JP5820749B2 - 識別装置、識別方法および識別プログラム - Google Patents
識別装置、識別方法および識別プログラム Download PDFInfo
- Publication number
- JP5820749B2 JP5820749B2 JP2012051475A JP2012051475A JP5820749B2 JP 5820749 B2 JP5820749 B2 JP 5820749B2 JP 2012051475 A JP2012051475 A JP 2012051475A JP 2012051475 A JP2012051475 A JP 2012051475A JP 5820749 B2 JP5820749 B2 JP 5820749B2
- Authority
- JP
- Japan
- Prior art keywords
- information
- communication
- type
- communication packet
- information indicating
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Landscapes
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Description
例えば、非特許文献1に係る技術は、識別したい相手の端末装置に対して通信パケットを送出し、その反応を分析することで、相手の端末装置の種類を識別するものである(非特許文献1参照。)。識別に用いる情報としては、TCP/IP(Transmission Control Protocol/Internet Protocol)の各種のヘッダやオプション等が利用される。
Deep Packet Inspectionを用いることで、例えば非技術文献3に係る技術のように、アプリケーション層の様々な情報を取得し、相手の端末装置の識別を行うことが可能となる(非特許文献3参照。)。
また、図1は、通信パケットを流す回線2を示す。
本実施形態に係る識別装置1は、通信監視部11と、通信プロトコル分析部12と、端末識別情報データベース(情報記憶部)13と、端末識別部14と、を備える。
本実施形態に係る識別装置1では、一例として、CPU(Central Processing Unit)があらかじめ記憶されたソフトウェア(例えば、プログラム)を実行することで、各種の処理や制御が行われる。
ここで、回線2としては、様々なものが用いられてもよく、例えば、コアネットワークの回線や、サービスプロバイダの回線など、様々なネットワークの回線を用いることができる。
また、本実施形態に係る通信システムでは、回線2に、有線通信を行う端末装置や、基地局装置が接続される。
また、本実施形態に係る通信システムでは、無線通信を行う端末装置が、基地局装置と無線により通信することで、当該基地局装置に接続される回線2と接続される。
このような本実施形態に係る通信システムにおいて、有線通信を行う端末装置や、無線通信を行う端末装置は、回線2を介して、通信パケットを通信(送信や受信)する。
通信監視部11は、回線2と接続され、回線2に流れる通信パケット(例えば、そのネットワーク上に流れる通信パケット)を監視する。
本実施形態では、通信監視部11は、回線2に流れる通信パケット(例えば、そのネットワーク上に流れる通信パケット)をリアルタイムに監視する。
他の構成例として、通信監視部11は、オフラインで、外部の記憶装置または外部の通信装置などから、あらかじめ電子ファイル等に保存(記憶)された通信パケットを入力して、この通信パケットを監視対象とすることも可能である。
本実施形態では、通信プロトコル分析部12は、通信プロトコルの情報の分析に際して、通信プロトコルの情報中のアプリケーションの情報を取得し、取得したアプリケーションの情報に基づいて、OS情報などの端末情報を類推して取得する。
また、通信プロトコルの情報から端末情報を取得する手順は、例えば、それぞれの通信プロトコルごとに、あらかじめ規定され、プログラムなどの形式で実現される。
このような通信プロトコル分析部12の機能は、Deep Packet Inspectionの機能に相当する。
通信プロトコル分析部12は、通信パケットに基づいて通信フローを再構築する処理として、得られた複数の通信パケット(通信パケット群)を並べ替えて、(再送の分を除いて、)TCP/IPのセッション(通信フロー)を再現する。そして、通信プロトコル分析部12は、そのTCP/IPのセッション(通信フロー)の上に載っているアプリケーションレイヤプロトコル(HTTP)を分析する。これにより、通信プロトコル分析部12は、アプリケーションレベルで通信プロトコルを分析して、端末情報を取得する。
User−Agent: Mozilla/5.0(*******; U; ******* NT 6.0; ja; rv:1.9.0.6) Gecko/2009011913 Firefox/3.0.6 (.NET CLR 3.5.30729)
また、「******* NT 6.0」は、OSのバージョン(OSの種類)を示す情報である。
なお、上記した(User−Agent:ヘッダの例)およびその説明における「*******」としては、「Windows(登録商標)」という文字列が用いられる(但し、「(登録商標)」という部分は、便宜上付したものであり、前記文字列には含まれない。)。
一例として、端末識別情報データベース13は、通信パケットの特徴を示す情報(フィンガプリント情報)が同じであるが端末情報が異なる組み合わせが存在する場合には、出現回数(または、出願頻度)が大きい組み合わせを優先して、対応付けて記憶する。
なお、本実施形態では、端末識別情報データベース13にShallow Packet Inspectionの機能を備えるが、他の構成例として、通信監視部11にShallow Packet Inspectionの機能を備えて、その結果の情報を通信監視部11から端末識別情報データベース13に出力することも可能である。
本実施形態では、端末識別情報データベース13に記憶される端末識別情報は、通信パケットの特徴を示す情報(フィンガプリント情報)と、端末情報とを対応付けて、構成されている。
図2の例では、複数のフィンガプリント情報のそれぞれごとに、そのフィンガプリント情報が得られた通信パケットから得られた端末情報が対応付けられている。
端末情報としては、例えば、OS情報、機種名情報、番号情報などを用いることができる。
ここで、端末識別部14が検出して出力する対象とする端末情報としては、例えば、OS情報、機種名情報、番号情報などのうちの任意の1つ以上の情報を用いることができる。
なお、本実施形態では、端末識別部14にShallow Packet Inspectionの機能を備えるが、他の構成例として、通信監視部11にShallow Packet Inspectionの機能を備えて、その結果の情報を通信監視部11から端末識別部14に出力することも可能である。
これにより、識別装置1では、通信監視部11により得られた通信パケットを通信網(本実施形態では、回線2)に送信(送出)した端末装置の種類を識別することができる。
例えば、本実施形態に係る識別装置1では、端末識別情報データベース13に記憶される端末識別情報のデータベースは、当該識別装置1により自動的に生成される。
他の構成例として、本実施形態に係る識別装置1では、通信監視部11は、あらかじめ電子ファイル等に保存された通信パケットを監視する。
一構成例として、本実施形態に係る識別装置1では、通信プロトコル分析部12は、通信プロトコルの情報中のアプリケーション情報を取得し、取得したアプリケーション情報からOS情報などの端末情報を類推して、その類推結果の情報を取得する。
また、一構成例として、本実施形態に係る識別装置1では、端末識別情報データベース13は、このような組み合わせについて、出現回数(または、出現頻度)が大きい組み合わせを優先して提供する。
一例として、端末識別情報データベース13は、通信パケットの特徴を示す情報(フィンガプリント情報)と、端末情報と、その組み合わせの出現回数(または、出願頻度)の情報と、を対応付けて記憶する。そして、端末識別部14は、端末識別情報データベース13に記憶される対応付けに基づいて、通信パケットの特徴を示す情報(フィンガプリント情報)が同じであるが端末情報が異なる組み合わせが端末識別情報データベース13の記憶情報に存在する場合には、出現回数(または、出願頻度)が大きい組み合わせを優先する。
例えば、本実施形態に係る識別装置1では、端末装置の種類の識別を、高速かつ高精度に、低コストで、行うことが可能となる。
(構成例1)
識別装置1は、監視対象の通信パケットの情報を取得する通信監視部11と、前記通信監視部11により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の種類を示す情報を取得する通信プロトコル分析部12と、前記通信監視部11により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報と、前記通信パケットの情報に関して前記通信プロトコル分析部12により取得される前記端末装置の種類を示す情報と、を対応付けて記憶する端末識別情報データベース(情報記憶部)13と、を備える。
なお、この(構成例1)に係る識別装置1では、監視対象の通信パケットの情報を取得する通信監視部11は、例えば、回線(ネットワーク)上に流れる通信パケットを直接処理してもよく、または、他の構成例として、ファイル等に蓄えられた通信パケットの情報に対して処理を行ってもよい。
上記した(構成例1)に記載した識別装置1において、さらに、前記端末識別情報データベース(情報記憶部)13に記憶される対応付けに基づいて、前記通信監視部11により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報に対応する端末装置の種類を示す情報を取得する端末識別部14を備える。
上記した(構成例1)または上記した(構成例2)に記載した識別装置1において、前記端末識別情報データベース(情報記憶部)13は、前記通信パケットの特徴を示す情報が同じであるが前記端末装置の種類を示す情報が異なる組み合わせが存在する場合には、出現回数または出願頻度が大きい組み合わせを優先して、対応付けて記憶する。
なお、出現回数または出現頻度としては、例えば、いずれか一方のみが用いられてもよく、または、両方が用いられてもよい。
また、出現回数または出願頻度が大きい組み合わせを優先する態様としては、例えば、出現回数または出願頻度(両方が使用される場合には、両方を考慮した加算値や乗算値などの値)が最も大きい組み合わせ(だけ)を採用する態様を用いることができる。
上記した(構成例1)に記載した識別装置1において、前記端末識別情報データベース(情報記憶部)13は、前記通信パケットの特徴を示す情報と、前記端末装置の種類を示す情報と、その組み合わせの出現回数または出願頻度の情報と、を対応付けて記憶し、さらに、前記端末識別情報データベース(情報記憶部)13に記憶される対応付けに基づいて、前記通信監視部11により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報に対応する端末装置の種類を示す情報を取得し、この場合に、前記通信パケットの特徴を示す情報が同じであるが前記端末装置の種類を示す情報が異なる組み合わせが前記端末識別情報データベース(情報記憶部)13の記憶情報に存在する場合には、出現回数または出願頻度が大きい組み合わせを優先する端末識別部14を備える。
なお、出現回数または出現頻度としては、例えば、いずれか一方のみが用いられてもよく、または、両方が用いられてもよい。
また、出現回数または出願頻度が大きい組み合わせを優先する態様としては、例えば、出現回数または出願頻度(両方が使用される場合には、両方を考慮した加算値や乗算値などの値)が最も大きい組み合わせ(だけ)を採用する態様を用いることができる。
ここで、以上の実施形態では、TCP/IPを用いた通信を例としたが、必ずしもそれに限定されるものではなく、例えば、通信サービス一般に広く適用することが可能である。
同様に、対象とする通信プロトコルについても、特定の通信プロトコルに限定されるものではなく、端末装置の種類に係る情報を含む通信プロトコル一般に広く適用することが可能である。通信プロトコルの具体例としては、例えば、HTTP以外に、SMTP(Simple Mail Transfer Protocol)などに適用することが可能である。
具体的には、端末装置の種類を識別する情報として、例えば、OSを主とする以外に、ミドルウェアのバージョン(ミドルウェアの種類)を示す情報や、特定のアプリケーションのバージョン(特定のアプリケーションの種類)を示す情報などを用いることも可能である。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ROM(Read Only Memory)、フラッシュメモリ等の書き込み可能な不揮発性メモリ、DVD(Digital Versatile Disk)等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことを言う。
また、上記のプログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク(通信網)や電話回線等の通信回線(通信線)のように情報を伝送する機能を有する媒体のことを言う。
また、上記のプログラムは、前述した機能の一部を実現するためのものであっても良い。
さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル(差分プログラム)であっても良い。
Claims (6)
- 監視対象の通信パケットの情報を取得する通信監視部と、
前記通信監視部により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の種類を示す情報として機種名情報、番号情報、ミドルウェアの種類を示す情報または特定のアプリケーションの種類を示す情報のうちの少なくともいずれかを含む情報を取得する通信プロトコル分析部と、
前記通信監視部により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報と、前記通信パケットの情報に関して前記通信プロトコル分析部により取得される前記端末装置の種類を示す情報と、を対応付けて記憶する情報記憶部と、
を備えることを特徴とする識別装置。 - さらに、前記情報記憶部に記憶される対応付けに基づいて、前記通信監視部により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報に対応する端末装置の種類を示す情報を取得する端末識別部を備える、
ことを特徴とする請求項1に記載の識別装置。 - 前記情報記憶部は、前記通信パケットの特徴を示す情報が同じであるが前記端末装置の種類を示す情報が異なる組み合わせが存在する場合には、出現回数または出願頻度が大きい組み合わせを優先して、対応付けて記憶する、
ことを特徴とする請求項1または請求項2に記載の識別装置。 - 前記情報記憶部は、前記通信パケットの特徴を示す情報と、前記端末装置の種類を示す情報と、その組み合わせの出現回数または出願頻度の情報と、を対応付けて記憶し、
さらに、前記情報記憶部に記憶される対応付けに基づいて、前記通信監視部により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報に対応する端末装置の種類を示す情報を取得し、この場合に、前記通信パケットの特徴を示す情報が同じであるが前記端末装置の種類を示す情報が異なる組み合わせが前記情報記憶部の記憶情報に存在する場合には、出現回数または出願頻度が大きい組み合わせを優先する端末識別部を備える、
ことを特徴とする請求項1に記載の識別装置。 - 通信監視部が、監視対象の通信パケットの情報を取得し、
通信プロトコル分析部が、前記通信監視部により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の種類を示す情報として機種名情報、番号情報、ミドルウェアの種類を示す情報または特定のアプリケーションの種類を示す情報のうちの少なくともいずれかを含む情報を取得し、
情報記憶部が、前記通信監視部により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報と、前記通信パケットの情報に関して前記通信プロトコル分析部により取得される前記端末装置の種類を示す情報と、を対応付けて記憶する、
ことを特徴とする識別方法。 - 通信監視部が、監視対象の通信パケットの情報を取得するステップと、
通信プロトコル分析部が、前記通信監視部により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の種類を示す情報として機種名情報、番号情報、ミドルウェアの種類を示す情報または特定のアプリケーションの種類を示す情報のうちの少なくともいずれかを含む情報を取得するステップと、
情報記憶部が、前記通信監視部により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報と、前記通信パケットの情報に関して前記通信プロトコル分析部により取得される前記端末装置の種類を示す情報と、を対応付けて記憶するステップと、
をコンピュータに実行させるための識別プログラム。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2012051475A JP5820749B2 (ja) | 2012-03-08 | 2012-03-08 | 識別装置、識別方法および識別プログラム |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2012051475A JP5820749B2 (ja) | 2012-03-08 | 2012-03-08 | 識別装置、識別方法および識別プログラム |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2013187743A JP2013187743A (ja) | 2013-09-19 |
JP5820749B2 true JP5820749B2 (ja) | 2015-11-24 |
Family
ID=49388815
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2012051475A Active JP5820749B2 (ja) | 2012-03-08 | 2012-03-08 | 識別装置、識別方法および識別プログラム |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP5820749B2 (ja) |
Families Citing this family (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP6110688B2 (ja) * | 2013-02-27 | 2017-04-05 | Kddi株式会社 | 識別装置、識別方法および識別プログラム |
JP6280836B2 (ja) * | 2014-08-12 | 2018-02-14 | Kddi株式会社 | 識別装置、識別方法および識別プログラム |
Family Cites Families (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP4044812B2 (ja) * | 2002-08-30 | 2008-02-06 | 富士通株式会社 | 通信相手のデータの多重化方法を推定する通信装置 |
JP2010166142A (ja) * | 2009-01-13 | 2010-07-29 | Nec Corp | 通信制御装置、通信制御方法、およびプログラム |
-
2012
- 2012-03-08 JP JP2012051475A patent/JP5820749B2/ja active Active
Also Published As
Publication number | Publication date |
---|---|
JP2013187743A (ja) | 2013-09-19 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN106878074B (zh) | 流量过滤方法及装置 | |
JP5404714B2 (ja) | モバイルインターネットアクティビティを監視するためのシステム、方法、及び装置 | |
EP3697042A1 (en) | Traffic analysis method, public service traffic attribution method and corresponding computer system | |
US8254572B2 (en) | Secure provisioning of a portable device using a representation of a key | |
JP2019526137A (ja) | 一致するコンテンツを特定するためのシステムおよび方法 | |
US8799714B1 (en) | Generating test scenarios from application-layer messages | |
JP5112498B2 (ja) | 確認装置、確認方法及び確認プログラム | |
CN105159992A (zh) | 一种应用程序的页面内容及网络行为的检测方法及装置 | |
JP6157189B2 (ja) | 識別装置、識別方法および識別プログラム | |
JP5820749B2 (ja) | 識別装置、識別方法および識別プログラム | |
JP6110688B2 (ja) | 識別装置、識別方法および識別プログラム | |
JP5894786B2 (ja) | マルチパートmimeデータで送信されるデータの画像化置換方法による標的型メール攻撃の対策方法 | |
CN114679314B (zh) | 数据解密的方法、装置、设备及存储介质 | |
WO2016058401A1 (zh) | 一种超文本传输协议数据还原方法及装置 | |
CN113055420A (zh) | Https业务识别方法、装置及计算设备 | |
CN113438503B (zh) | 视频文件还原方法、装置、计算机设备和存储介质 | |
CN106470237B (zh) | 一种异步下载方法及*** | |
JP6280836B2 (ja) | 識別装置、識別方法および識別プログラム | |
CN110187911B (zh) | 客户端软件生成方法、装置、电子设备 | |
CN106101219A (zh) | 基于WebService的数据传输方法及装置 | |
JP5322972B2 (ja) | ウェブ画面復元装置及びウェブ画面復元方法及びウェブ画面復元プログラム | |
JP2011215785A (ja) | 変換処理装置 | |
CN111314104B (zh) | 一种即时通信业务操作行为识别方法及装置 | |
US9607167B2 (en) | Self-service portal for tracking application data file dissemination | |
Karlsson | Enabling Cyber Threat Intelligence Sharing for Resource Constrained IoT |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20140723 |
|
A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A821 Effective date: 20140724 |
|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20150410 |
|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20150421 |
|
A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20150622 |
|
A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A821 Effective date: 20150623 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20150908 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20151005 |
|
R150 | Certificate of patent or registration of utility model |
Ref document number: 5820749 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |