(57)【要約】【課題】送信側と受信側のIPアドレスの関係を把握することが容易となるIPアドレス視覚化装置、プログラム、および記録媒体を提供する。【解決手段】表示制御処理部３１、軸表示処理部３３、および表示画像生成部３６は、第１のIPアドレスを構成するブロックのアドレス値を表示する第１の軸、および第２のIPアドレスを構成するブロックのアドレス値を表示する第２の軸を画像表示部３７に表示させる処理を実行する。また、表示制御処理部３１、線表示処理部３４、および表示画像生成部３６は、第１のIPアドレスを構成する各ブロックのアドレス値に対応した第１の軸上の点同士を結ぶ第１の線、および第２のIPアドレスを構成する各ブロックのアドレス値に対応した第２の軸上の点同士を結ぶ第２の線を画像表示部３７に表示させる処理を実行する。【選択図】図１
2008227931.tif 000002
【特許請求の範囲】
【請求項１】
情報を表示する表示手段と、
ネットワーク上で実行された通信に係る送受信の関係を示す第１のIPアドレスおよび第２のIPアドレスを通信毎に関連付けて記憶する記憶手段と、
前記第１のIPアドレスを構成するブロックのアドレス値を表示する第１の軸、および前記第２のIPアドレスを構成するブロックのアドレス値を表示する第２の軸を前記表示手段に表示させる処理を実行する軸表示処理手段と、
前記第１のIPアドレスを構成する各ブロックのアドレス値に対応した前記第１の軸上の点同士を結ぶ第１の線、および前記第２のIPアドレスを構成する各ブロックのアドレス値に対応した前記第２の軸上の点同士を結ぶ第２の線を前記表示手段に表示させる処理を実行する線表示処理手段と、
を備えたことを特徴とするIPアドレス視覚化装置。
【請求項２】
ネットワーク上で実行された通信の特徴を示す通信特徴情報に基づいて異常な通信を検知する異常検知手段と、
前記記憶手段が記憶している前記第１のIPアドレスおよび前記第２のIPアドレスのうち、前記異常検知手段によって検知された前記異常な通信に係るIPアドレスを抽出する抽出手段とをさらに備え、
前記軸表示処理手段および前記線表示処理手段は、前記抽出手段によって抽出された前記IPアドレスを処理に使用する
ことを特徴とする請求項１に記載のIPアドレス視覚化装置。
【請求項３】
前記線表示処理手段はさらに、少なくとも最上位のブロックのアドレス値が同一である複数の前記第１のIPアドレスを表示する場合に、隣接するいずれか２つのブロックのアドレス値が同一であるIPアドレスの頻度に応じて、前記隣接するブロックのアドレス値に対応した前記第１の軸上の点同士を結ぶ前記第１の線の表示形態を制御することを特徴とする請求項２に記載のIPアドレス視覚化装置。
【請求項４】
前記線表示処理手段はさらに、少なくとも最上位のブロックのアドレス値が同一である複数の前記第２のIPアドレスを表示する場合に、隣接するいずれか２つのブロックのアドレス値が同一であるIPアドレスの頻度に応じて、前記隣接するブロックのアドレス値に対応した前記第２の軸上の点同士を結ぶ前記第２の線の表示形態を制御することを特徴とする請求項２または請求項３に記載のIPアドレス視覚化装置。
【請求項５】
前記軸表示処理手段はさらに、少なくとも最上位のブロックのアドレス値が同一である複数の前記第１のIPアドレスを表示する場合に、いずれかのブロックのアドレス値がどのIPアドレスについても同一のときには、当該ブロックの下位のブロックに対応した前記第１の軸の表示を省略することを特徴とする請求項２〜請求項４のいずれかに記載のIPアドレス視覚化装置。
【請求項６】
前記軸表示処理手段はさらに、少なくとも最上位のブロックのアドレス値が同一である複数の前記第２のIPアドレスを表示する場合に、いずれかのブロックのアドレス値がどのIPアドレスについても同一のときには、当該ブロックの下位のブロックに対応した前記第２の軸の表示を省略することを特徴とする請求項２〜請求項４のいずれかに記載のIPアドレス視覚化装置。
【請求項７】
ユーザがIPアドレスの検索条件を入力するための入力手段をさらに備え、
前記軸表示処理手段および前記線表示処理手段は、前記抽出手段によって抽出された前記第１のIPアドレスおよび前記第２のIPアドレスの中から、前記検索条件を満たすIPアドレスを処理に使用する
ことを特徴とする請求項２〜請求項６のいずれかに記載のIPアドレス視覚化装置。
【請求項８】
前記線表示処理手段はさらに、第１の通信および第２の通信を含む複数の通信に係る前記第１のIPアドレスおよび前記第２のIPアドレスを表示する場合に、前記第１の通信に係る送信側のIPアドレスと、前記第２の通信に係る受信側のIPアドレスとが同一であったときは、同一であったIPアドレスを前記第１のIPアドレスおよび前記第２のIPアドレスの一方に固定して処理を実行することを特徴とする請求項２〜請求項６のいずれかに記載のIPアドレス視覚化装置。
【請求項９】
前記記憶手段はさらに、前記第１のIPアドレスおよび前記第２のIPアドレスを通信毎に時刻情報と関連付けて記憶し、
前記線表示処理手段はさらに、前記時刻情報に基づいて、前記表示手段が表示する前記第１の線および前記第２の線の表示タイミングを制御する
ことを特徴とする請求項２〜請求項８のいずれかに記載のIPアドレス視覚化装置。
【請求項１０】
前記記憶手段はさらに、ネットワーク上で実行された通信に係る第１のPort番号および第２のPort番号を通信毎に前記第１のIPアドレスおよび前記第２のIPアドレスと関連付けて記憶し、
前記抽出手段はさらに、前記記憶手段が記憶している前記第１のPort番号および前記第２のPort番号のうち、前記異常検知手段によって検知された前記異常な通信に係るPort番号を抽出し、
前記軸表示処理手段はさらに、前記第１のPort番号を表示する第３の軸、および前記第２のPort番号を表示する第４の軸を前記表示手段に表示させる処理を実行し、
前記線表示処理手段はさらに、前記第１のIPアドレスを構成するいずれかのブロックのアドレス値に対応した前記第１の軸上の点と、前記第１のPort番号に対応した前記第３の軸上の点とを結ぶ第３の線、および前記第２のIPアドレスを構成するいずれかのブロックのアドレス値に対応した前記第２の軸上の点と、前記第２のPort番号に対応した前記第４の軸上の点とを結ぶ第４の線を前記表示手段に表示させる処理を実行する
ことを特徴とする請求項２〜請求項９のいずれかに記載のIPアドレス視覚化装置。
【請求項１１】
前記線表示処理手段はさらに、いずれかの前記第１の軸および前記第１の線が交差する第１の交点と、いずれかの前記第２の軸および前記第２の線が交差する第２の交点とを結ぶ線であって、通信方向を示す矢印が付いた線を前記表示手段に表示させる処理を実行することを特徴とする請求項２〜請求項１０のいずれかに記載のIPアドレス視覚化装置。
【請求項１２】
請求項１〜請求項１１のいずれかに記載のIPアドレス視覚化装置としてコンピュータを機能させるためのプログラム。
【請求項１３】
請求項１２に記載のプログラムを記録したコンピュータ読み取り可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク上で実行された通信に係るIPアドレスを視覚化するIPアドレス視覚化装置に関する。また、本発明は、本IPアドレス視覚化装置としてコンピュータを機能させるためのプログラム、およびそのプログラムを記録した記録媒体にも関する。
【背景技術】
【０００２】
多種多様なコンピュータウィルスや攻撃が現れる中、Intrusion Detection System（IDS）やAnti Virus（AV）による検知から逃れるために、パケットやファイルに含まれる攻撃シグネチャを変化させるような攻撃が現れてきた。こうした攻撃を見つける手法として、攻撃時の通信に係る送信側・受信側双方のIPアドレスの関係を視覚化して異常を把握する手法が提案されている（例えば非特許文献１〜４参照）。
【０００３】
非特許文献１〜３では、IPアドレスの２次元表記が実現されている。一般に、IPv4プロトコルでは約4.3×109個のIPアドレスの表現が可能であり、Source IP（送信側IPアドレス）とDestination IP（受信側IPアドレス）の全てを同時に視覚化することが困難である。IPv4プロトコルでは、IPアドレスは例えば192.168.0.1（３２ビット）と表現され、８ビットずつの４ブロックのアドレス値で構成される。非特許文献１〜３では、これを利用してSource IPとDestination IPを４ブロックずつに分けて、特定の２ブロックのアドレス値を縦軸と横軸にしたグラフ上に、観測された通信に係るアドレス値がプロットされる。
【０００４】
また、非特許文献４では、EtherApeというツールが紹介されている。このツールは、Source IPとDestination IPを区別することなく、観測されたIPアドレスを円状に配置して、実行された通信に係る送信側と受信側のIPアドレスの組を線で繋ぐものである。
【非特許文献１】松本文子、堀良彰、力武健次、馬場俊輔、鈴木和也、中尾康二、“ネットワークインシデント分析システム構築運用におけるユーザインタフェースの検討” 、暗号と情報セキュリティシンポジウム (SCIS2006) 、2B3-3、２００６年１月
【非特許文献２】小池英樹、大野一広、小泉芳、“広域ネットワーク監視のための視覚化手法の提案と実装”、日本ソフトウェア科学会、第21回大会、6A-3、２００４年
【非特許文献３】石黒正揮、伊藤求、戸田洋三、鈴木裕信、赤井健一郎、村瀬一郎、“インターネット上のポート観測による不正パケットの分布に関する特徴分析”、コンピュータセキュリティシンポジウム（CSS2005）
【非特許文献４】Juan Toledo、Riccardo Ghetta、“Ether Ape, a graphical network monitor” 、［online］、［平成１９年３月５日検索］、インターネット、＜URL: http://etherape.sourceforge.net/＞
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかし、非特許文献１〜３では、１つのグラフで２つのブロックのアドレス値しか表現できないので、ネットワーク管理者がSource IPとDestination IPの関係を把握するためには、表示された複数のグラフを同時に参照しなければならない。このため、送信側と受信側のIPアドレスの関係を把握することが困難である。
【０００６】
また、通信の異常性をグラフから把握することも困難である。さらに、異常な通信の規則性を把握することも困難であるため、フィルタリングルール（攻撃の防御を目的としてルータ等のネットワーク機器に設定するもの）を作成することも困難である。IPv6プロトコルでは、表現可能なIPアドレスがさらに増えて約3.4×1038個になるため、多数の通信が混在する状況では送信側・受信側双方のIPアドレスの関係を視覚化することがさらに難しくなる。
【０００７】
非特許文献４では、非特許文献１〜３と比べて、送信側と受信側のIPアドレスの関係を把握することは容易となるが、多数のIPアドレスが観測された場合に、通信の異常性を把握すること、およびフィルタリングルールを作成することが困難である。
【０００８】
本発明は、上述した課題に鑑みてなされたものであって、送信側と受信側のIPアドレスの関係を把握することが容易となるIPアドレス視覚化装置、プログラム、および記録媒体を提供することを第１の目的とする。また、本発明は、通信の異常性を把握すること、およびフィルタリングルールを作成することが容易となるIPアドレス視覚化装置、プログラム、および記録媒体を提供することを第２の目的とする。
【課題を解決するための手段】
【０００９】
本発明は、上記の課題を解決するためになされたもので、情報を表示する表示手段（図１の画像表示部３７に対応）と、ネットワーク上で実行された通信に係る送受信の関係を示す第１のIPアドレスおよび第２のIPアドレスを通信毎に関連付けて記憶する記憶手段（図１の通信情報記憶部１１に対応）と、前記第１のIPアドレスを構成するブロックのアドレス値を表示する第１の軸（図２の軸４ａ，４ｂ，４ｃ，４ｄに対応）、および前記第２のIPアドレスを構成するブロックのアドレス値を表示する第２の軸（図２の軸４ｅ，４ｆ，４ｇ，４ｈに対応）を前記表示手段に表示させる処理を実行する軸表示処理手段（図１の表示処理制御部３１、軸表示処理部３３、表示画像生成部３６に対応）と、前記第１のIPアドレスを構成する各ブロックのアドレス値に対応した前記第１の軸上の点同士を結ぶ第１の線（図２の線５ａ，５ｂ，５ｃに対応）、および前記第２のIPアドレスを構成する各ブロックのアドレス値に対応した前記第２の軸上の点同士を結ぶ第２の線（図２の線５ｅ，５ｆ，５ｇに対応）を前記表示手段に表示させる処理を実行する線表示処理手段（図１の表示処理制御部３１、線表示処理部３４、表示画像生成部３６に対応）と、を備えたことを特徴とするIPアドレス視覚化装置である。
【００１０】
また、本発明のIPアドレス視覚化装置は、ネットワーク上で実行された通信の特徴を示す通信特徴情報に基づいて異常な通信を検知する異常検知手段（図１の通信解析部２１に対応）と、前記記憶手段が記憶している前記第１のIPアドレスおよび前記第２のIPアドレスのうち、前記異常検知手段によって検知された前記異常な通信に係るIPアドレスを抽出する抽出手段（図１の通信情報抽出部３０に対応）とをさらに備え、前記軸表示処理手段および前記線表示処理手段は、前記抽出手段によって抽出された前記IPアドレスを処理に使用することを特徴とする。
【００１１】
また、本発明のIPアドレス視覚化装置において、前記線表示処理手段はさらに、少なくとも最上位のブロックのアドレス値が同一である複数の前記第１のIPアドレスを表示する場合に、隣接するいずれか２つのブロックのアドレス値が同一であるIPアドレスの頻度に応じて、前記隣接するブロックのアドレス値に対応した前記第１の軸上の点同士を結ぶ前記第１の線の表示形態を制御することを特徴とする。
【００１２】
また、本発明のIPアドレス視覚化装置において、前記線表示処理手段はさらに、少なくとも最上位のブロックのアドレス値が同一である複数の前記第２のIPアドレスを表示する場合に、隣接するいずれか２つのブロックのアドレス値が同一であるIPアドレスの頻度に応じて、前記隣接するブロックのアドレス値に対応した前記第２の軸上の点同士を結ぶ前記第２の線の表示形態を制御することを特徴とする。
【００１３】
また、本発明のIPアドレス視覚化装置において、前記軸表示処理手段はさらに、少なくとも最上位のブロックのアドレス値が同一である複数の前記第１のIPアドレスを表示する場合に、いずれかのブロックのアドレス値がどのIPアドレスについても同一のときには、当該ブロックの下位のブロックに対応した前記第１の軸の表示を省略することを特徴とする。
【００１４】
また、本発明のIPアドレス視覚化装置において、前記軸表示処理手段はさらに、少なくとも最上位のブロックのアドレス値が同一である複数の前記第２のIPアドレスを表示する場合に、いずれかのブロックのアドレス値がどのIPアドレスについても同一のときには、当該ブロックの下位のブロックに対応した前記第２の軸の表示を省略することを特徴とする。
【００１５】
また、本発明のIPアドレス視覚化装置は、ユーザがIPアドレスの検索条件を入力するための入力手段（図１の入力部３２に対応）をさらに備え、前記軸表示処理手段および前記線表示処理手段は、前記抽出手段によって抽出された前記第１のIPアドレスおよび前記第２のIPアドレスの中から、前記検索条件を満たすIPアドレスを処理に使用することを特徴とする。
【００１６】
また、本発明のIPアドレス視覚化装置において、前記線表示処理手段はさらに、第１の通信および第２の通信を含む複数の通信に係る前記第１のIPアドレスおよび前記第２のIPアドレスを表示する場合に、前記第１の通信に係る送信側のIPアドレスと、前記第２の通信に係る受信側のIPアドレスとが同一であったときは、同一であったIPアドレスを前記第１のIPアドレスおよび前記第２のIPアドレスの一方に固定して処理を実行することを特徴とする。
【００１７】
また、本発明のIPアドレス視覚化装置において、前記記憶手段はさらに、前記第１のIPアドレスおよび前記第２のIPアドレスを通信毎に時刻情報と関連付けて記憶し、前記線表示処理手段はさらに、前記時刻情報に基づいて、前記表示手段が表示する前記第１の線および前記第２の線の表示タイミングを制御することを特徴とする。
【００１８】
また、本発明のIPアドレス視覚化装置において、前記記憶手段はさらに、ネットワーク上で実行された通信に係る第１のPort番号および第２のPort番号を通信毎に前記第１のIPアドレスおよび前記第２のIPアドレスと関連付けて記憶し、前記抽出手段はさらに、前記記憶手段が記憶している前記第１のPort番号および前記第２のPort番号のうち、前記異常検知手段によって検知された前記異常な通信に係るPort番号を抽出し、前記軸表示処理手段はさらに、前記第１のPort番号を表示する第３の軸（図１３の軸４ｉに対応）、および前記第２のPort番号を表示する第４の軸（図１３の軸４ｊに対応）を前記表示手段に表示させる処理を実行し、前記線表示処理手段はさらに、前記第１のIPアドレスを構成するいずれかのブロックのアドレス値に対応した前記第１の軸上の点（図１３の点１３０１に対応）と、前記第１のPort番号に対応した前記第３の軸上の点（図１３の点１３００に対応）とを結ぶ第３の線、および前記第２のIPアドレスを構成するいずれかのブロックのアドレス値に対応した前記第２の軸上の点（図１３の点１３０３に対応）と、前記第２のPort番号に対応した前記第４の軸上の点（図１３の点１３０２に対応）とを結ぶ第４の線を前記表示手段に表示させる処理を実行することを特徴とする。
【００１９】
また、本発明のIPアドレス視覚化装置において、前記線表示処理手段はさらに、いずれかの前記第１の軸および前記第１の線が交差する第１の交点（図２の点２０２に対応）と、いずれかの前記第２の軸および前記第２の線が交差する第２の交点（図２の点２０３に対応）とを結ぶ線であって、通信方向を示す矢印が付いた線（図２の線５ｄに対応）を前記表示手段に表示させる処理を実行することを特徴とする。
【００２０】
また、本発明は、上記のIPアドレス視覚化装置としてコンピュータを機能させるためのプログラムである。
【００２１】
また、本発明は、上記のプログラムを記録したコンピュータ読み取り可能な記録媒体である。
【００２２】
上記において、括弧で括った部分の記述は、後述する本発明の実施形態と本発明の構成要素とを便宜的に対応付けるためのものであり、この記述によって本発明の内容が限定されるわけではない。
【発明の効果】
【００２３】
本発明によれば、ブロック毎にアドレス値を表示するための軸と、各軸上の点を結ぶ線とで送信側と受信側のそれぞれのIPアドレスを表示することによって、送信側と受信側のIPアドレスの関係を把握することが容易となるという効果が得られる。また、本発明によれば、異常な通信に係るIPアドレスを表示することによって、通信の異常性を把握すること、およびフィルタリングルールを作成することが容易となるという効果が得られる。
【発明を実施するための最良の形態】
【００２４】
以下、図面を参照し、本発明の一実施形態を説明する。通信に係る送信側・受信側双方のIPアドレスの関係を視覚化する主要な目的として、異常な通信の検知とフィルタリングルールの作成が挙げられる。異常な通信の検知には、通信の集中性と拡散性を表現できる視覚化手法が必要である。特に、DDos（Distributed Denial of Service）攻撃による通信の集中性、あるいはウィルスへの感染の拡大による通信の拡散性を、IPアドレスの偏り（分散）の度合いとして視覚化する手法が望まれる。また、フィルタリングルールの作成には、出現頻度の高いIPアドレスやTCP／UDPプロトコルのPort番号を視覚化する手法が望まれる。
【００２５】
図２等を参照して後述するが、本実施形態では、IPアドレスを構成するブロック毎にそのアドレス値を表示するための軸を表示し、各ブロックのアドレス値に対応した軸上の点同士を線で結ぶことによりIPアドレスを視覚化する手法が用いられている。また、Port番号についても、Port番号を表示するための軸を表示し、Port番号に対応した軸上の点とIPアドレスの表示軸上の点とを線で結ぶことによりPort番号を視覚化する手法が用いられている。IPアドレスに関して、本実施形態ではIPv4アドレスを用いて説明を行うが、IPv6アドレスについても同様である。以下では、IPv4アドレスをA.B.C.Dとしたときに、アドレス値Aを有するブロックを第１ブロック（最上位ブロック）、アドレス値Bを有するブロックを第２ブロック、アドレス値Cを有するブロックを第３ブロック、アドレス値Dを有するブロックを第４ブロック（最下位ブロック）と表現する。
【００２６】
図１は、本実施形態によるIPアドレス視覚化装置の構成を示している。図１に示すIPアドレス視覚化装置は、通信情報管理部１、異常検知部２、および表示処理部３を備えている。通信情報管理部１は、ネットワーク上で実行される通信を監視して取得した通信情報（IPアドレスやPort番号等）を管理する。異常検知部２は、通信情報管理部１によって管理される通信情報に基づいて、異常な通信を検知する。表示処理部３は、異常検知部２によって検知された異常な通信に係るIPアドレスやPort番号を抽出し、それらを表示（視覚化）する処理を実行する。
【００２７】
通信情報管理部１において、通信監視部１０は、ネットワーク上を伝送するパケットを取得し、そのパケットから通信情報を抽出する。通信情報記憶部１１は、通信監視部１０によって抽出された通信情報を記憶する。通信情報は、通信の実行に係る送信側と受信側の関係を把握するのに必要な情報である。また、通信情報は、ネットワーク上で実行された通信の特徴を示す情報でもあり、この通信情報に基づいて異常な通信を検知することが可能である。本実施形態の通信情報は、時刻（Start Time，End Time）、通信プロトコル（ICMP，TCP，UDP）、IPアドレス（Source IP，Destination IP）、Port番号（送信側・受信側のTCP Port，UDP Port）、およびIPアドレス視覚化装置内で通信毎に付与される通信ID（通信セッション毎に異なる）で構成されている。
【００２８】
異常検知部２において、解析対象情報取得部２０は、異常な通信を検知するための解析処理の対象となる情報を取得するため、通信情報記憶部１１から通信情報を読み出し、特定のパラメータを抽出する。通信解析部２１は、解析対象情報取得部２０によって通信情報記憶部１１から読み出された通信情報のパラメータに基づいて、異常な通信を検知する処理を実行する。上記の手法に基づいた処理により異常な通信を検知した場合、通信解析部２１は異常な通信に係る通信IDを表示処理部３の通信情報抽出部３０に通知する。
【００２９】
通信の異常検知の手法として、例えば特開２００４−３１８５５２号公報、特開２００５−１２８９４７号公報、および特開２００５−１５１２８９号公報に記載されている手法を本実施形態に適用することが可能である。
【００３０】
特開２００４−３１８５５２号公報には、ＩＤＳから出力されるログに含まれるAttack Signature、Source/Destination IP、Destination Port等のパラメータについて、単位時間当たりの頻度が急増する程度を、過去の統計分布を用いて評価する手法が記載されている。この手法により、攻撃頻度の変化量に着目して、ログに含まれる多数のイベントの中から、注目すべき異常なイベントを抽出することが可能となる。
【００３１】
特開２００５−１２８９４７号公報には、Source/Destination IPやDestination Portの広がりの程度（分散度）を情報エントロピーとして算出し、上記の特開２００４−３１８５５２号公報に記載の手法により異常を検知する手法が記載されている。この手法により、ウィルス感染の拡大や、DDos（Distributed Denial of Service）攻撃による通信の集中の程度を簡易に算出することが可能となる。
【００３２】
特開２００５−１５１２８９号公報には、Attack Signature、Source/Destination IP、Destination Port等のパラメータの検知頻度の周期性に注目して異常を検知する手法が記載されている。この手法により、上記の特開２００４−３１８５５２号公報に記載の手法で検知できないような、ゆっくり増加する攻撃や、頻度が小さく隠れがちな攻撃を検知することが可能となる。
【００３３】
表示処理部３において、通信情報抽出部３０は、通信解析部２１および入力部３２から通知される所定の条件を満たす通信情報を通信情報管理部１の通信情報記憶部１１から読み出すことによって、IPアドレスやPort番号の表示に必要な通信情報を抽出する。表示処理制御部３１は、IPアドレスやPort番号の表示に係る処理を制御する。入力部３２は、ユーザによって操作されるマウスやキーボード等を備えており、ユーザによる情報の入力結果を示す信号を通信情報抽出部３０および表示処理制御部３１へ出力する。ユーザは、入力部３２に情報を入力することにより、IPアドレスやPort番号の表示条件（Port番号の表示の有無や単一通信・複数通信の指定条件、通信時刻の指定条件等）を指定することが可能である。
【００３４】
本実施形態の通信情報抽出部３０は、異常な通信に係る通信情報を抽出することも可能であるし、異常の有無に関わらずユーザが指定した条件を満たす通信情報を抽出することも可能である。異常な通信に係る通信情報を抽出する設定がなされている場合、通信情報抽出部３０は、異常検知部２の通信解析部２１から通知された通信IDが付与されている通信情報を通信情報記憶部１１から読み出す。また、異常の有無に関わらずユーザが指定した条件を満たす場合、通信情報抽出部３０は、入力部３２に入力された情報に基づいて、通信情報を通信情報記憶部１１から読み出す。例えば、ユーザが時刻の範囲（Start Time，End Time）を指定した場合、通信情報抽出部３０は、その範囲内の時刻に行われた通信に係る通信情報を通信情報記憶部１１から読み出す。
【００３５】
軸表示処理部３３は、IPアドレスを構成するブロック毎のアドレス値を表示するアドレス値用の軸、およびPort番号を表示するPort番号用の軸を表示するための処理を実行する。線表示処理部３４は、アドレス値用の軸およびPort番号用の軸を結ぶ線を表示するための処理を実行する。文字表示処理部３５は、IPアドレスやPort番号の値等を示す文字（数字を含む）を表示するための処理を実行する。
【００３６】
表示画像生成部３６は、軸表示処理部３３からアドレス表示用の軸およびPort番号表示用の軸の表示位置等を示す情報を受け取り、線表示処理部３４から線の表示位置等を示す情報を受け取り、文字表示処理部３５から文字の表示位置等を示す情報を受け取り、各情報に基づいて表示画像を生成し、画像表示部３７へ出力する。画像表示部３７は表示画像を表示する。これによって、画像表示部３７の画面に、IPアドレスやPort番号を視覚化したグラフが表示される。
【００３７】
次に、本実施形態におけるIPアドレスの視覚化手法を説明する。図２は、IPアドレスを表示する基本的なグラフを示している。このグラフは、単一の通信（１対１通信）に係るIPアドレスを視覚化したものである。グラフの左側がSource IPを示しており、右側がDestination IPを示している。軸４ａ，４ｂ，４ｃ，４ｄは、Source IPを構成する各ブロックに対応しており、軸４ｅ，４ｆ，４ｇ，４ｈは、Destination IPを構成する各ブロックに対応している。各軸の上端は、８bitで表されるアドレス値の000に対応し、各軸の下端はアドレス値の255に対応している。各軸の上には各ブロックのアドレス値が表示されている。
【００３８】
軸４ａ，４ｂは線５ａで結ばれ、軸４ｂ，４ｃは線５ｂで結ばれ、軸４ｃ，４ｄは線５ｃで結ばれ、軸４ｄ，４ｅは線５ｄで結ばれ、軸４ｅ，４ｆは線５ｅで結ばれ、軸４ｆ，４ｇは線５ｆで結ばれ、軸４ｇ，４ｈは線５ｇで結ばれている。各線は、各ブロックのアドレス値に対応した位置にある各軸上の点を結んでいる。例えば、線５ａは、Source IPの第１ブロックのアドレス値に対応した軸４ａ上の点２００と、第２ブロックのアドレス値に対応した軸４ｂ上の点２０１とを結んでいる。
【００３９】
線５ｄは、Source IPの第４ブロックのアドレス値に対応した軸４ｄ上の点２０２と、Destination IPの第１ブロックのアドレス値に対応した軸４ｅ上の点２０３とを結んでおり、点２０２から点２０３への方向を向いた矢印が付いている。この方向は通信方向を示しており、線５ｄによって通信方向が視覚的に分かりやすくなる。通信方向を視覚的により分かりやすくする他の方法として、線が左から右へゆっくりと描かれるようにしてもよい。
【００４０】
図３は、Port番号を文字で付加表示するグラフを示している。図３では、送信側のTCP Portの番号が軸４ａの近傍に文字で表示され、受信側のTCP Portの番号が軸４ｈの近傍に文字で表示されている。また、軸４ａの上端付近および下端付近には、ブロックのアドレス値の目盛となる文字（000，255）が表示されている。
【００４１】
以下、図４を参照しながら、図２および図３に示したグラフを表示する手順を説明する。表示処理制御部３１は、通信情報抽出部３０によって抽出された通信情報を通信情報抽出部３０から受け取る。単一の通信に係るIPアドレスを視覚化する場合、表示処理制御部３１は、単一の通信情報に含まれるSource IP、Destination IP、および必要であればPort番号を軸表示処理部３３、線表示処理部３４、文字表示処理部３５に通知する（ステップＳ１００）。
【００４２】
軸表示処理部３３は各軸の表示位置を計算し、その情報を表示画像生成部３６へ出力する。線表示処理部３４は各線の表示位置を計算し、その情報を表示画像生成部３６へ出力する。文字表示処理部３５は各文字の表示位置を計算し、その情報を文字情報と共に表示画像生成部３６へ出力する（以上、ステップＳ１１０）。表示画像生成部３６は、各表示処理部から出力された情報に基づいて表示画像を生成し、画像表示部３７へ出力する（ステップＳ１２０）。画像表示部３７は表示画像を生成する（ステップＳ１３０）。
【００４３】
次に、複数の通信に係るIPアドレスを視覚化する手法を説明する。図５は、２種類の通信に係るIPアドレスを表示するグラフを示している。Source IPが192.168.0.20でありDestination IPが192.26.48.201である通信（以下、通信Ａとする）と、Source IPが31.41.128.110でありDestination IPが211.225.190.22である通信（以下、通信Ｂとする）とに係るIPアドレスが表示されている。また、各軸のアドレス値を明示するため、アドレス値が各軸の右側に文字で表示されている。
【００４４】
図６は、通信頻度を視覚化したグラフを示している。通信Ｂを示す線が図５よりも太くなっている。線表示処理部３４は、通信頻度に応じて線の太さを制御する。図５のように通信を視覚化することによって、IPアドレスの偏り（分散）の程度が把握しやすくなる。通信頻度は表示処理制御部３１から線表示処理部３４に通知される。表示処理制御部３１は以下のようにして通信頻度の情報を取得する。
【００４５】
図７は、表示処理制御部３１が、通信に係る情報の管理に用いるテーブルを示している。テーブル７００は、通信Ａ（Source IP：192.168.0.20、Destination IP：192.26.48.201）に係る情報を管理するためのテーブルであり、テーブル７１０は、通信Ｂ（Source IP：31.41.128.110、Destination IP：211.225.190.22）に係る情報を管理するためのテーブルである。以下、テーブル７００を例としてテーブルの構造を説明する。
【００４６】
テーブル７００は、隣接するブロックのアドレス値の対応関係と頻度を示す部分テーブル７０１〜７０６、Source IP７０７、およびDestination IP７０８で構成される。部分テーブル７０１は、Source IPの第１ブロックおよび第２ブロックのアドレス値と頻度を関連付けたものである。部分テーブル７０２は、Source IPの第２ブロックおよび第３ブロックのアドレス値と頻度を関連付けたものである。部分テーブル７０３は、Source IPの第３ブロックおよび第４ブロックのアドレス値と頻度を関連付けたものである。部分テーブル７０４，７０５，７０６は、Destination IPについての同様の部分テーブルである。また、図示していないがPort番号についても、適宜、テーブル７００に情報が付加される。
【００４７】
以下、図８を参照しながら、表示処理制御部３１の動作を説明する。図８に示した処理の開始前は上記のテーブルがまだ作成されていないものとする。表示処理制御部３１は、通信情報抽出部３０によって抽出された通信情報の中から、１つの通信IDについての通信情報を参照する（ステップＳ２００）。続いて、表示処理制御部３１は、上記のテーブルに係る処理（テーブルの作成または更新処理）を実行する（ステップＳ２１０）。
【００４８】
ステップＳ２１０において、表示処理制御部３１は、通信情報に含まれるSource IPおよびDestination IPを参照し、それらのIPアドレスと一致するIPアドレスが格納されたテーブルを既に作成したか否かを判定する。図８に示した処理を開始してから初めてステップＳ２１０を実行した場合、あるいは通信情報に含まれるIPアドレスと一致するIPアドレスを有するテーブルをまだ作成していない場合、表示処理制御部３１は新規にテーブルを作成して、Source IP、Destination IP、および各ブロックのアドレス値をそれぞれテーブルに格納し、頻度を１とする。また、通信情報に含まれるIPアドレスと一致するIPアドレスを有するテーブルを既に作成している場合には、表示処理制御部３１は頻度に１を加算することによってテーブルを更新する。
【００４９】
ステップＳ２１０に続いて、表示処理制御部３１は、通信情報抽出部３０によって抽出された全ての通信情報を処理したか否かを判定する（ステップＳ２２０）。処理していない通信情報が存在する場合には、処理がステップＳ２００に戻り、まだ処理していない通信情報の処理が実行される。また、全ての通信情報を処理した場合には、表示処理制御部３１は、Source IP、Destination IP、必要なPort番号、および通信頻度を軸表示処理部３３、線表示処理部３４、文字表示処理部３５に通知する（ステップＳ２３０）。
【００５０】
図６では、具体的な通信頻度の値は表示されていないが、通信頻度の値が表示されるようにしてもよい。例えば、各軸を結ぶ線の近傍に通信頻度の値を文字で常に表示してもよいし、入力部３２が備えるマウス等の操作によりユーザが画面上のカーソルを移動させ、カーソルが線の上に重なったときに通信頻度の値を文字で表示してもよい。また、上記では、線表示処理部３４が通信頻度に応じて線の太さを制御しているが、通信頻度に応じて線の色を制御してもよい。
【００５１】
次に、１つのSource IPと複数のDestination IPの間で実行される通信（１対多通信）、複数のSource IPと１つのDestination IPの間で実行される通信（多対１通信）、および複数のSource IPと複数のDestination IPの間で実行される通信（多対多通信）に係るIPアドレスを視覚化する手法を説明する。
【００５２】
図９は、１対多通信に係るIPアドレスを表示するグラフを示している。図９で視覚化された複数の通信のSource IPは同一であるが、Destination IPが異なっている。より詳細には、Destination IPの第１ブロック〜第３ブロックのアドレス値は同一であるが、第４ブロックのアドレス値のみが異なっている。このため、軸４ｇ，４ｈは複数の線で結ばれている。また、軸４ｇ，４ｈを結ぶ線は、軸４ａ〜４ｇを結ぶ線よりも細くなっている。多対１通信の場合も、Source IPとDestination IPの集中性および拡散性が逆になるだけで、同様のグラフを表示することが可能である。
【００５３】
図１０は、多対多通信に係るIPアドレスを表示するグラフを示している。図１０で視覚化された複数の通信では、Source IPおよびDestination IPは共に１種類ではなく、複数種類となっている。ただし、各IPアドレスの少なくとも第１ブロックのアドレス値は同一である。Source IPおよびDestination IPの第４ブロックのアドレス値が複数であるため、軸４ｄ，４ｈは複数の線と交差している。フィルタリングルールとなるIPアドレスの範囲を明確にするため、アドレス値が拡散している第４ブロックの軸４ｄ，４ｈの右側には、全てのアドレス値ではなく、拡散範囲の両端のアドレス値だけが表示されている。
【００５４】
図１１も、多対多通信に係るIPアドレスを表示するグラフを示している。図１１で視覚化された通信では、Source IPおよびDestination IPのいずれについても、第４ブロックのアドレス値が拡散しているが、アドレス値毎の通信頻度に偏りがある。すなわち、Source IPの第４ブロックのアドレス値が64でありDestination IPの第４ブロックのアドレス値が156である通信は他の通信よりも頻度が高い。図９〜図１１のように通信を視覚化することによって、通信の集中性と拡散性が把握しやすくなる。
【００５５】
以下、図９〜図１１に示したような通信の視覚化を行う場合に、表示処理制御部３１が通信に係る情報の管理に用いるテーブルを説明する。以下では、図１１に示した通信を視覚化する場合を例として、図１２を参照して説明する。図１２に示したテーブル１２００では、第３ブロックおよび第４ブロックのアドレス値と頻度の関係を示す部分テーブルが複数個ある。Source IPおよびDestination IPが複数個あるため、テーブル１２００のSource IP１２１０およびDestination IP１２２０には複数のIPアドレスが格納される。
【００５６】
以下、１つの通信情報（Source IP：192.168.0.64、Destination IP：192.26.48.156）を処理対象とした例を用いて、表示処理制御部３１の処理内容を説明する。図８のステップＳ２１０において表示処理制御部３１は、Source IPの第１ブロックのアドレス値とテーブル１２００のSource IP１２１０の第１ブロックのアドレス値（あるいは部分テーブル１２３０の第１ブロックのアドレス値）を比較すると共に、通信情報に含まれるDestination IPの第１ブロックのアドレス値とテーブル１２００のDestination IP１２２０の第１ブロックのアドレス値（あるいは部分テーブル１２６０の第１ブロックのアドレス値）を比較する。
【００５７】
共にアドレス値が一致するので、表示処理制御部３１は、処理対象の通信情報に対応したテーブルがテーブル１２００であると認識する。もし、いずれかのアドレス値が一致しなかった場合には、他のテーブルについて同様の処理を行うことになる。また、全てのテーブルについて同様の処理を行っても、アドレス値が一致するテーブルが存在しなかった場合には、新たなテーブルの作成が必要となる。
【００５８】
続いて、表示処理制御部３１はSource IPの第１ブロックおよび第２ブロックのアドレス値の組合せと、部分テーブル１２３０の第１ブロックおよび第２ブロックのアドレス値の組合せとを比較する。両者が一致するので、表示処理制御部３１は部分テーブル１２３０の頻度に１を加算する。もし、両者が一致しなかった場合には、新たな部分テーブルの追加が必要となる。
【００５９】
続いて、表示処理制御部３１は同様にSource IPの第２ブロックおよび第３ブロックのアドレス値の組合せと、部分テーブル１２４０の第２ブロックおよび第３ブロックのアドレス値の組合せとを比較する。両者が一致するので、表示処理制御部３１は部分テーブル１２４０の頻度に１を加算する。
【００６０】
続いて、表示処理制御部３１はSource IPの第３ブロックおよび第４ブロックのアドレス値の組合せと、第３ブロックおよび第４ブロックに関する部分テーブル１２５０の第３ブロックおよび第４ブロックのアドレス値の組合せとを比較する。第３ブロックおよび第４ブロックに関する部分テーブル１２５０が複数個あるため、表示処理制御部３１は各部分テーブルについて比較処理を実行する。その結果、表示処理制御部３１は部分テーブル１２５１の頻度に１を加算する。これ以降、同様にして部分テーブル１２６０，１２７０，１２８１の頻度に１が加算される。
【００６１】
図１１では、軸４ｄ，４ｈに関して、通信頻度が高いアドレス値（64，156）を省略せずに表示するようにしている。アドレス値を省略せずに表示するか否かを決定するには、同一のブロックのアドレス値の頻度分布（図１２に示したテーブル１２００から作成することが可能）に基づいた処理を行えばよい。例えば、頻度分布の上位Ｎ個のアドレス値を省略せずに表示するようにすればよい。あるいは、頻度の理論的な統計分布を作成し、９５％信頼区間から外れる高い頻度を有するアドレス値を省略せずに表示するようにすればよい。
【００６２】
次に、IPアドレスと共にPort番号を視覚化する手法を説明する。図１３は、IPアドレスおよびPort番号を表示するグラフを示している。軸４ｉは、送信側のPort番号に対応しており、軸４ｊは、受信側のPort番号に対応している。また、送信側のPort番号に対応した軸４ｉ上の点１３００と、Source IPの第１ブロックのアドレス値に対応した軸４ａ上の点１３０１とが線５ｈで結ばれている。同様に、軸４ｊ上の点１３０２と軸４ｈ上の点１３０３とが線５ｉで結ばれている。IPアドレスとPort番号を区別しやすくするため、軸４ａ〜４ｈと軸４ｉ，４ｊとを色で識別するようにしてもよい。
【００６３】
次に、一部のブロックに対応した軸の表示を省略する手法を説明する。図１４に示すグラフでは、Source IPに関しては軸４ａのみが表示され、Destination IPに関しては軸４ｅ，４ｈのみが表示されている。Source IPに関して軸４ａのみが表示されているのは、全ての通信に係るSource IPが同一であったためである。また、Destination IPに関して軸４ｅ，４ｈのみが表示されているのは、Destination IPの第１ブロックから第３ブロックまでのアドレス値が全ての通信で同一であり、第４ブロックのアドレス値のみが異なっていたためである。
【００６４】
軸４ａの上には、省略された軸に対応した第２ブロックから第４ブロックまでのアドレス値を含むSource IPの全体が文字で表示される。また、軸４ｅの上には、省略された軸に対応した第２ブロックと第３ブロックのアドレス値を含む第１ブロックから第３ブロックまでのアドレス値が文字で表示される。図１４に示したように軸の表示を省略することによって、グラフが見やすくなり、通信の集中性および拡散性がより把握しやすくなる。また、軸表示の省略を行った場合、グラフの見やすさを考慮して、軸表示が省略されたブロックの上位ブロックに対応した軸の中央位置の点（点１４００，１４０１）を通るように線が描画される。
【００６５】
図１５に示すグラフは、IPアドレスのブロックのアドレス値やPort番号が拡散している場合に、その表示を省略した例を示している。例えば、送信側のPort番号を表示する軸４ｉと軸４ａを結ぶ線が省略され、軸４ｉの上に「ｘｘｘ」と表示されている。「ｘｘｘ」は、値の表示を省略していることを意味している。また、アドレス値が拡散しているSource IPの第４ブロックとDestination IPの第４ブロックに対応した軸が省略され、軸４ｃ，４ｇ上に「ｘｘｘ」と表示されている。
【００６６】
Port番号に関しては、表示が省略された場合でも、軸が残るようにしている。IPアドレスに関しては、表示が省略されるブロックに対応した軸が、その上位ブロックに対応した軸に統合される。図１５に示したように、拡散しているアドレス値やPort番号に係る軸の表示を省略することによって、グラフが見やすくなり、通信の集中性がより把握しやすくなる。
【００６７】
図１４と図１５のどちらの表示形式でグラフを表示するのかは、ユーザが適宜選択してもよいし、アドレス値やPort番号の分散の程度から決定してもよい。アドレス値やPort番号の分散の程度から決定する場合、情報の分散（ばらつき）の程度を示す情報エントロピー値をアドレス値やPort番号について算出し、分散の程度が低い場合には表示を省略せず、分散の程度が高い場合には表示を省略するようにすればよい。
【００６８】
図１４、図１５のいずれにおいても、少なくとも第１ブロックのアドレス値が同一である複数のIPアドレスを表示する場合に、第１ブロック〜第３ブロックのいずれかのブロックのアドレス値がどのIPアドレスについても同一のときには、そのブロックの下位のブロックに対応した軸の表示を省略していることになる。このような表示を行うため、表示処理制御部３１は軸の表示を省略するか否かを判定する処理を実行する。
【００６９】
図１４に示したような通信の視覚化を行う場合、表示処理制御部３１は、軸の表示を省略するか否かの判定処理を以下のようにして実行する。図１６は、図１４に示した通信に係る情報を管理するためのテーブルを示している。図１６に示すテーブル１６００の形式は、図７に示したテーブル７００や、図１２に示したテーブル１２００とほぼ同様であるが、Source Port１６１０（送信側）およびDestination Port１６２０（受信側）がテーブルに追加されている。
【００７０】
表示処理制御部３１は、隣接するブロックのアドレス値の対応関係を示す部分テーブルの数に基づいて、軸の表示を省略するか否かを判定する。図１６のテーブル１６００では、Source IPに関して、第ｎブロックと第（ｎ−１）ブロック（ｎ＝２，３，４）の関係を示す部分テーブル１６３０，１６４０が１個ずつであるため、表示処理制御部３１は、ブロックのアドレス値が拡散しておらず、軸の表示が省略可能であると判定する。
【００７１】
また、Destination IPに関して、第２ブロックと第３ブロックの対応関係を示す部分テーブル１６５０が１個であるため、表示処理制御部３１は、ブロックのアドレス値が拡散しておらず、軸の表示が省略可能であると判定する。さらに、第３ブロックと第４ブロックの対応関係を示す部分テーブル１６６０が複数個であるため、表示処理制御部３１は、第４ブロックのアドレス値が拡散しており、第４ブロックに対応した軸の表示を省略しないと判定する。
【００７２】
図１５に示したような通信の視覚化を行う場合も、表示処理制御部３１は、隣接するブロックのアドレス値の対応関係を示す部分テーブルの数に基づいて、軸の表示を省略するか否かを判定する。ただし、部分テーブルが複数個であり、ブロックのアドレス値が拡散している場合には、そのブロックに対応した軸の表示を省略すると判定し、部分テーブルが１個であり、ブロックのアドレス値が拡散していない場合には、そのブロックに対応した軸の表示を省略しないと判定することになる。
【００７３】
次に、所望の検索条件に合致したIPアドレスやPort番号を検索して視覚化する手法を説明する。図１７に示すグラフでは、ユーザが検索条件を指定するためのプルダウンメニュー（以下、メニューと記す）が表示されている。メニュー１７００は、通信プロトコルを選択するためのものである。メニュー１７１０は、Port番号（Source Port）を選択するためのものであり、ユーザがメニュー１７１０の中から所望のPort番号を選択すると、そのPort番号に関するグラフが表示される。
【００７４】
メニュー１７２０は、IPアドレスのブロックのアドレス値を選択するためのものであり、ユーザがメニュー１７２０の中から所望のアドレス値を選択すると、そのアドレス値に関するグラフが表示される。複数のメニューで検索条件が指定された場合、各メニューで指定された検索条件をAND条件としてIPアドレスやPort番号が検索される。DDos攻撃やウィルスへの感染等に関係するIPアドレスやPort番号を特定できた場合等に、ユーザが上記のような検索条件を指定することによって、それに係る通信のみを抽出して視覚化することができる。
【００７５】
アドレス値やPort番号の検索条件を示す情報をユーザが入力部３２に入力すると（例えば入力部３２が備えるマウス等によりユーザが上記のメニューを操作すると）、表示処理制御部３１は、入力部３２に入力された情報に基づいて、ユーザが指定した検索条件を満たすIPアドレスやPort番号について処理を実行する。
【００７６】
図１８に示すグラフは、各軸で表現されるブロックのアドレス値やPort番号の頻度に関して上位Ｎ件の情報を表示するものである。メニュー１８００で「５」という数字が選択されているが、これは、軸４ａに対応した第１ブロックのアドレス値について頻度が高い上位５件のみを表示することを示している。同様にメニュー１８１０，１８２０，１８３０でも頻度の検索条件が選択されており、これらの検索条件をAND条件として、IPアドレスやPort番号が検索される。これによって、頻度の高い通信のみが視覚化されるので、頻度の高い通信の状況を把握することができる。
【００７７】
図１９に示すグラフは、各軸で表現されるブロックのアドレス値やPort番号の頻度に関して、頻度の含有率が高いものの情報を表示するものである。メニュー１９００で「１０％」という数字が選択されているが、これは、軸４ａに対応した第１ブロックのアドレス値について、各アドレス値の頻度の合計値の１０％以上となる頻度を有するアドレス値のみを表示することを示している。同様にメニュー１９１０，１９２０，１９３０でも頻度に関する検索条件が選択されており、これらの検索条件をAND条件として、IPアドレスやPort番号が検索される。これによって、頻度の高い通信のみが視覚化されるので、頻度の高い通信の状況を把握することができる。
【００７８】
次に、双方向の通信に係るIPアドレスを視覚化する手法を説明する。図２等に示したグラフでは、左（Source IP）から右（Destination IP）へ向かう通信が視覚化されている。この通信方向は、TCPプロトコルの場合、例えば通信の開始を意味するSYNパケットが流れた方向を意味する。UDPプロトコルやTCPプロトコルのFTPサービス等では、通信方向が頻繁に入れ替わる通信がある。通信方向が入れ替わった場合でも、双方向の通信を統合的に一組の線で表示することで、通信の接続状況を簡易に表現できるようになる。
【００７９】
以下、DDos攻撃を例として、双方向の通信に係るIPアドレスを視覚化する手法を説明する。図２０は、DDos攻撃に係る通信の様子を示している。まず、侵入者２０００の端末から注目端末２０１０へ侵入のための通信が行われ、侵入された注目端末２０１０が踏み台となって、攻撃の指示を受け取るため、攻撃指令者２０２０の端末へアクセスする。続いて、攻撃指令者２０２０の端末から受信した攻撃指示に基づいて、注目端末２０１０が複数の端末２０３０へDDos攻撃を仕掛ける。
【００８０】
このDDos攻撃の通信に係るIPアドレスは以下のようにして視覚化される。DDos攻撃は以下の３つのステップからなる。
Ｓｔｅｐ１．  侵入者が注目端末の脆弱性を突いて侵入に成功し、踏み台のためのウィルスコードを注目端末に埋め込む。
Ｓｔｅｐ２．  複数の端末に感染コードを埋め込む攻撃の指令を受け取るために注目端末が攻撃指令者の端末に接続する。
Ｓｔｅｐ３．  指令に従い、注目端末が他の端末に向けて攻撃を行う。
【００８１】
図２１（ａ）はＳｔｅｐ１の通信の様子を示しており、図２１（ｂ）は通信に係るIPアドレスを表示するグラフを示している。グラフの左側が侵入者の端末（IPアドレス：60.0.84.57）を示しており、グラフの右側が注目端末（IPアドレス：192.26.48.201）を示している。
【００８２】
図２２（ａ）はＳｔｅｐ２までの通信の様子を示しており、図２２（ｂ）は通信に係るIPアドレスを表示するグラフを示している。攻撃の指令を受け取るため、注目端末が攻撃指令者の端末（IPアドレス：80.151.182.10）に接続する様子が示されている。図２等では、グラフの左側が送信側、グラフの右側が受信側を示していたが、図２２（ｂ）では、送信と受信を行った注目端末のIPアドレスがグラフの右側に固定表示される。また、通信方向を示す矢印は、最初の通信の開始方向（TCPプロトコルの場合、SYNパケットの送信方向）を示しており、送信パケットに対する返信パケットは同一の線で視覚化されている。
【００８３】
表示処理制御部３１は、２種類の通信間で、一方の通信に係るSource IPと他方の通信に係るDestination IPとが同一であった場合には、同一であったIPアドレスをグラフの右側と左側の一方のみに固定して視覚化するように各表示処理部を制御する。例えば図２２（ｂ）に示したグラフを表示する場合、表示処理制御部３１は、軸４ｅ〜４ｈ上に表示すべきIPアドレスとして注目端末のIPアドレスを固定し、線や文字の表示処理を制御する。
【００８４】
図２３（ａ）はＳｔｅｐ３までの通信の様子を示しており、図２３（ｂ）は通信に係るIPアドレスを表示するグラフを示している。注目端末が複数の端末へ攻撃を仕掛ける様子が示されている。図２１（ｂ）、図２２（ｂ）、図２３（ｂ）に示したグラフは順番に動画として表示される。これによって、攻撃の流れを把握することができるようになる。
【００８５】
上記のような通信の視覚化を行う場合、表示処理制御部３１は以下の処理を実行する。図２４は、上記の通信に係る情報を管理するためのテーブルを示している。図２４に示すテーブル２４００，２４１０，２４２０では、前述したテーブルと比較して、時刻２４０１，２４１１，２４２１が追加されている。テーブルの作成方法は前述した通りであり、通信情報に含まれる時刻が各テーブルの時刻２４０１，２４１１，２４２１に格納される。テーブルに複数の通信情報が格納される場合には、複数の時刻がテーブルに格納される。
【００８６】
表示処理制御部３１は一連の通信の流れを時刻２４０１，２４１１，２４２１によって識別する。また、時刻２４０１，２４１１，２４２１に基づいて、動画表示における通信の表示のタイミングが制御される。表示処理制御部３１は、まずテーブル２４００の情報を視覚化するため、軸表示処理部３３、線表示処理部３４、文字表示処理部３５にテーブル２４００の情報を通知する。各表示処理部は各情報の表示に必要な処理を実行し、処理結果を示す情報を表示画像生成部３６へ出力する。表示画像生成部３６は、各表示処理部から出力された情報に基づいて表示画像を生成し、画像表示部３７へ出力する。画像表示部３７は表示画像を生成する。これによって、図２１（ｂ）に示したグラフが表示される。
【００８７】
続いて、表示処理制御部３１は、テーブル２４１０の情報を視覚化するため、軸表示処理部３３、線表示処理部３４、文字表示処理部３５にテーブル２４１０の情報を通知する。各表示処理部は、テーブル２４００と共にテーブル２４１０に含まれる各情報の表示に必要な処理を実行し、処理結果を示す情報を表示画像生成部３６へ出力する。表示画像生成部３６は、各表示処理部から出力された情報に基づいて表示画像を生成し、画像表示部３７へ出力する。画像表示部３７は表示画像を生成する。これによって、図２２（ｂ）に示したグラフが表示される。
【００８８】
続いて、表示処理制御部３１は、テーブル２４２０の情報を視覚化するため、軸表示処理部３３、線表示処理部３４、文字表示処理部３５にテーブル２４２０の情報を通知する。各表示処理部は、テーブル２４００，２４１０と共にテーブル２４２０に含まれる各情報の表示に必要な処理を実行し、処理結果を示す情報を表示画像生成部３６へ出力する。表示画像生成部３６は、各表示処理部から出力された情報に基づいて表示画像を生成し、画像表示部３７へ出力する。画像表示部３７は表示画像を生成する。これによって、図２３（ｂ）に示したグラフが表示される。
【００８９】
図２１（ｂ）、図２２（ｂ）、図２３（ｂ）において、新たに視覚化された通信に係る線は実像として表示し、それよりも前に行われた通信に係る線を残像として表示してもよい。例えば、実像として表示する線を明るく表示し、残像として表示する線を暗く表示するようにすればよい。また、動画表示の速度を変更することも可能であり、通常の表示速度（例えば３０フレーム／秒）で表示したり、早送りまたは遅送りで表示したりすることが可能である。
【００９０】
上述したように、本実施形態によれば、ブロック毎にアドレス値を表示するための軸と、各軸上の点を結ぶ線とで送信側と受信側のそれぞれのIPアドレスを表示することによって、１つのグラフを見るだけで送信側と受信側のIPアドレスの関係を把握することが容易となる。さらに、通信方向を示す矢印が付いた線で送信側と受信側の軸を結ぶことによって、通信方向が分かりやすくなる。さらに、Port番号についても視覚化することによって、Port番号に関するPort番号に関する異常性の把握およびフィルタリングルールの作成が容易になる。
【００９１】
また、通信解析部２１と通信情報抽出部３０が連携して動作することによって抽出された異常な通信に係るIPアドレスを表示することによって、通信の異常性を把握することが容易となる。さらに、異常な通信の規則性が把握しやすくなるので、フィルタリングルールを作成することが容易となる。
【００９２】
また、通信頻度に応じて線の表示形態（太さや色）を制御することによって、通信の集中性と拡散性が分かりやすくなるので、通信の異常性を把握することおよびフィルタリングルールを作成することがより容易になる。さらに、図１４や図１５に示したように軸の表示を省略することによって、グラフが見やすくなるので、通信の異常性を把握することおよびフィルタリングルールを作成することがより容易になる。
【００９３】
また、図１７〜図１９に示したように、検索条件を満たすIPアドレスおよびPort番号を表示することによって、注目したい通信や頻度の高い通信の挙動をより明確に把握することができるようになる。
【００９４】
また、図２１〜図２３に示したように、同じIPアドレスが送信側と受信側の両方に現れる複数の通信を視覚化する場合に、そのIPアドレスをグラフの右側または左側に固定して表示処理を実行することによって、通信方向が入れ替わる複数の通信の状況が把握しやすくなる。さらに、通信の時刻に基づいてIPアドレスおよびPort番号の表示タイミングを制御し、動画表示を行うことによって、攻撃に関する一連の通信の流れを把握することができるようになる。
【００９５】
以上、図面を参照して本発明の実施形態について詳述してきたが、具体的な構成は上記の実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。例えば、上述した実施形態によるIPアドレス視覚化装置の動作および機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませ、実行させてもよい。
【００９６】
ここで、「コンピュータ」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００９７】
また、上述したプログラムは、このプログラムを記憶装置等に格納したコンピュータから、伝送媒体を介して、あるいは伝送媒体中の伝送波により他のコンピュータに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように、情報を伝送する機能を有する媒体のことをいう。また、上述したプログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能を、コンピュータに既に記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。
【図面の簡単な説明】
【００９８】
【図１】本発明の一実施形態によるIPアドレス視覚化装置の構成を示すブロック図である。
【図２】本発明の一実施形態におけるIPアドレスのグラフを示す参考図である。
【図３】本発明の一実施形態におけるIPアドレスのグラフを示す参考図である。
【図４】本発明の一実施形態におけるIPアドレスの視覚化手順を示すフローチャートである。
【図５】本発明の一実施形態におけるIPアドレスのグラフを示す参考図である。
【図６】本発明の一実施形態におけるIPアドレスのグラフを示す参考図である。
【図７】本発明の一実施形態において、表示処理制御部が処理に用いるテーブルの内容を示す参考図である。
【図８】本発明の一実施形態における表示処理制御部の動作手順を示すフローチャートである。
【図９】本発明の一実施形態におけるIPアドレスのグラフを示す参考図である。
【図１０】本発明の一実施形態におけるIPアドレスのグラフを示す参考図である。
【図１１】本発明の一実施形態におけるIPアドレスのグラフを示す参考図である。
【図１２】本発明の一実施形態において、表示処理制御部が処理に用いるテーブルの内容を示す参考図である。
【図１３】本発明の一実施形態におけるIPアドレスおよびPort番号のグラフを示す参考図である。
【図１４】本発明の一実施形態におけるIPアドレスおよびPort番号のグラフを示す参考図である。
【図１５】本発明の一実施形態におけるIPアドレスおよびPort番号のグラフを示す参考図である。
【図１６】本発明の一実施形態において、表示処理制御部が処理に用いるテーブルの内容を示す参考図である。
【図１７】本発明の一実施形態におけるIPアドレスおよびPort番号のグラフを示す参考図である。
【図１８】本発明の一実施形態におけるIPアドレスおよびPort番号のグラフを示す参考図である。
【図１９】本発明の一実施形態におけるIPアドレスおよびPort番号のグラフを示す参考図である。
【図２０】DDos攻撃に係る通信の様子を示す参考図である。
【図２１】DDos攻撃に係る通信の様子とIPアドレスおよびPort番号のグラフを示す参考図である。
【図２２】DDos攻撃に係る通信の様子とIPアドレスおよびPort番号のグラフを示す参考図である。
【図２３】DDos攻撃に係る通信の様子とIPアドレスおよびPort番号のグラフを示す参考図である。
【図２４】本発明の一実施形態において、表示処理制御部が処理に用いるテーブルの内容を示す参考図である。
【符号の説明】
【００９９】
１・・・通信情報管理部、２・・・異常検知部、３・・・表示処理部、１０・・・通信監視部、１１・・・通信情報記憶部、２０・・・解析対象情報取得部、２１・・・通信解析部、３０・・・通信情報抽出部、３１・・・表示処理制御部、３２・・・入力部、３３・・・軸表示処理部、３４・・・線表示処理部、３５・・・文字表示処理部、３６・・・表示画像生成部、３７・・・画像表示部
【図１】
2008227931.tif 000003
【図２】
2008227931.tif 000004
【図３】
2008227931.tif 000005
【図４】
2008227931.tif 000006
【図５】
2008227931.tif 000007
【図６】
2008227931.tif 000008
【図７】
2008227931.tif 000009
【図８】
2008227931.tif 000010
【図９】
2008227931.tif 000011
【図１０】
2008227931.tif 000012
【図１１】
2008227931.tif 000013
【図１２】
2008227931.tif 000014
【図１３】
2008227931.tif 000015
【図１４】
2008227931.tif 000016
【図１５】
2008227931.tif 000017
【図１６】
2008227931.tif 000018
【図１７】
2008227931.tif 000019
【図１８】
2008227931.tif 000020
【図１９】
2008227931.tif 000021
【図２０】
2008227931.tif 000022
【図２１】
2008227931.tif 000023
【図２２】
2008227931.tif 000024
【図２３】
2008227931.tif 000025
【図２４】
2008227931.tif 000026