(57)【要約】【課題】  単一の通信装置を正確に認識して監視することができる通信監視システム等を提供することを目的とする。【解決手段】  一又は複数の端末３，４を含むセグメントＡ〜Ｃを複数有し、当該複数のセグメントＡ〜Ｃに含まれる端末３，４による通信を監視する通信監視システムにおいて、各端末３，４に設定されたＩＰアドレスと通信装置を特定する特定情報とを収集するプローブ２と、複数のプローブ２により収集された情報を集約し、各端末３，４が使用しているＩＰアドレスと特定情報とを対応付けて蓄積するアドレス集約装置１１と、アドレス集約装置１１に蓄積された情報を表示する表示装置１２とを有し、表示装置１２が、アドレス集約装置１１に所定のＩＰアドレスを問い合わせ、アドレス集約装置１１が、問い合わせられた所定のＩＰアドレスと共に同一の端末３，４により使用されているＩＰアドレスを表示装置１２に供給する。【選択図】      図１
2013126210.tif 000002
【特許請求の範囲】
【請求項１】
一又は複数の通信装置を含むセグメントを複数有し、当該複数のセグメントに含まれる通信装置による通信を監視する通信監視システムにおいて、
前記各セグメントに設けられ、各通信装置に設定されたネットワーク層アドレスと当該ネットワーク層アドレスを使用する通信装置を特定する特定情報とを収集する情報収集手段と、
複数の前記情報収集手段により収集された情報を集約し、各通信装置が使用しているネットワーク層アドレスと当該通信装置の特定情報とを対応付けて蓄積する集約手段と、
前記集約手段に蓄積された情報を表示する表示手段とを有し、
前記表示手段が、前記集約手段に所定のネットワーク層アドレスを問い合わせ、
前記集約手段が、前記表示手段から問い合わせられた所定のネットワーク層アドレスと共に同一の通信装置により使用されているネットワーク層アドレスを前記表示装置に供給すること
を特徴とする通信監視システム。
【請求項２】
請求項１に記載の通信監視システムにおいて、
前記情報収集手段は、前記通信装置のネットワーク層通信を傍受することで、前記特定情報として前記ネットワーク層に対する下位層アドレスを収集し、
前記集約手段は、前記情報収集手段により収集された各通信装置のネットワーク層アドレスと当該ネットワーク層アドレスを使用する通信装置の下位層アドレスとを対応付けて蓄積し、前記下位層アドレスが同一であるネットワーク層アドレスが、同一の通信装置により使用されているネットワーク層アドレスであると判断すること
を特徴とする通信監視システム。
【請求項３】
請求項１に記載の通信監視システムにおいて、
前記情報収集手段は、前記ネットワーク層に対する下位層のアドレス解決通信を傍受することで、前記特定情報として各通信装置のネットワーク層アドレスに対する下位層アドレスを収集し、
前記集約手段は、前記集約手段により収集された各通信装置のネットワーク層アドレスと当該ネットワーク層アドレスを使用する通信装置の下位層アドレスとを対応付けて蓄積し、前記下位層アドレスが同一であるネットワーク層アドレスが、同一の通信装置により使用されているネットワーク層アドレスであると判断すること
を特徴とする通信監視システム。
【請求項４】
請求項１に記載の通信監視システムにおいて、
前記情報収集手段は、前記ネットワーク層に対する上位層のアドレス解決通信及び前記通信装置によるネットワーク層通信を傍受することで、前記上位層のアドレス解決の傍受により取得したネットワーク層アドレスと、ネットワーク層通信の傍受により取得した宛先ネットワーク層アドレスとを収集し、
前記集約手段は、前記ネットワーク層アドレスの収集時刻と前記宛先ネットワーク層アドレスの収集時刻とが近似し、前記ネットワーク層アドレスと前記宛先ネットワーク層アドレスとが同一である場合に、当該ネットワーク層アドレスと前記宛先ネットワーク層アドレスとが同一の通信装置により使用されていると判断することを特徴とする通信監視システム。
【請求項５】
請求項１に記載の通信監視システムにおいて、
前記情報収集手段は、取得したネットワーク層アドレスに対する上位層アドレスを、アプリケーション層プロトコルにより取得し、前記取得した上位層アドレスが同一であることによって同一の通信装置であると判断することを特徴とする通信監視システム。
【請求項６】
請求項１に記載の通信監視システムにおいて、
前記情報収集手段は、収集したネットワーク層アドレスに対する下位層アドレスのリストをアプリケーション層プロトコルにより取得し、
前記集約手段は、前記リストに含まれる下位層アドレスに関連するネットワーク層アドレスが同一装置であると判定することを特徴とする通信監視システム。
【請求項７】
一又は複数の通信装置を含む複数のセグメントに含まれる通信装置による通信を監視するコンピュータによって実行されるプログラムであって、
前記コンピュータに、
各通信装置に設定されたネットワーク層アドレスと当該ネットワーク層アドレスを使用する通信装置を特定する特定情報とを収集する情報収集機能、
前記情報収集機能により収集された情報を集約し、各通信装置が使用しているネットワーク層アドレスと当該通信装置の特定情報とを対応付けて記憶部に蓄積する集約機能、を実現させるためのプログラムであって、
前記集約機能が、前記表示装置から問い合わせられた所定のネットワーク層アドレスと共に同一の通信装置により使用されているネットワーク層アドレスを前記表示装置に供給すること
を特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信装置の通信を監視する通信監視システム及びプログラムに関する。
【背景技術】
【０００２】
端末を識別する技術としては、下記の特許文献１に記載されたものが知られている。この特許文献１には、端末がＬ３スイッチを介してＷＡＮに接続可能なシステムにおいて、監視サーバが、Ｌ３スイッチとＷＡＮとの間の通信データを取得して保存する。一方、端末とＬ３スイッチとの間の通信データをサンプリング装置でサンプリングして、当該サンプリングした通信データ内のＩＰアドレスとＭＡＣアドレスとを監視サーバに送信する。これにより、監視サーバは、Ｌ３スイッチとＷＡＮとの間の通信データのＩＰアドレスに、ＭＡＣアドレスを対応付けることができる。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００８−２７１４１６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、上述した特許文献１に記載された技術のようにＩＰアドレスを識別子として動作する場合、ＩＰｖ６のように複数のＩＰアドレスを同時に使用する場合には、ＩＰアドレスが異なると、単一の装置を複数の装置として認識してしまう問題がある。
【０００５】
そこで、本発明は、上述した実情に鑑みて提案されたものであり、単一の通信装置を正確に認識して監視することができる通信監視システム及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明の第１の態様に係る通信監視システムは、一又は複数の通信装置を含むセグメントを複数有し、当該複数のセグメントに含まれる通信装置による通信を監視する通信監視システムにおいて、前記各セグメントに設けられ、各通信装置に設定されたネットワーク層アドレスと当該ネットワーク層アドレスを使用する通信装置を特定する特定情報とを収集する情報収集手段と、複数の前記情報収集手段により収集された情報を集約し、各通信装置が使用しているネットワーク層アドレスと当該通信装置の特定情報とを対応付けて蓄積する集約手段と、前記集約手段に蓄積された情報を表示する表示手段とを有し、前記表示手段が、前記集約手段に所定のネットワーク層アドレスを問い合わせ、前記集約手段が、前記表示手段から問い合わせられた所定のネットワーク層アドレスと共に同一の通信装置により使用されているネットワーク層アドレスを前記表示装置に供給することを特徴とする。
【０００７】
本発明の第２の態様に係る通信監視システムは、上記第１の態様の通信監視システムであって、請求項１に記載の通信監視システムにおいて、前記情報収集手段は、前記通信装置のネットワーク層通信を傍受することで、前記特定情報として前記ネットワーク層に対する下位層アドレスを収集し、前記集約手段は、前記情報収集手段により収集された各通信装置のネットワーク層アドレスと当該ネットワーク層アドレスを使用する通信装置の下位層アドレスとを対応付けて蓄積し、前記下位層アドレスが同一であるネットワーク層アドレスが、同一の通信装置により使用されているネットワーク層アドレスであると判断することを特徴とする。
【０００８】
本発明の第３の態様に係る通信監視システムは、上記第１の態様の通信監視システムであって、請求項１に記載の通信監視システムにおいて、前記情報収集手段は、前記ネットワーク層に対する下位層のアドレス解決通信を傍受することで、前記特定情報として各通信装置のネットワーク層アドレスに対する下位層アドレスを収集し、前記集約手段は、前記集約手段により収集された各通信装置のネットワーク層アドレスと当該ネットワーク層アドレスを使用する通信装置の下位層アドレスとを対応付けて蓄積し、前記下位層アドレスが同一であるネットワーク層アドレスが、同一の通信装置により使用されているネットワーク層アドレスであると判断することを特徴とする。
【０００９】
本発明の第４の態様に係る通信監視システムは、上記第１の態様の通信監視システムであって、請求項１に記載の通信監視システムにおいて、前記情報収集手段は、前記ネットワーク層に対する上位層のアドレス解決通信及び前記通信装置によるネットワーク層通信を傍受することで、前記上位層のアドレス解決の傍受により取得したネットワーク層アドレスと、ネットワーク層通信の傍受により取得した宛先ネットワーク層アドレスとを収集し、前記集約手段は、前記ネットワーク層アドレスの収集時刻と前記宛先ネットワーク層アドレスの収集時刻とが近似し、前記ネットワーク層アドレスと前記宛先ネットワーク層アドレスとが同一である場合に、当該ネットワーク層アドレスと前記宛先ネットワーク層アドレスとが同一の通信装置により使用されていると判断することを特徴とする。
【００１０】
本発明の第５の態様に係る通信監視システムは、上記第１の態様の通信監視システムであって、請求項１に記載の通信監視システムにおいて、前記情報収集手段は、取得したネットワーク層アドレスに対する上位層アドレスを、アプリケーション層プロトコルにより取得し、前記取得した上位層アドレスが同一であることによって同一の通信装置であると判断することを特徴とする。
【００１１】
本発明の第６の態様に係る通信監視システムは、上記第１の態様の通信監視システムであって、請求項１に記載の通信監視システムにおいて、前記情報収集手段は、収集したネットワーク層アドレスに対する下位層アドレスのリストをアプリケーション層プロトコルにより取得し、前記集約手段は、前記リストに含まれる下位層アドレスに関連するネットワーク層アドレスが同一装置であると判定することを特徴とする。
【００１２】
本発明の第７の態様に係るプログラムは、一又は複数の通信装置を含む複数のセグメントに含まれる通信装置による通信を監視するコンピュータによって実行されるプログラムであって、前記コンピュータに、各通信装置に設定されたネットワーク層アドレスと当該ネットワーク層アドレスを使用する通信装置を特定する特定情報とを収集する情報収集機能、前記情報収集機能により収集された情報を集約し、各通信装置が使用しているネットワーク層アドレスと当該通信装置の特定情報とを対応付けて記憶部に蓄積する集約機能、を実現させるためのプログラムであって、前記集約機能が、前記表示装置から問い合わせられた所定のネットワーク層アドレスと共に同一の通信装置により使用されているネットワーク層アドレスを前記表示装置に供給することを特徴とする。
【発明の効果】
【００１３】
本発明によれば、単一の通信装置が複数のＩＰアドレスを使用していても、当該単一の通信装置を正確に認識して監視することができる。
【図面の簡単な説明】
【００１４】
【図１】本発明の第１実施形態として示す通信監視システムの構成を示すブロック図である。
【図２】本発明の第１実施形態として示す通信監視システムにおけるプローブの構成を示すブロック図である。
【図３】本発明の第１実施形態として示す通信監視システムにおけるアドレス集約装置の構成を示すブロック図である。
【図４】本発明の第１実施形態として示す通信監視システムにおける表示装置の構成を示すブロック図である。
【図５】本発明の第１実施形態として示す通信監視システムにおいて、プローブに記憶する内容を示す図である。
【図６】本発明の第１実施形態として示す通信監視システムにおいて、プローブに記憶されたＩＰアドレステーブルを示す図である。
【図７】本発明の第１実施形態として示す通信監視システムにおいて、アドレス集約装置に記憶する内容を示す図である。
【図８】本発明の第１実施形態として示す通信監視システムにおいて、アドレス集約装置に記憶されたＩＰアドレステーブルを示す図である。
【図９】本発明の第１実施形態として示す通信監視システムにおいて、表示装置による同一装置のＩＰアドレスの表示画面を示す図である。
【図１０】本発明の第１実施形態として示す通信監視システムにおいて、表示装置による同一装置のＩＰアドレスの他の表示画面を示す図である。
【図１１】イーサネット上のＩＰｖ４パケットの構成を示す図である。
【図１２】イーサネット上のＩＰｖ６パケットの構成を示す図である。
【図１３】ＡＲＰパケットの構成を示す図である。
【図１４】本発明の第４実施形態として示す通信監視システムのシーケンス図である。
【図１５】本発明の第４実施形態として示す通信監視システムにおいて、プローブに記憶する内容を示す図である。
【図１６】本発明の第４実施形態として示す通信監視システムにおいて、プローブに記憶されたＤＮＳ取得ＩＰアドレステーブルを示す図である。
【図１７】本発明の第４実施形態として示す通信監視システムにおけるプローブの宛先ＩＰアドレステーブルを示す図である。
【図１８】本発明の第４実施形態として示す通信監視システムにおいて、アドレス集約装置に記憶する内容を示す図である。
【図１９】本発明の第４実施形態として示す通信監視システムにおいて、アドレス集約装置に記憶されたＤＮＳ取得ＩＰアドレステーブルを示す図である。
【図２０】本発明の第４実施形態として示す通信監視システムにおけるアドレス集約装置の宛先ＩＰアドレステーブルを示す図である。
【図２１】本発明の第５実施形態として示す通信監視システムにおいて、プローブに記憶する内容を示す図である。
【図２２】本発明の第５実施形態として示す通信監視システムにおけるプローブのNetBIOS名テーブルを示す図である。
【図２３】本発明の第５実施形態として示す通信監視システムにおいて、アドレス集約装置に記憶する内容を示す図である。
【図２４】本発明の第５実施形態として示す通信監視システムにおけるアドレス集約装置の宛先ＩＰアドレステーブルを示す図である。
【図２５】本発明の第６実施形態として示す通信監視システムにおいて、プローブに記憶する内容を示す図である。
【図２６】本発明の第６実施形態として示す通信監視システムにおけるプローブの関連ＭＡＣアドレステーブルを示す図である。
【図２７】本発明の第６実施形態として示す通信監視システムにおいて、アドレス集約装置に記憶する内容を示す図である。
【図２８】本発明の第６実施形態として示す通信監視システムにおけるアドレス集約装置の宛先ＩＰアドレステーブルを示す図である。
【発明を実施するための形態】
【００１５】
以下、本発明の実施の形態について図面を参照して説明する。
【００１６】
［第１実施形態］
本発明の第１実施形態としての通信監視システムは、例えば図１に示すように構成される。この通信監視システムは、一又は複数の通信装置としての端末３，４を含むセグメントを複数有し、当該複数のセグメントＡ〜Ｃに含まれる端末３，４による通信を監視する。
【００１７】
各セグメントＡ〜Ｃは、ルータ１Ａ〜Ｃによって他のセグメントＡ〜Ｃと区分されている。各セグメントＡ〜Ｃの端末３，４は、ネットワークＮＷに存在する他のサーバや端末との間で通信を行う。この端末３，４とネットワークＮＷとの通信経路には、アドレス集約装置１１とＩＰ通信監視装置１３が配置されている。また、アドレス集約装置１１及びＩＰ通信監視装置１３には表示装置１２が接続されている。
【００１８】
この通信監視システムにおいて、各セグメントＡ，Ｂ，Ｃは、ルータ１Ａ，１Ｂ，１Ｃ、プローブ２Ａ，２Ｂ，２Ｃ、端末３Ａ，３Ｂ，３Ｃ，４Ａ，４Ｂ，４Ｃを含む。セグメントＣには、無線ゲートウェイ（ＧＷ）５Ｃが含まれている。なお、ルータ１Ａ，１Ｂ，１Ｃを総称する場合には単に「ルータ１」と呼ぶ。プローブ２Ａ，２Ｂ，２Ｃを総称する場合には単に「プローブ２」と呼ぶ。端末３Ａ，３Ｂ，３Ｃ，４Ａ，４Ｂ，４Ｃを総称する場合には単に「端末３，４」と呼ぶ。セグメントＣには、無線ゲートウェイ（ＧＷ）５Ｃが含まれている。無線ゲートウェイ５Ｃは、端末４Ａと通信可能となっている。
【００１９】
プローブ２は、各セグメントに設けられている。プローブ２は、各端末３，４に設定されたネットワーク層アドレスと当該ネットワーク層アドレスを使用する端末３，４を特定する特定情報とを収集する情報収集手段として機能する。プローブ２は、ネットワーク層アドレスとしてのＩＰアドレスを使用する装置を特定する情報を収集し、アドレス集約装置１１に送信する。
【００２０】
プローブ２は、図２に示すように構成されている。プローブ２は、ＩＰアドレス使用装置特定手段２１、アドレス情報通知手段２２、通信部２３、及び、記憶部２４を含む。
【００２１】
プローブ２は、通信部２３によって、ルータ１を経由して端末３，４により送受信されている通信パケットを傍受する。ＩＰアドレス使用装置特定手段２１は、通信パケットに含まれるＩＰアドレスを収集することによって、当該ＩＰアドレスを使用している装置（端末３，４）を特定する。アドレス情報通知手段２２は、ＩＰアドレス使用装置特定手段２１により特定された情報をアドレス集約装置１１に通知する。
【００２２】
プローブ２の記憶部２４には、図５に示す情報が記憶されている。記憶部２４には、ＩＰアドレステーブルとアドレス集約装置１１のアドレスが記憶されている。ＩＰアドレステーブルは、図６に示すようなＩＰアドレスを使用する装置を特定する情報である。ＩＰアドレステーブルは、図６に示すように、ＩＰアドレスとＭＡＣアドレスと、当該ＩＰアドレス及びＭＡＣアドレスの取得時刻とが対応付けられて記憶されている。ここで、ＭＡＣアドレスが、ＩＰアドレスを使用する端末３，４を特定する特定情報となる。
【００２３】
このＩＰアドレステーブルは、ＩＰアドレス使用装置特定手段２１によって作成されて、記憶部３４に記憶される。そして、アドレス情報通知手段２２は、例えば所定期間ごとに、通信部２３からＩＰアドレステーブルをアドレス集約装置１１に送信させる。
【００２４】
アドレス集約装置１１は、複数のプローブ２により収集された情報を集約し、各端末３，４が使用しているＩＰアドレスと当該端末３，４のＭＡＣアドレスとを対応付けて蓄積する集約手段として機能する。アドレス集約装置１１は、図３に示すように、アドレス情報取得手段３１、同一装置アドレス通知手段３２、通信部３３、及び、記憶部３４を含む。アドレス集約装置１１は、通信部３３によってプローブ２からのＩＰアドレステーブルを受信して、アドレス情報取得手段３１によってアドレス情報を取得する。
【００２５】
アドレス集約装置１１の記憶部３４には、図７に示すように、ＩＰアドレステーブルが記憶されている。このＩＰアドレステーブルは、図８に示すように、ＩＰアドレスとＭＡＣアドレスと、当該ＩＰアドレス及びＭＡＣアドレスの取得時刻と、当該アドレス情報を取得したプローブ２のＩＤが対応付けられて記憶されている。このＩＰアドレステーブルは、アドレス情報取得手段３１によって作成されて、記憶部３４に記憶される。
【００２６】
図８のＩＰアドレステーブルによれば、例えば、プローブ２Ａで取得したＩＰアドレス（192.168.100.115）とＩＰアドレス（fe80::21a:a0ff:fe0f:c89e）とが同じＭＡＣアドレス（00:1a:a0:0f:c8:9e）の端末３，４で使用されていることが判断できる。
【００２７】
表示装置１２は、アドレス集約装置１１に蓄積された情報を表示する表示手段として機能する。表示装置１２は、図４に示すように、ＩＰ通信監視情報取得手段４１、同一装置アドレス取得手段４２、通信部４３、及び、表示部４４を含む。
【００２８】
表示装置１２は、ＩＰ通信監視情報取得手段４１によって、ＩＰ通信を監視したい情報としてのＩＰアドレスを取得する。ＩＰ通信監視情報取得手段４１は、通信部４３を介してＩＰ通信監視装置１３から監視したいＩＰアドレスを取得する。
【００２９】
表示装置１２は、同一装置アドレス取得手段４２によって、ＩＰ通信監視情報取得手段４１によって取得したＩＰアドレスを使用している端末３，４で使用している一又は複数のＩＰアドレスを取得する。これにより、表示装置１２は、表示部４４によって同一装置で使用している複数のＩＰアドレスを表示する。
【００３０】
表示装置１２は、ＩＰ通信監視装置１３の制御によってＩＰアドレスに基づく情報を表示する場合に、当該ＩＰアドレスをアドレス集約装置１１に問い合わせる。アドレス集約装置１１は、当該問い合わせに応じ、問い合わせ対象のＩＰアドレスと共に同一の通信装置により使用されているＩＰアドレスを表示装置１２に供給する。表示装置１２は、問い合わせたＩＰアドレスと同一の装置のＩＰアドレスがある場合、問い合わせたＩＰアドレスのみならず同一装置のＩＰアドレスも関連情報として表示する。
【００３１】
表示装置１２は、例えば図９に示すようにマップ表示画像１００を表示する。このマップ表示画像１００には、通信相手アイコン１０１ａ、１０１ｂと、表示装置１２が問い合わせた通信装置を示す通信装置アイコン１０２とを含む。このマップ表示によれば、通信装置が２つのＩＰアドレスを使用していることを表示している。通信装置によって使用しているそれぞれのＩＰアドレスは、ＩＰアドレスアイコン１０２ａ、１０２ｂによって表示されている。一方のＩＰアドレスアイコン１０２ａは2001:380:6d5:0:a4b0:6943:66f4:ed60を示す。他方のＩＰアドレスアイコン１０２ｂは192.168.200.10を示す。また、このマップ表示は、ＩＰアドレスの2001:380:6d5:0:a4b0:6943:66f4:ed60が宛先ＩＰｖ６アドレスとされ、通信相手アイコン１０２ａの通信装置からパケットが送信されたことを示している。更に、このマップ表示は、ＩＰアドレスの192.168.200.10が送信元ＩＰｖ４アドレスとされ、通信相手アイコン１０２ｂの通信装置にパケットが送信されたことを示している。なお、表示装置１２は、このマップ表示画像１００を表示するために、同一装置のＩＰアドレスのみならず、当該ＩＰアドレスを使用しているパケットの通信相手のＩＰアドレスもＩＰ監視装置１３から取得している。
【００３２】
表示装置１２は、他の表示方式として、例えば図１０に示すようなツリー表示画像１１０を表示する。このツリー表示画像１１０は、端末アイコン１１１には、２つのネットワークインタフェースに対応するインターフェースアイコン１１２，１１３を表示する。このインターフェースアイコン１１２，１１４は、それぞれ端末に00:1a:a0:0f:c8:9e、70:71:bc:de:c0:57というＭＡＣアドレスが割り当てられていることを示している。また、インターフェースアイコン１１２には、ＩＰアドレスアイコン１１２ａによって192.168.100.115のＩＰアドレスが関連していることを示している。更に、インターフェースアイコン１１４には２つのＩＰアドレスアイコン１１３ａ、１１３ｂによって、192.168.1.5、2408:c4:e23c:0:7271:bcff:fede:c057のＩＰアドレスが関連していること示している。すなわち、このツリー表示画像１１０は、192.168.100.115、192.168.1.5、2408:c4:e23c:0:7271:bcff:fede:c057の3つのＩＰアドレスが同一装置のものであることを示している。
【００３３】
以上のように、第１実施形態として示した通信監視システムによれば、単一の通信装置が複数のＩＰアドレスを使用していても、当該単一の通信装置を正確に認識して監視することができる。すなわち、複数のＩＰアドレスによる通信を装置単位に集約することにより、どのＩＰアドレスがどの通信装置によって使用されていたかを特定でき、不正アクセスなどの事象をより正確に把握できる。
【００３４】
また、この通信監視システムによれば、複数のＩＰアドレスによる通信を装置単位に集約した結果を表示できるので、管理者やＩＰ通信監視装置１３といった外部装置によって装置単位で使用しているＩＰアドレスを認識できる。
【００３５】
［第２実施形態］
つぎに、第２実施形態に係る通信監視システムについて説明する。なお、上述の第１実施形態と同様の部分については同一符号を付することによりその詳細な説明を省略する。
【００３６】
第２実施形態としての通信監視システムは、プローブ２によって、端末３，４のＩＰ通信を傍受することで、特定情報としてＩＰ層に対する下位層アドレスを収集する。アドレス集約装置１１は、プローブ２により収集された各端末３，４のＩＰアドレスと当該ＩＰアドレスを使用する端末３，４の下位層アドレスとを対応付けて蓄積する。アドレス集約装置１１は、下位層アドレスが同一であるＩＰアドレスが、同一の端末３，４により使用されているＩＰアドレスであると判断する。
【００３７】
プローブ２がＩＰ通信を傍受する手法としては、リピータハブを使用する、スイッチングハブのミラーポートを使用するなどの方法がある。
【００３８】
ＩＰ層に対する下位層としては、イーサネットが挙げられる。イーサネットの場合、下位層アドレスは、ＭＡＣアドレスとなる。端末３，４には、そのネットワークインタフェースに単一のＭＡＣアドレスが割り当てられ、そこから送信するＩＰパケットの送信元アドレスが必ずそのＭＡＣアドレスとなる。このため、アドレス集約装置１１は、ＭＡＣアドレスが同一であることによって、異なるＩＰアドレスが同一の端末３，４で使用されていると判断することができる
ここで、下位層プロトコルの一例としてイーサネットを例に説明する。図１１にイーサネット上のＩＰｖ４パケットの構成を示す。図１２にイーサネット上のＩＰｖ４パケットの構成を示す。なお、各フィールド内の括弧書きはフィールド長を示している。
【００３９】
図１１に示したように、イーサネットヘッダ中の送信元アドレスがＭＡＣアドレスとなっている。また、ＩＰｖ４ヘッダ中の送信元アドレスがＩＰｖ４アドレスとなる。これにより、同一装置のＩＰｖ４アドレスとＭＡＣアドレスとの組をプローブ２によって取得できる。
【００４０】
図１２に示したように、イーサネットヘッダ中の送信元アドレスがＭＡＣアドレスとなっている。また、ＩＰｖ６ヘッダ中の送信元アドレスがＩＰｖ６アドレスとなる。これにより、同一装置のＩＰｖ６アドレスとＭＡＣアドレスとの組をプローブ２によって取得できる。
【００４１】
このような通信監視システムにおいて、プローブ２は、ＩＰパケットを傍受すると、ＩＰヘッダ中の送信元アドレス（ＩＰアドレス）とイーサネットヘッダ中の送信元アドレス（ＭＡＣアドレス）を関連付けてアドレス集約装置１１に送信する。
【００４２】
アドレス集約装置１１は、プローブ２から送信されたＩＰアドレスとＭＡＣアドレスとの組を集約して蓄積する。アドレス集約装置１１は、ＭＡＣアドレスが同一のＩＰアドレスを、同一装置のＩＰアドレスと判断する。これにより、アドレス集約装置１１は、所定のＩＰアドレスが表示装置１２から問い合わせられた場合に、ＭＡＣアドレスが同一のＩＰアドレスを、同一装置のＩＰアドレスとして表示装置１２に送信する。
【００４３】
ここで、イーサネット上のＩＰ通信において、ルータ１等のセグメントの境界に位置する中継装置は、他のセグメント又はネットワークＮＷからのパケット中継時に、イーサネットヘッダを置き換える。このため、中継されたＩＰパケットの送信元ＭＡＣアドレスは中継装置のＭＡＣアドレスとなる。このため、プローブ２によってＩＰパケットから受信したＭＡＣアドレスは、送信元装置を表さなくなる。
【００４４】
このような理由から、ＩＰパケットの送信元装置のＭＡＣアドレスを取得するためには、プローブ２は各セグメントに設置する必要がある。また、同じ理由により、プローブ２は、中継されたＩＰパケットから取得したＩＰアドレスとＭＡＣアドレスとの組はアドレス集約装置１１の送信する情報から除外する必要がある。
【００４５】
プローブ２によって送信する情報を除外する手法としては、２つある。第１としては、プローブ２に傍受対象のセグメントのＩＰアドレスの範囲を設定しておき、範囲外のＩＰアドレスが送信元となっているパケットを除外する。第２としては、プローブ２に予めルータ１のＭＡＣアドレスを設定しておき、当該ルータ１のＭＡＣアドレスがイーサネットヘッダに含まれている場合には、当該ＩＰパケットの情報を除外する。
【００４６】
以上のように、第２実施形態として示した通信監視システムによれば、単一の通信装置が複数のＩＰアドレスを使用していても、当該単一の通信装置を正確に認識して監視することができる。すなわち、複数のＩＰアドレスによる通信を装置単位に集約することにより、どのＩＰアドレスがどの通信装置によって使用されていたかを特定でき、不正アクセスなどの事象をより正確に把握できる。
【００４７】
［第３実施形態］
つぎに、第３実施形態に係る通信監視システムについて説明する。なお、上述の実施形態と同様の部分については同一符号を付することによりその詳細な説明を省略する。
【００４８】
第３実施形態として示す通信監視システムは、プローブ２によってＩＰ層に対する下位層のアドレス解決通信を傍受することで、特定情報として各通信装置のＩＰアドレスに対する下位層アドレスを収集する。アドレス集約装置１１は、プローブ２により収集された各通信装置のＩＰアドレスと当該ＩＰアドレスを使用する通信装置の下位層アドレスとを対応付けて蓄積する。アドレス集約装置１１は、下位層アドレスが同一であるＩＰアドレスが、同一の通信装置により使用されているＩＰアドレスであると判断する。
【００４９】
ＩＰ層に対する下位層のアドレス解決通信としては、ＩＰ層プロトコルの下位層プロトコルがイーサネットとすると、ＩＰｖ４のＡＲＰ（Address Resolution Protocol (アドレス解決プロトコル））が挙げられる。このＡＲＰは、既知のＩＰアドレスを用いてＭＡＣアドレスを取得する動作を規定している。
【００５０】
ＡＲＰパケットは、図１３に示すようになる。ＡＲＰパケットにおけるＡＲＰフィールドには、送信元ＭＡＣアドレスと送信元ＩＰアドレスが含まれる。このため、アドレス集約装置１１は、ＭＡＣアドレスが同一である場合には、異なるＩＰアドレスであっても同一装置であると判定することができる。
【００５１】
この通信監視システムにおいて、プローブ２は、ＡＲＰパケットを傍受すると、送信元ＩＰアドレスと送信元ＭＡＣアドレスとを関連付けてアドレス集約装置１１に送信する。ここで、ＡＲＰはイーサネットのブロードキャストを使用する。このため、第２実施形態とは異なり、プローブ２をスイッチングハブに接続するだけで、ＡＲＰパケットを傍受することができる。
【００５２】
アドレス集約装置１１は、プローブ２から送信されたＩＰアドレスとＭＡＣアドレスとの組を集約して蓄積する。アドレス集約装置１１は、ＭＡＣアドレスが同一のＩＰアドレスを、同一装置のＩＰアドレスと判断する。これにより、アドレス集約装置１１は、所定のＩＰアドレスが表示装置１２から問い合わせられた場合に、ＭＡＣアドレスが同一のＩＰアドレスを、同一装置のＩＰアドレスとして表示装置１２に送信する。
【００５３】
なお、端末３，４のＩＰアドレスが事前に分かっている場合、当該ＩＰアドレスが属するセグメントのプローブ２が、当該ＩＰアドレスのＡＲＰリクエストを送信してもよい。これによって、端末３，４にＡＲＰリプライを応答させ、プローブ２は、当該ＡＲＰリプライから送信元ＩＰアドレスと送信元ＭＡＣアドレスの組を取得することができる。
【００５４】
同様に、端末３，４がＩＰｖ６のアドレス解決通信を行う場合、プローブ２からＩＣＭＰｖ６のNeighbor Solicitationメッセージを送信する。このメッセージに対する応答として、端末３，４からNeighbor Advertisementメッセージを送信させる。プローブ２は、受信したNeighbor Advertisementメッセージから、端末３，４の送信元ＩＰアドレスと送信元ＭＡＣアドレスを取得できる。
【００５５】
以上のように、第３実施形態として示した通信監視システムによれば、単一の通信装置が複数のＩＰアドレスを使用していても、当該単一の通信装置を正確に認識して監視することができる。すなわち、複数のＩＰアドレスによる通信を装置単位に集約することにより、どのＩＰアドレスがどの通信装置によって使用されていたかを特定でき、不正アクセスなどの事象をより正確に把握できる。
【００５６】
［第４実施形態］
つぎに、第４実施形態に係る通信監視システムについて説明する。なお、上述の実施形態と同様の部分については同一符号を付することによりその詳細な説明を省略する。
【００５７】
第４実施形態として示す通信監視システムは、プローブ２によって、ＩＰ層に対する上位層のアドレス解決通信及び通信装置によるＩＰ通信を傍受する。これにより、プローブ２は、上位層のアドレス解決の傍受により取得したＩＰアドレスと、ＩＰ通信の傍受により取得した宛先ＩＰアドレスとを収集する。アドレス集約装置１１は、ＩＰアドレスの収集時刻と宛先ＩＰアドレスの収集時刻とが近似し、ＩＰアドレスと宛先ＩＰアドレスとが同一である場合に、当該ＩＰアドレスと宛先ＩＰアドレスとが同一の通信装置により使用されていると判断する。
【００５８】
ＩＰ層に対する上位層のアドレス解決通信としては、ＤＮＳ（Domain Name System）が挙げられる。このＤＮＳにおけるアドレスをホスト名とし、ＩＰ層におけるアドレスはＩＰアドレスである。
【００５９】
例えば端末３，４のＷｅｂブラウザでＷｅｂページを表示する場合、Ｗｅｂブラウザは、ユーザが入力したＵＲＬからホスト名を取得する。その後、Ｗｅｂブラウザは、ＤＮＳによってホスト名の名前解決を行ってホスト名からＩＰアドレスを取得する。Ｗｅｂブラウザは、取得したＩＰアドレスに対してＩＰ通信を行う。
【００６０】
このようなＷｅｂアクセスの通信シーケンスを、図１４に示す。Ｗｅｂブラウザは、端末３，４に備えられている。プローブ２は、ＷｅｂブラウザとＤＮＳサーバ及びＷｅｂサーバとの間のＩＰ通信を傍受する。
【００６１】
先ずＷｅｂブラウザは、ＤＮＳサーバに、ホスト名を含むＤＮＳクエリＳ１を送信する。ＤＮＳサーバは、ＤＮＳクエリＳ１に応答して、ホスト名に対応したＩＰアドレスを含むＤＮＳレスポンスＳ２をＷｅｂブラウザに送信する。このとき、プローブ２は、Ｗｅｂブラウザに送信されるＤＮＳレスポンスＳ２を傍受する。プローブ２は、傍受したＤＮＳレスポンスＳ２に含まれる宛先ＩＰアドレスを取得する。
【００６２】
Ｗｅｂブラウザは、ＤＮＳレスポンスＳ２を受信すると、当該ＤＮＳレスポンスＳ２によってＷｅｂサーバのＩＰアドレスを取得する。Ｗｅｂブラウザは、Ｗｅｂブラウザにアクセスするため、Ｗｅｂサーバ宛てにＨＴＴＰリクエストＳ３を送信する。このとき、プローブ２は、Ｗｅｂサーバに送信されるＨＴＴＰリクエストＳ３を傍受する。プローブ２は、傍受したＨＴＴＰリクエストＳ３から、送信元ＩＰアドレスを取得する。
【００６３】
Ｗｅｂサーバは、ＨＴＴＰリクエストＳ３を受信すると、ＨＴＴＰレスポンスＳ４をＷｅｂブラウザに送信する。なお、プローブ２は、ＨＴＴＰレスポンスＳ４を傍受してもよい。この場合、プローブ２は、ＨＴＴＰレスポンスＳ４から、ＩＰ通信の宛先ＩＰアドレスを取得する。
【００６４】
プローブ２は、傍受した結果、図１５に示すような情報を記憶部２４に記憶することができる。記憶部２４には、アドレス集約装置１１のアドレスに加え、ＤＮＳ取得ＩＰアドレステーブルと、宛先ＩＰアドレステーブルとを記憶できる。
【００６５】
ＤＮＳ取得ＩＰアドレステーブルは、図１６に示すように、ＤＮＳレスポンスＳ２の宛先となる端末３，４のＩＰアドレスと、ＤＮＳから取得したＷｅｂサーバのＩＰアドレスとを含む。また、プローブ２は、ＩＰアドレスの組に対応して、ＤＮＳレスポンスＳ２の取得時刻を記録する。
【００６６】
宛先ＩＰアドレステーブルは、図１７に示すように、ＨＴＴＰリクエストＳ３の送信元である端末３，４のＩＰアドレスと、宛先であるＷｅｂサーバのＩＰアドレスの組を含む。また、プローブ２は、ＩＰアドレスの組に対応して、ＨＴＴＰリクエストＳ３の取得時刻を記録する。
【００６７】
これらの図１６，図１７に示した情報は、アドレス集約装置１１に送信される。
【００６８】
アドレス集約装置１１には、図１８に示すような情報を記憶部３４に蓄積できる。アドレス集約装置１１には、ＤＮＳ取得ＩＰアドレステーブルと、宛先ＩＰアドレステーブルとを蓄積できる。
【００６９】
ＤＮＳ取得ＩＰアドレステーブルは、図１９に示すように、ＷｅｂブラウザのＩＰアドレス、ＷｅｂサーバのＩＰアドレスであるＤＮＳ取得ＩＰアドレス、取得時刻、及び、これらの情報を収集したプローブ２のＩＤを含む。
【００７０】
宛先ＩＰアドレステーブルは、図２０に示すように、ＷｅｂブラウザのＩＰアドレスである送信元ＩＰアドレス、ＷｅｂサーバのＩＰアドレスである宛先ＩＰアドレス、取得時刻、及び、これらの情報を収集したプローブ２のＩＤを含む。
【００７１】
アドレス集約装置１１は、(A)図１９に示したＤＮＳ取得ＩＰアドレスと、図２０に示した宛先ＩＰアドレスとが同じであり、且つ、(B)ＤＮＳ取得ＩＰアドレスに対応した取得時刻と宛先ＩＰアドレスに対応した取得時刻とが略同時刻であるかを判断する。この略同時刻であるか否かの判断は、図１４に示した時間Ｔの範囲内で経験的に設定される。例えば、時間Ｔが１００ｍｓｅｃ以内であれば、(B)を満たすと設定できる。当該(A)及び(B)の双方を満たした場合、図１９に示したＤＮＳ取得ＩＰアドレスに対応した端末３，４のＩＰアドレスと、図２０に示した宛先ＩＰアドレスに対応した端末３，４の送信元ＩＰアドレスとが同じ装置であると判断する。
【００７２】
具体的に説明すると、図１９の一行目のＤＮＳ取得ＩＰアドレスと図２０の最終行の宛先ＩＰアドレスとが2001:200:dff:fff1:216:3eff:feb1:44d7で同一である。また、図１９の一行目のＤＮＳ取得ＩＰアドレスに対応した取得時刻と図２０の最終行の宛先ＩＰアドレスに対応した取得時刻とが2011/07/12 08:25:28で同一である。したがって、上記(A)及び(B)の条件を満たしている。このため、アドレス集約装置１１は、図１９の一行目のＩＰアドレスの192.168.100.115と図２０の最終行の送信元ＩＰアドレスの2408:c4:e23c:0:7271:bcff:fede:c057とが同一の装置で使用されていると判断できる。
【００７３】
このように、通信監視システムは、ＤＮＳレスポンスＳ２の直後にＨＴＴＰリクエストＳ３が送信されることを利用して、同一の装置で使用されている複数のＩＰアドレスを取得できる。通信監視システムは、ＤＮＳによって使用されているＩＰｖ４アドレスを取得し、ＨＴＴＰによって使用されているＩＰｖ６アドレスを取得できる。
【００７４】
特に図１の端末４Ａのように、複数の有線ネットワークインタフェースと無線ネットワークインタフェースを有する場合、第１乃至第３実施形態による手法では、それらのネットワークインタフェースが同一装置とは判定できない。これに対し、第４実施形態の通信監視システムによれば、ＤＮＳとＩＰ通信とで異なるネットワークインタフェースを使用した場合に、それぞれのセグメントのプローブ２が傍受した情報をアドレス集約装置１１に集約する。これにより、それらが同一装置であると判定できる。すなわち、情報を収集したプローブ２が異なっていても、上述した(A)と(B)の双方を満たせば、図１９に示したＩＰアドレスと、図２０に示した送信元ＩＰアドレスとが同じ装置であると判断できる。
【００７５】
以上のように、第４実施形態として示した通信監視システムによれば、単一の通信装置が複数のＩＰアドレスを使用していても、当該単一の通信装置を正確に認識して監視することができる。すなわち、複数のＩＰアドレスによる通信を装置単位に集約することにより、どのＩＰアドレスがどの通信装置によって使用されていたかを特定でき、不正アクセスなどの事象をより正確に把握できる。
【００７６】
［第５実施形態］
つぎに、第５実施形態に係る通信監視システムについて説明する。なお、上述の実施形態と同様の部分については同一符号を付することによりその詳細な説明を省略する。
【００７７】
第５実施形態として示す通信監視システムは、プローブ２が、取得したＩＰアドレスに対する上位層アドレスを、アプリケーション層プロトコルにより取得する。アドレス集約装置１１は、プローブ２が取得した上位層アドレスが同一であることによって同一の通信装置であると判断する。
【００７８】
例えば、上位層プロトコルのアドレスをNetBIOS名、アプリケーション層プロトコルをNetBIOS（Network Basic Input Output System）とした場合について説明する。
【００７９】
プローブ２は、ＩＰパケットを傍受したときに、その送信元ＩＰアドレスに対してNetBIOS Name Serviceのクエリを送信して、送信元装置のNetBIOS名を取得する。プローブ２は、ＩＰパケットの送信元ＩＰアドレスと、NetBIOS名を対応付けて記憶する。
【００８０】
プローブ２は、端末３，４のNetBIOSによる通信を傍受することによって、図２１に示すような情報を記憶部２４に記憶することができる。記憶部２４には、アドレス集約装置１１のアドレスに加え、ＩＰアドレスに関連するNetBIOS名をテーブル化したNetBIOS名テーブルを記憶できる。
【００８１】
NetBIOS名テーブルは、図２２に示すように、端末３，４のＩＰアドレスとNetBIOS名とを対応付けたものである。図２２の例では、ＩＰアドレスの192.168.100.115に、NetBIOS名のnekoが対応付けられている。プローブ２は、NetBIOS名テーブルをアドレス集約装置１１に送信する。
【００８２】
アドレス集約装置１１は、NetBIOS名を装置ＩＤとして記録する。アドレス集約装置１１は、プローブ２からの情報を蓄積して、図２３に示すような情報を記憶部３４に蓄積できる。アドレス集約装置１１は、図２４に示すようなＩＰアドレスを使用する装置を特定する情報としてのＩＰアドレステーブルを記憶している。このＩＰアドレステーブルは、ＩＰアドレスとＭＡＣアドレスと、装置ＩＤと、当該ＩＰアドレス及びＭＡＣアドレスの取得時刻と、プローブ２のＩＤとが対応付けられて記憶されている。ここで、装置ＩＤが、ＩＰアドレスを使用する端末３，４を特定する特定情報となる。
【００８３】
アドレス集約装置１１は、同じ装置ＩＤのＩＰアドレスを同一装置のＩＰアドレスと判断し、表示装置１２に送信できる。図２４の例で説明すると、一行目の装置ＩＤと下から２段目の装置ＩＤとが同じnekoである。したがって、アドレス集約装置１１は、装置ＩＤが同じＩＰアドレスの192.168.100.115と192.168.1.5とが同一装置によって使用されていると判断できる。
【００８４】
以上のように、第５実施形態として示した通信監視システムによれば、単一の通信装置が複数のＩＰアドレスを使用していても、当該単一の通信装置を正確に認識して監視することができる。すなわち、複数のＩＰアドレスによる通信を装置単位に集約することにより、どのＩＰアドレスがどの通信装置によって使用されていたかを特定でき、不正アクセスなどの事象をより正確に把握できる。
【００８５】
また、第５実施形態として示した通信監視システムによれば、第２実施形態及び第３実施形態において説明した下位層アドレスによって同一の装置で使用されている一又は複数のＩＰアドレスを判断する手法を組み合わせてもよい。図２４に示すように、一行目と二行目とでＭＡＣアドレスが同じであるので同じ装置と判断できる。更に、下から二行目と最終行とでＭＡＣアドレスが同じであるので同じ装置と判断できる。したがって、この第５実施形態によって一行目と下から二行目とで同じ装置であると判断できたことによって、一行目、二行目、下から二行目、最終行で同じ装置であると判断できる。したがって、アドレス集約装置１１は、同一装置が、192.168.100.115、fe80::21a:a0ff:fe0f:c89e、192.168.1.5、2408:c4:e23c:0:7271:bcff:fede:c057の４つのＩＰアドレスを使用していることを判断できる。この第５実施形態は、装置がNetBIOSに対応し、NetBIOS名がユニークである必要があるが、複数のネットワークインタフェースがある装置を単一のクエリで検出することが可能になる。
【００８６】
［第６実施形態］
つぎに、第６実施形態に係る通信監視システムについて説明する。なお、上述の実施形態と同様の部分については同一符号を付することによりその詳細な説明を省略する。
【００８７】
第６実施形態として示す通信監視システムは、プローブ２が、収集したＩＰアドレスに対する下位層アドレスのリストをアプリケーション層プロトコルにより取得する。アドレス集約装置１１は、プローブ２により取得されたリストに含まれる下位層アドレスに関連するＩＰアドレスが同一装置であると判定する。
【００８８】
この通信監視システムは、プローブ２によってＩＰパケットを傍受したときに、当該ＩＰパケットの送信元ＩＰアドレスに対してＳＮＭＰ（Simple Network Management Protocol）のGetNextリクエストを送信する。これにより、プローブ２は、リクエスト送信先の端末３，４からＭＡＣアドレス（ifPhysAddress）のリストを取得する。なお、本実施形態では、アプリケーション層プロトコルとして、ネットワーク上のネットワーク機器を監視、制御するための情報の通信方法を定めるプロトコルであるＳＮＭＰを挙げたが、これ以外であってもよい。
【００８９】
プローブ２は、図２５に示すような情報を記憶部２４に記憶することができる。記憶部２４には、アドレス集約装置１１のアドレスに加え、関連ＭＡＣアドレステーブルを記憶できる。この関連ＭＡＣアドレステーブルは、図２６に示すように、複数のＩＰアドレスと関連ＭＡＣアドレスとの組を含むリストとなっている。プローブ２は、取得したＭＡＣアドレスのリストをアドレス集約装置１１に送信する。
【００９０】
アドレス集約装置１１は、プローブ２からの情報を蓄積して、図２７に示すような情報を記憶部３４に蓄積できる。アドレス集約装置１１は、図２８に示すようなＩＰアドレスを使用する装置を特定する情報としてのＩＰアドレステーブルを記憶している。このＩＰアドレステーブルは、ＩＰアドレスとＭＡＣアドレスと、装置ＩＤと、当該ＩＰアドレス及びＭＡＣアドレスの取得時刻と、プローブ２のＩＤとが対応付けられて記憶されている。アドレス集約装置１１は、プローブ２からリストに含まれるＭＡＣアドレスに対して同じ装置ＩＤを割り当てる。アドレス集約装置１１は、装置ＩＤが同じＩＰアドレスを同一装置のＩＰアドレスと判断し、表示装置に送信する。
【００９１】
例えば図２６のような関連ＭＡＣアドレステーブルがプローブ２により取得され、図２８のようなＩＰアドレステーブルがアドレス集約装置１１により蓄積されたとする。プローブ２は、ＩＰアドレスが192.168.100.115、fe80::21a:a0ff:fe0f:c89eのそれぞれについて、ＭＡＣアドレスの00:0a:79:03:6f:36, 70:71:bc:de:c0:57を含むリストをアドレス集約装置１１に送信する。
【００９２】
アドレス集約装置１１は、ＭＡＣアドレスのリストの00:0a:79:03:6f:36, 70:71:bc:de:c0:57に同じ装置ＩＤを付与する。図２８に示すように、アドレス集約装置１１は、同じ装置ＩＤが付与されたＩＰアドレスを同一の装置で使用されているＩＰアドレスであると判断する。これにより、アドレス集約装置１１は、192.168.100.115、fe80::21a:a0ff:fe0f:c89e、192.168.1.5、2408:c4:e23c:0:7271:bcff:fede:c057のＩＰアドレスを同一の装置で使用されていると判断できる。
【００９３】
この第６実施形態として示した通信監視システムは、第５実施形態と同様に複数のネットワークインタフェースを有する通信装置を同一装置と判定することが可能である。第５実施形態の通信監視システムは、アプリケーション層プロトコルのＩＤを参照して同一の装置で使用されているＩＰアドレスを判断する。一方、第６実施形態の通信監視システムは、ユニークであることが保証されているＭＡＣアドレスを元に同一装置であることを判定する。
【００９４】
以上のように、第６実施形態として示した通信監視システムによれば、単一の通信装置が複数のＩＰアドレスを使用していても、当該単一の通信装置を正確に認識して監視することができる。すなわち、複数のＩＰアドレスによる通信を装置単位に集約することにより、どのＩＰアドレスがどの通信装置によって使用されていたかを特定でき、不正アクセスなどの事象をより正確に把握できる。
【００９５】
また、第６実施形態として示した通信監視システムによれば、第２実施形態及び第３実施形態において説明した下位層アドレスによって同一の装置で使用されている一又は複数のＩＰアドレスを判断する手法を組み合わせてもよい。これによっても、アドレス集約装置１１は、ＭＡＣアドレスを参照して、192.168.100.115、fe80::21a:a0ff:fe0f:c89e、192.168.1.5、2408:c4:e23c:0:7271:bcff:fede:c057のＩＰアドレスを同一の装置で使用されていると判断できる。
【００９６】
なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。
【００９７】
すなわち、上述したプローブ２による情報収集機能や、アドレス集約装置１１による同一装置のＩＰアドレスの判断機能、表示装置１２による表示機能は、当該機能を実現するプログラムを各部に備えられたコンピュータによって実現してもよい。また、単一のコンピュータに、情報収集機能や、同一装置のＩＰアドレスの判断機能を持たせてもよい。この場合、コンピュータが、各通信装置に設定されたネットワーク層アドレスと当該ネットワーク層アドレスを使用する通信装置を特定する特定情報とを収集する機能、収集された情報を集約し、各通信装置が使用しているネットワーク層アドレスと当該通信装置の特定情報とを対応付けてメモリに蓄積させる機能を有する。更に、このコンピュータが、所定のネットワーク層アドレスと共に同一の通信装置により使用されているネットワーク層アドレスを判断して、表示装置に表示させることができる。
【符号の説明】
【００９８】
３，４  端末（通信装置）
２  プローブ（情報収集手段）
１１  アドレス集約装置（集約手段）
１２  表示装置（表示手段）
【図１】
2013126210.tif 000003
【図２】
2013126210.tif 000004
【図３】
2013126210.tif 000005
【図４】
2013126210.tif 000006
【図５】
2013126210.tif 000007
【図６】
2013126210.tif 000008
【図７】
2013126210.tif 000009
【図８】
2013126210.tif 000010
【図９】
2013126210.tif 000011
【図１０】
2013126210.tif 000012
【図１１】
2013126210.tif 000013
【図１２】
2013126210.tif 000014
【図１３】
2013126210.tif 000015
【図１４】
2013126210.tif 000016
【図１５】
2013126210.tif 000017
【図１６】
2013126210.tif 000018
【図１７】
2013126210.tif 000019
【図１８】
2013126210.tif 000020
【図１９】
2013126210.tif 000021
【図２０】
2013126210.tif 000022
【図２１】
2013126210.tif 000023
【図２２】
2013126210.tif 000024
【図２３】
2013126210.tif 000025
【図２４】
2013126210.tif 000026
【図２５】
2013126210.tif 000027
【図２６】
2013126210.tif 000028
【図２７】
2013126210.tif 000029
【図２８】
2013126210.tif 000030