監視装置、監視方法、解析装置、解析方法及びコンピュータプログラム
【課題】通信データの解析をより容易にすること。
【解決手段】監視装置であって、通信データの情報を記憶するログ記憶部と、通信路を流れる通信データを受信する通信部と、各通信データについて、予め設定された監視対象のプロトコルの通信データであるか否か判定するプロトコル判定部と、前記監視対象のプロトコルの通信データの情報を前記ログ記憶部に書き込むログ制御部と、を備える。さらに、監視対象のプロトコルにおいて定められている通信の手続きを予め記憶する通信手続記憶部と、前記監視対象のプロトコルの通信データの時系列の情報が、前記通信手続記憶部に記憶されている前記通信の手続きに沿っているか否か判定する手続判定部と、をさらに備えるように構成されても良い。
【解決手段】監視装置であって、通信データの情報を記憶するログ記憶部と、通信路を流れる通信データを受信する通信部と、各通信データについて、予め設定された監視対象のプロトコルの通信データであるか否か判定するプロトコル判定部と、前記監視対象のプロトコルの通信データの情報を前記ログ記憶部に書き込むログ制御部と、を備える。さらに、監視対象のプロトコルにおいて定められている通信の手続きを予め記憶する通信手続記憶部と、前記監視対象のプロトコルの通信データの時系列の情報が、前記通信手続記憶部に記憶されている前記通信の手続きに沿っているか否か判定する手続判定部と、をさらに備えるように構成されても良い。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークを流れる通信データを監視するための技術に関する。
【背景技術】
【０００２】
ＬＡＮ（Local Area Network）がインターネットに接続できないという障害が生じた場合、専門的知識を有した者（以下、「専門家」という。）がＬＡＮアナライザ等の解析ツールを用いて原因を調べることが一般的である（例えば特許文献１参照）。この処理の具体的な流れは以下のとおりである。ＬＡＮアナライザは、監視対象となるネットワークのある地点（以下、「キャプチャポイント」という。）に設置される。ＬＡＮアナライザは、汎用的な装置であり、キャプチャポイントを通った全ての通信データをログとして記録する。専門家は、ＬＡＮアナライザを操作することによって、記録されたログの解析を行い、障害の原因を判断する。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１０−２８８１６４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、キャプチャポイントにおいて記録されたログには、様々な通信に起因した通信データが含まれている。そのため、インターネットに接続できないという障害に関連する通信データをログの中から抽出するためには専門的な知識を要する。また、ＬＡＮアナライザの操作にも専門的な知識が必要であった。そのため、インターネットに接続できないという障害に関して、専門的な知識を有していない使用者がその原因を判断することは困難であった。また、このような問題は、インターネットに接続できないという障害に関わらず、様々な種類の障害に共通する問題であった。また、このような問題は、ＬＡＮ以外のネットワークにおいても共通して生じる問題であった。
【０００５】
上記事情に鑑み、本発明は、通信データの解析をより容易にする技術を提供することを目的としている。
【課題を解決するための手段】
【０００６】
本発明の一態様は、監視装置であって、通信データの情報を記憶するログ記憶部と、通信路を流れる通信データを受信する通信部と、各通信データについて、予め設定された監視対象のプロトコルの通信データであるか否か判定するプロトコル判定部と、前記監視対象のプロトコルの通信データの情報を前記ログ記憶部に書き込むログ制御部と、を備える。
【０００７】
本発明の一態様は、上記の監視装置であって、前記監視対象のプロトコルにおいて定められている通信の手続きの情報を予め記憶する通信手続記憶部と、前記通信手順記憶部に記憶されている前記手続きの情報に基づいて、前記監視対象のプロトコルの通信データが正当な手続きに沿って送受信されているか否か判定する手続判定部と、をさらに備える。
【０００８】
本発明の一態様は、上記の監視装置であって、前記通信データが、一の方向に流れる通信データによって始まった通信手続に関する通信データであるか、他の方向に流れる通信データによって始まった通信手続に関する通信データであるかを判定する方向判定部をさらに備え、前記手続判定部は、前記方向判定部によって前記一の方向に流れる通信データによって始まった通信手続に関する通信データであると判定された通信データのみについて前記判定を行う。
【０００９】
本発明の一態様は、監視方法であって、通信データの情報を記憶するログ記憶部を備える監視装置が、通信路を流れる通信データを受信する通信ステップと、前記監視装置が、各通信データについて、予め設定された監視対象のプロトコルの通信データであるか否か判定するプロトコル判定ステップと、前記監視装置が、前記監視対象のプロトコルの通信データの情報を前記ログ記憶部に書き込むログ制御ステップと、を有する。
【００１０】
本発明の一態様は、通信データの情報を記憶するログ記憶部を備えるコンピュータに対し、通信路を流れる通信データを受信する通信ステップと、各通信データについて、予め設定された監視対象のプロトコルの通信データであるか否か判定するプロトコル判定ステップと、前記監視対象のプロトコルの通信データの情報を前記ログ記憶部に書き込むログ制御ステップと、を実行させるためのコンピュータプログラムである。
【００１１】
本発明の一態様は、解析装置であって、監視対象のプロトコルにおいて定められている通信の手続きの情報を予め記憶する通信手続記憶部と、通信データの情報が記録されたログ記憶部から前記通信データの時系列の情報を読み出し、前記通信手順記憶部に記憶されている前記手続きの情報に基づいて、前記監視対象のプロトコルの通信データが正当な手続に沿って送受信されているか否か判定する手続判定部と、前記手続判定部の判定結果を出力する出力部と、を備える。
【００１２】
本発明の一態様は、上記の解析装置であって、前記通信データが、一の方向に流れる通信データによって始まった通信手続に関する通信データであるか、他の方向に流れる通信データによって始まった通信手続に関する通信データであるかを判定する方向判定部をさらに備え、前記手続判定部は、前記方向判定部によって前記一の方向に流れる通信データによって始まった通信手続に関する通信データであると判定された通信データのみについて前記判定を行う。
【００１３】
本発明の一態様は、解析方法であって、監視対象のプロトコルにおいて定められている通信の手続きの情報を予め記憶する通信手続記憶部を備える解析装置が、通信データの情報が記録されたログ記憶部から前記通信データの時系列の情報を読み出すステップと、前記解析装置が、前記通信手順記憶部に記憶されている前記手続きの情報に基づいて、前記監視対象のプロトコルの通信データが正当な手続に沿って送受信されているか否か判定する手続判定ステップと、前記解析装置が、前記手続判定ステップにおける判定結果を出力する出力ステップと、を有する。
【００１４】
本発明の一態様は、監視対象のプロトコルにおいて定められている通信の手続きの情報を予め記憶する通信手続記憶部を備えるコンピュータに対し、通信データの情報が記録されたログ記憶部から前記通信データの時系列の情報を読み出すステップと、前記通信手順記憶部に記憶されている前記手続きの情報に基づいて、前記監視対象のプロトコルの通信データが正当な手続に沿って送受信されているか否か判定する手続判定ステップと、前記手続判定ステップにおける判定結果を出力する出力ステップと、を実行させるためのコンピュータプログラムである。
【発明の効果】
【００１５】
本発明により、通信データの解析をより容易にすることが可能となる。
【図面の簡単な説明】
【００１６】
【図１】監視システムのシステム構成を表すシステム構成図である。
【図２】監視装置の機能構成を表す概略ブロック図である。
【図３】方向判定部が特定アドレス情報を取得する際の処理の流れを表すフローチャートである。
【図４】特定アドレス情報が登録された後の監視装置の処理の流れを表すフローチャートである。
【図５】監視システムの変形例を表す図である。
【図６】解析装置の機能構成を表す概略ブロック図である。
【発明を実施するための形態】
【００１７】
［監視システム］
図１は、監視システム１のシステム構成を表すシステム構成図である。監視システム１は、通信端末１０、ルータ２０、ミラーリング装置３０、監視装置４０、ＯＮＵ（Optical Network Unit：光回線終端装置）５０を備える。監視システム１のネットワークは、ＬＡＮ（Local Area Network）で構成され、ＯＮＵ５０を介して通信網６０に接続される。通信端末１０は、通信可能な情報処理装置である。通信端末１０は、ルータ２０、ミラーリング装置３０、ＯＮＵ５０を介して通信網６０に接続された他の通信装置とパケット通信する。通信端末１０が行う通信には様々な種類のプロトコルの通信がある。ルータ２０は、監視システム１のネットワークにおいてルーティングを行う。ミラーリング装置３０は、ルータ２０とＯＮＵ５０との間に設置される。ミラーリング装置３０は、ルータ２０及びＯＮＵ５０の間を流れる通信データ（パケット）を監視装置４０へミラーリングする。すなわち、ミラーリング装置３０は、ルータ２０及びＯＮＵ５０の間を流れる通信データを複製して監視装置４０へ送信する。
【００１８】
図２は、監視装置４０の機能構成を表す概略ブロック図である。監視装置４０は、バスで接続されたＣＰＵ（Central Processing Unit）やメモリや補助記憶装置などを備え、監視プログラムを実行する。監視プログラムの実行によって、監視装置４０は、通信部４０１、プロトコル判定部４０２、方向判定部４０３、特定アドレス情報記憶部４０４、通信手続記憶部４０５、手続判定部４０６、出力部４０７、ログ制御部４０８、ログ記憶部４０９を備える装置として機能する。なお、監視装置４０の各機能の全て又は一部は、ＡＳＩＣ（Application Specific Integrated Circuit）やＰＬＤ（Programmable Logic Device）やＦＰＧＡ（Field Programmable Gate Array）等のハードウェアを用いて実現されても良い。監視プログラムは、コンピュータ読み取り可能な記録媒体に記録されても良い。コンピュータ読み取り可能な記録媒体とは、例えばフレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置である。
【００１９】
通信部４０１は、ミラーリング装置３０からミラーリングされる通信データを受信する。
プロトコル判定部４０２は、通信部４０１によって受信された通信データのプロトコルを判定する。具体的には、プロトコル判定部４０２は、通信データのヘッダ情報に基づいて、通信データのプロトコルを判定する。そして、プロトコル判定部４０２は、受信された通信データのプロトコルが、予め定められた監視対象のプロトコル（以下、「監視対象プロトコル」という。）であるか否か判定する。どのようなプロトコルが監視対象プロトコルとして定められるかは、監視システム１のネットワークの性質や監視目的などに応じて設定される。例えば、監視システム１のネットワークがインターネット（通信網６０）への接続を目的としたネットワークである場合、インターネットへの接続に関連するプロトコルが監視対象プロトコルとして設定されても良い。例えば、ＤＮＳ（Domain Name System）、ＴＣＰ（Transmission Control Protocol）、ＰＰＰｏＥ（Point-to-Point Protocol over Ethernet（登録商標））が監視対象プロトコルとして設定されても良い。
【００２０】
プロトコル判定部４０２は、受信された通信データのプロトコルが監視対象プロトコルである場合には、さらにこのプロトコルが方向判定対象のプロトコル（以下、「方向判定対象プロトコル」という。）であるか否か判定する。どのようなプロトコルが方向判定対象プロトコルとして定められるかは、監視システム１のネットワークの性質や監視目的などに応じて設定される。例えば、監視システム１のネットワークがインターネット（通信網６０）への接続を目的としたネットワークである場合、インターネットから不正なパケットが送信されてくる可能性のあるプロトコルが方向判定対象プロトコルとして設定されても良い。例えば、ＤＮＳ及びＴＣＰが方向判定対象プロトコルとして設定されても良い。
【００２１】
方向判定部４０３は、方向判定対象プロトコルの通信データに関し、一の方向（通信端末１０から通信網６０に向けた方向）に流れる通信データによって始まった通信手続（以下、「監視対象手続」という。）に関する通信データであるか、他の方向（通信網６０から通信端末１０に向けた方向）に流れる通信データによって始まった通信手続に関する通信データであるかを判定する。以下、この処理を方向判定処理という。
【００２２】
具体的には、方向判定部４０３は、通信端末１０によって行われる所定の通信に基づいて、通信端末１０のアドレス情報を取得する。アドレス情報とは、例えばＩＰ（Internet Protocol）アドレスや、ＭＡＣ（Media Access Control）アドレスなど、通信データに含まれる情報のうち通信端末１０を表す情報である。方向判定部４０３は、通信端末１０のアドレス情報を特定アドレス情報として特定アドレス情報記憶部４０４に書き込む。その後、方向判定部４０３は、特定アドレス情報記憶部４０４に記憶されている特定アドレス情報と、受信された通信データのヘッダ情報とに基づいて、方向判定処理を行う。
【００２３】
特定アドレス情報記憶部４０４は、磁気ハードディスク装置や半導体記憶装置などの記憶装置を用いて構成される。特定アドレス情報記憶部４０４は、方向判定部４０３によって判定された通信端末１０のアドレス情報を特定アドレス情報として記憶する。
【００２４】
通信手続記憶部４０５は、磁気ハードディスク装置や半導体記憶装置などの記憶装置を用いて構成される。通信手続記憶部４０５は、監視対象プロトコルそれぞれについて正しい通信手続の流れを表す情報（以下、「通信手続情報」という。）を記憶する。例えば、プロトコルがＤＮＳである場合には、まず所定のフォーマットで作成されたＤＮＳクエリが送信され、これに応じてＤＮＳクエリの送信元に対してＤＮＳ応答が送信される。これが、ＤＮＳの通信手続の流れである。したがって、上記順番で各メッセージの通信データが送受信されることを表す情報が、ＤＮＳの通信手続情報として通信手続記憶部４０５に記憶される。
【００２５】
手続判定部４０６は、手続記憶部４０５に記憶されている通信手続情報に基づいて、監視対象プロトコルの通信データが正当な手続にそって送受信されているか判定する。
出力部４０７は、ＬＥＤ（Light Emitting Diode）等のランプや、スピーカー等の音声出力装置や、液晶ディスプレイ装置などの画像表示装置を用いて構成される。出力部４０７は、手続判定４０６による判定結果を出力する。例えば出力部４０７がランプを用いて構成される場合、出力部４０７は判定結果に応じた態様でランプを点灯させる。例えば出力部４０７がスピーカーを用いて構成される場合、出力部４０７は判定結果に応じた態様で音声を出力させる。例えば出力部４０７が画像表示装置を用いて構成される場合、出力部４０７は判定結果に応じた文字や画像などを画像表示装置に表示させる。
【００２６】
ログ制御部４０８は、監視対象のプロトコルの通信データの情報をログとしてログ記憶部４０９に書き込む。また、ログ制御部４０８は、手続判定部４０６による判定結果を、通信データの情報に対応付けてログとして書き込む。
ログ記憶部４０９は、磁気ハードディスク装置や半導体記憶装置などの記憶装置を用いて構成される。ログ記憶部４０９は、ログ制御部４０８によって書き込まれるログを記憶する。
【００２７】
図３は、方向判定部４０３が特定アドレス情報を取得する際の処理の流れを表すフローチャートである。まず、方向判定部４０３は、特定のメッセージの通信データが受信されるまで待機する。図３の例では、特定のメッセージはＤＮＳクエリのメッセージである。方向判定部４０３は、トランザクションＩＤが登録される前は、ＤＮＳクエリが受信されるまで待機する（ステップＳ１０１−ＮＯ、ステップＳ１０４−ＮＯ、ステップＳ１０５−ＮＯ）。ＤＮＳクエリが受信されると（ステップＳ１０１−ＹＥＳ）、方向判定部４０３は、受信されたＤＮＳクエリのヘッダ情報から送信元アドレスの情報を取得し、仮特定アドレス情報として登録する（ステップＳ１０２）。また、方向判定部４０３は、受信されたＤＮＳクエリのヘッダ情報からトランザクションＩＤを取得し登録する（ステップＳ１０３）。トランザクションＩＤとは、ＤＮＳの通信手続き毎に割り当てられる識別情報である。同じトランザクションＩＤのメッセージは同じ通信手続きにおけるメッセージである。そして、ステップＳ１０１の処理に戻る。
【００２８】
ＤＮＳ応答が受信されると（ステップＳ１０１−ＮＯ、ステップＳ１０４−ＹＥＳ）、方向判定部４０３は、ＤＮＳ応答のヘッダ情報からトランザクションＩＤを取得し、既に登録されているトランザクションＩＤと一致するか否か判定する（ステップＳ１０５）。ＤＮＳ応答とは、ＤＮＳクエリにおいて要求された情報をＤＮＳクエリの送信元に対して通知するためのメッセージである。そのため、あるＤＮＳクエリと、これに対応するＤＮＳ応答とは、そのトランザクションＩＤが一致する。また、あるＤＮＳクエリの送信元と、これに対応するＤＮＳ応答の送信先とは一致する。また、あるＤＮＳクエリの送信先と、これに対応するＤＮＳ応答の送信元とは一致する。
【００２９】
ステップＳ１０５の処理においてトランザクションＩＤが一致していない場合は（ステップＳ１０５−ＮＯ）、先の説明のとおりステップＳ１０１の処理に戻る。一方、トランザクションＩＤが一致する場合（ステップＳ１０５−ＹＥＳ）、方向判定部４０３は、ＤＮＳ応答のヘッダ情報から送信先アドレスの情報を取得し、仮特定アドレス情報と一致するか否か判定する（ステップＳ１０６）。一致しない場合（ステップＳ１０６−ＮＯ）、方向判定部４０３は、仮特定アドレス情報を破棄し（ステップＳ１０７）、ステップＳ１０１の処理に戻る。一方、一致する場合（ステップＳ１０６−ＹＥＳ）、方向判定部４０３は、仮特定アドレス情報を特定アドレス情報として特定アドレス情報記憶部４０４に登録する（ステップＳ１０８）。すなわち、この場合方向判定部４０３は、仮特定アドレス情報を通信端末１０のアドレス情報として登録する。
【００３０】
図４は、特定アドレス情報が登録された後の監視装置４０の処理の流れを表すフローチャートである。まず、通信部４０１が通信データを受信すると、プロトコル判定部４０２が受信された通信データのプロトコルを判定する（ステップＳ２０１）。プロトコルが監視対象プロトコルでない場合（ステップＳ２０２−ＮＯ）、手続判定部４０６は通信手続の正当性を判定せず、ログ制御部４０８は受信された通信データについてログを記録せず（ステップＳ２０３）、この通信データに対する処理は終了する。
【００３１】
一方、プロトコルが監視対象プロトコルであり且つ方向判定対象プロトコルでもある場合（ステップＳ２０２−ＹＥＳ、ステップＳ２０４−ＹＥＳ）、方向判定部４０３は、受信された通信データが手続開始メッセージであるか否か判定する（ステップＳ２０５）。手続開始メッセージとは、そのプロトコルにおける通信手続の契機となるメッセージであり、通信手続の最初に送受信されるメッセージである。方向判定部４０３は、例えば通信手続き毎に割り当てられる識別情報（以下、「通信手続識別情報」という。）に基づいて手続開始メッセージを判定する。より具体的には、方向判定部４０３は、受信したメッセージに含まれる通信手続識別情報を記憶しておき、これまでに記憶されていない通信手続識別情報を有するメッセージが受信された場合に、このメッセージが手続開始メッセージであると判定する。通信手続識別情報は、例えばＤＮＳのメッセージであれば、ヘッダ情報のトランザクションＩＤが相当する。また、ＴＣＰのメッセージであれば、ＩＰアドレス及びポート番号の組み合わせが通信手続識別情報に相当する。また、ＰＰＰｏＥのメッセージであれば、セッションＩＤが通信手続識別情報に相当する。
【００３２】
受信された通信データが手続開始メッセージである場合（ステップＳ２０５−ＹＥＳ）、方向判定部４０３は、手続開始メッセージのヘッダから送信元アドレスの情報を取得する（ステップＳ２０６）。方向判定部４０３は、特定アドレス情報記憶部４０４から特定アドレス情報を読み出し、取得した送信元アドレスの情報と特定アドレス情報とが一致するか否か判定する（ステップＳ２０７）。一致しない場合（ステップＳ２０７−ＮＯ）、方向判定部４０３は、この手続開始メッセージによって始まる通信手続は監視対象手続ではないと判定する。この場合、手続判定部４０６は通信手続の正当性を判定せず、ログ制御部４０８は受信された通信データについてログを記録せず（ステップＳ２０８）、この通信データに対する処理は終了する。
【００３３】
一方、送信元アドレスの情報と特定アドレス情報とが一致する場合（ステップＳ２０７−ＹＥＳ）、方向判定部４０３は、この手続開始メッセージによって始まる通信手続を監視対象手続であると判定し、この手続開始メッセージの通信手続識別情報を登録する（ステップＳ２０９）。そして、ログ制御部４０８が通信データについてログを記録し（ステップＳ２１０）、この通信データに対する処理は終了する。
【００３４】
ステップＳ２０５の処理において、受信された通信データが手続開始メッセージでない場合（ステップＳ２０５−ＮＯ）、方向判定部４０３は方向判定処理を行う。すなわち、方向判定部４０３は、受信された通信データが、監視対象手続であるか否か判定する（ステップＳ２１１）。より具体的には、方向判定部４０３は、受信された通信データの通信手続識別情報が、監視対象手続の通信手続識別情報として登録されている情報であるか否か判定する。方向判定部４０３は、登録されている場合は監視対象手続であると判定し、登録されていない場合は監視対象手続ではないと判定する。監視対象手続ではないと判定された場合（ステップＳ２１２−ＮＯ）、手続判定部４０６は通信手続の正当性を判定せず、ログ制御部４０８は受信された通信データについてログを記録せず（ステップＳ２１３）、この通信データに対する処理は終了する。
【００３５】
一方、監視対象手続であると判定された場合（ステップＳ２１２−ＹＥＳ）、手続判定部４０６が通信手続の正当性を判定する（ステップＳ２１４）。例えば、手続判定部４０６は以下のように通信手続の正当性を判定する。手続判定部４０６は、通信手続識別情報毎に受信された通信データにおけるメッセージの内容を順に記録しておく。手続判定部４０６は、新たに受信された通信データにおけるメッセージと通信手続識別情報が同じ過去のメッセージを読み出す。手続判定部４０６は、通信手続記憶部４０５から、新たに受信された通信データのプロトコルに対応した通信手続を読み出し、正当な手続きであれば次のどのようなメッセージが受信されるべきか判定する。そして、手続判定部４０６は、新たに受信された通信データにおけるメッセージが、正当な手続きにおいて次に受信されるべきメッセージと一致するか否か判定する。一致している場合には、手続判定部４０６は、通信手続が正当であると判定する。一方、一致していない場合には、通信手続が正当でなく、エラーが生じていると判定する。ステップＳ２０４において、方向判定対象プロトコルではないと判定された場合（ステップＳ２０４−ＮＯ）も、手続判定部４０６は同様に手続の正当性の判定を行う（ステップＳ２１４）。
【００３６】
次に、出力部４０７が、手続判定部４０６による判定結果を出力する（ステップＳ２１５）。また、ログ制御部４０８が通信データについてログを記録し（ステップＳ２１６）、この通信データに対する処理は終了する。
【００３７】
このように構成された監視システム１では、通信データの解析が容易になる。以下、この効果について説明する。従来の監視装置では、キャプチャポイントを通った全ての通信データがログとして記録されていた。そのため、通信データの中から必要な通信データ抽出する必要があり、解析が大変だった。それに対し、監視システム１では、予め定められた監視対象のプロトコルの通信データのみがログ記憶部４０９に記録される。そのため、通信データの解析が容易となる。
【００３８】
特に、上記説明の具体例では、インターネット接続に必要となるプロトコル（ＤＮＳ、ＴＣＰ、ＰＰＰｏＥ）の通信データのみが記録される。そのため、通信端末１０がインターネット（通信網６０）に接続できない場合に、その障害を容易に解析することが可能となる。
【００３９】
従来の監視装置は、特定の一つのレイヤに関するログしか記録することができなかった。そのため、ログを解析して障害を特定することなどが困難であった。これに対し、監視システム１では、ＤＮＳ等の上位プロトコルのログを含めた複数のレイヤのログが記録される。したがって、ログを解析して障害を特定することがより容易になった。
【００４０】
従来の監視装置では、各プロトコルの通信手続のどこで問題が生じたか解析するためには専門の知識が必要であった。これに対し、監視システム１では、手続判定部４０６が各通信データに関して通信手続の正当性を判定し、その結果が出力部４０７によって出力される。そのため、専門の知識が無くとも、どのプロトコルのどの通信手続段階において障害が生じているのか判断することが可能となる。
【００４１】
ＴＣＰのポートが開いているか否かを調べるために、不正な通信データが通信網６０から送信されてくる場合がある。そのような不正な通信データによる悪影響を抑えるため、ルータ２０や通信端末１０は、このような不正な通信データに対して応答しないように設計されることが多い。しかし、このように設計されたルータ２０や通信端末１０が接続された監視システム１では、不正な通信データに関する通信手続が完了せず、形式的にはエラーが生じているような形となる。そのため、単純に通信手続の正当性を判定すると、このような形式的なエラーを出力してしまい、使用者に混乱を生じさせるおそれがある。このような問題に対し、監視システム１では、方向判定部４０３が方向判定処理を行うことによって、通信網６０から送信されてきた通信データによって始まった通信手続に関する通信データが判定される。そして、このような通信データについては、手続判定部４０６もログ制御部４０８も処理を行わない。そのため、上記のように使用者に混乱を生じさせることや不要なログを記録してしまうことを抑止できる。
【００４２】
図５は、監視システム１の変形例（監視システム１ａ）を表す図である。図５に示されるように、監視装置４０が接続されるミラーリング装置は、通信端末１０とルータ２０との間に設置されても良い。また、監視システム１がさらに複雑な構成をとる場合、ミラーリング装置３０は、通信端末１０とＯＮＵ５０との間であればどこに接続されても良い。
【００４３】
［解析装置］
図６は、解析装置７０の機能構成を表す概略ブロック図である。解析装置７０は、バスで接続されたＣＰＵやメモリや補助記憶装置などを備え、解析プログラムを実行する。解析プログラムの実行によって、解析装置７０は、プロトコル判定部７０２、方向判定部７０３、特定アドレス情報記憶部７０４、通信手続記憶部７０５、手続判定部７０６、出力部７０７、ログ記憶部７０９を備える装置として機能する。なお、解析装置７０の各機能の全て又は一部は、ＡＳＩＣやＰＬＤやＦＰＧＡ等のハードウェアを用いて実現されても良い。解析プログラムは、コンピュータ読み取り可能な記録媒体に記録されても良い。
【００４４】
ログ記憶部７０９は、磁気ハードディスク装置や半導体記憶装置などの記憶装置を用いて構成される。ログ記憶部７０９は、監視対象となるネットワークのキャプチャポイントにおいて記録された通信データのログを記憶する。ログ記憶部７０９が記憶するログは、従来のパケットキャプチャ等の技術によって記録されたログであっても良いし、上述した監視装置４０によって記録されたログであっても良い。
【００４５】
プロトコル判定部７０２、方向判定部７０３、特定アドレス情報記憶部７０４、通信手続記憶部７０５、手続判定部７０６、出力部７０７は、ログ記憶部７０９に記録されている各通信データについて処理を行う点でのみ、プロトコル判定部４０２、方向判定部４０３、特定アドレス情報記憶部４０４、通信手続記憶部４０５、手続判定部４０６、出力部４０７と異なり、処理の内容は同じである。
【００４６】
このように構成された解析装置７０では、監視対象のネットワークにおいて取得されたログに対して、監視システム１と同様の解析を行うことで、同様の効果を得ることが可能である。
以上、この発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。
【符号の説明】
【００４７】
１…監視システム， １０…通信端末， ２０…ルータ， ３０…ミラーリング装置， ４０…監視装置， ５０…ＯＮＵ， ６０…通信網， ４０１…通信部， ４０２，７０２…プロトコル判定部， ４０３，７０３…方向判定部， ４０４，７０４…特定アドレス情報記憶部， ４０５，７０５…通信手続記憶部， ４０６，７０６…手続判定部， ４０７，７０７…出力部， ４０８…ログ制御部， ４０９，７０９…ログ記憶部
【技術分野】
【０００１】
本発明は、ネットワークを流れる通信データを監視するための技術に関する。
【背景技術】
【０００２】
ＬＡＮ（Local Area Network）がインターネットに接続できないという障害が生じた場合、専門的知識を有した者（以下、「専門家」という。）がＬＡＮアナライザ等の解析ツールを用いて原因を調べることが一般的である（例えば特許文献１参照）。この処理の具体的な流れは以下のとおりである。ＬＡＮアナライザは、監視対象となるネットワークのある地点（以下、「キャプチャポイント」という。）に設置される。ＬＡＮアナライザは、汎用的な装置であり、キャプチャポイントを通った全ての通信データをログとして記録する。専門家は、ＬＡＮアナライザを操作することによって、記録されたログの解析を行い、障害の原因を判断する。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１０−２８８１６４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、キャプチャポイントにおいて記録されたログには、様々な通信に起因した通信データが含まれている。そのため、インターネットに接続できないという障害に関連する通信データをログの中から抽出するためには専門的な知識を要する。また、ＬＡＮアナライザの操作にも専門的な知識が必要であった。そのため、インターネットに接続できないという障害に関して、専門的な知識を有していない使用者がその原因を判断することは困難であった。また、このような問題は、インターネットに接続できないという障害に関わらず、様々な種類の障害に共通する問題であった。また、このような問題は、ＬＡＮ以外のネットワークにおいても共通して生じる問題であった。
【０００５】
上記事情に鑑み、本発明は、通信データの解析をより容易にする技術を提供することを目的としている。
【課題を解決するための手段】
【０００６】
本発明の一態様は、監視装置であって、通信データの情報を記憶するログ記憶部と、通信路を流れる通信データを受信する通信部と、各通信データについて、予め設定された監視対象のプロトコルの通信データであるか否か判定するプロトコル判定部と、前記監視対象のプロトコルの通信データの情報を前記ログ記憶部に書き込むログ制御部と、を備える。
【０００７】
本発明の一態様は、上記の監視装置であって、前記監視対象のプロトコルにおいて定められている通信の手続きの情報を予め記憶する通信手続記憶部と、前記通信手順記憶部に記憶されている前記手続きの情報に基づいて、前記監視対象のプロトコルの通信データが正当な手続きに沿って送受信されているか否か判定する手続判定部と、をさらに備える。
【０００８】
本発明の一態様は、上記の監視装置であって、前記通信データが、一の方向に流れる通信データによって始まった通信手続に関する通信データであるか、他の方向に流れる通信データによって始まった通信手続に関する通信データであるかを判定する方向判定部をさらに備え、前記手続判定部は、前記方向判定部によって前記一の方向に流れる通信データによって始まった通信手続に関する通信データであると判定された通信データのみについて前記判定を行う。
【０００９】
本発明の一態様は、監視方法であって、通信データの情報を記憶するログ記憶部を備える監視装置が、通信路を流れる通信データを受信する通信ステップと、前記監視装置が、各通信データについて、予め設定された監視対象のプロトコルの通信データであるか否か判定するプロトコル判定ステップと、前記監視装置が、前記監視対象のプロトコルの通信データの情報を前記ログ記憶部に書き込むログ制御ステップと、を有する。
【００１０】
本発明の一態様は、通信データの情報を記憶するログ記憶部を備えるコンピュータに対し、通信路を流れる通信データを受信する通信ステップと、各通信データについて、予め設定された監視対象のプロトコルの通信データであるか否か判定するプロトコル判定ステップと、前記監視対象のプロトコルの通信データの情報を前記ログ記憶部に書き込むログ制御ステップと、を実行させるためのコンピュータプログラムである。
【００１１】
本発明の一態様は、解析装置であって、監視対象のプロトコルにおいて定められている通信の手続きの情報を予め記憶する通信手続記憶部と、通信データの情報が記録されたログ記憶部から前記通信データの時系列の情報を読み出し、前記通信手順記憶部に記憶されている前記手続きの情報に基づいて、前記監視対象のプロトコルの通信データが正当な手続に沿って送受信されているか否か判定する手続判定部と、前記手続判定部の判定結果を出力する出力部と、を備える。
【００１２】
本発明の一態様は、上記の解析装置であって、前記通信データが、一の方向に流れる通信データによって始まった通信手続に関する通信データであるか、他の方向に流れる通信データによって始まった通信手続に関する通信データであるかを判定する方向判定部をさらに備え、前記手続判定部は、前記方向判定部によって前記一の方向に流れる通信データによって始まった通信手続に関する通信データであると判定された通信データのみについて前記判定を行う。
【００１３】
本発明の一態様は、解析方法であって、監視対象のプロトコルにおいて定められている通信の手続きの情報を予め記憶する通信手続記憶部を備える解析装置が、通信データの情報が記録されたログ記憶部から前記通信データの時系列の情報を読み出すステップと、前記解析装置が、前記通信手順記憶部に記憶されている前記手続きの情報に基づいて、前記監視対象のプロトコルの通信データが正当な手続に沿って送受信されているか否か判定する手続判定ステップと、前記解析装置が、前記手続判定ステップにおける判定結果を出力する出力ステップと、を有する。
【００１４】
本発明の一態様は、監視対象のプロトコルにおいて定められている通信の手続きの情報を予め記憶する通信手続記憶部を備えるコンピュータに対し、通信データの情報が記録されたログ記憶部から前記通信データの時系列の情報を読み出すステップと、前記通信手順記憶部に記憶されている前記手続きの情報に基づいて、前記監視対象のプロトコルの通信データが正当な手続に沿って送受信されているか否か判定する手続判定ステップと、前記手続判定ステップにおける判定結果を出力する出力ステップと、を実行させるためのコンピュータプログラムである。
【発明の効果】
【００１５】
本発明により、通信データの解析をより容易にすることが可能となる。
【図面の簡単な説明】
【００１６】
【図１】監視システムのシステム構成を表すシステム構成図である。
【図２】監視装置の機能構成を表す概略ブロック図である。
【図３】方向判定部が特定アドレス情報を取得する際の処理の流れを表すフローチャートである。
【図４】特定アドレス情報が登録された後の監視装置の処理の流れを表すフローチャートである。
【図５】監視システムの変形例を表す図である。
【図６】解析装置の機能構成を表す概略ブロック図である。
【発明を実施するための形態】
【００１７】
［監視システム］
図１は、監視システム１のシステム構成を表すシステム構成図である。監視システム１は、通信端末１０、ルータ２０、ミラーリング装置３０、監視装置４０、ＯＮＵ（Optical Network Unit：光回線終端装置）５０を備える。監視システム１のネットワークは、ＬＡＮ（Local Area Network）で構成され、ＯＮＵ５０を介して通信網６０に接続される。通信端末１０は、通信可能な情報処理装置である。通信端末１０は、ルータ２０、ミラーリング装置３０、ＯＮＵ５０を介して通信網６０に接続された他の通信装置とパケット通信する。通信端末１０が行う通信には様々な種類のプロトコルの通信がある。ルータ２０は、監視システム１のネットワークにおいてルーティングを行う。ミラーリング装置３０は、ルータ２０とＯＮＵ５０との間に設置される。ミラーリング装置３０は、ルータ２０及びＯＮＵ５０の間を流れる通信データ（パケット）を監視装置４０へミラーリングする。すなわち、ミラーリング装置３０は、ルータ２０及びＯＮＵ５０の間を流れる通信データを複製して監視装置４０へ送信する。
【００１８】
図２は、監視装置４０の機能構成を表す概略ブロック図である。監視装置４０は、バスで接続されたＣＰＵ（Central Processing Unit）やメモリや補助記憶装置などを備え、監視プログラムを実行する。監視プログラムの実行によって、監視装置４０は、通信部４０１、プロトコル判定部４０２、方向判定部４０３、特定アドレス情報記憶部４０４、通信手続記憶部４０５、手続判定部４０６、出力部４０７、ログ制御部４０８、ログ記憶部４０９を備える装置として機能する。なお、監視装置４０の各機能の全て又は一部は、ＡＳＩＣ（Application Specific Integrated Circuit）やＰＬＤ（Programmable Logic Device）やＦＰＧＡ（Field Programmable Gate Array）等のハードウェアを用いて実現されても良い。監視プログラムは、コンピュータ読み取り可能な記録媒体に記録されても良い。コンピュータ読み取り可能な記録媒体とは、例えばフレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置である。
【００１９】
通信部４０１は、ミラーリング装置３０からミラーリングされる通信データを受信する。
プロトコル判定部４０２は、通信部４０１によって受信された通信データのプロトコルを判定する。具体的には、プロトコル判定部４０２は、通信データのヘッダ情報に基づいて、通信データのプロトコルを判定する。そして、プロトコル判定部４０２は、受信された通信データのプロトコルが、予め定められた監視対象のプロトコル（以下、「監視対象プロトコル」という。）であるか否か判定する。どのようなプロトコルが監視対象プロトコルとして定められるかは、監視システム１のネットワークの性質や監視目的などに応じて設定される。例えば、監視システム１のネットワークがインターネット（通信網６０）への接続を目的としたネットワークである場合、インターネットへの接続に関連するプロトコルが監視対象プロトコルとして設定されても良い。例えば、ＤＮＳ（Domain Name System）、ＴＣＰ（Transmission Control Protocol）、ＰＰＰｏＥ（Point-to-Point Protocol over Ethernet（登録商標））が監視対象プロトコルとして設定されても良い。
【００２０】
プロトコル判定部４０２は、受信された通信データのプロトコルが監視対象プロトコルである場合には、さらにこのプロトコルが方向判定対象のプロトコル（以下、「方向判定対象プロトコル」という。）であるか否か判定する。どのようなプロトコルが方向判定対象プロトコルとして定められるかは、監視システム１のネットワークの性質や監視目的などに応じて設定される。例えば、監視システム１のネットワークがインターネット（通信網６０）への接続を目的としたネットワークである場合、インターネットから不正なパケットが送信されてくる可能性のあるプロトコルが方向判定対象プロトコルとして設定されても良い。例えば、ＤＮＳ及びＴＣＰが方向判定対象プロトコルとして設定されても良い。
【００２１】
方向判定部４０３は、方向判定対象プロトコルの通信データに関し、一の方向（通信端末１０から通信網６０に向けた方向）に流れる通信データによって始まった通信手続（以下、「監視対象手続」という。）に関する通信データであるか、他の方向（通信網６０から通信端末１０に向けた方向）に流れる通信データによって始まった通信手続に関する通信データであるかを判定する。以下、この処理を方向判定処理という。
【００２２】
具体的には、方向判定部４０３は、通信端末１０によって行われる所定の通信に基づいて、通信端末１０のアドレス情報を取得する。アドレス情報とは、例えばＩＰ（Internet Protocol）アドレスや、ＭＡＣ（Media Access Control）アドレスなど、通信データに含まれる情報のうち通信端末１０を表す情報である。方向判定部４０３は、通信端末１０のアドレス情報を特定アドレス情報として特定アドレス情報記憶部４０４に書き込む。その後、方向判定部４０３は、特定アドレス情報記憶部４０４に記憶されている特定アドレス情報と、受信された通信データのヘッダ情報とに基づいて、方向判定処理を行う。
【００２３】
特定アドレス情報記憶部４０４は、磁気ハードディスク装置や半導体記憶装置などの記憶装置を用いて構成される。特定アドレス情報記憶部４０４は、方向判定部４０３によって判定された通信端末１０のアドレス情報を特定アドレス情報として記憶する。
【００２４】
通信手続記憶部４０５は、磁気ハードディスク装置や半導体記憶装置などの記憶装置を用いて構成される。通信手続記憶部４０５は、監視対象プロトコルそれぞれについて正しい通信手続の流れを表す情報（以下、「通信手続情報」という。）を記憶する。例えば、プロトコルがＤＮＳである場合には、まず所定のフォーマットで作成されたＤＮＳクエリが送信され、これに応じてＤＮＳクエリの送信元に対してＤＮＳ応答が送信される。これが、ＤＮＳの通信手続の流れである。したがって、上記順番で各メッセージの通信データが送受信されることを表す情報が、ＤＮＳの通信手続情報として通信手続記憶部４０５に記憶される。
【００２５】
手続判定部４０６は、手続記憶部４０５に記憶されている通信手続情報に基づいて、監視対象プロトコルの通信データが正当な手続にそって送受信されているか判定する。
出力部４０７は、ＬＥＤ（Light Emitting Diode）等のランプや、スピーカー等の音声出力装置や、液晶ディスプレイ装置などの画像表示装置を用いて構成される。出力部４０７は、手続判定４０６による判定結果を出力する。例えば出力部４０７がランプを用いて構成される場合、出力部４０７は判定結果に応じた態様でランプを点灯させる。例えば出力部４０７がスピーカーを用いて構成される場合、出力部４０７は判定結果に応じた態様で音声を出力させる。例えば出力部４０７が画像表示装置を用いて構成される場合、出力部４０７は判定結果に応じた文字や画像などを画像表示装置に表示させる。
【００２６】
ログ制御部４０８は、監視対象のプロトコルの通信データの情報をログとしてログ記憶部４０９に書き込む。また、ログ制御部４０８は、手続判定部４０６による判定結果を、通信データの情報に対応付けてログとして書き込む。
ログ記憶部４０９は、磁気ハードディスク装置や半導体記憶装置などの記憶装置を用いて構成される。ログ記憶部４０９は、ログ制御部４０８によって書き込まれるログを記憶する。
【００２７】
図３は、方向判定部４０３が特定アドレス情報を取得する際の処理の流れを表すフローチャートである。まず、方向判定部４０３は、特定のメッセージの通信データが受信されるまで待機する。図３の例では、特定のメッセージはＤＮＳクエリのメッセージである。方向判定部４０３は、トランザクションＩＤが登録される前は、ＤＮＳクエリが受信されるまで待機する（ステップＳ１０１−ＮＯ、ステップＳ１０４−ＮＯ、ステップＳ１０５−ＮＯ）。ＤＮＳクエリが受信されると（ステップＳ１０１−ＹＥＳ）、方向判定部４０３は、受信されたＤＮＳクエリのヘッダ情報から送信元アドレスの情報を取得し、仮特定アドレス情報として登録する（ステップＳ１０２）。また、方向判定部４０３は、受信されたＤＮＳクエリのヘッダ情報からトランザクションＩＤを取得し登録する（ステップＳ１０３）。トランザクションＩＤとは、ＤＮＳの通信手続き毎に割り当てられる識別情報である。同じトランザクションＩＤのメッセージは同じ通信手続きにおけるメッセージである。そして、ステップＳ１０１の処理に戻る。
【００２８】
ＤＮＳ応答が受信されると（ステップＳ１０１−ＮＯ、ステップＳ１０４−ＹＥＳ）、方向判定部４０３は、ＤＮＳ応答のヘッダ情報からトランザクションＩＤを取得し、既に登録されているトランザクションＩＤと一致するか否か判定する（ステップＳ１０５）。ＤＮＳ応答とは、ＤＮＳクエリにおいて要求された情報をＤＮＳクエリの送信元に対して通知するためのメッセージである。そのため、あるＤＮＳクエリと、これに対応するＤＮＳ応答とは、そのトランザクションＩＤが一致する。また、あるＤＮＳクエリの送信元と、これに対応するＤＮＳ応答の送信先とは一致する。また、あるＤＮＳクエリの送信先と、これに対応するＤＮＳ応答の送信元とは一致する。
【００２９】
ステップＳ１０５の処理においてトランザクションＩＤが一致していない場合は（ステップＳ１０５−ＮＯ）、先の説明のとおりステップＳ１０１の処理に戻る。一方、トランザクションＩＤが一致する場合（ステップＳ１０５−ＹＥＳ）、方向判定部４０３は、ＤＮＳ応答のヘッダ情報から送信先アドレスの情報を取得し、仮特定アドレス情報と一致するか否か判定する（ステップＳ１０６）。一致しない場合（ステップＳ１０６−ＮＯ）、方向判定部４０３は、仮特定アドレス情報を破棄し（ステップＳ１０７）、ステップＳ１０１の処理に戻る。一方、一致する場合（ステップＳ１０６−ＹＥＳ）、方向判定部４０３は、仮特定アドレス情報を特定アドレス情報として特定アドレス情報記憶部４０４に登録する（ステップＳ１０８）。すなわち、この場合方向判定部４０３は、仮特定アドレス情報を通信端末１０のアドレス情報として登録する。
【００３０】
図４は、特定アドレス情報が登録された後の監視装置４０の処理の流れを表すフローチャートである。まず、通信部４０１が通信データを受信すると、プロトコル判定部４０２が受信された通信データのプロトコルを判定する（ステップＳ２０１）。プロトコルが監視対象プロトコルでない場合（ステップＳ２０２−ＮＯ）、手続判定部４０６は通信手続の正当性を判定せず、ログ制御部４０８は受信された通信データについてログを記録せず（ステップＳ２０３）、この通信データに対する処理は終了する。
【００３１】
一方、プロトコルが監視対象プロトコルであり且つ方向判定対象プロトコルでもある場合（ステップＳ２０２−ＹＥＳ、ステップＳ２０４−ＹＥＳ）、方向判定部４０３は、受信された通信データが手続開始メッセージであるか否か判定する（ステップＳ２０５）。手続開始メッセージとは、そのプロトコルにおける通信手続の契機となるメッセージであり、通信手続の最初に送受信されるメッセージである。方向判定部４０３は、例えば通信手続き毎に割り当てられる識別情報（以下、「通信手続識別情報」という。）に基づいて手続開始メッセージを判定する。より具体的には、方向判定部４０３は、受信したメッセージに含まれる通信手続識別情報を記憶しておき、これまでに記憶されていない通信手続識別情報を有するメッセージが受信された場合に、このメッセージが手続開始メッセージであると判定する。通信手続識別情報は、例えばＤＮＳのメッセージであれば、ヘッダ情報のトランザクションＩＤが相当する。また、ＴＣＰのメッセージであれば、ＩＰアドレス及びポート番号の組み合わせが通信手続識別情報に相当する。また、ＰＰＰｏＥのメッセージであれば、セッションＩＤが通信手続識別情報に相当する。
【００３２】
受信された通信データが手続開始メッセージである場合（ステップＳ２０５−ＹＥＳ）、方向判定部４０３は、手続開始メッセージのヘッダから送信元アドレスの情報を取得する（ステップＳ２０６）。方向判定部４０３は、特定アドレス情報記憶部４０４から特定アドレス情報を読み出し、取得した送信元アドレスの情報と特定アドレス情報とが一致するか否か判定する（ステップＳ２０７）。一致しない場合（ステップＳ２０７−ＮＯ）、方向判定部４０３は、この手続開始メッセージによって始まる通信手続は監視対象手続ではないと判定する。この場合、手続判定部４０６は通信手続の正当性を判定せず、ログ制御部４０８は受信された通信データについてログを記録せず（ステップＳ２０８）、この通信データに対する処理は終了する。
【００３３】
一方、送信元アドレスの情報と特定アドレス情報とが一致する場合（ステップＳ２０７−ＹＥＳ）、方向判定部４０３は、この手続開始メッセージによって始まる通信手続を監視対象手続であると判定し、この手続開始メッセージの通信手続識別情報を登録する（ステップＳ２０９）。そして、ログ制御部４０８が通信データについてログを記録し（ステップＳ２１０）、この通信データに対する処理は終了する。
【００３４】
ステップＳ２０５の処理において、受信された通信データが手続開始メッセージでない場合（ステップＳ２０５−ＮＯ）、方向判定部４０３は方向判定処理を行う。すなわち、方向判定部４０３は、受信された通信データが、監視対象手続であるか否か判定する（ステップＳ２１１）。より具体的には、方向判定部４０３は、受信された通信データの通信手続識別情報が、監視対象手続の通信手続識別情報として登録されている情報であるか否か判定する。方向判定部４０３は、登録されている場合は監視対象手続であると判定し、登録されていない場合は監視対象手続ではないと判定する。監視対象手続ではないと判定された場合（ステップＳ２１２−ＮＯ）、手続判定部４０６は通信手続の正当性を判定せず、ログ制御部４０８は受信された通信データについてログを記録せず（ステップＳ２１３）、この通信データに対する処理は終了する。
【００３５】
一方、監視対象手続であると判定された場合（ステップＳ２１２−ＹＥＳ）、手続判定部４０６が通信手続の正当性を判定する（ステップＳ２１４）。例えば、手続判定部４０６は以下のように通信手続の正当性を判定する。手続判定部４０６は、通信手続識別情報毎に受信された通信データにおけるメッセージの内容を順に記録しておく。手続判定部４０６は、新たに受信された通信データにおけるメッセージと通信手続識別情報が同じ過去のメッセージを読み出す。手続判定部４０６は、通信手続記憶部４０５から、新たに受信された通信データのプロトコルに対応した通信手続を読み出し、正当な手続きであれば次のどのようなメッセージが受信されるべきか判定する。そして、手続判定部４０６は、新たに受信された通信データにおけるメッセージが、正当な手続きにおいて次に受信されるべきメッセージと一致するか否か判定する。一致している場合には、手続判定部４０６は、通信手続が正当であると判定する。一方、一致していない場合には、通信手続が正当でなく、エラーが生じていると判定する。ステップＳ２０４において、方向判定対象プロトコルではないと判定された場合（ステップＳ２０４−ＮＯ）も、手続判定部４０６は同様に手続の正当性の判定を行う（ステップＳ２１４）。
【００３６】
次に、出力部４０７が、手続判定部４０６による判定結果を出力する（ステップＳ２１５）。また、ログ制御部４０８が通信データについてログを記録し（ステップＳ２１６）、この通信データに対する処理は終了する。
【００３７】
このように構成された監視システム１では、通信データの解析が容易になる。以下、この効果について説明する。従来の監視装置では、キャプチャポイントを通った全ての通信データがログとして記録されていた。そのため、通信データの中から必要な通信データ抽出する必要があり、解析が大変だった。それに対し、監視システム１では、予め定められた監視対象のプロトコルの通信データのみがログ記憶部４０９に記録される。そのため、通信データの解析が容易となる。
【００３８】
特に、上記説明の具体例では、インターネット接続に必要となるプロトコル（ＤＮＳ、ＴＣＰ、ＰＰＰｏＥ）の通信データのみが記録される。そのため、通信端末１０がインターネット（通信網６０）に接続できない場合に、その障害を容易に解析することが可能となる。
【００３９】
従来の監視装置は、特定の一つのレイヤに関するログしか記録することができなかった。そのため、ログを解析して障害を特定することなどが困難であった。これに対し、監視システム１では、ＤＮＳ等の上位プロトコルのログを含めた複数のレイヤのログが記録される。したがって、ログを解析して障害を特定することがより容易になった。
【００４０】
従来の監視装置では、各プロトコルの通信手続のどこで問題が生じたか解析するためには専門の知識が必要であった。これに対し、監視システム１では、手続判定部４０６が各通信データに関して通信手続の正当性を判定し、その結果が出力部４０７によって出力される。そのため、専門の知識が無くとも、どのプロトコルのどの通信手続段階において障害が生じているのか判断することが可能となる。
【００４１】
ＴＣＰのポートが開いているか否かを調べるために、不正な通信データが通信網６０から送信されてくる場合がある。そのような不正な通信データによる悪影響を抑えるため、ルータ２０や通信端末１０は、このような不正な通信データに対して応答しないように設計されることが多い。しかし、このように設計されたルータ２０や通信端末１０が接続された監視システム１では、不正な通信データに関する通信手続が完了せず、形式的にはエラーが生じているような形となる。そのため、単純に通信手続の正当性を判定すると、このような形式的なエラーを出力してしまい、使用者に混乱を生じさせるおそれがある。このような問題に対し、監視システム１では、方向判定部４０３が方向判定処理を行うことによって、通信網６０から送信されてきた通信データによって始まった通信手続に関する通信データが判定される。そして、このような通信データについては、手続判定部４０６もログ制御部４０８も処理を行わない。そのため、上記のように使用者に混乱を生じさせることや不要なログを記録してしまうことを抑止できる。
【００４２】
図５は、監視システム１の変形例（監視システム１ａ）を表す図である。図５に示されるように、監視装置４０が接続されるミラーリング装置は、通信端末１０とルータ２０との間に設置されても良い。また、監視システム１がさらに複雑な構成をとる場合、ミラーリング装置３０は、通信端末１０とＯＮＵ５０との間であればどこに接続されても良い。
【００４３】
［解析装置］
図６は、解析装置７０の機能構成を表す概略ブロック図である。解析装置７０は、バスで接続されたＣＰＵやメモリや補助記憶装置などを備え、解析プログラムを実行する。解析プログラムの実行によって、解析装置７０は、プロトコル判定部７０２、方向判定部７０３、特定アドレス情報記憶部７０４、通信手続記憶部７０５、手続判定部７０６、出力部７０７、ログ記憶部７０９を備える装置として機能する。なお、解析装置７０の各機能の全て又は一部は、ＡＳＩＣやＰＬＤやＦＰＧＡ等のハードウェアを用いて実現されても良い。解析プログラムは、コンピュータ読み取り可能な記録媒体に記録されても良い。
【００４４】
ログ記憶部７０９は、磁気ハードディスク装置や半導体記憶装置などの記憶装置を用いて構成される。ログ記憶部７０９は、監視対象となるネットワークのキャプチャポイントにおいて記録された通信データのログを記憶する。ログ記憶部７０９が記憶するログは、従来のパケットキャプチャ等の技術によって記録されたログであっても良いし、上述した監視装置４０によって記録されたログであっても良い。
【００４５】
プロトコル判定部７０２、方向判定部７０３、特定アドレス情報記憶部７０４、通信手続記憶部７０５、手続判定部７０６、出力部７０７は、ログ記憶部７０９に記録されている各通信データについて処理を行う点でのみ、プロトコル判定部４０２、方向判定部４０３、特定アドレス情報記憶部４０４、通信手続記憶部４０５、手続判定部４０６、出力部４０７と異なり、処理の内容は同じである。
【００４６】
このように構成された解析装置７０では、監視対象のネットワークにおいて取得されたログに対して、監視システム１と同様の解析を行うことで、同様の効果を得ることが可能である。
以上、この発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。
【符号の説明】
【００４７】
１…監視システム， １０…通信端末， ２０…ルータ， ３０…ミラーリング装置， ４０…監視装置， ５０…ＯＮＵ， ６０…通信網， ４０１…通信部， ４０２，７０２…プロトコル判定部， ４０３，７０３…方向判定部， ４０４，７０４…特定アドレス情報記憶部， ４０５，７０５…通信手続記憶部， ４０６，７０６…手続判定部， ４０７，７０７…出力部， ４０８…ログ制御部， ４０９，７０９…ログ記憶部
【特許請求の範囲】
【請求項１】
通信データの情報を記憶するログ記憶部と、
通信路を流れる通信データを受信する通信部と、
各通信データについて、予め設定された監視対象のプロトコルの通信データであるか否か判定するプロトコル判定部と、
前記監視対象のプロトコルの通信データの情報を前記ログ記憶部に書き込むログ制御部と、
を備える監視装置。
【請求項２】
前記監視対象のプロトコルにおいて定められている通信の手続きの情報を予め記憶する通信手続記憶部と、
前記通信手順記憶部に記憶されている前記手続きの情報に基づいて、前記監視対象のプロトコルの通信データが正当な手続きに沿って送受信されているか否か判定する手続判定部と、をさらに備える、請求項１に記載の監視装置。
【請求項３】
前記通信データが、一の方向に流れる通信データによって始まった通信手続に関する通信データであるか、他の方向に流れる通信データによって始まった通信手続に関する通信データであるかを判定する方向判定部をさらに備え、
前記手続判定部は、前記方向判定部によって前記一の方向に流れる通信データによって始まった通信手続に関する通信データであると判定された通信データのみについて前記判定を行う、請求項２に記載の監視装置。
【請求項４】
通信データの情報を記憶するログ記憶部を備える監視装置が、通信路を流れる通信データを受信する通信ステップと、
前記監視装置が、各通信データについて、予め設定された監視対象のプロトコルの通信データであるか否か判定するプロトコル判定ステップと、
前記監視装置が、前記監視対象のプロトコルの通信データの情報を前記ログ記憶部に書き込むログ制御ステップと、
を有する監視方法。
【請求項５】
通信データの情報を記憶するログ記憶部を備えるコンピュータに対し、
通信路を流れる通信データを受信する通信ステップと、
各通信データについて、予め設定された監視対象のプロトコルの通信データであるか否か判定するプロトコル判定ステップと、
前記監視対象のプロトコルの通信データの情報を前記ログ記憶部に書き込むログ制御ステップと、
を実行させるためのコンピュータプログラム。
【請求項６】
監視対象のプロトコルにおいて定められている通信の手続きの情報を予め記憶する通信手続記憶部と、
通信データの情報が記録されたログ記憶部から前記通信データの時系列の情報を読み出し、前記通信手順記憶部に記憶されている前記手続きの情報に基づいて、前記監視対象のプロトコルの通信データが正当な手続に沿って送受信されているか否か判定する手続判定部と、
前記手続判定部の判定結果を出力する出力部と、
を備える解析装置。
【請求項７】
前記通信データが、一の方向に流れる通信データによって始まった通信手続に関する通信データであるか、他の方向に流れる通信データによって始まった通信手続に関する通信データであるかを判定する方向判定部をさらに備え、
前記手続判定部は、前記方向判定部によって前記一の方向に流れる通信データによって始まった通信手続に関する通信データであると判定された通信データのみについて前記判定を行う、請求項６に記載の解析装置。
【請求項８】
監視対象のプロトコルにおいて定められている通信の手続きの情報を予め記憶する通信手続記憶部を備える解析装置が、通信データの情報が記録されたログ記憶部から前記通信データの時系列の情報を読み出すステップと、
前記解析装置が、前記通信手順記憶部に記憶されている前記手続きの情報に基づいて、前記監視対象のプロトコルの通信データが正当な手続に沿って送受信されているか否か判定する手続判定ステップと、
前記解析装置が、前記手続判定ステップにおける判定結果を出力する出力ステップと、
を有する解析方法。
【請求項９】
監視対象のプロトコルにおいて定められている通信の手続きの情報を予め記憶する通信手続記憶部を備えるコンピュータに対し、
通信データの情報が記録されたログ記憶部から前記通信データの時系列の情報を読み出すステップと、
前記通信手順記憶部に記憶されている前記手続きの情報に基づいて、前記監視対象のプロトコルの通信データが正当な手続に沿って送受信されているか否か判定する手続判定ステップと、
前記手続判定ステップにおける判定結果を出力する出力ステップと、
を実行させるためのコンピュータプログラム。
【請求項１】
通信データの情報を記憶するログ記憶部と、
通信路を流れる通信データを受信する通信部と、
各通信データについて、予め設定された監視対象のプロトコルの通信データであるか否か判定するプロトコル判定部と、
前記監視対象のプロトコルの通信データの情報を前記ログ記憶部に書き込むログ制御部と、
を備える監視装置。
【請求項２】
前記監視対象のプロトコルにおいて定められている通信の手続きの情報を予め記憶する通信手続記憶部と、
前記通信手順記憶部に記憶されている前記手続きの情報に基づいて、前記監視対象のプロトコルの通信データが正当な手続きに沿って送受信されているか否か判定する手続判定部と、をさらに備える、請求項１に記載の監視装置。
【請求項３】
前記通信データが、一の方向に流れる通信データによって始まった通信手続に関する通信データであるか、他の方向に流れる通信データによって始まった通信手続に関する通信データであるかを判定する方向判定部をさらに備え、
前記手続判定部は、前記方向判定部によって前記一の方向に流れる通信データによって始まった通信手続に関する通信データであると判定された通信データのみについて前記判定を行う、請求項２に記載の監視装置。
【請求項４】
通信データの情報を記憶するログ記憶部を備える監視装置が、通信路を流れる通信データを受信する通信ステップと、
前記監視装置が、各通信データについて、予め設定された監視対象のプロトコルの通信データであるか否か判定するプロトコル判定ステップと、
前記監視装置が、前記監視対象のプロトコルの通信データの情報を前記ログ記憶部に書き込むログ制御ステップと、
を有する監視方法。
【請求項５】
通信データの情報を記憶するログ記憶部を備えるコンピュータに対し、
通信路を流れる通信データを受信する通信ステップと、
各通信データについて、予め設定された監視対象のプロトコルの通信データであるか否か判定するプロトコル判定ステップと、
前記監視対象のプロトコルの通信データの情報を前記ログ記憶部に書き込むログ制御ステップと、
を実行させるためのコンピュータプログラム。
【請求項６】
監視対象のプロトコルにおいて定められている通信の手続きの情報を予め記憶する通信手続記憶部と、
通信データの情報が記録されたログ記憶部から前記通信データの時系列の情報を読み出し、前記通信手順記憶部に記憶されている前記手続きの情報に基づいて、前記監視対象のプロトコルの通信データが正当な手続に沿って送受信されているか否か判定する手続判定部と、
前記手続判定部の判定結果を出力する出力部と、
を備える解析装置。
【請求項７】
前記通信データが、一の方向に流れる通信データによって始まった通信手続に関する通信データであるか、他の方向に流れる通信データによって始まった通信手続に関する通信データであるかを判定する方向判定部をさらに備え、
前記手続判定部は、前記方向判定部によって前記一の方向に流れる通信データによって始まった通信手続に関する通信データであると判定された通信データのみについて前記判定を行う、請求項６に記載の解析装置。
【請求項８】
監視対象のプロトコルにおいて定められている通信の手続きの情報を予め記憶する通信手続記憶部を備える解析装置が、通信データの情報が記録されたログ記憶部から前記通信データの時系列の情報を読み出すステップと、
前記解析装置が、前記通信手順記憶部に記憶されている前記手続きの情報に基づいて、前記監視対象のプロトコルの通信データが正当な手続に沿って送受信されているか否か判定する手続判定ステップと、
前記解析装置が、前記手続判定ステップにおける判定結果を出力する出力ステップと、
を有する解析方法。
【請求項９】
監視対象のプロトコルにおいて定められている通信の手続きの情報を予め記憶する通信手続記憶部を備えるコンピュータに対し、
通信データの情報が記録されたログ記憶部から前記通信データの時系列の情報を読み出すステップと、
前記通信手順記憶部に記憶されている前記手続きの情報に基づいて、前記監視対象のプロトコルの通信データが正当な手続に沿って送受信されているか否か判定する手続判定ステップと、
前記手続判定ステップにおける判定結果を出力する出力ステップと、
を実行させるためのコンピュータプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図２】
【図３】
【図４】
【図５】
【図６】
【公開番号】特開２０１２−２０５１８７（Ｐ２０１２−２０５１８７Ａ）
【公開日】平成２４年１０月２２日（２０１２．１０．２２）
【国際特許分類】
【出願番号】特願２０１１−６９５７０（Ｐ２０１１−６９５７０）
【出願日】平成２３年３月２８日（２０１１．３．２８）
【出願人】（３９９０４０４０５）東日本電信電話株式会社 (286)
【Ｆターム（参考）】
【公開日】平成２４年１０月２２日（２０１２．１０．２２）
【国際特許分類】
【出願日】平成２３年３月２８日（２０１１．３．２８）
【出願人】（３９９０４０４０５）東日本電信電話株式会社 (286)
【Ｆターム（参考）】
[ Back to top ]