JP2017143434A - 通信監視装置、及び通信監視方法 - Google Patents

Abstract

【課題】通信ネットワークの通常の利用状況を適切に把握し、通信ネットワークの異常の有無を効率よくかつ精度よく検出する。【解決手段】通信監視装置１０は、キャプチャデータ１５１を分析して分析情報１５２を生成し、またキャプチャデータ１５１を分析して判定情報１５３を生成し、判定対象キャプチャデータについて、記憶している他のキャプチャデータ１５１の中から、判定対象キャプチャデータと分析情報１５２が同一又は類似のものを検索し、検索したキャプチャデータ１５１の夫々の判定情報１５３に基づき、通信ネットワーク５が通常であるときに判定情報が取り得る範囲である正常範囲を求める。通信監視装置１０は、例えば、キャプチャ所要時間や、キャプチャデータが生成された時期を示す情報を分析情報１５２とする。【選択図】図３

Description

この発明は、通信監視装置、及び通信監視方法に関する。

特許文献１には、ネットワーク上での不正や異常を検出する通信監視システムに関して記載されている。かかる通信監視システムは、予め定められた測定周期で、ネットワーク装置を通過する通信パケットのトラフィックを測定するトラフィック測定部と、通信パケットから読み出された一種類または複数種類のヘッダ情報を、測定周期毎に統計処理する統計計算部と、トラフィック測定部の測定結果および統計計算部の計算結果を含む複数の特徴項目を有する分析情報を、測定周期毎に作成・保持する分析情報保持部と、当該分析情報保持部が新しい分析情報を作成するたびに、当該分析情報保持部から古い当該分析情報を読み出して蓄積するデータベース部と、当該分析情報保持部が新しい分析情報を作成するたびに、所定の１または複数の特徴項目が当該新しい分析情報と同一性の範囲内にある分析情報をデータベース部から読み出し、読み出された分析情報の他の特徴項目についての正常範囲を統計的に算出し、新しい分析情報の当該他の特徴項目と当該正常範囲とを比較することによって異常の発生を判断する異常有無判定部と、を備える。

特許第３９５７７１２号公報

インターネットやＬＡＮ等の通信ネットワークは、個々の通信機器が共通の通信プロトコルに従ってパケットを送受信することにより成立しており、通信機器間の仕様の違いや誤設定、ソフトウェアの不具合等に因り何らかの異常が生じることがある。こうした異常が発生した際は、通信ネットワークの異常を迅速に検出し、障害要因や障害発生箇所を特定して必要な対策を早急に講じる必要があるが、そのための方法として、通信ネットワークを流れるパケットを取得（以下、パケットキャプチャとも称する。）して蓄積し、これを解析することが行われている。特許文献１におけるトラフィック測定により得られる情報のように、通信ネットワークに何らかの問題が発生したタイミングで取得される情報には、問題の原因となる証跡が含まれていないことがあるが、パケットキャプチャにより取得したパケットを蓄積して保存しておくことで事後的な解析も可能になる。

通信ネットワークの異常の有無は、例えば、通信監視装置が、パケットキャプチャにより取得したパケットに基づき通信ネットワークの状況を監視し、通信ネットワークの状況が通常の利用状況から逸脱しているか否かを調べることにより検出することができる。従って、通信ネットワークの異常を効率よく検出しかつ検出精度を高めるには、通信ネットワークの通常の利用状況を適切に把握することが重要である。

しかし個々の通信ネットワークの設置環境、利用目的、規模、構成、通信ネットワークを利用して行われる業務や企業活動の性質、人間の慣習や生活パターンは様々であり、また個々の通信ネットワークの利用状況は、日時、時間帯、曜日、季節（シーズン）等によって変化する。さらに通信ネットワークがグローバルに展開される場合には、商慣習や生活習慣等の違いによっても通信の利用態様が相違する。このため、個々の通信ネットワークについて、いかなる状況を通常の利用状況とするかを適切に把握することは必ずしも容易ではない。

本発明は、こうした背景に鑑みてなされたもので、通信ネットワークの通常の利用状況を適切に把握し、通信ネットワークの異常の有無を効率よくかつ精度よく検出することが可能な、通信監視装置、及び通信監視方法を提供することを目的としている。

上記目的を達成するための本発明のうちの一つは、通信監視装置であって、プロセッサ、記憶装置、及び通信装置と、通信ネットワークを流れる一つ以上のパケットを予め設定されたデータサイズ分取得する度に、取得した前記データサイズ分の前記パケットを含んだデータであるキャプチャデータを生成して記憶する、キャプチャ処理部と、複数の前記キャプチャデータの夫々について、夫々を分析することにより夫々の特徴を示す情報である分析情報を生成する、分析情報生成部と、複数の前記キャプチャデータの夫々について、夫々を分析することにより、夫々の特徴を示す情報である判定情報を生成する、判定情報生成部と、前記キャプチャデータの一つである判定対象キャプチャデータについて、記憶している他の前記キャプチャデータの中から、当該判定対象キャプチャデータと前記分析情報が同一又は類似のものを検索する、キャプチャデータ検索部と、検索した前記キャプチャデータの夫々について、前記判定情報に基づき、前記通信ネットワークが正常であるときに前記判定情報が取り得る範囲である正常範囲を求める、正常範囲算出部と、前記判定対象キャプチャデータを分析することにより前記判定対象キャプチャデータについて前記判定情報を生成し、生成した前記判定情報が当該判定情報の前記正常範囲を逸脱しているか否かを判定し、前記判定の結果に基づき、前記通信ネットワークの異常の有無を判定する、異常有無判定部と、を備える。

このように本発明の通信監視装置は、キャプチャデータを分析して分析情報を生成し、またキャプチャデータを分析して判定情報を生成し、判定対象キャプチャデータについて、記憶している他のキャプチャデータの中から、判定対象キャプチャデータと分析情報が同一又は類似のものを検索し、検索したキャプチャデータの夫々の判定情報に基づき、通信ネットワークが通常であるときに判定情報が取り得る範囲である正常範囲を求めるので、通信ネットワークの通常の利用状況を適切に把握することができる。そしてこのようにして求めた正常範囲に基づき通信ネットワークの異常の有無を検出することで、通信ネットワークの異常の有無を効率よくかつ精度よく検出することができる。

本発明の他の一つは、上記通信監視装置であって、前記分析情報生成部は、前記キャプチャデータに含まれる前記データサイズ分の前記パケットの取得に要した時間であるキャプチャ所要時間を前記分析情報として生成し、前記キャプチャデータ検索部は、前記判定対象キャプチャデータについて、記憶している他の前記キャプチャデータの中から、当該判定対象キャプチャデータと前記キャプチャ所要時間が同一又は類似のものを検索する。

上記キャプチャ所要時間には通信ネットワークの特徴が現れていることが多く、正常範囲を求める際に用いるキャプチャデータの選択に際し、通信監視装置がキャプチャ所要時間を分析情報として用いることで、通信ネットワークの通常の利用状況を適切に把握して正常範囲を精度よく設定することができる。

本発明の他の一つは、上記通信監視装置であって、前記分析情報生成部は、前記キャプチャデータが生成された時期を示す情報を前記分析情報として生成し、前記キャプチャデータ検索部は、記憶している他の前記キャプチャデータの中から、前記判定対象キャプチャデータと生成された時期が同一又は類似のものを検索する。

正常範囲を求める際に用いるキャプチャデータの選択に際し、キャプチャデータが生成された時期を分析情報として用いることで、通信監視装置は、通信ネットワークの利用態様を考慮しつつ通信ネットワークの通常の利用状況を適切に把握して正常範囲を精度よく設定することができる。

本発明の他の一つは、上記通信監視装置であって、カレンダ情報を記憶し、前記キャプチャデータ検索部は、記憶している前記他のキャプチャデータの中から、前記判定対象キャプチャデータと生成された曜日が一致するものを検索する。

本発明の他の一つは、上記通信監視装置であって、前記通信ネットワークを利用するユーザの営業日を示す情報である営業日情報を記憶し、前記キャプチャデータ検索部は、前記判定対象キャプチャデータが生成された日が営業日である場合、記憶している前記他のキャプチャデータの中から、生成された日が営業日であるものを検索する。

本発明の他の一つは、上記通信監視装置であって、暦とシーズンの対応を示す情報であるシーズン情報を記憶し、前記キャプチャデータ検索部は、記憶している前記他のキャプチャデータの中から、前記判定対象キャプチャデータと生成されたシーズンが一致するものを検索する。

本発明の他の一つは、上記通信監視装置であって、前記通信ネットワークを利用するユーザの営業日を示す情報である営業日情報、及びカレンダ情報を記憶し、前記キャプチャデータ検索部は、前記判定対象キャプチャデータが月末又は月初の所定期間内に生成されたものである場合、記憶している前記他のキャプチャデータの中から、生成された日が営業日であるものを検索し、前記判定対象キャプチャデータが月末又は月初の前記所定期間内に生成されたものでない場合、記憶している前記他のキャプチャデータの中から、生成された曜日が一致するものを検索する。

本発明の他の一つは、上記通信監視装置であって、前記正常範囲算出部は、複数の前記判定情報の夫々について前記正常範囲を求め、前記異常有無判定部は、前記複数の判定情報の夫々について、夫々について求めた前記正常範囲を逸脱しているか否かを判定し、前記正常範囲を逸脱している前記判定情報の数が予め設定された閾値を超えているか否かを判定し、前記判定の結果に基づき、前記通信ネットワークの異常の有無を検出する。

本発明の他の一つは、上記通信監視装置であって、前記正常範囲算出部は、検索した前記キャプチャデータに基づき前記判定情報の標準偏差を求め、求めた標準偏差に基づき前記正常範囲を求める。

本発明の他の一つは、上記通信監視装置であって、前記正常範囲算出部が前記正常範囲を求める際に用いるパラメータを設定するためのユーザインタフェースを提供する設定処理部、をさらに備える。

その他、本願が開示する課題、及びその解決方法は、発明を実施するための形態の欄、及び図面により明らかにされる。

本発明によれば、通信ネットワークの通常の利用状況を適切に把握し、通信ネットワークの異常の有無を効率よくかつ精度よく検出することができる。

通信監視システム１の概略的な構成を示す図である。 通信監視装置１０が備える主なハードウェアを示す図である。 通信監視装置１０が備える主な機能及び通信監視装置１０が記憶する主な情報を示す図である。 分析情報１５２の例を示す図である。 判定情報１５３の例を示す図である。 メイン処理Ｓ６００を説明するフローチャートである。 キャプチャ処理＆分析・警告処理Ｓ６３０の概略を説明するフローチャートである。 パケットキャプチャ処理Ｓ８００を説明するフローチャートである。 分析・警告処理Ｓ９００を説明するフローチャートである。 通信ネットワーク５に異常が生じていると判定した際に通信監視装置１０が送信する電子メールの一例である。

以下、発明を実施するための形態について図面を参照しつつ説明する。

図１に一実施形態として示す通信監視システム１の概略的な構成を示している。同図に示すように、通信監視システム１は、各種の通信装置３０が接続し、当該通信監視システム１の監視対象となる通信ネットワーク５、通信ネットワーク５を流れるパケットを取得（以下、キャプチャもしくはパケットキャプチャとも称する。）する機能を備えたネットワーク機器２０、ネットワーク機器２０が提供する情報に基づき通信ネットワーク５を監視する通信監視装置１０を含む。

通信ネットワーク５は、例えば、ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等の有線又は無線の通信方式の通信ネットワークである。通信装置３０同士は、例えば、ＩＰプロトコル（Internet Protocol）に従ったパケット（ＩＰパケット）を送受信することにより通信ネットワーク５を介して通信する。通信ネットワーク５は、例えば、スイッチングハブ（switching hub）やルータ（Router）等の機器を用いて構成される。通信ネットワーク５は、インターネット等の広域の通信ネットワークに接続するものであってもよい。

通信装置３０は、通信ネットワーク５を介して通信する情報処理装置であり、例えば、パーソナルコンピュータ、携帯情報端末（例えば、スマートフォン、タブレット、携帯電話機、ＰＤＡ（Personal Digital Assistant））等である。

ネットワーク機器２０は、例えば、リピータハブ（repeater hub）やポートミラーリング（port mirroring）機能を備えたスイッチングハブ等であり、監視対象である通信ネットワーク５を流れるパケットを取得（キャプチャ）して通信監視装置１０に送信（転送）する。ネットワーク機器２０は、通信ネットワーク５の構成要素であってもよい。

通信監視装置１０は、ネットワーク機器２０と通信可能となるように接続し、ネットワーク機器２０から送られてくるパケットを受信する。通信監視装置１０は、受信したパケットに基づき通信ネットワーク５の状態を監視する。

尚、ネットワーク機器２０に、通信監視装置１０の全部又は一部の機能を実装してもよい（例えば、ファームウェア（firmware）として実装する）。その場合、ネットワーク機器２０が、例えば、Ｗｅｂページ等をベースとした管理機能を通信ネットワーク５等を介して提供することにより、遠隔した場所からネットワーク機器２０や通信監視装置１０の状態監視やそれらについて各種設定等を行えるようにしてもよい。

＜通信監視装置＞
図２に通信監視装置１０が備える主なハードウェアを示している。通信監視装置１０は、情報処理装置（コンピュータ）として機能するものであり、プロセッサ１１、記憶装置１２、計時装置１３、入力装置１４、出力装置１５、及び通信インタフェース１６を備える。

プロセッサ１１は、例えば、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）を用いて構成されている。記憶装置１２は、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、ＮＶＲＡＭ（Non Volatile RAM）、ハードディスクドライブ、ＳＳＤ（Solid State Drive）等であり、プログラムやデータを記憶する。計時装置１３は、日時情報を生成する装置であり、例えば、ＲＴＣ（Real Time Clock）やタイマＩＣ（Integrated Circuit）を用いて構成される。

入力装置１４は、情報の入力を行うユーザインタフェース（キーボード、マウス、タッチパネル等）である。出力装置１５は、各種の情報をユーザに提供するユーザインタフェースであり、例えば、ＬＣＤ（Liquid Crystal Display）、印字装置等である。通信インタフェース１６は、ＮＩＣ（Network Interface Card）等を用いて構成され、ネットワーク機器２０と有線又は無線により通信する。

図３に通信監視装置１０が備える主な機能及び通信監視装置１０が記憶する主な情報を示している。通信監視装置１０は、オペレーティングシステム１１１、データベース管理システム（以下、ＤＢＭＳ１１２（Data-Base Management System）と称する。）、ＶＰＮ処理部１１３、設定処理部１１４、キャプチャ処理部１２１、分析情報生成部１２２、判定情報生成部１２３、キャプチャデータ検索部１２４、正常範囲算出部１２５、及び異常有無判定部１２６を備える。これらの機能は、プロセッサ１１が、記憶装置１２に格納されているプログラムを実行することにより、もしくは通信監視装置１０が備えるハードウェアにより実現される。

同図に示すように、通信監視装置１０は、キャプチャデータ１５１、分析情報１５２、判定情報１５３、カレンダ情報１５４、シーズン情報１５５、営業日情報１５６、及び設定情報１５７を記憶する。通信監視装置１０は、これらの情報を、例えば、ＤＢＭＳ１１２のデータベースに管理する。

上記機能のうち、オペレーティングシステム１１１は、カーネル、ミドルウェア、ファイルシステム等の機能を含み、通信監視装置１０が備えるハードウェアを抽象化したインタフェース（入力インタフェース、出力インタフェース、通信インタフェース等）をアプリケーションやユーザに提供する。

ＤＢＭＳ１１２は、記憶装置１２の記憶領域を利用してデータベースを提供する。ＤＢＭＳ１１２は、データベースにレコードやテーブル等の管理領域を構成する。ＤＢＭＳ１１２は、データベースへのデータの書き込み、データベースからのデータの読み出し、データベースに書き込まれているデータの削除を行う。またＤＢＭＳ１１２は、データベースに管理されているデータの検索を行い、検索した結果を出力する。

ＶＰＮ処理部１１３は、インターネット等の通信ネットワークを介して、通信監視装置１０から遠隔した場所に存在する他の装置が通信監視装置１０に安全にアクセスするためのインタフェースを提供する。ＶＰＮ処理部１１３は、例えば、ＳＳＨ（Secure SHell）、ＴＬＳ（Transport Layer Security）、ＳＳＬ（Secure Sockets Layer）、ＩＰｓｅｃ（Security Architecture for Internet Protocol）等のプロトコルに従った通信を行う。

設定処理部１１４は、通信監視装置１０が備える各種の機能や通信監視装置１０の動作を定める各種パラメータを設定するためのユーザインタフェースを提供する。設定処理部１１４は、ユーザから受け付けた設定内容を設定情報１５７として記憶する。設定処理部１１４は、例えば、通信に関する設定（ＩＰアドレスの設定、ＤＨＣＰ（Dynamic Host Configuration Protocol）に関する設定、ＶＰＮに関する設定等）、ＤＢＭＳ１１２に関する設定（項目、テーブル構成等の設定）、セキュリティ機能に関する設定（認証情報、ファイヤウォールの動作等の設定）、パケットキャプチャに関する設定（一つのキャプチャファイル（後述）の最大データサイズ、一つのキャプチャファイルに含まれるパケットの最大数、キャプチャファイルの保存期間、キャプチャファイルを削除するタイミング等の設定）、後述する分析情報１５２や判定情報１５３に関する設定、キャプチャデータ検索部１２４が行う検索に関する設定（検索条件の設定、検索方法の設定等）、正常範囲算出部１２５が行う正常範囲の算出方法に関する設定（後述する分析情報１５２の項目毎の標準偏差の算出方法等）、異常有無判定部１２６が行う異常検出に関する設定（異常の有無の判定に用いる各種閾値等）を行うためのユーザインタフェースを提供する。

キャプチャ処理部１２１は、通信ネットワーク５を流れるパケットを取得する。より詳細には、キャプチャ処理部１２１は、ネットワーク機器２０から通信ネットワーク５を流れるパケットを予め設定されたデータサイズ分（例えば、５０Mbyte程度）受信する度に、受信した上記データサイズ分のパケットを含んだデータ（以下、キャプチャデータ１５１と称する。）を生成して記憶する。尚、本実施形態では、キャプチャ処理部１２１は、１つのキャプチャデータを、独立した１つのファイル（以下、キャプチャファイルと称する。）として記憶装置１２に記憶するものとする。

分析情報生成部１２２は、生成したキャプチャデータ１５１を分析することにより、当該キャプチャデータ１５１の特徴を示す情報である分析情報１５２を生成する。分析情報１５２の詳細については後述する。

判定情報生成部１２３は、生成したキャプチャデータ１５１を分析することにより、当該キャプチャデータ１５１の特徴を示す情報である判定情報１５３を生成する。判定情報１５３の詳細については後述する。

キャプチャデータ検索部１２４は、キャプチャデータ１５１の一つである判定対象キャプチャデータについて、記憶している他のキャプチャデータ１５１の中から、当該判定対象キャプチャデータと分析情報１５２が同一又は類似のものを検索する。キャプチャデータ検索部１２４は、例えば、最新（直近）に生成したキャプチャデータ１５１を、判定対象キャプチャデータとする。キャプチャデータ検索部１２４は、分析情報１５２が類似するか否かを、例えば、比較する２つの分析情報１５２の夫々の値（数値、時間等）の差が予め設定された範囲内であるか否かを調べることにより判定する。

正常範囲算出部１２５は、判定情報１５３に基づき、通信ネットワーク５が正常であるときに判定情報１５３が取り得る範囲である正常範囲を求める。

異常有無判定部１２６は、判定対象キャプチャデータを分析することにより判定対象キャプチャデータについて判定情報１５３を生成し、生成した判定情報１５３が正常範囲を逸脱しているか否かを判定し、その結果に基づき、通信ネットワーク５の異常の有無を判定する。

［キャプチャデータ（キャプチャファイル）］
キャプチャデータ１５１（キャプチャファイル）は、一つ以上のパケットの実体を含む。パケットは、例えば、ＴＣＰパケット（トランスポート層のプロトコルとしてＴＣＰ（Transmission Control Protocol）を使用したパケット）、ＵＤＰパケット（トランスポート層のプロトコルとしてＵＤＰ（User Datagram Protocol）を使用したパケット）、ＩＣＭＰパケット（プロトコルとしてＩＣＭＰ（Internet Control Message Protocol）を使用したパケット）、ＡＲＰパケット（プロトコルとしてＡＲＰ（Address Resolution Protocol）を使用したパケット）である。

［分析情報］
分析情報１５２は、例えば、キャプチャデータ１５１から直接的に取得される情報を含む。また分析情報１５２は、例えば、キャプチャデータ１５１に含まれている情報について統計処理等の所定の処理を施すことにより間接的に取得される情報を含む。

図４に、本実施形態の分析情報生成部１２２が生成する分析情報１５２の例を列挙している。以下、同図に示した各分析情報１５２について順に説明する。

ファイル名４１１は、当該分析情報１５２の生成元であるキャプチャデータ１５１（以下、生成元キャプチャデータと称する。）に対応するキャプチャファイルのファイル名である。

パケット数４１２は、生成元キャプチャデータに含まれているパケットの数である。

ファイルサイズ４１３は、生成元キャプチャデータのファイルサイズである。

キャプチャ所要時間４１４は、生成元キャプチャデータに含まれている全てのパケットを取得するのに要した時間（パケットの時間密度）である。キャプチャデータ１５１のデータサイズは一定（例えば、５０Mbyte程度）であるので、キャプチャ所要時間が短い程、通信ネットワーク５に短い時間に多くのデータが流れたことを意味する。

キャプチャ開始時間４１５は、生成元キャプチャデータに含まれているパケットのうち最先に取得されたパケットの取得時間（例えば、当該パケットの取得開始時間）である。

キャプチャ終了時間４１６は、生成元キャプチャデータに含まれているパケットのうち最後に取得されたパケットの取得時間（例えば、当該パケットの取得終了時間）である。

ビットレート（bits/sec）４１７は、生成元キャプチャデータに含まれているパケット（データ）の取得速度の平均値（＝ファイルサイズ４１３／キャプチャ所要時間４１４）である。

パケットレート（packets/sec）４１８は、生成元キャプチャデータに含まれているパケットの取得速度（＝パケット数４１２／キャプチャ所要時間４１４）である。

ＴＣＰパケット数４１９は、生成元キャプチャデータに含まれているＴＣＰパケットの数である。

ＵＤＰパケット数４２０は、生成元キャプチャデータに含まれているＵＤＰパケットの数である。

ＳＭＴＰエラー数４２１は、生成元キャプチャデータに含まれている、ＳＭＴＰエラーに関するパケット（ＳＭＴＰエラーパケット）の数である。

ＲＳＴパケット数４２２は、生成元キャプチャデータに含まれている、ＴＣＰにおける通信においてリセットフラグが立ったパケットであるリセットパケット（ＲＳＴパケット）の数である。

ＴＣＰコネクション数４２３は、生成元キャプチャデータに含まれているＴＣＰパケットから把握されるＴＣＰコネクションの数である。

ＴＣＰゼロウィンドウ数４２４は、生成元キャプチャデータに含まれているＴＣＰパケットから把握されるＴＣＰゼロウィンドウの数である。尚、ＴＣＰゼロウィンドウは受信バッファの枯渇を意味している。

ＴＣＰシーケンス異常数４２５は、生成元キャプチャデータについて、ＴＣＰシーケンスナンバーの異常による不具合の検知数（再送、パケットロス、到着順序の不整合等）である。

ＩＰｖ４プライベートアドレス通信におけるＴＣＰシーケンス異常数４２６は、生成元キャプチャデータに含まれている、ＩＰｖ４プライベートアドレス間で送受信されたパケットから把握されるＴＣＰシーケンス異常の件数である。

ＤＨＣＰアドレス枯渇検出数４２７は、生成元キャプチャデータから把握される、ＤＨＣＰアドレスの枯渇を示す情報を含んだパケットの数である。

ＡＲＰパケットにより検出されたＩＰアドレス重複数４２８は、生成元キャプチャデータに含まれているＡＲＰパケットから把握されるＩＰアドレスの重複数である。

ＵＤＰ／ＴＣＰレート４２９は、生成元キャプチャデータにおける、ＵＤＰパケット数とＴＣＰパケット数との比（＝ＵＤＰパケット数／ＴＣＰパケット数）である。

Ｐ２Ｐファイル共有ソフトの検出数４３０は、生成元キャプチャデータに含まれているパケットから把握される、Ｐ２Ｐファイル共有ソフトに関するパケットの数である。

ファイル共有ソフト異常エラー数４３１は、生成元キャプチャデータに含まれている、通信装置３０のファイル共有サービス(ＳＭＢ（Server Message Block），ＳＭＢ２（Server Message Block version 2）)に関するエラーパケットの数である。

ＤＮＳエラー数４３２は、生成元キャプチャデータに含まれている、ＤＮＳエラーに関するパケットの数である。

ＩＰｖ４プライベートアドレス同士のＨＴＴＰエラー数４３３は、生成元キャプチャデータに含まれている、ＩＰｖ４プライベートアドレス同士のＨＴＴＰエラーに関するパケットの数である。

ＩＣＭＰにおける各種Ｔｙｐｅ／Ｃｏｄｅカウンタ４３４は、生成元キャプチャデータに含まれているＩＣＭＰパケットから把握される、各種Ｔｙｐｅ／Ｃｏｄｅカウンタの数である。

［判定情報］
判定情報１５３は、例えば、キャプチャデータ１５１から直接的に取得される情報を含む。また判定情報１５３は、例えば、キャプチャデータ１５１に含まれている情報や分析情報１５２について統計処理等の所定の処理を施すことにより間接的に取得される情報を含む。

図５に本実施形態の判定情報生成部１２３が生成する判定情報１５３の例を列挙している。また併せて同図には、各判定情報１５３について設定される正常範囲（上限値）１５３１の例を示している。以下、同図に示した各判定情報１５３について順に説明する。

ファイル名５１１は、当該判定情報１５３の生成元であるキャプチャデータ１５１（以下、生成元キャプチャデータと称する。）に対応するキャプチャファイルのファイル名である。

パケット数５１２は、生成元キャプチャデータに含まれているパケットの数である。

ＵＤＰ／ＴＣＰレート５１３は、生成元キャプチャデータに含まれている、ＵＤＰパケット数４２０とＴＣＰパケット数４１９の比（＝ＵＤＰパケット数４２０／ＴＣＰパケット数４１９）である。

ＩＰｖ４プライベートアドレス同士のＨＴＴＰエラー数５１４は、生成元キャプチャデータに含まれている、ＩＰｖ４プライベートアドレス同士のＨＴＴＰエラーに関するパケットの数である。

ネットワーク到達不能のパケット数５１５は、生成元キャプチャデータに含まれている、ネットワーク到達不能のエラーに関するパケット（宛先ホスト到達不能のエラーに関するパケットを除く）の数である。ネットワーク到達不能のエラーを通知するパケットは、例えば、ネクストホップが見つからないときにルータが送出する。ネットワーク到達不能は、通常は深刻なエラーに分類され、正常範囲は狭い範囲に設定される。

宛先ホスト到達不能のパケット数５１６は、生成元キャプチャデータに含まれている、宛先ホスト到達不能のエラーに関するパケット（ネットワークホスト到達不能のエラーに関するパケットを除く）の数である。

ＤＮＳエラー数５１７は、生成元キャプチャデータに含まれている、ＤＮＳエラーに関するパケットの数である。

宛先ネットワーク遮断のパケット数５１８は、生成元キャプチャデータに含まれている、ファイヤウォール装置等で動作するセキュリティソフトウェア等から送信される、宛先のネットワークが遮断されている旨のエラーを示すパケットの数である。

宛先ホスト遮断のパケット数５１９は、生成元キャプチャデータに含まれている、通信装置３０において動作するセキュリティソフトウェア等から送信される、宛先のホストが遮断されている旨のエラーを示すパケットの数である。

送信元抑制のパケット数５２０は、生成元キャプチャデータに含まれている、送信元抑制(Source Quench)を示すＩＣＭＰパケット（ＩＣＭＰタイプ４）の数である。送信元抑制を示すＩＣＭＰパケットは、例えば、ルータ等の機器が、パケットの受信バッファの容量が逼迫した際に送信する。

ＴＣＰコネクション数に対するＲＳＴパケット数５２１は、生成元キャプチャデータにおける、ＲＳＴパケット数とＴＣＰコネクション数との比（＝ＲＳＴパケット数４２２／ＴＣＰコネクション数４２３）である。

ＴＣＰコネクション数に対するシーケンス異常数５２２は、生成元キャプチャデータにおける、ＴＣＰコネクション数４２３とＴＣＰシーケンス異常数４２５との比（＝ＴＣＰシーケンス異常数４２５／ＴＣＰコネクション数４２３）である。

ＴＣＰコネクション数に対するＩＰｖ４プライベートアドレス通信におけるＴＣＰシーケンス異常数５２３は、ＩＰｖ４プライベートアドレス通信におけるＴＣＰシーケンス異常数とＴＣＰコネクション数との比（＝ＩＰｖ４プライベートアドレス通信におけるＴＣＰシーケンス異常数４２６／ＴＣＰコネクション数４２３）である。

トップＴＣＰコネクションの送受信合計データ量５２４は、所定期間中における転送データ量が最大のコネクション（送信元ＩＰアドレス、送信元ポート、宛先ＩＰアドレス、宛先ポートで特定される）により転送されたデータの合計データ量（Mbyte）である。尚、トップＴＣＰコネクションの送受信合計データ量５２４は、時間的に連続する複数のキャプチャデータ１５１を分析することにより把握されることもある。

＜処理説明＞
続いて、通信監視装置１０が行う処理について説明する。

［メイン処理］
図６は通信監視装置１０が行う処理（以下、メイン処理Ｓ６００と称する。）を説明するフローチャートである。以下、同図とともにメイン処理Ｓ６００について説明する。

通信監視装置１０は、ユーザから認証情報の入力を受け付けて認証処理を行う（Ｓ６１１、Ｓ６１２）。認証に成功した場合（Ｓ６１２：ＹＥＳ）、通信監視装置１０は、Ｓ６１３からの処理を行う。

Ｓ６１３では、通信監視装置１０は、ユーザから実行する処理の選択を受け付け、ユーザが選択した処理（設定処理、キャプチャ処理、情報出力処理のいずれか）の実行を開始する（Ｓ６１４）。ユーザが「設定処理」を選択した場合（Ｓ６１４：設定）、通信監視装置１０はＳ６２１からの処理を行う。ユーザが「キャプチャ処理」を選択した場合（Ｓ６１４：キャプチャ）、通信監視装置１０はＳ６３０からの処理を行う。キャプチャ処理＆分析・警告処理Ｓ６３０の詳細については後述する。ユーザが「情報出力処理」を選択した場合（Ｓ６１４：情報出力）、通信監視装置１０はＳ６４１からの処理を行う。

ユーザが「設定処理」を選択した場合（Ｓ６１４：設定）、通信監視装置１０は、まずユーザから設定項目及び設定内容を受け付け（Ｓ６２１，Ｓ６２２）、受け付けた内容を設定情報１５７に反映する（Ｓ６２３）。Ｓ６２４では、通信監視装置１０は、ユーザが「設定処理」の終了操作を行ったか否かを判定する。ユーザが終了操作を行った場合（Ｓ６２４：ＹＥＳ）、処理はＳ６５１に進み、ユーザが終了操作を行っていない場合（Ｓ６２４：ＮＯ）、処理はＳ６２１に戻る。

ユーザが「キャプチャ処理」を選択した場合（Ｓ６１４：キャプチャ）、通信監視装置１０は、パケットキャプチャに関する処理(以下、キャプチャ＆警告・分析処理Ｓ６３０と称する。）を行う。キャプチャ＆警告・分析処理Ｓ６３０の詳細については後述する。キャプチャ＆警告・分析処理Ｓ６３０の終了後、処理はＳ６５１に進む。

ユーザが「情報出力処理」を選択した場合（Ｓ６１４：情報出力）、通信監視装置１０は、ユーザから出力項目を受け付け（Ｓ６４１）、受け付けた項目の情報を取得し（Ｓ６４２）、取得した情報を表示する（Ｓ６４３）。Ｓ６４４では、通信監視装置１０は、ユーザが「情報出力処理」の終了操作を行ったか否かを判定する。ユーザが終了操作を行った場合（Ｓ６４４：ＹＥＳ）、処理はＳ６５１に進み、ユーザが終了操作を行っていない場合（Ｓ６４４：ＮＯ）、処理はＳ６４１に戻る。

Ｓ６５１では、通信監視装置１０は、ユーザが所定の終了操作を行ったか否かを判定する。ユーザが所定の終了操作を行った場合（Ｓ６５１：ＹＥＳ）、処理はＳ６１１に戻り、ユーザが所定の終了操作を行っていない場合（Ｓ６５１：ＮＯ）、処理はＳ６１３に戻る。

［キャプチャ処理＆分析・警告処理］
図７はキャプチャ処理＆分析・警告処理Ｓ６３０の概略を説明するフローチャートである。同図に示すように、通信監視装置１０は、キャプチャ処理＆分析・警告処理Ｓ６３０として、パケットキャプチャ処理Ｓ８００と分析・警告処理Ｓ９００を実行する。尚、パケットキャプチャ処理Ｓ８００と分析・警告処理Ｓ９００は、例えば、夫々が独立したプロセスとしてオペレーティングシステム１１１により実行される。

［パケットキャプチャ処理］
図８はパケットキャプチャ処理Ｓ８００を説明するフローチャートである。以下、同図とともにパケットキャプチャ処理Ｓ８００について説明する。

まず通信監視装置１０は、まずネットワーク機器２０から受信したパケットの実体（以下、パケットデータとも称する。）を格納するファイル（以下、キャプチャファイルとも称する。）のデータを一時記憶するバッファ（以下、ファイルバッファとも称する。）を記憶装置１２に確保する（Ｓ８１１）。

続いて、通信監視装置１０は、ネットワーク機器２０から送られてくるパケットの受信を開始し（Ｓ８１２）、受信したパケットのパケットデータをファイルバッファに順次書き込む（Ｓ８１３）。

通信監視装置１０は、パケットデータをファイルバッファに書き込む際にキャプチャファイルを生成する条件が成立したか否かを判定する（Ｓ８１４）。上記条件は、例えば、ファイルバッファに書き込まれているパケットデータの合計データサイズが予め設定された上限値に達したことである。上記条件が成立した場合（Ｓ８１４：ＹＥＳ）、処理はＳ８１５に進む。上記条件が成立していない場合（Ｓ８１４：ＮＯ）、処理はＳ８１２に戻る。

Ｓ８１５では、通信監視装置１０は、ファイルバッファに蓄積されているキャプチャデータを格納したキャプチャファイルを生成する。続いて、通信監視装置１０は、ファイルバッファの内容を消去（クリア）する（Ｓ８１６）。

Ｓ８１７では、通信監視装置１０は、ユーザ等からパケットキャプチャの停止指示を受け付けたか否かを判定する。パケットキャプチャの停止指示を受け付けた場合（Ｓ８１７：ＹＥＳ）、通信監視装置１０は、パケットキャプチャ処理Ｓ８００を終了する。その後、処理は図６のＳ６５１に進む。パケットキャプチャの停止指示を受け付けていない場合（Ｓ８１７：ＮＯ）、処理はＳ８１２に戻る。

以上に説明したパケットキャプチャ処理Ｓ８００を行うことにより、通信監視装置１０は、一つ以上のパケットを予め設定されたデータサイズ分（例えば、５０Mbyte程度）受信する度にキャプチャファイルが生成される。従って、各キャプチャファイルには、前回キャプチャファイルを生成した後、受信したパケットのデータが上記データサイズに達するまでの間に受信した一つ以上のパケットの実体が格納されることになる。

［分析・警告処理］
図９は分析・警告処理Ｓ９００を説明するフローチャートである。以下、同図とともに分析・警告処理Ｓ９００について説明する。

通信監視装置１０は、分析・警告処理Ｓ９００を実行することにより、パケットキャプチャ処理Ｓ８００によって順次生成されるキャプチャファイルを順次選択し、選択したキャプチャファイルに含まれているパケット分析、選択したキャプチャファイルに基づく通信ネットワーク５に異常が生じているか否かの判定、及び異常が生じていると判定した場合の警告の出力等の処理を行う。

まず通信監視装置１０は、未選択のキャプチャデータ１５１（キャプチャファイル）が記憶装置１２に存在するか否かを判定する（Ｓ９１１）。未選択のキャプチャデータ１５１が存在する場合（Ｓ９１１：ＹＥＳ）、通信監視装置１０はＳ９１２からの処理を開始する。

Ｓ９１２では、通信監視装置１０は、未選択のキャプチャデータ１５１の一つを、判定対象とするキャプチャデータ（以下、判定対象キャプチャデータと称する。）として選択する。

続いて、通信監視装置１０は、判定対象キャプチャデータについて、分析情報１５２及び判定情報１５３を生成して記憶する（Ｓ９１３）。

続いて、通信監視装置１０は、既に記憶している他のキャプチャデータ１５１（キャプチャファイル）の中から、その分析情報１５２が、判定対象キャプチャデータの分析情報１５２と同一又は類似するものを検索する（Ｓ９１４）。

例えば、通信監視装置１０は、記憶している他のキャプチャデータ１５１の中から、判定対象キャプチャデータとキャプチャ所要時間が同一又は類似のものを検索する。

また例えば、通信監視装置１０は、記憶している他のキャプチャデータ１５１の中から、判定対象キャプチャデータと生成された時期が同一又は類似のものを検索する。

また例えば、通信監視装置１０は、記憶している他のキャプチャデータ１５１の中から、判定対象キャプチャデータと生成された曜日が一致するものを検索する。

また例えば、通信監視装置１０は、判定対象キャプチャデータが生成された日が営業日である場合、記憶している他のキャプチャデータ１５１の中から、生成された日が営業日であるものを検索する。

また例えば、通信監視装置１０は、記憶している他のキャプチャデータ１５１の中から、判定対象キャプチャデータと生成されたシーズンが一致するものを検索する。

また例えば、通信監視装置１０は、判定対象キャプチャデータが月末又は月初の所定期間内に生成されたものである場合、記憶している他のキャプチャデータ１５１の中から、生成された日が営業日であるものを検索し、判定対象キャプチャデータが月末又は月初の上記所定期間内に生成されたものでない場合、記憶している他のキャプチャデータ１５１の中から、生成された曜日が一致するものを検索する。

また例えば、通信監視装置１０は、既に記憶している他のキャプチャデータ１５１（キャプチャファイル）の中から、図４に示した分析情報１５２の少なくともいずれかについて、判定対象キャプチャデータの分析情報１５２と同一又は類似するものを検索する。尚、複数の分析情報１５２の夫々について類否を判定する場合は、例えば、個々の分析情報１５２についての類似の度合いを集計した値に基づき総合的に上記類似度を判定する。上記集計に際しては、例えば、個々の分析情報１５２の類似の度合を重み付けしてもよい。

続いて、通信監視装置１０は、検索されたキャプチャデータに基づき、判定情報１５３の標準偏差を算出する（Ｓ９１５）。

続いて、通信監視装置１０は、算出した標準偏差に基づき、判定情報１５３が取り得る範囲である正常範囲を設定する（Ｓ９１６）。例えば、通信監視装置１０は、標準偏差の正負所定倍数以内（（判定情報の平均値）±（標準偏差の所定倍数）の範囲内）を正常範囲とする。尚、ユーザが、設定処理部１１４を介して、標準偏差に基づくどの程度の範囲を正常範囲とするかを設定情報１５７として設定できるようにしてもよい。

続いて、通信監視装置１０は、算出した標準偏差を用い、判定対象キャプチャデータの判定情報１５３の偏差値を算出する（Ｓ９１７）。

続いて、通信監視装置１０は、判定対象キャプチャデータの判定情報１５３のうち、その偏差値が正常範囲を超えているものの数をカウントする（Ｓ９１８）。

続いて、通信監視装置１０は、カウントした値（以下、カウント値とも称する。）が、予め設定された閾値（以下、警告閾値と称する。）を超えているか否かを判定する（Ｓ９１９）。尚、判定情報１５３ごとに重みづけてしてカウントするようにしてもよい。カウント値が警告閾値を超えている場合（Ｓ９１９：ＹＥＳ）、通信監視装置１０は、通信ネットワーク５に異常が発生している旨の警告を出力する（Ｓ９２０）。通信監視装置１０は、例えば、警告を示す画面を出力装置１５に表示する。また例えば、通信監視装置１０は、図１０に例示する電子メール１０００を、通信ネットワーク５の管理者等宛てに送信する。これにより管理者等は、通信ネットワーク５に異常が発生していることを迅速に知ることができる。

尚、図１０に示す電子メール１０００は、ファイル名が「/capture/cap/eth1_capture_12256_20151221204534.cap」というキャプチャファイル（判定対象キャプチャデータ）を分析した結果、通信監視装置１０が当該ファイルに異常が有ると判定して送信したものである。同図において、「Warning 4」は、カウント値が４であることを示す。この例では、例えば、警告閾値が３に設定され、通信監視装置１０が当該ファイルに異常有りと判定している。Packets 44222」及び「Score 70」は、パケット数５１２が「44222」で偏差値が「70」（≧正常範囲（上限値））であることを示している。また「DNS error 6」及び「Score 82」は、ＤＮＳエラー数５１７が「6」で偏差値が「82」（≧正常範囲（上限値））であることを示している。また「Reset rate 69」及び「Score 73」は、ＴＣＰコネクション数に対するＲＳＴパケット数５２１が「69」で偏差値が「73」（≧正常範囲（上限値））であることを示している。また「TCP accumulation is too big 18068307915」は、トップＴＣＰコネクションの送受信合計データ量５２４が「18068307915」（≧正常範囲（上限値））であることを示している。尚、「Conversation '192.168.10.16:58948<->192.168.80.2:445'」は、トップＴＣＰコネクションを特定する情報（送信元ＩＰアドレス、送信元ポート、宛先ＩＰアドレス、宛先ポート）である。

図９に戻り、その後、処理はＳ９２１に進む。カウントした値が警告閾値を超えていない場合（Ｓ９１９：ＮＯ）、処理はＳ９１１に戻る。

Ｓ９２１では、通信監視装置１０は、分析＆警告処理Ｓ９００の停止条件が成立しているか否か（例えば、ユーザが停止操作を行ったか否か）を判定する。停止条件が成立している場合（Ｓ９２１：ＹＥＳ）、通信監視装置１０は、分析＆警告処理Ｓ９００を終了する。その後、処理は図６のＳ６５１に進む。

尚、以上に説明した分析・警告処理Ｓ９００では、キャプチャデータ１５１（キャプチャファイル）そのものを過去のデータとして蓄積しておき、分析・警告処理Ｓ９００が実行される都度、キャプチャデータ１５１（キャプチャファイル）から分析情報１５２及び判定情報１５３を生成するようにしているが、検索効率の向上や記憶資源の有効利用を図るべく、例えば、分析情報１５２及び判定情報１５３のみを予め生成（例えば、図８のパケットキャプチャ処理Ｓ８００の実行時に生成）してＤＢＭＳ１１２に蓄積しておき、分析・警告処理Ｓ９００の実行時にはそれら（ＤＢＭＳ１１２の分析情報１５２及び判定情報１５３）を利用するようにしてもよい。

以上に説明したように、本実施形態の通信監視装置１０は、キャプチャデータ１５１を分析して分析情報１５２を生成し、またキャプチャデータ１５１を分析して判定情報１５３を生成し、判定対象キャプチャデータについて、記憶している他のキャプチャデータ１５１の中から、判定対象キャプチャデータと分析情報１５２が同一又は類似のものを検索し、検索したキャプチャデータ１５１の夫々の判定情報１５３に基づき、通信ネットワーク５が通常であるときに判定情報１５３が取り得る範囲である正常範囲を求めるので、通信ネットワーク５の通常の利用状況を適切に把握することができる。そしてこのようにして求めた正常範囲に基づき通信ネットワーク５の異常の有無を検出することで、通信ネットワーク５の異常の有無を効率よくかつ精度よく検出することができる。

尚、通信ネットワーク５を利用して行われる通信は、人間の活動や人間が操作する機械によって発生するため、慣習や生活パターン、業務や企業活動等に連動して通信ネットワーク５の利用態様には特定のパターンが現れる。通信監視装置１０は、判定対象キャプチャデータと分析情報１５２が同一又は類似の他のキャプチャデータ１５１を検索し、検索したキャプチャデータ１５１の夫々の判定情報１５３に基づき、通信ネットワーク５が通常であるときに判定情報１５３が取り得る範囲である正常範囲を求めるので、上記特定のパターンの類似性を考慮して正常範囲を求めることができ、通信ネットワーク５の異常を精度よく検出することができる。

また通信監視装置１０は、キャプチャデータ１５１から分析情報１５２と判定情報１５３とを独立して生成するので、キャプチャデータ１５１の検索に用いる情報（分析情報１５２）と、正常範囲を求める対象となる情報（判定情報１５３）とを独立して設定することができ、多様なユーザニーズに柔軟に対応することができる。

また通信監視装置１０は、取得した過去のキャプチャデータ１５１を記憶しているので、通信ネットワーク５の異常を検出した場合、キャプチャデータ１５１を事後的に分析することができ、異常の発生前後における通信を詳細に分析することができる。またキャプチャデータ１５１を利用して異常の発生前後における通信を再現（シミュレーション）することも可能であり、通信ネットワーク５に生じている障害を事後的に詳細に検証することができる。

ところで、以上の説明は、本発明の理解を容易にするためのものであり、本発明を限定するものではない。本発明はその趣旨を逸脱することなく、変更、改良され得ると共に本発明にはその等価物が含まれることは勿論である。

１ 通信監視システム
１０ 通信監視装置
２０ ネットワーク機器
３０ 通信装置
１１１ オペレーティングシステム
１１２ ＤＢＭＳ
１１３ ＶＰＮ処理部
１１４ 設定処理部
１２１ キャプチャ処理部
１２２ 分析情報生成部
１２３ 判定情報生成部
１２４ キャプチャデータ検索部
１２５ 正常範囲算出部
１２６ 異常有無判定部
１５１ キャプチャデータ
１５２ 分析情報
１５３ 判定情報
１５４ カレンダ情報
１５５ シーズン情報
１５６ 営業日情報
１５７ 設定情報
Ｓ６００ メイン処理
Ｓ６３０ キャプチャ処理＆分析・警告処理
Ｓ８００ パケットキャプチャ処理
Ｓ９００ 分析＆警告処理

Claims (24)

1. プロセッサ、記憶装置、及び通信装置と、
   通信ネットワークを流れる一つ以上のパケットを予め設定されたデータサイズ分取得する度に、取得した前記データサイズ分の前記パケットを含んだデータであるキャプチャデータを生成して記憶する、キャプチャ処理部と、
   複数の前記キャプチャデータの夫々について、夫々を分析することにより夫々の特徴を示す情報である分析情報を生成する、分析情報生成部と、
   複数の前記キャプチャデータの夫々について、夫々を分析することにより、夫々の特徴を示す情報である判定情報を生成する、判定情報生成部と、
   前記キャプチャデータの一つである判定対象キャプチャデータについて、記憶している他の前記キャプチャデータの中から、当該判定対象キャプチャデータと前記分析情報が同一又は類似のものを検索する、キャプチャデータ検索部と、
   検索した前記キャプチャデータの夫々について、前記判定情報に基づき、前記通信ネットワークが正常であるときに前記判定情報が取り得る範囲である正常範囲を求める、正常範囲算出部と、
   前記判定対象キャプチャデータを分析することにより前記判定対象キャプチャデータについて前記判定情報を生成し、生成した前記判定情報が当該判定情報の前記正常範囲を逸脱しているか否かを判定し、前記判定の結果に基づき、前記通信ネットワークの異常の有無を判定する、異常有無判定部と、
   を備える、通信監視装置。
2. 請求項１に記載の通信監視装置であって、
   前記分析情報生成部は、前記キャプチャデータに含まれる前記データサイズ分の前記パケットの取得に要した時間であるキャプチャ所要時間を前記分析情報として生成し、
   前記キャプチャデータ検索部は、前記判定対象キャプチャデータについて、記憶している他の前記キャプチャデータの中から、当該判定対象キャプチャデータと前記キャプチャ所要時間が同一又は類似のものを検索する、
   通信監視装置。
3. 請求項１又は２に記載の通信監視装置であって、
   前記分析情報生成部は、前記キャプチャデータが生成された時期を示す情報を前記分析情報として生成し、
   前記キャプチャデータ検索部は、記憶している他の前記キャプチャデータの中から、前記判定対象キャプチャデータと生成された時期が同一又は類似のものを検索する、
   通信監視装置。
4. 請求項３に記載の通信監視装置であって、
   カレンダ情報を記憶し、
   前記キャプチャデータ検索部は、記憶している前記他のキャプチャデータの中から、前記判定対象キャプチャデータと生成された曜日が一致するものを検索する、
   通信監視装置。
5. 請求項３に記載の通信監視装置であって、
   前記通信ネットワークを利用するユーザの営業日を示す情報である営業日情報を記憶し、
   前記キャプチャデータ検索部は、前記判定対象キャプチャデータが生成された日が営業日である場合、記憶している前記他のキャプチャデータの中から、生成された日が営業日であるものを検索する、
   通信監視装置。
6. 請求項３に記載の通信監視装置であって、
   暦とシーズンの対応を示す情報であるシーズン情報を記憶し、
   前記キャプチャデータ検索部は、記憶している前記他のキャプチャデータの中から、前記判定対象キャプチャデータと生成されたシーズンが一致するものを検索する、
   通信監視装置。
7. 請求項３に記載の通信監視装置であって、
   前記通信ネットワークを利用するユーザの営業日を示す情報である営業日情報、及びカレンダ情報を記憶し、
   前記キャプチャデータ検索部は、
   前記判定対象キャプチャデータが月末又は月初の所定期間内に生成されたものである場合、記憶している前記他のキャプチャデータの中から、生成された日が営業日であるものを検索し、
   前記判定対象キャプチャデータが月末又は月初の前記所定期間内に生成されたものでない場合、記憶している前記他のキャプチャデータの中から、生成された曜日が一致するものを検索する、
   通信監視装置。
8. 請求項１乃至７のいずれか一項に記載の通信監視装置であって、
   前記正常範囲算出部は、複数の前記判定情報の夫々について前記正常範囲を求め、
   前記異常有無判定部は、前記複数の判定情報の夫々について、夫々について求めた前記正常範囲を逸脱しているか否かを判定し、前記正常範囲を逸脱している前記判定情報の数が予め設定された閾値を超えているか否かを判定し、前記判定の結果に基づき、前記通信ネットワークの異常の有無を検出する、
   通信監視装置。
9. 請求項１乃至８のいずれか一項に記載の通信監視装置であって、
   前記正常範囲算出部は、検索した前記キャプチャデータに基づき前記判定情報の標準偏差を求め、求めた標準偏差に基づき前記正常範囲を求める、
   通信監視装置。
10. 請求項１乃至９のいずれか一項に記載の通信監視装置であって、
    前記正常範囲算出部が前記正常範囲を求める際に用いるパラメータを設定するためのユーザインタフェースを提供する設定処理部、
    をさらに備える、通信監視装置。
11. 請求項１乃至１０のいずれか一項に記載の通信監視装置であって、
    前記分析情報は、パケット数、ファイルサイズ、キャプチャ所要時間、キャプチャ開始時間、キャプチャ終了時間、ビットレート(bits/sec)、パケットレート(in packets/sec)、ＴＣＰパケット数、ＵＤＰパケット数、ＳＭＴＰエラー数、ＲＳＴパケット数、ＴＣＰコネクション数、ＴＣＰゼロウィンドウ数、ＴＣＰシーケンス異常数、ＩＰｖ４プライベートアドレス通信におけるＴＣＰシーケンス異常数、ＤＨＣＰアドレス枯渇検出数、ＡＲＰパケットにより検出されたＩＰアドレス重複数、ＵＤＰ／ＴＣＰレート、Ｐ２Ｐファイル共有ソフトの検出数、ファイル共有ソフトの異常エラー数、ＤＮＳエラー数、ＩＰｖ４プライベートアドレス同士のＨＴＴＰエラー数、及びＩＣＭＰにおける各種Type/Codeのカウンタのうちの少なくともいずれかである、
    通信監視装置。
12. 請求項１乃至１１のいずれか一項に記載の通信監視装置であって、
    前記判定情報は、パケット数、ＵＤＰ／ＴＣＰレート、ＩＰｖ４プライベートアドレス同士のＨＴＴＰエラー数、ネットワーク到達不能のパケット数、宛先ホスト到達不能のパケット数ＤＮＳエラー数、宛先ネットワーク遮断のパケット数、宛先ホスト遮断のパケット数、送信元抑制のパケット数、ＴＣＰコネクション数に対するＲＳＴパケット数、ＴＣＰコネクション数に対するＴＣＰシーケンス異常数、ＴＣＰコネクション数に対するＩＰｖ４プライベートアドレス通信におけるＴＣＰシーケンス異常数、及びトップＴＣＰコネクションの送受信合計データ量のうちの少なくともいずれかである、
    通信監視装置。
13. プロセッサ、記憶装置、及び通信装置とを備えた通信監視装置を用いた通信監視方法であって、
    前記通信監視装置が、
    通信ネットワークを流れる一つ以上のパケットを予め設定されたデータサイズ分取得する度に、取得した前記データサイズ分の前記パケットを含んだデータであるキャプチャデータを生成して記憶するステップ、
    複数の前記キャプチャデータの夫々について、夫々を分析することにより夫々の特徴を示す情報である分析情報を生成するステップ、
    複数の前記キャプチャデータの夫々について、夫々を分析することにより、夫々の特徴を示す情報である判定情報を生成するステップ、
    前記キャプチャデータの一つである判定対象キャプチャデータについて、記憶している他の前記キャプチャデータの中から、当該判定対象キャプチャデータと前記分析情報が同一又は類似のものを検索するステップ、
    検索した前記キャプチャデータの夫々について、前記判定情報に基づき、前記通信ネットワークが正常であるときに前記判定情報が取り得る範囲である正常範囲を求めるステップ、
    前記判定対象キャプチャデータを分析することにより前記判定対象キャプチャデータについて前記判定情報を生成し、生成した前記判定情報が当該判定情報の前記正常範囲を逸脱しているか否かを判定し、前記判定の結果に基づき、前記通信ネットワークの異常の有無を判定するステップ、
    を実行する、通信監視方法。
14. 請求項１３に記載の通信監視方法であって、
    前記通信監視装置が、
    前記キャプチャデータに含まれる前記データサイズ分の前記パケットの取得に要した時間であるキャプチャ所要時間を前記分析情報として生成するステップ、
    前記判定対象キャプチャデータについて、記憶している他の前記キャプチャデータの中から、当該判定対象キャプチャデータと前記キャプチャ所要時間が同一又は類似のものを検索するステップ、
    を更に実行する、通信監視方法。
15. 請求項１３又は１４に記載の通信監視方法であって、
    前記通信監視装置が、
    前記キャプチャデータが生成された時期を示す情報を前記分析情報として生成するステップ、
    記憶している他の前記キャプチャデータの中から、前記判定対象キャプチャデータと生成された時期が同一又は類似のものを検索するステップ、
    を更に実行する、通信監視方法。
16. 請求項１５に記載の通信監視方法であって、
    前記通信監視装置が、
    カレンダ情報を記憶するステップ、
    記憶している前記他のキャプチャデータの中から、前記判定対象キャプチャデータと生成された曜日が一致するものを検索するステップ、
    を更に実行する、通信監視方法。
17. 請求項１５に記載の通信監視方法であって、
    前記通信監視装置が、
    前記通信ネットワークを利用するユーザの営業日を示す情報である営業日情報を記憶するステップ、
    前記判定対象キャプチャデータが生成された日が営業日である場合、記憶している前記他のキャプチャデータの中から、生成された日が営業日であるものを検索するステップ、
    を更に実行する、通信監視方法。
18. 請求項１５に記載の通信監視方法であって、
    前記通信監視装置が、
    暦とシーズンの対応を示す情報であるシーズン情報を記憶するステップ、
    記憶している前記他のキャプチャデータの中から、前記判定対象キャプチャデータと生成されたシーズンが一致するものを検索するステップ、
    を更に実行する、通信監視方法。
19. 請求項１５に記載の通信監視方法であって、
    前記通信監視装置が、
    前記通信ネットワークを利用するユーザの営業日を示す情報である営業日情報、及びカレンダ情報を記憶するステップ、
    前記判定対象キャプチャデータが月末又は月初の所定期間内に生成されたものである場合、記憶している前記他のキャプチャデータの中から、生成された日が営業日であるものを検索するステップ、
    前記判定対象キャプチャデータが月末又は月初の前記所定期間内に生成されたものでない場合、記憶している前記他のキャプチャデータの中から、生成された曜日が一致するものを検索するステップ、
    を更に実行する、通信監視方法。
20. 請求項１３乃至１９のいずれか一項に記載の通信監視方法であって、
    前記通信監視装置が、
    複数の前記判定情報の夫々について前記正常範囲を求めるステップ、
    前記複数の判定情報の夫々について、夫々について求めた前記正常範囲を逸脱しているか否かを判定し、前記正常範囲を逸脱している前記判定情報の数が予め設定された閾値を超えているか否かを判定し、前記判定の結果に基づき、前記通信ネットワークの異常の有無を検出するステップ、
    を更に実行する、通信監視方法。
21. 請求項１３乃至２０のいずれか一項に記載の通信監視方法であって、
    前記通信監視装置が、
    検索した前記キャプチャデータに基づき前記判定情報の標準偏差を求め、求めた標準偏差に基づき前記正常範囲を求めるステップ、
    を更に実行する、通信監視方法。
22. 請求項１３乃至２１のいずれか一項に記載の通信監視方法であって、
    前記通信監視装置が、
    前記正常範囲を求める際に用いるパラメータを設定するためのユーザインタフェースを提供するステップ、
    を更に実行する、通信監視方法。
23. 請求項１３乃至２２のいずれか一項に記載の通信監視方法であって、
    前記分析情報は、パケット数、ファイルサイズ、キャプチャ所要時間、キャプチャ開始時間、キャプチャ終了時間、ビットレート(bits/sec)、パケットレート(in packets/sec)、ＴＣＰパケット数、ＵＤＰパケット数、ＳＭＴＰエラー数、ＲＳＴパケット数、ＴＣＰコネクション数、ＴＣＰゼロウィンドウ数、ＴＣＰシーケンス異常数、ＩＰｖ４プライベートアドレス通信におけるＴＣＰシーケンス異常数、ＤＨＣＰアドレス枯渇検出数、ＡＲＰパケットにより検出されたＩＰアドレス重複数、ＵＤＰ／ＴＣＰレート、Ｐ２Ｐファイル共有ソフトの検出数、ファイル共有ソフトの異常エラー数、ＤＮＳエラー数、ＩＰｖ４プライベートアドレス同士のＨＴＴＰエラー数、及びＩＣＭＰにおける各種Type/Codeのカウンタのうちの少なくともいずれかである、
    通信監視方法。
24. 請求項１３乃至２３のいずれか一項に記載の通信監視方法であって、
    前記判定情報は、パケット数、ＵＤＰ／ＴＣＰレート、ＩＰｖ４プライベートアドレス同士のＨＴＴＰエラー数、ネットワーク到達不能のパケット数、宛先ホスト到達不能のパケット数ＤＮＳエラー数、宛先ネットワーク遮断のパケット数、宛先ホスト遮断のパケット数、送信元抑制のパケット数、ＴＣＰコネクション数に対するＲＳＴパケット数、ＴＣＰコネクション数に対するＴＣＰシーケンス異常数、ＴＣＰコネクション数に対するＩＰｖ４プライベートアドレス通信におけるＴＣＰシーケンス異常数、及びトップＴＣＰコネクションの送受信合計データ量のうちの少なくともいずれかである、
    通信監視方法。