【技術コラム】データ分析の重要性が注目される今、その「データ」はどこから来るのか

2026/07/23

データ分析を適切に活用することで、ネットワーク運用・監視や情報セキュリティ対策の強化において、さまざまな効果が得られることは広く知られています。しかし、それらの効果を左右する極めて重要な要素があります。それが、分析の基盤となる「元データの取得」です。
収集されるデータが不完全であったり、さらに分析に用いるデータそのものに誤りがあった場合、最終的に得られる分析結果の信頼性は大きく損なわれてしまいます。現在、市場で提供されている多くの SIEM（Security Information and Event Management）製品は、依然として受動的な方法によるデータ取得に依存しており、データを能動的に生成・取得する仕組みが十分とは言えないのが実情です。

ランサムウェアによる被害が企業全体へ拡大する現在、内部ネットワーク上のすべての端末が行う通信を継続的に監視・分析することは、もはや欠かせない運用業務となっています。しかし、トラフィック分析を行うためには、ルーターやスイッチから出力される NetFlow または sFlow データが必要です。ここで大きな課題となるのが、すべてのネットワークスイッチが NetFlow／sFlow の出力に対応しているわけではないという点です。
さらに、Flow データの生成はルーターやスイッチの CPU リソースを消費するため、NetFlow／sFlow 機能の有効化に慎重な姿勢を取るネットワーク管理者も少なくありません。sFlow はパケットサンプリング方式を採用しているため CPU 負荷を軽減できる一方、多くの通信が記録されないという構造的な課題があり、分析結果に大きな偏りが生じる可能性があります。この点は、情報セキュリティ対策の観点からも十分とは言えません。

N-Probeが解決する「データ取得」の課題

N-Partner が開発・提供する N-Probe は、こうしたデータ取得に関する課題を解決するために設計された製品です。N-Probe は導入が容易であり、ネットワークスイッチの性能にほとんど影響を与えないという特長を備えています。その理由は、多くのネットワークスイッチが標準的にサポートしているミラーポート（Mirror Port）機能を活用する点にあります。
ユーザーは、ミラーリングされたトラフィックをそのまま N-Probe に接続するだけで、すべての通信を 1:1 で取得・処理することが可能です。N-Probe は、すべてのネットワーク通信を漏れなく記録し、NetFlow v5/v9 の標準フォーマットへ変換して出力します。

ネットワーク管理者にとって、トラフィック分析（Flow Analysis）は日常の運用業務における重要な要素です。適切なフロー解析ツール（例：N-Partnerの N-Reporter／N-Cloud）を用いることで、環境内のネットワーク利用状況（ユーザーの通信挙動）、パケットの流れ、使用量の統計などの重要な情報を明確に把握できます。また、ネットワークに異常が発生した際には、原因箇所を迅速に特定し、ネットワーク管理者の切り分け（トラブルシューティング）を支援します。
N-Probeは、こうしたフロー分析を運用現場で無理なく継続するための仕組みを提供します。

N-Probeは、ソフトウェア版およびハードウェア版を提供しており、お客様の利用環境に応じた柔軟な導入が可能です。
ソフトウェア版：VMware などの仮想化基盤に対応
ハードウェア版：ネットワーク環境に応じて、1G／10G／40G インターフェースを備えたミラートラフィック入力ポートを提供
性能面においても、最大40Gbpsのミラートラフィックを、1:1のNetFlowデータとして出力する処理能力を実現しています。

N-Probeで重要ネットワーク拠点の通信を収集し、NetFlowデータへ変換してトラフィック監視とユーザー行動分析を行う流れ

全体的なトラフィック監視やユーザー行動分析を実現するためには、ネットワーク上の重要なポイントでトラフィックを収集することが不可欠です。例えば、インターネット接続ゲートウェイ、データセンターのコアスイッチ、VPN を介して拠点と本社を接続するアクセスポイント、無線 LAN と有線ネットワークの境界ポイントなどが挙げられます。これらのポイントでトラフィックをミラーリングし、N-Probe へ入力した後、1:1 の NetFlow データとして分析基盤へ送信することで、ネットワーク通信の実態を正確に把握できます。

N-Probeが重要ネットワークノードのMirror Trafficを収集し、1:1のNetFlow/sFlowへ変換して通信行動を可視化する構成図

NetFlow データの生成に加え、N-Probe はアプリケーションレイヤーにおけるデータ取得にも対応しています。その中でも重要なデータの一つが DNS ログです。
DNS ログの収集・分析は近年、ユーザーの通信傾向の把握や情報セキュリティ対策の強化を目的として、その重要性が高まっています。特にネットワーク防御の分野では、DDoS 攻撃の発生を事前に予測するための有効な兆候を見つけることが長年の課題となっており、その手法の一つとして DNS アクセスログの分析 が注目されています。
これまでの調査・研究により、攻撃者がボットネットを用いて DDoS 攻撃を開始する直前には、攻撃対象となるドメインに対して通常時よりも多くの DNS クエリが発生する傾向が確認されています。これらのクエリは、多数かつ未知の送信元（初めて観測された、または過去にほとんどアクセス履歴のない端末）から発生する点が特徴です。DNS ログを網羅的に収集・分析することは、将来的に発生し得る DDoS によるサービス停止リスクを早期に察知するための有効な手段となります。

N-ProbeによるDNSログ分析でDNSアクセス数の異常増加を検知し、DDoS攻撃の予兆を把握するイメージ図

ネットワーク管理者は、DNS サーバー群の上流回線をミラーリングし、そのトラフィックを N-Probe へ入力することで、通信中のすべての DNS クエリおよびレスポンスを取得できます。N-Probe は、これらの通信を DNS ログ形式へ変換し、Syslog として N-Cloud／N-Reporter、またはサードパーティ製のログ管理システムへ送信することで、保存・分析を可能にします。本稿では、N-Probe におけるデータ取得の活用例として、DNS ログの生成および収集について紹介しました。

次回は、ネットワーク性能監視（Performance Monitoring）をテーマに、異なる測定ポイントからネットワーク遅延や Web ページ表示遅延などのデータを取得し、分析基盤である N-Cloud／N-Reporter を用いて解析することで、ネットワーク管理者がネットワーク品質の状態や変化を継続的に把握できる仕組みについて紹介します。