情報セキュリティおよびユーザサポートを目的としたキャンパスネットワークにおける監視および情報収集機能
鳩野 逸生
神戸大学 情報基盤センター

hatono@kobe-u.ac.jp

Monitoring and Information Gathering Functions
for Information Security and User Support on a Campus NetworkItsuo Hatono
Information Science and Technology Center, Kobe Univ.

概要
神戸大学では, 2018 年 1 月にキャンパスネットワークネットワークの全面更新を実施した．本稿では，キャンパ
スネットワーク (Kobe University Hyper Academic Network: KHAN 2017) で実施している情報セキュリティ監視およびユーザサポートのための情報収集機能について概説する．

1 はじめに神戸大学では 2018 年 2 月にネットワークを更新(KHAN2017)[1] した*1 . KHAN2017 においては情報セキュリティ監視・ユーザサポート・ネットワーク利用状況の把握を目的とした情報収集を実施するとともに，ネットワーク情報に関して収集した情報の集計, 参照および検索機能を開発し導入している．本稿では，
神戸大学キャンパスネットワーク KHAN2017 におけるネットワーク上の情報収集を目的として導入あるいは開発したソフトウェアの機能について概説する.
図 1 KHAN2017 の物理構成

2 KHAN2017 における情報収集
KHAN2017 は，基幹ルータ, Firewall 装置, 学内各学部に設置した集約スイッチおよびユーザ機器接続用のエッジスイッチ約 400 台，無線 LAN コントロー
ラおよびアクセスポイント (AP)400 台で構成されており，ルータを集約した L2 構成のネットワークとし構築されている，ネットワークの論理的な構成は，グローバルアドレスを利用したグローバルネットワー
ク，プライベートアドレスを利用した研究室向けおよび事務向けプライベートネットワークで構成されている．KHAN2017 の物理構成を図 1 に示す [1]．
ネットワークを運用する場合，ネットワーク機器の障害，ユーザからの接続不良申告, ネットワーク機器の予防保全, 情報セキュリティインシデント発生時などのほぼ全ての場合に，ネットワーク機器からの情報収集が必要となる．障害が発生した時点でネットワー
ク機器から情報収集を行う場合，その時点で障害対象*1 神戸大学のキャンパスネットワークは, KHAN(Kobe Hy-per Academic Network) と命名され，ネットワーク整備年度により，KHAN XXXX (XXXX: 年度) と呼ばれている.

461
462となる機器の情報が失われている場合も多い*2 この*2 接続障害の場合は，ネットワーク接続が失われた後に申告がような状況において，過去にどのような機器がどこに接続されていたかに関する情報が必須である．また，

4 Syslog 情報収集

ネットワークの更新などを実施する場合は，利用者か

KHAN2017 では，ネットワーク機器が発生するロらの要望の査定には，実際の利用状況の把握が必要とグ情報を集約するためのサーバを導入している．すべなることが想定される．てのネットワーク機器に対して，syslog サーバをログ

このような状況に対応するため，KHAN2017 には収集サーバに設定している．ログ収集サーバにおいて単なる syslog 情報の集積や商用のネットワーク管理

は，rsyslog[5] を利用して，年，月, 日毎にフォルダをシステムを利用するだけでなく，必要な情報を収集作成してログ情報を蓄積している．

するためのプログラムの開発を行っている．以下に，収集されたログ情報は，ログ収集サーバにログイン

KHAN2017 で実施している情報収集および監視機能することにより参照することができるが，技術者でなの概要について述べる．

い職員でも容易に参照できることを目的とし，Web ブ

3 Network Management System(NMS) による監視
3.1

ラウザからログ情報を参照するためのインタフェースを実装している．

5 通信状況の収集

有線ネットワーク

KHAN2017 を構成するネットワーク機器の管理を

5.1

Firewall における通信情報取得行うために，商用の NMS を導入している (Zoho 社

KHAN2017 においては，学内と学外，およびプライ製 OpManager)[2]. ネットワーク機器の中で，各建物ベートアドレスとグローバルアドレスのネットワークのフロアに設置されたスイッチ (エッジスイッチ) をの境界に, 次世代 Firewall 装置 (Paloalto 社)[6] を導除くすべての機器に，NMS を snmp(Simple Network入しており，Traﬃc ログおよび URL ログを収集してManagement Protocol) サーバとして登録して機器のいる．収集された情報は，syslog によりログ収集サー死活・性能管理を実施している*3 ．機器のダウン，重バに送信するとともに，夜間バッチ処理によって, 前大な Trap の発生，トラフィック情報の大幅な変化に日分のログをログ収集サーバに送信している．

対して，Alert が発生するように設定している．機器

ログ収集サーバに蓄積された情報は，莫大な容量にの停止など重大な Alert に関しては，事務室内のパトなるため，夜間のバッチ処理により，IP アドレス毎にライトを点灯させるとともに，メールを発信して管理トラフィック情報，アプリケーション情報, URL 情報者に通知している．などを集約し，Web ブラウザから参照するためのイ

また，エッジスイッチにおいて，ループが発生したンタフェースを実装している．表示画面例を図 2 に示場合，該当ポートの遮断とともに Trap が発生するよす．図 2(a) における集計条件設定画面では，集計範うに設定しているが，ループの Trap は，パトライト

囲，対象セグメント, 表示情報の選択が可能である．

機器へ直接送信するようにしている．

5.2

3.2

無線ネットワーク

sFlow を用いた学内通信状況取得

前述の Firewall における通信情報取得において，KHAN2017 において，全学無線 LAN サービス実現

Firewall 装置を通過する通信に関する情報は取得できのために HPE/Aruba 社製の製品を導入しているが，るが，プライベートネットワーク内の通信など Fire-AP およびユーザの接続状況を監視するために, 同社

wall 装置を通過しないものに関しての情報を取得する

製の AirWave を導入している [3]．AirWave においことはできない．KHAN2017 においては，基幹ルーては，無線コントローラおよびアクセスポイント (以タおよび基幹ルータに直結しているネットワーク機器

下 AP) の死活管理，利用電波帯域の状況，セッションのインタフェースにおいて，sFlow を用いた通信のサ情報を含むユーザの利用状況の監視を行っている. 特ンプリング情報を収集し，商用の sFlow コレクタでに，ユーザのセッション情報 (接続情報) に関しては，ある NetFlowAnayzer で収集している [4]．これによ

一日に一度前日の情報を収集して保存している*4 ．

り，Firewall 装置を通過しない通信に関する情報もある程度取得できる*5 .

行われる場合が多い.
*3 すべての機器を登録するためのライセンスを取得していない

ため，管理対象の末端の L2 スイッチは登録していない．
*4 AirWave で利用可能なリソースの関係で詳細情報は数カ月分しか保存されないためである.

*5 KHAN2017 は, L2 構成のネットワークであるため，セグメント間通信であれば必ず基幹ルータを経由する.

462463

(a) 接続機器検索画面(a) 集計条件設定画面(b) 検索結果例(b) 集計結果表示例(c) 接続統計表示画面例
図3

接続機器検索画面および統計参照画面(c) IP 毎詳細画面
図 2 Firewall における通信情報集計表示

6.2

エッジスイッチへの機器接続情報

学内ネットワークへの機器接続状況を把握するた6 その他ネットワーク利用状況収集

め，1 時間に 1 回の周期で，KHAN2017 の管理対象

その他ネットワークの運用およびセキュリティインであるすべてのエッジスイッチ (約 400 台) のすべてシデント対応に必要な，IP の利用状況, ネットワーの Mac アドレステーブルを取得し，同時に収集したク機器設定情報およびネットワーク機器へのネット基幹ルータ上の ARP 情報と照合して得られた利用しワーク機器の接続情報を, ネットワーク機器が提供すている IP アドレスおよび接続ポートとともに記録しる REST API(Restfull API) 機能または snmp によている．

る取得プログラムを開発し一定間隔で実行している．

収集された情報は，IP アドレス，Mac アドレスからどのエッジスイッチに接続されているかを検索する

6.1 IP アドレスの利用状況
1 時間毎に, 基幹ルータ機器上の ARP テーブルをためのインタフェースを実装するとともに，接続機器取得することにより，学内に存在するセグメントの IP数の統計が参照できるようにしている．検索画面およの利用状況を記録している．

び統計参照画面例を図 3 に示す．

463
464

力情報の解釈が困難な場合がある．

KHAN2017 においては，ベンダーから十分な情報が得られたため実装可能であったが，今後のプログラムのメンテナンスに関しては十分に注意する必要があ
る．Firmware のアップデータによる動作が変わる可(a) エッジスイッチポート設定確認/変更画面

能性があるためである*6 ．

9 終わりに2018 年 2 月の KHAN2017 稼働開始以来，現在に至るまで本稿における情報収集機能は稼働中である．収集された情報は，開発の意図通り障害時の状況把握，ユーザサポート, 情報セキュリティインシデント発生(b) セグメント/VLAN のエッジスイッチポート割付状況表時の調査に利用されている．

示画面

今 後 は ，前 ネ ッ ト ワ ー ク に お い て も 収 集 し た 同

図 4 エッジスイッチ設定状況確認及び設定変更画面

種の情報と現在の収集情報を照合することにより，ネットワークに利用状況がどのような変化したか，KHAN2017 で導入したプライベートネットワークが意図通り利用されているかの検証に用いる予定で

7 ネットワーク機器設定情報の取得ある．

1 週間に一度の周期で，すべてのネットワーク機器の設定情報 (conﬁg) を取得し，保存している．収集した設定情報を用いることにより，エッジスイッチのポート毎のセグメント割り付け情報，および各セグメントがどのエッジスイッチのポートに設定されているかを参照することができる．現在，Web インタフェー
スからエッジスイッチのセグメント割り当ての変更機
能の開発を行っている．図 4 にエッジスイッチポート
設定確認/変更画面およびセグメントの割り付け状況
確認画面例を示す．

参考文献[1] 鳩野，伴, 伊達, 北内: 神戸大学におけるキャンパスネットワークの更新および全学無線 LANサービスと統合した研究室向けプライベートネッ
トワークの導入, 情報処理学会研究報告, 2018-IOT-43, 2018.
[2] Zoho

社:

ManageEngine

OpManager:

https://www.manageengine.jp/products/
OpManager/ (2019 年 9 月現在)
[3] HPE 社: Aruba AirWave ネ ッ ト ワ ー ク 管 理:

8 収集情報機能の実装における問題点
ネットワーク機器から情報を収集するにあたって，(1) REST-API, (2) snmp, (3) CLI(Comman LineInterface) を利用しているが，実装に当たっては，以下の様な問題点がある．

https://www.arubanetworks.com/ja/products/networking/management/airwave/ (2019 年 9月現在)[4] Zoho 社: NetFlow/sFlow 対応: フローコレクタ,
https://www.manageengine.jp/products/ Net-• 古いネットワーク機器は，REST-API を実装していない場合があり，この場合は snmp を利用する必要がある．snmp を利用する場合も，標準 MIBで対応していない場合は，ネットワーク機器ベン

Flow Analyzer/ (2019 年 9 月現在)
[5] rsyslog: The rocket-fast Syslog Server - rsylog,
https://rsyslog.com/ (2019 年 9 月現在)
[6] Paloalto

Networks:PA-5200

Series,ダーや Firmware のバージョンによって動作が異https://www.paloaltonetworks.jp/products/なる場合がある.

secure-the-network/next-generation-• REST API の利用に際し，十分なマニュアル情報ﬁrewall/pa-5200-series (2019 年 9 月現在)が得られない場合がある.

• REST API および snmp でも収集できない情報がある場合は，CLI を利用する必要があるが, 出

464
465

*6 情報収集プログラム開発中に Firware のマイナーバージョンが異なった同一ベンダーの機器で, REST API または snmpの動作が異なる場合があることに複数回遭遇した.