JP7406386B2

JP7406386B2 - 通信監視装置、通信監視方法、及び通信監視プログラム

Info

Publication number: JP7406386B2
Application number: JP2020016507A
Authority: JP
Inventors: 祥平福崎; 雅也新井
Original assignee: Alaxala Networks Corp
Current assignee: Alaxala Networks Corp
Priority date: 2020-02-03
Filing date: 2020-02-03
Publication date: 2023-12-27
Anticipated expiration: 2040-02-03
Also published as: JP2021125752A; US20210243267A1; US11190607B2

Description

本発明は、通信監視装置、通信監視方法、及び通信監視プログラムに関する。

企業や学校などの内部ネットワークがインターネット接続を行う場合、外部ネットワークへのアクセスの制御を行うこと、及び外部からの不正な侵入を防止してセキュリティを確保することを目的として、プロキシサーバのような中継機器が設置される。一方でプロキシサーバの前後でデータ変換が行われるため、外部からはデータの送信元が直接的に把握することができないなど、ユーザ通信を把握しづらくなる。

セキュリティインシデント発生時などの外部指摘対応時に、プロキシサーバのような機器が存在する場合、プロキシサーバのログを確認する必要があり、データ送信元を特定するのに多大な工数が掛かる。また、ネットワーク管理者とサーバ管理者とが異なる場合があり、ネットワーク側だけでデータの送信元を特定できることが望まれる。

本技術分野の背景技術として、特開２０１８－１３７６８７号公報（特許文献１）がある。この公報には、「ネットワークを中継する中継装置を挟んで第１の装置から第２の装置へ通信が行われるパケットデータの通信経路の解析を行うパケット解析装置のコンピュータを、前記中継装置の上流側を通過する第１のパケットデータのペイロードと、前記中継装置の下流側を通過する第２のパケットデータのペイロードを比較する比較解析手段、前記各ペイロードの比較結果が一致した場合、前記第１のパケットデータの送信元ＩＰアドレスと、前記第２のパケットデータの宛先ＩＰアドレスを組み立てる組み立て手段、として機能させる。」と記載されている（要約参照）。

特開２０１８－１３７６８７号公報

特許文献１に記載の技術は、プロキシサーバの前後のパケットのペイロード部を比較して一致を検出しており、その比較対象のパケットは通信に関わる全パケットであるため、処理負荷が高い。

そこで、本発明の一態様は、プロキシサーバのログの解析を行わずに、ネットワーク側だけで送信元を把握する処理を、低負荷で実現することを目的とする。

上記した課題を解決するために、本発明の一態様は、以下の構成を採用する。プロキシサーバによって第１ネットワークと第２ネットワークとに分断されたネットワークにおける通信を監視する監視装置であって、前記プロキシサーバは、前記第２ネットワークに含まれる装置からの要求に応じて、当該装置と前記第１ネットワークに含まれる装置との間の通信を中継し、前記監視装置は、プロセッサとメモリとを含み、前記メモリは、前記プロキシサーバと前記第１ネットワークに含まれる装置との間の第１通信と、前記プロキシサーバと前記第２ネットワークに含まれる装置との間の第２通信と、のうち所定の通信種別の通信の監視対象データから抽出された抽出データと、前記抽出データの抽出元の監視対象データの受信時刻と、を示す抽出情報を保持し、前記抽出データは、前記監視対象データの通信種別と、前記第１通信の監視対象データの送信元及び宛先と、前記第２通信の監視対象データの送信元及び前記プロキシサーバによる中継後の前記第１ネットワーク内の宛先と、を示し、前記プロセッサは、前記第１通信における第１通信種別の監視対象データから抽出された第１抽出データを前記抽出情報が含むと判定した場合、前記抽出情報を参照して、当該第１抽出データに対応する受信時刻との時間差が所定値以内である、前記第２通信の監視対象データから抽出された第２抽出データを取得し、当該第１抽出データが示す送信元及び宛先と、前記取得した第２抽出データが示す前記第１ネットワーク内の宛先と、に基づいて、前記取得した第２抽出データの抽出元の監視対象データの通信がエンドツーエンド通信に含まれるかを判定する、監視装置。

本発明の一態様によれば、プロキシサーバのログの解析を行わずに、ネットワーク側だけで送信元を把握する処理を、低負荷で実現することができる。

上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。

実施例１におけるネットワークの構成例を示す説明図である。実施例１におけるＨＴＴＰによる通信の流れの一例を示すシーケンス図である。実施例１におけるＨＴＴＰＲｅｑｕｅｓｔパケットのフォーマットの抜粋の一例である。実施例１におけるＤＮＳＱｕｅｒｙパケットのフォーマットの抜粋の一例である。実施例１におけるＤＮＳＲｅｓｐｏｎｓｅパケットのフォーマットの抜粋の一例である。実施例１におけるＨＴＴＰＲｅｑｕｅｓｔパケットのフォーマットの抜粋の一例である。実施例１におけるセンサの内部構成例を示すブロック図である。実施例１における抽出情報パケット生成処理の一例を示すフローチャートである。実施例１における監視装置の内部構成例を示すブロック図である。実施例１における抽出情報解析処理の一例示すフローチャートである。実施例１におけるエンドツーエンド通信の検索を実施するための検索画面の構成例である。実施例１における抽出情報検索処理の一例を示すフローチャートである。実施例１におけるエンドツーエンド通信の検索結果を表示する表示画面の構成例である。実施例２におけるＨＴＴＰＳによる通信を流れの一例を示すシーケンス図である。実施例２におけるＨＴＴＰＳＲｅｑｕｅｓｔのパケットフォーマットの抜粋の一例である。実施例２におけるＴＬＳメッセージのパケットフォーマットの抜粋の一例である。実施例２における抽出情報パケット生成処理の一例を示すフローチャートである。実施例２における抽出情報解析処理の一例示すフローチャートある。

以下、本発明の実施形態を図面に基づいて詳細に説明する。本実施形態において、同一の構成には原則として同一の符号を付け、繰り返しの説明は省略する。なお、本実施形態は本発明を実現するための一例に過ぎず、本発明の技術的範囲を限定するものではないことに注意すべきである。

本実施形態の通信監視システムは、プロキシサーバの前後でデータ変換が行われる場合に、プロキシサーバの前後の通信をミラーリングし、ミラーリングしたデータから通信の特徴を示す値を保持する。通信監視システムは、プロキシサーバの前後で２つに分かれた通信を１つの情報として組み立て、２点間の通信をエンドツーエンド通信として通信履歴を保持する。さらに、通信監視システムは、その通信履歴を、宛先ＩＰアドレスなどの検索条件を指定することで検索することで、容易にデータの送信元が把握可能となる。

本実施例では、Ｐｒｏｘｙを経由して行われるＨＴＴＰ通信を、Ｐｒｏｘｙの前後でミラーリングし、センサで情報抽出し、監視装置でエンドツーエンドの通信として記憶、検索可能な形で格納することで、送信元を容易に特定できる例を説明する。なお、本実施例では通信対象をＩＰｖ４としたが、ＩＰｖ６においても同様に適用できる。

図１は、ネットワークの構成例を示す説明図である。図１のシステムにおいて、通信の送信元となる端末１０及び端末１１と、ＷＷＷ（ＷｏｒｌｄＷｉｄｅＷｅｂ）サーバ３０及びＷＷＷサーバ３１と、の間で、ネットワークを分断するパケット中継装置２０を介して、ＨＴＴＰ通信が行われ。なお、パケット中継装置２０は、Ｐｒｏｘｙサーバとして機能し、本実施例におけるＰｒｏｘｙという記載はパケット中継装置２０を意味する。

以下、パケット中継装置２０よりも端末側のネットワークをネットワーク下位側、パケット中継装置２０よりもサーバ側のネットワークをネットワーク上位側とも呼ぶ。

ネットワーク下位側は、端末１０及び端末１１と、パケット中継装置２０と、センサ５０と、を含む。端末１０及び端末１１は、例えばＰＣ（ＰｅｒｓｏｎａｌＣｏｍｐｕｔｅｒ）等の計算機である。センサ５０は、端末１０及び端末１１と、パケット中継装置２０と、の間の通信をミラーリングし、後述するパケットの抽出情報をミラーリングしたパケットから抽出し、抽出情報を監視装置６０に送信する。

ネットワーク上位側は、ＷＷＷサーバ３０及びＷＷＷサーバ３１と、ＤＮＳ（ＤｏｍａｉｎＮａｍｅＳｙｓｔｅｍ）サーバ４０と、センサ５１と、を含む。センサ５１は、パケット中継装置２０とＷＷＷサーバ３０及びＷＷＷサーバ３１との間の通信、及びパケット中継装置２０とＤＮＳサーバ４０との間の通信をミラーリングし、後述するパケットの抽出情報をミラーリングしたパケットから抽出し、抽出情報を監視装置６０に送信する。

監視装置６０は、受信した抽出情報をもとに、送信元である端末１０及び端末１１と、宛先であるＷＷＷサーバ３０及びＷＷＷサーバ３１と、の間の通信を、エンドツーエンド通信記録として保持する。

検索表示端末７０は、指定された検索条件を監視装置６０に問い合わせることで、保持したエンドツーエンド通信記録から対象となる通信の送信元を特定して通知し、検索表示端末７０は検索結果を表示する。検索表示端末７０は、例えばＰＣ等の計算機である。

なお、図１のネットワークシステムにおける、端末、ＷＷＷサーバ、ＤＮＳサーバ、及びセンサの台数は図１に示した例に限られず、何台であってもよい。特に、図１のネットワーク構成例においては、ネットワーク下位側のセンサ５０とネットワーク上位側のセンサ５１と、が設けられているが、例えば、１台のセンサのみが設けられていてもよく、当該センサがネットワーク上位側及びネットワーク下位側の通信をミラーリングしてもよい。

図２は、ＨＴＴＰによる通信の流れの一例を示すシーケンス図である。図２は、図１で示したシステムにおいて、端末１０からＷＷＷサーバ３０へのＨＴＴＰによる通信が行われる例である。なお、図２において、ＴＣＰのハンドシェイクについての記載は省略されている。また、それぞれの通信におけるパケットフォーマットは、後述する図３を用いて別途説明される。

端末１０はＨＴＴＰによる通信開始時に、パケット中継装置２０に対してＨＴＴＰＲｅｑｕｅｓｔを送出し、パケット中継装置２０は当該ＨＴＴＰＲｅｑｕｅｓｔを受信する（Ｓ２００）。

パケット中継装置２０は、宛先であるＷＷＷサーバ３０のＩＰアドレスを調べるために、受信したＨＴＴＰＲｅｑｕｅｓｔのＨＴＴＰヘッダのＨＯＳＴ情報に基づいて、ＡＲｅｃｏｒｄにＷＷＷサーバ３０のＨＯＳＴ情報を設定したＤＮＳＱｕｅｒｙを、ＤＮＳサーバ４０に対して送信し、ＤＮＳサーバ４０が当該ＤＮＳＱｕｅｒｙを受信する（Ｓ２０１）。

ＤＮＳサーバ４０は、ＤＮＳＱｕｅｒｙに設定されたＨＯＳＴに対するＩＰアドレスを応答するため、パケット中継装置２０に対してＡＲｅｃｏｒｄのＨＯＳＴ情報に対するＩＰアドレスを設定したＤＮＳＲｅｓｐｏｎｓｅを送信し、パケット中継装置２０が当該ＤＮＳＲｅｓｐｏｎｓｅを受信する（Ｓ２０２）。

パケット中継装置２０は、宛先となるＷＷＷサーバ３０のＩＰアドレスを把握したため、ＷＷＷサーバ３０に対してＨＴＴＰＲｅｑｕｅｓｔを送信し、ＷＷＷサーバ３０が当該ＨＴＴＰＲｅｑｕｅｓｔを受信する（Ｓ２０３）。

ＷＷＷサーバ３０は、要求されたコンテンツを応答するために、パケット中継装置２０に対してＨＴＴＰＲｅｓｐｏｎｓｅを送信し、パケット中継装置２０が当該ＨＴＴＰＲｅｓｐｏｎｓｅを受信する（Ｓ２０４）。

パケット中継装置２０は、ＨＴＴＰ要求元である端末１０に応答を中継するために、端末１０に対してＨＴＴＰＲｅｓｐｏｎｓｅを送信し、端末１０が当該ＨＴＴＰＲｅｓｐｏｎｓｅを受信する（Ｓ２０５）ことで、一連のＨＴＴＰによる通信が完了する。

図３Ａ乃至図３Ｄは、センサ５０及びセンサ５１による抽出対象のパケットフォーマットの一例である。なお、図３においては、パケットフォーマットに含まれるヘッダ、及びメソッド／フィールドのうち、本実施例の説明に最低限必要なもののみが記載されている。

図３Ａは、ステップＳ２００において、端末１０がパケット中継装置２０に対して送信するＨＴＴＰＲｅｑｕｅｓｔパケットのフォーマットの抜粋の一例である。ＨＴＴＰＲｅｑｕｅｓｔパケット３００は、例えば、Ｅｔｈｅｒｎｅｔ（登録商標）ヘッダ（以下、Ｅｔｈｅｒヘッダとも呼ぶ）と、ＩＰヘッダと、ＴＣＰヘッダと、ＨＴＴＰヘッダと、を含む。

ＨＴＴＰＲｅｑｕｅｓｔパケット３００のＥｔｈｅｒヘッダには、例えば、送信元（以下、Ｓｏｕｒｃｅとも呼ぶ）ＭＡＣアドレス３０１と、宛先（以下、Ｄｅｓｔとも呼ぶ）ＭＡＣアドレス３０２と、が格納されている。ＨＴＴＰＲｅｑｕｅｓｔパケット３００のＩＰヘッダには、例えば、ＳｏｕｒｃｅＩＰアドレス３０３と、ＤｅｓｔＩＰアドレス３０４と、が格納されている。

ＨＴＴＰＲｅｑｕｅｓｔパケット３００のＴＣＰヘッダには、例えば、ＳｏｕｒｃｅＰｏｒｔ番号３０５と、ＤｅｓｔｉＰｏｒｔ番号３０６と、が格納されている。ＨＴＴＰＲｅｑｕｅｓｔパケット３００のＨＴＴＰヘッダには、例えば、ＧＥＴ３０７と、ＨＯＳＴ３０８と、が格納されている。

図３Ｂは、ステップＳ２０１において、パケット中継装置２０がＤＮＳサーバ４０に対して送信するＤＮＳＱｕｅｒｙパケットのフォーマットの抜粋の一例である。ＤＮＳＱｕｅｒｙパケット３１０は、例えば、Ｅｔｈｅｒヘッダと、ＩＰヘッダと、ＵＤＰヘッダと、ＤＮＳＱｕｅｒｙヘッダと、を含む。

ＤＮＳＱｕｅｒｙパケット３１０のＩＰヘッダには、例えば、ＳｏｕｒｃｅＩＰアドレス３１１と、ＤｅｓｔＩＰアドレス３１２と、が格納されている。ＤＮＳＱｕｅｒｙパケット３１０のＵＤＰヘッダには、例えば、ＳｏｕｒｃｅＰｏｒｔ番号３１３と、ＤｅｓｔＰｏｒｔ番号３１４と、が格納されている。ＤＮＳＱｕｅｒｙパケット３１０のＤＮＳＱｕｅｒｙヘッダには、例えば、Ａｒｅｃｏｒｄ３１５が格納されている。

図３Ｃは、ステップＳ２０２においてＤＮＳサーバ４０がパケット中継装置２０に対して送信するＤＮＳＲｅｓｐｏｎｓｅパケットのフォーマットの抜粋の一例である。ＤＮＳＲｅｓｐｏｎｓｅパケット３２０は、例えば、Ｅｔｈｅｒヘッダと、ＩＰヘッダと、ＵＤＰヘッダと、ＤＮＳＲｅｓｐｏｎｓｅヘッダと、を含む。

ＤＮＳＲｅｓｐｏｎｓｅパケット３２０のＩＰヘッダには、例えば、ＳｏｕｒｃｅＩＰアドレス３２１と、ＤｅｓｔＩＰアドレス３２２と、が格納されている。ＤＮＳＲｅｓｐｏｎｓｅパケット３２０のＵＤＰヘッダには、例えば、ＳｏｕｒｃｅＰｏｒｔ番号３２３と、ＤｅｓｔＰｏｒｔ番号３２４と、が格納されている。ＤＮＳＲｅｓｐｏｎｓｅパケット３２０のＤＮＳＲｅｓｐｏｎｓｅヘッダには、例えば、ＩＰアドレス３２５が格納されている。

図３Ｄは、ステップＳ２０３において、パケット中継装置２０がＷＷＷサーバ３０に対して送信するＨＴＴＰＲｅｑｕｅｓｔパケットのフォーマットの抜粋の一例である。ＨＴＴＰＲｅｑｕｅｓｔパケット３３０は、例えば、Ｅｔｈｅｒヘッダと、ＩＰヘッダと、ＴＣＰヘッダと、ＨＴＴＰヘッダと、を含む。

ＨＴＴＰＲｅｑｕｅｓｔパケット３３０のＩＰヘッダには、例えば、ＳｏｕｒｃｅＩＰアドレス３３１と、ＤｅｓｔＩＰアドレス３３２と、が格納されている。ＨＴＴＰＲｅｑｕｅｓｔパケット３３０のＴＣＰヘッダには、例えば、ＳｏｕｒｃｅＰｏｒｔ番号３３３と、ＤｅｓｔＰｏｒｔ番号３３４と、が格納されている。ＨＴＴＰＲｅｑｕｅｓｔパケット３３０のＨＴＴＰヘッダには、例えば、ＧＥＴ３３５と、ＨＯＳＴ３３６と、が格納されている。

図４は、センサ５０の内部構成例を示すブロック図である。なお、センサ５１の内部構成例は、センサ５０の内部構成例と同様であるため、説明を省略する。センサ５０は、互いにバス等の内部通信線で接続されたＣＰＵ５００とメモリ５１０とネットワークインタフェース５２０とを含む。

ＣＰＵ５００は、プロセッサを含み、メモリ５１０に格納されたプログラムを実行する。メモリ５１０は、不揮発性の記憶素子であるＲＯＭ及び揮発性の記憶素子であるＲＡＭを含む。ＲＯＭは、不変のプログラム（例えば、ＢＩＯＳ）などを格納する。ＲＡＭは、ＤＲＡＭ（ＤｙｎａｍｉｃＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）のような高速かつ揮発性の記憶素子であり、プロセッサが実行するプログラム及びプログラムの実行時に使用されるデータを一時的に格納する。

センサ５０は、入力インターフェース及び出力インターフェースを有してもよい。入力インターフェースは、キーボードやマウスなどの入力装置が接続され、オペレータからの入力を受けるインターフェースである。出力インターフェースはディスプレイ装置やプリンタなどの出力装置が接続され、プログラムの実行結果をオペレータが視認可能な形式で出力するインターフェースである。

ネットワークインタフェース５２０は、所定のプロトコルに従って、他の装置との通信を制御する。ネットワークインタフェース５２０は、ポートを備え、ＣＰＵ５００からの指示等により、各種パケットの送受信などを行う。具体的には、例えば、ネットワークインタフェース５２０は、ネットワーク下位側においてミラーリングされたパケットを受信し、パケット送受信部５１２に適宜送信する。

また、ネットワークインタフェース５２０は、パケット送受信部５１２からの指示に従って、抽出情報パケットを監視装置６０に対して送信する。なお、図示を省略するが、ネットワークインタフェース５２０及び後述する監視装置６０のネットワークインタフェースは複数のポートを含んでもよい。

メモリ５１０は、情報抽出部５１１とパケット送受信部５１２とを含む。情報抽出部５１１は、パケット送受信部５１２から受信パケット内容通知を受け（受信パケットそのものが通知されてもよい）、受信したパケットの種別を特定し、特定したパケットの種別に応じてエンドツーエンド通信の組み立てに必要な情報を抽出する。情報抽出部５１１は、抽出した情報とパケット受信時刻をパケット送受信部５１２に通知する。

なお、情報抽出部５１１が抽出する情報は受信したパケットの種別ごとに異なり、詳細は図５を用いて後述する。情報抽出部５１１が情報を抽出することで、センサ５０と監視装置６０との間の通信量を低減させることができ、さらに監視装置６０は抽出されなかった情報を保持する必要がないため、監視装置６０が保持するデータ量を節減することができる。

パケット送受信部５１２は、各ポートからミラーリングパケットを受信した場合、受信したパケットの内容（受信パケットそのものであってもよい）とパケット受信時刻とを情報抽出部５１１に通知する。また、情報抽出部５１１が抽出した情報をパケットとして組み立て、ネットワークインタフェース５２０に対して監視装置６０への送信を指示する。

なお、センサ５０の情報抽出部５１１及びパケット送受信部５１２は、センサ５０のＣＰＵ５００が実行するプログラムにより実現される。例えば、センサ５０のＣＰＵ５００は、メモリ５１０にロードされた情報抽出プログラムに従って動作することで情報抽出部５１１として機能し、メモリ５１０にロードされたパケット送受信プログラムに従って動作することでパケット送受信部５１２として機能する。監視装置６０に含まれる後述する機能部と、プログラムと、の関係についても、同様である。

なお、センサ５０は、補助記憶装置をさらに含んでもよい。補助記憶装置は、例えば、磁気記憶装置（ＨＤＤ）、フラッシュメモリ（ＳＳＤ）等の大容量かつ不揮発性の記憶装置であり、ＣＰＵ６００が実行するプログラム及びプログラムの実行時に使用されるデータを格納する。

ＣＰＵ５００が実行するプログラムは、コンピュータ読み取り可能な非一時的記憶媒体であるリムーバブルメディア（ＣＤ－ＲＯＭ、フラッシュメモリなど）又はネットワークを介してセンサ５０に提供され、非一時的記憶媒体である不揮発性の補助記憶装置又はメモリ５１０に格納される。このため、センサ５０は、リムーバブルメディアからデータを読み込むインターフェースを有してもよい。

なお、本実施形態において、ネットワークに含まれる各装置が使用する情報は、データ構造に依存せずどのようなデータ構造で表現されていてもよい。例えば、テーブル、リスト、データベース又はキューから適切に選択したデータ構造体が、情報を格納することができる。

本実施形態のネットワークに含まれる各装置は、物理的に一つの計算機上で、又は、論理的又は物理的に構成された複数の計算機上で構成される計算機システムであり、同一の計算機上で別個のスレッドで動作してもよく、複数の物理的計算機資源上に構築された仮想計算機上で動作してもよい。なお、センサ５０、センサ５１、及び通信監視装置に含まれる機能部による処理の一部又は全部が、ＡＳＩＣ（ＡｐｐｌｉｃａｔｉｏｎＳｐｅｃｉｆｉｃＩｎｔｅｇｒａｔｅｄＣｉｒｃｕｉｔ）等のハードウェアによって実行されてもよい。

図５は、センサ５０による抽出情報パケット生成処理の一例を示すフローチャートである。ここではセンサ５０による処理を説明するが、以下の説明におけるネットワーク下位側という記載をネットワーク上位側と読み替えればセンサ５１による処理と同様であるため、センサ５１による抽出情報パケット処理の説明を省略する。

まず、パケット送受信部５１２は、下位側ネットワークからミラーリングしたパケットを受信する（Ｓ５００）たびに、受信したパケットに対して、ステップＳ５０１以降の処理が実行される。パケット送受信部５１２は、パケット受信時刻を取得し（Ｓ５０１）、情報抽出部５１１に受信パケットの内容（受信パケットそのものでもよい）及び受信時刻を通知する。

情報抽出部５１１は、受信パケットのヘッダを参照して通信種別を判定する（Ｓ５０２）。情報抽出部５１１は、受信パケットの通信種別がＨＴＴＰＲｅｑｕｅｓｔであると判定した場合（Ｓ５０２：ＨＴＴＰＲｅｑｕｅｓｔ）、ＨＴＴＰＲｅｑｕｅｓｔ情報抽出処理を行う（Ｓ５０３）。

ステップＳ５０３のＨＴＴＰＲｅｑｕｅｓｔ情報抽出処理において、情報抽出部５１１は、受信パケットのＥｔｈｅｒヘッダのＳｏｕｒｃｅＭＡＣアドレス、ＩＰヘッダのＳｏｕｒｃｅＩＰアドレス及びＤｅｓｔＩＰアドレス、並びにＨＴＴＰヘッダのＧＥＴ及びＨＯＳＴを抽出する。

なお、情報抽出部５１１は、ステップＳ５０３において、ＨＴＴＰＲｅｑｕｅｓｔの受信パケットに含まれるＵｓｅｒ－Ａｇｅｎｔなどの、通信の絞り込みに利用できる情報をさらに抽出してもよい。

情報抽出部５１１は、受信パケットの通信種別がＤＮＳＱｕｅｒｙ又はＤＮＳＲｅｓｐｏｎｓｅであると判定した場合、（Ｓ５０２：ＤＮＳＱｕｅｒｙ又はＤＮＳＲｅｓｐｏｎｓｅ）、ＤＮＳ情報抽出処理を実行する（Ｓ５０４）。

情報抽出部５１１は、ステップＳ５０４のＤＮＳ情報抽出処理において、受信パケットのＩＰヘッダのＳｏｕｒｃｅＩＰアドレス及びＤｅｓｔＩＰアドレス、ＵＤＰヘッダのＳｏｕｒｃｅＰｏｒｔ番号及びＤｅｓｔＰｏｒｔ番号、並びにＤＮＳヘッダのＱｕｅｒｙのＡｒｅｃｏｒｄ及びＲｅｓｐｏｎｓｅのｒｅｓｏｕｒｃｅｒｅｃｏｒｄを抽出する。

ステップＳ５０３又はステップ５０４の処理が実行された後、パケット送受信部５１２は、情報抽出部５１１が抽出した情報とステップＳ５０１で取得された受信時刻とを含む抽出情報パケットを生成し、ネットワークインタフェース５２０は抽出情報パケットを監視装置６０に送信する（Ｓ５０５）。

図６は監視装置６０の内部構成例を示すブロック図である。監視装置６０は、バス等の内部通信線によって互いに接続された、ＣＰＵ６００、メモリ６１０、補助記憶装置６２０、及びネットワークインタフェース６３０を含む。

ＣＰＵ６００、メモリ６１０、及びネットワークインタフェース６３０のハードウェアとしての説明は、ＣＰＵ５００、メモリ５１０、及びネットワークインタフェース５２０と同様であるため、省略する。また、メモリ６１０は、抽出情報解析部６１１、抽出情報検索部６１２、検索パケット情報送受信部６１３、及び抽出情報パケット受信部６１４を含む。

抽出情報解析部６１１は、抽出情報パケット受信部６１４から受信した抽出情報パケット内容通知を受け（抽出情報パケットそのものを取得してもよい）、抽出情報を抽出一時テーブル６２１に格納する。また、抽出情報解析部６１１は、抽出一時テーブル６２１に格納された抽出情報からエンドツーエンド通信の組み立てが可能であるかを解析し、組み立て可能なエンドツーエンド通信が存在する場合は、対象エントリをエンドツーエンド通信テーブル６２２に格納示する。

抽出情報パケット受信部６１４は、ネットワークインタフェース６３０から抽出情報パケットを受信し、抽出情報解析部６１１に抽出情報を通知する。抽出情報検索部６１２は、検索パケット情報送受信部６１３から検索情報の通知を受信し、エンドツーエンド通信テーブル６２２から、検索条件に合致するエンドツーエンド通信を検索し、検索結果を検索パケット情報送受信部６１３に通知する。

検索パケット情報送受信部６１３は、ネットワークインタフェース６３０から検索情報パケットを受信し、検索情報パケットが示す検索条件を抽出情報検索部６１２に通知する。検索パケット情報送受信部６１３は、抽出情報検索部６１２から検索結果の通知を受け、検索結果情報をパケットとして組み立て、ネットワークインタフェース６３０に検索表示端末７０への送信を指示する。

補助記憶装置６２０は、例えば、磁気記憶装置（ＨＤＤ）、フラッシュメモリ（ＳＳＤ）等の大容量かつ不揮発性の記憶装置であり、ＣＰＵ６００が実行するプログラム及びプログラムの実行時に使用されるデータを格納する。すなわち、プログラムは、補助記憶装置６２０から読み出されて、メモリ６１０にロードされて、ＣＰＵ６００によって実行される。

補助記憶装置６２０は、抽出一時テーブル６２１及びエンドツーエンド通信テーブル６２２を保持する。抽出一時テーブル６２１は、センサ５０によって受信パケットから抽出された抽出情報を保持する。エンドツーエンド通信テーブル６２２は、ネットワーク上位側の通信とネットワーク下位側の通信とにおけるエンドツーエンド通信を示すエントリを保持する。

ネットワークインタフェース６３０は、センサ５０及びセンサ５１から抽出情報パケットを受信し、受信した抽出情報パケットを抽出情報パケット受信部６１４に適宜通知する。また、ネットワークインタフェース６３０は、検索表示端末７０から検索条件を示す検索情報パケットを受信し、受信した検索情報パケットを検索パケット情報送受信部６１３に適宜通知する。また、ネットワークインタフェース６３０は、検索パケット情報送受信部６１３から受信した検索結果パケットを検索表示端末７０に対して送信する。

図７は、監視装置６０による抽出情報解析処理の一例示すフローチャートである。抽出情報パケット受信部６１４は、抽出情報パケットを受信する（Ｓ７００）たびに、受信した抽出情報パケットに対して、ステップＳ７０１以降の処理が実行される。

抽出情報解析部６１１は、抽出情報を参照して、抽出情報パケットがＨＴＴＰＲｅｑｕｅｓｔパケット３００、ＤＮＳＱｕｅｒｙパケット３１０、ＤＮＳＲｅｓｐｏｎｓｅパケット３２０、又はＨＴＴＰＲｅｑｕｅｓｔパケット３３０のいずれかのパケットから生成されたものであるかを判定する（Ｓ７０１）。

抽出情報解析部６１１は、抽出情報パケットが当該いずれかのパケットから生成されたものであると判定した場合（Ｓ７０１：Ｙｅｓ）、抽出情報パケットを抽出一時テーブル６２１に格納する（Ｓ７０２）。抽出情報解析部６１１は、抽出情報パケットが当該いずれかのパケットから生成されたものでないと判定した場合（Ｓ７０１：Ｎｏ）、当該抽出情報パケットはエンドツーエンド通信には関係ないため、抽出情報解析処理を終了する。

抽出情報解析部６１１は、抽出情報パケットを参照して、抽出情報パケットがＨＴＴＰＲｅｑｕｅｓｔパケット３３０から生成されたものであるかを判定する（Ｓ７０３）。なお、端末１０から送信されたＨＴＴＰＲｅｑｕｅｓｔパケット３００とＰｒｏｘｙから送信されたＨＴＴＰＲｅｑｕｅｓｔパケット３３０は同じフォーマットを有するが、抽出情報解析部６１１は、例えば、送信元ＩＰアドレスを参照して、ＨＴＴＰＲｅｑｕｅｓｔパケットが、Ｐｒｏｘｙから送信されたＨＴＴＰＲｅｑｕｅｓｔパケット３３０であることを判定する。

抽出情報解析部６１１は、抽出情報パケットがＨＴＴＰＲｅｑｕｅｓｔパケット３３０から生成されたものないと判定した場合（Ｓ７０３：Ｎｏ）、当該抽出情報パケットはエンドツーエンド通信の途中のパケットから生成されたものであるため、エンドツーエンド通信の組み立てができないことから、抽出情報解析処理を終了する。

抽出情報解析部６１１は、抽出情報パケットがＨＴＴＰＲｅｑｕｅｓｔパケット３３０から生成されたものであると判定した場合（Ｓ７０３：Ｙｅｓ）、抽出情報パケット及び抽出一時テーブル６２１を参照して、ステップＳ７０４、ステップＳ７０５、及びステップＳ７０６の判定条件が全て満たされるかを判定し、全て満たされる場合にはエンドツーエンド通信情報の組み立てが可能であると判定する。

ステップＳ７０４における判定条件：当該抽出情報パケットＨＴＴＰＲｅｑｕｅｓｔパケット３３０の受信時刻と同時刻帯に受信されかつＩＰアドレス３２５が当該ＨＴＴＰＲｅｑｕｅｓｔパケット３３０のＩＰヘッダのＤｅｓｔＩＰアドレス３３２と一致するＤＮＳＲｅｓｐｏｎｓｅパケット３２０から生成された抽出情報パケットを示すエントリが抽出一時テーブル６２１に格納されている。

ステップＳ７０５における判定条件：下記の（１）、（２）、（３）、（４）、及び（５）を全て満たすこと。

（１）いずれも当該ＨＴＴＰＲｅｑｕｅｓｔパケット３３０の受信時刻と同時刻帯に受信された、ＤＮＳＲｅｓｐｏｎｓｅパケット３２０から生成された抽出情報パケットとを示すエントリと、ＤＮＳＱｕｅｒｙパケット３１０から生成された抽出情報パケットとを示すエントリと、が抽出一時テーブル６２１に格納されている。

（２）当該ＤＮＳＲｅｓｐｏｎｓｅパケット３２０のＩＰヘッダのＳｏｕｒｃｅＩＰアドレス３２１と、当該ＤＮＳＱｕｅｒｙパケット３１０のＩＰヘッダのＤｅｓｔＩＰアドレス３１２と、が一致する。

（３）当該ＤＮＳＲｅｓｐｏｎｓｅパケット３２０のＩＰヘッダのＤｅｓｔＩＰアドレス３２２と、当該ＤＮＳＱｕｅｒｙパケット３１０のＩＰヘッダのＳｏｕｒｃｅＩＰアドレス３１１と、が一致する。

（４）当該ＤＮＳＲｅｓｐｏｎｓｅパケット３２０のＵＤＰヘッダのＳｏｕｒｃｅＰｏｒｔ番号３２３と、当該ＤＮＳＱｕｅｒｙパケット３１０のＵＤＰヘッダのＤｅｓｔＰｏｒｔ番号３１４と、が一致する

（５）当該ＤＮＳＲｅｓｐｏｎｓｅパケット３２０のＵＤＰヘッダのＤｅｓｔＰｏｒｔ番号３２４と、当該ＤＮＳＱｕｅｒｙパケット３１０のＵＤＰヘッダのＳｏｕｒｃｅＰｏｒｔ番号３１３と、が一致する。

ステップＳ７０６における判定条件：ＨＴＴＰＲｅｑｕｅｓｔパケット３３０の受信時刻と同時刻帯に受信され、かつＡｒｅｃｏｒｄ３１５が当該ＨＴＴＰＲｅｑｕｅｓｔパケット３００のＨＴＴＰヘッダＨＯＳＴ３０８と一致するＤＮＳＱｕｅｒｙパケット３１０から生成された抽出情報パケットを示すエントリが抽出一時テーブル６２１に格納されている。

なお、同時刻帯とは所定の時間差内であることを示す。所定の時間差は、例えば、センサ５０とセンサ５１とにおけるエンドツーエンド通信のパケット受信時刻差として考えられる値であり、Ｐｒｏｘｙ（本実施例におけるパケット中継装置２０）がＤＮＳサーバ４０への問い合わせに要する時間と、ＰｒｏｘｙがＷＷＷサーバ３０にパケットを送出する時間と、の和よりも大きい時間差である。

抽出情報解析部６１１は、エンドツーエンド通信の組み立てが可能でないと判定した場合（即ち、ステップＳ７０４、ステップＳ７０５、ステップＳ７０６の少なくとも１つにおいてＮｏ）、抽出情報解析処理を終了する。

抽出情報解析部６１１は、エンドツーエンド通信の組み立てが可能であると判定した場合（即ち、ステップＳ７０４、ステップＳ７０５、ステップＳ７０６の全てでＹｅｓ）、以下の１０つの値を１つのエントリとして、エンドツーエンド通信テーブル６２２に格納する（Ｓ７０７）。

（１）Ｗｅｂアクセス時刻欄の値として、ＨＴＴＰＲｅｑｕｅｓｔパケット３３０の受信時刻。
（２）送信元ＩＰアドレス欄の値として、ＨＴＴＰＲｅｑｕｅｓｔパケット３００のＩＰヘッダのＳｏｕｒｃｅＩＰアドレス３０３。
（３）送信元ＭＡＣアドレス欄の値として、ＨＴＴＰＲｅｑｕｅｓｔパケット３００のＥｔｈｅｒヘッダのＳｏｕｒｃｅＭＡＣアドレス３０１。
（４）ＰｒｏｘｙＩＰアドレス欄の値として、ＨＴＴＰＲｅｑｕｅｓｔパケット３３０のＩＰヘッダのＳｏｕｒｃｅＩＰアドレス３３１。
（５）Ｐｒｏｘｙポート番号欄の値として、ＨＴＴＰＲｅｑｕｅｓｔパケット３３０のＴＣＰヘッダのＳｏｕｒｃｅＰｏｒｔ番号３３３。
（６）宛先ＩＰアドレス欄の値として、ＨＴＴＰＲｅｑｕｅｓｔパケット３３０のＩＰヘッダのＤｅｓｔＩＰアドレス３３２。
（７）宛先ホスト名欄の値として、ＨＴＴＰＲｅｑｕｅｓｔパケット３３０のＨＴＴＰヘッダのＨＯＳＴ３３６。
（８）宛先ホストポート番号欄の値として、ＨＴＴＰＲｅｑｕｅｓｔパケット３３０のＴＣＰヘッダのＤｅｓｔＰｏｒｔ番号３３４。
（９）宛先ＵＲＬ欄の値として、ＨＴＴＰＲｅｑｕｅｓｔパケット３３０のＨＴＴＰヘッダのＧＥＴ３３５。
（１０）通信種別欄の値として、ＨＴＴＰ。

なお、抽出情報パケットにＵｓｅｒ－Ａｇｅｎｔなどの情報が含まれている場合には、抽出情報解析部６１１は当該情報もあわせてエンドツーエンド通信テーブル６２２に格納してもよい。

また、抽出情報解析部６１１は、ステップＳ７０４、ステップＳ７０５、及びステップＳ７０６の全ての条件ではなく、これら少なくとも１つの条件をチェックしてもよく、当該少なくとも１つの条件が満たされる場合に、ステップＳ７０７に遷移するようにしてもよい。

このように、監視装置６０は、対象パケットから抽出された限られた情報を含む抽出情報パケットから、エンドツーエンド通信を特定し、特定したエンドツーエンド通信の情報を保持することができる。

なお、抽出情報解析部６１１は、ステップＳ７０３においてＨＴＴＰＲｅｑｕｅｓｔパケット３３０を示す抽出情報パケットを受信したと判定したことを契機に、ステップＳ７０４～ステップＳ７０６における判定条件を用いてエンドツーエンド通信情報の組み立てが可能であるかを判定するが、別途まとめて（例えば所定数の抽出情報パケットを受信したと判定したことを契機に）エンドツーエンド通信情報の組み立てが可能であるかを判定してもよい。

図８は、検索表示端末７０において表示されるエンドツーエンド通信の検索を実施するための検索画面の構成例である。検索画面は、エンドツーエンド通信テーブル６２２のエントリを検索するための条件の入力を受け付ける画面である。

検索画面は、例えば、Ｗｅｂアクセス時刻、端末ＩＰ／ポート番号、端末ＭＡＣアドレス、ＰｒｏｘｙＩＰ／ポート番号、宛先ＩＰ／ポート番号、宛先ホスト名／ポート番号、及び宛先ＵＲＬそれぞれを、検索条件として入力するための入力領域を含む。また、後述する実施例２においては、ＨＴＴＰのみならずＨＴＴＰＳによる通信もエンドツーエンド通信テーブル６２２への登録対象にできることから、検索画面は通信種別を検索条件として入力するための入力を含む。

なお、Ｕｓｅｒ－Ａｇｅｎｔなどの他の情報がエンドツーエンド通信テーブル６２２に登録された場合には、検索画面は、当該他の情報を検索条件として入力するための入力領域をさらに含んでもよい。なお、図８では画面構成例を示したが、図８に示す検索条件を入力可能なＡＰＩ（ＡｐｐｌｉｃａｔｉｏｎＰｒｏｇｒａｍｍｉｎｇＩｎｔｅｒｆａｃｅ）によって検索が実行可能であってもよい。

図９は、エンドツーエンド通信の検索結果を抽出する抽出情報検索処理の一例を示すフローチャートである。

検索パケット情報送受信部６１３は、検索条件パケットを検索表示端末７０から受信し、抽出情報検索部６１２は検索条件パケットが示す検索条件を取得する（Ｓ９００）。

検索条件は、例えば、図８検索画面の例に示したＷｅｂアクセス時刻、端末ＩＰ／ポート番号、端末ＭＡＣアドレス、ＰｒｏｘｙＩＰ／ポート番号、宛先ＩＰ／ポート番号、宛先ホスト名／ポート番号、宛先ＵＲＬ及び通信種別等である。

抽出情報検索部６１２は、エンドツーエンド通信テーブル６２２が検索条件に合致するエントリを有するか（検索条件に合致するエンドツーエンド通信が行われたか）を判定する（Ｓ９０１）。

抽出情報検索部６１２が、検索条件に合致するエントリがあると判定した場合（Ｓ９０１：Ｙｅｓ）、対象となるエンドツーエンド通信を示すエントリを検索結果として取得し、検索パケット情報送受信部６１３は当該検索結果を含む検索結果パケットを生成し、ネットワークインタフェース６３０を介して、検索結果パケットを検索表示端末７０に送信する（Ｓ９０２）。

抽出情報検索部６１２が、検索条件に合致するエントリがないと判定した場合（Ｓ９０１：Ｎｏ）、検索パケット情報送受信部６１３は、対象となるエンドツーエンド通信がないことを示す検索結果パケットを生成し、ネットワークインタフェース６３０を介して、検索結果パケットを検索表示端末７０に送信する（Ｓ９０３）。

図１０は、エンドツーエンド通信の検索結果を表示する表示画面の構成例である。当該表示画面は、検索表示端末７０に含まれる（又は検索表示端末７０に接続された）出力装置に表示される。

図１０では、抽出情報検索処理において検索条件に該当するエンドツーエンド通信が存在した場合表示画面の例が記載されている。表示画面には、エンドツーエンド通信テーブル６２２の当該検索条件に該当するエントリの値が表示されている。このように、当該表示画面はネットワーク下位側の通信とネットワーク上位側の通信とをまとめてエンドツーエンド通信として表示でき、これにより検索表示端末７０のユーザはパケット送信元を容易に把握できる。

なお、Ｕｓｅｒ－Ａｇｅｎｔなどの情報がエンドツーエンド通信テーブル６２２にさらに格納されている場合は、当該情報も検索条件に加え、検索結果として表示されることによって、より詳細にエンドツーエンド通信を検索できるようにしてもよい。なお、本実施例において監視装置６０は、パケットを監視しているが、フレーム等の他のレイヤのデータを監視してもよい。

実施例１ではＨＴＴＰによる通信が登録及び検索対象である例を説明したが、実施例２ではＨＴＴＰＳによる通信が登録及び検索対象である例を説明する。

ＨＴＴＰＳによる通信を対象にＰｒｏｘｙの前後でミラーリングし、センサで情報抽出し、監視装置でエンドツーエンドの通信として記憶、検索可能な形で格納することで、送信元を容易に特定できる例を実施例１との差分として説明する。以下、実施例１と同様の構成については説明を省略し、実施例１との相違点を説明する。

図１１は、ＨＴＴＰＳによる通信を流れの一例を示すシーケンス図である。図１で示したシステム構成において、端末１０からＷＷＷサーバ３０へのＨＴＴＰＳによる通信が行われる例である。また、それぞれの通信におけるパケットフォーマットは、後述する図１２で別途説明される。

端末１０はＨＴＴＰＳによる通信開始時に、パケット中継装置２０に対してＨＴＴＰＳＲｅｑｕｅｓｔを送出し、パケット中継装置２０は当該ＨＴＴＰＳＲｅｑｕｅｓｔを受信する（Ｓ１１００）。

パケット中継装置２０は、宛先であるＷＷＷサーバ３０のＩＰアドレスを調べるために、受信したＨＴＴＰＳＲｅｑｕｅｓｔのＨＴＴＰヘッダのＨＯＳＴ情報を元に、ＡＲｅｃｏｒｄにＷＷＷサーバ３０のＨＯＳＴ情報を設定したＤＮＳＱｕｅｒｙをＤＮＳサーバ４０に対して送信し、ＤＮＳサーバ４０が当該ＤＮＳＱｕｅｒｙを受信する（Ｓ１１０１）。

ＤＮＳサーバ４０は、ＤＮＳＱｕｅｒｙに設定されたＨＯＳＴに対するＩＰアドレスを応答するために、ＡＲｅｃｏｒｄのＨＯＳＴ情報に対するＩＰアドレスを設定したＤＮＳＲｅｓｐｏｎｓｅを、パケット中継装置２０に対して送信し、パケット中継装置２０が当該ＤＮＳＲｅｓｐｏｎｓｅを受信する（Ｓ１１０２）。

パケット中継装置２０は、ＨＴＴＰＳ要求元である端末１０に対して、ＨＴＴＰＳＲｅｓｐｏｎｓｅを送信し、端末１０がＨＴＴＰＳＲｅｓｐｏｎｓｅを受信することでＴＬＳ通信に移行する（Ｓ１１０３）。

端末１０はＴＬＳによる通信を開始するために、パケット中継装置２０に対してＴＬＳｖ１．２Ｈａｎｄｓｈａｋｅ（ＣｌｉｅｎｔＨｅｌｌｏ）（以下、ＴＬＳメッセージとも呼ぶ）を送信し、パケット中継装置２０が当該ＴＬＳｖ１．２Ｈａｎｄｓｈａｋｅ（ＣｌｉｅｎｔＨｅｌｌｏ）を受信する（Ｓ１１０４）。

パケット中継装置２０は、宛先であるＷＷＷサーバ３０にステップＳ１１０４で受信したＴＬＳメッセージを、ＩＰヘッダ及びＴＣＰヘッダを付けかえて送信し、ＷＷＷサーバ３０がＩＰヘッダ及びＴＣＰヘッダが付け替えられたＴＬＳメッセージを受信する（Ｓ１１０５）ことで、一連のＨＴＴＰＳによる通信が完了する。

図１２Ａ及び図１２Ｂは、ＨＴＴＰＳによる通信においてセンサ５０及びセンサ５１による抽出対象のパケットフォーマットの一例である。なお、図１２Ａ及び図１２Ｂにおいては、パケットフォーマットに含まれるヘッダ、及びメソッド／フィールドのうち、本実施例の説明に最低限必要なもののみが記載されている。なお、ステップＳ１１０１において送信されるＤＮＳＱｕｅｒｙのパケットフォーマットと、ステップＳ１１０２において送信されるＤＮＳＲｅｓｐｏｎｓｅのパケットフォーマットと、はそれぞれ図３Ｂ及び図３Ｃと同様であるため、説明を省略する。

図１２Ａは、ステップＳ１１００において、端末１０がパケット中継装置２０に対して送信するＨＴＴＰＳＲｅｑｕｅｓｔのパケットフォーマットの抜粋の一例である。ＨＴＴＰＳＲｅｑｕｅｓｔパケット１２００は、例えば、Ｅｔｈｅｒヘッダと、ＩＰヘッダと、ＴＣＰヘッダと、ＨＴＴＰヘッダと、を含む。

ＨＴＴＰＳＲｅｑｕｅｓｔパケット１２００のＥｔｈｅｒヘッダには、例えば、ＳｏｕｒｃｅＭＡＣアドレス１２０１と、ＤｅｓｔＭＡＣアドレス１２０２と、が格納されている。ＨＴＴＰＳＲｅｑｕｅｓｔパケット１２００のＩＰヘッダには、例えば、ＳｏｕｒｃｅＩＰアドレス１２０３と、ＤｅｓｔＩＰアドレス１２０４と、が格納されている。

ＨＴＴＰＳＲｅｑｕｅｓｔパケット１２００のＴＣＰヘッダには、例えば、ＳｏｕｒｃｅＰｏｒｔ番号１２０５と、ＤｅｓｔＰｏｒｔ番号１２０６と、が格納されている。ＨＴＴＰＳＲｅｑｕｅｓｔパケット１２００のＨＴＴＰヘッダには、例えば、Ｃｏｎｎｅｃｔ１２０７と、ＨＯＳＴ１２０８と、が格納されている。

このように、ＨＴＴＰＳＲｅｑｕｅｓｔパケット１２００には、図３Ａに示したＨＴＴＰＲｅｑｕｅｓｔパケット３００と異なり、ＨＯＳＴ１２０８が格納されているものの、ＵＲＬが格納されていない。

図１２Ｂは、ステップＳ１１０５において、パケット中継装置２０がＷＷＷサーバ３０に対して送信するＴＬＳメッセージのパケットフォーマットの抜粋の一例である。ＴＬＳメッセージパケット１２３０は、例えば、Ｅｔｈｅｒヘッダと、ＩＰヘッダと、ＴＣＰヘッダと、ＳＳＬヘッダと、を含む。

ＴＬＳメッセージパケット１２３０のＩＰヘッダには、例えば、ＳｏｕｒｃｅＩＰアドレス１２３１と、ＤｅｓｔＩＰアドレス１２３２と、が格納されている。ＴＬＳメッセージパケット１２３０のＴＣＰヘッダには、例えば、ＳｏｕｒｃｅＰｏｒｔ番号１２３３と、ＤｅｓｔＰｏｒｔ番号１２３４と、が格納されている。ＴＬＳメッセージパケット１２３０のＳＳＬヘッダには、例えば、ＴＬＳ／ＳＳＬのバージョン１２３５が格納されている。

図１３は、本実施例におけるセンサ５０による抽出情報パケット生成処理の一例を示すフローチャートである。図５との相違点を説明する。情報抽出部５１１は、受信パケットの通信種別がＴＬＳメッセージであると判定した場合、（Ｓ５０２：ＴＬＳ）、ＴＬＳ情報抽出処理を実行する（Ｓ１２０１）。情報抽出部５１１は、ステップＳ１２０１のＴＬＳ情報抽出処理において、受信パケットのＩＰヘッダのＳｏｕｒｃｅＩＰアドレス１２３１及びＤｅｓｔＩＰアドレス１２３２、並びにＴＣＰヘッダのＳｏｕｒｃｅＰｏｒｔ番号１２３３及びＤｅｓｔＰｏｒｔ番号１２３４を抽出する。情報抽出部５１１が抽出を完了したら、ステップＳ５０５へ遷移する。

図１４は、本実施例における監視装置６０による抽出情報解析処理の一例示すフローチャートある。図１４の例ではＨＴＴＰＳによる通信の抽出情報解析処理が行われる。なお、図７におけるＨＴＴＰＲｅｑｕｅｓｔパケット３００をＨＴＴＰＳＲｅｑｕｅｓｔパケット１２００に置換し、図７におけるＨＴＴＰＲｅｑｕｅｓｔパケット３３０をＴＬＳメッセージパケット１２３０に置換することで、図１４の処理が実現されるため、説明を省略する。

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることも可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（ＳｏｌｉｄＳｔａｔｅＤｒｉｖｅ）等の記録装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

１０端末、１１端末、２０パケット中継装置、３０ＷＷＷサーバ、３１ＷＷＷサーバ、４０ＤＮＳサーバ、５０センサ、５１センサ、７０検索表示端末、ＣＰＵ５００、メモリ５１０、ネットワークインタフェース５２０、情報抽出部５１１、パケット送受信部５１２、６０監視装置、６００ＣＰＵ、６１０メモリ、６１１抽出情報解析部、６１２抽出情報検索部、６１３検索パケット情報送受信部、６１４抽出情報パケット受信部、６２０補助記憶装置、６２１抽出一時テーブル、６２２エンドツーエンド通信記憶テーブル、６３０ネットワークインタフェース

Claims

プロキシサーバによって第１ネットワークと第２ネットワークとに分断されたネットワークにおける通信を監視する監視装置であって、
前記プロキシサーバは、前記第２ネットワークに含まれる装置からの要求に応じて、当該装置と前記第１ネットワークに含まれる装置との間の通信を中継し、
前記監視装置は、プロセッサとメモリとを含み、
前記メモリは、
前記プロキシサーバと前記第１ネットワークに含まれる装置との間の第１通信と、前記プロキシサーバと前記第２ネットワークに含まれる装置との間の第２通信と、のうち所定の通信種別の通信の監視対象データから抽出された抽出データと、
前記抽出データの抽出元の監視対象データの受信時刻と、を示す抽出情報を保持し、
前記抽出データは、前記監視対象データの通信種別と、前記第１通信の監視対象データの送信元及び宛先と、前記第２通信の監視対象データの送信元及び前記プロキシサーバによる中継後の前記第１ネットワーク内の宛先と、を示し、
前記プロセッサは、
前記第１通信における第１通信種別の監視対象データから抽出された第１抽出データを前記抽出情報が含むと判定した場合、
前記抽出情報を参照して、当該第１抽出データに対応する受信時刻との時間差が所定値以内である、前記第２通信の監視対象データから抽出された第２抽出データを取得し、
当該第１抽出データが示す送信元及び宛先と、前記取得した第２抽出データが示す前記第１ネットワーク内の宛先と、に基づいて、前記取得した第２抽出データの抽出元の監視対象データの通信がエンドツーエンド通信に含まれるかを判定し、
前記所定の通信種別は、
前記第１通信において前記プロキシサーバが送信する第１ＨＴＴＰＲｅｑｕｅｓｔ及びＤＮＳＱｕｅｒｙと、
前記第１通信において前記プロキシサーバが受信するＤＮＳＲｅｓｐｏｎｓｅと、
前記第２通信において前記プロキシサーバが受信する第２ＨＴＴＰＲｅｑｕｅｓｔと、を含み、
前記第１通信種別は、前記第１ＨＴＴＰＲｅｑｕｅｓｔであり、
前記プロセッサは、
前記第１ＨＴＴＰＲｅｑｕｅｓｔのパケットの受信時刻との時間差が前記所定値以内に受信した、前記ＤＮＳＱｕｅｒｙのパケット、前記ＤＮＳＲｅｓｐｏｎｓｅのパケット、及び前記第２ＨＴＴＰＲｅｑｕｅｓｔのパケットについて、一致判定を実行し、
全ての一致判定において一致すると判定した場合に、前記第２ＨＴＴＰＲｅｑｕｅｓｔのパケットの通信がエンドツーエンド通信に含まれると判定し、
前記一致判定は、
前記第１ＨＴＴＰＲｅｑｕｅｓｔのパケットの宛先と、前記ＤＮＳＲｅｓｐｏｎｓｅのパケットが示す前記第１ネットワーク内の宛先と、の第１一致判定と、
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの送信元と、前記ＤＮＳＱｕｅｒｙのパケットの宛先と、の第２一致判定と、
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの宛先と、前記ＤＮＳＱｕｅｒｙのパケットの送信元と、の第３一致判定と、の少なくとも１つの一致判定と、
前記ＤＮＳＱｕｅｒｙのパケットが示す前記第１ネットワーク内の宛先と、前記第２ＨＴＴＰＲｅｑｕｅｓｔのパケットが示す前記第１ネットワーク内の宛先と、の第４一致判定と、を含む、監視装置。
請求項１に記載の監視装置であって、
前記プロセッサは、前記第１一致判定において、前記第１ＨＴＴＰＲｅｑｕｅｓｔのパケットの宛先ＩＰアドレスと、前記ＤＮＳＲｅｓｐｏｎｓｅのパケットが示す前記第１ネットワーク内の宛先ＩＰアドレスと、が一致するかを判定する、監視装置。
請求項１に記載の監視装置であって、
前記プロセッサは、
前記第２一致判定において、
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの送信元ＩＰアドレスと、前記ＤＮＳＱｕｅｒｙのパケットの宛先ＩＰアドレスと、が一致するか、及び
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの送信元ポート番号と、前記ＤＮＳＱｕｅｒｙのパケットの宛先ポート番号と、が一致するかを判定し、
前記第３一致判定において、
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの宛先ＩＰアドレスと、前記ＤＮＳＱｕｅｒｙのパケットの送信元ＩＰアドレスと、が一致するか、及び
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの宛先ポート番号と、前記ＤＮＳＱｕｅｒｙのパケットの送信元ポート番号と、が一致するかを判定する、監視装置。
請求項１に記載の監視装置であって、
前記プロセッサは、前記第４一致判定において、前記ＤＮＳＱｕｅｒｙのパケットのＡｒｅｃｏｒｄと、前記第２ＨＴＴＰＲｅｑｕｅｓｔのパケットのＨＯＳＴと、が一致するかを判定する、監視装置。
プロキシサーバによって第１ネットワークと第２ネットワークとに分断されたネットワークにおける通信を監視する監視装置であって、
前記プロキシサーバは、前記第２ネットワークに含まれる装置からの要求に応じて、当該装置と前記第１ネットワークに含まれる装置との間の通信を中継し、
前記監視装置は、プロセッサとメモリとを含み、
前記メモリは、
前記プロキシサーバと前記第１ネットワークに含まれる装置との間の第１通信と、前記プロキシサーバと前記第２ネットワークに含まれる装置との間の第２通信と、のうち所定の通信種別の通信の監視対象データから抽出された抽出データと、
前記抽出データの抽出元の監視対象データの受信時刻と、を示す抽出情報を保持し、
前記抽出データは、前記監視対象データの通信種別と、前記第１通信の監視対象データの送信元及び宛先と、前記第２通信の監視対象データの送信元及び前記プロキシサーバによる中継後の前記第１ネットワーク内の宛先と、を示し、
前記プロセッサは、
前記第１通信における第１通信種別の監視対象データから抽出された第１抽出データを前記抽出情報が含むと判定した場合、
前記抽出情報を参照して、当該第１抽出データに対応する受信時刻との時間差が所定値以内である、前記第２通信の監視対象データから抽出された第２抽出データを取得し、
当該第１抽出データが示す送信元及び宛先と、前記取得した第２抽出データが示す前記第１ネットワーク内の宛先と、に基づいて、前記取得した第２抽出データの抽出元の監視対象データの通信がエンドツーエンド通信に含まれるかを判定し、
前記所定の通信種別は、
前記第１通信において前記プロキシサーバが送信するＴＬＳメッセージ及びＤＮＳＱｕｅｒｙと、
前記第１通信において前記プロキシサーバが受信するＤＮＳＲｅｓｐｏｎｓｅと、
前記第２通信において前記プロキシサーバが受信するＨＴＴＰＲｅｑｕｅｓｔと、を含み、
前記第１通信種別は、前記ＴＬＳメッセージであり、
前記プロセッサは、
前記ＴＬＳメッセージのパケットの受信時刻との時間差が前記所定値以内に受信した、前記ＤＮＳＱｕｅｒｙのパケット、前記ＤＮＳＲｅｓｐｏｎｓｅのパケット、及び前記ＨＴＴＰＲｅｑｕｅｓｔのパケットについて、一致判定を実行し、
全ての一致判定において一致すると判定した場合に、前記ＨＴＴＰＲｅｑｕｅｓｔのパケットの通信がエンドツーエンド通信に含まれると判定し、
前記一致判定は、
前記ＴＬＳメッセージのパケットの宛先と、前記ＤＮＳＲｅｓｐｏｎｓｅのパケットが示す前記第１ネットワーク内の宛先と、の第１一致判定と、
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの送信元と、前記ＤＮＳＱｕｅｒｙのパケットの宛先と、の第２一致判定と、
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの宛先と、前記ＤＮＳＱｕｅｒｙのパケットの送信元と、の第３一致判定と、の少なくとも一つの一致判定と、
前記ＤＮＳＱｕｅｒｙのパケットが示す前記第１ネットワーク内の宛先と、前記ＨＴＴＰＲｅｑｕｅｓｔのパケットが示す前記第１ネットワーク内の宛先と、の第４一致判定と、を含む、監視装置。
請求項５に記載の監視装置であって、
前記プロセッサは、前記第１一致判定において、前記ＴＬＳメッセージのパケットの宛先ＩＰアドレスと、前記ＤＮＳＲｅｓｐｏｎｓｅのパケットが示す前記第１ネットワーク内の宛先ＩＰアドレスと、が一致するかを判定する、監視装置。
請求項５に記載の監視装置であって、
前記プロセッサは、
前記第２一致判定において、
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの送信元ＩＰアドレスと、前記ＤＮＳＱｕｅｒｙのパケットの宛先ＩＰアドレスと、が一致するか、及び
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの送信元ポート番号と、前記ＤＮＳＱｕｅｒｙのパケットの宛先ポート番号と、が一致するかを判定し、
前記第３一致判定において、
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの宛先ＩＰアドレスと、前記ＤＮＳＱｕｅｒｙのパケットの送信元ＩＰアドレスと、が一致するか、及び
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの宛先ポート番号と、前記ＤＮＳＱｕｅｒｙのパケットの送信元ポート番号と、が一致するかを判定する、監視装置。
請求項５に記載の監視装置であって、
前記プロセッサは、前記第４一致判定において、前記ＤＮＳＱｕｅｒｙのパケットのＡｒｅｃｏｒｄと、前記ＨＴＴＰＲｅｑｕｅｓｔのパケットのＨＯＳＴと、が一致するかを判定する、監視装置。
請求項１又は５に記載の監視装置であって、
センサを含み、
前記センサは、前記監視対象データと、前記監視対象データの受信時刻と、を取得し、
前記プロセッサは、
前記監視対象データから、前記監視対象データの通信種別と、前記第１通信の監視対象
データの送信元及び宛先と、前記第２通信の監視対象データの前記プロキシサーバによる中継後の前記第１ネットワーク内の宛先と、を抽出して前記抽出データを生成し、
前記生成した抽出データと、前記センサが取得した受信時刻と、を前記抽出情報に含める、監視装置。
請求項１又は５に記載の監視装置であって、
表示装置に接続され、
前記抽出データは、前記第１通信の監視対象データの送信元を示し、
前記プロセッサは、
前記取得した第２抽出データの抽出元の監視対象データの通信がエンドツーエンド通信に含まれると判定した場合、当該第１抽出データに対応する監視対象データの前記第１ネットワーク内の宛先と、当該第２抽出データに対応する監視対象データの送信元と、を前記表示装置に表示する、監視装置。
プロキシサーバによって第１ネットワークと第２ネットワークとに分断されたネットワークにおける通信を監視する監視装置による監視方法であって、
前記プロキシサーバは、前記第２ネットワークに含まれる装置からの要求に応じて、当該装置と前記第１ネットワークに含まれる装置との間の通信を中継し、
前記監視装置は、
前記プロキシサーバと前記第１ネットワークに含まれる装置との間の第１通信と、前記プロキシサーバと前記第２ネットワークに含まれる装置との間の第２通信と、のうち所定の通信種別の通信の監視対象データから抽出された抽出データと、
前記抽出データの抽出元の監視対象データの受信時刻と、を示す抽出情報を保持し、
前記抽出データは、前記監視対象データの通信種別と、前記第１通信の監視対象データの送信元及び宛先と、前記第２通信の監視対象データの送信元及び前記プロキシサーバによる中継後の前記第１ネットワーク内の宛先と、を示し、
前記監視方法は、
前記監視装置が、前記第１通信における第１通信種別の監視対象データから抽出された第１抽出データを前記抽出情報が含むと判定した場合、
前記監視装置が、前記抽出情報を参照して、当該第１抽出データに対応する受信時刻との時間差が所定値以内である、前記第２通信の監視対象データから抽出された第２抽出データを取得し、
前記監視装置が、当該第１抽出データが示す送信元及び宛先と、前記取得した第２抽出データが示す前記第１ネットワーク内の宛先と、に基づいて、前記取得した第２抽出データの抽出元の監視対象データの通信がエンドツーエンド通信に含まれるかを判定し、
前記所定の通信種別は、
前記第１通信において前記プロキシサーバが送信するＴＬＳメッセージ及びＤＮＳＱｕｅｒｙと、
前記第１通信において前記プロキシサーバが受信するＤＮＳＲｅｓｐｏｎｓｅと、
前記第２通信において前記プロキシサーバが受信するＨＴＴＰＲｅｑｕｅｓｔと、を含み、
前記第１通信種別は、前記ＴＬＳメッセージであり、
前記監視方法は、
前記監視装置が、前記ＴＬＳメッセージのパケットの受信時刻との時間差が前記所定値以内に受信した、前記ＤＮＳＱｕｅｒｙのパケット、前記ＤＮＳＲｅｓｐｏｎｓｅのパケット、及び前記ＨＴＴＰＲｅｑｕｅｓｔのパケットについて、一致判定を実行し、
前記監視装置が、全ての一致判定において一致すると判定した場合に、前記ＨＴＴＰＲｅｑｕｅｓｔのパケットの通信がエンドツーエンド通信に含まれると判定し、
前記一致判定は、
前記ＴＬＳメッセージのパケットの宛先と、前記ＤＮＳＲｅｓｐｏｎｓｅのパケットが示す前記第１ネットワーク内の宛先と、の第１一致判定と、
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの送信元と、前記ＤＮＳＱｕｅｒｙのパケットの宛先と、の第２一致判定と、
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの宛先と、前記ＤＮＳＱｕｅｒｙのパケットの送信元と、の第３一致判定と、の少なくとも一つの一致判定と、
前記ＤＮＳＱｕｅｒｙのパケットが示す前記第１ネットワーク内の宛先と、前記ＨＴＴＰＲｅｑｕｅｓｔのパケットが示す前記第１ネットワーク内の宛先と、の第４一致判定と、を含む、監視方法。
プロキシサーバによって第１ネットワークと第２ネットワークとに分断されたネットワークにおける通信の監視を監視装置に実行される監視プログラムであって、
前記プロキシサーバは、前記第２ネットワークに含まれる装置からの要求に応じて、当該装置と前記第１ネットワークに含まれる装置との間の通信を中継し、
前記監視装置は、
前記プロキシサーバと前記第１ネットワークに含まれる装置との間の第１通信と、前記プロキシサーバと前記第２ネットワークに含まれる装置との間の第２通信と、のうち所定の通信種別の通信の監視対象データから抽出された抽出データと、
前記抽出データの抽出元の監視対象データの受信時刻と、を示す抽出情報を保持し、
前記抽出データは、前記監視対象データの通信種別と、前記第１通信の監視対象データの送信元及び宛先と、前記第２通信の監視対象データの送信元及び前記プロキシサーバによる中継後の前記第１ネットワーク内の宛先と、を示し、
前記監視プログラムは、
前記第１通信における第１通信種別の監視対象データから抽出された第１抽出データを前記抽出情報が含むかを判定する判定処理と、
前記判定処理において、前記第１通信における第１通信種別の監視対象データから抽出された第１抽出データを前記抽出情報が含むと判定した場合に、
前記監視装置が、前記抽出情報を参照して、当該第１抽出データに対応する受信時刻との時間差が所定値以内である、前記第２通信の監視対象データから抽出された第２抽出データを取得する処理と、
前記監視装置が、当該第１抽出データが示す送信元及び宛先と、前記取得した第２抽出データが示す前記第１ネットワーク内の宛先と、に基づいて、前記第１抽出データの抽出元の監視対象データの通信がエンドツーエンド通信に含まれるかを判定する処理と、を前記監視装置に実行させ、
前記所定の通信種別は、
前記第１通信において前記プロキシサーバが送信する第１ＨＴＴＰＲｅｑｕｅｓｔ及びＤＮＳＱｕｅｒｙと、
前記第１通信において前記プロキシサーバが受信するＤＮＳＲｅｓｐｏｎｓｅと、
前記第２通信において前記プロキシサーバが受信する第２ＨＴＴＰＲｅｑｕｅｓｔと、を含み、
前記第１通信種別は、前記第１ＨＴＴＰＲｅｑｕｅｓｔであり、
前記監視プログラムは、
前記第１ＨＴＴＰＲｅｑｕｅｓｔのパケットの受信時刻との時間差が前記所定値以内に受信した、前記ＤＮＳＱｕｅｒｙのパケット、前記ＤＮＳＲｅｓｐｏｎｓｅのパケット、及び前記第２ＨＴＴＰＲｅｑｕｅｓｔのパケットについて、一致判定を前記監視装置に実行させ、
全ての一致判定において一致すると判定した場合に、前記第２ＨＴＴＰＲｅｑｕｅｓｔのパケットの通信がエンドツーエンド通信に含まれると判定する処理を前記監視装置に実行させ、
前記一致判定は、
前記第１ＨＴＴＰＲｅｑｕｅｓｔのパケットの宛先と、前記ＤＮＳＲｅｓｐｏｎｓｅのパケットが示す前記第１ネットワーク内の宛先と、の第１一致判定と、
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの送信元と、前記ＤＮＳＱｕｅｒｙのパケットの宛先と、の第２一致判定と、
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの宛先と、前記ＤＮＳＱｕｅｒｙのパケットの送信元と、の第３一致判定と、の少なくとも１つの一致判定と、
前記ＤＮＳＱｕｅｒｙのパケットが示す前記第１ネットワーク内の宛先と、前記第２ＨＴＴＰＲｅｑｕｅｓｔのパケットが示す前記第１ネットワーク内の宛先と、の第４一致判定と、を含む、監視プログラム。
プロキシサーバによって第１ネットワークと第２ネットワークとに分断されたネットワークにおける通信の監視を監視装置に実行される監視プログラムであって、
前記プロキシサーバは、前記第２ネットワークに含まれる装置からの要求に応じて、当該装置と前記第１ネットワークに含まれる装置との間の通信を中継し、
前記監視装置は、
前記プロキシサーバと前記第１ネットワークに含まれる装置との間の第１通信と、前記プロキシサーバと前記第２ネットワークに含まれる装置との間の第２通信と、のうち所定の通信種別の通信の監視対象データから抽出された抽出データと、
前記抽出データの抽出元の監視対象データの受信時刻と、を示す抽出情報を保持し、
前記抽出データは、前記監視対象データの通信種別と、前記第１通信の監視対象データの送信元及び宛先と、前記第２通信の監視対象データの送信元及び前記プロキシサーバによる中継後の前記第１ネットワーク内の宛先と、を示し、
前記監視プログラムは、
前記第１通信における第１通信種別の監視対象データから抽出された第１抽出データを前記抽出情報が含むかを判定する判定処理と、
前記判定処理において、前記第１通信における第１通信種別の監視対象データから抽出された第１抽出データを前記抽出情報が含むと判定した場合に、
前記監視装置が、前記抽出情報を参照して、当該第１抽出データに対応する受信時刻との時間差が所定値以内である、前記第２通信の監視対象データから抽出された第２抽出データを取得する処理と、
前記監視装置が、当該第１抽出データが示す送信元及び宛先と、前記取得した第２抽出データが示す前記第１ネットワーク内の宛先と、に基づいて、前記第１抽出データの抽出元の監視対象データの通信がエンドツーエンド通信に含まれるかを判定する処理と、を前記監視装置に実行させ、
前記所定の通信種別は、
前記第１通信において前記プロキシサーバが送信するＴＬＳメッセージ及びＤＮＳＱｕｅｒｙと、
前記第１通信において前記プロキシサーバが受信するＤＮＳＲｅｓｐｏｎｓｅと、
前記第２通信において前記プロキシサーバが受信するＨＴＴＰＲｅｑｕｅｓｔと、を含み、
前記第１通信種別は、前記ＴＬＳメッセージであり、
前記監視プログラムは、
前記ＴＬＳメッセージのパケットの受信時刻との時間差が前記所定値以内に受信した、前記ＤＮＳＱｕｅｒｙのパケット、前記ＤＮＳＲｅｓｐｏｎｓｅのパケット、及び前記ＨＴＴＰＲｅｑｕｅｓｔのパケットについて、一致判定を前記監視装置に実行させ、
全ての一致判定において一致すると判定した場合に、前記ＨＴＴＰＲｅｑｕｅｓｔのパケットの通信がエンドツーエンド通信に含まれると判定する処理を前記監視装置に実行させ、
前記一致判定は、
前記ＴＬＳメッセージのパケットの宛先と、前記ＤＮＳＲｅｓｐｏｎｓｅのパケットが示す前記第１ネットワーク内の宛先と、の第１一致判定と、
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの送信元と、前記ＤＮＳＱｕｅｒｙのパケットの宛先と、の第２一致判定と、
前記ＤＮＳＲｅｓｐｏｎｓｅのパケットの宛先と、前記ＤＮＳＱｕｅｒｙのパケットの送信元と、の第３一致判定と、の少なくとも一つの一致判定と、
前記ＤＮＳＱｕｅｒｙのパケットが示す前記第１ネットワーク内の宛先と、前記ＨＴＴＰＲｅｑｕｅｓｔのパケットが示す前記第１ネットワーク内の宛先と、の第４一致判定と、を含む、監視プログラム。