JP2011151514A

JP2011151514A - トラフィック量監視システム

Info

Publication number: JP2011151514A
Application number: JP2010009633A
Authority: JP
Inventors: Minoru Sekiguchi; 稔関口
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2010-01-20
Filing date: 2010-01-20
Publication date: 2011-08-04
Also published as: US20110176437A1; CN102130792A

Abstract

【課題】
現在、通信キャリアは提供サービス形態が複雑化し扱うプロトコル種別も多種多様になっており、異常パケットによる攻撃を受ける脅威の範囲が拡大している。よって、きめ細かなフロー監視をすることで、利用者に安定的なネットワーク資源の供給を行う必要性がある。
【解決手段】
上記課題を解決するために本発明では、ユーザ宅内装置が接続されるユーザネットワークを論理インターフェース毎に収容し、論理インターフェース毎にトラフィック量を収集し、対処する機能を有するトラフィック監視システムを提供する。
【選択図】図５

Description

本発明は、サービス利用者に対してネットワークを介してサービスを提供するネットワークシステムに係わり、サービス利用者による特定のフローに対してトラフィック量を監視し、異常フローごとに異なる対処方法を提供するトラフィック監視システムに関する。

近年、ブロードバンド技術の進歩および、配信技術の発達に伴い、インターネットが急速に普及する一方で、インターネットの安全性を脅かす攻撃による被害が増え、社会問題としての認識が高まっている。このような課題に対して、侵入検知システムなどいくつかの技術が出てきている。しかしながら、通信キャリアが行っているブロードバンド接続サービスでは、従来のトラフィック異常検出方法は、保護対象装置のパフォーマンスの低下やサービス提供の不能や、トラフィック過負荷によるアクセス能力の低下等の具体的な影響の感知など、何らかの異常状態を認識したタイミングでトラフィック異常を検出しているのが現状である。このため、一部の加入者からの異常トラフィックにより、それ以外の加入者が満足にサービスを受けられない状態を引き起こしている。

そのため、加入者のトラフィックフローを監視し異常を検出した場合に、異常トラフィックを発生させている加入者の利用を制限することをシステム化する案が出てきている（例えば特許文献１）。

特開2008-113409号公報

上記の技術においては、送信元IPアドレス、送信先IPアドレス、送信元ポート番号または送信先ポート番号から異常フローの検出を試みている。現在、通信キャリアは提供サービス形態が複雑化し扱うプロトコル種別も多種多様になっており、異常パケットによる攻撃を受ける脅威の範囲が拡大している。そのため、従来の送信元IPアドレス、送信先IPアドレス、送信元ポート番号または送信先ポート番号でのフロー検出では十分な効果が発揮できない場合が出てきている。よって、よりきめ細かなフロー監視をすることは、利用者に安定的なネットワーク資源の供給を行う上で重要な課題の一つとなっている。

本発明の目的は、きめ細かなフロー監視を行い、ネットワーク資源の安定利用を提供することにある。さらに、監視対象をネットワークエッジ機器とし、加入者に最も近いブロードバンドアクセス網のエッジにて早期に異常フローの監視/検出/対処を行うことにある。

上記課題を解決するために、トラフィック監視システムであって、端末装置と複数の通信回線を介して通信する通信装置と、前記端末装置のトラフィックを監視する監視装置とを有し、前記通信装置は、前記通信回線毎に、複数の前記端末装置と論理回線によりセッションを確立し、前記監視装置は、前記端末装置のトラフィックを前記論理回線内のフロー種別毎に監視することを特徴とするトラフィック監視システムを提供する。

本発明によれば、加入者に最も近いブロードバンドアクセス網のエッジにて異常フローの監視/検出/対処を行うことで、ネットワークへの異常フローの流入を早い段階で防ぐことができる。さらに、異常フローによる問題発生から対処までにかかる時間を短縮することができるため、不意なサービス利用不能時間が減少し、加入者へのSLAを向上させることができる。加えて、監視対象フローの種別を細やかに設定することができ、特に、装置上の処理負荷が比較的高い制御系パケットに対する異常フローの検出および対処に効果を発揮する。また、異常フローの収集、監視および対処をサーバにて一元管理することで、運用コストが低減できるメリットがある。

現行サービスのネットワークシステム構成図の一例ユーザ認証サーバの機能ブロック図の一例ユーザ認証サーバが持つユーザセッション管理テーブルの一例ユーザ認証サーバが持つ属性番号５（NAS-Port）のAVPフォーマットの一例本発明の実施形態１のネットワークシステム構成図の一例ユーザ監視サーバの機能ブロック図の一例ユーザ監視サーバが持つ監視テーブルの一例ユーザ監視サーバが持つユーザセッション管理テーブルの一例ユーザ監視サーバが持つ超過トラフィック量テーブルの一例ユーザ監視サーバにおける監視フロー図の一例

以下、本発明の実施形態について図面を用いて説明する。本発明は次の実施形態の例に限定されるものではない。

本実施例では、例えば、インターネット接続サービスなどにおいて、ＰＣ等のユーザ宅内装置をネットワークに接続する際に、個別の装置のフロー種別ごとに監視を行うことにより、きめ細かなフロー制御を行うことができる。

例えば、インターネットでは、ユーザはＰＣ等のユーザ宅内装置をインターネットに接続する際には、インターネットサービスプロバイダ(ISP)の用意するネットワークアクセスサーバ(NAS)に接続し、ISPのネットワークを経由してインターネットに接続する。

NASは一般に複数の物理ポートを有し、各物理ポート内に複ユーザ宅内装置を収容するための複数の論理ポートをもつことができる。そこで、本実施例では、NASが処理する各論理ポート内のフローを個別に監視し、ユーザ毎のきめ細かなフロー制御を行うこととしている。

図1は、インターネット接続サービスを実現するためのネットワーク構成例である。101はインターネット、102はインターネットサービスプロバイダ(ISP)網、103はネットワークアクセスサーバ(NAS)、104はユーザ宅内装置を示す。NAS103は物理インターフェース１05内に複数の論理インターフェース106を持ち、論理インターフェース106毎にユーザ宅内装置104を収容し、ユーザ宅内装置104に対してISP網102経由にてインターネット101に接続するサービスを提供するために利用される機器である。物理インターフェース105は物理回線を接続するためのインターフェースであり、論理インターフェース106は論理回線を接続するためのインターフェースである。すなわち、NAS103とユーザ宅内装置104は物理回線内の論理回線を介して接続されていることとなる。

なお、アクセス回線として提供される物理インターフェース105の回線種別は特に指定は無く、例として、802.11aや100BASE-Tなどが挙げられる。NAS103は、各ユーザ宅内装置104の認証を、ユーザ認証サーバ107と連携して実施する。認証が承認された後、NAS103とユーザ宅内装置104との間でコネクションが確立され、ユーザ宅内装置104からのデータは、NAS103を通してISP網102との間を転送される。

ユーザ認証サーバ107は、リモートからアクセスしてくるユーザを管理するデータベースを持つ。NAS103からの認証要求を受けると、データベース内に格納されているユーザの”USER NAME”や”PASSWORD”を確認し、これを基に認証を行う。ユーザ認証サーバ107によるユーザ認証が終了し、接続が承認された場合はNAS103に対してアクセス許可を返送する。

ユーザ認証サーバ107は、図2に示すように、通信を行うためのＩＰ機能処理部203と、ユーザセッション管理テーブル201と、ユーザセッション管理テーブル201に対しユーザごとのセッション情報の登録、削除を行うユーザセッション管理処理部202を有する。ユーザセッション管理テーブル201の内容を図3に示すと、ユーザセッション管理テーブル201内の各エントリは、ＩＰ機能処理部203により認証要求（Ａｃｃｅｓｓ−Ｒｅｑｕｅｓｔ）を受けたユーザ毎に登録され、ユーザセッション管理処理部202により、認証要求に使用される属性値ペア（Attribute Value Pairs:AVP）の属性番号１（User-Name301）、属性番号２（User-Password302）、属性番号４（NAS-IP-Address303）および属性番号５（NAS-Port304）が抽出され、ユーザセッション管理テーブル201に格納される。

属性番号１は認証されるユーザの名前を示すAVPであり、属性番号２は認証されるユーザのパスワードを示すAVPであり、属性番号４はユーザ認証を求めているNASを識別するＩＰアドレスを示すAVPであり、属性番号５はユーザを認証しているNASの物理的なポート番号を示すAVPである。

図4に属性番号５（NAS-Port304）のAVPフォーマット例を示す。ユーザセッション管理テーブル201へのユーザごとのセッション情報の登録の実行は、NAS103からの該当ユーザに対するAccounting-Request（Acct-Status-Typeが１）受信時とし、ユーザセッション管理テーブル201からの登録の削除は、NAS103からの該当ユーザに対するAccounting-Request（Acct-Status-Typeが２）受信時とする。

ユーザ認証サーバ107は、ユーザセッション管理テーブル201に格納されている情報の提供要求が外部からあった場合、登録ユーザ毎に該当情報を提供する機能を有する。

図5は、本発明の一実施例における構成図である。本ネットワークシステムは、ユーザ監視サーバ501、ネットワークアクセスサーバ103、ユーザ認証サーバ107、インターネット101、インターネットサービスプロバイダ(ISP)網102、ユーザ宅内装置104により形成される。以下、説明の簡単化のために、ユーザ宅内装置104は、NAS103との間でセッションが既に確立されており、ユーザ認証サーバ107のユーザセッション管理テーブル201に登録済みであるものとする。

図6は、ユーザ監視サーバ501の機能ブロックを示す図である。図示のように、ユーザ監視サーバ501は、ＩＰ機能処理部601、ユーザ管理部602、収集部603、監視部604、対処部605、フロー情報管理部606、ユーザ監視テーブル607、ユーザセッション管理テーブル608、超過トラフィック量テーブル609を有する。

ＩＰ機能処理部601は、ＩＰパケット処理機能を備え、NAS103、ユーザ認証サーバ107との間で通信を行う。ユーザ管理部602は、ユーザ認証サーバ107からユーザセッション管理テーブル608の情報を定期的に取得し、ユーザの接続状況の管理及び更新を行う。収集部603は、NAS103-1からNAS103-jに収容されている各ユーザセッションに流れる一定時間当たりの送受信トラフィック量の情報を収集する。収集には例えばSNMP（Simple Network Management Protocol）を用いてもよい。

収集部603は、ユーザセッション管理テーブル608を参照し、収集対象のユーザセッションを識別する。収集部603が収集対象とするユーザセッションは、ユーザセッション管理テーブル608に登録されているユーザセッションとなる。収集部603が収集対象とする送受信トラフィック量の情報は、ユーザ監視テーブル607に登録されている各フロー種別に対して行われる。収集部603にて収集されたトラフィック量の情報は、監視部604に送られる。

監視部604は、収集部603からのトラフィック量の情報とユーザ監視テーブル607の情報を照合し、超過トラフィックが発生した場合は超過トラフィック量テーブル609にレコードを追加し、当該超過トラフィック量テーブル609にレコードが存在するか（超過トラフィックが存在するか）を確認して対処要否の判定を行う。なお、収集部603からのトラフィック量の情報とユーザ監視テーブル607の情報を照合して直接対処要求の判定を行ってもよい。対処が必要と判定される場合は、監視部604は対処部605に対し対処の実行命令を送る。対処部605は、監視部604からの実行命令に従い対象ユーザセッションに対して対処を実施する。対処部605は例えば、SNMPを用いて、対応するNAS103に対し、該当ユーザセッションが論理インターフェース106に対処指示を送信する。送信方法としては、CLI（Command line interface）を用いる方法も可能とする。

図7は、監視テーブル607の構成例を示すテーブル構成図である。監視テーブル607には、フローID702毎に、フローの内容を示すフロー種別703、NAS103のトラフィック量を収集する際に送信するOID（Object IDentifier）704およびCLI705、異常フローと判定する際の判断基準となる閾値706、異常フローと判定された際の対処方法を示す対処707が含まれる。運用管理者は、ユーザ監視サーバ501にログインした後、監視テーブル701の登録・更新を自由に行うことができる。

図8は、ユーザセッション管理テーブル801の構成例を示すテーブル構成図である。図2、図6のいずれのユーザセッション管理テーブル201、608も同じ構成であり、内容についてはユーザセッション管理テーブル801を用いて説明する。ユーザセッション管理テーブル801には、ユーザ認証サーバ107を識別する認証サーバID802、ユーザ認証サーバ107のIPアドレスを示すサーバアドレス803、ユーザを識別するために用いられるUser-Name804、ユーザが認証要求をする際に必要となるパスワードであるUser-Password805、NAS103のIPアドレスを示すNAS-IP-Address806および、NAS103上でユーザセッションが収容されている位置を示すNAS-Port807が含まれる。

図9は、超過トラフィック量テーブル609の構成例を示すテーブル構成図である。超過トラフィック量テーブル609には、ユーザ認証サーバを識別する認証サーバID902、NAS103のIPアドレスを示すNAS-IP-Address903、NAS103上でユーザセッションが収容されている位置を示すNAS-Port904、フローを識別するフローID905、トラフィック量の収集収集結果を示す収集トラフィック量906が含まれる。なお、フローID905は、NAS-IP-Address903、NAS-Port904毎に複数存在しても良い。超過トラフィック量テーブル609には、ユーザ認証サーバ107毎に閾値を超過するフローが登録される。閾値内のトラフィック量となった際は、超過トラフィック量テーブル609から該当フローのエントリは削除される。

図10は、ユーザ監視サーバが接続済みの任意のユーザセッションユーザに対して対処を実施するまでのフローを示した図である。1001は、ユーザセッション情報取得処理、1002は、セッション接続状態の確認処理、1003は、送受信トラフィック量取得処理、1004は、閾値超過の確認処理、1005は、対処実施処理、1006は、セッション情報削除処理である。

具体的には、ユーザセッション情報取得処理において、ユーザ監視サーバ501にて、IP機能処理部601を介してユーザ管理部がユーザ認証サーバ107からユーザセッション管理テーブル201の情報を取得し、ユーザセッション管理テーブル608にコピーする（1001）。

次に、セッション状態の確認処理において、監視部604は、ユーザセッション管理テーブル608の情報を参照し、コピー前のユーザセッション管理テーブル608内容とコピー後のユーザセッション管理テーブル608の内容を比較し、ユーザ認証が完了し接続状態にあるユーザセッションが存在するかを確認する（1002）。

確認した結果、接続状態のユーザセッションが無ければ（コピー前にはあるが、コピー後にはなくなっているユーザセッション）、セッション情報削除処理において、ユーザセッション管理テーブル801から対象のユーザセッション情報を削除する（1006）。接続状態のユーザセッションがある場合は、送受信トラフィック量取得処理において、監視部604は、収集部603によりIP機能処理部601を介して、対象のユーザセッションに対して、監視テーブル607に登録されている各フロー種別ごとにトラフィック量を取得する（1003）。

次に、閾値超過の確認処理において、取得したトラフィック量の情報を基に閾値とトラフィック量との比較を行う（1004）。

比較を行った結果、閾値よりも取得したトラフィック量が低い場合は、ユーザセッション情報取得処理において、ユーザ認証サーバ107からユーザセッション管理テーブル201の情報を取得し、ユーザセッション管理テーブル801の情報を更新する（1001）。

閾値よりも取得したトラフィック量が高い場合は、対処実施処理において、監視テーブル701の対処707の内容に従い、対象のユーザセッションに対して処置を実施する（1005）。なお、取得したトラフィック量の情報を基に閾値とトラフィック量とを直接比較しても良いし、図9の超過トラフィック量テーブル609の内容を更新し、更新した内容に基づいて、閾値を越えているかの判定処理をおこなってもよい。

（1002）〜（1006）の処理は、処理（1001）で取得したユーザセッション情報に含まれる個別のユーザセッションごとに順次行われてもよいし、各処理全てのユーザセッションに同時に行ってもよい。

以上で説明した動作により、加入者に最も近いブロードバンドアクセス網のエッジにて異常フローの監視/検出/対処を行うことができ、さらに、制御系パケットに対する異常フローの検出および対処に対し高い効果を発揮する。

本発明は、電気通信サービスプロバイダのネットワークエッジでの使用、または、ホールセール事業者のネットワークエッジでの使用を可能とする。

101 インターネット
102 インターネットサービスプロバイダ(ISP)網
103 ネットワークアクセスサーバ
104 ユーザ宅内装置
107 ユーザ認証サーバ
501 ユーザ監視サーバ

Claims

トラフィック監視システムであって、
端末装置と複数の通信回線を介して通信する通信装置と、
前記端末装置のトラフィックを監視する監視装置とを有し、
前記通信装置は、前記通信回線毎に、複数の前記端末装置と論理回線によりセッションを確立し、
前記監視装置は、前記端末装置のトラフィックを前記論理回線内のフロー種別毎に監視することを特徴とするトラフィック監視システム。
請求項１記載のトラフィック監視システムであって、
前記監視装置は、監視対象のフローのトラフィックが所定の閾値を超過した場合は、所定の対処命令を前記通信装置に送信することを特徴とするトラフィック監視システム。
請求項１記載のトラフィック監視システムであって、
前記フロー種別には、ＩＣＭＰＴｉｍｅＥｘｃｅｅｄｅｄメッセージが含まれることを特徴とするトラフィック監視システム。
請求項１記載のトラフィック監視システムであって、
前記フロー種別には、ＩＣＭＰＴｏｏＢｉｇメッセージが含まれることを特徴とするトラフィック監視システム。
請求項１記載のトラフィック監視システムであって、
前記フロー種別には、ＩＣＭＰＰｏｒｔＵｎｒｅａｃｈａｂｌｅメッセージが含まれることを特徴とするトラフィック監視システム。
請求項１記載のトラフィック監視システムであって、
前記フロー種別には、ＩＣＭＰＤｅｓｔｉｎａｔｉｏｎＵｎｒｅａｃｈａｂｌｅメッセージが含まれることを特徴とするトラフィック監視システム。
請求項１記載のトラフィック監視システムであって、
前記フロー種別には、ＩＣＭＰＥｃｈｏＲｅｑｕｅｓｔメッセージが含まれることを特徴とするトラフィック監視システム。
請求項１記載のトラフィック監視システムであって、
前記フロー種別には、ＡｕｔｈｅｎｔｉｃａｔｉｏｎＨｅａｄｅｒメッセージを含むＩＰｖ６パケットが含まれることを特徴とするトラフィック監視システム。
請求項１記載のトラフィック監視システムであって、
前記フロー種別には、ＥｎｃａｐｓｕｌａｔｅｄＳｅｃｕｒｉｔｙＰａｙｌｏａｄ
を含むＩＰｖ６パケットが含まれることを特徴とするトラフィック監視システム。
請求項１記載のトラフィック監視システムであって、
前記フロー種別には、ＮｅｉｇｈｂｏｒＡｄｖｅｒｔｉｓｅｍｅｎｔ（ＮＡ）又はＲｏｕｔｅｒａｄｖｅｒｔｉｓｅｍｅｎｔ（ＲＡ）を含むＩＰｖ６パケットが含まれることを特徴とするトラフィック監視システム。
請求項１記載のトラフィック監視システムであって、
前記フロー種別には、ＰＰＰｏＥＡｃｔｉｖｅＤｉｓｃｏｖｅｒｙＩｎｉｔｉａｔｉｏｎ（ＰＡＤＩ）パケットが含まれることを特徴とするトラフィック監視システム。
請求項１記載のトラフィック監視システムであって、
前記フロー種別には、ブロードキャストパケットが含まれることを特徴とするトラフィック監視システム。
請求項２記載のトラフィック監視システムであって、
前記対処命令には、前記監視対象のフローのセッションの強制切断処理が含まれることを特徴とするトラフィック監視システム。
請求項２記載のトラフィック監視システムであって、
前記対処命令には、前記監視対象のフローのフィルタリング処理が含まれることを特徴とするトラフィック監視システム。
請求項２記載のトラフィック監視システムであって、
前記対処命令には、前記監視対象のフローを転送する物理回線又は論理回線の変更処理が含まれることを特徴とするトラフィック監視システム。
請求項２記載のトラフィック監視システムであって、
前記対処命令には、前記監視対象のフローの転送量の制限が含まれることを特徴とするトラフィック監視システム。
請求項１乃至１６記載のトラフィック監視システムであって、
前記通信装置と連携して端末装置の認証処理を行う認証装置を有し、
前記監視装置は、前記認証装置からセッション情報を取得し、当該セッション情報を基に、前記端末装置のフロー毎のトラフィックを監視することを特徴とするトラフィック監視システム。
請求１乃至１７記載のトラフィック監視システムであって、
前記監視装置は、前記通信装置から当該通信装置が収容する前記端末装置のトラフィックを収集することを特徴とするトラフィック監視システム。
請求１乃至１８記載のトラフィック監視システムであって、
前記トラフィックの収集はＳＮＭＰですることを特徴とするトラフィック監視システム。
請求１乃至１９記載のトラフィック監視システムであって、
前記対処命令の送信はＳＮＭＰですることを特徴とするトラフィック監視システム。