(57)【要約】【課題】通信パケットのログデータ分析において、ＩＰアドレスの代わりに法人名又は団体名を表示し、国籍とＩＰアドレスが所属するサブネットの起点ＩＰアドレスと法人名又は団体名を指定した表示又は検索ができるようにする。【解決手段】ログデータの累計や分析表示の専用データを生成する「通信パケットログ参照用データ作成機構２」において、通信パケットのログデータに含まれるＩＰアドレスを取り出し、このＩＰアドレスをネットワーク情報センターへ問合せ、その応答から法人情報又は団体情報及びキーとなる国籍とＩＰアドレスが所属するサブネットのＩＰアドレス範囲と法人名又は団体名を取り出すとともに、これらの情報を専用データに付加して生成する。【選択図】  図１
2005198220.tif 000002
【特許請求の範囲】
通信パケットのログデータから送信元又は送信先のＩＰアドレスを取り出し各国のネットワーク情報センターに問合せを行い、その結果得た法人情報又は団体情報をデータとして登録し、このデータを通信パケットのログデータ分析用データに加えることで、データ分析する際、ＩＰアドレスの代わりに法人名又は団体名が表示でき、そこを指定することで法人情報又は団体情報の表示ができ、ネットワーク情報センターの問合せで得た国籍と送信元又は送信先ＩＰアドレスが所属するサブネットの起点ＩＰアドレスと法人名又は団体名を指定した表示及び検索を可能にした分析システム
【発明の詳細な説明】
【発明の詳細な説明】
【技術分野】本発明はＩＰ通信分野における通信パケットの分析装置及びインターネット上の不正侵入検知装置に属する発明である。
【背景技術】通信パケットを採取し簡単な検索を行い表示する機能はパケットキャプチャと言うソフトウェアが行っていた。代表的なものにＥｔｈｅｒｅａｌと言うソフトウェアがある。このソフトウェアはリアルタイムで通信パケットを採取し、独自の画面を表示し、その中で通信パケットの代表的な情報（日時、プロトコル、送信元ＩＰアドレス、送信先ＩＰアドレス、一部データ内容）を表示する。このソフトウェアにはＩＰアドレスの国籍を解決する機能がなく、インターネット上のネームサーバシステムへ問合せを行う機能が付加されているだけである。類似のソフトウェアとしてＴｅｔｈｅｒｅａｌがある。このソフトウェアはＥｔｈｅｒｅａｌと同等の機能を持つが独自の画面を持たず、通信パケットの情報を１行メッセージとして表示する点が異なっている。他のソフトウェアとしてｔｃｐｄｕｍｐがある。これは通信パケットの情報を１行メッセージとして表示する点でＴｅｔｈｅｒｅａｌと類似の機能を持つ。
【発明が解決しようとする問題点】
パケットキャプチャと言われるソフトウェアは短い時間帯の通信の詳細を調べるものであって、長期にわたるインターネット上の新種ウィルスの活動やＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）攻撃など異変を分析する目的で作成されていない。また、このソフトウェアは採取される通信パケットのログを細かく分析、表示する機能がない。例えば、送信元の通信パケットの国籍を特定する場合、インターネット上のネームサーバシステムに問合せを行う機能を使えば良いのだが、現実には問合せを拒否するネームサーバシステムが多くあり、国籍が判明しない場合がある。これでは国籍別の分析は行えない。また、ネームサーバシステムの問合せでは組織名や住所や連絡先はわからない。従って、異常な通信の発生源を特定する場合、従来のパケットキャプチャと言われるソフトウェアでは不可能であった。
【問題点を解決するための手段】
図１は本発明の構成を示すブロック図である。
本発明は通信パケットのログデータに含まれる送信元又は送信先のＩＰアドレスを取り出す「ログデータのＩＰアドレス取り出し機構３」と、これにより取り出されたＩＰアドレスがデータとして登録済みか調べる「ネットワーク情報読取り／登録機構８」と、この結果、未登録のＩＰアドレスであった場合、このＩＰアドレスをネットワーク情報センターへ問合せ、その応答から法人情報又は団体情報及びキーとなる国籍と送信元又は送信先ＩＰアドレスが所属するサブネットのＩＰアドレス範囲と法人名又は団体名を取り出す「ネットワーク情報センター（ＮＩＣ）問合せ機構５」とこれらデータを格納する領域である「応答情報格納域６」とこの領域に格納されたデータを表示修正できる「データ表示・修正機構７」とこれらデータを登録する「ネットワーク情報読取り／登録機構８」と累計や分析表示に利用される専用データを生成する「通信パケットログ参照用データ作成機構２」により実現される。
【作用】
通信パケットのログデータから送信元又は送信先のＩＰアドレスを取り出し、このＩＰアドレスを特定のネットワーク情報センターへ問合せる。問合せ先に情報がなかった場合、応答に情報を保有しているネットワーク情報センターが紹介される。応答からこれを読取り、再度、紹介されたネットワーク情報センターに問合せる。問合せにより得られる結果は、必ずしも一定の様式ではない。英数字が使われているが記述形式は千差万別である。ここから自動で法人名又は団体名の取り出しを行うと、間違った法人名又は団体名を取り出すことが多い。そこで、完全な自動ではなく、定められた規則で国籍、法人名又は団体名、サブネットのＩＰアドレス範囲の取り出しを行い、候補としてその部分を表示する。もし、不適切な取り出しが行われた場合、手動で修正した後にデータを登録する。
また、データを集計するか分析表示する際、通信パケットのログデータの１件１件から送信元又は送信先ＩＰアドレスを取り出し、それをキーにして登録したデータを探す論理にすると、通信パケットのログデータは多量であるため、膨大な時間を要する問題が発生する。従って、通信パケットのログデータの集計や表示に必要とされる情報だけ取り出し、通信パケットの送信元又は送信先ＩＰアドレスに対応する国籍、法人名又は団体名、ＩＰアドレスが所属するサブネットの起点ＩＰアドレスを加えて専用データを生成し、このデータを集計または分析表示時に利用する方式とした。
【実施例】
【０００１】第１図は本発明の構成を示すブロック図である。
通信パケットログ参照用データ作成機構２は通信パケットのログデータ１のデータを読んで、後の分析表示や集計に使われるデータベース（通信パケットログ参照用テーブル）９を生成する主機構である。データベース（通信パケットログ参照用テーブル）９の内容は第２表となっている。【０００２】通信パケットログ参照用データ作成機構２は通信パケットのログデータ１のデータを読み、ログデータのＩＰアドレス取り出し機構２を使い、送信元又は送信先のＩＰアドレスを取り出す。【０００３】次に、このＩＰアドレスが登録済みであるかネットワーク情報読取り／登録機構８を使い調べる。ネットワーク情報読取り／登録機構８はデータベース（ネットワーク情報テーブル）４を検索し、そのＩＰアドレスを範囲内に持つデータが存在するか調べる。データベース（ネットワーク情報テーブル）４の内容は第１表となっている。【０００４】そのＩＰアドレスを範囲内に持つデータが存在する場合、ネットワーク情報読取り／登録機構８がデータベース（ネットワーク情報テーブル）４から国籍、法人名又は団体名、ＩＰアドレスが所属するサブネットのＩＰアドレス範囲（起点ＩＰアドレス及び終点ＩＰアドレス）を通信パケットログ参照用データ作成機構２へ知らせる。【０００５】通信パケットログ参照用データ作成機構２はこれらのデータと通信パケットのログデータ１から読み込んだデータでデータベース（通信パケットログ参照用テーブル）９を生成する。【０００６】ネットワーク情報読取り／登録機構８がデータベース（ネットワーク情報テーブル）４を検索し、そのＩＰアドレスを範囲内に持つデータが発見できなかった場合、通信パケットログ参照用データ作成機構２はネットワーク情報センター（ＮＩＣ）問合せ機構５にそのＩＰアドレスを渡し処理を依頼する。【０００７】以降、ネットワーク情報センター（ＮＩＣ）問合せ機構５、応答情報格納域６、データ表示・修正機構７、ネットワーク情報読取り／登録機構８は第３図に示す流れ図に従って動作する。【０００８】ネットワーク情報センター（ＮＩＣ）問合せ機構５は処理ステップ１で特定のネットワーク情報センターへの問合せデータを作成し送信する。次に、処理ステップ２で、応答のデータを受信。有効部分を取り出す。【０００９】ネットワーク情報センター（ＮＩＣ）問合せ機構５は、取り出された有効部分において、処理ステップ３で、他のネットワーク情報センターの参照を指示しているか判定する。指示している場合、処理ステップ４で、他のネットワーク情報センターへの問合せデータを作成し送信する。【００１０】他のネットワーク情報センターの参照を指示していない場合、正常な応答であるので、処理ステップ５で、ネットワーク情報センター（ＮＩＣ）問合せ機構５は、応答データから法人情報又は団体情報、キーとなる国籍、サブネットのＩＰアドレス範囲、法人名又は団体名を取り出し、「応答情報格納域」６に格納する。【００１１】処理ステップ６で、データ表示・修正機構７が「応答情報格納域」６のデータを読み、画面に表示し編集処理に入る。不適切なデータが取り出された場合、データ表示・修正機構７を使い手動で修正する。【００１２】次に処理ステップ７で、データ登録するか判定し、登録する場合、処理ステップ８で、ネットワーク情報読取り／登録機構８が前記データをデータベース（ネットワーク情報テーブル）４に登録する。【００１３】この時点で国籍、法人名又は団体名、ＩＰアドレスが所属するサブネットのＩＰアドレス範囲が判明しているので、通信パケットログ参照用データ作成機構２はこれらのデータと通信パケットのログデータ１から取り出したデータをあわせてデータベース（通信パケットログ参照用テーブル）９を生成する。【００１４】第２図は本発明により生成されたデータベース（通信パケットログ参照用テーブル）を利用した検索表示、件数表示の構成を示すブロック図である。【００１５】データベース（通信パケットログ参照用テーブル）１には処理に必要な情報だけが入っているので、通信パケットログ参照用テーブル読取り機構２でデータベース（通信パケットログ参照用テーブル）１を読取り、国籍別表示機構３では国籍別の表示及び検索が行え、サブネットのＩＰアドレス別表示機構４ではサブネットの起点ＩＰアドレス別の表示及び検索が行え、法人名又は団体名別表示機構５では法人名又は団体名別の表示及び検索が行える。また、時系列の国内と海外の件数表示機構６では送信元ＩＰアドレスが国内と海外の通信パケットの件数を時系列に表示できる。
【発明の効果】
本発明を利用することで、通信パケットのログデータ分析において、国籍、送信元又は送信先ＩＰアドレスが所属するサブネットの起点ＩＰアドレス、法人名又は団体名を指定した表示や検索及び報告書作成が可能になった。
コンピュータウィルスが感染する場合、特定の通信ポートが利用されるため、時間単位に特定通信ポートの通信パケットの累計を取ることで、コンピュータウィルスの活動が認知できる。本発明により、通信パケットの国籍がわかるので、時系列に国内と海外の件数を分けて集計表示させることで、コンピュータウィルスが海外のサーバシステムから国内のサーバシステムへ感染したか把握できるようになった。
新種のコンピュータウィルスの発生は、特定通信ポートへ送信される通信パケットの数が激増することで認知される。激増した日時にこの特定通信ポートへの通信パケットの送信元を調べる場合、国籍、法人情報又は団体情報がデータとして得られているので、新種のコンピュータウィルスの発生源が特定できるようになった。
【図面の簡単な説明】第１図は本発明の構成を示すブロック図（データ生成）
第２図は本発明の構成を示すブロック図（データ分析）
第３図は本発明のネットワーク情報センター問合せ処理の流れ図
第１表はネットワーク情報テーブルの構成要素
第２表は通信パケットログ参照用テーブルの構成要素
2005198220.tif 000003
2005198220.tif 000004
2005198220.tif 000005
2005198220.tif 000006
2005198220.tif 000007
【手続補正書】
【提出日】平成16年4月6日(2004.4.6)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
通信パケットのログデータから送信元又は送信先のＩＰアドレスを取り出し各国のネットワーク情報センターに問合せを行い、その結果得た法人情報又は団体情報をデータとして登録し、このデータを通信パケットのログデータ分析用データに加えることで、データ分析する際、ＩＰアドレスの代わりに法人名又は団体名が表示でき、そこを指定することで法人情報又は団体情報の表示ができ、ネットワーク情報センターの問合せで得た国籍と送信元又は送信先ＩＰアドレスが所属するサブネットの起点ＩＰアドレスと法人名又は団体名を指定した表示及び検索を可能にした分析システ厶
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【発明の詳細な説明】
【技術分野】
【０００１】本発明はＩＰ通信分野における通信パケットの分析装置及びインターネット上の不正侵入検知装置に属する発明である。
【背景技術】
【０００２】通信パケットを採取し簡単な検索を行い表示する機能はパケットキャプチャと言うソフトウェアが行っていた。代表的なものにＥｔｈｅｒｅａｌと言うソフトウェアがある。このソフトウェアはリアルタイムで通信パケットを採取し、独自の画面を表示し、その中で通信パケットの代表的な情報（日時、プロトコル、送信元ＩＰアドレス、送信先ＩＰアドレス、一部データ内容）を表示する。このソフトウェアにはＩＰアドレスの国籍を解決する機能がなく、インターネット上のネームサーバシステムへ問合せを行う機能が付加されているだけである。類似のソフトウェアとしてＴｅｔｈｅｒｅａｌがある。このソフトウェアはＥｔｈｅｒｅａｌと同等の機能を持つが独自の画面を持たず、通信パケットの情報を１行メッセージとして表示する点が異なっている。他のソフトウェアとしてｔｃｐｄｕｍｐがある。これは通信パケットの情報を１行メッセージとして表示する点でＴｅｔｈｅｒｅａｌと類似の機能を持つ。
【発明の開示】
【発明が解決しようとする課題】
【０００３】パケットキャプチャと言われるソフトウェアは短い時間帯の通信の詳細を調べるものであって、長期にわたるインターネット上の新種ウィルスの活動やＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）攻撃など異変を分析する目的で作成されていない。また、このソフトウェアは採取される通信パケットのログを細かく分析、表示する機能がない。例えば、送信元の通信パケットの国籍を特定する場合、インターネット上のネームサーバシステムに問合せを行う機能を使えば良いのだが、現実には問合せを拒否するネームサーバシステムが多くあり、国籍が判明しない場合がある。これでは国籍別の分析は行えない。また、ネー厶サーバシステムの問合せでは組織名や住所や連絡先はわからない。従って、異常な通信の発生源を特定する場合、従来のパケットキャプチャと言われるソフトウェアでは不可能であった。
【課題を解決するための手段】
【０００４】図１は本発明の構成を示すブロック図である。
本発明は通信パケットのログデータに含まれる送信元又は送信先のＩＰアドレスを取り出す「ログデータのＩＰアドレス取り出し機構３」と、これにより取り出されたＩＰアドレスがデータとして登録済みか調べる「ネットワーク情報読取り／登録機構８」と、この結果、未登録のＩＰアドレスであった場合、このＩＰアドレスをネットワーク情報センターへ問合せ、その応答から法人情報又は団体情報及びキーとなる国籍と送信元又は送信先ＩＰアドレスが所属するサブネットのＩＰアドレス範囲と法人名又は団体名を取り出す「ネットワーク情報センター（ＮＩＣ）問合せ機構５」とこれらデータを格納する領域である「応答情報格納域６」とこの領域に格納されたデータを表示修正できる「データ表示・修正機構７」とこれらデータを登録する「ネットワーク情報読取り／登録機構８」と累計や分析表示に利用される専用データを生成する「通信パケットログ参照用データ作成機構２」により実現される。
【発明の効果】
【０００５】本発明を利用することで、通信パケットのログデータ分析において、国籍、送信元又は送信先ＩＰアドレスが所属するサブネットの起点ＩＰアドレス、法人名又は団体名を指定した表示や検索及び報告書作成が可能になった。
コンピュータウィルスが感染する場合、特定の通信ポートが利用されるため、時間単位に特定通信ポートの通信パケットの累計を取ることで、コンピュータウィルスの活動が認知できる。本発明により、通信パケットの国籍がわかるので、時系列に国内と海外の件数を分けて集計表示させることで、コンピュータウィルスが海外のサーバシステムから国内のサーバシステムへ感染したか把握できるようになった。
新種のコンピュータウィルスの発生は、特定通信ポートへ送信される通信パケットの数が激増することで認知される。激増した日時にこの特定通信ポートへの通信パケットの送信元を調べる場合、国籍、法人情報又は団体情報がデータとして得られているので、新種のコンピュータウィルスの発生源が特定できるようになった。
【発明を実施するための最良の形態】
【０００６】通信パケットのログデータから送信元又は送信先のＩＰアドレスを取り出し、このＩＰアドレスを特定のネットワーク情報センターへ問合せる。問合せ先に情報がなかった場合、応答に情報を保有しているネットワーク情報センターが紹介される。応答からこれを読取り、再度、紹介されたネットワーク情報センターに問合せる。問合せにより得られる結果は、必ずしも一定の様式ではない。英数字が使われているが記述形式は千差万別である。ここから自動で法人名又は団体名の取り出しを行うと、間違った法人名又は団体名を取り出すことが多い。そこで、完全な自動ではなく、定められた規則で国籍、法人名又は団体名、サブネットのＩＰアドレス範囲の取り出しを行い、候補としてその部分を表示する。もし、不適切な取り出しが行われた場合、手動で修正した後にデータを登録する。
また、データを集計するか分析表示する際、通信パケットのログデータの１件１件から送信元又は送信先ＩＰアドレスを取り出し、それをキーにして登録したデータを探す論理にすると、通信パケットのログデータは多量であるため、膨大な時間を要する問題が発生する。従って、通信パケットのログデータの集計や表示に必要とされる情報だけ取り出し、通信パケットの送信元又は送信先ＩＰアドレスに対応する国籍、法人名又は団体名、ＩＰアドレスが所属するサブネットの起点ＩＰアドレスを加えて専用データを生成し、このデータを集計または分析表示時に利用する方式とした。
【実施例】
【０００７】図１は本発明の構成を示すブロック図である。
通信パケットログ参照用データ作成機構２は通信パケットのログデータ１のデータを読んで、後の分析表示や集計に使われるデータベース（通信パケットログ参照用テーブル）９を生成する主機構である。データベース（通信パケットログ参照用テーブル）９の内容は図５となっている。【０００８】通信パケットログ参照用データ作成機構２は通信パケットのログデータ１のデータを読み、ログデータのＩＰアドレス取り出し機構３を使い、送信元又は送信先のＩＰアドレスを取り出す。【０００９】次に、このＩＰアドレスが登録済みであるかネットワーク情報読取り／登録機構８を使い調べる。ネットワーク情報読取り／登録機構８はデータベース（ネットワーク情報テーブル）４を検索し、そのＩＰアドレスを範囲内に持つデータが存在するか調べる。データベース（ネットワーク情報テーブル）４の内容は図４となっている。【００１０】そのＩＰアドレスを範囲内に持つデータが存在する場合、ネットワーク情報読取り／登録機構８がデータベース（ネットワーク情報テーブル）４から国籍、法人名又は団体名、ＩＰアドレスが所属するサブネットのＩＰアドレス範囲（起点ＩＰアドレス及び終点ＩＰアドレス）を通信パケットログ参照用データ作成機構２へ知らせる。【００１１】通信パケットログ参照用データ作成機構２はこれらのデータと通信パケットのログデータ１から読み込んだデータでデータベース（通信パケットログ参照用テーブル）９を生成する。【００１２】ネットワーク情報読取り／登録機構８がデータベース（ネットワーク情報テーブル）４を検索し、そのＩＰアドレスを範囲内に持つデータが発見できなかった場合、通信パケットログ参照用データ作成機構２はネットワーク情報センター（ＮＩＣ）問合せ機構５にそのＩＰアドレスを渡し処理を依頼する。【００１３】以降、ネットワーク情報センター（ＮＩＣ）問合せ機構５、応答情報格納域６、データ表示・修正機構７、ネットワーク情報読取り／登録機構８は図３に示す流れ図に従って動作する。【００１４】ネットワーク情報センター（ＮＩＣ）問合せ機構５は処理ステップ１で特定のネットワーク情報センターへの問合せデータを作成し送信する。次に、処理ステップ２で、応答のデータを受信。有効部分を取り出す。【００１５】ネットワーク情報センター（ＮＩＣ）問合せ機構５は、取り出された有効部分において、処理ステップ３で、他のネットワーク情報センターの参照を指示しているか判定する。指示している場合、処理ステップ４で、他のネットワーク情報センターへの問合せデータを作成し送信する。【００１６】他のネットワーク情報センターの参照を指示していない場合、正常な応答であるので、処理ステップ５で、ネットワーク情報センター（ＮＩＣ）問合せ機構５は、応答データから法人情報又は団体情報、キーとなる国籍、サブネットのＩＰアドレス範囲、法人名又は団体名を取り出し、「応答情報格納域」６に格納する。【００１７】処理ステップ６で、データ表示・修正機構７が「応答情報格納域」６のデータを読み、画面に表示し編集処理に入る。不適切なデータが取り出された場合、データ表示・修正機構７を使い手動で修正する。【００１８】次に処理ステップ７で、データ登録するか判定し、登録する場合、処理ステップ８で、ネットワーク情報読取り／登録機構８が前記データをデータベース（ネットワーク情報テーブル）４に登録する。【００１９】この時点で国籍、法人名又は団体名、ＩＰアドレスが所属するサブネットのＩＰアドレス範囲が判明しているので、通信パケットログ参照用データ作成機構２はこれらのデータと通信パケットのログデータ１から取り出したデータをあわせてデータベース（通信パケットログ参照用テーブル）９を生成する。【００２０】図２は本発明により生成されたデータベース（通信パケットログ参照用テーブル）を利用した検索表示、件数表示の構成を示すブロック図である。【００２１】データベース（通信パケットログ参照用テーブル）１には処理に必要な情報だけが入っているので、通信パケットログ参照用テーブル読取り機構２でデータベース（通信パケットログ参照用テーブル）１を読取り、国籍別表示機構３では国籍別の表示及び検索が行え、サブネットのＩＰアドレス別表示機構４ではサブネットの起点ＩＰアドレス別の表示及び検索が行え、法人名又は団体名別表示機構５では法人名又は団体名別の表示及び検索が行える。また、時系列の国内と海外の件数表示機構６では送信元ＩＰアドレスが国内と海外の通信パケットの件数を時系列に表示できる。【００２２】図１の仕組みをベースにすると、処理ステップ６の編集処理を通じ、ネットワーク情報センター（ＮＩＣ）問合せ機構５を調整することが可能となる。ネットワーク情報センターの応答データからの法人情報又は団体情報、キーとなる国籍、サブネットのＩＰアドレス範囲、法人名又は団体名の取り出しが正しく行えるようになった段階で、処理ステップ６をスキップし、処理ステップ７の判定を常に登録する判定にしておくことで処理の自動化の流れを作ることができる。この処理の自動化も基本的に本発明を前提にしてなければ実現し得ないことをここに明記する。
【図面の簡単な説明】
【００２３】
【図１】は本発明の構成を示すブロック図（データ生成）
【図２】は本発明の構成を示すブロック図（データ分析）
【図３】は本発明のネットワーク情報センター問合せ処理の流れ図
【図４】はネットワーク情報テーブルの構成要素図
【図５】は通信パケットログ参照用テーブルの構成要素図
【手続補正３】
【補正対象書類名】図面
【補正対象項目名】全図
【補正方法】変更
【補正の内容】
【図１】
2005198220.tif 000008
【図２】
2005198220.tif 000009
【図３】
2005198220.tif 000010
【図４】
2005198220.tif 000011
【図５】
2005198220.tif 000012