(57)【要約】【課題】トラフィックに与える影響を抑制しつつ、ルーターに接続された装置を監視する。【解決手段】ネットワーク監視装置１０は、ルーター２０に接続する接続部１１と、ネットワーク監視装置１０と同一セグメントに設置され、ネットワーク監視装置１０を介さずにルーター２０に接続された他の装置からの応答を、接続部１１を介して要求する要求部１２と、この要求に対する応答を、接続部１１を介して取得する取得部１３と、取得部１３により取得された応答に応じた情報を出力する出力部１６とを有する。【選択図】図２
2018023053.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク監視装置であって、
ルーターに接続する接続部と、
前記ネットワーク監視装置と同一セグメントに設置され、当該ネットワーク監視装置を介さずに前記ルーターに接続された他の装置からの応答を、前記接続部を介して要求する要求部と、
前記要求に対する応答を、前記接続部を介して取得する取得部と、
前記取得部により取得された応答に応じた情報を出力する出力部と
を有するネットワーク監視装置。
【請求項２】
前記他の装置は、前記ネットワーク監視装置とレイヤ２接続された装置である
ことを特徴とする請求項１に記載のネットワーク監視装置。
【請求項３】
前記出力部は、外部ネットワーク上のサーバに前記接続部および前記ルーターを介して前記情報を出力する
ことを特徴とする請求項１または２に記載のネットワーク監視装置。
【請求項４】
前記サーバと仮想プライベートネットワーク接続を確立する確立部を有し、
前記出力部は、前記仮想プライベートネットワーク接続を介して前記情報を出力する
ことを特徴とする請求項３に記載のネットワーク監視装置。
【請求項５】
サーバと、
前記サーバとルーターを介して接続され、前記ルーターと接続された他の装置を監視するネットワーク監視装置と
を有し、
前記ネットワーク監視装置は、
前記ルーターに接続する接続部と、
前記ネットワーク監視装置と同一セグメントに設置され、当該ネットワーク監視装置を介さずに前記ルーターに接続された他の装置からの応答を、前記接続部を介して要求する要求部と、
前記要求に対する応答を、前記接続部を介して取得する取得部と、
前記取得部により取得された応答に応じた情報を出力する出力部と
を有し、
前記サーバは、
前記ネットワーク監視装置から前記応答に応じた情報を取得する取得部と、
前記応答に応じた情報を通知する通知部と
を有する
ネットワーク監視システム。
【請求項６】
サーバ、および当該サーバとルーターを介して接続され、当該ルーターと接続された他の装置を監視するネットワーク監視装置を有するシステムにおけるネットワーク監視方法であって、
前記ネットワーク監視装置が、当該ネットワーク監視装置と同一セグメントに設置され、当該ネットワーク監視装置を介さずに前記ルーターに接続された他の装置からの応答を要求するステップと、
前記ネットワーク監視装置が、前記要求に対する応答を取得するステップと、
前記ネットワーク監視装置が、前記取得された応答に応じた情報を出力するステップと、
前記サーバが、前記ネットワーク監視装置から前記応答に応じた情報を取得するステップと、
前記サーバが、前記応答に応じた情報を通知するステップと
を有するネットワーク監視方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ルーターに接続された装置を監視する技術に関する。
【背景技術】
【０００２】
ネットワークに接続された装置を監視する技術が知られている。例えば特許文献１には、無線ＬＡＮが構築されている環境において、アクセスポイントとルーターとの間に直列に配置された装置が、ケーブル上を流れるデータをリアルタイムに分析する技術が記載されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００５−９４１６４号公報
【特許文献２】特表２０１２−５０６６４４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
特許文献１および２に記載された技術はいずれも、ルーターとアクセスポイントとの間に直列に監視装置を接続するものであり、ネットワークのトラフィックが監視装置の性能により制限されてしまうという問題があった。
【０００５】
これに対し本発明は、トラフィックに与える影響を抑制しつつ、ルーターに接続された装置を監視する技術を提供する。
【課題を解決するための手段】
【０００６】
本発明は、ネットワーク監視装置であって、ルーターに接続する接続部と、前記ネットワーク監視装置と同一セグメントに設置され、当該ネットワーク監視装置を介さずに前記ルーターに接続された他の装置からの応答を、前記接続部を介して要求する要求部と、前記要求に対する応答を、前記接続部を介して取得する取得部と、前記取得部により取得された応答に応じた情報を出力する出力部とを有するネットワーク監視装置を提供する。
【０００７】
前記他の装置は、前記ネットワーク監視装置とレイヤ２接続された装置であってもよい。
【０００８】
前記出力部は、外部ネットワーク上のサーバに前記接続部および前記ルーターを介して前記情報を出力してもよい。
【０００９】
このネットワーク監視装置は、前記サーバと仮想プライベートネットワーク接続を確立する確立部を有し、前記出力部は、前記仮想プライベートネットワーク接続を介して前記情報を出力してもよい。
【００１０】
また、本発明は、サーバと、前記サーバとルーターを介して接続され、前記ルーターと接続された他の装置を監視するネットワーク監視装置とを有し、前記ネットワーク監視装置は、前記ルーターに接続する接続部と、前記ネットワーク監視装置と同一セグメントに設置され、当該ネットワーク監視装置を介さずに前記ルーターに接続された他の装置からの応答を、前記接続部を介して要求する要求部と、前記要求に対する応答を、前記接続部を介して取得する取得部と、前記取得部により取得された応答に応じた情報を出力する出力部とを有し、前記サーバは、前記ネットワーク監視装置から前記履歴を取得する取得部と、前記履歴に応じた情報を通知する通知部とを有するネットワーク監視システム。
【００１１】
さらに、本発明は、サーバ、および当該サーバとルーターを介して接続され、当該ルーターと接続された他の装置を監視するネットワーク監視装置を有するシステムにおけるネットワーク監視方法であって、前記ネットワーク監視装置が、当該ネットワーク監視装置と同一セグメントに設置され、当該ネットワーク監視装置を介さずに前記ルーターに接続された他の装置からの応答を要求するステップと、前記ネットワーク監視装置が、前記要求に対する応答を取得するステップと、前記ネットワーク監視装置が、前記取得された応答に応じた情報を出力するステップと、前記サーバが、前記ネットワーク監視装置から前記応答に応じた情報を取得するステップと、前記サーバが、前記応答に応じた情報を通知するステップとを有するネットワーク監視方法を提供する。
【発明の効果】
【００１２】
本発明によれば、トラフィックに与える影響を抑制しつつ、ルーターに接続された装置を監視することができる。
【図面の簡単な説明】
【００１３】
【図１】一実施形態に係るネットワーク監視システム１の構成を例示する図。
【図２】監視装置１０の機能構成を例示する図。
【図３】サーバ４０の機能構成を例示する図。
【図４】監視装置１０のハードウェア構成を例示する図。
【図５】サーバ４０のハードウェア構成を例示する図。
【図６】監視装置１０の動作を例示するシーケンスチャート。
【図７】サーバ４０の動作を例示するシーケンスチャート。
【図８】接続装置情報を例示する図。
【図９】通信ログを例示する図。
【図１０】比較例に係るネットワーク監視システムの構成を例示する図。
【発明を実施するための形態】
【００１４】
１．構成
図１は、一実施形態に係るネットワーク監視システム１の構成を例示する図である。ネットワーク監視システム１は、監視装置１０、ルーター２０、複数の無線ＡＰ（Access Point：アクセスポイント）３０、およびサーバ４０を有する。無線ＡＰ３０は、Ｗｉ−Ｆｉ（登録商標）等の無線ＬＡＮ（Local Area Network）におけるアクセスポイントとして機能する通信装置である。少なくとも一部の無線ＡＰ３０には、通信装置（図１の例ではＰＣ（Personal Computer）９１、ＰＣ９２、およびスマートフォン９３）が接続されている。これらの通信装置は、無線ＡＰ３０およびルーター２０を介してインターネット等の外部ネットワーク５０に接続される。
【００１５】
ルーター２０および無線ＡＰ３０は、例えば、ホテルの館内に設置される。このホテルの事業者は、無線ＬＡＮによるインターネットアクセスを宿泊客に提供するため、この公衆ネットワークを導入している。しかしこの公衆ネットワークは、悪意ある者により以下のような不正使用をされる可能性がある。悪意ある者は、例えば、このホテルにチェックインし、客室内に隠しカメラを設置する。悪意ある者はこの隠しカメラを客室内に残したままチェックアウトする。この隠しカメラは無線ＬＡＮにアクセスする機能を有しており、悪意ある者がチェックアウトした後も撮影した映像を継続的にインターネットに送信する。別の例で、悪意ある者は、ホテルの館内においてルーターが設置してある部屋に侵入し、自らが持ち込んだコンピュータを直接、ルーターに接続する。このコンピュータには例えばサイバー攻撃を行うためのプログラムがインストールされており、このコンピュータは、悪意ある者がホテルを立ち去った後に標的に対しサイバー攻撃を行う。
【００１６】
このような不正使用は、ホテルの信用を悪化させるだけでなく、社会問題をも招く可能性がある。本実施形態はこの問題に対処するため、ネットワークを監視し、不正使用を検知するための技術を提供する。ネットワーク監視システム１は、ネットワーク監視サービスを提供するためのシステムである。
【００１７】
なお図１では説明を簡単にするためルーター２０および監視装置１０をそれぞれ１台しか図示していないが、ネットワーク監視システム１は、複数組のルーター２０および監視装置１０を有していてもよい。
【００１８】
図２は、監視装置１０の機能構成を例示する図である。監視装置１０は、ルーター２０に接続されている通信装置を監視するための通信装置であり、ネットワーク監視装置の一例である。監視装置１０は、接続部１１、要求部１２、取得部１３、記憶部１４、確立部１５、および出力部１６を有する。接続部１１は、ルーター２０と接続する。要求部１２は、ルーター２０に接続された他の装置からの応答を要求する。この例で、「他の装置」とは、例えば無線ＡＰ３０と無線アクセスを確立している装置であり、例えば、ノートＰＣ、タブレット端末、またはスマートフォンである。監視装置１０は、これらの装置に並列に接続されており、換言すると、これらの他の装置は、監視装置１０を介さずにルーター２０に接続されている。取得部１３は、この要求に対する応答を、接続部１１を介して取得する。記憶部１４は、取得部１３により取得された応答を少なくとも一時的に記憶する。確立部１５は、サーバ４０とＶＰＮ（Virtual Private Network：仮想プライベートネットワーク）接続を確立する。出力部１６は、確立部１５により確立されたＶＰＮ接続を介して、取得部１３により取得された応答に応じた情報を出力する。取得された応答に応じた情報とは、取得された応答の少なくとも一部を含む情報をいい、具体的には、あるタイミングで取得された応答そのもの又は応答から特定の一部を抽出した情報、若しくは複数のタイミングで取得された応答（の一部）の履歴をいう。
【００１９】
図３は、サーバ４０の機能構成を例示する図である。サーバ４０は、監視装置１０から出力された情報を蓄積および解析し、その結果を必要に応じてユーザに通知する。サーバ４０は、取得部４１、解析部４２、通知部４３、および記憶部４４を有する。取得部４１は、監視装置１０から他の装置の応答の履歴を取得する。解析部４２は、取得部４１により取得された履歴を解析し、装置の不正使用を検知する。通知部４３は、他の装置の応答の履歴に応じた情報として、解析部４２による解析結果を所定の装置またはユーザに通知する。
【００２０】
図４は、監視装置１０のハードウェア構成を例示する図である。監視装置１０は、ＣＰＵ（Central Processing Unit）１０１、メモリ１０２、ストレージ１０３、およびＮＩＣ（Network Interface Controller）１０４を有するコンピュータ装置である。ＣＰＵ１０１は、プログラムを実行して各種の演算を行うプロセッサである。メモリ１０２は、ＣＰＵ１０１がプログラムを実行する際のワークエリアとして機能する記憶装置であり、例えばＲＯＭ（Read Only Memory）およびＲＡＭ（Random Access Memory）を含む。ストレージ１０３は、各種のプログラムおよびデータを記憶する不揮発性の記憶装置であり、例えばＨＤＤ（Hard Disk Drive）およびＳＳＤ（Solid State Drive）の少なくとも一方を含む。ＮＩＣ１０４は、所定の規格（例えばイーサネット（登録商標））に従って他の装置と通信をするための装置である。
【００２１】
この例で、ストレージ１０３は、コンピュータ装置を監視装置１０として機能させるためのプログラム（以下「監視端末プログラム」という）を記憶している。ＣＰＵ１０１が監視端末プログラムを実行することにより、図２に示される機能が実装される。監視端末プログラムを実行しているＣＰＵ１０１は、要求部１２、取得部１３、確立部１５、および出力部１６の一例である。ＮＩＣ１０４は、接続部１１の一例である。メモリ１０２およびストレージ１０３の少なくとも一方は、記憶部１４の一例である。
【００２２】
図５は、サーバ４０のハードウェア構成を例示する図である。サーバ４０は、ＣＰＵ４０１、メモリ４０２、ストレージ４０３、およびＮＩＣ４０４を有するコンピュータ装置である。各要素の詳細は監視装置１０と同様である。この例で、ストレージ４０３は、コンピュータ装置をネットワーク監視システム１のサーバ４０として機能させるためのプログラム（以下「サーバプログラム」という）を記憶している。ＣＰＵ４０１がサーバプログラムを実行することにより、図３に示される機能が実装される。サーバプログラムを実行しているＣＰＵ４０１は、取得部４１、解析部４２、および通知部４３の一例である。メモリ４０２およびストレージ４０３は、記憶部４４の一例である。
【００２３】
２．動作
図６は、監視装置１０の動作を例示するシーケンスチャートである。図６の処理は、例えば、監視装置１０の電源が投入されたことを契機として開始される。以下の説明において要求部１２等の機能要素を処理の主体として記載するが、これは、監視端末プログラム等のソフトウェアを実行するＣＰＵ１０１等のハードウェア要素が他のハードウェア要素と協働して処理を行うことを意味する。図６の処理の開始前において、接続部１１はルーター２０に物理的に接続されている。また、他の通信装置（ＰＣ９１、ＰＣ９２、およびスマートフォン９３）と無線ＡＰ３０との間で無線ＬＡＮ接続が確立されている（図６では１台の無線ＡＰ３０およびＰＣ９１のみ図示する）。
【００２４】
ステップＳ１１において、確立部１５は、サーバ４０との間でＶＰＮ接続を確立する。このＶＰＮ接続は、監視装置１０からサーバ４０へデータをアップロードするために用いられる。このＶＰＮ接続は、例えば、監視装置１０の電源が投入されてから切断されるまで継続的に確立される。
【００２５】
ステップＳ１２において、要求部１２は、ルーター２０に接続されている他の装置に対して応答を要求する。一例として、要求部１２は、ｐｉｎｇ命令を出力する。ｐｉｎｇ命令（ｐｉｎｇ要求）は、ノードへの到達性を確認するための命令である。要求部１２は、監視装置１０と同じセグメントに属する全ての装置に対しｐｉｎｇ命令を送信する。例えば、監視装置１０に割り当てられたＩＰ（Internet Protocol）アドレスが「１９２．１６８．１．１０」であった場合、要求部１２は、「１９２．１６８．１．０」から「１９２．１６８．１．２５５」までの２５６個のＩＰアドレスのそれぞれを宛先としてｐｉｎｇ命令を送信する。ルーター２０に接続されている装置は、全て同じセグメントに属する。これら２５６個のＩＰアドレスは、ルーター２０に接続されている可能性のある装置に割り当てられたＩＰアドレスである。なお、無線ＡＰ３０のＩＰアドレスが既知である場合、要求部１２は、既知のＩＰアドレスを要求の送信先から除外してもよい。
【００２６】
ルーター２０に現に接続されている全ての装置は、受信したｐｉｎｇ命令に対する応答を、ｐｉｎｇ命令の送信元の装置（この例では監視装置１０）に送信する。ここで、ルーター２０に接続されている他の装置（無線ＡＰ３０、ＰＣ９１、ＰＣ９２、およびスマートフォン９３）と監視装置１０とは、いわゆるレイヤ２接続されている。レイヤ２において、これらの装置間で送受信される信号はフレーム形式を有しており、各フレームは送信元ＭＡＣ（Media Access Control）アドレスを含んでいる。送信元ＭＡＣアドレスは、ルーター２０に接続されている装置を一意に特定する識別情報の一例である。また、各装置から送信される応答は、その装置に割り当てられているＩＰアドレスをデータとして含んでいる。例えば、複数の無線ＡＰ３０、および無線ＡＰ３０に接続されている通信装置（図１の例ではＰＣ９１、ＰＣ９２、およびスマートフォン９３）は、いずれもｐｉｎｇ命令に対する応答を送信する。この応答は、監視装置１０からの要求に対する応答の一例である。どの装置にも割り当てられていないＩＰアドレスを宛先とするｐｉｎｇ命令に対しては、応答する装置が存在しないので応答は送信されない。
【００２７】
ステップＳ１３において、取得部１３は、ステップＳ１２において送信された要求に対応する応答を取得すなわち受信する。取得部１３は、受信した応答からレイヤ２におけるフレームに含まれる送信元ＭＡＣアドレスを抽出する。さらに取得部１３は、受信した応答からレイヤ２またはより上位のレイヤにおけるデータに含まれるＩＰアドレスを抽出する。取得部１３は、送信元ＭＡＣアドレスおよびＩＰアドレスを対応付けて記憶部１４に記憶する。
【００２８】
ステップＳ１４において、要求部１２は、無線ＡＰ３０に対してログを要求する。無線ＡＰ３０は、無線ＬＡＮ接続した通信装置を特定する情報（例えばＭＡＣアドレス）のログ（履歴）を記憶している。無線ＡＰ３０は、所定のログイン情報（例えばユーザ名およびパスワード）を用いてログインしてきた装置からの指示に応じて、記憶しているログを出力する。このログは、監視装置１０からの要求に対する応答の別の例である。監視装置１０の記憶部１４には、複数の無線ＡＰ３０にログインするための情報、具体的には、各無線ＡＰ３０のＩＰアドレスおよびログイン情報が記憶されている。これらの情報は、ネットワークに監視装置１０を設置する際に、設置事業者により記憶部１４に書き込まれる。要求部１２は、記憶部１４に記憶されている情報を用いて、ＩＰアドレスが既知の無線ＡＰ３０に対し、ログインを要求する。無線ＡＰ３０にログインすると、要求部１２は、ログのダウンロードを無線ＡＰ３０に要求する。要求部１２からの要求を受けて、無線ＡＰ３０は、通信のログを監視装置１０に送信する（ステップＳ１５）。監視装置１０は、受信したログを記憶部１４に記憶する。
【００２９】
記憶部１４には、ステップＳ１３において取得された、ルーター２０に接続されている装置のＭＡＣアドレスおよびＩＰアドレスを示す情報、およびステップＳ１４において取得された、無線ＡＰ３０からダウンロードしたログが記憶される。以下、前者を「接続装置情報」といい、後者を「通信ログ」という。すなわち記憶部１４には、接続機器情報および通信ログが記憶される。両者をまとめて「対象データ」という。
【００３０】
ステップＳ１６において、要求部１２は、前回、応答の要求を送信してから所定の時間が経過したか判断する。要求を送信してからまだ所定の時間が経過していないと判断された場合（Ｓ１６：ＮＯ）、要求部１２は、所定の時間が経過するまで待機する。要求を送信してから所定の時間が経過したと判断された場合（Ｓ１６：ＹＥＳ）、要求部１２は、処理をステップＳ１２に移行する。こうして、対象データが定期的に取得される。
【００３１】
ステップＳ１７において、出力部１６は、サーバ４０への対象データの送信条件が満たされたか判断する。データの送信条件は、例えば、前回、サーバ４０に対象データを送信してから所定の時間が経過したという条件である。例えば、対象データの送信条件における「所定の時間」は、ＭＡＣアドレスの定期的な取得における「所定の時間」（ステップＳ１６）と同じである。この場合、出力部１６は、対象データを取得するたびに、取得された対象データをサーバ４０に送信する。あるいは、ステップＳ１７における「所定の時間」はステップＳ１６における「所定の時間」よりも長くてもよい。この場合、記憶部１４には複数時刻において取得された対象データの履歴が記憶され、出力部１６はこの履歴をサーバ４０に送信する。あるいは、対象データの送信条件は、未送信のデータ量がしきい値を超えたという条件であってもよい。さらに別の例で、対象データの送信条件は、ユーザまたはサーバ４０から指示を受けたという条件であってもよい。データの送信条件が満たされていないと判断された場合（Ｓ１７：ＮＯ）、出力部１６は、送信条件が満たされるまで待機する。対象データの送信条件が満たされたと判断された場合（Ｓ１７：ＹＥＳ）、出力部１６は、処理をステップＳ１８に移行する。
【００３２】
ステップＳ１８において、出力部１６は、未送信のデータ、例えば、ステップＳ１３において取得された最新の対象データを、ステップＳ１１において確立されたＶＰＮ接続を介してサーバ４０に出力すなわち送信する。サーバ４０に送信されるデータは、記憶部１４に記憶されている対象データに加え、監視装置１０を識別するための識別情報を含む。
【００３３】
図７は、サーバ４０の動作を例示するシーケンスチャートである。ステップＳ２１において、取得部４１は、監視装置１０から対象データを取得すなわち受信する。取得部４１は、取得した対象データを記憶部４４に記憶する。
【００３４】
図８は、対象データのうち接続装置情報を例示する図である。監視装置１０から定期的に対象データがアップロードされるので、記憶部４４には、ルーター２０に接続されている装置からの応答の履歴に相当するデータが記憶される。この履歴は、タイムスタンプ、ＭＡＣアドレス、およびＩＰアドレスを含む。タイムスタンプは、例えば、監視装置１０からデータを受信した時刻を示しており、これはＭＡＣアドレスが取得された時刻（ルーター２０との接続が確認された時刻）にほぼ相当する。
【００３５】
図９は、対象データのうち通信ログを例示する図である。通信ログは、タイムスタンプ、無線ＡＰの識別情報（ＩＰアドレス）、通信装置の識別情報（ＭＡＣアドレス）、および状態を含む。通信ログに記録される状態とは通信に関する状態であり、例えば、通信開始、通信終了（コネクション切断）、タイムアウト、認証完了等の情報を含む。例えば、この例の第１行は、ＩＰアドレス「１９２．１６８．１．１０」の無線ＡＰ３０がＭＡＣアドレス「１２：３４：５６：７８：９ａ」を有する通信装置と２０１６年７月３１日の１２：２６：２５に通信を開始したことを示している。
【００３６】
再び図７を参照する。ステップＳ２２において、解析部４２は、取得部４１により取得された対象データを解析し、ネットワークの不正使用を検知する。解析部４２は所定のアルゴリズムにより不正使用を検知する。その概要は例えば以下のとおりである。解析部４２は、例えば通信ログを解析し、通信ログに含まれるＭＡＣアドレスの各々について、不正使用の判定条件を満たすか判断する。不正使用の判定条件は、一例としては、同一の通信装置との通信がしきい値時間以上、継続して検知されたという条件である。あるいは、解析部４２は、通信ログと接続装置情報とを対比する。接続情報には含まれるが通信ログには含まれないＭＡＣアドレスが存在する場合、そのＭＡＣアドレスは、無線ＡＰ３０を介さずにルーター２０に接続されている通信装置のＭＡＣアドレスである可能性がある。解析部４２は、解析結果を記憶部４４に記憶する。
【００３７】
ステップＳ２３において、通知部４３は、解析結果を通知する。通知部４３は、解析結果を、例えば、サーバ４０のオペレータ（ネットワーク監視サービスの提供事業者）に通知する。この場合においてサーバ４０は表示装置を有しており、この表示装置に解析結果を表示することにより、サーバ４０にオペレータに解析結果を通知する。例えばこの解析結果が、不正使用が検知されたことを示すものであった場合、サーバ４０のオペレータは、ホテルの係員に電話する等の方法により、ホテルに対して解析結果を通知する。あるいは、通知部４３は、解析結果を含む電子メールをあらかじめ登録されたホテルの係員のアドレス宛に送信することにより、解析結果を通知してもよい。あるいは、通知部４３は、解析結果を示すウェブページを表示するためのデータを生成してもよい。この場合、通知部４３は、ホテルの係員のクライアント端末（図示略）からのアクセスに応じて、そのクライアント端末に対してウェブページのデータを送信する。クライアント端末は、解析結果を示すウェブページを表示する。このウェブページは、例えば、どの無線ＡＰ３０にどのＭＡＣアドレスおよびＩＰアドレスを有する装置が接続されているか、さらに、各通信装置が通信を行っていた時間を示す情報を含む。
【００３８】
図１０は、比較例に係るネットワーク監視システムの構成を例示する図である。この例では、監視装置８０は、ルーター２０と無線ＡＰ３０との間に直列に接続されている。このような構成によれば、監視装置８０はルーター２０を流れる実トラフィックを捕捉することができ、トラフィックに基づいてネットワークの不正使用を検知することができる。しかし、この構成では、ネットワークをトラフィックは監視装置８０の性能に影響され、監視装置８０がボトルネックとなって無線ＬＡＮサービスの帯域が低下してしまうという問題が発生するおそれがある。これに対し本実施形態においては、監視装置１０が監視対象の装置に対して並列にルーター２０に接続されているので、監視装置１０による帯域の低下という問題は生じ得ない。すなわち本実施形態によれば、トラフィックに与える影響を抑制しつつ、ルーター２０に接続された装置を監視することができる
【００３９】
３．変形例
本発明は上述の実施形態に限定されるものではなく、種々の変形実施が可能である。以下、変形例をいくつか説明する。以下の変形例のうち２つ以上のものが組み合わせて用いられてもよい。
【００４０】
記憶部１４に記憶されているデータを監視装置１０の出力部１６が出力する出力先の装置はサーバ４０に限定されない。例えば、監視装置１０は、表示装置を有しており、出力部１６は、この表示装置に、ルーター２０に接続されている装置の履歴を表示させるためのデータを出力してもよい。この場合、表示装置に表示された情報を見るホテルの係員が、不正使用の有無を判断する。あるいは、出力部１６は、ルーター２０に接続された、ホテルの管理用のＰＣに対し記憶部１４に記憶されているデータを出力してもよい。
【００４１】
監視装置１０およびサーバ４０の機能構成は実施形態で例示したものに限定されない。図２および図４で例示した機能の一部が省略されてもよいし、図２および図４に無い機能が追加されてもよい。例えば、監視装置１０は、確立部１５を有していなくてもよい。すなわち、記憶部１４に記憶されている履歴を含むデータは、ＶＰＮ接続を介さずに出力されてもよい。あるいは、サーバ４０は、解析部４２を有していなくてもよい。この場合、サーバ４０の通知部４３は、不正使用の検知結果ではなく、単にルーター２０に接続されている装置の履歴を示すデータを通知してもよい。
【００４２】
監視装置１０とサーバ４０との機能の分担は、実施形態で例示したものに限定されない。例えば、実施形態においてサーバ４０の機能として説明した解析部４２に相当する機能を、監視装置１０が有してもよい。この場合、出力部１６は、記憶部１４に記憶されている履歴を含むデータをサーバ４０に送信するのではなく、解析部に対して出力する。解析部はデータを解析し、不正使用を通知する。不正使用が検知された場合、その旨が通知される。すなわち、不正使用の検知は、サーバ４０が行うのではなく、監視装置１０が行ってもよい。
【００４３】
ルーター２０に接続されている他の装置のＭＡＣアドレスを取得する具体的方法は実施形態で例示したものに限定されない。例えば、要求部１２は、ｐｉｎｇ命令に代えて、または加えて、ＡＲＰ（Address Resolution Protocol）要求を用いて他の装置のＭＡＣアドレスを取得してもよい。
【００４４】
監視装置１０の具体的な動作は図６で例示したものに限定されない。例えば確立部１５がサーバ４０とＶＰＮ接続を確立するタイミングは実施形態で例示したものに限定されない。例えば、出力部１６は１日に１回といったような比較的長い時間間隔でデータをサーバ４０に送信し、確立部１５はデータ送信のタイミングに合わせてサーバ４０とＶＰＮ接続を確立してもよい。また、ステップＳ１６の判断とステップＳ１７の判断とが統合されてもよい。すなわち、前回、ｐｉｎｇ命令が出力されてから所定の時間が経過したことを契機として出力部１６はデータを出力し、要求部１２は次のｐｉｎｇ命令を出力してもよい。
【００４５】
監視装置１０からサーバ４０にアップロードされる対象データは実施形態で例示したものに限定されない。対象データは、例えば、接続装置情報および通信ログのいずれか一方のみを含んでもよい。この場合、監視装置１０は、サーバ４０にアップロードされないデータを取得しなくてもよい。
【００４６】
解析部４２による不正使用の具体的判定方法は実施形態で例示したものに限定されない。実施形態はあくまで一例である。また、解析部４２は、監視装置１０からアップロードされる対象データ以外の情報を不正使用の判定に用いてもよい。例えば、解析部４２はホテルの部屋の稼働状況を示す情報を取得し、この情報を考慮して不正使用を判定する。具体的には、宿泊客が滞在している部屋に対応する無線ＡＰ３０に接続されている通信装置は不正使用からの判断対象から除外され、宿泊客が滞在していない部屋に対応する無線ＡＰ３０に接続されている通信装置のみが不正使用の判断対象となる。
【００４７】
監視装置１０およびサーバ４０のハードウェア構成は、実施形態において例示したものに限定されない。要求した機能を実現できるものであれば、これらの装置はどのようなハードウェア構成を有していてもよい。
【００４８】
ネットワーク監視システム１の適用先は、ホテルに限定されない。オフィス、学校、駅、空港、飲食店等、ホテル以外の環境にネットワーク監視システム１が適用されてもよい。
【００４９】
監視装置１０またはサーバ４０において実行されるプログラムは、磁気記録媒体（磁気テープ、磁気ディスク（ＨＤＤ、ＦＤ（Flexible Disk））など）、光記録媒体（光ディスク（ＣＤ（Compact Disk）、ＤＶＤ（Digital Versatile Disk））など）、光磁気記録媒体、半導体メモリ（フラッシュＲＯＭなど）などのコンピュータ読取り可能な記録媒体に記憶した状態で提供されてもよい。また、このプログラムは、インターネットのようなネットワーク経由でダウンロードされてもよい。
【符号の説明】
【００５０】
１…ネットワーク監視システム、１０…監視装置、１１…接続部、１２…要求部、１３…取得部、１４…記憶部、１５…確立部、１６…出力部、２０…ルーター、３０…無線ＡＰ、４０…サーバ、４１…取得部、４２…解析部、４３…通知部、５０…外部ネットワーク、９１…ＰＣ、９２…ＰＣ、９３…スマートフォン、１０１…ＣＰＵ、１０２…メモリ、１０３…ストレージ、１０４…ＮＩＣ、４０１…ＣＰＵ、４０２…メモリ、４０３…ストレージ、４０４…ＮＩＣ
【図１】
2018023053.tif 000003
【図２】
2018023053.tif 000004
【図３】
2018023053.tif 000005
【図４】
2018023053.tif 000006
【図５】
2018023053.tif 000007
【図６】
2018023053.tif 000008
【図７】
2018023053.tif 000009
【図８】
2018023053.tif 000010
【図９】
2018023053.tif 000011
【図１０】
2018023053.tif 000012
【手続補正書】
【提出日】平成28年11月7日(2016.11.7)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
ネットワーク監視装置であって、
自機のＩＰアドレスを記憶する記憶部と、
ルーターに接続する接続部と、
前記記憶部に記憶されているＩＰアドレスと同一セグメントに属するＩＰアドレスに対し、前記ネットワーク監視装置を介さずに前記ルーターに接続された他の装置からの応答を、前記接続部を介して要求する要求部と、
前記要求に対する応答を、前記接続部を介して取得する取得部と、
前記取得部により取得された応答に応じた情報を出力する出力部と
を有するネットワーク監視装置。
【請求項２】
前記他の装置は、前記ネットワーク監視装置とレイヤ２接続された装置である
ことを特徴とする請求項１に記載のネットワーク監視装置。
【請求項３】
前記出力部は、外部ネットワーク上のサーバに前記接続部および前記ルーターを介して前記情報を出力する
ことを特徴とする請求項１または２に記載のネットワーク監視装置。
【請求項４】
前記サーバと仮想プライベートネットワーク接続を確立する確立部を有し、
前記出力部は、前記仮想プライベートネットワーク接続を介して前記情報を出力する
ことを特徴とする請求項３に記載のネットワーク監視装置。
【請求項５】
サーバと、
前記サーバとルーターを介して接続され、前記ルーターと接続された他の装置を監視するネットワーク監視装置と
を有し、
前記ネットワーク監視装置は、
自機のＩＰアドレスを記憶する記憶部と、
前記ルーターに接続する接続部と、
前記記憶部に記憶されているＩＰアドレスと同一セグメントに属するＩＰアドレスに対し、前記ネットワーク監視装置を介さずに前記ルーターに接続された他の装置からの応答を、前記接続部を介して要求する要求部と、
前記要求に対する応答を、前記接続部を介して取得する取得部と、
前記取得部により取得された応答に応じた情報を出力する出力部と
を有し、
前記サーバは、
前記ネットワーク監視装置から前記応答に応じた情報を取得する取得部と、
前記応答に応じた情報を通知する通知部と
を有する
ネットワーク監視システム。
【請求項６】
サーバ、および当該サーバとルーターを介して接続され、当該ルーターと接続された他の装置を監視するネットワーク監視装置を有するシステムにおけるネットワーク監視方法であって、
前記ネットワーク監視装置が、自機のＩＰアドレスを記憶部に記憶するステップと、
前記ネットワーク監視装置が、前記記憶部に記憶されているＩＰアドレスと同一セグメントに属するＩＰアドレスに対し、前記ネットワーク監視装置を介さずに前記ルーターに接続された他の装置からの応答を要求するステップと、
前記ネットワーク監視装置が、前記要求に対する応答を取得するステップと、
前記ネットワーク監視装置が、前記取得された応答に応じた情報を出力するステップと
、
前記サーバが、前記ネットワーク監視装置から前記応答に応じた情報を取得するステップと、
前記サーバが、前記応答に応じた情報を通知するステップと
を有するネットワーク監視方法。