JP2011124777A - 通信分類装置および通信分類方法、ならびにそのためのプログラム - Google Patents

Abstract

【課題】通信をヘッダ情報のみを利用して簡便にかつ精度よく分類することが可能な通信分類装置および通信分類方法ならびにそのためのプログラムの提供。
【解決手段】通信を構成するパケットのヘッダ情報を取得するヘッダ情報取得手段２１０と、該ヘッダ情報取得手段で取得したヘッダ情報からヘッダ情報の一部あるいは複数のヘッダ情報の組を得るヘッダ情報分析手段２３０と、該ヘッダ情報分析手段により得られたヘッダ情報の一部あるいは前記複数のヘッダ情報の組と外部データ２２０を照合して前記通信の発ホストと着ホストのそれぞれが「エンドホスト」、「サーバ」、または「不明」を表す属性値のいずれに対応するかを判別するデータ照合・属性判別手段２４０と、該データ照合・属性判別手段により判別された属性値に基づいて、前記通信をエンドホスト間通信あるいは非エンドホスト間通信のいずれかに分類する通信分類手段２５０とを有する
【選択図】図１−Ａ

Description

本発明は、ＩＰ（Internet Protocol）ネットワーク上の通信を分類するための技術に係り、特に、通信をヘッダ情報のみを利用して簡便にかつ精度よく分類することが可能な通信分類装置および通信分類方法、ならびにそのためのプログラムに関する。

通信ネットワークを適切に管理するためには通信の素性を明らかにすることが必要である。従来ＩＰネットワークにおいてはＴＣＰ（Transmission Control Protocol）におけるポート番号を参照することで通信の分類が可能であった。

例えば、ＴＣＰのポートが８０であれば、その通信はｗｅｂ通信であり、これはいわゆるサーバ・クライアント通信である。しかしながらネットワーク利用が多様化し、Ｐ２Ｐ（Peer to Peer）等様々なアプリケーションが不特定のポート番号を使うようになったため、ポート番号による通信の分類はできなくなった。

Ｐ２Ｐ通信はエンドホスト間通信の代表例である。サーバはプロバイダーが設置箇所を把握・コントロールできるのに対し、エンドホストはネットワーク上の様々な場所に存在するため把握・コントロールが困難である。このようなエンドホスト間通信がネットワークに与える影響は大きいため、これらの通信を正しく分類することが課題となっていた。

上記の課題を解決するために、従来提案された非特許文献１においては、通信のパターン分析によって通信を分類する試みがなされている。

また、別のアプローチとして、非特許文献２などには、通信の中身を詳細に分析することによって、通信を分類する試みがなされている。

T Karagiannis, K Papagiannaki, and M Faloutsos, "BLINC: Multilevel traffic classification in the dark" (2005). ACM SIGCOMM. 35 (4), pp. 229-240. 「Deep packet inspection」 From Wikipedia, the free encyclopedia、〔online〕、2 November 2009 〔平成２１年１１月２６日検索〕、インターネット＜URL：http://en.wikipedia.org/wiki/Deep_packet_inspection＞

上記非特許文献１に開示された方法は、通信のパターン分析により通信を分類するものであるが、この方法は計測に必要なオーバーヘッドが高いため現実性にかけること、計測ができたとして計算量が莫大であるためリアルタイムの処理が非現実的であること、および通信量が十分に観測されなかったホストが関与する通信を分類することができないこと、などの問題がある。

また、上記非特許文献２などに開示された方法は、通信の中身の分析により通信を分類するものであるが、この方法もやはりスケーラビリティの問題があるため、将来的に主流となる１０Ｇｂｐｓ超の高速ネットワークにおいては実用的ではないという問題がある。

また、上記従来技術による方法は、対象となるアプリケーション毎に通信のパターンを事前に把握する必要があるため、新規アプリケーションに対する適用性がないという問題がある。さらに、通信の内容が暗号化されている場合にはこの手法はまったく適用できないという問題がある。

本発明は、上記の課題を鑑みてなされたものであり、通信をヘッダ情報のみを利用して簡便にかつ精度よく分類することが可能な通信分類装置および通信分類方法ならびにそのためのプログラムを提供することを目的としている。

本発明は、上記目的を達成するために、次のような構成を採用している。
ａ）本発明に係る通信分類装置は、ＩＰネットワーク上の通信を分類する通信分類装置であって、通信を構成するパケットのヘッダ情報を取得するヘッダ情報取得手段と、該ヘッダ情報取得手段で取得したヘッダ情報からヘッダ情報の一部あるいは複数のヘッダ情報の組を得るヘッダ情報分析手段と、該ヘッダ情報分析手段により得られたヘッダ情報の一部あるいは前記複数のヘッダ情報の組と外部データを照合して前記通信の発ホストと着ホストのそれぞれが「エンドホスト」、「サーバ」、または「不明」を表す属性値のいずれに対応するかを判別するデータ照合・属性判別手段と、該データ照合・属性判別手段により判別された属性値に基づいて、前記通信をエンドホスト間通信あるいは非エンドホスト間通信のいずれかに分類する通信分類手段とを有することを特徴としている。

ここで、「エンドホスト」とは、ユーザに割り当てられるＩＰアドレスを有するホストであり、例えばＩＳＰのユーザのホスト（例えば、ＰＣやＮＡＴ機能を備えたブロードバンドルータなど）が該当する。また「サーバ」とは、エンドホストではないホストが他のホストにサービスを提供するサーバ（例えば、ｗｅｂサーバなど）に該当する。「不明」はどちらにも識別できなかった場合である。

また、パケットのヘッダ情報は、ＩＰ通信を構成する各々のレイヤーで取得することができ、第二層では発ＭＡＣアドレスと着ＭＡＣアドレス、およびＶＬＡＮ ＩＤ、第三層（ＩＰ）ではバージョン、データ長、ＴＯＳ、ＤＦビット、ＴＴＬ、発ＩＰアドレス、着ＩＰアドレス、オプション、第四層（ＵＤＰ／ＴＣＰ）では、発ポート番号、着ポート番号、データ長、シーケンス番号、確認応答番号、ヘッダ長、ＴＣＰフラグ、ウィンドウサイズ、オプションを対象とする。

ｂ）本発明に係る通信分類方法は、ヘッダ情報取得手段とヘッダ情報分析手段とデータ照合・属性判別手段と通信分類手段とを用いてＩＰネットワーク上の通信を分類する通信分類方法であって、前記ヘッダ情報取得手段により、通信を構成するパケットのヘッダ情報を取得する手順と、前記ヘッダ情報分析手段により、前記ヘッダ情報からヘッダ情報の一部あるいは複数のヘッダ情報の組を得る手順と、前記データ照合・属性判別手段により、前記ヘッダ情報の一部あるいは前記複数のヘッダ情報の組と外部データを照合して前記通信の発ホストと着ホストのそれぞれが「エンドホスト」、「サーバ」、または「不明」を表す属性値のいずれに対応するかを判別する手順と、前記通信分類手段により、前記属性値に基づいて、前記通信をエンドホスト間通信あるいは非エンドホスト間通信のいずれかに分類する手順とを有することを特徴としている。

ｃ）また、上記において、前記ヘッダ情報の一部は、ＩＰアドレスであり、前記外部データは、ＩＳＰがまとめたエンドホスト用アドレスリストあるいはボットネット対策用にまとめられたエンドホストＩＰアドレスリストであること、または、前記ヘッダ情報の一部は、ＭＡＣアドレスを利用し、該ＭＡＣアドレスのベンダーコード（上位３バイト）であり、前記外部データは、任意に指定可能なエンドホストあるいはサーバを示す特定のパターンであること、または、前記ヘッダ情報の一部として、ＩＰｖ６アドレスを利用し、ＭＡＣアドレスから生成されるＥＵＩ６４フォーマットに該当する後半８バイトを参照してＭＡＣアドレスに変換し、該変換されたＭＡＣアドレスの上位３バイトを参照し、その３バイトが、前記外部データとして任意に指定されたエンドホストあるいはサーバを示す特定のパターンであった場合にエンドホストあるいはサーバと判定し、それ以外は不明と判定すること、または、前記ヘッダ情報の一部は、ＶＬＡＮ ＩＤあるいはＴＯＳフィールドのいずれかであり、前記外部データは、任意に指定可能なエンドホストあるいはサーバを示す特定のパターンであること、または、前記複数ヘッダ情報の組は、ＩＰバージョン、ＴＣＰフラグ、ウィンドウサイズ、ＤＦビット、ＴＴＬ、データサイズ、ＩＰオプション、ＴＣＰオプションの組み合わせであり、前記外部データは、任意に指定可能なエンドホストあるいはサーバを示す特定のパターンであることを特徴とし、さらには上記の任意の組み合わせで通信の分類を実施することを特徴としている。

ｄ）また、前記通信を分類する手順は、発ホストの属性値と着ホストの属性値の両方がエンドホストである場合に当該通信をエンドホスト間通信と分類し、それ以外の場合に当該通信を非エンドホスト間通信と分類するか、あるいは、発ホストの属性値と着ホストの属性値の両方がエンドホストであるか一方がエンドホストであり他方が不明である場合に当該通信をエンドホスト間通信と分類し、それ以外の場合に当該通信を非エンドホスト間通信と分類する手順であることを特徴としている。

ｅ）本発明に係るプログラムは、コンピュータに、上記通信分類方法における各手順を実行させるためのプログラムである。

本発明によれば、ＩＰネットワーク通信をヘッダ情報のみを利用して簡便にかつ精度よく分類することが可能な通信分類装置および通信分類方法およびそのためのプログラムを実現することができる。

本発明に係る通信分類システムの一構成例を示す図である。 本発明に係る通信分類システムによる通信分類方法を説明するためのフローチャートである。 図１−ＢのステップＳ４における処理の一例を説明するためのフローチャートである（その１）。 図１−ＢのステップＳ４における処理の一例を説明するためのフローチャートである（その２）。 ＴＣＰ／ＩＰヘッダ値とホストの属性値に関するリストの一例を示す図である。

（概要）
本発明は、ＩＰネットワーク上の通信を分類する技術に関するものである。
従来、ＩＰネットワークにおいてはＴＣＰにおけるポート番号を参照することで通信の分類が可能であったが、ネットワーク利用が多様化し、Ｐ２Ｐ等様々なアプリケーションが不特定のポート番号を使うようになったため、ポート番号による通信の分類が難しくなってきた。Ｐ２Ｐ通信はエンドホスト間通信の代表例であるが、このようなエンドホスト間通信がネットワークに与える影響は大きいため、これらの通信を正しく分類して、ＩＰネットワーク上の通信を分類することが重要となる。

これを解決するため、本発明では、通信を構成するパケットのヘッダ情報のみを参照し、得られたヘッダ情報の一部（例えばＩＰアドレス）に対して外部データベースを参照する手段や、複数のヘッダ情報を組み合わせることによって始点と終点両方のホストに対する属性値（「エンドホスト」、「サーバ」、「不明」のいずれか示す）を取得する手段と、取得したホスト間の属性値を元に該当する通信を「エンドホスト間通信」および「非エンドホスト間通信」に分類する手段を備え、これにより、通信をヘッダ情報のみを利用して簡便にかつ精度良く通信を分類することを可能とするものである。

（実施例）
以下、本発明に係る通信分類装置を備えた通信分類システムの実施例を、図面を用いて詳細に説明する。

図１−Ａは、本発明に係る通信分類装置を備えた通信分類システムの実施例の構成例を示す図であり、図１−Ｂは、本発明に係る通信分類装置による通信分類方法を説明するためのフローチャートである。

以下、図１−Ａおよび図１−Ｂを用いて、本発明に係る通信分類装置および通信分類方法を説明する。

本実施例に係る通信分類システムは、図１−Ａに示すように、ルータあるいはスイッチ（図１−Ａでは「ルータ・スイッチ」で示す）１００と通信分類装置２００を有する。

図１−Ａでは、通信分類装置２００をルータあるいはスイッチ１００に対して外付けする形での実装を示しているが、通信分類装置２００はひとつの機能としてルータあるいはスイッチ１００に内蔵される形態で実装されても構わない。

図１−Ａに示すように、ルータあるいはスイッチ１００は、ある回線上のパケットｐ１を受信すると、そのパケットのヘッダ情報ｈ１を通信分類装置２００に送信する。当該回線上の逆方向から到着したパケットｐ２に対しても同様の処理を実施する。

同図に示すように、通信分類装置２００は、通信のヘッダ情報を取得するヘッダ情報取得手段２１０と、外部データ（ＩＳＰがまとめたエンドホスト用アドレスリストやボットネット対策用にまとめられたエンドホストＩＰアドレスリスト、あるいは、複数のヘッダ情報の特定のパターン等）を格納するデータベースＤＢ２２０と、ヘッダ情報取得手段２１０で取得したヘッダ情報を分析するヘッダ情報分析手段２３０と、ヘッダ情報分析手段２３０で得たヘッダ情報の一部とあるいは複数のヘッダ情報の組のパターンと外部データＤＢ２２０の内容を照合してホストの種類（「エンドホスト」か「サーバ」か「不明」か）を判別するデータ照合・属性値判別手段２４０と、データ照合・属性値判別手段２４０で判別した属性値に基づいて通信を分類する通信分類手段２５０とを有する。

ここで、本発明において、「エンドホスト」とは、ユーザに割り当てられるＩＰアドレスを有するホストであり、例えばＩＳＰ（Internet Services Provider）のユーザのホスト（例えば、ＰＣ（Personal Computer）やＮＡＴ（Network Address Translation）機能を備えたブロードバンドルータなど）が該当する。また「サーバ」とは、エンドホストではないホストが他のホストにサービスを提供するサーバ（例えば、ｗｅｂサーバなど）に該当する。「不明」はどちらにも識別できなかった場合である。

パケットのヘッダ情報は、ＩＰ通信を構成する各々のレイヤーで取得することができ、第二層では発ＭＡＣアドレス（Media Access Control address）と着ＭＡＣアドレス、およびＶＬＡＮ ＩＤ（Virtual LAN ID）、第三層（ＩＰ）ではバージョン、データ長、ＴＯＳ（Type of Service）、ＤＦ（Don’t fragment）ビット、ＴＴＬ（time to live）、発ＩＰアドレス、着ＩＰアドレス、オプション、第四層（ＵＤＰ／ＴＣＰ；User Datagram Protocol/Transmission Control Protocol）では、発ポート番号、着ポート番号、データ長、シーケンス番号、確認応答番号、ヘッダ長、ＴＣＰフラグ、ウィンドウサイズ、オプションを対象とする。

次に、通信分類装置２００の処理の流を図１−Ｂを用いて説明する。
同図に示すように、通信分類装置２００は、ヘッダ情報取得手段２１０により、通信パケットのＩＰアドレス毎に通信のヘッダ情報を取得し（ステップＳ１）、取得したＩＰアドレス毎にヘッダ情報の分析を行う（ステップＳ２）。

次に、データ照合・属性値判別手段２４０により、後述する方法によって、当該ＩＰアドレスの属性値、すなわちエンドホストであるか、サーバであるか、不明であるかを調べ、結果を図示しない記憶装置に記録する。外部データを記憶するデータベース（ＤＢ）２２０を属性値の記録装置として兼用してもよい。

次に、ある通信の発ホストと着ホストの両方に対してホストの属性が明らかになったら、通信分類手段２５０により、通信の分類を行う（ステップＳ４）。

図２は、図１−ＢのステップＳ４における通信の分類の詳細を説明するためのフローチャートであり、本例は、発ホストと着ホストの両方がエンドホストであるか否かにより通信を分類するという厳しい条件での分類の例である。

同図において、先ず、ある通信の発ホストと着ホストの属性値を取得し（ステップＳ１０）、発ホストと着ホストの属性値が両方ともエンドホストであれば（ステップＳ１１：Ｙ）、当該通信をエンドホスト間通信と判定する（ステップＳ１２）。発ホストと着ホストの属性値の一方でもエンドホストでなければ（ステップＳ１１：Ｎ）、当該通信を非エンドホスト間通信と判定する（ステップＳ１３）。

図３は、図１−ＢのステップＳ４における通信の分類の詳細を説明するためのフローチャートであり、本例は、発ホストと着ホストの少なくとも一方のホストがエンドホストであればエンドホスト間通信と判定する図２に比較してより緩い条件での分類の例である。

同図において、先ず、ある通信の発ホストと着ホストの属性値を取得し（ステップＳ２０）、発ホストと着ホストの属性値が両方ともエンドホストの場合（ステップＳ２１：Ｙ）、および、発ホストと着ホストの属性値が両方ともエンドホストの場合でなくても（ステップＳ２１：Ｎ）、発ホストと着ホストの属性値の少なくとも一方がエンドホストでもう一方が不明の場合は（ステップＳ２３：Ｙ）、当該通信をエンドホスト間通信と判定する（ステップＳ２２）。

発ホストと着ホストの属性値が両方ともエンドホストの場合でなく（ステップＳ２１：Ｎ）、発ホストと着ホストの属性値の少なくとも一方がエンドホストでもう一方が不明の場合でもない場合は（ステップＳ２３：Ｎ）、当該通信を非エンドホスト間通信と判定する（ステップＳ２４）。

次に、図１−Ａにおけるヘッダ情報分析手段２３０およびデータ照合・属性値判別手段２４０により属性値（すなわち、エンドホストかサーバは不明か）を求める処理（図１−ＢのステップＳ２，Ｓ３参照）について具体的に説明する。

本発明におけるヘッダ情報の一部をＩＰアドレスとし、該ＩＰアドレスそのものを別途収集した外部データと照合し、ヘッダ情報であるＩＰアドレスが外部データであるエンドホストＩＰアドレスに一致していれば、当該ホストをエンドホストと判別する。

外部データ（外部アドレスリスト）としては、エンドユーザに割り当てる動的なＩＰアドレスを収集したリストや、著名なサーバのホスト名をＤＮＳ（Domain Name System）で解決し、得られたＡレコードのＩＰアドレスを収集したリストを使うことができる。例えばＩＳＰがまとめたエンドホスト用アドレスリストや、ボットネット対策用にまとめられたエンドホストＩＰアドレスリストなどを利用する。この外部アドレスリストは、図１−Ａに示すデータベースＤＢ２２０上に外部データとして格納する。通信分類装置２００は、ＩＰアドレスとＤＢ２２０上の外部データ（外部アドレスリスト）を比較することによって、ホストの属性値（「エンドホスト」か「サーバ」か「不明」かを表す値）を推定する。

また、別の例として、ヘッダ情報の一部としてＭＡＣアドレスを利用し、該ＭＡＣアドレスのベンダーコード（上位３バイト）を、任意に指定可能なエンドホストあるいはサーバを示す特定のパターンを有する外部データと照合して、ベンダーコード（上位３バイト）がエンドホストを示す特定パターンと一致したときは該ホストをエンドホストと判別し、サーバを示す特定のパターンと一致したときはサーバと判別し、それ以外は不明と判定するようにしてもよい。例えばベンダーコードが０x００１９ＦＤ（先頭の“ｏｘ”は１６進であることを示す）であったらエンドホストと判定する。

また、別の例として、ヘッダ情報の一部としてＩＰｖ６（Internet Protocol Version 6）アドレスを利用し、ＭＡＣアドレスから生成されるＥＵＩ６４（Extended Universal Identifier -64bit）フォーマットに該当する後半８バイトを参照してＭＡＣアドレスに変換し、該変換されたＭＡＣアドレスの上位３バイトを参照し、その３バイトが、前記外部データとして任意に指定されたエンドホストを示す特定のパターンであった場合に当該ホストをエンドホストと判別し、前記外部データとして任意に指定されたサーバを示す特定のパターンであった場合に当該ホストをサーバと判別し、それ以外は不明と判定するようにしてもよい。

また、別の例として、ヘッダ情報の一部をＶＬＡＮ ＩＤあるいはＴＯＳ（type of service）フィールドのいずれかにし、外部データを任意に指定可能なエンドホストあるいはサーバを示す特定のパターンとし、両者を照合することによりエンドホスト、あるいはサーバと判定し、それ以外は不明と判定するようにしてもよい。

また、上記において、複数ヘッダ情報の組を、ＩＰバージョン、ＴＣＰフラグ、ウィンドウサイズ、ＤＦ（Don’t fragment）ビット、ＴＴＬ（time to live）、データサイズ、ＩＰオプション、ＴＣＰオプションの組み合わせとし、これらの組み合わせたものが、予め指定が可能な外部データ（任意に指定可能なエンドホストあるいはサーバを示す特定のパターン）と一致した場合にエンドホスト、あるいはサーバと判定し、それ以外は不明と判定する。

なお、観測したＴＴＬの値が３２，６４，１２８，２５５の中間の値の場合、それよりも大きい値に繰り上げるものとする。例えば、ＴＴＬの値として５６を観測したらＴＴＬの値を６４に繰り上げ、また、ＴＴＬの値として２４４を観測したらＴＴＬの値を２５５と繰り上げる。

図４は、この場合の外部データのリスト（ヘッダ値（ヘッダ情報）とホストの属性の関係をまとめたリスト）の一例を示す図である。同図では、ヘッダ値として、ＴＴＬ、パケットサイズ、Ｗｉｎｄｏｗサイズ、ＴＣＰフラグを用いた場合を示している。

リストにＩＰパケットのヘッダ値のパターンがない場合は発ＩＰアドレス（ホスト）の属性は不明と処理する。また、ＩＰパケットのヘッダ値のパターンの一致条件を緩め、ＩＰパケットのヘッダ値のパターンをマッチする際に予め定められた閾値以上のヘッダ値が一致した場合（例えば、閾値を２とし、図４でＴＣＰフラグ３４を除いた３つのヘッダ値のうち、いずれかの２つが一致した場合）にその一致した発ＩＰアドレス（ホスト）の属性を採用するようにしてもよい。

このリストは、エンドホストとして使われやすいOperating System（OS）のＴＣＰ／ＩＰスタック（例えばMicrosoft社のWindows（登録商標）など）を予め調査することによって、特徴的なヘッダ値を抽出することで作成可能である。

以上、本発明に係る通信分類方法の様々なバリエーションを説明したが、上記の方法を任意の組み合わせで実施するようにしてもよい。

なお、図１−Ｂのフローチャートを用いて説明した通信分類装置２００の処理、および、図２，３フローチャートを用いて説明した通信分類手段２５０の処理は、通信分類装置２００を構成するコンピュータに内臓されるＣＰＵやメモリ、レジスタなどのハードウェアを用いて各処理に対応するプログラムを実行することにより実現される。また、これら各処理に対応するプログラムは、ＦＤ、ＣＤ−ＲＯＭ、ＤＶＤなどの記録媒体や、インターネットなどのネットワークを介して市場に流通させることができる。

１００：ルータ・スイッチ（ルータあるいはスイッチ）
２００：通信分類装置
２１０：ヘッダ情報取得手段
２２０：ＤＢ（データベース）
２３０：ヘッダ情報分析手段
２４０：データ照合・属性値判別手段
２５０：通信分類手段
ｐ１，ｐ２：パケット
ｈ１：ヘッダ情報

Claims (10)

1. ＩＰネットワーク上の通信を分類する通信分類装置であって、
   通信を構成するパケットのヘッダ情報を取得するヘッダ情報取得手段と、
   該ヘッダ情報取得手段で取得したヘッダ情報からヘッダ情報の一部あるいは複数のヘッダ情報の組を得るヘッダ情報分析手段と、
   該ヘッダ情報分析手段により得られたヘッダ情報の一部あるいは前記複数のヘッダ情報の組と外部データを照合して前記通信の発ホストと着ホストのそれぞれが「エンドホスト」、「サーバ」、または「不明」を表す属性値のいずれに対応するかを判別するデータ照合・属性判別手段と、
   該データ照合・属性判別手段により判別された属性値に基づいて、前記通信をエンドホスト間通信あるいは非エンドホスト間通信のいずれかに分類する通信分類手段と、
   を有することを特徴とする通信分類装置。
2. ヘッダ情報取得手段とヘッダ情報分析手段とデータ照合・属性判別手段と通信分類手段とを用いてＩＰネットワーク上の通信を分類する通信分類方法であって、
   前記ヘッダ情報取得手段により、通信を構成するパケットのヘッダ情報を取得する手順と、
   前記ヘッダ情報分析手段により、前記ヘッダ情報からヘッダ情報の一部あるいは複数のヘッダ情報の組を得る手順と、
   前記データ照合・属性判別手段により、前記ヘッダ情報の一部あるいは前記複数のヘッダ情報の組と外部データを照合して前記通信の発ホストと着ホストのそれぞれが「エンドホスト」、「サーバ」、または「不明」を表す属性値のいずれに対応するかを判別する手順と、
   前記通信分類手段により、前記属性値に基づいて、前記通信をエンドホスト間通信あるいは非エンドホスト間通信のいずれかに分類する手順と、
   を有することを特徴とする通信分類方法。
3. 請求項２に記載の通信分類方法において、
   前記ヘッダ情報の一部は、ＩＰアドレスであり、
   前記外部データは、ＩＳＰがまとめたエンドホスト用アドレスリストあるいはボットネット対策用にまとめられたエンドホストＩＰアドレスリストであることを特徴とする通信分類方法。
4. 請求項２に記載の通信分類方法において、
   前記ヘッダ情報の一部は、ＭＡＣアドレスを利用し、該ＭＡＣアドレスのベンダーコード（上位３バイト）であり、
   前記外部データは、任意に指定可能なエンドホストあるいはサーバを示す特定のパターンであることを特徴とする通信分類方法。
5. 請求項２に記載の通信分類方法において、
   前記ヘッダ情報の一部として、ＩＰｖ６アドレスを利用し、ＭＡＣアドレスから生成されるＥＵＩ６４フォーマットに該当する後半８バイトを参照してＭＡＣアドレスに変換し、該変換されたＭＡＣアドレスの上位３バイトを参照し、その３バイトが、前記外部データとして任意に指定されたエンドホストあるいはサーバを示す特定のパターンであった場合にエンドホストあるいはサーバと判定し、それ以外は不明と判定することを特徴とする通信分類方法。
6. 請求項２に記載の通信分類方法において、
   前記ヘッダ情報の一部は、ＶＬＡＮ ＩＤあるいはＴＯＳフィールドのいずれかであり、
   前記外部データは、任意に指定可能なエンドホストあるいはサーバを示す特定のパターンであることを特徴とする通信分類方法。
7. 請求項２に記載の通信分類方法において、
   前記複数ヘッダ情報の組は、ＩＰバージョン、ＴＣＰフラグ、ウィンドウサイズ、ＤＦビット、ＴＴＬ、データサイズ、ＩＰオプション、ＴＣＰオプションの組み合わせであり、
   前記外部データは、任意に指定可能なエンドホストあるいはサーバを示す特定のパターンであることを特徴とする通信分類方法。
8. 請求項２に記載の通信分類方法において、
   請求項３から７の方法を任意の組み合わせで実施することを特徴とする通信分類方法。
9. 請求項２から８のいずれかに記載の通信分類方法において、
   前記通信を分類する手順は、発ホストの属性値と着ホストの属性値の両方がエンドホストである場合に当該通信をエンドホスト間通信と分類し、それ以外の場合に当該通信を非エンドホスト間通信と分類するか、あるいは、発ホストの属性値と着ホストの属性値の両方がエンドホストであるか一方がエンドホストであり他方が不明である場合に当該通信をエンドホスト間通信と分類し、それ以外の場合に当該通信を非エンドホスト間通信と分類する手順であることを特徴とする通信分類方法。
10. コンピュータに、請求項２から９のいずれかに記載の通信分類方法における各手順を実行させるためのプログラム。

Images