(57)【要約】【課題】ネットワークにおいて検知された異常の原因となった端末を特定する。【解決手段】ゲートウェイ装置１０は、端末２０の端末アドレス及び識別情報を対応付けて取得する。また、ゲートウェイ装置１０は、端末２０から送信されたアクセス要求パケットを判定装置３０に転送し、判定装置３０が送信する応答パケットを端末２０に転送する。そして、判定装置３０は、ゲートウェイ装置１０によって転送されたパケットが異常であるか否かを判定し、判定結果を示す応答パケットを送信する。さらに、ゲートウェイ装置１０は、異常を示す応答パケットの転送時に、当該応答パケットの元になったパケットを送信した端末の識別情報を特定する。【選択図】図１
2019149740.tif 000002
【特許請求の範囲】
【請求項１】
第１のネットワーク及び第２のネットワークと接続されたゲートウェイ装置と、前記第１のネットワークに接続された判定装置と、を有する特定システムであって、
前記判定装置は、
前記ゲートウェイ装置によって転送されたアクセス要求パケットが異常であるか否かを判定する判定部と、
前記判定部による判定結果に応じた応答パケットを送信する応答部と、
を有し、
前記ゲートウェイ装置は、
前記第２のネットワークの端末から送信されたアクセス要求パケットを前記判定装置に転送し、前記応答部が送信する応答パケットを前記端末に転送する転送部と、
前記第２のネットワークの端末から送信されたパケットを基に、当該端末の端末アドレス及び識別情報を対応付けて取得する取得部と、
前記判定部によって前記アクセス要求パケットが異常であると判定された場合に、前記応答部によって送信された応答パケット及び前記取得部によって取得された前記アクセス要求パケットを送信した端末の端末アドレスを基に、前記アクセス要求パケットを送信した端末の識別情報を特定する特定部と、
を有することを特徴とする特定システム。
【請求項２】
第１のネットワーク及び第２のネットワークと接続されたゲートウェイ装置と、前記第１のネットワークに接続された判定装置と、を有する特定システムであって、
前記ゲートウェイ装置は、
前記第２のネットワークの端末から送信されたアクセス要求パケットを前記判定装置に転送する転送部と、
前記第２のネットワークの端末から送信されたパケットを基に、当該端末の端末アドレス及び識別情報を対応付けて取得する取得部と、
前記第２のネットワークの端末から送信され、前記転送部によって前記判定装置に転送されるアクセス要求パケットに、前記取得部によって取得された前記アクセス要求パケットを送信した端末の識別情報を挿入する挿入部と、
を有し、
前記判定装置は、
前記ゲートウェイ装置によって転送されたアクセス要求パケットが異常であるか否かを判定する判定部と、
前記判定部による判定結果に応じた応答パケットを送信する応答部と、
前記判定部によって前記アクセス要求パケットが異常であると判定された場合に、前記挿入部によって前記アクセス要求パケットに挿入された識別情報を、前記アクセス要求パケットを送信した端末の識別情報として特定する特定部と、
を有することを特徴とする特定システム。
【請求項３】
第１のネットワーク及び第２のネットワークと接続されたゲートウェイ装置と、前記第１のネットワークに接続された判定装置と、前記第１のネットワークに接続された管理装置と、を有する特定システムであって、
前記ゲートウェイ装置は、
前記第２のネットワークの端末から送信されたアクセス要求パケットを前記判定装置に転送する転送部と、
前記第２のネットワークの端末から送信されたパケットを基に、当該端末の端末アドレス及び識別情報を対応付けて取得する取得部と、
前記第２のネットワークの端末から送信され、前記転送部によって前記判定装置に転送されるアクセス要求パケットに、前記アクセス要求パケットを送信した端末の端末アドレスを挿入する挿入部と、
前記取得部によって取得された前記アクセス要求パケットを送信した端末の端末アドレス及び識別情報を前記管理装置に通知する第１の通知部と、
を有し、
前記判定装置は、
前記ゲートウェイ装置によって転送されたアクセス要求パケットが異常であるか否かを判定する判定部と、
前記判定部による判定結果に応じた応答パケットを送信する応答部と、
前記判定部によって前記アクセス要求パケットが異常であると判定された場合に、前記挿入部によって前記アクセス要求パケットに挿入された端末アドレスと、前記アクセス要求パケットの送信元アドレスと、を前記管理装置に通知する第２の通知部と、
を有し、
前記管理装置は、
前記判定部によって前記アクセス要求パケットが異常であると判定された場合に、前記第２の通知部によって通知された端末アドレス及び送信元アドレスと、前記第１の通知部によって通知された端末アドレス及び識別情報と、を基に、前記アクセス要求パケットを送信した端末の識別情報を特定する特定部を有することを特徴とする特定システム。
【請求項４】
第１のネットワーク及び第２のネットワークと接続されたゲートウェイ装置と、前記第１のネットワークに接続された判定装置と、前記第１のネットワークに接続された管理装置と、を有する特定システムであって、
前記ゲートウェイ装置は、
前記第２のネットワークの端末から送信されたアクセス要求パケットを前記判定装置に転送する転送部と、
前記第２のネットワークの端末から送信されたパケット及び当該端末の端末アドレスを前記管理装置に通知する第２の通知部と、
前記第２のネットワークの端末から送信され、前記転送部によって前記第１のネットワークに転送されるアクセス要求パケットに、前記アクセス要求パケットを送信した端末の端末アドレスを挿入する挿入部と、
を有し、
前記判定装置は、
前記ゲートウェイ装置によって転送されたアクセス要求パケットが異常であるか否かを判定する判定部と、
前記判定部による判定結果に応じた応答パケットを送信する応答部と、
前記判定部によって前記アクセス要求パケットが異常であると判定された場合に、前記挿入部によって前記アクセス要求パケットに挿入された端末アドレスと、前記アクセス要求パケットの送信元アドレスと、を前記管理装置に通知する第３の通知部と、
を有し、
前記管理装置は、
前記第２の通知部によって通知されたパケット及び端末アドレスを基に、パケットを送信した端末の端末アドレス及び識別情報を対応付けて取得する取得部と、
前記判定部によって前記アクセス要求パケットが異常であると判定された場合に、前記第３の通知部によって通知された端末アドレス及び送信元アドレスと、前記取得部によって取得された識別情報と、を基に、前記アクセス要求パケットを送信した端末の識別情報を特定する特定部と、
を有することを特徴とする特定システム。
【請求項５】
前記特定部は、特定した識別情報によって識別される端末のユーザに、当該端末から送信されたアクセス要求パケットが異常と判定された旨を通知することを特徴とする請求項１から４のいずれか１項に記載の特定システム。
【請求項６】
第１のネットワークに備えられた分析部をさらに有し、
前記分析部は、前記特定部によって特定された識別情報を基に、異常と判定されたアクセス要求パケットを送信した端末の傾向を分析することを特徴とする請求項１から５のいずれか１項に記載の特定システム。
【請求項７】
前記判定装置はＤＮＳ（Domain  Name  System）サーバであり、前記アクセス要求パケットはＤＮＳプロトコルの名前解決要求パケットであり、前記応答パケットはＤＮＳプロトコルの名前解決応答パケットであることを特徴とする請求項１から６のいずれか１項に記載の特定システム。
【請求項８】
第１のネットワーク及び第２のネットワークと接続されたゲートウェイ装置と、前記第１のネットワークに接続された判定装置と、を有する特定システムによって実行される特定方法であって、
前記ゲートウェイ装置が、前記第２のネットワークの端末から送信されたアクセス要求パケットを基に、当該端末の端末アドレス及び識別情報を対応付けて取得する取得工程と、
前記ゲートウェイ装置が、前記アクセス要求パケットを前記判定装置に転送する転送工程と、
前記判定装置が、前記ゲートウェイ装置によって転送されたアクセス要求パケットが異常であるか否かを判定する判定工程と、
前記判定装置が、前記判定工程における判定結果に応じた応答パケットを送信する応答工程と、
前記ゲートウェイ装置が、前記判定工程において前記アクセス要求パケットが異常であると判定された場合に、前記応答工程において送信された応答パケット及び前記取得工程において取得された前記端末の端末アドレスを基に、前記アクセス要求パケットを送信した端末の識別情報を特定する特定工程と、
を含むことを特徴とする特定方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、特定システム及び特定方法に関する。
【背景技術】
【０００２】
従来、端末のセキュリティ侵害による異常をネットワークにおいて検知し、異常と判断された端末を特定し、利用者に注意喚起する手法として、ＦＱＤＮ（Fully  Qualified  Domain  Name）やＵＲＩ（Uniform  Resource  Identifier）等の通信先のブラックリストを用いる手法が知られている。
【０００３】
端末は、マルウェア感染等のセキュリティ侵害により、悪性の通信先へのアクセスを試みることから、ネットワーク上のＤＮＳやＷｅｂプロキシ等のサーバが悪性のＦＱＤＮやＵＲＩ等の通信先をブラックリストとして保持し、端末による悪性の通信先へのアクセス試行時に異常を検知し、当該アクセスを行った端末を特定することが可能である。
【０００４】
例えば、端末のＷｅｂブラウザに専用のプラグインを導入することにより、悪性の通信先と通信したブラウザの画面ポップアップを通じて端末利用者に対して注意喚起を行う手法が知られている（例えば、非特許文献１を参照）。また、例えば、悪性の通信先のＦＱＤＮのＤＮＳ問合せの送信元ＩＰアドレスから通信事業者が利用者を特定し、電子メールにて注意喚起を行う手法が知られている（例えば、非特許文献２を参照）。
【先行技術文献】
【非特許文献】
【０００５】
【非特許文献１】総務省他  ACTIVE  マルウェア被害未然防止活動について、[online]、[平成３０年２月１７日検索]、インターネット（http://www.active.go.jp/active/damage_prevention.html）
【非特許文献２】NTTコミュニケーションズ  マルウェア不正通信ブロックサービス、[online]、[平成３０年２月１７日検索]、インターネット（http://www.ntt.com/personal/ocn-security/info/malware.html）
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、従来の方法には、ネットワークにおいて検知された異常の原因となった端末を特定することが困難な場合があるという問題がある。例えば、非特許文献１に記載の手法は、Ｗｅｂブラウザを利用するものであるため、Ｗｅｂブラウザの閲覧ができないＩｏＴ（Internet  of  Things）等に適用することが難しい。また、非特許文献２に記載の手法では、端末がＮＡＴ（Network  Address  Translation）やＤＮＳプロキシ等の機能を有するゲートウェイ装置を介してＤＮＳサーバにアクセスし、悪性の通信先へのアクセスを試行した場合に、送信元ＩＰアドレスからは、当該端末を特定できない場合がある。
【課題を解決するための手段】
【０００７】
上述した課題を解決し、目的を達成するために、本発明の特定システムは、第１のネットワーク及び第２のネットワークと接続されたゲートウェイ装置と、前記第１のネットワークに接続された判定装置と、を有する特定システムであって、前記判定装置は、前記ゲートウェイ装置によって転送されたアクセス要求パケットが異常であるか否かを判定する判定部と、前記判定部による判定結果に応じた応答パケットを送信する応答部と、を有し、前記ゲートウェイ装置は、前記第２のネットワークの端末から送信されたアクセス要求パケットを前記判定装置に転送し、前記応答部が送信する応答パケットを前記端末に転送する転送部と、前記第２のネットワークの端末から送信されたパケットを基に、当該端末の端末アドレス及び識別情報を対応付けて取得する取得部と、前記判定部によって前記アクセス要求パケットが異常であると判定された場合に、前記応答部によって送信された応答パケット及び前記取得部によって取得された前記アクセス要求パケットを送信した端末の端末アドレスを基に、前記アクセス要求パケットを送信した端末の識別情報を特定する特定部と、を有することを特徴とする。
【発明の効果】
【０００８】
本発明によれば、ネットワークにおいて検知された異常の原因となった端末を特定することができる。
【図面の簡単な説明】
【０００９】
【図１】図１は、第１の実施形態に係る特定システムの構成の一例を示す図である。
【図２】図２は、第１の実施形態に係るゲートウェイ装置の構成の一例を示す図である。
【図３】図３は、第１の実施形態に係る端末情報の一例を示す図である。
【図４】図４は、第１の実施形態に係る判定装置の構成の一例を示す図である。
【図５】図５は、第１の実施形態に係る管理装置の構成の一例を示す図である。
【図６】図６は、第１の実施形態に係るゲートウェイ装置の上りの転送処理の流れを示すフローチャートである。
【図７】図７は、第１の実施形態に係る判定装置の応答処理の流れを示すフローチャートである。
【図８】図８は、第１の実施形態に係るゲートウェイ装置の下りの転送処理の流れを示すフローチャートである。
【図９】図９は、第２の実施形態に係るゲートウェイ装置の構成の一例を示す図である。
【図１０】図１０は、第２の実施形態に係る判定装置の構成の一例を示す図である。
【図１１】図１１は、第２の実施形態に係るゲートウェイ装置の上りの転送処理の流れを示すフローチャートである。
【図１２】図１２は、第２の実施形態に係る判定装置の応答処理の流れを示すフローチャートである。
【図１３】図１３は、第３の実施形態に係るゲートウェイ装置の構成の一例を示す図である。
【図１４】図１４は、第３の実施形態に係る判定装置の構成の一例を示す図である。
【図１５】図１５は、第３の実施形態に係る管理装置の構成の一例を示す図である。
【図１６】図１６は、第３の実施形態に係るゲートウェイ装置の上りの転送処理の流れを示すフローチャートである。
【図１７】図１７は、第３の実施形態に係る判定装置の応答処理の流れを示すフローチャートである。
【図１８】図１８は、第３の実施形態に係る管理装置の特定処理の流れを示すフローチャートである。
【図１９】図１９は、第４の実施形態に係る管理装置の構成の一例を示す図である。
【図２０】図２０は、第４の実施形態に係るゲートウェイ装置の上りの転送処理の流れを示すフローチャートである。
【図２１】図２１は、第４の実施形態に係る管理装置の特定処理の流れを示すフローチャートである。
【図２２】図２２は、特定プログラムを実行するゲートウェイ装置、判定装置又は管理装置として機能するコンピュータの一例を示す図である。
【発明を実施するための形態】
【００１０】
以下に、本願に係る特定システム及び特定方法の実施形態を図面に基づいて詳細に説明する。なお、本発明は、以下に説明する実施形態により限定されるものではない。
【００１１】
［第１の実施形態］
［第１の実施形態の特定システムの構成］
まず、図１を用いて、第１の実施形態に係る特定システムの構成について説明する。図１は、第１の実施形態に係る特定システムの構成の一例を示す図である。図１に示すように、特定システム１は、ゲートウェイ装置１０、端末２０、判定装置３０及び管理装置４０を有する。
【００１２】
ゲートウェイ装置１０は、ネットワーク２とネットワーク３との間でパケットの転送を行う。判定装置３０は、パケットが異常であるか否かを判定する。例えば、判定装置３０は、悪性ＦＱＤＮリストをブラックリストとして保持するＤＮＳサーバである。例えば、ネットワーク２は、公衆ネットワークである。また、例えば、ネットワーク３は、ローカルネットワークである。また、ネットワーク２は、第１のネットワークの一例である。また、ネットワーク３は、第２のネットワークの一例である。
【００１３】
また、ネットワーク２には、複数のネットワーク３が接続されていてもよい。その場合、複数のネットワーク３のそれぞれには、ゲートウェイ装置１０が備えられている。また、ゲートウェイ装置１０に接続される端末２０の数は、図示のものに限られない。
【００１４】
［第１の実施形態のゲートウェイ装置の構成］
ここで、図２を用いて、ゲートウェイ装置１０の構成について説明する。図２は、第１の実施形態に係るゲートウェイ装置の構成の一例を示す図である。図２に示すようにゲートウェイ装置１０は、通信部１１、記憶部１２及び制御部１３を有する。
【００１５】
通信部１１は、ネットワークを介して、他の装置との間でデータ通信を行う。例えば、通信部１１はＮＩＣ（Network  Interface  Card）である。通信部１１は、ネットワーク２に接続された装置、及びネットワーク３に接続された装置との間で通信を行うことができる。
【００１６】
記憶部１２は、ＨＤＤ（Hard  Disk  Drive）、ＳＳＤ（Solid  State  Drive）、光ディスク等の記憶装置である。なお、記憶部１２は、ＲＡＭ（Random  Access  Memory）、フラッシュメモリ、ＮＶＳＲＡＭ（Non  Volatile  Static  Random  Access  Memory）等のデータを書き換え可能な半導体メモリであってもよい。記憶部１２は、ゲートウェイ装置１０で実行されるＯＳ（Operating  System）や各種プログラムを記憶する。さらに、記憶部１２は、プログラムの実行で用いられる各種情報を記憶する。また、記憶部１２は、端末情報１２１及び要求パケット情報１２２を記憶する。
【００１７】
図３は、第１の実施形態に係る端末情報の一例を示す図である。図３に示すように、端末情報１２１は、端末アドレスと識別情報の組である。なお、端末アドレス及び識別情報は、後に説明する取得部１３１等により取得される情報である。
【００１８】
端末アドレスは、端末２０を特定可能なアドレスである。例えば、端末アドレスは、ネットワーク３で使用されるローカルアドレスである。また、識別情報は、端末２０を識別するための情報である。例えば、識別情報は、製造メーカ、機種及び型番等のハードウェア情報を含む。また、例えば、識別情報は、ＯＳ、ファームウェア等のソフトウェア情報を含む。また、識別情報は、端末２０に設定されたホスト名等の情報を含む。
【００１９】
要求パケット情報１２２は、端末２０から送信され、ネットワーク２に転送されたアクセス要求パケットの送信元アドレスである。ここで、ネットワーク２に転送されたパケットの送信元アドレスは、前述の端末アドレスと異なり、所定のアドレスに変換されている場合がある。例えば、要求パケット情報１２２の送信元アドレスは、ゲートウェイ装置１０に割り当てられたグローバルアドレスである。
【００２０】
制御部１３は、ゲートウェイ装置１０全体を制御する。制御部１３は、例えば、ＣＰＵ（Central  Processing  Unit）、ＭＰＵ（Micro  Processing  Unit）等の電子回路や、ＡＳＩＣ（Application  Specific  Integrated  Circuit）、ＦＰＧＡ（Field  Programmable  Gate  Array）等の集積回路である。また、制御部１３は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部１３は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部１３は、取得部１３１、特定部１３２及び転送部１３３を有する。
【００２１】
取得部１３１は、ネットワーク３の端末２０から送信されたパケットを基に、当該端末２０の端末アドレス及び識別情報を対応付けて取得する。取得部１３１は、端末アドレス及び識別情報を、ゲートウェイ装置１０が端末２０に対して送信したパケットに対する応答パケットを基に取得してもよいし、端末２０が自発的に送信したパケットを基に取得してもよい。また、取得部１３１は、端末２０が送信したＵＰｎＰ（Universal  Plug  and  Play）のDescriptionメッセージを用いて端末アドレス及び識別情報を取得してもよいし、端末２０が送信したパケットとあらかじめ保持する辞書データを照合し、識別情報を取得してもよい。
【００２２】
特定部１３２は、異常と判定されたアクセス要求パケットを送信した端末の識別情報を特定する。まず、特定部１３２は、判定装置３０によってアクセス要求パケットが異常であると判定された場合に、判定装置３０によって送信された応答パケットの宛先アドレスを基に特定する。さらに、特定部１３２は、特定した宛先アドレス及び取得部１３１によって取得された端末２０の端末アドレスを基に、アクセス要求パケットを送信した端末２０の識別情報を特定する。
【００２３】
転送部１３３は、ネットワーク３の端末２０から送信されたアクセス要求パケットを判定装置３０に転送する。ここで、転送部１３３は、ネットワーク２の判定装置３０にパケットを転送する際に、送信元アドレスを変換する。また、転送部１３３は、判定装置３０が送信する応答パケットをネットワーク３の端末２０に転送する。ここで、転送部１３３は、ネットワーク３の端末２０にパケットを転送する際に、宛先アドレスを変換する。
【００２４】
例えば、端末２０からＤＮＳ名前解決要求パケットが送信された場合、転送部１３３は、当該ＤＮＳ名前解決要求パケットの送信元ＩＰアドレスを、ゲートウェイ装置１０のネットワーク２側のＩＰアドレスに変換した上で転送するＮＡＴ転送を行うことができる。また、例えば、ゲートウェイ装置１０がＤＮＳプロキシ機能を有し、ゲートウェイ装置１０宛のＤＮＳ名前解決要求パケットをプロキシする場合であっても、転送部１３３は、当該ＤＮＳ名前解決要求パケットの送信元アドレスを変換する。なお、ＤＮＳ名前解決要求パケットは、アクセス要求パケットの一例である。
【００２５】
［第１の実施形態の判定装置の構成］
次に、図４を用いて、判定装置３０の構成について説明する。図４は、第１の実施形態に係る判定装置の構成の一例を示す図である。図４に示すように、判定装置３０は、通信部３１、記憶部３２及び制御部３３を有する。
【００２６】
通信部３１は、ネットワークを介して、他の装置との間でデータ通信を行う。例えば、通信部３１はＮＩＣである。通信部３１は、ゲートウェイ装置１０との間で通信を行うことができる。
【００２７】
記憶部３２は、ＨＤＤ、ＳＳＤ、光ディスク等の記憶装置である。なお、記憶部３２は、ＲＡＭ、フラッシュメモリ、ＮＶＳＲＡＭ等のデータを書き換え可能な半導体メモリであってもよい。記憶部３２は、ゲートウェイ装置１０で実行されるＯＳや各種プログラムを記憶する。さらに、記憶部３２は、プログラムの実行で用いられる各種情報を記憶する。
【００２８】
制御部３３は、判定装置３０全体を制御する。制御部３３は、例えば、ＣＰＵ、ＭＰＵ等の電子回路や、ＡＳＩＣ、ＦＰＧＡ等の集積回路である。また、制御部３３は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部３３は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部３３は、判定部３３１及び応答部３３２を有する。
【００２９】
判定部３３１は、ゲートウェイ装置１０によって転送されたアクセス要求パケットが異常であるか否かを判定する。例えば、判定部３３１は、悪性ＦＱＤＮのブラックリストを用いて異常であるか否かを判定する。この場合、判定部３３１は、ＤＮＳ名前解決要求パケットが、ブラックリストに記載されたＦＱＤＮの名前解決を要求するものである場合に、異常であると判定することができる。
【００３０】
応答部３３２は、判定部３３１による判定結果に応じた応答パケットを送信する。このとき、応答部３３２は、判定部３３１によってアクセス要求パケットが異常でないと判定された場合、アクセス要求パケットの送信元アドレスに対しＤＮＳプロトコルの名前解決応答パケットを送信し、判定部３３１によってアクセス要求パケットが異常であると判定された場合、アクセス要求パケットの送信元アドレスに対し、ＤＮＳプロトコルの名前解決応答パケットとは異なる特定のパケットを応答パケットとして送信することができる。
【００３１】
例えば、判定部３３１によって異常でないと判定された場合、応答部３３２は、名前解決の結果得られたＩＰアドレスを含む応答パケット送信する。一方、判定部３３１によって異常であると判定された場合、応答部３３２は、「127.0.0.1」等の、ネットワーク上で使用されないＩＰアドレスを含む応答パケットを送信することができる。
【００３２】
［第１の実施形態の管理装置の構成］
次に、図５を用いて、管理装置４０の構成について説明する。図５は、第１の実施形態に係る管理装置の構成の一例を示す図である。図５に示すように、管理装置４０は、通信部４１、記憶部４２及び制御部４３を有する。
【００３３】
通信部４１は、ネットワークを介して、他の装置との間でデータ通信を行う。例えば、通信部４１はＮＩＣである。通信部４１は、ゲートウェイ装置１０及び判定装置３０との間で通信を行うことができる。
【００３４】
記憶部４２は、ＨＤＤ、ＳＳＤ、光ディスク等の記憶装置である。なお、記憶部４２は、ＲＡＭ、フラッシュメモリ、ＮＶＳＲＡＭ等のデータを書き換え可能な半導体メモリであってもよい。記憶部４２は、ゲートウェイ装置１０で実行されるＯＳや各種プログラムを記憶する。さらに、記憶部４２は、プログラムの実行で用いられる各種情報を記憶する。記憶部４２は、例えば、端末情報４２１を記憶する。
【００３５】
制御部４３は、管理装置４０全体を制御する。制御部４３は、例えば、ＣＰＵ、ＭＰＵ等の電子回路や、ＡＳＩＣ、ＦＰＧＡ等の集積回路である。また、制御部４３は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部４３は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部４３は、分析部４３１を有する。
【００３６】
分析部４３１は、各ゲートウェイ装置１０によって特定された識別情報を基に、異常と判定されたアクセス要求パケットを送信した端末２０の傾向を分析する。このように、特定システム１では、異常なアクセス要求パケットを送信した端末２０の情報を収集可能であるため、分析を行うことが可能となる。
【００３７】
［第１の実施形態の処理］
図６を用いて、ゲートウェイ装置１０の上りの転送処理について説明する。図６は、第１の実施形態に係るゲートウェイ装置の上りの転送処理の流れを示すフローチャートである。ここで、上りの転送処理とは、ゲートウェイ装置１０が、ネットワーク３からネットワーク２へパケットを転送する処理である。
【００３８】
まず、図６に示すように、ゲートウェイ装置１０は、端末２０からパケットを受信する（ステップＳ１０１）。次に、受信したパケットが識別に利用するパケットである場合（ステップＳ１０２、Ｙｅｓ）、ゲートウェイ装置１０は、受信したパケットを基に、端末アドレス及び識別情報を取得する（ステップＳ１０３）。
【００３９】
ここで、受信したパケットがアクセス要求パケットである場合（ステップＳ１０４、Ｙｅｓ）、ゲートウェイ装置１０は、判定装置３０にパケットを転送する（ステップＳ１０５）。
【００４０】
図７を用いて、判定装置３０の応答処理について説明する。図７は、第１の実施形態に係る判定装置の応答処理の流れを示すフローチャートである。図７に示すように、まず、判定装置３０は、ゲートウェイ装置１０からパケットを受信する（ステップＳ１２１）。ここで、例えば、判定装置３０は、ゲートウェイ装置１０からアクセス要求パケットを受信する。
【００４１】
次に、判定装置３０は、パケットが異常であるか否かを判定する（ステップＳ１２２）。パケットが異常でなかった場合（ステップＳ１２２、Ｎｏ）、判定装置３０は、正規のＩＰアドレスを応答する（ステップＳ１２３）。一方、パケットが異常であった場合（ステップＳ１２２、Ｙｅｓ）、判定装置３０は、異常を示すＩＰアドレスを応答する（ステップＳ１２４）。
【００４２】
ここで、例えば、正規のＩＰアドレスとは、アクセス要求パケットがＤＮＳ名前解決要求パケットである場合の、名前解決によって得られたＩＰアドレスである。また、例えば、異常を示すＩＰアドレスとは、あらかじめ定められたＩＰアドレスであって、「127.0.0.1」等の、ネットワーク上で使用されないＩＰアドレスである。
【００４３】
図８を用いて、ゲートウェイ装置１０の下りの転送処理について説明する。図８は、第１の実施形態に係るゲートウェイ装置の下りの転送処理の流れを示すフローチャートである。ここで、下りの転送処理とは、ゲートウェイ装置１０が、ネットワーク２からネットワーク３へパケットを転送する処理である。
【００４４】
まず、図８に示すように、ゲートウェイ装置１０は、判定装置３０からパケットを受信する（ステップＳ１４１）。ここで、受信したパケットが異常を示す応答パケットである場合（ステップＳ１４２、Ｙｅｓ）、ゲートウェイ装置１０は、変換後の宛先アドレス及び取得部によって取得された端末の端末アドレスを基に、アクセス要求パケットを送信した端末の識別情報を特定する（ステップＳ１４３）。一方、受信したパケットが異常を示す応答パケットでない場合（ステップＳ１４２、Ｎｏ）、ゲートウェイ装置１０は次のステップへ進む。そして、ゲートウェイ装置１０は、端末２０にパケットを転送する（ステップＳ１４４）。
【００４５】
［第１の実施形態の効果］
判定部３３１は、ゲートウェイ装置１０によって転送されたアクセス要求パケットが異常であるか否かを判定する。応答部３３２は、判定部３３１による判定結果に応じた応答パケットを送信する。転送部１３３は、ネットワーク３の端末２０から送信されたパケットを判定装置３０に転送する。取得部１３１は、ネットワーク３の端末２０から送信されたパケットを基に、当該端末２０の端末アドレス及び識別情報を対応付けて取得する。特定部１３２は、判定部３３１によってアクセス要求パケットが異常であると判定された場合に、応答部３３２によって送信された応答パケットの宛先アドレスによって送信元アドレスを基に特定し、さらに、取得部１３１によって取得されたアクセス要求パケットを送信した端末２０の端末アドレスを基に、アクセス要求パケットを送信した端末２０の識別情報を特定する。
【００４６】
このように、本実施形態では、アクセス要求パケットの送信元アドレスを基に当該アクセス要求パケットを送信した端末の識別情報を特定することができる。このため、本実施形態によれば、アクセス要求の通信プロトコルを変更することなく、ネットワークにおいて検知された異常の原因となった端末を、容易に特定することができる。
【００４７】
［第２の実施形態］
第２の実施形態について説明する。第１の実施形態においては、ゲートウェイ装置１０が、アクセス要求パケットを転送した際の送信元アドレスを保持していた。一方、第２の実施形態では、ゲートウェイ装置１０は、転送するアクセス要求パケットに、送信元アドレスを挿入する。そして、判定装置３０は、ゲートウェイ装置１０によって挿入された送信元アドレスを基に、異常と判定されたアクセス要求パケットを送信した端末を特定する。以下、第１の実施形態と第２の実施形態の共通部分についての説明は適宜省略し、第１の実施形態と第２の実施形態とで相違する点について説明する。
【００４８】
［第２の実施形態の特定システムの構成］
第２の実施形態の特定システム１の構成は、第１の実施形態のものと同様である。すなわち、図１に示すように、第２の実施形態の特定システム１は、ゲートウェイ装置１０及び判定装置３０を有する。
【００４９】
［第２の実施形態のゲートウェイ装置の構成］
図９を用いて、ゲートウェイ装置１０の構成について説明する。図９は、第２の実施形態に係るゲートウェイ装置の構成の一例を示す図である。図９に示すように、第２の実施形態において、ゲートウェイ装置１０の制御部１３は、挿入部１３４を有する。
【００５０】
挿入部１３４は、ネットワーク３の端末２０から送信され、転送部１３３によって判定装置３０に転送されるアクセス要求パケットに、取得部１３１によって取得されたアクセス要求パケットを送信した端末２０の識別情報を挿入する。
【００５１】
［第２の実施形態の判定装置の構成］
次に、図１０を用いて、判定装置３０の構成について説明する。図１０は、第２の実施形態に係る判定装置の構成の一例を示す図である。図１０に示すように、第２の実施形態において、判定装置３０は、特定部３３３を有する。
【００５２】
特定部３３３は、判定部３３１によってアクセス要求パケットが異常であると判定された場合に、挿入部１３４によってアクセス要求パケットに挿入された識別情報を、アクセス要求パケットを送信した端末２０の識別情報として特定する。
【００５３】
［第２の実施形態の処理］
図１１を用いて、ゲートウェイ装置１０の上りの転送処理について説明する。図１１は、第２の実施形態に係るゲートウェイ装置の上りの転送処理の流れを示すフローチャートである。
【００５４】
まず、図１１に示すように、ゲートウェイ装置１０は、端末２０からパケットを受信する（ステップＳ２０１）。次に、受信したパケットが識別に利用するパケットである場合（ステップＳ２０２、Ｙｅｓ）、ゲートウェイ装置１０は、受信したパケットを基に、端末アドレス及び識別情報を取得する（ステップＳ２０３）。
【００５５】
ここで、受信したパケットがアクセス要求パケットである場合（ステップＳ２０４、Ｙｅｓ）、ゲートウェイ装置１０は識別情報をパケットに挿入し（ステップＳ２０５）、判定装置３０にパケットを転送する（ステップＳ２０６）。一方、受信したパケットがアクセス要求パケットでない場合（ステップＳ２０４、Ｎｏ）、ゲートウェイ装置１０は処理を終了する。
【００５６】
図１２を用いて、判定装置３０の応答処理について説明する。図１２は、第２の実施形態に係る判定装置の応答処理の流れを示すフローチャートである。図１２に示すように、まず、判定装置３０は、ゲートウェイ装置１０からパケットを受信する（ステップＳ２２１）。ここで、例えば、判定装置３０は、ゲートウェイ装置１０からアクセス要求パケットを受信する。
【００５７】
次に、判定装置３０は、パケットが異常であるか否かを判定する（ステップＳ２２２）。パケットが異常でなかった場合（ステップＳ２２２、Ｎｏ）、判定装置３０は、正規のＩＰアドレスを応答する（ステップＳ２２３）。一方、パケットが異常であった場合（ステップＳ２２２、Ｙｅｓ）、判定装置３０は、アクセス要求パケットに挿入された識別情報を特定し（ステップＳ２２４）、異常を示すＩＰアドレスを応答する（ステップＳ２２５）。
【００５８】
［第２の実施形態の効果］
転送部１３３は、ネットワーク３の端末２０から送信されたアクセス要求パケットを判定装置３０に転送する。取得部１３１は、ネットワーク３の端末２０から送信されたパケットを基に、当該端末２０の端末アドレス及び識別情報を対応付けて取得する。挿入部１３４は、ネットワーク３の端末２０から送信され、転送部１３３によって判定装置３０に転送されるアクセス要求パケットに、取得部１３１によって取得されたアクセス要求パケットを送信した端末２０の識別情報を挿入する。判定部３３１は、ゲートウェイ装置１０によって転送されたアクセス要求パケットが異常であるか否かを判定する。応答部３３２は、判定部３３１による判定結果に応じた応答パケットを送信する。特定部３３３は、判定部３３１によってアクセス要求パケットが異常であると判定された場合に、挿入部１３４によってアクセス要求パケットに挿入された識別情報を、アクセス要求パケットを送信した端末２０の識別情報として特定する。
【００５９】
このように、本実施形態では、ゲートウェイ装置がアクセス要求パケットに送信元の端末識別情報を挿入することによって、判定装置３０が識別情報の特定を行うことができる。このため、本実施形態によれば、ネットワークにおいて検知された異常の原因となった端末を、容易に特定しつつ、判定装置において一元的に異常端末の識別情報の収集することができる。
【００６０】
［第３の実施形態］
第３の実施形態について説明する。これまでに説明した第１の実施形態及び第２の実施形態においては、ゲートウェイ装置１０又は判定装置３０が異常と判定されたアクセス要求パケットを送信した端末の識別情報を特定していた。これに対し、第３の実施形態では、管理装置４０によって識別情報の特定が行われる。以下、各実施形態の共通部分についての説明は適宜省略し、第３の実施形態と他の実施形態との相違する点について説明する。
【００６１】
［第３の実施形態の特定システムの構成］
第３の実施形態では、管理装置４０は、ゲートウェイ装置１０及び判定装置３０から取得した情報を基に、異常と判定されたアクセス要求パケットを送信した端末の識別情報を特定する。
【００６２】
［第３の実施形態のゲートウェイ装置の構成］
図１３を用いて、ゲートウェイ装置１０の構成について説明する。図１３は、第３の実施形態に係るゲートウェイ装置の構成の一例を示す図である。図１３に示すように、第３の実施形態において、ゲートウェイ装置１０の制御部１３は、通知部１３５を有する。
【００６３】
通知部１３５は、取得部１３１によって取得されたアクセス要求パケットを送信した端末２０の端末アドレス及び識別情報を管理装置４０に通知する。なお、端末アドレス及び識別情報は、取得部１３１によって取得される。
【００６４】
［第３の実施形態の判定装置の構成］
次に、図１４を用いて、判定装置３０の構成について説明する。図１４は、第３の実施形態に係る判定装置の構成の一例を示す図である。図１４に示すように、第３の実施形態において、判定装置３０は、通知部３３４を有する。
【００６５】
通知部３３４は、判定部３３１によってアクセス要求パケットが異常であると判定された場合に、挿入部１３４によってアクセス要求パケットに挿入された端末アドレスと、アクセス要求パケットの送信元アドレスと、を管理装置４０に通知する。
【００６６】
［第３の実施形態の管理装置の構成］
次に、図１５を用いて、管理装置４０の構成について説明する。図１５は、第３の実施形態に係る管理装置の構成の一例を示す図である。図１５に示すように、記憶部４２は、端末情報４２１を記憶する。また、制御部４３は、特定部４３２を有する。
【００６７】
端末情報４２１は、第１の実施形態における端末情報１２１と同様の情報である。また、端末情報４２１は、ゲートウェイ装置１０の通知部１３５によって通知される。また、管理装置４０は、複数のゲートウェイ装置１０のそれぞれについて、端末情報４２１を記憶する。この場合、管理装置４０が、ゲートウェイ装置１０のアドレスを基に対応する端末情報４２１を取得できるようにしてもよい。また、パケットの送信元アドレスは、転送を行ったゲートウェイ装置１０のアドレスに変換されている場合がある。
【００６８】
特定部４３２は、判定部３３１によってアクセス要求パケットが異常であると判定された場合に、通知部３３４によって通知された端末アドレス及び送信元アドレスと、通知部１３５によって通知された端末アドレス及び識別情報と、を基に、アクセス要求パケットを送信した端末２０の識別情報を特定する。なお、特定部４３２は、送信元アドレスから、対応するゲートウェイ装置１０の端末情報４２１を取得することができる。
【００６９】
［第３の実施形態の処理］
図１６を用いて、ゲートウェイ装置１０の上りの転送処理について説明する。図１６は、第３の実施形態に係るゲートウェイ装置の上りの転送処理の流れを示すフローチャートである。
【００７０】
まず、図１６に示すように、ゲートウェイ装置１０は、端末２０からパケットを受信する（ステップＳ３０１）。次に、受信したパケットが識別に利用するパケットである場合（ステップＳ３０２、Ｙｅｓ）、ゲートウェイ装置１０は、受信したパケットを基に、端末アドレス及び識別情報を取得する（ステップＳ３０３）。
【００７１】
ここで、受信したパケットがアクセス要求パケットである場合（ステップＳ３０４、Ｙｅｓ）、ゲートウェイ装置１０は端末アドレスをパケットに挿入し（ステップＳ３０５）、管理装置４０に端末アドレス及び識別情報を通知し（ステップＳ３０６）、判定装置３０にパケットを転送する（ステップＳ３０７）。一方、受信したパケットがアクセス要求パケットでない場合（ステップＳ３０４、Ｎｏ）、ゲートウェイ装置１０は処理を終了する。
【００７２】
図１７を用いて、判定装置３０の応答処理について説明する。図１７は、第３の実施形態に係る判定装置の応答処理の流れを示すフローチャートである。図１７に示すように、まず、判定装置３０は、ゲートウェイ装置１０からパケットを受信する（ステップＳ３２１）。ここで、例えば、判定装置３０は、ゲートウェイ装置１０からアクセス要求パケットを受信する。
【００７３】
次に、判定装置３０は、パケットが異常であるか否かを判定する（ステップＳ３２２）。パケットが異常でなかった場合（ステップＳ３２２、Ｎｏ）、判定装置３０は、正規のＩＰアドレスを応答する（ステップＳ３２３）。一方、パケットが異常であった場合（ステップＳ３２２、Ｙｅｓ）、アクセス要求パケットに挿入された端末アドレス及び送信元アドレスを管理装置４０に通知する（ステップＳ３２４）。そして、判定装置３０は、異常を示すＩＰアドレスを応答する（ステップＳ３２５）。
【００７４】
図１８を用いて、管理装置４０の特定処理について説明する。図１８は、第３の実施形態に係る管理装置の特定処理の流れを示すフローチャートである。図１８に示すように、まず、管理装置４０は、ゲートウェイ装置１０から識別情報を受信する（ステップＳ３４１）。次に、管理装置４０は、判定装置３０から端末アドレス及び送信元アドレスを受信する（ステップＳ３４２）。そして、管理装置４０は、受信した情報から、識別情報を特定する（ステップＳ３４３）。
【００７５】
［第３の実施形態の効果］
転送部１３３は、ネットワーク３の端末２０から送信されたパケットを判定装置３０に転送する。取得部１３１は、ネットワーク３の端末２０から送信されたパケットを基に、当該端末２０の端末アドレス及び識別情報を対応付けて取得する。挿入部１３４は、ネットワーク３の端末２０から送信され、転送部１３３によって判定装置３０に転送されるアクセス要求パケットに、アクセス要求パケットを送信した端末２０の端末アドレスを挿入する。通知部１３５は、取得部１３１によって取得されたアクセス要求パケットを送信した端末２０の端末アドレス及び識別情報を管理装置４０に通知する。判定部３３１は、ゲートウェイ装置１０によって転送されたアクセス要求パケットが異常であるか否かを判定する。応答部３３２は、判定部３３１による判定結果に応じた応答パケットを送信する。通知部３３４は、判定部３３１によってアクセス要求パケットが異常であると判定された場合に、挿入部１３４によってアクセス要求パケットに挿入された端末アドレスと、アクセス要求パケットの送信元アドレスと、を管理装置４０に通知する。特定部４３２は、判定部３３１によってアクセス要求パケットが異常であると判定された場合に、通知部３３４によって通知された端末アドレス及び送信元アドレスと、通知部１３５によって通知された端末アドレス及び識別情報と、を基に、アクセス要求パケットを送信した端末２０の識別情報を特定する。
【００７６】
このように、本実施形態では、ゲートウェイ装置がアクセス要求パケットに固定長である送信元の端末のアドレス情報を挿入することにより、管理装置４０が識別情報の特定を行うことができる。このため、本実施形態によれば、アクセス要求の通信プロトコルに対する軽量な変更により、ネットワークにおいて検知された異常の原因となった端末を、容易に特定しつつ、管理装置において一元的に異常端末の識別情報の収集することができる。
【００７７】
［第４の実施形態］
第４の実施形態について説明する。第４の実施形態は、ゲートウェイ装置１０が、管理装置４０にパケットを転送する点で第３の実施形態と異なる。第４の実施形態では、管理装置４０が、パケットから識別情報を直接取得する。
【００７８】
［第４の実施形態の特定システムの構成］
第４の実施形態の特定システム１の構成は、第３の実施形態のものと同様である。すなわち、図１２に示すように、第４の実施形態の特定システム１は、ゲートウェイ装置１０、判定装置３０及び管理装置４０を有する。
【００７９】
［第４の実施形態の管理装置の構成］
図１９を用いて、管理装置４０の構成について説明する。図１９は、第４の実施形態に係る管理装置の構成の一例を示す図である。図１９に示すように、第４の実施形態において、管理装置４０の制御部４３は、取得部４３３を有する。
【００８０】
ゲートウェイ装置１０の通知部１３５は、取得部１３１によって取得されたアクセス要求パケットを送信した端末２０の端末アドレスを管理装置４０に通知する。また、通知部１３５は、管理装置４０にアクセス要求パケットを通知する。ここで、通知部１３５が管理装置４０に通知するパケットは、パケットそのものでもよいし、パケットの中から識別情報の生成に必要な情報に限定してもよい。
【００８１】
管理装置４０の取得部４３３は、通知部１３５によって通知されたパケット及び端末アドレスを基に、パケットを送信した端末２０の端末アドレス及び識別情報を対応付けて取得する。
【００８２】
このとき、特定部４３２は、判定部３３１によってアクセス要求パケットが異常であると判定された場合に、通知部３３４によって通知された端末アドレス及び送信元アドレスと、取得部４３３によって取得された識別情報と、を基に、アクセス要求パケットを送信した端末２０の識別情報を特定する。
【００８３】
［第４の実施形態の処理］
図２０を用いて、ゲートウェイ装置１０の上りの転送処理について説明する。図２０は、第４の実施形態に係るゲートウェイ装置の上りの転送処理の流れを示すフローチャートである。
【００８４】
まず、図２０に示すように、ゲートウェイ装置１０は、端末２０からパケットを受信する（ステップＳ４０１）。次に、ゲートウェイ装置１０は、端末アドレスを取得する（ステップＳ４０２）。そして、受信したパケットが識別に利用するパケットである場合（ステップＳ４０３、Ｙｅｓ）、ゲートウェイ装置１０は、受信したパケット及び端末アドレスを管理装置４０に通知する（ステップＳ４０４）。
【００８５】
ここで、受信したパケットがアクセス要求パケットである場合（ステップＳ４０５、Ｙｅｓ）、ゲートウェイ装置１０は、端末アドレスをパケットに挿入し（ステップＳ４０６）、判定装置３０にパケットを転送する（ステップＳ４０７）。一方、受信したパケットがアクセス要求パケットでない場合（ステップＳ４０５、Ｎｏ）、ゲートウェイ装置１０は処理を終了する。
【００８６】
図２１を用いて、管理装置４０の特定処理について説明する。図２１は、第４の実施形態に係る管理装置の特定処理の流れを示すフローチャートである。図２１に示すように、まず、管理装置４０は、ゲートウェイ装置１０からパケット及び端末アドレスを受信する（ステップＳ４４１）。次に、管理装置４０は、受信したパケットを基に、当該パケットを送信した端末の識別情報を取得する（ステップＳ４４２）。
【００８７】
ここで、管理装置４０は、判定装置３０から端末アドレス及び送信元アドレスを受信する（ステップＳ４４３）。そして、管理装置４０は、受信した情報から、識別情報を特定する（ステップＳ４４４）。
【００８８】
［第４の実施形態の効果］
転送部１３３は、ネットワーク３の端末２０から送信されたパケットを判定装置３０及び管理装置４０に転送する。取得部１３１は、ネットワーク３の端末２０から送信されたパケットを基に、当該端末２０の端末アドレスを取得する。挿入部１３４は、ネットワーク３の端末２０から送信され、転送部１３３によってネットワーク２に転送されるアクセス要求パケットに、アクセス要求パケットを送信した端末２０の端末アドレスを挿入する。判定部３３１は、ゲートウェイ装置１０によって転送されたアクセス要求パケットが異常であるか否かを判定する。応答部３３２は、判定部３３１による判定結果に応じた応答パケットを送信する。通知部３３４は、判定部３３１によってアクセス要求パケットが異常であると判定された場合に、挿入部１３４によってアクセス要求パケットに挿入された端末アドレスと、アクセス要求パケットの送信元アドレスと、を管理装置４０に通知する。取得部４３３は、転送部１３３によって転送されたパケットを基に、パケットを送信した端末２０の端末アドレス及び識別情報を対応付けて取得する。特定部４３２は、判定部３３１によってアクセス要求パケットが異常であると判定された場合に、通知部３３４によって通知された端末アドレス及び送信元アドレスと、取得部４３３によって取得された識別情報と、を基に、アクセス要求パケットを送信した端末２０の識別情報を特定する。
【００８９】
このように、本実施形態では、ゲートウェイ装置がアクセス要求パケットに固定長である送信元の端末のアドレス情報を挿入することにより、管理装置４０が識別情報の取得及び特定を行うことができる。このため、本実施形態によれば、アクセス要求の通信プロトコルに対する軽量な変更により、ネットワークにおいて検知された異常の原因となった端末を、容易に特定しつつ、管理装置において一元的に異常端末の識別情報の収集することができる。
【００９０】
［その他の実施形態］
特定部１３２、特定部３３３、又は特定部４３２は、特定した識別情報によって識別される端末２０のユーザに、当該端末２０から送信されたアクセス要求パケットが異常と判定された旨を通知することができる。このように、実施形態では、異常なアクセス要求パケットを送信した端末２０を特定済みであるため、通知を行うことが可能となる。
【００９１】
また、判定装置３０をＤＮＳサーバ、アクセス要求パケットをＤＮＳプロトコルの名前解決要求パケット、判定装置３０による応答パケットをＤＮＳプロトコルの名前解決応答パケットとすることができる。
【００９２】
［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、各装置の分散及び統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散又は統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【００９３】
また、管理装置４０の分析部４３１は、判定装置３０によって識別情報の特定が行われる実施形態においては、判定装置３０によって特定された識別情報を基に分析を行うことができる。また、分析部４３１は、管理装置４０によって識別情報の特定が行われる実施形態においては、判定装置３０によって特定された識別情報を基に分析を行うことができる。
【００９４】
また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【００９５】
［プログラム］
一実施形態として、判定装置３０は、パッケージソフトウェアやオンラインソフトウェアとして上記の判定を実行する判定プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の判定プログラムを情報処理装置に実行させることにより、情報処理装置を判定装置３０として機能させることができる。ここで言う情報処理装置には、デスクトップ型又はノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal  Handyphone  System）等の移動体通信端末、さらには、ＰＤＡ（Personal  Digital  Assistant）等のスレート端末等がその範疇に含まれる。
【００９６】
図２２は、特定プログラムを実行するゲートウェイ装置、判定装置又は管理装置として機能するコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
【００９７】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
【００９８】
ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、ゲートウェイ装置１０又は判定装置３０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、ゲートウェイ装置１０又は判定装置３０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤにより代替されてもよい。
【００９９】
また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０は、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した実施形態の処理を実行する。
【０１００】
なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local  Area  Network）、ＷＡＮ（Wide  Area  Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【０１０１】
１  特定システム
１０  ゲートウェイ装置
２０  端末
３０  判定装置
４０  管理装置
１１、３１、４１  通信部
１２、３２、４２  記憶部
１３、３３、４３  制御部
１２１、４２１  端末情報
１２２  要求パケット情報
１３１、４３３  取得部
１３２、３３３、４３２  特定部
１３３  転送部
１３４  挿入部
１３５  通知部
３３１  判定部
３３２  応答部
【図１】
2019149740.tif 000003
【図２】
2019149740.tif 000004
【図３】
2019149740.tif 000005
【図４】
2019149740.tif 000006
【図５】
2019149740.tif 000007
【図６】
2019149740.tif 000008
【図７】
2019149740.tif 000009
【図８】
2019149740.tif 000010
【図９】
2019149740.tif 000011
【図１０】
2019149740.tif 000012
【図１１】
2019149740.tif 000013
【図１２】
2019149740.tif 000014
【図１３】
2019149740.tif 000015
【図１４】
2019149740.tif 000016
【図１５】
2019149740.tif 000017
【図１６】
2019149740.tif 000018
【図１７】
2019149740.tif 000019
【図１８】
2019149740.tif 000020
【図１９】
2019149740.tif 000021
【図２０】
2019149740.tif 000022
【図２１】
2019149740.tif 000023
【図２２】
2019149740.tif 000024