JP6110688B2 - Identification device, identification method, and identification program - Google Patents

Identification device, identification method, and identification program Download PDF

Info

Publication number
JP6110688B2
JP6110688B2 JP2013037514A JP2013037514A JP6110688B2 JP 6110688 B2 JP6110688 B2 JP 6110688B2 JP 2013037514 A JP2013037514 A JP 2013037514A JP 2013037514 A JP2013037514 A JP 2013037514A JP 6110688 B2 JP6110688 B2 JP 6110688B2
Authority
JP
Japan
Prior art keywords
information
communication
identification
terminal device
terminal
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2013037514A
Other languages
Japanese (ja)
Other versions
JP2014165844A (en
Inventor
徳広 福元
徳広 福元
秀行 小頭
秀行 小頭
茂浩 阿野
茂浩 阿野
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
KDDI Corp
Original Assignee
KDDI Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by KDDI Corp filed Critical KDDI Corp
Priority to JP2013037514A priority Critical patent/JP6110688B2/en
Publication of JP2014165844A publication Critical patent/JP2014165844A/en
Application granted granted Critical
Publication of JP6110688B2 publication Critical patent/JP6110688B2/en
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Landscapes

  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Description

本発明は、識別装置、識別方法および識別プログラムに関する。   The present invention relates to an identification device, an identification method, and an identification program.

通信網において相手となる端末装置のＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）等の種類（種別）を識別する方法が多数提案されてきた。
例えば、非特許文献１に係る技術は、識別したい相手の端末装置に対して通信パケットを送出し、その反応を分析することで、相手の端末装置の種類を識別するものである（非特許文献１参照。）。識別に用いる情報としては、ＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）の各種のヘッダやオプション等が利用される。 Many methods have been proposed for identifying the type (type) such as an OS (Operating System) of a terminal device as a counterpart in a communication network.
For example, the technology according to Non-Patent Document 1 identifies the type of a partner terminal device by sending a communication packet to the partner terminal device to be identified and analyzing the reaction (Non-Patent Document 1). 1). As information used for identification, various headers and options of TCP / IP (Transmission Control Protocol / Internet Protocol) are used.

また、上述のような動的に相手の端末装置へ通信パケットを送出する方法に加え、非特許文献２に係る技術のように、相手の端末装置の通信内容を静的に監視することで、相手の端末装置の種類を識別する方法も提案されている（非特許文献２参照。）。この方法においても、端末装置の識別にはＴＣＰ／ＩＰの各種のヘッダやオプション等が利用される。   In addition to the above-described method of dynamically transmitting a communication packet to a partner terminal device, as in the technique according to Non-Patent Document 2, by statically monitoring the communication content of the partner terminal device, A method for identifying the type of the partner terminal device has also been proposed (see Non-Patent Document 2). Also in this method, various types of TCP / IP headers and options are used to identify the terminal device.

前述のＴＣＰ／ＩＰの情報を用いた識別は一般にＳｈａｌｌｏｗ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎ（ＳＰＩ）と呼ばれるが、一方で、より上位のアプリケーション層の情報を用いた識別を行うＤｅｅｐ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎ（ＤＰＩ）と呼ばれる方法もある。
Ｄｅｅｐ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎを用いることで、例えば非特許文献３に係る技術のように、アプリケーション層の様々な情報を取得し、相手の端末装置の識別を行うことが可能となる（非特許文献３参照。）。 The above-described identification using TCP / IP information is generally called Shallow Packet Inspection (SPI). On the other hand, there is also a method called Deep Packet Inspection (DPI) that performs identification using information of a higher application layer. .
By using Deep Packet Inspection, for example, as in the technique according to Non-Patent Document 3, it is possible to acquire various information of the application layer and identify the partner terminal device (see Non-Patent Document 3). ).

Ｒｅｍｏｔｅ ＯＳ ｄｅｔｅｃｔｉｏｎ ｖｉａ ＴＣＰ／ＩＰ Ｓｔａｃｋ ＦｉｎｇｅｒＰｒｉｎｔｉｎｇ（２ｎｄ Ｇｅｎｅｒａｔｉｏｎ）、［ｏｎｌｉｎｅ］、［平成２５年２月１２日検索］、インターネット ＜ＵＲＬ：ｈｔｔｐ：／／ｎｍａｐ．ｏｒｇ／ｂｏｏｋ／ｏｓｄｅｔｅｃｔ．ｈｔｍｌ＞Remote OS detection via TCP / IP Stack FingerPrinting (2nd Generation), [online], [February 12, 2013 search], Internet <URL: http: // nmap. org / book / osdetect. html> Ｏｆｆｉｃｉａｌ ｐ０ｆ ｈｏｍｅｐａｇｅ、［ｏｎｌｉｎｅ］、［平成２５年２月１２日検索］、インターネット ＜ＵＲＬ：ｈｔｔｐ：／／ｌｃａｍｔｕｆ．ｃｏｒｅｄｕｍｐ．ｃｘ／ｐ０ｆ．ｓｈｔｍｌ＞Official p0f homepage, [online], [February 12, 2013 search], Internet <URL: http: // lcamtuf. coredump. cx / p0f. shml> Ｄｅｅｐ ｐａｃｋｅｔ ｉｎｓｐｅｃｔｉｏｎ ｍｅｅｔｓ‘Ｎｅｔ ｎｅｕｔｒａｌｉｔｙ， ＣＡＬＥＡ、［ｏｎｌｉｎｅ］、［平成２５年２月１２日検索］、インターネット ＜ＵＲＬ：ｈｔｔｐ：／／ａｒｓｔｅｃｈｎｉｃａ．ｃｏｍ／ｈａｒｄｗａｒｅ／ｎｅｗｓ／２００７／０７／Ｄｅｅｐ−ｐａｃｋｅｔ−ｉｎｓｐｅｃｔｉｏｎ−ｍｅｅｔｓ−ｎｅｔ−ｎｅｕｔｒａｌｉｔｙ．ａｒｓ＞Deep packet inspection meets' Net neutrality, CALEA, [online], [February 12, 2013 search], Internet <URL: http: // artechnica. com / hardware / news / 2007/07 / Deep-packet-inspection-meets-net-neutrality. ars>

ところで、端末装置の個体の識別（個体識別）を行うことは、広告やマーケティング等において非常に重要であり、その技術が求められている。しかしながら、従来では、端末装置の個体識別を行う場合には端末装置の利用者が能動的に識別情報（ＩＤ）の登録などを行う必要があり、利用者にとって煩雑な手間になってしまうことも多かった。例えば、従来技術における端末装置の識別方法は、ＯＳの種類の判定などを目的としており、端末装置の個体識別には必ずしも適していなかった。   By the way, identifying an individual terminal device (individual identification) is very important in advertising, marketing, and the like, and its technology is required. However, conventionally, when individual identification of a terminal device is performed, it is necessary for the user of the terminal device to actively register identification information (ID), which may be troublesome for the user. There were many. For example, the terminal device identification method in the prior art is intended to determine the type of OS and the like, and is not necessarily suitable for individual identification of the terminal device.

具体的に、上述した技術のうち、Ｓｈａｌｌｏｗ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎにおいては、ＴＣＰ／ＩＰの各種のヘッダやオプション等の特徴から、該当する端末装置の種類を識別していた。しかしながら、この手法では、ＯＳの種類の分類程度の精度が限界であり、端末装置の個体識別を行うためには不十分であった。
一方、Ｄｅｅｐ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎにおいては、Ｓｈａｌｌｏｗ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎより詳細な情報が得られる可能性があるものの、単純なセッション単位のＤｅｅｐ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎのみで得られる情報は限られており、端末装置の個体識別を行うためには不十分であった。 Specifically, among the technologies described above, in Shallow Packet Inspection, the type of the corresponding terminal device is identified from features such as various headers and options of TCP / IP. However, with this method, the accuracy of the classification of the type of OS is limited, and it is insufficient for individual identification of the terminal device.
On the other hand, in Deep Packet Inspection, more detailed information may be obtained than Shallow Packet Inspection, but information that can be obtained only by Deep Packet Inspection in simple session units is limited, and individual identification of terminal devices is performed. It was insufficient for this.

本発明は、このような事情を考慮してなされたもので、端末装置の個体識別を効果的に行うことができる識別装置、識別方法および識別プログラムを提供することを課題とする。   The present invention has been made in view of such circumstances, and an object of the present invention is to provide an identification device, an identification method, and an identification program capable of effectively performing individual identification of a terminal device.

（１）上記の課題を解決するために、本発明に係る識別装置は、監視対象の通信パケットの情報を取得する通信監視部と、前記通信監視部により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の個体識別に係る情報を取得する通信プロトコル分析部と、前記通信プロトコル分析部により取得される情報、および、前記通信監視部により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報を記憶する情報記憶部と、を備えることを特徴とする。   (1) In order to solve the above-described problem, an identification device according to the present invention is based on a communication monitoring unit that acquires information on a communication packet to be monitored, and information on the communication packet acquired by the communication monitoring unit. By reconstructing the communication flow and analyzing the communication protocol, a communication protocol analyzer that acquires information relating to individual identification of the terminal device that transmitted the communication packet, and information acquired by the communication protocol analyzer, And an information storage unit that stores information indicating characteristics of the communication packet obtained based on information of the communication packet acquired by the communication monitoring unit.

（２）本発明は、上記した（１）に記載の識別装置において、前記通信パケットの特徴を示す情報は、ネットワーク内識別子の情報を含み、さらに、前記情報記憶部に記憶される情報に基づいて、同一の端末装置個体であるとされる端末装置ごとに、ネットワーク内識別子の情報を出力する端末個体識別部を備えることを特徴とする。   (2) In the identification device according to (1), the information indicating the characteristics of the communication packet includes information on an identifier in the network, and further, based on information stored in the information storage unit In addition, for each terminal device that is considered to be the same terminal device individual, a terminal individual identification unit that outputs information on the identifier in the network is provided.

（３）本発明は、上記した（２）に記載の識別装置において、前記通信パケットの特徴を示す情報は、さらに、時刻の情報およびネットワークの情報を含み、前記端末個体識別部は、前記ネットワーク内識別子の情報を、時刻の情報およびネットワークの情報と共に出力する、ことを特徴とする。   (3) In the identification device according to (2), the information indicating the characteristics of the communication packet further includes time information and network information, and the terminal individual identification unit includes the network The internal identifier information is output together with time information and network information.

（４）本発明は、上記した（１）から上記した（３）のいずれか１つに記載の識別装置において、前記通信プロトコル分析部は、ＨＴＴＰプロトコルにおけるＵｓｅｒ−Ａｇｅｎｔの情報、または、ＴＣＰのフィンガプリントの情報、または、Ｗｅｂブラウザが出力するヘッダの情報、インストール済みのプラグインの情報、およびそのプラグインのバージョンの情報、または、前記端末装置のクロックスキューの情報、または、前記端末装置のアクセス先のホストの情報、または、前記端末装置の動画のアプリケーションの閲覧設定の情報、のうちの１つ以上を取得する。   (4) In the identification device according to any one of (1) to (3) described above, the communication protocol analysis unit may be configured to use User-Agent information in the HTTP protocol, or TCP. Fingerprint information, header information output by the web browser, installed plug-in information, plug-in version information, clock skew information of the terminal device, or information of the terminal device One or more of the information of the access destination host or the browsing setting information of the moving image application of the terminal device is acquired.

（５）上記の課題を解決するために、本発明に係る識別方法は、通信監視部が、監視対象の通信パケットの情報を取得し、通信プロトコル分析部が、前記通信監視部により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の個体識別に係る情報を取得し、情報記憶部が、前記通信プロトコル分析部により取得される情報、および、前記通信監視部により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報を記憶する、ことを特徴とする。   (5) In order to solve the above-described problem, in the identification method according to the present invention, the communication monitoring unit acquires information on a communication packet to be monitored, and the communication protocol analysis unit is acquired by the communication monitoring unit. By reconstructing the communication flow based on the information of the communication packet and analyzing the communication protocol, information related to individual identification of the terminal device that transmitted the communication packet is acquired, and the information storage unit analyzes the communication protocol And information indicating characteristics of the communication packet obtained based on information acquired by the communication unit and information of the communication packet acquired by the communication monitoring unit.

（６）上記の課題を解決するために、本発明に係る識別プログラムは、通信監視部が、監視対象の通信パケットの情報を取得するステップと、通信プロトコル分析部が、前記通信監視部により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の個体識別に係る情報を取得するステップと、情報記憶部が、前記通信プロトコル分析部により取得される情報、および、前記通信監視部により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報を記憶するステップと、をコンピュータに実行させるためのプログラムである。   (6) In order to solve the above-described problem, an identification program according to the present invention includes a step in which a communication monitoring unit acquires information on a communication packet to be monitored, and a communication protocol analysis unit is acquired by the communication monitoring unit. Reconstructing the communication flow based on the information of the communication packet and analyzing the communication protocol to obtain information relating to the individual identification of the terminal device that transmitted the communication packet, and the information storage unit, Storing the information acquired by the communication protocol analysis unit and the information indicating the characteristics of the communication packet obtained based on the information of the communication packet acquired by the communication monitoring unit. It is a program.

本発明によれば、端末装置の個体識別を効果的に行うことができる。   According to the present invention, individual identification of a terminal device can be performed effectively.

本発明の一実施形態に係る識別装置の概略的な構成を示すブロック図である。It is a block diagram showing a schematic structure of an identification device concerning one embodiment of the present invention. 本発明の一実施形態に係る端末識別情報データベースに記憶される端末識別情報の一例を示す図である。It is a figure which shows an example of the terminal identification information memorize | stored in the terminal identification information database which concerns on one Embodiment of this invention.

以下、図面を参照し、本発明の実施形態について説明する。   Hereinafter, embodiments of the present invention will be described with reference to the drawings.

図１は、本発明の一実施形態に係る識別装置１の概略的な構成を示すブロック図である。
また、図１は、通信パケットを流す回線２を示す。
本実施形態に係る識別装置１は、通信監視部１１と、通信プロトコル分析部１２と、端末識別情報データベース（情報記憶部）１３と、端末個体識別部１４と、を備える。
本実施形態に係る識別装置１では、一例として、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）があらかじめ記憶されたソフトウェア（例えば、プログラム）を実行することで、各種の処理や制御が行われる。 FIG. 1 is a block diagram showing a schematic configuration of an identification apparatus 1 according to an embodiment of the present invention.
FIG. 1 shows a line 2 through which communication packets flow.
The identification device 1 according to the present embodiment includes a communication monitoring unit 11, a communication protocol analysis unit 12, a terminal identification information database (information storage unit) 13, and a terminal individual identification unit 14.
In the identification device 1 according to the present embodiment, as an example, various processes and controls are performed by executing software (for example, a program) stored in advance by a CPU (Central Processing Unit).

本実施形態に係る識別装置１は、回線２と接続される。
ここで、回線２としては、様々なものが用いられてもよく、例えば、コアネットワークの回線や、サービスプロバイダの回線など、様々なネットワークの回線を用いることができる。 The identification device 1 according to this embodiment is connected to a line 2.
Here, various lines may be used as the line 2. For example, various network lines such as a core network line and a service provider line may be used.

なお、本実施形態に係る通信システムでは、識別装置１は、サーバ装置に設けられている。サーバ装置は、回線２と接続される。
また、本実施形態に係る通信システムでは、回線２に、有線通信を行う端末装置や、基地局装置が接続される。
また、本実施形態に係る通信システムでは、無線通信を行う端末装置が、基地局装置と無線により通信することで、当該基地局装置に接続される回線２と接続される。
このような本実施形態に係る通信システムにおいて、有線通信を行う端末装置や、無線通信を行う端末装置は、回線２を介して、通信パケットを通信（送信や受信）する。 In the communication system according to the present embodiment, the identification device 1 is provided in the server device. The server device is connected to the line 2.
In the communication system according to the present embodiment, a terminal device or a base station device that performs wired communication is connected to the line 2.
In the communication system according to the present embodiment, a terminal device that performs wireless communication is connected to the line 2 connected to the base station device by wirelessly communicating with the base station device.
In such a communication system according to the present embodiment, a terminal device that performs wired communication or a terminal device that performs wireless communication communicates (transmits or receives) a communication packet via the line 2.

本実施形態に係る識別装置１において行われる動作の例を示す。
通信監視部１１は、回線２と接続され、回線２に流れる通信パケット（例えば、そのネットワーク上に流れる通信パケット）を監視する。
本実施形態では、通信監視部１１は、回線２に流れる通信パケット（例えば、そのネットワーク上に流れる通信パケット）をリアルタイムに監視する。
他の構成例として、通信監視部１１は、オフラインで、外部の記憶装置または外部の通信装置などから、あらかじめ電子ファイル等に保存（記憶）された通信パケットを入力して、この通信パケットを監視対象とすることも可能である。 An example of an operation performed in the identification device 1 according to the present embodiment is shown.
The communication monitoring unit 11 is connected to the line 2 and monitors communication packets that flow through the line 2 (for example, communication packets that flow on the network).
In the present embodiment, the communication monitoring unit 11 monitors a communication packet flowing on the line 2 (for example, a communication packet flowing on the network) in real time.
As another configuration example, the communication monitoring unit 11 inputs a communication packet saved (stored) in an electronic file in advance from an external storage device or an external communication device, and monitors the communication packet. It is also possible to target.

通信監視部１１は、監視対象となる通信パケットを回線２（他の構成例として、外部の記憶装置または外部の通信装置など）から取得すると、取得した通信パケットの情報を、通信プロトコル分析部１２と、端末識別情報データベース１３に、出力する。
本実施形態では、通信監視部１１により監視される通信パケットは、通信プロトコル分析部１２と端末識別情報データベース１３において端末識別情報のデータベースを作成するために使用される。 When the communication monitoring unit 11 acquires a communication packet to be monitored from the line 2 (as another configuration example, an external storage device or an external communication device), the communication protocol analysis unit 12 To the terminal identification information database 13.
In this embodiment, the communication packet monitored by the communication monitoring unit 11 is used to create a terminal identification information database in the communication protocol analysis unit 12 and the terminal identification information database 13.

通信プロトコル分析部１２は、通信監視部１１から入力されて得られた通信パケットに基づいてセッション（通信フロー）を再構築し、その通信プロトコルの情報を分析する。そして、通信プロトコル分析部１２は、この通信プロトコルの情報の分析により、通信プロトコルの情報中のＯＳ情報などの端末情報を取得する。通信プロトコル分析部１２は、取得した端末情報を端末識別情報データベース１３に出力する。
本実施形態では、通信プロトコル分析部１２は、通信プロトコルの情報の分析に際して、通信プロトコルの情報中のアプリケーションの情報などを取得し、取得したアプリケーションの情報などに基づいて、ＯＳ情報などの端末情報を取得する。この取得は、例えば、類推的に行われてもよい。 The communication protocol analysis unit 12 reconstructs a session (communication flow) based on the communication packet input and obtained from the communication monitoring unit 11, and analyzes information on the communication protocol. Then, the communication protocol analysis unit 12 acquires terminal information such as OS information in the communication protocol information by analyzing the communication protocol information. The communication protocol analysis unit 12 outputs the acquired terminal information to the terminal identification information database 13.
In the present embodiment, the communication protocol analysis unit 12 acquires application information or the like in the communication protocol information when analyzing communication protocol information, and terminal information such as OS information based on the acquired application information or the like. To get. This acquisition may be performed by analogy, for example.

ここで、一般に、通信プロトコルの情報には、その通信プロトコルを実行する端末装置の種類を示す情報（端末情報）を、そのアプリケーションの情報に、明示的に含むものが存在する。本実施形態では、通信プロトコル分析部１２は、このような端末情報を取得する。
また、通信プロトコルの情報から端末情報を取得する手順は、例えば、それぞれの通信プロトコルごとに、あらかじめ規定され、プログラムなどの形式で実現される。
このような通信プロトコル分析部１２の機能は、Ｄｅｅｐ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎの機能に相当する。 Here, in general, there is information in the communication protocol that explicitly includes information (terminal information) indicating the type of the terminal device that executes the communication protocol in the information of the application. In the present embodiment, the communication protocol analysis unit 12 acquires such terminal information.
Further, the procedure for acquiring terminal information from communication protocol information is defined in advance for each communication protocol and is realized in the form of a program or the like.
Such a function of the communication protocol analysis unit 12 corresponds to a function of Deep Packet Inspection.

ここで、端末情報としては、端末装置の種類を示す情報が用いられ、例えば、端末装置に搭載されたＯＳの種類を示す情報（ＯＳ情報）、端末装置の機種名を示す情報（機種名情報）、端末装置の番号を示す情報（番号情報）、などのうちの１つ以上を用いることができる。   Here, information indicating the type of the terminal device is used as the terminal information. For example, information indicating the type of OS installed in the terminal device (OS information), information indicating the model name of the terminal device (model name information) ), Information indicating the number of the terminal device (number information), or the like can be used.

一例として、ＴＣＰ／ＩＰの通信プロトコルを用いる場合を示す。ＴＣＰ／ＩＰの通信プロトコルのアプリケーションの情報として、アプリケーションレイヤプロトコルであるＨＴＴＰ（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）の情報を用いる。
通信プロトコル分析部１２は、通信パケットに基づいて通信フローを再構築する処理として、得られた複数の通信パケット（通信パケット群）を並べ替えて、（再送の分を除いて、）ＴＣＰ／ＩＰのセッション（通信フロー）を再現する。そして、通信プロトコル分析部１２は、そのＴＣＰ／ＩＰのセッション（通信フロー）の上に載っているアプリケーションレイヤプロトコル（ＨＴＴＰ）を分析する。これにより、通信プロトコル分析部１２は、アプリケーションレベルで通信プロトコルを分析して、端末情報を取得する。 As an example, a case where a TCP / IP communication protocol is used will be described. As application information of the TCP / IP communication protocol, HTTP (Hyper Text Transfer Protocol) information, which is an application layer protocol, is used.
The communication protocol analysis unit 12 rearranges the obtained plurality of communication packets (communication packet group) as a process for reconstructing the communication flow based on the communication packet, and removes the TCP / IP (except for retransmission). Reproduce the session (communication flow). Then, the communication protocol analysis unit 12 analyzes an application layer protocol (HTTP) placed on the TCP / IP session (communication flow). As a result, the communication protocol analysis unit 12 analyzes the communication protocol at the application level and acquires terminal information.

具体的な一例として、ＨＴＴＰのプロトコルにおいては、次のような形式のユーザエージェントヘッダ（Ｕｓｅｒ−Ａｇｅｎｔ：ヘッダ）が含まれることが多い。   As a specific example, the HTTP protocol often includes a user agent header (User-Agent: header) in the following format.

（Ｕｓｅｒ−Ａｇｅｎｔ：ヘッダの例）
Ｕｓｅｒ−Ａｇｅｎｔ： Ｍｏｚｉｌｌａ／５．０（＊＊＊＊＊＊＊； Ｕ； ＊＊＊＊＊＊＊ ＮＴ ６．０； ｊａ； ｒｖ：１．９．０．６） Ｇｅｃｋｏ／２００９０１１９１３ Ｆｉｒｅｆｏｘ／３．０．６ （．ＮＥＴ ＣＬＲ ３．５．３０７２９） (User-Agent: header example)
User-Agent: Mozilla / 5.0 (*********; U; ****** NT 6.0; ja; rv: 1.9.0.6) Gecko / 200901913 13 Firefox .0.6 (.NET CLR 3.5.30729)

ここで、「Ｍｏｚｉｌｌａ／５．０」は、ブラウザのバージョン（ブラウザの種類）を示す情報である。
また、「＊＊＊＊＊＊＊ ＮＴ ６．０」は、ＯＳのバージョン（ＯＳの種類）を示す情報である。
なお、上記した（Ｕｓｅｒ−Ａｇｅｎｔ：ヘッダの例）およびその説明における「＊＊＊＊＊＊＊」としては、「Ｗｉｎｄｏｗｓ（登録商標）」という文字列が用いられる（但し、「（登録商標）」という部分は、便宜上付したものであり、前記文字列には含まれない。）。 Here, “Mozilla / 5.0” is information indicating the browser version (browser type).
Further, “******* NT 6.0” is information indicating the OS version (OS type).
Note that the character string “Windows (registered trademark)” is used as “***-***” in the above (User-Agent: header example) and description thereof (provided that “(registered trademark)”). ”Is added for convenience and is not included in the character string.)

この例では、Ｕｓｅｒ−Ａｇｅｎｔ：ヘッダには、ブラウザのバージョンを示す情報に加えて、ＯＳのバージョンを示す情報が含まれているため、通信プロトコル分析部１２は、このＵｓｅｒ−Ａｇｅｎｔ：ヘッダから、ＯＳ情報を得ることが可能である。   In this example, since the User-Agent: header includes information indicating the version of the OS in addition to the information indicating the browser version, the communication protocol analysis unit 12 determines from the User-Agent: header, OS information can be obtained.

また、他の例として、ある特定のＯＳだけに提供されているアプリケーションがある場合には、このアプリケーションを使用していることが特定されたときには、通信プロトコル分析部１２は、この特定のＯＳの情報を得ることができる。   As another example, when there is an application provided only to a specific OS, when it is specified that the application is used, the communication protocol analysis unit 12 determines that the specific OS is used. Information can be obtained.

ここで、Ｕｓｅｒ−Ａｇｅｎｔ：ヘッダには、アプリケーションの種類を示す情報や、バージョンを示す番号などの情報や、ＯＳの種類を示す情報などが含まれている。そして、同一のＵｓｅｒ−Ａｇｅｎｔ（Ｕｓｅｒ−Ａｇｅｎｔに含まれる複数の情報の全てが同一であるもの）を使用する端末装置の数は少なく、１個である場合も多い。   Here, the User-Agent: header includes information indicating an application type, information such as a version number, information indicating an OS type, and the like. In addition, the number of terminal devices using the same User-Agent (all of the plurality of pieces of information included in the User-Agent are the same) is small, and there is often one.

具体例として、スマートフォンなどの端末装置では、様々なアプリケーションの中で、ＨＴＴＰを使用していることが多い。一例として、ある端末装置においては「天気予報のアプリケーションであって、第２．３バージョンであるもの」を使用しており、他の端末装置においては「（前記と同じ）天気予報のアプリケーションであって、第４．０バージョンであるもの」を使用している、ということがあり、この場合、これら２つの端末装置を（同一の）天気予報のアプリケーションではあるがそのバージョンの違いで識別することができる。また、他の例として、端末装置が使用する同種のアプリケーション自体が異なる（例えば、天気予報のアプリケーション自体が異なる）ことに基づいて、各端末装置を識別することも可能である。
そして、このようなアプリケーションやバージョンの組み合わせが完全に同じである端末装置は少ないと考えられ、特に、複数のアプリケーションの組み合わせを考慮するとさらに少なくなり、これにより、ある程度（理想的には、１個ずつ）、端末装置を識別（特定）することが可能である。例えば、複数のＵｓｅｒ−Ａｇｅｎｔの情報の組み合わせを用いると、同じ端末装置（例えば、同じＩＰアドレスを使用する端末装置）が使用した複数のアプリケーションに関する情報の組み合わせを識別（特定）することができる。 As a specific example, a terminal device such as a smartphone often uses HTTP in various applications. As an example, a terminal device uses a “weather forecast application that is the 2.3 version”, and other terminal devices use “(same as above) weather forecast application. In this case, these two terminal devices are identified by the difference in their versions even though they are (same) weather forecast applications. Can do. As another example, it is also possible to identify each terminal device based on the fact that the same kind of application used by the terminal device is different (for example, the weather forecast application itself is different).
And, it is considered that there are few terminal devices in which the combination of such applications and versions is completely the same, especially when considering the combination of a plurality of applications. The terminal device can be identified (specified). For example, when a combination of a plurality of User-Agent information is used, a combination of information on a plurality of applications used by the same terminal device (for example, a terminal device using the same IP address) can be identified (specified).

また、例えば、３ＧＰＰなどの携帯網のアドレス（例えば、ＩＰアドレス）と、ＷｉＦｉ（Ｗｉｒｅｌｅｓｓ Ｆｉｄｅｌｉｔｙ）網などのアドレス（例えば、ＩＰアドレス）とは異なるため、これらについては、互いに紐付けすることが必要となる。本実施形態では、端末装置の個体を識別（特定）した後に、異なる複数のネットワークの間（例えば、異なる複数のネットワーク内識別子の間）の紐付けを行う。この紐付けは、本実施形態では、端末識別情報データベース１３または端末個体識別部１４で行う。   In addition, for example, an address of a mobile network such as 3GPP (for example, an IP address) and an address such as a WiFi (Wireless Fidelity) network (for example, an IP address) are different from each other. It becomes. In this embodiment, after identifying (specifying) an individual terminal device, linking between different networks (for example, between different intra-network identifiers) is performed. In this embodiment, this association is performed by the terminal identification information database 13 or the terminal individual identification unit 14.

また、通信プロトコル分析部１２は、例えば、ＨＴＴＰ以外にも、次のような（情報の例１）〜（情報の例５）のうちの１つ以上の情報を分析してその結果を出力する構成とすることもできて、好ましい。また、他の情報が用いられてもよい。
複数の異なるフィンガプリント（Ｆｉｎｇｅｒｐｒｉｎｔ）の情報を組み合わせて用いると、精度をより高めることができる。 Further, for example, the communication protocol analysis unit 12 analyzes one or more of the following (Information Example 1) to (Information Example 5) in addition to HTTP and outputs the result. A configuration can also be used, which is preferable. Other information may also be used.
When information of a plurality of different fingerprints (Fingerprint) is used in combination, the accuracy can be further improved.

（情報の例１）ＴＣＰのフィンガプリントの情報を用いることができる。
（情報の例２）ブラウザのフィンガプリントの情報を用いることができ、例えば、Ｗｅｂブラウザが出力するヘッダや、インストール済みのプラグインや、プラグインのバージョンなどの情報を用いることができる。
（情報の例３）端末装置のクロックスキュー（Ｃｌｏｃｋ Ｓｋｅｗ）のフィンガプリントの情報を用いることができ、例えば、クロックスキューを使用したデバイス（Ｄｅｖｉｃｅ）のフィンガプリントの情報を用いることができる。
（情報の例４）端末装置のアクセス先のフィンガプリントの情報を用いることができ、例えば、アクセス先のホスト（Ｈｏｓｔ）の情報を用いることができる。
（情報の例５）端末装置の（ＨＴＴＰ以外の）アプリケーションのフィンガプリントの情報を用いることができ、例えば、動画のアプリケーションの閲覧設定の情報を用いることができる。 (Information Example 1) Information on a fingerprint of TCP can be used.
(Example 2 of information) Information on the fingerprint of the browser can be used. For example, information such as a header output by the Web browser, an installed plug-in, and a plug-in version can be used.
(Example 3 of information) Fingerprint information of a clock skew of a terminal device can be used. For example, information of a fingerprint of a device using a clock skew (Device) can be used.
(Example 4 of information) Information on the fingerprint of the access destination of the terminal device can be used. For example, information on the host (Host) of the access destination can be used.
(Example 5 of information) The information of the fingerprint of the application (other than HTTP) of the terminal device can be used. For example, the information of the browsing setting of the application of the moving image can be used.

端末識別情報データベース１３は、通信監視部１１から入力されて得られた通信パケットの情報および通信プロトコル分析部１２から入力されて得られた端末情報に基づいて、これらに関する情報を併せて、端末識別情報として、記録して保持（記憶）する。これにより、端末識別情報データベース１３において、端末識別情報のデータベースが作成される。
本実施形態では、端末識別情報データベース１３は、端末識別情報として、通信プロトコル分析部１２から入力されて得られた端末情報と、ネットワーク内識別子の情報を含むネットワーク関連情報（ネットワークに関連する情報）とを対応付けた情報を記録等する。 The terminal identification information database 13 is based on the communication packet information input from the communication monitoring unit 11 and the terminal information obtained from the communication protocol analysis unit 12 and combines the related information together with the terminal identification. Information is recorded and held (stored). Thereby, a terminal identification information database is created in the terminal identification information database 13.
In this embodiment, the terminal identification information database 13 is network-related information (information related to a network) including terminal information obtained by inputting from the communication protocol analysis unit 12 as terminal identification information and information on an in-network identifier. And the like are recorded.

ここで、ネットワーク内識別子とは、同一のネットワーク内で端末装置を識別することが可能な識別子であり、例えば、アドレスが用いられ、一般のＩＰネットワークではＩＰアドレスが用いられる。
また、ネットワーク関連情報として、例えば、ネットワーク内識別子の情報以外に、ネットワークの情報（ネットワーク情報）や、時刻の情報（時刻情報）を用いることができる。 Here, the intra-network identifier is an identifier that can identify a terminal device in the same network. For example, an address is used, and an IP address is used in a general IP network.
Further, as the network-related information, for example, network information (network information) and time information (time information) can be used in addition to the information on the in-network identifier.

ネットワーク関連情報は、例えば、端末識別情報データベース１３において、通信監視部１１から入力されて得られる通信パケットの情報から（または、通信プロトコル分析部１２から入力されて得られる端末情報から）取得される。
本実施形態では、端末識別情報データベース１３は、例えば、通信監視部１１から入力されて得られた通信パケットの情報に基づいて得られる通信パケットの特徴を示す情報（例えば、ネットワーク関連情報など）を取得する機能を有する。この機能は、Ｓｈａｌｌｏｗ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎの機能に相当する。他の構成例として、通信監視部１１にＳｈａｌｌｏｗ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎの機能を備えて、その結果の情報を通信監視部１１から端末識別情報データベース１３に出力することも可能である。 For example, the network related information is acquired from the information of the communication packet obtained by being input from the communication monitoring unit 11 in the terminal identification information database 13 (or from the terminal information obtained by being input from the communication protocol analyzing unit 12). .
In the present embodiment, the terminal identification information database 13 includes, for example, information (for example, network related information) indicating the characteristics of a communication packet obtained based on the information of the communication packet obtained by being input from the communication monitoring unit 11. Has a function to acquire. This function corresponds to the function of Shallow Packet Inspection. As another configuration example, the communication monitoring unit 11 may have a Shallow Packet Inspection function, and information on the result may be output from the communication monitoring unit 11 to the terminal identification information database 13.

図２は、本発明の一実施形態に係る端末識別情報データベース１３に記憶される端末識別情報の一例を示す図である。
本実施形態では、端末識別情報データベース１３に記憶される端末識別情報は、ネットワーク関連情報と、端末情報とを対応付けて、構成されている。
図２の例では、ネットワーク関連情報として、端末装置に割り当てられたネットワーク内識別子を特定する情報（ネットワーク内識別子の情報）や、端末装置が使用したネットワークを特定する情報（ネットワークの情報）や、端末装置がネットワークを使用した時刻を特定する情報（時刻の情報）を用いている。なお、ネットワーク関連情報としては、様々なものが様々な組み合わせで用いられてもよい。
また、図２の例では、端末情報として、ＨＴＴＰに関する情報や、ＴＣＰのフィンガプリントに関する情報や、Ｗｅｂブラウザの出力ヘッダに関する情報などを用いている。なお、端末情報としては、様々なものが様々な組み合わせで用いられてもよい。 FIG. 2 is a diagram showing an example of terminal identification information stored in the terminal identification information database 13 according to an embodiment of the present invention.
In the present embodiment, the terminal identification information stored in the terminal identification information database 13 is configured by associating network-related information with terminal information.
In the example of FIG. 2, as network-related information, information that identifies an in-network identifier assigned to a terminal device (intra-network identifier information), information that identifies a network used by the terminal device (network information), Information (time information) that identifies the time at which the terminal device used the network is used. Note that various pieces of network-related information may be used in various combinations.
In the example of FIG. 2, information relating to HTTP, information relating to a TCP fingerprint, information relating to an output header of a Web browser, and the like are used as terminal information. Various pieces of terminal information may be used in various combinations.

端末個体識別部１４は、端末識別情報データベース１３に記憶される端末識別情報を参照して、これに基づいて、同一の個体の端末装置である（例えば、そのように推定される）と判定（検出）した端末装置に関する情報を出力する。
本実施形態では、端末個体識別部１４は、端末識別情報データベース１３に蓄えられた情報を集計し、同一の個体の端末装置であると判定される端末装置ごとに、ネットワーク内識別子の情報を、時刻の情報（時刻情報）やネットワークの情報（ネットワーク情報）と対応付けて出力する。ネットワーク内識別子としては、例えば、異なるネットワークにおける２個以上のネットワーク内識別子の群であってもよい。 The terminal individual identification unit 14 refers to the terminal identification information stored in the terminal identification information database 13 and, based on this, determines that it is the terminal device of the same individual (for example, estimated as such) ( Information on the detected terminal device is output.
In this embodiment, the terminal individual identification part 14 totals the information stored in the terminal identification information database 13, and for each terminal device determined to be the terminal device of the same individual, The information is output in association with time information (time information) or network information (network information). The intra-network identifier may be, for example, a group of two or more intra-network identifiers in different networks.

ここで、同一の個体の端末装置であることは、例えば、端末識別情報における端末情報に含まれる複数の情報が全て一致したような場合に、判定する。
また、ネットワーク内識別子の情報や、時刻情報や、ネットワーク情報は、例えば、端末識別情報データベース１３から入力されて得られる端末識別情報におけるネットワーク関連情報から取得される。 Here, the terminal device of the same individual is determined when, for example, all the pieces of information included in the terminal information in the terminal identification information match.
Further, the information on the identifier in the network, the time information, and the network information are acquired from the network related information in the terminal identification information obtained by being input from the terminal identification information database 13, for example.

一例として、図２の例に係る端末識別情報に基づいて、端末個体識別部１４は、「あるユーザの端末装置は、時刻が００：００：００〜０１：００：００の範囲にある時間帯においてはネットワークＡにおいてアドレスａを使用した通信を行っていたが、時刻が０３：００：００〜０５：００：００の範囲にある時間帯においてはネットワークＢにおいてアドレスｂを使用した通信を行っていた」ということを判定して、その情報を出力する。この場合に、端末個体識別部１４は、ネットワークＡにおいてアドレスａを使用した通信を行っていた端末装置について得られた端末情報と、ネットワークＢにおいてアドレスｂを使用した通信を行っていた端末装置について得られた端末情報とが、全部について、または、あらかじめ定められた一部について、または、あらかじめ定められた閾値（例えば、個数、または、割合など）以上について、一致することを判定した場合に、これらの端末装置が同一の個体の端末装置であると判定する。   As an example, based on the terminal identification information according to the example of FIG. 2, the terminal individual identification unit 14 determines that “a certain user's terminal device has a time zone in the range of 00: 00: 00: 00 to 01: 00: 00: 00. In the network A, the communication using the address a is performed. However, the communication using the address b is performed in the network B in the time zone in which the time is in the range of 03: 00: 00: 00 to 05:00. And output the information. In this case, the terminal individual identification unit 14 uses the terminal information obtained for the terminal device that has performed communication using the address a in the network A and the terminal device that has performed communication using the address b in the network B. When it is determined that the obtained terminal information matches for all, a predetermined part, or a predetermined threshold (for example, the number or the ratio) or more, It is determined that these terminal devices are terminal devices of the same individual.

以上のように、本実施形態に係る識別装置１では、例えば、通信内容の静的な監視を行い、Ｄｅｅｐ Ｐａｃｋｅｔ Ｉｎｓｐｅｃｔｉｏｎを用いて収集した各種の情報を組み合わせることで、端末装置の個体を識別する。本実施形態に係る識別装置１では、例えば、端末装置ごとに固有な通信方法の特徴などを利用することで、端末装置の個体を一意に識別する。これにより、本実施形態に係る識別装置１では、通信監視部１１により得られた通信パケットを通信網（本実施形態では、回線２）に送信（送出）した端末装置の個体を識別することができる。   As described above, in the identification device 1 according to the present embodiment, for example, the communication device is statically monitored, and the individual pieces of terminal devices are identified by combining various information collected using Deep Packet Inspection. . In the identification device 1 according to the present embodiment, for example, an individual terminal device is uniquely identified by using a characteristic of a communication method unique to each terminal device. Thereby, in the identification device 1 according to the present embodiment, it is possible to identify the individual terminal device that has transmitted (sent) the communication packet obtained by the communication monitoring unit 11 to the communication network (line 2 in the present embodiment). it can.

このように、本実施形態に係る識別装置１によると、端末装置の個体識別を効果的に行うことができ、例えば、高速且つ高精度に、低コストで、端末装置の個体識別を行うことが可能となる。本実施形態に係る識別装置１によると、例えば、１個１個の端末装置を匿名化して特定することも可能である。また、本実施形態に係る識別装置１によると、例えば、３ＧＰＰなどの携帯網やＷｉＦｉ網などのように、異なる複数のネットワークの間においても、同一の端末装置を紐付けすることが可能であり、ネットワークの改善に役立つことができる。   Thus, according to the identification device 1 according to the present embodiment, the individual identification of the terminal device can be performed effectively. For example, the individual identification of the terminal device can be performed at high speed, high accuracy, and low cost. It becomes possible. According to the identification device 1 according to the present embodiment, for example, it is possible to anonymize and specify each terminal device. In addition, according to the identification device 1 according to the present embodiment, it is possible to link the same terminal device between a plurality of different networks such as a mobile network such as 3GPP or a WiFi network. Can help improve the network.

［以上の実施形態に係る構成例］
ここで、本実施形態に係る（構成例１）〜（構成例６）を示す。
（構成例１）
識別装置１は、監視対象の通信パケットの情報を取得する通信監視部１１と、前記通信監視部１１により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の個体識別に係る情報を取得する通信プロトコル分析部１２と、前記通信プロトコル分析部１２により取得される情報（例えば、端末情報）、および、前記通信監視部１１により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報（例えば、ネットワーク関連情報）を記憶する端末識別情報データベース（情報記憶部）１３と、を備える。 [Configuration example according to the above embodiment]
Here, (Configuration Example 1) to (Configuration Example 6) according to the present embodiment are shown.
(Configuration example 1)
The identification device 1 analyzes the communication protocol by reconstructing the communication flow based on the communication monitoring unit 11 that acquires information about the communication packet to be monitored, and the communication packet information acquired by the communication monitoring unit 11. Thus, a communication protocol analysis unit 12 that acquires information related to individual identification of the terminal device that transmitted the communication packet, information (for example, terminal information) acquired by the communication protocol analysis unit 12, and the communication monitoring A terminal identification information database (information storage unit) 13 that stores information (for example, network-related information) indicating characteristics of the communication packet obtained based on the information of the communication packet acquired by the unit 11.

この（構成例１）に係る識別装置１では、端末識別情報データベース（情報記憶部）１３に記憶される情報により、端末装置の個体を識別することができる。具体的には、この（構成例１）に係る識別装置１では、端末識別情報データベース（情報記憶部）１３に記憶される情報を外部の装置などに出力することにより、当該外部の装置などにおいて、入力される当該情報に基づいて、端末装置の個体を識別することができる。
なお、この（構成例１）に係る識別装置１では、監視対象の通信パケットの情報を取得する通信監視部１１は、例えば、回線（ネットワーク）上に流れる通信パケットを直接処理してもよく、または、他の構成例として、ファイル等に蓄えられた通信パケットの情報に対して処理を行ってもよい。 In the identification device 1 according to this (configuration example 1), an individual terminal device can be identified by information stored in the terminal identification information database (information storage unit) 13. Specifically, in the identification device 1 according to (Configuration Example 1), by outputting information stored in the terminal identification information database (information storage unit) 13 to an external device or the like, the external device or the like The individual terminal device can be identified based on the input information.
Note that, in the identification device 1 according to this (Configuration Example 1), the communication monitoring unit 11 that acquires information on the communication packet to be monitored may directly process the communication packet flowing on the line (network), for example, Alternatively, as another configuration example, processing may be performed on communication packet information stored in a file or the like.

（構成例２）
上記した（構成例１）に記載した識別装置１において、前記通信パケットの特徴を示す情報は、ネットワーク内識別子の情報を含み、さらに、前記端末識別情報データベース（情報記憶部）１３に記憶される情報に基づいて、同一の端末装置個体であるとされる端末装置ごとに、ネットワーク内識別子の情報を出力する端末個体識別部１４を備える。 (Configuration example 2)
In the identification device 1 described in the above (Configuration Example 1), the information indicating the characteristics of the communication packet includes information on an in-network identifier, and is further stored in the terminal identification information database (information storage unit) 13 A terminal individual identification unit 14 that outputs information on the identifier in the network is provided for each terminal device that is assumed to be the same terminal device individual based on the information.

（構成例３）
上記した（構成例２）に記載した識別装置１において、前記通信パケットの特徴を示す情報は、さらに、時刻の情報およびネットワークの情報を含み、前記端末個体識別部１４は、前記ネットワーク内識別子の情報を、時刻の情報およびネットワークの情報と共に出力する。 (Configuration example 3)
In the identification device 1 described in (Configuration Example 2) described above, the information indicating the characteristics of the communication packet further includes time information and network information. The terminal individual identification unit 14 Information is output together with time information and network information.

（構成例４）
上記した（構成例１）から上記した（構成例３）のいずれか１つに記載の識別装置１において、前記通信プロトコル分析部１２は、ＨＴＴＰプロトコルにおけるＵｓｅｒ−Ａｇｅｎｔの情報、または、ＴＣＰのフィンガプリントの情報、または、Ｗｅｂブラウザが出力するヘッダの情報、インストール済みのプラグインの情報、およびそのプラグインのバージョンの情報、または、前記端末装置のクロックスキューの情報、または、前記端末装置のアクセス先のホストの情報、または、前記端末装置の動画のアプリケーションの閲覧設定の情報、のうちの１つ以上を取得する。 (Configuration example 4)
In the identification device 1 according to any one of (Configuration Example 1) to (Configuration Example 3) described above, the communication protocol analysis unit 12 is configured to use User-Agent information in the HTTP protocol or a TCP finger. Print information, header information output by the Web browser, installed plug-in information, plug-in version information, clock skew information of the terminal device, or access of the terminal device One or more of the information of the previous host or the browsing setting information of the moving image application of the terminal device is acquired.

（構成例５）
識別装置１において行われる識別方法では、通信監視部１１が、監視対象の通信パケットの情報を取得し、通信プロトコル分析部１２が、前記通信監視部１１により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の個体識別に係る情報を取得し、端末識別情報データベース（情報記憶部）１３が、前記通信プロトコル分析部１２により取得される情報、および、前記通信監視部１１により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報を記憶する。 (Configuration example 5)
In the identification method performed in the identification device 1, the communication monitoring unit 11 acquires information on the communication packet to be monitored, and the communication protocol analysis unit 12 is based on the communication packet information acquired by the communication monitoring unit 11. By reconstructing the communication flow and analyzing the communication protocol, information related to the individual identification of the terminal device that has transmitted the communication packet is acquired, and the terminal identification information database (information storage unit) 13 performs the communication protocol analysis. The information acquired by the unit 12 and the information indicating the characteristics of the communication packet obtained based on the information of the communication packet acquired by the communication monitoring unit 11 are stored.

（構成例６）
識別装置１において用いられて実行されるプログラム（識別プログラム）は、通信監視部１１が、監視対象の通信パケットの情報を取得するステップと、通信プロトコル分析部１２が、前記通信監視部１１により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の個体識別に係る情報を取得するステップと、端末識別情報データベース（情報記憶部）１３が、前記通信プロトコル分析部１２により取得される情報、および、前記通信監視部１１により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報を記憶するステップと、をコンピュータに実行させる。 (Configuration example 6)
A program (identification program) used and executed in the identification device 1 is acquired by the communication monitoring unit 11 using the communication monitoring unit 11 and a step in which the communication monitoring unit 11 acquires information on a communication packet to be monitored. Acquiring information related to individual identification of the terminal device that transmitted the communication packet by reconstructing the communication flow based on the information of the communication packet to be analyzed and analyzing the communication protocol; and a terminal identification information database ( (Information storage unit) 13 stores information indicating the characteristics of the communication packet obtained based on the information acquired by the communication protocol analysis unit 12 and the information of the communication packet acquired by the communication monitoring unit 11. And causing the computer to execute the steps.

［以上の実施形態のまとめ］
ここで、以上の実施形態では、ＴＣＰ／ＩＰを用いた通信を例としたが、必ずしもそれに限定されるものではなく、例えば、通信サービス一般に広く適用することが可能である。
同様に、対象とする通信プロトコルについても、特定の通信プロトコルに限定されるものではなく、例えば、端末装置の個体（例えば、種類など）に係る情報を含む通信プロトコル一般に広く適用することが可能である。通信プロトコルの具体例としては、例えば、ＨＴＴＰ以外に、ＳＭＴＰ（Ｓｉｍｐｌｅ Ｍａｉｌ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）などに適用することが可能である。 [Summary of the above embodiments]
Here, in the above embodiment, communication using TCP / IP is taken as an example, but the present invention is not necessarily limited thereto, and can be widely applied to communication services in general.
Similarly, the target communication protocol is not limited to a specific communication protocol. For example, the target communication protocol can be widely applied to communication protocols including information related to individual terminal devices (for example, types). is there. As a specific example of the communication protocol, for example, it is possible to apply to SMTP (Simple Mail Transfer Protocol) other than HTTP.

また、以上の実施形態では、端末装置の種類を識別する情報として、ＯＳ情報、機種名情報、番号情報を例としたが、他の様々な情報が用いられてもよい。具体的には、端末装置の種類を識別する情報として、例えば、ＯＳを主とする以外に、ミドルウェアのバージョン（ミドルウェアの種類）を示す情報や、特定のアプリケーションのバージョン（特定のアプリケーションの種類）を示す情報などを用いることも可能である。   In the above embodiment, the OS information, the model name information, and the number information are exemplified as information for identifying the type of the terminal device, but various other information may be used. Specifically, as information for identifying the type of the terminal device, for example, information indicating middleware version (middleware type) or a specific application version (specific application type) other than the OS as a main It is also possible to use information indicating

また、端末装置としては、様々なものが用いられてもよく、例えば、スマートフォンを含む携帯電話、パーソナルコンピュータ（ＰＣ）、ホームゲートウェイ、専用端末などの端末装置を用いることができる。   Various terminal devices may be used. For example, a terminal device such as a mobile phone including a smartphone, a personal computer (PC), a home gateway, or a dedicated terminal can be used.

以上、本発明の実施形態について図面を参照して詳述したが、具体的な構成はこの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。   As mentioned above, although embodiment of this invention was explained in full detail with reference to drawings, the concrete structure is not restricted to this embodiment, The design change etc. of the range which does not deviate from the summary of this invention are included.

また、以上に示した実施形態に係る識別装置１の全部または一部の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより、処理を行ってもよい。   Further, a program for realizing all or part of the functions of the identification device 1 according to the embodiment described above is recorded on a computer-readable recording medium, and the program recorded on the recording medium is stored in a computer system. Processing may be performed by reading and executing.

なお、ここで言う「コンピュータシステム」とは、オペレーティング・システム（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ；ＯＳ）や周辺機器等のハードウェアを含むものであってもよい。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、フラッシュメモリ等の書き込み可能な不揮発性メモリ、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことを言う。 The “computer system” mentioned here may include an operating system (OS) and hardware such as peripheral devices.
The “computer-readable recording medium” means a flexible disk, a magneto-optical disk, a ROM (Read Only Memory), a writable nonvolatile memory such as a flash memory, a portable medium such as a DVD (Digital Versatile Disk), A storage device such as a hard disk built in a computer system.

さらに、「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（例えばＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ））のように、一定時間プログラムを保持しているものも含むものとする。
また、上記のプログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことを言う。
また、上記のプログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。 Further, the “computer-readable recording medium” refers to a volatile memory (for example, DRAM (DRAM) inside a computer system that becomes a server or a client when a program is transmitted through a network such as the Internet or a communication line such as a telephone line. Dynamic Random Access Memory)) that holds a program for a certain period of time is also included.
The program may be transmitted from a computer system storing the program in a storage device or the like to another computer system via a transmission medium or by a transmission wave in the transmission medium. Here, the “transmission medium” for transmitting a program refers to a medium having a function of transmitting information, such as a network (communication network) such as the Internet or a communication line (communication line) such as a telephone line.
Further, the above program may be for realizing a part of the functions described above. Furthermore, what can implement | achieve the function mentioned above in combination with the program already recorded on the computer system, and what is called a difference file (difference program) may be sufficient.

１…識別装置、２…回線、１１…通信監視部、１２…通信プロトコル分析部、１３…端末識別情報データベース（情報記憶部）、１４…端末個体識別部 DESCRIPTION OF SYMBOLS 1 ... Identification apparatus, 2 ... Line, 11 ... Communication monitoring part, 12 ... Communication protocol analysis part, 13 ... Terminal identification information database (information storage part), 14 ... Terminal individual identification part

Claims (5)

監視対象の通信パケットの情報を取得する通信監視部と、
前記通信監視部により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の個体識別に係る情報を取得する通信プロトコル分析部と、
前記通信プロトコル分析部により取得される情報、および、前記通信監視部により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報を記憶する情報記憶部と、
を備え、
前記通信プロトコル分析部は、前記端末装置の動画のアプリケーションの閲覧設定の情報を取得する、
ことを特徴とする識別装置。 A communication monitoring unit for acquiring information of a communication packet to be monitored;
A communication protocol for acquiring information related to individual identification of the terminal device that has transmitted the communication packet by reconstructing a communication flow based on the information of the communication packet acquired by the communication monitoring unit and analyzing the communication protocol The analysis department;
An information storage unit for storing information acquired by the communication protocol analysis unit and information indicating characteristics of the communication packet obtained based on information of the communication packet acquired by the communication monitoring unit;
Equipped with a,
The communication protocol analysis unit acquires information on browsing settings of the application of the moving image of the terminal device.
An identification device characterized by that. 前記通信パケットの特徴を示す情報は、ネットワーク内識別子の情報を含み、
さらに、前記情報記憶部に記憶される情報に基づいて、同一の端末装置個体であるとされる端末装置ごとに、ネットワーク内識別子の情報を出力する端末個体識別部を備えることを特徴とする請求項１に記載の識別装置。 The information indicating the characteristics of the communication packet includes information on an in-network identifier,
And a terminal individual identification unit that outputs information on the in-network identifier for each terminal device that is considered to be the same terminal device individual based on information stored in the information storage unit. Item 2. The identification device according to Item 1. 前記通信パケットの特徴を示す情報は、さらに、時刻の情報およびネットワークの情報を含み、
前記端末個体識別部は、前記ネットワーク内識別子の情報を、時刻の情報およびネットワークの情報と共に出力する、
ことを特徴とする請求項２に記載の識別装置。 The information indicating the characteristics of the communication packet further includes time information and network information,
The terminal individual identification unit outputs information on the in-network identifier together with time information and network information.
The identification device according to claim 2. 通信監視部が、監視対象の通信パケットの情報を取得し、
通信プロトコル分析部が、前記通信監視部により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の個体識別に係る情報を取得し、
情報記憶部が、前記通信プロトコル分析部により取得される情報、および、前記通信監視部により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報を記憶し、
前記通信プロトコル分析部は、前記端末装置の動画のアプリケーションの閲覧設定の情報を取得する、
ことを特徴とする識別方法。 The communication monitoring unit obtains information about the communication packet to be monitored,
The communication protocol analysis unit reconstructs the communication flow based on the information of the communication packet acquired by the communication monitoring unit and analyzes the communication protocol, thereby relating to individual identification of the terminal device that has transmitted the communication packet Get information,
Information storage unit, information acquired by the communication protocol analyzer, and stores information indicating characteristics of said communication packets obtained based on information of a communication packet that is acquired by the communication monitoring unit,
The communication protocol analysis unit acquires information on browsing settings of the application of the moving image of the terminal device.
An identification method characterized by the above. 通信監視部が、監視対象の通信パケットの情報を取得するステップと、
通信プロトコル分析部が、前記通信監視部により取得される通信パケットの情報に基づいて通信フローを再構築してその通信プロトコルを分析することで、前記通信パケットを送信した端末装置の個体識別に係る情報を取得するステップと、
情報記憶部が、前記通信プロトコル分析部により取得される情報、および、前記通信監視部により取得される通信パケットの情報に基づいて得られる前記通信パケットの特徴を示す情報を記憶するステップと、
をコンピュータに実行させるための識別プログラムであって、
前記通信プロトコル分析部は、前記端末装置の動画のアプリケーションの閲覧設定の情報を取得する、
識別プログラム。 A communication monitoring unit acquiring information of a communication packet to be monitored;
The communication protocol analysis unit reconstructs the communication flow based on the information of the communication packet acquired by the communication monitoring unit and analyzes the communication protocol, thereby relating to individual identification of the terminal device that has transmitted the communication packet Obtaining information,
An information storage unit storing information indicating the characteristics of the communication packet obtained based on information acquired by the communication protocol analysis unit and information of the communication packet acquired by the communication monitoring unit;
A recognition program for causing a computer to execute the,
The communication protocol analysis unit acquires information on browsing settings of the application of the moving image of the terminal device.
Identification program .
JP2013037514A 2013-02-27 2013-02-27 Identification device, identification method, and identification program Active JP6110688B2 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2013037514A JP6110688B2 (en) 2013-02-27 2013-02-27 Identification device, identification method, and identification program

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2013037514A JP6110688B2 (en) 2013-02-27 2013-02-27 Identification device, identification method, and identification program

Publications (2)

Publication Number Publication Date
JP2014165844A JP2014165844A (en) 2014-09-08
JP6110688B2 true JP6110688B2 (en) 2017-04-05

Family

ID=51616039

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2013037514A Active JP6110688B2 (en) 2013-02-27 2013-02-27 Identification device, identification method, and identification program

Country Status (1)

Country Link
JP (1) JP6110688B2 (en)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106817272B (en) * 2015-11-30 2020-04-14 任子行网络技术股份有限公司 Network protocol automatic analysis testing method and system
CN107426133B (en) * 2016-05-23 2020-06-30 株式会社理光 Method and device for identifying user identity information

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004112766A (en) * 2003-08-25 2004-04-08 Toshiyuki Nakanishi Method and system for providing conforming content
JP2006094063A (en) * 2004-09-22 2006-04-06 Nippon Network Service Kk Data communication method, server, and portable terminal
JP2007164465A (en) * 2005-12-14 2007-06-28 Hitachi Ltd Client security management system
US8204982B2 (en) * 2006-09-14 2012-06-19 Quova, Inc. System and method of middlebox detection and characterization
JP2009246433A (en) * 2008-03-28 2009-10-22 Nippon Hoso Kyokai <Nhk> Mobile terminal and wireless network system
JP2011096150A (en) * 2009-10-30 2011-05-12 Arcadia-Ex Co Ltd Method, system and program for distributing image to mobile terminal
JP5820749B2 (en) * 2012-03-08 2015-11-24 Kddi株式会社 Identification device, identification method, and identification program
JP5456842B2 (en) * 2012-05-18 2014-04-02 株式会社三菱東京Ｕｆｊ銀行 User confirmation apparatus, method, and user authentication system

Also Published As

Publication number Publication date
JP2014165844A (en) 2014-09-08

Similar Documents

Publication Publication Date Title
Perdisci et al. Iotfinder: Efficient large-scale identification of iot devices via passive dns traffic analysis
KR101307909B1 (en) Methods and apparatus for obtaining content with reduced access times
EP3697042A1 (en) Traffic analysis method, public service traffic attribution method and corresponding computer system
US8799714B1 (en) Generating test scenarios from application-layer messages
CN110768933A (en) Network flow application identification method, system and equipment and storage medium
Papadogiannaki et al. Otter: A scalable high-resolution encrypted traffic identification engine
CN109905873B (en) Network account correlation method based on characteristic identification information
WO2015024490A1 (en) Monitoring nat behaviors through uri dereferences in web browsers
US10116535B1 (en) Monitoring internet usage on home networks of panelist users using a measurement device
CN105159992A (en) Method and device for detecting page contents and network behaviors of application program
US9785721B2 (en) System and method for programmatically creating resource locators
JP6157189B2 (en) Identification device, identification method, and identification program
JP6110688B2 (en) Identification device, identification method, and identification program
CN104410724A (en) Method for realizing device type recognition in intelligent gateway based on HTTP protocol
Bae et al. Browsing architecture with presentation metadata for the internet of things
CN103139758A (en) Mobile Socket type application system, server, method and wireless application protocol (WPA) gateway
CN107592299B (en) Proxy internet access identification method, computer device and computer readable storage medium
JP5820749B2 (en) Identification device, identification method, and identification program
US20120042067A1 (en) Method and system for identifying applications accessing http based content in ip data networks
CN113055420A (en) HTTPS service identification method and device and computing equipment
JP6280836B2 (en) Identification device, identification method, and identification program
CN111211995B (en) Method and device for analyzing network traffic acquired by character string matching library
WO2011157183A2 (en) Investigation method and system for web application hosting
KR20140115602A (en) Protocol Reverse Engineering
JP2021093689A (en) Information processing system and information processing method

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20150806

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A821

Effective date: 20150810

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20160624

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20160712

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20160909

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A821

Effective date: 20160912

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20170228

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20170310

R150 Certificate of patent or registration of utility model

Ref document number: 6110688

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150