特許 7530610 ネットワークのセキュリティモニタリング方法、ネットワークのセキュリティモニタリング装置及びシステム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-07-31

(45)【発行日】2024-08-08

(54)【発明の名称】ネットワークのセキュリティモニタリング方法、ネットワークのセキュリティモニタリング装置及びシステム

(51)【国際特許分類】

   H04L 43/12 20220101AFI20240801BHJP

   H04L 43/02 20220101ALI20240801BHJP

   H04L 43/04 20220101ALI20240801BHJP

【ＦＩ】

H04L43/12

H04L43/02

H04L43/04

【請求項の数】 15

(21)【出願番号】P 2022177534

(22)【出願日】2022-11-04

(62)【分割の表示】P 2021516558の分割

【原出願日】2019-09-19

(65)【公開番号】P2023011867

(43)【公開日】2023-01-24

【審査請求日】2022-11-04

(31)【優先権主張番号】10-2018-0112360

(32)【優先日】2018-09-19

(33)【優先権主張国・地域又は機関】KR

(31)【優先権主張番号】10-2019-0003294

(32)【優先日】2019-01-10

(33)【優先権主張国・地域又は機関】KR

(31)【優先権主張番号】10-2019-0003295

(32)【優先日】2019-01-10

(33)【優先権主張国・地域又は機関】KR

(31)【優先権主張番号】10-2019-0003296

(32)【優先日】2019-01-10

(33)【優先権主張国・地域又は機関】KR

(73)【特許権者】

【識別番号】521116266

【氏名又は名称】マグデータ インク

【氏名又は名称原語表記】ＭＡＧＤＡＴＡ ＩＮＣ．

【住所又は居所原語表記】Ｗ－ｄｏｎｇ １００７－Ｂ， １１， Ｄａｎｇｓａｎ－ｒｏ ４１－ｇｉｌ， Ｙｅｏｎｇｄｅｕｎｇｐｏ－ｇｕ， Ｓｅｏｕｌ， Ｒｅｐｕｂｌｉｃ ｏｆ Ｋｏｒｅａ

(74)【代理人】

【識別番号】110002952

【氏名又は名称】弁理士法人鷲田国際特許事務所

(72)【発明者】

【氏名】キム ジョン ミン

(72)【発明者】

【氏名】ファン ホ ジョン

(72)【発明者】

【氏名】ホ ユン ヨン

【審査官】速水 雄太

(56)【参考文献】

【文献】米国特許出願公開第２００８／０２４０１２８（ＵＳ，Ａ１）

【文献】特開２０１７－０２８６１６（ＪＰ，Ａ）

【文献】特表２０１２－５３３２３１（ＪＰ，Ａ）

【文献】米国特許出願公開第２００３／０１８２５８０（ＵＳ，Ａ１）

【文献】特開２００８－０９８７６６（ＪＰ，Ａ）

【文献】特開２００５－２２９５３７（ＪＰ，Ａ）

【文献】特開２０１７－１５２８５２（ＪＰ，Ａ）

【文献】特開２０１７－１１１７９６（ＪＰ，Ａ）

【文献】米国特許第０９９８５９８４（ＵＳ，Ｂ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ １２／００－１２／６６

４１／００－１０１／６９５

(57)【特許請求の範囲】

【請求項1】

第１のエンティティ（ｅｎｔｉｔｙ）と第２のエンティティ、前記第１のエンティティ及び第２のエンティティの間に備えられるスイッチング装置、並びに前記スイッチング装置と連結されるネットワークモニタリング装置を含むネットワークに対するエッジコンピューティング（Ｅｄｇｅ ｃｏｍｐｕｔｉｎｇ）ベースのネットワークセキュリティモニタリング方法であって、
前記ネットワークモニタリング装置が、前記スイッチング装置からミラーリングすることに基づき、前記第１のエンティティと前記第２のエンティティとの間に送受信される少なくとも一つのパケットに対する、ミラーリングされた少なくとも一つのパケットを獲得するステップと、
前記ネットワークモニタリング装置が、前記ミラーリングされた少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、前記第１のエンティティと前記第２のエンティティと関連したネットワークに対するセキュリティ問題の発生可否を決定するステップと、
前記第２のエンティティが、前記ネットワークモニタリング装置と並列的に、前記第２のエンティティに受信されるか、前記第２のエンティティで送信される少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、前記第２のエンティティと関連したネットワークに対するセキュリティ問題の発生可否を決定するステップとを含み、
前記第１のエンティティは、サーバを含み、前記第２のエンティティは、クライアント（Ｃｌｉｅｎｔ）端末を含む、エッジコンピューティングベースのネットワークセキュリティモニタリング方法。

【請求項2】

前記クライアント端末はモノのインターネット（ＩｏＴ）装置を含む、請求項１に記載のエッジコンピューティングベースのネットワークセキュリティモニタリング方法。

【請求項3】

前記第２のエンティティが、前記セキュリティ問題の発生可否を決定するステップは、前記第２のエンティティのシステム状態及びログ（Ｌｏｇ）情報のうち少なくとも一つに基づいて、セキュリティ問題の発生可否を決定するステップを含む、請求項１に記載のエッジコンピューティングベースのネットワークセキュリティモニタリング方法。

【請求項4】

前記第２のエンティティが、前記セキュリティ問題の発生可否を決定するステップは、第２のエンティティに送受信される少なくとも一つのパケットから獲得されたデータ送受信に関する情報を含むパケット（Ｐａｃｋｅｔ）情報に基づいて、セキュリティ問題の発生可否を決定するステップを含む、請求項３に記載のエッジコンピューティングベースのネットワークセキュリティモニタリング方法。

【請求項5】

前記システム状態及びログ（Ｌｏｇ）情報のうち少なくとも一つに基づいてセキュリティ問題の発生可否を決定するステップは、許容されないＩＰから前記第２のエンティティにログイン（Ｌｏｇｉｎ）の試みが発生したという決定、前記第２のエンティティで知られていないプロセスの動作が発生したという決定のうち少なくとも一つに基づいて、前記第２のエンティティにセキュリティ問題の発生可否を決定するステップを含む、請求項３に記載のエッジコンピューティングベースのネットワークセキュリティモニタリング方法。

【請求項6】

前記第２のエンティティがセキュリティ問題が発生したと決定することに応答して、前記第２のエンティティが、前記スイッチング装置及びネットワークモニタリング装置のうち少なくとも一つにエッジ領域のセキュリティ警告情報を送信するステップをさらに含む、請求項１に記載のエッジコンピューティングベースのネットワークセキュリティモニタリング方法。

【請求項7】

前記ネットワークモニタリング装置が、前記ネットワークに対するセキュリティ問題が発生したと決定すること、又は前記第２のエンティティから直接又は前記スイッチング装置を経由して前記エッジ領域のセキュリティ警告情報を受信することに応答して、予め登録された、前記ネットワークの管理のための第１のアカウントのユーザ端末にセキュリティ警告情報を送信するステップをさらに含む、請求項６に記載のエッジコンピューティングベースのネットワークセキュリティモニタリング方法。

【請求項8】

前記ネットワークモニタリング装置が前記セキュリティ問題の発生可否を決定するステップは、
クラスタリング（Ｃｌｕｓｔｅｒｉｎｇ）又は統計的（ｓｔａｔｉｓｔｉｃａｌ）技法を含む異常徴候検知（Ａｎｏｍａｌｙ ｄｅｔｅｃｔｉｏｎ）、パターン又は規則を用いるシグネチャー（Ｓｉｇｎｉｔｕｒｅ）ベース探知、パターン又は規則を用いる明細（Ｓｐｅｃｉｆｉｃａｔｉｏｎ）ベース探知のうち少なくとも一つに基づいて前記セキュリティ問題の発生可否を決定する、請求項１に記載のエッジコンピューティングベースのネットワークセキュリティモニタリング方法。

【請求項9】

前記ネットワークモニタリング装置が前記セキュリティ問題の発生可否を決定するステップは、
前記ミラーリングされた少なくとも一つのパケットから獲得されたデータ送受信に関する情報に基づいてセキュリティ問題の発生可否を決定するステップと、
複数のミラーリングされたパケットから獲得された統計情報に基づいてセキュリティ問題の発生可否を決定するステップと、
前記第１のエンティティ及び前記第２のエンティティのうち少なくとも一つに対する連結（Ｃｏｎｎｅｃｔ）が可能か否かを示すアライブ（Ａｌｉｖｅ）情報に基づいて、セキュリティ問題の発生可否を決定するステップとを含む、請求項１に記載のエッジコンピューティングベースのネットワークセキュリティモニタリング方法。

【請求項10】

前記データ送受信に関する情報に基づいてセキュリティ問題の発生可否を決定するステップは、
少なくとも一つのパケットからの情報を含むパケット（Ｐａｃｋｅｔ）情報に基づいてセキュリティ問題の発生可否を決定するステップと、
パケットのソース、目的地を用いてパケットのフロー（ｆｌｏｗ）に関する情報を含むトラフィック（Ｔｒａｆｆｉｃ）情報に基づいてセキュリティ問題の発生可否を決定するステップと、
複数のパケットの送受信に関する情報を含むプロトコル（Ｐｒｏｔｏｃｏｌ）情報に基づいてセキュリティ問題の発生可否を決定するステップとを含む、請求項９に記載のエッジコンピューティングベースのネットワークセキュリティモニタリング方法。

【請求項11】

前記パケット情報は、ＯＳＩ３階層及びＯＳＩ４階層のうち少なくとも一つから取得され、
前記トラフィック情報はＯＳＩ４階層から取得され、
前記プロトコル情報はＯＳＩ７階層から取得される、請求項１０に記載のエッジコンピューティングベースのネットワークセキュリティモニタリング方法。

【請求項12】

前記パケット情報に基づいてセキュリティ問題の発生可否を決定するステップは、
予め決定した第１のソースＩＰから第１の目的地ＩＰまでの区間の接続の数が予め決定した臨界値以上という決定、予め決定した第１のＵＲＬに対する要請が予め決定した臨界値以上という決定、予め決定した第１のサーバのＢＰＳ（Ｂｉｔ Ｐｅｒ Ｓｅｃｏｎｄ）が予め決定した臨界値以上という決定、及び予め決定した第２のソースＩＰからのパケットトラフィックの送信数が予め決定した臨界値以上という決定のうち少なくとも一つに基づいて、前記ネットワークにセキュリティ問題が発生したと決定する、請求項１０に記載のエッジコンピューティングベースのネットワークセキュリティモニタリング方法。

【請求項13】

前記トラフィック情報に基づいてセキュリティ問題の発生可否を決定するステップは、クラスタリング技法を用いてトラフィック分散グラフから予め決定した臨界値以上外れたトラフィックが発生したと決定することに応答して、前記ネットワークにセキュリティ問題が発生したと決定する、請求項１０に記載のエッジコンピューティングベースのネットワークセキュリティモニタリング方法。

【請求項14】

第１のエンティティ（ｅｎｔｉｔｙ）と第２のエンティティ、前記第１のエンティティ及び第２のエンティティの間に備えられるスイッチング装置を含むネットワークに含まれた、第２のエンティティであって、
前記第１のエンティティは、サーバを含み、前記第２のエンティティは、クライアント（Ｃｌｉｅｎｔ）端末を含み、
前記第２のエンティティは、前記第１のエンティティとパケットを送受信するための送受信部を含み、
前記第２のエンティティは、プロセッサを備え、エッジコンピューティング（Ｅｄｇｅ ｃｏｍｐｕｔｉｎｇ）を行い、
前記プロセッサは、前記第２のエンティティに受信されるか、前記第２のエンティティで送信される少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、前記第２のエンティティと関連したネットワークに対するセキュリティ問題の発生可否を決定するように構成される、第２のエンティティ。

【請求項15】

ネットワークセキュリティ問題の発生可否を決定するネットワークモニタリングシステムであって、
第１のエンティティ（ｅｎｔｉｔｙ）と第２のエンティティの間に備えられるスイッチング装置、
前記スイッチング装置と連結され、前記スイッチング装置からミラーリングすることに基づき、前記第１のエンティティと前記第２のエンティティとの間に送受信される少なくとも一つのパケットに対する、ミラーリングされた少なくとも一つのパケットを獲得し、前記ミラーリングされた少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、前記第１のエンティティと前記第２のエンティティと関連したネットワークに対するセキュリティ問題の発生可否を決定する、ネットワークモニタリング装置と、及び
プロセッサを備え、エッジコンピューティング（Ｅｄｇｅ ｃｏｍｐｕｔｉｎｇ）を行う前記第２のエンティティとを含み、
前記プロセッサは、前記ネットワークモニタリング装置と並列的に、前記第２のエンティティに受信されるか、前記第２のエンティティで送信される少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、前記第２のエンティティと関連したネットワークに対するセキュリティ問題の発生可否を決定するように構成され、
前記第１のエンティティは、サーバを含み、前記第２のエンティティは、クライアント（Ｃｌｉｅｎｔ）端末を含む、エッジコンピューティングベースのネットワークセキュリティモニタリングシステム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、ネットワークのモニタリングに関し、より具体的には、複数のエンティティ（ｅｎｔｉｔｙ）を含むネットワークの品質及び／又はセキュリティの診断のためにネットワークをモニタリングする方法に関する。

【背景技術】

【0002】

ネットワークは、通信リンク及び通信リンクに接続された通信能力を有する様々な装置を全般的に含む。ここで、ネットワークと関連した装置は、コンピュータ、周辺装置、ルータ、保存装置、及びプロセッサと通信インターフェースを有する種々の電気製品を含む。ここで、「装置」という用語は、典型的に論理装置或いは機能性及びデータを処理及び交換できる他の装置を含み、家庭用装置だけでなく、一般目的のコンピュータを含むことができる。

【0003】

伝統的なネットワークシステムは、ユーザが使用するクライアント装置と、ウェブサイトと関連した様々なサーバ装置とを含む。一般的に、クライアント装置は、ウェブサイトを利用するために、特定のＩＰアドレスを有するサーバに接続要請をし、待機時間を経て接続する。このとき、多数のユーザにより多数のクライアント装置が特定時点に集中してサーバに接続する場合、ボトルネック（ｂｏｔｔｌｅｎｅｃｋ）によりサーバと関連したネットワークサービスの性能が低下し得る。サービスの性能又は品質問題の発生時、ユーザは遅延により、待機時間が増えることになり、サービスの利用率が下がることになり、これは、生産性及び売り上げの減少につながる。また、ＩＴ運営コストの増加が発生し、サーバの運営者及び／又は関連ビジネスの経営者は、企業の競争力低下という良くない結果を招くことがある。

【0004】

従って、性能低下の原因を迅速に把握し、これに対する対応ができるだけ早く行われなければならない。しかし、このような性能低下の原因がどこにあるかを明確に把握するのに適当なサービスがなく、適切な対応が行われていないのが実情である。

【0005】

図１は、従来のネットワークサービス管理を行う過程を説明するための概念図である。

【0006】

図１を参照すると、ＩＴ管理のために、ＩＴチーム長は、品質管理と関連した命令をネットワーク運営パート、サーバ運営パート、データベース開発パート、及びアプリケーション開発パート等にそれぞれ命令する。

【0007】

特定サービスの問題が生じた際、それぞれのパートの担当者は、自分が管理するＩＴ装置の問題点を個別的に判断し、これに対する報告を行う。即ち、「アプリケーションの問題ではない」、「ネットワークの問題ではない」及び／又は「サーバにも異常がない」等、特定サービスの問題について独立したアプローチにより、問題の原因を迅速に識別できず、性能低下の問題に適切に対応できない。即ち、性能改善のゴールデンタイム（ｇｏｌｄｅｎ ｔｉｍｅ）を逃すことになるという問題点がある。

【0008】

一方、モノのインターネット（ＩｏＴ）の発達で伝統的なネットワークの構造にも様々な変化が発生した。モノのインターネットが適用された数多くのデバイスがネットワークに参加することになりながら、一つのサーバに接続されるクライアント端末の数はネズミ算式に増大する傾向がはっきりしており、それぞれのデバイスを含むネットワーク全般に対する診断はますます難しくなっている。さらに、それぞれのモノのインターネットデバイスのいずれかに対するセキュリティ問題が発生する場合、ネットワーク全体に対する脅威になり得るにもかかわらず、モノのインターネットデバイスは、従来通常のネットワークの構成要素に比べて、セキュリティに脆弱な問題点がある。

【発明の概要】

【発明が解決しようとする課題】

【0009】

前述した問題点を解決するための本発明の一態様にかかる目的は、複数のエンティティを含むネットワークの性能及び／又はセキュリティの診断をより効率的であり、確実に行うことができるネットワークのモニタリング方法を提供することである。

【課題を解決するための手段】

【0010】

前述した問題点を解決するための本発明の一実施例にかかるネットワークのセキュリティモニタリング方法は、第１のエンティティ（ｅｎｔｉｔｙ）と第２のエンティティ、前記第１のエンティティ及び第２のエンティティの間に備えられるスイッチング装置、並びに前記スイッチング装置と連結されるネットワークのセキュリティモニタリング装置を含むネットワークに対するセキュリティモニタリング方法であって、前記ネットワークのセキュリティモニタリング装置が、前記スイッチング装置からミラーリングすることに基づいて、前記第１のエンティティと前記第２のエンティティとの間に送受信される少なくとも一つのパケットに対する、ミラーリングされた少なくとも一つのパケットを獲得するステップと；前記ネットワークのセキュリティモニタリング装置が、前記ミラーリングされた少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、前記第１のエンティティと前記第２のエンティティと関連したネットワークに対するセキュリティ問題の発生可否を決定するステップとを含むことができる。

【0011】

一側面にかかると、前記ネットワークのセキュリティモニタリング装置が前記セキュリティ問題の発生可否を決定するステップは、前記ミラーリングされた少なくとも一つのパケットから獲得されたデータ送受信に関する情報に基づいてセキュリティ問題の発生可否を決定するステップと；複数のミラーリングされたパケットから獲得された統計情報に基づいてセキュリティ問題の発生可否を決定するステップと；前記第１のエンティティ及び前記第２のエンティティのうち少なくとも一つに対する連結（Ｃｏｎｎｅｃｔ）が可能か否かを示すアライブ（Ａｌｉｖｅ）情報に基づいてセキュリティ問題の発生可否を決定するステップとを含むことができる。

【0012】

一側面にかかると、前記データ送受信に関する情報に基づいてセキュリティ問題の発生可否を決定するステップは、少なくとも一つのパケットからの情報を含むパケット（Ｐａｃｋｅｔ）情報に基づいてセキュリティ問題の発生可否を決定するステップと；パケットのソース、目的地を用いてパケットのフロー（ｆｌｏｗ）に関する情報を含むトラフィック（Ｔｒａｆｆｉｃ）情報に基づいてセキュリティ問題の発生可否を決定するステップと；複数のパケットの送受信及びパケットのアプリケーションに関する情報を含むプロトコル（Ｐｒｏｔｏｃｏｌ）情報に基づいてセキュリティ問題の発生可否を決定するステップとを含むことができる。

【0013】

一側面にかかると、前記パケット情報は、ＯＳＩ３階層及びＯＳＩ４階層のうち少なくとも一つから取得され、前記トラフィック情報はＯＳＩ４階層から取得され、前記プロトコル情報はＯＳＩ７階層から取得され、前記統計情報はＯＳＩ３階層、ＯＳＩ４階層、及びＯＳＩ７階層のうち少なくとも一つから取得され、前記アライブ情報はＯＳＩ３階層及びＯＳＩ４階層のうち少なくとも一つから取得されることができる。

【0014】

一側面にかかると、前記パケット情報に基づいてセキュリティ問題の発生可否を決定するステップは、クラスタリングベース異常徴候検知及びシグネチャーベース探知のうち少なくとも一つを用いて、前記トラフィック情報に基づいてセキュリティ問題の発生可否を決定するステップは、クラスタリングベース異常徴候検知を用いて、前記プロトコル情報に基づいてセキュリティ問題の発生可否を決定するステップは、クラスタリングベース異常徴候検知及び明細ベース探知のうち少なくとも一つを用いて、前記統計情報に基づいてセキュリティ問題の発生可否を決定するステップは、統計的技法ベースの異常徴候検知を用いて、前記アライブ情報に基づいてセキュリティ問題の発生可否を決定するステップは、明細ベース探知を用いることができる。

【0015】

一側面にかかると、前記パケット情報に基づいてセキュリティ問題の発生可否を決定するステップは、予め決定した第１のソースＩＰから第１の目的地ＩＰまでの区間の接続の数が予め決定した臨界値以上という決定、予め決定した第１のＵＲＬに対する要請が予め決定した臨界値以上という決定、予め決定した第１のサーバのＢＰＳ（Ｂｉｔ Ｐｅｒ Ｓｅｃｏｎｄ）が予め決定した臨界値以上という決定、予め決定した第２のソースＩＰからのＰＰＳ（Ｐａｃｋｅｔ Ｐｅｒ Ｓｅｃｏｎｄ）が予め決定した臨界値以上という決定、予め決定した第３のソースＩＰからの同期信号（ＳＹＮ）パケットの数が予め決定した臨界値以上という決定、及び予め決定した第４のソースＩＰが予め決定した臨界値以上の数のサーバＩＰに同時に接続を試みるという決定のうち少なくとも一つに基づいて、前記ネットワークにセキュリティ問題が発生したと決定できる。

【0016】

一側面にかかると、前記トラフィック情報に基づいてセキュリティ問題の発生可否を決定するステップは、クラスタリング技法を用いてトラフィック分散グラフから予め決定した臨界値以上外れたトラフィックが発生したと決定することに応答し、前記ネットワークにセキュリティ問題が発生したと決定できる。

【0017】

一側面にかかると、前記プロトコル情報に基づいてセキュリティ問題の発生可否を決定するステップは、予め決定した第１のＩＰから予め決定した第１のＳＱＬ（Ｓｔｒｕｃｔｕｒｅｄ Ｑｕｅｒｙ Ｌａｎｇｕａｇｅ）に対して予め決定した臨界値以上の要請が発生したという決定、ＨＴＴＰの要請が予め設定した基準値より少ない第５のソースＩＰから予め決定した臨界値以上のＨＴＴＰの要請が発生したという決定、及び予め決定した第２のサーバに対する予め決定した第２のＵＲＬに対する要請が予め決定した臨界値以上に発生したという決定、予め決定した時間長の区間の間に予め決定した第１の行動が予め決定した臨界値の回数以上に発生したという決定、４０４誤謬を発生するＵＲＬへの接続が予め決定した臨界値以上発生したという決定、予め決定した時間長の区間の間に臨界値の回数以上ログイン失敗が発生したという決定のうち少なくとも一つに基づいて、前記ネットワークにセキュリティ問題が発生したと決定できる。

【0018】

一側面にかかると、前記統計情報に基づいてセキュリティ問題の発生可否を決定するステップは、予め決定した第１の時刻区間の平均ＢＰＳが予め設定した日付以前の同一時刻区間の平均ＢＰＳよりも予め決定した臨界値以上に大きいという決定、予め決定した時間長の区間の間に接続がなかったクライアントＩＰからサーバ接続が発生したという決定、サーバの出力（Ｏｕｔｂｏｕｎｄ）ＢＰＳが予め設定された平均値よりも２倍以上高いという決定のうち少なくとも一つに基づいて、前記ネットワークにセキュリティ問題が発生したと決定できる。

【0019】

一側面にかかると、前記アライブ情報に基づいてセキュリティ問題の発生可否を決定するステップは、予め決定した臨界値の時間長の区間以上に前記第１のエンティティ又は第２のエンティティのうち少なくとも一つに接続ができないという決定、同期信号（ＳＹＮ）パケットに比べて応答信号（ＡＣＫ）パケットが予め決定した臨界値以上にさらに小さく発生するという決定、ＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）内にデバイスＩＰが存在しないという決定のうち少なくとも一つに基づいて、前記ネットワークにセキュリティ問題が発生したと決定できる。

【0020】

一側面にかかると、前記ネットワークのセキュリティモニタリング装置が、前記セキュリティ問題の発生可否を決定するステップと並列的に、前記ミラーリングされた少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、前記第１のエンティティと前記第２のエンティティと関連したネットワークのサービスの性能を示す性能関連の指標を算出するステップをさらに含むことができる。

【0021】

一側面にかかると、前記第１のエンティティは、サーバを含み、前記第２のエンティティは、クライアント（Ｃｌｉｅｎｔ）端末を含むことができる。

【0022】

一側面にかかると、前記クライアント端末はモノのインターネット（ＩｏＴ）装置を含むことができる。

【0023】

一側面にかかると、前記第１のエンティティは、ネットワークビデオレコーダー（Ｎｅｔｗｏｒｋ Ｖｉｄｅｏ Ｒｅｃｏｒｄｅｒ、ＮＶＲ）を含み、前記第２のエンティティは、ＩＰカメラを含むことができる。

【0024】

一側面にかかると、前記ネットワークのセキュリティモニタリング装置が前記セキュリティ問題の発生可否を決定するステップは、クラスタリング（Ｃｌｕｓｔｅｒｉｎｇ）又は統計的（ｓｔａｔｉｓｔｉｃａｌ）技法を含む人工知能に基づく異常徴候検知（Ａｎｏｍａｌｙ ｄｅｔｅｃｔｉｏｎ）、パターン又は規則を用いるシグネチャー（Ｓｉｇｎｉｔｕｒｅ）ベース探知、パターン又は規則を用いる明細（Ｓｐｅｃｉｆｉｃａｔｉｏｎ）ベース探知のうち少なくとも一つに基づいて、前記セキュリティ問題の発生可否を決定することができる。

【0025】

前述した問題点を解決するための本発明の別の実施例にかかるネットワークのセキュリティモニタリング装置は、第１のエンティティ（ｅｎｔｉｔｙ）と第２のエンティティ、前記第１のエンティティ及び第２のエンティティの間に備えられるスイッチング装置、並びに前記スイッチング装置と連結されるネットワークのセキュリティモニタリング装置を含むネットワークに含まれた、ネットワークのセキュリティモニタリング装置であって、前記スイッチング装置からミラーリングすることに基づき、前記第１のエンティティと前記第２のエンティティとの間に送受信される少なくとも一つのパケットに対する、ミラーリングされた少なくとも一つのパケットを獲得するポート（ｐｏｒｔ）と；前記ミラーリングされた少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、前記第１のエンティティと前記第２のエンティティと関連したネットワークに対するセキュリティ問題の発生可否を決定するプロセッサとを含むことができる。

【0026】

前述した問題点を解決するための本発明の別の実施例にかかるネットワークのセキュリティモニタリングシステムは、ネットワークのセキュリティ問題の発生可否を決定するネットワークのセキュリティモニタリングシステムであって、第１のエンティティ（ｅｎｔｉｔｙ）と；第２のエンティティと；前記第１のエンティティと前記第２のエンティティとの間に備えられるスイッチング装置と；前記スイッチング装置と連結され、前記スイッチング装置からミラーリングすることに基づき、前記第１のエンティティと前記第２のエンティティとの間に送受信される少なくとも一つのパケットに対する、ミラーリングされた少なくとも一つのパケットを獲得し、前記ミラーリングされた少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、前記第１のエンティティと前記第２のエンティティと関連したネットワークに対するセキュリティ問題の発生可否を決定する、ネットワークのセキュリティモニタリング装置とを含むことができる。

【0027】

前述した問題点を解決するための本発明の別の実施例にかかるコンピュータ読取可能な保存媒体は、第１のエンティティ（ｅｎｔｉｔｙ）と第２のエンティティ、前記第１のエンティティ及び第２のエンティティの間に備えられるスイッチング装置、並びに前記スイッチング装置と連結されるコンピューティングデバイスを含むネットワークで、前記コンピューティングデバイスのプロセッサにより実行可能なコマンドが保存されたコンピュータ読取可能な保存媒体であって、前記コマンドは、前記プロセッサにより実行されたとき、前記プロセッサをして前記スイッチング装置からミラーリングすることに基づき、前記第１のエンティティと前記第２のエンティティとの間に送受信される少なくとも一つのパケットに対する、ミラーリングされた少なくとも一つのパケットを獲得し；且つ前記ミラーリングされた少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、前記第１のエンティティと前記第２のエンティティと関連したネットワークに対するセキュリティ問題の発生可否を決定するように構成されることができる。

【0028】

前述した問題点を解決するための本発明の一実施例にかかる人工知能ベース異常徴候検出方法は、第１のエンティティ（ｅｎｔｉｔｙ）と第２のエンティティ、前記第１のエンティティ及び第２のエンティティの間に備えられるスイッチング装置、並びに前記スイッチング装置と連結されるネットワークモニタリング装置を含むネットワークで、前記ネットワークモニタリング装置により行われる、ネットワークに対する人工知能ベース異常徴候検出方法であって、予め決定した第１の時間区間の間、前記スイッチング装置からミラーリングすることに基づき、前記第１のエンティティと前記第２のエンティティとの間に送受信される少なくとも一つのパケットに対する、ミラーリングされた少なくとも一つのパケットを獲得するステップと；予め決定した第１の時間区間の間の前記ミラーリングされた少なくとも一つのパケットに基づいて人工神経網を学習させるステップと；前記学習された人工神経網を用いて、モニタリング時点に前記スイッチング装置からミラーリングされた少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、前記ネットワークに対する異常徴候の発生可否を検出するステップとを含むことができる。

【0029】

一側面にかかると、前記人工神経網を学習させるステップは、予め決定した第１の時間区間の間の前記ミラーリングされた少なくとも一つのパケットそれぞれを第１の関数を用いてそれぞれの数値に変換するステップと；前記人工神経網が前記それぞれの数値に基づいて正常数値範囲を決定するようにするステップとを含むことができる。

【0030】

一側面にかかると、前記異常徴候の発生可否を検出するステップは、前記モニタリング時点にミラーリングされた少なくとも一つのパケットを前記第１の関数を用いて基準数値に変換するステップと；前記基準数値が前記正常数値の範囲に含まれないという決定に応答して、異常徴候が発生したと決定するステップとを含むことができる。

【0031】

一側面にかかると、前記異常徴候の発生可否を検出するステップは、クラスタリング （Ｃｌｕｓｔｅｒｉｎｇ）又は統計的（ｓｔａｔｉｓｔｉｃａｌ）技法を含む人工知能に基づく異常徴候検知（Ａｎｏｍａｌｙ ｄｅｔｅｃｔｉｏｎ）に基づいて、前記ネットワークに対するセキュリティ問題の発生可否を決定することができる。

【0032】

一側面にかかると、前記異常徴候の発生可否を検出するステップは、前記ミラーリングされた少なくとも一つのパケットから獲得されたデータ送受信に関する情報に基づいて異常徴候の発生可否を検出するステップと；複数のミラーリングされたパケットから獲得された統計情報に基づいて異常徴候の発生可否を検出するステップと；前記第１のエンティティ及び前記第２のエンティティのうち少なくとも一つに対する連結（Ｃｏｎｎｅｃｔ）が可能か否かを示すアライブ（Ａｌｉｖｅ）情報に基づいて、異常徴候の発生可否を検出するステップとを含むことができる。

【0033】

一側面にかかると、前記データ送受信に関する情報に基づいて異常徴候の発生可否を検出するステップは、少なくとも一つのパケットからの情報を含むパケット（Ｐａｃｋｅｔ）情報に基づいて異常徴候の発生可否を検出するステップと；パケットのソース、目的地を用いてパケットのフロー（ｆｌｏｗ）に関する情報を含むトラフィック（Ｔｒａｆｆｉｃ）情報に基づいて異常徴候の発生可否を検出するステップと；複数のパケットの送受信及びパケットのアプリケーションに関する情報を含むプロトコル（Ｐｒｏｔｏｃｏｌ）情報に基づいて、異常徴候の発生可否を検出するステップとを含むことができる。

【0034】

一側面にかかると、前記パケット情報はＯＳＩ３階層及びＯＳＩ４階層のうち少なくとも一つから取得され、前記トラフィック情報はＯＳＩ４階層から取得され、前記プロトコル情報はＯＳＩ７階層から取得され、前記統計情報はＯＳＩ３階層、ＯＳＩ４階層及びＯＳＩ７階層のうち少なくとも一つから取得され、前記アライブ情報はＯＳＩ３階層及びＯＳＩ４階層のうち少なくとも一つから取得されることができる。

【0035】

一側面にかかると、前記パケット情報に基づいて異常徴候の発生可否を検出するステップは、クラスタリングベース異常徴候検知及びシグネチャーベース探知のうち少なくとも一つを用いて、前記トラフィック情報に基づいて異常徴候の発生可否を検出するステップは、クラスタリングベース異常徴候検知を用いて、前記プロトコル情報に基づいて異常徴候の発生可否を検出するステップは、クラスタリングベース異常徴候検知及び明細ベース探知のうち少なくとも一つを用いて、前記統計情報に基づいて異常徴候の発生可否を検出するステップは、統計的技法ベースの異常徴候検知を用いて、前記アライブ情報に基づいて異常徴候の発生可否を検出するステップは、明細ベース探知を用いることができる。

【0036】

一側面にかかると、前記パケット情報に基づいて異常徴候の発生可否を検出するステップは、予め決定した第１のソースＩＰから第１の目的地ＩＰまでの区間の接続の数が予め決定した臨界値以上という決定、予め決定した第１のＵＲＬに対する要請が予め決定した臨界値以上という決定、予め決定した第１のサーバのＢＰＳ（Ｂｉｔ Ｐｅｒ Ｓｅｃｏｎｄ）が予め決定した臨界値以上という決定、予め決定した第２のソースＩＰからのＰＰＳ（Ｐａｃｋｅｔ Ｐｅｒ Ｓｅｃｏｎｄ）が予め決定した臨界値以上という決定、予め決定した第３のソースＩＰからの同期信号（ＳＹＮ）パケットの数が予め決定した臨界値以上という決定、及び予め決定した第４のソースＩＰが予め決定した臨界値以上の数のサーバＩＰに同時に接続を試みるという決定のうち少なくとも一つに基づいて、前記ネットワークに異常徴候が発生したと決定できる。

【0037】

一側面にかかると、前記トラフィック情報に基づいて異常徴候の発生可否を検出するステップは、クラスタリング技法を用いてトラフィック分散グラフから予め決定した臨界値以上外れたトラフィックが発生したと決定することに応答して、前記ネットワークに異常徴候が発生したと決定できる。

【0038】

一側面にかかると、前記プロトコル情報に基づいて異常徴候の発生可否を検出するステップは、予め決定した第１のＩＰから予め決定した第１のＳＱＬ（Ｓｔｒｕｃｔｕｒｅｄ Ｑｕｅｒｙ Ｌａｎｇｕａｇｅ）に対して予め決定した臨界値以上の要請が発生したという決定、ＨＴＴＰの要請が予め設定した基準値よりも少ない第５のソースＩＰから予め決定した臨界値以上のＨＴＴＰの要請が発生したという決定、及び予め決定した第２のサーバに対する予め決定した第２のＵＲＬに対する要請が予め決定した臨界値以上に発生したという決定、予め決定した時間長の区間の間に予め決定した第１の行動が予め決定した臨界値の回数以上に発生したという決定、４０４誤謬を発生するＵＲＬへの接続が予め決定した臨界値以上発生したという決定、予め決定した時間長の区間の間に臨界値の回数以上ログイン失敗が発生したという決定のうち少なくとも一つに基づいて、前記ネットワークに異常徴候が発生したと決定できる。

【0039】

一側面にかかると、前記統計情報に基づいて異常徴候の発生可否を検出するステップは、予め決定した第１の時刻区間の平均ＢＰＳが予め設定した日付以前の同一時刻区間の平均ＢＰＳよりも予め決定した臨界値以上に大きいという決定、予め決定した時間長の区間の間に接続がなかったクライアントＩＰからサーバ接続が発生したという決定、サーバの出力（Ｏｕｔｂｏｕｎｄ）ＢＰＳが予め設定された平均値より２倍以上高いという決定のうち少なくとも一つに基づいて、前記ネットワークに異常徴候が発生したと決定できる。

【0040】

一側面にかかると、前記アライブ情報に基づいて異常徴候の発生可否を検出するステップは、予め決定した臨界値の時間長の区間以上に前記第１のエンティティ又は第２のエンティティのうち少なくとも一つに接続ができないという決定、同期信号（ＳＹＮ） パケットに比べて応答信号（ＡＣＫ）パケットが予め決定した臨界値以上にさらに少なく発生するという決定、ＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）内にデバイスＩＰが存在しないという決定のうち少なくとも一つに基づいて、前記ネットワークに異常徴候が発生したと決定できる。

【0041】

一側面にかかると、前記第１のエンティティは、サーバを含み、前記第２のエンティティは、クライアント（Ｃｌｉｅｎｔ）端末を含むことができる。

【0042】

一側面にかかると、前記クライアント端末は、モノのインターネット（ＩｏＴ）装置を含むことができる。

【0043】

一側面にかかると、前記第１のエンティティは、ネットワークビデオレコーダー（Ｎｅｔｗｏｒｋ Ｖｉｄｅｏ Ｒｅｃｏｒｄｅｒ、ＮＶＲ）を含み、前記第２のエンティティはＩＰカメラを含むことができる。

【0044】

一側面にかかると、前記第２のエンティティは、プロセッサを備え、エッジコンピューティング（Ｅｄｇｅ ｃｏｍｐｕｔｉｎｇ）を行うか、プロセッサを備えるエッジコンピューティング装置を経由して前記スイッチング装置に連結され、前記人工知能ベース異常徴候検出方法は、前記第２のエンティティ又は前記エッジコンピューティング装置が、前記ネットワークモニタリング装置と並列的に、前記第２のエンティティに受信されるか、前記第２のエンティティで送信される少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、前記第１のエンティティと前記第２のエンティティと関連したネットワークに対する異常徴候の発生可否を決定するステップをさらに含むことができる。

【0045】

一側面にかかると、前記第２のエンティティ又は前記エッジコンピューティング装置が前記異常徴候の発生可否を決定するステップは、前記第２のエンティティ又は前記エッジコンピューティング装置のシステム状態及びログ（Ｌｏｇ）情報のうち少なくとも一つに基づいて、異常徴候の発生可否を決定するステップを含むことができる。

【0046】

一側面にかかると、前記第２のエンティティ又は前記エッジコンピューティング装置が前記異常徴候の発生可否を決定するステップは、前記第２のエンティティ又は前記エッジコンピューティング装置に送受信される少なくとも一つのパケットから獲得されたデータ送受信に関する情報を含むパケット（Ｐａｃｋｅｔ）情報に基づいて、異常徴候の発生可否を決定するステップをさらに含むことができる。

【0047】

一側面にかかると、前記システム状態及びログ（Ｌｏｇ）情報のうち少なくとも一つに基づいて異常徴候の発生可否を決定するステップは、許容されないＩＰから前記第２のエンティティ又は前記エッジコンピューティング装置にログイン（Ｌｏｇｉｎ）の試みが発生したという決定、前記第２のエンティティ又は前記エッジコンピューティング装置で知られていないプロセスの動作が発生したという決定、前記第２のエンティティ又は前記エッジコンピューティング装置に予め決定された時間長の区間の間に予め決定された回数以上のログイン失敗が発生したという決定のうち少なくとも一つに基づいて、前記第２のエンティティ又は前記エッジコンピューティングデバイスに異常徴候が発生したと決定するステップを含むことができる。

【0048】

一側面にかかると、前記第２のエンティティ又は前記エッジコンピューティング装置が異常徴候が発生したと決定することに応答して、前記第２のエンティティ又は前記エッジコンピューティング装置が、前記スイッチング装置にエッジ領域のセキュリティ警告情報を送信するステップをさらに含むことができる。

【0049】

一側面にかかると、前記ネットワークモニタリング装置が、前記ネットワークに対する異常徴候が発生したと決定すること、又は前記第２のエンティティ又は前記エッジコンピューティング装置から前記スイッチング装置を経由して前記エッジ領域のセキュリティ警告情報を受信することに応答して、予め登録された、前記ネットワークの管理のための第１のアカウントのユーザ端末にセキュリティ警告情報を送信するステップをさらに含むことができる。

【0050】

前述した問題点を解決するための本発明の別の実施例にかかる人工知能ベース異常徴候検出装置は、第１のエンティティ（ｅｎｔｉｔｙ）と第２のエンティティ、前記第１のエンティティ及び第２のエンティティの間に備えられるスイッチング装置、並びに前記スイッチング装置と連結される人工知能ベース異常徴候検出装置を含むネットワークに含まれた、人工知能ベース異常徴候検出装置であって、前記スイッチング装置からミラーリングすることに基づき、前記第１のエンティティと前記第２のエンティティの間に送受信される少なくとも一つのパケットに対する、ミラーリングされた少なくとも一つのパケットを獲得するポート（ｐｏｒｔ）と；予め決定した第１の時間区間の間、前記スイッチング装置からミラーリングすることに基づき、前記第１のエンティティと前記第２のエンティティとの間に送受信される少なくとも一つのパケットに対する、ミラーリングされた少なくとも一つのパケットを獲得し、予め決定した第１の時間区間の間の前記ミラーリングされた少なくとも一つのパケットに基づいて人工神経網を学習させて、前記学習された人工神経網を用いて、モニタリング時点に前記スイッチング装置からミラーリングされた少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、前記ネットワークに対する異常徴候の発生可否を検出するプロセッサとを含むことができる。

【0051】

前述した問題点を解決するための本発明の別の実施例にかかる異常徴候検出システムは、ネットワークに対する異常徴候の発生可否を検出するネットワーク異常徴候 検出システムであって、第１のエンティティ（ｅｎｔｉｔｙ）と；第２のエンティティと；前記第１のエンティティと第２のエンティティとの間に備えられるスイッチング装置と；前記スイッチング装置と連結され、予め決定した第１の時間区間の間、前記スイッチング装置からミラーリングすることに基づいて、前記第１のエンティティと前記第２のエンティティとの間に送受信される少なくとも一つのパケットに対する、ミラーリングされた少なくとも一つのパケットを獲得し、予め決定した第１の時間区間の間の前記ミラーリングされた少なくとも一つのパケットに基づいて人工神経網を学習させて、前記学習された人工神経網を用いて、モニタリング時点に前記スイッチング装置からミラーリングされた少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、前記ネットワークに対する異常徴候の発生可否を検出する、異常徴候検出装置を含むことができる。

【0052】

前述した問題点を解決するための本発明の別の実施例にかかるコンピュータ読取可能な保存媒体は、第１のエンティティ（ｅｎｔｉｔｙ）と第２のエンティティ、前記第１のエンティティ及び第２のエンティティの間に備えられるスイッチング装置、並びに前記スイッチング装置と連結されるコンピューティングデバイスを含むネットワークで、前記コンピューティングデバイスのプロセッサにより実行可能なコマンドが保存されたコンピュータ読取可能な保存媒体であって、前記コマンドは、前記プロセッサにより実行されたとき、前記プロセッサをして、予め決定した第１の時間区間の間、前記スイッチング装置からミラーリングすることに基づき、前記第１のエンティティと前記第２のエンティティとの間に送受信される少なくとも一つのパケットに対する、ミラーリングされた少なくとも一つのパケットを獲得し；予め決定した第１の時間区間の間の前記ミラーリングされた少なくとも一つのパケットに基づいて人工神経網を学習させて；且つ前記学習された人工神経網を用いて、モニタリング時点に前記スイッチング装置からミラーリングされた少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、前記ネットワークに対する異常徴候の発生可否を検出するように構成されることができる。

【0053】

前述した問題点を解決するための本発明の一実施例にかかるネットワークモニタリング方法は、第１のエンティティ（ｅｎｔｉｔｙ）と第２のエンティティ、前記第１のエンティティ及び第２のエンティティの間に備えられるスイッチング装置、並びに前記スイッチング装置と連結されるネットワークモニタリング装置を含むネットワークに対するエッジコンピューティングベースのネットワークモニタリング方法であって、前記第２のエンティティは、プロセッサを備え、エッジコンピューティング（Ｅｄｇｅ ｃｏｍｐｕｔｉｎｇ）を行うか、プロセッサを備えるエッジコンピューティング装置を経由して前記スイッチング装置に連結され、前記方法は、前記ネットワークモニタリング装置が、前記スイッチング装置からミラーリングすることに基づき、前記第１のエンティティと前記第２のエンティティとの間に送受信される少なくとも一つのパケットに対する、ミラーリングされた少なくとも一つのパケットを獲得するステップと；前記ネットワークモニタリング装置が、前記ミラーリングされた少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、前記第１のエンティティと前記第２のエンティティと関連したネットワークに対するセキュリティ問題の発生可否を決定するステップと；前記第２のエンティティ又は前記エッジコンピューティング装置が、前記ネットワークモニタリング装置と並列的に、前記第２のエンティティに受信されるか、前記第２のエンティティで送信される少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、前記第１のエンティティと前記第２のエンティティと関連したネットワークに対するセキュリティ問題の発生可否を決定するステップとを含むことができる。

【0054】

一側面にかかると、前記第１のエンティティは、サーバを含み、前記第２のエンティティは、クライアント（Ｃｌｉｅｎｔ）端末を含むことができる。

【0055】

一側面にかかると、前記クライアント端末は、モノのインターネット（ＩｏＴ）装置を含むことができる。

【0056】

一側面にかかると、前記第１のエンティティは、ネットワークビデオレコーダー（Ｎｅｔｗｏｒｋ Ｖｉｄｅｏ Ｒｅｃｏｒｄｅｒ、ＮＶＲ）を含み、前記第２のエンティティは、ＩＰカメラを含むことができる。

【0057】

一側面にかかると、前記第２のエンティティ又は前記エッジコンピューティング装置が前記セキュリティ問題の発生可否を決定するステップは、前記第２のエンティティ又は前記エッジコンピューティング装置のシステム状態及びログ（Ｌｏｇ）情報のうち少なくとも一つに基づいてセキュリティ問題の発生可否を決定するステップを含むことができる。

【0058】

一側面にかかると、前記第２のエンティティ又は前記エッジコンピューティング装置が前記セキュリティ問題の発生可否を決定するステップは、前記第２のエンティティ又は前記エッジコンピューティング装置に送受信される少なくとも一つのパケットから獲得されたデータ送受信に関する情報を含むパケット（Ｐａｃｋｅｔ）情報に基づいてセキュリティ問題の発生可否を決定するステップをさらに含むことができる。

【0059】

一側面にかかると、前記システム状態及びログ（Ｌｏｇ）情報のうち少なくとも一つに基づいてセキュリティ問題の発生可否を決定するステップは、許容されないＩＰから前記第２のエンティティ又は前記エッジコンピューティング装置にログイン（Ｌｏｇｉｎ）の試みが発生したという決定、前記第２のエンティティ又は前記エッジコンピューティング装置で知られていないプロセスの動作が発生したという決定、前記第２のエンティティ又は前記エッジコンピューティング装置に予め決定された時間長の区間の間に予め決定された回数以上のログイン失敗が発生したという決定のうち少なくとも一つに基づいて、前記第２のエンティティ又は前記エッジコンピューティングデバイスにセキュリティ問題が発生したと決定するステップを含むことができる。

【0060】

一側面にかかると、前記第２のエンティティ又は前記エッジコンピューティング装置がセキュリティ問題が発生したと決定することに応答して、前記第２のエンティティ又は前記エッジコンピューティング装置が、前記スイッチング装置及びネットワークモニタリング装置のうち少なくとも一つにエッジ領域のセキュリティ警告情報を送信するステップをさらに含むことができる。

【0061】

一側面にかかると、前記ネットワークモニタリング装置が、前記ネットワークに対するセキュリティ問題が発生したと決定すること、又は前記第２のエンティティ又は前記エッジコンピューティング装置から直接又は前記スイッチング装置を経由して前記エッジ領域のセキュリティ警告情報を受信することに応答して、予め登録された、前記ネットワークの管理のための第１のアカウントのユーザ端末にセキュリティ警告情報を送信するステップをさらに含むことができる。

【0062】

一側面にかかると、前記ネットワークモニタリング装置が前記セキュリティ問題の発生可否を決定するステップは、クラスタリング（Ｃｌｕｓｔｅｒｉｎｇ）又は統計的（ｓｔａｔｉｓｔｉｃａｌ）技法を含む人工知能に基づく異常徴候検知（Ａｎｏｍａｌｙ ｄｅｔｅｃｔｉｏｎ）、パターン又は規則を用いるシグネチャー（Ｓｉｇｎｉｔｕｒｅ）ベース探知、パターン又は規則を用いる明細（Ｓｐｅｃｉｆｉｃａｔｉｏｎ）ベース探知のうち少なくとも一つに基づいて、前記セキュリティ問題の発生可否を決定することができる。

【0063】

一側面にかかると、前記ネットワークモニタリング装置が前記セキュリティ問題の発生可否を決定するステップは、前記ミラーリングされた少なくとも一つのパケットから獲得されたデータ送受信に関する情報に基づいてセキュリティ問題の発生可否を決定するステップと；複数のミラーリングされたパケットから獲得された統計情報に基づいてセキュリティ問題の発生可否を決定するステップと；前記第１のエンティティ及び前記第２のエンティティのうち少なくとも一つに対する連結（Ｃｏｎｎｅｃｔ）が可能か否かを示すアライブ（Ａｌｉｖｅ）情報に基づいて、セキュリティ問題の発生可否を決定するステップとを含むことができる。

【0064】

一側面にかかると、前記データ送受信に関する情報に基づいてセキュリティ問題の発生可否を決定するステップは、少なくとも一つのパケットからの情報を含むパケット（Ｐａｃｋｅｔ）情報に基づいてセキュリティ問題の発生可否を決定するステップ；パケットのソース、目的地を用いてパケットのフロー（ｆｌｏｗ）に関する情報を含むトラフィック（Ｔｒａｆｆｉｃ）情報に基づいてセキュリティ問題の発生可否を決定するステップと；複数のパケットの送受信及びパケットのアプリケーションに関する情報を含むプロトコル（Ｐｒｏｔｏｃｏｌ）情報に基づいて、セキュリティ問題の発生可否を決定するステップとを含むことができる。

【0065】

一側面にかかると、前記パケット情報はＯＳＩ３階層及びＯＳＩ４階層のうち少なくとも一つから取得され、前記トラフィック情報はＯＳＩ４階層から取得され、前記プロトコル情報はＯＳＩ７階層から取得され、前記統計情報はＯＳＩ３階層、ＯＳＩ４階層及びＯＳＩ７階層のうち少なくとも一つから取得され、前記アライブ情報はＯＳＩ３階層及びＯＳＩ４階層のうち少なくとも一つから取得されることができる。

【0066】

一側面にかかると、前記パケット情報に基づいてセキュリティ問題の発生可否を決定するステップは、クラスタリングベース異常徴候検知及びシグネチャーベース探知のうち少なくとも一つを用いて、前記トラフィック情報に基づいてセキュリティ問題の発生可否を決定するステップは、クラスタリングベース異常徴候検知を用いて、前記プロトコル情報に基づいてセキュリティ問題の発生可否を決定するステップは、クラスタリングベース異常徴候検知及び明細ベース探知のうち少なくとも一つを用いて、前記統計情報に基づいてセキュリティ問題の発生可否を決定するステップは、統計的技法ベースの異常徴候検知を用いて、前記アライブ情報に基づいてセキュリティ問題の発生可否を決定するステップは、明細ベース探知を用いることができる。

【0067】

一側面にかかると、前記パケット情報に基づいてセキュリティ問題の発生可否を決定するステップは、予め決定した第１のソースＩＰから第１の目的地ＩＰまでの区間の接続の数が予め決定した臨界値以上という決定、予め決定した第１のＵＲＬに対する要請が予め決定した臨界値以上という決定、予め決定した第１のサーバのＢＰＳ（Ｂｉｔ Ｐｅｒ Ｓｅｃｏｎｄ）が予め決定した臨界値以上という決定、予め決定した第２のソースＩＰからのＰＰＳ（Ｐａｃｋｅｔ Ｐｅｒ Ｓｅｃｏｎｄ）が予め決定した臨界値以上という決定、予め決定した第３のソースＩＰからの同期信号（ＳＹＮ）パケットの数が予め決定した臨界値以上という決定、及び予め決定した第４のソースＩＰが予め決定した臨界値以上の数のサーバＩＰに同時に接続を試みるという決定のうち少なくとも一つに基づいて、前記ネットワークにセキュリティ問題が発生したと決定できる。

【0068】

一側面にかかると、前記トラフィック情報に基づいてセキュリティ問題の発生可否を決定するステップは、クラスタリング技法を用いてトラフィック分散グラフから予め決定した臨界値以上外れたトラフィックが発生したと決定することに応答して、前記ネットワークにセキュリティ問題が発生したと決定できる。

【0069】

一側面にかかると、前記プロトコル情報に基づいてセキュリティ問題の発生可否を決定するステップは、予め決定した第１のＩＰから予め決定した第１のＳＱＬ（Ｓｔｒｕｃｔｕｒｅｄ Ｑｕｅｒｙ Ｌａｎｇｕａｇｅ）に対して、予め決定した臨界値以上の要請が発生したという決定、ＨＴＴＰの要請が予め設定した基準値よりも少ない第５のソースＩＰから予め決定した臨界値以上のＨＴＴＰの要請が発生したという決定、及び予め決定した第２のサーバに対する予め決定した第２のＵＲＬに対する要請が予め決定した臨界値以上に発生したという決定、予め決定した時間長の区間の間に予め決定した第１の行動が予め決定した臨界値の回数以上に発生したという決定、４０４誤謬を発生するＵＲＬへの接続が予め決定した臨界値以上発生したという決定、予め決定した時間長の区間の間に臨界値の回数以上ログイン失敗が発生したという決定のうち少なくとも一つに基づいて、前記ネットワークにセキュリティ問題が発生したと決定できる。

【0070】

一側面にかかると、前記統計情報に基づいてセキュリティ問題の発生可否を決定するステップは、予め決定した第１の時刻区間の平均ＢＰＳが予め設定した日付以前の同一時刻区間の平均ＢＰＳよりも予め決定した臨界値以上に大きいという決定、予め決定した時間長の区間の間に接続がなかったクライアントＩＰからサーバ接続が発生したという決定、サーバの出力（Ｏｕｔｂｏｕｎｄ）ＢＰＳが予め設定された平均値よりも２倍以上高いという決定のうち少なくとも一つに基づいて、前記ネットワークにセキュリティ問題が発生したと決定できる。

【0071】

一側面にかかると、前記アライブ情報に基づいてセキュリティ問題の発生可否を決定するステップは、予め決定した臨界値の時間長の区間以上に前記第１のエンティティ又は第２のエンティティのうち少なくとも一つに接続ができないという決定、同期信号（ＳＹＮ）パケットに比べて応答信号（ＡＣＫ）パケットが予め決定した臨界値以上にさらに少なく発生するという決定、ＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）内にデバイスＩＰが存在しないという決定のうち少なくとも一つに基づいて、前記ネットワークにセキュリティ問題が発生したと決定できる。

【0072】

前述した問題点を解決するための本発明の別の実施例にかかるネットワークモニタリング方法は、第１のエンティティ（ｅｎｔｉｔｙ）と第２のエンティティ、前記第１のエンティティ及び第２のエンティティの間に備えられるスイッチング装置、並びに前記スイッチング装置と連結されるネットワークモニタリング装置を含むネットワークに対するエッジコンピューティングベースのネットワークモニタリング方法であって、前記第２のエンティティは、プロセッサを備え、エッジコンピューティング（Ｅｄｇｅ ｃｏｍｐｕｔｉｎｇ）を行うか、プロセッサを備えるエッジコンピューティング装置を経由して前記スイッチング装置に連結され、前記方法は、前記ネットワークモニタリング装置が前記ネットワークに対するセキュリティ問題の発生可否をモニタリングすることと並列的に、前記第２のエンティティ又は前記エッジコンピューティング装置が、前記第２のエンティティに受信されるか、前記第２のエンティティで送信される少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、前記第１のエンティティと前記第２のエンティティと関連したネットワークに対するセキュリティ問題の発生可否を決定するステップを含むことができる。

【0073】

前述した問題点を解決するための本発明の別の実施例にかかる第２のエンティティは、第１のエンティティ（ｅｎｔｉｔｙ）と第２のエンティティ、前記第１のエンティティ及び第２のエンティティの間に備えられるスイッチング装置を含むネットワークに含まれた、第２のエンティティであって、前記第２のエンティティは、前記第１のエンティティとパケットを送受信するための送受信部を含み、前記第２のエンティティは、プロセッサを備え、エッジコンピューティング（Ｅｄｇｅ ｃｏｍｐｕｔｉｎｇ）を行うか、プロセッサを備えるエッジコンピューティング装置を経由して前記スイッチング装置に連結され、前記プロセッサは、前記第２のエンティティに受信されるか、前記第２のエンティティで送信される少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、前記第１のエンティティと前記第２のエンティティと関連したネットワークに対するセキュリティ問題の発生可否を決定するように構成されることができる。

【0074】

前述した問題点を解決するための本発明の別の実施例にかかるネットワークモニタリングシステムは、ネットワークセキュリティ問題の発生可否を決定するネットワークモニタリングシステムであって、第１のエンティティ（ｅｎｔｉｔｙ）と第２のエンティティの間に備えられるスイッチング装置；前記スイッチング装置と連結され、前記スイッチング装置からミラーリングすることに基づき、前記第１のエンティティと前記第２のエンティティとの間に送受信される少なくとも一つのパケットに対する、ミラーリングされた少なくとも一つのパケットを獲得し、前記ミラーリングされた少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、前記第１のエンティティと前記第２のエンティティと関連したネットワークに対するセキュリティ問題の発生可否を決定する、ネットワークモニタリング装置と；プロセッサを備え、エッジコンピューティング（Ｅｄｇｅ ｃｏｍｐｕｔｉｎｇ）を行うか、プロセッサを備えるエッジコンピューティング装置を経由して前記スイッチング装置に連結される前記第２のエンティティとを含み、前記プロセッサは、前記第２のエンティティに受信されるか、前記第２のエンティティで送信される少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、前記第１のエンティティと前記第２のエンティティと関連したネットワークに対するセキュリティ問題の発生可否を決定するように構成されることができる。

【0075】

前述した問題点を解決するための本発明の別の実施例にかかるコンピュータ読取可能な保存媒体は、第１のエンティティ（ｅｎｔｉｔｙ）と第２のエンティティ、且つ前記第１のエンティティ及び第２のエンティティの間に備えられるスイッチング装置を含むネットワーク－ここで、前記第２のエンティティは、プロセッサを備えてエッジコンピューティング（Ｅｄｇｅ ｃｏｍｐｕｔｉｎｇ）を行うか、プロセッサを備えるエッジコンピューティング装置を経由して前記スイッチング装置に連結される－で前記プロセッサにより実行可能なコマンドが保存されたコンピュータ読取可能な保存媒体であって、前記コマンドは、前記プロセッサにより実行されたとき、前記プロセッサをして、前記第２のエンティティに受信されるか、前記第２のエンティティで送信される少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、前記第１のエンティティと前記第２のエンティティと関連したネットワークに対するセキュリティ問題の発生可否を決定するように構成されることができる。

【発明の効果】

【0076】

本発明の一実施例にかかるネットワークモニタリング装置又はネットワークモニタリング方法にかかると、ネットワークに含まれた複数のエンティティのうち少なくとも一つに対する性能及び／又はセキュリティモニタリングをより効率的且つ確実に行うことができる。また、リアルタイムの診断及び事後フォレンジクス診断を共に行うことができる。

【0077】

本発明の一側面にかかると、メインモニタリング装置だけでなく、複数のエンティティのうち少なくとも一部のモノのインターネットデバイスが性能及び／又はセキュリティ診断を少なくとも部分的に直接行うようにし、全体ネットワークに含まれたエンティティが多数存在する場合にも、効率的にネットワークに対するモニタリングを行うようにすることができる。

【図面の簡単な説明】

【0078】

【図1】従来のネットワークサービス管理を行う過程を説明するための概念図。

【図2】本発明の一実施例にかかるパケットミラーリング装置が含まれたシステムを示す概念図。

【図3】本発明の一実施例にかかるパケットミラーリング装置とネットワークの他の装置との連結構成を示すブロック図。

【図4】本発明の一実施例にかかるパケットミラーリング装置の各区間別の動作を説明するための概念図。

【図5】本発明の一実施例にかかるパケットミラーリング装置を具体的に示すブロック図。

【図6】本発明の一実施例にかかるパケットミラーリング装置のネットワーク性能診断方法を概略的に示すフローチャート。

【図7a】本発明の一実施例にかかるパケットミラーリング装置で算出されるユーザとサーバとの間のネットワークＲＴＴ（Ｒｏｕｎｄ Ｔｒｉｐ Ｔｉｍｅ）指標を示す概念図。

【図7b】本発明の一実施例にかかるパケットミラーリング装置で算出されるユーザとサーバとの間のネットワークＲＴＴ（Ｒｏｕｎｄ Ｔｒｉｐ Ｔｉｍｅ）指標を示す概念図。

【図8】本発明の一実施例にかかるパケットミラーリング装置で算出される遅延指標を示す概念図。

【図9】本発明の一実施例にかかるパケットミラーリング装置で算出されるサーバの応答待機セッション数の指標を示す概念図。

【図10】本発明の一実施例にかかるパケットミラーリング装置で算出されるＣＰＳ／ＴＰＳ（Ｃｏｎｎｅｃｔｉｏｎ Ｐｅｒ Ｓｅｃｏｎｄ／Ｔｒａｎｓａｃｔｉｏｎ Ｐｅｒ Ｓｅｃｏｎｄ）指標を示す概念図。

【図11】本発明の一実施例にかかるパケットミラーリング装置で算出される性能指標に基づいて生成されるフローマップ（Ｆｌｏｗ ｍａｐ）を示す図。

【図12】本発明の一実施例にかかるパケットミラーリング装置におけるネットワーク性能と関連した警告発生可否を判断する設定値の例示を示す表。

【図13】本発明の別の実施例にかかる複数個のパケットミラーリング装置のシステム連結関係を説明するための図。

【図14】本発明のまた別の実施例にかかる複数個のパケットミラーリング装置の連結関係によって互いに異なる機能を行う構成を示す図。

【図15】本発明の一実施例にかかるパケットミラーリング装置又は図５のサービスモジュールを具体的に示すブロック図。

【図16】本発明の一実施例にかかるネットワークモニタリングが適用できる第１のネットワークの概念図。

【図17】図１６の第１のネットワークに対する構成を示すブロック図。

【図18】本発明の一実施例にかかるネットワークモニタリングが適用できるクラウド網を含む第２のネットワークの概念図。

【図19】図１８の第２のネットワークに対する構成を示すブロック図。

【図20】本発明の一実施例にかかるネットワークモニタリング方法のフローチャート。

【図21】セキュリティ問題の発生可否の検知のための例示的な方法の分類図。

【図22】図２１の人工知能ベース異常徴候検知方法に対する詳細分類図。

【図23】本発明の一実施例にかかるセキュリティ問題の発生可否の決定メカニズムを示すフローチャート。

【図24】図２０のモニタリング装置によるセキュリティ問題の発生可否決定ステップの詳細なフローチャート。

【図25】図２４のデータ送受信に関する情報に基づいてセキュリティ問題の発生可否を決定するステップに対する詳細なフローチャート。

【図26】図２０の第２のエンティティによるセキュリティ問題の発生可否の決定ステップの詳細なフローチャート。

【図27】ＯＳＩ７階層によるセキュリティモニタリングの適用案の例示を示す表。

【図28】人工知能ベースのセキュリティモニタリング技法の適用案に対する概念図。

【図29】処理要素によるセキュリティモニタリングの案及び対象項目の例示を示す表。

【図30】処理要素によるセキュリティ検知の例示を示す表。

【図31】モニタリング装置及びエッジ領域の協業によるセキュリティ性を示す表。

【図32】アライブ（Ａｌｉｖｅ）情報のセキュリティアルゴリズムの例示を示す表。

【図33】本発明の一実施例にかかるネットワークモニタリング装置の例示的な構成を示すブロック図。

【図34】本発明の一実施例にかかる第２のエンティティの例示的な構成を示すブロック図である。

【図35】本発明の一実施例にかかる第２のエンティティによるネットワークモニタリングのための設定画面を示す。

【発明を実施するための形態】

【0079】

本発明は様々な変更を加え得、様々な実施例を有し得るので、特定の実施例を図面に例示して詳細に説明しようとする。

【0080】

しかし、これは、本発明を特定の実施形態に対して限定しようとするわけではなく、本発明の思想及び技術範囲に含まれる全ての変更、均等物乃至代替物を含むものと理解されるべきである。

【0081】

第１、第２などの用語は、様々な構成要素を説明するのに使用され得るが、前記構成要素は、前記用語により限定されてはならない。前記用語は、一つの構成要素を他の構成要素から区別する目的でのみ使用される。例えば、本発明の権利範囲を外れないながら、第１の構成要素は第２の構成要素と名付けられてもよく、同様に第２の構成要素も第１の構成要素と名付けられてもよい。及び／又はという用語は、複数の関連して記載された項目の組み合わせ、又は複数の関連して記載された項目のうちいずれかの項目を含む。

【0082】

ある構成要素が他の構成要素に「連結されて」いるか、「接続されて」いると言及された場合には、その他の構成要素に直接的に連結されていてもよく、又は接続されていてもよいが、中間に他の構成要素が存在していてもよいと理解されるべきである。反面、ある構成要素が他の構成要素に「直接連結されて」いるか、「直接接続されて」いると言及された場合には、中間に他の構成要素が存在しないと理解されるべきである。

【0083】

本出願で使用した用語は、単に特定の実施例を説明するために使用されたものであって、本発明を限定しようとする意図ではない。単数の表現は、文脈上明らかに異なる意味ではない限り、複数の表現を含む。本出願で、「含む」又は「有する」等の用語は、明細書上に記載された特徴、数字、段階、動作、構成要素、部品、又はこれらを組み合わせたものが存在するということを指定しようとするものであり、一つ又はそれ以上の異なる特徴や数字、段階、動作、構成要素、部品、又はこれらを組み合わせたものの存在又は付加の可能性を予め排除しないものと理解されるべきである。

【0084】

異なって定義されない限り、技術的又は科学的な擁護を含んでここで使用される全ての用語は、本発明が属する技術分野で通常の知識を有する者により一般的に理解されるものと同じ意味を有している。一般的に使用される辞典に定義されているような用語は、関連技術の文脈上有する意味と一致する意味を有するものと解釈されなければならず、本出願で明白に定義しない限り、理想的又は過度に形式的な意味と解釈されない。

【0085】

以下、添付した図面を参照し、本発明の好ましい実施例をより詳細に説明しようとする。本発明を説明するにあたって、全体的な理解を容易にするために、図面上の同一の構成要素については同一の参照符号を使用し、同一の構成要素について重複する説明は省略する。

【0086】

本明細書にわたって、エンティティ（ｅｎｔｉｔｙ）はネットワークと関連した各種装置を含み、これは、クライアント端末及び／又はサーバ装置、ネットワークに含まれたモノのインターネットデバイス、ネットワークビデオレコーダー（Ｎｅｔｗｏｒｋ Ｖｉｄｅｏ Ｒｅｃｏｄｅｒ、ＮＶＲ）、クラウド網を含む用語である。

【0087】

ユーザは、基本的にクライアント端末又はモノのインターネットデバイスのユーザを意味する。但し、場合に応じて、本発明の一実施例にかかるパケットミラーリング装置（以下、「ネットワーク性能診断装置」又は「ネットワークモニタリング装置」とも指称され得る）のユーザを意味することもある。ネットワークの運営者及び／又はネットワークの管理者は、パケットミラーリング装置と関連したネットワークを管理する者であって、パケットミラーリング装置のユーザを意味し得る。

【0088】

ネットワークの性能と関連した性能関連の指標を算出するネットワーク性能診断装置は、パケットミラーリング装置と呼ばれ得る。また、ネットワークサービスの前記性能関連の指標を視覚化する装置として実現化され得るので、ネットワーク性能指標視覚化装置と呼ばれ得る。さらに、ネットワークに新たに連携される個体を登録する装置として実現化され得るので、ネットワーク新規個体登録装置と呼ばれ得る。また、ネットワークの性能及び／又はセキュリティに対する診断を行うネットワークモニタリング装置と指称されることもある。

【0089】

また、ネットワークの性能という用語は、サーバ、通信網及びクライアントでの通信性能に関して、包括的に使用できる。さらに、ネットワークのセキュリティという用語は、異常徴候検知（Ａｎｏｍａｌｙ Ｄｅｔｅｃｔｉｏｎ）による検知、シグネチャー（Ｓｉｇｎａｔｕｒｅ）ベース検知、明細（Ｓｐｅｃｉｆｉｃａｔｉｏｎ）ベース検知によるセキュリティ要素のうち少なくとも一つ以上を含むことができる。また、本発明におけるセキュリティは、意図的な障害だけでなく、非意図的な障害原因を全て含む。従って、システム設計誤謬、システム動作誤謬、管理者のミスの検知がセキュリティモニタリングに含まれることができる。

【0090】

ネットワーク性能モニタリング
図２は、本発明の一実施例にかかるパケットミラーリング装置が含まれたシステムを示す概念図である。図２に示すように、本発明の一実施例にかかるパケットミラーリングシステムは、クライアント端末２１０－１～２１０－３、ネットワーク２２０、サーバ端２３０～２５０、及びパケットミラーリング装置２００を含むことができる。

【0091】

図２を参照すると、クライアント端末２１０－１～２１０－３は、ネットワーク２２０を介して特定のウェブサイト及び／又はウェブアプリケーションに接続する。このとき、接続は、前記ウェブサイト及び／又はウェブアプリケーションと関連したサーバ端２３０～２５０で行われる。クライアント端末２１０－１～２１０－３は、ウェブブラウザを介して、特定のウェブページに接続して、所望のページ又はアプリケーションの実行を要請する。前記要請は、ｈｔｍｌ文書のような静的なコンテンツだけでなく、動画、オーディオのようなマルチメディアコンテンツ、及び／又はその他の他のアプリケーションの実行を含むことができる。

【0092】

本発明の一実施例によると、クライアント端末２１０～２１０－３は、ユーザにより動作し、通信機能（インターネット接続及びウェブブラウザの実行機能を含む）及びデータ処理機能を含む任意の装置を含むことができる。クライアント端末２１０～２１０－３は、移動局（ＭＳ）、ユーザ装備（ＵＥ；Ｕｓｅｒ Ｅｑｕｉｐｍｅｎｔ）、ユーザ端末（ＵＴ；Ｕｓｅｒ Ｔｅｒｍｉｎａｌ）、無線端末、アクセス端末（ＡＴ）、端末、固定又は移動加入者ユニット（Ｓｕｂｓｃｒｉｂｅｒ Ｕｎｉｔ）、加入者ステーション（ＳＳ；Ｓｕｂｓｃｒｉｂｅｒ Ｓｔａｔｉｏｎ）、セルラー電話、無線機器（ｗｉｒｅｌｅｓｓ ｄｅｖｉｃｅ）、無線通信デバイス、無線送受信ユニット（ＷＴＲＵ；Ｗｉｒｅｌｅｓｓ Ｔｒａｎｓｍｉｔ／Ｒｅｃｅｉｖｅ Ｕｎｉｔ）、移動ノード、モバイル、モバイル局、個人携帯情報端末（ｐｅｒｓｏｎａｌ ｄｉｇｉｔａｌ ａｓｓｉｓｔａｎｔ；ＰＤＡ）、スマートフォン、ラップトップ、ネットブック、個人用コンピュータ、無線センサ、消費者電子機器（ＣＥ）、モノのインターネット（ＩｏＴ）デバイス又は他の用語として指称され得る。クライアント端末２１０－１～２１０－３の様々な実施例は、セルラー電話機、無線通信機能を有するスマートフォン、無線通信機能を有する個人携帯用端末機（ＰＤＡ）、無線モデム、無線通信機能を有する携帯用コンピュータ、無線通信機能を有するデジタルカメラのような撮影装置、無線通信機能を有するゲーミング装置、無線通信機能を有する音楽保存、並びに再生家電製品、無線インターネット接続及びブラウジングが可能なインターネット家電製品だけでなく、そのような機能の組み合わせを統合している携帯型ユニット又は端末機を含むことができるが、これに限定されるわけではない。

【0093】

各クライアント端末２１０－１～２１０－３は、ユーザの入力を受信するためのマウス及びキーボードのような入力装置、及びユーザがネットワーキングされた装置と相互作用するための制御ユーザインターフェースを提供するためのディスプレイを含むユーザ通信インターフェースを含むことができる。ユーザインターフェースは、ユーザに情報を提供するために、グラフィックユーザインターフェース（ＧＵＩ：Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）を含むことができる。

【0094】

ネットワーク２２０は、有線及び／又は無線ネットワークを含む。ネットワーク２２０は、インターネット（ｉｎｔｅｒｎｅｔ）を含むことができる。ネットワーク２２０は、多様に接続されたクライアント端末２１０－１～２１０－３とサーバ端２３０～２５０との間にデータを送信して受信するために、物理層（媒体）を提供するシリアルバスを含むことができる。ここで、シリアルバスは、１３９４シリアルバスを含むことができる。これは、時間－多重送信（Ｔｉｍｅ－ｍｕｌｔｉｐｌｅｘｅｄ）オーディオ／ビデオ（Ａ／Ｖ）ストリーム、及び標準ＩＰ（ＩＰ：Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）通信（例えば、ＩＥＴＦ ＲＥＣ ２７３４）を両方とも支援することができ、但し、必ずしもこれに限定されるわけではない。ネットワーク２２０は、非－１３９４ネットワーク（例えば、イーサネット等）も含むことができる。また、ネットワーク２２０は、ホームネットワークを含むこともできる。のみならず、ネットワーク２２０は、モノのインターネット（ＩｏＴ）の連結を支援する任意のネットワークであり得る。各クライアント端末２１０－１～２１０－３は、ネットワーク２２０で一つ以上のサーバ装置２３０～２５０と通信できる。

【0095】

サーバ端２３０～２５０は、ユーザにサービスを提供するためにネットワーク２２０資源を用いてユーザの要請に応答する。これは、情報（データ）のリターン（ｒｅｔｕｒｎ）を含む。また、機能の性能（例えば、機械的な機能）並びに状態のリターン、データストリーム及び状態のリターン、データストリームの収容及び状態のリターン、又は各種行為に対する状態の保存を含む。サーバ端２３０～２５０は、その自分のハードウェアの制御を実現化するために、オーダーメイド型、内蔵型、制御プログラムを含むことができる。

【0096】

サーバ端２３０～２５０は、特定のウェブサイト及び／又はウェブアプリケーションと関連し得、各ウェブサイト及び／又はウェブアプリケーションで行われる作業と関連した演算及び管理を行う。サーバ端２３０～２５０は、クライアント端末２１０－１～２１０－３及び他のサーバ２３０～２５０と相互作用できる。例示的なサービスは、ＭＰＥＧソーシング／シンキング（ｓｏｕｒｃｉｎｇ／ｓｉｎｋｉｎｇ）、及びディスプレイサービスを含むことができる。

【0097】

サーバ端２３０～２５０は、ネットワーク２２０を介して装置の命令及び制御のためのインターフェースを提供するインターフェースデータ（例えば、ＨＴＭＬ、ＸＭＬ、ジャバ、ジャバスクリプト、ＧＩＦ、ＪＰＥＧ、ＭＰＥＧ、グラフィック破裂又は意図した目的に使用される任意の他のフォーマット）のような情報を処理することができる。特定の実施例で、各サーバ２３０～２５０は、その装置の命令及び制御を提供する一つ以上のハイパーテキストマークアップランゲー（ＨＴＭＬ：Ｈｙｐｅｒｔｅｘｔ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）のような情報を処理することができる。サーバ端２３０～２５０は、ブラウザ技法を用いてＨＴＭＬページを示すインターネット標準を使用する。

【0098】

本発明の実施例にかかると、サーバ端２３０～２５０は、ウェブサーバ２３０、アプリサーバ２４０（ＡＰＰ ｓｅｒｖｅｒ）、及びデータベースサーバ２５０（ＤＢサーバ）を含むことができる。但し、必ずしもサーバ端が３つのサーバの組み合わせのみで構成されなければならないのではない。ウェブサーバ２３０のみ存在し、アプリサーバ２４０及びデータベースサーバ２５０は存在しないことも有効であり、又はアプリサーバ２４０の一つのみ構成されることも可能であり、その他様々な形態及び階層のサーバの組み合わせも可能である。

【0099】

ウェブサーバ２３０は、ウェブクライアント（Ｗｅｂｃｌｉｅｎｔ）に要請されたコンテンツを提供するサーバである。ウェブサーバ２３０は、静的なＨＴＭＬやＪＰＥＧ、ＧＩＦのようなイメージをＨＴＴＰプロトコルを介してウェブブラウザに提供できる。場合に応じて、ウェブサーバ２３０も、内部のアプリケーションを動作させることができるコンテナーを内蔵し得る。

【0100】

アプリサーバ２４０は、ＷＡＳ（Ｗｅｂ Ａｐｐｌｉｃａｔｉｏｎ Ｓｅｒｖｅｒ）サーバとも呼ばれ得、これは、クライアント／サーバ環境でトランザクションの処理及び管理と、アプリケーションの実行環境を提供するミドルウェアソフトウェアサーバを示す。典型的に、サーバ端２３０～２５０は、ウェブサーバ、アプリケーションサーバ、データベースの３階層のウェブコンピューティング環境で構築されることができるが、このとき、アプリサーバ２４０は、クライアント／サーバ環境のアプリケーションサーバのような役割をする。アプリサーバ２４０は、アプリケーションの実行環境とデータベースの接続機能を提供し、トランザクションを管理し、業務を処理するビジネスロジックを行い、他の機種のシステム間のアプリケーションの連動等を行う。

【0101】

本発明の実施例にかかると、ウェブサーバ２３０とＷＡＳ２４０の機能的分類を介して効果的な分散を誘導することができる。静的なデータは構造的に先に存在するウェブサーバ２３０で処理し、動的なデータは、後端のＷＡＳ２４０が処理できる。例えば、ユーザの要請に対して、静的データのＨＴＭＬやジャバスクリプトファイル、ＣＳＳ、イメージ等を前端のウェブサーバ２３０に位置させて処理することによって、ＷＡＳ２４０にサービスの要請が渡らないようにする。また、ウェブアプリケーションサービスを位置的に後側に存在するＷＡＳ２４０に渡すことによって、ＷＡＳ２４０はウェブアプリケーションの実行に集中できる。ウェブサーバ２３０で処理することとＷＡＳ２４０に渡されることを処理する方式は、ウェブサーバ２３０のコンフィギュレーション（Ｃｏｎｆｉｇｕｒａｔｉｏｎ）を介して処理できる。特定の拡張子やディレクトリ業務をＷＡＳ２４０に渡すか否かは、ウェブサーバ２３０で処理する。

【0102】

データベースサーバ２５０は、ウェブサーバ２３０及び／又はアプリサーバ２４０が取り扱う各種データが保存されているストレージである。データベースサーバ２５０は、ウェブサーバ２３０及び／又はアプリサーバ２４０が処理する作業、ウェブサイト、ウェブアプリケーションの性格に応じて、それと関連した膨大な量のデータが保存できる。これは、個人情報、機関情報、各種コンテンツ（例えば、マルチメディアコンテンツ）と関連したデータ等を含むことができる。

【0103】

パケットミラーリング装置２００は、ネットワーク２２０とウェブサーバ２３０との間、ウェブサーバ２３０とアプリサーバ２４０との間、及びアプリサーバ２４０とデータベースサーバ２５０との間のうち少なくとも一つに配置されることができる。パケットミラーリング装置２００は、ネットワーク２２０とウェブサーバ２３０との間、ウェブサーバ２３０とアプリサーバ２４０との間、及びアプリサーバ２４０とデータベースサーバ２５０との間のうち少なくとも一つに配置されたスイッチング装置（図示せず）と連結され、二つの個体間に送受信されるパケットをミラーリングしたパケットに基づいて、ネットワークサービスの性能を診断する。本発明の前記実施例にかかると、ミラーリングされたパケットは、実際に送受信されるパケット（実際に使用されるユーザトラフィック）に基づいて、コピーにより生成され得るので、ネットワークサービスの性能診断のために別途の人為的なテストパケットを生成する必要がない。特に、パケットミラーリング装置２００は、リアルタイムで全てのパケットに対するモニタリングが可能である。

【0104】

パケットミラーリング装置２００は、ミラーリングされたパケットに含まれた各種情報（例えば、ソースＩＤ（ｓｏｕｒｃｅ ｉｄ）、目的地ＩＤ（ｄｅｓｔｉｎａｔｉｏｎ ｉｄ）及び時間情報（ｔｉｍｅ）等）に基づいて、ネットワークサービスの性能を示す各種指標をリアルタイムで算出する。指標の算出は、トランザクション（ｔｒａｎｓａｃｔｉｏｎ）単位からなることができる。算出される指標は１２０種を超えることができ、これは、以下の図５を参照としてより詳細に説明する。パケットミラーリング装置２００は算出された指標に基づき、ある区間に速度遅延、待機遅延、トラフィック超過、エラー発生のような問題があるか否かを区間別に判断し、判断結果を運営者又は管理者が確認できるように視覚化する。即ち、エラー区間を迅速に把握し、これに基づいてエラー区間に対する対応が迅速に行われるようにする。このようなネットワークサービスの管理が一つのポイントで行われるに従って、従来多数の担当者に分担されて行われたＩＴ管理が効率的に進行されるようにし、一目で全ての区間のネットワークサービスの状態を示すことによって、直ちにエラーを確認することができるように支援し、これに対する対応が行われるようにする。

【0105】

さらに、パケットミラーリング装置２００は、ミラーリングされたパケットを分析し、悪意的なユーザからのアクセス（セキュリティイシュー関連）を追跡することができ、これに対する対応もリアルタイムで行われるようにする。

【0106】

本発明の前記実施例にかかると、パケットミラーリング装置２００は、前記スイッチング装置に連結されるので、サーバ端２３０～２５０に実質的に負荷を与えるエージェント（ａｇｅｎｔ）の設置を要求しないことがある。即ち、サーバ端２３０～２５０の作業速度を遅らせる等の負担を与えない。但し、本発明のパケットミラーリング装置２００が必ずしもハードウェア的に構成されなければならないのではなく、ソフトウェア的に、スイッチング装置やその他の装置に設置されて動作できる。

【0107】

図３は、本発明の一実施例にかかるパケットミラーリング装置とネットワークの他の装置との連結構成を示すブロック図である。

【0108】

図３を参照すると、インターネット３２０のようなネットワークにルータ３２２が連結されており、ルータ３２２はスイッチ３２４と連結され、クライアント端末（図示せず）の要請と関連したサーバ３３０－１～３３０－３に前記要請を送信し、サーバ３３０－１～３３０－３から要請に対する応答と関連した情報をクライアント端末に送信する。

【0109】

ルータ３２２又はルーティング機能を有する親機（図示せず）は、インターネット３２０を介してクライアント端末から送信されたパケットの位置及び受信先を抽出し、その位置に対する最適の経路を指定し、この経路に沿ってデータパケットをスイッチ３２４に転向させる。ルータ３２２はＩＰアドレスを識別し、データをスイッチ３２４へフォワーディングする。

【0110】

スイッチ３２４は、各サーバ３３０－１～３３０－３固有のＭＡＣアドレスを記憶しており、このアドレスを介してどのパケットがどこに送信されなければならないか判断し、ルータ３２２から提供されたパケットを該当サーバ３３０－１～３３０－３に送信する。スイッチ３２４はＯＳＩ２階層、ＯＳＩ３階層、ＯＳＩ４階層及び／又は他の階層（例えば、ＯＳＩ７階層）の役割をするスイッチを含む。例えば、経路を設定する機能を行うことができる。また、ロードバランシングやポートフォワーディング、ＱｏＳ等の機能を行うこともできる。スイッチ３２４は、ネットワークスイッチ、スイッチングハブ、ポートスイッチングハブ等と呼ばれ得る。

【0111】

パケットミラーリング装置３００は、スイッチ３２４と連結され、スイッチ３２４を介してサーバ３３０－１～３３０－３に提供されるほとんど全てのパケットをミラーリングして獲得する。パケットミラーリングは、即ち、パケットの複製又はキャプチャー（ｃａｐｔｕｒｅ）は、スイッチ３２４で行われることができる。場合に応じて、パケットミラーリング装置３００自体で行われることもある。スイッチ３２４は、サーバ３３０－１～３３０－３に提供されるパケットを複製した後、パケットミラーリング装置３００と連結されたポートを目的地ポート（ｄｅｓｔｉｎａｔｉｏｎ ｐｏｒｔ）に設定して、パケットミラーリング装置３００に提供できる。このとき、該当ポートを分析用途で指定して提供できる。

【0112】

図４は、本発明の一実施例にかかるパケットミラーリング装置の各区間別の動作を説明するための概念図である。

【0113】

図４を参照すると、図２及び図３で説明したように、クライアント端末４１０はインターネット４２０を介してパケットをサーバ端４３０、４４０、４５０に送信し、このとき、インターネット４２０とサーバ４３０との間にはルータ４２２及びスイッチ４２４が存在し、スイッチ４２４にパケットミラーリング装置４００が連結される。

【0114】

パケットミラーリング装置４００は、ミラーリングされたパケットを分析し、クライアント端末４１０でのユーザの体感遅延時間を確認することができる。また、インターネット４２０を介して、最初のサーバ４３０までのトラフィックと関連した情報を把握することができ、サーバ端４３０、４４０、４５０での応答待機時間（ｌａｔｅｎｃｙ）も確認できる。特に、サーバ端４３０、４４０、４５０の応答待機時間は各区間別に判断される。ウェブサーバ４３０とＷＡＳ４４０区間とＷＡＳ４４０とＤＢサーバ４５０の区間の応答待機時間は別に算出されて取り扱われる。ウェブ応答待機時間（Ｗｅｂ ｌａｔｅｎｃｙ）とアプリ応答待機時間（Ａｐｐ ｌａｔｅｎｃｙ）は別に算出されることができる。ここで、ウェブ応答待機時間は、静的ＵＲＬ（イメージ（ｇｉｆ、ｐｎｇ、ｊｐｇ等）、ｃｓｓ、ｊｓ、テキスト等）がウェブサーバ４３０からデータを受けるまでの応答遅延時間を示し、アプリ応答待機時間は、動的ＵＲＬ（Ｄｙｎａｍｉｃ ＵＲＬ）やポストＵＲＬ（ＰＯＳＴ ＵＲＬ）から生成されたページの一番目のパケットを受けるまでの応答遅延時間を意味する。アプリ応答待機時間は、クエリパラメータ（ｑｕｅｒｙ ｐａｒａｍｅｔｅｒ）が含まれた動的なコンテンツ、ＨＴＭＬ、ＡＳＰ、ＪＳＰ、ＰＨＰ等の動的コンテンツ（ｐａｇｅ）及び／又はＨＴＴＰ ＰＯＳＴメソッド（ｍｅｔｈｏｄ）を使用した呼出と関連し得る。即ち、これは、ＷＡＳサーバ４４０及び／又はＤＢサーバ４５０を経由してリターンされる作業と関連した応答待機時間を示す。

【0115】

まず、クライアント端末４１０におけるユーザの体感速度は、ページのローディング時間で把握される。これは、各主要なウェブページに対するユーザ別体感速度として分析されて視覚化される。即ち、特定のウェブページに接続するユーザが多数の場合、多数のユーザのユーザ環境別、及び／又は地域別の体感時間を把握することができる。ユーザ環境は、地域、クライアント端末に設置されたＯＳ、ウェブブラウザの種類、及び端末の種類別に異なって把握されることができる。また、地域別接続現況及び分布モニタリングの環境を提供することができる。このとき、地域別接続現況は、世界地域全体を対象とするグローバル地域現況と、国内地域を対象とするローカル地域現況とに区分して提供されることができる。

【0116】

サーバ４３０までのユーザ区間（ネットワーク区間）に対する実際のトラフィック発生現況は、ネットワークの往復到達時間（ＲＴＴ：Ｒｏｕｎｄ Ｔｒｉｐ Ｔｉｍｅ）で表現され得る。これは、ネットワークの所要時間とも呼ばれ得る。ここに、使用量に関して、秒当たりのデータ伝送速度を示すＢＰＳ（Ｂｉｔ Ｐｅｒ Ｓｅｃｏｎｄ）情報、秒当たり連結されるユーザの数を示すＵＰＳ（Ｕｓｅｒ Ｐｅｒ Ｓｅｃｏｎｄ）情報、秒当たり連結される新しいセッションの数を示すＣＰＳ（Ｃｏｎｎｅｃｔｉｏｎ Ｐｅｒ Ｓｅｃｏｎｄ）情報、及び秒当たり発生するトランザクションの数を示すＴＰＳ（Ｔｒａｎｓａｃｔｉｏｎ Ｐｅｒ Ｓｅｃｏｎｄ）情報の現況も把握可能である。また、ユーザアプリケーションをモニタリングすることができ、ユーザによる非正常行為も分析及び追跡可能である。このような性能関連の指標を介して、ネットワークトラフィックを占有しているアプリケーションを認知することができ、ユーザ、アプリケーション、及びネットワークの相関関係をモニタリングすることができる。

【0117】

さらに、パケットミラーリング装置４００は、各サーバ４３０、４４０、４５０間の応答遅延時間も把握可能である。即ち、サーバ区間別の応答品質指標を把握することができるが、ここには、サーバ別の応答遅延時間、サーバ別の応答待機セッションの数（ｗａｉｔ）及びアプリケーションＵＲＩ別の指標及び／又はＤＢサーバのクエリ（ＤＢ Ｑｕｅｒｙ）別の指標を把握することができる。

【0118】

図５は、本発明の一実施例にかかるパケットミラーリング装置を具体的に示すブロック図である。図５に示すように、本発明の一実施例にかかるパケットミラーリング装置５００は、ポート５１０、パケット分析モジュール５２０、サービスモジュール５３０、及びユーザインターフェース５４０を含むことができる。また、パケット分析データベース５２２、及びサービスデータベース５３２をさらに含むことができる。

【0119】

図５を参照すると、ポート５１０は少なくとも一つ以上備えられることができ、これは、スイッチ装置５２４－１、５２４－２、．．．と連結される。一つのポートは一つのスイッチ装置と連結されることができる。連結されたポートは、スイッチ装置５２４－１、５２４－２、．．．からミラーリングされたパケット情報を受信し、パケット分析モジュール５２０に前記ミラーリングされたパケットを送信する。

【0120】

パケット分析モジュール５２０は、ミラーリングされたパケットを収集し、実質的にパケットを分析する。これは、分析エンジン（ｅｎｇｉｎｅ）と呼ばれ得る。パケット分析モジュール５２０は、ミラーリングされたパケットで１次的にパケットのヘッダを分析する。これを介して、ＨＴＴＰパケットであるか、ＤＢと関連したパケットであるか、ＴＣＰと関連したパケットであるか区分する。即ち、どのプロトコルと関連したパケットであるか区分する。これを介して、「ＧＥＴ／ウェブアドレス／ＨＴＴＰ／１．１」のような要請情報をどのサーバに送信したか確認できる。パケット分析モジュール５２０は、このようなパケットヘッダ情報をパーシングして構文解釈する。「ＧＥＴ」は要請メッセージになり、「ウェブアドレス」は要請と関連したウェブアドレスを示す。そして、「ＨＴＴＰ／１．１」は、ＨＴＴＰ１．１バージョンであることを意味し、これ以外にパケットと関連した言語情報（例えば、ｋｏ－ｋｒ）も確認して保存できる。要請メソッドは、ＧＥＴ以外にも、ＰＯＳＴ、ＨＥＡＤ、ＰＵＴ、ＤＥＬＥＴＥ等が状況に応じて送信され得、パケット分析モジュール５２０をこのような情報を時間情報、関連ＩＰと共に保存する。

【0121】

パケット分析モジュール５２０は、それぞれのパケットのインデックスを付与し、付与されたインデックスに基づいて、どのパケットであるか、該当パケットであるＨＴＴＰベースの要請パケットであるか、それに対する応答パケットであるかを確認する。このとき、過去受信していたパケットから獲得した情報との比較分析も行われる。即ち、第１の個体から獲得された要請パケットが存在する場合、以降の第２の個体からそれに対する応答パケットが存在し得、このとき、時系列的な少なくとも二つ以上のパケット、第１の個体と第２の個体から送受信されるパケットに基づいて、一つのセッション確立、トランザクションのフローを分析することができる。

【0122】

また、パケット分析モジュール５２０は、クライアント端末がどのブラウザを使用しているか、ＨＯＳＴと関連した情報、以前のＵＲＬアドレス情報、ブラウザの支援言語情報をパーシングすることができる。このとき、ヘッダがどんな種類のヘッダ（ｇｅｎｅｒａｌ ｈｅａｄｅｒなのか、ｒｅｑｕｅｓｔ ｈｅａｄｅｒなのか、ｅｎｔｉｔｙ ｈｅａｄｅｒなのか）なのか分析でき、ヘッダとペイロードの境界線を示す情報をパーシングすることができる。

【0123】

それから、パケット分析モジュール５２０は２次的に、ミラーリングされたパケットのＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）（又はＵＲＩ（ｕｎｉｆｏｒｍ ｒｅｓｏｕｒｃｅ ｉｄｅｎｔｉｆｉｅｒ））、ソースＩＰ（Ｓｏｕｒｃｅ＿ｉｐ）、目的地ＩＰ（Ｄｅｓｔ＿ｉｐ）及び時間情報を分析する。ここで、ＵＲＬ値を確認すると、「ｈｔｔｐｓ：／／ｗｗｗ．ｇｏｏｇｌｅ．ｃｏ．ｋｒ／？ｇｗｓ＿ｒｄ＝ｓｓｌ」のように、どのアドレスにリダイレクト（ｒｅｄｉｒｅｃｔ）させてくれるパケットなのか確認できる。また、ソースＩＰは、クライアント端末のＩＰアドレスを、目的地ＩＰは要請の最終目的地のサイトと関連したサーバのＩＰを示すことができる。応答パケットの場合、反対の情報を示すことができる。時間情報はタイムスタンプの形式で提供できる。これ以外に、全パケットの長さ情報（ｌｅｎｇｔｈ）も確認できる。

【0124】

パケット分析モジュール５２０は、それぞれのプロトコル、例えば、ＨＴＴＰ、ＩＰ、ＵＤＰ、ＴＣＰ、ＤＮＳ等様々なプロトコルに対応したパケット分析アルゴリズムを含んでおり、各プロトコルに合わせて適応的にパケットからＵＲＬ、ソースＩＰ、目的地ＩＰ及び時間情報を抽出して分析に用いることができる。

【0125】

このように２次分析で抽出されたパケット関連の情報に基づいて、１トランザクション当たり約１２０個要素の性能指標情報を生成することができる。好ましくは、１秒に１０，０００個のトランザクションを分析する。それから、前記抽出されたパケット関連の情報及びトランザクション当たり生成された１２０個余りの性能指標情報をデータベース５２２に保存する。以下、ミラーリングされたパケットのパケット関連の情報に基づいて生成される性能関連の指標をより詳細に説明する。

【0126】

パケット分析モジュール５２０は、トランザクション単位で、往復到達時間情報（ＲＴＴ情報）を算出する。即ち、データ信号の往復時間情報を算出する。ＲＴＴ情報の算出と関連したアルゴリズムは、以下の図７を通じてより詳細に説明する。

【0127】

そして、パケット分析モジュール５２０はセッション情報を生成する。これは、秒当たり確立されているソケットの数、即ち、切らずに連結されているソケットの数を示すことができる。、また、パケット分析モジュール５２０は、クライアントが要請を送り、特定サーバから応答を受ける前までかかった応答待機時間（Ｌａｔｅｎｃｙ）情報を算出する。これは、データベースをクエリするか、アプリケーションが行われるか、その他の作業をしながらかかる待機時間と見ることができる。

【0128】

パケット分析モジュール５２０は、秒当たり送信又は受信されるビット（ｂｉｔ）の大きさを示すＢＰＳ情報、秒当たり送信又は受信されるパケットの数情報を示すＰＰＳ（Ｐａｃｋｅｔ Ｐｅｒ Ｓｅｃｏｎｄ）情報、秒当たり連結されるユーザの数（ＩＰ基準）を示すＵＰＳ情報を算出する。これは、１秒に何名のユーザが連結されているかを特定の目的地ＩＰに連結されるソースＩＰの数に基づいて算出できる。これ以外に、秒当たり連結される新しいセッションの数を示すＣＰＳ情報（１秒に何個のセッションが新たに連結されるかを示す）、秒当たり発生するトランザクションの数を示すＴＰＳ情報（１秒に何個のトランザクションが発生するかを示す）を算出する。また、パケット分析モジュール５２０は、秒当たり要請するＵＲＬの数を示すＨＰＳ（Ｈｉｔ Ｐｅｒ Ｓｅｃｏｎｄ）情報を算出する。このとき、パケット分析モジュール５２０は、サーバＨＰＳの場合、該当サーバで秒当たり何個のＵＲＬが要請されるかに基づいてＨＰＳを算出し、クライアントＨＰＳの場合、該当クライアントで秒当たり何個のＵＲＬが要請しているかに基づいてＨＰＳを算出する。そして、パケット分析モジュール５２０は、秒当たり連結されるサーバの数情報であるＳＰＳ（Ｓｅｒｖｅｒ Ｐｅｒ Ｓｅｃｏｎｄ）情報を算出する。これは、クライアントが１秒に何個のサーバに連結されているかを示す。

【0129】

これ以外に、パケット分析モジュール５２０は、応答待機セッションの数を示すｗａｉｔ情報を算出する。これは、クライアントが要請を送り、応答を受けていない状態のセッションの数であって、サーバのリアルタイムのセッションが１００個であるが、このうちＷａｉｔが１０であると、１００個のうち１０個のセッション（Ｓｅｓｓｉｏｎ）はまだ応答を受けていない状態であることを示す。

【0130】

さらに、パケット分析モジュール５２０は、ｃｌｉｅｎｔ＿ｉｐ、ｓｅｒｖｅｒ＿ｉｐ、ｃｌｉｅｎｔ＿ｐｏｒｔ、ｓｅｒｖｅｒ＿ｐｏｒｔ情報を生成する。これは、それぞれクライアントのＩＰ情報、サーバのＩＰ情報、クライアントのポート情報及びサーバのポート情報を示す。このとき、ｃｌｉｅｎｔ＿ｉｐ及びｓｅｒｖｅｒ＿ｉｐ情報は、ストリング（ｓｔｒｉｎｇ）を単位で使用し（例えば、２２２．１０３．１４１．１８７）、ｃｌｉｅｎｔ＿ｐｏｒｔ及びｓｅｒｖｅｒ＿ｐｏｒｔ情報は、ナンバ（ｎｕｍｂｅｒ）を単位で使用する（例えば、１２５４又は８０）。

【0131】

パケット分析モジュール５２０は、ｔｒａｎｓａｃｔｉｏｎ＿ｎｕｍｂｅｒ情報を算出することができる。ｔｒａｎｓａｃｔｉｏｎ＿ｎｕｍｂｅｒ情報は、セッションが結ばれた後に生成されたトランザクション番号である。セッションが結ばれた後、一番目のトランザクションである場合、１を示す。通常、セッションを一度結んだ後、多数個のトランザクションが発生するが、このたびに１ずつ数字を増やしながらインデクシングする。ブラウザで一ページを見る場合、ページ内の各コンポーネント（ｊｓ、ｃｓｓ、ｉｍａｇｅ等）を要請するとき、一セッションで多数のトランザクションを処理する場合に、トランザクション当たり１ずつ増加しながらインデクシングしてこれを区分することができる。例えば、８のｔｒａｎｓａｃｔｉｏｎ＿ｎｕｍｂｅｒ情報を有する場合、セッションが結ばれた後、８番目のＴｒａｎｓａｃｔｉｏｎであったことを示す。

【0132】

パケット分析モジュール５２０は、トランザクションの開始と終了に関して、ｓｔａｒｔ＿ｔｉｍｅ情報、ｓｔａｒｔ＿ｕｓｅｃ情報、ｅｎｄ＿ｔｉｍｅ情報、ｅｎｄ＿ｕｓｅｃ情報、ｆｉｎ＿ｔｉｍｅ情報、及びｆｉｎ＿ｕｓｅｃ情報を生成する。これは、ミラーリングされたパケットのソースｉｐ、目的地ＩＰ及びタイム情報に基づいて、同一のソース（クライアント）と目的地（例えば、サーバ）で一定の時間区間内で要請パケットを与え、それに関するデータを全て受信しているかに対する細部内訳を分析することによって獲得されることができる。

【0133】

ｓｔａｒｔ＿ｔｉｍｅ情報は、トランザクションの開始時間（年月日時分秒：例えば、２０１２－０７－１８ ２２：３３：０６）を、ｓｔａｒｔ＿ｕｓｅｃ情報はＴｒａｎｓａｃｔｉｏｎの開始時間（百万文の１秒）を示す。ｓｔａｒｔ＿ｕｓｅｃ情報は、前記ｓｔａｒｔ＿ｔｉｍｅと合わせて完成された時間になり得る（例えば、２０１２－０７－１８ ２２：３３：０６．２８８３７０）。

【0134】

ｅｎｄ＿ｔｉｍｅ情報は、トランザクションの終了時間を示す。即ち、データの終了（トランザクションの最後のＲｅｓｐｏｎｓｅ Ｄａｔａを受けた時間）を示す。例えば、２０１２－０７－１８ ２２：３３：１２で表現され得る。

【0135】

ｅｎｄ＿ｕｓｅｃ情報は、トランザクションの終了時間を百万文の１秒の単位で示したものである。

【0136】

ｆｉｎ＿ｔｉｍｅ情報は、トランザクションが終了した後、次のトランザクションが来たり、トランザクションが完了（Ｆｉｎを受ける）するか、タイムアウト（Ｔｉｍｅｏｕｔ）に終わったりして、完全に終了した時間を示す。例えば、２０１２－０７－１８ ２２：３５：２３で表現され得る。

【0137】

ｆｉｎ＿ｕｓｅｃ情報：トランザクションの完全終了時間を百万文の１秒の単位で示したものである。

【0138】

パケット分析モジュール５２０は、トランザクションの状態を「ｓｔａｔｅ」という情報名で保存する。これは、７つのナンバで表現され得、次の通りである。

【0139】

トランザクションの状態コード（Ｃｏｄｅ）

【0140】

１－ｓｅｓｓｉｏｎ＿ｆｉｎｉｓｈ：初期状態

【0141】

２－３ｗｈｓ＿ｓｙｎ＿ｓｅｎｔ：３ ｈａｎｄｓｈａｋｅの中、クライアントがｓｙｎを送った状態

【0142】

３－３ｗｈｓ＿ｓｙｎ＿ｒｅｃｅｉｖｅｄ：３ ｈａｎｄｓｈａｋｅの中、クライアントがｓｙｎ／ａｃｋを受けた状態

【0143】

４－３ｗｈｓ＿ａｃｋ＿ｒｅｃｅｉｖｅｄ：３ ｈａｎｄｓｈａｋｅの中、サーバがａｃｋを受けた状態

【0144】

５－ｓｅｓｓｉｏｎ＿ｃｏｎｎｅｃｔｅｄ：セッションが結ばれた状態

【0145】

６－ｓｅｓｓｉｏｎ＿ｒｅｑｕｅｓｔ：クライアントがＲｅｑｕｅｓｔ（要請）をした状態

【0146】

７－ｓｅｓｓｉｏｎ＿ｒｅｓｐｏｎｓｅ：サーバがＲｅｓｐｏｎｓｅ（応答）をした状態

【0147】

次に、トランザクションの結果を「ｒｅｓｕｌｔ」という情報名で保存する。これは、１１個のナンバで表現され得、次の通りである。

【0148】

トランザクションの結果コード

【0149】

１－ｔｒａｎｓ＿ｆｉｎｉｓｈ：一つのトランザクションが終わった状態

【0150】

２－ｃｌｉｅｎｔ＿ｆｉｎｉｓｈ：セッションをクライアントが終了した状態（Ｆｉｎｉｓｈ－ＦＩＮを送る）

【0151】

３－ｓｅｒｖｅｒ＿ｆｉｎｉｓｈ：セッションをサーバが終了した状態（Ｆｉｎｉｓｈ－ＦＩＮを送る）

【0152】

４－ｃｌｉｅｎｔ＿ｒｅｓｅｔ：セッションをクライアントが終了した状態（Ｒｅｓｅｔ－ＲＳＴを送る）

【0153】

５－ｓｅｒｖｅｒ＿ｒｅｓｅｔ：セッションをサーバが終了した状態（Ｒｅｓｅｔ－ＲＳＴを送る）

【0154】

６－ｃｌｉｅｎｔ＿ｔｉｍｅｏｕｔ：クライアントが要請を送る中、Ｔｉｍｅｏｕｔにかかって終了した状態

【0155】

７－ｓｅｒｖｅｒ＿ｔｉｍｅｏｕｔ：サーバが応答を送る中、Ｔｉｍｅｏｕｔにかかって終了した状態

【0156】

９－ｓｅｓｓｉｏｎ＿ｅｒｒｏｒ：ＨＴＴＰセッション誤謬

【0157】

１０－ｒｅｑ＿ｐａｒｓｅｒ＿ｅｒｒｏｒ：ＨＴＴＰ Ｒｅｑｕｅｓｔ Ｈｅａｄｅｒ誤謬

【0158】

１１－ｒｓｐ＿ｐａｒｓｅｒ＿ｅｒｒｏｒ：ＨＴＴＰ Ｒｅｓｐｏｎｓｅ Ｈｅａｄｅｒ誤謬

【0159】

次に、パケット分析モジュール５２０は、トランザクションの応答遅延と関連した時間情報を算出する。これは、ｔｒａｎ＿ｌａｔｅｎｃｙ、ｔｒａｎ＿ｒｓｐ＿ｔｉｍｅ、ｕｓｅｄ＿ｔｉｍｅ、及びｆｉｎ＿ｕｓｅｄ＿ｔｉｍｅ情報を含む。

【0160】

ｔｒａｎ＿ｌａｔｅｎｃｙ情報は、トランザクションの応答待機時間を示す。これは、クライアントが要請を送った後、サーバから最初のデータを受けるまでの待機時間を示す。これは、百万文の１秒を単位とする。例えば、７６３２８値を有し得る。ｔｒａｎ＿ｒｓｐ＿ｔｉｍｅは、トランザクションの応答時間であって、応答データの送信時間を示す。即ち、サーバが応答データを送信した時間を示す。これもやはり、百万文の１秒を単位で使用する。ｕｓｅｄ＿ｔｉｍｅ情報は、トランザクションの全体使用時間であって、「Ｅｎｄ Ｔｉｍｅ－Ｓｔａｒｔ Ｔｉｍｅ」で算出できる。これは、クライアントとサーバとの間にセッションが結ばれ、クライアントの要請とサーバの応答まで全て終わるまでかかった時間を示す。ｆｉｎ＿ｕｓｅｄ＿ｔｉｍｅ情報は、トランザクションの完全終了までの使用時間であって、「Ｆｉｎ Ｔｉｍｅ－Ｓｔａｒｔ Ｔｉｍｅ」で算出される。

【0161】

パケット分析モジュール５２０は、ｓｅｓｓｉｏｎ＿ｒｅｑ＿ｐｋｔｓ、ｓｅｓｓｉｏｎ＿ｒｅｑ＿ｂｙｔｅｓ、ｓｅｓｓｉｏｎ＿ｒｓｐ＿ｐｋｔｓ、ｓｅｓｓｉｏｎ＿ｒｓｐ＿ｂｙｔｅｓ、ｓｅｓｓｉｏｎ＿ｂｐｓ、ｓｅｓｓ＿ｍａｘ＿ｂｐｓ、ｓｅｓｓｉｏｎ＿ｐｐｓ、ｓｅｓｓ＿ｍａｘ＿ｐｐｓ情報を算出する。

【0162】

ｓｅｓｓｉｏｎ＿ｒｅｑ＿ｐｋｔｓ情報は、トランザクションの要請データパケットの数を示し、これは、特定のクライアントが要請データとして送ったパケットの数に基づいて算出される。これは、ナンバを単位とする。ｓｅｓｓｉｏｎ＿ｒｅｑ＿ｂｙｔｅｓ情報は、トランザクションの要請データのバイトを示し、特定のクライアントが要請データとして送ったバイトの量に基づいて算出される。単位はｂｙｔｅである。ｓｅｓｓｉｏｎ＿ｒｓｐ＿ｐｋｔｓ情報は、トランザクションの応答パケットの数を示し、特定サーバがクライアントに送った応答データのパケットの数に基づいて算出される。ナンバを単位とする。ｓｅｓｓｉｏｎ＿ｒｓｐ＿ｂｙｔｅｓ情報は、トランザクションの応答データのバイトを示し、特定サーバが応答データとして送ったバイトの量に基づいて算出される。単位はｂｙｔｅである。ｓｅｓｓｉｏｎ＿ｂｐｓ情報は、セッションのリアルタイムのＢＰＳを示し、現在結ばれたセッションのＢＰＳに基づいて算出される。単位はナンバである。ｓｅｓｓｉｏｎ＿ｐｐｓ情報は、セッションのリアルタイムのＰＰＳを示し、現在結ばれたセッションのＰＰＳに基づいて算出される。単位はナンバである。ｓｅｓｓ＿ｍａｘ＿ｐｐｓ情報は、セッションの最大のＰＰＳを示し、該当セッションが使用される期間中の最大のＰＰＳに基づいて算出される。単位はナンバである。

【0163】

次に、パケット分析モジュール５２０は、ｄｏｍａｉｎ、ｕｒｌ、ｍｅｔｈｏｄ、及びｒｅｓｐｏｎｓｅ＿ｃｏｄｅ＿ｎｕｍｂｅｒの情報を生成する。

【0164】

ｄｏｍａｉｎ情報は、クライアントが要請したＵｒｌのうちドメインと関連した情報を示す。これはストリングを単位とする。例えば、「ｗｗｗ．ｌｇｍｏｂｉｌｅ．ｃｏ．ｋｒ」のような情報を示す。

【0165】

ｕｒｌ情報は、クライアントが要請したＵｒｌであって、「／ｊｓｐ／ｆｒｏｎｔ／ｓｅａｒｃｈ／ｉｎｃｌｕｄｅ／ａｋｃ．ｊｓｐ」のような情報を示す。単位はストリングである。

【0166】

ｍｅｔｈｏｄ情報は、要請メソッド（ＰＯＳＴ、ＧＥＴ、ＨＥＡＤ、ＰＵＴ．．．）の種類であって、クライアントが要請した要請メソッドのタイプを示す。単位はストリングである。

【0167】

ｒｅｓｐｏｎｓｅ＿ｃｏｄｅ＿ｎｕｍｂｅｒ情報は、応答結果であって、ＨＴＴＰ状態コードで示す。例えば、サーバが応答したＲｅｓｐｏｎｓｅ Ｓｔａｔｕｓ Ｃｏｄｅとして「２００、３０４、４０４、５００…」のうち一つの値で表現され得る。単位はストリングである。

【0168】

パケット分析モジュール５２０は、特定のｕｒｌと関連して、ｕｓｅｒｓ、ｍａｘ＿ｕｓｅｒｓ、ｓｅｓｓｉｏｎｓ、ｍａｘ＿ｓｅｓｓｉｏｎｓ、ｗａｉｔ、ｍａｘ＿ｗａｉｔ、ｕｐｓ、ｍａｘ＿ｕｐｓ、ｃｐｓ、ｍａｘ＿ｃｐｓ、ｔｐｓ、ｍａｘ＿ｔｐｓ、ｌａｔｅｎｃｙ、ｍａｘ＿ｌａｔｅｎｃｙ、ｉｄｌｅ情報を算出する。

【0169】

ｕｓｅｒｓ情報は、該当Ｕｒｌのリアルタイムのユーザ（Ｃｌｉｅｎｔ ＩＰ基準）の数を示し、例えば、「／ｊｓｐ／ｆｒｏｎｔ／ｓｅａｒｃｈ／ｉｎｃｌｕｄｅ／ａｋｃ．ｊｓｐのリアルタイムのユーザの数」を示し得る。単位はナンバである。

【0170】

ｍａｘ＿ｕｓｅｒｓ情報は、Ｕｒｌが使用されている時間の間の該当Ｕｒｌの最大のユーザ数であって、例えば、「／ｊｓｐ／ｆｒｏｎｔ／ｓｅａｒｃｈ／ｉｎｃｌｕｄｅ／ａｋｃ．ｊｓｐの最大のユーザ数」を示す。単位はナンバである。

【0171】

ｓｅｓｓｉｏｎｓ情報は、該当Ｕｒｌのリアルタイムのセッションの数を示し、例えば、「／ｊｓｐ／ｆｒｏｎｔ／ｓｅａｒｃｈ／ｉｎｃｌｕｄｅ／ａｋｃ．ｊｓｐのリアルタイムのセッションの数」を示し得る。単位はナンバである。

【0172】

ｍａｘ＿ｓｅｓｓｉｏｎｓ情報は、Ｕｒｌが使用されている時間の間の該当Ｕｒｌの最大のセッションの数を示し、例えば、「／ｊｓｐ／ｆｒｏｎｔ／ｓｅａｒｃｈ／ｉｎｃｌｕｄｅ／ａｋｃ．ｊｓｐの最大のセッションの数」を示し得る。単位はナンバである。

【0173】

ｗａｉｔ情報は、該当ＵｒｌのリアルタイムのＷａｉｔの数であって、例えば、「ｊｓｐ／ｆｒｏｎｔ／ｓｅａｒｃｈ／ｉｎｃｌｕｄｅ／ａｋｃ．ｊｓｐのリアルタイムの応答待機セッションの数」を示し得る。単位はナンバである。

【0174】

ｍａｘ＿ｗａｉｔ情報は、Ｕｒｌが使用されている時間の間の該当Ｕｒｌの最大の応答待機セッションの数であって、例えば、「／ｊｓｐ／ｆｒｏｎｔ／ｓｅａｒｃｈ／ｉｎｃｌｕｄｅ／ａｋｃ．ｊｓｐの最大の応答待機セッションの数」を示し得る。単位はナンバである。

【0175】

ｕｐｓ情報は、該当ＵｒｌのリアルタイムのＵＰＳを示し、例えば、「／ｊｓｐ／ｆｒｏｎｔ／ｓｅａｒｃｈ／ｉｎｃｌｕｄｅ／ａｋｃ．ｊｓｐのリアルタイムのＵＰＳ」を示し得る。これは、「／ｊｓｐ／ｆｒｏｎｔ／ｓｅａｒｃｈ／ｉｎｃｌｕｄｅ／ａｋｃ．ｊｓｐに秒当たり連結されるユーザの数」を意味する。単位はナンバである。

【0176】

ｍａｘ＿ｕｐｓ情報は、該当ＵｒｌのＭａｘ ＵＰＳを示し、例えば、「／ｊｓｐ／ｆｒｏｎｔ／ｓｅａｒｃｈ／ｉｎｃｌｕｄｅ／ａｋｃ．ｊｓｐの最大のＵＰＳ」を示し得る。単位はナンバである。

【0177】

ｃｐｓ情報は、該当ＵｒｌのリアルタイムのＣＰＳを示し、例えば、「／ｊｓｐ／ｆｒｏｎｔ／ｓｅａｒｃｈ／ｉｎｃｌｕｄｅ／ａｋｃ．ｊｓｐのリアルタイムのＣＰＳ」を示し得る。これは、「／ｊｓｐ／ｆｒｏｎｔ／ｓｅａｒｃｈ／ｉｎｃｌｕｄｅ／ａｋｃ．ｊｓｐに秒当たり連結されるセッションの数」を意味する。単位はナンバである。

【0178】

ｍａｘ＿ｃｐｓ該当ＵｒｌのＭａｘ ＣＰＳを示し、例えば、「／ｊｓｐ／ｆｒｏｎｔ／ｓｅａｒｃｈ／ｉｎｃｌｕｄｅ／ａｋｃ．ｊｓｐの最大のＣＰＳ」示し得る。単位はナンバである。

【0179】

ｔｐｓ情報は、該当ＵｒｌのリアルタイムのＴＰＳを示し、例えば、「／ｊｓｐ／ｆｒｏｎｔ／ｓｅａｒｃｈ／ｉｎｃｌｕｄｅ／ａｋｃ．ｊｓｐのリアルタイムのＴＰＳ」を示し得る。これは、「／ｊｓｐ／ｆｒｏｎｔ／ｓｅａｒｃｈ／ｉｎｃｌｕｄｅ／ａｋｃ．ｊｓｐの秒当たり発生するトランザクションの数」を意味する。単位はナンバである。

【0180】

ｍａｘ＿ｔｐｓ情報は、該当ＵｒｌのＭａｘ ＴＰＳを示し、例えば、「／ｊｓｐ／ｆｒｏｎｔ／ｓｅａｒｃｈ／ｉｎｃｌｕｄｅ／ａｋｃ．ｊｓｐの最大のＴＰＳ」を示し得る。単位はナンバである。

【0181】

ｌａｔｅｎｃｙ情報は、該当ＵｒｌのＬａｔｅｎｃｙであって、例えば、「ｊｓｐ／ｆｒｏｎｔ／ｓｅａｒｃｈ／ｉｎｃｌｕｄｅ／ａｋｃ．ｊｓｐのリアルタイム Ｌａｔｅｎｃｙ（応答待機時間）」を示し得る。単位はナンバである。

【0182】

ｍａｘ＿ｌａｔｅｎｃｙ情報は、該当ＵｒｌのＭａｘ Ｌａｔｅｎｃｙを示し、例えば、「／ｊｓｐ／ｆｒｏｎｔ／ｓｅａｒｃｈ／ｉｎｃｌｕｄｅ／ａｋｃ．ｊｓｐの最大のＬａｔｅｎｃｙ（応答待機時間）」を示し得る。単位はナンバである。

【0183】

ｉｄｌｅ情報は、該当ＵｒｌのＩｄｌｅを示し、例えば、「／ｊｓｐ／ｆｒｏｎｔ／ｓｅａｒｃｈ／ｉｎｃｌｕｄｅ／ａｋｃ．ｊｓｐの要請がなかった時間」を示し得る。該当Ｕｒｌが多く使用されるＵｒｌである場合、Ｉｄｌｅは短くなり、逆に多く使用されないＵｒｌである場合、Ｉｄｌｅが長くなる。単位はナンバである。

【0184】

パケット分析モジュール５２０は、クライアントの要請パケット及びサーバからの応答パケットのヘッダを分析し、ｃｏｎｔｅｎｔ＿ｌｅｎ、ｍｉｍｅ、ｒｅｆｅｒｒｅｒｓ、ａｇｅｎｔ、ｃｏｏｋｉｅ情報を生成することができる。

【0185】

ｃｏｎｔｅｎｔ＿ｌｅｎ情報は、応答ヘッダのコンテンツの長さを示し、サーバが送った応答ＨＴＴＰヘッダの中に含まれたコンテンツの長さを示す。例えば、「／ｊｓｐ／ｆｒｏｎｔ／ｓｅａｒｃｈ／ｉｎｃｌｕｄｅ／ａｋｃ．ｊｓｐのｂｙｔｅ」を意味し得る。単位はストリングである。

【0186】

ｍｉｍｅ情報は、応答ヘッダのコンテンツタイプを示す。例えば、ｔｅｘｔ／ｈｔｍｌ等のうち一つであり得る。これは、サーバが送った応答ＨＴＴＰヘッダの中に含まれたコンテンツタイプの情報である。単位はストリングである。

【0187】

ｒｅｆｅｒｒｅｒｓ情報は、要請ヘッダのリファラ（Ｒｅｆｅｒｒｅｒ）を示し、クライアントが送った要請ＨＴＴＰヘッダの中に含まれたリファラ（Ｒｅｆｅｒｒｅｒ）を示す。例えば、「／ｊｓｐ／ｆｒｏｎｔ／ｓｅａｒｃｈ／ｉｎｃｌｕｄｅ／ａｋｃ．ｊｓｐのリファラは、ｈｔｔｐ：／／ｗｗｗ．ｌｇｍｏｂｉｌｅ．ｃｏ．ｋｒ／ｊｓｐ／ｆｒｏｎｔ／ｓｅａｒｃｈ／ｉｎｃｌｕｄｅ／ｍｉｎｉＡｋｃ．ｈｔｍｌである」のような意味で考慮され得る。単位はストリングである。

【0188】

ａｇｅｎｔ情報は、要請ヘッダのエージェント（Ａｇｅｎｔ）を示し、これは、クライアントが送った要請ＨＴＴＰヘッダの中に含まれたエージェントを示す。この情報は、ブラウザが含ませて送る場合が多く、ＯＳバージョン、ブラウザの種類、バージョン等の情報を含むことができる。

【0189】

ｃｏｏｋｉｅ情報は、要請ヘッダのクッキー（ｃｏｏｋｉｅ）を示し、クライアントが送った要請ＨＴＴＰヘッダの中に含まれたクッキーと関連した情報を含んでいる。

【0190】

パケット分析モジュール５２０は、特定サーバのネットワークサービスと関連した情報として、ｓｅｒｖｅｒ＿ｃｏｕｎｔｒｙｓ、ｓｅｒｖｅｒ＿ｍａｘ＿ｃｏｕｎｔｒｙｓ、ｓｅｒｖｅｒ＿ｅｒｒｏｒ、ｓｅｒｖｅｒ＿ｕｓｅｒ、ｓｅｒｖｅｒ＿ｍａｘ＿ｕｓｅｒ、ｓｅｒｖｅｒ＿ｓｅｓｓｉｏｎｓ、ｓｅｒｖｅｒ＿ｍａｘ＿ｓｅｓｓｉｏｎｓ、ｓｅｒｖｅｒ＿ｂｐｓ、ｓｅｒｖｅｒ＿ｍａｘ＿ｂｐｓ、ｓｅｒｖｅｒ＿ｐｐｓ、ｓｅｒｖｅｒ＿ｍａｘ＿ｐｐｓ、ｓｅｒｖｅｒ＿ｒｔｔ、ｓｅｒｖｅｒ＿ｍａｘ＿ｒｔｔ、ｓｅｒｖｅｒ＿ｕｐｓ、ｓｅｒｖｅｒ＿ｍａｘ＿ｕｐｓ、ｓｅｒｖｅｒ＿ｃｐｓ、ｓｅｒｖｅｒ＿ｍａｘ＿ｃｐｓ、ｓｅｒｖｅｒ＿ｔｐｓ、ｓｅｒｖｅｒ＿ｍａｘ＿ｔｐｓ、ｓｅｒｖｅｒ＿ｈｐｓ、ｓｅｒｖｅｒ＿ｍａｘ＿ｈｐｓ、ｓｅｒｖｅｒ＿ｗａｉｔ、ｓｅｒｖｅｒ＿ｍａｘ＿ｗａｉｔ、ｓｅｒｖｅｒ＿ｉｄｌｅの情報を生成することができる。

【0191】

ｓｅｒｖｅｒ＿ｃｏｕｎｔｒｙｓ情報は、該当サーバにおけるリアルタイムの国の数を示す。例えば、「２０３．２４７．１５７．１９９サーバに連結されたユーザのリアルタイムの国の数」を意味し得る。これに基づいて、２０３．２４７．１５７．１９９サーバには、現在二カ国が連結されているという事実が分析できる。

【0192】

ｓｅｒｖｅｒ＿ｍａｘ＿ｃｏｕｎｔｒｙｓ情報は、該当サーバのＭａｘ Ｃｏｕｎｔｒｙの数を示す。即ち、登録されたサーバの場合、Ｍａｘの基準は一日を示し得る。これは、ユーザの設定事項に変更可能である。例えば、「２０３．２４７．１５７．１９９サーバに連結された最大の国の数」を意味し得る。これを通じて、２０３．２４７．１５７．１９９サーバには、最大１０カ国で同時に連結されたことがあるという事実を分析できる。

【0193】

ｓｅｒｖｅｒ＿ｅｒｒｏｒ情報は、該当サーバのリアルタイムのエラー（４００、５００個のＲｅｓｐｏｎｓｅ Ｃｏｄｅ）の数を示す。例えば、２０３．２４７．１５７．１９９サーバが応答したＲｅｓｐｏｎｓｅ Ｓｔａｔｕｓ Ｃｏｄｅのうち４００～５９９までのユーザエラー及び／又はサーバエラーの数を示し得る。

【0194】

ｓｅｒｖｅｒ＿ｕｓｅｒ情報は、該当サーバのリアルタイムのユーザの数（ＣｌｉｅｎｔＩＰ基準）を示す。例えば、「２０３．２４７．１５７．１９９サーバのリアルタイムのユーザの数」を意味し得る。

【0195】

ｓｅｒｖｅｒ＿ｍａｘ＿ｕｓｅｒ情報は、該当サーバの最大のユーザの数を示す。ここで、登録されたサーバの場合、Ｍａｘの基準は一日であり得る。これは、ユーザの設定事項に変更可能である。例えば、これは「２０３．２４７．１５７．１９９サーバの最大のユーザの数」を示し得る。

【0196】

ｓｅｒｖｅｒ＿ｓｅｓｓｉｏｎｓ該当サーバのリアルタイムのセッションの数を示す。ｓｅｒｖｅｒ＿ｍａｘ＿ｓｅｓｓｉｏｎｓ情報は、該当サーバのＭａｘセッションの数を示す。ｓｅｒｖｅｒ＿ｂｐｓ情報は、該当サーバのリアルタイムのＢＰＳを示す。ｓｅｒｖｅｒ＿ｍａｘ＿ｂｐｓ情報は、該当サーバのＭａｘ ＢＰＳを示す。ｓｅｒｖｅｒ＿ｐｐｓ情報は、該当サーバのリアルタイムのＰＰＳを示す。ｓｅｒｖｅｒ＿ｍａｘ＿ｐｐｓ情報は、該当サーバのＭａｘ ＰＰＳを示す。

【0197】

ｓｅｒｖｅｒ＿ｒｔｔ情報は、該当サーバのリアルタイムのＲＴＴを示す。ｓｅｒｖｅｒ＿ｍａｘ＿ｒｔｔ情報は、該当サーバのＭａｘ ＲＴＴを示し、例えば、これは、「２０３．２４７．１５７．１９９サーバの最大の平均ＲＴＴ」で解決できる。ｓｅｒｖｅｒ＿ｒｔｔ情報及びｓｅｒｖｅｒ＿ｍａｘ＿ｒｔｔ情報の単位はｍｉｃｒｏ ｓｅｃである。

【0198】

ｓｅｒｖｅｒ＿ｕｐｓ情報は、該当サーバのリアルタイムのＵＰＳを示す。これは、「２０３．２４７．１５７．１９９サーバのリアルタイムのＵＰＳ」を示し得、これは、２０３．２４７．１５７．１９９サーバには秒当たり１名程度のユーザが連結されていることを意味する。

【0199】

ｓｅｒｖｅｒ＿ｍａｘ＿ｕｐｓ情報は、該当サーバのＭａｘ ＵＰＳを示す。

【0200】

ｓｅｒｖｅｒ＿ｃｐｓ情報は、該当サーバのリアルタイムのＣＰＳを示し、例えば、「２０３．２４７．１５７．１９９サーバのリアルタイムのＣＰＳ」を示し得る。これは、２０３．２４７．１５７．１９９サーバには秒当たり１５個程度のセッションが連結されていることを意味する。

【0201】

ｓｅｒｖｅｒ＿ｍａｘ＿ｃｐｓ情報は、該当サーバのＭａｘ ＣＰＳを示す。

【0202】

ｓｅｒｖｅｒ＿ｔｐｓ情報は、該当サーバのリアルタイムのＴＰＳを示し、例えば、「２０３．２４７．１５７．１９９サーバのリアルタイムのＴＰＳ」を示し得る。これは、２０３．２４７．１５７．１９９サーバには、秒当たり７９個程度のトランザクションが発生していることを示す。

【0203】

ｓｅｒｖｅｒ＿ｍａｘ＿ｔｐｓ情報は、該当サーバのＭａｘ ＴＰＳを示す。

【0204】

ｓｅｒｖｅｒ＿ｈｐｓ情報は、該当サーバのリアルタイムのＨＰＳを示す。例えば、「２０３．２４７．１５７．１９９サーバのリアルタイムのＨＰＳ」を示し得る。これは、２０３．２４７．１５７．１９９サーバｒには、秒当たり７９個程度のＵｒｌが要請されていることを意味する。

【0205】

ｓｅｒｖｅｒ＿ｍａｘ＿ｈｐｓ情報は、該当サーバのＭａｘ ＨＰＳを示す。

【0206】

ｓｅｒｖｅｒ＿ｗａｉｔ情報は、該当サーバのＷａｉｔの数を示す。例えば、「２０３．２４７．１５７．１９９サーバのリアルタイムのＷａｉｔの数」を示し得る。これは、２０３．２４７．１５７．１９９サーバには、現在２０６個のセッションのうち４６個のセッションが応答待機中であることを示し得る。

【0207】

ｓｅｒｖｅｒ＿ｍａｘ＿ｗａｉｔ情報は、該当サーバのＭａｘ Ｗａｉｔの数を示す。

【0208】

ｓｅｒｖｅｒ＿ｉｄｌｅ情報は、該当サーバのＩｄｌｅ Ｔｉｍｅを示す。例えば、「２０３．２４７．１５７．１９９サーバに要請がなかった時間」を示し得る。該当サーバが接続者が多い場合、Ｉｄｌｅは短くなり、接続者が小さい場合、Ｉｄｌｅが長くなる。単位はｍｉｃｒｏ ｓｅｃである。

【0209】

本発明の実施例にかかると、ｓｅｒｖｅｒ＿ｃｏｕｎｔｒｙｓ、ｓｅｒｖｅｒ＿ｍａｘ＿ｃｏｕｎｔｒｙｓ、ｓｅｒｖｅｒ＿ｅｒｒｏｒ、ｓｅｒｖｅｒ＿ｕｓｅｒ、ｓｅｒｖｅｒ＿ｍａｘ＿ｕｓｅｒ、ｓｅｒｖｅｒ＿ｓｅｓｓｉｏｎｓ、ｓｅｒｖｅｒ＿ｍａｘ＿ｓｅｓｓｉｏｎｓ、ｓｅｒｖｅｒ＿ｂｐｓ、ｓｅｒｖｅｒ＿ｍａｘ＿ｂｐｓ、ｓｅｒｖｅｒ＿ｐｐｓ、ｓｅｒｖｅｒ＿ｍａｘ＿ｐｐｓ、ｓｅｒｖｅｒ＿ｕｐｓ、ｓｅｒｖｅｒ＿ｍａｘ＿ｕｐｓ、ｓｅｒｖｅｒ＿ｃｐｓ、ｓｅｒｖｅｒ＿ｍａｘ＿ｃｐｓ、ｓｅｒｖｅｒ＿ｔｐｓ、ｓｅｒｖｅｒ＿ｍａｘ＿ｔｐｓ、ｓｅｒｖｅｒ＿ｈｐｓ、ｓｅｒｖｅｒ＿ｍａｘ＿ｈｐｓ、ｓｅｒｖｅｒ＿ｗａｉｔ、及びｓｅｒｖｅｒ＿ｍａｘ＿ｗａｉｔ情報の単位はナンバである。

【0210】

パケット分析モジュール５２０は、特定のクライアントのネットワークサービスと関連した情報として、ｃｌｉｅｎｔ＿ｃｏｕｎｔｒｙ＿ｃｏｄｅ、ｃｌｉｅｎｔ＿ｅｒｒｏｒ、ｃｌｉｅｎｔ＿ｓｅｒｖｅｒｓ、ｃｌｉｅｎｔ＿ｍａｘ＿ｓｅｒｖｅｒｓ、ｃｌｉｅｎｔ＿ｓｅｓｓｉｏｎｓ、ｃｌｉｅｎｔ＿ｍａｘ＿ｓｅｓｓｉｏｎｓ、ｃｌｉｅｎｔ＿ｂｐｓ、ｃｌｉｅｎｔ＿ｍａｘ＿ｂｐｓ、ｃｌｉｅｎｔ＿ｐｐｓ、ｃｌｉｅｎｔ＿ｍａｘ＿ｐｐｓ、ｃｌｉｅｎｔ＿ｒｔｔ、ｃｌｉｅｎｔ＿ｍａｘ＿ｒｔｔ、ｃｌｉｅｎｔ＿ｓｐｓ、ｃｌｉｅｎｔ＿ｍａｘ＿ｓｐｓ、ｃｌｉｅｎｔ＿ｃｐｓ、ｃｌｉｅｎｔ＿ｍａｘ＿ｃｐｓ、ｃｌｉｅｎｔ＿ｔｐｓ、ｃｌｉｅｎｔ＿ｍａｘ＿ｔｐｓ、ｃｌｉｅｎｔ＿ｈｐｓ、ｃｌｉｅｎｔ＿ｍａｘ＿ｈｐｓ、ｃｌｉｅｎｔ＿ｗａｉｔ、ｃｌｉｅｎｔ＿ｍａｘ＿ｗａｉｔ、及びｃｌｉｅｎｔ＿ｉｄｌｅ情報を生成し得る。

【0211】

ｃｌｉｅｎｔ＿ｃｏｕｎｔｒｙ＿ｃｏｄｅ情報は、クライアントの国コード（ＫＲ．．）を示す。例えば、「２２２．１０３．１４１．１８７クライアントの国はＫＲ」を示し得る。

【0212】

ｃｌｉｅｎｔ＿ｅｒｒｏｒ情報は、クライアントのリアルタイムのエラー数を示す。例えば、「２２２．１０３．１４１．１８７ クライアントが要請したトランザクションのうち、Ｒｅｓｐｏｎｓｅ Ｓｔａｔｕｓ Ｃｏｄｅの４００～５９９までのエラー数」を示し得る。

【0213】

ｃｌｉｅｎｔ＿ｓｅｒｖｅｒｓ情報は、クライアントのリアルタイムのサーバ接続の数を示し、これは、現在のパケット分析モジュール５２０がモニタリング中であるサーバに基づいて算出される。例えば、「２２２．１０３．１４１．１８７ｃｌｉｅｎｔが現在接続中であるサーバの数」を示し得る。ｃｌｉｅｎｔ＿ｍａｘ＿ｓｅｒｖｅｒｓ情報は、クライアントの最大の同時サーバの数を示す。ｃｌｉｅｎｔ＿ｓｅｓｓｉｏｎｓ情報は、クライアントのリアルタイムセッションの数を示す。ｃｌｉｅｎｔ＿ｍａｘ＿ｓｅｓｓｉｏｎｓ情報は、クライアントの最大のセッションの数を示す。

【0214】

ｃｌｉｅｎｔ＿ｂｐｓ情報は、クライアントのリアルタイムのＢＰＳを示し、ｃｌｉｅｎｔ＿ｍａｘ＿ｂｐｓは、クライアントの最大のＢＰＳを示し、ｃｌｉｅｎｔ＿ｐｐｓ情報は、クライアントのリアルタイムのＰＰＳを示し、ｃｌｉｅｎｔ＿ｍａｘ＿ｐｐｓ情報は、クライアントの最大のＰＰＳを示す。

【0215】

ｃｌｉｅｎｔ＿ｒｔｔ情報は、クライアントのリアルタイムのＲＴＴを示し、ｃｌｉｅｎｔ＿ｍａｘ＿ｒｔｔ情報は、クライアントの最大のＲＴＴを示す。ｃｌｉｅｎｔ＿ｒｔｔ情報及びｃｌｉｅｎｔ＿ｍａｘ＿ｒｔｔ情報の単位はｍｉｃｒｏ ｓｅｃである。

【0216】

ｃｌｉｅｎｔ＿ｓｐｓ情報は、クライアントのリアルタイムのＳＰＳを示し、現在秒当たり何個のサーバに連結されているかを示す。ｃｌｉｅｎｔ＿ｍａｘ＿ｓｐｓ情報は、クライアントの最大のＳＰＳを示す。ｃｌｉｅｎｔ＿ｃｐｓ情報は、クライアントのリアルタイムのＣＰＳを示し、これは、秒当たり何個程度のセッションが連結されているかを示す。ｃｌｉｅｎｔ＿ｍａｘ＿ｃｐｓ情報は、クライアントの最大のＣＰＳを示す。ｃｌｉｅｎｔ＿ｔｐｓ情報は、クライアントのリアルタイムのＴＰＳを示し、これは、現在秒当たり何個程度のトランザクションが発生しているかを示す。ｃｌｉｅｎｔ＿ｍａｘ＿ｔｐｓ情報は、クライアントの最大のＴＰＳを示す。ｃｌｉｅｎｔ＿ｈｐｓ情報は、クライアントのリアルタイムのＨＰＳを示し、ｃｌｉｅｎｔ＿ｍａｘ＿ｈｐｓ情報は、クライアントの最大のＨＰＳを示す。

【0217】

ｃｌｉｅｎｔ＿ｗａｉｔ情報は、クライアントのリアルタイムのＷａｉｔの数を示し、現在特定のクライアントで応答待機中であるセッションの数を示す。ｃｌｉｅｎｔ＿ｍａｘ＿ｗａｉｔ情報は、クライアントの最大のＷａｉｔ数を示し、ｃｌｉｅｎｔ＿ｉｄｌｅ情報は、クライアントのリアルタイムのＩｄｌｅ Ｔｉｍｅを示し、これは、特定のクライアントで要請がなかった時間を示す。ｃｌｉｅｎｔ＿ｉｄｌｅ情報の単位はｍｉｃｒｏ ｓｅｃである。

【0218】

本発明の実施例にかかると、ｃｌｉｅｎｔ＿ｃｏｕｎｔｒｙ＿ｃｏｄｅ、ｃｌｉｅｎｔ＿ｅｒｒｏｒ、ｃｌｉｅｎｔ＿ｓｅｒｖｅｒｓ、ｃｌｉｅｎｔ＿ｍａｘ＿ｓｅｒｖｅｒｓ、ｃｌｉｅｎｔ＿ｓｅｓｓｉｏｎｓ、ｃｌｉｅｎｔ＿ｍａｘ＿ｓｅｓｓｉｏｎｓ、ｃｌｉｅｎｔ＿ｂｐｓ、ｃｌｉｅｎｔ＿ｍａｘ＿ｂｐｓ、ｃｌｉｅｎｔ＿ｐｐｓ、ｃｌｉｅｎｔ＿ｍａｘ＿ｐｐｓ、ｃｌｉｅｎｔ＿ｓｐｓ、ｃｌｉｅｎｔ＿ｍａｘ＿ｓｐｓ、ｃｌｉｅｎｔ＿ｃｐｓ、ｃｌｉｅｎｔ＿ｍａｘ＿ｃｐｓ、ｃｌｉｅｎｔ＿ｔｐｓ、ｃｌｉｅｎｔ＿ｍａｘ＿ｔｐｓ、ｃｌｉｅｎｔ＿ｈｐｓ、ｃｌｉｅｎｔ＿ｍａｘ＿ｈｐｓ、ｃｌｉｅｎｔ＿ｗａｉｔ、及びｃｌｉｅｎｔ＿ｍａｘ＿ｗａｉｔ情報の単位はナンバである。

【0219】

さらに、パケット分析モジュール５２０は、ｏｒｇ、ｃｉｔｙ＿ｉｄ、ｉｓｐ＿ｉｄ、ｏｓ＿ｉｄ、ｂｒｏｗｓｅｒ＿ｉｄ、ｍｏｂｉｌｅ＿ｉｄ、ｔｅｌｃｏｍ＿ｉｄ情報を生成し得る。

【0220】

ｏｒｇ情報は、ＩＰベースクライアントの組織を示す。例えば、「２２２．１０３．１４１．１８７ｃｌｉｅｎｔの組織」は、Ｋｏｒｅａ Ｔｅｌｅｃｏｍであることを示し得る。

【0221】

ｃｉｔｙ＿ｉｄ情報は、ＩＰベースクライアントのＣｉｔｙ Ｃｏｄｅを示し得る。例えば、「２２２．１０３．１４１．１８７ｃｌｉｅｎｔのＣｉｔｙ」はＳｅｏｕｌであることを示し得る。

【0222】

ｉｓｐ＿ｉｄ情報は、ＩＰベースクライアントのＩＳＰ Ｃｏｄｅを示す。例えば、「２２２．１０３．１４１．１８７ｃｌｉｅｎｔのＩＳＰ」は、Ｋｏｒｅａ Ｔｅｌｅｃｏｍであることを示し得る。

【0223】

ｏｓ＿ｉｄ情報は、クライアントのｃｌｉｅｎｔのＯＳ Ｃｏｄｅを示す。これを通じて、該当クライアントがＯＳとしてＷｉｎ ＸＰを使用するか、ｉＯＳを使用するか、アンドロイド（登録商標）を使用するかに対する情報を確認することができる。

【0224】

ｂｒｏｗｓｅｒ＿ｉｄは、クライアントのＢｒｏｗｓｅｒ Ｃｏｄｅを示す。これを通じて、該当クライアントがウェブブラウザとして、ｅｘｐｌｏｒｅｒを使用するか、ｃｈｒｏｍｅを使用するか、ＭＳＩＥ９を使用するかに対する情報を確認することができる。

【0225】

ｍｏｂｉｌｅ＿ｉｄ情報は、クライアントのＭｏｂｉｌｅ Ｃｏｄｅを示す。これは、クライアントの機器識別情報であって、サムスン、パンテック、アップル機器であるかに対する情報を示す。

【0226】

ｔｅｌｃｏｍ＿ｉｄ情報は、クライアントのＴｅｌＣｏｍ Ｃｏｄｅを示す。これは、クライアントの通信会社がＳＫＴであるか、ＫＴであるか、ＬＧＴであるかに対する情報を示す。

【0227】

前記した１２０個余りのパケットと関連したネットワークサービス性能関連の指標は、リアルタイムで生成され、データベース５２２に保存される。

【0228】

サービスモジュール５３０は、データベース５２２に保存された性能関連の指標に基づいて統計を出す。統計は、特定のサーバ単位から、特定のユーザ単位から、ＵＲＬ単位から、セッション単位から、特定地域に位置したサーバグループ、特定地域に位置したクライアントグループ単位から、及び／又はウェブページ単位からなることができる。サービスモジュール５３０は、予め設定された様々な形態の視覚化ツールを用いて、ユーザが直観的に現在のネットワークによるサービスの性能を把握できるように前記性能関連の指標を適切に視覚化する。視覚化は統計に基づいて行われる。即ち、特定の媒介と関連した指標を取り合わせて、意味ある形態のグラフ又はテーブルを生成することができる。例えば、特定のクライアント又はサーバと関連し、特定の時間帯に生成されたセッションのリストを生成するか、その際に発生したデータベースクエリに対するテーブルを生成する等の作業を行う。即ち、ネットワークサービスと関連した前記性能関連の指標は、該当パケットの時間情報（タイムスタンプ情報）と共に保存されるので、特定の時間帯のパケットフローをクライアント端末及びサーバ端との関係内で理解できるようにフローマップ（ｆｌｏｗ ｍａｐ）を生成することもできる。様々な統計及びそれによる視覚化方法は、以下の図面を通じてより詳細に説明する。

【0229】

サービスモジュール５３０は、ユーザからの入力に対応し、特定のグラフ又は特定のテーブル／リストを生成するためには、所望の時間又は所望の環境（例えば、特定のウェブブラウザタイプ又は特定のユーザ端末の種類（モバイルなのか、ＰＣなのか））のような基準（ｃｒｉｔｅｒｉａ）変数に基づいて検索及び照会することができる。サービスモジュール５３０は、選択された基準変数に基づいて、所望のデータを分類して適切な形態の視覚化情報を生成することができる。

【0230】

本発明の実施例にかかると、サービスモジュール５３０は、ネットワークサービスにおいて、問題になる部分を見つけて表示するアラーム機能を行うことができる。例えば、ｗａｉｔの数が臨界値以上である場合、該当区間の応答速度に問題があると判断し、該当区間に問題があることを視覚的に表示できる。問題発生による警告手段は、必ず視覚的に異なって表現すること以外にも、関連の担当者に既に保存された連絡先に文字メッセージを送信するか、ｅ－ｍａｉｌを送信する形態で実現化できる。これは、図１２を通じて、より詳細に説明する。

【0231】

サービスモジュール５３０で生成された各種統計データ、視覚化情報データ、視覚化ツールに関する情報、及びユーザにより設定される各種臨界値情報は、サービスデータベース５３２に保存され、ユーザインターフェース５４０を介してユーザが任意の加工された情報を要請するとき、それに対応する情報を返還することができる。

【0232】

ユーザインターフェース５４０は、運営者から各種入力を受けて、サービスモジュール５３０で生成したグラフ又はテーブルのような視覚化された情報を出力する装置を含む。これは、マウス、キーボード、タッチパッドのような入力手段と、モニター、タッチスクリーンのような出力手段とを含むことができる。ユーザは、サーバに対する情報（例えば、サーバ名、サーバＩＰ、関連したＵＲＬ、ポート、ソートナンバ（ｓｏｒｔ ｎｕｍｂｅｒ）、サーバの位置情報、処理可能なＩＰ領域等）と関連したデータベース、各種サーバ端の連結関係（リンク）と関連したフロー（ｆｌｏｗ）データベース及びユーザに出力するための視覚化ツール及び／又は視覚化と関連したメタデータを含むＵＸ／ＵＩデータベース情報を入力することができる。また、問題発生の判断のためのルールセット及びルールセットと関連した各種設定値を入力することができる。

【0233】

図６は、本発明の一実施例にかかるパケットミラーリング装置のネットワーク性能診断方法を概略的に示すフローチャートである。

【0234】

図６を参照すると、パケットミラーリング装置は、スイッチング装置からミラーリングされたパケットを獲得する（Ｓ６１０）。

【0235】

それから、ミラーリングされたパケットで、ソースＩＰ、目的地ＩＰ及び時間情報を抽出した後、各種性能関連の指標を算出する（Ｓ６２０）。性能関連の指標のうち一部は、トランザクション単位で算出されることもあり、特定の性能関連の指標は秒単位で算出されることもある。

【0236】

それから、パケットミラーリング装置で算出された性能関連の指標をローカルストレージ及び／又は外部のデータベースに保存できる（Ｓ６３０）。そして、算出された性能関連の指標に基づいて、クライアント端末のユーザ及び／又はネットワーク管理者が所望の統計情報を視覚化するために、各指標に対する統計を出し、所望の情報に対する検索及び照会結果を返還することができる。また、サービスと関連し、特定値以上の場合、ネットワーク上の問題と判断し、これを区間別に又はウェブサイト別に表示できる。

【0237】

図７ａ及び図７ｂは、本発明の一実施例にかかるパケットミラーリング装置で算出されるユーザとサーバとの間のネットワークＲＴＴ（Ｒｏｕｎｄ Ｔｒｉｐ Ｔｉｍｅ）指標を示す概念図である。

【0238】

図７ａを参照すると、パケットミラーリング装置は、ユーザとサーバとの間のネットワーク上のパケットの往復到達時間（ＲＴＴ）情報を算出する。このとき、パケットミラーリング装置は、クライアントとサーバとの間にあると仮定する。基本的な同期化のシナリオを仮定し、最初のクライアントが同期信号（ＳＹＮ）を送信し、サーバはこれを受信し、サーバは受信された同期信号に応答して同期信号と応答信号（ＡＣＫ）を共に送信し、クライアントはサーバからの信号に応答して応答信号（ＡＣＫ）を送信できる。このような３つの信号の送受信を３－ｗａｙ Ｈａｎｄｓｈａｋｅと呼び得る。

【0239】

このような信号送信シナリオで、パケットミラーリング装置はクライアントとサーバとの間にあるため、クライアントから出発し、実際のサーバに同期信号（ＳＹＮ）が到着する時間より早いＴ１時点に、パケットミラーリング装置にミラーリングされたパケットが到着する。そして、サーバからの同期信号及び応答信号は、クライアントの到着時点より早いＴ２時点に、パケットミラーリング装置に到着する。最後に、クライアントでの応答信号（ＡＣＫ）は、サーバでの到着時点より早いＴ３時点に、パケットミラーリング装置に到着する。

【0240】

このような関係で、パケットミラーリング装置は、３つのパケット送受信時点と関連し、Ｔ１乃至Ｔ３の時間情報を確保することができ、サーバでの到達時間で一定時間早い時点にシフトされたＲＴＴ値を「Ｔ３－Ｔ１」を用いて算出できる。これは、ネットワークＲＴＴと呼び得る。

【0241】

図７ｂを参照すると、ネットワークＲＴＴをより細分化し、サーバでのＲＴＴとクライアントでのＲＴＴとを区分して算出できる。サーバでのＲＴＴ（ｓＲＴＴ）は、一つのパケットに対してサーバ端で遅延される時間を示し、これは、「Ｔ２－Ｔ１」を用いて算出できる。

【0242】

また、クライアントでのＲＴＴ（ｃＲＴＴ）は、クライアントでのＲＴＴであって、「Ｔ３－Ｔ２」を用いて算出できる。

【0243】

本発明の一実施例にかかるパケットミラーリング装置は、前記した３つのＲＴＴ、ネットワークＲＴＴ、サーバＲＴＴ及び／又はクライアントＲＴＴをリアルタイムでトランザクション毎に算出して保存する。

【0244】

図８は、本発明の一実施例にかかるパケットミラーリング装置で算出される遅延指標を示す概念図である。

【0245】

図８を参照すると、パケットミラーリング装置は、様々な遅延指標を算出できる。このとき、パケットミラーリング装置は、クライアントとサーバとの間に存在し、クライアントは複数個の要請パケットをサーバに送信し、サーバは複数個の要請に対応し、複数個の応答パケットをクライアントに送信する実施例を仮定する。

【0246】

パケットミラーリング装置は、パケットミラーリング装置に最初のクライアントの要請パケットが到達したＴ１時間、最後のクライアントの要請パケットが到達したＴ２時間、サーバから最初の応答パケットが到達したＴ３時間、及びサーバから最後の応答パケットが到達したＴ４時間をミラーリングされたパケットの到着時間を介して獲得できる。

【0247】

このとき、遅延指標のうち要請送信時間（ｒｅｑｕｅｓｔ ｔｉｍｅ）情報は、クライアントからサーバへの複数個の要請を送信し始めた時間から、該当要請がサーバに到達した時間を示す。これと関連し、パケットミラーリング装置は、ｃＲＴＴを半分に分けた値を通じて、Ｔ１時点を基準に最初の要請パケットがクライアントから出発した時間が分かる。また、ｓＲＴＴを半分に分けた値を通じて、最後の要請パケットが実際のサーバに到達した時間が分かる。このような算術的な分析を通じて、「ｒｅｑｕｅｓｔ ｔｉｍｅ＝ｃＲＴＴ／２＋（Ｔ２－Ｔ１）＋ｓＲＴＴ／２」を用いて算出でき、一般的にｓＲＴＴ値は非常に小さい値であるので、ｃＲＴＴ／２＋（Ｔ２－Ｔ１）値と近似値で算出される。

【0248】

次に、応答待機時間（ｌａｔｅｎｃｙ）は、クライアントの要請と関連したＵＲＬから要請と関連したコンテンツ又はデータをサーバが受信するまでの応答遅延時間を示す。即ち、サーバはデータを受信してすぐにクライアントに送信を行うと見て、サーバが該当ＵＲＬから要請と関連した最初のデータを受信するまでの時間を示す。これは、結果、（Ｔ２－Ｔ３）からｓＲＴＴ値を引いた値で算出される。ここで、ｓＲＴＴ値を無視してもよい程度に小さい値であり得るので、「Ｔ２－Ｔ３」が応答待機時間になり得る。

【0249】

次に、応答データ送信時間（ｒｅｓｐｏｎｓｅ ｔｉｍｅ）は、サーバがクライアントに要請と関連したコンテンツを送信するのにかかる時間を示す。これは、「ｒｅｓｐｏｎｓｅ ｔｉｍｅ＝ｓＲＴＴ／２＋（Ｔ４－Ｔ３）＋ｃＲＴＴ／２」の数式を用いて算出される。ｓＲＴＴが非常に小さい値であることを考慮すると、これは、（Ｔ４－Ｔ３）＋ｃＲＴＴ／２値とほとんど一致する。

【0250】

クライアント側で要請を送信した後から要請と関連した全体応答データを受信するまでの利用時間（ｕｓｅｄ ｔｉｍｅ）を算出すると、これは、結果、要請送信時間と応答待機時間及び応答データ送信時間の和であるので、「ｕｓｅｄ ｔｉｍｅ＝（Ｔ４－Ｔ１）＋ｃＲＴＴ」を用いて算出される。

【0251】

図９は、本発明の一実施例にかかるパケットミラーリング装置で算出されるサーバ応答待機セッション数の指標を示す概念図である。

【0252】

図９を参照すると、サーバは複数個のクライアントから少なくとも一つの要請を処理するため、一つのサーバでも前記要請と関連し、複数個のセッションを処理する。このとき、サーバでの処理時間が長くなると、クライアントでの待機時間が長くなることになり、これは、クライアント装置のユーザをして忍耐心を要求することになる。従って、サーバでのこのような応答待機セッション数の情報は、かなり重要な意味を有する。

【0253】

応答待機セッションの数は、要請と関連した複数個のセッションのうちサーバでの処理を経て実際の応答データがクライアントに送信されたセッションを引いた残りのセッションの数で算出される。例えば、３つのセッションに対して１つのセッションに対する応答のみからなる場合、応答待機セッションの数、ｗａｉｔ＝３－１＝２として算出される。即ち、パケットミラーリング装置は、クライアントとサーバとの間に存在し、両者間に送受信される実際のパケットに対するミラーリングパケットを全て確保可能であるので、現在のサーバ内で処理中の応答待機セッションの数を明確に把握できる。

【0254】

本発明の実施例にかかると、サーバで特定の要請に対する処理が完了しているか否かは、ソースｉｐと目的地ｉｐに基づいて、特定のＵＲＬに対する要請に対する応答パケットがクライアントに送信されているかに基づいて確認できる。応答パケットの場合、要請パケットで示された前記特定のＵＲＬと関連していると共に、目的地ｉｐとソースｉｐが要請パケットと反対に含まれているか否かを確認することによって把握可能である。

【0255】

図１０は、本発明の一実施例にかかるパケットミラーリング装置で算出されるＣＰＳ／ＴＰＳ（Ｃｏｎｎｅｃｔｉｏｎ Ｐｅｒ Ｓｅｃｏｎｄ／Ｔｒａｎｓａｃｔｉｏｎ Ｐｅｒ Ｓｅｃｏｎｄ）の指標を示す概念図である。

【0256】

図１０を参照すると、一つのトランザクションは、クライアントとサーバとの間に少なくとも一つの要請と前記少なくとも一つの要請による少なくとも一つの応答データパケットを含む。図１０の実施例では、一つのＧＥＴ要請に対して３つの応答データパケットが一つのトランザクションをなしているが、これは、必ずしも１：３の関係を有さなければならないのではなく、要請パケットがより多く、該当要請パケットに対応の応答データパケットがより少ない関係を有してもよい。

【0257】

このようなトランザクションも、ネットワークサービスの速度及び遅延と関連して重要な意味を有する。よって、パケットミラーリング装置は、秒当たり新たに試みられるトランザクションの数を算出する。これは、ＴＰＳという。また、特定のクライアントと特定のサーバ間の連結の数、これをコネクション（ｃｏｎｎｅｃｔｉｏｎ）と呼び得るが、秒当たり新たに試みられるコネクションの数を算出する。これは、ＣＰＳという。

【0258】

これ以外にも、秒当たり連結されるユーザの数を示すＵＰＳ（Ｕｓｅｒ Ｐｅｒ Ｓｅｃｏｎｄ）情報及び特定のクライアント、特定のサーバ又は特定のセッションを介して秒当たり送受信されるデータの量を示すＢＰＳ情報も周期的に算出する。秒当たり送受信されるパケットの数を示すＰＰＳ情報、秒当たり要請するＵＲＬの数を示すＨＰＳ情報、及び秒当たり連結されるサーバの数を示すＳＰＳ情報もまた周期的に算出する。

【0259】

図７ａ乃至図１０の実施例で、パケットミラーリング装置がクライアントとサーバとの間に存在し、クライアントとサーバとの間でのネットワーク遅延と関連した各種指標を算出する実施例を例示に挙げたが、パケットミラーリング装置は、サーバ端の複数個のサーバ間に存在し、サーバ間の遅延を算出することもできる。例えば、ウェブサーバとＷＡＳサーバとの間に存在し、ウェブサーバとＷＡＳサーバとの間の遅延指標を算出でき、ＷＡＳサーバとＤＢサーバとの間に存在し、ＷＡＳサーバとＤＢサーバとの間の遅延指標を算出することもできる。また、複数個のパケットミラーリング装置が複数個のサーバを含むサーバ端内に配置され、各区間別の遅延指標を算出し、算出された遅延指標を互いに共有することによって、全サーバネットワーク内の区間別、サーバ別の遅延指標を総合して表示することもできる。

【0260】

本発明の別の実施例にかかると、一つのパケットミラーリング装置をクライアントとウェブサーバとの間のスイッチ、ウェブサーバとＷＡＳサーバとの間のスイッチ、及びＷＡＳサーバとＤＢサーバとの間のスイッチにそれぞれ連結し、一つのパケットミラーリング装置で複数個のサーバ区間での区間別及び／又はサーバ別の遅延指標を算出するようにできる。

【0261】

図１１は、本発明の一実施例にかかるパケットミラーリング装置で算出される性能指標に基づいて生成されるフローマップ（Ｆｌｏｗ ｍａｐ）を示す図である。

【0262】

図１１を参照すると、フローマップは、ユーザと少なくとも一つのサーバ、及びユーザとサーバとの間のリンク（セッションと関連する）で構成される。本実施例では、ユーザが３つのウェブサーバと連結され、３つのウェブサーバが３つのＷＡＳと連結され、３つのＷＡＳが一つのＤＢと連結されるシステムの構成を示す。

【0263】

本発明の実施例にかかると、パケットミラーリング装置の性能指標を視覚化する部分と関連して、パケットミラーリング装置は、ネットワーク性能指標の視覚化装置として実現化され、このとき、性能関連の指標は必ずしもミラーリングされたパケットに基づいて生成された指標を用いなければならないのではない。他の方式でパケットを獲得した後、獲得されたパケット内の情報に基づいて、前述した方式で性能関連の指標を算出した後、該当性能関連の指標をオブジェクト化し、後述するフローマップ、サーバリスト、ユーザリスト、ＵＲＬリスト、セッションリスト、及びウェブページ分析ページ等を生成することができる。

【0264】

まず、図１１の実施例において、パケットミラーリング装置は、算出された性能関連の指標に基づいて、各個体を含むネットワークのトラフィックフローを示すフローマップを生成することができる。前記フローマップの上端には、見たい時間区間を設定する部分が存在する。リアルタイムの設定をすると、現在時点のフローマップが再生される。過去の特定時点のネットワークサービスの性能を調べるために、過去時点のフローマップを再生することもできる。例えば、過去２０１７年１月２日１１：１１から２０１７年１月３日０１：３３までの区間を見たければ、ユーザは開始時間及び終了時間をそれぞれ設定し、それによって該当時点を基準に生成されたフローマップと関連したコンテンツを再生する。このとき、設定された開始時間と終了時間によってタイムバー（ｔｉｍｅ ｂａｒ）が生成され、生成されたタイムバーに対して、早い前進移動、早い後進移動、再生／停止等の制御を介して、所望の時点のフローマップを再生させることができる。このとき、各リンク、各ユーザ及び各サーバを介して示しようとする指標を選択することができる。例えば、応答待機時間（ｌａｔｅｎｃｙ）、応答待機セッション数の情報（ｗａｉｔ）、ＢＰＳ、ＣＰＳ、ＴＰＳ、ＵＰＳ等のうち少なくとも一つを含むことができる。また、各ユーザ及び各サーバにはＩＰアドレスと共に表示されるように選択できる。

【0265】

本発明の実施例にかかると、フローマップで、ユーザ及び各サーバは、前記で算出された性能関連の指標を表示する。このとき、性能関連の指標のうちネットワークの遅延及び／又は速度と関連した指標が使用できる。各性能関連の指標は、オブジェクト化され、特定の視覚化の空間上に表示される。ここで、オブジェクトはデータオブジェクトであって、フローマップ上に示されるように前記性能関連の指標をオブジェクト化したものである。例えば、応答待機速度又はＢＰＳのようなデータを含むことができる。各性能関連の指標は時間情報を含んでいるため、オブジェクトも時間情報を含むように実現化し、視覚化の空間にマッピングされることができる。視覚化空間は、オブジェクトを表示するディスプレイ空間を示し、視覚化空間内に複数個のオブジェクトが表現され得る。

【0266】

パケットミラーリング装置はフローマップを生成するにあたって、性能関連の指標がどの個体（例えば、クライアントであるか、サーバであるか、クライアントとサーバとの間のリンクであるか）と関連したものであるか判断し、どの性能関連の指標であるか識別した後、識別された性能関連の指標の内容（ＢＰＳであるか、応答待機セッションの数（ｗａｉｔ）であるか、応答待機速度（ｌａｔｅｎｃｙ）であるか）と前記性能関連の指標の個体に基づいて、視覚化空間上に予め定められたメタデータに合わせてフローマップを生成する。特に、一つの性能関連の指標は、一つのオブジェクトに対応し、指標毎にある視覚的形態をもって表現されるのが原則であるが、関連性の高い性能関連の指標（例えば、同じユーザの応答待機速度と応答待機セッションの数のような指標）は、一つの視覚的形態をもってオブジェクト化できる。即ち、一つのクライアントのアイコン上に二つのデータが一定の形式をもって共に表示され得る。サーバ端とリンクと関連した性能関連の指標も同様である。

【0267】

例えば、０．６３ｍｓのユーザの応答待機速度（ｌａｔｅｎｃｙ）のような遅延指標はオブジェクト化され、フローマップと関連した視覚化空間上に表現される。リンクは複数個の個体間の性能関連の指標のうち少なくとも一つに基づいてオブジェクト化される。サーバは、サーバと関連した性能関連の指標のうち少なくとも一つに基づいてオブジェクト化され、前記視覚化空間上に表現される。フローマップ上に表示される遅延指標は、必ずしも応答待機速度だけを含むわけではなく、本発明の一実施例にかかり生成される約１２０個余りの性能関連の指標のうち他の少なくとも一つの指標を表示し得る。このとき、表示される応答待機速度は現在の応答待機速度を示し得、複数個のリンクで複数個の応答待機速度が存在する場合、ユーザの設定に応じて最も早い応答待機速度、平均応答待機速度、及び／又は最も遅い応答待機速度を表示し得る。

【0268】

また、フローマップで、ユーザ及び各サーバと関連し、現在のユーザが関連している全体セッションの数の情報及び処理待機中のセッションの数の情報を「１／２０３」のような形態で表示し得る。

【0269】

本発明の実施例にかかると、ユーザは特定地域のユーザグループで表示され得る。例えば、一つの会社内のユーザは、一つの会社と関連したグループユーザで表示され得、このとき、関連したユーザの数を別途表記し得る。また、一つのグループ内でユーザを分類し、グループ１、グループ２等に分類できる。このとき、分類の基準は、管理者が直接設定してもよく、地域、組織及び／又はＩＰと関連した情報に基づいて自動分類してもよい。また、分類されたユーザに対する性能関連の指標は、別途処理され得る。別途処理の意味は、フローマップでのオブジェクト化の際、別途のオブジェクトに生成されることを意味し得る。即ち、会社員５０ののグループでグループ１は１５名であり、グループ２は３５名に分類され得、このとき、ユーザ１はグループ１の１５名の性能関連の指標を示し、グループ２は残り３５名の性能関連の指標に基づいてオブジェクト化され、フローマップに表示され得る。

【0270】

サーバの場合も、該当サーバに連結された全体セッションの数に対して処理完了せずに、現在処理中のセッション数の情報を「１／１２２」のように表示し得る。ここで、セッションと関連した情報は、ユーザの設定に応じてトランザクションと関連した情報及び／又はコネクション（又はリンク）と関連した情報等に変更して示し得る。即ち、前記パケットミラーリング装置で算出される１２０個余りの性能関連の指標を前記フローマップに適切に図示し得る。

【0271】

図１１の実施例において、それぞれのリンクはパケット送信と受信両端のセッションと関連している。リンクの中間に四角ボックスの形態でオブジェクト化されて表示される情報には、応答待機速度、応答待機セッションの数の情報、ＢＰＳ等のような遅延速度の指標が含まれ得る。例えば、ユーザと図１１の上端のホームページ＿ＷＥＢ１の場合、現在両個体間には特定のパケットに対して０．０３ｓの応答待機速度を示しており、１２２個のセッションが存在するが、殆ど処理され、現在１つのセッションのみが応答待機の状態であることを一目で分かる。また、４０１．４ｋのＢＰＳで早い速度でサービスが行われることが確認できる。

【0272】

これと反対に、図１１の下端のポータル行政＿ＷＥＢ１とユーザとの間には、１．３５ｓの応答待機速度で非常に遅い速度を示しており、現在０／６５の全体セッションに対して応答待機セッションの数の比率を示しており、２８．６１ｋと比較的低いＢＰＳを示している。従って、低い応答待機速度及びＢＰＳにより、該当リンクは、「区間遅延」と関連した警告表示がされている。警告表示は、該当リンクを示す線の色で区分する方法と、線の太さ、又は線の形態を異にする方法を通じて表現し得る。例えば、複数個の応答待機速度と関連した臨界値を設定し、設定された臨界値と現在の応答待機速度値とを比較し、状態を区分する。状態は、後述するルールセット（Ｒｕｌｅ ｓｅｔ）により決定されることができ、複数個の臨界値を介して複数個の区間に区分されることができる。例えば、「正常」、「警告」、「問題発生」等の状態に区分でき、臨界値との比較結果に基づいて状態を決定できる。決定された状態に対応する視覚的表現が存在し、該当状態は、前記対応する視覚的表現で表示され得る。例えば、最もよくない状態は、「問題発生」を示す赤色で、その次によくない状態については、「警告」を示す黄色で表現する方式を使用することもできる。即ち、複数個の臨界値に対応する複数個の区間別に互いに異なる視覚的表現が行われるようにすることができる。視覚的表現は、オブジェクトの色相、太さ、形態のうち少なくとも一つの変更を含む。特に、リンクと関連する状態において、「正常」の状態は黒い線で、「遅延」の状態は赤い線で、「ネットワーク問題」の状態は黒い点線で、「ネットワーク遅延」の状態は赤い点線で一目で直観的に運営者が理解できるように表示し得る。

【0273】

さらに、フローマップで、ウェブサーバは少なくとも一つのＷＡＳサーバと連携される。特に、上端の二つのウェブサーバ（ホームページ＿ＷＥＢ１及びホームページ＿ＷＥＢ２）は、二つのＷＡＳサーバ（ホームページ＿ＷＡＳ１及びホームページ＿ＷＡＳ２）と複数個のリンクを形成しながら連結される。即ち、ウェブサーバ（ホームページ＿ＷＥＢ１）も、二つのＷＡＳ（ホームページ＿ＷＡＳ１及びホームページ＿ＷＡＳ２）と連結され、ウェブサーバ（ホームページ＿ＷＥＢ２）も、前記二つのＷＡＳ（ホームページ＿ＷＡＳ１及びホームページ＿ＷＡＳ２）と連結される。よって、４つのリンクが生成され、４つのリンクに対してそれぞれ性能関連の指標を表示する。

【0274】

このような方式で、ユーザ－ウェブサーバの区間だけでなく、ウェブサーバ－ＷＡＳ区間とＷＡＳ－ＤＢ区間を表現し得、このような視覚的な表現により、ユーザは直観的に現在又は過去にネットワークサーバ上、どの区間にどのサーバに問題があるか把握できる。

【0275】

本発明の別の実施例にかかると、必ずしもユーザ－ウェブサーバ区間、ウェブサーバ－ＷＡＳ区間とＷＡＳ－ＤＢ区間の３つの区間で表現されなければならないのではなく、これよりも少ない一つの区間（例えば、ユーザ－サーバ区間）で表現されてもよく、ＤＢサーバ区間を複数個で階層化し、ＤＢスレーブ（ＤＢ ｓｌａｖｅ）、ＤＢマスター（ＤＢ ｍａｓｔｅｒ）及びＤＢエンド（ＤＢ ｅｎｄ）のように複数個で表現されてもよい。ウェブサーバやＷＡＳも同様である。このような全体的なフローマップの構成は、ユーザの設定（これは、メタデータとして保存されていることがある）を介して生成され得る。

【0276】

フローマップの生成と関連して、パケットミラーリング装置は中心になるユーザ（即ち、クライアント端末のＩＰ）に基づいて、前記ユーザの要請と関連したウェブサーバ、ＷＡＳサーバ、及びＤＢサーバをミラーリングされたパケット分析の内容に基づいて構成できる。即ち、ミラーリングされたパケット内に目的地ｉｐ及び／又はＵＲＬと関連したサーバ端をフローマップの構成要素として抽出し、抽出された各サーバのｉｐに基づいて、フローマップの連結関係を生成してこれを視覚化できる。又は中心になる特定のサーバを先に設定し、設定されたサーバに基づいてサーバに要請を送ったユーザと設定されたサーバと関連した他のサーバを連携し、フローマップを生成することもできる。

【0277】

フローマップの構成と関連したメタデータは、サービスデータベース（図５の５３２）に予め保存されていることがある。メタデータにはオブジェクト化される対象客体（例えば、ユーザ、サーバ、及びリンク）の形態及び位置座標と関連した情報だけでなく、色相、フォント、物理的なファイルの位置、タイル背景等が保存され得る。

【0278】

図１２は、本発明の一実施例にかかるパケットミラーリング装置でのネットワーク性能と関連した警告発生可否を判断する設定値の例示を示すである。

【0279】

図１２を参照すると、フローマップ又はその他の視覚化された表現において、パケットミラーリング装置は、現在のネットワークサービスと関連した性能関連の指標を様々な臨界値と比較して警告表示することによってユーザをして予め大きいトラフィック問題を予防することができるように支援する。よって、警告判断と関連して、様々な臨界値の設定が要求され得る。

【0280】

全般的に警告状況に対する判断は、サーバ警告と区間警告に区分できる。それぞれ別途の使用可能なルールセット（Ｒｕｌｅ ｓｅｔ）を有する。サーバ区間に対しては、サーバ状態（サービスダウン（Ｓｅｒｖｉｃｅ Ｄｏｗｎ）、サーバダウン（Ｓｅｒｖｅｒ Ｄｏｗｎ））に対する部分、セッションの数、応答待機セッションの数、応答待機時間、ＣＰＳ、ＴＰＳ、ＢＰＳ、ＨＴＴＰ ４０ｘ又は５０ｘエラー等に基づいて判断され得る。区間警告は、応答待機セッションの数及び応答待機時間に基づいて判断され得る。

【0281】

図１２に表示されたように、パケットミラーリング装置は、前記性能関連の指標のうち少なくとも一部に基づいてネットワークサービスの問題発生可否を判断する。クライアントのコンテンツに対する要請と関連したＵＲＬから前記コンテンツと関連した最初のデータを前記サーバが受信するまでの応答遅延時間を示す応答待機時間（ｌａｔｅｎｃｙ）情報、及びクライアントが送った要請に対して応答を受けていない状態のセッションの数を示す応答待機セッションの数（ｗａｉｔ）の情報に基づいて、ウェブトラフィック遅延、ＷＡＳトラフィックサーバ遅延、ＷＡＳトラフィックＷａｉｔの過多、ＤＢトラフィック遅延、ウェブＷＡＳ区間の遅延発生等を判断し得る。パケットミラーリング装置は、性能関連の指標と臨界値との比較、比較結果の臨界値よりも高い性能関連の指標の値が存在する持続時間（ｄｕｒａｔｉｏｎ）に対する測定を通じて問題発生可否を判断し得る。

【0282】

まず、ウェブトラフィック遅延は、全てのウェブサーバを対象に、全体セッションのうち応答待機セッションの数が７０％以上でありながら、応答待機時間が５秒を超える場合、発生し得る。ユーザの設定に応じて、このような時間が１０秒以上であれば、ウェブトラフィック遅延に対する問題があると判断し得る。

【0283】

また、ＷＡＳトラフィックサーバの遅延はＷＡＳサーバを対象に、応答待機時間が５秒以上になる状態が５秒以上持続されるときに問題が発生したと判断し得る。ＷＡＳトラフィックｗａｉｔの過多発生は、ＷＡＳサーバに対して応答待機セッションの数が７０％以上の状態が５秒以上持続されるとき、問題が発生したと判断する。

【0284】

ＤＢトラフィック遅延の発生は、全てのＤＢサーバを対象に、全体セッションのうち応答待機セッションの数が３０％以上でありながら、応答待機時間が５秒を超える場合、発生し得る。ユーザの設定に応じて、このような時間が１０秒以上になると、ＤＢトラフィック遅延に対する問題があると判断し得る。

【0285】

さらに、ウェブＷＡＳ区間の遅延発生と関連して、全てのウェブサーバ及びＷＡＳサーバを対象に、応答待機時間が５秒以上の状態が約５秒以上続く場合、問題があると判断し得る。

【0286】

また、パケットミラーリング装置は、ＢＰＳのような速度関連の指標を臨界値と比較し、問題発生可否を判断し得る。ＢＰＳの過多発生は、全てのサーバを対象とするが、ＢＰＳが５０Ｍの超える状態が５秒以上続くと、問題が発生したと判断する。

【0287】

ＣＰＳの過多発生は全てのサーバを対象に、ＣＰＳが１５０の超える状態が約１０秒以上続くと、問題が発生したと判断する。

【0288】

５０Ｘ及び／又は４０Ｘエラーの場合、全てのウェブサーバに対して、ＨＴＴＰ ５０ｘエラー（又はＨＴＴＰ ４０ｘエラー）が５を超える状態が約５秒以上続く場合、問題が発生したと判断する。

【0289】

ｗａｉｔの過多発生の場合、全てのサーバに対して全セッションの数が１０００を超え、応答待機セッションの数の比率が８０％を超える状態が約１０秒以上続く場合、問題が発生したと判断する。

【0290】

このような問題発生と関連した様々な臨界値、関連の持続時間臨界値、対象サーバＩＰ、それによる警告レベルは、ユーザの設定により変更可能なように選択される。

【0291】

本発明の実施例にかかると、前記のような問題状況にマッチングされるように警告レベルが定められ得、警告レベルに応じてフローマップ及びその他の様々な視覚化ツールで警告状態を前記警告レベルに合わせて表現する。また、問題状況にマッチングされる措置として、既に設定された担当者のアカウントと関連したＳＭＳメッセージ、ｅ－ｍａｉｌ及び／又はＳＮＳ（Ｓｏｃｉａｌ Ｎｅｔｗｏｒｋ Ｓｅｒｖｉｃｅ）に警告状況を通報する動作を行い得る。

【0292】

本発明の別の実施例にかかると、パケットミラーリング装置は、時間によるネットワーク性能関連の指標に対するデータを持続的に保存するので、保存されたデータはビッグデータをなすことになる。このように保存されたビッグデータに対して機械学習（ｍａｃｈｉｎｅ ｌｅａｒｎｉｎｇ）のアルゴリズムを適用し、適応的に警告状況に合う適切なルールセットを生成させることができる。例えば、パケットミラーリング装置がＷＡＳトラフィック遅延の問題が常時発生するＷＡＳサーバに対して、過去のＷＡＳサーバの平均的な応答遅延時間及び／又は応答待機セッションの数に対するデータに基づいて、臨界値をより低く、又はより高く設定させることができる。

【0293】

また、過去のビッグデータを介して正常範疇での応答遅延時間及び／又は応答待機セッションの数、ＢＰＳ、又はＴＰＳ値を保存している状態で、正常範疇の平均応答遅延時間及び／又は応答待機セッションの数、ＢＰＳ、又はＴＰＳ値に対して臨界値以上の差が出る場合、問題発生を判断するようにできる。

【0294】

それとも、ウェブサーバとＷＡＳサーバ、又はＷＡＳサーバとＤＢサーバの連結関係で、何れか一つのサーバにのみ集中的にサービス速度の遅延が発生する場合、他のサーバとの平均速度の遅延値に対して臨界値以上の速度遅延の発生を判断し、警告を表現するようにすることもできる。

【0295】

図１３は、本発明の別の実施例にかかる複数個のパケットミラーリング装置のシステムの連結関係を説明するための図である。

【0296】

図１３を参照すると、パケットミラーリング装置はＬ２／Ｌ３スイッチ及びＬ４スイッチと連結され得る。パケットミラーリング装置を含む全体ネットワークシステムは、インターネットネットワークと連結されたバックボーン（ｂａｃｋｂｏｒｎ）スイッチ、前記バックボーンスイッチと連結されたＬ４スイッチ、Ｌ４スイッチと連結されたファイヤウォールシステム（侵入防止システム）及び侵入遮断システム、前記侵入遮断システムと連結されたＬ４スイッチ、及びＬ４スイッチと連結されたＬ２／Ｌ３スイッチを含む。ここで、侵入遮断システムでブランチとして他の二つのＬ４スイッチが連結され得、前記二つのＬ４スイッチはＬ３システムと連結される。パケットミラーリング装置１は、Ｌ２／Ｌ３スイッチ、Ｌ４スイッチからパケットを収集する。このとき、Ｌ２／３スイッチからは１０００ｂａｓｅ－Ｔ規格でパケットミラーリングを行ってミラーリングされたパケットを受信する。Ｌ４スイッチからは１０Ｇ Ｆｉｂｅｒ ＮＩＣを用いて、パケットミラーリングを行うことによってミラーリングされたパケットを受信することができる。このとき、前記二つのＬ４スイッチのうち一つに対しては、１０００Ｂａｓｅ－Ｔの管理インターフェースが連結され、スイッチング動作に対する管理及びパケットミラーリング動作に対する管理と関連した信号を送受信することができる。

【0297】

本発明の前記実施例にかかると、パケットミラーリング装置１と連結されたスイッチは、それぞれ互いに異なる規格で通信し得、特に連結メディアも銅（ｃｏｐｐｅｒ）及びファイバー（ｆｉｂｅｒ）を含んで様々な種類のメディアが通信特性に合わせて使用できる。

【0298】

前記パケットミラーリング装置１は、パケットミラーリング装置２と連動するように構成でき、前記パケットミラーリング装置１はパケットの収集及び分析を、前記パケットミラーリング装置２は、性能統計及び検索作業を行うように動作を区分して構成できる。このとき、Ｌ２／３スイッチは、ウェブサーバ、ＷＡＳサーバ及びＤＢサーバと複合的に連結されているので、ウェブサーバ－ＷＡＳサーバ区間及びＷＡＳサーバ－ＤＢサーバ区間に対して、区間別のネットワークサービス性能の指標をそれぞれ算出できる。

【0299】

図１４は、本発明のまた別の実施例にかかる複数個のパケットミラーリング装置の連結関係によって互いに異なる機能を行う構成を示す図である。

【0300】

図１４を参照すると、パケットミラーリング装置１はスイッチと連結され、ミラーリングされたパケットを収集する。パケットミラーリング装置１は、クライアント－ウェブサーバ、ウェブ－ＷＡＳ、及びＷＡＳ－ＤＢのような各区間に対するパケット情報を収集して区間別のネットワークサービスの性能をリアルタイムで分析してモニタリングする。これは、性能と関連した統計を出して分析を行うパケットミラーリング装置２と連動し得る。

【0301】

パケットミラーリング装置２は、パケットミラーリング装置１とＮＦＣ（Ｎｅａｒ Ｆｉｅｌｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ）のような近距離無線通信又は有線通信を介して通信し、パケットミラーリング装置１から送信されるパケット関連のロー（ｒａｗ）データ、及び分析された性能関連の指標と関連したデータを用いて統計データを周期的に生成する。特定の統計は、１時間単位で生成されることもある。それから、統計データを照会、検索、保管する機能を行うことができる。

【0302】

図面には、パケットミラーリング装置１にのみ連結されたものと開示されているが、パケットミラーリング装置１及び／又はパケットミラーリング装置２は、ディスプレイ手段と連結され、関連したデータをユーザが見ることができるようにディスプレイできる。

【0303】

図１５は、本発明の一実施例にかかるパケットミラーリング装置、又は図５のサービスモジュールを具体的に示すブロック図である。図１５に示すように、本発明の一実施例にかかるパケットミラーリング装置又はサービスモジュールは、受信部４２１０、マップ／ページ生成部４２２０を含むことができる。

【0304】

図１５を参照すると、受信部４２１０はパケットミラーリング装置（図示せず）又は分析データベース（図５の５２２参照）からミラーリングされたパケットのローデータ情報及び性能関連の指標と関連したデータを受信することができる。それから、マップ／ページ生成部４２２０に受信されたデータを提供する。

【0305】

マップ／ページ生成部４２２０は、位置テンプレート４２３０、タイル情報４２３２、プロジェクト設定４２３４、ルールスクリプト４２３６及び実行スケジューラ４２３８情報に基づいて受信されるパケットデータ及び／又は性能関連の指標を統合し、フローマップ又は分析ページデータを生成できる。

【0306】

位置テンプレート情報４２３０は、様々な類型のページの配置情報を含むことができる。例えば、一つの全体ディスプレイキャンバス内に複数個の分析ページ（例えば、サーバリスト、セッションリスト、ユーザリスト、ＵＲＬリスト、ウェブページ分析ページ等）の配置の様々な類型情報を含んでいることがある。また、テンプレート情報は、マップ／ページ間の連結関係情報を含むことができる。ドリル－ダウンベースの階層的ページの構成と関連し、どの分析ページをどの階層に配置するかを決定して（デフォルト類型を設定可能であり、複数個の類型を設定可能である）、決定された所定の類型のマップ／ページの配置及びマップ／ページ間の連結関係を有するテンプレートが定義され得る。本発明の別の実施例にかかると、管理者が望む特定の類型のテンプレートを生成しておくと、後日同一のテンプレートを呼んで同一のマップ／ページの構成を容易に再配列できる。

【0307】

タイル情報４２３２は、ユーザインターフェースの背景情報を保存している。例えば、フローマップの背景に使用される背景情報を保存し、マップ／ページ生成部４２２０がマップ／ページデータを生成する際、前記保存された背景に視覚化されるようにする。

【0308】

プロジェクト設定４２３４の情報は、マップ生成部４２２０での動的コンテンツを生成するプロジェクトの各種設定情報を含んでいる。

【0309】

ルールスクリプト４２３６は、マップ／ページに表示される各種オブジェクト（例えば、装置オブジェクト、サーバオブジェクト、及び／又はリンクオブジェクト等）の基本配置情報、マップ／ページに表記される視覚的表現の色相、フォント等を定義している。ルールスクリプト４２３６の設定情報は、ルールシステムにより新たな設定の生成、保存及び既存設定の削除等の管理が行われる。

【0310】

また、受信されるデータの周期は可変的であり得るので、マップ／ページ生成部４２３０は、実行スケジューラ４２３８をもって、定義されたスケジュールにより自動／手動でデータ受信周期及び／又はページ生成周期を変更し、マップ／ページの生成を行うことができる。実行スケジューラ４２３８は、受信されたデータから分析に必要なデータを抽出するステップからマップ及び／又は分析ページの生成までの時系列的な作業順序の情報を含むことができる。

【0311】

マップ／ページ生成部４２３０を介して生成されたマップ及び／又はページデータは、モニターのようなディスプレイ手段４２４０を介して出力されることができる。又は他のパケットミラーリング装置に提供され、連動するパケットミラーリング装置が提供されるマップ及び／又はページデータを加工し、他の形態のデータに生成することができる。ディスプレイ手段４２４０は、パケットミラーリング装置に含まれることもあり、外部のモニターのように別途存在することもある。

【0312】

ネットワークのセキュリティモニタリング
本発明の一実施例にかかるネットワークモニタリング装置は、ネットワークにセキュリティ問題が発生しているか否かを決定するネットワークセキュリティモニタリングを行うことができる。一方、本発明の一側面にかかると、ネットワークモニタリングは、前記で説明したネットワークの性能に対する指標を算出するネットワーク性能モニタリング及び／又はネットワークセキュリティモニタリングを同時に、又は別個として行うことができる。以下、本発明のネットワークモニタリングの中、セキュリティモニタリングの要素についてより具体的に説明する。

【0313】

前記で見た通り、本発明においてネットワークのセキュリティは、異常徴候検知（Ａｎｏｍａｌｙ Ｄｅｔｅｃｔｉｏｎ）による検知、シグネチャー（Ｓｉｇｎａｔｕｒｅ）ベース検知、明細（Ｓｐｅｃｉｆｉｃａｔｉｏｎ）ベース検知によるセキュリティ要素のうち少なくとも一つ以上を含むことができる。また、本発明でのセキュリティは、意図的障害だけでなく、非意図的障害の原因を全て含む。従って、システム設計誤謬、システム動作誤謬、管理者のミスの検知がセキュリティモニタリングに含まれ、ネットワークに含まれたデバイスに対する正常作動のチェック可否もやはりセキュリティモニタリングに含まれ得る。

【0314】

図１６は、本発明の一実施例にかかるネットワークモニタリングが適用できる第１のネットワークの概念図であり、図１７は、図１６の第１のネットワークに対する構成を示すブロック図である。まず、図１７に示すように、本発明の一実施例にかかるネットワークモニタリングが適用できる第１のネットワークは、少なくとも一つのスイッチング装置１６２０を中間に備えて、互いに情報を送受信する少なくとも一つの第１のエンティティ（ｅｎｔｉｔｙ）１６１０と少なくとも一つの第２のエンティティ１６３０を含むことができる。スイッチング装置１６２０は、ＯＳＩ２階層、ＯＳＩ３階層、ＯＳＩ４階層及び／又は他の階層（例えば、ＯＳＩ７階層）の役割をするネットワークスイッチを含むことができる。例えば、パケットの経路を設定する機能を行うことができる。また、ロードバランシングやポートフォワーディング、ＱｏＳ等の機能を行うこともできる。スイッチング装置１６２０は、ネットワークスイッチ、スイッチングハブ、ポートスイッチングハブ等と呼ばれ得る。

【0315】

ネットワークモニタリング装置１６６０は、スイッチング装置１６２０と連結され、スイッチング装置１６２０を介して第１のエンティティ１６１０と第２のエンティティ１６２０との間で送受信される殆ど全てのパケットをミラーリングして獲得できる。パケットミラーリング、即ち、パケットの複製又はキャプチャー（ｃａｐｔｕｒｅ）は、スイッチング装置１６２０で行われる。場合に応じて、ネットワークモニタリング装置１６６０自体で行われることもある。スイッチング装置１６２０は、第１のエンティティ１６１０と第２のエンティティ１６２０との間で送受信されるパケットを複製した後、ネットワークモニタリング装置１６６０と連結されたポートを目的地ポート（ｄｅｓｔｉｎａｔｉｏｎ ｐｏｒｔ）に設定し、複製されたパケットをネットワークモニタリング装置１６６０に提供できる。このとき、該当ポートを分析用途に指定して提供できる。

【0316】

任意の第３者１６５０は、例えば、図１７に示すように、スイッチング装置１６２０に向けて非正常行為の攻撃（Ａｎｏｍａｌｙ Ａｃｔｉｏｎ）を行うことができ、図１７に示したところと異なり、第２のエンティティ１６３０又は第１のエンティティ１６１０に無線又は有線ネットワークを介して攻撃を行うこともできる。ネットワークモニタリング装置１６６０は、スイッチング装置１６２０に基づいて、第１のエンティティ１６１０と第２のエンティティ１６３０との間のパケットをミラーリングすることにより、ネットワークに対するセキュリティモニタリングを行って、前記ネットワークにセキュリティ関連の問題が発生しているか否かを決定するように構成できる。

【0317】

一側面にかかると、第２のエンティティ１６３０はプロセッサを備え、エッジコンピューティングを行うことができるデバイスであり得、又はプロセッサを含むエッジコンピューティングデバイスを経由してスイッチング装置１６２０と連結されることができる。前記プロセッサはソフトウェアで実現化されるか、別途のハードウェアで実現化されることもできるセキュリティモジュール１６４０を備えることができ、セキュリティモジュール１６４０は、ネットワークモニタリング装置１６６０のセキュリティモニタリングと並列的に、同時に又は順次に第２のエンティティ１６３０自体でのセキュリティモニタリングを行うことができる。第２のエンティティ１６３０は、プロセッサを備えたモノのインターネット（ＩｏＴ）装置であってもよく、モノのインターネット環境でネットワークに含まれるモノのインターネットデバイスの数はねずみ算式に増加する傾向である。任意の第３者１６５０の非正常行為の攻撃は、第１のエンティティ１６１０だけでなく、第２のエンティティ１６３０に向けることもあり、このようにモノのインターネットデバイスのセキュリティは、従来のネットワークの構成要素より脆弱であり得る。但し、ネットワークに含まれたモノのインターネット装置が非常に多数の場合に、ネットワークモニタリング装置１６６０でネットワークに含まれた全てのモノのインターネット装置に対するセキュリティモニタリングを行うことは、例えば、ネットワークモニタリング装置１６６０の処理能力不足やリアルタイム性確保の困難の問題点を有し得る。本発明の一側面にかかる第２のエンティティ１６３０それぞれは、セキュリティモジュール１６４０に基づいて個別的にセキュリティモニタリングを行うようにすることで、多数の第２のエンティティ１６３０が存在する場合にも、ネットワークに対するセキュリティモニタリングをさらに確実に行うことができる。

【0318】

図１６は、図１７の第１のネットワークで第１のエンティティがサーバ１６１０－１及びネットワークビデオレコーダー（Ｎｅｔｗｏｒｋ Ｖｉｄｅｏ Ｒｅｃｏｒｄｅｒ、ＮＶＲ）１６１０－２、１６１０－３であり、第２のエンティティがＩＰカメラ１６３０－１、１６３０－２、１６３０－３であるより具体的な実施例を示す。例えば、特定地域のセキュリティやスマートシティー、スマートファクトリーのように、複数のＩＰカメラを備えることが必須的なアプリケーションが多様に発展しているが、ＩＰカメラの活性化はカメラに対するハッキングのようなセキュリティ問題が大きな解決課題になっている。図１６に示すように、ＩＰカメラとＮＶＲを含むネットワークで、サーバ１６１０－１及びＮＶＲ１６１０－２、１６１０－３は、第１のスイッチング装置１６２０－１に連結されてもよく、複数のＩＰカメラ１６３０－１、１６３０－２、１６３０－３は、第２のスイッチング装置１６２０－２に連結されてもよく、第１のスイッチング装置１６２０－１と第２のスイッチング装置１６２０－２とが互いに連結されてもよい。また、ネットワークモニタリング装置１６６０は、第１のスイッチング装置１６２０－１と第２のスイッチング装置１６２０－２からミラーリングされたパケットを分析し、ネットワークに対するセキュリティモニタリングを行うことができ、ネットワークにセキュリティ問題が発生したという決定に応答して統合管制システムに警告を伝達できる。

【0319】

図１６のネットワークで、任意の第３者１６５０－１は、第１のスイッチング装置１６２０－１を介して、ネットワークに異常徴候行為（Ａｎｏｍａｌｙ Ａｃｔｉｏｎ）を加えることもでき、任意の第３者１６５０－２は、第２のスイッチング装置１６２０－２を介してネットワークに異常徴候行為（Ａｎｏｍａｌｙ Ａｃｔｉｏｎ）を加えることもできる。ネットワークモニタリング装置１６６０がネットワーク全般に対するセキュリティモニタリング、異常徴候検知、ネットワークに含まれたデバイスのヘルスチェック（Ｄｅｖｉｃｅ Ｈｅａｌｔｈ Ｃｈｅｃｋ）、アプリケーションモニタリングを行うことができる。のみならず、一側面にかかると、例えば、ＩＰカメラ１６３０－３はプロセッサを備え、エッジコンピューティングを行うことができるコネクテッドカメラとして実現化されることができる。プロセッサ上で、例えば、ソフトウェアモジュールとして実現化されることができるマイクロエンジンの形態のセキュリティモジュール１６４０は、ＩＰカメラ１６３０－３に集中してセキュリティモニタリングを行うことができる。コネクテッドカメラ１６３０－３に備えられたプロセッサは、人工知能の学習及び適用が可能なように構成されることができ、セキュリティモジュール１６４０はプロセス及び資源に対するモニタリングを行い、例えば、システムログファイルをウォッチングでき、他のセキュリティ要素に対して検討するように構成されることができる。

【0320】

従って、図１６のＮＶＲベースの「セキュリティが強化したＩＰカメラシステム」は、ＮＶＲに連結される少なくとも一部のＩＰカメラに対するパケット情報及びカメラ動作情報を分析し、異常徴候検知（Ａｎｏｍａｌｙ Ｄｅｔｅｃｔｉｏｎ）を行うことができる。モニタリング装置１６６０及びセキュリティモジュール１６４０のうち少なくとも一つのセキュリティモニタリングを介して、トランザクションロギング（Ｔｒａｎｓａｃｔｉｏｎ Ｌｏｇｇｉｎｇ）ベースの後処理はもちろん、リアルタイムの異常徴候診断（Ａｎｏｍａｌｙ Ｄｅｔｅｃｔｉｏｎ） の実行が可能であり、セキュリティモジュールのマイクロエンジンの適用により、リアルタイムの診断効果が向上することができる。セキュリティモジュールでの分析は、例えば、第２のエンティティに入るパケットに対する分析と、ログ、状態ウォッチング及び分析を含むことができる。ネットワークに含まれたＩＰカメラのうち少なくとも一部は、エッジコンピューティングの実行ができない低性能のＩｏＴ装置であってもよく、この場合、マイクロエンジンを介したリアルタイムの診断は行われないこともある。

【0321】

図１８は、本発明の一実施例にかかるネットワークモニタリングが適用できるクラウド網を含む第２のネットワークの概念図であり、図１９は、図１８の第２のネットワークに対する構成を示すブロック図である。

【0322】

図１８乃至図１９の第２のネットワークでは、第２のエンティティ１８３０がスイッチング装置１８２０を経由し、クラウド網１８１０とデータを送受信するように構成されることができる。即ち、別途のサーバ又はＮＶＲを備える代わりに、クラウド網が第２のエンティティからの情報を受信し、クラウド網を介して第２のエンティティ１８３０にアクセス又は制御するようにできる。ネットワークモニタリング装置１８６０は、スイッチング装置１８２０を用いて、クラウド網１８１０と第２のエンティティ１８３０との間のパケットをミラーリングし、ネットワークのセキュリティモニタリングを行うことができる。第１のネットワークと同様に、第２のエンティティ１８３０がプロセッサを備えるエッジコンピューティングデバイスとして、セキュリティモジュール１８４０を備えることができる。任意の第３者１８５０－１がクラウド網１８１０を介してネットワークに異常徴候行為（Ａｎｏｍａｌｙ Ａｃｔｉｏｎ）を行うか、任意の第３者１８５０－２がスイッチング装置１８２０を介して異常徴候行為を行うことができ、前記第１のネットワークと同様の趣旨で、ネットワークモニタリング装置１８６０と第２のエンティティ１８３０のセキュリティモジュール１８４０が少なくとも部分的に協業し、セキュリティモニタリングを行うことができる。図１８に示すように、第２のエンティティは複数のＩＰカメラ１８３０－１、１８３０－２、１８３０－３を含むことができ、例えば、一部のＩＰカメラ１８３０－３がエッジコンピューティングを行うように構成されることもできる。

【0323】

図２０は、本発明の一実施例にかかるネットワークモニタリング方法のフローチャートである。以下、図２０を参照して、本発明の一実施例にかかるネットワークモニタリング方法をより詳細に説明する。本発明の一実施例にかかるネットワークモニタリング方法は、例えば、前記図１６乃至図１９を参照して説明したように、第１のエンティティ（ｅｎｔｉｔｙ）と第２のエンティティ、前記第１のエンティティ及び第２のエンティティの間に備えられるスイッチング装置、並びに前記スイッチング装置と連結されるネットワークモニタリング装置を含むネットワークに対するモニタリングを行うことができる。ここで、第１のエンティティはサーバを含み、前記第２のエンティティはクライアント（Ｃｌｉｅｎｔ）端末を含むことができ、クライアント端末はモノのインターネット（ＩｏＴ）装置を含むことができる。一側面にかかると、例えば、図１６乃至図１７に示すように、第１のエンティティはネットワークビデオレコーダー（Ｎｅｔｗｏｒｋ Ｖｉｄｅｏ Ｒｅｃｏｒｄｅｒ、ＮＶＲ）を含み、第２のエンティティはＩＰカメラを含んでセキュリティが強化したＩＰカメラシステムを構成することもできる。

【0324】

図２０に示すように、本発明の一実施例にかかるネットワークモニタリング方法で、ネットワークモニタリング装置１６６０はスイッチング装置１６２０からミラーリングすることに基づき、第１のエンティティ１６１０と第２のエンティティ１６３０との間に送受信される少なくとも一つのパケットに対する、ミラーリングされた少なくとも一つのパケットを獲得することができる（ステップ２２１０）。例えば、スイッチング装置１６２０で複製又はキャプチャーされたパケットがネットワークモニタリングデバイス１６６０に伝達されることができる。

【0325】

ネットワークモニタリング装置１６６０は、ミラーリングされた少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、第１のエンティティ１６１０と第２のエンティティ１６２０と関連したネットワークに対するセキュリティ問題の発生可否を決定することができる（ステップ２２２０）。のみならず、前述したように、ネットワークモニタリング装置１６６０は、ネットワークの性能モニタリングもやはり行うことができるが、セキュリティ問題の発生可否を決定（ステップ２２２０）することと並列的に、ミラーリングされた少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、第１のエンティティ１６１０と第２のエンティティ１６３０と関連したネットワークのサービスの性能を示す性能関連の指標を算出することもできる（ステップ２２４０）。前記セキュリティ問題の発生可否の決定と性能関連の指標の算出は、同時に行われてもよく、順次行われてもよく、少なくとも部分的に同時に行われてもよい。性能関連の指標の算出に対する具体的な技術的特徴は、前述したネットワーク性能モニタリングに関する記載が援用され得る。

【0326】

一方、前述したように、本発明の一側面にかかる第２のエンティティ１６３０は、プロセッサを備え、エッジコンピューティング（Ｅｄｇｅ ｃｏｍｐｕｔｉｎｇ）を行うか、プロセッサを備えるエッジコンピューティング装置を経由してスイッチング装置１６２０に連結されることができる。この場合、第２のエンティティ１６３０又はエッジコンピューティング装置（図示せず）は、ネットワークモニタリング装置のネットワークモニタリングの実行と独立的かつ並列的に、第２のエンティティ１６３０に受信されるか、第２のエンティティ１６３０で送信される少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、第１のエンティティ１６１０と第２のエンティティ１６３０と関連したネットワークに対するセキュリティ問題の発生可否を決定することができる（ステップ２２５０）。

【0327】

ネットワークモニタリング装置１６６０と第２のエンティティ１６３０又はエッジコンピューティングデバイスにより行われるセキュリティモニタリングは、互いに少なくとも部分的に異なり得、各デバイスでのセキュリティモニタリング手続きは、本明細書で以降詳述される。

【0328】

再度図２０を参照すると、モニタリングデバイス及び第２のエンティティ又はエッジコンピューティングデバイスのうち少なくとも一つがネットワークにセキュリティ関連の問題が発生したと決定することに応答して、予め設定された管理者デバイス又は統合管制システムのうち少なくとも一つにセキュリティ警告情報を送信することができる（ステップ２２６０）。一側面にかかると、第２のエンティティ又はエッジコンピューティング装置は、セキュリティ問題が発生したと決定することに応答して、スイッチング装置１６２０にエッジ領域のセキュリティ警告情報を送信することができる。エッジ領域のセキュリティ警告情報は、第２のエンティティ又はエッジコンピューティングデバイスを含むエッジ領域でセキュリティ関連の問題が発生したことを示す情報を含むことができる。ネットワークモニタリング装置１６６０は、ネットワークモニタリング装置が行ったセキュリティモニタリングによりネットワークに対するセキュリティ問題が発生したと決定するか、又は第２のエンティティ又は前記エッジコンピューティング装置からスイッチング装置１６２０を経由してエッジ領域のセキュリティ警告情報を受信することに応答して、予め登録されたネットワークの管理のための第１のアカウントのユーザ端末にセキュリティ警告情報を送信することができる。

【0329】

図２１は、セキュリティ問題の発生可否の検知のための例示的な方法の分類図であり、図２２は、図２１の人工知能ベースの異常徴候検知方法に対する詳細分類図である。図２１に示すように、セキュリティ関連の問題発生可否の検知方法（Ｄｅｔｅｃｔｉｏｎ Ｍｅｔｈｏｄ）は、大きく人工知能ベースの異常徴候検知（Ａｎｏｍａｌｙ－ｂａｓｅｄ Ｄｅｔｅｃｔｉｏｎ（ＡＩ））２１１０、シグネチャー（Ｓｉｇｎａｔｕｒｅ）ベース検知又は誤用探知（Ｍｉｓｕｓｅ－ｂａｓｅｄ Ｄｅｔｅｃｔｉｏｎ）２１２０、状態プロトコル分析検出（Ｓｔａｔｅｆｕｌ Ｐｒｏｔｏｃｏｌ Ａｎａｌｙｓｉｓ Ｄｅｔｅｃｔｉｏｎ）又は明細ベース検知（Ｓｐｅｃｉｆｉｃａｔｉｏｎ－ｂａｓｅｄ Ｄｅｔｅｃｔｉｏｎ）２１３０に区分できる。異常徴候検知２１１０は、一般的なシステム使用のパターンから外れる非正常行為を探知する。シグネチャーベース検知２１２０は、既に知られている攻撃パターンを用いて、知られている攻撃に対して監視することによって検出が行われる。明細ベースの探知２１３０は、正常行為から外れた攻撃を探知するという点では異常徴候検知と類似する側面があるが、機械学習技法に依存せず、適法なシステム行為をモデリングして手動で開発した明細に基づいて、開発した明細にセキュリティ規則を適用させて、その規則を危険な客体の実際動作と比較して探知する特徴がある。

【0330】

一方、図２２に示すように、人工知能ベースの異常徴候検知のアルゴリズムは、監督学習（Ｓｕｐｅｒｖｉｓｅｄ Ｌｅａｒｎｉｎｇ）２２０１と非監督学習（Ｕｎｓｕｐｅｒｖｉｓｅｄ Ｌｅａｒｎｉｎｇ）２２０３に区分でき、具体的に最近隣法（Ｎｅａｒｅｓｔ Ｎｅｉｇｈｂｏｒ）２２１０、クラスタリング２２２０、統計的技法２２３０に区分できる。

【0331】

本発明の一実施例にかかるネットワークセキュリティモニタリングでは、人工知能ベースの異常徴候検知技法のうち、主にクラスタリング２２２０又は統計的技法２２３０を適用することができ、規則又はパターンベースのシグネチャーベース探知２１２０、規則又はパターンを用いる明細ベース探知２１３０のうち少なくとも一つ以上が用いられることができる。即ち、図２０のセキュリティ問題の発生可否を決定するステップ（ステップ２２２０、ステップ２２５０）は、クラスタリング（Ｃｌｕｓｔｅｒｉｎｇ）又は統計的（ｓｔａｔｉｓｔｉｃａｌ）技法を含む人工知能に基づく異常徴候検知（Ａｎｏｍａｌｙ ｄｅｔｅｃｔｉｏｎ）、パターン又は規則を用いるシグネチャー（Ｓｉｇｎｉｔｕｒｅ）ベース探知、パターン又は規則を用いる明細（Ｓｐｅｃｉｆｉｃａｔｉｏｎ）ベース探知のうち少なくとも一つに基づいて、前記セキュリティ問題の発生可否を決定することができる。一方、モニタリング装置１６６０のセキュリティモニタリングとセキュリティモジュール１６４０でのセキュリティモニタリングに適用される技法が異なり得、同じ装置でのセキュリティモニタリングもやはり、分析対象になる情報に応じてその適用技法が異なり得、これは、本明細書で以降詳述される。

【0332】

図２３は、本発明の一実施例にかかるセキュリティ問題の発生可否決定のメカニズムを示すフローチャートである。図２３に示すように、本発明の一側面にかかるセキュリティ問題の発生可否の決定は、ミラーリングされたパケットから誘導される情報によって特定情報に対して段階的に、また特定情報に対して並列的に行われることができる。より具体的に、図２３に示すように、まず、スイッチング装置１６２０からミラーリングされたパケットが収集（ステップ２３０５）されると、ミラーリングされた少なくとも一つのパケットからの情報を含むパケット（Ｐａｃｋｅｔ）情報を収集（ステップ２３１０）することができる。パケット情報のセキュリティモジュールは、前記パケット情報に基づいてネットワークにセキュリティ関連の問題が発生しているか否かを決定することができる（ステップ２３１５）。ここで、パケット情報は、例えば、応答信号（ＡＣＫ）が秒当たり１００回以上発生する場合をセキュリティ問題の発生と決定するように、パケットのソースや目的地と関係なく、少なくとも一つのパケットから獲得できる情報を意味し得る。

【0333】

再度図２３を参照すると、パケット情報に基づいてトラフィック（Ｔｒａｆｆｉｃ）情報を収集することができる（ステップ２３２０）。トラフィック情報のセキュリティモジュールは、前記トラフィック情報に基づいてネットワークにセキュリティ関連の問題が発生しているか否かを決定することができる（ステップ２３２５）。ここで、トラフィック情報は、例えば、５ｔｕｐｌｅ（ソースＩＰ、ソースポート、目的地ＩＰ、目的地ポート、プロトコル）に基づいて、パケットをフロー（ｆｌｏｗ）に変換したものであり得る。即ち、トラフィック情報は、ソースと目的地に対する情報をもって、二つ以上のエンティティ間の連結関係を示す情報を含むことができる。

【0334】

再度図２３を参照すると、トラフィック情報に基づいてトランザクション（Ｔｒａｎｓａｃｔｉｏｎ）情報又はプロトコル（Ｐｒｏｔｏｃｏｌ）情報を収集することができる（ステップ２３３０）。プロトコル情報のセキュリティモジュールは、前記トランザクション情報又はプロトコル情報に基づいて、ネットワークにセキュリティ関連の問題が発生しているか否かを決定することができる（ステップ２３３５）。ここで、トランザクション情報は、複数のエンティティ間の情報の送受信の集合を示し得、例えば、前記ネットワーク説明のモニタリングと関連して、前述したトランザクションの概念が適用されることもできる。プロトコルの単位では、例えば、ログイン（ｌｏｇｉｎ）が分当たり１０回以上発生する場合をセキュリティ問題の発生と決定することができる。前述したパケット情報、トラフィック情報及びトランザクション情報は、以下「データ送受信に関する情報」とも指称され得る。このような情報は、リアルタイムでセキュリティ問題の発生可否を検知するために使用できる。

【0335】

再度図２３を参照すると、パケット情報、トラフィック情報及びトランザクション情報のうち少なくとも一つ以上は累積されて統計情報を形成することができる（ステップ２３４０）。統計情報のセキュリティモジュールは、前記統計情報に基づいてセキュリティ問題の発生可否を決定することができる（ステップ２３４５）。統計情報は、予め決定された時間区間の間のネットワークの特性と判断時点のネットワークの特性とを比較し、臨界値以上の差が出るとき、セキュリティ問題の発生可否を検知するようにすることができる。一方、リアルタイムのセキュリティ検知のみならず、保存された複数の情報に基づいて、従来のセキュリティ問題に対するフォレンジック検知を行うこともできる。

【0336】

前述したパケット情報のセキュリティモジュール、トラフィック情報のセキュリティモジュール、プロトコル情報のセキュリティモジュール及び統計情報のセキュリティモジュールは、各々処理対象情報に基づいてセキュリティ問題可否の発生可否を検知するが、攻撃の予測可否を検知することもできる（ステップ２３５０）。即ち、それぞれの判断基準に基づいて攻撃の発生ではなく、予め決定した時間区間以内に攻撃が発生するという点を予測するように構成されることができ、攻撃の予測を決定すると、攻撃が予測されるという事実、及び予測される時間情報又は持続時間情報のうち少なくとも一つを共に通知する予測報知を行うことができる（ステップ２３５５）。のみならず、実際に攻撃が発生したということを決定することもでき（ステップ２３６０）、攻撃が発生したという決定に応答してこれを通知する攻撃報知を行うことができる（ステップ２３６５）。

【0337】

一方、再度図２３を参照すると、本発明の一側面にかかるセキュリティモニタリングは、任意の第３者による意図的セキュリティイシューのみならず、ユーザの意図しない問題も、セキュリティモニタリングに含ませることができる。本発明の一側面にかかるセキュリティは、安全を含む概念と理解できる。例えば、図２３に示すように、本発明の一側面にかかるセキュリティモニタリングは、デバイスヘルス（Ｄｅｖｉｃｅ Ｈｅａｌｔｈ）情報を判断するようにすることができ、具体的にはネットワークに含まれたデバイスの正常作動可否又はアライブ（Ａｌｉｖｅ）可否を判断するようにすることができる（ステップ２３７５）。アライブ情報は、連結（Ｃｏｎｎｅｃｔ）情報を収集（ステップ２３７０）し、これに基づいて判断するような能動的（Ａｃｔｉｖｅ）方式と、別途のデータ送信なしで判断する受動的（Ｐａｓｓｉｖｅ）方式のうち少なくとも一つが使用できる。デバイス又はサービスのアライブ可否を判断し（ステップ２３８０）、デバイスがアライブの状態ではないと判断されることに応答して、これを管理者又は管制センターに報知することができる（ステップ２３８５）。

【0338】

図２４は、図２０のモニタリング装置によるセキュリティ問題の発生可否の決定ステップ（ステップ２２２０）の詳細なフローチャートであり、図２５は、図２４のデータ送受信に関する情報に基づいて、セキュリティ問題の発生可否を決定するステップに対する詳細なフローチャートである。

【0339】

図２４に示すように、ネットワークモニタリング装置がセキュリティ問題の発生可否を決定するステップ（ステップ２３２０）は、ミラーリングされた少なくとも一つのパケットから獲得されたデータ送受信に関する情報に基づいて、セキュリティ問題の発生可否を決定することができる（ステップ２２２１）。より具体的に、データ送受信に関する情報は、前述したようにパケット情報、トラフィック情報、トランザクション情報を含むが、データ送受信に関する情報に基づいてセキュリティ問題の発生可否を決定するステップは、図２５に示すように、少なくとも一つのパケットからの情報を含むパケット（Ｐａｃｋｅｔ）情報に基づいてセキュリティ問題の発生可否を決定し（ステップ２２２１－１）、パケットのソース、目的地を用いてパケットのフロー（ｆｌｏｗ）に関する情報を含むトラフィック（Ｔｒａｆｆｉｃ）情報に基づいてセキュリティ問題の発生可否を決定し（ステップ２２２１－３）、複数のパケットの送受信及びパケットのアプリケーションに関する情報を含むプロトコル（Ｐｒｏｔｏｃｏｌ）情報に基づいてセキュリティ問題の発生可否を決定（ステップ２２２１－５）することができる。

【0340】

再度図２４を参照すると、ネットワークモニタリング装置は、複数のミラーリングされたパケットから獲得された統計情報に基づいてセキュリティ問題の発生可否を決定（ステップ２２２３）することができ、第１のエンティティ及び前記第２のエンティティのうち少なくとも一つに対する連結（Ｃｏｎｎｅｃｔ）が可能か否かを示すアライブ（Ａｌｉｖｅ）情報に基づいてセキュリティ問題の発生可否を決定（ステップ２２２５）することができる。図２４には、各ステップが順序をもって図示されているが、前記のようなそれぞれの情報に基づくセキュリティ問題の発生可否の決定ステップは、少なくとも部分的に同時に行われてもよく、順次に行われてもよい。

【0341】

図２６は、図２０の第２のエンティティによるセキュリティ問題の発生可否の決定ステップの詳細なフローチャートである。図２６に示すように、第２のエンティティ又はエッジコンピューティング装置がセキュリティ問題の発生可否を決定するステップ（ステップ２２５０）は、第２のエンティティ又はエッジコンピューティング装置のシステム状態及びログ（Ｌｏｇ）情報のうち少なくとも一つに基づいて、セキュリティ問題の発生可否を決定することができる（ステップ２２５１）。第２のエンティティ又はエッジコンピューティング装置により行われるセキュリティモニタリングは、第２のエンティティ又はエッジコンピューティング装置のプロセッサの性能に応じて異なって決定され得る。基本的には、第２のエンティティ又はエッジコンピューティング装置に対するシステム状態や、第２のエンティティ又はエッジコンピューティング装置に記録されるログを分析し、セキュリティ問題の発生可否を決定できる。例えば、第２のエンティティ又はエッジコンピューティングデバイスに許容されていないＩＰからのログインの試みが発生した際、セキュリティ関連の問題が発生したと決定するようにできる。

【0342】

一方、第２のエンティティ又はエッジコンピューティング装置がセキュリティ問題の発生可否を決定するステップ（ステップ２２５０）は、第２のエンティティ又はエッジコンピューティング装置に送受信される少なくとも一つのパケットから獲得されたデータ送受信に関する情報を含むパケット（Ｐａｃｋｅｔ）情報に基づいて、セキュリティ問題の発生可否を決定するステップ（ステップ２２５３）をさらに含むことができる。第２のエンティティ及びエッジコンピューティング装置のプロセシング能力を考慮し、前記ネットワークモニタリング装置でデータ送受信に関する情報を用いたセキュリティモニタリングのうち、ソース及び目的地に関する情報を含まないパケットそれ自体からの情報を含むことができる「パケット情報」に基づいて、セキュリティモニタリングを行うことができる。但し、本発明の他の側面にかかると、第２のエンティティ又はエッジコンピューティング装置により高性能のプロセッサを備え、ネットワークモニタリング装置と同様に「トラフィック情報」及び「プロトコル情報」のうち少なくとも一つ以上をさらに考慮し、セキュリティモニタリングを行うように構成されることもできる。

【0343】

再度図２６を参照すると、第２のエンティティ又はエッジコンピューティング装置がセキュリティ問題の発生可否を決定するステップ（ステップ２２５０）は、第２のエンティティ又はエッジコンピューティング装置がセキュリティ問題が発生したと決定することに応答して、第２のエンティティ又はエッジコンピューティング装置が、スイッチング装置１６２０にエッジ領域のセキュリティ警告情報を送信するステップ（ステップ２２５５）をさらに含むことができる。第２のエンティティ又はエッジコンピューティング装置を含むことができるエッジ領域でのセキュリティモニタリングは、第２のエンティティ又はエッジコンピューティング装置により行われることができ、第２のエンティティ又はエッジコンピューティング装置は、エッジ領域でセキュリティ問題が発生したという情報を含むエッジ領域のセキュリティ警告情報をスイッチング装置１６２０に送信できる。前記のようなエッジ領域のセキュリティ警告情報は、スイッチング装置１６２０をしてエッジ領域のセキュリティ警告情報を送信した第２のエンティティ又はエッジコンピューティング装置からのデータ受信を遮断するようにする命令を含むこともできる。エッジ領域のセキュリティ警告情報は、スイッチング装置１６２０を経由してネットワークモニタリング装置１６６０へも送信されることができ、協業を介したより向上したセキュリティモニタリングが行われるようにすることができる。前記で見たように、ネットワークモニタリング装置は、自体でセキュリティ問題が発生したと決定するか、エッジ領域でセキュリティ問題が発生したという情報を受信することに応答して、管理者又は統合管制システムにセキュリティ警告を発送することができる。一側面によって、ネットワークモニタリング装置は、セキュリティ問題が発生した際、セキュリティ問題が発生したネットワークの特定のエンティティに対する情報の送受信を遮断するように構成されることもできる。

【0344】

図２７は、ＯＳＩ７階層によるセキュリティモニタリングの適用案の例示を示す表である。図２７に示すように、前記で説明したようなパケット情報ベースのセキュリティモニタリング、トラフィック情報ベースのセキュリティモニタリング、プロトコル情報ベースのセキュリティモニタリング、統計情報ベースのセキュリティモニタリング及びアライブ情報ベースのセキュリティモニタリングは、それぞれＯＳＩ７階層のうちいずれか階層での情報に基づくか否かがそれぞれ異なり得る。一側面にかかると、パケット情報は、ＯＳＩ３階層及びＯＳＩ４階層のうち少なくとも一つから取得され、トラフィック情報は、ＯＳＩ４階層から取得され、プロトコル情報は、ＯＳＩ７階層から取得され、統計情報は、ＯＳＩ３階層、ＯＳＩ４階層及びＯＳＩ７階層のうち少なくとも一つから取得され、前記アライブ情報は、ＯＳＩ３階層及びＯＳＩ４階層のうち少なくとも一つから取得されることができる。

【0345】

図２７を参照としてより具体的に説明すると、ＯＳＩ３階層のネットワーク（Ｎｅｔｗｏｒｋ）レイヤーでは、例えば、ＩＰ、ＩＣＭＰのようなプロトコルが適用され、パケット情報、統計情報、又はアライブ情報のうち少なくとも一つに基づくセキュリティモニタリングのための情報を提供することができる。ＯＳＩ４階層のトランスポート（Ｔｒａｎｓｐｏｒｔ）レイヤーでは、例えば、ＴＣＰ、ＵＤＰのようなプロトコルが適用され、パケット情報、トラフィック情報、統計情報又はアライブ情報のうち少なくとも一つに基づくセキュリティモニタリングのための情報を提供することができる。ＯＳＩ７階層のアプリケーション（Ａｐｐｌｉｃａｔｉｏｎ）レイヤーは、例えば、ＨＴＴＰ、ＦＴＰのようなプロトコルが適用され、プロトコル情報又は統計情報のうち少なくとも一つに基づくセキュリティモニタリングのための情報を提供することができる。図２７に例示されていないが、ＯＳＩ３、４及び７階層を除いた残りの階層で獲得される情報に基づいて、セキュリティモニタリングを行うことも可能である。図２７のＡｌｉｖｅ情報は、例えば、ＩｏＴデバイス、ＩＰカメラのような第２のエンティティのエッジ端での故障やトロイの木馬の設置可否のために使用できる。

【0346】

図２８は、人工知能ベースのセキュリティモニタリング技法の適用案に対する概念図である。図２８に示すように、本発明の一側面にかかるセキュリティモニタリングは、ミラーリングされたパケットに基づく学習する人工知能ベースの異常徴候検知（Ａｎｏｍａｌｙ Ｄｅｔｅｃｔｉｏｎ）技法を使用することができる。関連して、ネットワークの構成及び正常状態は個別のネットワーク毎に完全に異なり得、特定のネットワークで正常作動の範疇に含まれる行為又は状態が、他のネットワークでは異常徴候行為と認識されることもある。従って、特定の一般的な訓練データに基づいて人工知能を学習させることは、個別のネットワークに適用時、誤ったセキュリティモニタリングの結果を導出するようにする問題点が発生し得る。

【0347】

本発明の一側面にかかる人工知能ベースの異常徴候検知技法は、該当ネットワークでの予め決定された時間長の区間（例えば、一週間）の間の実際にミラーリングされたパケットデータを訓練データに使用して人工神経網を学習させて、以降、実際にミラーリングされたパケットデータに対するセキュリティモニタリングを行う際、前記学習された人工神経網モデルを適用するように実現化できる。図２８に示すように、学習ステップ（ステップ２８１０）では、予め決定された時間長の区間（例えば、一週間）の間、例えば、強化学習に基づいて実際のネットワークモニタリング方法が適用される対象ネットワークからミラーリングされたパケットを訓練データとして活用することにより人工神経網を学習させることができる。必要な場合には、このような人工神経網モデルをアップデート（ステップ２８１５）することもでき、適用ステップ（ステップ２８２０）では学習及び／又はアップデートされた人工神経網モデルに基づいて適用対象ネットワークのミラーリングされたパケットをモニタリングし、セキュリティモニタリングを行うことができる。

【0348】

人工知能ベースの異常徴候検知技法は、例えば、クラスタリング技法でり得る。人工神経網を学習させるステップは、予め決定した第１の時間区間の間の前記ミラーリングされた少なくとも一つのパケットそれぞれを第１の関数を用いてそれぞれの数値に変換し、前記人工神経網が前記それぞれの数値に基づいて正常数値の範囲を決定するようにすることを含むことができる。一側面にかかると、学習対象になる、例えば、一週間のミラーリングされたパケットから獲得される情報を所定の関数に基づいて数学的記号又は数字、又はベクトルに変換できる。前記のような変換は、該当ネットワークの状態を適切に分散させることができる任意の関数により行われることができ、このような変換は、公知のマシンラーニング技法のいずれかが使用されることもできる。例えば、ネットワークのミラーリングされたパケットのＬ３、Ｌ４、Ｌ７データのうち少なくとも一つは、関数により数字的記号、数字又はベクトルに変換でき、クラスタリングにより正常範疇の範囲が決定できる。

【0349】

以降、異常徴候の発生可否を検出することは、モニタリング時点にミラーリングされた少なくとも一つのパケットを前記第１の関数を用いて基準数値に変換し、基準数値が正常数値の範囲に含まれないという決定に応答して、異常徴候が発生したと決定することを含むことができる。一側面にかかると、適用段階でのミラーリングされたパケットからの情報を変換した際、その値が正常状態を示す範疇で予め設定した値以上離れている場合、これをセキュリティ問題が発生したと決定するように構成できる。前記のように実際の適用対象になるネットワークのミラーリングされたパケットに基づいて予め決定された時間長の区間の間に人工神経網を学習させることにより、個別的なネットワーク毎に適応的にセキュリティモニタリングを行うようにすることができる。

【0350】

図２９は、処理要素によるセキュリティモニタリングの案及び対象項目の例示を示す表であり、図３０は、処理要素によるセキュリティ検知の例示を示す表である。図２９に示すように、本発明の一側面にかかるセキュリティモニタリングは、処理要素に応じて異なるセキュリティモニタリングの案又はアルゴリズムを適用することができる。

【0351】

図２９に示すように、パケット情報を処理する例示的なセキュリティ問題の検出案として、人工知能（ＡＩ）ベースのクラスタリング（Ｃｌｕｓｔｅｒｉｎｇ）技法と規則／パターンベースのシグネチャー（Ｓｉｇｎａｔｕｒｅ）ベース検知技法のうち少なくとも一つが使用できる。アルゴリズム（対象項目）として、Ｌ３／Ｌ４データに対するＡＩベースのクラスタリングを適用するか、シグネチャー技法と関連し、例えば、ソースＩＰ、ソースポート、目的地ＩＰ、目的地ポート、プロトコル、パケットフラグ、ＰＰＳ、ＢＰＳ、ＣＰＳに対するＡｎｏｍａｌｙ ｄｅｔｅｃｔｉｏｎを行うようにすることができる。前記で見たように、パケット情報に対するセキュリティモニタリングは、ネットワークモニタリング装置１６６０及びセキュリティモジュール１６４０のうち少なくとも一つで行われることができる。

【0352】

再度図２９を参照すると、トラフィック情報を処理する例示的なセキュリティ問題の検出案としてＡＩベースのクラスタリング技法が使用できる。アルゴリズム（対象項目）としては、例えば、トラフィック分散グラフ（Ｔｒａｆｆｉｃ Ｄｉｓｐｅｒｓｉｏｎ Ｇｒａｐｈ）に対するクラスタリング技法が適用できる。トラフィック情報に対するセキュリティモニタリングは、ネットワークモニタリング装置１６６０で行われることができる。但し、本発明の別の側面にかかり、エッジコンピューティングデバイスのプロセッサの処理能力を向上させる場合、セキュリティモジュール１６４０でも行われるようにすることもできる。

【0353】

再度図２９を参照すると、プロトコル情報を処理する例示的なセキュリティ問題の検出案として、ＡＩベースのクラスタリング技法と規則／パターンベースの明細（Ｓｐｅｃｉｆｉｃａｔｉｏｎ）ベースの技法のうち少なくとも一つが使用できる。アルゴリズム（対象項目）として、Ｌ７データに対するＡＩベースのクラスタリングを適用するか、明細ベース技法と関連し、例えば、ＵＲＬ、Ｃｏｍｍａｎｄ、Ｂｅｈａｖｉｏｒに対するＡｎｏｍａｌｙ ｄｅｔｅｃｔｉｏｎを行うようにすることができる。セキュリティモニタリングの適用対象がＩＰカメラを含むシステムである場合、コマンド（Ｃｏｍｍａｎｄ）は、例えば、ＩＰカメラに対するログインコマンド、ビューイングコマンド、プレビューコマンドのうち少なくとも一つを含むことができる。プロトコル情報に対するセキュリティモニタリングは、ネットワークモニタリング装置１６６０で行われることができる。但し、本発明の別の側面にかかり、エッジコンピューティングデバイスのプロセッサの処理能力を向上させる場合、セキュリティモジュール１６４０でも行われるようにすることもできる。

【0354】

再度図２９を参照すると、統計情報を処理する例示的なセキュリティ問題の検出案として、ＡＩベースの統計的（Ｓｔａｔｉｓｔｉｃａｌ）技法が適用できる。具体的なアルゴリズム（対象項目）は、例えば、時間をベースとする比較（例えば、同じ時刻に対する異なる日付での状態比較）が含まれ得る。統計情報に対するセキュリティモニタリングは、ネットワークモニタリング装置１６６０で行われ得る。但し、本発明の別の側面にかかり、エッジコンピューティングデバイスのプロセッサの処理能力を向上させる場合、セキュリティモジュール１６４０でも行われるようにすることもできる。

【0355】

再度図２９を参照すると、アライブ情報を処理する例示的なセキュリティ問題の検出案は、規則／パターンベースの明細ベース技法が適用できる。具体的なアルゴリズム（対象項目）は、明細ベースとして臨界値をベースとする比較が使用できる。アライブ情報に対するセキュリティモニタリングは、ネットワークモニタリング装置１６６０で行われることができる。但し、本発明の別の側面にかかり、エッジコンピューティングデバイスのプロセッサの処理能力を向上させる場合、セキュリティモジュール１６４０でも行われるようにすることもできる。

【0356】

最後に、図２９を参照すると、第２のエンティティ又はエッジコンピューティング装置のセキュリティモジュール１６４０で行われることができるシステム状態及びＬｏｇ情報に対する処理は、規則／パターンベースのシグネチャーベース技法が適用できる。例えば、シグネチャーベース技法内で臨界値を基準に比較する方法が適用できる。

【0357】

図２９を参照として前述したところによって、図２５又は図２６のパケット情報に基づいてセキュリティ問題の発生可否を決定するステップ（ステップ２２２１－１又はステップ２２５３）は、クラスタリングベースの異常徴候検知及びシグネチャーベース探知のうち少なくとも一つを用いて、図２５のトラフィック情報に基づいてセキュリティ問題の発生可否を決定するステップ（ステップ２２２１－３）は、クラスタリングベースの異常徴候検知を用いて、図２５のプロトコル情報に基づいてセキュリティ問題の発生可否を決定するステップ（ステップ２２２１－５）は、クラスタリングベースの異常徴候検知及び明細ベースの探知のうち少なくとも一つを用いて、図２４の統計情報に基づいて、セキュリティ問題の発生可否を決定するステップ（ステップ２２２３）は、統計的技法ベースの異常徴候検知を用いて、図２４のアライブ情報に基づいて、セキュリティ問題の発生可否を決定するステップ（ステップ２２２５）は、明細ベース探知を用いるように構成されることができる。

【0358】

図３０を参照すると、前記のようなセキュリティ問題の発生可否の検出案及び対象項目によるセキュリティモニタリング適用の具体的な例示が図示される。図３０に開示されたように、図２５又は図２６のパケット情報に基づいて、セキュリティ問題の発生可否を決定するステップ（ステップ２２２１－１又はステップ２２５３）は、ＡＩベースの予め決定した第１のソースＩＰから第１の目的地ＩＰまでの区間の接続の数が予め決定した臨界値以上という決定、予め決定した第１のＵＲＬに対する要請が予め決定した臨界値以上という決定、予め決定した第１のサーバのＢＰＳ（Ｂｉｔ Ｐｅｒ Ｓｅｃｏｎｄ）が予め決定した臨界値以上という決定と、シグネチャー技法に属する、予め決定した第２のソースＩＰからのＰＰＳ（Ｐａｃｋｅｔ Ｐｅｒ Ｓｅｃｏｎｄ）が予め決定した臨界値以上という決定、予め決定した第３のソースＩＰからの同期信号（ＳＹＮ）パケットの数が予め決定した臨界値以上という決定、及び予め決定した第４のソースＩＰが予め決定した臨界値以上の数のサーバＩＰに同時に接続を試みるという決定のうち少なくとも一つに基づいて、ネットワークにセキュリティ問題が発生したと決定するように構成できる。

【0359】

また、図３０を参照すると、図２５のトラフィック情報に基づいて、セキュリティ問題の発生可否を決定するステップ（ステップ２２２１－３）は、ＡＩベースのクラスタリング技法を用いて、トラフィック分散グラフから予め決定した臨界値以上外れたトラフィックが発生したと決定することに応答して、ネットワークにセキュリティ問題が発生したと決定するように構成できる。

【0360】

再度図３０を参照すると、図２５のプロトコル情報に基づいて、セキュリティ問題の発生可否を決定するステップ（ステップ２２２１－５）は、ＡＩベースの予め決定した第１のＩＰから予め決定した第１のＳＱＬ（Ｓｔｒｕｃｔｕｒｅｄ Ｑｕｅｒｙ Ｌａｎｇｕａｇｅ）に対して、予め決定した臨界値以上の要請が発生したという決定、ＨＴＴＰの要請が予め設定した基準値より少ない第５のソースＩＰから予め決定した臨界値以上のＨＴＴＰの要請が発生したという決定、及び予め決定した第２のサーバに対する予め決定した第２のＵＲＬに対する要請が予め決定した臨界値以上に発生したという決定と、明細ベース技法に属することができる、予め決定した時間長の区間の間に予め決定した第１の行動（例えば、ｋｅｅｐ－Ａｌｉｖｅ）が予め決定した臨界値の回数以上に発生したという決定、４０４誤謬を発生するＵＲＬへの接続が予め決定した臨界値以上発生したという決定、予め決定した時間長の区間（例えば、１分）の間に臨界値の回数（例えば、３回）以上ログイン失敗が発生したという決定のうち少なくとも一つに基づいて、前記ネットワークにセキュリティ問題が発生したと決定するように構成できる。

【0361】

また、図３０を参照すると、図２４の統計情報に基づいて、セキュリティ問題の発生可否を決定するステップ（ステップ２２２３）は、ＡＩ技法に属することができる、予め決定した第１の時刻区間の平均ＢＰＳが予め設定した日付以前の同じ時刻区間の平均ＢＰＳより予め決定した臨界値以上に大きいという決定、予め決定した時間長の区間の間に接続がなかったクライアントＩＰからサーバ接続が発生したという決定、サーバの出力（Ｏｕｔｂｏｕｎｄ）ＢＰＳが予め設定された平均値より２倍以上高いという決定のうち少なくとも一つに基づいて、前記ネットワークにセキュリティ問題が発生したと決定するように構成できる。

【0362】

再度図３０を参照すると、図２４のアライブ情報に基づいて、セキュリティ問題の発生可否を決定するステップ（ステップ２２２５）は、明細ベース技法に属することができる、予め決定した臨界値の時間長の区間以上に前記第１のエンティティ又は第２のエンティティのうち少なくとも一つに接続ができないという決定、同期信号（ＳＹＮ）パケットに比べて、応答信号（ＡＣＫ）パケットが予め決定した臨界値以上により少なく発生するという決定、ＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）内にデバイスＩＰが存在しないという決定のうち少なくとも一つに基づいて、前記ネットワークにセキュリティ問題が発生したと決定するように構成できる。

【0363】

一方、図３０を参照すると、図２６のシステム状態及びログ（Ｌｏｇ）情報のうち少なくとも一つに基づいて、セキュリティ問題の発生可否を決定するステップ（ステップ２２５１）は、シグネチャーベース技法に含まれることができる、許容されていないＩＰから前記第２のエンティティ又は前記エッジコンピューティング装置にログイン（Ｌｏｇｉｎ）の試みが発生したという決定、第２のエンティティ又は前記エッジコンピューティング装置で知られていないプロセスの動作が発生したという決定、第２のエンティティ又はエッジコンピューティング装置に予め決定された時間長の区間の間に予め決定された回数以上のログイン失敗が発生したという決定のうち少なくとも一つに基づいて、第２のエンティティ又は前記エッジコンピューティングデバイスにセキュリティ問題が発生したと決定するように構成できる。

【0364】

図３１は、モニタリング装置及びエッジ領域の協業によるセキュリティ性を示す表である。図３１に示すように、ネットワークモニタリング装置１６６０とエッジ領域の例を挙げて、第２のエンティティ又はエッジコンピューティング装置のセキュリティモジュール１６４０で全てセキュリティ検知が行われるとき、最上のセキュリティ性を確保することができ、ネットワークモニタリング装置１６６０でのみセキュリティ検知が行われるとき、上のセキュリティ性を、エッジ領域の例を挙げて、第２のエンティティ又はエッジコンピューティング装置のセキュリティモジュール１６４０でのみセキュリティ検知が行われるとき、下のセキュリティ性を、ネットワークモニタリング装置１６６０とエッジ領域の例を挙げて、第２のエンティティ又はエッジコンピューティング装置のセキュリティモジュール１６４０で全てセキュリティ検知が行われないとき、最下のセキュリティ性を有することになる。さらに、前記で見たように、エッジ領域の例を挙げて、第２のエンティティ又はエッジコンピューティング装置のセキュリティモジュール１６４０で行われるセキュリティ検知は、例えば、第２のエンティティ又はエッジコンピューティング装置のプロセッサの性能に応じて変化され得、これは、セキュリティ性の強度にも影響及び／又はセキュリティモニタリングの効率性、迅速性のうち何れか一つ以上に影響を与え得る。

【0365】

図３２は、アライブ（Ａｌｉｖｅ）情報のセキュリティアルゴリズムの例示を示す表である。図３２に示すように、アライブ情報ベースのセキュリティアルゴリズムは、受動型（Ｐａｓｓｉｖｅ）及び能動型（Ａｃｔｉｖｅ）に区分でき、デバイスの状態は、サーバダウン（Ｓｅｒｖｅｒ Ｄｏｗｎ）とサービスダウン（Ｓｅｒｖｉｃｅ Ｄｏｗｎ）に区分できる。ここで、サーバダウンとサービスダウンは、それぞれの条件（Ｃｏｎｄｉｔｉｏｎ）１と２が全て満たされる場合に決定され、サーバがダウンされた場合には、無条件サービスがダウンされたと決定できる。図３２で、ｌａｓｔ＿ｔｒａｎｓｆｅｒ＿ｔｉｍｅは、一番最後に送信（ｒｅｑｕｅｓｔ／ｒｅｓｐｏｎｓｅ）されたパケットの時間を示し、ＣＯＮＮＥＣＴ（）のｔｉｍｅｏｕｔ時間は、例えば、３秒であり得る。ＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）は、ネットワーク上でＩＰアドレスを物理的ネットワークアドレスに対応（ｂｉｎｄ）させるために使用されるプロトコルを示し得る。

【0366】

図３２に示すように、受動型アルゴリズムでサーバダウンの条件１は、最終の送信時間から現在までの時間がｎ秒を超えるものであり、条件２は、同期信号（ＳＹＮ）の数がｍ個を超えるものであり得る。また、受動型アルゴリズムでサービスダウンの条件１は、同じように最終の送信時間から現在までの時間がｎ秒を超えるものであり、条件２は、サーバリセットのカウントがｍを超えるものであり得る。能動型アルゴリズムでサーバダウンの条件１は、サーバＩＰに対する接続時間がネットワークタイムアウト（ｔｉｍｅｏｕｔ）時間であるか、ネットワーク終了（ｃｌｏｓｅ）時間のものであり得、条件２は、サーバＩＰがＡＲＰ内に存在しないものであり得る。能動型アルゴリズムのサービスダウンの条件１はサーバダウンと同一であるが、条件２は、サーバＩＰがＡＲＰ内に存在するものであり得る。

【0367】

図３３は、本発明の一実施例にかかるネットワークモニタリング装置の例示的な構成を示すブロック図である。図３３に示すように、本発明の一実施例にかかるネットワークモニタリング装置３３００は、プロセッサ３３１０、ポート３３２０、及びメモリ３３３０を含むことができる。ネットワークモニタリング装置３３００は、前記図１６乃至図１９を参照として説明したように、第１のエンティティ１６１０と第２のエンティティ１６３０、第１のエンティティ及び第２のエンティティの間に備えられるスイッチング装置１６２０、並びにスイッチング装置と連結されるネットワークモニタリング装置（１６６０又は３３００）を含むネットワークに含まれたものであり得る。

【0368】

ポート（ｐｏｒｔ）３３２０は、スイッチング装置１６２０からミラーリングすることに基づき、第１のエンティティ１６１０と第２のエンティティ１６３０との間に送受信される少なくとも一つのパケットに対する、ミラーリングされた少なくとも一つのパケットを獲得するように構成できる。

【0369】

プロセッサ３３３０は、ミラーリングされた少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、第１のエンティティ１６１０と第２のエンティティ１６３０と関連したネットワークに対するセキュリティ問題の発生可否を決定するように構成できる。

【0370】

メモリ３３３０には、例えば、セキュリティモニタリングのための訓練された人工神経網モデルや、シグネチャー情報、明細情報のうち少なくとも一つ以上が保存されてもよく、一側面にかかると、プロセッサ３３１０をしてネットワークモニタリングを行うようにするためのコマンドが保存されてもよい。

【0371】

図３４は、本発明の一実施例にかかる第２のエンティティの例示的な構成を示すブロック図である。図３４に示すように、本発明の一実施例にかかる第２のエンティティ３４００は、第１のエンティティと第２のエンティティ、第１のエンティティ及び第２のエンティティの間に備えられるスイッチング装置を含むネットワークに含まれた、第２のエンティティであり得る。ここで、第２のエンティティ３４００は、第１のエンティティとパケットを送受信するための送受信部３４２０を含み、プロセッサ３４２０を備え、エッジコンピューティング（Ｅｄｇｅ ｃｏｍｐｕｔｉｎｇ）を行うか、プロセッサを備えるエッジコンピューティング装置を経由して前記スイッチング装置に連結されるように構成できる。

【0372】

プロセッサ３４２０は、第２のエンティティ３４００に受信されるか、第２のエンティティ３４００で送信される少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、第１のエンティティと第２のエンティティと関連したネットワークに対するセキュリティ問題の発生可否を決定するように構成できる。

【0373】

メモリ３４３０には、例えば、セキュリティモニタリングのための訓練された人工神経網モデルや、シグネチャー情報、明細情報のうち少なくとも一つ以上が保存されてもよく、一側面にかかると、プロセッサ３４１０をしてネットワークモニタリングを行うようにするためのコマンドが保存されてもよい。

【0374】

一方、図１６乃至図１９を参照し、本発明の一実施例にかかるネットワークセキュリティ問題の発生可否を決定するネットワークモニタリングシステムについて説明すると、本発明の一実施例にかかるネットワークモニタリングシステムは、第１のエンティティ（ｅｎｔｉｔｙ）と第２のエンティティとの間に備えられるスイッチング装置１６２０と、スイッチング装置と連結され、スイッチング装置からミラーリングすることに基づき、第１のエンティティと第２のエンティティとの間に送受信される少なくとも一つのパケットに対する、ミラーリングされた少なくとも一つのパケットを獲得し、ミラーリングされた少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、第１のエンティティと第２のエンティティと関連したネットワークに対するセキュリティ問題の発生可否を決定する、ネットワークモニタリング装置１６６０及びプロセッサを備え、エッジコンピューティング（Ｅｄｇｅ ｃｏｍｐｕｔｉｎｇ）を行うか、プロセッサを備えるエッジコンピューティング装置を経由してスイッチング装置に連結される第２のエンティティ１６３０を含むことができる。ここで、プロセッサは、第２のエンティティに受信されるか、第２のエンティティで送信される少なくとも一つのパケットに含まれた情報のうち少なくとも一部に基づいて、第１のエンティティと第２のエンティティと関連したネットワークに対するセキュリティ問題の発生可否を決定するように構成できる。

【0375】

本発明の一実施例にかかるネットワークモニタリング装置、第２のエンティティ、及びネットワークモニタリングシステムのうち少なくとも一つの具体的な動作は、前述した本発明の一実施例にかかるネットワークモニタリング方法の具体的な手続に従うことができる。

【0376】

図３５は、本発明の一実施例にかかる第２のエンティティによるネットワークモニタリングのための設定画面を示す。前述したように、本発明の一側面にかかると、プロセッサを備えてエッジコンピューティングを行うか、プロセッサを備えるエッジコンピューティング装置を経由して第１のエンティティと通信し、スイッチング装置に連結される第２のエンティティもやはりネットワークの性能及び／又はセキュリティに対するモニタリングを行うように構成できる。第２のエンティティのネットワークモニタリングに対する設定は、例えば、第２のエンティティ又は第２のエンティティと連結された装置によって行われてもよく、スイッチング装置と連結されたモニタリング装置又はモニタリング装置に連結されたデバイス（例えば、コンソール）により行われてもよい。図３５は、第２のエンティティによるネットワークモニタリングに対する具体的な設定を行うことができる例示的なＵＸ／ＵＩを示す。例えば、コンソールにより構成されたネットワークモニタリングに対する設定値（ｓｅｔｔｉｎｇ ｖａｌｕｅ）は、ネットワークモニタリング装置に伝達され、ネットワークモニタリング装置のネットワークモニタリングに対する設定値がネットワークモニタリング装置に保存されるようにすることができ、コンソールにより決定された第２のエンティティのネットワークモニタリングに対する設定値は第２のエンティティに伝達され、保存されることができる。第２のエンティティは、前記のような設定値によってネットワークモニタリングを行い、モニタリングの結果に対する情報をネットワークモニタリング装置に伝達し、ユーザに伝達するように構成できる。

【0377】

図３５を参照すると、ネットワークモニタリングのための環境設定のためのＵＸ／ＵＩにより、ユーザは環境設定を変更しようとする警告要素３５０１を決定することができる。従来の警告対象であったサーバ／フローマップ／クライアントのみならず、例えば、「ＩｏＴ Ｄｅｖｉｃｅ」のような第２のエンティティもやはり警告要素として選択できるように追加されることができる。また、類型による複数のエンティティのうちそれぞれに対する警告ネーム（Ａｌｅｒｔ Ｎａｍｅ）及びデバイスＩＰ（Ｄｅｖｉｃｅ ＩＰ）と詳細内訳（Ｄｅｓｃｒｉｐｔｉｏｎ）が表示されるようにすることができる。

【0378】

一方、警告対象を設定した後、ユーザは警告の類型３５０２を設定することができる。即ち、警告対象に対して性能（Ｐｅｒｆｏｒｍａｎｃｅ）及び／又はセキュリティ（Ｓｅｃｕｒｉｔｙ）モニタリングのうちいずれかに対する設定を変更するか決定することができる。

【0379】

以降、モニタリングのための具体的な個別項目に対する詳細設定の変更が行われる。装置の状態３５０３に対する警告設定として、ＣＰＵ／メモリ／ディスクの使用量に対する設定が行われる。一側面にかかると、ＣＰＵ／メモリ／ディスク使用量の１分の平均に対する値が予め設定した臨界値以上であるとき、警告を行うようにすることができ、それぞれの使用量の臨界値に対してユーザが変更して設定するように構成できる。

【0380】

非正常行為警告３５０４と関連し、ＣＰＵ／メモリ／ディスクの平均絶対偏差に対する設定が行われる。一側面にかかると、ＣＰＵ／メモリ／ディスクの使用量に対する３分単位の平均絶対偏差が予め設定した臨界値以上であるとき、非正常行為警告を行うようにすることができ、それぞれの使用量の臨界値に対して、ユーザが変更して設定するように構成されることができる。

【0381】

一方、一側面にかかり、例えば、許容ＩＰ及び／又は許容プロセスとしてホワイトリスト３５０５を運営することができる。即ち、特定のＩＰを許容ＩＰとして設定しておき、許容ＩＰ以外のＩＰから第２のエンティティにアクセスが試みられる場合、これを通知するように設定でき、特定のプロセスを許容プロセスとして設定しておき、許容プロセス以外のプロセスに対する実行が試みられるとき、これを通知するように設定できる。

【0382】

ＤＤｏＳ又はＤｏＳの探知のための設定３５０６が行われる。例えば、ＤＤｏＳの探知のために接続が許容される最大のＩＰ数を設定し、予め設定した数以上のＩＰで接続が試みられるとき、ユーザに警告が通知されるように設定されることができる。また、例えば、ＤｏＳの探知のために一つのＩＰに連結されたポートの最大の数を設定し、予め設定した数のポートより多いポートで接続が試みられる場合に、ユーザに警告が通知されるように設定されることができる。

【0383】

一方、メモリカード脱着変化チェック３５０７に対する設定が可能である。第２のエンティティに、例えば、メモリカードのような付加の保存媒体が連結又は連結解除されるイベントがセキュリティ問題の発生と関連し得るので、連結されていなかった付加の保存媒体が連結される時点、又は連結されていた付加の保存媒体が連結解除される時点に、ユーザに警告が通知されるように設定されることができる。

【0384】

データの送信率関連設定３５０８もまた行われる。例えば、ＢＰＳ ＩＮ（ＴＸ）又はＯＵＴ（ＲＸ）の臨界値に対する以上又は以下に対する設定が行われる。第２のエンティティで受信されるデータのＢＰＳが、予め設定された値以上になるか、以下になる時点に、ユーザに警告が通知されるか、第２のエンティティから送信されるデータのＢＰＳが、予め設定された値以上になるか、以下になる時点に、ユーザに警告が通知されるようにすることができる。また、基準になるＢＰＳの値もやはりユーザが変更設定するように構成されることができる。

【0385】

報知機能３５０９に対する細部設定が可能である。即ち、警告報知が受信される受信者グループに対する設定、メール又はビープのような報知方法に対する設定、ＳＭＳメッセージの送信可否に対する設定と、命令の実行に対する設定が可能である。また、警告のレベルに対する設定と、活性化可否３５１０もやはり設定が可能である。

【0386】

一方、以上で説明されたシステム又は装置、方法は、ハードウェアの構成要素、ソフトウェアの構成要素、及び／又はハードウェアの構成要素及びソフトウェアの構成要素の組み合わせで実現化されることができる。例えば、実施例で説明されたシステム、装置及び構成要素は、例えば、プロセッサ、コントローラ、ＡＬＵ（ａｒｉｔｈｍｅｔｉｃ ｌｏｇｉｃ ｕｎｉｔ）、デジタル信号プロセッサ（ｄｉｇｉｔａｌ ｓｉｇｎａｌ ｐｒｏｃｅｓｓｏｒ）、マイクロコンピュータ、ＦＰＡ（ｆｉｅｌｄ ｐｒｏｇｒａｍｍａｂｌｅ ａｒｒａｙ）、ＰＬＵ（ｐｒｏｇｒａｍｍａｂｌｅ ｌｏｇｉｃ ｕｎｉｔ）、マイクロプロセッサ、又は命令（ｉｎｓｔｒｕｃｔｉｏｎ）を実行して応答できる他のどの装置のように、一つ以上の汎用コンピュータ又は特殊目的のコンピュータを利用して実現化されることができる。処理装置は、運営体制（ＯＳ）及び前記運営体制上で行われる一つ以上のソフトウェアアプリケーションを行うことができる。また、処理装置はソフトウェアの実行に応答して、データをアクセス、保存、操作、処理及び生成することもできる。理解の便宜のために、処理装置は一つが使用されるものと説明された場合もあるが、該当技術分野で通常の知識を有する者は、処理装置が複数個の処理要素（ｐｒｏｃｅｓｓｉｎｇ ｅｌｅｍｅｎｔ）及び／又は複数類型の処理要素を含み得ることが分かる。例えば、処理装置は、複数個のプロセッサ又は一つのプロセッサ及び一つのコントローラを含むことができる。また、並列プロセッサ（ｐａｒａｌｌｅｌ ｐｒｏｃｅｓｓｏｒ）のような、他の処理構成（ｐｒｏｃｅｓｓｉｎｇ ｃｏｎｆｉｇｕｒａｔｉｏｎ）も可能である。

【0387】

ソフトウェアは、コンピュータプログラム（ｃｏｍｐｕｔｅｒ ｐｒｏｇｒａｍ）、コード（ｃｏｄｅ）、命令（ｉｎｓｔｒｕｃｔｉｏｎ）、又はこれらのうち一つ以上の組み合わせを含むことができ、望む通りに動作するように処理装置を構成するか、独立的又は結合的に（ｃｏｌｌｅｃｔｉｖｅｌｙ）処理装置を命令することができる。ソフトウェア及び／又はデータは、処理装置によって解釈されるか、処理装置に命令又はデータを提供するために、ある類型の機械、構成要素（ｃｏｍｐｏｎｅｎｔ）、物理的装置、仮想装置（ｖｉｒｔｕａｌ ｅｑｕｉｐｍｅｎｔ）、コンピュータ保存媒体又は装置、若しくは送信される信号波（ｓｉｇｎａｌ ｗａｖｅ）に永久的に、若しくは一時的に具体化（ｅｍｂｏｄｙ）されることができる。ソフトウェアはネットワークで連結されたコンピュータシステム上に分散され、分散された方法で保存されるか、実行されることもできる。ソフトウェア及びデータは、一つ以上のコンピュータ読取可能記録媒体に保存されることができる。

【0388】

実施例にかかる方法は、様々なコンピュータ手段を介して行われるプログラム命令の形態で実現化され、コンピュータ読取可能媒体に記録されることができる。前記コンピュータ読取可能媒体は、プログラム命令、データファイル、データ構造等を単独で又は組み合わせて含むことができる。前記媒体に記録されるプログラム命令は、実施例のために特別に設計されて構成されたものであるか、コンピュータソフトウェアの当業者に公知となって使用可能なものであってもよい。コンピュータ読取可能記録媒体の例には、ハードディスク、フロッピーディスク、及び磁気テープのような磁気体（ｍａｇｎｅｔｉｃ ｍｅｄｉａ）、ＣＤ－ＲＯＭ、ＤＶＤのような光記録媒体（ｏｐｔｉｃａｌ ｍｅｄｉａ）、フロプティカルディスク（ｆｌｏｐｔｉｃａｌ ｄｉｓｋ）のような磁気－光媒体（ｍａｇｎｅｔｏ－ｏｐｔｉｃａｌ ｍｅｄｉａ）、及びロム（ＲＯＭ）、ラム（ＲＡＭ）、フラッシュメモリ等のようなプログラム命令を保存して行うように特別に構成されたハードウェア装置が含まれる。プログラム命令の例には、コンパイラにより作られるような機械語コードだけでなく、インタプリタ等を使用してコンピュータによって実行されることができる高級言語コードを含む。前記したハードウェア装置は、実施例の動作を行うために一つ以上のソフトウェアモジュールとして作動するように構成されることができ、その逆も同様である。

【0389】

以上のように、実施例が限定された実施例と図面により説明されているが、該当技術分野で通常の知識を有する者であれば、前記の記載から様々な修正及び変形が可能である。例えば、説明された技術が説明された方法と異なる順序で行われるか、及び／又は説明されたシステム、構造、装置、回路等の構成要素が説明された方法と異なる形態で結合又は組み合わされるか、他の構成要素又は均等物によって代えたり代置されるか置換されても、適切な結果が達成できる。

【0390】

従って、他の実現化、別の実施例及び特許請求範囲と均等なものも、後述する特許請求範囲の範囲に属する。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7a】

【図7b】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】

【図20】

【図21】

【図22】

【図23】

【図24】

【図25】

【図26】

【図27】

【図28】

【図29】

【図30】

【図31】

【図32】

【図33】

【図34】

【図35】