"第1のネットワークで発生した不正パケットを抽出する不正パケット抽出装置において、前記第1のネットワークで通信されるパケットを取得し、取得した前記パケットを少なくとも前記第1のネットワークから第2のネットワークに向かうパケットのタイプを含む複数のタイプに分類するパケットキャプチャ部と、該パケットキャプチャ部により分類された前記パケットのうち前記第1のネットワークから前記第2のネットワークに向かう前記パケットが存在する場合に、該パケットに対応した応答パケットが存在するか否かを検査して判定を行うパケット検査部と、該パケット検査部により判定された前記パケットと、該パケットの前記応答パケットが存在するか否かの判定結果を示す判定情報とを対応付けて記憶する記憶部と、該記憶部に記憶されている前記パケットの前記判定情報に基づいて該パケットが不正パケットであるか否かを判定して出力するメモリ管理部とを備えることを特徴とする不正パケット抽出装置。前記記憶部は、前記パケットキャプチャ部により分類された前記パケットを、前記応答パケットが存在するか否かを検査する際に用いる対応判定用パケットとして記憶し、前記パケット検査部は、前記第1のネットワークから前記第2のネットワークに向かう前記パケットに対応する前記応答パケットが存在するか否かを、前記記憶部に記憶されている前記対応判定用パケットを検索することにより検査することを特徴とする請求項1に記載の不正パケット抽出装置。前記パケット検査部は、前記応答パケットが存在しない場合には前記第1のネットワークから前記第2のネットワークに向かう前記パケットの前記判定情報を非対応として前記記憶部に記憶し、前記対応パケットが存在する場合には前記第1のネットワークから前記第2のネットワークに向かう前記パケットの前記判定情報を対応として前記記憶部に記憶し、前記メモリ管理部は、前記記憶部に記憶されている前記パケットの前記判定情報が非対応である場合には該パケットを不正パケットであると判定することを特徴とする請求項1または請求項2に記載の不正パケット抽出装置。前記不正パケットは、前記第1のネットワークから前記第2のネットワークに通信されるパケットと、前記第1のネットワークと前記第2のネットワークとの境界部に設けられたファイヤーウォールで遮断されるパケットであることを特徴とする請求項3に記載の不正パケット抽出装置。前記記憶部は、複数のメモリを有し、前記メモリ管理部は、前記複数のメモリをリングバッファにより管理し、前記複数のメモリで一番古いメモリに格納されている前記パケットの前記判定情報を確認して記パケットを不正パケットであるか否かを判定することを特徴とする請求項1から請求項4の何れか一項に記載の不正パケット抽出装置。しかしながら、上記従来の不正パケット抽出装置や特許文献1等に開示される侵入監視方法では、以下のような問題がある。1特許文献1等に開示される侵入監視方法では、ファイヤーウォールで廃棄および通過の両方のログを取る必要がある。そのため、両方のログを取らなければならないので、ファイヤーウォールに負荷がかかるという問題がある。2ファイヤーウォールのログの分析において、廃棄ログについては不正なログあることが容易に判断できるが、通過ログについては対応の確認を行う必要がある対応作業。この対応作業には、通信の流れを組み立てて分析する必要があり、高い技能が要求されるので、分析者の負担が増えてしまうという問題がある。3ファイヤーウォールのログフォーマットは、ファイヤーウォールを提供するベンダ毎に異なっているため、各ベンダ毎にログを解釈するアプリケーションを開発しなければならず、高い開発コストがかかるという問題がある。そこで、本発明は、上記課題に鑑みてなされたものであり、自動的に不正パケットを抽出することが可能なパケット抽出装置を提供することを目的とする。上記課題を解決するために、本発明に係る不正パケット抽出装置は、第1のネットワークで発生した不正パケットを抽出する不正パケット抽出装置において、第1のネットワークで通信されるパケットを取得し、取得したパケットを少なくとも第1のネットワークから第2のネットワークに向かうパケットのタイプを含む複数のタイプに分類するパケットキャプチャ部と、パケットキャプチャ部により分類されたパケットのうち第1のネットワークから第2のネットワークに向かうパケットが存在する場合に、このパケットに対応した応答パケットが存在するか否かを検査して判定を行うパケット検査部と、パケット検査部により判定されたパケットと、このパケットの応答パケットが存在するか否かの判定結果を示す判定情報とを対応付けて記憶する記憶部と、記憶部に記憶されているパケットの判定情報に基づいてこのパケットが不正パケットであるか否かを判定して出力するメモリ管理部とを備えるものである。本発明において、不正パケットとは、想定外の通信を意味しており、ボット、スパイウエア、ワームウイルスなどのマルウエアによりユーザの意思に関係なく行われる通信や、設定ミスに由来する通信等を含むものである。具体的には、第1のネットワークから第2のネットワークへ通信されるパケットに対して応答パケットの存在しない通信や、第1のネットワークから第2のネットワークに向かい、ファイヤーウォールで遮断される通信等が挙げられる。本発明によれば、第1のネットワーク内で通信されるパケットを取得することで不正パケットを自動的に抽出することができる。その結果、従来のようにファイヤーウォールのログ解析作業をする必要がなくなるので、作業負担の軽減を図ることができると共に、開発の低コスト化を図ることができる。以下、発明を実施するための最良の形態以下実施の形態とするについて説明する。[ネットワークシステムの構成例]図1は、本発明に係るネットワークシステム200の構成の一例について説明する。図1に示すように、ネットワークシステム200は、上位ネットワーク第2のネットワーク60と下位ネットワーク第1のネットワーク70とファイヤーウォール20とスイッチ30と複数のコンピュータ50a,50bと不正パケット抽出装置10とを備えている。上位ネットワーク60は、下位ネットワーク70のデフォルトゲートウェイの先の外部ネットワークである。下位ネットワーク70は、例えば組織内のイントラネットである。下位ネットワーク70内には、スイッチ30と複数のコンピュータ50a,50bと不正パケット抽出装置10とが設置されている。ファイヤーウォール20は、上位ネットワーク60と下位ネットワーク70との境界部に設置され、一端が上位ネットワーク60に接続されると共に他端がスイッチ30の例えば通信ポート30aに接続され、上位ネットワーク60から下位ネットワーク70に向かうパケットおよび下位ネットワーク70から上位ネットワーク60に向かうパケットを監視して不正なパケットを検出遮断する。例えば、ファイヤーウォール20は、宛先や送信元のIPアドレス、ポート番号などを監視し、予め設定した条件によって、その通信を受け入れる、廃棄する、拒否する等の動作によりパケット通信を制御する。なお、本例においてファイヤーウォール20は、ルーティング機能を備えているものとする。スイッチ30は、コンピュータ50a,50bや上位ネットワーク60から供給されるパケットのスイッチング制御等を行うものであり、複数の通信ポート30a~30dとミラーポート30eとを有している。ミラーポート30eは、ネットワーク監視用のポートであり、スイッチ30の通常の通信ポート30a~30dを通過する全てのパケットデータを複製して、ミラーポート30eに接続される不正パケット抽出装置10に供給する。なお、スイッチ30の通信ポート30bにはプラントネットワークが接続される。コンピュータ50aは、スイッチ30の例えば通信ポート30cに接続され、スイッチ30およびファイヤーウォール20を介して上位ネットワーク60や下位ネットワーク内のコンピュータ50b、ファイヤーウォール20等と双方向のパケット通信を行う機能を有する。コンピュータ50bはコンピュータ50aと同様の構成であるため、説明を省略する。不正パケット抽出装置10は、スイッチ30のミラーポート30eにLAN等のケーブルを介して接続され、スイッチ30を通過する全てのパケットを検査することにより下位ネットワーク70内に流れる想定外の通信不正パケットを含むを検出する。[不正パケット抽出装置の構成例]図2は、不正パケット抽出装置10のブロック構成の一例を示している。図2に示すように、不正パケット抽出装置10は、パケットキャプチャ部100とパケット検査部102とメモリ管理部104とパケット情報用メモリ106とログ用メモリ108とを備えている。これらのパケットキャプチャ部100、パケット検査部102およびメモリ管理部104は、例えばCPUCentralProcessingUnit等の演算処理回路から構成できる。パケットキャプチャ部100は、スイッチ30のミラーポート30eから入力されるトラフィックとしてのパケットを取得して、取得したパケットのヘッダのIPアドレスやMACアドレスを検査することで、ファイヤーウォール20との通信方向の関係において複数のタイプに分類する。このように、下位ネットワーク70で通信される全てのパケットを複数のタイプに分類することで、想定外の通信に該当するパケット候補を抜き出す処理を行う。また、パケットキャプチャ部100は、分類したパケットと、このパケットの分類結果とを対応づけてパケット検査部102に出力する。ここで、パケットのタイプについて説明する。図3A~図3Fは、ファイヤーウォール20との関係におけるパケットのタイプを説明するための図である。ファイヤーウォール20には、下位ネットワーク70側のNIC20aと上位ネットワーク60側のNIC20bとが設けられる。パケットのタイプは、図3A~図3Fおよび下記表1に示すように、例えば6タイプに分類される。第1のタイプT1は、図3Aおよび表1に示すように、プラントネットワークまたはコンピュータ群から上位ネットワークへの通信である。第1のタイプT1に分類されるパケットをパケットP1と呼ぶ。第2のタイプT2は、図3Bおよび表1に示すように、上位ネットワークから、プラントネットワークまたはコンピュータ群への通信である。第2のタイプT2に分類されるパケットをパケットP2と呼ぶ。第3のタイプT3は、図3Cおよび表1に示すように、プラントネットワークとスイッチに接続されたコンピュータ群、および、コンピュータ群同士の通信である。第3のタイプT3に分類されるパケットをパケットP3と呼ぶ。第4のタイプT4は、図3Dおよび表1に示すように、プラントネットワークまたはコンピュータ群から上位ネットワークに向かい、ファイヤーウォールで遮断ブロックされる通信である。第4のタイプT4に分類されるパケットをパケットP4と呼ぶ。第5のタイプT5は、図3Eおよび表1に示すように、ファイヤーウォール自身への通信である。第5のタイプT5に分類されるパケットをパケットP5と呼ぶ。第6のタイプT6は、図3Fおよび表1に示すように、ファイヤーウォール自身からの通信である。第6のタイプT6に分類されるパケットをパケットP6と呼ぶ。ここで、想定外の通信としては、コンピュータ群から上位ネットワークに通信送信されるタイプT1のパケットP1のうち対応した返信パケットが存在しないパケット、および、コンピュータ群から上位ネットワークに向かい、ファイヤーウォールで遮断ブロックされるタイプT4のパケットP4が該当する。本例では、分類結果により、想定外の通信の候補となるタイプT1のパケットP1とタイプT4のパケットP4とが混在してしまう。そのため、これらの中から想定外の通信を分離するために、タイプT1、タイプT2およびタイプT4のパケットPをパケット検査部102に出力する。図2に戻り、パケット検査部102は、パケットキャプチャ部100で分類されて入力される想定外の通信の候補となるパケットのオブジェクトを作成する。そして、この作成したオブジェクトのうち下位ネットワーク70から上位ネットワーク60に向かうパケットに対応した応答パケットが存在しないものをパケット情報用メモリ106の対応判定用オブジェクトを参照して検査し、その検査結果をパケット情報用メモリ106に書き込む処理を行う。これにより、パケットキャプチャ部100から入力されるタイプ1とタイプ4の混在した結果から、タイプ1のパケットP1に対応するタイプ2のパケットP2が存在しないものを探すことで、想定外の通信を検索できる。ここで、入力パケットデータのオブジェクトは、パケットそのものと判定結果とを有している。パケットそのものは、パケットの向き、送信元IPアドレス、送信先IPアドレス、送信元ポート、送信先ポートおよびプロトコル種別等のパケット情報で構成される。判定結果は、タイプT1のパケットP1に対応するタイプT2のパケットP2が存在する場合には対応を示す情報となり、存在しない場合には非対応を示す情報となる。本例では、初期値を非対応に設定している。対応判定用オブジェクトとは、タイプT1に分類された入力パケットP1に対応するパケットが存在するか否かを判定する際に用いられるパケットであり、例えば、パケットキャプチャ部100から入力されるタイプT1のパケットP1、タイプT2のパケットP2およびタイプT4のパケットP4が対応判定用オブジェクトの対象となる。対応判定用オブジェクトは、入力パケットPのオブジェクトと同様に、パケットの向き、送信元IPアドレス、送信先IPアドレス、送信元ポート、送信先ポートおよびプロトコル種別等のパケット情報で構成される。パケット情報用メモリ106は、例えば、不揮発性の半導体メモリやHDDHardDiskDrive等から構成されている。図4は、パケット情報用メモリ106の構成の一例を示している。パケット検査部102で作成されたパケットデータのオブジェクトや、対応判定用オブジェクト等のパケット情報を格納するための複数個のメモリ106a~106gを有している。本例では7個のメモリ106a~106gで構成したが、この個数に限定されるものではない。メモリ106a~106gのそれぞれには、入力されるパケットのオブジェクトが格納されるパケットデータオブジェクト部Maと、対応判定用オブジェクトが格納される対応判定用オブジェクト部Mbとが設けられている。ログ用メモリ108は、例えば不揮発性の半導体メモリやHDD等から構成され、メモリ管理部104の書き込み制御によりパケット情報用メモリ106から出力される想定外の通信が検出されたと判定されたパケットデータのオブジェクトを格納する。ユーザまたはコンピュータ等の情報処理装置は、このログ用メモリ108に格納されたパケットを確認することにより、下位ネットワーク70内で想定外の通信が発生したことを確認できる。なお、ログ用メモリ108は、パケット情報用メモリ106内に設けても良い。メモリ管理部104は、パケット情報用メモリ106およびログ用メモリ108を管理するための装置であり、パケット情報用メモリ106のメモリ106a~106gをポインタを用いたリングバッファによりメモリ管理する図7参照。例えば、メモリ管理部104は、N秒間隔で、パケット情報を書き込むメモリおよびパケット情報を削除読み出すするメモリを移動し、パケット情報用メモリ106のうち一番古いメモリが削除される時間がきたとき、このメモリ内の判定結果を確認し、非対応なっているパケットを想定外の通信が検出されたという判定にしてログ用メモリ108に出力する。[パケットキャプチャ部の動作例]次に、パケットキャプチャ部100の動作の一例について説明する。図5は、パケットキャプチャ部100が入力パケットのタイプを分類するときの動作の一例を示すフローチャートである。下記表2は、図5で使用している記号とその意味の対応関係を示している。図5に示すように、ステップS100でパケットキャプチャ部100は、スイッチ30を介して入力されたパケットPのヘッダを検査し、入力パケットの送信元MACアドレスがファイヤーウォール20のNIC20bのMACアドレスと一致しているか否かを判断する。パケットキャプチャ部100は、入力パケットの送信元MACアドレスがファイヤーウォール20のMACアドレスと一致していると判断した場合にはステップS110に進み、一致していないと判断した場合にはステップS120に進む。ステップS110でパケットキャプチャ部100は、入力パケットのヘッダを検査し、入力パケットの送信元IPアドレスがファイヤーウォール20のNIC20bのIPアドレスと一致しているか否かを判断する。パケットキャプチャ部100は、入力パケットの送信元IPアドレスがファイヤーウォール20のIPアドレスと一致していると判断した場合には、入力パケットをタイプT6に分類する。一方、入力パケットの送信元IPアドレスがファイヤーウォール20のIPアドレスと一致していないと判断した場合には、入力パケットをタイプT2に分類する。送信元MACアドレスとファイヤーウォール20のMACアドレスが不一致であると判断した場合、パケットキャプチャ部100は、ステップS120で送信先MACアドレスがファイヤーウォール20のMACアドレスと一致しているか否かを判断する。パケットキャプチャ部100は、送信先MACアドレスがファイヤーウォール20のMACアドレスと一致していると判断した場合にはステップS130に進み、送信先MACアドレスがファイヤーウォール20のMACアドレスと一致していないと判断した場合には入力パケットをタイプT3に分類する。ステップS130でパケットキャプチャ部100は、入力パケットのヘッダを検査し、入力パケットの送信先IPアドレスがファイヤーウォール20のNIC20bのIPアドレスと一致しているか否かを判断する。パケットキャプチャ部100は、入力パケットの送信先IPアドレスがファイヤーウォール20のIPアドレスと一致していると判断した場合には、入力パケットをタイプ5に分類する。一方、入力パケットの送信先IPアドレスがファイヤーウォール20のIPアドレスと一致していない判断した場合には、入力パケットをタイプT1またはT4に分類する。このように、ファイヤーウォール20のIPアドレス、MACアドレスとファイヤーウォール20のIPアドレス、MACアドレスとによりパケットのヘッダを検査して行くと、パケットのタイプT2,T3,T5,T6は容易に分離できる。また、パケットのタイプT1,T4については混在した結果が得られる。そのため、以下のパケット検査部102では、パケットのタイプT1,T4が混在した結果から、タイプT1に対応するタイプT2が存在しないものを探すことで、想定外の通信を特定する。パケットのタイプT4については、ファイヤーウォール20で遮断されるので、対応するパケットが存在しないことは明らかであるからである。したがって、本例では、混在した結果から想定外の通信を抜き出すため、6分類したパケットのタイプのうち例えばタイプT1,T2,T4に分類されたパケットP1、P2,P4をパケット検査部102に出力する。[パケット検査部の動作例]次に、パケット検査部102の動作の一例について説明する。図6は、パケットキャプチャ部100から入力されるパケットのうち、想定外の通信のパケットを検出する際のパケット検査部102の動作の一例を示すフローチャートである。図6に示すように、ステップS200でパケット検査部102は、パケットキャプチャ装置から入力されたパケットから、パケットデータのオブジェクトを作成する。例えば、パケット検査部102は、パケットキャプチャ部100から想定外の通信の候補となるパケットP1,P2,P4が入力されると、これらのパケットP1,P2,P4のオブジェクトを作成する。ステップS210でパケット検査部102は、入力されたパケットのオブジェクトに関連した対応判定用オプジェクトを、パケット情報用メモリ106のメモリ106a~106gの中から検索する。ここで、入力パケットのオブジェクトの内容と対応判定用オブジェクトの内容の一例を下記表3に示す。また、表3のパケットの向きについての詳細を下記表4に示す。表4は、ファイヤーウォール20のNIC20bのMACアドレス使用したパケットの向きの判定方法を示している。パケット検査部102は、入力されたパケットのオブジェクトに対して、下記表5に示す条件Aまたは条件Bの関係を満たす対応判定用オブジェクトをパケット情報用メモリ106のメモリ106a~106gの中から検索する。条件Aとは、表5に示すように、2つのパケットが同じセッションで同じ向きの関係にある場合であり、例えば、下位ネットワーク70から上位ネットワーク60に送信されるパケットが何らかの障害により中断した場合に、同一パケットが再送信されるようなパケットを含んでいる。条件Bとは、表5に示すように、2つのパケットが同じセッションで対応関係にある反対向きにある場合であり、例えば、下位ネットワーク70から上位ネットワーク60に送信されるパケットに応答して、上位ネットワーク60から下位ネットワーク70に向かう返信パケットである。ステップS220でパケット検査部102は、検索結果に基づいて、入力されたパケットのオブジェクトに関連する対応判定用オブジェクトが、パケット情報用メモリ106のメモリ106a~106gの中に存在するか否かを判断する。本例では、例えば、タイプ1のパケットP1、タイプ4のパケットP4が表5の条件A、条件Bの条件を満たすものとする。パケット検査部102は、入力パケットのオブジェクトに関連する対応判定用オブジェクトがパケット情報用メモリ106に存在すると判断した場合にはステップS230に進み、入力パケットのオブジェクトに関連する対応判定用オブジェクトがパケット情報用メモリ106に存在しないと判断した場合にはステップS280に進む。関連する対応判定用オブジェクトが存在しない場合、ステップS280でパケット検査部102は、対応判定用のオブジェクトを作成する。例えば、パケット検査部102は、パケットキャプチャ部100から入力されるパケットP1,P2,P4の対応判定用オブジェクトを作成する。この対応判定用オブジェクトは、表3に示したパラメータを有している。対応判定用のオブジェクトを作成したらステップS290に進む。ステップS290でパケット検査部102は、作成した対応判定用のオブジェクトを、パケット情報用メモリ106のメモリ106a~106gのうちリングバッファで管理される最新のメモリに書き込む。対応判定用オブジェクトをパケット情報用メモリ106に書き込んだらステップS270に進む。一方、関連する対応判定用オブジェクトが存在する場合、ステップS230でパケット検査部102は、入力パケットのオブジェクトに関連する対応判定用オブジェクトをパケット情報用メモリ106のメモリ106a~106gのうち最新のメモリに移動する。これは、パケット情報用メモリ106がリングバッファにより管理されるため、古いメモリから所定時間おきにデータが削除されてしまうからである。対応判定用オブジェクトの移動が完了したらステップS240に進む。ステップS240でパケット検査部102は、入力されたパケットのオブジェクトと、対応判定用オブジェクトとの対応関係が成立するか否かを検査する。パケット検査部102は、入力されたパケットと対応判定用オブジェクトに関して、表5中の条件Bが成立するか否かを検査する。すなわち、入力されたパケットのオブジェクトがタイプT1のパケットP1であって、かつ、対応判定用オブジェクトがタイプT2のパケットP2であるか否かを検査する。検査が終了したらステップS250に進む。ステップS250でパケット検査部102は、検査結果に基づいて、入力されたパケットのオブジェクトと対応判定用オブジェクトとの対応関係が成立するか否かを判断する。パケット検査部102は、入力されたパケットのオブジェクトに対応する対応判定用オブジェクトが存在する、つまり、表5の条件Bを満たしていると判断した場合にはステップS260に進む。例えば、入力されたパケットP1でこれに対応するパケットP2が存在した場合である。一方、入力されたパケットのオブジェクトに対応する対応判定用オブジェクトが存在しない、つまり、表5の条件Bを満たしていないと判断した場合にはステップS270に進む。対応関係が成立すると判断した場合、ステップS260でパケット検査部102は、入力されたパケットのオブジェクトの判定結果の項目内容を更新する。具体的には、この場合のパケットは想定外の通信ではないので、判定結果の項目内容を初期値の非対応から対応に書き換えて更新する。同様に、入力されたパケットと表3に示す同じパラメータを有するパケット情報用メモリ106の全てのパケットについても、判定結果を更新する。判定結果の項目内容を更新したらステップS270に進む。最後に、ステップS270でパケット検査部102は、オンジェクトの存在や対応関係の成立が判断された入力パケットを、パケット情報用メモリ106のメモリ106a~106gの最新のメモリに書き込む。例えば、対応関係が成立した入力パケットP1のオブジェクトについては判定結果が対応とされたオブジェクトが保存され、対応関係が成立していない入力パケットP1,P4のオブジェクトについては判定結果が初期値の非対応のままのオブジェクトが保存される。このような一連の動作により、タイプ1とタイプ4とが混在した状態から、タイプ1に対応するタイプ2が存在するものを検出することができ、その結果、想定外の通信のパケットを抽出することができる。[メモリ管理部の動作例]次に、パケット情報用メモリ106を管理する場合のメモリ管理部104の動作の一例について説明する。図7および図8は、パケット情報用メモリ106のリングバッファの動作を説明するための図を示している。なお、本例では、メモリ106cに書き込みポインタを設定すると共にメモリ106bに読み込みポインタを設定している。したがって、メモリ106cに書き込まれるデータが最も新しいパケットデータであり、メモリ106bに書き込まれるデータが最も古いパケットデータとなる。メモリ管理部104は、書き込みポインタが設定されているメモリ106cに、パケットデータオブジェクトおよび対応判定用オブジェクトを、N正の整数秒間書き込む。例えば、メモリ管理部104は、パケット検査部102からパケットデータが供給された場合に、メモリ106cにパケットデータを書き込む。そして、N秒間が経過したら、図7に示す反時計回り方向に隣接したメモリ106bに書き込みポインタを移動し、N秒間、パケットデータのオブジェクトおよび対応判定用オブジェクトをメモリ106b図8の点線部に書き込む。このような書き込み処理をN秒間隔で行う。一方、メモリ管理部104は、読み込みポインタが設定されたメモリ106bに保存されているパケットデータのオブジェクトに関して、判定結果を確認する。そして、メモリ管理部104は、判定結果が非対応となっているパケットデータのオブジェクトを読み出し、この読み出したパケットデータのオブジェクトについては想定外の通信が検出されたという判定にしてログ用メモリ108に記録する。N秒間が経過したら、メモリ106cの保存期間が経過したと判断してメモリ106b内のデータを削除すると共に、図7に示す反時計回りに隣接したメモリ106aに読み込みポインタが移動してこのメモリ106a内の入力オブジェクト内の判定結果を確認する。このような処理を上記書き込みポインタの処理と同期してN秒毎に行う。以上説明したように、本実施の形態によれば、下位ネットワーク70をパケットキャプチャ部100によりキャプチャするだけで、想定外の通信に該当するか否かの対応関係を自動的に分析できるようになる。これにより、従来のように、ファイヤーウォール20のログを分析する作業を省略できるので、作業の効率化を図ることができる。また、既設のファイヤーウォールを改良する必要も無いので、ファイヤーウォール20の性能に影響を与えることなく、不正パケットを抽出することができる。さらに、不正パケット抽出装置10が自動的に不正パケットを判定するので、高い技能が不要であると共に、低コストで不正パケットの監視を行うことができる。応用例上記実施の形態では、ファイヤーウォールの設定やログに頼らずに、組織内から上位ネットワークへの想定されない通信を抽出する方法について説明したが、応用例として、インターネット観測用のセンサが考えられる。インターネットに接続された端末ノードで、インターネットからのスキャンを観測したようとする場合、観測専用の回線を確保して、スキャンの様子を観測するのが一般的である。実利用されている実ネットワークを使って観測する場合は、ファイヤーウォールのドロップログをとり、インターネットからのパケットでドロップされたものを集める方法がある。しかし、ファイヤーウォールのドロップログを収集するには、ファイヤーウォールの性能に与える影響に関する説明、ログ収集の仕組みの構築、ログの内容を解釈する仕組みの構築等を実行する必要がある。また、組織の壁や予算等の問題も大きい。そこで、本発明の不正パケット抽出装置10を適用することで、インターネットからの不正アクセスの抽出を効率的に行うことができる。図9は、実ネットワークを使用したインターネットの観測に本発明の不正パケット抽出装置10を適用したネットワークシステムの図である。不正パケット抽出装置10は、インターネット公開用ネットワーク300でインターネット400からのトラフィックパケットを観測する。このとき、一般ユーザ402がアドレスDの公開されているFTPサーバ302にアクセスするために行っている正しい通信と、攻撃者404がサーバの存在しない、例えばアドレスAのPC308やアドレスBのPC306をスキャンしているものとを分離する必要がある。本発明の不正パケット抽出装置10の技術を使うことで、一般ユーザ402からのトラフィックは対応のあるパケットに分類できるので、正常な通信と判定できる。一方、攻撃者404からのトラフィックは、対応のないものに分類できるので、想定外の通信不正パケットであると判断できる。なお、本発明の技術範囲は、上述した実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲において、上述した実施形態に種々の変更を加えたものを含む。"