(57)【要約】【課題】オブジェクトツリーを適切に管理することができる通信装置、通信管理システム、および通信管理方法を提供する。【解決手段】パターンファイル記憶部１３には、ＩＰパケットの特徴点を示すパターンファイルが予め記憶されている。オブジェクトツリー更新部１７が、パターンファイルによって示されている特徴点を含むＩＰパケットを受信したことに基づき、オブジェクトツリーを構成するオブジェクトを生成して前記オブジェクトツリーを更新する。【選択図】      図８
2018085616.tif 000002
【特許請求の範囲】
【請求項１】
ＩＰパケットの特徴点を示すパターンファイルが予め記憶されているパターンファイル記憶手段と、
前記パターンファイルによって示されている特徴点を含むＩＰパケットを受信したことに基づき、オブジェクトツリーを構成するオブジェクトを生成して前記オブジェクトツリーを更新するオブジェクトツリー更新手段とを備えた
ことを特徴とする通信装置。
【請求項２】
前記パターンファイル記憶手段には、複数の特徴点のそれぞれに応じたパターンファイルがそれぞれ記憶され、
前記オブジェクトツリー更新手段は、いずれかのパターンファイルによって示される特徴点を含むＩＰパケットを受信した場合に、前記オブジェクトツリーを構成し前記特徴点に応じたオブジェクトを生成する
請求項１に記載の通信装置。
【請求項３】
前記オブジェクトツリーを構成しているオブジェクトに応じた特徴点を示す情報が登録されるマッチング履歴テーブルと、
前記パターンファイルによって示される特徴点を含むＩＰパケットを受信した場合に、前記マッチング履歴テーブルを参照して、前記ＩＰパケットが含む特徴点に応じたオブジェクトが前記オブジェクトツリーに含まれているか否かを判定する分析手段とを含み、
前記オブジェクトツリー更新手段は、前記分析手段が、前記ＩＰパケットが含む特徴点に応じたオブジェクトが前記オブジェクトツリーに含まれていないと判定した場合に、前記オブジェクトツリーを構成し前記特徴点に応じたオブジェクトを生成する
請求項２に記載の通信装置。
【請求項４】
前記パターンファイル記憶手段には、複数の特徴点のそれぞれに応じたパターンファイルがそれぞれ記憶され、
前記オブジェクトツリー更新手段は、いずれかのパターンファイルによって示される特徴点を含むＩＰパケットを所定の期間以上受信しなかった場合に、前記オブジェクトツリーにおいて、前記特徴点に応じたオブジェクトを削除して前記オブジェクトツリーを更新する
請求項１から請求項３のうちいずれか１項に記載の通信装置。
【請求項５】
前記オブジェクトツリー更新手段によってオブジェクトツリーが更新された場合に、更新内容を示す更新情報を当該通信装置を管理する管理装置に送信する送信手段を含む
請求項１から請求項４のうちいずれか１項に記載の通信装置。
【請求項６】
請求項５に記載の通信装置と、
前記管理装置とを備え、
前記管理装置は、前記送信手段が送信した前記更新情報に応じて内容が更新されるオブジェクト管理情報が記憶された記憶手段を含む
ことを特徴とする通信管理システム。
【請求項７】
所定の特徴点を含むＩＰパケットを受信したことに基づき、オブジェクトツリーを構成するオブジェクトを生成するオブジェクトツリー更新ステップを含む
ことを特徴とする通信管理方法。
【請求項８】
複数の特徴点のそれぞれに応じたパターンファイルがそれぞれ用意され、
いずれかのパターンファイルによって示される特徴点を含むＩＰパケットを受信した場合に、前記オブジェクトツリー更新ステップで、前記オブジェクトツリーを構成し前記特徴点に応じたオブジェクトを生成する
請求項７に記載の通信管理方法。
【請求項９】
複数の特徴点のそれぞれに応じたパターンファイルがそれぞれ用意され、
いずれかのパターンファイルによって示される特徴点を含むＩＰパケットを所定の期間以上受信しなかった場合に、前記オブジェクトツリー更新ステップで、前記オブジェクトツリーにおいて、前記特徴点に応じたオブジェクトを削除する
請求項７または請求項８に記載の通信管理方法。
【請求項１０】
前記オブジェクトツリー更新ステップでオブジェクトツリーが更新された場合に、更新内容を示す更新情報を通信装置を管理する管理装置に送信する送信ステップを含む
請求項７から請求項９のうちいずれか１項に記載の通信管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信を管理する通信装置、通信管理システム、および通信管理方法に関する。
【背景技術】
【０００２】
通信ネットワークにおいて、送受信されるＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）パケットを中継する通信装置がある。そのような通信装置は、ノードと呼ばれる。そして、少なくとも一部のノードは、マネージャと呼ばれる管理装置によって管理され、エージェントと呼ばれる。したがって、通信ネットワークにおける通信はエージェントによって管理され、エージェントはマネージャによって管理される。
【０００３】
特許文献１には、ＳＮＭＰ（Ｓｉｍｐｌｅ  Ｎｅｔｗｏｒｋ  Ｍａｎａｇｅｍｅｎｔ  Ｐｒｏｔｏｃｏｌ）エージェントが、ＳＮＭＰマネージャからの要求に応じて、各々のＭＩＢ（Ｍａｎａｇｅｍｅｎｔ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｂａｓｅ）データベースにおける差分を示す情報を送信するシステムが記載されている。
【０００４】
特許文献２には、ＳＮＭＰに従ってエージェントとして動作する機器が記載されている。特許文献２に記載されている機器は、予め登録された定義ファイルに基づいて、ＭＩＢツリーにオブジェクトを追加する。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００１−３５０６８０号公報
【特許文献２】特開２０１４−１８６５６２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかし、特許文献１に記載されているシステムにおいて、ＭＩＢツリーを構成するオブジェクトを生成したり、ＭＩＢツリーをカスタマイズしたりする処理は、人手で行われなければならないという問題がある。
【０００７】
また、特許文献２に記載されている機器は、定義ファイルの登録等を人手で行わなければならないという問題がある。
【０００８】
そして、特許文献１，２に記載されているようにＭＩＢツリーの管理に人手を要する場合に、ＭＩＢツリーを適切に管理することが困難になる。具体的には、ＭＩＢツリーの管理者がＭＩＢツリーの更新の要否を判断し、ＭＩＢツリーの更新が必要であると判断した場合に、管理者等の都合に応じたタイミングで、ファームウェアの更新等によってＭＩＢツリーの更新処理が行われることによって、ＭＩＢツリーが管理されることになる。したがって、ＭＩＢツリーの更新が必要な状況になってから、ＭＩＢツリーの更新処理が行われるまでに管理者等の都合に応じて時間を要してしまい、ＭＩＢツリーを適切に管理することができないという問題がある。
【０００９】
そこで、本発明は、オブジェクトツリーを適切に管理することができる通信装置、通信管理システム、および通信管理方法を提供することを目的とする。
【課題を解決するための手段】
【００１０】
本発明による通信装置は、ＩＰパケットの特徴点を示すパターンファイルが予め記憶されているパターンファイル記憶手段と、パターンファイルによって示されている特徴点を含むＩＰパケットを受信したことに基づき、オブジェクトツリーを構成するオブジェクトを生成してオブジェクトツリーを更新するオブジェクトツリー更新手段とを備えたことを特徴とする。
【００１１】
本発明による通信管理システムは、いずれかの態様の通信装置と、管理装置とを備え、当該管理装置は、送信手段が送信した更新情報に応じて内容が更新されるオブジェクト管理情報が記憶された記憶手段を含むことを特徴とする。
【００１２】
本発明による通信管理方法は、所定の特徴点を含むＩＰパケットを受信したことに基づき、オブジェクトツリーを構成するオブジェクトを生成するオブジェクトツリー更新ステップを含むことを特徴とする。
【発明の効果】
【００１３】
本発明によれば、オブジェクトツリーを適切に管理することができる。
【図面の簡単な説明】
【００１４】
【図１】第１の実施形態の通信装置の接続例を示すブロック図である。
【図２】第１の実施形態の通信装置の構成例を示すブロック図である。
【図３】マッチング数テーブルの例を示す説明図である。
【図４】マッチング履歴テーブルの例を示す説明図である。
【図５】分析モジュールが生成したオブジェクトツリー情報が示すオブジェクトツリーの例を示す説明図である。
【図６】第１の実施形態の通信装置において、オブジェクトツリーにオブジェクトを追加する動作を示すフローチャートである。
【図７】第１の実施形態の通信装置において、オブジェクトツリーからオブジェクトを削除する動作を示すフローチャートである。
【図８】第２の実施形態の通信装置の構成例を示すブロック図である。
【発明を実施するための形態】
【００１５】
実施形態１．
第１の実施形態の通信装置１００について図面を参照して説明する。図１は、第１の実施形態の通信装置１００の接続例を示すブロック図である。図１に示すように、第１の実施形態の通信装置１００は、通信ネットワーク２０１，２０２，２０３と互いに接続されている。通信ネットワーク２０１には、管理装置３００が接続されている。したがって、通信装置１００と管理装置３００とは、通信ネットワーク２０１を介して情報を送受信する。
【００１６】
なお、通信装置１００は、例えば、ＳＮＭＰに従ってＳＮＭＰエージェントとしての動作を行うルータや、携帯電話通信網において中継用に用いられる通信装置であるとする。また、管理装置３００は、例えば、ＳＮＭＰに従ってＳＮＭＰマネージャとしての動作を行うとサーバであるする。また、管理装置３００は、ＳＮＭＰマネージャとして、ＳＮＭＰエージェントとして動作する複数の通信装置を管理するように構成されていてもよいが、本例では、説明の簡単のため、一の通信装置である通信装置１００を管理するとして説明する。そして、通信装置１００と管理装置３００とによって通信管理システムが構成される。
【００１７】
図２は、第１の実施形態の通信装置１００の構成例を示すブロック図である。図２に示すように、通信装置１００は、通信部１１０、検査部１２０、パターンファイル記憶部１３０、マッチング数カウンタ１４０、マッチング履歴記憶部１５０、オブジェクトツリー記憶部１６０、および分析モジュール１７０を含む。
【００１８】
通信部１１０は、例えば、インターネット等の通信ネットワークを介してＩＰパケットを送受信可能な通信モジュールによって実現される。検査部１２０および分析モジュール１７０は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）や複数の電気回路によって実現される。パターンファイル記憶部１３０、マッチング履歴記憶部１５０、およびオブジェクトツリー記憶部１６０は、例えば、メモリ等の記憶手段によって実現される。マッチング数カウンタ１４０は、例えば、カウント手段とメモリ等の記憶手段とによって実現される。
【００１９】
なお、図２に示すように、管理装置３００は、オブジェクトツリー記憶部３１０を含む。オブジェクトツリー記憶部３１０は、例えば、メモリ等の記憶手段によって実現される。
【００２０】
通信部１１０は、通信ネットワーク２０２と通信ネットワーク２０３との間におけるＩＰパケットの送受信を中継する。具体的には、通信部１１０は、通信ネットワーク２０２から送信されたＩＰパケットを受信して通信ネットワーク２０３に送信する。また、通信部１１０は、通信ネットワーク２０３から送信されたＩＰパケットを受信して通信ネットワーク２０２に送信する。さらに、通信部１１０は、通信ネットワーク２０１を介して、管理装置３００と情報を送受信する。
【００２１】
なお、通信部１１０は、例えば、セキュリティファイアウォールの機能や、ＤＰＩ（Ｄｅｅｐ  Ｐａｃｋｅｔ  Ｉｎｓｐｅｃｔｉｏｎ）の機能、コンピュータウイルスを検知する機能等を有する。
【００２２】
検査部１２０は、パターンファイル記憶部１３０に記憶されているパターンファイルを参照して、通信部１１０が通信ネットワーク２０２，２０３から受信したＩＰパケットのパターンを特定するための検査処理を行う。なお、検査処理には、例えば、既知の技術が用いられる。
【００２３】
パターンファイル記憶部１３０には、パターンファイルが記憶されている。パターンファイルとは、通信部１１０が受信したＩＰパケットのパターンを識別するために参照されるファイルであり、例えば、通信部１１０が有する機能に応じて予めパターンファイル記憶部１３０に記憶されている。
【００２４】
具体的には、通信部１１０が、セキュリティファイアウォールの機能や、ＤＰＩの機能を有している場合に、パターンファイル記憶部１３０には、ＩＰパケットの送受信を司るアプリケーションソフトウェアの特徴点や、通信プロトコルの特徴点、ＵＲＬ（Ｕｎｉｆｏｒｍ  Ｒｅｓｏｕｒｃｅ  Ｌｏｃａｔｏｒ）、ＩＰパケットのフロー識別子を示すパターンファイルが記憶されている。
【００２５】
なお、ＩＰパケットの送受信を司るアプリケーションソフトウェアの特徴点は、例えば、ＶｏＩＰ（Ｖｏｉｃｅ  Ｏｖｅｒ  Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）や、チャット、ゲーム等のアプリケーションソフトウェアの特徴点である。また、通信プロトコルの特徴点は、例えば、ＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）や、ＦＴＰ（Ｆｉｌｅ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）、ＤＨＣＰ（Ｄｙｎａｍｉｃ  Ｈｏｓｔ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）、ＰＯＰ（Ｐｏｓｔ  Ｏｆｆｉｃｅ  Ｐｒｏｔｏｃｏｌ）、ＳＭＴＰ（Ｓｉｍｐｌｅ  Ｍａｉｌ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）等のプロトコルの特徴点である。ＩＰパケットのフロー識別子は、例えば、ＩＰアドレスや、ポート番号等によって構成され、予め設定されているＩＰアドレスやポート番号等が特徴点に相当する。
【００２６】
また、具体的には、通信部１１０が、コンピュータウイルスを検知する機能を有している場合に、パターンファイル記憶部１３０には、多種多様なコンピュータウイルスの特徴点を示すパターンファイルが記憶されている。
【００２７】
そして、パターンファイルによって示されている各特徴点をそれぞれパターンともいう。
【００２８】
検査部１２０は、通信部１１０が通信ネットワーク２０２，２０３から受信したＩＰパケットが、パターンファイル記憶部１３０に記憶されているパターンファイルによって示されるパターンに合致するか否かを検査する。つまり、検査部１２０は、パターンファイル記憶部１３０に記憶されているパターンファイルによって示されているパターンに合致するパターンを有するＩＰパケット（以下、パターンに合致するＩＰパケットともいう）を検出するための検査を行う。
【００２９】
マッチング数カウンタ１４０は、分析モジュール１７０の制御に従って、計数処理を行う。具体的には、マッチング数カウンタ１４０は、例えば、通信部１１０が通信ネットワーク２０２，２０３から受信したＩＰパケットの数を計数する。また、マッチング数カウンタ１４０は、通信部１１０が通信ネットワーク２０２，２０３から受信したＩＰパケットのうち、パターンファイル記憶部１３０に記憶されているパターンファイルによって示されているパターンに合致するＩＰパケットの数を、各パターン毎に計数する。さらに、マッチング数カウンタ１４０は、通信部１１０が通信ネットワーク２０２，２０３から受信したＩＰパケットのうち、パターンファイル記憶部１３０に記憶されているパターンファイルによって示されているパターンに合致しない（非合致の）ＩＰパケットの数を計数する。
【００３０】
そして、マッチング数カウンタ１４０は、分析モジュール１７０の制御に従って、計数した値を示すマッチング数テーブルを記憶する機能を有する。
【００３１】
図３は、マッチング数テーブルの例を示す説明図である。図３には、パターンファイル記憶部１３０にパターン１〜１０の各パターンのそれぞれに応じたパターンファイルが記憶され、マッチング数カウンタ１４０によって、各パターンに応じたＩＰパケットの数が各日毎に計数されてマッチング数テーブルにおける各パターンに応じたフィールドに登録されていることが示されている。なお、パターンファイル記憶部１３０には、複数のパターンを示すパターンファイルが記憶されていてもよい。つまり、一のパターンファイルによって複数のパターンが示されるように構成されていてもよい。本例では、パターン１のパターンファイルによって、チャットのアプリケーションソフトウェアの特徴点が示されているとする。また、パターン２のパターンファイルによって、ＴＥＬＮＥＴのプロトコルの特徴点が示されているとする。そして、パターン３のパターンファイルによって、動画再生のアプリケーションソフトウェアの特徴点が示されているとする。パターン４のパターンファイルによって、ＦＴＰ（Ｆｉｌｅ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）のプロトコルの特徴点が示されているとする。また、パターン５のパターンファイルによって、ＰＯＰ（Ｐｏｓｔ  Ｏｆｆｉｃｅ  Ｐｒｏｔｏｃｏｌ）のプロトコルの特徴点が示されているとする。そして、パターン６のパターンファイルによって、ＳＭＴＰ（Ｓｉｍｐｌｅ  Ｍａｉｌ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）のプロトコルの特徴点が示されているとする。パターン７のパターンファイルによって、ＮＴＰ（Ｎｅｔｗｏｒｋ  Ｔｉｍｅ  Ｐｒｏｔｏｃｏｌ）のプロトコルの特徴点が示されているとする。また、パターン８のパターンファイルによって、ゲームのアプリケーションソフトウェアの特徴点が示されているとする。そして、パターン９のパターンファイルによって、ＳＮＳ（Ｓｏｃｉａｌ  Ｎｅｔｗｏｒｋｉｎｇ  Ｓｅｒｖｉｃｅ）のアプリケーションソフトウェアの特徴点が示されているとする。パターン１０のパターンファイルによって、マルウェアのコンピュータウイルスの特徴点が示されているとする。したがって、パターン１，３，８，９によってアプリケーション群をなし、パターン２，４〜７によってプロトコル群をなす。
【００３２】
図３に示す例では、本日（図３においてｄａｙ１１と示す）から１０日前（図３においてｄａｙ１と示す）までの１１日間に亘る各日において、マッチング数カウンタ１４０が計数した値がマッチング数テーブルに登録されている。そして、本例では、マッチング数テーブルに登録された値は、１１日を経過すると消去される。よって、図３に示す例では、消去されるまでの日数毎に、マッチング数カウンタ１４０が計数した値が示されている。
【００３３】
マッチング履歴記憶部１５０には、検査部１２０によって特定されたパターンを示すマッチング履歴テーブルが記憶されている。図４は、マッチング履歴テーブルの例を示す説明図である。図４に示す例では、パターン３〜６，８〜１０のパターンに合致するＩＰパケットが検出されたことに応じて、マッチング履歴テーブルにおける検出済みパターンの欄にパターン３〜６，８〜１０が登録されている。なお、マッチング履歴テーブルには、例えば、通信部１１０における通信ログがパターンごとに登録されている。
【００３４】
オブジェクトツリー記憶部１６０には、分析モジュール１７０によって生成された、ＭＩＢツリーであるオブジェクトツリーを示すオブジェクトツリー情報が記憶される。図５は、分析モジュール１７０が生成したオブジェクトツリー情報が示すオブジェクトツリーの例を示す説明図である。
【００３５】
図５に示すように、オブジェクトツリー情報は、各オブジェクトを示すそれぞれの情報をツリー形式で示す情報である。図５に例示したオブジェクトツリーは、子要素として、アプリケーションツリーとプロトコルツリーとウイルスツリーとを含むように構成されている。また、図５に例示したオブジェクトツリーは、アプリケーションツリーの子要素としてパターン１，３，８，９に応じたオブジェクトを含むように構成されてもよい。また、図５に示すように、本例のオブジェクトツリーは、プロトコルツリーの子要素としてパターン２，４〜７に応じたオブジェクトを含むように構成されてもよい。さらに、図５に示すように、本例のオブジェクトツリーは、ウイルスツリーの子要素としてパターン１０に応じたオブジェクトを含むように構成されてもよい。
【００３６】
したがって、本例のオブジェクトツリー情報には、例えば、子要素としてアプリケーションツリーを示す情報とプロトコルツリーを示す情報とウイルスツリーを示す情報とが含まれてもよい。そして、オブジェクトツリー情報には、さらに、アプリケーションツリーの子要素として、パターン１，３，８，９を示す情報が含まれてもよく、プロトコルツリーの子要素として、パターン２，４〜７を示す情報が含まれてもよく、ウイルスツリーの子要素として、パターン１０を示す情報が含まれてもよい。
【００３７】
そして、図５に点線で示し、後述するように、本例では、パターン１，２に応じたオブジェクトは削除されている。また、図５に破線で示し、後述するように、本例では、パターン７に応じたオブジェクトは削除される。そして、図５に太線で示し、後述するように、本例では、ウイルスツリーおよびパターン９，１０に応じたオブジェクトが追加される。
【００３８】
分析モジュール１７０は、検査部１２０による検出結果に応じて、マッチング履歴記憶部１５０に記憶されているマッチング履歴テーブルの内容を更新する。また、分析モジュール１７０は、検査部１２０による検出結果に応じて、オブジェクトツリー記憶部１６０に記憶されているオブジェクトツリーを更新する。より具体的には、分析モジュール１７０は、検査部１２０による検出結果に応じたマッチング数テーブルに基づいて、マッチング履歴テーブルの内容およびオブジェクトツリーを更新する。
【００３９】
また、分析モジュール１７０は、オブジェクトツリーを更新した場合に、通信部１１０を介して、管理装置３００に当該更新の内容を通知する。
【００４０】
次に、第１の実施形態の通信装置１００の動作について説明する。図６は、第１の実施形態の通信装置１００において、オブジェクトツリーにオブジェクトを追加する動作を示すフローチャートである。
【００４１】
図６に示すように、通信装置１００の検査部１２０は、通信部１１０が通信ネットワーク２０２，２０３からＩＰパケットを受信した場合に検査処理を行い、当該ＩＰパケットがパターンファイルによって示されているパターンに合致するか否かを検査する（ステップＳ１０１）。
【００４２】
そして、検査部１２０は、当該ＩＰパケットが、パターンファイルによって示されているパターンのいずれにも合致しない場合に（ステップＳ１０１のＮ）、マッチング数カウンタ１４０が所定の値をカウントアップして（ステップＳ１０２）、処理を終了する。具体的には、本例では、マッチング数カウンタ１４０は、ステップＳ１０２の処理で、マッチング数テーブルにおいて受信したＩＰパケットの数に応じた欄の値（図３において合計の欄の値）を１カウントアップする。また、マッチング数カウンタ１４０は、本例では、ステップＳ１０２の処理で、マッチング数テーブルにおいて非合致のＩＰパケットの数に応じた欄の値（図３において非合致の欄の値）を１カウントアップする。
【００４３】
また、検査部１２０が、当該ＩＰパケットがパターンファイルによって示されているパターンのいずれかに合致すると判定した場合に（ステップＳ１０１のＹ）、分析モジュール１７０は、当該ＩＰパケットに合致したパターンがマッチング履歴テーブルに登録されているか否かを判定する（ステップＳ１０３）。
【００４４】
そして、ステップＳ１０３の処理で、分析モジュール１７０が、当該ＩＰパケットに合致したパターンがマッチング履歴テーブルに登録されていると判定した場合に（ステップＳ１０３のＹ）、マッチング数カウンタ１４０が所定の値をカウントアップして（ステップＳ１０２）、処理を終了する。具体的には、本例では、マッチング数カウンタ１４０は、ステップＳ１０２の処理で、マッチング数テーブルにおいて受信したＩＰパケットの数に応じた欄の値を１カウントアップする。また、マッチング数カウンタ１４０は、本例では、ステップＳ１０２の処理で、マッチング数テーブルにおいてステップＳ１０１の処理で当該ＩＰパケットが合致したパターンに応じた欄の値を１カウントアップする。
【００４５】
また、ステップＳ１０３の処理で、分析モジュール１７０が、当該ＩＰパケットに合致したパターンがマッチング履歴テーブルに登録されていないと判定した場合に（ステップＳ１０３のＮ）、分析モジュール１７０は、当該パターンをマッチング履歴テーブルに登録する（ステップＳ１０４）。本例では、図３に示すように、ｄａｙ１〜１０にパターン９に合致したＩＰパケットおよびパターン１０に合致したＩＰパケットは受信されていないが、ｄａｙ１１にパターン９に合致したＩＰパケットおよびパターン１０に合致したＩＰパケットが受信されたとする。そして、ｄａｙ１〜１０において、マッチング履歴テーブルにパターン９，１０は登録されていなかったとする。そこで、分析モジュール１７０は、ｄａｙ１１にパターン９に合致したＩＰパケットおよびパターン１０に合致したＩＰパケットが受信され、パターン９，１０がマッチング履歴テーブルに登録されていなかったことに応じて、パターン９，１０をマッチング履歴テーブルに登録する。したがって、図４に例示したマッチング履歴テーブルには、パターン９，１０が登録されている。
【００４６】
そして、分析モジュール１７０は、オブジェクトツリーを更新する（ステップＳ１０５）。具体的には、分析モジュール１７０は、例えば、ステップＳ１０５の処理で、オブジェクトツリー記憶部１６０に記憶されているオブジェクトツリー情報の内容に、ステップＳ１０４の処理でマッチング履歴テーブルに登録したパターンを示す情報を追記する。本例では、図５に太線で示したように、アプリケーションツリーにパターン９に応じたオブジェクトが追加され、オブジェクトツリーにウイルスツリーが追加され、当該ウイルスツリーにパターン１０に応じたオブジェクトが追加されている。
【００４７】
また、マッチング数カウンタ１４０が、マッチング数テーブルにおいて、ステップＳ１０４の処理でマッチング履歴テーブルに登録したパターンに応じた欄（フィールド）を生成して値に１をセットするカウント処理を行う（ステップＳ１０６）。
【００４８】
そして、通信部１１０は、オブジェクトツリーを更新したこと、および更新内容を示すオブジェクトツリー更新情報を通信ネットワーク２０１を介して管理装置３００宛に送信する（ステップＳ１０７）。
【００４９】
管理装置３００において、オブジェクトツリー記憶部３１０には、あらかじめ所定のオブジェクトツリーを示すオブジェクトツリー情報が記憶されているとする。そして、管理装置３００は、ステップＳ１０７の処理で送信されたオブジェクトツリー更新情報に基づいて、記憶しているオブジェクトツリー情報の内容を更新する。すると、通信装置１００のオブジェクトツリー記憶部１６０に記憶されているオブジェクトツリー情報と、管理装置３００に記憶されているオブジェクトツリー情報とが互いに同期される。
【００５０】
図７は、第１の実施形態の通信装置１００において、オブジェクトツリーからオブジェクトを削除する動作を示すフローチャートである。
【００５１】
分析モジュール１７０は、マッチング数カウンタ１４０に記憶されているマッチング数テーブルにおいて、０が所定の期間以上連続して登録されているパターンがあるか否かを判定する（ステップＳ２０１）。
【００５２】
なお、ステップＳ２０１の処理は、例えば、毎日１回実行される。そして、ステップＳ２０１の処理が実行されるタイミングは、例えば、午前０時等のトラヒックが少ない時間帯である。また、所定の期間は、本例では、８日であるとして説明するが、８日よりも長くてもよいし短くてもよい。
【００５３】
そして、分析モジュール１７０は、ステップＳ２０１の処理で、マッチング数カウンタ１４０に記憶されているマッチング数テーブルにおいて、０が所定の期間以上連続して登録されているパターンがないと判定した場合に（ステップＳ２０１のＮ）、処理を終了する。
【００５４】
また、分析モジュール１７０は、ステップＳ２０１の処理で、マッチング数カウンタ１４０に記憶されているマッチング数テーブルにおいて、０が所定の期間以上連続して登録されているパターンがあると判定した場合に（ステップＳ２０１のＹ）、マッチング履歴記憶部１５０に記憶されているマッチング履歴テーブルに登録されている当該パターンの情報を削除する（ステップＳ２０２）。
【００５５】
図３に示す例では、パターン１，２について、０が所定の期間である８日以上連続して登録されている。したがって、図４に示すように、パターン１，２はマッチング履歴テーブルから削除されている。
【００５６】
分析モジュール１７０は、オブジェクトツリーを更新する（ステップＳ２０３）。具体的には、分析モジュール１７０は、例えば、ステップＳ２０３の処理で、オブジェクトツリー記憶部１６０に記憶されているオブジェクトツリー情報から、ステップＳ２０２の処理でマッチング履歴テーブルから削除した当該パターンを示す情報を削除する。
【００５７】
前述したように、図３に示す例では、パターン１，２について、０が所定の期間である８日以上連続して登録されている。また、パターン７について、０が８日連続して登録されている。したがって、図５に点線で示すように、パターン１，２に応じたオブジェクトは、前回までのステップＳ２０３の処理でオブジェクトツリーから削除されている。また、図５に破線で示すように、パターン７に応じたオブジェクトは、今回のステップＳ２０３の処理でオブジェクトツリーから削除される。
【００５８】
また、マッチング数カウンタ１４０が、ステップＳ２０２の処理でマッチング数テーブルから削除したパターンに応じたフィールドを削除する処理を行う（ステップＳ２０４）。本例では、パターン１についてのフィールドはｄａｙ１０に削除され、パターン２についてのフィールドはｄａｙ１１に削除されている。よって、図３において、パターン１についてのフィールドはｄａｙ１０，１１の欄が「−」で示され、パターン２についてのフィールドは、ｄａｙ１１の欄が「−」で示されている。
【００５９】
通信部１１０は、オブジェクトツリーを更新したこと、および更新内容を示すオブジェクトツリー更新情報を通信ネットワーク２０１を介して管理装置３００宛に送信する（ステップＳ２０５）。
【００６０】
管理装置３００は、ステップＳ２０５の処理で送信されたオブジェクトツリー更新情報に基づいて、記憶しているオブジェクトツリー情報の内容を更新する。すると、通信装置１００のオブジェクトツリー記憶部１６０に記憶されているオブジェクトツリー情報と、管理装置３００に記憶されているオブジェクトツリー情報とが互いに同期される。
【００６１】
本実施形態によれば、通信装置１００が、オブジェクトツリーを更新（例えば、オブジェクトツリーへのオブジェクトの追加や削除）する必要の有無を判定する（例えば、ステップＳ１０１，Ｓ１０３，Ｓ２０１の処理）。通信装置１００は、オブジェクトツリーを更新する必要があると判定した場合に、オブジェクトツリーの更新を行う（例えば、ステップＳ１０５，Ｓ２０３の処理）。そして、通信装置１００は、オブジェクトツリーの更新に応じた情報を管理装置３００に送信する（例えば、ステップＳ１０７，Ｓ２０５の処理）。
【００６２】
したがって、オブジェクトツリーの管理を、人手を要することなく、つまり、管理者等の都合に関わらず、自動的に行うことができる。よって、オブジェクトツリーを適切に管理することができる。また、管理者等の作業負荷を軽減することができる。
【００６３】
さらに、オブジェクトツリーの更新が必要な状況になってからオブジェクトツリーが更新されるまでの時間を、管理者等が更新する場合に比べて短縮することができる。
【００６４】
また、オブジェクトツリーのオブジェクトが、適切なタイミングで追加および削除されるので、オブジェクトツリー記憶部１６０，３１０を実現するメモリ等の記憶手段のリソースを効率的に活用することができる。
【００６５】
なお、本例では、通信装置１００は、パターンファイル記憶部１３０、マッチング数カウンタ１４０、マッチング履歴記憶部１５０、およびオブジェクトツリー記憶部１６０をそれぞれ１つずつ有するように構成されているが、それぞれ複数有するように構成されていてもよい。具体的には、例えば、通信装置１００は、パターンファイル記憶部１３０、マッチング数カウンタ１４０、マッチング履歴記憶部１５０、およびオブジェクトツリー記憶部１６０の組が、接続されている通信ネットワーク２０２，２０３毎に、つまり、通信インタフェースごとに用意されていてもよい。そのような構成によれば、受信したＩＰパケットの送信元ごとに互いに異なるパターンファイルを用意し、各パターンファイルに応じたオブジェクトを含むオブジェクトツリーを生成したり、当該オブジェクトツリーからオブジェクトを削除したりすることができる。
【００６６】
実施形態２．
次に、第２の実施形態の通信装置１０について、図面を参照して説明する。図８は、第２の実施形態の通信装置１０の構成例を示すブロック図である。
【００６７】
図８に示すように、第２の実施形態の通信装置１０は、パターンファイル記憶部１３と、オブジェクトツリー更新部１７とを含む。
【００６８】
なお、パターンファイル記憶部１３は、図２に示す第１の実施形態におけるパターンファイル記憶部１３０に相当する。また、オブジェクトツリー更新部１７は、図２に示す第１の実施形態における分析モジュール１７０に相当する。
【００６９】
パターンファイル記憶部１３には、ＩＰパケットの特徴点を示すパターンファイルが予め記憶されている。
【００７０】
オブジェクトツリー更新部１７は、パターンファイルによって示されている特徴点を含むＩＰパケットを受信したことに基づき、オブジェクトツリーを構成するオブジェクトを生成してオブジェクトツリーを更新する。
【００７１】
本実施形態によれば、所定の特徴点を含むＩＰパケットを受信したことに基づき、オブジェクトツリー更新部１７が、オブジェクトツリーを構成するオブジェクトを生成してオブジェクトツリーを更新するので、オブジェクトツリーを適切に管理することができる。
【符号の説明】
【００７２】
１０、１００    通信装置
１３、１３０    パターンファイル記憶部
１７    オブジェクトツリー更新部
１１０    通信部
１２０    検査部
１４０    マッチング数カウンタ
１５０    マッチング履歴記憶部
１６０、３１０    オブジェクトツリー記憶部
１７０    分析モジュール
２０１、２０２、２０３    通信ネットワーク
３００    管理装置
【図１】
2018085616.tif 000003
【図２】
2018085616.tif 000004
【図３】
2018085616.tif 000005
【図４】
2018085616.tif 000006
【図５】
2018085616.tif 000007
【図６】
2018085616.tif 000008
【図７】
2018085616.tif 000009
【図８】
2018085616.tif 000010