調査と解説

すすんだ異常トラフィック監視装置である GenieATM 6000 [Gen 05] [Qua] の機能を参考にして，IP ネットワークにおける異常トラフィック監視の機能についてのべる．

ルータなどのネットワーク・ノードにおいてトラフィックを計測してその結果を IDS (侵入検知システム)，IPS (侵入防止システム) などのサーバにおくり，DoS 攻撃 (サービス妨害攻撃), DDoS 攻撃 (分散サービス妨害攻撃) などをふくむ，さまざまな異常を検知するため，計測結果の送信のためのいくつかの標準 MIB や標準プロトコルが開発されている． ここではそれらの標準について記述する．

特定の IP アドレスから特定の IP アドレスへの一連のパケットのながれを IP フローという． そして，IP フローからとりだした情報をふくむパケットのながれを IP フロー情報という． IP フロー情報の通信につかわれるプロトコルとして，Cisco の NetFlow，InMon 社の sFlow，IETF において標準化された IPFIX などがある．

IP フロー情報出力 (IP フロー計測) のために，Cisco の NetFlow や IETF 標準プロトコル IPFIX (IP Flow Information Export) のようなプロトコルがつかわれる． これらのプロトコルによって出力される IP フロー情報の応用として，RFC 3917 (IPFIX の要求に関するドキュメント) にあげられている項目をまとめる．

IP フロー情報出力 (IP フロー計測) においては，IETF において標準化された IPFIX (IP Flow Information Export) や，標準化中の PSAMP (Packet Sampling) のフレームワークがつかわれる． これらにおいては，Exporter すなわち IPFIX の機能をそなえたルータなどのネットワーク機器が IPFIX プロトコルによって IP フロー情報を Collector におくる． Exporter 内には計測プロセス (Metering Process(es)) と送出プロセス (Exporting Process) とがふくまれる． ここではこれらのプロセスの機能を IPFIX のアーキテクチャ・ドラフト [Sad 07] や PSAMP のドラフト [Duf 08] [Zse 08] にもとづいて説明する．

IPFIX 媒介 [Kob 08a] [Kob 08b] や IPFIX フロー集約 [Dre 08] のインターネット・ドラフトにおいては，IP フロー情報を媒介したり集約したりする装置のゆるい仕様が規定されている． IPFIX の要求ドキュメント [Qui 04] には IPFIX によるフロー情報を媒介するしくみとして Concentrator (集約装置) や Proxy (代理装置) が定義されているが，アーキテクチャ・ドラフトに記述された要素だけではとくに集約装置を実現するには十分でないとかんがえられる． それをおぎなうのが前記のドラフトである．

トラフィック監視や計測のためにルータなどから IP フロー情報を出力し，それをサーバなどで処理するばあいの機器構成を，IETF における IP フロー情報のための標準である IPFIX のドキュメントにしたがって，しめす．

WINDS [Nis 08] [Kuw 08] は DDOS (分散サービス拒否攻撃) をはじめとする各種の DOS の対策を目的とする広域トラフィック監視・制御のためのシステムであり， NTT 情報流通プラットフォーム研究所 (PF 研) を中心として，おもに総務省委託研究 「次世代バックボーンの研究開発」 において開発されている．

「トラフィック計測・監視に関する標準化」 に記述したように，インターネット上の機器におけるトラフィック計測はまず RMON MIB (遠隔モニタリング MIB) に格納され，SNMP (Simple Network Management Protocol) によって管理装置につたえられるようになった． 現在でもこの方法が主流になっている． しかし，この方法は精度やリアルタイム性において十分でないため，NetFlow，sFlow などの 「IP フロー計測」 のしくみが開発され，IPFIX, PSAMP などのかたちで標準化されてきた． 省電力化のためのトラフィック計測においても，精度やリアルタイム性がもとめられないあいだは RMON やその改良版である RMON2 を使用することができるが，こまかい制御が必要なら IP フロー計測を採用する必要があるだろう． ただし，IPFIX のような現在の IP フロー計測のしくみは省電力化を主要な目的とはしていないので，現在の標準にしばられないほうがよいだろう．