JP2008104027A - パケット情報収集装置およびパケット情報収集プログラム - Google Patents

Abstract

【課題】コネクション単位の情報を収集し、かつ、収集すべき情報の指定変更に柔軟に対応することを課題とする。
【解決手段】送信元アドレスから送信先アドレスに対して送信されたパケットを受信してパケットに関する情報を収集するパケット情報収集装置であって、送信元アドレスおよび送信先アドレスの組み合わせを特定したコネクション単位での情報の収集対象となるパケットを識別するコネクション単位識別情報を所定の入力部において受け付けて保持し、保持されたコネクション単位識別情報で識別されるパケットを受信した場合に情報を取得し、取得した情報をパケットに含まれる送信元アドレスおよび送信先アドレスの組み合わせで特定されるコネクション単位で所定の記憶部に記憶させる。
【選択図】 図１

Description

この発明は、パケット情報収集装置およびパケット情報収集プログラムに関する。

従来より、ネットワーク上を伝送されるパケットに関する情報を収集するパケット情報収集装置は、ネットワークのキャパシティプランニングや障害発生時の切り分けなどを目的として、ネットワークを運用する運用管理者などに利用されている。また、最近では特に、ネットワークの安定稼働や障害発生の予防（例えば、異常トラフィックによるサーバのスローダウンや攻撃によるシステムダウンの予防など）といった目的も加わり、パケット情報収集装置の利用は一段と注目を集めている。

このようなパケット情報収集装置は、ユーザポリシーなどによって予め指定された情報（どのようなパケットがどの端末からいくつ送信されたかに関する統計情報など）を収集する。例えば、パケット情報収集装置は、ユーザポリシーによって予め指定されたパケット（どのようなパケットでどの端末から送信されたパケットであるかを指定されたパケットなど）を識別するハードロジックを有し、ネットワーク上を伝送されるパケットが指定されたパケットであるか否かをハードロジックにより識別して、該当するパケットに関する情報（いくつ送信されたかなど）を収集する。

また、例えば、特許文献１では、パケット情報収集装置が、予め指定された情報（ＡＩＳ（Alarm Indication Signal）／ＲＤＩ（Remote Defect Indication）による障害通知）を回路インタフェースで検出して回路ボードのメモリに一時的に記憶し、回路ボードから制御部に情報の統計値を転送する手法が開示されている。

特開平１０−２３０１１号公報

ところで、上記した従来の技術では、収集すべき情報の指定変更に柔軟に対応することができないという課題があった。すなわち、パケットを識別するハードロジックを有する手法で指定変更に対応するには、ハードロジックを大規模に構成しなければならず、柔軟に対応することができるものではない。また、ＡＩＳ／ＲＤＩによる障害通知を回路インタフェースで検出する手法で指定変更に対応するには、他の情報を検知可能な回路インタフェースを導入しなければならず、やはり、柔軟に対応することができるものではない。

このような課題を解決するため、収集すべき情報の指定を記憶部に保持する手法が提案されている（本発明と同一の出願人によって出願された特願２００５−５０９４６８号）。具体的に説明すると、この提案の手法では、パケット情報収集装置は、まず、ユーザポリシーによって指定されたパケットの識別情報を記憶部に保持し、次に、ネットワーク上を伝送されるパケットを受信すると、識別情報で識別されるパケットの統計情報をパケット単位に記憶する（送信元アドレスまたは送信先アドレスが特定されている統計情報を記憶する）。この提案の手法によれば、収集すべき情報の指定変更は、記憶部に保持する識別情報を変更するのみでよいことから、収集すべき情報の指定変更に柔軟に対応することができる。

しかしながら、この提案の手法によると、コネクション単位の情報（送信元アドレスおよび送信先アドレスの組み合わせが特定されている情報）を収集することができないという課題が生じる。すなわち、この提案の手法は、識別情報で識別されるパケットの統計情報を、送信元アドレスまたは送信先アドレスが特定されているパケット単位に記憶することから、コネクション単位の情報を収集することができない。

そこで、この発明は、上記した従来技術の課題を解決するためになされたものであり、コネクション単位の情報を収集することが可能であり、かつ、収集すべき情報の指定変更に柔軟に対応することが可能なパケット情報収集装置およびパケット情報収集プログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するため、請求項１に係る発明は、送信元アドレスから送信先アドレスに対して送信されたパケットを受信して当該パケットに関する情報を収集するパケット情報収集装置であって、前記送信元アドレスおよび前記送信先アドレスの組み合わせを特定したコネクション単位での前記情報の収集対象となるパケットを識別するコネクション単位識別情報を所定の入力部において受け付けて保持するコネクション単位識別情報保持手段と、前記コネクション単位識別情報保持手段によって保持されたコネクション単位識別情報で識別されるパケットを受信した場合に前記情報を取得し、取得した当該情報を当該パケットに含まれる送信元アドレスおよび送信先アドレスの組み合わせで特定される前記コネクション単位で所定の記憶部に記憶させるコネクション単位パケット情報収集手段と、を備えたことを特徴とする。

また、請求項２に係る発明は、上記の発明において、前記所定の記憶部は、送信元アドレス、送信先アドレス、送信元ポート番号、送信先ポート番号のいずれか一つまたは複数で特定されるパケットに関する情報ごとに区分けされたものであって、前記コネクション単位パケット情報収集手段は、前記コネクション単位で所定の記憶部に記憶させる前記情報を、前記記憶部において、当該情報の収集対象となったパケットの送信元アドレス、送信先アドレス、送信元ポート番号、送信先ポート番号のいずれか一つまたは複数で特定される前記区分け内に記憶させることを特徴とする。

また、請求項３に係る発明は、上記の発明において、前記コネクション単位パケット情報収集手段は、前記送信元アドレスおよび前記送信先アドレスの組み合わせで特定されるコネクション単位の前記情報に、当該送信元アドレスが送信先アドレスとして含まれ当該送信先アドレスが送信元アドレスとして含まれる反対方向パケットに関する情報であって当該反対方向パケットに含まれる送信元アドレスおよび送信先アドレスの組み合わせで特定されるコネクション単位の情報を関連づけて所定の記憶部に記憶させることを特徴とする。

また、請求項４に係る発明は、上記の発明において、前記コネクション単位パケット情報収集手段は、前記コネクション単位で記憶させる前記情報として、前記パケットに関する統計情報、当該パケットに関するステータス情報、当該パケットのシーケンスナンバーのいずれか一つまたは複数を取得することを特徴とする。

また、請求項５に係る発明は、上記の発明において、前記送信元アドレスまたは前記送信先アドレスを特定したパケット単位での前記情報の収集対象となるパケットを識別するパケット単位識別情報を所定の入力部において受け付けて保持するパケット単位識別情報保持手段と、前記パケット単位識別情報保持手段によって保持されたパケット単位識別情報で識別されるパケットを受信した場合に前記情報を取得し、取得した当該情報を当該パケットに含まれる送信元アドレスまたは送信先アドレスで特定されるパケット単位で所定の記憶部に記憶させるパケット単位パケット情報収集手段と、をさらに備えたことを特徴とする。

請求項１の発明によれば、送信元アドレスから送信先アドレスに対して送信されたパケットを受信してパケットに関する情報を収集するパケット情報収集装置であって、送信元アドレスおよび送信先アドレスの組み合わせを特定したコネクション単位での情報の収集対象となるパケットを識別するコネクション単位識別情報を所定の入力部において受け付けて保持し、保持されたコネクション単位識別情報で識別されるパケットを受信した場合に情報を取得し、取得した情報をパケットに含まれる送信元アドレスおよび送信先アドレスの組み合わせで特定されるコネクション単位で所定の記憶部に記憶させるので、コネクション単位の情報を収集することが可能になり、かつ、収集すべき情報の指定変更に柔軟に対応することが可能になる。すなわち、本発明の手法によれば、コネクション単位識別情報で識別されるパケットに関する情報を、送信元アドレスおよび送信先アドレスの組み合わせが特定されているコネクション単位に記憶することから、コネクション単位の情報を収集することが可能になり、かつ、本発明の手法によれば、収集すべき情報の指定変更（ユーザポリシーの変更）は、コネクション単位識別情報の変更を所定の入力部において受け付けて保持するのみでよいことから、収集すべき情報の指定変更に柔軟に対応することが可能になる。

また、請求項２の発明によれば、所定の記憶部は、送信元アドレス、送信先アドレス、送信元ポート番号、送信先ポート番号のいずれか一つまたは複数で特定されるパケットに関する情報ごとに区分けされたものであって、パケット情報収集装置は、コネクション単位で所定の記憶部に記憶させる情報を、記憶部において、情報の収集対象となったパケットの送信元アドレス、送信先アドレス、送信元ポート番号、送信先ポート番号のいずれか一つまたは複数で特定される区分け内に記憶させるので、送信元アドレス、送信先アドレス、送信元ポート番号、送信先ポート番号などが特定されるコネクション単位の情報を、区分けされた所定の記憶部（例えば、特定のメモリ領域（ＢＡＮＫ）など）に収集することが可能になる。また、所定の記憶部の区分け手法によって、ネットワークの運用管理者などが着目する視点においてトラフィック特性を分析することが可能になる。

また、請求項３の発明によれば、パケット情報収集装置は、送信元アドレスおよび送信先アドレスの組み合わせで特定されるコネクション単位の情報に、この送信元アドレスが送信先アドレスとして含まれこの送信先アドレスが送信元アドレスとして含まれる反対方向パケットに関する情報であって反対方向パケットに含まれる送信元アドレスおよび送信先アドレスの組み合わせで特定されるコネクション単位の情報を関連づけて所定の記憶部に記憶させるので、コネクション単位の情報を、双方向のトラフィック特性の観点から収集することが可能になる。

また、請求項４の発明によれば、パケット情報収集装置は、コネクション単位で記憶させる情報として、パケットに関する統計情報、パケットに関するステータス情報、パケットのシーケンスナンバーのいずれか一つまたは複数を取得するので、収集したコネクション単位の情報から厳密な分析をすることが可能になる。

また、請求項５の発明によれば、パケット情報収集装置は、送信元アドレスまたは送信先アドレスを特定したパケット単位での情報の収集対象となるパケットを識別するパケット単位識別情報を所定の入力部において受け付けて保持し、保持されたパケット単位識別情報で識別されるパケットを受信した場合に情報を取得し、取得した情報をパケットに含まれる送信元アドレスまたは送信先アドレスで特定されるパケット単位で所定の記憶部に記憶させるので、コネクション単位の情報のみならず、パケット単位の情報を収集することも可能になる。

以下に添付図面を参照して、本発明に係るパケット情報収集装置およびパケット情報収集プログラムの実施例を詳細に説明する。なお、以下では、実施例で用いる主要な用語、実施例１に係るパケット情報収集装置の概要および特徴、実施例１に係るパケット情報収集装置の構成および処理の手順、実施例１の効果を順に説明し、次に、他の実施例について説明する。

［用語の説明］
まず最初に、以下の実施例で用いる主要な用語を説明する。以下の実施例で用いる「パケット」とは、装置間で送受信されるデータ（上位アプリケーションで利用されるデータ）に、その他の制御情報（例えば、送信元アドレスや送信先アドレスなど）が付加されたデータの固まりのことである。すなわち、装置間でデータを送受信する際には、データをある程度の大きさに分割して送受信することが一般的に行われるが、分割したデータを送信先の装置に送信するには、例えば、ＴＣＰ（Transmission Control Protocol）による通信であれば、送信元の装置のアドレス（送信元アドレス）、送信先の装置のアドレス（送信先アドレス）、送信元ポート番号、送信先ポート番号などの制御情報が必要となる。このため、装置間では、これらの制御情報を付加した「パケット」でデータの送受信を行う。

ところで、上記したように、「パケット」には、上位アプリケーションで利用されるデータの他に様々な制御情報が付加されていることから、「パケット情報収集装置」が「パケットに関する情報」としてこれらの制御情報に着目した情報を収集すると、その後、収集された情報は、通信状況の分析などに活用されることができる。例えば、「パケット情報収集装置」が、「パケットに関する情報」として特定の送信元アドレスに着目した情報を収集すると、その後、収集された情報は、特定の送信元アドレス（送信元の装置）の通信状況の分析などに活用されることができる。

このように、「パケット情報収集装置」が「パケットに関する情報」として収集した情報の活用場面は多く、ネットワークを運用する運用管理者などにとって、「パケットに関する情報」を収集することは、ネットワークのキャパシティプランニングや障害発生時の切り分けのみならず、ネットワークの安定稼働や障害発生の予防にも役立つこととして、注目を集めている。もっとも、ネットワーク上を伝送される「パケット」の数や種類は膨大であり、「パケットに関する情報」を全て収集すれば良いというものではない。ネットワークの運用管理目的などに則って、必要な情報を適切に収集することが重要である。特に、上記してきたように、「パケット」は装置間で送受信されるものであることから、「送信元アドレス」および「送信先アドレス」の組み合わせを特定したコネクション単位でパケットを収集することは非常に有意義であるといえる。

［実施例１に係るパケット情報収集装置の概要および特徴］
続いて、図１を用いて、実施例１に係るパケット情報収集装置の概要および特徴を説明する。図１は、実施例１に係るパケット情報収集装置の概要および特徴を説明するための図である。なお、パケット情報収集装置は、情報を収集する対象となるネットワークのバックボーンに接続してパケットを受信する構成や、インターネットに公開されるＷｅｂサーバとインターネットとの間に接続してＷｅｂサーバにアクセスするパケットを受信する構成など、パケットを受信してパケットに関する情報を収集する構成であれば、いずれの構成においても適用することができる。

実施例１に係るパケット情報収集装置は、上記したように、送信元アドレスから送信先アドレスに対して送信されたパケットを受信してパケットに関する情報を収集することを概要とし、コネクション単位の情報を収集し、かつ、収集すべき情報の指定変更に柔軟に対応することを主たる特徴とする。

この主たる特徴について簡単に説明すると、実施例１に係るパケット情報収集装置は、図１に示すように、コネクション単位識別情報（送信元アドレスおよび送信先アドレスの組み合わせを特定したコネクション単位での情報の収集対象となるパケットを識別する情報）を所定の入力部において受け付けて保持する（図１の（１）を参照）。例えば、パケット情報収集装置は、コネクション単位識別情報として、図１の（１）に示すように、パケット種別（フレームタイプ「ＩＰｖ４（Internet Protocol version ４）」、プロトコル「ＴＣＰ（Transmission Control Protocol）」）などを指定する情報を、キーボードなどの入力部において受け付けて保持する。

なお、図１では、コネクション単位識別情報として、パケット種別を指定する情報を保持する手法を例示するが、本発明はこれに限られるものではなく、エラー種別を指定する情報を保持する手法や、その他の制御情報を保持する手法など、情報の収集対象となるパケットを識別する識別情報であれば、保持する情報の種類や組み合わせはいずれでもよい。

実施例１に係るパケット情報収集装置は、図１に示すように、コネクション単位識別情報で識別されるパケットを受信した場合に（図１の（２）を参照）、情報を取得し、取得した情報を、パケットに含まれる送信元アドレスおよび送信先アドレスの組み合わせで特定されるコネクション単位で所定の記憶部に記憶させる（図１の（３）を参照）。

例えば、パケット情報収集装置は、コネクション単位識別情報で識別されるパケットとして、図１の（２）に示すように、送信元アドレス「１０．２２．７２．１６０」、送信先アドレス「１０．２２．７２．１１３」、送信元ポート番号「２０００」、送信先ポート番号「８０」などを含むパケットを受信した場合に、図１の（３）に示すように、情報として、送信元アドレス「１０．２２．７２．１６０」から送信先アドレス「１０．２２．７２．１１３」に対して送信されたパケットのカウントを取得し、取得したカウントを、送信元アドレス「１０．２２．７２．１６０」および送信先アドレス「１０．２２．７２．１１３」の組み合わせで特定されるコネクション単位で、記憶部に記憶させる。

なお、図１では、情報として、特定の送信元アドレスから特定の送信先アドレスに対して送信されたパケットのカウントを取得する事例を説明したが、本発明はこれに限られるものではなく、例えば、パケットに関するその他の統計情報、パケットに関するステータス情報、パケットのシーケンスナンバーなど、その他の情報を取得する事例にも、本発明を同様に適用することができる。

このようにして、実施例１に係るパケット情報収集装置は、コネクション単位の情報を収集することが可能になり、かつ、収集すべき情報の指定変更に柔軟に対応することが可能になる。すなわち、実施例１に係るパケット情報収集装置によれば、コネクション単位識別情報で識別されるパケットに関する情報を、送信元アドレスおよび送信先アドレスの組み合わせが特定されているコネクション単位に記憶することから、コネクション単位の情報を収集することが可能になり、かつ、実施例１に係るパケット情報収集装置によれば、収集すべき情報の指定変更（ユーザポリシーの変更）は、コネクション単位識別情報の変更を所定の入力部において受け付けて保持するのみでよいことから、収集すべき情報の指定変更に柔軟に対応することが可能になる。

なお、実施例１に係るパケット情報収集装置は、上記した主たる特徴の他に、所定の記憶部が、送信元アドレス、送信先アドレス、送信元ポート番号、送信先ポート番号のいずれか一つまたは複数で特定されるパケットに関する情報ごとに区分けされたものであって、取得した情報を該当する区分け内に記憶させることにも特徴がある。また、実施例１に係るパケット情報収集装置は、記憶部に記憶される情報に、反対方向パケット（送信元アドレスと送信先アドレスとが反対のパケット）に関する情報を関連づけて記憶させることにも特徴がある。さらに、実施例１に係るパケット情報収集装置は、送信元アドレスまたは送信先アドレスを特定したパケット単位の情報も記憶部に記憶させることにも特徴がある。

［実施例１に係るパケット情報収集装置の構成］
次に、図２〜図９を用いて、実施例１に係るパケット情報収集装置の構成を説明する。図２は、実施例１に係るパケット情報収集装置の構成を示すブロック図であり、図３は、パターン抽出部内のテーブルＡを説明するための図であり、図４は、パターン検索部内のテーブルＣを説明するための図であり、図５は、パケット単位での情報収集について説明するための図であり、図６は、コネクション単位での情報収集について説明するための図であり、図７は、統計情報メモリＢのメモリマップ例を説明するための図であり、図８は、パケット例１を説明するための図であり、図９は、パケット例２を説明するための図である。

図２に示すように、実施例１に係るパケット情報収集装置１０は、特に本発明に密接に関連するものとして、パターン抽出部１１と、パターン検索部１２と、統計情報メモリＡ１３と、シーケンスチェック部１４と、統計情報メモリＢ１５とから構成される。また、パターン抽出部１１は、テーブルＡ１１ａを含んで構成され、パターン検索部１２は、テーブルＢ１２ａとテーブルＣ１２ｂとを含んで構成され、シーケンスチェック部１４は、テーブルＤ１４ａを含んで構成される。

なお、実施例１に係るパケット情報収集装置１０は、コネクション単位の情報のみならず、パケット単位の情報を収集することも可能な構成をとり、かつ、コネクション単位の情報を収集するか否かを、パケット単位の情報を収集する際に指定することが可能な構成をとることを前提とする。

また、パターン抽出部１１のテーブルＡ１１ａが、特許請求の範囲に記載の「パケット単位識別情報保持手段」および「コネクション単位識別情報保持手段」に対応し、パターン抽出部１１とパターン検索部１２と統計情報メモリＡ１３とが、特許請求の範囲に記載の「パケット単位パケット情報収集手段」に対応し、パターン抽出部１１とパターン検索部１２とシーケンスチェック部１４と統計情報メモリＢ１５とが、特許請求の範囲に記載の「コネクション単位パケット情報収集手段」に対応する。

かかるパケット情報収集装置１０において、テーブルＡ１１ａおよびテーブルＣ１２ｂは、ネットワークの運用管理者などによって入力されたユーザポリシーを保持する記憶部のことである。したがって、テーブルＡ１１ａおよびテーブルＣ１２ｂは、パケット情報収集装置１０によるパケット情報収集処理に先立ち、予めユーザポリシーを保持することが原則となる。以下、まず最初に、テーブルＡ１１ａおよびテーブルＣ１２ｂについて説明する。

テーブルＡ１１ａは、ユーザポリシーの一つとして、パケット単位識別情報（パケット単位での情報の収集対象となるパケットを識別する情報）を保持するとともに、コネクション単位識別情報（コネクション単位での情報の収集対象となるパケットを識別する情報）を保持する。すなわち、上記したように、実施例１に係るパケット情報収集装置１０は、コネクション単位の情報のみならず、パケット単位の情報を収集することも可能な構成をとることを前提とするので、テーブルＡ１１ａは、パケット単位識別情報およびコネクション単位識別情報の双方を保持する。

また、上記したように、実施例１に係るパケット情報収集装置１０は、コネクション単位の情報を収集するか否かを、パケット単位の情報を収集する際に指定することが可能な構成をとることを前提とするので、テーブルＡ１１ａは、パケット単位での情報の収集対象となるパケットをコネクション単位での情報の収集対象とするか否かを指定する指定情報（後述する「コネクション監視フラグ」）を、パケット単位識別情報と対応づけて保持する形態で、コネクション単位識別情報を保持する。

以下、テーブルＡ１１ａについて具体的に説明すると、テーブルＡ１１ａは、パケット単位およびコネクション単位での情報の収集対象となるパケットを識別する識別情報を、入力部（例えば、キーボード、通信部など）において受け付けて保持し、保持した識別情報は、パターン抽出部１１の処理に利用される。ここで、上記したように、テーブルＡ１１ａが保持する識別情報は、ネットワークの運用管理者などによって入力されたユーザポリシーのことである。したがって、実施例１に係るパケット情報収集装置１０は、パケット情報収集処理に先立ち、識別情報を予め受け付けてテーブルＡ１１ａに保持する。また、収集すべき情報の指定変更（ユーザポリシーの変更）を行う場合には、テーブルＡ１１ａに保持される識別情報が変更されることになる。

テーブルＡ１１ａは、識別情報として、例えば、図３に示すように、「ＥＮＴ」と、「パケット種別」と、「エラー種別」と、「パターン抽出位置」と、「統計情報ベースアドレス」と、「学習フラグ」と、「コネクション監視フラグ」とを対応づけて保持する。なお、実施例１においては、テーブルＡ１１ａが保持する識別情報として上記の情報を対応づけて保持する例を説明するが、本発明はこれに限られるものではなく、パケット単位もしくはコネクション単位での情報の収集対象となるパケットを識別する情報であれば、保持する情報の組み合わせや具体的な情報の内容はいずれでもよい。

各項目について個別に説明すると、「ＥＮＴ」は、識別情報のエントリを示す項目であり、「０」は、エントリが無いことを示し、「１」は、エントリが有ることを示すものである。なお、図３では、後述するパケット例１を識別する識別情報を「（例１）」のエントリで示し、後述するパケット例２を識別する識別情報を「（例２）」のエントリで示す。

「パケット種別」は、「｛タグの有無、タイプ値、プロトコル値｝」を示す項目である。「｛タグの有無｝」は、所定のフィールドにタグ識別子の値「８１００」が設定されているパケットを識別する場合は「１」となり、それ以外のパケットを識別する場合は「０」となる。「｛タイプ値｝」は、フレームタイプが「ＩＰｖ４」であるパケットを識別する場合は「０８００」となる。「｛プロトコル値｝」は、プロトコルが「ＴＣＰ」であるパケットを識別する場合は「６」となる。「エラー種別」は、ＴＴＬ（Time To Live）が「００」であるパケット（エラー有りのパケット）を識別する場合は「１」となり、それ以外のパケット（エラー無しのパケット）を識別する場合は「０」となる。

「パターン抽出位置」は、情報の収集対象となる具体的なパケット（「パケット種別」や「エラー種別」のみならず、送信元アドレス、送信先アドレスなどの情報が特定されたパケット）を識別する検索パターンを生成するための抽出位置を示す項目であり、「オフセット」（位置を基準点からの差で表した値）と「長さ」とを対応づけて示す。例えば、「（２４０，３２）」は、基準点から２４０ビット（３０バイト）の位置から、長さ３２ビット（４バイト）のデータ（例えば、送信先アドレス）を検索パターンの一部として抽出することを示す。

「統計情報ベースアドレス」は、統計情報メモリＡ１３におけるベースアドレス（セグメント方式によるアドレスの基準点）を示す項目である。「学習フラグ」は、識別情報によって識別されるパケットであって、パターン検索部１２によるテーブルＢ１２ａの検索で検索失敗となるパケットを、テーブルＢ１２ａに新たに登録する場合は「１」となり、テーブルＢ１２ａに登録せずに処理を終了する場合は「０」となる。

「コネクション監視フラグ」は、パケット単位での情報の収集対象となるパケットを、コネクション単位での情報の収集対象とするか否かを指定する項目である。例えば、実施例１においては、ＴＣＰコネクションのコネクション単位で情報の収集を行う事例を説明するので、パケットをＴＣＰコネクションのコネクション単位での情報の収集対象とする場合は「１」となり、収集対象としない場合は「０」となる。なお、実施例１においては、コネクション単位での情報収集として、ＴＣＰコネクションの場合を説明するが、本発明はこれに限られるものではなく、その他のプロトコルによるコネクション単位での情報収集の場合にも、本発明を同様に適用することができる。

テーブルＣ１２ｂは、ユーザポリシーの一つとして、コネクション単位の情報を特定の区分けの記憶部に収集するための情報（例えば、特定のサーバに対するＨＴＴＰ通信を行うコネクション単位の情報を特定のメモリバンクに収集するための情報）を保持する。具体的には、テーブルＣ１２ｂは、送信元アドレス、送信先アドレス、送信元ポート番号、送信先ポート番号のいずれか一つまたは複数でパケットを特定する情報と、記憶部の区分けに関する情報とを対応づけた情報を、入力部（例えば、キーボード、通信部など）において受け付けて保持し、保持した情報は、パターン検索部１２による処理に利用される。ここで、上記したように、テーブルＣ１２ｂが保持する情報は、例えば、ネットワークの運用管理者などによって入力されたユーザポリシーのことである。したがって、実施例１に係るパケット情報収集装置１０は、パケット情報収集処理に先立ち、上記した情報を予め受け付けてテーブルＣ１２ｂに保持する。

テーブルＣ１２ｂが保持する情報について具体的に例を挙げて説明すると、テーブルＣ１２ｂは、図４に示すように、「ＥＮＴ」と、パケットを特定する情報として「送信先アドレス」および「送信先ポート番号」と、記憶部の区分けに関する情報として「統計ＢＡＮＫ」および「統計情報ベースアドレス」とを対応づけて保持する。ここで、「統計ＢＡＮＫ」の「ＢＡＮＫ」とは、いわゆるメモリバンク（メモリコントローラがメモリを管理する際の単位）のことである。例えば、テーブルＣ１２ｂは、「統計ＢＡＮＫ」として「３」と、「統計情報ベースアドレス」として「Ａ３００００００」とを対応づけて保持する。すなわち、図４の例では、「送信先アドレス」が「１０．２２．７２．１１３」で「送信先ポート番号」が「８０」で特定されるパケットのコネクション単位の情報を、「統計ＢＡＮＫ」が「３」のメモリバンクに収集することを指示している。なお、実施例１においては、パケットを特定する情報として「送信先アドレス」と「送信先ポート番号」とを保持する事例を説明したが、本発明はこれに限られるものではなく、パケットを特定する情報として、例えば、「送信元アドレス」と「送信元ポート番号」とを保持するなど、その他の情報を保持する事例にも、本発明を同様に適用することができる。

また、実施例１においては、後述するように、統計情報メモリＢ１５が、送信元アドレス、送信先アドレス、送信元ポート番号、送信先ポート番号のいずれか一つまたは複数で特定されるパケットに関する情報ごとに区分けされたものであって、後述するシーケンスチェック部１４は、コネクション単位で統計情報メモリＢ１５に記憶させる情報を、統計情報メモリＢ１５において、送信元アドレス、送信先アドレス、送信元ポート番号、送信先ポート番号のいずれか一つまたは複数で特定される区分け内に記憶させるものであるので、テーブルＣ１２ｂは、「統計ＢＡＮＫ」と「統計情報ベースアドレス」とを保持するが、本発明はこれに限られるものではなく、統計情報メモリＢ１５が区分けされたものではない場合には、テーブルＣ１２ｂは特に情報を保持しないなど、ネットワークの運用管理に適した形態であればいずれでもよい。

続いて、実施例１に係るパケット情報収集装置１０において、テーブルＢ１２ａおよびテーブルＤ１４ａは、情報の収集対象となる具体的なパケット（「パケット種別」や「エラー種別」のみならず、送信元アドレス、送信先アドレスなどの情報が特定されたパケット）を識別する検索パターンを、パケット情報収集処理の過程で登録し、後述する「アドレスオフセット」と対応づけて保持する。したがって、パケット情報収集装置１０の運用開始時には、テーブルＢ１２ａおよびテーブルＤ１４ａは、検索パターンを保持していない状態である。以下、テーブルＢ１２ａおよびテーブルＤ１４ａについて説明する。

テーブルＢ１２ａは、情報の収集対象となる具体的なパケットを識別する検索パターンを、「アドレスオフセット」（統計情報メモリＡ１３に情報を記憶させる際の「メモリアクセスアドレス」を決定する情報）と対応づけて保持する。パケット情報収集装置１０において、パケット単位での情報は、統計情報メモリＡ１３に記憶されるが、この時、テーブルＡ１１ａに保持された「統計情報ベースアドレス」と、パターン検索部１２からパターン抽出部１１に送信される「ヒットアドレス」とから計算（加算）された「メモリアクセスアドレス」によって指定されたアドレスに記憶される。テーブルＢ１２ａが保持する「アドレスオフセット」とは、この「ヒットアドレス」を決定するものである。

すなわち、テーブルＢ１２ａは、例えば、テーブルＡ１１ａが保持する識別情報の「学習フラグ」が「１」とされている場合には、パターン抽出部１１によって生成された検索パターンを「アドレスオフセット」と対応づけて登録し、この「アドレスオフセット」を「ヒットアドレス」としてパターン検索部１２に送信するなどする。

テーブルＢ１２ａが保持する「アドレスオフセット」などについて具体的に例を挙げて説明すると、テーブルＢ１２ａは、図５に示すように、「アドレスオフセット」と検索パターンとを対応づけて保持する。例えば、テーブルＢ１２ａは、「アドレスオフセット」として「０ｘ１１００」と、検索パターンとして「１０．２２．７２．１１３，８０」とを対応づけて保持する。

テーブルＤ１４ａは、情報の収集対象となる具体的なパケットを識別する検索パターンを、「アドレスオフセット」（統計情報メモリＢ１５に情報を記憶させる際の「メモリアクセスアドレス」を決定する情報）と対応づけて保持する。パケット情報収集装置１０において、パケット単位の情報と同様、コネクション単位の情報も、統計情報メモリＢ１５に記憶されるが、この時、テーブルＣ１２ｂに保持された「統計情報ベースアドレス」と、シーケンスチェック部１４から送信される「ヒットアドレス」とから計算（加算）された「メモリアクセスアドレス」によって指定されたアドレスに記憶される。テーブルＤ１４ａが保持する「アドレスオフセット」とは、この「ヒットアドレス」を決定するものである。

すなわち、テーブルＤ１４ａは、ＴＣＰコネクション識別要素から構成されるパターンを「アドレスオフセット」と対応づけて登録し、この「アドレスオフセット」を「ヒットアドレス」としてシーケンスチェック部１４に送信するなどする。

続いて、実施例１に係るパケット情報収集装置１０において、統計情報メモリＡ１３および統計情報メモリＢ１５は、収集した情報を記憶する。以下、統計情報メモリＡ１３および統計情報メモリＢ１５について説明する。

統計情報メモリＡ１３は、パケット単位の情報を記憶する。具体的には、統計情報メモリＡ１３は、パターン抽出部１１から、パケット単位の情報と「メモリアクセスアドレス」とを受信し（図２の信号Ｓ４を参照）、受信した「メモリアクセスアドレス」によって指定された記憶部に、パケット単位の情報を記憶する。例えば、統計情報メモリＡ１３は、図５に示すように、パターン抽出部１１から、「メモリアクセスアドレス」として「０ｘ８０００１１００」を受信し、受信した「０ｘ８０００１１００」によって指定されたアドレスに、パケット単位の情報（例えば、統計情報「１」など）を記憶する。

統計情報メモリＢ１５は、コネクション単位の情報を記憶する。具体的には、統計情報メモリＢ１５は、シーケンスチェック部１４から、コネクション単位の情報と「メモリアクセスアドレス」とを受信し（図２の信号Ｓ１５を参照）、受信した「メモリアクセスアドレス」によって指定された記憶部に、コネクション単位の情報を記憶する。例えば、統計情報メモリＢ１５は、図６に示すように、シーケンスチェック部１４から、「メモリアクセスアドレス」として「０ｘＡ３００００１０」を受信し、受信した「０ｘＡ３００００１０」によって指定されたアドレスに、コネクション単位の情報（例えば、統計情報やステータスなど）を記憶する。なお、実施例１における統計情報メモリＢ１５は、図７に示すように、複数のメモリバンクに区分けされているが、どのメモリバンクにどのパケットに関する情報を区分けして記憶するかについては、テーブルＣ１２ｂにおいて任意に設定することができる。

ところで、これまで、テーブルＡ１１ａ、テーブルＢ１２ａ、テーブルＣ１２ｂ、テーブルＤ１４ａ、統計情報メモリＡ１３、および統計情報メモリＢ１５について説明したが、以下では、これらのテーブルやメモリとの間で信号を送受信することによってパケット情報収集処理を行う部として、パターン抽出部１１、パターン検索部１２、シーケンスチェック部１４、およびＣＰＵ１６について説明する。

パターン抽出部１１は、識別情報で識別されるパケットを受信した場合に、パケットに関する情報を取得し、取得した情報をパケット単位で所定の記憶部に記憶させる。具体的には、パターン抽出部１１は、受信したパケットがテーブルＡ１１ａに保持された識別情報で識別されるパケットである場合に、識別情報の「パターン抽出位置」を用いて検索パターンを生成し、生成した検索パターンをパターン検索部１２に送信する（図２の信号Ｓ２を参照）。また、実施例１におけるパターン抽出部１１は、識別情報の「コネクション監視フラグ」が「１」の場合には（識別情報が、コネクション単位識別情報を意味する場合には）、検索パターンの他に、ＴＣＰコネクション識別要素（例えば、送信元アドレス、送信先アドレス、送信元ポート番号、送信先ポート番号、ＴＣＰフラグなど）をパケットから抽出してパターン検索部１２に送信する（図２の信号Ｓ２を参照）。

また、パターン抽出部１１は、パターン検索部１２から「ヒットアドレス」を受信すると（図２の信号Ｓ３を参照）、テーブルＡ１１ａに保持された識別情報の「統計情報ベースアドレス」と「ヒットアドレス」とから計算（加算）された「メモリアクセスアドレス」を統計情報メモリＡ１３に送信し（図２の信号Ｓ４を参照）、「メモリアクセスアドレス」によって指定された記憶部に、パケットに関する情報をパケット単位で記憶させる。

次に、上記したパターン抽出部１１の検索パターン生成について具体的に例を挙げて説明する。パターン抽出部１１は、図８に示すようなパケット例１を受信した場合に、まず、テーブルＡ１１ａに保持された識別情報の「パケット種別」および「エラー種別」から、「ＥＮＴ」が「１（例１）」の識別情報によって識別されるパケットを受信した場合であることを判定する。次に、パターン抽出部１１は、パケット例１から、「パターン抽出位置」で指定する（２４０，３２）および（２８８，１６）のデータを抽出し、検索パターンを生成する。図８に示すように、パケット例１のオフセット２４０と長さ３２とから抽出されるデータは、送信先アドレス「１０．２２．７２．１１３」であり、オフセット２８８と長さ１６とから抽出されるデータは、送信先ポート番号「８０」であるので、パターン抽出部１１は、図８に示すように、検索パターンとして、「１０．２２．７２．１１３」と「８０」とを連結したパターンを生成する。

同様に、パターン抽出部は、図９に示すようなパケット例２を受信した場合に、テーブルＡ１１ａに保持された識別情報から、「ＥＮＴ」が「１（例２）」の識別情報によって識別されるパケットを受信した場合であることを判定し、パケット例２から、「パターン抽出位置」で指定するデータを抽出し、図９に示すように、検索パターンとして、「１００」と「１０．１８．２．１５６」と「１１０００」とを連結したパターンを生成する。

パターン検索部１２は、ＣＡＭ（Content Addressable Memory）などで構成され、検索パターンを検索（または登録）し、パケットに関する情報を記憶させる記憶部の「アドレスオフセット」（ヒットアドレス）を決定する。また、パターン検索部１２は、ＴＣＰコネクション識別要素（例えば、パケットから抽出された送信元アドレス、送信先アドレス、送信元ポート番号、送信先ポート番号、ＴＣＰフラグなど）を受信した場合には、パケットに関する情報を記憶させる記憶部の区分けを決定する。

具体的には、パターン検索部１２は、パターン抽出部１１から検索パターンを受信した場合に（図２の信号Ｓ２を参照）、テーブルＢ１２ａに受信した検索パターンが登録されているか否かを検索し、登録されていれば、検索パターンに対応づけられた「アドレスオフセット」を「ヒットアドレス」としてパターン抽出部１１に送信する（図２の信号Ｓ３を参照）。一方、登録されていなければ検索失敗となるが、「学習フラグ」が「１」とされているパケットであれば、パターン検索部１２は、受信した検索パターンをテーブルＢ１２ａに登録し、登録した検索パターンに対応づけられた「アドレスオフセット」を「ヒットアドレス」としてパターン抽出部１１に送信する（図２の信号Ｓ３を参照）。

また、パターン検索部１２は、ＴＣＰコネクション識別要素を受信した場合に（図２の信号Ｓ２を参照）、テーブルＣ１２ｂに受信したＴＣＰコネクション識別要素に該当する情報（パケットを特定する情報）が登録されているか否かを検索し、登録されていれば、情報に対応づけられた記憶部の区分けに関する情報（例えば、「統計ＢＡＮＫ」、「統計情報ベースアドレス」など）とＴＣＰコネクション識別要素とを、後述するシーケンスチェック部１４に送信する（図２の信号Ｓ１４を参照）。なお、パケットを特定する情報が登録されていなければ、登録されていないパケットを記憶する記憶部の区分けが予め定められている場合などには、ＴＣＰコネクション識別要素のみをシーケンスチェック部１４に送信するなどする（図２の信号Ｓ１４を参照）。

シーケンスチェック部１４は、ＣＡＭなどで構成され、情報の収集対象となる具体的なパケットを識別する検索パターン（ＴＣＰコネクション識別要素から構成されるパターン）を検索し、パケットに関する情報を記憶させる記憶部の「アドレスオフセット」（ヒットアドレス）を決定する。具体的には、シーケンスチェック部１４は、パターン検索部１２からＴＣＰコネクション識別要素を受信した場合に（図２の信号Ｓ１４を参照）、テーブルＤ１４ａに、受信したＴＣＰコネクション識別要素から構成されるパターンが登録されているか否かを検索し、登録されていれば、パターンに対応づけられた「アドレスオフセット」を「ヒットアドレス」として統計情報メモリＢ１５に送信する（図２の信号Ｓ１５を参照）。

一方、ＴＣＰコネクション識別要素から構成されるパターンがテーブルＤ１４ａに登録されていなければ検索失敗となるが、この場合には、シーケンスチェック部１４は、まず、「送信元アドレス」と「送信先アドレス」とを入れ替え、かつ、「送信元ポート番号」と「送信先ポート番号」とを入れ替えて再度テーブルＤ１４ａを検索する。入れ替えた結果のパターンがテーブルＤ１４ａに登録されていれば、シーケンスチェック部１４は、反対方向パケットに関する情報を、入れ替える前のパケットに関する情報（正方向のパケットに関する情報）に関連づけて記憶する（ＴＣＰコネクション識別要素を入れ替える前のパターンに対応づけられた「アドレスオフセット」を「ヒットアドレス」とするなどする）。

また、入れ替えた結果のパターンの検索も失敗であれば、シーケンスチェック部１４は、パターンをテーブルＤ１４ａに新たに登録し、登録したパターンに対応づけられた「アドレスオフセット」を「ヒットアドレス」として統計情報メモリＢ１５に送信する（図２の信号Ｓ１５を参照）。

また、シーケンスチェック部１４は、統計情報メモリＢ１５から、例えば、シーケンス情報を受信し（図２の信号Ｓ１６を参照）、受信したシーケンス情報と取得したシーケンス情報とを照合した結果にシーケンス違反があった場合には、シーケンスエラーを統計情報メモリＢに登録するなどする（図２の信号Ｓ１５を参照）。

ＣＰＵ１６は、パケット情報収集装置１０を制御して各種処理を実行する制御手段である。例えば、ＣＰＵ１６は、パケット情報収集装置１０を利用する運用管理者などによるユーザポリシーの設定を受け付けると、テーブルＡ１１ａ、テーブルＣ１２ｂなどにユーザポリシーを設定するための信号を送信するなどする。

［実施例１に係るパケット情報収集装置による処理の手順］
次に、図１０および図１１を用いて、実施例１に係るパケット情報収集装置による処理を説明する。図１０は、実施例１におけるパケット情報収集処理（パケット単位）を説明するための図であり、図１１は、実施例１におけるパケット情報収集処理（コネクション単位）を説明するための図である。

まず、パケット情報収集装置１０は、パターン抽出部１１において、テーブルＡ１１ａの「識別情報」で識別されるパケットを受信したか否かを判定する（ステップＳ１００１）。例えば、パケット情報収集装置１０は、パターン抽出部１１において、所定のフィールドにタグの識別子の値「８１００」が設定されておらず（タグの有無）、フレームタイプが「ＩＰｖ４」であり（タイプ値）、プロトコルが「ＴＣＰ」であり（プロトコル値）、ＴＴＬが「００」ではない（エラー種別）パケットを受信したか否かを判定する。「識別情報」で識別されるパケットを受信したと判定しない場合には（ステップＳ１００１否定）、パケット情報収集装置１０は、「識別情報」で識別されるパケットを受信したか否かを判定する処理に戻る。

一方、「識別情報」で識別されるパケットを受信したと判定した場合には（ステップＳ１００１肯定）、パケット情報収集装置１０は、パターン抽出部１１において、テーブルＡ１１ａの「パターン抽出位置」から、検索パターンを生成し、生成した検索パターンをパターン検索部１２に送信する（ステップＳ１００２）。例えば、パケット情報収集装置１０は、パターン抽出部１１において、「パターン抽出位置」で指定する（２４０，３２）および（２８８，１６）のデータをパケットから抽出し、検索パターンとして、「１０．２２．７２．１１３」と「８０」とを連結したパターンを生成する。

続いて、パケット情報収集装置１０は、パターン抽出部１１において、テーブルＡ１１ａの「コネクション監視フラグ」が「１（有）」か否かを判定する（ステップＳ１００３）。「コネクション監視フラグ」が「１（有）」であると判定されない場合には（ステップＳ１００３否定）、パケット情報収集装置１０は、後述するステップＳ１００５の処理に移行する。

一方、「コネクション監視フラグ」が「１（有）」であると判定された場合には（ステップＳ１００３肯定）、パケット情報収集装置１０は、パターン抽出部１１において、受信したパケットからＴＣＰコネクション識別要素を抽出し、抽出したＴＣＰコネクション識別要素をパターン検索部１２に送信する（ステップＳ１００４）。例えば、パケット情報収集装置１０は、パターン抽出部１１において、受信したパケットから、ＴＣＰコネクション識別要素として、送信元アドレス「１０．２２．７２．１６０」、送信先アドレス「１０．２２．７２．１１３」、送信元ポート番号「２００００」、送信先ポート番号「８０」、ＴＣＰフラグ「ＳＹＮ」を抽出する。

なお、ステップＳ１００４以降、パケット情報収集装置１０による処理は、主に「パケット単位での情報収集処理」と「コネクション単位での情報収集処理」とに分岐して進められるので、以下では、図１０を用いて、まず、「パケット単位での情報収集処理」について処理の手順を説明する。

ステップＳ１００４に続いて、パケット情報収集装置１０は、パターン検索部１２において、パターン抽出部１１から送信された検索パターンでテーブルＢ１２ａを検索する（ステップＳ１００５）。例えば、パケット情報収集装置１０は、パターン検索部１２において、「１０．２２．７２．１１３」と「８０」とを連結した検索パターンでテーブルＢ１２ａを検索する。

そして、パケット情報収集装置１０は、パターン検索部１２において、テーブルＢ１２ａに検索パターンがあるか否かを判定する（ステップＳ１００６）。テーブルＢ１２ａに検索パターンがあると判定された場合には（ステップＳ１００６肯定）、パケット情報収集装置１０は、パターン検索部１２において、検索パターンに対応する「アドレスオフセット」をテーブルＢ１２ａから取得し、取得した「アドレスオフセット」をパターン抽出部１１に送信する（ステップＳ１００７）。例えば、パケット情報収集装置１０は、パターン検索部１２において、検索パターンに対応する「アドレスオフセット」として「０ｘ１１００」をテーブルＢ１２ａから取得する。

続いて、パケット情報収集装置１０は、パターン抽出部１１において、テーブルＡ１１ａの「統計情報ベースアドレス」とパターン検索部１２から受信した「アドレスオフセット」とから「メモリアクセスアドレス」を算出する（ステップＳ１００８）。例えば、パケット情報収集装置１０は、パターン抽出部１１において、「統計情報ベースアドレス」として「０ｘ８０００００００」と、「アドレスオフセット」として「０ｘ１１００」とを加算することで、「メモリアクセスアドレス」として「０ｘ８０００１１００」を算出する。

すると、パケット情報収集装置１０は、パターン抽出部１１において、「メモリアクセスアドレス」で指定された統計情報メモリＡ１３の領域に、パケット単位の情報を格納する（ステップＳ１００９）。例えば、パケット情報収集装置１０は、パターン抽出部１１において、「メモリアクセスアドレス」として「０ｘ８０００１１００」で指定された統計情報メモリＡ１３の領域に、パケット単位の情報として統計情報「１」などを格納する。

ところで、ステップＳ１００６において、テーブルＢ１２ａに検索パターンがあると判定されない場合には（ステップＳ１００６否定）、次に、パケット情報収集装置１０は、パターン検索部１２において、テーブルＡ１１ａの「学習フラグ」が「１（有）」であったか否かを判断し（ステップＳ１０１１）、「１（有）」であった場合には（ステップＳ１０１１肯定）、検索パターンをテーブルＢ１２ａに登録し（ステップＳ１０１２）、上記したステップＳ１００７の処理に移行する。一方、「１（有）」ではなかった場合には（ステップＳ１０１１否定）、パケット情報収集装置１０は、処理を終了する。

次に、図１１を用いて、「コネクション単位での情報収集処理」について処理の手順を説明する。図１０のステップＳ１００４に続いて、パケット情報収集装置１０は、パターン検索部１２において、ＴＣＰコネクション識別要素でテーブルＣ１２ｂを検索する（ステップＳ１１０１）。例えば、パケット情報収集装置１０は、パターン検索部１２において、ＴＣＰコネクション識別要素として、送信元アドレス「１０．２２．７２．１６０」、送信先アドレス「１０．２２．７２．１１３」、送信元ポート番号「２００００」、送信先ポート番号「８０」、およびＴＣＰフラグ「ＳＹＮ」で、テーブルＣ１２ｂを検索する。

続いて、パケット情報収集装置１０は、パターン検索部１２において、テーブルＣ１２ｂに該当するコネクションがあるか否かを判定し（ステップＳ１１０２）、コネクションがあると判定されなかった場合には（ステップＳ１１０２否定）、パケットを記憶する記憶部の区分けが予め定められている場合などであるとして、後述するステップＳ１１０４に移行する。

一方、コネクションがあると判定された場合には（ステップＳ１１０２肯定）、パケット情報収集装置１０は、パターン検索部１２において、テーブルＣ１２ｂから、コネクションに対応する「統計ＢＡＮＫ」と「統計情報ベースアドレス」とを取得し、ＴＣＰコネクション識別要素と「統計ＢＡＮＫ」と「統計情報ベースアドレス」とを、シーケンスチェック部１４に送信する（ステップＳ１１０３）。例えば、パケット情報収集装置１０は、パターン検索部１２において、ＴＣＰ識別要素の送信先アドレス「１０．２２．７１．１１３」および送信先ポート番号「８０」のコネクションに対応する「統計ＢＡＮＫ」の「３」と「統計情報ベースアドレス」の「Ａ３００００００」とを取得する。

続いて、パケット情報収集装置１０は、シーケンスチェック部１４において、ＴＣＰコネクション識別要素でテーブルＤ１４ａを検索する（ステップＳ１１０４）。例えば、パケット情報収集装置１０は、シーケンスチェック部１４において、ＴＣＰコネクション識別要素として、送信元アドレス「１０．２２．７２．１６０」、送信先アドレス「１０２２．７２．１１３」、送信元ポート番号「２００００」、送信先ポート番号「８０」、およびＴＣＰフラグ「ＳＹＮ」で、テーブルＤ１４ａを検索する。

そして、パケット情報収集装置１０は、シーケンスチェック部１４において、テーブルＤ１４ａに該当するコネクションがあるか否かを判定し（ステップＳ１１０５）、該当するコネクションがある場合には（ステップＳ１１０５肯定）、パケット情報収集装置１０は、シーケンスチェック部１４において、コネクションに対応する「アドレスオフセット」をテーブルＤ１４ａから取得する（ステップＳ１１０６）。例えば、パケット情報収集装置１０は、シーケンスチェック部１４において、「アドレスオフセット」として「０ｘ００１０」をテーブルＤ１４ａから取得する。

続いて、パケット情報収集装置１０は、シーケンスチェック部１４において、パターン検索部１２から受信した「統計情報ベースアドレス」とテーブルＤ１４ａから取得した「アドレスオフセット」とから「メモリアクセスアドレス」を算出する（ステップＳ１１０７）。例えば、パケット情報収集装置１０は、シーケンスチェック部１４において、「統計情報ベースアドレス」として「０ｘＡ３００００００」と、「アドレスオフセット」として「０ｘ００１０」とを加算することで、「メモリアクセスアドレス」として「０ｘＡ３００００１０」を算出する。

すると、パケット情報収集装置１０は、シーケンスチェック部１４において、「メモリアクセスアドレス」で指定された統計情報メモリＢ１５の領域に、コネクション単位の情報を格納する（ステップＳ１１０８）。例えば、パケット情報収集装置１０は、シーケンスチェック部１４において、「メモリアクセスアドレス」として「０ｘＡ３００００１０」で指定された統計情報メモリＢ１５の領域に、コネクション単位の情報としてステータス情報「ＳＹＮ」などを格納する。

ところで、ステップＳ１１０５において、テーブルＤ１４ａに該当するコネクションがあると判定されない場合には（ステップＳ１１０５否定）、次に、パケット情報収集装置１０は、シーケンスチェック部１４において、反対方向パケットのコネクションがあるか否かを判定する（ステップＳ１１１１）。例えば、反対方向パケットとして、「送信元アドレス」と「送信先アドレス」とを入れ替え、かつ、「送信元ポート番号」と「送信先ポート番号」とを入れ替えて、テーブルＤ１４ａを再度検索する。反対方向パケットのコネクションがないと判定された場合には（ステップＳ１１１１否定）、パケット情報収集装置１０は、シーケンスチェック部１４において、コネクションをテーブルＤ１４ａに登録し（ステップＳ１１２１）、上記したステップＳ１１０６の処理に移行する。

一方、反対方向パケットのコネクションがあると判定された場合には（ステップＳ１１１１肯定）、パケット情報収集装置１０は、シーケンスチェック部１４において、コネクションに対応する「アドレスオフセット」をテーブルＤ１４ａから取得し（ステップＳ１１１２）、パターン検索部１２から受信した「統計情報ベースアドレス」とテーブルＤ１４ａから取得した「アドレスオフセット」とから「メモリアクセスアドレス」を算出し（ステップＳ１１１３）、「メモリアクセスアドレス」で指定された統計情報メモリＢ１５の領域に、正方向パケットの情報に関連づけて、コネクション単位の情報を格納する（ステップＳ１１１４）。

こうして、実施例１に係るパケット情報収集装置１０は、コネクション単位の情報を収集することが可能になり、かつ、収集すべき情報の指定変更に柔軟に対応することが可能になる。

［実施例１の効果］
上記してきたように、実施例１によれば、送信元アドレスから送信先アドレスに対して送信されたパケットを受信してパケットに関する情報を収集するパケット情報収集装置であって、送信元アドレスおよび送信先アドレスの組み合わせを特定したコネクション単位での情報の収集対象となるパケットを識別するコネクション単位識別情報を所定の入力部において受け付けて保持し、保持されたコネクション単位識別情報で識別されるパケットを受信した場合に情報を取得し、取得した情報をパケットに含まれる送信元アドレスおよび送信先アドレスの組み合わせで特定されるコネクション単位で所定の記憶部に記憶させるので、コネクション単位の情報を収集することが可能になり、かつ、収集すべき情報の指定変更に柔軟に対応することが可能になる。すなわち、本発明の手法によれば、コネクション単位識別情報で識別されるパケットに関する情報を、送信元アドレスおよび送信先アドレスの組み合わせが特定されているコネクション単位に記憶することから、コネクション単位の情報を収集することが可能になり、かつ、本発明の手法によれば、収集すべき情報の指定変更（ユーザポリシーの変更）は、コネクション単位識別情報の変更を所定の入力部において受け付けて保持するのみでよいことから、収集すべき情報の指定変更に柔軟に対応することが可能になる。具体的に例を挙げると、例えば、Ｗｅｂサーバに対するアクセス頻度の高いユーザを識別することなどが可能になる。

また、実施例１によれば、所定の記憶部は、送信元アドレス、送信先アドレス、送信元ポート番号、送信先ポート番号のいずれか一つまたは複数で特定されるパケットに関する情報ごとに区分けされたものであって、パケット情報収集装置は、コネクション単位で所定の記憶部に記憶させる情報を、記憶部において、情報の収集対象となったパケットの送信元アドレス、送信先アドレス、送信元ポート番号、送信先ポート番号のいずれか一つまたは複数で特定される区分け内に記憶させるので、送信元アドレス、送信先アドレス、送信元ポート番号、送信先ポート番号などが特定されるコネクション単位の情報を、区分けされた所定の記憶部（例えば、特定のメモリ領域（ＢＡＮＫ）など）に収集することが可能になる。また、所定の記憶部の区分け手法によって、ネットワークの運用管理者などが着目する視点においてトラフィック特性を分析することが可能になる。

例えば、Ｗｅｂサーバに対するＨＴＴＰ（HyperText Transfer Protocol）アクセスは、コネクション単位で同時に３０コネクション程度であるのが通常であると仮定した場合に、送信先アドレス（Ｗｅｂサーバ）および送信先ポート番号（「８０」）が特定されるコネクション単位の情報が、３０で区分けされた特定のメモリ領域（ＢＡＮＫ）の容量を超えた場合には、異常が発生している可能性があるという分析をすることが可能になる等、所定の記憶部の区分け手法によって、ネットワークの運用管理者などが着目する視点においてトラフィック特性を分析することが可能になる。

また、実施例１によれば、パケット情報収集装置は、送信元アドレスおよび送信先アドレスの組み合わせで特定されるコネクション単位の情報に、この送信元アドレスが送信先アドレスとして含まれこの送信先アドレスが送信元アドレスとして含まれる反対方向パケットに関する情報であって反対方向パケットに含まれる送信元アドレスおよび送信先アドレスの組み合わせで特定されるコネクション単位の情報を関連づけて所定の記憶部に記憶させるので、コネクション単位の情報を、双方向のトラフィック特性の観点から収集することが可能になる。

また、実施例１によれば、パケット情報収集装置は、コネクション単位で記憶させる情報として、パケットに関する統計情報、パケットに関するステータス情報、パケットのシーケンスナンバーのいずれか一つまたは複数を取得するので、収集したコネクション単位の情報から厳密な分析をすることが可能になる。

具体的に例を挙げると、例えば、ステータス情報が「ＳＹＮ」のコネクションが異常に多い場合は、「ＳＹＮ Ｆｌｏｏｄ攻撃」を受けている可能性があるという分析をするなど、セキュリティ面の分析をすることも可能になり、また、例えば、ＴＣＰ（Transmission Control Protocol）のシーケンスナンバーから、ＴＣＰシーケンスの異常を分析することも可能になる。

また、実施例１によれば、パケット情報収集装置は、送信元アドレスまたは送信先アドレスを特定したパケット単位での情報の収集対象となるパケットを識別するパケット単位識別情報を所定の入力部において受け付けて保持し、保持されたパケット単位識別情報で識別されるパケットを受信した場合に情報を取得し、取得した情報をパケットに含まれる送信元アドレスまたは送信先アドレスで特定されるパケット単位で所定の記憶部に記憶させるので、コネクション単位の情報のみならず、パケット単位の情報を収集することも可能になる。

また、実施例１によれば、パケット情報収集装置は、パケット単位での情報の収集対象となるパケットをコネクション単位での情報の収集対象とするか否かを指定する指定情報をパケット単位識別情報と対応づけて保持し、保持された指定情報によってコネクション単位での情報の収集対象とすると指定されたパケットを受信した場合に、情報を取得して所定の記憶部に記憶させるので、コネクション単位の情報を収集するか否かを、パケット単位の情報を収集する際に指定することが可能になる。

さて、これまで実施例１に係るパケット情報収集装置について説明したが、本発明は上記した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下では、実施例２に係るパケット情報収集装置として、種々の異なる実施例を説明する。

実施例１においては、パケット情報収集装置が、コネクション単位の情報のみならず、パケット単位の情報を収集することも可能な構成をとり、かつ、コネクション単位の情報を収集するか否かを、パケット単位の情報を収集する際に指定することが可能な構成をとる場合について説明したが、本発明はこれに限られるものではなく、パケット単位の情報を収集せずにコネクション単位の情報のみを収集する構成をとる場合や、コネクション単位の情報を収集するか否かを、パケット単位の情報を収集する際に指定する以外の構成をとる場合にも、本発明を同様に適用することができる。

また、実施例１においては、記憶部が、送信元アドレス、送信先アドレス、送信元ポート番号、送信先ポート番号のいずれか一つまたは複数で特定されるパケットに関する情報ごとに区分けされたものであって、パケット情報収集装置が、情報を区分け内に記憶させる手法について説明したが、本発明はこれに限られるものではなく、記憶部が区分けされていないものであって、パケット情報収集装置が、区分けされていない記憶部に情報を記憶させる手法にも、本発明を同様に適用することができる。

また、実施例１においては、パケット情報収集装置が、正方向パケットのコネクション単位の情報に、反対方向パケットのコネクション単位の情報を関連づけて記憶させる手法を説明したが、本発明はこれに限られるものではなく、正方向パケットのコネクション単位の情報と、反対方向パケットのコネクション単位の情報とを関連づけずに記憶させる手法にも、本発明を同様に適用することができる。

また、実施例１においては、パケット情報収集装置が、パケットに関する統計情報、パケットに関するステータス情報、およびパケットのシーケンスナンバーのいずれか一つまたは複数を収集する手法を説明したが、本発明はこれに限られるものではなく、パケット情報収集装置がコネクション単位の情報として収集する情報の具体的な種類や内容は、いずれでもよい。

［システム構成等］
また、本実施例において説明した各処理のうち、手動的におこなわれるものとして説明した処理（例えば、テーブルＡ１１ａおよびテーブルＣ１２ｂに運用管理者などがキーボードによってユーザポリシーを入力する処理など）の全部または一部を公知の方法で自動的におこなう（例えば、他のネットワーク管理装置から自動的にダウンロードするなど）こともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示（例えば、図２など）の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

［プログラム］
ところで、上記の実施例１で説明した各種の処理は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。そこで、以下では、図１２を用いて、上記の実施例１と同様の機能を有するパケット情報収集プログラムを実行するコンピュータの一例を説明する。図１２は、パケット情報収集プログラムを実行するコンピュータを示す図である。

図１２に示すように、コンピュータ２０は、キャッシュ２１、ＲＡＭ２２、ＨＤＤ２３、ＲＯＭ２４およびＣＰＵ２５をバス２６で接続して構成される。ここで、ＲＯＭ２４には、上記の実施例１と同様の機能を発揮するパターン抽出プログラム２４ａ、パターン検索プログラム２４ｂ、およびシーケンスチェックプログラム２４ｃが予め記憶されている。

そして、ＣＰＵ２５は、これらのプログラム２４ａ、２４ｂ、および２４ｃを読み出して実行することで、図１２に示すように、各プログラム２４ａ、２４ｂ、および２４ｃは、パターン抽出プロセス２５ａ、パターン検索プロセス２５ｂ、およびシーケンスチェックプロセス２５ｃとなる。なお、各プロセス２５ａ、２５ｂ、および２５ｃは、図２に示した、パターン抽出部１１、パターン検索部１２、およびシーケンスチェック部１４にそれぞれ対応する。

また、ＨＤＤ２３には、図１２に示すように、テーブルＡ２３ａ、テーブルＢ２３ｂ、テーブルＣ２３ｃ、テーブルＤ２３ｄ、統計情報メモリＡ２３ｅ、および統計情報メモリＢ２３ｆが設けられる。なお、各テーブル２３ａ、２３ｂ、２３ｃ、２３ｄ、２３ｅ、および２３ｆは、図２に示した、テーブルＡ１１ａ、テーブルＢ１２ａ、テーブルＣ１２ｂ、テーブルＤ１４ａ、統計情報メモリＡ１３、および統計情報メモリＢ１５にそれぞれ対応する。

ところで、上記した各プログラム２４ａ、２４ｂ、および２４ｃについては、必ずしもＲＯＭ２４に記憶させておく必要はなく、例えば、コンピュータ２０に挿入されるフレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯディスク、ＤＶＤディスク、光磁気ディスク、ＩＣカードなどの「可搬用の物理媒体」、または、コンピュータ２０の内外に備えられるハードディスクドライブ（ＨＤＤ）などの「固定用の物理媒体」、さらには、公衆回線、インターネット、ＬＡＮ、ＷＡＮなどを介してコンピュータ２０に接続される「他のコンピュータ（またはサーバ）」に記憶させておき、コンピュータ２０がこれらからプログラムを読み出して実行するようにしてもよい。

（付記１）送信元アドレスから送信先アドレスに対して送信されたパケットを受信して当該パケットに関する情報を収集するパケット情報収集装置であって、
前記送信元アドレスおよび前記送信先アドレスの組み合わせを特定したコネクション単位での前記情報の収集対象となるパケットを識別するコネクション単位識別情報を所定の入力部において受け付けて保持するコネクション単位識別情報保持手段と、
前記コネクション単位識別情報保持手段によって保持されたコネクション単位識別情報で識別されるパケットを受信した場合に前記情報を取得し、取得した当該情報を当該パケットに含まれる送信元アドレスおよび送信先アドレスの組み合わせで特定される前記コネクション単位で所定の記憶部に記憶させるコネクション単位パケット情報収集手段と、
を備えたことを特徴とするパケット情報収集装置。

（付記２）前記所定の記憶部は、送信元アドレス、送信先アドレス、送信元ポート番号、送信先ポート番号のいずれか一つまたは複数で特定されるパケットに関する情報ごとに区分けされたものであって、
前記コネクション単位パケット情報収集手段は、前記コネクション単位で所定の記憶部に記憶させる前記情報を、前記記憶部において、当該情報の収集対象となったパケットの送信元アドレス、送信先アドレス、送信元ポート番号、送信先ポート番号のいずれか一つまたは複数で特定される前記区分け内に記憶させることを特徴とする付記１に記載のパケット情報収集装置。

（付記３）前記コネクション単位パケット情報収集手段は、前記送信元アドレスおよび前記送信先アドレスの組み合わせで特定されるコネクション単位の前記情報に、当該送信元アドレスが送信先アドレスとして含まれ当該送信先アドレスが送信元アドレスとして含まれる反対方向パケットに関する情報であって当該反対方向パケットに含まれる送信元アドレスおよび送信先アドレスの組み合わせで特定されるコネクション単位の情報を関連づけて所定の記憶部に記憶させることを特徴とする付記１または２に記載のパケット情報収集装置。

（付記４）前記コネクション単位パケット情報収集手段は、前記コネクション単位で記憶させる前記情報として、前記パケットに関する統計情報、当該パケットに関するステータス情報、当該パケットのシーケンスナンバーのいずれか一つまたは複数を取得することを特徴とする付記１〜３のいずれか一つに記載のパケット情報収集装置。

（付記５）前記送信元アドレスまたは前記送信先アドレスを特定したパケット単位での前記情報の収集対象となるパケットを識別するパケット単位識別情報を所定の入力部において受け付けて保持するパケット単位識別情報保持手段と、
前記パケット単位識別情報保持手段によって保持されたパケット単位識別情報で識別されるパケットを受信した場合に前記情報を取得し、取得した当該情報を当該パケットに含まれる送信元アドレスまたは送信先アドレスで特定されるパケット単位で所定の記憶部に記憶させるパケット単位パケット情報収集手段と、
をさらに備えたことを特徴とする付記１〜４のいずれか一つに記載のパケット情報収集装置。

（付記６）前記パケット単位識別情報保持手段は、前記パケット単位での前記情報の収集対象となるパケットを前記コネクション単位での前記情報の収集対象とするか否かを指定する指定情報を前記パケット単位識別情報と対応づけて保持し、
前記コネクション単位パケット情報収集手段は、前記パケット単位識別情報保持手段によって保持された指定情報によって前記コネクション単位での情報の収集対象とすると指定されたパケットを受信した場合に、前記情報を取得して所定の記憶部に記憶させることを特徴とする付記５に記載のパケット情報収集装置。

（付記７）送信元アドレスから送信先アドレスに対して送信されたパケットを受信して当該パケットに関する情報を収集する方法をコンピュータに実行させるパケット情報収集プログラムであって、
前記送信元アドレスおよび前記送信先アドレスの組み合わせを特定したコネクション単位での前記情報の収集対象となるパケットを識別するコネクション単位識別情報を所定の入力部において受け付けて保持するコネクション単位識別情報保持手順と、
前記コネクション単位識別情報保持手順によって保持されたコネクション単位識別情報で識別されるパケットを受信した場合に前記情報を取得し、取得した当該情報を当該パケットに含まれる送信元アドレスおよび送信先アドレスの組み合わせで特定される前記コネクション単位で所定の記憶部に記憶させるコネクション単位パケット情報収集手順と、
をコンピュータに実行させることを特徴とするパケット情報収集プログラム。

以上のように、本発明に係るパケット情報収集装置およびパケット情報収集プログラムは、送信元アドレスから送信先アドレスに対して送信されたパケットを受信してパケットに関する情報を収集することに有用であり、特に、コネクション単位の情報を収集し、かつ、収集すべき情報の指定変更に柔軟に対応することに適する。

実施例１に係るパケット情報収集装置の概要および特徴を説明するための図である。 実施例１に係るパケット情報収集装置の構成を示すブロック図である。 パターン抽出部内のテーブルＡを説明するための図である。 パターン検索部内のテーブルＣを説明するための図である。 パケット単位での情報収集について説明するための図である。 コネクション単位での情報収集について説明するための図である。 統計情報メモリＢのメモリマップ例を説明するための図である。 パケット例１を説明するための図である。 パケット例２を説明するための図である。 実施例１におけるパケット情報収集処理（パケット単位）を説明するための図である。 実施例１におけるパケット情報収集処理（コネクション単位）を説明するための図である。 パケット情報収集プログラムを実行するコンピュータを示す図である。

符号の説明

１０ パケット情報収集装置
１１ パターン抽出部
１１ａ テーブルＡ
１２ パターン検索部
１２ａ テーブルＢ
１２ｂ テーブルＣ
１３ 統計情報メモリＡ
１４ シーケンスチェック部
１４ａ テーブルＤ
１５ 統計情報メモリＢ
１６ ＣＰＵ
２０ コンピュータ
２１ キャッシュ
２２ ＲＡＭ
２３ ＨＤＤ
２４ ＲＯＭ
２５ ＣＰＵ
２６ バス

Claims (5)

1. 送信元アドレスから送信先アドレスに対して送信されたパケットを受信して当該パケットに関する情報を収集するパケット情報収集装置であって、
   前記送信元アドレスおよび前記送信先アドレスの組み合わせを特定したコネクション単位での前記情報の収集対象となるパケットを識別するコネクション単位識別情報を所定の入力部において受け付けて保持するコネクション単位識別情報保持手段と、
   前記コネクション単位識別情報保持手段によって保持されたコネクション単位識別情報で識別されるパケットを受信した場合に前記情報を取得し、取得した当該情報を当該パケットに含まれる送信元アドレスおよび送信先アドレスの組み合わせで特定される前記コネクション単位で所定の記憶部に記憶させるコネクション単位パケット情報収集手段と、
   を備えたことを特徴とするパケット情報収集装置。
2. 前記所定の記憶部は、送信元アドレス、送信先アドレス、送信元ポート番号、送信先ポート番号のいずれか一つまたは複数で特定されるパケットに関する情報ごとに区分けされたものであって、
   前記コネクション単位パケット情報収集手段は、前記コネクション単位で所定の記憶部に記憶させる前記情報を、前記記憶部において、当該情報の収集対象となったパケットの送信元アドレス、送信先アドレス、送信元ポート番号、送信先ポート番号のいずれか一つまたは複数で特定される前記区分け内に記憶させることを特徴とする請求項１に記載のパケット情報収集装置。
3. 前記コネクション単位パケット情報収集手段は、前記送信元アドレスおよび前記送信先アドレスの組み合わせで特定されるコネクション単位の前記情報に、当該送信元アドレスが送信先アドレスとして含まれ当該送信先アドレスが送信元アドレスとして含まれる反対方向パケットに関する情報であって当該反対方向パケットに含まれる送信元アドレスおよび送信先アドレスの組み合わせで特定されるコネクション単位の情報を関連づけて所定の記憶部に記憶させることを特徴とする請求項１または２に記載のパケット情報収集装置。
4. 前記コネクション単位パケット情報収集手段は、前記コネクション単位で記憶させる前記情報として、前記パケットに関する統計情報、当該パケットに関するステータス情報、当該パケットのシーケンスナンバーのいずれか一つまたは複数を取得することを特徴とする請求項１〜３のいずれか一つに記載のパケット情報収集装置。
5. 前記送信元アドレスまたは前記送信先アドレスを特定したパケット単位での前記情報の収集対象となるパケットを識別するパケット単位識別情報を所定の入力部において受け付けて保持するパケット単位識別情報保持手段と、
   前記パケット単位識別情報保持手段によって保持されたパケット単位識別情報で識別されるパケットを受信した場合に前記情報を取得し、取得した当該情報を当該パケットに含まれる送信元アドレスまたは送信先アドレスで特定されるパケット単位で所定の記憶部に記憶させるパケット単位パケット情報収集手段と、
   をさらに備えたことを特徴とする請求項１〜４のいずれか一つに記載のパケット情報収集装置。

Images