トラフィックモニタ装置およびトラフィックのモニタ方法
【課題】ルータやスイッチに代表されるネットワーク機器が接続するネットワークに接続されるトラフィックモニタ装置において、異常トラフィックの検知、非検知を契機に該トラフィックの帯域制御および、解除を自動的に行なう機能を提供する。
【解決手段】上述した課題は、ネットワーク機器に接続されたトラフィックモニタ装置において、ネットワークをリアルタイムに監視し続け異常トラフィックを検知すれば、自装置メモリ内異常トラフィック情報を参照し、検出済み異常トラフィックであるかを判断し、検出済みでなければ自動的に帯域を制御する指示をネットワーク機器に与える機能を備え、モニタ装置において該当異常トラフィックが検知されなくなり所定の時間経過後、制御した情報を基に自動的に制御を解除する指示をネットワーク機器に与える機能を有するトラフィックモニタ装置により、解決可能である。
【解決手段】上述した課題は、ネットワーク機器に接続されたトラフィックモニタ装置において、ネットワークをリアルタイムに監視し続け異常トラフィックを検知すれば、自装置メモリ内異常トラフィック情報を参照し、検出済み異常トラフィックであるかを判断し、検出済みでなければ自動的に帯域を制御する指示をネットワーク機器に与える機能を備え、モニタ装置において該当異常トラフィックが検知されなくなり所定の時間経過後、制御した情報を基に自動的に制御を解除する指示をネットワーク機器に与える機能を有するトラフィックモニタ装置により、解決可能である。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、トラフィックモニタ装置およびトラフィックのモニタ方法に係り、特に、検出した異常トラフィックに対し帯域の制御を設定から解除まで実施するトラフィックモニタ装置およびトラフィックのモニタ方法に関する。
【背景技術】
【０００２】
多数のユーザがネットワークを介してコンピュータ資源を共用するクラウドコンピューティングでは、瞬間的に過負荷な帯域を使用するバーストトラフィックの発生、特定ユーザによるポート等のスキャン行為やＰ２Ｐ通信等で不正な異常トラフィックがサービスの安定維持において重大な問題となる。そのため、ネットワーク監視を行なうことを目的としてｓｎｍｐやＮｅｔＦｌｏｗ等の技術が知られている。
【０００３】
特許文献１は、ネットワークに流れるトラフィックを分析し、異常トラフィックと判断されたトラフィックを検出、帯域を制御するシステムが開示されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００６−３１４０７７号公報
【特許文献２】特開２００８−１１３４０９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１は、大量のトラフィックの中から不適切なトラフィックを効率よく検出し、該トラフィックの転送を制御するシステムを提供することはできる。しかし、転送を制御されたトラフィックは、手動で解除しなければならない。このため、一時的に不適切と判断されたトラフィックの転送をネットワーク制御装置が制御し続けるという課題があった。
【０００６】
特許文献２は、ユーザごとにコンピュータ・ウィルスやワーム感染した端末に対する制御を行なうことができる。しかし、端末の問題が解消された後、ネットワークに再接続しても中継装置において端末を使用しているユーザの通信を制御し続けるという課題があった。
【課題を解決するための手段】
【０００７】
本発明は、一時的な異常トラフィックと思われるトラフィックに対しても、帯域を制御し、異常トラフィックが検出されなくなり、異常状態が解除されれば帯域の制御を解除する機能を有するトラフィックモニタ装置を提供する。ルータやスイッチに代表されるネットワーク機器が接続するネットワークに接続されるトラフィックモニタ装置において、異常トラフィックの検知、非検知を契機に該トラフィックの帯域制御および解除の指示を自動的に行なう機能を提供する。
【０００８】
本願は上記課題を解決する手段を複数含んでいる。ネットワーク機器に接続されたトラフィックモニタ装置において、ネットワークをリアルタイムに監視し続け異常トラフィックを検知すれば、自装置メモリ内異常トラフィック情報を参照し、検出済み異常トラフィックであるかを判断し、検出済みでなければ自動的に帯域を制御する指示をネットワーク機器に与える機能を備え、モニタ装置において該当異常トラフィックが検知されなくなり異常状態が解除されれば、制御した情報を基に自動的に制御を解除する指示をネットワーク機器に与える機能を有する。
【０００９】
上述した課題は、入出力装置と、トラフィック分析部と、異常トラフィック検出部と、メモリと、制御部とを備え、ネットワーク機器に接続されたトラフィックモニタ装置において、前記異常トラフィック検出部が、トラフィック分析部で分析されたパケットのうち異常と判断するトラフィックを検出すると、前記制御部は、その情報について、既に検出済みであるか判定し、検出済みのとき、前記制御部は、前記メモリの異常トラフィック情報に保存されたタイマー値を更新し、非検出のとき、前記制御部は、前記ネットワーク機器に帯域制御の指示を送信し、実施済み帯域制御情報を前記メモリに記録し、前記異常トラヒック情報を前記メモリに記録し、前記異常トラフィック情報の前記タイマー値がゼロになったとき、前記制御部は、前記ネットワーク機器に帯域制御の解除を送信し、当該異常トラフィック情報を削除するトラフィックモニタ装置により、達成できる。
【００１０】
また、異常トラフィックを検知するステップと、この異常トラフィックを一定期間内に検知済みか判定するステップと、非検知のとき、ネットワーク機器に帯域制御の指示を送信するステップと、実施済み帯域制御情報を記録するステップと、異常トラフィック情報を更新するステップと、からなるトラフィックのモニタ方法により、達成できる。
【発明の効果】
【００１１】
本発明によれば、ネットワーク機器に流れる異常トラフィックを検知し、トラフィックの帯域を制御し、異常状態が解除されれば帯域制御の解除をすることができる。
【図面の簡単な説明】
【００１２】
【図１】帯域制御システムのハードウェアブロック図である。
【図２】トラフィックモニタ装置のハードウェアブロック図である。
【図３】異常トラフィック情報テーブルを説明する図である。
【図４】帯域制御情報テーブルを説明する図である。
【図５】帯域制御指示部の処理を説明するフローチャートである。
【図６】帯域制御を解除する処理を説明するフローチャートである。
【図７】異常トラフィック情報テーブルと帯域制御情報テーブルの差分を検出する処理を説明するフローチャートである。
【発明を実施するための形態】
【００１３】
以下、本発明の実施の形態について、実施例を用い図面を参照しながら詳細に説明する。なお、実質同一部位には同じ参照番号を振り、説明は繰り返さない。
【００１４】
まず、図１を参照して、帯域制御システムの構成を説明する。図１において、帯域制御システム１０００は、トラヒックモニタ装置１００と、ネットワーク装置７００とから、構成される。ネットワーク装置７００は、ＣＰＵ７３０と、メモリ７４０と、入出力装置７６０と、フロー制御部７５０と、入出力装置７７０とから構成される。トラフィックモニタ装置１００は、入出力装置１６０を含む。入出力装置７６０には、ネットワーク５００−１が接続されている。また、入出力装置７７０には、ネットワーク５００−２が接続されている。なお、トラフィックモニタ装置１００と、ネットワーク機器７００とは、図示しない制御線でも接続されている。
【００１５】
トラフィックモニタ装置１００は、ネットワーク５００−１から受信し、ネットワーク５００−２へ送信されるトラフィックを入出力装置７６０とフロー制御部７５０の間でモニタする。トラフィックモニタ装置１００は、上述したフローに異常を検出したとき、フロー制御部を制御して、帯域に制限を与える。したがって、ネットワーク５００−２から受信し、ネットワーク５００−１へ送信されるトラフィックについて、トラフィックモニタ装置１００は、入出力装置７７０とフロー制御部７５０の間でモニタする。
【００１６】
図２を参照して、ネットワークを監視し、異常トラフィックを検知した場合に、帯域の制御、解除を指示する機能を備えたトラフィックモニタ装置１００を説明しよう。図２において、トラフィックモニタ装置１００は、内部通信線に接続されたＣＰＵ１５０と、入出力装置１６０と、トラフィック分析部１４０と、トラフィック分析部１４０に接続された異常トラフィック検出部１３０と、異常トラフィック検出部１３０に接続されたメモリ１２０と、メモリ１２０に接続された制御部１１０とから構成される。制御部１１０は、帯域制御指示部１１１と、帯域制御判断部１１２とを含む。メモリ１２０は、異常トラフィック情報テーブル３００と、帯域制御情報テーブル４００とを記憶している。
【００１７】
帯域制御指示部１１１は、トラフィックモニタ装置１００によるネットワーク機器７００の制御を担う。帯域制御指示部１１１は、接続されたネットワーク機器に帯域制御を指示する。帯域制御判断部１１２は、メモリ１２０内の情報をもとに帯域制御、解除を判断する。入出力装置１６０は、外部のネットワーク機器７００と接続し、監視の対象となるトラフィックを受信する。入出力装置１６０は、制御部１１０から指示された帯域制御、解除の情報をネットワーク機器７００へ送信する。
【００１８】
帯域制御判断部１１２は、異常トラフィック情報テーブル３００の情報と異常トラフィックとして検出されたパケットを比較する。帯域制御判断部１１２は、異常トラフィック情報テーブル３００と帯域制御情報テーブル４００とを比較し、帯域制御指示部１１１へ帯域制御、解除を実施するか否かの判断を行なう。帯域制御指示部１１１は、指示された帯域制御、解除情報を入出力装置１６０を通してネットワーク機器７００へ設定する指示を行なう。
【００１９】
異常トラフィック検出部１３０は、トラフィック分析部１４０で分析されたパケットのうち過剰帯域、特定ポートへの複数アドレスからのトラフィックなど異常と判断するトラフィックを検出する。異常トラフィック検出部１３０は、対象パケットの情報を異常トラフィック情報テーブル３００に格納する。
【００２０】
トラフィック分析部１４０は、入出力装置１６０で受信した分析対象トラフィックをリアルタイムに分析する。トラフィック分析部１４０は、その結果を異常トラフィック検出部１３０へ送信する。
【００２１】
トラフィックモニタ装置１００は、入出力装置１６０で受信したトラフィックをトラフィック分析部１４０で分析した結果、異常トラフィック検出部１３０において異常トラフィックと判断されたトラフィックに対して、異常トラフィック情報テーブル３００に格納する。トラフィックモニタ装置１００は、該当トラフィックを制御するような帯域制御を実施するための情報を帯域制御情報テーブル４００に格納する。制御部１１０は、格納された異常トラフィックに対し帯域制御を実施するかを判断する。制御部１１０は、必要に応じてネットワーク機器７００に帯域制御、解除を実施する。
【００２２】
図３を参照して、異常トラフィック情報テーブル３００を説明する。図３において、異常トラフィック情報テーブル３００は、Ｎｏ.３０２と、送信元ＩＰアドレス（送信ＩＰ）３０３と、送信先ＩＰアドレス（宛先ＩＰ）３０４と、送信元ＭＡＣアドレス（送信ＭＡＣ）３０５と、送信先ＭＡＣアドレス（宛先ＭＡＣ）３０６と、ＶＬＡＮ ＩＤ３０７と、Ｔｉｍｅｒ値（Ｔｉｍｅｒ）３０８とから構成される。異常トラフィック情報テーブル３００の送信元ＩＰアドレス３０３〜ＶＬＡＮ ＩＤ３０７は、トラフィックを特定する。Ｔｉｍｅｒ値３０８は、設定された初期値から、ゼロになるまで時々刻々減算し続ける。ＣＰＵ１５０は、Ｔｉｍｅｒ値３０８がゼロになったとき、該当のレコードの送信元ＩＰアドレス３０３〜Ｔｉｍｅｒ値３０８をクリアする。なお、トラフィックを特定する他の情報は、後述する。
【００２３】
図４を参照して、帯域制御情報テーブル４００を説明する。図４において、帯域制御情報テーブル４００は、Ｎｏ.４０２と、帯域制御情報４０３とから構成されている。帯域制御情報４０３は、ネットワーク機器７００への帯域制御指示内容である。
【００２４】
図５を参照して、トラフィックモニタ装置１００の動作を、説明する。図５において、入出力装置１６０で受信したトラフィックについて、トラフィック分析部１４０は、分析を行なう。
【００２５】
異常トラフィック検出部１３０は、異常トラフィックを検出待つ（Ｓ２０１）。異常トラフィックを検出したとき、帯域制御判断部１１２は、該トラフィック情報が異常トラフィック情報テーブル３００に格納済みか判定を行なう（Ｓ２０２）。異常トラフィックが異常トラフィック情報テーブル３００に格納されていないとき（ＮＯ）、トラフィックを制御するために帯域制御指示部１１１は、入出力装置１６０を通し、ネットワーク機器７００に帯域制御の指示を行なう（Ｓ２０３）。制御部１１０は、帯域制御指示部１１１がネットワーク機器７００に指示した帯域制御情報を帯域制御情報テーブル４００に格納する（Ｓ２０４）。制御部１１０は、ＩＰアドレス、ＭＡＣアドレス、ＶＬＡＮ等のパケットのヘッダ部分から取得可能な情報と共に時間の経過と共に減少するＴｉｍｅｒ値３０８を初期値として異常トラフィック情報テーブル３００にデータを格納して（Ｓ２０５）、ステップ２０１に遷移する。
【００２６】
ここで、Ｔｉｍｍｅｒ値３０８は、全異常トラフィックに対して一律の数値を用いてもよいが、異常トラフィックの種類（瞬間的な極大帯域使用、特定ユーザによるスキャン、Ｐ２Ｐ通信等）により、任意に設定してもよい。
【００２７】
ステップ２０２でＹＥＳのとき、帯域制御判断部１１２は、ステップ２０５に遷移する。このとき、制御部１１０は、異常トラフィック情報テーブル３００の該トラフィック情報を更新する処理を行なう。この際の処理は、Ｔｉｍｅｒ値３０８の初期値の更新でありその他情報は更新しない。
【００２８】
なお、検出済みか否かを判断する情報は、ＩＰアドレス、ＭＡＣアドレス、ＶＬＡＮ等のＬ３ヘッダ以下の情報が完全に一致する必要は必ずしもない。すなわち、接続されたネットワーク機器の特性に従いキーとなる情報を限定することもできる。さらには、Ｌ３ヘッダ以下の情報に限定するものではなく、Ｌ４ヘッダ以上の情報をキーとし、特定ポートへ攻撃を検知することもできる。また、検出したパケットの先頭から指定のバイト数分（具体的には、先頭から２４バイトから３６バイト）をキーとすることもできる。
【００２９】
ここで、異常トラフィック情報テーブル３００の更新処理について説明する。異常トラフィック情報テーブル３００は、格納された異常トラフィック毎に時間経過とともに減少するＴｉｍｅｒ値３０８を備えている。異常トラフィックが検出され、該異常トラフィックが既に異常トラフィック情報として登録されている場合、この異常トラフィックは、対策済みであると判断する。すなわち、トラフィックモニタ装置１００は、帯域制御を行なうステップと帯域制御情報テーブル４００に該異常トラフィック情報を格納するステップをスキップする。トラフィックモニタ装置１００は、ステップ２０５で、新たな異常トラフィック情報の追記ではなく、Ｔｉｍｅｒ値３０８をデフォルトとして設定された値への更新のみを行なう。
【００３０】
検出済異常トラフィックがトラフィックモニタ装置１００の異常トラフィック検出部１３０で検出され続ける限り、Ｔｉｍｅｒ値３０８は、更新され続ける。しかし、異常トラフィックが検出されなくなり、Ｔｉｍｅｒ値３０８が時間とともに減少し、０になった時点で、トラフィックモニタ装置１００は、この異常トラフィック情報について、異常トラフィック情報テーブル３００から削除する。
【００３１】
図６を参照して、帯域制御判断部１１２による帯域制御の解除について説明する。図６において、帯域制御判断部１１２は、異常トラフィック情報テーブル３００と帯域制御情報テーブル４００に差分があるか、一定の間隔毎に比較する（Ｓ５０１）。この間隔は使用者が自由に設定することが可能である。差があるとき、帯域制御判断部１１２は、差分の帯域制御情報に基づいて解除を実施する（Ｓ５０２）。帯域制御判断部１１２は、対象帯域制御情報テーブル４００の対象レコードを削除して（Ｓ５０３）、終了する。ステップ５０１でＮＯのとき、帯域制御判断部１１２は、そのまま終了する。
【００３２】
なお、ステップ５０１で差分が発生するのは、異常トラフィック情報テーブル３００のＴｉｍｅｒ値３０８が時間とともに減少し、０になった時点で、トラフィックモニタ装置１００は、この異常トラフィック情報について、異常トラフィック情報テーブル３００から削除するためである。
【００３３】
図７を参照して、異常トラフィック情報テーブル３００と帯域制御情報テーブル４００の更新処理を説明する。図７において、帯域制御判断部１１２は、異常トラフィック情報テーブル３００に格納されている異常トラフィック情報の総数および帯域制御情報テーブル４００に格納されている帯域制御情報の総数をカウントする（Ｓ６０１）。帯域制御判断部１１２は、総数とＮｏ数に差分があるか確認する（Ｓ６０２）。差分があるとき（ＹＥＳ）、帯域制御判断部１１２は、各テーブルに格納されているデータのＮｏ.３０２、４０２を紐付けて比較し、空白レコードを抽出する（Ｓ６０３）。帯域制御判断部１１２は、異常トラフィック情報テーブル３００および帯域制御情報テーブル４００のＮｏ.３０２、４０２の順序を保つためにそれぞれのＮｏ情報を更新し、空白レコードをテーブル３００、４００の最後尾にくるよう設定して（Ｓ６０４）、終了する。ステップ６０２でＮＯのとき、帯域制御判断部１１２は、そのまま終了する。
【００３４】
なお、新規に異常トラフィックを格納する際は現在の異常トラフィック情報テーブル３００の最老番にプラス１したＮｏ.を付与し、帯域制御情報テーブル４００には前述異常トラフィックテーブル３００のＮｏ.３０２と紐付け可能な数値を付与し格納することとする。
【００３５】
なお、帯域制御情報テーブル４００に格納するＮｏ.４０２は、異常トラフィック情報テーブル３００に付与したＮｏ.３０２と同様の数値であってもよい。紐付けが可能であれば、数値に限定する必要もない。
【００３６】
本実施例によれば、ネットワーク機器７００で検出された異常トラフィックに対し、リアルタイムで帯域を制御し、検出されなくなれば解除することができる。本実施例のトラフィックモニタ装置によれば、ネットワーク全体の安定性を確保すると共に、ネットワーク機器７００のリソースを有効活用することができる。
【００３７】
本実施例によれば、手動で行なっていたネットワーク管理にかかる負担を軽減できる。また、不正なアクセスを遮断できることにより、ネットワーク全体の安全性、信頼性を向上することができる。さらに、ネットワーク機器の限られたリソースを無駄にすることなくネットワーク機器における収容効率の向上を見込むことができる。
【符号の説明】
【００３８】
１００…トラフィックモニタ装置、１１０…制御部、１１１…帯域制御指示部、１１２…帯域制御判断部、１２０…メモリ、１３０…異常トラフィック検出部、１４０…トラフィック分析部、１５０…ＣＰＵ、１６０…入出力装置、３００…異常トラフィック情報テーブル、４００…帯域制御情報テーブル、１０００…帯域制御システム。
【技術分野】
【０００１】
本発明は、トラフィックモニタ装置およびトラフィックのモニタ方法に係り、特に、検出した異常トラフィックに対し帯域の制御を設定から解除まで実施するトラフィックモニタ装置およびトラフィックのモニタ方法に関する。
【背景技術】
【０００２】
多数のユーザがネットワークを介してコンピュータ資源を共用するクラウドコンピューティングでは、瞬間的に過負荷な帯域を使用するバーストトラフィックの発生、特定ユーザによるポート等のスキャン行為やＰ２Ｐ通信等で不正な異常トラフィックがサービスの安定維持において重大な問題となる。そのため、ネットワーク監視を行なうことを目的としてｓｎｍｐやＮｅｔＦｌｏｗ等の技術が知られている。
【０００３】
特許文献１は、ネットワークに流れるトラフィックを分析し、異常トラフィックと判断されたトラフィックを検出、帯域を制御するシステムが開示されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００６−３１４０７７号公報
【特許文献２】特開２００８−１１３４０９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１は、大量のトラフィックの中から不適切なトラフィックを効率よく検出し、該トラフィックの転送を制御するシステムを提供することはできる。しかし、転送を制御されたトラフィックは、手動で解除しなければならない。このため、一時的に不適切と判断されたトラフィックの転送をネットワーク制御装置が制御し続けるという課題があった。
【０００６】
特許文献２は、ユーザごとにコンピュータ・ウィルスやワーム感染した端末に対する制御を行なうことができる。しかし、端末の問題が解消された後、ネットワークに再接続しても中継装置において端末を使用しているユーザの通信を制御し続けるという課題があった。
【課題を解決するための手段】
【０００７】
本発明は、一時的な異常トラフィックと思われるトラフィックに対しても、帯域を制御し、異常トラフィックが検出されなくなり、異常状態が解除されれば帯域の制御を解除する機能を有するトラフィックモニタ装置を提供する。ルータやスイッチに代表されるネットワーク機器が接続するネットワークに接続されるトラフィックモニタ装置において、異常トラフィックの検知、非検知を契機に該トラフィックの帯域制御および解除の指示を自動的に行なう機能を提供する。
【０００８】
本願は上記課題を解決する手段を複数含んでいる。ネットワーク機器に接続されたトラフィックモニタ装置において、ネットワークをリアルタイムに監視し続け異常トラフィックを検知すれば、自装置メモリ内異常トラフィック情報を参照し、検出済み異常トラフィックであるかを判断し、検出済みでなければ自動的に帯域を制御する指示をネットワーク機器に与える機能を備え、モニタ装置において該当異常トラフィックが検知されなくなり異常状態が解除されれば、制御した情報を基に自動的に制御を解除する指示をネットワーク機器に与える機能を有する。
【０００９】
上述した課題は、入出力装置と、トラフィック分析部と、異常トラフィック検出部と、メモリと、制御部とを備え、ネットワーク機器に接続されたトラフィックモニタ装置において、前記異常トラフィック検出部が、トラフィック分析部で分析されたパケットのうち異常と判断するトラフィックを検出すると、前記制御部は、その情報について、既に検出済みであるか判定し、検出済みのとき、前記制御部は、前記メモリの異常トラフィック情報に保存されたタイマー値を更新し、非検出のとき、前記制御部は、前記ネットワーク機器に帯域制御の指示を送信し、実施済み帯域制御情報を前記メモリに記録し、前記異常トラヒック情報を前記メモリに記録し、前記異常トラフィック情報の前記タイマー値がゼロになったとき、前記制御部は、前記ネットワーク機器に帯域制御の解除を送信し、当該異常トラフィック情報を削除するトラフィックモニタ装置により、達成できる。
【００１０】
また、異常トラフィックを検知するステップと、この異常トラフィックを一定期間内に検知済みか判定するステップと、非検知のとき、ネットワーク機器に帯域制御の指示を送信するステップと、実施済み帯域制御情報を記録するステップと、異常トラフィック情報を更新するステップと、からなるトラフィックのモニタ方法により、達成できる。
【発明の効果】
【００１１】
本発明によれば、ネットワーク機器に流れる異常トラフィックを検知し、トラフィックの帯域を制御し、異常状態が解除されれば帯域制御の解除をすることができる。
【図面の簡単な説明】
【００１２】
【図１】帯域制御システムのハードウェアブロック図である。
【図２】トラフィックモニタ装置のハードウェアブロック図である。
【図３】異常トラフィック情報テーブルを説明する図である。
【図４】帯域制御情報テーブルを説明する図である。
【図５】帯域制御指示部の処理を説明するフローチャートである。
【図６】帯域制御を解除する処理を説明するフローチャートである。
【図７】異常トラフィック情報テーブルと帯域制御情報テーブルの差分を検出する処理を説明するフローチャートである。
【発明を実施するための形態】
【００１３】
以下、本発明の実施の形態について、実施例を用い図面を参照しながら詳細に説明する。なお、実質同一部位には同じ参照番号を振り、説明は繰り返さない。
【００１４】
まず、図１を参照して、帯域制御システムの構成を説明する。図１において、帯域制御システム１０００は、トラヒックモニタ装置１００と、ネットワーク装置７００とから、構成される。ネットワーク装置７００は、ＣＰＵ７３０と、メモリ７４０と、入出力装置７６０と、フロー制御部７５０と、入出力装置７７０とから構成される。トラフィックモニタ装置１００は、入出力装置１６０を含む。入出力装置７６０には、ネットワーク５００−１が接続されている。また、入出力装置７７０には、ネットワーク５００−２が接続されている。なお、トラフィックモニタ装置１００と、ネットワーク機器７００とは、図示しない制御線でも接続されている。
【００１５】
トラフィックモニタ装置１００は、ネットワーク５００−１から受信し、ネットワーク５００−２へ送信されるトラフィックを入出力装置７６０とフロー制御部７５０の間でモニタする。トラフィックモニタ装置１００は、上述したフローに異常を検出したとき、フロー制御部を制御して、帯域に制限を与える。したがって、ネットワーク５００−２から受信し、ネットワーク５００−１へ送信されるトラフィックについて、トラフィックモニタ装置１００は、入出力装置７７０とフロー制御部７５０の間でモニタする。
【００１６】
図２を参照して、ネットワークを監視し、異常トラフィックを検知した場合に、帯域の制御、解除を指示する機能を備えたトラフィックモニタ装置１００を説明しよう。図２において、トラフィックモニタ装置１００は、内部通信線に接続されたＣＰＵ１５０と、入出力装置１６０と、トラフィック分析部１４０と、トラフィック分析部１４０に接続された異常トラフィック検出部１３０と、異常トラフィック検出部１３０に接続されたメモリ１２０と、メモリ１２０に接続された制御部１１０とから構成される。制御部１１０は、帯域制御指示部１１１と、帯域制御判断部１１２とを含む。メモリ１２０は、異常トラフィック情報テーブル３００と、帯域制御情報テーブル４００とを記憶している。
【００１７】
帯域制御指示部１１１は、トラフィックモニタ装置１００によるネットワーク機器７００の制御を担う。帯域制御指示部１１１は、接続されたネットワーク機器に帯域制御を指示する。帯域制御判断部１１２は、メモリ１２０内の情報をもとに帯域制御、解除を判断する。入出力装置１６０は、外部のネットワーク機器７００と接続し、監視の対象となるトラフィックを受信する。入出力装置１６０は、制御部１１０から指示された帯域制御、解除の情報をネットワーク機器７００へ送信する。
【００１８】
帯域制御判断部１１２は、異常トラフィック情報テーブル３００の情報と異常トラフィックとして検出されたパケットを比較する。帯域制御判断部１１２は、異常トラフィック情報テーブル３００と帯域制御情報テーブル４００とを比較し、帯域制御指示部１１１へ帯域制御、解除を実施するか否かの判断を行なう。帯域制御指示部１１１は、指示された帯域制御、解除情報を入出力装置１６０を通してネットワーク機器７００へ設定する指示を行なう。
【００１９】
異常トラフィック検出部１３０は、トラフィック分析部１４０で分析されたパケットのうち過剰帯域、特定ポートへの複数アドレスからのトラフィックなど異常と判断するトラフィックを検出する。異常トラフィック検出部１３０は、対象パケットの情報を異常トラフィック情報テーブル３００に格納する。
【００２０】
トラフィック分析部１４０は、入出力装置１６０で受信した分析対象トラフィックをリアルタイムに分析する。トラフィック分析部１４０は、その結果を異常トラフィック検出部１３０へ送信する。
【００２１】
トラフィックモニタ装置１００は、入出力装置１６０で受信したトラフィックをトラフィック分析部１４０で分析した結果、異常トラフィック検出部１３０において異常トラフィックと判断されたトラフィックに対して、異常トラフィック情報テーブル３００に格納する。トラフィックモニタ装置１００は、該当トラフィックを制御するような帯域制御を実施するための情報を帯域制御情報テーブル４００に格納する。制御部１１０は、格納された異常トラフィックに対し帯域制御を実施するかを判断する。制御部１１０は、必要に応じてネットワーク機器７００に帯域制御、解除を実施する。
【００２２】
図３を参照して、異常トラフィック情報テーブル３００を説明する。図３において、異常トラフィック情報テーブル３００は、Ｎｏ.３０２と、送信元ＩＰアドレス（送信ＩＰ）３０３と、送信先ＩＰアドレス（宛先ＩＰ）３０４と、送信元ＭＡＣアドレス（送信ＭＡＣ）３０５と、送信先ＭＡＣアドレス（宛先ＭＡＣ）３０６と、ＶＬＡＮ ＩＤ３０７と、Ｔｉｍｅｒ値（Ｔｉｍｅｒ）３０８とから構成される。異常トラフィック情報テーブル３００の送信元ＩＰアドレス３０３〜ＶＬＡＮ ＩＤ３０７は、トラフィックを特定する。Ｔｉｍｅｒ値３０８は、設定された初期値から、ゼロになるまで時々刻々減算し続ける。ＣＰＵ１５０は、Ｔｉｍｅｒ値３０８がゼロになったとき、該当のレコードの送信元ＩＰアドレス３０３〜Ｔｉｍｅｒ値３０８をクリアする。なお、トラフィックを特定する他の情報は、後述する。
【００２３】
図４を参照して、帯域制御情報テーブル４００を説明する。図４において、帯域制御情報テーブル４００は、Ｎｏ.４０２と、帯域制御情報４０３とから構成されている。帯域制御情報４０３は、ネットワーク機器７００への帯域制御指示内容である。
【００２４】
図５を参照して、トラフィックモニタ装置１００の動作を、説明する。図５において、入出力装置１６０で受信したトラフィックについて、トラフィック分析部１４０は、分析を行なう。
【００２５】
異常トラフィック検出部１３０は、異常トラフィックを検出待つ（Ｓ２０１）。異常トラフィックを検出したとき、帯域制御判断部１１２は、該トラフィック情報が異常トラフィック情報テーブル３００に格納済みか判定を行なう（Ｓ２０２）。異常トラフィックが異常トラフィック情報テーブル３００に格納されていないとき（ＮＯ）、トラフィックを制御するために帯域制御指示部１１１は、入出力装置１６０を通し、ネットワーク機器７００に帯域制御の指示を行なう（Ｓ２０３）。制御部１１０は、帯域制御指示部１１１がネットワーク機器７００に指示した帯域制御情報を帯域制御情報テーブル４００に格納する（Ｓ２０４）。制御部１１０は、ＩＰアドレス、ＭＡＣアドレス、ＶＬＡＮ等のパケットのヘッダ部分から取得可能な情報と共に時間の経過と共に減少するＴｉｍｅｒ値３０８を初期値として異常トラフィック情報テーブル３００にデータを格納して（Ｓ２０５）、ステップ２０１に遷移する。
【００２６】
ここで、Ｔｉｍｍｅｒ値３０８は、全異常トラフィックに対して一律の数値を用いてもよいが、異常トラフィックの種類（瞬間的な極大帯域使用、特定ユーザによるスキャン、Ｐ２Ｐ通信等）により、任意に設定してもよい。
【００２７】
ステップ２０２でＹＥＳのとき、帯域制御判断部１１２は、ステップ２０５に遷移する。このとき、制御部１１０は、異常トラフィック情報テーブル３００の該トラフィック情報を更新する処理を行なう。この際の処理は、Ｔｉｍｅｒ値３０８の初期値の更新でありその他情報は更新しない。
【００２８】
なお、検出済みか否かを判断する情報は、ＩＰアドレス、ＭＡＣアドレス、ＶＬＡＮ等のＬ３ヘッダ以下の情報が完全に一致する必要は必ずしもない。すなわち、接続されたネットワーク機器の特性に従いキーとなる情報を限定することもできる。さらには、Ｌ３ヘッダ以下の情報に限定するものではなく、Ｌ４ヘッダ以上の情報をキーとし、特定ポートへ攻撃を検知することもできる。また、検出したパケットの先頭から指定のバイト数分（具体的には、先頭から２４バイトから３６バイト）をキーとすることもできる。
【００２９】
ここで、異常トラフィック情報テーブル３００の更新処理について説明する。異常トラフィック情報テーブル３００は、格納された異常トラフィック毎に時間経過とともに減少するＴｉｍｅｒ値３０８を備えている。異常トラフィックが検出され、該異常トラフィックが既に異常トラフィック情報として登録されている場合、この異常トラフィックは、対策済みであると判断する。すなわち、トラフィックモニタ装置１００は、帯域制御を行なうステップと帯域制御情報テーブル４００に該異常トラフィック情報を格納するステップをスキップする。トラフィックモニタ装置１００は、ステップ２０５で、新たな異常トラフィック情報の追記ではなく、Ｔｉｍｅｒ値３０８をデフォルトとして設定された値への更新のみを行なう。
【００３０】
検出済異常トラフィックがトラフィックモニタ装置１００の異常トラフィック検出部１３０で検出され続ける限り、Ｔｉｍｅｒ値３０８は、更新され続ける。しかし、異常トラフィックが検出されなくなり、Ｔｉｍｅｒ値３０８が時間とともに減少し、０になった時点で、トラフィックモニタ装置１００は、この異常トラフィック情報について、異常トラフィック情報テーブル３００から削除する。
【００３１】
図６を参照して、帯域制御判断部１１２による帯域制御の解除について説明する。図６において、帯域制御判断部１１２は、異常トラフィック情報テーブル３００と帯域制御情報テーブル４００に差分があるか、一定の間隔毎に比較する（Ｓ５０１）。この間隔は使用者が自由に設定することが可能である。差があるとき、帯域制御判断部１１２は、差分の帯域制御情報に基づいて解除を実施する（Ｓ５０２）。帯域制御判断部１１２は、対象帯域制御情報テーブル４００の対象レコードを削除して（Ｓ５０３）、終了する。ステップ５０１でＮＯのとき、帯域制御判断部１１２は、そのまま終了する。
【００３２】
なお、ステップ５０１で差分が発生するのは、異常トラフィック情報テーブル３００のＴｉｍｅｒ値３０８が時間とともに減少し、０になった時点で、トラフィックモニタ装置１００は、この異常トラフィック情報について、異常トラフィック情報テーブル３００から削除するためである。
【００３３】
図７を参照して、異常トラフィック情報テーブル３００と帯域制御情報テーブル４００の更新処理を説明する。図７において、帯域制御判断部１１２は、異常トラフィック情報テーブル３００に格納されている異常トラフィック情報の総数および帯域制御情報テーブル４００に格納されている帯域制御情報の総数をカウントする（Ｓ６０１）。帯域制御判断部１１２は、総数とＮｏ数に差分があるか確認する（Ｓ６０２）。差分があるとき（ＹＥＳ）、帯域制御判断部１１２は、各テーブルに格納されているデータのＮｏ.３０２、４０２を紐付けて比較し、空白レコードを抽出する（Ｓ６０３）。帯域制御判断部１１２は、異常トラフィック情報テーブル３００および帯域制御情報テーブル４００のＮｏ.３０２、４０２の順序を保つためにそれぞれのＮｏ情報を更新し、空白レコードをテーブル３００、４００の最後尾にくるよう設定して（Ｓ６０４）、終了する。ステップ６０２でＮＯのとき、帯域制御判断部１１２は、そのまま終了する。
【００３４】
なお、新規に異常トラフィックを格納する際は現在の異常トラフィック情報テーブル３００の最老番にプラス１したＮｏ.を付与し、帯域制御情報テーブル４００には前述異常トラフィックテーブル３００のＮｏ.３０２と紐付け可能な数値を付与し格納することとする。
【００３５】
なお、帯域制御情報テーブル４００に格納するＮｏ.４０２は、異常トラフィック情報テーブル３００に付与したＮｏ.３０２と同様の数値であってもよい。紐付けが可能であれば、数値に限定する必要もない。
【００３６】
本実施例によれば、ネットワーク機器７００で検出された異常トラフィックに対し、リアルタイムで帯域を制御し、検出されなくなれば解除することができる。本実施例のトラフィックモニタ装置によれば、ネットワーク全体の安定性を確保すると共に、ネットワーク機器７００のリソースを有効活用することができる。
【００３７】
本実施例によれば、手動で行なっていたネットワーク管理にかかる負担を軽減できる。また、不正なアクセスを遮断できることにより、ネットワーク全体の安全性、信頼性を向上することができる。さらに、ネットワーク機器の限られたリソースを無駄にすることなくネットワーク機器における収容効率の向上を見込むことができる。
【符号の説明】
【００３８】
１００…トラフィックモニタ装置、１１０…制御部、１１１…帯域制御指示部、１１２…帯域制御判断部、１２０…メモリ、１３０…異常トラフィック検出部、１４０…トラフィック分析部、１５０…ＣＰＵ、１６０…入出力装置、３００…異常トラフィック情報テーブル、４００…帯域制御情報テーブル、１０００…帯域制御システム。
【特許請求の範囲】
【請求項１】
入出力装置と、トラフィック分析部と、異常トラフィック検出部と、メモリと、制御部とを備え、ネットワーク機器に接続されたトラフィックモニタ装置において、
前記異常トラフィック検出部が、トラフィック分析部で分析されたパケットのうち異常と判断するトラフィックを検出すると、前記制御部は、その情報について、既に検出済みであるか判定し、
検出済みのとき、前記制御部は、前記メモリの異常トラフィック情報に保存されたタイマー値を更新し、
非検出のとき、前記制御部は、前記ネットワーク機器に帯域制御の指示を送信し、実施済み帯域制御情報を前記メモリに記録し、前記異常トラヒック情報を前記メモリに記録し、
前記異常トラフィック情報の前記タイマー値がゼロになったとき、前記制御部は、前記ネットワーク機器に帯域制御の解除を送信し、当該異常トラフィック情報を削除することを特徴とするトラフィックモニタ装置。
【請求項２】
請求項１に記載のトラフィックモニタ装置であって、
前記異常トラヒック情報は、異常トラフィックの送信元ＩＰアドレスと、宛先ＩＰアドレスと、送信元ＭＡＣアドレスと、宛先ＭＡＣアドレスと、前記タイマー値とからなることを特徴とするトラフィックモニタ装置。
【請求項３】
請求項１に記載のトラフィックモニタ装置であって、
前記制御部は、異常トラフィック情報を削除したとき、該当する前記実施済み帯域制御情報を削除することを特徴とするトラフィックモニタ装置。
【請求項４】
異常トラフィックを検知するステップと、
この異常トラフィックを一定期間内に検知済みか判定するステップと、
非検知のとき、
ネットワーク機器に帯域制御の指示を送信するステップと、
実施済み帯域制御情報を記録するステップと、
異常トラフィック情報を更新するステップと、からなるトラフィックのモニタ方法。
【請求項５】
請求項４に記載のトラフィックのモニタ方法であって、
検知済みのとき、前記更新するステップは、タイマー値の後身であることを特徴とするトラフィックのモニタ方法。
【請求項６】
請求項５に記載のトラフィックのモニタ方法であって、
前記タイマー値がゼロになったとき、
前記ネットワーク機器に帯域制御の解除を送信するステップと、
前記異常トラフィック情報を削除するステップと、を実施することを特徴とするトラフィックのモニタ方法。
【請求項１】
入出力装置と、トラフィック分析部と、異常トラフィック検出部と、メモリと、制御部とを備え、ネットワーク機器に接続されたトラフィックモニタ装置において、
前記異常トラフィック検出部が、トラフィック分析部で分析されたパケットのうち異常と判断するトラフィックを検出すると、前記制御部は、その情報について、既に検出済みであるか判定し、
検出済みのとき、前記制御部は、前記メモリの異常トラフィック情報に保存されたタイマー値を更新し、
非検出のとき、前記制御部は、前記ネットワーク機器に帯域制御の指示を送信し、実施済み帯域制御情報を前記メモリに記録し、前記異常トラヒック情報を前記メモリに記録し、
前記異常トラフィック情報の前記タイマー値がゼロになったとき、前記制御部は、前記ネットワーク機器に帯域制御の解除を送信し、当該異常トラフィック情報を削除することを特徴とするトラフィックモニタ装置。
【請求項２】
請求項１に記載のトラフィックモニタ装置であって、
前記異常トラヒック情報は、異常トラフィックの送信元ＩＰアドレスと、宛先ＩＰアドレスと、送信元ＭＡＣアドレスと、宛先ＭＡＣアドレスと、前記タイマー値とからなることを特徴とするトラフィックモニタ装置。
【請求項３】
請求項１に記載のトラフィックモニタ装置であって、
前記制御部は、異常トラフィック情報を削除したとき、該当する前記実施済み帯域制御情報を削除することを特徴とするトラフィックモニタ装置。
【請求項４】
異常トラフィックを検知するステップと、
この異常トラフィックを一定期間内に検知済みか判定するステップと、
非検知のとき、
ネットワーク機器に帯域制御の指示を送信するステップと、
実施済み帯域制御情報を記録するステップと、
異常トラフィック情報を更新するステップと、からなるトラフィックのモニタ方法。
【請求項５】
請求項４に記載のトラフィックのモニタ方法であって、
検知済みのとき、前記更新するステップは、タイマー値の後身であることを特徴とするトラフィックのモニタ方法。
【請求項６】
請求項５に記載のトラフィックのモニタ方法であって、
前記タイマー値がゼロになったとき、
前記ネットワーク機器に帯域制御の解除を送信するステップと、
前記異常トラフィック情報を削除するステップと、を実施することを特徴とするトラフィックのモニタ方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【公開番号】特開２０１２−１０９９０５（Ｐ２０１２−１０９９０５Ａ）
【公開日】平成２４年６月７日（２０１２．６．７）
【国際特許分類】
【出願番号】特願２０１０−２５８８２１（Ｐ２０１０−２５８８２１）
【出願日】平成２２年１１月１９日（２０１０．１１．１９）
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
【公開日】平成２４年６月７日（２０１２．６．７）
【国際特許分類】
【出願日】平成２２年１１月１９日（２０１０．１１．１９）
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
[ Back to top ]