JP2017059964A - ネットワーク監視装置、ネットワーク監視方法及びネットワーク監視プログラム - Google Patents

Abstract

【課題】標的型攻撃に関わる通信を高精度で検知するネットワーク監視装置を提供する。【解決手段】ネットワーク監視装置は、第１の端末と第２の端末のコネクションにおいて、第１及び第２の端末間で転送された複数のパケット群の各々について、当該パケット群の特徴を表す特徴値を特定し、特定された複数の特徴値のばらつきを表す値を算出する算出部と、算出部が算出した値が所定の閾値以上であるか判定する第１判定部と、値が閾値以上で有る場合、コネクションの最初と最後のパケット取得時刻差が所定時間以上であるかを判定する第２の判定部とを有し、標的型攻撃に関わる通信を高精度で検知する。【選択図】図１２

Description

本発明は、ネットワークの監視技術に関する。

独自に開発又はカスタマイズされたマルウエアを利用した攻撃が頻繁に行われるようになっており、特に遠隔操作型のマルウエアであるＲＡＴ（Remote Administration Tool）を利用して特定の組織或いは個人から情報を窃取する標的型攻撃が増加している。

図１に、ＲＡＴを利用した標的型攻撃の一例を示す。図１の例では、インターネット等の外部ネットワークに接続された攻撃者が、指令となるパケットＡを、組織のネットワークである内部ネットワークに接続された端末（この端末が踏み台である）に送信する。踏み台は、内部ネットワークに接続された他の端末（この端末が標的である）に、ＲＡＴのプログラム等を含むパケットＢを送信し、標的に実行させる。標的は、攻撃者との間で新たなコネクションを確立し、標的内の情報等を含むパケットＣを攻撃者に送信する。或いは、標的が新たな踏み台として利用され、ＲＡＴへの感染が広がる。

マルウエアを検知する技術として、シグネチャ方式が知られている。シグネチャ方式とは、マルウエア毎に通信データのパターンを定義し、ネットワークを流れる通信データとパターンとの比較によりマルウエアを検知する技術である。

しかし、シグネチャ方式では、既にパターンが作成されているマルウエアしか検知することができず、独自に開発され又はカスタマイズされたマルウエアを検知できない。

また、標的型攻撃に関わる通信を検知する従来技術が存在する。この従来技術においては、内部ネットワークに接続された端末間で転送されるパケットと、内部ネットワークに接続された端末と外部ネットワークに接続された端末との間で転送されるパケットとを解析することで、標的型攻撃が検知される。

但し、上記従来技術は、内部ネットワークに接続された端末間で転送されるパケットを捕捉可能な位置に、捕捉用の装置を設置することを前提とした技術である。必要とされる捕捉用の装置の数は、内部ネットワークの規模に応じて増加する。また、内部ネットワークの規模に対する、捕捉用の装置の導入コストについては十分に検討がなされていない。

特開２０１５−１５５８１号公報 特開２０１５−１３３５４７号公報

従って、本発明の目的は、１つの側面では、外部端末と内部端末の間で転送されるパケットを用いて、標的型攻撃に関わる通信を高精度で検知するための技術を提供することである。

本発明に係るネットワーク監視装置は、第１の端末と第２の端末のコネクションにて、第１及び第２の端末間で転送された複数のパケット群の各々について、当該パケット群の特徴を表す特徴値を特定し、特定された複数の特徴値のばらつきを表す値を算出する算出部と、算出部が算出した値が所定の閾値以上であるか判定する第１判定部とを有する。

１つの側面では、外部端末と内部端末の間で転送されるパケットを用いて、標的型攻撃に関わる通信を高精度で検知できるようになる。

図１は、ＲＡＴを利用した標的型攻撃の一例を示す図である。 図２は、ＲＡＴ通信のコネクションを示す図である。 図３は、プッシュ通知のコネクションを示す図である。 図４は、本実施の形態のシステム概要を示す図である。 図５は、監視装置、スイッチ、攻撃者端末及びユーザ端末の位置関係を説明するための図である。 図６は、第１の実施の形態における監視装置の機能ブロック図である。 図７は、第１の実施の形態における監視装置が実行する処理の処理フローを示す図である。 図８は、コネクションデータ格納部に格納されるデータの一例を示す図である。 図９は、パケット群の情報の一例を示す図である。 図１０は、第１の実施の形態における監視装置が実行する処理の処理フローを示す図である。 図１１は、トリガパケット及びトリガ関連パケットについて説明するための図である。 図１２は、分析処理の処理フローを示す図である。 図１３は、第２の実施の形態における監視装置の機能ブロック図である。 図１４は、第２の実施の形態における監視装置が実行する処理の処理フローを示す図である。 図１５は、アドレスリスト格納部に格納される組織内ＩＰアドレスリストの一例を示す図である。 図１６は、アドレスリスト格納部に格納される組織外ＩＰアドレスリストの一例を示す図である。 図１７は、第３の実施の形態における検知処理の処理フローを示す図である。 図１８は、第４の実施の形態における検知処理の処理フローを示す図である。 図１９は、コンピュータの機能ブロック図である。

［本実施の形態の概要］
ＲＡＴ通信のコネクションは以下のような特徴を有している。従って、コネクションが以下のような特徴を有するか判定することで、ＲＡＴ通信のコネクションの候補を絞り込むことが可能である。
（１）内部ネットワークに接続された端末（ここでは内部端末と呼ぶ）から外部ネットワークに接続された端末（ここでは外部端末と呼ぶ）へのパケットによってコネクションの確立が開始される。つまり、接続元が内部端末であり、接続先が外部端末である。
（２）接続先のポート番号が、ＨＴＴＰ（Hypertext Transfer Protocol）のポート番号又はＨＴＴＰＳ（Hypertext Transfer Protocol Secure）のポート番号と一致する。
（３）コネクションの継続時間が一定時間以上である。
（４）内部端末に指令パケットが転送されてから外部端末に応答パケットが転送されるまでの１群のパケット（以下、パケット群と呼ぶ）の最後のパケットが転送されてから一定時間以上経過した後、外部端末から内部端末へ新たに指令パケットが転送される。

しかし、ＲＡＴ通信のコネクションだけではなく、プッシュ通知のコネクションも上記のような特徴を有している。そのため、このような特徴のみに基づきコネクションの候補を絞り込んだとしても、ＲＡＴ通信のコネクションとプッシュ通知のコネクションとを判別することができない。

図２及び図３を用いて、ＲＡＴ通信のコネクション及びプッシュ通知のコネクションについて説明する。図２はＲＡＴ通信のコネクションを示す図であり、図３はプッシュ通知のコネクションを示す図である。図２及び図３においては、細い実線の矢印はパケットの転送を示している。縦方向の位置の違いは転送時刻の違いを表しており、転送時刻が早いパケットほど上の位置に示されている。

図３に示すように、プッシュ通知は、内部端末から外部端末への要求に応じてサービスが開始されるため、内部端末から外部端末へのパケットによってコネクションの確立が開始されるという特徴を有する。また、プッシュ通知においても、通常は接続先のポート番号がＨＴＴＰのポート番号又はＨＴＴＰＳのポート番号と同じであり、配信が繰り返されるためコネクションの継続時間が長い。さらに、プッシュ通知は、或る時刻における配信が終了した後一定時間が経過すると外部端末から内部端末へパケットが転送されるという特徴を有しており、この点においてもＲＡＴ通信と同じである。

しかし、図２及び図３からわかるように、以下のような点においてＲＡＴ通信とプッシュ通知とは異なる。

（５）ＲＡＴ通信においては、攻撃者が指令の内容を考え手作業で指令を入力するため、パケット群間の時間間隔にばらつきがある。一方、プッシュ通知は定期的に行われるものが多く、パケット群間の時間間隔が一定である。

（６）ＲＡＴ通信においては、指令の内容が毎回異なるため、パケットの数がパケット群間で大きく異なる。一方、プッシュ通知においては、例えば株価情報の配信などのように配信形式が常に同じである場合が多いため、パケットの数が一定である。

また、以下のような点においてもＲＡＴ通信とプッシュ通知とは異なる。

（７）ＲＡＴ通信においては、攻撃者が毎回異なる指令を入力するため、パケットのデータ部分の内容がパケット群間で大きく異なる。一方、プッシュ通知においては、例えば株価情報の配信などのように配信形式が常に同じであり内容が少しだけ異なるというような場合が多いため、パケット群間でのデータ部分の内容の相違がＲＡＴ通信と比較して小さい。

（８）同様の理由から、ＲＡＴ通信においてはパケットサイズがパケット群間で大きく異なるのに対し、プッシュ通知においてはパケット群間でのパケットサイズの相違がＲＡＴ通信と比較して小さい。

従って、上記（５）乃至（８）の特徴をさらに利用すれば、ＲＡＴ通信のコネクションとプッシュ通知のコネクションとを判別できるようになる。以下では、上記（１）乃至（８）の特徴を利用してＲＡＴ通信を検知する方法について説明する。

［実施の形態１］
図４に、本実施の形態のシステム概要を示す。スイッチ３０はネットワークスイッチであり、ＲＡＴを内部ネットワークに送り込む攻撃者端末５０と、内部ネットワークに接続され且つＲＡＴ攻撃の対象となるユーザ端末７０との間で転送されるパケットを中継する。本実施の形態の主要な処理を実行する監視装置１はスイッチ３０に接続される。監視装置１は、スイッチ３０が中継するパケットの複製をスイッチ３０から取得し、取得したパケットに基づきＲＡＴ攻撃に関わる通信（以下、ＲＡＴ通信と呼ぶ）のコネクションを検知する。

図５を用いて、監視装置１、スイッチ３０、攻撃者端末５０、及びユーザ端末７０の位置関係をより具体的に説明する。図５においては、スイッチやルータ等の中継装置３１乃至３８が配置された内部ネットワークに、ユーザ端末７０乃至７３及びサーバ９０乃至９３が接続されている。ここでは、ユーザ端末７０が踏み台であり、サーバ９２が標的である。攻撃者端末５０とユーザ端末７０との間及びユーザ端末７０とサーバ９２との間ではＲＡＴ通信が発生する。スイッチ３０は、中継装置３４と中継装置３８との間に配置されており、攻撃者端末５０とユーザ端末７０との間のパケットを捕捉可能である。このように、スイッチ３０は、内部ネットワークに接続された装置間を転送されるパケットを捕捉可能な位置（例えば、ユーザ端末７０とサーバ９２との間）に配置されなくてもよい。

なお、本実施の形態のシステムの具体的な態様は、図５に示したような態様には限られない。また、ユーザ端末、サーバ、及び中継装置の数に限定は無い。

図６に、第１の実施の形態における監視装置１の機能ブロック図を示す。監視装置１は、取得部１０１と、抽出部１０２と、コネクションデータ格納部１０６と、分析部１０７と、通知部１１１とを含む。抽出部１０２は、接続パケット抽出部１０３と、トリガパケット抽出部１０４と、トリガ関連パケット抽出部１０５とを含む。分析部１０７は、算出部１０８と、第１判定部１０９と、第２判定部１１０とを含む。

取得部１０１は、スイッチ３０が中継するパケット（実際には複製）を取得し、抽出部１０２に渡す。抽出部１０２における接続パケット抽出部１０３は、新規にコネクションを確立するためのパケットのうち最初のパケット（以下、接続パケットと呼ぶ）を検知し、接続パケットに関する情報をコネクションデータ格納部１０６に格納する。トリガパケット抽出部１０４は、後述されるトリガパケットを検知し、トリガパケットに関する情報をコネクションデータ格納部１０６に格納する。トリガ関連パケット抽出部１０５は、後述されるトリガ関連パケットを抽出し、トリガ関連パケットに関する情報をコネクションデータ格納部１０６に格納する。分析部１０７における算出部１０８は、コネクションデータ格納部１０６に格納されているデータに基づき、後述するパケット群間での特徴値のばらつきを表す値（本実施の形態においては標準偏差）を算出する。第１判定部１０９は、算出部１０８によって算出された値に基づき、対象のコネクションがＲＡＴ通信のコネクションであるか判定する処理を実行する。第２判定部１１０は、コネクションデータ格納部１０６に格納されたデータに基づき、対象のコネクションがＲＡＴ通信のコネクションであるか判定する処理を実行する。通知部１１１は、分析部１０７による処理の結果に基づき、ＲＡＴ通信のコネクションに関する情報を、例えば組織内ネットワークにおける管理者端末に送信する処理を実行する。

次に、図７乃至図１２を用いて、第１の実施の形態における監視装置１が実行する処理について説明する。

まず、監視装置１の取得部１０１は、スイッチ３０が中継するパケットの複製（以下、対象パケットと呼ぶ）をスイッチ３０から取得し（図７：ステップＳ１）、抽出部１０２に出力する。

抽出部１０２は、解析に使用されるデータを対象パケットから読み出す（ステップＳ３）。解析に使用されるデータは、例えば、パケットの取得時刻、送信元ＩＰ（Internet Protocol）アドレス、宛先ＩＰアドレス、プロトコル、ＴＣＰ（Transmission Control Protocol）ポート番号、ＴＣＰフラグ（例えば、ＳＹＮ（SYNchronize）フラグ及びＡＣＫ（ACKnowledge）フラグ）、パケットサイズ、及びパケットのデータ部分等である。

抽出部１０２における接続パケット抽出部１０３は、ステップＳ３に読み出されたデータに基づき、対象パケットが接続パケットであるか判定する（ステップＳ５）。上で述べたように、接続パケットは、新規にコネクションを確立するためのパケットのうち最初のパケットである。例えば、ＳＹＮフラグが１であり且つＡＣＫフラグが１である場合には接続パケットであると判定される。

対象パケットが接続パケットではない場合（ステップＳ５：Ｎｏルート）、処理は端子Ａを介して図１０のステップＳ１３に移行する。一方、対象パケットが接続パケットである場合（ステップＳ５：Ｙｅｓルート）、接続パケット抽出部１０３は、新規に確立されるコネクションについての接続元ＩＰアドレス（ここでは、送信元ＩＰアドレス）、接続先ＩＰアドレス（ここでは、宛先ＩＰアドレス）、接続元ポート番号及び接続先ポート番号と、対象パケットの取得時刻とを、コネクションデータ格納部１０６に格納する（ステップＳ７）。

図８に、コネクションデータ格納部１０６に格納されるデータの一例を示す。図８の例では、確立されたコネクションに割り振られる通番であるコネクション番号と、接続元のＩＰアドレス及びポート番号と、接続先のＩＰアドレス及びポート番号と、接続パケットの取得時刻と、コネクションにおける最新のパケットの取得時刻と、パケット群の情報とが格納される。なお、ステップＳ７を実行する時点においては対象パケットが最新パケットであるので、対象パケットの取得時刻が最新パケットの取得時刻の欄にも格納される。

パケット群の情報は、例えば図９に示すような情報を含む。図９の例では、パケット群を識別するための識別情報であるパケット群ＩＤ（IDentifier）と、トリガパケットの取得時刻、パケットサイズ、及びデータ部分と、各トリガ関連パケットの取得時刻、パケットサイズ、及びデータ部分とが格納される。トリガパケット及びトリガ関連パケットについては後述する。

図７の説明に戻り、抽出部１０２は、管理者からの終了指示を受け付けたか判定する（ステップＳ９）。終了指示を受け付けていない場合（ステップＳ９：Ｎｏルート）、ステップＳ１の処理に戻る。一方、終了指示を受け付けた場合（ステップＳ９：Ｙｅｓルート）、処理は終了する。

図１０を用いて、端子Ａ以降の処理について説明する。抽出部１０２におけるトリガパケット抽出部１０４は、対象パケットと同一の送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号、及び宛先ポート番号を有するコネクション（すなわち、対象パケットのコネクションと同一のコネクション）がコネクションデータ格納部１０６に登録されているか判定する（ステップＳ１３）。

対象パケットのコネクションと同一のコネクションがコネクションデータ格納部１０６に登録されていない場合（ステップＳ１３：Ｎｏルート）、処理は端子Ｂを介して図７のステップＳ９の処理に戻る。

一方、対象パケットのコネクションと同一のコネクションがコネクションデータ格納部１０６に登録されている場合（ステップＳ１３：Ｙｅｓルート）、トリガパケット抽出部１０４は、対象パケットの送信元ＩＰアドレス及び宛先ＩＰアドレスに基づき、対象パケットは接続先から接続元へ送信されたか判定する（ステップＳ１５）。例えば、送信元ＩＰアドレスがコネクションデータ格納部１０６に格納された接続先ＩＰアドレスと同じであり、且つ、宛先ＩＰアドレスがコネクションデータ格納部１０６に格納された接続元ＩＰアドレスと同じである場合、対象パケットは接続先から接続元へ送信されたと判定される。

対象パケットは接続先から接続元へ送信されていない場合（ステップＳ１５：Ｎｏルート）、ステップＳ２３の処理に移行する。一方、対象パケットは接続先から接続元へ送信された場合（ステップＳ１５：Ｙｅｓルート）、トリガパケット抽出部１０４は、対象パケットの取得時刻と、同じコネクションの直前パケットの取得時刻との差が第１の所定時間（例えば１０秒）以上であるか判定する（ステップＳ１７）。

取得時刻の差が第１の所定時間以上である場合（ステップＳ１７：Ｙｅｓルート）、対象パケットはトリガパケットである。よって、トリガパケット抽出部１０４は、新規のパケット群ＩＤを生成する（ステップＳ１９）。ステップＳ１９においては、例えば、前回生成されたパケット群ＩＤに１を加算することで新規のパケット群ＩＤが生成される。

図１１を用いて、トリガパケット及びトリガ関連パケットについて説明する。図１１においては、細い実線の矢印はパケットの転送を示している。縦方向の位置の違いは転送時刻の違いを表しており、転送時刻が早いパケットほど上の位置に示されている。

図１１において、トリガパケットは、パケット群１ｇの中で最初に転送されたパケット１１０１、パケット群２ｇの中で最初に転送されたパケット１１０２、及びパケット群３ｇの中で最初に転送されたパケット１１０３である。そして、トリガ関連パケットは、パケット群１ｇに含まれるパケットのうちパケット１１０１以外のパケット、パケット群２ｇに含まれるパケットのうちパケット１１０２以外のパケット、及びパケット群３ｇに含まれるパケットのうちパケット１１０３以外のパケットである。本実施の形態においては、トリガパケット間の時間間隔がパケット群間の時間間隔であるとみなされる。特徴（５）についての説明で述べたように、ＲＡＴ通信においてはパケット群間の時間間隔にばらつきがある。

図１０の説明に戻り、トリガパケット抽出部１０４は、ステップＳ１９において生成したパケット群ＩＤ、トリガパケットの取得時刻、トリガパケットのサイズ、及びトリガパケットのデータ部分をトリガパケットのデータとしてコネクションデータ格納部１０６に格納する（ステップＳ２１）。処理は端子Ｂを介して図７のステップＳ９の処理に戻る。

一方、取得時刻の差が第１の所定時間以上ではない場合（ステップＳ１７：Ｎｏルート）、トリガ関連パケット抽出部１０５は、以下の処理を実行する。具体的には、トリガ関連パケット抽出部１０５は、対象パケットと同一コネクションにおいてトリガパケットのデータがコネクションデータ格納部１０６に有り、且つ、そのトリガパケットの取得時刻と対象パケットの取得時刻との差が第２の所定時間（例えば１秒）以内であるか判定する（ステップＳ２３）。

対象パケットと同一コネクションにおいてトリガパケットのデータがコネクションデータ格納部１０６に格納されていない場合、又は、トリガパケットの取得時刻と対象パケットの取得時刻との差が第２の所定時間以内ではない場合（ステップＳ２３：Ｎｏルート）、処理は端子Ｂを介して図７のステップＳ９の処理に戻る。一方、対象パケットと同一コネクションにおいてトリガパケットのデータがコネクションデータ格納部１０６に有り、且つ、そのトリガパケットの取得時刻と対象パケットの取得時刻との差が第２の所定時間以内である場合（ステップＳ２３：Ｙｅｓルート）、対象パケットはトリガ関連パケットである。よって、トリガ関連パケット抽出部１０５は、トリガ関連パケットの取得時刻、トリガ関連パケットのサイズ、及びトリガ関連パケットのデータ部分をトリガパケットのデータとしてコネクションデータ格納部１０６に格納する（ステップＳ２５）。トリガ関連パケット抽出部１０５は、トリガ関連パケットを抽出したことを分析部１０７に通知する。

分析部１０７は、対象パケットのコネクションにおけるパケット群の数が所定数（例えば４）以上であるか判定する（ステップＳ２７）。対象パケットのコネクションにおけるパケット群の数が所定数以上ではない場合（ステップＳ２７：Ｎｏルート）、処理は端子Ｂを介して図７のステップＳ９の処理に戻る。一方、対象パケットのコネクションにおけるパケット群の数が所定数以上である場合（ステップＳ２７：Ｙｅｓルート）、分析部１０７は、分析処理を実行する（ステップＳ２９）。分析処理については、図１２を用いて説明する。なお、最後のパケット群については、分析処理の対象から外される。

まず、分析部１０７における算出部１０８は、コネクションデータ格納部１０６に格納されているパケット群情報から、特徴値をパケット群毎に特定する（図１２：ステップＳ３１）。特徴値とは、例えば、１つ前又は１つ後のパケット群との間の時間間隔、パケットの数、パケットのデータ部分の内容に関する値、又はパケットサイズに関する値である。データ部分の内容に関する値は、例えば、データ部分を入力とした場合に或る関数によって算出される値である。パケットサイズに関する値は、例えば、特定の順番に転送されたパケット（例えば、１番目に転送されたパケット）のサイズ、或いは、パケットのサイズの平均値等が使用される。

第１判定部１０９は、ステップＳ３１において算出された特徴値から、特徴値の標準偏差を算出し（ステップＳ３３）、算出された標準偏差が閾値以上であるか判定する（ステップＳ３５）。閾値は、例えば、ＲＡＴ通信のコネクションについて算出された標準偏差と、プッシュ通知のコネクションについて算出された標準偏差との平均値である。このように閾値を設定すれば、対象のコネクションがＲＡＴ通信のコネクションとプッシュ通知のコネクションのいずれに似ているかを判定できる。

特徴値の標準偏差が閾値以上ではない場合（ステップＳ３５：Ｎｏルート）、呼び出し元の処理に戻り、処理は端子Ｂを介して図７のステップＳ９の処理に戻る。一方、特徴値の標準偏差が閾値以上である場合（ステップＳ３５：Ｙｅｓルート）、第２判定部１１０は、コネクションデータ格納部１０６に格納されているデータに基づき、接続パケットの取得時刻と対象パケットの取得時刻との差が第３の所定時間（例えば１０分）以上であるか判定する（ステップＳ３７）。

接続パケットの取得時刻と対象パケットの取得時刻との差が第３の所定時間以上ではない場合（ステップＳ３７：Ｎｏルート）、呼び出し元の処理に戻り、処理は端子Ｂを介して図７のステップＳ９の処理に戻る。一方、接続パケットの取得時刻と対象パケットの取得時刻との差が第３の所定時間以上である場合（ステップＳ３７：Ｙｅｓルート）、対象パケットのコネクションはＲＡＴ通信のコネクションである。よって、第２判定部１１０は、対象パケットのコネクションに関する情報（例えば、宛先ＩＰアドレス及び送信元ＩＰアドレス）を通知部１１１に出力する。これに応じ、通知部１１１は、システムの管理者の端末に、対象パケットのコネクションに関する情報を含む通知を送信する（ステップＳ３９）。そして呼び出し元の処理に戻り、処理は端子Ｂを介して図７のステップＳ９の処理に戻る。

以上のように、ＲＡＴ通信のコネクションの方がプッシュ通知のコネクションよりも特徴値のばらつきが大きいという特徴を利用することで、ＲＡＴ通信を高精度で検知できるようになる。また、本実施の形態の方法によれば、個人を標的とした攻撃である場合や、組織において踏み台が次の標的に侵入を試みる前の段階である場合においても、ＲＡＴ通信の検知が可能である。

［実施の形態２］
第２の実施の形態においては、ＲＡＴ通信のコネクションの候補を絞り込むことで、より高い精度でＲＡＴ通信を検知できるようにする。

図１３に、第２の実施の形態における監視装置１の機能ブロック図である。第２の実施の形態における監視装置１は、取得部１０１と、抽出部１０２と、コネクションデータ格納部１０６と、分析部１０７と、通知部１１１と、アドレスリスト格納部１１３とを含む。抽出部１０２は、接続パケット抽出部１０３と、トリガパケット抽出部１０４と、トリガ関連パケット抽出部１０５と、絞り込み部１１２とを含む。分析部１０７は、算出部１０８と、第１判定部１０９と、第２判定部１１０とを含む。

取得部１０１は、スイッチ３０が中継するパケット（実際には複製）を取得し、抽出部１０２に渡す。抽出部１０２における絞り込み部１１２は、アドレスリスト格納部１１３に格納されたデータに基づき接続パケットを検知し、接続パケット抽出部１０３に渡す。接続パケット抽出部１０３は、接続パケットに関する情報をコネクションデータ格納部１０６に格納する。トリガパケット抽出部１０４は、トリガパケットを検知し、トリガパケットに関する情報をコネクションデータ格納部１０６に格納する。トリガ関連パケット抽出部１０５は、トリガ関連パケットを抽出し、トリガ関連パケットに関する情報をコネクションデータ格納部１０６に格納する。分析部１０７における算出部１０８は、コネクションデータ格納部１０６に格納されているデータに基づき、特徴値のばらつきを表す値（本実施の形態においては標準偏差）を算出する。第１判定部１０９は、算出部１０８によって算出された値に基づき、対象のコネクションがＲＡＴ通信のコネクションであるか判定する処理を実行する。第２判定部１１０は、コネクションデータ格納部１０６に格納されたデータに基づき、対象のコネクションがＲＡＴ通信のコネクションであるか判定する処理を実行する。通知部１１１は、分析部１０７による処理の結果に基づき、ＲＡＴ通信のコネクションに関する情報を、例えば組織内ネットワークにおける管理者の端末に送信する処理を実行する。

次に、図１４を用いて、第２の実施の形態における監視装置１が実行する処理を説明する。

まず、監視装置１の取得部１０１は、スイッチ３０が中継するパケットの複製（以下、対象パケットと呼ぶ）をスイッチ３０から取得し（図１４：ステップＳ４１）、抽出部１０２に出力する。

抽出部１０２は、解析に使用されるデータを対象パケットから読み出す（ステップＳ４３）。解析に使用されるデータは、例えば、パケットの取得時刻、送信元ＩＰアドレス、宛先ＩＰアドレス、プロトコル、ＴＣＰポート番号、ＴＣＰフラグ（例えば、ＳＹＮフラグ及びＡＣＫフラグ）、パケットサイズ、及びパケットのデータ部分等である。

抽出部１０２における絞り込み部１１２は、ステップＳ４３に読み出されたデータに基づき、対象パケットが接続パケットであるか判定する（ステップＳ４５）。上で述べたように、接続パケットは、新規にコネクションを確立するためのパケットのうち最初のパケットである。例えば、ＳＹＮフラグが１であり且つＡＣＫフラグが１である場合には接続パケットであると判定される。

対象パケットが接続パケットではない場合（ステップＳ４５：Ｎｏルート）、処理は端子Ａを介して図１０のステップＳ１３に移行する。一方、対象パケットが接続パケットである場合（ステップＳ４５：Ｙｅｓルート）、絞り込み部１１２は、接続先ポート番号が所定の値（ここでは、ＨＴＴＰやＨＴＴＰＳで使用される８０、４４３、或いは８０８０）であるか判定する（ステップＳ４７）。

接続先のポート番号が所定の値ではない場合（ステップＳ４７：Ｎｏルート）、ステップＳ４１の処理に戻る。一方、接続先のポート番号が所定の値である場合（ステップＳ４７：Ｙｅｓルート）、絞り込み部１１２は、接続元ＩＰアドレスはアドレスリスト格納部１１３に格納されている組織内ＩＰアドレスリスト内のＩＰアドレスのいずれかと一致するか判定する（ステップＳ４９）。図１５に、アドレスリスト格納部１１３に格納されている組織内ＩＰアドレスリストの一例を示す。図１５の例では、組織内ＩＰアドレスとして、内部ネットワークに接続された装置のＩＰアドレスが格納される。

接続元ＩＰアドレスは組織内ＩＰアドレスリスト内のＩＰアドレスのいずれとも一致しない場合（ステップＳ４９：Ｎｏルート）、ステップＳ４１の処理に戻る。一方、接続元ＩＰアドレスは組織内ＩＰアドレスリスト内のＩＰアドレスのいずれかと一致する場合（ステップＳ４９：Ｙｅｓルート）、絞り込み部１１２は、接続先ＩＰアドレスはアドレスリスト格納部１１３に格納されている組織外ＩＰアドレスリスト内のＩＰアドレスのいずれかと一致するか判定する（ステップＳ５１）。図１６に、アドレスリスト格納部１１３に格納されている組織外ＩＰアドレスリストの一例を示す。図１６の例では、組織外ＩＰアドレスとして、外部ネットワークに接続された装置のＩＰアドレスが格納される。

接続先ＩＰアドレスは組織外ＩＰアドレスリスト内のＩＰアドレスのいずれとも一致しない場合（ステップＳ５１：Ｎｏルート）、ステップＳ４１の処理に戻る。一方、接続先ＩＰアドレスは組織外ＩＰアドレスリスト内のＩＰアドレスのいずれかと一致する場合（ステップＳ５１：Ｙｅｓルート）、絞り込み部１１２は、対象パケットが接続パケットであることを接続パケット抽出部１０３に通知する。

これに応じ、接続パケット抽出部１０３は、新規に確立されるコネクションについての接続元ＩＰアドレス（ここでは、送信元ＩＰアドレス）、接続先ＩＰアドレス（ここでは、宛先ＩＰアドレス）、接続元ポート番号及び接続先ポート番号と、対象パケットの取得時刻とを、コネクションデータ格納部１０６に格納する（ステップＳ５５）。

抽出部１０２は、管理者からの終了指示を受け付けたか判定する（ステップＳ５７）。終了指示を受け付けていない場合（ステップＳ５７：Ｎｏルート）、ステップＳ４１の処理に戻る。一方、終了指示を受け付けた場合（ステップＳ５７：Ｙｅｓルート）、処理は終了する。端子Ａ以降の処理は、図１０を用いて説明したとおりであるのでここでは説明を省略する。

以上のような処理を実行すれば、より高い精度でＲＡＴ通信を検知できるようにする。また、特徴値の分析が行われるコネクションの数を減らすことができるので、監視装置１の処理負荷を低減できるようになる。

［実施の形態３］
第３の実施の形態においては、分析処理の他の例を示す。システム概要及び監視装置１の機能ブロックは第１の実施の形態において説明したとおりである。

図１７を用いて、第３の実施の形態の分析処理について説明する。まず、分析部１０７における算出部１０８は、コネクションデータ格納部１０６に格納されているパケット群情報から、特徴値をパケット群毎に特定する（図１７：ステップＳ６１）。特徴値とは、例えば、１つ前又は１つ後のパケット群との間の時間間隔、パケットの数、パケットのデータ部分の内容に関する値、又はパケットサイズに関する値である。

第１判定部１０９は、トリガパケット間の時間間隔についての条件が満たされるか判定する（ステップＳ６３）。本条件は、例えば、トリガパケット間の時間間隔の標準偏差が閾値以上であるという条件である。閾値は、例えば、ＲＡＴ通信の場合の時間間隔について算出された標準偏差と、プッシュ通知の場合の時間間隔について算出された標準偏差との平均値である。

トリガパケット間の時間間隔についての条件が満たされない場合（ステップＳ６３：Ｎｏルート）、呼び出し元の処理に戻り、処理は端子Ｂを介して図７のステップＳ９に戻る。一方、トリガパケット間の時間間隔についての条件が満たされる場合（ステップＳ６３：Ｙｅｓルート）、第１判定部１０９は、パケット数についての条件が満たされるか判定する（ステップＳ６５）。本条件は、例えば、パケット数の標準偏差が閾値以上であるという条件である。閾値は、例えば、ＲＡＴ通信の場合のパケット数について算出された標準偏差と、プッシュ通知の場合の時間間隔について算出された標準偏差との平均値である。

パケット数についての条件が満たされない場合（ステップＳ６５：Ｎｏルート）、呼び出し元の処理に戻り、処理は端子Ｂを介して図７のステップＳ９に戻る。一方、パケット数についての条件が満たされる場合（ステップＳ６５：Ｙｅｓルート）、第１判定部１０９は、パケットサイズについての条件が満たされるか判定する（ステップＳ６７）。例えば、１番目のパケットのサイズの標準偏差、２番目のパケットのサイズの標準偏差、・・・、というように各順番のパケットについて標準偏差を求め、標準偏差が閾値を超えた順番の数が所定数以上であれば、パケットサイズについての条件が満たされると判定される。

パケットサイズについての条件が満たされない場合（ステップＳ６７：Ｎｏルート）、呼び出し元の処理に戻り、処理は端子Ｂを介して図７のステップＳ９に戻る。一方、パケットサイズについての条件が満たされる場合（ステップＳ６７：Ｙｅｓルート）、第１判定部１０９は、データ部分の内容についての条件が満たされるか判定する（ステップＳ６９）。例えば、１番目のパケットのデータ部分の内容において相違する部分のデータサイズ、２番目のパケットのデータ部分の内容において相違する部分のデータサイズ、・・・というように、相違する部分のデータサイズを各順番のパケットについて求める。そして、相違する部分のデータサイズが閾値を超える順番の数が所定数以上である場合に、データ部分の内容にばらつきがあると判定する。或いは、相違する部分のデータサイズの総和を求め、その総和が閾値以上であるか否かによって判定してもよい。

データ部分の内容についての条件が満たされない場合（ステップＳ６９：Ｎｏルート）、呼び出し元の処理に戻り、処理は端子Ｂを介して図７のステップＳ９に戻る。一方、データ部分の内容についての条件が満たされる場合（ステップＳ６９：Ｙｅｓルート）、第２判定部１１０は、コネクションデータ格納部１０６に格納されているデータに基づき、接続パケットの取得時刻と対象パケットの取得時刻との差が第３の所定時間（例えば１０分）以上であるか判定する（ステップＳ７１）。

接続パケットの取得時刻と対象パケットの取得時刻との差が第３の所定時間以上ではない場合（ステップＳ７１：Ｎｏルート）、呼び出し元の処理に戻り、処理は端子Ｂを介して図７のステップＳ９の処理に戻る。一方、接続パケットの取得時刻と対象パケットの取得時刻との差が第３の所定時間以上である場合（ステップＳ７１：Ｙｅｓルート）、対象パケットのコネクションはＲＡＴ通信のコネクションである。よって、第２判定部１１０は、対象パケットのコネクションに関する情報（例えば、宛先ＩＰアドレス及び送信元ＩＰアドレス）を通知部１１１に出力する。これに応じ、通知部１１１は、システムの管理者の端末に、対象パケットのコネクションに関する情報を含む通知を送信する（ステップＳ７３）。そして呼び出し元の処理に戻り、処理は端子Ｂを介して図７のステップＳ９の処理に戻る。

以上のように、ＲＡＴ通信のコネクションの方がプッシュ通知のコネクションよりも特徴値のばらつきが大きいという特徴を利用することで、ＲＡＴ通信を高精度で検知できるようになる。なお、本実施の形態のように、特徴値に関する複数の条件全てが満たされない限りＲＡＴ通信であると判定されないようにすれば、誤検知を減らすことができるようになる。

［実施の形態４］
第４の実施の形態においては、分析処理の他の例を示す。システム概要及び監視装置１の機能ブロックは第１の実施の形態において説明したとおりである。

図１８を用いて、第４の実施の形態の分析処理について説明する。まず、分析部１０７における算出部１０８は、コネクションデータ格納部１０６に格納されているパケット群情報から、特徴値をパケット群毎に特定する（図１８：ステップＳ８１）。特徴値とは、例えば、１つ前又は１つ後のパケット群との間の時間間隔、パケットの数、パケットのデータ部分の内容に関する値、又はパケットサイズに関する値である。

第１判定部１０９は、トリガパケット間の時間間隔についての条件が満たされるか判定する（ステップＳ８３）。本条件は、例えば、トリガパケット間の時間間隔の標準偏差が閾値以上であるという条件である。閾値は、例えば、ＲＡＴ通信の場合の時間間隔について算出された標準偏差と、プッシュ通知の場合の時間間隔について算出された標準偏差との平均値である。

トリガパケット間の時間間隔についての条件が満たされる場合（ステップＳ８３：Ｙｅｓルート）、ステップＳ９１の処理に移行する。一方、トリガパケット間の時間間隔についての条件が満たされない場合（ステップＳ８３：Ｎｏルート）、第１判定部１０９は、パケット数についての条件が満たされるか判定する（ステップＳ８５）。本条件は、例えば、パケット数の標準偏差が閾値以上であるという条件である。閾値は、例えば、ＲＡＴ通信の場合のパケット数について算出された標準偏差と、プッシュ通知の場合の時間間隔について算出された標準偏差との平均値である。

パケット数についての条件が満たされる場合（ステップＳ８５：Ｙｅｓルート）、ステップＳ９１の処理に移行する。一方、パケット数についての条件が満たされない場合（ステップＳ８５：Ｎｏルート）、第１判定部１０９は、パケットサイズについての条件が満たされるか判定する（ステップＳ８７）。例えば、１番目のパケットのサイズの標準偏差、２番目のパケットのサイズの標準偏差、・・・、というように各順番のパケットについて標準偏差を求め、標準偏差が閾値を超えた順番の数が一定値以上であれば、パケットサイズについての条件が満たされると判定される。

パケットサイズについての条件が満たされる場合（ステップＳ８７：Ｙｅｓルート）、ステップＳ９１の処理に移行する。一方、パケットサイズについての条件が満たされない場合（ステップＳ８７：Ｎｏルート）、第１判定部１０９は、データ部分の内容についての条件が満たされるか判定する（ステップＳ８９）。例えば、１番目のパケットのデータ部分の内容において相違する部分のデータサイズ、２番目のパケットのデータ部分の内容において相違する部分のデータサイズ、・・・というように、相違する部分のデータサイズを各順番のパケットについて求める。そして、相違する部分のデータサイズが閾値を超える順番が所定数以上である場合に、データ部分の内容にばらつきがあると判定する。或いは、相違する部分のデータサイズの総和を求め、その総和が閾値以上であるか否かによって判定してもよい。

データ部分の内容についての条件が満たされない場合（ステップＳ８９：Ｎｏルート）、呼び出し元の処理に戻り、処理は端子Ｂを介して図７のステップＳ９の処理に戻る。一方、データ部分の内容についての条件が満たされる場合（ステップＳ８９：Ｙｅｓルート）、第２判定部１１０は、コネクションデータ格納部１０６に格納されているデータに基づき、接続パケットの取得時刻と対象パケットの取得時刻との差が第３の所定時間（例えば１０分）以上であるか判定する（ステップＳ９１）。

接続パケットの取得時刻と対象パケットの取得時刻との差が第３の所定時間以上ではない場合（ステップＳ９１：Ｎｏルート）、呼び出し元の処理に戻り、処理は端子Ｂを介して図７のステップＳ９の処理に戻る。一方、接続パケットの取得時刻と対象パケットの取得時刻との差が第３の所定時間以上である場合（ステップＳ９１：Ｙｅｓルート）、対象パケットのコネクションはＲＡＴ通信のコネクションである。よって、第２判定部１１０は、対象パケットのコネクションに関する情報（例えば、宛先ＩＰアドレス及び送信元ＩＰアドレス）を通知部１１１に出力する。これに応じ、通知部１１１は、システムの管理者の端末に、対象パケットのコネクションに関する情報を含む通知を送信する（ステップＳ９３）。そして呼び出し元の処理に戻り、処理は端子Ｂを介して図７のステップＳ９の処理に戻る。

以上のように、ＲＡＴ通信のコネクションの方がプッシュ通知のコネクションよりも特徴値のばらつきが大きいという特徴を利用することで、ＲＡＴ通信を高精度で検知できるようになる。なお、本実施の形態のように、特徴値に関する複数の条件のいずれかが満たされた場合に第２判定部１１０による判定に移行すれば、厳密に判定をすることによってＲＡＴ通信の検知漏れが発生することを抑制できるようになる。

以上本発明の一実施の形態を説明したが、本発明はこれに限定されるものではない。例えば、上で説明した監視装置１の機能ブロック構成は実際のプログラムモジュール構成に一致しない場合もある。

また、上で説明した各テーブルの構成は一例であって、上記のような構成でなければならないわけではない。さらに、処理フローにおいても、処理結果が変わらなければ処理の順番を入れ替えることも可能である。さらに、並列に実行させるようにしても良い。

また、ばらつきを表す値として、標準偏差以外の値を使用してもよい。

また、特徴値に関する複数の条件のうち２つの条件が満たされた場合或いは３つの条件が満たされた場合に、第２判定部１１０による判定に移行してもよい。また、パケットの送信方向を特徴値として利用し、送信方向についての条件が満たされるか判定してもよい。

なお、上で述べた監視装置１は、コンピュータ装置であって、図１９に示すように、メモリ２５０１とＣＰＵ（Central Processing Unit）２５０３とハードディスク・ドライブ（ＨＤＤ：Hard Disk Drive）２５０５と表示装置２５０９に接続される表示制御部２５０７とリムーバブル・ディスク２５１１用のドライブ装置２５１３と入力装置２５１５とネットワークに接続するための通信制御部２５１７とがバス２５１９で接続されている。オペレーティング・システム（ＯＳ：Operating System）及び本実施例における処理を実施するためのアプリケーション・プログラムは、ＨＤＤ２５０５に格納されており、ＣＰＵ２５０３により実行される際にはＨＤＤ２５０５からメモリ２５０１に読み出される。ＣＰＵ２５０３は、アプリケーション・プログラムの処理内容に応じて表示制御部２５０７、通信制御部２５１７、ドライブ装置２５１３を制御して、所定の動作を行わせる。また、処理途中のデータについては、主としてメモリ２５０１に格納されるが、ＨＤＤ２５０５に格納されるようにしてもよい。本発明の実施例では、上で述べた処理を実施するためのアプリケーション・プログラムはコンピュータ読み取り可能なリムーバブル・ディスク２５１１に格納されて頒布され、ドライブ装置２５１３からＨＤＤ２５０５にインストールされる。インターネットなどのネットワーク及び通信制御部２５１７を経由して、ＨＤＤ２５０５にインストールされる場合もある。このようなコンピュータ装置は、上で述べたＣＰＵ２５０３、メモリ２５０１などのハードウエアとＯＳ及びアプリケーション・プログラムなどのプログラムとが有機的に協働することにより、上で述べたような各種機能を実現する。

以上述べた本発明の実施の形態をまとめると、以下のようになる。

本実施の形態の第１の態様に係るネットワーク監視装置は、（Ａ）第１の端末と第２の端末のコネクションにて、第１及び第２の端末間で転送された複数のパケット群の各々について、当該パケット群の特徴を表す特徴値を特定し、特定された複数の特徴値のばらつきを表す値を算出する算出部と、（Ｂ）算出部が算出した値が所定の閾値以上であるか判定する第１判定部とを有する。

標的型攻撃に関わる通信（例えばＲＡＴ通信）のコネクションにて転送された複数のパケット群の特徴値のばらつきを表す値は、通常の通信（例えばプッシュ通知）のコネクションについて算出したばらつきを表す値と比較して大きい。そこで、上で述べたようにすれば、標的型攻撃に関わる通信を高精度で検知できるようになる。

また、本ネットワーク監視装置は、（Ｃ）算出部が算出した値が所定の閾値以上であると判定された場合、コネクションの最初のパケットを取得した時刻と、コネクションの最後のパケットを取得した時刻との差が、所定時間以上であるか判定する第２判定部と、（Ｄ）差が所定時間以上であると判定された場合、コネクションに関する情報を出力する出力部とをさらに有してもよい。ＲＡＴ通信のコネクションは長時間維持されるという特徴を有する。そこで、上で述べたようにすれば、ＲＡＴ通信であることがより確実なコネクションに関する情報を出力できるようになる。

また、上で述べた算出部は、（ａ１）コネクションの接続元のＩＰアドレスが内部ネットワークのＩＰアドレスであり、コネクションの接続先のＩＰアドレスが外部ネットワークのＩＰアドレスであり、且つコネクションの接続先のポート番号がウェブサーバへのアクセスであることを表すポート番号である場合、コネクションについてばらつきを表す値を算出してもよい。このようにすれば、ＲＡＴ通信である可能性が低いコネクションを処理の対象から除外できるようになる。

また、上で述べた特徴値は、パケット群に含まれるパケットの数と、パケット群に含まれるパケットのサイズと、パケット群とパケット群の１つ前のパケット群との間の時間間隔と、パケット群に含まれるパケットのデータ部分の内容に関する値との少なくともいずれかを含んでもよい。このようにすれば、ＲＡＴ通信のコネクションを高精度で検知できるようになる。

また、パケット群とパケット群の１つ前のパケット群との間の時間間隔は、パケット群の最初のパケットと、パケット群の１つ前のパケット群の最初のパケットとの間の時間間隔であってもよい。

また、本ネットワーク監視装置は、（Ｅ）コネクションにて転送された各パケットを取得した時刻に基づき、複数のパケット群を抽出する抽出部をさらに有してもよい。

本実施の形態の第２の態様に係るネットワーク監視方法は、（Ｆ）第１の端末と第２の端末のコネクションにて、第１及び第２の端末間で転送された複数のパケット群の各々について、当該パケット群の特徴を表す特徴値を特定し、（Ｆ）特定された複数の特徴値のばらつきを表す値を算出し、（Ｇ）算出された値が所定の閾値以上であるか判定する処理を含む。

なお、上記方法による処理をコンピュータに行わせるためのプログラムを作成することができ、当該プログラムは、例えばフレキシブルディスク、ＣＤ−ＲＯＭ、光磁気ディスク、半導体メモリ、ハードディスク等のコンピュータ読み取り可能な記憶媒体又は記憶装置に格納される。尚、中間的な処理結果はメインメモリ等の記憶装置に一時保管される。

以上の実施例を含む実施形態に関し、さらに以下の付記を開示する。

（付記１）
第１の端末と第２の端末のコネクションにて、前記第１及び第２の端末間で転送された複数のパケット群の各々について、当該パケット群の特徴を表す特徴値を特定し、特定された複数の特徴値のばらつきを表す値を算出する算出部と、
前記算出部が算出した前記値が所定の閾値以上であるか判定する第１判定部と、
を有するネットワーク監視装置。

（付記２）
前記算出部が算出した前記値が前記所定の閾値以上であると判定された場合、前記コネクションの最初のパケットを取得した時刻と、前記コネクションの最後のパケットを取得した時刻との差が、所定時間以上であるか判定する第２判定部と、
前記差が前記所定時間以上であると判定された場合、前記コネクションに関する情報を出力する出力部と、
をさらに有する付記１記載のネットワーク監視装置。

（付記３）
前記算出部は、
前記コネクションの接続元のＩＰアドレスが内部ネットワークのＩＰアドレスであり、前記コネクションの接続先のＩＰアドレスが外部ネットワークのＩＰアドレスであり、且つ前記コネクションの接続先のポート番号がウェブサーバへのアクセスであることを表すポート番号である場合、前記コネクションについて前記ばらつきを表す値を算出する、
付記１又は２記載のネットワーク監視装置。

（付記４）
前記特徴値は、前記パケット群に含まれるパケットの数と、前記パケット群に含まれるパケットのサイズと、前記パケット群と前記パケット群の１つ前のパケット群との間の時間間隔と、前記パケット群に含まれるパケットのデータ部分の内容に関する値との少なくともいずれかを含む
付記１乃至３のいずれか１つ記載のネットワーク監視装置。

（付記５）
前記パケット群と前記パケット群の１つ前のパケット群との間の時間間隔は、前記パケット群の最初のパケットと、前記パケット群の１つ前のパケット群の最初のパケットとの間の時間間隔である、
付記４記載のネットワーク監視装置。

（付記６）
前記コネクションにて転送された各パケットを取得した時刻に基づき、前記複数のパケット群を抽出する抽出部、
をさらに有する付記１乃至５のいずれか１つ記載のネットワーク監視装置。

（付記７）
コンピュータに、
第１の端末と第２の端末のコネクションにて、前記第１及び第２の端末間で転送された複数のパケット群の各々について、当該パケット群の特徴を表す特徴値を特定し、
特定された複数の特徴値のばらつきを表す値を算出し、
算出された前記値が所定の閾値以上であるか判定する、
処理を実行させるネットワーク監視プログラム。

（付記８）
コンピュータが、
第１の端末と第２の端末のコネクションにて、前記第１及び第２の端末間で転送された複数のパケット群の各々について、当該パケット群の特徴を表す特徴値を特定し、
特定された複数の特徴値のばらつきを表す値を算出し、
算出された前記値が所定の閾値以上であるか判定する、
処理を実行するネットワーク監視方法。

１ 監視装置 ３０ スイッチ ３１−３８ 中継装置
５０ 攻撃者端末 ７０−７３ ユーザ端末
９０−９３ サーバ １０１ 取得部
１０２ 抽出部 １０３ 接続パケット抽出部
１０４ トリガパケット抽出部 １０５ トリガ関連パケット抽出部
１０６ コネクションデータ格納部 １０７ 分析部
１０８ 算出部 １０９ 第１判定部
１１０ 第２判定部 １１１ 通知部
１１２ 絞り込み部 １１３ アドレスリスト格納部

Claims (7)

1. 第１の端末と第２の端末のコネクションにて、前記第１及び第２の端末間で転送された複数のパケット群の各々について、当該パケット群の特徴を表す特徴値を特定し、特定された複数の特徴値のばらつきを表す値を算出する算出部と、
   前記算出部が算出した前記値が所定の閾値以上であるか判定する第１判定部と、
   を有するネットワーク監視装置。
2. 前記算出部が算出した前記値が前記所定の閾値以上であると判定された場合、前記コネクションの最初のパケットを取得した時刻と、前記コネクションの最後のパケットを取得した時刻との差が、所定時間以上であるか判定する第２判定部と、
   前記差が前記所定時間以上であると判定された場合、前記コネクションに関する情報を出力する出力部と、
   をさらに有する請求項１記載のネットワーク監視装置。
3. 前記算出部は、
   前記コネクションの接続元のＩＰアドレスが内部ネットワークのＩＰアドレスであり、前記コネクションの接続先のＩＰアドレスが外部ネットワークのＩＰアドレスであり、且つ前記コネクションの接続先のポート番号がウェブサーバへのアクセスであることを表すポート番号である場合、前記コネクションについて前記ばらつきを表す値を算出する、
   請求項１又は２記載のネットワーク監視装置。
4. 前記特徴値は、前記パケット群に含まれるパケットの数と、前記パケット群に含まれるパケットのサイズと、前記パケット群と前記パケット群の１つ前のパケット群との間の時間間隔と、前記パケット群に含まれるパケットのデータ部分の内容に関する値との少なくともいずれかを含む
   請求項１乃至３のいずれか１つ記載のネットワーク監視装置。
5. 前記コネクションにて転送された各パケットを取得した時刻に基づき、前記複数のパケット群を抽出する抽出部、
   をさらに有する請求項１乃至４のいずれか１つ記載のネットワーク監視装置。
6. コンピュータに、
   第１の端末と第２の端末のコネクションにて、前記第１及び第２の端末間で転送された複数のパケット群の各々について、当該パケット群の特徴を表す特徴値を特定し、
   特定された複数の特徴値のばらつきを表す値を算出し、
   算出された前記値が所定の閾値以上であるか判定する、
   処理を実行させるネットワーク監視プログラム。
7. コンピュータが、
   第１の端末と第２の端末のコネクションにて、前記第１及び第２の端末間で転送された複数のパケット群の各々について、当該パケット群の特徴を表す特徴値を特定し、
   特定された複数の特徴値のばらつきを表す値を算出し、
   算出された前記値が所定の閾値以上であるか判定する、
   処理を実行するネットワーク監視方法。

Images