２００４年度森基金成果報告書：
慶應義塾大学大学院　政策・メディア研究科　博士課程一年　
斉藤匡人

現在、携帯電話網やADSL・FTTH などを経由したインターネット接続が一般家庭にも普及 し、社会インフラの重要な部分を閉めている。しかし、複数のコンピュータから構成される「コ ンピュータネットワーク」は人々にとっては未だ不透明な存在である。ユーザにコンピュータ同 士の接続関係であるネットワークを意識させないことはEnd-to-End 議論の観点からは利に適っているが、不利点としてユーザがネットワーク通信接続トポロジを容易に把握不可能という問題 があり、これが近年のコンピュータウィルスやワームの爆発的な流布を許している一因となって いる。

そこで本研究では、人々がより直感的にコンピュータネットワークを把握し興味を抱く助けとなることを目的に、単一ホストを基点としたネットワーク通信状態・トポロジの３次元グラフィカル視覚化ソフトウェア(3D-tcpdump) を提案する。本ソフトウェアはユーザが使用する計算機端末上で独立に動作し、その端末におけるネットワーク通信フローと通信相手を含むネットワークトポロジ、フローを発生させているアプリケーション情報をもとに視覚化処理を行う。本ソフトウェアの使用用途には、異常トラフィック視覚化検出やコンピュータウィルス発生源ホストの特定、家庭内ネットワークにおける通信フィルタリング設定補助ツール、ネットワーク・通信プロトコルの教育、などが挙げられる。

ネットワーク情報の視覚化に関する研究自体は新しいものではなく、情報視覚化の研究となればアニメーションや三次元化などその歴史は長い。既存のネッ
トワーク情報視覚化研究はインターネットやWWW構造の大規模視覚化が主要であり、インターネット運用の観点からはパケットプローブを利用した大規模ネットワークトポロジ・接続性視覚化などの研究が主要である。もちろん、これらの研究やツールは、ネットワーク管理者や研究者用途である。

一方、ローカルネットワークや自ホストを対象として、通信トラフィック情報の視覚化を行うツールや研究も多く存在する。いくつか例を挙げれば、ネッ
トワークトラフィック表示ツールとして最も有名な tcpdump やそのGUI 操作解析ツールである Ethereal、tcpdump のリアルタイムグラフ表示ツールである ttt などが存在する。また、ネットワーク運用管理を目的としたトラフィック解析製品として Netasyst Sniffer など多くの解析ソフトウェア製品が存在する。しかし、これらのソフトウェアは全てネットワーク管理者と研究者向けのものである。

3D-tcpdump ソフトウェアが対象とするのは、tcpdump などと同じローカルネットワークや自ホストにおける通信トラフィックとネットワークトポロジ情報の視覚化である。既存のネットワーク情報視覚化研究やツールと3D-tcpdump ソフトウェアとの位
置関係を図1に示す。縦軸には、コンピュータネットワークに関する習熟度として上側がIT 管理者、下側に一般ユーザ層を位置づけ、3D-tcpdump を含めた関連ソフトウェア群の対象ユーザ層を示している。横軸には、ネットワーク情報として大きく通信トラフィック情報と通信トポロジ情報の二つに大別し、その二つを両端に位置づけた。3D-tcpdump ソフトウェアは、単一計算機、つまり自分が利用するコンピュータホストで行われているコンピュータ通信と、通信に関わる計算機ネットワーク・トポロジの三次元視覚化を行う。その対象ユーザ層は、ネットワーク管理者やコンピュータ科学研究者などのネットワークに関する知識が既に十分な人々ではなく、コンピュータを利用しているがネットワークというものはよく分からない、もしくは意識したことがないといった人々である。

図１：関連研究相関図

コンピュータネットワーク視覚化を行うソフトウェアは大きく分けて、通信トラフィック視覚化とネットワークトポロジ視覚化の二つに分類することができる。3D-tcpdump と同じ一般ユーザ層向けであるが、ウェブのHTTP トラフィック視覚化のみに特
化した VisitorVille や不正侵入検知に特化したネットワーク視覚化ソフトウェア研究などが 3D-tcpdump に特に関連するソフトウェアである。しかし、これらのツールは用途が特定化されているために、一般ユーザの日常的なコンピューティング環境での使用には適していない。また、三次元情報視覚化手法を用いたネットワークトポロジ視覚化ツールとして、3d Traceroute ツールが開発されているが、通信トラフィック解析には向いていない。

3D-tcpdump におけるネットワーク情報視覚化では、通信トラフィックフローの視覚化に特に重点を置いている。一般ユーザにとっては、実際に自分が使用しているホストが関わっているトラフィックがどこから来ている、もしくはどこに向かっているのか、ということが最も重要だからである。ネットワークトポロジにおける途中経路ルータを把握する必要性があるのは、ネットワーク管理者や研究者であり、一般ユーザにとっては自分のホストが存在するLANやホームネットワークにおけるデフォルトルータを把握できれば十分だと考えられる。もちろん、より詳しくTraceroute 機能などの結果を知りたい一般ユーザも存在すると思われるので、ユーザの操作や要望に応じてネットワーク情報を開示していける視覚化ポリシのもとで3D-tcpdump を構築する。つまり、最初の初期設定におけるネットワーク情報視覚化は自ホストと通信相手ホスト、デフォルトルータのシンプルなトポロジ上での、全ての通信トラフィック視覚化であるが、マウス操作や表示切り替えを行うことでネットワーク管理者の要望まで耐えられるように要求指向で視覚化表示フィルタの粒度を変更していく。

図2に3D-tcpdump ソフトウェアのモジュール構成を示す。「Pcap ライブラリ」から全パケット情報を取得し、そのパケット情報を「パケット解析モジュール」がプロトコルごとのヘッダ解析を行う。ヘッダ解析されたパケット情報は、「トラフィック推論モジュール」と「トポロジ推論モジュール」に渡され、通信トラフィックのプロトコル情報把握や通信レート計算、通信相手情報をもとにしたTraceroute 機能と Ping 機能実行による途中経路、デフォルトルータ把握、相手先ホストへの遅延情報把握が行われる。次いで、「GUI 表示フィルタモジュール」を通して、これらのネットワーク情報結果が「GUI 表示モジュール」において三次元グラフィカル表示される。フィルタモジュールの命令インプットは、3D-tcpdump の初期設定やXML 設定ファイル、マウスやキーボード操作による「インタフェース操作モジュール」から行われる。

図２：ソフトウェアモジュール構成

3D-tcpdump ソフトウェアのプロトタイプ実装には、通信トラフィック取得に libpcap 標準ライブラリを利用し、三次元表示系には Java3D を使用している。libpcap 標準ライブラリに関しては、Windows やLinux、FreeBSD などの現在使われている汎用OS のほとんどにおいて使用可能であるために採用を決定した。三次元表示系で選択したJava3D は、実行プラットフォームOS に依存しないというJava の利点を享受できるのにくわえ、3D 表示機能が実行マシン上のグラフィックデバイス性能に大きく依存することを避けるためである。個々のOS やグラフィックデバイスへの依存部分を可能な限り、Java3D ライブラリに吸収してもらうという方針である。Java3Dの採用はまた、現在の二次元的なコンピュータデスクトップ環境が完全三次元される近未来を想定してのことでもある。既に、UNIX のX ウィンドウ環境で動作する完全三次元デスクトップシステムである、Project Looking Glass が開発されオープンソース化されようとしている。

libpcap によってネットワークインタフェースに到着する全てのパケット情報が取得可能であるが、現在のプロトタイプ実装ではNetBIOS や DHCP などのブロードキャスト通信とマルチキャスト通信を非表示にしている。これはマルチキャスト通信の最も適切な表示方法が考案できていないことにくわえ、主要なソフトウェアターゲットが一般ユーザであるということを考慮すると、マルチキャスト通信のフロー情報はエンドホストにとってそれほど重要ではないと判断したからである。また、現在の実装では OS で提供される/etc/services 情報を利用して1通信フローのトランスポートプロトコル区別を行っているが、これだけの情報では例外フローとして判断されてしまう通信が多くなってしまう。そのため、トランスポートポート番号情報からマッピング可能なアプリケーションをプログラム的に判断し、それをユーザに情報提供してフローが例外であるかの最終判断をユーザに委ねている。アプリケーション情報の取得は、netstat やps プログラムなどOS 依存になってしまう面があるために、現在はWindows プラットフォームに依存した実装となっている。OS に依存しない形での汎用的なアプリケーション情報取得機構の試案は今後の課題である。

libpcap はC 言語実装のOS 標準ライブラリであるために、Java からJava Native Interface (JNI) を利用して三次元表示Java3D モジュールに統合させている。図2における、「パケット解析モジュール」がJNI 部である。図3に3D-tcpdump のスク
リーンショット群を示す。


　　　　　　　　　　　　　図３：ソフトウェアスクリーンショット

今後の課題には、libpcap から取得したネットワーク通信情報を常時保存して、時間軸を変化可能にすることでの四次元ネットワーク情報表示や、ソフトウェア全体の処理性能を軽くすることによる壁紙プログラムやスクリーンセーバソフトウェアとしての
常駐化、通信セッションのフィルタリングやパーソナルファイアオール機能への操作インタフェースとしての連携機能強化などが挙げられる。三次元グラフィックスの表示系デザインに関しては、XML 設定ファイルによる表示スキンセットの変更が可能であるために、通信端末やパケット、背景などを海に存在する貝や魚によって抽象化した「海スキンモデル」 の開発が進行中である。また、ネットワーク管理者やネットワークプロトコル教育用途においては、マルチキャスト通信とブロードキャスト通信も適切に表示するべきであるが、単独のユニキャスト通信に干渉しない形での表示方法の工夫を考える必要がある。

通信フィルタリングの3D GUI インタフェースに関しては、現在、新しいネットワーク制御機構である netnice との連携プロジェクトが進行中である。 netnice はエンドホストにおけるネットワークインタフェースを階層的に仮想化することで、通信トラフィック制御とシステム資源保護を実現するネットワーク制御機構である。netnice と3D-tcpdump の具体的な連携例としては、3D-tcpdump 上で表示される通信フローをクリックしてフィルター設定を選択することによって、netnice へとコマンド命令が発行されて、該当する通信フローがオペレーティングシステムにおいてフィルタリングされる。ADSL や FTTH 経由のインタネットサービスを提供するプロバイダなどが、こういったGUI フィルタリングソフトウェアを顧客に配布し使用してもらうことでより円滑なネットワーク管理、顧客対応が可能になると考えられる。

3D-tcpdump ソフトウェアは http://www.3d-tcpdump. org で近日公開配布予定である。