フローデータとBGPの連携によるトラヒック分析システム

摘要

An anomalous traffic change in traffic distributions caused by external inter-domain routing change leads to congestion of some network links, which then affects the network quality or disrupts traffic. Thus, network operators need to promptly deal with problems by changing the routing policy or by soliciting help of an involved or neighboring network operator through operator channels. In addition, they need to diagnose situations in which customers are affected by the incident or in which destinations become unreachable. Although this task is indispensable, understanding the situation is difficult due to the cause being from outside the operators' network domains. To alleviate the load on operators, we developed a monitoring system for traffic shift and disruption caused by BGP routing change. It is challenging to extract information that is more valid from a large amount of BGP update messages and traffic flow records. By correlating these data, the system provides meaningful reports and visualized traffic statistics, and it enables operators to easily detect traffic changes and to investigate the extent of damage. We demonstrate the effectiveness of the system and evaluate its feasibility by applying it to an ISP backbone network. In addition, we present a case study of traffic changes that the system detected. And we analyzed the network level behavior of spam mail and ham mail using the traffic shift monitoring system, and demonstrate the visible differences.%自律システム（AS）間の経路変動に伴う急激なトラヒック変動は、ネットワーク回線を逼迫し、ユーザに提供するサービス品質の低下を招く可能性がある．このような事態に対しては、BGP（Border Gateway Protocol）経路情報の監視とともに、BGP経路情報により示されるAS pathやBGPルータ等の経由地毎のトラヒック情報の監視が重要となる．しかしながら、BGP経路情報とトラヒック情報は、個々に監視されることが一般的であり、相互の情報をもとに経路変動に起因するトラヒック変動を検出・監視するシステムの構築例は少ない．筆者らは文献［8］で、BGP経路情報とトラヒッタ情報を同時に収集し、その相関性をもとに経路変動によるトラヒック変動を検知するシステムの提案と実装について報告した．本稿では、同システムに対して強化した可視化機能、および実証実験の結果について報告する．また、本システムの応用事例として、正規メールおよびスパムメールがインターネットをどのように経由して伝達されるかをネットワークレベルの振る舞いの違いとして分析したので、合わせて報告する．