(57)【要約】【課題】過剰入力されたトラフィックの可視化機能により事象発生の要因を早期に発見し、事象発生時に収集された情報を解析することで過剰入力されたトラフィックを特定する。【解決手段】ネットワーク接続装置のフレーム監視部３０に搭載されたフレームバッファ部３３へ予め事象発生を引き起こすトラフィックを溜めておくことで、過剰入力されたトラフィックを検出しＬＥＤ２０の点灯色を変えて管理者に異常を知らせる。同時に装置が取り扱うトラフィック内容が保存されているフレームバッファ部３３は補助記憶装置５０にコピーされる。補助記憶装置５０に記録された情報を解析することで事象を発生させた入力インタフェースとトラフィックを特定する。【選択図】  図１
2007208578.tif 000002
【特許請求の範囲】
【請求項１】
トラフィックを入出力する複数のインタフェースと、
前記インタフェースに対応する複数の発光部と、
前記インタフェースから入力されたトラフィックをトラフィック内の宛先識別子により出力先のインタフェースを決定し、決定された出力先のインタフェースにトラフィックをスイッチするスイッチ部と、
前記インタフェースから入力されたトラフィックの量を測定する測定部と、
前記測定部によって測定した結果、インタフェースで入力されたトラフィックの量が所定量を超えた場合に、前記複数の発光部のうち当該インタフェースに対応する発光部を制御する発光制御部とを有することを特徴とするネットワーク接続装置。
【請求項２】
請求項１のネットワーク接続装置であって、
前記発光制御部は、前記発光部の発光色を変化させることを特徴とするネットワーク接続装置。
【請求項３】
請求項１のネットワーク接続装置であって、
前記測定部によって測定した結果、インタフェースで入力されたトラフィックの量が所定量を超えた場合に、当該インタフェースから入力されたトラフィックの情報を当該インタフェースに対応付けて記憶する記憶部を有することを特徴とするネットワーク接続装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークシステムにおける過剰なトラフィックを監視する技術に関する。特に、情報収集を容易化する技術に関するものである。
【背景技術】
【０００２】
近年、ＤｏＳ攻撃（サーバに対して大量のパケットを送りつけて、サーバが提供する機能を劣化、もしくは機能を停止させる攻撃手法）やワームなどによりネットワークへ過剰なトラフィックが流れることが問題となっている。
【０００３】
また、ネットワーク接続装置には多くのインタフェース（回線と接続するポート）があるため、回線（ケーブル）の接続間違いなどにより、レイヤ２などのループが形成されて、中継される大量のフレームのコピーによるストームが発生することもある。
【０００４】
このようにして過剰なトラフィックが流れた場合、その対策のため、そのトラフィックを中継するルータやスイッチなどのネットワーク接続装置において、情報を収集して分析したり、ネットワークを流れるトラフィックの内容を捕捉したりして、原因となる故障部位やトラフィックの発生源を特定して取り除いている。
【０００５】
特許文献１には、ルータなどの障害を検出して、メールによる通知を行うと共に、ランプを点灯する技術が開示されている。
【０００６】
【特許文献１】特開平１１−２４３４２４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、特許文献１をはじめとする従来のネットワーク接続装置では、情報収集が容易ではない。なぜなら、上述したようにネットワーク接続装置には多くのインタフェースがあるため、まずどのインタフェースに過剰なトラフィックが流れたかを特定することが困難である。特許文献１の技術では、装置にランプが点灯するが多くのインタフェースのうち、どれに障害が発生しているかを特定することの困難性が課題である。
【０００８】
また、ネットワーク接続装置に記録される情報を収集するには、その装置を操作する技術が必要であり、一般的な装置管理者（以下、管理者）にとっては難しい。
【０００９】
また、トラフィックの内容を補足するには、捕捉装置をネットワークシステムに組み込んだり、中継されるトラフィックのコピーを行うようネットワーク接続装置に設定したりしなければならず、ネットワークシステムの構成変更が必要となってしまう。
【課題を解決するための手段】
【００１０】
そこで、上記課題の解決するために、例えば、トラフィックの過剰入力を点灯色の変化で示すＬＥＤをインタフェースに対応して複数備え、事象発生中もしくは事象発生後に原因を特定するために、過剰入力されたトラフィックを装置内部の補助記憶装置に保存し、管理者に提供する機能を備える、ネットワーク接続装置を提供する。
【発明の効果】
【００１１】
上記手段によって、ストーム発生時の一次切り分けの作業においてどのインタフェース部で過剰なトラフィックを受信しているかを、装置の外部にあるＬＥＤを見ることで可能となり、過剰なトラフィックを発生させている箇所を容易に特定することが可能になる。
【００１２】
また、過剰なトラフィックを発生させたフレームは、装置内部の補助記憶装置部に保存されているため、事象発生中もしくは事象発生後に補助記憶装置部から情報を取り出すことで原因を特定することができるようになる。
【００１３】
上記以外の課題、手段、効果は、後述する実施例によって明らかにされる。
【発明を実施するための最良の形態】
【００１４】
本発明の実施に好適な実施形態の例を説明する。ただし、本発明は本実施形態に限定されない。
【００１５】
図１は、ネットワーク接続装置のブロック図を示す。図１に示すとおり、ネットワーク接続装置は、フレームの入出力をおこなうインタフェース部１０と個々のインタフェース部１０に対応したＬＥＤ２０とフレーム監視部３０、出力先のインタフェースに中継するスイッチ部４０、不揮発性の補助記憶装置５０、各種設定をおこなう管理者設定情報６０で構成される。またフレーム監視部３０は、入力されたフレームに対してのみ処理をおこない、スイッチ部４０を中継した出力されるフレームに対しては処理をおこなわない。スイッチ部４０は、入力されたフレームの情報を元に出力先のインタフェース部１０を決定するものを指す。
【００１６】
図２は、フレーム監視部３０の詳細を示す。図２で示すとおり、フレーム監視部３０は、対象のフレームか否かの判定をおこなうフレーム判定部３１、対象のフレームをコピーするフレーム複製部３２、コピーされたフレームの格納をおこなう先入れ先出しキューで構成されるフレームバッファ部３３、そのフレームバッファ部３３の廃棄処理をおこなうフレーム廃棄部３４および廃棄タイマー３５、制御をおこなうバッファ制御部３６および制御タイマー３７、コピーをおこなうバッファ複製部３８で構成される。またフレーム判別部３１は対象フレームの設定、フレーム廃棄部３４ではフレームバッファ部３３の廃棄するフレームの個数、廃棄タイマー３５はフレームバッファ部３３の廃棄間隔、制御タイマー３７はバッファ制御部３６へのバッファ複製の停止時間を個々に管理者設定情報６０によって任意に設定できる。
【００１７】
この仕組みによって、フレームバッファ部３３からは定期的に一定量のフレームが廃棄される。管理者の設定より超過したフレームが流れてきた場合、フレームバッファ部３３には、フレームが溜まっていくことになる。フレームバッファ部３３の蓄積限界量を超えるとフレームの格納が不可能となるため、フレームバッファ部３３はバッファ制御部３６へ異常を知らせてフレームを廃棄する。この動作によって管理者の設定よりも過剰なフレームがインタフェース部１０から入力されていると判断できる。
【００１８】
このとき過剰なフレームが入力されていることを装置外部に示すため、バッファ制御部３６はフレームが過剰入力されたインタフェース部１０に対応するＬＥＤ２０の点灯色を異常な状態であることを示す色に切替える。
【００１９】
同時に、フレームバッファ部３３に蓄積されたトラフィックの内容を補助記憶装置部５０にすべてコピーすることをバッファ複製部３８に要求する。バッファ複製部３８は補助記憶装置部５０にコピーをとる。
【００２０】
フレームバッファ部３３の蓄積限界量を超えた状態で、管理者設定情報６０に設定された廃棄の個数を超えるフレームが流れ続けると、補助記憶装置部５０へのコピー動作が連続して起こることになるため、制御タイマー３７で、この重複コピー動作を一定時間、抑止する。
【００２１】
動作例を、図３、図４、図５のフローチャートを用いて説明する。
【００２２】
インタフェース部１０にフレームが入力されるまで待機し、フレームが入力されるとフレーム判定部３１へ中継される（１０１）。フレーム判定部３１では管理者設定情報６０に設定された監視対象フレームか判定する（１０２）。結果、監視対象外フレームはフレーム複製部３２へ中継されてもコピーをおこなわずにスイッチ部４０へ中継される（１０３）。監視対象フレームはフレーム複製部３２へ中継されコピーを作成しフレームバッファ部３３へ、オリジナルのフレームはスイッチ部４０へ中継する（１０４）。フレームバッファ部３３は、中継されてきたフレームが格納可能か判定する（１０５）。フレームの格納が可能な場合は、フレームバッファ部３３に格納される（１０６）。バッファ制御部３６は、フレームバッファ部３３にフレームが格納された時点でＬＥＤ２０の点灯色を正常な状態であることを示す色に切替える（１０７）（１０８）。フレームの格納が不可能な場合、バッファ制御部３６は、過剰なフレームが入力されていることを装置外部に示すためＬＥＤ２０の点灯色を異常な状態であることを示す色に切替える（１０９）。補助記憶装置部５０へのコピーはコピーフラグ３９で決定される（１１０）。コピーフラグ３９にＴＲＵＥがセットされた状態ではバッファ制御部３６は、バッファ複製部３８を介して補助記憶装置５０へフレームが過剰入力されたインタフェース１０の情報を付加してフレームバッファ部３３に蓄積されたフレームをすべてコピーする（１１１）。バッファ制御部３６は、コピーフラグ３９にＦＡＬＳＥをセットして制御タイマー３７を起動することで連続コピー動作を抑止する（１１２）。制御タイマー３７にセットされる時間は管理者設定情報６０より決定される。コピーフラグ３９がＦＡＬＳＥにセットされた状態では、コピー動作が抑止されるため、フレームバッファ部３３から補助記憶装置部５０にコピーはおこなわない。
【００２３】
フレーム廃棄部３４は、フレームバッファ部３３にフレームの存在を確認し（２０１）、廃棄タイマー３５で設定された時間間隔で設定されたフレーム個数を廃棄する（２０２）。
【００２４】
管理者設定情報６０によって制御タイマー３７がセットされた時間が経過した後、バッファ制御部３６はコピーフラグ３９にＴＲＵＥをセットする（３０１）。
【００２５】
本実施形態により、トラフィック監視システムを別途導入せずとも、ネットワークシステムの利用者の使用状況を監視することが可能となる。管理者設定情報６０へインタフェース部１０毎に閾値を設定する。利用者およびグループ単位にインタフェース１０を割当て、監視の対象となるフレームを管理者設定情報６０に対象フレームとして設定する。フレーム監視部３０で対象フレームが閾値を越えた場合、対象フレームが入力されたインタフェース部１０に対応するＬＥＤ２０を異常な状態であることを示す色に変え管理者に知らせる。補助記憶装置部５０を解析することで、監視対象のフレームを送信した利用者およびグループを特定できる。本実施例は、ネットワークシステムで使用が禁止されている通信アプリケーションの監視に適用することができる。
【００２６】
＜設計ミス及び運用時トラブルによる過剰トラフィック＞
ネットワークシステムの設計ミスや、運用時にトラブルによって過剰なトラフィックを発生させる、レイヤ２ネットワークにおけるループ状態が形成されてしまうことがある。本実施形態により、トラフィック監視システムを別途導入することなく、上記の過剰なトラフィックの発生の検出と、レイヤ２ネットワークのループ状態が形成している場所の推定が可能になる。
【００２７】
以下に手順を示す。管理者は本装置にトラフィックを管理するフレーム監視部３０に対し管理者設定情報６０を通して通常時に入力されると想定されるトラフィックの量を設定する。通常時は、インタフェース部１０に入力されるトラフィックの量は上記で設定された値内に収まるため、対応するＬＥＤ２０は通常時の点灯色となる。しかし、レイヤ２ネットワークのループ状態が形成されると、ループ部分でトラフィックのコピーが無限に作成され、過剰なトラフィックとなってネットワークシステムに伝播する。
【００２８】
過剰入力されたトラフィックをインタフェース部１０で受けると、管理者が設定したトラフィックの量より超過するためＬＥＤ２０は異常な状態であることを示す点灯色に切替わる。そのため、管理者はＬＥＤ２０の点灯色を見ることにより、対応するインタフェース部１０に接続する回線の接続先を調べて、ループ状態が形成されている部分を追求することができる。
【００２９】
さらに、補助記憶装置部５０に記録されるトラフィックの内容から、どのホストが送信したトラフィックによって過剰なトラフィックが発生したかを特定することができる。この情報を元に、調査すべきネットワークを、トラフィックが発生したホスト周辺のネットワークに限定することができるようになる。
【００３０】
＜ネットワーク攻撃による過剰トラフィック＞
本実施形態の装置によって、悪意を持った攻撃者による、トラフィックを多量に送りつけてネットワークシステムを機能不全にするサービス拒否攻撃の検出が可能となる。
【００３１】
以下に手順を示す。管理者は本装置にトラフィックを管理するフレーム監視部３０に対し利用者設定情報６０を通して通常時に入力されると想定されるトラフィックの量を設定する。通常時は、インタフェース部１０に入力されるトラフィックの量は上記で設定された値内に収まるため、対応するＬＥＤ２０は通常時の点灯色となる。攻撃者によるサービス拒否攻撃が行われると、多量のトラフィックがネットワークシステムに流入する。
【００３２】
本装置が上記の過剰なトラフィックの入力をインタフェース部１０で受けると、管理者が設定したトラフィックの量より超過するためＬＥＤ２０は異常な状態であることを示す点灯色に切替わる。そのため、管理者はＬＥＤ２０の点灯色を見ることにより、以下のような緊急的な対策をとることができる。点灯色が異常を示す色をもつＬＥＤ２０に対応するインタフェース部１０に接続する回線を切断する。
【００３３】
また、管理者は以下のような恒常的な対策をとることができる。補助記憶装置部５０に記録されたトラフィックの情報から、攻撃者のホストアドレスを特定し、パケットフィルタリングなどの技術を用いて攻撃トラフィックをネットワークシステムから遮断する。
【００３４】
従来、事象発生時の情報収集には専門知識を有する必要があったが、本実施形態により装置自体が動的に情報収集をおこなうことが可能となる。
【図面の簡単な説明】
【００３５】
【図１】ネットワーク接続装置の内部例を示す
【図２】フレーム監視部３０を拡大した例を示す
【図３】ネットワーク接続装置の動作例のフローチャートを示す
【図４】フレーム廃棄部３４を周期的に起動する動作例のフローチャートを示す
【図５】制御タイマー３７が切れたら起動する動作例のフローチャートを示す
【符号の説明】
【００３６】
１０  インタフェース部
２０  ＬＥＤ
３０  フレーム監視部
３１  フレーム判定部
３２  フレーム複製部
３３  フレームバッファ部
３４  フレーム廃棄部
３５  廃棄タイマー
３６  バッファ制御部
３７  制御タイマー
３８  バッファ複製部
３９  コピーフラグ
４０  スイッチ部
５０  補助記憶装置部
６０  管理者設定情報
【図１】
2007208578.tif 000003
【図２】
2007208578.tif 000004
【図３】
2007208578.tif 000005
【図４】
2007208578.tif 000006
【図５】
2007208578.tif 000007