(57)【要約】【課題】複数の監視回線で生じたトラフィック異常を検出することができ、かつ、所定の集約方法に従って具体的にトラフィック情報を集計することができるようにする。【解決手段】本発明のネットワーク監視システムは、それぞれの監視回線を流れる通信信号の通信情報を常時収集するものであり、通信信号が有するヘッダ情報に基づいて、パケット情報と、送信元及び又は送信先を関連付けたフロー統計情報とを求める１又は複数の収集手段と、予め設定された物理的な集約対象でグループ化してトラフィック情報を集計する情報集約手段とを備えることを特徴とする。【選択図】      図１
2007013590.tif 000002
【特許請求の範囲】
【請求項１】
それぞれの監視回線を流れる通信信号の通信情報を常時収集するものであり、上記通信信号が有するヘッダ情報に基づいて、パケット情報と、送信元及び又は送信先を関連付けたフロー統計情報とを求める１又は複数の収集手段と、
予め設定された物理的な集約対象でグループ化してトラフィック情報を集計する情報集約手段と
を備えることを特徴とするネットワーク監視システム。
【請求項２】
上記各収集手段が求めた情報に基づいて所定のトラフィックの流量と閾値との比較によりネットワーク異常を検出する異常検出手段と、
ネットワーク異常があったときに必要なデータのみを蓄積する蓄積手段と
を備えることを特徴とする請求項１に記載のネットワーク監視システム。
【請求項３】
上記情報集約手段が集約した集約情報を参照し、予め設定された分析設定情報に対応するトラフィック分析をする分析手段を備えることを特徴とする請求項１又は２に記載のネットワーク監視システム。
【請求項４】
上記異常検出手段が、上記各収集手段が求めた上記パケット情報と上記フロー統計情報とを参照して、同一送信元及び又は同一送信先に係るネットワーク異常やポート種別のネットワーク異常を検出するものであることを特徴とする請求項２又は３に記載のネットワーク監視システム。
【請求項５】
上記情報集約手段は、上記物理的集約のほかに、予め設定された論理的な集約対象をグループ化して、トラフィック情報を集計することを特徴とする請求項１〜４のいずれかに記載のネットワーク監視システム。
【請求項６】
上記情報集約手段は、さらに所定の時間毎にトラフィック情報を集計することを特徴とする請求項１〜５のいずれかに記載のネットワーク監視システム。
【請求項７】
それぞれの監視回線を流れる通信信号の通信情報を常時収集するものであり、上記通信信号が有するヘッダ情報に基づいて、パケット情報と、送信元及び又は送信先を関連付けたフロー統計情報とを求める１又は複数の収集手段と、
予め設定された物理的な集約対象でグループ化してトラフィック情報を集計する情報集約手段と
を備えることを特徴とするネットワーク監視装置。
【請求項８】
それぞれの監視回線を流れる通信信号の通信情報を常時収集するものであり、上記通信信号が有するヘッダ情報に基づいて、パケット情報と、送信元及び又は送信先を関連付けたフロー統計情報とを求める１又は複数の収集装置から与えられた情報を集約するネットワーク監視装置であって、
予め設定された物理的な集約対象でグループ化してトラフィック情報を集計する情報集約手段を備えることを特徴とするネットワーク監視装置。
【請求項９】
それぞれの監視回線を流れる通信信号の通信情報を常時収集するものであり、上記通信信号が有するヘッダ情報に基づいて、パケット情報と、送信元及び又は送信先を関連付けたフロー統計情報とを求める１又は複数の収集装置から与えられた情報を集約するネットワーク監視装置に、
予め設定された物理的な集約対象でグループ化してトラフィック情報を集計する情報集約手段
として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク監視システム、ネットワーク監視装置及びプログラムに関し、例えば、ネットワークにおけるトラフィック情報を収集して、異常を監視するシステム、装置及びプログラムに適用し得る。
【背景技術】
【０００２】
近年、ネットワーク技術の発展に伴い、その重要性が高まり、ネットワークシステムが社会基盤として浸透している。その一方で、高度化・複雑化した新しいウィルスが日々発生しており、ウィルス感染等の脅威がネットワーク障害を引き起こし、その被害はネットワークの規模に応じて大きくなる。そこで、ネットワークにおける異常を検出、監視するシステムが強く望まれている。
【０００３】
従来、ネットワークにおける異常を検出するシステムとして、特許文献１に示す技術がある。
【０００４】
特許文献１には、ネットワーク内に配置された複数の監視対象機器から内部におけるトラフィック流量情報を取得し、正常なトラフィックと、正常でないトラフィックの総量とを比較し、正常でないトラフィックの総量が所定の比率を超えた場合に異常と判定する障害検出装置が記載されている。
【特許文献１】特開２００５−７２７２３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
近年、ネットワークは高度化・複雑化し、例えば、複数拠点から構成される企業ネットワークにおいては、各拠点ごとに使用する回線プロトコル（ネットワークプロトコル）が異なる場合があり、この場合に各拠点の監視情報を集計するのは技術的に難しく、またそのためのコストも増大する。また、利用アプリケーションが多いため、アプリケーション毎の通信トラフィックを把握することができない。
【０００６】
上述した特許文献１に記載の障害検出装置は、ネットワーク内に複数の監視対象機器を設けることで、ネットワーク内の広範囲に渡って、一括で監視することが可能であるが、正常であるか又は異常であるかの判断は、監視対象機器の内部のトラフィックの総量から判定している。そのため、障害検出装置は遠隔地における異常の有無は把握することができるが、その異常がどのような特性（例えば、特定の端末を対象とした攻撃であるか否か）を持っているか等を個別具体的に把握することはできない。
【０００７】
また、上記の検出方法は、異常の検出方法が本来監視対象機器に流入すべきでない通信トラフィック量のみを扱っているため、経路情報は正常であるが、実際には異常であるトラフィックを検出することができない。
【０００８】
そこで、複数の監視回線で生じたトラフィック異常を検出することができ、かつ、所定の集約方法に従って具体的にトラフィック情報を集計することができるネットワーク監視システム、ネットワーク監視装置及びプログラムが求められている。
【課題を解決するための手段】
【０００９】
かかる課題を解決するため、第１の本発明のネットワーク監視システムは、（１）それぞれの監視回線を流れる通信信号の通信情報を常時収集するものであり、通信信号が有するヘッダ情報に基づいて、パケット情報と、送信元及び又は送信先を関連付けたフロー統計情報とを求める１又は複数の収集手段と、（２）予め設定された物理的な集約対象でグループ化してトラフィック情報を集計する情報集約手段とを備えることを特徴とする。
【００１０】
第２の本発明のネットワーク監視装置は、（１）それぞれの監視回線を流れる通信信号の通信情報を常時収集するものであり、通信信号が有するヘッダ情報に基づいて、パケット情報と、送信元及び又は送信先を関連付けたフロー統計情報とを求める１又は複数の収集手段と、（２）予め設定された物理的な集約対象でグループ化してトラフィック情報を集計する情報集約手段とを備えることを特徴とする。
【００１１】
第３の本発明のネットワーク監視装置は、それぞれの監視回線を流れる通信信号の通信情報を常時収集するものであり、通信信号が有するヘッダ情報に基づいて、パケット情報と、送信元及び又は送信先を関連付けたフロー統計情報とを求める１又は複数の収集装置から与えられた情報を集約するネットワーク監視装置であって、（１）予め設定された物理的な集約対象でグループ化してトラフィック情報を集計する情報集約手段を備えることを特徴とする。
【００１２】
第４の本発明のプログラムは、それぞれの監視回線を流れる通信信号の通信情報を常時収集するものであり、通信信号が有するヘッダ情報に基づいて、パケット情報と、送信元及び又は送信先を関連付けたフロー統計情報とを求める１又は複数の収集装置から与えられた情報を集約するネットワーク監視装置に、予め設定された物理的な集約対象でグループ化してトラフィック情報を集計する情報集約手段として機能させるためのものである。
【発明の効果】
【００１３】
本発明のネットワーク監視システム、ネットワーク監視装置及びプログラムによれば、複数の監視回線で生じたトラフィック異常を検出することができ、かつ、所定の集約方法に従って具体的にトラフィック情報を集計することができる。
【発明を実施するための最良の形態】
【００１４】
（Ａ）第１の実施形態
以下、本発明のネットワーク監視システム、ネットワーク監視装置及びプログラムの第１の実施形態について図面を参照して説明する。
【００１５】
本実施形態では、本発明のネットワーク監視システム、ネットワーク監視装置及びプログラムを、複数の監視回線を監視し異常を検出するネットワーク異常監視システムに適用した場合を示す。
【００１６】
（Ａ−１）第１の実施形態の構成
図１は、本実施形態のネットワーク異常監視システムの概略的な構成を示す全体構成図である。
【００１７】
図１において、本実施形態のネットワーク異常監視システム１は、複数の拠点に接続するネットワーク回線を監視回線とし、それら監視回線に流れる通信データを収集し、さらに複数拠点の監視回線の収集情報を集約し、その集約情報に基づいて統括的及び又は個別に分析するものである。
【００１８】
図１に示すように、本実施形態のネットワーク異常監視システム９は、複数の監視回線６、それぞれの監視回線６と接続する転送装置５、収集装置２、集約装置１、分析装置３、管理者端末４を少なくとも有して構成される。
【００１９】
監視回線６は、各拠点における通信回線であり、ネットワーク異常の監視対象となるものである。また、ＯＳＩ基本参照モデルのトランスポート層に対応する層に採用するプロトコルは特に限定されないが、例えば、ＴＣＰ、ＵＤＰなどを適用できる。また、監視回線６の回線媒体は、光ファイバ回線、電気回線などそれぞれ異なるものであっても良い。
【００２０】
転送装置５は、監視回線６に流れる通信データをコピーして収集装置２に転送するものであり、例えば、スイッチ、ルータ、タッピング装置等が該当する。転送装置５は、外部ネットワーク（図示しない）から受信した通信データと、外部ネットワークへ送信される通信データの双方向のデータを収集装置２に転送する。
【００２１】
収集装置２は、転送装置５から転送されてきた通信データを受け取り、通信データのヘッダ情報に基づいて、パケット情報及び所定の種別毎のフロー統計情報を収集する収集機能、収集機能で収集した情報に基づいて所定のトラフィック異常を検出する検出機能、トラフィック異常検出後、転送装置５から転送された通信データを一時的に保存する蓄積機能を有するものである。
【００２２】
ここで、収集装置２の詳細な構成は後述するが、各収集装置２は、それぞれの監視対象とする監視回線６に流れる通信データを全て収集することができる。また、収集装置２は、収集した情報の全部又は一部を集約装置１に与えるものである。また、図１において、収集装置２は、各監視回線６に対応して設けられているが、複数の監視回線６の通信データを収集するものとしても良い。
【００２３】
集約装置１は、収集装置２が収集した情報を１又は複数の収集装置２から取得し、所定の集約方法に従って収集情報を集約するものである。
【００２４】
集約装置１における収集情報の集約方法の詳細は後述するが、集約装置１を備えることにより、常時監視回線を監視することができ、その監視結果に基づいて複数の監視ポイントを集計した集計情報を作成させたり、それぞれの監視ポイントの統計情報を作成させたり、監視回線の回線プロトコル毎の集計情報を作成させたりすることができる。
【００２５】
また、集約装置１は、トラフィックデータ内に含まれる個人情報（例えば、ＩＰアドレス等）の匿名化機能を有する。さらに、集約装置１は、監視回線６に異常が検出された場合に、分析装置３又は管理者端末４に対してアラームを通知するアラーム通知機能を有する。
【００２６】
また、集約装置１は、分析装置３に対して集約情報を与えるものである。なお、集約装置１の設置数や収集装置２との接続数及び接続態様は特に限定されず広い態様で採用できる。
【００２７】
分析装置３は、管理者端末４から管理者の指示に基づいて、監視対象の設定、異常検出の設定、匿名化の設定など各種分析設定をする設定機能、集約装置１から集約情報を取得し、各種設定に従って集約情報を分析し、分析結果を管理者端末４に与える分析機能を有する。
【００２８】
分析装置３の詳細な構成は後述するが、分析装置３を備えることにより、監視対象を常時監視することができる。すなわち、ネットワーク異常が生じた場合だけでなく、正常時のトラフィック解析等をすることができる。
【００２９】
管理者端末４は、ネットワークを管理する管理者が操作する端末であり、分析装置３に対して異常検出、ネットワーク監視等に関する設定情報の設定や分析結果の表示などその他各種操作をするための端末である。
【００３０】
次に、集約装置１、収集装置２及び分析装置３の詳細な機能構成について図面を参照して説明する。
【００３１】
図２は、集約装置１のハードウェア構成を示すブロック図である。また、図３は、集約装置１が実現する機能を示す機能ブロック図である。
【００３２】
図２に示すように、集約装置１は、ＣＰＵ１１、記憶部１２、通信部１３を少なくとも有する。ＣＰＵ１１は、集約装置１における全体の制御機能を司っているものである。記録部１２は、例えば、ＲＯＭ、ＲＡＭ（ＥＥＰＲＯＭなどの不揮発性の書き込み可能メモリを含む概念である）等により構成されているものである。例えば、ＣＰＵ１１は、ＲＯＭに格納されている固定データやＲＡＭに格納されているテンポラリーデータを用い、ＲＡＭをワーキングメモリとして、ＲＯＭに格納されている処理プログラムを実行することにより、集約装置１の機能を制御する。また、通信部１３は、所定の通信プロトコルに従って、収集装置２や分析装置３と情報を送受信するものである。
【００３３】
図３において、本実施形態の集約装置１が実現する主な機能は、集約機能部１１ａ、匿名化機能部１１ｂ、通知機能部１１ｃ、検出機能部１１ｄを少なくとも有する。
【００３４】
集約機能部１１ａにおける集約方法として、物理的集約機能部１１１、論理的集約機能部１１２、時間的集約機能部１１３がある。集約機能部１１ａは、異常状態や管理者の指示等に応じて、これらの機能部１１１〜１１３を単独で用いたり又は組み合わせて用いたりして情報を集約する。
【００３５】
ここで、物理的集約機能部１１１が行なう集約方法は、例えば、（ａ）監視回線毎や、（ｂ）監視回線が採用するプロトコル毎や、（ｃ）特定接続先の複数の監視回線毎や、（ｄ）接続先全ての監視回線毎などのように有形なものを集約の対象として、収集情報を集約する方法をいう。
【００３６】
（ａ）監視回線毎の集約は、予め複数の収集装置２からなるグループを設定しておき、各収集装置２から収集情報を取得すると、そのグループの収集装置２毎に収集情報を集計（例えば、パケット数の集計、帯域（データ量）の集計等）するものである。例えば、光回線と電気回線等のように媒体が異なる回線６を監視する収集装置２と、設置ロケーションの異なる収集装置２とを同一グループとして集計すると、回線媒体の違いによるトラフィック量の差分や物理的に離れている回線６のトラフィック量を集計することができる。
【００３７】
（ｂ）監視回線プロトコル毎の集約は、例えば、ＴＣＰ／ＩＰ、ＡＴＭ、ＯＣ３、ＳＯＮＥＴなどそれぞれ監視回線プロトコルが異なる収集装置２をグループ化し、各プロトコルの違いによるトラフィック量の差分や同一プロトコルのトラフィック量の集約を集計するものである。これにより、アプリケーションプロトコル毎のトラフィック量の違いを示すことができる。
【００３８】
（ｃ）特定接続先の複数の監視回線毎の集約は、例えば、ある特定の送信先（宛先）に対する通信があった複数の監視回線のトラフィック量を集計するものである。これにより、ある特定の送信先に対する通信を監視することができる。
【００３９】
（ｄ）接続先全ての監視回線毎の集約は、例えば、同一の送信元から全接続先に対する回線６をグループ化し、その同一の送信元からのトラフィック量を集計するものである。これにより、ある特定の送信元からの通信を監視することができる。
【００４０】
また、論理的集約機能部１１２が行なう集約方法は、例えば、（ｅ）特定の送受信先の通信毎や、（ｆ）セキュリティ攻撃に使用される特殊なデータ毎などのように論理的なものを集約の対象として、収集情報を集約する方法をいう。
【００４１】
（ｅ）特定送受信先通信毎の集約は、特定の宛先への通信、若しくは特定の発信元からの通信の統計データを集約する。
【００４２】
（ｆ）特殊データのみの集約は、セキュリティ攻撃に使用される特殊な攻撃用パケットデータ（例えば、Ｓｙｎパケットや、属性の誤ったパケット等）の統計データを集約する。
【００４３】
さらに、時間的集約機能部１１３が行なう集約方法は、（ｇ）例えば、分、時、日などの時間間隔で収集情報を集約する方法をいう。例えば、５分毎、１週間毎、１ヶ月毎の集約情報を作成できる。
【００４４】
次に、匿名化機能部１１ｂは、少なくとも分析装置３との間で特定の個人情報を一意に特定できるように他の情報と置き換える機能である。
【００４５】
通知機能部１１ｃは、検出機能１１ｄ又は後述する収集装置２における検出機能によりネットワーク異常が検出されたときに予め設定された送信先に対して所定の通信方法によりアラート通知するものである。通知機能部１１ｃは、例えば、メール通知や、ｓｎｍｐｔｒａｐ通知、任意コマンド起動などその他の通知方法が可能である。
【００４６】
検出機能部１１ｄは、ネットワーク異常を検出し、異常検出すると通知機能部１１ｃにその旨を通知する機能である。
【００４７】
図４は、収集装置２のハードウェア構成を示すブロック図である。また、図５は、収集装置２が実現する機能を示す機能ブロック図である。
【００４８】
図４に示すように、収集装置２は、ＣＰＵ２１、記憶部２２、通信部２３を少なくとも有する。ＣＰＵ２１は、収集装置２における全体の制御機能を司っているものである。記録部２２は、例えば、ＲＯＭ、ＲＡＭ（ＥＥＰＲＯＭなどの不揮発性の書き込み可能メモリを含む概念である）等により構成されているものである。例えば、ＣＰＵ２１は、ＲＯＭに格納されている固定データやＲＡＭに格納されているテンポラリーデータを用い、ＲＡＭをワーキングメモリとして、ＲＯＭに格納されている処理プログラムを実行することにより、収集装置２の機能を制御する。また、通信部２３は、所定の通信プロトコルに従って、集約装置１や転送装置５と情報を送受信するものである。
【００４９】
図５において、本実施形態の収集装置２が実現する主な機能は、収集機能部２１ａ、検出機能部２１ｂ、蓄積機能部２１ｃを少なくとも有する。
【００５０】
収集機能部２１ａは、転送装置５から受信した通信データのトラフィックを監視し、通信データに含まれる情報に基づいて、通信データを要約したパケット情報、レイヤ４ポート情報やＩＣＭＰ種別情報を取得し、レイヤ４ポート毎又はＩＣＭＰ種別毎のフロー統計情報を収集する機能である。これにより、送信先毎のフロー情報、送信元毎のフロー情報を収集することができる。
【００５１】
図６は、通信データのパケット情報のフォーマット例とフロー統計情報の例を説明する説明図である。例えば、収集機能部２１ａは、図６（Ａ）に示すパケット情報のフォーマット例のうち、プロトコル（９）や送信元ＩＰアドレス（１１）や宛先ＩＰアドレス（１２）を読み出す。また、収集機能部２１ａは、収集した情報に基づいて、図６（Ｂ）に示すようなフロー統計情報を作成する。例えば、図６（Ｂ）のフロー統計情報は、単位時間当たりのＴＣＰ、ＵＤＰ、ＩＰ、ＩＣＭＰ別のフロー（データ量）の統計情報を作成した場合であり、データ部では、ＴＣＰとＵＤＰについてはそれぞれ６５５３６個を統計値とし、ＩＰとＩＣＭＰについてはそれぞれ２５６個を統計値とし、その他（ＥＴＣ）として１×１２個を統計値とした場合を示す。
【００５２】
検出機能部２１ｂは、収集機能部２１ａが収集した情報に基づいて、特定の宛先にのみ集中する通信量や、特定の送信先からの大量の通信量や、宛先や送信先に関係なくポート種別毎の通信量を監視し、それぞれの通信量がそれぞれ設定された閾値を超えた場合にトラフィック異常を検出する機能である。これにより、例えば、いわゆるＰｏｒｔＳｃａｎやいわゆるＩＰスイープやポート種別毎のトラフィック異常を判定できる。
【００５３】
蓄積機能部２１ｃは、検出機能部２１ｂによる異常検出後、転送装置５から受信した転送データを所定期間が経過するまで保存するものである。なお、所定期間の経過後は保存した通信データを消去する。また、蓄積機能部２１は、検出された異常に関連する通信データにフラグを立て、そのフラグを立てた通信データ（異常関連データ）については所定期間経過後であっても消去しないようにする。
【００５４】
なお、蓄積機能部２１ｃは、いわゆるスナップショット機能として、集約の効率化を図るためのものであり、収集情報の転送軽減ができれば分散配置しても良い。
【００５５】
図７は、分析装置３のハードウェア構成を示すブロック図である。また、図８は、分析装置３が実現する機能を示す機能ブロック図である。
【００５６】
図７に示すように、分析装置３は、ＣＰＵ３１、記憶部３２、通信部３３を少なくとも有する。ＣＰＵ３１は、分析装置３における全体の制御機能を司っているものである。記録部３２は、例えば、ＲＯＭ、ＲＡＭ（ＥＥＰＲＯＭなどの不揮発性の書き込み可能メモリを含む概念である）等により構成されているものである。例えば、ＣＰＵ３１は、ＲＯＭに格納されている固定データやＲＡＭに格納されているテンポラリーデータを用い、ＲＡＭをワーキングメモリとして、ＲＯＭに格納されている処理プログラムを実行することにより、分析装置３の機能を制御する。また、通信部３３は、所定の通信プロトコルに従って、集約装置１や管理者端末４と情報を送受信するものである。
【００５７】
図８において、本実施形態の分析装置３が実現する主な機能は、設定機能部３１ａ、分析機能部３１ｂを少なくとも有する。
【００５８】
設定機能部３１ａは、管理者端末４から管理者が入力した指示を受信し、その指示に基づいて監視対象、異常検出、匿名化などに関する設定を行なう機能である。なお、一度設定した内容について変更、削除、追加は可能である。
【００５９】
分析機能部３１ｂは、集約装置１から通知された集約データを受信し、受信データを記録するものである。また、分析機能部３１ｂは、受信データに基づいて、例えばｐｐｓやｂｐｓで表わされるトラフィックの流量や、単位時間当たりのスキャン数及び又はスイープホスト数などが閾値を超過していないか、通常と大きく乖離していないか判断し、通知データの異常の度合いを数値化（例えば、％表示）するものである。また、分析機能部３１ｂは、異常が検出された場合に、各収集装置２や各集約装置１の設定ファイルを配布し、特定の送受信先のデータを監視する設定や、グループ化範囲の設定、閾値の更新などを実施するものである。この設定値は、収集装置２、集約装置１に反映され、新たな設定での監視を継続することができる。
【００６０】
（Ａ−２）第１の実施形態の動作
次に、本実施形態のネットワーク異常監視システム９の動作について図面を参照して説明する。
【００６１】
図９は、本実施形態のネットワーク異常監視システム９における異常監視動作の流れを示すフローチャートである。
【００６２】
図９において、各監視回線６に通信データが流れると、転送装置５は、通信データをコピーして収集装置２に通信データを転送する（Ｆ１）。このとき、転送装置５は、各拠点の監視回線６に送受信された通信データの全てを収集装置２に与える。
【００６３】
転送装置５から通信データが与えられると、収集装置２において、受信した通信データのヘッダ情報が取り出され、そのヘッダ情報に基づいて単位時間当たりの通信データのパケット情報と、フロー統計情報が収集される（Ｆ２）。
【００６４】
例えば、パケット情報は通信データのネットワークプロトコル種別であり、またフロー統計情報は、ヘッダに含まれている送信先ＩＰアドレスや宛先ＩＰアドレスであり、送信先ＩＰアドレス毎又は宛先ＩＰアドレス毎のフロー統計情報である。
【００６５】
収集装置２において、パケット情報及びフロー統計情報が収集されると、それら収集された情報に基づいて、一定時間のトラフィック流量が算出され、そのトラフィック流量と閾値とを比較して異常の有無を判定する（Ｆ３）。
【００６６】
このときの異常検出の具体的な判断は、収集した情報のトラフィック流量と閾値と比較から判断し、例えば、ある特定の送信先への単位時間の通信トラフィック量が閾値を超えたか否かの判断、ある特定の送信元からの単位時間の通信トラフィック量が閾値を超えたか否かの判断、及び又は、送信元・送信先に関係なく、ポート種別毎の単位時間の通信トラフィックが閾値を超えたか否かの判断をする。
【００６７】
そして、一定時間のトラフィック流量が、閾値を越えた場合には異常が生じたと判定し、閾値以下の場合には通常であると判定する。
【００６８】
ネットワーク異常が検出されると、その後に転送装置５から転送された通信データは一時的に蓄積される。また、その検出された異常に関連する通信データはフラグが立てられ、一定時間が経過しても消去されずに保存される。これにより、異常に係る分析の際の原因追跡に寄与させることができる。
【００６９】
また、ネットワーク異常が検出されると、その旨が集約装置１に通知され、集約装置１において、当該検出された異常に関連する情報を、所定の集約方法に従って集約する（Ｆ４）。なお、所定の集約方法の種類及びその内容については、集約装置１の機能構成の説明の際に説明したので、ここでの詳細な説明は省略する。
【００７０】
例えば、ある監視回線６に接続する特定の送信先に対するトラフィック量が閾値を超えて異常を検出した場合、集約装置１は、当該特定の送信先を通信先として持つ複数の監視回線６をグループとし、それぞれの監視回線６のトラフィック量を集計して、当該送信先に対するトラフィック量を求める。これにより、従来の場合はネットワーク全体での一括監視であったのに対して、本実施形態では送信先毎の個別の攻撃を監視・検出することができる。また、収集装置２においては、パケット情報、送信先・送信元毎のフロー情報が収集され、蓄積されているため、当該送信先の通信履歴を分析させることができる。なお、他の集約方法についてもそれぞれの方法に従ってなされる。
【００７１】
集約装置１において、異常情報に関する集約処理の際、トラフィックデータ内に含まれているＩＰアドレス等の個人情報は、ハッシュ化及びユニークＩＤなどが付与されて隠蔽される（Ｆ５）。
【００７２】
集約装置１において、異常情報に関する集約処理がなされると、集約された異常情報は、集約装置１から分析装置３に与えられる（Ｆ６）。
【００７３】
分析装置３に集約された異常情報が与えられると、グループ毎に集約された異常情報に基づいて、監視強化エリアや集約時のグループの再設定、異常検出時の閾値の更新などを行なう（Ｆ７）。
【００７４】
また、集約された異常情報が分析装置３に与えられると、管理者端末４からの指示に従って集約情報及び設定情報に基づく分析結果が管理者端末４に送信される（Ｆ８）。
【００７５】
（Ｂ）他の実施形態
上述した実施形態において、収集装置２、集約装置１、分析装置３のそれぞれが備える機能は、ネットワークシステム上で分散配置させるようにしても良い。
【００７６】
すなわち、例えば、集約装置１が、収集装置２の収集機能２１ａ及び検出機能２１ｂの全部又は一部を備えるようにしてもよいし、収集装置２が、集約装置１の集約機能１１ａ、匿名化機能１１ｂ及び通知機能１１ｃの全部又は一部を備えるようにしても良い。勿論、分析装置３の機能も含めて、分散配置させる態様は種々考えられる。
【図面の簡単な説明】
【００７７】
【図１】第１の実施形態のネットワーク異常監視システムの全体構成図である。
【図２】第１の実施形態の集約装置のハードウェア構成を示すブロック図である。
【図３】第１の実施形態の集約装置が実現する機能を示す機能ブロック図である。
【図４】第１の実施形態の収集装置のハードウェア構成を示すブロック図である。
【図５】第１の実施形態の収集装置が実現する機能を示す機能ブロック図である。
【図６】第１の実施形態の通信データのパケット情報のフォーマット例とフロー統計情報の例を説明する説明図である。
【図７】第１の実施形態の分析装置のハードウェア構成を示すブロック図である。
【図８】第１の実施形態の分析装置が実現する機能を示す機能ブロックである。
【図９】第１の実施形態のネットワーク異常監視システムの動作を説明するフローチャートである。
【符号の説明】
【００７８】
１…集約装置、２…収集装置、３…分析装置、６…監視回線、９…ネットワーク異常監視システム、１１ａ…集約機能部、１１１…物理的集約機能部、１１２…論理的集約機能部、１１３…時間的集約機能部、２１ａ…収集機能部、２１ｂ…検出機能部、２１ｃ…蓄積機能部、３１ａ…設定機能部、３１ｂ…分析機能部。
【図１】
2007013590.tif 000003
【図２】
2007013590.tif 000004
【図３】
2007013590.tif 000005
【図４】
2007013590.tif 000006
【図５】
2007013590.tif 000007
【図６】
2007013590.tif 000008
【図７】
2007013590.tif 000009
【図８】
2007013590.tif 000010
【図９】
2007013590.tif 000011