JP2008022498A - ネットワーク異常検知装置、ネットワーク異常検知方法及びネットワーク異常検知システム - Google Patents

Abstract

【課題】ＯＳ等のコンピュータの使用環境に依存せず、未知のウイルスやワームが侵入した場合であっても、ワームによるトラフィックの異常を検出すること。
【解決手段】内部ネットワークに対してデータの入出力を行う第１入出力部１１０と、外部ネットワークに対してデータの入出力を行う第２入出力部１２０と、入力データからトラフィックの異常を検知するためのデータを集計するデータ集計部１３０と、データ集計部１３０によって過去一定期間の間に集計されたデータを、トラフィックの異常度を計算する際の指標として用いる指標データとして保持する指標データ保持部１４０と、データ集計部１３０によって異常度計算時刻に集計された評価データと、指標データ保持部１４０から取得した指標データとを用いてトラフィックの異常度を計算する異常度計算部１５０とを含むネットワーク異常検知装置を提供する。
【選択図】図１

Description

本発明は、ネットワーク異常検知装置、ネットワーク異常検知方法及びネットワーク異常検知システムに係り、特に、ネットワーク上を流れるトラフィックの異常を検知するネットワーク異常検知装置、ネットワーク異常検知方法及びネットワーク異常検知システムに関する。

従来より、ウイルスやワームなどからコンピュータやネットワークを保護し、侵入を早期に検知して感染の拡大を防止するための様々な技術が研究されている。近年では、感染した端末を悪用して様々な被害を与えるボットと呼ばれるワームが多数出現しており、このようなボットのネットワークへの侵入や侵入したボットによるスパムメール送信、ＤＤｏＳ（ＤＤｏＳ：Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃等の活動を早急に検知できるようにすることが必要とされている。

一般的に、ボットなどを含むウイルスへの対策として、ネットワークに接続されたコンピュータ上でウイルスを検出するウイルス対策ソフトと呼ばれるソフトウェアが用いられている。ウイルス対策ソフトは、予め用意されたウイルス検出パターンを用いたパターンマッチングにより、コンピュータ内に進入したウイルスを検出する。ウイルス検出パターンは定期的に更新され、インターネットなどを経由して最新のパターンファイルがユーザに提供されるようになっているものも多い。

また、ネットワーク上の個々の端末にインストールして用いられるパーソナルファイアウォールも、ウイルス対策の効果がある。パーソナルファイアウォールは、インストールされたコンピュータのネットワークインタフェースの入出力パケットを監視し、管理者が認めたプログラムの通信のみを許可するため、ウイルスやワームの侵入を未然に防止することができる。また、ワームに感染した場合でも、ワームによる通信を防ぐことによって拡散を防止することができる。

一方、個々のコンピュータ上ではなく、ネットワーク側で異常を検知する方法として、侵入検知システム（ＩＤＳ：Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）と呼ばれるものがある。ＩＤＳは、ネットワーク上を通過するパケットのペイロード部分を分析し、登録されているパターンとのマッチングにより不正アクセスと思われるパケットを検出するシステムである。例えば、特許文献１には、外部ネットワークから受信されたインバウンドトラフィックから検知された不正侵入の検知情報と、内部ネットワークから発信されるアウトバウンドトラフィックから検出された不正侵入に対する応答信号とを照合して検証することにより、検知精度を高めた双方向型のＩＤＳが開示されている。

特開２００４−３０２８７号公報

上述したような従来技術を用いる場合、現状ではいくつかの問題点がある。

まず、ウイルス対策ソフトで用いられるパターンマッチングによるウイルス検出方法は、基本的に既知のウイルスに対するものであり、パターンが対応していない未知のウイルスを検出することはできない。また、ウイルスのオープンソース化が進んだ現状では、従来とは比較にならない速さで亜種ウイルスが出現するため、全ての亜種ウイルスに対応するパターンを用意することはさらに難しくなっている。ウイルス対策ソフトの他の問題点としては、ソフトウェアが特定のＯＳ（ＯＳ：Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）に対してしか提供されないことも挙げられる。また、ウイルス対策ソフトの種類によって検出できるウイルスが異なっている場合もあり、ウイルス検出の可否がユーザの使用環境に依存するという問題がある。さらに、ウイルス対策ソフトそのものの活動を止めてしまうウイルスやワームが存在するため、ユーザが気づかないうちにウイルス検出が出来ない状態になってしまうこともある。

また、パーソナルファイアウォールも、ウイルス対策ソフトと同様に、ＯＳ依存であるという問題、ファイアウォールの機能を停止させるウイルスが存在する問題がある。また、設定項目や検知項目がユーザにとって分かりにくく、設定が難しいため、機能が有効に活用されてない場合もある。さらに、インターネットプロトコルの高度化により、ファイアウォールの制限を回避して通信するプロトコルも多数開発されており、そのようなプロトコルを用いた通信を遮断することが難しいという問題がある。

また、特許文献１に開示されたようなＩＤＳについても、ウイルス対策ソフトと同様にパターンマッチングによる手法を用いているため、新しいパターンへの対応が難しいという問題がある。また、特許文献１の方法では、インバウンドトラフィックの監視により不正侵入を検知した後、予め定めた時間内に応答信号が返されるか否かによって侵入検知を行っているため、予め定めた時間内に規定どおりの動作をするような場合にしか対応できない。

そこで、本発明は、上記問題に鑑みてなされたものであり、本発明の目的とするところは、ＯＳ等のコンピュータの使用環境に依存せず、未知のウイルスやワームが侵入した場合であってもそれによるトラフィックの異常を検出することが可能な、新規かつ改良されたネットワーク異常検知装置、ネットワーク異常検知方法及びネットワーク異常検知システムを提供することにある。

上記課題を解決するために、本発明のある観点によれば、ネットワーク上を流れるトラフィックの異常を検知するネットワーク異常検知装置であって、内部ネットワークに対してデータの入出力を行う第１入出力部と、外部ネットワークに対してデータの入出力を行う第２入出力部と、第１入出力部及び第２入出力部から入力されたデータに基づき、トラフィックの異常を検知するためのデータを集計するデータ集計部と、データ集計部によって過去一定期間の間に集計されたデータを、トラフィックの異常度を計算する際の指標として用いる指標データとして保持する指標データ保持部と、トラフィックの異常を検知するためにデータ集計部によって異常度計算時刻に集計された評価データと、指標データ保持部から取得した指標データとを用いてトラフィックの異常度を計算する異常度計算部と、を含むことを特徴とする、ネットワーク異常検知装置が提供される。

かかる構成により、ＯＳなどの使用環境に関わらず、ネットワーク上の監視したいポイントで異常が発生しているかどうかを知ることができる。さらに、計算されたトラフィックの異常度のレベルをディスプレイやＬＥＤ（ＬＥＤ：Ｌｉｇｈｔ Ｅｍｉｔｔｉｎｇ Ｄｉｏｄｅ）などで表示することにより、ユーザや管理者が、監視ポイントにおいて正常な通信が行われているか否かを即座に認識することができる。

また、データ集計部は、第１入出力部から入力されたデータを第２入出力部に送信し、第２入出力部から入力されたデータを第１入出力部に送信するようにしてもよい。あるいは、第１入出力部は、内部ネットワークから入力されたデータを複製して第２入出力部にデータの一方を送信し、第２入出力部は、外部ネットワークから入力されたデータを複製して第１入出力部にデータの一方を送信するようにしてもよい。後者の場合は、前者の場合と比較してデータ集計部の負荷を減らすことができ、大容量トラフィックにも対応可能となる。さらに、第１入出力部と第２入出力部との間で直接データ転送を行うため、通信速度への影響を少なくすることができるという効果がある。

また、１または２以上の第１入出力部及び第２入出力部に接続されるスイッチ部をさらに含み、スイッチ部は、１または２以上の第１入出力部からそれぞれ入力されたデータを第２入出力部に送信するとともに、第２入出力部から入力されたデータの宛先に該当する第１入出力部を判別し、当該第１入出力部に対しデータを送信するようにしてもよい。スイッチ部は、レイヤ２スイッチであっても、レイヤ３スイッチであってもよく、ソフトウェアスイッチ、いわゆるルータ装置であってもよい。これにより、既存のスイッチ等の装置との置き換えによってトラフィックの異常を検知できる効果が得られ、新たに機器を設置するのと比較して、設置や管理が容易であるという効果がある。

また、異常度計算部によって計算された計算結果データを外部機器に対して送信する外部インタフェース部をさらに含んでもよい。これにより、ＰＣやサーバなどの外部機器において、トラフィックの異常についてさらに詳細に分析を行うことが可能となる。さらに、異常が確認された場合には、その旨をユーザにメール等で通知し対策を指示する等の対応を行うことも可能となる。

また、異常度計算部によって計算された計算結果データを保持する結果データ保持部をさらに含み、外部インタフェース部は、外部機器からの要求に応じて、結果データ保持部から取得した計算結果データと、指標データ保持部から取得した、計算結果データの計算に用いられた指標データとを外部機器に送信するようにしてもよい。これにより、ユーザや管理者が任意のタイミングで、ＰＣやサーバなどを接続して異常の原因を詳細に見ることができるようになる。また、ネットワーク管理者等であれば、送信されたデータを基に、トラフィックの異常についてある程度の推測を立て、対策を検討することが可能になる。

また、データ集計部は、第１入出力部または第２入出力部から入力された入力データの一部または全部を指標データ保持部に渡し、指標データ保持部は、データ集計部において入力データを集計して得られた指標データと入力データの一部または全部とを対応付けして保持するようにしてもよい。さらに、外部インタフェース部は、計算結果データ及び指標データとともに、指標データと対応付けされた入力データの一部または全部を外部機器に送信するようにしてもよい。これにより、外部機器によってネットワーク上を流れるパケットデータをモニタリングして解析することが可能となる。また、トラフィックの異常度のデータと対応付けされてパケットデータが送られてくるため、単にパケットをモニタリングするだけでなく、確認したい異常度のデータとそれに対応するパケットの解析ができ、非常に効率が良いというメリットがある。

また、第１入出力部、第２入出力部、及び外部インタフェース部と接続されるパケットフィルタ部をさらに含み、パケットフィルタ部は、外部インタフェース部を通じて受信される外部機器からのフィルタリング要求に応じて、第１入出力部及び第２入出力部によって入出力されるデータのフィルタリング制御を行うようにしてもよい。これにより、外部機器でトラフィックの異常について解析した結果、すぐに対策が必要であると判断した部分に関しては、外部機器からパケットフィルタの制御を行うことによって、即時にネットワークをワームの感染やＤＤｏＳ攻撃から防御することができる。ワームの波及に要する時間は非常に短いため、ユーザにメール等で通知する方法では対応が間に合わないような場合に、非常に効果がある。

また、上記課題を解決するために、本発明の別の観点によれば、ネットワーク上を流れるトラフィックの異常を検知するネットワーク異常検知方法であって、内部ネットワーク及び外部ネットワークから入力されたデータに基づき、トラフィックの異常を検知するためのデータを集計するデータ集計段階と、データ集計段階で集計されたデータを、トラフィックの異常度を計算する際の指標として用いる指標データとして保持する指標データ保持段階と、過去一定期間の間に集計された指標データを取得する指標データ取得段階と、指標データ取得段階において取得された指標データと、トラフィックの異常度計算時刻にデータ集計段階で集計された評価データとを用いてトラフィックの異常度を計算する異常度計算段階と、を含むことを特徴とする、ネットワーク異常検知方法が提供される。

かかる構成により、ＯＳなどの使用環境に関わらず、ネットワーク上の監視したいポイントで異常が発生しているかどうかを知ることができる。さらに、計算されたトラフィックの異常度のレベルをディスプレイやＬＥＤ等で表示することにより、ユーザや管理者が、監視ポイントにおいて正常な通信が行われているか否かを即座に認識することができる。

また、異常度計算段階で計算された結果である計算結果データを、外部機器に対して送信する結果データ送信段階をさらに含んでもよい。これにより、ＰＣやサーバなどの外部機器において、トラフィックの異常についてさらに詳細に分析を行うことが可能となる。さらに、異常が確認された場合には、その旨をユーザにメール等で通知し対策を指示する等の対応を行うことも可能となる。

また、異常度計算段階で計算された結果を計算結果データとして保持する結果データ保持段階と、外部機器からの問い合わせに応じて、計算結果データと、計算結果データの計算に用いられた指標データとを取得する結果データ取得段階とをさらに含んでもよい。さらに、結果データ送信段階において、結果データ取得段階で取得された指標データを計算結果データとともに外部機器に送信するようにしてもよい。これにより、ユーザや管理者が任意のタイミングで、ＰＣやサーバなどを接続して異常の原因を詳細に見ることができるようになる。また、ネットワーク管理者等であれば、送信されたデータを基に、トラフィックの異常についてある程度の推測を立て、対策を検討することが可能になる。

また、内部ネットワーク及び外部ネットワークから入力される入力データの一部または全部を、入力データを集計して得られた指標データと対応付けして保持するパケットデータ保持段階をさらに含み、結果データ送信段階において、計算結果データ及び指標データとともに、指標データと対応付けされた入力データの一部または全部を外部機器に送信するようにしてもよい。これにより、外部機器によってネットワーク上を流れるパケットデータをモニタリングして解析することが可能となる。また、トラフィックの異常度のデータと対応付けされてパケットデータが送られてくるため、単にパケットをモニタリングするだけでなく、確認したい異常度のデータとそれに対応するパケットの解析ができ、非常に効率が良いというメリットがある。

また、外部機器からのフィルタリング要求に応じて、入出力されるデータのフィルタリング制御を行うフィルタリング制御段階をさらに含んでもよい。これにより、外部機器でトラフィックの異常について解析した結果、すぐに対策が必要であると判断した部分に関しては、外部機器からパケットフィルタの制御を行うことによって、即時にネットワークをワームの感染やＤＤｏＳ攻撃から防御することができる。ワームの波及に要する時間は非常に短いため、ユーザにメール等で通知する方法では対応が間に合わないような場合に、非常に効果がある。

また、上記課題を解決するために、本発明の別の観点によれば、ネットワークから入力されるデータを集計し、集計されたデータからトラフィックの異常度を計算する複数のネットワーク異常検知装置と、ネットワークを介して複数のネットワーク異常検知装置と接続され、複数のネットワーク異常検知装置からそれぞれ送信された複数の異常度データを比較することにより、トラフィックの異常を検知する解析サーバとを含み、解析サーバは、複数の異常度データのうち、同一の要素から異常が検出された異常度データが複数存在する場合に、トラフィックに異常が発生していると判断することを特徴とする、ネットワーク異常検知システムが提供される。

かかる構成により、広域にワームが発生して異常トラフィックを発生させた場合に、同種の異常が複数のネットワーク異常検知装置で検知されることにより、複数のネットワーク異常検知装置の異常度のデータを比較することで、より早急に精度の高い異常検知ができるようになる。

以上説明したように本発明によれば、ＯＳ等のコンピュータの使用環境に依存せず、未知のウイルスやワームが侵入した場合であってもそれによるトラフィックの異常を検出することが可能である。

以下に添付図面を参照しながら、本発明の好適な実施の形態について詳細に説明する。なお、本明細書及び図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。

（第１の実施形態）
まず、図１及び図２に基づいて、本発明の第１の実施形態にかかるネットワーク異常検知装置について説明する。ここで、図１は、本発明の第１の実施形態にかかるネットワーク異常検知装置１００の概略構成を示すブロック図であり、図２は本実施形態にかかるネットワーク異常検知装置１００を示す概略図である。

本実施形態にかかるネットワーク異常検知装置１００は、図１に示すように、第１入出力部１１０、第２入出力部１２０、データ集計部１３０、指標データ保持部１４０、異常度計算部１５０及び結果出力部１６０から構成される。さらに、図１及び図２に示すように、ネットワーク異常検知装置１００は、第１入出力部１１０を通じてＬＡＮ（ＬＡＮ：Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）１７０などのような内部ネットワークに接続され、第２入出力部１２０を通じてインターネット１９０などのような外部ネットワークに接続される。ここで、内部ネットワークは、ユーザが使用するコンピュータの存在するネットワークであり、外部ネットワークは、本実施形態にかかるネットワーク異常検知装置１００からみて、内部ネットワークの反対側に位置するものとする。

次に、ネットワーク異常検知装置１００の各部についてそれぞれ説明する。

第１入出力部１１０は、内部ネットワークであるＬＡＮ１７０と接続され、ＬＡＮ１７０に接続されたユーザ端末１８０に対し送受信されるデータの入出力を行う機能部である。第１入出力部１１０には、ＬＡＮ１７０内のユーザ端末１８０から発信され、インターネット１９０などの外部ネットワークに対して送信されるトラフィック（アウトバウンドトラフィックという）が入力される。また逆に、インターネット１９０から発信されユーザ端末１８０に対して送信されるトラフィック（インバウンドトラフィックという）を出力する。第１入出力部１１０は、入力されたアウトバウンドトラフィックをデータ集計部１３０に渡し、データ集計部１３０からインバウンドトラフィックを受け取り、ＬＡＮ１７０に対して送信する。なお、本実施形態においては、ＬＡＮ１７０を介してユーザ端末１８０などとに接続されたものとして説明するが、ユーザ端末１８０のようなコンピュータと直接接続され、データ入出力を行うものであってもよい。

第２入出力部１２０は、インターネット１９０などの外部ネットワークに接続され、インターネット１９０に対してデータの入出力を行う機能部である。第２入出力部１２０は、第１入出力部と逆に、インターネット１９０などの外部ネットワークから発信されたインバウンドトラフィックを受信してデータ集計部１３０に渡し、データ集計部１３０から入力されるアウトバウンドトラフィックを受け取ってインターネット１９０に対して送信する。

データ集計部１３０は、インバウンド及びアウトバウンド両方のトラフィックを受け取り、パケットデータからネットワークの異常度を計算するためのデータを抽出して集計するための機能部である。データ集計部１３０は、第１入出力部１１０及び第２入出力部１２０と接続されて、第１入出力部１１０からアウトバウンドトラフィックを受け取って第２入出力部１２０に送り、第２入出力部１２０からインバウンドトラフィックを受け取って第１入出力部１１０に送る。すなわち、入力されたトラフィックはデータ集計部１３０を通過して、第１入出力部１１０及び第２入出力部１２０を通じ入出力される。さらに、データ集計部１３０は、入力されたトラフィックの所定のパラメータの値を検出して集計し、集計結果を指標データ保持部１４０及び異常度計算部１５０に送る。

指標データ保持部１４０は、データ集計部１３０から送られた集計結果のデータを蓄積し、異常度計算時点において集計された異常度計算の対象となるデータ（以下、評価データという）から異常度を計算するための指標となるデータ（以下、指標データという）として保持する記憶部である。指標データ保持部１４０は異常度計算部１５０からデータ要求があれば、保持している指標データのうち要求されているデータを検索し、指標データ保持部１４０に渡す。

異常度計算部１５０は、トラフィックの異常度を計算し、異常が発生しているか否かを判定する機能部である。異常度計算部１５０は、データ集計部１３０から集計結果である評価データが渡されると、集計データを指標データ保持部１４０に対し保存されている過去一定期間の指標データを要求する。要求される指標データは、例えば、評価データの取得日時の過去１週間の同時刻に取得した指標データ７個などであってもよい。異常度計算部１５０は、指標データを取得後、評価データと指標データとを用いて所定の計算方法によりトラフィックの異常度を計算し、計算結果データを結果出力部１６０に渡す。

結果出力部１６０は、異常度計算部１５０で計算されたトラフィックの異常度の値を出力するための機能部である。結果出力部１６０は、ユーザに異常度計算部１５０で計算された結果を通知するためのものであって、ＬＥＤやディスプレイ等の表示部、プリンタ、電子メール、ブザー等であってもよい。例えば、計算結果データの各パラメータの値をＬＥＤで段階的に表示して異常度のレベルを示したり、あるいは正常レベルを緑、異常レベルを赤のＬＥＤで表示するなどして、ユーザがトラフィックの異常をより直感的に認識可能に構成してもよい。

以上、本実施形態にかかるネットワーク異常検知装置１００の構成について説明した。次に、図３に基づいて、本実施形態にかかるネットワーク異常検知処理について説明する。ここで、図３は、ＬＡＮ１７０及びインターネット１９０から伝送されるパケットデータよりトラフィックの異常を検知する処理の流れを示すフローチャートである。

図３に示すように、まず、ステップＳ１０１では、インターネット１９０からＬＡＮ１７０に伝送されるパケットデータ、またはＬＡＮ１７０からインターネット１９０に伝送されるパケットデータが、ネットワーク異常検知装置１００に入力される。

次いで、ステップＳ１０２では、入力されたパケットデータに含まれるデータから、異常度の計算に用いられるパラメータの集計が行われる。異常度の計算に用いられるパラメータとしては、上位層のプロトコルタイプ（ＩＰ、ＡＲＰ、ＲＡＲＰ、ＴＣＰ、ＵＤＰ、ＩＣＭＰなど）、ＴＣＰパケットのＵＲＧ、ＡＣＫ、ＰＳＨ、ＳＹＮ、ＲＳＴ及びＦＩＮのフラグなどが用いられるが、上述した以外のパラメータ、例えばトラフィック量、送信元アドレス、送信先アドレスなどを用いてもよい。

次いで、ステップＳ１０３では、ステップＳ１０２で集計されたデータを、次回以降の異常度計算時に指標データとして用いるために保存する。

次に、ステップＳ１０４では、異常度の計算に用いる指標データを取得する。取得する指標データは、例えば、異常度計算時の過去１週間の同時刻に取得された指標データ７個などであってもよい。

次いで、ステップＳ１０５では、ステップＳ１０２で集計された評価データを、ステップＳ１０４で取得した指標データ（教師データともいう）と比較してどの程度乖離しているかを所定の計算方法により算出する。ここで算出される値を異常度と呼ぶ。

また、ステップＳ１０５で用いられる異常度の計算方法には、例えば、以下に述べるような方法が用いることができる。

まず、数式（１）により、指標データの各パラメータ間の値の差を解消するために、例えば各パラメータの平均値と分散とを用いて正規化を行う。次に、指標データの正規化の際に用いた各パラメータの平均値と分散とを用いて、数式（２）により評価データの値を計算する。この計算により得られた値を各パラメータの異常値と呼ぶ。このようにして得られた各パラメータの異常値の絶対値の和を計算した値が、トラフィックの異常度と定義される。異常度の値は、評価データの各パラメータの値が指標データと比較して差が少ないときは０に近づき、指標データと大きく異なるときは０よりも大きな値をとることになる。

（ｘ：指標データ、ｘ：ｘの平均、Ｓ_ｘ：ｘの分散、ｙ：正規化値）

（ａ：評価データ、ｚ：異常値）

次いで、ステップＳ１０６では、ステップＳ１０５の計算結果を出力し、ユーザに計算結果を通知する。出力方法としては、ＬＥＤやディスプレイ等の表示部、プリンタ、電子メール、ブザー等、様々な手段を用いることができる。

以上、本実施形態にかかるネットワークの異常検知方法について説明した。かかる方法により、ＯＳなどの使用環境に関わらず、ネットワーク上の監視したいポイントでトラフィックに異常が発生しているかどうかを知ることができる。さらに、計算結果がディスプレイやＬＥＤ等で表示されることにより、ユーザや管理者は、監視ポイントにおいて正常な通信が行われているか否かを即座に認識することができる。

（第２の実施形態）
次に、図４に基づいて、本発明の第２の実施形態にかかるネットワーク異常検知装置２００について説明する。図４は、本発明の第２の実施形態にかかるネットワーク異常検知装置２００の概略構成を示すブロック図である。

本実施形態にかかるネットワーク異常検知装置２００は、図４に示すように、第１入出力部２１０、第２入出力部２２０、データ集計部２３０、指標データ保持部２４０、異常度計算部２５０、結果出力部２６０、結果データ保持部２７０及び外部インタフェース部２８０から構成される。また、図４に示すように、ネットワーク異常検知装置２００は、外部インタフェース部２８０を通じてＰＣなどのような外部機器２９０と接続される。さらに、図示していないが、上述した第１の実施形態（図１参照）と同様に、第１入出力部２１０を通じてＬＡＮなどの内部ネットワークと接続され、第２入出力部２２０を通じてインターネットなどの外部ネットワークと接続されているものとする。本実施形態では、異常度の計算結果を保持しておき、外部からの問い合わせに対して計算結果データ及び計算に用いた指標データ等を出力することを特徴とする。

なお、この第２の実施形態にかかるネットワーク異常検知装置２００の第１入出力部２１０、第２入出力部２２０、データ集計部２３０、指標データ保持部２４０、異常度計算部２５０及び結果出力部２６０は、それぞれ上述した第１の実施形態にかかるネットワーク異常検知装置１００の第１入出力部１１０、第２入出力部１２０、データ集計部１３０、指標データ保持部１４０、異常度計算部１５０及び結果出力部１６０と実質的に同一の構成を有するものであるため詳細説明は省略する。以下、本実施形態にかかるネットワーク異常検知装置２００の結果データ保持部２７０及び外部インタフェース部２８０について説明する。

結果データ保持部２７０は、異常度計算部２５０において計算された異常度に関する計算結果データを保持するための記憶部である。結果データ保持部２７０は、外部からの問い合わせに対し、保持している計算結果データを出力する。保持される計算結果データは、最新のデータのみとしてもよいし、古いデータを保持したまま新しいデータをさらに追加してデータが順次蓄積されるようにしてもよい。

外部インタフェース部２８０は、データを外部機器２９０に送信し、外部機器２９０からの要求を受け取るための機能部である。外部インタフェース部２８０は、例えば、ＲＣ−２３２Ｃ、ＵＳＢ、ＲＪ４５等のインタフェースを備え、コンピュータ等の外部機器２９０と接続されてデータの送受信を行うことができる。外部インタフェース部２８０は、外部機器２９０からのデータ要求信号を受信したら、指標データ保持部２４０または結果データ保持部２７０に対しデータ要求を行い、取得したデータを外部機器２９０に対して送信する。また、送信の際には、データの安全性を高めるために、暗号化処理を行ってからデータを送信するようにしてもよい。

外部インタフェース部２８０から外部機器２９０に送信されるデータは、結果データ保持部２７０に保持されている異常度の計算結果データを少なくとも含む。それ以外に、例えば、異常度の計算に用いた指標データやその指標データを生成する際に用いたパケットの全部または一部のデータなどを含んでもよい。指標データの元となるパケットデータを送信するために、データ集計部２３０は、指標データの元となるパケットデータの一部または全部を複製して指標データ保持部２４０に送り、指標データ保持部２４０は、受け取ったパケットデータを指標データと対応付けて保持するようにしてもよい。

次に、図５に基づいて、本実施形態にかかるネットワーク異常検知処理について説明する。ここで、図５は、内部及び外部ネットワークから伝送されるパケットデータよりトラフィックの異常を検知する処理の流れを示すフローチャートである。図５において、Ｓ２０１〜Ｓ２０９は、本実施形態にかかるネットワーク異常検知装置２００における処理を示し、Ｓ２９１〜Ｓ２９２は、本実施形態にかかるネットワーク異常検知装置２００と接続されたＰＣなどの外部機器２９０における処理を示す。

図５に示すように、まず、ステップＳ２０１では、インターネットなどの外部ネットワーク、またはＬＡＮなどの内部ネットワークからに伝送されるパケットデータが、ネットワーク異常検知装置２００に入力される。

次いで、ステップＳ２０２では、入力されたパケットデータに含まれるデータから、異常度の計算に用いられるパラメータの集計が行われる。異常度の計算に用いられるパラメータとしては、例えば、上位層のプロトコルタイプ（ＩＰ、ＡＲＰ、ＲＡＲＰ、ＴＣＰ、ＵＤＰ、ＩＣＭＰなど）、ＴＣＰパケットのＵＲＧ、ＡＣＫ、ＰＳＨ、ＳＹＮ、ＲＳＴ及びＦＩＮのフラグなどが用いられるが、上述した以外のパラメータ、例えばトラフィック量、送信元アドレス、送信先アドレスなどを用いてもよい。

次いで、ステップＳ２０３では、ステップＳ２０２で集計されたデータを、次回以降の異常度計算時に指標データとして用いるためにを記憶領域に格納する。また、指標データの生成に用いられたパケットデータの一部または全部を複製し、指標データとともに保存してもよい。この際、指標データとパケットデータとを対応付けして格納し、指標データからそれに関連するパケットデータを検索できるようにしてもよい。

次に、ステップＳ２０４では、異常度の計算に用いる指標データを取得する。取得する指標データは、例えば、異常度計算時の過去１週間の同時刻に取得された指標データ７個などであってもよい。

次いで、ステップＳ２０５では、ステップＳ２０２で集計された評価データを、ステップＳ２０４で取得した指標データと比較してどの程度乖離しているかを所定の計算方法により算出する。ここで算出される値を異常度と呼ぶ。ここで用いられる異常度の計算方法には、上述した第１の実施形態で用いられるのと同様の方法を用いることができる。

次いで、ステップＳ２０６では、ステップＳ２０５の計算結果を出力し、ユーザに計算結果を通知する。出力方法としては、ＬＥＤやディスプレイ等の表示部、プリンタ、電子メール、ブザー等、様々な手段を用いることができる。

ステップＳ２０７では、ステップＳ２０５において計算された異常度の計算結果のデータを記憶領域に格納する。

外部機器２９０からは、ユーザの操作等により任意のタイミングで計算結果のデータを要求する要求信号がネットワーク異常検知装置２００に対して送信される（ステップＳ２９１）。

ネットワーク異常検知装置２００は、外部機器２９０からのデータ要求信号を受信したら、要求されたデータを、データが格納されている記憶領域から取得する（ステップＳ２０８）。ここで、取得されるデータは、少なくともステップＳ２０７で格納された異常度の計算結果データを含み、それ以外に、異常度の計算に用いた指標データ、その指標データを生成する際に用いたパケットの全部または一部のデータなどを含んでもよい。

次いで、ステップＳ２０９で、ステップＳ２０８で取得されたデータを外部機器２９０に対して送信する。また、送信の際に、データの安全性を高めるために、暗号化処理を施してもよい。

外部機器２９０では、データを受信したら、異常度のデータを分析し、検知すべき異常の有無を判定する（ステップＳ２９２）。さらに必要であれば、データをグラフ化して表示したり、異常と判定した際の対処方法などをユーザに対して電子メール等の手段により通知するなどしてもよい。

以上、本実施形態にかかるネットワークの異常検知方法について説明した。かかる方法により、本実施形態にかかるネットワーク異常検知装置に接続したＰＣやサーバなどから、ユーザや管理者が任意のタイミングで異常の原因を詳細に調べるためのデータを取得することができる。また、ネットワーク管理者等であれば、送信されたデータを基に、トラフィックの異常についてある程度の推測を立てて対策を検討し、ユーザに通知するなど対応を取ることが可能になる。

（第３の実施形態）
次に、図６、図７に基づいて、本発明の第３の実施形態にかかるネットワーク異常検知装置３００について説明する。図６は、本発明の第３の実施形態にかかるネットワーク異常検知装置３００の概略構成を示すブロック図であり、図７は、本実施形態にかかるネットワーク異常検知装置３００の変形例の概略構成を示すブロック図である。

本実施形態にかかるネットワーク異常検知装置３００は、図６に示すように、第１入出力部３１０、第２入出力部３２０、データ集計部３３０、指標データ保持部３４０、異常度計算部３５０及び外部インタフェース部３６０から構成される。また、図６に示すように、ネットワーク異常検知装置３００は、外部インタフェース部３６０を通じてＰＣなどのような外部機器３９０と接続される。さらに、図示していないが、上述した第１の実施形態（図１参照）と同様に、ネットワーク異常検知装置３００は、第１入出力部３１０を通じてＬＡＮなどの内部ネットワークと接続され、第２入出力部３２０を通じてインターネットなどの外部ネットワークと接続されているものとする。本実施形態では、異常度の計算が終了した段階で、ネットワーク異常検知装置３００が計算結果を外部機器３９０に送信するように構成したことを特徴とする。

なお、この第３の実施形態にかかるネットワーク異常検知装置３００の第１入出力部３１０、第２入出力部３２０、データ集計部３３０、指標データ保持部３４０及び異常度計算部３５０は、それぞれ上述した第１及び第２の実施形態にかかるネットワーク異常検知装置１００及び２００の第１入出力部１１０及び２１０、第２入出力部１２０及び２２０、データ集計部１３０及び２３０、指標データ保持部１４０及び２４０、異常度計算部１５０及び２５０と実質的に同一の構成を有するものであるため詳細説明は省略する。以下、本実施形態にかかるネットワーク異常検知装置３００の外部インタフェース部３６０について説明する。

外部インタフェース部３６０は、上述した第２実施形態にかかる外部インタフェース部２８０と同様に、データを外部機器３９０に送信し、外部機器３９０からの要求を受け取るための機能部である。外部インタフェース部３６０は、例えば、ＲＣ−２３２Ｃ、ＵＳＢ、ＲＪ４５等のインタフェースを備え、コンピュータ等の外部機器３９０と接続されてデータの送受信を行うことができる。外部インタフェース部３６０は、異常度計算部３５０で計算された異常度の計算結果を受け取り、接続されている外部機器３９０に結果データを送信する。外部インタフェース部３６０が送信するデータは、少なくとも異常度の計算結果データを含み、それ以外に、異常度の計算に用いた指標データ、その指標データを生成する際に用いたパケットの全部または一部のデータなどを含んでもよい。また、送信の際に、データの安全性を高めるために、暗号化処理を行うようにしてもよい。

さらに、図７に示した変形例のように、本実施形態にかかるネットワーク異常検知装置３００は、上述した構成に加えてパケットフィルタ部３７０を含んで構成されてもよい。

パケットフィルタ部３７０は、外部インタフェース部３６０と接続されており、外部機器３９０からのフィルタリング要求に従い、第１入出力部３１０及び第２入出力部３２０に対して入出力データのフィルタリング設定を行う機能部である。外部機器３９０からのフィルタリング要求は、外部インタフェース部３６０を通じてパケットフィルタ部３７０に送信される。パケットフィルタ部３７０は、外部インタフェース部３６０からフィルタリング要求信号を受け取ると、第１入出力部３１０及び第２入出力部３２０に対してフィルタリング情報を送信する。フィルタリング情報には、プロトコル、送信元アドレス、送信先アドレスまたはポート番号などにより、送信を許可あるいは遮断すべきデータであるか否かを判別するための情報が含まれる。

第１入出力部３１０及び第２入出力部３２０は、パケットフィルタ部３７０から渡されるフィルタリング情報に基づいて入出力するデータのフィルタリングを行う。具体的には、送信を許可あるいは遮断すべきプロトコル、送信元アドレス、送信先アドレスまたはポート番号などの情報をフィルタリング情報から参照し、入力されたデータが該当するものであるか否かを判断し、送信を許可または遮断する。データが送信を許可された場合は、第１入出力部３１０及び第２入出力部３２０により入出力が行われる。また、データが遮断される場合は、送信元にその旨を通知したり、入力されたデータを破棄したりするようにしてもよい。

なお、図示していないが、本実施形態にかかるネットワーク異常検知装置３００は、上述した第１及び第２の実施形態と同様に異常度の計算結果を出力するための結果出力部をさらに含んで構成されてもよい。また、第２の実施形態と同様、計算結果データを保持するための結果データ保持部をさらに含み、任意のタイミングで計算結果データを外部に送信可能としてもよい。

次に、図８に基づいて、本実施形態にかかるネットワーク異常検知処理について説明する。ここで、図８は、内部及び外部ネットワークから伝送されるパケットデータよりトラフィックの異常を検知する処理の流れを示すフローチャートである。図８において、Ｓ３０１〜Ｓ３０７は、本実施形態にかかるネットワーク異常検知装置３００における処理を示し、Ｓ３９１〜Ｓ３９３は、本実施形態にかかるネットワーク異常検知装置３００と接続されたＰＣなどの外部機器３９０における処理を示す。

なお、本実施形態にかかるネットワーク異常検知処理のうち、Ｓ３０１〜Ｓ３０５の処理は、それぞれ上述した第１及び第２の実施形態にかかるネットワーク異常検知処理のうち、Ｓ１０１〜Ｓ１０５及びＳ２０１〜Ｓ２０５（図３、図５参照）の処理と実質的に同一であるため、詳細説明は省略する。以下、Ｓ３０６〜Ｓ３０７、Ｓ３９１〜Ｓ３９３の処理について説明する。

ステップＳ３０６では、ステップＳ３０５において計算された異常度の計算結果のデータを外部機器３９０に対して送信する。送信されるデータは、少なくとも異常度の計算結果データを含み、それ以外に、異常度の計算に用いた指標データ、その指標データを生成する際に用いたパケットの全部または一部のデータなどを含んでもよい。また、送信の際に、データの安全性を高めるために、暗号化処理を施してもよい。

外部機器３９０では、データを受信したら、異常度のデータを分析し、検知すべき異常の有無を判定する（ステップＳ３９１）。さらに必要であれば、データをグラフ化して表示したり、異常と判定した際の対処方法などをユーザに対して電子メール等の手段により通知するなどしてもよい。

さらに、ステップＳ３９２では、異常と判定された場合、その異常が緊急度の高いものであるか否かなどによって、パケットフィルタリングを行うか否かを決定する。

パケットフィルタリングを行う場合、ステップＳ３９３で、ネットワーク異常検知装置３００に対して外部機器３９０からパケットフィルタリングを要求する信号が送信される。

ネットワーク異常検知装置３００は、外部機器３９０からのパケットフィルタリングの要求信号を受信したら、入出力部において、フィルタリング制御を行うための設定を行う（ステップＳ３０７）。

以上、本実施形態にかかるネットワークの異常検知方法について説明した。かかる方法により、外部機器でトラフィックの異常について解析した結果、すぐに対策が必要であると判断した部分に関しては、外部機器からパケットフィルタの制御を行うことによって、即時にネットワークをワームの感染やＤＤｏＳ攻撃から防御することができる。ワームの波及に要する時間は非常に短いため、ユーザにメール等で通知する方法では対応が間に合わないような場合に、非常に効果がある。

（第１の変形例）
次に、図９に基づいて、第１〜第３の実施形態にかかるネットワーク異常検知装置１００〜３００の第１の変形例について説明する。本変形例では、ネットワーク異常検知装置を通過するデータがデータ集計部を通過しないようにする構成であるネットワーク異常検知装置４００について説明する。ここで、図９は、第１〜第３の実施形態にかかるネットワーク異常検知装置１００〜３００の第１の変形例を示すブロック図である。なお、ネットワーク異常検知装置４００を構成する各構成要素については、第１〜第３の実施形態と同様であるので、各構成要素の詳細な説明は省略する。

なお、本変形例では、変形部分以外のネットワーク異常検知装置の構成は、第１の実施形態にかかるネットワーク異常検知装置の構成（図１）と同様であるとして説明するが、第２および第３の実施形態の構成であってもよい。

本変形例にかかるネットワーク異常検知装置４００においては、第１入出力部４１０と第２入出力部４２０とが接続され、第１入出力部４１０及び第２入出力部４２０を通じて装置に入出力されるデータが第１入出力部４１０と第２入出力部４２０との間で直接伝送される。

より詳細には、第１入出力部４１０は、ネットワークから入力されたデータを複製し、一方を第２入出力部４２０に送り、他方をデータ集計部４３０に送る。同様に、第２入出力部４２０は、ネットワークから入力されたデータを複製し、一方を第１入出力部４１０に送り、他方をデータ集計部４３０に送る。データ集計部４３０は、指標データ保持部４４０及び異常度計算部４５０に対してのみ、データを出力し、第１入出力部４１０及び第２入出力部４２０に対してデータを送ることはない。

かかる構成により、データ集計部の負荷を減らすことができ、大容量トラフィックにも対応可能となる。さらに、第１入出力部と第２入出力部との間で直接データ転送を行うため、通信速度への影響を少なくすることができるという効果がある。

（第２の変形例）
次に、図１０に基づいて、第１〜第３の実施形態にかかるネットワーク異常検知装置１００〜３００の第２の変形例について説明する。本変形例では、ネットワーク異常検知装置を通過するトラフィックの行き先を振り分けるスイッチ部を設けた構成であるネットワーク異常検知装置５００について説明する。ここで、図１０は、第１〜第３の実施形態にかかるネットワーク異常検知装置１００〜３００の第２の変形例を示すブロック図である。なお、ネットワーク異常検知装置５００を構成する各構成要素については、第１〜第３の実施形態と同様であるので、各構成要素の詳細な説明は省略する。

なお、本変形例も上述した第１の変形例と同様に、変形部分以外のネットワーク異常検知装置の構成は、第１の実施形態にかかるネットワーク異常検知装置の構成（図１）と同様であるとして説明するが、第２および第３の実施形態の構成であってもよい。

本変形例にかかるネットワーク異常検知装置５００は、第１入出力部５１０、５１１及び第２入出力部５２０と接続されるスイッチ部５７０を含んで構成される。スイッチ部５７０は、第１入出力部５１０、５１１からそれぞれ入力されたデータを第２入出力部５２０に送信する。また、スイッチ部５７０は、第２入出力部から入力されたデータから、送信先を抽出し、第１入出力部５１０、５１１のいずれかより送信先に該当するものを選択し、選択した第１入出力部に対しデータを送信する。スイッチ部５７０は、レイヤ２スイッチであっても、レイヤ３スイッチであってもよく、ソフトウェアスイッチ、いわゆるルータ装置であってもよい。

なお、ここでは説明を簡単にするため、第１入出力部は２つであるものとして説明したが、３つ以上であってもよい。

かかる構成により、既存のスイッチ等の装置との置き換えによってトラフィックの異常を検知できる効果が得られ、新たに機器を設置するのと比較して、設置や管理が容易であるという効果がある。

（第４の実施形態）
次に、図１１に基づいて、本発明の第４の実施形態にかかるネットワーク異常検知システムについて説明する。図１１は、本発明の第４の実施形態にかかるネットワーク異常検知システム６００の概略構成を示すブロック図である。

本発明の第４の実施形態にかかるネットワーク異常検知システム６００は、図１１に示すように、ネットワーク異常検知装置６１０〜６３０と、解析サーバ６６０とから構成される。ネットワーク異常検知装置６１０〜６３０と、解析サーバ６６０とは、ネットワーク６５０を介して接続されている。ネットワーク異常検知装置は、ネットワーク異常検知装置６１０及び６２０のように直接ネットワークに接続されてもよく、ネットワーク異常検知装置６３０のようにＰＣ６４０などの情報処理装置を介してネットワークに接続されてもよい。

本実施形態にかかるネットワーク異常検知システム６００は、トラフィックの異常を検知することが可能なネットワーク異常検知装置をネットワーク上の複数の監視ポイントに設置することによって、複数の装置から得られた異常度のデータを相互利用し、より精度の高い異常検知を行うようにしたものである。以下、ネットワーク異常検知装置６１０〜６３０及び解析サーバ６６０についてそれぞれ説明する。

ネットワーク異常検知装置６１０〜６３０は、上述した本発明の第２〜第３実施形態にかかるネットワーク異常検知装置２００〜３００と同一の構成を有するものであり、その構成要素の詳細な説明は省略する。ネットワーク異常検知装置６１０〜６３０は、解析サーバ６６０に対し、ネットワーク６５０を介してトラフィックの異常度に関する計算結果データを送信する。データが送信されるタイミングは、ネットワーク異常検知装置６１０〜６３０が計算処理を行った後すぐに、あるいは所定の時間間隔をおいて自動的に送信されるようにしてもよく、解析サーバからのデータ要求信号に応答して送信されるようにしてもよい。送信されるデータは、少なくとも異常度の計算結果データを含み、それ以外に、異常度の計算に用いた指標データ、その指標データを生成する際に用いたパケットの全部または一部のデータなどを含んでもよい。

解析サーバ６６０は、ネットワーク異常検知装置６１０〜６３０から送信された異常度データの解析し、各データのパラメータ値の推移を基に異常判定を行う。例えば、２つ以上のネットワーク異常検知装置で同時に異常が検知されている場合、それぞれの異常の原因が同種の要素において発生しているものかどうかを判定し、同種の要素によるものであれば、同種のワームなど同じ原因による異常である可能性が高いと判断する。

これにより、広域にワームが発生して異常トラフィックを発生させた場合に、同種の異常が複数のネットワーク異常検知装置で検知されることにより、複数のネットワーク異常検知装置の異常度のデータを比較することで、より早急に精度の高い異常検知が可能となる。

以上、本実施形態にかかるネットワーク異常検知システム６００について説明した。なお、本実施形態においては、ネットワーク異常検知装置が３つ、解析サーバが１つであるものとして説明したが、それ以上であってもよい。

以上、添付図面を参照しながら本発明の好適な実施形態について説明したが、本発明は係る例に限定されないことは言うまでもない。当業者であれば、特許請求の範囲に記載された範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、それらについても当然に本発明の技術的範囲に属するものと了解される。

本発明の第１の実施形態にかかるネットワーク異常検知装置の概略構成を示すブロック図である。 同実施形態にかかるネットワーク異常検知装置を示す概略図である。 同実施形態にかかるネットワーク異常検知処理を示すフローチャートである。 本発明の第２の実施形態にかかるネットワーク異常検知装置の概略構成を示すブロック図である。 同実施形態にかかるネットワーク異常検知処理を示すフローチャートである。 本発明の第３の実施形態にかかるネットワーク異常検知装置の概略構成を示すブロック図である。 同実施形態にかかるネットワーク異常検知装置の変形例を示すブロック図である。 同実施形態にかかるネットワーク異常検知処理を示すフローチャートである。 本発明の第１〜３の実施形態にかかるネットワーク異常検知装置の第１の変更例の概略構成を示すブロック図である。 本発明の第１〜３の実施形態にかかるネットワーク異常検知装置の第２の変更例の概略構成を示すブロック図である。 本発明の第４の実施形態にかかるネットワーク異常検知システムの概略構成を示すブロック図である。

符号の説明

１００ ネットワーク異常検知装置
１１０ 第１入出力部
１２０ 第２入出力部
１３０ データ集計部
１４０ 指標データ保持部
１５０ 異常度計算部
１６０ 結果出力部
１７０ ＬＡＮ
１８０ ユーザ端末
１９０ インターネット

Claims (14)

1. ネットワーク上を流れるトラフィックの異常を検知するネットワーク異常検知装置であって、
   内部ネットワークに対してデータの入出力を行う第１入出力部と、
   外部ネットワークに対してデータの入出力を行う第２入出力部と、
   前記第１入出力部及び前記第２入出力部から入力されたデータに基づき、トラフィックの異常を検知するためのデータを集計するデータ集計部と、
   前記データ集計部によって過去一定期間の間に集計されたデータを、トラフィックの異常度を計算する際の指標として用いる指標データとして保持する指標データ保持部と、
   トラフィックの異常を検知するために前記データ集計部によって異常度計算時刻に集計された評価データと、前記指標データ保持部から取得した前記指標データとを用いてトラフィックの異常度を計算する異常度計算部と、
   を含むことを特徴とする、ネットワーク異常検知装置。
2. 前記データ集計部は、前記第１入出力部から入力されたデータを前記第２入出力部に送信し、前記第２入出力部から入力されたデータを前記第１入出力部に送信することを特徴とする、請求項１に記載のネットワーク異常検知装置。
3. 前記第１入出力部は、前記内部ネットワークから入力されたデータを複製して前記第２入出力部にデータの一方を送り、前記第２入出力部は、前記外部ネットワークから入力されたデータを複製して前記第１入出力部にデータの一方を送ることを特徴とする、請求項１に記載のネットワーク異常検知装置。
4. １または２以上の前記第１入出力部及び前記第２入出力部に接続されるスイッチ部をさらに含み、
   前記スイッチ部は、
   前記１または２以上の第１入出力部からそれぞれ入力されたデータを前記第２入出力部に送信するとともに、
   前記第２入出力部から入力されたデータの宛先に該当する前記第１入出力部を判別し、当該第１入出力部に対しデータを送信することを特徴とする、請求項１〜３のいずれかに記載のネットワーク異常検知装置。
5. 前記異常度計算部によって計算された計算結果データを前記外部機器に対して送信する外部インタフェース部をさらに含むことを特徴とする、請求項１〜４のいずれかに記載のネットワーク異常検知装置。
6. 前記異常度計算部によって計算された計算結果データを保持する結果データ保持部をさらに含み、
   前記外部インタフェース部は、前記外部機器からの要求に応じて、前記結果データ保持部から取得した前記計算結果データと、前記指標データ保持部から取得した、前記計算結果データの計算に用いられた前記指標データとを前記外部機器に送信することを特徴とする、請求項５に記載のネットワーク異常検知装置。
7. 前記データ集計部は、前記第１入出力部または前記第２入出力部から入力された入力データの一部または全部を前記指標データ保持部に渡し、
   前記指標データ保持部は、前記データ集計部において前記入力データを集計して得られた前記指標データと前記入力データの一部または全部とを対応付けして保持し、
   前記外部インタフェース部は、前記計算結果データ及び前記指標データとともに、前記指標データと対応付けされた前記入力データの一部または全部を前記外部機器に送信することを特徴とする、請求項６に記載のネットワーク異常検知装置。
8. 前記第１入出力部、前記第２入出力部、及び前記外部インタフェース部と接続されるパケットフィルタ部をさらに含み、
   前記パケットフィルタ部は、前記外部インタフェース部を通じて受信される前記外部機器からのフィルタリング要求に応じて、前記第１入出力部及び前記第２入出力部によって入出力されるデータのフィルタリング制御を行うことを特徴とする、請求項５〜７のいずれかに記載のネットワーク異常検知装置。
9. ネットワーク上を流れるトラフィックの異常を検知するネットワーク異常検知方法であって、
   内部ネットワーク及び外部ネットワークから入力されたデータに基づき、トラフィックの異常を検知するためのデータを集計するデータ集計段階と、
   前記データ集計段階で集計されたデータを、トラフィックの異常度を計算する際の指標として用いる指標データとして保持する指標データ保持段階と、
   過去一定期間の間に集計された前記指標データを取得する指標データ取得段階と、
   前記指標データ取得段階において取得された前記指標データと、トラフィックの異常度計算時刻に前記データ集計段階で集計された評価データとを用いてトラフィックの異常度を計算する異常度計算段階と、
   を含むことを特徴とする、ネットワーク異常検知方法。
10. 前記異常度計算段階で計算された結果である計算結果データを、外部機器に対して送信する結果データ送信段階をさらに含むことを特徴とする、請求項９に記載のネットワーク異常検知方法。
11. 前記異常度計算段階で計算された結果を計算結果データとして保持する結果データ保持段階と、
    前記外部機器からの問い合わせに応じて、前記計算結果データと前記計算結果データの計算に用いられた前記指標データとを取得する結果データ取得段階と、
    をさらに含み、
    前記結果データ送信段階において、前記結果データ取得段階で取得された前記指標データを前記計算結果データとともに前記外部機器に送信することを特徴とする、請求項１０に記載のネットワーク異常検知方法。
12. 前記内部ネットワーク及び前記外部ネットワークから入力される入力データの一部または全部を、前記入力データを集計して得られた前記指標データと対応付けして保持するパケットデータ保持段階をさらに含み、
    前記結果データ送信段階において、前記計算結果データ及び前記指標データとともに、前記指標データと対応付けされた前記入力データの一部または全部を前記外部機器に送信することを特徴とする、請求項１１に記載のネットワーク異常検知方法。
13. 前記外部機器からのフィルタリング要求に応じて、入出力されるデータのフィルタリング制御を行うフィルタリング制御段階をさらに含むことを特徴とする、請求項１０〜１２のいずれかに記載のネットワーク異常検知方法。
14. ネットワークから入力されるデータを集計し、集計されたデータからトラフィックの異常度を計算する複数のネットワーク異常検知装置と、
    ネットワークを介して前記複数のネットワーク異常検知装置と接続され、前記複数のネットワーク異常検知装置からそれぞれ送信された複数の異常度データを比較することにより、トラフィックの異常を検知する解析サーバと、
    を含み、
    前記解析サーバは、前記複数の異常度データのうち、同一の要素から異常が検出された前記異常度データが複数存在する場合に、トラフィックに異常が発生していると判断することを特徴とする、ネットワーク異常検知システム。

Images