(57)【特許請求の範囲】
【請求項１】
ネットワークを流れるパケットを取得し、パケットを解析するパケット解析システムにおいて、
ネットワークの所定の接続ポイントに接続されるとともに、蓄積装置と接続線を介して接続されるパケット取得装置と、蓄積装置と接続線を介して接続される解析装置とを備え、
パケット取得装置は、
上記接続ポイントを流れるパケットを取得するパケット取得部と、
上記パケット取得部が取得したパケットに、パケットを取得した時刻を付与する時刻付与部と、
上記時刻付与部が時刻を付与したパケットを所定のサイズ単位に１つのファイルとするファイル化処理を行い、第２ファイルデータを生成する第２ファイル化部と、
上記第２ファイル化部がファイル化処理して生成した第２ファイルデータにハッシュキーを付与するハッシュキー付与部と、
上記ハッシュキー付与部がハッシュキーを付与した第２ファイルデータを圧縮する圧縮部と、
上記圧縮部が圧縮した第２ファイルデータを暗号化する暗号化部と、
上記暗号化部が暗号化した第２ファイルデータを、所定の時間単位に１つのファイルとするファイル化処理を行い、第１ファイルデータを生成する第１ファイル化部と、
上記第１ファイル化部がファイル化処理して生成した第１ファイルデータを蓄積装置へ送信し、蓄積装置に記憶させる送信部とを備え、
解析装置は、
蓄積装置により記憶された第１ファイルデータを読込むパケット読込部と、
上記パケット読込部が読込んだ第１ファイルデータを解析するパケット解析部と
を備えることを特徴とするパケット解析システム。
【請求項２】
上記パケット取得装置は、第１ネットワークの所定の接続ポイントに接続され、
上記送信部は、上記パケット取得部が取得したパケットを、第２ネットワークを介して蓄積装置へ送信し、
上記パケット読込部は、蓄積装置により記憶されたパケットを、第３ネットワークを介して読込む
ことを特徴とする請求項１記載のパケット解析システム。
【請求項３】
上記パケット解析システムは、さらに、
取得装置と蓄積装置と解析装置とへ指示をする管理端末を備え、
管理端末とパケット取得装置と蓄積装置と解析装置とは第４ネットワークで接続されることを特徴とする請求項２記載のパケット解析システム。
【請求項４】
上記解析装置は、さらに、
上記パケット解析部が解析したパケットへアクセスする操作を上記管理端末から指示をされた場合に、操作のログを取得して記憶装置に記憶するログ取得部
を備えることを特徴とする請求項３記載のパケット解析システム。
【請求項５】
上記パケット解析システムは、複数のパケット取得装置を備え、
上記複数のパケット取得装置の各パケット取得装置は、それぞれ異なる接続ポイントに接続される
ことを特徴とする請求項１記載のパケット解析システム。
【請求項６】
上記パケット取得装置は、さらに、
上記パケット取得部が取得したパケットに、パケット取得装置を識別する識別子を付与する識別子付与部を備え、
上記第２ファイル化部は、上記時刻付与部が時刻を付与し、上記識別子付与部が識別子を付与したパケットを所定のサイズ単位に１つのファイルとするファイル化処理を行い、第２ファイルデータを生成する
ことを特徴とする請求項５記載のパケット解析システム。
【請求項７】
上記識別子付与部は、識別子としてＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレスを付与する
ことを特徴とする請求項６記載のパケット解析システム。
【請求項８】
上記パケット取得装置は、さらに、
上記パケット取得部が取得したパケットを一時的にバッファメモリに記憶する一時記憶部を備え、
上記第２ファイル化部は、上記バッファメモリの容量単位に、パケットを１つのファイルとするファイル化処理を行い、第２ファイルデータを生成する
ことを特徴とする請求項１記載のパケット解析システム。
【請求項９】
上記第１ファイル化部は、生成した第１ファイルデータのファイル名にパケット取得装置を一意に示す識別情報を含める
ことを特徴とする請求項１記載のパケット解析システム。
【請求項１０】
ネットワークを流れるパケットを取得し、パケットを解析するパケット解析システムのパケット解析プログラムにおいて、
ネットワークの所定の接続ポイントに接続されるとともに、蓄積装置と接続線を介して接続されるパケット取得装置のパケット取得プログラムと、蓄積装置と接続線を介して接続される解析装置の解析プログラムとを備え、
パケット取得プログラムは、
上記接続ポイントを流れるパケットを取得するパケット取得ステップと、
上記パケット取得ステップで取得したパケットに、パケットを取得した時刻を付与する時刻付与ステップと、
時刻付与ステップで時刻を付与したパケットを所定のサイズ単位に１つのファイルとするファイル化処理を行い、第２ファイルデータを生成する第２ファイル化ステップと、
上記第２ファイル化ステップでファイル化処理して生成した第２ファイルデータにハッシュキーを付与するハッシュキー付与ステップと、
上記ハッシュキー付与ステップでハッシュキーを付与した第２ファイルデータを圧縮する圧縮ステップと、
上記圧縮ステップで圧縮した第２ファイルデータを暗号化する暗号化ステップと、
上記暗号化ステップで暗号化した第２ファイルデータを、所定の時間単位に１つのファイルとするファイル化処理を行い、第１ファイルデータを生成する第１ファイル化ステップと、
上記第１ファイル化ステップでファイル化処理して生成した第１ファイルデータを蓄積装置へ送信し、蓄積装置に記憶させる送信ステップとをコンピュータに実行させ、
解析プログラムは、
蓄積装置により記憶された第１ファイルデータを読込むパケット読込ステップと、
上記パケット読込ステップで読込んだ第１ファイルデータを解析するパケット解析ステップと
をコンピュータに実行させることを特徴とするパケット解析プログラム。
【請求項１１】
上記パケット取得プログラムは、さらに、
上記パケット取得ステップで取得したパケットに、パケット取得装置を識別する識別子を付与する識別子付与ステップをコンピュータに実行させ、
上記第２ファイル化ステップでは、上記時刻付与ステップで時刻を付与し、上記識別子付与ステップで識別子を付与したパケットを所定のサイズ単位に１つのファイルとするファイル化処理を行い、第２ファイルデータを生成する
ことを特徴とする請求項１０記載のパケット解析プログラム。
【請求項１２】
上記識別子付与ステップでは、識別子としてＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレスを付与する
ことを特徴とする請求項１１記載のパケット解析プログラム。
【請求項１３】
上記パケット取得プログラムは、さらに、
上記パケット取得ステップで取得したパケットを一時的にバッファメモリに記憶する一時記憶ステップと、
上記第２ファイル化ステップでは、上記バッファメモリの容量単位に、パケットを１つのファイルとするファイル化処理を行い、第２ファイルデータを生成する
ことを特徴とする請求項１０記載のパケット解析プログラム。
【請求項１４】
上記第１ファイル化ステップでは、生成した第１ファイルデータのファイル名にパケット取得装置を一意に示す識別情報を含める
ことを特徴とする請求項１３記載のパケット解析プログラム。
【請求項１５】
ネットワークを流れるパケットを取得し、パケットを解析するパケット解析システムのパケット解析方法において、
ネットワークの所定の接続ポイントに接続されるとともに、蓄積装置と接続線を介して接続されるパケット取得装置が実行するパケット取得処理と、蓄積装置と接続線を介して接続される解析装置が実行する解析処理とを備え、
パケット取得処理は、
上記接続ポイントを流れるパケットを取得するパケット取得ステップと、
上記パケット取得ステップで取得したパケットに、パケットを取得した時刻を付与する時刻付与ステップと、
時刻付与ステップで時刻を付与したパケットを所定のサイズ単位に１つのファイルとするファイル化処理を行い、第２ファイルデータを生成する第２ファイル化ステップと、
上記第２ファイル化ステップでファイル化処理して生成した第２ファイルデータにハッシュキーを付与するハッシュキー付与ステップと、
上記ハッシュキー付与ステップでハッシュキーを付与した第２ファイルデータを圧縮する圧縮ステップと、
上記圧縮ステップで圧縮した第２ファイルデータを暗号化する暗号化ステップと、
上記暗号化ステップで暗号化した第２ファイルデータを、所定の時間単位に１つのファイルとするファイル化処理を行い、第１ファイルデータを生成する第１ファイル化ステップと、
上記第１ファイル化ステップでファイル化処理して生成した第１ファイルデータを蓄積装置へ送信し、蓄積装置に記憶させる送信ステップとを備え、
解析処理は、
蓄積装置により記憶された第１ファイルデータを読込むパケット読込ステップと、
上記パケット読込ステップで読込んだ第１ファイルデータを解析するパケット解析ステップと
を備えることを特徴とするパケット解析方法。
【請求項１６】
ネットワークの所定の接続ポイントに接続されるとともに、蓄積装置と接続線を介して接続され、上記ネットワークの上記所定の接続ポイントを流れるパケットを取得するパケット取得装置であり、
上記接続ポイントを流れるパケットを取得するパケット取得部と、
上記パケット取得部が取得したパケットに、パケットを取得した時刻を付与する時刻付与部と、
上記時刻付与部が時刻を付与したパケットを所定のサイズ単位に１つのファイルとするファイル化処理を行い、第２ファイルデータを生成する第２ファイル化部と、
上記第２ファイル化部がファイル化処理して生成した第２ファイルデータにハッシュキーを付与するハッシュキー付与部と、
上記ハッシュキー付与部がハッシュキーを付与した第２ファイルデータを圧縮する圧縮部と、
上記圧縮部が圧縮した第２ファイルデータを暗号化する暗号化部と、
上記暗号化部が暗号化した第２ファイルデータを、所定の時間単位に１つのファイルとするファイル化処理を行い、第１ファイルデータを生成する第１ファイル化部と、
上記第１ファイル化部がファイル化処理して生成した第１ファイルデータを蓄積装置へ送信し、蓄積装置に記憶させる送信部と
を備えることを特徴とするパケット取得装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、例えば、ネットワークを流れる情報を解析する情報管理などに関するものである。
【背景技術】
【０００２】
従来から、個人情報の漏えい、不正アクセスなどによる情報漏えいなどの情報事故を防止するため情報管理が行われている。例えば、従来は、Ｆｉｒｅｗａｌｌ、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）、コンテンツフィルタなどにより、情報事故の発生を防ぐシステムがある。
また、従来は、情報事故が発生した場合に、情報事故の内容を調査するために、端末のログを取得することが行われている。
【特許文献１】特開２００４−１４０６１８号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
従来の情報事故の発生を防ぐシステムなどを導入した場合であっても、完全に情報事故を防ぐことは困難である。そして、従来の情報事故が発生した場合の事後的な対応では、端末のログ情報などから調査できる情報は限られており、必要な情報を十分に得ることは難しいという課題があった。さらに、端末のログ情報などの調査をするには、相応の技術が必要であり、調査のため多くのコストが必要であるという課題があった。
本発明は、例えば、情報事故が発生した場合の調査に十分な情報を残すこと、および、簡単な操作で検索、閲覧ができることを目的とする。また、導入したシステムの設備の増強等を容易とすることを目的とする。
【課題を解決するための手段】
【０００４】
本発明の実施の形態にかかるパケット解析システムは、ネットワークを流れるパケットを取得し、パケットを解析するパケット解析システムにおいて、
ネットワークの所定の接続ポイントに接続され、蓄積装置と接続線を介して接続されるパケット取得装置と、蓄積装置と接続線を介して接続される解析装置とを備え、
パケット取得装置は、上記接続ポイントを流れるパケットを、通信装置を介して取得するパケット取得部と、上記パケット取得部が取得したパケットを蓄積装置へ通信装置を介して送信し、蓄積装置に記憶させる送信部とを有し、
解析装置は、蓄積装置により記憶されたパケットを、通信装置を介して読込むパケット読込部と、上記パケット読込部が読込んだパケットを処理装置により解析するパケット解析部とを有することを特徴とする。
【０００５】
また、上記パケット取得装置は、第１ネットワークの所定の接続ポイントに接続され、上記送信部は、上記パケット取得部が取得したパケットを、第２ネットワークを介して蓄積装置へ送信し、上記パケット読込部は、蓄積装置により記憶されたパケットを、第３ネットワークを介して読込むことを特徴とする。
【０００６】
また、上記パケット解析システムは、さらに、取得装置と蓄積装置と解析装置とへ指示をする管理端末を備え、管理端末とパケット取得装置と蓄積装置と解析装置とは第４ネットワークで接続されることを特徴とする。
【０００７】
また、上記パケット解析システムは、複数のパケット取得装置を備え、上記複数のパケット取得装置の各パケット取得装置は、それぞれ異なる接続ポイントに接続されることを特徴とする。
【０００８】
また、上記パケット取得装置は、さらに、上記パケット取得部が取得したパケットにハッシュキーを付与して記憶装置に記憶するハッシュキー付与部を備え、上記送信部は、上記ハッシュキー付与部がハッシュキーを付与したパケットを蓄積装置へ送信し、蓄積装置に記憶させることを特徴とする。
【０００９】
また、上記パケット取得装置は、さらに、上記パケット取得部が取得したパケットに、パケットを取得した時刻を付与して記憶装置に記憶する時刻付与部を備え、上記送信部は、上記時刻付与部が時刻を付与したパケットを蓄積装置へ送信し、蓄積装置に記憶させることを特徴とする。
【００１０】
また、上記パケット取得装置は、さらに、上記パケット取得部が取得したパケットに、パケット取得装置を識別する識別子を付与して記憶装置に記憶する識別子付与部を備え、上記送信部は、上記識別子付与部が識別子を付与したパケットを蓄積装置へ送信し、蓄積装置に記憶させることを特徴とする。
【００１１】
また、上記識別子付与部は、識別子としてＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレスを付与することを特徴とする。
【００１２】
また、上記パケット取得装置は、さらに、上記パケット取得部が取得したパケットを暗号化して記憶装置に記憶する暗号化部を備え、上記送信部は、上記暗号化部が暗号化したパケットを蓄積装置へ送信し、蓄積装置に記憶させることを特徴とする。
【００１３】
また、上記パケット読込部は、蓄積装置により記憶された暗号化されたパケットを読込み、上記解析装置は、さらに、上記パケット読込部が読込んだ暗号化されたパケットを復号して記憶装置に記憶する復号部を備え、上記パケット解析部は、上記復号部が復号したパケットを解析することを特徴とする。
【００１４】
また、上記解析装置は、さらに、上記パケット解析部が解析したパケットへアクセスする操作を上記管理端末から指示をされた場合に、操作のログを取得して記憶装置に記憶するログ取得部を備えることを特徴とする。
【００１５】
また、上記パケット取得装置は、さらに、上記パケット取得部が取得したパケットを、所定の時間単位に１つのファイルとするファイル化処理を行い、第１ファイルデータを生成して記憶装置に記憶する第１ファイル化部を備え、上記送信部は、上記第１ファイル化部がファイル化処理して生成した第１ファイルデータを蓄積装置へ送信し、蓄積装置に記憶させることを特徴とする。
【００１６】
また、上記パケット取得装置は、さらに、上記パケット取得部が取得したパケットを一時的にバッファメモリに記憶する一時記憶部と、上記バッファメモリの容量に基づき、パケットを１つのファイルとするファイル化処理を行い、第２ファイルデータを生成して記憶装置に記憶する第２ファイル化部を備え、上記第１ファイル化部は、上記第２ファイル化部がファイル化処理して生成した第２ファイルデータを、所定の時間単位に１つのファイルとするファイル化処理を行い、第１ファイルデータを生成することを特徴とする。
【００１７】
また、上記パケット取得装置は、さらに、上記第２ファイル化部がファイル化処理して生成した第２ファイルデータを圧縮し、圧縮ファイルを生成して記憶装置に記憶する圧縮部を備え、上記第１ファイル化部は、上記圧縮部が圧縮して生成した圧縮ファイルを、所定の時間単位に１つのファイルとするファイル化処理を行い、第１ファイルデータを生成することを特徴とする。
【００１８】
また、上記パケット取得装置は、さらに、上記第２ファイル化部がファイル化処理して生成した第２ファイルデータにハッシュキーを付与して記憶装置に記憶するハッシュキー付与部を備え、上記第１ファイル化部は、上記ハッシュキー付与部がハッシュキーを付与した第２ファイルデータを、所定の時間単位に１つのファイルとするファイル化処理を行い、第１ファイルデータを生成することを特徴とする。
【００１９】
また、上記第１ファイル化部は、生成した第１ファイルデータのファイル名にパケット取得装置を一意に示す識別情報を含めることを特徴とする。
【００２０】
また、本発明の実施の形態にかかるパケット解析システムは、ネットワークを流れるパケットを取得し、パケットを解析するパケット解析システムにおいて、
ネットワークを流れるパケットを、通信装置を介して取得するパケット取得部と、上記パケット取得部が取得したパケットを記憶装置に記憶するパケット記憶部と、上記パケット記憶部が記憶したパケットを処理装置により解析するパケット解析部とを備え、上記パケット取得部と上記パケット記憶部と上記パケット解析部とはネットワークにより接続される複数の装置により備えられることを特徴とする。
【００２１】
また、本発明の実施の形態にかかるパケット解析方法は、ネットワークを流れるパケットを取得し、パケットを解析するパケット解析システムのパケット解析方法において、
ネットワークの所定の接続ポイントに接続され、蓄積装置と接続線を介して接続されるパケット取得装置が実行するパケット取得処理と、蓄積装置と接続線を介して接続される解析装置が実行する解析処理とを備え、
パケット取得ステップは、上記接続ポイントを流れるパケットを、通信装置を介してパケット取得部が取得するパケット取得ステップと、上記パケット取得ステップで取得したパケットを蓄積装置へ通信装置を介して送信部が送信し、蓄積装置に記憶させる送信ステップとを有し、
解析ステップは、蓄積装置により記憶されたパケットを、通信装置を介してパケット読込部が読込むパケット読込ステップと、上記パケット読込ステップで読込んだパケットを処理装置によりパケット解析部が解析するパケット解析ステップとを有することを特徴とする。
【００２２】
また、本発明の実施の形態にかかるパケット解析プログラムは、ネットワークを流れるパケットを取得し、パケットを解析するパケット解析システムのパケット解析プログラムにおいて、
ネットワークの所定の接続ポイントに接続され、蓄積装置と接続線を介して接続されるパケット取得装置のパケット取得プログラムと、蓄積装置と接続線を介して接続される解析装置の解析プログラムとを備え、
パケット取得プログラムは、上記接続ポイントを流れるパケットを、通信装置を介してパケット取得部が取得するパケット取得ステップと、上記パケット取得ステップで取得したパケットを蓄積装置へ通信装置を介して送信部が送信し、蓄積装置に記憶させる送信ステップとをコンピュータに実行させ、
解析プログラムは、蓄積装置により記憶されたパケットを、通信装置を介してパケット読込部が読込むパケット読込ステップと、上記パケット読込ステップで読込んだパケットを処理装置によりパケット解析部が解析するパケット解析ステップとをコンピュータに実行させることを特徴とする。
【００２３】
また、上記パケット取得プログラムは、さらに、上記パケット取得ステップで取得したパケットにハッシュキーをハッシュキー付与部が付与して記憶装置に記憶するハッシュキー付与ステップをコンピュータに実行させ、上記送信ステップでは、上記ハッシュキー付与ステップでハッシュキーを付与したパケットを蓄積装置へ送信し、蓄積装置に記憶させることを特徴とする。
【００２４】
また、上記パケット取得プログラムは、さらに、上記パケット取得ステップで取得したパケットに、パケット取得装置を識別する識別子を識別子付与部が付与して記憶装置に記憶する識別子付与ステップをコンピュータに実行させ、上記送信ステップでは、上記識別子付与ステップで識別子を付与したパケットを蓄積装置へ送信し、蓄積装置に記憶させることを特徴とする。
【００２５】
また、上記識別子付与ステップでは、識別子としてＭＡＣアドレスを付与することを特徴とする。
【００２６】
また、上記パケット取得プログラムは、さらに、上記パケット取得ステップで取得したパケットを、所定の時間単位に１つのファイルとするファイル化処理を行い、第１ファイルデータを第１ファイル化部が生成して記憶装置に記憶する第１ファイル化ステップをコンピュータに実行させ、上記送信ステップでは、上記第１ファイル化ステップでファイル化処理して生成した第１ファイルデータを蓄積装置へ送信し、蓄積装置に記憶させることを特徴とする。
【００２７】
また、上記パケット取得プログラムは、さらに、上記パケット取得ステップで取得したパケットを一時的にバッファメモリに一時記憶部が記憶する一時記憶ステップと、上記バッファのメモリの容量に基づき、パケットを１つのファイルとするファイル化処理を行い、第２ファイルデータを第２ファイル化部が生成して記憶装置に記憶する第２ファイル化ステップとをコンピュータに実行させ、上記第１ファイル化ステップでは、上記第２ファイル化ステップでファイル化処理して生成した第２ファイルデータを、所定の時間単位に１つのファイルとするファイル化処理を行い、第１ファイルデータを生成することを特徴とする。
【００２８】
また、上記パケット取得プログラムは、さらに、上記第２ファイル化ステップでファイル化処理して生成した第２ファイルデータを圧縮し、圧縮ファイルを圧縮部が生成して記憶装置に記憶する圧縮ステップをコンピュータに実行させ、上記第１ファイル化ステップでは、上記圧縮ステップで圧縮して生成した圧縮ファイルを、所定の時間単位に１つのファイルとするファイル化処理を行い、第１ファイルデータを生成することを特徴とする。
【００２９】
また、上記パケット取得プログラムは、さらに、上記第２ファイル化ステップでファイル化処理して生成した第２ファイルデータにハッシュキーをハッシュキー付与部が付与して記憶装置に記憶するハッシュキー付与ステップをコンピュータに実行させ、上記第１ファイル化ステップでは、上記ハッシュキー付与ステップでハッシュキーを付与した第２ファイルデータを、所定の時間単位に１つのファイルとするファイル化処理を行い、第１ファイルデータを生成することを特徴とする。
【発明の効果】
【００３０】
本発明の実施の形態にかかるパケット解析システムは、ネットワークの所定の接続ポイントを流れるパケットを取得するパケット取得部と、パケット取得部が取得したパケットを蓄積装置へ送信し、蓄積装置に記憶させる送信部と、蓄積装置により記憶されたパケットを読込むパケット読込部と、パケット読込部が読込んだパケットを解析するパケット解析部とを備える。そのため、本発明の実施の形態にかかるパケット解析システムによれば、ネットワークの所定の接続ポイントを流れた情報をすべて記憶することが可能であり、その情報を解析することが可能である。
【発明を実施するための最良の形態】
【００３１】
まず、実施の形態にかかるパケット解析システム１０００のハードウェア構成の一例について図１、図２に基づき説明する。
【００３２】
図１は、実施の形態にかかるパケット解析システム１０００の外観の一例を示した図である。
図１において、パケット解析システム１０００は、ＣＲＴ（Ｃａｔｈｏｄｅ  Ｒａｙ  Ｔｕｂｅ）表示装置９０１、キーボード（Ｋ／Ｂ）９０２、マウス９０３、コンパクトディスク装置（ＣＤＤ）９０５、ＮＡＳ（Ｎｅｔｗｏｒｋ  Ａｔｔａｃｈｅｄ  Ｓｔｏｒａｇｅ）９０８、システムユニット９０９、サーバＡ９１６、サーバＢ９１７を備え、これらはケーブルで接続されている。
さらに、パケット解析システム１０００は、ローカルエリアネットワーク（ＬＡＮ）９４２、ゲートウェイ９４１を介してインターネット９４０に接続されている。また、さらに、ＬＡＮ９４２、Ｌ（Ｌａｙｅｒ）２スイッチ９４３を介してサーバＣ９１８、サーバＤ９１９に接続されている。
ここで、ＣＲＴ表示装置９０１は、表示装置の一例である。また、ＮＡＳ９０８は、蓄積装置２００の一例である。さらに、サーバＡ９１６は、パケット取得装置１００の一例である。サーバＢ９１７は、解析装置３００の一例である。また、さらに、管理端末４００は、例えば、ＣＲＴ表示装置９０１、Ｋ／Ｂ９０２、マウス９０３、ＣＤＤ９０５、システムユニット９０９を備えていても構わない。管理端末４００は、これに限られず、システムユニット９０９であっても構わない。また、サーバＣ９１８、サーバＤ９１９は、ファイルサーバ、ＷＥＢサーバなどのサーバである。
【００３３】
図２は、実施の形態におけるパケット取得装置１００、蓄積装置２００、解析装置３００、管理端末４００のハードウェア構成の一例を示す図である。
図２において、パケット取得装置１００、蓄積装置２００、解析装置３００、管理端末４００は、コンピュータであり、プログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）９１１を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、通信ボード９１５、ＣＲＴ表示装置９０１、Ｋ／Ｂ９０２、マウス９０３、ＦＤＤ（Ｆｌｅｘｉｂｌｅ  Ｄｉｓｋ）９０４、ＣＤＤ９０５、磁気ディスク装置９２０と接続されている。
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、磁気ディスク装置９２０は、不揮発性メモリの一例である。これらは、記憶装置９８２の一例である。
通信ボード９１５は、ＬＡＮ９４２等に接続されている。通信ボード９１５は、通信装置９８６の一例である。
また、Ｋ／Ｂ９０２、マウス９０３などは、入力装置９８４の一例である。
また、ＣＰＵ９１１は、処理装置９８０の一例である。
【００３４】
磁気ディスク装置９２０には、オペレーティングシステム（ＯＳ）９２１、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３は、ＣＰＵ９１１、ＯＳ９２１、ウィンドウシステム９２２により実行される。
【００３５】
上記プログラム群９２３には、以下に述べる実施の形態の説明において「〜部」として説明する機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
ファイル群９２４には、以下に述べる実施の形態の説明において、「暗号キー」、「ハッシュキー」として説明するものが、「〜ファイル」として記憶されている。
また、以下に述べる実施の形態の説明において説明するフローチャートの矢印の部分は主としてデータの入出力を示し、そのデータの入出力のためにデータは、磁気ディスク装置９２０、ＦＤ、光ディスク、ＣＤ、ＭＤ（ミニディスク）、ＤＶＤ（Ｄｉｇｉｔａｌ  Ｖｅｒｓａｔｉｌｅ  Ｄｉｓｋ）等のその他の記録媒体に記録される。あるいは、信号線やその他の伝送媒体により伝送される。
【００３６】
また、以下に述べる実施の形態の説明において「〜部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、ハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。
【００３７】
また、以下に述べる実施の形態を実施するプログラムは、また、磁気ディスク装置９２０、ＦＤ、光ディスク、ＣＤ、ＭＤ、ＤＶＤ等のその他の記録媒体による記録装置を用いて記憶されても構わない。
【００３８】
実施の形態１．
次に、実施の形態１について説明する。実施の形態１では、ネットワークの所定の接続ポイントを流れるパケットを取得して蓄積し、解析するパケット解析システム１０００について説明する。
【００３９】
パケット解析システム１０００は、例えば、ネットワークを媒介した情報事故が発生した場合に、その情報事故の影響範囲、発生原因などの調査を行うためなどに使用するものである。
【００４０】
ネットワークを媒介した情報事故とは、例えば、個人情報の漏えい、ウイルス、スパム、Ｄｏｓ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅｓ）などの攻撃、会社内システムなどを踏み台にした第三者への攻撃、掲示板サイトへの誹謗中傷や不利益な内容の投稿、メール、ＷＥＢメールなどによる秘密情報の発信、ネットオークション、出会い系サイトなどネットワークの私的な利用、不注意でアクセスしたサイトからの不当な請求、会社名を偽った攻撃などがある。
【００４１】
Ｆｉｒｅｗａｌｌ、ＩＤＳ、コンテンツフィルタなどのシステムにより、このような情報事故が起きないようにする事前対策がとられる。しかし、上記システムなどを導入した場合であっても、情報事故を完全に防ぐことは困難である。そこで、情報事故が起こってしまった場合に、その被害を最小にする事後対策がとられる。ここで、被害とは、例えば、信用の失墜などである。事後対策は、例えば、端末のログを取得するソフトウェアなどを導入することが考えられる。
【００４２】
図３に基づき情報事故が発生した場合の対応の一例について説明する。図３は、情報事故が発生した場合の対応の一例を示す図である。ここでは、例えば、事後対策として端末のログを取得するソフトウェアなどが導入されているとする。
情報事故が発生した場合（１）、それが事実であるか否か、いつ、誰が、どこで、何を、どういう方法で行った結果なのかなどを調査し、顧客、ユーザ等に説明しなければならない（２）。この説明の質などにより、信用の失墜を防止できるか否かに影響する。そこで、例えば、端末のログを取得するソフトウェアなどにより取得されたログを解析するためにＳＥ（Ｓｙｓｔｅｍ  Ｅｎｇｉｎｅｅｒ）を投入し、時間をかけて調査を実施する（３）。しかし、ログが散在しており、またログには必要な情報が十分に蓄積されていないため（４）、十分な調査が行えないことがある（５）。そのため、満足な説明ができないことがある（６）。その結果企業、団体等の信用を失墜させてしまうことがある（７）。
【００４３】
ここで、ログには必要な情報が十分に蓄積されていないということについて、図４に基づき通常のメールサーバの通信ログを一例に説明をする。図４は、通常のメールサーバの通信ログの一例を示す図である。
図４に示すように、通常のメールサーバの通信ログでは、通信日時情報、Ｆｒｏｍ句、Ｔｏ句、Ｓｕｂｊｅｃｔ句などが記憶されている。ここで、例えば、個人情報の漏えいが発生した場合には、漏えいした個人情報の具体的内容を調査する必要がある。しかし、個人情報が記載されているのは、通常、メール本文、又は添付ファイルなどである。したがって、図４に示すような、通常のメールサーバの通信ログでは調査できない。
【００４４】
そこで、実施の形態１にかかるパケット解析システム１０００では、図５に示すように、メール本文や添付ファイルなどを含む、通信したデータ全体を記憶する。図５は、パケット解析システム１０００が記憶するデータの一例である。実施の形態１にかかるパケット解析システム１０００では、通信したデータがすべて記憶されており、再現することが可能である。したがって、実施の形態１にかかるパケット解析システム１０００によれば、メール本文や添付ファイル、又はその他の部分から個人情報が漏えいしたような場合であっても調査することが可能である。
【００４５】
次に、図６、図７に基づき実施の形態１にかかるパケット解析システム１０００の概要について説明する。
図６は、パケット解析システム１０００の動作の概要を示す図である。パケット解析システム１０００は、ネットワークの所定の接続ポイントに接続される。パケット解析システム１０００は、接続ポイントを流れるパケットを取得し、蓄積する。そして、パケット解析システム１０００は、必要なときに蓄積されているパケットを復号し、データを再現して、検索、表示を行う。
図７は、パケット解析システム１０００のパケット取得の概要を示す図である。パケット解析システム１０００は、上述したようにネットワークの所定の接続ポイントに接続される。接続ポイントでは、パケット解析システム１０００は、例えば、Ｌ２スイッチ９４３などにより接続される。パケット解析システム１０００は、接続ポイントを流れるパケットをスイッチハブなどのポートミラー機能やリピータハブを使用して、ネットワーク上を流れるパケットの複製を作成し、複製したパケットが流れ込むように配線する。パケット解析システム１０００は、パケットを中継することや、既存ネットワークに対してパケットを送出することを行わないので、既存システムに影響を与えることがない。
【００４６】
次に、図８、図９に基づき実施の形態１にかかるパケット解析システム１０００の接続ポイントについて説明する。
図８は、パケット解析システム１０００をインターネット９４０との接続ポイントに設置した例である。パケット解析システム１０００をインターネット９４０との接続ポイントに設置することで、情報漏えいや社内から社外への攻撃などの外部への発信情報、ネットワークの私的利用、社外から社内への攻撃などが監視できる。また、ここでのトラフィックのほとんどは、ＳＭＴＰ（Ｓｉｍｐｌｅ  Ｍａｉｌ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）とＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）である。
図９は、パケット解析システム１０００を共有サーバへの接続ポイントに設置した例である。パケット解析システム１０００を共有サーバへの接続ポイントに設置することで、秘密情報へアクセスする情報の持ち出しやサーバへの不正アクセスなどを監視できる。ここでのトラフィックは、Ｗｉｎｄｏｗｓ（登録商標）ファイル共有の情報、ＨＴＴＰ、ＳＭＴＰ、ＰＯＰ（Ｐｏｓｔ  Ｏｆｆｉｃｅ  Ｐｒｏｔｏｃｏｌ）、ＩＭＡＰ（Ｉｎｔｅｒｎｅｔ  Ｍｅｓｓａｇｅ  Ａｃｃｅｓｓ  Ｐｒｏｔｏｃｏｌ）、ＳＱＬ（Ｓｔｒｕｃｔｕｒｅｄ  Ｑｕｅｒｙ  Ｌａｎｇｕａｇｅ）などの情報が流れ、多種多様なプロトコルが流れる。
【００４７】
次に、図１０に基づき実施の形態１にかかるパケット解析システム１０００で解析するプロトコルについて説明する。図１０は、パケット解析システム１０００で解析するプロトコルの一例を示した図である。
パケット解析システム１０００では、アプリケーション層、プレゼンテーション層、セッション層に該当するＨＴＴＰ、ＳＭＴＰ、ＦＴＰ（Ｆｉｌｅ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）、ＰＯＰや、トランスポート層に該当するＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）や、ネットワーク層に該当するＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）や、データリンク層に該当するＥＴＨＥＲＮＥＴ（登録商標）などを解析する。しかし、これに限られるわけではなく、パケット解析システム１０００は、他のプロトコルも解析する。
【００４８】
次に、図１１に基づきパケット解析システム１０００のデータフローについて説明する。図１１は、実施の形態１にかかるパケット解析システム１０００のデータフローの一例を示す図である。
ここでは、パケット解析システム１０００は、パケット取得装置１００、蓄積装置２００、解析装置３００とを備える。ここでは、パケット取得装置１００、蓄積装置２００、解析装置３００とは、それぞれ別の筐体であるとする。
パケット取得装置１００は、図８、図９で説明したような接続ポイントでネットワークに接続されている。ここで、パケット取得装置１００が接続されているネットワークは、第１ネットワーク１０の一例である。パケット取得装置１００は、接続ポイントを流れるパケットを取得し、記憶装置９８２に一時的に保管する。そして、パケット取得装置１００は、一定量又は一定時間の単位でパケットをまとめて暗号化などしてアーカイブとして蓄積装置２００へ送信する。
蓄積装置２００は、パケット取得装置１００と専用線（第２ネットワーク２０の一例）などにより接続される。つまり、蓄積装置２００は、パケット取得装置１００がパケットを取得するネットワークとは別の接続線により接続される。蓄積装置２００は、パケット取得装置１００から受信した暗号化などされたパケットをＮＡＳ９０８などに備えられた記憶装置９８２に記憶する。また、蓄積装置２００は、バックアップ装置などと接続され、記憶装置９８２に記憶したアーカイブデータをバックアップすることも可能である。
解析装置３００は、蓄積装置２００と専用線（第３ネットワーク３０の一例）などにより接続される。つまり、解析装置３００は、パケット取得装置１００がパケットを取得するネットワークやパケット取得装置１００と蓄積装置２００とが接続される接続線とは別の接続線により接続される。解析装置３００は、蓄積装置２００が記憶装置９８２に記憶したアーカイブデータを読込む。次に、解析装置３００は、アーカイブデータを解凍し、パケットを生成する。次に、解析装置３００は、パケットを解析して復号することにより通信データを再現する。解析装置３００は、再現した通信データを記憶装置９８２に記憶し、調査を行う際の検索対象とする。
パケット解析システム１０００は、さらに、管理端末４００を備えていても構わない。
管理端末４００は、パケット取得装置１００と蓄積装置２００と解析装置３００と接続される。管理端末４００は、パケット取得装置１００がパケットを取得するネットワークやパケット取得装置１００と蓄積装置２００とが接続される接続線や蓄積装置２００と解析装置３００とが接続される接続線とは別の接続線（第４ネットワーク４０の一例）により接続される。管理端末４００は、パケット取得装置１００、蓄積装置２００、解析装置３００の管理をする。また、管理端末４００は、解析装置３００が記憶装置９８２に記憶した再現した通信データを検索し、ＷＥＢブラウザなどでデータを閲覧する。パケット解析システム１０００は、例えば、管理端末４００でのみ解析装置３００が記憶装置９８２に記憶した再現した通信データの閲覧が可能であるとしても構わない。
【００４９】
次に、図１２に基づき実施の形態１にかかるパケット解析システム１０００の機能について説明する。図１２は、実施の形態１にかかるパケット解析システム１０００の機能を示す機能ブロック図である。
【００５０】
パケット解析システム１０００は、パケット取得装置１００、蓄積装置２００、解析装置３００、管理端末４００を備える。パケット取得装置１００は第１ネットワーク１０の接続ポイントに接続される。また、パケット取得装置１００と蓄積装置２００とは接続線（第２ネットワーク２０の一例）により接続される。さらに、蓄積装置２００と解析装置３００とは接続線（第３ネットワーク３０の一例）により接続される。また、さらに、管理端末４００は、パケット取得装置１００と蓄積装置２００と解析装置３００と接続線（第４ネットワーク４０の一例）により接続される。
【００５１】
パケット取得装置１００は、通信部１１０、情報付与部１２０、ファイル化部１３０、記憶部１４０、処理装置９８０、記憶装置９８２、通信装置９８６を備える。
通信部１１０は、パケット取得部１１２、送信部１１４を備える。パケット取得部１１２は、接続ポイントを流れるパケットを、通信装置９８６を介して取得する。パケット取得部１１２は、接続ポイントを流れるパケットをすべて取得しても、所定のプロトコルなどに限定して取得しても構わない。送信部１１４は、パケット取得部１１２が取得したパケットを蓄積装置２００へ通信装置９８６を介して送信し、蓄積装置２００に記憶させる。送信部１１４は、パケット取得装置１００が備える以下の各機能が処理をした後のデータを蓄積装置２００へ送信し、蓄積装置２００に記憶させても構わない。
情報付与部１２０は、ハッシュキー付与部１２２、時刻付与部１２４を備える。ハッシュキー付与部１２２は、パケット取得部１１２が取得したパケットにハッシュキーを付与して記憶装置９８２に記憶する。ハッシュキー付与部１２２は、例えば、後述する第２ファイル化部１３４がファイル化した後の第２ファイルデータにハッシュキーを付与しても構わない。また、ハッシュキー付与部１２２は、入力データに対してハッシュキーを付与するものであって、入力データは何であっても構わない。時刻付与部１２４は、パケット取得部１１２が取得したパケットに、パケットを取得した時刻を付与して記憶装置９８２に記憶する。また、時刻付与部１２４は、入力データに対して時刻を付与するものであって、入力データは何であっても構わない。
ファイル化部１３０は、第１ファイル化部１３２、第２ファイル化部１３４、暗号化部１３６、圧縮部１３８を備える。第１ファイル化部１３２は、パケット取得部１１２が取得したパケットを、所定の時間単位に１つのファイルとするファイル化処理を行い、第１ファイルデータを生成して記憶装置９８２に記憶する。ここでは、第１ファイル化部１３２は、例えば、後述する第２ファイル化部１３４がファイル化処理して生成した第２ファイルデータを、所定の時間単位に１つのファイルとするファイル化処理を行い、第１ファイルデータを生成する。ここで所定の時間とは、例えば１分などである。また、第１ファイル化部１３２は、入力データを所定の時間単位に１つのファイルとするファイル化処理を行い、第１ファイルデータを生成するものであって、入力データは何であっても構わない。さらに、第１ファイル化部１３２は、ファイル化に伴って、圧縮処理を行っても構わない。第２ファイル化部１３４は、後述する一時記憶部１４２がパケットなどを記憶するバッファメモリの容量に基づき、パケットを１つのファイルとするファイル化処理を行い、第２ファイルデータを生成して記憶装置９８２に記憶する。第２ファイル化部１３４は、例えば、バッファメモリの容量がいっぱいになった場合に、記憶しているパケットを１ファイルとしてファイル化処理を行い、第２ファイルデータを生成する。また、第２ファイル化部１３４は、入力データをバッファメモリの容量に基づき１つのファイルとするファイル化処理を行い、第２ファイルデータを生成するものであって、入力データは何であっても構わない。暗号化部１３６は、パケット取得部１１２が取得したパケットを暗号化して記憶装置９８２に記憶する。暗号化部１３６は、第１ファイル化部１３２または第２ファイル化部１３４がファイル化した後の第１ファイルデータまたは第２ファイルデータを暗号化して記憶装置９８２に記憶しても構わない。また、暗号化部１３６は、入力データを暗号化するものであって、入力データは何であっても構わない。圧縮部１３８は、第２ファイル化部１３４がファイル化処理して生成した第２ファイルデータを圧縮し、圧縮ファイルを生成して記憶装置９８２に記憶する。また、圧縮部１３８は、入力データを圧縮するものであって、入力データは何であっても構わない。
記憶部１４０は、一時記憶部１４２を備える。一時記憶部１４２は、パケット取得部１１２が取得したパケットを一時的にバッファメモリに記憶する。バッファメモリは、記憶装置９８２の一例である。上記では、パケット取得装置１００が備える各機能がそれぞれ生成物を記憶装置９８２に記憶したが、これに限られるわけではなく、一時記憶部１４２は、パケット取得装置１００が備える各機能が生成した生成物を記憶装置９８２に記憶しても構わない。
【００５２】
蓄積装置２００は、受信部２１０、パケット記憶部２２０、処理装置９８０、記憶装置９８２、通信装置９８６を備える。
受信部２１０は、送信部１１４が送信したデータを、通信装置９８６を介して受信する。
パケット記憶部２２０は、受信部２１０が受信したデータを記憶装置９８２に記憶する。
【００５３】
解析装置３００は、パケット読込部３１０、復号部３２０、パケット解析部３３０、処理装置９８０、記憶装置９８２、入力装置９８４、通信装置９８６を備える。
パケット読込部３１０は、パケット記憶部２２０が記憶したパケットを、通信装置９８６を介して読込む。つまり、パケット読込部３１０は、パケット取得装置１００の各機能が処理した後のデータを蓄積装置２００から読込み記憶装置９８２に記憶する。
復号部３２０は、パケット読込部３１０が読込んだデータが暗号化されている場合、暗号化されたデータであるパケットを復号して記憶装置９８２に記憶する。
パケット解析部３３０は、パケット読込部３１０が読込んだパケットを処理装置９８０により解析する。パケット解析部３３０は、パケット読込部３１０が読込んだデータが暗号化されている場合、復号部３２０が復号したデータを解析する。ここで、解析するとは、例えば、パケットとして記憶されるデータを通信データとして再現することをいう。つまり、解析するとは、パケット単位に切られているデータを元の通信データに再現する一連の処理をいう。したがって、パケット単位に切られている状態では内容がわからないものが、解析することにより、内容を判別可能なデータとなる。パケット解析部３３０は、解析したデータを記憶装置９８２に記憶する。
【００５４】
管理端末４００は、パケット取得装置１００、蓄積装置２００、解析装置３００の管理をする。また、管理端末４００は、解析装置３００が記憶装置９８２に記憶した再現した通信データを検索し、ＷＥＢブラウザなどでデータを表示装置に表示する。
【００５５】
次に、図１３に基づき実施の形態１にかかるパケット解析システム１０００の動作について説明する。図１３は、実施の形態１にかかるパケット解析システム１０００の動作を示すフローチャートである。
【００５６】
まず、パケット取得装置１００が実行するパケット取得処理において、初めに、パケット取得ステップ（Ｓ１０１）では、パケット取得部１１２は、パケット取得装置１００が接続された接続ポイントを流れるパケットを取得する。一時記憶部１４２は、取得したパケットを記憶装置９８２に記憶する（一時記憶ステップ）。次に、時刻付与ステップ（Ｓ１０２）では、時刻付与部１２４は、パケットを取得した時刻をパケットに付与する。次に、第２ファイル化ステップ（Ｓ１０３）では、第２ファイル化部１３４は、バッファメモリの容量に基づき、パケットを１つのファイルにまとめるファイル化処理を行い、第２ファイルデータを生成する。次に、ハッシュキー付与ステップ（Ｓ１０４）では、ハッシュキー付与部１２２は、第２ファイルデータにハッシュキーを付与する。次に、圧縮ステップ（Ｓ１０５）では、圧縮部１３８は、ハッシュキーが付与された第２ファイルデータを圧縮し、圧縮ファイルを生成する。次に、暗号化ステップ（Ｓ１０６）では、暗号化部１３６は、圧縮ファイルを暗号化する。次に、第１ファイル化ステップ（Ｓ１０７）では、第１ファイル化部１３２は、暗号化されたデータを、所定の時間単位にさらに１つのファイルにまとめるファイル化処理を行い、第１ファイルデータを生成する。第１ファイル化部１３２は、ファイル化とともに、圧縮処理を行っても構わない。そして、送信ステップ（Ｓ１０８）では、送信部１１４は、第１ファイルデータを蓄積装置２００へ送信する。
【００５７】
次に、蓄積装置２００が実行する蓄積処理において、初めに、受信ステップ（Ｓ１０９）では、受信部２１０は、送信部１１４が送信した第１ファイルデータを受信する。そして、パケット記憶ステップ（Ｓ１１０）では、パケット記憶部２２０は、受信した第１ファイルデータをＮＡＳ９０８などが備える記憶装置９８２に記憶する。
【００５８】
次に、解析装置３００が実行する解析処理において、初めに、パケット読込ステップ（Ｓ１１１）では、パケット読込部３１０は、パケット記憶部２２０が記憶装置９８２に記憶した第１ファイルデータを読込む。次に、復号ステップ（Ｓ１１２）では、復号部３２０は、読込んだ第１ファイルデータからファイルを抽出し、暗号化されたデータを復号する。次に復号化ファイルを解凍する。そして、解析ステップ（Ｓ１１３）では、パケット解析部３３０は、復号したパケットを解析する。
【００５９】
上記パケット取得処理において、（Ｓ１０２）から（Ｓ１０７）までの処理は、上記順序に限定されるものではなく、どのような順序で実行しても構わない。例えば、（Ｓ１０２）から（Ｓ１０７）までを、（Ｓ１０２）、（Ｓ１０３）、（Ｓ１０７）、（Ｓ１０４）、（Ｓ１０６）、（Ｓ１０５）の順序としても構わない。
しかし、上記順序によれば、ハッシュキー付与部１２２は、第２ファイルデータにハッシュキーを付与する。したがって、小さい単位のデータに対してハッシュキーを付与することができる。そのため、データの改ざんを小さい単位で確認することができる。また、ハッシュキー付与部１２２は、パケット取得部１１２が取得したパケットに対して、処理を加える前のデータに対してハッシュキーを付与している。したがって、パケット取得装置１００の内部処理による改ざんの可能性もない。つまり、ハッシュキー付与部１２２は、パケット取得部１１２が取得したパケットに対してハッシュキーを付与しても構わない。
さらに、圧縮部１３８は、暗号化される前のデータを圧縮している。これにより、暗号化された後に圧縮するよりも、圧縮率が高くなり、圧縮の効果が期待できる。
【００６０】
実施の形態１にかかるパケット解析システム１０００によれば、所定の接続ポイントを流れるデータをすべて、又は所定の条件に基づき取得し、記憶し、解析することが可能である。したがって、実施の形態１にかかるパケット解析システム１０００によれば、情報事故が起こった場合に調査をするのに必要かつ十分なデータを得ることが可能である。例えば、実施の形態１にかかるパケット解析システム１０００によれば、通常のメールだけでなく、ＨＴＭＬメールについても再現可能である。
【００６１】
また、実施の形態１にかかるパケット解析システム１０００によれば、ハッシュキー付与部１２２が取得したデータにハッシュキーを付与することで、改ざんの有無を後から検証できる。さらに、実施の形態１にかかるパケット解析システム１０００によれば、時刻付与部１２４がパケットを取得した時刻をパケットに付与することで、その時刻にデータが存在したことを示すことができる。したがって、実施の形態１にかかるパケット解析システム１０００によれば、原本性と時刻保証がされているため、記憶したデータを法廷で証拠とできるほど確かな方法で管理可能である。つまり、実施の形態１にかかるパケット解析システム１０００は、コンピュータフォレンジックとして利用可能であり、いわゆるフォレンジックサーバ、または、フォレンジックシステムである。
【００６２】
また、実施の形態１にかかるパケット解析システム１０００によれば、パケット取得装置１００と蓄積装置２００と解析装置３００との筐体が分けられている。したがって、蓄積装置２００については、特別に用意することなく、既存のＮＡＳ９０８などを使用することができる。そのため、実施の形態１にかかるパケット解析システム１０００によれば、すべての機能を１つの筐体に備えている場合と比べ、コストの節約が可能である。また、記憶容量の拡張をすることも容易にできる。また、大量のデータを保存することが容易となり、データの長期間の保存が可能である。したがって、実施の形態１にかかるパケット解析システム１０００によれば、情報事故の事後対策において、事故発覚後に、数ヶ月、数年といった過去に遡って調査することができる。
【００６３】
また、実施の形態１にかかるパケット解析システム１０００によれば、暗号化部１３６がデータを暗号化し、送信部１１４が暗号化されたデータを送信する。したがって、実施の形態１にかかるパケット解析システム１０００によれば、パケット取得装置１００と蓄積装置２００との間の通信を傍受された場合などであっても、データの内容は秘匿される。さらに、実施の形態１において、パケット取得装置１００と蓄積装置２００との間の接続線は専用線としているため、パケット取得装置１００と蓄積装置２００との間の通信が傍受されることを防止できる。
ここで、実施の形態１にかかるパケット解析システム１０００は、情報事故対策などに使用されるが、機密情報が含まれた情報を記録するシステムであるため、実施の形態１にかかるパケット解析システム１０００自身が情報漏えいの源になる可能性がある。しかし、蓄積装置２００は、暗号化されたデータを記憶する。したがって、蓄積装置２００のデータを持ち出しされた場合などでも、不正に内容を閲覧することはできない。したがって、実施の形態１にかかるパケット解析システム１０００が情報漏えいの源になることを防止できる。
さらに、暗号化に使用する暗号鍵をＵＳＢ（Ｕｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓ）キーに記憶させておいても構わない。この場合、ＵＳＢキーを削除することにより、データのリテンション（削除）も簡単、確実に行うことができる。
また、暗号化処理では、共通鍵暗号化方式および公開鍵暗号化方式により行うことも可能である。上記のようにＵＳＢキーに暗号化、復号の鍵を記憶させ、処理を行う場合、公開鍵暗号化方式を用いる場合に比べ処理性能が優れている。
【００６４】
実施の形態２．
次に、実施の形態２について説明する。実施の形態１では、パケット解析システム１０００は、パケット取得装置１００と蓄積装置２００と解析装置３００との筐体が分けられているとした。実施の形態２では、パケット解析システム１０００の他の筐体の分け方について説明する。
【００６５】
図１４、図１５、図１６に基づき実施の形態２にかかるパケット解析システム１０００の筐体の分け方の一例について説明する。
図１４は、パケット取得装置１００を第１筐体とし、蓄積装置２００と解析装置３００とを第２筐体とした例である。図１５は、パケット取得装置１００と蓄積装置２００とを第１筐体とし、解析装置３００を第２筐体とした例である。図１６は、解析装置３００を、再現装置３５０と検索装置３６０とに筐体を分け、筐体をパケット取得装置１００と蓄積装置２００と再現装置３５０と検索装置３６０との４つとした例である。
上記の筐体の分け方に限定されるわけではなく、その他の筐体の分け方でも構わない。
【００６６】
実施の形態２にかかるパケット解析システム１０００によれば、筐体が分割されているため、設備の増強などが容易に行える。つまり、実施の形態２にかかるパケット解析システム１０００によれば、例えば、記憶容量を増やす可能性がある場合には、蓄積装置２００を別筐体とすることで、蓄積装置２００のみを増強することが可能である。また、複数箇所からパケットを取得したい場合には、パケット取得装置１００を別筐体とすることで、パケット取得装置１００のみを複数台にすることが可能である。
【００６７】
また、実施の形態２にかかるパケット解析システム１０００によれば、図１６に示すように、解析装置３００を再現装置３５０と検索装置３６０とに分けることで、検索処理の増強を図りたい場合などには、検索装置３６０のみを複数台にすることが可能である。
【００６８】
したがって、実施の形態２にかかるパケット解析システム１０００によれば、設備の増強などをコストを抑えて行うことが可能である。
【００６９】
実施の形態３．
次に、実施の形態３について説明する。実施の形態３では、複数のパケット取得装置１００を備えるパケット解析システム１０００について説明する。
【００７０】
図１７に基づき実施の形態３にかかるパケット解析システム１０００の概要を説明する。図１７は、実施の形態３にかかる複数のパケット取得装置１００を備えるパケット解析システム１０００の概要を示す図である。
図１７において、パケット解析システム１０００は、セグメント１に接続されているパケット取得装置Ａ１００Ａと、セグメント２に接続されているパケット取得装置Ｂ１００Ｂとを備える。その他、パケット解析システム１０００は、蓄積装置２００と解析装置３００とを備える。
【００７１】
パケット取得装置Ａ１００Ａとパケット取得装置Ｂ１００Ｂとを異なるセグメントに接続することで、各セグメントを流れるパケットを取得することができる。例えば、図８、図９に示すように、インターネット９４０との接続ポイントと、共有サーバへの接続ポイントとのそれぞれにパケット取得装置１００を接続することで、両方の接続ポイントを通るパケットを取得することができる。つまり、パケット取得装置１００が複数存在する場合、各パケット取得装置１００を異なる接続ポイントに接続することで、各接続ポイントを通ったデータを取得することができる。
また、実施の形態３にかかるパケット解析システム１０００は、各パケット取得装置１００が取得したパケットに、パケットを取得したパケット取得装置１００を示す識別子を付与することで、蓄積装置２００に記憶されている情報がどの接続ポイントを通った情報であるかを判別することが可能である。
【００７２】
次に、図１８に基づき実施の形態３にかかるパケット解析システム１０００の機能について説明する。図１８は、実施の形態３にかかるパケット解析システム１０００の機能を示す機能ブロック図である。ここでは、実施の形態１にかかるパケット解析システム１０００の機能と異なる部分についてのみ説明する。
【００７３】
実施の形態３にかかるパケット取得装置１００の情報付与部１２０は、さらに、識別子付与部１２６を備える。識別子付与部１２６は、パケット取得部１１２が取得したパケットに、パケット取得装置１００を識別する識別子を付与して記憶装置９８２に記憶する。つまり、識別子付与部１２６は、パケット取得部１１２が取得したパケットに、そのパケット取得部１１２を備えるパケット取得装置１００の識別子を付与することで、蓄積装置２００が記憶した情報がどのパケット取得装置１００が取得したものであるかを判別できるようにしている。したがって、この場合、蓄積装置２００が記憶した情報がどの接続ポイントを通った情報であるかを判別できる。また、識別子付与部１２６は、識別子として、例えばＭＡＣアドレスなどを付与する。
【００７４】
次に、図１９に基づき実施の形態３にかかるパケット解析システム１０００の動作について説明する。図１９は、実施の形態３にかかるパケット解析システム１０００の動作を示すフローチャートである。ここでは、実施の形態３にかかるパケット解析システム１０００の動作と異なる部分についてのみ説明する。
【００７５】
（Ｓ２０１）から（Ｓ２０３）までは、それぞれ、実施の形態１の（Ｓ１０１）から（Ｓ１０３）までと同様である。
識別子付与ステップ（Ｓ２０４）では、識別子付与部１２６は、パケット取得部１１２が取得したパケットに、パケット取得装置１００を識別する識別子を付与する。ここでは、識別子付与部１２６は、第２ファイルデータに識別子を付与する。
（Ｓ２０５）から（Ｓ２１４）までは、それぞれ、実施の形態１の（Ｓ１０４）から（Ｓ１１３）までと同様である。
【００７６】
ここで、識別子付与ステップ（Ｓ２０４）は上記順序で実行されることに限られるわけではなく、（Ｓ２０８）の後に実行されるなど、他の順序でも構わない。
【００７７】
実施の形態３にかかるパケット解析システム１０００によれば、複数の接続ポイントを流れるパケットを取得し、１つの蓄積装置２００に記憶することができる。したがって、新たな接続ポイントを流れる情報を記憶したい場合に、パケット取得装置１００のみを追加することで対応できる。また、セグメント毎にパケット取得装置１００を分けることで、パケット取得装置１００への負荷が軽減される。
【００７８】
また、実施の形態３にかかるパケット解析システム１０００によれば、取得したパケットにパケット取得装置１００の識別子を付与するため、調査をする際に、対象とするデータを、調査したい接続ポイントによって絞込みすることができる。
【００７９】
実施の形態４．
次に、実施の形態４について説明する。実施の形態４では、管理端末４００がパケットを検索などする動作などのログを取得するパケット解析システム１０００について説明する。
【００８０】
図２０に基づき実施の形態４にかかるパケット解析システム１０００の機能について説明する。図２０は、実施の形態４にかかるパケット解析システム１０００の機能を示す機能ブロック図である。ここでは、実施の形態１にかかるパケット解析システム１０００の機能と異なる部分についてのみ説明する。
【００８１】
解析装置３００は、さらに、ログ取得部３４０を備える。ログ取得部３４０は、パケット解析部３３０が解析したパケットへアクセスする操作を管理端末４００から指示をされた場合に、操作のログを取得して記憶装置９８２に記憶する。ログ取得部３４０は、パケット解析部３３０が解析したパケットへアクセスするというデータの閲覧以外の操作についてもログを取得しても構わない。
【００８２】
パケット解析システム１０００は、情報事故の対策などのために情報を記憶するものである。しかし、パケット解析システム１０００は、多くの情報を記憶しているため、逆にパケット解析システム１０００のデータを利用して情報事故が発生する可能性がある。そこで、実施の形態４にかかるパケット解析システム１０００によれば、パケット解析システム１０００のデータへのアクセスなどについてもログを取得することで、パケット解析システム１０００のデータへのアクセスなどについても調査を行うことができる。
【００８３】
さらに、パケット解析システム１０００は、パケット解析システム１０００を使用するユーザに対して権限を付与する権限付与部を備えていても構わない。パケット解析システム１０００は、例えば、システムの設定や権限の割当てなどを行うシステム管理者権限、パケット解析部３３０が解析したパケットを閲覧するデータ閲覧権限、ログ取得部３４０が取得したログを調査するログ監査権限などの権限を有し、権限付与部が各ユーザに割当てる。この場合に、例えば、１ユーザに対して１権限のみを与えるなどし、さらにセキュリティを高めることが可能である。
【００８４】
上記実施の形態にかかるパケット解析システム１０００は、蓄積装置２００の記憶装置９８２がいっぱいになってしまった場合には、古いデータから削除して新しいデータを記憶するディスクローテーションを行うものとしても構わない。
【００８５】
さらに、上記実施の形態にかかるパケット解析システム１０００は、ネットワークを介してデータを管理するが、必要なサービス以外のサービスを停止する等の設定をおこなっても構わない。また、管理端末４００からの操作は、ＨＴＴＰＳ（Ｈｙｐｅｒｔｅｘｔ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ  Ｓｅｃｕｒｉｔｙ）による暗号化通信としても構わない。
【００８６】
また、さらに、パケット取得装置１００のパケット取得ポートにステルス性を持たせることにより、サーバスキャンやホストスキャンなどに反応せず、存在を隠蔽するようにしても構わない。
【００８７】
また、上記実施の形態にかかるパケット解析システム１０００の解析装置３００は、蓄積装置２００が記憶したメール（ＳＭＴＰ及びＰＯＰ）データを、例えば、期間、クライアントのＩＰアドレス、クライアントのＭＡＣアドレス、サーバのＩＰアドレス、サーバのＭＡＣアドレス、サーバのポート、ＦＲＯＭ句、ＴＯ句、ＲＥＣＥＩＶＥＤ句、ＭＡＩＬＦＲＯＭ句、ＲＣＰＴＴＯ句、ＣＣ句、ＳＵＢＪＥＣＴ句、添付ファイル名、メールサイズなどにより検索できるようにしても構わない。また、上記実施の形態にかかるパケット解析システム１０００の解析装置３００は、ＳＭＴＰヘッダ、本文及び添付ファイルに対し、フリーキーワードによる全文検索をできるようにしても構わない。添付ファイルについては、添付ファイルの中身について検索することも可能であるとしても構わない。
【００８８】
さらに、上記実施の形態にかかるパケット解析システム１０００の解析装置３００は、ＨＴＴＰ通信されているＷＥＢデータはもちろん、ＺＩＰ圧縮され通信されているＷＥＢデータについてもデータを再現できるようにしても構わない。また、ＰＯＳＴやＧＥＴなどによるデータのアップロードがあった場合、これらについても再現できるようにしても構わない。つまり、この場合、ファイルのアップロードについても再現することができるため、上述したＷＥＢメールやオンラインストレージへのデータの送信についても再現することができる。
【００８９】
また、さらに、上記実施の形態にかかるパケット解析システム１０００の解析装置３００は、蓄積装置２００が記憶したＷＥＢ（ＨＴＴＰ）データを、例えば、クライアントのＩＰアドレス、クライアントのＭＡＣアドレス、サーバのＩＰアドレス、サーバのＭＡＣアドレス、サーバのポート、ＵＲＬ（Ｕｎｉｆｏｒｍ  Ｒｅｓｏｕｒｃｅ  Ｌｏｃａｔｏｒ）、サイズなどにより検索できるようにしても構わない。また、上記実施の形態にかかるパケット解析システム１０００の解析装置３００は、ＨＴＴＰヘッダ、本文及び添付ファイルに対し、フリーキーワードによる全文検索をできるようにしても構わない。添付ファイルについては、添付ファイルの中身について検索することも可能であるとしても構わない。
【００９０】
また、上記実施の形態にかかるパケット解析システム１０００の解析装置３００は、ＴＣＰ／ＩＰによるＦＴＰ通信を再現できる。つまり上記実施の形態にかかるパケット解析システム１０００の解析装置３００は、転送されたファイルをも再現することができる。また、上記実施の形態にかかるパケット解析システム１０００の解析装置３００は、蓄積装置２００が記憶したＦＴＰデータを、例えば、期間、クライアントのＩＰアドレス、クライアントのＭＡＣアドレス、サーバのＩＰアドレス、サーバのＭＡＣアドレス、サーバのポート、サイズなどにより検索できるようにしても構わない。また、上記実施の形態にかかるパケット解析システム１０００の解析装置３００は、ＦＴＰ通信に対し、フリーキーワードによる全文検索をできるようにしても構わない。さらに、上記実施の形態にかかるパケット解析システム１０００の解析装置３００は、検索の際、文字コードの判別を行うようにしても構わない。
【００９１】
さらに、上記実施の形態にかかるパケット解析システム１０００の解析装置３００は、ＴＣＰストリームへの復号を行うようにしても構わない。また、ＴＥＬＮＥＴなどの平分通信の内容を確認することができるようにしても構わない。さらに、ＦＴＰなどの複数セッションを使う通信では、個別のセッション毎に管理するようにしても構わない。また、さらに、ＨＴＴＰＳなどの暗号化通信は、通信日時、クライアント／サーバのＩＰアドレス、ポート、ＭＡＣアドレスなどを閲覧可能としても構わない。さらに、ＨＴＴＰＳなどの暗号化通信の場合、本文は暗号化されているため、データを記録し、表示しても内容を判別できないようにしても、できるようにしても構わない。また、さらに、最適化されたデータベースを使用することにより、高速な検索を実現可能である。また、検索には、ｎ−ｇｒａｍ方式などのインターネット検索などで使用される高速、大量の検索処理を用いても構わない。
【図面の簡単な説明】
【００９２】
【図１】実施の形態にかかるパケット解析システム１０００の外観の一例を示した図である。
【図２】実施の形態におけるパケット取得装置１００、蓄積装置２００、解析装置３００、管理端末４００のハードウェア構成の一例を示す図である。
【図３】情報事故が発生した場合の対応の一例を示す図である。
【図４】通常のメールサーバの通信ログの一例を示す図である。
【図５】パケット解析システム１０００が記憶するデータの一例である。
【図６】パケット解析システム１０００の動作の概要を示す図である。
【図７】パケット解析システム１０００のパケット取得の概要を示す図である。
【図８】パケット解析システム１０００をインターネット９４０との接続ポイントに設置した例である。
【図９】パケット解析システム１０００を共有サーバへの接続ポイントに設置した例である。
【図１０】パケット解析システム１０００で解析するプロトコルの一例を示した図である。
【図１１】実施の形態１にかかるパケット解析システム１０００のデータフローの一例を示す図である。
【図１２】実施の形態１にかかるパケット解析システム１０００の機能を示す機能ブロック図である。
【図１３】実施の形態１にかかるパケット解析システム１０００の動作を示すフローチャートである。
【図１４】パケット取得装置１００を第１筐体とし、蓄積装置２００と解析装置３００とを第２筐体とした例である。
【図１５】パケット取得装置１００と蓄積装置２００とを第１筐体とし、解析装置３００を第２筐体とした例である。
【図１６】パケット取得装置１００と蓄積装置２００と、さらに、解析装置３００を、再現装置３５０と検索装置３６０とに分けた例である。
【図１７】実施の形態３にかかるパケット解析システム１０００である複数のパケット取得装置１００を備えるパケット解析システム１０００の概要を示す図である。
【図１８】実施の形態３にかかるパケット解析システム１０００の機能を示す機能ブロック図である。
【図１９】実施の形態３にかかるパケット解析システム１０００の動作を示すフローチャートである。
【図２０】実施の形態４にかかるパケット解析システム１０００の機能を示す機能ブロック図である。
【符号の説明】
【００９３】
１０  第１ネットワーク、２０  第２ネットワーク、３０  第３ネットワーク、４０  第４ネットワーク、１００  パケット取得装置、１１０  通信部、１１２  パケット取得部、１１４  送信部、１２０  情報付与部、１２２  ハッシュキー付与部、１２４  時刻付与部、１２６  識別子付与部、１３０  ファイル化部、１３２  第１ファイル化部、１３４  第２ファイル化部、１３６  暗号化部、１３８  圧縮部、１４０  記憶部、１４２  一時記憶部、２００  蓄積装置、２１０  受信部、２２０  パケット記憶部、３００  解析装置、３１０  パケット読込部、３２０  復号部、３３０  パケット解析部、３４０  ログ取得部、４００  管理端末、９０１  ＣＲＴ表示装置、９０２  Ｋ／Ｂ、９０３  マウス、９０４  ＦＤＤ、９０５  ＣＤＤ、９０８  ＮＡＳ、９０９  システムユニット、９１１  ＣＰＵ、９１２  バス、９１３  ＲＯＭ、９１４  ＲＡＭ、９１５  通信ボード、９１６  サーバＡ、９１７  サーバＢ、９１８  サーバＣ、９１９  サーバＤ、９２０  磁気ディスク装置、９２１  ＯＳ、９２２  ウィンドウシステム、９２３  プログラム群、９２４  ファイル群、９３１  電話器、９３２  ＦＡＸ機、９４０  インターネット、９４１  ゲートウェイ、９４２  ＬＡＮ、９８０  処理装置、９８２  記憶装置、９８４  入力装置、９８６  通信装置。
【図１】
0004699893.tif 000002
【図２】
0004699893.tif 000003
【図３】
0004699893.tif 000004
【図４】
0004699893.tif 000005
【図５】
0004699893.tif 000006
【図６】
0004699893.tif 000007
【図７】
0004699893.tif 000008
【図８】
0004699893.tif 000009
【図９】
0004699893.tif 000010
【図１０】
0004699893.tif 000011
【図１１】
0004699893.tif 000012
【図１２】
0004699893.tif 000013
【図１３】
0004699893.tif 000014
【図１４】
0004699893.tif 000015
【図１５】
0004699893.tif 000016
【図１６】
0004699893.tif 000017
【図１７】
0004699893.tif 000018
【図１８】
0004699893.tif 000019
【図１９】
0004699893.tif 000020
【図２０】
0004699893.tif 000021