(57)【特許請求の範囲】
【請求項１】
単数もしくは複数のフロー識別子を用いて、トラフィック量変化の原因トラフィックを特定するトラフィック量変化原因特定システムにおけるトラフィック量変化原因特定方法であって、
前記トラフィック量変化原因特定システムは、属性種別独立の差分取得手段と属性種別独立のクラスタリング手段と複数属性クラスタリング手段とを備え、
前記属性種別独立の差分取得手段が、正常区間のトラフィックデータと異常区間のトラフィックデータの各属性種別それぞれにおいて、独立して正常区間・異常区間の属性値毎の、正常区間のトラフィック量と、正常区間と異常区間のトラフィック量の差分である差分トラフィック量を求める属性種別独立の差分取得ステップと、
前記属性種別独立のクラスタリング手段が、前記正常区間のトラフィック量と、前記差分トラフィック量から、各属性種別毎に該属性種別の一次元フロー識別子を求める属性種別独立クラスタリングステップと、
前記複数属性クラスタリング手段が、各属性種別毎に求められた前記一次元フロー識別子を総合して、多属性種別の多次元フロー識別子を作成する複数属性クラスタリングステップと、
を有することを特徴とするトラフィック量変化原因特定方法。
【請求項２】
前記多次元フロー識別子が、
送信元アドレス、宛先アドレス、プロトコル、送信元ポート、宛先ポートに加えて、
ＴＴＬ（Time To Live）、送信元ＡＳ番号、宛先ＡＳ番号、転送に用いられるルータインタフェース番号、経由ルータ、の内、単一または複数の属性種別における属性値の組み合わせである
ことを特徴とする請求項１のトラフィック量変化原因特定方法。
【請求項３】
前記フロー識別子を構成する属性値として属性値範囲を用いることを特徴とする請求項１のトラフィック量変化原因特定方法。
【請求項４】
前記属性種別独立クラスタリングステップ及び／又は前記複数属性クラスタリングステップにおいて、
フロー識別子を決定する際に、フロー識別子に該当するトラフィックによるトラフィック量変化への寄与度と、フロー識別子に該当するトラフィックの変化以前からの存在度と、フロー識別子数の３つの要素のトレードオフ関係を考慮し、最小のフロー識別子数で、トラフィック量変化への寄与度を最大化し、変化以前からの存在度を最小化するようにフロー識別子を決定することを特徴とする請求項１のトラフィック量変化原因特定方法。
【請求項５】
前記単数もしくは複数のフロー識別子それぞれが、各フロー識別子それぞれに該当するトラフィックの変化量への寄与度と変化以前からの存在度の情報を持つことを特徴とする請求項１のトラフィック量変化原因特定方法。
【請求項６】
単数もしくは複数のフロー識別子を用いて、トラフィック量変化の原因トラフィックを特定するトラフィック量変化原因特定システムであって、
正常区間のトラフィックデータと異常区間のトラフィックデータの各属性種別それぞれにおいて、独立して正常区間・異常区間の属性値毎の、正常区間のトラフィック量と、正常区間と異常区間のトラフィック量の差分である差分トラフィック量を求める属性種別独立の差分取得手段と、
前記正常区間のトラフィック量と、前記差分トラフィック量から、各属性種別毎に該属性種別の一次元フロー識別子を求める属性種別独立のクラスタリング手段と、
各属性種別毎に求められた前記一次元フロー識別子を総合して、多属性種別の多次元フロー識別子を作成する複数属性クラスタリング手段と、
を備えることを特徴とするトラフィック量変化原因特定システム。
【請求項７】
請求項１に記載のステップをコンピュータに実行させるためのプログラム。
【請求項８】
請求項１に記載のステップをコンピュータに実行させるためのプログラムを記録したコンピュータ読み取り可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、トラフィック量変化が外部装置によって検知、もしくは手動で指定された際に、ネットワーク上を流れるトラフィックから得るトラフィック情報、もしくは、蓄積されたトラフィック情報をもとに、そのトラフィック量変化の原因となったトラフィックを特定する技術に関するものである。
【背景技術】
【０００２】
ＩＳＰ（Internet Service Provider）などのネットワークのオペレータは、通常、ネットワークトラフィック状況をトラフィック量（秒間バイト数・秒間パケット数）の時系列で監視しており、ＤＤｏＳ（Distributed Denial of Service）攻撃、トラフィック集中、装置故障などの異常を時系列上の変化によって検出している。
【０００３】
しかし、トラフィック量の変化を発見するだけでは、どのような原因でその変化が生じているのか分からず、現状把握・対処・対策を行うことができない。トラフィック変化に対する対策を実行するためには、トラフィック量変化を引き起こした原因トラフィックを特定する手法が必要である。
【０００４】
これに対する取り組みは、特にＤＤｏＳ攻撃の検知・分析の分野において従来数多くの提案がなされている。
【０００５】
この中でも、特許文献１は、トラフィック量変化の原因となったトラフィックを、複数の属性種別における属性値としてとらえることで、トラフィック量変化の原因を、多次元フロー識別子として特定する方法を提案している。
【０００６】
一方で、この手法は、トラフィックの宛先アドレスや送信元アドレスの単位でトラフィック量の変化を監視するため、ＤＤｏＳ攻撃などで生じる攻撃元が分散したトラフィックによりトラフィック量変化が生じる場合には、単一の送信元アドレスあたりのトラフィック量が少なく、攻撃元を正確に特定することができないという問題がある。
【０００７】
この分散した攻撃元への対策として、特許文献２においては、送信元、宛先アドレスの属性種別に対して、プレフィックスを用いて属性値を範囲指定したクラスタとして扱うクラスタリングを行い、各クラスタのトラフィック量変化を観測する手法を提案している。
【０００８】
ただし、特許文献２において行われるトラフィック量変化原因の特定は、送信元アドレス属性、宛先アドレス属性それぞれに対して独立にのみ行われ、結果として送信元アドレス情報のみを持つフロー識別子、及び宛先アドレス情報のみを持つフロー識別子が独立して出力され、送信元アドレス、宛先アドレスの組としてフロー識別子を特定することが出来ない。このため、複数の属性種別の総合である多次元フロー識別子に比べて、変化原因トラフィック特定精度が低いという問題がある。
【０００９】
また、非特許文献１においては、上記２つの手法の長所を併せ持つ提案として、属性値に範囲を用いた多次元のトラフィック量変化原因特定手法が提案されている。この手法では、多次元フロー識別子としてトラフィック変化に寄与したトラフィックが特定される。
【００１０】
【特許文献１】特開２００５−１５９５５１号公報
【特許文献２】特開２００５−２１０６０１号公報
【非特許文献１】C. Estan, S. Savage, G. Varghese,“Automatically Inferring Patterns of Resource Consumption in Network Traffic,” SIGCOMM'03.
【非特許文献２】G. Pack, J. Yoon, E. Collins, C. Estan, “On Filtering of DDoS Attacks Based on Source Address Prefixes,”SecureComm'06.
【発明の開示】
【発明が解決しようとする課題】
【００１１】
しかしながら、先に述べた提案のいずれも、変化原因トラフィック特定時において、特定したフロー識別子のトラフィックが、どの程度変化発生以前から存在し続けているトラフィックかを勘案していない。この、フロー識別子で識別されるトラフィックが、トラフィック量変化以前にどれだけ存在していたかを、変化以前からの存在度と呼ぶ。フロー識別子で識別されるトラフィックが、変化以前からの存在度が大きい場合には、該当フロー識別子に対してフィルタリングなどの制御を行った際に正常トラフィックもフィルタリングする可能性が高いという問題がある。
【００１２】
加えて、非特許文献１の手法は、正常区間のトラフィック、異常区間のトラフィックそれぞれをクラスタリングした上で、クラスタ同士のトラフィック量の差分を抽出することで、変化原因トラフィックを特定するため、クラスタリング及び差分抽出における計算量が大きく、加えて特定結果にクラスタリングに伴う誤差が含まれるという問題がある。
【００１３】
一方、非特許文献２において、変化以前からの存在度を低減することができる変化原因特定の手法が提案されている。しかしながら、この提案による変化原因特定は、送信元アドレス属性に限ったもので、その他の属性種別をも総合したトラフィック識別情報を得ることができない。このため、複数の属性種別の総合である多次元フロー識別子に比べて、変化原因トラフィック特定精度が低いという問題がある。
【００１４】
本発明は、これらの問題を解決するためになされたもので、本発明の目的は、トラフィックのクラスタリングに先行して分析対象トラフィックの差分を抽出することで、トラフィックのクラスタリングを実施する範囲を、変化に寄与したトラフィックが含まれる範囲に限定することで計算量を削減することである。
【００１５】
また、本発明の第２の目的は、変化原因トラフィック特定に際し、正常区間のトラフィック分布を考慮することで変化以前からの存在度を低減しつつ、異常区間のトラフィック量変化への寄与度を最大化し、かつフロー識別子数を低減することである。
【００１６】
ここで、第２の目的の存在度、寄与度、フロー識別子数の間には下記のトレードオフ関係がある。
・変化以前からの存在度を減らすために複数の狭い範囲のフロー識別子を用いて寄与度一定以上のフロー識別子を出力する場合、フロー識別子数が増える。
・逆に、範囲を広くすると少ないフロー識別子数で高いカバー率を実現できるが、変化以前からの存在度が増える。
【００１７】
本発明の第２の目的は、このトレードオフを最適化しながらトラフィック量変化の原因トラフィックを特定するものである。
【課題を解決するための手段】
【００１８】
本明細書において開示される発明のうち、代表的なものの概要を簡単に説明すれば、以下のとおりである。
【００１９】
第１の発明は、単数もしくは複数のフロー識別子を用いて、トラフィック量変化の原因トラフィックを特定するトラフィック量変化原因特定システムにおけるトラフィック量変化原因特定方法であって、前記トラフィック量変化原因特定システムは、属性種別独立の差分取得手段と属性種別独立のクラスタリング手段と複数属性クラスタリング手段とを備え、前記属性種別独立の差分取得手段が、正常区間のトラフィックデータと異常区間のトラフィックデータの各属性種別それぞれにおいて、独立して正常区間・異常区間の属性値毎の、正常区間のトラフィック量と、正常区間と異常区間のトラフィック量の差分である差分トラフィック量を求める属性種別独立の差分取得ステップと、前記属性種別独立のクラスタリング手段が、前記正常区間のトラフィック量と、前記差分トラフィック量から、各属性種別毎に該属性種別の一次元フロー識別子を求める属性種別独立クラスタリングステップと、前記複数属性クラスタリング手段が、各属性種別毎に求められた前記一次元フロー識別子を総合して、多属性種別の多次元フロー識別子を作成する複数属性クラスタリングステップと、を有することを特徴とする。
【００２０】
第２の発明は、前記第１の発明において、前記多次元フロー識別子が、送信元アドレス、宛先アドレス、プロトコル、送信元ポート、宛先ポートに加えて、ＴＴＬ（Time To Live）、送信元ＡＳ番号、宛先ＡＳ番号、転送に用いられるルータインタフェース番号、経由ルータ、の内、単一または複数の属性種別における属性値の組み合わせであることを特徴とする。
【００２１】
第３の発明は、前記第１の発明において、前記フロー識別子を構成する属性値として属性値範囲を用いることを特徴とする。
【００２２】
第４の発明は、前記第１の発明において、前記属性種別独立クラスタリングステップ及び／又は前記複数属性クラスタリングステップにおいて、フロー識別子を決定する際に、フロー識別子に該当するトラフィックによるトラフィック量変化への寄与度と、フロー識別子に該当するトラフィックの変化以前からの存在度と、フロー識別子数の３つの要素のトレードオフ関係を考慮し、最小のフロー識別子数で、トラフィック量変化への寄与度を最大化し、変化以前からの存在度を最小化するようにフロー識別子を決定することを特徴とする。
【００２３】
第５の発明は、前記第１の発明において、前記単数もしくは複数のフロー識別子それぞれが、各フロー識別子それぞれに該当するトラフィックの変化量への寄与度と変化以前からの存在度の情報を持つことを特徴とする。
【００２４】
第６の発明は、単数もしくは複数のフロー識別子を用いて、トラフィック量変化の原因トラフィックを特定するトラフィック量変化原因特定システムであって、正常区間のトラフィックデータと異常区間のトラフィックデータの各属性種別それぞれにおいて、独立して正常区間・異常区間の属性値毎の、正常区間のトラフィック量と、正常区間と異常区間のトラフィック量の差分である差分トラフィック量を求める属性種別独立の差分取得手段と、前記正常区間のトラフィック量と、前記差分トラフィック量から、各属性種別毎に該属性種別の一次元フロー識別子を求める属性種別独立のクラスタリング手段と、各属性種別毎に求められた前記一次元フロー識別子を総合して、多属性種別の多次元フロー識別子を作成する複数属性クラスタリング手段と、を備えることを特徴とする。
【００２５】
第７の発明は、前記第１の発明のステップをコンピュータに実行させるためのプログラムである。
【００２６】
第８の発明は、前記第１の発明のステップをコンピュータに実行させるためのプログラムを記録したコンピュータ読み取り可能な記録媒体である。
【発明の効果】
【００２７】
本発明によれば、
・トラフィックのクラスタリングに先行して分析対象トラフィックの差分を抽出することで、トラフィックのクラスタリングを実施する範囲を、変化に寄与したトラフィックが含まれる範囲に限定することで計算量を削減でき、
・クラスタリング時に正常区間のトラフィック分布を考慮することで、変化以前からの存在度を低減した変化原因トラフィック特定を行うことが可能になる。
・加えて、トラフィック量変化以前からの存在度と、フロー識別子で特定されるトラフィックによるトラフィック量変化への寄与度とフロー識別子数とのトレードオフに対して、評価式を用いて評価することで、最適化したフロー識別子の組を出力することができる。
【発明を実施するための最良の形態】
【００２８】
次に、本発明の実施形態について、図面を参照しながら説明する。
図１に本発明の実施形態の方法を含むトラフィック量変化原因特定システムのブロック図を示す。１０１は属性種別独立の差分取得手段であり、１０２は属性種別独立のクラスタリング手段であり、１０３は複数属性クラスタリング手段である。本実施形態のトラフィック量変化原因特定システムは、属性種別独立の差分取得手段１０１と属性種別独立のクラスタリング手段１０２と複数属性クラスタリング手段１０３とを備える装置である。本実施形態のトラフィック量変化原因特定システムは、１または複数のコンピュータとプログラムによって構成することができる。また、前記プログラムの一部または全部の代わりにハードウェアを用いて構成してもよい。
【００２９】
１１１は正常区間のトラフィックデータであり、１１２は異常区間のトラフィックデータである。正常区間のトラフィックデータ１１１と異常区間のトラフィックデータ１１２は、属性種別独立の差分取得手段１０１への入力情報である。１２１〜１２５、１３１〜１３５は属性種別独立の差分取得手段１０１が出力する内部的な中間情報であり、これらは属性種別独立のクラスタリング手段１０２に入力される。１４１〜１４５は属性種別独立のクラスタリング手段１０２が出力する内部的な中間情報であり、これらは複数属性クラスタリング手段１０３に入力される。１５１は複数属性クラスタリング手段１０３が出力する多属性フロー識別子（多次元フロー識別子）である。多属性フロー識別子１５１が本実施形態のトラフィック量変化原因特定システムの最終出力情報である。
【００３０】
本実施形態のトラフィック量変化原因特定システムの動作の概略は次のとおりである。まず、属性種別独立の差分取得手段１０１が、正常区間のトラフィックデータ１１１と異常区間のトラフィックデータ１１２の各属性種別それぞれにおいて、独立して正常区間・異常区間の属性値毎の、正常区間のトラフィック量１２１〜１２５と、正常区間と異常区間のトラフィック量の差分である差分トラフィック量１３１〜１３５を求める。次に、属性種別独立のクラスタリング手段１０２が、正常区間のトラフィック量１２１〜１２５と、差分トラフィック量１３１〜１３５から、各属性種別毎に該属性種別の一次元フロー識別子１４１〜１４５を求める。次に、複数属性クラスタリング手段１０３が、各属性種別毎に求められた一次元フロー識別子１４１〜１４５を総合して、多属性種別の多属性フロー識別子（多次元フロー識別子）１５１を作成し、出力する。
【００３１】
トラフィック量変化原因特定システムの入力は、（１）分析対象であるトラフィック量変化を指定する正常区間・異常区間の区間指定情報（それぞれの開始終了時刻情報）と、（２）上記正常区間・異常区間のトラフィックを含む分析対象のトラフィックデータの２つである。
【００３２】
図１に示す正常区間のトラフィックデータ１１１と異常区間のトラフィックデータ１１２は、上記（１）の正常区間・異常区間の区間指定情報を用いて、上記（２）の正常区間・異常区間のトラフィックを含む分析対象のトラフィックデータから作成した、正常区間のトラフィックデータと異常区間異常区間のトラフィックデータである。正常区間のトラフィックデータは変化発生以前のトラフィックデータであり、異常区間のトラフィックデータは変化発生中のトラフィックデータである。
【００３３】
これらの入力を受けて、属性種別独立の差分取得手段１０１は、正常区間のトラフィックデータ１１１と異常区間のトラフィックデータ１１２それぞれを、各属性種別毎に、出現する属性値に該当するトラフィック量としてカウントする。これを、属性種別毎の正常区間トラフィック、異常区間トラフィックと呼ぶ。
【００３４】
前記の属性種別とは、最終的に求めたい複数属性種別フロー情報の構成要素である、送信元アドレス、宛先アドレス、プロトコル、送信元ポート、宛先ポートに加えて、送信元ＡＳ番号、宛先ＡＳ番号、転送に用いられるルータインタフェース番号、経由ルータ、である。これら属性種別のうち、経由ルータ以外の情報はルータの出力するトラフィックデータである、ＮｅｔＦｌｏｗ／ｓＦｌｏｗで取得できる。経由ルータ情報は、送信元アドレス、宛先アドレスから、経路情報を用いて、計算可能である。
【００３５】
出現する属性値とは、例えば送信元アドレス属性であれば、各送信元ホストアドレスが該当する。
【００３６】
また、属性種別独立の差分取得手段１０１では同時に正常区間・異常区間の総トラフィック量も計算する。
【００３７】
次に属性種別独立の差分取得手段１０１は、上記属性種別毎の異常区間トラフィックから正常区間トラフィックを、各属性値毎にトラフィック量の引き算を行う。この引き算の結果を、各属性種別毎の差分トラフィック量と呼ぶ。
【００３８】
また、上記正常区間・異常区間の総トラフィック量間の差を求め、これらを総差分トラフィック量と呼ぶ。
【００３９】
属性種別独立の差分取得手段１０１は、以上のようにして作成した情報を出力する。図１には、これらのうち、送信元アドレス属性値毎の正常区間のトラフィック量１２１、送信元アドレス属性値毎の差分トラフィック量１３１、宛先アドレス属性値毎の正常区間のトラフィック量１２２、宛先アドレス属性値毎の差分トラフィック量１３２、プロトコル属性値毎の正常区間のトラフィック量１２３、プロトコル属性値毎の差分トラフィック量１３３、送信元ポート属性値毎の正常区間のトラフィック量１２４、送信元ポート属性値毎の差分トラフィック量１３４、宛先ポート属性値毎の正常区間のトラフィック量１２５、宛先ポート属性値毎の差分トラフィック量１３５を示す。
【００４０】
属性種別独立のクラスタリング手段１０２は属性種別毎に、上記差分トラフィック量と、正常区間のトラフィック量を入力として、総差分トラフィック量に相当する変化原因トラフィックを各属性毎の一次元フロー識別子として決定する。
【００４１】
属性種別独立のクラスタリング手段１０２は、このようにして決定した各属性毎の一次元フロー識別子を出力する。図１には、これらのうち、送信元アドレス属性のフロー識別子１４１、宛先アドレス属性のフロー識別子１４２、プロトコル属性のフロー識別子１４３、送信元ポート属性のフロー識別子１４４、宛先ポート属性のフロー識別子１４５を示す。
【００４２】
この際、各属性種別のもつ、生来の階層構造に従ってｔｒｅｅを作成し、出力ノード決定としてフロー識別子を決定する。
【００４３】
送信元アドレス属性において、このｔｒｅｅを用いたフロー識別子決定の動作を示す。図２は本実施形態の動作において使用するＩＰ  ａｄｄｒｅｓｓの階層構造に従ったｔｒｅｅの例を示した図である。送信元アドレス属性におけるｔｒｅｅとは、図２に示すＩＰ ａｄｄｒｅｓｓの階層構造に従った、“０．０．０．０／０”を頂点とする深さ最大３２のグラフあり、ｔｒｅｅの各ノードはアドレス範囲、変化量への寄与度、変化以前からの存在度の情報をもつ。
【００４４】
図２において、２０１はｄｅｐｔｈ＝０（頂点）のノードである。図２の左上のノードの凡例に示すように、上段はアドレス範囲であり、下段左側は寄与度（寄与率）であり、下段右側は変化以前からの存在度（存在率）である。ノード２０１はアドレス範囲が“０．０．０．０／０”であるから、３２ビットのＩＰアドレスの全範囲を表すノードである。
【００４５】
２１１と２１２はｄｅｐｔｈ＝１のノードである。ノード２１１はアドレス範囲が“０．０．０．０／１”であるから、３２ビットのＩＰアドレスの上位１ビットが“０”のアドレス範囲を表すノードである。ノード２１２はアドレス範囲が“１２８．０．０．０／１”であるから、３２ビットのＩＰアドレスの上位１ビットが“１”のアドレス範囲を表すノードである。
【００４６】
２２１〜２２４はｄｅｐｔｈ＝２のノードである。ノード２２１はアドレス範囲が“０．０．０．０／２”であるから、３２ビットのＩＰアドレスの上位２ビットが“００”のアドレス範囲を表すノードである。ノード２２２はアドレス範囲が“６４．０．０．０／２”であるから、３２ビットのＩＰアドレスの上位２ビットが“０１”のアドレス範囲を表すノードである。ノード２２３はアドレス範囲が“１２８．０．０．０／２”であるから、３２ビットのＩＰアドレスの上位２ビットが“１０”のアドレス範囲を表すノードである。ノード２２４はアドレス範囲が“１９２．０．０．０／２”であるから、３２ビットのＩＰアドレスの上位２ビットが“１１”のアドレス範囲を表すノードである。
【００４７】
２６１、…はｄｅｐｔｈ＝３１のノードである。ノード２６１はアドレス範囲が“０．０．０．０／３１”であるから、３２ビットのＩＰアドレスの上位３１ビットが全て“０”であるアドレス範囲を表すノードである。
【００４８】
２７１、２７２、…はｄｅｐｔｈ＝３２（最下位）のノードである。ノード２７１は、アドレス範囲が“０．０．０．０／３２”であるから、３２ビットのＩＰアドレスの全てのビットが“０”であるアドレスを表すノードである。ノード２７２は、アドレス範囲が“０．０．０．１／３２”であるから、３２ビットのＩＰアドレスの上位３１ビットが全て“０”であり、最下位のビットが“１”であるアドレスを表すノードである。
【００４９】
寄与度とは、上記アドレス範囲に該当する差分トラフィック量が、総差分トラフィック量に対して占める割合である。
【００５０】
変化以前からの存在度とは、上記アドレス範囲に該当する正常区間トラフィック量が、総正常区間トラフィック量に占める割合である。
【００５１】
送信元アドレス属性におけるｔｒｅｅは、まず、既に求めた、送信元アドレス属性値毎の、差分トラフィック量と正常トラフィック量から寄与度と存在度を求めて、ｔｒｅｅにおける最下位（図２の例ではｄｅｐｔｈ＝３２）のノードとして配置する。
【００５２】
図２の例では、ノード２７１（３２ビット全てが“０”のアドレス）は寄与度１０／存在度３であり、ノード２７２（上位３１ビット全てが“０”であり、最下位の１ビットが“１”のアドレス）は寄与度０／存在度０である。
【００５３】
次に、ｄｅｐｔｈ=３２のノード同士の和を求めることでｄｅｐｔｈ=３１のノードを求める。この動作を繰り返すことで、ｄｅｐｔｈ=０までのノードを計算し、ｔｒｅｅを完成させる。
【００５４】
図２の例では、ノード２６１の寄与度／存在度は、ノード２７１の寄与度１０／存在度３とノード２７２の寄与度０／存在度０を加算した寄与度１０／存在度３である。ノード２１１の寄与度／存在度は、ノード２２１の寄与度２０／存在度２０とノード２２２の寄与度１０／存在度３０を加算した寄与度３０／存在度５０である。ノード２１２の寄与度／存在度は、ノード２２３の寄与度２０／存在度３０とノード２２４の寄与度５０／存在度２０を加算した寄与度７０／存在度５０である。ノード２０１の寄与度／存在度は、ノード２１１の寄与度３０／存在度５０とノード２１２の寄与度７０／存在度５０を加算した寄与度１００／存在度１００である。
【００５５】
次に、完成したｔｒｅｅを用いて、送信元属性におけるフロー識別子を決定する。これは、ｔｒｅｅからアドレス範囲が重ならない任意のノード組を選択し、ノード組のカバー率が一定以上で、かつ、式１に示す評価式において評価値が最大であるノード組をフロー識別子の組として出力することによって実現する。
【００５６】
【数１】
0004422176.tif 000002
式１は、寄与度が大きいほど評価値が大きくなり、存在度が大きいほど評価値が小さくなり、フロー識別子数が多いほど評価値が下がるという特徴がある。もちろん評価式は式１に限るものではない。式中α、β及びγは重みづけ用定数であり、これらを変更することで、運用ネットワークにおける優先度や運用ポリシを反映可能である。この式を用いることで、正常区間から存在しているトラフィックが含まれないようにフロー識別子を決定することができる。
【００５７】
本実施形態においては、式１を用いて一次元フロー識別子を決定しているが、一般的には、フロー識別子を決定する際に、フロー識別子に該当するトラフィックによるトラフィック量変化への寄与度と、フロー識別子に該当するトラフィックの変化以前からの存在度と、フロー識別子数の３つの要素のトレードオフ関係を考慮し、このトレードオフを適切な評価式に従って、最小のフロー識別子数で、トラフィック量変化への寄与度を最大化し、変化以前からの存在度を最小化するようにフロー識別子を決定すればよい。なお、この点は後述する多属性フロー識別子（多次元フロー識別子）の決定においても同様である。
【００５８】
上記の送信元アドレス属性における動作と同様の動作により宛先アドレス属性におけるフロー識別子の決定が行われる。
【００５９】
プロトコル属性においては、ｔｒｅｅは頂点（ｄｅｐｔｈ=０）“＊”（無指定）とｌｅａｅｆ ｎｏｄｅ（ｄｅｐｔｈ＝１）＝各属性値の２階層のｔｒｅｅを用い、他は送信元アドレス属性と同様の動作によりフロー識別子の決定を行う。また、プロトコル属性の出力するフロー識別子は１に制限する。
【００６０】
なお、“＊”は無指定を表す。無指定とは当該属性の属性値を指定しないことであり、各属性における無指定のノードは当該属性の全ての属性値を含むノードである。
【００６１】
送信元ポート属性、宛先ポート属性においては、それぞれｔｒｅｅを頂点（ｄｅｐｔｈ＝０）＝“＊”（無指定）とし、ｄｅｐｔｈ＝１はｌｏｗ＿ｐｏｒｔ、ｈｉｇｈ＿ｐｏｒｔとし、ｄｅｐｔｈ＝２は各出力情報要素とする３階層のｔｒｅｅとして、その他は送信元アドレス属性と同様の動作によりフロー識別子の決定を行う。この際、送信元ポート属性、宛先ポート属性の出力するフロー識別子数はそれぞれ１に制限する。
【００６２】
この他、送信元ＡＳ番号属性、宛先ＡＳ番号属性、転送に用いられるルータインタフェース番号属性、経由ルータにおけるフロー識別子の決定は、上記プロトコル属性と同様に行う。
【００６３】
以上の動作により、各属性種別毎の一次元フロー識別子が決定される。
【００６４】
次に、複数属性クラスタリング手段１０３は、上記各属性種別毎の一次元識別子を元に、多属性種別の多次元フロー識別子を作成し、再度、正常区間・異常区間のトラフィックを使用して、作成した多次元フロー識別子毎の寄与度と存在度を計算する。
【００６５】
上記の多次元フロー識別子作成の例を図３に示す。図３において、３１０は各属性毎の一次元フロー識別子の例であり、３２０は各属性毎の一次元フロー識別子３１０から作成された多次元フロー識別子（多属性フロー識別子）の例である。
【００６６】
図３の各属性毎の一次元フロー識別子３１０では、送信元アドレス属性の一次元フロー識別子は符号３１１で示す“１０．２．０．０／１６”と符号３１２で示す“２０１．１０．０．０／２０”であり、宛先アドレス属性の一次元フロー識別子は符号３１３で示す“１２８．０．０．０／１４”と符号３１４で示す“２１０．０．０．０／１６”であり、プロトコル属性の一次元フロー識別子は符号３１５で示す“１７”であり、送信元ポート属性の一次元フロー識別子は符号３１６で示す“ｈｉｇｈ”であり、宛先ポート属性の一次元フロー識別子は符号３１７で示す“８０”である。
【００６７】
多次元フロー識別子作成の動作は、各属性種別の一次元フロー識別子同士の論理積を求めるものである。加えて、送信元アドレス属性、宛先アドレス属性のように、単一属性種別で複数のフロー識別子を出力する場合、結果として複数の多次元フロー識別子が作成される。
【００６８】
図３の例では、送信元アドレス属性の一次元フロー識別子は３１１と３１２の２個であり、宛先アドレス属性の一次元フロー識別子は３１３と３１４の２個であるから、多次元フロー識別子３２０としては、符号３２１、３２２、３２３、３２４で示す４個の多次元フロー識別子が作成される。
【００６９】
多次元フロー識別子３２１は、送信元アドレス“１０．２．０．０／２”、宛先アドレス“１２８．０．０．０／１４”、プロトコル“１７”、送信元ポート“ｈｉｇｈ”、宛先ポート“８０”のフローを示す識別子である。
【００７０】
多次元フロー識別子３２２は、送信元アドレス“１０．２．０．０／１６”、宛先アドレス“２１０．０．０．０／１６”、プロトコル“１７”、送信元ポート“ｈｉｇｈ”、宛先ポート“８０”のフローを示す識別子である。
【００７１】
多次元フロー識別子３２３は、送信元アドレス“２０１．１０．０．０／２０”、宛先アドレス“１２８．０．０．０／１４”、プロトコル“１７”、送信元ポート“ｈｉｇｈ”、宛先ポート“８０”のフローを示す識別子である。
【００７２】
多次元フロー識別子３２４は、送信元アドレス“２０１．１０．０．０／２０”、宛先アドレス“２１０．０．０．０／１６”、プロトコル“１７”、送信元ポート“ｈｉｇｈ”、宛先ポート“８０”のフローを示す識別子である。
【００７３】
次に、上記で作成した多次元フロー識別子それぞれに適合する、正常区間・異常区間のトラフィック量を計算し、多次元フロー識別子それぞれの寄与度と存在度を計算する。計算結果の例を図４に示す。図４の例では、多次元フロー識別子４２１の寄与度は３５％、存在度は０％であり、多次元フロー識別子４２２の寄与度は０％、存在度は０％であり、多次元フロー識別子４２３の寄与度は５％、存在度は２０％であり、多次元フロー識別子４２４の寄与度は５０％、存在度は１０％である。
【００７４】
最後に、上記の寄与度と存在度が付属する多次元フロー識別子４２１〜４２４に対し、再度、式１の評価式を用いて最終的に出力する多次元フロー識別子を決定する。
【００７５】
これは、先に求めた多次元フロー識別子の中から、任意個の多次元フロー識別子を選択し、合計寄与度が一定以上で、かつ、式１に示す評価式において評価値が最大である多属性フロー識別情報の組を最終出力として採用することで実現する。この動作により決定した、最終的に出力する多次元フロー識別子の例５０１、５０２を図５に示す。
【００７６】
以上の動作により、最終的に、
・トラフィック量変化の原因トラフィックが適切な単数もしくは複数のフロー識別子として特定され、
・さらに、各フロー識別子それぞれに、変化量への寄与度と変化以前からの存在度の情報が付加されるため、特定結果を用いた制御を実施する際の効果と影響を、実際の制御に先立って見積もることができる。
【００７７】
なお、図３、４、５に示す多次元フロー識別子３２１〜３２４、４２１〜４２４、５０１〜５０２は、送信元アドレス、宛先アドレス、プロトコル、送信元ポート、宛先ポートにおける属性値の組み合わせで構成されているが、これに加えて、ＴＴＬ、送信元ＡＳ番号、宛先ＡＳ番号、転送に用いられるルータインタフェース番号、経由ルータ、の内、単一または複数の属性種別における属性値の組み合わせで多次元フロー識別子を構成してもよい。
【００７８】
また、図３に示すように、送信元アドレス属性の一次元フロー識別子３１１、３１２と宛先アドレス属性の一次元フロー識別子３１３、３１４においては、一次元フロー識別子を構成する属性値としてアドレス範囲（属性値範囲）が用いられており、同様に、図３、４、５に示す多次元フロー識別子３２１〜３２４、４２１〜４２４、５０１〜５０２においても、送信元アドレスと宛先アドレスに関する属性値としてアドレス範囲（属性値範囲）が用いられている。
【００７９】
以下、上記実施形態を具体的なトラフィック量変化の特定に適用する際の例を示す。（１）はＤＤｏＳ攻撃によるトラフィック量増加の場合であり、（２）は装置故障など障害によるトラフィック量減少の場合であり、（３）は人気ｗｅｂサーバなどへの急激なトラフィック集中によるトラフィック増加等の場合である。
【００８０】
（１）トラフィック量急増がＤＤｏＳ攻撃である場合
ＤＤｏＳ攻撃によって生じたトラフィック量増加を、本実施形態により分析する場合、トラフィック量変化の原因特定結果として、
・被攻撃ホストである単一もしくは少数の送信先アドレスと、
・該当攻撃先アドレスに対して攻撃トラフィックを送信している攻撃元アドレスの範囲と、
・攻撃トラフィックを構成する上記以外のトラフィック属性値
の情報をフロー識別子として得ることができる。
【００８１】
加えて、この場合の送信元アドレス範囲は、評価式を用いて、攻撃発生前のトラフィックを除外するように決定されたものである。
【００８２】
このため、本実施形態による特定結果を用いて、ルータにおけるフィルタや流量制限を行った場合、正常な通信を阻害する確率が低く、本実施形態によるフロー識別子は理想的なＤＤｏＳ攻撃フィルタ条件である。
【００８３】
さらに、特定結果に付属する変量に対する寄与度、変化以前の存在度情報によって、制御実施前に制御による攻撃トラフィック抑制効果、正常トラフィックへの影響を見積もることができる。
【００８４】
（２）トラフィック量減少が装置故障など障害が原因である場合
装置故障などよって発生したトラフィック量減少を、本実施形態により分析した場合、トラフィック量変化の原因特定結果として、変化以前には存在していたにもかかわらず、変化後に存在しなくなったトラフィックをフロー識別子として特定することが出来る。
【００８５】
この際、フロー識別子として、ルータのインタフェース属性や経由ルータ属性を使用していれば、変化原因となった属性値がトラフィック量減少の原因であり、故障個所の発見を行うことができる。
【００８６】
商用ネットワークにおいては、装置の死活監視システムが導入されている場合が多いが、それらのシステムにおいても障害発生時に警報を発しないサイレント故障への対応が商用ネットワーク運用における課題となっている。これに対し、本実施形態により、サイレント故障であってもその故障個所の特定を行うことができる。
【００８７】
（３）トラフィック量急増が、トラフィック量の確率的変動やトラフィック集中である場合
トラフィック量急増が、人気ｗｅｂサイトなどの発生による正常なトラフィック集中やトラフィック量の確率的変動である場合、トラフィック量変化の特定結果として、トラフィック量増加の原因となった宛先アドレス及び送信元アドレスの範囲を得ることができる。
【００８８】
しかし、付随する変化以前からの存在度が大きく、トラフィック量増加は変化以前から存在したトラフィックと類似したトラフィックによるものであることが特定でき、正常なトラフィック集中や、トラフィック量の確率的変動であることが判明する。
【００８９】
これにより、トラフィック量を用いた異常トラフィック検知システムにおいて避けることのできない、トラフィック変動を誤って異常の発生と認識してしまい発生する誤アラート（False Positive)を、誤アラートとして特定することができる。
【００９０】
本実施形態により、誤アラートであることが特定でき、オペレータへの誤アラートの送信を排除する場合、ネットワークオペレータが直接誤アラートを手動により再度分析する必要が無くなり、オペレーションコストを低減することができる。
【００９１】
以上、本発明者によってなされた発明を、前記実施形態に基づき具体的に説明したが、本発明は、前記実施形態に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。
【図面の簡単な説明】
【００９２】
【図１】本発明の実施形態の方法を含むトラフィック量変化原因特定システムのブロック図である。
【図２】本発明の実施形態の動作において使用するＩＰ  ａｄｄｒｅｓｓの階層構造に従ったｔｒｅｅの例を示した図である。
【図３】本発明の実施形態の動作における多次元フロー識別子作成の例を示した図である。
【図４】作成した多次元フロー識別子毎の寄与度と存在度の例を示した図である。
【図５】最終的に出力される多次元フロー識別子の例を示した図である。
【符号の説明】
【００９３】
１０１…属性種別独立の差分取得手段、１０２…属性種別独立のクラスタリング手段、１０３…複数属性クラスタリング手段、１１１…正常区間のトラフィックデータ、１１２…異常区間のトラフィックデータ、１２１…送信元アドレス属性値毎の正常区間のトラフィック量、１２２…宛先アドレス属性値毎の正常区間のトラフィック量、１２３…プロトコル属性値毎の正常区間のトラフィック量、１２４…送信元ポート属性値毎の正常区間のトラフィック量、１２５…宛先ポート属性値毎の正常区間のトラフィック量、１３１…送信元アドレス属性値毎の差分トラフィック量、１３２…宛先アドレス属性値毎の差分トラフィック量、１３３…プロトコル属性値毎の差分トラフィック量、１３４…送信元ポート属性値毎の差分トラフィック量、１３５…宛先ポート属性値毎の差分トラフィック量、１４１…送信元アドレス属性のフロー識別子、１４２…宛先アドレス属性のフロー識別子、１４３…プロトコル属性のフロー識別子、１４４…送信元ポート属性のフロー識別子、１４５…宛先ポート属性のフロー識別子、１５１…多属性フロー識別子（多次元フロー識別子）、２０１〜２７２…ＩＰ  ａｄｄｒｅｓｓの階層構造に従ったｔｒｅｅにおけるノード、３１０…各属性毎の一次元フロー識別子、３１１、３１２…送信元アドレス属性の一次元フロー識別子の例、３１３、３１４…宛先アドレス属性の一次元フロー識別子の例、３１５…プロトコル属性の一次元フロー識別子の例、３１６…送信元ポート属性の一次元フロー識別子の例、３１７…宛先ポート属性の一次元フロー識別子の例、３２０…多次元フロー識別子、３２１〜３２４…多次元フロー識別子の例、４２１〜４２４…寄与度と存在度が付属する多次元フロー識別子の例、５０１、５０２…最終的に出力する多次元フロー識別子の例
【図１】
0004422176.tif 000003
【図２】
0004422176.tif 000004
【図３】
0004422176.tif 000005
【図４】
0004422176.tif 000006
【図５】
0004422176.tif 000007