(57)【要約】【課題】端末装置の個体識別を効果的に行う。【解決手段】識別装置１は、監視対象の通信パケットの情報を取得する通信監視部１１と、前記通信監視部１１により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の個体識別に係る情報を取得する通信プロトコル分析部１２と、前記通信プロトコル分析部１２により取得される情報、および、前記通信監視部１１により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報を記憶する端末識別情報データベース（情報記憶部）１３と、を備える。【選択図】図１
2014165844.tif 000002
【特許請求の範囲】
【請求項１】
監視対象の通信パケットの情報を取得する通信監視部と、
前記通信監視部により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の個体識別に係る情報を取得する通信プロトコル分析部と、
前記通信プロトコル分析部により取得される情報、および、前記通信監視部により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報を記憶する情報記憶部と、
を備えることを特徴とする識別装置。
【請求項２】
前記通信パケットの特徴を示す情報は、ネットワーク内識別子の情報を含み、
さらに、前記情報記憶部に記憶される情報に基づいて、同一の端末装置個体であるとされる端末装置ごとに、ネットワーク内識別子の情報を出力する端末個体識別部を備えることを特徴とする請求項１に記載の識別装置。
【請求項３】
前記通信パケットの特徴を示す情報は、さらに、時刻の情報およびネットワークの情報を含み、
前記端末個体識別部は、前記ネットワーク内識別子の情報を、時刻の情報およびネットワークの情報と共に出力する、
ことを特徴とする請求項２に記載の識別装置。
【請求項４】
前記通信プロトコル分析部は、
ＨＴＴＰプロトコルにおけるＵｓｅｒ−Ａｇｅｎｔの情報、
または、ＴＣＰのフィンガプリントの情報、
または、Ｗｅｂブラウザが出力するヘッダの情報、インストール済みのプラグインの情報、およびそのプラグインのバージョンの情報、
または、前記端末装置のクロックスキューの情報、
または、前記端末装置のアクセス先のホストの情報、
または、前記端末装置の動画のアプリケーションの閲覧設定の情報、
のうちの１つ以上を取得する、
ことを特徴とする請求項１から請求項３のいずれか１項に記載の識別装置。
【請求項５】
通信監視部が、監視対象の通信パケットの情報を取得し、
通信プロトコル分析部が、前記通信監視部により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の個体識別に係る情報を取得し、
情報記憶部が、前記通信プロトコル分析部により取得される情報、および、前記通信監視部により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報を記憶する、
ことを特徴とする識別方法。
【請求項６】
通信監視部が、監視対象の通信パケットの情報を取得するステップと、
通信プロトコル分析部が、前記通信監視部により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の個体識別に係る情報を取得するステップと、
情報記憶部が、前記通信プロトコル分析部により取得される情報、および、前記通信監視部により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報を記憶するステップと、
をコンピュータに実行させるための識別プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、識別装置、識別方法および識別プログラムに関する。
【背景技術】
【０００２】
通信網において相手となる端末装置のＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）等の種類（種別）を識別する方法が多数提案されてきた。
例えば、非特許文献１に係る技術は、識別したい相手の端末装置に対して通信パケットを送出し、その反応を分析することで、相手の端末装置の種類を識別するものである（非特許文献１参照。）。識別に用いる情報としては、ＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）の各種のヘッダやオプション等が利用される。
【０００３】
また、上述のような動的に相手の端末装置へ通信パケットを送出する方法に加え、非特許文献２に係る技術のように、相手の端末装置の通信内容を静的に監視することで、相手の端末装置の種類を識別する方法も提案されている（非特許文献２参照。）。この方法においても、端末装置の識別にはＴＣＰ／ＩＰの各種のヘッダやオプション等が利用される。
【０００４】
前述のＴＣＰ／ＩＰの情報を用いた識別は一般にＳｈａｌｌｏｗ  Ｐａｃｋｅｔ  Ｉｎｓｐｅｃｔｉｏｎ（ＳＰＩ）と呼ばれるが、一方で、より上位のアプリケーション層の情報を用いた識別を行うＤｅｅｐ  Ｐａｃｋｅｔ  Ｉｎｓｐｅｃｔｉｏｎ（ＤＰＩ）と呼ばれる方法もある。
Ｄｅｅｐ  Ｐａｃｋｅｔ  Ｉｎｓｐｅｃｔｉｏｎを用いることで、例えば非特許文献３に係る技術のように、アプリケーション層の様々な情報を取得し、相手の端末装置の識別を行うことが可能となる（非特許文献３参照。）。
【先行技術文献】
【非特許文献】
【０００５】
【非特許文献１】Ｒｅｍｏｔｅ  ＯＳ  ｄｅｔｅｃｔｉｏｎ  ｖｉａ  ＴＣＰ／ＩＰ  Ｓｔａｃｋ  ＦｉｎｇｅｒＰｒｉｎｔｉｎｇ（２ｎｄ  Ｇｅｎｅｒａｔｉｏｎ）、［ｏｎｌｉｎｅ］、［平成２５年２月１２日検索］、インターネット  ＜ＵＲＬ：ｈｔｔｐ：／／ｎｍａｐ．ｏｒｇ／ｂｏｏｋ／ｏｓｄｅｔｅｃｔ．ｈｔｍｌ＞
【非特許文献２】Ｏｆｆｉｃｉａｌ  ｐ０ｆ  ｈｏｍｅｐａｇｅ、［ｏｎｌｉｎｅ］、［平成２５年２月１２日検索］、インターネット  ＜ＵＲＬ：ｈｔｔｐ：／／ｌｃａｍｔｕｆ．ｃｏｒｅｄｕｍｐ．ｃｘ／ｐ０ｆ．ｓｈｔｍｌ＞
【非特許文献３】Ｄｅｅｐ  ｐａｃｋｅｔ  ｉｎｓｐｅｃｔｉｏｎ  ｍｅｅｔｓ‘Ｎｅｔ  ｎｅｕｔｒａｌｉｔｙ，  ＣＡＬＥＡ、［ｏｎｌｉｎｅ］、［平成２５年２月１２日検索］、インターネット  ＜ＵＲＬ：ｈｔｔｐ：／／ａｒｓｔｅｃｈｎｉｃａ．ｃｏｍ／ｈａｒｄｗａｒｅ／ｎｅｗｓ／２００７／０７／Ｄｅｅｐ−ｐａｃｋｅｔ−ｉｎｓｐｅｃｔｉｏｎ−ｍｅｅｔｓ−ｎｅｔ−ｎｅｕｔｒａｌｉｔｙ．ａｒｓ＞
【発明の概要】
【発明が解決しようとする課題】
【０００６】
ところで、端末装置の個体の識別（個体識別）を行うことは、広告やマーケティング等において非常に重要であり、その技術が求められている。しかしながら、従来では、端末装置の個体識別を行う場合には端末装置の利用者が能動的に識別情報（ＩＤ）の登録などを行う必要があり、利用者にとって煩雑な手間になってしまうことも多かった。例えば、従来技術における端末装置の識別方法は、ＯＳの種類の判定などを目的としており、端末装置の個体識別には必ずしも適していなかった。
【０００７】
具体的に、上述した技術のうち、Ｓｈａｌｌｏｗ  Ｐａｃｋｅｔ  Ｉｎｓｐｅｃｔｉｏｎにおいては、ＴＣＰ／ＩＰの各種のヘッダやオプション等の特徴から、該当する端末装置の種類を識別していた。しかしながら、この手法では、ＯＳの種類の分類程度の精度が限界であり、端末装置の個体識別を行うためには不十分であった。
一方、Ｄｅｅｐ  Ｐａｃｋｅｔ  Ｉｎｓｐｅｃｔｉｏｎにおいては、Ｓｈａｌｌｏｗ  Ｐａｃｋｅｔ  Ｉｎｓｐｅｃｔｉｏｎより詳細な情報が得られる可能性があるものの、単純なセッション単位のＤｅｅｐ  Ｐａｃｋｅｔ  Ｉｎｓｐｅｃｔｉｏｎのみで得られる情報は限られており、端末装置の個体識別を行うためには不十分であった。
【０００８】
本発明は、このような事情を考慮してなされたもので、端末装置の個体識別を効果的に行うことができる識別装置、識別方法および識別プログラムを提供することを課題とする。
【課題を解決するための手段】
【０００９】
（１）上記の課題を解決するために、本発明に係る識別装置は、監視対象の通信パケットの情報を取得する通信監視部と、前記通信監視部により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の個体識別に係る情報を取得する通信プロトコル分析部と、前記通信プロトコル分析部により取得される情報、および、前記通信監視部により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報を記憶する情報記憶部と、を備えることを特徴とする。
【００１０】
（２）本発明は、上記した（１）に記載の識別装置において、前記通信パケットの特徴を示す情報は、ネットワーク内識別子の情報を含み、さらに、前記情報記憶部に記憶される情報に基づいて、同一の端末装置個体であるとされる端末装置ごとに、ネットワーク内識別子の情報を出力する端末個体識別部を備えることを特徴とする。
【００１１】
（３）本発明は、上記した（２）に記載の識別装置において、前記通信パケットの特徴を示す情報は、さらに、時刻の情報およびネットワークの情報を含み、前記端末個体識別部は、前記ネットワーク内識別子の情報を、時刻の情報およびネットワークの情報と共に出力する、ことを特徴とする。
【００１２】
（４）本発明は、上記した（１）から上記した（３）のいずれか１つに記載の識別装置において、前記通信プロトコル分析部は、ＨＴＴＰプロトコルにおけるＵｓｅｒ−Ａｇｅｎｔの情報、または、ＴＣＰのフィンガプリントの情報、または、Ｗｅｂブラウザが出力するヘッダの情報、インストール済みのプラグインの情報、およびそのプラグインのバージョンの情報、または、前記端末装置のクロックスキューの情報、または、前記端末装置のアクセス先のホストの情報、または、前記端末装置の動画のアプリケーションの閲覧設定の情報、のうちの１つ以上を取得する。
【００１３】
（５）上記の課題を解決するために、本発明に係る識別方法は、通信監視部が、監視対象の通信パケットの情報を取得し、通信プロトコル分析部が、前記通信監視部により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の個体識別に係る情報を取得し、情報記憶部が、前記通信プロトコル分析部により取得される情報、および、前記通信監視部により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報を記憶する、ことを特徴とする。
【００１４】
（６）上記の課題を解決するために、本発明に係る識別プログラムは、通信監視部が、監視対象の通信パケットの情報を取得するステップと、通信プロトコル分析部が、前記通信監視部により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の個体識別に係る情報を取得するステップと、情報記憶部が、前記通信プロトコル分析部により取得される情報、および、前記通信監視部により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報を記憶するステップと、をコンピュータに実行させるためのプログラムである。
【発明の効果】
【００１５】
本発明によれば、端末装置の個体識別を効果的に行うことができる。
【図面の簡単な説明】
【００１６】
【図１】本発明の一実施形態に係る識別装置の概略的な構成を示すブロック図である。
【図２】本発明の一実施形態に係る端末識別情報データベースに記憶される端末識別情報の一例を示す図である。
【発明を実施するための形態】
【００１７】
以下、図面を参照し、本発明の実施形態について説明する。
【００１８】
図１は、本発明の一実施形態に係る識別装置１の概略的な構成を示すブロック図である。
また、図１は、通信パケットを流す回線２を示す。
本実施形態に係る識別装置１は、通信監視部１１と、通信プロトコル分析部１２と、端末識別情報データベース（情報記憶部）１３と、端末個体識別部１４と、を備える。
本実施形態に係る識別装置１では、一例として、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）があらかじめ記憶されたソフトウェア（例えば、プログラム）を実行することで、各種の処理や制御が行われる。
【００１９】
本実施形態に係る識別装置１は、回線２と接続される。
ここで、回線２としては、様々なものが用いられてもよく、例えば、コアネットワークの回線や、サービスプロバイダの回線など、様々なネットワークの回線を用いることができる。
【００２０】
なお、本実施形態に係る通信システムでは、識別装置１は、サーバ装置に設けられている。サーバ装置は、回線２と接続される。
また、本実施形態に係る通信システムでは、回線２に、有線通信を行う端末装置や、基地局装置が接続される。
また、本実施形態に係る通信システムでは、無線通信を行う端末装置が、基地局装置と無線により通信することで、当該基地局装置に接続される回線２と接続される。
このような本実施形態に係る通信システムにおいて、有線通信を行う端末装置や、無線通信を行う端末装置は、回線２を介して、通信パケットを通信（送信や受信）する。
【００２１】
本実施形態に係る識別装置１において行われる動作の例を示す。
通信監視部１１は、回線２と接続され、回線２に流れる通信パケット（例えば、そのネットワーク上に流れる通信パケット）を監視する。
本実施形態では、通信監視部１１は、回線２に流れる通信パケット（例えば、そのネットワーク上に流れる通信パケット）をリアルタイムに監視する。
他の構成例として、通信監視部１１は、オフラインで、外部の記憶装置または外部の通信装置などから、あらかじめ電子ファイル等に保存（記憶）された通信パケットを入力して、この通信パケットを監視対象とすることも可能である。
【００２２】
通信監視部１１は、監視対象となる通信パケットを回線２（他の構成例として、外部の記憶装置または外部の通信装置など）から取得すると、取得した通信パケットの情報を、通信プロトコル分析部１２と、端末識別情報データベース１３に、出力する。
本実施形態では、通信監視部１１により監視される通信パケットは、通信プロトコル分析部１２と端末識別情報データベース１３において端末識別情報のデータベースを作成するために使用される。
【００２３】
通信プロトコル分析部１２は、通信監視部１１から入力されて得られた通信パケットに基づいてセッション（通信フロー）を再構築し、その通信プロトコルの情報を分析する。そして、通信プロトコル分析部１２は、この通信プロトコルの情報の分析により、通信プロトコルの情報中のＯＳ情報などの端末情報を取得する。通信プロトコル分析部１２は、取得した端末情報を端末識別情報データベース１３に出力する。
本実施形態では、通信プロトコル分析部１２は、通信プロトコルの情報の分析に際して、通信プロトコルの情報中のアプリケーションの情報などを取得し、取得したアプリケーションの情報などに基づいて、ＯＳ情報などの端末情報を取得する。この取得は、例えば、類推的に行われてもよい。
【００２４】
ここで、一般に、通信プロトコルの情報には、その通信プロトコルを実行する端末装置の種類を示す情報（端末情報）を、そのアプリケーションの情報に、明示的に含むものが存在する。本実施形態では、通信プロトコル分析部１２は、このような端末情報を取得する。
また、通信プロトコルの情報から端末情報を取得する手順は、例えば、それぞれの通信プロトコルごとに、あらかじめ規定され、プログラムなどの形式で実現される。
このような通信プロトコル分析部１２の機能は、Ｄｅｅｐ  Ｐａｃｋｅｔ  Ｉｎｓｐｅｃｔｉｏｎの機能に相当する。
【００２５】
ここで、端末情報としては、端末装置の種類を示す情報が用いられ、例えば、端末装置に搭載されたＯＳの種類を示す情報（ＯＳ情報）、端末装置の機種名を示す情報（機種名情報）、端末装置の番号を示す情報（番号情報）、などのうちの１つ以上を用いることができる。
【００２６】
一例として、ＴＣＰ／ＩＰの通信プロトコルを用いる場合を示す。ＴＣＰ／ＩＰの通信プロトコルのアプリケーションの情報として、アプリケーションレイヤプロトコルであるＨＴＴＰ（Ｈｙｐｅｒ  Ｔｅｘｔ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）の情報を用いる。
通信プロトコル分析部１２は、通信パケットに基づいて通信フローを再構築する処理として、得られた複数の通信パケット（通信パケット群）を並べ替えて、（再送の分を除いて、）ＴＣＰ／ＩＰのセッション（通信フロー）を再現する。そして、通信プロトコル分析部１２は、そのＴＣＰ／ＩＰのセッション（通信フロー）の上に載っているアプリケーションレイヤプロトコル（ＨＴＴＰ）を分析する。これにより、通信プロトコル分析部１２は、アプリケーションレベルで通信プロトコルを分析して、端末情報を取得する。
【００２７】
具体的な一例として、ＨＴＴＰのプロトコルにおいては、次のような形式のユーザエージェントヘッダ（Ｕｓｅｒ−Ａｇｅｎｔ：ヘッダ）が含まれることが多い。
【００２８】
（Ｕｓｅｒ−Ａｇｅｎｔ：ヘッダの例）
Ｕｓｅｒ−Ａｇｅｎｔ：  Ｍｏｚｉｌｌａ／５．０（＊＊＊＊＊＊＊；  Ｕ；  ＊＊＊＊＊＊＊  ＮＴ  ６．０；  ｊａ；  ｒｖ：１．９．０．６）  Ｇｅｃｋｏ／２００９０１１９１３  Ｆｉｒｅｆｏｘ／３．０．６  （．ＮＥＴ  ＣＬＲ  ３．５．３０７２９）
【００２９】
ここで、「Ｍｏｚｉｌｌａ／５．０」は、ブラウザのバージョン（ブラウザの種類）を示す情報である。
また、「＊＊＊＊＊＊＊  ＮＴ  ６．０」は、ＯＳのバージョン（ＯＳの種類）を示す情報である。
なお、上記した（Ｕｓｅｒ−Ａｇｅｎｔ：ヘッダの例）およびその説明における「＊＊＊＊＊＊＊」としては、「Ｗｉｎｄｏｗｓ（登録商標）」という文字列が用いられる（但し、「（登録商標）」という部分は、便宜上付したものであり、前記文字列には含まれない。）。
【００３０】
この例では、Ｕｓｅｒ−Ａｇｅｎｔ：ヘッダには、ブラウザのバージョンを示す情報に加えて、ＯＳのバージョンを示す情報が含まれているため、通信プロトコル分析部１２は、このＵｓｅｒ−Ａｇｅｎｔ：ヘッダから、ＯＳ情報を得ることが可能である。
【００３１】
また、他の例として、ある特定のＯＳだけに提供されているアプリケーションがある場合には、このアプリケーションを使用していることが特定されたときには、通信プロトコル分析部１２は、この特定のＯＳの情報を得ることができる。
【００３２】
ここで、Ｕｓｅｒ−Ａｇｅｎｔ：ヘッダには、アプリケーションの種類を示す情報や、バージョンを示す番号などの情報や、ＯＳの種類を示す情報などが含まれている。そして、同一のＵｓｅｒ−Ａｇｅｎｔ（Ｕｓｅｒ−Ａｇｅｎｔに含まれる複数の情報の全てが同一であるもの）を使用する端末装置の数は少なく、１個である場合も多い。
【００３３】
具体例として、スマートフォンなどの端末装置では、様々なアプリケーションの中で、ＨＴＴＰを使用していることが多い。一例として、ある端末装置においては「天気予報のアプリケーションであって、第２．３バージョンであるもの」を使用しており、他の端末装置においては「（前記と同じ）天気予報のアプリケーションであって、第４．０バージョンであるもの」を使用している、ということがあり、この場合、これら２つの端末装置を（同一の）天気予報のアプリケーションではあるがそのバージョンの違いで識別することができる。また、他の例として、端末装置が使用する同種のアプリケーション自体が異なる（例えば、天気予報のアプリケーション自体が異なる）ことに基づいて、各端末装置を識別することも可能である。
そして、このようなアプリケーションやバージョンの組み合わせが完全に同じである端末装置は少ないと考えられ、特に、複数のアプリケーションの組み合わせを考慮するとさらに少なくなり、これにより、ある程度（理想的には、１個ずつ）、端末装置を識別（特定）することが可能である。例えば、複数のＵｓｅｒ−Ａｇｅｎｔの情報の組み合わせを用いると、同じ端末装置（例えば、同じＩＰアドレスを使用する端末装置）が使用した複数のアプリケーションに関する情報の組み合わせを識別（特定）することができる。
【００３４】
また、例えば、３ＧＰＰなどの携帯網のアドレス（例えば、ＩＰアドレス）と、ＷｉＦｉ（Ｗｉｒｅｌｅｓｓ  Ｆｉｄｅｌｉｔｙ）網などのアドレス（例えば、ＩＰアドレス）とは異なるため、これらについては、互いに紐付けすることが必要となる。本実施形態では、端末装置の個体を識別（特定）した後に、異なる複数のネットワークの間（例えば、異なる複数のネットワーク内識別子の間）の紐付けを行う。この紐付けは、本実施形態では、端末識別情報データベース１３または端末個体識別部１４で行う。
【００３５】
また、通信プロトコル分析部１２は、例えば、ＨＴＴＰ以外にも、次のような（情報の例１）〜（情報の例５）のうちの１つ以上の情報を分析してその結果を出力する構成とすることもできて、好ましい。また、他の情報が用いられてもよい。
複数の異なるフィンガプリント（Ｆｉｎｇｅｒｐｒｉｎｔ）の情報を組み合わせて用いると、精度をより高めることができる。
【００３６】
（情報の例１）ＴＣＰのフィンガプリントの情報を用いることができる。
（情報の例２）ブラウザのフィンガプリントの情報を用いることができ、例えば、Ｗｅｂブラウザが出力するヘッダや、インストール済みのプラグインや、プラグインのバージョンなどの情報を用いることができる。
（情報の例３）端末装置のクロックスキュー（Ｃｌｏｃｋ  Ｓｋｅｗ）のフィンガプリントの情報を用いることができ、例えば、クロックスキューを使用したデバイス（Ｄｅｖｉｃｅ）のフィンガプリントの情報を用いることができる。
（情報の例４）端末装置のアクセス先のフィンガプリントの情報を用いることができ、例えば、アクセス先のホスト（Ｈｏｓｔ）の情報を用いることができる。
（情報の例５）端末装置の（ＨＴＴＰ以外の）アプリケーションのフィンガプリントの情報を用いることができ、例えば、動画のアプリケーションの閲覧設定の情報を用いることができる。
【００３７】
端末識別情報データベース１３は、通信監視部１１から入力されて得られた通信パケットの情報および通信プロトコル分析部１２から入力されて得られた端末情報に基づいて、これらに関する情報を併せて、端末識別情報として、記録して保持（記憶）する。これにより、端末識別情報データベース１３において、端末識別情報のデータベースが作成される。
本実施形態では、端末識別情報データベース１３は、端末識別情報として、通信プロトコル分析部１２から入力されて得られた端末情報と、ネットワーク内識別子の情報を含むネットワーク関連情報（ネットワークに関連する情報）とを対応付けた情報を記録等する。
【００３８】
ここで、ネットワーク内識別子とは、同一のネットワーク内で端末装置を識別することが可能な識別子であり、例えば、アドレスが用いられ、一般のＩＰネットワークではＩＰアドレスが用いられる。
また、ネットワーク関連情報として、例えば、ネットワーク内識別子の情報以外に、ネットワークの情報（ネットワーク情報）や、時刻の情報（時刻情報）を用いることができる。
【００３９】
ネットワーク関連情報は、例えば、端末識別情報データベース１３において、通信監視部１１から入力されて得られる通信パケットの情報から（または、通信プロトコル分析部１２から入力されて得られる端末情報から）取得される。
本実施形態では、端末識別情報データベース１３は、例えば、通信監視部１１から入力されて得られた通信パケットの情報に基づいて得られる通信パケットの特徴を示す情報（例えば、ネットワーク関連情報など）を取得する機能を有する。この機能は、Ｓｈａｌｌｏｗ  Ｐａｃｋｅｔ  Ｉｎｓｐｅｃｔｉｏｎの機能に相当する。他の構成例として、通信監視部１１にＳｈａｌｌｏｗ  Ｐａｃｋｅｔ  Ｉｎｓｐｅｃｔｉｏｎの機能を備えて、その結果の情報を通信監視部１１から端末識別情報データベース１３に出力することも可能である。
【００４０】
図２は、本発明の一実施形態に係る端末識別情報データベース１３に記憶される端末識別情報の一例を示す図である。
本実施形態では、端末識別情報データベース１３に記憶される端末識別情報は、ネットワーク関連情報と、端末情報とを対応付けて、構成されている。
図２の例では、ネットワーク関連情報として、端末装置に割り当てられたネットワーク内識別子を特定する情報（ネットワーク内識別子の情報）や、端末装置が使用したネットワークを特定する情報（ネットワークの情報）や、端末装置がネットワークを使用した時刻を特定する情報（時刻の情報）を用いている。なお、ネットワーク関連情報としては、様々なものが様々な組み合わせで用いられてもよい。
また、図２の例では、端末情報として、ＨＴＴＰに関する情報や、ＴＣＰのフィンガプリントに関する情報や、Ｗｅｂブラウザの出力ヘッダに関する情報などを用いている。なお、端末情報としては、様々なものが様々な組み合わせで用いられてもよい。
【００４１】
端末個体識別部１４は、端末識別情報データベース１３に記憶される端末識別情報を参照して、これに基づいて、同一の個体の端末装置である（例えば、そのように推定される）と判定（検出）した端末装置に関する情報を出力する。
本実施形態では、端末個体識別部１４は、端末識別情報データベース１３に蓄えられた情報を集計し、同一の個体の端末装置であると判定される端末装置ごとに、ネットワーク内識別子の情報を、時刻の情報（時刻情報）やネットワークの情報（ネットワーク情報）と対応付けて出力する。ネットワーク内識別子としては、例えば、異なるネットワークにおける２個以上のネットワーク内識別子の群であってもよい。
【００４２】
ここで、同一の個体の端末装置であることは、例えば、端末識別情報における端末情報に含まれる複数の情報が全て一致したような場合に、判定する。
また、ネットワーク内識別子の情報や、時刻情報や、ネットワーク情報は、例えば、端末識別情報データベース１３から入力されて得られる端末識別情報におけるネットワーク関連情報から取得される。
【００４３】
一例として、図２の例に係る端末識別情報に基づいて、端末個体識別部１４は、「あるユーザの端末装置は、時刻が００：００：００〜０１：００：００の範囲にある時間帯においてはネットワークＡにおいてアドレスａを使用した通信を行っていたが、時刻が０３：００：００〜０５：００：００の範囲にある時間帯においてはネットワークＢにおいてアドレスｂを使用した通信を行っていた」ということを判定して、その情報を出力する。この場合に、端末個体識別部１４は、ネットワークＡにおいてアドレスａを使用した通信を行っていた端末装置について得られた端末情報と、ネットワークＢにおいてアドレスｂを使用した通信を行っていた端末装置について得られた端末情報とが、全部について、または、あらかじめ定められた一部について、または、あらかじめ定められた閾値（例えば、個数、または、割合など）以上について、一致することを判定した場合に、これらの端末装置が同一の個体の端末装置であると判定する。
【００４４】
以上のように、本実施形態に係る識別装置１では、例えば、通信内容の静的な監視を行い、Ｄｅｅｐ  Ｐａｃｋｅｔ  Ｉｎｓｐｅｃｔｉｏｎを用いて収集した各種の情報を組み合わせることで、端末装置の個体を識別する。本実施形態に係る識別装置１では、例えば、端末装置ごとに固有な通信方法の特徴などを利用することで、端末装置の個体を一意に識別する。これにより、本実施形態に係る識別装置１では、通信監視部１１により得られた通信パケットを通信網（本実施形態では、回線２）に送信（送出）した端末装置の個体を識別することができる。
【００４５】
このように、本実施形態に係る識別装置１によると、端末装置の個体識別を効果的に行うことができ、例えば、高速且つ高精度に、低コストで、端末装置の個体識別を行うことが可能となる。本実施形態に係る識別装置１によると、例えば、１個１個の端末装置を匿名化して特定することも可能である。また、本実施形態に係る識別装置１によると、例えば、３ＧＰＰなどの携帯網やＷｉＦｉ網などのように、異なる複数のネットワークの間においても、同一の端末装置を紐付けすることが可能であり、ネットワークの改善に役立つことができる。
【００４６】
［以上の実施形態に係る構成例］
ここで、本実施形態に係る（構成例１）〜（構成例６）を示す。
（構成例１）
識別装置１は、監視対象の通信パケットの情報を取得する通信監視部１１と、前記通信監視部１１により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の個体識別に係る情報を取得する通信プロトコル分析部１２と、前記通信プロトコル分析部１２により取得される情報（例えば、端末情報）、および、前記通信監視部１１により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報（例えば、ネットワーク関連情報）を記憶する端末識別情報データベース（情報記憶部）１３と、を備える。
【００４７】
この（構成例１）に係る識別装置１では、端末識別情報データベース（情報記憶部）１３に記憶される情報により、端末装置の個体を識別することができる。具体的には、この（構成例１）に係る識別装置１では、端末識別情報データベース（情報記憶部）１３に記憶される情報を外部の装置などに出力することにより、当該外部の装置などにおいて、入力される当該情報に基づいて、端末装置の個体を識別することができる。
なお、この（構成例１）に係る識別装置１では、監視対象の通信パケットの情報を取得する通信監視部１１は、例えば、回線（ネットワーク）上に流れる通信パケットを直接処理してもよく、または、他の構成例として、ファイル等に蓄えられた通信パケットの情報に対して処理を行ってもよい。
【００４８】
（構成例２）
上記した（構成例１）に記載した識別装置１において、前記通信パケットの特徴を示す情報は、ネットワーク内識別子の情報を含み、さらに、前記端末識別情報データベース（情報記憶部）１３に記憶される情報に基づいて、同一の端末装置個体であるとされる端末装置ごとに、ネットワーク内識別子の情報を出力する端末個体識別部１４を備える。
【００４９】
（構成例３）
上記した（構成例２）に記載した識別装置１において、前記通信パケットの特徴を示す情報は、さらに、時刻の情報およびネットワークの情報を含み、前記端末個体識別部１４は、前記ネットワーク内識別子の情報を、時刻の情報およびネットワークの情報と共に出力する。
【００５０】
（構成例４）
上記した（構成例１）から上記した（構成例３）のいずれか１つに記載の識別装置１において、前記通信プロトコル分析部１２は、ＨＴＴＰプロトコルにおけるＵｓｅｒ−Ａｇｅｎｔの情報、または、ＴＣＰのフィンガプリントの情報、または、Ｗｅｂブラウザが出力するヘッダの情報、インストール済みのプラグインの情報、およびそのプラグインのバージョンの情報、または、前記端末装置のクロックスキューの情報、または、前記端末装置のアクセス先のホストの情報、または、前記端末装置の動画のアプリケーションの閲覧設定の情報、のうちの１つ以上を取得する。
【００５１】
（構成例５）
識別装置１において行われる識別方法では、通信監視部１１が、監視対象の通信パケットの情報を取得し、通信プロトコル分析部１２が、前記通信監視部１１により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の個体識別に係る情報を取得し、端末識別情報データベース（情報記憶部）１３が、前記通信プロトコル分析部１２により取得される情報、および、前記通信監視部１１により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報を記憶する。
【００５２】
（構成例６）
識別装置１において用いられて実行されるプログラム（識別プログラム）は、通信監視部１１が、監視対象の通信パケットの情報を取得するステップと、通信プロトコル分析部１２が、前記通信監視部１１により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の個体識別に係る情報を取得するステップと、端末識別情報データベース（情報記憶部）１３が、前記通信プロトコル分析部１２により取得される情報、および、前記通信監視部１１により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報を記憶するステップと、をコンピュータに実行させる。
【００５３】
［以上の実施形態のまとめ］
ここで、以上の実施形態では、ＴＣＰ／ＩＰを用いた通信を例としたが、必ずしもそれに限定されるものではなく、例えば、通信サービス一般に広く適用することが可能である。
同様に、対象とする通信プロトコルについても、特定の通信プロトコルに限定されるものではなく、例えば、端末装置の個体（例えば、種類など）に係る情報を含む通信プロトコル一般に広く適用することが可能である。通信プロトコルの具体例としては、例えば、ＨＴＴＰ以外に、ＳＭＴＰ（Ｓｉｍｐｌｅ  Ｍａｉｌ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）などに適用することが可能である。
【００５４】
また、以上の実施形態では、端末装置の種類を識別する情報として、ＯＳ情報、機種名情報、番号情報を例としたが、他の様々な情報が用いられてもよい。具体的には、端末装置の種類を識別する情報として、例えば、ＯＳを主とする以外に、ミドルウェアのバージョン（ミドルウェアの種類）を示す情報や、特定のアプリケーションのバージョン（特定のアプリケーションの種類）を示す情報などを用いることも可能である。
【００５５】
また、端末装置としては、様々なものが用いられてもよく、例えば、スマートフォンを含む携帯電話、パーソナルコンピュータ（ＰＣ）、ホームゲートウェイ、専用端末などの端末装置を用いることができる。
【００５６】
以上、本発明の実施形態について図面を参照して詳述したが、具体的な構成はこの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。
【００５７】
また、以上に示した実施形態に係る識別装置１の全部または一部の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより、処理を行ってもよい。
【００５８】
なお、ここで言う「コンピュータシステム」とは、オペレーティング・システム（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ；ＯＳ）や周辺機器等のハードウェアを含むものであってもよい。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）、フラッシュメモリ等の書き込み可能な不揮発性メモリ、ＤＶＤ（Ｄｉｇｉｔａｌ  Ｖｅｒｓａｔｉｌｅ  Ｄｉｓｋ）等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことを言う。
【００５９】
さらに、「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（例えばＤＲＡＭ（Ｄｙｎａｍｉｃ  Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ））のように、一定時間プログラムを保持しているものも含むものとする。
また、上記のプログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことを言う。
また、上記のプログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【符号の説明】
【００６０】
１…識別装置、２…回線、１１…通信監視部、１２…通信プロトコル分析部、１３…端末識別情報データベース（情報記憶部）、１４…端末個体識別部
【図１】
2014165844.tif 000003
【図２】
2014165844.tif 000004