"通信ネットワーク内のリンクを経由するフローについて、送信元のIPアドレスおよびポート番号、送信先のIPアドレスおよびポート番号、ならびに通信プロトコルの情報を含むフロー情報を取得する取得部と、前記送信元および前記送信先のうち一方をサーバ、他方をクライアントとして識別し、前記サーバのIPアドレスおよびポート番号、クライアントのIPアドレス、ならびに通信プロトコルが共通する類似フロー情報群を前記フロー情報から抽出する抽出部と、前記クライアントのポート番号が所定の条件を満たす前記類似フロー情報群を動的フロー情報群として識別する識別部と、を備えることを特徴とするフロー監視装置。前記所定の条件は、前記クライアントのポート番号が所定数以上ほぼ連続することを含むことを特徴とする、請求項1に記載のフロー監視装置。前記フロー情報は、通信状態情報を含み、前記所定の条件は、前記クライアントのポート番号がより小さい前記フロー情報では前記通信状態情報が通信の終了を示し、前記クライアントのポート番号がより大きい前記フロー情報では前記通信状態情報が通信の継続を示すことを含むことを特徴とする、請求項2に記載のフロー監視装置。前記通信の終了を示す前記通信状態情報は、通信の正常終了を示す情報であることを特徴とする、請求項3に記載のフロー監視装置。前記取得部は、時系列で前記フロー情報を取得し、前記抽出部は、複数の時刻に取得された前記フロー情報から前記類似フロー情報群を抽出することを特徴とする、請求項1~4のいずれか1項に記載のフロー監視装置。前記識別部は、前記複数の時刻から、前記動的フロー情報群に対応する動的フローの開始および終了の一方または両方を識別することを特徴とする、請求項5に記載のフロー監視装置。前記抽出部は、一の時刻に取得された前記フロー情報から抽出された前記類似フロー情報群が前記動的フロー情報群として識別されない場合に、別の時刻に取得された前記フロー情報から前記類似フロー情報群を抽出することを特徴とする、請求項5に記載のフロー監視装置。前記抽出部は、前記サーバのIPアドレスが共通するという条件に代えて、前記サーバのIPアドレスが所定のIPアドレス群に属するという条件を用いることを特徴とする、請求項1~7のいずれか1項に記載のフロー監視装置。前記動的フロー情報群の属性の特徴についての学習データを生成する学習部と、前記学習データに基づいて、新たに取得されたフロー情報を分類する分類部と、をさらに備えることを特徴とする、請求項1~8のいずれか1項に記載のフロー監視装置。通信ネットワーク内のリンクを経由するフローについて、送信元のIPアドレスおよびポート番号、送信先のIPアドレスおよびポート番号、ならびに通信プロトコルの情報を含むフロー情報を取得するステップと、前記送信元および前記送信先のうち一方をサーバ、他方をクライアントとして識別し、前記サーバのIPアドレスおよびポート番号、クライアントのIPアドレス、ならびに通信プロトコルが共通する類似フロー情報群を前記フロー情報から抽出するステップと、前記クライアントのポート番号が所定の条件を満たす前記類似フロー情報群を動的フロー情報群として識別するステップと、を含むことを特徴とするフロー監視方法。通信ネットワーク内のリンクを経由するフローについて、送信元のIPアドレスおよびポート番号、送信先のIPアドレスおよびポート番号、ならびに通信プロトコルの情報を含むフロー情報を取得する処理と、前記送信元および前記送信先のうち一方をサーバ、他方をクライアントとして識別し、前記サーバのIPアドレスおよびポート番号、クライアントのIPアドレス、ならびに通信プロトコルが共通する類似フロー情報群を前記フロー情報から抽出する処理と、前記クライアントのポート番号が所定の条件を満たす前記類似フロー情報群を動的フロー情報群として識別する処理と、をコンピュータに実行させることを特徴とするプログラム。しかし、近年、トラフィックに含まれる動的フローが増加していることによって、上記の手法によるフローのクラスの識別が難しくなってきている。動的フローは、例えば、Webページの取得におけるAjaxAsynchronousJavaScriptXMLなどを用いた動的なWebページの取得において発生しうる。動的なWebページの取得では、例えば差分データの取得のために複数のセッションが非同期的に発生し、これらの複数のセッションのそれぞれが別個のフローを形成することによって動的フローが発生しうる。また、動的なWebページの取得では、例えばKeep-Aliveと呼ばれる接続の継続のための制御メッセージが送信されるため、それ自体が特に意味を持たないフローが多く発生することによっても動的フローが発生しうる。このように、ユーザ体験の観点からすれば同じWebページの取得にかかわる一連のフローであるが、実態としては別個のフローであるようなフローを、ここでは動的フローという。このような動的フローに対して、例えば特許文献1の技術のように個々のフローを単位とするクラスとフローの特徴との関係を学習した場合、個々のフローの関連性は学習結果に反映されない。それゆえ、例えばユーザの1つの動作に対応する動的フローが、相異なる複数のクラスに分類されてしまうといった状態が生じうる。結果として、例えば、ユーザがどのようなWebページを閲覧しているかといった、ユーザ体験の観点から有意な情報を得ることが困難になる。そこで、本発明は、上記問題に鑑みてなされたものであり、本発明の目的とするところは、動的フローに対応してトラフィックを管理することを可能にする、新規かつ改良されたフロー監視装置、フロー監視方法およびプログラムを提供することにある。上記課題を解決するために、本発明のある観点によれば、通信ネットワーク内のリンクを経由するフローについて、送信元のIPアドレスおよびポート番号、送信先のIPアドレスおよびポート番号、ならびに通信プロトコルの情報を含むフロー情報を取得する取得部と、送信元および送信先のうち一方をサーバ、他方をクライアントとして識別し、サーバのIPアドレスおよびポート番号、クライアントのIPアドレス、ならびに通信プロトコルが共通する類似フロー情報群をフロー情報から抽出する抽出部と、クライアントのポート番号が所定の条件を満たす類似フロー情報群を動的フロー情報群として識別する識別部とを含むことを特徴とするフロー監視装置が提供される。かかる構成によれば、各フローに関するフロー情報から、同じ動的フローに含まれる動的フロー情報群を特定することができ、特定された動的フロー情報群をひとまとまりのフロー情報として扱うことによって、例えば、より適切なトラフィック管理のための情報を得ることができる。上記フロー監視装置において、所定の条件は、クライアントのポート番号が所定数以上ほぼ連続することを含んでもよい。上記フロー監視装置において、フロー情報は、通信状態情報を含み、所定の条件は、クライアントのポート番号がより小さいフロー情報では通信状態情報が通信の終了を示し、クライアントのポート番号がより大きいフロー情報では通信状態情報が通信の継続を示すことを含んでもよい。上記フロー監視装置において、通信の終了を示す通信状態情報は、通信の正常終了を示す情報であってもよい。上記フロー監視装置において、取得部は、時系列でフロー情報を取得し、抽出部は、複数の時刻に取得されたフロー情報から類似フロー情報群を抽出してもよい。上記フロー監視装置において、識別部は、複数の時刻から、動的フロー情報群に対応する動的フローの開始および終了の一方または両方を識別してもよい。上記フロー監視装置において、抽出部は、一の時刻に取得されたフロー情報から抽出された類似フロー情報群が動的フロー情報群として識別されない場合に、別の時刻に取得されたフロー情報から類似フロー情報群を抽出してもよい。上記フロー監視装置において、抽出部は、サーバのIPアドレスが共通するという条件に代えて、サーバのIPアドレスが所定のIPアドレス群に属するという条件を用いてもよい。上記フロー監視装置は、動的フロー情報群の属性の特徴についての学習データを生成する学習部と、学習データに基づいて、新たに取得されたフロー情報を分類する分類部とをさらに含んでもよい。また、上記課題を解決するために、本発明の別の観点によれば、通信ネットワーク内のリンクを経由するフローについて、送信元のIPアドレスおよびポート番号、送信先のIPアドレスおよびポート番号、ならびに通信プロトコルの情報を含むフロー情報を取得するステップと、送信元および送信先のうち一方をサーバ、他方をクライアントとして識別し、サーバのIPアドレスおよびポート番号、クライアントのIPアドレス、ならびに通信プロトコルが共通する類似フロー情報群をフロー情報から抽出するステップと、クライアントのポート番号が所定の条件を満たす類似フロー情報群を動的フロー情報群として識別するステップとを含むことを特徴とするフロー監視方法が提供される。また、上記課題を解決するために、本発明のさらに別の観点によれば、通信ネットワーク内のリンクを経由するフローについて、送信元のIPアドレスおよびポート番号、送信先のIPアドレスおよびポート番号、ならびに通信プロトコルの情報を含むフロー情報を取得する処理と、送信元および送信先のうち一方をサーバ、他方をクライアントとして識別し、サーバのIPアドレスおよびポート番号、クライアントのIPアドレス、ならびに通信プロトコルが共通する類似フロー情報群をフロー情報から抽出する処理と、クライアントのポート番号が所定の条件を満たす類似フロー情報群を動的フロー情報群として識別する処理とをコンピュータに実行させることを特徴とするプログラムが提供される。以上説明したように本発明によれば、動的フローに対応してトラフィックを管理することが可能になる。以下に添付図面を参照しながら、本発明の好適な実施の形態について詳細に説明する。なお、本明細書および図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。第1の実施形態まず、図1~図4を参照して、本発明の第1の実施形態について説明する。フロー監視装置の配置図1は、本発明の第1の実施形態に係るフロー監視装置100の配置を示す図である。図1を参照すると、本実施形態において、フロー監視装置100は、通信ネットワークのリンク10上のルータ20に接続される。リンク10は、通信ネットワーク内のリンクである。ネットワーク上のノード間のトラフィックのうちの少なくとも一部がリンク10を経由する。例えば、リンク10は、比較的多くのトラフィックがそこを経由する、ネットワーク内の主要なリンクであってもよい。後述するように、リンク10を経由するトラフィックは、フロー監視装置100を用いて解析される。ルータ20は、リンク10上に設けられるルータである。ルータ20は、例えばポートミラーリングの機能を有し、リンク10を経由するパケットをコピーしてフロー監視装置100に提供する。なお、ルータ20に代えて、光カプラまたはタップなどの装置がリンク10上に設けられ、リンク10を経由するパケットをフロー監視装置100に向けて分岐させてもよい。これらの装置はフロー監視装置100に含まれてもよく、その場合、フロー監視装置100は、図示されているようなリンク10から分岐した経路上ではなく、リンク10上に設けられてもよい。フロー監視装置100は、リンク10を経由するトラフィックに含まれるフローを監視する装置である。上述のように、フローは、通信プロトコル、送信元および送信先などの特徴が共通するパケットの集合である。フロー監視装置100は、ルータ20から提供されたパケットを解析して取得されたフロー情報のうち、動的フローに対応する動的フロー情報群を識別する。フロー監視装置100は、この動的フロー情報群を単位として、例えば、トラフィックに関する情報を出力したり、フロー情報群の特徴を学習することによって新たに取得されたフローを分類したりしてもよい。フロー監視装置100では、このように動的フローのフロー情報が動的フロー情報群としてまとめて扱われることによって、個々のフローを単位としてフローを監視する場合に比べて、例えばユーザ体験の観点からより有意な情報を取得することが可能になる。なお、フロー監視装置100は、動的フロー以外のフローのために、個々のフローを単位とするフロー監視の機能をあわせて有していてもよい。フロー監視装置の構成図2は、本発明の第1の実施形態に係るフロー監視装置100の機能構成を示すブロック図である。図2を参照すると、フロー監視装置100は、取得部110、記憶部120、抽出部130、および識別部140を含む。なお、取得部110、抽出部130、および識別部140の機能は、例えば、CPUCentralProcessingUnitが記憶部120に格納されたプログラムに従って動作することによって実現されうる。このプログラムは、記憶媒体に格納して提供され、図示しないドライバを介して記憶部120に読み込まれるものであってもよく、また、図示しないネットワークからダウンロードされて記憶部120に格納されるものであってもよい。また、上記各部の機能を実現するために、CPUに代えてDSPDigitalSignalProcessorが用いられてもよい。記憶部120は、例えば半導体メモリ、磁気ディスク、または光学ディスクなどを用いるRAMRandomAccessMemoryまたはROMReadOnlyMemoryとして実現されうる。取得部取得部110は、リンク10を経由するフローについて、送信元のIPInternetProtocolアドレスおよびポート番号、送信先のIPアドレスおよびポート番号、ならびに通信プロトコルの情報を含むフロー情報を取得する。例えば、取得部110は、ルータ20から提供されたパケットのヘッダ情報を読み取ることによって、リンク10を経由する各フローの送信元のIPアドレスおよびポート番号、送信先のIPアドレスおよびポート番号、通信プロトコル、通信状態情報などの情報を取得する。取得部110は、これらの情報を含むフロー情報を、例えば所定の時間ごと、または一のフローが終了したタイミングなどに、記憶部120に格納しうる。フロー情報の例ここで、図3を参照して、取得部110によって取得され、記憶部120に格納されるフロー情報の例について説明する。図3は、本発明の第1の実施形態に係るフロー情報の一例を示す図である。図3を参照すると、フロー情報は、送信元のIPアドレスSource、送信先のIPアドレスDestination、送信元のポート番号SourcePort、送信先のポート番号DestPort、通信プロトコルProtocol、および通信状態情報であるTCPフラグTCPの情報を含む。図示された例のフロー情報は、この他に、アプリケーション層プロトコルApplication、DSCPDifferentiatedServicesCodePoint、ネクストホップNextHop、パケットサイズTrafficinbytes、およびパケット数Noofpacketsの情報を含む。図示されている例では、トランスポート層の通信プロトコル例えばTCPTransmissionControlProtocol、UDPUserDatagramProtocolなど、送信元のIPアドレスおよびポート番号、ならびに送信先のIPアドレスおよびポート番号がそれぞれ共通するパケットの集合が1つのフローであり、フロー情報の各レコードはそれぞれ1つのフローに対応する。また、図3のaおよびbは、取得部110が時系列でフロー情報を取得する場合に、相異なる複数の時刻に取得されたフロー情報をそれぞれ示す。例えば、図3のaは時刻tに取得されたフロー情報であり、bは時刻tΔtに取得されたフロー情報でありうる。なお、時間Δtは、取得部110が時系列でフロー情報を取得する間隔である。図示されたフロー情報では、送信元のIPアドレス、送信先のポート番号、および通信プロトコルが各レコード間で共通するのに対し、送信元のポート番号はそれぞれ異なる。また、送信先のIPアドレスは、一部のレコードでは共通するが、他のレコードでは異なる。送信元のポート番号や送信先のIPレコードが異なるパケットの集合は、互いに異なるフローとみなされるため、フロー情報の複数のレコードが取得される。しかし、例えば、Ajaxなどを用いた動的Webページの取得では、1つのWebページの取得のために、サーバのIPアドレスおよびポート番号、クライアントのIPアドレス、および通信プロトコルが共通で、クライアントのポート番号が異なる動的フローが発生しうる。このような動的フローを考慮すると、図示されたフロー情報によって示される複数のフローのうち、送信元のIPアドレス、送信先のIPアドレスおよびポート番号、ならびに通信プロトコルが共通するフローは、同一の動的フローに含まれるフローである可能性がある。フロー監視装置100は、このようなフローが動的フローに含まれるか否かを識別することによって、動的フローに対応したトラフィックのより適切な管理を実現する。記憶部再び図2を参照して、記憶部120は、トラフィック監視装置100の処理で用いられる各種データを格納する。例えば、記憶部120には、上述のように、取得部110によって取得されたフロー情報が格納される。また、上述のように、記憶部120には、CPUによって実行されて取得部110、抽出部130、および識別部140の機能を実現するプログラムが格納されてもよい。抽出部抽出部130は、取得部110によって取得されて記憶部120に格納されたフロー情報において、送信元および送信先のうち一方をサーバ、他方をクライアントとして識別する。さらに、抽出部130は、サーバのIPアドレスおよびポート番号、クライアントのIPアドレス、ならびに通信プロトコルが共通する類似フロー情報群をフロー情報から抽出する。ここで、抽出部130によって抽出条件として用いられる4つのキーサーバのIPアドレスおよびポート番号、クライアントのIPアドレス、ならびに通信プロトコルは、例えばIPQoSIPQualityofServiceで用いられる5タプル5tuples:サーバのIPアドレスおよびポート番号、クライアントのIPアドレスおよびポート番号、ならびに通信プロトコルから、クライアントのポート番号を除いたものにあたる。本明細書では、以下、この4つのキーを4タプル4tuplesと呼ぶ場合がある。上述のように、動的フローには、サーバのIPアドレスおよびポート番号、クライアントのIPアドレス、および通信プロトコルが共通で、クライアントのポート番号が異なる複数のフローが含まれうる。このような複数のフローは、上記のように、4タプルをキーにした類似フロー情報群の抽出によって抽出されうる。従って、類似フロー情報群は、同じ動的フローに含まれるフローに対応するフロー情報群の候補ともいえる。サーバとクライアントの識別ここで、フロー情報に含まれる送信元および送信先の情報から、送信元および送信先のうちどちらがサーバで、どちらがクライアントであるかを識別する方法の例について説明する。第1の方法の例として、送信元または送信先のうち、特定のポート番号で通信している方をサーバとして識別する方法がある。特定のポートは、例えば、特定のアプリケーションについて予め割り当てられたポート番号でありうる。例えば、TCPやUDPでは、httphypertexttransferprotocolにはポート番号80が、httpshttpoversecuresocketlayerにはポート番号443が、それぞれ割り当てられている。この方法によれば、図3の例では、フロー情報の各レコードの送信先のポート番号DestPortが80であるため、送信先がサーバとして識別されうる。第2の方法の例として、送信元または送信先のうち、ポート番号が不定である方をクライアントとして識別する方法がある。上述のように、動的フローに含まれる各フローの間では、サーバのポート番号が共通で、クライアントのポート番号が異なる場合がある。それゆえ、例えば、フロー情報で、送信元のIPアドレスおよびポート番号、送信先のIPアドレス、ならびに通信プロトコルが共通で、送信先のポート番号が異なる複数のレコードがあれば、送信先がクライアントとして識別されうる。また、逆に、送信元のIPアドレス、送信先のIPアドレスおよびポート番号、ならびに通信プロトコルが共通で、送信元のポート番号が異なる複数のレコードがあれば、送信元がクライアントとして識別されうる。この方法によれば、図3の例では、送信元のIPアドレス、送信先のIPアドレスおよびポート番号、ならびに通信プロトコルが共通で、送信元のポート番号が異なる複数のレコードがあるため、送信元がクライアントとして識別されうる。抽出部130は、例えば、上記の第1および第2の方法の一方または両方を用いて、送信元および送信先のうち一方をサーバ、他方をクライアントとして識別する。例えば、抽出部130は、まず第1の方法を用い、識別できなければ第2の方法を用いてもよく、その逆でもよい。また、抽出部130は、第1の方法と第2の方法とを両方用いて、結果が一致するか確かめてもよい。いずれの場合でも、図3の例では、送信元がクライアント、送信先がサーバとしてそれぞれ識別されうる。識別部識別部140は、抽出部130によって抽出された類似フロー情報群のうち、クライアントのポート番号が所定の条件を満たすフロー情報群を動的フロー情報群として識別する。例えば、識別部140は、類似フロー情報群、すなわち4タプルが共通するフロー情報群について、クライアントのポート番号が所定数以上ほぼ連続する場合に、これらのフロー情報群を動的フロー情報群として識別しうる。ここでいうポート番号がほぼ連続する場合には、ポート番号が間断なく連続している場合に加えて、ポート番号の連続の一部が欠落している場合も含まれうる。例えば、図3の例では、4タプルサーバのIPアドレスDestination/サーバのポート番号DestPort/クライアントのIPアドレスSource/プロトコルの順で表記。以下同様。がyyy.233.183.9/80/192.168.4.100/TCPで共通するフロー情報の中で、クライアントのポート番号が1904,1905,1909,1912,1913,1915のように変化している。この場合、クライアントのポート番号は、1904~1909の間では間断なく連続しているが、1909~1915の間では1910,1911,1914が欠落している。本実施形態では、このようにポート番号の連続の一部が欠落している場合も、ポート番号がほぼ連続する場合に含まれる。どの程度の欠落までをポート番号がほぼ連続するに含めるかは、例えば、欠落したポート番号の数上記の例では欠落したポート番号は最大で2、連続に対する欠落の割合上記の例では1904~1915の間の12のポート番号のうち3つが欠落しており、割合は3/12=0.25などについて、許容されうる値の範囲を予め設定することによって定義されうる。また、ここでいう所定数は、フロー監視装置100に予め設定された値でありうる。例えば、上記の例では、クライアントのポート番号が1904,1905,1909,1912,1913,1915がクライアントのポート番号が所定数以上ほぼ連続するフロー情報群であると判定されているが、この場合、所定数は9以下の数である。また、識別部140は、類似フロー情報群のうち、クライアントのポート番号が所定の条件を満たし、さらに、通信状態情報が所定の条件を満たすフロー情報群を動的フロー情報群として識別してもよい。例えば、識別部140は、類似フロー情報群のうち、クライアントのポート番号がより小さいフロー情報では通信状態情報が通信の終了を示し、クライアントのポート番号がより大きいフロー情報では通信状態情報が通信の継続を示す場合に、これらのフロー情報群を動的フロー情報群として識別してもよい。ここで、本実施形態において、フロー情報に含まれる通信状態情報は、TCPフラグである。TCPフラグは、TCPのコネクションを制御するためのフラグであり、URGUrgent、ACKAcknowledgement、PSHPush、RSTReset、SYNSynchronize、およびFINFinの6種類がある。通信が継続している場合、TCPフラグは、例えばACK,PSHまたはACK,PSH,SYNのようになる。また、通信が正常終了した場合、TCPフラグは、例えばACK,PSH,FINまたはACK,PSH,SYN,FINのようになる。通信が強制終了された場合、TCPフラグは、例えばACK,RSTのようになる。それゆえ、識別部140は、各フロー情報について、ポート番号と、TCPフラグによって示される通信の状態との関係に基づいて、動的フロー情報群を識別する。例えば、図3のaの例で、4タプルがyyy.233.183.9/80/192.168.4.100/TCPで共通するフロー情報のTCPフラグTCPは、いずれもAACK,PPSHまたはA,P,SSYNであり、通信が継続していることが示されている。この場合、各フロー情報のうち、クライアントのポート番号がより小さいフロー情報でも、通信状態情報によって通信の終了が示されていない。従って、識別部140は、これらのフロー情報を動的フロー情報群として識別しない。一方、図3のbの例で、4タプルがyyy.233.183.9/80/192.168.4.100/TCPで共通するフロー情報のTCPフラグTCPは、クライアントのポート番号が1904~1909のフロー情報ではA,P,FFINまたはA,P,S,Fであり、通信が終了したことが示されている。また、クライアントのポート番号が1912,1913,1915のフロー情報ではTCPフラグがA,P,Sであり、通信が継続していることが示されている。この場合、各フロー情報のうちクライアントのポート番号がより小さいフロー情報では通信状態情報によって通信の終了が示され、クライアントのポート番号がより大きいフロー情報では通信状態情報によって通信の継続が示されているといえるため、識別部140は、これらのフロー情報群を動的フロー情報群として識別しうる。さらに、識別部140は、動的フローについての情報を記憶部120に格納してもよい。例えば、識別部140は、識別された動的フロー情報群から、動的フローのサーバのIPアドレス、開始から終了までの継続時間、パケット数、およびパケットサイズなどの情報を取得し、これらの情報を記憶部120に格納してもよい。フロー監視装置の動作図4は、本発明の第1の実施形態に係るフロー監視装置100の動作を示すフローチャートである。まず、取得部110が、フロー情報を取得し、取得したフロー情報を記憶部120に格納するステップS101。取得部110は、フロー情報を、例えば一定時間ごと、または一のフローが終了したタイミングなどに取得し、記憶部120に格納してもよい。続くステップS103以降のステップは、例えばフロー情報の1回の取得ごとに実行されてもよいし、またはフロー情報の複数回の取得ごと、もしくは所定の時間ごとに実行されてもよい。次に、抽出部130が、取得および格納されたフロー情報から類似フロー情報群を抽出するステップS103。抽出部130は、フロー情報に含まれる送信元および送信先のうち一方をサーバ、他方をクライアントとして識別し、サーバおよびクライアントの情報を含む4タプルをキーにして、フロー情報から類似フロー情報群を抽出する。本実施形態において、抽出部130による抽出の対象になるフロー情報は、取得部110がある時刻tに取得したフロー情報でありうる。つまり、本実施形態では、時系列でフロー情報を取得する取得部110が一の時刻tに取得したフロー情報について、類似フロー情報群が抽出され、動的フロー情報群が識別されうる。次に、識別部140が、抽出された類似フロー情報群について、クライアントのポート番号が所定数以上ほぼ連続するか否かを判定するステップS105。上述のように、ポート番号がほぼ連続する場合には、ポート番号の連続の一部が欠落している場合も含まれうる。ここで、類似フロー情報群に含まれるクライアントのポート番号が所定数以上ほぼ連続していると判定された場合、続くステップS107が実行される。一方、類似フロー情報群に含まれるクライアントのポート番号が所定数以上ほぼ連続していないと判定された場合、識別部140は、動的フロー情報群に該当するフロー情報群はなかったとして処理を終了する。次に、識別部140が、類似フロー情報群について、通信状態情報であるTCPフラグが所定の条件を満たすか否かを判定するステップS107。上述のように、TCPフラグの所定の条件は、クライアントのポート番号がより小さいフロー情報では通信の終了が示され、クライアントのポート番号がより大きいフロー情報では通信の継続が示されることでありうる。ここで、類似フロー情報群のTCPフラグが所定の条件を満たすと判定された場合、続くステップS109が実行される。一方、類似フロー情報群のTCPフラグが所定の条件を満たさないと判定された場合、識別部140は、動的フロー情報群に該当するフロー情報群はなかったとして処理を終了する。次に、識別部140が、類似フロー情報群を動的フロー情報群として識別するステップS109。識別部140は、さらに、識別された動的フロー情報群の情報を記憶部120に格納してもよい。第1の実施形態の変形例-1以上で説明した本発明の第1の実施形態において、抽出部130は、フロー情報から類似フロー情報群を抽出するときに、サーバのIPアドレスが共通するという条件に代えて、サーバのIPアドレスが所定のIPアドレス群に属するという条件を用いてもよい。例えば、仮想ネットワークやクラウドコンピューティングが利用される場合には、サーバのIPアドレスも、動的フローに含まれる各フローの間で異なりうる。抽出部130が、4タプルのうちサーバのIPアドレスについて、共通するという条件に代えて、IPアドレスが所定のIPアドレス群に属するという条件を用いることによって、上記のような動的フローをより適切に検出することが可能になる。所定のIPアドレス群は、例えば、例えば同じアドレス空間に含まれるIPアドレス群でありうる。例として、図3にある送信先のIPアドレスDestinationのうち、yyy.233.183.1とyyy.233.183.9とは、/24255.255.255.0のセグメントで考えれば、同じアドレス空間に含まれるIPアドレス群である。また、所定のIPアドレス群は、例えば、サービスについて予め登録されたIPアドレス群であってもよい。例として、図3にある送信先のIPアドレスDestinationのうち、zzz.125.19.10とyyy.233.183.1とyyy.233.183.9とが、いずれもあるサービスに用いられる仮想的なサーバのIPアドレスであることが知られていれば、これらのIPアドレスを含むIPアドレス群を予め登録して記憶部120などに格納し、抽出部130による抽出の条件として用いてもよい。第1の実施形態の変形例-2以上で説明した本発明の第1の実施形態において、識別部140は、類似フロー情報群に含まれるフロー情報の通信状態情報であるTCPフラグが所定の条件を満たすかを判定するときに、クライアントのポート番号がより小さいフロー情報ではTCPフラグが通信の正常終了を示すことを条件にしてもよい。上述のように、通信が終了したことを示すTCPフラグには、ACK,PSH,FINまたはACK,PSH,SYN,FINなどの他に、ACK,RSTなどもある。ここで、FINによって通信の終了が示されるTCPフラグは、通信の正常終了を示し、RSTによって通信の終了が示されるTCPフラグは、通信の強制終了を示すものでありうる。本変形例において、識別部140は、これらのTCPフラグのうち、FINによって通信の終了が示されるTCPフラグを、通信の終了を示す通信状態情報として動的フロー群の識別に用いる。上記の構成は、例えば、動的フロー群として識別されるフロー情報から、ポートスキャンのための通信によって発生するフロー情報を除外するために有効な構成である。ポートスキャンのための通信は、複数のフローについて、フロー情報の4タプルが共通し、クライアント側のポート番号が連続的に変化するという点で動的フロー群と類似している。しかし、ポートスキャンのための通信における複数のフローのフロー情報におけるTCPフラグでは、SYNに対してRSTが多数であったり、FINによる通信の終了が見られなかったり、特定のフラグが連続し続けたりするという特徴がある。本変形例では、動的フロー情報群で通信の終了を示す通信状態情報を、通信の正常終了を示すFINを含むTCPフラグに限定することによって、連続フロー情報群とポートスキャンのための通信によって発生する情報とが識別されうる。第2の実施形態次に、図5を参照して、本発明の第2の実施形態について説明する。なお、本発明の第2の実施形態は、上述した第1の実施形態に比べて、フロー監視装置の動作について相違するが、その他の構成については、上述した第1の実施形態変形例を含むと略同一であるため、ここでは詳細説明を省略する。フロー監視装置の動作図5は、本発明の第2の実施形態に係るフロー監視装置100の動作を示すフローチャートである。まず、取得部110が、フロー情報を取得し、取得したフロー情報を記憶部120に格納するステップS201。取得部110は、フロー情報を、例えば一定時間ごと、または一のフローが終了したタイミングなどに取得し、記憶部120に格納しうる。続くステップS203以降のステップは、例えばフロー情報の1回の取得ごとに実行されてもよいし、またはフロー情報の複数回の取得ごと、もしくは所定の時間ごとに実行されてもよい。次に、抽出部130が、取得および格納されたフロー情報のうち、時刻tに取得されたフロー情報から、類似フロー情報群を抽出するステップS203。抽出部130は、フロー情報に含まれる送信元および送信先のうち一方をサーバ、他方をクライアントとして識別し、サーバおよびクライアントの情報を含む4タプルをキーにして、フロー情報から類似フロー情報群を抽出する。次に、識別部140が、抽出された類似フロー情報群について、クライアントのポート番号が所定数以上ほぼ連続するか否かを判定するステップS205。上述のように、ポート番号がほぼ連続する場合には、ポート番号の連続の一部が欠落している場合も含まれうる。ここで、類似フロー情報群に含まれるクライアントのポート番号が所定数以上ほぼ連続していると判定された場合、続くステップS207が実行される。一方、類似フロー情報群に含まれるクライアントのポート番号が所定数以上ほぼ連続していないと判定された場合、識別部140は、動的フロー情報群に該当するフロー情報群はなかったとして処理を終了する。次に、識別部140が、類似フロー情報群について、通信状態情報であるTCPフラグが所定の条件を満たすか否かを判定するステップS207。上述のように、TCPフラグの所定の条件は、クライアントのポート番号がより小さいフロー情報では通信の終了が示され、クライアントのポート番号がより大きいフロー情報では通信の継続が示されることでありうる。ステップS207において、類似フロー情報群のTCPフラグが所定の条件を満たすと判定された場合、次に、識別部140は、類似フロー情報群を動的フロー情報群として識別するステップS209。識別部140は、さらに、識別された動的フロー情報群の情報を記憶部120に格納してもよい。一方、ステップS207において、類似フロー情報群のTCPフラグが所定の条件を満たさないと判定された場合、次に、識別部140は、時刻tを更新するステップS211。更新された時刻tは、例えば時刻tから時間Δt後の時刻tΔtでありうる。なお、時間Δtは、取得部110が時系列でフロー情報を取得する間隔でありうる。続いて、更新された時刻tを用いて、上述のステップS203以降の処理が繰り返し実行される。上記のようなフロー監視装置100の動作によって、例えば、ある時刻tに取得されたフロー情報から抽出された類似フロー情報群が動的フロー情報群として識別されない場合に、別の時刻例えば時刻tΔtに取得されたフロー情報からフロー情報から類似フロー情報群が抽出される。動的フローでは、例えば、あるタイミングでは複数のフローのほとんどで通信が継続していて、その後、クライアントのポート番号がより小さいフローから通信が終了していくような場合がある。本実施形態の構成によれば、このような場合に、一の時刻だけではなく他の時刻でも類似フロー情報群の抽出と動的フロー情報群の識別とが実行されることによって、動的フローをより確実に検出することが可能になる。例えば、図3の例で、時刻tにaのフロー情報が取得され、時刻tΔtにbのフロー情報が取得されたとする。この場合、時刻tに取得されたaのフロー情報では、4タプルがyyy.233.183.9/80/192.168.4.100/TCPで共通する類似フロー情報群について、TCPフラグが通信の終了を示しているフロー情報がないため、識別部140はこれらのフロー情報群を動的フロー情報群として識別しない。本実施形態では、ここで、類似フロー情報群の抽出対象になる時刻tが更新され、例えば時刻tΔtに取得されたbのフロー情報が次の処理対象になる。時刻tΔtに取得されたbのフロー情報では、4タプルがyyy.233.183.9/80/192.168.4.100/TCPで共通する類似フロー情報群について、クライアントのポート番号が1904~1909のフロー情報で、TCPフラグがA,P,S,FまたはA,P,Fとなり、通信の終了を示している。そこで、識別部140はこれらのフロー情報群を動的フロー情報群として識別する。また、上記のようなフロー監視装置100の動作によって、例えば、動的フローの開始または終了を識別することも可能になる。例えば、4タプルがある値で共通するフロー情報群について、最初のフロー情報群が検出された時点が動的フローの開始として識別されうる。また、例えば、クライアントのポート番号がより小さいフロー情報から順に通信が終了していき、ポート番号が最大のフロー情報まで通信が終了した時点が、動的フローの終了として識別されうる。動的フローの終了を識別する場合、図5のステップS209の後に、例えば動的フローが終了したという判定処理が追加され、動的フローが終了したと判定されるまでステップS211およびステップS203~S209の処理が繰り返されてもよい。第3の実施形態次に、図6を参照して、本発明の第3の実施形態について説明する。なお、本発明の第3の実施形態は、上述した第1および第2の実施形態に比べて、フロー監視装置に追加される機能構成について相違するが、その他の構成については、上述した第1および第2の実施形態変形例を含むと略同一であるため、ここでは詳細説明を省略する。フロー監視装置の構成図6は、本発明の第3の実施形態に係るフロー監視装置200の機能構成を示すブロック図である。図6を参照すると、フロー監視装置200は、取得部110、記憶部120、抽出部130、識別部140、学習部250、および分類部260を含む。なお、学習部250、および分類部260の機能は、例えば、CPUが記憶部120に格納されたプログラムに従って動作することによって実現されうる。このプログラムは、図示しない記憶媒体に格納して提供されたものであってもよく、また同じく図示しないネットワークからダウンロードされたものであってもよい。また、上記各部の機能を実現するために、CPUに代えてDSPが用いられてもよい。また、取得部110、記憶部120、抽出部130、および識別部140は、上述した第1の実施形態に係るフロー監視装置100における同様の部分と略同一の機能構成を有するため、ここでは詳細説明を省略する。学習部学習部250は、識別部140によって識別された動的フロー情報群の属性の特徴についての学習データを生成する。学習部250は、生成した学習データを記憶部120に格納してもよい。例えば、学習部250は、識別部140によって識別された動的フロー情報群から取得される動的フローのサーバのIPアドレス、開始から終了までの継続時間、パケット数、およびパケットサイズなどの特徴についての学習データを生成してもよい。分類部分類部260は、学習部250が生成した学習データに基づいて、例えば取得部110によって新たに取得されたフロー情報を分類する。例えば、分類部260は、フロー情報の分類に単純ベイズ分類器などの分類器を用いてもよい。この場合、分類部260は、学習部250によって生成された学習データを分類器の教師あり学習に用いてもよい。例えば、学習データが、サーバのIPアドレス、開始から終了までの持続時間、パケット数、およびパケットサイズを含む場合、分類部260は、新たに取得されたフロー情報について、サーバのIPアドレス、開始から終了までの持続時間、パケット数、およびパケットサイズが学習データと共通の特徴を示す場合に、これらのフロー情報を以前に取得された動的フロー情報群と同様の動的フローに対応するフロー情報として分類しうる。上記のようなフロー監視装置200の構成によって、例えば、フローの継続時間が長かったり、暗号化通信されたりして異常の検出が困難な動的フローについても、例えば分類部260によってどこにも分類されないなどの基準に基づいて異常を検出することが可能になる。補足以上、添付図面を参照しながら本発明の好適な実施形態について詳細に説明したが、本発明はかかる例に限定されない。本発明の属する技術の分野における通常の知識を有する者であれば、特許請求の範囲に記載された技術的思想の範疇内において、各種の変更例または修正例に想到しうることは明らかであり、これらについても、当然に本発明の技術的範囲に属するものと了解される。"