特許7535951コレクタ装置、ネットワーク監視方法、プログラム、及びネットワーク監視システム
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2024-08-08
(45)【発行日】2024-08-19
(54)【発明の名称】コレクタ装置、ネットワーク監視方法、プログラム、及びネットワーク監視システム
(51)【国際特許分類】
H04L 43/00 20220101AFI20240809BHJP
【ＦＩ】
H04L43/00
【請求項の数】
11
(21)【出願番号】P 2021000720
(22)【出願日】2021-01-06
(65)【公開番号】P2022106040
(43)【公開日】2022-07-19
【審査請求日】2023-07-28
(73)【特許権者】
【識別番号】504411166
【氏名又は名称】アラクサラネットワークス株式会社
(74)【代理人】
【識別番号】110001678
【氏名又は名称】藤央弁理士法人
(72)【発明者】
【氏名】青木 圭佑
【審査官】小林 義晴
(56)【参考文献】
【文献】米国特許出願公開第２０１８／００２００１５（ＵＳ，Ａ１）
【文献】特開２０１５－１０６３４９（ＪＰ，Ａ）
【文献】特開２０１８－００７２０３（ＪＰ，Ａ）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｈ０４Ｌ ４３／００
(57)【特許請求の範囲】
【請求項1】
ＮｅｔＦｌｏｗ情報を用いてネットワークトラフィックを監視するコレクタ装置であって、ネットワークトラフィックを受信してＮｅｔＦｌｏｗ情報を生成するセンサ装置からＮｅｔＦｌｏｗ情報を取得するＮｅｔＦｌｏｗ情報受信部と、
前記センサ装置から判定用情報として前記センサ装置の死活情報を受信する情報受信部と、
前記受信した死活情報を用いて、前記受信したＮｅｔＦｌｏｗ情報の統計値が正しいかを判定し、前記受信したＮｅｔＦｌｏｗ情報の統計値が正しくないと判定された場合、前記センサ装置毎に定められたセンサ閾値情報を用いて、ネットワークトラフィックの監視に用いる閾値情報を更新する閾値情報修正部と、
前記更新された閾値情報を用いてネットワークトラフィックが正常かを判定する閾値判定部とを備えることを特徴とするコレクタ装置。
【請求項2】
ＮｅｔＦｌｏｗ情報を用いてネットワークトラフィックを監視するコレクタ装置であって、
ネットワークトラフィックを受信してＮｅｔＦｌｏｗ情報を生成するセンサ装置からＮｅｔＦｌｏｗ情報を取得するＮｅｔＦｌｏｗ情報受信部と、
前記センサ装置から判定用情報としてネットワークトラフィックのデータ量を示す統計情報を受信する情報受信部と、
前記受信した統計情報を用いて、前記受信したＮｅｔＦｌｏｗ情報の統計値が正しいかを判定し、前記受信したＮｅｔＦｌｏｗ情報の統計値が正しくないと判定された場合、前記受信したＮｅｔＦｌｏｗ情報を修正するＮｅｔＦｌｏｗ情報修正部と、
前記修正されたＮｅｔＦｌｏｗ情報を蓄積する補正ＮｅｔＦｌｏｗ情報補正部と、
前記修正されたＮｅｔＦｌｏｗ情報を用いてネットワークトラフィックが正常かを判定する閾値判定部とを備えることを特徴とするコレクタ装置。
【請求項3】
請求項１に記載のコレクタ装置であって、
前記センサ装置毎にセンサ閾値情報が定められており、
前記閾値情報修正部は、前記死活情報によって正常でないと判定されたセンサ装置のセンサ閾値情報の分だけ前記監視に用いる閾値情報を減少することを特徴とするコレクタ装置。
【請求項4】
請求項３に記載のコレクタ装置であって、
前記センサ装置毎及びフロー条件毎の上限閾値及び下限閾値を含むセンサ閾値情報を保持するセンサ／閾値関連情報保持部と、
前記ネットワークトラフィックの監視に用いる上限閾値及び下限閾値を含む閾値情報を保持する閾値情報保持部とを備え、
前記閾値情報修正部は、前記センサ／閾値関連情報保持部を参照して、前記閾値情報保持部に保持された閾値情報を更新することを特徴とするコレクタ装置。
【請求項5】
請求項２に記載のコレクタ装置であって、
前記補正ＮｅｔＦｌｏｗ情報補正部は、
前記センサ装置から受信したＮｅｔＦｌｏｗ情報の合計値と前記受信した統計情報の差を計算し、
前記受信したＮｅｔＦｌｏｗ情報の比に従って、前記計算された差を各センサ装置から受信したＮｅｔＦｌｏｗ情報に分配して、前記ＮｅｔＦｌｏｗ情報を修正することを特徴とするコレクタ装置。
【請求項6】
ＮｅｔＦｌｏｗ情報を用いてネットワークトラフィックを監視するコレクタ装置が実行するネットワーク監視方法であって、
ネットワークトラフィックを受信してＮｅｔＦｌｏｗ情報を生成するセンサ装置からＮｅｔＦｌｏｗ情報を取得するＮｅｔＦｌｏｗ情報受信手順と、
前記センサ装置から判定用情報として前記センサ装置の死活情報を受信する情報受信手順と、
前記受信した死活情報を用いて、前記受信したＮｅｔＦｌｏｗ情報の統計値が正しいかを判定し、前記受信したＮｅｔＦｌｏｗ情報の統計値が正しくないと判定された場合、前記センサ装置毎に定められたセンサ閾値情報を用いて、ネットワークトラフィックの監視に用いる閾値情報を更新する閾値情報修正手順と、
前記更新された閾値情報を用いてネットワークトラフィックが正常かを判定する閾値判定手順とを備えることを特徴とするネットワーク監視方法。
【請求項7】
ＮｅｔＦｌｏｗ情報を用いてネットワークトラフィックを監視するコレクタ装置が実行するネットワーク監視方法であって、
ネットワークトラフィックを受信してＮｅｔＦｌｏｗ情報を生成するセンサ装置からＮｅｔＦｌｏｗ情報を取得するＮｅｔＦｌｏｗ情報受信手順と、
前記センサ装置から判定用情報としてネットワークトラフィックのデータ量を示す統計情報を受信する情報受信手順と、
前記受信した統計情報を用いて、前記受信したＮｅｔＦｌｏｗ情報の統計値が正しいかを判定し、前記受信したＮｅｔＦｌｏｗ情報が正しくないと判定された場合、前記受信したＮｅｔＦｌｏｗ情報を修正するＮｅｔＦｌｏｗ情報修正手順と、
前記修正されたＮｅｔＦｌｏｗ情報を蓄積する補正ＮｅｔＦｌｏｗ情報補正部と、
前記修正されたＮｅｔＦｌｏｗ情報を用いてネットワークトラフィックが正常かを判定する閾値判定手順とを備えることを特徴とするネットワーク監視方法。
【請求項8】
コレクタ装置に、ＮｅｔＦｌｏｗ情報を用いてネットワークトラフィックを監視させるためのプログラムであって、
ネットワークトラフィックを受信してＮｅｔＦｌｏｗ情報を生成するセンサ装置からＮｅｔＦｌｏｗ情報を取得するＮｅｔＦｌｏｗ情報受信手順と、
前記センサ装置から判定用情報として前記センサ装置の死活情報を受信する情報受信手順と、
前記受信した死活情報を用いて、前記受信したＮｅｔＦｌｏｗ情報の統計値が正しいかを判定し、前記受信したＮｅｔＦｌｏｗ情報の統計値が正しくないと判定された場合、前記センサ装置毎に定められたセンサ閾値情報を用いて、ネットワークトラフィックの監視に用いる閾値情報を更新する閾値情報修正手順と、
前記更新された閾値情報を用いてネットワークトラフィックが正常かを判定する閾値判定手順とをコレクタ装置に実行させるためのプログラム。
【請求項9】
コレクタ装置に、ＮｅｔＦｌｏｗ情報を用いてネットワークトラフィックを監視させるためのプログラムであって、
ネットワークトラフィックを受信してＮｅｔＦｌｏｗ情報を生成するセンサ装置からＮｅｔＦｌｏｗ情報を取得するＮｅｔＦｌｏｗ情報受信手順と、
前記センサ装置から判定用情報としてネットワークトラフィックのデータ量を示す統計情報を受信する情報受信手順と、
前記受信した統計情報を用いて、前記受信したＮｅｔＦｌｏｗ情報の統計値が正しいかを判定し、前記受信したＮｅｔＦｌｏｗ情報の統計値が正しくないと判定された場合、前記受信したＮｅｔＦｌｏｗ情報を修正するＮｅｔＦｌｏｗ情報修正手順と、
前記修正されたＮｅｔＦｌｏｗ情報を蓄積する補正ＮｅｔＦｌｏｗ情報補正部と、
前記修正されたＮｅｔＦｌｏｗ情報を用いてネットワークトラフィックが正常かを判定する閾値判定手順とをコレクタ装置に実行させるためのプログラム。
【請求項10】
ネットワークの状態を監視するネットワーク監視システムであって、
ネットワークトラフィックを受信してＮｅｔＦｌｏｗ情報を生成するセンサ装置と、
前記ＮｅｔＦｌｏｗ情報を用いてネットワークトラフィックを監視するコレクタ装置とを備え、
前記センサ装置は、
センサ装置自身の死活情報を所定のタイミングで生成する死活情報生成部と、
前記生成された死活情報を所定のタイミングでコレクタ装置へ送信する死活情報送信部とを有し、
前記コレクタ装置は、
ネットワークトラフィックを受信してＮｅｔＦｌｏｗ情報を生成するセンサ装置からＮｅｔＦｌｏｗ情報を取得するＮｅｔＦｌｏｗ情報受信部と、
前記センサ装置から判定用情報として前記センサ装置の死活情報を受信する情報受信部と、
前記受信した死活情報を用いて、前記受信したＮｅｔＦｌｏｗ情報の統計値が正しいかを判定し、前記受信したＮｅｔＦｌｏｗ情報の統計値が正しくないと判定された場合、前記センサ装置毎に定められたセンサ閾値情報を用いて、ネットワークトラフィックの監視に用いる閾値情報を更新する閾値情報修正部と、
前記更新された閾値情報を用いてネットワークトラフィックが正常かを判定する閾値判定部とを有することを特徴とするネットワーク監視システム。
【請求項11】
ネットワークの状態を監視するネットワーク監視システムであって、
ネットワークトラフィックを受信してＮｅｔＦｌｏｗ情報を生成するセンサ装置と、
前記ＮｅｔＦｌｏｗ情報を用いてネットワークトラフィックを監視するコレクタ装置とを備え、
前記センサ装置は、前記センサ装置からトラフィック量を示す統計情報を所定のタイミングでコレクタ装置へ送信する統計送信部を有し、
前記コレクタ装置は、
ネットワークトラフィックを受信してＮｅｔＦｌｏｗ情報を生成するセンサ装置からＮｅｔＦｌｏｗ情報を取得するＮｅｔＦｌｏｗ情報受信部と、
前記センサ装置から判定用情報として前記統計情報を受信する情報受信部と、
前記受信した統計情報を用いて、前記受信したＮｅｔＦｌｏｗ情報の統計値が正しいかを判定し、前記受信したＮｅｔＦｌｏｗ情報の統計値が正しくないと判定された場合、前記受信したＮｅｔＦｌｏｗ情報を修正するＮｅｔＦｌｏｗ情報修正部と、
前記修正されたＮｅｔＦｌｏｗ情報を蓄積する補正ＮｅｔＦｌｏｗ情報補正部と、
前記修正されたＮｅｔＦｌｏｗ情報を用いてネットワークトラフィックが正常かを判定する閾値判定部とを備えを有することを特徴とするネットワーク監視システム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、ネットワークを監視するコレクタ装置、ネットワーク監視方法、プログラム、及びネットワーク監視システムに関する。
【背景技術】
【0002】
複雑化するネットワークを運用及び管理するためには、ネットワークを流れるトラフィックの状況を常に監視して、問題が発生した場合に即座に対応することが重要である。ネットワークトラフィックの状況や正常性を確認するために、ＮｅｔＦｌｏｗ（非特許文献１参照）などの技術が用いられる。
【0003】
ＮｅｔＦｌｏｗとは、ルータやスイッチなどのネットワーク中継装置、又は、ネットワーク中継装置からミラーリングされたトラフィックを受信する専用装置（以降、「センサ」と呼ぶ）によってネットワークトラフィックのフロー統計情報を取得し、トラフィック分析装置（以降、「コレクタ」と呼ぶ）に送信するための通信プロトコルである。フローチャート統計情報を受信したコレクタは、種々の目的に応じてトラフィックの可視化や分析ができる。このようなフロー統計情報を収集して分析するシステムは、特許文献１や特許文献２に開示されている。
【先行技術文献】
【特許文献】
【0004】
【文献】特開２０１８－３８０６２号公報
【文献】特開２０１６－１４４１５３号公報
【非特許文献】
【0005】
【文献】ＲＦＣ３９５４ ”Ｃｉｓｃｏ Ｓｙｓｔｅｍｓ ＮｅｔＦｌｏｗ Ｓｅｒｖｉｃｅｓ Ｅｘｐｏｒｔ Ｖｅｒｓｉｏｎ ９”，Ｃｉｓｃｏ Ｓｙｓｔｅｍｓ，２００４年１０月
【発明の概要】
【発明が解決しようとする課題】
【0006】
ＮｅｔＦｌｏｗのようなプロトコルを用いてセンサが取得したフロー統計情報をコレクタが収集して分析する方法では、センサから収集されるフロー統計が現実のトラフィックの状況を表さない状態が生じることがある。例えば、センサが故障などの不具合によって統計情報を送信できなくなる、又は、ネットワークトラフィックの増加や統計情報の収集ポイントの増加によって、フロー統計情報を格納するパケットを組み立てて送信する処理が追いつかなくなり、フロー統計情報が欠損することがある。その結果、コレクタは、正確な監視や分析が不可能になるという課題がある。
【0007】
具体的には、例えば、ネットワーク内のいくつかのフロー統計情報取得ポイントに設置された複数のセンサと、それらのセンサからフロー統計情報を収集する一つのコレクタで構成されたネットワークシステムにおいて、一部のセンサが不具合等で停止すると、停止したセンサからのフロー統計情報が欠落する。しかし、コレクタではフロー統計情報が届かないことが、実際にネットワークトラフィックが流れなくなったことを意味するのか、センサに問題が発生していることを意味するのかの区別が困難である。従って、コレクタがトラフィックを分析し、トラフィック量に基づいてアラームを発する監視を行う場合、実際のトラフィック量は変化していないにもかかわらず、トラフィックが減少したと誤って判定され、不要なアラームを発するという課題がある。
【0008】
また、監視対象のネットワークトラフィックの量が何らかの問題（例えば、外部からのネットワーク攻撃や、ネットワーク内端末のマルウェア感染による異常トラフィックの発生など）で増加したにもかかわらず、フロー統計情報を取得するセンサの処理性能を超えたことによって、正しいフロー統計情報をコレクタに送信できなかった場合、トラフィックを分析し、トラフィック量に基づいてアラームを発する監視を行うコレクタにおいて、本来アラームを発するべき事象に対してアラームを発しないという課題がある。
【0009】
本発明の目的は、ＮｅｔＦｌｏｗ情報を用いたネットワークトラフィックの監視において、アラームを適切に生成することにある。すなわち、トラフィックのフロー統計情報をセンサで取得し、そのフロー統計情報をコレクタが収集して分析等を行うネットワーク監視システムにおいて、センサの異常やフロー統計情報取得能力の限界によってコレクタが収集するフロー統計情報と実際のトラフィックの状況とに乖離が発生した場合でも、コレクタが不要なアラームを発する、又は、必要なアラームを発することができないといった状況を抑制するネットワーク監視システムを提供することを目的とする。
【課題を解決するための手段】
【0010】
本願において開示される発明の代表的な一例を示せば以下の通りである。すなわち、ＮｅｔＦｌｏｗ情報を用いてネットワークトラフィックを監視するコレクタ装置であって、ネットワークトラフィックを受信してＮｅｔＦｌｏｗ情報を生成するセンサ装置からＮｅｔＦｌｏｗ情報を取得するＮｅｔＦｌｏｗ情報受信部と、前記センサ装置から判定用情報として前記センサ装置の死活情報を受信する情報受信部と、前記受信した死活情報を用いて、前記受信したＮｅｔＦｌｏｗ情報の統計値が正しいかを判定し、前記受信したＮｅｔＦｌｏｗ情報の統計値が正しくないと判定された場合、前記センサ装置毎に定められたセンサ閾値情報を用いて、ネットワークトラフィックの監視に用いる閾値情報を更新する閾値情報修正部と、前記更新された閾値情報を用いてネットワークトラフィックが正常かを判定する閾値判定部とを備えることを特徴とする。
【発明の効果】
【0011】
本発明の一態様によれば、センサの不具合や能力を超える過剰なトラフィックが発生した場合でも適切にアラームを生成できる。
【図面の簡単な説明】
【0012】
【図1】第一の実施形態におけるネットワーク監視システムの構成例を示す図である。
【図2】第一の実施形態におけるセンサの構成例を示すブロック図である。
【図3】第一の実施形態におけるコレクタの構成例を示すブロック図である。
【図4】第一の実施形態におけるコレクタの動作シーケンスを示す図である。
【図5】第一の実施形態における死活情報蓄積部の構成例を示す図である。
【図6】第一の実施形態におけるセンサ／閾値関連情報保持部の構成例を示す図である。
【図7】第一の実施形態における閾値情報保持部の構成例を示す図である。
【図8】第一の実施形態において、全てのセンサが正常に稼働している状態のＮｅｔＦｌｏｗ情報に基づいて導出されたトラフィックのトラフィック量の一例を示す図である。
【図9】第一の実施形態において、一部のセンサが停止した状態のＮｅｔＦｌｏｗ情報に基づいて導出されたトラフィックのトラフィック量の一例を示す図である。
【図10】第二の実施形態におけるセンサの構成例を示すブロック図である。
【図11】第二の実施形態におけるコレクタの構成例を示すブロック図である。
【図12】第二の実施形態におけるコレクタの動作シーケンスを示す図である。
【図13】第二の実施形態におけるＮｅｔＦｌｏｗ情報蓄積部の構成例を示す図である。
【図14】第二の実施形態におけるパケット統計蓄積部の構成例を示す図である。
【図15】第二の実施形態における補正後ＮｅｔＦｌｏｗ情報蓄積部の構成例を示す図である。
【発明を実施するための形態】
【0013】
＜実施形態１＞
図１は、第一の実施形態におけるネットワーク監視システムの構成例を示す図である。
図１は、第一の実施形態におけるネットワーク監視システムの構成例を示す図である。
【0014】
ネットワーク監視システムは、監視対象のネットワーク１００と、監視対象のネットワーク１００に含まれるネットワーク機器２００と、トラフィックの統計情報を取得するセンサ３００と、統計情報を収集し分析するコレクタ４００と、管理端末５００とから構成される。ネットワーク機器２００は、監視対象のネットワーク１００に含まれ、監視対象のネットワーク１００においてデータを転送する。センサ３００は、各監視対象のネットワーク機器２００に接続されて、ネットワーク１００を流れるトラフィックの統計情報を取得する。コレクタ４００は、センサ３００に接続されて、センサ３００が生成した統計情報を収集し分析する。管理端末５００は、コレクタ４００から出力される分析情報を管理者が参照等を行うために操作される計算機である。
【0015】
第一の実施形態は、コレクタ４００がセンサ３００の異常（例えば、故障による停止など）を認識できるようにした上で、不要なアラームの発生の抑制を目的とした構成の一例である。
【0016】
なお、ネットワーク機器２００、センサ３００、及びコレクタ４００は１台以上の任意の台数でよく、これらの間も任意の接続手段によって構成できる。ネットワーク機器２００、センサ３００、及びコレクタ４００が複数存在し、説明の中でそれらを区別する必要がある場合は、例えばネットワーク機器２００であればネットワーク機器２００－１のように、数字を付加した符号により区別する。図１の構成例は、ネットワーク機器２００とセンサ３００がそれぞれｎ台あり、コレクタ４００が１台あるシステムの例を示している。
【0017】
図２は、第一の実施形態におけるセンサ３００の構成例を示すブロック図である。
【0018】
センサ３００は、ＣＰＵ３４０、メモリ３１０、記憶部３２０、及び複数のネットワークインタフェース３３０－１、３３０－２（図中では、ネットワークインタフェースをＮＷ－ＩＦと略して記載）を有する。ネットワークインタフェース３３０－１はネットワーク機器２００に接続され、ネットワークインタフェース３３０－２はコレクタ４００に接続される。
【0019】
ＣＰＵ３４０は、メモリ３１０に格納されたプログラムを実行する演算装置である。なお、ＣＰＵ３４０がプログラムを実行して行う処理の一部を、他の演算装置（例えば、ＦＰＧＡやＡＳＩＣなどのハードウェアによる演算装置）で実行してもよい。
【0020】
メモリ３１０は、不揮発性の記憶素子であるＲＯＭ及び揮発性の記憶素子であるＲＡＭを含む。ＲＯＭは、不変のプログラム（例えば、ＢＩＯＳ）などを格納する。ＲＡＭは、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）のような高速かつ揮発性の記憶素子であり、ＣＰＵ３４０が実行するプログラム及びプログラムの実行時に使用されるデータを一時的に格納する。具体的には、メモリ３１０には、ＣＰＵ３３０によって実行されるプログラム、すなわちトラフィック受信部３１１、ＮｅｔＦｌｏｗ情報生成部３１２、ＮｅｔＦｌｏｗ情報送信部３１３、死活情報生成部３１４、死活情報送信部３１５、ＭＩＢ（Ｍａｎａｇｅｍｅｎｔ Ｉｎｆｏｒｍａｔｉｏｎ Ｂａｓｅ）応答部３１６、及びＭＩＢ要求受信／応答送信部３１７を構成するためのプログラムが格納される。
【0021】
記憶部３２０は、例えば、磁気記憶装置（ＨＤＤ）、フラッシュメモリ（ＳＳＤ）等の大容量かつ不揮発性の記憶装置である。また、記憶部３２０は、ＣＰＵ３４０がプログラムの実行時に使用するデータ（例えば、取得したトラフィックの統計情報を保持するフロー情報蓄積部３２１）、及びＣＰＵ３４０が実行するプログラムを格納する。すなわち、プログラムは、記憶部３２０から読み出されて、メモリ３１０にロードされて、ＣＰＵ３４０によって実行されることによって、センサ３００の各機能を実現する。
【0022】
図２の構成において、センサ３００がネットワーク１００のトラフィックに関する統計情報を取得してコレクタ４００に送信する処理を説明する。
【0023】
ネットワーク機器２００は、ネットワーク１００を流れるトラフィックデータをミラーリングして、その複製をセンサ３００に送信する。センサ３００は、ネットワークインタフェース３３０－１で、ネットワーク機器２００から送信されたデータを受信する。
【0024】
トラフィック受信部３１１は、ネットワークインタフェース３３０－１が受信したトラフィックデータを受け取り、そのトラフィックの統計情報の一種であるフロー情報を生成し、生成されたフロー情報をフロー情報蓄積部３２１に蓄積する。ここで、フロー情報とは、例えば、受信したトラフィックを構成するパケットのヘッダ部分に含まれる送信元アドレスや送信先アドレス等で識別されるフロー毎に観測されたパケットの数やデータ量（観測された個々のパケットの長さの総和）などである。
【0025】
ＮｅｔＦｌｏｗ情報生成部３１２は、フロー情報蓄積部３２１に蓄積されたフロー情報を、一定時間毎にまとめ、ＮｅｔＦｌｏｗプロトコルで規定されるパケットフォーマットに準拠したＮｅｔＦｌｏｗ情報に変換する。ＮｅｔＦｌｏｗ情報送信部３１３は、変換されたＮｅｔＦｌｏｗ情報をＮｅｔＦｌｏｗ情報生成部３１２から受け取り、ＮｅｔＦｌｏｗプロトコルの規定に従ってネットワークインタフェース３３０－２からコレクタ４００に送信する。
【0026】
次に、コレクタ４００がセンサ３００の異常を認識するために必要なセンサ３００側の処理を説明する。
【0027】
まず、死活情報生成部３１４が、センサ３００の動作状況を示す死活情報を生成する。ここで死活情報とは、センサ３００が正常に稼働しているかを示す情報である。死活情報生成部３１４は、例えば、センサ３００自身の故障監視機能によって正常稼働を認識した場合は、正常を意味する情報を生成し、部分的な故障により統計情報取得やコレクタ４００に対するＮｅｔＦｌｏｗ情報の送信不能を認識した場合は、ＮｅｔＦｌｏｗ情報の送信停止を意味する情報を生成する。
【0028】
死活情報送信部３１５は、死活情報生成部３１４が生成した死活情報を所定フォーマットのパケットに格納して、ネットワークインタフェース３３０－２を通してコレクタ４００に送信する。なお、死活情報は、死活状態の変化にかかわらず所定の時間間隔で定期的に送信するとよい。もし、センサ３００全体が停止して死活情報を送信不可能になった場合、コレクタ４００は死活情報の受信を監視し、死活情報パケットが一定時間以上届かなくなったことによって、センサ３００の異常を認識可能となる。
【0029】
あるいは、死活情報は死活情報送信部３１５から自発的に送信するのではなく、コレクタ４００が死活情報を取得するために送信したＭＩＢ要求に応答して送信してもよい。この場合、ＭＩＢ要求受信／応答送信部３１７が、コレクタ４００からＳＮＭＰ（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）などのプロトコルによるＭＩＢ要求をネットワークインタフェース３３０－２経由で受信し、受信したＭＩＢ要求をＭＩＢ応答部３１６に伝える。ＭＩＢ応答部３１６は、ＭＩＢ要求の内容が死活情報取得であることを認識して、死活情報生成部３１４から死活情報を取得する。ＭＩＢ要求受信／応答送信部３１７は、死活情報生成部３１４が取得した死活情報をＭＩＢ要求への応答としてネットワークインタフェース３３０－２からコレクタ４００に送信する。ＭＩＢ要求／応答による方法においても、コレクタ４００は、要求に対する応答が無い場合に、センサ３００の異常を認識できる。
【0030】
以上が本実施例におけるセンサ３００の構成と動作である。
【0031】
次に、本実施例におけるコレクタ４００の構成と動作を説明する。
【0032】
図３は、第一の実施形態におけるコレクタ４００の構成例を示すブロック図である。
【0033】
コレクタ４００は、ＣＰＵ４４０、メモリ４１０、例えばハードディスクやＳＳＤなどの記憶部４２０、及び複数のネットワークインタフェース４３０－１、４３０－２（図中では、ネットワークインタフェースをＮＷ－ＩＦと略して記載）を有する。ネットワークインタフェース４３０－１はセンサ３００に接続され、ネットワークインタフェース４３０－２は管理端末５００に接続される。
【0034】
ＣＰＵ４４０は、メモリ４１０に格納されたプログラムを実行する演算装置である。なお、ＣＰＵ４４０がプログラムを実行して行う処理の一部を、他の演算装置（例えば、ＦＰＧＡやＡＳＩＣなどのハードウェアによる演算装置）で実行してもよい。
【0035】
メモリ４１０は、不揮発性の記憶素子であるＲＯＭ及び揮発性の記憶素子であるＲＡＭを含む。ＲＯＭは、不変のプログラム（例えば、ＢＩＯＳ）などを格納する。ＲＡＭは、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）のような高速かつ揮発性の記憶素子であり、ＣＰＵ４４０が実行するプログラム及びプログラムの実行時に使用されるデータを一時的に格納する。具体的には、メモリ４１０には、ＣＰＵ４４０が実行するプログラム、すなわちＮｅｔＦｌｏｗ情報受信部４１１、死活情報受信部４１２、ＭＩＢ要求送信／応答受信部４１３、閾値情報修正部４１４、ＮｅｔＦｌｏｗ閾値判定部４１５、及びＳｙｓｌｏｇ／Ｔｒａｐ送信部４１６を構成するためのプログラムが格納される。
【0036】
記憶部４２０は、例えば、磁気記憶装置（ＨＤＤ）、フラッシュメモリ（ＳＳＤ）等の大容量かつ不揮発性の記憶装置である。また、記憶部４２０は、ＣＰＵ４４０がプログラムの実行時に使用するデータ（例えば、ＮｅｔＦｌｏｗ情報蓄積部４２１、死活情報蓄積部４２２、センサ／閾値関連情報保持部４２３、閾値情報保持部４２４）、及びＣＰＵ４４０が実行するプログラムを格納する。すなわち、プログラムは、記憶部４２０から読み出されて、メモリ４１０にロードされて、ＣＰＵ４４０によって実行されることによって、コレクタ４００の各機能を実現する。
【0037】
図３の構成において、コレクタ４００がセンサ３００から受信したＮｅｔＦｌｏｗ情報を分析する処理を説明する。
【0038】
まず、ネットワークインタフェース４３０－１は、センサ３００から送信されたＮｅｔＦｌｏｗ情報を含むパケットを受信する。そして、ＮｅｔＦｌｏｗ情報受信部４１１は、ネットワークインタフェース４３０－１が受信したパケットからＮｅｔＦｌｏｗ情報を取り出し、ＮｅｔＦｌｏｗ情報蓄積部４２１に蓄積する。
【0039】
次に、コレクタ４００は、受信したＮｅｔＦｌｏｗ情報を分析する。本実施例では、予め指定された閾値に基づいてトラフィック量の増減を監視する分析処理を例に説明する。
【0040】
ＮｅｔＦｌｏｗ閾値判定部４１５は、ＮｅｔＦｌｏｗ情報蓄積部４２１に蓄積されたＮｅｔＦｌｏｗ情報からフロー毎のトラフィック量を導出し、導出されるフロー毎のトラフィック量と閾値情報保持部４２４に格納された閾値情報とを比較する。なお、閾値情報保持部４２４に設定される閾値情報の例については後述する。
【0041】
比較の結果、トラフィック量が所定の上限閾値を超えた、又は、トラフィック量が所定の下限閾値を下回った等のトラフィックが異常と判定された場合、判定結果をＳｙｓｌｏｇ／Ｔｒａｐ送信部４１６に送信する。Ｓｙｓｌｏｇ／Ｔｒａｐ送信部４１６は、ネットワークインタフェース４３０－２を通して管理端末５００に異常発生を示す情報を送信する。管理端末５００は、異常発生を示す情報に含まれる判定結果を、例えばディスプレイ等の管理画面に表示する等によって、異常の発生を管理者に認識させる。
【0042】
ここで、本実施例においてトラフィック分析処理に用いている閾値情報について、さらに説明する。
【0043】
図６は、センサ／閾値関連情報保持部４２３の構成例を示す図である。
【0044】
センサ／閾値関連情報保持部４２３は、トラフィックの正常性を判定する際に参照される閾値情報を保持するテーブルで構成される。
【0045】
センサ／閾値関連情報保持部４２３は複数のエントリを有し、各エントリは、監視対象とするトラフィック中のフローを指定する対象フロー条件４２３１、統計情報の送信元となるセンサ３００の識別子であるセンサ情報４２３２、及びセンサ情報４２３２が示すセンサ３００で取得された対象フロー条件４２３１のフローに対するトラフィック量の上限閾値４２３３と下限閾値４２３４が関連付けられた情報を含む。
【0046】
対象フロー条件４２３１は、例えば、監視対象のトラフィックが標準的なＴＣＰ／ＩＰプロトコルに準拠する場合、ＩＰヘッダ内の送信元ＩＰアドレスが特定の値である、又は、アプリケーションサービスの種類を示すＴＣＰヘッダ内の宛先ポート番号が特定の値である等の条件である。センサ情報４２３２は、例えばセンサ３００のＩＰアドレスである。上限閾値４２３３及び下限閾値４２３４は、分析対象とする統計情報の正常動作と判定される値の範囲であり、例えばｂｙｔｅ／ｓｅｃを単位とする時間当たりのトラフィック量などで表される。
【0047】
センサ／閾値関連情報保持部４２３には、監視対象とするネットワークの規模、利用されているアプリケーションの種類、センサ３００の配置などの、ネットワークで転送される情報や監視の目的に基づいて、管理者が管理端末５００を通して適切な値が予め設定される。図６では、同一の対象フロー条件「条件Ａ」に対して、センサ情報で識別される３台のセンサ３００毎に異なる上限閾値と下限閾値を設定している例を示す。
【0048】
図７は、閾値情報保持部４２４の構成例を示す図である。
【0049】
閾値情報保持部４２４は、前述した通り、ＮｅｔＦｌｏｗ閾値判定部４１５が判定する際に直接参照する閾値情報を格納するテーブルで構成される。
【0050】
閾値情報保持部４２４は複数のエントリを有し、各エントリは、分析対象とするトラフィックを指定する対象フロー条件４２４１、対象フロー条件４２４１のフローに対するトラフィック量の上限閾値４２４３と下限閾値４２４４が関連付けられた情報を含む。
【0051】
閾値情報保持部４２４には、対象フロー条件４２４１を満たすフローを計測する複数のセンサ３００で計測されるトラフィック量の合計値に対する閾値が保持される。
【0052】
図６と図７に示される実際の数値例を用いて対象フロー条件が「条件Ａ」の場合を例に説明する。「条件Ａ」を満たすトラフィックは、図６に示すとおり、３台のセンサ３００で計測され、それぞれの上限閾値４２３３の値の合計値である２１，０００，０００と下限閾値４２３４の値の合計値である１２，０００，０００が、図７の閾値情報保持部４２４の対象フロー条件４２４１が「条件Ａ」であるエントリの上限閾値４２４３と下限閾値４２４４にそれぞれ格納される。これらの値は、センサ／閾値関連情報保持部４２３に値が設定された段階で、まず初期値として算出、格納されている。
【0053】
さらに、コレクタ４００は、センサ３００の停止などの不具合が発生した際に、トラフィック異常を誤って判定しないように、閾値情報保持部４２４に保持される閾値を再計算して補正する。以下に、閾値補正のためのコレクタ４００の動作を説明する。なお、ここで説明する処理は、前述したＮｅｔＦｌｏｗ受信部４４１及びＮｅｔＦｌｏｗ閾値判定部４１５によるＮｅｔＦｌｏｗ情報の受信処理と閾値判定処理とは独立して並列に実行される。
【0054】
図４は、第一の実施形態におけるコレクタ４００において、センサ３００から死活情報を受信してから閾値情報保持部４２４の補正した閾値情報を格納するまでの動作シーケンスを示す図である。
【0055】
まず、センサ３００がコレクタ４００に死活情報を送信する。コレクタ４００の死活情報受信部４１２は、ネットワークインタフェース４３０－１を通して、その死活情報を受信し（ステップＳ６０１）、受信した死活情報に基づいて死活情報蓄積部４２２を更新する（ステップＳ６０２）。なお、センサ３００の動作状況を収集する死活監視装置を設け、死活情報受信部４１２は、センサ３００から死活情報を受信せず、当該死活監視装置からセンサ３００の死活情報を受信してもよい。
【0056】
図５は、死活情報蓄積部４２２の構成例を示す図である。死活情報蓄積部４２２は複数のエントリを有し、各エントリは、死活情報送信元センサ３００の識別子であるセンサ情報４２２１と、センサ情報４２２１が示すセンサ３００の状態を示す死活状況４２２２と、センサ情報４２２１が示すセンサ３００から最新の死活情報を受信した時刻である最新受信時刻４２２３が関連付けられた情報を含む。本実施例では、センサ情報４２２１はセンサ３００のＩＰアドレス、死活状況４２２２はセンサ情報４２２１が示すセンサ３００が正常動作している場合には「１」を、異常が発生してＮｅｔＦｌｏｗ情報を送信できない状態である場合には「０」を格納している。
【0057】
ステップＳ６０２において、死活情報蓄積部４２２は次のように更新される。
【0058】
まず、死活情報受信部４１２は、受信した死活情報の送信元ＩＰアドレスとセンサ情報４２２１が同じ死活情報蓄積部４２２のエントリを検索し、そのエントリの死活状況４２２２に「０」又は「１」を設定し、該死活情報の受信時刻を最新受信時刻４２２３に格納する。なお、受信した死活情報の送信元ＩＰアドレスとセンサ情報４２２１が同じ死活情報蓄積部４２２のエントリが見つからない場合は、新規にエントリを作成する。
【0059】
また、ステップＳ６０２において、死活情報受信部４１２は、死活情報蓄積部４２２の各エントリの最新受信時刻４２２３の値を確認し、最新受信時刻４２２３の値と現在時刻の差が所定値以上であるエントリがある場合、該エントリの死活状況４２２２を「０」に設定する。これは、定期的な死活情報の送信が停止したことによるセンサ３００の異常を認識するための処理である。
【0060】
図４のシーケンス図に戻り説明を続ける。次に、死活情報受信部４１２は、ステップ６０２で死活情報蓄積部４２２の更新によって死活状況４２２２の値が変化したエントリがある場合、すなわち、死活状況が変化したセンサ３００がある場合、死活情報の変化を閾値情報修正部４１４に通知する（ステップＳ６０３）。
【0061】
閾値情報修正部４１４は、ステップ６０３において通知を受け取ると、死活情報蓄積部４２２から死活情報を取得し（ステップＳ６０４）、さらに、センサ／閾値関連情報保持部４２３の各エントリに格納されたセンサ３００の閾値情報を取得する（ステップＳ６０５）。
【0062】
次に、閾値情報修正部４１４は、ステップＳ６０４で取得した死活情報に基づいて、受信したＮｅｔＦｌｏｗ情報が正しいか（すなわち、センサ３００が動作していないので、ＮｅｔＦｌｏｗ情報が誤っている可能性があるか）を判定し、ＮｅｔＦｌｏｗ情報が誤っている可能性がある場合、ステップＳ６０５で取得した閾値情報に基づいて、センサ３００の死活状況に基づいた適切な閾値情報を再計算する（ステップＳ６０６）。
【0063】
【0064】
まず、ステップＳ６０２の処理によって死活情報蓄積部４２２が更新された結果、図５に示すようにエントリ番号１のセンサ３００（ＩＰアドレス１９２．１６８．０．１）の死活状況４２２２が「０」、すなわち、ＮｅｔＦｌｏｗ情報が送信できない状態に変化した場合を考える。
【0065】
この状態で、閾値情報修正部４１４はステップＳ６０６において、死活情報蓄積部４２２の死活状況４２２２が「１」となっているセンサ３００だけの閾値を用いて、上限閾値と下限閾値を再計算する。図５及び図６に示される数値例の場合、死活情報蓄積部４２２のエントリ＃２と＃３のセンサ３００だけが正常稼働しているので、それらを対象とした「条件Ａ」を満たすトラフィックの新たな閾値情報は、センサ／閾値関連情報保持部４２３のエントリ＃２と＃３のセンサ３００の閾値を用いて、上限閾値が１５，０００，０００、下限閾値が９，０００，０００と再計算される。
【0066】
次に、閾値情報修正部４１４は、ステップＳ６０６で再計算された閾値情報を上書きして、閾値情報保持部４２４を更新する（ステップ６０７）。
【0067】
なお、閾値情報修正部４１４は、センサ３００に異常が発生したこと、及び、その異常発生に伴い異常判定の閾値を再計算したことを管理者に通知するため、これらの通知情報を含むパケットを、ネットワークインタフェース４３０－２を通して管理端末５００に送信してもよい。管理端末５００は、受信した通知情報をディスプレイ等の管理画面に表示する。
【0068】
以上のように、個々のセンサ３００で期待されるＮｅｔＦｌｏｗ情報の上限閾値と下限閾値を予めセンサ／閾値関連情報保持部４２３に設定しておくことによって、閾値情報修正部４１４の処理によりセンサ３００の死活状況に応じて通信の正常性を適切に判断するための上限閾値、下限閾値を得られるようになる。
【0069】
【0070】
図８は、全てのセンサ３００が正常に稼働している状態で、第一の実施形態のコレクタ４００が受信したＮｅｔＦｌｏｗ情報に基づいて導出された「条件Ａ」を満たすトラフィックのトラフィック量の一例を示す図である。
【0071】
図は、時間により変化するトラフィック量６１２と、図７に示す初期設定された状態で閾値情報保持部４２４が保持する「条件Ａ」を満たすトラフィック量の上限閾値６１１と下限閾値６１３を表す。トラフィック量６１２が上限閾値６１１と下限閾値６１３の間に収まっており、トラフィック量６１２に異常が発生していない。
【0072】
図９は、一部のセンサ３００が動作を停止してＮｅｔＦｌｏｗ情報の一部が受信できなくなった状態で、第一の実施形態のコレクタ４００が受信したＮｅｔＦｌｏｗ情報に基づいて導出された「条件Ａ」を満たすトラフィックのトラフィック量の一例を示す図である。
【0073】
図中、時間により変化するトラフィック量６２２と、閾値情報修正部４１４がセンサ３００の死活状況に基づく閾値情報の再計算前のトラフィック量の上限閾値６１１と下限閾値６１３と、閾値情報修正部４１４がセンサ３００の死活状況に基づく閾値情報の再計算後のトラフィック量の上限閾値６２１と下限閾値６２３を表す。トラフィック量６２２は、停止しているセンサ３００からの情報が含まれないため、実際のトラフィック量より少ない値となっている。同様に、再計算後の上限閾値６２１と下限閾値６２３は、再計算前の上限閾値６１１と下限閾値６１３より停止しているセンサ３００の分少なくなっている。
【0074】
図９に示すように、一部のセンサ３００の停止によってコレクタ４００が統計情報に基づいて算出するトラフィック量が実際のトラフィック量より小さくなった場合に、上限閾値及び下限閾値を再計算しないとトラフィック量が正常でも異常とする誤判定が発生し得る。しかし、センサ３００の停止を考慮して上限閾値及び下限閾値を再計算すれば、そのような誤検知を抑制できることがわかる。
【0075】
以上に説明したように、本実施例によれば、統計情報を取得するセンサ３００とその統計情報を収集して分析するコレクタ４００から構成されるネットワーク監視システムにおいて、一部のセンサ３００が故障等で停止した場合でも、コレクタ４００が実行する分析処理におけるトラフィック異常の誤判定を抑制できる。このため、ネットワーク管理者が不要な対処作業を行ってしまう、又は、必要な問題対応の作業を行えないといったネットワーク管理上の問題発生を低減できる。
【0076】
＜実施形態２＞
第二の実施形態におけるネットワーク監視システムの構成例は、図１に示した第一の実施形態のネットワーク監視システムにおいて、センサ３００を後述する第二の実施形態によるセンサ３５０に、コレクタ４００を後述する第二の実施形態によるコレクタ４５０にそれぞれ置き換えたものである。なお、第二の実施形態において、第一の実施形態と同じ構成及び機能については同じ符号を付し、それらの説明は省略する。
第二の実施形態におけるネットワーク監視システムの構成例は、図１に示した第一の実施形態のネットワーク監視システムにおいて、センサ３００を後述する第二の実施形態によるセンサ３５０に、コレクタ４００を後述する第二の実施形態によるコレクタ４５０にそれぞれ置き換えたものである。なお、第二の実施形態において、第一の実施形態と同じ構成及び機能については同じ符号を付し、それらの説明は省略する。
【0077】
第二の実施形態では、センサ３５０又はコレクタ４５０の性能不足等の問題でフロー統計情報の送信に欠落が発生した場合でも、コレクタ４５０がパケット統計情報を併用して本来のフロー統計情報を推定して補正することによって、本来発生すべきアラームの未発生などの問題を抑制する。ここで、パケット統計情報とは、ＮｅｔＦｌｏｗが扱うフロー統計のようにフローの区別を行わず、単純に単位時間あたりに受信したトラフィック全体のパケット数や総バイト数（各パケットの長さの総和）などが計測された、ネットワークトラフィックのデータ量を示す統計情報である。
【0078】
図１０は、第二の実施形態におけるセンサ３５０の構成例を示すブロック図である。
【0079】
センサ３５０は、ＣＰＵ３４０、メモリ３１０、記憶部３２０、及び複数のネットワークインタフェース３３０－１、３３０－２（図中では、ネットワークインタフェースをＮＷ－ＩＦと略して記載）を有する。ネットワークインタフェース３３０－１はネットワーク機器２００に接続され、ネットワークインタフェース３３０－２はコレクタ４００に接続される。
【0080】
メモリ３１０には、ＣＰＵ３３０によって実行されるプログラム、すなわちトラフィック受信部３１１、ＮｅｔＦｌｏｗ情報生成部３１２、ＮｅｔＦｌｏｗ情報送信部３１３、ＭＩＢ（Ｍａｎａｇｅｍｅｎｔ Ｉｎｆｏｒｍａｔｉｏｎ Ｂａｓｅ）応答部３１６、ＭＩＢ要求受信／応答送信部３１７、パケット統計生成部３１８、及びパケット統計送信部３１９を構成するためのプログラムが格納される。センサ３５０は、死活情報生成部３１４、及び死活情報送信部３１５を有してもよい。
【0081】
記憶部３２０は、ＣＰＵ３４０がプログラムの実行時に使用するデータ（例えば、取得したトラフィックの統計情報を保持するフロー情報蓄積部３２１、パケット統計蓄積部３２２）、及びＣＰＵ３４０が実行するプログラムを格納する。
【0082】
図１０の構成において、センサ３５０がネットワーク１００のトラフィックに関する統計情報を取得してコレクタ４５０にＮｅｔＦｌｏｗ情報として送信する処理は、第一の実施形態のセンサ３００が統計情報をコレクタ４００に送信する処理と同じなので、説明を省略する。
【0083】
さらに、センサ３５０は、トラフィック受信部３１１がネットワーク機器２００から受信したトラフィックに関する情報をパケット統計生成部３１８に転送する。パケット統計生成部３１８が、トラフィックに関する情報に基づいてパケット統計情報を生成し、生成したパケット統計情報をパケット統計蓄積部３２２に格納する。パケット統計情報の生成は、計測時にフローの識別が不要となることから処理負荷が小さく、計測対象のトラフィック量が増えた場合でも、高精度に計測できる。
【0084】
さらに、パケット統計蓄積部３２２に格納された内容は、パケット統計送信部３１９が所定のフォーマットのパケットに格納し、所定の時間間隔でネットワークインタフェース３３０－２を通してコレクタ４５０に送信する。又は、コレクタ４５０からパケット統計情報の取得を目的に送信されたＳＮＭＰなどのプロトコルによるＭＩＢ要求をネットワークインタフェース３３０－２経由でＭＩＢ応答部３１６が受信し、ＭＩＢ応答部３１６が受信したＭＩＢ要求の内容を解釈してＭＩＢ要求受信／応答送信部３１７に応答の送信を指示し、ＭＩＢ要求受信／応答送信部３１７がパケット統計蓄積部３２２から取得したパケット統計情報をＭＩＢ要求へ応答としてネットワークインタフェース３３０－２経由でコレクタ４５０に送信してもよい。
【0085】
図１１は、第二の実施形態におけるコレクタ４５０の構成例を示すブロック図である。
【0086】
コレクタ４５０は、ＣＰＵ４４０、メモリ４１０、例えばハードディスクやＳＳＤなどの記憶部４２０、及び複数のネットワークインタフェース４３０－１、４３０－２（図中では、ネットワークインタフェースをＮＷ－ＩＦと略して記載）を有する。ネットワークインタフェース４３０－１はセンサ３００に接続され、ネットワークインタフェース４３０－２は管理端末５００に接続される。
【0087】
メモリ４１０には、ＣＰＵ４４０が実行するプログラム、すなわちＮｅｔＦｌｏｗ情報受信部４１１、ＭＩＢ要求送信／応答受信部４１３、ＮｅｔＦｌｏｗ閾値判定部４１５、Ｓｙｓｌｏｇ／Ｔｒａｐ送信部４１６、パケット統計受信部４１７、及びＮｅｔＦｌｏｗ情報修正部４１８を構成するためのプログラムが格納される。コレクタ４５０は、死活情報受信部４１２、及び閾値情報修正部４１４を有してもよい。
【0088】
記憶部４２０は、ＣＰＵ４４０がプログラムの実行時に使用するデータ（例えば、ＮｅｔＦｌｏｗ情報蓄積部４２１、閾値情報保持部４２４、パケット統計蓄積部４２５、補正ＮｅｔＦｌｏｗ情報蓄積部４２６）、及びＣＰＵ４４０が実行するプログラムを格納する。
【0089】
図１１の構成において、センサ３５０からＮｅｔＦｌｏｗ情報を受信して、ＮｅｔＦｌｏｗ情報蓄積部４２１に格納する処理は、第一の実施形態によるコレクタ４００の処理と同じなので、説明を省略する。
【0090】
さらに、コレクタ４５０は、センサ３５０からパケット統計情報を取得して、既に受信済みのＮｅｔＦｌｏｗ情報蓄積部４２１内のフロー情報を補正する。この補正処理は、センサ３５０のＮｅｔＦｌｏｗ処理能力を超えるトラフィックがネットワーク１００で発生し、そのトラフィックに関してコレクタ４５０が受信したＮｅｔＦｌｏｗ情報に誤差が含まれると予想される場合に、ＮｅｔＦｌｏｗ情報を補正し、コレクタ４５０による異常の誤判定の可能性を低減する。ＮｅｔＦｌｏｗ情報に誤差が含まれているかを推定する際にセンサ３５０が取得して格納したパケット統計蓄積部３２２の情報を利用する。以下に、そのためのコレクタ４５０の動作を説明する。
【0091】
図１２は、第二の実施形態におけるコレクタ４５０がセンサ３５０からパケット統計情報を受信してから補正したＮｅｔＦｌｏｗ情報を補正ＮｅｔＦｌｏｗ情報蓄積部４２６へ格納するまでの動作シーケンスを示す図である。なお、ここで説明する処理は、ＮｅｔＦｌｏｗ受信部４４１によるＮｅｔＦｌｏｗ情報の受信処理や、ＮｅｔＦｌｏｗ閾値判定部４１５による閾値判定処理とは独立して並列に実行される。
【0092】
まず、センサ３５０がコレクタ４５０にパケット統計情報を送信する。コレクタ４５０のパケット統計受信部４１７は、ネットワークインタフェース４３０－１を通して、そのパケット統計情報を受信し（ステップＳ７０１）、受信したパケット統計情報をパケット統計蓄積部４２５へ格納する（ステップＳ７０２）。
【0093】
図１４は、パケット統計蓄積部４２５の構成例を示す図である。パケット統計蓄積部４２５は、複数のエントリを有し、各エントリは、単位時間ごとに計測されたパケット統計情報として、統計取得時刻を示す時刻４２５１と、単位時間中に計測されたパケット数４２５２と、単位時間中に計測された全パケットのパケット長の総和であるバイト数４２５３が関連付けられた情報を含む。図示した統計情報は一例であり、他の統計情報を格納してもよい。
【0094】
図１２のシーケンス図に戻り説明を続ける。ＮｅｔＦｌｏｗ情報修正部４１８は、パケット統計受信部４１７の処理と並行して、所定のタイミングで（例えば、周期的に）パケット統計蓄積部４２５からパケット統計情報を取得し（ステップＳ７０３）、さらに、ＮｅｔＦｌｏｗ情報蓄積部４２１からＮｅｔＦｌｏｗ情報を取得する（Ｓ７０４）。
【0095】
図１３は、ＮｅｔＦｌｏｗ情報蓄積部４２１の構成例を示す図である。ＮｅｔＦｌｏｗ情報蓄積部４２１は複数のエントリを有し、各エントリは、ＮｅｔＦｌｏｗ情報が取得された時刻４２１１と、フローを識別する情報である送信元アドレス４２１２及び送信先アドレス４２１３と、フロー毎のパケット数４２１４と、フロー毎のパケット長の総和であるバイト数４２１５を関連付けた情報を含む。なお、フローを識別する情報は一例であり、例えばパケットのヘッダに含まれるＴＣＰやＵＤＰのポート番号などを含んでもよい。また、パケット数やバイト数以外の統計情報を含んでもよい。
【0096】
図１２のシーケンス図に戻り説明を続ける。ＮｅｔＦｌｏｗ情報修正部４１８は、取得したパケット統計情報とＮｅｔＦｌｏｗ情報を比較し、この比較結果に基づいて受信済みのＮｅｔＦｌｏｗ情報を補正する（ステップＳ７０５）。そして、補正後のＮｅｔＦｌｏｗ情報を補正ＮｅｔＦｌｏｗ情報蓄積部４２６に格納する（Ｓ７０６）。
【0097】
図１５は、補正後ＮｅｔＦｌｏｗ情報蓄積部４２６の構成例を示す図である。補正後ＮｅｔＦｌｏｗ情報蓄積部４２６の構成は、ＮｅｔＦｌｏｗ情報蓄積部４２１と同じなので、その説明は省略する。
【0098】
【0099】
ＮｅｔＦｌｏｗ情報修正部４１８は、ステップＳ７０５において、ステップＳ７０３で取得したパケット統計情報とステップ７０４で取得したＮｅｔＦｌｏｗ情報内の統計情報を時刻ごとに比較して、受信したＮｅｔＦｌｏｗ情報が正しいか（すなわち、センサ３５０が動作していないので、ＮｅｔＦｌｏｗ情報が誤っている可能性があるか）を判定する。もし、同一時刻に異なるフローに関する複数のＮｅｔＦｌｏｗ情報が存在する場合、それらのフローの各統計情報の合計値と比較し、判定する。
【0100】
例えば、時刻「２０２０／１／１ ０９：５９」におけるパケット統計情報のパケット数４２５２は「３」、バイト数４２５３は「３８４」であり（図１４のエントリ＃１）、同時刻に取得されたＮｅｔＦｌｏｗ情報の合計も、パケット数４２１４は「３」、バイト数４２１５は「３８４」である（図１３のエントリ＃１）。この統計値が一致する場合、ＮｅｔＦｌｏｗ情報修正部４１８はこの時刻におけるＮｅｔＦｌｏｗ情報が正しく、補正は不要と判定する。
【0101】
一方、時刻「２０２０／１／１ １０：００」におけるパケット統計情報のパケット数４２５２は「１０，０００」、バイト数４２５３は「１，２８０，０００」であり（図１４のエントリ＃２）、同時刻に取得されたＮｅｔＦｌｏｗ情報の合計は、パケット数４２１４は「５，０００」、バイト数４２１５は「６４０，０００」である（図１３のエントリ＃２からエントリ＃６までのパケット数とバイト数それぞれの合計値）。前述した通り、パケット統計情報は誤差が極めて少ない統計値が期待できるが、ＮｅｔＦｌｏｗ情報はセンサ３５０やコレクタ４５０の処理能力を超えるトラフィックのタイミングでは精度良く計測できないことがあり、この差分は、このような理由によって発生した誤差であると考えられる。このような差分が発生した場合、ＮｅｔＦｌｏｗ情報修正部４１８は、ＮｅｔＦｌｏｗ情報を補正する。
【0102】
補正の方法はいくつかあるが、例えば、パケット統計情報の統計値を、各フローに均等に配分し、均等配分された統計値を各ＮｅｔＦｌｏｗ情報に加算して、補正後のＮｅｔＦｌｏｗ情報を算出してもよい。また、パケット統計情報の統計値を、ＮｅｔＦｌｏｗ情報の統計値の比率で各フローに案分し、按分された統計値を各ＮｅｔＦｌｏｗ情報に加算して、補正後のＮｅｔＦｌｏｗ情報を算出してもよい。図１３の例で説明すると、時刻「２０２０／１／１ １０：００」における５個のＮｅｔＦｌｏｗ情報（図１３のエントリ＃２からエントリ＃６）は、エントリ＃３のパケット数４２１４が２，０００で、バイト数４２１５が２５６，０００であり、他のエントリのパケット数４２１４が１，０００で、バイト数４２１５が１２８，０００である。このため、ＮｅｔＦｌｏｗ情報修正部４１８は、同時刻のパケット統計情報の統計値であるパケット数４２５２「１２，０００」と、バイト数４２５３「７，６８０，０００」を、それぞれパケット数４２１４及びバイト数４２１５の比で５個のフローに配分した値をＮｅｔＦｌｏｗ情報の補正値として算出する。図１５は、その算出結果を補正後ＮｅｔＦｌｏｗ情報蓄積部に格納した状態を表している。なお、前述の方法は、センサ３５０又はコレクタ４５０の性能不足等によるフロー統計情報の欠落が、各フローにおいて均等な確率で発生すると期待できる場合に効果的な推定方法の一例である。パケット統計情報の統計値から各フローの統計値を推定する方法は、上記に限定されるものではない。
【0103】
以上の処理によって、補正したＮｅｔＦｌｏｗ情報が補正ＮｅｔＦｌｏｗ情報蓄積部４２６に格納される。第二の実施形態では、ＮｅｔＦｌｏｗ閾値判定部４１５（図１１では図示省略）は、ＮｅｔＦｌｏｗ情報蓄積部４２１ではなく、補正ＮｅｔＦｌｏｗ情報蓄積部４２６の値と閾値とを比較して、トラフィックの異常を判定する。
【0104】
なお、ＮｅｔＦｌｏｗ情報修正部４１８は、パケット統計情報に基づいてＮｅｔＦｌｏｗ情報の修正が行われたことを管理者に通知するため、これらの通知情報を含むパケットを、ネットワークインタフェース４３０－２を通して管理端末５００に送信してもよい。管理端末５００は、ディスプレイ等の管理画面に受信した通知情報を表示する。
【0105】
以上に説明したように、本実施例によれば、フロー単位の統計情報を取得するセンサ３００とその統計情報を収集して分析するコレクタ４００から構成されるネットワーク監視システムにおいて、センサ３００やコレクタ４００の性能不足によってコレクタ４００が収集するフロー単位の統計情報に誤差が含まれる場合でも、パケット単位の統計情報を併用してフロー単位の統計情報を推定して補正でき、コレクタ４００が実行する分析処理におけるトラフィック異常の誤判定を抑制できる。
【0106】
以上に第二の実施形態の特有の機能について説明したが、第一の実施形態のコレクタ４００と第二の実施形態のコレクタ４５０を組み合わせて、両方の機能を有するコレクタを構成してもよい。
【0107】
以上、本発明を添付の図面を参照して詳細に説明したが、本発明はこのような具体的構成に限定されるものではなく、添付した請求の範囲の趣旨内における様々な変更及び同等の構成を含むものである。
【符号の説明】
【0108】
１００ 監視対象のネットワーク
２００ ネットワーク機器
３００、３５０ センサ
３１０ メモリ
３１１ トラフィック受信部
３１２ ＮｅｔＦｌｏｗ情報生成部
３１３ ＮｅｔＦｌｏｗ情報送信部
３１４ 死活情報生成部
３１５ 死活情報送信部
３１６ ＭＩＢ応答部
３１７ ＭＩＢ要求受信／応答送信部
３１８ パケット統計生成部
３１９ パケット統計送信部
３２０ 記憶部
３２１ フロー情報蓄積部
３２２ パケット統計蓄積部
３３０ ネットワークインタフェース
３４０ ＣＰＵ
４００、４５０ コレクタ
４１０ メモリ
４１１ ＮｅｔＦｌｏｗ受信部
４１２ 死活情報を死活情報受信部
４１３ ＭＩＢ要求送信／応答受信部
４１４ 閾値情報修正部
４１５ ＮｅｔＦｌｏｗ閾値判定部
４１６ Ｓｙｓｌｏｇ／Ｔｒａｐ送信部
４１７ パケット統計受信部
４１８ ＮｅｔＦｌｏｗ情報修正部
４２０ 記憶部
４２１ ＮｅｔＦｌｏｗ情報蓄積部
４２２ 死活情報蓄積部
４２３ センサ／閾値関連情報保持部
４２４ 閾値情報保持部
４２５ パケット統計蓄積部
４２６ 補正ＮｅｔＦｌｏｗ情報蓄積部
４３０ ネットワークインタフェース
４４０ ＣＰＵ
５００ 管理端末
２００ ネットワーク機器
３００、３５０ センサ
３１０ メモリ
３１１ トラフィック受信部
３１２ ＮｅｔＦｌｏｗ情報生成部
３１３ ＮｅｔＦｌｏｗ情報送信部
３１４ 死活情報生成部
３１５ 死活情報送信部
３１６ ＭＩＢ応答部
３１７ ＭＩＢ要求受信／応答送信部
３１８ パケット統計生成部
３１９ パケット統計送信部
３２０ 記憶部
３２１ フロー情報蓄積部
３２２ パケット統計蓄積部
３３０ ネットワークインタフェース
３４０ ＣＰＵ
４００、４５０ コレクタ
４１０ メモリ
４１１ ＮｅｔＦｌｏｗ受信部
４１２ 死活情報を死活情報受信部
４１３ ＭＩＢ要求送信／応答受信部
４１４ 閾値情報修正部
４１５ ＮｅｔＦｌｏｗ閾値判定部
４１６ Ｓｙｓｌｏｇ／Ｔｒａｐ送信部
４１７ パケット統計受信部
４１８ ＮｅｔＦｌｏｗ情報修正部
４２０ 記憶部
４２１ ＮｅｔＦｌｏｗ情報蓄積部
４２２ 死活情報蓄積部
４２３ センサ／閾値関連情報保持部
４２４ 閾値情報保持部
４２５ パケット統計蓄積部
４２６ 補正ＮｅｔＦｌｏｗ情報蓄積部
４３０ ネットワークインタフェース
４４０ ＣＰＵ
５００ 管理端末
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】