JP5061316B1 - 通信パケット解析装置 - Google Patents

Abstract

【課題】通信データを送受信したユーザを容易に特定するための情報を通信パケットから自動的に生成する。
【解決手段】本発明の通信パケット解析装置１４０は、通信パケットが所定のネットワークサービスにログインするためのアカウント情報を含む場合に、該アカウント情報に含まれるユーザ名と、通信パケットの送信時刻及び送信元ＩＰアドレスとを抽出する。さらに送信時刻及び送信元ＩＰアドレスを用いて、同一の通信クライアントが送信元ＩＰアドレスをＩＰアドレスとしてＬＡＮ１２０に接続されていたＩＰ占有期間を判定する。そして、このＩＰ占有期間に該送信元ＩＰアドレスを用いて送信されたアカウント情報が複数種類抽出された場合に、これらのアカウント情報に含まれるユーザ識別情報を同一ユーザのユーザ識別情報であると判断して、ユーザ毎のユーザ識別情報リストを作成する。
【選択図】図１

Description

本発明は、ＬＡＮ(Local Area Network)に接続された通信クライアントを用いて複数のネットワークサービスを受けるユーザの同一性を判断するための通信パケット解析装置に関する。

従来より、通信ネットワークを流れる通信パケットを取得して保存する技術が知られており、パケットキャプチャと称されている。パケットキャプチャを用いることにより、例えば企業内ＬＡＮ(Local Area Network)に流れる通信パケットを保存することができ、これにより、かかるＬＡＮ内の通信クライアント（パーソナルコンピュータ等）が閲覧したウェブページ等を管理者に再現させることができる。パケットキャプチャは、例えば従業員がパーソナルコンピュータを用いて不正行為等を行っているか否かの監視等に利用することができる。

パケットキャプチャを行う装置としては、例えば下記特許文献１に開示された装置が知られている。この装置では、通信ネットワーク内を流れる通信パケットを取得してワークメモリに格納すると共に、これらの通信データを解析して解析結果データベースに格納する。管理者は、管理部のウェブブラウザを用いて、ウェブページを再現する。

国際公開２００２／０２９５７９号公報

従業員等のネットワーク利用状況を監視するためには、通信を行った従業員等を、通信データ毎に特定する必要がある。

ＩＰ(Internet protocol) アドレスが従業員毎に固定されている場合には、通信データを送受信した従業員等を容易に特定することができる。例えば、従業員毎に専用のパーソナルコンピュータ等の通信クライアントがあてがわれており、且つ、各通信クライアントに固定ＩＰアドレスが付されているような場合は、通信パケットのＩＰアドレスから当該従業員等を特定することができる。

しかしながら、例えば企業内ＬＡＮにＤＨＣＰ(Dynamic Host Configuration Protocol)が導入されているような場合には、通信クライアントのＩＰアドレスが動的に変化するため、通信を行った従業員をＩＰアドレスから特定することはできない。

また、フリーアドレス制（すなわち、従業員の座席を固定しない制度）を採用するオフィス等では、従業員が使用する通信クライアントも固定的でない場合があり、このため、通信を行った従業員をＩＰアドレスから特定することはできない。

一方、ＩＰアドレスに加えて、ＭＡＣ(Media Access Control)アドレスや、ＴＣＰ(Transmission Control Protocol) セッションの情報、アプリケーション固有の情報等を用いて、通信を行った従業員を特定することも、原理的には可能である。しかしながら、このような方法は、ネットワーク技術に対する非常に高度な知識や多大な労力を必要とするため、実現が困難な場合も多い。

本発明の課題は、通信データを送受信したユーザを容易に特定するための情報を通信パケットから自動的に生成する通信パケット解析装置を提供することにある。

本発明に係る通信パケット解析装置は、ローカルエリアネットワークに接続された複数の通信クライアントが送受信する通信パケットを保存して解析する通信パケット解析装置であって、前記通信パケットが所定のネットワークサービスにログインするためのアカウント情報を含む場合に、該アカウント情報に含まれるユーザ識別情報と、該通信パケットの送信時刻と、該通信パケットの送信元ＩＰアドレスとを抽出する手段と、前記送信時刻及び前記送信元ＩＰアドレスを用いて、同一の前記通信クライアントが前記送信元ＩＰアドレスをＩＰアドレスとして前記ローカルエリアネットワークに接続されていた接続時間帯を判定する手段と、該接続時間帯に前記送信元ＩＰアドレスを用いて送信された前記アカウント情報が複数種類抽出された場合に、これらのアカウント情報に含まれるユーザ識別情報を同一ユーザのユーザ識別情報であると判断して、ユーザ毎のユーザ識別情報リストを作成する手段とを備えることを特徴とする。

本発明の通信パケット解析装置において、前記接続時間帯は、前記アカウント情報に対応する送信時刻を含む所定時間を、前記ユーザが該アカウント情報を用いて前記ネットワークサービスを受けていたセッション維持期間であると判断すると共に、同一の送信元ＩＰアドレスに対応する複数の前記セッション維持期間が重複している場合は、最初のセッション維持期間の開始時刻から最後のセッション維持期間の終了までを、前記接続時間帯であると判断することにより判定されることが望ましい。

本発明によれば、通信パケットに含まれるアカウント情報から、同一のユーザに対応している可能性が高いユーザ識別情報を自動的に収集して、ユーザ毎のユーザ識別情報リストを作成することができる。

また、同一の送信元ＩＰアドレスについて複数種類のセッション維持期間が重複している場合に、最初のセッション維持期間の開始時刻から最後のセッション維持期間の終了までを、当該ユーザが通信接続していた時間帯であると推定することにより、通信を行ったユーザを特定する際の信頼性を向上させることができる。

実施の形態１に係るローカルエリアネットワークを示す概念図である。 実施の形態１に係る通信パケット解析装置の動作を説明するための図である。

［発明の実施の形態１］

本発明の実施の形態１に係る通信パケット解析装置について、図１及び図２を参照して説明する。

図１は、この実施の形態１に係る通信パケット解析装置が接続される通信ネットワーク１００の構成例を示す概念図である。

図１に示したように、通信ネットワーク１００において、インターネット１１０には、ＬＡＮ(Local Area Network)１２０や、ウェブサーバ１３０等が接続されている。

ＬＡＮ１２０は、通信クライアントとしての複数台の端末コンピュータ１２１−１〜１２１−ｎを含む。

端末コンピュータ１２１−１〜１２１−ｎは、スイッチングハブ１２３を介して相互に通信接続されている。また、これらの端末コンピュータ１２１−１〜１２１−ｎは、このスイッチングハブ１２３と、ファイアウォール１２４と、ルータ１２５とを介して、インターネット１１０に通信接続されている。これにより、端末コンピュータ１２１−１〜１２１−ｎは、インターネット１１０を介して、ウェブサーバ１３０等にアクセスすることが可能になる。

スイッチングハブ１２３、ファイアウォール１２４及びルータ１２５は、従来と同じものを使用できるので、説明を省略する。

本実施形態では、スイッチングハブ１２３とファイアウォール１２４との間に、通信パケット解析装置１４０が接続されている。但し、通信パケット解析装置１４０は、ＬＡＮ１２０内の他の位置に接続することも可能である。

通信パケット解析装置１４０は、通信パケットを保存するパケット格納部１４１と、保存された通信パケットを解析するパケット解析部１４２とを備えている。

パケット格納部１４１は、端末コンピュータ１２１−１〜１２１−ｎがインターネット１３０上のサーバ（例えばウェブサーバ１３０等）と通信を行った際に、この通信に係る通信パケットを取り込んで、該通信パケットのコピーを格納する。通信パケットを取り込む技術としては、周知の技術を使用することができる（例えば上記特許文献１参照）。

パケット解析部１４２は、格納された通信パケットから、アクター情報（後述）を、自動的に作成する。このアクター情報には、後述するように、対象となるネットワークサービスをアクター（ここでは、ＬＡＮ１２０のユーザ）が利用するときのユーザ識別情報（ＩＤやユーザ名等、ユーザを特定するための情報）の一覧が含まれている。この実施の形態１では、対象となるネットワークサービスを、「サイボウズ」（登録商標）、「ｍｉｘｉ」（登録商標）、「Ｆａｃｅｂｏｏｋ」（登録商標）、「Ｔｗｉｔｔｅｒ」（登録商標）とする。但し、ユーザ識別情報を含むアカウント情報を用いるサービスであれば、他のネットワークサービスを対象とすることも可能である。例えば、他のソーシャルネットワークサービスを対象としても良いし、所望のファイル共有サービス（インターネット上でファイル保管用のストレージスペースを貸し出すサービス）や電子メール等を対象としてもよい。

パケット解析部１４２には、予め、対象となるネットワークサービスが登録される。そして、各ネットワークサービス毎に、サービスを特定する方法や、通信パケットからアカウント情報を抽出するメソッドが定義されている。例えば、ソーシャルネットワークサービスの種類を特定するためには、そのソーシャルネットワークサービスのＵＲＬ(Uniform Resource Locator)等を予め登録しておいて、通信パケットに格納されたＵＲＬ等と比較すればよい。また、電子メールのサービスであることを認識するためには、プロトコルの種類を判別すればよい。

対象となるネットワークサービスには、予め、信頼度が定められる。この実施の形態では、ユーザ名等として当該ユーザの本名を使用する可能性が高いネットワークサービスほど、高い信頼度を与える。例えば、サイボウズ等のグループウエアは、本名を使用する可能性が非常に高く、従って、最も高い信頼度を与える。

以下、通信パケット解析装置１４０の動作について説明する。

まず、パケット格納部１４１の動作を説明する。パケット格納部１４１の動作は、従来のパケットキャプチャ装置と同様である。

最初に、ユーザが、ウェブサーバ１３０のウェブサイトを閲覧するために端末コンピュータ１２１−１〜１２１−ｎのいずれかを操作すると、当該端末コンピュータにより、通信パケットが生成される。この通信パケットには、アクセス対象となるウェブサイトのＵＲＬを特定する情報が含まれている。また、アクセス対象がログイン画面等である場合には、この通信パケットには、ユーザ名等のユーザ識別情報が含まれている。この通信パケットは、通信パケット解析装置１４０を通過するときにコピーされて、パケット格納部１４１に格納される。

ウェブサーバ１３０は、この通信パケットを受信すると、当該ＵＲＬに対応するウェブデータを含む通信パケットを生成する。そして、ウェブサーバ１３０は、この通信パケットを、対応する端末コンピュータに向けて送信する。この通信パケットも、通信パケット保存装置１４０を通過するときにコピーされて、パケット格納部１４１に格納される。

次に、パケット解析部１４２の動作を説明する。

パケット解析部１４２は、まず、パケット格納部１４１に格納された通信パケットについて、以下の処理を行う。
（１）アカウント利用痕跡情報生成処理

パケット解析部１４２は、まず、通信パケットに格納されたデータから、解析対象となる通信パケットか否かを判断する。この判断は、上述のように、通信パケットに格納されたＵＲＬ等やプロトコルの種類等を用いて行うことができる。

解析対象となる通信パケットであると判断された場合、パケット解析部１４２は、ネットワークサービス毎に予め定義されたメソッド（上述）を用いて、通信パケットの格納データから、ユーザ名等のユーザ識別情報を抽出する。解析対象がソーシャルネットワークサービスである場合、ユーザ識別情報の抽出は、例えば、ＣＳＳ(Cascading Style Sheets)セレクタやＤＯＭ(Document Object Model)等をライブラリを用いて、ウェブサイト（ログイン用の画面）のＨＴＭＬ(HyperText Markup Language)からユーザ識別情報入力領域を特定し、その領域に対応する文字列を抜き出すことによって、行うことができる。このためには、対象となるウェブサイト毎に、セレクタに与えるパスを定めておけばよい。パスの決定は、人為的に行ってもよいし、クローラ等を使用して自動的に抽出してもよい。

ユーザ識別情報が抽出されると、パケット解析部１４２は、アカウント情報キーを生成する。このアカウント情報キーは、抽出されたユーザ識別情報と、ネットワークサービスの種類（サイボウズ、ｍｉｘｉ等）を特定する情報とを含む。

そして、パケット解析部１４２は、このアカウント情報キーと、当該通信パケットに格納された送信元ＩＰアドレスと、通信時刻とを、アカウント利用痕跡情報として、データベース（図示せず）に記録する。

続いて、パケット解析部１４２は、このアカウント情報キー（すなわち、ユーザ識別情報とネットワークサービスの種類との組み合わせ）と同一のアカウント情報キーが、データベース内に既に記録されているか否かをチェックする。

同一のアカウント情報キーが記録されていなかった場合、パケット解析部１４２は、新しいアクター情報を生成して、このアカウント情報キーを書き込む。ここで、アクター情報とは、アクター（ここでは、ＬＡＮ１２０のユーザ）が上記ネットワークサービスを利用するときのユーザ識別情報（例えばユーザ名）をネットワークサービスの種類毎に一覧化した情報である。このアカウント利用痕跡情報生成処理で生成されたアクター情報に対しては、後述のアクター情報編集処理で、新たなアカウント情報キーの追加等が行われる。例えば、同一のアクター情報内に、サイボウズのユーザ名として「山田太郎」が含まれ、Ｔｗｉｔｔｅｒのユーザ名として「Ｃｔａ」が含まれ、且つ、ｍｉｘｉのユーザ名として「ｓｔａｎ」が含まれている場合、これらのユーザ名「山田太郎」、「Ｃｔａ」及び「ｓｔａｎ」が同一アクターによって使用されていると判断されたことになる。

また、アクター情報には、アクターの信頼度を示す情報が含まれる。上述のように、アクターの信頼度とは、そのユーザ識別情報が当該アクターの本名である可能性の高さを示す情報である。アクターの信頼度は、ネットワークサービスの種類毎に、システムの設計者或いは管理者等が、人為的に定める。新しいアクター情報が生成されてデータベースに記録されると、パケット解析部１４２は、アカウント利用痕跡情報生成処理を終了する。

一方、同一のアカウント情報キーがデータベースに記録されている場合、アクター情報は既に生成されているはずである。従って、パケット解析部１４２は、そのままアカウント利用痕跡情報生成処理を終了する。
（２）セッション維持期間情報生成処理

パケット解析部１４２は、上述のアカウント利用痕跡情報を用い、以下のようにして、セッションの維持時間情報を生成する。

通常、ユーザは、ネットワークサービスにログインしたのち、そのネットワークサービスのウェブ画面に表示された文章等を読む等の作業を行う。そして、ユーザが文章を読んでいる期間等には、通信パケットの送受信は行われていない。更には、ユーザがネットワークサービスの閲覧を終えた後、ログアウト処理を行わずにブラウザを閉じる等して当該ネットワークサービスに対するセッションを終える場合も多い。従って、ログアウト処理を行う通信パケットのみによってセッションの終了を判断することはできない。

このため、この実施の形態１では、あるアカウント利用痕跡情報が示す通信時刻から所定時間（以下、タイムアウト時間と記す）内に、送信元ＩＰアドレス及びアカウント情報キーが該アカウント利用痕跡情報と同一の通信パケットが送信された場合には、これらの通信は同一セッションに含まれると判断する。

一方、あるアカウント利用痕跡情報が示す通信時刻からタイムアウト時間が経過した後は、送信元ＩＰアドレス及びアカウント情報キーが該アカウント利用痕跡情報と同一の通信パケットが送信された場合でも、同一セッションとはみなさず、別個のセッションであると判断する。

この実施の形態１では、タイムアウト時間を、ネットワークサービスの種類（サイボウズ、ｍｉｘｉ等）毎に、人為的に決定する。

例えば、図２（ａ）の例において、通信時刻が１３時０分のアカウント利用痕跡情報と通信時刻が１３時４６分のアカウント利用痕跡情報は、アカウント情報キーが同一である（共に、ユーザ名が「山田太郎」で且つネットワークサービスが「サイボウズ」である）。このような場合、サイボウズのタイムアウト時間が例えば６０分であれば、これらのアカウント利用痕跡情報は、同一ユーザ（図２では「社員Ａ」とした）の同一セッションに属すると判断される。一方、タイムアウト時間が例えば３０分に規定されたネットワークサービスでは、これらのアカウント利用痕跡情報は、ユーザは同一であるがセッションは異なると判断される。

以上のようにして、パケット解析部１４２は、アカウント利用痕跡情報からセッション維持期間を判定して、セッション維持期間情報を生成する。このセッション維持期間情報は、対応する１又は複数のアカウント利用痕跡情報と関連づけて、データベースに記録される。
（３）ＩＰ占有期間判定処理

パケット解析部１４２は、上述のアカウント利用痕跡情報とセッション維持時間情報とを用い、以下のようにして、ＩＰ占有期間を判定する。

一人のユーザが、あるネットワークサービスにログインしたままの状態で、他のネットワークサービスにもログインする場合がある。例えば、サイボウズ等のグループウエアにログインしてスケジュールを確認しながら、ウェブメールサービスを用いて他者に打合せ日時を提案するためのメールを作成する場合、二種類のネットワークサービスに同時にログインする必要がある。

これら二種類のネットワークサービスに対するログインは、アカウント情報キー（すなわち、ユーザ識別情報とネットワークサービスの種類との組み合わせ）が異なるため、上述のセッション維持期間情報では、別個のセッションであると判断されている。

一方、これらのセッションが同一の端末コンピュータによって行われている場合、同一の送信元ＩＰアドレスが使用される。すなわち、複数のセッションについて、送信元ＩＰアドレスが同一で且つセッション維持期間に重なりがある場合には、これらのセッションは同一の端末コンピュータによって実行されていると考えられる。

このようにして、パケット解析部１４２は、ＩＰアドレス毎に、そのＩＰアドレスが同一の端末コンピュータに占有されていた期間を判定し、ＩＰ占有期間としてデータベースに記録する。

例えば、図２（ｂ）の例では、通信時刻が１３時０分のアカウント利用痕跡情報と通信時刻が１３時４６分のアカウント利用痕跡情報とが同一のセッションに対応していると判断された場合、このセッションのＩＰアドレスである１７２．１６．１．１と同じＩＰアドレスであって且つセッション維持時間が重なるセッションは、すべて同一の端末コンピュータに対応している。すなわち、図２（ｃ）に示したように、通信時刻が１３時２分のＴｗｉｔｔｅｒのセッション、通信時刻が１３時５分のｍｉｘｉのセッション、通信時刻が１３時３１分のＴｗｉｔｔｅｒのセッション及び通信時刻が１３時４２分のｍｉｘｉのセッションは、すべて同一の端末コンピュータで実行されている。

また、そのセッションの前後所定時間の通信に関しても、送信元ＩＰアドレスが同一であれば、当該セッションと同じ端末コンピュータが使用されている可能性が高い。例えば、図２（ｂ）の例では、通信時刻が１３時０分のアカウント利用痕跡情報と通信時刻が１３時４６分のアカウント利用痕跡情報とが同一のセッションに対応していると判断された場合、その前後所定時間（例えば１時間）の通信においても、ＩＰアドレスが同一であれば、同じ端末コンピュータが使用されている可能性が高い。従って、通信時刻が１３時５４分のｍｉｘｉのセッションをＩＰ占有期間に含めてもよい。

これらのセッションは、同一ユーザ（図２では社員Ａとした）によって行われている可能性が高い。

パケット解析部１４２は、生成されたＩＰ占有時間を、アカウント利用痕跡情報及びセッション維持時間情報に関連づけて、データベースに記録する。
（４）アクター情報編集処理

上述のように、同一のＩＰ占有期間に属するセッション（すなわち、送信元ＩＰアドレスが同一で且つセッション維持期間が重なっているセッション）は、同一ユーザによって行われている可能性が高い。このため、パケット解析部１４２は、このＩＰ占有期間を用いて、以下のようにして、アクター情報を編集する。

パケット解析部１４２は、対象となるＩＰ占有期間に対応するアカウント利用痕跡情報を収集する。図２（ｃ）の例では、１３時０分から１３時４６分までの間に、送信元ＩＰアドレス１７２．１６．１．１であったアカウント利用痕跡情報が収集される。そして、これらのアカウント利用痕跡情報に対応するアカウント情報キーをデータベースから抽出し、更に、これらのアカウント情報キーに対応するアクター情報をデータベースから抽出する。

上述のアカウント利用痕跡情報生成処理で説明したように、アクター情報は、新しいアカウント情報が検出されて新しいアカウント情報キーが生成される度に生成される。従って、通常、ここでは、少なくとも１個のアクター情報が抽出される。なお、データベースからアクター情報が抽出されない場合は、エラー処理を行ってもよいし、ダミーのアクター情報を生成してもよい。

データベースから抽出されたアクター情報が１個の場合、パケット解析部１４２は、このアクター情報に対応しているアカウント情報キーをデータベースから抽出する。そして、パケット解析部１４２は、他のアカウント情報キーを、このアクター情報に追加する。

例えば、図２（ｃ）の例において、抽出されたアクター情報に、ユーザ名が「山田太郎」で且つネットワークサービスが「サイボウズ」のアカウント情報キーが含まれていた場合、他のアカウント情報キーとして、ユーザ名が「Ｃｔａ」で且つネットワークサービスが「Ｔｗｉｔｔｅｒ」であることを示すアカウント情報キーと、ユーザ名が「ｓｔａｎ」で且つネットワークサービスが「ｍｉｘｉ」であることを示すアカウント情報キーとが、当該アクター情報に追加される。そして、このアクター情報の信頼度は、最も信頼度の高いネットワークサービスの信頼度に設定される。

一方、データベースから抽出されたアクター情報が複数個の場合、パケット解析部１４２は、これらのアクター情報を合併する。そして、これらのアクター情報に含まれるアカウント情報キーは、全て、合併後のアクター情報に格納される。合併後のアクター情報の信頼度は、最も信頼度の高いネットワークサービスの信頼度に設定される。例えば、抽出された２個のアクター情報のうち、一方のアクター情報の信頼度が高い場合には、低信頼度のアクター情報に含まれるアカウント情報キーを高信頼度のアクター情報に移動させた後で、低信頼度のアクター情報を削除すればよい。

同一のアクター情報に含まれるアカウント情報キー（すなわち、ユーザ識別情報とネットワークサービスの種類との組み合わせ）は、それぞれ同一ユーザのもので有る可能性が高い。従って、この実施の形態１で生成されたアクター情報は、ＬＡＮ１２０のユーザ識別情報リストとして使用することができる。

また、上述のように、アクター情報には、ユーザ識別情報として、本名である可能性が高い文字列が含まれている場合がある。このような場合は、ユーザを特定することが容易になる。更に、この実施の形態１では、本名である可能性をネットワークサービスの種類毎に定めて、その可能性の高低をアクター情報の信頼度と定義したので、本名であるか否かの判断に対する信頼性を高めることができる。

以上説明したように、この実施の形態１によれば、通信パケットに含まれるアカウント情報から、同一のユーザに対応している可能性が高いユーザ識別情報を自動的に収集して、ユーザ毎のユーザ識別情報リストを生成することができる。

また、この実施の形態１によれば、同一の送信元ＩＰアドレスについて複数種類のセッション維持期間が重複している場合に、最初のセッション維持期間の開始時刻から最後のセッション維持期間の終了までの時刻を、当該ユーザが通信接続していた時間帯であると推定することにより、簡単な手順で、通信を行ったユーザを特定する際の信頼性を向上させることができる。

１００ 通信ネットワーク
１１０ インターネット
１２０ ＬＡＮ
１２１−１〜１２１−ｎ 端末コンピュータ
１２３ スイッチングハブ
１２４ ファイアウォール
１２５ ルータ
１３０ ウェブサーバ
１４０ 通信パケット解析装置

Claims (2)

1. ローカルエリアネットワークに接続された複数の通信クライアントが送受信する通信パケットを保存して解析する通信パケット解析装置であって、
   前記通信パケットが所定のネットワークサービスにログインするためのアカウント情報を含む場合に、該アカウント情報に含まれるユーザ識別情報と、該通信パケットの送信時刻と、該通信パケットの送信元ＩＰアドレスとを抽出する手段と、
   前記送信時刻及び前記送信元ＩＰアドレスを用いて、同一の前記通信クライアントが前記送信元ＩＰアドレスをＩＰアドレスとして前記ローカルエリアネットワークに接続されていた接続時間帯を判定する手段と、
   該接続時間帯に前記送信元ＩＰアドレスを用いて送信された前記アカウント情報が複数種類抽出された場合に、これらのアカウント情報に含まれるユーザ識別情報を同一ユーザのユーザ識別情報であると判断して、ユーザ毎のユーザ識別情報リストを作成する手段と、
   を備えることを特徴とする通信パケット解析装置。
2. 前記接続時間帯は、
   前記アカウント情報に対応する送信時刻を含む所定時間を、前記ユーザが該アカウント情報を用いて前記ネットワークサービスを受けていたセッション維持期間であると判断すると共に、
   同一の送信元ＩＰアドレスに対応する複数の前記セッション維持期間が重複している場合は、最初のセッション維持期間の開始時刻から最後のセッション維持期間の終了までを、前記接続時間帯であると判断する、
   ことにより判定されることを特徴とする請求項１に記載の通信パケット解析装置。

Images