(57)【要約】  ネットワークメタデータを処理するための改良された方法およびシステムについて述べる。ネットワークメタデータは、ネットワークメタデータの特徴について、かつネットワークメタデータにより伝送される情報のコンシューマへのネットワークメタデータの提示についてポリシベースの決定を下す動的にインスタンス化される実行可能ソフトウェアモジュールによって処理されてもよい。ネットワークメタデータは、タイプ別に分類されてもよく、かつタイプ内の各サブクラスは、一意のフィンガープリント値による定義へマップされてもよい。フィンガープリント値は、ネットワークメタデータのサブクラスを関連するポリシおよび変換規則に照らしてマッチングするために使用されてもよい。ＮｅｔＦｌｏｗ  ｖ９等のテンプレートベースのネットワークメタデータの場合、本発明の一実施形態は、未知のテンプレートを探してネットワークトラフィックを絶えず監視し、テンプレート定義を捕捉し、かつカスタムポリシおよび変換規則が存在しないテンプレートについて管理者に知らせることができる。変換モジュールは、選択されたタイプおよび／またはサブクラスのネットワークメタデータを代替メタデータフォーマットへ効率的に変換することができる。【選択図】図１
2016508353.tif 000002
【特許請求の範囲】
【請求項１】
ソフトウェア定義ネットワークの管理を改良する方法であって、前記ネットワークは、ネットワークコントローラを含み、かつ１つまたは複数のネットワークプロトコルを用いてネットワークトラフィックを送信し、前記ネットワークは、そのうちの少なくとも幾つかが入力インタフェースを介してネットワークトラフィックを受信しかつ出力インタフェースを介してネットワークトラフィックを送信する複数のデバイスを含み、前記方法は、
データ処理システムにおける複数のソースからネットワークメタデータを少なくとも１つのデータフォーマットで受信するステップと、
そこから有益な情報を抽出するために、前記ネットワークメタデータが前記ネットワーク上で前記ネットワークメタデータを生成したネットワークデバイスと前記ネットワークメタデータを格納することができるデバイスとの間を移行する間に、前記ネットワークメタデータを処理するステップと、
前記メタデータの処理ステップの結果として、前記ネットワーク上で動作するアプリケーションに関連する情報を決定するステップと、
前記ネットワークコントローラが前記ソフトウェア定義ネットワークのより効率的な管理を実行できるようにするために、前記アプリケーション情報を用いるステップと、を含む、方法。
【請求項２】
前記メタデータの処理ステップの結果として、前記ネットワーク上に存在するユーザに関連する情報を決定するステップと、
前記ネットワークコントローラが前記ソフトウェア定義ネットワークのより効率的な管理を実行できるようにするために、前記ユーザ情報を用いるステップと、をさらに含む、請求項１に記載の方法。
【請求項３】
クラウドベース仮想コンピューティング環境の管理を改良する方法であって、前記環境は、クラウドのオペレーティングシステムおよびクラウド環境コントローラを含み、かつ１つまたは複数のネットワークプロトコルを用いてネットワークトラフィックを送信し、前記ネットワークは、そのうちの少なくとも幾つかが入力インタフェースを介してネットワークトラフィックを受信しかつ出力インタフェースを介してネットワークトラフィックを送信する複数のデバイスを含み、前記方法は
前記クラウドベースの仮想コンピューティング環境における複数のソースからネットワークメタデータを少なくとも１つのデータフォーマットで受信するステップと、
そこから有益な情報を抽出するために、前記ネットワークメタデータが前記環境において前記ネットワークメタデータを生成したネットワークデバイスと前記ネットワークメタデータを格納することができるデバイスとの間を移行する間に、前記ネットワークメタデータを処理するステップと、
前記メタデータの処理ステップの結果として、前記環境内で動作するアプリケーションに関連する情報を決定するステップと、
前記クラウド環境コントローラが前記クラウドベース仮想コンピューティング環境のより効率的な管理を実行できるようにするために、前記アプリケーション情報を用いるステップと、を含む、方法。
【請求項４】
前記メタデータの処理ステップの結果として、前記環境内に存在するユーザに関連する情報を決定するステップと、
前記クラウド環境コントローラが前記クラウドベース仮想コンピューティング環境のより効率的な管理を実行できるようにするために、前記ユーザ情報を用いるステップと、を含む、請求項３に記載の方法。
【請求項５】
デバイスが１つまたは複数のネットワークプロトコルを用いてネットワークトラフィックを送信するネットワークにおいて、識別された潜在的なセキュリティ関連のネットワークイベントに関するネットワークメタデータへのオンデマンドアクセスを提供する方法であって、前記ネットワークは、そのうちの少なくとも幾つかが入力インタフェースを介してネットワークトラフィックを受信しかつ出力インタフェースを介してネットワークトラフィックを送信する複数のデバイスを含み、前記方法は、
ネットワークメタデータを、設定されたネットワークメタデータの処理ポリシのコレクションに従ってストリーミング式に処理するステップと、
時間でインデックスされたネットワークメタデータ・セットを、高速アクセスストレージ機構内に、規定された期間に渡って保持するステップと、
潜在的なセキュリティ関連ネットワークイベントを識別するステップと、
前記時間でインデックスされたセットから、前記識別された潜在的なセキュリティ関連ネットワークイベントに時間的に関連するネットワークメタデータ・コレクションを提供するステップと、
前記識別された潜在的なセキュリティ関連ネットワークイベントをさらに特徴づけるために、前記ネットワークメタデータ・コレクションを前記識別された潜在的なセキュリティ関連ネットワークイベントと相関する分析を実行するステップとを含む、方法。
【請求項６】
前記高速アクセスストレージ機構への新しいネットワークメタデータの到着を容易にするために、選択されたネットワークメタデータを前記高速アクセスストレージ機構から除去するステップをさらに含む、請求項５に記載の方法。
【請求項７】
ネットワーク接続デバイス上のボットネットスレーブを検出する方法であって、
ネットワーク上のアウトバウンドトラフィックを分類するために、インラインクラスタ分析アルゴリズムを適用することであって、前記クラスタ分析アルゴリズムは、識別可能な地理的ロケーションにおけるネットワークホストへの通信頻度、およびアプリケーションタイプ、流量、１フロー当たりのパケット数、各フローにおける平均パケットサイズおよびトラフィックレート等の、但しこれらに限定されないデータ通信パターンを考慮することと、
前記適用するステップを基礎として、前記ネットワーク上の一般的なトラフィックパターンの一部ではない、前記ネットワーク上のアウトバウンドトラフィックを識別することと、
前記ネットワーク上に、前記ネットワーク上の一般的なトラフィックパターンの一部ではないアウトバウンドトラフィックが存在する場合に、警告を伝達することを含む、方法。
【請求項８】
ソフトウェア定義ネットワークの管理を改良するためのシステムであって、前記ネットワークは、ネットワークコントローラを含み、かつ１つまたは複数のネットワークプロトコルを用いてネットワークトラフィックを送信し、前記ネットワークは、そのうちの少なくとも幾つかが入力インタフェースを介してネットワークトラフィックを受信しかつ出力インタフェースを介してネットワークトラフィックを送信しかつ前記ネットワークトラフィックに関するネットワークメタデータを生成する複数のデバイスを含み、前記管理システムは、
ソフトウェア定義ネットワークにおける複数のソースからネットワークメタデータを少なくとも１つのデータフォーマットで受信するための、少なくとも１つの入力インタフェースと、
そこから有益な情報を抽出するために、前記ネットワークメタデータが前記ネットワーク上で前記ネットワークメタデータを生成したネットワークデバイスと前記ネットワークメタデータを格納することができるデバイスとの間を移行する間に、前記ネットワークメタデータを処理するための処理エンジンとを備え、
前記処理エンジンは、前記ネットワーク上で動作するアプリケーションに関する情報を決定し、かつ前記アプリケーション情報を用いて、前記ネットワークコントローラが前記ソフトウェア定義ネットワークのより効率的な管理を実行できるようにする、システム。
【請求項９】
前記処理エンジンは、前記メタデータ処理ステップの結果として、前記ネットワーク上に存在するユーザに関する情報を決定し、かつ前記ユーザ情報を用いて、前記ネットワークコントローラが前記ソフトウェア定義ネットワークのより効率的な管理を実行できるようにする、請求項８に記載の管理システム。
【請求項１０】
クラウドベース仮想コンピューティング環境の管理を改良するためのシステムであって、前記環境は、クラウドのオペレーティングシステム、および１つまたは複数のネットワークプロトコルを用いてネットワークトラフィックを送信するクラウド環境コントローラを含み、前記ネットワークは、そのうちの少なくとも幾つかが入力インタフェースを介してネットワークトラフィックを受信しかつ出力インタフェースを介してネットワークトラフィックを送信する複数のデバイスを含み、前記管理システムは、さらに、
前記クラウドベース仮想コンピューティング環境における複数のソースからネットワークメタデータを少なくとも１つのデータフォーマットで受信するためのインタフェースと、
そこから有益な情報を抽出するために、前記ネットワークメタデータが前記環境内で前記ネットワークメタデータを生成したネットワークデバイスと前記ネットワークメタデータを格納することができるデバイスとの間を移行する間に、前記ネットワークメタデータを処理するための処理エンジンとを備え、
前記処理エンジンは、前記メタデータ処理ステップの結果として、前記環境内で動作するアプリケーションに関する情報を決定し、かつ前記アプリケーション情報を用いて、前記クラウド環境コントローラが前記クラウドベース仮想コンピューティング環境のより効率的な管理を実行できるようにする、システム。
【請求項１１】
前記処理エンジンは、前記メタデータ処理ステップの結果として、前記環境内に存在するユーザに関する情報を決定し、かつ前記ユーザ情報を用いて、前記クラウド環境コントローラが前記クラウドベース仮想コンピューティング環境のより効率的な管理を実行できるようにする、請求項１０に記載の管理システム。
【請求項１２】
デバイスが１つまたは複数のネットワークプロトコルを用いてネットワークトラフィックを送信するネットワークにおいて、識別された潜在的なセキュリティ関連のネットワークイベントに関するネットワークメタデータへのオンデマンドアクセスを提供するためのシステムであって、前記ネットワークは、そのうちの少なくとも幾つかが入力インタフェースを介してネットワークトラフィックを受信しかつ出力インタフェースを介してネットワークトラフィックを送信する複数のデバイスを含み、前記システムは、
ネットワークメタデータを、設定されたネットワークメタデータの処理ポリシのコレクションに従ってストリーミング式に処理するための処理エンジンと、
時間でインデックスされたネットワークメタデータ・セットを規定された期間に渡って保持するための高速アクセスストレージ機構と、を備え、
前記処理エンジンは、潜在的なセキュリティ関連のネットワークイベントを識別し、かつ前記時間でインデックスされたセットから、前記識別された潜在的なセキュリティ関連のネットワークイベントに時間的に関連するネットワークメタデータ・コレクションを提供し、かつ、
前記識別された潜在的なセキュリティ関連のネットワークイベントをさらに特徴づけるために、前記ネットワークメタデータ・コレクションを前記識別された潜在的なセキュリティ関連のネットワークイベントと相関する分析を実行するための分析エンジンを備える、システム。
【請求項１３】
前記高速アクセスストレージ機構への新しいネットワークメタデータの到着を容易にするために、選択されたネットワークメタデータを前記高速アクセスストレージ機構から除去するためのメモリ管理エンジンをさらに備える、請求項１２に記載のシステム。
【請求項１４】
ネットワーク接続デバイス上のボットネットスレーブを検出するためのシステムであって、
ネットワーク上のアウトバウンドトラフィックを分類するために、インラインクラスタ分析アルゴリズムを適用するための処理エンジンであって、前記クラスタ分析アルゴリズムは、識別可能な地理的ロケーションにおけるネットワークホストへの通信頻度、およびアプリケーションタイプ、流量、１フロー当たりのパケット数、各フローにおける平均パケットサイズおよびトラフィックレート等の、但しこれらに限定されないデータ通信パターンを考慮する、処理エンジンと、
前記クラスタ分析アルゴリズムの結果を基礎として、前記ネットワーク上の一般的なトラフィックパターンの一部ではない、前記ネットワーク上のアウトバウンドトラフィックを識別する分析エンジンと、
前記ネットワーク上に、前記ネットワーク上の一般的なトラフィックパターンの一部ではないアウトバウンドトラフィックが存在する場合に、警告を伝達するための警告発生エンジンと、を備える、システム。
【発明の詳細な説明】
【技術分野】
【０００１】
概して、本発明は、ネットワークの監視およびイベント管理に関する。より具体的には、本発明は、ネットワークの監視アクティビティを介して入手されるネットワークメタデータの処理、およびこれに続くメタデータの処理に関し、これにより、メタデータのコンシューマには有益な情報が効率よくタイムリーに伝わることになる。
【背景技術】
【０００２】
ネットワーク監視は、企業およびサービスプロバイダによってしばしば使用される極めて重要な情報技術（ＩＴ）であって、パフォーマンス、不正行為をするホスト、不審なユーザアクティビティ、他関連の問題点について、内部ネットワーク上で発生するアクティビティを見張ることを含む。ネットワーク監視は、様々なネットワークデバイスにより提供される情報によって可能にされる。この情報はこれまで、概してネットワークメタデータと称され、即ち、ネットワーク上で伝送される他の情報を補足しかつ相補するものであるネットワーク上のアクティビティを記述する情報クラスを指している。
【０００３】
Ｓｙｓｌｏｇは、ネットワーク監視に一般的に使用されるネットワークメタデータの一タイプである。Ｓｙｓｌｏｇは、プログラムメッセージをログするための規格であって、他では管理者に問題またはパフォーマンスを知らせる手段を伝達することができないデバイスを提供する。Ｓｙｓｌｏｇは、コンピュータシステムの管理およびセキュリティ監査、ならびに一般化された情報、分析およびデバッグメッセージ用に使用されることが多い。これは、複数のプラットフォームに渡る（プリンタおよびルータのような）広範なデバイスおよび受信機によってサポートされている。これに起因して、Ｓｙｓｌｏｇは、多くの異なるタイプのシステムからのログデータを中央リポジトリに統合するために使用されることが可能である。
【０００４】
さらに最近では、様々な売り手によりＮｅｔＦｌｏｗ、ｊＦｌｏｗ、ｓＦｌｏｗ、他と称される別のタイプのネットワークメタデータも、規格ネットワークトラフィックの一部として導入されている（以後、概して「ＮｅｔＦｌｏｗ」と称する）。ＮｅｔＦｌｏｗは、トラフィック監視用の業界標準となっている、ＩＰトラフィック情報を収集するためのネットワークプロトコルである。ＮｅｔＦｌｏｗは、ルータ、スイッチ、ファイアウォール、侵入検知システム（ＩＤＳ）、侵入防止システム（ＩＰＳ）、ネットワークアドレス変換（ＮＡＴ）エンティティ、他多数等の様々なネットワークデバイスによって生成されることが可能である。しかしながら、最近まで、ＮｅｔＦｌｏｗのネットワークメタデータは、専ら、ネットワークトポロジーの発見、ネットワークスループットのボトルネックのロケ−ティング、サービス水準合意（ＳＬＡ）の検証、他等の事後のネットワーク監督を目的として使用されていた。ＮｅｔＦｌｏｗメタデータのこのような限定的使用は、概して、ネットワークデバイスにより生成される多量の情報および高い送出量、情報ソースの多様さ、および追加的な情報ストリームを既存のイベントアナライザへ統合する全体的な複雑さに起因する可能性がある。より具体的には、ＮｅｔＦｌｏｗメタデータの生成者は、典型的には、コンシューマがリアルタイム設定で分析しかつ使用し得る量より多い情報を生成している。例えば、ネットワーク上の大規模スイッチまたはルータへの単一媒体は、１秒当たり４００，０００個のＮｅｔＦｌｏｗレコードを生成する場合もある。
【０００５】
今日のｓｙｓｌｏｇコレクタ、ｓｙｓｌｏｇアナライザ、セキュリティ情報管理（ＳＩＭ）システム、セキュリティイベント管理（ＳＥＭ）システム、セキュリティ情報およびイベント管理（ＳＩＥＭ）システム、他（以後、纏めて「ＳＩＥＭシステム」と称する）は、ＮｅｔＦｌｏｗの受信分析ができないか、ＮｅｔＦｌｏｗパケットに含まれる初歩的な情報の処理に限定されるか、ＮｅｔＦｌｏｗパケットを、このようなパケットが典型的に生成される速度より遙かに低い速度で処理するか、の何れかである。
【０００６】
ＮｅｔＦｌｏｗ  ｖ９（ＲＦＣ３９５４）およびＩＰＦＩＸ（ＲＦＣ５１０１および関連のＩＥＴＦ  ＲＦＣ）等のロバストなネットワーク監視プロトコルの出現は、ネットワークセキュリティおよびインテリジェントネットワーク管理の領域においてネットワークメタデータを用いる機会を大幅に拡大している。同時に、先に同定した制約に起因して、今日のＳＩＥＭシステムは、概して、単に観察されたバイトおよびパケット計数を報告するだけで、ネットワーク監視情報を利用することはできない。
【発明の概要】
【発明が解決しようとする課題】
【０００７】
ネットワークマネージャおよびネットワークセキュリティの専門家は、業界でしばしば「ビッグデータ」と称される問題に絶えず直面し、かつ闘っている。ビッグデータ問題により生じる問題点の中には、異なるフォーマットおよび構造で存在することが多い膨大な量の機械生成データを分析かつ記憶できないことが含まれる。一般的に遭遇される課題は、下記のように要約することができる。
【０００８】
１.リアルタイムで分析するにはデータが多すぎて、ネットワーク状態に関する時宜を得た識見を得ることができない。
【０００９】
２．データがネットワーク上の異なるデバイスタイプから異なるフォーマットで到来し、異なるデバイスタイプからのデータの補正を困難かつ遅速にする。
【００１０】
３．データが多すぎて、（例えば、後の分析用および／またはデータ保持要件との整合用に）記憶することができない。
【００１１】
本発明は、大量のメタデータをリアルタイムで分析し、大量のメタデータを、単一の監視システム内部の他のデータによる即時的補正を可能にする共通フォーマットへ変換する能力を提供し、かつパケット検証、フィルタリング、集約および重複排除等のリアルタイムデータ低減技術を介して着信データ量を大幅に低減することにより、ビッグデータに関連づけられる先に同定した全ての課題に対処することができるシステムおよび方法を提供する。
【００１２】
本発明の実施形態は、着信するネットワークメタデータ・パケットの有効性をチェックして、不正な形式の、または不適切なメッセージを廃棄することができる。また実施形態は、着信するネットワークメタデータのパケットを、その情報コンテンツの関連態様を識別するためにリアルタイムで調べかつフィルタリングし、かつ着信するネットワークメタデータの異なるストリームを、本発明の処理エンジン内で異なった処理をするために分割またはルーティングすることもできる。このような異なる処理には、ネットワークマネージャにより構成されかつ着信メッセージの早期調査の間に決定されることが可能な基準を基礎として特定のメッセージまたは選択されたメッセージストリームをドロップすることによって、出力メタデータのトラフィックを低減する機会が含まれる。これにより、ネットワークマネージャは、ネットワーク分析を、特定のネットワーク状態に応じて持続ベースまたは一時的なものの何れかで集中させることができる。一例として、ネットワークマネージャは、侵入イベントの可能性を調査するために、ネットワーク上のエッジデバイスとなるべく限定して生成されるシステム内部のネットワークメタデータに注目するように選ぶことができる。
【００１３】
本発明の実施形態は、さらに、着信するネットワークメタデータ・パケットに含まれる情報コンテンツを集め、かつ大量の関連パケットを、同じ情報を捕捉するが、生成するダウンストリームディスプレイ、分析および記憶要件がオリジナルのメタデータフローより遙かに少ない１つのパケット、または遙かに少数の他のパケットと置換することができる。
【００１４】
本発明の実施形態は、さらに、ネットワークデバイスにより生成される正常なメタデータフローのコンテンツの重複を排除することができる。着信トラフィックは、典型的には、ネットワーク内で一連のネットワークデバイスを介してその宛先デバイスへとルーティングされることから、また、各ネットワークデバイスは、典型的には、各ネットワークデバイスを横断するフロー毎にネットワークメタデータを生成することから、大量の余分なメタデータが生成され、業界のビッグデータ問題を引き起こす。
【００１５】
本発明は、例えばネットワークまたは機械生成メタデータである、様々なデータフォーマットの任意の構成データ（以後、ネットワークメタデータ）を受信し、ネットワークメタデータを効率的に処理し、かつ受信されるネットワークメタデータおよび／またはオリジナルのネットワークメタデータから導出されるネットワークメタデータを様々なデータフォーマットで転送することができるシステムおよび方法に関する。ネットワークメタデータは、ルータ、スイッチ、ファイアウォール、侵入検知システム（ＩＤＳ）、侵入防止システム（ＩＰＳ）、ネットワークアドレス変換（ＮＡＴ）エンティティ、他多数等の様々なネットワークデバイスによって生成される可能性もある。ネットワークメタデータの情報は、ＮｅｔＦｌｏｗおよびその変形（例えば、ＪＦｌｏｗ、ｃｆｌｏｗｄ、ｓＦｌｏｗ、ＩＰＦＩＸ）、ＳＮＭＰ、ＳＭＴＰ、ｓｙｓｌｏｇ、他を含む、但しこれらに限定されない幾つかのフォーマットで生成される。本明細書に記述する方法およびシステムは、ネットワークメタデータの情報を、ＮｅｔＦｌｏｗおよびその変形（ｊＦｌｏｗ、ｃｆｌｏｗｄ、ｓＦｌｏｗ、ＩＰＦＩＸ）、ＳＮＭＰ、ＳＭＴＰ、ｓｙｓｌｏｇ、ＯｐｅｎＦｌｏｗ、他を含む、但しこれらに限定されない幾つかのフォーマットで出力することができる。さらに、本発明の実施形態は、選択されたタイプのネットワークメタデータ情報を、リアルタイムまたはリアルタイムに近いネットワークサービスの提供を可能にするに足る速度で出力することができる。その結果、本システムは、Ｎ（Ｎ≧１）名のネットワークメタデータ生成者およびＭ（Ｍ≧１）名のオリジナルまたは導出されたネットワークメタデータのコンシューマによる配備において、有意義なサービスを提供することができる。本発明の特定の一実施形態が、ＲＦＣ５９８２に反映されているようなＩＰＦＩＸメディエータの定義に整合することは認識され得る。
【００１６】
本発明の一実施形態は、受信されるネットワークメタデータの性質、特徴および／またはタイプ（「クラス」）を識別し、かつ受信される情報をカテゴリまたはクラスに編成するための方法およびシステムを提供する。これは、テンプレートを基礎とし、かつコンテンツおよび目的が広範であることが可能なＮｅｔＦｌｏｗ  ｖ９およびこれに類似するメッセージに関連して使用される場合に特に有益であり得る。一旦カテゴリまたはクラスに編成されると、個々のクラス・メンバ・インスタンスは、さらに、ゼロの、１つの、または複数のクラス指定処理規則に従って、またはデフォルトの処理規則（「ポリシ」）に従って処理されることが可能である。本発明のこの態様は、限りなく広範なタイプのネットワークメタデータをきめ細かく処理することができる。
【００１７】
着信ネットワークメタデータのクラスをオペレーションの早期段階で識別することにより、この実施形態は、ネットワークメタデータの処理を効率的に編成することができ、かつ適切な状況において、システム管理者にとっての限定的な興味の対象であるネットワークメタデータ部分をフィルタリングし、統合しかつ／または排除して必要な処理量を低減することができ、これにより、システムのリアルタイムまたはリアルタイムに近いオペレーションに貢献し、かつ潜在的に、ネットワークメタデータのコレクタ側の記憶要件を低減する。例えば、ある特定のネットワークトラフィック本体がネットワーク内の複数のデバイスをトラバースするにつれて、冗長な情報を含むトラバースされた各デバイスからネットワークメタデータが生成されてもよい。ＳＩＥＭシステム内部に画定される監視の焦点またはエリアに依存して、ＳＩＥＭシステムへ転送されるメタデータフローから、冗長な情報を含むメタデータレコードをフィルタリングし、集め、統合し、または排除することが望ましい場合がある。ＳＩＥＭシステムへ方向づけられる所定のクラスのネットワークメタデータから冗長性を除去し、同時にコレクタへ方向づけられるフローのメタデータを全て保全するポリシの導入が可能である。
【００１８】
したがって、本発明の実施形態により実装されるポリシが、ＳＩＥＭシステムの焦点であるポリシまたはエリア、および／またはネットワーク内部で動作するメタデータコレクタをサポートしかつ／またはこれと調和されるように定義可能であることは認識されるであろう。
【００１９】
ポリシは、ネットワーク管理およびセキュリティを目的として、セキュリティ攻撃を示す可能性もある重要な、または珍しいネットワークイベントを検出し、ネットワーク上のトラフィックスパイクを報告し、ネットワークへの攻撃を検出し、ネットワークリソースのより良い使用法を育み、かつ／またはネットワーク上で実行されるアプリケーションを識別するために導入されることが可能である。ポリシは、汎用である可能性も、時間ベースである可能性もあり、かつネットワークを通過する特定クラスのネットワークメタデータ、またはネットワークメタデータのサブセットに適用されることが可能である。本発明の一実施形態は、システムのスループットおよびパフォーマンスを向上させるために、複数のポリシモジュールと共働する複数のワーキングスレッドの準備を企図している。
【００２０】
ワーキングスレッドは、システムのパフォーマンスおよびスループットをさらに拡大するために特定のクラスまたはサブクラスのネットワークメタデータと共用するように特化または調整されたものを導入することができる。このような特化されたワーキングスレッドおよびポリシモジュールは、システムのパフォーマンスおよびスループットを拡大するために、ネットワークメタデータ・ストリームの異なる部分に処理オペレーションを並行して実行することができる。また、システムのパフォーマンスおよびスループットをさらに拡大するために、かなりの量の特定のクラスまたはサブクラスのネットワークメタデータに応答して、特化されたワーキングスレッドおよび／またはポリシモジュールの複数のインスタンスを、並行動作するようにインスタンス化することもできる。
【００２１】
例えば、本発明の一実施形態は、内部ネットワーク上に存在する外部制御のネットワークホスト（「ボットネットメンバ」）を検出する固有のケイパビリティを提供する。セントラルコントローラ（「ボットネットマスタ」）によって操作される感染したネットワークホストについて考察されたい。典型的には、ネットワークホスト上の悪意のあるコンテンツを検出するには、そのホスト上に専用のプラグインモジュールをインストールする必要がある。この方法は、ホストベースの手段では検出できない悪意のある高度なエージェント（「ルートキット」）に対して機能しない。本発明の一実施形態は、内部ネットワーク上でのボットネットマスタとボットネットメンバとの間の通信行動を識別してセキュリティシステムに通知することができるポリシを導入する。
【００２２】
ネットワークメタデータ情報の使用に起因して、本発明により提供される知能は、ネットワークトラフィックに曝される類似目的のデバイスにより提供される知能より高度な信頼性を達成する。例えば、悪意のあるトラフィックに曝されるインライン侵入検知システム（ＩＤＳ）または侵入検知システム（ＩＰＳ）は、サービス拒絶（「ＤｏＳ」）攻撃を受ける、またはこれを被る可能性があるが、本発明は、このような攻撃者がアクセスできない内部ネットワーク上に配備されることが可能である。
【００２３】
さらに、本発明は、ネットワークメタデータをネットワークメタデータの難読化を必要とする配備に適するものにする、ネットワークメタデータの変換を有効化する。
【００２４】
本発明の別の実施形態によれば、本方法およびシステムは、ストリーミング式に実装されてもよく、即ち、入力されるネットワークメタデータを着信されるままに（「リアルタイムで、またはほぼリアルタイムで」）、ネットワークメタデータを持続的に記憶する必要なしに処理するように実装されてもよい。本発明のこの実施形態は、本システムおよび方法を限定されたメモリおよび記憶容量のコンピュータ上へ配備できるようにし、これにより、本実施形態は、クラウドコンピューティングにおける配備に特に適するものとなる。
【００２５】
１つまたは複数のポリシに従ったクラス・メンバ・インスタンスの処理の後、本発明の一実施形態は、ポリシのアプリケーション結果を、変換されたネットワークメタデータまたはオリジナルのネットワークメタデータの受信者によるさらなる処理に適するゼロ、１つまたは複数の表現に変換するための効率的な方法（「コンバータ」）を提供してもよい。その結果、本明細書に開示するシステムおよび方法は、その出力がｓｙｓｌｏｇメタデータと共に用いるべく適応されたＳＩＥＭシステム等の既存の多様なコンポーネントへと方向づけられ得る既存環境における配備に極めてよく適する。
【００２６】
本発明の一実施形態は、１つまたは複数の特定クラスのネットワークメタデータおよび／または出力フォーマット用にカスタマイズされ得る、よって、ネットワーク上でのリアルタイムまたはほぼリアルタイムのサービスをよりよく有効化すべくシステムのスループットを上げる複数のコンバータを提供する。また、システムのパフォーマンスおよびスループットをさらに拡大するために、かなりの量の特定のクラスまたはサブクラスのネットワークメタデータに応じて、カスタム化されたワーキングスレッドおよび／または変換モジュールの複数のインスタンスを、並行動作するようにインスタンス化することもできる。
【００２７】
さらに、本発明の一実施形態は、メッセージ認証コードを添付することによって、変換されたネットワークメタデータの完全性を保証することができる。本発明のこの実施形態は、洗練されたネットワークメタデータ受信者による、受信した情報の信憑性の検証を有効化する。
【００２８】
本発明のさらに別の実施形態は、本システムおよび方法を既存のネットワークエコシステムが透けて見えるように配備する能力である。この実施形態では、既存のネットワークコンポーネントの構成を変更する必要がない。
【００２９】
本発明の別の実施形態は、ネットワークメタデータの処理および変換規則を視覚的に、またはテキスト用語で、もしくはこれらの組み合わせの何れかで記述するための方法および装置を提供する。ポリシの記述が完了しかつ矛盾のないことが検証されれば、規則を遵守するクラスメンバに適用可能なポリシおよびコンバータは、１つまたは複数のネットワークメタデータ処理および変換規則の定義から同時に導出される１つまたは複数の実行可能モジュールとしてインスタンス化されてもよい。その結果、複数のモジュールに渡る体系的なポリシ一貫性が達成される。さらに、このポリシおよび変換規則を実装するモジュールのバイナリ性は、システムが入力されるネットワークメタデータを、同等の処理規則を解釈する環境における処理速度を遙かに超える速度で処理することを可能にする。
【００３０】
本発明をより明白に確認できるように、以下、添付の図面を参照して、幾つかの実施形態を例示として説明する。
【図面の簡単な説明】
【００３１】
【図１】図１は、本発明の一実施形態による、分析されることが可能なメタデータを生成する様々なネットワークデバイスを含むソフトウェア定義のネットワークシステムを示す簡略図である。
【図２】図２は、メタデータを生成する様々なネットワークデバイスと、このようなメタデータを分析しながらネットワークを管理するための本発明の一実施形態によるシステムとを含むソフトウェア定義のネットワークシステムを示す簡略図である。
【図３】図３は、本発明の一実施形態による、分析されることが可能なメタデータを生成する様々なネットワークデバイスを含むクラウドベースのネットワークシステムを示す簡略図である。
【図４】図４は、本発明の一実施形態による、メタデータを分析しながらネットワークを自動化するために共働する様々な処理モジュールを含むクラウドベースのネットワークシステムを示す簡略図である。
【図５】図５は、本発明の一実施形態による、共働してメタデータを分析するソフトウェア定義のネットワークおよびクラウドベースのコンピューティング環境を示す、幾分か単純化した略図である。
【図６】図６は、オンデマンドのＮｅｔＦｌｏｗ情報を提供するために短期ストレージが組み込まれている、本発明の一実施形態を示す簡略図である。
【図７】図７は、オンデマンドのＮｅｔＦｌｏｗ情報を提供するために短期ストレージが組み込まれている、本発明の別の一実施形態を示す別の簡略図である。
【図８】図８は、地理−空間分析を用いてボットネットが検出され得る本発明の一実施形態を示す簡略図である。
【発明を実施するための形態】
【００３２】
概して、本発明は、ネットワークの監視およびイベント管理に関する。より具体的には、本発明は、ネットワークの監視アクティビティおよびこれに続くメタデータの処理の結果として入手されるネットワークメタデータの処理に関し、これにより、イベント管理エンティティには有益な情報がタイムリーに伝わることになる。
【００３３】
以下の説明では、単に例示を目的として、本発明を、ネットワークメタデータ処理のコンテキストにおいて開示する。しかしながら、本発明が広範なアプリケーションおよび用途に適し、よって本発明の所定の実施形態がネットワークメタデータ処理以外のコンテキストでも適用可能であることは認識されるであろう。例えば、ＯｐｅｎＦｌｏｗ対応環境において、本システムは、ネットワークからＮｅｔＦｌｏｗ情報を受信し、かつＯｐｅｎＦｌｏｗコントローラへ命令を出力してもよい。
【００３４】
本発明の一実施形態において、本方法およびシステムは、ＮｅｔＦｌｏｗ−Ｓｙｓｌｏｇコンバータ（「ＮＦ２ＳＬ」）を用いて実装されてもよい。このコンバータは、ＮｅｔＦｌｏｗバージョン１からバージョン８、ＮｅｔＦｌｏｗ  ｖ９、ｊＦｌｏｗ、ｓｆｌｏｗｄ、ｓＦｌｏｗ、ＮｅｔＳｔｒｅａｍ、ＩＰＦＩＸおよびこれらに類似する（「ＮｅｔＦｌｏｗ」）生成者を、ｓｙｓｌｏｇを処理することができる任意のＳＩＥＭシステムに統合できるようにするソフトウェアプログラムである。統合は、ネットワーク上でＮｅｔＦｌｏｗ生成者により生成されるネットワークメタデータをネットワーク監視システムの共通語−ｓｙｓｌｏｇに変換することによって達成される。ＮｅｔＦｌｏｗ情報の対応するｓｙｓｌｏｇ情報へのマッピングは、ＮＦ２ＳＬ管理者により確立されるポリシ、規則および優先順位に従って実行されてもよい。
【００３５】
ソフトウェア定義ネットワーキングのためのＮＦＩ
【００３６】
ソフトウェア定義ネットワーキング（Software-Defined Network：ＳＤＮ）は、ネットワーキング制御（パケット転送に関する意志決定）とネットワークトポロジー（ネットワークデバイスの物理的連結性）とを分離するネットワーキングアーキテクチャの一概念である。ＳＤＮアーキテクチャの典型的な一実装は、意志決定プロセスをサーバ等の別個のコンピューティングデバイスに課し、かつパケット転送を、スイッチおよびルータ等の伝統的なネットワークデバイスに委ねる。
【００３７】
図１を参照すると、ある例示的な実施形態において、制御プレーンとデータ転送プレーンとの間の通信は、ＯｐｅｎＦｌｏｗプロトコル１００によって実行される。このプロトコルは、ＯｐｅｎＦｌｏｗコントローラ１０１と呼ばれる中央デバイスが、トラフィックを、そのドメイン内の１つまたは複数のＯｐｅｎＦｌｏｗ準拠ネットワークデバイス１０２を介して方向づけることができるようにする。概して、ＯｐｅｎＦｌｏｗコントローラ１０１は、通信経路を、最少数のホップ、リンク帯域幅または待ち時間等の固有の特徴を基礎として設定してもよい。
【００３８】
ＯｐｅｎＦｌｏｗコントローラ１０１は、通信経路を、ネットワークデバイスを横断する各パケットのマッチングの対象であるパケットフィールドのコレクション（集合）によってフローが表されるフローテーブルの抽出を用いて設定する。制御下のネットワークデバイス１０２が、それに対する転送命令を持っていないパケットに遭遇すると、ネットワークデバイス１０２は、調査、および類似パケットに関する将来的な取扱い方法に関する指示を得るために、このパケットをＯｐｅｎＦｌｏｗコントローラ１０１へ転送する。
【００３９】
ＯｐｅｎＦｌｏｗコントローラ１０１は、その決定を、ＯＳＩレイヤ２（ローカルネットワーク接続）およびＯＳＩレイヤ３（ルーティング）のネットワークレベル情報を基礎として行う。ＯｐｅｎＦｌｏｗコントローラ１０１が利用できる情報の範囲は、アプリケーションに関する情報およびネットワークユーザの識別を利用してネットワークインフラストラクチャの容量の大部分をより効率的なものにすることを不可能にする。
【００４０】
ＯｐｅｎＦｌｏｗコントローラ１０１のこの欠陥は、システム管理者により示されるポリシまたはポリシセットに従ってＯＳＩレイヤ７情報（アプリケーション）およびユーザ識別等の高位レベル情報をダイジェストし、かつＯｐｅｎＦｌｏｗコントローラ１０１に、このような高位レベル情報を考慮して低位レベルのネットワークパケット転送決定を行なう方法を指図する追加コンポーネントを導入することによって、軽減される可能性もある。
【００４１】
図２を参照すると、ある例示的な実施形態において、ＮＦＩサーバ１１０は、エージェントを介して行動することにより、ＯｐｅｎＦｌｏｗコントローラ１０１がネットワークの利用方法に関してよりインテリジェントな決定を下すことができるようにするＯＳＩレベル７アプリケーション−レベルデータを含む、但しこれに限定されない高位レベルの情報を提供する。
【００４２】
図２をさらに参照すると、ＮＦＩサーバ１１０は、ＯｐｅｎＦｌｏｗ１００準拠のネットワークデバイス１０２によって生成されるＮｅｔＦｌｏｗ情報１１１を処理し、かつ統合されたフローデータを、ＯｐｅｎＦｌｏｗコントローラ１０１と通信可能なアプリケーションとして実装されるＮＦＩ  ＯｐｅｎＦｌｏｗエージェント１１３へ伝達する。ある例示的な実施形態において、ＮＦＩ  ＯｐｅｎＦｌｏｗエージェント１１３とＯｐｅｎＦｌｏｗコントローラ１０１との間の通信は、ＮＦＩ  ＯｐｅｎＦｌｏｗエージェント１１３とＯｐｅｎＦｌｏｗコントローラ１０１との間の双方向通信をサポートするＯｐｅｎＦｌｏｗ「ノースバウンド」ＡＰＩ１１４によって実装されてもよい。
【００４３】
ＮＦＩ  ＯｐｅｎＦｌｏｗエージェント１１３が、複数のＯｐｅｎＦｌｏｗコントローラ１０１と通信してもよく、かつ複数のＮＦＩサーバ１１０からフロー関連情報を受信してもよいことは認識される。また、ＮＦＩサーバ１１０が、フロー関連情報を複数のＮＦＩ  ＯｐｅｎＦｌｏｗエージェント１１３へ送信してもよいことも認識される。
【００４４】
ＮＦＩ  ＯｐｅｎＦｌｏｗエージェント１１３は、ＮＦＩサーバ１１０から、保護された通信チャネル１１２を介して、ＯＳＩレベル７のアプリケーション情報およびユーザ識別情報を含む、但しこれらに限定されないフローに関する情報を受信する。
【００４５】
ＮＦＩサーバ１１０は、ＯＳＩレベル７アプリケーション情報をネットワークデバイス１０２により生成されるＮｅｔＦｌｏｗメッセージにおいて受信し、かつＮｅｔＦｌｏｗセキュリティイベントログ（ＮＳＥＬ）等のユーザ識別を認識したＮｅｔＦｌｏｗメッセージから、またはＣｉｓｃｏセキュアグループタグ（ＳＧＴ）等のＯＳＩレイヤ２拡張において、ユーザ情報を導出する。
【００４６】
ＯＳＩレベル７アプリケーション情報は、アプリケーション識別子が添付されるＰＡＮＡ−Ｌ７等の分類、または他の類似のアプリケーション分類によって供給されてもよい。通信チャネル１１２は、ＳＳＬ／ＴＬＳまたはＤＴＬＳプロトコル等の標準的な暗号手段によって保護されてもよい。
【００４７】
ある例示的な実施形態において、ＮＦＩ  ＯｐｅｎＦｌｏｗエージェント１１３は、ＯＳＩレイヤ２（ローカルネットワーク接続）およびＯＳＩレイヤ３（ルーティング）に関する情報を、ＯｐｅｎＦｌｏｗコントローラ１０１から、ＯｐｅｎＦｌｏｗ「ノースバウンド」ＡＰＩ１１４によって検索することができる。ＮＦＩ  ＯｐｅｎＦｌｏｗエージェント１１３が、ＯＳＩレイヤ２（ローカルネットワーク接続）およびＯＳＩレイヤ３（ルーティング）の情報を、ＮＦＩサーバ１１０から検索されるフローデータから、または他の手段によって演繹してもよいことは認識される。
【００４８】
ＮＦＩ  ＯｐｅｎＦｌｏｗエージェント１１３は、ＮＦＩサーバ１１０から受信されるＯＳＩレベル７アプリケーション情報およびユーザ識別情報をシステム管理者により提供されるポリシへマップし、ネットワークデバイス１０２により構成されるネットワークの状態がポリシを満たしているかどうかを決定し、かつＯｐｅｎＦｌｏｗコントローラ１０１に、必要であれば是正措置を取るように指示することができる。
【００４９】
例示的なＮＦＩ  ＯｐｅｎＦｌｏｗエージェント１１３のポリシには、ネットワークトラフィックに関連づけられるＣｉｓｃｏ  ＳＧＴにより決定されるような、所定のユーザまたはグループのためのアプリケーションに割り付けられる所定のネットワーク帯域幅の実施、ＩＰアドレスプレフィックスまたはＶＬＡＮタグによって分類されるサブネットのＳＬＡの実施、等々が含まれる可能性もある。ある例示的なポリシは、相対的にしきい数値として表現される可能性もあれば（例えば、「グループＡのネットワーク帯域幅消費量は、グループＢのネットワーク帯域幅消費量をこえるべきではない」）、曖昧に表現される可能性もある（例えば、「ネットワークトラフィックが低ければ、グループＡへ割り付けられるネットワーク帯域幅は増大されてもよい」）。ポリシは、多くの形式で、例えば、但し限定的ではなく、ＸＭＬ文書、独自仕様のフォーマット、他で表現される可能性もある。ポリシは、ＯＳＩレベル７アプリケーション情報、ユーザまたはグループ識別、ユーザまたはグループロール、時刻、他から導出されるアプリケーションタイプを基礎とする可能性もある。
【００５０】
本発明は、企業ネットワーク、データセンタ、サービスプロバイダネットワークおよび公的および私的クラウド環境において、サーバの利用度および品質を高めるために使用される可能性もあることが認識される。
【００５１】
また、ＮＦＩ  ＯｐｅｎＦｌｏｗエージェント１１３は、ネットワークのヘルス（状態）を監視しかつ潜在的な欠陥をその発生前に報告するために、ＮＦＩサーバ１１０から受信されるＮｅｔＦｌｏｗ情報を利用することができる点も認識される。ある例示的な実施形態では、ＮｅｔＦｌｏｗプロトコルを利用してネットワークデバイス・インタフェースを横断するパケットの平均サイズを測定することにより、差し迫ったネットワーク欠陥に関して決断を下すことも可能である。平均パケットサイズの顕著な低下は、典型的には欠陥ハードウェアを表す高レベルのネットワークパケット破砕を示す可能性もある。平均パケットサイズが所定のしきい値より下がると、ＮＦＩサーバ１１０は、ＮＦＩ  ＯｐｅｎＦｌｏｗエージェント１１３にこのイベントを通知してもよい。次に、ＮＦＩ  ＯｐｅｎＦｌｏｗエージェント１１３は、ＯｐｅｎＦｌｏｗコントローラ１０１に、問題のあるネットワークデバイスを迂回してトラフィックをリルートすることにより是正措置を講じるように、かつ／またはシステム管理者に問題を通知するように指図してもよい。
【００５２】
別の例示的な実施形態において、ＮＦＩサーバ１１０は、ボリュームおよび処理されるパケット毎のトラフィックレートのばらつきを、予め設定された、または動的に計算されるしきい値と比較することによって、ネットワーク欠陥を予報してもよい。フローレポート着信時間のばらつきを、計算される、または予め設定されたしきい値と比較することは、別のＮＦＩサーバ１１０のネットワーク欠陥報告基準である可能性もある。
【００５３】
このようなネットワーク欠陥しきい値は、ファジー論理ベースのアルゴリズム、統計的測定値および他の方法によって計算される可能性もあり、かつネットワーク欠陥が、自己回帰モデル、移動平均モデルまたは他の予測分析方法等の線形予測アルゴリズムを用いて予測されてもよいことは認識される。また、ＮＦＩ  ＯｐｅｎＦｌｏｗエージェント１１３は、その決定を、複数のＮＦＩサーバ１１０から受信される情報を基礎として行なう場合があることも認識される。
【００５４】
さらに、ネットワークデバイス１０２のデータプレーンを制御するために使用されるプロトコルが、ＯｐｅｎＦｌｏｗ以外のもの、ＯｐｅｎＦｌｏｗコントローラ１０１以外の制御プレーン実装である可能性もあり、制御プレーンとの通信に使用されるＡＰＩが、ＯｐｅｎＦｌｏｗ「ノースバウンド」ＡＰＩ１１４以外のものである可能性もあり、かつＮＦＩ  ＯｐｅｎＦｌｏｗエージェント１１３が、制御プレーンと同じ場所に位置づけられる、または遠隔に存在する可能性もあることは認識される。同一場所に位置づけられる場合、ＮＦＩ  ＯｐｅｎＦｌｏｗエージェント１１３は、ローカルプログラマティックＡＰＩを利用する可能性もあれば、ネットワークプロトコルを用いて制御プレーンと相互作用する可能性もある。
【００５５】
アプリケーションレベル情報をパケット転送機能に統合することの明らかな利点は、ネットワーク管理者がネットワーク帯域幅の利用ポリシを表現できる簡易さにある。これにより、既存のネットワークリソースを使用する最適さが高まり、かつ既存のＳＬＡがより良く履行されることによって顧客満足度が高まる。
【００５６】
サービスとしてのインフラストラクチャのためのＮＦＩ
【００５７】
サービスとしてのインフラストラクチャ（ＩａａＳ）は、サーバ、ネットワークおよびストレージを含む組織がコンピューティングオペレーションをサービスプロバイダへ外注するクラウドのコンピューティング・プロビジョニング・モデルである。プロバイダは、ハードウェアを所有し、操作しかつ保持する。さらに、個々の組織は、その既存のローカル・コンピューティング・リソースをプールし、かつ専ら前記組織による使用に限定される私的なＩａａＳオファリングを提供する可能性もある。
【００５８】
図３を参照すると、ＯｐｅｎＳｔａｃｋは、サーバ、ストレージおよびネットワーキングデバイスを含む大規模なコンピューティングリソース・グループを制御しかつこれらのリソースをＯｐｅｎＳｔａｃｋダッシュボード１２０と呼ばれるコンソールを介して管理するように設計される、ベンダ非依存クラウドのオペレーティングシステムである。
【００５９】
ある例示的な実施形態において、ＯｐｅｎＳｔａｃｋシステムは、サービスプロバイダによってそのＩａａＳオファリングを管理するために、またはある組織によってその固有のコンピューティングリソース・プールを管理するために使用される可能性もある。
【００６０】
図３をさらに参照すると、ＯｐｅｎＳｔａｃｋシステムは、クラウド内に配備される仮想デバイスのプロビジョニングおよび操作を可能にする、ＯｐｅｎＳｔａｃｋシステムＡＰＩ１２４（ＯｐｅｎＳｔａｃｋコンピュート、ＯｐｅｎＳｔａｃｋオブジェクトストレージ、ＯｐｅｎＳｔａｃｋ識別サービスおよびＯｐｅｎＳｔａｃｋ画像ストア）と呼ばれるウェブベースＡＰＩのコレクションを提供する。ＯｐｅｎＳｔａｃｋＡＰＩ１２４は、クラウドのオペレータが、仮想マシン（ＶＭ）インスタンス、ストレージおよび識別サービスを含むクラウドインフラストラクチャを提供し、かつクラウド１２３内に配備される仮想化デバイス１２５を操作できるようにする。ＯｐｅｎＳｔａｃｋシステムは、仮想化デバイス１２５の立ち上げ、仮想化デバイス１２５ステータスのチェック、仮想化デバイス１２５のシャットダウン、等々のようなＯｐｅｎＳｔａｃｋシステムサービスを利用するために、ｃＵＲＬ、レストクライアント、ｎｏｖａ、他等の幾つかのツールを提供する。
【００６１】
図４を参照すると、ロバストなＯｐｅｎＳｔａｃｋＡＰＩ１２４は、ハードウェアまたは仮想ネットワークデバイス１０２によって報告されるＮｅｔＦｌｏｗ情報１１１を利用することにより、ＯｐｅｎＳｔａｃｋベースシステムのプロビジョニングおよび保全を自動化する機会を提供する。さらに、ＶＭハイパーバイザによって報告されるＮｅｔＦｌｏｗ情報１１１は、ＮＦＩサーバ１１０によって、仮想化デバイス１２５の状態に関する完全な洞察を提供する。
【００６２】
図４をさらに参照すると、ＮＦＩサーバ１１０は、ハードウェアまたは仮想ネットワークデバイス１０２および仮想化デバイス１２５によって生成されるＮｅｔＦｌｏｗ情報１１１を処理し、かつ統合されたフローデータを、クラウド１２３内に配備されるＯｐｅｎＳｔａｃｋ制御の仮想化デバイス１２５と通信可能なアプリケーションとして実装されるＮＦＩ  ＯｐｅｎＳｔａｃｋエージェント１２２へ伝達する。ある例示的な実施形態において、ＮＦＩ  ＯｐｅｎＳｔａｃｋエージェント１２２とＯｐｅｎＳｔａｃｋ制御のクラウド１２３との間の通信は、ＮＦＩ  ＯｐｅｎＳｔａｃｋエージェント１１３とＯｐｅｎＳｔａｃｋ制御のクラウド１２３との間の双方向通信をサポートするＯｐｅｎＳｔａｃｋＡＰＩ１２４によって実装されてもよい。
【００６３】
図４をさらに参照すると、ある例示的な実施形態において、ＮＦＩサーバ１１０は、ＮＦＩ  ＯｐｅｎＳｔａｃｋエージェント１２２がクラウド１２５のコンピューティングリソースの利用方法に関してインテリジェントな決定を下すことができるようにするＯＳＩレベル７アプリケーション−レベルデータを含む、但しこれに限定されないネットワークフロー情報を提供する。
【００６４】
ＮＦＩ  ＯｐｅｎＳｔａｃｋエージェント１２２は、ＮＦＩサーバ１１０から、保護された通信チャネル１２１を介して、ＯＳＩレベル７のアプリケーション情報およびユーザ識別情報を含む、但しこれらに限定されないフローに関する情報を受信する。
【００６５】
ＯＳＩレベル７アプリケーション情報は、アプリケーション識別子が添付されるＰＡＮＡ−Ｌ７等の分類、または他の類似のアプリケーション分類によって供給されてもよい。通信チャネル１２１は、ＳＳＬ／ＴＬＳまたはＤＴＬＳプロトコル等の標準的な暗号手段によって保護されてもよい。
【００６６】
ＮＦＩサーバ１１０は、ＯＳＩレベル７アプリケーション情報をネットワークデバイス１０２により生成されるＮｅｔＦｌｏｗメッセージにおいて受信し、かつＮｅｔＦｌｏｗセキュリティイベントログ（ＮＳＥＬ）等のユーザ識別を認識したＮｅｔＦｌｏｗメッセージから、またはＣｉｓｃｏセキュアグループタグ（ＳＧＴ）等のＯＳＩレイヤ２拡張において、ユーザ情報を導出する。
【００６７】
ある例示的な実施形態において、システム管理者は、ＮＦＩ  ＯｐｅｎＳｔａｃｋエージェント１２２上に、仮想化デバイス１２５のプロビジョニングおよび保全に関するポリシを設定する。ポリシは、限定的ではなく、ＸＭＬ文書、独自仕様のフォーマット、他で表現される可能性もある。ポリシは、ＯＳＩレベル７アプリケーション情報、ユーザまたはグループ識別、ユーザまたはグループロール、時刻、他から導出されるアプリケーションタイプを基礎とする可能性もある。
【００６８】
システム管理者によりＮＦＩ  ＯｐｅｎＳｔａｃｋエージェント１２２上に設定される例示的なポリシは、特定のアプリケーションに対する要望が高まる場合に追加的な仮想化デバイス１２５を生成すること、既存の仮想化デバイス１２５へ追加的なリソースを提供すること、既存の仮想化デバイス１２５をクラウド１２３内のより強力なハードウェアへ移動させること、アイドル状態の仮想化デバイス１２５をシャットダウンすること、他、である可能性もある。
【００６９】
ＮｅｔＦｌｏｗ情報１１１を利用することにより、ＮＦＩ  ＯｐｅｎＳｔａｃｋエージェント１２２は、クラウド１２３の管理を自動化することができ、よって、クラウドプロバイダの、またはクラウド所有者の運用コストが低減し、かつ物理ハードウェアリソースの利用が増大する。
【００７０】
ＯｐｅｎＳｔａｃｋは、クラウドのオペレーティングシステムの一例であるが、本明細書に開示する方法が、ベンダ固有のクラウド・オペレーティングシステム、または汎用クラウド・オペレーティングシステムの何れにも適用可能であることは認識される。
【００７１】
仮想化環境のためのＮＦＩ
【００７２】
ＮＦＩ  ＯｐｅｎＦｌｏｗエージェントおよびＮＦＩ  ＯｐｅｎＳｔａｃｋエージェントと結合されたＮＦＩサーバは、ＯｐｅｎＦｌｏｗベースのソフトウェア定義ネットワークおよびＯｐｅｎＳｔａｃｋ駆動のクラウドインフラストラクチャを含む統合された仮想化環境の要となることが認識される。
【００７３】
図５は、ＮＦＩサーバ１１０のソフトウェア定義ネットワーキングおよびクラウドコンピューティング環境を含む統合されたセッティングへのアプリケーションを示す。
【００７４】
図５をさらに参照すると、ＮＦＩサーバ１１０は、ハードウェアまたは仮想ネットワークデバイス１０２および仮想化デバイス１２５によって生成されるＮｅｔＦｌｏｗ情報１１１を処理し、かつ統合されたフローデータを、クラウド１２３内に配備されるＯｐｅｎＳｔａｃｋ制御の仮想化デバイス１２５と通信可能なアプリケーションとして実装されるＮＦＩ  ＯｐｅｎＳｔａｃｋエージェント１２２へ伝達する。ある例示的な実施形態において、ＮＦＩ  ＯｐｅｎＳｔａｃｋエージェント１２２とＯｐｅｎＳｔａｃｋ制御のクラウド１２３との間の通信は、ＮＦＩ  ＯｐｅｎＳｔａｃｋエージェント１１３とＯｐｅｎＳｔａｃｋ制御のクラウド１２３との間の双方向通信をサポートするＯｐｅｎＳｔａｃｋＡＰＩ１２４によって実装されてもよい。
【００７５】
図５をさらに参照すると、ＮＦＩサーバ１１０は、ＯｐｅｎＦｌｏｗ準拠のネットワーキングデバイス１０２および仮想化デバイス１２５によって生成されるＮｅｔＦｌｏｗ情報１１１を処理し、かつ統合されたフローデータを、ＯｐｅｎＦｌｏｗコントローラ１０１と通信可能なアプリケーションとして実装されるＮＦＩ  ＯｐｅｎＦｌｏｗエージェント１１３へ伝達する。ある例示的な実施形態において、ＮＦＩ  ＯｐｅｎＦｌｏｗエージェント１１３とＯｐｅｎＦｌｏｗコントローラ１０１との間の通信は、ＮＦＩ  ＯｐｅｎＦｌｏｗエージェント１１３とＯｐｅｎＦｌｏｗコントローラ１０１との間の双方向通信をサポートするＯｐｅｎＦｌｏｗ「ノースバウンド」ＡＰＩ１１４によって実装されてもよい。
【００７６】
仮想化コンピューティング環境におけるＮＦＩサーバ１１０の独自的ポジションに起因して、ＮＦＩサーバ１１０のＯｐｅｎＳｔａｃｋ制御クラウド１２３およびＯｐｅｎＦｌｏｗコントローラ１０１との相互作用は、ＯｐｅｎＳｔａｃｋプロトコルにより駆動されるクラウド１２３の計算リソースと、ＯｐｅｎＦｌｏｗコントローラ１０１によって監督されるネットワーキングリソースとを一体化するロバストな制御機構をもたらし、よって、フロー制御コンピューティングプラットフォームの新しいコンピューティングパラダイムが生成される。
【００７７】
ＮＦＩサーバ１１０が、複数のクラウド１２３および複数のＯｐｅｎＦｌｏｗコントローラ１０１と相互作用してもよいことは認識される。
【００７８】
また、ソフトウェア定義のネットワークと相互作用する場合、ＯｐｅｎＦｌｏｗ以外のプロトコルが利用されてもよく、かつ仮想化コンピューティングリソースを制御するために、ＯｐｅｎＳｔａｃｋ以外のＡＰＩが使用される場合があることも認識される。
【００７９】
オンデマンドのＮｅｔＦｌｏｗ情報
【００８０】
フロー情報データは、膨大であることで有名であって、Ｃｉｓｃｏ  ＡＳＲ１０００のような単一のミドルレンジルータは、毎秒４００，０００個のＮｅｔＦｌｏｗレコードを生成する能力があり、結果的に、一日当たり約１．６ＴＢのデータが生成される。高いデータレートおよびデータ量に起因して、ＮＦＩポリシの多くは、データを統合しかつ／またはフィルタリングして、大幅に低減された量の重大な情報のみを、限定なしにＳＩＥＭシステム等のバックエンドシステムへ報告するように設計される。
【００８１】
典型的には、ＮＦＩにより提供される統合された情報は、バックエンドシステムにとって十分なものであるが、所定の状況下、特にセキュリティ関連の状況下において、バックエンドシステムは、問題のイベントに先行する状態、およびイベント直後の状態に関するさらなる情報を必要とする場合がある。イベントのコンテキストを考慮することにより、バックエンドシステムは、観察されるイベントの範囲および結果の決定に際して、遙かに良好なポジションを得る場合がある。
【００８２】
例えば、ＳＩＥＭシステムが、ユーザＡによる感応デバイスＤ上の設定変更に関する通知を受信した事例について考察されたい。一見したところ、ユーザＡは、デバイスＤを設定する認可を受けているものと思われ、デバイスＤにアクセスする十分な資格認証を有していて設定変更を行っていることから、このイベントを精査する必要はない。しかしながら、ＳＩＥＭシステムも同様にＮＦＩからデータを受信するとなると、ＳＩＥＭシステムは、設定変更アクションと、設定変更要求が発行された場所からのネットワーク上のロケーションとを相関することができるようになる場合がある。設定変更要求が、設定変更イベントの時点でユーザＡに関連づけられていたネットワークロケーション以外のネットワークロケーションから発行された事例は、なりすまし攻撃を示す可能性がある。
【００８３】
上述のなりすまし攻撃は、認証認可システムのみによって検出され得ないことが認識される。認証認可システムの観点からすれば、関与者が有効なアクセス資格認証を保有することから、設定変更は、完全に合法的である。
【００８４】
本発明に開示されるＮＦＩオンデマンドフロー情報機構の一実施形態は、ＳＩＥＭシステムが、ネットワーク情報を、事後に全てのインバウンド・ネットワーク・データの巨大フローであると思われるものを絶えず処理する必要なく他のマシンデータに相関するために必要な情報を受信できるようにする。
【００８５】
図６を参照すると、別の例示的な実施形態において、ＮＦＩサーバ１１０は、１つまたは複数のネットワークデバイスからＮｅｔＦｌｏｗデータ１１１を受信する。ＮＦＩポリシ１４１の設定されたコレクションによって、ＮＦＩサーバ１１０は、ＮｅｔＦｌｏｗデータ１１１を処理し、かつ統合ＮｅｔＦｌｏｗデータ１４２をＳＩＥＭシステム１４０へ、ＳＩＥＭシステム１４０により理解されるフォーマットで報告する。
【００８６】
このようなアクションと同時に、ＮＦＩサーバ１１０は、受信されるＮｅｔＦｌｏｗデータ１１１を短期ストレージ１４５へ伝搬し、短期ストレージ１４５において、ＮｅｔＦｌｏｗデータ１１１は、最左の時間窓１４４内へ置かれる。
【００８７】
ある例示的な実施形態において、短期ストレージ１４５は、おそらくはＲＡＭ内、ＳＳＤ上または他の何らかの高速および／またはローカル・ストレージ・デバイス上の、アクセス時間が短いレポジトリである。論理的には、短期ストレージ１４５は、設定可能な数のセクション、例えば時間窓１４４、に分割されてもよく、その各々が、設定可能な期間Dｔに渡って受信されるＮｅｔＦｌｏｗデータ１１１情報を含む。短期ストレージ１４５は、概して、スライド式窓スキーマを実装し、期間Dｔが終わる毎に増大されたＮｅｔＦｌｏｗフォーマット１４３の最右時間窓１４４が長期ストレージ１４６へ転送され、短期ストレージ１４５が論理的にシフトして、着信するＮｅｔＦｌｏｗデータ１１１情報を格納するための新しい最右時間窓１４４が生成される。長期ストレージ１４６は、概して、短期ストレージ１４５のアクセス時間および記憶容量以上のアクセス時間および記憶容量を有する。
【００８８】
増大されたＮｅｔＦｌｏｗフォーマット１４３は、オリジナルＮｅｔＦｌｏｗデータ１１１と同じであってもよく、長期ストレージで用いるための追加的なマークアップ情報を含んでもよいことは認識される。
【００８９】
ある例示的な実施形態において、ＳＩＥＭシステム１４０は、ＮＦＩサーバ１１０によって供給される統合ＮｅｔＦｌｏｗデータ１４２、および場合により他のマシンデータ１５３を取り込むポリシセット１５０を実行してもよい。ポリシセット１５０からの１つのポリシを実行するプロセスにおいて、ＳＩＥＭシステム１４０が時間Ｔで発生したイベント１５１を検出すれば、ＳＩＥＭシステム１４０は、ＮＦＩサーバ１１０に対し、時間間隔［Ｔ−ｔ，Ｔ＋ｔ］の間にＮＦＩサーバ１１０により受信される追加的なＮｅｔＦｌｏｗデータ１１１を提供する要求１５２を発行することができる。但し、ｔは、ＳＩＥＭシステム１４０により選択される間隔半値幅である。
【００９０】
ＳＩＥＭシステム１４０の要求１５２を受信すると、ＮＦＩサーバ１１０は、要求された時間間隔［Ｔ−ｔ，Ｔ＋ｔ］の開始時刻および終了時刻を基礎として、要求された情報のストレージにおけるロケーションを決定する。要求１５２の時点で、短期ストレージ１４５が時間間隔［Ｔ１，Ｔ２］、Ｔ２≧Ｔ１、に対応するＮｅｔＦｌｏｗデータ１１１を含み、かつ要求された時間間隔［Ｔ−ｔ，Ｔ＋ｔ］が短期ストレージ１４５の時間間隔［Ｔ１，Ｔ２］以内に存在するものとすると、ＮＦＩサーバ１１０は、要求された情報を短期ストレージ１４５から検索し、かつ１５６において、検索された情報を、場合により追加処理を用いてＳＩＥＭシステム１４０へ転送する。
【００９１】
要求された時間間隔［Ｔ−ｔ，Ｔ＋ｔ］が短期ストレージ１４５の時間間隔［Ｔ１，Ｔ２］外に存在すれば、ＮＦＩサーバ１１０は、要求された情報を長期ストレージ１４６から検索することを試行し、検索に成功すれば、場合により追加処理をする時点で、検索された情報を応答１５６内でＳＩＥＭシステム１４０へ転送する。
【００９２】
要求された時間間隔［Ｔ−ｔ，Ｔ＋ｔ］が、短期ストレージ１４５の時間間隔［Ｔ１，Ｔ２］と長期ストレージ１４６との間で分割されていれば、ＮＦＩサーバ１１０は、要求された情報の第１の部分を短期ストレージ１４６から、かつ要求された情報の第２の部分を長期ストレージ１４６から検索し、情報の検索された第１の部分と検索された第２の部分とを連結し、かつ連結された情報を、場合により追加処理を用いて応答１５６内でＳＩＥＭシステム１４０へ転送する。
【００９３】
要求された時間間隔［Ｔ−ｔ，Ｔ＋ｔ］の右側の境界Ｔ＋ｔが、長期ストレージ１４６における情報時間範囲を外れている、または要求された時間間隔［Ｔ−ｔ，Ｔ＋ｔ］の左側の境界Ｔ−ｔが、短期ストレージ１４５における情報時間範囲を外れている場合、ＮＦＩサーバ１１０は、トランケートされた時間範囲の情報を検索し、かつこのトランケーションを応答１５６内でＳＩＥＭシステムに通知する。
【００９４】
要求された時間間隔［Ｔ−ｔ，Ｔ＋ｔ］が、短期ストレージ１４５および長期ストレージ１４６によってカバーされる時間範囲を外れている場合、ＮＦＩサーバ１１０は、このエラー状態を応答１５６内でＳＩＥＭシステムに通知する。
【００９５】
本明細書に開示するＮｅｔＦｌｏｗデータを格納するためのこの新しい多層的アプローチは、先行するＮｅｔＦｌｏｗコレクタにより使用される従来的な単層ＮｅｔＦｌｏｗ情報ストレージに比べて、即時的報告または対策を必要とするイベントを分析する場合に著しい優位点を提供する。即時的報告または対策を必要とするイベントに関しては、高速の短期ストレージ１４５における要求された情報の探索が、より遅速の長期ストレージ１４６の場合より各段に速く、ＳＩＥＭシステム１４０の応答時間が良質化されることになる。
【００９６】
追加情報に対するＳＩＥＭシステム１４０の要求１５２には、時間間隔の指定以外に、ＮｅｔＦｌｏｗレコードの起源、ソースまたは宛先ＩＰアドレス等の、但しこれらに限定されない固有のフロー情報、またはこれらの組合せ等の他のパラメータが含まれてもよいことは認識される。また、短期ストレージ１４５および長期ストレージ１４６内のＮｅｔＦｌｏｗ情報は、ソースまたは宛先ＩＰアドレス、ソースまたは宛先のＯＳＩレイヤ４ポート、等々といった、但しこれらに限定されないＮｅｔＦｌｏｗ関連情報を基礎として、時間により、およびゼロ、１つまたは複数のキーによりインデックスされる場合があることも認識される。
【００９７】
図７をさらに参照すると、短期ストレージ１４５および長期ストレージ１４６は、ＮＦＩサーバ１１０によって、ＮｅｔＦｌｏｗデータ１１１を最初に処理したＮＦＩサーバ１１０のインスタンス以外のＮＦＩサーバ１１０のインスタンスによって、および／またはＮＦＩサーバ１１０以外のプロセスによって動作されてもよいことが認識される。また、短期ストレージ１４５および長期ストレージ１４６は、ＮＦＩサーバ１１０の異なるインスタンスによって、またはＮＦＩサーバ１１０以外のプロセスによって動作される場合があることも認識される。さらに、短期ストレージ１４５および長期ストレージ１４６へのアクセス時間は、同じであってもよく、かつ３以上である複数のストレージ層が存在してもよい。また、長期ストレージ１４６は、任意選択のコンポーネントであり、かつ短期ストレージ１４５内の情報は、時を経て設定された寿命を超えると放棄される場合があることも認識される。
【００９８】
本明細書に開示する、ネットワークと他のマシンデータとを関連づける新しいアプローチは、ネットワークまたは他のマシンデータのみが考慮される場合には検出されないと思われる攻撃を検出できるようにする。本明細書に開示する、ネットワーク情報を格納する新しいアプローチは、ネットワーク情報を「必要なときにのみ」予備的な処理なしで提供できるようにする。
【００９９】
地理−空間分析ベースのボットネットスレーブ検出（図８参照）
【０１００】
精巧なマルウェアエージェントは、そのマスタと通信する際に、複雑なイベイジョン検出技術を頼む。例えば、あるエージェントは、マスタとの無作為な時間間隔での接触、最後の通信セッションの間に受信された情報を基礎として次のマスタを選択することによる複数のマスタとの通信、コマンド＆制御チャネルのトラフィックパターンの難読化、他、を行なう可能性がある。
【０１０１】
方法
【０１０２】
インラインクラスタ分析アルゴリズム（ＢＩＲＣＨ−Ｂａｌａｎｃｅｄ  Ｉｔｅｒａｔｉｖｅ  Ｒｅｄｕｃｉｎｇ  ａｎｄ  Ｃｌｕｓｔｅｒｉｎｇ  ｕｓｉｎｇ  Ｈｉｅｒａｒｃｈｉｅｓ）を用いて、アウトバウンドトラフィックを分類する。ＢＩＲＣＨは、「外れ値」−即ち、一般的な基礎を成すパターンの一部ではないデータポイント、を効率的に決定することで知られている。
【０１０３】
特徴集合
【０１０４】
Ｓ＝｛Ｓｉ｝，ＳｉI｛ｆｒｅｑ（ｄｉｓｔ，ａｚ），ａｐｐ，ｆ１，ｆ２，ｆ３，ｆ４，Ｔ｝
【０１０５】
ｆｒｅｑ−通信頻度
【０１０６】
ｄｉｓｔ−宛先ホストまでの物理的距離
【０１０７】
ａｚ−方位角
【０１０８】
ａｐｐ−Ｌ７アプリケーションｉｄ、またはＬ４宛先ポート
【０１０９】
ｆ１−流量、フロー数／時
【０１１０】
ｆ２−１フロー当たりのパケット数
【０１１１】
ｆ３−パケットサイズ、Ｂ
【０１１２】
ｆ４−トラフィックレート、ｂｐｓ
【０１１３】
「ｄｉｓｔ」および「ａｚ」は、フローレコードに見出されるソースおよび宛先ＩＰアドレスを基礎として計算される。相似関数「ｆｒｅｑ」は、特定の地理的エリアへの通信頻度である。アプリケーションは、その各々が監視対象ホストに割り当てられたカテゴリに関連づけられる複数のグループに分類される（「標準アプリケーション」）。
【０１１４】
報告基準
【０１１５】
普通でないトラフィック特性を有する非標準アプリケーションまたは標準アプリケーションによるピアとの独自的または低頻度の通信を警戒する。
【０１１６】
侵入試験、設定検証者
【０１１７】
ネットワークのサイズが拡大するにつれて、そのトポロジーはますます複雑になる。トポロジーの複雑さは、次に、設定の複雑さを増大し、設定エラーをさらに発生しやすくする。システム管理者が、その管理下にあるネットワークの設定およびセキュリティ姿勢にアクセスしかつ検証する手助けとなるツールは、幾つか存在する。これらのツールは、ネットワーク内の脆弱性を決定するために様々な方法を用いる。例えば、侵入試験ツールは、組織のファイアウォールを「攻撃」し、設定検証ツールは、認証認可ポリシにおける抜け穴を見出そうとし、ＩＤＳ／ＩＰＳシステムは、組織のネットワークを出入りするトラフィックフローを監視する、等々。これらの防護技術は、長期に渡って開発され、よって既知の、かつ時として予測されていない脅威を止められるほどに成熟している。
【０１１８】
今日のネットワーク防御姿勢に関連する問題は、その静的な性質にある。即ち、一旦設定され、かつおそらくは検証されると、ネットワーク防御は、第二次世界大戦前にマジノ線がそうであったように難攻不落であると考えられている。防護対策は、概して一度だけ適用されるか、せいぜいたまに査定されるだけで、次のチェックまで、組織は、実際のセキュリティ姿勢状態の品質が保証されないままにされる。
【０１１９】
今日のネットワーク防御におけるさらに別の問題は、これらの防護エレメントが提供されかつ設定される方法の多様さにある。防護グリッド内の全てのノードの出所が単一の売り手であることは、極めてまれである。一般的なＩＴ慣行は、明らかに多様なネットワーク技術プロバイダから求める最高品質のデバイスを用いることである。多様かつ複雑な設定方法は、今日の多層的なネットワークセキュリティ配備におけるエラーの蓋然性を高める。
【０１２０】
ＮｅｔＦｌｏｗは、組織のネットワーキングインフラストラクチャの動的な品質管理を提供することができるツールの生成を可能にする技術である。本発明で開示するＮＦＩ技術は、組織全体に渡るネットワークトラフィックを監視しかつ静的に設定された防御によって監督されたフローインスタンスを識別する可能性もある任意のポリシを導入できるようにする。
【０１２１】
本発明を幾つかの実施形態に関連して説明したが、本発明の範囲に含まれる変形、変更、置換、および代替等価物が存在する。本発明の説明を補助するために、小項目のタイトルを付しているが、これらは単に例示的なものであって、本発明の範囲を限定するためのものではない。
【０１２２】
また、本発明の方法および装置の実装に当たっては、多くの代替方法が存在することも留意されるべきである。したがって、添付した下記の請求の範囲は、このような変形、変更、置換および代替等価物を全て本発明の真の精神および範囲内にあるものとして包含すると解釈されるべきものである。
【図１】
2016508353.tif 000003
【図２】
2016508353.tif 000004
【図３】
2016508353.tif 000005
【図４】
2016508353.tif 000006
【図５】
2016508353.tif 000007
【図６】
2016508353.tif 000008
【図７】
2016508353.tif 000009
【図８】
2016508353.tif 000010
【国際調査報告】
2016508353.tif 000011