JP5820749B2 - 識別装置、識別方法および識別プログラム - Google Patents

Description

本発明は、識別装置、識別方法および識別プログラムに関する。

通信網において相手となる端末装置のＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）等の種類（種別）を識別する方法が多数提案されてきた。
例えば、非特許文献１に係る技術は、識別したい相手の端末装置に対して通信パケットを送出し、その反応を分析することで、相手の端末装置の種類を識別するものである（非特許文献１参照。）。識別に用いる情報としては、ＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）の各種のヘッダやオプション等が利用される。

また、上述のような動的に相手の端末装置へ通信パケットを送出する方法に加え、非特許文献２に係る技術のように、相手の端末装置の通信内容を静的に監視することで、相手の端末装置の種類を識別する方法も提案されている（非特許文献２参照。）。この方法においても、端末装置の識別にはＴＣＰ／ＩＰの各種のヘッダやオプション等が利用される。

前述のＴＣＰ／ＩＰの情報を用いた識別は一般にＳｈａｌｌｏｗ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎ（ＳＰＩ）と呼ばれるが、一方で、より上位のアプリケーション層の情報を用いた識別を行うＤｅｅｐ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎ（ＤＰＩ）と呼ばれる方法もある。
Ｄｅｅｐ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎを用いることで、例えば非技術文献３に係る技術のように、アプリケーション層の様々な情報を取得し、相手の端末装置の識別を行うことが可能となる（非特許文献３参照。）。

Ｒｅｍｏｔｅ ＯＳ ｄｅｔｅｃｔｉｏｎ ｖｉａ ＴＣＰ／ＩＰ Ｓｔａｃｋ ＦｉｎｇｅｒＰｒｉｎｔｉｎｇ（２ｎｄ Ｇｅｎｅｒａｔｉｏｎ）、［ｏｎｌｉｎｅ］、［平成２４年１月２３日検索］、インターネット ＜ＵＲＬ：ｈｔｔｐ：／／ｎｍａｐ．ｏｒｇ／ｂｏｏｋ／ｏｓｄｅｔｅｃｔ．ｈｔｍｌ＞ Ｏｆｆｉｃｉａｌ ｐ０ｆ ｈｏｍｅｐａｇｅ、［ｏｎｌｉｎｅ］、［平成２４年１月２３日検索］、インターネット ＜ＵＲＬ：ｈｔｔｐ：／／ｌｃａｍｔｕｆ．ｃｏｒｅｄｕｍｐ．ｃｘ／ｐ０ｆ．ｓｈｔｍｌ＞ Ｄｅｅｐ ｐａｃｋｅｔ ｉｎｓｐｅｃｔｉｏｎ ｍｅｅｔｓ‘Ｎｅｔ ｎｅｕｔｒａｌｉｔｙ， ＣＡＬＥＡ、［ｏｎｌｉｎｅ］、［平成２４年１月２３日検索］、インターネット ＜ＵＲＬ：ｈｔｔｐ：／／ａｒｓｔｅｃｈｎｉｃａ．ｃｏｍ／ｈａｒｄｗａｒｅ／ｎｅｗｓ／２００７／０７／Ｄｅｅｐ−ｐａｃｋｅｔ−ｉｎｓｐｅｃｔｉｏｎ−ｍｅｅｔｓ−ｎｅｔ−ｎｅｕｔｒａｌｉｔｙ．ａｒｓ＞

上述した技術のうち、Ｓｈａｌｌｏｗ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎにおいては、ＴＣＰ／ＩＰの各種のヘッダやオプション等の特徴から、該当する端末装置の種類を識別していた。しかしながら、その識別においては、各種の特徴と端末装置の種類との組み合わせが既知であることが前提であり、その識別用のデータベースの作成や維持には大きな労力を要するという問題があった。また、新たな端末装置については、その識別を行うことができないという問題もあった。

一方、Ｄｅｅｐ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎにおいては、計算の負荷が膨大となること、端末装置の識別情報を含まないアプリケーションを用いた通信や暗号化された通信において端末装置の種類を識別することができないこと、などの問題があった。

本発明は、このような事情を考慮してなされたもので、端末装置の種類の識別を効果的に実現することができる識別装置、識別方法および識別プログラムを提供することを課題とする。

（１）上記の課題を解決するために、本発明に係る識別装置は、監視対象の通信パケットの情報を取得する通信監視部と、前記通信監視部により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の種類を示す情報として機種名情報、番号情報、ミドルウェアの種類を示す情報または特定のアプリケーションの種類を示す情報のうちの少なくともいずれかを含む情報を取得する通信プロトコル分析部と、前記通信監視部により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報と、前記通信パケットの情報に関して前記通信プロトコル分析部により取得される前記端末装置の種類を示す情報と、を対応付けて記憶する情報記憶部と、を備えることを特徴とする。

（２）本発明は、上記した（１）に記載の識別装置において、さらに、前記情報記憶部に記憶される対応付けに基づいて、前記通信監視部により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報に対応する端末装置の種類を示す情報を取得する端末識別部を備える、ことを特徴とする。

（３）本発明は、上記した（１）または上記した（２）に記載の識別装置において、前記情報記憶部は、前記通信パケットの特徴を示す情報が同じであるが前記端末装置の種類を示す情報が異なる組み合わせが存在する場合には、出現回数または出願頻度が大きい組み合わせを優先して、対応付けて記憶する、ことを特徴とする。

（４）本発明は、上記した（１）に記載の識別装置において、前記情報記憶部は、前記通信パケットの特徴を示す情報と、前記端末装置の種類を示す情報と、その組み合わせの出現回数または出願頻度の情報と、を対応付けて記憶し、さらに、前記情報記憶部に記憶される対応付けに基づいて、前記通信監視部により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報に対応する端末装置の種類を示す情報を取得し、この場合に、前記通信パケットの特徴を示す情報が同じであるが前記端末装置の種類を示す情報が異なる組み合わせが前記情報記憶部の記憶情報に存在する場合には、出現回数または出願頻度が大きい組み合わせを優先する端末識別部を備える、ことを特徴とする。

（５）上記の課題を解決するために、本発明に係る識別方法は、通信監視部が、監視対象の通信パケットの情報を取得し、通信プロトコル分析部が、前記通信監視部により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の種類を示す情報として機種名情報、番号情報、ミドルウェアの種類を示す情報または特定のアプリケーションの種類を示す情報のうちの少なくともいずれかを含む情報を取得し、情報記憶部が、前記通信監視部により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報と、前記通信パケットの情報に関して前記通信プロトコル分析部により取得される前記端末装置の種類を示す情報と、を対応付けて記憶する、ことを特徴とする。

（６）上記の課題を解決するために、本発明に係る識別プログラムは、通信監視部が、監視対象の通信パケットの情報を取得するステップと、通信プロトコル分析部が、前記通信監視部により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の種類を示す情報として機種名情報、番号情報、ミドルウェアの種類を示す情報または特定のアプリケーションの種類を示す情報のうちの少なくともいずれかを含む情報を取得するステップと、情報記憶部が、前記通信監視部により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報と、前記通信パケットの情報に関して前記通信プロトコル分析部により取得される前記端末装置の種類を示す情報と、を対応付けて記憶するステップと、をコンピュータに実行させるためのプログラムである。

本発明によれば、端末装置の種類の識別を効果的に実現することができる。

本発明の一実施形態に係る識別装置の概略的な構成を示すブロック図である。 本発明の一実施形態に係る端末識別情報データベースに記憶される端末識別情報の一例を示す図である。

以下、図面を参照し、本発明の実施形態について説明する。

図１は、本発明の一実施形態に係る識別装置１の概略的な構成を示すブロック図である。
また、図１は、通信パケットを流す回線２を示す。
本実施形態に係る識別装置１は、通信監視部１１と、通信プロトコル分析部１２と、端末識別情報データベース（情報記憶部）１３と、端末識別部１４と、を備える。
本実施形態に係る識別装置１では、一例として、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）があらかじめ記憶されたソフトウェア（例えば、プログラム）を実行することで、各種の処理や制御が行われる。

本実施形態に係る識別装置１は、回線２と接続される。
ここで、回線２としては、様々なものが用いられてもよく、例えば、コアネットワークの回線や、サービスプロバイダの回線など、様々なネットワークの回線を用いることができる。

なお、本実施形態に係る通信システムでは、識別装置１は、サーバ装置に設けられている。サーバ装置は、回線２と接続される。
また、本実施形態に係る通信システムでは、回線２に、有線通信を行う端末装置や、基地局装置が接続される。
また、本実施形態に係る通信システムでは、無線通信を行う端末装置が、基地局装置と無線により通信することで、当該基地局装置に接続される回線２と接続される。
このような本実施形態に係る通信システムにおいて、有線通信を行う端末装置や、無線通信を行う端末装置は、回線２を介して、通信パケットを通信（送信や受信）する。

本実施形態に係る識別装置１において行われる動作の例を示す。
通信監視部１１は、回線２と接続され、回線２に流れる通信パケット（例えば、そのネットワーク上に流れる通信パケット）を監視する。
本実施形態では、通信監視部１１は、回線２に流れる通信パケット（例えば、そのネットワーク上に流れる通信パケット）をリアルタイムに監視する。
他の構成例として、通信監視部１１は、オフラインで、外部の記憶装置または外部の通信装置などから、あらかじめ電子ファイル等に保存（記憶）された通信パケットを入力して、この通信パケットを監視対象とすることも可能である。

通信監視部１１は、監視対象となる通信パケットを回線２（他の構成例として、外部の記憶装置または外部の通信装置など）から取得すると、取得した通信パケットの情報を、通信プロトコル分析部１２と、端末識別情報データベース１３と、端末識別部１４に、出力する。

本実施形態では、通信監視部１１により監視される通信パケットは、端末識別部１４において端末装置の種類を識別するために使用される対象となるとともに、通信プロトコル分析部１２と端末識別情報データベース１３において端末識別情報のデータベースを作成するために使用される。

通信プロトコル分析部１２は、通信監視部１１から入力されて得られた通信パケットに基づいてセッション（通信フロー）を再構築し、その通信プロトコルの情報を分析する。そして、通信プロトコル分析部１２は、この通信プロトコルの情報の分析により、通信プロトコルの情報中のＯＳ情報などの端末情報を取得する。通信プロトコル分析部１２は、取得した端末情報を端末識別情報データベース１３に出力する。
本実施形態では、通信プロトコル分析部１２は、通信プロトコルの情報の分析に際して、通信プロトコルの情報中のアプリケーションの情報を取得し、取得したアプリケーションの情報に基づいて、ＯＳ情報などの端末情報を類推して取得する。

ここで、一般に、通信プロトコルの情報には、その通信プロトコルを実行する端末装置の種類を示す情報（端末情報）を、そのアプリケーションの情報に、明示的に含むものが存在する。本実施形態では、通信プロトコル分析部１２は、このような端末情報を取得する。
また、通信プロトコルの情報から端末情報を取得する手順は、例えば、それぞれの通信プロトコルごとに、あらかじめ規定され、プログラムなどの形式で実現される。
このような通信プロトコル分析部１２の機能は、Ｄｅｅｐ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎの機能に相当する。

ここで、端末情報としては、端末装置の種類を示す情報が用いられ、例えば、端末装置に搭載されたＯＳの種類を示す情報（ＯＳ情報）、端末装置の機種名を示す情報（機種名情報）、端末装置の番号を示す情報（番号情報）、などのうちの１つ以上を用いることができる。

一例として、ＴＣＰ／ＩＰの通信プロトコルを用いる場合を示す。ＴＣＰ／ＩＰの通信プロトコルのアプリケーションの情報として、アプリケーションレイヤプロトコルであるＨＴＴＰ（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）の情報を用いる。
通信プロトコル分析部１２は、通信パケットに基づいて通信フローを再構築する処理として、得られた複数の通信パケット（通信パケット群）を並べ替えて、（再送の分を除いて、）ＴＣＰ／ＩＰのセッション（通信フロー）を再現する。そして、通信プロトコル分析部１２は、そのＴＣＰ／ＩＰのセッション（通信フロー）の上に載っているアプリケーションレイヤプロトコル（ＨＴＴＰ）を分析する。これにより、通信プロトコル分析部１２は、アプリケーションレベルで通信プロトコルを分析して、端末情報を取得する。

具体的な一例として、ＨＴＴＰのプロトコルにおいては、次のような形式のＵｓｅｒ−Ａｇｅｎｔ：ヘッダが含まれることが多い。

（Ｕｓｅｒ−Ａｇｅｎｔ：ヘッダの例）
Ｕｓｅｒ−Ａｇｅｎｔ： Ｍｏｚｉｌｌａ／５．０（＊＊＊＊＊＊＊； Ｕ； ＊＊＊＊＊＊＊ ＮＴ ６．０； ｊａ； ｒｖ：１．９．０．６） Ｇｅｃｋｏ／２００９０１１９１３ Ｆｉｒｅｆｏｘ／３．０．６ （．ＮＥＴ ＣＬＲ ３．５．３０７２９）

ここで、「Ｍｏｚｉｌｌａ／５．０」は、ブラウザのバージョン（ブラウザの種類）を示す情報である。
また、「＊＊＊＊＊＊＊ ＮＴ ６．０」は、ＯＳのバージョン（ＯＳの種類）を示す情報である。
なお、上記した（Ｕｓｅｒ−Ａｇｅｎｔ：ヘッダの例）およびその説明における「＊＊＊＊＊＊＊」としては、「Ｗｉｎｄｏｗｓ（登録商標）」という文字列が用いられる（但し、「（登録商標）」という部分は、便宜上付したものであり、前記文字列には含まれない。）。

この例では、Ｕｓｅｒ−Ａｇｅｎｔ：ヘッダには、ブラウザのバージョンを示す情報に加えて、ＯＳのバージョンを示す情報が含まれているため、通信プロトコル分析部１２は、このＵｓｅｒ−Ａｇｅｎｔ：ヘッダから、ＯＳ情報を得ることが可能である。

また、他の例として、ある特定のＯＳだけに提供されているアプリケーションがある場合には、このアプリケーションを使用していることが特定されたときには、通信プロトコル分析部１２は、この特定のＯＳの情報を得ることができる。

端末識別情報データベース１３は、通信監視部１１から入力されて得られた通信パケットの情報および通信プロトコル分析部１２から入力されて得られた端末情報に基づいて、これらに関する情報を併せて、端末識別情報として、記録して保持（記憶）する。これにより、端末識別情報データベース１３において、端末識別情報のデータベースが作成される。

本実施形態では、端末識別情報データベース１３は、通信監視部１１から入力されて得られた通信パケットの情報に基づいて得られる通信パケットの特徴を示す情報（本実施形態において、「フィンガプリント情報」と言う。）と、通信プロトコル分析部１２から入力されて得られた当該通信パケットから得られた端末情報とを対応付けて、端末識別情報として記憶する。

ここで、通信パケットの特徴を示す情報（フィンガプリント情報）としては、様々なものが用いられてもよく、一例として、ＴＣＰ／ＩＰの通信プロトコルを用いる場合には、ＴＣＰ／ＩＰの各種のヘッダやオプション等の情報を用いることができる。

また、好ましい例として、端末識別情報データベース１３は、通信パケットの特徴を示す情報（フィンガプリント情報）と端末情報との組み合わせを取得する際に、複数の通信パケットについて出現回数（または、出現頻度）が大きい組み合わせを優先して取得する構成とすることができる。具体例として、端末識別情報データベース１３は、通信パケットの特徴を示す情報（フィンガプリント情報）と端末情報とのうちの一方が同じであるが他方が異なる組み合わせが２つ以上ある場合に、複数の通信パケットについて出現回数（または、出現頻度）が最も大きい組み合わせだけを取得することができる。
一例として、端末識別情報データベース１３は、通信パケットの特徴を示す情報（フィンガプリント情報）が同じであるが端末情報が異なる組み合わせが存在する場合には、出現回数（または、出願頻度）が大きい組み合わせを優先して、対応付けて記憶する。

このような通信パケットの特徴を示す情報（フィンガプリント情報）を取得する端末識別情報データベース１３の機能は、Ｓｈａｌｌｏｗ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎの機能に相当する。
なお、本実施形態では、端末識別情報データベース１３にＳｈａｌｌｏｗ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎの機能を備えるが、他の構成例として、通信監視部１１にＳｈａｌｌｏｗ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎの機能を備えて、その結果の情報を通信監視部１１から端末識別情報データベース１３に出力することも可能である。

図２は、本発明の一実施形態に係る端末識別情報データベース１３に記憶される端末識別情報の一例を示す図である。
本実施形態では、端末識別情報データベース１３に記憶される端末識別情報は、通信パケットの特徴を示す情報（フィンガプリント情報）と、端末情報とを対応付けて、構成されている。
図２の例では、複数のフィンガプリント情報のそれぞれごとに、そのフィンガプリント情報が得られた通信パケットから得られた端末情報が対応付けられている。
端末情報としては、例えば、ＯＳ情報、機種名情報、番号情報などを用いることができる。

端末識別部１４は、通信監視部１１から入力されて得られた通信パケットの情報に基づいて得られる通信パケットの特徴を示す情報（フィンガプリント情報）を取得する。そして、端末識別部１４は、端末識別情報データベース１３に記憶される端末識別情報を参照して、取得した通信パケットの特徴を示す情報（フィンガプリント情報）に対応する端末情報を検出する。端末識別部１４は、検出した端末情報を出力する。
ここで、端末識別部１４が検出して出力する対象とする端末情報としては、例えば、ＯＳ情報、機種名情報、番号情報などのうちの任意の１つ以上の情報を用いることができる。

このような通信パケットの特徴を示す情報（フィンガプリント情報）を取得する端末識別部１４の機能は、Ｓｈａｌｌｏｗ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎの機能に相当する。
なお、本実施形態では、端末識別部１４にＳｈａｌｌｏｗ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎの機能を備えるが、他の構成例として、通信監視部１１にＳｈａｌｌｏｗ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎの機能を備えて、その結果の情報を通信監視部１１から端末識別部１４に出力することも可能である。

このように、端末識別部１４は、Ｓｈａｌｌｏｗ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎにより得られた情報（フィンガプリント情報）と端末識別情報データベース１３より得られた情報（端末識別情報）とを突き合わせることにより、端末装置の種類を識別し、その情報（端末情報）を出力する。
これにより、識別装置１では、通信監視部１１により得られた通信パケットを通信網（本実施形態では、回線２）に送信（送出）した端末装置の種類を識別することができる。

以上のように、本実施形態に係る識別装置１は、通信パケットの情報を監視する通信監視部１１と、通信パケット群から通信フローを再構築してその通信プロトコルを分析する通信プロトコル分析部１２と、通信パケットの特徴を示す情報（フィンガプリント情報）と端末装置の種類を示す情報（端末情報）とを併せて記録および保持する端末識別情報データベース１３と、通信パケットの情報と端末識別情報データベース１３より得られる情報とを突き合わせることにより端末装置の種類を識別してその情報を出力する端末識別部１４と、を備える。これにより、本実施形態に係る識別装置１は、通信パケットから端末装置の種類を識別する。

ここで、本実施形態に係る識別装置１では、通信監視部１１と、通信プロトコル分析部１２と、端末識別情報データベース１３と、端末識別部１４により行われる処理は、当該識別装置１により自動的に行われる。
例えば、本実施形態に係る識別装置１では、端末識別情報データベース１３に記憶される端末識別情報のデータベースは、当該識別装置１により自動的に生成される。

一構成例として、本実施形態に係る識別装置１では、通信監視部１１は、ネットワーク（本実施形態では、回線２）上に流れる通信パケットを監視する。
他の構成例として、本実施形態に係る識別装置１では、通信監視部１１は、あらかじめ電子ファイル等に保存された通信パケットを監視する。

一構成例として、本実施形態に係る識別装置１では、通信プロトコル分析部１２は、通信プロトコルの情報中のＯＳ情報などの端末情報を取得する。
一構成例として、本実施形態に係る識別装置１では、通信プロトコル分析部１２は、通信プロトコルの情報中のアプリケーション情報を取得し、取得したアプリケーション情報からＯＳ情報などの端末情報を類推して、その類推結果の情報を取得する。

一構成例として、本実施形態に係る識別装置１では、端末識別情報データベース１３は、通信監視部１１から得られた通信パケットの特徴を示す情報（フィンガプリント情報）と通信プロトコル分析部１２から得られたＯＳ情報などの端末情報とを併せて、これらの組み合わせの情報を記録する。
また、一構成例として、本実施形態に係る識別装置１では、端末識別情報データベース１３は、このような組み合わせについて、出現回数（または、出現頻度）が大きい組み合わせを優先して提供する。

一構成例として、本実施形態に係る識別装置１では、端末識別部１４は、通信監視部１１から得られた情報と端末識別情報データベース１３より得られた情報とを突き合わせることで、端末装置の種類を識別する。

ここで、他の構成例として、端末識別情報データベース１３は、通信パケットの特徴を示す情報（フィンガプリント情報）と端末情報との組み合わせを取得する際に、さらに、その組み合わせについて、複数の通信パケットについての出現回数（または、出現頻度）も対応付けて、端末識別情報として記憶する。そして、端末識別部１４は、端末識別情報データベース１３の記憶情報（端末識別情報）において、通信パケットの特徴を示す情報（フィンガプリント情報）と端末情報とのうちの一方が同じであるが他方が異なる組み合わせが２つ以上ある場合には、出現回数（または、出願頻度）が大きい組み合わせ（一例として、最も大きい組み合わせ）を優先して、端末装置の種類を識別する。
一例として、端末識別情報データベース１３は、通信パケットの特徴を示す情報（フィンガプリント情報）と、端末情報と、その組み合わせの出現回数（または、出願頻度）の情報と、を対応付けて記憶する。そして、端末識別部１４は、端末識別情報データベース１３に記憶される対応付けに基づいて、通信パケットの特徴を示す情報（フィンガプリント情報）が同じであるが端末情報が異なる組み合わせが端末識別情報データベース１３の記憶情報に存在する場合には、出現回数（または、出願頻度）が大きい組み合わせを優先する。

以上のように、本実施形態に係る識別装置１は、端末装置の種類の識別を効果的に実現することができる。
例えば、本実施形態に係る識別装置１では、端末装置の種類の識別を、高速かつ高精度に、低コストで、行うことが可能となる。

具体的には、本実施形態に係る識別装置１では、例えば、通信内容の静的な監視を行う際に、Ｄｅｅｐ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎを用いて識別用のデータベース（本実施形態では、端末識別情報データベース１３）を自動的に作成して維持することで、このようなデータベースを人により作成する場合と比べて労力を大幅に削減することができ、これとともに、このようなデータベースを用いてＳｈａｌｌｏｗ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎによる相手の端末装置の種類の識別を行うことで、高速かつ高精度な識別を行うことができる。

また、一例として、識別装置１の通信監視部１１から出力される情報（例えば、通信パケットの情報、または、通信パケットの特徴を示す情報（フィンガプリント情報））と、当該識別装置１の端末識別部１４から出力される端末情報を入力する外部の装置（統計用の装置）を設けることが可能である。このような統計用の装置では、識別装置１の通信監視部１１や端末識別部１４から入力される情報に基づいて、各種の統計分析を行い、マーケティング用の情報として使用することなどが可能である。

ここで、本実施形態に係る識別装置１の（構成例１）〜（構成例４）を示す。
（構成例１）
識別装置１は、監視対象の通信パケットの情報を取得する通信監視部１１と、前記通信監視部１１により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の種類を示す情報を取得する通信プロトコル分析部１２と、前記通信監視部１１により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報と、前記通信パケットの情報に関して前記通信プロトコル分析部１２により取得される前記端末装置の種類を示す情報と、を対応付けて記憶する端末識別情報データベース（情報記憶部）１３と、を備える。

この（構成例１）に係る識別装置１では、端末識別情報データベース（情報記憶部）１３に記憶される対応付けにより、端末装置の種類を識別することができる。具体的には、この（構成例１）に係る識別装置１では、端末識別情報データベース（情報記憶部）１３に記憶される対応付けを外部の装置などに出力することにより、当該外部の装置などにおいて、入力される当該対応付けに基づいて、端末装置の種類を識別することができる。
なお、この（構成例１）に係る識別装置１では、監視対象の通信パケットの情報を取得する通信監視部１１は、例えば、回線（ネットワーク）上に流れる通信パケットを直接処理してもよく、または、他の構成例として、ファイル等に蓄えられた通信パケットの情報に対して処理を行ってもよい。

（構成例２）
上記した（構成例１）に記載した識別装置１において、さらに、前記端末識別情報データベース（情報記憶部）１３に記憶される対応付けに基づいて、前記通信監視部１１により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報に対応する端末装置の種類を示す情報を取得する端末識別部１４を備える。

この（構成例２）に係る識別装置１では、端末識別情報データベース（情報記憶部）１３に記憶される対応付けにより、当該識別装置１において、端末装置の種類を識別することができる。

（構成例３）
上記した（構成例１）または上記した（構成例２）に記載した識別装置１において、前記端末識別情報データベース（情報記憶部）１３は、前記通信パケットの特徴を示す情報が同じであるが前記端末装置の種類を示す情報が異なる組み合わせが存在する場合には、出現回数または出願頻度が大きい組み合わせを優先して、対応付けて記憶する。

この（構成例３）に係る識別装置１では、同一の通信パケットの特徴を有する端末装置の種類が複数存在した場合においても、出現回数または出現頻度を勘案することで、精度良く、端末装置の種類を判定（例えば、類推）することができる。
なお、出現回数または出現頻度としては、例えば、いずれか一方のみが用いられてもよく、または、両方が用いられてもよい。
また、出現回数または出願頻度が大きい組み合わせを優先する態様としては、例えば、出現回数または出願頻度（両方が使用される場合には、両方を考慮した加算値や乗算値などの値）が最も大きい組み合わせ（だけ）を採用する態様を用いることができる。

（構成例４）
上記した（構成例１）に記載した識別装置１において、前記端末識別情報データベース（情報記憶部）１３は、前記通信パケットの特徴を示す情報と、前記端末装置の種類を示す情報と、その組み合わせの出現回数または出願頻度の情報と、を対応付けて記憶し、さらに、前記端末識別情報データベース（情報記憶部）１３に記憶される対応付けに基づいて、前記通信監視部１１により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報に対応する端末装置の種類を示す情報を取得し、この場合に、前記通信パケットの特徴を示す情報が同じであるが前記端末装置の種類を示す情報が異なる組み合わせが前記端末識別情報データベース（情報記憶部）１３の記憶情報に存在する場合には、出現回数または出願頻度が大きい組み合わせを優先する端末識別部１４を備える。

この（構成例４）に係る識別装置１では、同一の通信パケットの特徴を有する端末装置の種類が複数存在した場合においても、出現回数または出現頻度を勘案することで、精度良く、端末装置の種類を判定（例えば、類推）することができる。
なお、出現回数または出現頻度としては、例えば、いずれか一方のみが用いられてもよく、または、両方が用いられてもよい。
また、出現回数または出願頻度が大きい組み合わせを優先する態様としては、例えば、出現回数または出願頻度（両方が使用される場合には、両方を考慮した加算値や乗算値などの値）が最も大きい組み合わせ（だけ）を採用する態様を用いることができる。

［以上の実施形態のまとめ］
ここで、以上の実施形態では、ＴＣＰ／ＩＰを用いた通信を例としたが、必ずしもそれに限定されるものではなく、例えば、通信サービス一般に広く適用することが可能である。
同様に、対象とする通信プロトコルについても、特定の通信プロトコルに限定されるものではなく、端末装置の種類に係る情報を含む通信プロトコル一般に広く適用することが可能である。通信プロトコルの具体例としては、例えば、ＨＴＴＰ以外に、ＳＭＴＰ（Ｓｉｍｐｌｅ Ｍａｉｌ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）などに適用することが可能である。

また、以上の実施形態では、端末装置の種類を識別する情報として、ＯＳ情報、機種名情報、番号情報を例としたが、他の様々な情報が用いられてもよい。
具体的には、端末装置の種類を識別する情報として、例えば、ＯＳを主とする以外に、ミドルウェアのバージョン（ミドルウェアの種類）を示す情報や、特定のアプリケーションのバージョン（特定のアプリケーションの種類）を示す情報などを用いることも可能である。

また、端末装置としては、様々なものが用いられてもよく、例えば、スマートフォンを含む携帯電話、パーソナルコンピュータ（ＰＣ）、ホームゲートウェイ、専用端末などの端末装置を用いることができる。

以上、本発明の実施形態について図面を参照して詳述したが、具体的な構成はこの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。

また、以上に示した実施形態に係る識別装置１の全部または一部の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより、処理を行ってもよい。

なお、ここで言う「コンピュータシステム」とは、オペレーティング・システム（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ；ＯＳ）や周辺機器等のハードウェアを含むものであってもよい。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、フラッシュメモリ等の書き込み可能な不揮発性メモリ、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことを言う。

さらに、「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（例えばＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ））のように、一定時間プログラムを保持しているものも含むものとする。
また、上記のプログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことを言う。
また、上記のプログラムは、前述した機能の一部を実現するためのものであっても良い。
さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

１…識別装置、２…回線、１１…通信監視部、１２…通信プロトコル分析部、１３…端末識別情報データベース、１４…端末識別部、

Claims (6)

1. 監視対象の通信パケットの情報を取得する通信監視部と、
   前記通信監視部により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の種類を示す情報として機種名情報、番号情報、ミドルウェアの種類を示す情報または特定のアプリケーションの種類を示す情報のうちの少なくともいずれかを含む情報を取得する通信プロトコル分析部と、
   前記通信監視部により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報と、前記通信パケットの情報に関して前記通信プロトコル分析部により取得される前記端末装置の種類を示す情報と、を対応付けて記憶する情報記憶部と、
   を備えることを特徴とする識別装置。
2. さらに、前記情報記憶部に記憶される対応付けに基づいて、前記通信監視部により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報に対応する端末装置の種類を示す情報を取得する端末識別部を備える、
   ことを特徴とする請求項１に記載の識別装置。
3. 前記情報記憶部は、前記通信パケットの特徴を示す情報が同じであるが前記端末装置の種類を示す情報が異なる組み合わせが存在する場合には、出現回数または出願頻度が大きい組み合わせを優先して、対応付けて記憶する、
   ことを特徴とする請求項１または請求項２に記載の識別装置。
4. 前記情報記憶部は、前記通信パケットの特徴を示す情報と、前記端末装置の種類を示す情報と、その組み合わせの出現回数または出願頻度の情報と、を対応付けて記憶し、
   さらに、前記情報記憶部に記憶される対応付けに基づいて、前記通信監視部により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報に対応する端末装置の種類を示す情報を取得し、この場合に、前記通信パケットの特徴を示す情報が同じであるが前記端末装置の種類を示す情報が異なる組み合わせが前記情報記憶部の記憶情報に存在する場合には、出現回数または出願頻度が大きい組み合わせを優先する端末識別部を備える、
   ことを特徴とする請求項１に記載の識別装置。
5. 通信監視部が、監視対象の通信パケットの情報を取得し、
   通信プロトコル分析部が、前記通信監視部により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の種類を示す情報として機種名情報、番号情報、ミドルウェアの種類を示す情報または特定のアプリケーションの種類を示す情報のうちの少なくともいずれかを含む情報を取得し、
   情報記憶部が、前記通信監視部により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報と、前記通信パケットの情報に関して前記通信プロトコル分析部により取得される前記端末装置の種類を示す情報と、を対応付けて記憶する、
   ことを特徴とする識別方法。
6. 通信監視部が、監視対象の通信パケットの情報を取得するステップと、
   通信プロトコル分析部が、前記通信監視部により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の種類を示す情報として機種名情報、番号情報、ミドルウェアの種類を示す情報または特定のアプリケーションの種類を示す情報のうちの少なくともいずれかを含む情報を取得するステップと、
   情報記憶部が、前記通信監視部により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報と、前記通信パケットの情報に関して前記通信プロトコル分析部により取得される前記端末装置の種類を示す情報と、を対応付けて記憶するステップと、
   をコンピュータに実行させるための識別プログラム。

Images