JP4652851B2 - ネットワーク情報収集装置、制御方法およびプログラム - Google Patents

Description

本発明は、ネットワーク上を伝送される情報の収集技術に関する。

従来、イントラネット、インターネットまたは公衆網等のネットワークに接続し、ネットワーク上を流れる情報の一部を取得して解析するネットワークモニタが知られている（特許文献１）。ネットワークモニタは、ＬＡＮアナライザ、パケットモニタ、またはプロトコルアナライザと呼ばれることもある。

とりわけ、イーサネット（登録商標）上を伝送される情報を監視および解析するための機能は、通常ソフトウエアで提供されることが多い。当該ソフトウエアをＰＣにインストールすることでネットワークモニタが実現される。

ところで、インターネットに接続するイントラネットでは、セキュリティの問題が社会的に認識されるようになってきた。すなわち、企業内ユーザが、故意に企業秘密を電子メールに記述して送信するなどして、不法に企業秘密が漏えいしてしまうといった問題が生じている。
特開２００４−２０７９６２号公報

この問題に対して、ネットワークの利用記録を残すためのコンピュータプログラムを、イントラネットに接続される各ＰＣに予めインストールしておき、当該コンピュータプログラムによって取得された利用記録を別途収集して解析することができれば、各ＰＣからのイントラネットの利用が適正かどうか判定することができるだろう。

しかしながら、この方法は、監視対象となる全てのＰＣに上記のコンピュータプログラムをインストールする必要があり、非常に手間がかかる。

さらに、当該コンピュータプログラムが実行されることで各ＰＣのＣＰＵやメモリ等のリソースが消費されてしまうの。そのため、ＰＣの利用者には、通常アプリケーションの処理速度が低下してしまうといった問題が生じる。

そこで、本発明は、このような課題および他の課題の少なくとも１つを解決することを目的とする。なお、他の課題については明細書の全体を通して理解できよう。

本発明によれば、ネットワークにおける監視ポイントを通過するネットワーク情報を外部の情報解析装置において解析させるべく収集するネットワーク情報収集装置であって、特定のプロトコル階層にかかるネットワーク情報を受信する受信ユニットと、受信した前記ネットワーク情報について前記ネットワーク上での伝送時の情報形式を維持した状態で記録する記録ユニットとを含み、前記記録ユニットは、前記ネットワーク情報に含まれるデータのうち重複したデータについては記録を省略することを特徴とするネットワーク情報収集装置が提供される。

本発明によれば、ネットワークにおける監視ポイントを通過するネットワーク情報を収集するネットワーク情報収集装置を提供することにより、企業内ＰＣの全てに特別のコンピュータプログラムをインストールしなくても、好適に、ネットワーク情報を収集することが可能となる。

また、ネットワーク上での伝送時の情報形式を維持した状態でもってネットワーク情報を記録するようにしたので、ネットワーク情報の伝送状況を、後に好適に再現することが可能となる。

さらに、収集したネットワーク情報に関する解析処理は、他の装置において実行するようにしたので、ネットワーク情報収集装置における処理負荷を軽減できる。企業の規模が大きくなればなるほど、監視ポイントを通過するネットワーク情報の数は爆発的に増加するため、ネットワーク情報収集装置を安定して稼動させるためには、可能な限り収集処理に専念させることが好ましいのでである。

以下に本発明の上位概念、中位概念および下位概念の理解に役立つ一実施形態を示す。なお、以下の実施形態に含まれる概念について、そのすべてが特許請求の範囲に記載されているとは限らない。ただし、これは特許発明の技術的範囲から意識的に除外したのではなく、特許発明と均等の関係にあるため特許請求の範囲には記載していない場合があることを理解していただきたい。

また、以下では、ネットワーク情報収集に好適な様々な技術的特徴を個別具体的に説明するが、各技術的特徴は、矛盾がない限り、どのように組み合わせてもよいことはいうまでもない。

＜ネットワーク情報収集システムの概要＞
図１は、実施形態に係るネットワーク情報収集装置が設置されたネットワークの一例を示す図である。イントラネットすなわち企業内ネットワーク１００は、インターネット１０１に対して、ルータ１１０を介して接続されている。インターネット１０１には、ＷＥＢサーバ装置１０２や他のネットワークが接続されている。企業内ネットワーク１００には、メールサーバ１１１、ハブ１１２およびＰＣ１１３が接続されている。

ネットワーク情報収集装置１２０は、監視ポイント１２１を通過するネットワーク情報を収集する。収集したネットワーク情報は、外部の情報解析装置１３０において解析される。情報解析装置１３０は、記録されたログファイルを読み出して解析する解析ユニット（ＣＰＵ、メモリおよび解析処理用のコンピュータプログラム）１３１を備えているものとする。

ネットワーク情報収集装置１２０には、任意のプロトコル階層にかかるネットワーク情報を受信する受信ユニットと、ネットワーク１００上での伝送時の情報形式を維持した状態で当該ネットワーク情報を記録する記録ユニットを備えている。とりわけ、ネットワーク上での伝送時の情報形式を維持した状態でもってネットワーク情報を記録するようにしたので、情報解析装置１３０は、ネットワーク情報の伝送状況を後に正確に再現することが可能となる。なお、任意のプロトコル階層とは、複数あるうちの特定個のプロトコル階層も含む概念である。

本実施形態に係るネットワーク情報収集装置１２０は、監視ポイント１２１に設置されたハブを介して、企業内ネットワーク１００内を伝送されるネットワーク情報を収集する。一般に、イーサネット（登録商標）では、ブロードキャスト形式で情報を伝送しているので、大半の情報を監視ポイントからネットワーク情報収集装置１２０に取り込むことができる。

なお、上記ハブ１１２がスイッチングハブの場合、通常、ネットワーク情報収集装置１２０が全ての情報を入手できないおそれがある。そこで、スイッチングハブが備える複数のポートのうち、ネットワーク情報収集装置が接続されるポートには、全ての情報をコピーして再送信するよう設定しておくものとする。すなわち、当該ポートだけは、通常のハブのように動作することになる。

また、企業内ネットワーク１００が複数のサブネットワークから構成される場合、本実施形態に係るネットワーク情報収集装置をサブネットワークごとに配置することで、企業内ネットワークにおける必要なネットワーク情報情報を好適に記録することが可能となる。

本実施形態によれば、監視ポイント１２１にネットワーク情報収集装置１２０を設置することで、ネットワーク情報を収集するためのコンピュータプログラムをＰＣ１１３の全てにインストールすることなく、ネットワーク情報を好適に収集できるようになる。

なお、ネットワーク情報収集装置１２０の受信ユニット（ＣＰＵ、通信装置およびコンピュータプログラムなど）は、ネットワーク１００上で送信される問い合せ要求を遮断または無視するユニットを含むことが望ましい。なぜなら、ネットワーク１００上でのネットワーク情報収集装置１２０の存在を隠匿することで、悪意のユーザによる情報漏洩の痕跡を収集でき、またネットワーク情報収集装置１２０に対する悪意のユーザによる攻撃を抑止することが可能となろう。もちろん、この隠匿機能はオプションである。たとえば、ネットワーク情報収集装置１２０を隠匿することなく、イントラネット１００を構成するコンピュータ１１３の一台をネットワーク情報収集装置１２０としてもよいことはいうまでもない。

図２は、実施形態に係るネットワーク情報収集装置の例示的なブロック図である。ハブ２１１は、３つのポート２１２ａ、２１２ｂおよび２１２ｃを備えている。ポート２１２ａには、ルータ１１０側へのケーブルが接続されている。ポート２１２ｂには、ネットワーク情報収集装置１２０へのケーブルが接続されている。ポート２１２ｃには、ハブ１１２およびＰＣ１１３へのケーブルが接続されている。

ネットワーク情報収集装置１２０には、ネットワーク情報収集装置１２０の中央演算処理装置として動作するＣＰＵ２０１と、一時的なデータを記憶するためのＲＡＭ２０２と、ブートプログラムや本実施形態に係るネットワーク情報収集プログラムなどを記憶するＲＯＭ２０３と、ハブ２１１から送信されるネットワーク情報を受信する通信装置（ＮＩＣ）２０４と、脱着交換可能な外部記憶装置（ＨＤＤ）２０６を接続するためのインタフェース回路（ＩＦ）２０５などが含まれている。なお、各種の指示やデータを入力するためのキーボードやポインティングデバイス（ＫＢＤ）２０８がネットワーク情報収集装置１２０に含まれてもよい。

外部記憶装置２０６には、収集したネットワーク情報がログ２０７として記録される。なお、ネットワーク情報収集プログラム等を記録するためのハードディスクドライブ等の内部記憶装置がさらに含まれてもよい。ＮＩＣ２０４は、ネットワーク１１０の種類にも依存する装置であり、一般にはイーサネット（登録商標）カードである。なお、ネットワーク情報収集装置１２０の存在を秘匿するには、図２で×印を付したように、ＮＩＣ２０４からネットワーク側に対しては信号を送出しないことが望ましい。ＩＦ２０５は、たとえば、ＵＳＢ、ＩＥＥＥ１３９４またはイーサネット（登録商標）などの通信インタフェース回路である。

ハブ２１１において、ポート２１２ａまたは２１２ｃに到着したネットワーク情報の電気信号はコピーされ、ポート２１２ｂなど他のポートへと再送信される。

ネットワーク情報収集装置１２０は、ポート２１２ｂからの情報をＮＩＣ２０４で受信する。ＮＩＣ２０４は、イーサネット（登録商標）に接続するための一般的な通信機能を有する。なお、通常のＰＣに搭載されたＮＩＣであれば、受信した信号の宛先が、自分のＭＡＣアドレスであるかどうかを判断し、自分のＭＡＣアドレスが宛先となっていれば、その情報をＣＰＵ２０１が処理できるようにＲＡＭ２０２に書き込む。

本実施形態によれば、ネットワーク情報収集装置１２０の目的は、ネットワーク１００を流れている全ての情報を収集して記録することにあるので、ＮＩＣ２０４は、自己のＭＡＣアドレスの如何にかかわらず、全てのネットワーク情報を収集してＲＡＭ２０２に記録する。このようにＮＩＣ２０４を動作させる方法は、いくつか存在するが、１つは、プロミスキャスモードに設定することである。プロミスキャスモードとは、自分宛てのパケットだけでなく、他人宛てのパケットまでも取り込んでしまうモードであり、自分宛てのパケットだけを取り込む通常モードとは区別される概念である。ＮＩＣ２０４は、バス２０９を経由してＲＡＭ２０２に情報を転送する。

ＮＩＣ２０４が取り込む情報は、通常、レイヤ２のフレーム情報である。一方、レイヤ３のパケット情報は、フレームのデータ部に格納されている。そこで、受信した情報をＲＡＭ２０２に記録する際には、フレーム単位、あるいはパケット単位で記録する。これらの情報の記録が完了したことは、割り込み処理などでＣＰＵ２０１に通知される。

ネットワーク情報収集装置１２０として動作するためのコンピュータプログラムは、予めＲＯＭ２０３からＲＡＭ２０２にロードされており、ＣＰＵ２０１は、その指示に従って動作する。ＮＩＣ２０４からフレームあるいはパケットの受信完了の通知があると、ＣＰＵ２０１は、当該プログラムの手順に従って、ＲＡＭ２０２からネットワーク情報を読み出して、ログファイル２０７を作成し、作成したログファイル２０７を外部記憶装置２０６へと記録する。

外部記憶装置２０６は、ハードディスクドライブ、ＤＶＤドライブ、ＣＤ−Ｒドライブ、またはＵＳＢメモリなど、情報の記録が可能であればどのような記録装置であってもよい。また、本実施形態に係るネットワーク情報収集装置１２０は、一ヶ月などの所定期間にわたって連続してネットワーク情報を収集することが望まれる。そのため、外部記憶装置２０６の空き容量が所定の閾値以下となった場合には、他の外部記憶装置に交換することで、ネットワーク情報の記録を継続できなければならない。

さらに、情報解析装置１３０においてログファイル２０７を解析する際には、できるだけ簡単な方法でログファイル２０７を情報解析装置１３０に与えなければならない。そのためには、外部記憶装置２０６をネットワーク情報収集装置１２０から取り外して、情報解析装置１３０に接続できるようにすることが望ましい。

このような事情から外部記憶装置２０６は脱着交換可能な記録媒体であることが望ましい。とりわけ、ＵＳＢインタフェースやＩＥＥＥ１３９４インタフェースを備えたハードディスクドライブであれば、脱着が容易であり、かつ、ネットワーク情報収集装置１２０が稼動中であっても交換できるので、とりわけ便利であろう。

外部記憶装置２０６へのネットワーク情報の記録は、ログファイル２０７を作成することで実施する。ログファイル２０７には、ネットワーク１００上での伝送時の情報形式を維持した状態で記録される。ＣＰＵ２０１は、日時情報など後の解析処理で必要となる付加情報もログファイル２０７に記録してもよい。

ログファイル２０７は、企業内ネットワーク１００が正常に運用されていたことを記録に残すための手段である。企業内ネットワーク１００に外部から侵入が発生したような場合、あるいは企業内のＰＣ１１３により企業内の機密情報が意図的に外部に漏れた兆候が見られた場合には、ログファイル２０７の記録を調べることで、これら不都合の有無を確認することができよう。

＜伝送時の情報形式を維持した状態でのネットワーク情報の収集＞
次に、任意のプロトコル階層についてのネットワーク情報に編集処理などを加えずに伝送時の情報形式のまま記録するネットワーク情報収集方法の詳細について説明する。

図３は、実施形態に係るネットワーク情報の収集処理の概念を説明するための図である。図３において企業内ネットワーク１００を流れるネットワーク情報の一例として、第１のフレーム３０１と、第２のフレーム３０２とが例示されている。第１のフレームおよび第２のフレームは、通常、ルータ１１０を経由してインターネット１０１に伝送されるものと仮定する。

図４は、実施形態に係るネットワーク情報収集方法の例示的なフローチャートである。このネットワーク情報収集方法は、ネットワーク情報収集装置１２０において実行されるネットワーク情報収集プログラム（ネットワークモニタ）の処理手順に関するものである。

ステップＳ４０１において、ネットワーク情報収集装置１２０のＣＰＵ２０１は、ＮＩＣ２０４を制御し、任意（全てまたは一部）のプロトコル階層に係るネットワーク情報を受信する。たとえば、ネットワーク１００上を伝送される第１のフレーム３０１および第２のフレーム３０２を、ハブ２１１を経由して受信する。受信したフレームは一旦ＲＡＭ２０２に記憶される。

ステップＳ４０２において、ＣＰＵ２０１は、ログファイル２０７を作成する。たとえば、ＣＰＵ２０１は、受信したフレームらをＲＡＭ２０２から読み出して、受信したフレームに編集処理などを加えることなく、すなわち伝送時の情報形式を維持した状態でログファイル２０７に格納してゆく。

ステップＳ４０３において、ＣＰＵ２０１は、作成したログファイル２０７を、ＩＦ２０５を経由して外部記憶装置に記録する。

なお、ステップＳ４０２とＳ４０３は実質的に１つのステップと考えてもよい。なぜなら、外部記憶装置１０６のログファイル２０７に対して、受信したフレームをアペンド（追記）して行く場合は、ログファイル２０７の作成と記録は同時に行われていると考えられるからである。

ところで、ＣＰＵ２０１は、ネットワーク情報（第１のフレームなどの情報）以外に、各ネットワーク情報を入手したときの日時情報や当該フレームのヘッダ情報などの付加情報３０１をログファイル２０７に格納してもよい。なお、付加情報３０１は、ネットワーク情報とは明確に区分される形式で記録されることが望ましい。これは、後の情報解析装置１３０における解析処理を円滑に行うためである。

以上説明したように、本実施形態によれば、ネットワーク情報収集装置１２０の主な機能を、ネットワーク情報の収集と記録に必要となる最低限の機能に限定することで、収集したネットワーク情報の解析処理は、別のＰＣなどの情報解析装置１３０に任せるようにしている。これにより、情報収集時におけるＣＰＵ２０１の処理負荷が軽減される。

さらに、収集されたネットワーク情報を元に、ネットワーク動作の再現シミュレーションを実行すれば、ネットワーク情報を収集したときの事象を調べることが可能となろう。従来のネットワークモニタは、リアルタイムでネットワーク情報を取得して解析することはできたが、ネットワーク情報を伝送時の情報形式を維持した状態で記録してはいなかった。そのため、後にネットワーク情報を好適に再現することができなかった。それに対して、本実施形態では、伝送時の情報形式を維持した状態でネットワーク情報を記録媒体に記録するようにしたので、企業内ネットワーク１００におけるネットワーク情報の伝送状況を、後に好適に再現することが可能となる。

また、各ネットワーク情報を入手したときの日時情報やフレームのヘッダ情報などを付加情報３０１としてログファイル２０７に格納すれば、後の情報解析装置１３０におけるネットワーク情報の解析処理が円滑に行えるようになろう。

＜特定のプロトコル階層を指定したネットワーク情報の収集＞
上述の実施形態では、たとえば、全てまたは一部のプロトコル階層についてのネットワーク情報に編集処理などを加えずに、伝送時の情報形式のまま記録することができる。しかしながら、全てのネットワーク情報を記録すれば、ネットワーク情報の解析処理が煩雑になり、情報解析装置１３０の処理速度が遅くなる。もちろん、ネットワーク情報収集装置の処理負荷も重くなる。一方で、解析の目的によっては、特定のプロトコル階層に関するネットワーク情報だけ収集すれば十分な場合もある。

そこで、本実施形態では、指定した特定のプロトコル階層についてのネットワーク情報を収集する処理について説明する。

一般に、ネットワーク情報は、複数のプロトコルに応じて階層化された構造を有している。すなわち、上位のプロトコル層（上位層）のフレーム（プロトコルに依存して、パケットまたはセグメントと呼ばれることもある。）を内包する形で下位のプロトコル層（下位層）のフレームが形成されている。すなわち、下位層のフレームのデータ部（ペイロード部）には、上位層のフレームが搭載されている。たとえば、ＩＰパケットには、より上位のプロトコル層のデータであるＴＣＰセグメントが内包されている。

図５は、実施形態に係る他のネットワーク情報収集方法の例示的なフローチャートである。

ステップＳ５０１において、ＣＰＵ２０１は、入力装置２０８から入力される、特定のプロトコル階層の指定指示を受け付ける。なお、
この指定処理は、ログファイル２０７に対して記録するネットワーク情報の記録形式を指定するものと考えてもよい。たとえば、入力装置２０８からフレームレベルが指定されると、ＣＰＵ２０１は、ログファイル２０７にフレーム形式でネットワーク情報を記録する。ＩＰパケットレベルが指定されると、ＣＰＵ２０１は、フレームのデータ部分、つまりＩＰパケットをネットワーク情報としてログファイル２０７に記録する。なお、指定されたデータ以外のフレームデータは記録を省略する。

ステップＳ５０２において、ＣＰＵ２０１は、指定されたプロトコル階層に係るネットワーク情報をＮＩＣ２０４によって受信する。実際には、ＮＩＣ２０４は、ネットワーク１００を伝送される全てのプロトコル階層に係るネットワーク情報を受信することになっているが、本実施形態では、指定されたプロトコル階層に係るネットワーク情報だけをＲＡＭ２０２に転送するように制御される。もちろん、ＲＡＭ２０２には、全てのネットワーク情報を取り込み、ＣＰＵ２０１が、指定されたプロトコル階層に係るネットワーク情報だけをログファイル２０７に格納するよう制御してもよい。いずれの場合も、指定されたプロトコル階層に係るネットワーク情報の受信処理と観念できよう。

ところで、通常、ＮＩＣ２０４には、ファームウエアを含む小規模な処理ロジックが搭載されている。上述したように、ＮＩＣ２０４は、そのファームウエアに従って、自分のＭＡＣアドレス宛のネットワーク情報を識別して取り込み、それ以外のネットワーク情報は廃棄するように動作する。また、ＮＩＣ２０４は、受信したフレームのデータ部だけ、つまりＩＰパケットをＲＡＭ２０２に転送する。なお、ファームウエアの動作は、ＮＩＣ２０４を制御するドライバプログラムによって定義することが可能である。

そこで、本実施形態では、ＮＩＣ２０４のドライバプログラムを介して、ＮＩＣ２０４のファームウエアに対してプロトコル階層を指定することにより、ネットワーク情報収集装置は、フレーム、ＩＰパケット、セグメントまたはさらに上位のネットワーク情報をログファイル２０７に記録することができるようになる。

ステップＳ５０３において、ＣＰＵ２０１は、指定されたプロトコル階層に係るネットワーク情報をＲＡＭ２０２から読み出し、伝送時の情報形式を維持した状態で、ログファイル２０７を作成する。

ステップＳ５０４において、ＣＰＵ２０１は、作成したログファイル２０７を、ＩＦ２０５を経由してＨＤＤ２０６に記録する。なお、ステップＳ５０３とＳ５０４は、実質的に１つのステップと考えてもよいことは上述したとおりである。

以上説明したように、本実施形態によれば、指定した特定のプロトコル階層についてのネットワーク情報を収集するようにしたので、解析に必要となる情報だけを効率よく収集できる。これにより、ネットワーク情報収集装置１２０の処理負荷が軽減されよう。とりわけ、必要なネットワーク情報だけが解析装置１３０に付与されるようになるので、解析装置１３０の処理負荷が軽減されよう。また、外部記憶装置（ＨＤＤ２０６）の記憶容量を節約できるであろう。

＜ネットワーク情報収集装置の秘匿＞
本実施形態では、ネットワーク情報収集装置を秘匿する技術について説明する。

一般に、企業内ネットワークに接続されたパソコンなどの端末装置は、自己の存在を知らせるために、ＭＡＣアドレスなどの問合せに対して応答する機能を備えている。この代表例が、ＡＲＰプロトコルである。インターネット１０１からＩＰパケットが到着すると、ルータ１１０は、当該ＩＰパケットを届けるためにＩＰパケットに記録されているＩＰアドレスを探索する。その際に、ルータ１１０は、ＡＲＰ問い合せを企業ネットワーク１００に対してブロードキャストし、該当のＩＰアドレスを有する端末装置からのＡＲＰ応答を待つ。通常は、ＡＲＰ問い合せにおいて指定されたＩＰアドレスを所有するパソコンが、自己のＭＡＣアドレスを搭載したＡＲＰ応答を返信する。ルータ１１０は、ＩＰパケットをフレームのデータ部に搭載し、ＡＲＰ応答に含まれているＭＡＣアドレスを宛先として当該フレームを転送する。

同様に、ＮＩＣは、ＰＩＮＧに対しても自動的に応答するのが通常である。ＰＩＮＧプロトコルは、企業内ネットワーク接続された端末装置がアクティブ状態であるかどうかを他のコンピュータから問い合わせるために利用されるプロトコルである。とりわけ、インターネットで問題視されているワームの中には、このＰＩＮＧプロトコルを悪用して、コンピュータを誤動作させるものがある。

このような問い合せに対して、ネットワーク情報収集装置１２０のＮＩＣ２０４が通常どおり応答を返してしまうと、ネットワーク情報収集装置１２０がネットワーク１００内に存在することが露呈してしまう。露呈してしまえば、ワームの攻撃対象となるなどの不具合が発生する。

そこで、本実施形態では、ＡＲＰ、ＰＩＮＧ、あるいはその他の同様なプロトコルに対する問い合せ要求を遮断または無視する技術について説明する。これにより、企業内ネットワーク１００におけるネットワーク情報収集装置１２０の存在を秘匿することができ、最終的には、ワームなどによる破壊活動から防御することが可能になる。

図６は、実施形態に係るネットワーク情報収集装置の秘匿技術について説明する図である。この例では、ＡＲＰプロトコルについて示している。

ルータ１１０からブロードキャストされたＡＰＲ問い合せは、ハブ２１１およびハブ１１２を経由して、各ＰＣ１１３に到達する。一方、ハブ２１１において、ＡＰＲ問い合せが、ネットワーク情報収集装置１２０に対しても送信される。また、ＮＩＣ２０４には、ユニークなＭＡＣアドレスが割り振られているものとする。

一般に、ＡＲＰ問い合せがＰＣ１１３のＩＰアドレスを指定しているのであれば、ＰＣ１１３は、自分宛のＡＲＰ問い合せであると判断し、自己のＮＩＣに割り当てられたＭＡＣアドレスを含むＡＲＰ応答をルータ１１０に送信する。一方、ＡＲＰ問い合せがＰＣ１１３のＩＰアドレスと異なる場合には、ＰＣ１１３は、ＡＲＰ応答を送信することはない。

一方、ネットワーク情報収集装置１２０は、他の装置宛てのＡＰＲ問い合せだけでなく、自分宛てのＡＲＰ問い合せについてもＡＲＰ応答を返信しないように制御される。たとえば、ＮＩＣ２０４のファームウエアまたはＣＰＵ２０１は、ＡＲＰ問い合せまたはＰＩＮＧなど、ネットワーク情報収集装置１２０の存在を露呈させてしまうような問い合せ要求を受信したと判定すると、当該問い合わせ要求を無視することで、ＮＩＣ２０４が応答を返さないように制御する。

なお、ハブ２１１が、ネットワーク情報収集装置１２０の接続されたポートにＡＲＰ問い合せやＰＩＮＧ等を送出しないように制御してもよい。これにより、当該ポートへの問い合せが遮断されることになる。

このような遮断処理を実行しない場合にも、次の方法により同様の効果が得られる。ネットワーク情報収集装置１２０から送信されてきた応答を当該ポートにおいて受信した場合に、ハブ２１１は、当該応答を遮断し、他のポートへと送出しないように制御する。極端な場合、ネットワーク情報収集装置１２０が接続されたポートは、ネットワーク情報収集装置１２０に対して信号の送出のみ行い、ネットワーク情報収集装置１２０からの信号は遮断するように構成してもよい。

以上説明したように、本実施形態によれば、ネットワーク上で送信される問い合せ要求を遮断または無視するユニットを設けることで、ネットワーク１００上でのネットワーク情報収集装置１２０の存在を隠匿することが可能となる。これにより、ワーム等の攻撃からネットワーク情報収集装置１２０を防御することが可能となろう。

＜ネットワーク情報を連続収集するための好適な技術＞
本実施形態では、ネットワーク情報の収集および記録を、可能な限りノンストップで実行するための技術を提案する。

従来のネットワークモニタは、瞬時のネットワーク情報を収集して解析することを目的としており、たとえば、１月間連続運転してネットワーク情報を瞬断なく記録することができなかった。

しかしながら、過去のネットワーク情報に基づいて、ネットワーク情報の収集時の状況を正確に再現するためには、できる限り長期間の連続したネットワーク情報が必要となることが多い。

ところで、端末装置が数百程度しか存在しない比較的小規模の企業内ネットワークにおいて流通する情報を一日記録すると、その際のログファイルのサイズは、たとえば、５ギガバイト程度となる。この場合、１月間のネットワーク情報を全て記録するには、外部記憶装置２０６の記憶容量は１００ギガバイト以上でなければならないだろう。ところが、外部記憶装置２０６の記憶容量が４０ギガバイトしかないと、記録期間（１月）の途中で記録不可能になってしまう。

この場合には、他の外部記憶装置へと交換することで、残りの記録期間についてもネットワーク情報を記録可能となろう。このように外部記憶装置２０６の交換が必要な状況では、外部記憶装置２０６の脱着交換が容易でなければならない。

さらに、外部記憶装置２０６を脱着交換したとしても、ネットワーク情報が欠落することなくログファイル２０７に記録されなければならない。また、外部記憶装置２０６の交換時期を適切なタイミングでユーザに通知することで、交換を促進する必要もある。そこで、本実施形態では、これらの課題の少なくとも１つを解決する技術を提案する。

図７は、実施形態に係る他のネットワーク情報収集装置の例示的なブロック図である。既に説明した個所には同一の参照符号を付すことで説明の重複を回避する。

図８は、実施形態に係る他のネットワーク情報収集処理の例示的なフローチャートである。ステップＳ８０１において、ＣＰＵ２０１は、外部記憶装置２０６の空き容量を取得し、空き容量が所定の閾値以下か否かを判定する。この閾値は、新しい外部記憶装置の交換処理に必要となる時間を考慮して決定される。もし、閾値と外部記憶装置２０６との最大記憶容量が近接していると、外部記憶装置の交換が間に合わず、いくつかのネットワーク情報を記録し損ねてしまう。そのため、閾値は、ある程度余裕を持った値とすることが望ましい。例えば、１００ギガバイトの外部記憶装置であれば、閾値を９８ギガバイトにするが如くである。判定の結果、閾値以下であれば、ステップＳ８０２に進む。

ステップＳ８０２において、ＣＰＵ２０１は、表示装置７２０に外部記憶装置の交換を促進するためのメッセージを表示する。これにより、外部記憶装置の交換が促進されることになる。

ステップＳ８０３において、ＣＰＵ２０１は、遅くとも外部記憶装置の交換が開始される前に、外部記憶装置２０６へのログファイル２０７の書き込みを停止する。

ステップＳ８０４において、ＣＰＵ２０１は、受信したネットワーク情報に関する暫定ログファイル７１０をＲＡＭ２０２に記憶しておく。

ステップＳ８０５において、ＣＰＵ２０１は、新しい外部記憶装置７０６に対して記憶可能となるまで待機する。

ステップＳ８０６において、ＣＰＵ２０１は、暫定ログファイル７１０をＲＡＭ２０２から読み出し、記憶可能となった外部記憶装置７０６にログファイル７０７として書き込む。

なお、ＩＦ２０５がＵＳＢインタフェースであれば、通常複数のＵＳＢポートが存在するので、脱着可能な外部記憶装置を複数接続することもできる。この場合、外部記憶装置２０６の空き容量が閾値を超えると、ＣＰＵ２０１は、外部記憶装置７０６に対してログファイル２０７を記録し始める。その際に、ＣＰＵ２０１は、空き容量の少ない外部記憶装置２０６の交換を促進するためのメッセージを表示装置７２０に表示してもよい。

以上説明したように、本実施形態によれば、外部記憶装置の空き容量を監視し、空き容量が所定閾値以下となると、外部記憶装置の交換を促進する促進ユニットが実現される。

さらに、本実施形態によれば、外部記憶装置２０６の交換作業の間に受信されたネットワーク情報を一時的にＲＡＭ２０２に記憶しておき、外部記憶装置２０６の交換が終了すると、ＲＡＭ２０２に記憶されているネットワーク情報を、交換後の外部記憶装置２０６へと書き込むようにした。これにより、企業内ネットワーク１００を流れるネットワーク情報を漏れなく、かつ、長期間に渡って連続して収集することが可能となる。

＜ログファイルの分割＞
上述の実施形態では、外部記憶装置の交換に伴い、ログファイルが複数に分割されるものであった。一方、１つの外部記憶装置においても、ログファイルを複数に分割してもよい。たとえば、所定時間（１日など）ごと、または所定サイズ（１０メガバイト）ごとにログファイルを分割するが如くである。このようにログファイルを分割しておけば、解析処理の効率が向上する。

より具体的には、大規模なデータを一つのファイルに記録してしまうと、現在のコンピュータシステムでは、ファイルのアクセス利用効率が極端に低下してしまう。なぜなら、ファイルの読み込みなどの処理に、ファイルサイズに応じて累積的にＣＰＵの処理時間が増大するからである。よって、ログファイルを適宜分割しておくことは利点が多い。

たとえば、ネットワーク情報収集装置１２０において、それぞれ一日単位で異なるファイル名が付与された複数のログファイルを記録すれば、一月では３０のログファイルが作成されることになる。またネットワーク情報が多いときは、１時間単位でログファイルを分割してもよい。この場合は、一日で２４ファイルが作成されることになるし、３０日では７２０ファイルが作成されることになる。

このように、ログファイルを複数に分割する際には、各ログファイルがどのような順番で取得されたものであるかを把握できるようにしておかないと、情報解析処理が煩雑となる。特に、あるネットワーク情報が複数のログファイルにまたがって記録されてしまうと、解析処理が滞ってしまうことも考えられる。

この問題の解決方法としては、各ログファイルの前後関係を識別するための順序情報を付加することであろう。ここでいう前後関係とはネットワーク情報の受信順序である。

そこで、本実施形態では、ログファイルの分割技術と、その際における情報の連続性を保障する技術とを提案する。

図９は、実施形態に係るネットワーク情報収集装置の例示的なブロック図である。収集されたフレームは、ＲＡＭ２０２に収集フレーム情報９０１として記憶される。収集フレーム情報９０１には、複数のＰＣ１１３のそれぞれに関するフレーム９０２、９０３が混在して記録されている。

ネットワーク情報収集装置１２０は、ログファイル２０７の記録を中断なく長時間継続するため、特定の条件で記録中のログファイルから新しいフログァイルに切り替える必要がある。まず、ＣＰＵ２０１は、ＲＡＭ２０２に一時的に記録されている収集フレーム情報９０１を、外部記憶装置２０６のログファイル９１１に順次追記してゆく。その後、ＣＰＵ２０１は、特定の条件が発生したとき（たとえば、日時が切り替わったり、ログファイルのサイズが所定の閾値を超えたりしたときなど）に、今まで記録していたログファイル９１１への記録を停止し、新しいログファイル９２１を作成してそこへ収集フレーム情報９０１を追記する。

ログファイル９１１およびログファイル９２１の各ファイル名には、前後関係が明確に分かるようなファイル名を付与することが望ましい。たとえば、ＣＰＵ２０１は、タイマーから日時情報を取得し、取得した日時情報をファイル名に反映させてもよい。より具体的には、ログファイル９１１のファイル名を「２００４１２０３１８００」とし、ログファイル９２１のファイル名を「２００４１００３１９００」とするが如くである。これにより、年月日時刻などを容易に判定できるため、複数のログファイル間における記録の前後関係も容易に把握できるようになる。

代替的に、ＣＰＵ２０１は、各ログファイルのファイル名に一連番号を付与してもよい。たとえば、８ビットで循環するモジュロ演算を利用すると仮定すれば、０から１０２３までの数値を順にファイル名として付与し、１０２３の次はモジュロのルールに従って０に戻るようにする。これにより、一連のログファイルについて、ファイル名から記録時刻に関する前後関係を容易に把握することができる。

なお、収集された各フレーム９０２や９０３についても収集時刻の前後関係を把握できるようにするために、ＣＰＵ２０１は、収集された各フレームについて、それぞれ付加情報９０５を追加してもよい。付加情報９０５は、各フレームの収集時刻の前後関係を示す情報が含まれることになる。たとえば、上述の年月日時刻などの情報、もしくは連続番号などの如くである。連続番号を付与する具体例を説明する。各フレームに対し、連続番号として８ビットのモジュロ番号を付与する場合には、１００、１０１、１０２、１０３と順に付加情報が付与されることになる。

図のライン９０４の時点で、ログファイルを切り替えるための条件が発生したとする。すなわち、連続番号「１０２」を付与した後であって、連続番号「１０３」を付与する前に当該切り替え条件が満たされたとする。この場合、ログファイル９１１に含まれるフレーム９１３への付加情報９１２は「１０２」で終了することになる。一方、その後のログファイル９２１に含まれるフレーム９２３への付加情報９２２は「１０３」以降の連続番号が順次付与されることになる。

以上説明したように本実施形態によれば、ログファイルを複数のファイルに分割することで、解析処理の効率化を図れるようになる。さらに、ログファイル間の前後関係や、ログファイルに含まれるネットワーク情報の前後関係についても、ファイル名や付加情報によって保持するようにしたので、各情報間の前後関係を一意に識別可能となる。

＜収集したネットワーク情報の暗号化＞
本実施形態では、収集したネットワーク情報に暗号化処理を施して記録する技術を提案する。一般に、企業ネットワーク１００を伝送されるフレームやパケットには、重要な機密情報が含まれている可能性もある。もし、上述のログファイルが、正当な所有者以外の組織や人に渡ってしまうと、機密情報などが外部に漏れることになる。そこで、本実施形態では、暗号化を施すことで、復号化の手順を知らない第三者が、ログファイルにアクセスしたとしても容易に解読できないようにする。

図１０は、実施形態に係る暗号処理を実行するネットワーク情報収集装置の例示的なブロック図である。なお、既に説明した個所には同一の参照符号を付すことで、重複した説明を回避している。

ＣＰＵ２０１は、暗号化キー１００１と所定の暗号化アルゴリズムとを使用し、収集フレーム情報９０１の各フレーム９０２と各付加情報９０５とを暗号化し、暗号化ネットワーク情報１００２を生成する。ＣＰＵ２０１は、生成した暗号化ネットワーク情報１００２をログファイル２０７に追記してゆく。

なお、暗号化処理で使用される暗号化キー１００１は、入力装置２０８から入力されてもよい。また、暗号化キー１００１やこれに対応する復号化キーは、外部記憶装置２０６には記憶しないように制御する。すなわち、外部記憶装置２０６が、脱着可能な記憶装置の場合、盗難にあうと、記録内容が解読され、企業内ネットワーク１００を伝送された情報が漏洩してしまう。特に、暗号化キー１００１やこれに対応する復号化キーが、ログファイルと同一の記憶装置に記憶されていると、漏洩の確率は高まってしまう。よって、暗号化キー１００１やこれに対応する復号化キーは、外部記憶装置２０６には記憶しないように制御する。

以上説明したように、本実施形態によれば、ネットワーク情報を暗号化しておくことで、ネットワーク情報に含まれる機密情報の漏洩を困難にすることができる。また、暗号化キーや復号化キーを、ネットワーク情報とは別に管理するようにしたので、ログファイルが記憶された外部記憶装置が盗難に遭っても、ネットワーク情報を解読することは非常に困難である。

＜収集したネットワーク情報の分類分け＞
本実施形態においては、収集したネットワーク情報を分類するための付加情報を各ネットワーク情報に付加してログファイルに記録する技術を提案する。

図１１は、実施形態に係るネットワーク情報収集装置の例示的なブロック図である。一般に、企業ネットワーク１００などのＬＡＮは、共用型の伝送媒体であるため、同時に複数の端末からのネットワーク情報が伝送されている。この図では、ＰＣ１１３ａとＰＣ１１３ｂとが、それぞれ独立に通信リンク１１００ａと１１００ｂとを使用して、それぞれ外部と通信している。ＰＣ１１３ａの通信リンク１１００ａでは、複数のフレーム１１０１ａが伝送されている。同様にＰＣ１１３ｂの通信リンク１１００ｂでは、複数のフレーム１１０１ｂが伝送されている。これらのフレームは同時に送受されるため、ネットワーク１００上で混在することになる。たとえば、ログファイルの解析装置１３０において、ＰＣ１１３ａのネットワーク情報だけをログファイル２０７から選択するには、ログファイル２０７から各フレームを読み出し、さらに、その搭載情報（特に、アドレス情報など）を調査しなければならない。この処理は、解析処理の速度を低下させるおそれがある。

そこで、本実施形態においては、収集したネットワーク情報を分類するための付加情報を各ネットワーク情報に付加してログファイルに記録する。たとえば、セッション情報、プロトコル種別、ＩＰアドレス、またはポート番号などを分類要素として分類処理を実行する。そして、分類記号が付加情報として記録されることになる。これにより、収集されたネットワーク情報に関する解析処理において、解析対象となる情報を容易に選択することが可能となる。

なお、ログファイルの記録開始前に、これらの分類要素を表す分類記号を入力装置２０８から指定するようにしてもよい。すなわち、ＣＰＵ２０１は、入力された分類記号１１１１と、分類条件である分類情報１１１２とを関連付けて分類表１１１０を作成し、ＲＡＭ２０２に記憶しておく。

ＣＰＵ２０１は、ＮＩＣ２０４により受信されたフレーム１１２２に対して、分類記号１１１１を付加情報１１２１として付加する。分類記号１１１１は、ＲＡＭ２０２に記憶されている分類表１１１０に基づいて選択される。分類表１１１０には、分類のキーとなる分類情報１１１２と、当該分類情報に対応する分類記号１１１１とが対になって記憶されている。分類情報１１１２は、分類方法を指定する情報が含まれている。たとえば、送信側のＩＰアドレス、受信側のＩＰアドレス、およびポート番号などの組み合わせが、分類情報１１１２に含まれている。

たとえば、分類情報１１１２に、ＰＣ１１３ａのネットワーク情報を特定するために必要となる送信側のＩＰアドレス、受信側のＩＰアドレス、およびポート番号の組み合わせを分類条件として記述しておけば、ＣＰＵ２０１は、ＰＣ１１３ａのフレーム１１０１ａを受信したときに、当該フレームに合致する分類情報１１１２を分類表１１１０から検索して抽出し、抽出された分類情報に対応する分類記号１１１１を分類表１１１０から読み出すことができる。ＣＰＵ２０１は、読み出した分類記号１１１を付加情報１１２１に含め、当該付加情報をフレーム１１０１ａに付加し、ログファイル２０７に記録する。

一方、ログファイル２０７を解析する際に、あるネットワーク情報に特定の分類記号を示す付加情報が付加されていれば、付加情報の内容判定するだけで、特定のＰＣに関する複数のフレームを容易に抽出することができる。これにより、付加情報を用いない従来の解析処理と比較し、本実施形態に係る解析処理は、解析処理時間を短縮することができる。

なお、分類表１１１０には、アプリケーションレイヤの識別するための分類情報が含まれてもよい。たとえば、ＰＣ１１３ａが、複数のアプリケーションにより同時に複数の通信を実行しているときは、各アプリケーションに対応するセッションを識別できるような付加情報を各フレームに付加できるようになる。

たとえば、ＰＣ１１３ａが、ＷＥＢアクセスをしながらメールを送受したような場合には、ＷＥＢアクセスとメールの送信とを区別するための分類情報を分類表に記述しておくことで、それぞれのフレームを区別するための分類記号を各フレームの付加情報として付加することができるようになる。

＜重複データの記録省略処理＞
一般に、複数のフレームにおいて、送信側ＰＣ、受信側ＰＣ、およびアプリケーションなどを示す情報が含まれているが、これらは全く同一のデータであることが多い。この場合、先頭の１フレームについてだけ、当該データを記録するだけで、残りのフレームについては同一のデータであることを示すコード等を付加情報に記述してくことで、ログファイルのサイズを減少させることができる。

図１２は、実施形態に係るネットワーク情報収集装置の例示的なブロック図である。ＲＡＭ２０２に記憶されている各フレーム１２０３には、通信識別情報１２０２が含まれている。この通信識別情報１２０２によって、各フレームが、ＰＣ１１３ａに関するフレームか、ＰＣ１１３ｂに関するフレームであるかを識別できる。この通信識別情報１２０２は、同一の情報であるにもかかわらず、複数のフレームにおいて繰り替えし使用されている。これは、冗長である。

そこで、ＣＰＵ２０１は、受信した複数のフレーム１２０３の各通信識別情報１２０２を読み出し、複数のフレーム間で通信識別情報１２０２が同一であるかを判定する。同一であれば、ＣＰＵ２０１は、先頭のフレーム１２０３については、通信識別情報１２０２をそのまま維持するが、それ以降のフレーム１２０４や１２０５については、通信識別情報１２０２を削除してログファイル２０７に書き出してゆく。また、その際に、ＣＰＵ２０１は、通信識別情報１２０２を削除されたフレーム１２０４，１２０５の付加情報１２０１には、通信識別情報１２０２が削除（省略）されたことを表す情報を記述しておく。

以上説明したように、本実施形態によれば、重複した情報を省略した上でログファイルを作成するようにしたので、ログファイルのサイズを減少させることができる。

＜特定フレームの検出処理＞
本実施形態では、特定のネットワーク情報を検出したときに通知を出力するようにする。一般のネットワークモニタは、収集処理を開始する前に、予め各種の処理条件を与えられてから収集処理を開始する。そして、開始したら終了するまでの間は、処理内容を追加したり、変更したりすることはできない。特に問題なのは、特定フレームの発生など、まれな事象の発生を好適に管理者に通知できないことである。

そこで、本実施形態では、中断なくかつ所定期間に渡ってネットワーク情報を収集しつつ、特定フレームが発生した場合にはその旨を管理者に通知するネットワーク情報収集装置を提案する。

図１３は、実施形態に係るネットワーク情報収集装置の例示的なブロック図である。既に説明した個所には同一の参照符号を付すことで重複した説明を回避している。

キーボード等の入力装置２０８から監視対象となる特定フレームに関する情報が入力されると、ＣＰＵ２０１は、入力された特定フレームに関する情報を、ＲＡＭ２０２に記憶されている特定フレームの指定情報１３０１に追加する。なお、特定フレームに関する情報の追加指定、削除、編集等の処理は、ＣＰＵ２０１が、ネットワーク情報の収集中においても実行してよい。

ＣＰＵ２０１は、ＮＩＣ２０４によって受信したフレームについて、特定フレームに合致するか否かを判定する。もし、合致したフレームであれば、ＣＰＵ２０１は、表示装置７２０から、特定フレームの発生を表す通知を表示する。なお、表示に代えて、不図示の音声出力回路から警告音を出力してもよいし、管理者宛ての電子メールアドレスに警告メールを送信してもよい。

以上説明したように、ネットワーク情報収集装置がネットワーク情報を中断なく収集記録しなければならない状況下において特定フレームが発生した場合には、それを通知することが可能となる。これにより、特定フレームが発生した場合には、即座に、ログファイル２０７を解析して、原因を調査することが可能となる。また、特定フレームが発生した場合に、ＣＰＵ２０１が、ログファイル２０７を分割すれば、特定フレームの発生原因を調査し易くなろう。

なお、ここで説明した特定フレームは、レイヤ２フレームに関するものであったが、これは一例に過ぎない。たとえば、レイヤ３のパケット情報やレイヤ４のセグメントなど他のデータ単位を、特定フレームとして扱ってもよいことはいうまでもない。

＜ネットワーク情報収集装置に関するリモート操作＞
上述の実施形態におけるネットワーク情報収集装置については、リモート端末から各種の設定を実行することができれば、ネットワーク情報収集装置の管理がし易くなろう。

以下では、その一例として、上述の特定フレームに関する指定、編集、削除に関する各種操作を、ネットワークを介したリモート端末から設定する技術を説明する。また、ネットワーク情報収集装置が検出した特定フレームの発生通知を、ネットワークを介したリモート端末に表示する技術も併せて説明する。

図１４は、実施形態に係るネットワーク情報収集装置とリモート端末との例示的なブロック図である。リモート端末１４００は、企業内ネットワーク１００を介してネットワーク情報収集装置１２０と接続されている。

リモート端末１４００のＣＰＵ１４０１は、ＲＯＭ１４０３に記憶されている制御プログラムを実行することで、ネットワーク情報収集装置１２０を操作する。ＲＡＭ１４０２は、制御プログラムのワークエリアとして使用される。

キーボード等の入力装置１４０８から設定操作（特定フレームの指定など）が入力されると、ＣＰＵ１４０１は、ＮＩＣ１４０４を制御し、設定命令をネットワーク情報収集装置１２０に送信する。

ネットワーク情報収集装置１２０のＣＰＵ２０１は、ＮＩＣ２０４を介して設定命令を受信すると、設定命令に応じて、ネットワーク情報の収集処理の内容を変更する。たとえば、設定命令が、特定フレームの指定追加に関する命令であれば、設定命令に含まれる特定フレームに関する情報を、ＲＡＭ２０２の特定フレームの指定情報１３０１に追加する。これにより、リモート端末１４００からの設定操作を実現できる。

一方、ＣＰＵ２０１は、特定フレームの発生を検出すると、発生通知をリモート端末１４００に送信する。リモート端末１４００のＣＰＵ１４０１は、当該発生通知を、ＮＩＣ１４０４によって受信すると、表示装置１４２０から特定フレームの発生通知を出力する。これによりリモート端末１４００を操作する管理者に特定フレームの発生を通知することができる。

以上説明したように本実施形態によれば、リモート端末１４００からネットワーク情報収集装置１２０を操作することが可能となる。

なお、リモート端末１４００は、必ずしも企業内ネットワーク１１００内に存在している必要はない。ネットワーク情報収集装置１２０に接続できるのであれば、世界中のどの地域に位置してもよい。

ネットワーク情報収集装置１２０は、連続運転中にも、特定フレームの発生を監視し、その結果をリモート端末１４００に通知する。そのため、ネットワーク情報収集装置１２０の傍に常に管理者が付き添うことは不要となり、監視活動における人的負担を軽減することができる。

＜リモート記録媒体へのログファイルの記録＞
本実施形態では、リモートにある記録媒体を利用するネットワーク情報収集装置について説明する。情報収集対象のネットワーク１００の構成によっては、複数の監視ポイントからネットワーク情報を収集しなければ、全てのネットワーク情報を監視できない場合が存在する。その場合、複数の監視ポイントに上述のネットワーク情報収集装置１２０を収集すればよい。しかしながら、複数のネットワーク情報収集装置１２０を設置する場合、必ずしもログファイルを収集するための脱着可能な外部記憶装置２０６を各装置１２０が備える必要はない。すなわち、少なくとも１台のネットワーク情報収集装置１２０が外部記憶装置２０６を備えていれば、そのネットワーク情報収集装置１２０に対して、他のネットワーク情報収集装置１２０らは収集した情報を転送して記憶すればよい。そこで、本実施形態では、これらの課題を解決するための技術を提案する。

図１５は、実施形態に係るネットワークシステムの一例を示す図である。すでに説明した個所には同一の参照符号を付すことにより重複した説明を省略する。企業内ネットワークは、ゲートウェイとして機能するルータ１１０を介してインターネット１０１に接続されている。企業内ネットワークには、インターネット１０１に対して公開しているＷＥＢサーバ１０２や、メールサーバ１１１が、ルータ１１０に近い位置に設置されている。さらに、ハブ１１２ａ、１１２ｂおよび１１２ｃには、社員が利用するＰＣ１１３ａないし１１３ｇが接続されている。

この例では、企業内ネットワーク内に３つのネットワーク情報収集装置１２０ａないし１２０ｃを設置している。その理由は、一部のハブがスイッチングハブである場合は、図１に示した監視ポイントに１台のネットワーク情報収集装置１２０を設置しただけでは、全てのネットワーク情報を収集できないからである。

より具体的には、ハブ１１２ｂがスイッチングハブである場合、ハブ１１２ｂは、ネットワーク情報経路１５０１ａ、１５０１ｂ、１５０２ａおよび１５０２ｂを伝送されるネットワーク情報のコピーをハブ１１２ｃに対して送信しない。そのため、ハブ１１２ｃの下に存在するネットワーク情報収集装置１２０ｃは、これらのネットワーク情報を収集することができないのである。

そこで、本実施形態では、スイッチングハブの下に接続されるＬＡＮのネットワーク情報も好適に収集できるようにするために、各スイッチングハブの下にそれぞれ上述のネットワーク情報収集装置１２０を設置するようにした。

なお、この場合、全てのネットワーク情報収集装置１２０ａないし１２０ｃがそれぞれ、脱着可能な記録媒体（外部記憶装置２０６）を備えることも可能である。しかしながら、記録媒体の数が多くなると、その交換、回収などに伴う人的負担が大きくなる。

そこで、図１５の例では、ネットワーク記録装置１２０ｃにだけ外部記憶装置２０６ｃを備えさせ、ネットワーク情報収集装置１２０ａおよび１２０ｂは、収集したネットワーク情報をリモート記録媒体であるネットワーク記録装置１２０ｃの外部記憶装置２０６ｃに記録する。すなわち、ネットワーク情報収集装置１２０ａおよび１２０ｂのＣＰＵ２０１は、収集したネットワーク情報を、ＮＩＣ２０４を介してネットワーク記録装置１２０ｃに送信する。ネットワーク情報収集装置１２０ｃのＣＰＵ２０１は、他のネットワーク情報収集装置１２０ａおよび１２０ｂにより収集されたネットワーク情報をＮＩＣ２０４によって受信すると、上述の何れかのネットワーク情報収集方法を適用して、ログファイル２０７を作成し、外部記憶装置２０６ｃに記憶する。これにより、３箇所の監視ポイントで収集したネットワーク情報を一箇所の外部記憶装置２０６に集約して記録することが可能になる。

なお、企業内ネットワークに設置されたネットワーク情報収集装置１２０ｃに代えて、インターネット１０１など他のネットワークに接続されたネットワーク情報収集装置１２０ｄに対して、収集したネットワーク情報を転送し、ネットワーク情報収集装置１２０ｄの外部記憶装置２０６ｄにログファイルを記録するようにしてもよい。

以上説明したように、本実施形態によれば、複数のネットワーク情報収集装置を設置することで、ネットワーク情報を収集する際の障害となるスイッチングハブなど存在したとしても、ネットワーク情報を好適に収集することが可能となる。

また、複数のネットワーク情報収集装置を設置する場合には、一部のネットワーク情報収集装置の脱着可能な外部記憶装置をリモート記録媒体として共用することで、システム全体としては外部記憶装置の個数を減少させることができる。また、外部記憶装置の交換や回収の手間を削減することも可能となる。

＜ネットワーク情報に対するフィルタリング処理＞
本実施形態では、記録の対象となるネットワーク情報の種別（プロトコル、ポート番号など）を指定し、他の種類のネットワーク情報については記録しないように制御する機能（フィルタリング機能）について提案する。なお、このフィルタリング機能は、記録対象となるネットワーク情報の種別を指定する種別指定機能と理解することもできよう。

図１６は、実施形態に係るネットワーク情報収集装置の例示的なブロック図である。この例では、説明の便宜上、ルータ１１０からＰＣ１１３ａに向けて、ネットワーク情報が伝送される場合を想定する。また、伝送されるネットワーク情報は、第１のフレーム１６０１、第２のフレーム１６０２、第３のフレーム１６０３３およびその他フレームがあるものとする。これらのフレームらは、ハブ２１１においてコピーが作成され、ハブ２１１のポートを経由してネットワーク情報収集装置１２０のＮＩＣ２０４に届けられる。ＣＰＵ２０１により制御されるＮＩＣ２０４は、上述の受信処理を実行し、受信した各フレームに対応する第１のデータ１６１１、第２のデータ１６１２、第３のデータ１６１３をＲＡＭ２０２に格納する。

ＣＰＵ２０１は、予め一以上のフィルタリング条件をＲＡＭ２０２に記憶している。この例では、第１のフィルタリング条件１６２３、第２のフィルタリング条件１６２４が記憶されている。

ＣＰＵ２０１は、ＲＯＭ２０３に記憶されている収集プログラムに記述された手順に従って、第１のデータないし第３のデータがフィルタリング条件１６２３，１６２４のいずれかに合致するか否かを判定する。合致したデータが存在した場合、ＣＰＵ２０１は、合致したデータ（この例では、第２のデータ１６１２と第３のデータ１６１３）を、外部記憶装置２０６のログファイル２０７に記録する。一方、いずれのフィルタリング条件も満たさない第１のデータ１６１１については、ＲＭ２０２から削除する。当然、ログファイル２０７には記録しない。

フィルタリング条件としては、たとえば、イーサネット（登録商標）プロトコル、ＩＰパケットプロトコル、またはＴＣＰパケットプロトコルなど各種プロトコルで規定された項目を採用することができる。たとえば、ＩＰパケットプロトコルであれば、送信側ＩＰパケットアドレス、受信側ＩＰアドレス、ポート番号などがＩＰパケットに搭載される項目ととして規定されている。またイーサネット（登録商標）プロトコルであれば、送信側のＭＡＣアドレスや、受信側のＭＡＣアドレスが上述の項目に該当する。

また、ＴＣＰプロトコルを利用するＳＭＴＰプロトコルやＰＯＰ３プロトコルをフィルタリング条件として設定すれば、ネットワーク情報収集装置１２０は、電子メールの送受に関連するネットワーク情報だけを収集することになる。この場合、たとえば、ＷＥＢサイトにアクセスするためのＨＴＴＰプロトコルに関連するネットワーク情報は、ログファイルの記録対象から除外されることになる。よって、外部記憶装置２０６の記憶領域を有効に利用することが可能になる。

とりわけ、実施形態に係るネットワーク情報収集装置１２０は、通常のネットワークモニタに比較して、長期間にわたり連続してネットワーク情報を収集するため、収集対象となるネットワーク情報をフィルタリング条件によって特定することは重要である。すなわち、収集対象をフィルタリング機能によって限定する限定することで、脱着交換可能な外部記憶装置２０６の交換頻度を減少させることができる。その結果、交換作業に要する人的負担を軽減することができる。

実施形態に係るネットワーク情報収集装置が設置されたネットワークの一例を示す図である。 実施形態に係るネットワーク情報収集装置の例示的なブロック図である。 実施形態に係るネットワーク情報の収集処理の概念を説明するための図である。 実施形態に係るネットワーク情報収集方法の例示的なフローチャートである。 実施形態に係る他のネットワーク情報収集方法の例示的なフローチャートである。 実施形態に係るネットワーク情報収集装置の秘匿技術について説明する図である。 実施形態に係る他のネットワーク情報収集装置の例示的なブロック図である。 実施形態に係る他のネットワーク情報収集処理の例示的なフローチャートである。 実施形態に係るネットワーク情報収集装置の例示的なブロック図である。 実施形態に係る暗号処理を実行するネットワーク情報収集装置の例示的なブロック図である。 実施形態に係るネットワーク情報収集装置の例示的なブロック図である。 実施形態に係るネットワーク情報収集装置の例示的なブロック図である。 実施形態に係るネットワーク情報収集装置の例示的なブロック図である。 実施形態に係るネットワーク情報収集装置とリモート端末との例示的なブロック図である。 実施形態に係るネットワークシステムの一例を示す図である。 実施形態に係るネットワーク情報収集装置の例示的なブロック図である。

Claims (5)

1. ネットワークにおける監視ポイントを通過するネットワーク情報を外部の情報解析装置において解析させるべく収集するネットワーク情報収集装置であって、
   特定のプロトコル階層にかかるネットワーク情報を受信する受信ユニットと、
   受信した前記ネットワーク情報について前記ネットワーク上での伝送時の情報形式を維持した状態で記録する記録ユニットと
   を含み、
   前記記録ユニットは、前記ネットワーク情報に含まれるデータのうち重複したデータについては記録を省略する
   ことを特徴とするネットワーク情報収集装置。
2. 前記記録ユニットは、重複した前記データを省略する際に、省略されていることを表す付加情報を前記ネットワーク情報に付加することを特徴とする請求項１に記載のネットワーク情報収集装置。
3. 前記ネットワーク情報に含まれる重複した複数のデータのうち先頭のデータはそのまま記録し、それ以降の重複したデータについては、該データを省略して前記付加情報を記録することを特徴とする請求項２に記載のネットワーク情報収集装置。
4. ネットワークにおける監視ポイントを通過するネットワーク情報を外部の情報解析装置において解析させるべく収集するネットワーク情報収集装置の制御方法であって、
   特定のプロトコル階層にかかるネットワーク情報を受信する受信ステップと、
   受信した前記ネットワーク情報について前記ネットワーク上での伝送時の情報形式を維持した状態で記録する記録ステップと
   を含み、
   前記記録ステップは、前記ネットワーク情報に含まれるデータのうち重複したデータについては記録を省略するステップを含む
   ことを特徴とするネットワーク情報収集装置の制御方法。
5. コンピュータを、請求項１ないし３のいずれか１項に記載のネットワーク情報収集装置として機能させることを特徴とするプログラム。

Images