ネットワーク監視装置及びネットワーク監視方法
【課題】正確なトラフィック量を監視すること。
【解決手段】実施形態に係るネットワーク監視装置は、複数の中継装置が有するインタフェースによって送受信されるトラフィックに関するトラフィック情報をインタフェース毎に収集する。また、ネットワーク監視装置は、複数の中継装置が有するインタフェースに関するインタフェース情報を収集し、収集したインタフェース情報に基づいてインタフェース間の接続関係を取得する。また、ネットワーク監視装置は、接続関係に基づいて、収集したトラフィック情報から複数の中継装置を経由したトラフィックを示す複数のトラフィック情報を特定し、特定した複数のトラフィック情報のうち所定のトラフィック情報を用いて、トラフィック量を集計する。
【解決手段】実施形態に係るネットワーク監視装置は、複数の中継装置が有するインタフェースによって送受信されるトラフィックに関するトラフィック情報をインタフェース毎に収集する。また、ネットワーク監視装置は、複数の中継装置が有するインタフェースに関するインタフェース情報を収集し、収集したインタフェース情報に基づいてインタフェース間の接続関係を取得する。また、ネットワーク監視装置は、接続関係に基づいて、収集したトラフィック情報から複数の中継装置を経由したトラフィックを示す複数のトラフィック情報を特定し、特定した複数のトラフィック情報のうち所定のトラフィック情報を用いて、トラフィック量を集計する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施形態は、ネットワーク監視装置及びネットワーク監視方法に関する。
【背景技術】
【０００２】
ＩＰ（Internet Protocol）ネットワークには、パケット等の各種データ（以下、「トラフィック」と表記する場合がある）を中継する複数の中継装置（ルータやスイッチ等）が含まれる。一般に、このようなＩＰネットワークには、安全なネットワーク運用を目的として、ネットワーク監視装置が設置されることが多い。かかるネットワーク監視装置は、例えば、ＩＰネットワーク内の中継装置によって送受信されるトラフィックに関するフロー情報を収集し、収集したフロー情報をネットワーク管理者等に提供する。これにより、ネットワーク管理者は、例えば、中継装置毎に収集されたフロー情報に基づいて、所定の端末に対してＤｏＳ（Denial of Service）攻撃等が行われているか否かを判断する場合がある。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００９−８９２４１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記の従来技術では、正確なトラフィック量を監視することが困難な場合がある。具体的には、ネットワーク管理者は、中継装置毎に収集されたフロー情報に基づいてトラフィック量を監視するので、所定の端末宛のトラフィックが複数の中継装置に分散して流通している場合には、かかる端末宛の正確なトラフィック量を監視することが困難である。
【０００５】
本発明は、上記に鑑みてなされたものであって、正確なトラフィック量を監視することができるネットワーク監視装置及びネットワーク監視方法を提供することを目的とする。
【課題を解決するための手段】
【０００６】
実施形態に係るネットワーク監視装置は、トラフィックを中継する複数の中継装置を含むネットワークと接続される所定のユーザネットワークによって送受信されるトラフィックを監視するネットワーク監視装置であって、前記複数の中継装置が有するインタフェースによって送受信されるトラフィックに関するトラフィック情報を該インタフェース毎に収集する収集部と、前記複数の中継装置が有するインタフェースに関するインタフェース情報を収集し、収集したインタフェース情報に基づいてインタフェース間の接続関係を取得する取得部と、前記取得部によって取得された接続関係に基づいて、前記収集部によって収集されたトラフィック情報から複数の中継装置を経由したトラフィックを示す複数のトラフィック情報を特定し、特定した複数のトラフィック情報のうち所定のトラフィック情報を用いて、前記ユーザネットワークによって送受信されるトラフィック量を集計する集計部とを備えることを特徴とする。
【発明の効果】
【０００７】
実施形態に係るネットワーク監視装置及びネットワーク監視方法は、正確なトラフィック量を監視することができるという効果を奏する。
【図面の簡単な説明】
【０００８】
【図１】図１は、実施例１に係るネットワーク監視装置が適用されるネットワークの構成例を示す図である。
【図２】図２は、実施例１に係るネットワーク監視装置の構成例を示すブロック図である。
【図３】図３は、実施例１におけるトラフィック情報記憶部の一例を示す図である。
【図４】図４は、実施例１におけるＩＦ情報記憶部の一例を示す図である。
【図５】図５は、実施例１におけるトラフィック量記憶部の一例を示す図である。
【図６】図６は、実施例１に係るネットワーク監視装置による集計処理手順を示すフローチャートである。
【図７】図７は、ネットワーク監視プログラムを実行するコンピュータを示す図である。
【発明を実施するための形態】
【０００９】
以下に、本発明に係るネットワーク監視装置及びネットワーク監視方法の実施例を図面に基づいて詳細に説明する。なお、この実施例により本発明が限定されるものではない。
【実施例１】
【００１０】
［ネットワーク構成］
まず、図１を用いて、実施例１に係るネットワーク監視装置が適用されるネットワークの構成例について説明する。図１は、実施例１に係るネットワーク監視装置が適用されるネットワークの構成例を示す図である。図１に例示するように、実施例１におけるネットワーク１には、共通の管理下において運用されるネットワークの集合であるＡＳ（Autonomous System：自律システム）１０、２０及び３０が含まれる。
【００１１】
ＡＳ１０には、実施例１に係るネットワーク監視装置１００と、ルータ１１、１２及び１３と、端末１４が設置されるユーザネットワーク４０とが含まれる。また、ＡＳ２０にはルータ２１が含まれ、ＡＳ３０にはルータ３１とＷｅｂサーバ３２とが含まれる。
【００１２】
ルータ１１は、ルータ３１と接続されるインタフェース（以下、「ＩＦ」と表記する場合がある）１１ａと、ルータ１２と接続されるＩＦ１１ｂと、ネットワーク監視装置１００と接続されるＩＦ１１ｃと、ルータ１３と接続されるＩＦ１１ｄとを有する。また、ルータ１２は、ルータ２１と接続されるＩＦ１２ａと、ルータ１１と接続されるＩＦ１２ｂと、ネットワーク監視装置１００と接続されるＩＦ１２ｃと、ユーザネットワーク４０と接続されるＩＦ１２ｄとを有する。また、ルータ１３は、ルータ１１と接続されるＩＦ１３ａと、ネットワーク監視装置１００と接続されるＩＦ１３ｂと、ユーザネットワーク４０と接続されるＩＦ１３ｃとを有する。
【００１３】
ルータ２１は、ルータ１２と接続されるＩＦ２１ａを有する。なお、図１では図示することを省略したが、ルータ２１は、ＩＦ２１ａ以外のＩＦも有し、ＡＳ２０内に配置されるルータ、端末又はサーバ等と接続される。また、ルータ３１は、Ｗｅｂサーバ３２と接続されるＩＦ３１ａと、ルータ１１と接続されるＩＦ３１ｂとを有する。
【００１４】
端末１４は、エンドユーザ等によって利用される情報処理装置であり、ルータ１２やルータ１３等を介して、他の端末やサーバとの間でトラフィックを送受する。なお、図１では図示することを省略したが、ユーザネットワーク４０は、ルータ１２やルータ１３と接続されるアクセスルータ又はスイッチ等を有する。Ｗｅｂサーバ３２は、各種Ｗｅｂサービスを提供する。例えば、Ｗｅｂサーバ３２は、端末１４からアクセスされた場合に、ＨＴＭＬ（HyperText Markup Language）文書等を端末１４に送信する。
【００１５】
このように、図１に示した例では、ＡＳ１０内のルータ１１とルータ１２とは、相互に接続される。具体的には、ルータ１１とルータ１２とは、ＩＦ１１ｂ及びＩＦ１２ｂによって接続される。また、ルータ１１とルータ１３とは、ＩＦ１１ｄ及びＩＦ１３ａによって接続される。さらに、ＡＳ１０内のルータ１２とＡＳ２０内のルータ２１とは、ＩＦ１２ａ及びＩＦ２１ａによって接続され、ＡＳ１０内のルータ１１とＡＳ３０内のルータ３１とは、ＩＦ１１ａ及びＩＦ３１ｂによって接続される。すなわち、ルータ１１及びルータ３１は、ＡＳ１０とＡＳ３０とを接続するエッジルータであり、ルータ１２及びルータ２１は、ＡＳ１０とＡＳ２０とを接続するエッジルータである。
【００１６】
ネットワーク監視装置１００は、ルータ１１、ルータ１２及びルータ１３から、かかるルータ１１〜１３が有するＩＦ（ＩＦ１１ａ等）によって送受信されるトラフィックに関するトラフィック情報を受信する。実施例１においては、ルータ１１〜１３にｓＦｌｏｗ（登録商標）、ＮｅｔＦｌｏｗ、ＩＰＦＩＸ等の技術が適用されており、ネットワーク監視装置１００は、ルータ１１〜１３等からフロー情報をトラフィック情報として受信する。すなわち、実施例１に係るネットワーク監視装置１００は、ルータ１１〜１３が有するＩＦ（ＩＦ１１ａ等）毎に、かかるＩＦによって送受信されるトラフィック量を示すフロー情報を収集する。
【００１７】
ここで、Ｗｅｂサーバ３２から端末１４を宛先（送信先）とするトラフィックが出力された場合に、かかるトラフィックは、ルータ３１のＩＦ３１ａに入力され、ルータ３１のＩＦ３１ｂからルータ１１のＩＦ１１ａに出力される。そして、かかるトラフィックは、例えば、ルータ１１のＩＦ１１ｄからルータ１３のＩＦ１３ａに出力された後に、ルータ１３のＩＦ１３ｃからユーザネットワーク４０に出力される。
【００１８】
上記の通り、ネットワーク監視装置１００は、ルータ１１〜１３が有するＩＦ（ＩＦ１１ａ等）毎にフロー情報を収集する。このため、ネットワーク監視装置１００は、ルータ１１のＩＦ１１ａによって送受信されたトラフィック量を示すフロー情報や、ＩＦ１１ｄによって送受信されたトラフィック量を示すフロー情報や、ＩＦ１３ａによって送受信されたトラフィック量を示すフロー情報や、ＩＦ１３ｃによって送受信されたトラフィック量を示すフロー情報等を収集する。
【００１９】
このため、ネットワーク管理者は、例えばユーザネットワーク４０を監視対象とする場合に、単にネットワーク監視装置１００によって収集されたフロー情報を参照するだけでは、ユーザネットワーク４０によって送受信される正確なトラフィック量を監視することが困難である。例えば、ネットワーク管理者が、ユーザネットワーク４０によって受信されるトラフィック量を監視するものとする。かかる場合に、ネットワーク管理者は、宛先（送信先）が端末１４であるフロー情報を抽出する作業や、抽出したフロー情報によって示されるトラフィック量を加算する作業や、複数の中継装置に分散して流通しているトラフィックを統合する作業等を要するので、ユーザネットワーク４０によって受信される正確なトラフィック量を監視するには煩雑な作業を行うことになる。
【００２０】
実施例１に係るネットワーク監視装置１００は、監視対象のネットワークや端末によって送受信される正確なトラフィック量を集計し、ネットワーク管理者に提供する。これにより、ネットワーク監視装置１００は、正確なトラフィック量の監視を可能にする。以下に、このようなネットワーク監視装置１００について詳細に説明する。
【００２１】
［ネットワーク監視装置の構成］
まず、図２を用いて、実施例１に係るネットワーク監視装置１００の構成について説明する。図２は、実施例１に係るネットワーク監視装置１００の構成例を示すブロック図である。図２に例示するように、実施例１に係るネットワーク監視装置１００は、記憶部１１０と、制御部１２０とを有する。なお、図２では図示することを省略したが、ネットワーク監視装置１００は、ルータ１１〜１３との間で各種データを送受するためのＩＦを有する。また、ネットワーク監視装置１００は、各種情報や操作指示を入力するための入力部（キーボード、マウス等）や、各種情報を表示する表示デバイス（液晶表示装置等）を有してもよい。
【００２２】
記憶部１１０は、ハードディスク又は半導体メモリ素子等の記憶デバイスである。実施例１における記憶部１１０は、図２に例示するように、トラフィック情報記憶部１１１と、ＩＦ情報記憶部１１２と、トラフィック量記憶部１１３とを有する。トラフィック情報記憶部１１１は、後述するトラフィック情報収集部１２１によって各種情報が格納される。ＩＦ情報記憶部１１２は、後述するＩＦ情報取得部１２２によって各種情報が格納される。トラフィック量記憶部１１３は、後述するトラフィック集計部１２４によって各種情報が格納される。トラフィック情報記憶部１１１、ＩＦ情報記憶部１１２、トラフィック量記憶部１１３に格納される各種情報については、制御部１２０とともに説明する。
【００２３】
制御部１２０は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等の電子回路、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路であり、ネットワーク監視装置１００の全体制御を行う。実施例１における制御部１２０は、図２に例示するように、トラフィック情報収集部１２１と、ＩＦ情報取得部１２２と、監視対象管理部１２３と、トラフィック集計部１２４と、トラフィック変動検出部１２５とを有する。
【００２４】
トラフィック情報収集部１２１は、ネットワーク監視装置１００と接続されているルータから、かかるルータによって送受信されるトラフィックに関するトラフィック情報を収集する。具体的には、実施例１におけるトラフィック情報収集部１２１は、ルータ１１〜１３から、ルータ１１〜１３が有するＩＦ（ＩＦ１１ａ等）によって送受信されるトラフィック量を含むフロー情報をトラフィック情報として受信し、受信したフロー情報に含まれる各種情報をトラフィック情報記憶部１１１に格納する。例えば、ルータ１１〜１３は、ｓＦｌｏｗ（登録商標）、ＮｅｔＦｌｏｗ、ＩＰＦＩＸ等の技術が適用されている場合に、フロー情報をネットワーク監視装置１００に送信する。そして、トラフィック情報収集部１２１は、ルータ１１〜１３によって送信されるフロー情報を受信することによりフロー情報を収集し、収集したフロー情報をトラフィック情報記憶部１１１に格納する。
【００２５】
なお、ルータ１１〜１３にＡＣＬ−ｂａｓｅｄ ｓＦｌｏｗ（登録商標）等が適用されている場合には、ネットワーク管理者等が監視対象のユーザネットワーク４０のネットワークアドレス等をルータ１１〜１３に設定することにより、かかるルータ１１〜１３は、設定されたネットワークアドレスに対応するフロー情報をネットワーク監視装置１００に送信することができる。
【００２６】
このようなトラフィック情報収集部１２１によって収集されるフロー情報には、トラフィックの送信元である装置のＩＰアドレス及びポート番号、トラフィックの宛先である装置のＩＰアドレス及びポート番号、パケットの流通に用いられるプロトコル、トラフィック量等が含まれる。そして、トラフィック情報収集部１２１は、フロー情報に含まれる各種情報をトラフィック情報記憶部１１１に格納する。
【００２７】
ここで、図３に、実施例１におけるトラフィック情報記憶部１１１の一例を示す。図３に例示するように、トラフィック情報記憶部１１１は、「受信時刻」、「ルータアドレス」、「インタフェースＩＤ」、「送信元ＩＰアドレス」、「宛先ＩＰアドレス」、「プロトコル」、「送信元ポート番号」、「宛先ポート番号」、「トラフィック量」といった項目を有する。
【００２８】
「受信時刻」は、トラフィック情報収集部１２１がルータ１１等からフロー情報を受信した日時、又は、ルータ１１等によってフロー情報が生成された日時等を示す。なお、図３では、トラフィック情報記憶部１１１の「受信時刻」に月日及び時分が記憶される例を示したが、「受信時刻」に記憶される日時情報はこれに限られない。例えば、トラフィック情報記憶部１１１の「受信時刻」には、年月日時分秒が記憶されてもよい。
【００２９】
「ルータアドレス」は、フロー情報を送信したルータのＩＰアドレスを示す。図３に示した例において、「ルータアドレス」は、図１に示した各ルータに付した参照符号であるものとする。例えば、ルータ１１のルータアドレスは、「１１」であるものとする。
【００３０】
「インタフェースＩＤ」は、フロー情報が示すトラフィック量を送受信したＩＦを識別する識別情報を示す。図３に示した例において、「インタフェースＩＤ」は、図１に示した各ＩＦに付した参照符号であるものとする。例えば、ＩＦ１１ａのインタフェースＩＤは、「１１ａ」であるものとする。
【００３１】
「送信元ＩＰアドレス」、「宛先ＩＰアドレス」、「プロトコル」、「送信元ポート番号」、「宛先ポート番号」、「トラフィック量」は、上述したように、フロー情報に含まれる各種情報を示す。なお、図３に示した「送信元ＩＰアドレス」及び「宛先ＩＰアドレス」に記憶されているＩＰアドレスのうち、「Ｘ．Ｘ．Ｘ．Ｘ」はＷｅｂサーバ３２のＩＰアドレスを示し、「Ｙ．Ｙ．Ｙ．Ｙ」は端末１４のＩＰアドレスを示し、「Ｚ．Ｚ．Ｚ．Ｚ」は、ＡＳ２０内の図示しない端末又はサーバのＩＰアドレスを示すものとする。また、図３では、「トラフィック量」にバイト（Ｂｙｔｅ）単位で示される数値が記憶される例を示したが、これに限られない。例えば、トラフィック情報記憶部１１１の「トラフィック量」には、パケット量等が記憶されてもよい。
【００３２】
例えば、図３に示した受信時刻「４月１３日１０時１分」の１行目に対応するフロー情報は、ルータ１１のＩＦ１１ａによって、ＩＰアドレスが「Ｘ．Ｘ．Ｘ．Ｘ」であるＷｅｂサーバ３２からＩＰアドレスが「Ｙ．Ｙ．Ｙ．Ｙ」である端末１４宛のトラフィックが受信されたことを示しており、さらに、かかるトラフィックのトラフィック量が「１０ＫＢ（キロバイト）」であることを示している。また、例えば、図３に示した受信時刻「４月１３日１０時１分」の２行目に対応するフロー情報は、ルータ１１のＩＦ１１ｄによって、Ｗｅｂサーバ３２から端末１４宛のトラフィックが送信されたことを示しており、さらに、かかるトラフィックのトラフィック量が「１０ＫＢ」であることを示している。
【００３３】
また、例えば、図３に示した受信時刻「４月１３日１０時２分」の１行目に対応するフロー情報は、ルータ１３のＩＦ１３ｃによって、ＩＰアドレスが「Ｙ．Ｙ．Ｙ．Ｙ」である端末１４からＩＰアドレスが「Ｘ．Ｘ．Ｘ．Ｘ」であるＷｅｂサーバ３２宛のトラフィックが受信されたことを示しており、さらに、かかるトラフィックのトラフィック量が「５ＫＢ」であることを示している。また、例えば、図３に示した受信時刻「４月１３日１０時２分」の２行目に対応するフロー情報は、ルータ１３のＩＦ１３ａによって、端末１４からＷｅｂサーバ３２宛のトラフィックが送信されたことを示しており、さらに、かかるトラフィックのトラフィック量が「５ＫＢ」であることを示している。
【００３４】
なお、トラフィック情報記憶部１１１に記憶されているトラフィック量が、ＩＦによって送信されたトラフィックであるか又は受信されたトラフィックであるかは、「送信元ＩＰアドレス」及び「宛先ＩＰアドレス」や、各ルータの接続関係によって判別することができる。例えば、送信元がＷｅｂサーバ３２であり宛先が端末１４であるトラフィックは、ルータ３１、ルータ１１、ルータ１３によって順に中継されることで端末１４に到達するか、又は、ルータ３１、ルータ１１、ルータ１２によって順に中継されることで端末１４に到達する。このため、ルータ１１のＩＦ１１ａは、かかるトラフィックを受信することはあっても送信することはないといってよい。また、ルータ１１のＩＦ１１ｂ又は１１ｄは、かかるトラフィックを送信することはあっても受信することはないといってよい。
【００３５】
図２の説明に戻って、ＩＦ情報取得部１２２は、ネットワーク監視装置１００と接続されているルータから、かかるルータが有するＩＦに関するインタフェース情報を取得する。そして、ＩＦ情報取得部１２２は、取得したインタフェース情報に基づいて、ＩＦ間の接続関係情報を取得し、取得した接続関係情報をＩＦ情報記憶部１１２に格納する。
【００３６】
具体的には、実施例１におけるＩＦ情報取得部１２２は、ＳＮＭＰ（Simple Network Management Protocol）等によってルータ１１〜１３にアクセスし、ＭＩＢ（Management Information Base）情報及びインタフェースアドレス情報をインタフェース情報として取得する。例えば、ＩＦ情報取得部１２２は、ＲＦＣ２２３３（The Interfaces Group MIB）に規定されるインタフェースインデックス（ifindex）、インタフェースエイリアス（ifAlias）、インタフェースデスクリプション（ifDescription）等のＭＩＢ情報を取得する。
【００３７】
そして、ＩＦ情報取得部１２２は、ルータ１１〜１３から取得したＭＩＢ情報及びインタフェースアドレス情報等を解析することにより、同一のサブネットに属する２つのＩＦが接続されていると判定する。そして、ＩＦ情報取得部１２２は、かかる２つのＩＦが接続されていることを示す接続関係情報をＩＦ情報記憶部１１２に格納する。図１に示した例の場合、ＩＦ情報取得部１２２は、ルータ１１のＩＦ１１ｂのインタフェースアドレスと、ルータ１２のＩＦ１２ｂのインタフェースアドレスとが同一のサブネットに属することを取得するので、ＩＦ１１ｂとＩＦ１２ｂとが接続されていることを示す接続関係情報をＩＦ情報記憶部１１２に格納する。同様に、ＩＦ情報記憶部１１２は、ルータ１１のＩＦ１１ｄとルータ１３のＩＦ１３ａとが接続されていることを示す接続関係情報をＩＦ情報記憶部１１２に格納する。
【００３８】
図４に、実施例１におけるＩＦ情報記憶部１１２の一例を示す。図４に示した例では、ＩＦ情報取得部１２２は、ルータ１１のＩＦ１１ｂとルータ１２のＩＦ１２ｂとが接続されていることを示す接続関係情報と、ルータ１１のＩＦ１１ｄとルータ１３のＩＦ１３ａとが接続されていることを示す接続関係情報とを記憶する。
【００３９】
図２の説明に戻って、監視対象管理部１２３は、監視対象とするユーザネットワークや端末、及び、監視対象とする各ルータのＩＦ等を管理する。具体的には、監視対象管理部１２３は、ネットワーク管理者による設定操作やシステムで予め決められている監視対象に関する情報等に従って、監視対象のユーザネットワークや端末毎に、トラフィック量の集計対象とするＩＦを特定するための情報（インタフェースＩＤ等）を保持する。
【００４０】
例えば、ネットワーク管理者によって、監視対象とするユーザネットワーク４０のネットワークアドレスを設定する操作が行われたものとする。かかる場合に、監視対象管理部１２３は、例えば、ユーザネットワーク４０のネットワークアドレスに対応付けて、かかるユーザネットワーク４０によって送受信されるトラフィックが流通し得るＩＦ１１ａ、ＩＦ１１ｂ、ＩＦ１１ｄ、ＩＦ１２ａ、ＩＦ１２ｂ、ＩＦ１２ｄ、ＩＦ１３ａ、ＩＦ１３ｃのインタフェースＩＤ等を記憶部１１０等に保持する。なお、監視対象管理部１２３は、ＩＦ情報記憶部１１２に記憶されている情報に基づいて、ユーザネットワーク４０によって送受信されるトラフィックが流通するＩＦを特定することができる。
【００４１】
また、例えば、ネットワーク管理者によって、監視対象とする端末１４のＩＰアドレスを設定する操作が行われたものとする。かかる場合に、監視対象管理部１２３は、例えば、端末１４のＩＰアドレスに対応付けて、ＩＦ１１ａ、ＩＦ１１ｂ、ＩＦ１１ｄ、ＩＦ１２ａ、ＩＦ１２ｂ、ＩＦ１２ｄ、ＩＦ１３ａ、ＩＦ１３ｃのインタフェースＩＤ等を記憶部１１０等に保持する。
【００４２】
トラフィック集計部１２４は、ＩＦ情報取得部１２２によって収集されたフロー情報を用いて、監視対象のユーザネットワークや端末によって送受されるトラフィック量を集計する。具体的には、トラフィック集計部１２４は、監視対象管理部１２３によって管理されている監視対象に関する情報に基づいて、監視対象のユーザネットワークや端末毎に、トラフィック量の集計対象とするＩＦに対応するフロー情報をトラフィック情報記憶部１１１から取得し、取得したフロー情報を用いてトラフィック量を集計する。
【００４３】
ここで、実施例１におけるトラフィック集計部１２４は、ＩＦ情報記憶部１１２に記憶されている接続関係情報に基づいて、トラフィック情報記憶部１１１に記憶されているフロー情報のうち複数のルータを経由した同一のトラフィックを示す複数のフロー情報を特定し、特定した複数のフロー情報の中から所定のフロー情報を用いて、トラフィック量の集計処理を行う。具体的には、実施例１におけるトラフィック集計部１２４は、トラフィック量の集計対象とするＩＦのうち、ネットワーク監視装置１００が属するＡＳ１０内のルータと接続されるＩＦ以外のＩＦに対応するフロー情報を用いてトラフィック量を集計する。言い換えれば、トラフィック集計部１２４は、ＡＳ１０内に含まれるルータ１１〜１３が有する各ＩＦから、ＡＳ１０内のルータ１１〜１３と対向して接続関係にあるＩＦについてはトラフィック量の集計対象から除外する。
【００４４】
例えば、図１に示した例の場合、ルータ１１のＩＦ１１ｂは、ＡＳ１０内のルータ１２と接続され、ルータ１１のＩＦ１１ｄは、ＡＳ１０内のルータ１３と接続される。また、ルータ１２のＩＦ１２ｂは、ＡＳ１０内のルータ１１と接続され、ルータ１３のＩＦ１３ａは、ＡＳ１０内のルータ１１と接続される。このとき、トラフィック集計部１２４は、監視対象がユーザネットワーク４０や端末１４である場合に、監視対象管理部１２３によってトラフィック量の集計対象として管理されているＩＦ１１ａ、ＩＦ１１ｂ、ＩＦ１１ｄ、ＩＦ１２ａ、ＩＦ１２ｂ、ＩＦ１２ｄ、ＩＦ１３ａ及びＩＦ１３ｃから、ＩＦ１１ｂ、ＩＦ１１ｄ、ＩＦ１２ｂ、ＩＦ１３ａ以外のＩＦ１１ａ、ＩＦ１２ａ、ＩＦ１２ｄ及びＩＦ１３ｃに対応するフロー情報を用いてトラフィック量を集計する。
【００４５】
また、実施例１におけるトラフィック集計部１２４は、監視対象のユーザネットワークや端末が宛先や送信元に指定されているトラフィックのトラフィック量を集計する場合に、外部ＡＳ（ＡＳ２０及びＡＳ３０）からＡＳ１０に入力されるトラフィック量と、監視対象のユーザネットワークや端末に入力されるトラフィック量と、監視対象のユーザネットワークや端末から出力されるトラフィック量と、ＡＳ１０から外部ＡＳ（ＡＳ２０及びＡＳ３０）に出力されるトラフィック量とを分けて集計する。
【００４６】
この点について図１に示した例を用いて説明する。なお、ここでは、監視対象がユーザネットワーク４０であるものとする。トラフィック集計部１２４は、外部ＡＳ（ＡＳ２０及びＡＳ３０）からＡＳ１０に入力されるトラフィック量として、ＩＦ１１ａが受信したユーザネットワーク４０宛のトラフィック量とＩＦ１２ａが受信したユーザネットワーク４０宛のトラフィック量との総和を集計する。また、トラフィック集計部１２４は、監視対象のユーザネットワーク４０に入力されるトラフィック量として、ＩＦ１２ｄが送信したトラフィック量とＩＦ１３ｃが送信したトラフィック量との総和を集計する。また、トラフィック集計部１２４は、監視対象のユーザネットワーク４０から出力されるトラフィック量として、ＩＦ１２ｄが受信したトラフィック量とＩＦ１３ｃが受信したトラフィック量との総和を集計する。また、トラフィック集計部１２４は、ＡＳ１０から外部ＡＳ（ＡＳ２０及びＡＳ３０）に出力されるトラフィック量として、ＩＦ１１ａが送信したトラフィック量のうち送信元がユーザネットワーク４０であるトラフィック量と、ＩＦ１２ａが送信したトラフィック量のうち送信元がユーザネットワーク４０であるトラフィック量との総和を集計する。
【００４７】
そして、トラフィック集計部１２４は、このようにして集計したトラフィック量の総和をトラフィック量記憶部１１３に格納する。実施例１におけるトラフィック集計部１２４は、所定の受信時刻の範囲毎に、トラフィック量を集計し、集計結果をトラフィック量記憶部１１３に格納する。
【００４８】
図５に、実施例１におけるトラフィック量記憶部１１３の一例を示す。図５に例示するように、トラフィック量記憶部１１３は、「受信時刻範囲」、「総トラフィック量」といった項目を有する。「受信時刻範囲」は、図３に例示したトラフィック情報記憶部１１１の受信時刻の範囲を示す。
【００４９】
「総トラフィック量」は、受信時刻範囲に含まれるフロー情報から集計されたトラフィック量の総和を示す。図５に示した例では、「総トラフィック量」は、「ＡＳ入力」、「監視対象入力」、「監視対象出力」、「ＡＳ出力」に分別される。「ＡＳ入力」は、外部ＡＳ（ＡＳ２０及びＡＳ３０）からＡＳ１０に入力されるトラフィック量を示す。「監視対象入力」は、監視対象のユーザネットワークや端末に入力されるトラフィック量を示す。「監視対象出力」は、監視対象のユーザネットワークや端末から出力されるトラフィック量を示す。「ＡＳ出力」は、ＡＳ１０から外部ＡＳ（ＡＳ２０及びＡＳ３０）に出力されるトラフィック量を示す。
【００５０】
このようなトラフィック集計部１２４による処理の一例について説明する。ここでは、トラフィック情報記憶部１１１は、図３に例示した各種情報を記憶し、ＩＦ情報記憶部１１２は、図４に例示した各種情報を記憶するものとする。また、監視対象がユーザネットワーク４０であるものとする。また、トラフィック集計部１２４による監視対象の受信時刻の範囲は、「４月１３日１０時０分〜１０時１０分」であるものとする。
【００５１】
かかる場合に、トラフィック集計部１２４は、トラフィック情報記憶部１１１に記憶されているフロー情報のうち、受信時刻「４月１３日１０時１分」に対応する４レコードのフロー情報と、受信時刻「４月１３日１０時３分」に対応する２レコードのフロー情報とを、外部ＡＳ（ＡＳ２０又はＡＳ３０）からユーザネットワーク４０宛に送信されたトラフィックに対応するフロー情報として抽出する。これは、送信元ＩＰアドレスが外部ＡＳ（ＡＳ２０又はＡＳ３０）に属するサーバ等のＩＰアドレスを示し、宛先ＩＰアドレスが監視対象のユーザネットワーク４０に含まれる端末１４のＩＰアドレスを示すからである。
【００５２】
続いて、トラフィック集計部１２４は、ＩＦ情報記憶部１１２に記憶されている接続関係情報に基づいて、上記において抽出した６レコードのフロー情報から、ＡＳ１０内のルータと接続されるＩＦに対応するフロー情報を除外する。すなわち、トラフィック集計部１２４は、インタフェースＩＤが「１１ｄ」、「１３ａ」に対応する２レコードのフロー情報を除外し、トラフィック量の集計対象を４レコードのフロー情報に絞り込む。
【００５３】
そして、トラフィック集計部１２４は、上記において絞り込んだ４レコードのフロー情報のうち、インタフェースＩＤ「１１ａ」に対応するフロー情報に記憶されているトラフィック量「１０ＫＢ」と、インタフェースＩＤ「１２ａ」に対応するフロー情報に記憶されているトラフィック量「２０ＫＢ」とを加算した「３０ＫＢ」を、外部ＡＳ（ＡＳ２０及びＡＳ３０）からＡＳ１０に入力されるトラフィック量として算出する。トラフィック集計部１２４は、このようにして算出した総トラフィック量「３０ＫＢ」を図５に例示したトラフィック量記憶部１１３の「ＡＳ入力」に格納する。
【００５４】
また、トラフィック集計部１２４は、上記において絞り込んだ４レコードのフロー情報のうち、インタフェースＩＤ「１３ｃ」に対応するフロー情報に記憶されているトラフィック量「１０ＫＢ」と、インタフェースＩＤ「１２ｄ」に対応するフロー情報に記憶されているトラフィック量「２０ＫＢ」とを加算した「３０ＫＢ」を、監視対象のユーザネットワーク４０に入力されるトラフィック量として算出する。トラフィック集計部１２４は、このようにして算出した総トラフィック量「３０ＫＢ」を図５に例示したトラフィック量記憶部１１３の「監視対象入力」に格納する。
【００５５】
さらに、トラフィック集計部１２４は、トラフィック情報記憶部１１１に記憶されているフロー情報のうち、受信時刻「４月１３日１０時２分」に対応する４レコードのフロー情報と、受信時刻「４月１３日１０時４分」に対応する２レコードのフロー情報とを、ユーザネットワーク４０から外部ＡＳ（ＡＳ２０又はＡＳ３０）宛に送信されたトラフィックに対応するフロー情報として抽出する。これは、送信元ＩＰアドレスがユーザネットワーク４０に含まれる端末１４のＩＰアドレスを示し、宛先ＩＰアドレスが外部ＡＳ（ＡＳ２０又はＡＳ３０）に属するサーバ等のＩＰアドレスを示すからである。
【００５６】
続いて、トラフィック集計部１２４は、ＩＦ情報記憶部１１２に記憶されている接続関係情報に基づいて、上記において抽出した６レコードのフロー情報から、ＡＳ１０内のルータと接続されるＩＦに対応するフロー情報を除外する。すなわち、トラフィック集計部１２４は、インタフェースＩＤが「１１ｄ」、「１３ａ」に対応する２レコードのフロー情報を除外し、トラフィック量の集計対象を４レコードのフロー情報に絞り込む。
【００５７】
そして、トラフィック集計部１２４は、上記において絞り込んだ４レコードのフロー情報のうち、インタフェースＩＤ「１３ｃ」に対応するフロー情報に記憶されているトラフィック量「５ＫＢ」と、インタフェースＩＤ「１２ｄ」に対応するフロー情報に記憶されているトラフィック量「１０ＫＢ」とを加算した「１５ＫＢ」を、監視対象のユーザネットワーク４０から出力されるトラフィック量として算出する。トラフィック集計部１２４は、このようにして算出した総トラフィック量「１５ＫＢ」を図５に例示したトラフィック量記憶部１１３の「監視対象出力」に格納する。
【００５８】
また、トラフィック集計部１２４は、上記において絞り込んだ４レコードのフロー情報のうち、インタフェースＩＤ「１１ａ」に対応するフロー情報に記憶されているトラフィック量「５ＫＢ」と、インタフェースＩＤ「１２ａ」に対応するフロー情報に記憶されているトラフィック量「１０ＫＢ」とを加算した「１５ＫＢ」を、ＡＳ１０から外部ＡＳ（ＡＳ２０及びＡＳ３０）に出力されるトラフィック量として算出する。トラフィック集計部１２４は、このようにして算出した総トラフィック量「１５ＫＢ」を図５に例示したトラフィック量記憶部１１３の「ＡＳ出力」に格納する。
【００５９】
このように、実施例１におけるトラフィック集計部１２４は、複数のルータを経由した同一トラフィックが存在する場合であっても、かかるトラフィックを送受信したＩＦの数だけトラフィック量を加算せずに、監視対象のユーザネットワークや端末と接続されるエッジルータのＩＦ（ＩＦ１２ｄ、ＩＦ１３ｃ）や、外部ＡＳと接続されるエッジルータのＩＦ（ＩＦ１１ａ、ＩＦ１２ａ）によって送受信されたトラフィック量を加算する。これにより、トラフィック集計部１２４は、監視対象のユーザネットワークや端末によって送受信されたトラフィック量を正確に算出することができる。この結果、ネットワーク管理者は、監視対象のユーザネットワークや端末によって送受信された正確なトラフィック量を監視することができる。
【００６０】
また、トラフィック集計部１２４は、上記例のように、「ＡＳ入力」、「監視対象入力」、「監視対象出力」、「ＡＳ出力」に分別して、総トラフィック量を算出する。これにより、トラフィック集計部１２４は、ＡＳ１０が外部ＡＳから受信したトラフィック量のうち監視対象のユーザネットワークや端末に送信されたトラフィック量を算出することができるとともに、監視対象のユーザネットワークや端末が受信したトラフィック量を算出することができる。また、トラフィック集計部１２４は、監視対象のユーザネットワークや端末が受信したトラフィック量を算出することができるとともに、ＡＳ１０が外部ＡＳに送信したトラフィック量のうち監視対象のユーザネットワークや端末が送信したトラフィック量を算出することができる。
【００６１】
図２の説明に戻って、トラフィック変動検出部１２５は、トラフィック集計部１２４によって集計された総トラフィック量を監視する。具体的には、トラフィック変動検出部１２５は、トラフィック量記憶部１１３に記憶されている総トラフィック量を監視し、トラフィック量が所定の閾値の範囲外に変動した場合に、ネットワーク管理者等に警告を出力する。例えば、トラフィック変動検出部１２５は、ネットワーク管理者が利用するユーザ端末等に電子メールを送信したり、ネットワーク監視装置１００の表示画面に警告画面を表示したり、ネットワーク監視装置１００のスピーカ等から警告音を出力したりする。
【００６２】
トラフィック変動検出部１２５による処理の一例について説明する。例えば、監視対象のユーザネットワーク４０によって送受信されるトラフィックのフロー情報について、「プロトコル＝ＴＣＰ」かつ「ＴＣＰフラグ＝ＳＹＮ」のような条件が設定されている場合、通常時には大量のトラフィック量が流通しない。このような場合に、トラフィック変動検出部１２５は、総トラフィック量が所定の上限閾値を超えた場合に、異常と判定して警告を出力する。また、例えば、トラフィック集計部１２４は、一定値異常のトラフィック量が流通する環境である場合には、総トラフィック量が所定の下限閾値を下回った際に、異常と判定して警告を出力する。
【００６３】
なお、ネットワーク監視装置１００は、Ｗｅｂサーバとしての機能を有してもよい。かかる場合に、トラフィック変動検出部１２５は、監視対象のユーザネットワークや端末毎に、異なるＵＲＬ（Uniform Resource Locator）によりアクセス可能なＷｅｂ画面を提供してもよい。例えば、トラフィック変動検出部１２５は、トラフィック情報記憶部１１１やトラフィック量記憶部１１３に記憶されている各種情報を用いて、監視対象のユーザネットワークによって送受信されるＩＦ毎のトラフィック情報（総トラフィック量等）をグラフや表によって表示するＷｅｂ画面を提供してもよい。
【００６４】
［ネットワーク監視装置による集計処理手順］
次に、図６を用いて、実施例１に係るネットワーク監視装置１００によるトラフィック量の集計処理の手順について説明する。図６は、実施例１に係るネットワーク監視装置１００による集計処理手順を示すフローチャートである。
【００６５】
なお、トラフィック情報収集部１２１及びＩＦ情報取得部１２２による処理手順については図示することを省略するが、トラフィック情報収集部１２１は、ルータ１１〜１３からフロー情報を受信するたびに、かかるフロー情報をトラフィック情報記憶部１１１に格納する。また、ＩＦ情報取得部１２２は、例えば、ネットワーク監視装置１００の起動等にルータ１１〜１３にアクセスすることでインタフェース情報を取得し、取得したインタフェース情報をＩＦ情報記憶部１１２に格納する。
【００６６】
図６に示すように、ネットワーク監視装置１００のトラフィック集計部１２４は、監視タイミングであるか否かを判定する（ステップＳ１０１）。このとき、トラフィック集計部１２４は、監視タイミングでない場合には（ステップＳ１０１否定）、監視タイミングになるまで待機する。なお、監視タイミングとは、例えば、トラフィック量記憶部１１３の受信時刻範囲の時間（例えば、１０分）が経過するタイミング等に該当する。
【００６７】
一方、トラフィック集計部１２４は、監視タイミングである場合には（ステップＳ１０１肯定）、監視対象管理部１２３によって管理されている監視対象に関する情報を取得する（ステップＳ１０２）。すなわち、トラフィック集計部１２４は、監視対象のユーザネットワークや端末、及び、トラフィック量の集計対象とするＩＦに関する情報を取得する。また、トラフィック集計部１２４は、ＩＦ情報記憶部１１２に記憶されている接続関係情報を取得する（ステップＳ１０３）。
【００６８】
続いて、トラフィック集計部１２４は、接続関係情報に基づいて、トラフィック情報記憶部１１１に記憶されているフロー情報のうち複数のルータを経由した同一のトラフィックを示す複数のフロー情報を特定する（ステップＳ１０４）。そして、トラフィック集計部１２４は、特定した複数のフロー情報の中から所定のフロー情報を用いて、トラフィック量を集計する（ステップＳ１０５）。
【００６９】
なお、トラフィック集計部１２４は、複数のルータを経由していないトラフィックを示す複数のフロー情報も用いて、トラフィック量を集計する。また、実施例１におけるトラフィック集計部１２４は、図５に示した例のように、トラフィックの流通方向等を分別してトラフィック量を集計する。
【００７０】
続いて、トラフィック変動検出部１２５は、トラフィック集計部１２４によって集計された総トラフィック量が所定の閾値の範囲外に変動したか否かを判定する（ステップＳ１０６）。ここで、トラフィック変動検出部１２５は、総トラフィック量が所定の閾値の範囲外に変動した場合には（ステップＳ１０６肯定）、ネットワーク管理者等に警告を出力する（ステップＳ１０７）。一方、トラフィック変動検出部１２５は、総トラフィック量が所定の閾値の範囲外に変動していない場合には（ステップＳ１０６否定）、警告を出力しない。
【００７１】
このようにして、ネットワーク監視装置１００は、監視タイミングになるたびに（ステップＳ１０１肯定）、上記ステップＳ１０２〜Ｓ１０７による処理手順を行う。
【００７２】
［実施例１の効果］
上述してきたように、実施例１に係るネットワーク監視装置１００は、複数のルータを経由した同一トラフィックが存在する場合や、複数の送信元から監視対象のユーザネットワーク等にトラフィックが送信される場合や、監視対象のユーザネットワーク等から複数の宛先にトラフィックが送信される場合であっても、監視対象のユーザネットワーク等によって送受信されるトラフィック量を正確に集計することができる。これにより、実施例１に係るネットワーク監視装置１００は、例えば、ＤｏＳ攻撃等が行われているか否かを正確に判定することができ、ＤｏＳ攻撃等が行われている場合に、ネットワーク管理者に警告を通知することができる。
【実施例２】
【００７３】
ところで、本発明に係るネットワーク監視装置及びネットワーク監視方法は、上述した実施例以外にも、種々の異なる形態にて実施されてよい。そこで、実施例２では、本発明に係るネットワーク監視装置及びネットワーク監視方法の他の実施例について説明する。
【００７４】
［監視対象］
上記実施例１では、監視対象管理部１２３が、監視対象のユーザネットワーク４０や端末１４によって送受信されるトラフィックが流通し得る全ＩＦのインタフェースＩＤ等を保持する例を示した。しかし、監視対象管理部１２３は、ネットワーク管理者によって指定されたＩＦのインタフェースＩＤ等を保持してもよい。すなわち、トラフィック量の集計対象とするＩＦは、ネットワーク管理者によって指定されてもよい。例えば、監視対象管理部１２３は、ネットワーク管理者によってＩＦ１１ａ、ＩＦ１２ａ、ＩＦ１２ｄ及びＩＦ１３ｃが指定された場合に、かかるＩＦに対応するフロー情報を用いて、トラフィック量を集計する。
【００７５】
また、監視対象管理部１２３は、監視対象のユーザネットワーク４０や端末１４によって送受信されるトラフィックが流通し得る全ＩＦのインタフェースＩＤ等をトラフィックの集計対象とせずに、ＩＦ情報記憶部１１２に記憶されている接続関係情報に基づいて、ＡＳ１０内のルータと接続されるＩＦを除外したＩＦをトラフィックの集計対象としてもよい。かかる場合には、トラフィック集計部１２４は、接続関係情報に基づいて、集計対象のＩＦを絞り込む処理を行わなくてよい。
【００７６】
［ＶＬＡＮ］
また、上記実施例１において、ルータ１１〜１３が有する各ＩＦにＶＬＡＮが設定されている場合には、トラフィック情報収集部１２１は、ＩＦ及びＶＬＡＮ−ＩＤ毎に、フロー情報を収集する。かかる場合、トラフィック情報収集部１２１は、図３に示したトラフィック情報記憶部１１１の「インタフェースＩＤ」に、「ＶＬＡＮ−ＩＤ」を格納するか、又は、「インタフェースＩＤ及びＶＬＡＮ−ＩＤ」を格納する。また、ＩＦ情報取得部１２２は、インタフェースＩＤ及びＶＬＡＮ−ＩＤを用いて、接続関係情報を取得する。すなわち、ＩＦ情報取得部１２２は、同一のサブネットに属し、かつ、同一のＶＬＡＮ−ＩＤが設定されている２つのＩＦが存在する場合に、かかる２つのＩＦが接続されていることを示す接続関係情報をＩＦ情報記憶部１１２に格納する。このとき、監視対象管理部１２３は、ユーザネットワークや端末、及び、ＶＬＡＮ−ＩＤの組合せを監視対象の条件としてもよい。かかる場合に、トラフィック集計部１２４は、インタフェースＩＤ及びＶＬＡＮ−ＩＤ毎に収集されるフロー情報を用いてトラフィック量を集計するが、同一のサブネットに属し、かつ、同一のＶＬＡＮ−ＩＤが設定されているＩＦについてはトラフィック量の集計対象から除外する。
【００７７】
［集計処理］
また、上記実施例１では、トラフィック集計部１２４が、ＩＦ情報取得部１２２によって取得された接続関係情報に基づいて、ＡＳ１０内のルータ１１〜１３と対向して接続関係にあるＩＦについてはトラフィック量の集計対象から除外する例を示した。しかし、ルータ１１〜１３が保持するインタフェースデスクリプション等に「Ｐｅｅｒ」、「Ｂａｃｋｂｏｎｅ」、「Ｃｕｓｔｏｍｅｒ」等の対向通信機器情報が設定されている場合には、トラフィック集計部１２４は、このインタフェースデスクリプション等に基づいて、トラフィック量の集計対象とするＩＦを抽出してもよい。例えば、インタフェースデスクリプション等に「Ｂａｃｋｂｏｎｅ」が設定されているＩＦがＡＳ１０内のルータ１１〜１３と対向して接続関係にあることを示す場合には、トラフィック集計部１２４は、インタフェースデスクリプション等に「Ｂａｃｋｂｏｎｅ」が設定されているＩＦをトラフィック量の集計対象から除外してもよい。
【００７８】
［集計単位］
また、上記実施例１では、トラフィック集計部１２４が、図５に示した例のように、「ＡＳ入力」、「監視対象入力」、「監視対象出力」、「ＡＳ出力」に分別して、総トラフィック量を集計する例を示した。しかし、トラフィック集計部１２４は、「ＡＳ入力」、「監視対象入力」、「監視対象出力」、「ＡＳ出力」に分別して、総トラフィック量を集計しなくてもよい。例えば、トラフィック集計部１２４は、「監視対象入力」及び「監視対象出力」の総トラフィック量のみを集計してもよいし、「ＡＳ入力」及び「ＡＳ出力」の総トラフィック量のみを集計してもよい。
【００７９】
［トラフィック情報］
また、上記実施例１では、トラフィック情報の一例としてフロー情報を例に挙げて説明した。しかし、トラフィック情報はフロー情報に限られない。例えば、ルータ１１〜１３が送信元ＩＰアドレスと宛先ＩＰアドレスとＩＦとの組合せ毎に、トラフィック量を集計する機能を有する場合には、かかる集計情報をトラフィック情報としてもよい。
【００８０】
［中継装置］
また、上記実施例１では、図１に例示したように、中継装置としてルータを例に挙げて説明した。しかし、中継装置はルータに限られない。例えば、実施例１における各ルータは、スイッチ等の中継装置であってもよい。
【００８１】
［システム構成］
また、上記実施例において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。例えば、図３〜図５等に例示した各種情報は、あくまで一例であって任意の情報に変更することができる。
【００８２】
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。
【００８３】
例えば、上記実施例１では、ＩＦ情報取得部１２２が、ルータ１１〜１３からインタフェース情報を取得した後に、接続関係情報をＩＦ情報記憶部１１２に格納する例を示した。しかし、ＩＦ情報取得部１２２は、ルータ１１〜１３から取得したインタフェース情報を記憶部１１０に格納するだけの処理を行ってもよい。そして、監視対象管理部１２３やトラフィック集計部１２４がＩＦ情報取得部１２２によって取得されたインタフェース情報に基づいて接続関係情報を取得し、取得した接続関係情報をＩＦ情報記憶部１１２に格納してもよい。
【００８４】
［プログラム］
また、上記実施例１において説明したネットワーク監視装置１００が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。例えば、実施例１に係るネットワーク監視装置１００が実行する処理をコンピュータが実行可能な言語で記述したネットワーク監視プログラムを作成することもできる。この場合、コンピュータがネットワーク監視プログラムを実行することにより、上記実施例１と同様の効果を得ることができる。さらに、かかるネットワーク監視プログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたネットワーク監視プログラムをコンピュータに読み込ませて実行することにより上記実施例１と同様の処理を実現してもよい。以下に、図７に示したネットワーク監視装置１００と同様の機能を実現するネットワーク監視プログラムを実行するコンピュータの一例を説明する。
【００８５】
図７は、ネットワーク監視プログラムを実行するコンピュータ１０００を示す図である。図７に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。
【００８６】
メモリ１０１０は、図７に例示するように、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ（Random Access Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図７に例示するように、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、図７に例示するように、ディスクドライブ１０４１に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブに挿入される。シリアルポートインタフェース１０５０は、図７に例示するように、例えばマウス１０５１、キーボード１０５２に接続される。ビデオアダプタ１０６０は、図７に例示するように、例えばディスプレイ１０６１に接続される。
【００８７】
ここで、図７に例示するように、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記のネットワーク監視プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０３１に記憶される。例えば、図２に例示したトラフィック情報収集部１２１と同様の情報処理を実行するトラフィック情報収集手順と、ＩＦ情報取得部１２２と同様の情報処理を実行するＩＦ情報取得手順と、監視対象管理部１２３と同様の情報処理を実行する監視対象管理手順と、トラフィック集計部１２４と同様の情報処理を実行するトラフィック集計手順と、トラフィック変動検出部１２５と同様の情報処理を実行するトラフィック変動検出手順とが記述されたプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。
【００８８】
また、上記実施例で説明したネットワーク監視装置１００が保持する各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、トラフィック情報収集手順、ＩＦ情報取得手順、監視対象管理手順、トラフィック集計手順、トラフィック変動検出手順を実行する。
【００８９】
なお、ネットワーク監視プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、ネットワーク監視プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【００９０】
１ ネットワーク
１０、２０、３０ ＡＳ
１１、１２、１３、２１、３１ ルータ
１１ａ、１１ｂ、１１ｃ、１１ｄ ＩＦ
１２ａ、１２ｂ、１２ｃ、１２ｄ ＩＦ
１３ａ、１３ｂ、１３ｃ ＩＦ
１４ 端末
４０ ユーザネットワーク
１００ ネットワーク監視装置
１１０ 記憶部
１１１ トラフィック情報記憶部
１１２ ＩＦ情報記憶部
１１３ トラフィック量記憶部
１２０ 制御部
１２１ トラフィック情報収集部
１２２ ＩＦ情報取得部
１２３ 監視対象管理部
１２４ トラフィック集計部
１２５ トラフィック変動検出部
【技術分野】
【０００１】
本発明の実施形態は、ネットワーク監視装置及びネットワーク監視方法に関する。
【背景技術】
【０００２】
ＩＰ（Internet Protocol）ネットワークには、パケット等の各種データ（以下、「トラフィック」と表記する場合がある）を中継する複数の中継装置（ルータやスイッチ等）が含まれる。一般に、このようなＩＰネットワークには、安全なネットワーク運用を目的として、ネットワーク監視装置が設置されることが多い。かかるネットワーク監視装置は、例えば、ＩＰネットワーク内の中継装置によって送受信されるトラフィックに関するフロー情報を収集し、収集したフロー情報をネットワーク管理者等に提供する。これにより、ネットワーク管理者は、例えば、中継装置毎に収集されたフロー情報に基づいて、所定の端末に対してＤｏＳ（Denial of Service）攻撃等が行われているか否かを判断する場合がある。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００９−８９２４１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記の従来技術では、正確なトラフィック量を監視することが困難な場合がある。具体的には、ネットワーク管理者は、中継装置毎に収集されたフロー情報に基づいてトラフィック量を監視するので、所定の端末宛のトラフィックが複数の中継装置に分散して流通している場合には、かかる端末宛の正確なトラフィック量を監視することが困難である。
【０００５】
本発明は、上記に鑑みてなされたものであって、正確なトラフィック量を監視することができるネットワーク監視装置及びネットワーク監視方法を提供することを目的とする。
【課題を解決するための手段】
【０００６】
実施形態に係るネットワーク監視装置は、トラフィックを中継する複数の中継装置を含むネットワークと接続される所定のユーザネットワークによって送受信されるトラフィックを監視するネットワーク監視装置であって、前記複数の中継装置が有するインタフェースによって送受信されるトラフィックに関するトラフィック情報を該インタフェース毎に収集する収集部と、前記複数の中継装置が有するインタフェースに関するインタフェース情報を収集し、収集したインタフェース情報に基づいてインタフェース間の接続関係を取得する取得部と、前記取得部によって取得された接続関係に基づいて、前記収集部によって収集されたトラフィック情報から複数の中継装置を経由したトラフィックを示す複数のトラフィック情報を特定し、特定した複数のトラフィック情報のうち所定のトラフィック情報を用いて、前記ユーザネットワークによって送受信されるトラフィック量を集計する集計部とを備えることを特徴とする。
【発明の効果】
【０００７】
実施形態に係るネットワーク監視装置及びネットワーク監視方法は、正確なトラフィック量を監視することができるという効果を奏する。
【図面の簡単な説明】
【０００８】
【図１】図１は、実施例１に係るネットワーク監視装置が適用されるネットワークの構成例を示す図である。
【図２】図２は、実施例１に係るネットワーク監視装置の構成例を示すブロック図である。
【図３】図３は、実施例１におけるトラフィック情報記憶部の一例を示す図である。
【図４】図４は、実施例１におけるＩＦ情報記憶部の一例を示す図である。
【図５】図５は、実施例１におけるトラフィック量記憶部の一例を示す図である。
【図６】図６は、実施例１に係るネットワーク監視装置による集計処理手順を示すフローチャートである。
【図７】図７は、ネットワーク監視プログラムを実行するコンピュータを示す図である。
【発明を実施するための形態】
【０００９】
以下に、本発明に係るネットワーク監視装置及びネットワーク監視方法の実施例を図面に基づいて詳細に説明する。なお、この実施例により本発明が限定されるものではない。
【実施例１】
【００１０】
［ネットワーク構成］
まず、図１を用いて、実施例１に係るネットワーク監視装置が適用されるネットワークの構成例について説明する。図１は、実施例１に係るネットワーク監視装置が適用されるネットワークの構成例を示す図である。図１に例示するように、実施例１におけるネットワーク１には、共通の管理下において運用されるネットワークの集合であるＡＳ（Autonomous System：自律システム）１０、２０及び３０が含まれる。
【００１１】
ＡＳ１０には、実施例１に係るネットワーク監視装置１００と、ルータ１１、１２及び１３と、端末１４が設置されるユーザネットワーク４０とが含まれる。また、ＡＳ２０にはルータ２１が含まれ、ＡＳ３０にはルータ３１とＷｅｂサーバ３２とが含まれる。
【００１２】
ルータ１１は、ルータ３１と接続されるインタフェース（以下、「ＩＦ」と表記する場合がある）１１ａと、ルータ１２と接続されるＩＦ１１ｂと、ネットワーク監視装置１００と接続されるＩＦ１１ｃと、ルータ１３と接続されるＩＦ１１ｄとを有する。また、ルータ１２は、ルータ２１と接続されるＩＦ１２ａと、ルータ１１と接続されるＩＦ１２ｂと、ネットワーク監視装置１００と接続されるＩＦ１２ｃと、ユーザネットワーク４０と接続されるＩＦ１２ｄとを有する。また、ルータ１３は、ルータ１１と接続されるＩＦ１３ａと、ネットワーク監視装置１００と接続されるＩＦ１３ｂと、ユーザネットワーク４０と接続されるＩＦ１３ｃとを有する。
【００１３】
ルータ２１は、ルータ１２と接続されるＩＦ２１ａを有する。なお、図１では図示することを省略したが、ルータ２１は、ＩＦ２１ａ以外のＩＦも有し、ＡＳ２０内に配置されるルータ、端末又はサーバ等と接続される。また、ルータ３１は、Ｗｅｂサーバ３２と接続されるＩＦ３１ａと、ルータ１１と接続されるＩＦ３１ｂとを有する。
【００１４】
端末１４は、エンドユーザ等によって利用される情報処理装置であり、ルータ１２やルータ１３等を介して、他の端末やサーバとの間でトラフィックを送受する。なお、図１では図示することを省略したが、ユーザネットワーク４０は、ルータ１２やルータ１３と接続されるアクセスルータ又はスイッチ等を有する。Ｗｅｂサーバ３２は、各種Ｗｅｂサービスを提供する。例えば、Ｗｅｂサーバ３２は、端末１４からアクセスされた場合に、ＨＴＭＬ（HyperText Markup Language）文書等を端末１４に送信する。
【００１５】
このように、図１に示した例では、ＡＳ１０内のルータ１１とルータ１２とは、相互に接続される。具体的には、ルータ１１とルータ１２とは、ＩＦ１１ｂ及びＩＦ１２ｂによって接続される。また、ルータ１１とルータ１３とは、ＩＦ１１ｄ及びＩＦ１３ａによって接続される。さらに、ＡＳ１０内のルータ１２とＡＳ２０内のルータ２１とは、ＩＦ１２ａ及びＩＦ２１ａによって接続され、ＡＳ１０内のルータ１１とＡＳ３０内のルータ３１とは、ＩＦ１１ａ及びＩＦ３１ｂによって接続される。すなわち、ルータ１１及びルータ３１は、ＡＳ１０とＡＳ３０とを接続するエッジルータであり、ルータ１２及びルータ２１は、ＡＳ１０とＡＳ２０とを接続するエッジルータである。
【００１６】
ネットワーク監視装置１００は、ルータ１１、ルータ１２及びルータ１３から、かかるルータ１１〜１３が有するＩＦ（ＩＦ１１ａ等）によって送受信されるトラフィックに関するトラフィック情報を受信する。実施例１においては、ルータ１１〜１３にｓＦｌｏｗ（登録商標）、ＮｅｔＦｌｏｗ、ＩＰＦＩＸ等の技術が適用されており、ネットワーク監視装置１００は、ルータ１１〜１３等からフロー情報をトラフィック情報として受信する。すなわち、実施例１に係るネットワーク監視装置１００は、ルータ１１〜１３が有するＩＦ（ＩＦ１１ａ等）毎に、かかるＩＦによって送受信されるトラフィック量を示すフロー情報を収集する。
【００１７】
ここで、Ｗｅｂサーバ３２から端末１４を宛先（送信先）とするトラフィックが出力された場合に、かかるトラフィックは、ルータ３１のＩＦ３１ａに入力され、ルータ３１のＩＦ３１ｂからルータ１１のＩＦ１１ａに出力される。そして、かかるトラフィックは、例えば、ルータ１１のＩＦ１１ｄからルータ１３のＩＦ１３ａに出力された後に、ルータ１３のＩＦ１３ｃからユーザネットワーク４０に出力される。
【００１８】
上記の通り、ネットワーク監視装置１００は、ルータ１１〜１３が有するＩＦ（ＩＦ１１ａ等）毎にフロー情報を収集する。このため、ネットワーク監視装置１００は、ルータ１１のＩＦ１１ａによって送受信されたトラフィック量を示すフロー情報や、ＩＦ１１ｄによって送受信されたトラフィック量を示すフロー情報や、ＩＦ１３ａによって送受信されたトラフィック量を示すフロー情報や、ＩＦ１３ｃによって送受信されたトラフィック量を示すフロー情報等を収集する。
【００１９】
このため、ネットワーク管理者は、例えばユーザネットワーク４０を監視対象とする場合に、単にネットワーク監視装置１００によって収集されたフロー情報を参照するだけでは、ユーザネットワーク４０によって送受信される正確なトラフィック量を監視することが困難である。例えば、ネットワーク管理者が、ユーザネットワーク４０によって受信されるトラフィック量を監視するものとする。かかる場合に、ネットワーク管理者は、宛先（送信先）が端末１４であるフロー情報を抽出する作業や、抽出したフロー情報によって示されるトラフィック量を加算する作業や、複数の中継装置に分散して流通しているトラフィックを統合する作業等を要するので、ユーザネットワーク４０によって受信される正確なトラフィック量を監視するには煩雑な作業を行うことになる。
【００２０】
実施例１に係るネットワーク監視装置１００は、監視対象のネットワークや端末によって送受信される正確なトラフィック量を集計し、ネットワーク管理者に提供する。これにより、ネットワーク監視装置１００は、正確なトラフィック量の監視を可能にする。以下に、このようなネットワーク監視装置１００について詳細に説明する。
【００２１】
［ネットワーク監視装置の構成］
まず、図２を用いて、実施例１に係るネットワーク監視装置１００の構成について説明する。図２は、実施例１に係るネットワーク監視装置１００の構成例を示すブロック図である。図２に例示するように、実施例１に係るネットワーク監視装置１００は、記憶部１１０と、制御部１２０とを有する。なお、図２では図示することを省略したが、ネットワーク監視装置１００は、ルータ１１〜１３との間で各種データを送受するためのＩＦを有する。また、ネットワーク監視装置１００は、各種情報や操作指示を入力するための入力部（キーボード、マウス等）や、各種情報を表示する表示デバイス（液晶表示装置等）を有してもよい。
【００２２】
記憶部１１０は、ハードディスク又は半導体メモリ素子等の記憶デバイスである。実施例１における記憶部１１０は、図２に例示するように、トラフィック情報記憶部１１１と、ＩＦ情報記憶部１１２と、トラフィック量記憶部１１３とを有する。トラフィック情報記憶部１１１は、後述するトラフィック情報収集部１２１によって各種情報が格納される。ＩＦ情報記憶部１１２は、後述するＩＦ情報取得部１２２によって各種情報が格納される。トラフィック量記憶部１１３は、後述するトラフィック集計部１２４によって各種情報が格納される。トラフィック情報記憶部１１１、ＩＦ情報記憶部１１２、トラフィック量記憶部１１３に格納される各種情報については、制御部１２０とともに説明する。
【００２３】
制御部１２０は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等の電子回路、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路であり、ネットワーク監視装置１００の全体制御を行う。実施例１における制御部１２０は、図２に例示するように、トラフィック情報収集部１２１と、ＩＦ情報取得部１２２と、監視対象管理部１２３と、トラフィック集計部１２４と、トラフィック変動検出部１２５とを有する。
【００２４】
トラフィック情報収集部１２１は、ネットワーク監視装置１００と接続されているルータから、かかるルータによって送受信されるトラフィックに関するトラフィック情報を収集する。具体的には、実施例１におけるトラフィック情報収集部１２１は、ルータ１１〜１３から、ルータ１１〜１３が有するＩＦ（ＩＦ１１ａ等）によって送受信されるトラフィック量を含むフロー情報をトラフィック情報として受信し、受信したフロー情報に含まれる各種情報をトラフィック情報記憶部１１１に格納する。例えば、ルータ１１〜１３は、ｓＦｌｏｗ（登録商標）、ＮｅｔＦｌｏｗ、ＩＰＦＩＸ等の技術が適用されている場合に、フロー情報をネットワーク監視装置１００に送信する。そして、トラフィック情報収集部１２１は、ルータ１１〜１３によって送信されるフロー情報を受信することによりフロー情報を収集し、収集したフロー情報をトラフィック情報記憶部１１１に格納する。
【００２５】
なお、ルータ１１〜１３にＡＣＬ−ｂａｓｅｄ ｓＦｌｏｗ（登録商標）等が適用されている場合には、ネットワーク管理者等が監視対象のユーザネットワーク４０のネットワークアドレス等をルータ１１〜１３に設定することにより、かかるルータ１１〜１３は、設定されたネットワークアドレスに対応するフロー情報をネットワーク監視装置１００に送信することができる。
【００２６】
このようなトラフィック情報収集部１２１によって収集されるフロー情報には、トラフィックの送信元である装置のＩＰアドレス及びポート番号、トラフィックの宛先である装置のＩＰアドレス及びポート番号、パケットの流通に用いられるプロトコル、トラフィック量等が含まれる。そして、トラフィック情報収集部１２１は、フロー情報に含まれる各種情報をトラフィック情報記憶部１１１に格納する。
【００２７】
ここで、図３に、実施例１におけるトラフィック情報記憶部１１１の一例を示す。図３に例示するように、トラフィック情報記憶部１１１は、「受信時刻」、「ルータアドレス」、「インタフェースＩＤ」、「送信元ＩＰアドレス」、「宛先ＩＰアドレス」、「プロトコル」、「送信元ポート番号」、「宛先ポート番号」、「トラフィック量」といった項目を有する。
【００２８】
「受信時刻」は、トラフィック情報収集部１２１がルータ１１等からフロー情報を受信した日時、又は、ルータ１１等によってフロー情報が生成された日時等を示す。なお、図３では、トラフィック情報記憶部１１１の「受信時刻」に月日及び時分が記憶される例を示したが、「受信時刻」に記憶される日時情報はこれに限られない。例えば、トラフィック情報記憶部１１１の「受信時刻」には、年月日時分秒が記憶されてもよい。
【００２９】
「ルータアドレス」は、フロー情報を送信したルータのＩＰアドレスを示す。図３に示した例において、「ルータアドレス」は、図１に示した各ルータに付した参照符号であるものとする。例えば、ルータ１１のルータアドレスは、「１１」であるものとする。
【００３０】
「インタフェースＩＤ」は、フロー情報が示すトラフィック量を送受信したＩＦを識別する識別情報を示す。図３に示した例において、「インタフェースＩＤ」は、図１に示した各ＩＦに付した参照符号であるものとする。例えば、ＩＦ１１ａのインタフェースＩＤは、「１１ａ」であるものとする。
【００３１】
「送信元ＩＰアドレス」、「宛先ＩＰアドレス」、「プロトコル」、「送信元ポート番号」、「宛先ポート番号」、「トラフィック量」は、上述したように、フロー情報に含まれる各種情報を示す。なお、図３に示した「送信元ＩＰアドレス」及び「宛先ＩＰアドレス」に記憶されているＩＰアドレスのうち、「Ｘ．Ｘ．Ｘ．Ｘ」はＷｅｂサーバ３２のＩＰアドレスを示し、「Ｙ．Ｙ．Ｙ．Ｙ」は端末１４のＩＰアドレスを示し、「Ｚ．Ｚ．Ｚ．Ｚ」は、ＡＳ２０内の図示しない端末又はサーバのＩＰアドレスを示すものとする。また、図３では、「トラフィック量」にバイト（Ｂｙｔｅ）単位で示される数値が記憶される例を示したが、これに限られない。例えば、トラフィック情報記憶部１１１の「トラフィック量」には、パケット量等が記憶されてもよい。
【００３２】
例えば、図３に示した受信時刻「４月１３日１０時１分」の１行目に対応するフロー情報は、ルータ１１のＩＦ１１ａによって、ＩＰアドレスが「Ｘ．Ｘ．Ｘ．Ｘ」であるＷｅｂサーバ３２からＩＰアドレスが「Ｙ．Ｙ．Ｙ．Ｙ」である端末１４宛のトラフィックが受信されたことを示しており、さらに、かかるトラフィックのトラフィック量が「１０ＫＢ（キロバイト）」であることを示している。また、例えば、図３に示した受信時刻「４月１３日１０時１分」の２行目に対応するフロー情報は、ルータ１１のＩＦ１１ｄによって、Ｗｅｂサーバ３２から端末１４宛のトラフィックが送信されたことを示しており、さらに、かかるトラフィックのトラフィック量が「１０ＫＢ」であることを示している。
【００３３】
また、例えば、図３に示した受信時刻「４月１３日１０時２分」の１行目に対応するフロー情報は、ルータ１３のＩＦ１３ｃによって、ＩＰアドレスが「Ｙ．Ｙ．Ｙ．Ｙ」である端末１４からＩＰアドレスが「Ｘ．Ｘ．Ｘ．Ｘ」であるＷｅｂサーバ３２宛のトラフィックが受信されたことを示しており、さらに、かかるトラフィックのトラフィック量が「５ＫＢ」であることを示している。また、例えば、図３に示した受信時刻「４月１３日１０時２分」の２行目に対応するフロー情報は、ルータ１３のＩＦ１３ａによって、端末１４からＷｅｂサーバ３２宛のトラフィックが送信されたことを示しており、さらに、かかるトラフィックのトラフィック量が「５ＫＢ」であることを示している。
【００３４】
なお、トラフィック情報記憶部１１１に記憶されているトラフィック量が、ＩＦによって送信されたトラフィックであるか又は受信されたトラフィックであるかは、「送信元ＩＰアドレス」及び「宛先ＩＰアドレス」や、各ルータの接続関係によって判別することができる。例えば、送信元がＷｅｂサーバ３２であり宛先が端末１４であるトラフィックは、ルータ３１、ルータ１１、ルータ１３によって順に中継されることで端末１４に到達するか、又は、ルータ３１、ルータ１１、ルータ１２によって順に中継されることで端末１４に到達する。このため、ルータ１１のＩＦ１１ａは、かかるトラフィックを受信することはあっても送信することはないといってよい。また、ルータ１１のＩＦ１１ｂ又は１１ｄは、かかるトラフィックを送信することはあっても受信することはないといってよい。
【００３５】
図２の説明に戻って、ＩＦ情報取得部１２２は、ネットワーク監視装置１００と接続されているルータから、かかるルータが有するＩＦに関するインタフェース情報を取得する。そして、ＩＦ情報取得部１２２は、取得したインタフェース情報に基づいて、ＩＦ間の接続関係情報を取得し、取得した接続関係情報をＩＦ情報記憶部１１２に格納する。
【００３６】
具体的には、実施例１におけるＩＦ情報取得部１２２は、ＳＮＭＰ（Simple Network Management Protocol）等によってルータ１１〜１３にアクセスし、ＭＩＢ（Management Information Base）情報及びインタフェースアドレス情報をインタフェース情報として取得する。例えば、ＩＦ情報取得部１２２は、ＲＦＣ２２３３（The Interfaces Group MIB）に規定されるインタフェースインデックス（ifindex）、インタフェースエイリアス（ifAlias）、インタフェースデスクリプション（ifDescription）等のＭＩＢ情報を取得する。
【００３７】
そして、ＩＦ情報取得部１２２は、ルータ１１〜１３から取得したＭＩＢ情報及びインタフェースアドレス情報等を解析することにより、同一のサブネットに属する２つのＩＦが接続されていると判定する。そして、ＩＦ情報取得部１２２は、かかる２つのＩＦが接続されていることを示す接続関係情報をＩＦ情報記憶部１１２に格納する。図１に示した例の場合、ＩＦ情報取得部１２２は、ルータ１１のＩＦ１１ｂのインタフェースアドレスと、ルータ１２のＩＦ１２ｂのインタフェースアドレスとが同一のサブネットに属することを取得するので、ＩＦ１１ｂとＩＦ１２ｂとが接続されていることを示す接続関係情報をＩＦ情報記憶部１１２に格納する。同様に、ＩＦ情報記憶部１１２は、ルータ１１のＩＦ１１ｄとルータ１３のＩＦ１３ａとが接続されていることを示す接続関係情報をＩＦ情報記憶部１１２に格納する。
【００３８】
図４に、実施例１におけるＩＦ情報記憶部１１２の一例を示す。図４に示した例では、ＩＦ情報取得部１２２は、ルータ１１のＩＦ１１ｂとルータ１２のＩＦ１２ｂとが接続されていることを示す接続関係情報と、ルータ１１のＩＦ１１ｄとルータ１３のＩＦ１３ａとが接続されていることを示す接続関係情報とを記憶する。
【００３９】
図２の説明に戻って、監視対象管理部１２３は、監視対象とするユーザネットワークや端末、及び、監視対象とする各ルータのＩＦ等を管理する。具体的には、監視対象管理部１２３は、ネットワーク管理者による設定操作やシステムで予め決められている監視対象に関する情報等に従って、監視対象のユーザネットワークや端末毎に、トラフィック量の集計対象とするＩＦを特定するための情報（インタフェースＩＤ等）を保持する。
【００４０】
例えば、ネットワーク管理者によって、監視対象とするユーザネットワーク４０のネットワークアドレスを設定する操作が行われたものとする。かかる場合に、監視対象管理部１２３は、例えば、ユーザネットワーク４０のネットワークアドレスに対応付けて、かかるユーザネットワーク４０によって送受信されるトラフィックが流通し得るＩＦ１１ａ、ＩＦ１１ｂ、ＩＦ１１ｄ、ＩＦ１２ａ、ＩＦ１２ｂ、ＩＦ１２ｄ、ＩＦ１３ａ、ＩＦ１３ｃのインタフェースＩＤ等を記憶部１１０等に保持する。なお、監視対象管理部１２３は、ＩＦ情報記憶部１１２に記憶されている情報に基づいて、ユーザネットワーク４０によって送受信されるトラフィックが流通するＩＦを特定することができる。
【００４１】
また、例えば、ネットワーク管理者によって、監視対象とする端末１４のＩＰアドレスを設定する操作が行われたものとする。かかる場合に、監視対象管理部１２３は、例えば、端末１４のＩＰアドレスに対応付けて、ＩＦ１１ａ、ＩＦ１１ｂ、ＩＦ１１ｄ、ＩＦ１２ａ、ＩＦ１２ｂ、ＩＦ１２ｄ、ＩＦ１３ａ、ＩＦ１３ｃのインタフェースＩＤ等を記憶部１１０等に保持する。
【００４２】
トラフィック集計部１２４は、ＩＦ情報取得部１２２によって収集されたフロー情報を用いて、監視対象のユーザネットワークや端末によって送受されるトラフィック量を集計する。具体的には、トラフィック集計部１２４は、監視対象管理部１２３によって管理されている監視対象に関する情報に基づいて、監視対象のユーザネットワークや端末毎に、トラフィック量の集計対象とするＩＦに対応するフロー情報をトラフィック情報記憶部１１１から取得し、取得したフロー情報を用いてトラフィック量を集計する。
【００４３】
ここで、実施例１におけるトラフィック集計部１２４は、ＩＦ情報記憶部１１２に記憶されている接続関係情報に基づいて、トラフィック情報記憶部１１１に記憶されているフロー情報のうち複数のルータを経由した同一のトラフィックを示す複数のフロー情報を特定し、特定した複数のフロー情報の中から所定のフロー情報を用いて、トラフィック量の集計処理を行う。具体的には、実施例１におけるトラフィック集計部１２４は、トラフィック量の集計対象とするＩＦのうち、ネットワーク監視装置１００が属するＡＳ１０内のルータと接続されるＩＦ以外のＩＦに対応するフロー情報を用いてトラフィック量を集計する。言い換えれば、トラフィック集計部１２４は、ＡＳ１０内に含まれるルータ１１〜１３が有する各ＩＦから、ＡＳ１０内のルータ１１〜１３と対向して接続関係にあるＩＦについてはトラフィック量の集計対象から除外する。
【００４４】
例えば、図１に示した例の場合、ルータ１１のＩＦ１１ｂは、ＡＳ１０内のルータ１２と接続され、ルータ１１のＩＦ１１ｄは、ＡＳ１０内のルータ１３と接続される。また、ルータ１２のＩＦ１２ｂは、ＡＳ１０内のルータ１１と接続され、ルータ１３のＩＦ１３ａは、ＡＳ１０内のルータ１１と接続される。このとき、トラフィック集計部１２４は、監視対象がユーザネットワーク４０や端末１４である場合に、監視対象管理部１２３によってトラフィック量の集計対象として管理されているＩＦ１１ａ、ＩＦ１１ｂ、ＩＦ１１ｄ、ＩＦ１２ａ、ＩＦ１２ｂ、ＩＦ１２ｄ、ＩＦ１３ａ及びＩＦ１３ｃから、ＩＦ１１ｂ、ＩＦ１１ｄ、ＩＦ１２ｂ、ＩＦ１３ａ以外のＩＦ１１ａ、ＩＦ１２ａ、ＩＦ１２ｄ及びＩＦ１３ｃに対応するフロー情報を用いてトラフィック量を集計する。
【００４５】
また、実施例１におけるトラフィック集計部１２４は、監視対象のユーザネットワークや端末が宛先や送信元に指定されているトラフィックのトラフィック量を集計する場合に、外部ＡＳ（ＡＳ２０及びＡＳ３０）からＡＳ１０に入力されるトラフィック量と、監視対象のユーザネットワークや端末に入力されるトラフィック量と、監視対象のユーザネットワークや端末から出力されるトラフィック量と、ＡＳ１０から外部ＡＳ（ＡＳ２０及びＡＳ３０）に出力されるトラフィック量とを分けて集計する。
【００４６】
この点について図１に示した例を用いて説明する。なお、ここでは、監視対象がユーザネットワーク４０であるものとする。トラフィック集計部１２４は、外部ＡＳ（ＡＳ２０及びＡＳ３０）からＡＳ１０に入力されるトラフィック量として、ＩＦ１１ａが受信したユーザネットワーク４０宛のトラフィック量とＩＦ１２ａが受信したユーザネットワーク４０宛のトラフィック量との総和を集計する。また、トラフィック集計部１２４は、監視対象のユーザネットワーク４０に入力されるトラフィック量として、ＩＦ１２ｄが送信したトラフィック量とＩＦ１３ｃが送信したトラフィック量との総和を集計する。また、トラフィック集計部１２４は、監視対象のユーザネットワーク４０から出力されるトラフィック量として、ＩＦ１２ｄが受信したトラフィック量とＩＦ１３ｃが受信したトラフィック量との総和を集計する。また、トラフィック集計部１２４は、ＡＳ１０から外部ＡＳ（ＡＳ２０及びＡＳ３０）に出力されるトラフィック量として、ＩＦ１１ａが送信したトラフィック量のうち送信元がユーザネットワーク４０であるトラフィック量と、ＩＦ１２ａが送信したトラフィック量のうち送信元がユーザネットワーク４０であるトラフィック量との総和を集計する。
【００４７】
そして、トラフィック集計部１２４は、このようにして集計したトラフィック量の総和をトラフィック量記憶部１１３に格納する。実施例１におけるトラフィック集計部１２４は、所定の受信時刻の範囲毎に、トラフィック量を集計し、集計結果をトラフィック量記憶部１１３に格納する。
【００４８】
図５に、実施例１におけるトラフィック量記憶部１１３の一例を示す。図５に例示するように、トラフィック量記憶部１１３は、「受信時刻範囲」、「総トラフィック量」といった項目を有する。「受信時刻範囲」は、図３に例示したトラフィック情報記憶部１１１の受信時刻の範囲を示す。
【００４９】
「総トラフィック量」は、受信時刻範囲に含まれるフロー情報から集計されたトラフィック量の総和を示す。図５に示した例では、「総トラフィック量」は、「ＡＳ入力」、「監視対象入力」、「監視対象出力」、「ＡＳ出力」に分別される。「ＡＳ入力」は、外部ＡＳ（ＡＳ２０及びＡＳ３０）からＡＳ１０に入力されるトラフィック量を示す。「監視対象入力」は、監視対象のユーザネットワークや端末に入力されるトラフィック量を示す。「監視対象出力」は、監視対象のユーザネットワークや端末から出力されるトラフィック量を示す。「ＡＳ出力」は、ＡＳ１０から外部ＡＳ（ＡＳ２０及びＡＳ３０）に出力されるトラフィック量を示す。
【００５０】
このようなトラフィック集計部１２４による処理の一例について説明する。ここでは、トラフィック情報記憶部１１１は、図３に例示した各種情報を記憶し、ＩＦ情報記憶部１１２は、図４に例示した各種情報を記憶するものとする。また、監視対象がユーザネットワーク４０であるものとする。また、トラフィック集計部１２４による監視対象の受信時刻の範囲は、「４月１３日１０時０分〜１０時１０分」であるものとする。
【００５１】
かかる場合に、トラフィック集計部１２４は、トラフィック情報記憶部１１１に記憶されているフロー情報のうち、受信時刻「４月１３日１０時１分」に対応する４レコードのフロー情報と、受信時刻「４月１３日１０時３分」に対応する２レコードのフロー情報とを、外部ＡＳ（ＡＳ２０又はＡＳ３０）からユーザネットワーク４０宛に送信されたトラフィックに対応するフロー情報として抽出する。これは、送信元ＩＰアドレスが外部ＡＳ（ＡＳ２０又はＡＳ３０）に属するサーバ等のＩＰアドレスを示し、宛先ＩＰアドレスが監視対象のユーザネットワーク４０に含まれる端末１４のＩＰアドレスを示すからである。
【００５２】
続いて、トラフィック集計部１２４は、ＩＦ情報記憶部１１２に記憶されている接続関係情報に基づいて、上記において抽出した６レコードのフロー情報から、ＡＳ１０内のルータと接続されるＩＦに対応するフロー情報を除外する。すなわち、トラフィック集計部１２４は、インタフェースＩＤが「１１ｄ」、「１３ａ」に対応する２レコードのフロー情報を除外し、トラフィック量の集計対象を４レコードのフロー情報に絞り込む。
【００５３】
そして、トラフィック集計部１２４は、上記において絞り込んだ４レコードのフロー情報のうち、インタフェースＩＤ「１１ａ」に対応するフロー情報に記憶されているトラフィック量「１０ＫＢ」と、インタフェースＩＤ「１２ａ」に対応するフロー情報に記憶されているトラフィック量「２０ＫＢ」とを加算した「３０ＫＢ」を、外部ＡＳ（ＡＳ２０及びＡＳ３０）からＡＳ１０に入力されるトラフィック量として算出する。トラフィック集計部１２４は、このようにして算出した総トラフィック量「３０ＫＢ」を図５に例示したトラフィック量記憶部１１３の「ＡＳ入力」に格納する。
【００５４】
また、トラフィック集計部１２４は、上記において絞り込んだ４レコードのフロー情報のうち、インタフェースＩＤ「１３ｃ」に対応するフロー情報に記憶されているトラフィック量「１０ＫＢ」と、インタフェースＩＤ「１２ｄ」に対応するフロー情報に記憶されているトラフィック量「２０ＫＢ」とを加算した「３０ＫＢ」を、監視対象のユーザネットワーク４０に入力されるトラフィック量として算出する。トラフィック集計部１２４は、このようにして算出した総トラフィック量「３０ＫＢ」を図５に例示したトラフィック量記憶部１１３の「監視対象入力」に格納する。
【００５５】
さらに、トラフィック集計部１２４は、トラフィック情報記憶部１１１に記憶されているフロー情報のうち、受信時刻「４月１３日１０時２分」に対応する４レコードのフロー情報と、受信時刻「４月１３日１０時４分」に対応する２レコードのフロー情報とを、ユーザネットワーク４０から外部ＡＳ（ＡＳ２０又はＡＳ３０）宛に送信されたトラフィックに対応するフロー情報として抽出する。これは、送信元ＩＰアドレスがユーザネットワーク４０に含まれる端末１４のＩＰアドレスを示し、宛先ＩＰアドレスが外部ＡＳ（ＡＳ２０又はＡＳ３０）に属するサーバ等のＩＰアドレスを示すからである。
【００５６】
続いて、トラフィック集計部１２４は、ＩＦ情報記憶部１１２に記憶されている接続関係情報に基づいて、上記において抽出した６レコードのフロー情報から、ＡＳ１０内のルータと接続されるＩＦに対応するフロー情報を除外する。すなわち、トラフィック集計部１２４は、インタフェースＩＤが「１１ｄ」、「１３ａ」に対応する２レコードのフロー情報を除外し、トラフィック量の集計対象を４レコードのフロー情報に絞り込む。
【００５７】
そして、トラフィック集計部１２４は、上記において絞り込んだ４レコードのフロー情報のうち、インタフェースＩＤ「１３ｃ」に対応するフロー情報に記憶されているトラフィック量「５ＫＢ」と、インタフェースＩＤ「１２ｄ」に対応するフロー情報に記憶されているトラフィック量「１０ＫＢ」とを加算した「１５ＫＢ」を、監視対象のユーザネットワーク４０から出力されるトラフィック量として算出する。トラフィック集計部１２４は、このようにして算出した総トラフィック量「１５ＫＢ」を図５に例示したトラフィック量記憶部１１３の「監視対象出力」に格納する。
【００５８】
また、トラフィック集計部１２４は、上記において絞り込んだ４レコードのフロー情報のうち、インタフェースＩＤ「１１ａ」に対応するフロー情報に記憶されているトラフィック量「５ＫＢ」と、インタフェースＩＤ「１２ａ」に対応するフロー情報に記憶されているトラフィック量「１０ＫＢ」とを加算した「１５ＫＢ」を、ＡＳ１０から外部ＡＳ（ＡＳ２０及びＡＳ３０）に出力されるトラフィック量として算出する。トラフィック集計部１２４は、このようにして算出した総トラフィック量「１５ＫＢ」を図５に例示したトラフィック量記憶部１１３の「ＡＳ出力」に格納する。
【００５９】
このように、実施例１におけるトラフィック集計部１２４は、複数のルータを経由した同一トラフィックが存在する場合であっても、かかるトラフィックを送受信したＩＦの数だけトラフィック量を加算せずに、監視対象のユーザネットワークや端末と接続されるエッジルータのＩＦ（ＩＦ１２ｄ、ＩＦ１３ｃ）や、外部ＡＳと接続されるエッジルータのＩＦ（ＩＦ１１ａ、ＩＦ１２ａ）によって送受信されたトラフィック量を加算する。これにより、トラフィック集計部１２４は、監視対象のユーザネットワークや端末によって送受信されたトラフィック量を正確に算出することができる。この結果、ネットワーク管理者は、監視対象のユーザネットワークや端末によって送受信された正確なトラフィック量を監視することができる。
【００６０】
また、トラフィック集計部１２４は、上記例のように、「ＡＳ入力」、「監視対象入力」、「監視対象出力」、「ＡＳ出力」に分別して、総トラフィック量を算出する。これにより、トラフィック集計部１２４は、ＡＳ１０が外部ＡＳから受信したトラフィック量のうち監視対象のユーザネットワークや端末に送信されたトラフィック量を算出することができるとともに、監視対象のユーザネットワークや端末が受信したトラフィック量を算出することができる。また、トラフィック集計部１２４は、監視対象のユーザネットワークや端末が受信したトラフィック量を算出することができるとともに、ＡＳ１０が外部ＡＳに送信したトラフィック量のうち監視対象のユーザネットワークや端末が送信したトラフィック量を算出することができる。
【００６１】
図２の説明に戻って、トラフィック変動検出部１２５は、トラフィック集計部１２４によって集計された総トラフィック量を監視する。具体的には、トラフィック変動検出部１２５は、トラフィック量記憶部１１３に記憶されている総トラフィック量を監視し、トラフィック量が所定の閾値の範囲外に変動した場合に、ネットワーク管理者等に警告を出力する。例えば、トラフィック変動検出部１２５は、ネットワーク管理者が利用するユーザ端末等に電子メールを送信したり、ネットワーク監視装置１００の表示画面に警告画面を表示したり、ネットワーク監視装置１００のスピーカ等から警告音を出力したりする。
【００６２】
トラフィック変動検出部１２５による処理の一例について説明する。例えば、監視対象のユーザネットワーク４０によって送受信されるトラフィックのフロー情報について、「プロトコル＝ＴＣＰ」かつ「ＴＣＰフラグ＝ＳＹＮ」のような条件が設定されている場合、通常時には大量のトラフィック量が流通しない。このような場合に、トラフィック変動検出部１２５は、総トラフィック量が所定の上限閾値を超えた場合に、異常と判定して警告を出力する。また、例えば、トラフィック集計部１２４は、一定値異常のトラフィック量が流通する環境である場合には、総トラフィック量が所定の下限閾値を下回った際に、異常と判定して警告を出力する。
【００６３】
なお、ネットワーク監視装置１００は、Ｗｅｂサーバとしての機能を有してもよい。かかる場合に、トラフィック変動検出部１２５は、監視対象のユーザネットワークや端末毎に、異なるＵＲＬ（Uniform Resource Locator）によりアクセス可能なＷｅｂ画面を提供してもよい。例えば、トラフィック変動検出部１２５は、トラフィック情報記憶部１１１やトラフィック量記憶部１１３に記憶されている各種情報を用いて、監視対象のユーザネットワークによって送受信されるＩＦ毎のトラフィック情報（総トラフィック量等）をグラフや表によって表示するＷｅｂ画面を提供してもよい。
【００６４】
［ネットワーク監視装置による集計処理手順］
次に、図６を用いて、実施例１に係るネットワーク監視装置１００によるトラフィック量の集計処理の手順について説明する。図６は、実施例１に係るネットワーク監視装置１００による集計処理手順を示すフローチャートである。
【００６５】
なお、トラフィック情報収集部１２１及びＩＦ情報取得部１２２による処理手順については図示することを省略するが、トラフィック情報収集部１２１は、ルータ１１〜１３からフロー情報を受信するたびに、かかるフロー情報をトラフィック情報記憶部１１１に格納する。また、ＩＦ情報取得部１２２は、例えば、ネットワーク監視装置１００の起動等にルータ１１〜１３にアクセスすることでインタフェース情報を取得し、取得したインタフェース情報をＩＦ情報記憶部１１２に格納する。
【００６６】
図６に示すように、ネットワーク監視装置１００のトラフィック集計部１２４は、監視タイミングであるか否かを判定する（ステップＳ１０１）。このとき、トラフィック集計部１２４は、監視タイミングでない場合には（ステップＳ１０１否定）、監視タイミングになるまで待機する。なお、監視タイミングとは、例えば、トラフィック量記憶部１１３の受信時刻範囲の時間（例えば、１０分）が経過するタイミング等に該当する。
【００６７】
一方、トラフィック集計部１２４は、監視タイミングである場合には（ステップＳ１０１肯定）、監視対象管理部１２３によって管理されている監視対象に関する情報を取得する（ステップＳ１０２）。すなわち、トラフィック集計部１２４は、監視対象のユーザネットワークや端末、及び、トラフィック量の集計対象とするＩＦに関する情報を取得する。また、トラフィック集計部１２４は、ＩＦ情報記憶部１１２に記憶されている接続関係情報を取得する（ステップＳ１０３）。
【００６８】
続いて、トラフィック集計部１２４は、接続関係情報に基づいて、トラフィック情報記憶部１１１に記憶されているフロー情報のうち複数のルータを経由した同一のトラフィックを示す複数のフロー情報を特定する（ステップＳ１０４）。そして、トラフィック集計部１２４は、特定した複数のフロー情報の中から所定のフロー情報を用いて、トラフィック量を集計する（ステップＳ１０５）。
【００６９】
なお、トラフィック集計部１２４は、複数のルータを経由していないトラフィックを示す複数のフロー情報も用いて、トラフィック量を集計する。また、実施例１におけるトラフィック集計部１２４は、図５に示した例のように、トラフィックの流通方向等を分別してトラフィック量を集計する。
【００７０】
続いて、トラフィック変動検出部１２５は、トラフィック集計部１２４によって集計された総トラフィック量が所定の閾値の範囲外に変動したか否かを判定する（ステップＳ１０６）。ここで、トラフィック変動検出部１２５は、総トラフィック量が所定の閾値の範囲外に変動した場合には（ステップＳ１０６肯定）、ネットワーク管理者等に警告を出力する（ステップＳ１０７）。一方、トラフィック変動検出部１２５は、総トラフィック量が所定の閾値の範囲外に変動していない場合には（ステップＳ１０６否定）、警告を出力しない。
【００７１】
このようにして、ネットワーク監視装置１００は、監視タイミングになるたびに（ステップＳ１０１肯定）、上記ステップＳ１０２〜Ｓ１０７による処理手順を行う。
【００７２】
［実施例１の効果］
上述してきたように、実施例１に係るネットワーク監視装置１００は、複数のルータを経由した同一トラフィックが存在する場合や、複数の送信元から監視対象のユーザネットワーク等にトラフィックが送信される場合や、監視対象のユーザネットワーク等から複数の宛先にトラフィックが送信される場合であっても、監視対象のユーザネットワーク等によって送受信されるトラフィック量を正確に集計することができる。これにより、実施例１に係るネットワーク監視装置１００は、例えば、ＤｏＳ攻撃等が行われているか否かを正確に判定することができ、ＤｏＳ攻撃等が行われている場合に、ネットワーク管理者に警告を通知することができる。
【実施例２】
【００７３】
ところで、本発明に係るネットワーク監視装置及びネットワーク監視方法は、上述した実施例以外にも、種々の異なる形態にて実施されてよい。そこで、実施例２では、本発明に係るネットワーク監視装置及びネットワーク監視方法の他の実施例について説明する。
【００７４】
［監視対象］
上記実施例１では、監視対象管理部１２３が、監視対象のユーザネットワーク４０や端末１４によって送受信されるトラフィックが流通し得る全ＩＦのインタフェースＩＤ等を保持する例を示した。しかし、監視対象管理部１２３は、ネットワーク管理者によって指定されたＩＦのインタフェースＩＤ等を保持してもよい。すなわち、トラフィック量の集計対象とするＩＦは、ネットワーク管理者によって指定されてもよい。例えば、監視対象管理部１２３は、ネットワーク管理者によってＩＦ１１ａ、ＩＦ１２ａ、ＩＦ１２ｄ及びＩＦ１３ｃが指定された場合に、かかるＩＦに対応するフロー情報を用いて、トラフィック量を集計する。
【００７５】
また、監視対象管理部１２３は、監視対象のユーザネットワーク４０や端末１４によって送受信されるトラフィックが流通し得る全ＩＦのインタフェースＩＤ等をトラフィックの集計対象とせずに、ＩＦ情報記憶部１１２に記憶されている接続関係情報に基づいて、ＡＳ１０内のルータと接続されるＩＦを除外したＩＦをトラフィックの集計対象としてもよい。かかる場合には、トラフィック集計部１２４は、接続関係情報に基づいて、集計対象のＩＦを絞り込む処理を行わなくてよい。
【００７６】
［ＶＬＡＮ］
また、上記実施例１において、ルータ１１〜１３が有する各ＩＦにＶＬＡＮが設定されている場合には、トラフィック情報収集部１２１は、ＩＦ及びＶＬＡＮ−ＩＤ毎に、フロー情報を収集する。かかる場合、トラフィック情報収集部１２１は、図３に示したトラフィック情報記憶部１１１の「インタフェースＩＤ」に、「ＶＬＡＮ−ＩＤ」を格納するか、又は、「インタフェースＩＤ及びＶＬＡＮ−ＩＤ」を格納する。また、ＩＦ情報取得部１２２は、インタフェースＩＤ及びＶＬＡＮ−ＩＤを用いて、接続関係情報を取得する。すなわち、ＩＦ情報取得部１２２は、同一のサブネットに属し、かつ、同一のＶＬＡＮ−ＩＤが設定されている２つのＩＦが存在する場合に、かかる２つのＩＦが接続されていることを示す接続関係情報をＩＦ情報記憶部１１２に格納する。このとき、監視対象管理部１２３は、ユーザネットワークや端末、及び、ＶＬＡＮ−ＩＤの組合せを監視対象の条件としてもよい。かかる場合に、トラフィック集計部１２４は、インタフェースＩＤ及びＶＬＡＮ−ＩＤ毎に収集されるフロー情報を用いてトラフィック量を集計するが、同一のサブネットに属し、かつ、同一のＶＬＡＮ−ＩＤが設定されているＩＦについてはトラフィック量の集計対象から除外する。
【００７７】
［集計処理］
また、上記実施例１では、トラフィック集計部１２４が、ＩＦ情報取得部１２２によって取得された接続関係情報に基づいて、ＡＳ１０内のルータ１１〜１３と対向して接続関係にあるＩＦについてはトラフィック量の集計対象から除外する例を示した。しかし、ルータ１１〜１３が保持するインタフェースデスクリプション等に「Ｐｅｅｒ」、「Ｂａｃｋｂｏｎｅ」、「Ｃｕｓｔｏｍｅｒ」等の対向通信機器情報が設定されている場合には、トラフィック集計部１２４は、このインタフェースデスクリプション等に基づいて、トラフィック量の集計対象とするＩＦを抽出してもよい。例えば、インタフェースデスクリプション等に「Ｂａｃｋｂｏｎｅ」が設定されているＩＦがＡＳ１０内のルータ１１〜１３と対向して接続関係にあることを示す場合には、トラフィック集計部１２４は、インタフェースデスクリプション等に「Ｂａｃｋｂｏｎｅ」が設定されているＩＦをトラフィック量の集計対象から除外してもよい。
【００７８】
［集計単位］
また、上記実施例１では、トラフィック集計部１２４が、図５に示した例のように、「ＡＳ入力」、「監視対象入力」、「監視対象出力」、「ＡＳ出力」に分別して、総トラフィック量を集計する例を示した。しかし、トラフィック集計部１２４は、「ＡＳ入力」、「監視対象入力」、「監視対象出力」、「ＡＳ出力」に分別して、総トラフィック量を集計しなくてもよい。例えば、トラフィック集計部１２４は、「監視対象入力」及び「監視対象出力」の総トラフィック量のみを集計してもよいし、「ＡＳ入力」及び「ＡＳ出力」の総トラフィック量のみを集計してもよい。
【００７９】
［トラフィック情報］
また、上記実施例１では、トラフィック情報の一例としてフロー情報を例に挙げて説明した。しかし、トラフィック情報はフロー情報に限られない。例えば、ルータ１１〜１３が送信元ＩＰアドレスと宛先ＩＰアドレスとＩＦとの組合せ毎に、トラフィック量を集計する機能を有する場合には、かかる集計情報をトラフィック情報としてもよい。
【００８０】
［中継装置］
また、上記実施例１では、図１に例示したように、中継装置としてルータを例に挙げて説明した。しかし、中継装置はルータに限られない。例えば、実施例１における各ルータは、スイッチ等の中継装置であってもよい。
【００８１】
［システム構成］
また、上記実施例において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。例えば、図３〜図５等に例示した各種情報は、あくまで一例であって任意の情報に変更することができる。
【００８２】
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。
【００８３】
例えば、上記実施例１では、ＩＦ情報取得部１２２が、ルータ１１〜１３からインタフェース情報を取得した後に、接続関係情報をＩＦ情報記憶部１１２に格納する例を示した。しかし、ＩＦ情報取得部１２２は、ルータ１１〜１３から取得したインタフェース情報を記憶部１１０に格納するだけの処理を行ってもよい。そして、監視対象管理部１２３やトラフィック集計部１２４がＩＦ情報取得部１２２によって取得されたインタフェース情報に基づいて接続関係情報を取得し、取得した接続関係情報をＩＦ情報記憶部１１２に格納してもよい。
【００８４】
［プログラム］
また、上記実施例１において説明したネットワーク監視装置１００が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。例えば、実施例１に係るネットワーク監視装置１００が実行する処理をコンピュータが実行可能な言語で記述したネットワーク監視プログラムを作成することもできる。この場合、コンピュータがネットワーク監視プログラムを実行することにより、上記実施例１と同様の効果を得ることができる。さらに、かかるネットワーク監視プログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたネットワーク監視プログラムをコンピュータに読み込ませて実行することにより上記実施例１と同様の処理を実現してもよい。以下に、図７に示したネットワーク監視装置１００と同様の機能を実現するネットワーク監視プログラムを実行するコンピュータの一例を説明する。
【００８５】
図７は、ネットワーク監視プログラムを実行するコンピュータ１０００を示す図である。図７に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。
【００８６】
メモリ１０１０は、図７に例示するように、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ（Random Access Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図７に例示するように、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、図７に例示するように、ディスクドライブ１０４１に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブに挿入される。シリアルポートインタフェース１０５０は、図７に例示するように、例えばマウス１０５１、キーボード１０５２に接続される。ビデオアダプタ１０６０は、図７に例示するように、例えばディスプレイ１０６１に接続される。
【００８７】
ここで、図７に例示するように、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記のネットワーク監視プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０３１に記憶される。例えば、図２に例示したトラフィック情報収集部１２１と同様の情報処理を実行するトラフィック情報収集手順と、ＩＦ情報取得部１２２と同様の情報処理を実行するＩＦ情報取得手順と、監視対象管理部１２３と同様の情報処理を実行する監視対象管理手順と、トラフィック集計部１２４と同様の情報処理を実行するトラフィック集計手順と、トラフィック変動検出部１２５と同様の情報処理を実行するトラフィック変動検出手順とが記述されたプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。
【００８８】
また、上記実施例で説明したネットワーク監視装置１００が保持する各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、トラフィック情報収集手順、ＩＦ情報取得手順、監視対象管理手順、トラフィック集計手順、トラフィック変動検出手順を実行する。
【００８９】
なお、ネットワーク監視プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、ネットワーク監視プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【００９０】
１ ネットワーク
１０、２０、３０ ＡＳ
１１、１２、１３、２１、３１ ルータ
１１ａ、１１ｂ、１１ｃ、１１ｄ ＩＦ
１２ａ、１２ｂ、１２ｃ、１２ｄ ＩＦ
１３ａ、１３ｂ、１３ｃ ＩＦ
１４ 端末
４０ ユーザネットワーク
１００ ネットワーク監視装置
１１０ 記憶部
１１１ トラフィック情報記憶部
１１２ ＩＦ情報記憶部
１１３ トラフィック量記憶部
１２０ 制御部
１２１ トラフィック情報収集部
１２２ ＩＦ情報取得部
１２３ 監視対象管理部
１２４ トラフィック集計部
１２５ トラフィック変動検出部
【特許請求の範囲】
【請求項１】
トラフィックを中継する複数の中継装置を含むネットワークと接続される所定のユーザネットワークによって送受信されるトラフィックを監視するネットワーク監視装置であって、
前記複数の中継装置が有するインタフェースによって送受信されるトラフィックに関するトラフィック情報を該インタフェース毎に収集する収集部と、
前記複数の中継装置が有するインタフェースに関するインタフェース情報を収集し、収集したインタフェース情報に基づいてインタフェース間の接続関係を取得する取得部と、
前記取得部によって取得された接続関係に基づいて、前記収集部によって収集されたトラフィック情報から複数の中継装置を経由したトラフィックを示す複数のトラフィック情報を特定し、特定した複数のトラフィック情報のうち所定のトラフィック情報を用いて、前記ユーザネットワークによって送受信されるトラフィック量を集計する集計部と
を備えたことを特徴とするネットワーク監視装置。
【請求項２】
前記集計部は、
前記収集部によって収集されたトラフィック情報のうち、前記ネットワークと該ネットワーク以外の外部ネットワークとを接続する中継装置のインタフェースによって送受信されるトラフィックに関するトラフィック情報を特定し、特定したトラフィック情報を用いて、前記トラフィック量を集計する
ことを特徴とする請求項１に記載のネットワーク監視装置。
【請求項３】
前記集計部は、
前記収集部によって収集されたトラフィック情報のうち、前記ユーザネットワークのネットワークアドレスが送信先又は送信元として指定されているトラフィック情報を抽出し、抽出したトラフィック情報を用いて、前記トラフィック量を集計する
ことを特徴とする請求項１又は２に記載のネットワーク監視装置。
【請求項４】
前記収集部は、
前記複数の中継装置が有するインタフェースによって送受信されるトラフィックに関するトラフィック情報を、該インタフェースに設定されているＶＬＡＮ−ＩＤ毎に収集し、
前記集計部は、
前記収集部によって収集されたトラフィック情報を用いて、前記ユーザネットワークによって送受信されるトラフィック量をＶＬＡＮ−ＩＤ毎に集計する
ことを特徴とする請求項１〜３のいずれか一つに記載のネットワーク監視装置。
【請求項５】
前記集計部は、
前記ユーザネットワークに含まれる端末装置毎に、該端末装置によって送受信されるトラフィック量を集計する
ことを特徴とする請求項１〜４のいずれか一つに記載のネットワーク監視装置。
【請求項６】
前記集計部によって集計されたトラフィック量が所定の閾値の範囲外に変動したことを検出した場合に、警告を出力する警告部
をさらに備えたことを特徴とする請求項１〜５のいずれか一つに記載のネットワーク監視装置。
【請求項７】
トラフィックを中継する複数の中継装置を含むネットワークと接続される所定のユーザネットワークによって送受信されるトラフィックを監視するネットワーク監視装置で実行されるネットワーク監視方法あって、
前記複数の中継装置が有するインタフェースによって送受信されるトラフィックに関するトラフィック情報を該インタフェース毎に収集する収集工程と、
前記複数の中継装置が有するインタフェースに関するインタフェース情報を収集し、収集したインタフェース情報に基づいてインタフェース間の接続関係を取得する取得工程と、
前記取得工程によって取得された接続関係に基づいて、前記収集工程によって収集されたトラフィック情報から複数の中継装置を経由したトラフィックを示す複数のトラフィック情報を特定し、特定した複数のトラフィック情報のうち所定のトラフィック情報を用いて、前記ユーザネットワークによって送受信されるトラフィック量を集計する集計工程と
を含んだことを特徴とするネットワーク監視方法。
【請求項１】
トラフィックを中継する複数の中継装置を含むネットワークと接続される所定のユーザネットワークによって送受信されるトラフィックを監視するネットワーク監視装置であって、
前記複数の中継装置が有するインタフェースによって送受信されるトラフィックに関するトラフィック情報を該インタフェース毎に収集する収集部と、
前記複数の中継装置が有するインタフェースに関するインタフェース情報を収集し、収集したインタフェース情報に基づいてインタフェース間の接続関係を取得する取得部と、
前記取得部によって取得された接続関係に基づいて、前記収集部によって収集されたトラフィック情報から複数の中継装置を経由したトラフィックを示す複数のトラフィック情報を特定し、特定した複数のトラフィック情報のうち所定のトラフィック情報を用いて、前記ユーザネットワークによって送受信されるトラフィック量を集計する集計部と
を備えたことを特徴とするネットワーク監視装置。
【請求項２】
前記集計部は、
前記収集部によって収集されたトラフィック情報のうち、前記ネットワークと該ネットワーク以外の外部ネットワークとを接続する中継装置のインタフェースによって送受信されるトラフィックに関するトラフィック情報を特定し、特定したトラフィック情報を用いて、前記トラフィック量を集計する
ことを特徴とする請求項１に記載のネットワーク監視装置。
【請求項３】
前記集計部は、
前記収集部によって収集されたトラフィック情報のうち、前記ユーザネットワークのネットワークアドレスが送信先又は送信元として指定されているトラフィック情報を抽出し、抽出したトラフィック情報を用いて、前記トラフィック量を集計する
ことを特徴とする請求項１又は２に記載のネットワーク監視装置。
【請求項４】
前記収集部は、
前記複数の中継装置が有するインタフェースによって送受信されるトラフィックに関するトラフィック情報を、該インタフェースに設定されているＶＬＡＮ−ＩＤ毎に収集し、
前記集計部は、
前記収集部によって収集されたトラフィック情報を用いて、前記ユーザネットワークによって送受信されるトラフィック量をＶＬＡＮ−ＩＤ毎に集計する
ことを特徴とする請求項１〜３のいずれか一つに記載のネットワーク監視装置。
【請求項５】
前記集計部は、
前記ユーザネットワークに含まれる端末装置毎に、該端末装置によって送受信されるトラフィック量を集計する
ことを特徴とする請求項１〜４のいずれか一つに記載のネットワーク監視装置。
【請求項６】
前記集計部によって集計されたトラフィック量が所定の閾値の範囲外に変動したことを検出した場合に、警告を出力する警告部
をさらに備えたことを特徴とする請求項１〜５のいずれか一つに記載のネットワーク監視装置。
【請求項７】
トラフィックを中継する複数の中継装置を含むネットワークと接続される所定のユーザネットワークによって送受信されるトラフィックを監視するネットワーク監視装置で実行されるネットワーク監視方法あって、
前記複数の中継装置が有するインタフェースによって送受信されるトラフィックに関するトラフィック情報を該インタフェース毎に収集する収集工程と、
前記複数の中継装置が有するインタフェースに関するインタフェース情報を収集し、収集したインタフェース情報に基づいてインタフェース間の接続関係を取得する取得工程と、
前記取得工程によって取得された接続関係に基づいて、前記収集工程によって収集されたトラフィック情報から複数の中継装置を経由したトラフィックを示す複数のトラフィック情報を特定し、特定した複数のトラフィック情報のうち所定のトラフィック情報を用いて、前記ユーザネットワークによって送受信されるトラフィック量を集計する集計工程と
を含んだことを特徴とするネットワーク監視方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【公開番号】特開２０１２−２４４３０２（Ｐ２０１２−２４４３０２Ａ）
【公開日】平成２４年１２月１０日（２０１２．１２．１０）
【国際特許分類】
【出願番号】特願２０１１−１１０６７６（Ｐ２０１１−１１０６７６）
【出願日】平成２３年５月１７日（２０１１．５．１７）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
【公開日】平成２４年１２月１０日（２０１２．１２．１０）
【国際特許分類】
【出願日】平成２３年５月１７日（２０１１．５．１７）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
[ Back to top ]