(57)【要約】【課題】  メモリの利用効率を上げ、セクションのメモリから複数の分布統計データが直ちに得られる装置、方法を得る。【解決手段】  この統計データ取得装置は、送信パケットにある情報に含まれる送信元装置、送信先装置及びそれら装置の属性の組み合わせをエントリとしてセクション・メモリに記憶し、エントリ対応のカウンタの割当てを記憶するテーブル３ｂと、送信パケットに含まれる情報とセクション・メモリのエントリとを比較して、情報の送信元装置、送信先装置と属性との内のいずれか一つがエントリと異なるものは新しいエントリとして格納するテーブル格納部３と、送信されるパケットに含まれる情報が既エントリと同一なら、カウンタ値を更新するカウンタ部５と、送信元装置と送信先装置と属性とのそれぞれの情報に収集対象となるか否かのマスク値が設定し、このマスク値でセクション・メモリのエントリを走査して統計データを得る情報収集部６とを備えた。【選択図】        図２
2007104472.tif 000002
【特許請求の範囲】
【請求項１】
任意の送信元装置から他の任意の送信先装置へ送信されるパケットに含まれる情報を集めて統計データとして取得する統計データ取得装置において、
上記情報に含まれる上記送信元装置、上記送信先装置及びそれら装置の属性の組み合わせをエントリとして取扱ってセクション・メモリに記憶し、かつ該エントリに対応するカウンタの割当てを記憶するテーブルと、
上記送信されるパケットに含まれる情報と上記セクション・メモリに記憶されたエントリとを比較して、該情報の送信元装置、送信先装置と属性との内のいずれか一つが上記エントリと異なる組合わせは新しいエントリと判定して上記セクション・メモリを割当てて上記テーブルに格納指示するテーブル格納部と、
上記送信されるパケットに含まれる情報が上記テーブルに記憶しているエントリと同一である場合は、該エントリに対応して割当てられた上記カウンタの値を更新するカウンタ部と、
上記送信元装置と上記送信先装置と上記属性とのそれぞれの情報に収集対象となるか否かのマスク値が設定されて、該設定されたマスク値に基づいて上記セクション・メモリのエントリを走査して上記カウンタの値により統計データを得る情報収集部、とを備えたことを特徴とする統計データ取得装置。
【請求項２】
送信されるパケットを解析して、解析対象の該送信されるパケットについては通常のヘッダとは異なる内部ヘッダの情報に基づいたエントリとの比較が適当か否かを判定する特殊パケット判定部を備えて、
テーブル格納部は、上記特殊パケット判定部が上記送信されたパケットについては上記内部ヘッダの情報による比較が適当と判断すると、上記内部ヘッダにある送信元装置と送信先装置と属性との情報を、上記セクション・メモリに記憶されたエントリと比較することを特徴とする請求項１記載の統計データ取得装置。
【請求項３】
情報収集部は、任意のビット構成で設定されるマスク値を設定し、該設定マスク値に対応するエントリのカウンタ値を得ることを特徴とする請求項１記載の統計データ取得装置。
【請求項４】
任意の送信元装置から他の任意の送信先装置へ送信されるパケットに含まれる情報を集めて統計データとして取得する統計データ取得方法において、
上記情報に含まれる上記送信元装置、上記送信先装置及びそれら装置の属性の組み合わせをエントリとして取扱ってセクション・メモリに記憶し、かつ該エントリに対応するカウンタの割当てを記憶するステップと、
上記送信されるパケットに含まれる情報と上記セクション・メモリに記憶されたエントリとを比較して、該情報の送信元装置、送信先装置と属性との内のいずれか一つが上記エントリと異なる組合わせは新しいエントリと判定して上記セクション・メモリを割当てて上記セクション・メモリに格納指示する比較・格納ステップと、
上記送信されるパケットに含まれる情報が上記セクション・メモリに記憶しているエントリと同一である場合は、該エントリに対応して割当てられた上記カウンタの値を更新するステップと、
上記送信元装置と上記送信先装置と上記属性とのそれぞれの情報に収集対象となるか否かのマスク値を設定するステップと、
上記設定されたマスク値に基づいて上記セクション・メモリのエントリを走査して上記カウンタの値により統計データを得るステップと、を備えたことを特徴とする統計データ取得方法。
【請求項５】
送信されるパケットを解析して、解析対象の該送信されるパケットについては通常のヘッダとは異なる内部ヘッダの情報に基づいたエントリとの比較が適当か否かを判定する特殊判定ステップ、を備えて、
比較・格納ステップは、上記特殊判定ステップで上記送信されたパケットについては上記内部ヘッダの情報による比較が適当と判断されると、上記内部ヘッダにある送信元装置と送信先装置と属性との情報を、上記セクション・メモリに記憶されたエントリと比較することを特徴とする請求項４記載の統計データ取得方法。
【請求項６】
マスク値を設定するステップは、要求される情報収集内容に対応してセクション・メモリ上に任意のビット構成で設定されるマスク値を設定し、
統計データを得るステップは、上記設定されたマスク値に対応するエントリのカウンタの値に基づいてデータを得ることを特徴とする請求項４記載の統計データ取得方法。
【発明の詳細な説明】
【技術分野】
【０００１】
ネットワーク上の様々なアクセス、侵入、攻撃などを把握するためには、ネットワーク上に装置を配置して、どこから、どんな情報が入り込んだかを統計的に把握する必要がある。この発明は、こうしたネットワーク上の情報内容を把握する統計データ取得装置、方法に関するものである。
【背景技術】
【０００２】
社会情報を送受信するシステムにおいて、ネットワークは複雑になり、上記のように情報内容を統計的に把握して、各種の解析を行う必要がある。この統計情報とは、ある条件により単位別にカウントするカウンタの値であり、単位別のカウンタ値からある種の情報が得られる。
ここで、あるネットワークにおいて、そのサブネット内に在る端末同士が交信したパケット数をカウントする場合を考える。
ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）ネットワークにおいて、あるアドレスは３２ｂｉｔｓである。サブネットのプレヒックス長が２４ｂｉｔｓであれば、当該サブネット内に在る端末数は、残りの８ｂｉｔｓ、つまり最大２５６台である。
【０００３】
この０から２５５までのアドレス範囲に対して相互に発着信データをパケット数として数えて、統計的に値を得る従来方法がある。具体的には、送信元２５６種類×送信先２５６種類のセクションからなるメモリ行列を用意して、つまり６５５３６セクションのメモリを用意して、この行列になったメモリに得られるパケット数をセクション毎に数える方法がある。このカウンタ行列は、注目するサブネット内の通信量の分布状態を示すため、分布カウンタと呼ばれる。
またＩＰ上のＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）プロトコルにて張られるセッション内では、ＴＣＰ以外のプロトコルのパケットが流れる場合もある。サーバへのポートスキャンなど、攻撃による異常な通信では、このようなパケットの発生頻度が増大するため、こうした特徴を捉える要求が高まっている。
しかし、この分布カウンタを用いる方式は多くの空間容量のリソースを必要とするが、実際は空白が多く、空間効率に問題がある。
さらに、送信元や送信先は、実際には｛アドレス、ポート｝など複数の要素で構成されているため、細分化されたアドレス等の属性で統計データを得るためには、属性に応じた分布カウンタを複数個用意する必要がある。
例えば、アドレス間の通信分布のためには、上記のように図９に示す２５６×２５６のアドレス間分布カウンタを設けている。更に、サブネット内における特定アドレスのポート公開状況の探索攻撃、いわゆるポートスキャン攻撃、を検知するためには、この６５５３６セクションのアドレス間分布カウンタの１カウンタ毎に、更にポート種類を判別する機構が必要となる。
【０００４】
なお、上記分布カウンタの大きなメモリ領域が必要という欠点を改善するために、特許文献１の「統計収集装置を備えたパケット転送装置および統計収集方法」によれば、行列を構成するセクションのメモリ数を減らす工夫として、送信元か送信先のいずれかが新しいアドレスであれば、新しいセクションを割当てて、必要なセクションを増やして行き、後にセクションのメモリのカウンタ数から統計値を得る方式が示されている。
【特許文献１】特開２００５−５１７３６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
従来の分布カウンタは上記のように構成されており、メモリの空間利用効率が低く、異なる統計情報を得るために更に細分化された分布カウンタを設ける必要があるという課題があった。
また、セッション内を流れるＴＣＰ以外のパケットについても、セッションを考慮して統計情報を取得したいという要求があるが、セッションとは、送信元、送信先の｛アドレス、ポート｝情報により特定される。同一セッションでありながら、ＴＣＰ以外のプロトコルのパケットが有するヘッダ情報はしばしばポート情報を持たない。このため、ネットワーク上に配置された従来の装置では、パケットのヘッダのみからセッションを特定することが出来ず、いずれのセッションにも属さないパケットとして統計情報を取得してしまう、という課題がある。即ち、正しい把握ができず、攻撃の兆候を見落とすことにつながる。
特許文献１で示される第２の従来例も、メモリ利用効率は向上できるが、多種の統計情報を容易に得ることは記載がない。更にＴＣＰ以外のプロトコルを持つパケットに対しても詳細情報が得られないという課題は残る。
【０００６】
この発明は、上記の課題を解決するためになされたもので、ネットワーク上の様々なアクセス、侵入、攻撃などの統計情報を収集、解析するための統計データ取得装置として、セクションのメモリ数を少なくしてメモリの利用効率を上げ、かつセクションのメモリから複数の分布統計データが直ちに得られる装置、方法を得る。
また更に、付加的な構成要素を追加することで、ポート情報を持たないパケットに対しても、セッションを考慮した統計情報の取得を可能にする。
【課題を解決するための手段】
【０００７】
この発明に係る統計データ取得装置は、
任意の送信元装置から他の任意の送信先装置へ送信されるパケットに含まれる情報を集めて統計データとして取得する統計データ取得装置において、
上記情報に含まれる上記送信元装置、上記送信先装置及びそれら装置の属性の組み合わせをエントリとして取扱ってセクション・メモリに記憶し、かつ、このエントリに対応するカウンタの割当てを記憶するテーブルと、
上記送信されるパケットに含まれる情報と上記セクション・メモリに記憶されたエントリとを比較して、該情報の送信元装置、送信先装置と属性との内のいずれか一つが上記エントリと異なる組合わせは新しいエントリと判定して上記セクション・メモリを割当てて上記テーブルに格納指示するテーブル格納部と、
上記送信されるパケットに含まれる情報が上記テーブルに記憶しているエントリと同一である場合は、このエントリに対応して割当てられた上記カウンタの値を更新するカウンタ部と、
上記送信元装置と上記送信先装置と上記属性とのそれぞれの情報に収集対象となるか否かのマスク値が設定されて、この設定されたマスク値に基づいて上記セクション・メモリのエントリを走査して上記カウンタの値により統計データを得る情報収集部と、
を備えたものである。
【発明の効果】
【０００８】
以上のように、この発明によれば、マスク値の設定により、装置規模は小さくて、多様な統計情報が容易に得られる効果がある。
更に、原因ヘッダを含むパケットであるかどうかを判定するので、同一セッション内で異なるプロトコルが流れても、セッションを考慮して統計情報を取得できる効果がある。
【発明を実施するための最良の形態】
【０００９】
実施の形態１．
ネットワーク上の様々なアクセス、侵入、攻撃などの情報を収集、取得、解析、編集するための、データ情報の統計データ取得装置、方法を説明する。
本方式は、分布カウンタのセクションに注目し、新しく交信が行われたセクション毎にメモリを割当て、このメモリに複数の属性値を記憶して、容易に属性毎の分布統計も取得できる構成とする。従って本方式の検索テーブルは全てのエントリをあらかじめ確保する必要がなく、通信の行われたエントリが動的に作成されるためメモリの利用効率が良い。
【００１０】
先ずセクションのメモリ割当て方法の概念を検索テーブルの例を示す図１を用いて説明する。
あるパケットが入力されると、送信元装置、送信先装置の｛アドレス、ポート｝情報が抜き出され、既存のセクションのメモリで構成したテーブル内に該当する情報が無いか検索する。
該当する情報が存在しない場合、その情報は新規エントリとして扱われ、テーブルの最後にセクションのメモリが割当てられて追加される。ここでエントリ１０１等とは、テーブル内のアドレス１１１、１１２等の情報と、その情報を統計データとして収集対象とするかどうかを示すｍａｓｋ（マスク）値と、当該エントリに対する戻り値を示していて、どれかが異なる場合は新しいエントリとして取扱われる。
ここでマスク値は、正しくは分布統計データを取得する場合に必要になるもので、任意の送信元から任意の送信先へのパケットの頻度を記録する場合には、全てのデータが有効でなくてはならない。従ってパケットを解析してセクションに割当てる場合は、マスク値は全て有効である。図１（ｂ）で時刻ｔ２からは、マスク値が送信元ポートで無効となっているのは、詳しくは分布統計データを収集する段階で、時刻ｔ１では全て有効と設定し、時刻ｔ２で変更した例を示している。
戻り値でみる情報は２種類で、１つは領域の有効／無効を示す４ｂｉｔｓのフラグである対応種類フラグ、他方はテーブルのエントリに対応するカウンタのＩＤ（識別子）である。カウンタＩＤ１２２は、そのエントリの割当て順でもよいし、空いているカウンタの番号を割り当ててもよい。
該当する情報が存在する場合は、テーブル検索の結果として戻り値が出力されるため、戻り値に含まれるカウンタＩＤ１２２に対応するカウンタが数えている数値を更新する。即ちカウンタ値が進んでセクションの統計データ値が進むだけである。
【００１１】
所定の期間、観測を行った後、統計データとしてカウンタ値を取得する場合には、テーブル検索と同様に問い合わせを行い、戻り値からカウンタＩＤ１２２を得てカウンタ値を読み出す。
戻り値の初期値は「該当なし」を示す値で初期化しておく。こうしておけば、テーブル検索の結果、該当エントリが無い場合は、エントリが無いことを知ることが可能となる。
そして、テーブル検索では、マスク値が有効である領域の情報のみを収集すればよい。
【００１２】
次に本実施の形態におけるネットワーク分布の統計データ取得装置の構成を説明する。
先ず、図１の、統計データ取得装置の検索テーブルであるが、新しいエントリ毎にセクション相当のメモリ（セクション・メモリ）が割当てられて、以下、新しいエントリが発生する毎に順に下方にセクション・メモリが割り当てられて行く。
図２は、ネットワーク分布の統計データ取得装置１の構成例を示す図である。本装置は、シーケンサ部２、テーブル格納部３、セクション・メモリ（テーブル）３ｂ、戻り値格納部４、頻度を示すカウンタ部５、統計データを収集するテーブル設定値の情報収集部６とで構成される。入力パケットの送信元アドレスと送信先アドレスや属性を調べるシーケンサ部２は、更にアドレス等の検索キー生成部２１と、統計値としてのカウンタ値を最新値にするカウンタ更新部２２とを含んでいる。
テーブル３ｂは、ＣＡＭ（Ｃｏｎｔｅｎｔ  Ａｄｄｒｅｓｓａｂｌｅ  Ｍｅｍｏｒｙ）が適している。ソフトウェアで実装する場合は、ＣＡＭの替わりに通常のメモリが用いられ、木構造にてテーブルが格納される。そして、図示していないＣＰＵ（Ｃｅｎｔｒａｌ
Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）あるいはＮＰＵ（Ｎｅｔｗｏｒｋ  Ｐｒｏｃｅｓｓ
ｉｎｇ  Ｕｎｉｔ）にて検索、及び格納が行われる。また戻り値格納部４は、ＳＲＡＭでよい。
これらの構成要素は通常、ハードウェアで構成する。しかし、シーケンサ部２等、一部の構成要素を、図示しないメモリに、後述する動作フローで記述した機能をプログラムで組み込み、同じく図示しないプロセッサで読取り実行させる、ソフトウェアによる実装でもよい。
【００１３】
次にこのネットワーク分布の統計データ取得装置のテーブル書き込み動作を、動作フローを表す図３を用いて説明する。
それまで統計データ取得装置はＳ３１でパケット受信を待っていて、パケットがシーケンサ部２に入力されると、Ｓ３２で検索キー生成部２１が、送信元、送信先の｛アドレス、ポート｝情報を検索キーとして抽出する。そしてＳ３３でテーブル格納部５が抜き出された検索キーを用いてテーブル３ｂに既に同じエントリがあるかを調べる。
検索の結果、新しいエントリであれば、Ｓ３４でテーブル格納部３がメモリにその新しいエントリを割当て、そのエントリに対応するテーブル設定値がテーブルに記憶されて終る。
Ｓ３３で既に同一エントリがメモリ上にあってヒットすれば、メモリのヒットアドレスが戻り値格納部４に入力され、戻り値が引抜かれて、Ｓ３５でカウンタ更新部２２に通知される。そしてそのヒットしたという指示によりカウンタ部５で対応するカウンタＩＤを持つカウンタのカウンタ値を進めて終る。
【００１４】
次に、本構成により、分布カウンタ相当による様々な統計情報が取得できることを、統計情報を取得する場合の動作フローを示す図４も併用して、いくつかの情報例を挙げて説明する。
なお本明細書の以降の記述において、標記４’ｂｘｘｘｘは４ｂｉｔｓの２進数ｘｘｘｘを表すものとする。またマスク値は、無効でよいものは、収集の段階で設定する。例えば図１の例では、時間的にある時点以降、例えば、エントリ１が記録される時刻ｔ２以降は、送信元ポートを見ない、つまり無効と設定して統計データを得る。更に、どのマスク値を無効としてよいかは、例えば送信元アドレスの上位４ｂｉｔｓをみて決められる。
【００１５】
１）アドレス別パケット数の取得
最も代表的なアドレス×アドレス分布統計を取得する。対応種類フラグが４’ｂ１１＊＊（＊はドントケア、つまりどんな数値でもよいことを表す）のエントリを集めると、これはアドレス別分布カウンタとなる。
この場合、テーブル設定値情報収集部６がＳ４１で、指定された４’ｂ１１＊＊のマスク値をテーブルの送信元アドレス１１１は有効、送信先アドレス１１２も有効、と設定する。そしてＳ４２で、情報収集部６は、上記の例では４’ｂ１１＊＊の有効フラグを用いてメモリに在る図１に示すテーブルを順に調べる。Ｓ４３で、情報収集部６は、該当するエントリ群のカウンタ値を加算して数値を得る。これをＳ４４で必要な情報が残っている限り繰返して走査して、有効マスク対象の情報が無くなれば、終了する。
【００１６】
２）アドレス×ポート別統計の取得
対応種類フラグ１２１が４’ｂ１１＊１のエントリを集めると、これはアドレス×ポート別統計情報となる。
図５は、この統計情報の説明のために用いるネットワーク構成図である。図において、サーバ８は、複数のクライアント７とネットワークを構成していて、途中に本実施の形態におけるネットワーク分布の統計データ取得装置１が配置されている。サーバ８は、ポート８０でＷＥＢ接続を、ポート４４３でＳＳＬ接続を、ポート８０８０でｐｒｏｘｙ接続を行っている。
このネットワーク状態において、４’ｂ１１＊１の統計情報は、特定送信元アドレスを持つクライアント７から、特定送信先アドレスを持つサーバ８の特定ポート、例えばポート８０に対して、どれくらいのパケット通信があったか、を調べることが出来る。
【００１７】
３）ポート×ポート別分布の統計取得
対応種類フラグが４’ｂ＊＊１１のエントリを集めて、それぞれのカウンタ値を得ると、これはポート別分布カウンタとなる。以上の動作は、テーブル設定値情報収集部６が図４のフローにより行う。
【００１８】
実施の形態２．
次に異なるプロトコルに対しても情報識別を行い値を得る構成を説明する。
上記の図５において、サーバ８がサービスを実施しているポート以外のポート番号へ、あるクライアント７がセッションを張ることを要求して、ＴＣＰプロトコルのＳＹＮパケットを送信すると、当該ポートがサーバにてサービス実施外であることを示すＩＣＭＰ  ｔｙｐｅ＝３（＝Ｄｅｓｔｉｎａｔｉｏｎ  Ｕｎｒｅａｃｈａｂｌｅ）が戻ってくる。サーバ８がサービスを実施しているポートである場合はＴＣＰ  ＡＣＫパケットがサーバ８からクライアント７へ送信される。
この方法は、ネットワーク上の攻撃行為の１つであるポートスキャンに用いられている。即ちサーバのでたらめなポート番号へセッション要求を次々に送信し、その反応によりサーバの実施サービスを把握しようとする。
【００１９】
ポートスキャンのような攻撃を統計情報から発見するためには、先に投げられたセッション要求であるＴＣＰパケットと、後に投げられたＩＣＭＰパケットが、同じセッションとしてカウントされる必要がある。
しかしながらＩＣＭＰにはポート情報が無いため、別のセッションと見なされてしまう。
一方、以上に述べた、以前の通信により生成されるＩＣＭＰパケットは、生成原因となったパケットのＩＰヘッダと、その後の先頭８バイトをパケットの内部に含む。この内部ヘッダを原因ヘッダと呼ぶ。原因ヘッダに対して、その外側のヘッダを通常ヘッダと呼ぶ。この代表的な構成例を図６に示す。
図から明らかなように、ＴＣＰ  ＳＹＮパケット６１のヘッダ６２と、その応答であるＩＣＭＰパケット６６の原因ヘッダ６８は同じであることから、図２の構成の装置によるヘッダ解析を、ＩＣＭＰ  ｔｙｐｅ＝３については内部の原因ヘッダに対して行うことで、それ以前に来たＴＣＰパケットと同じエントリで統計情報が取得される。こうして両者が同じセッションとして統計情報に記録される。
【００２０】
異なる部分の情報を他の同等情報と同じと見なす情報収集装置１ｂの構成を図７に示す。
即ち図において、シーケンサ部２内の検索の前段に、特殊パケット判定キー生成部２３を設け、更にここで得た特殊キーによる検索を行う特殊パケット判定部９を設ける。
【００２１】
この構成装置による動作を、図３からの変更部分を示す図８を用いて説明する。
パケットの入力としてＩＣＭＰパケットが来た場合、Ｓ８２でＹｅｓになり、特殊パケット判定キー生成部２３はその外側ヘッダからｔｙｐｅ値を引き抜いて特殊パケット判定部９に渡す。ＩＣＭＰパケットではない場合は何も行なわずパケットを次の検索キー生成部２１に渡し、実施の形態１で述べた動作を行う。
通知を受けた特殊パケット判定部９はＳ８３で、検索テーブルにおいてＩＣＭＰパケットの外側にある通常ヘッダを見るか原因ヘッダを見るかを決定し、検索キー生成部２１に通知する。具体的には、ｔｙｐｅ値が値３、４、５、１１の場合は原因ヘッダ６８を有するので、原因ヘッダからテーブル検索キーを生成することを特殊パケット判定部９が通知し、それ以外の場合は通常ヘッダを見ることを通知する。
以後の動作は実施の形態１と同様である。
特殊パケット判定部９は、一般的に、何らかの通信を原因として生成されるパケットへ適用する場合を考慮して、テーブルを参照する構成が望ましい。つまり参照テーブルには、その参照する領域に、送信元アドレス、送信先アドレス、属性が記載されているようにして、これらが対象範囲内にあるかどうかを調べるようにする。
【００２２】
特殊パケット判定部９は、判定結果により、外側ヘッダあるいは原因ヘッダからテーブル検索キーを生成し、検索キー生成部２１へ検索キーを通知する。
以後、通知を受けた検索キー生成部２１は、実施の形態１で述べた動作を行う。
以上の結果、同一セッション内で異なるプロトコルが流れる場合においても、セッションを考慮して統計情報を取得することが可能となる。
またこの付加的な構成要素の追加は、検索テーブルの検索パラメータにプロトコルを含む場合においても有効である。
【００２３】
実施の形態３．
以上に示した各実施の形態では、テーブル設定値の情報収集の可否を指定するマスクは有効／無効のいずれかの設定のみであった。
しかし、マスク長を領域単位ではなくビット単位で持つようにすると、より詳細な情報の取得を行なうことが可能となる。具体的には、例えばアドレス長を１６ｂｉｔｓとし、統計情報を得る際にアドレスのマスクを８ｂｉｔｓとすれば、設定値でその８ｂｉｔｓに適合するエントリの情報が得られる。
こうした変更は、ソフトウェアとしてプログラム実行で行うようにすると処理量の増加を伴うが、ハードウェアでの構成として例えば、ＣＡＭを用いて実現することで処理速度の劣化無しに実施することが可能である。
【００２４】
上記の統計情報収集装置１，１ｂにおいて、カウンタ値は各エントリに対応して計数する構成とした。しかし、検索テーブルのエントリに紐付けられたカウンタの替りに、単一のカウンタのみならず複数のカウンタからなるエントリを紐付けることも可能である。具体的には、エントリに対応するカウンタとして、パケットのデータ数を積算するカウンタも別に用意し、エントリがある毎にデータ数も解析して積算カウントする。
こうすると、後で統計情報を得ようとしてカウンタ値を見ると、該当するエントリに対して頻度カウンタ値と、積算データ数値が同時に得られる。
【００２５】
上記で説明したように、本構成によれば、ネットワーク上の様々なアクセス、侵入、攻撃などの統計情報を収集、解析することができ、その際に書き込みは、新しいエントリに対応するセクション毎に一つのメモリを設けて書き込み、読出しはこれらの単一のメモリ群から、複数種類の分布統計が取得できる。従って、同様な行列形式の分布カウンタをポート等の属性対応に３次元で複数持つ必要が無くなる。つまりエントリの在るセクションのメモリを動的に確保すればよいので、メモリの利用効率がよい簡易な装置構成が得られて、統計情報の得方も容易である。
更にまた、原因ヘッダを含むパケットであるかどうかを判定する新たな構成要素を設けることで、同一セッション内で異なるプロトコルが流れる場合でも、セッションを考慮して統計情報を取得できる。
上記では、主にハードウェアによる装置として構成と動作を説明したが、メモリに図３，４に示す動作フローを持つプログラムを記憶し、汎用のプロセッサでこれらのプログラムを読取り実行する方法としても、同様の効果が得られる。
【図面の簡単な説明】
【００２６】
【図１】この発明の実施の形態１におけるネットワーク分布の統計データ取得装置の検索テーブルを示す図である。
【図２】実施の形態１におけるネットワーク分布の統計データ取得装置の構成を示す図である。
【図３】実施の形態１におけるネットワーク分布の統計データ取得装置のテーブル書き込み動作フローを示す図である。
【図４】実施の形態１におけるネットワーク分布の統計データ取得装置のテーブル読出し動作フローを示す図である。
【図５】実施の形態１における統計情報を説明するネットワーク構成図である。
【図６】この発明の実施の形態２で用いられるＴＣＰ  ＳＹＮと応答のＩＣＭＰパケットのヘッダ形式を示す図である。
【図７】実施の形態２におけるネットワーク分布の統計データ取得装置の構成を示す図である。
【図８】実施の形態２におけるネットワーク分布の統計データ取得装置のテーブル書き込み動作フローの相違部分を示す図である。
【図９】分布カウンタの例を示す図である。
【符号の説明】
【００２７】
１  統計データ取得装置、２  シーケンサ部、３  テーブル格納部、３ｂ  テーブル（メモリ）、４  戻り値格納部、５  カウンタ部、６  情報収集部、７  クライアント、８
サーバ、９  特殊パケット判定部、２１  検索キー生成部、２２  カウンタ更新部、２３  特殊パケット判定キー生成部、６１  ＴＣＰ  ＳＹＮパケット、６２  ＴＣＰ  ＳＹＮ通常ヘッダ、６６  ＩＣＭＰ、６７  ＩＣＭＰ通常ヘッダ、６８  ＩＣＭＰ原因ヘッダ、Ｓ３２  送信元・送信先アドレス・ポート抽出ステップ、Ｓ３４  新エントリにメモリ割当て数値記憶ステップ、Ｓ３５  既エントリのカウンタ値増加ステップ、Ｓ４１  指定マスク対応エントリ調査ステップ、Ｓ４２  統計情報取得ステップ、Ｓ８２  特殊パケット判定ステップ、Ｓ８３  原因ヘッダ参照指定ステップ。
【図１】
2007104472.tif 000003
【図２】
2007104472.tif 000004
【図３】
2007104472.tif 000005
【図４】
2007104472.tif 000006
【図５】
2007104472.tif 000007
【図６】
2007104472.tif 000008
【図７】
2007104472.tif 000009
【図８】
2007104472.tif 000010
【図９】
2007104472.tif 000011