JP7088302B2 - 通信情報統合システム、通信情報統合方法、通信情報統合装置、端末装置、及びプログラム - Google Patents
通信情報統合システム、通信情報統合方法、通信情報統合装置、端末装置、及びプログラム Download PDFInfo
- Publication number
- JP7088302B2 JP7088302B2 JP2020550992A JP2020550992A JP7088302B2 JP 7088302 B2 JP7088302 B2 JP 7088302B2 JP 2020550992 A JP2020550992 A JP 2020550992A JP 2020550992 A JP2020550992 A JP 2020550992A JP 7088302 B2 JP7088302 B2 JP 7088302B2
- Authority
- JP
- Japan
- Prior art keywords
- communication information
- information
- terminal device
- communication
- difference
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1425—Traffic logging, e.g. anomaly detection
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F13/00—Interconnection of, or transfer of information or other signals between, memories, input/output devices or central processing units
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- General Engineering & Computer Science (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Theoretical Computer Science (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Computer And Data Communications (AREA)
Description
本発明は、通信情報を統合する通信情報統合システム、通信情報統合方法、通信情報統合装置、端末装置に関し、更には、これらを実現するためのプログラムに関する。
近年、組織内システムを標的としたサイバー攻撃により、情報漏洩、信用棄損などの被害が増加しており、サイバー攻撃対策の強化が求められている。サイバー攻撃対策を強化するためには、サイバー攻撃によるインシデント発生時の調査を行い、組織内システムより収集した通信情報（例えば、通信ログなど）から、攻撃、情報漏洩などの痕跡、証拠を得ることが必要である。
また、サイバー攻撃への対策として、組織内システムなどの各種システムにおける、通信ログの収集指針、通信ログを収集する仕組み、通信ログの管理などについての重要性が、再認識されている。特に、組織内システムのデータの流れを監視する仕組みの重要性が指摘されている。
関連する技術として特許文献１には、コンピュータシステムにおいて、ノード情報を効率よく収集し、蓄積し、容易に閲覧できるデータ収集システムが開示されている。そのデータ収集システムによれば、複数のデータ収集装置が、分担してネットワーク内の複数のノードから、該ノードが有する情報であるノード情報を収集し、データ収集装置が収集したノード情報を重複させることなく記憶装置に蓄積する。そして、データ収集装置は、ノード情報の要求により指定されたノード情報を、記憶装置から取得して提供する。
しかしながら、対象システムが大規模なネットワークである場合、ネットワークすべての通信ログを一箇所に統合して記録することは、ネットワークを構築する機器の仕様などにより難しいことがある。
具体的には、ＩＰ（Internet Protocol）ネットワークを採用したシステムでは、同一のネットワークハブの配下に接続された端末装置間のＩＰ通信は、当該ネットワークハブで折り返される。そのため、ＩＰネットワーク上流で通信ログを収集する装置（例えば、セキュリティアプライアンスなど）は、ネットワークすべての通信ログを一箇所に統合して記録できない。言い換えれば、上述したような多段に接続されたハブ、ルータなどを用いて構築されたネットワークでは、ネットワークすべての通信ログを一箇所に統合して記録することが難しい。
それでも、ネットワークすべての通信ログを一箇所に統合して記録したい場合、現状では、例えば、ネットワークに設けられたすべてのネットワークスイッチにおいて、ネットワークスイッチのサブネットワークに応じたミラーポートを設定し、記憶装置にパケットを集めて記録するようにしている。しかし、ミラーポートの設定には、多大な労力と時間とを要する。
また、他の方法として、端末装置からローカルで通信ログを抽出して記録する方法もあるが、端末装置からローカルで通信ログを抽出して記録する場合には、やはり多大な労力と時間とを要する。
また、リモートフォレンジックツール、ＯＳ（Operating System）固有の管理ツールを利用してネットワーク経由で通信ログを取得して記録する方法も考えられる。しかし、端末装置に記録した通信ログをネットワーク経由で取得する場合、容量の大きな通信ログを多くの端末装置から収集するため、ネットワークに過剰な通信負荷がかかる。
本発明の目的の一例は、対象システムにおいて用いた通信情報を効率よく統合する通信情報統合システム、通信情報統合方法、通信情報統合装置、端末装置、及びプログラムを提供することにある。
上記目的を達成するため、本発明の一側面における通信情報統合システムは、
複数の端末装置と通信情報統合装置とがネットワークを介して通信をする通信情報統合システムであって、
前記通信情報統合装置は、
収集した第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成し、生成した要約情報を当該端末装置へ送信し、
前記端末装置が収集した第二の通信情報と前記要約情報とに基づいて、前記端末装置が生成した差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、
前記端末装置は、
前記要約情報を受信した場合、前記端末装置が収集した第二の通信情報と前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を抽出し、抽出した前記差分に基づいて前記差分通信情報を生成し、生成した前記差分通信情報を前記通信情報統合装置へ送信する、
ことを特徴とする。
複数の端末装置と通信情報統合装置とがネットワークを介して通信をする通信情報統合システムであって、
前記通信情報統合装置は、
収集した第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成し、生成した要約情報を当該端末装置へ送信し、
前記端末装置が収集した第二の通信情報と前記要約情報とに基づいて、前記端末装置が生成した差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、
前記端末装置は、
前記要約情報を受信した場合、前記端末装置が収集した第二の通信情報と前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を抽出し、抽出した前記差分に基づいて前記差分通信情報を生成し、生成した前記差分通信情報を前記通信情報統合装置へ送信する、
ことを特徴とする。
また、上記目的を達成するため、本発明の一側面における通信情報統合方法は、
複数の端末装置と通信情報統合装置とを有するネットワークにおける通信情報統合方法であって、
前記通信情報統合装置が、収集した第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成し、生成した要約情報を当該端末装置へ送信し、
前記端末装置が、前記要約情報を受信した場合、前記端末装置が収集した第二の通信情報と前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を抽出し、抽出した前記差分に基づいて差分通信情報を生成し、生成した前記差分通信情報を前記通信情報統合装置へ送信し、
前記通信情報統合装置が、前記端末装置が生成した前記差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、
ことを特徴とする。
複数の端末装置と通信情報統合装置とを有するネットワークにおける通信情報統合方法であって、
前記通信情報統合装置が、収集した第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成し、生成した要約情報を当該端末装置へ送信し、
前記端末装置が、前記要約情報を受信した場合、前記端末装置が収集した第二の通信情報と前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を抽出し、抽出した前記差分に基づいて差分通信情報を生成し、生成した前記差分通信情報を前記通信情報統合装置へ送信し、
前記通信情報統合装置が、前記端末装置が生成した前記差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、
ことを特徴とする。
また、上記目的を達成するため、本発明の一側面における通信情報統合装置は、
収集した第一の通信情報を、ネットワークを介して通信をする端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成する、要約情報生成部と、
前記端末装置において生成した、前記端末装置が収集した第二の通信情報と、前記ネットワークを介して受信した前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、通信情報統合部と、
を有することを特徴とする。
収集した第一の通信情報を、ネットワークを介して通信をする端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成する、要約情報生成部と、
前記端末装置において生成した、前記端末装置が収集した第二の通信情報と、前記ネットワークを介して受信した前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、通信情報統合部と、
を有することを特徴とする。
また、上記目的を達成するため、本発明の一側面におけるプログラムは、
コンピュータに、
（ａ）収集した第一の通信情報を、ネットワークを介して通信をする端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成する、ステップと、
（ｂ）前記端末装置において生成した、前記端末装置が収集した第二の通信情報と、前記ネットワークを介して受信した前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、ステップと、
を実行させることを特徴とする。
コンピュータに、
（ａ）収集した第一の通信情報を、ネットワークを介して通信をする端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成する、ステップと、
（ｂ）前記端末装置において生成した、前記端末装置が収集した第二の通信情報と、前記ネットワークを介して受信した前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、ステップと、
を実行させることを特徴とする。
また、上記目的を達成するため、本発明の一側面における端末装置は、
ネットワークを介して通信をする通信情報統合装置が収集した第一の通信情報を、端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約して生成した要約情報を、前記通信情報統合装置から受信した場合、収集した第二の通信情報と前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を生成する、差分通信情報生成部を有する
ことを特徴とする。
ネットワークを介して通信をする通信情報統合装置が収集した第一の通信情報を、端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約して生成した要約情報を、前記通信情報統合装置から受信した場合、収集した第二の通信情報と前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を生成する、差分通信情報生成部を有する
ことを特徴とする。
また、上記目的を達成するため、本発明の一側面におけるプログラムは、
コンピュータに、
（ａ）ネットワークを介して通信をする通信情報統合装置が収集した第一の通信情報を、端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約して生成した要約情報を、前記通信情報統合装置から受信した場合、収集した第二の通信情報と前記要約情報との差分を表す差分通信情報を生成する、ステップ
を実行させることを特徴とする。
コンピュータに、
（ａ）ネットワークを介して通信をする通信情報統合装置が収集した第一の通信情報を、端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約して生成した要約情報を、前記通信情報統合装置から受信した場合、収集した第二の通信情報と前記要約情報との差分を表す差分通信情報を生成する、ステップ
を実行させることを特徴とする。
以上のように本発明によれば、対象システムにおいて用いた通信情報を効率よく統合できる。
（実施の形態）
以下、本発明の実施の形態について、図１から図１０を参照しながら説明する。
以下、本発明の実施の形態について、図１から図１０を参照しながら説明する。
［システム構成］
最初に、図１を用いて、本実施の形態における通信情報統合システムの構成について説明する。図１は、通信情報統合システムの一例を示す図である。
最初に、図１を用いて、本実施の形態における通信情報統合システムの構成について説明する。図１は、通信情報統合システムの一例を示す図である。
図１に示す通信情報統合システムは、対象システムにおいて用いた通信情報を効率よく統合するシステムである。また、図１に示すように、通信情報統合システム１は、ネットワーク２を介して接続され、互いに通信をする、通信情報統合装置３と、複数の端末装置４とを有する。
このうち、通信情報統合装置３は、収集した上流通信情報（第一の通信情報）を端末装置４ごとに分類し、分類した端末装置４に対応する通信情報を要約した要約情報を生成し、生成した要約情報を当該端末装置４へ送信する。また、通信情報統合装置３は、端末装置４が収集した下流通信情報（第二の通信情報）と要約情報とに基づいて、端末装置４が生成した差分通信情報を、端末装置４から受信した場合、上流通信情報に差分通信情報を統合する。
端末装置４は、要約情報を受信した場合、端末装置４が収集した下流通信情報と要約情報とを用いて、上流通信情報と下流通信情報との差分を抽出し、抽出した差分に基づいて差分通信情報を生成し、生成した差分通信情報を通信情報統合装置３へ送信する。
このように、本実施の形態によれば、対象システムにおいて、ネットワーク上流で収集した上流通信情報に含まれない、ネットワーク下流で収集した下流通信情報（差分通信情報）を、上流通信情報に統合するので、重複のない通信情報を一箇所に統合して収集できる。そのため、対象システムで用いた通信情報を効率よく統合できる。
［装置構成］
続いて、図２を用いて、本実施の形態における通信情報統合システム１の構成をより具体的に説明する。図２は、通信情報統合システムの具体例を示す図である。
続いて、図２を用いて、本実施の形態における通信情報統合システム１の構成をより具体的に説明する。図２は、通信情報統合システムの具体例を示す図である。
ネットワーク２には、通信情報統合装置３と、複数の端末装置４とが接続されている。ネットワーク２は、例えば、ハブ、ルータ、ネットワークスイッチなどを用いて構築されたＩＰネットワークなどである。
通信情報統合装置３は、ネットワーク２の上流で収集した通信ログなどの上流通信情報を記録する。また、通信情報統合装置３は、上流通信情報に基づいて、端末装置４ごとに要約情報を作成し、対応する端末装置４に要約情報を送信する。また、通信情報統合装置３は、端末装置４が収集した通信ログなどの下流通信情報と要約情報との差分を表す差分通信情報を、端末装置４から受信する。その後、通信情報統合装置３は、上流通信情報に差分通信情報を統合して統合情報を生成し、記録する。なお、通信情報統合装置３は、例えば、サーバコンピュータ、パーソナルコンピュータなどの通信機能を備えた情報処理機器である。
通信情報統合装置３について具体的に説明する。通信情報統合装置３は、例えば、通信情報収集部２１と、要約情報生成部２２と、通信情報統合部２３と、記憶部２４などとを有する。
通信情報収集部２１は、ネットワーク２の上流において収集できる通信情報を、無線又は有線などの通信を用いて受信し、収集した通信情報を上流通信情報として記憶部２４に記憶する。なお、通信情報収集部２１は、通信情報統合装置３の外部に、別に設けてもよい。その場合、通信情報収集部２１は、通信情報統合装置３と複数の端末装置４との通信を、ネットワーク２を介して行う。
要約情報生成部２２は、まず、収集した上流通信情報を、ネットワーク２を介して通信をする端末装置４ごとに分類する。具体的には、要約情報生成部２２は、記憶部２４に記憶されている、端末情報と上流通信情報とを用いて、上流通信情報を端末装置４ごとに分類する。例えば、要約情報生成部２２は、図３に示すように、上流通信情報を端末装置４ごとに分類する。
図３は、端末情報、上流通信情報のデータ構造の一例を示す図である。図３に示す端末情報３１には、端末装置４を識別するための情報「端末識別子」と、当該端末装置４の送信元の端末装置４のＩＰアドレスを示す情報「端末ＩＰ」とが関連付けられて記憶されている。図３の例では、「端末識別子」には「0001」「0002」…「0104」などが記憶され、「端末ＩＰ」には「192.168.0.11」「192.168.0.12」…「192.168.0.127」などが記憶されている。
また、図３に示す上流通信情報３２は、端末識別子「0001」に相当する端末装置４に関して、端末ＩＰ「192.168.0.11」を用いて分類した上流通信情報である。また、図３に示す上流通信情報３２は、日付と時刻とを示す情報「日時」と、送信元と受信先とが接続されていた時間を示す情報「接続時間」と、送信元の端末装置４のＩＰアドレスを示す情報「送信元ＩＰ」と、送信ポート番号を示す情報「送信ポート」と、受信先の端末装置４のＩＰアドレスを示す情報「受信先ＩＰ」と、受信ポート番号を示す情報「受信ポート」とが関連付けられて記憶されている。更に、図３の例では、送信バイト数を示す情報「送信バイト」と、受信バイト数を示す情報「受信バイト」と、パケット数を示す情報「パケット数」とが関連付けられて記憶されている。
続いて、要約情報生成部２２は、端末装置４ごとに分類した上流通信情報を要約した要約情報を生成する。具体的には、要約情報生成部２２は、分類した上流通信情報の所定情報に対してマスク処理をし、分類してマスク処理をした上流通信情報のうち、キーとなる情報を要約して要約情報を生成する。
所定情報へのマスク処理について説明する。通信情報が端末装置４に到達する日時は、端末装置４がネットワーク２に接続される位置などによりずれることが頻繁に発生する。そのため、「日時」「接続時間」に記憶された日時をそのまま用いると、日時、接続時間の僅かなずれにより、同じ通信情報であるにもかかわらず異なる通信情報と判断されてしまう。そこで、「日時」「接続時間」に記憶された日時に対して、例えば、一秒以下の時刻を所定文字などで置き換える。そうすることで、同じ通信情報であるにもかかわらず異なる通信情報と判断することを軽減する。
図３に示す「日時」に記憶されている「2018-04-10T16:21+09:00」において、一秒以下の時刻を所定文字「×」で置き換えた場合、「日時」は「2018-04-10T16:2×+09:00」となる。また、図３に示す「接続時間」に記憶されている「1」「362」…「8」などの場合、「接続時間」は「×」「36×」…「×」となる。
キーとなる情報は、マスクした「日時」「接続時間」と、「送信元ＩＰ」「送信ポート」「受信先ＩＰ」「受信ポート」とを少なくとも含む情報とする。
要約情報は、キーとなる情報に対して、例えば、ブルームフィルタ（Bloom Filter）などの確率的データ構造、ＺＤＤ（Zero-suppressed Binary Decision Diagram）、ＢＤＤ（Binary Decision Diagram）などのデータ圧縮表現構造を適用して生成される。
要約情報の生成について、ブルームフィルタを用いた場合について説明する。要約情報生成部２２は、まず、キーとなる情報を順番に結合する。例えば、キーとなる情報が「2018-04-10T16:2×+09:00」「×」「192.168.0.11」「61747」「192.168.16.100」「88」「767」「316」「3」である場合、これらを結合して文字列「2018-04-10T16:2×+09:00×192.168.0.1161747192.168.16.100887673163」を生成する。その後、要約情報生成部２２は、結合した情報をバイト列に変換して、「323031382d30342d31305431363a32782b30393a3030783139322e3136382e302e313136313734373139322e3136382e31362e313030383837363733313633」（十六進数表記）を得る。
続いて、要約情報生成部２２は、あらかじめ設定した任意のビット列長ｍのブルームフィルタを生成するために、上述した変換したバイト列を、あらかじめ用意したｋ個の任意の種類のハッシュ関数群に入力する。続いて、要約情報生成部２２は、ハッシュ関数それぞれの出力が示す、ブルームフィルタのビットに「１」を設定して、ブルームフィルタを生成する。続いて、要約情報生成部２２は、対象日時と、ハッシュ関数のシード値と、ブルームフィルタとをペイロードとした要約情報を生成する。なお、対象日時は、統合情報を生成する期間を表す情報である。
続いて、要約情報生成部２２は、対象の端末装置４へ要約情報を送信する。例えば、要約情報生成部２２は、ＨＴＴＰＳプロトコルなどを用いて、要約情報を対象の端末装置４へ送信する。図４は、要約情報のデータ構造の一例を示す図である。図４に示す通信用情報４２は、例えば、端末装置４と通信をするために用いる情報である。また、ブルームフィルタにおいて使用するハッシュ関数の種類によっては、シード値が不要であるため、その場合にはペイロードにハッシュ関数シード値を含めなくてもよい。
通信情報統合部２３は、まず、端末装置４それぞれから、差分通信情報を受信する。すなわち、通信情報統合部２３は、端末装置４が収集した下流通信情報と要約情報とに基づいて、端末装置４それぞれが生成した後述する差分通信情報を、端末装置４それぞれから受信する。続いて、通信情報統合部２３は、上流通信情報に端末装置４それぞれから受信した差分通信情報を統合して統合情報を生成する。具体的には、通信情報統合部２３は、記憶部２４に記憶されている上流通信情報を取得し、取得した上流通信情報に、端末装置４それぞれから受信した差分通信情報を追加する。
例えば、通信情報統合部２３は、記憶部２４から取得した、図３に示した上流通信情報３２に、端末装置４から受信した上流通信情報３２に含まれていない差分通信情報を追加して、図５に示す統合情報５０を生成し、記憶部２４に記憶する。図５は、統合情報のデータ構造の一例を示す図である。図５に示す統合通信情報５１は、図３に示した端末識別子「0001」に対応する端末装置４の上流通信情報３２に、端末識別子「0001」に対応する端末装置４の差分通信情報５２（実線太線範囲）を追加した情報である。
記憶部２４は、通信情報収集部２１が収集した上流通信情報と、端末装置４から取得した差分通信情報とを記憶する。すなわち、記憶部２４は、統合情報を記憶する。なお、記憶部２４は、通信情報統合装置３に設けてもよいし、通信情報統合装置３の外部に設けてもよい。
端末装置４は、まず、ネットワーク２を介して通信をする通信情報統合装置３から要約情報を受信する。すなわち、通信情報統合装置３が、収集した上流通信情報を、端末装置４ごとに分類し、分類した端末装置４に対応する通信情報を要約して生成した要約情報を、端末装置４は通信情報統合装置３から受信する。続いて、端末装置４は、自身が収集した下流通信情報と要約情報とを用いて、上流通信情報と下流通信情報との差分を抽出し、抽出した差分に基づいて差分通信情報を生成する。なお、端末装置４は、例えば、サーバコンピュータ、パーソナルコンピュータ、スマートフォンなどの通信機能を備えた情報処理機器である。
端末装置４について具体的に説明する。端末装置４は、通信情報収集部２５と、差分通信情報生成部２６と、記憶部２７とを有する。
通信情報収集部２５は、ネットワーク２の下流において収集できる通信情報を、無線又は有線などの通信を用いて受信し、収集した通信情報を下流通信情報として記憶部２７に記憶する。具体的には、通信情報収集部２５は、図６に示すような下流通信情報６１を生成する。図６は、下流通信情報のデータ構造の一例を示す図である。図６に示す下流通信情報６１は、図３に示した端末識別子「0001」に対応する端末装置４が収集した下流通信情報である。
差分通信情報生成部２６は、通信情報統合装置３からネットワーク２を介して要約情報を取得し、下流通信情報と要約情報と用いて、上流通信情報と下流通信情報との差分を抽出し、抽出した差分に基づいて差分通信情報を生成する。具体的には、差分通信情報生成部２６は、下流通信情報の所定情報に対してマスク処理をし、マスク処理をした下流通信情報と要約情報とを用いて、上流通信情報にない下流通信情報を抽出し、抽出した下流通信情報に基づいて差分通信情報を生成する。
下流通信情報の所定情報に対して行うマスク処理は、上述したマスク処理であるので説明を省略する。なお、キーとなる情報は、マスクした「日時」「接続時間」と、「送信元ＩＰ」「送信ポート」「受信先ＩＰ」「受信ポート」とを少なくとも含む情報とする。
差分通信情報の生成について、ブルームフィルタを用いた場合について説明する。差分通信情報生成部２６は、まず、要約情報に含まれる対象日時に対応する対象の下流通信情報を取得し、上述したように、キーとなる情報を順番に結合し、結合した情報をバイト列に変換する。続いて、差分通信情報生成部２６は、あらかじめ設定したビット列長ｍのブルームフィルタのｋ個のハッシュ関数群へ、上述した変換したバイト列を入力し、ハッシュ関数それぞれの出力を取得する。
続いて、差分通信情報生成部２６は、上述したハッシュ関数それぞれの出力が示すビット位置と、要約情報に含まれるブルームフィルタのビットが「１」の位置とを照合する。その結果、全てのハッシュ関数それぞれが出力したビット位置と、ブルームフィルタの対応するビット位置が全て「１」である場合、差分通信情報生成部２６は、対象の下流通信情報が既に通信情報統合装置３に記憶されていると判定する。
対して、全てのハッシュ関数それぞれが出力したビット位置と、ブルームフィルタの対応するビット位置のビットが、一つでも「１」以外（「０」）であった場合、差分通信情報生成部２６は、対象の下流通信情報がまだ通信情報統合装置３に記憶されていないと判定する。なお、差分の判定では、ブルームフィルタを用いた確率的データ構造を用いた場合について説明したが、ＺＤＤ、ＢＤＤなどのデータ圧縮表現構造を適用してもよい。
続いて、差分通信情報生成部２６は、生成した差分通信情報を、通信情報統合装置３へ送信する。例えば、差分通信情報生成部２６は、ＨＴＴＰＳプロトコルなどを用いて、差分通信情報を通信情報統合装置３へ送信する。
記憶部２７は、通信情報収集部２５が収集した下流通信情報と、差分通信情報とを記憶する。なお、記憶部２７は、端末装置４に設けてもよいし、端末装置４の外部に設けてもよい。
［システム動作］
次に、本発明の実施の形態における通信情報統合システムの動作について、図７、図８、図９を用いて説明する。図７は、通信情報統合システムの動作の一例を示す図である。図８は、通信情報統合装置の動作の一例を示す図である。図９は、端末装置の動作の一例を示す図である。以下の説明においては、適宜図２から図６を参酌する。
次に、本発明の実施の形態における通信情報統合システムの動作について、図７、図８、図９を用いて説明する。図７は、通信情報統合システムの動作の一例を示す図である。図８は、通信情報統合装置の動作の一例を示す図である。図９は、端末装置の動作の一例を示す図である。以下の説明においては、適宜図２から図６を参酌する。
また、本実施の形態では、通信情報統合システム１（通信情報統合装置３と端末装置４とを有するシステム）を動作させることによって、通信情報統合方法が実施される。よって、本実施の形態における通信情報統合方法の説明は、以下の通信情報統合システムの動作説明に代える。
図７に示すように、通信情報統合装置３は、ネットワーク２を介して上流通信情報を記憶部２４に記憶する（ステップＡ１）。また、端末装置４は、ネットワーク２を介して下流通信情報を記憶部２７に記憶する（ステップＡ２）。
続いて、通信情報統合装置３は、あらかじめ設定した所定日時になると、端末装置４それぞれに対して送信する要約情報を生成する（ステップＡ３）。その後、通信情報統合装置３は、端末装置４ごとに生成した要約情報を、対応する端末装置４それぞれに送信する（ステップＡ４）。
続いて、端末装置４は、通信情報統合装置３から送信された要約情報を受信する（ステップＡ５）。その後、端末装置４は、要約情報を参照して、下流通信情報を取得する（ステップＡ６）。例えば、ステップＡ６において、要約情報の「対象日時」を参照して、過去に収集した所定時間における下流通信情報を取得する。
続いて、端末装置４は、下流通信情報と要約情報とに基づいて差分を抽出する（ステップＡ７）。その後、端末装置４は、抽出した差分に基づいて差分通信情報を生成する（ステップＡ８）。具体的には、ステップＡ８において、端末装置４は、下流通信情報の所定情報に対してマスク処理をし、マスク処理をした下流通信情報と要約情報とを用いて、上流通信情報にない下流通信情報を抽出し、抽出した下流通信情報に基づいて差分通信情報を生成する。そして、端末装置４は、通信情報統合装置３に、差分通信情報を送信する（ステップＡ９）。
続いて、通信情報統合装置３は、端末装置４から差分通信情報を受信する（ステップＡ１０）。その後、通信情報統合装置３は、上流通信情報と差分通信情報とを用いて統合情報を生成する（ステップＡ１１）。
次に、通信情報統合装置３の動作について図８を用いて説明する。通信情報統合装置３の通信情報収集部２１は、ネットワーク２の上流において収集できる通信情報を、無線又は有線などの通信を用いて受信し、収集した通信情報を上流通信情報として記憶部２４に記憶する（ステップＢ１）。
続いて、あらかじめ設定した所定日時になると（ステップＢ２：Ｙｅｓ）、通信情報統合装置３の要約情報生成部２２は、対象日時に収集した、記憶部２４に記憶されている、上流通信情報を取得する（ステップＢ３）。対して、あらかじめ設定した所定日時でない場合には（ステップＢ２：Ｎｏ）、ステップＢ１の処理に移行する。
続いて、要約情報生成部２２は、端末情報（図３の３１を参照）と上流通信情報とを用いて、上流通信情報を端末装置４ごとに分類する（ステップＢ４）。続いて、要約情報生成部２２は、端末装置４ごとに分類した上流通信情報（図３の３２を参照）を要約した要約情報（図４の４１を参照）を生成する（ステップＢ５）。
具体的には、ステップＢ５において、要約情報生成部２２は、まず、分類した上流通信情報の所定情報に対してマスク処理をし、分類してマスク処理をした上流通信情報のうち、キーとなる情報を要約して要約情報を生成する。なお、要約情報は、キーとなる情報に対して、例えば、ブルームフィルタなどの確率的データ構造、ＺＤＤ、ＢＤＤなどのデータ圧縮表現構造を適用して生成する。
続いて、要約情報生成部２２は、対象の端末装置４へ要約情報を送信する（ステップＢ６）。その後、通信情報統合部２３が、端末装置４それぞれから、要約情報に対する応答となる差分通信情報を受信すると（ステップＢ７：Ｙｅｓ）、上流通信情報（図３の３２を参照）と差分通信情報（図６の６２を参照）とを統合して統合情報（図５の５０を参照）を生成する（ステップＢ８）。すなわち、通信情報統合部２３は、記憶部２４に記憶されている上流通信情報を取得し、取得した上流通信情報に、端末装置４それぞれから受信した差分通信情報を追加する。
次に、端末装置４の動作について図９を用いて説明する。端末装置４の通信情報収集部２５は、ネットワーク２の上流において収集できる通信情報を、無線又は有線などの通信を用いて受信し、収集した通信情報を下流通信情報（図６の６１を参照）として記憶部２７に記憶する（ステップＣ１）。
続いて、通信情報統合装置３から要約情報を受信すると（ステップＣ２：Ｙｅｓ）、端末装置４の差分通信情報生成部２６は、対象日時に収集した、記憶部２７に記憶されている、下流通信情報を取得する（ステップＣ３）。対して、あらかじめ設定した所定日時でない場合には（ステップＣ２：Ｎｏ）、ステップＣ１の処理に移行する。
続いて、差分通信情報生成部２６は、下流通信情報と要約情報との差分を抽出し、抽出した差分に基づいて差分通信情報を生成する（ステップＣ４）。具体的には、ステップＣ４において、差分通信情報生成部２６は、下流通信情報の所定情報に対してマスク処理をし、マスク処理をした下流通信情報と要約情報とを用いて、上流通信情報に含まれない下流通信情報との差分を抽出する。なお、差分の判定には、ブルームフィルタなどの確率的データ構造を適用してもよいし、ＺＤＤ、ＢＤＤなどのデータ圧縮表現構造を適用してもよい。
なお、下流通信情報の所定情報に対して行うマスク処理は、上述したマスク処理であるので説明を省略する。なお、キーとなる情報は、マスクした「日時」「接続時間」と、「送信元ＩＰ」「送信ポート」「受信先ＩＰ」「受信ポート」とを少なくとも含む情報とする。
続いて、差分通信情報生成部２６は、抽出した差分を用いて差分通信情報を生成する（ステップＣ５）。続いて、差分通信情報生成部２６は、通信情報統合装置３へ差分通信情報を送信する（ステップＣ６）。例えば、ステップＣ６において、差分通信情報生成部２６は、ＨＴＴＰＳプロトコルなどを用いて、差分通信情報を通信情報統合装置３へ送信する。
［本実施の形態の効果］
以上のように本実施の形態によれば、対象システムにおいて、ネットワーク上流で収集した上流通信情報に含まれない、ネットワーク下流で収集した下流通信情報（差分通信情報）を、上流通信情報に統合するので、重複のない通信情報を一箇所に統合して収集できる。そのため、対象システムで用いた通信情報を効率よく統合できる。
以上のように本実施の形態によれば、対象システムにおいて、ネットワーク上流で収集した上流通信情報に含まれない、ネットワーク下流で収集した下流通信情報（差分通信情報）を、上流通信情報に統合するので、重複のない通信情報を一箇所に統合して収集できる。そのため、対象システムで用いた通信情報を効率よく統合できる。
また、従来のようなＩＰネットワークを採用したシステムにおいては、多段にハブ、ルータなどが接続されているため、ネットワークすべてにおける通信情報を、一箇所に統合して収集することが難しい。しかし、本実施の形態においては、差分通信情報を用いて、上流通信情報に統合するので、ＩＰネットワークを採用したシステムにおいても、通信情報を一箇所に統合して収集できる。そのため、対象システムで用いた通信情報を効率よく統合できる。
また、従来のようなＩＰネットワークを採用したシステムにおいて、通信情報を一箇所に統合して収集する場合でも、本実施の形態においては、ネットワークに設けられたすべてのネットワークスイッチに対してミラーポートを設定する必要がない。そのため、対象システムで用いた通信情報を効率よく統合できる。
また、本実施の形態においては、従来のように端末装置４からローカルで下流通信情報を抽出して記録する場合と比べて、すくない通信量と時間とで、重複なく通信情報を一箇所に統合して収集できる。そのため、対象システムで用いた通信情報を効率よく統合できる。
また、従来のようにリモートフォレンジックツール、ＯＳ固有の管理ツールを利用してネットワーク経由で通信情報を取得して記録してもよいが、端末装置４に記録した通信情報をネットワーク経由で取得する場合において、容量の大きな通信情報を多くの端末装置４から収集した場合、ネットワークに過剰な通信負荷がかかる。しかし、本実施の形態においては、要約情報と差分通信情報とを用いることで、すくない通信量と時間とで、重複なく通信情報を一箇所に統合して収集できる。そのため、対象システムで用いた通信情報を効率よく統合できる。
［プログラム１］
本発明の実施の形態における通信情報統合装置のプログラムは、コンピュータに、図８に示すステップＢ１からＢ８を実行させるプログラムであればよい。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態における通信情報統合装置と通信情報統合方法とを実現することができる。この場合、コンピュータのプロセッサは、通信情報収集部２１、要約情報生成部２２、通信情報統合部２３として機能し、処理を行なう。
本発明の実施の形態における通信情報統合装置のプログラムは、コンピュータに、図８に示すステップＢ１からＢ８を実行させるプログラムであればよい。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態における通信情報統合装置と通信情報統合方法とを実現することができる。この場合、コンピュータのプロセッサは、通信情報収集部２１、要約情報生成部２２、通信情報統合部２３として機能し、処理を行なう。
また、本実施の形態における通信情報統合装置のプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されてもよい。この場合は、例えば、各コンピュータが、それぞれ、通信情報収集部２１、要約情報生成部２２、通信情報統合部２３のいずれかとして機能してもよい。
［プログラム２］
本発明の実施の形態における端末装置のプログラムは、コンピュータに、図９に示すステップＣ１からＣ６を実行させるプログラムであればよい。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態における端末装置とその方法とを実現することができる。この場合、コンピュータのプロセッサは、通信情報収集部２５、差分通信情報生成部２６として機能し、処理を行なう。
本発明の実施の形態における端末装置のプログラムは、コンピュータに、図９に示すステップＣ１からＣ６を実行させるプログラムであればよい。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態における端末装置とその方法とを実現することができる。この場合、コンピュータのプロセッサは、通信情報収集部２５、差分通信情報生成部２６として機能し、処理を行なう。
また、本実施の形態における端末装置のプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されてもよい。この場合は、例えば、各コンピュータが、それぞれ、通信情報収集部２５、差分通信情報生成部２６のいずれかとして機能してもよい。
［物理構成］
ここで、実施の形態におけるプログラムを実行することによって、通信情報統合装置３、又は、端末装置４を実現するコンピュータについて図１０を用いて説明する。図１０は、本発明の実施の形態における通信情報統合装置又は端末装置を実現するコンピュータの一例を示すブロック図である。
ここで、実施の形態におけるプログラムを実行することによって、通信情報統合装置３、又は、端末装置４を実現するコンピュータについて図１０を用いて説明する。図１０は、本発明の実施の形態における通信情報統合装置又は端末装置を実現するコンピュータの一例を示すブロック図である。
図１０に示すように、コンピュータ１１０は、ＣＰＵ１１１と、メインメモリ１１２と、記憶装置１１３と、入力インターフェイス１１４と、表示コントローラ１１５と、データリーダ／ライタ１１６と、通信インターフェイス１１７とを備える。これらの各部は、バス１２１を介して、互いにデータ通信可能に接続される。なお、コンピュータ１１０は、ＣＰＵ１１１に加えて、又はＣＰＵ１１１に代えて、ＧＰＵ（Graphics Processing Unit）、又はＦＰＧＡ（Field-Programmable Gate Array）を備えていてもよい。
ＣＰＵ１１１は、記憶装置１１３に格納された、本実施の形態におけるプログラム（コード）をメインメモリ１１２に展開し、これらを所定順序で実行することにより、各種の演算を実施する。メインメモリ１１２は、典型的には、ＤＲＡＭ（Dynamic Random Access Memory）等の揮発性の記憶装置である。また、本実施の形態におけるプログラムは、コンピュータ読み取り可能な記録媒体１２０に格納された状態で提供される。なお、本実施の形態におけるプログラムは、通信インターフェイス１１７を介して接続されたインターネット上で流通するものであってもよい。
また、記憶装置１１３の具体例としては、ハードディスクドライブの他、フラッシュメモリ等の半導体記憶装置があげられる。入力インターフェイス１１４は、ＣＰＵ１１１と、キーボード及びマウスといった入力機器１１８との間のデータ伝送を仲介する。表示コントローラ１１５は、ディスプレイ装置１１９と接続され、ディスプレイ装置１１９での表示を制御する。
データリーダ／ライタ１１６は、ＣＰＵ１１１と記録媒体１２０との間のデータ伝送を仲介し、記録媒体１２０からのプログラムの読み出し、及びコンピュータ１１０における処理結果の記録媒体１２０への書き込みを実行する。通信インターフェイス１１７は、ＣＰＵ１１１と、他のコンピュータとの間のデータ伝送を仲介する。
また、記録媒体１２０の具体例としては、ＣＦ（Compact Flash（登録商標））及びＳＤ（Secure Digital）等の汎用的な半導体記憶デバイス、フレキシブルディスク（Flexible Disk）等の磁気記録媒体、又はＣＤ－ＲＯＭ（Compact Disk Read Only Memory）などの光学記録媒体があげられる。
なお、本実施の形態における通信情報統合装置３又は端末装置４は、プログラムがインストールされたコンピュータではなく、各部に対応したハードウェアを用いることによっても実現可能である。更に、通信情報統合装置３又は端末装置４は、一部がプログラムで実現され、残りの部分がハードウェアで実現されていてもよい。
［付記］
以上の実施の形態に関し、更に以下の付記を開示する。上述した実施の形態の一部又は全部は、以下に記載する（付記１）から（付記１０）により表現することができるが、以下の記載に限定されるものではない。
以上の実施の形態に関し、更に以下の付記を開示する。上述した実施の形態の一部又は全部は、以下に記載する（付記１）から（付記１０）により表現することができるが、以下の記載に限定されるものではない。
（付記１）
複数の端末装置と通信情報統合装置とがネットワークを介して通信をする通信情報統合システムであって、
前記通信情報統合装置は、
収集した第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成し、生成した要約情報を当該端末装置へ送信し、
前記端末装置が収集した第二の通信情報と前記要約情報とに基づいて、前記端末装置が生成した差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、
前記端末装置は、
前記要約情報を受信した場合、前記端末装置が収集した第二の通信情報と前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を抽出し、抽出した前記差分に基づいて前記差分通信情報を生成し、生成した前記差分通信情報を前記通信情報統合装置へ送信する、
ことを特徴とする通信情報統合システム。
複数の端末装置と通信情報統合装置とがネットワークを介して通信をする通信情報統合システムであって、
前記通信情報統合装置は、
収集した第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成し、生成した要約情報を当該端末装置へ送信し、
前記端末装置が収集した第二の通信情報と前記要約情報とに基づいて、前記端末装置が生成した差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、
前記端末装置は、
前記要約情報を受信した場合、前記端末装置が収集した第二の通信情報と前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を抽出し、抽出した前記差分に基づいて前記差分通信情報を生成し、生成した前記差分通信情報を前記通信情報統合装置へ送信する、
ことを特徴とする通信情報統合システム。
（付記２）
複数の端末装置と通信情報統合装置とを有するネットワークにおける通信情報統合方法であって、
前記通信情報統合装置が、収集した第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成し、生成した要約情報を当該端末装置へ送信し、
前記端末装置が、前記要約情報を受信した場合、前記端末装置が収集した第二の通信情報と前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を抽出し、抽出した前記差分に基づいて差分通信情報を生成し、生成した前記差分通信情報を前記通信情報統合装置へ送信し、
前記通信情報統合装置が、前記端末装置が生成した前記差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、
ことを特徴とする通信情報統合方法。
複数の端末装置と通信情報統合装置とを有するネットワークにおける通信情報統合方法であって、
前記通信情報統合装置が、収集した第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成し、生成した要約情報を当該端末装置へ送信し、
前記端末装置が、前記要約情報を受信した場合、前記端末装置が収集した第二の通信情報と前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を抽出し、抽出した前記差分に基づいて差分通信情報を生成し、生成した前記差分通信情報を前記通信情報統合装置へ送信し、
前記通信情報統合装置が、前記端末装置が生成した前記差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、
ことを特徴とする通信情報統合方法。
（付記３）
収集した第一の通信情報を、ネットワークを介して通信をする端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成する、要約情報生成部と、
前記端末装置において生成した、前記端末装置が収集した第二の通信情報と、前記ネットワークを介して受信した前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、通信情報統合部と、
を有することを特徴とする通信情報統合装置。
収集した第一の通信情報を、ネットワークを介して通信をする端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成する、要約情報生成部と、
前記端末装置において生成した、前記端末装置が収集した第二の通信情報と、前記ネットワークを介して受信した前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、通信情報統合部と、
を有することを特徴とする通信情報統合装置。
（付記４）
付記３に記載の通信情報統合装置であって、
要約情報生成部は、前記端末装置を識別する端末識別情報を用いて、前記第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報のデータ構造を、確率的データ構造又はデータ圧縮表現構造に変換して前記要約情報を生成する
ことを特徴とする通信情報統合装置。
付記３に記載の通信情報統合装置であって、
要約情報生成部は、前記端末装置を識別する端末識別情報を用いて、前記第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報のデータ構造を、確率的データ構造又はデータ圧縮表現構造に変換して前記要約情報を生成する
ことを特徴とする通信情報統合装置。
（付記５）
コンピュータに、
（ａ）収集した第一の通信情報を、ネットワークを介して通信をする端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成する、ステップと、
（ｂ）前記端末装置において生成した、前記端末装置が収集した第二の通信情報と、前記ネットワークを介して受信した前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、ステップと、
を実行させる命令を含むプログラム。
コンピュータに、
（ａ）収集した第一の通信情報を、ネットワークを介して通信をする端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成する、ステップと、
（ｂ）前記端末装置において生成した、前記端末装置が収集した第二の通信情報と、前記ネットワークを介して受信した前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、ステップと、
を実行させる命令を含むプログラム。
（付記６）
付記５に記載のプログラムであって、
前記（ａ）のステップにおいて、前記端末装置を識別する端末識別情報を用いて、前記第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報のデータ構造を、確率的データ構造又はデータ圧縮表現構造に変換して圧縮して前記要約情報を生成する
ことを特徴とするプログラム。
付記５に記載のプログラムであって、
前記（ａ）のステップにおいて、前記端末装置を識別する端末識別情報を用いて、前記第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報のデータ構造を、確率的データ構造又はデータ圧縮表現構造に変換して圧縮して前記要約情報を生成する
ことを特徴とするプログラム。
（付記７）
ネットワークを介して通信をする通信情報統合装置が収集した第一の通信情報を、端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約して生成した要約情報を、前記通信情報統合装置から受信した場合、収集した第二の通信情報と前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を生成する、差分通信情報生成部を有する
ことを特徴とする端末装置。
ネットワークを介して通信をする通信情報統合装置が収集した第一の通信情報を、端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約して生成した要約情報を、前記通信情報統合装置から受信した場合、収集した第二の通信情報と前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を生成する、差分通信情報生成部を有する
ことを特徴とする端末装置。
（付記８）
付記７に記載の端末装置であって、
前記差分通信情報生成部は、前記要約情報と、前記第二の通信情報とに基づいて、前記第一の通信情報にない前記第二の通信情報を抽出し、抽出した前記第二の通信情報に基づいて差分通信情報を生成する
ことを特徴とする端末装置。
付記７に記載の端末装置であって、
前記差分通信情報生成部は、前記要約情報と、前記第二の通信情報とに基づいて、前記第一の通信情報にない前記第二の通信情報を抽出し、抽出した前記第二の通信情報に基づいて差分通信情報を生成する
ことを特徴とする端末装置。
（付記９）
コンピュータに、
（ａ）ネットワークを介して通信をする通信情報統合装置が収集した第一の通信情報を、端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約して生成した要約情報を、前記通信情報統合装置から受信した場合、収集した第二の通信情報と前記要約情報との差分を表す差分通信情報を生成する、ステップ
を実行させる命令を含むプログラム。
コンピュータに、
（ａ）ネットワークを介して通信をする通信情報統合装置が収集した第一の通信情報を、端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約して生成した要約情報を、前記通信情報統合装置から受信した場合、収集した第二の通信情報と前記要約情報との差分を表す差分通信情報を生成する、ステップ
を実行させる命令を含むプログラム。
（付記１０）
付記９に記載のプログラムであって、
前記（ａ）のステップにおいて、前記要約情報と、前記第二の通信情報とに基づいて、前記第一の通信情報にない前記第二の通信情報を抽出し、抽出した前記第二の通信情報に基づいて差分通信情報を生成する
ことを特徴とするプログラム。
付記９に記載のプログラムであって、
前記（ａ）のステップにおいて、前記要約情報と、前記第二の通信情報とに基づいて、前記第一の通信情報にない前記第二の通信情報を抽出し、抽出した前記第二の通信情報に基づいて差分通信情報を生成する
ことを特徴とするプログラム。
以上、実施の形態を参照して本願発明を説明したが、本願発明は上記実施の形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
以上のように本発明によれば、対象システムで用いた通信情報を効率よく統合できる。本発明は、サイバーセキュリティにおいて、システム運用者、インシデント分析者らが、特にインシデントハンドリングのために通信ログを収集する際に有用である。
１ 通信情報統合システム
２ ネットワーク
３ 通信情報統合装置
４ 端末装置
２１ 通信情報収集部
２２ 要約情報生成部
２３ 通信情報統合部
２４ 記憶部
２５ 通信情報収集部
２６ 差分通信情報生成部
２７ 記憶部
１１０ コンピュータ
１１１ ＣＰＵ
１１２ メインメモリ
１１３ 記憶装置
１１４ 入力インターフェイス
１１５ 表示コントローラ
１１６ データリーダ／ライタ
１１７ 通信インターフェイス
１１８ 入力機器
１１９ ディスプレイ装置
１２０ 記録媒体
１２１ バス
２ ネットワーク
３ 通信情報統合装置
４ 端末装置
２１ 通信情報収集部
２２ 要約情報生成部
２３ 通信情報統合部
２４ 記憶部
２５ 通信情報収集部
２６ 差分通信情報生成部
２７ 記憶部
１１０ コンピュータ
１１１ ＣＰＵ
１１２ メインメモリ
１１３ 記憶装置
１１４ 入力インターフェイス
１１５ 表示コントローラ
１１６ データリーダ／ライタ
１１７ 通信インターフェイス
１１８ 入力機器
１１９ ディスプレイ装置
１２０ 記録媒体
１２１ バス
Claims (10)
- 複数の端末装置と通信情報統合装置とがネットワークを介して通信をする通信情報統合システムであって、
前記通信情報統合装置は、
収集した第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成し、生成した要約情報を当該端末装置へ送信し、
前記端末装置が収集した第二の通信情報と前記要約情報とに基づいて、前記端末装置が生成した差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、
前記端末装置は、
前記要約情報を受信した場合、前記端末装置が収集した第二の通信情報と前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を抽出し、抽出した前記差分に基づいて前記差分通信情報を生成し、生成した前記差分通信情報を前記通信情報統合装置へ送信する、
ことを特徴とする通信情報統合システム。 - 複数の端末装置と通信情報統合装置とを有するネットワークにおける通信情報統合方法であって、
前記通信情報統合装置が、収集した第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成し、生成した要約情報を当該端末装置へ送信し、
前記端末装置が、前記要約情報を受信した場合、前記端末装置が収集した第二の通信情報と前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を抽出し、抽出した前記差分に基づいて差分通信情報を生成し、生成した前記差分通信情報を前記通信情報統合装置へ送信し、
前記通信情報統合装置が、前記端末装置が生成した前記差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、
ことを特徴とする通信情報統合方法。 - 収集した第一の通信情報を、ネットワークを介して通信をする端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成する、要約情報生成手段と、
前記端末装置において生成した、前記端末装置が収集した第二の通信情報と、前記ネットワークを介して受信した前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、通信情報統合手段と、
を有することを特徴とする通信情報統合装置。 - 請求項３に記載の通信情報統合装置であって、
要約情報生成手段は、前記端末装置を識別する端末識別情報を用いて、前記第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報のデータ構造を、確率的データ構造又はデータ圧縮表現構造に変換して前記要約情報を生成する
ことを特徴とする通信情報統合装置。 - コンピュータに、
（ａ）収集した第一の通信情報を、ネットワークを介して通信をする端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成する、ステップと、
（ｂ）前記端末装置において生成した、前記端末装置が収集した第二の通信情報と、前記ネットワークを介して受信した前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、ステップと、
を実行させる命令を含むプログラム。 - 請求項５に記載のプログラムであって、
前記（ａ）のステップにおいて、前記端末装置を識別する端末識別情報を用いて、前記第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報のデータ構造を、確率的データ構造又はデータ圧縮表現構造に変換して圧縮して前記要約情報を生成する
ことを特徴とするプログラム。 - ネットワークを介して通信をする通信情報統合装置が収集した第一の通信情報を、端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約して生成した要約情報を、前記通信情報統合装置から受信した場合、収集した第二の通信情報と前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を生成する、差分通信情報生成手段を有する
ことを特徴とする端末装置。 - 請求項７に記載の端末装置であって、
前記差分通信情報生成手段は、前記要約情報と、前記第二の通信情報とに基づいて、前記第一の通信情報にない前記第二の通信情報を抽出し、抽出した前記第二の通信情報に基づいて差分通信情報を生成する
ことを特徴とする端末装置。 - コンピュータに、
（ａ）ネットワークを介して通信をする通信情報統合装置が収集した第一の通信情報を、端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約して生成した要約情報を、前記通信情報統合装置から受信した場合、収集した第二の通信情報と前記要約情報との差分を表す差分通信情報を生成する、ステップ
を実行させる命令を含むプログラム。 - 請求項９に記載のプログラムであって、
前記（ａ）のステップにおいて、前記要約情報と、前記第二の通信情報とに基づいて、前記第一の通信情報にない前記第二の通信情報を抽出し、抽出した前記第二の通信情報に基づいて差分通信情報を生成する
ことを特徴とするプログラム。
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| PCT/JP2018/036957 WO2020070811A1 (ja) | 2018-10-02 | 2018-10-02 | 通信情報統合システム、通信情報統合方法、通信情報統合装置、端末装置、及びコンピュータ読み取り可能な記録媒体 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPWO2020070811A1 JPWO2020070811A1 (ja) | 2021-09-02 |
| JP7088302B2 true JP7088302B2 (ja) | 2022-06-21 |
Family
ID=70055702
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2020550992A Active JP7088302B2 (ja) | 2018-10-02 | 2018-10-02 | 通信情報統合システム、通信情報統合方法、通信情報統合装置、端末装置、及びプログラム |
Country Status (3)
| Country | Link |
|---|---|
| US (1) | US20210400068A1 (ja) |
| JP (1) | JP7088302B2 (ja) |
| WO (1) | WO2020070811A1 (ja) |
Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2010176191A (ja) | 2009-01-27 | 2010-08-12 | Mitsubishi Electric Corp | データ送信装置及びデータ記憶装置及びデータ更新システム及びコンピュータプログラム及びデータ更新方法 |
| JP2017098870A (ja) | 2015-11-27 | 2017-06-01 | 株式会社日立製作所 | ログ収集システム |
-
2018
- 2018-10-02 US US17/281,342 patent/US20210400068A1/en active Pending
- 2018-10-02 WO PCT/JP2018/036957 patent/WO2020070811A1/ja active Application Filing
- 2018-10-02 JP JP2020550992A patent/JP7088302B2/ja active Active
Patent Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2010176191A (ja) | 2009-01-27 | 2010-08-12 | Mitsubishi Electric Corp | データ送信装置及びデータ記憶装置及びデータ更新システム及びコンピュータプログラム及びデータ更新方法 |
| JP2017098870A (ja) | 2015-11-27 | 2017-06-01 | 株式会社日立製作所 | ログ収集システム |
Also Published As
| Publication number | Publication date |
|---|---|
| WO2020070811A1 (ja) | 2020-04-09 |
| JPWO2020070811A1 (ja) | 2021-09-02 |
| US20210400068A1 (en) | 2021-12-23 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US9853988B2 (en) | Method and system for detecting threats using metadata vectors | |
| Perdisci et al. | Alarm clustering for intrusion detection systems in computer networks | |
| EP3646549B1 (en) | Firewall configuration manager | |
| JP2017538376A (ja) | オフライン・ネットワーク・トラフィックに基づいてカバート・チャネルのネットワーク侵入を検出するためのシステムおよび方法 | |
| WO2018161302A1 (zh) | 数据处理方法、装置和系统 | |
| JP2016508353A (ja) | ネットワークメタデータを処理する改良されたストリーミング方法およびシステム | |
| CN113162943B (zh) | 一种防火墙策略动态管理的方法、系统 | |
| Ajayi et al. | Secured cyber-attack signatures distribution using blockchain technology | |
| Su | Discovery and prevention of attack episodes by frequent episodes mining and finite state machines | |
| CN111241104A (zh) | 操作审计方法、装置及电子设备和计算机可读存储介质 | |
| JP6783261B2 (ja) | 脅威情報抽出装置及び脅威情報抽出システム | |
| US10897483B2 (en) | Intrusion detection system for automated determination of IP addresses | |
| EP3688950B1 (en) | Intrusion detection | |
| Anastopoulos et al. | A structured methodology for deploying log management in WANs | |
| JP7088302B2 (ja) | 通信情報統合システム、通信情報統合方法、通信情報統合装置、端末装置、及びプログラム | |
| KR102125966B1 (ko) | 사설 네트워크 및 가상머신을 이용한 토르 네트워크의 트래픽 및 특징점 수집 시스템 | |
| KR100734864B1 (ko) | 패턴 매칭 정책 저장 방법 및 경보 제어 방법 | |
| Yang et al. | Modelling Network Traffic and Exploiting Encrypted Packets to Detect Stepping-stone Intrusions. | |
| US8149841B2 (en) | System and method for end-user custom parsing definitions | |
| US11316832B1 (en) | Computer network data center with reverse firewall and encryption enabled gateway for security against privacy attacks over a multiplexed communication channel | |
| JP7050042B2 (ja) | 情報処理システムおよび情報処理方法 | |
| TW201815142A (zh) | 通過代理伺服器日誌偵測ｄｏｍａｉｎ ｆｌｕｘ殭屍網路的方法 | |
| Su | Internet worms identification through serial episodes mining | |
| US10554517B2 (en) | Reduction of volume of reporting data using content deduplication | |
| WO2015162688A1 (ja) | データ処理システム、データ処理方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20210315 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20210315 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20220510 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20220523 |
|
| R151 | Written notification of patent or utility model registration |
Ref document number: 7088302 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R151 |