JP5086382B2 - 異常トラヒック分析システム、方法、および装置 - Google Patents

Description

本発明は、ネットワーク上のトラヒックを監視し、トラヒックの異常状態を検出する異常トラヒック分析技術に関連する。

トラヒック監視において、大量のトラヒックから監視に必要なフロー抽出の技術は、特許文献１にあるようなトラヒックの特徴を抽出しておこなうことが考えられる。

特開２００９−４４５０１号公報

トラヒックの異常が発生した場合の監視者の対処は、攻撃が発生したことをいち早く検知し、攻撃元などの攻撃トラヒックを把握した上で、ルータのアクセス制御を設定するなどの異常対策を実施することになる。

トラヒックの特徴によるフロー抽出では、攻撃の発生の検知とネットワーク全体からの攻撃の全体像を知ることができるため、攻撃元などの攻撃トラヒックを把握することには有効な技術である。

しかし、監視者が異常対策を実施するために必要な情報は、アクセス制御を実施するネットワーク装置の制限、異常対策の対応方針、過去の対策からの経験則、ノウハウなどを踏まえるため、攻撃トラヒックのより詳細な情報であり、これは、トラヒックの特徴によるフロー抽出だけでは、攻撃元を特定した情報にすぎず、異常対処に用いるには不十分である課題がある。

本発明の目的は、ネットワーク上のトラヒックを監視し、異常状態を検出する異常トラヒック分析技術において、監視者にとって異常対策を実施するために詳細な情報を提供することである。

本発明は、トラヒックの特徴だけによるフロー抽出から、監視者にとって必要な束縛条件を付加して再抽出し、不要なフローを取り除いた抽出結果とすることで、より詳細なフローが抽出でき、監視者にとって異常対策を実施するために詳細な情報を提供するものである。

具体的には、トラヒックの統計情報をネットワーク装置から受信し、受信したトラヒックの統計情報からトラヒックの異常状態を検出し、異常状態の検出を契機として、トラヒックの統計情報を分析し、異常状態のトラヒックの統計情報を抽出した後、当該抽出結果の任意の値を束縛条件として、トラヒックの統計情報を再帰的に分析する。

束縛条件として、当該抽出結果のうち、送信元アドレスプレフィクスまたは送信先アドレスプレフィクスの情報を用いることができる。

束縛条件として、当該抽出結果のうち、送信元ポートアドレス、送信先ポートアドレス、プロトコル番号、またはネットワーク装置のうちいずれかの単一結果を用いることもできる。

束縛条件として、当該抽出結果の過程において抽出された送信元アドレスプレフィクスまたは、送信先アドレスプレフィクスを用いることもできる。

また、監視者に対して、ＧＵＩによりトラヒックの統計情報の表および／または抽出結果の過程におけるアドレスプレフィクスツリーを表示し、前記表および／またはアドレスプレフィクスツリーの各値をクリックすることでその値を監視者からの入力としてもよい。

上記のように本発明では、監視者が期待する結果を促す束縛条件を入力することで、不必要なフローを取り除いたフローグループを得ることができる、もしくは、不必要なフローを取り除きれていない場合でも、さらに束縛条件を入力する再帰的に分析することで、不必要なフローを取り除いたフローグループを得ることが可能になる。

本発明により、ネットワーク上のトラヒックを監視し、異常状態を検出する異常トラヒック分析技術において、監視者にとって異常対策を実施するために詳細な情報を提供することが可能になる。

本発明の実施形態の異常トラヒック分析システムを含む全体のシステムを示す図である。 本発明の実施形態の異常トラヒック分析システムの機能構成を示す図である。 本発明の実施形態のフロー図である。 分析ＩＤ＝１のフローグループの表を示す図である。 分析ＩＤ＝１のアドレスプレフィックスツリー示す図である。 分析ＩＤ＝２のフローグループの表を示す図である。 分析ＩＤ＝３のフローグループの表を示す図である。 分析ＩＤ＝４のフローグループの表を示す図である。 分析ＩＤ＝５のフローグループの表を示す図である。 分析ＩＤ＝６のフローグループの表を示す図である。

図１は、本発明の実施形態の異常トラヒック分析システムを含む全体のシステムを示す図である。図２は、本発明の実施形態の異常トラヒック分析システムの機能構成を示す図である。また、図３は本発明の実施形態のフロー図である。

図１において、１０１は異常トラヒック分析システム、１０２は監視ネットワーク、１０３は監視者用端末、１０４は監視者、１０５は束縛条件、１０６はフロー情報、１１１はネットワーク装置＃１、１１２はネットワーク装置＃２、１１３はネットワーク装置＃３、１１４はネットワーク装置＃４、１２１は他社ネットワーク（インターネット）、１２２はセグメント１０．１６．０．０／１２のネットワーク、１２３はセグメント１０．３２．０．０／１２のネットワーク、１２４はセグメント１０．１９２．０．０／１２のネットワーク、１３２は送信元端末Ａ、１３３は送信元端末Ｂ、１３４は宛先サーバである。なお、監視ネットワーク１０２内のネットワーク装置の数や監視ネットワーク１０２に接続されるネットワークの数は任意である。

図２において、２０１はフロー情報受信機能、２０２はフロー情報蓄積機能、２０３は異常トラヒック検出機能、２０４は異常トラヒック分析機能、２０６はＧＵＩ（結果出力・束縛条件入力）機能である。

異常トラヒック分析システム１０１は、１つ以上のネットワーク装置１１１〜１１４と接続しており、ネットワーク装置１１１〜１１４より、ＮｅｔｆｌｏｗやｓＦｌｏｗなどのプロトコルによってフロー情報１０６を提供されている。

異常トラヒック分析システム１０１は、フロー情報受信機能２０１、フロー情報蓄積機能２０２、異常トラヒック検出機能２０３、異常トラヒック分析機能２０４、分析情報蓄積機能２０５、および、ＧＵＩ（結果出力、束縛条件入力）機能２０６からなる。異常トラヒック分析システム１０１はこれらの機能を実現する手段を備えている。異常トラヒック分析システム１０１は、コンピュータとプログラムで構成することができる。そのプログラムの一部または全部に代えてハードウェアで構成してもよい。異常トラヒック分析システム１０１は一つの装置として構成しても、連携して動作する複数の装置として構成してもよい。

異常トラヒック分析システム１０１における各機能について説明する。

フロー情報受信機能２０１は、ネットワーク装置１１１〜１１４より提供されたＮｅｔｆｌｏｗやｓＦｌｏｗなどのプロトコルによってフロー情報１０６を受信する機能である。

フロー情報蓄積機能２０２は、フロー情報受信機能２０１により受信したフロー情報を蓄積する機能である。また、異常トラヒック検出機能２０４や、ＧＵＩ（結果出力、束縛条件入力）機能２０６により必要に応じて、蓄積されたフロー情報を受け渡す機能も有する。

異常トラヒック検出機能２０３では、フロー情報蓄積機能２０２に蓄積されたフロー情報をある単位時間当たり毎に取得し、その単位時間当たりにおける急激なトラヒック変動を検知することで、トラヒックの異常状態を検知し、その時刻を異常トラヒック分析機能２０４に送信する。

異常トラヒック分析機能２０４では、異常トラヒック検出機能２０３からの受信、および、ＧＵＩ（結果出力、束縛条件入力）機能２０６からの受信を契機に新たに分析ＩＤを発行する。ＧＵＩ（結果出力、束縛条件入力）機能２０６からの受信の場合、元の分析ＩＤにある束縛条件と新たな束縛条件をマージして、新たな分析ＩＤの束縛条件とする。異常トラヒック検出機能２０４からの場合は束縛条件をなしとする。この束縛条件を、フロー情報蓄積機能２０２からフローを取得するフィルタとして、フロー情報を入手し、このフロー情報を、特許文献１にあるような分析方法を用いて分析を行う。分析した結果は、発行した分析ＩＤ、トラヒックの異常状態を束縛条件とともに保存する。

分析情報蓄積機能２０５では、分析ＩＤをキーに、束縛条件、分析結果（フローグループＩＤ、特徴的なフローグループ（送信元アドレスプレフィクス、送信先アドレスプレフィクス、プロトコル、送信元ポート番号、送信先ポート番号、ネットワーク装置の組み合わせ）、占有率）、抽出結果の経過情報（アドレスプレフィクスツリー）を蓄積しており、異常トラヒック分析機能２０４、または、ＧＵＩ（結果出力、束縛条件入力）機能２０６からの要求により、読み出し、保存を行う。

ＧＵＩ（結果出力、束縛条件入力）機能２０６では、直近いくつかの分析結果や監視者の要求する分析結果を表示する。異常トラヒック分析システム１０１と監視者用端末１０３はネットワークでつながっており、ＬＡＮ経由、ＷＡＮ（インターネット）経由でやりとりされる。分析結果は少なくとも、図４のような特徴的なフローグループおよび、そのフローグループによる占有率（トラヒックの全体から占める割合）を表形式にしたものと、抽出結果の経過情報として、アドレスプレフィクスツリー（図５）が提供される。これは抽出結果の過程で算出される各アドレスプレフィクスとその占有率を示している。最終的に特徴的なフローグループとして採用されたアドレスプレフィクスは監視者に識別できるように色塗りされている。

必要に応じて、フロー情報蓄積機能２０２に保存してある情報を用いて、時刻、トラヒック量等の表示を追加しても良い。

表形式および、アドレスプレフィクスツリーはクリッカブルになっている。表形式でクリッカブルになっているのは特徴的なフローグループから、送信元アドレスプレフィクス、送信先アドレスプレフィクス、または特定できているプロトコル、送信元ポート番号、送信先ポート番号、ネットワーク装置のいずれかである。アドレスツリーでは、ツリー上の任意の送信元アドレスプレフィクス、送信先アドレスプレフィクスがクリッカブルになっている。この任意の値を監視者がクリックすることで、今出力している分析ＩＤとクリックした値を束縛条件とすることができる。監視者がクリックした後、ＧＵＩ（結果出力、束縛条件入力）機能２０６は出力してある分析ＩＤと新たな束縛条件（監視者によってクリックされた値）を引数として、異常トラヒック分析機能２０４に処理を渡す。

図３のフロー図を用いて、本実施形態の異常トラヒック分析システムの異常トラフィック分析方法について説明する。

フロー情報受信機能２０１がネットワーク装置１１１〜１１４からトラヒックの統計情報を受信する（ステップ３０１）。異常トラヒック検出機能２０３がトラヒックの異常状態を検出する（ステップ３０２）。束縛条件はなしである（ステップ３０３）。異常トラヒック分析機能２０４が分析ＩＤを発行する（ステップ３０４）。異常トラヒック分析機能２０４が束縛条件をフィルタとしてフロー情報蓄積機能２０２からフローを取得する（ステップ３０５）。異常トラヒック分析機能２０４が特徴的なフローグループを抽出する（ステップ３０６）。ＧＵＩ（結果出力・束縛条件入力）機能２０６が結果を監視者用端末１０３に表示する（ステップ３０７）。ＧＵＩ（結果出力・束縛条件入力）機能２０６が監視者１０４が監視者用端末１０３から入力した束縛条件１０５を受信する（ステップ３０８）。束縛条件を追加する（ステップ３０９）。ステップ３０４〜３０９を繰り返し、再帰的に分析を行う。

以上、本実施形態を具体的に説明したが、本実施形態の異常トラヒック分析システムは、一般的には、トラヒックの統計情報をネットワーク装置から受信する受信手段と、前記受信手段が受信したトラヒックの統計情報からトラヒックの異常状態を検出する異常トラヒック検出手段と、前記異常トラヒック検出手段による異常状態の検出を契機として、前記トラヒックの統計情報を分析し、異常状態のトラヒックの統計情報を抽出した後、当該抽出結果の任意の値を束縛条件として、前記トラヒックの統計情報を再帰的に分析する異常トラヒック分析手段と、を備えていればよい。

また、本実施形態の異常トラヒック分析システムは、監視者に対して、ＧＵＩによりトラヒックの統計情報の表および／または抽出結果の過程におけるアドレスプレフィクスツリーを表示し、前記表および／またはアドレスプレフィクスツリーの各値をクリックすることでその値を監視者からの入力とするＧＵＩ手段を備えることができる。

ある攻撃トラヒックの分析について説明する。

図１のようなネットワークがあるとする。監視ネットワーク１０２にはネットワーク装置＃１〜＃４がある。ネットワーク装置＃１には他社ネットワーク１２１がつながっており、不特定数の送信元、送信先のトラヒックが流れている。ネットワーク装置＃２〜＃４はそれぞれ、１０．１６．０．０／１２、１０．３２．０．０／１２、１０．１９２．０．０／１２のネットワークにつながっている。異常トラヒック分析システム１０１はネットワーク装置＃１〜＃４からはフロー情報１０６を受信している。

今、ＤＤＯＳ攻撃がネットワーク装置＃１〜＃３を経由して、ネットワーク装置＃４につながっているネットワーク１２４の１サーバ（１０．２００．０．１）に対して行われているとする。

ＤＤＯＳ攻撃が発生したことによるトラヒックの増加を異常トラヒック分析システム１０１はフロー情報受信機能２０１で受信し、異常トラヒック検出機能２０３で検出し、異常トラヒック分析機能２０４で分析ＩＤ＝１を払い出し、特許文献１にあるような分析方法を用いて分析し、特徴的なフローグループを抽出した結果を分析情報蓄積機能２０５に保存する。その結果、ＧＵＩ（結果出力、束縛条件入力）機能２０６により監視者用端末１０３に、直近の分析結果として図４および、図５が出力される。

図４、図５の分析結果（分析ＩＤ＝１）から再帰的に分析していく例を示す。

フローグループＩＤ１では、ネットワーク装置が複数またがっていることを示す「Ａｎｙ」となっている。これを監視者１０４が、詳細に分析したい場合、各フローグループで最も特徴的な違いを示している送信元アドレスプレフィクスに着目して、送信元アドレスプレフィクスの列の１０．３２．０．０／１１をクリックする。このクリックを契機に、ＧＵＩ（結果出力、束縛条件入力）機能２０６は、クリックされた値を束縛条件として扱い、分析ＩＤ＝１とともに、異常トラヒック分析機能２０４に処理を渡す。異常トラヒック分析機能２０４は、分析ＩＤ＝２を払い出し、分析ＩＤ＝１の束縛条件として、束縛条件のマージ、つまりは分析ＩＤ＝１の束縛条件はないので、クリックされた束縛条件そのものである
束縛条件：送信元アドレスプレフィクス＝１０．３２．０．０／１１
を付加して、フロー情報蓄積機能２０２からフローを取得するフィルタとして、フロー情報を入手し、特許文献１にあるような分析方法を用いて再分析し、特徴的なフローグループを抽出した結果を分析情報蓄積機能２０５に保存する。その結果、図６のような、より細かいプレフィクスの分析結果をＧＵＩ（結果出力、束縛条件入力）機能２０６により監視者用端末１０３に、再分析結果として出力する。結果的に監視者１０４は、ネットワーク装置が分かれた分析結果を得ることができる。

また、監視者１０４が、ネットワーク装置＃３に接続されているセグメントが１０．３２．０．０／１２とネットワーク構成を熟知しており、そのセグメントのみを分析したい意図のもと、図５の情報を用いて、送信元アドレスプレフィクスの１０．３２．０．０／１２をクリックした場合の処理を説明する。監視者のクリックを契機に、ＧＵＩ（結果出力、束縛条件入力）機能は、クリックされた値を束縛条件として扱い、分析ＩＤ＝１とともに、異常トラヒック分析機能２０４に処理を渡す。異常トラヒック分析機能２０４は、分析ＩＤ＝３を払い出し、分析ＩＤ＝１の束縛条件として、束縛条件のマージ、つまりは分析ＩＤ＝１の束縛条件はないので、クリックされた束縛条件そのものである
束縛条件：送信元アドレスプレフィクス＝１０．３２．０．０／１２
を付加して、フロー情報蓄積機能２０２からフローを取得するフィルタとして、フロー情報を入手し、特許文献１にあるような分析方法を用いて再分析し、特徴的なフローグループを抽出した結果を分析情報蓄積機能２０５に保存する。その結果、図７のような、より細かいプレフィクスの分析結果をＧＵＩ（結果出力、束縛条件入力）機能２０６により監視者用端末１０３に、再分析結果として出力する。結果的に監視者１０４は、ネットワーク装置＃３配下のより細かいプレフィクスの分析結果を得ることができる。

別のケースとして、監視者１０４が特定のアプリケーションに特化して分析したいケースについて説明する。

たとえば、図４において、監視者１０４が送信先ポート番号８０（ＨＴＴＰ）に限定した分析をしたい場合、送信先ポート番号の列の８０をクリックする（送信先ポート番号の列には８０が３か所あるがいずれでもよい）。監視者１０４のクリックを契機に、ＧＵＩ（結果出力、束縛条件入力）機能２０６は、クリックされた値を束縛条件として扱い、分析ＩＤ＝１とともに、異常トラヒック分析機能２０４に処理を渡す。異常トラヒック分析機能２０４は、分析ＩＤ＝４を払い出し、分析ＩＤ＝１の束縛条件として、束縛条件のマージ、つまりは分析ＩＤ＝１の束縛条件はないので、クリックされた束縛条件そのものである
束縛条件：送信先ポート番号＝８０
を付加して、フロー情報蓄積機能２０２からフローを取得するフィルタとして、フロー情報を入手し、特許文献１にあるような分析方法を用いて再分析し、特徴的なフローグループを抽出した結果を分析情報蓄積機能２０５に保存する。その結果、図８のような、より細かいプレフィクスの分析結果をＧＵＩ（結果出力、束縛条件入力）機能２０６により監視者用端末１０３に、再分析結果として出力する。結果的に監視者１０４は、送信先ポート番号８０（ＨＴＴＰ）だけの分析結果を得ることができる。

最後のケースとして、監視者１０４が図４において、プレフィクス以外の情報がわかっていないフローグループＩＤ５の分析を詳細に行いたい場合を説明する。まず、監視者１０４はフローグループＩＤ５のもっとも特徴的な違いをみせている送信元アドレスブロックに着目し、送信元アドレスプレフィクスの列の１０．９６．０．０／１４をクリックしたとする。このクリックを契機に、ＧＵＩ（結果出力、束縛条件入力）機能２０６は、クリックされた値を束縛条件として扱い、分析ＩＤ＝１とともに、異常トラヒック分析機能２０４に処理を渡す。異常トラヒック分析機能２０４は、分析ＩＤ＝５を払い出し、分析ＩＤ＝１の束縛条件として、束縛条件のマージ、つまりは分析ＩＤ＝１の束縛条件はないので、クリックされた束縛条件そのものである
束縛条件：送信元アドレスプレフィクス＝１０．９６．０．０／１４
を付加して、フロー情報蓄積機能２０２からフローを取得するフィルタとして、フロー情報を入手し、特許文献１にあるような分析方法を用いて再分析し、特徴的なフローグループを抽出した結果を分析情報蓄積機能２０５に保存する。その結果、図９のような、より細かいプレフィクスの分析結果をＧＵＩ（結果出力、束縛条件入力）機能２０６により監視者用端末１０３に、再分析結果として出力し、監視者１０４は、分析結果を得ることができる。さらにこの結果から、ほかのフローグループと同様に、プロトコルがｔｃｐであるもののみを選択したい場合、プロトコルの列のＴｃｐをクリックしたとする。このクリックを契機に、ＧＵＩ（結果出力、束縛条件入力）機能２０６は、クリックされた値を束縛条件として扱い、分析ＩＤ＝５とともに、異常トラヒック分析機能２０４に処理を渡す。異常トラヒック分析機能２０４は、分析ＩＤ＝６を払い出し、分析ＩＤ＝５の束縛条件として、束縛条件のマージ、つまりは分析ＩＤ＝５の
束縛条件：送信元アドレスプレフィクス＝１０．９６．０．０／１４
とマージした
束縛条件：送信元アドレスプレフィクス＝１０．９６．０．０／１４ ａｎｄ プロトコル＝ｔｃｐ
を付加して、フロー情報蓄積機能２０２からフローを取得するフィルタとして、フロー情報を入手し、特許文献１にあるような分析方法を用いて再分析し、特徴的なフローグループを抽出した結果を分析情報蓄積機能２０５に保存する。その結果、図１０のような、より細かいプレフィクスの分析結果をＧＵＩ（結果出力、束縛条件入力）機能２０６により監視者用端末に再分析結果として出力し、監視者は、最終的に期待した結果を得ることができる。

１０１…異常トラヒック分析システム、１０２…監視ネットワーク、１０３…監視者用端末、１０４…監視者、１０５…束縛条件、１０６…フロー情報、１１１…ネットワーク装置＃１、１１２…ネットワーク装置＃２、１１３…ネットワーク装置＃３、１１４…ネットワーク装置＃４、１２１…他社ネットワーク（インターネット）、１２２…セグメント１０．１６．０．０／１２のネットワーク、１２３…セグメント１０．３２．０．０／１２のネットワーク、１２４…セグメント１０．１９２．０．０／１２のネットワーク、１３２…送信元端末Ａ、１３３…送信元端末Ｂ、１３４…宛先サーバ、２０１…フロー情報受信機能、２０２…フロー情報蓄積機能、２０３…異常トラヒック検出機能、２０４…異常トラヒック分析機能、２０６…ＧＵＩ（結果出力・束縛条件入力）機能

Claims (6)

1. トラヒックの統計情報をネットワーク装置から受信する受信手段と、
   前記受信手段が受信したトラヒックの統計情報からトラヒックの異常状態を検出する異常トラヒック検出手段と、
   前記異常トラヒック検出手段による異常状態の検出を契機として、束縛条件はなしで前記トラヒックの統計情報を分析し、異常状態のトラヒックの統計情報を抽出した後、当該抽出結果の任意の値を束縛条件としてそれまでの束縛条件に追加し、該束縛条件をフィルタとして前記トラヒックの統計情報を再帰的に分析する異常トラヒック分析手段と、
   を備える異常トラヒック分析システムであって、
   前記異常トラヒック分析手段が、前記束縛条件として、当該抽出結果のうち、送信元アドレスプレフィクスまたは送信先アドレスプレフィクスの情報を用いて再帰的に分析することを特徴とする異常トラヒック分析システム。
2. 請求項１に記載の異常トラヒック分析システムであって、
   前記異常トラヒック分析手段が、前記束縛条件として、当該抽出結果のうち、送信元ポートアドレス、送信先ポートアドレス、プロトコル番号、またはネットワーク装置のうちいずれかの単一結果を用いて、再帰的に分析することを特徴とする異常トラヒック分析システム。
3. 請求項１または２に記載の異常トラヒック分析システムであって、
   前記異常トラヒック分析手段が、前記束縛条件として、当該抽出結果の過程において抽出された送信元アドレスプレフィクスまたは、送信先アドレスプレフィクスを用いて、再帰的に分析することを特徴とする異常トラヒック分析システム。
4. 請求項１ないし３のうちいずれか１項に記載の異常トラヒック分析システムであって、
   監視者に対して、ＧＵＩによりトラヒックの統計情報の表および／または抽出結果の過程におけるアドレスプレフィクスツリーを表示し、前記表および／またはアドレスプレフィクスツリーの各値をクリックすることでその値を監視者からの入力とするＧＵＩ手段を備えることを特徴とする異常トラヒック分析システム。
5. 受信手段が、トラヒックの統計情報をネットワーク装置から受信し、
   異常トラヒック検出手段が、前記受信手段が受信したトラヒックの統計情報からトラヒックの異常状態を検出し、
   異常トラヒック分析手段が、前記異常トラヒック検出手段による異常状態の検出を契機として、束縛条件はなしで前記トラヒックの統計情報を分析し、異常状態のトラヒックの統計情報を抽出した後、当該抽出結果の任意の値を束縛条件としてそれまでの束縛条件に追加し、該束縛条件をフィルタとして前記トラヒックの統計情報を再帰的に分析する異常トラヒック分析方法であって、
   前記異常トラヒック分析手段が、前記束縛条件として、当該抽出結果のうち、送信元アドレスプレフィクスまたは送信先アドレスプレフィクスの情報を用いて再帰的に分析する
   することを特徴とする異常トラヒック分析方法。
6. トラヒックの統計情報をネットワーク装置から受信する受信手段と、
   前記受信手段が受信したトラヒックの統計情報からトラヒックの異常状態を検出する異常トラヒック検出手段と、
   前記異常トラヒック検出手段による異常状態の検出を契機として、束縛条件はなしで前記トラヒックの統計情報を分析し、異常状態のトラヒックの統計情報を抽出した後、当該抽出結果の任意の値を束縛条件としてそれまでの束縛条件に追加し、該束縛条件をフィルタとして前記トラヒックの統計情報を再帰的に分析する異常トラヒック分析手段と、
   を備える異常トラヒック分析装置であって、
   前記異常トラヒック分析手段が、前記束縛条件として、当該抽出結果のうち、送信元アドレスプレフィクスまたは送信先アドレスプレフィクスの情報を用いて再帰的に分析することを特徴とする異常トラヒック分析装置。

Images