(57)【特許請求の範囲】
【請求項１】
ネットワークへ接続されるアクセス網のトラフィックを分析するトラフィック分析装置であって：
ネットワークとアクセス網との間の通信データに関する情報をトラフィック収集装置からリアルタイムで収集するリアルタイムモニタ機能部と；
前記トラフィック収集装置からリアルタイムで収集した情報に基づいて、ネットワークとアクセス網との間のトラフィックに関するアラートを発生させるアラート管理通知部と；
前記アラートを発生する直前の所定時間内に前記ネットワークとアクセス網との間で送受信された正常データ及び異常データの少なくとも一方に関する情報に基づいて、アラートが発生した原因を分析するアラート発生原因分析部と、
を備えることを特徴とする、トラフィック分析装置。
【請求項２】
前記アラート発生原因分析部は、リアルタイムモニタによるアラートが設定された統計項目毎にアラートが発生した原因を分析することを特徴とする、請求項１に記載のトラフィック分析装置。
【請求項３】
前記アラート発生原因分析部は、前記異常データに関する情報に基づいて異常を発生させた端末またはアプリケーションを統計し、異常数の多い端末、サブネット又はアプリケーションを特定することを特徴とする、請求項１に記載のトラフィック分析装置。
【請求項４】
前記アラート発生原因分析部は、前記正常データに関する情報及び前記異常データに関する情報に基づいてセッション数を統計し、セッション数が多い端末、サブネット又はアプリケーションを特定することを特徴とする、請求項１に記載のトラフィック分析装置。
【請求項５】
ネットワークとアクセス網との間
の通信データに関する情報をトラフィック収集装置からリアルタイムで収集するステップと；
前記トラフィック収集装置からリアルタイムで収集した情報に基づいて、ネットワークとアクセス網との間のトラフィックに関するアラートを発生させるステップと；
前記アラートを発生する直前の所定時間内に前記ネットワークとアクセス網との間で送受信された正常データ及び異常データの少なくとも一方に関する情報に基づいて、アラートが発生した原因を分析するステップと、
を備えることを特徴とする、トラフィック分析方法。
【請求項６】
ネットワークとのアクセス網からトラフィック情報を収集するトラフィック収集装置と、前記トラフィック情報を分析するトラフィック分析装置と、前記トラフィック収集装置に接続されたモニタリング装置とを備えるトラフィック分析システムであって：
前記トラフィック分析装置は：
ネットワークとアクセス網との間の通信データに関する情報を前記トラフィック収集装置からリアルタイムで収集するリアルタイムモニタ機能部と；
前記トラフィック収集装置からリアルタイムで収集した情報に基づいて、ネットワークとアクセス網との間のトラフィックに関するアラートを発生させるアラート管理通知部と；
前記アラートを発生する直前の所定時間内に前記ネットワークとアクセス網との間で送受信された正常データ及び異常データの少なくとも一方に関する情報に基づいて、アラートが発生した原因を分析するアラート発生原因分析部と、
を備えることを特徴とする、トラフィック分析システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、トラフィック分析装置、トラフィック分析方法及びトラフィック分析システムに関する。
【背景技術】
【０００２】
従来、回線のトラフィックを分析する方法として、トラフィック収集装置が収集したトラフィックデータを吸い上げ、専門業者にトラフィック分析を依頼する手法が知られている。また、トラフィック収集装置が収集したトラフィックデータをそのままカウンタ表や波形に変換し、管理者がこれらの波形を基に分析を行う手法が知られている。
【０００３】
【特許文献１】特開２００７−００６４７７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記従来の技術では、トラフィックに問題が発生した場合、管理者は手動操作により情報（データ）の収集に努める必要があり、情報の収集ができなかった場合は、限られた情報から問題点を探し出して原因を究明しなければならない。一方、情報の収集が可能な場合においても、大量の情報を整理し、その中から問題点を探し出して原因を究明しなければならないという問題がある。
【０００５】
特に、トラフィック問題の多くは、予測がつかない非定期タイミングで繰り返し瞬間的若しくは短時間内に発生するものであるため、多くの場合、問題分析に必要な情報を採取することが困難である。このため、トラフィック問題の原因の特定、究明が困難になる場合が多い。このため、長時間の間、トラフィック問題を解決することができないという問題が生じる。
【０００６】
このため、何時発生するのか予測できないトラフィック問題のデータを採取するために、常に全てのトラフィックパケットをモニタリングし、モニタリングしたトラフィックパケットをそのまま保存する装置が想定されている。
【０００７】
しかしながら、パケットをそのまま保存する場合、短時間でメモリの残量がなくなるため、パケットを取り込めなくなるという問題が生じる。また、保存したパケットに新たなパケットが上書きされるため、貯めたパケットが消えてしまう状態が生じ、所望のデータを採取できないといった問題が生じる。このため、トラフィック問題の原因の特定、究明に長時間を要してしまうという問題が生じる。
【０００８】
そこで、本発明は、上記問題に鑑みてなされたものであり、本発明の目的とするところは、ネットワークのトラフィックを確実且つ高精度に分析するとともに、アラーとの発生原因を確実に分析することが可能な、新規かつ改良されたトラフィック分析装置、トラフィック分析方法及びトラフィック分析システムを提供することにある。
【課題を解決するための手段】
【０００９】
上記課題を解決するために、本発明のある観点によれば、ネットワークへ接続されるアクセス網のトラフィックを分析するトラフィック分析装置であって、ネットワークとアクセス網との間の通信データに関する情報をトラフィック収集装置からリアルタイムで収集するリアルタイムモニタ機能部と、前記トラフィック収集装置からリアルタイムで収集した情報に基づいて、ネットワークとアクセス網との間のトラフィックに関するアラートを発生させるアラート管理通知部と、前記アラートを発生する直前に前記ネットワークとアクセス網との間で送受信された正常データ及び異常データの少なくとも一方に関する情報に基づいて、アラートが発生した原因を分析するアラート発生原因分析部と、を備えるトラフィック分析装置が提供される。
【００１０】
上記構成によれば、ネットワークへ接続されるアクセス網のトラフィックを分析するトラフィック分析装置において、ネットワークとアクセス網との間の通信データに関する情報がトラフィック収集装置からリアルタイムで収集され、トラフィック収集装置からリアルタイムで収集した情報に基づいて、ネットワークとアクセス網との間のトラフィックに関するアラートが発生され、アラートを発生する直前に前記ネットワークとアクセス網との間で送受信された正常データ及び異常データの少なくとも一方に関する情報に基づいて、アラートが発生した原因が分析される。従って、アラートを発生する直前の正常データ及び異常データの少なくとも一方に基づいて、アラートが発生した原因を確実に分析することが可能となる。
【００１１】
また、前記アラート発生原因分析部は、リアルタイムモニタによるアラートが設定された統計項目毎にアラートが発生した原因を分析するものであってもよい。かかる構成によれば、アラートが予め設定された統計項目毎にアラートが発生した原因を分析することができる。
【００１２】
また、前記アラート発生原因分析部は、前記異常データに関する情報に基づいて異常を発生させた端末、サブネット又はアプリケーションを統計し、異常数の多い端末、サブネット又はアプリケーションを特定するものであってもよい。かかる構成によれば、アラートが発生した際に、異常数の多い端末、サブネット又はアプリケーションを特定することが可能となる。
【００１３】
また、前記アラート発生原因分析部は、前記正常データに関する情報及び前記異常データに関する情報に基づいてセッション数を統計し、セッション数が多い端末、サブネット又はアプリケーションを特定するものであってもよい。かかる構成によれば、アラートが発生した際に、セッション数が多い端末、サブネット又はアプリケーションを特定することが可能となる。
【００１４】
また、上記課題を解決するために、本発明の別の観点によれば、ネットワークとアクセス網との間の通信データに関する情報をトラフィック収集装置からリアルタイムで収集するステップと、前記トラフィック収集装置からリアルタイムで収集した情報に基づいて、ネットワークとアクセス網との間のトラフィックに関するアラートを発生させるステップと、前記アラートを発生する直前に前記ネットワークとアクセス網との間で送受信された正常データ及び異常データの少なくとも一方に関する情報に基づいて、アラートが発生した原因を分析するステップと、を備えるトラフィック分析方法が提供される。
【００１５】
上記構成によれば、ネットワークとアクセス網との間の通信データに関する情報がトラフィック収集装置からリアルタイムで収集され、トラフィック収集装置からリアルタイムで収集した情報に基づいて、ネットワークとアクセス網との間のトラフィックに関するアラートが発生され、アラートを発生する直前に前記ネットワークとアクセス網との間で送受信された正常データ及び異常データの少なくとも一方に関する情報に基づいて、アラートが発生した原因が分析される。従って、アラートを発生する直前の正常データ及び異常データの少なくとも一方に基づいて、アラートが発生した原因を確実に分析することが可能となる。
【００１６】
また、上記課題を解決するために、本発明の別の観点によれば、ネットワークとのアクセス網からトラフィック情報を収集するトラフィック収集装置と、前記トラフィック情報を分析するトラフィック分析装置と、前記トラフィック収集装置に接続されたモニタリング装置とを備えるトラフィック分析システムであって、前記トラフィック分析装置は、ネットワークとアクセス網との間の通信データに関する情報を前記トラフィック収集装置からリアルタイムで収集するリアルタイムモニタ機能部と、前記トラフィック収集装置からリアルタイムで収集した情報に基づいて、ネットワークとアクセス網との間のトラフィックに関するアラートを発生させるアラート管理通知部と、前記アラートを発生する直前に前記ネットワークとアクセス網との間で送受信された正常データ及び異常データの少なくとも一方に関する情報に基づいて、アラートが発生した原因を分析するアラート発生原因分析部と、を備えるトラフィック分析システムが提供される。
【００１７】
上記構成によれば、ネットワークとのアクセス網からトラフィック情報を収集するトラフィック収集装置と、前記トラフィック情報を分析するトラフィック分析装置と、前記トラフィック収集装置に接続されたモニタリング装置とを備えるトラフィック分析システムにおいて、トラフィック分析装置では、ネットワークとアクセス網との間の通信データに関する情報がトラフィック収集装置からリアルタイムで収集され、トラフィック収集装置からリアルタイムで収集した情報に基づいて、ネットワークとアクセス網との間のトラフィックに関するアラートが発生され、アラートを発生する直前に前記ネットワークとアクセス網との間で送受信された正常データ及び異常データの少なくとも一方に関する情報に基づいて、アラートが発生した原因が分析される。従って、アラートを発生する直前の正常データ及び異常データの少なくとも一方に基づいて、アラートが発生した原因を確実に分析することが可能となる。
【発明の効果】
【００１８】
本発明によれば、ネットワークのトラフィックを確実且つ高精度に分析するとともに、アラーとの発生原因を確実に分析することが可能な、トラフィック分析装置、トラフィック分析方法及びトラフィック分析システムを提供することができる。
【発明を実施するための最良の形態】
【００１９】
以下に添付図面を参照しながら、本発明の好適な実施の形態について詳細に説明する。なお、本明細書及び図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。
【００２０】
先ず、本発明の題１の実施形態について説明する。図１は、本発明の一実施形態に係るトラフィック収集装置１００のネットワーク２００への設置構成を示す模式図である。図１の例では、アクセス網３００とＩＳＰ(Internet Services Provider)４００間の回線に通信信号を分岐して出力する転送装置（ネットワークタップ装置）５００，５１０，５２０，５３０を配置し、転送装置５００，５１０，５２０，５３０のＩｎ（入力）側（アクセス網３００側）、Ｏｕｔ（出力）側（ＩＳＰ４００側）の分岐の出力回線をそれぞれトラフィック収集装置１００の回線側のＩｎ側、Ｏｕｔ側に接続する。同様に、トラフィック収集装置１００のモニタ側の出力回線をモニタリング装置６００に接続する。図１の例では、モニタリング装置６００は、単独でインライン設置が可能な装置を想定している。
【００２１】
図１に示すように、トラフィックの分析を行うトラフィック分析装置（Ａ）７００にトラフィック収集装置１００とモニタリング装置６００が接続されている。
【００２２】
転送装置５００とトラフィック収集装置１００によってアクセス網３００とＩＳＰ４００間の複数の回線トラフィック情報が収集される。トラフィック分析装置７００は、複数の回線から収集したトラフィックを自動的に分析し、分析結果の重点を抽出して分析レポートを作成する。トラフィック分析装置７００は、設定された秒／分間隔で定期的にこれらのトラフィックデータを吸い上げ、トラフィックの監視を実施しながら、リアルタイムで表と波形を表示し、定時レポートや分析レポートを生成する。
【００２３】
同様に、他のアクセス網３００とＩＳＰ４００間の回線に配置された転送装置５００を介して、トラフィック収集装置１００によってトラフィック情報が収集され、トラフィック分析装置（Ｂ）７００、トラフィック分析装置（Ｃ）７００により分析が行われる。
【００２４】
図２は、モニタリング装置６００の機能と、その機能を実現するための構成を示す模式図である。図２に示すように、モニタリング装置６００は、正常パケット情報抽出・保持機能を備える。モニタリング装置６００は、より多くのパケット情報を保持するために、トラフィック収集装置１００経由で、モニタリング装置６００に入っていく正常パケットの全てのデータを保存することなく、パケットヘッダ等の情報のみを抽出して、正常パケット情報保持部６０８のデータベースに保存する。
【００２５】
図２において、受信部６０２は、トラフィック収集装置１００からＩｎ側、Ｏｕｔ側の入力を区別して受信する。パケット情報抽出保存部６０４は、受信部６０２で受信したパケットデータからパケット情報を抽出して保存する。また、不要なパケットはパケット廃棄部６０６で廃棄される。
【００２６】
正常パケット情報保持部６０８は、ポート１〜Ｎのそれぞれについて、正常なパケット情報を保持する。正常なパケット情報は、時刻情報(Time)、イーサヘッダ情報、ＩＰヘッダ情報、ＴＣＰ／ＵＤＰヘッダ情報、ペイロードサイズ情報、から構成される。正常パケット情報保持部６０８のデータベースに保存された情報は、定期的に削除される。また、モニタリング装置６００は、正常パケット情報保持部６０８のデータベースの設定を行うデータベース（ＤＢ）設定部６１０、送受信部６１２を備えている。送受信部６１２は、トラフィック分析装置７００に接続しており、アラート発生際、モニタリング装置６００は、送受信部６１２経由で受信したトラフィック分析装置７００の要求に従って、アラート発生原因特定分析に必要とする正常パケット情報を正常パケット情報保持部６０８のデータベースから取り出し、送受信部６１２経由でトラフィック分析装置７００に送信する。
【００２７】
図３は、トラフィック収集装置１００の機能と構成を示す模式図である。図３（Ａ）に示すように、トラフィック収集装置１００は、収集機能、異常トラフィック検出機能、情報保持機能を備える。また、図３（Ｂ）は、トラフィック収集装置１００の機能ブロック構成を示す模式図である。受信部１０５は、転送装置５１０，５２０，５３０からＩｎ側、Ｏｕｔ側の入力を区別して受信する。入力(Ingress)パケットフィルタ部１１０は、回線側の各転送装置５１０，５２０，５３０から受信したパケットからイーサヘッド、ＩＰヘッダ、ＴＣＰ／ＵＤＰヘッダの識別子を抽出して検索し、識別子に基づいてフィルタリングすることができる。
【００２８】
異常トラフィック検出部１２０は、Ｉｎｇｒｅｓｓパケットフィルタ部１１０を通過したＩｎ側、Ｏｕｔ側の双方のパケットを処理することで、セッションとして認識することができる。
【００２９】
出力(Egress)パケットフィルタ部１７０は、Ｉｎｇｒｅｓｓパケットフィルタ部１１０と同様に、ヘッダの識別子に基づいてパケットをフィルタリングすることができる。Ｅｇｒｅｓｓパケットフィルタ部１７０を通過したパケットは、モニタ側の送信部１８０より送信される。
【００３０】
管理部１９０は、Ｉｎｇｒｅｓｓパケットフィルタ部１１０の統計収集部１９１、異常トラフィック検出部１２０の統計収集部１９２、Ｅｇｒｅｓｓパケットフィルタ部１７０の統計収集部１９３、Ｉｎｇｒｅｓｓパケットフィルタ部１１０の設定部１９４、異常トラフィック検出部１２０の設定部１９５、及びＥｇｒｅｓｓパケットフィルタ部１７０の設定部１９６から構成される。
【００３１】
管理部１９０は、送受信部１９５を介してトラフィック分析装置７００と接続され、トラフィック分析装置７００との統計情報、設定情報のインターフェースになる。
【００３２】
以下、図４、図５、及び図６に基づいて、トラフィック収集装置１００のＩｎｇｒｅｓｓ／Ｅｇｒｅｓｓパケットフィルタ部１１０，１７０の構成、異常トラフィック検出部１２０の構成、セッション処理のフローについて説明する。これらの情報、条件を基に、図１０のリアルタイム統計情報設定管理部７０４が設計される。
【００３３】
図４にＩｎｇｒｅｓｓパケットフィルタ部１１０、Ｅｇｒｅｓｓパケットフィルタ部１７０の構成を示す。これらのパケットフィルタ部１１０，１７０は、パケットフィルタテーブル１１５で構成されている。ポリシールールに設定できるイーサヘッダ、ＩＰヘッダ、ＴＣＰ／ＵＤＰヘッダの識別子としては、図４に示すように、ＶＬＡＮ−ＩＤ、イーサプライオリティ(Ether Priority)、イーサタイプ(Ether Type)、宛先ＩＰアドレス、送信元ＩＰアドレス、ＴＯＳ、プロトコル番号、ＴＣＰフラグ、宛先ポート番号、送信元ポート番号が挙げられる。それぞれの識別子には、マスクビットを指定して範囲検索が可能である。
【００３４】
パケットフィルタテーブル１１５は、各エントリに優先度が付与されており、図４に示す例では、小さい番号が高優先度とされている。識別子を検索した結果、より高優先度にヒットしたエントリが採用され、予め設定された各エントリに対応するアクション(permit、もしくはdeny)に従って、通過(permit)か廃棄(deny)が選択される。また、パケットフィルタテーブル１１５は、エントリ毎の統計情報として、パケットカウンタ(pps)とバイトカウンタ(bps)を備えている。パケットカウンタとバイトカウンタは、検索の結果、ヒットした全てのエントリで加算される。
【００３５】
図５は、異常トラフィック検出部１２０の構成を示す模式図である。異常トラフィック検出部１２０に入力されたＩｎ側とＯｕｔ側の双方のパケットは、セッション処理部１２２に入力され、図６のセッション処理のフローチャートに従って処理される。異常トラフィック検出部１２０は、異常パケット情報保持部１３０を備えている。異常パケット情報保持部１３０は、ポートＮ（Ｉｎ／Ｏｕｔ）のシグネチャ異常データベース（ＤＢ）１３２、ポートＮ（Ｉｎ／Ｏｕｔ）のセッション異常データベース（ＤＢ）１３４、ポートＮ（Ｉｎ／Ｏｕｔ）の同時セッション数超え異常データベース（ＤＢ）１３６、ポートＮ（Ｉｎ／Ｏｕｔ）の秒間セッション数超え異常データベース（ＤＢ）１３８を含む。各データベースには、異常パケットの情報として、時間(Time)、イーサヘッダ情報、ＩＰヘッダ情報、TCP/UDPヘッダ情報、ペイロードサイズ情報が保存される。
【００３６】
ここで、図６のセッション処理について説明する。先ず、ステップＳ１では、セッション処理部にパケットが入力される。次のステップＳ２では、シグネチャを検索し、シグネチャがヒットした場合は、ステップＳ３へ進む。ステップＳ３では、シグネチャ異常パケット統計情報を加算し、ステップＳ２３へ進む。ステップＳ２３では、異常パケット情報
保存設定の有無を判定する。異常パケット情報の保存設定が有る場合は、ステップＳ２４でパケット情報を抽出し、シグネチャ異常データベース１３０に保存した後、ステップＳ４でパケットを廃棄する。一方、ステップＳ２３で異常パケット情報保存設定が無い場合は、ステップＳ４でパケットを廃棄する。
【００３７】
ステップＳ２でシグネチャがミスヒットの場合は、ステップＳ５に進み、セッション管理テーブルを検索する。セッション管理テーブルでパケットがヒットした場合は、ステップＳ６へ進み、ＦＩＮ／ＲＳＴを受信したか否かを判定する。ステップＳ６で、ＦＩＮ／ＲＳＴを受信した場合は、ステップＳ７へ進み、ステップＳ８のガーベージタイマの終了を受けて、セッション管理テーブルを削除する。その後、ステップＳ９でセッション異常パケット統計情報を加算する。ステップＳ９の後はステップＳ２５へ進み、異常パケット情報の保存設定の有無を判定する。異常パケット情報の保存設定が有る場合は、ステップＳ２６でパケット情報を抽出し、セッション異常データベース１３４に保存した後、ステップＳ１０でパケットを廃棄する。一方、ステップＳ２５で異常パケット情報の保存設定が無い場合は、ステップＳ１０でパケットを廃棄する。
【００３８】
一方、ステップＳ５で、セッション管理テーブルがミスヒットの場合は、ステップＳ１１へ進み、最初のパケット（１ｓｔパケット）を受信する。次のステップＳ１２では、ガーベージタイマを設定し、次のステップＳ１３では、同時セッション数の登録の有無を判定する。
【００３９】
ステップＳ１３で同時セッション数の登録が有る場合は、ステップＳ１４へ進み、同時セッション数が上限値であるか否かを判定する。ステップＳ１４で同時セッション数が上限値の場合は、ステップＳ１５で同時セッション数が上限値を超えた異常パケットの統計情報を加算する。ステップＳ１５の後はステップＳ２７へ進み、異常パケット情報の保存設定の有無を判定する。異常パケット情報の保存設定が有る場合は、ステップＳ２８でパケット情報を抽出し、同時セッション数超え異常データベース１３６に保存した後、ステップＳ２９でパケットを廃棄する。ステップＳ２７で異常パケット情報の保存設定が無い場合は、ステップＳ２９でパケットを廃棄する。一方、ステップＳ１４で同時セッション数が上限値でない場合、またはステップＳ１３で同時セッション数の登録がない場合は、ステップＳ１６へ進む。
【００４０】
ステップＳ１６では、秒間セッション数の登録の有無を判定し、秒間セッション数の登録がある場合は、ステップＳ１７で秒間セッション数が上限値であるか否かを判定する。テップＳ１７で秒間セッション数が上限値の場合は、ステップＳ１８で秒間セッション数が上限値を超えたパケットの統計情報を加算する。ステップＳ１８の後はステップＳ３０へ進み、異常パケット情報の保存設定の有無を判定する。異常パケット情報の保存設定が有る場合は、ステップＳ３１でパケット情報を抽出し、秒間セッション数超え異常データベース１３８に保存した後、ステップＳ１９でパケットを廃棄する。ステップＳ３０で異常パケット情報の保存設定が無い場合は、ステップＳ１９でパケットを廃棄する。一方、ステップＳ１７で秒間セッション数が上限値でない場合、またはステップＳ１６で秒間セッション数の登録がない場合は、ステップＳ２０へ進む。
【００４１】
ステップＳ２０では、セッション統計情報を加算する。次のステップＳ２１では、セッション管理テーブルを登録する。次のステップＳ２２では、パケットを出力する。ステップＳ２２の後は処理を終了する(END)。
【００４２】
セッション処理部１２２で処理されたセッションは、セッション管理テーブル１２４に登録される。このとき、登録される識別子は図５に示す５つの識別子（宛先ＩＰアドレス、送信元ＩＰアドレス、プロトコル番号、宛先ポート番号、送信元ポート番号）である。セッション統計情報保持部１２６は、セッション管理テーブル１２４に登録され、その時点で、維持されているセッション数を宛先ＩＰアドレスと送信元ＩＰアドレスの組み合わせ単位で保持している。
【００４３】
異常トラフィック検出部１２０に入力されたパケットは、図６のステップＳ２において、シグネチャ保持部１２８に登録された各シグネチャとマッチングして、当該パケットが異常パケットであるか否かを判断する。シグネチャ保持部１２８に登録されたシグネチャは、異常パケットであるパターンを記述しているものであり、例えば、宛先ＩＰアドレスと送信元ＩＰアドレスが同一であったり、送信元ＩＰアドレスが詐称されていたり、宛先のホストでＩＰパケットを再構築したときに最大長を超えるなどのパターンを記述している。異常パケット統計情報保持部１２９は、シグネチャ単位に検出した異常パケット数を保持しており、ステップＳ２でシグネチャがヒットした場合は、ステップＳ３で異常パケット統計情報が加算される。
【００４４】
トラフィック分析装置７００は、トラフィック収集装置１００の管理部１９０のＩｎｇｒｅｓｓパケットフィルタ統計収集部１９１、異常トラフィック検出統計収集部１９２、Ｅｇｒｅｓｓパケットフィルタ統計収集部１９３によって収集されたデータを秒／分間隔で定期的に吸い上げ、処理、監視、リアルタイムの表と波形表示、レポート等を生成する。トラフィック分析装置７００は、トラフィック収集装置１００が収集したデータを基にレポートと分析を実施するため、収集したデータのフォーマット情報や、データの収集方法などを認識する。
【００４５】
図７は、トラフィック分析装置７００の機能を示す模式図である。また、図８は、図７の機能を実現するためのトラフィック分析装置７００の構成を示す模式図である。トラフィック分析装置７００は演算処理部（ＣＰＵ）を備え、トラフィック分析装置７００の各構成要素は演算処理部をソフトウェア（プログラム）によって機能させることで実現できる。
【００４６】
図７に示すように、トラフィック分析装置７００は、構成管理機能、リアルタイムモニタ機能、監視機能、アラート通知機能、定時レポート機能、トラフィック自動分析機能（トラフィック分析機能）、情報・データ蓄積機能、リアルタイムモニタアラート発生原因特定分析機能を有する。
【００４７】
また、図８に示すように、トラフィック分析装置７００は、構成管理部７０２、リアルタイム統計情報設定管理部７０４、リアルタイム統計情報モニタ部７０６、アラート条件設定部７０８、アラート管理通知部７１０、定時レポート設定管理部７１２、定時統計情報モニタ部７１４、定時統計情報レポート作成部７１６、トラフィック分析設定管理部７１８、トラフィック分析部７２０、分析レポート作成部７２２、リアルタイムモニタアラート発生原因特定分析部７２４、パケット情報保持部７２６、及び統計情報データベース部７２８を備える。また、トラフィック分析装置７００は、トラフィック収集装置１００や、モニタリング装置６００との間で情報を送受信する送受信部７３０、統合管理装置８００との間で情報を送受信する送受信部７３２を備える。
【００４８】
トラフィック分析装置７００がトラフィック監視において発するアラートや、上限超えアラートの発生によって実施された原因特定分析結果レポートや、定時に生成した定時レポートと分析レポート等は、複数のトラフィック分析装置（Ａ）７００、トラフィック分析装置（Ｂ）７００、トラフィック分析装置（Ｃ）７００を統合管理する統合管理装置８００に送られる。図９は、統合管理装置８００の機能構成を示す模式図である。統合管理装置８００は、構成管理機能部８０２、アラーム表示機能部８０４、レポート蓄積機能部８０６、リアルタイムモニタアラート発生原因特定分析結果表示機能部８０８を備える。管理者は、統合管理装置８００にて、複数のトラフィック分析装置７００を統合管理し、各トラフィック分析装置７００のトラフィックデータを参照することができる。
【００４９】
トラフィック分析装置７００のリアルタイムモニタ機能（リアルタイムモニタ機能部）は、リアルタイム統計情報設定管理部７０４とリアルタイム統計情報モニタ部７０６により実現される。
【００５０】
図１０及び図１１は、リアルタイム統計情報設定管理部７０４の構成を示す模式図である。リアルタイム統計情報設定管理部７０４は、トラフィック分析装置７００によるリアルタイムの情報収集に際し、モニタする情報の設定を管理する。図１０に示すように、リアルタイム統計情報設定管理部７０４は、モニタ基本設定、モニタ項目設定を管理する。モニタ項目設定として、Ｉｎｇｒｅｓｓ／Ｅｇｒｅｓｓモニタ設定と異常トラフィックモニタ設定がある。Ｉｎｇｒｅｓｓ／Ｅｇｒｅｓｓモニタ設定には、全受信パケット基本統計設定とポリシールール統計設定がある。そして、ポリシールール統計設定としては、図１１に示すように、宛先／送信元ＩＰアドレス範囲指定統計の項目選択による設定と、ＴＣＰ／ＵＤＰポート番号分析指定設定がある。更に、ＴＣＰ／ＵＤＰポート番号分析指定にはＴＣＰ／ＵＤＰポート番号指定統計の項目選択による設定がある。図１０に示すように、「異常トラフィックモニタ設定」において、シグネチャ異常、セッション異常、同時セッション数超え異常、秒間セッション数超え異常、全異常パケット数の統計対象選択設定することができ、これらの異常に対し、「異常パケット情報保持設定」が有効な場合、図６のセッション処理フローチャートに示すように、パケット廃棄する前に、異常パケットのヘッダ情報等が抽出され、図５に示すように、異常パケット情報保持部１３０の各異常ＤＢに保存される。
【００５１】
図１２は、リアルタイム統計情報モニタ部７０６の処理を示す模式図である。リアルタイム統計情報モニタ部７０６は、リアルタイム統計情報設定管理部７０４の設定条件を基に、リアルタイムモニタ間隔設定で設定された時間間隔でトラフィック収集装置１００より収集データを取得する（ステップＳ３１）。そして、取得したデータの平均値ｐｐｓ／ｂｐｓを算出し（ステップＳ３２）、３０分間のリアルタイムモニタ波形の表示を更新する（ステップＳ３３）。ステップＳ２で算出された平均値ｐｐｓ／ｂｐｓはリアルタイムモニタ監視Ａに出力される。
【００５２】
トラフィック分析装置７００の監視機能とアラート通知機能は、リアルタイム統計情報モニタ部７０６と、アラート条件設定部７０８及びアラート管理通知部７１０との連携で実現される。
【００５３】
図１３は、アラート条件設定部７０８で行われる設定を示す模式図である。図１３に示すように、アラート条件設定部７０８では、主にリアルタイム統計情報モニタの監視設定が行われ、アラート発生時に統合監視装置８００にアラート情報を送付し、管理者にメールを発送し、上限超え原因特定分析実行等のアクション設定を行う。
【００５４】
図１４は、アラート管理通知部７１０の処理を示すフローチャートである。アラート管理通知部７１０は、アラート条件設定部７０８の設定条件に従って、リアルタイムモニタ監視Ａに出力された平均値ｐｐｓ／ｂｐｓを監視し、条件に基づいてアラートを発生させる。先ず、ステップＳ４１では、リアルタイム統計情報モニタの監視設定の有無を確認し、監視設定がある場合はステップＳ４２へ進む。ステップＳ４２では、上限閾値の設定の有無を確認し、上限設定値が有る場合は、次のステップＳ４３で平均値ｐｐｓ／ｂｐｓが上限閾値を超えたか否かを判定する。
【００５５】
ステップＳ４３で上限閾値を超えている場合は、ステップＳ４４へ進み、連続発生回数を超えたか否かを判定する。連続発生回数を超えている場合は、ステップＳ４５へ進み、アラートを発生する。具体的には、アラート条件設定部７０８の設定条件に従って、統合監視装置へのアラート情報の送付、管理者へのメール発送、リアルタイムモニタアラート発生原因特定分析部に実行変数（アラート発生時刻、アラート発生したリアルタイム統計情報設定内容）送付し、上限超え原因特定分析実行等の処理を行う。
【００５６】
一方、ステップＳ４２で上限閾値の設定が無い場合、ステップＳ４３で上限閾値を越えていない場合、またはステップＳ４４で連続発生回数を超えていない場合は、ステップＳ４６へ進む。ステップＳ４６では、下限閾値の設定の有無を確認し、下限閾値が設定されている場合は、ステップＳ４７へ進む。
【００５７】
ステップＳ４７では、下限閾値を超えたか否か（下限閾値を下回ったか否か）を判定し、下限閾値を超えている場合は、ステップＳ４８へ進み、連続発生回数を超えたか否かを判定する。連続発生回数を超えている場合は、ステップＳ４９へ進み、アラートを発生する。具体的には、統合監視装置８００へのアラート情報の送付、管理者へのメール発送等の処理を行う。
【００５８】
一方、ステップＳ４１で監視設定が無い場合、ステップＳ４６で下限閾値が設定されていない場合、ステップＳ４７で下限閾値超えが発生していない場合、またはステップＳ４８で連続発生回数を超えていない場合は、アクションを発生させない。以上のように、アラート管理通知部７１０は、アラート条件設定部７０８の設定と平均値ｐｐｓ／ｂｐｓとの比較によりアラートを発生させることができる。
【００５９】
トラフィック分析装置７００の定時レポート機能は、定時レポート設定管理部７１２と定時統計情報モニタ部７１４、及び定時統計情報レポート作成部７１６により実現される。
【００６０】
トラフィック分析装置７００のリアルタイムモニタアラート発生原因特定分析機能は、リアルタイムモニタ機能とリアルタイムモニタアラート発生原因特定分析部７２４により実現される。
【００６１】
トラフィック分析装置７００は、トラフィック監視において、図１０及び図１１のリアルタイム統計情報に図１３及び図１４の上限超えアラートが発生した場合、図１５及び図１６に示す上限超え原因特定分析を自動的に実行する。そして、その時の実行変数（アラート発生時刻、アラート発生したリアルタイム統計情報設定内容）により、統計種類を区分し、モニタリング装置６００、トラフィック収集装置１００にて、該当する回線ポート番号および回線方向のＤＢからアラート発生時刻のＫ秒前（Ｋ秒＝（図１２のリアルタイムモニタ間隔設定値×図１３の上限閾値超え連続発生回数設定値）＋６０秒  と定義し、つまり、アラート発生前、トラフィック問題発生直前の時刻）からの正常パケット情報（Ｔ２）／異常パケット情報（Ｔ３）を取得、パケット情報保持部７２６に保存し、図１５に示すように、リアルタイムモニタアラートが設定された統計項目に応じて分析する。
【００６２】
以下、図１５の処理について説明する。図１５は、リアルタイムモニタアラート発生原因特定分析部７２４で行われる処理を示しており、上限超え原因を特定する分析の処理を示している。リアルタイムモニタアラート発生原因特定分析部７２４では、送付された実行変数（アラート発生時刻、アラート発生したリアルタイム統計情報設定内容）より、アラート発生時刻／モニタ番号／回線ポート番号／回線方向／統計種類／統計項目を判明させる。そして、リアルタイムモニタアラート発生原因特定分析部７２４は、これらの情報を基にモニタリング装置６００から正常パケット情報、トラフィック収集装置１００から異常パケット情報を取得・分析し、問題が発生した端末／サブネット／アプリケーションを特定する。
【００６３】
先ず、ステップＳ１０１において、上限超えアラートを発生した際のリアルタイムモニタ統計データ（Ｔ１）を保存し、統合管理装置８００に出力する。次に、ステップＳ１０２では、上限超えアラートを発生した統計種類を区分する。
【００６４】
次に、ステップＳ１０３では、モニタリング装置６００、トラフィック収集装置１００にて、該当回線ポート番号、回線方向のデータベースからアラート発生時刻前Ｋ秒からの正常パケット情報（Ｔ２）、異常パケット情報（Ｔ３）を取得する。
【００６５】
この際、ステップＳ１０３では、モニタリング装置６００へ該当回線ポート番号、回線方向、アラート発生時刻を送付し、モニタリング装置６００の正常パケット情報保持部６０８のデータベースからアラート発生時刻のＫ秒前からのデータを要求する。この要求を受けて、モニタリング装置６００は、該当回線ポート番号、回線方向のデータベースからアラート発生時刻のＫ秒前からの正常パケット情報をトラフィック分析装置７００のリアルタイムモニタアラート発生原因特定分析部７２４へ送付する。
【００６６】
また、ステップＳ１０３では、トラフィック収集装置１００へ該当回線ポート番号、回線方向、統計項目、アラート発生時刻を送付し、トラフィック収集装置１００の異常パケット情報保持部１３０のデータベースからアラート発生時刻のＫ秒前からのデータを要求する。この要求を受けて、トラフィック収集装置１００は、該当回線ポート番号、回線方向、統計項目の異常パケット情報保持部１３０のデータベースから、アラート発生時刻のＫ秒前からのデータを送付する。
【００６７】
次のステップＳ１０４では、リアルタイムモニタアラート設定された統計項目を確認する。次のステップＳ１０５では、統計項目に応じた分析を実施する。より詳細には、ステップＳ１０５では、以下の処理を行う。
・帯域使用量が最も多い端末、サブネット、アプリケーションを特定する。
・最もマルチキャスト、ブロードキャストパケットレートを出す端末を特定する。
・最もシグネチャ異常、セッション異常を出す端末、アプリケーションを特定する。
・最もセッション数を使う端末、アプリケーションを特定する。
【００６８】
次のステップＳ１０６では、リアルタイムモニタ分析結果レポートを生成、保存し、統合管理装置に出力する。統合管理装置８００は、リアルタイムモニタ統計データを表示し、また、リアルタイムモニタ分析結果を表示する。
【００６９】
図１６は、図１５の処理を更に詳細に示す模式図である。以下、図１６に基づいて、リアルタイムモニタアラート発生原因特定分析部７２４による処理の詳細を説明する。先ず、ステップＳ１１１では、実行変数（アラート発生時刻、アラート発生したリアルタイム統計情報設定内容）を取得する。
【００７０】
次にステップＳ１１２では、上限超えアラートを発生したモニタ番号のリアルタイムモニタ統計データ（Ｔ１）を保存し、統合管理装置８００に出力する。次にステップＳ１１３では、上限超えアラートを発生した統計種類が、ａ）全受信パケット基本統計、ｂ）ポリシールール統計、ｃ）異常トラフィックモニタのいずれであるかを判定する。そして、上限超えアラートを発生した統計種類が、ａ）全受信パケット基本統計である場合は、ステップＳ１１４の後、ステップＳ１１５以降の処理に進む。上限超えアラートを発生した統計種類が、ｂ）ポリシールール統計である場合は、ステップＳ１１４の後、ステップＳ１１７以降の処理、もしくはステップＳ１１９以降の処理に進む。また、上限超えアラートを発生した統計種類が、ｃ）異常トラフィックモニタである場合は、ステップＳ１１４の後、ステップＳ１２１以降の処理に進む。
【００７１】
先ず、ステップＳ１１４では、モニタリング装置６００の正常パケット情報保持部６０８の該当回線ポート番号、回線方向のデータベースからアラート発生時時刻前Ｋ秒からの正常パケット情報（Ｔ２）を取得する。
【００７２】
上限超えアラートを発生した統計種類が、ａ）全受信パケット基本統計である場合、ステップＳ１１５へ進む。ステップＳ１１５では、リアルタイムモニタアラート設定された統計項目を確認する。ここでは、全受信パケットの基本統計として、正常受信パケットレート、正常受信ビットレート、正常受信マルチキャストパケットレート、正常受信ブロードキャストパケットレートの統計項目を確認する。
【００７３】
ステップＳ１１６では、ステップＳ１１５の統計項目に応じた分析を実施する。正常受信パケットレート、正常受信ビットレートについては、ステップＳ１１４で取得したデータＴ２（正常パケット情報）について、送信元IP毎、TCP/UDPポート毎に、ユニキャストパケットレート／ビットレートを統計し、帯域使用量が最も多い３つの端末、帯域使用量が最も多い３つのアプリケーションを特定する。正常受信マルチキャストパケットレートについては、データＴ２について、送信元IP毎にマルチキャストパケットレートを統計し、マルチキャストを最も出す３つの端末を特定する。正常受信ブロードキャストパケットレートについては、データＴ２について、送信元IP毎に、ブロードキャストパケットレートを統計し、ブロードキャストを最も出す３つの端末を特定する。
【００７４】
上限超えアラートを発生した統計種類が、ｂ）ポリシールール統計である場合は、ステップＳ１１７以降の処理、もしくはＳ１１９以降の処理に進む。ステップＳ１１７では、リアルタイムモニタアラート設定された統計項目を確認する。ここでは、送信元IPアドレス範囲（サブネット）の指定統計として、正常受信パケットレート、正常受信ビットレートの統計項目を確認する。
【００７５】
ステップＳ１１８では、ステップＳ１１７の統計項目に応じた分析を実施する。正常受信パケットレート、正常受信ビットレートについては、データＴ２について送信元IP毎、受信パケットレート／正常受信ビットレートを統計し、更にサブネット毎に統計し、帯域使用量が最も多い３つのサブネットを特定する。
【００７６】
また、ステップＳ１１９では、リアルタイムモニタアラート設定された統計項目を確認する。ここでは、TCP/UDPポート番号分析指定設定として、テーブル番号設定、プロトコル種別設定、開始ポート番号設定、終了ポート番号設定を、トラフィック分析指示情報選択設定分析指示として音声データ、映像データ、制御データ、その他のデータを確認する。
【００７７】
ステップＳ１２０では、ステップＳ１１９の統計項目に応じた分析を実施する。ここでは、データＴ２について、TCP/UDPポート番号毎に、受信ビットレートを統計し、更にポート番号指定範囲ごとに統計し、帯域使用量が最も多い３つのアプリケーションを特定する。
【００７８】
上限超えアラートを発生した統計種類が、ｃ）異常トラフィックモニタである場合は、ステップＳ１２１以降の処理に進む。ステップＳ１２１では、トラフィック収集装置の異常パケット情報保持部１３０の該当回線ポート番号、回線方向の各異常データベースからアラート発生時刻前Ｋ秒からの異常パケット情報（Ｔ３）を取得する。
【００７９】
次のステップＳ１２２では、リアルタイムモニタアラート設定された統計項目を確認する。ここでは、異常トラフィックモニタについて、シグネチャ異常、セッション異常、同時セッション超え異常、秒間セッション超え異常、の各項目について統計項目を確認する。
【００８０】
次のステップＳ１２３では、ステップＳ１２２で確認した各項目について、統計項目に応じた分析を実施する。先ず、シグネチャ異常については、シグネチャ異常データベース１３２から取得したデータＴ３（異常パケット情報Ｔ３）について送信元ＩＰごと、ＴＣＰ／ＵＤＰポートごとにシグネチャ異常を統計し、それぞれ異常数を最も多く出した３つの端末、３つのアプリケーションを特定する。セッション異常については、セッション異常データベース１３４から取得したデータＴ３について送信元ＩＰごと、ＴＣＰ／ＵＤＰポート番号毎にセッション異常を統計し、それぞれ異常数を最も多く出した３つの端末、３つのアプリケーションを特定する。同時セッション異常については、同時セッション数超え異常データベース１３６から取得したデータＴ３をデータＴ２に加えて、送信元IP毎、ＴＣＰ／ＵＤＰポート番号毎に分単位でセッション数を統計し、セッション数使用量が最も多い３つの端末、３つのアプリケーションを特定する。秒間セッション数超え異常については、秒間セッション数超え異常データベース１３８から取得したデータＴ３をデータＴ２に加えて、送信元ＩＰごと、ＴＣＰ／ＵＤＰポート番号ごとに秒単位でセッション数を統計し、セッション数使用量が最も多い３つの端末、３つのアプリケーションを特定する。
【００８１】
ステップＳ１１６，Ｓ１１８，Ｓ１２０，Ｓ１２３の後は、ステップＳ１２４に進み、リアルタイムモニタ分析結果レポートを作成し、統合管理装置８００に出力する。統合管理装置８００は、ステップＳ１２５において、リアルタイムモニタ統計データ、リアルタイムモニタ分析結果を表示する。
【００８２】
以上のように、分析によって、上限超え問題の原因を下記のように特定することができる。その後、分析結果のレポートが生成され、保存され、統合管理装置に出力される。
・帯域使用量が最も多い３つの端末／３つのサブネット／３つのアプリケーションを特定することができる。
・最もマルチキャスト、ブロードキャストパケットレートを出す３つの端末を特定することができる。
・最もシグネチャ異常、セッション異常を出す３つの端末、３つのアプリケーションを特定することができる。
・最もセッション数を使う３つの端末、３つのアプリケーションを特定することができる。
【００８３】
以上説明したように本実施形態によれば、リアルタイムで異常トラフィック／正常トラフィックを監視することができ、上限閾値超えアラートが発生した際に、自動的にリアルタイムモニタアラート発生原因特定分析機能を実行することができる。
【００８４】
また、リアルタイムモニタアラート発生原因特定分析機能の実行により、実行変数（アラート発生時刻、アラート発生したリアルタイム統計情報設定内容）により統計種類を区分し、該当回線ポート番号、回線方向のＤＢからアラート発生時刻の直前の正常パケット情報（Ｔ２）、異常パケット情報（Ｔ３）を取得することができる。そして、パケット情報の取得によって、設定された統計項目に応じて原因特定分析することができる。また、分析結果のレポートを生成して保存することができ、レポートを統合管理装置８００に出力することができる。
【００８５】
以上、添付図面を参照しながら本発明の好適な実施形態について説明したが、本発明は係る例に限定されないことは言うまでもない。当業者であれば、特許請求の範囲に記載された範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、それらについても当然に本発明の技術的範囲に属するものと了解される。
【図面の簡単な説明】
【００８６】
【図１】本発明の一実施形態に係るトラフィック収集装置のネットワークへの設置構成を示す模式図である。
【図２】モニタリング装置の機能と、その機能を実現するための構成を示す模式図である。
【図３】トラフィック収集装置の機能と構成を示す模式図である。
【図４】Ｉｎｇｒｅｓｓパケットフィルタ部、Ｅｇｒｅｓｓパケットフィルタ部の構成を示す模式図である。
【図５】異常トラフィック検出部の構成を示す模式図である。
【図６】セッション処理部による処理を示すフローチャートである。
【図７】トラフィック分析装置の機能を示す模式図である。
【図８】図７の機能を実現するためのトラフィック分析装置の構成を示す模式図である。
【図９】統合管理装置の機能構成を示す模式図である。
【図１０】リアルタイム統計情報設定管理部の構成を示す模式図である。
【図１１】リアルタイム統計情報設定管理部の構成を示す模式図である。
【図１２】リアルタイム統計情報モニタ部の処理を示す模式図である。
【図１３】アラート条件設定部で行われる設定を示す模式図である。
【図１４】アラート管理通知部の処理を示すフローチャートである。
【図１５】リアルタイムモニタアラート発生原因特定分析部で行われる、上限超え原因を特定する分析の処理を示す模式図である。
【図１６】図１５の処理をより詳細に示す模式図である。
【符号の説明】
【００８７】
１００    トラフィック収集装置
６００    モニタリング装置
７００    トラフィック分析装置
７０４    リアルタイム統計情報設定管理部
７０６    リアルタイム統計情報モニタ部
７０８    アラート条件設定部
７１０    アラート管理通知部
７２０    トラフィック分析部
７２４    リアルタイムモニタアラート発生原因特定分析部
【図１】
0004983671.tif 000002
【図２】
0004983671.tif 000003
【図３】
0004983671.tif 000004
【図４】
0004983671.tif 000005
【図５】
0004983671.tif 000006
【図６】
0004983671.tif 000007
【図７】
0004983671.tif 000008
【図８】
0004983671.tif 000009
【図９】
0004983671.tif 000010
【図１０】
0004983671.tif 000011
【図１１】
0004983671.tif 000012
【図１２】
0004983671.tif 000013
【図１３】
0004983671.tif 000014
【図１４】
0004983671.tif 000015
【図１５】
0004983671.tif 000016
【図１６】
0004983671.tif 000017