにより明らかになるであろう。
【図面の簡単な説明】
【００４１】
【図１】インターネットトラフィックを分類するための規則を統計的に生成するための方法の一実施形態を示す図である。
【図２】既に生成された規則を使用して通信を監視し、傍受するための方法の一実施形態を示す図である。
【発明を実施するための形態】
【００４２】
図１をまず説明する。
【００４３】
データフロー１、例えばインターネットトラフィックが取得される。この取得Ｆ０は、例えばｔｃｐｄｕｍｐやｗｉｒｅｓｈａｒｋなど、最も一般的なプロトコルを認識するパケットスニッファソフトウェアを使用して、またはＷｉｎｐｃａｐなどのパケット取得ソフトウェアによって実行される。妥当な場合、すべてのトラフィックが、例えばルータにおいてコピーされる。
【００４４】
説明を簡潔にするために、この説明の残りの部分では、取得されるインターネットトラフィックは２種類のトラフィックを含むものとみなし、それはすなわち次のトラフィックである：
−  特徴付けられるアプリケーションのトラフィックではないトラフィック。
−  暗号化された（したがって、ＤＰＩによって調べることができない）トラフィック、またはシグネチャが知られておらず、このトラフィックを後に検出できるようにするために決定木が最初に統計的に生成されるトラフィック。これはスクランブルｅＭｕｌｅピアツーピアアプリケーションのトラフィックに当てはまり得る。
【００４５】
取得Ｆ０の後に、取得された要素が、上述の２種類のトラフィックのうちの１つにそれぞれが対応する２つのデータベース２、３に記憶される。
【００４６】
データベース２、３に記憶される取得された要素は、要約される同法を使用してＦ１で変換される。この取得された要素から特定の情報が抽出される。この情報は例えば以下のものである：
−  ＯＳＩ（開放型システム間相互接続）モデルのレイヤ３およびレイヤ４に関しては：ＩＰ、ＴＣＰ、ＵＤＰ、ＩＣＭＰ情報。
−  パケットサイズ、パケット数、ポート番号、パケット間の時間間隔、パケット番号、あるＩＰアドレスが関係する固有のＩＰアドレスの量。
【００４７】
抽出される情報の選択は、Ｐ２Ｐプロトコルについての得られた知識に起因する。例えば、ｅＤｏｎｋｅｙ、Ｆａｓｔｔｒａｃｋ、ＷｉｎＭｘ、Ｇｎｕｔｅｌｌａ、ＭＰ２Ｐ、およびＤｉｒｅｃｔ  Ｃｏｎｎｅｃｔは、原則としてＴＣＰ（伝送制御プロトコル）およびＵＤＰ（ユーザデータグラムプロトコル）の両方をＯＳＩモデルのレイヤ４用のトランスポートプロトコルとして使用する。ＩＰアドレス／ポート番号の対の経時的な進化は、特定のＰ２Ｐプロトコルにとっては普通である、ポート番号のランダム変化を示し得る。
【００４８】
詳細なパケット分析技法は、それ自体で知られている。例えば次の文献を参照されたい：Ｓｕｂｈａｂｒａｔａ  Ｓｅｎら、「Ａｃｃｕｒａｔｅ，  ｓｃａｌａｂｌｅ  ｉｎ−ｎｅｔｗｏｒｋ  ｉｄｅｎｔｉｆｉｃａｔｉｏｎ  ｏｆ  ｔｈｅ  Ｐ２Ｐ  ｔｒａｆｆｉｃ  ｕｓｉｎｇ  ａｐｐｌｉｃａｔｉｏｎ  ｓｉｇｎａｔｕｒｅｓ」（Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  １３ｔｈ  ｉｎｔｅｒｎａｔｉｏｎａｌ  ｃｏｎｆｅｒｅｎｃｅ  ｏｎ  ｗｏｒｌｄ  ｗｉｄｅ  ｗｅｂ，Ｎｅｗ  Ｙｏｒｋ  ２００４）、Ｋａｒａｇｉａｎｎｉｓら、「Ｔｒａｎｓｐｏｒｔ  ｌａｙｅｒ  ｉｄｅｎｔｉｆｉｃａｔｉｏｎ  ｏｆ  Ｐ２Ｐ  ｔｒａｆｆｉｃ」（Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  ４ｔｈ  ＡＣＭ  ＳＩＧＣＯＭＭ  Ｃｏｎｆｅｒｅｎｃｅ  ｏｎ  Ｉｎｔｅｒｎｅｔ  Ｍｅａｓｕｒｅｍｅｎｔ，  Ｔａｏｍｉｎａ，  Ｉｔａｌｙ，  ２００４）。パケット分析は、一定のピアツーピアプロトコルを特定することを可能にする。Ｇｎｕｔｅｌｌａ、ｅＤｏｎｋｅｙ、ＢｉｔＴｏｒｒｅｎｔ、およびＫａｚａａプロトコルに関するシグネチャの例が、上記に言及したＳｕｂｈａｂｒａｔａ  Ｓｅｎらによって発表された文献内に示されている。ソフトウェアＢｌｕｂｓｔｅｒまたはＰｉｏｌｅｔを使用するＭＰ２Ｐネットワークでは、ランダムポート上のパケット分析は応答「ＳＩＺ＜＜ｆｉｌｅ  ｓｉｚｅ  ｉｎ  ｂｙｔｅｓ」を明らかにする。
【００４９】
実際、詳細なパケット分析またはポート検出が、使用されるプログラムを特定できるようにしない場合、ＴＣＰ／ＵＤＰ／ＩＣＭＰメッセージレベルにおいてアクセス可能な特定の情報は、それでもなお関連したままでいる：この情報は通常は暗号化によって変更されない。ストリーム対称暗号化アルゴリズム（ストリーム暗号）はテキストのサイズを変更しない。ＴＣＰ／ＵＤＰ／ＩＣＭＰメッセージを分ける時間間隔は、圧縮後は比例的に一定である。
【００５０】
変換モジュール４によってＦ１で変換された情報は、前述の２種類のトラフィックのうちの１つにそれぞれが対応する２つのデータベース５および６に記憶される。
【００５１】
データベース５および６に記憶される情報を、それらのデータベースが参照するトラフィックの種類を知りながら決定木が入力として受け取り、こうして決定木生成モジュール７によりＦ２で木が生成される。この木はデータベース８ａに記憶される。
【００５２】
決定木により分類を実施することにはいくつかの利点がある。決定木は明確な分類規則を提供し、異種のデータ、欠落した項目、および非線形効果をサポートする。
【００５３】
それ自体で知られている限り、この決定木は様々なノード分岐基準を使用して構築することができる：χ２基準、Ｇｉｎｉインデックス、Ｔｗｏｉｎｇインデックス、エントロピ。
【００５４】
有利には、使用される分岐基準はエントロピであり、木の各ノードについてΣｆｉｌｏｇ（ｆｉ）によって定義され、ただしｆｉ  ｉ＝１からｐはｐクラスのノードにおける相対頻度である。
【００５５】
一例として、この木の最初のノードであるルートは４番目のパケットのサイズであり、この変数がトラフィックを２つのクラスＡおよびＢに分けている。
【００５６】
次いで第１のクラスＡが、第１のパケットと２番目のパケットとを分ける間隔の持続時間によって分類され、こうして２つのサブクラスＡ１およびＡ２を定義する。第１のサブクラスＡ１では、２番目のパケットのサイズにより終端ノード（リーフ）が定義され、このリーフに割り当てられる個人は、例えばｅＭｕｌｅ暗号化プロトコルを使用したファイル検索に対応する。
【００５７】
第２のクラスＢは、３番目のパケットのサイズによって分類され、こうして２つのサブクラスＢ１およびＢ２を定義する。第１のサブクラスＢ１では、第１のパケットのサイズにより終端ノード（リーフ）が定義され、このリーフに割り当てられる個人は、例えばｈｔｔｐプロトコル（ハイパーテキスト転送プロトコル）のＳＳＬ（セキュアソケットレイヤ）によって保護されたバージョン、ｈｔｔｐｓ通信プロトコルによって確立されるウェブトラフィックに対応する。第２のサブクラスＢ２では、５番目のパケットのサイズによって終端ノードが定義され、このリーフに割り当てられる個人は、例えばｅＭｕｌｅ暗号化プロトコルを使用してダウンロードされるファイルに対応する。
【００５８】
一例として、使用される木は１９９８年からＣ５．０の木であり、これはＪ．Ｒｏｓｓ  Ｑｕｉｎｌａｎによる自身の以前の木ＩＤ３（１９８６年）およびＣ４．５（１９９３年）を完成させたものである。この木は、例えばＥｎｔｅｒｐｒｉｓｅ  Ｍｉｎｅｒ（ＳＡＳ）やＣｌｅｍｅｎｔｉｎｅ（ＳＰＳＳ）に実装される。この木は、Ｓｅｅ５という名でＷｉｎｄｏｗｓ（登録商標）プラットフォームに対しても売り込まれており、用語Ｃ５．０はＵｎｉｘ（登録商標）プラットフォームで使用されている。この木は学習標本から構築され、その後、各ノードの誤り率および信頼区間に基づいて剪定される。
【００５９】
このＣ５．０の木は二分木ではない：各段階で１つの母集団を３つ以上の母集団に分けることができる。
【００６０】
このＣ５．０の木も、その前のバージョンＣ４．５と同様に次の利点を有する：ある手順が木を規則のセットに変換する（規則作成のモジュール８ｂを参照されたい）。冗長な規則は削除され、このプログラムは、誤り率を減らすことにつながらない条件を削除することにより、各規則を一般化することを試みる。規則のリストはデータベース８ｃに記憶され、学習過程が進むにつれ、モジュール８ｄがこれらの規則を単純化することを確実にする。
【００６１】
この決定木のノードは、トラフィックを分類する目的に基づいて定義される。
【００６２】
例えば、目的が特定のプロトコルの使用を検出することである場合、少数の基準が必要となる。したがって企業は、暗号化されたトラフィックにおいて、ＶｏＩＰ（例えばＳｋｙｐｅ）によって認可された通信とそのＶｏＩＰが認可していない転送とを、認可されていないそれらの転送が特定のプロトコル（例えばｅＭｕｌｅ暗号化プロトコル）によって実行されるものとして区別することができる。
【００６３】
目的が特定の種類の行動（ダウンロード、または逆のアップロード）を検出することである場合、より難解な決定木を形成するためにさらなるパラメータが必要になる。
【００６４】
規則の数は、有利には装備されるネットワークの資源に適合させることができる。
【００６５】
ある有利な実装形態では、統計的分析モジュール１１は、今のところは特定されていないストリームが、モジュール１０により通常検出されるアプリケーションに属している様子であることをモジュール１０に知らせる。この方法および装置の性能は次のようにして最適化される：最大数のストリームが最適な段階によって処理される。一例として、暗号化されていないストリームを検知しておらず、よってモジュール１１に送信した、ＮＩＤＳ侵入検知システム（Ｂｒｏ、Ｓｎｏｒｔ、Ｓｈａｄｏｗ、ＮＦＲ）をモジュール１０が含む場合、モジュール１１は、モジュール１０が自らのその後の分析を微調整するための情報をモジュール１０に送信することができる。
【００６６】
ある有利な実装形態では、モジュール１０が、統計的分析モジュール１１に情報を与え、最適化された規則の選択を可能にするＮＩＤＳ侵入検知器（例えばＢＲＯ）を含む。例えばモジュール１０は、パケット間の間隔値を用いて、対話型のトラフィックを認識したかどうかをモジュール１１に知らせる。
【００６７】
本発明は、誤判定がほとんどない状態でアプリケーションを厳密に特定できるようにする。データマイニング学習フェーズ中、標的とされるアプリケーション（例えばＳｋｙｐｅやｅＭｕｌｅ）に対して数千の接続が行われ、決定木は、これらのアプリケーションに関連する暗号化されたトラフィックについての最も固有の情報を特定することを可能にする。
【００６８】
トラフィックを分類するためのこの方法および装置は、有利には以下のように使用することができる。
【００６９】
トラフィックブロッキング
自身の会社の内部ネットワークに接続されたボブは、ピアツーピアプロトコルｅＭｕｌｅを使用して友人のアリスとファイルを交換したい。ｅＭｕｌｅを使用することは会社によって許可されていない。ボブは自分のコンピュータまたは端末上でｅＭｕｌｅアプリケーションを起動する。ボブのコンピュータからのトラフィック９は暗号化されている。このトラフィック９が、詳細なパケット分析モジュール１０に到達する。トラフィック９は暗号化されているので、このモジュール１０は、具体的にどのアプリケーションがトラフィック９に関連するのか特定できない。モジュール１０はこの未知のトラフィックを、統計的分析モジュール１１に宛てる。このモジュール１１は、検出規則、決定木から前に確立された規則のデータベース１２に接続されている。これらの検出規則は、自動規則生成モジュール１３によって前に更新されている。分析モジュール１１はｅＭｕｌｅプロトコルを認識し、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号、および宛先ポートを特定する。この情報はネットワーク管理システムに送信され、この管理システムはこのような場合に計画されている方策を適用する：
−  ファイアウォール、ルータ、侵入を検知または阻止するための装置によるトラフィックの傍受、ブロック１４。
−  良いサービス品質ＱｏＳを目的としたボブへのメッセージ送信１５。
−  または他の任意の所定の方策１６。
【００７０】
トラフィック傍受
法的判断がボブの通信を傍受することを許可した。この傍受を担う機関は、当該アプリケーションに関して決定木の規則が更新され、ボブの端末に関連するルータ上に実装されていることを確実にする。ボブの端末上で送受信されるデータストリームが、そのルータにコピーされる。この暗号化されたストリームはまず、詳細なパケット分析（具体的にはディープパケットインスペクション）にかけられる。次いで統計的分析が実行される。この分析の結果次第で、傍受を担う機関は、ボブによって送受信されるデータのコンテンツを復号するかどうか決定する。この種の使用では、トラフィックを暗号化するアプリケーションを知り、ストリームのパラメータ（ポート番号およびＩＰアドレス）を特定することが重要である。
【００７１】
本発明にはいくつかの利点がある。
【００７２】
本発明は、政府機関およびインターネットサービスプロバイダが効果的、迅速、かつ正確にネットワーク上の特定のトラフィックを、例えばブロックするために、制御できるようにする。仕様が知られていないプロトコルの使用または暗号化されたデータ交換プロトコルの使用は、次のような非合法活動または犯罪活動の兆候である可能性がある：著作権を無視した音楽ファイルまたはビデオファイルのコピー、違法な販売（偽造品、盗品）、禁止されたコンテンツ（機密データ、性的性質のコンテンツの配布）。
【００７３】
本発明はさらに、企業ネットワークの管理者がネットワークの適切な使用を管理し、サービス品質を向上させることも可能にし、企業のセキュリティポリシを遵守しない禁止されたデータによって取られる帯域幅は減る。
【００７４】
本発明は、暗号化されたトラフィックの分類を可能にしながら、暗号化されていないトラフィックに関して、詳細なパケット分析のすべての利点が保たれることを可能にする。
【００７５】
この分類規則は、後に認識されるアプリケーションによって生成されたものとして特定される制御トラフィックに基づいて統計的に生成され、手作業では書かれない。
【００７６】
ベイズの統計的技法に関係して、本発明は、多数のデータストリームに対して優れた精度で適用できるという利点がある。決定木を実装するデータマイニングソフトウェア（Ｍｉｃｒｏｓｏｆｔ  ａｎａｌｙｓｉｓ  ｓｅｒｖｉｃｅｓ、Ｏｒａｃｌｅ  ｄａｔａ  ｍｉｎｉｎｇ、Ｃｌｅｍｅｎｔｉｎｅ、Ｓｔａｔｉｓｔｉｃａｌ  Ｄａｔａ  Ｍｉｎｅｒ、Ｉｎｓｉｇｈｔｆｕｌ  Ｍｉｎｅｒ、Ｅｎｔｅｒｐｒｉｓｅ  Ｍｉｎｅｒ）が、何百万のレコードを処理するために使用される。
【図１】
2010536216.tif 000003
【図２】
2010536216.tif 000004
【国際調査報告】
2010536216.tif 000005
2010536216.tif 000006
2010536216.tif 000007
2010536216.tif 000008
2010536216.tif 000009
2010536216.tif 000010