(57)【要約】【課題】ネットワーク全体で起こっているイベントを検出することができる技術を提供すること。【解決手段】解析端末３は、監視対象の特徴量を監視する。特徴量の変化が検出されると、管理端末４に特徴量の変化が検出されたことを通知する。管理端末４では、特徴量の変化を通知してきた解析端末の数を集計する。そして、集計値によってイベントが発生したかを判断する。【選択図】図２
2007179131.tif 000002
【特許請求の範囲】
【請求項１】
イベント検出システムであって、
監視対象の特徴量の変化を検出する検出ポイントと、
監視対象の特徴量の変化を検出した検出ポイント数に基づいて、イベントを検出するイベント検出手段と
を有することを特徴とするイベント検出システム。
【請求項２】
前記イベント検出手段は、所定の閾値が設定され、特徴量の変化を検出した検出ポイント数が前記閾値を超えた場合、イベントが発生したと判断するように構成されていることを特徴とする請求項１に記載のイベント検出システム。
【請求項３】
前記イベント検出手段は、所定の閾値が設定され、全検出ポイント数に対して特徴量の変化を検出した検出ポイント数が占める割合が前記閾値を超えた場合、イベントが発生したと判断するように構成されていることを特徴とする請求項１に記載のイベント検出システム。
【請求項４】
前記イベント検出手段は、
特徴量の変化を検出した検出ポイントに対して重み付けを行う重み付け部と、
重み付けが行われたポイント数に基づいて、イベントを検出するイベント検出手段と
を有することを特徴とする請求項１から請求項３のいずれかに記載のイベント検出システム。
【請求項５】
前記重み付けは、前記検出ポイントが監視する機器に応じて決定されることを特徴とする請求項４に記載のイベント検出システム。
【請求項６】
前記重み付けは、前記検出ポイントの信頼度に応じて決定されることを特徴とする請求項４に記載のイベント検出システム。
【請求項７】
管理端末であって、
監視対象の特徴量の変化を検出した検出ポイント数に基づいて、イベントを検出するイベント検出手段を有することを特徴とする管理端末。
【請求項８】
前記イベント検出手段は、所定の閾値が設定され、特徴量の変化を検出した検出ポイント数が前記閾値を超えた場合、イベントが発生したと判断するように構成されていることを特徴とする請求項７に記載の管理端末。
【請求項９】
前記イベント検出手段は、所定の閾値が設定され、全検出ポイント数に対して特徴量の変化を検出した検出ポイント数が占める割合が前記閾値を超えた場合、イベントが発生したと判断するように構成されていることを特徴とする請求項７に記載の管理端末。
【請求項１０】
前記イベント検出手段は、
特徴量の変化を検出した検出ポイントに対して重み付けを行う重み付け部と、
重み付けが行われたポイント数に基づいて、イベントを検出するイベント検出手段と
を有することを特徴とする請求項７から請求項９のいずれかに記載の管理端末。
【請求項１１】
前記重み付けは、監視対象の機器に応じて決定されることを特徴とする請求項１０に記載の管理端末。
【請求項１２】
前記重み付けは、前記検出ポイントの信頼度に応じて決定されることを特徴とする請求項１０に記載の管理端末。
【請求項１３】
情報処理装置のプログラムであって、
監視対象の特徴量の変化を検出した検出ポイント数に基づいて、イベントを検出するイベント検出処理を、前記情報処理装置に実行させることを特徴とするプログラム。
【請求項１４】
前記イベント検出処理は、特徴量の変化を検出した検出ポイント数が所定の閾値を超えた場合、イベントが発生したと判断する処理であることを特徴とする請求項１３に記載のプログラム。
【請求項１５】
前記イベント検出処理は、全検出ポイント数に対して特徴量の変化を検出した検出ポイント数が占める割合が所定の閾値を超えた場合、イベントが発生したと判断する処理であることを特徴とする請求項１３に記載のプログラム。
【請求項１６】
前記イベント検出処理は、特徴量の変化を検出した検出ポイントに対して重み付けを行い、重み付けが行われたポイント数に基づいて、イベントを検出する処理であることを特徴とする請求項１３から請求項１５のいずれかに記載のプログラム。
【請求項１７】
前記重み付けは、監視対象の機器に応じて決定されることを特徴とする請求項１６に記載のプログラム。
【請求項１８】
前記重み付けは、前記検出ポイントの信頼度に応じて決定されることを特徴とする請求項１６に記載のプログラム。
【請求項１９】
イベント検出方法であって、
監視対象の特徴量の変化を検出した検出ポイント数に基づいて、イベントを検出することを特徴とするイベント検出方法。
【請求項２０】
特徴量の変化を検出した検出ポイント数が所定の閾値を超えた場合、イベントが発生したと判断することを特徴とする請求項１９に記載のイベント検出方法。
【請求項２１】
全検出ポイント数に対して特徴量の変化を検出した検出ポイント数が占める割合が所定の閾値を超えた場合、イベントが発生したと判断することを特徴とする請求項１９に記載のイベント検出方法。
【請求項２２】
特徴量の変化を検出した検出ポイントに対して重み付けを行い、重み付けが行われたポイント数に基づいて、イベントを検出することを特徴とする請求項１９から請求項２１のいずれかに記載のイベント検出方法。
【請求項２３】
前記重み付けは、検出ポイントが監視する機器に応じて決定されることを特徴とする請求項２２に記載のイベント検出方法。
【請求項２４】
前記重み付けは、検出ポイントの信頼度に応じて決定されることを特徴とする請求項２２に記載のイベント検出方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はイベント検出システムに関し、特に、ネットワーク全体で発生しているウィルス、ワーム、不正アクセスや、ＤｏＳ又はＤＤｏＳ攻撃等のイベントを検出するシステムに関する。
【背景技術】
【０００２】
近年、情報処理ネットワークの発展に伴い、ネットワークに接続されているコンピュータ等への攻撃が大きな社会問題となっている。攻撃の種類は、ウィルスと呼ばれる不正プログラムをコンピュータに感染させ、この感染したコンピュータを用いて不正を行う行為や、所定のサーバにパケットを一斉に送信するＤｏＳ（Denial of Service）攻撃、複数のコンピュータから攻撃対象のコンピュータへパケットを一斉に送信するＤＤｏＳ（Distributed-Denial of Service）攻撃等がある。
【０００３】
中でも、ＤＤｏＳ攻撃は、侵入者のコンピュータから第３者のコンピュータに対してエージェントと呼ばれるソフトウエアが通信網を介してインストールされ、このエージェントをリモート操作することにより攻撃対象のコンピュータに大量のパケットを短時間に送信する。この結果、攻撃対象のコンピュータではシステムリソースが費やされてしまい、ＴＣＰの通信処理やＴＣＰ上のサービス処理を行うことができなくなってダウンしてしまう。
【０００４】
このようなＤＤｏＳ攻撃からコンピュータを保護すべく、ＤＤｏＳトレースバック機能や各種の侵入検出装置（ＩＤＳ：Intrusion Detection System）をルータへ組み込む手法が研究されている。従来のＩＤＳは、たとえばルータが流入経路上のパケットを取得し、当該パケットのヘッダに記述されている宛先アドレスおよび送信元アドレスを抽出する。そして、１つの送信元から１つの宛先へ大量のパケットが短時間のうちに送信されていれば、これを不正アクセスとして認識する。
【０００５】
しかしながら、ルータにＩＤＳを組み込んだとしても、１回線にギガオーダのトラヒックが集中する現状下では、パケットの取りこぼしなどが発生してしまい、うまく機能しないことが指摘されている。なお、ＩＤＳの高速化に関しては、高速サーバの導入やファームウエア、ソフトウエアの改良が進められているが、いずれもパケットの取りこぼし問題を完全に解決することはできない。また、多数のルータへトレースバック機能を短期間で組み込むことも困難であるため、トレースバック機能による監視機能を近い将来に実現することは難しい。
【０００６】
このような課題の元、標的のコンピュータへの経路上に監視システムを設け、各監視システムのアクセス数が所定の閾値を超えた場合に不正アクセスが発生、すなわち、ＤＤｏＳ攻撃されていると判断する技術が提案されている。
【０００７】
しかし、ＤＤｏＳ攻撃のように、分散された多数のコンピュータに攻撃プログラムを仕掛けて踏み台にし、その踏み台とした多数のコンピュータから標的のコンピュータへ大量のパケットを同時に送信する攻撃では、不正アクセスが複数の経路を経て標的のコンピュータに到達する。このため、単に各経路に監視システムを設けただけでは、アクセス数が不正アクセスと判断する閾値を超えないために不正アクセスが見逃されやすかった。
【０００８】
そこで、各経路で収集された結果を管理端末で集計し、集計した結果に基づいて、不正アクセスを検知する技術が提案された(例えば、特許文献１)。以下、図１を用いて、この技術の概要を説明する。
【０００９】
図１を参照すると、経路上の不正アクセスを監視する解析端末１００１〜１００５が配置されている。各解析端末１００１〜１００５は、不正アクセス候補を検出してその検出数を、管理端末２００に送信する。管理端末２００では、各解析端末１００１〜１００５からの不正アクセス候補数を集計し、この集計した値が予め設定された閾値を超えると、不正アクセスが発生していると判断する。例えば、管理端末２００に設定されている閾値を１００とし、解析端末１００２、１００５が不正アクセス候補を検出し、その検出数が６０と５０であるとすると、解析端末１００２、１００５が不正アクセス候補数である６０及び５０を管理端末２００に通知する。尚、他の解析端末１００１、１００３、１００４は不正アクセス候補が検出していないので、管理端末２００に候補数を通知しない。管理端末２００は、通知してきた不正アクセス候補数である５０と６０とを合計し、合計数である１１０を算出する。合計数が１１０であり、これは閾値１００を超えているので、管理端末２００は不正アクセスが発生していると判断する。
【００１０】
【特許文献１】特開２００４−１６４１０７号公報
【発明の開示】
【発明が解決しようとする課題】
【００１１】
しかしながら、特許文献１の技術は、各解析端末が検出した不正アクセス候補数の合計値を求め、この合計値と閾値とを比較して不正アクセスを判断しているものにすぎないものである。特に、各解析端末は、独立して不正アクセス候補を検出するので、各解析端末が検出した不正アクセス候補がたとえ正当な理由のあるものであっても、管理端末は各解析端末から通知される不正アクセス候補数の合計値で判断してしまうため、誤った判断がされる場合があった。例えば図１の例では、解析端末１００２が検出した不正アクセス候補と、解析端末１００５が検出した不正アクセス候補とが異なる理由によるものであっても、その検出数である６０と５０との合計値が１１０となってしまい、管理端末の閾値を越えてしまうので、不正アクセスが発生したと誤判断してしまう。
【００１２】
また、特許文献１の技術は、各解析端末が検出した不正アクセス候補数の合計値で不正アクセスを判断するので、各解析端末が検出する不正アクセス候補数に左右されてしまう。例えば、特定のサーバ等へのアクセスがたまたま増加することにより、ひとつの解析端末が管理端末に設定されている閾値を超えるような不正アクセス候補を検出した場合、他の解析端末では特に不正アクセス候補が検出されないにもかかわらず、ネットワーク全体で不正アクセスが発生したと誤判断してしまう。
【００１３】
更に、特許文献１の技術は、ネットワーク全体で起こっている不正アクセスのようなイベントを検出することはできない。例えば、各解析端末で検出された不正アクセス候補数は多くはないが、全ての解析端末で不正アクセス候補が起こっているような場合である。これを検出しようとすると、不正アクセス候補数の合計値がそれほど多くならず、管理端末側の閾値を低く設定する必要がある。しかしながら、あまり低く設定すると、上述のようにたまたま通常よりもアクセス数が増加した場合等にも過剰に判断してしまい、誤判断が多くなってしまう。
【００１４】
そこで、本発明は上記課題に鑑みて発明されたものであって、その目的は、ネットワーク全体で起こっているイベントを検出することができる技術を提供することにある。
【００１５】
また、本発明の目的は、ネットワーク上に配置されたサーバ等の装置で発生しているイベントを、ネットワーク全体で発生しているのか否かを判断することができる技術を提供することにある。
【００１６】
また、本発明の目的は、ネットワーク、又はネットワーク上の多地点で起こっているイベントを検出することができる技術を提供することにある。
【課題を解決するための手段】
【００１７】
上記課題を解決する第１の発明は、イベント検出システムであって、監視対象の特徴量の変化を検出する検出ポイントと、監視対象の特徴量の変化を検出した検出ポイント数に基づいて、イベントを検出するイベント検出手段とを有することを特徴とする。
【００１８】
上記課題を解決する第２の発明は、上記第１の発明において、前記イベント検出手段が、所定の閾値が設定され、特徴量の変化を検出した検出ポイント数が前記閾値を超えた場合、イベントが発生したと判断するように構成されていることを特徴とする。
【００１９】
上記課題を解決する第３の発明は、上記第１の発明において、前記イベント検出手段は、所定の閾値が設定され、全検出ポイント数に対して特徴量の変化を検出した検出ポイント数が占める割合が前記閾値を超えた場合、イベントが発生したと判断するように構成されていることを特徴とする。
【００２０】
上記課題を解決する第４の発明は、上記第１から第３のいずれかの発明において、前記イベント検出手段が、特徴量の変化を検出した検出ポイントに対して重み付けを行う重み付け部と、重み付けが行われたポイント数に基づいて、イベントを検出するイベント検出手段とを有することを特徴とする。
【００２１】
上記課題を解決する第５の発明は、上記第４の発明において、前記重み付けが、前記検出ポイントが監視する機器に応じて決定されることを特徴とする。
【００２２】
上記課題を解決する第６の発明は、上記第４の発明において、前記重み付けが、前記検出ポイントの信頼度に応じて決定されることを特徴とする。
【００２３】
上記課題を解決する第７の発明は、管理端末であって、監視対象の特徴量の変化を検出した検出ポイント数に基づいて、イベントを検出するイベント検出手段を有することを特徴とする。
【００２４】
上記課題を解決する第８の発明は、上記第７の発明において、前記イベント検出手段が、所定の閾値が設定され、特徴量の変化を検出した検出ポイント数が前記閾値を超えた場合、イベントが発生したと判断するように構成されていることを特徴とする。
【００２５】
上記課題を解決する第９の発明は、上記第７の発明において、前記イベント検出手段が、所定の閾値が設定され、全検出ポイント数に対して特徴量の変化を検出した検出ポイント数が占める割合が前記閾値を超えた場合、イベントが発生したと判断するように構成されていることを特徴とする。
【００２６】
上記課題を解決する第１０の発明は、上記第７から第９のいずれかの発明において、前記イベント検出手段が、特徴量の変化を検出した検出ポイントに対して重み付けを行う重み付け部と、重み付けが行われたポイント数に基づいて、イベントを検出するイベント検出手段とを有することを特徴とする。
【００２７】
上記課題を解決する第１１の発明は、上記第１０の発明において、前記重み付けが、監視対象の機器に応じて決定されることを特徴とする。
【００２８】
上記課題を解決する第１２の発明は、上記第１０の発明において、前記重み付けが、前記検出ポイントの信頼度に応じて決定されることを特徴とする。
【００２９】
上記課題を解決する第１３の発明は、情報処理装置のプログラムであって、監視対象の特徴量の変化を検出した検出ポイント数に基づいて、イベントを検出するイベント検出処理を、前記情報処理装置に実行させることを特徴とする。
【００３０】
上記課題を解決する第１４の発明は、上記第１３の発明において、前記イベント検出処理が、特徴量の変化を検出した検出ポイント数が所定の閾値を超えた場合、イベントが発生したと判断する処理であることを特徴とする。
【００３１】
上記課題を解決する第１５の発明は、上記第１３の発明において、前記イベント検出処理が、全検出ポイント数に対して特徴量の変化を検出した検出ポイント数が占める割合が所定の閾値を超えた場合、イベントが発生したと判断する処理であることを特徴とする。
【００３２】
上記課題を解決する第１６の発明は、上記第１３から第１５のいずれかの発明において、前記イベント検出処理が、特徴量の変化を検出した検出ポイントに対して重み付けを行い、重み付けが行われたポイント数に基づいて、イベントを検出する処理であることを特徴とする。
【００３３】
上記課題を解決する第１７の発明は、上記第１６の発明において、前記重み付けが、監視対象の機器に応じて決定されることを特徴とする。
【００３４】
上記課題を解決する第１８の発明は、上記第１６の発明において、前記重み付けが、前記検出ポイントの信頼度に応じて決定されることを特徴とする。
【００３５】
上記課題を解決する第１９の発明は、イベント検出方法であって、監視対象の特徴量の変化を検出した検出ポイント数に基づいて、イベントを検出することを特徴とする。
【００３６】
上記課題を解決する第２０の発明は、上記第１９の発明において、特徴量の変化を検出した検出ポイント数が所定の閾値を超えた場合、イベントが発生したと判断することを特徴とする。
【００３７】
上記課題を解決する第２１の発明は、上記第１９の発明において、全検出ポイント数に対して特徴量の変化を検出した検出ポイント数が占める割合が所定の閾値を超えた場合、イベントが発生したと判断することを特徴とする。
【００３８】
上記課題を解決する第２２の発明は、上記第１９から第２１のいずれかの発明において、特徴量の変化を検出した検出ポイントに対して重み付けを行い、重み付けが行われたポイント数に基づいて、イベントを検出することを特徴とする。
【００３９】
上記課題を解決する第２３の発明は、上記第２２の発明において、前記重み付けが、検出ポイントが監視する機器に応じて決定されることを特徴とする。
【００４０】
上記課題を解決する第２４の発明は、上記第２２の発明において、前記重み付けが、検出ポイントの信頼度に応じて決定されることを特徴とする。
【発明の効果】
【００４１】
本発明は、一部の解析端末の検出結果に左右されることなく、管理端末が管理するネットワークや、サーバ、端末等のネットワーク機器に発生したイベントを検出することができる。その理由は、ネットワーク等に配置された解析端末のうち、イベントを検出した解析端末がどのくらいあるのかに着目して、ネットワーク全体で起きているイベントを検出するからである。
【発明を実施するための最良の形態】
【００４２】
本発明の実施の形態を説明する。
【００４３】
本発明の大きな特徴は、ネットワーク等に配置された解析端末のうち、不正アクセス候補等のイベントを検出した解析端末がどのくらいあるのかに着目して、ネットワーク全体で起きているイベントを検出することを特徴とする。ここで、イベントとは、ネットワーク機器、又はネットワーク上で起こる事象を言い、例えば、ウィルス、ワーム、不正アクセスや、ＤｏＳ又はＤＤｏＳ攻撃等のサーバに過剰な負荷を与えたりする攻撃や、リンクを輻輳させたり、端末やルータ等のネットワーク機器に負荷を与えたりする事象のみならず、好ましい事象である人気調査などの検出および試験や検査時に必要に応じて管理者より行われた結果としての事象も含む概念である。
【００４４】
以下に、本発明の概要を説明する。図２は本発明の実施の形態の概要を説明する為の図である。
【００４５】
図２を参照すると、本発明におけるイベント検出システムは、ネットワーク１上に配置されているルータやサーバ等のネットワーク機器２と、このネットワーク機器２における監視対象の特徴量の変化を検出する解析端末３と、この解析端末３からの通知を受けてネットワーク又は、ネットワーク機器２で発生しているイベントを検出する管理端末４とを有する。
【００４６】
解析端末３が監視するネットワーク機器２の特徴量とは、監視対象の特徴を数値化したものをいう。監視対象及びこの特徴量は検出したいイベントによって異なるが、検出したいイベントがリンク輻輳である場合、監視対象は送信パケットであり、特徴量は送信パケットのデータ量となる。また、検出したいイベントがＤｏＳ攻撃やＤＤｏｓ攻撃である場合、監視対象は送信TCPパケットやHTTP・FTPのリクエストであり、特徴量はACKパケットとデータパケットとの割合やHTTP・FTPのgetリクエスト数、reloadリクエスト数となる。また、検出したいイベントがウイルス・ワーム侵入である場合、監視対象は受信メールであり、特徴量は添付ファイル通数となる。また、検出したいイベントがウイルス・ワーム侵入である場合、監視対象は受信メールであり、特徴量は添付ファイル通数となる。
【００４７】
また、解析端末３が検出する特徴量の変化とは、通常時の特徴量とは異なる状態あるいは珍しい状態や滅多に起こらない状態となることをいい、例えば、送信パケットのデータ量の増加、添付ファイル数の増加、アクセス数の増加、宛先の変化（例えば、ウイルスワームを拡散させる場合、通常よりも多くの通信先と通信するので、通信先の宛先数の変化や、ポートスキャンによる攻撃を受けている又は送っている場合、宛先が同じでも、異なるポートに対してアクセスが行なわれるので、同じ宛先に対してアクセスしているポート番号等の変化がある。）、アクセスする宛先の順番の変化、キータイプするコマンドの順序の変化、PCを立ち上げてから起動される処理の順序の変化、メールの添付ファイルを起動させたときに動作するアプリケーションの種類の変化、通信する時間帯の変化、同時に動作するアプリの組み合わせの変化等をいう。
【００４８】
尚、特徴量の変化を検出する方法としては、例えば、特開2004-054370号公報（時系列データに対する自己回帰モデル学習装置並びにそれを用いた外れ値および変化点の検出装置）や、文献”V.Guralnik and J.Srivastava. Event Detection from Time Series Data, in Proceedings of the Fifth ACM SIGKDD International Conference on Knowledge Discovery and Data Mining, pp:33-42, ACM Press, 1999.”に記載された技術、又は文献”K. Yamanishi, J. Takeuchi, Y. Maruyama:``Three Methods for Statistical Anomaly Detection (in Japanese),'' IPSJ Magazine (Joho Shori), Vol. 46, No. 1, pp. 34-40, 2005”に記載された技術等を適用することができる。
【００４９】
管理端末４は、各解析端末３からの特徴量の変化の検出の通知を受け、ネットワーク上で発生しているイベントを検出する。具体的には、特徴量の変化を通知した解析端末の数に基づいて、イベントを検出する。管理端末４のイベント検出の判断であるが、管理端末４に閾値を予め設定しておき、特徴量の変化を通知してきた解析端末３の合計値が前記閾値を超えた場合にイベントが発生したと判断する。尚、このような判断に限ることなく、例えば、解析端末が監視する対象の重要度に応じて、各解析端末からの通知に重み付けを行ったり、また、通知数による判断に代えて、全解析端末数に対する通知してきた解析端末数が占める割合によって判断したりしても良い。
【００５０】
このように構成されたイベント検出システムは、以下のように動作する。図３はイベント検出システムの動作フローチャートである。
【００５１】
まず、解析端末３は、監視対象の特徴量を監視する（Ｓｔｅｐ  １００）。特徴量の変化が検出されると（Ｓｔｅｐ  １０１）、管理端末４に特徴量の変化が検出されたことを通知する（Ｓｔｅｐ  １０２）。
【００５２】
一方、管理端末４では、特徴量の変化を通知してきた解析端末の数を集計する（Ｓｔｅｐ  １０３）。そして、集計値によってイベントが発生したかを判断する（Ｓｔｅｐ  １０４）。
【００５３】
次に、イベントの検出の具体的な動作を説明する。
【００５４】
図４は本実施の形態における概要の具体的な動作を説明する為の図である。尚、以下の説明において、各解析端末３１〜３５は、ネットワーク機器２１〜２５を通過又は受信する送信パケットのデータ量（特徴量）を監視するものとする。また、管理端末４では、解析端末からの通知が３を超えると、ネットワークで、リンク輻輳が発生していると判定・検出する。
【００５５】
まず、各解析端末３１〜３５は監視対象であるネットワーク機器２１〜２５の送信パケットを監視し、その特徴量である送信パケットのデータ量を監視する。そして、送信パケットのデータ量が通常送信されるパケットのデータ量よりも多い場合、データ量の変化を検出し、これを管理端末４に通知する。
【００５６】
上述の如く構成されたシステムにおいて、例えば、ネットワーク機器２１，２２，２４，２５でデータ量が増加した場合、解析端末３１、３2、３4、３5は特徴量の変化を検出して管理端末４に通知する。管理端末４では、送信パケットのデータ量の増加(特徴量の変化)を通知してきた解析端末の数を集計する。ここでは、通知してきた解析端末数は４であり、管理端末４に予め設定された閾値は３であるので、この閾値（＝３）を特徴量の変化を検出した解析端末の合計数（＝４）が超えている。従って、管理端末４は、ネットワーク機器２１，２２，２４，２５が接続されているネットワークで、リンク輻輳が発生していると判断する。すなわち、リンク輻輳というイベントの検出が行われるのである。
【００５７】
このように本発明では、解析端末から通知される特徴量自体に着目するのではなく、異常検出した解析端末の数でイベントの発生を判断するので、一部の解析端末の特徴量の変化に左右されず、ネットワーク全体で起きているイベントを検出することができる。
【００５８】
以下、具体的な実施例を述べる。
【実施例１】
【００５９】
本発明の実施例１を説明する。
【００６０】
実施例１では、本発明をネットワークのリンク輻輳の検出に適用した場合の解析端末３及び管理端末４の具体的な構成について述べる。図５は解析端末３のブロック図、図６は管理端末４のブロック図である。
【００６１】
解析端末３は、監視するネットワーク機器又は経路上のパケットを取得するパケット取得部３１と、取得したパケットから監視対象の特徴量を抽出する特徴量抽出部３２と、特徴量の変化を検出する特徴量変化検出部３３と、変化検出通知部３４とを備えている。
【００６２】
パケット取得部３１は、経路上の送信パケットを取得し、これを特徴量抽出部３２に出力する。
【００６３】
特徴量抽出部３２は、監視対象であるパケットの特徴量を抽出するものである。本実施例では、検出するイベントがリンク輻輳であるので、抽出する特徴量は送信パケットの送信先IPアドレス毎の送信データ量である。そして、抽出した送信先IPアドレス毎の送信データ量を、特徴量変化検出部３３に出力する。
【００６４】
特徴量変化検出部３３は、送信先IPアドレス毎の送信データ量を逐次し統計化し、既存の変化点検出システムを用いて、送信データ量の変化を検出する。そして、変化を検出した場合には、変化検出通知部３４に通知する。
【００６５】
具体的には、送信データ量は、1秒ごとのパケット数を、閾値と比較し、閾値よりも大きい場合に、送信データ量の変化が発生したということを検出する。ここで、閾値は、観測時点から60秒までさかのぼり、1秒ごとのパケット数の平均を計算し、この平均値を2倍にしたものを閾値とする。すなわち、この平均値が通常の状況であり、観測値が、この平均値(通常時のデータ量)の２倍とした閾値を超えるようであれば、該観測値は異常値と判断する。
【００６６】
尚、送信データ量の変化に関しては、全てのパケットを計数する実施例の他に、送信元IPアドレス、送信宛先IPアドレス、プロトコル番号、および送信元セッションポート番号（あるいは送信側TCP/UDPポート番号）あるいは送信宛先セッションポート番号（あるいは受信側TCP/UDPポート番号）のどちらかの４つの情報組毎に閾値および観測値を計数して、検出することも可能である。
【００６７】
変化検出通知部３４は、特徴量変化検出部３３からのデータ量の変化を受けて、この結果を通知する。該通知には、変化が検出された1秒間のパケットの情報を用いる。具体的には、各パケットの５つの情報とパケットの先頭40バイトの情報を含む。5つの情報は、送信元IPアドレス、送信宛先IPアドレス、プロトコル番号、送信元セッションポート番号（あるいは送信側TCP/UDPポート番号）、および送信宛先セッションポート番号（あるいは受信側TCP/UDPポート番号）である。尚、特定の送信元や宛先を限定しなければ、これらの情報は不要であるが、特定のIPアドレスを除外したい場合などは必要となる。例えば、端末に本発明の解析機能が実装された場合、ウィルスの検出は外部への通信に対して変化点検出をしなければならない。そこで、端末がローカルに通信を行う場合(例えば、宅内ネットワークのLANディスク(イーサでつながっているハードディスク)をアクセスする場合)と、外部に通信を行う場合とを区別する必要があり、この区別の為にこれらの情報が必要となる。
【００６８】
また、パケットの先頭40バイトの情報であるが、先頭40バイトの情報の中には、TCPヘッダの中のシーケンスナンバなどの情報が含まれている。ウィルスなどを検知する場合、ウィルスが発する正規の通信と端末やソフトの異常動作に起因して発せられる異常な通信とを区別するために、シーケンスナンバなどの情報を参考にする。端末やソフトの異常動作に起因して発せられる異常な通信を区別することにより、ウィルスが発する正規の通信だけを変化点として検出すること、すなわち、ノイズを除去する効果があり、検出精度を高めることができる。通常、シーケンスナンバは連続しているが、異常動作によるTCPパケット送出においては、まったくでたらめなシーケンスナンバが使用されることがありうるためである。
【００６９】
管理端末４は、各解析端末３から通知をカウントする計数部４１と、計数部４１の結果を受けてイベントを検出するイベント検出部４２とを備える。
【００７０】
計数部４１は、解析端末４から通知をひとつずつカウントしていき、その合計値をイベント検出部４２に出力するものである。
【００７１】
イベント検出部４２は、所定の閾値が設定されており、計数部４１からの合計値が閾値を超えると、リンク輻輳（イベント）が発生したことを検出する。
【実施例２】
【００７２】
本発明の実施例２を説明する。
【００７３】
上述した実施例１では、管理端末４は、各解析端末３から通知数の合計値が、設定されている閾値を超えたか否かで、イベントが発生したかを検出した。実施例２では、管理端末４が、全体の解析端末数に対する通知してきた解析端末数が占める割合によって、イベントの検出を判断することを特徴とする。
【００７４】
このため、管理端末４のイベント検出部５２には、管理する全解析端末３の総数を記憶しており、計数部４１から通知される解析端末の合計値が全解析端末３の総数に対して占める割合を計算する。そして、この割合が予め設定されている閾値を超えた場合に、イベントが発生したことを検出する構成とする。例えば、全解析端末の総数が１００であり、割合が６０パーセントを超えた場合にイベントが発生したと判断する場合、特徴量が変化したことを通知してきた解析端末の数が６０を超えた場合に、イベントが発生したと判断する。
【実施例３】
【００７５】
本発明の実施例３を説明する。
【００７６】
上述した実施例１、２では、各解析端末からの通知について全て同一の扱いを行ってイベントを判断した。しかしながら、監視対象のネットワーク機器によって、その解析端末の重要度がことなる場合がある。例えば、基幹サーバ等の多くのデータを扱う機器を監視する解析端末では、監視対象の特徴量の変化が全体に及ぼす影響度が大きい。そこで、実施例３では、解析端末毎に重み付けを行い、それをイベントの検出に反映させる例を説明する。
【００７７】
図７は実施例３における管理端末４のブロック図である。
【００７８】
実施例３の管理端末４では、実施例１に加えて、重み付け部４３を備えている。この重み付け部４３は、図８に示す如く、解析端末からの通知に対して加える重み付けの値が設定されている。例えば、図８では、解析端末３２は基幹サーバを監視しているので、解析端末３２からの通知に対して５倍の重み付けを行い、一方、影響の少ない装置を監視している解析端末３ｎからの通知に対しては、０．５倍の重み付けを行うように構成されている。
【００７９】
このように重み付け部４３により、重み付けされた値は計数部４２に入力され、値がカウントされて、その合計値がイベント検出部４１に出力される。
【００８０】
イベント検出部４１では、解析端末が監視する装置の重要度が反映しつつ、イベントの発生を検出することが可能となる。
【実施例４】
【００８１】
本発明の実施例４を説明する。
【００８２】
上述した実施例３では、基幹サーバ等の多くのデータを扱う機器を監視する解析端末とそうでない解析端末とで、解析端末毎に重み付けを行い、それをイベントの検出に反映させた。しかしながら、監視するデータ機器数は同一でも、監視するデータ機器に対する変化点検出信頼度が異なる場合があるため、変化点検出信頼度に応じて、重み付けを行う例を説明する。
ここで、変化点検出信頼度とは、変化点検出機能が持つ、見逃しや誤報を考慮した値である。たとえば、実施例１で述べたパケット数の観測において、見逃しや重複カウントによりパケット計数を誤る場合がある。これらは、機器の処理能力に応じて決まる値である。そのため、機器の処理能力などに応じて、変化点検出信頼度を割り当てる。たとえば、一般家庭での民生機器を監視する解析端末の変化点検出信頼度を１としたときに、法人事業者での事業者用機器を監視する解析端末の変化点検出信頼度は５とする。また、本実施例で、全ての機器がウィルス対策を行っている機器を監視する解析端末の変化点検出信頼度を１とするとき、そうでない解析端末の変化点検出信頼度を１０とする、という実施例も可能である。
具体的な構成であるが、基本的な構成は実施例３と同様であり、重み付け部４３が変化点検出信頼度に基づいた重み付けを、解析端末からの通知に対して行う。重み付け部４３は、図９のようなテーブルを持ち、このテーブルに基づいて、解析端末からの通知に対して重み付けを行う。例えば、図９では、解析端末３１が一般家庭での民生機器を監視する解析端末であり、その変化点検出信頼度が１であり、解析端末３２が法人事業者の事業者用機器を監視する解析端末であり、その変化点検出信頼度は５である場合を示しており、重み付け部４３は、このテーブルに基づいて、解析端末３１からの通知に対して１倍の重み付けを行い、一方、解析端末３２からの通知に対しては、５倍の重み付けを行う。
【図面の簡単な説明】
【００８３】
【図１】図１は従来技術を説明する為の図である。
【図２】図２は本発明の実施の形態の概要を説明する為の図である。
【図３】図３は本発明の実施の形態の概要の動作フローチャートである。
【図４】図４は本実施の形態における概要の例を説明する為の図である。
【図５】図５は実施例１における解析端末３のブロック図である。
【図６】図６は実施例１における管理端末４のブロック図である。
【図７】図７は実施例２における管理端末４のブロック図である。
【図８】図８は解析端末からの通知に対して加える重み付けの値の例である。
【図９】図９は解析端末からの通知に対して加える重み付けの値の例である。
【符号の説明】
【００８４】
１    ネットワーク
２    ネットワーク機器
３    解析端末
４    管理端末
【図１】
2007179131.tif 000003
【図２】
2007179131.tif 000004
【図３】
2007179131.tif 000005
【図４】
2007179131.tif 000006
【図５】
2007179131.tif 000007
【図６】
2007179131.tif 000008
【図７】
2007179131.tif 000009
【図８】
2007179131.tif 000010
【図９】
2007179131.tif 000011