(57)【要約】  プロトコルライブラリを更新する必要があるかどうかをＤＰＩ装置自身が判断することを可能にするために、パケット分析装置は、検査の対象となるパケットの、１つ以上の特徴が記録されたプロトコルライブラリと、プロトコルライブラリの内容に基づいて、入力されたパケットに特徴が含まれるか否かを検出する検査部と、特徴が検出された入力されたパケットのトラヒック数及び特徴が検出されなかった入力されたパケットのトラヒック数を、所定の期間及び特徴毎にカウントする計数部と、計数部のカウント結果に基づいてプロトコルライブラリの更新の要否を判断し、更新が必要である場合にはダウンロードサーバからより新しいプロトコルライブラリをダウンロードする分析手段と、を備える。
2016185721.tif 000002
【特許請求の範囲】
【請求項１】
検査の対象となるパケットの、１つ以上の特徴が記録されたプロトコルライブラリと、
前記プロトコルライブラリの内容に基づいて、入力されたパケットに前記特徴が含まれるか否かを検出する検査手段と、
前記特徴が検出された前記入力されたパケットのトラヒック数及び前記特徴が検出されなかった前記入力されたパケットのトラヒック数を、所定の期間及び前記特徴毎にカウントする計数手段と
前記計数手段のカウント結果に基づいて前記プロトコルライブラリの更新の要否を判断し、前記更新が必要である場合にはダウンロードサーバからより新しいプロトコルライブラリをダウンロードする分析手段と、
を備えるパケット分析装置。
【請求項２】
前記検査手段は、前記入力されたパケットを用いるアプリケーション及び前記入力されたパケットの伝送に用いられるプロトコルの少なくとも一方を前記特徴として検出することを特徴とする、請求項１に記載されたパケット分析装置。
【請求項３】
前記計数手段は、前記入力されたパケットの特徴が検出されたトラヒック数及び前記入力されたパケットの特徴が検出されなかったトラヒック数を、パケット単位及び前記パケットのトランザクション単位のいずれかによりカウントすることを特徴とする、請求項１又は２に記載されたパケット分析装置。
【請求項４】
前記分析手段は、第１の時点の前に入力されたパケットにおいて前記特徴が検出されたトラヒック数が第１の値以上であり、前記第１の時点の後に入力されたパケットにおいて前記特徴が検出されたトラヒック数が所定の回数連続して前記第１の値未満である場合に、前記プロトコルライブラリの更新が必要であると判断することを特徴とする、請求項１乃至３のいずれかに記載されたパケット分析装置。
【請求項５】
前記分析手段は、第１の時点後の前記特徴が検出されないトラヒック数の、前記入力されたパケットの全体のトラヒック数に対する比が所定の回数連続して第２の値以上である場合に、前記プロトコルライブラリの更新が必要であると判断することを特徴とする、請求項１乃至４のいずれかに記載されたパケット分析装置。
【請求項６】
前記分析手段は、前記プロトコルライブラリの更新の要否を判断した結果を含む分析結果リストを作成し、前記プロトコルライブラリの更新が必要であると判断した場合には、前記分析結果リストを保守者に通知することを特徴とする、請求項１乃至５のいずれかに記載されたパケット分析装置。
【請求項７】
請求項１乃至６のいずれかに記載されたパケット分析装置と、
前記パケット分析装置に接続された前記ダウンロードサーバと、
前記パケット分析装置を経由してパケットを送受信する１個以上の通信装置と、
を備えるパケット分析システム。
【請求項８】
検査の対象となるパケットの１つ以上の特徴を記録したプロトコルライブラリの内容に基づいて、入力されたパケットに前記特徴が含まれるか否かを検出し、
前記特徴が検出された前記入力されたパケットのトラヒック数及び前記特徴が検出されなかった前記入力されたパケットのトラヒック数を、所定の期間及び前記特徴毎にカウントし、
前記カウントの結果に基づいて前記プロトコルライブラリの更新の要否を判断し、
前記更新が必要であると判断された場合にはより新しいプロトコルライブラリをダウンロードサーバからダウンロードする、
ことを特徴とするパケット分析方法。
【請求項９】
プログラムを記録した一時的でない記録媒体であって、前記プログラムは、パケット分析装置のコンピュータに、
検査の対象となるパケットの１つ以上の特徴を記録したプロトコルライブラリの内容に基づいて、入力されたパケットに前記特徴が含まれるか否かを検出する手順、
前記特徴が検出された前記入力されたパケットのトラヒック数及び前記特徴が検出されなかった前記入力されたパケットのトラヒック数を、所定の期間及び前記特徴毎にカウントする手順、
前記カウントの結果に基づいて前記プロトコルライブラリの更新の要否を判断する手順、
前記更新が必要であると判断された場合にはより新しいプロトコルライブラリをダウンロードサーバからダウンロードする手順、
を実行させる、
ことを特徴とする記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、パケット分析装置及びパケット分析方法に関し、特に、パケットの伝送に用いられるプロトコルやパケットを利用しているアプリケーション等を検出する機能を備えるＤＰＩ（Deep Packet Inspection）装置及びその動作手順に関する。
【背景技術】
【０００２】
ＤＰＩ装置は、ネットワークを流れるパケットに含まれる情報から、当該パケットの伝送に用いられるプロトコルや、当該パケットを利用するアプリケーションを検出する機能を備える。ＤＰＩ装置が検出しようとするプロトコルやアプリケーションの特徴を収録したファイルは、プロトコルライブラリ（あるいはアプリケーション定義ファイル）と呼ばれる。ＤＰＩ装置は、自身が保持するプロトコルライブラリを用いて、入力されるパケットの特徴（すなわち、プロトコルやアプリケーション）を検出する。ＤＰＩ装置が保持するプロトコルライブラリを自動的に更新する機能に関連した技術として、コンピュータウイルス検出装置におけるウイルス定義ファイルの自動更新機能が知られている。コンピュータウイルス検出装置は、例えば特許文献１に記載されている。【０００３】
一般的なコンピュータウイルス検出装置は、ウイルス対策プログラムによってウイルス定義ファイルの自動更新機能を提供する。ウイルス対策プログラムに含まれる自動更新エージェントは、インターネット上にあるダウンロードサーバに対して、最新のウイルス定義ファイルの有無を定期的に確認する。そして、最新のウイルス定義ファイルがダウンロードサーバに存在する場合には、自動更新エージェントは、最新のウイルス定義ファイルをダウンロードしてコンピュータウイルス検出装置に記憶された古いウイルス定義ファイルを更新する。【０００４】
本発明に関連して、特許文献２には、データパケットのヘッダ情報がフローテーブルに登録されたヘッダ情報と一致するか否かを判定する機能を備える入出力装置が記載されている。特許文献３には、位置誤差平均値が連続して閾値を越えた場合に補正テーブルを更新するタイミングであると判断する機能を備えるディスク駆動装置が記載されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００３−１８６６８７号公報
【特許文献２】特開２０１４−２３６２６８号公報
【特許文献３】特開平１０−０２１６６２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
ＤＰＩ装置に入力されるパケットに、ＤＰＩ装置が保有するプロトコルライブラリに登録されていない未知のアプリケーション、又は、既知であるがアプリケーションのバージョンアップの結果ＤＰＩ装置では検出できなくなっているアプリケーションが含まれている場合がある。このような場合には、ＤＰＩ装置が保有するプロトコルライブラリを更新する必要がある。そして、一般的なウイルス定義ファイルの更新技術をＤＰＩ装置へ適用することで、ダウンロードサーバに最新のプロトコルライブラリが存在するかどうかを定期的に確認する機能を備えるＤＰＩ装置が実現される。【０００７】
しかし、ＤＰＩ装置で保有されるプロトコルライブラリが陳腐化したかどうかをＤＰＩ装置自身のみでは判断することができない。その結果、最新のプロトコルライブラリがダウンロードサーバに公開された後、ＤＰＩ装置がダウンロードサーバへの定期的なアクセスによりその更新を検出するまでの期間は、ＤＰＩ装置は旧版のプロトコルライブラリを利用する。この期間には、ＤＰＩ装置において、プロトコルライブラリが最新版でないことに起因する誤検出あるいは検出漏れが発生する可能性がある。【０００８】
このように、一般的なＤＰＩ装置では、ＤＰＩ装置自身のみでプロトコルライブラリを更新する必要があるかどうかを判断することができないため、プロトコルライブラリが最新版でないことに起因する誤検出あるいは検出漏れが発生する可能性がある。【０００９】
特許文献２には、検査キーテーブルに登録された検査キーが含まれているか否かを判定する機能について記載されている。しかし、特許文献２には、検査キーテーブルが陳腐化した場合の課題及び更新手順に関しては記載されていない。特許文献３には、所定の量を計測して計測内容によりテーブルを更新する技術が記載されている。しかし、特許文献３はディスク装置のヘッド位置の誤差の補正に関する発明であり、ＤＰＩ装置の上述の課題を解決する手順を開示していない。【００１０】
（発明の目的）
本発明は、プロトコルライブラリを更新する必要があるかどうかをＤＰＩ装置のみで判断することを可能にするための技術を提供することを目的とする。
【課題を解決するための手段】
【００１１】
本発明のパケット分析装置は、検査の対象となるパケットの、１つ以上の特徴が記録されたプロトコルライブラリと、前記プロトコルライブラリの内容に基づいて、入力されたパケットに前記特徴が含まれるか否かを検出する検査手段と、前記特徴が検出された前記入力されたパケットのトラヒック数及び前記特徴が検出されなかった前記入力されたパケットのトラヒック数を、所定の期間及び前記特徴毎にカウントする計数手段と、前記計数手段のカウント結果に基づいて前記プロトコルライブラリの更新の要否を判断し、前記更新が必要である場合にはダウンロードサーバからより新しいプロトコルライブラリをダウンロードする分析手段と、を含む。【００１２】
本発明のパケット分析方法は、検査の対象となるパケットの１つ以上の特徴を記録したプロトコルライブラリの内容に基づいて、入力されたパケットに前記特徴が含まれるか否かを検出し、前記特徴が検出された前記入力されたパケットのトラヒック数及び前記特徴が検出されなかった前記入力されたパケットのトラヒック数を、所定の期間及び前記特徴毎にカウントし、前記カウント結果に基づいて前記プロトコルライブラリの更新の要否を判断し、前記更新が必要であると判断された場合にはより新しいプロトコルライブラリをダウンロードサーバからダウンロードする、手順を含む。【００１３】
本発明のパケット分析プログラムは、パケット分析装置のコンピュータに、検査の対象となるパケットの１つ以上の特徴を記録したプロトコルライブラリの内容に基づいて、入力されたパケットに前記特徴が含まれるか否かを検出する手順、前記特徴が検出された前記入力されたパケットのトラヒック数及び前記特徴が検出されなかった前記入力されたパケットのトラヒック数を、所定の期間及び前記特徴毎にカウントする手順、前記カウント結果に基づいて前記プロトコルライブラリの更新の要否を判断する手順、前記更新が必要であると判断された場合にはより新しいプロトコルライブラリをダウンロードサーバからダウンロードする手順、を実行させる。
【発明の効果】
【００１４】
本発明のパケット分析装置及びパケット分析方法は、プロトコルライブラリを更新する必要があるかどうかをパケット分析装置のみにより判断できるという効果を奏する。
【図面の簡単な説明】
【００１５】
【図１】第１の実施形態のパケット分析システム１００の構成を示すブロック図である。
【図２】ＤＰＩ装置１３及びダウンロードサーバ１４の構成例を示すブロック図である。
【図３】ＤＰＩ装置１３の動作手順の例を示すフローチャートである。
【図４】分析結果リスト２４の例を示す図である。
【図５】分析モジュール２３の第1の処理手順を示すフローチャートである。
【図６】分析モジュール２３の第２の処理手順を示すフローチャートである。
【図７】分析結果が追記された、分析結果リスト２４の例を示す図である。
【発明を実施するための形態】
【００１６】
（実施形態の概要）
以下に説明する実施形態では、アプリケーションやプロトコルの検出状況の分析結果に基づいて、プロトコルライブラリを更新する必要があるかどうかをＤＰＩ装置自身が判断する。ＤＰＩ装置は、分析結果に基づき、プロトコルライブラリの更新の必要性を判断する。さらに、ＤＰＩ装置は、ダウンロードサーバへ分析結果リストをアップロードする。分析結果リストには、ＤＰＩ装置で保持されるプロトコルライブラリを更新する必要があるかどうかを判定した結果が記載される。分析結果リストをダウンロードサーバへアップロードすることで、ダウンロードサーバのプロトコルライブラリを最新化する必要があることを保守者に通知できる。
【００１７】
（第１の実施形態）
図１は本発明の第１の実施形態のパケット分析システム１００の構成を示すブロック図である。パケット分析システム１００は、クライアントノード１１、ルータ１２及び１５、ＤＰＩ装置１３、ダウンロードサーバ１４、サーバノード１６を備える。ルータ１２は、クライアントノード１１及びＤＰＩ装置１３と接続される。ルータ１５は、ＤＰＩ装置１３及びサーバノード１６と接続される。ＤＰＩ装置１３は、ルータ１２、１５及びダウンロードサーバ１４と接続される。クライアントノード１１とサーバノード１６とは、ルータ１２、１５及びＤＰＩ装置１３を介してＩＰ（Internet Protocol）パケット通信を行う。
【００１８】
図２は、ＤＰＩ装置１３及びダウンロードサーバ１４の構成例を示すブロック図である。ＤＰＩ装置１３には、ルータ１２及びルータ１５からＩＰパケットが入力される。図２は、例として検査部２１にルータ１２からＩＰパケットが入力され、検査部２１で検査されたＩＰパケットがルータ１５へ出力される場合を示す。ＤＰＩ装置１３は、ルータ１５から入力されたＩＰパケットに対しても同様の動作を行い、検査されたＩＰパケットをルータ１２へ出力する。
【００１９】
ＤＰＩ装置１３は、検査部２１、検出数カウンタ２２、分析モジュール２３、分析結果リスト２４、プロトコルライブラリ２５を備える。
【００２０】
プロトコルライブラリ２５は、ＤＰＩ装置１３において検出の対象となるパケットの伝送に用いられるプロトコルの特徴及びパケットを用いるアプリケーションの特徴を収録したデータである。プロトコルライブラリ２５は、固定磁気ディスクあるいは半導体メモリに記録されてもよい。検査部２１は、プロトコルライブラリ２５の内容を参照して、入力されたＩＰパケットにプロトコルライブラリ２５に収録された特徴が含まれるかどうかを走査する。すなわち、検査部２１は、プロトコルライブラリ２５に収録された特徴とＩＰパケットの内容とを比較することによってＩＰパケットの伝送に用いられるプロトコルやＩＰパケットを利用しているアプリケーションを検出する。検査部２１は、電子回路で構成されてもよい。
【００２１】
検出数カウンタ２２は、検査部２１に入力される、特徴の検出の対象となる全パケット数、特徴の検出に成功したアプリケーション数、及び、特徴が検出できなかったアプリケーション数をカウントして保持する。検出数カウンタ２２は、計数回路及びメモリで構成されてもよい。分析モジュール２３は、検出数カウンタ２２のカウント結果を分析結果に基づいて分析結果リスト２４を作成するとともに、プロトコルライブラリ２５の更新要否を判断する。
【００２２】
分析モジュール２３は、プロトコルライブラリ２５の更新が必要と判断すると、ダウンロードサーバ１４からプロトコルライブラリ２６をダウンロードして、プロトコルライブラリ２５に格納する。このようにして、プロトコルライブラリ２５の内容がプロトコルライブラリ２６の内容によって更新される。
【００２３】
ダウンロードサーバ１４は例えばサーバ装置であり、ＤＰＩ装置１３のプロトコルライブラリ２５を更新するためのデータであるプロトコルライブラリ２６、及び、分析結果データベース２７を備える。分析結果データベース２７は、ＤＰＩ装置１３からアップロードされた分析結果リスト２４を格納する。分析結果リスト２４については後述する。ダウンロードサーバ１４において、プロトコルライブラリ２６及び分析結果データベース２７は、例えば固定磁気ディスクあるいは半導体メモリに記録されたデータである。
【００２４】
（第１の実施形態の動作）
本実施形態のパケット分析システム１００の動作を、図３を参照して説明する。図３は、ＤＰＩ装置１３の動作手順の例を示すフローチャートである。本実施形態では、ＤＰＩ装置１３が、入力されたＩＰパケットを利用するアプリケーションを検出する場合について説明する。しかし、ＤＰＩ装置１３は、ＩＰパケットの伝送に用いられるプロトコルを検出してもよく、プロトコル及びアプリケーションの両方を検出してもよい。また、検出の対象はプロトコル及びアプリケーションに限られない。例えば、ＩＰパケットに含まれるＩＰアドレスやｈｔｔｐ（hypertext transfer protocol）アドレスが検出の対象となってもよい。検出の対象となる特徴は、プロトコルライブラリ２５に収録される。
【００２５】
ＤＰＩ装置１３にＩＰパケットが入力されると、検査部２１は、プロトコルライブラリ２５を参照して、ＩＰパケットを利用しているアプリケーションを検出して特定する（図３のステップＳ１１）。検出数カウンタ２２は、ステップＳ１１においてアプリケーションが検出された回数及びアプリケーションが検出されなかった回数をカウントする（ステップＳ１２）。検出数カウンタ２２は、例えば、パケット単位やトランザクション単位でアプリケーションの検出回数をカウントする。
【００２６】
分析モジュール２３は、検出数カウンタ２２のカウント数を分析し、分析結果リスト２４を作成し（ステップＳ１３）、プロトコルライブラリ２５を更新する必要があるかどうかを判断する（ステップＳ１４）。更新の必要性の判断手順は後述する。また、分析モジュール２３は、ステップＳ１１〜Ｓ１３の処理と並行して、所定の周期でダウンロードサーバ１４へプロトコルライブラリ２６が最新化されているかどうかを確認する（ステップＳ１５）。
【００２７】
分析モジュール２３は、プロトコルライブラリ２５の更新が必要であると判断した場合（ステップＳ１４：Ｙｅｓ）、プロトコルライブラリ２５よりも新しいデータがダウンロードサーバ１４のプロトコルライブラリ２６に存在するかどうかを確認する（ステップＳ１６）。新しいライブラリデータがダウンロードサーバ１４に存在する場合には（ステップＳ１６：Ｙｅｓ）、分析モジュール２３はダウンロードサーバ１４からプロトコルライブラリ２６をダウンロードし、プロトコルライブラリ２５を更新する（ステップＳ１８）。
【００２８】
ステップＳ１５においてプロトコルライブラリ２５よりもプロトコルライブラリ２６が新しいことが判明した場合にも、分析モジュール２３は、プロトコルライブラリ２５の更新が必要であると判断し、ステップＳ１８の処理を行う。
【００２９】
分析モジュール２３は、プロトコルライブラリ２５の更新が必要でないと判断した場合には（ステップＳ１４：Ｎｏ）、プロトコルライブラリ２６をダウンロードしない（ステップＳ１７）。分析モジュール２３は、ＤＰＩ装置１３が保持するライブラリデータよりも新しいライブラリデータがダウンロードサーバ１４に存在しない場合にも（ステップＳ１６：Ｎｏ）、プロトコルライブラリ２６をダウンロードしない（ステップＳ１７）。
【００３０】
ステップＳ１７又はＳ１８に続いて、分析モジュール２３は、分析結果リスト２４をダウンロードサーバ１４へアップロードする（ステップＳ１９）。ダウンロードサーバ１４は、分析結果リスト２４を分析結果データベース２７に格納する。なお、プロトコルライブラリ２５の更新が必要でないと判断された場合（ステップＳ１４：Ｎｏ）は、分析モジュール２３は、ステップＳ１９において分析結果リスト２４をダウンロードサーバへアップロードしなくともよい。
【００３１】
以上の手順によって、ＤＰＩ装置１３は、ＤＰＩ装置１３が保持するプロトコルライブラリの更新の要否を自ら判断し、必要に応じて自動的にプロトコルライブラリ２５を更新する。
【００３２】
続いて、検出数カウンタ２２及び分析モジュール２３の動作手順について説明する。図４は、分析結果リスト２４の例を示す表である。図４の分析結果リスト２４には、検出数カウンタ２２のカウント結果が、日毎に記載される。アプリケーション毎の検出数は、分析結果リスト２４のＡＰＬ１〜ＡＰＬ９の欄に格納される。ＡＰＬ１〜ＡＰＬ９は、それぞれ異なる９種類のアプリケーションを表す。アプリケーションの数は例示であり９種類には限定されない。
【００３３】
上述したように、検出数カウンタ２２は、例えば、パケット単位やトランザクション単位でアプリケーション毎に検出数をカウントする。図４におけるカウント数の単位は例えば「パケット数」や「トランザクション数」であるが、これらには限定されない。アプリケーションが検出されなかった場合のカウント数は、「未検出ＡＰＬ」の欄に記録される。
【００３４】
検出数カウンタ２２は、日単位でアプリケーションの検出数をカウントし、合計１０日分の検出数を保持する。図４の「１ｄａｙ」、「２ｄａｙ」・・・「１０ｄａｙ」は、それぞれ１日目、２日目・・・１０日目のカウント数を表す。例えば、ＡＰＬ１に対応するアプリケーションの１日目の検出数は１００である。また、２日目にアプリケーションが検出されなかったカウント数は、「未検出ＡＰＬ」の欄に２００と記載される。「合計」の欄のカウント数は、「ＡＰＬ１」〜「ＡＰＬ９」の欄及び「未検出ＡＰＬ」の欄のカウント数の総和である。図４の分析結果リスト２４では、１日ごとのカウント数が集計される。しかし、カウント数の集計期間は、１時間毎、１０分毎等、より短期間であってもよい。あるいは、１週間毎等、より長期間であってもよい。
【００３５】
図４において、破線で囲まれた部分は、「０」が７回連続しているか、アプリケーションの未検出率が３０％以上である日が７回連続していることを示す。アプリケーションの未検出率は、「合計」欄のカウント数に対する「未検出ＡＰＬ」の欄のカウント数の割合である。
【００３６】
分析モジュール２３は、検出数カウンタ２２のカウント数に基づいて図４に示す分析結果リスト２４を作成する。そして、分析モジュール２３は、図５及び図６に示す処理フローに従ってカウンタ情報を分析し、分析結果を分析結果リスト２４に追記する。
【００３７】
図５及び図６は、分析モジュール２３のそれぞれ第１及び第２の処理手順を示すフローチャートである。図５を参照すると、分析モジュール２３は、あるアプリケーションで、７回連続（すなわち、７日間連続）カウントが「０」かつ１回目の「０」の１つ前のカウンタが「１以上」であるかどうかを判断する（図５のステップＳ２１）。いずれかのアプリケーションのカウント結果がステップＳ２１の条件を満たす場合には（ステップＳ２１：Ｙｅｓ）、分析モジュール２３は、プロトコルライブラリ２５を更新する必要があると判断する（ステップＳ２２）。図４では、「ＡＰＬ１」、「ＡＰＬ２」、「ＡＰＬ７」でステップＳ２１が「Ｙｅｓ」となる条件を満たしている。ステップＳ２１の条件が満たされない場合（ステップＳ２１：Ｎｏ）、分析モジュール２３は、ステップＳ２１ではプロトコルライブラリ２５を更新する必要はないと判断する。図５の手順では、分析モジュール２３は、所定の回数連続して検出されなくなったアプリケーションが存在する場合に、プロトコルライブラリ２５の更新が必要であると判断する。
【００３８】
図６を参照すると、分析モジュール２３は、全トラヒックに対する未検出ＡＰＬのカウント数の割合（未検出率）が３０％以上である状態が７回連続（すなわち、７日間連続）しているアプリケーションが存在するかどうかを判断する（図６のステップＳ３１）。全トラヒックは、図４の「合計」の欄のカウント数である。ステップＳ３１の条件が満たされる場合（ステップＳ３１：Ｙｅｓ）、分析モジュール２３は、プロトコルライブラリ２５を更新する必要があると判断する（ステップＳ３２）。ステップＳ３１の条件が満たされない場合（ステップＳ３１：Ｎｏ）、分析モジュール２３は、ステップＳ３１ではプロトコルライブラリ２５を更新する必要はないと判断する。図６の手順では、分析モジュール２３は、アプリケーションが検出されないトラヒック数の全体のトラヒック数に対する比が、所定の回数連続して所定の値以上である場合に、プロトコルライブラリ２５の更新が必要であると判断する。
【００３９】
分析モジュール２３は、毎日、過去の１０日間の分析結果リスト２４に基づいて図５又は図６の手順を実行してもよい。図５及び図６の手順では、アプリケーションの検出量あるいは検出率の低下の原因は、プロトコルライブラリ２５の内容が古くなったことに起因するとの推定に基づいて、分析モジュール２３はプロトコルライブラリ２５の更新が必要と判断する。分析モジュール２３は、図５及び図６の両方の手順を併用して、現状のプロトコルライブラリ２５の更新が必要であるかどうかを判断してもよい。プロトコルライブラリ２５の更新が必要と判断されるアプリケーションの検出量あるいは検出率は、例えば、プロトコルライブラリ２５の更新の許容される頻度と、システムとして要求されるアプリケーションの検出量あるいは検出率とに基づいて決定されてもよい。アプリケーションの検出量あるいは検出率を高く維持するためには、プロトコルライブラリ２５を頻繁に更新することが必要となる可能性がある。
【００４０】
図７は、分析結果が追記された、分析結果リスト２４の例を示す図である。分析モジュール２３は、検出数カウント部２２のカウント結果及びプロトコルライブラリ２５の更新の必要性の判断結果に基づいて、図７に例示される分析結果リスト２４を作成する。分析モジュール２３は、図３のステップＳ１３で作成した図４の分析結果リスト２４に、ステップＳ１４（具体的には例えば図５又は図６の手順）の実行結果を「未検出ＡＰＬ率」欄及び「判定」欄として追加して、図７の分析結果リスト２４を作成する。「未検出ＡＰＬ率」は、「合計」欄に対する「未検出ＡＰＬ」欄の割合である。
【００４１】
図７の「ＡＰＬ１」から「ＡＰＬ９」の判定欄において、「×」印は、検出数が低下したと判断されたアプリケーション（すなわち、プロトコルライブラリ２５を更新する必要があると判断されたアプリケーション）を示す。また、それ以外のアプリケーション（すなわち、プロトコルライブラリ２５を更新する必要があると判断されなかったアプリケーション）は「○」印で示される。同様に、図７の「未検出ＡＰＬ率」の判定欄において、アプリケーションが検出されないトラヒックの割合が増加したと判断された場合には「×」印、増加したと判断されていない場合は「○」印が付される。ＤＰＩ装置１３は、図７に示す分析結果リスト２４をダウンロードサーバ１４上の分析結果データベース２７へ送信する。
【００４２】
図３で説明したように、プロトコルライブラリ２５の更新が必要と判断されており、かつプロトコルライブラリ２６がプロトコルライブラリ２５よりも新しい場合には、ＤＰＩ装置１３は、自らプロトコルライブラリ２６をダウンロードしてプロトコルライブラリ２５を更新する。
【００４３】
さらに、プロトコルライブラリ２５の更新の必要があると判断された場合には、ダウンロードサーバ１４に送信される分析結果リスト２４の「判定」欄に「×」印が記載される。従って、ダウンロードサーバ１４のオペレータは、プロトコルライブラリ２５の更新が必要であるにもかかわらず、プロトコルライブラリ２６がプロトコルライブラリ２５よりも新しくない場合には、プロトコルライブラリ２６を更新する必要があることを知ることができる。
【００４４】
分析モジュール２３は、所定の周期でダウンロードサーバ１４のプロトコルライブラリ２６によってプロトコルライブラリ２５を更新する機能も具備してもよい。プロトコルライブラリ２５が定期的に更新される場合であっても、オペレータは、図７に示した分析結果リスト２４の「判定」欄を参照することで、更新周期の間にプロトコルライブラリ２５が陳腐化したことを知ることができる。
【００４５】
（効果の説明）
第１の実施形態のパケット分析システム１００は、プロトコルライブラリ２５の更新の必要性を、ダウンロードサーバ１４にアクセスすることなく、ＤＰＩ装置１３のみにより判断できる。その理由は、ＤＰＩ装置１３におけるアプリケーションの検出量あるいは検出率に基づき、ＤＰＩ装置１３自身が、プロトコルライブラリ２５の更新の必要性を判断するからである。
【００４６】
そして、ＤＰＩ装置１３は、プロトコルライブラリ２５の定期的な更新周期の到来を待たずに、プロトコルライブラリ２５を自動的に更新できる。これにより、パケット分析システム１００は、プロトコルライブラリが最新版でないことに起因する誤検出あるいは検出漏れが発生する可能性を低減できる。いいかえれば、本実施形態のパケット分析システム１００は、ＤＰＩ装置１３のプロトコルライブラリが陳腐化したことを早期に知ることができる。
【００４７】
さらに、パケット分析システム１００では、ＤＰＩ装置１３が保持するプロトコルライブラリ２５の更新が必要であるにもかかわらずダウンロードサーバ１４に最新のプロトコルライブラリ２６が存在しない場合にも、分析結果リスト２４を用いて、プロトコルライブラリ２６の更新の必要性をオペレータに通知することが可能となる。
【００４８】
（第２の実施形態）
第１の実施形態で説明したパケット分析システム１００で用いられるＤＰＩ装置１３は、一般的にはパケット分析装置と呼ぶことができる。図２を参照すると、パケット分析装置は、検査部２１、検出数カウンタ２２、分析モジュール２３、分析結果リスト２４、プロトコルライブラリ２５を備える。パケット分析装置の構成及び動作は第１の実施形態のＤＰＩ装置１３と同様である。
【００４９】
このような構成を備える、第２の実施形態のパケット分析装置は、第１の実施形態の図３、図５及び図６で説明した手順により、ダウンロードサーバ１４にアクセスすることなく、パケット分析装置のみによりプロトコルライブラリ２５を更新する必要があるかどうかを判断できる。そして、本実施形態のパケット分析装置は、プロトコルライブラリが最新版でないことに起因する誤検出あるいは検出漏れが発生する可能性を低減できる。
【００５０】
以上、実施形態を参照して本発明を説明したが、本発明は上記の実施形態に限定されない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解し得るさまざまな変更をすることができる。また、実施形態の説明に用いた数値は例であり、発明の内容を実施形態の数値のみに限定するものではない。
【００５１】
さらに、第１の実施形態のＤＰＩ装置１３及び第２の実施形態のパケット分析装置の機能及び動作手順は、中央処理装置（central processing unit、ＣＰＵ）がプログラムを実行することにより実現されてもよい。プログラムは、固定された、一時的でない記録媒体に記録される。記録媒体としては半導体メモリ又は固定磁気ディスク装置が用いられるが、これらには限定されない。ＣＰＵ及び記録媒体は、例えば第１の実施形態のＤＰＩ装置１３あるいは第２の実施形態のパケット分析装置に備えられるコンピュータ及びメモリである。
【００５２】
この出願は、２０１５年５月２１日に出願された日本出願特願２０１５−１０３５９１を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【符号の説明】
【００５３】
１００    パケット分析システム
１１    クライアントノード
１２、１５    ルータ
１３    ＤＰＩ装置
１４    ダウンロードサーバ
１６    サーバノード
２１    検査部
２２    検出数カウンタ
２３    分析モジュール
２４    分析結果リスト
２５、２６    プロトコルライブラリ
２７    分析結果データベース
【図１】
2016185721.tif 000003
【図２】
2016185721.tif 000004
【図３】
2016185721.tif 000005
【図４】
2016185721.tif 000006
【図５】
2016185721.tif 000007
【図６】
2016185721.tif 000008
【図７】
2016185721.tif 000009
【国際調査報告】
2016185721.tif 000010
2016185721.tif 000011