(57)【要約】【課題】ネットワークを流れる通信文の内容を容易に確認する。【解決手段】通信監視記録装置１０は、検索データを含む通信文を傍受日時順に並べた通信文リストから、いずれかの通信文を対象通信文として選択するためのデータ入力部１５と、その対象通信文のヘッダ情報から、該対象通信文の固有情報と、該対象通信文が参照した参照通信文の固有情報とを読み取るヘッダ情報読取部２１と、参照通信文の固有情報に基づいて、該参照通信文を通信文記録部１４から読み出し、傍受日時が最も新しいものを表示するための直前通信文切替部２２と、対象通信文の固有情報に基づいて、該対象通信文を参照した被参照通信文を通信文記録部１４から読み出し、傍受日時が最も古いものを表示するための直後通信部２３とを備える。【選択図】      図１
2008118198.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークから傍受した通信文を傍受日時と関連付けて記録する通信文記録手段と、
検索データを入力するための入力手段と、
前記通信文記録手段に記録された通信文から前記検索データを含む通信文を読み出し、該読み出した通信文を傍受日時順に並べた通信文リストを表示するための通信文表示手段と、
前記通信文リストから、対象通信文を選択するための選択手段と、
前記選択手段により選択された対象通信文を表示する手段と、
前記選択手段により選択された対象通信文のヘッダ情報から、該対象通信文の固有情報と、該対象通信文が参照した参照通信文の固有情報とを読み取るヘッダ情報読取手段と、
前記ヘッダ情報読取手段により読み取られた参照通信文の固有情報に基づいて、該参照通信文を前記通信文記録手段から読み出す参照通信文読出手段と、
前記参照通信文読出手段により読み出された参照通信文の、傍受日時が最も新しいものを表示するための手段と、
前記ヘッダ情報読取手段により読み取られた対象通信文の固有情報に基づいて、該対象通信文を参照した被参照通信文を前記通信文記録手段から読み出す被参照通信文読出手段と、
前記被参照通信文読出手段により読み出された被参照通信文の、傍受日時が最も古いものを表示するための手段と
を備えたことを特徴とする通信監視記録装置。
【請求項２】
請求項１に記載の通信監視記録装置において、
前記通信文記録手段は、電子メールを記録し、
前記ヘッダ情報読取部は、前記電子メールの固有情報であるメッセージＩＤ（Message-ID）を読み取る
ことを特徴とする通信監視記録装置。
【請求項３】
請求項１または請求項２に記載の通信監視記録装置において、
前記通信文記録手段は、Webアクセス情報を記録し、
前記ヘッダ情報読取部は、前記Webアクセス情報の固有情報であるURL情報を読み取る
ことを特徴とする通信監視記録装置。
【請求項４】
請求項１または請求項２に記載の通信監視記録装置において、
前記通信文記録手段は、Webアクセス情報を記録し、
前記ヘッダ情報読取部は、前記Webアクセス情報の固有情報であるクライアントIPアドレスを読み取る
ことを特徴とする通信監視記録装置。
【請求項５】
請求項１乃至請求項４のいずれか１項に記載の通信監視記録装置において、
前記通信文のヘッダ情報から、該通信文が暗号化された通信文であるか否かを判定する暗号文判定手段をさらに備え、
前記暗号文判定手段が該通信文を暗号化された通信文であると判定した場合、該通信文に代えて暗号化された通信文である旨を表示する
ことを特徴とする通信監視記録装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークを流れる通信文の内容を容易に確認し得る通信監視記録装置に関する。
【背景技術】
【０００２】
近年、個人情報や企業秘密等の情報保護に対する関心が高まっている。そのため、情報漏洩防止のための種々のソリューションが提案されている。
【０００３】
具体的には、ネットワークを流れる通信文を傍受して記録し、その記録した通信文を検索表示できる通信監視記録装置が提案されている。この通信監視記録装置では、例えば、キーワード検索によりキーワードを含む通信文をリスト表示したり、指定した送信元／送信先などに合致する通信文をリスト表示したりすることができる。これにより、情報漏洩の発見や、漏洩した情報の詳細内容を確認することができる。また、検索された通信文の前後に通信された通信文の内容を確認して、情報漏洩の出所を調査することもできる。
【０００４】
また、「対象ネットワークを通る通信データを傍受すると共に、当該傍受した通信データの種別に応じて分類すると共に、新たな検索データを付加して解析結果データベースに蓄積するようにした」通信情報記録装置等も提案されている（例えば、特許文献１参照）。
【特許文献１】国際公開第２００２／０２９５７９号パンフレット
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、従来の通信監視記録装置では、検索された通信文の前後に通信された通信文の内容を確認する場合、検索条件を変更してから再度検索する必要がある。
【０００６】
例えば、電子メールによる情報漏洩を調査する場合には、所定のキーワードが含まれた電子メールを検索した後、その電子メールの送信元および送信先を調べていくことにより、情報漏洩の出所を追跡する。
【０００７】
この場合、通信トラフィックが膨大であるため、検索条件を随時変更しながら通信文の内容を確認するのは極めて煩雑な作業となる。
【０００８】
本発明は上記実情に鑑みてなされたもので、ネットワークを流れる通信文の内容を容易に確認し得る通信監視記録装置を提供する事を目的とする。
【課題を解決するための手段】
【０００９】
本発明は上記課題を解決するために以下の手段を講じる。
【００１０】
第1の発明は、ネットワークから傍受した通信文を傍受日時と関連付けて記録する通信文記録手段と、検索データを入力するための入力手段と、前記通信文記録手段に記録された通信文から前記検索データを含む通信文を読み出し、該読み出した通信文を傍受日時順に並べた通信文リストを表示するための通信文表示手段と、前記通信文リストから、対象通信文を選択するための選択手段と、前記選択手段により選択された対象通信文を表示する手段と、前記選択手段により選択された対象通信文のヘッダ情報から、該対象通信文の固有情報と、該対象通信文が参照した参照通信文の固有情報とを読み取るヘッダ情報読取手段と、前記ヘッダ情報読取手段により読み取られた参照通信文の固有情報に基づいて、該参照通信文を前記通信文記録手段から読み出す参照通信文読出手段と、前記参照通信文読出手段により読み出された参照通信文の、傍受日時が最も新しいものを表示するための手段と、前記ヘッダ情報読取手段により読み取られた対象通信文の固有情報に基づいて、該対象通信文を参照した被参照通信文を前記通信文記録手段から読み出す被参照通信文読出手段と、前記被参照通信文読出手段により読み出された被参照通信文の、傍受日時が最も古いものを表示するための手段とを備えた通信監視記録装置である。
【００１１】
第２の発明は、第1の発明に対応する通信監視記録装置において、前記通信文記録手段は、電子メールを記録し、前記ヘッダ情報読取部は、前記電子メールの固有情報であるメッセージＩＤ（Message-ID）を読み取る通信監視記録装置である。
【００１２】
第３の発明は、第1の発明または第２の発明に対応する通信監視記録装置において、前記通信文記録手段は、Webアクセス情報を記録し、前記ヘッダ情報読取部は、前記Webアクセス情報の固有情報であるURL情報を読み取る通信監視記録装置である。
【００１３】
第４の発明は、第1の発明または第２の発明に対応する通信監視記録装置において、前記通信文記録手段は、Webアクセス情報を記録し、前記ヘッダ情報読取部は、前記Webアクセス情報の固有情報であるクライアントIPアドレスを読み取る通信監視記録装置である。
【００１４】
第５の発明は、第１の発明乃至第４の発明のいずれか１項に対応する通信監視記録装置において、前記通信文のヘッダ情報から、該通信文が暗号化された通信文であるか否かを判定する暗号文判定手段をさらに備え、前記暗号文判定手段が該通信文を暗号化された通信文であると判定した場合、該通信文に代えて暗号化された通信文である旨を表示する通信監視記録装置である。
【００１５】
第６の発明は、第１の発明または第２の発明に対応する通信監視記録装置において、前記選択手段により電子メールの通信文が選択された場合、該電子メール本文中にURL情報が記述されているか否かを判定するURL情報判定手段と、前記URL情報判定手段によりURL情報が記述されていると判定した場合、該URL情報に対応するWebアクセス情報を前記通信文記録手段から読み出して表示する手段とをさらに備えた通信監視記録装置である。
【００１６】
第７の発明は、第１の発明、第３の発明、または第４の発明のいずれか１項に対応する通信監視記録装置において、前記選択手段によりWebアクセス情報の通信文が選択された場合、該Webアクセス情報に電子メールのメールアドレス情報が記述されているか否かを判定するメールアドレス情報判定手段と、前記メールアドレス情報判定手段によりメールアドレス情報が記述されていると判定した場合、該メールアドレス情報を送信先とした電子メールを前記通信文記録手段から読み出して表示する手段とをさらに備えた通信記録監視装置である。
【００１７】
第８の発明は、第１の発明乃至第７の発明のいずれか１項に対応する通信監視記録装置において、前記参照通信文読出手段と前記被参照通信文読出手段とは、操作画面上に表示されるアイコンを指定することにより実行される通信監視記録装置である。
【００１８】
第９の発明は、第１の発明乃至第８の発明のいずれか１項に対応する通信監視記録装置において、前記参照通信文読出手段により読み出される参照通信文の傍受日時が最も古い参照通信文である場合、その旨を表示する手段をさらに備えた通信記録監視装置である。
【００１９】
第１０の発明は、第１の発明乃至第９の発明のいずれか１項に対応する通信監視記録装置において、前記被参照通信文読出手段により読み出される被参照通信文の傍受日時が最も新しい被参照通信文である場合、その旨を表示する手段をさらに備えた通信記録監視装置である。
【００２０】
＜作用＞
従って、本発明は以上のような手段を講じたことにより、以下の作用を有する。
【００２１】
第１の発明は、検索データを含む通信文を傍受日時順に並べた通信文リストから対象通信文を選択するための選択手段と、選択された対象通信文のヘッダ情報から、該対象通信文の固有情報と該対象通信文が参照した参照通信文の固有情報とを読み取るヘッダ情報読取手段と、参照通信文の固有情報に基づいて、該参照通信文を通信文記録手段から読み出し、傍受日時が新しい順に表示するための手段と、対象通信文の固有情報に基づいて、該対象通信文を参照した被参照通信文を通信文記録手段から読み出し、傍受日時が古い順に表示するための手段とを備えた構成により、通信内容を確認する際、検索データを入力後に送信元や送信先の条件等を改めて設定する必要がなく、ネットワークを流れる通信文の内容を容易に確認し得る通信監視記録装置を提供することができる。
【００２２】
第２の発明は、第1の発明に対応する作用に加え、通信文記録手段は、通信文として電子メールを記録し、ヘッダ情報読取手段は、電子メールの固有情報であるメッセージＩＤ（Message-ID）を読み取るので、ネットワークを流れる電子メールの内容を容易に確認することができる。
【００２３】
第３の発明は、第1の発明または第２の発明に対応する作用に加え、通信文記録手段は、通信文としてWebアクセス情報を記録し、ヘッダ情報読取手段は、Webアクセス情報の固有情報であるURL情報を読み取るので、ネットワークを流れるWebアクセス情報の内容を容易に確認することができる。
【００２４】
第４の発明は、第１の発明または第２の発明に対応する作用に加え、通信文記録手段は、通信文としてWebアクセス情報を記録し、ヘッダ情報読取部は、Webアクセス情報の固有情報であるクライアントIPアドレスを読み取るので、同一クライアントからのWebアクセス情報の内容を容易に確認する事ができる。
【００２５】
第５の発明は、第1の発明〜第４の発明に対応する作用に加え、通信文のヘッダ情報から、該通信文が暗号化された通信文であるか否かを判定する手段をさらに備えているので、暗号文がどのようなやり取りの中で通信されたのかを容易に確認することができる。
【００２６】
第６の発明は、第１の発明または第２の発明に対応する作用に加え、電子メール本文中にURL情報が記述されているか否かを判定するURL情報判定手段と、URL情報が記述されていると判定した場合、該URL情報に対応するWebアクセス情報を通信文記録手段から読み出して表示する手段とをさらに備えているので、電子メール本文中にURL情報が記述されていた場合、そのURL情報に対応するWebサイトを容易に調査することができる。
【００２７】
第７の発明は、第１の発明、第３の発明、または第４の発明に対応する作用に加え、Webアクセス情報に電子メールのメールアドレス情報が記述されているか否かを判定するメールアドレス情報判定手段と、メールアドレス情報判定手段によりメールアドレス情報が記述されていると判定した場合、該メールアドレス情報を送信先とした電子メールを通信文記録手段から読み出して表示する手段とをさらに備えているので、Webアクセス情報内にメールアドレス情報が記述されていた場合、そのメールアドレス情報に対応する電子メール本文の内容を、容易に調査することができる。
【００２８】
第８の発明は、第１の発明〜第７の発明の作用に加え、参照通信文の読み出しと被参照通信文の読み出しとは、操作画面上に表示されるアイコンを指定することにより実行されるので、通信文の内容確認の作業を容易に実行することができる。
【００２９】
第９の発明は、第１の発明〜第８の発明の作用に加え、参照通信文の傍受日時が最も古い参照通信文である場合、その旨を表示する手段をさらに備えているので、表示されている通信文が一連の通信内で最初になされたものである事を、画面を切り替えることなく通信監視者に認識させることができる。
【００３０】
第１０の発明は、第１の発明〜第９の発明の作用に加え、被参照通信文の傍受日時が最も新しい被参照通信文である場合、その旨を表示する手段をさらに備えているので、表示されている通信文が一連の通信内で最後になされたものである事を、画面を切り替えることなく通信監視者に認識させることができる。
【発明の効果】
【００３１】
本発明によれば、ネットワークを流れる通信文の内容を容易に確認し得る通信監視記録装置を提供できる。
【発明を実施するための最良の形態】
【００３２】
以下、図面を参照して本発明の実施形態を説明する。
【００３３】
＜第1の実施形態＞
（１−１．構成）
図１は本発明の第１の実施形態に係る通信監視記録装置１０の構成を示す模式図である。
【００３４】
通信監視記録装置１０は、ネットワークインタフェース部１１とパケットデータキャプチャ部１２・通信文再構築部１３・通信文記録部１４・データ入力部１５・リスト作成部１６・通信文表示部１７・表示切替部２０とを備えている。
【００３５】
なお、通信監視記録装置１０は、ハードウェア構成で実現可能であり、又はハードウェア構成とソフトウェア構成との組合せとしても実現可能となっている。後者の場合、ソフトウェア構成は、予めコンピュータ読み取り可能な記憶媒体又はネットワークから得られたプログラムがコンピュータにインストールされることにより、通信監視記録装置１０としての各機能が実現される。
【００３６】
ネットワークインタフェース部１１は、監視対象のネットワークセグメント５と接続するものであり、ネットワークセグメント５上を流れるパケットを傍受する機能を有している。
【００３７】
パケットデータキャプチャ部１２は、ネットワークインタフェース部１１が傍受したパケットデータを取り込むものである。また、パケットデータキャプチャ部１２は、取り込んだパケットデータを通信文再構築部１３に送出する。
【００３８】
通信文再構築部１３は、パケットデータキャプチャ部１３により傍受された１つないし複数のパケットから通信文を再構築するものである。また、通信文再構築部１３は、再構築した通信文を通信文記録部１４に送出する。
【００３９】
通信文記録部１４は、ネットワークから傍受した通信文を「傍受日時」と関連付けて記録するメモリである。
【００４０】
具体的には、図２に示すように、通信文記録部１４は、通信文が電子メールである場合、メールＩＤと傍受日時・送信元メールアドレス・送信先メールアドレス・メールの題名（Subject）・ヘッダ情報（Message-ID，In-Reply-To，References）・メール本文・添付ファイルとを関連付けて記録する。これらの情報を記録することにより、情報漏洩の追跡調査等が可能となる。
【００４１】
補足すると、通信文が電子メールである場合、電子メールのヘッダ情報は図３（Ａ）のように示され、“メッセージＩＤ（Message-ID）”が通信文の固有情報として用いられる。また、ある電子メールに対して返信すると、図３（Ｂ）および図３（Ｃ）に示すように、返信メールのヘッダ情報には、“References”フィールドＦ１や“In-Reply-To”フィールドＦ２が追加され、これらのフィールドＦ１・Ｆ２に送信元メールのMessage-IDが記述される。それゆえ、これらの電子メールのヘッダ情報を記録しておくことにより、メールの追跡調査等が可能となる。なお、上述した電子メールのヘッダ情報の仕様は、ＲＦＣ２８２２に基づくものである。
【００４２】
また、通信文記録部１４は、通信文がWebアクセス情報である場合、アクセスIDと傍受日時・クライアントIPアドレス・サーバIPアドレス・サーバポート番号・リクエストしたURL情報・メソッド・Referer情報・リプライデータとを関連付けて記録する。
【００４３】
すなわち、通信文がWebアクセス情報である場合、Webアクセス情報は図４（Ａ）のように示され、“URL情報”、あるいは、“クライアントIPアドレス”および“傍受日時”が通信文の固有情報として用いられる。あるWebサイトからリンクして、他のWebサイトに接続した場合には、HTTPヘッダ情報に、“Referer”フィールドが追加され、リンク元のWebサイトのURL情報が記述される。例えば、図４（Ａ）のHTTPヘッダ情報により指定されるWebサイト（http://www.aaaaa.com/）からリンクして、図４（Ｂ）のHTTPヘッダ情報により指定されるWebサイト（http://www.aaaaa.coml/update/20061031/008.html）にアクセスした場合には、図４（Ｂ）のHTTPヘッダ情報のRefererフィールドＦ３に、図４（Ａ）のHTTPヘッダ情報により指定されるWebサイトのURL情報（http://www.aaaaa.com/）が書き込まれる。また、一般的に複数のWebページを連続してアクセスする場合、それぞれのWebアクセスのクライアントIPアドレスは同一となる。それゆえ、これらのHTTPヘッダ情報をWebアクセス情報として記録しておくことにより、Webアクセス情報の追跡調査等が可能となる。なお、これらのWebアクセス情報の仕様は、ＲＦＣ２６１６に基づくものである。
【００４４】
データ入力部１５は、通信監視記録装置１０に各種データを入力するためのものであり、マウスやキーボード等によりデータが入力される。
【００４５】
詳しくは、データ入力部１５は、「検索データ」を入力可能とする機能を有する。例えば、図５に示すように、通信文表示部１７に表示されるキーワード入力画面上で、調査対象とするキーワードを検索データとして入力することができる。入力された検索データは、リスト作成部１６に送出される。
【００４６】
また、データ入力部１５は、後述するリスト作成部１６により作成された通信文リストから、監視対象の「対象通信文」を選択することができる機能を有する。すなわち、検索データが入力された場合、条件に合致する通信文からなる通信文リストがリスト作成部１６により作成され、通信文表示部１７に表示される。この際、例えば図６に示すように、データ入力部１５を介して、通信文リストから一の通信文をクリックする等により、通信文を選択することができる。選択された対象通信文の情報は、表示切替部２０へ送出される。なお、通信文リストから対象通信文を選択する方法としては、マウスのようなポインティングデバイスによってクリックする方法に限られず、通信文リスト上の通信文に対応付けられた番号を指定する方法などであってもよい。
【００４７】
さらに、データ入力部１５は、通信文切替情報の選択を可能とする機能を有する。ここで、「通信文切替情報」とは、通信文表示部１７に表示される通信文を他の通信文に切り替えるための情報であり、“直前通信文切替情報”と“直後通信文切替情報”との２種類の情報からなる。例えば図７において、“前”と書かれた左向き矢印のアイコン（以下「前アイコン」ともいう）Ｙ１がクリックされると、直前通信文切替情報が表示切替部２０に送出される。また図７において、“後”と書かれた右向き矢印のアイコン（以下「後アイコン」ともいう）Ｙ２がクリックされると、直後通信文切替情報が表示切替部２０に送出される。なお、通信文切替情報の選択は、任意の選択手段によって可能であり、上記アイコンＹ１・Ｙ２に限られるものではない。
【００４８】
リスト作成部１６は、データ入力部１５からの検索データを受け取ると、通信文記録部１４に記録された通信文から検索データを含む通信文を読み出し、該読み出した通信文を傍受日時順に並べた「通信文リスト」を作成するものである。通信文リストは、例えば図６に示されるような一覧表形式で表示される。この例では、PaulからJosephに宛てたメール（通信文Ｍ１）から、MarkからJohnに宛てたメール（通信文Ｍ４）までの４件が一覧として表示されている。なお、検索データを含む通信文の検索は、一般的な全文検索アルゴリズムなどを用いた方法により実行することができる。また、リスト作成部１６は、作成した通信文リストを通信文表示部１７に送出する。
【００４９】
通信文表示部１７は、通信文記録部１４に記録された通信文を表示するためのディスプレイ等である。例えば、通信文リスト作成部１６から通信文リストを受け取ると、その通信文リストを表示する（図６参照）。また、データ入力部１５により、通信文リストから一の通信文が対象通信文として選択された場合、その対象通信文の本文の内容を表示する（図７参照）。
【００５０】
表示切替部２０は、ヘッダ情報読取部２１・直前通信文切替部２２・直後通信文切替部２３を具備し、通信文表示部１７の表示画面を切り替える機能を有する。後述するように、表示切替部２０は、前アイコンＹ１あるいは後アイコンＹ２がデータ入力部１５を介して選択された場合に送出される直前通信文切替情報あるいは直後通信文切替情報に応じて、通信文表示部１７の表示を切り替える。
【００５１】
ヘッダ情報読取部２１は、データ入力部１５により選択された対象通信文のヘッダ情報から、該対象通信文の固有情報と、該対象通信文が参照した「参照通信文」の固有情報とを読み取るものである。
【００５２】
ここで、通信文が電子メールである場合、その通信文の固有情報としては、“Message-ID”が用いられる。それゆえ、参照通信文の固有情報として、対象通信文の“References”フィールドＦ１あるいは“In-Reply-To”フィールドＦ２に記述されたMessage-IDが読み取られる。一方、通信文がWebアクセス情報である場合は、その通信文の固有情報として、“URL情報”、あるいは、“クライアントIPアドレス”および“傍受日時”が読み出される。
【００５３】
また、ヘッダ情報読取部２１は、データ入力部１５から通信文切替情報を受け取る。この際、通信文切替情報が“直前通信文切替情報”である場合、ヘッダ情報から読み取った参照通信文の固有情報であるMessage-IDやURL情報、あるいは、クライアントIPアドレスと傍受日時を、直前通信文切替部２２に送出する。一方、通信文切替情報が“直後通信文切替情報”である場合、ヘッダ情報から読み取った通信文の固有情報であるMessage-IDやURL情報、あるいは、クライアントIPアドレスと傍受日時を、直後通信文切替部２３に送出する。
【００５４】
直前通信文切替部２２は、ヘッダ情報読取部２１から参照通信文の固有情報を受け取ると、その参照通信文の固有情報に基づいて、該参照通信文を通信文記録部１４から読み出す機能と、読み出した参照通信文を、傍受日時が新しい順に通信文表示部１７に表示する機能とを有するものである。例えば図７において、前アイコンＹ１がクリックされて直前通信文切替情報が選択されると、直前通信文切替部２２は、通信文表示部１７に表示されている電子メールＭ１のReferencesフィールドおよびIn-Reply-Toフィールドに記述されたMessage-IDを読み出す。続いて、読み出したMessage-IDに対応する電子メールを、通信文記録部１４に記録された電子メールの中から検索する。そして、検索した電子メールのうち、通信文表示部１７に表示されている電子メールＭ１の傍受日時に最も近い傍受日時の電子メールを通信文表示部１７に表示する。
【００５５】
またWebアクセス情報の場合は、通信文表示部１７に表示されているWebアクセスW1のRefererフィールドに記述されたURL情報を読み出す。続いて、読み出したURL情報に対応するWebアクセスを通信文記録部１４に記録されたWebアクセスの中から検索する。そして、検索したWebアクセスのうち、通信文表示部１７に表示されているWebアクセスW1の傍受日時に最も近い傍受日時のWebアクセスを通信文表示部１７に表示する。
【００５６】
なおWebアクセス情報の場合は、通信文表示部１７に表示されているWebアクセスW1のクライアントIPアドレスと傍受日時を読み出す。続いて、読み出したクライアントIPアドレスに対応するWebアクセスを通信文記録部１４に記録されたWebアクセスの中から検索する。そして、検索したWebアクセスのうち、通信文表示部１７に表示されているWebアクセスW1の傍受日時以前でWebアクセスW1の傍受日時に最も近い傍受日時のWebアクセスを通信文表示部１７に表示するとしてもよい。
【００５７】
直後通信文切替部２３は、ヘッダ情報読取部２１から対象通信文の固有情報を受け取ると、その対象通信文の固有情報に基づいて、該対象通信文を参照した被参照通信文を通信文記録部１４から読み出す機能と、読み出した被参照通信文を、傍受日時が古い順に通信文表示部１７に表示する機能とを有するものである。これにより、通信文表示部１７に表示されている通信文の傍受日時に最も近い傍受日時の通信文が表示される。なお、「被参照通信文」とは、通信文が電子メールの場合、ReferencesフィールドあるいはIn-Reply-Toフィールドに対象通信文のMessage-IDが記述された通信文のことである。また、通信文がWebアクセスの場合、Refererフィールドに対象通信文のURL情報が記述された通信文、あるいはクライアントIPアドレスが対象通信文のクライアントIPアドレスと同一であり傍受日時が対象通信文の傍受日時以降の通信文の事である。
【００５８】
（１−２．動作）
次に本発明第１の実施形態に係る通信監視記録装置１０の動作について説明する。
【００５９】
（通信文の傍受）
まず、通信監視記録装置１０が通信文を傍受する動作について図８を用いて説明する。
【００６０】
始めに、通信監視記録装置１０がネットワークセグメント５と接続すると、ネットワークセグメント５上を流れるパケットの傍受を開始する（ステップＳ１，Ｓ２）。例えば、あるユーザがネットワークセグメント５上で、電子メールの送信を行なった場合、その電子メールを構成する複数のパケットがネットワークインタフェース部１１を介して傍受される。
【００６１】
続いて、ネットワークインタフェース部１１で傍受されたパケットから通信文が再構築される（ステップＳ３）。例えば、ネットワークインタフェース部１１で傍受されたパケットが、パケットデータキャプチャ部１２によって通信監視記録装置１０に取り込まれ、通信文再構築部１３により、あるユーザが送信した電子メールが再構築される。
【００６２】
通信文再構築部１３で通信文が再構築されると、再構築された通信文が通信文記録部１４に記録される（ステップＳ４）。通信文記録部１４に通信文を記録する際には、リスト作成部１６や表示切替部２０が通信文を検索する助けとなるような索引データが関連付けられて記録される。また、送信元や送信先のネットワークアドレスなどの情報も関連付けられて記録される。
【００６３】
このようにして、通信監視記録装置１０がネットワークセグメント５との接続を解除するまで、通信文記録部１４に通信文が記録される（ステップＳ５）。
【００６４】
（通信文の調査）
次に、通信監視記録装置１０による通信文の調査手順について図９を用いて説明する。
【００６５】
始めに、通信監視者の操作により、データ入力部１５を介して、検索データであるキーワードが入力される（ステップＴ１）。例えば、図５に示すようなキーワード入力画面において、キーワードが入力される。これにより、データ入力部１５からリスト作成部１６に検索データとしてキーワードが送出される。
【００６６】
続いて、リスト作成部１６において、データ入力部１５により入力されたキーワードを含む通信文が通信文記録部１４から読み出され、その読み出された通信文の一覧である通信文リストが作成されて、通信文表示部１７に表示される（ステップＴ２）。ここでは、図６に示すような電子メールの一覧が通信文リストとして表示される。
【００６７】
そして、データ入力部１５を介して、通信文リストから一の通信文が対象通信文として選択されると、選択された対象通信文の内容が通信文表示部１７に表示される（ステップＴ３，Ｔ４）。例えば、図６において、通信文表示部１７の画面上で電子メールＭ１が選択されると、図７に示すように、選択された電子メールＭ１本文の内容が通信文表示部１７に表示される。また、この電子メールＭ１の内容とともに、前アイコンＹ１と後アイコンＹ２とが画面上に表示される。
【００６８】
このような通信文表示部１７の画面上で、データ入力部１５を介して、“前アイコンＹ１”が選択されると、直前通信文切替情報がヘッダ情報読取部２１へ送出される。
【００６９】
この直前通信文切替情報をヘッダ情報読取部２１が受け取ると、通信文表示部１７に表示されている対象通信文のヘッダ情報に基づいて、参照通信文の固有情報が通信文記録部１４から読み出される（ステップＴ５，Ｔ６）。例えば、対象通信文が電子メールの場合には、電子メールＭ１のヘッダ情報におけるIn-Reply-ToフィールドあるいはReferencesフィールドから参照通信文の固有情報であるMessage-IDが読み出される。
【００７０】
続いて、この参照通信文の固有情報に基づいて、通信文記録部１４から参照通信文が読み出される（ステップＴ７）。
【００７１】
そして、直前通信文切替部２２により、読み出された参照通信文のうち、通信文記録部１４に記録された傍受日時の最も新しい参照通信文が「直前通信文」として通信文表示部１７に表示される（ステップＴ８）。
【００７２】
一方、ステップＴ５において、データ入力部１５を介して、“後アイコンＹ２”が選択された場合、ヘッダ情報読取部２１により、通信文表示部１７に表示されている対象通信文のヘッダ情報から、この対象通信文の固有情報が読み出される（ステップＴ５，Ｔ９）。例えば、通信文が電子メールの場合、ヘッダ情報に含まれるMessage-IDが電子メールＭ１の固有情報として読み出される。
【００７３】
続いて、この対象通信文の固有情報に基づいて、通信文記録部１４から被参照通信文が読み出される（ステップＴ１０）。例えば電子メールの場合には、In-Reply-ToフィールドあるいはReferencesフィールドに電子メールＭ１のMessage-IDが記述された電子メールが通信文記録部１４から読み出される。
【００７４】
そして、直後通信文切替部２３により、読み出された被参照通信文のうち、通信文記録部１４に記録された傍受日時の最も古い被参照通信文が「直後通信文」として通信文表示部１７に表示される（ステップＴ１１）。
【００７５】
（１−３．効果）
以上説明したように、本実施形態に係る通信監視記録装置１０は、検索データを含む通信文を傍受日時順に並べた通信文リストから、いずれかの通信文を対象通信文として選択するためのデータ入力部１５と、その対象通信文のヘッダ情報から、該対象通信文の固有情報と、該対象通信文が参照した参照通信文の固有情報とを読み取るヘッダ情報読取部２１と、参照通信文の固有情報に基づいて、該参照通信文を通信文記録部１４から読み出し、傍受日時が最も新しいものを表示するための直前通信文切替部２２と、対象通信文の固有情報に基づいて、該対象通信文を参照した被参照通信文を通信文記録部１４から読み出し、傍受日時が最も古いものを表示するための直後通信部２３とを備えた構成により、通信内容を確認する際、検索データを入力後に送信元や送信先の条件等を改めて設定する必要がなく、ネットワークを流れる通信文の内容を容易に確認できる。
【００７６】
また、通信監視記録装置１０において、通信文記録部１４は、通信文として電子メールを記録し、ヘッダ情報読取部２１は、電子メールの固有情報であるメッセージＩＤ（Message-ID）を読み取るので、ネットワークを流れる電子メールの内容を容易に確認することができる。
【００７７】
さらに、通信監視記録装置１０において、通信文記録部１４は、通信文としてWebアクセス情報を記録し、ヘッダ情報読取部２１は、Webアクセス情報の固有情報であるURL情報を読み取るので、ネットワークを流れるWebアクセス情報の内容を容易に確認することができる。
【００７８】
また、通信監視記録装置１０では、参照通信文の読み出しと被参照通信文の読み出しとは、操作画面上に表示されるアイコンＹ１・Ｙ２をクリックすることにより実行されるので、通信文の内容確認の作業を容易に実行することができる。
【００７９】
なお、本実施形態において、前アイコンＹ１または後アイコンＹ２がデータ入力部１５により選択されたときに、直前通信文または直後通信文が通信文記録部１４から検索されているが、これらの直前通信文または直後通信文は、通信文毎に予め関連付けて記録しておいてもよい。この場合、通信文記録部１４は、直前通信文のＩＤと直後通信文のＩＤとを通信文毎に記録する。具体的には、図１０に示すように、電子メールの場合であれば、直前のメールＩＤと直後のメールＩＤとを個々のメールＩＤと関連付けて記録する。また、Webアクセス情報の場合であれば、直前のアクセスＩＤと直後のアクセスＩＤとを個々のアクセスＩＤと関連付けて記録する。また、図１１に概念を示すように、参照／被参照の関係を通信文のＩＤの木構造として記録していく事も考えられる。これにより、通信監視者が、直前になされた通信文や、直後になされた通信文の閲覧を試みたときの応答速度を向上できる。
【００８０】
なお、本実施形態において、通信文が電子メールである場合には、通信文の固有情報としてMessage-IDを用いているが、送信者情報を利用する事もできる。すなわち、直前通信文切替情報が選択された場合、送信元のメールアドレスに対応するメールを表示し、直後通信文切替情報が選択された場合、送信先のメールアドレスに対応するメールを表示してもよい。
【００８１】
また、本実施形態に係る通信文表示部１７は、通信文の内容とともに前アイコンＹ１と後アイコンＹ２とを表示するが、参照通信文または被参照通信文が存在しない場合には、アイコンを表示しないようにしてもよい。例えば、直前通信文が存在しない場合、図１２に示すように前アイコンＹ１を表示しないようにしたり、図１３に示すように前アイコンＹ１を実線ではなく破線で表示したりする。これにより、通信監視者は、通信文表示部１７に表示されている通信文が一連の通信内で最初になされたものである事や、最後になされたものである事を画面を切り替えることなく認識できる。結果として、情報漏洩を発見する作業や漏洩した情報の詳細を確認する作業等を速やかに行なうことができる。
【００８２】
＜第２の実施形態＞
図１４は本発明の第２の実施形態に係る通信監視記録装置１０Ｔの構成を示す模式図である。なお、既に説明した部分と同一部分には同一符号を付し、特に説明がない限りは重複した説明を省略する。また、以下の各実施形態も同様にして重複した説明を省略する。
【００８３】
すなわち、本実施形態に係る通信監視記録装置１０Ｔは、表示切替部２０が暗号文判定部２４をさらに備えている。
【００８４】
暗号文判定部２４は、通信文のヘッダ情報から、該通信文が暗号化された通信文であるか否かを判定するものである。
【００８５】
例えば、電子メールの場合、メールヘッダの“Content-Type”フィールドに記述された情報に基づいて、メール本文が暗号化された「暗号メール」であるか否かを判定する。詳しくは、ＰＧＰ（Pretty Good Privacy）と呼ばれる処理系の場合、図１５に示すように、メールヘッダＨ１の“Content-Type”フィールドＲ１に、「multipart/encrypted」の文字列が記述される。そこで、この文字列の有無を調べることにより、暗号メールであるか否かを判定する。また、ＳＭＩＭＥ（Secure/Multipurpose Internet Mail Extensions）と呼ばれる処理系の場合、図１６に示すように、メールヘッダＨ２の“Content-Type”フィールドＲ２に「application/x-pkcs7-mime」の文字列が記述される。そこで、この文字列の有無を調べることにより、暗号メールであるか否かを判定する。なお、暗号文判定部２４は、これら以外の実装においても、“Content-Type”フィールドの情報に基づいて暗号文であるか否かを判定することができる。
【００８６】
また、暗号文判定部２４は、選択された通信文が暗号文である場合には、その旨を通信文表示部１７に送出する。これを受けて、通信文表示部１７では、図１７に示すように、選択された通信文に代えて、「これは暗号メールです。」等の暗号化された通信文である旨を表示する。
【００８７】
以上説明したように、本実施形態に係る通信監視記録装置１０Ｔは、暗号文判定部２４を備えているので、選択された対象通信文が暗号文である場合には、「暗号文である旨」を表示することができる。これにより、当該暗号文がどのようなやり取りの中で通信されたのかを容易に確認することができ、情報漏洩を発見したり、漏洩した情報の詳細を確認したりするための作業を速やかに行なうことができる。
【００８８】
なお、本実施形態に係る暗号文判定部２４は、電子メールを例にとって説明しているが、これに限られるものではない。例えば、暗号文判定部２４は、Webアクセス情報のサーバポート番号情報あるいはWebアクセス情報のメソッド情報に基づいて、当該通信がSSL（Secure Sockets Layer）などの暗号通信であるか否かを判定する事も可能である。すなわち、サーバポート番号が４４３番であればSSLによる暗号通信と判定したり、メソッド情報がCONNECTメソッドであればSSLによる暗号通信と判定したりすることができる。そして、SSL通信が行われていると判定した場合、その旨を通信文表示部１７に送出する。これを受けて、通信文表示部１７では、図１８に示すように、「これはSSLによる通信です。」等の表示をする。
【００８９】
＜第３の実施形態＞
図１９は本発明の第３の実施形態に係る通信監視記録装置１０Ｕの構成を示す模式図である。
【００９０】
本実施形態に係る通信監視記録装置１０Ｕは、表示切替部２０がURL情報判定部２５をさらに備えている。
【００９１】
URL情報判定部２５は、電子メール本文中にURL情報が記述されているか否かを判定するものである。具体的には、図２０に示すように、対象通信文が電子メールである場合に、前アイコンＹ１または後アイコンＹ２がデータ入力部１５により選択されると、URL情報判定部２５は、「http://」等の文字列を検索して、電子メール本文中にURL情報が記述されているか否かを判定する（ステップＵ１，Ｕ２）。そして、電子メール本文中にURL情報が記述されていると判定した場合、該URL情報を通信文表示部１７に送出する。これを受けて、通信文表示部１７では、図２１に示すように、“後（Web）” と書かれた矢印のアイコン（以下、「Webアイコン」ともいう）Ｙ３を表示する（ステップＵ２−Ｙｅｓ，Ｕ３）。
【００９２】
そして、通信文表示部１７の画面上でWebアイコンＹ３が選択された場合、URL情報判定部２５は、電子メール本文中に記述されたURL情報に対応するWebアクセス情報を通信文記録部１４から読み出して通信文表示部１７に表示する。
【００９３】
以上説明したように、本実施形態に係る通信監視記録装置１０Ｕは、URL情報判定部２５を備えているので、通信監視者は、電子メール本文中にURL情報が記述されていた場合、WebアイコンＹ３をクリックする事などにより、そのURL情報に対応するWebサイトを容易に調査することができる。
【００９４】
これにより、選択された電子メールがどのようなやり取りの中で通信されたのかを容易に確認することができ、情報漏洩を発見したり、漏洩した情報の詳細を確認したりするための作業を速やかに行なうことができる。
【００９５】
＜第４の実施形態＞
図２２は本発明の第４の実施形態に係る通信監視記録装置１０Ｖの構成を示す模式図である。
【００９６】
本実施形態に係る通信監視記録装置１０Ｖは、表示切替部２０がメールアドレス情報判定部２６をさらに備えている。
【００９７】
メールアドレス情報判定部２６は、Webアクセス情報に電子メールのメールアドレス情報が記述されているか否か判定するものである。具体的には、図２３に示すように、対象通信文がWebアクセス情報である場合に、前アイコンＹ１または後アイコンＹ２がデータ入力部１５により選択されると、メールアドレス情報判定部は、「@---.jp」等の文字列を検索して、Webアクセス情報に電子メールのメールアドレス情報が記述されているか否かを判定する（ステップＶ１，Ｖ２）。そして、Webアクセス情報にメールアドレス情報が記述されていると判定した場合、該メールアドレス情報を通信文表示部１７に送出する。これを受けて、通信文表示部１７では、図２４に示すように、“後（mail）” と書かれた矢印のアイコン（以下、「mailアイコン」ともいう）Ｙ４を表示する（ステップＶ２−Ｙｅｓ，Ｖ３）。
【００９８】
そして、通信文表示部１７の画面上で、mailアイコンＹ４が選択された場合、メールアドレス情報判定部２６は、Webアクセス情報に記述されたメールアドレス情報を送信先とした電子メールを通信文記録部１４から検索する。そして、電子メールが検索された場合には、その電子メールを通信文表示部１７に表示する。
【００９９】
以上説明したように、本実施形態に係る通信監視記録装置１０Vは、メールアドレス情報判定部２６を備えているので、通信監視者は、Webアクセス情報内にメールアドレス情報が記述されていた場合、mailアイコンＹ４をクリックする事などにより、そのメールアドレス情報に対応する電子メール本文の内容を容易に調査することができる。
【０１００】
これにより、選択されたWebアクセス情報がどのようなやり取りの中で通信されたのかを容易に確認することができ、情報漏洩を発見したり、漏洩した情報の詳細を確認したりするための作業を速やかに行なうことができる。
【０１０１】
＜その他＞
なお、上記実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
【０１０２】
また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
【０１０３】
また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。
【０１０４】
さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。
【０１０５】
また、記憶媒体は１つに限らず、複数の媒体から上記実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
【０１０６】
尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
【０１０７】
また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【図面の簡単な説明】
【０１０８】
【図１】本発明の第１の実施形態に係る通信監視記録装置の構成を示す模式図である。
【図２】同実施形態に係る通信記録部の概念を示す模式図である。
【図３】電子メールのヘッダ情報の概念を示す図である。
【図４】HTTPヘッダ情報の概念を示す図である。
【図５】同実施形態に係る検索データ入力画面の概念を示す模式図である。
【図６】同実施形態に係る通信文リストとの概念を示す模式図である。
【図７】同実施形態に係る対象通信文の表示画面の概念を示す図である。
【図８】同実施形態に係る通信監視記録装置による通信文を傍受する動作を説明するためのフローチャートである。
【図９】同実施形態に係る通信監視記録装置による通信文の調査手順を説明するためのフローチャートである。
【図１０】同実施形態に係る通信記録部の変形例を示す模式図である。
【図１１】同実施形態に係る通信記録部の変形例の概念を示す模式図である。
【図１２】同実施形態に係る通信文表示部の表示画面例を示す図である。
【図１３】同実施形態に係る通信文表示部の表示画面例を示す図である。
【図１４】本発明の第２の実施形態に係る通信監視記録装置の構成を示す模式図である。
【図１５】ＰＧＰにおけるメールヘッダ情報の概念を示す図である。
【図１６】ＳＭＩＭＥにおけるメールヘッダ情報の概念を示す図である。
【図１７】同実施形態に係る通信文表示部の表示画面の例を示す図である。
【図１８】同実施形態に係る通信文表示部の表示画面の例を示す図である。
【図１９】本発明の第３の実施形態に係る通信監視記録装置の構成を示す模式図である。
【図２０】同実施形態に係るURL情報判定部の動作を説明するためのフローチャートである。
【図２１】同実施形態に係る通信文表示部の表示画面の例を示す図である。
【図２２】本発明の第４の実施形態に係る通信監視記録装置の構成を示す模式図である。
【図２３】同実施形態に係るメールアドレス情報判定部の動作を説明するためのフローチャートである。
【図２４】同実施形態に係る通信文表示部の表示画面の例を示す図である。
【符号の説明】
【０１０９】
１０・・・通信監視記録装置、１１・・・ネットワークインタフェース部、１２・・・パケットデータキャプチャ部、１３・・・通信文再構築部、１４・・・通信文記録部、１５・・・データ入力部、１６・・・リスト作成部、１７・・・通信文表示部、２０・・・表示切替部、２１・・・ヘッダ情報読取部、２２・・・直前通信文切替部、２３・・・直後通信文切替部、２４・・・暗号文判定部、２５・・・URL情報判定部、Ｙ１・・・前アイコン、Ｙ２・・・後アイコン、Ｙ３・・・Webアイコン、Ｙ４・・・mailアイコン。
【図１】
2008118198.tif 000003
【図２】
2008118198.tif 000004
【図３】
2008118198.tif 000005
【図４】
2008118198.tif 000006
【図５】
2008118198.tif 000007
【図６】
2008118198.tif 000008
【図７】
2008118198.tif 000009
【図８】
2008118198.tif 000010
【図９】
2008118198.tif 000011
【図１０】
2008118198.tif 000012
【図１１】
2008118198.tif 000013
【図１２】
2008118198.tif 000014
【図１３】
2008118198.tif 000015
【図１４】
2008118198.tif 000016
【図１５】
2008118198.tif 000017
【図１６】
2008118198.tif 000018
【図１７】
2008118198.tif 000019
【図１８】
2008118198.tif 000020
【図１９】
2008118198.tif 000021
【図２０】
2008118198.tif 000022
【図２１】
2008118198.tif 000023
【図２２】
2008118198.tif 000024
【図２３】
2008118198.tif 000025
【図２４】
2008118198.tif 000026