JP4556981B2 - ネットワーク監視装置及びネットワーク監視方法 - Google Patents

Description

本発明は、ネットワーク監視装置及びネットワーク監視方法に関し、特に、複数の回線から特定のトラフィックを抽出することで、モニタリング装置の負荷を軽減したネットワーク監視装置及び監視方法に関する。

インターネットなどのネットワークの普及に伴い、ネットワークをモニタリングする技術が行われている。例えば特許文献１には、低速回線のフレームを分解して、高速回線に再フレーミングして多重にすることで、測定システムの設置数を削減し、効率的なネットワーク監視を実現することが記載されている。

特開２００６−２２９９４６号公報

ネットワーク監視において、特許文献１のようにシステム構成にフィルタを備える場合、特定のパケットを遮断することはできるが、フィルタでは、トラフィックの挙動を検出することができない。このため、フィルタを備えるシステムでは、不正なデータを送信してコンピュータを使用不能に陥れたり、トラフィックを増大させてネットワークを麻痺させるような、いわゆるＤｏＳ攻撃に対する対処が必ずしも十分ではない。このようなシステムでは、ＤｏＳ攻撃が発生した場合、ネットワーク監視を行うモニタリング装置において無用なトラフィックが流入し、効率的なネットワーク監視を実現することは困難である。

また、特許文献１に記載された手法では、ネットワークアナライザを集約することは可能であるが、ネットワークアナライザは重複ＩＰアドレスに対応することはできない。例えば企業向けのＶＰＮ、小規模ＩＳＰ、地域向けのＣＡＴＶなどでは、各加入者にプライベートＩＰアドレスを割り与えることが多い。この場合、そのまま回線を接続すると、加入者間でＩＰアドレスが重複して干渉してしまう。加入者のトラフィックを監視する場合、タップ装置によりネットワークアナライザ（モニタリング装置）を接続するが、ネットワークアナライザが重複ＩＰアドレスに対応していない場合は、加入者のトラフィックを正確に監視することができないという問題がある。

そこで、本発明は、上記問題に鑑みてなされたものであり、本発明の目的とするところは、トラフィックの挙動を検出することで効率的なネットワーク監視を実現することが可能な、新規かつ改良されたネットワーク監視装置及びネットワーク監視方法を提供することにある。

上記課題を解決するために、本発明のある観点によれば、ネットワークへ接続されるアクセス網に接続されるネットワーク監視装置であって、ネットワークからアクセス網へ入力される入力側の通信データと、アクセス網からネットワークへ出力される出力側の通信データとを区別して受信する受信部と、前記入力側の通信データと前記出力側の通信データの双方に基づいて異常トラフィックを検出する異常トラフィック検出部と、を備えるネットワーク監視装置が提供される。

上記構成によれば、ネットワークからアクセス網へ入力される入力側の通信データと、アクセス網からネットワークへ出力される出力側の通信データとが区別して受信され、入力側の通信データと出力側の通信データの双方に基づいて異常トラフィックが検出される。従って、双方向の通信データのトラフィックの挙動に基づいて、ＤｏＳ攻撃などの異常状態を検出することが可能となる。これにより、ネットワーク監視をモニタするモニタリング装置において、無用なトラフィックが流入しないため、効率的なネットワーク監視を実現することができる。

また、前記異常トラフィック検出部は、前記入力側の通信データ及び前記出力側の通信データの双方をセッションとして認識するセッション処理部と、異常な通信データを表すシグネチャが登録されたシグネチャ保持部と、を備え、前記シグネチャと、各セッションにおける前記入力側の通信データ及び前記出力側の通信データとの比較により前記異常トラフィックを検出するものであってもよい。かかる構成によれば、予め登録された異常な通信データを表すシグネチャに基づいて、各セッション毎に異常トラフィックを検出することができる。

また、前記異常トラフィック検出部は、同時セッション数又は秒間セッション数が上限値に達した場合に前記異常トラフィックを検出し、該当する通信データを廃棄するものであってもよい。かかる構成によれば、同時セッション数又は秒間セッション数が上限値に達した場合は、異常トラフィックが検出されて通信データが廃棄されるため、ＤｏＳ攻撃などを受けた場合に、通信データを廃棄することが可能となる。

また、前記通信データに含まれるソースＩＰアドレス及びＶＬＡＮ−ＩＤに基づいて、ソースＩＰアドレスが重複しているか否かを検出し、ソースＩＰアドレスが重複している場合に当該通信データに独自タグを付与する重複ＩＰ検出部を更に備えるものであってもよい。かかる構成によれば、ネットワーク監視をモニタするモニタリング装置が重複ＩＰアドレスに対応していない場合であっても、重複したソースＩＰアドレスの通信データを検出して別々のモニタリング装置に振り分けることが可能となる。

また、前記通信データに付与された前記独自タグ及び前記通信データのＶＬＡＮ−ＩＤに基づいて、ネットワーク監視状況をモニタするモニタリング装置への出力先を決定するスイッチ部を更に備えるものであってもよい。かかる構成によれば、ＶＬＡＮ−ＩＤごとに出力先を指定することで、同一契約の加入者のみのトラフィックを１つのモニタリング装置に集約することができる。

また、上記課題を解決するために、本発明の別の観点によれば、ネットワークからアクセス網へ入力される入力側の通信データと、アクセス網からネットワークへ出力される出力側の通信データとを区別して受信する受信ステップと、前記入力側の通信データと前記出力側の通信データの双方をセッションとして認識し、異常トラフィックを検出する異常トラフィック検出ステップと、を備えるネットワーク監視方法が提供される。

上記構成によれば、ネットワークからアクセス網へ入力される入力側の通信データと、アクセス網からネットワークへ出力される出力側の通信データとが区別して受信され、入力側の通信データと出力側の通信データの双方がセッションとして認識されて、異常トラフィックが検出される。従って、双方向の通信データのトラフィックの挙動に基づいて、ＤｏＳ攻撃などの異常状態を検出することが可能となる。これにより、ネットワーク監視をモニタするモニタリング装置において、無用なトラフィックが流入しないため、効率的なネットワーク監視を実現することができる。

また、前記異常トラフィック検出ステップにおいて、異常な通信データを表すシグネチャと、各セッションにおける前記入力側の通信データ及び前記出力側の通信データとの比較により前記異常トラフィックを検出するものであってもよい。かかる構成によれば、予め登録された異常な通信データを表すシグネチャに基づいて、各セッション毎に異常トラフィックを検出することができる。

また、前記異常トラフィックステップにおいて、同時セッション数又は秒間セッション数が上限値に達した場合に前記異常トラフィックを検出し、該当する通信データを廃棄するものであってもよい。かかる構成によれば、同時セッション数又は秒間セッション数が上限値に達した場合は、異常トラフィックが検出されて通信データが廃棄されるため、ＤｏＳ攻撃などを受けた場合に、通信データを廃棄することが可能となる。

また、前記通信データに含まれるソースＩＰアドレス及びＶＬＡＮ−ＩＤに基づいて、ソースＩＰアドレスが重複しているか否かを検出し、ソースＩＰアドレスが重複している場合に当該通信データに独自タグを付与する重複ＩＰ検出ステップを更に備えるものであってもよい。かかる構成によれば、ネットワーク監視をモニタするモニタリング装置が重複ＩＰアドレスに対応していない場合であっても、重複したソースＩＰアドレスの通信データを検出して別々のモニタリング装置に振り分けることが可能となる。

また、前記通信データに付与された前記独自タグ及び前記通信データのＶＬＡＮ−ＩＤに基づいて、ネットワーク監視状況をモニタするモニタリング装置への出力先を決定する出力先決定ステップを更に備えるものであってもよい。かかる構成によれば、ＶＬＡＮ−ＩＤごとに出力先を指定することで、同一契約の加入者のみのトラフィックを１つのモニタリング装置に集約することができる。

本発明によれば、トラフィックの挙動を検出することで効率的なネットワーク監視を実現することが可能となる。

以下に添付図面を参照しながら、本発明の好適な実施の形態について詳細に説明する。なお、本明細書及び図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。

（第１の実施形態）
先ず、本発明の題１の実施形態について説明する。図１は、第１の実施形態に係るアグリゲーション装置１００のネットワーク２００への設置構成を示す模式図である。図１の例では、アクセス網３００とＩＳＰ(Internet Services Provider)４００間の回線に通信信号を分岐して出力するネットワークタップ装置５００，５１０，５２０，５３０を配置し、タップ装置５００，５１０，５２０，５３０のＩｎ（入力）側（アクセス網３００側）、Ｏｕｔ（出力）側（ＩＳＰ４００側）の分岐の出力回線をそれぞれアグリゲーション装置１００の回線側のＩｎ側、Ｏｕｔ側に接続する。同様に、アグリゲーション装置１００のモニタ側の出力回線を各モニタリング装置６００，６１０に接続する。図１の例では、モニタリング装置６００は、単独でインライン設置が可能な装置を想定している。また、アグリゲーション装置１００には、設定の構成管理や統計情報の管理を行う管理装置７００が接続されている。

図２は、アグリゲーション装置１００の機能ブロック構成を示す模式図である。受信部１０５は、Ｉｎ側、Ｏｕｔ側の入力を区別して受信する。入力(Ingress)パケットフィルタ部１１０は、回線側の各タップ装置５００から受信したパケットからイーサヘッド、ＩＰヘッダ、ＴＣＰ／ＵＤＰヘッダの識別子を抽出して検索し、識別子に基づいてフィルタリングすることができる。

異常トラフィック検出部１２０は、Ｉｎｇｒｅｓｓパケットフィルタ部１１０を通過したＩｎ側、Ｏｕｔ側の双方のパケットを処理することで、セッションとして認識することができる。異常トラフィック検出部１２０を通過したパケットは、スイッチ部１３０の入力点に転送される。

スイッチ部１３０は、あらかじめ設定された出力点の方路に接続される回線切換え型のスイッチである。スイッチ部１３０の出力点は、パケットを一旦保持するバッファメモリ１４０に接続され、さらに多重化部１５０に接続されている。多重化部１５０は、バッファメモリ１４０からラウンドロビンでパケットを取り出し、シリアライズして、送信部側のバッファメモリ１６０に転送する。出力(Egress)パケットフィルタ部１７０は、Ｉｎｇｒｅｓｓパケットフィルタ部１１０と同様に、ヘッダの識別子に基づいてパケットをフィルタリングすることができる。Ｅｇｒｅｓｓパケットフィルタ部１７０を通過したパケットは、モニタ側の送信部１８０より送信される。

図３にＩｎｇｒｅｓｓパケットフィルタ部１１０、Ｅｇｒｅｓｓパケットフィルタ部１７０の構成を示す。これらのパケットフィルタ部１１０，１７０は、パケットフィルタテーブル１１５で構成されている。ポリシールールに設定できるイーサヘッダ、ＩＰヘッダ、ＴＣＰ／ＵＤＰヘッダの識別子としては、図３に示すように、ＶＬＡＮ−ＩＤ、イーサプライオリティ(Ether Priority)、イーサタイプ(Ether Type)、宛先ＩＰアドレス、送信元ＩＰアドレス、ＴＯＳ、プロトコル番号、ＴＣＰフラグ、宛先ポート番号、送信元ポート番号が挙げられる。それぞれの識別子には、マスクビットを指定して範囲検索が可能である。

パケットフィルタテーブル１１５は、各エントリに優先度が付与されており、図３に示す例では、小さい番号が高優先度とされている。識別子を検索した結果、より高優先度にヒットしたエントリが採用され、予め設定された各エントリに対応するアクション(permit、もしくはdeny)に従って、通過(permit)か廃棄(deny)が選択される。また、パケットフィルタテーブル１１５は、エントリ毎の統計情報として、パケットカウンタ(pps)とバイトカウンタ(bps)を備えている。パケットカウンタとバイトカウンタは、検索の結果、ヒットした全てのエントリで加算される。

図４は、異常トラフィック検出部１２０の構成を示す模式図である。異常トラフィック検出部１２０に入力されたＩｎ側とＯｕｔ側の双方のパケットは、セッション処理部１２２に入力され、図７のセッション処理のフローチャートに従って処理される。

ここで、図７のセッション処理について説明する。先ず、ステップＳ１では、セッション処理部にパケットが入力される。次のステップＳ２では、シグネチャを検索し、シグネチャがヒットした場合は、ステップＳ３へ進む。ステップＳ３では、異常パケット統計情報を加算し、ステップＳ４でパケットを廃棄する。

ステップＳ２でシグネチャがミスヒットの場合は、ステップＳ５に進み、セッション管理テーブルを検索する。セッション管理テーブルでパケットがヒットした場合は、ステップＳ６へ進み、ＦＩＮ／ＲＳＴを受信したか否かを判定する。ステップＳ６で、ＦＩＮ／ＲＳＴを受信した場合は、ステップＳ７へ進み、ステップＳ８のガーベージタイマの終了を受けて、セッション管理テーブルを削除する。その後、ステップＳ９でパケットを廃棄する。

一方、ステップＳ５で、セッション管理テーブルがミスヒットの場合は、ステップＳ１０へ進み、最初のパケット（１ｓｔパケット）を受信する。次のステップＳ１１では、ガーベージタイマを設定し、次のステップＳ１２では、同時セッション数の登録の有無を判定する。

ステップＳ１２で同時セッション数の登録が有る場合は、ステップＳ１３へ進み、同時セッション数が上限値であるか否かを判定する。ステップＳ１３で同時セッション数が上限値の場合は、ステップＳ９でパケットを廃棄する。一方、ステップＳ１３で同時セッション数が上限値でない場合、またはステップＳ１２で同時セッション数の登録がない場合は、ステップＳ１４へ進む。

ステップＳ１４では、秒間セッション数の登録の有無を判定し、秒間セッション数の登録がある場合は、ステップＳ１５で秒間セッション数が上限値であるか否かを判定する。テップＳ１５で秒間セッション数が上限値の場合は、ステップＳ１６でパケットを廃棄する。一方、ステップＳ１５で秒間セッション数が上限値でない場合、またはステップＳ１４で秒間セッション数の登録がない場合は、ステップＳ１７へ進む。

ステップＳ１７では、セッション統計情報を加算する。次のステップＳ１８では、セッション管理テーブルを登録する。次のステップＳ１９では、パケットを出力する。ステップＳ１９の後は処理を終了する(END)。

セッション処理部１２２で処理されたセッションは、セッション管理テーブル１２４に登録される。このとき、登録される識別子は図４に示す５つの識別子（宛先ＩＰアドレス、送信元ＩＰアドレス、プロトコル番号、宛先ポート番号、送信元ポート番号）である。セッション統計情報保持部１２６は、セッション管理テーブル１２４に登録され、その時点で、維持されているセッション数を宛先ＩＰアドレスと送信元ＩＰアドレスの組み合わせ単位で保持している。

異常トラフィック検出部１２０に入力されたパケットは、図７のステップＳ２において、シグネチャ保持部１２８に登録された各シグネチャとマッチングして、当該パケットが異常パケットであるか否かを判断する。シグネチャ保持部１２８に登録されたシグネチャは、異常パケットであるパターンを記述しているものであり、例えば、宛先ＩＰアドレスと送信元ＩＰアドレスが同一であったり、送信元ＩＰアドレスが詐称されていたり、宛先のホストでＩＰパケットを再構築したときに最大長を超えるなどのパターンを記述している。異常パケット統計情報保持部１２９は、シグネチャ単位に検出した異常パケット数を保持しており、ステップＳ２でシグネチャがヒットした場合は、ステップＳ３で異常パケット統計情報が加算される。

図５は、スイッチ部１３０の構成を示す模式図である。スイッチ部１３０では、スイッチエレメント１３２により回線側の入力線とモニタ側の出力線が接続されており、図５に示すスイッチエレメント１３２の３つの状態（切替１、切替２、ミラー）を設定することで、出力先を選択する。

図６は、異常トラフィック検出部１２０の管理部１９０と、管理装置７００の構成を示す模式図である。管理部１９０は、Ｉｎｇｒｅｓｓパケットフィルタ部１１０の統計収集部１９１、異常トラフィック検出部１２０の統計収集部１９２、Ｅｇｒｅｓｓパケットフィルタ部１７０の統計収集部１９３、Ｉｎｇｒｅｓｓパケットフィルタ部１１０の設定部１９４、異常トラフィック検出部１２０の設定部１９５、Ｅｇｒｅｓｓパケットフィルタ部１７０の設定部１９６、及びスイッチ部１３０の設定部１９７から構成される。

管理部１９０は、送受信部１９５を介して管理装置７００と接続され、管理装置７００との統計情報、設定情報のインターフェースになり、各情報を内部の情報形式から管理装置の情報形式に変換する。管理装置７００の情報形式としては、キャラクタ形式やＭＩＢ(Management Information Base)形式などが該当する。

管理装置７００は、管理部１９０から統計情報を収集して、波形で表示する統計情報モニタ部７１０、モニタ部の波形を履歴として蓄積する統計情報レポート部７２０、及びアグリゲーション装置に設定したパケットフィルタやスイッチ状態の設定情報を蓄積する構成管理部７３０から構成される。

以上説明したように本実施形態によれば、異常トラフィック検出部１２０に入力されたＩｎ側とＯｕｔ側の双方のパケットは、シグネチャ検索により異常パケットであるか否かが判定される。従って、双方向のパケットによるトラフィックの挙動に基づいて、ＤｏＳ攻撃などの異常パケットを廃棄することが可能となる。これにより、ＤｏＳ攻撃が発生した場合であっても、モニタリング装置６００において、無用なトラフィックが流入せず、効率的なネットワーク２００の監視を実現することができる。また、異常パケットをモニタリング装置６００で集約して収集した場合、送信元ＩＰアドレスが詐称されている場合であっても、回線単位の異常パケット統計情報を確認することが可能となる。

（第２の実施形態）
次に、本発明の第２の実施形態について説明する。図８は、第２の実施形態に係るアグリゲーション装置１００のネットワークへの設置構成を示す。図８に示す構成は基本的に図１と同様であるが、図１ではアクセス網３００がＩＳＰ４００を介してネットワーク２００への接続が行われているのに対し、図８ではＶＰＮ(Virtual Private Network)４１０、ＩＳＰ４２０，ＣＡＴＶ(Community Antenna TeleVision)４３０等によりネットワーク２００への接続が行われている点で相違する。

図９は、第２の実施形態に係るアグリゲーション装置１００の機能ブロック構成を示す模式図である。第２の実施形態に係るアグリゲーション装置１００は、異常トラフィック検出部１２０の後段に重複ＩＰ検出部８００が設けられている点で、第１の実施形態のアグリゲーション装置１００と相違する。また、第２の実施形態に係るアグリゲーション装置１００において、スイッチ部９００の構成は第１の実施形態のスイッチ部１３０と相違する。

異常トラフィック検出部１２０を通過したパケットは、重複ＩＰ検出部８００に入力される。重複ＩＰ検出部８００では、パケットのＶＬＡＮ−ＩＤとソースＩＰアドレスを認識して、重複ＩＰを検出する。

図１０は、重複ＩＰ検出部８００の構成を示す模式図である。重複ＩＰ検出部８００は、入力された双方向のパケットからＶＬＡＮ−ＩＤとソースＩＰアドレスを抽出する。抽出された２つの識別子は、ソースＩＰアドレスをキーに検索テーブル８１０に登録される。このとき、同一のソースＩＰアドレスでＶＬＡＮ−ＩＤが同一である場合は、検索テーブル８１０の重複フラグを「０」で登録して、当該パケットに独自タグを付与し、その中に「０」を記述して出力する。一方、同一のソースＩＰアドレスでＶＬＡＮ−ＩＤが異なる場合は、検索テーブル８１０の重複フラグを「１」で登録して、同様に独自タグを付与するが、その中に「１」を記述して出力する。なお、検索テーブル８１０は、一定時間毎にクリアされ更新される。また、管理部１９０からの設定によっては、重複フラグは「１」で登録するが、独自タグには常時「０」を記述することもできる。

図１１は、異常トラフィック検出部１２０の構成を示す模式図である。第１の実施形態と同様に、Ｉｎ側とＯｕｔ側の双方のパケットはセッション処理部１２２に入力され、図７のセッション処理フローチャートに従って処理される。処理されたセッションは、セッション管理テーブル１２４に登録されるが、このとき登録される識別子は、図１１に示す６つの識別子（ＶＬＡＮ−ＩＤ、宛先ＩＰアドレス、送信元ＩＰアドレス、プロトコル番号、宛先ポート番号、送信元ポート番号）である。ＶＬＡＮ−ＩＤをキーに含むことで、重複したＩＰアドレスであってもセッションを正しく認識することができる。

セッション統計情報保持部１２６では、セッション管理テーブル１２４に登録された時点での維持されているセッション数を宛先ＩＰアドレスと送信元ＩＰアドレスの組み単位で保持している。

第１の実施形態と同様に、異常トラフィック検出部１２０に入力されたパケットは、シグネチャ保持部１２８に登録された各シグネチャとマッチングして、当該パケットが異常パケットであるか否かを判断する。また、異常パケット統計情報保持部１２９は、シグネチャ単位に検出した異常パケット数を保持している。

重複ＩＰ検出部８００を通過したパケットは、スイッチ部９００の入力点に転送される。スイッチ部９００は、あらかじめ設定されたＶＬＡＮ−ＩＤ検索型のスイッチである。図１２は、スイッチ部９００の構成を示す模式図である。スイッチ部９００では、ＶＬＡＮ−ＩＤ検索部９１０を介して回線側の入力線とモニタ側の出力線が接続されており、ＶＬＡＮ−ＩＤ検索部９１０のＶＬＡＮ−ＩＤ検索の結果により出力先が決定される。

図１３は、ＶＬＡＮ−ＩＤ検索部９１０の構成を示す模式図である。ＶＬＡＮ−ＩＤ検索部９１０は、Ｉｎ側、Ｏｕｔ側のそれぞれの入力に対して、２つの出力（１），（２）の一方または双方を指定して出力する。ＶＬＡＮ−ＩＤ検索部９１０では、入力されたパケットからＶＬＡＮ−ＩＤと独自タグを抽出し、先ず、独自タグをキーとした独自タグテーブル９１２を検索する。独自タグテーブル９１２は、予め管理部１９０によりその値が登録されている。独自タグテーブル９１２の検索結果により、独自タグの値が「１」であるときは、独自タグテーブル９１２で指定された出力先に出力される。図１３では、独自タグの値が「１」の場合は出力先として（２）が指定されているため、ＩｎとＯｕｔとも（２）の方路に出力される。

一方、独自タグの値が「０」であるときは、ＶＬＡＮ−ＩＤをキーとしたＶＬＡＮ−ＩＤテーブル９１４を検索する。ＶＬＡＮ−ＩＤテーブル９１４も独自タグテーブルと同様に、予め管理部により値が登録されている。ＶＬＡＮ−ＩＤテーブル９１４の検索結果により、各ＶＬＡＮ−ＩＤの値に応じて、指定された出力先に出力される。出力先が（１），（２）と両方ある場合、両方へコピーして出力される。また、ＶＬＡＮ−ＩＤ検索部９１０からの出力時には、独自タグは削除される。

図１４は、管理部１９０と管理装置７００の構成を示す模式図である。図１４に示す管理部１９０の構成では、図６の構成に対して重複ＩＰ検出部８００の設定部１９８が付加されている。重複ＩＰ検出部８００の設定は、管理部１９０の設定部１９８によって設定される。

以上説明したように第２の実施形態によれば、ＶＬＡＮを用いて、重複ＩＰアドレスを多重している回線であっても、アグリゲーション装置１００で重複していることを検出することで、重複ＩＰアドレスに対応していないネットワークアナライザであっても重複したパケットをそれぞれ別々のアナライザに振り分けることで正しくトラフィックを監視することが可能となる。

また、ＶＬＡＮ−ＩＤごとに出力先を指定することで、複数回線に渡って、同一契約の加入者が存在するが、それらの回線には異なる加入者も多重されている場合、同一契約の加入者のみのトラフィックを１つのネットワークアナライザに集約することができる。また、異常トラフィック検出において、重複するＩＰアドレスを含んでいる場合であっても、正しくセッションを認識でき、誤検出を防ぐことができる。

以上、添付図面を参照しながら本発明の好適な実施形態について説明したが、本発明は係る例に限定されないことは言うまでもない。当業者であれば、特許請求の範囲に記載された範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、それらについても当然に本発明の技術的範囲に属するものと了解される。

本発明の第１の実施形態に係るアグリゲーション装置のネットワークへの設置構成を示す模式図である。 第１の実施形態に係るアグリゲーション装置の機能ブロック構成を示す模式図である。 Ｉｎｇｒｅｓｓパケットフィルタ部、Ｅｇｒｅｓｓパケットフィルタ部の構成を示す模式図である。 異常トラフィック検出部の構成を示す模式図である。 スイッチ部の構成を示す模式図である。 異常トラフィック検出部の管理部と、管理装置の構成を示す模式図である。 異常トラフィック検出部におけるセッション処理を示すフローチャートである。 第２の実施形態に係るアグリゲーション装置のネットワークへの設置構成を示す模式図である。 第２の実施形態に係るアグリゲーション装置の機能ブロック構成を示す模式図である。 第２の実施形態に係るアグリゲーション装置の重複ＩＰ検出部の構成を示す模式図である。 第２の実施形態に係る異常トラフィック検出部の構成を示す模式図である。 第２の実施形態に係るスイッチ部の構成を示す模式図である。 第２の実施形態に係るスイッチ部において、ＶＬＡＮ−ＩＤ検索部の構成を示す模式図である。 第２の実施形態に係る異常トラフィック検出部の管理部と、管理装置の構成を示す模式図である。

符号の説明

１００ アグリゲーション装置
１０５ 受信部
１２０ 異常トラフィック検出部
１２８ シグネチャ保持部
８００ 重複ＩＰ検出部
９００ スイッチ部

Claims (6)

1. ネットワークへ接続されるアクセス網に接続されるネットワーク監視装置であって、
   ネットワークからアクセス網へ入力される入力側の通信データと、アクセス網からネットワークへ出力される出力側の通信データとを区別して受信する受信部と、
   前記入力側の通信データ又は前記出力側の通信データをセッションとして認識するセッション処理部と、異常な通信データを表すシグネチャが登録されたシグネチャ保持部と、を有し、前記シグネチャと、各セッションにおける前記入力側の通信データ又は前記出力側の通信データとの比較により前記異常トラフィックを検出する異常トラフィック検出部と、
   を備え、
   前記異常トラフィック検出部は、前記比較でミスヒットするセッションの同時セッション数又は秒間セッション数が上限値に達した場合に前記異常トラフィックを検出し、該当する通信データを廃棄することを特徴とする、ネットワーク監視装置。
2. 前記通信データに含まれるソースＩＰアドレス及びＶＬＡＮ−ＩＤに基づいて、ソースＩＰアドレスが重複しているか否かを検出し、ソースＩＰアドレスが重複している場合に当該通信データに独自タグを付与する重複ＩＰ検出部を更に備えることを特徴とする、請求項１に記載のネットワーク監視装置。
3. 前記通信データに付与された前記独自タグ及び前記通信データのＶＬＡＮ−ＩＤに基づいて、ネットワーク監視状況をモニタするモニタリング装置への出力先を決定するスイッチ部を更に備えることを特徴とする、請求項２に記載のネットワーク監視装置。
4. ネットワークからアクセス網へ入力される入力側の通信データと、アクセス網からネットワークへ出力される出力側の通信データとを区別して受信する受信ステップと、
   前記入力側の通信データ又は前記出力側の通信データをセッションとして認識し、異常トラフィックを検出する異常トラフィック検出ステップと、
   を備え、
   前記異常トラフィック検出ステップにおいて、
   異常な通信データを表すシグネチャと、各セッションにおける前記入力側の通信データ又は前記出力側の通信データとの比較により前記異常トラフィックを検出し、
   前記異常トラフィック検出ステップにおいて、前記比較でミスヒットするセッションの同時セッション数又は秒間セッション数が上限値に達した場合に前記異常トラフィックを検出し、該当する通信データを廃棄することを特徴とする、ネットワーク監視方法。
5. 前記通信データに含まれるソースＩＰアドレス及びＶＬＡＮ−ＩＤに基づいて、ソースＩＰアドレスが重複しているか否かを検出し、ソースＩＰアドレスが重複している場合に当該通信データに独自タグを付与する重複ＩＰ検出ステップを更に備えることを特徴とする、請求項４に記載のネットワーク監視方法。
6. 前記通信データに付与された前記独自タグ及び前記通信データのＶＬＡＮ−ＩＤに基づいて、ネットワーク監視状況をモニタするモニタリング装置への出力先を決定する出力先決定ステップを更に備えることを特徴とする、請求項５に記載のネットワーク監視方法。

Images