(57)【要約】ネットワークの通信記録を得る。対象ネットワークを通るパケットデータを傍受してその種類に応じた検索データを付加して解析結果データベースに保存することにより通信が行われた後に簡易かつ確実に読み出すことができる。
2002029579.tif 000002
【特許請求の範囲】
【請求項１】
対象ネットワークを流れるデータストリームのデータを傍受し、当該傍受したデータを１回の通信分ずつ区分し、当該区分したデータに含まれる通信項目データを選択して解析結果データを作成し、上記解析結果データに検索データを付加して解析結果データベースに蓄積することにより、上記検索データに基づいて上記解析結果データを上記解析結果データベースから外部に選択的に読み出し、これにより上記対象ネットワークの通信結果を確認できるようにした
ことを特徴とする通信情報記録装置。
【請求項２】
上記区分したデータは、他の通信装置から上記対象ネットワークに接続されたメールサーバへのリクエストデータと、上記メールサーバから上記他の通信装置へのレスポンスデータとを有する
ことを特徴とする請求の範囲第１項に記載の通信情報記憶装置。
【請求項３】
上記区分したデータは、上記通信項目データとして、ヘッダ項目データと、メール本文データとを有する
こを特徴とする請求の範囲第１項に記載の通信情報記録装置。
【請求項４】
上記区分したデータは、上記通信項目データとして、さらに、添付ファイル項目データを有する
ことを特徴とする請求の範囲第２項に記載の通信情報記録装置。
【請求項５】
特定の閲覧者以外の他の閲覧者の閲覧を制限すべきメール情報の上記通信項目をプライベート項目として保有するプライベートデータベースを有し、上記解析結果データのうち、上記プライベートデータベースのプライベート項目と一致する上記通信項目に、閲覧禁止項目を付して上記解析結果データベースに蓄積し、これにより上記閲覧禁止項目が付された上記通信項目を上記解析結果データベースから読み出すことができないようにする
ことを特徴とする請求の範囲第１項に記載の通信情報記録装置。
【請求項６】
上記区分したデータは、上記通信項目データとして、さらに、添付ファイル内のコンピュータウイルスを検知する
ことを特徴とする請求の範囲第２項に記載の通信情報記録装置。
【請求項７】
上記区分したデータに含まれる通信項目を分類するカテゴリ項目を上記通信項目に対応させて保有するカテゴリデータベースを有し、上記カテゴリデータベースの通信項目と一致する上記通信項目に対して、上記対応するカテゴリ項目を付して上記解析結果データベースに蓄積し、これにより上記解析結果データベースから、上記カテゴリ項目ごとに上記解析結果データを、読み出すことができるようにした
ことを特徴とする請求の範囲第１項に記載の通信情報記録装置。
【請求項８】
上記区分したデータは、他の通信装置から上記対象ネットワークに接続された端末装置からのリクエストデータと、上記ＨＴＴＰサーバから上記の通信装置へのレスポンスデータとを有する
ことを特徴とする請求の範囲第１項に記載の通信情報記憶装置。
【請求項９】
上記ＨＴＴＰサーバからのレスポンスデータにコンテンツの長さを表すコンテンツ長項目があるとき、コンテンツをファイルとして保存し、対応する上記区分したデータの上記解析結果データベースにおける保存場所を表す保存場所データを保存場所データベースに蓄積し、これにより上記保存場所データベースに蓄積した上記保存場所データを外部に読み出すことにより上記区分したデータを再現することができるようにした
ことを特徴とする請求の範囲第２項に記載の通信情報記録装置。
【発明の詳細な説明】
技術分野
本発明は、通信情報記録装置に関し、特に監視対象となるネットワークに流れた通信情報を、通信が行われた後に確認する際に適用して好適なものである。
背景技術
ＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）ネットワークに接続されている複数の端末装置において、それぞれ当該ＬＡＮを用いて情報を送信し又は受信するように構成されたネットワークにおいて、通信が行われた後に、当該通信の有無を確認することが必要な場合がある。
例えば当該ＬＡＮネットワーク内部やＬＡＮネットワークが接続されている外部のネットワーク（例えばインターネット）からネットワーク犯罪行為が行われたか否かを確認したり、通信が行われたことの証拠（例えば電子商取引の証拠）を取得したい場合がある。
このような問題を解決する手段として、従来、各端末装置ごとに、情報記録専用のＧＵＩ（Ｇｒａｐｈｉｃａｌ　Ｕｓｅｒ　Ｉｎｔｅｒｆａｃｅ）を用いたソフトウェアを設けるような方法が採用されていたが、記録された情報を通信が行われた後に確認する際の作業が面倒な問題がある。
発明の開示
本発明は以上の点を考慮してなされたもので、通信情報の記録や通信が行われた後の確認が一段と簡易な通信情報記録装置を提案しようとするものである。
かかる課題を解決するため本発明においては、対象ネットワーク２を流れるデータストリームＤ０のデータを傍受し、当該傍受したデータを１回通信分セッションデータＤ１ずつ区分し、当該区分したセッションデータＤ１に含まれる通信項目データ（ＨＴＴＰ通信、ＳＭＴＰ通信、ＰＯＰ３通信）、（ＳＭＴＰコマンドＭＡＩＬ　ＦＲＯＭ及びＲＣＰＴ　ＴＯ）、（ＰＯＰ３コマンドＵＳＥＲ及びＡＰＯＰ）、（メールヘッダＦｒｏｍ、Ｓｕｂｊｅｃｔ、Ｔｏ及びＣｃ）、（ＨＴＴＰリクエストＧＥＴ、ＰＯＳＴ、ＨＥＡＤ、ＤＥＬＥＴＥ、ＯＰＴＩＯＮＳ、ＰＵＴ、ＬＩＮＫ、ＵＮＬＩＮＫ、ＴＲＡＣＥ、ＣＯＮＮＥＣＴ）、（ＨＴＴＰヘッダＣｏｎｔｅｎｔ−Ｌｅｎｇｔｈ、Ｈｏｓｔ）を選択して解析結果データを作成し、この解析結果データに検索データにｃａｔｅｇｏｒｙ＝１、２……を付加して解析結果データベース１１に蓄積することにより、検索データｃａｔｅｇｏｒｙ＝１、２……に基づいて解析結果データを解析結果データベース１１から外部に選択的に読み出し、これにより対象ネットーク２の通信結果を確認できるようにする。
通信項目データに検索データを付加して解析結果データベース１１に蓄積することにより、当該検索データを用いて、通信後に、対象ネットワーク２を流れたデータストリームのデータを容易に確認でき、これにより対象ネットワークに２ついて犯罪行為が行われたか否かや、通信が行われたことの証拠を、一段と容易に取得することができる通信情報記録装置を実現できる。
上述のように本発明によれば、対象ネットワークを通る通信データを傍受すると共に、当該傍受した通信データの種別に応じて分類すると共に、新たな検索データを付加して解析結果データベースに蓄積するようにしたことにより、この解析結果データベースに蓄積した解析結果データに基づいて対象ネットワークを用いた通信の経過を容易かつ確実に確認することができ、かくしてネットワーク犯罪に対する証拠や電子商取引の証拠等を容易かつ確実に提供できるような通信情報記録装置を実現し得る。
発明を実施するための最良の形態
以下図面について、本発明の一実施の形態を詳述する。
（１）全体の構成
図１において、１は全体として通信ネットワークを示し、ＬＡＮネットワークを構成する対象ネットワーク２がインターネット網５に接続されている。
対象ネットワーク２には複数の端末装置３Ａ、３Ｂ……が接続され、これらの端末装置３Ａ、３Ｂ……が管理本部４にＷｅｂブウラザ４Ｂと共に設置されているメールサーバ４Ａ及びメールサーバ１５Ａ、１５Ｂ……と電子メール情報を相互に交信すると共に、メールサーバ４Ａが対象ネットワーク２と接続されているインターネット網５を介して外部のメールサーバ１５Ａ、１５Ｂ……との間で電子メール情報を交信する。
端末装置３Ａ、３Ｂ……が対象ネットワーク２を通してＨＴＴＰサーバ１４Ａ、１４Ｂ……との間でＷｅｂページをＨＴＴＰプロトコルによって交信する。
このようにして対象ネットワーク２に流れる電子メール情報およびＷｅｂページ情報は、対象ネットワーク２に接続されている通信情報記録装置６に傍受される。
通信情報記録装置６はバス７を介してプログラムメモリ８に接続された中央処理ユニット（ＣＰＵ）９がワークメモリ１０を用いて通信情報記録プログラムを実行することにより、対象ネットワーク２に流れる電子メール情報及びＷｅｂページ情報を図２に示す通信情報記録処理手順ＲＴ０に従って解析処理することにより、バス７を介して解析結果データベース１１に通信情報の内容を表す解析結果データを蓄積する。
（２）通信情報記録処理手順
通信情報記録装置６のＣＰＵ９は、図２の通信情報記録処理手順ＲＴ０に入ると、ステップＳＰ１において対象ネットワーク２を流れる電子メール情報およびＷｅｂページ情報を含むパケットデータを順次ワークメモリ１０に取り込み、記憶する。
データストリームＤ０は、図３に示すように、１回分の通信について、通信開始時点Ｔ０から通信終了時点Ｔ１までの間に、パケットデータＰ１が連続的に流れることにより、１つのデータを表すセッションデータＤ１を伝送する。
これに対して通信情報記録装置６のＣＰＵ９はこのデータストリームＤ０のデータストリームを、所定の傍受時間ごとに区切って、傍受ファイル名を付けて、ワークメモリ１０に記憶する。
かくして対象ネットワーク２を流れるパケットデータＰ１が、所定の傍受時間ごとにワークメモリ１０に取り込まれて行くのに対して、ＣＰＵ９はステップＳＰ２において解析時間待ち処理をした後、ステップＳＰ３において解析時点になるのを待って当該解析時点においてワークメモリ１０に取り込んだパケットデータを１セッションごとに切り出して、解析ファイル名を付ける。
その後ＣＰＵ９は、当該解析ファイル名が付された電子メール情報について、取り込んだ電子メール情報の種別に応じて、ステップＳＰ５においてＳＭＴＰメールデータの解析サブルーチンを実行し、又はステップＳＰ７においてＰＯＰ３メールデータの解析サブルーチンを実行する。
ステップＳＰ８においてＨＴＴＰの解析サブルーチンを実行し、ステップＳＰ９において侵入検知解析サブルーチンを実行する。
かくしてＣＰＵ９は、上述のステップＳＰ１において傍受ファイル名が付された電子メール情報およびＷｅｂページについての解析を終了し、上述のステップＳＰ１に戻って次の続く傍受時間についての解析処理を繰り返す。
この結果、通信情報記録装置６は、端末装置３Ａ、３Ｂ……相互間においてメールサーバ４Ａを介して電子メール送受信したときや、端末装置３Ａ、３Ｂ……が、メールサーバ４およびメールサーバ１５Ａ、１５Ｂ……から電子メール情報を読み出したときや、対象ネットワーク２を介して端末装置３Ａ、３Ｂ……からインターネット網５のＨＴＴＰサーバ１４Ａ、１４Ｂ……からＷｅｂページを受信したりしたときに、通信情報記録装置６は、対象ネットワーク２を流れる電子メール情報及びＷｅｂページ情報を傍受して、その解析結果を解析結果データベース１１に保存する。
（３）メールデータ解析処理手順
通信情報記録装置６は図２のメールデータ解析処理ルーチンＳＰ５において、図４及び図５に示すメールデータ解析処理手順を実行する。
このメールデータ解析処理ルーチンＳＰ５の処理は、対象ネットワーク２に流れた電子メール情報が簡易メール転送プロトコル（ＳＭＴＰ：Ｓｉｍｐｌｅ　Ｍａｉｌ　Ｔｒａｎｓｆｅｒ　Ｐｒｏｔｏｃｏｌ）に基づいて転送されている電子メール情報である場合に実行されるもので、この簡易メール転送プロトコル（ＳＭＴＰ）メールは、メールサーバ４Ａへのリクエストデータとして、図６の電子メールデータＤＡＴＡ１１でなる。
このＳＭＴＰメールを受信したとき、メールサーバ４ＡはレスポンスデータＤＡＴＡ１２として図７のデータを送信する。
図６のＳＭＴＰ電子メールデータＤＡＴＡ１１の場合、先頭部分の４行にＳＭＴＰコマンドＳ１１を有すると共に、続く行から「．」までにメール本体Ｓ１２を有する。
またメール本体Ｓ１２は、メールヘッダ部Ｓ１３と、本文部Ｓ１４と、添付ファイル部Ｓ１５とで構成されている。
図４のメールデータ解析処理ルーチンＳＰ５に入ると、ＣＰＵ９はステップＳＰ２１においてＳＭＴＰプロトコルでメールの分割をした後、ステップＳＰ２２、ＳＰ２３において順次ＳＭＴＰコマンドＳ１１（図６）のうち、「ＲＣＰＴ　ＴＯ」行及び「ＭＡＩＬ　ＦＲＯＭ」行を取得し、これによりメール送信元名から宛先名への電子メールであることを表すデータを取得する。
続いてＣＰＵ９は、ステップＳＰ２４において、メールヘッダ部Ｓ１３から本文部Ｓ１４の終わりまでを１つのファイルとして切り出して、一時的にワークメモリ１０のファイルに書き出すと共に、ステップＳＰ２５においてメールヘッダを連想配列に入れることにより、メールヘッダの各項目を参照できるようにする。
続いてＣＰＵ９は、ステップＳＰ２６において添付ファイルがあるか否かの判断をし、肯定結果が得られたときステップＳＰ２７に移ってウイルス検査モジュールを実行すると共に、ステップＳＰ２８においてウイルスを検知したか否かの判断をする。
このウイルス検知ステップＳＰ２８において肯定結果が得られたとき、ＣＰＵ９はステップＳＰ２９において当該電子メールはｃａｔｅｇｏｒｙ＝２であるとの評価をしてステップＳＰ３０に移る。
こごて、傍受した電子メールをカテゴリに分類するのは当該電子メールの内容に応じてカテゴリに分類して解析結果データベース１１に蓄積することにより、通信した後に解析結果データベース１１の内容を読む際にカテゴリ分類した結果に基づいて読み取り、これにより解析結果データベース１１のデータを読み取り易くできるようにするためである。
かくしてＣＰＵ９は、添付ファイルがある電子メールについてウイルスがあればこれを抽出して当該電子メールのカテゴリをｃａｔｅｇｏｒｙ＝２に分類する。
これに対して、ステップＳＰ２６において添付ファイルがないと判断し、又はステップＳＰ２８においてウイルスを検知しなかったとき、ＣＰＵ９はステップＳＰ２９をジャンプしてステップＳＰ３０に移る。
このステップＳＰ３０の処理はＳＭＴＰ電子メールＤＡＴＡ１１（図６）のメールヘッダ部Ｓ１３のうち、「Ｓｕｂｊｅｃｔ」（題名）をデコードする（７ビットから一般に解読できる８ビットに変換する（ＭＩＭＥデコードする））もので、その後ＣＰＵ９はステップＳＰ３１においてと「ｆｉｌｅｎａｍｅ」（添付ファイル名）をデコードし、続くステップＳＰ３２においてメールヘッダ部Ｓ１３の「Ｆｒｏｍ」項目をデコードし、続いてステップＳＰ３３においてメールヘッダ部Ｓ１３のうち「Ｔｏ」項目をデコードし、続いてステップＳＰ３４においてメールヘッダ部Ｓ１３の「Ｃｃ」項目をデコードする。
以上の処理をすることにより、ＣＰＵ９は、当該ＳＭＴＰメールが誰から誰へのもので、かつＣｃコピーを誰に送るべきものであり、かつタイトル及び添付ファイル名は何であるかを知ると共にウイルスの有無を知ることになる。
この状態においＣＰＵ９は、ステップＳＰ３５において当該電子メールのカテゴリが「ｃａｔｅｇｏｒｙ＝２」であるあ否かを判断し、肯定結果が得られたときステップＳＰ３６（図５）に移ってウイルスを検知したＳＭＴＰメールについて、メール本文Ｓ１４レスポンスデータＤＡＴＡ１２、ＳＭＴＰコマンドＳ１１、メールヘッダＳ１３の「Ｔｏ」項目、「Ｃｃ」項目、「Ｆｒｏｍ」項目、「Ｓｕｂｊｅｃｔ」項目を通信内容を表す通信項目データとして解析結果データベース１１に入れる処理を実行する。
これに対して、ステップＳＰ３５（図４）において否定結果が得られたとき、このことは当該ＳＭＴＰメールがウイルスを持っていないことを意味し、このときＣＰＵ９はステップＳＰ３７（図５）に移って、ＳＭＴＰコマンド「ＭＡＩＬ　ＦＲＯＭ」項目、ＳＭＴＰコマンド「ＲＣＰＴ　ＴＯ」項目、ＰＯＰ３コマンド「ＵＳＥＲ」項目、ＰＯＰ３コマンド「ＡＰＯＰ」項目、メールヘッダ「Ｆｒｏｍ」項目、メールヘッダ「Ｔｏ」項目、メールヘッダ「Ｃｃ」項目が、プライベートデータベース１２に合致するか否かの判断をする。
ここでプライベートデータベース１２は、当該ＳＭＴＰ電子メールの内容をプライベートデータベース１２に設定されている人以外の他の人が閲覧してはいけないものであることを意味する。
ステップＳＰ３７において肯定結果が得られると、このことは当該ＳＭＴＰ電子メールがその内容を他人が閲覧してはいけないものであることを意味し、このときＣＰＵ９は、ステップＳＰ３８においてメールヘッダの「Ｓｕｂｊｅｃｔ」項目をｐｒｉｖａｔｅに変更すると共に、ステップＳＰ３９においてメールヘッダの「Ｔｏ」５項目をｐｒｉｖａｔｅに変更した後、ステップＳＰ４０において「ｃａｔｅｇｏｒｙ＝１」に設定して次のステップＳＰ４１に移る。
かくしてＣＰＵ９は、当該ＳＭＴＰメールは他人が閲覧してはいけないものであることを確認したとき、メールヘッダ「Ｓｕｂｊｅｃｔ」項目及びメールヘッダ「Ｔｏ」項目を共にｐｒｉｖａｔｅに設定すると共に、ｃａｔｅｇｏｒｙ＝１に評価することにより、当該電子メールを通信した後においても当該ＳＭＴＰメールの内容を閲覧できないように設定できる。
これに対して上述のステップＳＰ３７において否定結果が得られると、このことは当該ＳＭＴＰメールが閲覧を禁止されているものではないことを意味し、このときＣＰＵ９はステップＳＰ３８ないしＳＰ４０をジャンプしてステップＳＰ４１に移る。
このステップＳＰ４１はメールヘッダについてその内容をメールカテゴリデータベース１３（図１）に予め設定されている「ｍａｉｌ−ｃａｔｅｇｏｒｙ」の値と比較してカテゴリ分類をする。
メールカテゴリデータベース１３は図１０に示すように、メールヘッダの「Ｆｒｏｍ」項目、「Ｔｏ」項目、全ての項目（「ＡＬＬ」項目）、「Ｒｅｐｌｙ−Ｔｏ」項目及び「Ｓｕｂｊｅｃｔ」項目についてｍａｉｌ−ｃａｔｅｇｏｒｙ１、２、３、４及び５に属するカテゴリ及ワードの組みをカテゴリを評価する基準データとして設定している。
また、メールカテゴリデータベース１３は「本文」項目についてカテゴリ及びワード（ｗｏｒｄ）（ＥＵＣ）、ｗｏｒｄ２（ＧＩＳ）及びｗｏｒｄ３（Ｓｈｉｆｔ−ＪＩＳ）の組みをｍａｉｌ−ｃａｔｅｇｏｒｙ５と評価する基準データとして設定している。
さらに、メールカテゴリデータベース１３はＰＯＰ３項目についてカテゴリ及びｗｏｒｄ（ＰＯＰ）及びｗｏｒｄ２（ＡＰＯＰ）の組みをカテゴリ６を評価する基準データとして有する。
このときＣＰＵ９は、ステップＳＰ４１に続くステップＳＰ７５において、当該ＳＭＴＰメールのメールヘッダがメールカテゴリデータベース１３と一致したか否かの判断をし、肯定結果が得られたときステップＳＰ７６に移ってカテゴリの値を一致した条件カテゴリに代入して上述のステップＳＰ３６に移る。
ここで、ＳＭＴＰメールは、簡易メール転送プロトコロル（Ｓｉｍｐｌｅ　Ｍａｉｌ　Ｔｒａｎｓｆｅｒ　Ｐｒｏｔｏｃｏｌ）によって端末装置からメールサーハ４Ａに転送された電子メールであり、メールカテゴリデータベース１３に設定されたヘッダの基準データは「Ｆｒｏｍ」項目及び「Ｔｏ」項目であり、ＣＰＵ９はステップＳＰ７５においてこの２項目について合致したか否かの判断をする。
これに対してステップＳＰ７５において否定結果が得られたとき、ＣＰＵ９はステップＳＰ７７においてメールの本文をメールカテゴリデータベース１３のｍａｉｌ−ｃａｔｅｇｏｒｙ５に登録された言葉と比較し、ステップＳＰ７８において一致したと判断したとき、ステップＳＰ７９においてカテゴリの値を一致したカテゴリに代入して上述のステップＳＰ３６に移る。
これに加えてステップＳＰ７８において否定結果が得られたときＣＰＵ９は上述のステップＳＰ３６に移る。
図４及び図５のＳＭＴＰメールデータ解析処理手順ＳＰ５を実行することにより、ＣＰＵ９は傍受した電子メールが閲覧してはいけないものであるか否かの評価をすると共に、いかなるカテゴリに属するものであるかを評定してその結果を解析結果データベース１１に格納する。
（４）ＰＯＰ３データ解析処理手順
通信情報記録装置６のＣＰＵ９は、ＰＯＰ３データ解析サブルーチンＳＰ７（図２）において、端末装置３Ａ、３Ｂ……がメールサーバ４およびメールサーバ１５Ａ、１５Ｂ……にプールされているメールを読む際に、対象ネットワーク２をＰＯＰ３プロトコロル（Ｐｏｓｔ　Ｏｆｆｉｃｅ　Ｐｒｏｔｏｃｏｌ　Ｖｅｒｓｉｏｎ３）によって流れる電子メール情報を、図１１及び図１２のＰＯＰ３データ解析処理手順ＳＰ７によって傍受する。
ＰＯＰ３データ解析処理手順ＳＰ７に入ると、ＣＰＵ９はステップＳＰ７５においてＰＯＰ３プロトコロルに基づいてメールを分割する。
そこでＰＯＰ３プロトコロルに基づく電子メール情報は、図１３に示すリクエストデータＤＡＴＡ２１が端末装置３Ａ、３Ｂ……から対象ネットワーク２を介してメールサーバ４に送信され、このリクエストに対するレスポンスとして図１４に示す電子メールデータＤＡＴＡ２２がメールサーバ４及び、メールサーバ１５Ａ、１５Ｂ……からリクエストを出した端末装置３Ａ、３Ｂ……に送られる。
電子メールデータＤＡＴＡ２２はＰＯＰ３レスポンスＳ２１と、メール本体Ｓ２２とでなり、メール本体ＳＰ２２はメールヘッダＳ２３とメール本文Ｓ２４とを有する。
かくしてＣＰＵ９が、ステップＳＰ７５においてＰＯＰ３レスポンスＳＰ２１を利用してメールの分割をした後ステップＳＰ７６及びＳＰ７７においてリクエストデータＤＡＴＡ２１のＰＯＰ３のコマンドの「ＵＳＥＲ」項目（ユーザ名が記載されている）もしくは「ＡＰＯＰ」項目（ユーザ名及びパスワードが記載されている）とを取得すると共に、ステップＳＰ７８において電子メールデータＤＡＴＡ２２について、メールヘッダＳ２３からメール本文Ｓ２４の終わりまでを１つのファイルとして切り出して一時的にワークメモリ１０に書き出す。
その後ＣＰＵ９はステップＳＰ７９においてメールヘッダを連想配列に入れて各項目データを必要に応じて取り出せるようにした後、ステップＳＰ８０において添付ファイルがあるか否かの判断をし、肯定結果が得られたときステップＳＰ８１においてウイルス検査モジュールを実行し、ステップＳＰ８２においてウイルスを検知したとの判断結果が得られたときステップＳＰ８３において当該電子メールがｃａｔｅｇｏｒｙ＝２であると評価して次のステップＳＰ８４に移る。
これに対してステップＳＰ８０において添付ファイルがないとの判断が得られ、又はステップＳＰ８２においてウイルスを検出しなかったとの判断が得られたとき、ＣＰＵ９は直ちにステップＳＰ８４に移る。
ＣＰＵ９はステップＳＰ８４においてメールヘッダＳ３の「Ｓｕｂｊｅｃｔ」項目を７ビットから一般に解読できる８ビットに変換する（ＭＩＮＥデコードする）。
同じようにして続くステップＳＰ８５、ＳＰ８６、ＳＰ８７及びＳＰ８８において順次「添付ファイル名」項目、メールヘッダの「Ｆｒｏｍ」項目、メールヘッダの「Ｔｏ」項目、メールヘッダの「Ｃｃ」項目をＭＩＮＥデコードする。
続いてＣＰＵ９はステップＳＰ８９において当該電子メールのカテゴリがＣａｔｅｇｏｒｙ＝２か否かの判断をし、肯定結果が得られたとき、ステップＳＰ９０（図１２）に移って当該電子メールについて「メール本文」、「レスポンスデータ」、ＳＭＴＰコマンド、メールヘッダの「Ｔｏ」、「Ｃｃ」、「Ｆｒｏｍ」項目と、「Ｓｕｂｊｅｃｔ］項目を解析結果データベース１１に入れる。
これに対してステップＳＰ８９（図１１）において否定結果が得られたとき、ＣＰＵ９はステップＳＰ９１においてＳＭＴＰコマンド「ＭＡＩＬ　ＦＲＯＭ」項目若しくはＲＣＰＴ　ＴＯ項目、又はＰＯＰ３コマンドの「ＵＳＥＲ」項目若しくはＡＰＯＰ項目、又はメールヘッダの「Ｆｒｏｍ」項目、「Ｔｏ」項目、「Ｃｃ」項目の１つがプライベートデータベース１２に格納されているｐｒｉ−ｖａｔｅデータと合致するか否かを判断する。
このステップＳＰ９１の判断において肯定結果が得られると、このことは第３者が当該電子メールを閲覧してはならないことを意味し、このときＣＰＵ９はステップＳＰ９２においてメールヘッダの「Ｓｕｂｊｅｃｔ」項目をｐｒｉ−ｖａｔｅデータに変更すると共に、ステップＳＰ９３において「Ｆｒｏｍ」項目をｐｒｉｖａｔｅデータに変更した後ステップＳＰ９４において当該電子メールカテゴリをｃａｔｅｇｏｒｙ＝１にであると評価して上述のステップＳＰ９０に移って解析結果データベース１１に登録する。
これに対してステップＳＰ９１において否定結果が得られると、このことは以上の処理においてはカテゴリ分類ができなかったことを意味し、このときＣＰＵ９はステップＳＰ９５においてカテゴリ分割処理サブルーチンＳＰ４２を実行する。
カテゴリ分割処理サブルーチンＳＰ４２に入ると、ＣＰＵ９は、図８及び図９に示すように、ステップＳＰ５１において当該メールのメールヘッダのうち、「Ｆｒｏｍ」項目をメールカテゴリデータベース１３の「ｍａｉｌ−ｃａｔｅ−ｇｏｒｙ１」の言葉と比較した後、ステップＳＰ５２において一致するデータがあるか否かの判断をし、肯定結果が得られたときステップＳＰ５３に移って一致したワードに対応するカテゴリをｃａｔｅｇｏｒｙ１と判定する。
ＣＰＵ９はステップＳＰ５２において否定結果が得られたときステップＳＰ５４においてメールヘッダのうち「Ｆｒｏｍ」項目を「ｍａｉｌ−ｃａｔｅ−ｇｏｒｙ２」の言葉と比較し、ステップＳＰ５５において一致するデータがあると判定したときステップＳＰ５６において一致したワードのカテゴリをｃａｔ−ｅｇｏｒｙ２と評価する。
またステップＳＰ５５において否定結果が得られると、ＣＰＵ９はステップＳＰ５７においてメールヘッダのうち「Ｆｒｏｍ」項目、「Ｔｏ」項目及び「Ｃｃ」項目と、ＳＭＴＰコマンドのうち「ＭＡＩＬ−ＦＲＯＭ」項目、「ＲＣＰＴ−ＴＯ」項目をメールカテゴリデータベース１３のｍａｉｌ−ｃａｔｅｇｏｒｙ３の言葉と比較し、ステップＳＰ５８において一致データがあると判断したときステップＳＰ５９において一致した言葉に対応するカテゴリをｃａｔｅｇｏｒｙ３と評価する。
さらにステップＳＰ５８において否定結果が得られたときＣＰＵ９はステップＳＰ６０においてメールヘッダのうち「Ｒｅｐｌｙ−Ｔｏ」項目をメールカテゴリデータベース１３のｍａｉｌ−ｃａｔｅｇｏｒｙ４のワードと比較し、ステップＳＰ６１において一致があると判定したときステップＳＰ６２において一致したワードに対応するカテゴリをｃａｔｅｇｏｒｙ４と評価する。
さらにＣＰＵ９はステップＳＰ６１において否定結果が得られたときステップＳＰ６３においてＳＭＴＰメールのメール本文とメールカテゴリデータベース１３のｃａｔｅｇｏｒｙ５のｗｏｒｄ、ｗｏｒｄ２及びｗｏｒｄ３と比較し、ステップＳＰ６４（図９）において一致があると判断したときステップＳＰ６５において一致したワードに対応するカテゴリをｃａｔｅｇｏｒｙ５と評定する。
さらに、ＣＰＵ９はステップＳＰ６４において否定結果が得られたときステップＳＰ６６においてＳＭＴＰメールのリクエストファイルの先頭行をメールカテゴリデータベース１３のｍａｉｌ−ｃａｔｅｇｏｒｙ６のｗｏｒｄ、ｗｏｒｄ２と比較し、ステップＳＰ６７において一致があると判定したときステップＳＰ６８において一致したワードのカテゴリをｃａｔｅｇｏｒｙ６と評価する。
かくしてステップＳＰ５３、ＳＰ５６、ＳＰ５９、ＳＰ６２、ＳＰ６５及びＳＰ６８の評定結果が得られたとき、又はステップＳＰ６７において否定結果が得られたとき、ＣＰＵ９はステップＳＰ６９において当該カテゴリ分類処理を終了し、ステップＳＰ７０からメインルーチン（図１２）に戻る。
このステップＳＰ９５のカテゴリ分割処理により、対象ネットワークを管理する管理本部４の管理者が管理し易いカテゴリ分類に従って対象ネットワーク２を流れるメール情報が同時に分類される。
ここで図１０のメールカテゴリデータベース１３は、ｍａｉｌ−ｃａｔｅ−ｇｏｒｙ１ないしｍａｉｌ−ｃａｔｅｇｏｒｙ６の６項目について、それぞれ優先度が大きい１つ又は複数のワードについてカテゴリ番号が付されており、これにより管理本部４のメールブラウザ４Ｂから解析結果データベース１１に蓄積された解析結果データを読み出す際に、優先度の大きいメール情報を任意に読み出すことができる。
メールカテゴリデータベース１３の第１のカテゴリ分類データＣＡＴ１は、ｍａｉｌ−ｃａｔｅｇｏｒｙ１としてメールヘッダ部の「Ｆｒｏｍ」項目に関して１つ又は複数の「メール送信元名」がカテゴリ値と共に設定される。
また第２のカテゴリ分類データＣＡＴ２はｍａｉｌ−ｃａｔｅｇｏｒｙ２としてメールヘッダ部の「Ｔｏ」項目について、１つ又は複数の「あて先名」に対してカテゴリ番号と共に設定されている。
また第３のカテゴリ分類データＣＡＴ３は、ｍａｉｌ−ｃａｔｅｇｏｒｙ３として、すべての項目（すなわちＳＭＴＰコマンドの「ＭＡＩＬ　ＦＲＯＭ」項目、「ＲＣＰＴ　ＴＯ」項目と、メールヘッダの「Ｆｒｏｍ」項目、「Ｔｏ」項目、「Ｃｃ」項目を１かたまりの判定情報としてその１つ又は複数についてカテゴリ値を付したデータが設定される。
さらに第４のカテゴリ分類データＣＡＴ４は、ｍａｉｌ−ｃａｔｅｇｏｒｙ４として「Ｒｅｐｌｙ−Ｔｏ」（返信先）の１つ又は複数についてカテゴリ番号を付して設定されている。
さらに第５のカテゴリ分類データＣＡＴ５は、ｍａｉｌ−ｃａｔｅｇｏｒｙ５としてメールヘッダの「Ｓｕｂｊｅｃｔ」項目（件名）の１つ又は複数にカテゴリ値を付して設定されている。
さらに第６のカテゴリ分類データＣＡＴ６は、ｍａｉｌ−ｃａｔｅｇｏｒｙ６として「メール本文」項目（すなわち登録文字）の１つ又は複数について漢字コードＥＵＣ、ＪＩＳ、ＳＨＩＦＴ−ＪＩＳごとにカテゴリ値として設定されている。
さらに第７のカテゴリ分類データＣＡＴ７は、ｍａｉｌ−ｃａｔｅｇｏｒｙ７としてＰＯＰ３項目（メールサーバのユーザ名）について、ｗｏｒｄ（ＰＯＰ）、ユーザ名、又はｗｏｒｄ２（ＡＰＯＰ）、ユーザ名及びパスワードの１つ、又は複数にカテゴリ値として設定されている。
かくしてＣＰＵ９はメールカテゴリデータベース１３のカテゴリ分類データＣＡＴ１ないしＣＡＴ７を用いて、傍受した電子メール情報を、多様な側面からカテゴリ分けして解析結果データベース１１に蓄積して、ステップＳＰ９６からメインルーチンである通信情報記録処理手順ＲＴ０（図２）に戻り、これにより、必要に応じて管理本部４のメールブラウザ４Ｂから解析結果データベース１１からの電子メールデータの確認を一段と容易にできることになる。
（５）ＨＴＴＰデータ解析処理手順
通信情報記録装置６のＣＰＵ９は、ＨＴＴＰデータ解析ステップＳＰ８（図２）において、図１５及び図１６に示す「ＨＴＴＰデータ解析処理手順」を実行する。
ＣＰＵ９は「ＨＴＴＰデータ解析処理手順」ＳＰ８に入ると、ステップＳＰ１００においてセッションデータをｎａｍａデータベースより取得する条件を設定する。
この実施の形態の場合、ＣＰＵ９は、８０，３１２８、８０８０の３種類のポート番号でＨＴＴＰサーバ１４Ａ、１４Ｂ……から端末装置３Ａ、３Ｂ……がＷｅｂページ情報を読み取ったとき、当該Ｗｅｂページ情報が解析結果データベース１１に蓄積される。
端末装置３Ａ、３Ｂ……からのリクエストが、「ＧＥＴ」、「ＰＯＳＴ」、「ＨＥＡＤ」、「ＤＥＬＥＴＥ」、「ＯＰＴＩＯＮＳ」、「ＰＵＴ」、「ＬＩＮＫ」、「ＵＮＬＩＮＫ」、「ＴＲＡＣＥ」、「ＣＯＮＮＥＣＴ」項目から開始する。
例えば端末装置３Ａ、３Ｂ……からＨＴＴＰ　ＰＯＳＴリクエストが出された場合には、端末装置３Ａ、３Ｂ……は図１８に示すように、ＨＴＴＰ　ＰＯＳＴリクエストデータＤＡＴＡ３１を対象ネットワーク２を介してＨＴＴＰサーバ１４Ａ、１４Ｂ……に送信し、これに応じてＨＴＴＰサーバ１４Ａ、１４Ｂ……が図１９に示すように、対象ネットワーク２を介してＨＴＴＰ　ＰＯＳＴレスポンスデータＤＡＴＡ３２を端末装置３Ａ、３Ｂ……に送信する。
ＨＴＴＰ　ＰＯＳＴリクエストデータＤＡＴＡ３１は図１８に示すように、ヘッダ部Ｓ３１と、書込み部Ｓ３２とを有し、ヘッダ部Ｓ３１によってＨＴＴＰサーバ１４Ａ、１４Ｂ……にＷｅｂページ読取情報を送ると共に、当該読み取ろうしたＷｅｂページに対して、書込み部Ｓ３２において書き込んだ内容を加えて送るような条件を付加している。
このようなＨＴＴＰ　ＰＯＳＴリクエストデータＤＡＴＡ３１を受信すると、ＨＴＴＰサーバ１４Ａ、１４Ｂ……は図１９に示すように、ヘッダ部Ｓ３３と、加工したＷｅｂページ情報でなる本文部Ｓ３４とがリクエストを出した端末装置３Ａ、３Ｂ……にＨＴＴＰ　ＰＯＳＴレスポンスデータＤＡＴＡ３２として送り返す。
また例えばＨＴＴＰ　ＧＥＴリクエストデータＤＡＴＡ４１は、図２０（Ａ）に示すように、端末装置３Ａ、３Ｂ……がＨＴＴＰ　ＧＥＴリクエストデータＤＡＴＡ４１としてリクエストとＨＴＴＰヘッダ（図１８の場合のように書込み部Ｓ３２などを持たない）をＨＴＴＰサーバ１４Ａ、１４Ｂ……に送る。
このときＨＴＴＰサーバ１４Ａ、１４Ｂ……は図２０（Ｂ）に示すように、ＨＴＴＰ　ＧＥＴレスポンスデータ４２として、ヘッダ部Ｓ４２と本文部Ｓ４３（この場合は静止画）を対象ネットワーク２に介してリクエストを出した端末装置３Ａ、３Ｂ……に転送する。
ＣＰＵ９は、ＨＴＴＰデータ解析サブルーチンに入ると、ステップＳＰ１００（図１５）に続いて、ステップＳＰ１０１においてリクエストデータＤＡＴＡ４１をワークメモリ１０から読み出し、ステップＳＰ１０２においてＨＴＴＰ　ＧＥＴリクエスト、ＨＴＴＰ　ＰＯＳＴリクエスト、ＨＴＴＰ　ＨＥＡＤリクエスト……ＨＴＴＰ　ＣＯＮＮＥＣＴリクエストのうちどのリクエストからリクエストデータが開始しているかを確認した後、ステップＳＰ１０３においてリクエストデータを分離する。
続いてＣＰＵ９は、ステップＳＰ１０４において、ＨＴＴＰ　ＰＯＳＴリクエストの場合ＨＴＴＰ　ＰＯＳＴリクエストＤＡＴＡ３１のヘッダ部Ｓ３１を読み込み、またＨＴＴＰ　ＧＥＴリクエストの場合はＨＴＴＰ　ＧＥＴリクエストＤＡＴＡ４１（図２０（Ａ））のヘッダ部Ｓ４１を読み込む。この場合リクエストデータ、レスポンスデータは、ＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ　Ｔｒａｎｓ−ｆｅｒ　Ｐｒｏｔｏｃｏｌ）によって転送されている。
続いてＣＰＵ９はステップＳＰ１０５において、ＨＴＴＰヘッダを連想配列に直して各データを読み取る得るように変換した後、ステップＳＰ１０６において当該ＨＴＴＰヘッダがＮＵＬＬか否か（すなわちＨＴＴＰヘッダがないか否か）を判断する。
ここで肯定結果が得られると、このことは端末装置３Ａ、３Ｂ……からＨＴＴＰサーバ１４Ａ、１４Ｂ……にＨＴＴＰヘッダ　Ｈｏｓｔを付けずにリクエストしたことを意味し、このときＣＰＵ９はステップＳＰ１０７において「ｈｔｔｐ：／／あて先ＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）アドレス／リクエスト文」を付加することによりＵＲＬ（Ｕｎｉｆｏｒｍ　Ｒｅｓｏｕｒｃｅ　Ｌｏｃａｔｏｒ）すなわちファイルを一意に決めるリソース名を決定して、次のステップＳＰ１０８に進む。
これに対してステップＳＰ１０６において否定結果が得られると、このことは端末装置３Ａ、３Ｂ……からＨＴＴＰサーバ１４Ａ、１４Ｂ……のリクエストの際に、ＨＴＴＰヘッダ　Ｈｏｓｔが付けられていたことを意味し、このときＣＰＵ９はステップＳＰ１０９において「ｈｔｔｐ：／／ＨＴＴＰヘッダＨｏｓｔ／リクエスト文」をＵＲＬとして決定してステップＳＰ１０８に移る。
ＣＰＵ９は、ステップＳＰ１０８において、レスポンスデータについて、レスポンスヘッダを読み込むと共に、ステップＳＰ１１０においてレスポンスヘッダにＣｏｎｔｅｎｔ−Ｌｅｎｇｔｈ項目があるか否かの判断をする。
ここで否定結果が得られると、このことはレスポンスデータには単一のＷｅｂページ情報しか含まれていない可能性があることを意味し、このときＣＰＵ９はステップＳＰ１１１においてファイル情報の次のレスポンスヘッダが出るまでレスポンスデータを読み込んで、ステップＳＰ１１２において当該前のレスポンスヘッダ以降次のレスポンスヘッダまでを本文とする、１つのファイルを決定して解析結果データベース１１に蓄積する。
これに対して、上述のステップＳＰ１１０において肯定結果が得られると、このことはレスポンスデータに複数のＷｅｂページ情報が含まれている可能性があることを意味し、このときＣＰＵ９はステップＳＰ１１３に移って当該Ｃｏｎ−ｔｅｎｔ−Ｌｅｎｇｔｈ項目について、Ｃｏｎｔｅｎｔ−Ｌｅｎｇｔｈ＝０か否かの判断をする。
ここで否定結果が得られると、このことは複数のＷｅｂページが含まれていることを意味し、このときＣＰＵ９はステップＳＰ１１４においてレスポンスヘッダ以降のデータをＣｏｎｔｅｎｔ−Ｌｅｎｇｔｈ分だけ読み込んで、上述のステップＳＰ１１２に移って、１つのファイルとして解析結果データベース１１に蓄積する。
その後、ＣＰＵ９は、次のステップＳＰ１１５において現在処理しているのは、ＨＴＴＰ　ＰＯＳＴリクエストの場合であるか、又はＵＲＬに「？」を含む場合であるか、否かの判断をする。
ここで肯定結果が得られれば、現在処理しているＷｅｂページ情報のコンテンツが動的なものであることを意味する。
すなわちＰＯＳＴリクエストの場合は、図１８及び図１９について上述したようにＰＯＳＴレスポンスデータＤＡＴＡ３２（図１９）がＨＴＴＰサーバ１４Ａ、１４Ｂ……に伝送されたデータついて、ＨＴＴＰ　ＰＯＳＴリクエストＤＡＴＡ３１（図１８）の加工書込み部Ｓ３２の内容に応じて加工されたデータであり、かくして動的なコンテンツになっている。
また上述のステップＳＰ１０７又はＳＰ１０９について付されたＵＲＬの内容に「？」を含むことは、ＨＴＴＰサーバ１４Ａ、１４Ｂ……に送られてきたＷｅｂページ情報の内容がその後変化する動的なコンテンツであることを意味する。
従って、ステップＳＰ１１５において否定結果が得られれば、このことはレスポンスデータは動的なコンテンツをもたない定型のＷｅｂページ情報であることを意味し、このときＣＰＵ９はステップＳＰＴ１６に移って解析結果データベース１１内に、「ＵＲＬ項目から最後の／まで」のデータを１つの名前としてディレクトリを作成し、次のステップＳＰ１１６において現在処理している本文データを解析結果データベース１１のうちＵＲＬ項目から作成したディレクトリの場所に移動させて、次のステップＳＰ１１８において解析結果データベース１１に保存すると共に、リクエスト、レスポンス、ＵＲＬ、本文のファイルの保存場所を、解析結果データベース１１内に設けたｗｅｂ＊データベース１１Ａに書き込む。
かくして、レスポンスヘッダにＣｏｎｔｅｎｔ−Ｌｅｎｇｔｈが無い場合（ＳＰ１１０）及びＣｏｎｔｅｎｔ−ＬｅｎｇｔｈがありかつＣｏｎｔｅｎｔ−Ｌｅｎｇｔｈ＝０ではない場合において動的なコンテンツではない（ステップＳＰ１１５）Ｗｅｂページについての解析結果を、解析結果データベース１１に保存できる。
これに対して、上述のステップＳＰ１１３において肯定結果が得られると、このことはレスポンスヘッダが複数のＷｅｂページを含むことを指示しているにも係わらず実際にはコンテンツの長さが０である特別な場合であることを意味し、このときＣＰＵ９はステップＳＰ１１９に移って、リクエスト、レスポンス、ＵＲＬ、本文のファイルを解析結果データベース１１の補助データベースすなわちＷｅｂ＊データベース１１Ａ（図１７）に書き込む。
また上述のステップＳＰ１１５において肯定結果が得られると、このことは現在処理しているデータが動的なコンテンツを用い、静的なコンテンツではないで、ステップＳＰ１１９に移ってそのリクエスト、レスポンス、ＵＲＬ、本文のファイルをＷｅｂ＊データベース１１Ａに書き込む。
かくしてＣＰＵ９は上述のステップＳＰ１１８又はＳＰ１１９において、ステップＳＰ１０４において読み込んだＨＴＴＰリクエストヘッダについての解析結果を解析結果データベース１１に蓄積し終わったので、次のステップＳＰ１２０に移ってリクエストがまだあるか否かを判断し、肯定結果が得られたとき上述のステップＳＰ１０３に戻ってまだ残っているリクエストの処理を繰り返す。
これに対してステップＳＰ１２０において否定結果が得られると、このことは１つのセッションに含まれる全てのリクエストについての処理を終了したことを意味し、このときＣＰＵ９はステップＳＰ１２１に移ってワークメモリ１０にまだセッションがあるか否かを判断し、肯定結果が得られたとき上述のステップＳＰ１０１に戻って当該残るセッションの解析動作を繰り返す。
これに対してステップＳＰ１２１において否定結果が得られると、このことはワークメモリ１０に取り込んだすべてのＨＴＴＰデータの処理が終了したことを意味し、このときＣＰＵ９はステップＳＰ１２２から通信情報記録処理手順ＴＲ０（図２）に戻る。
また上述のステップＳＰ１０２において否定結果が得られると、このことは通信情報記録処理手順ＲＴ０（図２）において「ＨＴＴＰデータ解析」ステップＳＰ８において処理すべきＷｅｂページ情報ではなかったことを意味し、このときＣＰＵ９は直ちにステップＳＰ１２２から通信情報記録処理手順ＲＴ０（図２）に戻る。
（６）侵入検知解析処理手順
通信情報記録装置６のＣＰＵ９は、侵入検知解析ステップＳＰ９（図２）に入ると、図２２に示すような侵入検知解析処理手順ＳＰ９に従って、対象ネットワーク２を通過した通信についての解析結果を解析結果データベース１１に蓄積する。
侵入検知解析ステップＳＰ９に入ると、ＣＰＵ９はステップＳＰ１４１においてワークメモリ１０に傍受したデータストリームＤ０を侵入検知プログラムに渡す。
続いてＣＰＵ９はステップＳＰ１４２において、侵入検知プログラムによってデータストリームＤ０を侵入検知プログラムが有する侵入パターンと照らし合わせて、合致したデータストリームＤ０をワークメモリ１１にファイルとして記録する。
続いてＣＰＵ９はステップＳＰ１４３においてワークメモリ１１に記録したファイルに基づいて、当該ファイルのヘッダ部及び本文を切り出して結果ファイルを生成し、続くステップＳＰ１４４において当該結果ファイルから、侵入パターン、送信元アドレス、あて先アドレス、発注元ポート、あて先ポート、発生時間を読み取って解析結果データベース１１に入れる。
かくして対象ネットワーク２を通過した通信情報の通信記録を解析結果データベース１１に蓄積することができたので、ＣＰＵ９はステップＳＰ１４５からメインルーチンである通信情報記録処理手順ＲＴ０に戻る。
かくして図２２の通信検知解析処理手順によれば、対象ネットワーク２にＩＤを持たずに侵入した通信情報について、その通信記録を解析結果データベース１１に蓄積することができ、これにより必要に応じて管理本部４のＷｅｂブラウザ４Ｂを用いて通信情報記録装置６の解析結果データベース１１を読み取ることにより、管理本部４の管理者が確実に侵入者の通信記録を把握することができる。
（７）通信情報記録装置の動作
以上の構成において、通信情報記録装置６（図１）は、対象ネットワーク２にメールサーバ４Ａに関するパケットデータが流れると、その都度当該パケットデータを傍受時間ごとに傍受ファイル名を付けてワークメモリ１０に取り込み、解析時間ごとに（ＳＰ２、ＳＰ３）、ステップＳＰ４において各セッションごとに解析ファイル名を付してメールデータ解析ステップＳＰ５、又はＰＯＰ３サーバデータ解析ステップＳＰ７、又は他ＨＴＴＰデータ解析ステップＳＰ８の処理を実行して解析結果を解析結果データベース１１に蓄積して行く。
そこで、管理本部４の管理者が、必要に応じてメールブラウザ４Ｂから、対象ネットワーク２を介して通信情報記録装置６の解析データベース１１に蓄積されている解析結果データを読み取ることができ、これにより対象ネットワーク２を流れるメール情報の確認を、通信が終わった後に、確実にすることができる。
このような確認をする際に、図２のメールサーバ解析ステップＳＰ５及びＰＯＰ３サーバデータ解析ステップＳＰ７によって端末装置３Ａ、３Ｂ……とメールサーバ４Ａおよびメールサーバ１５Ａ、１５Ｂ……間のメール情報のやり取りをする際には、傍受したメールデータをカテゴリ分して解析結果データベース１１に格納する。
ＨＴＴＰデータ解析ステップＳＰ８において端末装置３Ａ、３Ｂ……がＨＴＴＰサーバ１４Ａ、１４Ｂ……にリクエストを出してレスポンスを受け取るようなＷｅｂページ情報の場合には、静的なＷｅｂページ情報と動的なＷｅｂページ
情報に分けて静的なＷｅｂページ情報については解析結果データベース１１の保管場所を補助データベース１１Ａにまとめ直して格納するようにしたことにより、Ｗｅｂブラウザ４Ｂから通信情報記録装置６に検索リクエストが出されたときに、管理本部４の管理者が必要とする検索情報を単純な手続によって、画像を含むページの再現性を上げて適切かつ容易に読み出すことができる。
（８）解析結果データの読み出し
通信情報記録装置６の解析結果データベース１１に登録された解析結果データは、図２１に示す解析結果データの読み出し処理手順ＲＴ１に従って管理本部４のＷｅｂブラウザ４Ｂに読み出される。
解析結果データの読み出し処理手順ＲＴ１において、ＣＰＵ９はステップＳＰ１３１においてＷｅｂブラウザ４Ｂから検索リクエストを受け付けると、ステップＳＰ１３２において解析結果データベース１１の解析結果データを参照し、ステップＳＰ１３３において照会結果のデータから検索リクエストに該当する解析結果データを抽出する。
その後ＣＰＵ９は抽出した解析結果データをステップＳＰ１３４においてＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ　Ｔｒａｎｓｆｅｒ　Ｐｒｏｔｏｃｏｌ）プロトコルを用いて対象ネットワーク２を介してメールブラウザ４Ｂに送って当該Ｗｅｂブラウザ４Ｂのデイスプレイ上に表示させる処理を実行し、その後ステップＳＰ１３５において当該解析データ結果の読み出し処理手順ＲＴ１を終了する。
かくして図１３の解析結果データの読み出し処理手順ＲＴ１によれば、管理本部４の管理者が対象ネットワーク２を通ったメール情報及びＨＴＴＰの通信記録を、必要に応じて、いつでも確認することができる。
（９）他の実施の形態
なお上述の実施の形態の場合、「ＨＴＴＰデータ解析」処理手順ＳＰ８（図１５及び図１６）のステップＳＰ１１６において、「ＵＲＬから最後の「／」までの名前でディレクトリを作成する」際に、当該ディレクトリを解析結果データベース１１内に形成するようにしたが、これに代え、解析結果データベース１１とは別体設けた、ディスク記録装置でなる、外部記憶装置を用いるようにしても良い。
産業上の利用の可能性
インターネット網に接続された、ＬＡＮで構成された対象ネットワークに流れる通信データを傍受して、通信が行われた後に通信の内容を確認する通信システムに利用できる。
【図面の簡単な説明】
図１は、本発明による通信情報記録装置の全体構成を示すブロック図である。
図２は、図１の通信情報記録装置６の通信情報記録処理手順を示すフローチャートである。
図３は、図１の対象ネットワーク２を流れる電子メール情報の構成を示す略線図である。
図４は、図２のメールデータ解析ステップＳＰ５の詳細構成を示すフローチャートである。
図５は、図４と共に、図２のメールデータ解析ステップＳＰ５の詳細構成を示すフローチャートである。
図６は、図４及び図５において処理される電子メールデータＤＡＴＡ１１（サーバへのリクエスト）の構成を示す略線図である。
図７は、図４及び図５において処理されるレスポンスデータＤＡＴＡ１２（サーバからのレスポンス）の構成を示す略線図である。
図８は、カテゴリ分割処理手順を示すフローチャートである。
図９は、図８と共に、カテゴリ分割処理手順を示すフローチャートである。
図１０は、図８及び図９のカテゴリ分割処理手順において用いられるメールカテゴリデータベースの構成を示す略線図である。
図１１は、図２のＰＯＰ３データ解析ステップＳＰ７の詳細構成を示すフローチャートである。
図１２は、図１１と共に、図２のＰＯＰ３データ解析ステップＳＰ７の詳細構成を示すフローチャートである。
図１３は、ＰＯＰ３のリクエストデータＤＡＴＡ２１（サーバへのリクエスト）の構成を示す略線図である。
図１４は、ＰＯＰ３の電子メールデータＤＡＴＡ２２（サーバからのレンポンス）の構成を示す略線図である。
図１５は、図２のＨＴＴＰデータ解析ステップＳＰ８の詳細構成を示すフローチャートである。
図１６は、図１５と共に、図２のＨＴＴＰデータ解析ステップＳＰ８の詳細構成を示すフローチャートである。
図１７は、図１５及び図１６のＷｅｂ＊データの構成を示す略線図である。
図１８は、ＰＯＳＴリクエストデータＤＡＴＡ３１（サーバへのリクエスト）を示す略線図である。
図１９は、ＰＯＳＴレスポンスデータＤＡＴＡ３２（サーバからのレスポンス）を示す略線図である。
図２０は、ＧＥＴリクエストのリクエストデータＤＡＴＡ４１及びレスポンスデータＤＡＴＡ４２を示す略線図である。
図２１は、解析データの読み出し処理手順を示すフローチャートである。
図２２は、図２に侵入検知解析処理手順を示すフローチャートである。
符号の説明
１……通信ネットワーク、２……対象ネットワーク、３Ａ、３Ｂ………端末装置、４……管理本部、４Ａ……メールサーバ、４Ｂ……メールブラウザ、５……インターネット網、６……通信情報記録装置、７……バス、８……プログラムメモリ、９……ＣＰＵ、１０……ワークメモリ、１１……解析結果データベース、１１Ａ……Ｗｅｂ＊データベース、１２……プライベートデータベース、１３……メールカテゴリデータベース、１４Ａ、１４Ｂ，１４Ｎ……ＨＴＴＰサーバ、１５Ａ、１５Ｂ、１５Ｎ……メールサーバ
【図１】
2002029579.tif 000003
【図２】
2002029579.tif 000004
【図３】
2002029579.tif 000005
【図７】
2002029579.tif 000006
【図４】
2002029579.tif 000007
【図５】
2002029579.tif 000008
【図６】
2002029579.tif 000009
【図８】
2002029579.tif 000010
【図９】
2002029579.tif 000011
【図１０】
2002029579.tif 000012
【図１１】
2002029579.tif 000013
【図１２】
2002029579.tif 000014
【図１３】
2002029579.tif 000015
【図１７】
2002029579.tif 000016
【図１４】
2002029579.tif 000017
【図１５】
2002029579.tif 000018
【図１６】
2002029579.tif 000019
【図１８】
2002029579.tif 000020
【図１９】
2002029579.tif 000021
【図２０】
2002029579.tif 000022
【図２１】
2002029579.tif 000023
【図２２】
2002029579.tif 000024
【国際調査報告】
2002029579.tif 000025
2002029579.tif 000026
2002029579.tif 000027