ネットワークイベント検出と分析に基づく 大規模ネットワークの管理技術 小出和秀 菅沼拓夫 Glenn Mansfield Keeni 白鳥則郎 東北RC 東北RC/東北大学 東北RC/(株)ｻｲﾊﾞｰ･ｿﾘｭｰｼｮﾝｽﾞ 東北RC/東北大学 東北ＲＣの研究概要 アプリケーション指向型運用管理プラットフォームの研究開発 （高次ネットワーク情報提供のためのプラットフォーム技術） Ｊ ＧＮ アプリケーション指向型運用管理 技術とセキュリティ技術の開発 利用者 運用管理 システム 複数の 情報ビュー 高次ネットワーク情報 Ⅱ 侵入検知 広帯域 アプリケーション 広帯域アプリケーション 運用管理プラットフォーム アプリケーション 制御 監視要求 アプリケーション指向型運用管理ミドルウェア エージェント フレキシブルネットワークミドルウェ ア技術の開発 ・要求駆動型分析 ・異なった視点での情報管理 ・協調型解析による高次情報提供 Event Detection by Network Traffic Data Analysis ネットワーク情報 の収集 [リンクレイヤ（VLAN，etc.）] ネットワーク情報 の収集 [ネットワークレイヤ （IPv4/IPv6，etc.）] パッシブモニタ 超高速大規模ネットワーク向き ネットワーク計測・解析技術の 開発 [アプリケーションレイヤ] パッシブモニタ 超高速大規模ネットワーク 1. 超高速大規模ネットワーク向きN/W計測・解析技術の開発 超高速大規模ネットワークにおけるネットワーク計測・解析の課題 ネットワーク 管理情報 膨大な量の ネットワーク管理情報 の蓄積 プローブ (ネットワーク管理情報収集デバイス) ネットワーク 管理情報 DB ネットワーク 管理情報 ネットワーク 管理端末 ネットワーク 管理情報 大量のデータから 有用な情報を見つ けるのは困難 ネットワーク管理者 ネットワーク管理情報： トラフィック（量の分布、プロトコル分布、回線使用状況など）、 故障、障害、スループット、遅延時間など 本研究開発の目的 ネットワーク 管理情報 プローブ (ネットワーク管理情報 収集デバイス) ネットワーク 管理情報 ネットワーク イベント ネットワーク 管理情報DB ネットワークイベントの 検出 ネットワークイベントの 詳細な解析，可視化表示 管理作業負担 の大幅な軽減 ネットワーク管理者 超高速大規模ネットワーク向きネットワーク計測・解析技術の開発 問題点 – ネットワークの広域・高速化，管理対象となる機 器の増大 – ネットワーク情報の大量の蓄積 – 管理に必要な部分のみを抜き出して，効果的か つ詳細に分析する必要性 目的 – ネットワークトラフィック計測によるイベント検出・ 解析アルゴリズムの構成 – イベント検出・解析作業支援ソフトウェアの開発 イベント検出・解析支援システム構成 検出 EventRule definition Event List Generator Network Information Warehouse IODEF Event List Event Based Management Intelligent Detailed data Collection Intelligent Data Collector 診断 イベント検出・診断支援システム （通常の グラフ 表示） Graph Generator ネットワーク「イベント」検出 「イベント」の定義 ⇒ネットワーク管理者が興味を持つトラフィックパターン – 障害 (トラフィック消失) 等 – DoS (トラフィック急増) 等 – セキュリティインシデント(特定のパケット検出) 等 イベントの検知と記録 – （時系列的）トラフィック情報 – アプリケーションログ等 イベントに基づく「データの詳細化」 イベント関連情報の提供 – イベント検出をトリガとした詳細トラフィック情報収集 イベントコンソールから詳細なグラフ等の情報にアクセスする – アドレス・ポート毎の上位Top-Nトラフィック表示 トラフィック量だけでなく，組成を明らかにする 3. イベント検出基盤技術 - (1) CpMonitor – ネットワークタップ型計測ソフトウェア ■パケットヘッダ情報による分類 ■累積値 / 差分値 / ピーク値 ■アドレス数カウンタ ■テナント毎集計 ■tcpdump 互換機能（パケットダンプファイル入出力 ） IP Address / VLAN ID / Traffic Class Port / IP address トラフィックカウンタ IPv4 TCP UDP ICMP Other Pkt.数 ( Cumulative, Peak hold, Delta ) Oct.数 TCP Other Pkt.数 ( Cumulative, Peak hold, Delta ) Oct.数 IPv4 Source Addr.数 IPv4 Destination Addr.数 IPv6 UDP ICMP アドレスカウンタ イベント検出基盤技術 - (2) Category Transform – カテゴリ毎のトレンド＋カテゴリ数そのものの変化に注目 ⇒より詳細なトラフィック変動の把握が可能 – 例：トラフィック量増大＋IPアドレスカテゴリ数増大⇒DoS? Case(1): Only Addresses increases Case(2): Only Octets increases Case(3): There is a DoS attack? 研究結果 これまでの成果 – ネットワークイベント検出モデル（Ver.0.5）の詳細設計を行い、実トラフィックデータを 用いた実験によりその有効性を確認した – 広域ネットワーク環境におけるトラフィック情報のリアルタイム分析を支援する「Top-N トラフィック分析支援システム」を完成．Winny等による異常トラフィックの検出・分析を 効果的に支援することが可能となった Top-N traffic sources/consumers with Protocol-wise details Events displayed on Integrated Console for Events (ICE ) 4. 今後の方向性 今年度の研究予定 – ネットワークイベントの分析、可視化を支援するツールとして 広域ネットワーク環境における「イベント追跡システム」 の完成 東北リサーチセンタ Event Management Technology Event! セキュリティ情報の分析と共有システムの開発 Wide-area information sharing 定点観測システム IODEF IODEF 観測データ IPA-MUSTAN 広域インシデント情報共有および分析技術の開発 今年度の開発目標（抜粋） イベントの送受信 – 従来：SNMP trapを利用 – これから：IODEF(Incident Object Description and Exchange Format) を利用 – 電子メールによるXMLベースでのイベントトランスポート – トラフィック・ログ情報を添付したイベントの送受信 ⇒イベント情報の広域共有につなげていきたい イベントに基づく詳細情報出力をより高度化 – イベントの性質にあわせた情報の出力 – イベント毎のカスタマイズ機能，計測知識の導入 5. おわりに 超高速大規模ネットワーク向きネットワーク計 測・解析技術の開発 イベントの検出と分析に基づく効率的なネット ワーク計測・解析アプリケーションの開発 JGNをはじめとした大規模ネットワークの計 測を効率化することを目指していく
© Copyright 2024 Paperzz
