JP6023738B2

JP6023738B2 - Transmission packet analysis system, transmission packet analysis device, and transmission packet analysis program

Info

Publication number: JP6023738B2
Application number: JP2014056371A
Authority: JP
Inventors: ちあき城野; 真純日池; 直山内; 誠司西野; 和樹近藤
Original assignee: Mitsubishi Space Software Co Ltd
Current assignee: Mitsubishi Space Software Co Ltd
Priority date: 2014-03-19
Filing date: 2014-03-19
Publication date: 2016-11-09
Anticipated expiration: 2034-03-19
Also published as: JP2015179955A

Description

本発明は、送信パケットを解析するための技術に関するものである。 The present invention relates to a technique for analyzing a transmission packet.

従来のパケット解析システムは、送信パケットと受信パケットとの両方をキャプチャし、送信データと受信データとを復元する。 A conventional packet analysis system captures both transmission packets and reception packets and restores transmission data and reception data.

しかし、情報漏洩を調査したい場合、送信データと受信データとのうちの送信データだけを検査すれば、情報漏洩を調査することができる。
また、Ｗｅｂサーバから受信される受信データは画像および音声などを含む場合も多いため、Ｗｅｂサーバから受信される受信データの量はＷｅｂサーバへ送信される送信データの量と比較して多い。
そして、情報漏洩の調査に不要な受信パケットを解析するために、多くの記憶容量と多くの処理時間とを費やしてしまう。
そのため、従来のパケット解析システムは、大容量の記憶装置および高性能なコンピュータが必要であり、導入することが困難な場合もあった。 However, when it is desired to investigate information leakage, information leakage can be investigated by examining only transmission data of transmission data and reception data.
In addition, since the reception data received from the Web server often includes images and sounds, the amount of reception data received from the Web server is larger than the amount of transmission data transmitted to the Web server.
Then, in order to analyze a received packet that is unnecessary for investigating information leakage, a lot of storage capacity and a lot of processing time are consumed.
Therefore, the conventional packet analysis system requires a large-capacity storage device and a high-performance computer and may be difficult to introduce.

特開２００７−１７３９３１号公報JP 2007-173931 A

本発明は、送信パケットと受信パケットとのうちの送信パケットだけを解析できるようにすることを目的とする。 An object of the present invention is to make it possible to analyze only a transmission packet of a transmission packet and a reception packet.

本発明の送信パケット解析システムは、
ローカルエリアネットワークに接続する内部装置とインターネットに接続する外部装置との間で通信される通信パケットを受信し、受信した前記通信パケットを送信先へ中継し、受信した前記通信パケットのうちで前記内部装置から前記外部装置へ送信される送信パケットだけを出力する中継装置と、
前記中継装置から出力された前記送信パケットを取得し、取得した前記送信パケットを解析する送信パケット解析装置とを備える。 The transmission packet analysis system of the present invention is
Receives a communication packet communicated between an internal device connected to a local area network and an external device connected to the Internet, relays the received communication packet to a destination, and among the received communication packets, the internal packet A relay device that outputs only transmission packets transmitted from the device to the external device;
A transmission packet analysis device that acquires the transmission packet output from the relay device and analyzes the acquired transmission packet.

前記中継装置は、前記送信パケットだけを前記送信パケット解析装置へ出力する設定がされたスイッチ装置またはネットワークタップ装置である。 The relay device is a switch device or a network tap device that is set to output only the transmission packet to the transmission packet analysis device.

前記送信パケット解析システムは、
ローカルエリアネットワークに接続する内部装置とインターネットに接続する外部装置との間で通信される通信パケットを受信し、受信した前記通信パケットを送信先へ中継し、受信した前記通信パケットを出力する中継装置と、
前記中継装置から出力された前記通信パケットを取得し、取得した前記通信パケットのうちで前記内部装置から前記外部装置へ送信される送信パケットだけを解析する送信パケット解析装置とを備える。 The transmission packet analysis system includes:
A relay device that receives a communication packet communicated between an internal device connected to a local area network and an external device connected to the Internet, relays the received communication packet to a destination, and outputs the received communication packet When,
A transmission packet analyzing device that acquires the communication packet output from the relay device and analyzes only the transmission packet transmitted from the internal device to the external device among the acquired communication packets.

前記送信パケット解析装置は、
前記中継装置から出力される前記通信パケットを取得する通信パケット取得部と、
前記通信パケット取得部によって取得された前記通信パケットに含まれるヘッダの情報に基づいて、前記通信パケットが前記送信パケットであるか判定する通信パケットフィルタ部と、
前記通信パケットフィルタ部によって前記通信パケットが前記送信パケットであると判定された場合、前記通信パケットを解析する送信パケット解析部とを備える。 The transmission packet analysis device includes:
A communication packet acquisition unit for acquiring the communication packet output from the relay device;
A communication packet filter unit for determining whether the communication packet is the transmission packet based on information of a header included in the communication packet acquired by the communication packet acquisition unit;
A transmission packet analyzing unit that analyzes the communication packet when the communication packet filter unit determines that the communication packet is the transmission packet;

前記通信パケットフィルタ部は、
前記通信パケットが前記送信パケットである場合、前記通信パケットを記憶部に記憶し、
前記通信パケットが前記送信パケットでない場合、前記通信パケットを前記記憶部に記憶せずに前記通信パケットを破棄する。 The communication packet filter unit
If the communication packet is the transmission packet, store the communication packet in a storage unit,
If the communication packet is not the transmission packet, the communication packet is discarded without storing the communication packet in the storage unit.

前記送信パケット解析部は、
１つ以上の送信パケットのそれぞれに含まれる送信データを用いて、各送信データを含んだセッションファイルを生成するセッション復元部と、
前記セッション復元部によって生成された前記セッションファイルに、前記内部装置から前記外部装置へ送信された送信ファイルが含まれるか判定するセッション解析部と、
前記セッション解析部によって前記セッションファイルに前記送信ファイルが含まれると判定された場合、前記セッションファイルに含まれる前記送信ファイルを検査する送信ファイル検査部とを備える。 The transmission packet analysis unit
A session restoration unit that generates a session file including each transmission data by using transmission data included in each of the one or more transmission packets;
A session analysis unit for determining whether the transmission file transmitted from the internal device to the external device is included in the session file generated by the session restoration unit;
A transmission file inspection unit that inspects the transmission file included in the session file when the session analysis unit determines that the transmission file is included in the session file;

本発明の送信パケット解析装置は、
ローカルエリアネットワークに接続する内部装置とインターネットに接続する外部装置との間で通信される通信パケットを中継する中継装置から、前記通信パケットを取得する通信パケット取得部と、
前記通信パケット取得部によって取得された前記通信パケットに含まれるヘッダの情報に基づいて、前記通信パケットが前記内部装置から前記外部装置へ送信された送信パケットであるか判定する通信パケットフィルタ部と、
前記通信パケットフィルタ部によって前記通信パケットが前記送信パケットであると判定された場合、前記通信パケットを解析する送信パケット解析部とを備える。 The transmission packet analysis device of the present invention is
A communication packet acquisition unit that acquires the communication packet from a relay device that relays a communication packet communicated between an internal device connected to the local area network and an external device connected to the Internet;
A communication packet filter unit that determines whether the communication packet is a transmission packet transmitted from the internal device to the external device based on information of a header included in the communication packet acquired by the communication packet acquisition unit;
A transmission packet analyzing unit that analyzes the communication packet when the communication packet filter unit determines that the communication packet is the transmission packet;

本発明の送信パケット解析プログラムは、
ローカルエリアネットワークに接続する内部装置とインターネットに接続する外部装置との間で通信される通信パケットを中継する中継装置から、前記通信パケットを取得する通信パケット取得処理と、
前記通信パケット取得処理によって取得された前記通信パケットに含まれるヘッダの情報に基づいて、前記通信パケットが前記内部装置から前記外部装置へ送信された送信パケットであるか判定する通信パケットフィルタ処理と、
前記通信パケットフィルタ処理によって前記通信パケットが前記送信パケットであると判定された場合、前記通信パケットを解析する送信パケット解析処理と
をコンピュータに実行させる。 The transmission packet analysis program of the present invention is
A communication packet acquisition process for acquiring the communication packet from a relay device that relays a communication packet communicated between an internal device connected to the local area network and an external device connected to the Internet;
A communication packet filtering process for determining whether the communication packet is a transmission packet transmitted from the internal apparatus to the external apparatus, based on information of a header included in the communication packet acquired by the communication packet acquisition process;
If the communication packet filtering process determines that the communication packet is the transmission packet, the computer is caused to execute a transmission packet analysis process for analyzing the communication packet.

前記通信パケットフィルタ処理は、
前記通信パケットが前記送信パケットである場合、前記通信パケットを記憶部に記憶し、
前記通信パケットが前記送信パケットでない場合、前記通信パケットを前記記憶部に記憶せずに前記通信パケットを破棄する。 The communication packet filter process is:
If the communication packet is the transmission packet, store the communication packet in a storage unit,
If the communication packet is not the transmission packet, the communication packet is discarded without storing the communication packet in the storage unit.

前記送信パケット解析処理は、
１つ以上の送信パケットのそれぞれに含まれる送信データを用いて、各送信データを含んだセッションファイルを生成するセッション復元処理と、
前記セッション復元処理によって生成された前記セッションファイルに、前記内部装置から前記外部装置へ送信された送信ファイルが含まれるか判定するセッション解析処理と、
前記セッション解析処理によって前記セッションファイルに前記送信ファイルが含まれると判定された場合、前記セッションファイルに含まれる前記送信ファイルを検査する送信ファイル検査処理とを備える。 The transmission packet analysis process includes:
A session restoration process for generating a session file including each transmission data using transmission data included in each of the one or more transmission packets;
A session analysis process for determining whether the session file generated by the session restoration process includes a transmission file transmitted from the internal device to the external device;
A transmission file inspection process for inspecting the transmission file included in the session file when the session analysis process determines that the transmission file is included in the session file.

本発明によれば、送信パケットと受信パケットとのうちの送信パケットだけを解析することができる。 According to the present invention, it is possible to analyze only the transmission packet of the transmission packet and the reception packet.

実施の形態１における送信パケット解析システム１００の構成図である。1 is a configuration diagram of a transmission packet analysis system 100 according to Embodiment 1. FIG. 実施の形態１における通信パケット１９０の構成図である。3 is a configuration diagram of a communication packet 190 according to Embodiment 1. FIG. 実施の形態１における送信パケット取得方法のフローチャートである。4 is a flowchart of a transmission packet acquisition method in the first embodiment. 実施の形態１における送信パケット解析装置２００のハードウェア構成図である。3 is a hardware configuration diagram of a transmission packet analysis apparatus 200 according to Embodiment 1. FIG. 実施の形態２における送信パケット解析システム１００の構成図である。6 is a configuration diagram of a transmission packet analysis system 100 according to Embodiment 2. FIG. 実施の形態２における送信パケット取得方法のフローチャートである。10 is a flowchart of a transmission packet acquisition method in the second embodiment. 実施の形態３における送信パケット解析システム１００の構成図である。FIG. 10 is a configuration diagram of a transmission packet analysis system 100 in a third embodiment. 実施の形態３におけるフィルタファイル２９１の一例を示す図である。FIG. 20 is a diagram illustrating an example of a filter file 291 according to Embodiment 3. 実施の形態３における送信パケット取得方法のフローチャートである。10 is a flowchart of a transmission packet acquisition method according to Embodiment 3. 実施の形態４における送信パケット解析装置２００が備える送信パケット解析部３００の機能構成図である。FIG. 10 is a functional configuration diagram of a transmission packet analysis unit 300 included in a transmission packet analysis device 200 according to Embodiment 4. 実施の形態４における送信パケット解析装置２００が実行する送信パケット解析処理のフローチャートである。14 is a flowchart of a transmission packet analysis process executed by the transmission packet analysis apparatus 200 according to the fourth embodiment. 実施の形態４におけるセッションファイル２９２の一例を示す図である。FIG. 20 is a diagram illustrating an example of a session file 292 according to Embodiment 4.

実施の形態１．
スイッチ装置（中継装置の一例）が送信パケットだけを送信パケット解析装置へ出力する形態について説明する。 Embodiment 1 FIG.
A mode in which the switch device (an example of the relay device) outputs only the transmission packet to the transmission packet analysis device will be described.

図１は、実施の形態１における送信パケット解析システム１００の構成図である。
実施の形態１における送信パケット解析システム１００の構成について、図１に基づいて説明する。但し、送信パケット解析システム１００の構成は図１と異なる構成であっても構わない。 FIG. 1 is a configuration diagram of a transmission packet analysis system 100 according to the first embodiment.
The configuration of transmission packet analysis system 100 according to Embodiment 1 will be described with reference to FIG. However, the configuration of the transmission packet analysis system 100 may be different from that in FIG.

送信パケット解析システム１００は、受信パケット１０２と送信パケット１０１とのうちの送信パケット１０１だけを解析するシステムである。
送信パケット１０１は、クライアント装置１１０がサーバ装置１２０へ送信する通信パケット１９０（図２参照）である。ＨＴＴＰの要求メッセージは、送信パケット１０１によって通信されるアプリケーションデータの一例である。ＨＴＴＰはＨｙｐｅｒＴｅｘｔ
ＴｒａｎｓｆｅｒＰｒｏｔｏｃｏｌの略称である。
受信パケット１０２は、クライアント装置１１０がサーバ装置１２０から受信する通信パケット１９０（図２参照）である。ＨＴＴＰの応答メッセージは、受信パケット１０２によって通信されるアプリケーションデータの一例である。 The transmission packet analysis system 100 is a system that analyzes only the transmission packet 101 out of the reception packet 102 and the transmission packet 101.
The transmission packet 101 is a communication packet 190 (see FIG. 2) that the client device 110 transmits to the server device 120. The HTTP request message is an example of application data communicated by the transmission packet 101. HTTP is HyperText
Abbreviation for Transfer Protocol.
The received packet 102 is a communication packet 190 (see FIG. 2) that the client device 110 receives from the server device 120. The HTTP response message is an example of application data communicated by the received packet 102.

送信パケット解析システム１００は、クライアント装置１１０（内部装置の一例）と、サーバ装置１２０（外部装置の一例）と、スイッチ装置１３０（中継装置の一例）と、送信パケット解析装置２００とを備える。
クライアント装置１１０は、ローカルエリアネットワーク１１９に接続し、サーバ装置１２０へ送信パケット１０１を送信し、サーバ装置１２０から受信パケット１０２を受信する。ＬＡＮはローカルエリアネットワーク１１９の略称である。
サーバ装置１２０は、インターネット１２９に接続し、クライアント装置１１０から送信パケット１０１を受信し、クライアント装置１１０へ受信パケット１０２を送信する。 The transmission packet analysis system 100 includes a client device 110 (an example of an internal device), a server device 120 (an example of an external device), a switch device 130 (an example of a relay device), and a transmission packet analysis device 200.
The client device 110 is connected to the local area network 119, transmits the transmission packet 101 to the server device 120, and receives the reception packet 102 from the server device 120. LAN is an abbreviation for local area network 119.
The server device 120 is connected to the Internet 129, receives the transmission packet 101 from the client device 110, and transmits the reception packet 102 to the client device 110.

スイッチ装置１３０は、ローカルエリアネットワーク１１９とインターネット１２９とに接続し、クライアント装置１１０とサーバ装置１２０との間で通信される通信パケット１９０を中継する装置である。スイッチ装置１３０はネットワークスイッチとも呼ばれる。 The switch device 130 is a device that connects to the local area network 119 and the Internet 129 and relays the communication packet 190 communicated between the client device 110 and the server device 120. The switch device 130 is also called a network switch.

スイッチ装置１３０は、ＬＡＮポート１３１と、インターネットポート１３２と、ミラーポート１３３とを備える。
ＬＡＮポート１３１は、ローカルエリアネットワーク１１９に繋がる通信ケーブルが接続されるポートである。
インターネットポート１３２は、インターネット１２９に繋がる通信ケーブルが接続されるポートである。
ミラーポート１３３は、送信パケット解析装置２００に繋がる通信ケーブルが接続されるポートである。 The switch device 130 includes a LAN port 131, an Internet port 132, and a mirror port 133.
The LAN port 131 is a port to which a communication cable connected to the local area network 119 is connected.
The Internet port 132 is a port to which a communication cable connected to the Internet 129 is connected.
The mirror port 133 is a port to which a communication cable connected to the transmission packet analysis device 200 is connected.

スイッチ装置１３０は、ＬＡＮポート１３１に入力された送信パケット１０１をインターネットポート１３２からインターネット１２９へ出力する。さらに、スイッチ装置１３０は、送信パケット１０１をミラーポート１３３から送信パケット解析装置２００へ出力する。
スイッチ装置１３０は、インターネットポート１３２に入力された受信パケット１０２をＬＡＮポート１３１からローカルエリアネットワーク１１９へ出力する。但し、スイッチ装置１３０は、受信パケット１０２をミラーポート１３３から送信パケット解析装置２００へ出力しない。 The switch device 130 outputs the transmission packet 101 input to the LAN port 131 from the Internet port 132 to the Internet 129. Further, the switch device 130 outputs the transmission packet 101 from the mirror port 133 to the transmission packet analysis device 200.
The switch device 130 outputs the received packet 102 input to the Internet port 132 from the LAN port 131 to the local area network 119. However, the switch device 130 does not output the received packet 102 from the mirror port 133 to the transmitted packet analysis device 200.

スイッチ装置１３０は、設定ファイルが記憶されるメモリ（図示省略）を備える。
設定ファイルは、送信パケット１０１だけを送信パケット解析装置２００に出力する設定が記述されたファイルである。 The switch device 130 includes a memory (not shown) in which a setting file is stored.
The setting file is a file in which settings for outputting only the transmission packet 101 to the transmission packet analyzing apparatus 200 are described.

送信パケット解析装置２００は、スイッチ装置１３０から出力される送信パケット１０１を解析する装置である。
送信パケット解析装置２００は、送信パケット取得部２１０と、送信パケット解析部３００と、解析記憶部２９０とを備える。
送信パケット取得部２１０は、スイッチ装置１３０から出力される送信パケット１０１を取得する。
送信パケット解析部３００は、送信パケット１０１を解析する。例えば、送信パケット解析部３００は、個人情報または機密情報などの秘匿情報が送信パケット１０１に含まれるか否かを解析する。
解析記憶部２９０は、送信パケット解析装置２００で使用、生成または入出力されるデータを記憶する。例えば、解析記憶部２９０は送信パケット１０１を記憶する。解析記憶部２９０は、主記憶装置および補助記憶装置によって実装される。 The transmission packet analysis device 200 is a device that analyzes the transmission packet 101 output from the switch device 130.
The transmission packet analysis device 200 includes a transmission packet acquisition unit 210, a transmission packet analysis unit 300, and an analysis storage unit 290.
The transmission packet acquisition unit 210 acquires the transmission packet 101 output from the switch device 130.
The transmission packet analysis unit 300 analyzes the transmission packet 101. For example, the transmission packet analysis unit 300 analyzes whether confidential information such as personal information or confidential information is included in the transmission packet 101.
The analysis storage unit 290 stores data used, generated or input / output by the transmission packet analysis device 200. For example, the analysis storage unit 290 stores the transmission packet 101. The analysis storage unit 290 is implemented by a main storage device and an auxiliary storage device.

図２は、実施の形態１における通信パケット１９０の構成図である。
実施の形態１における通信パケット１９０の構成について、図２に基づいて説明する。
通信パケット１９０は、ＩＰヘッダ１９１と、ＴＣＰヘッダ１９２と、通信データ１９３とを備える。通信パケット１９０はＩＰパケットとも呼ばれる。ＩＰはＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌの略称であり、ＴＣＰはＴｒａｎｓｍｉｓｓｉｏｎＣｏｎｔｒｏｌＰｒｏｔｏｃｏｌの略称である。 FIG. 2 is a configuration diagram of the communication packet 190 in the first embodiment.
The configuration of communication packet 190 in the first embodiment will be described with reference to FIG.
The communication packet 190 includes an IP header 191, a TCP header 192, and communication data 193. The communication packet 190 is also called an IP packet. IP is an abbreviation for Internet Protocol, and TCP is an abbreviation for Transmission Control Protocol.

ＩＰヘッダ１９１は、送信元ＩＰアドレスおよび宛先ＩＰアドレスなどの情報を含む。
送信パケット１０１において、送信元ＩＰアドレスはクライアント装置１１０のＩＰアドレスであり、宛先ＩＰアドレスはサーバ装置１２０のＩＰアドレスである。但し、サーバ装置１２０のＩＰアドレスは、ＳＭＴＰサーバ、ＨＴＴＰサーバまたはファイアウォールのＩＰアドレスと読み替えてもよい（以下同様）。
受信パケット１０２において、送信元ＩＰアドレスはサーバ装置１２０のＩＰアドレスであり、宛先ＩＰアドレスはクライアント装置１１０のＩＰアドレスである。 The IP header 191 includes information such as a source IP address and a destination IP address.
In the transmission packet 101, the transmission source IP address is the IP address of the client device 110, and the destination IP address is the IP address of the server device 120. However, the IP address of the server device 120 may be read as the IP address of the SMTP server, HTTP server, or firewall (the same applies hereinafter).
In the received packet 102, the source IP address is the IP address of the server device 120, and the destination IP address is the IP address of the client device 110.

ＴＣＰヘッダ１９２は、送信元ポート番号および宛先ポート番号などの情報を含む。
送信パケット１０１において、送信元ポート番号はクライアント装置１１０のポート番号であり、宛先ポート番号はサーバ装置１２０のポート番号である。
受信パケット１０２において、送信元ポート番号はサーバ装置１２０のポート番号であり、宛先ポート番号はクライアント装置１１０のポート番号である。 The TCP header 192 includes information such as a transmission source port number and a destination port number.
In the transmission packet 101, the transmission source port number is the port number of the client device 110, and the destination port number is the port number of the server device 120.
In the received packet 102, the source port number is the port number of the server device 120, and the destination port number is the port number of the client device 110.

通信データ１９３は、通信パケット１９０によって通信されるデータである。 Communication data 193 is data communicated by communication packet 190.

図３は、実施の形態１における送信パケット取得方法のフローチャートである。
送信パケット解析装置２００が通信パケット１９０のうちの送信パケット１０１だけを取得する方法について、図３に基づいて説明する。但し、送信パケット取得方法は図３と異なる方法であっても構わない。 FIG. 3 is a flowchart of the transmission packet acquisition method in the first embodiment.
A method in which the transmission packet analyzing apparatus 200 acquires only the transmission packet 101 in the communication packet 190 will be described with reference to FIG. However, the transmission packet acquisition method may be different from that shown in FIG.

図３に示す送信パケット取得方法は、スイッチ装置１３０が通信パケット１９０を受信する毎に実行される。 The transmission packet acquisition method shown in FIG. 3 is executed every time the switch device 130 receives the communication packet 190.

Ｓ１１０において、スイッチ装置１３０は通信パケット１９０を受信する。
例えば、スイッチ装置１３０は、クライアント装置１１０がサーバ装置１２０へ送信した送信パケット１０１を受信する。
例えば、スイッチ装置１３０は、サーバ装置１２０がクライアント装置１１０へ送信した受信パケット１０２を受信する。
Ｓ１１０の後、処理はＳ１２０に進む。 In S110, the switch device 130 receives the communication packet 190.
For example, the switch device 130 receives the transmission packet 101 transmitted from the client device 110 to the server device 120.
For example, the switch device 130 receives the received packet 102 transmitted from the server device 120 to the client device 110.
After S110, the process proceeds to S120.

Ｓ１２０において、スイッチ装置１３０は、Ｓ１１０で受信した通信パケット１９０を中継する。
例えば、スイッチ装置１３０は、送信パケット１０１をサーバ装置１２０へ中継する。
例えば、スイッチ装置１３０は、受信パケット１０２をクライアント装置１１０へ中継する。
Ｓ１２０の後、処理はＳ１３０に進む。 In S120, the switch device 130 relays the communication packet 190 received in S110.
For example, the switch device 130 relays the transmission packet 101 to the server device 120.
For example, the switch device 130 relays the received packet 102 to the client device 110.
After S120, the process proceeds to S130.

Ｓ１３０において、スイッチ装置１３０は、Ｓ１１０で受信した通信パケット１９０が送信パケット１０１であるか判定する。
例えば、スイッチ装置１３０は、通信パケット１９０に含まれる送信元ＩＰアドレス、宛先ＩＰアドレスに基づいて、通信パケット１９０が送信パケット１０１であるか判定する。
通信パケット１９０が送信パケット１０１である場合（ＹＥＳ）、処理はＳ１４０に進む。
通信パケット１９０が送信パケット１０１でない場合、つまり、通信パケット１９０が受信パケット１０２である場合（ＮＯ）、送信パケット解析装置２００は通信パケット１９０を取得せず、処理は終了する。 In S <b> 130, the switch device 130 determines whether the communication packet 190 received in S <b> 110 is the transmission packet 101.
For example, the switch device 130 determines whether the communication packet 190 is the transmission packet 101 based on the transmission source IP address and the destination IP address included in the communication packet 190.
If the communication packet 190 is the transmission packet 101 (YES), the process proceeds to S140.
When the communication packet 190 is not the transmission packet 101, that is, when the communication packet 190 is the reception packet 102 (NO), the transmission packet analysis device 200 does not acquire the communication packet 190, and the process ends.

Ｓ１４０において、スイッチ装置１３０は、Ｓ１１０で受信した通信パケット１９０を送信パケット解析装置２００へ出力する。
Ｓ１４０の後、処理はＳ１５０に進む。 In S140, the switch device 130 outputs the communication packet 190 received in S110 to the transmission packet analysis device 200.
After S140, the process proceeds to S150.

Ｓ１５０において、送信パケット解析装置２００の送信パケット取得部２１０は、Ｓ１４０で出力された通信パケット１９０を取得し、取得した通信パケット１９０を解析記憶部２９０に記憶する。
例えば、送信パケット取得部２１０は、通信パケット１９０を暗号化し、暗号化した通信パケット１９０を圧縮し、圧縮した通信パケット１９０を補助記憶装置に記憶する。
Ｓ１５０の後、処理は終了する。 In S150, the transmission packet acquisition unit 210 of the transmission packet analysis device 200 acquires the communication packet 190 output in S140, and stores the acquired communication packet 190 in the analysis storage unit 290.
For example, the transmission packet acquisition unit 210 encrypts the communication packet 190, compresses the encrypted communication packet 190, and stores the compressed communication packet 190 in the auxiliary storage device.
After S150, the process ends.

送信パケット解析装置２００の送信パケット解析部３００は、特定のタイミングで、解析記憶部２９０に記憶されている１つ以上の送信パケット１０１を解析する。 The transmission packet analysis unit 300 of the transmission packet analysis device 200 analyzes one or more transmission packets 101 stored in the analysis storage unit 290 at a specific timing.

図４は、実施の形態１における送信パケット解析装置２００のハードウェア構成図である。
実施の形態１における送信パケット解析装置２００のハードウェア構成について、図４に基づいて説明する。但し、送信パケット解析装置２００のハードウェア構成は図４に示す構成と異なる構成であってもよい。 FIG. 4 is a hardware configuration diagram of transmission packet analysis apparatus 200 in the first embodiment.
A hardware configuration of transmission packet analysis apparatus 200 in the first embodiment will be described with reference to FIG. However, the hardware configuration of the transmission packet analyzing apparatus 200 may be different from the configuration shown in FIG.

送信パケット解析装置２００は、演算装置９０１、補助記憶装置９０２、主記憶装置９０３、通信装置９０４および入出力装置９０５を備えるコンピュータである。
演算装置９０１、補助記憶装置９０２、主記憶装置９０３、通信装置９０４および入出力装置９０５はバス９０９に接続している。 The transmission packet analysis device 200 is a computer including an arithmetic device 901, an auxiliary storage device 902, a main storage device 903, a communication device 904, and an input / output device 905.
The arithmetic device 901, auxiliary storage device 902, main storage device 903, communication device 904, and input / output device 905 are connected to the bus 909.

演算装置９０１は、プログラムを実行するＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）である。
補助記憶装置９０２は、例えば、ＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）、フラッシュメモリまたはハードディスク装置である。
主記憶装置９０３は、例えば、ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）である。
通信装置９０４は、有線または無線でインターネット、ＬＡＮ（ローカルエリアネットワーク）、電話回線網またはその他のネットワークを介して通信を行う。
入出力装置９０５は、例えば、マウス、キーボード、ディスプレイ装置である。 The arithmetic device 901 is a CPU (Central Processing Unit) that executes a program.
The auxiliary storage device 902 is, for example, a ROM (Read Only Memory), a flash memory, or a hard disk device.
The main storage device 903 is, for example, a RAM (Random Access Memory).
The communication device 904 performs communication via the Internet, a LAN (local area network), a telephone line network, or other networks in a wired or wireless manner.
The input / output device 905 is, for example, a mouse, a keyboard, or a display device.

プログラムは、補助記憶装置９０２に記憶されている。
例えば、オペレーティングシステム（ＯＳ）が補助記憶装置９０２に記憶される。また、「〜部」として説明している機能を実現するプログラムが補助記憶装置９０２に記憶される。
プログラムは、補助記憶装置９０２に記憶されており、主記憶装置９０３にロードされ、演算装置９０１に読み込まれ、演算装置９０１によって実行される。 The program is stored in the auxiliary storage device 902.
For example, an operating system (OS) is stored in the auxiliary storage device 902. In addition, a program that realizes the function described as “˜unit” is stored in the auxiliary storage device 902.
The program is stored in the auxiliary storage device 902, loaded into the main storage device 903, read into the arithmetic device 901, and executed by the arithmetic device 901.

「〜の判断」、「〜の判定」、「〜の抽出」、「〜の検知」、「〜の設定」、「〜の登録」、「〜の選択」、「〜の生成」、「〜の入力」、「〜の出力」等の処理の結果を示す情報、データ、ファイル、信号値または変数値が主記憶装置９０３または補助記憶装置９０２に記憶される。 “Determining”, “determining”, “extracting”, “detecting”, “setting”, “registering”, “selecting”, “generating”, “to” Information, data, files, signal values or variable values indicating the results of processing such as “input”, “output of”, etc. are stored in the main storage device 903 or the auxiliary storage device 902.

実施の形態１により、以下のような送信パケット解析システム１００について説明した。
送信パケット解析システム１００は、情報漏洩の調査に必要な送信データのみを再現するため、送信パケットのみをキャプチャおよび解析する。
これにより、キャプチャおよび解析するデータの量を削減し、送信パケット解析システム１００の規模を縮小し、送信パケット解析システム１００の導入を容易にすることができる。 According to the first embodiment, the following transmission packet analysis system 100 has been described.
The transmission packet analysis system 100 captures and analyzes only the transmission packet in order to reproduce only the transmission data necessary for the information leakage investigation.
Thereby, the amount of data to be captured and analyzed can be reduced, the size of the transmission packet analysis system 100 can be reduced, and the introduction of the transmission packet analysis system 100 can be facilitated.

実施の形態２．
スイッチ装置の代わりにネットワークタップ装置（中継装置、分岐装置の一例）が送信パケットだけを送信パケット解析装置へ出力する形態について説明する。
以下、実施の形態１と異なる事項について主に説明する。説明を省略する事項については実施の形態１と同様である。 Embodiment 2. FIG.
A mode in which a network tap device (an example of a relay device or a branching device) outputs only transmission packets to the transmission packet analysis device instead of the switch device will be described.
Hereinafter, items different from the first embodiment will be mainly described. Matters whose description is omitted are the same as those in the first embodiment.

図５は、実施の形態２における送信パケット解析システム１００の構成図である。
実施の形態２における送信パケット解析システム１００の構成について、図５に基づいて説明する。但し、送信パケット解析システム１００の構成は図５と異なる構成であっても構わない。 FIG. 5 is a configuration diagram of the transmission packet analysis system 100 according to the second embodiment.
The configuration of transmission packet analysis system 100 in the second embodiment will be described with reference to FIG. However, the configuration of the transmission packet analysis system 100 may be different from that shown in FIG.

送信パケット解析システム１００は、クライアント装置１１０（内部装置の一例）と、サーバ装置１２０（外部装置の一例）と、スイッチ装置１３０と、ネットワークタップ装置１４０（中継装置の一例）と、送信パケット解析装置２００とを備える。 The transmission packet analysis system 100 includes a client device 110 (an example of an internal device), a server device 120 (an example of an external device), a switch device 130, a network tap device 140 (an example of a relay device), and a transmission packet analysis device. 200.

スイッチ装置１３０は、送信パケット１０１を送信パケット解析装置２００へ出力する必要はない。 The switch device 130 does not need to output the transmission packet 101 to the transmission packet analysis device 200.

ネットワークタップ装置１４０は、ネットワーク信号を分岐して取り出す装置である。
ネットワークタップ装置１４０は、ローカルエリアネットワーク１１９に接続し、クライアント装置１１０とサーバ装置１２０との間で通信される通信パケット１９０を中継する。 The network tap device 140 is a device for branching out a network signal.
The network tap device 140 is connected to the local area network 119 and relays a communication packet 190 communicated between the client device 110 and the server device 120.

ネットワークタップ装置１４０は、第１のポート１４１と、第２のポート１４２と、第３のポート１４３とを備える。
第１のポート１４１は、ローカルエリアネットワーク１１９に繋がる通信ケーブルが接続されるポートである。
第２のポート１４２は、スイッチ装置１３０に繋がる通信ケーブルが接続されるポートである。
第３のポート１４３は、送信パケット解析装置２００に繋がる通信ケーブルが接続されるポートである。 The network tap device 140 includes a first port 141, a second port 142, and a third port 143.
The first port 141 is a port to which a communication cable connected to the local area network 119 is connected.
The second port 142 is a port to which a communication cable connected to the switch device 130 is connected.
The third port 143 is a port to which a communication cable connected to the transmission packet analysis device 200 is connected.

ネットワークタップ装置１４０は、第１のポート１４１に入力された送信パケット１０１を第２のポート１４２からスイッチ装置１３０へ出力する。さらに、ネットワークタップ装置１４０は、送信パケット１０１を第３のポート１４３から送信パケット解析装置２００へ出力する。
ネットワークタップ装置１４０は、第２のポート１４２に入力された受信パケット１０２を第１のポート１４１からローカルエリアネットワーク１１９へ出力する。但し、ネットワークタップ装置１４０は、受信パケット１０２を第３のポート１４３から送信パケット解析装置２００へ出力しない。 The network tap device 140 outputs the transmission packet 101 input to the first port 141 from the second port 142 to the switch device 130. Furthermore, the network tap device 140 outputs the transmission packet 101 from the third port 143 to the transmission packet analysis device 200.
The network tap device 140 outputs the received packet 102 input to the second port 142 from the first port 141 to the local area network 119. However, the network tap device 140 does not output the reception packet 102 from the third port 143 to the transmission packet analysis device 200.

ネットワークタップ装置１４０は、第１のポート１４１に入力された送信パケット１０１を第２のポート１４２に中継する第１の電気回路と、第２のポート１４２に入力された受信パケット１０２を第１のポート１４１に中継する第２の電気回路と、第１のポート１４１に入力された送信パケット１０１を第２の電気回路から分岐して第３のポート１４３に中継する第３の電気回路とを備える。 The network tap device 140 includes a first electric circuit that relays the transmission packet 101 input to the first port 141 to the second port 142, and the reception packet 102 input to the second port 142 to the first port 142. A second electrical circuit that relays to the port 141; and a third electrical circuit that branches the transmission packet 101 input to the first port 141 from the second electrical circuit and relays it to the third port 143. .

送信パケット解析装置２００は、ネットワークタップ装置１４０から出力される送信パケット１０１を解析する装置である。
送信パケット解析装置２００は、送信パケット取得部２１０と、送信パケット解析部３００と、解析記憶部２９０とを備える。
送信パケット取得部２１０は、ネットワークタップ装置１４０から出力される送信パケット１０１を取得する。
送信パケット解析部３００は、送信パケット１０１を解析する。例えば、送信パケット解析部３００は、個人情報または機密情報などの秘匿情報が送信パケット１０１に含まれるか否かを解析する。
解析記憶部２９０は、送信パケット解析装置２００で使用、生成または入出力されるデータを記憶する。例えば、解析記憶部２９０は送信パケット１０１を記憶する。 The transmission packet analysis device 200 is a device that analyzes the transmission packet 101 output from the network tap device 140.
The transmission packet analysis device 200 includes a transmission packet acquisition unit 210, a transmission packet analysis unit 300, and an analysis storage unit 290.
The transmission packet acquisition unit 210 acquires the transmission packet 101 output from the network tap device 140.
The transmission packet analysis unit 300 analyzes the transmission packet 101. For example, the transmission packet analysis unit 300 analyzes whether confidential information such as personal information or confidential information is included in the transmission packet 101.
The analysis storage unit 290 stores data used, generated or input / output by the transmission packet analysis device 200. For example, the analysis storage unit 290 stores the transmission packet 101.

実施の形態２において、ネットワークタップ装置１４０は、ローカルエリアネットワーク１１９とスイッチ装置１３０との間ではなく、インターネット１２９とスイッチ装置１３０との間に設けても構わない。
いずれの場合において、スイッチ装置１３０は通信パケット１９０をネットワークタップ装置１４０へ出力する。そして、ネットワークタップ装置１４０は、スイッチ装置１３０から出力された通信パケット１９０のうちの送信パケット１０１だけを、送信パケット解析装置２００へ出力する。 In the second embodiment, the network tap device 140 may be provided not between the local area network 119 and the switch device 130 but between the Internet 129 and the switch device 130.
In any case, the switch device 130 outputs the communication packet 190 to the network tap device 140. Then, the network tap device 140 outputs only the transmission packet 101 among the communication packets 190 output from the switch device 130 to the transmission packet analysis device 200.

図６は、実施の形態２における送信パケット取得方法のフローチャートである。
送信パケット解析装置２００が通信パケット１９０のうちの送信パケット１０１だけを取得する方法について、図６に基づいて説明する。但し、送信パケット取得方法は図６と異なる方法であっても構わない。 FIG. 6 is a flowchart of the transmission packet acquisition method according to the second embodiment.
A method in which the transmission packet analyzing apparatus 200 acquires only the transmission packet 101 in the communication packet 190 will be described with reference to FIG. However, the transmission packet acquisition method may be different from that shown in FIG.

図６に示す送信パケット取得方法は、スイッチ装置１３０が通信パケット１９０を受信する毎に実行される。 The transmission packet acquisition method illustrated in FIG. 6 is executed every time the switch device 130 receives the communication packet 190.

Ｓ２１０において、ネットワークタップ装置１４０は通信パケット１９０を受信する。
例えば、ネットワークタップ装置１４０は、クライアント装置１１０がサーバ装置１２０へ送信した送信パケット１０１を受信する。
例えば、ネットワークタップ装置１４０は、サーバ装置１２０がクライアント装置１１０へ送信した受信パケット１０２を受信する。
Ｓ２１０の後、処理はＳ２２０に進む。 In S210, the network tap device 140 receives the communication packet 190.
For example, the network tap device 140 receives the transmission packet 101 transmitted from the client device 110 to the server device 120.
For example, the network tap device 140 receives the received packet 102 transmitted from the server device 120 to the client device 110.
After S210, the process proceeds to S220.

Ｓ２２０において、ネットワークタップ装置１４０は、Ｓ２１０で受信した通信パケット１９０を中継する。
例えば、ネットワークタップ装置１４０は、送信パケット１０１をサーバ装置１２０へ中継する。
例えば、ネットワークタップ装置１４０は、受信パケット１０２をクライアント装置１１０へ中継する。
Ｓ２２０の後、処理はＳ２３０に進む。 In S220, the network tap device 140 relays the communication packet 190 received in S210.
For example, the network tap device 140 relays the transmission packet 101 to the server device 120.
For example, the network tap device 140 relays the received packet 102 to the client device 110.
After S220, the process proceeds to S230.

Ｓ２３０において、ネットワークタップ装置１４０は、Ｓ２１０で受信した通信パケット１９０が送信パケット１０１であるか判定する。
例えば、ネットワークタップ装置１４０は、第１のポート１４１に入力された送信パケット１０１を第２のポート１４２に中継する電気回路から分岐した電気回路を通る通信パケット１９０が送信パケット１０１であると判定する。
通信パケット１９０が送信パケット１０１である場合（ＹＥＳ）、処理は２４０に進む。
通信パケット１９０が送信パケット１０１でない場合、つまり、通信パケット１９０が受信パケット１０２である場合（ＮＯ）、送信パケット解析装置２００は通信パケット１９０を取得せず、処理は終了する。 In S230, the network tap device 140 determines whether the communication packet 190 received in S210 is the transmission packet 101.
For example, the network tap device 140 determines that the communication packet 190 passing through the electric circuit branched from the electric circuit that relays the transmission packet 101 input to the first port 141 to the second port 142 is the transmission packet 101. .
If the communication packet 190 is the transmission packet 101 (YES), the process proceeds to 240.
When the communication packet 190 is not the transmission packet 101, that is, when the communication packet 190 is the reception packet 102 (NO), the transmission packet analysis device 200 does not acquire the communication packet 190, and the process ends.

Ｓ２４０において、ネットワークタップ装置１４０は、Ｓ２１０で受信した通信パケット１９０を送信パケット解析装置２００へ出力する。
Ｓ２４０の後、処理はＳ２５０に進む。 In S240, the network tap device 140 outputs the communication packet 190 received in S210 to the transmission packet analysis device 200.
After S240, the process proceeds to S250.

Ｓ２５０において、送信パケット解析装置２００の送信パケット取得部２１０は、Ｓ２４０で出力された通信パケット１９０を取得し、取得した通信パケット１９０を解析記憶部２９０に記憶する。
例えば、送信パケット取得部２１０は、通信パケット１９０を暗号化し、暗号化した通信パケット１９０を圧縮し、圧縮した通信パケット１９０を補助記憶装置に記憶する。
Ｓ２５０の後、処理は終了する。 In S250, the transmission packet acquisition unit 210 of the transmission packet analysis device 200 acquires the communication packet 190 output in S240, and stores the acquired communication packet 190 in the analysis storage unit 290.
For example, the transmission packet acquisition unit 210 encrypts the communication packet 190, compresses the encrypted communication packet 190, and stores the compressed communication packet 190 in the auxiliary storage device.
After S250, the process ends.

実施の形態２により、実施の形態１と同様の効果を奏することができる。 According to the second embodiment, the same effects as in the first embodiment can be obtained.

実施の形態３．
送信パケット解析装置が送信パケットだけを選択する形態について説明する。
以下、実施の形態１と異なる事項について主に説明する。説明を省略する事項については実施の形態１と同様である。 Embodiment 3 FIG.
A mode in which the transmission packet analysis device selects only transmission packets will be described.
Hereinafter, items different from the first embodiment will be mainly described. Matters whose description is omitted are the same as those in the first embodiment.

図７は、実施の形態３における送信パケット解析システム１００の構成図である。
実施の形態３における送信パケット解析システム１００の構成について、図７に基づいて説明する。 FIG. 7 is a configuration diagram of the transmission packet analysis system 100 according to the third embodiment.
The configuration of transmission packet analysis system 100 according to Embodiment 3 will be described with reference to FIG.

送信パケット解析システム１００は、クライアント装置１１０（内部装置の一例）と、サーバ装置１２０（外部装置の一例）と、スイッチ装置１３０（中継装置の一例）と、送信パケット解析装置２００とを備える。 The transmission packet analysis system 100 includes a client device 110 (an example of an internal device), a server device 120 (an example of an external device), a switch device 130 (an example of a relay device), and a transmission packet analysis device 200.

スイッチ装置１３０は、受信した通信パケット１９０を送信パケット解析装置２００へ出力する。
つまり、スイッチ装置１３０は、送信パケット１０１と受信パケット１０２との両方を送信パケット解析装置２００へ出力する。 The switch device 130 outputs the received communication packet 190 to the transmission packet analysis device 200.
That is, the switch device 130 outputs both the transmission packet 101 and the reception packet 102 to the transmission packet analysis device 200.

送信パケット解析装置２００は、通信パケット取得部２２０と、通信パケットフィルタ部２３０と、送信パケット解析部３００と、解析記憶部２９０とを備える。
通信パケット取得部２２０は、スイッチ装置１３０から出力される通信パケット１９０を取得する。
通信パケットフィルタ部２３０は、通信パケット取得部２２０によって取得された通信パケット１９０に含まれるヘッダの情報に基づいて、通信パケット１９０が送信パケット１０１であるか判定する。通信パケットフィルタ部２３０は、送信パケット１０１を解析記憶部２９０に記憶し、受信パケット１０２を解析記憶部２９０に記憶せずに破棄する。
送信パケット解析部３００は、送信パケット１０１であると判定された通信パケット１９０を解析する。 The transmission packet analysis device 200 includes a communication packet acquisition unit 220, a communication packet filter unit 230, a transmission packet analysis unit 300, and an analysis storage unit 290.
The communication packet acquisition unit 220 acquires the communication packet 190 output from the switch device 130.
The communication packet filter unit 230 determines whether the communication packet 190 is the transmission packet 101 based on the header information included in the communication packet 190 acquired by the communication packet acquisition unit 220. The communication packet filter unit 230 stores the transmission packet 101 in the analysis storage unit 290 and discards the reception packet 102 without storing it in the analysis storage unit 290.
The transmission packet analysis unit 300 analyzes the communication packet 190 that is determined to be the transmission packet 101.

解析記憶部２９０は、送信パケット解析装置２００で使用、生成または入出力されるデータを記憶する。
例えば、解析記憶部２９０は、送信パケット１０１（図示省略）およびフィルタファイル２９１などを記憶する。
フィルタファイル２９１は、通信パケット１９０が送信パケット１０１であるための条件を示す。
通信パケットフィルタ部２３０は、フィルタファイル２９１が示す条件を満たす情報が通信パケット１９０のヘッダに含まれる場合、通信パケット１９０が送信パケット１０１であると判定する。 The analysis storage unit 290 stores data used, generated or input / output by the transmission packet analysis device 200.
For example, the analysis storage unit 290 stores a transmission packet 101 (not shown), a filter file 291 and the like.
The filter file 291 indicates conditions for the communication packet 190 to be the transmission packet 101.
The communication packet filter unit 230 determines that the communication packet 190 is the transmission packet 101 when information satisfying the condition indicated by the filter file 291 is included in the header of the communication packet 190.

図８は、実施の形態３におけるフィルタファイル２９１の一例を示す図である。
実施の形態３のおけるフィルタファイル２９１について、図８に基づいて説明する。但し、フィルタファイル２９１は、図８と異なるファイルであっても構わない。 FIG. 8 is a diagram illustrating an example of the filter file 291 according to the third embodiment.
The filter file 291 according to the third embodiment will be described with reference to FIG. However, the filter file 291 may be a file different from that shown in FIG.

フィルタファイル２９１は、通信パケット１９０が送信パケット１０１であるための条件（１から５）を含んでいる。
通信パケットフィルタ部２３０は、フィルタファイル２９１に含まれるいずれかの条件を満たす情報が通信パケット１９０のヘッダに含まれる場合、通信パケット１９０が送信パケット１０１であると判定する。 The filter file 291 includes conditions (1 to 5) for the communication packet 190 to be the transmission packet 101.
The communication packet filter unit 230 determines that the communication packet 190 is the transmission packet 101 when information satisfying any condition included in the filter file 291 is included in the header of the communication packet 190.

例えば、送信パケット１０１は以下のような通信パケット１９０である。
送信元ＩＰアドレスが１９２．１６８．１．１０である（条件１）。
送信元ＩＰアドレスが１９２．１６８．１．２０である（条件２）。
宛先ＩＰアドレスが１９２．１６８．１０．１であり、且つ、宛先ポート番号が８０である（条件３）。
宛先ＩＰアドレスが１９２．１６８．１０．１であり、且つ、宛先ポート番号が８０８０である（条件４）。
送信元ＩＰアドレスが１９２．１６８．１．２０ではなく、且つ、宛先ポート番号が８０である。 For example, the transmission packet 101 is a communication packet 190 as follows.
The source IP address is 192.168.1.10. (Condition 1).
The source IP address is 192.168.1.20 (condition 2).
The destination IP address is 192.168.10.1 and the destination port number is 80 (condition 3).
The destination IP address is 192.168.10.1 and the destination port number is 8080 (condition 4).
The source IP address is not 192.168.1.20 and the destination port number is 80.

図９は、実施の形態３における送信パケット取得方法のフローチャートである。
送信パケット解析装置２００が通信パケット１９０のうちの送信パケット１０１だけを保存する方法について、図９に基づいて説明する。但し、送信パケット取得方法は図９と異なる方法であっても構わない。 FIG. 9 is a flowchart of the transmission packet acquisition method according to the third embodiment.
A method in which the transmission packet analyzing apparatus 200 stores only the transmission packet 101 in the communication packet 190 will be described with reference to FIG. However, the transmission packet acquisition method may be different from that shown in FIG.

図９に示す送信パケット取得方法は、送信パケット解析装置２００の通信装置９０４が通信パケット１９０を受信する毎に実行される。受信された通信パケット１９０は通信バッファに記憶される。 The transmission packet acquisition method shown in FIG. 9 is executed each time the communication device 904 of the transmission packet analysis device 200 receives the communication packet 190. The received communication packet 190 is stored in the communication buffer.

Ｓ３１０において、通信パケット取得部２２０は、通信バッファから作業用の記憶領域（以下、作業領域という）に通信パケット１９０を読み出す。
Ｓ３１０の後、処理はＳ３２０に進む。 In S310, the communication packet acquisition unit 220 reads the communication packet 190 from the communication buffer to a work storage area (hereinafter referred to as a work area).
After S310, the process proceeds to S320.

Ｓ３２０において、通信パケットフィルタ部２３０は、通信パケット１９０に含まれるヘッダの情報に基づいて、通信パケット１９０が送信パケット１０１であるか判定する。
フィルタファイル２９１が示す条件を満たす情報が通信パケット１９０のヘッダに含まれる場合、通信パケットフィルタ部２３０は通信パケット１９０が送信パケット１０１であると判定する。
通信パケット１９０が送信パケット１０１である場合（ＹＥＳ）、処理はＳ３３０に進む。
通信パケット１９０が送信パケット１０１でない場合、つまり、通信パケット１９０が受信パケット１０２である場合（ＮＯ）、処理はＳ３４０に進む。 In step S <b> 320, the communication packet filter unit 230 determines whether the communication packet 190 is the transmission packet 101 based on the header information included in the communication packet 190.
When information satisfying the condition indicated by the filter file 291 is included in the header of the communication packet 190, the communication packet filter unit 230 determines that the communication packet 190 is the transmission packet 101.
If the communication packet 190 is the transmission packet 101 (YES), the process proceeds to S330.
If the communication packet 190 is not the transmission packet 101, that is, if the communication packet 190 is the reception packet 102 (NO), the process proceeds to S340.

Ｓ３３０において、通信パケットフィルタ部２３０は、通信パケット１９０を作業領域から読み出し、読み出した通信パケット１９０を解析記憶部２９０に記憶する。
例えば、通信パケットフィルタ部２３０は、通信パケット１９０を暗号化し、暗号化した通信パケット１９０を圧縮し、圧縮した通信パケット１９０を補助記憶装置に記憶する。
Ｓ３３０の後、処理は終了する。 In S330, the communication packet filter unit 230 reads the communication packet 190 from the work area, and stores the read communication packet 190 in the analysis storage unit 290.
For example, the communication packet filter unit 230 encrypts the communication packet 190, compresses the encrypted communication packet 190, and stores the compressed communication packet 190 in the auxiliary storage device.
After S330, the process ends.

Ｓ３４０において、通信パケットフィルタ部２３０は、通信パケット１９０を解析記憶部２９０に記憶せず、通信パケット１９０を作業領域から削除する。
Ｓ３４０の後、処理は終了する。 In S340, the communication packet filter unit 230 does not store the communication packet 190 in the analysis storage unit 290, and deletes the communication packet 190 from the work area.
After S340, the process ends.

実施の形態３により、実施の形態１と同様の効果を奏することができる。 According to the third embodiment, the same effect as in the first embodiment can be obtained.

実施の形態４．
送信パケット１０１を解析する解析方法について説明する。
以下、実施の形態１から３で説明していない事項について主に説明する。説明を省略する事項については実施の形態１から３と同様である。 Embodiment 4 FIG.
An analysis method for analyzing the transmission packet 101 will be described.
Hereinafter, items not described in the first to third embodiments will be mainly described. Matters whose description is omitted are the same as those in the first to third embodiments.

送信パケット解析システム１００の構成は、実施の形態１から３で説明した構成と同様である（図１、図５および図７参照）。
但し、送信パケット解析システム１００は管理者が使用する管理端末（図示省略）を備えてもよい。 The configuration of transmission packet analysis system 100 is the same as that described in the first to third embodiments (see FIGS. 1, 5, and 7).
However, the transmission packet analysis system 100 may include a management terminal (not shown) used by the administrator.

送信パケット解析装置２００の構成は、実施の形態１から３で説明した構成と同様である（図１、図５、図７および図４参照）。 The configuration of transmission packet analysis apparatus 200 is the same as the configuration described in the first to third embodiments (see FIGS. 1, 5, 7, and 4).

図１０は、実施の形態４における送信パケット解析装置２００が備える送信パケット解析部３００の機能構成図である。
実施の形態４における送信パケット解析装置２００が備える送信パケット解析部３００の機能構成について、図１０に基づいて説明する。 FIG. 10 is a functional configuration diagram of a transmission packet analysis unit 300 included in the transmission packet analysis apparatus 200 according to the fourth embodiment.
A functional configuration of transmission packet analysis section 300 included in transmission packet analysis apparatus 200 in Embodiment 4 will be described with reference to FIG.

送信パケット解析部３００は、セッション復元部３１０と、セッション解析部３２０と、送信ファイル検査部３３０とを備える。
セッション復元部３１０は、１つ以上の送信パケット１０１のそれぞれに含まれる送信データを用いて、各送信データを含んだセッションファイル２９２を生成する。
セッション解析部３２０は、セッションファイル２９２を解析し、セッションファイル２９２の解析結果ファイル２９３を生成する。例えば、セッション解析部３２０は、クライアント装置１１０からサーバ装置１２０へ送信された送信ファイルがセッションファイル２９２に含まれるか判定し、判定結果を含んだ解析結果ファイル２９３を生成する。
送信ファイル検査部３３０は、セッションファイル２９２に含まれる送信ファイルを検査する。 The transmission packet analysis unit 300 includes a session restoration unit 310, a session analysis unit 320, and a transmission file inspection unit 330.
The session restoring unit 310 uses the transmission data included in each of the one or more transmission packets 101 to generate a session file 292 including each transmission data.
The session analysis unit 320 analyzes the session file 292 and generates an analysis result file 293 of the session file 292. For example, the session analysis unit 320 determines whether a transmission file transmitted from the client device 110 to the server device 120 is included in the session file 292, and generates an analysis result file 293 including the determination result.
The transmission file inspection unit 330 inspects a transmission file included in the session file 292.

送信ファイル検査部３３０は、セッション検索部３３１と、送信ファイル取得部３３２と、秘匿情報検査部３３３と、検査結果通知部３３４とを備える。
セッション検索部３３１は、各セッションファイル２９２の解析結果ファイル２９３に基づいて、送信ファイルを含んだセッションファイル２９２を検索する。
送信ファイル取得部３３２は、セッションファイル２９２から送信ファイルを取得する。
秘匿情報検査部３３３は、秘匿情報の条件を示す秘匿情報ファイル２９４に基づいて、送信ファイルに秘匿情報が含まれるか検査する。
検査結果通知部３３４は、検査結果を示す検査結果ファイル２９５を含んだ検査結果メール２９６を管理端末へ送信する。 The transmission file inspection unit 330 includes a session search unit 331, a transmission file acquisition unit 332, a confidential information inspection unit 333, and an inspection result notification unit 334.
The session search unit 331 searches the session file 292 including the transmission file based on the analysis result file 293 of each session file 292.
The transmission file acquisition unit 332 acquires a transmission file from the session file 292.
The secret information inspection unit 333 checks whether the transmission file contains secret information based on the secret information file 294 indicating the condition of the secret information.
The inspection result notification unit 334 transmits an inspection result mail 296 including an inspection result file 295 indicating the inspection result to the management terminal.

送信パケット解析装置２００の解析記憶部２９０は、送信パケット１０１、セッションファイル２９２、解析結果ファイル２９３、秘匿情報ファイル２９４、検査結果ファイル２９５および検査結果メール２９６などを記憶する。 The analysis storage unit 290 of the transmission packet analysis apparatus 200 stores the transmission packet 101, the session file 292, the analysis result file 293, the confidential information file 294, the inspection result file 295, the inspection result mail 296, and the like.

図１１は、実施の形態４における送信パケット解析装置２００が実行する送信パケット解析処理のフローチャートである。
実施の形態４における送信パケット解析装置２００が実行する送信パケット解析処理について、図１１に基づいて説明する。但し、送信パケット解析処理は図１１と異なる処理であっても構わない。 FIG. 11 is a flowchart of transmission packet analysis processing executed by transmission packet analysis apparatus 200 in the fourth embodiment.
A transmission packet analysis process executed by the transmission packet analysis apparatus 200 according to the fourth embodiment will be described with reference to FIG. However, the transmission packet analysis processing may be processing different from that in FIG.

Ｓ４１０において、セッション復元部３１０は、解析記憶部２９０から複数の送信パケット１０１を取得する。送信パケット１０１が暗号化および圧縮されて記憶されている場合、セッション復元部３１０は送信パケット１０１を復号および伸張する。
各送信パケット１０１は、クライアント装置１１０がサーバ装置１２０へ送信するアプリケーションデータを分割して得られた送信データを含んでいる。ＨＴＴＰの要求メッセージおよび電子メールはアプリケーションデータの一例である。 In S410, the session restoration unit 310 acquires the plurality of transmission packets 101 from the analysis storage unit 290. When the transmission packet 101 is encrypted and compressed and stored, the session restoration unit 310 decrypts and decompresses the transmission packet 101.
Each transmission packet 101 includes transmission data obtained by dividing application data transmitted from the client apparatus 110 to the server apparatus 120. An HTTP request message and electronic mail are examples of application data.

セッション復元部３１０は、各送信パケット１０１に含まれるヘッダの情報に基づいて、各送信パケット１０１に含まれる送信データを結合する。各送信データを結合する方法は、ＩＰパケットおよびＴＣＰパケットの通常の処理と同様である。
セッション復元部３１０は、各送信データを結合することによって生成されるセッションファイル２９２を、解析記憶部２９０に記憶する。 The session restoration unit 310 combines the transmission data included in each transmission packet 101 based on the header information included in each transmission packet 101. The method of combining the transmission data is the same as the normal processing of IP packets and TCP packets.
The session restoration unit 310 stores the session file 292 generated by combining the transmission data in the analysis storage unit 290.

セッションファイル２９２は、クライアント装置１１０とサーバ装置１２０との間で通信されたアプリケーションデータを含む。
但し、実施の形態４において、セッションファイル２９２は、クライアント装置１１０がサーバ装置１２０へ送信したアプリケーションデータを含むが、クライアント装置１１０がサーバ装置１２０から受信したアプリケーションデータを含まない。
Ｓ４１０の後、処理はＳ４２０に進む。 Session file 292 includes application data communicated between client device 110 and server device 120.
However, in the fourth embodiment, the session file 292 includes application data transmitted from the client apparatus 110 to the server apparatus 120, but does not include application data received from the server apparatus 120 by the client apparatus 110.
After S410, the process proceeds to S420.

図１２は、実施の形態４におけるセッションファイル２９２の一例を示す図である。
例えば、セッション復元部３１０は、図１２に示すようなセッションファイル２９２を生成する。
（１）の部分は、クライアント装置１１０がサーバ装置１２０へ送信したＨＴＴＰの要求データを示している。
（２）の部分は、クライアント装置１１０がサーバ装置１２０へ送信した送信ファイルの中身を示している。
送信パケット１０１と受信パケット１０２との両方を用いてセッションファイル２９２が生成された場合、クライアント装置１１０がサーバ装置１２０から受信したＨＴＴＰの応答データが（３）の部分に含まれる。
図１１に戻り、Ｓ４２０から説明を続ける。 FIG. 12 is a diagram illustrating an example of the session file 292 according to the fourth embodiment.
For example, the session restoration unit 310 generates a session file 292 as shown in FIG.
The part (1) indicates HTTP request data transmitted from the client apparatus 110 to the server apparatus 120.
The part (2) indicates the contents of the transmission file transmitted from the client apparatus 110 to the server apparatus 120.
When the session file 292 is generated using both the transmission packet 101 and the reception packet 102, HTTP response data received from the server apparatus 120 by the client apparatus 110 is included in the part (3).
Returning to FIG. 11, the description will be continued from S420.

Ｓ４２０において、セッション解析部３２０は、セッションファイル２９２を解析し、セッションファイル２９２に関する各種の情報を取得する。
そして、セッション解析部３２０は、取得した各種の情報を含んだ解析結果ファイル２９３を生成し、生成した解析結果ファイル２９３を解析記憶部２９０に記憶する。 In S420, the session analysis unit 320 analyzes the session file 292 and acquires various types of information regarding the session file 292.
Then, the session analysis unit 320 generates an analysis result file 293 including various types of acquired information, and stores the generated analysis result file 293 in the analysis storage unit 290.

例えば、セッション解析部３２０は、セッションファイル２９２の形式に基づいてセッションファイル２９２の種類を特定し、セッションファイル２９２の種類に応じた情報を取得する。
例えば、セッションファイル２９２の種類がＨＴＴＰの要求データである場合、セッション解析部３２０は、宛先ＵＲＬ、ホスト名、送信ファイルの有無などの情報を取得する。ＵＲＬはＵｎｉｆｏｒｍＲｅｓｏｕｒｃｅＬｏｃａｔｏｒの略称である。
例えば、セッションファイル２９２の種類が電子メールである場合、セッション解析部３２０は、宛先メールアドレス、送信ファイル（添付ファイルともいう）の有無などの情報を取得する。 For example, the session analysis unit 320 identifies the type of the session file 292 based on the format of the session file 292, and acquires information corresponding to the type of the session file 292.
For example, when the type of the session file 292 is HTTP request data, the session analysis unit 320 acquires information such as a destination URL, a host name, and the presence / absence of a transmission file. URL is an abbreviation for Uniform Resource Locator.
For example, when the type of the session file 292 is an e-mail, the session analysis unit 320 acquires information such as a destination e-mail address and the presence / absence of a transmission file (also referred to as an attached file).

例えば、図１２に示すセッションファイル２９２の種類はＨＴＴＰの要求データである。
このセッションファイル２９２において、“ＰＯＳＴ”に続く文字列“／ｕｐｌｏａｄ／ｆｉｌｅ．ｈｔｍｌ”が宛先ＵＲＬであり、“ＨＯＳＴ”に続く文字列“ｔｅｘｔ．ｃｏ．ｊｐ”がホスト名である。
また、セッションファイル２９２は“ｆｉｌｅｎａｍｅ＝”という文字列を含んでいるため、セッション解析部３２０は、セッションファイル２９２が送信ファイルを含んでいると判定する。
そこで、セッション解析部３２０は、これらの情報を含んだ解析結果ファイル２９３を生成する。
Ｓ４２０の後、処理はＳ４３１に進む。 For example, the type of the session file 292 shown in FIG. 12 is HTTP request data.
In this session file 292, the character string “/upload/file.html” following “POST” is the destination URL, and the character string “text.co.jp” following “HOST” is the host name.
Further, since the session file 292 includes the character string “filename =”, the session analysis unit 320 determines that the session file 292 includes a transmission file.
Therefore, the session analysis unit 320 generates an analysis result file 293 including these pieces of information.
After S420, the process proceeds to S431.

Ｓ４３１において、各セッションファイル２９２の解析結果ファイル２９３は、セッションファイル２９２を識別する情報および送信ファイルの有無を示す情報を含んでいる。
セッション検索部３３１は、各セッションファイル２９２の解析結果ファイル２９３に基づいて、送信ファイルを含んだセッションファイル２９２を解析記憶部２９０から特定する。
Ｓ４３１の後、処理はＳ４３２に進む。 In S431, the analysis result file 293 of each session file 292 includes information for identifying the session file 292 and information indicating the presence / absence of a transmission file.
The session search unit 331 identifies the session file 292 including the transmission file from the analysis storage unit 290 based on the analysis result file 293 of each session file 292.
After S431, the process proceeds to S432.

Ｓ４３２において、送信ファイル取得部３３２は、Ｓ４３１で特定されたセッションファイル２９２から送信ファイルを取得する。
Ｓ４３２の後、処理はＳ４３３に進む。 In S432, the transmission file acquisition unit 332 acquires the transmission file from the session file 292 specified in S431.
After S432, the process proceeds to S433.

Ｓ４３３において、秘匿情報検査部３３３は、秘匿情報ファイル２９４に基づいて、秘匿情報が送信ファイルに含まれるか検査する。 In S433, the confidential information inspection unit 333 checks whether the confidential information is included in the transmission file based on the confidential information file 294.

秘匿情報ファイル２９４は、秘匿情報に関するキーワード、秘匿情報のパターンを表す正規表現などを含む。秘匿情報は、個人情報および機密情報など、秘匿にすべき情報である。
例えば、秘匿情報ファイル２９４は、佐藤、鈴木および田中などを、個人情報に該当する名字のキーワードとして含む。
例えば、秘匿情報ファイル２９４は、一郎、太郎および花子などを、個人情報に該当する名前のキーワードとして含む。
例えば、秘匿情報ファイル２９４は、１１桁の数値（但し、スペースおよびハイフンなどを数値間にあってもよい）という規則を、個人情報に該当する電話番号のパターンを表す正規表現として含む。 The confidential information file 294 includes a keyword related to confidential information, a regular expression representing a confidential information pattern, and the like. The confidential information is information that should be kept confidential, such as personal information and confidential information.
For example, the confidential information file 294 includes Sato, Suzuki, Tanaka, etc. as keywords of the last name corresponding to personal information.
For example, the confidential information file 294 includes Ichiro, Taro, Hanako, and the like as keywords having names corresponding to personal information.
For example, the secret information file 294 includes a rule of 11-digit numerical values (however, spaces and hyphens may be between the numerical values) as a regular expression representing a telephone number pattern corresponding to personal information.

例えば、図１２において、送信ファイルの中身を示す（２）の部分は、名字および名前のキーワードに該当する３つの秘匿情報（佐藤一郎、鈴木太郎、田中花子）を含んでいる。
また、送信ファイルの中身を示す（２）の部分は、電話番号の正規表現を満たす３つの秘匿情報（０９０−１１１１−２２２２、０９０−２２２２−３３３３、０９０−３３３３−４４４４）を含んでいる。 For example, in FIG. 12, the portion (2) indicating the contents of the transmission file includes three pieces of secret information (Ichiro Sato, Taro Suzuki, Hanako Tanaka) corresponding to the last name and the name keyword.
The portion (2) indicating the contents of the transmission file includes three pieces of secret information (090-11212222, 090-2222-3333, 090-3333-4444) that satisfy the regular expression of the telephone number.

そして、秘匿情報検査部３３３は、検査結果を示す検査結果ファイル２９５を生成し、生成した検査結果ファイル２９５を解析記憶部２９０に記憶する。
例えば、検査結果ファイル２９５は、セッションファイル２９２を識別する情報、セッションファイル２９２の解析結果ファイル２９３に含まれる情報、秘匿情報が含まれるか否かを示す情報および送信ファイルに含まれた秘匿情報などを含む。
Ｓ４３３の後、処理はＳ４３４に進む。 Then, the confidential information inspection unit 333 generates an inspection result file 295 indicating the inspection result, and stores the generated inspection result file 295 in the analysis storage unit 290.
For example, the inspection result file 295 includes information for identifying the session file 292, information included in the analysis result file 293 of the session file 292, information indicating whether or not confidential information is included, and confidential information included in the transmission file. including.
After S433, the process proceeds to S434.

Ｓ４３４において、検査結果通知部３３４は、検査結果ファイル２９５に含まれる情報を含んだ検査結果メール２９６を生成し、生成した検査結果メール２９６を管理者のメールアドレス宛てに送信する。管理者のメールアドレスは解析記憶部２９０に予め記憶しておく。
Ｓ４３３の後、送信パケット解析処理は終了する。 In S434, the inspection result notification unit 334 generates an inspection result mail 296 including information included in the inspection result file 295, and transmits the generated inspection result mail 296 to the administrator's mail address. The administrator's mail address is stored in advance in the analysis storage unit 290.
After S433, the transmission packet analysis process ends.

実施の形態４により、送信パケット１０１を解析し、情報漏洩を調査することができる。 According to the fourth embodiment, it is possible to analyze the transmission packet 101 and investigate information leakage.

各実施の形態は、送信パケット解析システム１００の形態の一例である。
つまり、送信パケット解析システム１００は、各実施の形態で説明した構成要素の一部を備えなくても構わない。また、送信パケット解析システム１００は、各実施の形態で説明していない構成要素を備えても構わない。さらに、送信パケット解析システム１００は、各実施の形態の構成要素の一部または全てを組み合わせたものであっても構わない。 Each embodiment is an example of the form of the transmission packet analysis system 100.
That is, the transmission packet analysis system 100 may not include some of the components described in the embodiments. Further, the transmission packet analysis system 100 may include components that are not described in each embodiment. Furthermore, the transmission packet analysis system 100 may be a combination of some or all of the constituent elements of each embodiment.

各実施の形態においてフローチャート等を用いて説明した処理手順は、各実施の形態に係る方法およびプログラムの処理手順の一例である。各実施の形態に係る方法およびプログラムは、各実施の形態で説明した処理手順と一部異なる処理手順で実現されても構わない。 The processing procedures described using the flowcharts and the like in each embodiment are an example of the processing procedures of the method and the program according to each embodiment. The method and program according to each embodiment may be realized by a processing procedure partially different from the processing procedure described in each embodiment.

各実施の形態において「〜部」は「〜処理」「〜工程」「〜プログラム」「〜装置」と読み替えることができる。 In each embodiment, “to part” can be read as “to process”, “to process”, “to program”, and “to apparatus”.

１００送信パケット解析システム、１０１送信パケット、１０２受信パケット、１１０クライアント装置、１１９ローカルエリアネットワーク、１２０サーバ装置、１２９インターネット、１３０スイッチ装置、１３１ＬＡＮポート、１３２インターネットポート、１３３ミラーポート、１４０ネットワークタップ装置、１４１第１のポート、１４２第２のポート、１４３第３のポート、１９０通信パケット、１９１ＩＰヘッダ、１９２ＴＣＰヘッダ、１９３通信データ、２００送信パケット解析装置、２１０送信パケット取得部、２２０通信パケット取得部、２３０通信パケットフィルタ部、２９０解析記憶部、２９１フィルタファイル、２９２セッションファイル、２９３解析結果ファイル、２９４秘匿情報ファイル、２９５検査結果ファイル、２９６検査結果メール、３００送信パケット解析部、３１０セッション復元部、３２０セッション解析部、３３０送信ファイル検査部、３３１セッション検索部、３３２送信ファイル取得部、３３３秘匿情報検査部、３３４検査結果通知部、９０１演算装置、９０２補助記憶装置、９０３主記憶装置、９０４通信装置、９０５入出力装置、９０９バス。 100 transmission packet analysis system, 101 transmission packet, 102 reception packet, 110 client device, 119 local area network, 120 server device, 129 internet, 130 switch device, 131 LAN port, 132 internet port, 133 mirror port, 140 network tap device , 141 1st port, 142 2nd port, 143 3rd port, 190 communication packet, 191 IP header, 192 TCP header, 193 communication data, 200 transmission packet analyzer, 210 transmission packet acquisition unit, 220 communication packet Acquisition unit, 230 communication packet filter unit, 290 analysis storage unit, 291 filter file, 292 session file, 293 analysis result file, 29 Confidential information file, 295 Inspection result file, 296 Inspection result mail, 300 Transmission packet analysis unit, 310 Session restoration unit, 320 Session analysis unit, 330 Transmission file inspection unit, 331 Session search unit, 332 Transmission file acquisition unit, 333 Confidential information Inspection unit, 334 Inspection result notification unit, 901 arithmetic device, 902 auxiliary storage device, 903 main storage device, 904 communication device, 905 input / output device, 909 bus.

Claims

Receives a communication packet communicated between an internal device connected to a local area network and an external device connected to the Internet, relays the received communication packet to a destination, and among the received communication packets, the internal packet A relay device that outputs only transmission packets transmitted from the device to the external device;
Obtaining the transmission packet output from the relay device, comprising a transmission packet analysis device for analyzing the acquired transmission packet ,
The transmission packet analysis device includes:
A session restoration unit that generates a session file including each transmission data by using transmission data included in each of the one or more transmission packets;
A session analysis unit for determining whether the transmission file transmitted from the internal device to the external device is included in the session file generated by the session restoration unit;
A transmission file inspection unit that inspects the transmission file included in the session file when the session analysis unit determines that the transmission file is included in the session file. Packet analysis system.

The transmission packet analysis system according to claim 1, wherein the relay device is a switch device or a network tap device that is set to output only the transmission packet to the transmission packet analysis device.

A relay device that receives a communication packet communicated between an internal device connected to a local area network and an external device connected to the Internet, relays the received communication packet to a destination, and outputs the received communication packet When,
Obtaining the communication packet output from the relay device, comprising a transmission packet analysis device for analyzing only the transmission packet transmitted from the internal device to the external device among the acquired communication packets ,
The transmission packet analysis device includes:
A session restoration unit that generates a session file including each transmission data by using transmission data included in each of the one or more transmission packets;
A session analysis unit for determining whether the transmission file transmitted from the internal device to the external device is included in the session file generated by the session restoration unit;
A transmission file inspection unit that inspects the transmission file included in the session file when the session analysis unit determines that the transmission file is included in the session file. Packet analysis system.

The transmission packet analysis device includes:
A communication packet acquisition unit for acquiring the communication packet output from the relay device;
A communication packet filter unit for determining whether the communication packet is the transmission packet based on information of a header included in the communication packet acquired by the communication packet acquisition unit;
A transmission packet analysis unit that analyzes the communication packet when the communication packet filter unit determines that the communication packet is the transmission packet ;
The transmission packet analysis system according to claim 3, wherein the transmission packet analysis unit includes the session restoration unit, the session analysis unit, and the transmission file inspection unit .

The communication packet filter unit
If the communication packet is the transmission packet, store the communication packet in a storage unit,
5. The transmission packet analysis system according to claim 4, wherein when the communication packet is not the transmission packet, the communication packet is discarded without storing the communication packet in the storage unit.

A communication packet acquisition unit that acquires the communication packet from a relay device that relays a communication packet communicated between an internal device connected to the local area network and an external device connected to the Internet;
A communication packet filter unit that determines whether the communication packet is a transmission packet transmitted from the internal device to the external device based on information of a header included in the communication packet acquired by the communication packet acquisition unit;
A transmission packet analysis unit that analyzes the communication packet when the communication packet filter unit determines that the communication packet is the transmission packet ;
The transmission packet analysis unit
A session restoration unit that generates a session file including each transmission data by using transmission data included in each of the one or more transmission packets;
A session analysis unit for determining whether the transmission file transmitted from the internal device to the external device is included in the session file generated by the session restoration unit;
A transmission file inspection unit that inspects the transmission file included in the session file when the session analysis unit determines that the transmission file is included in the session file. Packet analysis device.

The communication packet filter unit
If the communication packet is the transmission packet, store the communication packet in a storage unit,
The transmission packet analysis apparatus according to claim 6 , wherein when the communication packet is not the transmission packet, the communication packet is discarded without storing the communication packet in the storage unit.

A communication packet acquisition process for acquiring the communication packet from a relay device that relays a communication packet communicated between an internal device connected to the local area network and an external device connected to the Internet;
A communication packet filtering process for determining whether the communication packet is a transmission packet transmitted from the internal apparatus to the external apparatus, based on information of a header included in the communication packet acquired by the communication packet acquisition process;
When the communication packet filter process determines that the communication packet is the transmission packet, a transmission packet analysis program for causing a computer to execute a transmission packet analysis process for analyzing the communication packet ,
The transmission packet analysis process includes:
A session restoration process for generating a session file including each transmission data using transmission data included in each of the one or more transmission packets;
A session analysis process for determining whether the session file generated by the session restoration process includes a transmission file transmitted from the internal device to the external device;
A transmission file inspection process for inspecting the transmission file included in the session file when the session analysis process determines that the transmission file is included in the session file.
A transmission packet analysis program characterized by the above .

The communication packet filter process is:
If the communication packet is the transmission packet, store the communication packet in a storage unit,
9. The transmission packet analysis program according to claim 8 , wherein when the communication packet is not the transmission packet, the communication packet is discarded without storing the communication packet in the storage unit.