トラフィック分析システム及びトラフィック分析方法
【課題】高い精度で異常トラフィックを探知することを課題とする。
【解決手段】トラフィック分析システム１００は、正常なトラフィックの特性を示すトラフィックプロファイルを記憶するトラフィックプロファイル記憶部１２１を備える。また、トラフィックプロファイル更新部１３１は、最新のトラフィックを分析することにより該トラフィックを異常なトラフィックと正常なトラフィックとに区分けし、正常なトラフィックを用いて算出したトラフィックプロファイルによりトラフィックプロファイル記憶部１２１に記憶されたトラフィックプロファイルを更新する。また、異常トラフィックテスト部１３２は、トラフィックを分析することにより該トラフィックの特性を示す値を算出し、算出した値と最新のトラフィックプロファイルとの比較結果に基づいて、該トラフィックに含まれる異常なトラフィックの有無を判定する。
【解決手段】トラフィック分析システム１００は、正常なトラフィックの特性を示すトラフィックプロファイルを記憶するトラフィックプロファイル記憶部１２１を備える。また、トラフィックプロファイル更新部１３１は、最新のトラフィックを分析することにより該トラフィックを異常なトラフィックと正常なトラフィックとに区分けし、正常なトラフィックを用いて算出したトラフィックプロファイルによりトラフィックプロファイル記憶部１２１に記憶されたトラフィックプロファイルを更新する。また、異常トラフィックテスト部１３２は、トラフィックを分析することにより該トラフィックの特性を示す値を算出し、算出した値と最新のトラフィックプロファイルとの比較結果に基づいて、該トラフィックに含まれる異常なトラフィックの有無を判定する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、トラフィック分析システム及びトラフィック分析方法に関する。
【背景技術】
【０００２】
近年、インターネット電話サービスなどにおいては、低料金や多様な付加サービスを背景に加入者が急増し、トラフィックも急増している。また、これに伴い非正常的なユーザ（abnormal users）による異常トラフィック（abnormal traffic）も増加している。
【０００３】
従来、このようなサービスを管理することを目的として、トラフィック分析システムが用いられている。トラフィック分析システムは、例えば、トラフィックに変化が発生する前のトラフィックと発生中のトラフィックとを比較し、変化を引き起こしたトラフィックを抽出して分析することで、異常トラフィックを探知する。また、例えば、スイッチを通過するトラフィックを分析することで、異常トラフィックを探知する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００９−０４４５０１号公報
【特許文献２】特開２００９−０８９２４１号公報
【特許文献３】特開２０１０−０３９９９４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、上述した従来の技術では、異常トラフィックを探知する精度が低いという課題がある。すなわち、従来のトラフィック分析システムは、固定的な閾値を用いて異常トラフィックを探知する。この点、ネットワークの状況は、例えば曜日や時間帯によって変化したり、例えばイベントやキャンペーンのような突発的な事由によって変化することもあるので、固定的な閾値を用いて探知する手法では限界がある。
【０００６】
本発明は、上記に鑑みてなされたものであって、高い精度で異常トラフィックを探知することが可能なトラフィック分析システム及びトラフィック分析方法を提供することを目的とする。
【課題を解決するための手段】
【０００７】
上述した課題を解決し、目的を達成するために、開示の技術は、一つの態様において、ネットワークを流れるトラフィックを時系列に記憶するトラフィック記憶手段と、正常なトラフィックの特性を示す特性情報を記憶する特性情報記憶手段と、前記トラフィック記憶手段から所定の間隔毎に最新のトラフィックを読み出し、読み出したトラフィックを分析することにより該トラフィックを異常なトラフィックと正常なトラフィックとに区分けし、区分けした正常なトラフィックを用いて算出した特性情報により前記特性情報記憶手段に記憶された特性情報を更新する更新手段と、前記トラフィック記憶手段から最新のトラフィックを読み出し、読み出したトラフィックを分析することにより該トラフィックの特性を示す値を算出し、算出した値と前記特性情報記憶手段に記憶された最新の特性情報との比較結果に基づいて、該トラフィックに含まれる異常なトラフィックの有無を判定する判定手段とを備える。
【０００８】
また、開示の技術は、一つの態様において、コンピュータが、ネットワークを流れるトラフィックを時系列に記憶するトラフィック記憶手段と、正常なトラフィックの特性を示す特性情報を記憶する特性情報記憶手段として機能し、前記トラフィック記憶手段から所定の間隔毎に最新のトラフィックを読み出し、読み出したトラフィックを分析することにより該トラフィックを異常なトラフィックと正常なトラフィックとに区分けし、区分けした正常なトラフィックを用いて算出した特性情報により前記特性情報記憶手段に記憶された特性情報を更新する更新工程と、前記トラフィック記憶手段から最新のトラフィックを読み出し、読み出したトラフィックを分析することにより該トラフィックの特性を示す値を算出し、算出した値と前記特性情報記憶手段に記憶された最新の特性情報との比較結果に基づいて、該トラフィックに含まれる異常なトラフィックの有無を判定する判定工程とを含む。
【発明の効果】
【０００９】
開示の技術によれば、高い精度で異常トラフィックを探知することが可能になるという効果を奏する。
【図面の簡単な説明】
【００１０】
【図１】図１は、実施例１に係るトラフィック分析システム１００の概要を説明するための図である。
【図２】図２は、実施例１におけるトラフィック分析の対象を説明するための図である。
【図３】図３は、実施例１に係るトラフィック分析システム１００の構成を示すブロック図である。
【図４】図４は、メッセージ群の集計結果を説明するための図である。
【図５】図５は、異常閾値ρの決定を説明するための図である。
【図６】図６は、トラフィックプロファイル更新部１３１による処理手順を示すフローチャートである。
【図７】図７は、異常トラフィックテスト部１３２による処理手順を示すフローチャートである。
【図８】図８は、非正常メッセージ探知テストを説明するための図である。
【図９】図９は、非正常的ユーザリストを説明するための図である。
【図１０】図１０は、エントロピー比較テストに用いられるトラフィックプロファイルを説明するための図である。
【図１１】図１１は、適合性テストに用いられるトラフィックプロファイルを説明するための図である。
【図１２】図１２は、適合性テストにおける期待値及び測定値の演算を説明するための図である。
【図１３】図１３は、モデリング分析及び異常トラフィックテストの概要を示す図である。
【図１４】図１４は、分析結果集計部１３３による処理手順を示すフローチャートである。
【発明を実施するための形態】
【００１１】
以下に、開示の技術に係るトラフィック分析システム及びトラフィック分析方法の実施例を説明する。なお、以下の実施例により本発明が限定されるものではない。
【実施例１】
【００１２】
［実施例１に係るトラフィック分析システムの概要］
図１は、実施例１に係るトラフィック分析システム１００の概要を説明するための図である。図１に例示するように、実施例１に係るトラフィック分析システム１００は、ＩＰ（Internet Protocol）ネットワーク１に接続されたクライアント２とサーバ３との間で送受信されるトラフィックを分析する。図１に例示するように、ＩＰネットワーク１とサーバ３とを接続する経路上にＴＡＰ（Test Access Point）４が設置され、ＴＡＰ４によって収集されたトラフィックデータが、時系列にトラフィックデータベース１０に蓄積される。
【００１３】
図１に例示するように、実施例１に係るトラフィック分析システム１００は、トラフィックプロファイル記憶部１２１と、トラフィックプロファイル更新部１３１と、異常トラフィックテスト部１３２とを備える。なお、実施例１に係るトラフィック分析システム１００はその他の各部も備えるが、ここでは概要を説明する観点から割愛する。また、トラフィック分析システム１００は、トラフィックデータベース１０をトラフィック分析システム１００内の部として備えてもよい。
【００１４】
トラフィックプロファイル記憶部１２１は、正常なトラフィック（normal traffic）の特性を示すトラフィックプロファイル（「特性情報」とも称する）を記憶する。トラフィックプロファイル更新部１３１は、トラフィックデータベース１０から所定の間隔毎に最新のトラフィックを読み出し、読み出したトラフィックを分析することにより該トラフィックを異常なトラフィックと正常なトラフィックとに区分けする。次に、トラフィックプロファイル更新部１３１は、区分けした正常なトラフィックを用いて算出したトラフィックプロファイルによりトラフィックプロファイル記憶部１２１に記憶されたトラフィックプロファイルを更新する。
【００１５】
異常トラフィックテスト部１３２は、トラフィックデータベース１０から最新のトラフィックを読み出し、読み出したトラフィックを分析することにより該トラフィックの特性を示す値を算出し、算出した値とトラフィックプロファイル記憶部１２１に記憶された最新のトラフィックプロファイルとの比較結果に基づいて、該トラフィックに含まれる異常なトラフィックの有無を判定する。
【００１６】
なお、実施例１に係るトラフィックプロファイル更新部１３１は、第一の間隔で分析を行い、実施例１に係る異常トラフィックテスト部１３２は、第二の間隔で分析を行う。これは、両分析が必ずしも同じ間隔で行われなくてもよいことを示すものであるが、第一の間隔と第二の間隔とが一致する場合にも、開示の技術を同様に適用することができる。
【００１７】
このように、実施例１に係るトラフィック分析システム１００は、トラフィックプロファイルを適宜更新するとともに、適宜更新されたトラフィックプロファイルを用いて異常トラフィックを探知する。また、トラフィックプロファイルの更新や、更新されたトラフィックプロファイルを用いた異常トラフィックの探知は、継続的に行われる。すなわち、実施例１に係るトラフィック分析システム１００は、トラフィックプロファイルを適宜更新することによりトラフィックプロファイルにＩＰネットワーク１の最新の状況を反映し、最新の状況が反映されたトラフィックプロファイルを用いて異常トラフィックを探知するので、高い精度で、かつ継続的に、異常トラフィックを探知することが可能になる。
【００１８】
［実施例１におけるトラフィック分析の対象］
図２は、実施例１におけるトラフィック分析の対象を説明するための図である。図２に例示するように、実施例１においては、トラフィック分析の対象の一例として、ＳＩＰ（Session Initiation Protocol）を基盤とするインターネット電話サービスを説明する。すなわち、実施例１に係るトラフィック分析システム１００は、インターネット電話サービスのトラフィックを分析し、異常トラフィックを探知する。
【００１９】
図２に例示するように、ＳＩＰを基盤とするインターネット電話サービスにおいては、ＳＩＰ送信者（Caller）がＳＩＰ受信者（Callee）に対して発呼することにより、ＳＩＰ送信者とＳＩＰ受信者との間に通話が発生する。そして、ＳＩＰサーバ（Proxy）を介し、ＳＩＰ送信者とＳＩＰ受信者との間でＳＩＰメッセージが送受信されることにより、トラフィックが発生する。なお、以下では、ＳＩＰ発呼者をＳＩＰ送信者という。
【００２０】
ここで、インターネット電話サービスにおいては、図２に例示するように、非正常的なユーザが混在する場合があり、非正常的なユーザによる異常トラフィックが発生する場合がある。異常トラフィックとは、例えば、悪意あるユーザやマルウェアによる攻撃によって生じるトラフィック、機器の障害やプログラムのバグによって生じるトラフィック、操作ミスによって生じるトラフィックなどである。このため、図２に例示するＳＩＰトラフィックデータベース１０には、正常なトラフィックのＳＩＰメッセージの他、このような異常トラフィックのＳＩＰメッセージも蓄積されることになり、実施例１に係るトラフィック分析システム１００は、このＳＩＰメッセージをトラフィック分析の対象とする。
【００２１】
［実施例１に係るトラフィック分析システムの構成］
図３は、実施例１に係るトラフィック分析システム１００の構成を示すブロック図である。図３に例示するように、トラフィック分析システム１００は、入力部１１１と、出力部１１２とを備える。また、トラフィック分析システム１００は、記憶部として、トラフィックプロファイル記憶部１２１と、分析結果記憶部１２２とを備える。また、トラフィック分析システム１００は、制御部として、トラフィックプロファイル更新部１３１と、異常トラフィックテスト部１３２と、分析結果集計部１３３とを備える。
【００２２】
入力部１１１は、例えばマウスやキーボードなどであり、各種操作の入力などを受け付ける。出力部１１２は、例えばディスプレイなどであり、各種操作のための情報などを出力する。
【００２３】
例えば、実施例１において、トラフィック分析システム１００は、出力部１１２であるディスプレイに、ＵＩ（User Interface）として制御パネルを表示する。また、トラフィック分析システム１００は、制御パネル上に、例えば、『トラフィックモデリング』、『１日トラフィック分析』、及び『１週トラフィック分析』と示されたアイコンを表示する。トラフィック分析システム１００の操作者は、ディスプレイに表示されたアイコンを、入力部１１１であるマウスを用いて押下することにより、操作を入力する。例えば、トラフィック分析システム１００の操作者は、『トラフィックモデリング』のアイコンを押下することにより、『トラフィックモデリング』の開始指示を入力する。
【００２４】
また、実施例１において、トラフィック分析システム１００は、出力部１１２であるディスプレイに、ＵＩとして分析結果を表示する。例えば、トラフィック分析システム１００は、『１日トラフィック分析結果』、『非正常的ユーザリスト』、『１週トラフィック分析結果』などを表示する。
【００２５】
実施例１における記憶部は、例えば、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、ハードディスクや、その他の記憶媒体（光ディスクなど）であり、各種情報を記憶する。
【００２６】
トラフィックプロファイル記憶部１２１は、正常なトラフィックの特性を示すトラフィックプロファイルを記憶する。具体的には、トラフィックプロファイル記憶部１２１は、後述するトラフィックプロファイル更新部１３１によって格納されることでトラフィックプロファイルを記憶する。また、トラフィックプロファイル記憶部１２１が記憶するトラフィックプロファイルは、後述するトラフィックプロファイル更新部１３１によって適宜更新される。また、トラフィックプロファイル記憶部１２１が記憶するトラフィックプロファイルは、後述する異常トラフィックテスト部１３２による処理に利用される。なお、トラフィックプロファイルの具体例は、後述する。
【００２７】
分析結果記憶部１２２は、分析結果を記憶する。具体的には、分析結果記憶部１２２は、後述する異常トラフィックテスト部１３２や分析結果集計部１３３によって格納されることで、分析結果を記憶する。また、分析結果記憶部１２２が記憶する分析結果は、後述する分析結果集計部１３３による処理に利用される。なお、分析結果の具体例は、後述する。
【００２８】
実施例１における制御部は、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などの集積回路、又は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などの電子回路であり、トラフィック分析システム１００が備える各部を制御する。以下、トラフィックプロファイル更新部１３１によるトラフィックプロファイル更新処理、異常トラフィックテスト部１３２による異常トラフィックテスト処理、分析結果集計部１３３による分析結果集計処理を、順に説明する。
【００２９】
［トラフィックプロファイル更新処理］
トラフィックプロファイル更新部１３１は、図３に例示するように、モデリング分析部１３１ａと、更新部１３１ｂとを有する。モデリング分析部１３１ａは、ＩＰネットワーク１を流れるトラフィックを第一の間隔で分析する。以下、この分析を「モデリング分析」という。更新部１３１ｂは、モデリング分析部１３１ａによる分析の結果を用いてトラフィックプロファイル記憶部１２１に記憶されたトラフィックプロファイルを更新する。
【００３０】
ここで、モデリング分析部１３１ａによる分析の一例を説明する。実施例１に係るモデリング分析部１３１ａは、ＳＩＰトラフィックデータベース１０に蓄積されたＳＩＰメッセージをＳＩＰトラフィックデータベース１０から読み出し、読み出したＳＩＰメッセージを、メッセージの種類毎に、各種時間単位（３０分、１日、１週、１月など）で分類し、統計的手法を用いて分析することで、トラフィックプロファイルを生成する。例えば、モデリング分析部１３１ａは、ＳＩＰメッセージを、『ＩＮＶＩＴＥ』、『ＲＥＧＩＳＴＥＲ』、『ＡＣＫ』、『ＢＹＥ』、『ＣＡＮＣＥＬ』、『ＯＰＴＩＯＮＳ』の種類毎に分類する。また、モデリング分析部１３１ａは、メッセージの種類毎に分類されたＳＩＰメッセージを、メッセージに含まれるタイムスタンプに基づいて、例えば３０分の時間単位で分類する。なお、以下、時間によって区切られる分析の単位を「分析ウィンドウ」という。
【００３１】
次に、モデリング分析部１３１ａは、分類されたメッセージ群毎に集計を行う。図４は、メッセージ群の集計結果を説明するための図である。図４に例示する集計結果は、Ｓ1〜Ｓnというｎ個のセットを含んでおり、各セットは、『メッセージ数』、『送信者数』、『メッセージ数の累積比率』、『送信者数の累積比率』という項目を有する。また、Ｓ1〜Ｓnは、メッセージ数の値に基づいて昇順にソートされている。
【００３２】
『メッセージ数』は、送信者単位でメッセージの数を集計した値である。『送信者数』は、送信者単位で集計したメッセージの数が『メッセージ数』の項目の値と同一の送信者の数である。『メッセージ数の累積比率』は、送信者単位で集計したメッセージの数が『メッセージ数』の項目の値以下である送信者によるメッセージ数の合計が全メッセージ数に占める比率である。『送信者数の累積比率』は、送信者単位で集計したメッセージの数が『メッセージ数』の項目の値以下である送信者数が全送信者数に占める比率である。
【００３３】
例えば、図４に例示する集計結果のセットＳ2は、送信者単位で集計したメッセージの数が「Ｎｍ2」である送信者の数が「Ｎｃ2」であり、送信者単位で集計したメッセージの数が「Ｎｍ2」以下である送信者によるメッセージ数の合計が全メッセージ数に占める比率が「Ｒｍ2」であり、送信者単位で集計したメッセージの数が「Ｎｍ2」以下である送信者数が全送信者数に占める比率が「Ｒｃ2」であることを示す。
【００３４】
続いて、モデリング分析部１３１ａは、集計結果を用いて、正常なトラフィックと異常トラフィックとを判別する。例えば、モデリング分析部１３１ａは、（１）式を用いて、正常なトラフィックと異常トラフィックとを判別するための異常閾値ρを決定する。
【数１】
【００３５】
ここで、μは、１送信者あたりのメッセージ数の平均値である。また、δは、１送信者あたりのメッセージ数の標準偏差値である。平均値μ及び標準偏差値δは、それぞれ、（２）式及び（３）式を用いて算出される。また、ωは、異常範囲（abnormal range）決定パラメータであり、例えば１、２、３のいずれかの値が選択され、設定される。図５は、異常閾値ρの決定を説明するための図である。図５に例示するように、異常範囲決定パラメータωの値に応じて、異常範囲は変化する。
【数２】
【数３】
【００３６】
また、モデリング分析部１３１ａは、メッセージ数が異常閾値ρ以下となる送信者数が全送信者数に占める比率と、メッセージ数が異常閾値ρ以下となる送信者によるメッセージ数の合計が全メッセージ数に占める比率との差を算出する。『メッセージ数』が異常閾値ρと同値又は最も近い値のセットがＳtである場合、モデリング分析部１３１ａは、Ｓtの『送信者数の累積比率』である「Ｒｃt」と『メッセージ数の累積比率』である「Ｒｍt」とを集計結果から取得し、両者の差を算出する。
【００３７】
そして、モデリング分析部１３１ａは、算出した比率差と、設定された比率差の閾値とを比較し、算出された比率差が閾値よりも大きい場合に、送信者単位で集計されたメッセージ数が異常閾値ρよりも多い送信者によるトラフィックを、異常トラフィックとして判別する。すなわち、モデリング分析部１３１ａは、メッセージの種類毎かつ分析ウィンドウ毎に分類されたメッセージ群毎に、異常なトラフィックと正常なトラフィックとに区分けする。なお、比率差の閾値は、異常閾値ρに基づいて異常トラフィックを判別することが適切であるか否かを判定するために用いられる。
【００３８】
次に、モデリング分析部１３１ａは、トラフィックから異常トラフィックを除き、正常なトラフィックのみを用いて、正常なトラフィックの特性を示すモデリング値（modeling value）を算出する。例えば、モデリング分析部１３１ａは、メッセージの種類毎かつ分析ウィンドウ毎に分類されたメッセージ群毎のモデリング値として、例えば、エントロピー値（entropy value）や、全メッセージに占める種類別メッセージの出現頻度（割合）、その他、送信者数の変化、メッセージ数の変化など、各種の値を、統計的手法を用いて算出する。
【００３９】
一方、更新部１３１ｂは、モデリング分析部１３１ａによって算出されたモデリング値をトラフィックプロファイル記憶部１２１に格納することで、トラフィックプロファイルを更新する。ここで、実施例１に係る更新部１３１ｂは、（４）式に示すように、０〜１の範囲で設定される重みｗによる加重調整を行い、トラフィックプロファイルを更新する。Ｖpreviousは、モデリング分析部１３１ａによる過去の分析結果であり、Ｖcurrentは、モデリング分析部１３１ａによる現在の分析結果であり、Ｖは、加重調整後の分析結果である。
【数４】
【００４０】
図６は、トラフィックプロファイル更新部１３１による処理手順を示すフローチャートである。図６に例示するように、トラフィックプロファイル更新部１３１において、モデリング分析部１３１ａは、モデリング分析を開始するか否かを判定している（ステップＳ１０１）。例えば、トラフィック分析システム１００の操作者が『トラフィックモデリング』のアイコンを押下することを契機として、また、例えば、設定された所定のタイミング（例えば１週間毎など）を契機として、モデリング分析部１３１ａは、モデリング分析を開始する（ステップＳ１０１肯定）。
【００４１】
そして、モデリング分析部１３１ａが、モデリング分析を行い、トラフィックプロファイルとなるモデリング値を算出すると（ステップＳ１０２）、更新部１３１ｂが、トラフィックプロファイル記憶部１２１を更新し、処理を終了する（ステップＳ１０３）。
【００４２】
［異常トラフィックテスト処理］
異常トラフィックテスト部１３２は、ＩＰネットワーク１を流れるトラフィックを、トラフィックプロファイル記憶部１２１に記憶されたトラフィックプロファイルを用いて第二の間隔で分析し、該トラフィックに含まれる異常トラフィックを探知する。具体的には、異常トラフィックテスト部１３２は、異常トラフィックテストを実行して異常トラフィックを探知し、異常トラフィックテストによる分析結果を分析結果記憶部１２２に格納する。
【００４３】
まず、実施例１に係る異常トラフィックテストの全体像を把握するために、異常トラフィックテスト部１３２による処理手順を説明する。図７は、異常トラフィックテスト部１３２による処理手順を示すフローチャートである。図７に例示するように、異常トラフィックテスト部１３２は、異常トラフィックテストを開始するか否かを判定している（ステップＳ２０１）。例えば、トラフィック分析システム１００の操作者が『１日トラフィック分析』のアイコンを押下することを契機として、また、例えば、設定された所定のタイミング（例えば１日毎など）を契機として、異常トラフィックテスト部１３２は、異常トラフィックテストを開始する（ステップＳ２０１肯定）。
【００４４】
実施例１に係る異常トラフィックテスト部１３２は、異常トラフィックテストとして、図７に例示するように、非正常メッセージ探知テスト（ステップＳ２０２）、エントロピー比較テスト（ステップＳ２０３）、適合性テスト（ステップＳ２０４）を実行する。なお、実施例１において、トラフィックプロファイル記憶部１２１に記憶されたトラフィックプロファイルを用いて行われる異常トラフィックテストは、エントロピー比較テスト及び適合性テストの２つである。異常トラフィックテスト部１３２は、エントロピー比較テスト及び適合性テストそれぞれを実行すると、分析結果を分析結果記憶部１２２に格納して（ステップＳ２０７）、処理を終了する。
【００４５】
また、図７に例示するように、非正常メッセージ探知テストにおいては、異常トラフィックテスト部１３２は、異常トラフィックの有無を判定し（ステップＳ２０５）、異常トラフィックが存在すると判定した場合には（ステップＳ２０５肯定）、非正常的ユーザリストを生成し（ステップＳ２０６）、生成した非正常的ユーザリストを分析結果記憶部１２２に格納して（ステップＳ２０７）、処理を終了する。一方、異常トラフィックが存在しないと判定した場合には（ステップＳ２０５否定）、異常トラフィックテスト部１３２は、分析結果を分析結果記憶部１２２に格納して（ステップＳ２０７）、処理を終了する。
【００４６】
次に、図８及び図９を用いて、非正常メッセージ探知テストの一例を説明する。図８は、非正常メッセージ探知テストを説明するための図である。
【００４７】
実施例１に係る異常トラフィックテスト部１３２は、ＳＩＰトラフィックデータベース１０に蓄積されたＳＩＰメッセージを、メッセージの種類毎かつ分析ウィンドウ毎に分類する。例えば、異常トラフィックテスト部１３２は、ＳＩＰメッセージを、『ＩＮＶＩＴＥ』、『ＲＥＧＩＳＴＥＲ』、『ＡＣＫ』、『ＢＹＥ』、『ＣＡＮＣＥＬ』、『ＯＰＴＩＯＮＳ』の種類毎に分類する。また、異常トラフィックテスト部１３２は、メッセージの種類毎に分類されたＳＩＰメッセージを、メッセージに含まれるタイムスタンプに基づいて、例えば３０分の時間単位で分類する。
【００４８】
次に、異常トラフィックテスト部１３２は、分類されたメッセージ群毎に、送信者単位でメッセージの数を集計する。図８に例示するＳ1〜Ｓnというｎ個のセットは、メッセージ数の値に基づいて昇順にソートされている。
【００４９】
続いて、異常トラフィックテスト部１３２は、集計結果を用いて、正常なトラフィックと異常トラフィックとを判別する。例えば、異常トラフィックテスト部１３２は、異常値の判別に有用とされるマハラノビス距離（Mahalanobis distance）方式を用いて、正常なトラフィックと異常トラフィックとを判別するための異常閾値ρを決定する。
【００５０】
ここで、（５）式は、逆共分散行列を示す。また、（６）式は、Ｓ1〜Ｓnというｎ個のセットｘを示す。また、μは、１送信者あたりのメッセージ数の平均値である。また、δは、１送信者あたりのメッセージ数の標準偏差値である。平均値μ及び標準偏差値δは、それぞれ、上述した（２）式及び（３）式を用いて算出される。
【数５】
【数６】
【００５１】
そして、異常トラフィックテスト部１３２は、（７）式〜（９）式を用いて、異常閾値ρを決定する。（７）式は、（８）式を求める過程として共変行列（covariance matrix）を求める式であり、右辺のＰ（ｘ）は、ｘの発生確率を示す。（８）式の左辺は、各セットの距離を示し、この距離がρδより大きくなるセットの中で最小値となるメッセージ数が、異常閾値ρである。すなわち、（９）式を満たすセットの中で最小値となるメッセージ数が、異常閾値ρである。このように、異常トラフィックテスト部１３２は、メッセージの種類毎かつ分析ウィンドウ毎に分類されたメッセージ群毎に、異常閾値ρを決定する。
【数７】
【数８】
【数９】
【００５２】
続いて、異常トラフィックテスト部１３２は、メッセージの種類毎に、非正常的ユーザリストを作成する。図９は、非正常的ユーザリストを説明するための図である。なお、図９に例示する『ｗn』は、分析ウィンドウを示す。
【００５３】
異常トラフィックテスト部１３２は、メッセージ数が異常閾値ρより多い範囲（異常メッセージ範囲）に含まれるセットに対応する送信者の識別情報（例えばＳＩＰ−ＵＲＩ（Uniform Resource Identifier）など）を特定し、特定した送信者の識別情報を、メッセージ数に基づき例えば降順でソートし、非正常的ユーザリストを作成する。例えば、送信者『Ａ』が分析ウィンドウ『ｗ1』で送信したメッセージの数が異常メッセージ範囲に含まれれば、そのメッセージ数は、『ａ1』に記録される。仮に、送信者『Ａ』が、次の分析ウィンドウ『ｗ2』で送信したメッセージの数が異常メッセージ範囲に含まれなければ（正常なメッセージ範囲に含まれれば）、『ａ2』には『０』が記録される。異常トラフィックテスト部１３２は、非正常メッセージ探知テストを繰り返し行い、その都度非正常的ユーザリストを更新し、更新した非正常的ユーザリストを分析結果として分析結果記憶部１２２に格納する。
【００５４】
続いて、図１０を用いて、エントロピー比較テストの一例を説明する。図１０は、エントロピー比較テストに用いられるトラフィックプロファイルを説明するための図である。
【００５５】
上述したように、実施例１においては、トラフィックプロファイル更新部１３１が、トラフィックプロファイルを継続的に更新し、トラフィックプロファイル記憶部１２１に格納する。例えば、実施例１に係るトラフィックプロファイル更新部１３１は、トラフィックプロファイルとしてエントロピー値を算出し、図１０に例示するようにトラフィックプロファイル記憶部１２１に格納する。そして、異常トラフィックテスト部１３２は、図１０に例示するトラフィックプロファイルを用いて、エントロピー比較テストを行う。
【００５６】
ここで、エントロピー値の計算手法を説明する。なお、この計算手法は、トラフィックプロファイル更新部１３１によってエントロピー値が算出される際、及び、異常トラフィックテスト部１３２によってエントロピー値が算出される際の双方において用いられる。
【００５７】
エントロピー値は、特定の分析ウィンドウにおいてメッセージを送信した全送信者の「randomness」の測定に用いられる。異常トラフィックテスト部１３２によって算出されたエントロピー値が、同一の分析ウィンドウのトラフィックプロファイルのエントロピー値と比較して小さく、かつその小ささの幅が所定幅以上であれば、非正常的ユーザからの異常トラフィックが多く含まれていることを示す。
【００５８】
（１０）式は、分析ウィンドウを示す。（１１）式は、分析ウィンドウｗにおいて送信された特定の種類のＳＩＰメッセージ（例えばＲＥＱＵＥＳＴメッセージ）の合計数を示す。（１２）式は、分析ウィンドウｗにおいて送信された、送信者ｉによる特定の種類のＳＩＰメッセージ（例えばＲＥＱＵＥＳＴメッセージ）の合計数を示す。（１３）式は、特定の種類のＳＩＰメッセージ（例えばＲＥＱＵＥＳＴメッセージ）の合計数のうち、送信者ｉによって送信されたメッセージ数の割合を示し、（１４）式によって算出される。そして、（１５）式に示すエントロピー値は、（１６）式によって算出される。
【数１０】
【数１１】
【数１２】
【数１３】
【数１４】
【数１５】
【数１６】
【００５９】
異常トラフィックテスト部１３２は、上記計算手法によってエントロピー値を算出すると、トラフィックプロファイル記憶部１２１に記憶されたエントロピー値を参照する。そして、異常トラフィックテスト部１３２は、分析ウィンドウ及びＳＩＰメッセージの種類が同一のエントロピー値をトラフィックプロファイル記憶部１２１から取得し、算出したエントロピー値と取得したエントロピー値とを比較する。続いて、異常トラフィックテスト部１３２は、算出したエントロピー値が、取得したエントロピー値よりも小さく、かつ、その幅が、設定された所定の閾値よりも大きい場合に、異常トラフィックが多く含まれていると探知する。
【００６０】
次に、図１１及び図１２を用いて、適合性テストの一例を説明する。図１１は、適合性テストに用いられるトラフィックプロファイルを説明するための図である。
【００６１】
上述したように、実施例１においては、トラフィックプロファイル更新部１３１が、トラフィックプロファイルを継続的に更新し、トラフィックプロファイル記憶部１２１に格納する。例えば、実施例１に係るトラフィックプロファイル更新部１３１は、トラフィックプロファイルとして、図１１に例示するようにカテゴリ別の出現頻度（frequency）を算出し、トラフィックプロファイル記憶部１２１に格納する。そして、異常トラフィックテスト部１３２は、図１１に例示するトラフィックプロファイルを用いて、カイスクエア（chi-square）方式による適合性テストを行う。なお、カテゴリは、例えば、ＳＩＰメッセージの種類に対応する。
【００６２】
適合性テストは、特定の分析ウィンドウにおいて発生したメッセージと、トラフィックプロファイルの値との一致度により、適合性を判定する。図１２は、適合性テストにおける期待値及び測定値の演算を説明するための図である。異常トラフィックテスト部１３２は、図１２に例示するように、特定の分析ウィンドウにおいて観測されたＳＩＰメッセージの合計数ｎに対してカテゴリ毎の出現頻度を乗算することで、期待値を算出する。次に、異常トラフィックテスト部１３２は、測定値と、算出した期待値とを（１７）式に代入し、テスト値（Ｇ2）を算出する。
【００６３】
例えば、トラフィックプロファイルにおいて、ＳＩＰメッセージの種類別の出現頻度が、『ＩＮＶＩＴＥ』メッセージが『ｆ1』％、『ＲＥＧＩＳＴＥＲ』メッセージが『ｆ2』％、『ＡＣＫ』メッセージが『ｆ3』％、『ＢＹＥ』メッセージが『ｆ4』％であるとする。特定の分析ウィンドウにおいて観測されたメッセージの合計数がｎであるとすると、ＳＩＰメッセージの種類毎の期待値は、『ＩＮＶＩＴＥ』メッセージが『ｅ1＝ｎ＊ｆ1』％、『ＲＥＧＩＳＴＥＲ』メッセージが『ｅ2＝ｎ＊ｆ2』％、『ＡＣＫ』メッセージが『ｅ3＝ｎ＊ｆ3』％、『ＢＹＥ』メッセージが『ｅ4＝ｎ＊ｆ4』％となる。異常トラフィックテスト部１３２は、これらの値（ｅ1、ｅ2、ｅ3、ｅ4）と実際に測定された測定値（ｘ1、ｘ2、ｘ3、ｘ4）との適合性を、（１７）式を用いて計算する。
【数１７】
【００６４】
ある種類のＳＩＰメッセージが非正常的に大量に発生すれば、このテスト値は大きく増加する。すなわち、異常トラフィックテスト部１３２は、計算したテスト値の変化を計測し、その増加分を、予め設定された所定の閾値と比較し、閾値よりも大きい場合に、ある種類のＳＩＰメッセージが非正常的に大量に発生したことを探知する。なお、ここでいうテスト値の変化とは、例えば、時系列上連続する分析ウィンドウ間の比較における変化（例えば、時刻（ｔ−１）の分析ウィンドウにおいて計算されたテスト値と、時刻ｔの分析ウィンドウにおいて計算されたテスト値との間の変化）などのことである。異常トラフィックテスト部１３２は、適合性テストを実施することにより、このような非正常的現象を探知することができる。
【００６５】
図１３は、モデリング分析及び異常テストの概要を示す図である。図１３に例示するように、実施例１に係るトラフィックプロファイル更新部１３１及び異常トラフィックテスト部１３２は、ある分析ウィンドウにおいて観測されたＳＩＰメッセージを、ＳＩＰメッセージの種類毎に分類し、分類後のメッセージ群を対象として、モデリング分析や異常トラフィックテストを実施する。また、図１３に例示するように、分析結果（非正常的ユーザリストを含む）は、ＳＩＰメッセージの種類毎かつ分析ウィンドウ毎に生成され、出力部１１２を通じてサービスの管理者に報告され、また、分析結果記憶部１２２に格納される。また、図１３に例示するように、非正常的ユーザリストは、アクセス制御など、ネットワーク管理の情報として活用される。
【００６６】
［分析結果集計処理］
次に、分析結果集計部１３３による分析結果集計処理を説明する。図１４は、分析結果集計部１３３による処理手順を示すフローチャートである。図１４に例示するように、分析結果集計部１３３は、１週トラフィック分析を開始するか否かを判定している（ステップＳ３０１）。例えば、トラフィック分析システム１００の操作者が『１週トラフィック分析』のアイコンを押下することを契機として、また、例えば、設定された所定のタイミングを契機として、分析結果集計部１３３は、１週トラフィック分析を開始する（ステップＳ３０１肯定）。
【００６７】
次に、分析結果集計部１３３は、分析結果記憶部１２２から、１日トラフィック分析の分析結果を、１週間分ロードする（ステップＳ３０２）。そして、分析結果集計部１３３は、ロードした１週間分の分析結果を集計し（ステップＳ３０３）、１週トラフィック分析の分析結果として、分析結果記憶部１２２に格納する（ステップＳ３０４）。
【００６８】
例えば、長期間（例えば１週間など）の分析結果が必要な場合に活用できる。例えば、分析結果集計部１３３は、分析結果記憶部１２２に記憶された短期間（例えば１日など）の分析結果を集計・要約し、長期間（例えば１週間など）の分析結果を得る。
【００６９】
［実施例１の効果］
上述したように、実施例１においては、トラフィックプロファイル更新部１３１が、ＩＰネットワーク１を流れるトラフィックを所定の間隔でモデリング分析し、正常なトラフィックの特性を示すトラフィックプロファイルを更新する。また、異常トラフィックテスト部１３２が、ＩＰネットワーク１を流れるトラフィックをトラフィックプロファイルを用いて分析し、該トラフィックに含まれる異常トラフィックを探知する。また、トラフィックプロファイルの更新や、更新されたトラフィックプロファイルを用いた異常トラフィックの探知は、継続的に行われる。このように、実施例１においては、トラフィックプロファイルを適宜更新することによりトラフィックプロファイルにＩＰネットワーク１の最新の状況を反映し、最新の状況が反映されたトラフィックプロファイルを用いて異常トラフィックを探知するので、高い精度で、かつ継続的に、異常トラフィックを探知することが可能になる。
【００７０】
例えば、実施例１において、異常トラフィックテスト部１３２は、ＩＰネットワーク１を流れるトラフィックからメッセージ種別毎のエントロピー値を計算し、計算したエントロピー値とトラフィックプロファイル記憶部１２１に記憶されたエントロピー値とを比較することで、該トラフィックに含まれる異常なトラフィックを探知する。また、実施例１において、異常トラフィックテスト部１３２は、ＩＰネットワーク１を流れるトラフィックからメッセージ種別毎のメッセージ数を計上するとともに、トラフィックプロファイル記憶部１２１に記憶された出現頻度を用いてメッセージ種別毎の期待値を計算し、計上されたメッセージ数と計算された期待値とを用いて分析することで、該トラフィックに含まれる異常なトラフィックを探知する。
【００７１】
さらに、実施例１において、異常トラフィックテスト部１３２は、ＩＰネットワーク１を流れるトラフィックを、正常なトラフィックと異常なトラフィックとに区分けし、異常なトラフィックに区分けされたトラフィックの送信元を識別する情報を特定し、特定した情報を用いて非正常的ユーザリストを作成する。
【００７２】
ここで、インターネット電話サービスを安全かつ効率的に管理するためには、トラフィックの特性及び変化を継続的に観察するトラフィック分析システムの役割が重要となる。また、このようなトラフィック分析システムには、その分析結果をサービスの管理者に報告する機能や、非正常的なユーザを監視する機能が望まれる。この点、実施例１に係るトラフィック分析システム１００は、ＩＰネットワーク１を流れるトラフィックを継続的にモデリング分析し、最新のＩＰネットワーク１の状況が反映されたトラフィックプロファイルを継続的に更新し、このようなトラフィックプロファイルを用いて異常トラフィックを探知するので、トラフィックの特性及び変化を継続的に観察することができる。例えば、インターネット電話サービスの管理者は、インターネット電話サービスにおける使用量の変化や使用パターンなどを確認することができる。
【００７３】
また、実施例１に係るトラフィック分析システム１００は、分析結果をＵＩを通じて管理者に報告する機能を有し、かつ、分析結果記憶部１２２に格納する機能も有する。さらに、実施例１に係るトラフィック分析システム１００は、非正常的ユーザリストを継続的に生成・更新し、これらをＵＩを通じて管理者に報告したり、別途アクセス制御に活用させるなどすることで、非正常的なユーザを継続的に監視する機能も有する。
【００７４】
また、実施例１に係るトラフィック分析システム１００は、分析対象とするトラフィックを、ＳＩＰメッセージの種類毎、分析ウィンドウ毎に分類した上で分析を行い、その分析結果を報告、蓄積する機能を有する。言い換えると、実施例１に係るトラフィック分析システム１００は、細かい粒度でトラフィック分析を行うことで、高い精度で異常トラフィックを探知することができる。例えば、トラフィック分析システム１００は、ＳＩＰメッセージの種類毎に分析を行うので、特定の種類のＳＩＰメッセージを悪用したネットワーク攻撃などに対応することが容易になる。
【００７５】
なお、トラフィック分析システム１００は、例えば、トラフィックをＳＩＰメッセージの種類毎に分類することなく、全ＳＩＰメッセージを対象として、上記と同様の手法によりトラフィックプロファイルを作成し、異常トラフィックテストを行ってもよい。この場合には、トラフィック分析システム１００は、細かい粒度のトラフィック分析と、全体的なトラフィック分析との双方の分析結果を得ることが可能になり、サービスの管理者は、種類毎のメッセージの変化と、全体的なトラフィックの変化とを確認することが可能になる。
【００７６】
また、実施例１に係るトラフィック分析システム１００は、１日トラフィック分析、１週トラフィック分析など、ある分析結果をさらに集計・要約するなどして、他の観点からの分析も行い、多面的な分析結果を提供することができる。通常、異常トラフィックは、一時的に発生するのではなく、長期間ある程度決まったパターンで発生する場合が多い。短期間の分析（例えば１日トラフィック分析など）による分析結果に基づいて異常トラフィックを探知することも可能であるが、この分析結果をさらに集計・要約するなどした長期間の分析（例えば１週トラフィック分析など）によれば、異常トラフィックのパターンまで適切に特定することが可能になる。例えば、長期間の分析結果に基づいて、どのような経路を通じて異常トラフィックが流入しているのか、といったパターンを特定し、例えば特定のソース（source、送信元）から流入されるトラフィックを遮断する、といった制御も可能になる。なお、「１日」、「１週」といった単位は任意に変更することが可能である。
【００７７】
以上のように、実施例１に係るトラフィック分析システム１００は、時間スケール別かつＳＩＰメッセージの種類別に、統計的手法による多面的なトラフィック分析を行い、その結果、異常トラフィックを探知し、非正常的ユーザリストを作成して、これを継続的に管理することにより、高い精度で、かつ継続的に、異常トラフィック及び非正常的ユーザを監視する。
【実施例２】
【００７８】
これまで、開示の技術に係るトラフィック分析システム及びトラフィック分析方法の実施例として実施例１を説明してきたが、開示の技術はこれに限られるものではない。種々の異なる形態にて実施されてよいものである。
【００７９】
上記実施例１においては、トラフィック分析システム１００が、分析結果集計部１３３を備える例を説明したが、開示の技術はこれに限られるものではなく、トラフィック分析システム１００は、必ずしも分析結果集計部１３３を備える必要はない。すなわち、上記実施例１においては、トラフィック分析システム１００が、１日単位のトラフィック分析及び１週単位のトラフィック分析の双方を行う例を説明したが、トラフィック分析を行う単位は任意に変更可能であり、また、ある単位で行われたトラフィック分析の分析結果を集計するか否かも任意に変更可能である。
【００８０】
また、上記実施例１においては、トラフィック分析システム１００が、異常トラフィックテストとして、非正常メッセージ探知テスト、エントロピー比較テスト、及び適合性テストの３つのテストを行う例を説明したが、開示の技術はこれに限られるものではない。例えば、トラフィック分析システム１００は、非正常メッセージ探知テストを行わなくてもよいし、また、エントロピー比較テストや適合性テストに替えて他のテストを行ってもよい。すなわち、異常トラフィックを探知するための異常トラフィックテストとしてどのようなテストを行うかは任意に変更可能である。
【００８１】
また、上記実施例１においては、開示の技術に係るトラフィック分析の対象の一例として、ＳＩＰを基盤とするインターネット電話サービスを説明したが、開示の技術はこれに限られるものではなく、ネットワークにおけるトラフィック分析であれば同様に適用することができる。図１に例示したようなクライアントとサーバとの間のトラフィック分析に限られるものでもない。
【００８２】
また、上記実施例１において説明したエントロピー比較テストや適合性テストによるテスト結果と、非正常的ユーザリストの生成とを連携させてもよい。ここで、エントロピー比較テストも適合性テストも、そのテストの結果は、異常トラフィックの有無を探知するものである。エントロピー比較テストや適合性テストにおいて異常トラフィックの有無が探知されると、異常トラフィックが有るとされた分析ウィンドウが特定される。そこで、例えば、異常トラフィックテスト部１３２は、この特定した分析ウィンドウに対応する非正常メッセージ探知テストを行って、非正常的ユーザリストを作ってもよい。
【００８３】
［トラフィック分析プログラム］
また、上記実施例１において説明したトラフィック分析方法は、トラフィック分析プログラムによる情報処理がコンピュータを用いて具体的に実現されることで実行されてもよい。コンピュータは、例えば、ＣＰＵと、システムメモリと、ハードディスクドライブインタフェースと、ディスクドライブインタフェースと、シリアルポートインタフェースと、ビデオアダプタと、ネットワークインタフェースとを有し、これらの各部はシステムバスによって接続される。システムメモリは、ＲＯＭ及びＲＡＭを含む。ＲＯＭは、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェースは、ハードディスクドライブに接続される。ディスクドライブインタフェースは、ディスクドライブに接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブに挿入される。シリアルポートインタフェースは、例えば、マウス、キーボードに接続される。ビデオアダプタは、例えば、ディスプレイに接続される。
【００８４】
ここで、ハードディスクドライブは、例えば、ＯＳ（Operating System）、アプリケーションプログラム、プログラムモジュール、プログラムデータを記憶する。すなわち、開示の技術に係るトラフィック分析プログラムは、コンピュータによって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクに記憶される。具体的には、上記実施例で説明したトラフィックプロファイル更新部１３１と同様の処理を実行する手順と、異常トラフィックテスト部１３２と同様の処理を実行する手順と、分析結果集計部１３３と同様の処理を実行する手順とが記述されたプログラムモジュールが、ハードディスクに記憶される。
【００８５】
また、上記実施例で説明したトラフィックプロファイル記憶部１２１及び分析結果記憶部１２２に記憶されるデータのように、トラフィック分析プログラムによる処理に用いられるデータは、プログラムデータとして、例えばハードディスクに記憶される。そして、ＣＰＵが、ハードディスクに記憶されたプログラムモジュールやプログラムデータを必要に応じてＲＡＭに読み出し、上記手順を実行する。
【００８６】
なお、トラフィック分析プログラムに係るプログラムモジュールやプログラムデータは、ハードディスクに記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵによって読み出されてもよい。あるいは、トラフィック分析プログラムに係るプログラムモジュールやプログラムデータは、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェースを介してＣＰＵによって読み出されてもよい。
【符号の説明】
【００８７】
１００ トラフィック分析システム
１１１ 入力部
１１２ 出力部
１２１ トラフィックプロファイル記憶部
１２２ 分析結果記憶部
１３１ トラフィックプロファイル更新部
１３２ 異常トラフィックテスト部
１３３ 分析結果集計部
【技術分野】
【０００１】
本発明は、トラフィック分析システム及びトラフィック分析方法に関する。
【背景技術】
【０００２】
近年、インターネット電話サービスなどにおいては、低料金や多様な付加サービスを背景に加入者が急増し、トラフィックも急増している。また、これに伴い非正常的なユーザ（abnormal users）による異常トラフィック（abnormal traffic）も増加している。
【０００３】
従来、このようなサービスを管理することを目的として、トラフィック分析システムが用いられている。トラフィック分析システムは、例えば、トラフィックに変化が発生する前のトラフィックと発生中のトラフィックとを比較し、変化を引き起こしたトラフィックを抽出して分析することで、異常トラフィックを探知する。また、例えば、スイッチを通過するトラフィックを分析することで、異常トラフィックを探知する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００９−０４４５０１号公報
【特許文献２】特開２００９−０８９２４１号公報
【特許文献３】特開２０１０−０３９９９４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、上述した従来の技術では、異常トラフィックを探知する精度が低いという課題がある。すなわち、従来のトラフィック分析システムは、固定的な閾値を用いて異常トラフィックを探知する。この点、ネットワークの状況は、例えば曜日や時間帯によって変化したり、例えばイベントやキャンペーンのような突発的な事由によって変化することもあるので、固定的な閾値を用いて探知する手法では限界がある。
【０００６】
本発明は、上記に鑑みてなされたものであって、高い精度で異常トラフィックを探知することが可能なトラフィック分析システム及びトラフィック分析方法を提供することを目的とする。
【課題を解決するための手段】
【０００７】
上述した課題を解決し、目的を達成するために、開示の技術は、一つの態様において、ネットワークを流れるトラフィックを時系列に記憶するトラフィック記憶手段と、正常なトラフィックの特性を示す特性情報を記憶する特性情報記憶手段と、前記トラフィック記憶手段から所定の間隔毎に最新のトラフィックを読み出し、読み出したトラフィックを分析することにより該トラフィックを異常なトラフィックと正常なトラフィックとに区分けし、区分けした正常なトラフィックを用いて算出した特性情報により前記特性情報記憶手段に記憶された特性情報を更新する更新手段と、前記トラフィック記憶手段から最新のトラフィックを読み出し、読み出したトラフィックを分析することにより該トラフィックの特性を示す値を算出し、算出した値と前記特性情報記憶手段に記憶された最新の特性情報との比較結果に基づいて、該トラフィックに含まれる異常なトラフィックの有無を判定する判定手段とを備える。
【０００８】
また、開示の技術は、一つの態様において、コンピュータが、ネットワークを流れるトラフィックを時系列に記憶するトラフィック記憶手段と、正常なトラフィックの特性を示す特性情報を記憶する特性情報記憶手段として機能し、前記トラフィック記憶手段から所定の間隔毎に最新のトラフィックを読み出し、読み出したトラフィックを分析することにより該トラフィックを異常なトラフィックと正常なトラフィックとに区分けし、区分けした正常なトラフィックを用いて算出した特性情報により前記特性情報記憶手段に記憶された特性情報を更新する更新工程と、前記トラフィック記憶手段から最新のトラフィックを読み出し、読み出したトラフィックを分析することにより該トラフィックの特性を示す値を算出し、算出した値と前記特性情報記憶手段に記憶された最新の特性情報との比較結果に基づいて、該トラフィックに含まれる異常なトラフィックの有無を判定する判定工程とを含む。
【発明の効果】
【０００９】
開示の技術によれば、高い精度で異常トラフィックを探知することが可能になるという効果を奏する。
【図面の簡単な説明】
【００１０】
【図１】図１は、実施例１に係るトラフィック分析システム１００の概要を説明するための図である。
【図２】図２は、実施例１におけるトラフィック分析の対象を説明するための図である。
【図３】図３は、実施例１に係るトラフィック分析システム１００の構成を示すブロック図である。
【図４】図４は、メッセージ群の集計結果を説明するための図である。
【図５】図５は、異常閾値ρの決定を説明するための図である。
【図６】図６は、トラフィックプロファイル更新部１３１による処理手順を示すフローチャートである。
【図７】図７は、異常トラフィックテスト部１３２による処理手順を示すフローチャートである。
【図８】図８は、非正常メッセージ探知テストを説明するための図である。
【図９】図９は、非正常的ユーザリストを説明するための図である。
【図１０】図１０は、エントロピー比較テストに用いられるトラフィックプロファイルを説明するための図である。
【図１１】図１１は、適合性テストに用いられるトラフィックプロファイルを説明するための図である。
【図１２】図１２は、適合性テストにおける期待値及び測定値の演算を説明するための図である。
【図１３】図１３は、モデリング分析及び異常トラフィックテストの概要を示す図である。
【図１４】図１４は、分析結果集計部１３３による処理手順を示すフローチャートである。
【発明を実施するための形態】
【００１１】
以下に、開示の技術に係るトラフィック分析システム及びトラフィック分析方法の実施例を説明する。なお、以下の実施例により本発明が限定されるものではない。
【実施例１】
【００１２】
［実施例１に係るトラフィック分析システムの概要］
図１は、実施例１に係るトラフィック分析システム１００の概要を説明するための図である。図１に例示するように、実施例１に係るトラフィック分析システム１００は、ＩＰ（Internet Protocol）ネットワーク１に接続されたクライアント２とサーバ３との間で送受信されるトラフィックを分析する。図１に例示するように、ＩＰネットワーク１とサーバ３とを接続する経路上にＴＡＰ（Test Access Point）４が設置され、ＴＡＰ４によって収集されたトラフィックデータが、時系列にトラフィックデータベース１０に蓄積される。
【００１３】
図１に例示するように、実施例１に係るトラフィック分析システム１００は、トラフィックプロファイル記憶部１２１と、トラフィックプロファイル更新部１３１と、異常トラフィックテスト部１３２とを備える。なお、実施例１に係るトラフィック分析システム１００はその他の各部も備えるが、ここでは概要を説明する観点から割愛する。また、トラフィック分析システム１００は、トラフィックデータベース１０をトラフィック分析システム１００内の部として備えてもよい。
【００１４】
トラフィックプロファイル記憶部１２１は、正常なトラフィック（normal traffic）の特性を示すトラフィックプロファイル（「特性情報」とも称する）を記憶する。トラフィックプロファイル更新部１３１は、トラフィックデータベース１０から所定の間隔毎に最新のトラフィックを読み出し、読み出したトラフィックを分析することにより該トラフィックを異常なトラフィックと正常なトラフィックとに区分けする。次に、トラフィックプロファイル更新部１３１は、区分けした正常なトラフィックを用いて算出したトラフィックプロファイルによりトラフィックプロファイル記憶部１２１に記憶されたトラフィックプロファイルを更新する。
【００１５】
異常トラフィックテスト部１３２は、トラフィックデータベース１０から最新のトラフィックを読み出し、読み出したトラフィックを分析することにより該トラフィックの特性を示す値を算出し、算出した値とトラフィックプロファイル記憶部１２１に記憶された最新のトラフィックプロファイルとの比較結果に基づいて、該トラフィックに含まれる異常なトラフィックの有無を判定する。
【００１６】
なお、実施例１に係るトラフィックプロファイル更新部１３１は、第一の間隔で分析を行い、実施例１に係る異常トラフィックテスト部１３２は、第二の間隔で分析を行う。これは、両分析が必ずしも同じ間隔で行われなくてもよいことを示すものであるが、第一の間隔と第二の間隔とが一致する場合にも、開示の技術を同様に適用することができる。
【００１７】
このように、実施例１に係るトラフィック分析システム１００は、トラフィックプロファイルを適宜更新するとともに、適宜更新されたトラフィックプロファイルを用いて異常トラフィックを探知する。また、トラフィックプロファイルの更新や、更新されたトラフィックプロファイルを用いた異常トラフィックの探知は、継続的に行われる。すなわち、実施例１に係るトラフィック分析システム１００は、トラフィックプロファイルを適宜更新することによりトラフィックプロファイルにＩＰネットワーク１の最新の状況を反映し、最新の状況が反映されたトラフィックプロファイルを用いて異常トラフィックを探知するので、高い精度で、かつ継続的に、異常トラフィックを探知することが可能になる。
【００１８】
［実施例１におけるトラフィック分析の対象］
図２は、実施例１におけるトラフィック分析の対象を説明するための図である。図２に例示するように、実施例１においては、トラフィック分析の対象の一例として、ＳＩＰ（Session Initiation Protocol）を基盤とするインターネット電話サービスを説明する。すなわち、実施例１に係るトラフィック分析システム１００は、インターネット電話サービスのトラフィックを分析し、異常トラフィックを探知する。
【００１９】
図２に例示するように、ＳＩＰを基盤とするインターネット電話サービスにおいては、ＳＩＰ送信者（Caller）がＳＩＰ受信者（Callee）に対して発呼することにより、ＳＩＰ送信者とＳＩＰ受信者との間に通話が発生する。そして、ＳＩＰサーバ（Proxy）を介し、ＳＩＰ送信者とＳＩＰ受信者との間でＳＩＰメッセージが送受信されることにより、トラフィックが発生する。なお、以下では、ＳＩＰ発呼者をＳＩＰ送信者という。
【００２０】
ここで、インターネット電話サービスにおいては、図２に例示するように、非正常的なユーザが混在する場合があり、非正常的なユーザによる異常トラフィックが発生する場合がある。異常トラフィックとは、例えば、悪意あるユーザやマルウェアによる攻撃によって生じるトラフィック、機器の障害やプログラムのバグによって生じるトラフィック、操作ミスによって生じるトラフィックなどである。このため、図２に例示するＳＩＰトラフィックデータベース１０には、正常なトラフィックのＳＩＰメッセージの他、このような異常トラフィックのＳＩＰメッセージも蓄積されることになり、実施例１に係るトラフィック分析システム１００は、このＳＩＰメッセージをトラフィック分析の対象とする。
【００２１】
［実施例１に係るトラフィック分析システムの構成］
図３は、実施例１に係るトラフィック分析システム１００の構成を示すブロック図である。図３に例示するように、トラフィック分析システム１００は、入力部１１１と、出力部１１２とを備える。また、トラフィック分析システム１００は、記憶部として、トラフィックプロファイル記憶部１２１と、分析結果記憶部１２２とを備える。また、トラフィック分析システム１００は、制御部として、トラフィックプロファイル更新部１３１と、異常トラフィックテスト部１３２と、分析結果集計部１３３とを備える。
【００２２】
入力部１１１は、例えばマウスやキーボードなどであり、各種操作の入力などを受け付ける。出力部１１２は、例えばディスプレイなどであり、各種操作のための情報などを出力する。
【００２３】
例えば、実施例１において、トラフィック分析システム１００は、出力部１１２であるディスプレイに、ＵＩ（User Interface）として制御パネルを表示する。また、トラフィック分析システム１００は、制御パネル上に、例えば、『トラフィックモデリング』、『１日トラフィック分析』、及び『１週トラフィック分析』と示されたアイコンを表示する。トラフィック分析システム１００の操作者は、ディスプレイに表示されたアイコンを、入力部１１１であるマウスを用いて押下することにより、操作を入力する。例えば、トラフィック分析システム１００の操作者は、『トラフィックモデリング』のアイコンを押下することにより、『トラフィックモデリング』の開始指示を入力する。
【００２４】
また、実施例１において、トラフィック分析システム１００は、出力部１１２であるディスプレイに、ＵＩとして分析結果を表示する。例えば、トラフィック分析システム１００は、『１日トラフィック分析結果』、『非正常的ユーザリスト』、『１週トラフィック分析結果』などを表示する。
【００２５】
実施例１における記憶部は、例えば、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、ハードディスクや、その他の記憶媒体（光ディスクなど）であり、各種情報を記憶する。
【００２６】
トラフィックプロファイル記憶部１２１は、正常なトラフィックの特性を示すトラフィックプロファイルを記憶する。具体的には、トラフィックプロファイル記憶部１２１は、後述するトラフィックプロファイル更新部１３１によって格納されることでトラフィックプロファイルを記憶する。また、トラフィックプロファイル記憶部１２１が記憶するトラフィックプロファイルは、後述するトラフィックプロファイル更新部１３１によって適宜更新される。また、トラフィックプロファイル記憶部１２１が記憶するトラフィックプロファイルは、後述する異常トラフィックテスト部１３２による処理に利用される。なお、トラフィックプロファイルの具体例は、後述する。
【００２７】
分析結果記憶部１２２は、分析結果を記憶する。具体的には、分析結果記憶部１２２は、後述する異常トラフィックテスト部１３２や分析結果集計部１３３によって格納されることで、分析結果を記憶する。また、分析結果記憶部１２２が記憶する分析結果は、後述する分析結果集計部１３３による処理に利用される。なお、分析結果の具体例は、後述する。
【００２８】
実施例１における制御部は、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などの集積回路、又は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などの電子回路であり、トラフィック分析システム１００が備える各部を制御する。以下、トラフィックプロファイル更新部１３１によるトラフィックプロファイル更新処理、異常トラフィックテスト部１３２による異常トラフィックテスト処理、分析結果集計部１３３による分析結果集計処理を、順に説明する。
【００２９】
［トラフィックプロファイル更新処理］
トラフィックプロファイル更新部１３１は、図３に例示するように、モデリング分析部１３１ａと、更新部１３１ｂとを有する。モデリング分析部１３１ａは、ＩＰネットワーク１を流れるトラフィックを第一の間隔で分析する。以下、この分析を「モデリング分析」という。更新部１３１ｂは、モデリング分析部１３１ａによる分析の結果を用いてトラフィックプロファイル記憶部１２１に記憶されたトラフィックプロファイルを更新する。
【００３０】
ここで、モデリング分析部１３１ａによる分析の一例を説明する。実施例１に係るモデリング分析部１３１ａは、ＳＩＰトラフィックデータベース１０に蓄積されたＳＩＰメッセージをＳＩＰトラフィックデータベース１０から読み出し、読み出したＳＩＰメッセージを、メッセージの種類毎に、各種時間単位（３０分、１日、１週、１月など）で分類し、統計的手法を用いて分析することで、トラフィックプロファイルを生成する。例えば、モデリング分析部１３１ａは、ＳＩＰメッセージを、『ＩＮＶＩＴＥ』、『ＲＥＧＩＳＴＥＲ』、『ＡＣＫ』、『ＢＹＥ』、『ＣＡＮＣＥＬ』、『ＯＰＴＩＯＮＳ』の種類毎に分類する。また、モデリング分析部１３１ａは、メッセージの種類毎に分類されたＳＩＰメッセージを、メッセージに含まれるタイムスタンプに基づいて、例えば３０分の時間単位で分類する。なお、以下、時間によって区切られる分析の単位を「分析ウィンドウ」という。
【００３１】
次に、モデリング分析部１３１ａは、分類されたメッセージ群毎に集計を行う。図４は、メッセージ群の集計結果を説明するための図である。図４に例示する集計結果は、Ｓ1〜Ｓnというｎ個のセットを含んでおり、各セットは、『メッセージ数』、『送信者数』、『メッセージ数の累積比率』、『送信者数の累積比率』という項目を有する。また、Ｓ1〜Ｓnは、メッセージ数の値に基づいて昇順にソートされている。
【００３２】
『メッセージ数』は、送信者単位でメッセージの数を集計した値である。『送信者数』は、送信者単位で集計したメッセージの数が『メッセージ数』の項目の値と同一の送信者の数である。『メッセージ数の累積比率』は、送信者単位で集計したメッセージの数が『メッセージ数』の項目の値以下である送信者によるメッセージ数の合計が全メッセージ数に占める比率である。『送信者数の累積比率』は、送信者単位で集計したメッセージの数が『メッセージ数』の項目の値以下である送信者数が全送信者数に占める比率である。
【００３３】
例えば、図４に例示する集計結果のセットＳ2は、送信者単位で集計したメッセージの数が「Ｎｍ2」である送信者の数が「Ｎｃ2」であり、送信者単位で集計したメッセージの数が「Ｎｍ2」以下である送信者によるメッセージ数の合計が全メッセージ数に占める比率が「Ｒｍ2」であり、送信者単位で集計したメッセージの数が「Ｎｍ2」以下である送信者数が全送信者数に占める比率が「Ｒｃ2」であることを示す。
【００３４】
続いて、モデリング分析部１３１ａは、集計結果を用いて、正常なトラフィックと異常トラフィックとを判別する。例えば、モデリング分析部１３１ａは、（１）式を用いて、正常なトラフィックと異常トラフィックとを判別するための異常閾値ρを決定する。
【数１】
【００３５】
ここで、μは、１送信者あたりのメッセージ数の平均値である。また、δは、１送信者あたりのメッセージ数の標準偏差値である。平均値μ及び標準偏差値δは、それぞれ、（２）式及び（３）式を用いて算出される。また、ωは、異常範囲（abnormal range）決定パラメータであり、例えば１、２、３のいずれかの値が選択され、設定される。図５は、異常閾値ρの決定を説明するための図である。図５に例示するように、異常範囲決定パラメータωの値に応じて、異常範囲は変化する。
【数２】
【数３】
【００３６】
また、モデリング分析部１３１ａは、メッセージ数が異常閾値ρ以下となる送信者数が全送信者数に占める比率と、メッセージ数が異常閾値ρ以下となる送信者によるメッセージ数の合計が全メッセージ数に占める比率との差を算出する。『メッセージ数』が異常閾値ρと同値又は最も近い値のセットがＳtである場合、モデリング分析部１３１ａは、Ｓtの『送信者数の累積比率』である「Ｒｃt」と『メッセージ数の累積比率』である「Ｒｍt」とを集計結果から取得し、両者の差を算出する。
【００３７】
そして、モデリング分析部１３１ａは、算出した比率差と、設定された比率差の閾値とを比較し、算出された比率差が閾値よりも大きい場合に、送信者単位で集計されたメッセージ数が異常閾値ρよりも多い送信者によるトラフィックを、異常トラフィックとして判別する。すなわち、モデリング分析部１３１ａは、メッセージの種類毎かつ分析ウィンドウ毎に分類されたメッセージ群毎に、異常なトラフィックと正常なトラフィックとに区分けする。なお、比率差の閾値は、異常閾値ρに基づいて異常トラフィックを判別することが適切であるか否かを判定するために用いられる。
【００３８】
次に、モデリング分析部１３１ａは、トラフィックから異常トラフィックを除き、正常なトラフィックのみを用いて、正常なトラフィックの特性を示すモデリング値（modeling value）を算出する。例えば、モデリング分析部１３１ａは、メッセージの種類毎かつ分析ウィンドウ毎に分類されたメッセージ群毎のモデリング値として、例えば、エントロピー値（entropy value）や、全メッセージに占める種類別メッセージの出現頻度（割合）、その他、送信者数の変化、メッセージ数の変化など、各種の値を、統計的手法を用いて算出する。
【００３９】
一方、更新部１３１ｂは、モデリング分析部１３１ａによって算出されたモデリング値をトラフィックプロファイル記憶部１２１に格納することで、トラフィックプロファイルを更新する。ここで、実施例１に係る更新部１３１ｂは、（４）式に示すように、０〜１の範囲で設定される重みｗによる加重調整を行い、トラフィックプロファイルを更新する。Ｖpreviousは、モデリング分析部１３１ａによる過去の分析結果であり、Ｖcurrentは、モデリング分析部１３１ａによる現在の分析結果であり、Ｖは、加重調整後の分析結果である。
【数４】
【００４０】
図６は、トラフィックプロファイル更新部１３１による処理手順を示すフローチャートである。図６に例示するように、トラフィックプロファイル更新部１３１において、モデリング分析部１３１ａは、モデリング分析を開始するか否かを判定している（ステップＳ１０１）。例えば、トラフィック分析システム１００の操作者が『トラフィックモデリング』のアイコンを押下することを契機として、また、例えば、設定された所定のタイミング（例えば１週間毎など）を契機として、モデリング分析部１３１ａは、モデリング分析を開始する（ステップＳ１０１肯定）。
【００４１】
そして、モデリング分析部１３１ａが、モデリング分析を行い、トラフィックプロファイルとなるモデリング値を算出すると（ステップＳ１０２）、更新部１３１ｂが、トラフィックプロファイル記憶部１２１を更新し、処理を終了する（ステップＳ１０３）。
【００４２】
［異常トラフィックテスト処理］
異常トラフィックテスト部１３２は、ＩＰネットワーク１を流れるトラフィックを、トラフィックプロファイル記憶部１２１に記憶されたトラフィックプロファイルを用いて第二の間隔で分析し、該トラフィックに含まれる異常トラフィックを探知する。具体的には、異常トラフィックテスト部１３２は、異常トラフィックテストを実行して異常トラフィックを探知し、異常トラフィックテストによる分析結果を分析結果記憶部１２２に格納する。
【００４３】
まず、実施例１に係る異常トラフィックテストの全体像を把握するために、異常トラフィックテスト部１３２による処理手順を説明する。図７は、異常トラフィックテスト部１３２による処理手順を示すフローチャートである。図７に例示するように、異常トラフィックテスト部１３２は、異常トラフィックテストを開始するか否かを判定している（ステップＳ２０１）。例えば、トラフィック分析システム１００の操作者が『１日トラフィック分析』のアイコンを押下することを契機として、また、例えば、設定された所定のタイミング（例えば１日毎など）を契機として、異常トラフィックテスト部１３２は、異常トラフィックテストを開始する（ステップＳ２０１肯定）。
【００４４】
実施例１に係る異常トラフィックテスト部１３２は、異常トラフィックテストとして、図７に例示するように、非正常メッセージ探知テスト（ステップＳ２０２）、エントロピー比較テスト（ステップＳ２０３）、適合性テスト（ステップＳ２０４）を実行する。なお、実施例１において、トラフィックプロファイル記憶部１２１に記憶されたトラフィックプロファイルを用いて行われる異常トラフィックテストは、エントロピー比較テスト及び適合性テストの２つである。異常トラフィックテスト部１３２は、エントロピー比較テスト及び適合性テストそれぞれを実行すると、分析結果を分析結果記憶部１２２に格納して（ステップＳ２０７）、処理を終了する。
【００４５】
また、図７に例示するように、非正常メッセージ探知テストにおいては、異常トラフィックテスト部１３２は、異常トラフィックの有無を判定し（ステップＳ２０５）、異常トラフィックが存在すると判定した場合には（ステップＳ２０５肯定）、非正常的ユーザリストを生成し（ステップＳ２０６）、生成した非正常的ユーザリストを分析結果記憶部１２２に格納して（ステップＳ２０７）、処理を終了する。一方、異常トラフィックが存在しないと判定した場合には（ステップＳ２０５否定）、異常トラフィックテスト部１３２は、分析結果を分析結果記憶部１２２に格納して（ステップＳ２０７）、処理を終了する。
【００４６】
次に、図８及び図９を用いて、非正常メッセージ探知テストの一例を説明する。図８は、非正常メッセージ探知テストを説明するための図である。
【００４７】
実施例１に係る異常トラフィックテスト部１３２は、ＳＩＰトラフィックデータベース１０に蓄積されたＳＩＰメッセージを、メッセージの種類毎かつ分析ウィンドウ毎に分類する。例えば、異常トラフィックテスト部１３２は、ＳＩＰメッセージを、『ＩＮＶＩＴＥ』、『ＲＥＧＩＳＴＥＲ』、『ＡＣＫ』、『ＢＹＥ』、『ＣＡＮＣＥＬ』、『ＯＰＴＩＯＮＳ』の種類毎に分類する。また、異常トラフィックテスト部１３２は、メッセージの種類毎に分類されたＳＩＰメッセージを、メッセージに含まれるタイムスタンプに基づいて、例えば３０分の時間単位で分類する。
【００４８】
次に、異常トラフィックテスト部１３２は、分類されたメッセージ群毎に、送信者単位でメッセージの数を集計する。図８に例示するＳ1〜Ｓnというｎ個のセットは、メッセージ数の値に基づいて昇順にソートされている。
【００４９】
続いて、異常トラフィックテスト部１３２は、集計結果を用いて、正常なトラフィックと異常トラフィックとを判別する。例えば、異常トラフィックテスト部１３２は、異常値の判別に有用とされるマハラノビス距離（Mahalanobis distance）方式を用いて、正常なトラフィックと異常トラフィックとを判別するための異常閾値ρを決定する。
【００５０】
ここで、（５）式は、逆共分散行列を示す。また、（６）式は、Ｓ1〜Ｓnというｎ個のセットｘを示す。また、μは、１送信者あたりのメッセージ数の平均値である。また、δは、１送信者あたりのメッセージ数の標準偏差値である。平均値μ及び標準偏差値δは、それぞれ、上述した（２）式及び（３）式を用いて算出される。
【数５】
【数６】
【００５１】
そして、異常トラフィックテスト部１３２は、（７）式〜（９）式を用いて、異常閾値ρを決定する。（７）式は、（８）式を求める過程として共変行列（covariance matrix）を求める式であり、右辺のＰ（ｘ）は、ｘの発生確率を示す。（８）式の左辺は、各セットの距離を示し、この距離がρδより大きくなるセットの中で最小値となるメッセージ数が、異常閾値ρである。すなわち、（９）式を満たすセットの中で最小値となるメッセージ数が、異常閾値ρである。このように、異常トラフィックテスト部１３２は、メッセージの種類毎かつ分析ウィンドウ毎に分類されたメッセージ群毎に、異常閾値ρを決定する。
【数７】
【数８】
【数９】
【００５２】
続いて、異常トラフィックテスト部１３２は、メッセージの種類毎に、非正常的ユーザリストを作成する。図９は、非正常的ユーザリストを説明するための図である。なお、図９に例示する『ｗn』は、分析ウィンドウを示す。
【００５３】
異常トラフィックテスト部１３２は、メッセージ数が異常閾値ρより多い範囲（異常メッセージ範囲）に含まれるセットに対応する送信者の識別情報（例えばＳＩＰ−ＵＲＩ（Uniform Resource Identifier）など）を特定し、特定した送信者の識別情報を、メッセージ数に基づき例えば降順でソートし、非正常的ユーザリストを作成する。例えば、送信者『Ａ』が分析ウィンドウ『ｗ1』で送信したメッセージの数が異常メッセージ範囲に含まれれば、そのメッセージ数は、『ａ1』に記録される。仮に、送信者『Ａ』が、次の分析ウィンドウ『ｗ2』で送信したメッセージの数が異常メッセージ範囲に含まれなければ（正常なメッセージ範囲に含まれれば）、『ａ2』には『０』が記録される。異常トラフィックテスト部１３２は、非正常メッセージ探知テストを繰り返し行い、その都度非正常的ユーザリストを更新し、更新した非正常的ユーザリストを分析結果として分析結果記憶部１２２に格納する。
【００５４】
続いて、図１０を用いて、エントロピー比較テストの一例を説明する。図１０は、エントロピー比較テストに用いられるトラフィックプロファイルを説明するための図である。
【００５５】
上述したように、実施例１においては、トラフィックプロファイル更新部１３１が、トラフィックプロファイルを継続的に更新し、トラフィックプロファイル記憶部１２１に格納する。例えば、実施例１に係るトラフィックプロファイル更新部１３１は、トラフィックプロファイルとしてエントロピー値を算出し、図１０に例示するようにトラフィックプロファイル記憶部１２１に格納する。そして、異常トラフィックテスト部１３２は、図１０に例示するトラフィックプロファイルを用いて、エントロピー比較テストを行う。
【００５６】
ここで、エントロピー値の計算手法を説明する。なお、この計算手法は、トラフィックプロファイル更新部１３１によってエントロピー値が算出される際、及び、異常トラフィックテスト部１３２によってエントロピー値が算出される際の双方において用いられる。
【００５７】
エントロピー値は、特定の分析ウィンドウにおいてメッセージを送信した全送信者の「randomness」の測定に用いられる。異常トラフィックテスト部１３２によって算出されたエントロピー値が、同一の分析ウィンドウのトラフィックプロファイルのエントロピー値と比較して小さく、かつその小ささの幅が所定幅以上であれば、非正常的ユーザからの異常トラフィックが多く含まれていることを示す。
【００５８】
（１０）式は、分析ウィンドウを示す。（１１）式は、分析ウィンドウｗにおいて送信された特定の種類のＳＩＰメッセージ（例えばＲＥＱＵＥＳＴメッセージ）の合計数を示す。（１２）式は、分析ウィンドウｗにおいて送信された、送信者ｉによる特定の種類のＳＩＰメッセージ（例えばＲＥＱＵＥＳＴメッセージ）の合計数を示す。（１３）式は、特定の種類のＳＩＰメッセージ（例えばＲＥＱＵＥＳＴメッセージ）の合計数のうち、送信者ｉによって送信されたメッセージ数の割合を示し、（１４）式によって算出される。そして、（１５）式に示すエントロピー値は、（１６）式によって算出される。
【数１０】
【数１１】
【数１２】
【数１３】
【数１４】
【数１５】
【数１６】
【００５９】
異常トラフィックテスト部１３２は、上記計算手法によってエントロピー値を算出すると、トラフィックプロファイル記憶部１２１に記憶されたエントロピー値を参照する。そして、異常トラフィックテスト部１３２は、分析ウィンドウ及びＳＩＰメッセージの種類が同一のエントロピー値をトラフィックプロファイル記憶部１２１から取得し、算出したエントロピー値と取得したエントロピー値とを比較する。続いて、異常トラフィックテスト部１３２は、算出したエントロピー値が、取得したエントロピー値よりも小さく、かつ、その幅が、設定された所定の閾値よりも大きい場合に、異常トラフィックが多く含まれていると探知する。
【００６０】
次に、図１１及び図１２を用いて、適合性テストの一例を説明する。図１１は、適合性テストに用いられるトラフィックプロファイルを説明するための図である。
【００６１】
上述したように、実施例１においては、トラフィックプロファイル更新部１３１が、トラフィックプロファイルを継続的に更新し、トラフィックプロファイル記憶部１２１に格納する。例えば、実施例１に係るトラフィックプロファイル更新部１３１は、トラフィックプロファイルとして、図１１に例示するようにカテゴリ別の出現頻度（frequency）を算出し、トラフィックプロファイル記憶部１２１に格納する。そして、異常トラフィックテスト部１３２は、図１１に例示するトラフィックプロファイルを用いて、カイスクエア（chi-square）方式による適合性テストを行う。なお、カテゴリは、例えば、ＳＩＰメッセージの種類に対応する。
【００６２】
適合性テストは、特定の分析ウィンドウにおいて発生したメッセージと、トラフィックプロファイルの値との一致度により、適合性を判定する。図１２は、適合性テストにおける期待値及び測定値の演算を説明するための図である。異常トラフィックテスト部１３２は、図１２に例示するように、特定の分析ウィンドウにおいて観測されたＳＩＰメッセージの合計数ｎに対してカテゴリ毎の出現頻度を乗算することで、期待値を算出する。次に、異常トラフィックテスト部１３２は、測定値と、算出した期待値とを（１７）式に代入し、テスト値（Ｇ2）を算出する。
【００６３】
例えば、トラフィックプロファイルにおいて、ＳＩＰメッセージの種類別の出現頻度が、『ＩＮＶＩＴＥ』メッセージが『ｆ1』％、『ＲＥＧＩＳＴＥＲ』メッセージが『ｆ2』％、『ＡＣＫ』メッセージが『ｆ3』％、『ＢＹＥ』メッセージが『ｆ4』％であるとする。特定の分析ウィンドウにおいて観測されたメッセージの合計数がｎであるとすると、ＳＩＰメッセージの種類毎の期待値は、『ＩＮＶＩＴＥ』メッセージが『ｅ1＝ｎ＊ｆ1』％、『ＲＥＧＩＳＴＥＲ』メッセージが『ｅ2＝ｎ＊ｆ2』％、『ＡＣＫ』メッセージが『ｅ3＝ｎ＊ｆ3』％、『ＢＹＥ』メッセージが『ｅ4＝ｎ＊ｆ4』％となる。異常トラフィックテスト部１３２は、これらの値（ｅ1、ｅ2、ｅ3、ｅ4）と実際に測定された測定値（ｘ1、ｘ2、ｘ3、ｘ4）との適合性を、（１７）式を用いて計算する。
【数１７】
【００６４】
ある種類のＳＩＰメッセージが非正常的に大量に発生すれば、このテスト値は大きく増加する。すなわち、異常トラフィックテスト部１３２は、計算したテスト値の変化を計測し、その増加分を、予め設定された所定の閾値と比較し、閾値よりも大きい場合に、ある種類のＳＩＰメッセージが非正常的に大量に発生したことを探知する。なお、ここでいうテスト値の変化とは、例えば、時系列上連続する分析ウィンドウ間の比較における変化（例えば、時刻（ｔ−１）の分析ウィンドウにおいて計算されたテスト値と、時刻ｔの分析ウィンドウにおいて計算されたテスト値との間の変化）などのことである。異常トラフィックテスト部１３２は、適合性テストを実施することにより、このような非正常的現象を探知することができる。
【００６５】
図１３は、モデリング分析及び異常テストの概要を示す図である。図１３に例示するように、実施例１に係るトラフィックプロファイル更新部１３１及び異常トラフィックテスト部１３２は、ある分析ウィンドウにおいて観測されたＳＩＰメッセージを、ＳＩＰメッセージの種類毎に分類し、分類後のメッセージ群を対象として、モデリング分析や異常トラフィックテストを実施する。また、図１３に例示するように、分析結果（非正常的ユーザリストを含む）は、ＳＩＰメッセージの種類毎かつ分析ウィンドウ毎に生成され、出力部１１２を通じてサービスの管理者に報告され、また、分析結果記憶部１２２に格納される。また、図１３に例示するように、非正常的ユーザリストは、アクセス制御など、ネットワーク管理の情報として活用される。
【００６６】
［分析結果集計処理］
次に、分析結果集計部１３３による分析結果集計処理を説明する。図１４は、分析結果集計部１３３による処理手順を示すフローチャートである。図１４に例示するように、分析結果集計部１３３は、１週トラフィック分析を開始するか否かを判定している（ステップＳ３０１）。例えば、トラフィック分析システム１００の操作者が『１週トラフィック分析』のアイコンを押下することを契機として、また、例えば、設定された所定のタイミングを契機として、分析結果集計部１３３は、１週トラフィック分析を開始する（ステップＳ３０１肯定）。
【００６７】
次に、分析結果集計部１３３は、分析結果記憶部１２２から、１日トラフィック分析の分析結果を、１週間分ロードする（ステップＳ３０２）。そして、分析結果集計部１３３は、ロードした１週間分の分析結果を集計し（ステップＳ３０３）、１週トラフィック分析の分析結果として、分析結果記憶部１２２に格納する（ステップＳ３０４）。
【００６８】
例えば、長期間（例えば１週間など）の分析結果が必要な場合に活用できる。例えば、分析結果集計部１３３は、分析結果記憶部１２２に記憶された短期間（例えば１日など）の分析結果を集計・要約し、長期間（例えば１週間など）の分析結果を得る。
【００６９】
［実施例１の効果］
上述したように、実施例１においては、トラフィックプロファイル更新部１３１が、ＩＰネットワーク１を流れるトラフィックを所定の間隔でモデリング分析し、正常なトラフィックの特性を示すトラフィックプロファイルを更新する。また、異常トラフィックテスト部１３２が、ＩＰネットワーク１を流れるトラフィックをトラフィックプロファイルを用いて分析し、該トラフィックに含まれる異常トラフィックを探知する。また、トラフィックプロファイルの更新や、更新されたトラフィックプロファイルを用いた異常トラフィックの探知は、継続的に行われる。このように、実施例１においては、トラフィックプロファイルを適宜更新することによりトラフィックプロファイルにＩＰネットワーク１の最新の状況を反映し、最新の状況が反映されたトラフィックプロファイルを用いて異常トラフィックを探知するので、高い精度で、かつ継続的に、異常トラフィックを探知することが可能になる。
【００７０】
例えば、実施例１において、異常トラフィックテスト部１３２は、ＩＰネットワーク１を流れるトラフィックからメッセージ種別毎のエントロピー値を計算し、計算したエントロピー値とトラフィックプロファイル記憶部１２１に記憶されたエントロピー値とを比較することで、該トラフィックに含まれる異常なトラフィックを探知する。また、実施例１において、異常トラフィックテスト部１３２は、ＩＰネットワーク１を流れるトラフィックからメッセージ種別毎のメッセージ数を計上するとともに、トラフィックプロファイル記憶部１２１に記憶された出現頻度を用いてメッセージ種別毎の期待値を計算し、計上されたメッセージ数と計算された期待値とを用いて分析することで、該トラフィックに含まれる異常なトラフィックを探知する。
【００７１】
さらに、実施例１において、異常トラフィックテスト部１３２は、ＩＰネットワーク１を流れるトラフィックを、正常なトラフィックと異常なトラフィックとに区分けし、異常なトラフィックに区分けされたトラフィックの送信元を識別する情報を特定し、特定した情報を用いて非正常的ユーザリストを作成する。
【００７２】
ここで、インターネット電話サービスを安全かつ効率的に管理するためには、トラフィックの特性及び変化を継続的に観察するトラフィック分析システムの役割が重要となる。また、このようなトラフィック分析システムには、その分析結果をサービスの管理者に報告する機能や、非正常的なユーザを監視する機能が望まれる。この点、実施例１に係るトラフィック分析システム１００は、ＩＰネットワーク１を流れるトラフィックを継続的にモデリング分析し、最新のＩＰネットワーク１の状況が反映されたトラフィックプロファイルを継続的に更新し、このようなトラフィックプロファイルを用いて異常トラフィックを探知するので、トラフィックの特性及び変化を継続的に観察することができる。例えば、インターネット電話サービスの管理者は、インターネット電話サービスにおける使用量の変化や使用パターンなどを確認することができる。
【００７３】
また、実施例１に係るトラフィック分析システム１００は、分析結果をＵＩを通じて管理者に報告する機能を有し、かつ、分析結果記憶部１２２に格納する機能も有する。さらに、実施例１に係るトラフィック分析システム１００は、非正常的ユーザリストを継続的に生成・更新し、これらをＵＩを通じて管理者に報告したり、別途アクセス制御に活用させるなどすることで、非正常的なユーザを継続的に監視する機能も有する。
【００７４】
また、実施例１に係るトラフィック分析システム１００は、分析対象とするトラフィックを、ＳＩＰメッセージの種類毎、分析ウィンドウ毎に分類した上で分析を行い、その分析結果を報告、蓄積する機能を有する。言い換えると、実施例１に係るトラフィック分析システム１００は、細かい粒度でトラフィック分析を行うことで、高い精度で異常トラフィックを探知することができる。例えば、トラフィック分析システム１００は、ＳＩＰメッセージの種類毎に分析を行うので、特定の種類のＳＩＰメッセージを悪用したネットワーク攻撃などに対応することが容易になる。
【００７５】
なお、トラフィック分析システム１００は、例えば、トラフィックをＳＩＰメッセージの種類毎に分類することなく、全ＳＩＰメッセージを対象として、上記と同様の手法によりトラフィックプロファイルを作成し、異常トラフィックテストを行ってもよい。この場合には、トラフィック分析システム１００は、細かい粒度のトラフィック分析と、全体的なトラフィック分析との双方の分析結果を得ることが可能になり、サービスの管理者は、種類毎のメッセージの変化と、全体的なトラフィックの変化とを確認することが可能になる。
【００７６】
また、実施例１に係るトラフィック分析システム１００は、１日トラフィック分析、１週トラフィック分析など、ある分析結果をさらに集計・要約するなどして、他の観点からの分析も行い、多面的な分析結果を提供することができる。通常、異常トラフィックは、一時的に発生するのではなく、長期間ある程度決まったパターンで発生する場合が多い。短期間の分析（例えば１日トラフィック分析など）による分析結果に基づいて異常トラフィックを探知することも可能であるが、この分析結果をさらに集計・要約するなどした長期間の分析（例えば１週トラフィック分析など）によれば、異常トラフィックのパターンまで適切に特定することが可能になる。例えば、長期間の分析結果に基づいて、どのような経路を通じて異常トラフィックが流入しているのか、といったパターンを特定し、例えば特定のソース（source、送信元）から流入されるトラフィックを遮断する、といった制御も可能になる。なお、「１日」、「１週」といった単位は任意に変更することが可能である。
【００７７】
以上のように、実施例１に係るトラフィック分析システム１００は、時間スケール別かつＳＩＰメッセージの種類別に、統計的手法による多面的なトラフィック分析を行い、その結果、異常トラフィックを探知し、非正常的ユーザリストを作成して、これを継続的に管理することにより、高い精度で、かつ継続的に、異常トラフィック及び非正常的ユーザを監視する。
【実施例２】
【００７８】
これまで、開示の技術に係るトラフィック分析システム及びトラフィック分析方法の実施例として実施例１を説明してきたが、開示の技術はこれに限られるものではない。種々の異なる形態にて実施されてよいものである。
【００７９】
上記実施例１においては、トラフィック分析システム１００が、分析結果集計部１３３を備える例を説明したが、開示の技術はこれに限られるものではなく、トラフィック分析システム１００は、必ずしも分析結果集計部１３３を備える必要はない。すなわち、上記実施例１においては、トラフィック分析システム１００が、１日単位のトラフィック分析及び１週単位のトラフィック分析の双方を行う例を説明したが、トラフィック分析を行う単位は任意に変更可能であり、また、ある単位で行われたトラフィック分析の分析結果を集計するか否かも任意に変更可能である。
【００８０】
また、上記実施例１においては、トラフィック分析システム１００が、異常トラフィックテストとして、非正常メッセージ探知テスト、エントロピー比較テスト、及び適合性テストの３つのテストを行う例を説明したが、開示の技術はこれに限られるものではない。例えば、トラフィック分析システム１００は、非正常メッセージ探知テストを行わなくてもよいし、また、エントロピー比較テストや適合性テストに替えて他のテストを行ってもよい。すなわち、異常トラフィックを探知するための異常トラフィックテストとしてどのようなテストを行うかは任意に変更可能である。
【００８１】
また、上記実施例１においては、開示の技術に係るトラフィック分析の対象の一例として、ＳＩＰを基盤とするインターネット電話サービスを説明したが、開示の技術はこれに限られるものではなく、ネットワークにおけるトラフィック分析であれば同様に適用することができる。図１に例示したようなクライアントとサーバとの間のトラフィック分析に限られるものでもない。
【００８２】
また、上記実施例１において説明したエントロピー比較テストや適合性テストによるテスト結果と、非正常的ユーザリストの生成とを連携させてもよい。ここで、エントロピー比較テストも適合性テストも、そのテストの結果は、異常トラフィックの有無を探知するものである。エントロピー比較テストや適合性テストにおいて異常トラフィックの有無が探知されると、異常トラフィックが有るとされた分析ウィンドウが特定される。そこで、例えば、異常トラフィックテスト部１３２は、この特定した分析ウィンドウに対応する非正常メッセージ探知テストを行って、非正常的ユーザリストを作ってもよい。
【００８３】
［トラフィック分析プログラム］
また、上記実施例１において説明したトラフィック分析方法は、トラフィック分析プログラムによる情報処理がコンピュータを用いて具体的に実現されることで実行されてもよい。コンピュータは、例えば、ＣＰＵと、システムメモリと、ハードディスクドライブインタフェースと、ディスクドライブインタフェースと、シリアルポートインタフェースと、ビデオアダプタと、ネットワークインタフェースとを有し、これらの各部はシステムバスによって接続される。システムメモリは、ＲＯＭ及びＲＡＭを含む。ＲＯＭは、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェースは、ハードディスクドライブに接続される。ディスクドライブインタフェースは、ディスクドライブに接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブに挿入される。シリアルポートインタフェースは、例えば、マウス、キーボードに接続される。ビデオアダプタは、例えば、ディスプレイに接続される。
【００８４】
ここで、ハードディスクドライブは、例えば、ＯＳ（Operating System）、アプリケーションプログラム、プログラムモジュール、プログラムデータを記憶する。すなわち、開示の技術に係るトラフィック分析プログラムは、コンピュータによって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクに記憶される。具体的には、上記実施例で説明したトラフィックプロファイル更新部１３１と同様の処理を実行する手順と、異常トラフィックテスト部１３２と同様の処理を実行する手順と、分析結果集計部１３３と同様の処理を実行する手順とが記述されたプログラムモジュールが、ハードディスクに記憶される。
【００８５】
また、上記実施例で説明したトラフィックプロファイル記憶部１２１及び分析結果記憶部１２２に記憶されるデータのように、トラフィック分析プログラムによる処理に用いられるデータは、プログラムデータとして、例えばハードディスクに記憶される。そして、ＣＰＵが、ハードディスクに記憶されたプログラムモジュールやプログラムデータを必要に応じてＲＡＭに読み出し、上記手順を実行する。
【００８６】
なお、トラフィック分析プログラムに係るプログラムモジュールやプログラムデータは、ハードディスクに記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵによって読み出されてもよい。あるいは、トラフィック分析プログラムに係るプログラムモジュールやプログラムデータは、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェースを介してＣＰＵによって読み出されてもよい。
【符号の説明】
【００８７】
１００ トラフィック分析システム
１１１ 入力部
１１２ 出力部
１２１ トラフィックプロファイル記憶部
１２２ 分析結果記憶部
１３１ トラフィックプロファイル更新部
１３２ 異常トラフィックテスト部
１３３ 分析結果集計部
【特許請求の範囲】
【請求項１】
ネットワークを流れるトラフィックを時系列に記憶するトラフィック記憶手段と、
正常なトラフィックの特性を示す特性情報を記憶する特性情報記憶手段と、
前記トラフィック記憶手段から所定の間隔毎に最新のトラフィックを読み出し、読み出したトラフィックを分析することにより該トラフィックを異常なトラフィックと正常なトラフィックとに区分けし、区分けした正常なトラフィックを用いて算出した特性情報により前記特性情報記憶手段に記憶された特性情報を更新する更新手段と、
前記トラフィック記憶手段から最新のトラフィックを読み出し、読み出したトラフィックを分析することにより該トラフィックの特性を示す値を算出し、算出した値と前記特性情報記憶手段に記憶された最新の特性情報との比較結果に基づいて、該トラフィックに含まれる異常なトラフィックの有無を判定する判定手段と
を備えたことを特徴とするトラフィック分析システム。
【請求項２】
前記特性情報記憶手段は、前記特性情報としてメッセージ種別毎のエントロピー値を記憶し、
前記判定手段は、前記トラフィック記憶手段から読み出した最新のトラフィックからメッセージ種別毎のエントロピー値を計算し、計算したエントロピー値と前記特性情報記憶手段に記憶されたエントロピー値とを比較することで、該トラフィックに含まれる異常なトラフィックの有無を判定することを特徴とする請求項１に記載のトラフィック分析システム。
【請求項３】
前記特性情報記憶手段は、前記特性情報としてメッセージ種別毎の出現頻度を記憶し、
前記判定手段は、前記トラフィック記憶手段から読み出した最新のトラフィックからメッセージ種別毎のメッセージ数を計上するとともに、前記特性情報記憶手段に記憶された出現頻度を用いてメッセージ種別毎の期待値を計算し、計上されたメッセージ数と計算された期待値とを用いて分析することで、該トラフィックに含まれる異常なトラフィックの有無を判定することを特徴とする請求項１に記載のトラフィック分析システム。
【請求項４】
前記トラフィック記憶手段から読み出した最新のトラフィックを、正常なトラフィックと異常なトラフィックとに区分けする区分け手段と、
前記異常なトラフィックに区分けされたトラフィックの送信元を識別する利用者情報を特定し、特定した利用者情報を用いて異常利用者の一覧を作成する一覧作成手段と
をさらに備えたことを特徴とする請求項１〜３のいずれか一つに記載のトラフィック分析システム。
【請求項５】
前記判定手段による判定結果、および／または、前記一覧作成手段により作成された一覧を、出力部を介して報告する報告手段をさらに備えたことを特徴とする請求項１〜４のいずれか一つに記載のトラフィック分析システム。
【請求項６】
前記トラフィック記憶手段から最新のトラフィックを読み出し、読み出したトラフィックをメッセージ種別毎に分析することによりメッセージ種別毎の状態および／または変化を示す分析結果を生成するメッセージ種別毎分析手段をさらに備え、
前記報告手段は、さらに、前記メッセージ種別毎分析手段により生成された分析結果を出力部を介して報告することを特徴とする請求項５に記載のトラフィック分析システム。
【請求項７】
コンピュータが、
ネットワークを流れるトラフィックを時系列に記憶するトラフィック記憶手段と、
正常なトラフィックの特性を示す特性情報を記憶する特性情報記憶手段として機能し、
前記トラフィック記憶手段から所定の間隔毎に最新のトラフィックを読み出し、読み出したトラフィックを分析することにより該トラフィックを異常なトラフィックと正常なトラフィックとに区分けし、区分けした正常なトラフィックを用いて算出した特性情報により前記特性情報記憶手段に記憶された特性情報を更新する更新工程と、
前記トラフィック記憶手段から最新のトラフィックを読み出し、読み出したトラフィックを分析することにより該トラフィックの特性を示す値を算出し、算出した値と前記特性情報記憶手段に記憶された最新の特性情報との比較結果に基づいて、該トラフィックに含まれる異常なトラフィックの有無を判定する判定工程と
を含んだことを特徴とするトラフィック分析方法。
【請求項１】
ネットワークを流れるトラフィックを時系列に記憶するトラフィック記憶手段と、
正常なトラフィックの特性を示す特性情報を記憶する特性情報記憶手段と、
前記トラフィック記憶手段から所定の間隔毎に最新のトラフィックを読み出し、読み出したトラフィックを分析することにより該トラフィックを異常なトラフィックと正常なトラフィックとに区分けし、区分けした正常なトラフィックを用いて算出した特性情報により前記特性情報記憶手段に記憶された特性情報を更新する更新手段と、
前記トラフィック記憶手段から最新のトラフィックを読み出し、読み出したトラフィックを分析することにより該トラフィックの特性を示す値を算出し、算出した値と前記特性情報記憶手段に記憶された最新の特性情報との比較結果に基づいて、該トラフィックに含まれる異常なトラフィックの有無を判定する判定手段と
を備えたことを特徴とするトラフィック分析システム。
【請求項２】
前記特性情報記憶手段は、前記特性情報としてメッセージ種別毎のエントロピー値を記憶し、
前記判定手段は、前記トラフィック記憶手段から読み出した最新のトラフィックからメッセージ種別毎のエントロピー値を計算し、計算したエントロピー値と前記特性情報記憶手段に記憶されたエントロピー値とを比較することで、該トラフィックに含まれる異常なトラフィックの有無を判定することを特徴とする請求項１に記載のトラフィック分析システム。
【請求項３】
前記特性情報記憶手段は、前記特性情報としてメッセージ種別毎の出現頻度を記憶し、
前記判定手段は、前記トラフィック記憶手段から読み出した最新のトラフィックからメッセージ種別毎のメッセージ数を計上するとともに、前記特性情報記憶手段に記憶された出現頻度を用いてメッセージ種別毎の期待値を計算し、計上されたメッセージ数と計算された期待値とを用いて分析することで、該トラフィックに含まれる異常なトラフィックの有無を判定することを特徴とする請求項１に記載のトラフィック分析システム。
【請求項４】
前記トラフィック記憶手段から読み出した最新のトラフィックを、正常なトラフィックと異常なトラフィックとに区分けする区分け手段と、
前記異常なトラフィックに区分けされたトラフィックの送信元を識別する利用者情報を特定し、特定した利用者情報を用いて異常利用者の一覧を作成する一覧作成手段と
をさらに備えたことを特徴とする請求項１〜３のいずれか一つに記載のトラフィック分析システム。
【請求項５】
前記判定手段による判定結果、および／または、前記一覧作成手段により作成された一覧を、出力部を介して報告する報告手段をさらに備えたことを特徴とする請求項１〜４のいずれか一つに記載のトラフィック分析システム。
【請求項６】
前記トラフィック記憶手段から最新のトラフィックを読み出し、読み出したトラフィックをメッセージ種別毎に分析することによりメッセージ種別毎の状態および／または変化を示す分析結果を生成するメッセージ種別毎分析手段をさらに備え、
前記報告手段は、さらに、前記メッセージ種別毎分析手段により生成された分析結果を出力部を介して報告することを特徴とする請求項５に記載のトラフィック分析システム。
【請求項７】
コンピュータが、
ネットワークを流れるトラフィックを時系列に記憶するトラフィック記憶手段と、
正常なトラフィックの特性を示す特性情報を記憶する特性情報記憶手段として機能し、
前記トラフィック記憶手段から所定の間隔毎に最新のトラフィックを読み出し、読み出したトラフィックを分析することにより該トラフィックを異常なトラフィックと正常なトラフィックとに区分けし、区分けした正常なトラフィックを用いて算出した特性情報により前記特性情報記憶手段に記憶された特性情報を更新する更新工程と、
前記トラフィック記憶手段から最新のトラフィックを読み出し、読み出したトラフィックを分析することにより該トラフィックの特性を示す値を算出し、算出した値と前記特性情報記憶手段に記憶された最新の特性情報との比較結果に基づいて、該トラフィックに含まれる異常なトラフィックの有無を判定する判定工程と
を含んだことを特徴とするトラフィック分析方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【公開番号】特開２０１１−２４４０９８（Ｐ２０１１−２４４０９８Ａ）
【公開日】平成２３年１２月１日（２０１１．１２．１）
【国際特許分類】
【出願番号】特願２０１０−１１２４７８（Ｐ２０１０−１１２４７８）
【出願日】平成２２年５月１４日（２０１０．５．１４）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
【公開日】平成２３年１２月１日（２０１１．１２．１）
【国際特許分類】
【出願日】平成２２年５月１４日（２０１０．５．１４）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
[ Back to top ]