(57)【要約】【課題】  記録媒体の使用容量を削減可能とし、特定行動の発生状況やログの分析等を効率よく行える通信記録システムを提供する。【解決手段】  ネットワーク１００，２００上のパケットを中継する中継装置１が常時または適時、行動監視システム２へパケットを転送し、行動監視システム２において中継装置１から受取ったパケットから特定行動または特定行動の予兆を検出する。行動監視システム２は特定行動または特定行動の予兆を検出すると、中継装置１へ特定行動に関係すると判断される情報を伝達する。中継装置１は行動監視システム２から特定行動の検出情報を受けると、それらの情報に全てまたは一部適合するパケットの記憶装置２へのミラーリングを行う。記憶装置２では中継装置１からミラーリング指示されたパケットのみを記録することで、特定行動に関するパケットの情報のみを記録する。【選択図】      図１                                                  
2005301766.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク上のパケットを中継する中継装置を含み、前記ネットワークを通過するパケットを記憶媒体に記録する通信記録システムであって、
前記パケットから少なくとも予め設定された特定行動及び当該特定行動の予兆のいずれかを検出する検出手段と、前記特定行動及び当該特定行動の予兆のいずれかが検出されたパケットの少なくとも一部を前記記憶媒体に記録させる手段とを有することを特徴とする通信記録システム。
【請求項２】
前記検出手段は、前記中継装置から転送されてくるパケットにおいて前記特定行動及び当該特定行動の予兆のいずれかを検出することを特徴とする請求項１記載の通信記録システム。
【請求項３】
前記検出手段は、前記特定行動及び当該特定行動の予兆のいずれかを検出した時にその検出情報を前記記憶媒体に記録させる手段に伝達し、
前記記憶媒体に記録させる手段は、前記検出情報を受信した時に前記特定行動及び当該特定行動の予兆のいずれかが検出されたパケットの少なくとも一部の前記記憶媒体へのミラーリングを行うことを特徴とする請求項１または請求項２記載の通信記録システム。
【請求項４】
前記記憶媒体に記録させる手段は、前記記録媒体へのミラーリング期限中、前記特定行動及び当該特定行動の予兆のいずれかの検出の有無に関係なく前記パケットの少なくとも一部を前記記録媒体に記録することを特徴とする請求項１から請求項３のいずれか記載の通信記録システム。
【請求項５】
ネットワーク上のパケットを中継する中継装置であって、
前記パケットから少なくとも予め設定された特定行動及び当該特定行動の予兆のいずれかが検出されたパケットの少なくとも一部を記憶媒体に記録させる手段を有することを特徴とする中継装置。
【請求項６】
前記特定行動及び当該特定行動の予兆のいずれかをする検出手段に前記パケットを転送することを特徴とする請求項５記載の中継装置。
【請求項７】
前記記憶媒体に記録させる手段は、前記検出手段から前記特定行動及び当該特定行動の予兆のいずれかを検出したことを示す検出情報を受信した時に前記特定行動及び当該特定行動の予兆のいずれかが検出されたパケットの少なくとも一部の前記記憶媒体へのミラーリングを行うことを特徴とする請求項６記載の中継装置。
【請求項８】
前記記憶媒体に記録させる手段は、前記記録媒体へのミラーリング期限中、前記特定行動及び当該特定行動の予兆のいずれかの検出の有無に関係なく前記パケットの少なくとも一部を前記記録媒体に記録することを特徴とする請求項５から請求項７のいずれか記載の中継装置。
【請求項９】
ネットワーク上のパケットを中継する中継装置を含むシステムにおいて、前記ネットワークを通過するパケットを記憶媒体に記録する通信記録方法であって、前記中継装置側に、前記パケットから少なくとも予め設定された特定行動及び当該特定行動の予兆のいずれかが検出されたパケットの少なくとも一部を記憶媒体に記録させるステップを有することを特徴とする通信記録方法。
【請求項１０】
前記中継装置から転送されてくるパケットにおいて前記特定行動及び当該特定行動の予兆のいずれかを検出することを特徴とする請求項１記載の通信記録方法。
【請求項１１】
前記記憶媒体に記録させるステップは、前記特定行動及び当該特定行動の予兆のいずれかを検出したことを示す検出情報を受信した時に前記特定行動及び当該特定行動の予兆のいずれかが検出されたパケットの少なくとも一部の前記記憶媒体へのミラーリングを行うことを特徴とする請求項９または請求項１０記載の通信記録方法。
【請求項１２】
前記記憶媒体に記録させるステップは、前記記録媒体へのミラーリング期限中、前記特定行動及び当該特定行動の予兆のいずれかの検出の有無に関係なく前記パケットの少なくとも一部を前記記録媒体に記録することを特徴とする請求項９から請求項１１のいずれか記載の通信記録方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は通信記録システム、中継装置及びそれらに用いる通信記録方法に関し、特に特定行動に関する通信の記録方法に関する。
【背景技術】
【０００２】
近年、ネットワークを通過するパケットにおいては、ネットワーク内部への不正アクセス、特定のＷｅｂページへのアクセス、コンピュータウイルス等の特定プログラムへのアクセスまたは起動等の特定行動を実行するためのパケットが含まれていることがある。
【０００３】
これら特定行動を実行するためのパケットの発信元を分析するためには、ネットワークを通過するパケット全てを記録しておく方法がとられている（例えば、特許文献１参照）。この方法はインタネットへのアクセス環境を提供するプロバイダにおいて用いられることが知られている。
【０００４】
【特許文献１】特開２００１−２１７８３４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
上述した従来の通信の記録方法では、ネットワークを通過するパケット全てを記録しておかねばならない。しかしながら、ブロードバンドの普及に伴う回線の高速化によって、中継装置を通過するパケットが膨大になり、全てのパケットを記録して保持することが困難となりつつある。
【０００６】
そこで、本発明の目的は上記の問題点を解消し、記録媒体の使用容量を削減することができ、特定行動の発生状況やログの分析等を効率よく行うことができる通信記録システム、中継装置及びそれらに用いる通信記録方法を提供することにある。
【課題を解決するための手段】
【０００７】
本発明による通信記録システムは、ネットワーク上のパケットを中継する中継装置を含み、前記ネットワークを通過するパケットを記憶媒体に記録する通信記録システムであって、
前記パケットから少なくとも予め設定された特定行動及び当該特定行動の予兆のいずれかを検出する検出手段と、前記特定行動及び当該特定行動の予兆のいずれかが検出されたパケットの少なくとも一部を前記記憶媒体に記録させる手段とを備えている。
【０００８】
本発明による中継装置は、ネットワーク上のパケットを中継する中継装置であって、
前記パケットから少なくとも予め設定された特定行動及び当該特定行動の予兆のいずれかが検出されたパケットの少なくとも一部を記憶媒体に記録させる手段を備えている。
【０００９】
本発明による通信記録方法は、ネットワーク上のパケットを中継する中継装置を含むシステムにおいて、前記ネットワークを通過するパケットを記憶媒体に記録する通信記録方法であって、前記中継装置側に、前記パケットから少なくとも予め設定された特定行動及び当該特定行動の予兆のいずれかが検出されたパケットの少なくとも一部を記憶媒体に記録させるステップを備えている。
【００１０】
すなわち、本発明の通信記録システムは、ネットワークを通過するパケットのうち、予め設定された特定行動に関するパケットのみを記憶装置に記録することを特徴としている。
本発明の通信記録システムでは、ネットワーク上のパケットを中継する中継装置が常時または適時、行動監視システムへパケットを転送し、行動監視システムにおいて中継装置から受取ったパケットから特定行動または特定行動の予兆を検出する。
【００１１】
行動監視システムは特定行動または特定行動の予兆を検出すると、中継装置へ特定行動に関係すると判断される情報を伝達する。中継装置は行動監視システムから特定行動の検出情報を受けると、それらの情報の全てまたは一部適合するパケットの記憶装置へのミラーリングを行う。
【００１２】
記憶装置では中継装置からミラーリング指示されたパケットのみを記録することで、特定行動に関するパケットの情報のみを記録することが可能となる。
【００１３】
これによって、本発明の通信記録システムでは、特定行動に関係するパケットのみを記録することで、記録媒体の使用容量が削減可能となり、特定行動の発生状況やログの分析等を効率よく行うことが可能になる。
【００１４】
また、本発明の通信記録システムでは、ミラーリング期限中、特定行動の有無に関係なくパケットを記憶装置に記録するので、特定行動の行動監視システムの負荷を下げることが可能になる。行動監視システムが十分、負荷に耐えられる場合、ミラーリング期限中を「０」とすることで、全てのアクセスを監視しつつ特定行動に関するものだけを記録することも可能である。
【００１５】
さらに、本発明の通信記録システムでは、ミラーリング対象パケットの全てまたは一部をミラーリングすることで、記録媒体の使用容量をより削減することが可能になり、効率よく記憶容量を使用可能となる。
【発明の効果】
【００１６】
本発明は、以下に述べるような構成及び動作とすることで、記録媒体の使用容量を削減することができ、特定行動の発生状況やログの分析等を効率よく行うことができるという効果が得られる。
【発明を実施するための最良の形態】
【００１７】
次に、本発明の実施例について図面を参照して説明する。図１は本発明の一実施例による通信記録システムの構成を示すブロック図である。図１において、本発明の一実施例による通信記録システムはネットワーク１００，２００上を流れるパケットを中継する中継装置１と、ネットワーク１００，２００上のパケットを監視して特定行動または特定行動の予兆を検出する行動監視システム２と、ネットワーク１００，２００上を流れるパケットを記録する記録装置３とから構成されている。
【００１８】
中継装置１はネットワーク１００，２００上のパケットを中継し、受取ったパケットの一部または全てをコピーして別ポートへ送信したり、またはカプセル化することによって別の宛先へ送信したりしている。記憶措置３はネットワーク１００，２００上を流れるパケットを記録する。
【００１９】
行動監視システム２はネットワーク１００，２００上のパケットを監視し、予め設定された特定行動またはその予兆を検出する。ここで、特定行動とは、例えば不正アクセス、特定のＷｅｂページへのアクセス、特定プログラムへのアクセスまたは起動を指している。特定行動には上記の行動以外にも、システムにおいて何らかの支障をきたす要因となる行動を含んでいる。
【００２０】
図２は図１の中継装置１の構成を示すブロック図である。図２において、中継装置１はネットワーク１００，２００上のパケットを中継するパケット中継機能１１と、受取ったパケットの一部または全てをコピーして別ポートへ送信するコピー機能１２と、受取ったパケットの一部または全てをカプセル化することによって別の宛先へ送信するカプセル化機能１３とから構成されている。
【００２１】
尚、本実施例では中継装置１にコピー機能１２とカプセル化機能１３とを備えているが、これらコピー機能１２とカプセル化機能１３とのうち一方を備えるものに対しても、本発明を適用することが可能である。
【００２２】
図３は図１の行動監視システム２の構成を示すブロック図である。図３において、行動監視システム２はネットワーク１００，２００上のパケットを監視して特定行動またはその予兆を検出するパケット監視機能２１を備えている。
【００２３】
パケット監視機能２１は中継装置１から転送されてきたパケットに付加されている送信元や宛先等の情報に基づいて、認証失敗回数が一定値以上となっていないか、勤務時間外のアクセスか、キーストローク速度が通常と異ならないか、特定ユーザからのアクセスか、ＩＰアドレスとユーザ名とが一致しているか、通常経路以外からのアクセスか、特定（キー）情報の送受信か、特定サイズ以上の情報の送受信か等を判定し、その判定結果を基に特定行動またはその予兆を検出する。
【００２４】
図４は本発明の一実施例にて用いられるミラーリング条件追加メッセージの構成を示す図である。図４において、ミラーリング条件追加メッセージは送信元と、宛先と、ミラーリング用のパケットのコピー部分指定等のその他の条件と、ミラーリング期限と、ミラーリング継続判断期限とから構成されている。
【００２５】
ミラーリング期限とは中継装置１がミラーリング条件に該当するパケットを記憶装置３へとミラーリングを行い、その間は該当するパケットを行動監視システム２に転送しない期間を表している。ミラーリング継続判断期限とは記憶装置３へとパケットのミラーリングを行うが、行動監視システム２へパケットを転送する期限を表している。
【００２６】
図５〜図７は本発明の一実施例による通信記録システムの動作を示すシー県スチャーとである。これら図１〜図７を参照して本発明の一実施例による通信記録システムの動作について説明する。
【００２７】
図５は本実施例において、記憶装置３へ特定行動に関するパケットのみをミラーリングするためにミラーリング条件を中継装置１が設定するまでの流れを示している。この図５を参照して上記の流れについて説明する。
【００２８】
まず、中継装置１はネットワーク１００からパケットを受信すると（図５のａ１）、受信したパケットを本来の宛先とは異なる行動監視システム２へと転送する（図５のａ２）。
【００２９】
行動監視システム２はそのパケットから特定行動または特定行動の予兆を検出すると、中継装置１へ図４に示すミラーリング条件追加メッセージを送信する（図５のａ３）。その後、行動監視システム２は中継装置１から受信したパケットを中継装置１へ返信する（図５のａ４）。
【００３０】
中継装置１は受取ったパケットがミラーリング条件に該当する場合、コピー機能１２にてパケットの一部または全てをコピーし、それを記憶装置３へ送信し（図５のａ５）、そのパケットを該当するパケットの本来の宛先へと送信する（図５のａ６）。
【００３１】
図６は本実施例において、中継装置１がミラーリング期限内にミラーリング条件に該当するパケットを受信した場合の流れを示している。この図６を参照して上記の流れについて説明する。
【００３２】
中継装置１はミラーリング期限内にミラーリング条件に該当するパケットを受信すると（図６のｂ１）、コピー機能１２にて該当するパケットの一部または全てをコピーし、それを記憶装置３へ送信する（図６のｂ２）。その後、中継装置１はこのパケットを該当するパケットの本来の宛先へと送信する（図６のｂ３）。
【００３３】
図７は本実施例において、中継装置１がミラーリング期限外にミラーリング条件に該当するパケットを受信した場合の流れを示している。この図７を参照して上記の流れについて説明する。
【００３４】
中継装置１はミラーリング継続判断期限にミラーリング条件に該当するパケットを受信すると（図７のｃ１）、受信したパケットを本来の宛先とは異なる行動監視システム２へと転送する（図７のｃ２）。
【００３５】
行動監視システム２は中継装置１から受信したパケットを中継装置１へ返信する（図７のｃ３）。この時、行動監視システム２はパケット監視機能２１にてそのパケットから特定行動または特定行動の予兆が検出されると、中継装置１へミラーリング条件追加メッセージを送信する。
【００３６】
中継装置１はミラーリング条件追加メッセージを受けると、そのメッセージの内容にしたがってリストの期間を延長する。中継装置１は記憶装置３へラフィックのコピーを送信し（図７のｃ４）、該当するパケットの本来の宛先へとパケットを送信する（図７のｃ５）。
【００３７】
図８及び図９は図１の中継装置１の動作を示すフローチャートであり、図１０は図１の行動監視システム２の動作を示すフローチャートであり、図１１は図１の記憶装置３の動作を示すフローチャートである。これら図８〜図１１を参照して中継装置１、行動監視システム２、記憶装置３各々の動作について説明する。
【００３８】
中継装置１は隣接するネットワーク１００，２００または行動監視システム２からネットワーク１００，２００上を流れるパケットを受信すると（図８ステップＳ１）、そのパケットが行動監視システム２から送信されたミラーリング条件追加メッセージかどうかをチェックする（図８ステップＳ２）。
【００３９】
中継装置１はミラーリング条件追加メッセージである場合、メッセージの内容にしたがってミラーリングを行うパケットの条件を追加する（図８ステップＳ３）。また、中継装置１はミラーリング条件追加メッセージでない場合、そのパケットが行動監視システム２からの検査済みパケットどうかをチェックする（図８ステップＳ４）。
【００４０】
中継装置１はパケットが行動監視システム２からのパケットであった場合、つまり行動監視システム２で既に検査済みのパケットの場合、そのパケットがミラーリング条件に該当するか否かをチェックする（図９ステップＳ１０）。
【００４１】
中継装置１はそのパケットがミラーリング条件に該当する場合、そのパケットの一部または全てをコピーし、本来の出力ポートではない記憶装置３の存在するポート、またはカプセル化を利用して本来の宛先ではない記憶装置３宛にコピーしたパケットを送信し（図９ステップＳ１１）、そのパケットを本来の宛先へ送信する（図９ステップＳ１２）。
【００４２】
一方、中継装置１はそのパケットがミラーリング条件に該当しない場合、そのパケットを本来の宛先へ送信する（図９ステップＳ１２）。
【００４３】
中継装置１はパケットが行動監視システム２からのパケットでなかった場合、つまり行動監視システム２でまだ検査を受けていないパケットの場合、そのパケットがミラーリング条件に該当するか否かをチェックする（図８ステップＳ５）。
【００４４】
中継装置１はそのパケットがミラーリング条件に該当しなかった場合、そのパケットを本来の宛先ではない行動監視システム２の存在するポート、またはカプセル化を利用して本来の宛先ではない行動監視システム２宛にパケットを常時または適時送信する（図８ステップＳ９）。
【００４５】
中継装置１はそのパケットがミラーリング条件に該当する場合、そのミラーリング条件がミラーリング期限を超過していないかどうかをチェックする（図８ステップＳ６）。
【００４６】
中継装置１はミラーリング期限を超過していない場合、そのパケットの一部または全てをコピーし、本来の出力ポートではない記憶装置３の存在するポート、またはカプセル化を利用して本来の宛先ではない記憶装置３宛にコピーしたパケットを送信し（図９ステップＳ１１）、そのパケットを本来の宛先へ送信する（図９ステップＳ１２）。
【００４７】
中継装置１はミラーリング有効期限を超過している場合、そのミラーリング条件がミラーリング持続判定期限を超過していないかどうかチェックする（図８ステップＳ７）。
【００４８】
中継装置１はミラーリング有効期限を超過していない場合、そのパケットを本来の宛先ではない行動監視システム２の存在するポート、またはカプセル化を利用して本来の宛先ではない行動監視システム２宛にパケットを常時または適時送信する（図８ステップＳ９）。
【００４９】
中継装置１はミラーリング有効期限を超過している場合、ミラーリング条件リストからミラーリング持続判定期限を超過した条件を削除し（図８ステップＳ８）、そのパケットを本来の宛先ではない行動監視システム２の存在するポート、またはカプセル化を利用して本来の宛先ではない行動監視システム２宛にパケットを常時または適時送信する（図８ステップＳ９）。
【００５０】
行動監視システム２は中継装置１からパケットを受信すると（図１０ステップＳ２１）、受信したパケットから特定行動または特定行動の予兆であるかを検出する（図１０ステップＳ２２）。
【００５１】
行動監視システム２はそのパケットから特定行動または特定行動の予兆を検出すると、中継装置１へ適切なミラーリング条件と、ミラーリング期限と、ミラーリング持続判定期限とをミラーリング条件追加メッセージとして送信する（図１０ステップＳ２３）。
【００５２】
行動監視システム２はミラーリング条件追加メッセージを中継装置１へ送信した後、中継装置１から受信したパケットを中継装置１へ返信する（図１０ステップＳ２４）。
【００５３】
行動監視システム２はそのパケットから特定行動または特定行動の予兆を検出しなかった場合、中継装置１から受信したパケットを中継装置１へ返信する（図１０ステップＳ２４）。
【００５４】
記憶装置３は中継装置１によってコピーされたパケットを受信すると（図１１ステップＳ３１）、中継装置１から受信したパケットを記録する（図１１ステップＳ３２）。
【００５５】
このように、本実施例では、特定行動に関係するパケットのみを記憶装置３に記録することで、記録媒体の使用容量を削減することができ、特定行動の発生状況やログの分析等を効率よく行うことができる。
【００５６】
また、本実施例では、ミラーリング期限中、特定行動の有無に関係なくパケットを記憶装置３に記録するので、特定行動の行動監視システム２の負荷を下げることが可能になる。行動監視システム２が十分、負荷に耐えられる場合、ミラーリング期限中を「０」とすることで、全てのアクセスを監視しつつ特定行動に関するものだけを記録することも可能である。
【００５７】
さらに、本実施例では、ミラーリング対象パケットの全てまたは一部をミラーリングすることが可能となるので、記録媒体の使用容量をより削減することが可能になり、効率よく記憶容量を使用することができる。
【００５８】
図１２は本発明の他の実施例による通信記録システムの構成を示すブロック図である。図１２において、本発明の他の実施例では、中継装置４に中継機能４１と行動監視システム４２とを搭載するようにした以外は図１に示す本発明の一実施例と同様の構成となっており、同一構成要素には同一符号を付してある。また、同一構成要素の動作は上述した本発明の一実施例と同様である。
【００５９】
尚、中継機能４１は図２に示す中継装置１と同様の構成及び動作となっており、行動監視システム４２は図３に示す行動監視システム２と同様の構成及び動作となっている。
【００６０】
図１３は本発明の別の実施例による通信記録システムの構成を示すブロック図である。図１３において、本発明の別の実施例では、中継装置５に中継機能５１と行動監視システム５２と記憶機能５３とを搭載するようにした以外は図１に示す本発明の一実施例と同様の構成となっており、同一構成要素には同一符号を付してある。また、同一構成要素の動作は上述した本発明の一実施例と同様である。
【００６１】
尚、中継機能５１は図２に示す中継装置１と同様の構成及び動作となっており、行動監視システム５２は図３に示す行動監視システム２と同様の構成及び動作となっている。
【図面の簡単な説明】
【００６２】
【図１】本発明の一実施例による通信記録システムの構成を示すブロック図である。
【図２】図１の中継装置の構成を示すブロック図である。
【図３】図１の行動監視システムの構成を示すブロック図である。
【図４】本発明の一実施例にて用いられるミラーリング条件追加メッセージの構成を示す図である。
【図５】本発明の一実施例による通信記録システムの動作を示すシー県スチャーとである。
【図６】本発明の一実施例による通信記録システムの動作を示すシー県スチャーとである。
【図７】本発明の一実施例による通信記録システムの動作を示すシー県スチャーとである。
【図８】図１の中継装置の動作を示すフローチャートである。
【図９】図１の中継装置の動作を示すフローチャートである。
【図１０】図１の行動監視システムの動作を示すフローチャートである。
【図１１】図１の記憶装置の動作を示すフローチャートである。
【図１２】本発明の他の実施例による通信記録システムの構成を示すブロック図である。
【図１３】本発明の別の実施例による通信記録システムの構成を示すブロック図である。
【符号の説明】
【００６３】
１  中継装置
２，４２，５２  行動監視システム
３  記録装置
１１  パケット中継機能
１２  コピー機能
１３  カプセル化機能
２１  パケット監視機能
４１，５１  中継機能
５３  記憶機能
１００，２００  ネットワーク
【図１】
2005301766.tif 000003
【図２】
2005301766.tif 000004
【図３】
2005301766.tif 000005
【図４】
2005301766.tif 000006
【図５】
2005301766.tif 000007
【図６】
2005301766.tif 000008
【図７】
2005301766.tif 000009
【図８】
2005301766.tif 000010
【図９】
2005301766.tif 000011
【図１０】
2005301766.tif 000012
【図１１】
2005301766.tif 000013
【図１２】
2005301766.tif 000014
【図１３】
2005301766.tif 000015