【手続補正書】
【提出日】平成26年6月3日(2014.6.3)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
パケット解析装置と、パケットキャプチャー装置とからなるパケットキャプチャーシステムであって、
前記パケット解析装置は、閾値計算部を備え、ネットワーク上を流れるパケットを一定時間キャプチャーし、当該パケットを蓄積し、
前記閾値計算部は、パケットの類似性を測る関数を定義し、当該関数から頻度分布を作成し、当該頻度分布から閾値を求め、
前記パケット解析装置は、前記閾値に基づいて、当該パケットを分析することによってもっとも頻繁に現れたパケットのパターンを抽出し、
前記パケットキャプチャー装置は、当該パターンを元に、パケットをキャプチャーするパケットキャプチャーシステム。
【請求項２】
請求項１に記載のパケットキャプチャーシステムであって、
前記閾値計算部は、前記関数として、Ｚ値をとり、前記パケットのヘッダ情報を数値化したパラメータ間の近傍度を示す関数を採用することを特徴とするパケットキャプチャーシステム。
【請求項３】
請求項２に記載のパケットキャプチャーシステムであって、
前記閾値計算部は、前記パラメータの数をｎとして、前記関数のＺｎ個の頻度のそれぞれを頻度の総和で除して、前記頻度分布を得ることを特徴とするパケットキャプチャーシステム。
【請求項４】
請求項３に記載のパケットキャプチャーシステムであって、
前記閾値計算部は、キャプチャーしたパケット数をｍとして、頻度の最大値の出現確率とｎとｍとを乗算して小数点以下を繰り上げた値を前記閾値とすることを特徴とするパケットキャプチャーシステム。
【請求項５】
請求項２または請求項３に記載のパケットキャプチャーシステムであって、
前記Ｚは、３であることを特徴とするパケットキャプチャーシステム。
【請求項６】
ネットワーク上を流れるパケットを一定時間キャプチャーするステップと、
キャプチャーしたパケットを蓄積するステップと、
パケットの類似性を測る関数を定義するステップと、
蓄積した複数のパケットについて、前記関数から頻度分布を作成するステップと、
当該頻度分布から閾値を求めるステップと、
前記閾値に基づいて、もっとも頻繁に現れたパケットのパターンを抽出するステップと、
当該パターンを元に、ネットワーク上を流れるパケットをキャプチャーするステップと、を含むパケットキャプチャー方法。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】００１９
【補正方法】変更
【補正の内容】
【００１９】
パケットキャプチャーシステム２００は、図１に示すように無線通信ネットワークにおいて、基地局３００と通信機器４００との間および通信機器４００と他の通信機器４００との間に配置される。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】００２２
【補正方法】変更
【補正の内容】
【００２２】
基地局３００、通信機器４００から転送されたパケットについて、パケット解析装置２１０は、任意の時間、任意の数のパケットをサンプリングするためにキャプチャーする。パケット解析ＤＢ２１３は、取得したパケットを収集、格納する。閾値計算部２１６は、閾値を計算する。プレパケットキャプチャー部２１１は、サンプリングしたパケットを解析する。プレキャプチャーアルゴリズムは、最も頻繁に出現するパケット群を取得することが目的である。しかし、最も頻繁に現れるパケット群と僅かな違いしかないパケット群、例えばＩＰアドレスのアドレスが”１”だけ異なる場合や、ポート番号の値が”１”だけ異なる場合は取得されず廃棄されてしまう。これらのパケットを取得するためには、先の出願の第５図の最頻度の閾値Ｓの値を変えて再度プレキャプチャーアルゴリズムを実行させなければならない。第５図のアルゴリズムにおいては、最頻度のパターンを決める閾値Ｓの決め方が重要なポイントになる。一方で、閾値Ｓは、事前に解析者が任意に決めなければならない。そこで、新たに閾値Ｓを決める閾値計算部２１６をパケット解析装置２１０内のプレキャプチャー部２１１の前段に実装する。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００２３
【補正方法】変更
【補正の内容】
【００２３】
なお、閾値Ｓは、取得したパケットの要素でＳ回以上現れている要素を抽出するための閾値である。つまりＳの値が大きければ、パケットキャプチャー装置２２０でキャプチャーするパケットは少なくすることができる。一方、Ｓの値が小さければパケットキャプチャー装置２２０でキャプチャーするパケットは多くなる。閾値Ｓはパケットキャプチャー部２２０でキャプチャーするパケットをどの程度に絞り込むかを決める値である。
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】００２４
【補正方法】変更
【補正の内容】
【００２４】
図３を参照して、パケット解析装置の処理フローを説明する。図３において、パケット解析装置２１０は、まず、流れているパケットを閾値計算部２１６に取り込む（Ｓ３０１）。閾値計算部２１６は、取り込まれたパケットのヘッダ情報を数値化するためにパケット間の関数ｄ（ｘｉｊ，ｘｋｌ）を計算する（Ｓ３０２）。閾値計算部２１６は、この関数ｄ（ｘｉｊ，ｘｋｌ）を元に頻度分布を作成する。そのために、閾値計算部２１６は、｛ｄ（ｘｉ１，ｘｋ１），ｄ（ｘｉ２，ｘｋ２），…，ｄ（ｘｉｎ，ｘｋｎ）｝(ｉ＝１，２，…，ｍ，ｋ＝１，２，…，ｍ)の取りうる全ての集合Ｔlを作成する(Ｓ３０３)。
【手続補正６】
【補正対象書類名】明細書
【補正対象項目名】００２５
【補正方法】変更
【補正の内容】
【００２５】
閾値計算部２１６は、｛ｄ（ｘｉ１，ｘｋ１），ｄ（ｘｉ２，ｘｋ２），…，ｄ（ｘｉｎ，ｘｋｎ）｝(ｉ＝１，２，…，ｍ，ｋ＝１，２，…，ｍ)の組合せの個数を数え、Ｔｌに格納し、Ｔｌの分布を作成する（Ｓ３０４）。Ｔｌの分布でもっとも高い出現確率を元に、閾値計算部２１６は、プレキャプチャー部２１１を実行させるための閾値Ｓを決定する（Ｓ３０５）。ここで決められた閾値Ｓを元に、プレキャプチャー部２１１は、稼働する（Ｓ３０６）。プレキャプチャー部２１１のアルゴリズムによって最頻度のパケットパターンが抽出され、終了する。
【手続補正７】
【補正対象書類名】明細書
【補正対象項目名】００３４
【補正方法】変更
【補正の内容】
【００３４】
次に、図４で求めたｄ（ｘｉｊ，ｘｋｊ）の値を元に各Ｔｌに格納される個数を計算する。図５を参照して、そのアルゴリズムを説明する。図５において、Ｔｈの組にはそれぞれａｈ個が含まれることとする。しかし、初期値は０なので、閾値計算部２１６は、∀ｈ∈Ｎ（自然数）、ａｈ＝０とする（Ｓ５０１）。
【手続補正８】
【補正対象書類名】明細書
【補正対象項目名】００３７
【補正方法】変更
【補正の内容】
【００３７】
１，２，…，ｎ
１ ｛０，０，…，０｝＝ａ１                 ＃１
２ ｛０，０，…，１｝＝ａ２                 ＃２
３ ｛０，０，…，２｝＝ａ３                 ＃３
…
Ｌ ｛２，２，…，２｝＝ａＬ                 ＃４
＃１：各パラメータ間の関数ｄが０の値をとる（ｘｉｋ，ｘｊｋ）の個数
＃２：各パラメータ間の関数ｄにおいて、１番目からｎ−１番目までのパラメータにおいては関数ｄの値が０で、ｎ番目のパラメータ間の関数ｄが１の値をとる（ｘｉｋ，ｘｊｋ）の個数
＃３：各パラメータ間の関数ｄにおいて、１番目からｎ−１番目までのパラメータにおいては関数ｄの値が０で、ｎ番目のパラメータ間の関数ｄが２の値をとる（ｘｉｋ，ｘｊｋ）の個数
＃４：各パラメータ間の関数ｄが全て２の値をとる（ｘｉｋ，ｘｊｋ）の個数
このとき、Ｈの値は３ｎ個になり、Σaｈ （ｈ＝１，２，…，３ｎ）＝ ｍＣ２ ＝Ａとなる。よって、各頻度ａｈ（ｈ＝１，２，…，３ｎ）をＡで割った値、ａｈ／Ａ（ｈ＝１，２，…，３ｎ）が頻度分布を表す。一般に取り得る値が各パラメータでそれぞれＺi（ｉ＝１，２，…，ｎ）のときにはＨ＝ΠＺi（ｉ＝１，２，…，ｎ）となる。
【手続補正９】
【補正対象書類名】明細書
【補正対象項目名】００４０
【補正方法】変更
【補正の内容】
【００４０】
送信元ＩＰアドレス６１０、送信先ＩＰアドレス６２０に関しては関数ｄＩＰを適用し、関数を計算する。パケット長に関しては各パケット各パケット間のパケット長の差の絶対値を関数とし、その閾値α、βとして仮にαを１００、βを４００とする。