(57)【特許請求の範囲】
【請求項１】
ローカルエリアネットワークに接続する内部装置とインターネットに接続する外部装置との間で通信される通信パケットを受信し、受信した前記通信パケットを送信先へ中継し、受信した前記通信パケットのうちで前記内部装置から前記外部装置へ送信される送信パケットだけを出力する中継装置と、
前記中継装置から出力された前記送信パケットを取得し、取得した前記送信パケットを解析する送信パケット解析装置とを備え、
前記送信パケット解析装置は、
１つ以上の送信パケットのそれぞれに含まれる送信データを用いて、各送信データを含んだセッションファイルを生成するセッション復元部と、
前記セッション復元部によって生成された前記セッションファイルに、前記内部装置から前記外部装置へ送信された送信ファイルが含まれるか判定するセッション解析部と、
前記セッション解析部によって前記セッションファイルに前記送信ファイルが含まれると判定された場合、前記セッションファイルに含まれる前記送信ファイルを検査する送信ファイル検査部とを備える
ことを特徴とする送信パケット解析システム。
【請求項２】
前記中継装置は、前記送信パケットだけを前記送信パケット解析装置へ出力する設定がされたスイッチ装置またはネットワークタップ装置である
ことを特徴とする請求項１に記載の送信パケット解析システム。
【請求項３】
ローカルエリアネットワークに接続する内部装置とインターネットに接続する外部装置との間で通信される通信パケットを受信し、受信した前記通信パケットを送信先へ中継し、受信した前記通信パケットを出力する中継装置と、
前記中継装置から出力された前記通信パケットを取得し、取得した前記通信パケットのうちで前記内部装置から前記外部装置へ送信される送信パケットだけを解析する送信パケット解析装置とを備え、
前記送信パケット解析装置は、
１つ以上の送信パケットのそれぞれに含まれる送信データを用いて、各送信データを含んだセッションファイルを生成するセッション復元部と、
前記セッション復元部によって生成された前記セッションファイルに、前記内部装置から前記外部装置へ送信された送信ファイルが含まれるか判定するセッション解析部と、
前記セッション解析部によって前記セッションファイルに前記送信ファイルが含まれると判定された場合、前記セッションファイルに含まれる前記送信ファイルを検査する送信ファイル検査部とを備える
ことを特徴とする送信パケット解析システム。
【請求項４】
前記送信パケット解析装置は、
前記中継装置から出力される前記通信パケットを取得する通信パケット取得部と、
前記通信パケット取得部によって取得された前記通信パケットに含まれるヘッダの情報に基づいて、前記通信パケットが前記送信パケットであるか判定する通信パケットフィルタ部と、
前記通信パケットフィルタ部によって前記通信パケットが前記送信パケットであると判定された場合、前記通信パケットを解析する送信パケット解析部とを備え、
前記送信パケット解析部は、前記セッション復元部と、前記セッション解析部と、前記送信ファイル検査部とを備える
ことを特徴とする請求項３に記載の送信パケット解析システム。
【請求項５】
前記通信パケットフィルタ部は、
前記通信パケットが前記送信パケットである場合、前記通信パケットを記憶部に記憶し、
前記通信パケットが前記送信パケットでない場合、前記通信パケットを前記記憶部に記憶せずに前記通信パケットを破棄する
ことを特徴とする請求項４に記載の送信パケット解析システム。
【請求項６】
ローカルエリアネットワークに接続する内部装置とインターネットに接続する外部装置との間で通信される通信パケットを中継する中継装置から、前記通信パケットを取得する通信パケット取得部と、
前記通信パケット取得部によって取得された前記通信パケットに含まれるヘッダの情報に基づいて、前記通信パケットが前記内部装置から前記外部装置へ送信された送信パケットであるか判定する通信パケットフィルタ部と、
前記通信パケットフィルタ部によって前記通信パケットが前記送信パケットであると判定された場合、前記通信パケットを解析する送信パケット解析部とを備え、
前記送信パケット解析部は、
１つ以上の送信パケットのそれぞれに含まれる送信データを用いて、各送信データを含んだセッションファイルを生成するセッション復元部と、
前記セッション復元部によって生成された前記セッションファイルに、前記内部装置から前記外部装置へ送信された送信ファイルが含まれるか判定するセッション解析部と、
前記セッション解析部によって前記セッションファイルに前記送信ファイルが含まれると判定された場合、前記セッションファイルに含まれる前記送信ファイルを検査する送信ファイル検査部とを備える
ことを特徴とする送信パケット解析装置。
【請求項７】
前記通信パケットフィルタ部は、
前記通信パケットが前記送信パケットである場合、前記通信パケットを記憶部に記憶し、
前記通信パケットが前記送信パケットでない場合、前記通信パケットを前記記憶部に記憶せずに前記通信パケットを破棄する
ことを特徴とする請求項６に記載の送信パケット解析装置。
【請求項８】
ローカルエリアネットワークに接続する内部装置とインターネットに接続する外部装置との間で通信される通信パケットを中継する中継装置から、前記通信パケットを取得する通信パケット取得処理と、
前記通信パケット取得処理によって取得された前記通信パケットに含まれるヘッダの情報に基づいて、前記通信パケットが前記内部装置から前記外部装置へ送信された送信パケットであるか判定する通信パケットフィルタ処理と、
前記通信パケットフィルタ処理によって前記通信パケットが前記送信パケットであると判定された場合、前記通信パケットを解析する送信パケット解析処理とをコンピュータに実行させるための送信パケット解析プログラムであって、
前記送信パケット解析処理は、
１つ以上の送信パケットのそれぞれに含まれる送信データを用いて、各送信データを含んだセッションファイルを生成するセッション復元処理と、
前記セッション復元処理によって生成された前記セッションファイルに、前記内部装置から前記外部装置へ送信された送信ファイルが含まれるか判定するセッション解析処理と、
前記セッション解析処理によって前記セッションファイルに前記送信ファイルが含まれると判定された場合、前記セッションファイルに含まれる前記送信ファイルを検査する送信ファイル検査処理とを備える
ことを特徴とする送信パケット解析プログラム。
【請求項９】
前記通信パケットフィルタ処理は、
前記通信パケットが前記送信パケットである場合、前記通信パケットを記憶部に記憶し、
前記通信パケットが前記送信パケットでない場合、前記通信パケットを前記記憶部に記憶せずに前記通信パケットを破棄する
ことを特徴とする請求項８に記載の送信パケット解析プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、送信パケットを解析するための技術に関するものである。
【背景技術】
【０００２】
従来のパケット解析システムは、送信パケットと受信パケットとの両方をキャプチャし、送信データと受信データとを復元する。
【０００３】
しかし、情報漏洩を調査したい場合、送信データと受信データとのうちの送信データだけを検査すれば、情報漏洩を調査することができる。
また、Ｗｅｂサーバから受信される受信データは画像および音声などを含む場合も多いため、Ｗｅｂサーバから受信される受信データの量はＷｅｂサーバへ送信される送信データの量と比較して多い。
そして、情報漏洩の調査に不要な受信パケットを解析するために、多くの記憶容量と多くの処理時間とを費やしてしまう。
そのため、従来のパケット解析システムは、大容量の記憶装置および高性能なコンピュータが必要であり、導入することが困難な場合もあった。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００７−１７３９３１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
本発明は、送信パケットと受信パケットとのうちの送信パケットだけを解析できるようにすることを目的とする。
【課題を解決するための手段】
【０００６】
本発明の送信パケット解析システムは、
ローカルエリアネットワークに接続する内部装置とインターネットに接続する外部装置との間で通信される通信パケットを受信し、受信した前記通信パケットを送信先へ中継し、受信した前記通信パケットのうちで前記内部装置から前記外部装置へ送信される送信パケットだけを出力する中継装置と、
前記中継装置から出力された前記送信パケットを取得し、取得した前記送信パケットを解析する送信パケット解析装置とを備える。
【０００７】
前記中継装置は、前記送信パケットだけを前記送信パケット解析装置へ出力する設定がされたスイッチ装置またはネットワークタップ装置である。
【０００８】
前記送信パケット解析システムは、
ローカルエリアネットワークに接続する内部装置とインターネットに接続する外部装置との間で通信される通信パケットを受信し、受信した前記通信パケットを送信先へ中継し、受信した前記通信パケットを出力する中継装置と、
前記中継装置から出力された前記通信パケットを取得し、取得した前記通信パケットのうちで前記内部装置から前記外部装置へ送信される送信パケットだけを解析する送信パケット解析装置とを備える。
【０００９】
前記送信パケット解析装置は、
前記中継装置から出力される前記通信パケットを取得する通信パケット取得部と、
前記通信パケット取得部によって取得された前記通信パケットに含まれるヘッダの情報に基づいて、前記通信パケットが前記送信パケットであるか判定する通信パケットフィルタ部と、
前記通信パケットフィルタ部によって前記通信パケットが前記送信パケットであると判定された場合、前記通信パケットを解析する送信パケット解析部とを備える。
【００１０】
前記通信パケットフィルタ部は、
前記通信パケットが前記送信パケットである場合、前記通信パケットを記憶部に記憶し、
前記通信パケットが前記送信パケットでない場合、前記通信パケットを前記記憶部に記憶せずに前記通信パケットを破棄する。
【００１１】
前記送信パケット解析部は、
１つ以上の送信パケットのそれぞれに含まれる送信データを用いて、各送信データを含んだセッションファイルを生成するセッション復元部と、
前記セッション復元部によって生成された前記セッションファイルに、前記内部装置から前記外部装置へ送信された送信ファイルが含まれるか判定するセッション解析部と、
前記セッション解析部によって前記セッションファイルに前記送信ファイルが含まれると判定された場合、前記セッションファイルに含まれる前記送信ファイルを検査する送信ファイル検査部とを備える。
【００１２】
本発明の送信パケット解析装置は、
ローカルエリアネットワークに接続する内部装置とインターネットに接続する外部装置との間で通信される通信パケットを中継する中継装置から、前記通信パケットを取得する通信パケット取得部と、
前記通信パケット取得部によって取得された前記通信パケットに含まれるヘッダの情報に基づいて、前記通信パケットが前記内部装置から前記外部装置へ送信された送信パケットであるか判定する通信パケットフィルタ部と、
前記通信パケットフィルタ部によって前記通信パケットが前記送信パケットであると判定された場合、前記通信パケットを解析する送信パケット解析部とを備える。
【００１３】
前記通信パケットフィルタ部は、
前記通信パケットが前記送信パケットである場合、前記通信パケットを記憶部に記憶し、
前記通信パケットが前記送信パケットでない場合、前記通信パケットを前記記憶部に記憶せずに前記通信パケットを破棄する。
【００１４】
前記送信パケット解析部は、
１つ以上の送信パケットのそれぞれに含まれる送信データを用いて、各送信データを含んだセッションファイルを生成するセッション復元部と、
前記セッション復元部によって生成された前記セッションファイルに、前記内部装置から前記外部装置へ送信された送信ファイルが含まれるか判定するセッション解析部と、
前記セッション解析部によって前記セッションファイルに前記送信ファイルが含まれると判定された場合、前記セッションファイルに含まれる前記送信ファイルを検査する送信ファイル検査部とを備える。
【００１５】
本発明の送信パケット解析プログラムは、
ローカルエリアネットワークに接続する内部装置とインターネットに接続する外部装置との間で通信される通信パケットを中継する中継装置から、前記通信パケットを取得する通信パケット取得処理と、
前記通信パケット取得処理によって取得された前記通信パケットに含まれるヘッダの情報に基づいて、前記通信パケットが前記内部装置から前記外部装置へ送信された送信パケットであるか判定する通信パケットフィルタ処理と、
前記通信パケットフィルタ処理によって前記通信パケットが前記送信パケットであると判定された場合、前記通信パケットを解析する送信パケット解析処理と
をコンピュータに実行させる。
【００１６】
前記通信パケットフィルタ処理は、
前記通信パケットが前記送信パケットである場合、前記通信パケットを記憶部に記憶し、
前記通信パケットが前記送信パケットでない場合、前記通信パケットを前記記憶部に記憶せずに前記通信パケットを破棄する。
【００１７】
前記送信パケット解析処理は、
１つ以上の送信パケットのそれぞれに含まれる送信データを用いて、各送信データを含んだセッションファイルを生成するセッション復元処理と、
前記セッション復元処理によって生成された前記セッションファイルに、前記内部装置から前記外部装置へ送信された送信ファイルが含まれるか判定するセッション解析処理と、
前記セッション解析処理によって前記セッションファイルに前記送信ファイルが含まれると判定された場合、前記セッションファイルに含まれる前記送信ファイルを検査する送信ファイル検査処理とを備える。
【発明の効果】
【００１８】
本発明によれば、送信パケットと受信パケットとのうちの送信パケットだけを解析することができる。
【図面の簡単な説明】
【００１９】
【図１】実施の形態１における送信パケット解析システム１００の構成図である。
【図２】実施の形態１における通信パケット１９０の構成図である。
【図３】実施の形態１における送信パケット取得方法のフローチャートである。
【図４】実施の形態１における送信パケット解析装置２００のハードウェア構成図である。
【図５】実施の形態２における送信パケット解析システム１００の構成図である。
【図６】実施の形態２における送信パケット取得方法のフローチャートである。
【図７】実施の形態３における送信パケット解析システム１００の構成図である。
【図８】実施の形態３におけるフィルタファイル２９１の一例を示す図である。
【図９】実施の形態３における送信パケット取得方法のフローチャートである。
【図１０】実施の形態４における送信パケット解析装置２００が備える送信パケット解析部３００の機能構成図である。
【図１１】実施の形態４における送信パケット解析装置２００が実行する送信パケット解析処理のフローチャートである。
【図１２】実施の形態４におけるセッションファイル２９２の一例を示す図である。
【発明を実施するための形態】
【００２０】
実施の形態１．
スイッチ装置（中継装置の一例）が送信パケットだけを送信パケット解析装置へ出力する形態について説明する。
【００２１】
図１は、実施の形態１における送信パケット解析システム１００の構成図である。
実施の形態１における送信パケット解析システム１００の構成について、図１に基づいて説明する。但し、送信パケット解析システム１００の構成は図１と異なる構成であっても構わない。
【００２２】
送信パケット解析システム１００は、受信パケット１０２と送信パケット１０１とのうちの送信パケット１０１だけを解析するシステムである。
送信パケット１０１は、クライアント装置１１０がサーバ装置１２０へ送信する通信パケット１９０（図２参照）である。ＨＴＴＰの要求メッセージは、送信パケット１０１によって通信されるアプリケーションデータの一例である。ＨＴＴＰはＨｙｐｅｒＴｅｘｔ
Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌの略称である。
受信パケット１０２は、クライアント装置１１０がサーバ装置１２０から受信する通信パケット１９０（図２参照）である。ＨＴＴＰの応答メッセージは、受信パケット１０２によって通信されるアプリケーションデータの一例である。
【００２３】
送信パケット解析システム１００は、クライアント装置１１０（内部装置の一例）と、サーバ装置１２０（外部装置の一例）と、スイッチ装置１３０（中継装置の一例）と、送信パケット解析装置２００とを備える。
クライアント装置１１０は、ローカルエリアネットワーク１１９に接続し、サーバ装置１２０へ送信パケット１０１を送信し、サーバ装置１２０から受信パケット１０２を受信する。ＬＡＮはローカルエリアネットワーク１１９の略称である。
サーバ装置１２０は、インターネット１２９に接続し、クライアント装置１１０から送信パケット１０１を受信し、クライアント装置１１０へ受信パケット１０２を送信する。
【００２４】
スイッチ装置１３０は、ローカルエリアネットワーク１１９とインターネット１２９とに接続し、クライアント装置１１０とサーバ装置１２０との間で通信される通信パケット１９０を中継する装置である。スイッチ装置１３０はネットワークスイッチとも呼ばれる。
【００２５】
スイッチ装置１３０は、ＬＡＮポート１３１と、インターネットポート１３２と、ミラーポート１３３とを備える。
ＬＡＮポート１３１は、ローカルエリアネットワーク１１９に繋がる通信ケーブルが接続されるポートである。
インターネットポート１３２は、インターネット１２９に繋がる通信ケーブルが接続されるポートである。
ミラーポート１３３は、送信パケット解析装置２００に繋がる通信ケーブルが接続されるポートである。
【００２６】
スイッチ装置１３０は、ＬＡＮポート１３１に入力された送信パケット１０１をインターネットポート１３２からインターネット１２９へ出力する。さらに、スイッチ装置１３０は、送信パケット１０１をミラーポート１３３から送信パケット解析装置２００へ出力する。
スイッチ装置１３０は、インターネットポート１３２に入力された受信パケット１０２をＬＡＮポート１３１からローカルエリアネットワーク１１９へ出力する。但し、スイッチ装置１３０は、受信パケット１０２をミラーポート１３３から送信パケット解析装置２００へ出力しない。
【００２７】
スイッチ装置１３０は、設定ファイルが記憶されるメモリ（図示省略）を備える。
設定ファイルは、送信パケット１０１だけを送信パケット解析装置２００に出力する設定が記述されたファイルである。
【００２８】
送信パケット解析装置２００は、スイッチ装置１３０から出力される送信パケット１０１を解析する装置である。
送信パケット解析装置２００は、送信パケット取得部２１０と、送信パケット解析部３００と、解析記憶部２９０とを備える。
送信パケット取得部２１０は、スイッチ装置１３０から出力される送信パケット１０１を取得する。
送信パケット解析部３００は、送信パケット１０１を解析する。例えば、送信パケット解析部３００は、個人情報または機密情報などの秘匿情報が送信パケット１０１に含まれるか否かを解析する。
解析記憶部２９０は、送信パケット解析装置２００で使用、生成または入出力されるデータを記憶する。例えば、解析記憶部２９０は送信パケット１０１を記憶する。解析記憶部２９０は、主記憶装置および補助記憶装置によって実装される。
【００２９】
図２は、実施の形態１における通信パケット１９０の構成図である。
実施の形態１における通信パケット１９０の構成について、図２に基づいて説明する。
通信パケット１９０は、ＩＰヘッダ１９１と、ＴＣＰヘッダ１９２と、通信データ１９３とを備える。通信パケット１９０はＩＰパケットとも呼ばれる。ＩＰはＩｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌの略称であり、ＴＣＰはＴｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌの略称である。
【００３０】
ＩＰヘッダ１９１は、送信元ＩＰアドレスおよび宛先ＩＰアドレスなどの情報を含む。
送信パケット１０１において、送信元ＩＰアドレスはクライアント装置１１０のＩＰアドレスであり、宛先ＩＰアドレスはサーバ装置１２０のＩＰアドレスである。但し、サーバ装置１２０のＩＰアドレスは、ＳＭＴＰサーバ、ＨＴＴＰサーバまたはファイアウォールのＩＰアドレスと読み替えてもよい（以下同様）。
受信パケット１０２において、送信元ＩＰアドレスはサーバ装置１２０のＩＰアドレスであり、宛先ＩＰアドレスはクライアント装置１１０のＩＰアドレスである。
【００３１】
ＴＣＰヘッダ１９２は、送信元ポート番号および宛先ポート番号などの情報を含む。
送信パケット１０１において、送信元ポート番号はクライアント装置１１０のポート番号であり、宛先ポート番号はサーバ装置１２０のポート番号である。
受信パケット１０２において、送信元ポート番号はサーバ装置１２０のポート番号であり、宛先ポート番号はクライアント装置１１０のポート番号である。
【００３２】
通信データ１９３は、通信パケット１９０によって通信されるデータである。
【００３３】
図３は、実施の形態１における送信パケット取得方法のフローチャートである。
送信パケット解析装置２００が通信パケット１９０のうちの送信パケット１０１だけを取得する方法について、図３に基づいて説明する。但し、送信パケット取得方法は図３と異なる方法であっても構わない。
【００３４】
図３に示す送信パケット取得方法は、スイッチ装置１３０が通信パケット１９０を受信する毎に実行される。
【００３５】
Ｓ１１０において、スイッチ装置１３０は通信パケット１９０を受信する。
例えば、スイッチ装置１３０は、クライアント装置１１０がサーバ装置１２０へ送信した送信パケット１０１を受信する。
例えば、スイッチ装置１３０は、サーバ装置１２０がクライアント装置１１０へ送信した受信パケット１０２を受信する。
Ｓ１１０の後、処理はＳ１２０に進む。
【００３６】
Ｓ１２０において、スイッチ装置１３０は、Ｓ１１０で受信した通信パケット１９０を中継する。
例えば、スイッチ装置１３０は、送信パケット１０１をサーバ装置１２０へ中継する。
例えば、スイッチ装置１３０は、受信パケット１０２をクライアント装置１１０へ中継する。
Ｓ１２０の後、処理はＳ１３０に進む。
【００３７】
Ｓ１３０において、スイッチ装置１３０は、Ｓ１１０で受信した通信パケット１９０が送信パケット１０１であるか判定する。
例えば、スイッチ装置１３０は、通信パケット１９０に含まれる送信元ＩＰアドレス、宛先ＩＰアドレスに基づいて、通信パケット１９０が送信パケット１０１であるか判定する。
通信パケット１９０が送信パケット１０１である場合（ＹＥＳ）、処理はＳ１４０に進む。
通信パケット１９０が送信パケット１０１でない場合、つまり、通信パケット１９０が受信パケット１０２である場合（ＮＯ）、送信パケット解析装置２００は通信パケット１９０を取得せず、処理は終了する。
【００３８】
Ｓ１４０において、スイッチ装置１３０は、Ｓ１１０で受信した通信パケット１９０を送信パケット解析装置２００へ出力する。
Ｓ１４０の後、処理はＳ１５０に進む。
【００３９】
Ｓ１５０において、送信パケット解析装置２００の送信パケット取得部２１０は、Ｓ１４０で出力された通信パケット１９０を取得し、取得した通信パケット１９０を解析記憶部２９０に記憶する。
例えば、送信パケット取得部２１０は、通信パケット１９０を暗号化し、暗号化した通信パケット１９０を圧縮し、圧縮した通信パケット１９０を補助記憶装置に記憶する。
Ｓ１５０の後、処理は終了する。
【００４０】
送信パケット解析装置２００の送信パケット解析部３００は、特定のタイミングで、解析記憶部２９０に記憶されている１つ以上の送信パケット１０１を解析する。
【００４１】
図４は、実施の形態１における送信パケット解析装置２００のハードウェア構成図である。
実施の形態１における送信パケット解析装置２００のハードウェア構成について、図４に基づいて説明する。但し、送信パケット解析装置２００のハードウェア構成は図４に示す構成と異なる構成であってもよい。
【００４２】
送信パケット解析装置２００は、演算装置９０１、補助記憶装置９０２、主記憶装置９０３、通信装置９０４および入出力装置９０５を備えるコンピュータである。
演算装置９０１、補助記憶装置９０２、主記憶装置９０３、通信装置９０４および入出力装置９０５はバス９０９に接続している。
【００４３】
演算装置９０１は、プログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）である。
補助記憶装置９０２は、例えば、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）、フラッシュメモリまたはハードディスク装置である。
主記憶装置９０３は、例えば、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）である。
通信装置９０４は、有線または無線でインターネット、ＬＡＮ（ローカルエリアネットワーク）、電話回線網またはその他のネットワークを介して通信を行う。
入出力装置９０５は、例えば、マウス、キーボード、ディスプレイ装置である。
【００４４】
プログラムは、補助記憶装置９０２に記憶されている。
例えば、オペレーティングシステム（ＯＳ）が補助記憶装置９０２に記憶される。また、「〜部」として説明している機能を実現するプログラムが補助記憶装置９０２に記憶される。
プログラムは、補助記憶装置９０２に記憶されており、主記憶装置９０３にロードされ、演算装置９０１に読み込まれ、演算装置９０１によって実行される。
【００４５】
「〜の判断」、「〜の判定」、「〜の抽出」、「〜の検知」、「〜の設定」、「〜の登録」、「〜の選択」、「〜の生成」、「〜の入力」、「〜の出力」等の処理の結果を示す情報、データ、ファイル、信号値または変数値が主記憶装置９０３または補助記憶装置９０２に記憶される。
【００４６】
実施の形態１により、以下のような送信パケット解析システム１００について説明した。
送信パケット解析システム１００は、情報漏洩の調査に必要な送信データのみを再現するため、送信パケットのみをキャプチャおよび解析する。
これにより、キャプチャおよび解析するデータの量を削減し、送信パケット解析システム１００の規模を縮小し、送信パケット解析システム１００の導入を容易にすることができる。
【００４７】
実施の形態２．
スイッチ装置の代わりにネットワークタップ装置（中継装置、分岐装置の一例）が送信パケットだけを送信パケット解析装置へ出力する形態について説明する。
以下、実施の形態１と異なる事項について主に説明する。説明を省略する事項については実施の形態１と同様である。
【００４８】
図５は、実施の形態２における送信パケット解析システム１００の構成図である。
実施の形態２における送信パケット解析システム１００の構成について、図５に基づいて説明する。但し、送信パケット解析システム１００の構成は図５と異なる構成であっても構わない。
【００４９】
送信パケット解析システム１００は、クライアント装置１１０（内部装置の一例）と、サーバ装置１２０（外部装置の一例）と、スイッチ装置１３０と、ネットワークタップ装置１４０（中継装置の一例）と、送信パケット解析装置２００とを備える。
【００５０】
スイッチ装置１３０は、送信パケット１０１を送信パケット解析装置２００へ出力する必要はない。
【００５１】
ネットワークタップ装置１４０は、ネットワーク信号を分岐して取り出す装置である。
ネットワークタップ装置１４０は、ローカルエリアネットワーク１１９に接続し、クライアント装置１１０とサーバ装置１２０との間で通信される通信パケット１９０を中継する。
【００５２】
ネットワークタップ装置１４０は、第１のポート１４１と、第２のポート１４２と、第３のポート１４３とを備える。
第１のポート１４１は、ローカルエリアネットワーク１１９に繋がる通信ケーブルが接続されるポートである。
第２のポート１４２は、スイッチ装置１３０に繋がる通信ケーブルが接続されるポートである。
第３のポート１４３は、送信パケット解析装置２００に繋がる通信ケーブルが接続されるポートである。
【００５３】
ネットワークタップ装置１４０は、第１のポート１４１に入力された送信パケット１０１を第２のポート１４２からスイッチ装置１３０へ出力する。さらに、ネットワークタップ装置１４０は、送信パケット１０１を第３のポート１４３から送信パケット解析装置２００へ出力する。
ネットワークタップ装置１４０は、第２のポート１４２に入力された受信パケット１０２を第１のポート１４１からローカルエリアネットワーク１１９へ出力する。但し、ネットワークタップ装置１４０は、受信パケット１０２を第３のポート１４３から送信パケット解析装置２００へ出力しない。
【００５４】
ネットワークタップ装置１４０は、第１のポート１４１に入力された送信パケット１０１を第２のポート１４２に中継する第１の電気回路と、第２のポート１４２に入力された受信パケット１０２を第１のポート１４１に中継する第２の電気回路と、第１のポート１４１に入力された送信パケット１０１を第２の電気回路から分岐して第３のポート１４３に中継する第３の電気回路とを備える。
【００５５】
送信パケット解析装置２００は、ネットワークタップ装置１４０から出力される送信パケット１０１を解析する装置である。
送信パケット解析装置２００は、送信パケット取得部２１０と、送信パケット解析部３００と、解析記憶部２９０とを備える。
送信パケット取得部２１０は、ネットワークタップ装置１４０から出力される送信パケット１０１を取得する。
送信パケット解析部３００は、送信パケット１０１を解析する。例えば、送信パケット解析部３００は、個人情報または機密情報などの秘匿情報が送信パケット１０１に含まれるか否かを解析する。
解析記憶部２９０は、送信パケット解析装置２００で使用、生成または入出力されるデータを記憶する。例えば、解析記憶部２９０は送信パケット１０１を記憶する。
【００５６】
実施の形態２において、ネットワークタップ装置１４０は、ローカルエリアネットワーク１１９とスイッチ装置１３０との間ではなく、インターネット１２９とスイッチ装置１３０との間に設けても構わない。
いずれの場合において、スイッチ装置１３０は通信パケット１９０をネットワークタップ装置１４０へ出力する。そして、ネットワークタップ装置１４０は、スイッチ装置１３０から出力された通信パケット１９０のうちの送信パケット１０１だけを、送信パケット解析装置２００へ出力する。
【００５７】
図６は、実施の形態２における送信パケット取得方法のフローチャートである。
送信パケット解析装置２００が通信パケット１９０のうちの送信パケット１０１だけを取得する方法について、図６に基づいて説明する。但し、送信パケット取得方法は図６と異なる方法であっても構わない。
【００５８】
図６に示す送信パケット取得方法は、スイッチ装置１３０が通信パケット１９０を受信する毎に実行される。
【００５９】
Ｓ２１０において、ネットワークタップ装置１４０は通信パケット１９０を受信する。
例えば、ネットワークタップ装置１４０は、クライアント装置１１０がサーバ装置１２０へ送信した送信パケット１０１を受信する。
例えば、ネットワークタップ装置１４０は、サーバ装置１２０がクライアント装置１１０へ送信した受信パケット１０２を受信する。
Ｓ２１０の後、処理はＳ２２０に進む。
【００６０】
Ｓ２２０において、ネットワークタップ装置１４０は、Ｓ２１０で受信した通信パケット１９０を中継する。
例えば、ネットワークタップ装置１４０は、送信パケット１０１をサーバ装置１２０へ中継する。
例えば、ネットワークタップ装置１４０は、受信パケット１０２をクライアント装置１１０へ中継する。
Ｓ２２０の後、処理はＳ２３０に進む。
【００６１】
Ｓ２３０において、ネットワークタップ装置１４０は、Ｓ２１０で受信した通信パケット１９０が送信パケット１０１であるか判定する。
例えば、ネットワークタップ装置１４０は、第１のポート１４１に入力された送信パケット１０１を第２のポート１４２に中継する電気回路から分岐した電気回路を通る通信パケット１９０が送信パケット１０１であると判定する。
通信パケット１９０が送信パケット１０１である場合（ＹＥＳ）、処理は２４０に進む。
通信パケット１９０が送信パケット１０１でない場合、つまり、通信パケット１９０が受信パケット１０２である場合（ＮＯ）、送信パケット解析装置２００は通信パケット１９０を取得せず、処理は終了する。
【００６２】
Ｓ２４０において、ネットワークタップ装置１４０は、Ｓ２１０で受信した通信パケット１９０を送信パケット解析装置２００へ出力する。
Ｓ２４０の後、処理はＳ２５０に進む。
【００６３】
Ｓ２５０において、送信パケット解析装置２００の送信パケット取得部２１０は、Ｓ２４０で出力された通信パケット１９０を取得し、取得した通信パケット１９０を解析記憶部２９０に記憶する。
例えば、送信パケット取得部２１０は、通信パケット１９０を暗号化し、暗号化した通信パケット１９０を圧縮し、圧縮した通信パケット１９０を補助記憶装置に記憶する。
Ｓ２５０の後、処理は終了する。
【００６４】
送信パケット解析装置２００の送信パケット解析部３００は、特定のタイミングで、解析記憶部２９０に記憶されている１つ以上の送信パケット１０１を解析する。
【００６５】
実施の形態２により、実施の形態１と同様の効果を奏することができる。
【００６６】
実施の形態３．
送信パケット解析装置が送信パケットだけを選択する形態について説明する。
以下、実施の形態１と異なる事項について主に説明する。説明を省略する事項については実施の形態１と同様である。
【００６７】
図７は、実施の形態３における送信パケット解析システム１００の構成図である。
実施の形態３における送信パケット解析システム１００の構成について、図７に基づいて説明する。
【００６８】
送信パケット解析システム１００は、クライアント装置１１０（内部装置の一例）と、サーバ装置１２０（外部装置の一例）と、スイッチ装置１３０（中継装置の一例）と、送信パケット解析装置２００とを備える。
【００６９】
スイッチ装置１３０は、受信した通信パケット１９０を送信パケット解析装置２００へ出力する。
つまり、スイッチ装置１３０は、送信パケット１０１と受信パケット１０２との両方を送信パケット解析装置２００へ出力する。
【００７０】
送信パケット解析装置２００は、通信パケット取得部２２０と、通信パケットフィルタ部２３０と、送信パケット解析部３００と、解析記憶部２９０とを備える。
通信パケット取得部２２０は、スイッチ装置１３０から出力される通信パケット１９０を取得する。
通信パケットフィルタ部２３０は、通信パケット取得部２２０によって取得された通信パケット１９０に含まれるヘッダの情報に基づいて、通信パケット１９０が送信パケット１０１であるか判定する。通信パケットフィルタ部２３０は、送信パケット１０１を解析記憶部２９０に記憶し、受信パケット１０２を解析記憶部２９０に記憶せずに破棄する。
送信パケット解析部３００は、送信パケット１０１であると判定された通信パケット１９０を解析する。
【００７１】
解析記憶部２９０は、送信パケット解析装置２００で使用、生成または入出力されるデータを記憶する。
例えば、解析記憶部２９０は、送信パケット１０１（図示省略）およびフィルタファイル２９１などを記憶する。
フィルタファイル２９１は、通信パケット１９０が送信パケット１０１であるための条件を示す。
通信パケットフィルタ部２３０は、フィルタファイル２９１が示す条件を満たす情報が通信パケット１９０のヘッダに含まれる場合、通信パケット１９０が送信パケット１０１であると判定する。
【００７２】
図８は、実施の形態３におけるフィルタファイル２９１の一例を示す図である。
実施の形態３のおけるフィルタファイル２９１について、図８に基づいて説明する。但し、フィルタファイル２９１は、図８と異なるファイルであっても構わない。
【００７３】
フィルタファイル２９１は、通信パケット１９０が送信パケット１０１であるための条件（１から５）を含んでいる。
通信パケットフィルタ部２３０は、フィルタファイル２９１に含まれるいずれかの条件を満たす情報が通信パケット１９０のヘッダに含まれる場合、通信パケット１９０が送信パケット１０１であると判定する。
【００７４】
例えば、送信パケット１０１は以下のような通信パケット１９０である。
送信元ＩＰアドレスが１９２．１６８．１．１０である（条件１）。
送信元ＩＰアドレスが１９２．１６８．１．２０である（条件２）。
宛先ＩＰアドレスが１９２．１６８．１０．１であり、且つ、宛先ポート番号が８０である（条件３）。
宛先ＩＰアドレスが１９２．１６８．１０．１であり、且つ、宛先ポート番号が８０８０である（条件４）。
送信元ＩＰアドレスが１９２．１６８．１．２０ではなく、且つ、宛先ポート番号が８０である。
【００７５】
図９は、実施の形態３における送信パケット取得方法のフローチャートである。
送信パケット解析装置２００が通信パケット１９０のうちの送信パケット１０１だけを保存する方法について、図９に基づいて説明する。但し、送信パケット取得方法は図９と異なる方法であっても構わない。
【００７６】
図９に示す送信パケット取得方法は、送信パケット解析装置２００の通信装置９０４が通信パケット１９０を受信する毎に実行される。受信された通信パケット１９０は通信バッファに記憶される。
【００７７】
Ｓ３１０において、通信パケット取得部２２０は、通信バッファから作業用の記憶領域（以下、作業領域という）に通信パケット１９０を読み出す。
Ｓ３１０の後、処理はＳ３２０に進む。
【００７８】
Ｓ３２０において、通信パケットフィルタ部２３０は、通信パケット１９０に含まれるヘッダの情報に基づいて、通信パケット１９０が送信パケット１０１であるか判定する。
フィルタファイル２９１が示す条件を満たす情報が通信パケット１９０のヘッダに含まれる場合、通信パケットフィルタ部２３０は通信パケット１９０が送信パケット１０１であると判定する。
通信パケット１９０が送信パケット１０１である場合（ＹＥＳ）、処理はＳ３３０に進む。
通信パケット１９０が送信パケット１０１でない場合、つまり、通信パケット１９０が受信パケット１０２である場合（ＮＯ）、処理はＳ３４０に進む。
【００７９】
Ｓ３３０において、通信パケットフィルタ部２３０は、通信パケット１９０を作業領域から読み出し、読み出した通信パケット１９０を解析記憶部２９０に記憶する。
例えば、通信パケットフィルタ部２３０は、通信パケット１９０を暗号化し、暗号化した通信パケット１９０を圧縮し、圧縮した通信パケット１９０を補助記憶装置に記憶する。
Ｓ３３０の後、処理は終了する。
【００８０】
Ｓ３４０において、通信パケットフィルタ部２３０は、通信パケット１９０を解析記憶部２９０に記憶せず、通信パケット１９０を作業領域から削除する。
Ｓ３４０の後、処理は終了する。
【００８１】
送信パケット解析装置２００の送信パケット解析部３００は、特定のタイミングで、解析記憶部２９０に記憶されている１つ以上の送信パケット１０１を解析する。
【００８２】
実施の形態３により、実施の形態１と同様の効果を奏することができる。
【００８３】
実施の形態４．
送信パケット１０１を解析する解析方法について説明する。
以下、実施の形態１から３で説明していない事項について主に説明する。説明を省略する事項については実施の形態１から３と同様である。
【００８４】
送信パケット解析システム１００の構成は、実施の形態１から３で説明した構成と同様である（図１、図５および図７参照）。
但し、送信パケット解析システム１００は管理者が使用する管理端末（図示省略）を備えてもよい。
【００８５】
送信パケット解析装置２００の構成は、実施の形態１から３で説明した構成と同様である（図１、図５、図７および図４参照）。
【００８６】
図１０は、実施の形態４における送信パケット解析装置２００が備える送信パケット解析部３００の機能構成図である。
実施の形態４における送信パケット解析装置２００が備える送信パケット解析部３００の機能構成について、図１０に基づいて説明する。
【００８７】
送信パケット解析部３００は、セッション復元部３１０と、セッション解析部３２０と、送信ファイル検査部３３０とを備える。
セッション復元部３１０は、１つ以上の送信パケット１０１のそれぞれに含まれる送信データを用いて、各送信データを含んだセッションファイル２９２を生成する。
セッション解析部３２０は、セッションファイル２９２を解析し、セッションファイル２９２の解析結果ファイル２９３を生成する。例えば、セッション解析部３２０は、クライアント装置１１０からサーバ装置１２０へ送信された送信ファイルがセッションファイル２９２に含まれるか判定し、判定結果を含んだ解析結果ファイル２９３を生成する。
送信ファイル検査部３３０は、セッションファイル２９２に含まれる送信ファイルを検査する。
【００８８】
送信ファイル検査部３３０は、セッション検索部３３１と、送信ファイル取得部３３２と、秘匿情報検査部３３３と、検査結果通知部３３４とを備える。
セッション検索部３３１は、各セッションファイル２９２の解析結果ファイル２９３に基づいて、送信ファイルを含んだセッションファイル２９２を検索する。
送信ファイル取得部３３２は、セッションファイル２９２から送信ファイルを取得する。
秘匿情報検査部３３３は、秘匿情報の条件を示す秘匿情報ファイル２９４に基づいて、送信ファイルに秘匿情報が含まれるか検査する。
検査結果通知部３３４は、検査結果を示す検査結果ファイル２９５を含んだ検査結果メール２９６を管理端末へ送信する。
【００８９】
送信パケット解析装置２００の解析記憶部２９０は、送信パケット１０１、セッションファイル２９２、解析結果ファイル２９３、秘匿情報ファイル２９４、検査結果ファイル２９５および検査結果メール２９６などを記憶する。
【００９０】
図１１は、実施の形態４における送信パケット解析装置２００が実行する送信パケット解析処理のフローチャートである。
実施の形態４における送信パケット解析装置２００が実行する送信パケット解析処理について、図１１に基づいて説明する。但し、送信パケット解析処理は図１１と異なる処理であっても構わない。
【００９１】
Ｓ４１０において、セッション復元部３１０は、解析記憶部２９０から複数の送信パケット１０１を取得する。送信パケット１０１が暗号化および圧縮されて記憶されている場合、セッション復元部３１０は送信パケット１０１を復号および伸張する。
各送信パケット１０１は、クライアント装置１１０がサーバ装置１２０へ送信するアプリケーションデータを分割して得られた送信データを含んでいる。ＨＴＴＰの要求メッセージおよび電子メールはアプリケーションデータの一例である。
【００９２】
セッション復元部３１０は、各送信パケット１０１に含まれるヘッダの情報に基づいて、各送信パケット１０１に含まれる送信データを結合する。各送信データを結合する方法は、ＩＰパケットおよびＴＣＰパケットの通常の処理と同様である。
セッション復元部３１０は、各送信データを結合することによって生成されるセッションファイル２９２を、解析記憶部２９０に記憶する。
【００９３】
セッションファイル２９２は、クライアント装置１１０とサーバ装置１２０との間で通信されたアプリケーションデータを含む。
但し、実施の形態４において、セッションファイル２９２は、クライアント装置１１０がサーバ装置１２０へ送信したアプリケーションデータを含むが、クライアント装置１１０がサーバ装置１２０から受信したアプリケーションデータを含まない。
Ｓ４１０の後、処理はＳ４２０に進む。
【００９４】
図１２は、実施の形態４におけるセッションファイル２９２の一例を示す図である。
例えば、セッション復元部３１０は、図１２に示すようなセッションファイル２９２を生成する。
（１）の部分は、クライアント装置１１０がサーバ装置１２０へ送信したＨＴＴＰの要求データを示している。
（２）の部分は、クライアント装置１１０がサーバ装置１２０へ送信した送信ファイルの中身を示している。
送信パケット１０１と受信パケット１０２との両方を用いてセッションファイル２９２が生成された場合、クライアント装置１１０がサーバ装置１２０から受信したＨＴＴＰの応答データが（３）の部分に含まれる。
図１１に戻り、Ｓ４２０から説明を続ける。
【００９５】
Ｓ４２０において、セッション解析部３２０は、セッションファイル２９２を解析し、セッションファイル２９２に関する各種の情報を取得する。
そして、セッション解析部３２０は、取得した各種の情報を含んだ解析結果ファイル２９３を生成し、生成した解析結果ファイル２９３を解析記憶部２９０に記憶する。
【００９６】
例えば、セッション解析部３２０は、セッションファイル２９２の形式に基づいてセッションファイル２９２の種類を特定し、セッションファイル２９２の種類に応じた情報を取得する。
例えば、セッションファイル２９２の種類がＨＴＴＰの要求データである場合、セッション解析部３２０は、宛先ＵＲＬ、ホスト名、送信ファイルの有無などの情報を取得する。ＵＲＬはＵｎｉｆｏｒｍ  Ｒｅｓｏｕｒｃｅ  Ｌｏｃａｔｏｒの略称である。
例えば、セッションファイル２９２の種類が電子メールである場合、セッション解析部３２０は、宛先メールアドレス、送信ファイル（添付ファイルともいう）の有無などの情報を取得する。
【００９７】
例えば、図１２に示すセッションファイル２９２の種類はＨＴＴＰの要求データである。
このセッションファイル２９２において、“ＰＯＳＴ”に続く文字列“／ｕｐｌｏａｄ／ｆｉｌｅ．ｈｔｍｌ”が宛先ＵＲＬであり、“ＨＯＳＴ”に続く文字列“ｔｅｘｔ．ｃｏ．ｊｐ”がホスト名である。
また、セッションファイル２９２は“ｆｉｌｅｎａｍｅ＝”という文字列を含んでいるため、セッション解析部３２０は、セッションファイル２９２が送信ファイルを含んでいると判定する。
そこで、セッション解析部３２０は、これらの情報を含んだ解析結果ファイル２９３を生成する。
Ｓ４２０の後、処理はＳ４３１に進む。
【００９８】
Ｓ４３１において、各セッションファイル２９２の解析結果ファイル２９３は、セッションファイル２９２を識別する情報および送信ファイルの有無を示す情報を含んでいる。
セッション検索部３３１は、各セッションファイル２９２の解析結果ファイル２９３に基づいて、送信ファイルを含んだセッションファイル２９２を解析記憶部２９０から特定する。
Ｓ４３１の後、処理はＳ４３２に進む。
【００９９】
Ｓ４３２において、送信ファイル取得部３３２は、Ｓ４３１で特定されたセッションファイル２９２から送信ファイルを取得する。
Ｓ４３２の後、処理はＳ４３３に進む。
【０１００】
Ｓ４３３において、秘匿情報検査部３３３は、秘匿情報ファイル２９４に基づいて、秘匿情報が送信ファイルに含まれるか検査する。
【０１０１】
秘匿情報ファイル２９４は、秘匿情報に関するキーワード、秘匿情報のパターンを表す正規表現などを含む。秘匿情報は、個人情報および機密情報など、秘匿にすべき情報である。
例えば、秘匿情報ファイル２９４は、佐藤、鈴木および田中などを、個人情報に該当する名字のキーワードとして含む。
例えば、秘匿情報ファイル２９４は、一郎、太郎および花子などを、個人情報に該当する名前のキーワードとして含む。
例えば、秘匿情報ファイル２９４は、１１桁の数値（但し、スペースおよびハイフンなどを数値間にあってもよい）という規則を、個人情報に該当する電話番号のパターンを表す正規表現として含む。
【０１０２】
例えば、図１２において、送信ファイルの中身を示す（２）の部分は、名字および名前のキーワードに該当する３つの秘匿情報（佐藤一郎、鈴木太郎、田中花子）を含んでいる。
また、送信ファイルの中身を示す（２）の部分は、電話番号の正規表現を満たす３つの秘匿情報（０９０−１１１１−２２２２、０９０−２２２２−３３３３、０９０−３３３３−４４４４）を含んでいる。
【０１０３】
そして、秘匿情報検査部３３３は、検査結果を示す検査結果ファイル２９５を生成し、生成した検査結果ファイル２９５を解析記憶部２９０に記憶する。
例えば、検査結果ファイル２９５は、セッションファイル２９２を識別する情報、セッションファイル２９２の解析結果ファイル２９３に含まれる情報、秘匿情報が含まれるか否かを示す情報および送信ファイルに含まれた秘匿情報などを含む。
Ｓ４３３の後、処理はＳ４３４に進む。
【０１０４】
Ｓ４３４において、検査結果通知部３３４は、検査結果ファイル２９５に含まれる情報を含んだ検査結果メール２９６を生成し、生成した検査結果メール２９６を管理者のメールアドレス宛てに送信する。管理者のメールアドレスは解析記憶部２９０に予め記憶しておく。
Ｓ４３３の後、送信パケット解析処理は終了する。
【０１０５】
実施の形態４により、送信パケット１０１を解析し、情報漏洩を調査することができる。
【０１０６】
各実施の形態は、送信パケット解析システム１００の形態の一例である。
つまり、送信パケット解析システム１００は、各実施の形態で説明した構成要素の一部を備えなくても構わない。また、送信パケット解析システム１００は、各実施の形態で説明していない構成要素を備えても構わない。さらに、送信パケット解析システム１００は、各実施の形態の構成要素の一部または全てを組み合わせたものであっても構わない。
【０１０７】
各実施の形態においてフローチャート等を用いて説明した処理手順は、各実施の形態に係る方法およびプログラムの処理手順の一例である。各実施の形態に係る方法およびプログラムは、各実施の形態で説明した処理手順と一部異なる処理手順で実現されても構わない。
【０１０８】
各実施の形態において「〜部」は「〜処理」「〜工程」「〜プログラム」「〜装置」と読み替えることができる。
【符号の説明】
【０１０９】
１００  送信パケット解析システム、１０１  送信パケット、１０２  受信パケット、１１０  クライアント装置、１１９  ローカルエリアネットワーク、１２０  サーバ装置、１２９  インターネット、１３０  スイッチ装置、１３１  ＬＡＮポート、１３２  インターネットポート、１３３  ミラーポート、１４０  ネットワークタップ装置、１４１  第１のポート、１４２  第２のポート、１４３  第３のポート、１９０  通信パケット、１９１  ＩＰヘッダ、１９２  ＴＣＰヘッダ、１９３  通信データ、２００  送信パケット解析装置、２１０  送信パケット取得部、２２０  通信パケット取得部、２３０  通信パケットフィルタ部、２９０  解析記憶部、２９１  フィルタファイル、２９２  セッションファイル、２９３  解析結果ファイル、２９４  秘匿情報ファイル、２９５  検査結果ファイル、２９６  検査結果メール、３００  送信パケット解析部、３１０  セッション復元部、３２０  セッション解析部、３３０  送信ファイル検査部、３３１  セッション検索部、３３２  送信ファイル取得部、３３３  秘匿情報検査部、３３４  検査結果通知部、９０１  演算装置、９０２  補助記憶装置、９０３  主記憶装置、９０４  通信装置、９０５  入出力装置、９０９  バス。
【図１】
0006023738.tif 000002
【図２】
0006023738.tif 000003
【図３】
0006023738.tif 000004
【図４】
0006023738.tif 000005
【図５】
0006023738.tif 000006
【図６】
0006023738.tif 000007
【図７】
0006023738.tif 000008
【図８】
0006023738.tif 000009
【図９】
0006023738.tif 000010
【図１０】
0006023738.tif 000011
【図１１】
0006023738.tif 000012
【図１２】
0006023738.tif 000013