JP5387373B2 - 通信監視システム、通信監視装置、通信監視方法および通信監視プログラム - Google Patents

Description

本発明は、通信監視システム、通信監視装置、通信監視方法および通信監視プログラムに関し、特に、ネットワークに接続された監視対象の通信装置の不正を検知可能な通信監視システム、通信監視装置、通信監視方法および通信監視プログラムに関する。

従来より、通信セキュリティの観点より不正な通信を検知する提案がされている。
たとえば「アンチウィルスソフト」によって、パターンファイルデータと、ＰＣ（Personal Computer）内外でやり取りされるデータとを照合することで、不正なデータ（ファイル）を検出することが知られている。また、「検疫ネットワーク」という技術によって、社内のネットワークに持ち込んだＰＣなどを接続するときに、まずは閉じたネットワークで接続してセキュリティポリシーなどをチェックし、ＯＫなら社内のネットワークにつなぎ、ＮＧならつなげないようにするか何らかの処理後につなぐようにすることが知られている。

さらに、特開２００３−１１４８７６号公報（特許文献１）には、パスワード認証後にある一定の操作が行なわれない場合には不正とみなすことが記載されている。特開２００４−１３３５８４号公報（特許文献２）には、ログインしたユーザの操作が終わったことを検知した場合に、ログイン状態を取り止めることが記載されている。

特開２００３−１１４８７６号公報 特開２００４−１３３５８４号公報

最近は、インターネットへ接続したりアプリケーションソフトを動作したりするために、ＯＳ（Operating System）を搭載したＭＦＰ（Multi Function Peripheral）やプリンタが製品化されている。

しかし、ＭＦＰやプリンタがＯＳを搭載し、さらにネットワークにつながっていると、コンピュータウィルスやスパイウェアの脅威から逃れることが難しい。ウィルスやスパイウェアは、感染したＭＦＰやプリンタの機能を悪用し、ネットワーク接続されたＭＦＰやプリンタあるいはサーバ等に対して不正行為を行なう可能性がある。

一方で、ＭＦＰやプリンタの通信データは、データの中身を解析しただけでは不正なデータであるのか判断することは難しい。したがって、上記「アンチウィルスソフト」や「検疫ネットワーク」を利用してもＭＦＰやプリンタの不正通信を検出することはできない。上記特開２００３−１１４８７６号公報（特許文献１）の技術では、パスワード認証後に必要とされる一定の操作を不正に知り得た者による不正通信をブロックすることはできない。また、特開２００４−１３３５８４号公報（特許文献２）の技術では、ログイン状態そのものがウィルスやスパイウェアによって不正に作られた場合にまで対処することができない。

本発明は、上記のような問題を解決するためになされたものであって、その目的は、データの中身を解析しただけでは不正なデータか否かが分からないような通信においても、不正な通信を検知することのできる通信監視システム、通信監視装置、通信監視方法および通信監視プログラムを提供することである。

この発明のある局面に従う通信監視システムは、ネットワークに接続された、電子証明書を利用したセキュア通信を行なう複数の通信装置間の通信を監視する通信監視システムであって、複数の通信装置間の通信を監視するための監視手段を備える。監視手段は、複数の通信装置のうち監視対象の通信装置の操作履歴情報を取得するための第１の取得手段と、監視対象の通信装置を送信元とするパケットを取得し、取得したパケットを解析することにより通信情報を取得するための第２の取得手段と、取得された操作履歴情報および通信情報を記憶するための記憶手段と、操作履歴情報および通信情報を用いて、複数の通信装置間の通信が不正であるか否かを判断するための判断手段と、判断手段により不正と判断された場合に、送信元である監視対象の通信装置の電子証明書を失効させるための失効特定情報を記述した、ネットワーク内でのみ有効なブラックリストを、ネットワーク内の他の通信装置に配布するための手段とを含む。

好ましくは、操作履歴情報は、操作の種類、操作に伴なうデータの送信先を示す情報、および、操作時刻を含み、通信情報は、通信データの送信先を示す情報、および、通信時刻を含む。判断手段は、監視対象の通信装置の操作履歴情報において、データの送信先が一致し、かつ、通信時刻よりも所定時間前に該当する操作があったか否かを検索することにより、複数の通信装置間の通信が不正か否かを判断する。

好ましくは、記憶手段は、送信先および通信時刻を記載した通信予約テーブルを含み、判断手段は、操作履歴情報において該当する操作がないと判断した場合に、通信予約テーブルをさらに参照することで、複数の通信装置間の通信が不正であるか否かを判断する。

好ましくは、監視対象の通信装置は、原稿を読取ることによって形成された画像データを送信する装置、および、印刷データを送信する装置のいずれかを表わす。

好ましくは、操作履歴情報は、ページ数、原稿サイズ、解像度およびファイル形式をさらに含み、通信情報は、パケットサイズをさらに含む。監視手段は、操作履歴情報に基づいて、各操作に伴なう通信量を推定するための推定手段をさらに含み、判断手段は、操作履歴情報において該当する操作があると判断した場合に、推定手段により推定された通信量と、パケットサイズより得られる実際の通信量とを比較することで、複数の通信装置間の通信が不正であるか否かを判断する。

好ましくは、判断手段は、操作履歴情報において該当する操作がないと判断した場合には、複数の通信装置間の通信は不正であると判断する。

好ましくは、監視手段は、判断手段により不正と判断された場合に、送信元である監視対象の通信装置に強制終了コマンドを送信するためのコマンド送信手段をさらに含む。

好ましくは、監視手段は、複数の通信装置のうちの少なくともいずれかに存在する。
この発明のさらに他の局面に従う通信監視システムは、ネットワークに接続された複数の通信装置間の通信を監視する通信監視システムであって、複数の通信装置間の通信を監視するための監視手段を備える。監視手段は、複数の通信装置のうち監視対象の通信装置の操作履歴情報を取得するための第１の取得手段と、監視対象の通信装置を送信元とするパケットを取得し、取得したパケットを解析することにより通信情報を取得するための第２の取得手段とを含む。操作履歴情報は、操作の種類、操作に伴なうデータの送信先を示す情報、および、操作時刻を有する。通信情報は、通信データの送信先を示す情報、および、通信時刻を有する。監視手段は、さらに、取得された操作履歴情報、通信情報、および、送信先および通信時刻を記載した通信予約テーブルを記憶するための記憶手段と、操作履歴情報および通信情報を用いて、複数の通信装置間の通信が不正であるか否かを判断するための判断手段とを含む。判断手段は、監視対象の通信装置の操作履歴情報において、データの送信先が一致し、かつ、通信時刻よりも所定時間前に該当する操作があったか否かを検索することにより、複数の通信装置間の通信が不正か否かを判断し、操作履歴情報において該当する操作がないと判断した場合に、通信予約テーブルをさらに参照することで、複数の通信装置間の通信が不正であるか否かを判断する。
この発明のさらに他の局面に従う通信監視システムは、ネットワークに接続された複数の通信装置間の通信を監視する通信監視システムであって、原稿を読取ることによって形成された画像データを送信する装置、および、印刷データを送信する装置のいずれかを表す複数の通信装置間の通信を監視するための監視手段を備える。監視手段は、複数の通信装置のうち監視対象の通信装置の操作履歴情報を取得するための第１の取得手段と、監視対象の通信装置を送信元とするパケットを取得し、取得したパケットを解析することにより通信情報を取得するための第２の取得手段とを含む。通信情報は、通信データの送信先を示す情報、通信時刻、およびパケットサイズを有する。操作履歴情報は、操作の種類、操作に伴なうデータの送信先を示す情報、操作時刻、ページ数、原稿サイズ、解像度、およびファイル形式を有する。監視手段は、さらに、取得された操作履歴情報および通信情報を記憶するための記憶手段と、操作履歴情報に基づいて、各操作に伴なう通信量を推定するための推定手段と、操作履歴情報および通信情報を用いて、複数の通信装置間の通信が不正であるか否かを判断するための判断手段とを含む。判断手段は、監視対象の通信装置の操作履歴情報において、データの送信先が一致し、かつ、通信時刻よりも所定時間前に該当する操作があったか否かを検索し、操作履歴情報において該当する操作があると判断した場合に、推定手段により推定された通信量と、パケットサイズより得られる実際の通信量とを比較することで、複数の通信装置間の通信が不正であるか否かを判断する。
この発明の他の局面に従う通信監視装置は、ネットワークに接続される通信監視装置であって、ネットワークに接続される、電子証明書を利用したセキュア通信を行なう監視対象の通信装置の操作履歴情報を取得するための第１の取得手段と、監視対象の通信装置を送信元とするパケットを取得し、取得したパケットを解析することにより通信情報を取得するための第２の取得手段と、取得された操作履歴情報および通信情報を記憶するための記憶手段と、記憶された操作履歴情報および通信情報を用いて、監視対象の通信装置の通信が不正であるか否かを判断するための判断手段と、判断手段により不正と判断された場合に、送信元である監視対象の通信装置の電子証明書を失効させるための失効特定情報を記述した、ネットワーク内でのみ有効なブラックリストを、ネットワーク内の他の通信装置に配布するための手段とを含む。

この発明のさらに他の局面に従う通信監視方法は、ネットワークに接続される通信監視装置によって実行される通信監視方法であって、ネットワークに接続される、電子証明書を利用したセキュア通信を行なう監視対象の通信装置の操作履歴情報を取得するステップと、監視対象の通信装置を送信元とするパケットを取得し、取得したパケットを解析することにより通信情報を取得するステップと、取得された操作履歴情報および通信情報をメモリに記憶するステップと、記憶された操作履歴情報および通信情報を用いて、監視対象の通信装置の通信が不正であるか否かを判断するステップと、監視対象の通信装置の通信が不正と判断された場合に、送信元である監視対象の通信装置の電子証明書を失効させるための失効特定情報を記述した、ネットワーク内でのみ有効なブラックリストを、ネットワーク内の他の通信装置に配布するステップとを含む。

この発明のさらに他の局面に従う通信監視プログラムは、ネットワークに接続される通信監視装置によって実行される通信監視プログラムであって、ネットワークに接続される、電子証明書を利用したセキュア通信を行なう監視対象の通信装置の操作履歴情報を取得するステップと、監視対象の通信装置を送信元とするパケットを取得し、取得したパケットを解析することにより通信情報を取得するステップと、監視対象の通信装置の通信が不正と判断された場合に、送信元である監視対象の通信装置の電子証明書を失効させるための失効特定情報を記述した、ネットワーク内でのみ有効なブラックリストを、ネットワーク内の他の通信装置に配布するステップと、取得された操作履歴情報および通信情報をメモリに記憶するステップと、記憶された操作履歴情報および通信情報を用いて、監視対象の通信装置の通信が不正であるか否かを判断するステップとを含む。

本発明によると、データの中身を解析しただけでは不正なデータか否かが分からないような通信においても、不正な通信を検知することができる。

本発明の実施の形態１に係る通信監視システムの構成を模式的に示す図である。 本発明の実施の形態１におけるローカルネットワークの構成を模式的に示す図である。 本発明の実施の形態１に係る各ＭＦＰ（通信装置）の概略のハードウェア構成を示す図である。 本発明の実施の形態１に係るＰＣのハードウェア構成を模式的に示す図である。 本発明の実施の形態１において通信監視部を有するＭＦＰ２の機能構成を示すブロック図である。 本発明の実施の形態１における通信監視部の機能構成を示すブロック図である。 本発明の実施の形態１における通信情報のデータ構造例を示す図である。 本発明の実施の形態１における操作履歴情報のデータ構造例を示す図である。 本発明の実施の形態１の通信監視システムにおいて実行される操作履歴情報の取得処理を示すフローチャートである。 本発明の実施の形態１におけるＭＦＰ２（通信監視装置）が実行するパケットキャプチャ処理を示すフローチャートである。 本発明の実施の形態１におけるＭＦＰ２（通信監視装置）が実行する不正判断処理を示すフローチャートである。 本発明の実施の形態１において生成される強制終了コマンドの一例を示す図である。 本発明の実施の形態２における通信監視部の機能構成を示すブロック図である。 本発明の実施の形態２において、通信予約テーブル保持部に保持される通信予約テーブルの一例を示す図である。 本発明の実施の形態２におけるＭＦＰ２（通信監視装置）が実行する不正判断処理を示すフローチャートである。 本発明の実施の形態３における通信監視部の機能構成を示すブロック図である。 本発明の実施の形態３における操作履歴情報のデータ構造例を示す図である。 本発明の実施の形態３におけるＭＦＰ２（通信監視装置）が実行する不正判断処理を示すフローチャートである。 本発明の実施の形態３の変形例における不正判断処理を示すフローチャートである。 本発明の実施の形態４における通信監視システムの概要を示す図である。 本発明の実施の形態４において、ＭＦＰ２（通信監視装置）により発行されるローカルＣＲＬのデータ構造例を示す図である。 本発明の実施の形態４におけるローカルＣＲＬ発行処理を示すフローチャートである。 本発明の実施の形態４における復帰監視処理を示すフローチャートである。

本発明の実施の形態について図面を参照しながら詳細に説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰返さない。

［実施の形態１］
＜通信監視システムの概要について＞
図１は、本発明の実施の形態１に係る通信監視システム１の構成を模式的に示す図である。

図１を参照して、通信監視システム１は、ＬＡＮ（Local Area Network）などのローカルネットワークに接続された複数のノード（通信装置）として、たとえば、ＭＦＰ１０Ａ，１０Ｂ，１０Ｃを含む。以下の説明において、特に区別する必要がない限り、ＭＦＰＭＦＰ１０Ａ，１０Ｂ，１０Ｃを総称して「ＭＦＰ１０」と呼ぶ。また、ＭＦＰ１０Ａ、ＭＦＰ１０ＢおよびＭＦＰ１０Ｃを区別する場合には、図１に示されているように、それぞれを「ＭＦＰ１」、「ＭＦＰ２」および「ＭＦＰ３」と呼ぶ。

ＭＦＰ１０は、画像読取や画像形成を行なうことができる多機能周辺装置である。ＭＦＰ１０は、ＬＡＮ規格の一形態であるイーサネット（登録商標）を介して他の通信装置（他のＭＦＰ）との通信が可能である。また、ＭＦＰ１，２，３のうちの少なくとも一つは、インターネット５０を介してネットワーク外のＣＡ（Certificate Authority：証明書発行装置）３０やＰＣ４０との通信が可能である。

ＣＡ３０は、クライアント装置からの依頼に基づき電子証明書を発行したり、電子証明書を管理したりする。ＣＡ３０は、誤発行などの理由で有効期間内に失効させられた電子証明書の一覧を記述したＣＲＬ（Certificate Revocation List）を配布したりもする。

ＭＦＰ１０は、ＣＡ３０より発行された電子証明書を用いたＳＳＬ（Secure Socket Layer）通信を行なってもよい。「ＳＳＬ」は、セキュア通信のためのプロトコルの一種であり、他のプロトコル（たとえばＰＣＴ（Private Communication Technology）など）が用いられてもよい。

なお、本実施の形態では、ネットワーク接続された複数の通信装置の全てがＭＦＰとして説明するが、ユーザからの指示あるいは他ＰＣからの指示等に従いデータ通信を行なうものであれば、これらのうちの少なくとも１つは、プリンタ（印刷装置）、ＰＣ、複写機、ファクシミリ装置、スキャナ装置などであってもよい。

ネットワーク内にインターネット５０とつながるＭＦＰ１０が存在すると、ウィルスやスパイウェアに感染してしまう危険性がある。ウィルスやスパイウェアに感染したＭＦＰ１０は、スキャンデータを他のデバイスに不正に送信したり、さらには、そのような不正送信により他のデバイスに不正な課金を生じさせるといった事態が生じ得る。

そこで、本実施の形態における通信監視システム１は、ネットワーク内に、ＭＦＰ１０間の通信を監視するための通信監視部２０を含む。通信監視部２０は、単体で１つのノードを構成して通信の監視を行なう通信監視装置として機能してもよい。または、通信監視部２０は、ＭＦＰ１０のいずれかに存在してもよい。

本実施の形態では、通信監視部２０はたとえばＭＦＰ２（１０Ｂ）に含まれることとして説明する。その場合、ＭＦＰ２は、ＭＦＰの機能を有する通信監視装置とも言うことができる。なお、ネットワーク内に通信監視装置が２つ以上含まれてもよい。つまり、たとえばＭＦＰ１〜３の全てが通信監視部２０を含み、互いに監視し合うこととしてもよい。

通信監視部２０自体がウィルスやスパイウェアに乗っ取られる可能性を少なくするという観点からは、通信監視部２０は独立の通信監視装置として設置された方が良い。独立の通信監視装置であれば、監視対象の装置に感染済みのウィルスやスパイウェアの影響から離れるからである。

図２は、本発明の実施の形態１におけるローカルネットワーク５２の構成を模式的に示す図である。

ローカルネットワーク５２には、複数の通信装置すなわちＭＦＰ１〜３が含まれる。各通信装置は、イーサネット（登録商標）ケーブル３を通じてハブ４と接続され、相互に通信することができる。ハブ４は、ルータ５を介して、図示しない別のネットワークセグメントと接続されている。

なお、後述するように、通信監視部２０はパケットキャプチャ機能を有するため、ハブ４は、たとえば、リピータハブ、または、ミラーリング機能を実装したスイッチングハブである。

＜ハードウェア構成について＞
図３は、本発明の実施の形態１に係る各ＭＦＰ１０の概略のハードウェア構成を示す図である。

図３を参照して、各ＭＦＰ１０は、制御部１００と、メモリ部１０２と、画像読取部１０４と、プリント部１０６と、通信インターフェイス１０８と、操作パネル部１１０と、記憶部１１２とを含む。

制御部１００は、代表的にＣＰＵ（Central Processing Unit）などの演算装置から構成される。メモリ部１０２は、代表的にＤＲＡＭ（Dynamic Random Access Memory）などの揮発性の記憶装置であり、制御部１００で実行されるプログラムやプログラムの実行に必要なデータなどを保持する。画像読取部１０４は、原稿を読み取って画像を取得する。プリント部１０６は、紙媒体などへの印刷処理を行なう。プリント部１０６は、プリント処理に係るハードウェア構成に加えて、各部の作動を制御するための制御装置をも含む。

通信インターフェイス１０８は、ネットワーク５２内でデータを送受信したり、インターネット５０を介してＣＡ３０やＰＣ４０との間でデータを送受信したりする。通信インターフェイス１０８は、たとえば、ＬＡＮアダプタおよびそれを制御するドライバソフトなどを含む。操作パネル部１１０は、たとえば、液晶表示装置やタッチパネルなどから構成される表示パネルと、複数の操作ボタンとを含む。記憶部１１２は、代表的にハードディスク装置やフラッシュメモリなどの不揮発性の記憶装置であり、制御部１００の動作のためのプログラムやデータなどを格納する。

各ＭＦＰ１０は、さらに、着脱可能なＣＤ−ＲＯＭ（Compact Disk Read Only Memory）等の記録媒体にアクセス可能なメディアドライブ（図示せず）を含んでもよい。

図４は、本発明の実施の形態１に係るＰＣ４０のハードウェア構成を模式的に示す図である。

図４を参照して、ＰＣ４０は、当該ＰＣ４０の動作を全体的に制御するＣＰＵ４５０、ＣＰＵ４５０のワークエリアとして機能するＲＡＭ（Random Access Memory）４５４、プログラムやデータなどを記憶するＲＯＭ（Read Only Memory）４５６、各種情報を表示するためのモニタ４５８、ユーザからの指示を入力するためのキーボードなどの入力部４６０、他の装置と通信するための通信インターフェイス４６２、プログラムやファイルを記憶するハードディスクを備えるハードディスク装置（ＨＤＤ）４６４、および、着脱可能なＣＤ−ＲＯＭ等の記録媒体４５２Ａにアクセスするメディアドライブ４５２とを備えている。

通信監視システム１に含まれる通信装置がＰＣにより実現される場合には、通信装置の構成は図４に示した構成と同様であってよい。なお、図１に示したＣＡ３０のハードウェア構成も、図４に示した構成と同様であってよい。

＜機能構成について＞
（ＭＦＰ２の機能構成）
ＭＦＰ２（ＭＦＰ１０Ｂ）の機能構成を図５に示す。

図５は、本発明の実施の形態１において通信監視部２０を有するＭＦＰ２の機能構成を示すブロック図である。なお、図５には、ＭＦＰ２が、通信監視装置でもあり、ネットワーク内の他のＭＦＰにとっての監視対象の通信装置でもある場合の機能構成の一例が示されている。

図５を参照して、ＭＦＰ２Ｂは、その機能として、データ送受信部１１と、メイン制御部１２と、操作制御部１３と、操作履歴保持部１５と、通信監視部２０とを含む。なお、ＭＦＰ２が監視対象のデバイスではない場合、操作履歴保持部１５は存在しなくてよい。

データ送受信部１１は、他の通信装置（たとえばＭＦＰ１）との間でデータの送受信を行なう。データ送受信部１１の機能は、たとえば、ネットワークインターフェイスカード（ＮＩＣ）により実現される。

操作制御部１３は、操作部１４と接続され、ユーザやＰＣ等の端末からのユーザ操作情報を収集し、収集したユーザ操作情報を、操作履歴情報として操作履歴保持部１５に格納する。操作部１４は、図３に示した操作パネル部１１０を含む。操作制御部１３は、具体的には、操作パネル部１１０へのユーザ操作、および、ＰＣ等の端末のプリンタドライバやウェブブラウザを介したユーザ操作情報を収集する。ユーザ操作情報の収集は、定期的に行なわれてよい。

操作制御部１３は、通信監視部２０から操作履歴の要求を受け付けると、操作履歴保持部１５に格納された操作履歴情報を通信監視部２０に出力する。操作履歴保持部１５には、最新のものから予め定められた個数の操作履歴が格納されてよい。

「操作履歴情報」は、データ（たとえばスキャンデータ，プリントデータ）の送信を伴なうような種類の操作（ジョブ）の履歴を示しており、少なくとも、操作の種類、送信先情報および操作時刻を含む。操作履歴情報のデータ構造例については後述する。

メイン制御部１２は、データ送受信部１１および操作制御部１３を制御する。メイン制御部１２は、ＯＳのような働きをする。

通信監視部２０は、データ送受信部１１および操作制御部１３と接続される。本実施の形態では、通信監視部２０は、自装置（ＭＦＰ２）への通信および他のＭＦＰ間の通信を監視する。

通信監視部２０を有するＭＦＰ２のメモリ部１０２または記憶部１１２には、WireSharkなどのパケットキャプチャソフトが予め格納されている。

なお、監視対象の通信装置であるＭＦＰ１は、通信監視部２０を含まない構成であればよい。また、通信監視装置でも監視対象の通信装置でもないＭＦＰ３は、操作履歴保持部１５および通信監視部２０を含まない構成であればよい。

（通信監視部の機能構成）
図６は、本発明の実施の形態１における通信監視部２０の機能構成を示すブロック図である。

図６を参照して、通信監視部２０は、入出力部２１、操作情報取得部２２、通信キャプチャ部２３、コマンド生成部２５、判断部２４、および情報保持部２６を含む。

入出力部２１は、図５に示したデータ送受信部１１および操作制御部１３との間でデータの入出力を行なう。入出力部２１は、図５のデータ送受信部１１と同様に、たとえばネットワークインターフェイスカードにより実現されてもよい。

操作情報取得部２２は、監視対象の通信装置（たとえばＭＦＰ１，ＭＦＰ２）の操作制御部１３から操作履歴情報を取得する。取得された操作履歴情報は、情報保持部２６に保存される。操作情報取得部２２が監視対象の通信装置の操作履歴情報を取得するためには、たとえば操作情報取得部２２に、取得すべき操作履歴情報の入手先のノード情報（つまり、監視対象の通信装置を特定するための情報）が登録されている。ノード情報としては、たとえばＩＰアドレスが採用され得る。

通信キャプチャ部２３は、入出力部２１を通じ、ネットワーク５２内の通信装置間の通信のパケットキャプチャを行なう。具体的には、監視対象の通信装置を送信元とするパケットを取得し、取得したパケットを解析することにより通信情報を取得する。「通信情報」は、少なくも送信元情報および通信時刻を含む。取得された通信情報は、情報保持部２６に保存される。通信キャプチャ部２３においても、パケットキャプタの対象の通信装置のノード情報（つまり、監視対象の通信装置を特定するための情報）が登録されていることとしてよい。ここでのノード情報もたとえばＩＰアドレスであってよい。

判断部２４は、情報保持部２６内の通信情報と操作履歴情報とを用いて、監視対象の通信装置による通信が不正であるかどうかを判断する。具体的には、判断部２４は、監視対象の通信装置の操作履歴情報において、通信時刻よりも所定時間前に該当する操作があったか否かを検索することにより、通信が不正か否かを判断する。

判断部２４により通信が不正であると判断されると、コマンド生成部２５によって他の通信装置に対するコマンドが生成される。コマンド生成部２５において生成されたコマンドは、入出力部２１（および図５のデータ送受信部１１）を介して、他の通信装置に送信される。

図５に示したメイン制御部１２および操作制御部１３の動作は、図３に示した制御部１００が、メモリ部１０２中に格納されたソフトウェアを実行することで実現されてもよいし、少なくとも一部については、ハードウェアで実現されてもよい。図５のデータ送受信部１１の機能は、図３の通信インターフェイス１０８により実現されてよい。図５の操作履歴保持部１５および図６の情報保持部２６は、たとえば記憶部１１２に含まれる。

また、図６に示した入出力部２１、操作情報取得部２２、通信キャプチャ部２３、判断部２４およびコマンド生成部２５の動作もまた、図３に示した制御部１００が、メモリ部１０２中に格納されたソフトウェアを実行することで実現されてもよいし、少なくとも一部については、ハードウェアで実現されてもよい。たとえば、これらの機能部それぞれに対応するモジュールを含んだプログラムがメモリ部１０２に格納されている。

なお、通信監視部２０がＭＦＰ２（通信装置）に含まれる場合、通信監視部２０が感染することを防止するために、メイン制御部１２および操作制御部１３の機能を実現するＣＰＵと、通信監視部２０内の機能を実現するＣＰＵとは、別個に設けられてもよい。共通のＣＰＵにより両機能が実現される場合には、通信監視部２０内の機能を実現するプログラムはＯＳとは独立して実行されることが望ましい。また、これらの機能が共通のＣＰＵによって実現される場合には、通信監視部２０を扱うメモリ空間と、それ以外の制御部が扱うメモリ空間とは、独立していることが好ましい。

＜データ構造例について＞
ここで、情報保持部２６に保存される通信情報および操作履歴情報のデータ構造の一例を図７および図８に示す。

（通信情報）
図７は、本発明の実施の形態１における通信情報のデータ構造例を示す図である。

図７を参照して、通信情報は、たとえば６つの項目７１〜７６を含む。項目７１には、パケットキャプチャソフトにより付与されるＩＤが記録される。項目７２には、パケットの通信時刻が記録される。項目７３には、パケットの送信元が記録される。項目７７には、項目の送信先が記録される。項目７５には、通信プロトコルが格納される。項目７６には、その他の情報が記録される。たとえば、パケットの内容を表わす文字列（ＤＡＴＡ，ＱＵＩＴ）や、パケットのサイズ（１４６０bytesなど）の情報が記憶されている。ScanToEmailのデータは、１つのパケットでは送信できないので、データは分割して送信される。分割されたデータのスタートを表わすパケットが「ＤＡＴＡコマンド（ＩＤ：１３３）」であり、終了を表わすパケットが「ＱＵＩＴコマンド（ＩＤ：３４４）」であるので、項目７６のデータ内容により１つの通信の開始と終了とを知ることができる。

（操作履歴情報）
図８は、本発明の実施の形態１における操作履歴情報のデータ構造例を示す図である。

図８を参照して、操作履歴情報は、たとえば５つの項目８１〜８５を含む。項目８１には、各操作（ジョブ）ごとに付与される操作Ｎｏが記録される。項目８２には、操作の種類、すなわち、ユーザ等に指示されたジョブを特定するための情報が記録される。項目８３には、宛先が記録される。項目８４には、登録時間が記録される。項目８５には、ページ数が記録される。

図８には、ScanToEmailの指示が入力された場合のデータ例が示されているため、項目８３には、宛先のアドレスが記載されているが、項目８３には、送信先の通信装置が識別可能なデータが記録されればよい。

ここでは、ScanToEmailを行なったときの操作履歴のみが示されているが、データ送信を伴なうような操作履歴は全て格納されるものとする。たとえば、ScanToSMB（ＳＭＢサーバ（ＳＭＰプロトコルを利用したサーバ）へのスキャンデータの送信を指示する操作）、プリントジョブ（ＭＦＰ内に保持されているファイル印刷を指示する操作、分散印刷を指示する操作）、あるいは、ScanTo外部サービス（画像処理、ＯＣＲサービス、翻訳サービスの出力ジョブ）などの操作履歴が格納される。あるいは、データ送信を伴なわないような操作履歴、たとえばコピー／プリントアウトの操作履歴も格納されてよい。

項目８４の登録時間は、ユーザからの操作が送信元の通信装置において登録された時刻を示している。そのため、本実施の形態において、登録時間は、操作時刻と言い換えられる。

監視対象の通信装置が複数ある場合には、情報保持部２６において、たとえば、監視対象の通信装置の識別データ（たとえばＩＰアドレス）と対応付けて図８に示したような操作履歴情報が記録される。なお、本実施の形態では、操作履歴情報にページ数（項目８５）が含まれなくてもよい。

＜動作について＞
以下に、監視対象の通信装置がＭＦＰ１として、本実施の形態における通信監視システム１の動作について説明する。

（操作履歴情報の取得処理）
図９は、本発明の実施の形態１の通信監視システム１において実行される操作履歴情報の取得処理を示すフローチャートである。操作履歴情報の取得処理は、ＭＦＰ２（通信監視装置）とＭＦＰ１（監視対象の通信装置）とのそれぞれにおいて、制御部１００内のＣＰＵがメモリ部１０２に格納されたプログラムを実行することによって実現される。

図９を参照して、通信監視部２０の操作情報取得部２２は、一定時間経過したか否かを判断する（ステップＳ２）。一定時間経過したと判断すると（ステップＳ２においてＹＥＳ）、監視対象のＭＦＰ１に対し、操作履歴を要求する（ステップＳ４）。

ＭＦＰ１は、操作履歴の要求を受信すると（ステップＳ６）、自装置の操作履歴保持部１５に格納された操作履歴情報を読出す（ステップＳ８）。具体的には、ＭＦＰ１のデータ送受信部１１が、操作履歴要求を受信すると、メイン制御部１２は、操作制御部１３に対し、操作履歴の読出を指示する。操作制御部１３は、操作履歴保持部１５に格納された操作履歴情報を読出す。読出された操作履歴情報は、メイン制御部１２に渡される。メイン制御部１２は、受取った操作履歴情報を、データ送受信部１１に出力する。これにより、データ送受信部１１によって、操作履歴を要求してきたＭＦＰ２に対し、操作履歴情報が送信される（ステップＳ１０）。

ＭＦＰ２は、データ送受信部１１において操作履歴情報を受信する（ステップＳ１２）。受信された操作履歴情報は、通信監視部２０内の入出力部２１に入力される。入出力部２１に入力された操作履歴情報は、操作情報取得部２２に出力される。操作情報取得部２２は、受信した操作履歴情報を情報保持部２６に格納する（ステップＳ１４）。なお、情報保持部２６に既にＭＦＰ１の操作履歴情報が格納されている場合には、記憶されている操作履歴情報を受信した操作履歴情報によって更新してもよい。

この処理が終わると処理はステップＳ２に戻される。これにより、ＭＦＰ２は、一定時間毎に監視対象のＭＦＰ１の操作履歴情報を取得することができる。

なお、本実施の形態では定期的に操作履歴情報を取得することとしたが、通信が検知されたことを契機として操作履歴情報を取得してもよい。その場合、たとえば、通信の開始時刻よりも所定時間前の操作履歴情報を取得すればよい。

（パケットキャプチャ処理）
図１０は、本発明の実施の形態１におけるＭＦＰ２（通信監視装置）が実行するパケットキャプチャ処理を示すフローチャートである。図１０のフローチャートに示す処理は、予めプログラムとしてメモリ部１０２に格納されており、制御部１００内のＣＰＵがこのプログラムを読み出して実行することにより、パケットキャプチャ処理の機能が実現される。

図１０を参照して、通信監視部２０の通信キャプチャ部２３は、監視対象のＭＦＰ１から自装置（ＭＦＰ２）または他の通信装置（たとえばＭＦＰ３またはＰＣ４０）に対しデータ送信を、パケットキャプチャにより認識する。ＭＦＰ１からの通信が認識されると、パケットキャプチャによるパケットの解析を開始する（ステップＳ１０２）。

通信キャプチャ部２３は、パケットを解析することにより、図７に示したような通信情報を取得する（ステップＳ１０４）。パケットの解析は公知の手法により実行される。通信キャプチャ部２３は、取得した通信情報を、情報保持部２６内の所定の領域に格納する（ステップＳ１０６）。通信情報の取得および格納は、１つの通信が終了するまで繰返される（ステップＳ１０８においてＮＯ）。

なお、本実施の形態では、このようなパケットキャプチャ処理と、後述する不正判断処理（図１１）とを独立に行なうこととしたが、これらの処理は、一続きの処理として実現されてもよい。

（不正判断処理）
図１１は、本発明の実施の形態１におけるＭＦＰ２（通信監視装置）が実行する不正判断処理を示すフローチャートである。図１１のフローチャートに示す処理もまた、予めプログラムとしてメモリ部１０２に格納されており、制御部１００内のＣＰＵがこのプログラムを読み出して実行することにより、不正判断処理の機能が実現される。

図１１を参照して、通信監視部２０の判断部２４は、パケットキャプチャが開始されたか否かを判断する（ステップＳ２０２）。パケットキャプチャの開始の判断は、たとえば、情報保持部２６内の通信情報が更新されたか否かによって判断することができる。

パケットキャプチャが開始されると（ステップＳ２０２においてＹＥＳ）、判断部２４は、通信時間が所定時間を超えたか否かを判断する（ステップＳ２０４）。これにより、今回の通信が、不正判断の対象の通信かどうかが判断される。通信時間が予め設定された時間の長さに達したかどうかは、図７に示した通信情報の項目７２（通信時刻）を参照することで算出可能である。

なお、ここでは、時間により不正判断の対象の通信かどうかを判断することとしたが、予め設定されたデータ量によって判断してもよい。このようなデータ量も、図７に示した通信情報より算出可能である。

または、通信プロトコル（図７の項目７５）により不正判断の対象の通信か否かを判断してもよい。たとえば通信プロトコルがＳＭＴＰ（Simple Mail Transfer Protocol），ＨＴＴＰ（HyperText Transfer Protocol），ＦＴＰ（File Transfer Protocol）以外であれば不正判断の対象外とし、ＳＭＴＰ，ＨＴＴＰ，ＦＴＰであれば不正判断の対象とすることとしてもよい。

または、通信時間、データ量および通信プロトコルのうちのいずれかを組合わせることとしてもよい。または、ユーザが、これらのうちどれを、不正判断の対象の通信かどうかの判断に用いるかを選択できてもよい。

通信時間が所定時間以下と判断した場合（ステップＳ２０４においてＮＯ）、通信の終了が検知されたか否かを判断する（ステップＳ２０６）。通信の終了は、たとえば、図７に示した通信情報の項目７６に「ＱＵＩＴコマンド」が記録されたか否かを参照することにより検知可能である。

通信時間が所定時間以内の間に通信終了が検知された場合には（ステップＳ２０６においてＹＥＳ）、不正判断の対象ではないとして当該不正判断処理は終了される。このように、通信時間が所定時間以内の単なるコマンドなどは、不正判断の対象から除外される。その結果、不正判断処理の負荷を低減することができる。

一方、通信の終了が検知される前に通信時間が所定時間を超えたと判断された場合（ステップＳ２０６においてＮＯ，ステップＳ２０４においてＹＥＳ）、ステップＳ２０８に進む。

ステップＳ２０８において、判断部２４は、図７に示した通信情報の送信元の情報（項目７３）と通信時刻の情報（項目７２）とに基づいて、情報保持部２６に格納されている操作履歴を検索する（ステップＳ２０８）。具体的には、送信元がＭＦＰ１であれば、情報保持部２６に格納されている、ＭＦＰ１についての操作履歴情報のうち、今回の通信開始時刻からたとえば３分前までの操作履歴を検索する。

次に判断部２４は、今回の通信に該当する操作履歴が操作履歴情報に存在するか否かを判断する（ステップＳ２１０）。つまり、操作履歴情報において、送信先（項目８３の宛先により特定される通信装置）が今回の通信と同一であり、かつ、操作時刻（項目８４）が今回の通信開始時刻から３分前までの操作履歴があるかどうかを判断する。この判断において、通信情報のプロトコル（項目７５）と操作の種類（項目８２）との整合性も判断される。このように整合性を判断するためには、たとえば、操作の種類とプロトコルとを対応付けたデータテーブルがメモリ部１０２に予め格納されている。

図８の操作履歴情報の場合、Ｎｏ．１の操作の登録時間（項目８４）が、図７の通信開始時刻（ＩＤ：１３３の通信時刻）の約１分前であるので、当該通信は、Ｎｏ．１の操作に応じた通信であると推定することができる。

操作履歴情報に該当する操作履歴があると判断した場合（ステップＳ２１０においてＹＥＳ）、当該通信は正常通信と判定する（ステップＳ２１２）。

これに対し、該当する操作履歴がないと判断した場合には（ステップＳ２１０においてＮＯ）、当該通信は不正通信と判定する（ステップＳ２１４）。不正通信と判定された場合、判断部２４は、その結果をコマンド生成部２５に出力する。

コマンド生成部２５は、判断部２４からの指示に基づき、強制終了コマンドを生成する（ステップＳ２１６）。ステップＳ２１６において生成されるＮＩＣ強制終了コマンドの一例を図１２に示す。

コマンド生成部２５によって強制終了コマンドが生成されると、強制終了コマンドは、入出力部２１を介してデータの送信元であるＭＦＰ１に送信される（ステップＳ２１８）。

ステップＳ２１２またはステップＳ２１８の処理が終わると、当該不正判断処理は終了される。

なお、本実施の形態では、不正通信を検知すると、強制終了コマンドを送信元に送信することとした。しかしながら、不正通信と判定後の処理はこのような処理に限定されない。たとえば、コマンド生成部２５は、ネットワーク５２内においてのみ有効なブラックリストをネットワーク５２内の他の通信装置に配布してもよい。このような方法は、後の実施形態４において詳細に説明する。

あるいは、不正を検知した場合、不正通信にあたるジョブ（操作）については、機器の課金情報を追加しないようにしてもよい。具体的には、通信監視装置としてのＭＦＰ２は、図示しない課金サーバに対し、不正通信と判断された通信については、課金の対象から除外するよう指示するようにしてもよい。つまり、送信先の情報と、不正通信と判断された通信を特定するための情報とを、課金サーバに送信することで、不正通信によって不正なデータを受取った通信装置に対して課金情報が追加されることを防止することができる。これにより、本実施の形態のように通信装置がＭＦＰやプリンタのような装置である場合に、スキャンデータやプリントデータが不正に送信されたとしても、不正に課金情報が追加されないようにすることができる。

または、サポートセンターや担当サービスマンによって保持されるＰＣあるいは管理者によって保持されるＰＣに対し、不正が行なわれている旨を送信してもよい。このような送信は、メールによる送信を含む。

または、不正を行なったＭＦＰ１（送信元）の操作パネル部１１０に不正通信が行なわれた旨を表示するよう指示してもよいし、データの受信側のＭＦＰ２の操作パネル部１１０に不正が行なわれた旨を表示してもよい。

または、不正を検知した場合における上記のような処理を組合わせて行なってもよい。
以上のように、本実施の形態によると、操作履歴情報を用いて通信が正常か不正かが判断される。これにより、データ量や通信時間だけでは判断しにくい不正な通信を検知できる。ウィルスにのっとられた通信装置は、操作がないにもかかわらずジョブだけが生成され正常のようなデータが送信されることがあるが、本実施の形態によると、そのような不正通信を確実に検出することができる。

具体的には、ＭＦＰやプリンタが通信装置である場合には、スキャンデータまたはプリントデータを他のデバイスに不正に送信したり、ScanToSMB機能を不正に使ってサーバをダウンさせたりといった不正通信を検出することができる。その結果、不正通信により生じる利用者への悪影響（予定されていない課金など）を防止することができる。

また、本実施の形態によると、ＳＳＬ通信など、データの中身を知ることができない暗号化通信が行なわれている場合にも、通信が正常か不正かを判断することもできる。ＳＳＬ通信の場合でも不正の判断をできるのは、ＳＳＬ通信においても、図７に示したプロパティのような情報を取得することができるからである。

［実施の形態２］
次に、本発明の実施の形態２における通信監視システムについて説明する。本実施の形態でも、通信監視装置が図１に示したＭＦＰ２であるものとする。つまり、ＭＦＰ２内に通信監視部が存在するものとする。

以下に、実施の形態１におけるＭＦＰ２との違いのみ説明する。
本実施の形態において、ＭＦＰ２は、監視対象の通信装置の操作履歴情報だけでなく、通信予約テーブルを参照して、通信が不正か否かを判断する。

（機能構成について）
図１３は、本発明の実施の形態２における通信監視部２０Ａの機能構成を示すブロック図である。本実施の形態におけるＭＦＰ２は、通信監視部２０に代えて通信監視部２０Ａを含む。図１３において、実施の形態１の通信監視部２０と同様の構成については図６と同じ符号を付してある。したがってそれらについての詳細な説明は繰返さない。

図１３を参照して、本実施の形態では、通信監視部２０Ａは、通信予約テーブル保持部２７を含む。また、判断部２４に代えて判断部２４Ａが含まれる。通信予約テーブル保持部２７もまた、図３に示した記憶部１１２内に含まれてもよい。

（通信予約テーブルについて）
図１４は、通信予約テーブル保持部２７に保持される通信予約テーブルの一例を示す図である。

図１４を参照して、通信予約テーブルは、７つの項目９１〜９７を含む。項目９１には、各通信予約を識別するためのＩＤが記録される。項目９２には、予約の通信開始時刻が記録される。項目９３には、予約の通信終了時刻が記録される。項目９４には、送信元の情報が記録される。項目９５には、送信先の情報が記録される。項目９６には、通信予約の内容が記録される。項目９７には、対応する通信が、例外的に正常であると判断されるべきか否かの情報（ＯＫ／ＮＧ）が記録される。

なお、通信予約テーブルには、例外的に正常通信と扱われるべき通信予約についての情報のみが格納されてもよい。その場合、項目９６には全て「ＯＫ」が記録されてよい。本実施の形態では、図１４に示されるように、通信予約テーブルには、正常通信と扱われるべき通信予約についての情報のみが格納されているものとする。

通信予約テーブルは、たとえば、管理者などによって登録および編集可能である。
（不正判断処理について）
図１５は、本発明の実施の形態２における不正判断処理を示すフローチャートである。図１５において、実施の形態１の図１１に示した処理と同様の処理については同じステップ番号を付してある。したがってそれらについての詳細な説明は繰返さない。

図１５を参照して、本実施の形態では、ステップＳ２１０において該当する操作履歴がないと判断された場合（ステップＳ２４においてＮＯ）、ステップＳ２６２およびＳ２６４の処理が追加される。

ステップＳ２６２において、通信監視部２０Ａの判断部２４Ａは、通信予約テーブル保持部２７に格納された通信予約テーブルを検索する。つまり、図７に示した通信情報の送信元の情報（項目７３）と通信時刻の情報（項目７２）とに基づいて、通信予約テーブル保持部２７に格納されている通信予約テーブルを検索する。

通信予約テーブルに、今回の通信の送信元および通信時刻が一致する通信が存在すれば（ステップＳ２６４においてＹＥＳ）、ステップＳ２１２において、正常通信と判定される。なお、通信時刻は完全一致の必要はなく、通信予約テーブルにおける通信開始時刻（項目９２）の前後所定時間以内に開始された通信であれば、通信時刻は一致していると判断してよい。

通信予約テーブルに、該当する通信予約が存在しないと判断された場合には（ステップＳ２６４においてＮＯ）、当該通信は不正通信と判定される（ステップＳ２１４）。

このように、本実施の形態によると、通信予約テーブルを用いることで、正しく予約された正常な通信（たとえばログ情報の自動バックアップなど）を例外として扱うことができる。その結果、実施の形態１よりもさらに精度良く不正通信を検出することができる。

［実施の形態３］
次に、本発明の実施の形態３における通信監視システムについて説明する。本実施の形態でも、通信監視装置が図１に示したＭＦＰ２であるものとする。つまり、ＭＦＰ２内に通信監視部が存在するものとする。

以下に、実施の形態１におけるＭＦＰ２との違いのみ説明する。
本実施の形態において、ＭＦＰ２は、各操作（ジョブ）により生じる通信量を推定し、その推定結果をさらに用いて通信が不正か否かを判断する。

本実施の形態において通信装置間でやりとりされるデータは、スキャンデータ（原稿を読取ることによって形成された画像データ）または印刷データであるものとする。したがって、本実施の形態における監視対象の通信装置としては、ＭＦＰ、プリンタ、プリンタドライバがインストールされたＰＣなどが例示できる。

（機能構成について）
図１６は、本発明の実施の形態３における通信監視部２０Ｂの機能構成を示すブロック図である。本実施の形態におけるＭＦＰ２は、通信監視部２０に代えて通信監視部２０Ｂを含む。図１６においても、実施の形態１の通信監視部２０と同様の構成については図６と同じ符号を付してある。したがってそれらについての詳細な説明は繰返さない。

図１６を参照して、本実施の形態における通信監視部２０Ｂは、新たな構成として推定部２８を含む。また、判断部２４および情報保持部２６それぞれに代えて、判断部２４Ｂおよび情報保持部２６Ａが含まれる。

本実施の形態において情報保持部２６Ａには、図１７に示すような操作履歴情報が格納される。

図１７を参照して、本実施の形態では、図８に示した操作履歴情報の項目８１〜８５に加え、項目８６〜８８が新たに追加される。項目８６には、原稿サイズが記録される。項目８７には、解像度が記録される。項目８８にはファイル形式が格納される。

本実施の形態では、ページ数、原稿サイズ、解像度およびファイル形式が操作履歴情報に含まれることで、推定部２８は、ジョブ毎の通信量を推定することができる。たとえば、図１７に示した操作Ｎｏ．１のジョブの場合、原稿サイズ：Ａ４、解像度：２００ｄｐｉ、ファイル形式：Ｊｐｅｇであるので、２８０キロバイト／１頁と推定でき、２８０キロバイト×５ページで、約１４００キロバイトと推定することができる。本実施の形態において判断部２４Ｂは、推定部２８の推定結果も利用して不正か否かの判断を行なう。

（不正判断処理について）
図１８は、本発明の実施の形態３における不正判断処理を示すフローチャートである。

図１８においても、実施の形態１の図１１に示したフローチャートと同様の処理については同じステップ番号を付してある。したがってそれらについての説明は繰返さない。

図１８を参照して、本実施の形態では、ステップＳ２１０と２１２との間に、ステップＳ３００〜Ｓ３０４の処理が挿入される。

ステップＳ２１０において該当する操作履歴があると判断された場合（ステップＳ２１０においてＹＥＳ）、ステップＳ３００において、判断部２４Ｂは、通信が終了されたか否かを再度判断する。通信の終了を検知すると（ステップＳ３００においてＹＥＳ）、推定部２８に対し通信量の推定を指示する。その際に、判断部２４Ｂは、ステップＳ２０８，Ｓ２１０で該当する操作と判断された操作Ｎｏの情報を推定部２８に出力する。

推定部２８は、判断部２４Ｂからの指示に応じて、情報保持部２６Ａに格納された操作履歴情報より通信量を推定する（ステップＳ３０２）。具体的には、推定部２８は、判断部２４Ｂより得られた操作Ｎｏに対応するページ数（項目８５）、原稿サイズ（項目８６）、解像度（項目８７）およびファイル形式（項目８８）を、情報保持部２６Ａに格納された操作履歴情報より読み出す。そして、読み出されたこれらのデータに基づいて、対応の操作に伴ない生じる通信量が推定される。通信量の推定結果は、判断部２４Ｂに出力される。

判断部２４Ｂは、情報保持部２６Ａに記録されている通信情報より実際の通信量を算出し、算出された実際の通信量と推定値（推定された通信量）との差異が、所定値以下であるか否かを判断する（ステップＳ３０４）。差異が所定値以下と判断された場合（ステップＳ３０４においてＹＥＳ）、ステップＳ２１２に進み、正常通信と判定される。一方、差異が所定値を超えていると判断した場合（ステップＳ３０４においてＮＯ）、ステップＳ２１４に進み、不正通信と判定される。

通信装置がＭＦＰやプリンタの場合、データ送信される原稿の情報が得られればおおよその通信量を推定することができる。原稿情報は操作履歴情報から得ることができるので、操作履歴情報によって通信量が推定できる。したがって、この推定値を用いれば、実施の形態１よりもさらに不正通信の検知の精度を上げることができる。

なお、本実施の形態では、判断部２４Ｂと推定部２８とを独立した機能部として示したが、推定部２８の機能は判断部２４Ｂに含まれてもよい。

＜実施の形態３の変形例＞
上記実施の形態３では、通信が終了してから実際の通信量と推定値との差異を判断したが、不正通信のブロックという観点からは、通信途中に不正の検出をできることが望ましい。したがって、本変形例では、通信途中において、通信量の推定および不正通信の検知処理を実行する。

図１９は、本発明の実施の形態３の変形例における不正判断処理を示すフローチャートである。図１５において、実施の形態３の図１８に示した処理と同様の処理については同じステップ番号を付してある。したがってそれらについての詳細な説明は繰返さない。

図１９を参照して、本変形例では、図１８に示したステップＳ３００，Ｓ３０２，Ｓ３０４の処理順序が異なる。つまり、ステップＳ２１０において該当する操作履歴があると判断された場合（ステップＳ２１０においてＹＥＳ）、ステップＳ３０２においてまず、通信量の推定が実行される。その後、ステップＳ３００において、通信が終了されたか否かが判断部２４Ｂによって判断される。通信が終了されていないと判断された場合（ステップＳ３００においてＮＯ）、ステップＳ３０４に進む。

ステップＳ３０４では、実際の通信量と推定値との差異が所定値以下であるか否かが判断される。当該差異が所定値以下であればステップＳ３０２に戻り、通信が終了されるまで通信量の推定が行なわれる。一方、ステップＳ３０４において差異が所定値を超えたと判断された場合（ステップＳ３０４においてＮＯ）、ステップＳ２１４に進み、当該通信は不正通信と判定される。

これに対し、実際の通信量と推定値との差異が所定値以下のまま通信が終了されると（ステップＳ３００においてＹＥＳ）、ステップＳ２１２に進み、当該通信は正常通信と判定される。

このように、本変形例によれば、通信途中で不正通信か否かが判断できるので実施の形態３に比べて素早く不正の判断をすることができる。その結果、不正通信を通信途中でブロックすることができる。

［実施の形態４］
次に、本発明の実施の形態４における通信監視システムについて説明する。本実施の形態でも、通信監視装置が図１に示したＭＦＰ２であり、ＭＦＰ２がＭＦＰ１の通信を監視しているものとして説明する。つまり、ＭＦＰ２内に通信監視部が存在するものとする。

以下に、実施の形態１における通信監視システムとの違いのみ説明する。
本実施の形態では、不正通信が検知されると、ＭＦＰ２は、ネットワーク５２（図２）内においてのみ有効なブラックリスト（以下「ローカルＣＲＬ」という）をネットワーク５２内の他の通信装置に配布する。

（通信監視システムの概要）
図２０は、本発明の実施の形態４における通信監視システム１Ａの概要を示す図である。

図２０を参照して、本実施の形態において、ＭＦＰ１とＭＦＰ２との間の通信は、各々の証明書を用いたＳＳＬ通信が行なわれる。ＭＦＰ１とＭＦＰ３との間の通信も同様に、各々の電子証明書を用いたＳＳＬ通信が行なわれる。

ＭＦＰ２は、監視対象のＭＦＰ１が不正通信を行なっていないかを監視する。ＭＦＰ１の不正通信を検出すると、ＭＦＰ１の電子証明書の使用を阻止するためのローカルＣＲＬ６０をネットワーク５２内の他の装置（ＭＦＰ３など）に配布する。

電子証明書を用いた通信を行なうことのできる通信システムにおいて、ある通信装置が何らの不正を行なう場合、安全上、その通信装置との通信をブロックする必要がある。公知の手法として、ある通信装置の通信をブロックするためには、ＣＡ４０に対しＣＲＬの発行を依頼することがある。

ここで、通常の（一般的な）ＣＲＬが発行される場合の手順について簡単に説明する。たとえば、ＭＦＰ２が、ＭＦＰ１の不正を検知すると、ＭＦＰ１の電子証明書をＣＲＬに登録するようＣＡ３０に依頼する。依頼を受けたＣＡ３０は、ＭＦＰ１の電子証明書（ＭＦＰ１の公開鍵証明書のシリアル番号）を追加したＣＲＬを、電子証明書を利用した通信を行なう他の通信装置（ＭＦＰ２，３、ＰＣ４０など）に配布する。

ＣＡ３０によって一度ＣＲＬに登録されると、その電子証明書または通信装置は利用できなくなってしまう。したがって、通信装置が行なった不正がたとえばウィルス感染など一時的なものである場合にまでＣＲＬに登録すると、ウィルスが駆除されてもその電子証明書または通信装置は使うことができず、不都合をきたす。

そのため、本実施の形態では、不正を行なった通信装置の通信を一時的にブロックするために、ローカルＣＲＬ６０を配布する。

なお、監視対象のＭＦＰ１は、直接インターネット５０（図１）に接続することができない装置であってもよい。つまり、ＭＦＰ１は、インターネット５０に接続するためには、たとえばＭＦＰ２を経由しなければならいローカルな通信装置であってもよい。

また、ＭＦＰ１は、証明書のハンドリング機能を持たない通信装置であってもよい。つまり、ＭＦＰ１の電子証明書は、たとえばＭＦＰ２が代理で取得および保持する形態であってもよい。その場合、ＭＦＰ１とＭＦＰ２との間の通信は、たとえば、共通鍵暗号化方式によりデータを暗号化することで行なわれてもよい。

（ローカルＣＲＬ）
図２１は、本発明の実施の形態４におけるローカルＣＲＬ６０のデータ構造例を示す図である。

図２１を参照して、ローカルＣＲＬ６０は、たとえば４つの項目６１〜６４を含む。項目６１には、失効特定情報として、通信をブロックすべきデバイスの機器特定情報（機器ＩＤまたはアドレス）が記録される。また／または、証明書特定情報（証明書のシリアル番号）が記録されてもよい。項目６２には、検知された不正が解消されたことを示す条件が復帰条件として記録される。つまり、違反した監視ポリシーを再び満足するために必要な条件が記録される。項目６３には、ネットワーク５２内で通信をブロックすべき期間（期日）が記録される。項目６４には、当該ローカルＣＲＬ６０に登録された日にち、すなわち不正が検知された日にちが記録される。

なお、ローカルＣＲＬ６０には、有効期限が含まれなくてもよい。
（ローカルＣＲＬ発行処理）
図２２は、本発明の実施の形態４におけるローカルＣＲＬ発行処理を示すフローチャートである。図２２のフローチャートでは、図１１に示したステップＳ２０２（パケットキャプチャ開始）〜Ｓ２１４（不正通信と判定）までの処理が簡略化されて示されている。

図２２のフローチャートに示す処理は、ＭＦＰ２（通信監視装置）とＭＦＰ３（ネットワーク５２内の他の通信装置）とのそれぞれにおいて、制御部１００内のＣＰＵがメモリ部１０２に格納されたプログラムを実行することによって実現される。

図２２を参照して、ＭＦＰ２の通信監視部２０は、パケットキャプチャにより得られる通信情報および操作履歴情報に基づいて、ＭＦＰ１がポリシーを守っているかどうかをチェックする（ステップＳＡ１０２）。つまり、図１１に示したステップＳ２０２〜Ｓ２１０の処理により、ＭＦＰ１の通信が操作履歴情報に基づく正常の通信かどうかが判断される。

ＭＦＰ１の不正が検出された場合（ステップＳＡ１０４にてＹＥＳ）、すなわち、図１１のステップＳ２１０にて該当する操作履歴が存在しないと判断された場合、ステップＳＡ１０６に進む。一方、ＭＦＰ１の不正が検出されなかった場合（ステップＳＡ１０４にてＮＯ）、すなわち、図１１のステップＳ２１０にて該当する操作履歴が存在すると判断された場合、ＭＦＰ１の通信は正常と判定されて（図１１のステップＳ２１２）、この処理は終了される。

ステップＳＡ１０６において、通信監視部２０は、ＭＦＰ＿ＬＭの通信をブロックする。具体的には、たとえば、コマンド生成部２５によって強制終了コマンドが生成および送信される。

続いて、ローカルＣＲＬの生成または更新が行なわれる（ステップＳＡ１０８）。ローカルＣＲＬは、たとえば、ＭＦＰ２内の記憶部１１２の所定の領域に格納されている。既に、自装置にローカルＣＲＬが記憶されている場合には、そのローカルＣＲＬが更新され、記憶されていない場合には、新たにローカルＣＲＬが生成される。通信監視部２０は、たとえば、ＭＦＰ１の電子証明書のシリアル番号（証明書特定情報）をローカルＣＲＬに記載し、当該シリアル番号に対応付けて、復帰条件、有効期限、および登録日をさらに記載する。このような処理も、コマンド生成部２５によって行なわれてもよい。

ローカルＣＲＬに記載される復帰条件は、たとえば次のような例が挙げられる。
Ａ） ウィルスチェック完了を確認
Ｂ） 管理者操作完了（メカニカルスイッチ（リセットボタンなど）、特定の秘密情報がデフォルトに変更）
なお、復帰条件を上記のうちのいずれに設定するかは、たとえば、操作の種類に応じて予め定められていてもよい。または、復帰条件は、これらのうちの一方のみとしてもよい。

ローカルＣＲＬに記載される有効期限は、操作の種類に関わらず固定であってもよいし、操作の種類に応じて定められたものであってもよい。

ＭＦＰ２の通信監視部２０は、ローカルＣＲＬに自己署名を行ない、ネットワーク５２内の他の通信装置であるＭＦＰ３に、署名後のローカルＣＲＬを発行する（ステップＳＡ１１０）。

ＭＦＰ３は、データ送受信部１１においてローカルＣＲＬを受信する（ステップＳＡ１１２）。メイン制御部１２は、新たなローカルＣＲＬを受取ったことに応じて、ＭＦＰ３内の記憶部１１２内のローカルＣＲＬを更新する（ステップＳＡ１１４）。たとえば、記憶済みのローカルＣＲＬを、受取ったローカルＣＲＬによって上書きしてもよいし、受取ったローカルＣＲＬにおいて更新された部分のみを追加および削除してもよい。

このように、ローカルＣＲＬが配布されると、不正を犯したＭＦＰ１の復帰監視ステータスに移行する。なお、ローカルＣＲＬ発行処理と後述の復帰監視処理（図２３）とは並行して行なわれてよい。したがって、ローカルＣＲＬに記載されたＭＦＰ１に対しても、継続的に図２２に示されるローカルＣＲＬ発行処理を行なってもよい。

（復帰監視処理）
本実施の形態において、ＭＦＰ１の復帰を監視する処理について説明する。

図２３は、本発明の実施の形態４における復帰監視処理を示すフローチャートである。
図２３を参照して、ＭＦＰ３は、ＭＦＰ２に対して、ＭＦＰ１が復帰条件を満たしたか否かの確認を依頼する（ステップＳＡ２０２）。確認の依頼は、ＭＦＰ３の記憶部１１２にローカルＣＲＬが存在する場合に、たとえば定期的に行なわれる。

ＭＦＰ２の通信監視部２０は、ＭＦＰ３からの依頼に基づき、ローカルＣＲＬに記載の復帰条件をチェックする（ステップＳＡ２０４）。具体的には、たとえば、復帰条件がＡ）のウィルスチェック完了であった場合、ＭＦＰ１においてウィルスチェックが完了されたかどうかをチェックする。このような確認に際し、ＭＦＰ２は、ローカルＣＲＬに復帰条件として記載された事項をＭＦＰ１に通知し、ＭＦＰ１は、通知された復帰条件に関わる現時点の情報を返信するようにしてもよい。

ＭＦＰ２の通信監視部２０は、ＭＦＰ１が復帰条件を満たしていないと判断した場合（ステップＳ２０６ＡにてＮＯ）、問合せしてきたＭＦＰ３に対し、復帰不可能信号を送信することで、復帰ＮＧを通知する（ステップＳＡ２０８）。復帰ＮＧの通知を受けたＭＦＰ３は、この処理を終了する（ステップＳＡ２１０）。

これに対し、ＭＦＰ１が復帰条件を満たしていると判断した場合（ステップＳＡ２０６にてＹＥＳ）、問合せしてきたＭＦＰ３に対し、ＭＦＰ１の通信の制限を解除するための解除情報として復帰可能信号を送信することで、復帰ＯＫを通知する（ステップＳＡ２１２）。復帰可能を確認したＭＦＰ２と、復帰ＯＫの通知を受けたＭＦＰ３とは、記憶部１１２内のローカルＣＲＬからＭＦＰ１の証明書特定情報（または機器特定情報）を削除する（ステップＳＡ２１６，ＳＡ２１８）。これにより、復帰監視処理は終了される。

なお、本実施の形態では、ＭＦＰ３は、ＭＦＰ２を介してＭＦＰ１の復帰を確認したが、ＭＦＰ１に対して直接確認してもよい。その場合、ＭＦＰ３は、ローカルＣＲＬに復帰条件として記載された事項をＭＦＰ１に通知する。ＭＦＰ１は、確認の依頼を受けると、復帰条件に関わる現時点の情報を返信する。ＭＦＰ３は、ＭＦＰ１からの返信内容に応じて、ローカルＣＲＬからＭＦＰ１についての失効情報を削除し、ブロックを解除する。

ＭＦＰ２は、ＭＦＰ３からの依頼に基づかなくても、定期的にＭＦＰ１の復帰確認をしてもよい。ＭＦＰ１の復帰が確認されると、ＭＦＰ２は、ＭＦＰ１の証明書特定情報を削除したローカルＣＲＬをＭＦＰ３に配布してもよい。または、復帰条件を回復しない場合、ＭＦＰ２は、ローカルＣＲＬに記載の有効期限内にローカルＣＲＬを発行し続け、有効期限を過ぎても回復しない場合は、有効期限を延長（書き換え）してもよい。

また、図２３の復帰監視処理では、ＭＦＰ３は、復帰可能信号を受けて、自装置内のローカルＣＲＬを更新することとしたが、ＭＦＰ２より更新されたローカルＣＲＬを取得することによって自装置内のローカルＣＲＬを更新してもよい。つまり、ＭＦＰ１の通信の制限を解除するための解除情報として、更新後のローカルＣＲＬが用いられてもよい。

また、ＭＦＰ３は、自身で保持しているローカルＣＲＬに記載された有効期限を過ぎた場合に、再度、ＭＦＰ１にローカルＣＲＬの配布を要求し、最新のローカルＣＲＬを取得してもよい。このようにすることで、何らかの理由で復帰可能信号が受取れていなかった場合にでも確実にＭＦＰ１が復帰可能かどうかを確認することができる。

また、ローカルＣＲＬにおいて、復帰条件の確認タイミングをさらに記載することとしてもよい。確認タイミングとしては、一定時間経過後（たとえば、１０分毎、２４時間毎、など）、スケジュール確認（具体的な日にち）、所定のイベント発生時（たとえばデータ受信時）などが記載されてよい。ＭＦＰ２，３は、ローカルＣＲＬに記載された確認タイミングに応じて、ＭＦＰ１の復帰を確認してもよい。

また、ＭＦＰ２あるいはＭＦＰ３は、ＭＦＰ１が一向に（有効期限近くになっても）復帰条件を満足しない場合には、ＣＡ３０に対し、ＭＦＰ１の電子証明書を、ＣＡ３０が管理するＣＲＬに登録するよう依頼をしてもよい。

以上のように、本実施の形態によると、ウィルス感染などにより一時的な不正を犯したＭＦＰ１が存在すると、そのＭＦＰ１のネットワーク５２内での通信をブロックするためのローカルＣＲＬが発行される。ＭＦＰ１が、ネットワーク５２外の装置と直接通信する機能を有していない場合には特に、ローカルＣＲＬの発行によってネットワーク５２内外のセキュリティを十分に維持することができる。

また、ローカルＣＲＬには、不正を犯したＭＦＰ１の復帰条件が記載されることで、ホワイトリストが並存される形態よりも処理を容易化することができる。また、復帰条件を満たしたかを確認することによって、一時的な不正を犯したＭＦＰ１を自動的に復帰させることができる。これにより、少ない手順でＭＦＰ１とのセキュア通信を復活させることができる。

なお、ローカルＣＲＬには、必ずしも復帰条件が記載されなくてもよい。この場合、各ＭＦＰ２，３は、ローカルＣＲＬに記載された有効期限内は無条件にＭＦＰ１との通信をブロックすることになる。

上記実施の形態１〜４（実施の形態３の変形例を含む）を適宜組合わせてもよい。
本実施の形態の通信監視装置が行なう、通信監視方法を、プログラムとして提供することもできる。このようなプログラムは、当該プログラムをコンピュータが読取可能な一時的でない（non-transitory）記録媒体に記録される。このような「コンピュータ読取可能な記録媒体」は、たとえば、ＣＤ−ＲＯＭ（Compact Disc-ROM）などの光学媒体や、メモリカードなどの磁気記録媒体などを含む。また、このようなプログラムをコンピュータ読み取り可能な記録媒体に記録させて、プログラム製品として提供することもできる。また、ネットワークを介したダウンロードによって、プログラムを提供することもできる。

なお、本実施の形態に係るプログラムは、コンピュータのオペレーティングシステム（ＯＳ）の一部として提供されるプログラムモジュールのうち、必要なモジュールを所定の配列で所定のタイミングで呼出して処理を実行させるものであってもよい。その場合、プログラム自体には上記モジュールが含まれずＯＳと協働して処理が実行される。このようなモジュールを含まないプログラムも、本実施の形態に係るプログラムに含まれ得る。

また、本実施の形態に係るプログラムは他のプログラムの一部に組込まれて提供されるものであってもよい。その場合にも、プログラム自体には上記他のプログラムに含まれるモジュールが含まれず、他のプログラムと協働して処理が実行される。このような他のプログラムに組込まれたプログラムも、本実施の形態に係るプログラムに含まれ得る。なお、プログラム製品は、プログラム自体と、プログラムが記憶された記憶媒体とを含む。

今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

１，１Ａ 通信監視システム、３ イーサネット（登録商標）ケーブル、４ ハブ、５ ルータ、１０Ａ，１０Ｂ，１０Ｃ ＭＦＰ、１１ データ送受信部、１２ メイン制御部、１３ 操作制御部、１４ 操作部、１５ 操作履歴保持部、２０，２０Ａ，２０Ｂ 通信監視部、２１ 入出力部、２２ 操作情報取得部、２３ 通信キャプチャ部、２４，２４Ａ，２４Ｂ 判断部、２５ コマンド生成部、２６，２６Ａ 情報保持部、２７ 通信予約テーブル保持部、２８ 推定部、３０ ＣＡ、４０ ＰＣ、５０ インターネット、５２ ネットワーク、１００ 制御部、１０２ メモリ部、１０４ 画像読取部、１０６ プリント部、１０８ 通信インターフェイス、１１０ 操作パネル部、１１２ 記憶部、４５０ ＣＰＵ、４５２ メディアドライブ、４５２Ａ 記録媒体、４５４ ＲＡＭ、４５６ ＲＯＭ、４５８ モニタ、４６０ 入力部、４６２ 通信インターフェイス、４６４ ＨＤＤ。

Claims (13)

1. ネットワークに接続された、電子証明書を利用したセキュア通信を行なう複数の通信装置間の通信を監視する通信監視システムであって、
   前記複数の通信装置間の通信を監視するための監視手段を備え、
   前記監視手段は、
   前記複数の通信装置のうち監視対象の通信装置の操作履歴情報を取得するための第１の取得手段と、
   前記監視対象の通信装置を送信元とするパケットを取得し、取得したパケットを解析することにより通信情報を取得するための第２の取得手段と、
   取得された前記操作履歴情報および前記通信情報を記憶するための記憶手段と、
   前記操作履歴情報および前記通信情報を用いて、前記複数の通信装置間の通信が不正であるか否かを判断するための判断手段と、
   前記判断手段により不正と判断された場合に、送信元である前記監視対象の通信装置の電子証明書を失効させるための失効特定情報を記述した、前記ネットワーク内でのみ有効なブラックリストを、前記ネットワーク内の他の通信装置に配布するための手段とを含む、通信監視システム。
2. 前記操作履歴情報は、操作の種類、操作に伴なうデータの送信先を示す情報、および、操作時刻を含み、
   前記通信情報は、通信データの送信先を示す情報、および、通信時刻を含み、
   前記判断手段は、前記監視対象の通信装置の前記操作履歴情報において、データの送信先が一致し、かつ、前記通信時刻よりも所定時間前に該当する操作があったか否かを検索することにより、前記複数の通信装置間の通信が不正か否かを判断する、請求項１に記載の通信監視システム。
3. 前記記憶手段は、送信先および通信時刻を記載した通信予約テーブルを含み、
   前記判断手段は、前記操作履歴情報において前記該当する操作がないと判断した場合に、前記通信予約テーブルをさらに参照することで、前記複数の通信装置間の通信が不正であるか否かを判断する、請求項２に記載の通信監視システム。
4. 前記監視対象の通信装置は、原稿を読取ることによって形成された画像データを送信する装置、および、印刷データを送信する装置のいずれかを表わす、請求項２または３に記載の通信監視システム。
5. 前記操作履歴情報は、ページ数、原稿サイズ、解像度およびファイル形式をさらに含み、
   前記通信情報は、パケットサイズをさらに含み、
   前記監視手段は、前記操作履歴情報に基づいて、各操作に伴なう通信量を推定するための推定手段をさらに含み、
   前記判断手段は、前記操作履歴情報において前記該当する操作があると判断した場合に、前記推定手段により推定された前記通信量と、前記パケットサイズより得られる実際の通信量とを比較することで、前記複数の通信装置間の通信が不正であるか否かを判断する、請求項４に記載の通信監視システム。
6. 前記判断手段は、前記操作履歴情報において前記該当する操作がないと判断した場合には、前記複数の通信装置間の通信は不正であると判断する、請求項２に記載の通信監視システム。
7. 前記監視手段は、前記判断手段により不正と判断された場合に、送信元である前記監視対象の通信装置に強制終了コマンドを送信するためのコマンド送信手段をさらに含む、請求項１に記載の通信監視システム。
8. 前記監視手段は、前記複数の通信装置のうちの少なくともいずれかに存在する、請求項１に記載の通信監視システム。
9. ネットワークに接続された複数の通信装置間の通信を監視する通信監視システムであって、
   前記複数の通信装置間の通信を監視するための監視手段を備え、
   前記監視手段は、
   前記複数の通信装置のうち監視対象の通信装置の操作履歴情報を取得するための第１の取得手段と、
   前記監視対象の通信装置を送信元とするパケットを取得し、取得したパケットを解析することにより通信情報を取得するための第２の取得手段とを含み、
   前記操作履歴情報は、操作の種類、操作に伴なうデータの送信先を示す情報、および、操作時刻を有し、
   前記通信情報は、通信データの送信先を示す情報、および、通信時刻を有し、
   前記監視手段は、さらに、
   取得された前記操作履歴情報、前記通信情報、および、送信先および通信時刻を記載した通信予約テーブルを記憶するための記憶手段と、
   前記操作履歴情報および前記通信情報を用いて、前記複数の通信装置間の通信が不正であるか否かを判断するための判断手段とを含む、
   前記判断手段は、
   前記監視対象の通信装置の前記操作履歴情報において、データの送信先が一致し、かつ、前記通信時刻よりも所定時間前に該当する操作があったか否かを検索することにより、前記複数の通信装置間の通信が不正か否かを判断し、
   前記操作履歴情報において前記該当する操作がないと判断した場合に、前記通信予約テーブルをさらに参照することで、前記複数の通信装置間の通信が不正であるか否かを判断する、通信監視システム。
10. ネットワークに接続された複数の通信装置間の通信を監視する通信監視システムであって、
    原稿を読取ることによって形成された画像データを送信する装置、および、印刷データを送信する装置のいずれかを表す前記複数の通信装置間の通信を監視するための監視手段を備え、
    前記監視手段は、
    前記複数の通信装置のうち監視対象の通信装置の操作履歴情報を取得するための第１の取得手段と、
    前記監視対象の通信装置を送信元とするパケットを取得し、取得したパケットを解析することにより通信情報を取得するための第２の取得手段とを含み、
    前記通信情報は、通信データの送信先を示す情報、通信時刻、およびパケットサイズを有し、
    前記操作履歴情報は、操作の種類、操作に伴なうデータの送信先を示す情報、操作時刻、ページ数、原稿サイズ、解像度、およびファイル形式を有し、
    前記監視手段は、さらに、
    取得された前記操作履歴情報および前記通信情報を記憶するための記憶手段と、
    前記操作履歴情報に基づいて、各操作に伴なう通信量を推定するための推定手段と、
    前記操作履歴情報および前記通信情報を用いて、前記複数の通信装置間の通信が不正であるか否かを判断するための判断手段とを含み、
    前記判断手段は、
    前記監視対象の通信装置の前記操作履歴情報において、データの送信先が一致し、かつ、前記通信時刻よりも所定時間前に該当する操作があったか否かを検索し、
    前記操作履歴情報において前記該当する操作があると判断した場合に、前記推定手段により推定された前記通信量と、前記パケットサイズより得られる実際の通信量とを比較することで、前記複数の通信装置間の通信が不正であるか否かを判断する、通信監視システム。
11. ネットワークに接続される通信監視装置であって、
    前記ネットワークに接続される、電子証明書を利用したセキュア通信を行なう監視対象の通信装置の操作履歴情報を取得するための第１の取得手段と、
    前記監視対象の通信装置を送信元とするパケットを取得し、取得したパケットを解析することにより通信情報を取得するための第２の取得手段と、
    取得された前記操作履歴情報および前記通信情報を記憶するための記憶手段と、
    記憶された前記操作履歴情報および前記通信情報を用いて、前記監視対象の通信装置の通信が不正であるか否かを判断するための判断手段と、
    前記判断手段により不正と判断された場合に、送信元である前記監視対象の通信装置の電子証明書を失効させるための失効特定情報を記述した、前記ネットワーク内でのみ有効なブラックリストを、前記ネットワーク内の他の通信装置に配布するための手段とを含む、通信監視装置。
12. ネットワークに接続される通信監視装置によって実行される通信監視方法であって、
    前記ネットワークに接続される、電子証明書を利用したセキュア通信を行なう監視対象の通信装置の操作履歴情報を取得するステップと、
    前記監視対象の通信装置を送信元とするパケットを取得し、取得したパケットを解析することにより通信情報を取得するステップと、
    取得された前記操作履歴情報および前記通信情報をメモリに記憶するステップと、
    記憶された前記操作履歴情報および前記通信情報を用いて、前記監視対象の通信装置の通信が不正であるか否かを判断するステップと、
    前記監視対象の通信装置の通信が不正と判断された場合に、送信元である前記監視対象の通信装置の電子証明書を失効させるための失効特定情報を記述した、前記ネットワーク内でのみ有効なブラックリストを、前記ネットワーク内の他の通信装置に配布するステップとを含む、通信監視方法。
13. ネットワークに接続される通信監視装置によって実行される通信監視プログラムであって、
    前記ネットワークに接続される、電子証明書を利用したセキュア通信を行なう監視対象の通信装置の操作履歴情報を取得するステップと、
    前記監視対象の通信装置を送信元とするパケットを取得し、取得したパケットを解析することにより通信情報を取得するステップと、
    取得された前記操作履歴情報および前記通信情報をメモリに記憶するステップと、
    記憶された前記操作履歴情報および前記通信情報を用いて、前記監視対象の通信装置の通信が不正であるか否かを判断するステップと、
    前記監視対象の通信装置の通信が不正と判断された場合に、送信元である前記監視対象の通信装置の電子証明書を失効させるための失効特定情報を記述した、前記ネットワーク内でのみ有効なブラックリストを、前記ネットワーク内の他の通信装置に配布するステップとを含む、通信監視プログラム。

Images