(57)【要約】      （修正有）【課題】ネットワークにおけるリモート操作の成功をより早く判定できるようにする。【解決手段】ネットワーク監視装置は、ネットワークにおいてキャプチャしたパケットのうち、リモート操作に関する応答を伝送するための先頭パケットを特定する特定部と、先頭パケットから、上記応答の全体サイズを抽出する抽出部と、先頭パケットにおいて上記応答のために割り当てられている領域サイズを算出する算出部と、全体サイズと領域サイズとに基づいて、リモート操作が成功したと判定する判定部とを有する。【選択図】図１５Ａ
2018186428.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークにおいてキャプチャしたパケットのうち、リモート操作に関する応答を伝送するための先頭パケットを特定する特定部と、
前記先頭パケットから、前記応答の全体サイズを抽出する抽出部と、
前記先頭パケットにおいて前記応答のために割り当てられている領域サイズを算出する算出部と、
前記全体サイズと前記領域サイズとに基づいて、前記リモート操作が成功したと判定する判定部と
を有するネットワーク監視装置。
【請求項２】
前記判定部は、前記領域サイズが前記全体サイズに満たない場合に前記リモート操作が成功したと判定する
請求項１記載のネットワーク監視装置。
【請求項３】
前記領域サイズが前記全体サイズを満たす場合に、前記判定部は、前記先頭パケットからステータスを抽出し、当該ステータスに従って前記リモート操作の成否を判定する
請求項１又は２記載のネットワーク監視装置。
【請求項４】
ネットワークにおいてキャプチャしたパケットのうち、リモート操作に関する応答を伝送するための先頭パケットを特定し、
前記先頭パケットから、前記応答の全体サイズを抽出し、
前記先頭パケットにおいて前記応答のために割り当てられている領域サイズを算出し、
前記全体サイズと前記領域サイズとに基づいて、前記リモート操作が成功したと判定する
処理をコンピュータに実行させるネットワーク監視プログラム。
【請求項５】
ネットワークにおいてキャプチャしたパケットのうち、リモート操作に関する応答を伝送するための先頭パケットを特定し、
前記先頭パケットから、前記応答の全体サイズを抽出し、
前記先頭パケットにおいて前記応答のために割り当てられている領域サイズを算出し、
前記全体サイズと前記領域サイズとに基づいて、前記リモート操作が成功したと判定する
処理を含み、コンピュータにより実行されるネットワーク監視方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークを監視する技術に関する。
【背景技術】
【０００２】
サイバー攻撃の一形態として、マルウェアに感染したコンピュータが、標的であるコンピュータをリモート操作することがある。例えば、攻撃者が何らかの方法で正規アカウントを窃取した場合には、この正規アカウントによって標的コンピュータがリモート操作されることになる。
【０００３】
保守者は、感染コンピュータを見つけた場合に、当該感染コンピュータからのリモート操作の成否に着目する。当該リモート操作が攻撃の一環であれば、被害が拡大する疑いがあるからである。特に、感染コンピュータが標的コンピュータをリモート操作している場合には、それに応じた対処を早く行うことが望ましい。
【０００４】
よって、感染コンピュータが標的コンピュータをリモート操作しようとしたと疑われる場合に、その操作が成功したことを早く判定できることが望まれる。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００３−２６４６０９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
本発明の目的は、一側面では、ネットワークにおけるリモート操作の成功をより早く判定できるようにすることである。
【課題を解決するための手段】
【０００７】
一態様に係るネットワーク監視装置は、（Ａ）ネットワークにおいてキャプチャしたパケットのうち、リモート操作に関する応答を伝送するための先頭パケットを特定する特定部と、（Ｂ）先頭パケットから、上記応答の全体サイズを抽出する抽出部と、（Ｃ）先頭パケットにおいて上記応答のために割り当てられている領域サイズを算出する算出部と、（Ｄ）全体サイズと領域サイズとに基づいて、リモート操作が成功したと判定する判定部とを有する。
【発明の効果】
【０００８】
一側面としては、ネットワークにおけるリモート操作の成功をより早く判定できるようになる。
【図面の簡単な説明】
【０００９】
【図１】図１は、情報処理システムの例を示す図である。
【図２】図２は、マルウェアによるリモート操作の概要を示す図である。
【図３】図３は、第１タイプのリモート操作における成功時のシーケンスを示す図である。
【図４】図４は、第１タイプのリモート操作における失敗時のシーケンスを示す図である。
【図５】図５は、第２タイプのリモート操作における成功時のシーケンスを示す図である。
【図６】図６は、第２タイプのリモート操作における失敗時のシーケンスを示す図である。
【図７】図７は、本実施の形態における成功判定の概要を示す図である。
【図８】図８は、本実施の形態の第１方式における失敗判定の概要を示す図である。
【図９】図９は、本実施の形態の第２方式における失敗判定の概要を示す図である。
【図１０】図１０は、パケットの構成を示す図である。
【図１１】図１１は、ログ取得のパケットの例を示す図である。
【図１２】図１２は、ログ取得の操作ログの例を示す図である。
【図１３】図１３は、タスク登録のパケットの例を示す図である。
【図１４】図１４は、タスク登録の操作ログの例を示す図である。
【図１５Ａ】図１５Ａは、ネットワーク監視装置のモジュール構成例を示す図である。
【図１５Ｂ】図１５Ｂは、ネットワーク監視装置のモジュール構成例を示す図である。
【図１６Ａ】図１６Ａは、メイン処理フローを示す図である。
【図１６Ｂ】図１６Ｂは、メイン処理フローを示す図である。
【図１７】図１７は、第１要求判定処理フローを示す図である。
【図１８】図１８は、第１成否判定処理フローを示す図である。
【図１９】図１９は、第２要求判定処理フローを示す図である。
【図２０Ａ】図２０Ａは、第２成否判定処理フローを示す図である。
【図２０Ｂ】図２０Ｂは、第２成否判定処理フローを示す図である。
【図２１】図２１は、コンピュータの機能ブロック図である。
【発明を実施するための形態】
【００１０】
図１に、情報処理システムの例を示す。複数のコンピュータ１０１がネットワーク（例えば、ＬＡＮ（Local Area Network））を介して接続している。ネットワークは、ファイアウォール１０５を介してインターネットと接続している。例えば、イントラネットによる情報処理システムを想定する。コンピュータ１０１は、例えばサーバ装置又はクライアント端末である。サーバ装置の機能は、任意である。サーバ装置は、例えばドメイン管理サーバ、Ｗｅｂサーバ、ファイルサーバ、Ｗｉｎｄｏｗｓ（登録商標）サーバ又はＳａｍｂａサーバなどであってもよい。
【００１１】
各クライアント端末は、各サーバ装置によるサービスを利用することがある。各クライアント端末は、各サーバ装置で保持するデータを利用することがある。また、複数のサーバ装置が連携する場合もある。クライアント端末同士が、データを共有することもある。クライアント端末が、他のクライアント端末によるサービスを利用することもある。
【００１２】
つまり、コンピュータ１０１同士は、所定の条件の下で、任意にリモート操作を行うことがあるものとする。そのために、複数のコンピュータ１０１の間でＳＭＢ（Server Message Block）及び/又はＲＰＣ（Remote Procedure Calls）に基づく制御が行われる。ＳＭＢ及びＲＰＣは、リモート操作の機能を提供するアプリケーション層のプロトコルの例である。
【００１３】
マルウェアは、例えば標的型攻撃を行うＲＡＴ（Remote Administration Tool）である。マルウェアは、標的型メールや不正サイトなどを介して、情報処理システム内のコンピュータ１０１に送り込まれる。送り込まれたマルウェアは、情報処理システム外の攻撃者からの指示を受けて、例えば以下のような不正な動作を行う。このようにマルウェアに侵入されたコンピュータ１０１を、感染コンピュータという。
【００１４】
マルウェアは、感染コンピュータから周囲のコンピュータ１０１に対するＯＳスキャンやサービススキャンを行って、情報処理システムの内部状況に関する情報を収集し、攻撃者へ転送する。攻撃者は、周囲のコンピュータ１０１の中から攻撃対象とするものを選択する。このように攻撃対象となったコンピュータ１０１を、標的コンピュータという。
【００１５】
マルウェアは、攻撃者の指示を受けて、標的コンピュータを不正に操作し、内部情報を窃取するための環境を整える。このとき、攻撃コンピュータから標的コンピュータに対して、例えばアカウント登録、ファイルライト、タスク登録、サービス登録及びサービス起動などのリモート操作が行われる。
【００１６】
更に、マルウェアは、攻撃者の指示を受けて、標的コンピュータから内部情報を読み取る。そして、内部情報は、例えば攻撃コンピュータから直接的又は間接的に外部の攻撃者へ転送される。
【００１７】
マルウェアは、他のコンピュータ１０１に自らの複製を送り込む場合もある。つまり、マルウェアは、情報処理システム内において自己増殖する場合がある。このような不正なリモート操作を繰り返されると、連鎖的に被害範囲が拡大する。そして、データ流出やデータ改ざんのようなリスクも高まる。
【００１８】
尚、攻撃を終える段階で、マルウェアは、攻撃者の指示を受けて、自らの攻撃の痕跡を消す。そのため、マルウェアは、標的コンピュータに対して、アカウント削除、ファイル削除、タスク削除、サービス停止、サービス削除及びログ削除などのリモート操作を行う。また、マルウェアは、感染コンピュータに対しても、同様の操作を行う。
【００１９】
本実施の形態では、種々の伝送データの中から攻撃に関わるデータを抽出し、攻撃の成否を判定する。最初にマルウェアを見つける段階では、従来技術を用いる。例えば、マルウェアが標的コンピュータから内部情報を読み取る動作や、マルウェアが情報処理システム外に対して通信を行う動作を検出する技術が存在する。
【００２０】
ネットワーク監視装置１０３で、感染コンピュータを検出すると、感染コンピュータが行った不正なリモート操作を特定する。そして、感染コンピュータが行った不正なリモート操作の成否を判定する。尚、ネットワーク監視装置１０３は、例えばポートミラーリング対応のスイッチ又はネットワークタップを介して、ネットワークに接続している。
【００２１】
図２を用いて、マルウェア２０１によるリモート操作の概要について説明する。例えば、マルウェア２０１が、ユーザプログラムに紛れて独立したプログラムとして存在する場合がある。正常時に比べて不明なプロセスが増えている場合には、このようなマルウェア２０１がプロセスとして起動した可能性がある。
【００２２】
また、マルウェア２０１が、オペレーティングシステム内に注入される場合もある。このような場合には、例えばＤＬＬ（Dynamic Link Library）のようなライブラリルーチンのプログラムが追加されるが、不明のプロセスが増えるわけではない。同様に、正当なユーザプログラム内に、マルウェア２０１が注入される場合もある。従って、プロセスの監視だけでは、マルウェア２０１を見逃す懸念がある。
【００２３】
マルウェア２０１は、感染コンピュータ２０３におけるコマンド実行部２０７を利用して不正なリモート操作を試みる。つまり、マルウェア２０１は、正当なルートに紛れてコマンド実行部２０７にコマンドを発行し、間接的に標的コンピュータ２０５のサービス部２０９を操作する。又は、マルウェア２０１自身が、コマンド実行部２０７に相当する機能を備える場合もある。この場合には、マルウェア２０１が、コマンド実行部２０７の場合と同様のパケットを、直接標的コンピュータ２０５のサービス部２０９とやり取りし、所定のコマンドに相当する処理を行う。
【００２４】
ここで、前提技術であるコマンド実行部２０７及びサービス部２０９の動作について説明する。コマンド実行部２０７及びサービス部２０９の動作は、コンピュータ１０１がマルウェア２０１に感染している場合でも、コンピュータ１０１がマルウェア２０１に感染していない場合であっても同様である。
【００２５】
コマンド実行部２０７は、リモート操作の要求を、サービス部２０９に送る。サービス部２０９は、リモート操作の要求を受けてサービスを提供する。
【００２６】
多くの場合コンピュータ１０１は、各種のコマンド実行部２０７及びサービス部２０９を備える。サービス部２０９は、例えば各種サービスをコントロールするサービスを提供する。他にも、ファイルアクセスのサービスを提供するサービス部２０９、ネットワーク共有のサービスを提供するサービス部２０９、あるいはレジスタ操作のサービスを提供するサービス部２０９などがある。
【００２７】
サービス部２０９は、オペレーティングシステム内に設けられている場合の他、ユーザプログラム内に設けられている場合もある。コマンド実行部２０７も、オペレーティングシステム内に設けられている場合の他、ユーザプログラム内に設けられている場合もある。
【００２８】
通常、コマンド実行部２０７は、例えばオペレーティングシステムあるいはユーザプログラムの内部又は外部のモジュールからコールされ、或いはＧＵＩ（Graphical User Interface）を介してコールされてコマンドを実行する。具体的には、コマンド実行部２０７は、コマンド名、あるいはコマンド名とオプションとの組み合わせを受け付ける。
【００２９】
本実施の形態では、コマンド実行部２０７はＳＭＢ及び/又はＲＰＣに基づいて、サービス部２０９との間でリモート操作の要求に係るパケット及びリモート操作の応答に係るパケットをやり取りするものとする。１つのコマンドを実行するために行われるパケットの交換は、１回のこともあり、複数回のこともある。
【００３０】
マルウェア２０１がオペレーティングシステムあるいはユーザプログラムの内部に侵入した場合には、マルウェア２０１は、内部的にコマンド実行部２０７をコールする。マルウェア２０１がオペレーティングシステムあるいはユーザプログラムの外部に存在する場合には、マルウェア２０１は、外部からコマンド実行部２０７をコールする。また、マルウェア２０１自身が、コマンド実行部２０７に相当する動作を行う場合にも、感染コンピュータ２０３は、ＳＭＢ及び/又はＲＰＣのプロトコルに従って、コマンドの実行に相当する処理を行うことになる。
【００３１】
リモート操作のステータス返信に関する２つのタイプについて説明する。図３に、第１タイプのリモート操作における成功時のシーケンスを示す。リモート操作の要求は、１又は複数のパケットによって伝送される。この例では、リモート操作の要求が２つのパケットによって伝送される。
【００３２】
標的コンピュータ２０５は、感染コンピュータ２０３からリモート操作の要求を受け付けると、リモート操作のサービスを実行する。そして、標的コンピュータ２０５は、リモート操作の応答を感染コンピュータ２０３へ送る。リモート操作に係る処理が成功した場合に、リモート操作の応答は複数のパケットによって伝送される。フレーム長には制限があるので、応答が大きなデータとなるリモート操作の場合、当該応答は複数のパケットに分割される。
【００３３】
第１タイプでは、リモート操作の処理結果を示すステータスが先頭パケットに設定されている。従って、ネットワーク監視装置１０３は、キャプチャした先頭パケットからステータスを抽出することによって、リモート操作の処理結果を得る。よって、２番目以降のパケットをチェックしなくてもよい。
【００３４】
図４に、第１タイプのリモート操作における失敗時のシーケンスを示す。リモート操作に係る処理が失敗した場合に、リモート操作の応答は１のパケットによって伝送される。そして、そのパケットに、リモート操作に係る処理が失敗したことを示すステータスが設定されている。この場合にも、ネットワーク監視装置１０３は、キャプチャした先頭パケットからステータスを抽出することによって、リモート操作の処理結果を得る。
【００３５】
続いて、リモート操作のステータス返信に関する第２タイプについて説明する。図５に、第２タイプのリモート操作における成功時のシーケンスを示す。第１タイプの場合と同様に、リモート操作の要求は、１又は複数のパケットによって伝送される。この例では、リモート操作の要求が２つのパケットによって伝送される。
【００３６】
標的コンピュータ２０５は、感染コンピュータ２０３からリモート操作の要求を受け付けると、リモート操作のサービスを実行する。そして、標的コンピュータ２０５は、リモート操作の応答を感染コンピュータ２０３へ送る。第２タイプにおいてもリモート操作に係る処理が成功した場合に、リモート操作の応答は複数のパケットによって伝送される。
【００３７】
第２タイプでは、リモート操作の処理結果を示すステータスが末尾パケットに設定されている。従って、ネットワーク監視装置１０３は、末尾パケットをキャプチャするまで待って、末尾パケットからステータスを抽出することによって、リモート操作の処理結果を得る。従って、待機時間が第１タイプの場合に比べて長くなる。
【００３８】
図６に、第２タイプのリモート操作における失敗時のシーケンスを示す。第２タイプの場合にも、リモート操作に係る処理が失敗すると、リモート操作の応答は１のパケットによって伝送される。そして、そのパケットは末尾パケットに相当するので、リモート操作に係る処理が失敗したことを示すステータスが当該パケットに設定されている。ネットワーク監視装置１０３は、キャプチャしたリモート操作の応答である１のパケットからステータスを抽出することによって、リモート操作の処理結果を得る。
【００３９】
本実施の形態では、第２タイプに関してリモート操作の結果をより早く判定できるようにする。図７に、本実施の形態における成功判定の概要を示す。この例は、第２タイプのリモート操作を前提としている。そして、リモート操作の応答が複数のパケットに分割されている場合に、当該操作は成功したものと看做す。リモート操作によって或る程度大きなデータが伝送されると想定する。
【００４０】
具体的には、ネットワーク監視装置１０３は、リモート操作の応答に係る先頭パケットから応答の全体サイズを抽出する。また、ネットワーク監視装置１０３は、先頭パケットにおいてリモート操作の応答に割り当てられている領域サイズを算出する。そして、応答に割り当てられている領域サイズが応答の全体サイズに満たない場合に、リモート操作の処理結果が成功であると判定する。
【００４１】
本実施の形態では、失敗判定に関して２つの方式を採用する。図８に、本実施の形態の第１方式における失敗判定の概要を示す。本実施の形態における第１方式では、リモート操作の応答が複数のパケットに分割されていない場合に、当該操作は失敗したものと看做す。リモート操作が失敗した場合には、大きなデータは伝送されないと想定する。
【００４２】
具体的には、ネットワーク監視装置１０３は、リモート操作の応答に係る１のパケットから応答の全体サイズを抽出する。また、ネットワーク監視装置１０３は、リモート操作の応答に割り当てられている領域サイズを算出する。そして、応答に割り当てられている領域サイズが応答の全体サイズ以上である場合に、リモート操作の処理結果が失敗であると判定する。基本的には領域サイズが全体サイズと等しい場合に、リモート操作の処理結果は失敗であると判定される。
【００４３】
図９に、本実施の形態の第２方式における失敗判定の概要を示す。第２方式は、リモート操作が成功した場合の応答が、１のパケットで伝送されることも想定する。その為、リモート操作の応答が複数のパケットに分割されていない場合には、ステータスに基づいて処理結果を判定する。
【００４４】
具体的には、ネットワーク監視装置１０３は、リモート操作の応答に係る１のパケットから応答の全体サイズを抽出する。また、ネットワーク監視装置１０３は、リモート操作の応答に割り当てられている領域サイズを算出する。そして、応答に割り当てられている領域サイズが応答の全体サイズ以上である場合に、パケットからステータスを抽出する。そして、ステータスが成功を示す場合に判定結果は成功となる。他方、ステータスが失敗を示す場合に判定結果は失敗となる。
【００４５】
ここで、図１０を用いて、以下で述べる例の前提となるパケットの構成について説明する。パケットは、Ｅｔｈｅｒｎｅｔヘッダー、ＩＰ（Internet Protocol）ヘッダー、ＴＣＰ（Transmission Control Protocol）領域、ＳＭＢ領域及びＲＰＣ領域を有する。尚、図１０の例は、物理ヘッダーを省略している。
【００４６】
ＴＣＰ領域は、ＴＣＰヘッダーを含んでいる。ＳＭＢ領域は、ＳＭＢヘッダーを含んでいる。ＲＰＣ領域は、ＲＰＣヘッダー及びＲＰＣボディを含んでいる。ＲＰＣ領域は、リモート操作の応答のために割り当てられている領域の例である。
【００４７】
ＴＣＰ領域には、ＴＣＰペイロード長が設定されている。ＴＣＰペイロード長は、ＳＭＢ領域のサイズとＲＰＣ領域のサイズとの合計に相当する。ネットワーク監視装置１０３は、ＴＣＰペイロード長からＳＭＢ領域の所定サイズを引くことによってＲＰＣ領域のサイズ（リモート操作の応答のために割り当てられている領域サイズ）を求める。
【００４８】
ＲＰＣ領域には、ＲＰＣデータの全体サイズが設定されている。ＲＰＣデータが複数のパケットに分割されない場合に、ＲＰＣデータの全体サイズはＲＰＣ領域のサイズと一致する。ＲＰＣデータが複数のパケットに分割される場合に、ＲＰＣデータの全体サイズはＲＰＣ領域のサイズより大きい。この例では、ＴＣＰ領域を設ける例を示したが、ＴＣＰ領域に代えてＵＤＰ（User Datagram Protocol）領域が設けられることもある。
【００４９】
以下では、リモート操作の例を３つ挙げる。ログ取得は、サービス部２０９で保持しているログデータをコマンド実行部２０７が取得する操作である。ログ取得は上述した第２タイプに該当し、ログ取得における失敗判定は上述した第１方式によって行われる。タスク登録は、コマンド実行部２０７がサービス部２０９にタスクを登録する操作である。タスク登録も上述した第２タイプに該当する。但し、タスク登録における失敗判定は上述した第２方式によって行われる。アカウント登録は、コマンド実行部２０７がサービス部２０９にアカウントを登録する操作である。アカウント登録は上述した第１タイプに該当し、従来技術によって処理される。
【００５０】
図１１に、ログ取得のパケットの例を示す。例えば標的コンピュータ２０５におけるログデータを取得しようとする場合に、マルウェア２０１は、標的コンピュータ２０５にログ取得のパケットを送ることがある。
【００５１】
図１１の上段に示したログ取得における１回目のパケットは、ＩＰアドレス「ｘ．ｘ．ｘ．１」のコンピュータ１０１から、ＩＰアドレス「ｘ．ｘ．ｘ．４」のコンピュータ１０１へ送られるものと想定する。従って、送信元ＩＰアドレスのフィールドには「ｘ．ｘ．ｘ．１」が設定され、宛先ＩＰアドレスのフィールドには「ｘ．ｘ．ｘ．４」が設定されている。尚、図１１の下段に示したログ取得における２回目のパケットの場合も、同様である。この例におけるログ取得の手順は、リモート操作プロトコルに準拠するものとする。
【００５２】
１回目のパケットに設定されているオペレーションコードがｃｏｄｅＡであり、同じくサービスＵＵＩＤ（Universally Unique Identifier）がｉｄＸであり、且つ２回目のパケット（１回目のパケットと、プロトコル、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号が共通する。）に設定されているオペレーションコードがｃｏｄｅＢである場合に、これらのパケットは、ログ取得を要求するものであると判定される。
【００５３】
図１２に、ログ取得の操作ログの例を示す。図１２に示した操作ログには、図１１の上段及び下段に示したログ取得のパケットの内容を示す新たなレコードが設けられている。
【００５４】
日時、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号及び宛先ポート番号は、上述した通りである。
【００５５】
この例では、コマンドとオプションのフィールドには、コマンド名「ログ取得」が設定され、オプションは省かれる。
【００５６】
この例で、ログ取得における属性項目は、ログデータ及びアカウント名である。アカウント名は、ログ取得の要求元を示す。アカウント名は、認証段階で特定されているものである。但し、ログ取得における属性項目は、この例に限定されない。
【００５７】
判定結果は、サービス部２０９におけるログ取得の処理が成功したか、或いは失敗したかを示す。
【００５８】
図１３に、タスク登録のパケットの例を示す。例えば所望のタスクを標的コンピュータ２０５で動作させようとする場合に、マルウェア２０１は、標的コンピュータ２０５にタスク登録のパケットを送ることがある。
【００５９】
図１３の上段に示したタスク登録における１回目のパケットは、ＩＰアドレス「ｘ．ｘ．ｘ．１」のコンピュータ１０１から、ＩＰアドレス「ｘ．ｘ．ｘ．３」のコンピュータ１０１へ送られるものと想定する。従って、送信元ＩＰアドレスのフィールドには「ｘ．ｘ．ｘ．１」が設定され、宛先ＩＰアドレスのフィールドには「ｘ．ｘ．ｘ．３」が設定されている。尚、図１３の下段に示したファイルリードにおける２回目のパケットの場合も、同様である。この例におけるタスク登録の手順は、リモート操作プロトコルに準拠するものとする。
【００６０】
１回目のパケットに設定されているオペレーションコードがｃｏｄｅＣであり、同じパケットに設定されているパイプ名がｎａｍｅＴであり、且つ２回目のパケット（１回目のパケットと、プロトコル、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号が共通する。）に設定されているオペレーションコードがｃｏｄｅＤである場合に、これらのパケットは、タスク登録を要求するものであると判定される。
【００６１】
図１４に、タスク登録の操作ログの例を示す。図１４に示した操作ログには、図１３の上段及び下段に示したタスク登録のパケットの内容を示す新たなレコードが設けられている。
【００６２】
日時、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号及び宛先ポート番号は、上述した通りである。
【００６３】
この例では、コマンドとオプションのフィールドには、コマンド名「タスク登録」が設定され、オプションは省かれる。
【００６４】
この例で、タスク登録における属性項目は、タスクパス及びアカウント名である。タスクパスは、タスクとして実行されるファイルの格納位置及び名前を含む。タスクパスは、２回目のパケットから抽出される。アカウント名は、タスク登録の要求元を示す。アカウント名は、認証段階で特定されているものである。但し、タスク登録における属性項目は、この例に限定されない。
【００６５】
判定結果は、サービス部２０９におけるタスク登録の処理が成功したか、或いは失敗したかを示す。
【００６６】
他のコマンドの場合にも、各コマンドに応じた所定のルールに従って、パケットに設定されている属性データが特定される。また、所定のルールに従って、コマンドと併せてオプションを特定する場合もある。そして、操作ログには、特定されたコマンド又はコマンドとオプションとの組み合わせが設定される。更に、特定されたコマンド又はコマンドとオプションとの組み合わせに応じて、所定のルールに従って、パケットから属性データが抽出され、操作ログに記録される。尚、アカウント登録のパケットについては、詳述しない。
【００６７】
以下、ネットワーク監視装置１０３の動作について説明する。図１５Ａ及び図１５Ｂに、ネットワーク監視装置１０３のモジュール構成例を示す。ネットワーク監視装置１０３は、制御部１５０１、キャプチャ部１５０３、第１要求判定部１５１１、第２要求判定部１５３１、第３要求判定部１５５１、第１成否判定部１５１５、第２成否判定部１５３５、第３成否判定部１５５５、パケット格納部１５７１及び操作ログ記憶部１５７３を有する。
【００６８】
制御部１５０１は、メイン処理を制御する。キャプチャ部１５０３は、ネットワーク監視装置１０３とネットワークとの間に設けられたポートミラーリング対応のスイッチ又はネットワークタップを介して、ネットワークで伝送されるパケットを取り込む。
【００６９】
第１要求判定部１５１１は、パケットがログ取得の要求に該当するか否かを判定する。第１要求判定部１５１１は、第１ロギング部１５１３を有する。但し、第１ロギング部１５１３が第１要求判定部１５１１に含まれないようにしてもよい。第１ロギング部１５１３は、ログ取得の要求に係るパケットから属性データを抽出し、操作ログに新たなレコードを生成する。
【００７０】
第１成否判定部１５１５は、ログ取得のサービスに係る処理が成功したか或いは失敗したかを判定する。第１成否判定部１５１５は、第１特定部１５１７、第１抽出部１５１９、第１算出部１５２１及び第１記録処理部１５２３を有する。但し、第１特定部１５１７、第１抽出部１５１９、第１算出部１５２１及び第１記録処理部１５２３が第１成否判定部１５１５に含まれないようにしてもよい。第１特定部１５１７は、ログ取得の応答における先頭パケットを特定する。第１抽出部１５１９は、先頭パケットからログ取得の応答の全体サイズを抽出する。第１算出部１５２１は、先頭パケットにおいてログ取得の応答に割り当てられている領域サイズを算出する。第１記録処理部１５２３は、操作ログのレコードにログ取得の処理に関する判定結果を記録する。
【００７１】
第２要求判定部１５３１は、パケットがタスク登録の要求に該当するか否かを判定する。第２要求判定部１５３１は、第２ロギング部１５３３を有する。但し、第２ロギング部１５３３が第２要求判定部１５３１に含まれないようにしてもよい。第２ロギング部１５３３は、タスク登録の要求に係るパケットから属性データを抽出し、操作ログに新たなレコードを生成する。
【００７２】
第２成否判定部１５３５は、タスク登録のサービスに係る処理が成功したか或いは失敗したかを判定する。第２成否判定部１５３５は、第２特定部１５３７、第２抽出部１５３９、第２算出部１５４１及び第２記録処理部１５４３を有する。但し、第２特定部１５３７、第２抽出部１５３９、第２算出部１５４１及び第２記録処理部１５４３が第２成否判定部１５３５に含まれないようにしてもよい。第２特定部１５３７は、タスク登録の応答における先頭パケットを特定する。第２抽出部１５３９は、先頭パケットからタスク登録の応答の全体サイズ及びステータスを抽出する。第２算出部１５４１は、先頭パケットにおいてタスク登録の応答に割り当てられている領域サイズを算出する。第２記録処理部１５４３は、操作ログのレコードにタスク登録の処理に関する判定結果を記録する。
【００７３】
第３要求判定部１５５１は、パケットがアカウント登録の要求に該当するか否かを判定する。第３要求判定部１５５１は、第３ロギング部１５５３を有する。但し、第３ロギング部１５５３が第３要求判定部１５５１に含まれないようにしてもよい。第３ロギング部１５５３は、アカウント登録の要求に係るパケットから属性データを抽出し、操作ログに新たなレコードを生成する。
【００７４】
第３成否判定部１５５５は、アカウント登録のサービスに係る処理が成功したか或いは失敗したかを判定する。第３成否判定部１５５５は、第３特定部１５５７、第３抽出部１５５９及び第３記録処理部１５６３を有する。但し、第３特定部１５５７、第３抽出部１５５９及び第３記録処理部１５６３が第３成否判定部１５５５に含まれないようにしてもよい。第３特定部１５５７は、アカウント登録の応答における先頭パケットを特定する。第３抽出部１５５９は、先頭パケットからアカウント登録の応答のステータスを抽出する。第３記録処理部１５６３は、操作ログのレコードにアカウント登録の処理に関する判定結果を記録する。
【００７５】
パケット格納部１５７１は、キャプチャしたパケットを格納する。操作ログ記憶部１５７３は、操作ログを記憶する。
【００７６】
上述した制御部１５０１、キャプチャ部１５０３、第１要求判定部１５１１、第１ロギング部１５１３、第１成否判定部１５１５、第１特定部１５１７、第１抽出部１５１９、第１算出部１５２１、第１記録処理部１５２３、第２要求判定部１５３１、第２ロギング部１５３３、第２成否判定部１５３５、第２特定部１５３７、第２抽出部１５３９、第２算出部１５４１、第２記録処理部１５４３、第３要求判定部１５５１、第３ロギング部１５５３、第３成否判定部１５５５、第３特定部１５５７、第３抽出部１５５９及び第３記録処理部１５６３は、ハードウエア資源（例えば、図２１）と、以下で述べる処理をプロセッサに実行させるプログラムとを用いて実現される。
【００７７】
上述したパケット格納部１５７１及び操作ログ記憶部１５７３は、ハードウエア資源（例えば、図２１）を用いて実現される。
【００７８】
ネットワーク監視装置１０３における処理の説明に移る。図１６Ａ及び図１６Ｂに、メイン処理フローを示す。制御部１５０１は、キャプチャ処理を起動する（Ｓ１６０１）。キャプチャ処理で、キャプチャ部１５０３は、ネットワーク監視装置１０３とネットワークとの間に設けられたポートミラーリング対応のスイッチ又はネットワークタップを介して、ネットワーク上で伝送されるパケットを取り込む。取り込んだパケットは、パケット格納部１５７１に格納される。キャプチャ部１５０３は、格納したパケットに、キャプチャした日時を付するようにしてもよい。
【００７９】
制御部１５０１は、キャプチャしたパケットを順次１つ特定する（Ｓ１６０３）。制御部１５０１は、Ｓ１６０３で特定されたパケットに関する第１要求判定処理を起動する（Ｓ１６０５）。第１要求判定処理では、当該パケットがログ取得の要求に該当するか否かを判定する。この例で、第１要求判定処理はメイン処理と別のスレッドとして並行に動作する。従って、起動された第１要求判定処理の終了を待たずに、Ｓ１６０７の処理に移る。第１要求判定処理については、図１７を用いて後述する。
【００８０】
制御部１５０１は、第１要求判定処理の終了を検出したか否かを判定する（Ｓ１６０７）。第１要求判定処理の終了を検出していない場合には、Ｓ１６１１の処理に移る。一方、第１要求判定処理の終了を検出した場合には、制御部１５０１は、第１要求判定処理において、Ｓ１６０３で特定されたパケットがログ取得の要求に該当すると判定したか否かによって処理を分岐させる（Ｓ１６０８）。
【００８１】
Ｓ１６０３で特定されたパケットがログ取得の要求に該当しない場合には、Ｓ１６１１の処理に移る。一方、当該パケットがログ取得の要求に該当する場合に、制御部１５０１は、第１成否判定処理を起動する（Ｓ１６０９）。第１成否判定処理では、当該ログ取得に係る処理の成否について判定する。この例で、第１成否判定処理はメイン処理と別のスレッドとして並行に動作する。第１成否判定処理については、図１８を用いて後述する。第１成否判定処理を起動すると、Ｓ１６０３に示した処理に戻って、上述した処理を繰り返す。
【００８２】
Ｓ１６１１の説明に移る。制御部１５０１は、Ｓ１６０３で特定されたパケットに関する第２要求判定処理を起動する（Ｓ１６１１）。第２要求判定処理では、当該パケットがタスク登録の要求に該当するか否かを判定する。この例で、第２要求判定処理はメイン処理と別のスレッドとして並行に動作する。従って、起動された第２要求判定処理の終了を待たずに、Ｓ１６１３の処理に移る。第２要求判定処理については、図１９を用いて後述する。
【００８３】
制御部１５０１は、第２要求判定処理の終了を検出したか否かを判定する（Ｓ１６１３）。第２要求判定処理の終了を検出していない場合には、端子Ａを介して図１６Ｂに示したＳ１６１７の処理に移る。一方、第２要求判定処理の終了を検出した場合には、制御部１５０１は、第２要求判定処理においてＳ１６０３で特定されたパケットがタスク登録の要求に該当すると判定したか否かによって処理を分岐させる（Ｓ１６１４）。
【００８４】
Ｓ１６０３で特定されたパケットがタスク登録の要求に該当しない場合には、端子Ａを介して図１６Ｂに示したＳ１６１７の処理に移る。一方、当該パケットがタスク登録の要求に該当する場合に、制御部１５０１は、第２成否判定処理を起動する（Ｓ１６１５）。第２成否判定処理では、当該タスク登録に係る処理の成否について判定する。この例で、第２成否判定処理はメイン処理と別のスレッドとして並行に動作する。第２成否判定処理については、図２０Ａ及び図２０Ｂを用いて後述する。第２成否判定処理を起動すると、Ｓ１６０３に示した処理に戻って、上述した処理を繰り返す。
【００８５】
図１６Ｂの説明に移る。制御部１５０１は、Ｓ１６０３で特定されたパケットに関する第３要求判定処理を起動する（Ｓ１６１７）。第３要求判定処理では、当該パケットがアカウント登録の要求に該当するか否かを判定する。この例で、第３要求判定処理はメイン処理と別のスレッドとして並行に動作する。従って、起動された第３要求判定処理の終了を待たずに、Ｓ１６１９の処理に移る。第３要求判定処理では、上述した第１タイプの処理を行う。第３要求判定処理の詳細は省略する。
【００８６】
制御部１５０１は、第３要求判定処理の終了を検出したか否かを判定する（Ｓ１６１９）。第３要求判定処理の終了を検出していない場合には、端子Ｂを介してＳ１６０３に示した処理に戻って、上述した処理を繰り返す。一方、第３要求判定処理の終了を検出した場合には、制御部１５０１は、第３要求判定処理においてＳ１６０３で特定されたパケットがアカウント登録の要求に該当すると判定したか否かによって処理を分岐させる（Ｓ１６２０）。
【００８７】
Ｓ１６０３で特定されたパケットがアカウント登録の要求に該当しない場合には、端子Ｂを介してＳ１６０３に示した処理に戻って、上述した処理を繰り返す。一方、当該パケットがアカウント登録の要求に該当する場合に、制御部１５０１は、第３成否判定処理を起動する（Ｓ１６２１）。第３成否判定処理では、当該アカウント登録に係る処理の成否について判定する。この例で、第３成否判定処理はメイン処理と別のスレッドとして並行に動作する。第３成否判定処理では、上述した第１タイプの処理を行う。第３成否判定処理の詳細は省略する。第３成否判定処理を起動すると、端子Ｂを介してＳ１６０３に示した処理に戻って、上述した処理を繰り返す。
【００８８】
図１７に、第１要求判定処理フローを示す。第１要求判定部１５１１は、Ｓ１６０３で特定したパケットがリモート操作に係る所定プロトコルに従っているか否かを判定する（Ｓ１７０１）。当該パケットがリモート操作に係る所定プロトコルに従っていないと判定した場合には、第１要求判定部１５１１は、ログ取得の要求でないと判定する（Ｓ１７０３）。そして、第１要求判定処理を終える。
【００８９】
一方、当該パケットがリモート操作に係る所定プロトコルに従っていると判定した場合には、第１要求判定部１５１１は、当該パケットに設定されているオペレーションコードがｃｏｄｅＡであるか否かを判定する（Ｓ１７０５）。当該パケットに設定されているオペレーションコードがｃｏｄｅＡではないと判定した場合には、第１要求判定部１５１１は、ログ取得の要求でないと判定する（Ｓ１７０３）。そして、第１要求判定処理を終える。
【００９０】
一方、当該パケットに設定されているオペレーションコードがｃｏｄｅＡであると判定した場合には、第１要求判定部１５１１は、当該パケットに設定されているサービスＵＵＩＤがｉｄＸであるか否かを判定する（Ｓ１７０７）。当該パケットに設定されているサービスＵＵＩＤがｉｄＸではないと判定した場合には、第１要求判定部１５１１は、ログ取得の要求でないと判定する（Ｓ１７０３）。そして、第１要求判定処理を終える。
【００９１】
一方、当該パケットに設定されているサービスＵＵＩＤがｉｄＸであると判定した場合には、第１要求判定部１５１１は、パケットを一時的に保持する（Ｓ１７０９）。そして、第１要求判定部１５１１は、当該パケットの後に続くパケットを順次１つ特定する（Ｓ１７１１）。
【００９２】
第１要求判定部１５１１は、一時的に保持しているパケットと、Ｓ１７１１において特定したパケットとにおけるプロトコル及びコネクションデータが一致するか否かを判定する（Ｓ１７１３）。コネクションデータは、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号である。両パケットにおけるプロトコル及び／又はコネクションデータが一致しないと判定した場合には、Ｓ１７１１に示した処理に戻って、上述した処理を繰り返す。
【００９３】
一方、両パケットにおけるプロトコル及びコネクションデータが一致すると判定した場合には、第１要求判定部１５１１は、Ｓ１７１１において特定したパケットに設定されているオペレーションコードがｃｏｄｅＢであるか否かを判定する（Ｓ１７１５）。当該パケットに設定されているオペレーションコードがｃｏｄｅＢではないと判定した場合には、第１要求判定部１５１１は、ログ取得の要求でないと判定する（Ｓ１７０３）。そして、第１要求判定処理を終える。
【００９４】
一方、Ｓ１７１１において特定したパケットに設定されているオペレーションコードがｃｏｄｅＢであると判定した場合には、第１要求判定部１５１１は、ログ取得の要求であると判定する（Ｓ１７１７）。
【００９５】
第１ロギング部１５１３は、図１１及び図１２を用いて説明した通り、属性データを抽出し（Ｓ１７１９）、操作ログに新たなレコードを追記する（Ｓ１７２１）。そして、第１要求判定処理を終える。
【００９６】
図１８に、第１成否判定処理フローを示す。第１特定部１５１７は、ログ取得の要求に係るパケットの後に続くパケットを順次１つ特定する（Ｓ１８０１）。
【００９７】
第１特定部１５１７は、Ｓ１８０１で特定したパケットがリモート操作に係る所定プロトコルに従っているか否かを判定する（Ｓ１８０２）。当該パケットがリモート操作に係る所定プロトコルに従っていないと判定した場合には、Ｓ１８０１に示した処理に戻って、上述した処理を繰り返す。
【００９８】
一方、Ｓ１８０１で特定したパケットがリモート操作に係る所定プロトコルに従っていると判定した場合には、第１特定部１５１７は、当該パケットにおけるコネクションデータが、ログ取得の要求に係るパケットにおけるコネクションデータと反対の方向を示しているか否かを判定する（Ｓ１８０３）。具体的には、以下に示す４つの条件を満たす場合に、反対方向を示していると判定する。第１条件は、Ｓ１８０１で特定されたパケットの送信元ＩＰアドレスが、ログ取得の要求に係るパケットの宛先ＩＰアドレスと一致することである。第２条件は、Ｓ１８０１で特定されたパケットの送信元ポート番号が、ログ取得の要求に係るパケットの宛先ポート番号と一致することである。第３条件は、Ｓ１８０１で特定されたパケットの宛先ＩＰアドレスが、ログ取得の要求に係るパケットの送信元ＩＰアドレスと一致することである。第４条件は、Ｓ１８０１で特定されたパケットの宛先ポート番号が、ログ取得の要求に係るパケットの送信元ポート番号と一致することである。
【００９９】
Ｓ１８０１で特定されたパケットにおけるコネクションデータが、ログ取得の要求に係るパケットにおけるコネクションデータと反対の方向を示していないと判定した場合には、Ｓ１８０１に示した処理に戻って、上述した処理を繰り返す。
【０１００】
一方、Ｓ１８０１で特定されたパケットにおけるコネクションデータが、ログ取得の要求に係るパケットにおけるコネクションデータと反対の方向を示していると判定した場合には、第１特定部１５１７は、Ｓ１８０１で特定されたパケットがログ取得の応答における先頭パケットに該当するか否かを判定する（Ｓ１８０５）。例えば、一連のパケットにおける順位によって先頭パケットか否かを判定する。ログ取得の応答における先頭パケットに該当しないと判定した場合、つまり例えば２番目以降のパケットを先にキャプチャしている場合には、Ｓ１８０１に示した処理に戻って、上述した処理を繰り返す。尚、最初に反対方向を示すと判定されたパケットが先頭パケットであると判定するようにしてもよい。
【０１０１】
Ｓ１８０１で特定されたパケットがログ取得の応答における先頭パケットに該当すると判定した場合には、第１抽出部１５１９は、図１０を用いて説明した通り、当該パケットから応答の全体サイズを抽出する（Ｓ１８０７）。第１算出部１５２１は、図１０を用いて説明した通り、応答に割り当てられている領域サイズを算出する（Ｓ１８０９）。
【０１０２】
そして、第１成否判定部１５１５は、応答に割り当てられている領域サイズが、応答の全体サイズより小さいか否かを判定する（Ｓ１８１１）。領域サイズが応答の全体サイズより小さい場合に、第１成否判定部１５１５は、ログ取得が成功したと判定する（Ｓ１８１３）。第１記録処理部１５２３は、図１７のＳ１７２１で設けた操作ログのレコードにおける判定結果のフィールドに成功を記録する（Ｓ１８１５）。そして、第１成否判定処理を終える。
【０１０３】
一方、領域サイズが応答の全体サイズ以上である場合には、第１成否判定部１５１５は、ログ取得が失敗したと判定する（Ｓ１８１７）。尚、第１成否判定部１５１５は、領域サイズが応答の全体サイズと一致する場合に、ログ取得が失敗したと判定するようにしてもよい。第１記録処理部１５２３は、図１７のＳ１７２１で設けた操作ログのレコードにおける判定結果のフィールドに失敗を記録する（Ｓ１８１５）。そして、第１成否判定処理を終える。
【０１０４】
図１９に、第２要求判定処理フローを示す。第２要求判定部１５３１は、Ｓ１６０３で特定したパケットがリモート操作に係る所定プロトコルに従っているか否かを判定する（Ｓ１９０１）。当該パケットがリモート操作に係る所定プロトコルに従っていないと判定した場合には、第２要求判定部１５３１は、タスク登録の要求でないと判定する（Ｓ１９０３）。そして、第２要求判定処理を終える。
【０１０５】
一方、当該パケットがリモート操作に係る所定プロトコルに従っていると判定した場合には、第２要求判定部１５３１は、当該パケットに設定されているオペレーションコードがｃｏｄｅＣであるか否かを判定する（Ｓ１９０５）。当該パケットに設定されているオペレーションコードがｃｏｄｅＣではないと判定した場合には、第２要求判定部１５３１は、タスク登録の要求でないと判定する（Ｓ１９０３）。そして、第２要求判定処理を終える。
【０１０６】
一方、当該パケットに設定されているオペレーションコードがｃｏｄｅＣであると判定した場合には、第２要求判定部１５３１は、当該パケットに設定されているパイプ名がｎａｍｅＴであるか否かを判定する（Ｓ１９０７）。当該パケットに設定されているパイプ名がｎａｍｅＴではないと判定した場合には、第２要求判定部１５３１は、タスク登録の要求でないと判定する（Ｓ１９０３）。そして、第２要求判定処理を終える。
【０１０７】
一方、当該パケットに設定されているパイプ名がｎａｍｅＴであると判定した場合には、第２要求判定部１５３１は、パケットを一時的に保持する（Ｓ１９０９）。そして、第２要求判定部１５３１は、当該パケットの後に続くパケットを順次１つ特定する（Ｓ１９１１）。
【０１０８】
第２要求判定部１５３１は、一時的に保持しているパケットと、Ｓ１９１１において特定したパケットとにおけるプロトコル及びコネクションデータが一致するか否かを判定する（Ｓ１９１３）。両パケットにおけるプロトコル及び／又はコネクションデータが一致しないと判定した場合には、Ｓ１９１１に示した処理に戻って、上述した処理を繰り返す。
【０１０９】
一方、両パケットにおけるプロトコル及びコネクションデータが一致すると判定した場合には、第２要求判定部１５３１は、Ｓ１９１１において特定したパケットに設定されているオペレーションコードがｃｏｄｅＤであるか否かを判定する（Ｓ１９１５）。当該パケットに設定されているオペレーションコードがｃｏｄｅＤではないと判定した場合には、第２要求判定部１５３１は、タスク登録の要求でないと判定する（Ｓ１９０３）。そして、第２要求判定処理を終える。
【０１１０】
一方、Ｓ１９１１において特定したパケットに設定されているオペレーションコードがｃｏｄｅＤであると判定した場合には、第２要求判定部１５３１は、タスク登録の要求であると判定する（Ｓ１９１７）。
【０１１１】
第２ロギング部１５３３は、図１３及び図１４を用いて説明した通り、属性データを抽出し（Ｓ１９１９）、操作ログに新たなレコードを追記する（Ｓ１９２１）。そして、第２要求判定処理を終える。
【０１１２】
図２０Ａ及び図２０Ｂに、第２成否判定処理フローを示す。第２特定部１５３７は、タスク登録の要求に係るパケットの後に続くパケットを順次１つ特定する（Ｓ２００１）。
【０１１３】
第２特定部１５３７は、Ｓ２００１で特定したパケットがリモート操作に係る所定プロトコルに従っているか否かを判定する（Ｓ２００２）。当該パケットがリモート操作に係る所定プロトコルに従っていないと判定した場合には、Ｓ２００１に示した処理に戻って、上述した処理を繰り返す。
【０１１４】
一方、Ｓ２００１で特定したパケットがリモート操作に係る所定プロトコルに従っていると判定した場合には、第２特定部１５３７は、当該パケットにおけるコネクションデータが、タスク登録の要求に係るパケットにおけるコネクションデータと反対の方向を示しているか否かを判定する（Ｓ２００３）。具体的には、以下に示す４つの条件を満たす場合に、反対方向を示していると判定する。第１条件は、Ｓ２００１で特定されたパケットの送信元ＩＰアドレスが、タスク登録の要求に係るパケットの宛先ＩＰアドレスと一致することである。第２条件は、Ｓ２００１で特定されたパケットの送信元ポート番号が、タスク登録の要求に係るパケットの宛先ポート番号と一致することである。第３条件は、Ｓ２００１で特定されたパケットの宛先ＩＰアドレスが、タスク登録の要求に係るパケットの送信元ＩＰアドレスと一致することである。第４条件は、Ｓ２００１で特定されたパケットの宛先ポート番号が、タスク登録の要求に係るパケットの送信元ポート番号と一致することである。
【０１１５】
Ｓ２００１で特定されたパケットにおけるコネクションデータが、タスク登録の要求に係るパケットにおけるコネクションデータと反対の方向を示していないと判定した場合には、Ｓ２００１に示した処理に戻って、上述した処理を繰り返す。
【０１１６】
一方、Ｓ２００１で特定されたパケットにおけるコネクションデータが、タスク登録の要求に係るパケットにおけるコネクションデータと反対の方向を示していると判定した場合には、第２特定部１５３７は、Ｓ２００１で特定されたパケットがタスク登録の応答における先頭パケットに該当するか否かを判定する（Ｓ２００５）。タスク登録の応答における先頭パケットに該当しないと判定した場合には、つまり例えば２番目以降のパケットを先にキャプチャしている場合には、Ｓ２００１に示した処理に戻って、上述した処理を繰り返す。尚、上述したように、最初に反対方向を示すと判定されたパケットが先頭パケットであると判定するようにしてもよい。
【０１１７】
Ｓ２００１で特定されたパケットがタスク登録の応答における先頭パケットに該当すると判定した場合には、第２抽出部１５３９は、図１０を用いて説明した通り、当該パケットから応答の全体サイズを抽出する（Ｓ２００７）。第２算出部１５４１は、図１０を用いて説明した通り、応答に割り当てられている領域サイズを算出する（Ｓ２００９）。端子Ｃを介して、図２０ＢのＳ２０１１に示した処理に移る。
【０１１８】
第２成否判定部１５３５は、応答に割り当てられている領域サイズが、応答の全体サイズより小さいか否かを判定する（Ｓ２０１１）。領域サイズが応答の全体サイズより小さい場合に、第２成否判定部１５３５は、タスク登録が成功したと判定する（Ｓ２０１３）。第２記録処理部１５４３は、図１９のＳ１９２１で設けた操作ログのレコードにおける判定結果のフィールドに成功を記録する（Ｓ２０１５）。そして、第２成否判定処理を終える。
【０１１９】
一方、領域サイズが応答の全体サイズ以上である場合には、第２抽出部１５３９は、当該パケットからステータスを抽出する（Ｓ２０１７）。尚、第２抽出部１５３９は、領域サイズが応答の全体サイズと一致する場合に当該パケットからステータスを抽出するようにしてもよい。第２成否判定部１５３５は、抽出したステータスが成功を示しているか否かを判定する（Ｓ２０１９）。
【０１２０】
ステータスが成功を示している場合には、第２成否判定部１５３５は、タスク登録が成功したと判定する（Ｓ２０２１）。第２記録処理部１５４３は、図１９のＳ１９２１で設けた操作ログのレコードにおける判定結果のフィールドに成功を記録する（Ｓ２０１５）。
【０１２１】
一方、ステータスが成功を示していない場合、つまり失敗を示している場合には、第２成否判定部１５３５は、タスク登録が失敗したと判定する（Ｓ２０２３）。第２記録処理部１５４３は、図１９のＳ１９２１で設けた操作ログのレコードにおける判定結果のフィールドに失敗を記録する（Ｓ２０１５）。そして、第２成否判定処理を終える。
【０１２２】
本実施の形態によれば、ネットワークにおけるリモート操作の成功をより早く判定できるようになる。
【０１２３】
また、領域サイズが全体サイズに満たない場合にリモート操作が成功したと判定するので、成功時における応答が複数パケットに分割されるタイプのリモート操作において、より早く処理結果を判定できる。
【０１２４】
また、領域サイズが全体サイズを満たす場合に先頭パケットからステータスを抽出し、当該ステータスに従ってリモート操作の成否を判定するので、成功時における応答が複数パケットに分割されないことがあるタイプのリモート操作において、より早く処理結果を判定できる。
【０１２５】
以上本発明の一実施の形態を説明したが、本発明はこれに限定されるものではない。例えば、上述の機能ブロック構成はプログラムモジュール構成に一致しない場合もある。
【０１２６】
また、上で説明した各記憶領域の構成は一例であって、上記のような構成でなければならないわけではない。さらに、処理フローにおいても、処理結果が変わらなければ、処理の順番を入れ替えることや複数の処理を並列に実行させるようにしても良い。
【０１２７】
なお、上で述べたネットワーク監視装置１０３は、コンピュータ装置であって、図２１に示すように、メモリ２５０１とＣＰＵ（Central Processing Unit）２５０３とハードディスク・ドライブ（ＨＤＤ：Hard Disk Drive）２５０５と表示装置２５０９に接続される表示制御部２５０７とリムーバブル・ディスク２５１１用のドライブ装置２５１３と入力装置２５１５とネットワークに接続するための通信制御部２５１７とがバス２５１９で接続されている。オペレーティングシステム（ＯＳ：Operating System）及び本実施例における処理を実施するためのアプリケーション・プログラムは、ＨＤＤ２５０５に格納されており、ＣＰＵ２５０３により実行される際にはＨＤＤ２５０５からメモリ２５０１に読み出される。ＣＰＵ２５０３は、アプリケーション・プログラムの処理内容に応じて表示制御部２５０７、通信制御部２５１７、ドライブ装置２５１３を制御して、所定の動作を行わせる。また、処理途中のデータについては、主としてメモリ２５０１に格納されるが、ＨＤＤ２５０５に格納されるようにしてもよい。本発明の実施例では、上で述べた処理を実施するためのアプリケーション・プログラムはコンピュータ読み取り可能なリムーバブル・ディスク２５１１に格納されて頒布され、ドライブ装置２５１３からＨＤＤ２５０５にインストールされる。インターネットなどのネットワーク及び通信制御部２５１７を経由して、ＨＤＤ２５０５にインストールされる場合もある。このようなコンピュータ装置は、上で述べたＣＰＵ２５０３、メモリ２５０１などのハードウエアとＯＳ及びアプリケーション・プログラムなどのプログラムとが有機的に協働することにより、上で述べたような各種機能を実現する。
【０１２８】
以上述べた本発明の実施の形態をまとめると、以下のようになる。
【０１２９】
本実施の形態に係るネットワーク監視装置は、（Ａ）ネットワークにおいてキャプチャしたパケットのうち、リモート操作に関する応答を伝送するための先頭パケットを特定する特定部と、（Ｂ）先頭パケットから、上記応答の全体サイズを抽出する抽出部と、（Ｃ）先頭パケットにおいて上記応答のために割り当てられている領域サイズを算出する算出部と、（Ｄ）全体サイズと領域サイズとに基づいて、リモート操作が成功したと判定する判定部とを有する。
【０１３０】
このようにすれば、ネットワークにおけるリモート操作の成功をより早く判定できるようになる。尚、図１５Ａの第１特定部１５１７及び第２特定部１５３７は、特定部の一例である。図１５Ａの第１抽出部１５１９及び第２抽出部１５３９は、抽出部の一例である。図１５Ａの第１算出部１５２１及び第２算出部１５４１は、算出部の一例である。また、図１５Ａの第１成否判定部１５１５及び第２成否判定部１５３５は、判定部の一例である。
【０１３１】
更に、上記判定部は、領域サイズが全体サイズに満たない場合にリモート操作が成功したと判定するようにしてもよい。
【０１３２】
このようにすれば、成功時における応答が複数パケットに分割されるタイプのリモート操作において、より早く処理結果を判定できる。
【０１３３】
更に、領域サイズが全体サイズを満たす場合に、上記判定部は、先頭パケットからステータスを抽出し、当該ステータスに従ってリモート操作の成否を判定するようにしてもよい。
【０１３４】
このようにすれば、成功時における応答が複数パケットに分割されないことがあるタイプのリモート操作において、より早く処理結果を判定できる。
【０１３５】
なお、上で述べたネットワーク監視装置における処理をコンピュータに行わせるためのプログラムを作成することができ、当該プログラムは、例えばフレキシブルディスク、ＣＤ−ＲＯＭ、光磁気ディスク、半導体メモリ、ハードディスク等のコンピュータ読み取り可能な記憶媒体又は記憶装置に格納されるようにしてもよい。尚、中間的な処理結果は、一般的にメインメモリ等の記憶装置に一時保管される。
【０１３６】
以上の実施例を含む実施形態に関し、さらに以下の付記を開示する。
【０１３７】
（付記１）
ネットワークにおいてキャプチャしたパケットのうち、リモート操作に関する応答を伝送するための先頭パケットを特定する特定部と、
前記先頭パケットから、前記応答の全体サイズを抽出する抽出部と、
前記先頭パケットにおいて前記応答のために割り当てられている領域サイズを算出する算出部と、
前記全体サイズと前記領域サイズとに基づいて、前記リモート操作が成功したと判定する判定部と
を有するネットワーク監視装置。
【０１３８】
（付記２）
前記判定部は、前記領域サイズが前記全体サイズに満たない場合に前記リモート操作が成功したと判定する
付記１記載のネットワーク監視装置。
【０１３９】
（付記３）
前記領域サイズが前記全体サイズを満たす場合に、前記判定部は、前記先頭パケットからステータスを抽出し、当該ステータスに従って前記リモート操作の成否を判定する
付記１又は２記載のネットワーク監視装置。
【０１４０】
（付記４）
ネットワークにおいてキャプチャしたパケットのうち、リモート操作に関する応答を伝送するための先頭パケットを特定し、
前記先頭パケットから、前記応答の全体サイズを抽出し、
前記先頭パケットにおいて前記応答のために割り当てられている領域サイズを算出し、
前記全体サイズと前記領域サイズとに基づいて、前記リモート操作が成功したと判定する
処理をコンピュータに実行させるネットワーク監視プログラム。
【０１４１】
（付記５）
ネットワークにおいてキャプチャしたパケットのうち、リモート操作に関する応答を伝送するための先頭パケットを特定し、
前記先頭パケットから、前記応答の全体サイズを抽出し、
前記先頭パケットにおいて前記応答のために割り当てられている領域サイズを算出し、
前記全体サイズと前記領域サイズとに基づいて、前記リモート操作が成功したと判定する
処理を含み、コンピュータにより実行されるネットワーク監視方法。
【符号の説明】
【０１４２】
１０１  コンピュータ    １０３  ネットワーク監視装置
１０５  ファイアウォール    ２０１  マルウェア
２０３  感染コンピュータ    ２０５  標的コンピュータ
２０７  コマンド実行部    ２０９  サービス部
１５０１  制御部    １５０３  キャプチャ部
１５１１  第１要求判定部    １５１３  第１ロギング部
１５１５  第１成否判定部    １５１７  第１特定部
１５１９  第１抽出部    １５２１  第１算出部
１５２３  第１記録処理部    １５３１  第２要求判定部
１５３３  第２ロギング部    １５３５  第２成否判定部
１５３７  第２特定部    １５３９  第２抽出部
１５４１  第２算出部    １５４３  第２記録処理部
１５５１  第３要求判定部    １５５３  第３ロギング部
１５５５  第３成否判定部    １５５７  第３特定部
１５５９  第３抽出部    １５６３  第３記録処理部
１５７１  パケット格納部    １５７３  操作ログ記憶部
【図１】
2018186428.tif 000003
【図２】
2018186428.tif 000004
【図３】
2018186428.tif 000005
【図４】
2018186428.tif 000006
【図５】
2018186428.tif 000007
【図６】
2018186428.tif 000008
【図７】
2018186428.tif 000009
【図８】
2018186428.tif 000010
【図９】
2018186428.tif 000011
【図１０】
2018186428.tif 000012
【図１１】
2018186428.tif 000013
【図１２】
2018186428.tif 000014
【図１３】
2018186428.tif 000015
【図１４】
2018186428.tif 000016
【図１５Ａ】
2018186428.tif 000017
【図１５Ｂ】
2018186428.tif 000018
【図１６Ａ】
2018186428.tif 000019
【図１６Ｂ】
2018186428.tif 000020
【図１７】
2018186428.tif 000021
【図１８】
2018186428.tif 000022
【図１９】
2018186428.tif 000023
【図２０Ａ】
2018186428.tif 000024
【図２０Ｂ】
2018186428.tif 000025
【図２１】
2018186428.tif 000026