(57)【要約】本発明は、ビッグデータシステムにおけるセッション別パケット収集に基づくログ生成方法及び装置に関し、本発明による装置は、クライアントとサーバとの間に樹立するセッション別に生成される複数のパケット保管部を含むセッション管理部と、クライアントとサーバとの間に交換されるパケットを受信してセッション別に複数のパケット保管部に分配するパケット分配部と、パケット保管部にセッション別に保管される要請パケットと応答パケットを要請メッセージと応答メッセージに再構築し、要請メッセージから抽出された情報と応答メッセージから抽出された情報をマッピングしてログを生成するログ生成部とを含む。
2020508592.tif 000002
【特許請求の範囲】
【請求項１】
クライアントとサーバとの間に樹立するセッション別に生成される複数のパケット保管部を含むセッション管理部と、
クライアントとサーバとの間に交換されるパケットを受信してセッション別に前記複数のパケット保管部に分配するパケット分配部と、
前記パケット保管部にセッション別に保管される要請パケットと応答パケットを要請メッセージと応答メッセージに再構築し、前記要請メッセージから抽出された情報と前記応答メッセージから抽出された情報をマッピングしてログを生成するログ生成部とを含み、
前記セッション管理部は、クライアントとサーバとの間にセッションが樹立する度に、前記樹立するセッションに対応するパケット保管部を生成するセッション別パケット収集に基づくログ生成装置。
【請求項２】
前記セッション管理部は、前記複数のパケット保管部をインメモリ（Ｉｎ−ｍｅｍｏｒｙ）上でスケール−アウト（ｓｃａｌｅ−ｏｕｔ）拡張が可能な論理的構造を有するように生成する請求項１に記載のセッション別パケット収集に基づくログ生成装置。
【請求項３】
前記複数のパケット保管部は、前記パケット分配部でセッション別に分配されるパケットを要請パケット及び応答パケットに区分してスタック（ｓｔａｃｋ）方式で保管する請求項１に記載のセッション別パケット収集に基づくログ生成装置。
【請求項４】
前記セッション管理部は、前記複数のパケット保管部のうち所定のパケット保管部に要請メッセージ及び応答メッセージを構成する要請パケットと応答パケットが全て保管されたと判断すれば、前記所定のパケット保管部に保管された要請パケットと応答パケットを前記ログ生成部に提供する請求項３に記載のセッション別パケット収集に基づくログ生成装置。
【請求項５】
前記ログ生成部は、前記要請パケットと前記応答パケットのプロトコルによって前記要請メッセージと前記応答メッセージを再構築し、前記再構築された要請メッセージと前記再構築された応答メッセージから前記プロトコルによって予め設定された情報を抽出してログを生成する請求項４に記載のセッション別パケット収集に基づくログ生成装置。
【請求項６】
クライアントとサーバとの間に樹立するセッション別にパケット保管部を生成する段階と、
クライアントとサーバとの間に交換されるパケットを受信してセッション別に分配して対応するパケット保管部に保管する段階と、
パケット保管部にセッション別に保管される要請パケットと応答パケットを要請メッセージと応答メッセージに再構築する段階と、
前記要請メッセージから抽出された情報と前記応答メッセージから抽出された情報をマッピングしてログを生成する段階とを含み、
クライアントとサーバとの間にセッションが樹立する度に、前記樹立するセッションに対応するパケット保管部を生成するセッション別パケット収集に基づくログ生成方法。
【請求項７】
前記パケット保管部は、インメモリ上でスケール−アウト拡張が可能な論理的構造を有するように生成される請求項６に記載のセッション別パケット収集に基づくログ生成方法。
【請求項８】
前記パケット保管部は、前記セッション別に分配されるパケットを要請パケット及び応答パケットに区分してスタック方式で保管する請求項６に記載のセッション別パケット収集に基づくログ生成方法。
【請求項９】
前記パケット保管部に要請メッセージ及び応答メッセージを構成する要請パケットと応答パケットが全て保管されたと判断すれば、前記パケット保管部に保管された要請パケットと応答パケットを前記パケット保管部に保管された逆の順序で接続して前記要請メッセージと前記応答メッセージを再構築する請求項８に記載のセッション別パケット収集に基づくログ生成方法。
【請求項１０】
前記要請パケットと前記応答パケットのプロトコルによって前記要請メッセージと前記応答メッセージを再構築し、前記再構築された要請メッセージと前記再構築された応答メッセージから前記プロトコルによって予め設定された情報を抽出して前記ログを生成する請求項９に記載のセッション別パケット収集に基づくログ生成方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ログ生成方法及び装置に関し、さらに詳しくは、ビッグデータシステムにおけるセッション別パケット収集に基づくログ生成方法及び装置に関する。
【背景技術】
【０００２】
最近では、ＩＴ技術の発達により多様な情報収集と共有が容易になり、企業または組職の重要な内部情報が流出され得る経路が多様化されている傾向にある。一方、企業や公共機関はセキュリティ異常行為またはセキュリティ異常兆候（以下、異常兆候という）を探知するために、クライアントとサーバとの間に交換されるパケットを収集して膨大な量のログデータを生成しているが、一般的にログデータの生成は、ネットワーク区間で送受信されるパケットを単純にキャプチャして記録する程度に留まっている。
【０００３】
膨大な量のビックデータの形で生成されるログデータを、ログ生成段階からシステムに及ぶ負荷を最小化しながらも、応答と要請を対応させてログ形式で生成することができる方法が要求されている。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
従って、本発明が解決しようとする技術的課題は、ビッグデータシステムにおけるセッション別パケット収集に基づいて互いに対応する要請メッセージと応答メッセージから抽出された情報をマッピングしてログを生成する方法及び装置を提供することにある。
【課題を解決するための手段】
【０００５】
上記の技術的課題を解決するための本発明によるセッション別パケット収集に基づくログ生成装置は、クライアントとサーバとの間に樹立するセッション別に生成される複数のパケット保管部を含むセッション管理部と、クライアントとサーバとの間に交換されるパケットを受信してセッション別に前記複数のパケット保管部に分配するパケット分配部と、前記パケット保管部にセッション別に保管される要請パケットと応答パケットを要請メッセージと応答メッセージに再構築し、前記要請メッセージから抽出された情報と前記応答メッセージから抽出された情報をマッピングしてログを生成するログ生成部とを含む。
【０００６】
前記セッション管理部は、クライアントとサーバとの間にセッションが樹立する度に、前記樹立するセッションに対応するパケット保管部を生成することができる。
【０００７】
前記セッション管理部は、前記複数のパケット保管部をインメモリ（Ｉｎ−ｍｅｍｏｒｙ）上でスケール−アウト（ｓｃａｌｅ−ｏｕｔ）拡張が可能な論理的構造を有するように生成することができる。
【０００８】
前記複数のパケット保管部は、前記パケット分配部でセッション別に分配されるパケットを要請パケット及び応答パケットに区分してスタック（ｓｔａｃｋ）方式で保管することができる。
【０００９】
前記セッション管理部は、前記複数のパケット保管部のうち所定のパケット保管部に要請メッセージ及び応答メッセージを構成する要請パケットと応答パケットが全て保管されたと判断すれば、前記所定のパケット保管部に保管された要請パケットと応答パケットを前記ログ生成部に提供することができる。
【００１０】
前記ログ生成部は、前記要請パケットと前記応答パケットのプロトコルによって前記要請メッセージと前記応答メッセージを再構築し、前記再構築された要請メッセージと前記再構築された応答メッセージから前記プロトコルによって予め設定された情報を抽出してログを生成することができる。
【００１１】
上記の技術的課題を解決するための本発明によるセッション別パケット収集に基づくログ生成方法は、クライアントとサーバとの間に樹立するセッション別にパケット保管部を生成する段階と、クライアントとサーバとの間に交換されるパケットを受信してセッション別に分配して対応するパケット保管部に保管する段階と、パケット保管部にセッション別に保管される要請パケットと応答パケットを要請メッセージと応答メッセージに再構築する段階と、前記要請メッセージから抽出された情報と前記応答メッセージから抽出された情報をマッピングしてログを生成する段階とを含む。
【発明の効果】
【００１２】
本発明によると、要請メッセージとそれに対応する応答メッセージを互いにマッピングしてログを生成することができるという長所がある。また、セッション別に要請パケットと応答パケットを区分してスタック方式で保管するため、ネットワーク通信上でＳＹＮ、ＡＣＫなどの処理に気を使わないことでパケットを通じた高速ログ収集が可能であるという長所がある。
【図面の簡単な説明】
【００１３】
【図１】本発明の一実施例によるセッション別パケット収集に基づくログ生成装置の構成を示したブロック図である。
【図２】図１のログ生成装置の構成をさらに詳しく示したブロック図である。
【図３】本発明の一実施例によるセッション別パケット収集に基づくログ生成方法を説明するために提供されるフローチャートである。
【発明を実施するための形態】
【００１４】
それでは、添付の図面を参考して本発明の実施例について本発明が属する技術分野で通常の知識を持った者が容易に実施できるように詳しく説明する。
【００１５】
図１は、本発明の一実施例によるセッション別パケット収集に基づくログ生成装置の構成を示したブロック図である。
【００１６】
図１を参考すると、クライアント１０ａ、１０ｂ、…、１０ｎとサーバ２０は、通信網３０を通じて要請メッセージと応答メッセージを交換することができる。
【００１７】
通信網３０は、構内情報通信網（ｌｏｃａｌ  ａｒｅａ  ｎｅｔｗｏｒｋ：ＬＡＮ）、都市圏通信網（ｍｅｔｒｏｐｏｌｉｔａｎ  ａｒｅａ  ｎｅｔｗｏｒｋ：ＭＡＮ）、広域通信網（ｗｉｄｅ  ａｒｅａ  ｎｅｔｗｏｒｋ：ＷＡＮ）、インターネットなどを問わず、通信方式も有線、無線を問わず如何なる通信方式でも構わない。
【００１８】
クライアント１０ａ、１０ｂ、…、１０ｎとサーバ２０は、セッションを樹立し、ＨＴＴＰ、ＦＴＰ、ＩＰ、ＴＣＰ、ＤＮＳなどのプロトコル（ｐｒｏｔｏｃｏｌ）に基づいて要請パケットと応答パケットを交換することができる。
【００１９】
セッション別パケット収集に基づくログ生成装置１００は、クライアント１０ａ、１０ｂ、…、１０ｎとサーバ２０と間に通信網３０を通じて交換されるパケットを収集してログを生成する機能を行う。
【００２０】
図２は、図１のログ生成装置１００の構成をさらに詳しく示したブロック図である。
【００２１】
図２を参考すると、本発明によるログ生成装置１００は、パケット分配部１１０、セッション管理部１２０及びログ生成部１３０を含むことができる。セッション管理部１２０は、複数のパケット保管部１２０ａ、１２０ｂ、…、１２０ｍを含むことができる。
【００２２】
パケット分配部１１０は、クライアント１０ａ、１０ｂ、…、１０ｎとサーバ２０との間に交換されるパケットを受信してセッション別に分類し、当該セッションに対応するパケット保管部１２０ａ、１２０ｂ、…、１２０ｍにパケットを分配する機能を行う。
【００２３】
セッション管理部１２０は、クライアント１０ａ、１０ｂ、…、１０ｎとサーバ２０に樹立するセッション別にパケット保管部を生成することができる。例えば、クライアント１０ａ、１０ｂ、…、１０ｎとサーバ２０との間に新しいセッションが樹立する度に、セッション管理部１２０は、新しく樹立するセッションに対応するパケット保管部をインメモリ（Ｉｎ−ｍｅｍｏｒｙ）上でスケール−アウト（ｓｃａｌｅ−ｏｕｔ）拡張が可能な論理的構造を有するように生成することができる。もちろん、セッション管理部１２０は、終了するセッションがあればそれに合わせて当該セッションのパケット保管部を削除することができる。
【００２４】
セッション管理部１２０は、新しく樹立するセッションのクライアント側ＩＰ：ポート（ＩＰ：ＰＯＲＴ）とサーバ側ＩＰ：ポートを固有キーとしてパケット保管部を生成することができ、パケット分配部１１０は、受信されたパケットの出発地ＩＰ：ポートと目的地ＩＰ：ポートに基づいてセッション別にパケットを分配することができる。
【００２５】
複数のパケット保管部１２０ａ、１２０ｂ、…、１２０ｍは、パケット分配部１１０でセッション別に分配して伝達するパケットを要請パケット及び応答パケットに区分してスタック（ｓｔａｃｋ）方式で保管することができる。
【００２６】
セッション管理部１２０は、複数のパケット保管部１２０ａ、１２０ｂ、…、１２０ｍのうち所定のパケット保管部に要請メッセージを構成する要請パケットと応答メッセージを構成する応答パケットが全て保管されたと判断すれば、所定のパケット保管部に保管された要請パケットと応答パケットをログ生成部１３０に提供することができる。
【００２７】
例えば、クライアント１０ａとサーバ２０との間に「セッションＡ」が樹立すれば、セッション管理部１２０は、「セッションＡ」に対応するパケット保管部１２０ｍを生成することができる。そして、クライアント１０ａからサーバ２０に「セッションＡ」を通じて伝達する要請メッセージの要請パケットは、パケット分配部１１０から受信される順にパケット保管部１２０ｍに伝達して保管される。同様に、サーバ２０が応答メッセージを「セッションＡ」を通じてクライアント１０ａに伝達すれば、応答メッセージの応答パケットは、パケット分配部１１０から受信される順にパケット保管部１２０ｍに伝達して保管される。
【００２８】
従って、一連の要請パケットと一連の応答パケットが受信された後に、新しい要請パケットが受信されれば、一対の要請メッセージと応答メッセージを構成するパケットがパケット保管部１２０ｍに全て保管されたと判断することができる。もちろん、新しい要請パケットが受信されなくても、当該セッションの最後の応答パケットが受信されてから一定時間（例えば、１０秒など予め設定された時間であってもよい）が経過してからも新しい要請パケットが受信されなければ、一対の要請メッセージと応答メッセージを構成する全てのパケットがパケット保管部１２０ｍに保管されたと判断することができる。
【００２９】
ログ生成部１３０は、複数のパケット保管部１２０ａ、１２０ｂ、…、１２０ｍにセッション別に保管される要請パケットと応答パケットを要請メッセージと応答メッセージに再構築し、再構築された要請メッセージから抽出された情報及び応答メッセージから抽出された情報をマッピングしてログを生成する機能を行う。
【００３０】
ログ生成部１３０は、要請パケットと応答パケットのプロトコルによって要請メッセージと応答メッセージを再構築し、再構築された要請メッセージ及び応答メッセージから当該プロトコルによって予め設定された情報を抽出してログを生成することができる。
【００３１】
下記の表１は、プロトコルによってログ生成部１３０でログ生成のために抽出する情報を例示したものである。
【００３２】
【表１】
2020508592.tif 000003
もちろん、表１は、ログ生成部１３０でログ生成のために要請メッセージと応答メッセージから抽出可能な情報を例示したものであり、それ以外に他の情報が抽出されてログに含まれることもできる。
【００３３】
図３は、本発明の一実施例によるセッション別パケット収集に基づくログ生成方法を説明するために提供されるフローチャートである。
【００３４】
図１〜図３を参考すると、セッション管理部１２０は、クライアント１０ａ、１０ｂ、…、１０ｎとサーバ２０との間に樹立するセッション別にパケット保管部１２０ａ、１２０ｂ、…、１２０ｍをそれぞれ生成することができる（Ｓ３１０）。段階（Ｓ３１０）において、セッション管理部１２０は、新しく樹立するセッションに対応するパケット保管部をインメモリ（Ｉｎ−ｍｅｍｏｒｙ）上でスケール−アウト（ｓｃａｌｅ−ｏｕｔ）拡張が可能な論理的構造を有するように生成することができる。もちろん、セッション管理部１２０は、終了するセッションがあればそれに合わせて当該セッションのパケット保管部を削除することができる。
【００３５】
次に、パケット分配部１１０は、クライアント１０ａ、１０ｂ、…、１０ｎとサーバ２０との間に交換されるパケットを受信する度にセッション別に分類して対応するパケット保管部１２０ａ、１２０ｂ、…、１２０ｍに伝達して保管されるようにすることができる（Ｓ３２０）。段階（Ｓ３２０）において、パケット保管部１２０ａ、１２０ｂ、…、１２０ｍは、受信されるパケットを要請パケットと応答パケットに区分してスタック方式で保管することができる。
【００３６】
段階（Ｓ３２０）を行う途中で新しいセッションがクライアント１０ａ、１０ｂ、…、１０ｎとサーバ２０との間に樹立すれば、セッション管理部１２０は、段階（Ｓ３１０）を行うことができる。
【００３７】
段階（Ｓ３１０）〜段階（Ｓ３２０）を行う途中で、セッション管理部１２０は、複数のパケット保管部１２０ａ、１２０ｂ、…、１２０ｍのうち所定のパケット保管部に要請メッセージを構成する要請パケットと応答メッセージを構成する応答パケットが全て保管されたと判断すれば（Ｓ３３０−Ｙ）、所定のパケット保管部に保管された要請パケットと応答パケットをログ生成部１３０に提供することができる（Ｓ３４０）。
【００３８】
次に、ログ生成部１３０は、パケット保管部１２０ａ、１２０ｂ、…、１２０ｍで提供される要請パケットと応答パケットを要請メッセージと応答メッセージに再構築し（Ｓ３５０）、再構築された要請メッセージから抽出された情報及び応答メッセージから抽出された情報をマッピングしてログを生成することができる（Ｓ３６０）。
【００３９】
段階（Ｓ３６０）において、ログ生成部１３０は、要請パケットと応答パケットのプロトコルによって要請メッセージと応答メッセージを再構築し、再構築された要請メッセージと応答メッセージで当該プロトコルによって予め設定された情報を抽出してログを生成することができる。
【００４０】
本発明の実施例は、多様なコンピュータで実現される動作を行うためのプログラム命令を含むコンピュータで読み込むことができる媒体を含む。この媒体は、上述したセッション別パケット収集に基づくログ生成方法を実行させるためのプログラムを記録する。この媒体は、プログラム命令、データファイル、データ構造などを単独でまたは組み合わせて含むことができる。このような媒体の例としては、ハードディスク、フロッピーディスク及び磁気テープのような磁気媒体、ＣＤ及びＤＶＤのような光記録媒体、フロプティカルディスク（ｆｌｏｐｔｉｃａｌ  ｄｉｓｋ）と磁気−光媒体、ロム、ラム、フラッシュメモリーなどのようなプログラム命令を格納し行うように構成されたハードウェア装置などがある。またはこのような媒体は、プログラム命令、データ構造などを指定する信号を伝送する搬送波を含む光または金属線、導波管などの伝送媒体であることができる。プログラム命令の例としては、コンパイラによって作られるような機械語コードだけでなく、インタプリタなどを使用してコンピュータによって実行されることができる高級言語コードを含む。
【００４１】
以上で、本発明の好ましい実施例について詳しく説明したが、本発明の権利範囲は、これに限定されるものではなく、下記の請求の範囲で定義している本発明の基本概念を利用した当業者の様々な変形及び改良形態も本発明の権利範囲に属する。
【図１】
2020508592.tif 000004
【図２】
2020508592.tif 000005
【図３】
2020508592.tif 000006
【国際調査報告】
2020508592.tif 000007
2020508592.tif 000008
2020508592.tif 000009
2020508592.tif 000010