(57)【要約】【課題】  分離が困難であったアクセスのバリエーションを分離することが可能なパケット解析システムを実現する。【解決手段】  ネットワークを伝播するパケットを捕捉して解析するパケット解析システムにおいて、複数の場所に設置され伝播するパケットを捕捉してパケット同士を互いに関連付けて分類する端末ノード型センサと、前記ネットワークを介して前記複数の端末ノード型センサから分類された情報を取得してシステムの全体的なレポートを生成するサーバとを設ける。【選択図】                    図１
2006121143.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを伝播するパケットを捕捉して解析するパケット解析システムにおいて、
複数の場所に設置され伝播するパケットを捕捉してパケット同士を互いに関連付けて分類する端末ノード型センサと、
前記ネットワークを介して前記複数の端末ノード型センサから分類された情報を取得してシステムの全体的なレポートを生成するサーバと
を備えたことを特徴とするパケット解析システム。
【請求項２】
前記端末ノード型センサが、
前記ネットワークを伝播するパケットを捕捉する通信手段と、
記憶手段と、
捕捉した前記パケットを前記記憶手段に格納すると共に捕捉した前記パケットをパケット同士で互いに関連付けて分類し前記記憶手段に保存する演算制御手段とから構成されることを特徴とする
請求項１記載のパケット解析システム。
【請求項３】
前記端末ノード型センサ、若しくは、前記演算制御手段が、
捕捉した前記パケットを送信先ポート若しくはタイプの組み合わせにより分類することを特徴とする
請求項１若しくは請求項２記載のパケット解析システム。
【請求項４】
前記演算制御手段が、
捕捉されたパケットの送信元ＩＰアドレスを調べて既に同一の受信元ＩＰアドレスに対応するオブジェクトが存在しない場合にパケット情報クラスのインスタンスの情報のリストを蓄積し最終的に分類情報を生成するオブジェクトを起動すると共にパケット情報をパケット情報インスタンスのリストに生成し、その時刻を記録し、
順次捕捉されたパケットの送信元ＩＰアドレスを調べて同一の受信元ＩＰアドレスに対応するオブジェクトが存在している場合には、パケット情報をパケット情報インスタンスのリストに順次追加し、追加時刻を記録し、
定期的な検査時刻毎に当該オブジェクトの生存条件を判断し、もし、生存条件を満足しない場合には、受信元ＩＰアドレスと共にパケット情報インスタンスのリストに蓄積されたパケット情報を出力して分類情報を生成させることを特徴とする
請求項３記載のパケット解析システム。
【請求項５】
前記演算制御手段が、
パケット情報の前記パケット情報インスタンスのリストへの追加が一定時間行われない場合に生存条件を満足していないと判断することを特徴とする
請求項４記載のパケット解析システム。
【請求項６】
前記演算制御手段が、
前記一定時間を可変にしたことを特徴とする
請求項５記載のパケット解析システム。
【請求項７】
前記端末ノード型センサ、若しくは、前記演算制御手段が、
捕捉した前記パケットを前記パケットの伝播の仕方の違いにより分類することを特徴とする
請求項１若しくは請求項２記載のパケット解析システム。
【請求項８】
前記演算制御手段が、
送信元ポート番号の種類数と送信先ポート番号の種類数とが同じであり、尚且つ、送信先ネットワークのアドレスの種類数と送信先ホストのアドレス種類数とが同じである場合にタイプ”Ｎｏｒｍａｌ”に分類することを特徴とする
請求項７記載のパケット解析システム。
【請求項９】
前記演算制御手段が、
送信元ポート番号の種類数の方が送信先ポート番号の種類数よりも多く、尚且つ、送信先ネットワークのアドレスの種類数と送信先ホストのアドレス種類数とが同じである場合にタイプ”Ｐｏｒｔ＿Ｓｃａｎ”に分類することを特徴とする
請求項７記載のパケット解析システム。
【請求項１０】
前記演算制御手段が、
送信元ポート番号の種類数の方が送信先ポート番号の種類数よりも少なく、尚且つ、送信先ネットワークのアドレスの種類数と送信先ホストのアドレス種類数とが同じである場合にタイプ”Ｐｏｒｔ＿Ｓｃａｎ２”に分類することを特徴とする
請求項７記載のパケット解析システム。
【請求項１１】
前記演算制御手段が、
送信元ポート番号の種類数の方が送信先ポート番号の種類数よりも多く、尚且つ、送信先ネットワークのアドレスの種類数の方が送信先ホストのアドレス種類数よりも少ない場合にタイプ”Ｎｅｔｗｏｒｋ＿Ｓｃａｎ”に分類することを特徴とする
請求項７記載のパケット解析システム。
【請求項１２】
前記演算制御手段が、
送信元ポート番号の種類数と送信先ポート番号の種類数と同じであり、尚且つ、送信先ネットワークのアドレスの種類数の方が送信先ホストのアドレス種類数よりも少ない場合にタイプ”Ｎｅｔｗｏｒｋ＿Ｓｃａｎ２”に分類することを特徴とする
請求項７記載のパケット解析システム。
【請求項１３】
前記演算制御手段が、
送信元ポート番号の種類数の方が送信先ポート番号の種類数よりも少なく、尚且つ、送信先ネットワークのアドレスの種類数の方が送信先ホストのアドレス種類数よりも少ない場合にタイプ”Ｎｅｔｗｏｒｋ＿Ｓｃａｎ３”に分類することを特徴とする
請求項７記載のパケット解析システム。
【請求項１４】
前記サーバが、
前記レポートを作成すると判断した場合に前記ネットワークを介して前記複数の端末ノード型センサから保存されている分類情報を取得し、
取得した分類情報を統合して前記レポートを作成すると共に記憶手段に保存することを特徴とする
請求項１記載のパケット解析システム。
【請求項１５】
前記サーバが、
前記レポートを作成すると判断した場合に前記ネットワークを介して前記複数の端末ノード型センサの一から保存されている分類情報を取得し、
取得した分類情報を統合して前記レポートを作成すると共に記憶手段に保存することを特徴とする
請求項１記載のパケット解析システム。
【請求項１６】
前記サーバが、
前記レポートを作成すると判断した場合に前記ネットワークを介して前記複数の端末ノード型センサの内選択された任意の端末ノード型センサから保存されている分類情報を取得し、
取得した分類情報を統合して前記レポートを作成すると共に記憶手段に保存することを特徴とする
請求項１記載のパケット解析システム。
【請求項１７】
前記サーバが、
前記レポートのフォーマットとして、日付、時刻、ミリ秒、送信元ＩＰアドレス、国コード”、プロトコル、前記パケットの伝播の仕方の違いによる分類及び前記パケットを送信先ポート若しくはタイプの組み合わせによる分類を順次記述することを特徴とする
請求項１４乃至請求項１６のいずれかに記載のパケット解析システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インターネット等のネットワークを伝播するパケットを捕捉して解析するパケット解析システムに関し、特に分離が困難であったアクセスのバリエーションを分離することが可能なパケット解析システムに関する。
【背景技術】
【０００２】
従来のインターネット等のネットワークを伝播するパケットを捕捉して解析するパケット解析システムに関連する先行技術文献としては次のようなものがある。
【０００３】
【特許文献１】特開２００２−１８５５３９号公報
【特許文献２】特開２００３−２０４３５８号公報
【特許文献３】特開２００３−２７３９３６号公報
【０００４】
図２４はこのような従来のパケット解析システムの一例を示す構成ブロック図である。図２４において１はパケット解析システムの全体を管理するサーバ、２，３及び４は内部のネットワークとその外部のネットワークとの間に外部からの不正なアクセスを防ぐ目的で設置されるファイアウォール、５及び６はそれぞれ内部のネットワークに接続されるコンピュータ、１００はインターネット等の外部のネットワーク、１０１はイントラネット等の内部のネットワークである。
【０００５】
サーバ１はネットワーク１００に相互に接続され、ファイアウォール２，３及び４の外部ネットワーク接続用の接続端にはネットワーク１００に相互に接続される。ファイアウォール２及び３の内部ネットワーク接続用の接続端にはコンピュータ５及び６がそれぞれ接続され、ファイアウォール４の内部ネットワーク接続用の接続端にはネットワーク１０１が接続される。
【０００６】
ここで、図２４に示す従来例の動作を図２５、図２６、図２７及び図２８を用いて説明する。図２５はパケット解析システムの全体を管理するサーバ１の動作を説明するフロー図、図２６及び図２７はパケット等の情報の流れを説明する説明図、図２８はファイアウォールで取得されたパケットのログ情報のフォーマット及び解析レポートの一例を示す説明図である。
【０００７】
図２５中”Ｓ００１”においてサーバ１は、パケットログを解析するか否かを判断し、もし、パケットログを解析すると判断した場合には、図２５中”Ｓ００２”においてサーバ１は、ネットワーク１００を介して各ファイアウォール２〜４から蓄積されているパケットのログ情報を収集する。
【０００８】
例えば、図２６中”ＣＤ０１”に示すようにサーバ１は、ネットワーク１００を介してファイアウォール２からパケットのログ情報を収集し、図２６中”ＣＤ０２”及び”ＣＤ０３”に示すようサーバ１は、ネットワーク１００を介してファイアウォール３及び４からパケットのログ情報を収集する。
【０００９】
そして、図２５中”Ｓ００３”においてサーバ１は、収集したパケットのログ情報を解析すると共に図２５中”Ｓ００４”においてサーバ１は、解析結果をレポートとして作成すると共にコンピュータ等に送信する。
【００１０】
例えば、図２７中”ＲＰ１１”に示すようにサーバ１は、解析結果をレポートとして作成すると共にコンピュータ５に送信する。
【００１１】
収集したパケットのログ情報の解析方法としては、図２８中”ＦＷ２１”に示すような情報を有するファイアウォールのパケットのログ情報に基づき或る期間毎の統計を取ることにより、どのようなパケットが伝播してきているのかを判断する。
【００１２】
具体的には、各期間のパケットの宛先ポート毎にその個数を集計することにより、図２８中”ＲＰ２１”に示すようなレポートを得ることができる。例えば、図２８中”ＴＲ２１”に示すように”８／１０”の”００：００〜００：５９”の時刻の間には”ＴＣＰ／１３５（ＴＣＰ（Transmission Control Protocol：以下、単にＴＣＰと呼ぶ。）のプロトコルでポート番号１３５）”宛に飛んできたパケットが”２１２５個”である等の情報を得ることができる。
【００１３】
この結果、内部のネットワークとその外部のネットワークとの間にファイアウォールを設置し、パケット解析システムの全体を管理するサーバで各ファイアウォールに蓄積されたパケットのログ情報を収集し解析することにより、ネットワークを伝播するパケットの解析を行うことが可能になる。
【００１４】
また、ファイアウォールのみだけではなくＩＤＳ（Intrusion Detection System：侵入検知システム：以下、単にＩＤＳと呼ぶ。）のログ情報に基づきネットワークを伝播するパケットの解析を行っても構わない。
【００１５】
図２９はＩＤＳで取得されたパケットのログ情報のフォーマット及び解析レポートの一例を示す説明図である。
【００１６】
収集したパケットのログ情報の解析方法としては、図２９中”ＩＤ３１”に示すような情報を有するＩＤＳのパケットのログ情報に基づき或る期間毎の統計を取ることにより、どのようなパケットが伝播してきているのかを判断する。
【００１７】
具体的には、各期間のＩＤＳのイベント毎にその個数を集計することにより、図２９中”ＲＰ３１”に示すようなレポートを得ることができる。例えば、図２９中”ＴＲ３１”に示すように”８／１０”の”００：００〜００：５９”の時刻の間には”ＴＣＰ／１３５（ＴＣＰのプロトコルでポート番号１３５）”にアクセスを試みたパケットが”１１２５個”である等の情報を得ることができる。
【００１８】
さらに、図３０は解析レポートの他の一例を示す説明図であり、パケットのダンプからプロトコル／ポート番号毎にその個数を集計することにより、図３０中”ＲＰ４１”に示すようなレポートを得ることができる。例えば、図３０中”ＴＲ４１”に示すように”８／１０”の”００：００〜００：５９”の時刻の間には”ＵＤＰ／１４３４（ＵＤＰ（User Datagram Protocol：以下、単にＵＤＰと呼ぶ。）のプロトコルでポート番号１４３４）”宛に飛んできたパケットが”１８８５個”である等の情報を得ることができる。
【発明の開示】
【発明が解決しようとする課題】
【００１９】
しかし、図２４に示す従来例では、パケット毎の、或いは、ＩＤＳのイベント毎の統計を取ることができるものの、パケット同士の間連や、パケット送信者の意思の分類を行っていない。
【００２０】
このため、或るパケットが”ワーム（別のプログラムに感染しないで増殖するプログラム）Ａ”によるものなのか、”ワームＢ”によるものなのか、或いは、ポートスキャンであるのか等はパケット同士の関連を知ることが重要であるものの従来のパケット解析システムではパケット同士の関連が分かりにくく、ワームの亜種が発生して従来のワームと混在した場合等には亜種の分離が困難であるといった問題点があった。
【００２１】
例えば、”ＴＣＰ／４４５（ＴＣＰのプロトコルでポート番号４４５）”へのアクセスは以下に示すようなバリエーションがあり、それぞれ異なるワームであるものの分離が困難である。
（１）”ICMP(Internet Control Message Protocol：以下、単にＩＣＭＰと呼ぶ。) Rcho Request”でサーバの存在を確認してから”ＴＣＰ／４４５”にアクセス。
（２）”ＴＣＰ／４４５"にだけアクセス。
（３）ネットワークをスキャンして”ＴＣＰ／４４５”サービスを探す。
（４）”ＴＣＰ１３９”にアクセスしてから”ＴＣＰ／４４５”にアクセス。
（５）”ＴＣＰ／２７４５”、”ＴＣＰ／１３５”、”ＴＣＰ／１０２５”、”ＴＣＰ／４４５”、”ＴＣＰ／３１２７”、”ＴＣＰ６１２９”、”ＴＣＰ１３９”、”ＴＣＰ／８０”の組み合わせでアクセス。
従って本発明が解決しようとする課題は、分離が困難であったアクセスのバリエーションを分離することが可能なパケット解析システムを実現することにある。
【課題を解決するための手段】
【００２２】
このような課題を達成するために、本発明のうち請求項１記載の発明は、
ネットワークを伝播するパケットを捕捉して解析するパケット解析システムにおいて、
複数の場所に設置され伝播するパケットを捕捉してパケット同士を互いに関連付けて分類する端末ノード型センサと、前記ネットワークを介して前記複数の端末ノード型センサから分類された情報を取得してシステムの全体的なレポートを生成するサーバとを備えたことにより、パケット同士を互いに関連付けて分類し解析することが可能になる。
【００２３】
請求項２記載の発明は、
請求項１記載の発明であるパケット解析システムにおいて、
前記端末ノード型センサが、
前記ネットワークを伝播するパケットを捕捉する通信手段と、記憶手段と、捕捉した前記パケットを前記記憶手段に格納すると共に捕捉した前記パケットをパケット同士で互いに関連付けて分類し前記記憶手段に保存する演算制御手段とから構成されることにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
【００２４】
請求項３記載の発明は、
請求項１若しくは請求項２記載の発明であるパケット解析システムにおいて、
前記端末ノード型センサ、若しくは、前記演算制御手段が、
捕捉した前記パケットを送信先ポート若しくはタイプの組み合わせにより分類することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
【００２５】
請求項４記載の発明は、
請求項３記載の発明であるパケット解析システムにおいて、
前記演算制御手段が、
捕捉されたパケットの送信元ＩＰアドレスを調べて既に同一の受信元ＩＰアドレスに対応するオブジェクトが存在しない場合にパケット情報クラスのインスタンスの情報のリストを蓄積し最終的に分類情報を生成するオブジェクトを起動すると共にパケット情報をパケット情報インスタンスのリストに生成し、その時刻を記録し、順次捕捉されたパケットの送信元ＩＰアドレスを調べて同一の受信元ＩＰアドレスに対応するオブジェクトが存在している場合には、パケット情報をパケット情報インスタンスのリストに順次追加し、追加時刻を記録し、定期的な検査時刻毎に当該オブジェクトの生存条件を判断し、もし、生存条件を満足しない場合には、受信元ＩＰアドレスと共にパケット情報インスタンスのリストに蓄積されたパケット情報を出力して分類情報を生成させることにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
【００２６】
請求項５記載の発明は、
請求項４記載の発明であるパケット解析システムにおいて、
前記演算制御手段が、
パケット情報の前記パケット情報インスタンスのリストへの追加が一定時間行われない場合に生存条件を満足していないと判断することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
【００２７】
請求項６記載の発明は、
請求項５記載の発明であるパケット解析システムにおいて、
前記演算制御手段が、
前記一定時間を可変にしたことにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
【００２８】
請求項７記載の発明は、
請求項１若しくは請求項２記載の発明であるパケット解析システムにおいて、
前記端末ノード型センサ、若しくは、前記演算制御手段が、
捕捉した前記パケットを前記パケットの伝播の仕方の違いにより分類することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
【００２９】
請求項８記載の発明は、
請求項７記載の発明であるパケット解析システムにおいて、
前記演算制御手段が、
送信元ポート番号の種類数と送信先ポート番号の種類数とが同じであり、尚且つ、送信先ネットワークのアドレスの種類数と送信先ホストのアドレス種類数とが同じである場合にタイプ”Ｎｏｒｍａｌ”に分類することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
【００３０】
請求項９記載の発明は、
請求項７記載の発明であるパケット解析システムにおいて、
前記演算制御手段が、
送信元ポート番号の種類数の方が送信先ポート番号の種類数よりも多く、尚且つ、送信先ネットワークのアドレスの種類数と送信先ホストのアドレス種類数とが同じである場合にタイプ”Ｐｏｒｔ＿Ｓｃａｎ”に分類することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
【００３１】
請求項１０記載の発明は、
請求項７記載の発明であるパケット解析システムにおいて、
前記演算制御手段が、
送信元ポート番号の種類数の方が送信先ポート番号の種類数よりも少なく、尚且つ、送信先ネットワークのアドレスの種類数と送信先ホストのアドレス種類数とが同じである場合にタイプ”Ｐｏｒｔ＿Ｓｃａｎ２”に分類することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
【００３２】
請求項１１記載の発明は、
請求項７記載の発明であるパケット解析システムにおいて、
前記演算制御手段が、
送信元ポート番号の種類数の方が送信先ポート番号の種類数よりも多く、尚且つ、送信先ネットワークのアドレスの種類数の方が送信先ホストのアドレス種類数よりも少ない場合にタイプ”Ｎｅｔｗｏｒｋ＿Ｓｃａｎ”に分類することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
【００３３】
請求項１２記載の発明は、
請求項７記載の発明であるパケット解析システムにおいて、
前記演算制御手段が、
送信元ポート番号の種類数と送信先ポート番号の種類数と同じであり、尚且つ、送信先ネットワークのアドレスの種類数の方が送信先ホストのアドレス種類数よりも少ない場合にタイプ”Ｎｅｔｗｏｒｋ＿Ｓｃａｎ２”に分類することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
【００３４】
請求項１３記載の発明は、
請求項７記載の発明であるパケット解析システムにおいて、
前記演算制御手段が、
送信元ポート番号の種類数の方が送信先ポート番号の種類数よりも少なく、尚且つ、送信先ネットワークのアドレスの種類数の方が送信先ホストのアドレス種類数よりも少ない場合にタイプ”Ｎｅｔｗｏｒｋ＿Ｓｃａｎ３”に分類することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
【００３５】
請求項１４記載の発明は、
請求項１記載の発明であるパケット解析システムにおいて、
前記サーバが、
前記レポートを作成すると判断した場合に前記ネットワークを介して前記複数の端末ノード型センサから保存されている分類情報を取得し、取得した分類情報を統合して前記レポートを作成すると共に記憶手段に保存することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
【００３６】
請求項１５記載の発明は、
請求項１記載の発明であるパケット解析システムにおいて、
前記サーバが、
前記レポートを作成すると判断した場合に前記ネットワークを介して前記複数の端末ノード型センサの一から保存されている分類情報を取得し、取得した分類情報を統合して前記レポートを作成すると共に記憶手段に保存することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
【００３７】
請求項１６記載の発明は、
請求項１記載の発明であるパケット解析システムにおいて、
前記サーバが、
前記レポートを作成すると判断した場合に前記ネットワークを介して前記複数の端末ノード型センサの内選択された任意の端末ノード型センサから保存されている分類情報を取得し、取得した分類情報を統合して前記レポートを作成すると共に記憶手段に保存することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
【００３８】
請求項１７記載の発明は、
請求項１４乃至請求項１６のいずれかに記載の発明であるパケット解析システムにおいて、
前記サーバが、
前記レポートのフォーマットとして、日付、時刻、ミリ秒、送信元ＩＰアドレス、国コード”、プロトコル、前記パケットの伝播の仕方の違いによる分類及び前記パケットを送信先ポート若しくはタイプの組み合わせによる分類を順次記述することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
【発明の効果】
【００３９】
本発明によれば次のような効果がある。
請求項１，２，３，４，５，６，７，８，９，１０，１１，１２及び請求項１３の発明によれば、コンピュータと接続され、或いは、単独で複数の場所に設置される端末ノード型センサが、ネットワークを伝播するパケットを捕捉してポート毎（或いは、タイプ毎）に分類及び伝播の仕方の違いによる分類することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
【００４０】
また、請求項１４，１５，１６及び請求項１７の発明によれば、サーバが各端末ノード型センサで分類された情報を統合して全体的なレポート（ログファイル）を作成することにより、分離が困難であったアクセスのバリエーションを分離することが可能になる。
【発明を実施するための最良の形態】
【００４１】
以下本発明を図面を用いて詳細に説明する。図１は本発明に係るパケット解析システムの一実施例を示す構成ブロック図である。
【００４２】
図１において７はパケット解析システムの全体的なレポート（ログファイル）を生成するサーバ、８及び９はコンピュータ、１０，１１及び１２はコンピュータと接続され、或いは、単独で複数の場所に設置され伝播するパケットを捕捉してパケット同士を互いに関連付けて分類する端末ノード型センサ、１０２はインターネット等の汎用のネットワークである。
【００４３】
サーバ７はネットワーク１０２に相互に接続され、端末ノード型センサ１０，１１及び１２もまたネットワーク１０２に相互に接続される。端末ノード型センサ１０及び１１の端子にはコンピュータ８及び９がそれぞれ接続される。
【００４４】
また、図２は端末ノード型センサ１０〜１２の具体例を示す構成ブロック図である。図２において１３はネットワーク１０２（図示せず。）を介して伝播するパケットを捕捉等する通信手段、１４はＣＰＵ（Central Processing Unit）等の演算制御手段、１５は端子に接続されるコンピュータ等の機器との間でパケットのやり取りを行なう入出力手段、１６は端末ノード型センサ自体を制御するプログラムや捕捉したパケット及びそれを分類した情報等が格納される記憶手段である。また、１３，１４，１５及び１６は端末ノード型センサ５０を構成している。
【００４５】
ここで、図１及び図２に示す実施例の動作、特に端末ノード型センサの動作を図３，図４，図５，図６，図７，図８，図９，図１０，図１１及び図１２を用いて説明する。
【００４６】
図３及び図６は端末ノード型センサの動作を説明するフロー図、図４及び図５はパケット等の情報の流れを説明する説明図、図７は送信先ポート（正確には、ＴＣＰ及びＵＤＰでは送信元ＩＰアドレスと送信先ポート番号に着目、ＩＣＭＰでは送信元ＩＰアドレスとＩＣＭＰタイプに着目している）の組み合わせによる分類方法を説明する説明図、図８は捕捉された生のパケットログの一例を示す表、図９は送信先ポート（正確には、ＴＣＰ及びＵＤＰでは送信元ＩＰアドレスと送信先ポート番号に着目、ＩＣＭＰでは送信元ＩＰアドレスとＩＣＭＰタイプに着目している）の組み合わせにより分類した情報の一例を示す表、図１０はパケットの伝播の仕方の違いにより分類されるタイプの定義を説明する表、図１１はパケットの伝播の仕方の違いによる分類方法のパラメータと判定条件を説明する表、図１２はパケットの伝播の仕方の違いにより分類した情報の一例を示す表である。
【００４７】
図３中”Ｓ１０１”において端末ノード型センサ、具体的には演算制御手段１４は、定常状態において通信手段１３を介してネットワーク１０２を伝播してきたパケットを受信（捕捉）したか否かを判断し、もし、パケットを受信（捕捉）したと判断した場合には、図３中”Ｓ１０２”において端末ノード型センサ、具体的には演算制御手段１４は、受信（捕捉）したパケットを記憶手段１６に格納する。また、演算制御手段１４は必要に応じて受信（捕捉）したパケットを入出力手段１５を介して後段の機器に転送する。
【００４８】
例えば、端末ノード型センサ１０（具体的には演算制御手段１４）は、図４中”ＣＰ５１”に示すように通信手段１３を介してネットワーク１０２を伝播してきたパケットを受信（捕捉）した場合には図４中”ＳＴ５１”に示すように受信（捕捉）したパケットを記憶手段１６に格納する。
【００４９】
例えば、同様に、端末ノード型センサ１１及び１２（具体的には演算制御手段１４）は、図５中”ＣＰ６１”及び”ＣＰ６２”に示すように通信手段１３を介してネットワーク１０２を伝播してきたパケットを受信（捕捉）した場合には図５中”ＳＴ６１”及び”ＳＴ６２”に示すように受信（捕捉）したパケットをそれぞれの記憶手段１６に格納する。
【００５０】
一方、図６中”Ｓ２０１”において端末ノード型センサ、具体的には演算制御手段１４は、受信（捕捉）したパケットを記憶手段１６から読み出すと共に図６中”Ｓ２０２”においてポート毎、或いは、タイプ毎に分類する。
【００５１】
具体的には、演算制御手段１４において、受信（捕捉）されたパケットの送信元ＩＰアドレスを調べて既に同一の受信元ＩＰアドレスに対応するオブジェクトが存在しない場合には、図７中（ａ）に示すようにパケット情報クラスのインスタンスの情報のリストを蓄積し最終的に分類情報を生成するオブジェクトが起動される。この時、”パケット情報１"がパケット情報インスタンスのリストに生成され、その時刻が”ＴＩＭＥ＿ＦＩＲＳＴ”に記録される。
【００５２】
そして、演算制御手段１４は、順次受信（捕捉）されたパケットの送信元ＩＰアドレスを調べて同一の受信元ＩＰアドレスに対応するオブジェクトが存在している場合には、図７中（ｂ）に示すように”パケット情報２"等がパケット情報インスタンスのリストに順次追加され、追加時刻が”ＴＩＭＥ＿ＬＡＳＴ”に記録される。
【００５３】
最後に、定期的な検査時刻毎に当該オブジェクトの生存条件を判断し、もし、生存条件を満足しない場合には、受信元ＩＰアドレスと共にパケット情報インスタンスのリストに蓄積された”パケット情報１”〜”パケット情報Ｎ”を出力して分類情報を生成する。
【００５４】
前述の生存条件としては、検査間隔”Ｌ=１０秒”とした場合、「検査時刻と”ＴＩＭＥ＿ＬＡＳＴ”の差が”Ｎ=３０秒”未満」且つ「検査時刻と”ＴＩＭＥ＿ＦＩＲＳＴ”との差が”Ｍ＝６０秒”未満」としている。
【００５５】
例えば、図８中”ＬＧ７１”に示すような受信（捕捉）された生のパケットログを上述の方法で分類することにより、図９中”ＲＰ８１”に示すような情報が得られる。すなわち、自動生成されたイベント名部分には、受信元ＩＰアドレス毎にアクセスのあったポート番号毎、或いは、タイプ毎に分類されアクセス順に時系列に列挙される。
【００５６】
また、図６中”Ｓ２０３”において端末ノード型センサ、具体的には演算制御手段１４は、受信（捕捉）したパケットの伝播の仕方の違いによる分類を行い、図６中”Ｓ２０４”において端末ノード型センサ、具体的には演算制御手段１４は、それぞれ分類された情報を記憶手段１６に保存する。
【００５７】
例えば、図１０中”ＤＦ９１”に示すように受信（捕捉）したパケットの伝播の仕方の違いにより、”Ｎｏｒｍａｌ”、”Ｐｏｒｔ＿Ｓｃａｎ”、”Ｐｏｒｔ＿Ｓｃａｎ２”、Ｎｅｔｗｏｒｋ＿Ｓｃａｎ”、”Ｎｅｔｗｏｒｋ＿Ｓｃａｎ２”及び”Ｎｅｔｗｏｒｋ＿Ｓｃａｎ３”の６つのタイプに分類する。
【００５８】
また、図１１中”ＰＲ１０１”は分類の際のパラメータであり、図１１中”ＣＤ１０１”は判定条件である。
【００５９】
具体的には、このような、受信（捕捉）したパケットの伝播の仕方の違いにより分類した情報は図１２中”ＲＰ１１１”のようになる。
【００６０】
例えば、図１２中”ＰＫ１１１”は、図１１中”ＣＤ１０１”の判定条件から送信元ポート番号の種類数（１個：ポート番号３１４５）と送信先ポート番号の種類数（１個：ポート番号４４５）とが同じ（ＳＲＣ＝ＤＳＴ）であり、尚且つ、送信先ネットワークのアドレスの種類数（１個：ａａａ．ｂｂｂ．ｃｃｃ）と送信先ホストのアドレス種類数（１個：ａａａ．ｂｂｂ．ｃｃｃ．ｄｄｄ）とが同じ（Ｎ＝Ｈ）であるのでタイプ”Ｎｏｒｍａｌ”に分類されることになる。
【００６１】
例えば、同様に、図１２中”ＰＫ１１２”は、図１１中”ＣＤ１０１”の判定条件から送信元ポート番号の種類数（５個：ポート番号６２３０４，６２７６９，６３０３７，６０２２５，６０７８５）の方が送信先ポート番号の種類数（２個：ポート番号１３５，４４５）よりも多く（ＳＲＣ＞ＤＳＴ）、尚且つ、送信先ネットワークのアドレスの種類数（１個：ａａａ．ｂｂｂ．ｃｃｃ）と送信先ホストのアドレス種類数（１個：ａａａ．ｂｂｂ．ｃｃｃ．ｄｄｄ）とが同じ（Ｎ＝Ｈ）であるのでタイプ”Ｐｏｒｔ＿Ｓｃａｎ”に分類されることになる。
【００６２】
例えば、同様に、図１２中”ＰＫ１１３”は、図１１中”ＣＤ１０１”の判定条件から送信元ポート番号の種類数（１個：ポート番号６３６４４）の方が送信先ポート番号の種類数（２個：ポート番号１３５，４４５）よりも少なく（ＳＲＣ＜ＤＳＴ）、尚且つ、送信先ネットワークのアドレスの種類数（１個：ａａａ．ｂｂｂ．ｃｃｃ）と送信先ホストのアドレス種類数（１個：ａａａ．ｂｂｂ．ｃｃｃ．ｄｄｄ）とが同じ（Ｎ＝Ｈ）であるのでタイプ”Ｐｏｒｔ＿Ｓｃａｎ２”に分類されることになる。
【００６３】
例えば、同様に、図１２中”ＰＫ１１４”は、図１１中”ＣＤ１０１”の判定条件から送信元ポート番号の種類数（４個：ポート番号３５９４，３５９６，３５９７，３５９８）の方が送信先ポート番号の種類数（１個：ポート番号４４５）よりも多く（ＳＲＣ＞ＤＳＴ）、尚且つ、送信先ネットワークのアドレスの種類数（１個：ａａａ．ｂｂｂ．ｃｃｃ）の方が送信先ホストのアドレス種類数（４個：ａａａ．ｂｂｂ．ｃｃｃ．８０〜ａａａ．ｂｂｂ．ｃｃｃ．８３）よりも少ない（Ｎ＜Ｈ）のでタイプ”Ｎｅｔｗｏｒｋ＿Ｓｃａｎ”に分類されることになる。
【００６４】
例えば、同様に、図１２中”ＰＫ１１５”は、図１１中”ＣＤ１０１”の判定条件から送信元ポート番号の種類数（３個：ポート番号４２３０，１６４０，２１１７）と送信先ポート番号の種類数（３個：ポート番号１０２３，４４５、９８９８）と同じ（ＳＲＣ＝ＤＳＴ）であり、尚且つ、送信先ネットワークのアドレスの種類数（１個：ａａａ．ｂｂｂ．ｃｃｃ）の方が送信先ホストのアドレス種類数（３個：ａａａ．ｂｂｂ．ｃｃｃ．８０〜ａａａ．ｂｂｂ．ｃｃｃ．８２）よりも少ない（Ｎ＜Ｈ）のでタイプ”Ｎｅｔｗｏｒｋ＿Ｓｃａｎ２”に分類されることになる。
【００６５】
例えば、同様に、図１２中”ＰＫ１１６”は、図１１中”ＣＤ１０１”の判定条件から送信元ポート番号の種類数（１個：ポート番号２２０２２）の方が送信先ポート番号の種類数（２個：ポート番号３１２７，１０８０）よりも少なく（ＳＲＣ＜ＤＳＴ）、尚且つ、送信先ネットワークのアドレスの種類数（１個：ａａａ．ｂｂｂ．ｃｃｃ）の方が送信先ホストのアドレス種類数（２個：ａａａ．ｂｂｂ．ｃｃｃ．９１，ａａａ．ｂｂｂ．ｃｃｃ．９３）よりも少ない（Ｎ＜Ｈ）のでタイプ”Ｎｅｔｗｏｒｋ＿Ｓｃａｎ３”に分類されることになる。
【００６６】
この結果、コンピュータと接続され、或いは、単独で複数の場所に設置される端末ノード型センサが、ネットワークを伝播するパケットを捕捉してポート毎（或いは、タイプ毎）に分類及び伝播の仕方の違いによる分類することにより、パケット同士を互いに関連付けて分類し解析することが可能になり、分離が困難であったアクセスのバリエーションを分離することが可能になる。
【００６７】
また、ネットワークを伝播するパケットを捕捉してポート毎（或いは、タイプ毎）に分類する場合に、オブジェクトにより分類処理をパイプライン的に行われているので、リアルタイム性が高い。
【００６８】
また、ここで、図１及び図２に示す実施例の動作、特にサーバ７の動作を図１３，図１４，図１５，図１６，図１７，図１８，図１９，図２０，図２１，図２２及び図２３を用いて説明する。
【００６９】
図１３はサーバ７の動作を説明するフロー図、図１４は情報の流れを説明する説明図、図１５は全体的なレポート（ログファイル）のフォーマット等を説明する説明図、図１６は全体的なレポート（ログファイル）の具体例を示す説明図、図１７は分離可能なバリエーションを説明する説明図、図１８は”ＴＣＰ／４４５”へのアクセス推移を示す説明図、図１９は”ＩＣＭＰ Ｅｃｈｏ Ｒｅｑｕｅｓｔ”の推移を示す説明図、図２０は”ＩＣＭＰ Ｅｃｈｏ Ｒｅｑｕｅｓｔ”後に”ＴＣＰ／４４５”へのみアクセスするものの推移を示す説明図、図２１は”ＴＣＰ／１３５”と”ＴＣＰ／４４５”のみをセットでアクセスするものの推移を示す説明図、図２２は”ＴＣＰ／１３５”、”ＴＣＰ／４４５”、”ＴＣＰ／１０２５”のみをセットでアクセスするものの推移を示す説明図、図２３は”ＴＣＰ／２７４５”、”ＴＣＰ／１３５”、”ＴＣＰ／１０２５”、”ＴＣＰ／４４５”、”ＴＣＰ／３１２７”、”ＴＣＰ／６１９２”、”ＴＣＰ／１３９”及び”ＴＣＰ／８０”のみをセットでアクセスするものの推移を示す説明図である。
【００７０】
図１３中”Ｓ３０１”においてサーバ７は、全体的なレポート（ログファイル）を生成するか否かを判断し、もし、全体的なレポート（ログファイル）を作成すると判断した場合には、図１３中”Ｓ３０２”においてネットワーク１０２を介して各端末ノード型センサから保存されている分類情報（ポート毎（或いは、タイプ毎）に分類及び伝播の仕方の違いによる分類）を取得する。
【００７１】
例えば、図１４中”ＣＲ１２１”、”ＣＲ１２２”及び”ＣＲ１２３”に示すように端末ノード型センサ１０，１１及び１２から各々で保存されている分類情報（ポート毎、或いは、タイプ毎）に分類及び伝播の仕方の違いによる分類）を収集する。
【００７２】
図１３中”Ｓ３０３”においてサーバ７は、各端末ノード型センサから取得した分類情報を統合等して全体的なレポート（ログファイル）を作成すると共に図１３中”Ｓ３０４”において作成した全体的なレポート（ログファイル）を記憶手段（図示せず。）に保存する。
【００７３】
例えば、全体的なレポート（ログファイル）のフォーマットとしては、図１５中”ＦＭ１３１”に示すように”日付”、”時刻”、”ミリ秒”、"送信元ＩＰアドレス"、”国コード”、”プロトコル（順番）”、”タイプ”及び”イベント名”を順次記述する。
【００７４】
より具体的には、図１５中”ＤＳ１３１”に示すように、”日付”、”時刻”及び”ミリ秒”としては”２００４-０６−２１，００：００：０７，８６８”、"送信元ＩＰアドレス"としては”１３３．１４０．４０．４１”、”国コード”としては”ＪＰ”、”プロトコル（順番）"としては”ＩＵ”，”ＵＳ”或いは”ＩＵＳ”、”タイプ”としては”Ｎｅｔｗｏｒｋ＿Ｓｃａｎ”、”イベント名”としては”ＴＣＰ／２７４５、ＴＣＰ／１３５、ＴＣＰ１０２５、ＴＣＰ４４５”等のように記述される。
【００７５】
このように、全体的なレポート（ログファイル）の具体例としては図１６中”ＰＲ１４１”に示すようになる。
【００７６】
図１６中”ＰＲ１４１”に示すような全体的なレポート（ログファイル）の具体例において、”ＴＣＰ／４４５にアクセスするパケットを、ワームやスキャン毎に分離”した場合、従来例で問題となっていた図１７中”ＡＮ１５１”に示すようなアクセスのバリエーションを分離することが可能になる。
【００７７】
すなわち、「（１）”ICMP(Internet Control Message Protocol：以下、単にＩＣＭＰと呼ぶ。) Rcho Request”でサーバの存在を確認してから”ＴＣＰ／４４５”にアクセス」は図１６中”ＰＲ１４１”中第６行該当する。
【００７８】
同様に、「（２）”ＴＣＰ／４４５"にだけアクセス」は図１６中”ＰＲ１４１”中第１行，第５行，第７行該当する。
【００７９】
同様に、「（３）ネットワークをスキャンして”ＴＣＰ／４４５”サービスを探す」は図１６中”ＰＲ１４１”中第４行該当する。
【００８０】
同様に、「（４）”ＴＣＰ１３９”にアクセスしてから”ＴＣＰ／４４５”にアクセス」は図１６中”ＰＲ１４１”中第８行該当する。
【００８１】
同様に、「（５）”ＴＣＰ／２７４５”、”ＴＣＰ／１３５”、”ＴＣＰ／１０２５”、”ＴＣＰ／４４５”、”ＴＣＰ／３１２７”、”ＴＣＰ６１２９”、”ＴＣＰ１３９”、”ＴＣＰ／８０”の組み合わせでアクセス」は図１６中”ＰＲ１４１”中第９行該当する。
【００８２】
この結果、サーバ７が各端末ノード型センサで分類された情報を統合して全体的なレポート（ログファイル）を作成することにより、従来では分離が困難であったアクセスのバリエーションを分離することが可能になる。
【００８３】
最後に、図１８中”ＤＳ１６１”に示す”ＴＣＰ／４４５”へのアクセス推移を示す説明図では、図１８中”ＰＴ１６１”に示す時刻にアクセスのピークが認められるものの、あくまで、”ＴＣＰ／４４５”へアクセスする全てのパケットが対象となるためアクセスのバリエーションを分離することは困難である。
【００８４】
また、図１９中”ＤＳ１７１”に示す”ＩＣＭＰ Ｅｃｈｏ Ｒｅｑｕｅｓｔ”の推移を示す説明図では、図１９中”ＰＴ１７１”に示す時刻から”ＩＣＭＰ Ｅｃｈｏ Ｒｅｑｕｅｓｔ”が頻繁に発生していることが認められるものの、アクセスのバリエーションを分離することは困難である。
【００８５】
これに対して、図２０中”ＤＳ１８１”に示す”ＩＣＭＰ Ｅｃｈｏ Ｒｅｑｕｅｓｔ”後に”ＴＣＰ／４４５”へのみアクセスするものの推移を示す説明図では、明らかに図２０中”ＲＧ１８１”に示す時刻領域に”ＩＣＭＰ Ｅｃｈｏ Ｒｅｑｕｅｓｔ”後に”ＴＣＰ／４４５”へのみアクセスするものが集中している。
【００８６】
同様に、図２１中”ＤＳ１９１”に示す”ＴＣＰ／１３５”と”ＴＣＰ／４４５”のみをセットでアクセスするものの推移を示す説明図では、ほぼまんべんなく”ＴＣＰ／１３５”と”ＴＣＰ／４４５”のみをセットでアクセスするものが認められる。
【００８７】
同様に、図２２中”ＤＳ２０１”に示す”ＴＣＰ／１３５”、”ＴＣＰ／４４５”、”ＴＣＰ／１０２５”のみをセットでアクセスするものの推移を示す説明図では、明らかに図２２中”ＲＧ２０１”に示す時刻領域に”ＴＣＰ／１３５”、”ＴＣＰ／４４５”、”ＴＣＰ／１０２５”のみをセットでアクセスするものが集中している。
【００８８】
最後に、図２３中”ＤＳ２１１”に示す”ＴＣＰ／２７４５”、”ＴＣＰ／１３５”、”ＴＣＰ／１０２５”、”ＴＣＰ／４４５”、”ＴＣＰ／３１２７”、”ＴＣＰ／６１９２”、”ＴＣＰ／１３９”及び”ＴＣＰ／８０”のみをセットでアクセスするものの推移を示す説明図では、図２２中”ＰＴ２１１”に示す時刻に”ＴＣＰ／２７４５”、”ＴＣＰ／１３５”、”ＴＣＰ／１０２５”、”ＴＣＰ／４４５”、”ＴＣＰ／３１２７”、”ＴＣＰ／６１９２”、”ＴＣＰ／１３９”及び”ＴＣＰ／８０”のみをセットでアクセスするものピークが認められ全体的にほぼまんべんなくアクセスが認められる。
【００８９】
なお、図１等に示す実施例においては、説明の簡単のためポート毎（或いは、タイプ毎）に分類に際して、生存条件を、「検査時刻と”ＴＩＭＥ＿ＬＡＳＴ”の差が”Ｎ=３０秒”未満」且つ「検査時刻と”ＴＩＭＥ＿ＦＩＲＳＴ”との差が”Ｍ＝６０秒”未満」としたが、生存条件の間隔を固定ではなく可変にしても構わない。
【００９０】
また、サーバ７では各端末ノード型センサで分類された情報を統合して全体的なレポート（ログファイル）を作成しているが、勿論、個別の端末ノード型センサ毎にレポート（ログファイル）を作成しても構わないし、選択された任意の端末ノード型センサで分類された情報を統合してレポート（ログファイル）を作成しても構わない。
【００９１】
この場合には、パケット解析システム全体のレポート（ログファイル）のみだけではない、個々の端末ノード型センサ毎や選択された任意の端末ノード型センサで分類された情報を統合してレポート（ログファイル）が得られるので、パケット解析システムの部分的な領域における解析が容易になる。
【００９２】
また、図１等に示す実施例においてはパケットの伝播の仕方の違いにより、パケットを分類しているので、新種の攻撃や新種のワームであってもパケットを分離することが可能になる。言い換えれば、アノーマリ検出型の不正侵入検知装置として使用することが可能である。
【００９３】
また、図１等に示す実施例では、ポート毎（或いは、タイプ毎）に分類及び伝播の仕方の違いによる分類をそれぞれ同時に行う端末ノード型センサを例示しているが、ポート毎（或いは、タイプ毎）に分類、或いは、伝播の仕方の違いによる分類のどちらか一方の分類を行う端末ノード型センサであっても勿論構わない。
【００９４】
また、図２に示す具体例では、端末ノード型センサの構成要素として、接続されるコンピュータ等の機器との間でパケットのやり取りを行なう入出力手段１５を例示しているが、勿論、単独に設置、或いは、コンピュータ等の機器と並列に設置される場合等に当該入出力手段１５は不要であり、パケット解析システムの必須の構成要素ではない。また、コンピュータ自身もパケット解析システムの必須の構成要素ではない。
【図面の簡単な説明】
【００９５】
【図１】本発明に係るパケット解析システムの一実施例を示す構成ブロック図である。
【図２】端末ノード型センサの具体例を示す構成ブロック図である。
【図３】端末ノード型センサの動作を説明するフロー図である。
【図４】パケット等の情報の流れを説明する説明図である。
【図５】パケット等の情報の流れを説明する説明図である。
【図６】端末ノード型センサの動作を説明するフロー図である。
【図７】送信先ポートの組み合わせによる分類方法を説明する説明図である。
【図８】捕捉された生のパケットログの一例を示す表である。
【図９】送信先ポートの組み合わせにより分類した情報の一例を示す表である。
【図１０】パケットの伝播の仕方の違いにより分類されるタイプの定義を説明する表である。
【図１１】パケットの伝播の仕方の違いによる分類方法のパラメータと判定条件を説明する表である。
【図１２】パケットの伝播の仕方の違いにより分類した情報の一例を示す表である。
【図１３】サーバの動作を説明するフロー図である。
【図１４】情報の流れを説明する説明図である。
【図１５】全体的なレポート（ログファイル）のフォーマット等を説明する説明図である。
【図１６】全体的なレポート（ログファイル）の具体例を示す説明図である。
【図１７】分離可能なバリエーションを説明する説明図である。
【図１８】”ＴＣＰ／４４５”へのアクセス推移を示す説明図である。
【図１９】”ＩＣＭＰ Ｅｃｈｏ Ｒｅｑｕｅｓｔ”の推移を示す説明図である。
【図２０】”ＩＣＭＰ Ｅｃｈｏ Ｒｅｑｕｅｓｔ”後に”ＴＣＰ／４４５”へのみアクセスするものの推移を示す説明図である。
【図２１】”ＴＣＰ／１３５”と”ＴＣＰ／４４５”のみをセットでアクセスするものの推移を示す説明図である。
【図２２】”ＴＣＰ／１３５”、”ＴＣＰ／４４５”、”ＴＣＰ／１０２５”のみをセットでアクセスするものの推移を示す説明図である。
【図２３】”ＴＣＰ／２７４５”、”ＴＣＰ／１３５”、”ＴＣＰ／１０２５”、”ＴＣＰ／４４５”、”ＴＣＰ／３１２７”、”ＴＣＰ／６１９２”、”ＴＣＰ／１３９”及び”ＴＣＰ／８０”のみをセットでアクセスするものの推移を示す説明図である。
【図２４】従来のパケット解析システムの一例を示す構成ブロック図である。
【図２５】パケット解析システムの全体を管理するサーバの動作を説明するフロー図である。
【図２６】パケット等の情報の流れを説明する説明図である。
【図２７】パケット等の情報の流れを説明する説明図である。
【図２８】ファイアウォールで取得されたパケットのログ情報のフォーマット及び解析レポートの一例を示す説明図である。
【図２９】ＩＤＳで取得されたパケットのログ情報のフォーマット及び解析レポートの一例を示す説明図である。
【図３０】解析レポートの他の一例を示す説明図である。
【符号の説明】
【００９６】
１，７  サーバ
２，３，４  ファイアウォール
５，６，８，９  コンピュータ
１０，１１，１２，５０  端末ノード型センサ
１３  通信手段
１４  演算制御手段
１５  入出力手段
１６  記憶手段
１００，１０１，１０２  ネットワーク
【図１】
2006121143.tif 000003
【図２】
2006121143.tif 000004
【図３】
2006121143.tif 000005
【図４】
2006121143.tif 000006
【図５】
2006121143.tif 000007
【図６】
2006121143.tif 000008
【図７】
2006121143.tif 000009
【図８】
2006121143.tif 000010
【図９】
2006121143.tif 000011
【図１０】
2006121143.tif 000012
【図１１】
2006121143.tif 000013
【図１２】
2006121143.tif 000014
【図１３】
2006121143.tif 000015
【図１４】
2006121143.tif 000016
【図１５】
2006121143.tif 000017
【図１６】
2006121143.tif 000018
【図１７】
2006121143.tif 000019
【図２４】
2006121143.tif 000020
【図２５】
2006121143.tif 000021
【図２６】
2006121143.tif 000022
【図２７】
2006121143.tif 000023
【図２８】
2006121143.tif 000024
【図２９】
2006121143.tif 000025
【図３０】
2006121143.tif 000026
【図１８】
2006121143.tif 000027
【図１９】
2006121143.tif 000028
【図２０】
2006121143.tif 000029
【図２１】
2006121143.tif 000030
【図２２】
2006121143.tif 000031
【図２３】
2006121143.tif 000032