JP2016127533A - アドレス情報提供装置、アドレス監視システム、アドレス情報表示方法及びアドレス情報提供プログラム - Google Patents

Abstract

【課題】ＩＰアドレス空間での通信ログの全体的な傾向の把握と詳細の確認とを容易に可能とする。
【解決手段】取得部２４１が、分析対象サーバ１０３と外部端末１０５との間のインターネット１０１を介した通信について、外部端末１０５のＩＰアドレスごとに、通信を行った時刻および通信内容を記述した通信ログ２０５を取得し、抽出部２４２が、取得された通信ログ２０５のなかから、特定された所定の条件を満たすＩＰアドレスの通信ログ２０５を抽出し、複数のＩＰアドレスの通信ログ２０５が抽出された場合には、生成部２４３が、各ＩＰアドレスを含む所定範囲のアドレスを第１の軸、各通信ログ２０５における通信を行った時刻を含む所定範囲の時刻を第２の軸とするアドレス空間それぞれに対して取得された通信ログ２０５に記述されたＩＰアドレスをそれぞれプロットし、各アドレス空間を並列にした表示データを生成し、ユーザインタフェース部２０２が表示データを出力する。
【選択図】図１

Description

本発明は、アドレス情報提供装置、アドレス監視システム、アドレス情報表示方法及びアドレス情報提供プログラムに関する。

従来、ＩＰ（Internet Protocol）アドレスなどの通信アドレスを用いて端末間の通信を行うインターネットなどの通信システムでは、安全なネットワーク運用のために、不正アクセスの送信元に関する通信アドレスからの通信の有無などの監視を行う場合がある。

この監視には、不正アクセスの送信元のＩＰアドレスを表示画面に収まる範囲に集約したＩＰアドレス空間上にプロット表示する方法がある（非特許文献１参照）。また、ＩＰアドレスを受け付けて、その受け付けたＩＰアドレスが不正アクセスの送信元のＩＰアドレスとマッチングするか否かを確認する方法がある（非特許文献２参照）。また、インターネット上で行われる攻撃を視覚的に映像化して、ネットワーク全体の挙動を監視する方法がある（非特許文献３参照）。また、通信ログに不正アクセスが含まれているかどうかを検査する方法がある（非特許文献４参照）。

「NICTERWEB」、［平成２６年１２月５日検索］、インターネット＜URL:http://www.nicter.jp/nw_public/scripts/＞ 「aguse.」、［平成２６年１１月２５日検索］、インターネット＜URL:http://www.aguse.jp/＞ 「ＮＩＣＴオープンハウスレポート」、［平成２６年１１月２７日検索］、インターネット＜URL:http://www.atmarkit.co.jp/ait/articles/1212/04/news021.html＞ 「iLogScanner」、［平成２６年１１月２７日検索］、インターネット＜URL:https://www.ipa.go.jp/security/vuln/iLogScanner/＞

広大なＩＰアドレス空間での不正アクセスの送信元に関する通信ログの全体像を鳥瞰するためには、通信ログを集約して表示する必要がある。しかしながら、通信ログを集約して表示すると、関連性の低い通信ログまで関連がある通信ログと区別できなくなる恐れがあった。一方、通信ログの詳細を確認できるように集約せずに表示すると、ＩＰアドレス空間での通信ログの全体像を鳥瞰できず、通信ログの全体的な傾向を把握することができなかった。

本発明は、上記に鑑みてなされたものであって、ＩＰアドレス空間での通信ログの全体的な傾向の把握と詳細の確認とが容易に可能なアドレス情報提供装置、アドレス監視システム、アドレス情報表示方法及びアドレス情報提供プログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明にかかるアドレス情報提供装置は、分析対象サーバと端末との間の通信ネットワークを介した通信について、該端末の通信アドレスごとに、通信を行った時刻を示す情報および通信内容を示す情報を記述した通信記録を取得する取得部と、前記取得部によって取得された通信記録のなかから、特定された所定の条件を満たす通信アドレスの通信記録を抽出する抽出部と、前記抽出部によって複数の通信記録が抽出された場合には、各通信記録における通信アドレスを含む所定範囲のアドレスを第１の軸、各通信記録における通信を行った時刻を含む所定範囲の時刻を第２の軸とするアドレス空間それぞれに対して前記取得部によって取得された通信記録に記述された通信アドレスをそれぞれプロットし、該通信アドレスがプロットされた各アドレス空間を並列にした表示データを生成する生成部と、前記生成部によって生成された表示データを出力する出力部と、を備えることを特徴とする。

本発明によれば、ＩＰアドレス空間での通信ログの全体的な傾向の把握と詳細の確認とが容易に可能となる。

図１は、本発明の一実施形態にかかる通信システムの構成を例示する概略構成図である。 図２は、通信ログの一例を示す説明図である。 図３は、情報リストの一例を示す説明図である。 図４は、分析データのデータ構成の一例を示す模式図である。 図５は、通信ログの分析の一例を説明するための図である。 図６は、通信ログの分析の一例を説明するための図である。 図７は、ＩＰアドレスの一例を示す説明図である。 図８は、ＩＰアドレスの周辺のＩＰアドレス空間を説明するための図である。 図９は、ＩＰアドレスの周辺のＩＰアドレス空間を説明するための図である。 図１０は、通信システムの動作の一例を示すラダーチャートである。 図１１は、ＩＰアドレス空間への通信ログのプロットの一例を示す説明図である。 図１２は、ＩＰアドレス空間への通信ログおよび情報リストのマッピングの一例を示す説明図である。 図１３は、ＩＰアドレス空間への通信ログおよび情報リストのマッピングの一例を示す説明図である。 図１４は、画面表示例を示す説明図である。 図１５は、画面表示例を示す説明図である。 図１６は、画面表示例を示す説明図である。 図１７は、画面表示例を示す説明図である。 図１８は、画面表示例を示す説明図である。 図１９は、分析端末、分析対象サーバ、情報提供サーバおよび外部端末における処理がコンピュータを用いて具体的に実現されることを示す図である。

以下、添付図面を参照して、本発明の一実施形態にかかるアドレス情報提供装置、アドレス監視システム、アドレス情報表示方法及びアドレス情報提供プログラムを詳細に説明する。なお、以下の説明において、同様の構成要素には共通の符号を付与するとともに、重複する説明を省略する。

［通信システムの構成］
図１は、本実施形態にかかる通信システム１の構成を例示する概略構成図である。図１に示すように、アドレス監視システムとしての通信システム１には、インターネット１０１などの通信ネットワークを介して、アドレス情報提供装置としての分析端末１０２、分析対象サーバ１０３および情報提供サーバ１０４等の各種サーバ装置や、ＰＣ（Personal Computer）等の外部端末１０５（端末）が互いに通信可能に接続されている。

なお、インターネット１０１における分析端末１０２および外部端末１０５等の端末装置および各種サーバ装置（分析対象サーバ１０３および情報提供サーバ１０４等）にはＩＰアドレス等の通信アドレスが割り当てられている。そして、インターネット１０１における装置間の通信は、送信元の装置が送信先の装置の通信アドレスを指定して行う。

ここで、本実施形態では通信アドレスがＩＰｖ４（Internet Protocol version 4）である場合を例示するが、通信アドレスはＩＰｖ６（Internet Protocol version 6）やＭＡＣ（Media Access Control）アドレス等であってもよいことは言うまでもないことである。例えばＩＰｖ６では、ＩＰｖ４と比べてＩＰアドレス空間の表現が多少異なるが（一例として１６ｂｉｔ単位でのコロン区切り等）、ＩＰｖ４のアドレスの前後に適当な数字を付け足して１２８ｂｉｔ長のＩＰｖ６を生成する場合（例えばＩＰｖ４互換アドレス、ＩＰｖ４射影アドレス等）においては、ＩＰｖ４と同様のＩＰアドレス空間として表現が可能であることから、ＩＰｖ４の実施形態を容易に転用可能である。また、ＭＡＣアドレスについては、ＩＰｖ４と同様にオクテッド区切りであるが、同一ブロードキャストドメインでの利用が前提となることから、ローカルネットワーク内における端末の通信アドレスを解析するという点で有意義である。

分析対象サーバ１０３は、外部端末１０５などのアクセスを許容する例えばＷｅｂサーバ等のサーバ装置である。分析対象サーバ１０３は、自身と外部端末１０５との間の通信（外部端末１０５からアクセスされた通信）についての通信ログ２０５を記録する。具体的には、分析対象サーバ１０３は、インターネット１０１を介した外部端末１０５との間の通信について、送信元のＩＰアドレス、その通信を行った時刻を示す情報、および通信内容を示すアクセスパターンを記述した通信記録（通信ログ２０５）を記録する。

図２は、通信ログ２０５の一例を示す説明図である。図２に示すように、通信ログ２０５には、時刻２５１、アクセス元のＩＰアドレス２５２、および通信内容２５３が含まれ、いつ、どの外部端末１０５が、どのような通信内容で分析対象サーバ１０３にアクセスしたのかが記述される。ここで、図２では、１行が１つの通信ログに相当する。例えば、図２の例では、時刻２５１として２０１４年６月９日１３時３０分、ＩＰアドレス２５２として「１９２．１６８．０．３」である外部端末１０５、通信内容２５３としてメッセージ「ＧＥＴ／ＨＴＴＰ１．１」が送信されたことが記述されている。なお、図２に例示した通信ログ２０５は一例であり、例えばＷｅｂの場合は「情報取得要求元」等が記述され、電子メールの場合は「送信元」等が記述される。

情報提供サーバ１０４は、インターネット１０１上の様々なサイトのＩＰアドレスを集めた情報リスト２０６を例えばＨＤＤ（Hard Disk Drive）等のストレージに記録しており、外部からの要求に応じて情報リスト２０６を提供するサーバ装置である。この情報リスト２０６には、例えば不正アクセスに関する送信元や送信先等を示したＩＰアドレス等の所定の通信アドレスが記述されている。

図３は、情報リスト２０６の一例を示す説明図である。図３に示すように、情報リスト２０６には、様々な条件で集められたＩＰアドレスの一覧が記述されている。ＩＰアドレスの一覧には、悪性な情報を提供するＷｅｂサーバや悪意の操作者が使用する端末装置のＩＰアドレスを集めたもの、電子メールに記載されている接続先のＩＰアドレスを集めたもの、ユーザがアクセスしても安全なＷｅｂサイトのＩＰアドレスを集めたもの等が挙げられる。これらのＩＰアドレスは、集められた条件（種類）毎にセクション分けされて記述されてもよい。

［分析端末］
分析端末１０２は、通信ログ２０５を取得し、その通信ログ２０５に記述された情報をＩＰアドレス空間上にプロットした表示データを生成し、表示データをモニタに出力する装置（アドレス情報提供装置）である。具体的には、分析端末１０２は、コンピュータを用いて実現される機能構成として、通信処理部２０１と、ユーザインタフェース部２０２と、データ蓄積部２０３と、制御部２０４とを備える。

通信処理部２０１は、インターネット１０１を介した装置間の通信処理を行う。ユーザインタフェース部２０２は、キーボードやマウスなどの入力装置（不図示）や、通信処理部２０１の通信処理により通信接続された端末装置（不図示）からの操作者の操作入力を受け付ける。また、ユーザインタフェース部２０２は、出力部として、モニタやプリンタなどの出力装置(不図示)や、通信処理部２０１の通信処理により通信接続された端末装置（不図示）へ、表示データ等を出力する。

データ蓄積部２０３は、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現される。データ蓄積部２０３は、後述する処理により分析対象サーバ１０３から取得された通信ログ２０５と、情報提供サーバ１０４から取得された情報リスト２０６とを蓄積する。また、データ蓄積部２０３は、後述する処理により生成された通信ログ２０５の分析データ２０７を蓄積する。なお、データ蓄積部２０３は、通信処理部２０１を介して制御部２０４と通信する構成でもよい。

制御部２０４は、メモリに記憶された処理プログラムを実行するＣＰＵ（Central Processing Unit）等を用いて実現され、分析端末１０２の動作を制御する。具体的に、制御部２０４は、処理プログラムを実行することにより、取得部２４１、抽出部２４２および生成部２４３として機能する。

取得部２４１は、分析対象サーバ１０３と端末との間の通信ネットワークを介した通信について、該端末の通信アドレスごとに、通信を行った時刻を示す情報および通信内容を示す情報を記述した通信記録を取得する。具体的に、取得部２４１は、分析対象サーバ１０３から通信処理部２０１を介して、分析対象サーバ１０３と外部端末１０５との間のインターネット１０１を介した通信について、外部端末１０５のＩＰアドレスごとに、通信を行った時刻２５１および通信内容２５３を記述した通信ログ２０５を取得する。

取得部２４１は、取得した通信ログ２０５をデータ蓄積部２０３に格納する。併せて、取得部２４１は、情報提供サーバ１０４から情報リスト２０６を取得して、データ蓄積部２０３に格納しておくとよい。

抽出部２４２は、取得部２４１によって取得された通信記録のなかから、特定された所定の条件を満たす通信アドレスの通信記録を抽出する。具体的に、抽出部２４２は、通信ログ２０５に記述された情報を分析した分析結果を記述した分析データ２０７を生成し、データ蓄積部２０３に格納する。分析および分析データ２０７については後述する。また、抽出部２４２は、所定の条件を満たして特定されたＩＰアドレスについての通信ログ２０５を抽出する。

ここで、所定の条件を満たして特定されたＩＰアドレスとは、後述するように、操作者に指定されたＩＰアドレスや、通信ログ２０５の分析データ２０７を参照して得られる通信内容２５３の分類に応じて特定されたＩＰアドレスや、情報リスト２０６に記述されたＩＰアドレスを意味する。なお、操作者によるＩＰアドレスの指定には、操作者が特定のＩＰアドレスの代わりにＩＰアドレスの周辺の領域を指定する場合も含むものとする。

生成部２４３は、抽出部２４２によって複数の通信アドレスの通信記録が抽出された場合には、各通信アドレスを含む所定範囲のアドレスを第１の軸、各通信記録における通信を行った時刻を含む所定範囲の時刻を第２の軸とするアドレス空間それぞれに対して前記取得部によって取得された通信記録に記述された通信アドレスをそれぞれプロットし、該通信アドレスがプロットされた各アドレス空間を並列にした表示データを生成する。

具体的に、生成部２４３は、抽出部２４２が、所定の条件を満たして特定され抽出した通信記録のＩＰアドレスが複数の場合に、特定された各ＩＰアドレスの周辺の複数のアドレス空間それぞれに、通信ログ２０５の通信アドレス、すなわちアクセス元のＩＰアドレス２５２を時系列にプロットするための表示データを生成する。その際、生成部２４３は、各ＩＰアドレス空間を一覧可能に並列に配置した表示データを生成する。このとき、情報リスト２０６のＩＰアドレスを併せてＩＰアドレス空間に表示させてもよい。ここで、特定されたＩＰアドレスの周辺のアドレス空間とは、特定された複数のＩＰアドレスのそれぞれの周辺のＩＰアドレスを第１の軸、各通信ログ２０５の時刻２５１を含み表示可能な範囲を第２の軸とする空間を意味する。詳細については後述する。

ここで生成される表示データは、Ｗｅｂブラウザの表示用に、例えばＨＴＭＬ（HyperText Markup Language）などでＩＰアドレス空間を表現したものであってよい。この場合、ユーザインタフェース部２０２を介して接続されたモニタでは、分析端末１０２より出力された表示データを、Ｗｅｂブラウザ上に表示して確認することができる。

また、生成部２４３は、表示データを生成する際、データ蓄積部２０３に蓄積された通信ログ２０５の分析データ２０７を参照し、通信ログ２０５の通信内容２５３の分類や同一の通信アドレスからのアクセス回数によりプロットする点の色や大きさ等の表示態様を変更する。また、生成部２４３は、操作者の要求に応じて、通信ログ２０５を参照し、指定されたＩＰアドレス２５２の通信ログの詳細（例えば、通信内容２５３等）を表示する表示データを生成する。

［通信ログの分析］
ここで、通信ログ２０５の分析について説明する。通信ログ２０５の第１の分析例として、抽出部２４２は、通信ログ２０５の日付を含む時刻２５１およびＩＰアドレス２５２を参照し、日付とＩＰアドレス２５２とが同じ組み合わせである通信ログの個数を、該ＩＰアドレス２５２からのアクセス回数として計上する。例えば、図２に例示した通信ログ２０５について、ＩＰアドレス２５２が同一の「１９２.１６８．０．３」であって、時刻２５１のうち日付が２０１４年６月１０日の通信ログの個数が２つであれば、アクセス回数は２回と計上される。

また、抽出部２４２は、通信内容２５３を参照し、含まれる文字列等を抽出する。そして、抽出した文字列の特徴から、各通信ログ２０５のＩＰアドレス２５３を、安全、危険、判定不明等の分類項目で分類する。これは、特定の文字列を含むことにより、特定のアクセス手法によるアクセスであると判定できる場合があるからである。例えば、通信内容に文字列ｐｈｐを含む場合に、危険と分類する。

抽出部２４２は、図４に例示するように、ここで分析された分析結果のＩＰアドレス２５２、日付２７１、アクセス回数２７２、通信内容の特徴２７３（例えば、含まれる文字列）、分類項目２７４等を、分析データ２０７としてデータ蓄積部２０３に格納する。図４には、例えば、日付が２０１４年６月９日、ＩＰアドレスが「１０．３．４０．５０」の通信ログ２０５について、アクセス回数が２回、通信内容の特徴２７３として、文字列ｐｈｐを含むこと、分類項目２７４として危険なアクセスと分類されたことが例示されている。図４に示すアクセスパターン２７５については後述する。

なお、生成部２４３は、表示データを生成する際、この分析結果に応じてプロットの表示態様を変更する。具体的に、時刻２５１およびＩＰアドレス２５２で特定されるＩＰアドレス空間の座標位置に通信ログ２０５をプロットする際、同日のアクセス回数に応じてプロットする点の大きさを変更したり、分類項目に応じて異なる色を決定したり濃淡をつけたりする。例えば、図５に例示するように、ｘ軸を時刻２５１に含まれる日付（例えば、２０１４年１１月１１日）、ｙ軸をＩＰアドレス２５２（例えば、「１９２．１６８．０．１」）としたｘｙ空間の座標位置に通信ログ２０５を示す点をプロットする。その際、アクセス回数が１０回のＩＰアドレス２５２からの通信ログ２０５を示す点を２ｐｔで表示させる。また、通信内容２５３に文字列ｐｈｐを含み危険と分類された通信ログ２０５を示す点をオレンジ色で表示させる。

また、情報リスト２０６のＩＰアドレスをＩＰアドレス空間に表示させる際にも、予め分類された情報リストの安全、危険、判定不明等の分類項目に応じて、異なる色を決定したり濃淡をつけた表示にしたりして表示態様を変更するとよい。この場合、ＩＰアドレスは時刻を表す軸に平行な直線で表される。これにより、通信ログ２０５と情報リスト２０６とがどのくらいマッチするのかが視覚的に把握できる。

通信ログ２０５の第２の分析例として、抽出部２４２は、ＩＰアドレス２５２と時刻２５１のうちの日付とが同一である通信ログ２０５の通信内容２５３の時系列変化のパターン（以下、アクセスパターンと呼ぶ。）を分類する。アクセスパターンによって、特定のアクセス手法によるアクセスであると判定できる場合があるからである。取得部２４１は、通信ログ２０５の日付とＩＰアドレスとの組み合わせが同一のものの通信内容２５３を時系列に抽出してアクセスパターンとする。そして、抽出部２４２は、アクセスパターンが同じものを同一グループに分類し、各グループに属するＩＰアドレス２５２を抽出する。そして、抽出部２４２は、分析結果の各グループのアクセスパターンを識別するアクセスパターン識別情報２７５および各グループに属するＩＰアドレス２５２を、分析データ２０７としてデータ蓄積部２０３に格納する。

図６は、アクセスパターンの分類を説明するための図である。この図６には、例えば、抽出されたアクセスパターンＡとアクセスパターンＤとが同一であり、このアクセスパターンのアクセスパターン識別情報をアクセスパターン１と定義したことが示されている。この場合に、アクセスパターンＡのＩＰアドレス２５２とアクセスパターンＤのＩＰアドレス２５２とがアクセスパターン１に対応づけられて、分析データ２０７としてデータ蓄積部２０３に格納される。

例えば、前述した図４に示すように、分析データ２０７のＩＰアドレス２５２とアクセスパターン識別情報２７５とが対応づけられて記述される。この分析データ２０７をアクセスパターン識別情報２７５をキー情報にして並べ替えれば、アクセスパターンが同一の各グループに属するＩＰアドレス２５２を抽出することができる。

［特定ＩＰアドレスの周辺のＩＰアドレス空間］
次に、特定されたＩＰアドレスの周辺のＩＰアドレス空間について、図７〜図９を参照して説明する。図７は、ＩＰアドレスの一例を示す説明図である。図７に示すように、本実施形態におけるＩＰアドレス（ＩＰｖ４）は、３２ｂｉｔ長のＩＰｖ４アドレスを１０進数表示したものである。このＩＰｖ４アドレス（図示例では「１９２．１６８．０．３０」）は、上位から８ｂｉｔずつ、第１オクテッド３０１（「１９２」）、第２オクテッド３０２（「１６８」）、第３オクテッド３０３（「０」）、第４オクテッド３０４（「３０」）に区切ることができる。

ここで、ＩＰアドレスの上位ｂｉｔから表示にかかるビット長を長くするほどＩＰアドレスは細かくなる。例えば、第１の軸がＩＰアドレスの上位８ｂｉｔとされた場合には、上位８ｂｉｔ長のＩＰアドレス空間にＩＰアドレスがプロットされるため、下位２４ｂｉｔ分の識別はできなくなり、第１の軸がＩＰアドレスの上位１６ｂｉｔとされた場合と比較して、ＩＰアドレスは粗くなる。

図８は、ＩＰアドレスを上位から所定のビット長で区切って、各ＩＰアドレスの周辺のＩＰアドレス空間を切り出すしくみを説明するための図である。図８に示すように、ＩＰアドレスの粗さを変更すれば、特定されたＩＰアドレスの周辺のアドレス空間を切り出して表示することができる。

すなわち、図８（ａ）は、縦方向の軸で表されるＩＰアドレスが、第１オクテッド３０１と第２オクテッド３０２との上位１６ｂｉｔで指定されるＩＰアドレス空間である。図８（ｂ）は、ＩＰアドレスが、第１オクテッド３０１が特定(既定)され、第２オクテッド３０２と第３オクテッド３０３との１６ｂｉｔで指定されるＩＰアドレス空間である。また、図８（ｃ）は、ＩＰアドレスが、第１オクテッド３０１と第２オクテッド３０２とが特定され、第３オクテッド３０３と第４オクテッド３０４との１６ｂｉｔで指定されるＩＰアドレス空間である。ある特定のＩＰアドレスに対応する各ＩＰアドレス空間の領域（例えば（ａ）および（ｂ）に破線で囲んで示した領域）は、この特定のＩＰアドレスの周辺のＩＰアドレス空間ということができる。（ａ）、（ｂ）、（ｃ）の順に、ＩＰアドレスが細かくなり、特定のＩＰアドレスの周辺のＩＰアドレス空間が詳細化されて切り出されている。

このように、第１〜第３オクテッドまでが特定され、第４オクテッド３０４の８ｂｉｔでＩＰアドレスが指定されるＩＰアドレス空間において、特定のＩＰアドレスに対応する領域は、この特定のＩＰアドレスの周辺の８ｂｉｔのＩＰアドレス空間である。例えば、図９に示すように、特定された通信ログ２０５のＩＰアドレス２５２が「１０．２０．１．４」である場合に、ＩＰアドレス空間において「１０．２０．１」で表される領域は、ＩＰアドレス「１０．２０．１．４」の周辺の８ｂｉｔのＩＰアドレス空間に該当する。

［ＩＰアドレスの特定］
次に、所定の条件を満たすＩＰアドレスの特定方法について説明する。特定されたＩＰアドレスとは、例えば、操作者に指定された１以上のＩＰアドレスを意味する。これには、操作者が特定のＩＰアドレスを指定する代わりにＩＰアドレスの周辺の領域を指定する場合も含む。また、情報リスト２０７特定されたＩＰアドレスとは、取得部２４１が情報提供サーバ１０４から取得した情報リスト２０７に記述されている１以上のＩＰアドレスを意味する。

また、特定されたＩＰアドレスとは、制御部２０４が、データ蓄積部２０３の分析データ２０７を参照し、分析結果に応じて特定した所定の条件を満たすＩＰアドレス２５２を意味する。例えば、抽出部２４２は、分析データ２０７として記録されている通信内容２５３の特徴２７３を参照し、通信内容２５３に特定の文字列を含むＩＰアドレス２５２を、特定されたＩＰアドレスとする。あるいは、抽出部２４２は、通信ログ２０５のアクセスパターンのアクセスパターン識別情報２７５が指定された場合に、指定されたアクセスパターンのアクセスパターン識別情報２７５に対応する１以上のＩＰアドレス２５２を、特定されたＩＰアドレスとする。

以上のように生成された表示データをもとにしてモニタへの表示を行うことで、モニタの表示画面上において、通信ログ２０５に記述された情報を、ＩＰアドレス空間に時系列にプロットした表示を行うことが可能となる。その際、視認結果や通信ログ２０５の分析結果や情報リスト２０６に応じて、機械的に特定されたＩＰアドレスの周辺のＩＰアドレス空間を一覧表示することが可能となる。

［シーケンス］
図１０は、本実施形態にかかる通信システム１の動作の一例を示すラダーチャートである。図１０に示すように、Ｓ４０１の処理は、外部端末１０５から分析対象サーバ１０３への通信（アクセス）を行う場合のシーケンスを示している。このＳ４０１の処理では、外部端末１０５が分析対象サーバ１０３のＩＰアドレスを指定して、通信接続が行われる。分析対象サーバ１０３は、通信ログ２０５を記録してメモリ等に記憶する。

Ｓ４０２の処理は、分析端末１０２が分析対象サーバ１０３から通信ログ２０５を取得する場合のシーケンスを示している。このＳ４０２の処理では、制御部２０４の取得部２４１が、通信処理部２０１を介して、予めメモリ等に設定された分析対象サーバ１０３のＩＰアドレスを参照して分析対象サーバ１０３との通信を行って、分析対象サーバ１０３から通信ログ２０５の転送を受け付ける。制御部２０４は、転送された通信ログ２０５をデータ蓄積部２０３に蓄積する。このＳ４０２の処理は、例えば分析端末１０２の起動時や定時等に行われる他、所定の時間間隔（例えば１時間など）で行われるとよい。あるいは、分析対象サーバ１０３の通信ログ２０５が更新された場合などに通知を受けて行われてもよい。

Ｓ４０３の処理は、分析端末１０２が情報リスト２０６を取得する場合のシーケンスを示している。このＳ４０３の処理では、制御部２０４の取得部２４１が、通信処理部２０１を介して、予めメモリ等に設定された情報提供サーバ１０４のＩＰアドレスを参照して情報提供サーバ１０４との通信を行って、情報提供サーバ１０４から情報リスト２０６の転送を受け付ける。制御部２０４は、転送された情報リスト２０５をデータ蓄積部２０３に蓄積する。このＳ４０３の処理は、例えば分析端末１０２の起動時等に行われた後、所定の時間間隔（例えば１時間など）で行われるとよい。このように、制御部２０４が所定の時間間隔でＳ４０３の処理を行って、蓄積する情報リスト２０６を逐次更新してもよい。あるいは、情報提供サーバ１０４の情報リスト２０６の更新に応じて行われてもよい。

Ｓ４０４の処理は、分析端末１０２が操作者の要求に応じて、通信ログ２０５を分析する場合のシーケンスを示している。Ｓ４０４の処理では、ユーザインタフェース部２０２を介して操作者の要求を受け付けた制御部２０４の抽出部２４２が、データ蓄積部２０３に蓄積されている通信ログ２０５を読み出して分析し、分析結果を示す分析データ２０７をデータ蓄積部２０３に蓄積する。このＳ４０４の処理は、上記したＳ４０２の通信ログ２０５の取得処理が完了していることが確認された後に行われる。また、このＳ４０４の処理は、例えば上記Ｓ４０２の処理の後に引き続き行われてもよい。

Ｓ４０５の処理は、分析端末１０２が操作者の要求に応じて、ＩＰアドレス空間に通信ログ２０５をプロットする表示データを生成して出力する場合のシーケンスを示している。このＳ４０５の処理では、ユーザインタフェース部２０２を介して操作者の要求を受け付けた制御部２０４の生成部２４３が、データ蓄積部２０３に蓄積されている通信ログ２０５、通信ログ２０５の分析データ２０７、または情報リスト２０６を参照して表示データを生成し、ユーザインタフェース部２０２が出力部として生成されたた表示データをモニタに出力する。このＳ４０５の処理は、上記したＳ４０４の処理が完了していることが確認された後に、操作者の要求に応じて行われる。

［アドレス情報表示］
次に、図１１〜図１３を参照して、本実施形態の分析端末１０２によるアドレス情報表示方法を具体的に説明する。なお、以下の各図に示すＩＰアドレス空間５００は、縦方向のＩＰアドレス軸５０１と横方向の日付を示す時刻軸５０２とで構成される。

図１１は、例えば、操作者の指定等により、あるいはアクセスパターンのアクセスパターン識別情報２７５の指定により特定された複数のＩＰアドレスを含む周辺の複数のＩＰアドレス空間５００を切り出して一覧表示する場合を例示している。図１１（ａ）は、ＩＰアドレスが、第１オクテッド３０１と第２オクテッド３０２との上位１６ｂｉｔで指定されるＩＰアドレス空間に通信ログ２０５がプロットされたものである。図中に破線で囲んで示す３つの領域５０３は、特定された３つのＩＰアドレスのそれぞれに対応する領域（あるいは操作者に指定された領域）である。このように、本実施形態の分析端末１０２は、ＩＰアドレスを粗くして、ＩＰアドレス空間の全体を鳥瞰できるようにモニタに表示させる。

また、図１１（ｂ）は、特定された３つのＩＰアドレスのそれぞれに対応するＩＰアドレス空間５００を並列に表示して、それぞれに通信ログ２０５をプロットしたものである。例えば、図１１（ａ）において破線で囲んで示す３つの領域５０３が選択されると、図１１（ｂ）の画面に遷移する。３つのＩＰアドレス空間５００のそれぞれは、ＩＰアドレスが、第１オクテッド３０１、第２オクテッド３０２、および第３オクテッド３０３が特定され、第４オクテッド３０４の８ｂｉｔで指定されるＩＰアドレス空間５００である。この３つのＩＰアドレス空間５００は、それぞれ、図１１（ａ）に破線で囲んで示す３つの領域５０３のそれぞれに対応し、特定された３つのＩＰアドレスの周辺の８ｂｉｔのＩＰアドレス空間５００が切り出しされたものである。このように、本実施形態の分析端末１０２は、特定されたＩＰアドレスの周辺のＩＰアドレス空間５００をＩＰアドレスを細かくして切り出して、各ＩＰアドレス空間５００の詳細を一覧できるように並列にモニタに表示する。

図１１（ｃ）は、いずれかの特定されたＩＰアドレスの通信ログ２０５の詳細５０４の画面表示例である。例えば、図１１（ｂ）において、いずれかのＩＰアドレス空間５００の指定とともに不図示の詳細表示を指示するメニューが指定されると、図１１（ｃ）の画面に遷移する。そして、特定された通信ログ２０５の「ＧＥＴ／ＨＴＴＰ１．１」などの通信内容２５３や、アクセスパターンすなわち通信内容２５３の時系列変化パターン等の詳細５０４が表示される。このように、本実施形態の分析端末１０２は、必要に応じて特定されたＩＰアドレスの通信ログ２０５の詳細５０４を表示することができる。

図１２は、例えば、情報リスト２０６の表示の指示に応じて、情報リスト２０６に記述されているＩＰアドレスを含む周辺のＩＰアドレス空間５００を切り出して表示する場合を例示している。ここで、表示させる情報リスト２０６を指定してもよいし、情報リスト２０６の危険、安全等の分類項目を指定して分類項目ごとに表示させてもよい。

図１２（ａ）は、ＩＰアドレスが、第１オクテッド３０１と第２オクテッド３０２との上位１６ｂｉｔで指定されるＩＰアドレス空間５００に、通信ログ２０５と情報リスト２０６のＩＰアドレスとがマッピングされたものである。図中に破線で囲んで示す領域は、情報リスト２０６のＩＰアドレスに対応する領域である。このように、本実施形態の分析端末１０２は、メイン画面ではＩＰアドレスを粗くして、ＩＰアドレス空間の全体を鳥瞰できるようにモニタに表示する。

図１２（ｂ）は、情報リスト２０６のＩＰアドレスに対応するＩＰアドレス空間に、通信ログ２０５と情報リスト２０６のＩＰアドレスとがマッピングされたものである。例えば、図１２（ａ）において破線で囲んで示す情報リスト２０６のＩＰアドレスの周辺の領域が選択されると、図１２（ｂ）の画面に遷移する。このＩＰアドレス空間は、第１オクテッド３０１が特定され、第２オクテッド３０２と第３オクテッド３０３との１６ｂｉｔでＩＰアドレスが指定され、情報リスト２０６のＩＰアドレスの周辺の１６ｂｉｔのＩＰアドレス空間が切り出されたものである。このように、本実施形態の分析端末１０２は、情報リスト２０６のＩＰアドレスの周辺のＩＰアドレス空間をＩＰアドレスを細かくして切り出して、詳細化してモニタに表示する。なお、図１２（ｂ）には、図１２（ａ）で視認されなかった情報リスト２０６の２つの近接したＩＰアドレスが、詳細化されたために分離して表示された場合が例示されている。

図１２（ｃ）は、情報リスト２０６のＩＰアドレスに対応するＩＰアドレス空間に、通信ログ２０５と情報リスト２０６のＩＰアドレスとがマッピングされたものである。例えば、図１２（ｂ）において破線で囲んで示す情報リスト２０６のＩＰアドレスの周辺の領域が選択されると、図１２（ｃ）の画面に遷移する。このＩＰアドレス空間は、第１オクテッド３０１と第２オクテッド３０２とが特定され、第３オクテッド３０３と第４オクテッド３０４との１６ｂｉｔでＩＰアドレスが指定され、情報リスト２０６のＩＰアドレスの周辺の１６ｂｉｔのＩＰアドレス空間が切り出されたものである。このように、本実施形態の分析端末１０２は、情報リスト２０６のＩＰアドレスの周辺のＩＰアドレス空間をさらにＩＰアドレスを細かくして切り出し、詳細化してモニタに表示することができる。

図１３は、例えば、操作者の指定等により、あるいはアクセスパターンの指定により特定された複数のＩＰアドレスを含む周辺の複数のＩＰアドレス空間を切り出して、情報リスト２０６のＩＰアドレスとともに一覧表示する場合を例示している。図１３（ａ）は、図１１（ａ）と同様に、ＩＰアドレスが、第１オクテッド３０１と第２オクテッド３０２との上位１６ｂｉｔで指定されるＩＰアドレス空間に通信ログ２０５がプロットされたものである。図中に破線で囲んで示す３つの領域は、特定された３つのＩＰアドレスのそれぞれに対応する領域である。

図１３（ｂ）は、図１１（ｂ）と同様に、特定された３つのＩＰアドレスのそれぞれに対応するＩＰアドレス空間を並列に表示して、それぞれに図１２（ｂ）と同様に通信ログ２０５と情報リスト２０６のＩＰアドレスとがマッピングされたものである。例えば、図１３（ａ）において破線で囲んで示す３つの領域が選択され、かつ情報リスト２０６の表示が指示されると、図１３（ｂ）の画面に遷移する。３つのＩＰアドレス空間のそれぞれは、ＩＰアドレスが、第１オクテッド３０１、第２オクテッド３０２、および第３オクテッド３０３が特定され、第４オクテッド３０４の８ｂｉｔで指定されるＩＰアドレス空間である。この３つのＩＰアドレス空間は、それぞれ、図１３（ａ）に破線で囲んで示す３つの領域のそれぞれに対応し、特定された３つのＩＰアドレスの周辺の８ｂｉｔのＩＰアドレス空間が切り出しされたものである。このように、本実施形態の分析端末１０２は、特定されたＩＰアドレスの周辺のＩＰアドレス空間をＩＰアドレスを細かくして切り出し、情報リスト２０６のＩＰアドレスを参照しつつ詳細を一覧できるように並列にモニタに表示する。

図１３（ｃ）は、図１１（ｃ）と同様に、いずれかの特定されたＩＰアドレスの通信ログ２０５の詳細を表示したものである。例えば、図１３（ｂ）においていずれかのプロットされた点が指定されると、図１３（ｃ）の画面に遷移する。そして、指定された通信ログ２０５の「ＧＥＴ／ＨＴＴＰ１．１」などの通信内容２５３やアクセスパターン等が表示される。このように、本実施形態の分析端末１０２は、必要に応じて特定されたＩＰアドレスの通信ログ２０５の詳細５０４、すなわち通信内容２５３またはアクセスパターン等を表示することができる。

［画面表示例］
次に、図１４〜図１８を参照して、分析端末１０２のモニタや分析端末１０２に通信処理部２０１を介して接続された端末装置のモニタにおける画面表示例を説明する。図１４〜図１８に示すように、生成部２４３が生成した表示データがモニタ上に表示される。

具体的に、図１４に例示するように、メイン画面に表示されるＩＰアドレス空間５００は、縦方向のＩＰアドレス軸５０１と横方向の時刻軸５０２とで構成される。時刻軸５０２は、日付を示し、本日（ｔｏｄａｙ）や１年ごとの日付（例えば、毎年１月１日）等のスケールが表示されている。ＩＰアドレス軸５０１は、第１オクテッド３０１および第２オクテッド３０２により指定される１６ｂｉｔ長である。このＩＰアドレス軸５０１には、８ｂｉｔ長ごとにスケールが表示されている。図１４では、「１．０．＊．＊」、「２．０．＊．＊」、「３．０．＊．＊」のように、スケールが表示されている。なお、スケールとして表示されている各ＩＰアドレス値には、ＩＰアドレスの所有者（例えば、Ｕ．Ｓ．Ａｒｍｙ）等の付帯情報５０５が表示される。

この図１４において、８ｂｉｔ長ごとに選択可能な領域５０３を操作者が選択すると、ＩＰアドレスを細かくして詳細化されたＩＰアドレス空間５００を表示する画面に遷移する。

操作者は、図１４に示すメイン画面および以下に説明する図１５〜図１８の各画面表示例に表示されている操作メニュー５０６を用いて操作内容を指定できる。本実施例では、操作メニュー５０６のメニュー項目として、分析１、分析２、分析３等のメニュー項目が表示されている。例えば、分析１を指定すると、情報リスト２０６のＩＰアドレスを指定することができる。分析２を指定すると、通信ログ２０５のアクセスパターンを指定して、同一のアクセスパターンのＩＰアドレス２５２を特定することができる。分析３を指定すると、通信ログ２０５の通信内容２５３に特定の文字列が含まれており、特定の不正なアクセスと判定できたＩＰアドレス２５２を特定できる。ここで特定されたＩＰアドレス５０８は、この特定されたＩＰアドレス５０８の周辺のＩＰアドレス空間５００において、線状に表示される。

なお、以下に説明する図１５〜図１８の画面は、例えば、図１４のメイン画面に重畳して表示されてもよい。また、図１４のメイン画面と一覧可能に表示されてもよい。なお、図１５〜図１８において、特定されたＩＰアドレス５０８の「ａ１」〜「ａ２１」で示す第４オクテッドは、０〜２５５のうちいずれかの数値を意味する。

図１５は、アクセスパターンを指定して特定された１つのＩＰアドレス２５２の周辺のＩＰアドレス空間５００を表示する画面表示例である。図１４に示すメイン画面において、操作メニュー５０６の分析２を選択すると、アクセスパターン識別情報２７５を指定できる選択メニュー５０７が、例えばポップアップして表示される。選択メニュー５０７で例えばアクセスパターン識別情報２７５として「アクセスパターン１」を指定すると、図１５の画面に遷移する。すなわち、図１５には、アクセスパターン１に対応付けられているＩＰアドレス２５２（「１９５．１５４．１１．ａ１」）の周辺のＩＰアドレス空間５００が表示される。このＩＰアドレス空間５００において、特定されたＩＰアドレス５０８（「１９５．１５４．１１．ａ１」）は、図に点線で示すように、日付軸５０２に平行な直線で表示されるとともに、この直線上に通信ログ２０５がプロットされる。また、必要に応じて、操作メニュー５０６に表示される詳細表示を指示するメニュー項目（不図示）を指定すると、特定されたＩＰアドレスの通信ログ２０５の詳細５０４としてアクセスパターン等が表示される。

図１５において、プロットされている通信ログ２０５が危険なアクセスに分類されていること、ある時期から同じＩＰアドレスの連続したアクセスがあること、また、この同じＩＰアドレス空間５００に安全と分類された通信ログ２０５が確認されないことが確認された。したがって、フィルタリング等によりこのＩＰアドレス空間からのアクセスを拒否してよいと判断できた。

図１６は、アクセスパターンを指定して特定された複数のＩＰアドレス２５２の周辺のＩＰアドレス空間５００を一覧できるように並列して表示する画面表示例である。図１４に示すメイン画面において、操作メニュー５０６の分析２を選択すると、アクセスパターン識別情報２７５を指定できる選択メニュー５０７が、例えばポップアップして表示される。選択メニュー５０７で例えば「アクセスパターン２」を指定すると、図１６の画面に遷移する。すなわち、図１６には、アクセスパターン２に対応付けられている複数のＩＰアドレス２５２（「１６３．４３．１３２．ａ２」、「１７６．３１．２３４．ａ３」等）のそれぞれの周辺の複数のＩＰアドレス空間５００が並列に表示される。

各ＩＰアドレス空間５００において、特定されたＩＰアドレス５０８（例えば、「１６３．４３．１３２．ａ２」）は、図に点線で示すように、時刻軸５０２に平行な直線で表示されるとともに、この直線上に通信ログ２０５がプロットされる。

図１６において、プロットされている通信ログ２０５が危険なアクセスに分類されていること、ある特定の日に複数のＩＰアドレスから同時にアクセスされたこと、また、同じＩＰアドレス空間５００に安全と分類された通信ログ２０５が確認されないことが確認された。したがって、フィルタリング等によりこのＩＰアドレス空間からのアクセスを拒否してよいと判断できた。

図１７は、通信ログ２０５の通信内容２５３に不正アクセスを意味する特定の文字列が含まれることで特定された複数のＩＰアドレス２５２の周辺のＩＰアドレス空間５００を一覧できるように並列して表示する画面表示例である。図１４に示すメイン画面において、操作メニュー５０６の分析３を選択すると、図１７の画面に遷移する。すなわち、図１７には、通信内容２５３に不正アクセスを意味する特定の文字列が含まれる複数のＩＰアドレス２５２（「３１．２２２．１６３．ａ８」、「５４．２５１．８３．ａ９」等）のそれぞれの周辺の複数のＩＰアドレス空間５００が並列に表示される。

各ＩＰアドレス空間５００において、特定されたＩＰアドレス５０８（例えば、「３１．２２２．１６３．ａ８」）は、図に点線で示すように、時刻軸５０２に平行な直線で表示されるとともに、この直線上に通信ログ２０５がプロットされる。併せて、この通信ログ２０５がプロットされた日付が、不正アクセスのあった日５０９としてスケール表示される。

図１７において、プロットされている通信ログ２０５が危険なアクセスに分類されていること、ある特定の日以降に多数のＩＰアドレスからのアクセスが発生していること、また、同じＩＰアドレス空間５００に安全と分類された通信ログ２０５が確認されないことが確認された。したがって、フィルタリング等によりこのＩＰアドレス空間からのアクセスを拒否してよいと判断できた。さらに、特定の不正アクセス手法が、発覚した直後に使用されていることや、この特定の不正アクセス手法を使ったアクセスの拡大の様子等を確認することもできた。

図１８は、情報リスト２０６に記述されている複数のＩＰアドレスの周辺のＩＰアドレス空間５００を一覧できるように並列して表示する画面表示例である。図１４に示すメイン画面において、操作メニュー５０６の分析１を選択すると、図１８の画面に遷移する。すなわち、図１８には、情報リスト２０６に記述されている複数のＩＰアドレス（「１０７．１７０．２１３．ａ１５」、「１０７．１９１．１１６．ａ１６」等）のそれぞれの周辺の複数のＩＰアドレス空間５００が並列に表示される。

各ＩＰアドレス空間５００において、特定されたＩＰアドレス５０８（例えば、「１０７．１７０．２１３．ａ１５」）は、図に点線で示すように、時刻軸５０２に平行な直線で表示されるとともに、各ＩＰアドレス空間５００上に通信ログ２０５がプロットされる。

図１８において、表示されている情報リスト２０６には不正アクセス元のＩＰアドレスが記述されている。そして、プロットされている通信ログ２０５は、危険と分類されているものと判定不明と分類されているものとが混在する。そのうち、危険と分類されている通信ログ２０５のＩＰアドレス２５２は、情報リスト２０６のＩＰアドレスと一致していることが確認された。したがって、同じＩＰアドレス空間５００内にプロットされている、分類項目が判定不明である通信ログ２０５は、潜在的に危険（不正）なアクセスであると判断できた。

以上、説明したように、本実施形態の分析端末１０２では、取得部２４１が、分析対象サーバ１０３から通信ログ２０５を取得して、データ蓄積部２０３に格納する。抽出部２０４は、通信ログ２０５に記述された情報を分析した分析結果を記述した分析データ２０７を生成し、データ蓄積部２０３に格納する。また、抽出部２４２は、所定の条件を満たして特定された複数ＩＰアドレスの通信ログ２０５を抽出する。そして、生成部２４３は、抽出された複数のＩＰアドレスの周辺のＩＰアドレス２５２を第１の軸、時刻２５１を第２の軸とする複数のＩＰアドレス空間に、時系列に通信ログ２０５のＩＰアドレス２５２をプロットした表示データを生成する。その際、生成部２４３は、複数のＩＰアドレス空間を一覧できるように並列に表示する表示データを生成する。

これにより、生成された表示データをもとにしたモニタへの表示を行うことで、モニタの表示画面上において、通信ログ２０５に記述された情報を、ＩＰアドレス空間に時系列にプロットした表示を行うことが可能となる。その際、視認結果や通信ログ２０５の分析結果や情報リスト２０６に応じて、機械的に特定されたＩＰアドレスの周辺のＩＰアドレス空間を一覧表示することが可能となる。これにより、ＩＰアドレス空間での通信ログ２０５の鳥瞰と詳細の確認とが容易に行える。したがって、通信ログ２０５のＩＰアドレス空間での傾向や事象の意味（危険、安全等）を把握することができる。

［プログラム］
図１９は、分析端末１０２、分析対象サーバ１０３、情報提供サーバ１０４および外部端末１０５における処理がコンピュータを用いて具体的に実現されることを示す図である。図１９に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ（Random Access Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブに挿入される。シリアルポートインタフェース１０５０は、例えばマウス１０５１、キーボード１０５２に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１０６１に接続される。

ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記のプログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュール１０９３として、例えばハードディスクドライブ１０３１に記憶される。例えば、図１に例示した機能構成（通信処理部２０１、データ蓄積部２０３、ユーザインタフェース部２０２）と同様の情報処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。

また、上述した実施形態での処理に必要な設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。

なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

以上、本発明者によってなされた発明を適用した実施形態について説明したが、本実施形態による本発明の開示の一部をなす記述および図面により本発明は限定されることはない。すなわち、本実施形態に基づいて当業者等によりなされる他の実施形態、実施例および運用技術等は全て本発明の範疇に含まれる。

１…通信システム、１０１…インターネット、１０２…分析端末、１０３…分析対象サーバ、１０４…情報提供サーバ、１０５…外部端末、２０１…通信処理部、２０２…ユーザインタフェース部、２０３…データ蓄積部、２０４…制御部、２０５…通信ログ、２０６…情報リスト、２０７…分析データ、２４１…取得部、２４２…抽出部、２４３…生成部、２５１…時刻、２５２…ＩＰアドレス、２５３…通信内容、３０１…第１オクテッド、３０２…第２オクテッド、３０３…第３オクテッド、３０４…第４オクテッド、５００…ＩＰアドレス空間、５０１…ＩＰアドレス軸、５０２…時刻軸、５０３…領域、５０４…通信ログの詳細、５０５…ＩＰアドレスの付帯情報、５０６…操作メニュー、５０７…選択メニュー、５０８…特定されたＩＰアドレス、５０９…特定された日付。

Claims (8)

1. 分析対象サーバと端末との間の通信ネットワークを介した通信について、該端末の通信アドレスごとに、通信を行った時刻を示す情報および通信内容を示す情報を記述した通信記録を取得する取得部と、
   前記取得部によって取得された通信記録のなかから、特定された所定の条件を満たす通信アドレスの通信記録を抽出する抽出部と、
   前記抽出部によって複数の通信アドレスの通信記録が抽出された場合には、各通信アドレスを含む所定範囲のアドレスを第１の軸、各通信記録における通信を行った時刻を含む所定範囲の時刻を第２の軸とするアドレス空間それぞれに対して前記取得部によって取得された通信記録に記述された通信アドレスをそれぞれプロットし、該通信アドレスがプロットされた各アドレス空間を並列にした表示データを生成する生成部と、
   前記生成部によって生成された表示データを出力する出力部と、
   を備えることを特徴とするアドレス情報提供装置。
2. 前記通信記録の通信内容、または同一の通信アドレスについてプロットする点の数量に応じて、前記表示データのプロットの表示態様を変更することを特徴とする請求項１に記載のアドレス情報提供装置。
3. 前記所定の条件を満たす通信アドレスは、操作者に指定された通信アドレス、前記通信記録に記述された通信内容により特定される通信アドレス、または前記取得部が取得した所定の通信アドレスが記述された情報リストに記述された通信アドレスであることを特徴とする請求項１または２に記載のアドレス情報提供装置。
4. 前記生成部は、指定された前記通信記録の一部または全てを表示する表示データを生成することを特徴とする請求項１〜３のいずれか１項に記載のアドレス情報提供装置。
5. 前記生成部は、Ｗｅｂブラウザで表示するための表示データを生成することを特徴とする請求項１〜４のいずれか１項に記載のアドレス情報提供装置。
6. 通信ネットワークを介して互いに通信可能に接続されるアドレス監視システムであって、
   前記通信ネットワークを介した端末との間の通信について、該端末の通信アドレスごとに、通信を行った時刻を示す情報および通信内容を示す情報を記述した通信記録を記録する分析対象サーバ装置と、
   前記通信記録を取得する取得部と、前記取得部によって取得された通信記録のなかから、特定された所定の条件を満たす通信アドレスの通信記録を抽出する抽出部と、前記抽出部によって複数の通信アドレスの通信記録が抽出された場合には、各通信アドレスを含む所定範囲のアドレスを第１の軸、各通信記録における通信を行った時刻を含む所定範囲の時刻を第２の軸とするアドレス空間それぞれに対して前記取得部によって取得された通信記録に記述された通信アドレスをそれぞれプロットし、該通信アドレスがプロットされた各アドレス空間を並列にした表示データを生成する生成部と、前記生成部によって生成された表示データを出力する出力部とを有するアドレス情報提供装置と、
   を備えることを特徴とするアドレス監視システム。
7. アドレス情報提供装置が行うアドレス情報表示方法であって、
   分析対象サーバと端末との間の通信ネットワークを介した通信について、該端末の通信アドレスごとに、通信を行った時刻を示す情報および通信内容を示す情報を記述した通信記録を取得する取得工程と、
   前記取得工程において取得された通信記録のなかから、特定された所定の条件を満たす通信アドレスの通信記録を抽出する抽出工程と、
   前記抽出工程において複数の通信アドレスの通信記録が抽出された場合には、各通信アドレスを含む所定範囲のアドレスを第１の軸、各通信記録における通信を行った時刻を含む所定範囲の時刻を第２の軸とするアドレス空間それぞれに対して前記取得工程において取得された通信記録に記述された通信アドレスをそれぞれプロットし、該通信アドレスがプロットされた各アドレス空間を並列にした表示データを生成する生成工程と、
   前記生成工程において生成された表示データを出力する出力工程と、
   を含むことを特徴とするアドレス情報表示方法。
8. 分析対象サーバと端末との間の通信ネットワークを介した通信について、該端末の通信アドレスごとに、通信を行った時刻を示す情報および通信内容を示す情報を記述した通信記録を取得する取得ステップと、
   前記取得ステップにおいて取得された通信記録のなかから、特定された所定の条件を満たす通信アドレスの通信記録を抽出する抽出ステップと、
   前記抽出ステップにおいて複数の通信アドレスの通信記録が抽出された場合には、各通信アドレスを含む所定範囲のアドレスを第１の軸、各通信記録における通信を行った時刻を含む所定範囲の時刻を第２の軸とするアドレス空間それぞれに対して前記取得ステップにおいて取得された通信記録に記述された通信アドレスをそれぞれプロットし、該通信アドレスがプロットされた各アドレス空間を並列にした表示データを生成する生成ステップと、
   前記生成ステップにおいて生成された表示データを出力する出力ステップと、
   をコンピュータに実行させるためのアドレス情報提供プログラム。