JP2021125752A5

JP2021125752A5 -

Info

Publication number: JP2021125752A5
Application number: JP2020016507A
Authority: JP
Filing date: 2020-02-03
Publication date: 2022-11-21
Anticipated expiration: 2040-02-03

Description

図３Ｄは、ステップＳ２０３において、パケット中継装置２０がＷＷＷサーバ３０に対して送信するＨＴＴＰＲｅｑｕｅｓｔパケットのフォーマットの抜粋の一例である。ＨＴＴＰＲｅｑｕｅｓｔパケット３３０は、例えば、Ｅｔｈｅｒヘッダと、ＩＰヘッダと、ＴＣＰヘッダと、ＨＴＴＰヘッダと、を含む。

ＨＴＴＰＲｅｑｕｅｓｔパケット３３０のＩＰヘッダには、例えば、ＳｏｕｒｃｅＩＰアドレス３３１と、ＤｅｓｔＩＰアドレス３３２と、が格納されている。ＨＴＴＰＲｅｑｕｅｓｔパケット３３０のＴＣＰヘッダには、例えば、ＳｏｕｒｃｅＰｏｒｔ番号３３３と、ＤｅｓｔＰｏｒｔ番号３３４と、が格納されている。ＨＴＴＰＲｅｑｕｅｓｔパケット３３０のＨＴＴＰヘッダには、例えば、ＧＥＴ３３５と、ＨＯＳＴ３３６と、が格納されている。

ステップＳ７０５における判定条件：下記の（１）、（２）、（３）、（４）、及び（５）を全て満たすこと。

（１）Ｗｅｂアクセス時刻欄の値として、ＨＴＴＰＲｅｑｕｅｓｔパケット３３０の受信時刻。
（２）送信元ＩＰアドレス欄の値として、ＨＴＴＰＲｅｑｕｅｓｔパケット３００のＩＰヘッダのＳｏｕｒｃｅＩＰアドレス３０３。
（３）送信元ＭＡＣアドレス欄の値として、ＨＴＴＰＲｅｑｕｅｓｔパケット３００のＥｔｈｅｒヘッダのＳｏｕｒｃｅＭＡＣアドレス３０１。
（４）ＰｒｏｘｙＩＰアドレス欄の値として、ＨＴＴＰＲｅｑｕｅｓｔパケット３３０のＩＰヘッダのＳｏｕｒｃｅＩＰアドレス３３１。
（５）Ｐｒｏｘｙポート番号欄の値として、ＨＴＴＰＲｅｑｕｅｓｔパケット３３０のＴＣＰヘッダのＳｏｕｒｃｅＰｏｒｔ番号３３３。
（６）宛先ＩＰアドレス欄の値として、ＨＴＴＰＲｅｑｕｅｓｔパケット３３０のＩＰヘッダのＤｅｓｔＩＰアドレス３３２。
（７）宛先ホスト名欄の値として、ＨＴＴＰＲｅｑｕｅｓｔパケット３３０のＨＴＴＰヘッダのＨＯＳＴ３３６。
（８）宛先ホストポート番号欄の値として、ＨＴＴＰＲｅｑｕｅｓｔパケット３３０のＴＣＰヘッダのＤｅｓｔＰｏｒｔ番号３３４。
（９）宛先ＵＲＬ欄の値として、ＨＴＴＰＲｅｑｕｅｓｔパケット３３０のＨＴＴＰヘッダのＧＥＴ３３５。
（１０）通信種別欄の値として、ＨＴＴＰ。

パケット中継装置２０は、ＨＴＴＰＳ要求元である端末１０に対して、ＨＴＴＰＳＲｅｓｐｏｎｓｅを送信し、端末１０がＨＴＴＰＳＲｅｓｐｏｎｓｅを受信することでＴＬＳ通信に移行する（Ｓ１１０３）。

ＴＬＳメッセージパケット１２３０のＩＰヘッダには、例えば、ＳｏｕｒｃｅＩＰアドレス１２３１と、ＤｅｓｔＩＰアドレス１２３２と、が格納されている。ＴＬＳメッセージパケット１２３０のＴＣＰヘッダには、例えば、ＳｏｕｒｃｅＰｏｒｔ番号１２３３と、ＤｅｓｔＰｏｒｔ番号１２３４と、が格納されている。ＴＬＳメッセージパケット１２３０のＳＳＬヘッダには、例えば、ＴＬＳ／ＳＳＬのバージョン１２３５が格納されている。

Claims

プロキシサーバによって第１ネットワークと第２ネットワークとに分断されたネットワークにおける通信を監視する監視装置であって、
前記プロキシサーバは、前記第２ネットワークに含まれる装置からの要求に応じて、当該装置と前記第１ネットワークに含まれる装置との間の通信を中継し、
前記監視装置は、プロセッサとメモリとを含み、
前記メモリは、
前記プロキシサーバと前記第１ネットワークに含まれる装置との間の第１通信と、前記プロキシサーバと前記第２ネットワークに含まれる装置との間の第２通信と、のうち所定の通信種別の通信の監視対象データから抽出された抽出データと、
前記抽出データの抽出元の監視対象データの受信時刻と、を示す抽出情報を保持し、
前記抽出データは、前記監視対象データの通信種別と、前記第１通信の監視対象データの送信元及び宛先と、前記第２通信の監視対象データの送信元及び前記プロキシサーバによる中継後の前記第１ネットワーク内の宛先と、を示し、
前記プロセッサは、
前記第１通信における第１通信種別の監視対象データから抽出された第１抽出データを前記抽出情報が含むと判定した場合、
前記抽出情報を参照して、当該第１抽出データに対応する受信時刻との時間差が所定値以内である、前記第２通信の監視対象データから抽出された第２抽出データを取得し、
当該第１抽出データが示す送信元及び宛先と、前記取得した第２抽出データが示す前記第１ネットワーク内の宛先と、に基づいて、前記取得した第２抽出データの抽出元の監視対象データの通信がエンドツーエンド通信に含まれるかを判定する、監視装置。
請求項１に記載の監視装置であって、
前記所定の通信種別は、
前記第１通信において前記プロキシサーバが送信する第１ＨＴＴＰＲｅｑｕｅｓｔ及びＤＮＳＱｕｅｒｙと、
前記第１通信において前記プロキシサーバが受信するＤＮＳＲｅｓｐｏｎｓｅと、
前記第２通信において前記プロキシサーバが受信する第２ＨＴＴＰＲｅｑｕｅｓｔと、を含み、
前記第１通信種別は、前記第１ＨＴＴＰＲｅｑｕｅｓｔであり、
前記プロセッサは、
前記第１ＨＴＴＰＲｅｑｕｅｓｔのパケットの受信時刻との時間差が前記所定値以内に受信した、前記ＤＮＳＱｕｅｒｙのパケット、前記ＤＮＳＲｅｓｐｏｎｓｅのパケット、及び前記第２ＨＴＴＰＲｅｑｕｅｓｔのパケットについて、一致判定を実行し、
全ての一致判定において一致すると判定した場合に、前記第２ＨＴＴＰＲｅｑｕｅｓｔのパケットの通信がエンドツーエンド通信に含まれると判定し、
前記一致判定は、
前記第１ＨＴＴＰＲｅｑｕｅｓｔのパケットの宛先と、前記ＤＮＳＲｅｓｐｏｎｓｅのパケットが示す前記第１ネットワーク内の宛先と、の第１一致判定と、
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの送信元と、前記ＤＮＳＱｕｅｒｙのパケットの宛先と、の第２一致判定と、
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの宛先と、前記ＤＮＳＱｕｅｒｙのパケットの送信元と、の第３一致判定と、
前記ＤＮＳＱｕｅｒｙのパケットが示す前記第１ネットワーク内の宛先と、前記第２ＨＴＴＰＲｅｑｕｅｓｔのパケットが示す前記第１ネットワーク内の宛先と、の第４一致判定と、の少なくとも１つの一致判定を含む、監視装置。
請求項２に記載の監視装置であって、
前記プロセッサは、前記第１一致判定において、前記第１ＨＴＴＰＲｅｑｕｅｓｔのパケットの宛先ＩＰアドレスと、前記ＤＮＳＲｅｓｐｏｎｓｅのパケットが示す前記第１ネットワーク内の宛先ＩＰアドレスと、が一致するかを判定する、監視装置。
請求項２に記載の監視装置であって、
前記プロセッサは、
前記第２一致判定において、
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの送信元ＩＰアドレスと、前記ＤＮＳＱｕｅｒｙのパケットの宛先ＩＰアドレスと、が一致するか、及び
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの送信元ポート番号と、前記ＤＮＳＱｕｅｒｙのパケットの宛先ポート番号と、が一致するかを判定し、
前記第３一致判定において、
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの宛先ＩＰアドレスと、前記ＤＮＳＱｕｅｒｙのパケットの送信元ＩＰアドレスと、が一致するか、及び
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの宛先ポート番号と、前記ＤＮＳＱｕｅｒｙのパケットの送信元ポート番号と、が一致するかを判定する、監視装置。
請求項２に記載の監視装置であって、
前記プロセッサは、前記第４一致判定において、前記ＤＮＳＱｕｅｒｙのパケットのＡｒｅｃｏｒｄと、前記第２ＨＴＴＰＲｅｑｕｅｓｔのパケットのＨＯＳＴと、が一致するかを判定する、監視装置。
請求項１に記載の監視装置であって、
前記所定の通信種別は、
前記第１通信において前記プロキシサーバが送信するＴＬＳメッセージ及びＤＮＳＱｕｅｒｙと、
前記第１通信において前記プロキシサーバが受信するＤＮＳＲｅｓｐｏｎｓｅと、
前記第２通信において前記プロキシサーバが受信するＨＴＴＰＲｅｑｕｅｓｔと、を含み、
前記第１通信種別は、前記ＴＬＳメッセージであり、
前記プロセッサは、
前記ＴＬＳメッセージのパケットの受信時刻との時間差が前記所定値以内に受信した、前記ＤＮＳＱｕｅｒｙのパケット、前記ＤＮＳＲｅｓｐｏｎｓｅのパケット、及び前記ＨＴＴＰＲｅｑｕｅｓｔのパケットについて、一致判定を実行し、
全ての一致判定において一致すると判定した場合に、前記ＨＴＴＰＲｅｑｕｅｓｔのパケットの通信がエンドツーエンド通信に含まれると判定し、
前記一致判定は、
前記ＴＬＳメッセージのパケットの宛先と、前記ＤＮＳＲｅｓｐｏｎｓｅのパケットが示す前記第１ネットワーク内の宛先と、の第１一致判定と、
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの送信元と、前記ＤＮＳＱｕｅｒｙのパケットの宛先と、の第２一致判定と、
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの宛先と、前記ＤＮＳＱｕｅｒｙのパケットの送信元と、の第３一致判定と、
前記ＤＮＳＱｕｅｒｙのパケットが示す前記第１ネットワーク内の宛先と、前記ＨＴＴＰＲｅｑｕｅｓｔのパケットが示す前記第１ネットワーク内の宛先と、の第４一致判定と、の少なくとも１つの一致判定を含む、監視装置。
請求項６に記載の監視装置であって、
前記プロセッサは、前記第１一致判定において、前記ＴＬＳメッセージのパケットの宛先ＩＰアドレスと、前記ＤＮＳＲｅｓｐｏｎｓｅのパケットが示す前記第１ネットワーク内の宛先ＩＰアドレスと、が一致するかを判定する、監視装置。
請求項６に記載の監視装置であって、
前記プロセッサは、
前記第２一致判定において、
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの送信元ＩＰアドレスと、前記ＤＮＳＱｕｅｒｙのパケットの宛先ＩＰアドレスと、が一致するか、及び
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの送信元ポート番号と、前記ＤＮＳＱｕｅｒｙのパケットの宛先ポート番号と、が一致するかを判定し、
前記第３一致判定において、
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの宛先ＩＰアドレスと、前記ＤＮＳＱｕｅｒｙのパケットの送信元ＩＰアドレスと、が一致するか、及び
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの宛先ポート番号と、前記ＤＮＳＱｕｅｒｙのパケットの送信元ポート番号と、が一致するかを判定する、監視装置。
請求項６に記載の監視装置であって、
前記プロセッサは、前記第４一致判定において、前記ＤＮＳＱｕｅｒｙのパケットのＡｒｅｃｏｒｄと、前記ＨＴＴＰＲｅｑｕｅｓｔのパケットのＨＯＳＴと、が一致するかを判定する、監視装置。
請求項１に記載の監視装置であって、
センサを含み、
前記センサは、前記監視対象データと、前記監視対象データの受信時刻と、を取得し、
前記プロセッサは、
前記監視対象データから、前記監視対象データの通信種別と、前記第１通信の監視対象
データの送信元及び宛先と、前記第２通信の監視対象データの前記プロキシサーバによる中継後の前記第１ネットワーク内の宛先と、を抽出して前記抽出データを生成し、
前記生成した抽出データと、前記センサが取得した受信時刻と、を前記抽出情報に含める、監視装置。
請求項１に記載の監視装置であって、
表示装置に接続され、
前記抽出データは、前記第１通信の監視対象データの送信元を示し、
前記プロセッサは、
前記取得した第２抽出データの抽出元の監視対象データの通信がエンドツーエンド通信に含まれると判定した場合、当該第１抽出データに対応する監視対象データの前記第１ネットワーク内の宛先と、当該第２抽出データに対応する監視対象データの送信元と、を前記表示装置に表示する、監視装置。
プロキシサーバによって第１ネットワークと第２ネットワークとに分断されたネットワークにおける通信を監視する監視装置による監視方法であって、
前記プロキシサーバは、前記第２ネットワークに含まれる装置からの要求に応じて、当該装置と前記第１ネットワークに含まれる装置との間の通信を中継し、
前記監視装置は、
前記プロキシサーバと前記第１ネットワークに含まれる装置との間の第１通信と、前記プロキシサーバと前記第２ネットワークに含まれる装置との間の第２通信と、のうち所定の通信種別の通信の監視対象データから抽出された抽出データと、
前記抽出データの抽出元の監視対象データの受信時刻と、を示す抽出情報を保持し、
前記抽出データは、前記監視対象データの通信種別と、前記第１通信の監視対象データの送信元及び宛先と、前記第２通信の監視対象データの送信元及び前記プロキシサーバによる中継後の前記第１ネットワーク内の宛先と、を示し、
前記監視方法は、
前記監視装置が、前記第１通信における第１通信種別の監視対象データから抽出された第１抽出データを前記抽出情報が含むと判定した場合、
前記監視装置が、前記抽出情報を参照して、当該第１抽出データに対応する受信時刻との時間差が所定値以内である、前記第２通信の監視対象データから抽出された第２抽出データを取得し、
前記監視装置が、当該第１抽出データが示す送信元及び宛先と、前記取得した第２抽出データが示す前記第１ネットワーク内の宛先と、に基づいて、前記取得した第２抽出データの抽出元の監視対象データの通信がエンドツーエンド通信に含まれるかを判定する、監視方法。
プロキシサーバによって第１ネットワークと第２ネットワークとに分断されたネットワークにおける通信の監視を監視装置に実行される監視プログラムであって、
前記プロキシサーバは、前記第２ネットワークに含まれる装置からの要求に応じて、当該装置と前記第１ネットワークに含まれる装置との間の通信を中継し、
前記監視装置は、
前記プロキシサーバと前記第１ネットワークに含まれる装置との間の第１通信と、前記プロキシサーバと前記第２ネットワークに含まれる装置との間の第２通信と、のうち所定の通信種別の通信の監視対象データから抽出された抽出データと、
前記抽出データの抽出元の監視対象データの受信時刻と、を示す抽出情報を保持し、
前記抽出データは、前記監視対象データの通信種別と、前記第１通信の監視対象データの送信元及び宛先と、前記第２通信の監視対象データの送信元及び前記プロキシサーバによる中継後の前記第１ネットワーク内の宛先と、を示し、
前記監視プログラムは、
前記第１通信における第１通信種別の監視対象データから抽出された第１抽出データを前記抽出情報が含むかを判定する判定処理と、
前記判定処理において、前記第１通信における第１通信種別の監視対象データから抽出された第１抽出データを前記抽出情報が含むと判定した場合に、
前記監視装置が、前記抽出情報を参照して、当該第１抽出データに対応する受信時刻との時間差が所定値以内である、前記第２通信の監視対象データから抽出された第２抽出データを取得する処理と、
前記監視装置が、当該第１抽出データが示す送信元及び宛先と、前記取得した第２抽出データが示す前記第１ネットワーク内の宛先と、に基づいて、前記第１抽出データの抽出元の監視対象データの通信がエンドツーエンド通信に含まれるかを判定する処理と、を前記監視装置に実行させる、監視プログラム。