JP2016015676A - 監視装置、監視システム、および、監視方法 - Google Patents

Abstract

【課題】ネットワークへの不正アクセスを簡便に検出する。
【解決手段】監視装置は、複数の通信装置と複数の監視装置を含むネットワークで第１の監視装置として動作し、取得部、送信部、判定部を備える。取得部は、監視対象の通信装置が行う通信の情報である通信情報を取得する。送信部は、監視対象の通信装置のうちの第１の通信装置が、ネットワークに含まれていない装置である外部装置と通信を開始した後に、ネットワーク中の第２の監視装置が監視する第２の通信装置との通信を開始すると、参加要求を送信する。送信される参加要求は、第２の監視装置が監視する通信装置の通信情報を通知するマルチキャストグループへの参加要求である。判定部は、第２の監視装置からマルチキャストグループ宛てに送信されたパケットを用いて、外部装置が第１の通信装置を介してネットワーク中の装置への不正アクセスを行っているかを判定する。
【選択図】図２

Description

本発明は、複数のネットワーク間で行われる通信の監視方法に関する。

社内ネットワークなどのLocal Area Network（ＬＡＮ）において、ＬＡＮに含まれていない装置による不正アクセスを検出するために、ネットワーク中の各通信装置が送受信するパケットを監視装置が分析することがある。この場合、不正アクセスを検出する対象となるネットワークの規模が大きくなると、監視装置への負荷が高くなるため、ネットワーク中の通信装置によって送受信されるパケットを複数の監視装置で分析することもある。複数の監視装置が使用される場合、監視装置同士で解析結果を交換することにより、全ての監視装置で得られた分析結果を用いてネットワークへの不正アクセスを検出することができる。

図１は、ネットワークの例を示す。社内ネットワーク１は、アクセスネットワーク２を介してインターネット３に接続されている。社内ネットワーク１には、ファイアウォール装置２０、通信装置１０（１０ｍ、１０ｎ、１０ｘ〜１０ｚ）、スイッチ１５（１５ｘ〜１５ｚ）、監視装置２５（２５ｘ〜２５ｚ）が含まれている。社内ネットワーク１中の通信装置１０同士は通信サービスネットワーク１２を介して通信し、監視装置２５ｘ〜２５ｚは監視ネットワーク１７を介して通信するものとする。図１の例では、監視装置２５ｘは通信装置１０ｘ〜１０ｚで送受信されるパケットを分析する。また、監視装置２５ｙは通信装置１０ｍ、１０ｎで送受信されるパケットを分析し、監視装置２５ｚはファイアウォール装置２０が送受信するパケットを分析するものとする。以下の例では、通信装置１０ｘ〜１０ｚには機密データが格納されているとする。例えば、インターネット３に接続されている通信装置５ａ〜５ｃのうち、通信装置５ｃが社内ネットワーク１中の通信装置１０ｚに不正アクセスしようとして、通信装置５ｃと通信装置１０ｍとの間で通信を確立したとする。その後、通信装置１０ｍが通信装置１０ｚとの間で通信を確立したとする。すると、監視装置２５ｙは、通信装置１０ｍが社内ネットワーク１に含まれていない通信装置５ｃと通信していることと、通信装置１０ｍが通信装置１０ｚと通信していることを認識する。さらに、通信装置１０ｚが通信装置５ｃとの間で、通信装置１０ｍを経由しない経路を用いた通信を確立したとする。このとき、監視装置２５ｘは、通信装置１０ｚの通信先が通信装置１０ｍと通信装置５ｃであることを認識する。さらに、監視装置２５ｚも、通信装置１０ｚと通信装置５ｃの間に通信が確立していることを認識する。このような場合、監視装置２５ｘ〜２５ｚの各々での分析結果を総合することにより、図１に示すように、通信装置５ｃが通信装置１０ｍを介して通信装置１０ｚにアクセスし、通信装置１０ｚからパケットを受信していることが特定される。

関連する技術として、サーバ、クライアント、おとりサーバを含むネットワークシステムが提案されている。このシステムでは、おとりサーバのアドレスはクライアントに公開されていないので、おとりサーバへアクセスしようとするクライアントはウイルスに感染しているといえる。そこで、おとりサーバは、おとりサーバへのアクセスを試みるクライアントを検出すると、ネットワーク中の装置に、ウイルス攻撃が進行中であるという警告を同報送信する（例えば、特許文献１など）。複数の自律システムを備えるネットワークの境界に位置する境界中継装置は、再侵入による不正パケットを廃棄するとともに、不正パケットを廃棄するためのフィルタリング情報を全ての境界中継装置に送信することも提案されている（例えば、特許文献２など）。

特表２００４−５３１８１２号公報 特開２００２−１８５５３９号公報

ネットワークの規模が大きくなると送受信されるパケットの数も多くなるため、パケットを解析する監視装置の数も増大する。このため、監視装置間での分析結果の通知や、得られた分析結果の解析処理が煩雑になる。このような問題は、関連する技術として述べたいずれの技術を用いても解決できない。

本発明は、ネットワークへの不正アクセスを簡便に検出することを目的とする。

実施形態にかかる監視装置は、複数の通信装置と複数の監視装置を含むネットワークで第１の監視装置として動作し、取得部、送信部、判定部を備える。取得部は、監視対象の通信装置が行う通信の情報である通信情報を取得する。送信部は、前記監視対象の通信装置のうちの第１の通信装置が、前記ネットワークに含まれていない装置である外部装置と通信を開始した後に、前記ネットワーク中の第２の監視装置が監視する第２の通信装置との通信を開始すると、参加要求を送信する。ここで送信される参加要求は、前記第２の監視装置が監視する通信装置の通信情報を通知するマルチキャストグループへの参加要求である。判定部は、前記第２の監視装置から前記マルチキャストグループ宛てに送信されたパケットを用いて、前記外部装置が前記第１の通信装置を介して前記ネットワーク中の装置への不正アクセスを行っているかを判定する。

ネットワークへの不正アクセスを簡便に検出できる。

ネットワークの例を示す図である。 実施形態にかかる監視方法の例を説明する図である。 監視装置の構成の例を示す図である。 監視装置のハードウェア構成の例を示す図である。 監視対象の通信状況の分析処理の例を説明するフローチャートである。 監視対象の通信状況の分析処理の例を説明するフローチャートである。 監視装置テーブルの例を示す図である。 通信状態テーブルの例を示す図である。 状態通知メッセージの例を示す図である。 監視装置を含むネットワークの例を示す図である。 通信処理の例を説明するシーケンス図である。 監視装置が保持する情報の例を説明する図である。 監視装置が保持する情報の例を説明する図である。 監視装置が保持する情報の例を説明する図である。 参加要求メッセージの例を示す図である。 監視装置が保持する情報の例を説明する図である。 監視装置が保持する情報の例を説明する図である。 監視装置が保持する情報の例を説明する図である。 監視装置が保持する情報の例を説明する図である。 状態通知メッセージを送信する監視装置で行われる処理の例を説明するフローチャートである。 状態通知メッセージを受信した監視装置で行われる処理の例を説明するフローチャートである。 ユニキャスト通信で状態通知が行われる場合の例を説明する図である。 通信装置が社内ネットワーク外の通信装置との通信を終了する際に行われる処理の例を説明するシーケンス図である。 監視装置が保持する情報の例を説明する図である。 監視装置が保持する情報の例を説明する図である。 離脱要求メッセージの例を示す図である。 通信装置が外部との通信開始後に開始した社内ネットワーク内の通信を終了する場合に行われる処理の例を説明するシーケンス図である。 監視装置が保持する情報の例を説明する図である。 社内ネットワーク内の一部の通信装置との通信を終了する通信装置を監視する監視装置で行われる処理の例を説明するシーケンス図である。 監視装置が保持する情報の例を説明する図である。 監視装置が保持する情報の例を説明する図である。 監視装置が保持する情報の例を説明する図である。 監視装置が保持する情報の例を説明する図である。 接続中の経路の検索方法の例を説明する図である。 接続中の経路の検索方法の例を説明する図である。 接続中の経路の検索方法の例を説明する図である。 接続中の経路の検索方法の例を説明する図である。 接続中の経路の検索方法の例を説明する図である。 接続中の経路の検索方法の例を説明するフローチャートである。 通信終了を検出した監視装置の処理の例を説明するフローチャートである。 通信終了を検出した監視装置の処理の例を説明するフローチャートである。 通信終了を通知する状態通知メッセージを受信した監視装置の処理の例を説明するフローチャートである。

図２は、実施形態にかかる監視方法の例を説明する図である。図２のケースＣ１とケースＣ２は、ＬＡＮに含まれていない通信装置５ａが不正アクセスを行う場合に使用する通信路の例である。ケースＣ１では、通信装置１０ｂが機密情報を保持しており、ケースＣ２では通信装置１０ｃが機密情報を保持しているものとする。なお、通信装置１０ａ〜１０ｃは、ＬＡＮに含まれているものとする。

ケースＣ１では、通信装置５ａは、通信装置５ａから通信装置１０ａに向けた通信路を確保し、通信装置１０ａに通信装置１０ｃへのアクセスを要求する。さらに、通信装置５ａは、通信装置１０ｃに、通信装置１０ｃが保持している情報を、通信装置１０ａを介さない経路で通信装置５ａに送信させる。このため、ケースＣ１では、通信装置５ａは、通信装置１０ｂが保持している機密情報を、通信装置１０ａを介さずに取得する。

ケースＣ２では、通信装置５ａと通信装置１０ａの間で双方向の通信路を確保し、通信装置１０ａに通信装置１０ｂとの間での双方向の通信路を確保させる。さらに、通信装置５ａは、通信装置１０ａを介して、通信装置１０ｂに対し、通信装置１０ｂと通信装置１０ｃの間の双方向の通信路の確立を要求する。通信装置１０ｃは、機密情報が通信装置１０ｂから要求されると、通信装置１０ｂがＬＡＮに含まれている装置なので、機密情報を通信装置１０ｂに転送する。通信装置１０ｂは、通信装置１０ｃから取得した情報を通信装置１０ａに転送する。通信装置１０ａは、通信装置１０ｂから取得した情報に通信装置１０ｃに格納されている機密情報が含まれていても受信した情報に機密情報が含まれているかを判定できないため、通信装置１０ｂからの受信データを通信装置５ａに送信する。この結果、通信装置５ａは、通信装置１０ａと通信装置１０ｂを介して通信装置１０ｃに格納された機密情報を取得できる。

以下、図２のシーケンスを参照しながら、監視装置３０ａがケースＣ１とケースＣ２のいずれのケースの不正アクセスも簡便かつ効率的に検出するための監視方法の例を説明する。以下、監視装置３０ａが通信装置１０ａでの通信を監視しており、監視装置３０ｂが通信装置１０ｂでの通信を監視しているものとする。また、各監視装置３０は、監視対象の通信装置１０での通信状況を示す情報をマルチキャストするものとする。ここでは、図２のシーケンスを参照しながら、通信装置１０ａが通信装置１０ｂとの通信を開始した場合を例として説明するが、通信装置１０ａがネットワーク中の装置のうちで監視装置３０ａの監視対象以外の装置と通信を開始したときは同様の処理が行われる。

ステップＳ１において、通信装置１０ａがネットワーク（ＬＡＮ）外の通信装置５ａと通信を開始したとする。監視装置３０ａは、通信装置１０ａがネットワーク外の通信装置５ａとの間で通信を開始したことを検出する（ステップＳ２）。

ステップＳ３において、通信装置１０ａがネットワーク内の通信装置１０ｂと通信を開始したとする。監視装置３０ａは、通信装置１０ａと通信装置１０ｂの間での通信の開始を検出する（ステップＳ４）。このとき、監視装置３０ａは、通信装置１０ａがネットワーク外の装置と通信しているため、通信装置１０ａを介した不正アクセスが行われる可能性があると判定する。監視装置３０ａは、通信装置１０ａの通信先である通信装置１０ｂを監視している監視装置が監視装置３０ｂであることを特定する（ステップＳ５）。そこで、監視装置３０ａは、監視装置３０ｂの監視先の情報を通知しているマルチキャストグループへの参加を要求する（ステップＳ６）。

ステップＳ７において、通信装置１０ｂがパケットの送信または受信を行ったとする。監視装置３０ｂは、通信装置１０ｂの通信状況をモニタしており、通信装置１０ｂの通信状況を取得する（ステップＳ８）。通信装置１０ｂがパケットを送信または受信した場合、監視装置３０ｂは、マルチキャストグループに参加している装置に向けて、通信装置１０ｂの通信状況をマルチキャストする（ステップＳ９）。

ステップＳ１０において、監視装置３０ａは、監視装置３０ｂから受信した情報に基づいて、通信装置１０ａと通信装置１０ｂを用いた不正アクセスの発生の可能性があるかを判定する。

このため、通信装置１０ｂが機密情報を保持している場合、通信装置１０ｂが通信装置５ａと通信を開始すると、監視装置３０ａは、ケースＣ１に示すようなルートによる不正アクセスが発生したと判定し、管理装置（図示せず）に通知できる。一方、通信装置１０ｂが機密情報を保持していない場合でも、通信装置１０ｂが機密情報を保持している通信装置１０ｃとの通信を開始すると、監視装置３０ａは、ケースＣ２に示すようなルートによる不正アクセスが発生したと判定できる。監視装置３０ａが管理装置に不正アクセスの発生を通知すると、管理装置を用いた処理をしているオペレータは、不正アクセスを排除するための処理を行う。なお、監視装置は、監視対象の通信状況に応じて、監視装置３０ａの処理として述べた処理と監視装置３０ｂの処理として述べた処理のいずれも行うことができるものとする。

このように、各監視装置は、その監視装置の監視対象の通信装置１０を介して不正アクセスが行われるかを判定するための情報を、監視下の通信装置１０の通信先を監視している監視装置から取得できる。また、各監視装置は、監視対象の通信装置１０の通信状況をマルチキャストするので、ある監視装置が他の監視装置で得られた情報を中継しなくてもよい。このため、各監視装置は、他の監視装置に送信するデータ量の増大を防ぎつつ、簡便に通信状況の通知ができる。さらに、ある監視装置が送信する通信状況を表わす情報の送信先となるマルチキャストグループには、その通信状況を使用しない監視装置は含まれていない。このため、監視装置が処理対象とする通信状況を表わす情報を効率的に送受信し、不正アクセスの検出を行うことができる。

＜装置構成＞
図３は、監視装置３０の構成の例を示す図である。以下、外部からの不正アクセスを防止する対象となるＬＡＮが社内ネットワーク１である場合を例として説明する。監視装置３０は、通信部３３、取得部３４、制御部４０、記憶部５０を備え、オプションとして、さらに、入出力処理部３５を備えても良い。通信部３３は、受信部３１と送信部３２を有する。制御部４０は、分析処理部４１、参加要求部４２、判定部４４、通知部４５を有し、オプションとして生成部４６を有する。記憶部５０は、監視装置テーブル５１、ネットワーク間通信状況テーブル５２、ネットワーク内通信状況テーブル５３、参加状況テーブル５４、通信状態テーブル５５、アドレス情報５６を記憶する。

受信部３１は、監視ネットワーク１７を介して、他の監視装置３０からパケットを受信する。送信部３２は、監視ネットワーク１７を介して、他の監視装置３０にパケットを送信する。取得部３４は、監視対象の通信装置１０が送受信しているパケットの情報を取得する。入出力処理部３５は、オペレータが監視装置３０に対して設定情報を入力する際に使用される。

分析処理部４１は、取得部３４を介して取得したパケットを分析することにより、監視対象の通信装置１０の通信先が社内ネットワーク１に含まれているかを判定する。参加要求部４２は、監視対象の通信装置１０が社内ネットワーク１に含まれていない通信装置５と通信中に、社内ネットワーク１中の他の通信装置１０との通信を開始すると、通信先の通信装置１０での通信状況を取得するために参加要求を生成する。ここで、参加要求は、通信先の通信装置１０を監視する監視装置３０から送信された通信状況を受信するマルチキャストグループへの参加の要求である。判定部４４は、他の監視装置３０から受信した情報と、分析処理部４１の分析結果を用いて、監視対象の通信装置１０を介して、社内ネットワーク１に含まれていない通信装置５による不正アクセスが行われているかを判定する。通知部４５は、分析処理部４１の分析結果を、マルチキャストグループに含まれている監視装置３０にマルチキャストする。生成部４６は、監視対象の通信装置１０が社内ネットワーク１の外部の通信装置５との通信を終了したなどの理由により、通信装置１０が不正アクセスに使用される可能性がなくなると、マルチキャストグループから離脱するための離脱要求を生成する。

監視装置テーブル５１は、社内ネットワーク１中の通信装置１０の各々について、監視処理を行う監視装置３０を特定する情報を記録している。ネットワーク間通信状況テーブル５２は、監視対象の通信装置１０と、社内ネットワーク１に含まれていない通信装置５との間の通信状況を記録している。ネットワーク内通信状況テーブル５３は、監視対象の通信装置１０についての、社内ネットワーク１中の他の通信装置１０との通信状況を記録している。参加状況テーブル５４は、監視装置３０が参加しているマルチキャストグループの各々についての、マルチキャストパケットの送信元アドレスを記録する。通信状態テーブル５５は、監視対象の通信装置１０と通信先の各々に割り当てられたアドレスと通信に使用しているポートのポート番号を記憶する。アドレス情報５６は、通信情報の通知に使用されるマルチキャストアドレスである。なお、通信情報は、いずれの監視装置３０も共通のマルチキャストアドレスを使用し、各監視装置３０や社内ネットワーク１中のスイッチ等は、マルチキャストアドレスと送信元アドレスの組み合わせによりマルチキャストグループの識別を行う。

図４は、監視装置３０のハードウェア構成の例を示す図である。監視装置３０は、プロセッサ６１、メモリ６２、入出力装置６３、通信インタフェース６４、取得処理回路６５を備える。プロセッサ６１は、Central Processing Unit（ＣＰＵ）を含む任意のプロセッサであり、制御部４０として動作する。メモリ６２は、プロセッサ６１での処理に使用されるデータを保持し、記憶部５０として動作する。入出力装置６３は入出力処理部３５として動作する。通信インタフェース６４は通信部３３として動作する。取得処理回路６５は、監視対象の通信装置１０が送受信するパケットの情報をスヌーピングなどにより取得する任意の処理回路であり、取得部３４として動作する。

＜第１の実施形態＞
以下、監視装置３０で行われる不正アクセスの検出の例を、各監視装置３０による監視対象での通信の検出、および、通知された通信状況を用いた不正アクセスの検出に分けて説明する。以下の説明では、処理を行っている装置を区別し易くするために、符号の後に動作を行っている装置に割り当てられたアルファベットを記載する。例えば、取得部３４ａは、監視装置３０ａに含まれている取得部３４のことを示す。

（１）各監視装置３０による監視対象での通信の検出
まず、通信装置１０ａと通信装置１０ｄを含む社内ネットワーク１において、通信装置１０ａが通信装置１０ｄとの間の通信を開始したとする。通信装置１０ａでのパケットの送受信が行われると、監視装置３０ａの取得部３４ａは、スヌーピングやミラーリングなどの処理により、送受信されたパケット中の情報を取得する。

図５Ａと図５Ｂは、監視対象での通信状況の分析処理の例を説明するフローチャートである。分析処理部４１は、取得部３４から通信パケットの情報を取得すると、通信パケットの送信元が監視対象の通信装置１０であるかを判定する（ステップＳ２１、Ｓ２２）。

図６は、監視装置テーブル５１の例を示す。監視装置テーブル５１は、社内ネットワーク１に含まれている全ての通信装置１０の各々について、機密エリア表示、マルチキャストソースアドレス（Ｍ−ソースアドレス）、監視装置を対応付けている。機密エリア表示は、通信装置１０が機密エリアに含まれているかを示す。機密エリアに含まれている通信装置１０は、機密情報を保持しているものとする。監視装置の欄には、通信装置１０を監視している監視装置を一意に識別する情報が格納される。マルチキャストソースアドレスは、通信装置１０についての通信状況を通知するマルチキャストパケットの送信元に割り当てられたアドレスである。以下の説明では、各監視装置３０は、通信状況の通知の対象となる通信装置１０ごとに、異なる送信元アドレスを使用するものとする。すなわち、マルチキャストパケットの送信元アドレスにより、通信状況の通知対象となっている通信装置１０が一意に特定され得る。

図５ＡのステップＳ２２において、分析処理部４１は、取得部３４から取得したヘッダ情報に含まれているパケットの送信元の識別情報をキーとして監視装置テーブル５１を検索することにより、送信元の通信装置１０を監視している監視装置３０を特定する。なお、監視装置テーブル５１は、社内ネットワーク１中の全ての監視装置３０が共通に保持している。分析処理部４１は、送信元の通信装置１０が自装置の監視対象の場合、取得部３４から取得した情報から接続情報を作成する（ステップＳ２２で一致、ステップＳ２３）。ここで、「接続情報」は、取得部３４を介して得られたパケットの送信元アドレス、送信元ポート番号、宛先アドレス、宛先ポート番号の組み合わせである。ステップＳ２３で生成される接続情報では、送信元が自装置の監視対象の通信装置である場合の接続情報が生成される。

一方、送信元の通信装置１０が自装置の監視対象ではない場合、分析処理部４１は、監視装置テーブル５１を用いて、取得部３４から取得したパケットの宛先が自装置の監視対象であるかを判定する（ステップＳ２２で不一致、ステップＳ２４）。宛先の通信装置１０が監視対象の場合も、分析処理部４１は、接続情報を生成する（ステップＳ２４で一致、ステップＳ２５）。なお、送信元と宛先のいずれも監視対象ではない場合、分析処理部４１は処理を終了する（ステップＳ２４で不一致）。分析処理部４１は、生成した接続情報が通信状態テーブル５５に含まれているかを判定する（ステップＳ２６）。

図７は、通信状態テーブル５５の例を示す。通信状態テーブル５５は、監視対象の通信装置１０の装置と、監視対象の装置の通信先を記録している。図７の例では、通信状態テーブル５５は、監視対象の通信装置１０と通信先の各々について、アドレスなどの識別情報と通信に使用しているポート番号の組み合わせを記録している。例えば、図７の１番目のエントリでは、監視対象である通信装置１０ａが８０番ポートを用いて、通信装置１０ｂの２００２１番ポートを介して通信装置１０ｂと通信していることが記録されている。

分析処理部４１は、生成した接続情報が通信状態テーブル５５に含まれていない場合、取得部３４から取得したパケットが通信の開始に使用されるパケットであるかを判定する（ステップＳ２６でＮｏ、ステップＳ２７）。図５Ｂでは、分析処理部４１は、ＴＣＰ（Transmission Control Protocol）ヘッダ中のフラグのうち、ＳＹＮビットとＡＣＫビットが１に設定されている場合に、通信の開始に使用されるパケットであると判定するものとする。ＳＹＮビットとＡＣＫビットが１に設定されていない場合、分析処理部４１は、通信開始に使用されるパケットではないと判定して処理を終了する（ステップＳ２７でＮｏ）。取得部３４から入力されたパケットにおいて、ＳＹＮビットとＡＣＫビットが１に設定されている場合、分析処理部４１は、接続情報と一致するエントリを通信状態テーブル５５に追加する（ステップＳ２７でＹｅｓ、ステップＳ２８）。分析処理部４１は、通信を検出したことと、得られた接続情報を通知部４５に出力する。すると、通知部４５は、状態通知メッセージを生成する（ステップＳ３０）。

図８は、状態通知メッセージの例を示す。状態通知メッセージは、Ｌ２ヘッダ、ＩＰ（Internet Protocol）ヘッダを含み、データ部分に、監視対象の通信装置１０での通信状況を表わす情報（通信情報）が記録される。通信情報は、監視対象の通信装置１０の識別情報、監視対象の通信装置１０の通信先の識別情報、通信状態、タイムスタンプを含む。通信状態は、通信中と通信終了の２種類のいずれかに設定される。ステップＳ３０で生成される状態通知メッセージでは、通信状態は通信中に設定されている。

一方、図５ＢのステップＳ２６において接続情報が通信状態テーブル５５に含まれていると判定された場合、分析処理部４１は、取得部３４から取得したパケットが通信を終了するためのパケットであるかを判定する（ステップＳ２６でＹｅｓ、ステップＳ２９）。図５Ｂでは、分析処理部４１は、ＴＣＰヘッダ中のＦＩＮビットが１に設定されている場合に通信の終了に使用されるパケットであると判定する。ＦＩＮビットが１に設定されていない場合、通知部４５は通信状態＝通信中の状態通知メッセージを生成する（ステップＳ２９でＮｏ、ステップＳ３０）。取得部３４から入力されたパケットではＦＩＮビットが１に設定されている場合、分析処理部４１は、接続情報で識別できる通信が終了すると判定し、通信状態テーブル５５から接続情報と一致するエントリを削除する（ステップＳ２９でＹｅｓ、ステップＳ３１）。分析処理部４１は、通信の終了を検出したことと、得られた接続情報を通知部４５に出力する。通知部４５は、接続情報の削除により通信状態テーブル５５中にエントリが無くなった通信装置１０については、通信状態＝全通信終了を含む状態通知メッセージを生成する（ステップＳ３２、Ｓ３３）。

（２）通知された通信状況を用いた不正アクセスの検出
次に、図９と図１０を参照しながら、各監視装置３０が監視対象の通信装置１０の通信状況を送受信することにより、不正アクセスを検出する場合の処理について説明する。なお、各監視装置３０は、図５〜図８を用いて説明した処理により通信の開始や終了を検出するものとする。

図９は、監視装置３０を含むネットワークの例を示す図である。図９に示すネットワークでは、社内ネットワーク１には通信装置１０ａ〜１０ｄと、監視装置３０ａ〜３０ｄが含まれている。さらに、通信装置１０ｄが機密情報を格納する装置であるものとする。図９では、通信装置１０ｄを含むエリアが機密エリアとして表わされている。監視装置３０ａは通信装置１０ａの通信状況を監視する。同様に、監視装置３０ｂは通信装置１０ｂ、監視装置３０ｃは通信装置１０ｃ、監視装置３０ｄは通信装置１０ｄの通信状況を監視する。図９では、説明を分かりやすくするために各監視装置３０の監視対象のうちの１台を図示しているが、各監視装置３０が監視する通信装置１０の数は任意である。図９には、外部ネットワークに含まれている通信装置５ａ〜５ｃも示す。図９の矢印Ａ１〜Ａ１８に示す矢印はパケットの送受信を示す。実線の矢印は通信装置同士の通信を示す。さらに、一点鎖線の矢印はマルチキャストグループへの参加要求の送信を示し、破線の矢印はマルチキャストグループに参加している装置への通信状況の通知を示す。なお、図９などでは、説明の便宜上、参加要求をマルチキャストパケットの送信元に向けた矢印で示しているが、参加要求は、マルチキャストパケットのフィルタリングを行うスイッチなどでも処理される。

図１０は、通信処理の例を説明するシーケンス図である。なお、図１０の矢印Ａ１〜Ａ１８は、図９の矢印Ａ１〜Ａ１８に対応している。なお、図１０の二重丸は、パケットの送信元と送信先を示す。

矢印Ａ１に示すように、通信装置１０ａが通信装置１０ｄとの間で通信を確立したとする。すると、図５〜図８を参照しながら説明した処理により、監視装置３０ａの分析処理部４１ａは、通信の開始を検出するとともに、検出した情報を通知部４５ａに出力する。通知部４５ａは、ネットワーク内通信状況テーブル５３ａに社内ネットワーク１中の他の通信装置１０との通信に関するエントリが無いので、検出した通信状況を使用する監視装置３０が無いと判定して、通信状況をマルチキャストせずに処理を終了する。

分析処理部４１ａは、監視装置テーブル５１ａ（図６）を用いて、通信装置１０ａの通信先が社内ネットワーク１に含まれているかを判定する。この例では、通信装置１０ａの通信先となっている通信装置１０ｄは、監視装置３０ｄに監視されている社内ネットワーク１中の装置である。そこで、分析処理部４１ａは、通信装置１０ａと通信装置１０ｄとの間の通信の情報を、ネットワーク内通信状況テーブル５３ａに記録する。

図１１のＴ３０ａ−１は、矢印Ａ１の通信についての処理により監視装置３０ａが取得する情報の例を示す。一方、図１１のＴ３０ｄ−１は、矢印Ａ１の通信についての処理で監視装置３０ｄが保持する情報の例である。

ネットワーク内通信状況テーブル５３は、監視対象、監視対象の通信先となっている社内ネットワーク１中の通信装置、検知条件対象表示を含む。検知条件対象表示はＹｅｓとＮｏのいずれかの値をとる。検知条件対象表示＝Ｎｏに設定されている通信は、社内ネットワーク１外の装置との通信が開始される前に開始された社内ネットワーク１内の通信路であるため、不正アクセスに使用されないと考えられる。一方、検知条件対象表示＝Ｙｅｓの場合、社内ネットワーク１外の装置との通信の開始後に開始された社内ネットワーク１内の通信路であるため、不正アクセスに使用される恐れがある。このため、分析処理部４１ａは、通信装置１０ａと通信装置１０ｄとの間で通信の情報を、Ｔ３０ａ−１中のネットワーク内通信状況テーブル５３ａ−１に示すように記録する。なお、矢印Ａ１の通信の時点ではネットワーク間通信状況テーブル５２ａ−１、参加状況テーブル５４ａ−１に示すように、監視装置３０ａは社内ネットワーク１外との通信を検出しておらず、いずれのマルチキャストグループにも参加していないものとする。

監視装置３０ｄでも監視装置３０ａと同様の処理が行われる。このため、監視装置３０ｄは、図１１のＴ３０ｄ−１に示すように、ネットワーク間通信状況テーブル５２ｄ−１、ネットワーク内通信状況テーブル５３ｄ−１、参加状況テーブル５４ｄ−１を備える。

図１２のＴ３０ａ−２は、矢印Ａ２（図９、図１０）の通信についての処理により監視装置３０ａが取得する情報の例である。矢印Ａ２に示すように、通信装置１０ａが社内ネットワーク１外の通信装置５ｂとの間で通信を確立したとする。この時点では、ネットワーク内通信状況テーブル５３ａ−１に通信装置１０ｄとの通信に関するエントリがあるため、通知部４５ａは、通信装置１０ａの通信状況をマルチキャストする。なお、この段階では、いずれの監視装置３０も監視装置３０ａのマルチキャストグループに参加していないので、状態通知メッセージはいずれの監視装置３０にも届かない。

分析処理部４１ａは、監視装置テーブル５１ａ（図６）を用いて、通信装置１０ａの通信先である通信装置５ｂが社内ネットワーク１に含まれていないと判定する。そこで、分析処理部４１ａは、ネットワーク間通信状況テーブル５２ａ−１を、ネットワーク間通信状況テーブル５２ａ−２に示すように変更して処理を終了する。

図１２のＴ３０ａ−４は、矢印Ａ３、Ａ４の通信についての処理が終わった時点で監視装置３０ａが保持する情報の例である。矢印Ａ３、Ａ４に示すように、通信装置１０ａが社内ネットワーク１外の通信装置５ａ、５ｃとの間で通信を確立した場合も、矢印Ａ２の説明で述べた処理と同様の処理が行われる。このため、矢印Ａ３、Ａ４に示す通信についての処理により、監視装置３０ａは、ネットワーク間通信状況テーブル５２ａ−２をネットワーク間通信状況テーブル５２ａ−３に更新する。一方、ネットワーク内通信状況テーブル５３と参加状況テーブル５４は、矢印Ａ３、Ａ４に示す通信により更新されない。

図１３は、矢印Ａ５に示す通信についての処理により各監視装置３０が保持する情報の例を説明する図である。Ｔ３０ａ−５は矢印Ａ５の通信の処理後に監視装置３０ａが保持する情報の例であり、Ｔ３０ｂ−５は矢印Ａ５の通信の処理後に監視装置３０ｂが保持する情報の例である。矢印Ａ５の通信を開始する時点では、通信装置１０ｂはいずれの装置とも通信していないので、監視装置３０ｂが矢印Ａ５に示す通信を処理するときに行う動作は、監視装置３０ａが矢印Ａ１の通信に対する処理を行ったときの動作と同様である。このため、監視装置３０ｂは、矢印Ａ５の通信により、ネットワーク内通信状況テーブル５３ｂ−１を保持する。

一方、通信装置１０ａにとっては、矢印Ａ５（図９、図１０）は、通信装置１０ａが社内ネットワーク１外の通信装置５ａ〜５ｃとの通信を開始した後に開始した社内ネットワーク１内の装置との間の通信である。そこで、分析処理部４１ａは、通信装置１０ａの通信先（通信装置１０ｂ）が社内ネットワーク１中の装置であると判定すると、ネットワーク内通信状況テーブル５３ａ−１を、ネットワーク内通信状況テーブル５３ａ−２に更新する。ここで、分析処理部４１ａは、矢印Ａ５の通信は、社内ネットワーク１外の装置との通信の開始後に開始された社内ネットワーク１内の通信であるため、検知条件対象表示＝Ｙｅｓに設定する。さらに、分析処理部４１ａは、社内ネットワーク１外の装置との通信の開始後に開始された社内ネットワーク１内の通信（検知条件対象表示＝Ｙｅｓの通信）が発生したことを参加要求部４２ａに通知する。

参加要求部４２ａは、監視装置テーブル５１ａを検索することにより、通信先の通信装置１０ｂについての通信状況が通知されるマルチキャストグループの送信元アドレスを取得する。ここでは、図６に示すように、ＩＰ＿Ｍ＃Ａｇｅｎｔ＃２が、通信装置１０ｂの通信状況が通知されるマルチキャストグループの送信元アドレスである。そこで、参加要求部４２ａは、参加状況テーブル５４ａ−１を参加状況テーブル５４ａ−２に更新し、参加要求メッセージを生成する。

図１４は、参加要求メッセージの例を示す図である。図１４は、ＭＬＤｖ２（Multicast Listener Discovery Version 2）を用いて参加要求が行われる場合の参加要求メッセージの例を示している。参加要求メッセージは、Ｌ２ヘッダ、ＩＰヘッダ、データを含む。データ部分のＴｙｐｅには、マルチキャストリスナーレポートであることを示す情報と、参加するマルチキャストグループについてのマルチキャストアドレスと送信元アドレスの組み合わせが含まれる。このため、図１４の参加要求メッセージにより、マルチキャストアドレスがＭｕｌｔｉｃａｓｔＡｄｄｒ＃ｍであり、かつ、送信元アドレスがＩＰ＿Ｍ＃Ａｇｅｎｔ＃２に設定されているパケットを、監視装置３０ａが受信できるように設定が行われる。図１４に示す参加要求メッセージが送信される様子を矢印Ａ６（図９、図１０）に示す。

図１５のＴ３０ａ−９は、矢印Ａ７〜Ａ９（図９、図１０）に示す通信の終了後に、監視装置３０ａが保持する情報の例である。同様に、矢印Ａ９の通信が終了した時点において、監視装置３０ｂはＴ３０ｂ−９、監視装置３０ｃはＴ３０ｃ−９を保持する。矢印Ａ７の通信を開始する時点では、通信装置１０ｃはいずれの装置とも通信していないので、監視装置３０ｃが矢印Ａ７に示す通信を処理するときに行う動作は、監視装置３０ａが矢印Ａ１の通信に対する処理を行ったときの動作と同様である。

図９および図１０の矢印Ａ７は、通信装置１０ｂと通信装置１０ｃとの間の通信の開始を示す。分析処理部４１ｂは、監視装置テーブル５１を用いて、通信装置１０ｃが社内ネットワーク１中の装置であると判定し、ネットワーク内通信状況テーブル５３ｂ−１（図１３）を、ネットワーク内通信状況テーブル５３ｂ−２（図１５）に更新する。通信装置１０ｂと通信装置１０ｃの間の通信の開始時点では、通信装置１０ｂは、社内ネットワーク１外の装置とは通信していないので、通信装置１０ｂと通信装置１０ｃの間の通信は、監視装置３０ｂにおいては、検知条件対象表示＝Ｎｏに設定される。さらに、矢印Ａ７の通信が行われた時点では、通信装置１０ｂと通信装置１０ａが通信中であるため、通知部４５ｂは、通信装置１０ｂの通信状況を含む状態通知メッセージをマルチキャストする。

図９および図１０の矢印Ａ８は、監視装置３０ｂからマルチキャストされた状態通知メッセージの送信経路である。監視装置３０ａの判定部４４ａは、受信部３１ａを介して、矢印Ａ８の状態通知メッセージを取得する。判定部４４ａは、状態通知メッセージから、通信装置１０ｂが通信装置１０ｃと通信を開始したことを特定する。さらに、判定部４４ａは、社内ネットワーク１に含まれていない装置が監視装置３０ａの監視対象を介して、機密エリア内の通信装置１０と通信することができるかを判定する。この判定において、判定部４４ａは、監視対象の通信装置１０と社内ネットワーク１外の装置の間の通信の開始以降に開始された通信を用いて、社内ネットワーク１外の装置が機密エリア中の通信装置１０にアクセスできるかを判定する。図９、図１０の例では、矢印Ａ２〜Ａ５と矢印Ａ７により、社内ネットワーク１外の通信装置５ａ〜５ｃが機密エリア内の通信装置１０ｄにアクセスできるかを判定する。ここでは、矢印Ａ２〜Ａ５と矢印Ａ７の通信によっては、通信装置５ａ〜５ｃのいずれも、通信装置１０ｄにアクセスできないので、判定部４４ａは、不正アクセスは発生していないと判定する。

さらに、判定部４４ａは、矢印Ａ８により受信した状態通知メッセージから得られた情報を用いて、ネットワーク内通信状況テーブル５３ａ−２（図１３）をネットワーク内通信状況テーブル５３ａ−３（図１５）に更新する。ここで、判定部４４ａは、状態通知メッセージの送信元（監視装置３０ｂ）において監視されている通信装置１０ｂの情報を、監視対象の欄に記録し、通信装置１０ｃを通信装置１０ｂの通信先としてネットワーク内通信状況テーブル５３に記録する。通信装置１０ｂと通信装置１０ｃの間の通信も、通信装置１０ａが社内ネットワーク１外の通信装置５ａ〜５ｃと通信をした後に開始されているので、監視装置３０ａで不正アクセスの可能性を検討する対象（検知条件対象表示＝Ｙｅｓ）に設定される。判定部４４ａは、新たに不正アクセスの可能性がある通信が検出されたので、参加要求部４２ａに、通信装置１０ｂと通信装置１０ｃの間の通信の情報を通知する。参加要求部４２ａは、図１３を参照しながら説明した処理と同様の処理により、参加状況テーブル５４ａ−２（図１３）を参加状況テーブル５４ａ−３（図１５）に更新し、参加要求メッセージを生成する。このとき生成される参加要求メッセージにより、監視装置３０ａは、通信装置１０ｃに関する通信情報の宛先となるマルチキャストグループに参加する（矢印Ａ９）。

図１６のＴ３０ａ−１２は、矢印Ａ１０〜Ａ１２（図９、図１０）に示す通信の終了後に、監視装置３０ａが保持する情報の例である。同様に、矢印Ａ１２の通信が終了した時点において、監視装置３０ｂはＴ３０ｂ−１２、監視装置３０ｄはＴ３０ｄ−１２を保持する。

図９および図１０の矢印Ａ１０に示すように、通信装置１０ｂが通信装置１０ｄとの間で通信を開始したとする。矢印Ａ１０に示す通信が開始される時点では、通信装置１０ｂと通信装置１０ｄのいずれも、社内ネットワーク１外の装置と通信していない。このため、監視装置３０ｂと監視装置３０ｄは、矢印Ａ７の通信の開始の際に監視装置３０ｂが行う処理と同様の処理を行う。このため、監視装置３０ｂでは、ネットワーク内通信状況テーブル５３ｂ−２（図１５）がネットワーク内通信状況テーブル５３ｂ−３（図１６）に更新される。さらに、通信装置１０ｄでは、ネットワーク内通信状況テーブル５３ｄ−１（図１１）がネットワーク内通信状況テーブル５３ｄ−２（図１６）に更新される。

矢印Ａ１０に示す通信が開始されると、図９および図１０の矢印Ａ１１に示すように、監視装置３０ｂは、通信装置１０ｂが通信装置１０ｄとの通信を開始したことを示す状態通知メッセージをマルチキャストする。監視装置３０ａの判定部４４ａは、矢印Ａ１１の状態通知メッセージを用いて不正アクセスが発生しているかを判定する。すなわち、判定部４４ａは、矢印Ａ２〜Ａ５、矢印Ａ７、矢印Ａ１０の通信により、社内ネットワーク１外の通信装置５ａ〜５ｃが機密エリア内の通信装置１０ｄにアクセスできるかを判定する。図９などに示すように、矢印Ａ４、Ａ５、Ａ１０に示す双方向通信により、通信装置５ｃは、通信装置１０ａと通信装置１０ｂを介して、通信装置１０ｄにアクセスできる。このため、判定部４４ａは、不正アクセスが発生したと判定する。

さらに、判定部４４ａは、矢印Ａ１１の状態通知メッセージを用いてネットワーク内通信状況テーブル５３ａ−３（図１５）を、ネットワーク内通信状況テーブル５３ａ−４（図１６）に更新する。ここで、通信装置１０ｂと通信装置１０ｄの間の通信も、通信装置１０ａが社内ネットワーク１外の通信装置５ａ〜５ｃと通信をした後に開始されているので、監視装置３０ａで不正アクセスの可能性を検討する対象（検知条件対象表示＝Ｙｅｓ）に設定される。このため、参加要求部４２ａは、参加状況テーブル５４ａ−３（図１５）を参加状況テーブル５４ａ−４（図１６）に更新し、通信装置１０ｄでの通信状態が通知されるマルチキャストグループへの参加要求メッセージを生成する。この参加要求メッセージを用いて、監視装置３０ａは、通信装置１０ｄでの通信状況を含む状態通知メッセージが送信されるマルチキャストグループに参加する（矢印Ａ１２）。

図１７は、矢印Ａ１３に示す通信が発生したときに監視装置３０ｃが保持する情報の例を説明する図である。通信装置１０ｃが通信装置５ｃとの間で通信を開始すると、監視装置３０ｃの取得部３４ｃは、新たに開始された通信のパケットの情報を、分析処理部４１ｃに出力する。分析処理部４１ｃは、監視装置テーブル５１（図６）を用いて、通信装置１０ｃの通信先（通信装置５ｃ）が社内ネットワーク１に含まれていないと判定する。すると、分析処理部４１ｃは、ネットワーク間通信状況テーブル５２ｃ−１（図１５）をネットワーク間通信状況テーブル５２ｃ−２（図１７）に更新する。

通知部４５ｃは、通信装置１０ｃが社内ネットワーク１中の通信装置１０ｂと通信中であるため、通信装置１０ｃが通信装置５ｃと通信を開始したことを通知するための状態通知メッセージを生成し、送信部３２ｃを介して、マルチキャストする。この時点で、監視装置３０ａは、監視装置３０ｃが通信装置１０ｃの通信情報を通知するマルチキャストグループに参加している（矢印Ａ９）。このため、監視装置３０ａは、通信装置１０ｃについての状態通知メッセージを受信する（矢印Ａ１４）。

監視装置３０ａの判定部４４ａは、矢印Ａ１４に示す状態通知メッセージを用いて、新たに不正アクセスが発生したかを判定する。すなわち、判定部４４ａは、矢印Ａ１３に示す経路とともに、矢印Ａ２〜Ａ５、矢印Ａ７、矢印Ａ１０のいずれかの通信経路を用いて、社内ネットワーク１外の通信装置５ａ〜５ｃが機密エリア内の通信装置１０ｄにアクセスできるかを判定する。図９などに示すように、通信装置５ｃは、矢印Ａ４、Ａ５、Ａ１０の経路で通信装置１０ｄにアクセスでき、さらに、矢印Ａ１０、Ａ７、Ａ１３の経路で通信装置１０ｄ中のデータを通信装置５ｃに送信させることができる。そこで、判定部４４ａは、新たな不正アクセスが発生したと判定する。

図１８は、矢印Ａ１５（図９、図１０）に示すように、通信装置１０ｃが通信装置１０ｄと通信を開始したときに、各監視装置３０が保持する情報の例を説明する図である。Ｔ３０ａ−１８は、矢印Ａ１５〜Ａ１８に示す通信の終了後に、監視装置３０ａが保持する情報の例である。同様に、矢印Ａ１８の通信が終了した時点において、監視装置３０ｃはＴ３０ｃ−１８、監視装置３０ｄはＴ３０ｄ−１８を保持する。

矢印Ａ１５に示す通信の発生により、監視装置３０ｃの分析処理部４１ｃは、ネットワーク内通信状況テーブル５３ｃを更新する。このとき、通信装置１０ｃはすでに社内ネットワーク１外の通信装置５ｃとの通信を行っているので、通信装置１０ｄとの間の通信路が不正アクセスに使用される恐れがあると判定する（検知条件対象表示＝Ｙｅｓ）。このため、ネットワーク内通信状況テーブル５３ｃ−１（図１７）は、ネットワーク内通信状況テーブル５３ｃ−２（図１８）に示すように更新される。通知部４５ｃは、通信装置１０ｃの通信状況についての状態通知メッセージを、送信部３２ｃを介して、マルチキャストする（矢印Ａ１６）。さらに、分析処理部４１ｃは、通信装置１０ｃと通信装置１０ｄの間に、不正アクセスに使用されうる通信が発生したことを参加要求部４２ｃに通知する。参加要求部４２ｃは、通信装置１０ｄに関する状態通知メッセージのマルチキャストの送信元がＩＰ＿Ｍ＃Ｔａｒｇｅｔ＃２１であることを、監視装置テーブル５１を用いて特定する。さらに、参加要求部４２ｃは、ＩＰ＿Ｍ＃Ｔａｒｇｅｔ＃２１から送信されたＭｕｌｔｉｃａｓｔＡｄｄｒ＃ｍ宛てのマルチキャストパケットを受信するための参加要求を生成し、送信部３２ｃを介して送信する（矢印Ａ１８）。

監視装置３０ｄも、通信装置１０ｃと通信装置１０ｄとの間の通信の情報を、取得部３４ｄを介して取得すると、ネットワーク内通信状況テーブル５３ｄ−２（図１６）をネットワーク内通信状況テーブル５３ｄ−３（図１８）に更新する。このときの処理は、監視装置３０ｄが矢印Ａ１０の通信の開始の際に行う処理と同様である。さらに、通知部４５ｄは、通信装置１０ｄの通信状況についての状態通知メッセージを、送信部３２ｄを介して、マルチキャストする（矢印Ａ１７）。

監視装置３０ａが矢印Ａ１６に示す状態通知メッセージを受信すると、判定部４４ａは、新たな不正アクセスが発生したかを判定する。ここでは、判定部４４ａは、矢印Ａ１５に示す経路とともに、矢印Ａ２〜Ａ５、矢印Ａ７、矢印Ａ１０、矢印Ａ１３のいずれかの通信経路を用いて、社内ネットワーク１外の通信装置５ａ〜５ｃが機密エリア内の通信装置１０ｄにアクセスできるかを判定する。図９などに示すように、通信装置５ｃは、矢印Ａ４、Ａ５、Ａ１０、Ａ１５、Ａ１３を用いると、通信装置５ｃから通信装置１０ａ、通信装置１０ｂ、通信装置１０ｄ、通信装置１０ｃを経て、通信装置５ｃに戻る通信路を確保できる。そこで、判定部４４ａは、新たな不正アクセスが発生したと判定する。

さらに、判定部４４ａは、矢印Ａ１８で通知された状態通知メッセージを用いて、ネットワーク内通信状況テーブル５３ａ−４（図１６）を、ネットワーク内通信状況テーブル５３ａ−５（図１８）に示すように更新する。

なお、図９〜図１８を参照しながら説明した処理は一例である。例えば、矢印Ａ１６〜Ａ１８での状態通知メッセージや参加要求メッセージの送受信のタイミングは実装に応じて変更され得る。

図１９は、状態通知メッセージを送信する監視装置３０で行われる処理の例を説明するフローチャートである。なお、図１９において、ネットワークは、社内ネットワーク１である。監視対象の通信装置１０が通信を開始したことを分析処理部４１から通知されると、通知部４５は、通信を開始した監視対象の通信装置１０は、ネットワーク中の装置と通信中かを判定する（ステップＳ４１）。通信を開始した監視対象の通信装置１０がネットワーク中の装置と通信を行っている場合、通知部４５は、状態通知メッセージをマルチキャストする（ステップＳ４１でＹｅｓ、ステップＳ４２）。分析処理部４１は、通信を開始した装置の通信先はネットワーク内のノードであるかを判定する（ステップＳ４３）。通信先がネットワーク内のノードではない場合、分析処理部４１は、ネットワーク間通信状況テーブル５２を更新して、処理を終了する（ステップＳ４４）。

一方、通信先がネットワーク内のノードである場合、通信を開始した監視対象はネットワーク外の装置と通信中であるかを判定する（ステップＳ４５）。通信を開始した監視対象はネットワーク外の装置と通信していない場合、分析処理部４１は、新たに生成されたネットワーク内の通信経路は不正アクセスによって発生したものではないと判定する。そこで、分析処理部４１は、新たに発生した通信の情報を、検知条件対象＝Ｎｏに設定した上で追加することにより、ネットワーク内通信状況テーブル５３を更新する（ステップＳ４５でＮｏ、ステップＳ４６）。

ステップＳ４５において、通信を開始した監視対象はネットワーク外の装置と通信していると判定された場合、分析処理部４１は、新たに生成されたネットワーク内の通信経路は不正アクセスによって発生した可能性があると判定する。そこで、分析処理部４１は、新たに発生した通信の情報を、検知条件対象＝Ｙｅｓに設定した上で追加することにより、ネットワーク内通信状況テーブル５３を更新する（ステップＳ４５でＹｅｓ、ステップＳ４７）。参加要求部４２は、通信を開始した監視対象の通信先についての通信状況を示す状態通知メッセージの送信元を特定する（ステップＳ４８）。参加要求部４２は、特定した送信元から送信されるマルチキャストパケットを受信していない場合、送信元を用いて特定されるマルチキャストグループに参加するための参加要求を送信する（ステップＳ４９でＮｏ、ステップＳ５０）。特定した送信元から送信されるマルチキャストパケットを受信中である場合、参加要求部４２は処理を終了する（ステップＳ４９でＮｏ）。

図２０は、状態通知メッセージを受信した監視装置３０で行われる処理の例を説明するフローチャートである。なお、監視装置３０は、監視対象の通信装置１０が社内ネットワーク１外の装置と通信している場合に状態通知メッセージを受信する。なお、図２０は処理の一例であり、実装に応じて、ステップＳ６９とＳ７０の処理をステップＳ６５〜Ｓ６８の処理の前に行うなどの変更が行われても良い。

受信部３１は、状態通知メッセージを受信する（ステップＳ６１）。判定部４４は、状態通知メッセージの送信元が参加状況テーブル５４に含まれているかを判定する（ステップＳ６２）。状態通知メッセージの送信元が参加状況テーブル５４に含まれていない場合、判定部４４は処理を終了する（ステップＳ６２でＮｏ）。状態通知メッセージの送信元が参加状況テーブル５４に含まれている場合、判定部４４は、適宜、監視装置テーブル５１を用いて、ネットワーク外の装置との通信の開始が通知されたかを判定する（ステップＳ６２でＹｅｓ、ステップＳ６３）。ネットワーク外の装置との通信の開始が通知された場合、判定部４４は、不正アクセスを感知したことをオペレータが運用する装置に通知する（ステップＳ６３でＹｅｓ、ステップＳ６４）。

ネットワーク内の装置との通信の開始が通知された場合、判定部４４は、通知された情報と一致するエントリがネットワーク内通信状況テーブル５３に含まれているかを判定する（ステップＳ６３でＮｏ、ステップＳ６５）。通知された情報と一致するエントリがネットワーク内通信状況テーブル５３に含まれている場合、判定部４４は、処理を終了する（ステップＳ６５でＹｅｓ）。通知された情報と一致するエントリが登録されていない場合、判定部４４は、ネットワーク内通信状況テーブル５３に通信状況を登録する（ステップＳ６６）。このとき、判定部４４は、新たに登録するエントリにおいて、検知条件対象表示＝Ｙｅｓに設定する。参加要求部４２は、状態通知メッセージで通信先として通知されたノードについての状態通知メッセージの送信元アドレスを特定する（ステップＳ６７）。参加要求部４２は、特定したアドレスから送信されたマルチキャストパケットを受信するための参加要求を、送信部３２を介して送信する（ステップＳ６８）。判定部４４は、状態通知メッセージで通信先として通知されたノードが機密エリア内にあるかを、監視装置テーブル５１を用いて判定する（ステップＳ６９）。通信先として通知されたノードが機密エリア内に無い場合、判定部４４は処理を終了する（ステップＳ６９でＮｏ）。一方、通信先として通知されたノードが機密エリア内にある場合、判定部４４は、不正アクセスを感知したことをオペレータが運用する装置に通知する（ステップＳ６９でＹｅｓ、ステップＳ７０）。

図２０のステップＳ６３でＹｅｓと判定されるケースでは、監視装置３０の監視対象が、社内ネットワーク１の外部と通信しており、監視対象が社内ネットワーク１中で通信している装置が社内ネットワーク１の外部と通信を開始している。従って、ステップＳ６３の処理では、図２のケースＣ１のように、外部からの侵入経路とデータの送信経路が異なるタイプの不正アクセスを検出できる。一方、ステップＳ７０でＹｅｓと判定されるケースでは、監視装置３０の監視対象が、社内ネットワーク１の外部と通信しており、監視対象が社内ネットワーク１中で通信している装置が機密エリアにアクセスしている。このため、ステップＳ６９の処理により、図２のケースＣ２のように、外部からの侵入経路とデータの送信経路が同じタイプの不正アクセスを検出できる。

このように、各監視装置３０は、監視下の通信装置１０を介した不正アクセスを検出するための情報を、監視下の通信装置１０の通信先を監視している監視装置から取得できる。ここで、各監視装置３０は、監視対象の通信装置１０の通信状況をマルチキャストするので、通信状況の送受信が効率よく短時間で行われることが期待できる。

他方、図２１は、ユニキャスト通信で状態通知が行われる場合の例である。図２１では、監視装置３０の代わりに監視装置２５が使用される。監視装置２５ａは通信装置１０ａでの通信状況を監視し、監視装置２５ｂは通信装置１０ｂでの通信状況を監視しているものとする。図２１では、通信経路を実線で示し、状態通知の送受信経路を点線の矢印で示している。また、図２〜図１８を参照しながら説明した例と同様に、図２１でも、通信装置５ａ〜５ｃは、社内ネットワーク１に含まれていない装置であり、通信装置１０ａと通信装置１０ｂは社内ネットワーク１中の装置であるとする。

通信装置１０ａが通信装置５ｃとの間で通信ｘ１を開始し、さらに、通信装置５ａとの間で通信ｘ３１、通信装置５ｂとの間で通信ｘ３２を開始したとする。すると、監視装置３０ａは、社内ネットワーク１内で通信装置１０ａと通信中の装置を特定した上で、通信装置１０ａと通信中の装置の監視装置に向けて、通信装置１０ａの通信状況を通知することになる。図２１では図を見やすくするために、社内ネットワーク１中での通信装置１０ａの通信先として通信装置１０ｂだけを示しているが、通信先の数は任意であり、しかも動的に変化する。このため、監視装置がユニキャスト通信で状態通知を送信すると、監視対象の装置の情報を通知する監視装置の処理負担が大きい。

さらに、ユニキャスト通信による通信状況の通知を行うと、監視装置が他の監視装置に通信状況を中継することもある。図２１の例では、監視装置２５ａは、通知（ｘ１，ｘ３１，ｘ３２）を用いて、通信ｘ１、ｘ３１、ｘ３２の情報を監視装置２５ｂに通知している。一方、監視装置２５ｂの監視対象である通信装置１０ｂは、通信ｙ１、ｙ３２、ｙ３１、ｚ１、ｚ２１、ｚ２２を行っている。このため、監視装置２５ｂは、例えば、通信ｙ３１の通信先を監視している監視装置２５ｃに対しては、監視装置２５ａから取得した情報と、監視装置２５ｂの監視対象から得られた情報の両方を送信することになる。すなわち、監視装置２５ｂは、監視装置２５ｃに対して、通信ｘ１、ｘ３１、ｘ３２、ｙ１、ｙ３２、ｚ１、ｚ２１、ｚ２２の情報を含む通知Ｄを送信することになる。また、監視装置２５ｄについても同様に、監視装置２５ｂは、通信ｘ１、ｘ３１、ｘ３２、ｙ１、ｙ３１、ｚ１、ｚ２１、ｚ２２の情報を含む通知Ｅを送信する。このように、監視情報をユニキャスト送信で中継すると、各監視装置での処理負担が大きい上、ある通信が始まってからその通信についての情報が通知されるまでの遅延時間も長くなる恐れがある。

ゆえに、第１の実施形態にかかる方法では、ある監視装置が他の監視装置で得られた情報を中継しなくてもよいため、監視装置が送信するデータ量の増大を防ぎつつ、簡便に通信状況の通知ができる。また、通信の開始から、開始された通信に対する情報が通知されるまでの遅延もユニキャストで通信状況が通知される場合に比べて短いので、迅速に不正アクセスの検出を行うことができる。

また、第１の実施形態では、図９や図１０を参照しながら説明したように、社内ネットワーク１内の通信装置１０が社内ネットワーク１外の通信装置５と通信を開始する前に開始した社内ネットワーク１内の通信についての情報は監視装置３０間で送受信されない。ここで、社内ネットワーク１外の通信装置５との通信が行われる前に開始された社内ネットワーク１内での通信は、通信装置５からの不正アクセスにより開始された通信ではないと考えられる。つまり、第１の実施形態にかかる監視方法では、不正アクセスにより開始された可能性の高い通信以外の情報を監視装置３０間で送受信しないので、効率的であり、監視装置３０の処理負担も軽減されている。

また、監視装置３０での処理対象の情報が少なくなることから、監視装置３０での不正アクセスの検出処理が簡便になる。監視装置３０の監視対象の通信装置１０が社内ネットワーク１外の装置と通信した後に、監視対象からアクセス可能な通信装置１０が社内ネットワーク１外の装置とアクセスすると図２に示すケースＣ１の不正アクセスの可能性がある。一方、監視装置３０の監視対象の通信装置１０が社内ネットワーク１外の装置と通信した後に、監視対象からアクセス可能な通信装置１０が機密エリア中の装置とアクセスすると図２に示すケースＣ２の不正アクセスの可能性がある。そこで、図２０に示すように、各監視装置３０は、社内ネットワーク１中の通信装置１０が社内ネットワーク１外の通信装置５か機密エリア中の通信装置１０とアクセスしたことを通知されたときに不正アクセスを検出している（ステップＳ６４、Ｓ７０）。換言すると、監視装置３０は、監視対象での社内ネットワーク１外の通信装置５との通信を検出するまでは、監視対象の通信装置１０からアクセス可能な通信装置１０での通信状況を取得しないことにより、判定処理を簡略化しているといえる。

＜第２の実施形態＞
第２の実施形態では、監視装置３０の監視先の通信装置１０が通信を終了することにより、状態通知メッセージの取得を終了する場合に行われる処理の例を説明する。なお、以下の説明でも、社内ネットワーク１や外部ネットワークに含まれている装置や、通信装置１０と監視装置３０の間の接続関係は、第１の実施形態と同様であるものとする。従って、通信装置５ａ〜５ｃは社内ネットワーク１に含まれていない装置である。また、初期状態では、図１８に示すように監視装置３０ａはＴ３０ａ−１８、監視装置３０ｃはＴ３０ｃ−１８、監視装置３０ｄはＴ３０ｄ−１８を保持しているものとする。また、監視装置３０ｂは、図１６のＴ３０ｂ−１２に示す情報を保持している。

（１）社内ネットワーク１外の装置との間の通信の終了
図２２は、通信装置１０ａが社内ネットワーク１外の全ての通信装置５との通信を終了する際に行われる処理の例を説明するシーケンス図である。初期状態では、図９中の矢印Ａ１〜Ａ５、Ａ７、Ａ１０、Ａ１３、Ａ１５の通信が行われているものとする。図２２中のＢに、通信中の経路を示す。

矢印Ａ２１に示すように、通信装置５ｂと通信装置１０ａとの間で通信を終了するための制御メッセージが送受信されると、監視装置３０ａは、通信装置５ｂと通信装置１０ａの間で通信が終了することを検出する。なお、通信の終了は、第１の実施形態の図５Ａ、図５Ｂを参照しながら説明した手順により検出されるものとする。

図２３のＴ３０ａ−２１は、矢印Ａ２１により通信の終了を検出したときに監視装置３０ａが保持する情報の例である。分析処理部４１ａは、終了する通信での通信装置１０ａの通信先（通信装置５ａ）が社内ネットワーク１内に含まれていないことを、監視装置テーブル５１（図６）を用いて特定する。すると、分析処理部４１は、終了する通信に対応するエントリをネットワーク間通信状況テーブル５２ａから削除する。従って、ネットワーク間通信状況テーブル５２ａ−４（図１８）がネットワーク間通信状況テーブル５２ａ−５（図２３）に示すように更新される。分析処理部４１は、更新後のネットワーク間通信状況テーブル５２ａ−５にエントリが残っているので、処理を終了する。

次に、矢印Ａ２２に示すように、監視装置３０ａが通信装置５ａと通信装置１０ａの間で通信が終了することを検出したとする。監視装置３０ａでは矢印Ａ２１で説明した処理と同様の処理が行われるため、ネットワーク間通信状況テーブル５２ａ−５がネットワーク間通信状況テーブル５２ａ−６に更新される。このため、監視装置３０ａは、Ｔ３０ａ−２２に示す情報を保持する。

図２４は、矢印Ａ２３に示すように、通信装置５ｃと通信装置１０ａの間で通信が終了する場合に監視装置３０ａが保持する情報の例である。通信装置５ｃと通信装置１０ａとの間の通信の終了を検出した分析処理部４１ａがネットワーク間通信状況テーブル５２ａ−６をネットワーク間通信状況テーブル５２ａ−７に更新すると、更新後のネットワーク間通信状況テーブル５２ａには、エントリが無くなる。分析処理部４１ａは、社内ネットワーク１外の装置との全ての通信が終了したので、通信装置１０ａと社内ネットワーク１外の装置の通信経路を用いた不正アクセスが発生する可能性はなくなったと判定する。このため、分析処理部４１ａは、通信装置１０ａが社内ネットワーク１外の装置との通信中に他の監視装置３０から通信の開始が通知された通信区間の情報を、ネットワーク内通信状況テーブル５３ａから削除する。さらに、分析処理部４１は、ネットワーク内通信状況テーブル５３ａに残った全てのエントリについて、検知条件対象表示＝Ｎｏに設定する。このため、ネットワーク内通信状況テーブル５３ａ−５（図２３）は、ネットワーク内通信状況テーブル５３ａ−６に示すように更新される。分析処理部４１ａは、通信装置１０ａが社内ネットワーク１外の装置と通信していないことを生成部４６ａに通知する。

生成部４６ａは、参加状況テーブル５４ａから全てのエントリを削除することにより、参加状況テーブル５４ａ−４（図２３）を参加状況テーブル５４ａ−５に更新する。さらに、参加状況テーブル５４ａ−４に含まれていた全ての送信元から送信されるマルチキャストパケットの受信を終了するために、離脱要求メッセージを生成する。

図２５は、離脱要求メッセージの例である。図２５は、ＭＬＤｖ２（Multicast Listener Discovery Version 2）を用いて離脱要求が行われる場合の離脱要求メッセージの例を示している。離脱要求メッセージは、Ｌ２ヘッダ、ＩＰヘッダ、データを含む。データ部分のＴｙｐｅには、マルチキャストリスナーレポートであることを示す情報と、離脱するマルチキャストグループについてのマルチキャストアドレスと送信元アドレスの組み合わせが含まれる。このため、図２５の離脱要求メッセージにより、マルチキャストアドレスがＭｕｌｔｉｃａｓｔＡｄｄｒ＃ｍ、かつ、送信元アドレスがＩＰ＿Ｍ＃Ａｇｅｎｔ＃２に設定されているパケットが監視装置３０ａに転送されなくなるようにする設定が行われる。同様に、マルチキャストアドレスがＭｕｌｔｉｃａｓｔＡｄｄｒ＃ｍであり、送信元アドレスがＩＰ＿Ｍ＃ＴａｒｇｅｔかＩＰ＿Ｍ＃Ｔａｒｇｅｔ＃２のパケットについても、監視装置３０ａに転送されなくなるような設定が行われる。図２２の矢印Ａ２４〜Ａ２５に、離脱要求メッセージが送信される様子を示す。なお、離脱要求メッセージについても、マルチキャストパケットの送信元に離脱要求メッセージに送信されているように図示しているが、離脱要求メッセージはマルチキャストパケットを転送しているパケット等での設定に用いられる。

（２）外部との通信開始後に開始した社内ネットワーク１内の通信の終了
図２６は、通信装置１０が外部との通信開始後に開始した社内ネットワーク１内の通信を終了する場合に監視装置３０で行われる処理の例を説明するシーケンス図である。図２６でも、初期状態はＢに示す通信が確立しているものとする。従って、図９中の矢印Ａ１〜Ａ５、Ａ７、Ａ１０、Ａ１３、Ａ１５で示すように、通信装置１０ａは、通信装置１０ｂと通信装置１０ｄ以外の社内ネットワーク１中の装置とは直接通信しておらず、通信装置１０ｂを介して通信している。

矢印Ａ３１に示すように、通信装置１０ｂと通信装置１０ａとの間の通信が終了したとする。通信装置１０ｂと通信装置１０ａとの間の通信の終了を検出した分析処理部４１ａは、アクセス可能な通信装置１０を、通信装置１０ａが通信装置１０ｂを介してアクセスしている通信装置１０と、通信装置１０ａが直接通信している端末に分類する。なお、アクセス可能な通信装置１０は、ネットワーク内通信状況テーブル５３ａ−５（図１８）に記録されている通信装置１０である。分類方法の具体例については後述する。分析処理部４１ａは、ネットワーク内通信状況テーブル５３ａから、通信が終了した通信装置１０ｂとの通信の情報と、通信装置１０ｂを介してアクセスしている通信装置１０の情報を削除する。

図２７は、通信装置１０ａと通信装置１０ｂの間の通信が終了したときに監視装置３０ａが保持する情報の例である。分析処理部４１ａの処理により、ネットワーク内通信状況テーブル５３ａ−５は、図２７中のネットワーク内通信状況テーブル５３ａ−７に示すように更新される。生成部４６ａは、通信装置１０ａと通信装置１０ｂとの通信の終了により、ネットワーク内通信状況テーブル５３ａから削除されたエントリに含まれる装置での通信状況を取得するために受信していたマルチキャストパケットの送信元を特定する。なお、生成部４６ａは、適宜、監視装置テーブル５１を用いて送信元アドレスを特定できる。生成部４６ａは、特定した送信元アドレスを含むエントリを参加状況テーブル５４ａから削除することにより、参加状況テーブル５４ａ−４（図１８）を参加状況テーブル５４ａ−６（図２７）に更新する。さらに、参加状況テーブル５４ａ−４から削除した送信元から送信されるマルチキャストパケットの受信を終了するために、離脱要求メッセージを生成する。ここでは、マルチキャストアドレスがＭｕｌｔｉｃａｓｔＡｄｄｒ＃ｍであり、送信元アドレスがＩＰ＿Ｍ＃Ａｇｅｎｔ＃２、ＩＰ＿Ｍ＃Ｔａｒｇｅｔ、ＩＰ＿Ｍ＃Ｔａｒｇｅｔ＃２のいずれかのパケットについても離脱要求メッセージが生成される。図２６の矢印Ａ３２〜Ａ３４に、離脱要求メッセージが送信される様子を示す。図２６の例では、矢印Ａ３１に示す通信終了に対応して監視装置３０ｂから送信された状態通知メッセージは監視装置３０ａに送信されるが、その後に監視装置３０ｂ〜３０ｄにより生成された状態通知メッセージは監視装置３０ａに到達しなくなっている。

（３）社内ネットワーク１内の一部の装置との間の通信の終了
図２８は、社内ネットワーク１内の一部の装置との通信を終了する通信装置１０を監視する監視装置３０で行われる処理の例を説明するシーケンス図である。図２８でも、初期状態はＢに示す通信が確立しているものとする。以下、通信装置１０ａ以外の装置間での通信の終了に伴って、社内ネットワーク１内の一部の装置との間の通信を終了する場合の処理を説明する。

矢印Ａ４０に示すように、通信装置１０ｂと通信装置１０ｃとの間の通信が終了したとする。すると、監視装置３０ｂと監視装置３０ｃの両方から、通信装置１０ｂと通信装置１０ｃの間の通信の終了を通知する状態通知メッセージが送信される（矢印Ａ４１、Ａ４２）。判定部４４ａは、状態通知メッセージを用いて、通信装置１０ｂと通信装置１０ｃの間の通信終了により通信できなくなる通信装置１０を特定する。この例では、図９に示すように、通信装置１０ｂと通信装置１０ｃの通信が切断されても、通信装置１０ａは、通信装置１０ｂとは矢印Ａ５の経路を介して通信できる。さらに、通信装置１０ａは、通信装置１０ｄと矢印Ａ５、Ａ１０で示す通信経路、通信装置１０ｃとは矢印Ａ５、Ａ１０、Ａ１５で示す通信経路で双方向通信することによりアクセス可能である。このため、判定部４４は、アクセスできなくなる通信装置１０が無いと判定する。そこで、判定部４４ａは、状態通知メッセージで通信の終了が通知された区間の情報をネットワーク内通信状況テーブル５３ａから削除して、処理を終了する。

図２９ＡのＴ３０ａ−４２は、矢印Ａ４１とＡ４２に示す情報通知メッセージの処理後に監視装置３０ａが保持する情報の例である。判定部４４ａの処理により、ネットワーク内通信状況テーブル５３ａ−５（図１８）は、ネットワーク内通信状況テーブル５３ａ−８に示すように更新されている。また、矢印Ａ４０〜Ａ４２により、監視装置３０ｂと監視装置３０ｃでも情報の更新が行われる。

図２９ＡのＴ３０ｂ−４２は、監視装置３０ｂが保持する情報の例である。監視装置３０ｂの分析処理部４１ｂは、取得部３４ｂを介して、通信装置１０ｂと通信装置１０ｃの間の通信が終了したことを認識すると、ネットワーク内通信状況テーブル５３ｂから通信装置１０ｂと通信装置１０ｃの間の通信に関する情報を削除する。このため、ネットワーク内通信状況テーブル５３ｂ−３（図１６）は、ネットワーク内通信状況テーブル５３ｂ−４に示すように更新される。

図２９ＢのＴ３０ｃ−４２は、矢印Ａ４２の処理後の段階で監視装置３０ｃが保持する情報の例である。監視装置３０ｃの分析処理部４１ｃは、取得部３４ｃを介して、通信装置１０ｂと通信装置１０ｃの間の通信が終了したことを認識すると、ネットワーク内通信状況テーブル５３ｃから通信装置１０ｂと通信装置１０ｃの間の通信に関する情報を削除する。このため、ネットワーク内通信状況テーブル５３ｃ−２（図１８）は、ネットワーク内通信状況テーブル５３ｃ−３に示すように更新される。なお、通信装置１０ｃは通信装置１０ｂを介して他の通信装置１０にアクセスする経路を、社内ネットワーク１外の装置との通信確立後に生成していない。このため、通信装置１０ｂと通信装置１０ｃの間の通信が終了しても、参加状況テーブル５４ｃ−２は更新されない。なお、通信装置１０ｄでは矢印Ａ４０〜Ａ４２の通信に基づく情報の変更は行われないので、通信装置１０ｄは、図２９ＢのＴ３０ｄ−４２に示す情報を保持する。

次に、図２８の矢印Ａ４３に示すように、通信装置１０ｂと通信装置１０ｄとの間の通信が終了したとする。すると、監視装置３０ａは、監視装置３０ｂと監視装置３０ｄの両方から、通信装置１０ｂと通信装置１０ｄの間の通信の終了を通知する状態通知メッセージを受信する（矢印Ａ４４、Ａ４５）。

判定部４４ａは、状態通知メッセージを用いて、通信装置１０ｂと通信装置１０ｄの間の通信終了により通信できなくなる通信装置１０を特定する。この例では、すでに図９の矢印Ａ７で示す経路が切断された後に、矢印Ａ１０に示す経路も切断されている。このため、通信装置１０ａは、通信装置１０ａが社内ネットワーク１外の装置との通信確立後に生成された社内ネットワーク１内の通信経路のうちで切断されない経路によって、通信装置１０ｃと通信装置１０ｄにアクセスすることができなくなる。そこで、判定部４４ａは、ネットワーク内通信状況テーブル５３ａから、社内ネットワーク１外の装置との通信後に確立された通信であって、かつ、通信装置１０ｃと通信装置１０ｄのいずれかを含む通信のエントリを削除する。

図３０ＡのＴ３０ａ−４７は、矢印Ａ４７の処理後の段階で監視装置３０ａが保持する情報の例である。判定部４４ａでの処理により、ネットワーク内通信状況テーブル５３ａ−８（図２９Ａ）は、ネットワーク内通信状況テーブル５３ａ−９に示すように更新されている。生成部４６ａは、通信装置１０ｂと通信装置１０ｄの間の通信の終了により、ネットワーク内通信状況テーブル５３ａから削除されたエントリに含まれる通信状況を取得するために受信していたマルチキャストパケットの送信元を特定する。このときも、生成部４６ａは、適宜、監視装置テーブル５１を使用する。生成部４６ａは、特定した送信元アドレスを含むエントリを参加状況テーブル５４ａから削除することにより、参加状況テーブル５４ａ−４（図２９Ａ）を参加状況テーブル５４ａ−７（図３０Ａ）に更新する。さらに、生成部４６ａは、参加状況テーブル５４ａ−４から削除した送信元から送信されるマルチキャストパケットの受信を終了するために、離脱要求メッセージを生成する。ここでは、マルチキャストアドレスがＭｕｌｔｉｃａｓｔＡｄｄｒ＃ｍであり、送信元アドレスがＩＰ＿Ｍ＃Ｔａｒｇｅｔ、ＩＰ＿Ｍ＃Ｔａｒｇｅｔ＃２のいずれかのパケットについても離脱要求メッセージが送信される（矢印Ａ４６、Ａ４７）。

図３０ＡのＴ３０ｂ−４７は、矢印Ａ４７の処理後の段階で監視装置３０ｂが保持する情報の例である。監視装置３０ｂの分析処理部４１ｂは、取得部３４ｂを介して、通信装置１０ｂと通信装置１０ｄの間の通信が終了したことを認識すると、ネットワーク内通信状況テーブル５３ｂから通信装置１０ｂと通信装置１０ｄの間の通信の情報を削除する。このため、ネットワーク内通信状況テーブル５３ｂ−４（図２９Ａ）は、ネットワーク内通信状況テーブル５３ｂ−５に示すように更新される。

図３０Ｂは、矢印Ａ４７の処理後の段階で監視装置３０ｄが保持する情報の例である。通信装置１０ｂと通信装置１０ｄの間の通信の終了に伴う監視装置３０ｄでの処理は監視装置３０ｂと同様である。このため、ネットワーク内通信状況テーブル５３ｄ−３（図２９Ｂ）は、ネットワーク内通信状況テーブル５３ｄ−４に示すように更新される。

（４）アクセス可能な通信装置１０の検出方法の例
以下、図２８に示すように通信の終了が行われた場合を例として、接続中の経路の検索方法の例を説明する。なお、図２６に示したように社内ネットワーク１内の通信が終了された場合も、同様の処理が行われる。以下の説明では、判定部４４は、連結判定テーブルＡ、連結判定テーブルＢ、連結ノードテーブルの３種類のテーブルを使用する。連結判定テーブルＡは、起点として指定したノード（起点ノード）から、社内ネットワーク１外の装置との通信中に確立された通信経路を用いてアクセスできる通信区間を記録する。一方、連結判定テーブルＢは、起点ノードから、社内ネットワーク１外の装置との通信中に確立された通信経路を用いてアクセスできない通信区間を記録する。連結ノードテーブルは、起点ノードから、社内ネットワーク１外の装置との通信中に確立された通信経路を用いてアクセスできるノードのリストである。

図３１は、監視装置３０ａの判定部４４ａが、矢印Ａ４１、Ａ４２に示す状態通知メッセージを受信したときに保持するデータの例を示す。ケースｃ１１は、判定部４４ａが矢印Ａ４１、Ａ４２に示す状態通知メッセージを取得したときに生成される処理用のデータである。判定部４４ａは、ネットワーク内通信状況テーブル５３ａのうち、他の通信装置１０を介してアクセス可能な通信区間の情報を、アクセスできない通信区間であると仮定する。なお、判定部４４ａは、状態通知メッセージにより通信の終了が通知された通信区間については、判定対象から除外する。すなわち、判定部４４ａは、ネットワーク内通信状況テーブル５３ａ中で検知条件対象表示＝Ｙｅｓに設定されている区間のうち、状態通知メッセージで通信の終了が通知された区間以外の情報を、連結判定テーブルＢにコピーする。矢印Ａ４１、Ａ４２の状態通知メッセージの受信の際に、監視装置３０ａは、ネットワーク内通信状況テーブル５３ａ−５（図１８）を保持しているので、判定部４４ａは、連結判定テーブルＢをケースｃ１１に示すように生成する。さらに、判定部４４ａは、起点ノードとして、通信の終了が通知された通信区間の両端のいずれかの装置を指定する。ケースｃ１１の例では、判定部４４ａは、通信装置１０ｂを起点ノードとして連結ノードテーブルに登録している。

次に、判定部４４ａは、連結ノードテーブル中に含まれている装置がノード１かノード２に設定されている区間は、通信が可能な区間であると判定する。そこで、判定部４４ａは、連結ノードテーブル中に含まれている装置がノード１かノード２に設定されている区間の情報を連結判定テーブルＢから削除するとともに、連結判定テーブルＡに記録する。また、判定部４４ａは、連結判定テーブルＡに記録された区間の両端のうち、連結ノードテーブルに登録されていない装置の情報を、連結ノードテーブルに追加する。このため、ケースｃ１１に示す情報は、ケースｃ１２に示すように更新される。

さらに、判定部４４ａは、連結ノードテーブル中の起点ノード以外の装置の１つを、連結判定対象の装置に設定する。ここでは通信装置１０ｄが連結判定対象に選択されたとする。判定部４４ａは、連結判定対象を含む通信区間は通信可能な区間として、連結判定テーブルＢから削除するとともに連結判定テーブルＡに記録する。判定部４４ａは、連結判定対象を変更しながら、同様の判定処理を、連結判定テーブルＢにエントリがなくなるか、連結ノードテーブル中の起点ノード以外の全ての装置を連結判定対象として判定処理を行うまで繰り返す。判定処理の終了時点で連結判定テーブルＢに残っている区間は、通信の終了により、社内ネットワーク１外の装置との通信中に確立された通信路からは、起点ノードがアクセスできなくなった区間である。一方、判定処理の終了時点で連結判定テーブルＡに含まれている区間は、状況通知メッセージで通知された通信の終了後でも、起点ノードが社内ネットワーク１外の装置との通信中に確立された通信路からアクセス可能な通信区間である。

ここでは、通信装置１０ｄが連結判定対象となっているため、ケースｃ１２の連結判定テーブルＡ、連結判定テーブルＢ、連結ノードテーブルは、ケースｃ１３に示すように更新される。判定部４４ａは、監視対象の通信装置１０ａが連結ノードテーブルに含まれている場合、連結ノードテーブルに含まれている装置に通信装置１０ａがアクセス可能であると判定する。また、連結判定テーブルＢにエントリが無いので、矢印Ａ４０〜Ａ４２の通信が行われた時点では、通信装置１０ａがアクセスできなくなった区間は、通信が終了した通信装置１０ｂと通信装置１０ｃの間の区間以外には無いと判定される。

なお、図３１を参照しながら通信装置１０ｂが起点ノードの場合を説明したが、起点ノードは通信装置１０ｃに設定されても良い。

図３２Ａと図３２Ｂは、矢印Ａ４１、Ａ４２に示す状態通知メッセージを受信したときに、判定部４４ａが起点ノードを通信装置１０ｃに設定して接続中の経路を検索する場合の例である。判定部４４ａは、起点ノードを通信装置１０ｃに設定してケースｃ１１と同様の処理を行うことにより、ケースｃ２１に示す情報を生成する。次に、判定部４４ａは、通信装置１０ｃがノード１かノード２に設定されている区間の情報を連結判定テーブルＢから削除するとともに、連結判定テーブルＡに記録する。また、判定部４４ａは、通信装置１０ｃ以外で連結判定テーブルＡに記録された区間の両端のうち、連結ノードテーブルに登録されていない装置の情報を、連結ノードテーブルに追加する。このため、ケースｃ２１に示す情報は、ケースｃ２２に示すように更新される。さらに、判定部４４ａは、通信装置１０ｄを連結判定対象の装置に設定し、通信装置１０ｄと通信装置１０ｂの間の通信区間を連結判定テーブルＢから削除するとともに連結判定テーブルＡに記録する。また、判定部４４ａは、通信装置１０ｂを連結ノードテーブルに追加する。このため、ケースｃ２２に示す情報は、ケースｃ２３に示すように更新される。その後、判定部４４ａは、通信装置１０ｂを連結判定対象の装置に設定し、通信装置１０ｂと通信装置１０ａの間の通信区間を連結判定テーブルＢから削除するとともに連結判定テーブルＡに記録する。また、判定部４４ａは、通信装置１０ａを連結ノードテーブルに追加する。このため、ケースｃ２３に示す情報は、ケースｃ２４に示すように更新される。

図３１〜図３２Ｂを参照しながら説明したように、ある通信区間での通信の終了に伴って監視対象の通信装置１０がアクセスできなくなる通信区間が無い場合、終了する区間のいずれを起点ノードとしても監視対象がアクセス可能な装置は変わらない。しかし、通信の終了に伴って監視対象の通信装置１０がアクセスできなくなる通信区間がある場合は、起点ノードによって、監視対象がアクセス可能な装置（連結ノード）が異なる。

図３３は、監視装置３０ａの判定部４４ａが、矢印Ａ４５、Ａ４６に示す状態通知メッセージを受信したときに保持するデータの例を示す。矢印Ａ４５、Ａ４６の状態通知メッセージの受信の際に、監視装置３０ａは、ネットワーク内通信状況テーブル５３ａ−８（図２９Ａ）を保持しているので、判定部４４ａは、連結判定テーブルＢをケースｃ３１に示すように生成する。ケースｃ３１では、起点ノードとして通信装置１０ｂが連結ノードテーブルに登録されている。

次に、判定部４４ａは、通信装置１０ａと通信装置１０ｂの間の区間の情報を連結判定テーブルＢから削除するとともに、連結判定テーブルＡに記録する。また、判定部４４ａは、通信装置１０ａの情報を、連結ノードテーブルに追加する。このため、ケースｃ３１に示す情報は、ケースｃ３２に示すように更新される。

さらに、判定部４４ａは、通信装置１０ａを連結判定対象とし、連結判定テーブルＢ中で通信装置１０ａを含む区間を検索する。ここでは、連結判定テーブルＢ中で通信装置１０ａを含む区間がない。このため、ケースｃ３３に示すように、連結判定テーブルＢ中には、通信装置１０ｃと通信装置１０ｄの間の通信区間が残る。そこで、判定部４４ａは、監視装置３０ａの監視対象の通信装置１０ａが通信装置１０ｃと通信装置１０ｄの間の通信区間にアクセスできないと判定する。このため、通信装置１０ｄは、連結判定テーブルＢに残った区間と通信の終了が通知された区間を、ネットワーク内通信状況テーブル５３ａ−８（図２９Ａ）から削除し、ネットワーク内通信状況テーブル５３ａ−９（図３０ａ）を生成する。

図３４のケースｃ４１は、判定部４４ａが矢印Ａ４５、Ａ４６に示す状態通知メッセージに基づいて、起点ノードを通信装置１０ｄに指定した場合に生成するデータの例を示す。判定部４４ａは、ネットワーク内通信状況テーブル５３ａ−８（図２９Ａ）を用いて、連結判定テーブルＢをケースｃ４１に示すように生成する。次に、判定部４４ａは、通信装置１０ｄと通信装置１０ｃの間の区間の情報を連結判定テーブルＢから削除するとともに、連結判定テーブルＡに記録する。また、判定部４４ａは、通信装置１０ｃの情報を、連結ノードテーブルに追加する。このため、ケースｃ４１に示す情報は、ケースｃ４２に示すように更新される。さらに、判定部４４ａは、通信装置１０ｃを連結判定対象とし、連結判定テーブルＢ中で通信装置１０ｃを含む区間を検索するが、連結判定テーブルＢ中で通信装置１０ｃを含む区間がない。このため、ケースｃ４２の連結判定テーブルＢ中に含まれている通信装置１０ａと通信装置１０ｂの間の通信区間が通信装置１０ｄから通信できない区間として残る。しかし、図３４に示す処理では、連結ノードテーブルには、通信装置１０ａが含まれていない。このため、ケースｃ４２に示す連結ノードテーブルに含まれている装置に対して、通信装置１０ａは社内ネットワーク１外の装置の通信中に確立した通信路からアクセスすることはできないことが分かる。また、判定部４４ａは、連結判定テーブルＡに含まれている区間を、社内ネットワーク１外の装置との通信中に確立された通信路を介して通信装置１０ａがアクセスできない区間として特定できる。

図３５は、接続中の経路の検索方法の例を説明するフローチャートである。判定部４４は、通信の終了を検出すると、連結判定テーブルＡ、連結判定テーブルＢ、連結ノードテーブルを、作業エリアとして初期化する（ステップＳ８１）。さらに、判定部４４は、起点ノードを登録し、変数ｐと変数ｑを１に設定する（ステップＳ８２）。ここで、変数ｐは、連結ノードテーブル中で起点ノードまたは連結判定対象となったノードの数を計数するために使用され、変数ｑは、連結判定テーブルＢ中で判定処理の対象となったエントリの数を計数するために使用される。判定部４４は、連結判定テーブルＢに、ネットワーク内通信状況テーブル５３中で、通信の終了が通知された区間以外で、検知条件対象表示＝Ｙｅｓに設定されているエントリをコピーする（ステップＳ８３）。判定部４４は、連結判定テーブルＢのｑ番目のエントリのノード１が連結ノードテーブルのｐ番目のエントリ（ノードＸ）であるかを判定する（ステップＳ８４）。連結判定テーブルＢのｑ番目のエントリのノード１とノードＸが一致する場合、判定部４４は、連結判定テーブルＢのｑ番目のエントリのノード２を連結ノードに設定する（ステップＳ８４でＹｅｓ、ステップＳ８５）。

一方、連結判定テーブルＢのｑ番目のエントリのノード１とノードＸが一致しない場合、判定部４４は、連結判定テーブルＢのｑ番目のエントリのノード２がノードＸと一致するかを判定する（ステップＳ８４でＮｏ、ステップＳ８６）。連結判定テーブルＢのｑ番目のエントリのノード２とノードＸが一致する場合、判定部４４は、連結判定テーブルＢのｑ番目のエントリのノード１を連結ノードに設定する（ステップＳ８６でＹｅｓ、ステップＳ８７）。ステップＳ８５かステップＳ８７の処理後、判定部４４は、連結判定テーブルＢのｑ番目のエントリを、連結判定テーブルＡに移動する（ステップＳ８８）。判定部４４は、連結ノードテーブルに、ステップＳ８５かステップＳ８７で設定した連結ノードが登録されているかを判定する（ステップＳ８９）。連結ノードテーブルに、ステップＳ８５かステップＳ８７で設定した連結ノードが登録されていない場合、判定部４４は、連結ノードを連結ノードテーブルに追加する（ステップＳ８９で登録なし、ステップＳ９０）。その後、変数ｑを１つインクリメントして、定数Ｑと比較する（ステップＳ９１、Ｓ９２）。ここで、定数Ｑは、連結判定テーブルＢ中のエントリの総数である。変数ｑが定数Ｑを超えるまで、ステップＳ８４〜Ｓ９１の処理が繰り返される（ステップＳ９２でＮｏ）。一方、変数ｑが定数Ｑを超えると、判定部４４は、変数ｐを１つインクリメントして、定数Ｐと比較する（ステップＳ９２でＹｅｓ、ステップＳ９３、Ｓ９４）。ここで、定数Ｐは、現在の連結ノードテーブル中のエントリの総数である。変数ｐが定数Ｐ以下の場合、判定部４４は、変数ｑを１に設定して、ステップＳ８４以降の処理を繰り返す（ステップＳ９４でＮｏ、ステップＳ９５）。一方、変数ｐが定数Ｐを超えると、判定部４４は、処理を終了する（ステップＳ９４でＹｅｓ）。なお、ステップＳ８６において、連結判定テーブルＢのｑ番目のエントリのノード２とノードＸが一致しない場合、ステップＳ９１以降の処理が行われる。

図３６Ａと図３６Ｂは、通信終了を検出した監視装置３０の処理の例を説明するフローチャートである。通信を終了する通信装置１０を監視している監視装置３０の通知部４５は、終了する通信の情報を、マルチキャストグループに参加している装置に通知する（ステップＳ１０１）。分析処理部４１は、終了する通信において監視対象の通信先はネットワーク外のノードであるかを判定する（ステップＳ１０２）。監視対象の通信先がネットワーク外のノードである場合、分析処理部４１は、終了する通信の情報を、ネットワーク間通信状況テーブル５２から削除する（ステップＳ１０２でＹｅｓ、ステップＳ１１１）。分析処理部４１は、ネットワーク間通信状況テーブル５２にエントリが残っている場合、処理を終了する（ステップＳ１１２で「あり」）。ネットワーク間通信状況テーブル５２にエントリが残っていない場合、分析処理部４１は、自装置が直接監視している装置を含まない通信情報をネットワーク内通信状況テーブル５３から削除する（ステップＳ１１３）。さらに、分析処理部４１は、ネットワーク内通信状況テーブル５３中の全てのエントリについて、検知条件対象表示＝Ｎｏに設定する（ステップＳ１１４）。生成部４６は、参加状況テーブル５４に送信元が含まれる全てのマルチキャストグループに対しての離脱要求を、送信部３２を介して送信する（ステップＳ１１５）。生成部４６は、参加状況テーブル５４中の全てのエントリを削除する（ステップＳ１１６）。

一方、監視対象の通信先がネットワーク内のノードである場合、分析処理部４１は、終了した通信での監視対象の通信先を監視するマルチキャストグループに参加しているかを判定する（ステップＳ１０３）。通信先を監視するマルチキャストグループに参加していない場合、分析処理部４１は、終了した通信についての情報をネットワーク内通信状況テーブル５３から削除して、処理を終了する（ステップＳ１０３でＮｏ、ステップＳ１０４）。

通信先を監視するマルチキャストグループに参加している場合も、分析処理部４１は、終了した通信についての情報をネットワーク内通信状況テーブル５３から削除して、処理を終了する（ステップＳ１０３でＹｅｓ、ステップＳ１０５）。分析処理部４１は、終了した通信での監視対象の通信先のノードを起点ノードとして、起点ノードが通信可能なノードをリストアップする（ステップＳ１０６）。終了した通信での監視対象のノードがリストに含まれている場合、分析処理部４１は、処理を終了する（ステップＳ１０７で連結）。終了した通信での監視対象のノードがリストに含まれていない場合、分析処理部４１は、リストアップしたノードを含む情報を、ネットワーク内通信状況テーブル５３から削除する（ステップＳ１０７で非連結、ステップＳ１０８）。生成部４６は、リストアップされたノードを監視している監視装置３０に、離脱要求を送信する（ステップＳ１０９）。さらに、生成部４６は、離脱したマルチキャストグループの送信元の情報を、参加状況テーブル５４から削除する（ステップＳ１１０）。

図３７は、通信終了を通知する状態通知メッセージを受信した監視装置３０で行われる処理の例を説明するフローチャートである。判定部４４は、状態通知メッセージにより終了が通知された通信について、状態通知メッセージの送信元の監視対象の通信先はネットワーク内の装置であるかを判定する（ステップＳ１２１）。状態通知メッセージの送信元の監視対象の通信先がネットワーク外の装置である場合、判定部４４は処理を終了する（ステップＳ１２１でＮｏ）。状態通知メッセージの送信元の監視対象の通信先がネットワーク内の装置である場合、判定部４４は、終了した通信での通信先は、自装置の監視対象であるかを判定する（ステップＳ１２１でＹｅｓ、ステップＳ１２２）。終了する通信での通信先が自装置の監視対象である場合、判定部４４は処理を終了する（ステップＳ１２２でＮｏ）。

一方、終了する通信での通信先が自装置の監視対象ではない場合、判定部４４は、状態通知メッセージにより終了が通知された通信の情報を、ネットワーク内通信状況テーブル５３から削除する（ステップＳ１２２でＹｅｓ、ステップＳ１２３）。判定部４４は、連結ノード判定処理を行う（ステップＳ１２４）。連結ノード判定処理の詳細は、図３１〜図３５を用いて説明したとおりである。なお、図３７の例では、連結ノード判定処理において、判定部４４は、状態通知メッセージの送信元の監視装置３０が監視している装置の通信先を起点ノードに設定するものとする。連結ノードテーブルに、状態通知メッセージの送信元の監視装置３０が監視している装置が含まれている場合、判定部４４は、処理を終了する（ステップＳ１２５で連結）。

連結ノードテーブルに、状態通知メッセージの送信元の監視装置３０が監視している装置が含まれていない場合、判定部４４は、連結ノードテーブルに、自装置の監視対象が含まれているかを判定する（ステップＳ１２６）。連結ノードテーブルに自装置の監視対象が含まれていない場合、判定部４４は、連結判定テーブルＡに含まれているエントリに一致するエントリを、ネットワーク内通信状況テーブル５３から削除する（ステップＳ１２６で「含まれない」、ステップＳ１２７）。生成部４６は、ネットワーク内通信状況テーブル５３から削除されたエントリの装置に対応付けられた送信元の情報を用いて、マルチキャストグループから離脱するための処理を行う（ステップＳ１２８）。生成部４６は、離脱したマルチキャストグループの情報を参加状況テーブル５４から削除する（ステップＳ１２９）。

ステップＳ１２６において連結ノードテーブルに自装置の監視対象が含まれていると判定された場合（ステップＳ１２６でＮｏ）、判定部４４は、起点ノードを、状態通知メッセージの送信元の監視装置３０が監視している装置に変更する。さらに、判定部４４は、連結ノードテーブルを再作成する（ステップＳ１３０）。その後、ステップＳ１３０で作成された連結ノードテーブルや連結判定テーブルＡを用いてステップＳ１２７以降の処理が行われる。

第２の実施形態で説明したように、生成部４６が離脱要求を生成することにより、通信の終了によって監視対象がアクセスしなくなった区間についての情報の通知に使用されるマルチキャストパケットの受信を早期に停止することができる。このため、第２の実施形態では、監視装置３０に無駄なマルチキャストパケットが送信されるのを防ぐことができ、監視装置３０の負荷が軽減され、さらに、ネットワーク中のトラフィックの増大も軽減される。また、監視装置３０は、離脱要求を用いて、外部の通信装置５が通信装置１０を介してアクセス可能な区間の通信情報を取得するためのマルチキャストグループに参加したまま、監視対象を介してアクセスできない区間のマルチキャストグループから離脱できる。このため、監視装置３０は無駄なパケットの受信を防ぎつつ、不正アクセスの検出に用いる情報を取得できる。

＜その他＞
以上の説明では、ＴＣＰを用いた通信が行われる場合を例として説明したが、通信の開始と終了が検出できる場合、他の任意のプロトコルを使用するように変形されうる。

以上の説明で述べたテーブルやメッセージのフォーマットは一例であり、テーブルや各メッセージに含まれる情報要素は、実装に応じて変更され得る。

１ 社内ネットワーク
２ アクセスネットワーク
３ インターネット
５ 通信装置
１０ 通信装置
１２ 通信サービスネットワーク
１５ スイッチ
１７ 監視ネットワーク
２０ ファイアウォール装置
２５、３０ 監視装置
３１ 受信部
３２ 送信部
３３ 通信部
３４ 取得部
３５ 入出力処理部
４０ 制御部
４１ 分析処理部
４２ 参加要求部
４４ 判定部
４５ 通知部
４６ 生成部
５０ 記憶部
５１ 監視装置テーブル
５２ ネットワーク間通信状況テーブル
５３ ネットワーク内通信状況テーブル
５４ 参加状況テーブル
５５ 通信状態テーブル
５６ アドレス情報
６１ プロセッサ
６２ メモリ
６３ 入出力装置
６４ 通信インタフェース
６５ 取得処理回路

Claims (8)

1. 複数の通信装置と複数の監視装置を含むネットワークで第１の監視装置として動作する監視装置であって、
   監視対象の通信装置が行う通信の情報である通信情報を取得する取得部と、
   前記監視対象の通信装置のうちの第１の通信装置が、前記ネットワークに含まれていない装置である外部装置と通信を開始した後に、前記ネットワーク中の第２の監視装置が監視する第２の通信装置との通信を開始すると、前記第２の監視装置が監視する通信装置の通信情報を通知するマルチキャストグループへの参加要求を送信する送信部と、
   前記第２の監視装置から前記マルチキャストグループ宛てに送信されたパケットを用いて、前記外部装置が前記第１の通信装置を介して前記ネットワーク中の装置への不正アクセスを行っているかを判定する判定部
   を備えることを特徴とする監視装置。
2. 前記第２の監視装置から前記第２の通信装置の通信状況を受信する受信部と、
   前記第２の通信装置が新たに開始した通信の通信先が前記ネットワークに含まれている場合、前記通信先を監視する第３の監視装置が前記通信先の通信状況を送信するマルチキャストグループへの参加を要求するための他の参加要求を生成する参加要求部
   を備え、
   前記送信部は、前記他の参加要求を送信し、
   前記判定部は、前記第２および第３の監視装置から送信されたパケットを用いて、前記外部装置が前記第１および第２の通信装置を介した不正アクセスを行っているかを判定する
   ことを特徴とする請求項１に記載の監視装置。
3. 前記判定部は、前記第１の監視装置が参加しているマルチキャストグループ宛のパケットにより、前記ネットワークに含まれていない装置との通信の開始、または、前記ネットワークに含まれていない装置からのアクセスを許可していない情報を記憶する装置との通信の開始が通知されると、前記第１の通信装置を介した前記ネットワーク中の装置への不正アクセスが発生したと判定する
   ことを特徴とする請求項１または２に記載の監視装置。
4. 前記取得部が取得した通信情報を、前記第１の監視装置が取得した通信情報の通知先である他のマルチキャストグループに通知するための状態通知を生成する通知部
   をさらに備え、
   前記送信部は、前記状態通知を前記他のマルチキャストグループに送信する
   ことを特徴とする請求項１〜３のいずれか１項に記載の監視装置。
5. 第１の通信装置が前記外部装置との通信を終了したことにより、前記第１の通信装置が前記ネットワークに含まれていない装置と通信しなくなると、前記第１の監視装置が参加したマルチキャストグループからの離脱を要求する離脱要求を生成する生成部
   を備え、
   前記送信部は、前記離脱要求を送信する
   ことを特徴とする請求項１〜４のいずれか１項に記載の監視装置。
6. 前記第２の監視装置が通信情報を通知する第１のマルチキャストグループと、第４の監視装置が通信情報を通知する第２のマルチキャストグループとに、前記第１の監視装置が参加した後で、前記第１の通信装置と前記第２の通信装置との通信が終了すると、前記生成部は、前記ネットワーク中で前記第１の通信装置が前記第２の通信装置を介さずに通信できない装置である対象装置を特定し、
   前記生成部は、前記第４の監視装置の監視対象のうちで前記第１の通信装置と通信している装置に、前記対象装置ではない装置が含まれている場合、前記第２のマルチキャストグループからは離脱せずに、前記第１のマルチキャストグループから離脱するための離脱要求を生成する
   ことを特徴とする請求項５に記載の監視装置。
7. 複数の通信装置と複数の監視装置を含むネットワークと、
   前記ネットワークの外から前記複数の通信装置にアクセスする外部装置
   を含む監視システムであって、
   前記ネットワーク中で、前記外部装置と通信している第１の通信装置を監視する第１の監視装置は、
   前記外部装置との通信中に、前記第１の通信装置が、前記ネットワーク中の第２の監視装置が監視する第２の通信装置との通信を開始すると、前記第２の監視装置が監視する通信装置の通信情報を通知するマルチキャストグループへの参加要求を送信し、
   前記第２の監視装置から前記マルチキャストグループ宛てに送信されたパケットを用いて、前記外部装置が前記第１の通信装置を介して前記ネットワーク中の装置への不正アクセスを行っているかを判定する
   ことを特徴とする監視システム。
8. 複数の通信装置と複数の監視装置を含むネットワークで第１の監視装置として動作する監視装置に、
   監視対象の通信装置が行う通信の情報である通信情報を取得し、
   前記監視対象の通信装置のうちの第１の通信装置が、前記ネットワークに含まれていない装置である外部装置と通信を開始した後に、前記ネットワーク中の第２の監視装置が監視する第２の通信装置との通信を開始すると、前記第２の監視装置が監視する通信装置の通信情報を通知するマルチキャストグループへの参加要求を送信し、
   前記第２の監視装置から前記マルチキャストグループ宛てに送信されたパケットを用いて、前記外部装置が前記第１の通信装置を介して前記ネットワーク中の装置への不正アクセスを行っているかを判定する
   処理を行わせることを特徴とする監視方法。