(57)【要約】【課題】通信パタンの統計情報に基づいたトラフィック分類に関する技術において、アプリケーション検出速度を向上できる技術を提供すること。【解決手段】本発明は、アプリケーションと、このアプリケーションにおけるトラフィックのシーケンスパタンとが対応付けられたシーケンス参照パタンのデータベースと、受信したトラフィックのパケットのパラメータを分析する分析手段と、前記分析結果に基づいて、受信したトラフィックのシーケンスパタンを判断し、このシーケンスパタンに対応付けられているアプリケーションを前記データベースから検索して、前記受信トラフィックのアプリケーションを判定する判定手段とを有することを特徴とするトラフィック判定装置。【選択図】図１
2007228217.tif 000002
【特許請求の範囲】
【請求項１】
トラフィック判定装置であって、
アプリケーションと、このアプリケーションにおけるトラフィックのシーケンスパタンとが対応付けられたシーケンス参照パタンのデータベースと、
受信したトラフィックのパケットのパラメータを分析する分析手段と、
前記分析結果に基づいて、受信したトラフィックのシーケンスパタンを判断し、このシーケンスパタンに対応付けられているアプリケーションを前記データベースから検索して、前記受信トラフィックのアプリケーションを判定する判定手段と
を有することを特徴とするトラフィック判定装置。
【請求項２】
前記データベースは、ネットワークを介して受信するデータベース更新情報に基づいて更新されることを特徴とする請求項１に記載のトラフィック判定装置。
【請求項３】
前記分析手段は、受信したトラフィックの送信元及び送信先に関する情報を用いてセッション毎に分類されたトラフィックのパケットのパラメータを分析することを特徴とする請求項１又は請求項２に記載のトラフィック判定装置。
【請求項４】
前記分析手段は、パケット長、パケット到着間隔、通信方向、プロトコル、及びＴＣＰフラグのうち少なくとも１つをパケットのパラメータとして分析することを特徴とする請求項１から請求項３のいずれかに記載のトラフィック判定装置。
【請求項５】
前記データベースは、アプリケーションにおけるトラフィックのパケット長、パケット到着間隔、通信方向、プロトコル、ＴＣＰフラグに基づいて生成されたデータベースであることを特徴とする請求項１から請求項４のいずれかに記載のトラフィック判定装置。
【請求項６】
前記判定されたアプリケーションの種類に応じて通信制御する通信制御手段を有することを特徴とする請求項１から請求項６のいずれかに記載のトラフィック判定装置。
【請求項７】
トラフィック判定方法であって、
受信したトラフィックのパケットのパラメータを分析する分析ステップと、
前記分析結果に基づいて、受信したトラフィックのシーケンスパタンを判断する判断ステップと、
前記判断されたシーケンスパタンに対応付けられているアプリケーションを、アプリケーションとこのアプリケーションにおけるトラフィックのシーケンスパタンとが対応付けられたシーケンス参照パタンのデータベースから検索して、前記受信トラフィックのアプリケーションを判定する判定ステップと
を有することを特徴とするトラフィック判定方法。
【請求項８】
ネットワークを介して受信したデータベース更新情報に基づいて前記データベースを更新する更新ステップを有することを特徴とする請求項７に記載のトラフィック判定方法。
【請求項９】
前記分析ステップは、受信したトラフィックの送信元及び送信先に関する情報を用いてセッション毎に分類されたトラフィックのパケットのパラメータを分析することを特徴とする請求項７又は請求項８に記載のトラフィック判定方法。
【請求項１０】
前記分析ステップは、パケット長、パケット到着間隔、通信方向、プロトコル、及びＴＣＰフラグのうち少なくとも１つをパケットのパラメータとして分析することを特徴とする請求項７から請求項９のいずれかに記載のトラフィック判定ステップ。
【請求項１１】
前記ステップで判定されたアプリケーションの種類に応じて通信制御する通信制御ステップを有することを特徴とする請求項７から請求項１０のいずれかに記載のトラフィック判定方法。
【請求項１２】
トラフィック判定装置のプログラムであって、前記プログラムは前記トラフィック判定装置を、
受信したトラフィックのパケットのパラメータを分析する分析手段と、
前記分析結果に基づいて、受信したトラフィックのシーケンスパタンを判断し、このシーケンスパタンに対応付けられているアプリケーションを、アプリケーションとこのアプリケーションにおけるトラフィックのシーケンスパタンとが対応付けられたシーケンス参照パタンのデータベースから検索して、前記受信トラフィックのアプリケーションを判定する判定手段と
して機能させることを特徴とするプログラム。
【請求項１３】
前記プログラムは前記トラフィック判定装置を、
ネットワークを介して受信するデータベース更新情報に基づいて前記データベースを更新する更新手段として機能させることを特徴とする請求項１２に記載のプログラム。
【請求項１４】
前記プログラムは、前記分析手段を、受信したトラフィックの送信元及び送信先に関する情報を用いてセッション毎に分類されたトラフィックのパケットのパラメータを分析する手段として機能させることを特徴とする請求項１２又は請求項１３に記載のプログラム。
【請求項１５】
前記プログラムは、前記分析手段を、パケット長、パケット到着間隔、通信方向、プロトコル、及びＴＣＰフラグのうち少なくとも１つをパケットのパラメータとして分析する手段として機能させることを特徴とする請求項１２から請求項１４のいずれかに記載のプログラム。
【請求項１６】
前記プログラムは、前記トラフィック判定装置を、
前記判定されたアプリケーションの種類に応じて通信制御する通信制御手段として機能させることを特徴とする請求項１２から請求項１５のいずれかに記載のプログラム。
【請求項１７】
トラフィック判定装置であって、
受信トラフィックをセッション単位に分類し、この各セッション単位に分類されたトラフィックを構成するパケットから状態遷移パタンを作成し、作成した状態遷移パタンとトラフィックの種類に応じて予め保持されている状態遷移参照パタンとを比較することによって、受信トラフィックの種類を判定することを特徴とするトラフィック判定装置。
【請求項１８】
トラフィック判定方法であって、
受信トラフィックをセッション単位に分類し、この各セッション単位に分類されたトラフィックを構成するパケットから状態遷移パタンを作成し、作成した状態遷移パタンとトラフィックの種類に応じて予め保持されている状態遷移参照パタンとを比較することによって、受信トラフィックの種類を判定することを特徴とするトラフィック判定方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク上のトラフィックの生成元であるアプリケーションを判定する技術に関し、特に、ネットワーク上のトラフィックに対してその通信パタンを分析することによってそのトラフィックのアプリケーションを判定する技術に関する。
【背景技術】
【０００２】
インターネット上を流れるトラフィックを分析し、その分析したトラフィックに応じてフィルタリングやシェーピング、ルーティングといった制御を行うことは、ファイアウォール装置や帯域制御装置やルータ等のネットワーク機器において実施されている。これらの装置は、TCP(Transmission Control Protocol)やUDP(User
Data Protocol)によって使用されるポート番号や、パケットのペイロードに含まれる特定のビット文字列(シグネチャ)を検出して分析し、トラフィックをその種類に応じた制御を行っている（例えば特許文献１）。
【０００３】
一方で、近年、P2P(Peer-to-Peer)アプリケーションの急速な普及に伴い、そのP2Pアプリケーションのトラフィックによるネットワーク資源の占有が原因となり、他のアプリケーションの通信品質を劣化させるといったことが問題となっている。
【０００４】
また、P2Pアプリケーションは、ファイアウォール装置の制限から逃れるために、他の用途で予約されたWell-knownポート番号（例えばHTTP通信用に予約された80番ポートなど）を使用して通信を実施するものも出現しており、インターネット上を流れるトラフィックの多様化・高度化が進んでいる。このようなポート番号を詐称したトラフィックの場合、現在の制御装置では、ポート番号だけでは正確に分析することができない。また、暗号化されたトラフィックの場合も、パケットのペイロードを十分に分析することができないため、シグネチャ検出することが困難でありトラフィックを分析することができない。
【０００５】
このようなトラフィックを分析するために、ポート番号やシグネチャといったヘッダやペイロード情報に依存しないパラメータを用いて、データトラフィックの通信パタンを統計的に分析してトラフィックをアプリケーション毎に分析する技術が考案されている（例えば特許文献1又は特許文献２）。
【０００６】
非特許文献１には、通信パタンの統計情報として、あるホストに注目した場合の通信先ホスト数や通信元ポート数、通信先ポート数を分析することによって、注目ホストが使用しているアプリケーションの種別を判定する方法が提案されている。
【０００７】
非特許文献２には、通信パタンの統計情報として、データトラフィックのU-Plane(User-Plane)データに注目した場合のパケットサイズやパケット到着間隔に関する複数パラメータを分析することによって、アプリケーション単位にトラフィックを分析する技術が提案されている。
【特許文献１】特開平７‐２３１３１７号公報
【非特許文献１】T.Karagiannis etal, “BLINC: Multilevel Traffic Classification in theDark，” In ACM SIGCOMM 2005
【非特許文献２】M. Roughan et al, “Class-of-Service Mapping for QoS: AStatistical  Signature-based Approach to IP TrafficClassification”，In ACM SIGCOMM IMC, November 2004
【発明の開示】
【発明が解決しようとする課題】
【０００８】
非特許文献１で示される方法では、一定時間に受信したトラフィックに対して通信パタンを統計的に分析する必要があるため、分類結果が収束するまでに数分間の時間がかかりアプリケーション検出速度が遅くなってしまうという問題がある。また、注目したホストが同時に複数のアプリケーションを使用して通信する場合には、アプリケーション種別の判定が困難になってしまうという問題がある。
【０００９】
非特許文献２で示される方法では、上記非特許文献１と同様、一定時間に受信したU-Planeデータトラフィックに対して通信パタンを統計的に分析する必要があるため、分析結果が収束するまでに数秒から数分の時間がかかりアプリケーション検出速度が遅くなってしまうという問題がある。また、U-Planeデータとして流れるパケット数が少ないアプリケーションに対しては、その通信パタンの統計情報を十分に得ることができないために識別精度が低下してしまうという問題がある。
【００１０】
従って、上述した従来技術では、分析結果が収束するまでに時間がかかってしまうため、セキュリティやネットワーク資源の有効利用の点から出来るだけリアルタイム処理が必要となるフィルタリングやシェーピングといったトラフィック制御を行う場合に問題となる。
【００１１】
そこで本発明が解決しようとする課題は、上記問題点を解決することであって、上記通信パタンの統計情報に基づいたトラフィック分類手法において、アプリケーション判定速度を向上できる技術を提供することにある。
【００１２】
更に、ポート番号やシグネチャといったヘッダやペイロード情報に依存しないパラメータを用いてトラフィックを分析し、ポート番号を詐称したトラフィックや暗号化されたトラフィックの場合もトラフィックを分析できる技術を提供することにある。
【課題を解決するための手段】
【００１３】
上記課題を解決するための第１の発明は、
トラフィック判定装置であって、
アプリケーションと、このアプリケーションにおけるトラフィックのシーケンスパタンとが対応付けられたシーケンス参照パタンのデータベースと、
受信したトラフィックのパケットのパラメータを分析する分析手段と、
前記分析結果に基づいて、受信したトラフィックのシーケンスパタンを判断し、このシーケンスパタンに対応付けられているアプリケーションを前記データベースから検索して、前記受信トラフィックのアプリケーションを判定する判定手段と
を有することを特徴とする。
【００１４】
上記課題を解決するための第２の発明は、上記第１の発明において、
前記データベースは、ネットワークを介して受信するデータベース更新情報に基づいて更新されることを特徴とする。
【００１５】
上記課題を解決するための第３の発明は、上記第１又は第２の発明において、
前記分析手段は、受信したトラフィックの送信元及び送信先に関する情報を用いてセッション毎に分類されたトラフィックのパケットのパラメータを分析することを特徴とする。
【００１６】
上記課題を解決するための第４の発明は、上記第１から第３のいずれかの発明において、
前記分析手段は、パケット長、パケット到着間隔、通信方向、プロトコル、及びＴＣＰフラグのうち少なくとも１つをパケットのパラメータとして分析することを特徴とする。
【００１７】
上記課題を解決するための第５の発明は、上記第１からだい４のいずれかの発明において、
前記データベースは、アプリケーションにおけるトラフィックのパケット長、パケット到着間隔、通信方向、プロトコル、ＴＣＰフラグに基づいて生成されたデータベースであることを特徴とする。
【００１８】
上記課題を解決するための第６の発明は、上記第１から第６のいずれかの発明において、
前記判定されたアプリケーションの種類に応じて通信制御する通信制御手段を有することを特徴とする。
【００１９】
上記課題を解決するための第７の発明は、
トラフィック判定方法であって、
受信したトラフィックのパケットのパラメータを分析する分析ステップと、
前記分析結果に基づいて、受信したトラフィックのシーケンスパタンを判断する判断ステップと、
前記判断されたシーケンスパタンに対応付けられているアプリケーションを、アプリケーションとこのアプリケーションにおけるトラフィックのシーケンスパタンとが対応付けられたシーケンス参照パタンのデータベースから検索して、前記受信トラフィックのアプリケーションを判定する判定ステップと
を有することを特徴とする。
【００２０】
上記課題を解決するための第８の発明は、上記第７の発明において、
ネットワークを介して受信したデータベース更新情報に基づいて前記データベースを更新する更新ステップを有することを特徴とする。
【００２１】
上記課題を解決するための第９の発明は、上記第７又は第８の発明において、
前記分析ステップは、受信したトラフィックの送信元及び送信先に関する情報を用いてセッション毎に分類されたトラフィックのパケットのパラメータを分析することを特徴とする。
【００２２】
上記課題を解決するための第１０の発明は、上記第７から第９のいずれかの発明において、
前記分析ステップは、パケット長、パケット到着間隔、通信方向、プロトコル、及びＴＣＰフラグのうち少なくとも１つをパケットのパラメータとして分析することを特徴とする。
【００２３】
上記課題を解決するための第１１の発明は、上記第７から第１０のいずれかの発明において、
前記ステップで判定されたアプリケーションの種類に応じて通信制御する通信制御ステップを有することを特徴とする。
【００２４】
上記課題を解決するための第１２の発明は、
トラフィック判定装置のプログラムであって、前記プログラムは前記トラフィック判定装置を、
受信したトラフィックのパケットのパラメータを分析する分析手段と、
前記分析結果に基づいて、受信したトラフィックのシーケンスパタンを判断し、このシーケンスパタンに対応付けられているアプリケーションを、アプリケーションとこのアプリケーションにおけるトラフィックのシーケンスパタンとが対応付けられたシーケンス参照パタンのデータベースから検索して、前記受信トラフィックのアプリケーションを判定する判定手段と
して機能させることを特徴とする。
【００２５】
上記課題を解決するための第１３の発明は、上記第１２の発明において、
前記プログラムは前記トラフィック判定装置を、
ネットワークを介して受信するデータベース更新情報に基づいて前記データベースを更新する更新手段として機能させることを特徴とする。
【００２６】
上記課題を解決するための第１４の発明は、上記第１２又は第１３の発明において、
前記プログラムは、前記分析手段を、受信したトラフィックの送信元及び送信先に関する情報を用いてセッション毎に分類されたトラフィックのパケットのパラメータを分析する手段として機能させることを特徴とする。
【００２７】
上記課題を解決するための第１５の発明は、上記第１２から第１４のいずれかの発明において、
前記プログラムは、前記分析手段を、パケット長、パケット到着間隔、通信方向、プロトコル、及びＴＣＰフラグのうち少なくとも１つをパケットのパラメータとして分析する手段として機能させることを特徴とする。
【００２８】
上記課題を解決するための第１６の発明は、上記第１２から第１５のいずれかの発明において、
前記プログラムは、前記トラフィック判定装置を、
前記判定されたアプリケーションの種類に応じて通信制御する通信制御手段として機能させることを特徴とする。
【００２９】
上記課題を解決するための第１７の発明は、
トラフィック判定装置であって、
受信トラフィックをセッション単位に分類し、この各セッション単位に分類されたトラフィックを構成するパケットから状態遷移パタンを作成し、作成した状態遷移パタンとトラフィックの種類に応じて予め保持されている状態遷移参照パタンとを比較することによって、受信トラフィックの種類を判定することを特徴とする。
【００３０】
上記課題を解決するための第１８の発明は、
トラフィック判定方法であって、
受信トラフィックをセッション単位に分類し、この各セッション単位に分類されたトラフィックを構成するパケットから状態遷移パタンを作成し、作成した状態遷移パタンとトラフィックの種類に応じて予め保持されている状態遷移参照パタンとを比較することによって、受信トラフィックの種類を判定することを特徴とする。
【００３１】
本発明の通信制御方法は、ネットワーク上を流れるトラフィックの通信パタンを分析してアプリケーションに応じて分類・制御する通信制御方法であって、ポート番号やシグネチャといったヘッダやペイロード情報に依存せずに通信ホスト間のトランザクションパタンを分析することによってトラフィックを分類・制御する。本発明の通信制御方法は、あらかじめアプリケーション毎に通信ホスト間のトランザクションに関する参照パタンを格納する段階と、受信したトラフィックを送受信IPアドレス及び送受信ポート番号からセッション単位のトラフィックに分類する段階と、分類したトラフィックのトランザクションパタンを分析する段階と、分析されたトランザクションパタンと参照パタンとを比較する段階と、比較した結果からトラフィックをアプリケーションに応じて分類する段階と、アプリケーションに応じて個々のトラフィックを制御する段階とを有する。
【００３２】
また、本発明の通信制御装置は、ネットワーク上を流れるトラフィックの通信パタンを分析してアプリケーションに応じて分類・制御する通信制御装置であって、ネットワークからトラフィックを受信する受信手段と、受信したトラフィクをセッション単位のトラフィックに分類する分類手段と、分類したトラフィックのトランザクションパタンを分析する分析手段と、分析手段によって出力されたトランザクションパタンと参照パタンとを比較する比較手段と、比較した結果からトラフィックをアプリケーションに応じて分類する分類手段と、アプリケーションに応じて個々のトラフィックを制御する制御手段とを有する。
【００３３】
このような構成を採用し、ネットワーク上を流れるトラフィックをセッション単位のトラフィックに分類して、個々のトラフィックのシーケンスパタンをパケット長及びパケット到着間隔などのポート番号やシグネチャに依存しないパラメータを用いて分析し、アプリケーション毎に事前に生成された参照シーケンスパタンと比較することによって、トラフィックをアプリケーションに応じて分類できるようになる。したがって、ポート番号を詐称するトラフィックや暗号化されたトラフィックに対してシグナリングを検出できるようになることから、アプリケーション検出速度を向上することができるため、本発明の目的を達成することができる。
【発明の効果】
【００３４】
本発明は、セッション単位に分類したトラフィックのシーケンスパタンを分析し、予め保持している参照シーケンスパタンと比較してトラフィックをアプリケーションに応じて分類することにより、ポート番号を詐称したトラフィックや暗号化されたトラフィックに対してもトラフィックのアプリケーション検出速度を向上しデータ交換・流出を未然に防止できることにある。
【００３５】
その理由は、セッション単位に分類したトラフィックをパケット長やパケット到着間隔といったポート番号やシグネチャに依存しないパラメータを用いてシーケンスパタンを分析することによって、U-Planeデータトラフィックが流れる前に行われるシグナリングを検出できるためである。
【発明を実施するための最良の形態】
【００３６】
本発明の第１の実施の形態について説明する。
【００３７】
図１に示すように、本実施の形態は端末１ａ，１ｂとネットワーク２ａ，２ｂと通信制御装置３とから構成される。
【００３８】
端末１は、ネットワーク２を介してトラフィック（データ）を送受信する端末であり、通信ホストである場合もある。
【００３９】
通信制御装置３は、受信部１１と、トラフィック分類部１２と、パケット分析部１３と、アプリケーション識別部１４と、出力部１５と、送信部１６とを有する。
【００４０】
受信部１１は、端末１ａと端末１ｂとがネットワークを介して送受信するトラフィックを受信し、この受信したトラフィックをコピーし、コピーしたトラフィックをトラフィック分類部１２に転送する。また、コピーを終了したトラフィックを送信部１６へ転送する。
【００４１】
トラフィック分類部１２は、識別完了トラフィックリスト格納部１２aと、分類部１２bと、バッファ部１２ｃとを有する。
【００４２】
トラフィック分類部１２の分類部１２bは、受信部１１でコピーされたトラフィックを、トラフィックの送信元IPアドレス又は宛先IPアドレス及び送信元ポート番号又は宛先ポート番号に基づいてセッション（通信経路）毎にトラフィックを分類して後段のバッファに部１２ｃ格納する。
【００４３】
また、分類部１２bは、後述するアプリケーション判定部１４から通知されるアプリケーション判定が完了したトラフィックの送信元IPアドレス又は宛先IPアドレス及び送信元ポート番号又は宛先ポート番号を識別完了トラフィックとして識別完了トラフィックリスト格納部１２aに登録し、登録されたトラフィックは後段のバッファに格納せずに廃棄する。
【００４４】
パケット分析部１３は、パケット長算出部１３aと、パケット到着間隔算出部１３bと、通信方向検出部１３cと、プロトコル検出部１３dと、TCPフラグ検出部１３eと、状態判定部１３fと、状態表格納部１３gとを有する。
【００４５】
パケット分析部１３には、トラフィック分類部１２でセッション毎に分類されたトラフィックが入力される。そしてこのトラフィックを構成するパケット群に対して、その先頭パケットから順にパケット長算出部13ａがパケット長を、パケット到着間隔算出部13ｂがパケット到着間隔を、通信方向検出部13ｃが通信方向を、プロトコル検出部13ｄがプロトコルを、TCPフラグ検出部13ｅがTCPフラグを分析し、各パラメータの分析結果を状態判定部１３fへ通知する。
【００４６】
状態表格納部１３gには、図３に示すようなパケット長（Li）、パケット到着間隔（Ti）、通信方向（Di）、パケットのプロトコル（Pi）、TCPフラグ（Fi）から定義されるパケットの状態の状態表が予め格納されている。
【００４７】
状態判定部１３fは、分析結果に基づいて、パケットの状態Siを状態表格納部13ｇに格納されている状態表から検索してパケット毎に状態を判定し、判定結果をセッション（トラフィックの送信元IPアドレス又は宛先IPアドレス及び送信元ポート番号又は宛先ポート番号）に関する情報と共にアプリケーション識別部１４へ通知する。
【００４８】
アプリケーション識別部１４は、シーケンス参照パタン格納部１４aと、シーケンスパタン比較部１４bと、判定部１４cとを有する。
【００４９】
シーケンス参照パタン格納部１４aは、図４に示すように、アプリケーション毎に対応付けられたシーケンス参照パタンが格納されている。このシーケンス参照パタンは、各アプリケーションで生成されるトラフィックにおけるパケットの状態の変化を示しており、パケット長、パケット到着間隔、通信方向、プロトコル、TCPフラグから定義されたものである。
【００５０】
シーケンスパタン比較部１４bは、状態判定部13ｆからに通知されるトラフィックの各パケットの状態判定結果と、シーケンス参照パタン格納部１４aに格納されているシーケンス参照パタンとを比較し、比較結果としてどのアプリケーションに対応するシーケンス参照パタンに一致したかを判定部１４cへ通知する。
【００５１】
判定部１４cは、パタン比較部１４bから通知された比較結果に基づいてアプリケーションを判定し、アプリケーション判定結果をセッションに関する情報と共に出力部１５へ通知する。また、分類部１２に対して識別が完了したトラフィックの送信元IPアドレス又は宛先IPアドレス及び送信元ポート番号又は宛先ポート番号を通知し、識別完了トラフィックに対するアプリケーション識別処理を終了する。
【００５２】
出力部１５は、アプリケーション識別部１４から通知されたアプリケーション判定結果をモニタ等に出力する。このとき、セッションの種類毎にアプリケーション判定結果を出力させても良い。
【００５３】
送信部１６は、受信部１１から転送されたトラフィックを端末１ｂへ送信する。
【００５４】
続いて、本実施の形態の動作について説明する。
【００５５】
受信部１１は、通信ホスト間を流れるトラフィックを受信し、この受信したトラフィックをコピーし(図２のS１)、コピーしたトラフィックをトラフィック分類部１２に転送する。また、コピーを終了したトラフィックを送信部１６へ転送する。
【００５６】
受信部１１でコピーされた受信トラフィックは、分類部１２bで、受信トラフィックの送信元IPアドレス又は宛先IPアドレス及び送信元ポート番号又は宛先ポート番号に基づいて、セッション（通信経路）毎にトラフィックを分類されて後段のバッファに格納される(図２のS２)。
【００５７】
一方、分類部１２bは、アプリケーション判定部１４から通知されるアプリケーション判定が完了したトラフィックの送信元IPアドレス又は宛先IPアドレス及び送信元ポート番号又は宛先ポート番号を識別完了トラフィックとして識別完了トラフィックリスト格納部１２aに登録し、登録されたトラフィックは後段のバッファに格納せずに廃棄する(図２のS３)。
【００５８】
バッファに格納されたトラフィックは、このトラフィックを構成するパケットの先頭パケットから順に、パケット長算出部13ａがパケット長を、パケット到着間隔算出部13ｂがパケット到着間隔を、通信方向検出部13ｃが通信方向を、プロトコル検出部13ｄがプロトコルを、TCPフラグ検出部13ｅがTCPフラグを分析する(図２のS４)。そして、トラフィックを構成している禅パケットに対して全パラメータの分析が完了したかを判別し、完了していれば、各分析結果を状態判定部１３fへ通知する。
【００５９】
状態判定部１３fは、状態表格納部13ｇに格納されている状態表を用いて、分析結果から各パケットの状態Siを判定し、パケット毎の状態の判定結果をアプリケーション識別部１４へ通知する(図２のS５)。
【００６０】
シーケンスパタン比較部１４bは、状態判定部13ｆから次々に通知される状態判定結果と、シーケンス参照パタン格納部１４aに格納されているシーケンス参照パタンとを比較し、比較結果としてどのアプリケーションに対応するシーケンス参照パタンに一致したかを判定部１４cへ通知する(図２のS６)。
【００６１】
判定部１４cは、パタン比較部１４bから通知された比較結果に基づいてアプリケーションを判定する(図２のS７)。
【００６２】
アプリケーション判定結果を出力部１５へ通知する。また、分類部１２に対して識別完了トラフィックの送受信IPアドレス及び送受信ポート番号を通知し、識別完了トラフィックに対するアプリケーション識別処理を終了する(図２のS８)。
【００６３】
出力部１５は、アプリケーション識別部１４から通知されたアプリケーション判定結果をモニタ等に出力する(図２のS９)。
【００６４】
送信部１６は、受信部１１から転送されたトラフィックを送信する。
【００６５】
次に、本実施の形態の効果について説明する。
【００６６】
本実施の形態では、パケット長、パケット到着間隔、通信方向、プロトコル、TCPフラグといったポート番号やシグネチャに依存しない複数のパラメータを用いて、通信ホスト間のシーケンスパタンを分析し、あらかじめ登録しておいたアプリケーション毎のシーケンス参照パタンと比較することによりアプリケーションを識別する。したがって、ポート番号を詐称したトラフィックや暗号化されたトラフィックに対してもU-Planeデータトラフィックが流れる前のシグナリングを検出できることから、アプリケーション検出速度を向上することが可能である。
【００６７】
尚、上記第１の実施の形態の説明では、パケット分析においてパケット長、パケット到着間隔、通信方向、プロトコル、TCPフラグといったパラメータを用いて各パケットの状態を定義したが、他のパケットの状態を表すためのパラメータを使用することができる。
【００６８】
次に、本発明の第２の形態及びフローチャートについて図５及び図６を参照して詳細に説明する。
【００６９】
図３を参照すると、本発明を実施するための第２の形態は、端末１ａ，１ｂとネットワーク２ａ，２ｂと、通信制御装置４とを有する。
【００７０】
通信制御装置４は、受信部１１と、識別完了トラフィックリスト格納部１２a、及び分類部１２bを有するトラフィック分類部１２と、パケット長算出部１３a、パケット到着間隔算出部１３b、通信方向検出部１３c、プロトコル検出部１３d、TCPフラグ検出部１３e、状態判定部１３f、及び状態表格納部１３gを有するパケット分析部１３と、シーケンス参照パタン格納部１４a、シーケンスパタン比較部１４b、及び判定部１４cを有するアプリケーション識別部１４と、出力部１５と、通信制御部１６aを有する送信部１６とを有する。
【００７１】
図５に示す本実施の形態の通信制御装置４と、図１に示す第１の実施形態における通信制御装置３との異なる点は、送信部１６において通信制御部１６aを有する点である。通信制御部１６aは、アプリケーション識別部１４から通知されたアプリケーション判定結果に基づいて、あらかじめ設定されたポリシにしたがってフィルタリングやシェーピング等の通信制御を実施する。尚、上記第１の実施の形態と同様の構成については、同一の番号を付し、詳細な説明は省略する。
【００７２】
続いて、本実施の形態の動作について図６を用いて説明する。尚、図６に示す第２の実施形態におけるフローチャートにおいて、通信制御装置４における動作は上記実施の形態で説明したS１からS９までと同一であるため、説明は省略する。図２に示す第１の実施形態と異なる動作について以下に説明する。
【００７３】
アプリケーション識別部１４は、判定部１４cにおいて出力されたアプリケーション判定結果をセッションに関する情報と共に送信部１６に通知する。
【００７４】
通信制御部１６aは、アプリケーション識別部１４から通知されたアプリケーション判定結果と、セッションに関する情報とに基づいて、あらかじめ設定されたポリシにしたがってフィルタリングやシェーピング等の通信制御を実施する(図６のS１０)。
【００７５】
次に、本実施の形態の効果について説明する。
【００７６】
本実施の形態では、パケット長、パケット到着間隔、通信方向、プロトコル、TCPフラグといったポート番号やシグネチャに依存しない複数のパラメータを用いて、通信ホスト間のシーケンスパタンを分析し、あらかじめ登録しておいたアプリケーション毎のシーケンス参照パタンと比較することによりアプリケーションを識別し、識別トラフィックに対しポリシに応じた適切なフィルタリングやシェーピング等の通信制御を実施する。したがって、ポート番号を詐称したトラフィックや暗号化されたトラフィックに対してもU-Planeデータトラフィックが流れる前のシグナリングを検出できることから、アプリケーション検出速度を向上することができ、データ交換・流出を未然に防止することが可能である。
【００７７】
上記の説明では、パケット分析においてパケット長、パケット到着間隔、通信方向、プロトコル、TCPフラグといったパラメータを用いて各パケットの状態を定義したが、他のパケットの状態を表すためのパラメータを使用することができる。
【００７８】
次に、本発明の第３の実施形態及びフローチャートについて図７及び図８を参照して説明する。
【００７９】
図７を参照すると、本発明を実施するための第３の形態は、端末１ａ，１ｂとネットワーク２ａ，２ｂと、通信制御装置５とを有する。
【００８０】
通信制御装置５は受信部１１と、識別完了トラフィックリスト格納部１２a、分類部１２bを有するトラフィック分類部１２と、パケット長算出部１３a、パケット到着間隔算出部１３b、通信方向検出部１３c、プロトコル検出部１３d、TCPフラグ検出部１３e、状態判定部１３f、状態表格納部１３gを有するパケット分析部１３と、シーケンス参照パタン格納部１４a、シーケンスパタン比較部１４b、判定部１４cを有するアプリケーション識別部１４と、出力部１５と、通信制御部１６aを有する送信部１６と、更新部１７aとを有する。  
【００８１】
図５に示す第３の実施形態における通信制御装置４と、図３に示す第２の実施形態における通信制御装置４との異なる点は、更新部１７を有する点と、受信パケットが自ＩＰアドレス宛の状態表更新パケットまたは自ＩＰアドレス宛のシーケンス参照パタン更新パケットであるかを判別する機能をトラフィック分類部１２が有する点である。更新部１７は、状態表更新パケットを受信した場合、状態表更新パケットに基づいて、シーケンス分析部１３に含まれる状態表格納部１３gに格納される状態表のデータベースを更新する。また更新部１７は、シーケンス参照パタン更新パケットを受信した場合、シーケンス参照パタン更新パケットに基づき、アプリケーション識別部１４に含まれるシーケンス参照パタン格納部１４aに格納されるシーケンス参照パタンのデータベースを更新する。尚、上記実施の形態と同様の構成については同一の番号を付し、詳細な説明を省略する。
【００８２】
続いて、本実施の形態の動作について説明する。図８に示す第３の実施形態におけるフローチャートにおいて、通信制御装置５における動作について、図６に示す第２の実施形態と異なる動作について以下に説明する。
【００８３】
トラフィック分類部１２は、受信部１１においてコピーされたパケットが自ＩＰアドレス宛の状態表更新パケットまたは自ＩＰアドレス宛のシーケンス参照パタン更新パケットであった場合、更新パケットを更新部１７へ転送する。そうでない場合は、第２の実施例と同様の動作を行う。
【００８４】
更新部１７は、状態表更新パケットを受信した場合、状態表更新パケットに基づいて、シーケンス分析部１３に含まれる状態表格納部１３gに格納される状態表のデータベースを更新する。また更新部１７は、シーケンス参照パタン更新パケットを受信した場合、シーケンス参照パタン更新パケットに基づき、アプリケーション識別部１４に含まれるシーケンス参照パタン格納部１４aに格納されるシーケンス参照パタンのデータベースを更新する(図６のＳ１１)。データベース更新後は、更新後のデータベースに基づいてアプリケーション識別処理を実行する。
【００８５】
次に、本実施の形態の効果について説明する。
【００８６】
新規アプリケーションの登場やアプリケーションの改版などに伴って、これらをアプリケーション識別するための状態表及びシーケンス参照パタンが変化していくと考えられる。本実施の形態では、通信制御装置において更新部を設けることにより、ネットワークを介して状態表及びシーケンス参照パタンを更新することが可能できる。
【００８７】
上記の説明では、パケット分析においてパケット長、パケット到着間隔、通信方向、プロトコル、TCPフラグといったパラメータを用いて各パケットの状態を定義したが、他のパケットの状態を表すためのパラメータを使用することができる。
【００８８】
また上記の説明では、ネットワークを介したデータベースの更新方法として示したが、ネットワーク管理者が図５に示す通信制御装置に対して記録媒体を使用し、手動でデータベース更新作業を実施してもよい。
【図面の簡単な説明】
【００８９】
【図１】本発明の第１の実施形態の通信監視装置の構成を示すブロック図である。
【図２】図１に示した通信監視装置における処理手順を示すフローチャートである。
【図３】本発明のパケット分析部の状態表格納部に格納される状態表の例である。
【図４】本発明のアプリケーション識別部のシーケンス参照パタン格納部に格納されるシーケンス参照パタンの例である。
【図５】本発明の第２の実施形態の通信制御装置の構成を示すブロック図である。
【図６】図５に示した通信制御装置における処理手順を示すフローチャートである。
【図７】本発明の第３の実施形態の通信制御装置の構成を示すブロック図である。
【図８】図７に示した通信制御装置における処理手順を示すフローチャートである。
【符号の説明】
【００９０】
１    端末
２    ネットワーク
３    第１の実施形態の通信監視装置
４    第２の実施形態の通信制御装置
５    第３の実施形態の通信制御装置
１１    受信部
１２    トラフィック分類部
１２a    識別完了トラフィックリスト格納部
１２b    分類部
１３    パケット分析部
１３a    パケット長算出部
１３b    パケット到着間隔算出部
１３c    通信方向検出部
１３d    プロトコル検出部
１３e    TCPフラグ検出部
１３f    状態判定部
１３g    状態表格納部
１４    アプリケーション識別部
１４a    シーケンス参照パタン格納部
１４b    シーケンスパタン比較部
１４c    判定部
１５    出力部
１６    送信部
１６a    通信制御部
１７    更新部    
【図１】
2007228217.tif 000003
【図２】
2007228217.tif 000004
【図３】
2007228217.tif 000005
【図４】
2007228217.tif 000006
【図５】
2007228217.tif 000007
【図６】
2007228217.tif 000008
【図７】
2007228217.tif 000009
【図８】
2007228217.tif 000010