(57)【要約】【課題】ネットワークに接続されている端末の種別の特定を容易にする。【解決手段】管理装置は、ネットワークに接続される端末の種別の判定用情報を記憶する記憶部と、ネットワークに接続されている各端末を示す情報をネットワークから取得する取得部と、ネットワークでキャプチャされた各端末からのパケットの情報を収集する収集部と、判定用情報と各端末からのパケットの情報とを照合して各端末の種別を判定する判定部と、を含む。【選択図】図４
2017017603.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに接続される端末の種別の判定用情報を記憶する記憶部と、
前記ネットワークに接続されている各端末を示す情報を前記ネットワークから取得する取得部と、
前記ネットワークでキャプチャされた前記各端末からのパケットの情報を収集する収集部と、
前記判定用情報と前記各端末からのパケットの情報とを照合して前記各端末の種別を判定する判定部と、
を含むネットワークの管理装置。
【請求項２】
前記判定用情報は、端末の種別毎に、通信先を示す情報と前記通信先との通信に使用する通信プロトコル番号とを含み、
前記判定部は、前記各端末について、端末からのパケットの情報に含まれた宛先アドレスと通信プロトコル番号とが前記判定用情報に含まれた前記通信先を示す情報と前記通信先との通信に使用する通信プロトコル番号と合致する種別を当該端末の種別と判定する
請求項１に記載のネットワークの管理装置。
【請求項３】
前記取得部は、前記各端末が接続されている前記ネットワーク内の中継装置を特定する情報を前記ネットワークから取得する
請求項１又は２に記載のネットワークの管理装置。
【請求項４】
ネットワークと、
ネットワークに接続される端末の種別の判定用情報を記憶する記憶部，前記ネットワークに接続されている各端末を示す情報を前記ネットワークから取得する取得部，前記ネットワークでキャプチャされた前記各端末からのパケットの情報を収集する収集部，及び前記判定用情報と前記各端末からのパケットの情報とを照合して前記各端末の種別を判定する判定部を含む前記ネットワークの管理装置と、
を備えるネットワークの管理システム。
【請求項５】
ネットワークの管理装置が、
ネットワークに接続される端末の種別の判定用情報を記憶し、
前記ネットワークに接続されている各端末を示す情報を前記ネットワークから取得し、
前記ネットワークでキャプチャされた前記各端末からのパケットの情報を収集し、
前記判定用情報と前記各端末からのパケットの情報とを照合して前記各端末の種別を判定する、
ことを含むネットワークの管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークの管理装置、及びその管理方法に関する。
【背景技術】
【０００２】
端末間を接続するネットワークがある。ネットワークは、端末間で送受信されるデータを中継する複数の中継装置を含む。中継装置は、例えば、ルータ，レイヤ３スイッチ，Ｌ２スイッチである。端末は、例えば、サーバとして動作する端末と、サーバに対するクライアントとして動作する端末とを含む。以下、サーバとして動作する端末を「サーバ」と表記し、クライアントとして動作する端末を「端末」と表記する。中継装置は複数のポートを有し、各ポートには端末または他の中継装置が接続される。端末は中継装置のポートに接続されることで、ネットワークに接続される。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００９−１９４４３３号公報
【特許文献２】特開２０００−２６１４５１号公報
【特許文献３】特開２００２−１１１６６８号公報
【特許文献４】特開平１１−１９６１０６号公報
【特許文献５】特表２００１−５０６０８９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
中継装置の各ポートに接続された端末について、端末の種別に応じたセキュリティ設定をネットワークの管理者が施すことがある。しかしながら、管理者が把握していない中継装置がネットワークの利用者等によって接続され、当該中継装置に管理者が把握していない端末が接続されている場合がある。このような管理者が把握していない端末についてもセキュリティ設定を施すため、ネットワークに接続された各端末及び各端末の種別を特定可能とすることが求められている。
【０００５】
端末及び端末の種別を特定する方法として、例えば、管理者が各中継装置の設置位置に赴き、中継装置に接続された物理回線（ＬＡＮケーブル）を辿って物理回線に接続されている端末及び当該端末の種別を特定する方法がある。しかし、この方法は、中継装置が分散配置されている場合には、各設置位置へ赴く作業が負担となる。また、中継装置に接続された物理回線が天井裏や床下に配線されている場合には、物理回線を辿ることができず、物理回線の先にある端末を特定できない場合がある。さらに、管理者の中継装置の設置場所への立ち入りについて、滞在時間、立ち入り可能な人数、監視者の同伴等の制限が課せられている場合には、作業が困難となる。設置場所への管理者の立ち入りが禁止されている場合には、当該方法は採り得ない。
【０００６】
本発明の一態様は、ネットワークに接続されている端末の種別の特定を容易にすることが可能な技術を提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明の一態様は、ネットワークの管理装置である。管理装置は、ネットワークに接続される端末の種別の判定用情報を記憶する記憶部と、前記ネットワークに接続されている各端末を示す情報を前記ネットワークから取得する取得部と、前記ネットワークでキャプチャされた前記各端末からのパケットの情報を収集する収集部と、前記判定用情報と前記
各端末からのパケットの情報とを照合して前記各端末の種別を判定する判定部と、を含む。
【発明の効果】
【０００８】
本発明の一態様によれば、ネットワークに接続されている端末の種別の特定を容易にすることができる。
【図面の簡単な説明】
【０００９】
【図１】図１は、実施形態に係るネットワークシステムの構成例を示す図である。
【図２】図２は、管理装置の説明図である。
【図３】図３は、分析方法の説明図である。
【図４】図４は、管理装置として動作する情報処理装置のハードウェア構成例を示す図である。
【図５】図５は、管理装置の機能ブロック図である。
【図６】図６は、管理装置に係る動作例を示すシーケンス図である。
【図７】図７は、静的情報データベースに登録される静的情報の一例を示す図である。
【図８】図８は、静的情報データベースに登録される静的情報の一例を示す図である。
【図９】図９は、静的情報データベースに登録される静的情報の一例を示す図である。
【図１０】図１０は、静的情報が登録された端末表の一例を示す図である。
【図１１】図１１は、ＡＲＰテーブルからの情報に基づく端末表の更新の説明図である。
【図１２】図１２は、ＡＲＰテーブルからの情報に基づく端末表の更新の説明図である。
【図１３】図１３は、ＭＡＣアドレステーブルからの情報に基づく端末表の更新の説明図である。
【図１４】図１４は、パケットキャプチャ情報に基づく端末表の更新の説明図である。
【図１５】図１５は、端末表の更新（判定結果の登録）の説明図である。
【図１６】図１６は、端末表の更新（端末種別の追加）の説明図である。
【図１７】図１７は、無通信タイマを用いた端末表の更新の説明図である。
【図１８】図１８は、デッドタイマを用いた端末表の更新の説明図である。
【図１９】図１９は、端末表の更新の説明図である。
【図２０】図２０は、端末表の更新の説明図である。
【図２１】図２１は、スイッチ増設時におけるＭＡＣアドレステーブルの登録内容の説明図である。
【図２２】図２２は、スイッチ増設時におけるＭＡＣアドレステーブルの登録内容の説明図である。
【図２３】図２３は、端末表の更新の説明図である。
【図２４】図２４は、端末表の更新の説明図である。
【発明を実施するための形態】
【００１０】
以下、図面を参照して実施形態について説明する。実施形態の構成は例示であり、実施形態の構成に限定されない。
【００１１】
＜ネットワーク構成＞
図１は、実施形態に係るネットワークシステムの構成例を示す図である。ネットワークは、複数の中継装置によって形成される。中継装置は、単数又は複数のルータ（レイヤ３
スイッチ）と、単数又は複数のレイヤ２スイッチ（以下、単に「スイッチ」という）とを含む。
【００１２】
図１に示す例では、３台のルータ１（ルータ１Ａ，ルータ１Ｂ，ルータ１Ｃ）と、３台のスイッチ２（スイッチ２Ａ，スイッチ２Ｂ，スイッチ２Ｃ）とによってネットワークが形成されている。ルータ１Ａ，ルータ１Ｂ，ルータ１Ｃは、相互に接続されている。スイッチ２Ａは、ルータ１Ａに接続されており、スイッチ２Ｂは、ルータ１Ｂに接続されている。スイッチ２Ａとスイッチ２Ｂとは相互に接続されている。
【００１３】
各スイッチ２は、端末又は他のスイッチとの接続に使用可能な複数のポートを有している。図１に示す例では、スイッチ２Ａのポート１には、Automated Teller Machine（ＡＴＭ：現金自動預け払い機）３Ａが接続されている。また、スイッチ２Ａのポート２には、プリンタ３Ｂが接続されている。スイッチ２Ａのポート３には、スイッチ２Ｃが接続されている。
【００１４】
スイッチ２Ｂのポート１には、ハンディ端末３Ｃが接続されており、スイッチ２Ｂのポート２には、パーソナルコンピュータ（ＰＣ）３Ｄが接続されている。スイッチ２Ｃのポート１及びポート２のそれぞれには、ＰＣ３Ｅ，ＰＣ３Ｆがそれぞれ接続されている。スイッチ２Ｃ並びにスイッチ２Ｃに接続されたＰＣ３Ｅ及びＰＣ３Ｆは、ネットワークの利用者によって増設されたスイッチ及び端末であり、ネットワークの管理者はその存在を把握していない。
【００１５】
ＡＴＭ３Ａ，プリンタ３Ｂ，ハンディ端末３Ｃ，及びＰＣ３Ｄ，ＰＣ３Ｅ，ＰＣ３Ｆは、「端末」の例示であり、相互に異なる種別の端末として扱われる。但し、同種の装置（例えばＰＣ）であっても、実装されるソフトウェア（アプリケーション）の相違等によって異なる機能を発揮する場合には、異なる種別の端末として扱うことができる。以下、ＡＴＭ３Ａ，プリンタ３Ｂ，ハンディ端末３Ｃ，ＰＣ３Ｄ，ＰＣ３Ｅ，ＰＣ３Ｆを区別することなく指す場合には、「端末３」との表記を用いる。
【００１６】
ルータ１Ｃには、各端末３がクライアントとしてアクセスするサーバ４（サーバ４Ａ，サーバ４Ｂ，サーバ４Ｃ）が接続されている。サーバ４Ａは「業務Ａ」用のサーバ（「Ａ業務サーバ」とも表記）であり、サーバ４Ｂは「業務Ｂ」用のサーバ（「Ｂ業務サーバ」とも表記）である。サーバ４Ｃは「業務Ｃ」用のサーバ（「Ｃ業務サーバ」とも表記）である。サーバ４の台数は、適宜設定可能である。各端末３は、ネットワークを介して目的のサーバ４と通信を行う。
【００１７】
ネットワークには、管理装置１０が接続される。管理装置１０は、各ルータ１及び各スイッチ２と通信可能に接続される（図１において、管理装置とルータ及びスイッチとの結線は図示を省略）。
【００１８】
ルータ１Ａとスイッチ２Ａとの間、ルータ１Ｂとスイッチ２Ｂとの間，スイッチ２Ａとスイッチ２Ｂとの間には、これらの間のそれぞれを転送されるパケットのコピーをキャプチャするキャプチャ装置５（５Ａ，５Ｂ，５Ｃ）が設けられている。管理装置１０は、各キャプチャ装置５と通信可能に接続される。キャプチャ装置５からは随時キャプチャされたパケットの情報が届くようにしても良く、所定のタイミングでキャプチャされたパケットの情報を要求し、キャプチャ装置５から対応する情報を受信するようにしても良い。  
【００１９】
管理装置１０は、図２に示すように、静的情報と動的情報との分析によってネットワークに接続された端末種別を特定する。
【００２０】
静的情報とは、利用システムの設計資料、端末管理台帳、ネットワーク機器のコンフィグ情報のような管理者が事前に既知の情報を示す。静的情報は、例えば、以下の情報を含む。
・サーバ４のInternet Protocol（ＩＰ）アドレスやUniform Resource Locator（ＵＲＬ
）
・サーバ４と通信する際の通信プロトコル番号
・端末３のMedia Access Control（ＭＡＣ）アドレス
・端末３の種別
・端末３のホスト名
・端末３の利用者
【００２１】
動的情報とは、スイッチ２に格納されるＭＡＣアドレステーブルに登録された情報，ルータ１に格納されるAddress Resolution Protocol （ＡＲＰ）テーブルに登録された情報，キャプチャ装置５から得られるパケットの情報のようなネットワークから得られる情報である。
【００２２】
なお、ＭＡＣアドレステーブルは、スイッチ２が受信したパケット（フレーム）の転送に用いるテーブルであり、ＭＡＣアドレスとポート番号とが少なくとも登録されている。ＭＡＣアドレステーブルには、ポート番号に対応するＶＬＡＮ番号が登録されている場合もある。本実施形態では、ＭＡＣアドレステーブルは、ポート番号及びＶＬＡＮ番号とＭＡＣアドレスが対応づけて登録される複数のエントリ（レコード）を有する場合について説明する。
【００２３】
スイッチ２は、受信したパケットの宛先ＭＡＣアドレスに対応するポート番号をＭＡＣアドレステーブルから割り出し、割り出したポート番号を有するポートからパケットを送出する。また、ＡＲＰテーブルとは、ＡＲＰパケットのやりとりによって得られる、宛先ＩＰアドレスに対応する宛先ＭＡＣアドレスが登録されるテーブルである。
【００２４】
動的情報は、例えば、以下の情報を含む。
・端末３のＭＡＣアドレス
・端末３が接続されているスイッチ２のポート番号
・端末３が属する仮想ＬＡＮ（ＶＬＡＮ）の識別子（番号）
・パケットの送信元ＩＰアドレス及び宛先ＵＰアドレス
・パケットに格納された通信プロトコル番号
・パケットに格納されたＵＲＬ
【００２５】
管理装置１０は、例えば、以下のような分析方法によって、ネットワークに接続された端末３の特定を行う。すなわち、管理装置１０は、例えば、以下の順序で分析（情報間のマッチングや比較）を行い、端末３を特定する（端末の種別を絞る）。
（１）端末３はネットワークに接続されているか
（２）端末３はどのルータ経由で通信しているか
（３）端末３はどのスイッチ配下に接続されているか
（４）端末３の通信内容は何か
（５）端末３の種別は何か
【００２６】
上記の分析の手順は、例えば、図３に示す模式図によって表すことができる。図３に示す三角形の下層から順に分析を行うことで、端末の種別の絞り込みがなされる。図３に示す例では、最初に、端末がネットワークに接続されているか否かが判定される（図３（１））。次に、端末がどのルータ経由で通信しているかが判定される（図３（２））。次に、端末がどのスイッチに接続されているかが判定される（図３（３））。
【００２７】
次に、端末が行う通信内容が判定される（図３（４））。図３に示す例では、通信内容が「勘定系」、「情報系」、「管理系」に区分されており、通信内容がいずれに該当するかが判定される。「勘定系」、「情報系」、「管理系」は、通信内容の区分け（グループ化）の結果として得られた区分（グループ）の例示であり、グループ化のルールは適宜設定可能である。例えば、上記例の区分けは、設定されるセキュリティレベルの相違によってなされている。なお、「勘定系」は、金融取引に係る通信対象の情報を扱い、「情報系」は、「勘定系」で扱う情報以外の通信対象の情報を扱い、「管理系」は、「勘定系」及び「情報系」で扱う通信対象の情報伝達の管理に係る情報を扱う。そして、端末がＡＴＭ，ハンディ端末，ＰＣ，プリンタのいずれであるかが判定される（図３（５））。図３の例では、分析の階層が５階層である例について説明しているが、階層数は適宜設定可能である。例えば、さらに分析が細分化されても良い。
【００２８】
以下、管理装置１０の詳細について説明する。
＜管理装置の構成＞
図４は、管理装置１０として動作する情報処理装置（コンピュータ）２０のハードウェア構成を示す図である。情報処理装置１０Ａとして、例えば、ＰＣ，ワークステーション，サーバマシンのような汎用コンピュータや、専用のコンピュータを適用することができる。
【００２９】
図４において、情報処理装置１０Ａは、バスを介して相互に接続されたＣＰＵ２１，主記憶装置２２，補助記憶装置２３，通信インタフェース（通信ＩＦ）２４，入力装置２５，及び出力装置２６を含む。
【００３０】
主記憶装置２２は、ＣＰＵ２１の作業領域，プログラムやデータの記憶領域，通信データのバッファ領域として使用される。主記憶装置２２は、例えばRandom Access Memory（ＲＡＭ），或いはＲＡＭとRead Only Memory（ＲＯＭ）との組み合わせで形成される。
【００３１】
補助記憶装置２３は、ＣＰＵ２１によって実行されるプログラム，及びプログラムの実行に際して使用されるデータを記憶する。補助記憶装置２３は、例えば、ハードディスクドライブ（ＨＤＤ），Solid State Drive（ＳＳＤ），フラッシュメモリ，Electrically Erasable Programmable Read-Only Memory（ＥＥＰＲＯＭ）などである。
【００３２】
通信ＩＦ２４は、通信処理（パケットの送受信処理）を司る。通信ＩＦ２４は、例えばLocal Area Network（ＬＡＮ）カード或いはネットワークインタフェースカード（ＮＩＣ）である。入力装置２５は、情報やデータの入力に使用される。入力装置２５は、例えば、キー，ボタン，タッチパネル，マウス等のポインティングデバイスを含む。入力装置２５には、音声入力装置（マイクロフォン）も含まれる。出力装置２６は、情報やデータを出力する。出力装置２６は、例えば、ディスプレイ，プリンタを含む。出力装置２６には、音声出力装置（スピーカ）も含まれる。
【００３３】
ＣＰＵ２１は、主記憶装置２２及び補助記憶装置２３の少なくとも一方に記憶されたプログラムを主記憶装置２２にロードして実行することによって、管理装置１０としての動作を行う。ＣＰＵ２１は、「プロセッサ」，「制御装置」，「制御部」の一例であり、主記憶装置２２及び補助記憶装置２３のそれぞれは、「記憶装置」，「記録媒体」，「記憶部」の一例である。通信ＩＦ２４は、「通信部」，「送信部」，「受信部」の一例である。
【００３４】
なお、ＣＰＵ２１で実行される処理は、複数のＣＰＵ（プロセッサ）によって実行されても良い。ＣＰＵ２１で実行される処理の少なくとも一部は、Digital Signal Processor
（ＤＳＰ）によって実行されても良い。また、処理の少なくとも一部は、Field Programmable Gate Array（ＦＰＧＡ）のようなプログラマブルロジックデバイス（ＰＬＤ）や集
積回路（ＩＣ，ＬＳＩ，Application Specific Integrated Circuit（ＡＳＩＣ））のよ
うな半導体デバイスで実行されても良い。
【００３５】
図５は、プログラムの実行によって実現される管理装置１０の機能を模式的に示すブロック図（管理装置の論理構成図）である。図５において、プログラムの実行によって、管理装置１０は、以下を備える装置として動作する。管理装置１０は、テーブル参照処理部（テーブル処理部）１１と、キャプチャ情報収集部（収集部）１２と、動的情報データベース（動的ＤＢ）１３と、静的情報データベース（静的ＤＢ）１４とを含む。さらに、管理装置１０は、端末表１５と、分析部１６と、分析結果の出力部１７とを含む。テーブル処理部１１は、「取得部」の一例であり、分析部１６は、「判定部」の一例である。
【００３６】
テーブル処理部１１は、ネットワークの各ルータ１が有するＡＲＰテーブルの登録内容を参照（受信）し、動的ＤＢ１３に記憶する。また、テーブル処理部１１は、ネットワークの各スイッチ２が有するＭＡＣアドレステーブルの登録内容を参照（受信）し、動的ＤＢ１３に記憶する。収集部１２は、各キャプチャ装置５でキャプチャされるパケットを受信し、パケット中の情報を動的ＤＢ１３に記憶する。
【００３７】
テーブル処理部１１によるＡＲＰテーブル及びＭＡＣアドレステーブルへのアクセスは、定期的又は周期的に実行される。また、何らかのイベント発生を契機にＡＲＰテーブル及びＭＡＣテーブルの収集が実行されても良い。例えば、キャプチャされたパケットの送信元ＭＡＣアドレスが先に収集されたＭＡＣアドレステーブルやＡＲＰテーブルにあったＭＡＣアドレスであることを契機としてＡＲＰテーブル及びＭＡＣアドレステーブルの収集が開始され、端末表１５が更新されても良い。
【００３８】
静的ＤＢ１４は、上述した静的情報を記憶する。動的ＤＢ１５は、上述した動的情報を記憶する。動的情報には、テーブル処理部１１によって得られたＡＲＰテーブルの登録内容，及びＭＡＣアドレステーブルの登録内容が含まれる。
【００３９】
端末表１５は、ネットワークに存在する端末の分析のためのテーブルであり、静的ＤＢ１４に記憶された静的情報と動的ＤＢ１３に記憶された動的情報とに基づいて生成される。端末表１５は、端末表１５の生成部（図示せず）として動作するＣＰＵ２１によって生成される。分析部１６は、端末表１５を参照して、上記した分析方法に従い、端末の種別を特定する。出力部１７は、分析部１６による分析結果を出力する。
【００４０】
ＣＰＵ２１は、プログラムの実行によって、テーブル処理部１１，収集部１２，生成部及び分析部１６として動作する。テーブル処理部１１及び収集部１２で行われるルータ１やスイッチ２との通信は、通信ＩＦ２４を用いて行われる。動的ＤＢ１３，静的ＤＢ１４及び端末表１５は、主記憶装置２２及び補助記憶装置２３の少なくとも一方に記憶される。出力部１７は、例えば、出力装置２６に含まれるディスプレイであり、ディスプレイの表示画面に分析結果を表示する。
【００４１】
＜動作例＞
図６は、実施形態の管理装置１０に係る動作例を示すシーケンス図である。図６において、管理装置１０に対し、静的情報の入力端末から静的情報が入力される（図６＜１＞）。静的情報は、静的ＤＢ１４に記憶される。なお、静的情報は、入力装置２５から入力されるようにしても良い。
【００４２】
管理装置１０は、端末表１５を生成する（図６＜２＞）。但し、この時点では、動的情
報がネットワークから得られていないため、管理装置１０は、端末表１５のデータ構造（フォーマット）を生成し、静的ＤＢ１４中の静的情報のうち、端末表１５に記憶する情報を端末表１５に書き込む（記憶する）。なお、端末表１５のフォーマットを示すデータは、予め主記憶装置２２及び補助記憶装置２３の少なくとも一方に記憶しておくことができる。この場合、フォーマットを示すデータが読み出され、静的ＤＢ１４に格納された情報のうち、端末表１５に記憶する情報が端末表１５に書き込まれる。
【００４３】
管理装置１０は、ルータ１に対して、ＡＲＰテーブルの提供要求を送信する（図６＜３＞）。ルータ１は、提供要求に応じて、ルータ１が有するＡＲＰテーブルを管理装置１０に返信する（図６＜４＞）。なお、ＡＲＰテーブルの登録内容の全てが管理装置１０に返信されるようにしても良く、ＡＲＰテーブルの登録内容の一部（少なくともＭＡＣアドレス）が管理装置１０に返信されるようにしても良い。
【００４４】
図６の例では、図示を省略しているが、ＡＲＰテーブルの提供要求を用いたＡＲＰテーブルの収集は、例えば、静的情報で特定される全てのルータ１を対象に実行される。静的情報は、ネットワークを形成するルータ１に係る情報（ルータ１のアドレスなど）を含むことができる。管理装置１０は、各ルータ１の情報を用いて各ルータ１にアクセスし、ＡＲＰテーブルを入手することができる。図１の例であれば、管理装置１０は、ルータ１Ａ，ルータ１Ｂ，ルータ１ＣからＡＲＰテーブルを入手する。
【００４５】
管理装置１０は、スイッチ２に対して、ＭＡＣアドレステーブルの提供要求を送信する（図６＜５＞）。スイッチ２は、スイッチ２が有するＭＡＣアドレステーブルを管理装置１０に返信する（図６＜６＞）。なお、ＭＡＣアドレステーブルの登録内容の全てが管理装置１０に返信されるようにしても良く、ＭＡＣアドレステーブルの登録内容の一部（少なくともＭＡＣアドレス）が管理装置１０に返信されるようにしても良い。
【００４６】
図６の例では、図示を省略しているが、ＭＡＣアドレステーブルの提供要求を用いたＭＡＣアドレステーブルの収集は、例えば静的情報で特定される全てのスイッチ２を対象に実行される。静的情報は、ネットワークを形成するスイッチ２に係る情報（スイッチ２のアドレス等）を含むことができる。管理装置１０は、各スイッチ２の情報を用いて各スイッチ２にアクセスし、ＭＡＣアドレステーブルを入手することができる。図１の例では、管理装置１０は、スイッチ２Ａ及びスイッチ２ＢからＭＡＣアドレステーブルを入手する。但し、管理者が把握していないところで増設されたスイッチ２Ｃについては、スイッチ２Ｃの情報が静的情報に含まれ得ないため、ＭＡＣアドレステーブルの収集はなされない。
【００４７】
管理装置１０は、ＡＲＰテーブル及びＭＡＣアドレステーブルを動的情報として動的ＤＢ１３に記憶する（図６＜７＞）。管理装置１０は、動的情報のうち、端末表１５に登録する情報を抽出し、端末表１５に登録する（図６＜８＞）。
【００４８】
管理装置１０は、キャプチャ装置５に対し、キャプチャ装置５でキャプチャされたパケットの提供要求を送信する（図６＜９＞）。キャプチャ装置５は、提供要求に応じて、キャプチャしたパケットを管理装置１０に返信する（図６＜１０＞）。このとき、キャプチャされたパケット全体が返信されても良く、パケットのヘッダが返信されても良く、パケットのヘッダ中の所定情報（例えば、ＭＡＣアドレス，宛先ＩＰアドレス，ポート番号）が返信されるようにしても良い。
【００４９】
図６の例では、図示を省略しているが、キャプチャされたパケットの収集は、例えば、静的情報で特定される全てのキャプチャ装置５を対象に実行される。静的情報は、パケットの情報を収集するキャプチャ装置５の情報を含むことができる。管理装置１０は、各キ
ャプチャ装置５の情報を用いて各キャプチャ装置５にアクセスし、パケットを入手することができる。
【００５０】
管理装置１０は、各キャプチャ装置５から得られたパケットの情報を動的情報として動的ＤＢ１３に登録する（図６＜１１＞）。管理装置１０は、動的ＤＢ１３に登録された動的情報のうち、端末表１５に登録する動的情報を端末表１５に追加する（図６＜１２＞）。管理装置１０は、静的情報及び動的情報の端末表１５への登録に伴い、分析を行い、ネットワークに接続された端末及び端末の種別を判定する。出力された判定結果は、例えば、ディスプレイ（出力装置２６）に出力（表示）される。
【００５１】
以下、管理装置１０における処理について説明する。図７，図８，図９は、静的ＤＢ１４に登録される静的情報の一例を示す図である。図７は、第１のシステム設計資料（システム設計資料１）の例を示し、図８は、第２のシステム設計資料（システム設計資料２）の例を示し、図９は、端末管理台帳の例を示す。
【００５２】
図７において、システム設計資料１は、ネットワークに接続される端末３の種別及びその属性を示すテーブルである。テーブルは、端末の種別毎に用意された複数のレコードからなる。各レコードは、通信元（端末３の種別）と、端末３が属するＶＬＡＮの識別子（ＶＬＡＮ番号）と、端末３の通信先を示す情報と、通信プロトコル番号とを含む。
【００５３】
図７に示す例では、通信元は、端末の種別で区分けされており、ＡＴＭ，ＰＣ，ハンディ端末，プリンタのそれぞれに対応するレコードが記憶されている。ＡＴＭは、ＶＬＡＮ＝２のＶＬＡＮに属し、ＰＣ，ハンディ端末及びプリンタは、ＶＬＡＮ＝１のＶＬＡＮに属する。なお、本実施形態では、通信内容の区分（グループ）毎に、異なるＶＬＡＮが設定されるようになっており、ＶＬＡＮ＝２は勘定系のＶＬＡＮであり、ＶＬＡＮ＝１は情報系のＶＬＡＮである。
【００５４】
通信先として、各通信元が通信を行うサーバを特定する情報が記憶される。例えば、ＡＴＭは、Ａ業務サーバ（サーバ４Ａ）と通信を行う。ＰＣは、Ｃ業務サーバ（サーバ４Ｃ）及びＢ業務サーバ（サーバ４Ｂ）と通信を行う。プリンタには、通信先が限定されていないワイルドカード（＊）が設定されている。
【００５５】
図８において、システム設計資料２は、ネットワークに接続されるサーバ４に係る情報が登録されたテーブルである。テーブルは、サーバ毎に用意された複数のレコードからなる。各レコードは、サーバ名，サーバのＩＰアドレス，送信元種別を少なくとも含む。送信元種別は、サーバと通信する端末の種別を示す。図８に示す例では、Ａ業務サーバは、ＡＴＭと通信する。Ｂ業務サーバはＰＣと通信する。Ｃ業務サーバは、ハンディ端末及びＡＴＭと通信する。
【００５６】
図９において、端末管理台帳は、各端末３に係る情報が登録されるテーブルである。テーブルは、端末３毎のレコードからなる。レコードは、端末種別と、ホスト名と、ＭＡＣアドレスと、利用者の識別情報とを少なくとも含む。図９に示す例では、端末３として、或るプリンタ及びＰＣについてのレコードが登録された状態が例示されている。
【００５７】
さらに、図示しないが、静的情報としては、ネットワークを形成する各ルータ１の情報（アドレスや識別子）と、各スイッチ２の情報（アドレスや識別子）とが含まれる。また、キャプチャ装置５の情報も静的情報に含み得る。
【００５８】
＜管理装置における処理例＞
管理装置１０における処理例について説明する。以下に説明する管理装置１０の処理例
は、一例として、静的情報の内容が図７，図８，図９に示す内容であると仮定して説明する。
【００５９】
管理者は、入力端末又は入力装置２５（図４）を用いて静的情報を管理装置に入力する。管理装置１０（情報処理装置２０）のＣＰＵ２１は、入力装置２５から入力された静的情報、或いは通信ＩＦ２４で受信された入力端末からの静的情報を受け取り、静的ＤＢ１４に記憶する。
【００６０】
管理装置１０のＣＰＵ２１は、端末表１５の生成部として動作し、静的情報を用いて端末表１５を作成する。図１０は、静的情報が登録された端末表１５の一例を示す図である。
【００６１】
端末表１５は、一例として図１０に示すデータ構造を有することができる。図１０に示す例では、端末表は、テーブル情報と、パケットキャプチャ情報と、分析結果と、判定結果とが端末毎に登録される１以上のレコード（エントリ）を有する。
【００６２】
テーブル情報として、端末３のＭＡＣアドレスと、端末３の種別と、経由ルータと、接続スイッチと、接続ポートと、ＶＬＡＮ情報の各項目に対応する情報が登録される。また、パケットキャプチャ情報として、宛先通信プロトコル番号と、宛先ＩＰアドレスと、ＵＲＬとが登録される。分析の階層として、例えば、図３に示した（１）〜（５）の各階層における分析の結果に対応するポイントが登録される。
【００６３】
図１０に示すように、ＣＰＵ２１は、静的情報に含まれる端末管理台帳（図９）を用いて、各端末３（プリンタ及びＰＣ）のＭＡＣアドレス及び端末種別を端末表１５に書き込む。これによって、ＭＡＣアドレス“0000.1111.1111”であるプリンタと、ＭＡＣアドレス“0000.2222.2222”であるＰＣとに対応するレコード（エントリ）が端末表１５に登録される。次に、管理装置１０は、動的情報を収集し、端末表１５の生成を進める。
【００６４】
ＣＰＵ２１は、テーブル処理部１１として動作し、静的情報で特定される各ルータ１のアドレスを用いて各ルータ１にアクセスし、各ルータ１が有するＡＲＰテーブルに登録されたＭＡＣアドレスを収集し、動的ＤＢ１３に記憶する。このとき、各ルータ１のＡＲＰテーブルに、ＭＡＣアドレス“0000.0000.1111”、“0000.3333.3333”、“0000.4444.4444”が存在したと仮定する。この場合、ＣＰＵ２１は、端末表１５に未登録のＭＡＣアドレスを端末表１５に追加登録する。
【００６５】
ＣＰＵ２１は、分析（１）「端末がネットワークに接続されているか」についての分析を行い、分析結果に応じたポイントを端末表１５に登録する。すなわち、ＡＲＰテーブルからＭＡＣアドレス“0000.0000.1111”、“0000.3333.3333”、“0000.4444.4444”が得られることは、これらのＭＡＣアドレスを有する端末がネットワークに接続されていることを意味する。
【００６６】
このため、ＣＰＵ２１は、ＭＡＣアドレス“0000.0000.1111”、“0000.3333.3333”、“0000.4444.4444”については、分析（１）の結果として、これらのＭＡＣアドレスがネットワークに接続されていると判定する。ＣＰＵ２１は、ＭＡＣアドレス“0000.0000.1111”、“0000.3333.3333”、“0000.4444.4444”に対応するエントリ中の階層の分析（１）について、ポイント“１００”を登録する。本実施形態では、ポイントの最大値は“１００”である。なお、端末表１５には、ポイントのデフォルト値として“０”が登録されているが、他の値、例えばＮＵＬＬ値がデフォルト値として設定されていても良い。
【００６７】
これに対し、ＭＡＣアドレス“0000.2222.2222”はＡＲＰテーブルに存在しなかった。
このため、ＣＰＵ２１は、当該ＭＡＣアドレスを有する端末３がネットワークに接続されていないと判定する。この場合、ＣＰＵ２１は、判定結果に対応するポイントとして“０”を、対応するレコードに登録する。図１１は、ＡＲＰテーブル中のＭＡＣアドレスを端末表１５に登録し、分析（１）の結果を反映した端末表１５を示す。図１１において、下線を付した部分が、静的情報の登録時からの差分を示す。
【００６８】
ＣＰＵ２１は、ＡＲＰテーブルの収集を契機に分析（２）「端末がどのルータ経由で通信しているか」を行う。ＣＰＵ２１は、ＡＲＰテーブルに登録されているＭＡＣアドレスに対応する端末表１５の各レコードについて、経由ルータの情報を追加する。すなわち、ＣＰＵ２１は、例えば、ＭＡＣアドレスがＡＲＰテーブルに登録されているルータの識別子を静的ＤＢ１４から読み出し、対応するレコードの経由ルータの情報として登録する。
【００６９】
例えば、ＭＡＣアドレス“0000.1111.1111”と“0000.3333.3333”とは或るルータ１（ルータ“１”とする）のＡＲＰテーブルに登録されており、ＭＡＣアドレス“0000.4444.4444”は別のルータ１（ルータ“２”とする）のＡＲＰテーブルに登録されていたと仮定する。
【００７０】
この場合、図１２に示すように、ＭＡＣアドレス“0000.1111.1111”と“0000.3333.3333”に対応するレコードの「経由ルータ」に対し、ＣＰＵ２１は、ルータ“１”を示す識別子（ルータＩＤ）“１”を記憶する。また、ＣＰＵ２１は、同レコードに分析（２）の結果を示すポイントとして“１００”を登録する。ＣＰＵ２１は、ＭＡＣアドレス“0000.4444.4444”に対応するレコードの「経由ルータ」に、ルータ“２”を示す識別子（ルータＩＤ）“２”を記憶する。また、ＣＰＵ２１は、同レコードに対し、分析（２）の結果を示すポイントとして“１００”を登録する。図１２の端末表１５中の下線が付された部分は、図１１からの差分を示す。
【００７１】
これに対し、ＭＡＣアドレス“0000.2222.2222”は、ＡＲＰテーブルに登録されていないため、経由ルータが不明である。このため、ＣＰＵ２１は、当該ＭＡＣアドレスに対する経由ルータの値を不明を示す所定値（例えば、ＮＵＬＬ値）に設定し、分析２のポイントとして“０”を登録する（何もせずデフォルト値“０”を維持する）。
【００７２】
ＣＰＵ２１は、テーブル処理部１１として動作し、静的情報で特定される各スイッチ２のアドレスを用いて各スイッチ２からＭＡＣアドレステーブルの情報（ＭＡＣアドレス，ポート番号，ＶＬＡＮ）を収集し、動的ＤＢ１３に登録する。
【００７３】
ＣＰＵ２１は、動的ＤＢ１３に登録されたＭＡＣアドレステーブルの情報を用いて端末表１５を更新し、分析（３）「端末３がどのスイッチに接続されているか」を行う。
或るスイッチ２（スイッチ“１”とする）からのＭＡＣアドレステーブルの情報として、ＭＡＣアドレス“0000.1111.1111”とポート番号“１”と“ＶＬＡＮ＝１”との組と、ＭＡＣアドレス“0000.3333.3333”とポート番号“２”と“ＶＬＡＮ＝２”との組が得られたと仮定する。また、別のスイッチ２（スイッチ“２”とする）からのＭＡＣアドレステーブルの情報として、ＭＡＣアドレス“0000.4444.4444”とポート番号“１”と“ＶＬＡＮ＝１”との組が得られたと仮定する。
【００７４】
この場合、ＣＰＵ２１は、図１３に示すように、端末表１５のＭＡＣアドレス“0000.1111.1111”に対応するレコードの「接続スイッチ」及び「接続ポート」として、スイッチ“１”の識別子“１”とポート番号“１”とを登録する。また、ＣＰＵ２１は、端末表１５のＭＡＣアドレス“0000.3333.3333”に対応するレコードの「接続スイッチ」及び「接続ポート」として、スイッチ“１”の識別子“１”とポート番号“２”とを登録する。また、ＣＰＵ２１は、端末表１５のＭＡＣアドレス“0000.4444.4444”のレコードの「接続
スイッチ」及び「接続ポート」として、スイッチ“２”の識別子“１”とポート番号“１”とを登録する。図１３の端末表１５中の下線が付された部分は、図１２からの差分を示す。
【００７５】
ＣＰＵ２１は、分析（３）「どのスイッチに接続されているか」の判定を行う。例えば、ＣＰＵ２１は、ＭＡＣアドレス及びポート番号がＭＡＣアドレステーブルから得られた端末表１５上のＭＡＣアドレスについては、分析（３）のポイントとして“１００”を登録する。これに対し、ＭＡＣアドレステーブルの情報が得られなかったＭＡＣアドレスについては、ポイント“０”となる（図１３参照）。
【００７６】
また、ＣＰＵ２１は、図１３に示すように、端末表１５のＭＡＣアドレス“0000.1111.1111”に対応するレコードの「ＶＬＡＮ番号」として“１”を登録する。また、ＣＰＵ２１は、端末表１５のＭＡＣアドレス“0000.3333.3333”に対応するレコードの「ＶＬＡＮ番号」として“２”を登録する。また、ＣＰＵ２１は、端末表１５のＭＡＣアドレス“0000.4444.4444”のレコードの「ＶＬＡＮ番号」として“１”を登録する。
【００７７】
ＣＰＵ２１は、ＶＬＡＮ番号が登録されたレコードについては、分析（４）のポイントに“１００”を設定し、ＶＬＡＮ番号が登録されないレコードについては、分析（４）のポイントは“０”に設定する。例えば、静的情報には、ＶＬＡＮ番号と勘定系，情報系，管理系との対応関係が含まれており、ＣＰＵ２１は、対応関係を参照することで、ＭＡＣアドレス（を有する端末）が勘定系，情報系，管理系のいずれであるかを判定することができる。
【００７８】
ＣＰＵ２１は、収集部１２として動作し、各キャプチャ装置５から、各キャプチャ装置５でキャプチャされたパケットの情報（「パケットキャプチャ情報」という）を収集し、動的ＤＢ１３に記憶する。パケットキャプチャ情報は、例えば、パケット中の送信元ＭＡＣアドレス、宛先ＩＰアドレス、宛先通信プロトコル番号、ＵＲＬ等のレイヤ２〜レイヤ７の情報を含む。
【００７９】
ＣＰＵ２１は、送信元ＭＡＣアドレスが端末表１５に登録されたＭＡＣアドレスと一致するパケットキャプチャ情報を動的ＤＢ１３から読み出す。ＣＰＵ２１は、図１４に示すように、当該パケットキャプチャ情報中の通信プロトコル番号，宛先ＩＰアドレス，ＵＲＬを端末表１５の対応するレコードに記憶する。なお、図１４の端末表１５中の下線が付された部分は、図１３からの差分を示す。
【００８０】
図１４に示す端末表１５において、ＭＡＣアドレス“0000.1111.1111”を有する端末３は、複数の端末と通信プロトコル番号“５１５”で通信している。端末表１５中のアスタリスク（＊）は、パケットキャプチャ情報から複数の宛先ＩＰアドレスが得られたことを示す。ＣＰＵ２１は、静的ＤＢ１４に記憶されたシステム設計資料１（図７）を参照することで、ＭＡＣアドレス“0000.1111.1111”を有する端末３がプリンタであると判定することができる。このように、端末３の種別が一つに特定できる場合には、ＣＰＵ２１は、対応するＭＡＣアドレスのレコードにおける分析（５）のポイントとして“１００”を設定する。
【００８１】
これに対し、例えば、ＭＡＣアドレス“0000.4444.4444”を有する端末３は、ＩＰアドレス“192.168.10.20”に対して通信プロトコル番号“10000”で通信している。静的情報（システム設計資料１）との照合によって、ＣＰＵ２１は、ＭＡＣアドレス“0000.4444.4444”を有する端末３がＰＣとハンディ端末との何れか一方であると判定することができる。但し、当該端末３がＰＣとハンディ端末のいずれであるかを確定することはできない。この場合、ＣＰＵ２１は、分析（５）のポイントとして“５０”を設定する。なお、端
末３の種別と推定される種別数がＮ（Ｎは２以上の整数）である場合には、１００／Ｎの値がポイントとして設定される。
【００８２】
ＣＰＵ２１は、分析部１６として、端末表１５の各レコードに登録されたポイントを元に各ＭＡＣアドレスを有する端末３の種別を判定する。ＣＰＵ２１は、分析（１）〜（５）の判定結果に基づき、端末３の種別を判定し、端末表１５の判定結果に記憶する。
【００８３】
例えば、図１５に示すように、ＭＡＣアドレス“0000.2222.2222”を有する端末３に関してはネットワークに接続されていないと判定されている。このため、ＣＰＵ２１は、対応するレコードにおける判定結果として「判定結果：無」を記憶する。図１５の端末表１５中の下線が付された部分は、図１４からの差分を示す。
【００８４】
これに対し、通信プロトコル番号及び宛先ＩＰアドレスから種別が一つに決まる端末３については、当該一つの端末種別が判定結果として記憶される。例えば、図１５に示すように、ＣＰＵ２１は、ＭＡＣアドレス“0000.1111.1111”を有する端末３については、「プリンタ」を対応するレコードの「判定結果」に記憶する。また、ＣＰＵ２１は、ＭＡＣアドレス“0000.3333.3333”を有する端末３については、「ＡＴＭ」を対応するレコードの「判定結果」に記憶する。
【００８５】
これに対し、通信プロトコル番号及び宛先ＩＰアドレスが静的情報（システム設計資料１）と合致する種別数がＮである端末３については、ＣＰＵ２１は、Ｎ個の端末３の種別を判定結果として対応するレコードの判定結果に記憶する。例えば、図１５に示すように、ＣＰＵ２１は、ＭＡＣアドレス“0000.4444.4444”を有する端末３に対応するレコードの「判定結果」に「ＰＣ又はハンディ端末」を記憶する。
【００８６】
さらに、ＣＰＵ２１は、図１６に示すように、端末種別が空欄となっている各レコードについて、判定結果に基づく端末種別を記憶する。例えば、ＭＡＣアドレス“0000.3333.3333”を有する端末３については、「ＡＴＭ」を対応するレコードの「端末種別」に記憶する。但し、ＭＡＣアドレス“0000.4444.4444”を有する端末３については、端末種別が一つに決まらないので、ＣＰＵ２１は、対応するレコードの「端末種別」に「？」を示す値を記憶する。なお、「判定結果：無」の場合は、端末種別の更新は行われない。図１６の端末表１５中の下線が付された部分は、図１５からの差分を示す。
【００８７】
このようにして判定された端末種別は、出力装置２６にて出力される。このとき、端末表１５の登録内容の全部が表示されても良く、端末の特定情報（ＭＡＣアドレス）と端末種別を含む一部が表示されるようにしても良い。
【００８８】
＜ＡＴＭに係る端末表のレコード管理＞
次に、端末表１５からレコード（端末３）を削除するための構成例について説明する。例えば、端末３の一つであるＡＴＭ（例えば、図１に示すＡＴＭ３Ａ）は、営業時間を有しており、所定の時間帯が営業時間外となる。営業時間外では、ＡＴＭ３Ａは、通信を行わない。
【００８９】
上記のＡＴＭに鑑み、デッドタイマと無通信タイマとが定義される。デッドタイマ及び無通信タイマは、管理装置１０のＣＰＵ２１によるプログラムの実行で実現できる。もっとも、ハードウェアとしてのタイマが用意され、例えばＣＰＵ２１がタイマの計時及び停止を制御するようにしても良い。
【００９０】
無通信タイマは、例えば、管理装置１０で管理され、端末表１５に登録されたＭＡＣアドレス毎に用意される。無通信タイマのカウント値は、キャプチャ装置５から随時パケッ
トキャプチャ情報が受信される状態となっている場合において、１時間パケットキャプチャ情報が受信されない場合に１つカウントアップされる。無通信タイマのカウント値は、最小値が０で最大値が２４であり、２４の次は０となる。但し、カウント値の最小値及び最大値は適宜設定可能である。無通信タイマは、１時間以内に対応するパケットキャプチャ情報の受信が確認されたとき、リセットされる（カウント値が０に戻る）。
【００９１】
無通信タイマのカウント値が１つカウントアップ（インクリメント）されると、対応するＭＡＣアドレスのレコードにおける分析（１）〜（５）の値がクリア（デフォルト値“０”にリセット）される。なお、無通信タイマのカウントアップに用いる時間長は、１時間に限定されず、適宜設定可能である。
【００９２】
デッドタイマも、端末３（端末表１５に登録されたＭＡＣアドレス）毎に用意される。デッドタイマのカウント値は、無通信タイマのカウント値が最大値（例えば２４）になる毎に１つカウントアップする（インクリメントされる）。例えば、デッドタイマの最小値は０で、最大値は３６５である。但し、デッドタイマの最小値及び最大値は適宜設定可能である。無通信タイマがリセットされると、デッドタイマのカウント値もリセットされる（０に戻る）。デッドタイマのカウント値が最大値に達すると、ＣＰＵ２１は、対応するレコードを削除する。
【００９３】
ＡＴＭは、営業時間外になると通信を行わなくなる。このため、通信を停止してから１時間が経過する毎に、無通信タイマのカウント値がインクリメントされる。図１７に示すように、ＣＰＵ２１は、インクリメントに応じて、ＡＴＭに対応するレコードの分析（１）〜（５）に記憶されたポイント値をリセットする。
【００９４】
もし、ＡＴＭの停止時間が３６５日継続すると、デッドタイマのカウント値は最大値“３６５”となる。この場合、ＣＰＵ２１は、図１８に示すように、端末表１５におけるＡＴＭに対応するレコードを削除する。これにより、不要なレコードを端末表１５から除くことができる。
【００９５】
営業時間となり、ＡＴＭが通信を再開すると、ＣＰＵ２１は、分析（１）〜（５）のポイントを求める処理を行い、端末の種別判定を行う（図１９参照）。
【００９６】
＜管理者の把握外のスイッチ及び端末に係る処理＞
以下、管理者によって把握されていないスイッチ２及び端末３がネットワークに増設されている場合の動作（処理）例について説明する。図１に示したように、スイッチ２Ｃがスイッチ２Ａに接続されることで増設され、スイッチ２Ｃに増設された端末３としてＰＣ３Ｅ及びＰＣ３Ｆが接続されている場合を仮定する。
【００９７】
スイッチ２Ｃ配下のＰＣ３Ｅ及びＰＣ３Ｆのそれぞれも、ルータ１を経由してサーバ４と通信を行う。このため、各ルータ１のＡＲＰテーブルの参照（収集）によって、動的ＤＢ１３には、ＰＣ３Ｅ及びＰＣ３ＦのＭＡＣアドレスが含まれる。例えば、ＰＣ３ＥのＭＡＣアドレスは“0000.5555.5555”であり、ＰＣ３ＦのＭＡＣアドレスは“0000.6666.6666”であると仮定する。
【００９８】
ＣＰＵ２１は、動的ＤＢ１３に登録されたＰＣ３ＥのＭＡＣアドレス“0000.5555.5555”及びＰＣ３ＦのＭＡＣアドレス“0000.6666.6666”のレコードを、図２０に示すように、新たに端末表１５に登録する。さらに、ＣＰＵ２１は、これらのＭＡＣアドレスを含むＡＲＰテーブルを有するルータ１の識別子（ルータＩＤ：例えば“１”）を、対応するレコードに登録する。
【００９９】
ここで、図２１及び図２２を用いて、スイッチ２Ｃ及びＰＣ３Ｅ及びＰＣ３Ｆの存在の推定に関して説明する。図２１に示すように、スイッチ２ＡにＡＴＭ３Ａ及びプリンタ３Ｂが接続されており、スイッチ２Ｃが接続されていない状態では、スイッチ２ＡのＭＡＣアドレステーブルは、ＡＴＭ３Ａ及びプリンタ３Ｂに係るエントリを含む。
【０１００】
ＰＣ３Ｅ及びＰＣ３Ｆが接続されたスイッチ２Ｃが管理者の把握外で増設された場合には、スイッチ２Ｃは、管理者の管理外のものであるため、管理装置１０からスイッチ２ＣのＭＡＣアドレステーブルを参照することができない。
【０１０１】
但し、ＰＣ３Ｅ及びＰＣ３Ｆがサーバ４との通信を行うと、図２２に示すように、スイッチ２ＡのＭＡＣアドレステーブルには、ポート番号“３”に対応づけて、ＰＣ３Ｅ及びＰＣ３ＦのＭＡＣアドレスが登録される。
【０１０２】
管理装置１０のＣＰＵ２１は、スイッチ２ＡのＭＡＣアドレステーブルを参照（取得）することで、ポート番号“３”について複数のＭＡＣアドレスが登録されていることを知ることができる。このため、ＣＰＵ２１は、スイッチ２Ａのポート３にスイッチ２Ｃが接続され、スイッチ２Ｃに２つの端末３（ＰＣ３Ｅ，ＰＣ３Ｆ）が接続されていると推定擦ることができる。
【０１０３】
ＣＰＵ２１は、ＭＡＣアドレステーブルの参照（収集）によって、スイッチ２Ａから図２２に示したＭＡＣアドレステーブルの情報を取得することで、動的情報として、ＰＣ３Ｅ及びＰＣ３ＦのＭＡＣアドレスと、ＭＡＣアドレスに対応するポート番号及びＶＬＡＮ番号を得ることができる。ＣＰＵ２１は、これらの情報を、図２３に示すように、端末表１５に登録する。
【０１０４】
その後、ＣＰＵ２１は、ＭＡＣアドレス“0000.5555.5555”及び“0000.6666.6666”が送信元ＭＡＣアドレスであるパケットのパケットキャプチャ情報を収集する。ＣＰＵ２１は、上述した手法を用いてパケットキャプチャ情報と静的情報との照合を行い、ＭＡＣアドレス“0000.5555.5555”及び“0000.6666.6666”を有する端末３の種別を判定する。
【０１０５】
これによって、図２４に示すように、ＭＡＣアドレス“0000.5555.5555”及び“0000.6666.6666”の「判定結果」と「端末種別」とが更新される。但し、図２４に示す例では、ＭＡＣアドレス“0000.6666.6666”を有する端末３がＰＣが使用するプロトコル番号と異なるプロトコル番号“30000”で通信を行っている。このため、「判定結果」として、Ｍ
ＡＣアドレス“0000.6666.6666”を有する端末３は、「ハンディ端末又はＡＴＭ」と判定されており、「端末種別」として「？」が端末表１５に登録されている。
【０１０６】
＜実施形態の効果＞
実施形態によれば、管理装置１０は、ＡＲＰテーブルの情報をネットワーク（各ルータ１）から収集することで、ネットワークに接続されている端末３を特定する。また、管理装置１０は、ネットワークに接続されている各端末３（ＡＲＰテーブルで存在が確認された各ＭＡＣアドレス）についてのパケットキャプチャ情報を得て、パケットキャプチャ情報と静的情報との照合を行うことで、端末３の種別を判定する。これによって、ネットワークに接続された各端末３の種別を判定することができる。これにより、ネットワークに接続されている端末３の種別特定を容易にすることができる。判定結果として、２以上の端末種別が示される場合もあるが、種別が全く不明な場合に比べて端末の種別特定を容易にすることができる。
【０１０７】
また、実施形態では、ＡＲＰテーブルの参照によって、サーバ４と通信している端末のＭＡＣアドレスを特定するため、端末３が管理者によって把握されていない（端末管理台
帳に登録されていない）場合であっても、当該端末３を検知し、種別判定を行うことができる。このとき、ネットワークに接続されている全ての端末３のＭＡＣアドレスをＡＲＰテーブルから取得することが可能であり、各ＭＡＣアドレスが端末表１５に登録されるので、端末表１５からネットワークに接続されている端末３の台数を特定することが可能である。
【０１０８】
また、実施形態では、ＭＡＣアドレステーブルの参照によって、各端末３が接続されているスイッチ２を特定することができる。管理者が把握していないスイッチ２が増設されていても、ＭＡＣアドレステーブルの参照によって、スイッチ２の増設を推定することができる。また、ＭＡＣアドレステーブルの参照によって、ＶＬＡＮを特定することができ、端末３に施すセキュリティ設定の手掛かりとすることができる。
【０１０９】
なお、上記した実施形態では、端末表１５に動的情報が登録される毎に分析が実行されているが、端末表１５に静的情報及び動的情報を登録してから，分析（１）〜（５）が開始されるようにしても良い。この場合、端末表１５に対する静的情報及び動的情報の登録順は適宜設定可能である。上述した実施形態の構成は、適宜組み合わせることができる。
【符号の説明】
【０１１０】
１０・・・管理装置
１１・・・テーブル処理部
１２・・・収集部
１３・・・動的ＤＢ
１４・・・静的ＤＢ
１５・・・端末表
１６・・・分析部
２０・・・情報処理装置
２１・・・ＣＰＵ
２２・・・主記憶装置
２３・・・補助記憶装置
【図１】
2017017603.tif 000003
【図２】
2017017603.tif 000004
【図３】
2017017603.tif 000005
【図４】
2017017603.tif 000006
【図５】
2017017603.tif 000007
【図６】
2017017603.tif 000008
【図７】
2017017603.tif 000009
【図８】
2017017603.tif 000010
【図９】
2017017603.tif 000011
【図１０】
2017017603.tif 000012
【図１１】
2017017603.tif 000013
【図１２】
2017017603.tif 000014
【図１３】
2017017603.tif 000015
【図１４】
2017017603.tif 000016
【図１５】
2017017603.tif 000017
【図１６】
2017017603.tif 000018
【図１７】
2017017603.tif 000019
【図１８】
2017017603.tif 000020
【図１９】
2017017603.tif 000021
【図２０】
2017017603.tif 000022
【図２１】
2017017603.tif 000023
【図２２】
2017017603.tif 000024
【図２３】
2017017603.tif 000025
【図２４】
2017017603.tif 000026