JP6873032B2 - 通信監視システム、通信監視装置および通信監視方法 - Google Patents

Description

本発明は、正規通信を使った悪用を検知することが可能な通信監視システム、通信監視装置および通信監視方法に関する。

インダストリアルネットワークにおけるサイバー攻撃の潜在的な感染を検知するための方法として、特許文献１には、以下のような技術が開示されている。システムは、ネットワークステートのリストおよび遷移確率を含むサイトアクセプタブルなネットワーク挙動のベースラインを設定するためのハードウェアとソフトウェアの要素を含む。遷移確率は、正常なネットワーク稼働中に、第一のネットワークステートが第二のネットワークステートに一時的に追従される推定確率を示すものである。さらに、確率を表す閾値を設定する。その閾値を下回ると、ネットワークステートのシーケンスが変則的であることおよびサイトアクセプタブルなネットワーク挙動のベースラインに基づいて、特定の一連のパケットから得たネットワークステートのシーケンスが発生する確率を特定し、特定された確率が設定された閾値を下回るか否かにより防御措置を実行する。

特開２０１７−４１８８６号公報

しかしながら、特許文献１では、業務で使用される通信プロトコルにおいて、当該業務を実行する正規の機器から業務実行時と同様にデータ送信された場合の悪用（以下、正規通信を使った悪用と呼ぶ）を検知することができなかった。

本発明は、上記事情に鑑みなされたものであり、その目的は、業務シーケンスの実行に用いられる正規通信を使った悪用を検知することが可能な通信監視システム、通信監視装置および通信監視方法を提供することにある。

上記目的を達成するため、第１の観点に係る通信監視システムは、業務シーケンスに従って送信元機器と送信先機器との間で通信を行い、前記業務シーケンスで規定された業務を構成する複数の処理を実行する業務システムと、前記業務システムの通信で用いられる通信パケットを監視する通信監視装置とを備える。前記通信監視装置は、前記通信パケットに含まれる送信元情報と送信先情報に基づいて、前記複数の処理が前記業務シーケンスに従って実行されているかを判定する。

本発明によれば、業務シーケンスの実行に用いられる正規通信を使った悪用を検知することができる。

図１は、実施形態に係る通信監視システムの機能的な構成を示すブロック図である。 図２は、図１の通信プロトコル悪用検知装置のハードウェア構成を示すブロック図である。 図３は、図１の通信監視システムの通信で用いられる通信パケットの構成を示す図である。 図４は、図１の正規通信テーブルの一例を示す図である。 図５は、図１の正規サービステーブルの一例を示す図である。 図６は、図１の業務シーケンステーブルの一例を示す図である。 図７は、図１の成立待ちシーケンステーブルの一例を示す図である。 図８は、図１の待ちパケットテーブルの一例を示す図である。 図９は、不正通信情報テーブルの一例を示す図である。 図１０（ａ）は、図１の通信監視システムで実行される業務シーケンスに従った正規通信方法の一例を示す図、図１０（ｂ）は、図１０（ａ）の業務シーケンスの実行に用いられる正規通信を使った悪用の一例を示す図、図１０（ｃ）は、図１０（ａ）の業務シーケンスの実行に用いられる正規通信を使った悪用のその他の例を示す図である。 図１１は、正規通信を使った悪用の判定処理を示すフローチャートである。 図１２は、シーケンス成立判定処理を示すフローチャートである。 図１３は、シーケンスタイムアウト判定処理を示すフローチャートである。

本発明は、ＮＥＤＯが推進する総合科学技術・イノベーション会議の戦略的イノベーション創造プログラム（ＳＩＰ）「重要インフラ等におけるサイバーセキュリティの確保」に関する。

実施形態について、図面を参照して説明する。なお、以下に説明する実施形態は特許請求の範囲に係る発明を限定するものではなく、また実施形態の中で説明されている諸要素およびその組み合わせの全てが発明の解決手段に必須であるとは限らない。

図１は、実施形態に係る通信監視システムの機能的な構成を示すブロック図である。通信監視システムは、業務シーケンスで規定された業務を実行する業務システムに適用することができる。業務シーケンスで規定された業務は、複数の処理を実行することができる。業務システムは、この業務を構成する複数の処理を実行することで、業務を構成するサービスを実現することができる。ここで言うサービスとは、ネットワークを介して利用されるサービスである。例えば、ＩＰネットワークで汎用的なサービスである機器を遠隔操作するプロトコル（ｔｅｌｎｅｔ）や、ファイル転送プロトコル（ＦＴＰ）、あるいは、業務システムに固有の運用管理サービスや制御サービスを想定することができる。

業務シーケンスでは、どの機器とどの機器が通信した後に、どの機器とどの機器が通信するかが設定される。業務システムは、これらの機器間での通信に基づいて、業務シーケンスで規定された業務を構成する複数の処理を実行する。この業務システムは、例えば、社会インフラや製造プラントを支える産業制御システム（ＩＣＳ：Ｉｎｄｕｓｔｒｉａｌ Ｃｏｎｔｒｏｌ Ｓｙｓｔｅｍｓ）である。

図１において、通信監視システムには、監視対象システム１０および通信プロトコル悪用検知装置２０が設けられている。監視対象システム１０は業務システムである。通信プロトコル悪用検知装置２０は、監視対象システム１０の通信で用いられる通信パケットを監視する。そして、その通信パケットに含まれる送信元情報と送信先情報に基づいて、業務シーケンスで規定された業務を構成する複数の処理が業務シーケンスに従って実行されているかを判定する。

監視対象システム１０には、各種役割を備えた機器１０Ａ〜１０Ｎ、１２Ａ〜１２Ｎ、１３Ａ〜１３Ｎが設けられている。機器１０Ａ〜１０Ｎ、１２Ａ〜１２Ｎは、ネットワーク１１０を介して接続されている。機器１２Ａ〜１２Ｎ、１３Ａ〜１３Ｎは、ネットワーク１２０を介して接続されている。情報・制御ネットワーク１１０にはミラーポート１１１が接続され、コントロールネットワーク１２０にはミラーポート１２１が接続されている。

例えば、監視対象システム１０が産業制御システムの場合、ネットワーク１１０は情報・制御ネットワーク、ネットワーク１１１はコントロールネットワークである。機器１０Ａ〜１０Ｎは、システム全体の動作を監視するシステム監視サーバや、システムの運行計画を管理するサーバ、保守用サーバなどである。機器１２Ａ〜１２Ｎは、システム監視サーバからの命令に従って、機器１２Ａ〜１２Ｎ、１３Ａ〜１３Ｎに制御命令を送信したり、ログ情報を収集したりする制御サーバなどである。機器１３Ａ〜１３Ｎは、制御サーバの命令に従ってモータの回転数を設定したり、設定情報を収集したりするプログラマブルコントローラ（ｐｒｏｇｒａｍｍａｂｌｅ ｌｏｇｉｃ ｃｏｎｔｒｏｌｌｅｒ：ＰＬＣ）などである。

ミラーポート１１１、１１２は、監視対象システム１０のネットワーク１１０、１２０に流れる通信パケットを収集し、その通信パケットのコピーを通信プロトコル悪用検知装置２０に送信する。

通信プロトコル悪用検知装置２０はミラーポート１１１、１１２に接続されている。通信プロトコル悪用検知装置２０は、監視対象システム１０のネットワーク１１０、１２０に流れる通信パケットを収集および分析することで、正規通信を使った悪用を検知することができる。ここで、正規通信とは、監視対象システム１０で許可される機器１０Ａ〜１０Ｎ、１２Ａ〜１２Ｎ、１３Ａ〜１３Ｎ間において、監視対象システム１０の業務シーケンスで規定されるサービスに関する通信である。正規通信を使った悪用とは、監視対象システム１０で許可される機器１０Ａ〜１０Ｎ、１２Ａ〜１２Ｎ、１３Ａ〜１３Ｎ間において、監視対象システム１０の業務シーケンスで規定されるサービスに関する通信を用いることで、業務シーケンスで規定された通りの順番でサービスが実行されないようにすることなどである。すなわち、監視対象システム１０では、機器１０Ａ〜１０Ｎ、１２Ａ〜１２Ｎ、１３Ａ〜１３Ｎ間での正規通信を複数組み合わせることで業務シーケンスが実行される。この時、監視対象システム１０で許可される機器１０Ａ〜１０Ｎ、１２Ａ〜１２Ｎ、１３Ａ〜１３Ｎ間での正規通信の組み合わせを、業務シーケンスで用いられる正規通信の組み合わせと異ならせることで、正規通信を使った悪用を行うことができる。

通信プロトコル悪用検知装置２０には、パケット収集処理部２１、正規通信判定処理部２２、シーケンスパケット識別処理部２３、シーケンス成立判定処理部２４および不審通信対応処理部２５が設けられている。さらに、通信プロトコル悪用検知装置２０は、正規通信テーブル２０１、正規サービステーブル２０２、業務シーケンステーブル２０３、成立待ちシーケンステーブル２０４、待ちパケットテーブル２０５および不正通信情報テーブル２０６を保持する。

パケット収集処理部２１は、ミラーポート１１１、１２１を介して、監視対象システム１０のネットワーク１１０、１２０に流れる通信パケットを収集および分析し、通信パケットからメタ情報を抽出する。メタ情報は、例えば、通信元機器および通信先機器のＩＰアドレス、通信プロトコル、利用サービスの識別するための送信先ポート番号などである。

正規通信判定処理部２２は、パケット収集処理部２１で抽出されたメタ情報に基づいて、通信先機器が受信した通信パケットが、監視対象システム１０で許可された正規通信パケットかどうかを判定する。通信先機器が受信した通信パケットが正規通信パケットの場合、正規通信パケットはシーケンスパケット識別処理部２３で処理される。通信先機器が受信した通信パケットが正規通信パケットでない場合、不正通信であるため、不審通信対応処理部２５によってアラートを出力するなどの対処処理が実行される。

シーケンスパケット識別処理部２３は、正規通信判定処理部２２で正規通信パケットと判定された通信パケットが、業務シーケンスを構成する通信パケットかどうかを判定する。業務シーケンスを構成する通信パケットと判定された場合は、その通信パケットはシーケンス成立判定処理部２４にて処理される。

シーケンス成立判定処理部２４は、シーケンスパケット識別処理部２３で業務シーケンスを構成すると判定された通信パケットが関わる業務シーケンスが成立したかどうかを判定する。この時、業務シーケンスで規定された業務を構成する複数の処理が業務シーケンスで規定された順序に従って許容時間内に実行された時に業務シーケンスが成立したと判定することができる。

一方、業務シーケンスで規定された業務を構成する複数の処理が業務シーケンスで規定された順序に従って実行されてない時に業務シーケンスが不成立と判定することができる。あるいは、業務シーケンスで規定された業務を構成する複数の処理が業務シーケンスで規定された許容時間内に実行されてない時に業務シーケンスが不成立と判定することができる。

業務シーケンスが成立した場合は、その業務シーケンスを構成する通信パケットは正常な正規通信と判定される。業務シーケンスが不成立の場合は、業務シーケンスを構成する通信パケットは正規通信を使った悪用であると判断される。

不審通信対応処理部２５は、不正通信が検知された場合や、正規通信を使った悪用が検知された場合に、アラートを出力するなどの対処処理を行う。

正規通信テーブル２０１は、監視対象システム１０の通信で許可されている送信元機器と送信先機器を組として登録する。送信元機器および送信先機器は、機器１０Ａ〜１０Ｎ、１２Ａ〜１２Ｎ、１３Ａ〜１３Ｎから選択される。

正規サービステーブル２０２は、監視対象システム１０で使用が許可されているサービスの情報を格納する。このサービスの情報として、監視対象システム１０の業務を構成するサービスを実現する処理に用いられるクライアント機器とサーバ機器を組として設定することができる。

業務シーケンステーブル２０３は、監視対象システム１０で実施される業務について、その通信シーケンスの情報を格納する。この通信シーケンスの情報として、監視対象システム１０の業務を構成するサービスの順序および業務の実行にかかる許容時間を設定することができる。

成立待ちシーケンステーブル２０４は、実行中の業務シーケンスの情報を格納する。この時、成立待ちシーケンステーブル２０４は、実行中の業務シーケンスの次要素を保持することができる。次要素は、業務シーケンスで次に実行されるサービスを示すことができる。

待ちパケットテーブル２０５は、成立待ちシーケンスを構成する通信の情報を格納する。この時、待ちパケットテーブル２０５は、成立待ちシーケンステーブル２０４で特定される業務シーケンスに用いられる待ち状態の通信パケットで指定される送信元機器と送信先機器の組を示すことができる。

不正通信情報テーブル２０６は、正規通信を使った悪用と判断された通信の情報を格納する。この時、不正通信情報テーブル２０６は、正規通信を使った悪用に用いられた送信元機器と送信先機器の組を示すことができる。

そして、正規通信判定処理部２２は、監視対象システム１０の通信で用いられる通信パケットに含まれる送信元情報と送信先情報と、正規通信テーブル２０１に登録された送信元機器と送信先機器との照合結果に基づいて、その通信パケットが正規通信パケットかどうかを判定する。

シーケンスパケット識別処理部２３は、正規通信パケットに含まれる送信元情報と送信先情報と、正規サービステーブル２０２に登録されたサービスに関するクライアント機器とサーバ機器との照合結果に基づいて、監視対象システム１０の業務シーケンスを構成する通信パケットがどうかを識別する。

シーケンス成立判定処理部２４は、監視対象システム１０の業務シーケンスを構成する一番目の通信パケットを受信した時に、業務シーケンスの実行状態を示す成立待ちシーケンステーブル２０４を生成する。さらに、シーケンス成立判定処理部２４は、成立待ちシーケンステーブル２０４で特定される業務シーケンスに用いられる待ち状態の通信パケットで指定される送信元機器と送信先機器を組として登録した待ちパケットテーブル２０５を生成する。そして、シーケンス成立判定処理部２４は、業務シーケンスを構成する通信パケットに含まれる送信元情報と送信先情報に基づいて待ちパケットテーブル２０５を参照することで、業務シーケンスを構成する通信パケットが待ち状態の通信パケットかどうかを判定する。そして、シーケンス成立判定処理部２４は、業務シーケンスを構成する通信パケットが待ち状態の通信パケットかどうかの判定結果に基づいて、業務シーケンステーブル２０３で規定された業務を構成する複数の処理が業務シーケンステーブル２０３で規定された順序に従って実行されたかどうかを判断する。

この時、業務シーケンステーブル２０３で規定された業務を構成する複数の処理が業務シーケンステーブル２０３で規定された順序に従って実行されていない時は、業務シーケンスが不成立と判定し、業務シーケンスの実行に用いられる正規通信を使った悪用があると判断することができる。このため、業務シーケンスの実行に用いられる正規通信が悪用された場合においても、その正規通信を使った悪用を検知することが可能となる。

図２は、図１の通信プロトコル悪用検知装置のハードウェア構成を示すブロック図である。
図２において、通信プロトコル悪用検知装置２０には、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２１１、メモリ２１２、記憶装置２１３、インタフェース２１４、入出力装置２１５およびバス２１６が設けられている。

ＣＰＵ２１１は、メモリ２１２内に格納された各種プログラムを実行することにより、通信プロトコル悪用検知装置２０の動作を統括的に制御する。

メモリ２１２は、ＣＰＵ２１１が実行中の各種プログラムを格納したり、ＣＰＵ２１１がプログラム実行中に用いるワークエリアを提供したりする。

記憶装置２１３は、ハードディスクやフラッシュメモリなどの記憶媒体である。記憶装置２１３には、通信監視プログラム２１３Ａおよびテーブル２１３Ｂが格納されている。

ＩＦ２１４a、２１４ｂ、２１４ｎは、通信プロトコル悪用検知装置２０を監視対象システム１０のネットワーク１１０、１２０に接続する。ＩＦ２１４a、２１４ｂ、２１４ｎを複数設けることで、複数のネットワーク１１０、１２０で構成される監視対象システム１０の通信パケットを収集することができる。

入出力装置２１５は、ユーザが各種情報を入力するキーボードおよびマウス、ユーザに情報の出力を行うディスプレイなどである。

バス２１６は、ＣＰＵ２１１、メモリ２１２、記憶装置２１３、ＩＦ２１４a、２１４ｂ、２１４ｎおよび入出力装置２１５を互いに通信可能に接続する。

テーブル２１３Ｂには、図１の正規通信テーブル２０１、正規サービステーブル２０２および業務シーケンステーブル２０３を格納することができる。そして、ＣＰＵ２１１は、通信監視プログラム２１３Ａおよびテーブル２１３Ｂをメモリ２１２に読み出し、テーブル２１３Ｂを参照しつつ通信監視プログラム２１３Ａを実行することにより、パケット収集処理部２１、正規通信判定処理部２２、シーケンスパケット識別処理部２３、シーケンス成立判定処理部２４および不審通信対応処理部２５の機能を実現することができる。

図３は、図１の通信監視システムの通信で用いられる通信パケットの構成を示す図である。
図３において、通信パケットＰＡにはデータＤＡが設定され、データＤＡにはヘッダＨＤが付加されている。ヘッダＨＤには、送信元情報Ｊ１と送信先情報Ｊ２が設定される。送信元情報Ｊ１は、送信元機器のＩＰアドレス、送信先情報Ｊ２は、送信先機器のＩＰアドレスまたは送信先ポート番号を用いることができる。

この時、送信元機器のＩＰアドレスは、業務シーケンスで提供されるサービスを利用するクライアント機器、送信先機器のＩＰアドレスは、クライアント機器にサービスを提供するサーバ機器、送信先ポート番号は、利用サービスの識別するためのサービス識別子をそれぞれ特定するために用いることができる。

図４は、図１の正規通信テーブルの一例を示す図である。
図４において、正規通信テーブル２０１は、監視対象システム１０で許可されている通信について、通信元機器と通信先機器の組と、その組を一意に特定する識別子ＩＤ−１を格納する。識別子ＩＤ−１は列３０１に格納し、通信元機器は列３０２に格納し、通信先機器は列３０３に格納することができる。通信元機器および通信先機器として、例えば、通信元および通信先として選択された機器１０Ａ〜１０Ｎ、１２Ａ〜１２Ｎ、１３Ａ〜１３ＮのＩＰアドレスを格納することができる。

図５は、図１の正規サービステーブルの一例を示す図である。
図５において、正規サービステーブル２０２は、監視対象システム１０で使用が許可されているサービスについて、そのサービスを提供するサーバ機器、そのサービスを利用するクライアント機器、サービスを特定するサービス識別子、そのサービスに対応したサーバ機器とクライアント機器の組を一意に特定する正規サービス識別子ＩＤ−２を格納する。正規サービス識別子ＩＤ−２で特定されるサーバ機器とクライアント機器との組は、図４の正規通信テーブル２０１に格納された通信元機器と通信先機器の組から選択される。この時、正規サービス識別子ＩＤ−２で特定されるサーバ機器とクライアント機器の間の通信にて正規通信を実現することができる。正規サービス識別子ＩＤ−２は列４０１に格納し、サービス識別子は列４０２に格納し、サーバ機器は列４０３に格納し、クライアント機器は列４０４に格納することができる。

図６は、図１の業務シーケンステーブルの一例を示す図である。
図６において、業務シーケンステーブル２０３は、監視対象システム１０で実施される業務について、その通信シーケンスを格納する。具体的には、業務シーケンステーブル２０３は、業務シーケンスを一意に特定する業務シーケンス識別子ＩＤ−３、業務シーケンスを構成する要素の数（要素数）、その業務シーケンスを構成するサービスを特定する正規サービス識別子リスト、その業務シーケンスが開始されてから完了するまでの許容時間を格納する。正規サービス識別子リストには、正規サービス識別子ＩＤ−２が、業務シーケンスを構成するサービスの実行順に列挙される。要素数は、業務シーケンスを構成するサービスの個数である。業務シーケンス識別子ＩＤ−３は列５０１に格納し、要素数は列５０２に格納し、正規サービス識別子リストは列５０３に格納し、許容時間は列５０４に格納することができる。

図７は、図１の成立待ちシーケンステーブルの一例を示す図である。
図７において、成立待ちシーケンステーブル２０４は、シーケンスパケット識別処理部２３にて業務シーケンスを構成すると判定された通信パケットが属する業務シーケンスの進行状態を管理する。

具体的には、成立待ちシーケンステーブル２０４は、成立待ち業務シーケンスを一意に特定する成立待ちシーケンス識別子ＩＤ−４、成立待ち中の業務シーケンスの開始時刻、成立待ちしている業務シーケンスを特定する業務シーケンス識別子ＩＤ−３、当該業務シーケンスの次の実行要素の番号（次要素Ｎｏ）を格納する。成立待ちシーケンス識別子ＩＤ−４は列６０１に格納し、開始時刻は列６０２に格納し、業務シーケンス識別子ＩＤ−３は列６０３に格納し、次要素Ｎｏは列６０４に格納することができる。

図８は、図１の待ちパケットテーブルの一例を示す図である。
図８において、待ちパケットテーブル２０５は、業務シーケンスの成立判定中の成立待ちシーケンスに属する通信パケットの情報を格納する。具体的には、待ちパケットテーブル２０５は、待ちパケットを一意に特定する識別子ＩＤ−５、そのパケットが属する成立待ち業務シーケンスを特定する成立待ちシーケンス識別子ＩＤ−４、当該通信パケットの発生時刻、通信元機器、通信先機器およびサービス識別子を格納する。識別子ＩＤ−５は列７０１に格納し、成立待ちシーケンス識別子ＩＤ−４は列７０２に格納し、発生時刻は列７０３に格納し、通信元機器は列７０４に格納し、通信先機器は列７０５に格納し、サービス識別子は列７０６に格納することができる。

図９は、不正通信情報テーブルの一例を示す図である。
図９において、不正通信情報テーブル２０６は、シーケンス成立判定処理部２４で正規通信を使った悪用と判断された不正通信の情報を格納する。具体的には、不正通信情報テーブル２０６は、不正通信を一意に識別する識別子ＩＤ−６、当該不正通信の発生時刻、不正通信が属するシーケンスを特定する業務シーケンス識別子ＩＤ−３、不正通信に用いられた通信元機器、不正通信に用いられた通信先機器および判定種別を格納する。識別子ＩＤ−６は列８０１に格納し、発生時刻は列８０２に格納し、業務シーケンス識別子ＩＤ−３は列８０３に格納し、通信元機器は列８０４に格納し、通信先機器は列８０５に格納し、判定種別は列８０６に格納することができる。

以下、図６の業務シーケンステーブル２０３に格納された業務シーケンス識別子ＩＤ−３として２が付与された業務シーケンスＳＫ２を例にとって正規通信を使った悪用を具体的に説明する。
図１０（ａ）は、図１の通信監視システムで実行される業務シーケンスに従った正規通信方法の一例を示す図、図１０（ｂ）は、図１０（ａ）の業務シーケンスの実行に用いられる正規通信を使った悪用の一例を示す図、図１０（ｃ）は、図１０（ａ）の業務シーケンスの実行に用いられる正規通信を使った悪用のその他の例を示す図である。

図６の業務シーケンステーブル２０３において、業務シーケンス識別子ＩＤ−３が２の時の正規サービス識別子リストには、３、４、５という正規サービス識別子ＩＤ−２が順に格納されている。

図５に示すように、３という正規サービス識別子ＩＤ−２で特定されるサービスには、クライアント機器として機器１２Ａ、サーバ機器として機器１０Ｂが用いられる。この時、図１０（ａ）に示すように、機器１２Ａと機器１０Ｂとの間で正規通信Ｋ３が行われる。そして、機器１０Ｂは、正規通信Ｋ３に基づいて、３という正規サービス識別子ＩＤ−２で特定されるサービスに対応する処理Ｐ３を実行する。

また、図５に示すように、４という正規サービス識別子ＩＤ−２で特定されるサービスには、クライアント機器として機器１２Ｂ、サーバ機器として機器１３Ａが用いられる。この時、図１０（ａ）に示すように、機器１２Ｂと機器１３Ａとの間で正規通信Ｋ４が行われる。そして、機器１３Ａは、正規通信Ｋ４に基づいて、４という正規サービス識別子ＩＤ−２で特定されるサービスに対応する処理Ｐ４を実行する。

また、図５に示すように、５という正規サービス識別子ＩＤ−２で特定されるサービスには、クライアント機器として機器１２Ｂ、サーバ機器として機器１３Ｂが用いられる。この時、図１０（ａ）に示すように、機器１２Ｂと機器１３Ｂとの間で正規通信Ｋ５が行われる。そして、機器１３Ｂは、正規通信Ｋ５に基づいて、５という正規サービス識別子ＩＤ−２で特定されるサービスに対応する処理Ｐ５を実行する。

ここで、業務シーケンステーブル２０３では許容時間としてＴ１が設定されているものとする。そして、これらの正規通信Ｋ３、Ｋ４、Ｋ５に基づいて処理Ｐ３、Ｐ４、Ｐ５が許容時間Ｔ１内に実行されることにより、業務シーケンステーブル２０３に登録された業務シーケンスＳＫ２が実現される。ここで、正規通信Ｋ３、Ｋ４、Ｋ５に基づいて実行される処理Ｐ３、Ｐ４、Ｐ５が許容時間Ｔ１を超える時は、業務シーケンスＳＫ２が不成立と判断され、正規通信Ｋ３、Ｋ４、Ｋ５を使った悪用と判断することができる。

また、図１０（ｂ）に示すように、正規通信Ｋ３に基づいて処理Ｐ３が実行された後に、正規通信Ｋ５に基づいて処理Ｐ５が実行されたものとする。この場合、正規通信Ｋ４に基づいて実行される処理Ｐ４の抜けが発生する。このため、図６の業務シーケンステーブル２０３において、業務シーケンス識別子ＩＤ−３が２の時の正規サービス識別子リストに登録された３、４、５という正規サービス識別子ＩＤ−２で特定されるサービスがこの順で実行されない。このため、業務シーケンスＳＫ２が不成立と判断され、正規通信Ｋ３、Ｋ５を使った悪用と判断することができる。

ここで、業務シーケンスＳＫ２を構成する一番目の処理Ｐ３に用いられる通信パケットを受信すると、図７に示すように、業務シーケンスＳＫ２の実行状態を示す情報が成立待ちシーケンステーブル２０４に登録される。業務シーケンスＳＫ２には業務シーケンス識別子ＩＤ−３として２が付与されている。このため、成立待ちシーケンステーブル２０４の列６０３には２という業務シーケンス識別子ＩＤ−３が登録され、その時に登録された業務シーケンスＳＫ２を一意に特定する１という成立待ちシーケンス識別子ＩＤ−４が付与される。

また、図８に示すように、業務シーケンスＳＫ２を構成する一番目の処理Ｐ３の次に実行される処理Ｐ４に用いられる情報が待ちパケットテーブル２０５に登録される。業務シーケンスＳＫ２には業務シーケンス識別子ＩＤ−３として２が付与されている。図７に示すように、成立待ちシーケンステーブル２０４において、２という業務シーケンス識別子ＩＤ−３には、１という成立待ちシーケンス識別子ＩＤ−４が付与されている。このため、待ちパケットテーブル２０５には、成立待ちシーケンス識別子ＩＤ−４として１が登録され、その成立待ちの業務シーケンスＳＫ２を一意に特定する２という識別子ＩＤ−５が付与される。また、処理Ｐ４には正規通信Ｋ４が用いられる。このため、待ちパケットテーブル２０５には、正規通信Ｋ４に用いられる通信元機器として機器１２Ｂが登録され、正規通信Ｋ４に用いられる通信先機器として機器１３Ａが登録される。

そして、図１のシーケンス成立判定処理部２４は、正規通信Ｋ４に用いられる通信パケットのヘッダＨＤから抽出された送信元情報Ｊ１を、待ちパケットテーブル２０５に登録された機器１２Ｂに割り当てられたＩＰアドレスと照合するとともに、正規通信Ｋ４に用いられる通信パケットのヘッダＨＤから抽出された送信先情報Ｊ２を、待ちパケットテーブル２０５に登録された機器１３Ａに割り当てられたＩＰアドレスと照合することができる。そして、正規通信Ｋ４に用いられる通信パケットのヘッダＨＤから抽出された送信元情報Ｊ１が、待ちパケットテーブル２０５に登録された機器１２Ｂに割り当てられたＩＰアドレスと一致しないか、または正規通信Ｋ４に用いられる通信パケットのヘッダＨＤから抽出された送信先情報Ｊ２が待ちパケットテーブル２０５に登録された機器１３Ａに割り当てられたＩＰアドレスと一致しない場合、シーケンス成立判定処理部２４は、図１０（ｂ）の正規通信Ｋ４に基づく処理Ｐ４の抜けが発生したと判断することができる。シーケンス成立判定処理部２４は、正規通信Ｋ４に基づく処理Ｐ４の抜けが発生した場合、業務シーケンスＳＫ２が不成立と判断し、正規通信Ｋ３、Ｋ５を使った悪用と判断することができる。

また、図１０（ｃ）に示すように、正規通信Ｋ３に基づいて処理Ｐ３が実行された後に、正規通信Ｋ４−１に基づいて処理Ｐ４−１が実行され、さらに正規通信Ｋ４−２に基づいて処理Ｐ４−２が実行され、その後に正規通信Ｋ５に基づいて処理Ｐ５が実行されたものとする。この場合においても、図６の業務シーケンステーブル２０３において、業務シーケンス識別子ＩＤ−３が２の時の正規サービス識別子リストに登録された３、４、５という正規サービス識別子ＩＤ−２で特定されるサービスがこの順で実行されない。このため、業務シーケンスＳＫ２が不成立と判断され、正規通信Ｋ３、Ｋ４−１、Ｋ４−２、Ｋ５を使った悪用と判断することができる。

図１１は、正規通信を使った悪用の判定処理を示すフローチャートである。
図１１において、パケット収集処理部２１はＩＦ２１４ａ、２１４ｂ、２１４ｎを介し、監視対象システム１０のネットワーク１１０、１２０に流れる通信パケットを受信する（Ｓ９０１）。そして、パケット収集処理部２１は、その通信パケットから、正規通信判定処理部２２の判定処理で使用されるメタ情報を抽出し、正規通信判定処理部２２に渡す。（Ｓ９０２）。

次に、正規通信判定処理部２２は、パケット収集処理部２１で抽出されたメタ情報の通信元機器および通信先機器のＩＰアドレスに基づいて正規通信テーブル２０１を参照し、当該通信のＩＰアドレスの組が正規通信テーブル２０１に格納されているか確認する（Ｓ９０３）。

この時、当該通信のＩＰアドレスの組が正規通信テーブル２０１に格納され、且つ、当該ＩＰアドレスの組が使用許可されているサービスを利用していた場合は正規通信と判定し（Ｓ９０４：ＹＥＳ）、シーケンス成立判定処理部２４に処理を渡す。そのような条件を満たさない場合は不審通信と判定し（Ｓ９０４：ＮＯ）、不審通信対応処理部２５に処理を渡す。

ここで、正規通信パケットのメタ情報として、通信元機器のＩＰアドレス、通信先機器のＩＰアドレスおよび利用サービスの識別するための送信先ポート番号を設定することができる。そして、シーケンスパケット識別処理部２３は、正規通信パケットのメタ情報に基づいて正規サービステーブル２０２を参照することで、使用許可されているサービスの判定を行うことができる。この時、利用サービスの識別するための送信先ポート番号はサービス識別子、通信先機器のＩＰアドレスはサーバ機器、通信元機器のＩＰアドレスはクライアント機器に対応せることができる。そして、正規通信パケットのメタ情報に、これらの情報の組が正規サービステーブル２０２に格納されている場合、許可されているサービスの利用と判定することができる。

次に、シーケンス成立判定処理部２４は、正規通信と判定された通信パケットに基づいて、業務シーケンスが正常に実施されたかどうかを判定することで、シーケンスの成立または不成立を判断する（Ｓ９０５）。シーケンスの不成立とは、シーケンス途中にシーケンスを構成すべき通信パケットの抜けが生じたり、通信パケットの発生順番の入れ替えが発生したり、通信パケットの重複が発生したりすることである。

シーケンス成立判定処理部２４は、シーケンスが不成立の場合（Ｓ９０６：ＹＥＳ）、正規通信を使った悪用と判定し、不審通信対応処理部２５に処理を渡す。シーケンスが不成立でない場合（Ｓ９０６：ＮＯ）、パケット受信処理（Ｓ９０１）に戻り、次の通信パケットを待つ。

シーケンス成立判定処理部２４が正規通信を使った悪用と判定すると、不審通信対応処理部２５は、不正通信や正規通信を使った悪用を検知した際の対処処理を行う（Ｓ９０７）。不正通信や正規通信を使った悪用に使われた通信パケットのメタ情報から抽出される、不正通信や正規通信を使った悪用に用いられた機器のＩＰアドレスを出力したり、不正通信や正規通信を使った悪用の判定理由をアラートとして出力する。

図１２は、シーケンス成立判定処理を示すフローチャートである。
図１２において、シーケンスパケット識別処理部２３は、正規通信パケットの送信元機器のＩＰアドレスに基づいてクライアント機器を特定するとともに、正規通信パケットの送信先機器のＩＰアドレスに基づいてサーバ機器を特定する。さらに、シーケンスパケット識別処理部２２は、正規通信パケットの送信先ポート番号に基づいて、利用サービスの識別するためのサービス識別子を特定する。

そして、シーケンスパケット識別処理部２３は、それらのクライアント機器、サーバ機器およびサービス識別子に基づいて、正規サービステーブル２０２を参照することにより、正規サービス識別子ＩＤ−２を特定する。そして、シーケンスパケット識別処理部２２は、正規サービス識別子ＩＤ−２に基づいて業務シーケンステーブル２０３を参照し、その正規サービス識別子ＩＤ−２が、業務シーケンステーブル２０３の列５０３の正規サービスＩＤリストに含まれているかを確認する（Ｓ１００１）。

シーケンスパケット識別処理部２３は、正規サービス識別子ＩＤ−２が正規サービスＩＤリストに含まれている場合は、業務シーケンスを構成する通信と判定する（Ｓ１００２：ＹＥＳ）。正規サービス識別子ＩＤ−２が正規サービスＩＤリストに含まれていない場合は、業務シーケンスではない通信と判定し（Ｓ１００２：ＮＯ）、Ｓ１００１に処理を戻す。

次に、シーケンス成立判定処理部２４は、業務シーケンスを構成する通信の場合、正規サービス識別子ＩＤ−２がどの業務シーケンスに対応するかを特定する業務シーケンス識別子ＩＤ−３を、業務シーケンステーブル２０３から取得する（Ｓ１００３）。例えば、図６において、正規サービス識別子ＩＤ−２が１の場合、業務シーケンス識別子ＩＤ−３は１となり、正規サービス識別子ＩＤ−２が３の場合、業務シーケンス識別子ＩＤ−３は２となる。

次に、シーケンス成立判定処理部２４は、業務シーケンス識別子ＩＤ−３が成立待ちシーケンステーブル２０４に登録されているか確認する。業務シーケンス識別子ＩＤ−３が成立待ちシーケンステーブル２０４に登録されていない場合は新規シーケンス待ちとなり（Ｓ１００４：ＹＥＳ）、この新規シーケンスに関するシーケンス待ち情報（開始時刻、業務シーケンス識別子ＩＤ−３および次要素Ｎｏ）を成立待ちシーケンステーブル２０４に格納するとともに、このシーケンス待ち情報に成立待ちシーケンス識別子ＩＤ−４を付与する（Ｓ１００５）。さらに、シーケンス成立判定処理部２４は、当該正規通信の通信パケットの情報（成立待ちシーケンス識別子ＩＤ−４、当該通信パケットの発生時刻、通信元機器、通信先機器およびサービス識別子）を待ちパケットテーブル２０５に登録する（Ｓ１００６）。

一方、新規シーケンス待ちでない場合（Ｓ１００４：ＮＯ）、シーケンス成立判定処理部２４は、当該通信パケットが、成立待ちシーケンステーブル２０４で待ち受けられているかどうかを確認する。成立待ちシーケンステーブル２０４には、待ち受け中の業務シーケンスの業務シーケンス識別子ＩＤ−３と次要素Ｎｏが格納されている。シーケンス成立判定処理部２４は、業務シーケンス識別子ＩＤ−３および次要素Ｎｏに基づいて、待ち受けている通信パケットを特定するための正規サービス識別子ＩＤ−２を業務シーケンステーブル２０３から取得する。

そして、シーケンス成立判定処理部２４は、正規サービス識別子ＩＤ−２に基づいて正規サービステーブル２０２を参照し、待ち受け通信パケットを特定する。待ち受け通信パケットと判定された場合は（Ｓ１００７：ＹＥＳ）、業務シーケンステーブル２０３の業務シーケンス識別子ＩＤ−３に関連する要素数と、成立待ちシーケンステーブル２０４の業務シーケンス識別子ＩＤ−３に関連する次要素Ｎｏを比較し、次の待ち要素がなければ、シーケンス成立と判定する（Ｓ１００８：ＹＥＳ）。そして、シーケンス成立判定処理部２４は、成立となった業務シーケンスの情報を成立待ちシーケンステーブル２０４から削除するとともに、その業務シーケンスに関連する通信パケットの情報を待ちパケットテーブル２０５から削除する（Ｓ１０１１）。

一方、次の待ち要素があれば、業務シーケンス成立待ち途中であると判定する（Ｓ１００８：ＮＯ）。そして、シーケンス成立判定処理部２４は、成立待ちシーケンステーブル２０４を更新し、業務シーケンス成立待ち途中の業務シーケンス識別子に関連する次要素Ｎｏを１つ進める（Ｓ１００９）。

一方、待ち受け通信パケットでない場合は（Ｓ１００７：ＮＯ）、当該業務シーケンスは不成立となるため、正規通信を使った悪用と判定し、当該業務シーケンスに関する情報（当該不正通信の発生時刻、業務シーケンス識別子ＩＤ−３、通信元機器、通信先機器および判定種別）を不正通信情報テーブル２０６に登録する（Ｓ１０１０）。そして、不成立となった業務シーケンスの情報を成立待ちシーケンステーブル２０４から削除するとともに、その業務シーケンスに関連する通信パケットの情報を待ちパケットテーブル２０５から削除する（Ｓ１０１１）。

図１３は、シーケンスタイムアウト判定処理を示すフローチャートである。この処理は、シーケンス成立判定処理部２３において、ある所定の周期（例えば１秒毎）で実施される。
図１３において、成立待ちシーケンステーブル２０４に登録されている業務シーケンスの開始時刻と現在の時刻を比較する。そして、業務シーケンスの開始時刻からの経過時間が、その業務シーケンスに許されている許容時間を超えている場合はタイムアウトであると判定する（Ｓ１１０１：ＹＥＳ）。この許容時間は、図５の業務シーケンステーブル２０３の列５０４で設定されている許容時間である。その業務シーケンスに許されている許容時間を超えていない場合は（Ｓ１１０１：ＮＯ）、処理を終了する。

シーケンス成立判定処理部２３は、タイムアウトとなった業務シーケンスを、正規通信を使った悪用によるもの判定し、不正通信情報テーブル２０６に登録する（Ｓ１１０２）。そして、不成立となった業務シーケンスの情報を成立待ちシーケンステーブル２０４から削除するとともに、その業務シーケンスに関連する通信パケットの情報を待ちパケットテーブル２０５から削除する（Ｓ１１０３）。

以上、説明したように、上述した通信プロトコル悪用検知装置２０は、正規通信を使ったサービスが業務シーケンスの規定通りに実行されているかどうかを判断することができ、業務シーケンスの実行に用いられる正規通信を使った悪用を検知することができる。

１ 監視対象システム、２ 通信プロトコル悪用検知装置２０１ パケット収集処理部、２２ 正規通信判定処理部、２３ シーケンスパケット識別処理部、２４ シーケンス成立判定処理部、２５ 不審通信対応処理部、２０１ 正規通信テーブル、２０２ 正規サービステーブル、２０３ 業務シーケンステーブル、２０４ 成立待ちシーケンステーブル、２０５ 待ちパケットテーブル、２０６ 不正通信情報テーブル、２１１ ＣＰＵ、２１２ メモリ、２１３ 記憶装置、２１４ インタフェース、２１５ 入出力装置、２１６ バス

Claims (10)

1. 業務シーケンスに従って送信元機器と送信先機器との間で通信を行い、前記業務シーケンスで規定された業務を構成する複数の処理を実行する業務システムと、
   前記業務システムの通信で用いられる通信パケットを監視する通信監視装置とを備え、
   前記通信監視装置は、前記通信パケットに含まれる送信元情報と送信先情報に基づいて、前記複数の処理が前記業務シーケンスに従って実行されているかを判定し、
   前記通信監視装置は、前記業務シーケンスで規定された許容時間内に、前記業務シーケンスで指定された送信元機器と送信先機器との間の通信に基づいて、前記業務シーケンスで規定された業務を構成する複数の処理が完了しない場合、前記送信元機器と前記送信先機器との間の正規通信を用いた悪用と判断する通信監視システム。
2. 業務シーケンスに従って送信元機器と送信先機器との間で通信を行い、前記業務シーケンスで規定された業務を構成する複数の処理を実行する業務システムと、
   前記業務システムの通信で用いられる通信パケットを監視する通信監視装置とを備え、
   前記通信監視装置は、前記通信パケットに含まれる送信元情報と送信先情報に基づいて、前記複数の処理が前記業務シーケンスに従って実行されているかを判定し、
   前記通信監視装置は、
   前記業務システムの通信で用いられる通信パケットを収集するパケット収集処理部と、
   前記通信パケットに含まれる送信元情報と送信先情報に基づいて、前記通信パケットが正規通信パケットかどうかを判定する正規通信判定処理部と、
   前記正規通信パケットに含まれる送信元情報と送信先情報に基づいて、前記正規通信パケットが前記業務シーケンスを構成する通信パケットがどうかを識別するシーケンスパケット識別処理部と、
   前記業務シーケンスを構成する通信パケットに含まれる送信元情報と送信先情報に基づいて、前記業務シーケンスで規定された業務を構成する複数の処理が前記業務シーケンスで規定された順序に従って実行されたかどうかを判断するシーケンス成立判定処理部とを備える通信監視システム。
3. 前記業務システムの通信で許可される送信元機器と送信先機器を組として登録した正規通信テーブルと、
   前記業務を構成する処理に用いられるクライアント機器とサーバ機器を組として登録した正規サービステーブルと、
   前記業務を構成する処理の順序を登録した業務シーケンステーブルとを備え、
   前記正規通信判定処理部は、前記業務システムの通信で用いられる通信パケットに含まれる送信元情報と送信先情報と、前記正規通信テーブルに登録された送信元機器と送信先機器との照合結果に基づいて、前記通信パケットが正規通信パケットかどうかを判定し、
   前記シーケンスパケット識別処理部は、前記正規通信パケットに含まれる送信元情報と送信先情報と、前記正規サービステーブルに登録された処理に関するクライアント機器とサーバ機器との照合結果に基づいて、前記業務シーケンスを構成する通信パケットがどうかを識別し、
   前記シーケンス成立判定処理部は、
   前記業務シーケンスを構成する一番目の処理に用いられる通信パケットを受信した時に、前記業務シーケンスの実行状態を示す成立待ちシーケンステーブルを生成し、
   前記成立待ちシーケンステーブルで特定される業務シーケンスに用いられる待ち状態の通信パケットで指定される送信元機器と送信先機器を組として登録した待ちパケットテーブルを生成し、
   前記業務シーケンスを構成する通信パケットに含まれる送信元情報と送信先情報に基づいて前記待ちパケットテーブルを参照することで、前記通信パケットが前記待ち状態の通信パケットかどうかを判定し、
   前記通信パケットが前記待ち状態の通信パケットかどうかの判定結果に基づいて、前記業務シーケンステーブルで規定された業務を構成する複数の処理が前記業務シーケンステーブルで規定された順序に従って実行されたかどうかを判断する請求項２に記載の通信監視システム。
4. 前記送信元情報は前記送信元機器のＩＰアドレスであり、前記送信先情報は前記送信先機器のＩＰアドレスまたは送信先ポート番号である請求項１ないし３のいずれか一項に記載の通信監視システム。
5. 前記通信監視装置は、
   前記業務シーケンスで規定された順序に従って前記処理が実行されていない時に前記業務シーケンスが不成立と判定し、
   前記業務シーケンスが不成立の場合、前記送信元機器と前記送信先機器との間の正規通信を用いた悪用と判断する請求項１ないし４のいずれか一項に記載の通信監視システム。
6. 前記通信監視装置は、前記業務シーケンスが実行されている時に、前記業務シーケンスで規定された業務を構成する処理の抜けまたは重複あった時に前記正規通信を用いた悪用と判断する請求項５記載の通信監視システム。
7. 業務シーケンスで用いられる通信パケットを監視し、
   前記通信パケットに含まれる送信元情報と送信先情報に基づいて、前記業務シーケンスで規定された業務を構成する複数の処理が前記業務シーケンスに従って実行されているかを判定し、
   前記業務シーケンスで規定された許容時間内に、前記業務シーケンスで指定された送信元機器と送信先機器との間の通信に基づいて、前記業務シーケンスで規定された業務を構成する複数の処理が完了しない場合、前記送信元機器と前記送信先機器との間の正規通信を用いた悪用と判断する通信監視装置。
8. 業務シーケンスで用いられる通信パケットを監視し、
   前記通信パケットに含まれる送信元情報と送信先情報に基づいて、前記業務シーケンスで規定された業務を構成する複数の処理が前記業務シーケンスに従って実行されているかを判定し、
   前記通信パケットを収集するパケット収集処理部と、
   前記通信パケットに含まれる送信元情報と送信先情報に基づいて、前記通信パケットが正規通信パケットかどうかを判定する正規通信判定処理部と、
   前記正規通信パケットに含まれる送信元情報と送信先情報に基づいて、前記正規通信パケットが前記業務シーケンスを構成する通信パケットがどうかを識別するシーケンスパケット識別処理部と、
   前記業務シーケンスを構成する通信パケットに含まれる送信元情報と送信先情報に基づいて、前記業務シーケンスで規定された業務を構成する複数の処理が前記業務シーケンスで規定された順序に従って実行されたかどうかを判断するシーケンス成立判定処理部とを備える通信監視装置。
9. 業務シーケンスで用いられる通信パケットを監視し、
   前記通信パケットに含まれる送信元情報と送信先情報に基づいて、前記業務シーケンスで規定された業務を構成する複数の処理が前記業務シーケンスに従って実行されているかをプロセッサにより判定し、
   前記業務シーケンスに従って送信元機器と送信先機器との間で通信を行う業務システムから通信パケットを収集し、
   前記通信パケットに含まれる送信元情報と送信先情報に基づいて、前記通信パケットが正規通信パケットかどうかを判定し、
   前記正規通信と判定された通信パケットに含まれる送信元情報と送信先情報に基づいて、前記正規通信パケットが前記業務シーケンスを構成する通信パケットがどうかを識別し、
   前記業務シーケンスを構成する通信パケットに含まれる送信元情報と送信先情報に基づいて、前記業務シーケンスで規定された業務を構成する複数の処理が前記業務シーケンスで規定された順序に従って実行されたかどうかを判断する通信監視方法。
10. 業務シーケンスで用いられる通信パケットを監視し、
    前記通信パケットに含まれる送信元情報と送信先情報に基づいて、前記業務シーケンスで規定された業務を構成する複数の処理が前記業務シーケンスに従って実行されているかをプロセッサにより判定し、
    前記業務シーケンスで規定された順序に従って前記処理が実行された時に前記業務シーケンスが成立したと判定し、
    前記業務シーケンスで規定された順序に従って前記処理が実行されていない時に前記業務シーケンスが不成立と判定し、
    前記業務シーケンスが不成立の場合、業務システムの通信で用いられる送信元機器と送信先機器との間の正規通信を用いた悪用と判断し、
    前記業務システムの通信で用いられる送信元機器と送信先機器の組を正規通信テーブルに登録し、
    前記業務を構成する処理に用いられるクライアント機器とサーバ機器の組を正規サービステーブルに登録し、
    前記業務を構成する処理の順序を業務シーケンステーブルに登録し、
    前記業務システムの通信で用いられる通信パケットに含まれる送信元情報と送信先情報と、前記正規通信テーブルに登録された送信元機器と送信先機器との照合結果に基づいて、前記通信パケットが正規通信パケットかどうかを判定し、
    前記正規通信パケットに含まれる送信元情報と送信先情報と、前記正規サービステーブルに登録された処理に関するクライアント機器とサーバ機器との照合結果に基づいて、前記業務シーケンスを構成する通信パケットがどうかを識別し、
    前記業務シーケンスを構成する一番目の処理に用いられる通信パケットを受信した時に、前記業務シーケンスの実行状態を示す成立待ちシーケンステーブルを生成し、
    前記成立待ちシーケンステーブルで特定される業務シーケンスに用いられる待ち状態の通信パケットで指定される送信元機器と送信先機器を組として登録した待ちパケットテーブルを生成し、
    前記業務シーケンスを構成する通信パケットに含まれる送信元情報と送信先情報に基づいて前記待ちパケットテーブルを参照することで、前記通信パケットが前記待ち状態の通信パケットかどうかを判定し、
    前記通信パケットが前記待ち状態の通信パケットかどうかの判定結果に基づいて、前記業務シーケンステーブルで規定された業務を構成する複数の処理が前記業務シーケンステーブルで規定された順序に従って実行されたかどうかを判断する通信監視方法。

Images