(57)【特許請求の範囲】
【請求項１】
所定の通信アドレスが記述された情報リストと、通信ネットワークを介した端末間の通信についての送信元及び送信先の通信アドレスを通信を行った時刻を示す時間情報とともに記述した通信記録とを取得し、通信アドレスを第１の軸、時刻を第２の軸とするアドレス空間に、前記所定の通信アドレスと、通信が行われた通信アドレスとをプロットし、前記情報リスト及び前記通信記録に記述された通信アドレスの種類、又は同一の通信アドレスについてプロットする点の数量に応じて、プロットの表示態様を変更した表示データを生成する生成部と、
端末装置からの要求に応じて前記生成された表示データを前記端末装置へ送信する送信部と、
を備えることを特徴とするアドレス情報提供装置。
【請求項２】
前記生成部は、通信アドレスを上位から所定のビット長で区切った複数のアドレス空間ごとに、前記所定の通信アドレスと、前記端末間の通信が行われた通信アドレスとをプロットした表示データを生成することを特徴とする、
請求項１に記載のアドレス情報提供装置。
【請求項３】
前記生成部は、前記情報リストに記述された通信アドレスと、前記通信記録に記述された通信アドレスとが一致する場合に、当該一致を示す情報を表示する表示データを生成することを特徴とする、
請求項１又は２に記載のアドレス情報提供装置。
【請求項４】
前記生成部は、前記端末装置のＷｅｂブラウザで表示するための表示データを生成することを特徴とする、
請求項１乃至３のいずれか一項に記載のアドレス情報提供装置。
【請求項５】
通信ネットワークを介して互いに通信可能に接続される通信システムであって、
所定の通信アドレスが記述された情報リストを記録する第１のサーバ装置と、
前記通信ネットワークを介した端末間の通信についての送信元及び送信先の通信アドレスを、通信を行った時刻を示す情報とともに記述した通信記録を記録する第２のサーバ装置と、
前記情報リストと、前記通信記録とを取得し、通信アドレスを第１の軸、時刻を第２の軸とするアドレス空間に、前記所定の通信アドレスと、前記端末間の通信が行われた通信アドレスとをプロットし、前記情報リスト及び前記通信記録に記述された通信アドレスの種類、又は同一の通信アドレスについてプロットする点の数量に応じて、プロットの表示態様を変更した表示データを生成する生成部、及び端末装置からの要求に応じて前記生成された表示データを前記端末装置へ送信する送信部を有する第３のサーバ装置と、
を備えることを特徴とするアドレス監視システム。
【請求項６】
所定の通信アドレスが記述された情報リストと、通信ネットワークを介した端末間の通信についての送信元及び送信先の通信アドレスを通信を行った時刻を示す情報とともに記述した通信記録とを取得し、通信アドレスを第１の軸、時刻を第２の軸とするアドレス空間に、前記所定の通信アドレスと、通信が行われた通信アドレスとをプロットし、前記情報リスト及び前記通信記録に記述された通信アドレスの種類、又は同一の通信アドレスについてプロットする点の数量に応じて、プロットの表示態様を変更した表示データをサーバ装置が生成する生成ステップと、
端末装置からの要求に応じて前記サーバ装置が前記生成された表示データを前記端末装置へ送信する送信ステップと、
前記端末装置が前記送信された表示データを表示する表示ステップと、
を含むことを特徴とするアドレス情報表示方法。
【請求項７】
コンピュータに、
所定の通信アドレスが記述された情報リストと、通信ネットワークを介した端末間の通信についての送信元及び送信先の通信アドレスを通信を行った時刻を示す情報とともに記述した通信記録とを取得し、通信アドレスを第１の軸、時刻を第２の軸とするアドレス空間に、所定の通信アドレスと、通信が行われた通信アドレスとをプロットし、前記情報リスト及び前記通信記録に記述された通信アドレスの種類、又は同一の通信アドレスについてプロットする点の数量に応じて、プロットの表示態様を変更した表示データを生成する生成ステップと、
端末装置からの要求に応じて前記生成された表示データを前記端末装置へ送信する送信ステップと、
を実行させるためのアドレス情報提供プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アドレス情報提供装置、アドレス監視システム、アドレス情報表示方法及びアドレス情報提供プログラムに関する。
【背景技術】
【０００２】
従来、ＩＰ（Internet  Protocol）アドレスなどの通信アドレスを用いて端末間の通信を行うインターネットなどの通信システムでは、安全なネットワーク運用のために、不正アクセスの送信元に関する通信アドレスからの通信の有無などの監視を行う場合がある。この監視には、不正アクセスの送信元のＩＰアドレスを表示画面に収まる範囲に集約したＩＰアドレス空間上にプロット表示する方法（非特許文献１）がある。また、ＩＰアドレスを受け付けて、その受け付けたＩＰアドレスが不正アクセスの送信元のＩＰアドレスとマッチングするか否かを確認する方法（非特許文献２）がある。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】「nicterweb」、［平成２５年８月１２日検索］、インターネット＜URL:http://www.nicter.jp/nw＿public/scripts/index.php＞
【非特許文献２】「aguse.」、［平成２５年８月１２日検索］、インターネット＜URL:http://www.aguse.jp/＞
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、上述した従来技術では、ＩＰアドレス空間全体の中から不正アクセスの送信元に関する通信アドレスを容易に認識できるが、ＩＰアドレス空間における不正アクセスの送信元に関する通信アドレスと、通信システムにおいて実際に通信を行なっている端末の通信アドレスとが容易に識別可能なものではなく、その関係を容易に認識できるものではなかった。このため、実際に通信を行なっている端末の通信アドレスが記述された通信ログの確認は容易ではなく、インシデントの発見も容易にできるものではなかった。また、上述した従来技術では、実際に通信を行なっている端末の通信アドレスが不正アクセスの送信元に関する通信アドレスにマッチングするか否かをピンポイントで確認できるが、ＩＰアドレス空間全体の中での確認を時系列的に行うことはできなかった。
【０００５】
本発明は、上記に鑑みてなされたものであって、所定の通信アドレスと、通信が行われた通信アドレスとを容易に識別可能とし、その関係を容易に確認可能とするアドレス情報提供装置、アドレス監視システム、アドレス情報表示方法及びアドレス情報提供プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
上述した課題を解決し、目的を達成するために、実施形態にかかるアドレス情報提供装置は、所定の通信アドレスが記述された情報リストと、通信ネットワークを介した端末間の通信についての送信元及び送信先の通信アドレスを通信を行った時刻を示す時間情報とともに記述した通信記録とを取得し、通信アドレスを第１の軸、時刻を第２の軸とするアドレス空間に、前記所定の通信アドレスと、通信が行われた通信アドレスとをプロットし、前記情報リスト及び前記通信記録に記述された通信アドレスの種類、又は同一の通信アドレスについてプロットする点の数量に応じて、プロットの表示態様を変更した表示データを生成する生成部と、端末装置からの要求に応じて前記生成された表示データを前記端末装置へ送信する送信部と、を備えることを特徴とする。
【発明の効果】
【０００７】
実施形態にかかるアドレス情報提供装置によれば、所定の通信アドレスと、通信が行われた通信アドレスとを容易に識別可能とし、その関係を容易に確認できる、という効果を奏する。
【図面の簡単な説明】
【０００８】
【図１】図１は、実施形態にかかる通信システムの構成を例示する概略構成図である。
【図２】図２は、実施形態にかかる通信システムの動作の一例を示すラダーチャートである。
【図３】図３は、ＩＰアドレスの一例を示す説明図である。
【図４】図４は、情報リストの一例を示す説明図である。
【図５】図５は、通信ログの一例を示す説明図である。
【図６】図６は、ＩＰアドレスのマッチングを説明するための図である。
【図７】図７は、ＩＰアドレスのマッチングを説明するための図である。
【図８】図８は、ＩＰアドレスのマッチングを説明するための図である。
【図９】図９は、ＩＰアドレスのマッチングを説明するための図である。
【図１０】図１０は、ＩＰアドレスのマッチングを説明するための図である。
【図１１】図１１は、ＩＰアドレス空間へのＩＰアドレスのプロットの一例を示す説明図である。
【図１２】図１２は、複数の情報リストごとのＩＰアドレス空間を並べて表示する場合の一例を示す説明図である。
【図１３】図１３は、選択領域で選択されたＩＰアドレス空間を表示する場合の一例を示す説明図である。
【図１４】図１４は、ＩＰアドレスが一致する場合の表示例を示す説明図である。
【図１５】図１５は、通信ログにかかる発生事象の表示例を示す説明図である。
【図１６】図１６は、Ｗｅｂブラウザにおける表示例を示す説明図である。
【図１７】図１７は、Ｗｅｂブラウザにおける表示例を示す説明図である。
【図１８】図１８は、Ｗｅｂブラウザにおける表示例を示す説明図である。
【図１９】図１９は、Ｗｅｂブラウザにおける表示例を示す説明図である。
【図２０】図２０は、ユーザ端末、中継サーバ、外部サーバ、情報リストサーバ及び分析サーバにおける処理がコンピュータを用いて具体的に実現されることを示す図である。
【発明を実施するための形態】
【０００９】
以下、添付図面を参照して実施形態にかかるアドレス情報提供装置、アドレス監視システム、アドレス情報表示方法及びアドレス情報提供プログラムを詳細に説明する。なお、以下の説明において、同様の構成要素には共通の符号を付与するとともに、重複する説明を省略する。
【００１０】
図１は、実施形態にかかる通信システム１の構成を例示する概略構成図である。図１に示すように、アドレス監視システムとしての通信システム１には、インターネット１０１などの通信ネットワークを介して、ＰＣ（Personal  Computer）等のユーザ端末１０２や、中継サーバ１０３、外部サーバ１０４、情報リストサーバ１０５及び分析サーバ１０６等の各種サーバ装置が互いに通信可能に接続されている。
【００１１】
なお、インターネット１０１におけるユーザ端末１０２及び各種サーバ装置（中継サーバ１０３、外部サーバ１０４、情報リストサーバ１０５及び分析サーバ１０６等）などの端末にはＩＰアドレス等の通信アドレスが割り当てられている。そして、インターネット１０１における端末間の通信は、送信元の端末が送信先の端末の通信アドレスを指定して行う。ここで、本実施形態では通信アドレスがＩＰｖ４（Internet  Protocol  version  4）である場合を例示するが、通信アドレスはＩＰｖ６（Internet  Protocol  version  6）やＭＡＣ（Media  Access  Control）アドレスなどであってもよいことは言うまでもないことである。例えばＩＰｖ６では、ＩＰｖ４と比べてＩＰアドレス空間の表現が多少異なるが（一例として１６ｂｉｔ単位でのコロン区切りなど）、ＩＰｖ４のアドレスの前後に適当な数字を付け足して１２８ｂｉｔ長のＩＰｖ６を生成する場合（例えばＩＰｖ４互換アドレス、ＩＰｖ４射影アドレスなど）においては、ＩＰｖ４と同様のＩＰアドレス空間として表現が可能であることから、ＩＰｖ４の実施形態を容易に転用可能である。また、ＭＡＣアドレスについては、ＩＰｖ４と同様にオクテッド区切りであるが、同一ブロードキャストドメインでの利用が前提となることから、ローカルネットワーク内における端末の通信アドレスを解析するという点で有意義である。
【００１２】
中継サーバ１０３は、ユーザ端末１０２の通信を中継するサーバ装置である。中継サーバ１０３は、自身を介して中継した通信（ユーザ端末１０２が行った通信）についての通信ログ２０６を記録する。具体的には、中継サーバ１０３は、インターネット１０１を介した端末間の通信（例えばユーザ端末１０２と外部サーバ１０４との通信）についての送信元及び送信先のＩＰアドレスと、その通信を行った時刻を示す情報とを記述した通信ログ２０６を記録する（図５参照）。
【００１３】
外部サーバ１０４は、ユーザ端末１０２などのアクセスを許容する例えばＷｅｂサーバ等のサーバ装置である。情報リストサーバ１０５は、インターネット１０１上の様々なサイトのＩＰアドレスを集めた情報リスト２０５を例えばＨＤＤ（Hard  Disk  Drive）等のストレージに記録しており、外部からの要求に応じて情報リスト２０５を提供するサーバ装置である。この情報リスト２０５には、例えば不正アクセスに関する送信元や送信先等を示したＩＰアドレスが記述されている（図４参照）。
【００１４】
分析サーバ１０６は、情報リスト２０５と、通信ログ２０６とを取得し、その情報リスト２０５及び通信ログ２０６に記述された情報をＩＰアドレス空間上にプロットした表示データを生成し、ユーザ端末１０２などの要求に応じて生成した表示データを送信するサーバ装置（アドレス情報提供装置）である。具体的には、分析サーバ１０６は、コンピュータを用いて実現される機能構成として（詳細は後述する）、通信処理部２０１と、データ蓄積部２０２と、制御部２０３と、ユーザインタフェース部２０４とを備える。
【００１５】
通信処理部２０１は、インターネット１０１を介した端末間の通信処理を行う。データ蓄積部２０２は、通信処理部２０１の通信処理によって、中継サーバ１０３、情報リストサーバ１０５より通信ログ２０６、情報リスト２０５の提供を受け、その通信ログ２０６、情報リスト２０５を蓄積する。制御部２０３は、分析サーバ１０６の動作を制御する。具体的には、制御部２０３は、情報リスト２０５及び通信ログ２０６に記述された情報を、ＩＰアドレス空間に時系列にプロットした表示データを生成するためのデータ処理を行う。この生成された表示データをもとにしたモニタへの表示を行うことで、モニタの表示画面上において、情報リスト２０５及び通信ログ２０６に記述された情報を、ＩＰアドレス空間に時系列にプロットした表示を行うことが可能となる。ユーザインタフェース部２０４は、キーボードやマウスなどの入力装置（図示しない）や、通信処理部２０１の通信処理により通信接続されたユーザ端末１０２よりユーザからの操作を受け付ける。
【００１６】
図２は、実施形態にかかる通信システム１の動作の一例を示すラダーチャートである。図２に示すように、Ｓ３０１は、ユーザ端末１０２が他の端末である外部サーバ１０４への通信を行う場合のシーケンスを示している。
【００１７】
このＳ３０１では、先ず、ユーザ端末１０２が中継サーバ１０３に外部サーバ１０４のＩＰアドレスを指定した接続要求を行う（Ｓ３０１１）。中継サーバ１０３は、ユーザ端末１０２からの接続要求を受けて外部サーバ１０４へ転送する（Ｓ３０１２）。これにより、ユーザ端末１０２と外部サーバ１０４との通信接続が行われる。このように、ユーザ端末１０２が外部サーバ１０４に接続する際に情報リスト２０５が中継サーバ１０３に記録される。
【００１８】
Ｓ３０２は、分析サーバ１０６が情報リスト２０５をデータ蓄積部２０２へ蓄積する場合のシーケンスを示している。このＳ３０２では、通信処理部２０１が予めメモリ等に設定された情報リストサーバ１０５のＩＰアドレスを参照して情報リストサーバ１０５との通信を行って、情報リストサーバ１０５から情報リスト２０５の転送を受け付ける（Ｓ３０２１）。次いで、通信処理部２０１は情報リストサーバ１０５より受け付けた情報リスト２０５をデータ蓄積部２０２へ転送し（Ｓ３０２２）、データ蓄積部２０２は、転送された情報リスト２０５をメモリ等へ蓄積する（Ｓ３０２３）。このＳ３０２は、例えば分析サーバ１０６の起動時などに行われた後、所定の時間間隔（例えば１時間など）で行われてよい。このように、所定の時間間隔でＳ３０２を行って、データ蓄積部２０２が蓄積する情報リスト２０５を逐次更新してよい。
【００１９】
Ｓ３０３は、分析サーバ１０６が通信ログ２０６をデータ蓄積部２０２へ蓄積する場合のシーケンスを示している。このＳ３０３では、通信処理部２０１が予めメモリ等に設定された中継サーバ１０３のＩＰアドレスを参照して中継サーバ１０３との通信を行って、中継サーバ１０３から通信ログ２０６の転送を受け付ける（Ｓ３０３１）。次いで、通信処理部２０１は中継サーバ１０３より受け付けた通信ログ２０６をデータ蓄積部２０２へ転送し（Ｓ３０３２）、データ蓄積部２０２は、転送された通信ログ２０６をメモリ等へ蓄積する（Ｓ３０３３）。
【００２０】
Ｓ３０４、Ｓ３０５は、ユーザ端末１０２からの要求に応じて、分析サーバ１０６が情報リスト２０５及び通信ログ２０６に記述された情報をＩＰアドレス空間に時系列にプロットした表示データを生成し、ユーザ端末１０２へ送信して表示する場合のシーケンスを示している。
【００２１】
先ず、Ｓ３０４では、ユーザ端末１０２が分析サーバ１０６に対し、情報リスト２０５、通信ログ２０６についての情報参照要求をする。具体的には、ユーザ端末１０２が中継サーバ１０３に分析サーバ１０６のＩＰアドレスを指定した情報参照要求を行う（Ｓ３０４１）。中継サーバ１０３は、ユーザ端末１０２からの情報参照要求を受けて分析サーバ１０６へ転送する（Ｓ３０４２）。分析サーバ１０６の通信処理部２０１は、ユーザ端末１０２からの情報参照要求をユーザインタフェース部２０４へ転送する（Ｓ３０４３）。これにより、ユーザインタフェース部２０４では、情報参照要求の際のユーザ操作を認識する。次いで、ユーザインタフェース部２０４は、情報参照要求を制御部２０３へ転送する（Ｓ３０４４）。これにより、制御部２０３は、ユーザ端末１０２より情報リスト２０５、通信ログ２０６についての情報参照要求があったことを認識する。次いで、制御部２０３は、情報参照要求をデータ蓄積部２０２へ転送し（Ｓ３０４５）、データ蓄積部２０２が蓄積している情報リスト２０５、情報リスト２０５の読み出し（取り出し）を行う（Ｓ３０４６）。
【００２２】
次いで、Ｓ３０５では、情報リスト２０５及び通信ログ２０６に記述された情報をＩＰアドレス空間に時系列にプロットした表示データを制御部２０３でユーザ端末１０２からの操作に合わせた粒度に加工（生成）し、ユーザインタフェース部２０４を経由してユーザ端末１０２に表示する。具体的には、データ蓄積部２０２がＳ３０４６で読み出された情報リスト２０５、通信ログ２０６を制御部２０３へ転送する（Ｓ３０４７）。
【００２３】
制御部２０３は、情報リスト２０５及び通信ログ２０６に記述された情報（ＩＰアドレス、通信を行った時刻を示す情報）を、ＩＰアドレスを第１の軸、時刻を第２の軸とするＩＰアドレス空間に時系列にプロットした表示データを、ユーザ端末１０２からの操作に合わせた粒度に加工する（Ｓ３０４８）。ここで、制御部２０３は、情報リスト２０５に記述されたＩＰアドレスと、通信ログ２０６に記述されたＩＰアドレスとが一致（マッチング）する場合、一致を示す注釈情報を表示するための表示データを付与する。この表示データは、Ｗｅｂブラウザの表示用に、例えばＨＴＭＬ（HyperText  Markup  Language）などでＩＰアドレス空間を表現したものであってよい。この場合、ユーザ端末１０２では、分析サーバ１０６より送信された表示データを、Ｗｅｂブラウザ上に表示して確認することができる。
【００２４】
また、粒度は、第１の軸とするＩＰアドレスの粗さを意味するものであり、ＩＰアドレスの上位ｂｉｔから表示にかかるビット長を長くするほど粒度は細かくなる。例えば、ユーザ端末１０２からの操作により、第１の軸がＩＰアドレスの上位８ｂｉｔとされた場合には、上位８ｂｉｔ長のＩＰアドレス空間にＩＰアドレスがプロットされるため、下位２４ｂｉｔ分の識別はできなくなり、第１の軸がＩＰアドレスの上位１６ｂｉｔとされた場合と比較して、粒度は荒くなる。
【００２５】
次いで、制御部２０３は、加工した表示データをユーザインタフェース部２０４へ転送する（Ｓ３０４９）。この表示データは、ユーザインタフェース部２０４を経由して通信処理部２０１へ転送され（Ｓ３０５０）、通信処理部２０１より中継サーバ１０３へ転送されて（Ｓ３０５１）、ユーザ端末１０２へ送信される。これにより、ユーザ端末１０２では、送信された表示データによる情報表示が行われる（Ｓ３０５２）。
【００２６】
図３は、ＩＰアドレスの一例を示す説明図である。図３に示すように、本実施形態におけるＩＰアドレス（ＩＰｖ４）は、３２ｂｉｔ長のＩＰｖ４アドレスを１０進数表示したものである。このＩＰｖ４アドレス（図示例では「１９２．１６８．２０．３０」）は、上位から８ｂｉｔずつに、第１オクテッド４０１（「１９２」）、第２オクテッド４０２（「１６８」）、第３オクテッド４０３（「２０」）、第４オクテッド４０４（「３０」）に区切ることができる。
【００２７】
図４は、情報リスト２０５の一例を示す説明図である。図４に示すように、情報リスト２０５には、様々な条件で集められたＩＰアドレスの一覧が記述されている。ＩＰアドレスの一覧には、悪性な情報を提供するＷｅｂサーバのＩＰアドレスを集めたもの、電子メールに記載されている接続先のＩＰアドレスを集めたもの、ユーザがアクセスしても安全なＷｅｂサイトのＩＰアドレスを集めたものなどが挙げられる。これらのＩＰアドレスは、集められた条件毎にセクション分けされて記述されてもよい。
【００２８】
図５は、通信ログ２０６の一例を示す説明図である。図５に示すように、通信ログ２０６には、いつ（日時４０５）、どの端末（アクセス元４０６）がどの端末（アクセス先４０７）にアクセスしたのかが記述される。なお、図５に例示した通信ログ２０６は一例であり、例えばＷｅｂの場合は「情報取得要求元」、「情報提供先」などが記述され、電子メールの場合は「送信元」、「送信先」などが記述される。
【００２９】
図６〜１０は、ＩＰアドレスのマッチングを説明するための図である。図６に示すように、ＩＰアドレス５０１とＩＰアドレス５０２とは同一（「１９２．１６８．２０．３０」）であるので両者は一致（マッチング）している。したがって、制御部２０３は、情報リスト２０５にＩＰアドレス５０１が記述され、通信ログ２０６にＩＰアドレス５０２が記述されている場合、互いに一致したものと判定する。
【００３０】
図７に示すように、ＩＰアドレス５０３（「１９２．１６８．２０．３０」）とＩＰアドレス５０４（「１９２．１６８．２０．３５」）とは、同一でないので両者は一致していない。しかしながら、ＩＰアドレス５０３及びＩＰアドレス５０４を第３オクテッドである上位２４ｂｉｔまでで集約したＩＰアドレス５０５及びＩＰアドレス５０６は、同一なため両者は一致している。したがって、制御部２０３は、情報リスト２０５にＩＰアドレス５０３が記述され、通信ログ２０６にＩＰアドレス５０４が記述され、粒度を上位２４ｂｉｔまで荒くした場合、互いに一致したものと判定する。
【００３１】
図８に示すように、ＩＰアドレス５０７（「１９２．１６８．２０．３０」）とＩＰアドレス５０８（「１９２．１６８．２５．３５」）とは、同一でないので両者は一致していない。また、ＩＰアドレス５０７及びＩＰアドレス５０８を第３オクテッドである上位２４ｂｉｔまでで集約したＩＰアドレス５０９及びＩＰアドレス５１０も同様に一致していない。しかしながら、ＩＰアドレス５０７及びＩＰアドレス５０８を第２オクテッドである上位１６ｂｉｔまでで集約したＩＰアドレス５１１及びＩＰアドレス５１２は、同一なため両者は一致している。したがって、制御部２０３は、情報リスト２０５にＩＰアドレス５０７が記述され、通信ログ２０６にＩＰアドレス５０８が記述され、粒度を上位１６ｂｉｔまで荒くした場合、互いに一致したものと判定する。
【００３２】
図９に示すように、ＩＰアドレス５１３（「１９２．１６８．２０．３０」）とＩＰアドレス５１４（「１９２．１６７．２５．３５」）とは、同一でないので両者は一致していない。また、ＩＰアドレス５１３及びＩＰアドレス５１４を第３オクテッドである上位２４ｂｉｔまでで集約したＩＰアドレス５１５及びＩＰアドレス５１６も同様に一致していない。また、ＩＰアドレス５１３及びＩＰアドレス５１４を第２オクテッドである上位１６ｂｉｔまでで集約したＩＰアドレス５１７及びＩＰアドレス５１８も同様に一致していない。しかしながら、ＩＰアドレス５１３及びＩＰアドレス５１４を第１オクテッドである上位８ｂｉｔまでで集約したＩＰアドレス５１９及びＩＰアドレス５２０は、同一なため両者は一致している。したがって、制御部２０３は、情報リスト２０５にＩＰアドレス５１３が記述され、通信ログ２０６にＩＰアドレス５１４が記述され、粒度を上位８ｂｉｔまで荒くした場合、互いに一致したものと判定する。
【００３３】
図１０に示すように、ＩＰアドレス５２１（「１９２．１６８．２０．３０」）とＩＰアドレス５２２（「１０．６８．２５．３５」）とは、同一でないので両者は一致していない。また、第３オクテッドである上位２４ｂｉｔまでで集約した場合、第２オクテッドである上位１６ｂｉｔまでで集約した場合、第１オクテッドである上位８ｂｉｔまでで集約した場合のいずれの場合であっても一致しない。したがって、制御部２０３は、情報リスト２０５にＩＰアドレス５２１が記述され、通信ログ２０６にＩＰアドレス５２２が記述されている場合には、粒度に関係なく、互いに不一致と判定する。
【００３４】
図１１は、ＩＰアドレス空間６０３へのＩＰアドレスのプロットの一例を示す説明図である。具体的には、図１１は、情報リスト２０５及び通信ログ２０６に記述されたＩＰアドレスをＩＰアドレス空間６０３へプロットした表示例である。図１１に示すように、ＩＰアドレス空間６０３の横方向は時間軸６０１であり、日数や時間数などを表す。また、ＩＰアドレス空間６０３の縦方向はＩＰアドレス軸６０２であり、ＩＰアドレスを順番に並べて表す。例えば、粒度が上位１６ｂｉｔとされる場合は、図示例のようにＩＰアドレス軸６０２は１６ｂｉｔ長となる。
【００３５】
制御部２０３は、情報リスト２０５をもとに、情報リスト２０５に記述されたＩＰアドレスを、ＩＰアドレス空間６０３へプロットした表示データを生成する。したがって、情報リスト２０５は、該当のＩＰアドレス軸６０２上に線でプロットして表示される。また、制御部２０３は、通信ログ２０６をもとに、通信ログ２０６に記述されたＩＰアドレスを、通信の日時とＩＰアドレスで指定される位置にプロットした表示データを生成する。したがって、通信ログ２０６は、ＩＰアドレスと通信の日時とで指定される位置に点で表示される。
【００３６】
したがって、ユーザ端末１０２では、上述した情報リスト２０５、通信ログ２０６がプロットされたＩＰアドレス空間６０３が表示されることから、ＩＰアドレス空間６０３内における情報リスト２０５と、実際に通信を行っている端末の通信ログ２０６との時系列的な関係を容易に確認できる。
【００３７】
また、制御部２０３は、情報リスト２０５の線表示においては、同一軸上に表示するべき情報リスト２０５の量に応じて濃淡をつけた表示や、情報リスト２０５の種類に応じて色分けして表示するように、プロットした情報リスト２０５の表示態様を変更する表示データを生成してよい。例えば、同一軸上に多くの情報リスト２０５が重畳される場合には、濃くする表示データを生成してよい。また、不正アクセスにかかる送信元、送信先などの悪性情報リストの場合は黒をベースに濃淡をつけて表示し、ユーザがアクセスしても安全なサイトのＩＰアドレスなどの良性情報リストの場合は青をベースに濃淡をつけて表示する表示データを生成してよい。
【００３８】
同様に、制御部２０３は、通信ログ２０６の点表示においては、同じ位置にプロットする事象の量に応じて点の大きさを変化させることや、事象の種類（例えば送信元、送信先）に応じて色を分けて表示するように、プロットした通信ログ２０６の表示態様を変更する表示データを生成してよい。これにより、情報リスト２０５と通信ログ２０６がどのくらいマッチするのかが視覚的に把握できる。
【００３９】
図１２は、複数の情報リストごとのＩＰアドレス空間６０５、６０６、６０７を並べて表示する場合の一例を示す説明図である。情報リスト２０５には、不正アクセスにかかる送信元、送信先などの悪性情報リスト又はユーザがアクセスしても安全なサイトのＩＰアドレスなどの良性情報リストなどがあり、悪性情報リストの中にも、Ｗｅｂに関係するものから電子メールに関係するものまで、様々な種類がある。したがって、制御部２０３は、情報リスト２０５の種類ごとにＩＰアドレスをプロットするＩＰアドレス空間６０５、６０６、６０７を生成してもよい。
【００４０】
具体的には、制御部２０３は、情報リスト２０５の中の良性情報リスト、悪性情報リストなどの種類ごとにＩＰアドレスを読み出して、ＩＰアドレス空間６０５、６０６、６０７へプロット（線表示）する。次いで、制御部２０３は、ＩＰアドレス空間６０５、６０６、６０７に対して、通信ログ２０６に記述されたＩＰアドレスを、通信の日時とＩＰアドレスで指定される位置にプロットした表示データを生成する。そして、制御部２０３は、ＩＰアドレス空間６０５、６０６、６０７を並べた表示データを生成する。これにより、ユーザ端末１０２では、ＩＰアドレス空間６０５、６０６、６０７が並べて表示されることから、種類の異なる情報リスト２０５のＩＰアドレス空間６０５、６０６、６０７での分布の違いと、種類の異なる情報リスト２０５及び通信ログ２０６がどのくらいマッチするのかが視覚的に把握できる。また、ＭＡＣアドレスでは、ＩＰｖ４におけるオクテッドごとの区切りに対応して、最初の２４ｂｉｔにおけるベンダーＩＤ部分、次の８ｂｉｔの機種ＩＤ部分、最後の１６ｂｉｔのシリアルＩＤ部分で区切るようにしてもよい。この場合は、ベンダーや機種ごとに集約したＭＡＣアドレスについての視覚的な確認を行うことができる。
【００４１】
図１３は、選択領域６０９、６１１で選択されたＩＰアドレス空間を表示する場合の一例を示す説明図である。前述した粒度の設定は、第１オクテッド４０１、第２オクテッド４０２、第３オクテッド４０３等を指定して行ってもよいが、図１３に示すように、ＩＰアドレス空間６０８、６１０内でさらに詳細に見たい範囲を選択する選択領域６０９、６１１として設定してもよい。この場合は、ＩＰアドレス空間６０８において選択された選択範囲６０９を含むＩＰアドレス空間６１０を第３オクテッドまで詳細化した単位で拡大表示する。また、ＩＰアドレス空間６１０においてさらに詳細に見たい範囲として選択範囲６１１が設定された場合は、選択範囲６１１を含むＩＰアドレス空間６１２を第４オクテッドまで詳細化した単位で拡大表示する。これにより、ＩＰアドレス空間６０８、６１０、６１２の順に、ＩＰアドレス空間の粒度を変化させて表示させることができる。
【００４２】
具体的には、図１３において、ＩＰアドレス空間６０８では、ＩＰアドレス空間全体像として日ごと１年分の時間軸と第２オクテッドで集約したＩＰアドレス軸で、情報リストと通信ログを表示する。表示したＩＰアドレス空間６０８の中で詳細に見たい箇所があった場合、ユーザはユーザ端末１０２の操作部などでその箇所を含む選択領域６０９を指定する。分析サーバ１０６では、ユーザインタフェース部２０４により選択領域６０９についての操作を受け付けて、選択領域６０９にかかるＩＰアドレス空間を第３オクテッドまで詳細化した単位に拡大表示するＩＰアドレス空間６１０を制御部２０３で生成し、ユーザ端末１０２へ送信する。これにより、ユーザ端末１０２では、より詳細なＩＰアドレス空間６１０における確認を行うことが可能となる。
【００４３】
また、表示したＩＰアドレス空間６１０中でさらに詳細に見たい箇所があった場合、ユーザはユーザ端末１０２の操作部などでその箇所を含む選択領域６１１を指定する。分析サーバ１０６では、ユーザインタフェース部２０４により選択領域６１１についての操作を受け付けて、選択領域６１１にかかるＩＰアドレス空間を第４オクテッドまで詳細化した単位に拡大表示するＩＰアドレス空間６１２を制御部２０３で生成し、ユーザ端末１０２へ送信する。これにより、ユーザ端末１０２では、より詳細なＩＰアドレス空間６１２における確認を行うことが可能となる。
【００４４】
この時、縦軸は同じ１６ｂｉｔ長になるようにするために第３オクテッド、第４オクテッドで指定されるＩＰアドレス軸は、第２オクテッドで指定した範囲、第３オクテッドで指定した範囲内で詳細化する。
【００４５】
図１４は、ＩＰアドレスが一致する場合の表示例を示す説明図である。図６〜１０を参照して説明したＩＰアドレスのマッチングにおいてＩＰアドレスが一致する場合、制御部２０３は、図１４に示すように、一致表示６１３、範囲表示６１４、ポップアップ表示６１５、注釈表示６１６などにより一致を示す表示を付与した表示データを作成する。
【００４６】
具体的には、情報リスト２０５のＩＰアドレスと通信ログ２０６のＩＰアドレスとが一致した場合、一致したＩＰアドレスの軸上に目立つ色などの表示態様で表示を行う一致表示６１３を付与してもよい。また、通信ログ２０６のＩＰアドレスが情報リスト２０５のＩＰアドレスと一定の範囲で一致する場合に、その領域を目立つ色などの表示態様で表示を行う範囲表示６１４を付与してもよい。また、ＩＰアドレス空間６０３内で情報リスト２０５のＩＰアドレスと一致する通信ログ２０６のＩＰアドレスが存在することをポップアップで知らせるポップアップ表示６１５を付与してもよい。また、通信ログ２０６のＩＰアドレスと情報リスト２０５のＩＰアドレスとが一致した際に、一致の理由や一致したことを注釈として知らせる注釈表示６１６を付与してもよい。
【００４７】
図１５は、通信ログ２０６にかかる発生事象６１７、６１８、６１９（送信先のＩＰアドレス、送信元のＩＰアドレス）の表示例を示す説明図である。図１５に示すように、ＩＰアドレス空間６０３では、通信ログ２０６ついて発生した日時と該当のＩＰアドレスの位置に、発生数の多さを点の大きさで表示し、発生事象の種類（送信元、送信先）により色分け表示する発生事象６１７〜６１９のように、表示態様を変更してもよい。また、情報リスト２０５との一致／不一致をもとに、不正アクセスなどの悪性な通信ログ２０６、正規の通信ログ２０６、判別不能な通信ログ２０６などで、発生事象６１７〜６１９のように表示態様を変更し、通信ログ２０６の種類による分類を分り易く表示してもよい。
【００４８】
図１６〜１９は、Ｗｅｂブラウザ７０１における表示例を示す説明図である。図１６〜１９に示すように、ユーザ端末１０２では、制御部２０３により生成された表示データをＷｅｂブラウザ７０１上に表示する。
【００４９】
具体的には、図１６に示すように、Ｗｅｂブラウザ７０１上には、ＩＰアドレス空間の粒度で３つに区分けされた、ＩＰアドレス空間７０５〜７０７が表示される。それぞれは、１６ｂｉｔで集約したＩＰアドレス空間７０５、２４ｂｉｔで集約したＩＰアドレス空間７０６、３２ｂｉｔのＩＰアドレス空間７０７である。さらに情報リストの種類（「Ｗｅｂ  ｌｏｇ」、「Ｓｐａｍ」、「Ｂｌａｃｋｌｉｓｔ」）により、表示領域７０２、７０３、７０４の３つに区分けされている。それぞれは、不正アクセスに用いられている可能性のあるＩＰアドレスである悪性情報リストをＩＰアドレス空間に表示した表示領域７０２、迷惑メールから抽出されたアクセスすると被害を受ける可能性のある悪性情報リストをＩＰアドレス空間に表示した表示領域７０３、第三者機関から提供されたアクセスの遮断を推奨されている悪性情報リストをＩＰアドレス空間に表示したもの表示領域７０４である。また、横軸は時間軸で、日付ごとのスケールで各情報リストごとのＩＰアドレス空間は約１年間の４００日を示している。
【００５０】
図１７は、ユーザインタフェース操作によりＷｅｂブラウザ７０１に表示する、初期画面７０８、詳細表示画面７０９、詳細表示画面７１０の表示過程を示している。図１７に示すように、初期画面７０８では、ＩＰアドレスを１６ｂｉｔで集約し約１年間の通信ログをプロットしたＩＰアドレス空間７０５を全体像としてＷｅｂブラウザ７０１上に表示している。ここで、スクロールバー７１１を用い、ＩＰアドレス空間７０５を鳥瞰し、気になった部分があった場合は、その箇所をクリック操作などにより指定する。
【００５１】
指定した箇所を含む部分を選択領域７１２とし、その部分を２４ｂｉｔのＩＰアドレス軸で詳細化したＩＰアドレス空間７０６を詳細表示画面７０９としてＷｅｂブラウザ７０１上に並列表示する。２４ｂｉｔの詳細化したＩＰアドレス空間７０６をスクロールバー７１１を用い鳥瞰し、気になった部分があった場合は、その箇所をクリック操作などにより指定する。指定した箇所を含む部分を選択領域７１２とし、その部分を３２ｂｉｔのＩＰアドレス軸で詳細化したＩＰアドレス空間７０７を詳細表示画面７１０としてＷｅｂブラウザ７０１上に並列表示する。
【００５２】
これら一連の表示順序の中で、２４ｂｉｔで集約した情報リスト２０５と通信ログ２０６のＩＰアドレスが一致した場合は着色されたマッチング表示７１３で一致していることを表示し、ＩＰアドレス空間７０７の３２ｂｉｔでの詳細化表示の際に、情報リスト２０５と通信ログ２０６が一致するＩＰアドレスが存在するときにポップアップ表示７１４をすることや、一致するＩＰアドレスが存在する領域について着色表示７１５することにより一致の見落としを防ぐことを行う。
【００５３】
図１８は、情報リスト２０５と通信ログ２０６のＩＰアドレス空間上へのマッチング方法について、図１６、１７とは異なる場合の表示例である。具体的には、図１８では、通信ログ２０６などで特に調べたいＩＰアドレスを指定し、その周辺のＩＰアドレス空間を表示する場合の表示例である。
【００５４】
図１８に示すように、調べたいＩＰアドレスをＩＰアドレス入力領域８０５から投入する。その後、８ｂｉｔ、１６ｂｉｔ、２４ｂｉｔ、３２ｂｉｔのそれぞれの粒度のＩＰアドレス軸で生成されたＩＰアドレス空間８０１、８０２、８０３、８０４を同時に表示し、その中に情報リスト２０５を線表示する。その際に、情報リスト２０５に投入したＩＰアドレスについて、ＩＰアドレス空間８０１、８０２、８０３、８０４のそれぞれでの該当位置を目立つように着色表示８０６する。あわせて点表示をおこなってもよい。また、情報リスト２０５と指定したＩＰアドレスが一致する場合には、一致したことを示す注釈表示８０７を行う。また、ＩＰアドレス入力領域８０５に投入されたＩＰアドレスについては、外部検索機能（図示例では「ｗｈｏｉｓ」）により検索された結果を合わせて関連情報８０８として表示してもよい。
【００５５】
図１９は、情報リスト２０５と通信ログ２０６のＩＰアドレス空間上へのマッチング方法について、図１６〜１８とは異なる場合の表示例である。具体的には、図１９では、通信ログ２０６をＩＰアドレス空間上に表示する場合の表示例である。
【００５６】
図１９に示すように、横軸は、一日単位で７年分を表示する時間軸９０１である。この時間軸９０１には、代表的な日付（「ｔｏｄａｙ」や年の初日）の情報をスケール表示９０２として表示する。縦軸は、第２オクテッドで集約したＩＰアドレス軸９０３である。このＩＰアドレス軸９０３には、８ｂｉｔごとのＩＰアドレスの配布先の情報を注釈表示９０４として表示する。そして、時間軸９０１、ＩＰアドレス軸９０３によるＩＰアドレス空間には、事前に分類された通信ログ２０６をアクセス履歴９０５として、ＩＰアドレスと時間軸で指定できる箇所に点表示している。点の大きさは通信ログ２０６の量、色は不正アクセスは赤、正規のアクセスは青、未分類のアクセスは黄色で表示している。なお、このＩＰアドレス空間には、情報リスト２０５も合わせて表示することもできる。
【００５７】
以上のように、分析サーバ１０６は、所定の通信アドレス（ＩＰアドレス）が記述された情報リスト２０５と、通信ネットワークを介した端末間の通信についての送信元及び送信先の通信アドレスを通信を行った時刻を示す時間情報とともに記述した通信ログ２０６とを取得し、通信アドレスを第１の軸、時刻を第２の軸とするＩＰアドレス空間に、所定の通信アドレスと、通信が行われた通信アドレスとをプロットした表示データを生成する。そして、ユーザ端末１０２からの要求に応じて生成された表示データをユーザ端末１０２へ送信する。これにより、ユーザ端末１０２では、所定の通信アドレスと、実際に通信を行なっている端末の通信アドレスとのＩＰアドレス空間内における時系列的な関係を容易に確認できる。例えば、本実施形態の通信システム１を活用して、情報リスト２０５と自分自身の通信ログ２０６とを確認することで、機械的なマッチングで一致しなかった場合でも、通信ログ２０６の周囲に不正アクセスに用いられるＩＰアドレスがあった場合は、普段の通信先として危険性が迫っているかどうかを定性的に把握することができる。
【００５８】
また、分析サーバ１０６では、通信アドレスを上位から所定のビット長で区切った複数のアドレス空間ごとに、情報リスト２０５と通信ログ２０６とをプロットした表示データを生成する。これにより、ユーザ端末１０２では、広大なＩＰアドレス空間を大まかな傾向から細かい単位で絞り込んで確認できる。
【００５９】
図２０は、ユーザ端末１０２、中継サーバ１０３、外部サーバ１０４、情報リストサーバ１０５及び分析サーバ１０６における処理がコンピュータを用いて具体的に実現されることを示す図である。図２０に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。
【００６０】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１及びＲＡＭ（Random  Access  Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブに挿入される。シリアルポートインタフェース１０５０は、例えばマウス１０５１、キーボード１０５２に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１０６１に接続される。
【００６１】
ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記のプログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュール１０９３として、例えばハードディスクドライブ１０３１に記憶される。例えば、図１に例示した機能構成（通信処理部２０１、データ蓄積部２０２、中継サーバ１０３、ユーザインタフェース部２０４）と同様の情報処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。
【００６２】
また、上述した実施形態での処理に必要な設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。
【００６３】
なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local  Area  Network）、ＷＡＮ（Wide  Area  Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【００６４】
１…通信システム、１０１…インターネット、１０２…ユーザ端末、１０３…中継サーバ、１０４…外部サーバ、１０５…情報リストサーバ、１０６…分析サーバ、２０１…通信処理部、２０２…データ蓄積部、２０３…制御部、２０４…ユーザインタフェース部、２０５…情報リスト、２０６…通信ログ、４０１…第１オクテッド、４０２…第２オクテッド、４０３…第３オクテッド、４０４…第４オクテッド、４０５…日時、４０６…アクセス元、４０７…アクセス先、５０１〜５２２…ＩＰアドレス、６０１、９０１…時間軸、６０２、９０３…ＩＰアドレス軸、６０３〜６０８、６１０、６１２、７０５〜７０７、８０１〜８０４…ＩＰアドレス空間、６０９、６１１、７１２…選択領域、６１３…一致表示、６１４…範囲表示、６１５、７１４…ポップアップ表示、６１６、８０７、９０４…注釈表示、６１７〜６１９…発生事象、７０１…Ｗｅｂブラウザ、７０２〜７０４…表示領域、７０８…初期画面、７０９、７１０…詳細表示画面、７１１…スクロールバー、７１３…マッチング表示、７１５、８０６…着色表示、８０５…ＩＰアドレス入力領域、８０８…関連情報、９０２…スケール表示、９０５…アクセス履歴。
【図１】
0005902132.tif 000002
【図２】
0005902132.tif 000003
【図３】
0005902132.tif 000004
【図４】
0005902132.tif 000005
【図５】
0005902132.tif 000006
【図６】
0005902132.tif 000007
【図７】
0005902132.tif 000008
【図８】
0005902132.tif 000009
【図９】
0005902132.tif 000010
【図１０】
0005902132.tif 000011
【図１１】
0005902132.tif 000012
【図１２】
0005902132.tif 000013
【図１３】
0005902132.tif 000014
【図１４】
0005902132.tif 000015
【図１５】
0005902132.tif 000016
【図１６】
0005902132.tif 000017
【図１７】
0005902132.tif 000018
【図１８】
0005902132.tif 000019
【図１９】
0005902132.tif 000020
【図２０】
0005902132.tif 000021