JP2009238185A - ネットワークシステムおよび管理サーバ装置 - Google Patents

Abstract

【課題】異常なデータ送受信の発生をより適切に検知できるネットワークシステムおよびサーバ装置を提供する。
【解決手段】ネットワークシステム１は、取得手段８１０が取得した通信情報からデータの属性値を抽出する抽出手段１０５−１と、各第１の期間に対応する第１の正常範囲と、前記第１の期間よりも長い各第２の期間に対応する第２の正常範囲とを格納する第１のデータベース１０７−１と、第２のデータベース１０７−２と、データの属性値が第１の正常範囲内であるか否かを判断する第１の判断手段１０５−２ａと、データの属性値が第２の正常範囲内であるか否かを判断する第２の判断手段１０５−２ｂと、前記第１および第２の判断手段の判断結果に基づいて、データが正常であるか否かを判断する総合判断手段１０５−２ｄと、前記データが正常でないと判断された場合に、当該データに関する通信情報を前記第２のデータベース１０７−２に格納する格納手段１０５−３とを備える。
【選択図】図４

Description

この発明は、少なくとも１つのクライアント装置を含むネットワークシステムおよび当該ネットワークシステムに含まれる管理サーバ装置に関し、特に少なくとも１つのクライアント装置とネットワークとの間における異常なデータ送受信を把握するためのネットワークシステムおよび管理サーバ装置に関する。

近年のネットワーク技術の進歩に伴い、各種の分野において、社内ネットワークや社外ネットワークを介して接続された複数のコンピュータからなるネットワークシステムが使用されるようになっている。そして、企業秘密などを取り扱う通信機器が含まれる企業内のネットワークシステムにおいては、不正行為の検知、通信機器の設定ミスの検知、スパイウェアソフトへの感染の検知、およびそれらの発生状況の把握や記録は、非常に重要な課題である。しかしながら、不正行為やスパイウェアソフトへの感染などを検知したり把握したり記録したりすることは容易ではない。

たとえば、特開２００８−２２４９８号公報（特許文献１）には、内部ネットワークに対してデータの入出力を行う第１入出力部と、外部ネットワークに対してデータの入出力を行う第２入出力部と、入力データからトラフィックの異常を検知するためのデータを集計するデータ集計部と、データ集計部によって過去一定期間の間に集計されたデータを、トラフィックの異常度を計算する際の指標として用いる指標データとして保持する指標データ保持部と、データ集計部によって異常度計算時刻に集計された評価データと、指標データ保持部から取得した指標データとを用いてトラフィックの異常度を計算する異常度計算部とを含むネットワーク異常検知装置が開示されている。

また、特開２００６−２６８１６７号公報（特許文献２）には、企業システムにセキュリティ監視サービスを提供するウィルス監視装置と、企業システムがシステムの出入り口に設けたファイアウォール装置と、前記ウィルス監視装置と前記ファイアウォール装置とを接続するインターネットを含むネットワークと、を備えたセキュリティシステムが開示されている。前記ウィルス監視装置は、ウィルス感染判定ポリシーの定義する前記ファイアウォール装置の通信量についての閾値と、前記ファイアウォール装置の一定時間における通信量とを比較し、前記ファイアウォール装置における通信量が前記閾値を越えると、前記ウィルス感染判定ポリシーが定義するアクションに従い、前記企業システムにウィルス感染アラーム通知や前記ファイアウォール装置のポートの遮断通知を含む動作を実行する。前記ウィルス監視装置は、前記閾値を、前記ファイアウォール装置の過去の通信量を元に算出し、前記過去の通信量を現時点で受信した前記ファイアウォール装置からの通信量で更新して記憶する。
特開２００８−２２４９８号公報 特開２００６−２６８１６７号公報

しかしながら、上記の従来技術のシステムにおいては、トラフィックが異常なものであるか否かを判断するための基準となる値が、過去一定期間に集計されたデータであったり、予め設定された１つの閾値であったりするため、対象となるトラフィックが異常なものであるか否かの判断の信頼性が低くなることがあった。たとえば、その閾値を決定するために用いられたデータが一時的に異常である場合があるからである。また、たとえば、トラフィックデータの中には、ある期間に送受信された場合は異常と判断すべきであり、別の期間に送受信された場合は正常と判断すべきものもある。

つまり、従来の異常トラフィック検出システムは、予め知られている攻撃パターンを有するウイルスプログラムや、予め知られている不正な通信処理などといった予め知られた異常事象の検知は可能であったが、新しい攻撃パターンを有するウイルスプログラムや、社内の人間が行う不正な通信処理などといった予め知られていない異常事象を検知する精度は低かった。

本発明は上記の不具合を解決するためになされたものであって、本発明の主たる目的は、異常なデータ送受信の発生をより適切に検知できるネットワークシステムおよび管理サーバ装置を提供することである。

この発明のある局面に従うネットワークシステムは、ネットワークに接続される少なくとも１つのクライエント装置と、クライエント装置とネットワークとの間で送受信されるデータに関する送受信時間を含む通信情報を取得する取得手段と、取得手段が取得した通信情報からデータの属性値を抽出する抽出手段と、複数の第１の期間にそれぞれ対応付けられた複数の第１の正常範囲を、所定数の第１の期間からなる第１の周期分格納するとともに、第１の期間よりも長い複数の第２の期間にそれぞれ対応付けられた複数の第２の正常範囲を、所定数の第２の期間からなる第２の周期分格納する第１のデータベースと、第２のデータベースと、データが送受信された時間に対応する第１の期間に対応付けられた第１の正常範囲を第１のデータベースから読み出して、データの属性値が第１の正常範囲内であるか否かを判断する第１の判断手段と、データが送受信された時間に対応する第２の期間に対応付けられた第２の正常範囲を第１のデータベースから読み出して、データの属性値が第２の正常範囲内であるか否かを判断する第２の判断手段と、第１および第２の判断手段の判断結果に基づいて、データが正常であるか否かを判断する総合判断手段と、データが正常でないと判断された場合に、当該データに関する通信情報を第２のデータベースに格納する格納手段とを備える。

好ましくは、ネットワークシステムは、第３のデータベースをさらに備える。格納手段は、データが正常であると判断された場合に、当該データに関する通信情報を第３のデータベースに格納する。ネットワークシステムは、第３のデータベースに格納されている少なくとも１つのデータに関する通信情報を参照して、データの属性値に基づき、第１のデータベースの第１および第２の正常範囲を更新する更新手段をさらに備える。

好ましくは、ネットワークシステムは、第４のデータベースをさらに備える。格納手段は、データに関する通信情報を第４のデータベースに格納する。ネットワークシステムは、第４のデータベースに格納されている少なくとも１つのデータに関する通信情報を参照して、データの属性値に基づき、第１のデータベースの第１および第２の正常範囲を更新する更新手段をさらに備える。

好ましくは、データの属性値は、データのデータ量である。
好ましくは、第１の周期と第１の期間および第２の周期と第２の期間の各々は、１日と時間帯および１週間と曜日、あるいは、１日と時間帯および１月と１日である。

好ましくは、第１の周期と第１の期間および第２の周期と第２の期間の各々は、１週間と曜日および１年と月間、あるいは、１月と１日および１年と１月である。

好ましくは、ネットワークシステムは、各々の第１の期間における通信情報に基づく統計情報を格納する第５のデータベースと、各々の第２の期間における通信情報に基づく統計情報を格納する第６のデータベースとをさらに備える。更新手段は、データに関する通信情報に基づいて、第５のデータベースにおけるデータが送受信された時間が含まれる第１の期間に対応する統計情報を更新し、第５のデータベースを参照して、第６のデータベースにおけるデータが送受信された時間が含まれる第２の期間に対応する統計情報を更新し、第５および第６のデータベースに格納された統計情報に基づいて、第１のデータベースにおける第１および第２の正常範囲を更新する。

この発明の別の局面に従う管理サーバ装置は、少なくとも１つのクライエント装置とネットワークとの間で送受信されるデータに関する送受信時間を含む通信情報からデータの属性値を抽出する抽出手段と、複数の第１の期間にそれぞれ対応付けられた複数の第１の正常範囲を、所定数の第１の期間からなる第１の周期分格納するとともに、第１の期間よりも長い複数の第２の期間にそれぞれ対応付けられた複数の第２の正常範囲を、所定数の第２の期間からなる第２の周期分格納する第１のデータベースと、第２のデータベースと、データが送受信された時間に対応する第１の期間に対応付けられた第１の正常範囲を第１のデータベースから読み出して、データの属性値が第１の正常範囲内であるか否かを判断する第１の判断手段と、データが送受信された時間に対応する第２の期間に対応付けられた第２の正常範囲を第１のデータベースから読み出して、データの属性値が第２の正常範囲内であるか否かを判断する第２の判断手段と、第１および第２の判断手段の判断結果に基づいて、データが正常であるか否かを判断する総合判断手段と、データが正常でないと判断された場合に、当該データに関する通信情報を第２のデータベースに格納する格納手段とを備える。

好ましくは、管理サーバ装置は、第３のデータベースをさらに備える。格納手段は、データが正常であると判断された場合に、当該データに関する通信情報を第３のデータベースに格納する。管理サーバ装置は、第３のデータベースに格納されている少なくとも１つのデータに関する通信情報を参照して、データの属性値に基づき、第１のデータベースの第１および第２の正常範囲を更新する更新手段をさらに備える。

好ましくは、管理サーバ装置は、第４のデータベースをさらに備える。格納手段は、データに関する通信情報を第４のデータベースに格納する。管理サーバ装置は、第４のデータベースに格納されている少なくとも１つのデータに関する通信情報を参照して、データの属性値に基づき、第１のデータベースの第１および第２の正常範囲を更新する更新手段をさらに備える。

好ましくは、データの属性値は、データのデータ量である。
好ましくは、第１の周期と第１の期間および第２の周期と第２の期間の各々は、１日と時間帯および１週間と曜日、あるいは、１日と時間帯および１月と１日である。

好ましくは、第１の周期と第１の期間および第２の周期と第２の期間の各々は、１週間と曜日および１年と月間、あるいは、１月と１日および１年と１月である。

好ましくは、管理サーバ装置は、各々の第１の期間における通信情報に基づく統計情報を格納する第５のデータベースと、各々の第２の期間における通信情報に基づく統計情報を格納する第６のデータベースとをさらに備える。更新手段は、データに関する通信情報に基づいて、第５のデータベースにおけるデータが送受信された時間が含まれる第１の期間に対応する統計情報を更新し、第５のデータベースを参照して、第６のデータベースにおけるデータが送受信された時間が含まれる第２の期間に対応する統計情報を更新し、第５および第６のデータベースに格納された統計情報に基づいて、第１のデータベースにおける第１および第２の正常範囲を更新する。

以上のように、この発明によれば、異常なデータ送受信の発生をより適切に検知できるネットワークシステムおよび管理サーバ装置を提供することができるようになる。

以下、図面に基づいて本発明の実施の形態について説明する。なお以下の説明では、同一の部品については同一の符号を付すものとし、その部品の名称や機能が同一である場合には、その部品についての詳細な説明は繰り返さない。

［実施の形態１］
＜ネットワークシステムの全体構成＞
まず、本実施の形態に係るネットワークシステム１の全体構成について説明する。図１は、本実施の形態に係るネットワークシステム１の全体構成を示す概略図である。図１に示すように、ネットワークシステム１は、ＬＡＮ(Local Area Network)６００と、ＬＡＮ６００に接続される複数のクライエント装置５００ａ，５００ｂ，５００ｃ・・・と、ＬＡＮ６００に接続されてネットワークシステム１の状態を出力する管理サーバ装置（代表的には、社内の運用サーバなど）１００と、ＬＡＮ６００に接続される内部管理サーバ装置２００と、ＬＡＮ６００に接続されるルータ３００と、ルータ３００を介してＬＡＮ６００に接続されるインターネット７００などのＷＡＮ（Wide Area Network）（以下、インターネット７００とする。）と、インターネット７００に接続される外部管理サーバ装置４００などを含む。以下では、クライエント装置５００ａ，５００ｂ，５００ｃ・・・の各々の構成や機能を説明する際には、クライエント装置５００ａ，５００ｂ，５００ｃ・・・の各々をクライエント装置５００と総称する。

そして、クライエント装置５００ａ，５００ｂ，５００ｃ・・・とＬＡＮ６００との間には、ハブ８１１などを介してパケットロガー８１２が接続されている。パケットロガー８１２は、クライエント装置５００ａ，５００ｂ，５００ｃ・・・からＬＡＮ６００へと送信されるパケット（データ）の内容や、ＬＡＮ６００からクライエント装置５００ａ，５００ｂ，５００ｃ・・・へと返信されるパケット（データ）の内容を調べて、クライエント装置５００ａ，５００ｂ，５００ｃ・・・とＬＡＮ６００との間におけるデータ送受信に関する通信情報を取得する装置である。

より詳細には、パケット（データ）は、ヘッダ情報とボディ情報とを含む。そして、パケットロガー８１２は、内部に図示しない時計を含む。パケットロガー８１２は、管理サーバ装置１００に接続されており、クライエント装置５００ａ，５００ｂ，５００ｃ・・・とＬＡＮ６００との間における各パケット（データ）の通過時刻（送受信時刻）を測定する。パケットロガー８１２は、各パケット（データ）からヘッダ情報を抽出して、ヘッダ情報に含まれる送信元アドレスや送信先アドレスやセッションＩＤ（たとえば、ポート番号）などのデータ送受信に関する通信情報を送受信時刻とともに管理サーバ装置１００へと送信する。

本実施の形態に係る管理サーバ装置１００は、ＬＡＮ６００と、パケットロガー８１２と接続されており、データ送受信に関する通信情報などを管理者などに対して出力する装置である。管理サーバ装置１００によって行われる送受信データ管理処理は、代表的に、パーソナルコンピュータやワークステーションなどのコンピュータ上で実行されるソフトウェアによって実現される。

＜ネットワークシステムの動作概要＞
ここで、本実施の形態に係るネットワークシステム１の動作概要について説明する。クライエント装置５００がネットワーク６００を介して外部管理サーバ装置４００にデータを送信すると、パケットロガー８１２がハブ８１１を通過するパケットの通過時刻を取得して、パケットのヘッダ情報を調べる。また、クライエント装置５００がネットワークを介して外部の管理サーバ装置４００からデータを受信した場合にも、パケットロガー８１２がハブ８１１を通過するパケットの通過時刻を取得して、パケットのヘッダ情報を調べる。パケットロガー８１２は、通信時間やヘッダ情報に含まれる各種の情報に基づいて、データ送受信に関する通信情報を管理サーバ装置１００へと送信する。

管理サーバ装置１００は、パケットロガー８１２からのトラフィック毎（セクション毎）の通信情報を一定期間蓄積する。より詳細には、パケットロガー８１２が、ハブ８１１を通過する各パケットからシーケンス番号などを取得する。管理サーバ装置１００あるいはパケットロガー８１２は、そのシーケンス番号などに基づいて、ハブ８１１を通過するトラフィック単位（セクション単位）のデータに関する通信情報を取得する。

管理サーバ装置１００は、当該通信情報に基づいて、送受信データの統計情報を生成する。統計情報は、通信情報に含まれるデータ量や送信先アドレスなどの属性値に関するものである。統計情報は、一日を周期とした各時間帯の統計情報や、１週間を周期にした各曜日の統計情報や、１月を周期とした各日にちの統計情報や、１年を周期とした各月間の統計情報などである。管理サーバ装置１００は、蓄積した一定期間の通信情報に基づいて、統計情報を更新する。

管理サーバ装置１００は、パケットロガー８１２からの取得したデータに関する通信情報からデータ量や送信先アドレスなどの属性値を取得して、当該属性値と統計情報から得られる属性値の正常範囲とを比較して、ハブ８１１を通過したデータが正常なデータであるか否かを判断する。正常でないデータ（異常データ）がハブ８１１を通過した場合には、当該データに関する通信情報を異常通信情報として蓄積する。管理サーバ装置１００は、蓄積された異常通信情報を出力したり、当該異常通信情報に対応するデータを送受信したクライエント装置５００を出力したり、クライエント装置５００毎の異常通信情報の統計データを出力したりする。

以下、このような機能を実現するための構成について詳述する。
＜管理サーバ装置１００＞
図２は、本実施の形態に係る管理サーバ装置１００を示す斜視図である。図２に示すように、この管理サーバ装置１００は、ＦＤ（Flexible Disk）駆動装置１１１およびＣＤ−ＲＯＭ（Compact Disk-Read Only Memory)駆動装置１１３を備えたコンピュータ本体１０１と、モニタ１０２と、キーボード１０３と、マウス１０４とを含む。

図３は、本実施の形態に係る管理サーバ装置１００のハードウェア構成を示す制御ブロック図である。図３に示すように、コンピュータ本体１０１は、上記したＦＤ駆動装置１１１およびＣＤ−ＲＯＭ駆動装置１１３に加えて、相互に内部バス１０８で接続されたＣＰＵ（Central Processing Unit）１０５と、メモリ１０６と、固定ディスク１０７と、通信インターフェイス１０９、表示部インターフェイス１１５とを含む。ＦＤ駆動装置１１１にはＦＤ１１２が装着される。ＣＤ−ＲＯＭ駆動装置１１３にはＣＤ−ＲＯＭ１１４が装着される。

モニタ１０２は、液晶パネルやＣＲＴから構成されるものであって、ＣＰＵ１０５が出力した情報を表示する。キーボード１０３は、キー入力により、ユーザから情報を受け付ける。マウス１０４は、クリックされたりやスライドされることによって、ユーザから情報を受け付ける。メモリ１０６は、各種の情報を記憶するものであって、たとえば、ＣＰＵ１０５でのプログラムの実行に必要なデータを一時的に記憶する。固定ディスク１０７は、ＣＰＵ１０５が実行するプログラムやデータベースを記憶する。

ＣＰＵ１０５は、コンピュータの各要素を制御するものであって、各種の演算を実施する装置である。また、ＣＰＵ１０５は、後述するように、送受信データ管理処理等を行うものであって、当該処理結果を内部バス１０８を介してモニタ１０２に出力する。

通信インターフェイス１０９は、ＣＰＵ１０５が出力した情報を電気信号へと変換するものであって、ＣＰＵ１０５が出力した情報をその他の装置が利用できる信号へと変換する装置でもある。また、通信インターフェイス１０９は、本実施の形態に係るコンピュータの外部から入力された情報を受信して、ＣＰＵ１０５が利用できる情報に変換する装置でもある。また、コンピュータには、必要に応じて、プリンタなどモニタ１０２以外の他の出力装置が接続され得る。

表示部インターフェイス１１５は、ＣＰＵ１０５が出力した情報を電気信号へと変換するものであって、ＣＰＵ１０５が出力した情報をモニタなどその他の装置が利用できる信号へと変換する装置でもある。

既に述べたように、本実施の形態に係る管理サーバ装置１００および送受信データ管理処理は、コンピュータなどのハードウェアと制御プログラムなどのソフトウェアとによって実現される。一般的にこうしたソフトウェアは、ＦＤ１１２やＣＤ−ＲＯＭ１１４などの記録媒体に格納されて、もしくはネットワークなどを介して流通する。そして、ソフトウェアは、ＦＤ駆動装置１１１やＣＤ−ＲＯＭ駆動装置１１３などにより記録媒体から読取られて、若しくは通信インターフェイス１０９にて受信されて、固定ディスク１０７に格納される。そして、ＣＰＵ１０５が、ソフトウェアを固定ディスク１０７からメモリ１０６へと読み出して、実行する。

＜クライエント装置５００、内部管理サーバ装置２００、外部管理サーバ装置４００＞
クライエント装置５００ａ，５００ｂ，５００ｃ・・・、内部管理サーバ装置２００、外部管理サーバ装置４００のハードウェア構成は、管理サーバ装置１００のハードウェア構成と同様であるので、ここは説明を繰り返さない。

＜機能構成＞
次に、本実施の形態に係るネットワークシステム１が有する各機能について説明する。図４は、本実施の形態に係るネットワークシステム１の機能構成を示す機能ブロック図である。

前述したように、本実施の形態においては、送受信データ管理処理のための機能がパーソナルコンピュータまたはワークステーションなどのコンピュータ上で実行されるソフトウェアによって実現される構成としているが、各ブロックの機能や各ステップの処理をソフトウェアによって実現する代わりに、その一部または全部を専用のハードウェア回路等によって実現してもよい。

図４に示すように、本実施の形態に係る管理サーバ装置１００は、取得部８１０（１０９−１）と、抽出部１０５−１と、判断部１０５−２と、格納部１０５−３と、出力部１０５−４と、更新部１０５−５と、正常範囲データベース１０７−１と、異常データベース１０７−２と、正常データベース１０７−３（あるいは通信情報データベース１０７−４）と、時間帯データベース１０７−５と、曜日データベース１０７−６と、日にちデータベース１０７−７と、月間データベース１０７−８と、表示部１０２ａとを有する。

取得部８１０は、たとえばハブ８１１やパケットロガー８１２などによって実現される。取得部８１０は、クライエント装置５００とＬＡＮ６００との間に接続され、クライエント装置５００とＬＡＮ６００との間のデータ送受信に関する通信情報を取得する。取得部８１０は、クライエント装置５００とＬＡＮ６００との間のデータ送受信に関する通信情報を管理サーバ装置１００へと送信する。管理サーバ装置１００は、取得部８１０からクライエント装置５００とＬＡＮ６００との間のデータ送受信に関する通信情報を受信する。

ただし、取得部１０９−１は、たとえばハブ８１１やパケットロガー８１２などに接続される通信インターフェイス１０９よって実現されてもよい。この場合、取得部１０９−１は、パケットロガー８１２からデータ送受信に関する通信情報を受信する。

＜各データベースの機能構成＞
正常範囲データベース１０７−１と、異常データベース１０７−２と、正常データベース１０７−３（あるいは通信情報データベース１０７−４）と、時間帯データベース１０７−５と、曜日データベース１０７−６と、日にちデータベース１０７−７と、月間データベース１０７−８とは、たとえば固定ディスク１０７やメモリ１０６上に確保される所定の領域によって実現される。

正常範囲データベース１０７−１は、対象となる送受信データが異常であるか否かを判断するための、各期間毎の送受信データの属性値（たとえば、データ量など）の正常範囲を格納する。本実施の形態においては、正常範囲データベース１０７−１は、時間帯正常範囲ファイル１０７−１ａと、曜日正常範囲ファイル１０７−１ｂと、日にち正常範囲ファイル１０７−１ｃと、月間正常範囲ファイル１０７−１ｄとを含む。つまり、本実施の形態に係る管理サーバ装置１００は、異なる長さの期間に対応付けられた正常範囲に基づいて送受信データが異常であるかを判断するため、異常なデータ送受信の発生をより適切に検知できる。

図５は、正常範囲データベース１０７−１に格納される時間帯正常範囲ファイル１０７−１ａのデータ構造を示すイメージ図である。図５に示すように、正常範囲データベース１０７−１の時間帯正常範囲ファイル１０７−１ａは、所定の時間帯（第１の期間）に対応付けて、正常データ量や、正常送信先アドレスなどの正常範囲（第１の正常範囲）が格納されている。本実施の形態に係る時間帯正常範囲ファイル１０７−１ａにおいては、所定の時間帯（第１の期間）が２４個分設定されている。すなわち、本実施の形態に係る時間帯正常範囲ファイル１０７−１ａには、１日（第１の周期）分の各時間帯に対応する正常範囲が格納されている。

たとえば、後述する判断部１０５−２が、対象となるデータの送受信時刻が属する時間帯を選択し、時間帯正常範囲ファイル１０７−１ａからその時間帯の正常データ量（正常範囲）を取得する。そして、取得部８１０にて取得された通信情報のデータ量がその正常範囲内であれば、その対象のデータは正常であるとみなされる。一方、取得部８１０にて取得された通信情報のデータ量が、その通信情報に対応するデータの送受信時刻が属する時間帯の正常データ量の範囲外であれば、そのデータは異常であるとみなされる。

図６は、正常範囲データベース１０７−１に格納される曜日正常範囲ファイル１０７−１ｂのデータ構造を示すイメージ図である。図６に示すように、正常範囲データベース１０７−１の曜日正常範囲ファイル１０７−１ｂは、所定の曜日（第２の期間）に対応付けて、正常データ量や、正常送信先アドレスなどの正常範囲（第２の正常範囲）が格納されている。本実施の形態に係る曜日正常範囲ファイル１０７−１ｂにおいては、所定の曜日（第２の期間）が７個分設定されている。すなわち、本実施の形態に係る曜日正常範囲ファイル１０７−１ｂには、１週間（第２の周期）分の各曜日に対応する正常範囲が格納されている。

取得部８１０にて取得された通信情報のデータ量が、その通信情報に対応するデータの送受信時刻が属する曜日の正常データ量の範囲内であれば、そのデータは正常データであるとみなされる。一方、取得部８１０にて取得された通信情報のデータ量が、その通信情報に対応するデータの送受信時刻が属する曜日の正常データ量の範囲外であれば、そのデータは異常データであるとみなされる。

図７は、正常範囲データベース１０７−１に格納される月間正常範囲ファイル１０７−１ｃのデータ構造を示すイメージ図である。図７に示すように、正常範囲データベース１０７−１の月間正常範囲ファイル１０７−１ｃは、所定の月間に対応付けて、正常データ量や、正常送信先アドレスなどの正常範囲（第３の正常範囲）が格納されている。本実施の形態に係る月間正常範囲ファイル１０７−１ｃにおいては、所定の月間（第３の期間）が１２個分設定されている。すなわち、本実施の形態に係る月間正常範囲ファイル１０７−１ｃには、１年（第３の周期）分の各月間に対応する正常範囲が格納されている。

取得部８１０にて取得された通信情報のデータ量が、その通信情報に対応するデータの送受信時刻が属する月間の正常データ量の範囲内であれば、そのデータは正常データであるとみなされる。一方、取得部８１０にて取得された通信情報のデータ量が、その通信情報に対応するデータの送受信時刻が属する月間の正常データ量の範囲外であれば、そのデータは異常データであるとみなされる。

図８は、正常範囲データベース１０７−１に格納される日にち正常範囲ファイル１０７−１ｄのデータ構造を示すイメージ図である。図８に示すように、正常範囲データベース１０７−１の月間正常範囲ファイル１０７−１ｄは、所定の日にちに対応付けて、正常データ量や、正常送信先アドレスなどの正常範囲（第４の正常範囲）が格納されている。本実施の形態に係る日にち正常範囲ファイル１０７−１ｄにおいては、所定の日にち（第２の期間）が、たとえば３１個分設定されている。すなわち、本実施の形態に係る日にち正常範囲ファイル１０７−１ｄには、１ヶ月（第４の周期）分の各日にちに対応する正常範囲が格納されている。より詳細には、１日〜３０日までの正常範囲と、月末日の正常範囲とが格納されている。

取得部８１０にて取得された通信情報のデータ量が、その通信情報に対応するデータの送受信時刻が属する日にちの正常データ量の範囲内であれば、そのデータは正常データであるとみなされる。一方、取得部８１０にて取得された通信情報のデータ量が、その通信情報に対応するデータの送受信時刻が属する日にちの正常データ量の範囲外であれば、そのデータは異常データであるとみなされる。

図９は、正常データベース１０７−３（通信情報データベース１０７−４）のデータ構造を示すイメージ図である。図９に示すように、正常データベース１０７−３には、取得部８１０が取得したトラフィック毎の通信情報のうち、正常であると判断されたデータに関する通信情報が１つのレコードとして格納されている。

また、図９に示すように、通信情報データベース１０７−４には、取得部８１０が取得した全てのトラフィック毎の通信情報が１つのレコードとして格納されている。通信情報は、図９に示す情報（属性値）だけでなく、対応するデータが送受信された年月日や曜日や格納されているファイルの種類などを含んでもよい。

図１０は、異常データベース１０７−２のデータ構造を示すイメージ図である。図１０に示すように、異常データベース１０７−２には、取得部８１０が取得したトラフィック毎の通信情報のうち、正常でないと判断されたデータに関する通信情報が１つのレコードとして格納されている。通信情報は、図９に示す情報だけでなく、対応するデータが送受信された年月日や曜日や格納されているファイルの種類などを含んでもよい。

たとえば、異常データベース１０７−２には、正常送信先アドレスに含まれていないアドレス「１７２．１．１．３」宛のデータに関する通信情報が格納されている（図１０における２行目）。たとえば、異常データベース１０７−２には、午前２時〜３時の間に送受信されたデータ量が１０ＫＢ（＞０ＫＢ、図５を参照。）のデータに関する通信情報が格納されている（図１０における３行目）。たとえば、異常データベース１０７−２には、午後３時〜４時の間に送受信されたデータ量が６００ＭＢ（＞１０ＭＢ、図５を参照）のデータに関する通信情報が格納されている（図１０における３行目）。

図１１は、時間帯データベース１０７−５に格納される時間帯統計情報１０７−５ａを示すイメージ図である。図１１に示すように、時間帯データベース１０７−５には、正常データベース１０７−３あるいは通信情報データベース１０７−４に格納されている通信情報に基づいて生成された、所定の時間帯の統計情報１０７−５ａが格納されている。たとえば、時間帯データベース１０７−５には、正常データベース１０７−３に格納されている通信情報から抽出された、所定の時間帯のデータ量に関する統計情報１０７−５ａが格納されている。統計情報１０７−５ａは、所定の時間帯における各データ量を有する送受信データの出現頻度や、所定の時間帯における送受信データのデータ量の平均値や標準偏差などを含む。換言すれば、統計情報１０７−５ａとは、たとえば図１１に示すようなグラフが生成できる程度の各種の情報を含む。

図４に示すように、時間帯データベース１０７−５には、複数種類の時間帯に応じた時間帯統計情報１０７−５ａ，１０７−５ｂ・・・が格納されている。時間帯統計情報１０７−５ｂ・・・に含まれるデータ（データ構造）は、時間帯統計情報１０７−５ａのそれと同様であるため、説明を繰り返さない。

また、曜日データベース１０７−６には、正常データベース１０７−３もしくは通信情報データベース１０７−４に格納されている通信情報、または時間帯データベース１０７−５に格納されている時間帯統計情報１０７−５ａ，１０７−５ｂ・・・に基づいて生成された、所定の曜日の統計情報１０７−６ａが格納されている。図１１に示すように、たとえば、曜日データベース１０７−６には、所定の曜日のデータ量に関する統計情報１０７−６ａが格納されている。統計情報１０７−６ａは、所定の曜日における各データ量を有する送受信データの出現頻度や、所定の曜日における送受信データのデータ量の平均値や標準偏差などを含む。換言すれば、統計情報１０７−６ａとは、たとえば図１１に示すようなグラフが生成できる程度の各種の情報を含む。

図４に示すように、曜日データベース１０７−６には、複数種類の曜日に応じた曜日統計情報１０７−６ａ，１０７−６ｂ・・・が格納されている。曜日統計情報１０７−６ｂ・・・に含まれるデータ（データ構造）は、曜日統計情報１０７−６ａのそれと同様であるため、説明を繰り返さない。

また、日にちデータベース１０７−７には、正常データベース１０７−３もしくは通信情報データベース１０７−４に格納されている通信情報、または時間帯データベース１０７−５に格納されている時間帯統計情報１０７−５ａ，１０７−５ｂ・・・に基づいて生成された、所定の日にちの統計情報１０７−７ａが格納されている。図１１に示すように、たとえば、日にちデータベース１０７−７には、所定の日にちのデータ量に関する統計情報１０７−７ａが格納されている。統計情報１０７−７ａは、所定の日にちにおける各データ量を有する送受信データの出現頻度や、所定の日にちにおける送受信データのデータ量の平均値や標準偏差などを含む。換言すれば、統計情報１０７−７ａとは、たとえば図１１に示すようなグラフが生成できる程度の各種の情報を含む。

図４に示すように、日にちデータベース１０７−７には、複数種類の日にちに応じた日にち統計情報１０７−７ａ，１０７−７ｂ・・・が格納されている。日にち統計情報１０７−７ｂ・・・に含まれるデータ（データ構造）は、日にち統計情報１０７−７ａのそれと同様であるため、説明を繰り返さない。

また、月間データベース１０７−８には、正常データベース１０７−３もしくは通信情報データベース１０７−４に格納されている通信情報、または曜日データベース１０７−６に格納されている曜日統計情報１０７−６ａ，１０７−６ｂ・・・、または日にちデータベース１０７−７に格納されている日にち統計情報１０７−７ａ，１０７−７ｂ・・・に基づいて生成された、所定の月間の統計情報１０７−８ａが格納されている。図１１に示すように、たとえば、月間データベース１０７−８には、所定の月間のデータ量に関する統計情報１０７−８ａが格納されている。月間統計情報１０７−８ａは、所定の月間における各データ量を有する送受信データの出現頻度や、所定の月間における送受信データのデータ量の平均値や標準偏差などを含む。換言すれば、月間統計情報１０７−８ａとは、たとえば図１１に示すようなグラフが生成できる程度の各種の情報を含む。

後述するように、各時間帯統計情報１０７−５ａ，１０７−５ｂ・・・は、正常データベース１０７−３あるいは通信情報データベース１０７−４に格納される通信情報に基づいて更新される。各曜日統計情報１０７−６ａ，１０７−６ｂ・・・は、時間帯統計情報１０７−５ａ，１０７−５ｂ・・・に基づいて更新される。各日にち統計情報１０７−７ａ，１０７−７ｂ・・・は、時間帯統計情報１０７−５ａ，１０７−５ｂ・・・に基づいて更新される。各月間統計情報１０７−８ａ，１０７−８ｂ・・・は、曜日統計情報１０７−６ａ，１０７−６ｂ・・・または日にち統計情報１０７−７ａ，１０７−７ｂ・・・に基づいて更新される。

＜制御部１０５ａの機能構成＞
図４に示すように、抽出部１０５−１と、判断部１０５−２と、格納部１０５と、出力部１０５−４と、更新部１０５−５とは、ＣＰＵ１０５などによって実現される制御部１０５ａが有する機能である。より詳細には、抽出部１０５−１と、判断部１０５−２と、格納部１０５と、出力部１０５−４と、更新部１０５−５とは、たとえば、ＣＰＵ１０５がメモリ１０６や固定ディスク１０７などに記憶されるプログラムを実行して図２および図３に示される各ハードウェアを制御することによって発揮される機能である。つまり、これらの機能は、ＣＰＵ１０５が、固定ディスク１０７に記憶されたプログラムを一旦メモリ１０６へと読み出して、メモリ１０６からそのプログラムを読み出しながら順次実行することによって実現される。

抽出部１０５−１は、取得部８１０が取得した通信情報から、送受信されたデータの属性値を抽出する。具体的には、通信情報から、データが送受信された年月日および時刻、データ量、送信元アドレス、送信元ポート番号、送信先アドレス、送信先ポート番号などの属性値を抽出する。

判断部１０５−２は、通信情報の属性値に基づいて、ハブ８１１を通過した対象のデータが正常であるか否かを判断する。判断部１０５−２は、第１の判断部１０５−２ａと、第２の判断部１０５−２ｂと、第３の判断部１０５−２ｃと、総合判断部１０５−２ｄとを含む。

第１の判断部１０５−２ａは、正常範囲データベース１０７−１の時間帯正常範囲ファイル１０７−１ａからデータが送受信された時刻が含まれる時間帯に対応する正常範囲を読み出して、そのデータの属性値（データ量、送信先アドレスなど）が正常範囲内であるか否かを判断する。第１の判断部１０５−２ａは、判断結果をメモリ１０６の所定領域に記憶する。たとえば、第１の判断部１０５−２ａは、データの属性値が正常範囲内であった場合に、メモリ１０６の時間帯用の所定領域にフラグを立てる。

第２の判断部１０５−２ｂは、正常範囲データベース１０７−１の曜日正常範囲ファイル１０７−１ｂからデータが送受信された時刻が含まれる曜日に対応する正常範囲を読み出して、そのデータの属性値（データ量、送信先アドレスなど）が正常範囲内であるか否かを判断する。第２の判断部１０５−２ｂは、判断結果をメモリ１０６の所定領域に記憶する。たとえば、第２の判断部１０５−２ｂは、データの属性値が正常範囲内であった場合に、メモリ１０６の曜日用の所定領域にフラグを立てる。

第３の判断部１０５−２ｃは、正常範囲データベース１０７−１の月間正常範囲ファイル１０７−１ｃからデータが送受信された時刻が含まれる月間に対応する正常範囲を読み出して、そのデータの属性値（データ量、送信先アドレスなど）が正常範囲内であるか否かを判断する。第３の判断部１０５−２ｃは、判断結果をメモリ１０６の所定領域に記憶する。たとえば、第３の判断部１０５−２ｃは、データの属性値が正常範囲内である場合にメモリ１０６の月間用の所定領域にフラグを立てる。

総合判断部１０５−２ｄは、第１の判断部１０５−２ａによる判断結果と第２の判断部１０５−２ｂによる判断結果と第３の判断部１０５−２ｃによる判断結果とに基づいて、対象のデータが正常であるか否かを判断する。

たとえば、総合判断部１０５−２ｄは、第１の判断部１０５−２ａによる判断結果と第２の判断部１０５−２ｂによる判断結果と第３の判断部１０５−２ｃによる判断結果の少なくとも１つが正常である場合には、対象のデータが正常であると判断する。この場合には、第１の判断部１０５−２ａによる判断結果と第２の判断部１０５−２ｂによる判断結果と第３の判断部１０５−２ｃによる判断結果の少なくとも１つが正常であるときは、他の判断部による判断を行わない構成であってもよい。

たとえば、総合判断部１０５−２ｄは、第１の判断部１０５−２ａによる判断結果と第２の判断部１０５−２ｂによる判断結果と第３の判断部１０５−２ｃによる判断結果の２つ以上が正常である（少なくとも１つが異常である）場合には、対象のデータが正常であると判断する。

たとえば、総合判断部１０５−２ｄは、第１の判断部１０５−２ａによる判断結果と第２の判断部１０５−２ｂによる判断結果と第３の判断部１０５−２ｃによる判断結果の全てが正常である場合には、対象のデータが正常であると判断する。この場合には、第１の判断部１０５−２ａによる判断結果と第２の判断部１０５−２ｂによる判断結果と第３の判断部１０５−２ｃによる判断結果の少なくとも１つが正常でないときは、他の判断部による判断を行わない構成であってもよい。

格納部１０５−３は、判断部１０５−２によってデータが正常でないと判断された場合に、対象のデータに関する通信情報を異常データベース１０７−２に格納する。格納部１０５−３は、判断部１０５−２によってデータが正常であると判断された場合に、対象のデータに関する通信情報を正常データベース１０７−３に格納する。あるいは、格納部１０５−３は、全ての対象のデータに関する通信情報を通信情報データベース１０７−４に格納する。

更新部１０５−４は、データに関する通信情報に基づいて、正常範囲データベース１０７−１の第１の正常範囲と第２の正常範囲と第３の正常範囲と第４の正常範囲とを更新する。あるいは、更新部１０５−４は、通信情報データベース１０７−４に格納されているデータに関する通信情報に基づいて、正常範囲データベース１０７−１の第１の正常範囲と第２の正常範囲と第３の正常範囲と第４の正常範囲とを更新する。

より詳細には、更新部１０５−４は、時間帯データベース１０７−５の時間帯統計情報１０７−５ａ，１０７−５ｂ・・・を参照して、正常範囲データベース１０７−１の時間帯正常範囲ファイル１０７−１ａの正常範囲を更新する。更新部１０５−４は、曜日データベース１０７−６の曜日統計情報１０７−６ａ，１０７−６ｂ・・・を参照して、正常範囲データベース１０７−１の曜日正常範囲ファイル１０７−１ｂの正常範囲を更新する。更新部１０５−４は、日にちデータベース１０７−７の日にち統計情報１０７−７ａ，１０７−７ｂ・・・を参照して、正常範囲データベース１０７−１の日にち正常範囲ファイル１０７−１ｄの正常範囲を更新する。更新部１０５−４は、月間データベース１０７−８の月間統計情報１０７−８ａ，１０７−８ｂ・・・を参照して、正常範囲データベース１０７−１の月間正常範囲ファイル１０７−１ｃの正常範囲を更新する。

また、更新部１０５−４は、正常データベース１０７−３あるいは通信情報データベース１０７−４に格納されているデータの通信情報に基づいて、時間帯データベース１０７−５におけるそのデータが送受信された時刻が含まれる時間帯統計情報１０７−５ａ（１０７−５ｂ・・・）を更新する。更新部１０５−４は、時間帯データベース１０７−５の時間帯統計情報１０７−５ａ，１０７−５ｂ・・・を参照して、曜日データベース１０７−６におけるデータが送受信された時刻が含まれる曜日統計情報１０７−６ａ（１０７−６ｂ・・・）を更新する。更新部１０５−４は、時間帯データベース１０７−５の時間帯統計情報１０７−５ａ，１０７−５ｂ・・・を参照して、日にちデータベース１０７−７におけるデータが送受信された時刻が含まれる日にち統計情報１０７−７ａ（１０７−７ｂ・・・）を更新する。更新部１０５−４は、曜日データベース１０７−６の曜日統計情報１０７−６ａ，１０７−６ｂ・・・、あるいは日にちデータベース１０７−７の日にち統計情報１０７−７ａ，１０７−７ｂ・・・を参照して、月間データベース１０７−８におけるデータが送受信された時刻が含まれる月間統計情報１０７−８ａ（１０７−８ｂ・・・）を更新する。

より詳細には、更新部１０５−４は、第１の期間であるそれぞれの時間帯が終了するたびに（たとえば、１時間経過ごとに）、正常データベース１０７−３あるいは通信情報データベース１０７−４に格納されているデータの通信情報に基づいて、時間帯データベース１０７−５における該当の時間帯統計情報１０７−５ａ（１０７−５ｂ・・・）を更新する。

ここで、時間帯統計情報１０７−５ａ（１０７−５ｂ・・・）は、過去数日分の通信情報に基づいて生成されたものとしてもよい。つまり、正常データベース１０７−３あるいは通信情報データベース１０７−４に格納されているデータの通信情報を１日分の該当時間帯のデータとし、時間帯統計情報１０７−５ａ（１０７−５ｂ・・・）を数日分の該当時間帯に関するデータとする。この場合には、更新部１０５−４は、正常データベース１０７−３あるいは通信情報データベース１０７−４に格納されているデータの通信情報と、該当の時間帯統計情報１０７−５ａ（１０７−５ｂ・・・）とに、日数分の重み付けを施してから、時間帯統計情報１０７−５ａ（１０７−５ｂ・・・）を更新する。

更新部１０５−４は、第２の期間であるそれぞれの曜日が終了するたびに（たとえば、１日経過ごとに）、時間帯データベース１０７−５の全ての時間帯統計情報１０７−５ａ，１０７−５ｂ・・・を参照して、曜日データベース１０７−６における該当の曜日統計情報１０７−６ａ（１０７−６ｂ・・・）を更新する。

ここで、曜日統計情報１０７−６ａ（１０７−６ｂ・・・）は、過去数週間分の通信情報に基づいて生成されたものとしてもよい。つまり、時間帯データベース１０７−５の時間帯統計情報１０７−５ａ，１０７−５ｂ・・・を１日分の該当時間帯のデータとし、曜日統計情報１０７−６ａ（１０７−６ｂ・・・）を数週間分の該当曜日に関するデータとする。この場合には、更新部１０５−４は、時間帯統計情報１０７−５ａ，１０７−５ｂ・・・と、該当の曜日統計情報１０７−６ａ（１０７−６ｂ・・・）とに、日数分の重み付けを施してから、曜日統計情報１０７−６ａ（１０７−６ｂ・・・）を更新する。

同様に、更新部１０５−４は、第２の期間であるそれぞれの日が終了するたびに（たとえば、１日経過ごとに）、時間帯データベース１０７−５の全ての時間帯統計情報１０７−５ａ，１０７−５ｂ・・・を参照して、日にちデータベース１０７−７における該当の日にち統計情報１０７−７ａ（１０７−７ｂ・・・）を更新する。

ここで、日にち統計情報１０７−７ａ（１０７−７ｂ・・・）は、過去数ヶ月分の通信情報に基づいて生成されたものとしてもよい。つまり、時間帯データベース１０７−５の時間帯統計情報１０７−５ａ，１０７−５ｂ・・・を１日分の該当時間帯のデータとし、日にち統計情報１０７−７ａ（１０７−７ｂ・・・）を数ヶ月分の該当日にちに関するデータとする。この場合には、更新部１０５−４は、時間帯統計情報１０７−５ａ，１０７−５ｂ・・・と、該当の日にち統計情報１０７−７ａ（１０７−７ｂ・・・）とに、日数分の重み付けを施してから、日にち統計情報１０７−７ａ（１０７−７ｂ・・・）を更新する。

更新部１０５−４は、第３の期間であるそれぞれの月間が終了するたびに（たとえば、１月経過ごとに）、日にちデータベース１０７−７の全ての日にち統計情報１０７−７ａ，１０７−７ｂ・・・を参照して、月間データベース１０７−８における該当の月間統計情報１０７−８ａ（１０７−８ｂ・・・）を更新する。

ここで、月間統計情報１０７−８ａ（１０７−８ｂ・・・）は、過去数ヶ月分の通信情報に基づいて生成されたものとしてもよい。つまり、日にちデータベース１０７−７の日にち統計情報１０７−７ａ，１０７−７ｂ・・・を１か月分の該当日にちのデータとし、月間統計情報１０７−８ａ（１０７−８ｂ・・・）を数ヶ月分の該当月間に関するデータとする。この場合には、更新部１０５−４は、日にち統計情報１０７−７ａ，１０７−７ｂ・・・と、該当の月間統計情報１０７−８ａ（１０７−８ｂ・・・）とに、月数分の重み付けを施してから、月間統計情報１０７−８ａ（１０７−８ｂ・・・）を更新する。

ただし、管理サーバ装置１００に日にちデータベース１０７−７が装備されていない場合には、更新部１０５−４は、第２の周期であるそれぞれの週が終了するたびに（たとえば、１週間経過ごとに）、曜日データベース１０７−６の全ての曜日統計情報１０７−６ａ，１０７−６ｂ・・・を参照して、該当の月間統計情報１０７−８ａ（１０７−８ｂ・・・）を更新してもよい。

ここで、月間統計情報１０７−８ａ（１０７−８ｂ・・・）は、過去数月分の通信情報に基づいて生成されたものとしてもよい。つまり、曜日データベース１０７−６の曜日統計情報１０７−６ａ，１０７−６ｂ・・・を１週間分の該当曜日のデータとし、月間統計情報１０７−８ａ（１０７−８ｂ・・・）を数ヶ月分の該当月間に関するデータとする。この場合には、更新部１０５−４は、曜日統計情報１０７−６ａ，１０７−６ｂ・・・と、該当の月間統計情報１０７−８ａ（１０７−８ｂ・・・）とに、日数分（週間分）の重み付けを施してから、月間統計情報１０７−８ａ（１０７−８ｂ・・・）を更新する。

＜通信情報取得処理＞
次に、本実施の形態に係るネットワークシステム１における通信情報処理について説明する。図１２は、本実施の形態に係るパケットロガー８１２におけるデータ取得処理の処理手順を示すフローチャートである。

図１２に示すように、ハブ８１１をパケットが通過する（データが送受信される）と（ステップＳ１０２）、パケットロガー８１２がパケットの通過時刻を測定する（ステップＳ１０４）。パケットロガー８１２は、パケットの内容（ヘッダ情報）を確認して、送信元のアドレス、送信先のアドレス、セッションＩＤ、時刻、クライエント装置５００から送信されたデータ（Ｓｅｎｄ）かクライエント装置５００へと送信されたデータ（Ｒｅｃｅｉｖｅ）かを示す情報、そのデータの送受信時刻などを含む通信情報を取得する（ステップＳ１０６）。パケットロガー８１２は、通信情報を管理サーバ装置１００へと送信する（ステップＳ１０８）。

＜送受信データ管理処理＞
次に、本実施の形態に係るネットワークシステム１における送受信データ管理処理について説明する。図１３は、本実施の形態に係る管理サーバ装置１００における送受信データ管理処理の処理手順を示すフローチャートである。

図１３に示すように、管理サーバ装置１００の通信インターフェイス１０９がパケットロガー８１２から通信情報を受信すると（ステップＳ２０２にてＹＥＳの場合）、ＣＰＵ１０５が、通信情報をメモリ１０６に記憶する。

ＣＰＵ１０５は、受信した通信情報から対象のデータのデータ量を抽出する（ステップＳ２０４）。そして、ＣＰＵ１０５は、対象のデータが正常なデータであるか否かを判断するための判断処理を実行する（ステップＳ２０６）。

＜判断処理＞
ここで、本実施の形態に係る管理サーバ装置１００における判断処理（ステップＳ２０６）について説明する。図１４は、本実施の形態に係る管理サーバ装置１００における判断処理の処理手順を示すフローチャートである。

図１４に示すように、まず、ＣＰＵ１０５は、メモリ１０６上の正常フラグをすべてクリアする（ステップＳ３００）。次に、ＣＰＵ１０５は、対象のデータが送受信された時刻が属する所定期間を選択する（ステップＳ３０２）。より詳細には、ＣＰＵ１０５は、第１の周期である１日の中から対象のデータが送受信された時刻が属する該当時間帯（第１の期間）を選択する。ＣＰＵ１０５は、第２の周期である１週間の中から対象のデータが送受信された時刻が属する該当曜日（第２の期間）を選択する。ＣＰＵ１０５は、第３の周期である１年の中から対象のデータが送受信された時刻が属する該当月間（第３の期間）を選択する。

ＣＰＵ１０５は、正常範囲データベース１０７−１の時間帯正常範囲ファイル１０７−１ａから該当時間帯に対応する正常範囲（たとえば、正常データ量）を取得する（ステップＳ３０４）。ＣＰＵ１０５は、対象データの属性値（たとえば、正常データ量）が該当時間帯の正常範囲内であるか否かを判断する（ステップＳ３０６）。対象データの属性値が該当時間帯の正常範囲内であった場合（ステップＳ３０６にてＹＥＳの場合）、ＣＰＵ１０５はメモリ１０６上の時間帯正常フラグを立てて（ステップＳ３０８）、判断処理（ステップＳ２０６）を終了する。

一方、対象データの属性値が該当時間帯の正常範囲外であった場合（ステップＳ３０６にてＮＯの場合）、ＣＰＵ１０５は、正常範囲データベース１０７−１の曜日正常範囲ファイル１０７−１ｂから該当曜日に対応する正常範囲を取得する（ステップＳ３１０）。ＣＰＵ１０５は、対象データの属性値が該当曜日の正常範囲内であるか否かを判断する（ステップＳ３１２）。対象データの属性値が該当曜日の正常範囲内であった場合（ステップＳ３１２にてＹＥＳの場合）、ＣＰＵ１０５はメモリ１０６上の曜日正常フラグを立てて（ステップＳ３１４）、判断処理（ステップＳ２０６）を終了する。

一方、対象データの属性値が該当曜日の正常範囲外であった場合（ステップＳ３１２にてＮＯの場合）、ＣＰＵ１０５は、正常範囲データベース１０７−１の月間正常範囲ファイル１０７−１ｃから月間に対応する正常範囲を取得する（ステップＳ３１６）。ＣＰＵ１０５は、対象データの属性値が該当月間の正常範囲内であるか否かを判断する（ステップＳ３１８）。対象データの属性値が該当月間の正常範囲内であった場合（ステップＳ３１８にてＹＥＳの場合）、ＣＰＵ１０５はメモリ上の月間正常フラグを立てる（ステップＳ３２０）。一方、対象データの属性値が該当曜日の正常範囲外であった場合（ステップＳ３１８にてＮＯの場合）、判断処理（ステップＳ２０６）を終了する。

＜送受信データ管理処理＞
図１３に戻って、判断処理（ステップＳ２０６）が終了すると、ＣＰＵ１０５は対象データが正常データであるか否かの判断を行う（ステップＳ２０８）。本実施の形態においては、時間帯正常フラグと曜日正常フラグと月間正常フラグのいずれかが立っている場合に、ＣＰＵ１０５は対象データが正常データであると判断する。対象データが正常である場合（ステップＳ２０８にてＹＥＳの場合）、対象データに関する通信情報を正常データベース１０７−３に格納する（ステップＳ２１０）。一方、対象データが異常である場合（ステップＳ２０８にてＮＯの場合）、対象データに関する通信情報を異常データベース１０７−２に格納する（ステップＳ２１２）。

ただし、ＣＰＵ１０５は、対象データが正常である場合（ステップＳ２０８にてＹＥＳの場合）、対象データに関する全ての通信情報を通信情報データベース１０７−４に格納し（ステップＳ２１０）、対象データが異常である場合（ステップＳ２０８にてＮＯの場合）、対象データに関する通信情報を異常データベース１０７−２と通信情報データベース１０７−４とに格納する（ステップＳ２１２）構成であってもよい。

その後、ＣＰＵ１０５は、所定の更新期間が経過したか否かを判断する（ステップＳ２１４）。所定の更新期間が経過した場合には（ステップＳ２１４にてＹＥＳの場合）、ＣＰＵ１０５は、固定ディスク１０７に格納されている、更新期間が経過した時間帯データベース１０７−５、曜日データベース１０７−６、日にちデータベース１０７−７、月間データベース１０７−８の少なくとも１つを更新する（ステップＳ２１６）。

より詳細には、ＣＰＵ１０５は、１時間（第１の期間）経過毎に（ステップＳ２１４にてＹＥＳの場合）、時間帯データベース１０７−５を更新する（ステップＳ２１６）。また、ＣＰＵ１０５は、１日（第２の期間）経過毎に（ステップＳ２１４にてＹＥＳの場合）、時間帯データベース１０７−５と曜日データベース１０７−６と日にちデータベース１０７−７とを更新する（ステップＳ２１６）。ＣＰＵ１０５は、１月（第３の期間）経過毎に（ステップＳ２１４にてＹＥＳの場合）、時間帯データベース１０７−５と曜日データベース１０７−６と日にちデータベース１０７−７と月間データベース１０７−８とを更新する（ステップＳ２１６）。

ＣＰＵ１０５は、時間帯データベース１０７−５、曜日データベース１０７−６、日にちデータベース１０７−７、月間データベース１０７−８のうちの、更新されたデータベースに基づいて、正常範囲データベース１０７−１の正常範囲（たとえば、データ量）を更新する（ステップＳ２０８）。その後、ＣＰＵ１０５は、送受信データ管理処理を終了する。

一方、所定の更新期間が経過していない場合には（ステップＳ２１４にてＮＯの場合）、ＣＰＵ１０５は送受信データ管理処理を終了する。

＜出力処理＞
次に、本実施の形態に係る管理サーバ装置１００における異常通信情報出力処理について説明する。図１５は、本実施の形態に係る管理サーバ装置１００における異常通信情報出力処理の処理手順を示すフローチャートである。

図１５に示すように、管理者などが管理サーバ装置１００に異常通信情報を出力する旨の命令を入力すると（ステップＳ４０２にてＹＥＳの場合）、ＣＰＵ１０５は異常データベース１０７−２から、異常と判断されたデータに関する異常通信情報を抽出する（ステップＳ４０４）。ＣＰＵ１０５は、異常通信情報をクライアント装置５００毎に並べかえる（ステップＳ４０６）。ＣＰＵ１０６は、モニタ１０２に、クライアント装置５００毎に並べかえた異常通信情報を表示させる（ステップＳ４０８）。

このように、本実施の形態に係る管理サーバ装置１００は、データの属性値をそのデータが送受信された時刻が該当する期間の正常範囲と比較するだけでなく、異なる長さの該当する期間に対応付けられたそれぞれの正常範囲に基づいて送受信データが異常であるかを判断するため、異常なデータ送受信の発生をより適切に検知できる。

＜判断処理の第１の変形例＞
図１４に示す判断処理（ステップＳ２０６）のフローチャートにおいては、対照データの属性値がどれか１つの該当期間に対する正常範囲に含まれている場合には、それ以降の属性値の判断処理を省略する構成としている。しかし、前述したように、ＣＰＵ１０５が対照データの属性値が全ての該当期間の正常範囲に含まれているかを判断する構成であってもよい。すなわち、ＣＰＵ１０５が、ステップＳ３０８の次にステップＳ３１０を実行し、ステップＳ３１４の次にステップＳ３１６を実行してもよい。この場合には、ステップＳ２０８において、たとえば２つ以上の正常フラグが立てられている場合に、対象データが正常であると判断することができる。

＜判断処理の第２の変形例＞
また、図１４に示す判断処理（ステップＳ２０６）フローチャートにおいては、ＣＰＵ１０５が、時間帯と曜日と月間について対象データの属性値が正常範囲内であるか否かを判断するものであった。しかし、ＣＰＵ１０５が、時間帯と日にちと月間について対象データの属性値が正常範囲内であるか否かを判断する構成であってもよい。

すなわち、図１４に示すステップＳ３１０において、ＣＰＵ１０５は、正常範囲データベース１０７−１の日にち正常範囲ファイル１０７−１ｄから該当日にちに対応する正常範囲（たとえば、データ量）を取得する。ＣＰＵ１０５は、対象データの属性値が該当日にちの正常範囲内であるか否かを判断する（ステップＳ３１２）。対象データの属性値が該当日にちの正常範囲内であった場合（ステップＳ３１２にてＹＥＳの場合）、ＣＰＵ１０５は日にち正常フラグを立てて（ステップＳ３１４）、判断処理（ステップＳ２０６）を終了する。

加えて、ＣＰＵ１０５が、時間帯と曜日と日にちと月間についての対象データの属性値が正常範囲内であるか否かを判断する構成であってもよい。この場合にも、ステップＳ２０８において、ＣＰＵ１０５が、時間帯と曜日と日にちと月間の複数個以上（たとえば、２つ以上）について、対象データの属性値が正常範囲内である場合に、対象データを正常であると判断することができる。

＜その他の実施の形態＞
本発明は、システム或いは装置にプログラムを供給することによって達成される場合にも適用できることはいうまでもない。そして、本発明を達成するためのソフトウェアによって表されるプログラムを格納した記憶媒体を、システム或いは装置に供給し、そのシステム或いは装置のコンピュータ（又はＣＰＵやＭＰＵ）が記憶媒体に格納されたプログラムコードを読出し実行することによっても、本発明の効果を享受することが可能となる。

この場合、記憶媒体から読出されたプログラムコード自体が前述した実施の形態の機能を実現することになり、そのプログラムコードを記憶した記憶媒体は本発明を構成することになる。

プログラムコードを供給するための記憶媒体としては、例えば、フロッピディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、磁気テープ、不揮発性のメモリカード（ＩＣメモリカード）、ＲＯＭ（マスクＲＯＭ、フラッシュＥＥＰＲＯＭなど）などを用いることができる。

また、コンピュータが読出したプログラムコードを実行することにより、前述した実施の形態の機能が実現されるだけでなく、そのプログラムコードの指示に基づき、コンピュータ上で稼動しているＯＳ（オペレーティングシステム）などが実際の処理の一部または全部を行い、その処理によって前述した実施の形態の機能が実現される場合も含まれることは言うまでもない。

さらに、記憶媒体から読み出されたプログラムコードが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれた後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行い、その処理によって前述した実施の形態の機能が実現される場合も含まれることは言うまでもない。

今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記した説明ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

本実施の形態に係るネットワークシステムの全体構成を示す概略図である。 本実施の形態に係る管理サーバ装置を示す斜視図である。 本実施の形態に係る管理サーバ装置のハードウェア構成を示す制御ブロック図である。 本実施の形態に係るネットワークシステムの機能構成を示す機能ブロック図である。 正常範囲データベースに格納される時間帯正常範囲ファイルのデータ構造を示すイメージ図である。 正常範囲データベースに格納される曜日正常範囲ファイルのデータ構造を示すイメージ図である。 正常範囲データベースに格納される月間正常範囲ファイルのデータ構造を示すイメージ図である。 正常範囲データベースに格納される日にち正常範囲ファイルのデータ構造を示すイメージ図である。 正常データベース（通信情報データベース）のデータ構造を示すイメージ図である。 異常データベースのデータ構造を示すイメージ図である。 時間帯データベースに格納される時間帯統計情報を示すイメージ図である。 本実施の形態に係るパケットロガーにおけるデータ取得処理の処理手順を示すフローチャートである。 本実施の形態に係る管理サーバ装置における送受信データ管理処理の処理手順を示すフローチャートである。 本実施の形態に係る管理サーバ装置における判断処理の処理手順を示すフローチャートである。 本実施の形態に係る管理サーバ装置における異常通信情報出力処理の処理手順を示すフローチャートである。

符号の説明

１ ネットワークシステム、１００ 管理サーバ装置、１０１ コンピュータ本体、１０２ モニタ、１０２ａ 表示部、１０３ キーボード、１０４ マウス、１０５ ＣＰＵ、１０５ａ 制御部、１０５−１ 抽出部、１０５−２ 判断部、１０５−２ａ 第１の判断部、１０５−２ｂ 第２の判断部、１０５−２ｃ 第３の判断部、１０５−２ｄ 総合判断部、１０５−３ 格納部、１０５−４ 出力部、１０５−５ 更新部、１０６ メモリ、１０７ 固定ディスク、１０７ａ 記憶部、１０７−１ 正常範囲データベース、１０７−１ａ 時間帯正常範囲ファイル、１０７−１ｂ 曜日正常範囲ファイル、１０７−１ｃ 日にち正常範囲ファイル、１０７−１ｄ 月間正常範囲ファイル、１０７−２ 異常データベース、１０７−３ 正常データベース、１０７−４ 通信情報データベース、１０７−５ 時間帯データベース、１０７−５ａ，１０７−５ｂ 時間帯統計情報、１０７−６ 曜日データベース、１０７−６ａ，１０７−６ｂ 曜日統計情報、１０７−７ 日にちデータベース、１０７−７ａ，１０７−７ｂ 日にち統計情報、１０７−８ 月間データベース、１０７−８ａ，１０７−８ｂ 月間統計情報、１０８ 内部バス、１０９ 通信インターフェイス、１０９−１ 取得部、１１５ 表示部インターフェイス、２００ 内部管理サーバ装置、３００ ルータ、４００ 外部管理サーバ装置、５００，５００ａ，５００ｂ，５００ｃ クライエント装置、６００ ＬＡＮ（第１のネットワーク）、７００ インターネット（第２のネットワーク）、８１０ 取得部、８１１ ハブ、８１２ パケットロガー。

Claims (14)

1. ネットワークに接続される少なくとも１つのクライエント装置と、
   前記クライエント装置と前記ネットワークとの間で送受信されるデータに関する送受信時間を含む通信情報を取得する取得手段と、
   前記取得手段が取得した通信情報から前記データの属性値を抽出する抽出手段と、
   複数の第１の期間にそれぞれ対応付けられた複数の第１の正常範囲を、所定数の前記第１の期間からなる第１の周期分格納するとともに、前記第１の期間よりも長い複数の第２の期間にそれぞれ対応付けられた複数の第２の正常範囲を、所定数の前記第２の期間からなる第２の周期分格納する第１のデータベースと、
   第２のデータベースと、
   前記データが送受信された時間に対応する前記第１の期間に対応付けられた第１の正常範囲を前記第１のデータベースから読み出して、前記データの属性値が前記第１の正常範囲内であるか否かを判断する第１の判断手段と、
   前記データが送受信された時間に対応する前記第２の期間に対応付けられた第２の正常範囲を前記第１のデータベースから読み出して、前記データの属性値が前記第２の正常範囲内であるか否かを判断する第２の判断手段と、
   前記第１および第２の判断手段の判断結果に基づいて、前記データが正常であるか否かを判断する総合判断手段と、
   前記データが正常でないと判断された場合に、当該データに関する通信情報を前記第２のデータベースに格納する格納手段とを備える、ネットワークシステム。
2. 第３のデータベースをさらに備え、
   前記格納手段は、前記データが正常であると判断された場合に、当該データに関する通信情報を第３のデータベースに格納し、
   前記第３のデータベースに格納されている少なくとも１つの前記データに関する通信情報を参照して、前記データの属性値に基づき、前記第１のデータベースの前記第１および第２の正常範囲を更新する更新手段をさらに備える、請求項１に記載のネットワークシステム。
3. 第４のデータベースをさらに備え、
   前記格納手段は、前記データに関する通信情報を第４のデータベースに格納し、
   前記第４のデータベースに格納されている少なくとも１つの前記データに関する通信情報を参照して、前記データの属性値に基づき、前記第１のデータベースの前記第１および第２の正常範囲を更新する更新手段をさらに備える、請求項１に記載のネットワークシステム。
4. 前記データの属性値は、前記データのデータ量である、請求項１から３のいずれか１項に記載のネットワークシステム。
5. 前記第１の周期と第１の期間および第２の周期と第２の期間の各々は、１日と時間帯および１週間と曜日、あるいは、１日と時間帯および１月と１日である、請求項１から４のいずれか１項に記載のネットワークシステム。
6. 前記第１の周期と第１の期間および第２の周期と第２の期間の各々は、１週間と曜日および１年と月間、あるいは、１月と１日および１年と１月である、請求項１から４のいずれか１項に記載のネットワークシステム。
7. 各々の前記第１の期間における前記通信情報に基づく統計情報を格納する第５のデータベースと、
   各々の前記第２の期間における前記通信情報に基づく統計情報を格納する第６のデータベースとをさらに備え、
   前記更新手段は、
   前記データに関する通信情報に基づいて、前記第５のデータベースにおける前記データが送受信された時間が含まれる前記第１の期間に対応する統計情報を更新し、
   前記第５のデータベースを参照して、前記第６のデータベースにおける前記データが送受信された時間が含まれる前記第２の期間に対応する統計情報を更新し、
   前記第５および第６のデータベースに格納された前記統計情報に基づいて、前記第１のデータベースにおける前記第１および第２の正常範囲を更新する、請求項１から４のいずれか１項に記載のネットワークシステム。
8. 少なくとも１つのクライエント装置とネットワークとの間で送受信されるデータに関する送受信時間を含む通信情報から前記データの属性値を抽出する抽出手段と、
   複数の第１の期間にそれぞれ対応付けられた複数の第１の正常範囲を、所定数の前記第１の期間からなる第１の周期分格納するとともに、前記第１の期間よりも長い複数の第２の期間にそれぞれ対応付けられた複数の第２の正常範囲を、所定数の前記第２の期間からなる第２の周期分格納する第１のデータベースと、
   第２のデータベースと、
   前記データが送受信された時間に対応する前記第１の期間に対応付けられた第１の正常範囲を前記第１のデータベースから読み出して、前記データの属性値が前記第１の正常範囲内であるか否かを判断する第１の判断手段と、
   前記データが送受信された時間に対応する前記第２の期間に対応付けられた第２の正常範囲を前記第１のデータベースから読み出して、前記データの属性値が前記第２の正常範囲内であるか否かを判断する第２の判断手段と、
   前記第１および第２の判断手段の判断結果に基づいて、前記データが正常であるか否かを判断する総合判断手段と、
   前記データが正常でないと判断された場合に、当該データに関する通信情報を前記第２のデータベースに格納する格納手段とを備える、サーバ装置。
9. 第３のデータベースをさらに備え、
   前記格納手段は、前記データが正常であると判断された場合に、当該データに関する通信情報を第３のデータベースに格納し、
   前記第３のデータベースに格納されている少なくとも１つの前記データに関する通信情報を参照して、前記データの属性値に基づき、前記第１のデータベースの前記第１および第２の正常範囲を更新する更新手段をさらに備える、請求項８に記載のサーバ装置。
10. 第４のデータベースをさらに備え、
    前記格納手段は、前記データに関する通信情報を第４のデータベースに格納し、
    前記第４のデータベースに格納されている少なくとも１つの前記データに関する通信情報を参照して、前記データの属性値に基づき、前記第１のデータベースの前記第１および第２の正常範囲を更新する更新手段をさらに備える、請求項８に記載のサーバ装置。
11. 前記データの属性値は、前記データのデータ量である、請求項８から１０のいずれか１項に記載のサーバ装置。
12. 前記第１の周期と第１の期間および第２の周期と第２の期間の各々は、１日と時間帯および１週間と曜日、あるいは、１日と時間帯および１月と１日である、請求項８から１１のいずれか１項に記載のサーバ装置。
13. 前記第１の周期と第１の期間および第２の周期と第２の期間の各々は、１週間と曜日および１年と月間、あるいは、１月と１日および１年と１月である、請求項８から１１のいずれか１項に記載のサーバ装置。
14. 各々の前記第１の期間における前記通信情報に基づく統計情報を格納する第５のデータベースと、
    各々の前記第２の期間における前記通信情報に基づく統計情報を格納する第６のデータベースとをさらに備え、
    前記更新手段は、
    前記データに関する通信情報に基づいて、前記第５のデータベースにおける前記データが送受信された時間が含まれる前記第１の期間に対応する統計情報を更新し、
    前記第５のデータベースを参照して、前記第６のデータベースにおける前記データが送受信された時間が含まれる前記第２の期間に対応する統計情報を更新し、
    前記第５および第６のデータベースに格納された前記統計情報に基づいて、前記第１のデータベースにおける前記第１および第２の正常範囲を更新する、請求項８から１３のいずれか１項に記載のサーバ装置。

Images