(57)【特許請求の範囲】
【請求項１】
パケット・データに関連して使用され、データ・パケットを、システム中を通過させるように動作するトラフィック管理システムであって、
前記システム中に流れ込むデータのいくつかのパラメータを検討する手段と、
受信された各データ・パケットに関連して前記検討されたいくつかのパラメータをある期間の間、記憶している手段と、
前記システムへのパケット・フロー容量があるレベルに達すると、以前に受信されたパケットの選択的に記憶されていたパラメータに従って、その後に受信されたいくつかのパケットを一時的に記憶するように動作する手段と、
を備えるトラフィック管理システム。
【請求項２】
前記あるレベルが、複数のレベルを含み、それぞれ次のレベルが達成されると、前記いくつかの記憶されていたパラメータがより厳しく適用される、請求項１に記載のトラフィック管理システム。
【請求項３】
前記記憶されていたパラメータが、１つまたは複数の、送信者アドレス、以前にトラブルを起こしたアドレス、トラブルの可能性のあるアドレスの通知、ある期間に特定のアドレスから伝送されるデータ量、ある期間に特定のアドレスから到達するパケット数、アドレスのドメイン・ネーム、アドレスに最初に出会った日付、アドレスに最後に出会った日付を含む、請求項１に記載のトラフィック管理システム。
【請求項４】
前記システムへのパケット・フロー容量があるレベルに達すると、以前に受信されたパケットの選択的に記憶されていたパラメータに従って、その後に受信されたいくつかのパケットを一時的に記憶するように動作する手段をさらに備え、
前記あるレベルが、順番に並んだ複数のレベルを含み、レベルの順番が絶対最大データ・フロー・レートに近づくにつれ、特定のパケットを一時的に記憶するために前記判定を行う基礎として、前記記憶されていたパラメータのうちますます多くのものが含まれる、請求項３に記載のトラフィック管理システム。
【請求項５】
前記システムへのトラフィック・フローが前記あるレベルより低下したとき、前記一時的に記憶されたデータ・パケットを検索する手段と、
前記検索されたデータ・パケットを前記システム中を通過させる手段と
をさらに備える、請求項１に記載のトラフィック管理システム。
【請求項６】
前記データ・パケットのうち一時的に記憶されたパケットに関する情報を動的に表示する手段をさらに備える、請求項１に記載のトラフィック管理システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データ・ネットワーク制御システムに関し、より詳細には、特定の位置に流入し、かつ／または特定の位置から流出する一定のデータ・ストリームを維持するためにトラフィックを監視し、フィルタにかけるためのシステムおよび方法に関する。
【背景技術】
【０００２】
本出願は、本明細書中に参照により援用される２０００年５月１７日出願の「Ｉｎｔｅｌｌｉｇｅｎｔ  Ｆｅｅｄｂａｃｋ  Ｌｏｏｐ  Ｐｒｏｃｅｓｓ  Ｃｏｎｔｒｏｌ  Ｓｙｓｔｅｍ」という名称の米国特許出願第０９／５７２，１１２号の一部継続出願である。
【０００３】
データ・ソースの中へ入り、データ・ソースから出るデータ・フローは、多くの企業の適切な運営にとって極めて重要である。このデータ・フローが、短い時間の間であれ中断されると、重大な問題が生じる。かかるデータ・フロー中断の１つの方法は、任意の通信回線（または経路上の任意のネットワーク装置）を非常に多くのデータ・パケットであふれさせること（ｆｌｏｏｄｉｎｇフラッディング）によって、装置が完全に詰まり（ｃｌｏｇ）適切に機能しなくなることである。このような状況では、データが失われ、トランザクションが完了せず、商取引の流れが停止することがある。
【０００４】
企業は、アプリケーションに特有でなくネットワークに存在する、ある種のＤＯＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅサービス妨害）攻撃およびＤＤＯＳ（Ｄｉｓｔｒｉｂｕｔｅｄ  Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ分散サービス妨害）攻撃を含めて、広範なフラッディング・メカニズムによるデータ・フラッディングによって攻撃を受けるようになっている。
【０００５】
この特定の種類の問題に対する１つの公知の解決方法は、システム管理者による手動による中断であり、アクセス制御リスト画面をスクロールして、攻撃してくるＩＰアドレスを手動で選択しブロックすることである。
【０００６】
これは、もちろん、オペレータがどの送信ＩＰアドレスが問題を起こしているかを知ってさえいることを前提としている。この攻撃側の送信アドレスが変化し続ける場合には、オペレータ（システム管理者）は、困ってしまう。知られている別の解決方法は、遠隔侵入検出センサであり、これは、攻撃が検出されたことを手動で通知し、既知の攻撃しているＩＰアドレスをリストアップする。第３の解決方法は、ネットワーク状態の遠隔監視である。これまでの解決方法の問題点は、人が既存の状態に応答することができる時までには、トラフィックを制御することが手に余るものになっており、ネットワークが、侵入中のトラフィックの過負荷によって停止することである。
【０００７】
例えば、今日、例えば毎秒１０００パケットという、Ｔ１チャネルの最大データ・レートの約半分のそれほど速くない速度を仮定したとしても、人間の目で応答するには速すぎて、非常に多くのパケットがシステムに入りダメージを引き起こす前に、ＩＰアドレスを読み取り、情報を理解し、行動を起こすことはできない。今日では、典型的な企業では、おそらく４，０００，０００または５，０００，０００パケットからなる膨大な数のヒットを１時間以内に受信することがあり得る。かかる多数のパケットをバックアップすると、システムは機能を停止するようになる。
【発明の開示】
【発明が解決しようとする課題】
【０００８】
本発明は、データベースが１台のコンピュータ上または複数のコンピュータ上で実行され、カーネルおよびそのインテリジェンス（ｉｎｔｅｌｌｉｇｅｎｃｅ）のすべてが別のコンピュータ上で実行され、アプリケーションおよび管理ツールはその他のコンピュータ上で実行されるという３階層のアーキテクチャを実現するシステムを含む。このシステムは、各パケットに関連する情報バイトのすべてを含めて、企業を対象とするあらゆるＴＣＰ／ＩＰパケットを監視し、各ＩＰアドレスからの各パケットを追跡し続けるように設計されている。このシステムおよび方法の目的は、データ・スループットが超えてはならない閾値として定義されるフラッディングを防止することにある。
【０００９】
必要なら、システムには、ある閾値に到達したときそれぞれ次の閾値に動的に切り替わる複数の閾値をもたせることができる。この文脈では、閾値は、（ＰＴＳ（ｐｒｉｍａｒｙ  ｔｉｍｅ  ｓｌｉｃｅ一次タイム・スライス）と呼ぶ）事前に設定された期間内に到着するデータ・パケット数および情報バイトの累積数が限界に達したことを意味する。これが起こると、あるパケットをスキャンし、取り込み、それがシステムを通り抜けるのを（一時的に）防止する。トラフィック・レートが閾値レベルまで下がると、これらの取り込まれたパケットは、システムを通って流れることができるようになる。取り込まれるパケットは、特定のＩＰアドレス、既知の「不良」ＩＰアドレス、および既知の不良データパターンから到来するＰＴＳ当たりのパケット数および累積バイト数などある種の判断基準に基づく監視によって「探知された（ｓｎｉｆｆｅｄ）」情報の比較に基づいて選択される。
【００１０】
一般に、フラッディングが起こるとき、４つの（またはそれ以上またはそれ以下の）閾値レベルが存在し、それはネットワークの最大帯域幅全体に対するパーセンテージで表される。閾値は、例えば最大帯域幅の２０，３０、または４０％とすることができる。トラフィック・フローが最も低い閾値を下回る場合、すべてが順調に実行される。到着パケット数および累積バイト数がその閾値を超えた後、システムは、チョークする、またはあるパケットをホールドする（ｈｏｌｄ）プロセスを自動的に開始する。それより高い閾値を超えた場合、ますます厳しいアクションが取られ、すなわちシステムを通って流れることができなくなるパケットが、ますます多くなる。
【課題を解決するための手段】
【００１１】
システムの一実施形態は、データベース、カーネル、およびシステム全体を解析し、管理し、監視するための、複数の実時間ディスプレイまたはツールを含む。１台のデータおよびアドレスの表示ディスプレイは、チョークされたパケットを示し、任意選択でその理由を示すこともできる。この情報は、ローカルに表示することができ、世界中のどの端末または通信装置にもリモートで伝えることができる。したがって、適切なユーザＩＤとパスワードで任意の端末から操作しているユーザは、データ・フローの増減を可能とする様々なパラメータを変更することによって、システムを調整することができる。必要なら、オペレータがデータをチョークする判断基準を調整することができる。
【００１２】
以上、本発明の以下の詳細な説明をより良く理解できるようにするため、本発明の特徴および技術的利点をかなり広範に概説してきた。本発明の特許請求の範囲の主題を構成する本発明のさらなる特徴および利点を以下に説明する。開示された概念および具体的な実施形態は、本発明と同じ目的を果たすために他の構造を変更しまたは設計するための基礎として容易に利用できることが当業者には理解されよう。かかる等価な構造は、添付の特許請求の範囲に記載されるように、本発明の趣旨と範囲から逸脱するものではないことも当業者には理解されよう。その構成についても動作方法についても、本発明の特徴と思われる新規の特徴は、さらなる目的および利点とともに、以下の説明を添付図面と併せ考察すると、より良く理解されよう。ただし、各図は、単に図示および説明のために示したにすぎず、本発明の限定を定義するものではないことを明確に理解されたい。
【００１３】
本発明をより完全に理解するために、次に以下の説明を添付図面と併せ参照されたい。
【発明を実施するための最良の形態】
【００１４】
次に図１を参照すると、パケットがインターネット１８（または任意のソース）から到来するとき、これらのパケットは回線１０を介して、データ変換装置１１−１（１１−２）に移動する。この回線は、Ｔ１、Ｔ３、ＯＣ４８、またはその他任意の通信媒体とすることができる。データ変換装置１１−１は、回線からデータ・パケットを取り去り、トークンリング、ＦＤＤＩ、ＴＣＰ／ＩＰ、その他のプロトコルなど、企業が必要とする「内部」プロトコルへとこのデータを変換する複数のデータ変換装置とすることができる。次いでこれらのパケットは、媒体１４を介してセキュリティ・システム２００−１へと移動する。パケットがセキュリティ・システム２００−１に到達すると、以下で論じるように各パケットが解析される。セキュリティ・システム２００−１を通過する媒体パケットだけが、１５を介してルータ１２に送られる。ルータ１２は、ルータ／ゲートウェイの組合せとすることができ、また実際にそれが必要な場合には、ルータ１２および／またはファイアウォール１０８をセキュリティ・システム２００−１内に直接に構築することもできる。
【００１５】
セキュリティ・システム２００−１を何とかして通ったパケットは、企業の内部（イントラ）ネットワーク１３、ファイアウォール１０８に送られる。イントラネット１３には、その他のイントラネットをローカルまたはリモートで接続することができる。例えば、イントラネット１３−Ｎが、媒体１７を介してイントラネット１３に接続される。イントラネットのどれにも、ルータ１０２、ゲートウェイ１０３、サーバ１０４、ＰＣ１０５、ＶＯＩＰ（ｖｏｉｃｅ−ｏｖｅｒ  ＩＰ）プロトコル・システム１０６、任意のタイプの装置．０１など、任意のタイプの装置を接続することができる。
【００１６】
このシステムは、ユーザが望む場合、情報がいつでも外部ネットワーク、例えばインターネット１８からデータ回線Ｔ１およびＴ２を介して送られるようにするために、バックアップ回線Ｔ１−２を有するように設計されている。セキュリティ・システム２００−２が、セキュリティ・システム２００−１が機能していないと、または過負荷状態であると通知されるまでは、これらパケットがセキュリティ・システム２００−２を通過しないという点を除いて、Ｔ１−２を介して到来するパケットは、Ｔ１−１を介して到来するパケットと同様に処理される。そのような通知があった場合には、情報は、Ｔ１−１を流れるのを停止し、Ｔ１−２から流れ始める。これはバックアップ・システムであり、セキュリティ・システム２００−１および２００−２は、例えば媒体１０９を介して互いに交信することができる。データベース１９は、有利にはシステム２００−１にも２００−２にも接続され、Ｔ１−１またはＴ１−２を介して到来するあらゆるパケットを解析した情報を記憶するのに使用される。
【００１７】
アプリケーション１０７は、必要ならイントラネット１３を介して接続されたセキュリティ・システム２００−１および２００−２からリモートにすることができ、あるいはセキュリティ・システム２００−１にローカルにすることができる。好ましい構成は、アプリケーション１０７が、一方の処理システム２００−１とは別のＣＰＵ中に存在するものである。これらのアプリケーションは、必要ならインターネット１８を介した位置から実行することができる。その場合には、その他どんな情報がシステムに到来しようとも、情報は、モデムＴ１−１およびＴ１−２上から入ってくるはずである。以下で論じるように、これによって、ユーザが、必要ならシステムにリモートでアクセスし、システムを監視し、システムへの変更を施すことが可能になる。
【００１８】
アプリケーション１０７からのデータは、２進法で暗号化するのが有利であり、そうすることにより、どこから実行しても、暗号解読を行うことが難しくなる。データがセキュリティ・システム２００−１（２００−２）に流れ込むときに、これらのパケットは、解析され、後述するように、これらはシステムによって記録されない限り、ルータ／ゲートウェイ１２に進まない。
【００１９】
図２にセキュリティ・システム２００のブロック図を単なる例として示す。図で、データは、媒体１４を介してＣＰＵインターフェース２０に入力されるが、このＣＰＵ２０は、有利にはＳｏｌａｒｉｓ８とすることが可能なオペレーティング・システム２４を実行するＳｕｎ  Ｕｌｔｒａ  Ｃｏｍｐｕｔｅｒとすることができる。管理インターフェース２１は、この例では、４台の表示ディスプレイであり、このうち２台はデータベース・ドリブンであり、他の２台は実時間のカーネルの表示ディスプレイである。データベース・インターフェース２２は、この例では、Ｏｒａｃｌｅ８ｉバージョン８．１．７．０．０であり、Ｏｒａｃｌｅ８アーキテクチャに基づくいくつかのテーブルを含む。通知システム２３は、電子メールの送出に関与する警告システムであり、パケットが解析されチョークされるときページャが警告する。フィルタリング・プロセス部２５は、Ｓｏｌａｒｉｓ８のロード可能なカーネル・モジュールであり、このモジュールは、実際にパケットをフィルタにかけ、すなわちパケットがシステムを通過するのを許さない。ＳＭＩ２６は、セキュリティ・システム２００−１（２００−２）の全体の状態を絶えず監視する自己監視インテリジェンスである。ネットワーク・インターフェース２７は、Ｓｕｎ  ＦｅｓｔイーサネットＰＣＩ  ＮＩＣインターネット・アクセスを使用して外部インターフェース１５へのデータ・パケットを処理する。通知システム２３は、有利には、ＳＭＴＰプロトコルを用いて外部インターフェース１４を介して、例えばＳｕｎ  Ｓｏｌａｒｉｓ  Ｍａｉｌｘプログラムを使用して、ページ、電子メール、および／またはその他任意のメッセージ・タイプを送信する。閾値設定制御部２８は、固定および可変の設定を可能にする。
【００２０】
コマンド・インターフェースは、システムへのＵＮＩＸシェルおよび／またはＤＯＳシェルのコマンド・ライン・インターフェースである。このインターフェースにより、システムの内部構成パラメータを変更するコマンドの外部への発行が可能になる。内部構成の変更と一緒に、構成データベースが、同時かつ自動的に更新される。以下は、変更可能な構成アイテムのリストである。
状況（すべての変更可能な構成アイテムおよびその現在の状況をリストするようにとシステムに通知する）
電子メール（電子メールの警告をオン／オフする）
ページャ（ページャの警告をオン／オフする）
Ｉｐｔｒａｃｋ（ｉｐｔｒａｃｋデータベースへの書込みをオン／オフする）
Ｉｐｃｈｏｋｅ（ｉｐｃｈｏｋｅデータベースへの書込みをオン／オフする）
Ｉｐｉｃｍｐ（ｉｐｉｅｍｐデータベースへの書込みをオン／オフする）
メッセージ（メッセージをオン／オフし、報告を記録し、メッセージの報告レベルを変更する）
トレース（エラーの記録報告をオン／オフし、トレース・レベルの報告を変更する）
Ｐｔｓｌｉｃｅ（ＰＴＳ期間を変更する）
閾値１〜４（各閾値レベルをオン／オフする）
【００２１】
図３に、システム図３００を示す。ボックス３０１では、パケットが、媒体１４（図２）を介して入力され、各パケットが解析される。ルーチン３０２では、パケットを調べて、そのパケットのＩＰアドレスが以前に不良情報を送ったかどうかを知る。また、各パケットが含むバイト数のタリーが、データベース１９（図１）に保存され、そのパケットのバイト数が同じＩＰアドレスに対する合計に加算される。システムは、パケット・サイズが、その他の到来データの最大パケット・サイズ内に納まるかどうかも追跡する。最後の一次タイム・スライス（ＰＴＳ）がシステムをそのＩＰアドレスに対して実行してきた総時間の間の累積バイトと共に記憶されているので、総バイト量も記録される。ルーチン３０３で、あるＩＰアドレスが最初にシステムを通るパケットを送信した日付が、最新のパケットの日付と共に、このＰＴＳ間の現行バイト数と一緒に保持され、これらがすべてデータベース１９に記憶される。
【００２２】
解析３０４では、各ＰＴＳにおけるＩＰアドレスごとのパケット数および累積バイト数が、全体として見たときに設定済みの閾値レベルのどれかを超えるかどうかを判定する。
【００２３】
解析３０４ではまた、パケット・バイトの累積レートにより、各閾値レベルおよび設定済みのパケット・レートと比較して、チョークのリストにＩＰアドレスを追加または削減することが保証されるかどうかを連続して判定する。
【００２４】
閾値比較３０５は、最後のＰＴＳの間のバイト数を比較し、ここでは、まず、バイトの合計数をバイト数の降順にソートして、各ＩＰアドレスに振り分ける。言い換えれば、ＩＰアドレス別の最大バイト数が、ソートされていちばん上にくる。ボックス３０６で、閾値を超えたかどうか、そのＰＴＳの間にすべてのＩＰアドレスについて到来するバイトの合計数が、１つ（または複数）の閾値レベルを超えるかどうか、またはパケット・レートが設定済みのパケット・レートの閾値を超えるかどうか。あるレベルの違反が起こると、３０７で、どのレベルを超えたか判定を行う。いずれかの閾値を超えた場合、あるデータ・パケットが、チョークされて、システムを通って流れることができなくなる。
【００２５】
閾値を超えた後、システムは、あるＩＰアドレスからのパケットがシステムを通過するのを許さなくなる。システムは、すでに絶えず合計バイトならびに降順にソートされたあらゆるＩＰアドレスのパケット数を追跡しているので、次にそのタリーを使用して、あるパーセンテージのトラフィックをチョークする。システムは、過去に不良パケットを送信したことが分かっているＩＰアドレスからのパケットを調べることによってこれを行う。これらのパケットだけをチョークしても、バンド幅を特定の閾値レベルより小さくするのに不十分な場合には、システムは、ＰＴＳ当たり最大のデータ容量をもつリスト上の次のＩＰアドレスをチョークする。この合計累積バイトならびにこのＩＰアドレスのパケット・レートにより、合計帯域幅が閾値まで下がる場合、システムはＩＰアドレスをチョーク・リストに追加するのを停止する。スループットが依然として閾値以上に留まる場合、適切なスループットが実現されるまで、ますます多くのＩＰアドレスをチョーク・リストに追加する。
【００２６】
この間に、システムは、他のどの閾値も超えてはいないかを同時に判定している。その上の閾値を超えた場合、システムは同じプロセスを行うが、ただしさらに高いパーセンテージ・レベルでチョークしようとする。システムがある閾値以下になる場合には、チョーク・リスト上のＩＰアドレスの一部が取り除かれる。閾値レベルを下げた場合、キャッシュされた（チョークした）アドレスが通過を許される。この閾値レベルについてデータベースおよびキャッシュが空にされた後、必要ならチョーク・リストからさらにアドレスが取り除かれる。プロセス３０９およびプロセス３１１は、データの記憶部の制御を行い、プロセス３１０は、チョークしていないデータをシステムを介して送る。
【００２７】
あらゆる閾値レベルで同時に起こるもう一つのプロセスは、閾値レベルを上げまたは下げるときはいつでも、判定を行って現在チョーク中のバイトが依然としてアクティブであるかどうかを調べるものである。それがアクティブな場合、チョーク・リスト上のすぐ上のレベルにそれを残す。アクティブとは、そのＩＰアドレスが、最後のＰＴＳの間に累積バイトおよび／またはパケットを有することを意味する。そのＩＰアドレスがＰＴＳの間に非アクティブである場合、これはそのＩＰアドレスが最後のＰＴＳ中にバイトまたはパケットを何も蓄積しなかったことを意味し、他のＩＰアドレスを追加し、または取り除く前に、そのＩＰアドレスをチョーク・リストから取り除く。
【００２８】
システムの２つの重要なパラメータは、１）閾値パーセンテージ、および２）一次タイム・スライスである。タイム・スライスごとにあらゆることが新しく起こり、このタイム・スライスは、２秒とすることが有利であるが、所望の任意の長さに設定することもできる。この場合、システムがどのようにトラフィックをチョークするか優先順位を付ける方式は、ＩＰアドレスごとに最後のＰＴＳの間にどれだけ多くのバイトおよびパケットがもしあれば累積したかを判定することによるものである。
【００２９】
ＩＰアドレスが依然としてアクティブであるかどうかを検査して調べる理由は、攻撃者がＩＰアドレスを変更し続けることができないようにするためであり、「死んだ」ＩＰアドレスがチョーク・リストから速やかに取り除かれない場合に、このＩＰアドレスの継続的な変更が起こる怖れがある。
【００３０】
図４は、一次タイム・スライスの間に何が起きているのかを示したものである。７つのプロセスが、一次タイム・スライスごとにプロセッサ中で動作しており、（２秒のＰＴＳが選択されると仮定すると）これらのプロセスは、２秒間隔で反復される。
【００３１】
データベース記憶用のディスク記憶装置のパラメータは、ユーザがアクティブまたは非アクティブなパケットのＰＴＳの有効期限を越える拡張期間の間データを記憶することを必要とするかどうかというカストマイズ可能なレベルで決定することができる。ユーザは、記憶する必要がある時間およびデータ容量、どれだけの期間、いくつのＰＴＳの間かを決定することができる。
【００３２】
データベース記憶装置およびバックアップのパラメ−タは、記録している帯域幅の大きさに依存し、フラッディング・トラフィックがある間はいつでも一定の書込みを行えるようにデータベース・レベルを維持すべくバックアップするために、例えば時間ごとの増分、または１日ごともしくは週ごとの増分により、いつ非アクティブ・リストが利用できるかに依存する。
【００３３】
図５に、ＳＭＩ（Ｓｅｌｆ  Ｍｏｎｉｔｏｒｉｎｇ  Ｉｎｔｅｌｌｉｇｅｎｃｅ自己監視インテリジェンス）ディスプレイ５００がシステム状態の１２個のコンポーネント（５０１〜５１２）を実時間で動的に示す様子を示す。あらゆるコンポーネントには４つの状態があり、システム状況をより速やかに識別するために、これらの状態を、必要なら、異なる色で示すことができる。括弧内の色（オプション）は、ここで提案する色である。
Ｄｏｗｎ（赤）（コンポーネントは、停止し、動作していない）（ヘルプを要する）
Ｉｎｉｔ（青）（コンポーネントは、動作しており、初期化されているが現在アクティブではない）
Ｉｄｌｅ（黄）（コンポーネントは、動作しており、初期化され、実行中であるが、現在はデータを処理していない）
Ｒｕｎ（緑）（コンポーネントは、動作しており、初期化され、実行中で、データを活発に処理している）
【００３４】
図６に、動的表示ＩＰフィルタ監視ディスプレイ６００を示す。「ＩＰアドレス情報」という名称のテーブル６０１は、システムがインターネット上で出会うあらゆるパケットそれぞれの実時間の動的なリストである。「ＩＰフィルタ情報」という名称のテーブル６０２は、システムがチョークするあらゆる単一パケットの実時間の動的リストである。
６０３は、システムを最初にスタートしたときからシステムが処理した合計バイトである。
６０４は、システムを最初にスタートしたときからシステムが処理した合計パケット数である。
６０５は、システムを最初にスタートしたときからシステムがチョークした合計バイト数である。
６０６は、システムを最初にスタートしたときからシステムがチョークした合計パケット数である。
【００３５】
図７に、システムが維持するあらゆるＩＰアドレスそれぞれについて、より多くの情報を提供する表示ＩＰ追跡データベース管理およびディスプレイ７００を示す。以下では７００ａ、７００ｂと称する図７の最初の２列は、図に示していない。
７００ａは、ＩＰアドレスである。
７００ｂは、現在のＰＴＳまでの、列７００ａのＩＰアドレスに関連するドメイン名である。
７０１は、ＩＰアドレス７００ａに対して処理された合計累積バイトである。
７０２は、ＩＰアドレス７０１ａに対する現行のＰＴＳの間の合計累積バイトである。
７０３は、ＩＰアドレス７０１ａに対する最後のＰＴＳの間の合計累積バイトである。
７０４は、最後のＰＴＳまでのＩＰアドレス７０１ａに対する累積バイトである。
７０５は、ＩＰアドレス７０１ａが最初に記録された日付である。
７０６は、ＩＰアドレス７０１ａが最後に更新された日付である。
８０１は、このシステムの構成に関連するデータのプルダウン・メニューである。このシステムに関連する多くの異なる構成があり得る。
【００３６】
図８に、システム構成データベースの表示管理ツール８００を示し、複数の構成のプルダウン・メニューを実際に示す。このシステムでは、企業が望むだけの多くの異なる構成をデータベースに記憶することができる。
【００３７】
本発明およびその利点を詳細に説明してきたが、添付の特許請求の範囲によって定義される本発明の趣旨および範囲から逸脱することなく、本発明において様々な変更、置換、改変を行うことができることを理解されたい。さらに、本出願の範囲は、本明細書に記載したプロセス、機械、製品、材料組成、手段、方法、およびステップの特定の実施形態に限定されるものではない。本明細書に記載の対応する実施形態と同じ機能を実質的に実施し、または同じ結果を実質的に達成する、現在存在し、または将来開発されるプロセス、機械、製品、材料組成、手段、方法、またはステップを本発明に従って利用できることが、本発明の開示から当業者には容易に理解されよう。したがって、添付の特許請求の範囲は、かかるプロセス、機械、製品、材料組成、手段、方法、またはステップをその範囲に含むものとする。
【図面の簡単な説明】
【００３８】
【図１】データがインターネットなどのネットワークへと流れ、それから流れ出るという文脈で動作する本発明を示す図である。
【図２】本発明を実施可能にする基本的なブロックを詳細に示す図である。
【図３】システム動作の流れ図を示す図である。
【図４】対話形に動作するシステムの７つのスレッドを示す図である。
【図５】システム動作を監視するために使用される様々なディスプレイの１つを示す図である。
【図６】システム動作を監視するために使用される様々なディスプレイの１つを示す図である。
【図７】システム動作を監視するために使用される様々なディスプレイの１つを示す図である。
【図８】システム動作を監視するために使用される様々なディスプレイの１つを示す図である。
【図１】
0004512361.tif 000002
【図２】
0004512361.tif 000003
【図３】
0004512361.tif 000004
【図４】
0004512361.tif 000005
【図５】
0004512361.tif 000006
【図６】
0004512361.tif 000007
【図７】
0004512361.tif 000008
【図８】
0004512361.tif 000009