WO2019244629A1 - 通信分析装置、通信分析方法、通信環境分析装置、通信環境分析方法、およびプログラム - Google Patents

Abstract

ネットワーク上のセンサー装置で観測された通信について、当該通信の動作を示す動作情報と、当該通信の発信源を示す発信源情報と、を含む通信情報を取得する取得部（１１０）と、取得された通信情報を動作情報に基づいて分類する分類部（１２０）と、動作情報に基づく通信情報の分類結果を、発信源情報と共に出力する出力部（１３０）と、を有する。

Description

通信分析装置、通信分析方法、通信環境分析装置、通信環境分析方法、およびプログラム

　本発明は、サイバーセキュリティ技術に関する。

　ネットワーク上でのサイバー攻撃が年々増加しており、サイバー攻撃に対するセキュリティ対策の重要性が高まっている。

　サイバーセキュリティに関する技術の一例が、下記特許文献１に開示されている。下記特許文献１には、通信ネットワーク上を流通するパケットを解析し、アクセス元からのホストアクセス、ポートアクセス、アクセス時間間隔、アクセスポリシー違反等から当該アクセス元の悪意の度合いを定量化し、その悪意の度合いに応じた処理を実行する技術が開示されている。

特開２００５－１７５７１４号公報

　上述の特許文献１の技術では、ある通信について悪意があるか否かを、既知の（すなわち、実際に被害が表面化した）サイバー攻撃の分析結果に基づいて判断している。言い換えると、サイバー攻撃による被害が表面化しない限り、そのサイバー攻撃に係る通信の悪意性を判断することは難しい。その結果、未知のサイバー攻撃が既知となるまで、被害が拡大していってしまう。未知のサイバー攻撃を早期に発見してその被害を抑える技術が望まれる。

　本発明は、上記の課題に鑑みてなされたものである。本発明の目的の一つは、未知のサイバー攻撃を早期に発見し、そのサイバー攻撃による被害の拡大を抑える技術を提供することである。

　本発明の通信分析装置は、
　ネットワーク上のセンサー装置で観測された通信について、当該通信の動作を示す動作情報と、当該通信の発信源を示す発信源情報と、を含む通信情報を取得する取得手段と、
　前記動作情報に基づいて、取得された前記通信情報を分類する分類手段と、
　前記動作情報に基づく前記通信情報の分類結果を、前記発信源情報と共に出力する出力手段と、
　を有する。

　本発明の通信分析方法は、
　コンピュータが、
　ネットワーク上のセンサー装置で観測された通信について、当該通信の動作を示す動作情報と、当該通信の発信源を示す発信源情報と、を含む通信情報を取得し、
　前記動作情報に基づいて、取得された前記通信情報を分類し、
　前記動作情報に基づく前記通信情報の分類結果を、前記発信源情報と共に出力する、
　ことを含む。

　本発明の第１のプログラムは、コンピュータに、上述の通信分析方法を実行させる。

　本発明の通信環境分析装置は、
　ネットワーク上のセンサー装置で観測された通信に基づく、当該センサー装置のネットワーク環境の健全性を測る指標となる指標情報を取得する取得手段と、
　取得された前記指標情報と、基準となるネットワーク環境の指標情報である基準指標情報との類似性を判断する判断手段と、
　前記類似性の判断結果に基づく出力を行う出力手段と、
　を備える。

　本発明の通信環境分析方法は、
　コンピュータが、
　ネットワーク上のセンサー装置で観測された通信に基づく、当該センサー装置のネットワーク環境の健全性を測る指標となる指標情報を取得し、
　取得された前記指標情報と、基準となるネットワーク環境の指標情報である基準指標情報との類似性を判断し、
　前記類似性の判断結果に基づく出力を行う、
　ことを含む。

　本発明の第２のプログラムは、コンピュータに、上述の通信環境分析方法を実行させる。

　本発明によれば、未知のサイバー攻撃を早期に発見し、そのサイバー攻撃による被害の拡大を抑えることができる。

　上述した目的、およびその他の目的、特徴および利点は、以下に述べる好適な実施の形態、およびそれに付随する以下の図面によってさらに明らかになる。

第１実施形態の通信分析装置が行う処理を概念的に示す図である。 第１実施形態に係る通信分析装置の機能構成例を示すブロック図である。 通信分析装置のハードウエア構成を例示するブロック図である。 第１実施形態に係る通信分析装置によって実行される処理の流れを例示するフローチャートである。 動作情報の生成ルールを定義するルール情報の一例を示す図である。 センサー装置における通信の観測結果の一例を概念的に示す図である。 図６に示される通信の観測結果を基に生成される通信情報の一例を示す図である。 所定の記憶領域に蓄積される通信情報の一例を示す図である。 通信時間分布情報を表示する出力用画面の一例を示す図である。 第２実施形態の通信環境分析装置が行う処理を概念的に示す図である。 第２実施形態に係る通信環境分析装置の機能構成を概念的に例示する図である。 通信環境分析装置ハードウエア構成を例示するブロック図である。 第２実施形態に係る通信環境分析装置によって実行される処理の流れを例示するフローチャートである。 指標情報の生成ルールを定義するルール情報の一例を示す図である。 取得部により取得される指標情報の一例を示す図である。 判断基準となるセンサー装置の基準指標情報の一例を示す図である。 分析対象となるセンサー装置の指標情報の一例を示す図である。 分析対象となるセンサー装置の指標情報の一例を示す図である。 指標情報と基準指標情報との類似度を示す情報を含む画面の一例を示す図である。

　以下、本発明の実施形態について、図面を用いて説明する。尚、すべての図面において、同様な構成要素には同様の符号を付し、適宜説明を省略する。また、特に説明する場合を除き、各ブロック図において、各ブロックは、ハードウエア単位の構成ではなく、機能単位の構成を表している。

　［第１実施形態］
　＜概要＞
　図１は、第１実施形態の通信分析装置１０が行う処理を概念的に示す図である。通信分析装置１０は、センサー装置３０における通信の観測（受信）結果に基づいて、通信リスクを判断する指標となる情報を出力する機能を有する。センサー装置３０は、ネットワーク上の図示しない発信源（通信装置）からの通信を観測するための装置である。センサー装置３０は、ネットワーク上の発信源からの通信について観測した結果を、例えば予め決められたタイミングで通信分析装置１０または図示しない外部記憶装置に出力する。なお、図１では描かれていないが、複数のセンサー装置３０がネットワーク上に存在し得る。

　通信分析装置１０は、センサー装置３０で観測された通信を発信源別に分析し、その通信の動作を示す情報（以下、「動作情報」とも表記）を得ることができる。なお、この分析は、センサー装置３０で行われてもよい。その場合、センサー装置３０は、分析の結果（動作情報）を含む情報を、通信分析装置１０または図示しない外部記憶装置に出力する。

　通信分析装置１０は、取得した動作情報に基づいて、センサー装置３０で観測された通信を分類する。そして、通信分析装置１０は、動作情報を基に通信を分類した結果を、その通信の発信源を示す情報（以下、「発信源情報」とも表記）と共に出力する。

　＜作用・効果＞
　本実施形態の通信分析装置１０では、動作情報を基に通信を分類した結果が、その通信の発信源を示す情報と共に出力される。この通信分析装置１０から出力された情報は、ネットワークセキュリティの管理者にとって、未知のサイバー攻撃を見つけ出す手がかりとなり得る。例えば、動作情報に基づく通信の分類結果は、その通信で行われる動作がありふれた動作であるのか、或いは、通常ではあり得ない（今までにない）特殊な動作であるのかを示す指標となる。さらに、今までにない特殊な動作の通信が、サイバー攻撃と思しき通信を頻繁に行う発信源から行われたのであれば、その通信は未知のサイバー攻撃の可能性がある。ネットワークセキュリティの管理者は、例えばこのような分析を、通信分析装置１０の出力結果を使って行うことができる。そして、ネットワークセキュリティの管理者は、未知のサイバー攻撃の被害が拡大しないように、早めの対策を講じることができる。

　＜通信分析装置１０の機能構成例＞
　図２は、第１実施形態に係る通信分析装置１０の機能構成例を示すブロック図である。図２に示されるように、通信分析装置１０は、取得部１１０、分類部１２０、および出力部１３０を備える。

　取得部１１０は、ネットワーク上のセンサー装置３０で観測された通信について、動作情報と発信源情報とを含む通信情報を取得する。ここで、ネットワーク上のセンサー装置３０は、発信源に実装されている何らかのプログラムの動作に応じて当該発信源とセンサー装置３０との間で発生した通信を観測（受信）する。動作情報は、センサー装置３０で観測（受信）された通信の動作を示す情報である。また、発信源情報は、通信を行った発信源を示す（識別する）情報である。分類部１２０は、動作情報に基づいて通信情報を分類する。出力部１３０は、動作情報に基づく通信情報の分類結果を、発信源情報と共に出力する。

　〔通信分析装置１０のハードウエア構成例〕
　通信分析装置１０の各機能構成部は、各機能構成部を実現するハードウエア（例：ハードワイヤードされた電子回路など）で実現されてもよいし、ハードウエアとソフトウエアとの組み合わせ（例：電子回路とそれを制御するプログラムの組み合わせなど）で実現されてもよい。以下、通信分析装置１０の各機能構成部がハードウエアとソフトウエアとの組み合わせで実現される場合について、さらに説明する。

　図３は、通信分析装置１０のハードウエア構成を例示するブロック図である。図３に示されるように、通信分析装置１０は、バス１０１０、プロセッサ１０２０、メモリ１０３０、ストレージデバイス１０４０、入出力インタフェース１０５０、及びネットワークインタフェース１０６０を有する。

　バス１０１０は、プロセッサ１０２０、メモリ１０３０、ストレージデバイス１０４０、入出力インタフェース１０５０、及びネットワークインタフェース１０６０が、相互にデータを送受信するためのデータ伝送路である。ただし、プロセッサ１０２０などを互いに接続する方法は、バス接続に限定されない。

　プロセッサ１０２０は、ＣＰＵ（Central Processing Unit） やＧＰＵ（Graphics Processing Unit）などで実現されるプロセッサである。

　メモリ１０３０は、ＲＡＭ（Random Access Memory）などで実現される主記憶装置である。

　ストレージデバイス１０４０は、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、メモリカード、又はＲＯＭ（Read Only Memory）などで実現される補助記憶装置である。ストレージデバイス１０４０は通信分析装置１０の各機能（取得部１１０、分類部１２０、出力部１３０など）を実現するプログラムモジュールを記憶している。プロセッサ１０２０がこれら各プログラムモジュールをメモリ１０３０上に読み込んで実行することで、そのプログラムモジュールに対応する各機能が実現される。

　入出力インタフェース１０５０は、通信分析装置１０と各種入出力デバイスとを接続するためのインタフェースである。入出力インタフェース１０５０には、キーボードやマウスといった入力装置、スピーカーやディスプレイといった出力装置などが接続され得る。

　ネットワークインタフェース１０６０は、通信分析装置１０をネットワークに接続するためのインタフェースである。このネットワークは、例えばＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）である。ネットワークインタフェース１０６０がネットワークに接続する方法は、無線接続であってもよいし、有線接続であってもよい。通信分析装置１０は、ネットワークインタフェース１０６０を介して、ネットワーク上のセンサー装置３０や図示しない他の外部装置などと通信することができる。

　なお、図３はあくまで例示であり、通信分析装置１０のハードウエア構成は図３に例示される構成に限定されない。

　＜処理の流れ＞
　図４は、第１実施形態に係る通信分析装置１０によって実行される処理の流れを例示するフローチャートである。以下、図４のフローチャートに沿って、通信分析装置１０によって実行される処理について説明する。

　まず、取得部１１０は、センサー装置３０による通信の観測結果を基に、動作情報と発信源情報とを含む通信情報を取得する（Ｓ１０２）。取得部１１０は、例えば、次のように動作する。

　まず、取得部１１０は、センサー装置３０が観測（受信）した通信パケットの生データを取得する。通信パケットの中には、ＴＣＰ（Transmission Control Protocol）に関する情報またはＵＤＰ（User Datagram Protocol）やＩＰ（Internet Protocol）に関する情報が含まれている。取得部１１０は、これらの情報を基に、通信の動作を示す動作情報および発信源を示す発信源情報を取得することができる。ここで、ＴＣＰまたはＵＤＰに関する情報は、通信パケットのＴＣＰヘッダまたはＵＤＰヘッダに含まれている。通信パケットに含まれるＴＣＰに関する情報は、例えば、宛先ＴＣＰポート番号やＴＣＰパケットのコントロールフラグなどである。通信パケットに含まれるＵＤＰに関する情報は、例えば、宛先ＵＤＰポート番号などである。また、ＩＰに関する情報は、通信パケットのＩＰヘッダに含まれている。通信パケットに含まれるＩＰに関する情報は、例えば、発信元ＩＰアドレスや宛先ＩＰアドレスなどである。

　ここで、通信パケットに含まれる、宛先ポート番号（宛先ＴＣＰポート番号や宛先ＵＤＰポート番号）、ＴＣＰパケットのコントロールフラグ、および、宛先ＩＰアドレスなどの情報は、通信の動作を示す情報として活用できる。例えば、「叩かれる宛先ポート番号の種類（組み合わせ）」、「宛先ポート番号が叩かれる順番」、「ＴＣＰパケットのコントロールフラグのパターン」、「宛先ＩＰアドレスの変化」などは、実装（プログラム）に依存することが分かっている。

　ＴＣＰやＵＤＰにおいて、ポート番号は、サービスに応じて割り当てられている（例えば、ＨＴＴＰ（Hypertext Transfer Protocol）のポート番号は８０番など）。そのため、「叩かれる宛先ポート番号の種類（組み合わせ）」、「宛先ポート番号が叩かれる順番や回数」などは、発信源で利用されているプログラムがどのような目的のプログラムであるかを推測する手がかりとなる。

　また、ある発信源から、同一の宛先ＩＰアドレスかつ同一の宛先ＴＣＰポート番号に向けられた通信パケットについて、ＴＣＰパケットのコントロールフラグが特定の並び順（パターン）となることがある。具体例として、スリーウェイハンドシェイクを行って、ある発信源とセンサー装置３０との間のコネクションを確立させる場合を考える。この場合の通常の動作として、発信源は、まず、ＳＹＮ（synchronize）フラグが設定された通信パケットをセンサー装置３０に向けて送信する。センサー装置３０が当該通信パケットに応答すると、発信源は、ＡＣＫ（acknowledge）フラグが設定された通信パケットを更に送信する。その後、データ本体を送信する場合には、発信源はＰＳＨ（push）フラグが設定された通信パケットを更に送信する。つまり、通常のスリーウェイハンドシェイクの通信動作では、「ＳＹＮ→ＡＣＫ」または「ＳＹＮ→ＡＣＫ→ＰＳＨ」という、ＴＣＰパケットのコントロールフラグのパターンが表れることになる。しかし、上述のパターンとは異なる特殊なパターンで通信パケットを送ってくる発信源が観測されることもある。例えば、ＳＹＮフラグが設定された通信パケットの後に、ＲＳＴ（reset）フラグが設定された通信パケットを送ってくる発信源や、ＡＣＫフラグが設定された通信パケットを何回も繰り返して送ってくる発信源などが観測される場合もある。そのような発信源においては、特殊な目的で用いるプログラム（マルウェア）が動いている可能性がある。このように、ＴＣＰパケットのコントロールフラグのパターンも、発信源で利用されているプログラムがどのような目的のプログラムであるかを推測する手がかりとなる。

　また、発信源で利用されているプログラムにより、それぞれ異なる宛先ＩＰアドレスに向けられた複数の通信パケットが、その発信源から短期間に送信されることもある。これらの複数の通信パケットの各々から、宛先ＩＰアドレスを抽出することにより、発信源がどのような通信を行っているかを示す情報を得ることができる。例えば、宛先ＩＰアドレスを規則的に変化させている（例えば、１つずつ宛先ＩＰアドレスをずらしている等）、または、宛先ＩＰアドレスをランダムに変化させている、といった情報を得ることができる。これらの情報は、発信源で利用されているプログラムがどのような目的のプログラムであるかを推測する手がかりとなる。

　そこで、取得部１１０は、宛先ポート番号、ＴＣＰパケットのコントロールフラグ、および、宛先ＩＰアドレスの少なくともいずれか１つに関する情報を、動作情報として取得する。

　具体的には、取得部１１０は、所定のルール（例：図５）に従って、動作情報を取得する。図５は、動作情報の生成ルールを定義するルール情報の一例を示す図である。図５に例示される情報は、例えば、メモリ１０３０やストレージデバイス１０４０などの記憶領域に予め記憶されている。図５の例において、各レコードは、「ルールＩＤ（identifier）」、「条件」、および、「生成ルール」という３つのカラムを含んで構成されている。「ルールＩＤ」は、各ルール情報を識別するための情報である。「条件」は、１つの動作情報を生成するためのデータの範囲を特定するための情報であり、任意の情報が設定され得る。例えば、図５の１および２行目には「初回パケットの観測から３０秒以内」という条件が設定されている。この場合、「初回パケットの観測から３０秒以内」という時間的な区切りの中で観測された１以上の通信パケット（初回パケットを含む）が、１つの動作情報を生成するためのデータとして特定される。なお、「１以上の通信パケット」は、発信源別に特定される。「生成ルール」は、動作情報の生成ルールを定義するための情報であり、任意の情報が設定され得る。取得部１１０は、「生成ルール」の定義に従って、上述の「１以上の通信パケット」から動作情報を取得する。例えば、図５の例の１行目の「生成ルール」が適用される場合、取得部１１０は、１以上の通信パケットの各々から宛先ＴＣＰポート番号を抽出して、宛先ＴＣＰポート番号の組み合わせを示す動作情報を取得する。

　ここで、図６を用いて取得部１１０の具体的な動作を説明する。なお、ここでは、取得部１１０が図５に例示される情報を利用すると仮定する。図６は、センサー装置３０における通信の観測結果の一例を概念的に示す図である。本図に示される例において、センサー装置３０は、少なくとも５つの通信パケット（通信パケットＡ～Ｅ）を観測している。図６の例において、通信パケットＡ～Ｄは、発信源「ａ．ａ．ａ．５」から送信された通信パケットであり、通信パケットＥは、発信源「ｂ．ｂ．ｂ．６」から送信された通信パケットである。

　取得部１１０は、図６に示すようなデータを取得した場合、発信源「ａ．ａ．ａ．５」について最初に観測された通信パケットＡを「初回パケット」として認識する。また、取得部１１０は、通信パケットＡの観測時刻との差分に基づいて、同じ発信源「ａ．ａ．ａ．５」について観測された通信パケットＢおよび通信パケットＣを、「初回パケットの観測から３０秒以内」に観測されたパケットとして認識する。また、取得部１１０は、通信パケットＡの観測時刻との差分に基づいて、同じ発信源「ａ．ａ．ａ．５」について観測された通信パケットＤを、通信パケットＡとは異なる新たな「初回パケット」として認識する。また、取得部１１０は、「初回パケットの観測から３０秒以内」に観測された通信パケットであっても、発信源が異なる通信パケットＥについては、発信源「ｂ．ｂ．ｂ．６」に関する「初回パケット」として認識する。つまり、図６の例において、取得部１１０は、通信パケットＡ～Ｃを、１つの動作情報を生成するためのデータの範囲として特定する。なお図示されていないが、取得部１１０は、通信パケットＤおよび通信パケットＥについても、通信パケットＡ～Ｃの場合と同様にして、１つの動作情報を生成するためのデータの範囲を特定する。

　そして、取得部１１０は動作情報を取得する。具体的には、取得部１１０は、図５の１行目の生成ルールに基づいて、宛先ＴＣＰポート番号の組み合わせを示す動作情報（例えば、「２３、８０、８０８０」など）を通信パケットＡ～Ｃから取得することができる。また、取得部１１０は、図５の２行目の生成ルールに基づいて、宛先ＴＣＰポートの出現回数および出現順序を示す動作情報（例えば、「２３（１）→８０（１）→８０８０（１）」など）を通信パケットＡ～Ｃから取得することができる。

　そして、取得部１１０は、動作情報と発信源情報とを対応付けることにより、通信情報を生成する（例：図７）。図７は、図６に示される通信の観測結果を基に生成される通信情報の一例を示す図である。図７の例において、各レコードは、「通信情報ＩＤ」、「発信源情報」、「着信時刻」、「ルールＩＤ」、および、「動作情報」という５つのカラムを含んで構成されている。「通信情報ＩＤ」は、各通信情報を識別するための情報である。「通信情報ＩＤ」は、通信情報の生成時に、その通信情報固有の値として自動的に割り当てられる。「発信源情報」は、各通信情報に対応する発信源を示す情報である。「発信源情報」には、例えば通信パケットのＩＰヘッダに含まれる送信元ＩＰアドレスなど、通信の発信源を識別可能な情報が設定される。「着信時刻」は、各通信情報に対応する通信が行われた時刻に関する情報である。着信時刻には、例えば、初回パケットの観測時刻が設定される。「ルールＩＤ」は、通信情報に含まれる動作情報を生成する際に適用した生成ルールを示す情報である。「動作情報」には、「ルールＩＤ」で示される生成ルールによって生成された、動作情報が格納される。取得部１１０は、例えば図８に例示されるように、生成した通信情報を所定の記憶領域（例えば、ストレージデバイス１０４０）に記憶する。図８は、所定の記憶領域に蓄積される通信情報の一例を示す図である。但し、通信情報は、図８の例に制限されない。例えば、取得部１１０は、発信源情報を基に取得可能な詳細情報（例えば、発信元ＩＰアドレスを基に取得可能なＷＨＯＩＳ情報など）を、通信情報に含めてもよい。ＷＨＯＩＳ情報は、ネットワーク管理者が通信リスクを分析する際に有用な情報となる。

　図４に戻り、分類部１２０は、動作情報を基に通信情報を分類する（Ｓ１０４）。具体的には、分類部１２０は、Ｓ１０２の処理で取得された通信情報の中から一の通信情報を選択し、当該選択した通信情報に含まれる動作情報を、その他の通信情報の動作情報と比較する。例えば、図８に例示されるような通信情報が蓄積されており、分類部１２０が、通信情報ＩＤ「０５０１」の通信情報を選択したとする。この場合、分類部１２０は、当該通信情報に対応する動作情報「４４３」と同一の動作情報を有する通信情報が存在しない（すなわち、その通信動作が初めて観測された）ことを特定できる。この場合、分類部１２０は、通信情報ＩＤ「０５０１」の通信情報を、今までにないグループとして分類する。例えば、分類部１２０は、通信情報ＩＤ「０５０１」の通信情報に含まれる動作情報が属する分類を一意に示すフラグ情報を新たに生成し、新たに生成したフラグ情報をその通信情報に付与する。これにより、センサー装置３０において今までに観測されたことがなかった通信動作に対応する分類が新たに生成される。また、分類部１２０が、通信情報ＩＤ「０４０１」の通信情報を選択したとする。この場合、分類部１２０は、当該通信情報に対応する動作情報「２３、８０、８０８０」と同一の動作情報を有する通信情報（通審情報ＩＤ「０００１」の通信情報）を１つ特定することができる。この場合、分類部１２０は、通信情報ＩＤ「０４０１」の通信情報を、通信ＩＤ「０００１」の通信情報と同一のグループとして分類する。例えば、分類部１２０は、ＩＤ「０００１」の通信情報に付与されたフラグ情報と同一のフラグ情報を、通信情報ＩＤ「０４０１」の通信情報に付与することで、これらの通信情報を同一のグループに分類することができる。

　そして、出力部１３０は、動作情報に基づく分類の結果を、発信源情報と共に出力する（Ｓ１０６）。例えば、出力部１３０は、ネットワーク管理者用の出力装置４０（ディスプレイなど）に、「発信源ａ．ａ．ａ．５が行った通信動作は通算で２回観測されています。」や「発信源ｂ．ｂ．ｂ．６が行った通信動作は今までにない動作です。」といったメッセージを出力することができる。このような情報に基づいて、ネットワーク管理者が、通信のリスクを判断することができる。

　また、図７に例示されるように、通信情報に通信時刻に関する情報が含まれている場合、出力部１３０は、動作情報に基づいて決定される各分類に属する通信の出現間隔を、その通信時刻に基づいて更に出力してもよい。例えば、出力部１３０は、「発信源ａ．ａ．ａ．５が行った通信動作はＸＸ日ぶり２回目です。」といったメッセージを出力することができる。このようにすることで、ネットワーク管理者に、リスク分析用に有益な情報を提供することができる。

　また、通信情報に通信時刻に関する情報が含まれている場合、出力部１３０は、各通信情報の通信時刻を用いて、動作情報に基づいて決定される分類別に通信時間分布情報を出力するように構成されていてもよい。ここで、通信時間分布情報は、動作情報に基づいて決定される分類別の通信が行われた時間分布を示す情報である。具体的には、出力部１３０は、時刻を示す軸を少なくとも有する多次元空間において、分類別の通信を各通信情報の通信時間に基づいてプロットすることによって、通信時間分布情報を出力するように構成されていてもよい。このような情報を基に、ネットワーク管理者が、分類別の通信の傾向を容易に把握することができる。

　図９に、通信時間分布情報の具体的な出力例を示す。図９は、通信時間分布情報を表示する出力用画面の一例を示す図である。図９では、縦軸を時間軸、横軸を発信元ＩＰアドレスの軸として有する２次元空間Ａが例示されている。なお、図９の例示されている２次元空間Ａにおいて、縦の解像度および横の解像度は、それぞれ、「３」および「４」である。また、図９に例示される画面の２次元空間Ａは、ある日の「１２：２０：００」から「１２：５０：００」までの期間における、発信元ＩＰアドレス別の通信の観測結果を示している。

　本実施形態の通信分析装置１０は、例えば次のようにして、図９に例示されるような画面を出力することができる。まず、分類部１２０が、２次元空間Ａ上に表示させる情報の基となる「通信データ」を収集する。ここで、分類部１２０は、「通信データ」を動作情報に基づく分類別に収集する。具体的な例として、分類部１２０は、「宛先ＴＣＰポート番号の組み合わせ」が同一の通信について、その通信の時刻および発信元ＩＰアドレスに関するデータを取得する。その結果、図９の「通信データ」に例示されるようなデータが収集される。そして、分類部１２０は、収集された「通信データ」の中からデータを１つ選択する。そして、分類部１２０は、選択したデータの「時刻」または「発信元ＩＰアドレス」に基づいて、２次元空間Ａの領域（ブロック）を特定する。具体的な例として、時刻が「１２：３４：５６」および発信元ＩＰアドレスが「１２．３４．ｘ．ｘ」であるデータを、分類部１２０が選択した場合を考える。この場合、分類部１２０は、図中点線で囲った領域を、選択したデータに対応する領域として特定することができる。そして、分類部１２０は、特定した領域（ブロック）に含まれるデータの数として定義された変数をインクリメントする。分類部１２０は、上述の動作を各通信データに対して実行することによって、最終的に、図９に例示されるような通信時間分布情報を描画するデータを生成することができる。そして、出力部１３０は、分類部１２０により生成された描画用のデータを基に、通信時間分布情報を出力する。このとき、出力部１３０は、図９に例示されるように、２次元空間Ａの領域毎のデータ数に応じて、各領域のカラーパターンを変えてもよい。このようにすることで、ネットワークセキュリティの監理者が、分類別の通信の傾向（時間的な分布状況）をより直観的に把握できる。なお、図９では、領域毎のデータ数が多いほど、その領域がより濃い色で表示される例が示されている。

　但し、出力部１３０による出力内容は、図９の例に制限されない。例えば、出力部１３０は、「時間」を示す第１の軸および「宛先ＴＣＰポート番号の組み合わせ」の第２の軸を有する２次元空間を使って、通信時間分布情報を出力してもよい。ここで、「宛先ＴＣＰポート番号の組み合わせ」は、動作情報に基づく分類の一例である。この場合、宛先ＴＣＰポート番号の組み合わせ別（例えば、「２３、８０、８０８０」や「４４３」など）の通信の出現状況を時系列に示す情報を含む画面が出力される。

　また、時間軸を有さない多次元空間が用いられてもよい。例えば、送信元ポート番号を示す第１の軸と、宛先ポート番号を示す第２の軸と、を有する２次元空間が用いられてもよい。この場合、出力部１３０は、送信元ポート番号と宛先ポート番号との組み合わせ別に、通信の出現頻度を示す情報を出力できる。

　［第２実施形態］
　＜概要＞
　図１０は、第２実施形態の通信環境分析装置２０が行う処理を概念的に示す図である。通信環境分析装置２０は、センサー装置３０において観測（受信）された通信の内容を分析し、その分析結果からセンサー装置３０のリスクを判断する機能を有する。センサー装置３０は、第１実施形態と同様に、ネットワーク上の図示しない発信源（通信装置）からの通信を観測するための装置である。センサー装置３０は、ネットワーク上の発信源からの通信について観測した結果を、例えば予め決められたタイミングで通信環境分析装置２０または図示しない外部記憶装置に出力する。なお、図１０では描かれていないが、複数のセンサー装置３０がネットワーク上に存在し得る。

　通信環境分析装置２０は、センサー装置３０で観測された通信を分析し、そのセンサー装置３０のネットワーク環境の健全性を測る指標となる情報（以下、「指標情報」とも表記）を取得する。なお、この分析は、センサー装置３０で行われてもよい。その場合、センサー装置３０は、分析の結果（指標情報）を含む情報を、通信環境分析装置２０または図示しない外部記憶装置に出力する。

　通信環境分析装置２０は、取得した指標情報と、健全性の判断基準となるネットワーク環境の指標情報（以下、「基準指標情報」と表記）とを比較する。そして、通信環境分析装置２０は、その比較結果に基づいて、センサー装置３０の指標情報と基準指標情報との類似性を判断する。そして、通信環境分析装置２０は、センサー装置３０の指標情報と基準指標情報との類似性の判断結果を、例えばネットワークセキュリティの管理者用端末に出力する。例えば、健全性が高いと既に分かっている第１のセンサー装置３０があり、その第１のセンサー装置３０の指標情報が基準指標情報として用いられたと仮定する。この場合、通信環境分析装置２０は、第１のセンサー装置３０の指標情報（基準指標情報）との類似性が高いほど、比較対象となった第２のセンサー装置３０の健全性が高いと推測できる。また、健全性が低いと既に分かっている第１のセンサー装置があり、の指標情報が基準指標情報として用いられたと仮定する。この場合、通信環境分析装置２０は、第１のセンサー装置３０の指標情報（基準指標情報）との類似性が高いほど、比較対象のセンサー装置３０の健全性が低いと推測できる。

　＜作用・効果＞
　本実施形態の通信環境分析装置２０によれば、センサー装置３０のネットワーク環境の健全性を測る指標情報と、健全性の判断基準となる基準指標情報との類似性の判断結果が出力される。この通信環境分析装置２０から出力された情報は、ネットワークセキュリティの管理者にとって、未知のサイバー攻撃を見つけ出す手がかりとなり得る。例えば、頻繁にサイバー攻撃の標的となっているセンサー装置３０の指標情報を基準指標情報として用いた場合には、その基準指標情報に近い傾向を示すほど、未知のサイバー攻撃の標的となる可能性が高い。ネットワークセキュリティの管理者は、例えばこのような分析を、通信環境分析装置２０の出力結果を使って行うことができる。そして、ネットワークセキュリティの管理者は、未知のサイバー攻撃の被害が拡大しないように、ネットワーク環境の健全性を高めるための対策を早期に講じることができる。

　＜機能構成例＞
　図１１は、第２実施形態に係る通信環境分析装置２０の機能構成を概念的に例示する図である。図１１に示されるように、通信環境分析装置２０は、取得部２１０、判断部２２０、および出力部２３０を有する。

　取得部２１０は、ネットワーク上のセンサー装置３０で観測された通信に基づく指標情報を取得する。指標情報は、当該センサー装置３０のネットワーク環境の健全性を測る指標となる情報である。判断部２２０は、取得部２１０により取得された指標情報と基準指標情報との類似性を判断する。基準指標情報は、基準となるネットワーク環境の指標情報である。出力部２３０は、判断部２２０による類似性の判断結果に基づいて、出力を行う。

　〔通信分析装置１０のハードウエア構成例〕
　通信環境分析装置２０の各機能構成部は、各機能構成部を実現するハードウエア（例：ハードワイヤードされた電子回路など）で実現されてもよいし、ハードウエアとソフトウエアとの組み合わせ（例：電子回路とそれを制御するプログラムの組み合わせなど）で実現されてもよい。以下、通信環境分析装置２０の各機能構成部がハードウエアとソフトウエアとの組み合わせで実現される場合について、さらに説明する。

　図１２は、通信環境分析装置２０ハードウエア構成を例示するブロック図である。図１２に示されるように、通信環境分析装置２０は、バス２０１０、プロセッサ２０２０、メモリ２０３０、ストレージデバイス２０４０、入出力インタフェース２０５０、及びネットワークインタフェース２０６０を有する。

　バス２０１０は、プロセッサ２０２０、メモリ２０３０、ストレージデバイス２０４０、入出力インタフェース２０５０、及びネットワークインタフェース２０６０が、相互にデータを送受信するためのデータ伝送路である。ただし、プロセッサ２０２０などを互いに接続する方法は、バス接続に限定されない。

　プロセッサ２０２０は、ＣＰＵ（Central Processing Unit） やＧＰＵ（Graphics Processing Unit）などで実現されるプロセッサである。

　メモリ２０３０は、ＲＡＭ（Random Access Memory）などで実現される主記憶装置である。

　ストレージデバイス２０４０は、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、メモリカード、又はＲＯＭ（Read Only Memory）などで実現される補助記憶装置である。ストレージデバイス２０４０は通信環境分析装置２０の各機能（取得部２１０、判断部２２０、出力部２３０など）を実現するプログラムモジュールを記憶している。プロセッサ２０２０がこれら各プログラムモジュールをメモリ２０３０上に読み込んで実行することで、そのプログラムモジュールに対応する各機能が実現される。

　入出力インタフェース２０５０は、通信環境分析装置２０と各種入出力デバイスとを接続するためのインタフェースである。入出力インタフェース２０５０には、キーボードやマウスといった入力装置、スピーカーやディスプレイといった出力装置などが接続され得る。

　ネットワークインタフェース２０６０は、通信環境分析装置２０をネットワークに接続するためのインタフェースである。このネットワークは、例えばＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）である。ネットワークインタフェース１０６０がネットワークに接続する方法は、無線接続であってもよいし、有線接続であってもよい。通信環境分析装置２０は、ネットワークインタフェース２０６０を介して、ネットワーク上のセンサー装置３０や図示しない他の外部装置などと通信することができる。

　なお、図１２はあくまで例示であり、通信環境分析装置２０のハードウエア構成は図１２に例示される構成に限定されない。

　＜処理の流れ＞
　図１３は、第２実施形態に係る通信環境分析装置２０によって実行される処理の流れを例示するフローチャートである。以下、図１３のフローチャートに沿って、通信環境分析装置２０によって実行される処理について説明する。

　まず、取得部２１０は、センサー装置３０による通信の観測結果を基に、指標情報を取得する（Ｓ２０２）。取得部２１０は、例えば、次のように動作する。

　まず、取得部２１０は、センサー装置３０が観測（受信）した通信パケットの生データを取得する。通信パケットの中には、ＴＣＰ（Transmission Control Protocol）またはＵＤＰ（User Datagram Protocol）に関する情報やＩＰ（Internet Protocol）に関する情報が含まれている。取得部２１０は、これらの情報を基に、指標情報を取得することができる。例えば、取得部２１０は、通信パケットに含まれる、宛先ポート番号（宛先ＴＣＰポート番号や宛先ＵＤＰポート番号）、ＴＣＰパケットのコントロールフラグ、宛先ＩＰアドレス、送信元ＩＰアドレスなどの情報を基に、指標情報を取得することができる。

　具体的には、取得部２１０は、所定のルール（例：図１４）に従って、指標情報を取得する。図１４は、指標情報の生成ルールを定義するルール情報の一例を示す図である。図１４に例示される情報は、例えば、メモリ２０３０やストレージデバイス２０４０などの記憶領域に予め記憶されている。図１４の例において、各レコードは、「ルールＩＤ（identifier）」、「条件」、および、「生成ルール」という３つのカラムを含んで構成されている。「ルールＩＤ」は、各ルール情報を識別するための情報である。「条件」は、１つの指標情報を生成するためのデータの範囲を特定するための情報であり、任意の情報が設定され得る。例えば、図１４の１および２行目には「毎年１月１日から１２月３１日まで」という条件が設定されている。この場合、「毎年１月１日から１２月３１日まで」という時間的な区切りの中で観測された１以上の通信パケットが、１つの指標上情報を生成するためのデータとして特定される。「生成ルール」は、動作情報の生成ルールを定義するための情報であり、任意の情報が設定され得る。取得部２１０は、「生成ルール」の定義に従って、上述の「１以上の通信パケット」から指標情報を取得する。例えば、図１４の例の１行目の「生成ルール」が適用される場合、取得部２１０は、１以上の通信パケットの各々から発信元ＩＰアドレスを抽出する。

　取得部２１０は、対象となるセンサー装置３０毎に指標情報を取得し、所定の記憶領域に記憶する（例：図１５）。図１５は、取得部２１０により取得される指標情報の一例を示す図である。図１５の例において、各レコードは、「指標情報ＩＤ」、「センサーＩＤ」、「年を示す情報」、「ルールＩＤ」、および、「指標情報」という５つのカラムを含んで構成されている。「指標情報ＩＤ」は、各指標情報を識別するための情報である。「指標情報ＩＤ」は、指標情報の生成時に、その指標情報固有の値として自動的に割り当てられる。「センサーＩＤ」は、センサー装置３０毎に固有の識別子である。「年を示す情報」は、指標情報が生成された年を示す情報である。この情報は、１つの指標情報を生成するためのデータの範囲を特定するための「条件」によって変わり得る。「ルールＩＤ」は、通信情報に含まれる動作情報を生成する際に適用した生成ルールを示す情報である。「指標情報」には、「ルールＩＤ」で示される生成ルールによって生成された、指標情報が格納される。

　図１３に戻り、判断部２２０は、基準指標情報を取得する（Ｓ２０４）。例えば、基準となるセンサー装置３０が予め設定されている場合、判断部２２０は、そのセンサー装置３０の指標情報を基準指標情報として取得することができる。また、囮のセンサー装置３０を試験的に運用した結果として得られる指標情報を、基準指標情報としてストレージデバイス２０４０などに用意しておいてもよい。

　そして、判断部２２０は、指標情報と基準指標情報との類似性を判断する。判断部２２０は、例えば、次のように動作する。判断部２２０は、まず、指標情報と基準指標情報との類似度を算出する（Ｓ２０６）。一例として、判断部２２０は、指標情報と基準指標情報とに基づいて、当該指標情報および基準指標情報の双方に含まれる送信元ＩＰアドレスを特定する。言い換えると、判断部２２０は、分析対象のセンサー装置３０および判断基準となるセンサー装置の双方において共通して観測された発信源（送信元ＩＰアドレス）を特定する。そして、判断部２２０は、基準指標情報に含まれる全ての送信元ＩＰアドレスに対して、上記で特定した送信元ＩＰアドレスが占める割合を、基準指標情報との類似度として算出する。他の一例として、判断部２２０は、指標情報と基準指標情報とに基づいて、当該指標情報および基準指標情報の双方に含まれる宛先ＴＣＰポート番号を特定する。言い換えると、判断部２２０は、分析対象のセンサー装置３０および判断基準となるセンサー装置の双方において共通して観測された宛先ＴＣＰポート番号を特定する。そして、判断部２２０は、基準指標情報に含まれる全ての宛先ポート番号に対して、上記で特定した宛先ＴＣＰポート番号が占める割合を、基準指標情報との類似度として算出する。

　そして、判断部２２０は、Ｓ２０６の処理で算出した類似度が所定の閾値を超えているか否かを判定する（Ｓ２０８）。この閾値は、例えば、判断部２２０のプログラムモジュールにおいて予め定義される。

　ここで、図１６乃至図１８を用いて、判断部２２０が指標情報と基準指標情報との類似性を判断する具体的な流れについて説明する。図１６は、判断基準となるセンサー装置３０の基準指標情報の一例を示す図である。図１７および図１８は、分析対象となるセンサー装置３０の指標情報の一例を示す図である。図１６乃至図１８では、宛先ＴＣＰポート番号を指標情報として用いる例が示されている。

　ここで、図１６の基準指標情報に含まれる宛先ＴＣＰポート番号は、出現頻度の降順で、「２２、２３、８０、８０８０、５９００、１２００１、２５」である。また、図１７の指標情報に含まれる宛先ＴＣＰポート番号は、出現頻度の降順で、「２２、２３、５２５、２５、１２１１１、６５０００、８０」である。また、図１８の指標情報に含まれる宛先ＴＣＰポート番号は、出現頻度の降順で、「２２、２３、８０、８０８０、８０８１、８０８２、９９９９」である。

　この場合において、判断部２２０は、宛先ポート番号の出現頻度について基準指標情報と指標情報との一致度合を、類似度として算出することができる。例えば、判断部２２０は、図１６の基準指標情報と図１７の指標情報との類似度および図１６の基準指標情報と図１８の指標情報との類似度を、それぞれ、「２／７」および「４／７」と算出することができる。この場合、判断部２２０は、図１７の指標情報よりも、図１８の指標情報の方が、基準指標情報に近いと判断することができる。更に、所定の閾値が「５０％」であったと仮定する。この場合、判断部２２０は「図１７の指標情報および基準指標情報は類似していない」と判断することができる。また、判断部２２０は、「図１８の指標情報および基準指標情報は類似している」と判断することができる。

　図１３に戻り、判断部２２０は、類似度が所定の閾値を超えたか否かについて、出力部２３０に通知する。出力部２３０は、判断部２２０から受け取った通知に応じた出力動作を行う。なお、ここでは、健全性の低いセンサー装置３０の指標情報が基準識別情報として設定されていると仮定する。類似度が所定の閾値を超えたことを示す通知を判断部２２０から受け取った場合（Ｓ２０８：ＹＥＳ）、分析対象のセンサー装置３０の健全性について警告情報を出力する（Ｓ２１０）。例えば、出力部２３０は、ネットワークセキュリティの監理者用端末に対して、分析対象のセンサー装置３０のネットワーク環境に対する早期対策を促すメッセージなどを出力する。一方、類似度が所定の閾値を超えていないことを示す通知を判断部２２０から受け取った場合（Ｓ２０８：ＮＯ）、出力部２３０は、警告情報を出力しない。この場合において、出力部２３０は、分析対象のセンサー装置３０のネットワーク環境に問題がない旨のメッセージを、ネットワークセキュリティの監理者用端末に出力してもよい。

　また、本実施形態の通信環境分析装置２０は、第１実施形態で説明した通信時間分布情報を指標情報として取得し、上述の処理を実行してもよい。具体的には、取得部２１０は、分析対象のセンサー装置３０毎の通信時間分布情報を取得する。判断部２２０は、分析対象のセンサー装置３０毎に、通信時間分布情報と、基準指標情報として利用される通信時間分布情報との類似性を判断する。なお、基準指標情報として利用される通信時間分布情報は、例えば、上述の囮のセンサー装置３０を試験的に運用した結果として得られる通信時間分布情報などである。このような基準指標情報は、例えばストレージデバイス２０４０などに予め記憶されている。具体的な例として、判断部２２０は、次のように類似性を判断することができる。ます、判断部２２０は、領域毎にカウントしたデータ数について基準指標情報との差分を算出する。そして、判断部２２０は、領域毎に算出した差分に基づいて、差分が所定の閾値以下に収まる領域を特定する。そして、判断部２２０は、特定された領域が全体の領域数に対して占める割合を、基準指標情報との類似度として算出することができる。そして、出力部２３０は、指標情報と基準指標情報との類似度を示す情報として、例えば、図１９に示すような画面を出力する。図１９は、指標情報と基準指標情報との類似度を示す情報を含む画面の一例を示す図である。出力部２３０は、例えば、縦軸を時間軸、横軸を発信元ＩＰアドレスの軸として有する２次元空間Ａにおいて、基準指標情報と類似した結果が得られた領域に所定の印（例えば、図中点線で示す枠Ｂ）を付与する。図１９に例示されるような情報によれば、センサー装置３０の指標情報と基準指標情報との間で共通する部分が容易に把握できる。

　以上、図面を参照して本発明の実施形態について述べたが、これらは本発明の例示であり、上記以外の様々な構成を採用することもできる。

　また、上述の説明で用いた複数のフローチャートでは、複数の工程（処理）が順番に記載されているが、各実施形態で実行される工程の実行順序は、その記載の順番に制限されない。各実施形態では、図示される工程の順番を内容的に支障のない範囲で変更することができる。また、上述の各実施形態は、内容が相反しない範囲で組み合わせることができる。

　上記の実施形態の一部または全部は、以下の付記のようにも記載されうるが、以下に限られない。
１．
　ネットワーク上のセンサー装置で観測された通信について、当該通信の動作を示す動作情報と、当該通信の発信源を示す発信源情報と、を含む通信情報を取得する取得手段と、
　前記動作情報に基づいて、取得された前記通信情報を分類する分類手段と、
　前記動作情報に基づく前記通信情報の分類結果を、前記発信源情報と共に出力する出力手段と、
　を有する通信分析装置。
２．
　前記動作情報は、宛先ポート番号、ＴＣＰ（Transmission Control Protocol）パケットのコントロールフラグ、および、宛先ＩＰ（Internet Protocol）アドレスの中の少なくとも１つに関する情報を含む、
　１．に記載の通信分析装置。
３．
　前記通信情報には、通信時刻の情報が更に含まれており、
　前記出力手段は、前記通信時刻の情報を用いて、前記動作情報に基づく分類別に、通信が行われた時間の分布を示す通信時間分布情報を出力する、
　１．または２．に記載の通信分析装置。
４．
　前記出力手段は、時刻を示す軸を少なくとも有する多次元空間を使って、前記通信時間分布情報を出力する、
　３．に記載の通信分析装置。
５．
　前記出力手段は、前記通信時刻の情報を用いて、前記動作情報に基づいて決定される各分類の通信の出現間隔を示す情報を出力する、
　３．に記載の通信分析装置。
６．
　コンピュータが、
　ネットワーク上のセンサー装置で観測された通信について、当該通信の動作を示す動作情報と、当該通信の発信源を示す発信源情報と、を含む通信情報を取得し、
　前記動作情報に基づいて、取得された前記通信情報を分類し、
　前記動作情報に基づく前記通信情報の分類結果を、前記発信源情報と共に出力する、
　ことを含む通信分析方法。
７．
　前記動作情報は、宛先ポート番号、ＴＣＰ（Transmission Control Protocol）パケットのコントロールフラグ、および、宛先ＩＰ（Internet Protocol）アドレスの中の少なくとも１つに関する情報を含む、
　６．に記載の通信分析方法。
８．
　前記通信情報には、通信時刻の情報が更に含まれており、
　前記コンピュータが、前記通信時刻の情報を用いて、前記動作情報に基づく分類別に、通信が行われた時間の分布を示す通信時間分布情報を出力する、
　ことを含む６．または７．に記載の通信分析方法。
９．
　前記コンピュータが、時刻を示す軸を少なくとも有する多次元空間を使って、前記通信時間分布情報を出力する、
　ことを含む８．に記載の通信分析方法。
１０．
　前記コンピュータが、前記通信時刻の情報を用いて、前記動作情報に基づいて決定される各分類の通信の出現間隔を示す情報を出力する、
　ことを含む８．に記載の通信分析方法。
１１．
　コンピュータに、６．から１０．のいずれか１つに記載の通信分析方法を実行させるプログラム。
１２．
　ネットワーク上のセンサー装置で観測された通信に基づく、当該センサー装置のネットワーク環境の健全性を測る指標となる指標情報を取得する取得手段と、
　取得された前記指標情報と、基準となるネットワーク環境の指標情報である基準指標情報との類似性を判断する判断手段と、
　前記類似性の判断結果に基づく出力を行う出力手段と、
　を備える通信環境分析装置。
１３．
　前記指標情報は、宛先ポート番号の情報および発信元ＩＰ（Internet Protocol）アドレスの情報の少なくとも一方を含む、
　１２．に記載の通信環境分析装置。
１４．
　前記判断手段は、
　　宛先ポート番号および発信元ＩＰアドレスの少なくともいずれか一方について、前記指標情報および前記基準指標情報の双方に共通する情報の数を特定し、
　　前記基準指標情報に含まれる全ての情報数に対して前記特定した数の占める割合を、前記類似性を示す情報として算出する、
　１３．に記載の通信環境分析装置。
１５．
　コンピュータが、
　ネットワーク上のセンサー装置で観測された通信に基づく、当該センサー装置のネットワーク環境の健全性を測る指標となる指標情報を取得し、
　取得された前記指標情報と、基準となるネットワーク環境の指標情報である基準指標情報との類似性を判断し、
　前記類似性の判断結果に基づく出力を行う、
　ことを含む通信環境分析方法。
１６．
　前記コンピュータが、宛先ポート番号の情報および発信元ＩＰ（Internet Protocol）アドレスの情報の少なくとも一方を含む、
　１５．に記載の通信環境分析方法。
１７．
　前記コンピュータが、
　　宛先ポート番号および発信元ＩＰアドレスの少なくともいずれか一方について、前記指標情報および前記基準指標情報の双方に共通する情報の数を特定し、
　　前記基準指標情報に含まれる全ての情報数に対して前記特定した数の占める割合を、前記類似性を示す情報として算出する、
　ことを含む１６．に記載の通信環境分析方法。
１８．
　コンピュータに、１５．から１７．のいずれか１つに記載の通信環境分析方法を実行させるプログラム。

　この出願は、２０１８年６月２２日に出願された日本出願特願２０１８－１１８９５５号を基礎とする優先権を主張し、その開示の全てをここに取り込む。

Claims (18)

1. 　ネットワーク上のセンサー装置で観測された通信について、当該通信の動作を示す動作情報と、当該通信の発信源を示す発信源情報と、を含む通信情報を取得する取得手段と、
   　前記動作情報に基づいて、取得された前記通信情報を分類する分類手段と、
   　前記動作情報に基づく前記通信情報の分類結果を、前記発信源情報と共に出力する出力手段と、
   　を有する通信分析装置。
2. 　前記動作情報は、宛先ポート番号、ＴＣＰ（Transmission Control Protocol）パケットのコントロールフラグ、および、宛先ＩＰ（Internet Protocol）アドレスの中の少なくとも１つに関する情報を含む、
   　請求項１に記載の通信分析装置。
3. 　前記通信情報には、通信時刻の情報が更に含まれており、
   　前記出力手段は、前記通信時刻の情報を用いて、前記動作情報に基づく分類別に、通信が行われた時間の分布を示す通信時間分布情報を出力する、
   　請求項１または２に記載の通信分析装置。
4. 　前記出力手段は、時刻を示す軸を少なくとも有する多次元空間を使って、前記通信時間分布情報を出力する、
   　請求項３に記載の通信分析装置。
5. 　前記出力手段は、前記通信時刻の情報を用いて、前記動作情報に基づいて決定される各分類の通信の出現間隔を示す情報を出力する、
   　請求項３に記載の通信分析装置。
6. 　コンピュータが、
   　ネットワーク上のセンサー装置で観測された通信について、当該通信の動作を示す動作情報と、当該通信の発信源を示す発信源情報と、を含む通信情報を取得し、
   　前記動作情報に基づいて、取得された前記通信情報を分類し、
   　前記動作情報に基づく前記通信情報の分類結果を、前記発信源情報と共に出力する、
   　ことを含む通信分析方法。
7. 　前記動作情報は、宛先ポート番号、ＴＣＰ（Transmission Control Protocol）パケットのコントロールフラグ、および、宛先ＩＰ（Internet Protocol）アドレスの中の少なくとも１つに関する情報を含む、
   　請求項６に記載の通信分析方法。
8. 　前記通信情報には、通信時刻の情報が更に含まれており、
   　前記コンピュータが、前記通信時刻の情報を用いて、前記動作情報に基づく分類別に、通信が行われた時間の分布を示す通信時間分布情報を出力する、
   　ことを含む請求項６または７に記載の通信分析方法。
9. 　前記コンピュータが、時刻を示す軸を少なくとも有する多次元空間を使って、前記通信時間分布情報を出力する、
   　ことを含む請求項８に記載の通信分析方法。
10. 　前記コンピュータが、前記通信時刻の情報を用いて、前記動作情報に基づいて決定される各分類の通信の出現間隔を示す情報を出力する、
    　ことを含む請求項８に記載の通信分析方法。
11. 　コンピュータに、請求項６から１０のいずれか１項に記載の通信分析方法を実行させるプログラム。
12. 　ネットワーク上のセンサー装置で観測された通信に基づく、当該センサー装置のネットワーク環境の健全性を測る指標となる指標情報を取得する取得手段と、
    　取得された前記指標情報と、基準となるネットワーク環境の指標情報である基準指標情報との類似性を判断する判断手段と、
    　前記類似性の判断結果に基づく出力を行う出力手段と、
    　を備える通信環境分析装置。
13. 　前記指標情報は、宛先ポート番号の情報および発信元ＩＰ（Internet Protocol）アドレスの情報の少なくとも一方を含む、
    　請求項１２に記載の通信環境分析装置。
14. 　前記判断手段は、
    　　宛先ポート番号および発信元ＩＰアドレスの少なくともいずれか一方について、前記指標情報および前記基準指標情報の双方に共通する情報の数を特定し、
    　　前記基準指標情報に含まれる全ての情報数に対して前記特定した数の占める割合を、前記類似性を示す情報として算出する、
    　請求項１３に記載の通信環境分析装置。
15. 　コンピュータが、
    　ネットワーク上のセンサー装置で観測された通信に基づく、当該センサー装置のネットワーク環境の健全性を測る指標となる指標情報を取得し、
    　取得された前記指標情報と、基準となるネットワーク環境の指標情報である基準指標情報との類似性を判断し、
    　前記類似性の判断結果に基づく出力を行う、
    　ことを含む通信環境分析方法。
16. 　前記コンピュータが、宛先ポート番号の情報および発信元ＩＰ（Internet Protocol）アドレスの情報の少なくとも一方を含む、
    　請求項１５に記載の通信環境分析方法。
17. 　前記コンピュータが、
    　　宛先ポート番号および発信元ＩＰアドレスの少なくともいずれか一方について、前記指標情報および前記基準指標情報の双方に共通する情報の数を特定し、
    　　前記基準指標情報に含まれる全ての情報数に対して前記特定した数の占める割合を、前記類似性を示す情報として算出する、
    　ことを含む請求項１６に記載の通信環境分析方法。
18. 　コンピュータに、請求項１５から１７のいずれか１項に記載の通信環境分析方法を実行させるプログラム。 

Images