(57)【特許請求の範囲】
【請求項１】
ネットワークにおける任意の通信端末へのトラフィックを監視対象のトラフィックとして監視するトラフィック監視システムにおいて、
上記通信端末を収容した第１のネットワーク機器において、上記通信端末への第１の監視時間におけるトラフィック流量が第１のアラーム用閾値を超えたか否かを監視すると共に、
１又は複数の第２のネットワーク機器のそれぞれにおいて、第２の監視時間における上記通信端末へのトラフィック流量が第２のアラーム用閾値を超えたか否かを監視し、
上記第１のネットワーク機器の監視結果と、上記各第２のネットワーク機器の監視結果とに基づいて、上記通信端末へのトラフィックが過剰トラフィックになっているか否かを判別する
ことを特徴とするトラフィック監視システム。
【請求項２】
上記１又は複数の第２のネットワーク機器が、上記ネットワークと外部ネットワークとの境界に設けられている全てのネットワーク境界機器であることを特徴とする請求項１に記載のトラフィック監視システム。
【請求項３】
上記各第２のネットワーク機器の監視動作は、上記第１のネットワーク機器において、上記通信端末へのトラフィック流量が第１のアラーム用閾値を超えたと判断された場合に起動され、上記第１の監視時間が上記第２の監視時間より短いことを特徴とする請求項１又は２に記載のトラフィック監視システム。
【請求項４】
上記ネットワークを管理する網管理システムが、上記第１のネットワーク機器における監視及び上記各第２のネットワーク機器における監視を依頼し、監視結果を取り込んで上記通信端末へのトラフィックが過剰トラフィックになっているか否かを判別することを特徴とする請求項１〜３のいずれかに記載のトラフィック監視システム。
【請求項５】
ネットワークにおける任意の通信端末へのトラフィックを監視対象のトラフィックとして監視するトラフィック監視方法において、
上記通信端末を収容した第１のネットワーク機器が、上記通信端末への第１の監視時間におけるトラフィック流量が第１のアラーム用閾値を超えたか否かを監視すると共に、
上記第１のネットワーク機器において、上記通信端末へのトラフィック流量が第１のアラーム用閾値を超えたと判断された場合に、上記ネットワークと外部ネットワークとの境界に設けられている全てのネットワーク境界機器のそれぞれが、上記通信端末への第２の監視時間におけるトラフィック流量が第２のアラーム用閾値を超えたか否かを監視し、
上記各ネットワーク境界機器の監視結果に基づいて、上記通信端末へのトラフィックが過剰トラフィックになっているか否かを判別する
ことを特徴とするトラフィック監視方法。
【請求項６】
ネットワークにおける任意の通信端末へのトラフィックを監視対象のトラフィックとする監視を、主導権を持って進行させる上記ネットワークにおける網管理システムにおいて、
上記通信端末を収容した第１のネットワーク機器に、上記通信端末への第１の監視時間におけるトラフィック流量が第１のアラーム用閾値を超えたか否かを監視させ、
上記第１のネットワーク機器の監視結果が、上記通信端末へのトラフィック流量が第１のアラーム用閾値を超えたことを表している場合に、上記ネットワークと外部ネットワークとの境界に設けられている全てのネットワーク境界機器のそれぞれに、上記通信端末への第２の監視時間におけるトラフィック流量が第２のアラーム用閾値を超えたか否かを監視させ、
上記各ネットワーク境界機器の監視結果に基づいて、上記通信端末へのトラフィックが過剰トラフィックになっているか否かを判別する
ことを特徴とする網管理システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はトラフィック監視システム、トラフィック監視方法及び網管理システムに関し、例えば、同一の通信端末を宛先とする外部ネットワークから流入するトラフィック量が過剰であるか監視する場合に適用し得るものである。
【背景技術】
【０００２】
いわゆる一般的な網管理システム（ＮＭＳ；Ｎｅｔｗｏｒｋ  Ｍａｎａｇｅｍｅｎｔ  Ｓｙｓｔｅｍ）は、ルータ、スイッチといったネットワーク機器よりトラフィック情報を直接送信させ、受信したトラフィック情報に基づいてトラフィック分析を行うというものである（非特許文献１参照）。今日では、トラフィックが、データ、音楽、映像などのマルチメディアトラフィックであって、ストリーミングに通信端末に供給することが求められるトラフィックが多く、トラフィック量自体は従前より多くなっていく傾向にある。そのため、ルータ、スイッチといったネットワーク機器への入力速度も数十Ｇｂｐｓというように、非常に高速になっている。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】ＲＦＣ３４１８
【発明の概要】
【発明が解決しようとする課題】
【０００４】
今日、メガキャリアが運営するような大規模ネットワークにおける加入者は、数百万〜数千万である。このような数百万〜数千万の加入者のトラフィック情報を分析する場合、トラフィックを中継するネットワーク機器や網管理システムの処理性能を超えてしまい、十分な分析ができない嫌いがあった。例えば、ネットワーク機器において、数十Ｇｂｐｓの入力トラフィックを中継処理するだけでも処理負荷が大きい状況で、網管理システムから指示された監視対象のトラフィックの流入を監視することは、ネットワーク機器が有する処理性能を超える嫌いがあった。また例えば、網管理システムにおいても、今日のようなデータの種類や転送方法によってトラフィック量が多い状況では、ネットワーク機器に指示して転送させるトラフィック情報も膨大となり易く、処理性能を超えてしまい、十分な分析ができない嫌いがあった。
【０００５】
このような不都合を回避しようとすると、ネットワーク機器がトラフィックをサンプリング（抜取り）し、このようなサンプリングされたトラフィック情報を網管理システムが分析することも考えられる。
【０００６】
しかしながら、このようにした場合、ＤＤｏＳ攻撃等に見られるように、ネットワークへの複数の入口より流入したトラフィックが、結果的に１つのターゲットの通信端末に向かうような過剰トラフィックを検知することが非常に難しくなり、仮に検知できたとしても、その時点が遅く、通信端末が既に機能不全に陥っていることも生じる。
【０００７】
そのため、ネットワークの各種機器や網管理システムの処理負荷を小さく抑えながら、過剰トラフィックを迅速に検知することができるトラフィック監視システム、トラフィック監視方法及び網管理システムが望まれている。
【課題を解決するための手段】
【０００８】
第１の本発明は、ネットワークにおける任意の通信端末へのトラフィックを監視対象のトラフィックとして監視するトラフィック監視システムにおいて、上記通信端末を収容した第１のネットワーク機器において、上記通信端末への第１の監視時間におけるトラフィック流量が第１のアラーム用閾値を超えたか否かを監視すると共に、１又は複数の第２のネットワーク機器のそれぞれにおいて、第２の監視時間における上記通信端末へのトラフィック流量が第２のアラーム用閾値を超えたか否かを監視し、上記第１のネットワーク機器の監視結果と、上記各第２のネットワーク機器の監視結果とに基づいて、上記通信端末へのトラフィックが過剰トラフィックになっているか否かを判別することを特徴とする。
【０００９】
第２の本発明は、ネットワークにおける任意の通信端末へのトラフィックを監視対象のトラフィックとして監視するトラフィック監視方法において、上記通信端末を収容した第１のネットワーク機器が、上記通信端末への第１の監視時間におけるトラフィック流量が第１のアラーム用閾値を超えたか否かを監視すると共に、上記第１のネットワーク機器において、上記通信端末へのトラフィック流量が第１のアラーム用閾値を超えたと判断された場合に、上記ネットワークと外部ネットワークとの境界に設けられている全てのネットワーク境界機器のそれぞれが、上記通信端末への第２の監視時間におけるトラフィック流量が第２のアラーム用閾値を超えたか否かを監視し、上記各ネットワーク境界機器の監視結果に基づいて、上記通信端末へのトラフィックが過剰トラフィックになっているか否かを判別することを特徴とする。
【００１０】
第３の本発明によれば、ネットワークにおける任意の通信端末へのトラフィックを監視対象のトラフィックとする監視を、主導権を持って進行させる上記ネットワークにおける網管理システムにおいて、上記通信端末を収容した第１のネットワーク機器に、上記通信端末への第１の監視時間におけるトラフィック流量が第１のアラーム用閾値を超えたか否かを監視させ、上記第１のネットワーク機器の監視結果が、上記通信端末へのトラフィック流量が第１のアラーム用閾値を超えたことを表している場合に、上記ネットワークと外部ネットワークとの境界に設けられている全てのネットワーク境界機器のそれぞれに、上記通信端末への第２の監視時間におけるトラフィック流量が第２のアラーム用閾値を超えたか否かを監視させ、上記各ネットワーク境界機器の監視結果に基づいて、上記通信端末へのトラフィックが過剰トラフィックになっているか否かを判別することを特徴とする。
【発明の効果】
【００１１】
本発明によれば、ネットワークの各種機器や網管理システムの処理負荷を小さく抑えながら、過剰トラフィックを迅速に検知することができるトラフィック監視システム、トラフィック監視方法及び網管理システムを実現できる。
【図面の簡単な説明】
【００１２】
【図１】第１の実施形態のトラフィック監視システムに係る構成要素を示すブロック図である。
【図２】第１の実施形態における網管理システムの機能的構成を示すブロック図である。
【図３】第１の実施形態におけるネットワーク機器、ネットワーク境界機器などのトラフィック中継機器の過剰トラフィック監視機能に係る内部構成を示すブロック図である。
【図４】第１の実施形態のトラフィック監視システムによる過剰トラフィックの監視動作時のシーケンス図である。
【図５】第２の実施形態のトラフィック監視システムによる過剰トラフィックの監視動作時のシーケンス図である。
【図６】第３の実施形態におけるネットワーク機器の過剰トラフィック監視機能に係る内部構成を示すブロック図である。
【図７】第３の実施形態のトラフィック監視システムによる過剰トラフィックの監視動作時のシーケンス図である。
【発明を実施するための形態】
【００１３】
（Ａ）第１の実施形態
以下、本発明によるトラフィック監視システム、トラフィック監視方法及び網管理システムの第１の実施形態を、図面を参照しながら説明する。
【００１４】
（Ａ−１）第１の実施形態の構成
図１は、第１の実施形態のトラフィック監視システムに係る構成要素を示すブロック図である。
【００１５】
図１において、第１の実施形態のトラフィック監視システム１は、網管理システム（ＮＭＳ）２と、通信端末３を収容したネットワーク機器４と、ネットワーク間の境界に位置している１又は複数（図１は２個の例を示している）のネットワーク境界機器５−１、５−２とが協働して過剰トラフィックを監視するものである。
【００１６】
網管理システム２は、通信端末３及びネットワーク機器４が属すると共に、ネットワーク境界機器５−１、５−２が境界に配置されているネットワーク６を管理するものである。網管理システム２は、過剰トラフィックの監視では、ネットワーク機器４、ネットワーク境界機器５−１、５−２に対し、監視対象のトラフィック情報とアラート用閾値とを与えるものである。第１の実施形態の場合、網管理システム２は、第１段階の処理として、ネットワーク機器４に監視対象のトラフィック情報とアラート用閾値とを与えてそのトラフィックが過剰トラフィックか判断させ、過剰トラフィックと判断された場合に第２段階の処理に移行し、ネットワーク境界機器５−１、５−２に対し、監視対象のトラフィック特定情報とアラート用閾値とを与えてそのトラフィックが過剰トラフィックか判断させる。
【００１７】
通信端末３は、監視対象のトラフィックの宛先端末として書き出したものである。通信端末３は、例えば、ＩＰ電話端末、通信機能を有する情報処理端末など、任意の種類の端末である。
【００１８】
ネットワーク機器４は、通信端末３へのトラフィックを最終的に通信端末３へ送出する、通信端末３を収容したネットワーク機器として書き出したものである。ネットワーク機器４は、例えば、ルータやスイッチやなどが該当し、ゲートウェイ、ゲートウェイルータなどのネットワーク境界機器であっても良い。ネットワーク機器４は、上述のように、網管理システム２の制御下で、指示されたトラフィックが過剰トラフィックか判断する。
【００１９】
ネットワーク境界機器５−１、５−２は、外部ネットワークからのトラフィックをネットワーク６に流入させるネットワーク機器として書き出したものである。ネットワーク境界機器５−１、５−２は、例えばゲートウェイ、ゲートウェイルータである。
【００２０】
図２は、網管理システム２の機能的構成を示すブロック図である。網管理システム２は、専用装置として構築されたものであっても良く、また、コンピュータに網管理システム用のプログラムをロードしたものであっても良いが、機能的には、図２で示すことができる。
【００２１】
網管理システム２は、制御部１０とデータベース１１とを有する。制御部１０は、監視対象のトラフィックの情報を取り込む監視対象取込部１２、第１段階の監視を指示する第１段階監視指示部１３、第２段階の監視を指示する第２段階監視指示部１４及びトラフィックの規制を指示する規制処理部１５を有する。データベース１１は、ネットワーク６の構成のデータや、監視対象のトラフィックのデータが格納されている。
【００２２】
監視対象取込部１２は、キーボードから入力された監視対象のトラフィックの情報や、保守員の端末から送信されてきた監視対象のトラフィックの情報を取り込むものである。監視対象取込部１２は、データベース１１に取り込んだ監視対象のトラフィック情報を格納させる。ここで、監視対象のトラフィック情報とは、過剰トラフィックの流入の恐れがある、トラフィックの流入量を確認したい通信端末３を特定する情報（例えば、ネットワーク６がＩＰ網であればＩＰアドレス）である。
【００２３】
以上では、保守員などが監視対象のトラフィック情報を入力する場合を示したが、外部ネットワークの網管理システムから監視対象のトラフィック情報を受け入れるようにしても良く、また、網管理システム２、ネットワーク機器４又はネットワーク境界機器５−１、５−２が監視対象のトラフィック情報を自動的に定めるようにしても良い。例えば、外部ネットワークの網管理システムが、その外部ネットワーク内の処理で異常なトラフィックを発見し、その宛先が当該ネットワーク６内の通信端末である場合にその旨を当該ネットワーク６の網管理システム２に通知し、通知された網管理システム２が、外部ネットワークでの異常トラフィックの宛先アドレスを、当該ネットワーク６でのアドレスに変換して、監視対象のトラフィック情報を得るようにしても良い。また例えば、ネットワーク機器４又はネットワーク境界機器５−１、５−２が、抜取り検査により、データ部が空のような異常パケットを検出したときに、所定時間内に同じ異常パケット（送信元アドレスだけ異なっていても良い）が到来したか確認し、到来したときに、異常パケットの宛先アドレスを得て、監視対象のトラフィック情報を得るようにしても良い。
【００２４】
第１段階監視指示部１３は、データベース１１の格納データに基づき、監視対象のトラフィック情報に係る通信端末３を収容しているネットワーク機器４を割り出し、そのネットワーク機器４に、監視対象のトラフィック情報とアラート用閾値とを与えてトラフィックを監視させる。アラート用閾値は、例えば、２０Ｍｂｐｓなど、過剰トラフィックか否かを切り分けるための閾値である。アラート用閾値は、網管理システム２が固定的に保持していても良い。また、保守員が、監視対象のトラフィック情報を入力させる際に、通信端末３の処理能力を考慮してアラート用閾値を定めて入力するようにしても良い。さらに、保守員が、監視対象のトラフィック情報を入力させる際に、通信端末３の機種名等の種類特定情報を入力し、網管理システム２が内蔵する種類特定情報からアラート用閾値への変換テーブルを参照してアラート用閾値を得るようにしても良い。
【００２５】
第１段階監視指示部１３は、ネットワーク機器４からアラートが上がってきたときには、そのことをデータベース１１の監視対象のトラフィック情報に関連付けて格納すると共に、第２段階監視指示部１４を起動する。第２段階監視指示部１４は、データベース１１の格納データに基づき、ネットワーク６の全てのネットワーク境界機器５−１、５−２を認識し、全てのネットワーク境界機器５−１、５−２に、監視対象のトラフィック情報とアラート用閾値とを与えてトラフィックを監視させる。
【００２６】
この第２段階でのアラート用閾値は、第１段階でのアラート用閾値をネットワーク境界機器数で割った値に、調整用の係数αを掛けた値である。例えば、第１段階のアラート用閾値が２０Ｍｂｐｓであってネットワーク境界機器数が２であれば、第２段階のアラート用閾値は２０×α／２となる。調整用係数αを１としても良い（すなわち、調整用係数を適用しなくても良い）が、ＤＤｏＳ攻撃などで各ネットワーク境界機器からの流入量が均一にならないことを考慮し、調整用係数αを１より小さくしても良い。なお、各ネットワーク境界機器のそれぞれについて、トラフィックの種類を問わずにトラフィックの平均流入量を検出しておき、この平均流入量に応じて、ネットワーク境界機器毎に調整用係数αを定めるようにしても良い。
【００２７】
なお、ネットワーク境界機器５−１、５−２に流入する際のトラフィックにおける通信端末３のアドレスと、ネットワーク６内を流れる際の通信端末３のアドレスとが異なっている場合には、第２段階監視指示部１４は、アドレス変換（例えば、ローカルアドレスからグローバルアドレスへの変換）をした上で、全てのネットワーク境界機器５−１、５−２に監視対象のトラフィック情報を与えることとなる。アドレス変換では、アドレス解決装置と通信して変換先のアドレスを得るようにしても良い。また、アドレス変換を、ネットワーク境界機器５−１、５−２側の処理で実現するようにしても良い。
【００２８】
第２段階監視指示部１４は、いずれかのネットワーク境界機器５−１、５−２からアラートが上がってきたときには、そのことをデータベース１１の監視対象のトラフィック情報に関連付けて格納する。第２段階監視指示部１４は、適宜、規制処理部１５を起動する。例えば、第２段階監視指示部１４は、いずれか１個のネットワーク境界機器がアラートを上げてきたことによって規制処理部１５を起動しても良く、また、所定個数のネットワーク境界機器がアラートを上げてきたことによって規制処理部１５を起動しても良く、さらには、全てのネットワーク境界機器がアラートを上げてきたことによって規制処理部１５を起動しても良い。ここでの所定個数は、絶対的な個数であっても良く、ネットワーク境界機器数の所定割合を整数化した個数であっても良い。例えば、調整用係数αが１に近い値であれば、１個のネットワーク境界機器からのアラートを起動条件として十分であり、調整用係数αが１からかなり小さい値であれば、複数のネットワーク境界機器からのアラートを起動条件とすることが好ましい。
【００２９】
規制処理部１５は、監視対象のトラフィック情報に係る通信端末３へのトラフィックを分析し、その分析結果に応じて、必要ならば、通信端末３へのトラフィックを規制する。通信端末３への過剰トラフィックの監視では、後述するように、パケットの宛先及びパケット長だけを問題とし、パケットの送信元や内容を見ないが、規制処理部１５による分析では、送信元の同一や内容の同一、類似、内容の有無などを捉え、ＤＤｏＳ攻撃であるか否かなどを判定する。通信端末３へのトラフィックの規制方法としては、例えば、ネットワーク境界機器５−１、５−２による廃棄を挙げることができる。
【００３０】
なお、網管理システム２とネットワーク機器４との通信や、網管理システム２とネットワーク境界機器５−１、５−２との通信には、例えば、ＳＮＭＰが利用される。
【００３１】
図３は、ネットワーク機器４、ネットワーク境界機器５−１、５−２などのトラフィック中継機器２０の過剰トラフィック監視機能に係る内部構成を示すブロック図である。ネットワーク機器４やネットワーク境界機器５−１、５−２は、ルータ、スイッチ、ゲートウェイなどが該当し、中継に係る処理の詳細は機器の種類によって異なるが、第１の実施形態の場合、過剰トラフィック監視機能に係る内部構成は同様である。
【００３２】
図３において、トラフィック中継機器２０は、ヘッダ抽出部２１、監視対象記憶部２２、監視対象判別部２３、流量計測部２４及び監視結果報告部２５を有する。
【００３３】
ヘッダ抽出部２１は、当該トラフィック中継機器２０に流入したパケットのヘッダを抽出するものである。
【００３４】
監視対象記憶部２２は、網管理システム２から与えられた監視対象のトラフィック情報及びアラート用閾値を記憶するものである。図１では通信端末３を１台だけ示しているが、過剰トラフィックの監視対象に係る通信端末３は複数あっても良く、複数あれば、監視対象記憶部２２には、複数組の監視対象のトラフィック情報及びアラート用閾値が格納される。
【００３５】
監視対象判別部２３は、ヘッダ抽出部２１によって抽出されたヘッダの宛先アドレスが、監視対象記憶部２２に記憶されている監視対象のトラフィック情報（通信端末３のアドレス）に合致しているか否かを判別するものである。宛先アドレスだけの判別であり、送信元アドレスが異なっているパケットでも、宛先アドレスが同じパケットは、同様に処理される。例えば、ＤＤｏＳ攻撃の場合、パケットの宛先アドレスが同じであっても送信元アドレスが異なっていることが多いためである。
【００３６】
流量計測部２４は、今回の到来パケットが監視対象のトラフィックであると、抽出されたヘッダのパケット長（例えば、単位はバイトになっている）を、それまでのパケット長の積算値に積算（加算）させるものである。監視対象が複数ある場合には、流量計測部２４も、監視対象毎に積算値を計数する。
【００３７】
トラフィック中継機器２０は、網管理システム２から監視対象のトラフィック情報及びアラート用閾値が与えられたときから、予め定まっている所定時間（監視時間）だけトラフィックを監視するものである。ネットワーク機器４と、ネットワーク境界機器５−１、５−２とで監視時間が異なっていても良い。例えば、ネットワーク境界機器５−１、５−２の監視時間を、ネットワーク機器４の監視時間より長くするようにしても良い。また、監視時間をも、網管理システム２が指示するようにしても良い。
【００３８】
監視結果報告部２５は、監視する所定時間が終了したときに、パケット長積算値とアラート用閾値に基づいて監視結果を生成し、網管理システム２に報告するものである。例えば、トラフィックの監視時間が１秒であれば、パケット長積算値（単位はバイト）をビット数に置き換えた値がトラフィック流量を表す値になる。また例えば、トラフィックの監視時間が５秒であれば、パケット長積算値を５で割って１秒当たりのパケット長積算値を求め、求められた１秒当たりのパケット長積算値をビット数に置き換えた値がトラフィック流量を表す値になり、若しくは、パケット長積算値をビット数に置き換えた値を５で割った値がトラフィック流量を表す値になる。監視結果報告部２５は、求められたトラフィック流量を、監視対象記憶部２２に記憶されているアラート用閾値と比較し、トラフィック流量がアラート用閾値以上のときにアラートという監視結果を生成し、トラフィック流量がアラート用閾値より小さいときに正常という監視結果を生成する。
【００３９】
（Ａ−２）第１の実施形態の動作
次に、第１の実施形態に係るトラフィック監視システム１の過剰トラフィックの監視動作（トラフィック監視方法）を説明する。
【００４０】
トラフィック監視システム１の動作は、ＤＤｏＳ攻撃のトラフィックの流れを考慮して定められたものである。図１に示すように、通信端末３へのＤＤｏＳトラフィックは、複数のネットワーク境界機器５−１及び５−２に分散してネットワーク６内に流入し、その分散しているＤＤｏＳトラフィックが、ネットワーク境界機器５−１、５−２とネットワーク機器４との間に複数の中継機器を介したとしても、通信端末３を収容しているネットワーク機器４で合流し、大きな量のトラフィックとなって通信端末３を攻撃する。このような流れを考慮して、トラフィック監視システム１の動作が定められている。
【００４１】
図４は、第１の実施形態のトラフィック監視システム１による過剰トラフィックの監視動作時のシーケンス図である。
【００４２】
網管理システム２は、監視対象のトラフィック情報を取り込むと（ステップＳ１）、監視対象のトラフィック情報に係る通信端末３を収容しているネットワーク機器４を割り出して、監視対象のトラフィック情報とアラート用閾値とを与えて、過剰トラフィックの発生有無（過剰トラフィックになっている恐れの有無）の監視を依頼する（ステップＳ２）。
【００４３】
ネットワーク機器４は、通信端末３を宛先とする指示されたトラフィックの流量を所定時間だけ計測し、計測されたトラフィック流量の単位時間当たりの流量を、アラート用閾値と比較し（ステップＳ３）、得られた監視結果を網管理システム２に返信する（ステップＳ４）。
【００４４】
網管理システム２は、ネットワーク機器４からの監視結果がアラートになっているか否かを判別する（ステップＳ５）。網管理システム２は、アラートになっていなければその監視対象のトラフィックの監視を終了する（ステップＳ６）。これに対して、ネットワーク機器４からの監視結果がアラートになっていると、網管理システム２は、全てのネットワーク境界機器５−１、５−２のそれぞれに対して、監視対象のトラフィック情報とアラート用閾値とを与えて、過剰トラフィックの発生有無（過剰トラフィックになっている恐れの有無）の監視を依頼する（ステップＳ７−１、Ｓ７−２）。
【００４５】
各ネットワーク境界機器５−１、５−２はそれぞれ、通信端末３を宛先とする指示されたトラフィックの流量を所定時間だけ計測し、計測されたトラフィック流量の単位時間当たりの流量を、アラート用閾値と比較し（ステップＳ８−１、Ｓ８−２）、得られた監視結果を網管理システム２に返信する（ステップＳ９−１、Ｓ９−２）。
【００４６】
網管理システム２は、図４では省略しているが、全てのネットワーク境界機器５−１、５−２の監視結果が返信されると、監視対象のトラフィックに対する措置等が必要か否かを判断する。例えば、アラートの監視結果が所定数得られたときには、網管理システム２は、通信端末３を宛先とするトラフィックを詳細に分析し、必要ならば、全てのネットワーク境界機器５−１、５−２に対して廃棄を指示する。
【００４７】
（Ａ−３）第１の実施形態の効果
第１の実施形態によれば、過剰トラフィックの監視のために、通信端末を収容しているネットワーク機器が所定時間だけ監視し、必要ならば全てのネットワーク境界機器が所定時間だけ監視するので、常時監視を行っているのでなく、しかも、ネットワークの一部の機器だけが監視を実行すれば良く、ネットワーク機器、ネットワーク境界機器、網管理システムの処理負荷を小さく抑えることができる。ネットワーク全体としても、監視のための負荷が抑えられていることになる。
【００４８】
しかも、ネットワーク機器での監視時間とネットワーク境界機器での監視時間の合計時間程度で過剰トラフィックを検知できる。すなわち、過剰トラフィックを迅速に検知することができる。
【００４９】
また、第１の実施形態によれば、トラフィックの宛先だけに基づいて過剰トラフィックを判断しているため、過剰トラフィックの原因（ＤＤｏＳ攻撃、Ｗｉｎｎｙ等の第２世代Ｐ２Ｐ）が不明であっても過剰トラフィックを検知することができる。
【００５０】
（Ｂ）第２の実施形態
次に、本発明によるトラフィック監視システム、トラフィック監視方法及び網管理システムの第２の実施形態を、図面を参照しながら説明する。
【００５１】
第１の実施形態では、第２段階の監視で過剰トラフィックの有無をネットワーク境界機器５−１、５−２が判断するものであった。この第２の実施形態は、第２段階の監視で過剰トラフィックの有無を網管理システム２が判断するものである。以下、第１の実施形態との相違点を中心に説明する。
【００５２】
第２の実施形態のトラフィック監視システム１における各構成要素の配置も、上述した図１で表すことができる。また、第２の実施形態の網監視システム２の機能的構成も、上述した図２で表すことができる。さらに、第２の実施形態のトラフィック中継機器２０におけるトラフィック監視面の内部構成も、上述した図３で表すことができる。但し、各構成要素について、以下のような相違がある。
【００５３】
第２の実施形態の網監視システム２における第２段階監視指示部１４は、全てのネットワーク境界機器５−１、５−２に、監視対象のトラフィック情報を与えてトラフィックを監視させるものである。
【００５４】
第２の実施形態の場合、このような監視指示に対しては、各ネットワーク境界機器５−１、５−２はそれぞれ、指示されたトラフィックを監視し、監視結果として、アラートの有無ではなく、検出されたトラフィック流量を送出する。すなわち、トラフィック中継機器２０（５−１、５−２）における監視結果報告部２５は、流量計測部２４が所定時間の間だけ計測した監視対象のトラフィックの流量を、監視結果として網管理システムに報告する。監視結果に含める情報は、トラフィック流量そのものではなく、それから得られた単位時間当たりのトラフィック流量であっても良い。
【００５５】
第２の実施形態の網監視システム２における規制処理部１５は、全てのネットワーク境界機器５−１、５−２から報告されたトラフィック流量の合計トラフィック流量を算出した後、監視時間で割って、単位時間当たりの合計トラフィック流量を求め、この単位時間当たりの合計トラフィック流量とアラート用閾値とを大小比較して、過剰トラフィックか否かを判断する。
【００５６】
図５は、第２の実施形態のトラフィック監視システム１による過剰トラフィックの監視動作時のシーケンス図である。
【００５７】
網管理システム２が、ネットワーク機器４からの監視結果がアラートになっているか否かを判別し（ステップＳ５）、網管理システム２は、アラートになっていなければその監視対象のトラフィックの監視を終了する（ステップＳ６）までの処理は、第１の実施形態と同様である。
【００５８】
第２の実施形態の場合、ネットワーク機器４からの監視結果がアラートになっていると、網管理システム２は、全てのネットワーク境界機器５−１、５−２のそれぞれに対して、監視対象のトラフィック情報を与えて、トラフィック流量を計測することを依頼する（ステップＳ７Ａ−１、Ｓ７Ａ−２）。
【００５９】
各ネットワーク境界機器５−１、５−２はそれぞれ、通信端末３を宛先とする指示されたトラフィックの流量を所定時間だけ計測し（ステップＳ８Ａ−１、Ｓ８Ａ−２）、計測されたトラフィック流量を監視結果として網管理システム２に返信する（ステップＳ９Ａ−１、Ｓ９Ａ−２）。
【００６０】
網監視システム２は、全てのネットワーク境界機器５−１、５−２から報告されたトラフィック流量の合計トラフィック流量を算出した後、監視時間で割って、単位時間当たりの合計トラフィック流量を求め、この単位時間当たりの合計トラフィック流量とアラート用閾値とを大小比較して、過剰トラフィックか否かを判断する（ステップＳ１０）。過剰トラフィックと判断した後の対応は、第１の実施形態と同様である。
【００６１】
第２の実施形態によっても、第１の実施形態と同様な効果を奏することができる。すなわち、ネットワーク機器やネットワーク境界機器や網管理システムの処理負荷を小さく抑えながら、過剰トラフィックを迅速に検知することができる。
【００６２】
（Ｃ）第３の実施形態
次に、本発明によるトラフィック監視システム、トラフィック監視方法及び網管理システムの第３の実施形態を、図面を参照しながら説明する。
【００６３】
第１及び第２の実施形態は、網管理システム２が主導権をとって過剰トラフィックを監視するものであった。この第３の実施形態は、通信端末３を収容するネットワーク機器４が主導権をとって過剰トラフィックを監視するものである。以下、第１の実施形態との相違点を中心に説明する。
【００６４】
第３の実施形態のトラフィック監視システム１における各構成要素の配置も、上述した図１で表すことができる。
【００６５】
第３の実施形態の場合、網管理システム１は、ネットワーク機器４からの要求に応じてネットワーク機器４にネットワーク境界機器５−１、５−２の情報を渡す機能だけを果たすものであり、その機能的な構成の図示は省略する。
【００６６】
図６は、第３の実施形態におけるネットワーク機器４の過剰トラフィック監視機能に係る内部構成を示すブロック図である。
【００６７】
図６において、ネットワーク機器４は、ヘッダ抽出部３１、監視対象取込部３２、監視対象判別部３３、流量計測部３４及び第２段階監視指示部３５を有する。
【００６８】
ここで、ヘッダ抽出部３１、監視対象判別部３３及び流量計測部３４は、上述した図３で示したものと同様であるので、その説明は省略する。
【００６９】
監視対象取込部３２は、キーボードから入力された監視対象のトラフィックの情報や、通信端末３若しくは保守員の端末から送信されてきた監視対象のトラフィックの情報を取り込んで保持するものである。すなわち、第３の実施形態の場合、監視対象のトラフィック情報を、監視対象のトラフィックの宛先端末である通信端末３を収容しているネットワーク機器４に入力することとなっている。ここで、監視に必要となるアラート用閾値は、予めネットワーク機器４に保持させておいても良く、また、監視対象のトラフィック情報を入力するさいに併せて入力させるようにしても良く、さらに、ネットワーク機器４が網管理システム２に要求して網管理システム２から得るようにしても良い。
【００７０】
第３の実施形態における監視対象判別部３３は、ヘッダ抽出部３１によって抽出されたヘッダの宛先アドレスが、監視対象取込部３２が取り込んで保持している監視対象のトラフィック情報（通信端末３のアドレス）に合致しているか否かを判別することになる。
【００７１】
第２段階監視指示部３５は、監視する所定時間が終了したときに、流量計測部３４によるパケット長積算値とアラート用閾値を大小比較し、パケット長積算値がアラート用閾値より大きいアラートと結果を得たときに、網管理システム２からネットワーク６の全てのネットワーク境界機器５−１、５−２の情報を得て、全てのネットワーク境界機器５−１、５−２に、監視対象のトラフィック情報とアラート用閾値とを与えてトラフィックを監視させるものである。
【００７２】
また、第２段階監視指示部３５は、いずれか若しくは所定個数以上若しくは全てのネットワーク境界機器５−１、５−２からアラートという監視結果が上がってきたときには、監視対象のトラフィックが過剰トラフィックであると判断し、網監視システム２に通知するものである。このとき、網管理システム２は、第１の実施形態で規制処理部１５の機能として説明した機能を実行することになる。
【００７３】
この第３の実施形態の場合、ネットワーク境界機器５−１、５−２に対する過剰トラフィックの監視の指示元（言い換えると、監視結果の報告先）が、第１の実施形態における網管理システム２からネットワーク機器４に変更になっているが、その点を除けば、ネットワーク境界機器５−１、５−２は第１の実施形態のものと同様である。すなわち、各ネットワーク境界機器５−１、５−２の内部構成は、上述した図３で表すことができ、その説明は省略する。
【００７４】
図７は、第３の実施形態のトラフィック監視システム１による過剰トラフィックの監視動作時のシーケンス図である。
【００７５】
ネットワーク機器４は、監視対象のトラフィック情報を取り込むと（ステップＳ５０）、通信端末３を宛先とする指示されたトラフィックの流量を所定時間だけ計測し、計測されたトラフィック流量の単位時間当たりの流量を、アラート用閾値と比較し、アラート状態か判断する（ステップＳ５１）。ネットワーク機器４は、アラート状態になっていなければその監視対象のトラフィックの監視を終了する（ステップＳ５２）。これに対して、ネットワーク機器４は、アラート状態になっていると、全てのネットワーク境界機器５−１、５−２のそれぞれに対して、監視対象のトラフィック情報とアラート用閾値とを与えて、過剰トラフィックの発生有無（過剰トラフィックになっている恐れの有無）の監視を依頼する（ステップＳ５３−１、Ｓ５３−２）。
【００７６】
各ネットワーク境界機器５−１、５−２はそれぞれ、通信端末３を宛先とする指示されたトラフィックの流量を所定時間だけ計測し、計測されたトラフィック流量の単位時間当たりの流量を、アラート用閾値と比較し（ステップＳ５４−１、Ｓ５４−２）、得られた監視結果をネットワーク機器４に返信する（ステップＳ５５−１、Ｓ５５−２）。
【００７７】
ネットワーク機器４は、全てのネットワーク境界機器５−１、５−２から返信された監視結果に基づいて、過剰トラフィックか否かを判断する（ステップＳ５６）。ネットワーク機器４は、過剰トラフィックでないと判断した場合には、監視対象のトラフィックに対する監視を終了する（ステップＳ５７）。これに対して、ネットワーク機器４は、過剰トラフィックと判断した場合には、網監視システム２に通知する（ステップＳ５８）。
【００７８】
図示は省略するが、このとき、網管理システム２は、例えば、通信端末３を宛先とするトラフィックを詳細に分析し、必要ならば、全てのネットワーク境界機器５−１、５−２に対して廃棄を指示する。
【００７９】
第３の実施形態によっても、第１の実施形態と同様な効果を奏することができる。すなわち、ネットワーク機器やネットワーク境界機器や網管理システムの処理負荷を小さく抑えながら、過剰トラフィックを迅速に検知することができる。
【００８０】
第３の実施形態によれば、第１の実施形態と比較し、ネットワーク機器の処理負荷が多少増加するが、その分、網管理システムの処理負荷を減少させることができる。
【００８１】
（Ｄ）他の実施形態
上記各実施形態の説明においても、種々変形実施形態に言及したが、さらに、以下に例示するような変形実施形態を挙げることができる。
【００８２】
上記各実施形態においては、第２段階の監視がネットワーク境界機器５−１、５−２で行われるものを示したが、通信端末３を収容しているネットワーク機器４に１ホップで通信し得る全てのネットワーク機器が、第２段階の監視の実行機器であっても良い。
【００８３】
上記各実施形態においては、ネットワーク機器４における監視と、ネットワーク境界機器５−１、５−２における監視とを時間順次に行うものを示したが、両監視を並行的に実行するようにしても良い。このような場合において、例えば、網管理システム２は、ネットワーク機器４の監視結果がアラートでなければネットワーク境界機器５−１〜５−２の監視結果を無視し、ネットワーク機器４の監視結果がアラートのときにだけネットワーク境界機器５−１〜５−２の監視結果を参照するようにしても良い。
【００８４】
上記各実施形態においては、トラフィック流量を所定時間でのビット数（例えば［Ｍｂｐｓ］）で把握するものを示したが、パケット数など、他のパラメータを用いるようにしても良い。
【００８５】
上記各実施形態においては、監視対象のトラフィックを、通信端末３のアドレスで特定するものを示したが、他の方法で特定するようにしても良い。例えば、通信端末３のアドレスとネットワーク機器４におけるポート番号とで特定するようにしても良い。
【００８６】
上記各実施形態においては、過剰トラフィックを２段階の監視で検出するものを示したが、３段階以上の監視で検出するようにしても良い。例えば、第１段階の監視を、通信端末３を収容しているネットワーク機器４が行い、第２段階の監視を、通信端末３を収容しているネットワーク機器４に１ホップで通信し得る全てのネットワーク機器が行い、第３段階の監視を、ネットワーク境界機器５−１、５−２が行うようにしても良い。また例えば、第１段階の監視を、通信端末３を収容しているネットワーク機器４が行い、第２段階の監視を、ネットワーク境界機器５−１、５−２が行い、第３段階の監視を、当該ネットワーク６の隣接ネットワークにおけるネットワーク境界機器で行うようにしても良い。隣接ネットワークにおけるネットワーク境界機器での監視を当該ネットワーク６へのトラフィックの流入が全て同じ隣接ネットワークからという条件が成立する場合のみ、行うようにしても良い。隣接ネットワークにおけるネットワーク境界機器で監視する場合には、当該ネットワーク６の網管理システム２から隣接ネットワークの網管理システムに通知し、隣接ネットワークの網管理システムの管理下で監視を実行させるようにすれば良い。
【００８７】
また、ネットワーク境界機器５−１、５−２の監視によって過剰トラフィックと判断された場合の措置を、隣接ネットワークに反映させるようにしても良い。すなわち、過剰トラフィックの情報を隣接ネットワークの網管理システムに通知し、隣接ネットワークへの入口などにおいてトラフィックの廃棄などの対応を実行してもらうようにしても良い。
【００８８】
上記第３の実施形態においては、ネットワーク機器４に監視対象取込部３２を設けて監視対象のトラフィック情報を取り込むものを示したが、網管理システム２に監視対象取込部を設けて監視対象のトラフィック情報を取り込んでネットワーク機器４に通知し、これ以降、ネットワーク機器４が主導権をもって過剰トラフィックか否かの監視を行うものであっても良い。
【００８９】
上記各実施形態におけるネットワーク機器やネットワーク境界機器が、ルータ、スイッチ、ゲートウェイ等である場合を意図して説明したが、このような機器がセッションボーダコントローラであっても良い。この場合、セッション確立後、通信という２段階の処理でトラフィックが流れるので、トラフィック流量を通信端末３宛ての発呼数（例えば、ＳＩＰにおけるＩＮＶＩＴＥメッセージの数）で監視するようにすれば良い。
【符号の説明】
【００９０】
１…トラフィック監視システム、２…網管理システム（ＮＭＳ）、３…通信端末、４…ネットワーク機器、５−１、５−２…ネットワーク境界機器、６…ネットワーク、１０…制御部、１１…データベース、１２…監視対象取込部、１３…第１段階監視指示部、１４…第２段階監視指示部、１５…規制処理部、２０…トラフィック中継機器、２１…ヘッダ抽出部、２２…監視対象記憶部、２３…監視対象判別部、２４…流量計測部、２５…監視結果報告部、３１…ヘッダ抽出部、３２…監視対象取込部、３３…監視対象判別部、３４…流量計測部、３５…第２段階監視指示部。
【図１】
0005163724.tif 000002
【図２】
0005163724.tif 000003
【図３】
0005163724.tif 000004
【図４】
0005163724.tif 000005
【図５】
0005163724.tif 000006
【図６】
0005163724.tif 000007
【図７】
0005163724.tif 000008