(57)【要約】【課題】ネットワークアドレスを管理するテーブルをパケットと別に管理することなく、ネットワーク上から収集されたパケットを送信または受信した端末を特定できる。【解決手段】ＤＨＣＰパケット受信部５１は、ＩＰアドレス及び当該ＩＰアドレスが割り当てられた端末を示すホスト名を含むＤＨＣＰパケットを受信する。パケット収集／保存処理部５２は、ネットワーク上のパケットを収集する。パケット保存部４２は、受信されたＤＨＣＰパケット及び収集されたパケットを保存する。パケット解析部５３は、ＤＨＣＰパケットに含まれるＩＰアドレス及びホスト名を抽出する。パケット解析部５３は、パケットに含まれるＩＰアドレスを抽出する。ＤＨＣＰ管理テーブル４３は、ＩＰアドレス及びホスト名を対応付けて保持する。パケット解析部５３は、ＤＨＣＰ管理テーブル４３を参照してパケットから抽出されたＩＰアドレスに割り当てられている端末を特定する。【選択図】      図３
2008113197.tif 000002
【特許請求の範囲】
【請求項１】
端末に割り当てられたアドレスを含むパケットデータを通信可能なネットワークに接続された通信監視記録装置において、
前記ネットワークに接続された複数の端末の各々に対して割り当てられたアドレス及び当該アドレスが割り当てられた端末を示す端末情報を含むアドレス管理情報を受信する受信手段と、
前記ネットワーク上のパケットデータを収集するパケット収集手段と、
前記受信手段によって受信されたアドレス管理情報及び前記パケット収集手段によって収集されたパケットデータを保存する保存手段と、
前記保存手段に保存されているアドレス管理情報を解析して、当該アドレス管理情報に含まれるアドレス及び端末情報を抽出する第１の抽出手段と、
前記保存手段に保存されているパケットデータを解析して、当該パケットデータに含まれるアドレスを抽出する第２の抽出手段と、
前記第１の抽出手段によって抽出されたアドレス及び端末情報を対応付けて保持する保持手段と、
前記保持手段に保持されているアドレス及び端末情報に基づいて、前記第２の抽出手段によって抽出されたアドレスに割り当てられている端末を特定する特定手段と
を具備することを特徴とする通信監視記録装置。
【請求項２】
前記ネットワークは、前記アドレス管理情報に含まれるアドレスを当該アドレス管理情報に含まれる端末情報によって示される端末に割り当てる処理を実行するサーバが接続される第１のネットワークセグメント及び当該第１のネットワークセグメントと異なる第２のネットワークセグメントを含み、
前記受信手段は、前記第２のネットワークセグメントに接続され、前記第１のネットワークセグメントに接続されて前記アドレス管理情報を収集するアドレス管理情報収集手段によって送信されたアドレス管理情報を受信することを特徴とする請求項１記載の通信監視記録装置。
【請求項３】
前記アドレス管理情報は、当該アドレス管理情報に含まれるアドレスの有効期間を示す有効期間情報を含み、
前記第１の抽出手段は、前記保存手段に保存されているアドレス管理情報を解析して、当該アドレス管理情報に含まれる有効期間情報を抽出し、
前記保持手段は、前記第１の抽出手段によって抽出された有効期間情報を、当該保持手段によって保持されているアドレス及び端末情報に対応付けて保持し、
前記保持手段に保持されている有効期間情報のうち、当該有効期間情報によって示される有効期間が切れた有効期間情報、当該有効期間情報に対応付けて保持されているアドレス及び端末情報を削除する削除手段を更に具備する
ことを特徴とする請求項１記載の通信監視記録装置。
【請求項４】
前記第２の抽出手段によって抽出されたアドレスを、前記特定手段によって特定された端末を示す端末情報と共に表示するために出力する出力手段を更に具備することを特徴とする請求項１記載の通信監視記録装置。
【請求項５】
端末に割り当てられたアドレスを含むパケットデータを通信可能なネットワークに接続された通信監視記録装置において、
前記ネットワーク上のパケットデータを収集するパケット収集手段と、
前記パケット収集手段によって収集されたパケットデータを解析して、当該パケットデータに含まれるアドレスを抽出する第１の抽出手段と、
前記第１の抽出手段によって抽出されたアドレスが割り当てられた端末に関する情報を要求する要求手段と、
前記第１の抽出手段によって抽出されたアドレス及び当該アドレスが割り当てられた端末を示す端末情報を含むアドレス管理情報を、前記要求手段による要求に対する応答として受信する受信手段と、
前記受信手段によって受信されたアドレス管理情報を解析して、当該アドレス管理情報に含まれるアドレス及び端末情報を抽出する第２の抽出手段と、
前記第２の抽出手段によって抽出されたアドレス及び端末情報に基づいて、前記第１の抽出手段によって抽出されたアドレスに割り当てられている端末を特定する手段と
を具備することを特徴とする通信監視記録装置。
【請求項６】
端末に割り当てられた第１のアドレスを含むパケットデータを通信可能なネットワークに接続された通信監視記録装置のコンピュータによって実行される通信監視記録プログラムであって、
前記コンピュータに、
前記ネットワークに接続された複数の端末の各々に対して割り当てられた第２のアドレス及び当該第２のアドレスが割り当てられた端末を示す端末情報を含むアドレス管理情報を受信するステップと、
前記ネットワーク上のパケットデータを収集するステップと、
前記受信されたアドレス管理情報及び前記収集されたパケットデータを保存手段に保存するステップと、
前記保存手段に保存されているアドレス管理情報を解析して、当該アドレス管理情報に含まれる第２のアドレス及び端末情報を抽出するステップと、
前記保存手段に保存されているパケットデータを解析して、当該パケットデータに含まれる第１のアドレスを抽出するステップと、
前記抽出された第２のアドレス及び端末情報を対応付けて保持手段に保持させるステップと、
前記保持手段に保持されている第２のアドレス及び端末情報に基づいて、前記抽出された第１のアドレスに割り当てられている端末を特定するステップと
を実行させるための通信監視記録プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク上の通信パケットデータを収集して記録し、当該通信パケットデータの解析を実行する通信監視記録装置及び通信監視記録プログラムに関する。
【背景技術】
【０００２】
近年の情報漏洩防止のソリューションに対する関心の高まりとともに、例えば端末及びサーバ間におけるネットワーク上の通信パケットデータ（以下、単にパケットと表記）を収集して記録し、記録された複数のパケットの解析を行う通信監視記録装置の需要が高まっている。
【０００３】
上記したような通信監視記録装置では、ネットワーク上から収集されたパケットを送信または受信したユーザを特定することが重要である。ここで、端末及び当該端末を使用するユーザは密接に結び付いている。このため、ネットワーク上から収集されたパケットを送信または受信した端末を特定することによって、当該パケットを送信または受信したユーザを特定することができる。
【０００４】
なお、ネットワーク上から収集されたパケットには、当該パケットを送信または受信した各端末に割り当てられたネットワークアドレス（ＩＰアドレス：Internet Protocolアドレス）が含まれている。このネットワークアドレスにより、ネットワーク上から収集されたパケットを送信または受信した端末を特定することができる。つまり、各端末に対して固有のネットワークアドレスが割り当てられている場合においては、当該ネットワークアドレスと端末との結び付きが分かれば、当該ネットワークアドレスから端末を特定することは容易である。
【０００５】
しかしながら、近年、ＤＨＣＰ（Dynamic Host Configuration Protocol）サーバにより、端末に動的にネットワークアドレスを割り当てる機能を利用したネットワークシステムが普及している。このようなシステム環境においては、端末にネットワークアドレスを一時的に割り当てることが可能であるため、ネットワークアドレスと端末との結び付きは永続的なものではなく、時間と共に変化する。
【０００６】
このような、動的に端末にネットワークアドレスを割り当てるようなシステム環境に、上記したような通信監視記録装置を導入して例えばパケットを記録して解析する場合を想定する。この場合、例えば過去に記録されたパケットを解析することにより、当該パケットを送信または受信した端末のネットワークアドレスを特定することは可能である。しかしながら、このネットワークアドレスから端末を特定しようとした場合、解析時に当該ネットワークアドレスが割り当てられている端末と、解析の対象となるパケットが記録された時点で当該ネットワークアドレスが割り当てられている端末とが異なる場合がある。
【０００７】
このため、ネットワーク上から収集されたパケットを記録する際に、端末とネットワークアドレスとの結び付きに関する情報を記録しておく必要がある。この情報には、例えば端末にネットワークアドレスが割り当てられた日時、ネットワークアドレスの有効期間、当該端末のＩＰアドレスまたは当該端末を特定するＭＡＣ（Media Access Control）アドレスやコンピュータ名等が含まれる。これにより、ネットワーク上から収集され、記録されたパケットの解析時に、この情報を利用することで、ネットワークアドレスから端末を特定することが可能となる。
【０００８】
例えば、動的なＩＰアドレス割当機能を利用したネットワーク環境においても、ホスト名を使用したノードを正確に特定したトラフィック分析を実行する技術が開示されている（例えば、特許文献１を参照）。この技術によれば、ＩＰアドレスとホスト名との対応関係が変化した場合であっても、ホスト名を使用したトラフィック分析結果を正確に算出し、かつ表示出力することが可能となる。
【特許文献１】特開２０００−２７８３１５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
しかしながら、上記したような動的に端末にアドレスを割り当てる際に送信または受信されるパケットは、ブロードキャストパケットを使用するため、異なるネットワークセグメントには到達できない。
【００１０】
このため、例えばＤＨＣＰサーバと通信監視記録装置が異なるネットワークセグメントに接続されている場合、通信監視記録装置は、端末に動的にネットワークアドレスが割り当てられる際に、例えば当該ＤＨＣＰサーバ及び当該端末間で送信または受信されたパケットを収集することができない。この場合、通信監視記録装置は、ネットワーク上から収集されたパケットのみからでは、当該パケットに含まれるネットワークアドレスと当該ネットワークアドレスが割り当てられている端末との結び付きが分からないため、端末を特定することができない。
【００１１】
また、上記したように端末とネットワークアドレスとの結び付きに関する情報を、ネットワーク上から収集されたパケットとは別に保存する場合、特に収集されたパケットが大量になるとデータが複数箇所に分散して管理が複雑になる。
【００１２】
更に、パケットの解析時に、この結び付きに関する情報を使用してネットワークアドレスから端末を特定するためには、ネットワークアドレスの割当日時や有効期間等を考慮して検索をかける必要があるため、処理が重く複雑になる。
【００１３】
本発明の目的は、ネットワークアドレスを管理するテーブルをパケットと別に管理することなく、ネットワーク上から収集されたパケットを送信または受信した端末を特定することができる通信監視記録装置を提供することにある。
【課題を解決するための手段】
【００１４】
本発明の１つの態様によれば、端末に割り当てられたアドレスを含むパケットデータを通信可能なネットワークに接続された通信監視記録装置が提供される。この通信監視記録装置は、前記ネットワークに接続された複数の端末の各々に対して割り当てられたアドレス及び当該アドレスが割り当てられた端末を示す端末情報を含むアドレス管理情報を受信する受信手段と、前記ネットワーク上のパケットデータを収集するパケット収集手段と、前記受信手段によって受信されたアドレス管理情報及び前記パケット収集手段によって収集されたパケットデータを保存する保存手段と、前記保存手段に保存されているアドレス管理情報を解析して、当該アドレス管理情報に含まれるアドレス及び端末情報を抽出する第１の抽出手段と、前記保存手段に保存されているパケットデータを解析して、当該パケットデータに含まれるアドレスを抽出する第２の抽出手段と、前記第１の抽出手段によって抽出されたアドレス及び端末情報を対応付けて保持する保持手段と、前記保持手段に保持されているアドレス及び端末情報に基づいて、前記第２の抽出手段によって抽出されたアドレスに割り当てられている端末を特定する特定手段とを具備する。
【発明の効果】
【００１５】
本発明によれば、ネットワークアドレスを管理するテーブルをパケットと別に管理することなく、ネットワーク上から収集されたパケットを送信または受信した端末を特定することができる。
【発明を実施するための最良の形態】
【００１６】
以下、図面を参照して、本発明の実施形態について説明する。
【００１７】
図１は、本発明の実施形態に係る通信監視記録装置を含むクライアント−サーバシステムのハードウェア構成を示すブロック図である。
【００１８】
図１のクライアント−サーバシステムは、主として、複数のサーバと、複数のクライアント端末２０とから構成される。複数のサーバは、サーバ１００を含む。複数のクライアント端末２０上では、例えばサーバ１００を利用するクライアントソフトウェアが動作する。クライアントソフトウェアは例えばブラウザである。複数のクライアント端末２０は、例えばインターネットのようなネットワーク３０を介してサーバ１００と接続されている。なお、図１にはサーバ１００以外のサーバは省略されている。
【００１９】
ネットワーク３０には、コンピュータ１０が接続されている。コンピュータ１０は、ハードディスクドライブのような外部記憶装置４０と接続されている。この外部記憶装置４０は、コンピュータ１０によって実行されるプログラム４１を保存する。コンピュータ１０及び外部記憶装置４０は、通信監視記録装置５０を構成する。
【００２０】
図２は、図１に示される通信監視記録装置５０が接続されるネットワークシステムについて説明するための図である。
【００２１】
図２に示すように、通信監視記録装置５０は、例えばネットワーク３１（第２のネットワークセグメント）に接続されている。このネットワーク３１は、例えばルータ６０によってネットワーク３２（第１のネットワークセグメント）と相互に接続されている。ネットワーク３１及びネットワーク３２は、図１に示すネットワーク３０に含まれる。また、ネットワーク３１及びネットワーク３２は、異なるネットワークセグメントであるものとする。また、ネットワーク３１及びネットワーク３２は、例えばクライアント端末及びＷｅｂサーバ間での通信に用いられる通信パケットデータ（以下、単にパケットと表記）を通信可能である。なお、このパケットには、例えば通信を行ったクライアント端末に割り当てられたＩＰ（Internet Protocol）アドレス（第１のアドレス）が含まれる。
【００２２】
ネットワーク３２には、複数のクライアント端末２０及びＤＨＣＰ（Dynamic Host Configuration Protocol）サーバ７０が接続されている。ＤＨＣＰサーバ７０は、例えばクライアント端末にＩＰアドレスを動的に割り当てる処理を行う。また、ＤＨＣＰサーバ７０は、ＤＣＨＰパケット収集部７０１を含む。
【００２３】
ここで、例えば新たにクライアント端末がネットワーク３２に接続された場合について説明する。この場合、このクライアント端末は、ＤＨＣＰサーバ７０に対するアドレス割り当て要求をブロードキャストパケットにより送信する。ＤＨＣＰサーバ７０は、クライアント端末からの要求に応答して、パケット通信を実行する。この通信により、クライアント端末は、ＤＨＣＰサーバ７０から動的にＩＰアドレスを割り当てられる。
【００２４】
このとき、ＤＨＣＰサーバ７０に含まれるＤＨＣＰパケット収集部７０１は、ＤＨＣＰサーバ７０によるアドレス割り当ての際に送受信されたＤＨＣＰパケット（アドレス管理情報）を収集する。ＤＨＣＰパケットは、例えばクライアント端末に対して割り当てられたＩＰアドレス（第２のアドレス）、当該クライアント端末を特定するＭＡＣ（Media Access Control）アドレス、当該クライアント端末のホスト名（端末情報）または当該ＩＰアドレスの有効期間（を示す情報）を含む。
【００２５】
また、ＤＨＣＰパケット収集部７０１は、収集されたＤＨＣＰパケットをカプセル化し、通信監視記録装置５０に対して例えばユニキャストアドレスを使用してネットワーク３１及び３２経由で送信する。ユニキャストアドレスは、例えばネットワーク内で、特定の相手（ここでは、通信監視記録装置５０）にデータを送信するためのアドレスである。
【００２６】
図３は、通信監視記録装置５０の主として機能構成を示すブロック図である。通信監視記録装置５０は、ＤＨＣＰパケット受信部５１、パケット収集／保存処理部５２、パケット解析部５３及び解析結果作成部５４を有する。本実施形態において、これらの各部５１乃至５４は、図１に示されるコンピュータ１０が外部記憶装置４０に保存されているプログラム４１を実行することにより実現されるものとする。このプログラム４１は、コンピュータ読み取り可能な記憶媒体に予め保存して頒布可能である。また、このプログラム４１が、例えばネットワーク３０を介してコンピュータ１０にダウンロードされても構わない。
【００２７】
また、通信画面再現装置５０は、パケット保存部４２及びＤＨＣＰ管理テーブル４３を含む。本実施形態において、パケット保存部４２及びＤＨＣＰ管理テーブル４３は、外部記憶装置４０に保存（格納）される。
【００２８】
ＤＨＣＰパケット受信部５１は、ＤＨＣＰパケット収集部７０１によって送信されたパケットを受信する。ＤＨＣＰパケット受信部５１は、受信されたパケットからカプセル化されたＤＨＣＰパケット（受信されたパケットのペイロード）を取り出す。ＤＨＣＰパケット受信部５１は、取り出されたＤＨＣＰパケットをパケット収集／保存処理部５２に送る。
【００２９】
パケット収集／保存処理部５２は、ＤＨＣＰパケット受信部５１によって送られたＤＨＣＰパケットを受け取る。また、パケット収集／保存処理部５２は、ネットワーク３１に接続された例えばポートミラー機能を有するハブ８０を介して、当該ネットワーク３１上のパケットを収集する。ネットワーク３１上から収集されるパケットには、例えばＨＴＴＰ（HyperText Transfer Protocol）通信によるＨＴＴＰパケットまたはＳＭＴＰ（Simple Mail Transfer Protocol）通信によるＳＭＴＰパケットがある。パケット収集／保存処理部５２は、受け取られたＤＨＣＰパケット及び収集されたＨＴＴＰパケットまたはＳＭＴＰパケットを順次、マージしてパケット保存部４２に保存する。このパケット保存部４２に保存されたＨＴＴＰパケットには、例えば当該ＨＴＴＰパケットが収集された日時、当該ＨＴＴＰパケット通信を実行したクライアント端末のＩＰアドレス、当該クライアント端末の通信先となるＵＲＬ（を示す情報）が含まれる。また、パケット保存部４２に保存されたＳＭＴＰパケットには、例えば当該ＳＭＴＰパケットが収集された日時、当該ＳＭＴＰパケットを通信（送信）したクライアント端末のメールアドレス、当該通信（送信）先となるメールアドレス（を示す情報）が含まれる。以下、パケット収集／保存処理部５２によって収集され、パケット保存部４２に保存されたパケットはＨＴＴＰパケットであるものとして説明する。
【００３０】
パケット解析部５３は、パケット保存部４２に保存されているＤＨＣＰパケット及びＨＴＴＰパケットを順次、解析する。パケット解析部５３は、ＨＴＴＰパケットを解析して、例えば解析結果として出力されるために必要な情報、例えばＩＰアドレス等を抽出する（取り出す）。また、パケット解析部５３は、ＤＨＣＰパケットを解析して、当該ＤＨＣＰパケットに含まれているＩＰアドレス、ＭＡＣアドレス、ホスト名及び有効期間を示す情報（有効期間情報）を抽出する。パケット解析部５３は、抽出されたＩＰアドレス、ＭＡＣアドレス、ホスト名及び有効期間情報をＤＨＣＰ管理テーブル４３に登録する。以下、上記したＤＨＣＰ管理テーブル４３に登録されたＩＰアドレス、ＭＡＣアドレス、ホスト名及び有効期間情報をまとめてＤＨＣＰ情報と称する。また、パケット解析部５３は、有効期間情報によって示されるＩＰアドレスの有効期間が切れた有効期間情報を含むＤＨＣＰ情報をＤＨＣＰ管理テーブル４３から削除する処理を実行する。また、パケット解析部５３は、ＤＨＣＰ管理テーブル４３を参照して、例えばＨＴＴＰパケットから抽出されたＩＰアドレスが割り当てられているクライアント端末を特定する。この場合、例えばＨＴＴＰパケットから抽出されたＩＰアドレスを含むＤＨＣＰ情報に含まれる例えばホスト名を取得する。
【００３１】
解析結果作成部５４は、パケット解析部５３によって抽出された情報を解析結果として、例えばユーザに対して表示するために出力する。解析結果作成部５４は、パケット解析部５３によって取得された例えばホスト名を、解析結果に追加（付加）して出力する。
【００３２】
ここで、解析結果作成部５４によって出力される解析結果は、例えばＨＴＴＰパケットが解析された場合には、当該ＨＴＴＰパケットに含まれる日時、ＩＰアドレス、ＵＲＬ及び当該解析結果作成部５４によって追加されたホスト名を含む。また、例えばＳＭＴＰパケットが解析された場合には、当該ＳＭＴＰパケットに含まれる日時、当該ＳＭＴＰパケットを通信（送信）したクライアント端末のメールアドレス、当該通信（送信）先となるメールアドレス及び当該解析結果作成部５４によって追加されたホスト名を含む。
【００３３】
次に、図４のフローチャートを参照して、ＤＨＣＰパケットをマージしてパケット保存部４２に保存する処理手順について説明する。
【００３４】
例えば新たにクライアント端末がネットワーク３２に接続された場合、当該クライアント端末及びＤＨＣＰサーバ７０間では、当該クライアント端末に例えばＩＰアドレスを割り当てるためにＤＨＣＰパケットの通信が行われる。
【００３５】
ＤＨＣＰパケット収集部７０１は、上記したクライアント端末及びＤＨＣＰサーバ７０間での通信において、やり取りされたＤＨＣＰパケットを収集する（ステップＳ１）。このＤＨＣＰパケットは、例えばＩＰアドレス、ＭＡＣアドレス、ホスト名または有効期間情報を含む。
【００３６】
次に、ＤＨＣＰパケット収集部７０１は、収集されたＤＨＣＰパケットを、通信監視記録装置５０のＤＨＣＰパケット受信部５１に対して送信する（ステップＳ２）。この場合、ＤＨＣＰパケット収集部７０１は、例えばユニキャストアドレスを使用して送信する。また、このＤＨＣＰパケットは、カプセル化されて、ＤＨＣＰパケット受信部５１に送信される。
【００３７】
ＤＨＣＰパケット受信部５１は、ＤＨＣＰパケット収集部７０１によって送信されたパケットを、例えば時系列順に受信する（ステップＳ３）。ＤＨＣＰパケット受信部５１は、受信されたパケットからカプセル化されたＤＨＣＰパケットを取り出し、取り出されたＤＨＣＰパケットをパケット収集／保存処理部５２に送る。
【００３８】
パケット収集／保存処理部５２は、ＤＨＣＰパケット受信部５１から送られたＤＨＣＰパケットを受け取る。また、パケット収集／保存処理部５２は、例えばネットワーク３１上のＨＴＴＰパケット（またはＳＭＴＰパケット）を、ハブ８０を介して、例えば時系列順に収集する。パケット収集／保存処理部５２は、受け取られたＤＨＣＰパケット及び収集されたＨＴＴＰパケットを順次、マージしてパケット保存部４２に保存する処理を実行する（ステップＳ４）。
【００３９】
ここで、図５は、パケット保存部４２にマージして保存されたＤＨＣＰパケット、ＨＴＴＰパケット及びＳＭＴＰパケットについて説明するための図である。
【００４０】
図５に示すように、パケット保存部４２には、ＤＨＣＰパケット４２１、ＨＴＴＰパケット４２２、４２３、４２５及び４２６またはＳＭＴＰパケット４２４が保存されている。ＤＨＣＰパケット４２１は、ＤＨＣＰパケット受信部５１によって受信され、当該ＤＨＣＰパケット受信部５１からパケット収集／保存処理部５２に送られたパケットである。ＨＴＴＰパケット４２２、４２３、４２５及び４２６は、ＨＴＴＰ通信によるパケットであり、パケット収集／保存処理部５２によって収集されたパケットである。また、ＳＭＴＰパケット４２４は、ＳＭＴＰ通信によるパケットであり、パケット収集／保存処理部５２によって収集されたパケットである。
【００４１】
ここで、まず、例えばＤＨＣＰパケット受信部５１からＤＨＣＰパケット４２１がパケット収集／保存処理部５２に送られ、その後にＨＴＴＰパケット４２２、ＨＴＴＰパケット４２３、ＳＭＴＰパケット４２４、ＨＴＴＰパケット４２５及びＨＴＴＰパケット４２６の順でパケット収集／保存処理部５２によって収集された場合を想定する。
【００４２】
この場合においては、パケット収集／保存処理部５２は、まず、ＤＨＣＰパケット受信部５１から送られたＤＨＣＰパケットをパケット保存部４２に保存する。その後、パケット収集／保存処理部５２は、収集されたＨＴＴＰパケット４２２、ＨＴＴＰパケット４２３、ＳＭＴＰパケット４２４、ＨＴＴＰパケット４２５及びＨＴＴＰパケット４２６を順次、パケット保存部４２に保存する。つまり、パケット収集／保存処理部５２は、例えばＤＨＣＰパケット及びＨＴＴＰパケット（またはＳＭＴＰパケット）の各々が受け取られた順及び収集された順に、当該ＤＨＣＰパケット及びパケットをパケット保存部４２に保存する。
【００４３】
次に、図６のフローチャートを参照して、パケット解析部５３の処理手順について説明する。
【００４４】
まず、パケット解析部５３は、パケット保存部４２に保存されている例えばＤＨＣＰパケット及びＨＴＴＰパケット（またはＳＭＴＰパケット）を順次、解析する。このとき、パケット解析部５３は、例えばパケット保存部４２に保存された順に各パケットを解析する。ここで、パケット解析部５３が、例えばＤＨＣＰパケットを解析した場合を想定する。この場合、パケット解析部５３は、ＤＨＣＰパケットを解析することにより、ＤＨＣＰ情報を取り出す（ステップＳ１１）。このＤＨＣＰ情報は、ＤＨＣＰパケットに含まれているＩＰアドレス、ＭＡＣアドレス、ホスト名及び有効期間情報である。
【００４５】
次に、パケット解析部５３は、取り出されたＤＨＣＰ情報をＤＨＣＰ管理テーブル４３に登録する（ステップＳ１２）。
【００４６】
ここで、図７は、ＤＨＣＰ管理テーブル４３のデータ構造の一例を示す。図６に示すように、ＤＨＣＰ管理テーブル４３は、パケット解析部５３によって登録されたＤＨＣＰ情報を保持する。ＤＨＣＰ管理テーブル４３に保持されているＤＨＣＰ情報は、クライアント端末に割り当てられたＩＰアドレス、当該クライアント端末を特定するＭＡＣアドレス、当該クライアント端末のホスト名及び当該ＩＰアドレスの有効期間情報を示す。
【００４７】
図７に示す例では、ＤＨＣＰ管理テーブル４３は、例えばＤＨＣＰ情報４３ａ、４３ｂを保持する。このＤＨＣＰ情報４３ａは、ＩＰアドレス「Ｉｐ０」、ＭＡＣアドレス「Ｍａｃ０」、ホスト名「Ｈｏｓｔ０」及び有効期間「Ｄａｔｅｔｉｍｅ０」を示す。また、ＤＨＣＰ情報４３ｂは、ＩＰアドレス「Ｉｐ１」、ＭＡＣアドレス「Ｍａｃ１」、ホスト名「Ｈｏｓｔ１」及び有効期間「Ｄａｔｅｔｉｍｅ１」を示す。
【００４８】
再び図６を参照して説明する。パケット解析部５３は、ＤＨＣＰ管理テーブル４３に保持されているＤＨＣＰ情報のうち、ＤＨＣＰ情報によって示される有効期間が切れた当該ＤＨＣＰ情報を当該ＤＨＣＰ管理テーブル４３から削除する（ステップＳ１３）。
【００４９】
ここで、パケット解析部５３が、例えばＨＴＴＰパケットを解析した場合を想定する。この場合、パケット解析部５３は、ＨＴＴＰパケットを解析することにより、ＨＴＴＰパケットに含まれる例えばＩＰアドレスを取り出す（ステップＳ１４）。このとき、パケット解析部５３は、例えばＨＴＴＰパケットに含まれる日時またはＵＲＬについても取り出す処理を実行する。
【００５０】
次に、パケット解析部５３は、ＤＨＣＰ管理テーブル４３を参照して、取り出されたＩＰアドレスを示すＤＨＣＰ情報を検索する（ステップＳ１５）。
【００５１】
パケット解析部５３は、検索されたＤＨＣＰ情報によって示される例えばホスト名を取得する（ステップＳ１６）。この処理により、パケット解析部５３は、解析されたＨＴＴＰパケットを例えば送信または受信したクライアント端末を特定できる。
【００５２】
解析結果作成部５４は、パケット解析部５３による例えばＨＴＴＰパケットの解析結果に、当該パケット解析部５３によって取得されたホスト名を付与して出力する。なお、例えばユーザによって指定された検索条件に応じて、解析結果作成部５４によって出力された解析結果を検索することが可能である。
【００５３】
上記したように本実施形態においては、例えばＤＨＣＰサーバ７０によって動的にＩＰアドレスが割り当てられる場合において、ＤＨＣＰパケット受信部５１によって受信されたＤＨＣＰパケットと、パケット保存／収集部５２によってネットワーク上から収集された例えばＨＴＴＰパケット（またはＳＭＴＰパケット）とを順次、マージしてパケット保存部４２に保存する。また、パケット保存部４２に格納されたＤＨＣＰパケット及びＨＴＴＰパケット（またはＳＭＴＰパケット）が順次解析される。ＤＨＣＰパケットが解析された際には、ＤＨＣＰ情報が抽出され（取り出され）、当該ＤＨＣＰ情報がＤＨＣＰ管理テーブル４３に登録される。これにより、例えばＤＨＣＰサーバ７０と通信監視記録装置５０が異なるネットワークセグメントに接続されている場合であっても、ＩＰアドレスを管理するためのテーブルを、パケット保存部４２に格納されているパケットと別に管理することなく、当該パケットを送信または受信したクライアント端末を特定することができる。
【００５４】
［第１の変形例］
次に、本実施形態の第１の変形例について説明する。図８は、本変形例に係る通信監視記録装置５０が接続されるネットワークシステムについて説明するための図である。なお、図２と同様の部分には同一参照符号を付してその詳しい説明を省略する。ここでは、図２と異なる部分について主に述べる。以下の各変形例についても同様にして重複した説明を省略する。
【００５５】
図８に示すように、本変形例においては、ＤＨＣＰパケット収集部７０２が、ＤＨＣＰサーバ７１の外部に設けられている。
【００５６】
ここで、例えば新たにクライアント端末がネットワーク３２に接続された場合について説明する。この場合、ＤＨＣＰサーバ７１及びクライアント端末間では、当該クライアント端末に対して例えばＩＰアドレス割り当てるためにパケット通信が実行される。
【００５７】
このとき、ＤＨＣＰパケット収集部７０２は、例えばポートミラー機能を有するハブ８１を介して、ＤＨＣＰサーバ７１及びクライアント端末間で送受信されるＤＨＣＰパケットを収集する。ＤＨＣＰパケット収集部７０２は、収集されたＤＨＣＰパケットをカプセル化して通信監視記録装置５０に対して、例えばユニキャストアドレスを使用してネットワーク３１及び３２経由で送信する。
【００５８】
上記したように本変形例においては、例えばＤＨＣＰパケットを収集するＤＨＣＰパケット収集部７０２が、ＤＨＣＰサーバ７１の外部に設けられている場合であっても、当該ＤＨＣＰパケット収集部７０２が例えばポートミラー機能を有するハブ８１を介してＤＨＣＰパケットを収集する。これにより、ＤＨＣＰパケット及びネットワーク上から収集された例えばＨＴＴＰパケット（またはＳＭＴＰパケット）とを順次、マージしてパケット保存部４２に保存する。また、パケット保存部４２に格納されたＤＨＣＰパケット及びＨＴＴＰパケット（またはＳＭＴＰパケット）を順次解析し、ＤＨＣＰパケットを解析した際には、ＤＨＣＰ情報をＤＨＣＰ管理テーブル４３に登録する。これにより、本変形例においても、上記実施形態と同様に、例えばＤＨＣＰサーバ７１と通信監視記録装置５０が異なるネットワークセグメントに接続されている場合であっても、ＩＰアドレスを管理するテーブルを、パケット保存部４２に格納されているパケットと別に管理することなく、当該パケットを送信または受信したクライアント端末を特定することができる。
【００５９】
［第２の変形例］
次に、本実施形態の第２の変形例について説明する。図９は、本変形例に係る通信監視記録装置５０１が接続されるネットワークシステムについて説明するための図である。
【００６０】
本変形例では、例えばＬＤＡＰ（Lightweight Directory Access Protocol）またはActive Directory等のディレクトリサービスを使用したシステム環境において、通信監視記録装置５０１が使用される場合を想定している。図９に示すように、本変形例においては、上記実施形態とは異なり、ネットワーク３２にディレクトリサーバ７２が接続されている。このディレクトリサーバ７２は、例えばネットワーク３２を利用するユーザの環境に関する情報を管理する処理を行う。また、ディレクトリサーバ７２は、ディレクトリパケット収集部７０３を含む。
【００６１】
ここで、例えばネットワーク３２に接続されているクライアント端末２０からユーザがログオンした場合について説明する。この場合、クライアント端末２０は、ユーザを認証するため、ディレクトリサーバ７２に認証要求を送信する。すると、ディレクトリサーバ７２は、クライアント端末２０からの要求に応答して、パケット通信を実行する。この通信により、ディレクトリサーバ７２は、クライアント端末２０のログオンを許可する。
【００６２】
このとき、ディレクトリサーバ７２に含まれるディレクトリパケット収集部７０３は、ディレクトリサーバ７２によるユーザ認証の際に送受信されたディレクトリパケットを収集する。ディレクトリパケットは、例えばクライアント端末２０に対して割り当てられているＩＰアドレス、当該クライアント端末を特定するＭＡＣアドレス、当該クライアント端末のホスト名または当該クライアント端末からログインしたユーザを示すユーザ名を含む。なお、本変形例においては、例えばネットワーク３２に接続されている複数のクライアント端末２０の各々には、固有のＩＰアドレスが割り当てられているものとする。
【００６３】
また、ディレクトリパケット収集部７０３は、収集されたディレクトリパケットをカプセル化して通信監視記録装置５０１に対して、例えばユニキャストアドレスを使用してネットワーク３１及び３２経由で送信する。
【００６４】
図１０は、通信監視記録装置５０１の主として機能構成を示すブロック図である。通信監視記録装置５０１は、ディレクトリパケット受信部５１１、パケット収集／保存処理部５２１、パケット解析部５３１及び解析結果作成部５４１を含む。本変形例において、これらの各部５１１、５２１、５３１及び５４１は、上記実施形態と同様に、図１に示されるコンピュータ１０が外部記憶装置４０に保存されているプログラム４１を実行することにより実現されるものとする。
【００６５】
また、通信監視記録装置５０１は、パケット保存部４２１及びディレクトリ情報管理テーブル４３１を含む。本変形例において、パケット保存部４２１及びディレクトリ情報管理テーブル４３１は、上記実施形態と同様に外部記憶装置４０に保存（格納）される。
【００６６】
ディレクトリパケット受信部５１１は、ディレクトリパケット収集部７０３によって送信されたパケットを受信する。ディレクトリパケット受信部５１１は、受信されたパケットからカプセル化されたディレクトリパケットを取り出す。ディレクトリパケット受信部５１１は、取り出されたディレクトリパケットをパケット収集／保存処理部５２１に送る。
【００６７】
パケット収集／保存処理部５２１は、ディレクトリパケット受信部５１１によって送られたディレクトリパケットを受け取る。また、パケット収集／保存処理部５２１は、ネットワーク３１に接続された例えばポートミラー機能を有するハブ８０を介して、当該ネットワーク３１上の例えばＨＴＴＰパケット（またはＳＭＴＰパケット）を収集する。パケット収集／保存処理部５２１は、受け取られたディレクトリパケット及び収集されたＨＴＴＰパケットを順次、マージしてパケット保存部４２１に保存する。
【００６８】
パケット解析部５３１は、パケット保存部４２１に保存されているディレクトリパケット及びＨＴＴＰパケットを順次、解析する。パケット解析部５３１は、ＨＴＴＰパケットを解析して、例えば解析結果として出力されるために必要な情報、例えばＩＰアドレス等を抽出する。また、パケット解析部５３１は、ディレクトリパケットを解析して、当該ディレクトリパケットに含まれているＩＰアドレス、ＭＡＣアドレス、ホスト名及びユーザ名を抽出する。パケット解析部５３１は、抽出されたＩＰアドレス、ＭＡＣアドレス、ホスト名及びユーザ名をディレクトリ情報管理テーブル４３１に登録する。以下、上記したディレクトリ情報管理テーブル４３１に登録されたＩＰアドレス、ＭＡＣアドレス、ホスト名及びユーザ名をまとめてディレクトリ情報と称する。また、パケット解析部５３１は、ディレクトリ情報管理テーブル４３１を参照して、ＨＴＴＰパケットから抽出されたＩＰアドレスが割り当てられているクライアント端末を特定する。この場合、例えばＨＴＴＰパケットから取り出されたＩＰアドレスを含むディレクトリ情報に含まれる例えばホスト名またはユーザ名を取得する。
【００６９】
解析結果作成部５４１は、パケット解析部５３１によって抽出された情報を解析結果として、例えばユーザに対して表示するために出力する。解析結果作成部５４１は、パケット解析部５３１によって取得された例えばホスト名またはユーザ名を、解析結果に追加（付加）して出力する。
【００７０】
次に、図１１のフローチャートを参照して、ディレクトリパケットをマージしてパケット保存部４２１に保存する処理手順について説明する。
【００７１】
例えばネットワーク３２に接続されているクライアント端末２０からユーザがログオンした場合、当該クライアント端末２０及びディレクトリサーバ７２間では、当該ユーザを認証するための通信が行われる。
【００７２】
ディレクトリパケット収集部７０３は、上記したクライアント端末２０及びディレクトリサーバ７２間での通信において、やり取りされたディレクトリパケットを収集する（ステップＳ２１）。このディレクトリパケットは、例えばＩＰアドレス、ＭＡＣアドレス、ホスト名またはユーザ名を含む。
【００７３】
次に、ディレクトリパケット収集部７０３は、収集されたディレクトリパケットを、通信監視記録装置５０１のディレクトリパケット受信部５１１に対して送信する（ステップＳ２２）。この場合、ディレクトリパケット収集部７０１は、例えばユニキャストアドレスを使用して送信する。また、このディレクトリパケットは、カプセル化されて、ディレクトリパケット受信部５１１に送信される。
【００７４】
ディレクトリパケット受信部５１１は、ディレクトリパケット収集部７０１によって送信されたパケットを、例えば時系列順に受信する（ステップＳ２３）。ディレクトリパケット受信部５１１は、受信されたパケットからカプセル化されたディレクトリパケットを取り出し、取り出されたディレクトリパケットをパケット収集／保存処理部５２１に送る。
【００７５】
パケット収集／保存処理部５２１は、ディレクトリパケット受信部５１１から送られたディレクトリパケットを受け取る。また、パケット収集／保存処理部５２１は、例えばネットワーク３１上のＨＴＴＰパケット（またはＳＭＴＰパケット）を、ハブ８０を介して、例えば時系列順に収集する。パケット収集／保存処理部５２１は、受け取られたディレクトリパケット及び収集されたＨＴＴＰパケットを順次、マージしてパケット保存部４２１に保存する処理を実行する（ステップＳ２４）。
【００７６】
次に、図１２のフローチャートを参照して、パケット解析部５３１の処理手順について説明する。
【００７７】
まず、パケット解析部５３１は、パケット保存部４２１に保存されている例えばディレクトリパケット及びＨＴＴＰパケット（またはＳＭＴＰパケット）を順次、解析する。ここで、パケット解析部５３１が、例えばディレクトリパケットを解析した場合を想定する。この場合、パケット解析部５３１は、ディレクトリパケットを解析することにより、ディレクトリ情報を取り出す（ステップＳ３１）。このディレクトリ情報は、ディレクトリパケットに含まれているＩＰアドレス、ＭＡＣアドレス、ホスト名及びユーザ名である。
【００７８】
次に、パケット解析部５３１は、取り出されたディレクトリ情報をディレクトリ情報管理テーブル４３に登録する（ステップＳ３２）。
【００７９】
ここで、図１３は、ディレクトリ情報管理テーブル４３１のデータ構造の一例を示す。図１３に示すように、ディレクトリ情報管理テーブル４３１は、パケット解析部５３１によって登録されたディレクトリ情報を保持する。ディレクトリ情報管理テーブル４３１に保持されているディレクトリ情報は、クライアント端末に割り当てられたＩＰアドレス、当該クライアント端末を特定するＭＡＣアドレス、当該クライアント端末のホスト名及び当該当該クライアント端末からログインしたユーザ名を示す。
【００８０】
図１３に示す例では、ディレクトリ情報管理テーブル４３１は、例えばディレクトリ情報４３１ａ、４３１ｂを保持する。このＤＨＣＰ情報４３１ａは、ＩＰアドレス「Ｉｐ０」、ＭＡＣアドレス「Ｍａｃ０」、ホスト名「Ｈｏｓｔ０」及びユーザ名「Ｕｓｅｒ０」を示す。また、ＤＨＣＰ情報４３１ｂは、ＩＰアドレス「Ｉｐ１」、ＭＡＣアドレス「Ｍａｃ１」、ホスト名「Ｈｏｓｔ１」及び有効期間「Ｕｓｅｒ１」を示す。
【００８１】
再び図６を参照してパケット解析部５３１の処理手順について説明する。ここで、パケット解析部５３１が、例えばＨＴＴＰパケットを解析した場合を想定する。この場合、パケット解析部５３１は、ＨＴＴＰパケットを解析することにより、ＨＴＴＰパケットに含まれる例えばＩＰアドレスを取り出す（ステップＳ３３）。このとき、パケット解析部５３１は、例えばＨＴＴＰパケットに含まれる日時またはＵＲＬについても取り出す処理を実行する。
【００８２】
次に、パケット解析部５３１は、ディレクトリ情報管理テーブル４３１を参照して、取り出されたＩＰアドレスを示すディレクトリ情報を検索する（ステップＳ３４）。
【００８３】
パケット解析部５３１は、検索されたディレクトリ情報によって示される例えばホスト名またはユーザ名を取得する（ステップＳ３５）。この処理により、パケット解析部５３１は、解析されたＨＴＴＰパケットを例えば送信または受信したクライアント端末を特定できる。
【００８４】
解析結果作成部５４１は、パケット解析部５３１による例えばＨＴＴＰパケットの解析結果に、当該パケット解析部５３１によって取得されたホスト名またはユーザ名を付与して出力する。
【００８５】
上記したように本変形例では、例えばディレクトリサーバ７２によってユーザ認証の際に送受信されるディレクトリパケットと、ネットワーク上から収集された例えばＨＴＴＰパケット（またはＳＭＴＰパケット）とを順次、マージしてパケット保存部４２１に保存する。また、パケット保存部４２１に格納されたディレクトリパケット及びＨＴＴＰパケット（またはＳＭＴＰパケット）は順次解析される。ディレクトリパケットが解析された際には、ディレクトリ情報が抽出され（取り出され）、当該ディレクトリ情報がディレクトリ情報管理テーブル４３１に登録される。これにより、例えばディレクトリサーバ７２と通信監視記録装置５０１が異なるネットワークセグメントに接続されている場合であっても、ＩＰアドレスを管理するためのテーブルを、パケット保存部４２１に格納されているパケットと別に管理することなく、当該パケットを送信または受信したクライアント端末を特定することができる。
【００８６】
なお、本変形例においては、クライアント端末には、固有のＩＰアドレスが割り当てられているものとして説明したが、例えばＩＰアドレスが動的に割り当てられる場合であっても、同様の処理を行うことで、パケットを送信または受信したクライアント端末を特定することができる。
【００８７】
［第３の変形例］
次に、本実施形態の第３の変形例について説明する。図１４は、本変形例に係る通信監視記録装置５０２が接続されるネットワークシステムについて説明するための図である。
【００８８】
本変形例では、例えばネットワーク３２に接続されるクライアント端末２０内に、例えばＬＡＮＤｅｓｋ等の、インベントリ収集プログラム２１が格納されており、当該ネットワーク３２にインベントリ収集サーバ７３が接続されている。このインベントリ収集サーバ７３は、例えばクライアント端末２０を監視する処理を行う。また、インベントリ収集サーバ７３は、インベントリパケット収集部７０４を含む。
【００８９】
ここで、例えばネットワーク３２に接続されているクライアント端末２０内に格納されているインベントリ収集プログラム２１が実行されると、例えばクライアント端末２０がネットワーク３２に接続された際、ユーザがクライアント端末２０からログオンした際または定期的に、当該クライアント端末２０の情報またはユーザの情報を収集される。このインベントリ収集プログラム２１が実行されることにより、収集された情報は、パケット通信によってクライアント端末２０からインベントリ収集サーバ７３に送信される。これにより、インベントリ収集サーバ７３及びクライアント端末２０間で、パケット通信が行われる。
【００９０】
このインベントリ収集プログラム２１が実行されると、インベントリ収集サーバ７３に含まれるインベントリパケット収集部７０４は、クライアント端末の情報またはユーザの情報が当該クライアント端末から送信される際に送受信されるインベントリパケットを収集する。インベントリパケットは、上記した第２の変形例において説明したディレクトリパケットと同様に、例えばＩＰアドレス、ＭＡＣアドレス、ホスト名または当該ユーザを示すユーザ名を含む。
【００９１】
また、インベントリパケット収集部７０４は、収集されたインベントリパケットをカプセル化して通信監視記録装置５０２に対して、例えばユニキャストアドレスを使用してネットワーク３１及び３２経由で送信する。
【００９２】
図１５は、通信監視記録装置５０２の主として機能構成を示すブロック図である。なお、図１０と同様の部分には同一参照符号を付してその詳しい説明を省略する。ここでは、図１０と異なる部分について主に述べる。以下の各変形例についても同様にして重複した説明を省略する。通信監視記録装置５０２は、インベントリパケット受信部５１２、パケット収集／保存処理部５２２及びパケット解析部５３２を含む。本変形例において、これらの各部５１２、５２２及び５３２は、上記実施形態と同様に、図１に示されるコンピュータ１０が外部記憶装置４０に保存されているプログラム４１を実行することにより実現されるものとする。
【００９３】
また、通信監視記録装置５０２は、パケット保存部４２２及びインベントリ情報管理テーブル４３２を含む。本変形例において、パケット保存部４２２及びインベントリ情報管理テーブル４３２は、上記実施形態と同様に外部記憶装置４０に保存（格納）される。
【００９４】
インベントリパケット受信部５１２は、インベントリパケット収集部７０４によって送信されたパケットを受信する。インベントリパケット受信部５１２は、受信されたパケットからカプセル化されたインベントリパケットを取り出す。インベントリパケット受信部５１２は、取り出されたインベントリパケットをパケット収集／保存処理部５２２に送る。
【００９５】
パケット収集／保存処理部５２２は、インベントリパケット受信部５１２によって送られたインベントリパケットを受け取る。また、パケット収集／保存処理部５２２は、ネットワーク３１に接続された例えばポートミラー機能を有するハブ８０を介して、当該ネットワーク３１上の例えばＨＴＴＰパケット（またはＳＭＴＰパケット）を収集する。パケット収集／保存処理部５２２は、受け取られたインベントリパケット及び収集されたＨＴＴＰパケットを順次、マージしてパケット保存部４２２に保存する。
【００９６】
パケット解析部５３２は、パケット保存部４２２に保存されているインベントリパケット及びＨＴＴＰパケットを順次、解析する。パケット解析部５３２は、ＨＴＴＰパケットを解析して、例えば解析結果として出力されるために必要な情報、例えばＩＰアドレス等を抽出する（取り出す）。また、パケット解析部５３２は、インベントリパケットを解析して、当該インベントリパケットに含まれているＩＰアドレス、ＭＡＣアドレス、ホスト名及びユーザ名を抽出する。パケット解析部５３２は、抽出されたＩＰアドレス、ＭＡＣアドレス、ホスト名及びユーザ名をインベントリ情報管理テーブル４３２に登録する。以下、上記したインベントリ情報管理テーブル４３２に登録されたＩＰアドレス、ＭＡＣアドレス、ホスト名及びユーザ名をまとめてインベントリ情報と称する。また、パケット解析部５３２は、インベントリ情報管理テーブル４３２を参照して、例えばＨＴＴＰパケットから抽出されたＩＰアドレスが割り当てられているクライアント端末を特定する。この場合、例えばＨＴＴＰパケットから取り出されたＩＰアドレスを含むインベントリ情報に含まれる例えばホスト名またはユーザ名を取得する。
【００９７】
なお、本変形例の動作については、上記した第２の変形例におけるディレクトリパケット及びディレクトリ情報を、インベントリパケット及びインベントリ情報に置き換えた場合と同様であるので、その説明は省略する。
【００９８】
上記したように本変形例においては、例えばクライアント端末２０内に格納されたインベントリ収集プログラム２１が実行された際に、インベントリ収集サーバ７３によって送受信されるインベントリパケットと、ネットワーク上から収集された例えばＨＴＴＰパケット（またはＳＭＴＰパケット）とを順次、マージしてパケット保存部４２２に保存する。また、パケット保存部４２２に格納されたインベントリパケット及びＨＴＴＰパケット（またはＳＭＴＰパケット）は順次解析される。インベントリパケットが解析された際には、インベントリ情報が抽出され（取り出され）、当該インベントリ情報がインベントリ情報管理テーブル４３２に登録される。これにより、例えばインベントリ収集サーバ７３と通信監視記録装置５０２が異なるネットワークセグメントに接続されている場合であっても、ＩＰアドレスを管理するためのテーブルを、パケット保存部４２に格納されているパケットと別に管理することなく、当該パケットを送信または受信したクライアント端末を特定することができる。
【００９９】
［第４の変形例］
次に、本実施形態の第４の変形例について説明する。図１６は、本変形例に係る通信監視記録装置５０１が接続されるネットワークシステムについて説明するための図である。
【０１００】
本変形例では、上記した第２の変形例と同様に、ディレクトリサービスを使用したシステム環境において、通信監視記録装置５０１が使用される場合を想定している。図１６に示すように、本変形例においては、上記した第２の変形例とは異なり、ディレクトリパケット収集部７０３を備えていない。
【０１０１】
そのため、本変形例に適用されるディレクトリパケット受信部５１１は、例えばＨＴＴＰパケットが解析されて取り出されたＩＰアドレスからクライアント端末を特定する際に、ディレクトリサーバ７４に対して当該ＩＰアドレスが割り当てられているクライアント端末に関する情報を要求することを特徴とする。
【０１０２】
次に、図１７のフローチャートを参照して、本変形例に係る通信監視記録装置５０１の処理手順について説明する。
【０１０３】
まず、パケット収集／保存処理部５２１は、例えばネットワーク３１上の例えばＨＴＴＰパケット（またはＳＭＴＰパケット）を、ハブ８０を介して収集する（ステップＳ４１）。
【０１０４】
パケット収集／保存処理部５２１は、収集されたＨＴＴＰパケットをパケット保存部４２１に保存する（ステップＳ４２）。
【０１０５】
パケット解析部５３１は、パケット保存部４２１に保存されているＨＴＴＰパケットを解析する（ステップＳ４３）。このとき、パケット解析部５３１は、解析されたＨＴＴＰパケットに含まれているＩＰアドレスを取り出す（抽出する）。
【０１０６】
ここで、パケット解析部５３１によって取り出されたＩＰアドレスから、クライアント端末を特定する必要がある場合、ディレクトリパケット受信部５１１は、ディレクトリサーバ７４に問い合わせ要求を送信する（ステップＳ４４）。これにより、ディレクトリパケット受信部５１１は、ディレクトリサーバ７４に対して、パケット解析部５３１によって取り出されたＩＰアドレスが割り当てられているクライアント端末に関する情報を要求する。
【０１０７】
ディレクトリサーバ７４は、ディレクトリパケット受信部５１１からの問い合わせ要求の応答として、ディレクトリパケットを送信する。このディレクトリパケットは、例えばクライアント端末に対して割り当てられているＩＰアドレス、当該クライアント端末を特定するＭＡＣアドレス、当該クライアント端末のホスト名または当該クライアント端末からログインしたユーザを示すユーザ名を含む。
【０１０８】
ディレクトリパケット受信部５１１は、ディレクトリサーバ７４によって送信されたディレクトリパケットを受信する（ステップＳ４５）。
【０１０９】
パケット解析部５３１は、ディレクトリパケット受信部５１１によって受信されたディレクトリパケットを解析する（ステップＳ４６）。パケット解析部５３１は、ディレクトリパケットを解析し、当該ディレクトリパケットに含まれるディレクトリ情報を取り出す（抽出する）。このディレクトリ情報は、ディレクトリパケットに含まれているＩＰアドレス、ＭＡＣアドレス、ホスト名及びユーザ名を含む。
【０１１０】
パケット解析部５３１は、取り出されたディレクトリ情報をディレクトリ情報管理テーブル４３１に登録する（ステップＳ４７）。
【０１１１】
パケット解析部５３１は、ディレクトリ情報管理テーブル４３１を参照して、例えばＨＴＴＰパケットから取り出されたＩＰアドレスからクライアント端末を特定する。この場合、取り出されたＩＰアドレスを含むディレクトリ情報に含まれる例えばホスト名またはユーザ名を取得する（ステップＳ４８）。
【０１１２】
解析結果作成部５４１は、パケット解析部５３１による例えばＨＴＴＰパケットの解析結果に、当該パケット解析部５３１によって取得された例えばホスト名またはユーザ名を追加（付加）して例えばユーザに対して表示するために出力する。
【０１１３】
上記したように本変形例においては、前述した第２の変形例におけるディレクトリパケット収集部７０３が設けられていない場合であっても、ディレクトリサーバ７４に対して問い合わせ要求を送信し、その応答としてディレクトリパケットを受信できる。このため、例えばディレクトリサーバ７２と通信監視記録装置５０１が異なるネットワークセグメントに接続されている場合であっても、ＩＰアドレスを管理するためのテーブルを、パケット保存部４２に格納されているパケットと別に管理することなく、当該パケットを送信または受信したクライアント端末を特定することができる。
【０１１４】
なお、一度ディレクトリ情報管理テーブル４３１に登録したディレクトリ情報は、一定期間登録しておき、例えばＨＴＴＰパケットを解析して取り出されたＩＰアドレスがディレクトリ情報管理テーブルに存在する場合は、ディレクトリサーバ７４に問い合わせを行わない構成とすることで、ディレクトリサーバ７４への頻繁な問い合わせを回避することができる。
【０１１５】
また、例えばＩＰアドレスがクライアント端末に動的に割り当てられる場合においては、ディレクトリ情報には、ＩＰアドレスの有効期間を示す有効期間情報が含まれていないため、ユーザによって指定された適切な時間、例えば１日等を有効期間として設定し、当該有効期間が切れたディレクトリ情報は削除する構成としても構わない。
【０１１６】
なお、本願発明は、上記実施形態またはその各変形例そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態またはその各変形例に開示されている複数の構成要素の適宜な組合せにより種々の発明を形成できる。例えば、実施形態またはその各変形例に示される全構成要素から幾つかの構成要素を削除してもよい。更に、実施形態またはその各変形例に亘る構成要素を適宜組合せてもよい。
【図面の簡単な説明】
【０１１７】
【図１】本発明の実施形態に係る通信監視記録装置を含むクライアント−サーバシステムのハードウェア構成を示すブロック図。
【図２】図１に示される通信監視記録装置５０が接続されるネットワークシステムについて説明するための図。
【図３】通信監視記録装置５０の主として機能構成を示すブロック図。
【図４】ＤＨＣＰパケットをマージしてパケット保存部４２に保存する処理手順を示すフローチャート。
【図５】パケット保存部４２にマージして保存されたＤＨＣＰパケット及びパケットについて説明するための図。
【図６】パケット解析部５３の処理手順を示すフローチャート。
【図７】ＤＨＣＰ管理テーブル４３のデータ構造の一例を示す図。
【図８】本実施形態の第１の変形例に係る通信監視記録装置５０が接続されるネットワークシステムについて説明するための図。
【図９】本実施形態の第２の変形例に係る通信監視記録装置５０１が接続されるネットワークシステムについて説明するための図。
【図１０】通信監視記録装置５０１の主として機能構成を示すブロック図。
【図１１】ディレクトリパケットをマージしてパケット保存部４２１に保存する処理手順を示すフローチャート。
【図１２】パケット解析部５３１の処理手順を示すフローチャート。
【図１３】ディレクトリ情報管理テーブル４３１のデータ構造の一例を示す図。
【図１４】本実施形態の第３の変形例に係る通信監視記録装置５０２が接続されるネットワークシステムについて説明するための図。
【図１５】通信監視記録装置５０２の主として機能構成を示すブロック図。
【図１６】本実施形態の第４の変形例に係る通信監視記録装置５０２が接続されるネットワークシステムについて説明するための図。
【図１７】本変形例に係る通信監視記録装置５０１の処理手順を示すフローチャート。
【符号の説明】
【０１１８】
１０…コンピュータ、２０…クライアント端末、３０…ネットワーク、４０…外部記憶装置、４２，４２１，４２２…パケット保存部、４３…ＤＨＣＰ管理テーブル（保持手段）、５０，５０１，５０２…通信監視記録装置、５１…ＤＨＣＰパケット受信部、５２，５１２，５２２…パケット収集／保存処理部、５３，５３１，５３２…パケット解析部、５４，５４１…解析結果作成部（出力手段）、７０，７１…ＤＨＣＰサーバ、７２，７４…ディレクトリサーバ、７３…インベントリ収集サーバ、１００…サーバ、４３１…ディレクトリ情報管理テーブル、４３２…インベントリ情報管理テーブル、５０１…通信監視記録装置、５１１…ディレクトリパケット受信部、５１２…インベントリパケット受信部、７０１，７０２…ＤＨＣＰパケット収集部（アドレス管理情報収集手段）、７０３…ディレクトリパケット収集部、７０４…インベントリパケット収集部。
【図１】
2008113197.tif 000003
【図２】
2008113197.tif 000004
【図３】
2008113197.tif 000005
【図４】
2008113197.tif 000006
【図５】
2008113197.tif 000007
【図６】
2008113197.tif 000008
【図７】
2008113197.tif 000009
【図８】
2008113197.tif 000010
【図９】
2008113197.tif 000011
【図１０】
2008113197.tif 000012
【図１１】
2008113197.tif 000013
【図１２】
2008113197.tif 000014
【図１３】
2008113197.tif 000015
【図１４】
2008113197.tif 000016
【図１５】
2008113197.tif 000017
【図１６】
2008113197.tif 000018
【図１７】
2008113197.tif 000019