(57)【要約】【課題】ミラーリングが行われた時刻に基づいてミラーリングパケットの解析を行うことを可能とするパケットキャプチャ方法及びパケットキャプチャシステムを提供する。【解決手段】スイッチ装置が、ネットワークを流れるパケットに対してミラーリングを行うことによりミラーパケットを生成し、ミラーパケットを一意に識別する識別情報と、ミラーリングが行われた時刻とを含むタイムスタンプパケットを生成し、タイムスタンプパケットとミラーパケットとを蓄積装置に転送し、蓄積装置が、スイッチ装置から受信したパケットから、同一の識別情報を含むミラーパケットとタイムスタンプパケットとをそれぞれ特定し、特定したタイムスタンプパケットに含まれる時刻と、特定したミラーパケットとを関連付けて記憶装置に記憶する。【選択図】図７
2018074511.tif 000002
【特許請求の範囲】
【請求項１】
スイッチ装置が、
ネットワークを流れるパケットに対してミラーリングを行うことによりミラーパケットを生成し、
前記ミラーパケットを一意に識別する識別情報と、前記ミラーリングが行われた時刻とを含むタイムスタンプパケットを生成し、
前記タイムスタンプパケットと前記ミラーパケットとを蓄積装置に転送し、
蓄積装置が、
前記スイッチ装置から受信したパケットから、同一の前記識別情報を含む前記ミラーパケットと前記タイムスタンプパケットとをそれぞれ特定し、
特定した前記タイムスタンプパケットに含まれる前記時刻と、特定した前記ミラーパケットとを関連付けて記憶装置に記憶する、
ことを特徴とするパケットキャプチャ方法。
【請求項２】
請求項１において、
前記識別情報は、前記ミラーパケットと前記タイムスタンプパケットとがそれぞれ含むヘッダに含まれる情報である、
ことを特徴とするパケットキャプチャ方法。
【請求項３】
請求項２において、
前記ヘッダは、ＴＣＰパケットまたはＵＤＰパケットである、
ことを特徴とするパケットキャプチャ方法。
【請求項４】
請求項１において、さらに、
前記蓄積装置が、前記スイッチ装置によって転送された前記ミラーパケットを受信した場合、受信した前記ミラーパケットに含まれる所定の情報と、受信した前記ミラーパケットに含まれる前記識別情報とを対応付けた情報を管理情報の一部として記憶装置に記憶し、前記スイッチ装置によって転送された前記タイムスタンプパケットを受信した場合、受信した前記タイムスタンプパケットに含まれる前記時刻と、受信した前記タイムスタンプパケットに含まれる前記識別情報とを対応付けた情報を前記管理情報の一部として記憶装置に記憶し、
前記特定する工程では、前記管理情報を参照し、前記ミラーパケットに含まれる所定の情報及び前記時刻に対応付けられた前記識別情報を特定し、
前記ミラーパケットを記憶する工程では、特定した前記識別情報に対応付けられた前記ミラーパケットに含まれる所定の情報と、特定した前記識別情報に対応付けられた前記時刻とを関連付けて記憶する、
ことを特徴とするパケットキャプチャ方法。
【請求項５】
請求項４において、さらに、
前記蓄積装置が、前記ミラーパケットに含まれる所定の情報と前記時刻とを関連付けて記憶装置に記憶した場合、記憶した前記所定の情報と記憶した前記時刻とを含む情報を前記管理情報から削除する、
ことを特徴とするパケットキャプチャ方法。
【請求項６】
請求項４において、
前記ミラーパケットを記憶する工程では、特定した前記識別情報に対応付けられた前記時刻が、前記記憶装置に記憶済の前記時刻のいずれかよりも前である場合、特定した前記識別情報に対応付けられた前記ミラーパケットに含まれる所定の情報と、特定した前記識別情報に対応付けられた前記時刻との記憶を行わない、
ことを特徴とするパケットキャプチャ方法。
【請求項７】
請求項４において、さらに、
前記蓄積装置が、同一の前記識別情報を有する前記ミラーパケットと前記タイムスタンプパケットとのうちの一方のパケットを受信した後、所定時間を経過しても他方のパケットを受信しない場合、前記一方のパケットに対応する情報を前記管理情報から削除する、
ことを特徴とするパケットキャプチャ方法。
【請求項８】
請求項４において、さらに、
前記蓄積装置が、前記ミラーパケットを受信した後、所定時間が経過するまでに、受信した前記ミラーパケットと同一の前記識別情報を含む前記タイムスタンプパケットを受信しない場合、受信した前記ミラーパケットに含まれる前記所定の情報と、前記タイムスタンプパケットを受信しなかったことを示す情報とを関連付けて記憶装置に記憶する、
ことを特徴とするパケットキャプチャ方法。
【請求項９】
請求項４において、さらに、
前記蓄積装置が、前記タイムスタンプパケットを受信した後、所定時間が経過するまでに、受信した前記タイムスタンプパケットと同一の前記識別情報を含む前記ミラーパケットを受信しない場合、受信した前記タイムスタンプパケットに含まれる前記時刻と、前記ミラーパケットを受信しなかったことを示す情報とを関連付けて記憶装置に記憶する、
ことを特徴とするパケットキャプチャ方法。
【請求項１０】
スイッチ装置が、
ネットワークを流れるパケットに対してミラーリングを行うことにより生成されたミラーパケットのヘッダに、前記ミラーリングが行われた時刻を設定し、
前記時刻が設定された前記ミラーパケットを蓄積装置に転送し、
蓄積装置が、
前記スイッチ装置から受信した前記ミラーパケットのヘッダから前記時刻を特定し、
特定した前記時刻と前記ミラーパケットとを関連付けて記憶装置に記憶する、
ことを特徴とするパケットキャプチャ方法。
【請求項１１】
請求項１０において、
前記設定する処理では、前記ミラーパケットのヘッダにタイムスタンプフィールドが含まれている場合、前記タイムスタンプフィールドに、前記ミラーリングが行われた時刻を設定する、
ことを特徴とするパケットキャプチャ方法。
【請求項１２】
ネットワークを流れるパケットに対してミラーリングを行うことによりミラーパケットを生成するミラーリング処理部と、
前記ミラーパケットを一意に識別する識別情報と、前記ミラーリングが行われた時刻とを含むタイムスタンプパケットを生成するタイムスタンプパケット生成部と、
前記タイムスタンプパケットと前記ミラーパケットとを蓄積装置に転送するパケット転送部と、
を有するスイッチ装置と、
前記スイッチ装置から受信したパケットから、同一の前記識別情報を含む前記ミラーパケットと前記タイムスタンプパケットとをそれぞれ特定する情報特定部と、
特定した前記タイムスタンプパケットに含まれる前記時刻と、特定した前記ミラーパケットとを関連付けて記憶装置に記憶する情報管理部と、
を有する蓄積装置と、を有する
ことを特徴とするパケットキャプチャシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、パケットキャプチャ方法及びパケットキャプチャシステムに関する。
【背景技術】
【０００２】
例えば、利用者に対してサービスを提供する事業者（以下、単に事業者とも呼ぶ）は、例えば、ネットワークを流れる通信パケット（以下、単にパケットとも呼ぶ）を取得して解析を行い、稼動中のシステムやネットワークについての稼働状態を把握する場合がある。
【０００３】
具体的に、ネットワーク上に配置されたスイッチ装置は、ネットワークを流れるパケットを取得し、取得したパケットのミラーリングを行う。そして、スイッチ装置は、ミラーリングにより生成したパケットを、パケットの解析を行うパケットキャプチャ装置（以下、単にキャプチャ装置とも呼ぶ）に送信する。その後、キャプチャ装置は、スイッチ装置から受信したパケットを記憶装置に蓄積し、必要に応じて記憶装置に蓄積したパケットの解析を行う。以下、スイッチ装置におけるミラーリング対象のパケット（スイッチ装置がネットワークから取得するパケット）をシステムパケットと呼び、システムパケットのミラーリングにより生成されるパケット（キャプチャ装置が解析を行うパケット）をミラーパケットとも呼ぶ（例えば、特許文献１乃至４参照）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００７−３２４７０６号公報
【特許文献２】特開２００７−１７４６６８号公報
【特許文献３】特開２０１５−０７６７８０号公報
【特許文献４】特開２０１３−１９２１２８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
上記のようにスイッチ装置からキャプチャ装置に対して送信されたミラーパケットは、各ミラーパケットの通信経路の違い等の理由によって、キャプチャ装置に到達する順序が入れ替わる場合がある。そのため、キャプチャ装置では、例えば、ミラーパケットの解析を行う前に、記憶装置に記憶されたミラーパケットの並び替えを行う。
【０００６】
しかしながら、スイッチ装置がミラーパケットを送信した時刻を示す情報がミラーパケットに含まれていないと、キャプチャ装置は、記憶装置に記憶されたミラーパケットの並び替えを行うことができない。また、キャプチャ装置は、通信順序の入れ替えがシステムパケットとミラーパケットとのどちらで発生したのかを判定することもできない。
【０００７】
そのため、スイッチ装置は、例えば、ミラーリングが行われた時刻を示す情報を、生成したミラーパケットに付加することが考えられる。これにより、キャプチャ装置は、各ミラーパケットのミラーリングが行われた時刻に基づいて、ミラーパケットの並び替え等を行うことが可能になる。
【０００８】
しかしながら、この場合、ミラーパケットのパケットサイズは、ミラーリングが行われた時刻を示す情報の付加によって、スイッチ装置が１回の通信で送信することができるデータの最大サイズであるＭＴＵ（Ｍａｘｉｍｕｍ  Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｕｎｉｔ）よりも大きくなる場合がある。そのため、スイッチ装置は、ミラーパケットに対してフラグメンテーションを行ってからキャプチャ装置に送信する必要があり、ミラーパケットの送受信に伴う処理負担が増大する。
【０００９】
これに対し、事業者は、例えば、ミラーパケットの解析を行う際に、スイッチ装置のＭＴＵよりもミラーパケットに付加する情報のサイズだけ小さいサイズのＭＴＵを、システムパケットの送信元装置に設定することが考えられる。これにより、スイッチ装置は、ミラーリングが行われた時刻を示す情報を付加したミラーパケットのサイズを、スイッチ装置のＭＴＵと同じサイズにすることが可能になる。そのため、スイッチ装置は、ミラーパケットをキャプチャ装置に送信する際に、フラグメンテーションを行う必要がなくなる。
【００１０】
しかしながら、ミラーパケットの送信元装置のＭＴＵの設定変更は、キャプチャ装置におけるミラーパケットの解析結果に影響を及ぼす可能性がある。そのため、キャプチャ装置は、この場合、信頼性の高い解析結果を取得することができない場合がある。
【００１１】
そこで、一つの側面では、本発明は、ミラーリングが行われた時刻に基づいてミラーリングパケットの解析を行うことを可能とするパケットキャプチャ方法及びパケットキャプチャシステムを提供することを目的とする。
【課題を解決するための手段】
【００１２】
実施の形態の一態様では、スイッチ装置が、ネットワークを流れるパケットに対してミラーリングを行うことによりミラーパケットを生成し、前記ミラーパケットを一意に識別する識別情報と、前記ミラーリングが行われた時刻とを含むタイムスタンプパケットを生成し、前記タイムスタンプパケットと前記ミラーパケットとを蓄積装置に転送し、蓄積装置が、前記スイッチ装置から受信したパケットから、同一の前記識別情報を含む前記ミラーパケットと前記タイムスタンプパケットとをそれぞれ特定し、特定した前記タイムスタンプパケットに含まれる前記時刻と、特定した前記ミラーパケットとを関連付けて記憶装置に記憶する。
【発明の効果】
【００１３】
一つの側面によれば、ミラーリングが行われた時刻に基づいてミラーリングパケットの解析を行うことを可能とする。
【図面の簡単な説明】
【００１４】
【図１】図１は、情報処理システム１０の全体構成を示す図である。
【図２】図２は、スイッチ装置１のハードウエア構成を示す図である。
【図３】図３は、キャプチャ装置２のハードウエア構成を示す図である。
【図４】図４は、スイッチ装置１の機能ブロック図である。
【図５】図５は、キャプチャ装置２の機能ブロック図である。
【図６】図６は、第１の実施の形態におけるパケットキャプチャ処理の概略を説明するフローチャート図である。
【図７】図７は、第１の実施の形態におけるパケットキャプチャ処理の概略を説明するフローチャート図である。
【図８】図８は、第１の実施の形態におけるパケットキャプチャ処理の概略を説明する図である。
【図９】図９は、第１の実施の形態におけるパケットキャプチャ処理の概略を説明する図である。
【図１０】図１０は、第１の実施の形態におけるパケットキャプチャ処理の詳細を説明するフローチャート図である。
【図１１】図１１は、第１の実施の形態におけるパケットキャプチャ処理の詳細を説明するフローチャート図である。
【図１２】図１２は、第１の実施の形態におけるパケットキャプチャ処理の詳細を説明するフローチャート図である。
【図１３】図１３は、第１の実施の形態におけるパケットキャプチャ処理の詳細を説明するフローチャート図である。
【図１４】図１４は、第１の実施の形態におけるパケットキャプチャ処理の詳細を説明するフローチャート図である。
【図１５】図１５は、第１の実施の形態におけるパケットキャプチャ処理の詳細を説明するフローチャート図である。
【図１６】図１６は、第１の実施の形態におけるパケットキャプチャ処理の詳細を説明するフローチャート図である。
【図１７】図１７は、第１の実施の形態におけるパケットキャプチャ処理の詳細を説明するフローチャート図である。
【図１８】図１８は、第１の実施の形態におけるパケットキャプチャ処理の詳細を説明するフローチャート図である。
【図１９】図１９は、第１の実施の形態におけるパケットキャプチャ処理の詳細を説明するフローチャート図である。
【図２０】図２０は、ミラーパケット及びタイムスタンプパケットの具体例を説明する図である。
【図２１】図２１は、管理情報２３１の具体例を説明する図である。
【図２２】図２２は、管理情報２３１の具体例を説明する図である。
【図２３】図２３は、管理情報２３１の具体例を説明する図である。
【図２４】図２４は、第２の実施の形態におけるパケットキャプチャ処理の詳細を説明するフローチャート図である。
【図２５】図２５は、第２の実施の形態におけるパケットキャプチャ処理の詳細を説明するフローチャート図である。
【図２６】図２６は、第２の実施の形態におけるパケットキャプチャ処理の詳細を説明するフローチャート図である。
【図２７】図２７は、第２の実施の形態におけるパケットキャプチャ処理の詳細を説明するフローチャート図である。
【図２８】図２８は、第２の実施の形態におけるパケットキャプチャ処理の詳細を説明するフローチャート図である。
【図２９】図２９は、第２の実施の形態におけるパケットキャプチャ処理の詳細を説明するフローチャート図である。
【図３０】図３０は、第２の実施の形態におけるパケットキャプチャ処理の詳細を説明するフローチャート図である。
【発明を実施するための形態】
【００１５】
［情報処理システムの構成］
図１は、情報処理システム１０の全体構成を示す図である。図１に示す情報処理システム１０は、スイッチ装置１と、キャプチャ装置２（以下、蓄積装置２とも呼ぶ）と、サーバ装置３と、サーバ装置４とを有する。なお、以下、スイッチ装置１とキャプチャ装置２とを総称してパケットキャプチャシステムとも呼ぶ。
【００１６】
サーバ装置３及びサーバ装置４は、例えば、それぞれ１台以上の物理マシンからなる物理マシン群であり、事業者が利用者に対してサービスを提供するための処理を行う。そして、サーバ装置３及びサーバ装置４は、必要に応じてシステムパケットの送受信を行う。
【００１７】
スイッチ装置１は、サーバ装置３とサーバ装置４との間に配置されたネットワーク機器である。具体的に、スイッチ装置１は、サーバ装置３またはサーバ装置４が送信したシステムパケットがスイッチ装置１を経由した場合に、そのシステムパケットを取得する。そして、スイッチ装置１は、取得したシステムパケットをミラーリングしてミラーパケットを生成し、生成したミラーパケットをキャプチャ装置２に送信する。なお、以下、スイッチ装置１には、自装置が生成したミラーパケット等のパケットをキャプチャ装置２に送信する旨の設定が行われているものとして説明を行う。
【００１８】
キャプチャ装置２は、スイッチ装置１からミラーパケットを受信した場合、受信したミラーパケットを記憶装置２ａに蓄積する。そして、キャプチャ装置２は、例えば、事業者または利用者が操作端末（図示しない）を介してミラーパケットの解析を行う旨の指示を送信した場合に、記憶装置２ａに記憶されたミラーパケットの解析を行う。
【００１９】
なお、スイッチ装置１、キャプチャ装置２、サーバ装置３及びサーバ装置４のそれぞれは、１台以上の物理マシンに生成された仮想マシンからなるものであってもよい。
【００２０】
上記のような情報処理システム１０において、スイッチ装置１からキャプチャ装置２に対して送信されたミラーパケットは、キャプチャ装置２に到達するまでの間に通信順序が入れ替わる場合がある。そのため、キャプチャ装置２では、例えば、ミラーパケットの解析を行う前に、記憶装置２ａに記憶されたミラーパケットの並び替えを行う場合がある。
【００２１】
しかしながら、スイッチ装置１がミラーパケットを送信した時刻を示す情報がミラーパケットに含まれていない場合、キャプチャ装置２は、記憶装置２ａに記憶されたミラーパケットの並び替えを行うことができなくなる。また、キャプチャ装置２は、この場合、通信順序の入れ替えがシステムパケットとミラーパケットとのどちらで発生したのかを判定することができなくなる。
【００２２】
そのため、スイッチ装置２は、例えば、ミラーリングが行われた時刻を示す情報を、生成したミラーパケットに付加する。これにより、キャプチャ装置２は、各ミラーパケットのミラーリングが行われた時刻に基づいて、ミラーパケットの並び替え等を行うことが可能になる。
【００２３】
しかしながら、この場合、ミラーパケットのパケットサイズは、ミラーリングが行われた時刻を示す情報の付加が行われたために、スイッチ装置１が１回の通信で送信することができるデータの最大サイズであるＭＴＵよりも大きくなる場合がある。そのため、スイッチ装置１は、この場合、ミラーパケットに対してフラグメンテーションを行ってからキャプチャ装置２に送信する必要があり、ミラーパケットの送受信に伴う処理負担が増大する。
【００２４】
これに対し、事業者は、例えば、ミラーパケットの解析を行う際に、スイッチ装置１のＭＴＵよりもミラーパケットに付加する情報のサイズだけ小さいサイズのＭＴＵを、システムパケットの送信元装置（サーバ装置３やサーバ装置４）に設定する場合がある。これにより、スイッチ装置１は、ミラーリングが行われた時刻を示す情報を付加したミラーパケットのサイズを、スイッチ装置１のＭＴＵと同じサイズにすることが可能になる。そのため、スイッチ装置１は、ミラーパケットをキャプチャ装置２に送信する際に、フラグメンテーションを行う必要がなくなる。
【００２５】
しかしながら、ミラーパケットの送信元装置のＭＴＵの設定変更は、キャプチャ装置２におけるミラーパケットの解析結果に影響を及ぼす可能性がある。そのため、キャプチャ装置２は、この場合、信頼性の高い解析結果を取得することができない場合がある。
【００２６】
そこで、スイッチ装置１は、ネットワークを流れるシステムパケットに対してミラーリングを行うことによりミラーパケットを生成する。また、スイッチ装置１は、生成したミラーパケットを一意に識別する識別情報と、ミラーリングが行われた時刻とを含むタイムスタンプパケットを生成する。識別情報は、例えば、ミラーパケットのヘッダに含まれる情報（以下、ヘッダ情報とも呼ぶ）である。その後、スイッチ装置１は、生成したタイムスタンプパケットとミラーパケットとをキャプチャ装置２に転送する。
【００２７】
また、キャプチャ装置２は、スイッチ装置１から受信したパケットから、同一の識別情報を含むミラーパケットとタイムスタンプパケットとをそれぞれ特定し、特定したタイムスタンプパケットに含まれる時刻と、特定したミラーパケットとを関連付けて記憶装置２ａに記憶する。
【００２８】
すなわち、スイッチ装置１は、システムパケットをミラーリングすることによって生成されるミラーパケットの他に、ミラーリングが行われた時刻を含むタイムスタンプパケットをキャプチャ装置２に送信する。そして、キャプチャ装置２は、ミラーパケットを記憶装置２ａに記憶する際に、そのミラーパケットに対応するタイムスタンプパケットに含まれる時刻を対応させて記憶する。
【００２９】
これにより、スイッチ装置１及びキャプチャ装置２は、ＭＴＵの設定の変更等やミラーパケットのフラグメンテーションを行うことなく、ミラーパケットと、そのミラーパケットが生成された時刻（ミラーリングが行われた時刻）とを対応付けて記憶装置２ａに記憶することが可能になる。そして、キャプチャ装置２は、ミラーパケットが生成された時刻を参照しながら、ミラーパケットの解析を行うことが可能になる。
【００３０】
［情報処理システムのハードウエア構成］
次に、情報処理システム１０のハードウエア構成について説明する。図２は、スイッチ装置１のハードウエア構成を示す図である。また、図３は、キャプチャ装置２のハードウエア構成を示す図である。
【００３１】
スイッチ装置１は、図２に示すように、プロセッサであるＣＰＵ１０１と、メモリ１０２と、外部インターフェース（Ｉ／Ｏユニット）１０３と、記憶媒体１０４とを有する。各部は、バス１０５を介して互いに接続される。
【００３２】
記憶媒体１０４は、例えば、記憶媒体１０４内のプログラム格納領域（図示しない）に、ミラーパケットを蓄積する処理（以下、パケットキャプチャ処理とも呼ぶ）を行うためのプログラム１１０を記憶する。また、記憶媒体１０４は、例えば、パケットキャプチャ処理を行う際に用いられる情報を記憶する情報格納領域１３０（以下、記憶部１３０とも呼ぶ）を有する。
【００３３】
ＣＰＵ１０１は、プログラム１１０の実行時に、プログラム１１０を記憶媒体１０４からメモリ１０２にロードし、プログラム１１０と協働してパケットキャプチャ処理を行う。また、外部インターフェース１０３は、例えば、イントラネットやインターネット等からなるネットワークＮＷを介してキャプチャ装置２、サーバ装置３及びサーバ装置４と通信を行う。
【００３４】
また、キャプチャ装置２は、図３に示すように、プロセッサであるＣＰＵ２０１と、メモリ２０２と、外部インターフェース（Ｉ／Ｏユニット）２０３と、記憶媒体２０４とを有する。各部は、バス２０５を介して互いに接続される。
【００３５】
記憶媒体２０４は、例えば、記憶媒体２０４内のプログラム格納領域（図示しない）に、パケットキャプチャ処理を行うためのプログラム２１０を記憶する。また、記憶媒体２０４は、例えば、パケットキャプチャ処理を行う際に用いられる情報を記憶する情報格納領域２３０（以下、記憶部２３０とも呼ぶ）を有する。なお、情報格納領域２３０は、例えば、図１で説明した記憶装置２ａに対応する。
【００３６】
ＣＰＵ２０１は、プログラム２１０の実行時に、プログラム２１０を記憶媒体２０４からメモリ２０２にロードし、プログラム２１０と協働してパケットキャプチャ処理を行う。また、外部インターフェース２０３は、例えば、イントラネットやインターネット等からなるネットワークＮＷを介してスイッチ装置１と通信を行う。
【００３７】
［情報処理システムの機能］
次に、情報処理システム１０の機能について説明する。図４は、スイッチ装置１の機能ブロック図である。また、図５は、キャプチャ装置２の機能ブロック図である。
【００３８】
初めに、スイッチ装置１の機能ブロック図について説明を行う。スイッチ装置１のＣＰＵ１０１は、図４に示すように、プログラム１１０と協働することにより、例えば、ミラーリング処理部１１１と、ヘッダ処理部１１２と、タイムスタンプ生成部１１３と、タイムスタンプ付加部１１４と、パケット転送部１１５と、ヘッダ判定部１１６として動作する。なお、以下、ヘッダ処理部１１２、タイムスタンプ生成部１１３及びタイムスタンプ付加部１１４を総称してタイムスタンプパケット生成部とも呼ぶ。
【００３９】
ミラーリング処理部１１１は、ネットワークを流れるシステムパケットを取得し、取得したシステムパケットに対してミラーリングを行うことによりミラーパケットを生成する。そして、パケット転送部１１５は、ミラーリング処理部１１１が生成したミラーパケットをキャプチャ装置２に送信する。
【００４０】
ヘッダ処理部１１２は、例えば、ミラーリング処理部１１１が生成したミラーパケットのヘッダに含まれる情報（以下、ヘッダ情報とも呼ぶ）を複製する。具体的に、ミラーリング処理部１１１が生成したミラーパケットのトランスポート層のプロトコルがＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）である場合、ヘッダ処理部１１２は、例えば、ミラーパケットの先頭からＴＣＰヘッダまでを複製する。また、ミラーリング処理部１１１が生成したミラーパケットのトランスポート層のプロトコルがＵＤＰ（Ｕｓｅｒ  Ｄａｔａｇｒａｍ  Ｐｒｏｔｏｃｏｌ）である場合、ヘッダ処理部１１２は、例えば、ミラーパケットの先頭からＵＤＰヘッダまでを複製する。
【００４１】
タイムスタンプ生成部１１３は、現在の時刻を示す情報であるタイムスタンプ情報を生成する。そして、タイムスタンプ付加部１１４は、ヘッダ処理部１１２が複製したヘッダに、タイムスタンプ生成部１１３が生成したタイムスタンプ情報を付加することによってタイムスタンプパケットを生成する。その後、パケット転送部１１５は、タイムスタンプ付加部１１４が生成したタイムスタンプパケットをキャプチャ装置２に送信する。
【００４２】
ヘッダ判定部１１６は、ミラーリング処理部１１１が取得したシステムパケットのヘッダがＴＣＰヘッダである場合において、そのＴＣＰヘッダのオプションフィールドにタイムスタンプフィールドが存在するか否かを判定する。そして、ヘッダ判定部１１６は、タイムスタンプフィールドが存在した場合、現在の時刻（タイムスタンプ情報）をタイムスタンプフィールドに設定する。その後、パケット転送部１１５は、ヘッダ判定部１１６がタイムスタンプフィールドにタイムスタンプ情報を設定したミラーパケットをキャプチャ装置２に送信する。
【００４３】
なお、ヘッダ処理部１１２、タイムスタンプ生成部１１３及びタイムスタンプ付加部１１４は、ミラーリング処理部１１１によって生成されたミラーパケットのトランスポート層のプロトコルがＴＣＰ及びＵＤＰ以外である場合についても、タイムスタンプパケットの生成を行うものであってよい。
【００４４】
次に、キャプチャ装置２の機能ブロック図について説明を行う。キャプチャ装置２のＣＰＵ２０１は、図５に示すように、プログラム２１０と協働することにより、例えば、パケット受信部２１１と、パケット判定部２１２と、情報抽出部２１３と、情報特定部２１４と、情報管理部２１５と、エラー通知部２１６と、ヘッダ判定部２１７として動作する。そして、情報格納領域２３０には、例えば、管理情報２３１と、蓄積情報２３２と、不完全情報２３３と、最大タイムスタンプ情報２３４とが記憶される。
【００４５】
パケット受信部２１１は、スイッチ装置１が送信したミラーパケット及びタイムスタンプパケットを受信する。そして、パケット判定部２１２は、パケット受信部２１１が受信したパケットがミラーパケットであるか否か（タイムスタンプパケットであるか否か）についての判定を行う。
【００４６】
情報抽出部２１３は、パケット受信部２１１が受信したパケットのヘッダに含まれるヘッダ情報を抽出する。そして、情報特定部２１４は、情報抽出部２１３が抽出したヘッダ情報が管理情報２３１に存在するか否かを判定する。管理情報２３１は、ヘッダ情報と、ミラーパケットに含まれる情報と、タイムスタンプパケットに含まれるタイムスタンプ情報とを対応付けた情報である。
【００４７】
情報管理部２１５は、情報抽出部２１３によって抽出されたヘッダ情報が管理情報２３１に存在する場合、存在したヘッダ情報に、パケット受信部２１１が受信したパケットに含まれる情報を対応付けて情報格納領域２３０に記憶する。具体的に、情報管理部２１５は、パケット受信部２１１が受信したパケットがミラーパケットである場合、存在したヘッダ情報に、パケット受信部２１１が受信したパケットに含まれる所定の情報（例えば、パケットに含まれる全ての情報またはパケットに含まれる情報のうちのヘッダ以外の情報）を対応付けて情報格納領域２３０に記憶する。また、情報管理部２１５は、パケット受信部２１１が受信したパケットがタイムスタンプパケットである場合、存在したヘッダ情報に、パケット受信部２１１が受信したタイムスタンプパケットに含まれるタイムスタンプ情報を対応付けて情報格納領域２３０に記憶する。
【００４８】
一方、情報管理部２１５は、情報抽出部２１３が抽出したヘッダ情報が管理情報２３１に存在しない場合、情報抽出部２１３が抽出したヘッダ情報と、パケット受信部２１１が受信したパケットに含まれる情報とを対応付けた情報を、管理情報２３１の一部として情報格納領域２３０に記憶する。具体的に、情報管理部２１５は、パケット受信部２１１が受信したパケットがミラーパケットである場合、情報抽出部２１３が抽出したヘッダ情報と、パケット受信部２１１が受信したミラーパケットに含まれる所定の情報とを対応付けた情報を、管理情報２３１の一部として情報格納領域２３０に記憶する。また、情報管理部２１５は、パケット受信部２１１が受信したパケットがタイムスタンプパケットである場合、情報抽出部２１３が抽出したヘッダ情報と、パケット受信部２１１が受信したタイムスタンプパケットに含まれるタイムスタンプ情報とを対応付けた情報を、管理情報２３１の一部として情報格納領域２３０に記憶する。
【００４９】
エラー通知部２１６は、所定のエラーが発生した場合に、例えば、事業者または利用者の操作端末（図示しない）にエラーの通知を行う。
【００５０】
ヘッダ判定部２１７は、パケット受信部２１１が受信したミラーパケットのヘッダがＴＣＰヘッダである場合において、そのＴＣＰヘッダのオプションフィールドにタイムスタンプフィールドが存在するか否かを判定する。そして、ヘッダ判定部２１７は、タイムスタンプフィールドが存在する場合、存在したタイムスタンプフィールドに設定されたタイムスタンプ情報を抽出する。その後、情報管理部２１５は、情報抽出部２１３が抽出したヘッダ情報と、パケット受信部２１１が受信したミラーパケットに含まれる所定の情報と、ヘッダ判定部２１７が抽出したタイムスタンプ情報とを対応付けた情報を、管理情報２３１の一部として情報格納領域２３０に記憶する。
【００５１】
また、情報管理部２１５は、情報格納領域２３０に記憶した情報に対応する情報を管理情報２３１から削除する。不完全情報２３３及び最大タイムスタンプ情報２３４については後述する。
【００５２】
［第１の実施の形態］
次に、第１の実施の形態について説明する。図６及び図７は、第１の実施の形態におけるパケットキャプチャ処理の概略を説明するフローチャート図である。また、図８及び図９は、第１の実施の形態におけるパケットキャプチャ処理の概略を説明する図である。図８及び図９を参照しながら、図６及び図７に示す第１の実施の形態におけるパケットキャプチャ処理の概略について説明を行う。
【００５３】
スイッチ装置１は、図６に示すように、システムパケットを取得するまで待機する（Ｓ１のＮＯ）。すなわち、スイッチ装置１は、例えば、スイッチ装置１を経由するシステムパケット（サーバ装置３等によって送信されたシステムパケット）が発生するまで待機する。
【００５４】
そして、システムパケットを取得した場合（Ｓ１のＹＥＳ）、スイッチ装置１は、図８に示すように、Ｓ１の処理において取得したシステムパケットに対してミラーリングを行うことによりミラーパケットを生成する（Ｓ２）。さらに、スイッチ装置１は、図８に示すように、Ｓ２の処理において生成したミラーパケットを一意に識別する識別情報（ヘッダ情報）と、ミラーリングが行われた時刻（タイムスタンプ情報）とを含むタイムスタンプパケットを生成する（Ｓ３）。
【００５５】
その後、スイッチ装置１は、図８に示すように、Ｓ２の処理において生成したミラーパケットと、Ｓ３の処理において生成したタイムスタンプパケットとを、キャプチャ装置２にそれぞれ転送する（Ｓ４）。
【００５６】
一方、キャプチャ装置２は、図７に示すように、情報蓄積タイミングまで待機する（Ｓ１１のＮＯ）。情報蓄積タイミングは、スイッチ装置１から受信したパケットの内容を情報格納領域２３０に記憶するタイミングである。情報蓄積タイミングは、例えば、定期的なタイミングであってよい。
【００５７】
そして、情報蓄積タイミングになった場合（Ｓ１１のＹＥＳ）、キャプチャ装置２は、図９に示すように、Ｓ４の処理においてスイッチ装置１がキャプチャ装置２に転送したパケットから、同一の識別情報を含むミラーパケットとタイムスタンプパケットとをそれぞれ特定（抽出）する（Ｓ１２）。すなわち、キャプチャ装置２は、スイッチ装置１から受信したミラーパケットのうち、対応するタイムスタンプパケットについても受信が完了しているミラーパケットを特定する。
【００５８】
その後、キャプチャ装置２は、図９に示すように、Ｓ１２の処理において特定したタイムスタンプパケットに含まれる時刻と、Ｓ１２の処理において特定したミラーパケットとを関連付けて情報格納領域２３０に記憶する（Ｓ１３）。具体的に、キャプチャ装置２は、例えば、タイムスタンプパケットに含まれる時刻と、ミラーパケットに含まれる情報のうちのヘッダ情報以外の情報とを関連付けて情報格納領域２３０に記憶する。
【００５９】
すなわち、スイッチ装置１は、システムパケットをミラーリングすることによって生成されるミラーパケットの他に、ミラーリングが行われた時刻を含むタイムスタンプパケットをキャプチャ装置２に送信する。そして、キャプチャ装置２は、ミラーパケットを記憶装置２ａに記憶する際に、そのミラーパケットに対応するタイムスタンプパケットに含まれる時刻を対応させて記憶する。
【００６０】
これにより、スイッチ装置１及びキャプチャ装置２は、ＭＴＵの設定の変更等やミラーパケットのフラグメンテーションを行うことなく、ミラーパケットと、そのミラーパケットが生成された時刻（ミラーリングが行われた時刻）とを対応付けて記憶装置２ａに記憶することが可能になる。そして、キャプチャ装置２は、ミラーパケットが生成された時刻を参照しながら、ミラーパケットの解析を行うことが可能になる。
【００６１】
［第１の実施の形態の詳細］
次に、第１の実施の形態の詳細について説明する。図１０から図１９は、第１の実施の形態におけるパケットキャプチャ処理の詳細を説明するフローチャート図である。また、図２０から図２３は、第１の実施の形態におけるパケットキャプチャ処理の詳細を説明する図である。図２０から図２３を参照しながら、図１０から図１９のパケットキャプチャ処理の詳細を説明する。
【００６２】
［スイッチ装置におけるパケットキャプチャ処理］
初めに、スイッチ装置１におけるパケットキャプチャ処理について説明を行う。スイッチ装置１のミラーリング処理部１１１は、ミラーリング対象のシステムパケットがスイッチ装置１を経由したことを検知するまで待機する（Ｓ２１のＮＯ）。具体的に、ミラーリング処理部１１１は、例えば、ミラーリング対象情報（図示しない）を参照し、ミラーリング対象情報に情報が含まれるシステムパケットがスイッチ装置１を経由したことを検知するまで待機する。
【００６３】
そして、ミラーリング処理部１１１は、ミラーリング対象のシステムパケットがスイッチ装置１を経由したことを検知した場合（Ｓ２１のＹＥＳ）、検知したシステムパケットを取得する（Ｓ２２）。その後、ミラーリング処理部１１１は、取得したシステムパケットに対してミラーリングを行うことによって、ミラーパケットを生成する（Ｓ２３）。また、パケット転送部１１５は、Ｓ２２の処理において取得したシステムパケットを送信先に送信する（Ｓ２４）。
【００６４】
続いて、スイッチ装置１のヘッダ処理部１１２は、図１１に示すように、Ｓ２３の処理において生成したミラーパケットのプロトコルがＴＣＰであるか否か（ＵＤＰであるか否か）を判定する（Ｓ３１）。そして、ミラーパケットのプロトコルがＴＣＰである場合（Ｓ３１のＹＥＳ）、ヘッダ処理部１１２は、例えば、Ｓ２３で生成したミラーパケットに含まれる先頭からＴＣＰヘッダまでの情報を複製する（Ｓ３２）。一方、Ｓ２３の処理において生成したミラーパケットのプロトコルがＵＤＰである場合（Ｓ３１のＮＯ）、ヘッダ処理部１１２は、Ｓ２３で生成したミラーパケットに含まれる先頭からＵＤＰヘッダまでの情報を複製する（Ｓ３３）。
【００６５】
なお、ヘッダ処理部１１２は、各パケットの一意性を確保できる情報が含まれていれば、ミラーパケットに含まれる情報のうちの先頭からＴＣＰヘッダ（ＵＤＰヘッダ）までの全ての情報の複製を行わないものであってもよい。具体的に、ヘッダ処理部１１２は、例えば、ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）ヘッダに含まれるＩＰ識別子及びフラグメント・オフセット情報のみの複製を行うものであってよい。また、ヘッダ処理部１１２は、例えば、ＴＣＰヘッダ（ＵＤＰヘッダ）に含まれるチェックサムのみの複製を行うものであってもよい。
【００６６】
そして、Ｓ３２またはＳ３３の処理の後、スイッチ装置１のタイムスタンプ生成部１１３は、現在の時刻を取得してタイムスタンプ情報を生成する（Ｓ３４）。その後、タイムスタンプ付加部１１４は、Ｓ３２またはＳ３３の処理において複製したヘッダに、Ｓ３４の処理において生成したタイムスタンプ情報を付加することにより、タイムスタンプパケットを生成する（Ｓ３５）。以下、ミラーパケット及びタイムスタンプパケットの具体例について説明を行う。
【００６７】
［ミラーパケット及びタイムスタンプパケットの具体例］
図２０は、ミラーパケット及びタイムスタンプパケットの具体例を説明する図である。図２０（Ａ）は、トランスポート層のプロトコルがＴＣＰである場合のミラーパケットの具体例を説明する図であり、図２０（Ｂ）は、トランスポート層のプロトコルがＴＣＰである場合のタイムスタンプパケットの具体例を説明する図である。また、図２０（Ｃ）は、トランスポート層のプロトコルがＵＤＰである場合のミラーパケットの具体例を説明する図であり、図２０（Ｄ）は、トランスポート層のプロトコルがＵＤＰである場合のタイムスタンプパケットの具体例を説明する図である。
【００６８】
トランスポート層のプロトコルがＴＣＰである場合のミラーパケットには、先頭から順に、図２０（Ａ）のＭＰ１に示すイーサネットヘッダ（以下、Ｅｔｈｅｒヘッダとも呼ぶ）と、図２０（Ａ）のＭＰ２に示すＩＰヘッダと、図２０（Ａ）のＭＰ３に示すＴＣＰヘッダとが含まれる。そして、トランスポート層のプロトコルがＴＣＰである場合のミラーパケットには、先頭から順に、図２０（Ａ）のＭＰ４に示すデータと、図２０（Ａ）のＭＰ５に示すＦＣＳ（Ｆｒａｍｅ  Ｃｈｅｃｋ  Ｓｅｑｕｅｎｃｅ）とが含まれる。
【００６９】
また、トランスポート層のプロトコルがＴＣＰである場合のタイムスタンプパケットには、先頭から順に、図２０（Ｂ）のＴＰ１に示すイーサネット（登録商標）ヘッダと、図２０（Ｂ）のＴＰ２に示すＩＰヘッダと、図２０（Ｂ）のＴＰ３を示すＴＣＰヘッダとが含まれる。そして、トランスポート層のプロトコルがＴＣＰである場合のタイムスタンプパケットには、先頭から順に、図２０（Ｂ）のＴＰ４に示すタイムスタンプ情報（以下、単にＴＳとも呼ぶ）と、図２０（Ｂ）のＴＰ５に示すＦＣＳとが含まれる。
【００７０】
また、トランスポート層のプロトコルがＵＤＰである場合のミラーパケットには、先頭から順に、図２０（Ｃ）のＭＰ１１に示すイーサネットヘッダと、図２０（Ｃ）のＭＰ１２に示すＩＰヘッダと、図２０（Ｃ）のＭＰ１３に示すＵＤＰヘッダとが含まれる。そして、トランスポート層のプロトコルがＵＤＰである場合のミラーパケットには、先頭から順に、図２０（Ｃ）のＭＰ１４に示すデータと、図２０（Ｃ）のＭＰ１５に示すＦＣＳとが含まれる。
【００７１】
また、トランスポート層のプロトコルがＵＤＰである場合のタイムスタンプパケットには、先頭から順に、図２０（Ｄ）のＴＰ１１に示すイーサネットヘッダと、図２０（Ｄ）のＴＰ１２に示すＩＰヘッダと、図２０（Ｄ）のＴＰ１３を示すＵＤＰヘッダとが含まれる。そして、トランスポート層のプロトコルがＵＤＰである場合のタイムスタンプパケットには、先頭から順に、図２０（Ｄ）のＴＰ１４に示すタイムスタンプ情報と、図２０（Ｄ）のＴＰ１５に示すＦＣＳとが含まれる。
【００７２】
図１１に戻り、パケット転送部１１５は、Ｓ２３の処理において生成したミラーパケットと、Ｓ３５の処理において生成したタイムスタンプパケットとをキャプチャ装置２に転送する（Ｓ３６）。そして、ミラーリング処理部１１１は、Ｓ２１以降の処理を再度行う。
【００７３】
［キャプチャ装置における管理情報生成処理］
次に、キャプチャ装置２におけるパケットキャプチャ処理のうち、管理情報２３１の生成を行う処理（以下、管理情報生成処理とも呼ぶ）について説明を行う。
【００７４】
キャプチャ装置２のパケット受信部２１１は、図１２に示すように、スイッチ装置１からパケットを受信するまで待機する（Ｓ４１のＮＯ）。すなわち、パケット受信部２１１は、スイッチ装置１からミラーパケットまたはタイムスタンプパケットを受信するまで待機する。
【００７５】
そして、スイッチ装置１からパケットを受信した場合（Ｓ４１のＹＥＳ）、キャプチャ装置２のパケット判定部２１２は、パケット受信部２１１が受信したパケットがミラーパケットであるか否かを判定する（Ｓ４２）。具体的に、パケット判定部２１２は、例えば、パケット受信部２１１が受信したパケットのサイズを参照して、受信したパケットがミラーパケットであるか否かを判定するものであってよい。
【００７６】
その結果、パケット受信部２１１が受信したパケットがミラーパケットである場合（Ｓ４２のＹＥＳ）、キャプチャ装置２の情報抽出部２１３は、図１３に示すように、Ｓ４１の処理において受信したミラーパケットのヘッダからヘッダ情報を抽出する（Ｓ５１）。具体的に、情報抽出部２１３は、Ｓ３２またはＳ３３の処理において、スイッチ装置１のヘッダ処理部１１２が複製した情報をヘッダ情報として抽出する。そのため、ヘッダ処理部１１２がチェックサムのみを複製している場合、情報抽出部２１３は、チェックサムをヘッダ情報として抽出する。
【００７７】
その後、キャプチャ装置２の情報特定部２１４は、Ｓ５１の処理において抽出したヘッダ情報が管理情報２３１に存在するか否かを判定する（Ｓ５２）。以下、管理情報２３１の具体例について説明を行う。
【００７８】
［管理情報の具体例］
図２１から図２３は、管理情報２３１の具体例を説明する図である。図２１から図２３に示す管理情報２３１は、管理情報２３１に含まれる各情報を識別する「ＩＤ」と、ヘッダ情報が設定される「ヘッダ情報」と、ミラーパケットに含まれる情報（例えば、ミラーパケットに含まれる全ての情報）が設定される「ミラーパケット情報」とを項目として有する。また、図２１から図２３に示す管理情報２３１は、タイムスタンプパケットに含まれるタイムスタンプ情報が設定される「タイムスタンプ情報」と、管理情報２３１に含まれる各情報が書き込まれた時刻を示す「情報書込み時刻」とを項目として有する。
【００７９】
具体的に、図２１（Ａ）に示す管理情報２３１において、「ＩＤ」が「３」である情報には、「ヘッダ情報」として「ヘッダ（３）」が設定され、「ミラーパケット情報」として「ミラーパケット（３）」が設定され、「情報書込み時刻」として「２０１６／０８／２４  １２：００：１５」が設定される。そして、「ＩＤ」が「３」である情報における「タイムスタンプ情報」には、情報がまだ設定されていないことを示す「−」が設定されている。
【００８０】
また、図２１（Ａ）に示す管理情報２３１において、「ＩＤ」が「４」である情報には、「ヘッダ情報」として「ヘッダ（４）」が設定され、「タイムスタンプ情報」として「タイムスタンプ（１）」が設定され、「情報書込み時刻」として「２０１６／０８／２４  １２：００：１７」が設定される。そして、「ＩＤ」が「４」である情報における「ミラーパケット情報」には、情報がまだ設定されていないことを示す「−」が設定されている。図２１（Ａ）に含まれる他の情報については説明を省略する。
【００８１】
そのため、例えば、Ｓ５１の処理において「ヘッダ（４）」が抽出された場合、情報特定部２１４は、Ｓ５１の処理において抽出したヘッダ情報が管理情報２３１に存在すると判定する（Ｓ５２）。
【００８２】
図１３に戻り、Ｓ５１の処理において抽出したヘッダ情報が管理情報２３１に存在する場合（Ｓ５２のＹＥＳ）、情報特定部２１４は、Ｓ５２の処理において存在したヘッダ情報に対応するミラーパケット情報が管理情報２３１に存在するか否かを判定する（Ｓ５４）。
【００８３】
その結果、ミラーパケット情報が存在しない場合（Ｓ５４のＹＥＳ）、キャプチャ装置２の情報管理部２１５は、Ｓ４１の処理において受信したミラーパケットに含まれる情報を、管理情報２３１のうち、Ｓ５２の処理において存在したヘッダ情報に対応するミラーパケット情報として情報格納領域２３０に記憶する（Ｓ５５）。
【００８４】
具体的に、情報管理部２１５は、図２１（Ｂ）に示すように、例えば、「ヘッダ情報」が「ヘッダ（４）」である情報（「ＩＤ」が「４」である情報）の「ミラーパケット情報」に「ミラーパケット（４）」を設定する。
【００８５】
なお、情報管理部２１５は、Ｓ５５の処理において、Ｓ５２の処理において存在したヘッダ情報に対応するミラーパケット情報として、Ｓ４１の処理において受信したミラーパケットに含まれる情報の全てを記憶するものであってよい。また、情報管理部２１５は、Ｓ５２の処理において存在したヘッダ情報に対応するミラーパケット情報として、ミラーパケットに含まれる情報のうち、ＴＣＰヘッダ（ＵＤＰヘッダ）よりも後に含まれる情報の全てを記憶するものであってよい。
【００８６】
さらに、情報管理部２１５は、Ｓ５５の処理において、Ｓ４１の処理において受信したミラーパケットを情報格納領域２３０以外の記憶領域に設定するものであってよい。そして、情報管理部２１５は、この場合、Ｓ５２の処理において存在したヘッダ情報に対応するミラーパケット情報として、ミラーパケットに含まれる情報に代えて、Ｓ４１の処理において受信したミラーパケットを記憶する記憶領域に関する情報（アドレスやオフセット）を記憶するものであってもよい。
【００８７】
一方、Ｓ５４の処理において、ミラーパケット情報が存在する場合（Ｓ５４のＮＯ）、キャプチャ装置２のエラー通知部２１６は、例えば、事業者または利用者の操作端末（図示しない）に対してエラーの発生を通知する（Ｓ５６）。すなわち、Ｓ５２の処理において存在したヘッダ情報に対応するミラーパケット情報が既に存在している場合、あるタイムスタンプパケット情報と同じヘッダ情報を有するミラーパケットの受信が複数回行われたことを示している。そのため、この場合、エラー通知部２１６は、事業者または利用者に対してエラーの発生を通知する。
【００８８】
また、Ｓ５２の処理において、Ｓ５１の処理において抽出したヘッダ情報が管理情報２３１に存在しない場合（Ｓ５２のＮＯ）、情報管理部２１５は、Ｓ４１の処理において受信したミラーパケットに含まれる情報と、Ｓ５１の処理において抽出したヘッダ情報と、現在の時刻とを関連付けた情報を管理情報２３１の一部として情報格納領域２３０に記憶する（Ｓ５３）。
【００８９】
具体的に、例えば、図２１（Ｂ）に示す管理情報２３１には、「ヘッダ情報」に「ヘッダ（６）」が設定された情報が存在していない。そのため、情報管理部２１５は、Ｓ５１の処理において抽出したヘッダ情報が「ヘッダ（６）」である場合、図２２（Ａ）に示すように、「ＩＤ」が「６」である情報を管理情報２３１に追加する。
【００９０】
そして、Ｓ５３、Ｓ５５またはＳ５６の処理の後、パケット受信部２１１は、Ｓ４１以降の処理を再度行う。
【００９１】
一方、図１２に示すＳ４２の処理において、パケット受信部２１１が受信したパケットがタイムスタンプパケットである場合（Ｓ４２のＮＯ）、情報抽出部２１３は、図１４に示すように、Ｓ４１の処理において受信したタイムスタンプパケットのヘッダからヘッダ情報を抽出する（Ｓ６１）。具体的に、情報抽出部２１３は、Ｓ３２またはＳ３３の処理において、スイッチ装置１のヘッダ処理部１１２が複製した情報をヘッダ情報として抽出する。そのため、ヘッダ処理部１１２がチェックサムのみを複製している場合、情報抽出部２１３は、チェックサムのみをヘッダ情報として抽出する。また、情報抽出部２１３は、この場合、Ｓ４１の処理において受信したタイムスタンプパケットからタイムスタンプ情報を抽出する（Ｓ６１）。
【００９２】
その後、情報特定部２１４は、Ｓ６１の処理において抽出したヘッダ情報が管理情報２３１に存在するか否かを判定する（Ｓ６２）。そして、ヘッダ情報が管理情報２３１に存在する場合（Ｓ６２のＹＥＳ）、情報特定部２１４は、Ｓ６２の処理において存在したヘッダ情報に対応するタイムスタンプ情報が管理情報２３１に存在するか否かを判定する（Ｓ６４）。
【００９３】
その結果、タイムスタンプ情報が存在しない場合（Ｓ６４のＹＥＳ）、キャプチャ装置２の情報管理部２１５は、例えば、Ｓ４１の処理において受信したタイムスタンプパケットに含まれるタイムスタンプ情報を、管理情報２３１のうち、Ｓ６２の処理において存在したヘッダ情報に対応するタイムスタンプ情報として記憶する（Ｓ６５）。
【００９４】
一方、タイムスタンプ情報が存在する場合（Ｓ６４のＮＯ）、キャプチャ装置２のエラー通知部２１６は、事業者または利用者に対してエラーの発生を通知する。すなわち、Ｓ６２の処理において存在したヘッダ情報に対応するタイムスタンプ情報が既に存在する場合、あるミラーパケット情報と同じヘッダ情報を有するタイムスタンプパケットの受信が複数回行われたことを示している。そのため、エラー通知部２１６は、この場合、事業者または利用者に対してエラーの発生を通知する。
【００９５】
また、Ｓ６２の処理において、Ｓ６１の処理において抽出したヘッダ情報が管理情報２３１に存在しない場合（Ｓ６２のＮＯ）、情報管理部２１５は、Ｓ４１の処理において受信したタイムスタンプパケットに含まれるタイムスタンプ情報と、Ｓ６１の処理において抽出したヘッダ情報と、現在の時刻とを関連付けた情報を、管理情報２３１の一部として記憶する（Ｓ６３）。
【００９６】
そして、Ｓ６３、Ｓ６５またはＳ６６の処理の後、パケット受信部２１１は、Ｓ４１以降の処理を再度行う。
【００９７】
［キャプチャ装置における管理情報生成処理（１）］
次に、キャプチャ装置２におけるパケットキャプチャ処理のうち、蓄積情報２３２の生成を行う処理（以下、蓄積情報生成処理とも呼ぶ）について説明を行う。具体的に、キャプチャ装置２がミラーパケットの解析をリアルタイムで行わない場合における蓄積情報生成処理について説明を行う。
【００９８】
情報特定部２１４は、図１５に示すように、情報蓄積タイミングまで待機する（Ｓ７１のＮＯ）。そして、情報蓄積タイミングになった場合（Ｓ７１のＹＥＳ）、情報特定部２１４は、タイムスタンプ情報とミラーパケット情報との両方が記憶された情報が管理情報２３１に存在するか否かを判定する（Ｓ７２）。
【００９９】
その結果、タイムスタンプ情報とミラーパケット情報との両方が記憶された情報が管理情報２３１に存在する場合（Ｓ７２のＹＥＳ）、情報管理部２１５は、Ｓ７２の処理において存在したタイムスタンプ情報とミラーパケット情報とを関連付けた情報を、蓄積情報２３２として記憶する（Ｓ７３）。
【０１００】
これにより、情報管理部２１５は、スイッチ装置１から送信されたミラーパケット（ミラーパケットに含まれる情報）と、そのミラーパケットが生成された時刻とを対応付けて情報格納領域２３０に記憶することが可能になる。
【０１０１】
一方、タイムスタンプ情報とミラーパケット情報との両方が記憶された情報が管理情報２３１に存在しない場合（Ｓ７２のＮＯ）、情報特定部２１４は、Ｓ７１以降の処理を再度行う。
【０１０２】
そして、情報管理部２１５は、Ｓ７３の処理において蓄積情報２３２として記憶したタイムスタンプ情報及びミラーパケット情報に対応する情報を、管理情報２３１から削除する（Ｓ７４）。
【０１０３】
具体的に、例えば、図２２（Ａ）に示す管理情報２３１における「ＩＤ」が「４」である情報には、「ミラーパケット情報」及び「タイムスタンプ情報」のそれぞれに情報が設定されている（Ｓ７２のＹＥＳ）。そのため、情報管理部２１５は、図２２（Ａ）に示す管理情報２３１における「ＩＤ」が「４」である情報に対応する情報を、蓄積情報２３２の一部として情報格納領域２３０に記憶する。そして、情報管理部２１５は、図２２（Ｂ）に示す管理情報２３１に示すように、図２２（Ａ）に示す管理情報２３１から、「ＩＤ」が「４」である情報を削除する。
【０１０４】
これにより、情報管理部２１５は、蓄積情報２３２を情報格納領域２３０に記憶する際に、過去に記憶した蓄積情報２３２の記憶を再度行うことを防止することが可能になる。
【０１０５】
［キャプチャ装置における管理情報生成処理（２）］
次に、キャプチャ装置２がミラーパケットの解析をリアルタイムで行う場合における蓄積情報生成処理について説明を行う。
【０１０６】
情報特定部２１４は、図１６に示すように、情報蓄積タイミングまで待機する（Ｓ８１のＮＯ）。そして、情報蓄積タイミングになった場合（Ｓ８１のＹＥＳ）、情報特定部２１４は、タイムスタンプ情報とミラーパケット情報との両方が記憶された情報が管理情報２３１に存在するか否かを判定する（Ｓ８２）。
【０１０７】
その結果、タイムスタンプ情報とミラーパケット情報との両方が記憶された情報が管理情報２３１に存在する場合（Ｓ８２のＹＥＳ）、情報特定部２１４は、Ｓ８２の処理において存在したタイムスタンプ情報が情報格納領域２３０に記憶された最大タイムスタンプ情報２３４よりも前の時刻を示しているか否かを判定する（Ｓ８３）。最大タイムスタンプ情報２３４は、情報格納領域２３０に記憶された蓄積情報２３２に含まれるタイムスタンプ情報のうち、最も後の時刻を示す情報である。なお、最大タイムスタンプ情報２３４の初期値は示す時刻は、例えば、現在の時刻よりも十分に前の時刻である。
【０１０８】
一方、タイムスタンプ情報とミラーパケット情報との両方が記憶された情報が管理情報２３１に存在しない場合（Ｓ８２のＮＯ）、情報特定部２１４は、Ｓ８１以降の処理を再度行う。
【０１０９】
そして、Ｓ８２の処理において存在した情報に、タイムスタンプ情報が最大タイムスタンプ情報２３４よりも前の時刻を示している情報が存在する場合（Ｓ８３のＹＥＳ）、情報管理部２１５は、Ｓ８２の処理において存在した情報を管理情報２３１から削除する（Ｓ８４）。
【０１１０】
すなわち、キャプチャ装置２がミラーパケットの解析をリアルタイムで行う場合、キャプチャ装置２は、既に解析を行ったミラーパケットよりも前のタイムスタンプ情報を有するミラーパケットの解析を行う必要がない場合がある。そのため、情報管理部２１５は、この場合、Ｓ８２の処理において存在した情報を管理情報２３１から削除する。
【０１１１】
具体的に、例えば、図２３（Ａ）に示す管理情報２３１における「ＩＤ」が「２」である情報には、「ミラーパケット情報」及び「タイムスタンプ情報」のそれぞれに情報が設定されている（Ｓ８２のＹＥＳ）。そのため、「ＩＤ」が「２」である情報の「タイムスタンプ情報」に設定された情報が最大タイムスタンプ情報２３４よりも前の時刻を示している場合、情報管理部２１５は、「ＩＤ」が「２」である情報の「ミラーパケット情報」及び「タイムスタンプ情報」に設定された情報を蓄積情報２３２として情報格納領域２３０に記憶しない。そして、情報管理部２１５は、図２３（Ｂ）に示す管理情報２３１に示すように、図２３（Ａ）に示す管理情報２３１から、「ＩＤ」が「２」である情報を削除する。
【０１１２】
続いて、情報管理部２１５は、図１７に示すように、タイムスタンプ情報とミラーパケット情報との両方が記憶された情報が管理情報２３１に複数存在するか否かを判定する（Ｓ９１）。そして、タイムスタンプ情報とミラーパケット情報との両方が記憶された情報が複数存在する場合（Ｓ９１のＹＥＳ）、情報管理部２１５は、Ｓ９１の処理において存在した情報を、タイムスタンプ情報が示す時刻が早い順に蓄積情報２３２として情報格納領域２３０に記憶する（Ｓ９２）。一方、タイムスタンプ情報とミラーパケット情報との両方が記憶された情報が１つのみ存在する場合（Ｓ９１のＮＯ、Ｓ９３のＹＥＳ）、情報管理部２１５は、Ｓ９３の処理において存在した情報を蓄積情報２３２として情報格納領域２３０に記憶する（Ｓ９４）。なお、タイムスタンプ情報とミラーパケット情報との両方が記憶された情報が存在しない場合（Ｓ９１のＮＯ、Ｓ９３のＮＯ）、情報管理部２１５は、Ｓ９４の処理を行わない。
【０１１３】
その後、情報管理部２１５は、Ｓ９２またはＳ９４の処理において記憶した蓄積情報２３２に含まれるタイムスタンプ情報のうち、最も遅い時刻を示すタイムスタンプ情報を、最大タイムスタンプ情報２３４として情報格納領域２３０に記憶する（Ｓ９５）。そして、情報管理部２１５は、Ｓ９２またはＳ９４の処理において記憶した情報を管理情報２３１から削除する（Ｓ９６）。
【０１１４】
［キャプチャ装置におけるタイムアウト処理］
次に、キャプチャ装置２におけるパケットキャプチャ処理のうち、タイムアウトした情報の管理を行う処理（以下、タイムアウト管理処理）について説明を行う。
【０１１５】
情報管理部２１５は、図１８に示すように、タイムアウト管理タイミングまで待機する（Ｓ１０１のＮＯ）。そして、タイムアウト管理タイミングになった場合（Ｓ１０１のＹＥＳ）、情報管理部２１５は、ミラーパケット情報とタイムスタンプ情報とのうちのいずれか一方の情報が設定された後、他方の情報が設定されることなく、所定の時間が経過した情報が管理情報２３１に存在するか否かを判定する（Ｓ１０２）。すなわち、情報管理部２１５は、管理情報２３１の「情報書込み時刻」に、現在の時間よりも所定の時間以上前である時刻が設定された情報が存在するか否かについての判定を行う。
【０１１６】
そして、情報管理部２１５は、所定の時間が経過した情報が存在する場合（Ｓ１０２のＹＥＳ）、情報管理部２１５は、Ｓ１０２の処理において存在した情報を、管理情報２３１から削除する（Ｓ１０３）一方、所定の時間が経過した情報が存在しない場合（Ｓ１０２のＮＯ）、情報管理部２１５は、Ｓ１０１以降の処理を再度行う。
【０１１７】
これにより、情報管理部２１５は、管理情報２３１の更新を行う際の処理負担を軽減させることが可能になる。
【０１１８】
なお、情報管理部２１５は、Ｓ１０３の処理において、管理情報２３１から削除した情報を、蓄積情報２３２と異なる情報（以下、不完全情報２３３とも呼ぶ）として情報格納領域２３０に記憶するものであってもよい。以下、不完全情報２３３を記憶する場合のＳ１０３の処理について説明を行う。
【０１１９】
［不完全情報を記憶する場合のＳ１０３の処理の詳細］
情報管理部２１５は、Ｓ１０２の処理において存在した情報に、ミラーパケット情報が記憶されている情報が存在するか否かを判定する(Ｓ１１１)。そして、ミラーパケット情報が記憶されている情報が存在する場合（Ｓ１１１のＹＥＳ）、情報管理部２１５は、Ｓ１０２の処理において存在した情報に含まれるミラーパケット情報と、タイムスタンプ情報を受信しなかったことを示す情報とを関連付けた情報を、不完全情報２３３の一部として情報格納領域２３０に記憶する（Ｓ１１２）。一方、Ｓ１０２の処理において存在した情報にミラーパケット情報が記憶されている情報が存在しない場合（Ｓ１１１のＮＯ）、情報管理部２１５は、Ｓ１１２の処理を行わない。
【０１２０】
さらに、Ｓ１０２の処理において存在した情報にタイムスタンプ情報が記憶されている情報が存在するか否かを判定する(Ｓ１１３)。そして、Ｓ１０２の処理において存在した情報にタイムスタンプ情報が記憶されている情報が存在する場合（Ｓ１１３のＹＥＳ）、情報管理部２１５は、Ｓ１０２の処理において存在した情報に含まれるタイムスタンプ情報と、ミラーパケット情報を受信しなかったことを示す情報とを関連付けた情報を、不完全情報２３３の一部として情報格納領域２３０に記憶する（Ｓ１１４）。一方、Ｓ１０２の処理において存在した情報にタイムスタンプ情報が記憶されている情報が存在しない場合（Ｓ１１３のＮＯ）、情報管理部２１５は、Ｓ１１４の処理を行わない。
【０１２１】
これにより、キャプチャ装置２は、ミラーパケットの解析を行う際に、情報格納領域２３０に記憶された不完全情報２３３を併せて参照することが可能になる。そのため、キャプチャ装置２は、ミラーパケットの解析をより詳細に行うことが可能になる。
【０１２２】
その後、情報管理部２１５は、Ｓ１０２の処理において存在した情報を、管理情報２３１から削除する（Ｓ１１４）。
【０１２３】
［第２の実施の形態］
次に、第２の実施の形態について説明する。図２４から図３０は、第２の実施の形態におけるパケットキャプチャ処理を説明するフローチャート図である。
【０１２４】
第２の実施の形態におけるスイッチ装置１は、生成したミラーパケットのＴＣＰヘッダにタイムスタンプフィールドが存在する場合、タイムスタンプパケットの生成を行わずに、タイムスタンプフィールドにタイムスタンプ情報を設定する。これにより、第２の実施の形態におけるスイッチ装置１は、タイムスタンプパケットの生成に伴う処理負担を抑制することが可能になる。また、第２の実施の形態におけるキャプチャ装置２は、同一の識別情報（ヘッダ情報）を有するミラーパケット及びタイムスタンプパケットの特定に伴う処理負担を抑制することが可能になる。以下、第２の実施の形態におけるパケットキャプチャ処理のフローチャート図について説明を行う。
【０１２５】
［スイッチ装置におけるパケットキャプチャ処理］
初めに、スイッチ装置１におけるパケットキャプチャ処理について説明を行う。ミラーリング処理部１１１は、ミラーリング対象のシステムパケットがスイッチ装置１を経由したことを検知するまで待機する（Ｓ１２１のＮＯ）。そして、ミラーリング処理部１１１は、ミラーリング対象のシステムパケットがスイッチ装置１を経由したことを検知した場合（Ｓ１２１のＹＥＳ）、検知したシステムパケットを取得する（Ｓ１２２）。
【０１２６】
さらに、ミラーリング処理部１１１は、Ｓ１２２の処理において取得したシステムパケットに対してミラーリングを行うことによって、ミラーパケットを生成する（Ｓ１２３）。また、パケット転送部１１５は、Ｓ１２２の処理において取得したシステムパケットを送信先に送信する（Ｓ１２４）。
【０１２７】
続いて、ヘッダ処理部１１２は、図２５に示すように、Ｓ１２３の処理において生成したミラーパケットのトランスポート層のプロトコルがＴＣＰであるか否か（ＵＤＰであるか否か）を判定する（Ｓ１３１）。その結果、Ｓ１２３の処理において生成したミラーパケットのトランスポート層のプロトコルがＴＣＰである場合（Ｓ１３１のＹＥＳ）、ヘッダ判定部１１６は、ＴＣＰヘッダにタイムスタンプフィールドが存在するか否かを判定する（Ｓ１３３）。
【０１２８】
その結果、ＴＣＰヘッダにタイムスタンプフィールドが存在する場合（Ｓ１３３のＹＥＳ）、ヘッダ判定部１１６は、ミラーパケットのＴＣＰヘッダのタイムスタンプフィールドに現在の時刻（タイムスタンプ情報）を設定する（Ｓ１３４）。
【０１２９】
これにより、スイッチ装置１は、ミラーパケットのＴＣＰヘッダにタイムスタンプ情報を設定することが可能である場合、タイムスタンプパケットを生成することなく、タイムスタンプ情報をキャプチャ装置２に送信することが可能になる。また、キャプチャ装置２は、この場合、蓄積情報２３２を情報格納領域２３０に記憶する際に、ミラーパケットに対応するタイムスタンプパケットを特定する処理を行う必要がなくなる。
【０１３０】
そして、パケット転送部１１５は、Ｓ１３４の処理において現在の時刻を設定した生成したミラーパケットをキャプチャ装置２に転送する（Ｓ１３５）。その後、ミラーリング処理部１１１は、Ｓ１２１以降の処理を再度行う。
【０１３１】
一方、Ｓ１３１の処理において、ミラーパケットのトランスポート層のプロトコルがＵＤＰである場合（Ｓ１３１のＮＯ）、ヘッダ処理部１１２は、例えば、Ｓ１２３の処理で生成したミラーパケットに含まれる先頭からＵＤＰヘッダまでの情報を複製する（Ｓ１３２）。
【０１３２】
また、Ｓ１３３の処理において、ＴＣＰヘッダにタイムスタンプフィールドが存在しない場合（Ｓ１３３のＮＯ）、ヘッダ処理部１１２は、図２６に示すように、例えば、Ｓ１２３の処理で生成したミラーパケットに含まれる先頭からＴＣＰヘッダまでの情報を複製する（Ｓ１４１）。
【０１３３】
そして、Ｓ１３２またはＳ１４１の処理の後、タイムスタンプ生成部１１３は、現在の時刻を取得してタイムスタンプ情報を生成する（Ｓ１４２）。さらに、タイムスタンプ付加部１１４は、Ｓ１３２またはＳ１４１の処理において複製したヘッダに、Ｓ１４２の処理において生成したタイムスタンプ情報を付加することにより、タイムスタンプパケットを生成する（Ｓ１４３）。その後、パケット転送部１１５は、Ｓ１２３の処理において生成したミラーパケットと、Ｓ１４３の処理において生成したタイムスタンプパケットとをキャプチャ装置２に転送する（Ｓ１４４）。そして、ミラーリング処理部１１１は、Ｓ１２１以降の処理を再度行う。
【０１３４】
すなわち、スイッチ装置１は、生成したミラーパケットのトランスポート層のプロトコルがＵＤＰである場合、第１の実施の形態の場合と同じ内容の処理を行う。また、スイッチ装置１は、生成したミラーパケットのトランスポート層のプロトコルがＴＣＰであっても、ＴＣＰヘッダにタイムスタンプフィールドが存在しない場合、第１の実施の形態の場合と同じ内容の処理を行う。
【０１３５】
［キャプチャ装置における管理情報生成処理］
次に、キャプチャ装置２におけるパケットキャプチャ処理のうち、管理情報生成処理について説明を行う。なお、第２の実施の形態における蓄積情報生成処理及びタイムアウト管理処理は、第１の実施の形態における蓄積情報生成処理及びタイムアウト管理処理と同じ内容であるため説明を省略する。
【０１３６】
パケット受信部２１１は、図２７に示すように、スイッチ装置１からパケットを受信するまで待機する（Ｓ１５１のＮＯ）。そして、スイッチ装置１からパケットを受信した場合（Ｓ１５１のＹＥＳ）、パケット判定部２１２は、パケット受信部２１１が受信したパケットがミラーパケットであるか否かを判定する（Ｓ１５１）。
【０１３７】
その結果、パケット受信部２１１が受信したパケットがミラーパケットである場合（Ｓ１５２のＹＥＳ）、ヘッダ判定部２１７は、図２８に示すように、Ｓ１５１の処理において受信したミラーパケットのヘッダからヘッダ情報を抽出する（Ｓ１６１）。その後、ヘッダ判定部２１７は、ＴＣＰヘッダにタイムスタンプフィールドが存在するか否かを判定する（Ｓ１６２）。
【０１３８】
その結果、ＴＣＰヘッダにタイムスタンプフィールドが存在する場合（Ｓ１６２のＹＥＳ）、ヘッダ判定部２１７は、Ｓ１５１の処理において受信したミラーパケットからタイムスタンプ情報を抽出する（Ｓ１６３）。その後、情報管理部２１５は、Ｓ１６１の処理において抽出したヘッダ情報と、Ｓ１５１の処理において受信したミラーパケットに含まれる情報と、Ｓ１６３の処理において抽出したタイムスタンプ情報と、現在の時刻とを関連付けた情報を、管理情報２３１の一部として情報格納領域２３０に記憶する（Ｓ１６４）。
【０１３９】
一方、Ｓ１６２の処理において、ＴＣＰヘッダにタイムスタンプフィールドが存在しない場合（Ｓ１６２のＮＯ）、情報特定部２１４は、図２９に示すように、Ｓ１６１の処理において抽出したヘッダ情報が管理情報２３１に存在するか否かを判定する（Ｓ１７１）。そして、Ｓ１６１の処理において抽出したヘッダ情報が管理情報２３１に存在する場合（Ｓ１７１のＹＥＳ）、情報特定部２１４は、Ｓ１７１の処理において存在したヘッダ情報に対応するミラーパケット情報が管理情報２３１に存在するか否かを判定する（Ｓ１７３）。
【０１４０】
その結果、ミラーパケット情報が存在しない場合（Ｓ１７３のＹＥＳ）、情報管理部２１５は、Ｓ１５１の処理において受信したミラーパケットに含まれる情報を、管理情報２３１のうち、Ｓ１７１の処理において存在したヘッダ情報に対応するミラーパケット情報として記憶する（Ｓ１７４）。
【０１４１】
一方、ミラーパケット情報が存在する場合（Ｓ１７３のＮＯ）、エラー通知部２１６は、事業者または利用者に対してエラーの発生を通知する。
【０１４２】
また、Ｓ１７１の処理において、Ｓ１６１の処理において抽出したヘッダ情報が管理情報２３１に存在しない場合（Ｓ１７１のＮＯ）、情報管理部２１５は、Ｓ１６１の処理において抽出したヘッダ情報と、Ｓ１５１の処理において受信したミラーパケットに含まれる情報と、現在の時刻とを関連付けた情報を管理情報２３１の一部として、情報格納領域２３０に記憶する（Ｓ１７２）。
【０１４３】
そして、Ｓ１６４、Ｓ１７２、Ｓ１７４またはＳ１７５の処理の後、パケット受信部２１１は、Ｓ１５１以降の処理を再度行う。
【０１４４】
一方、Ｓ１５２の処理において、パケット受信部２１１が受信したパケットがタイムスタンプパケットである場合（Ｓ１５２のＮＯ）、情報抽出部２１３は、図３０に示すように、Ｓ１５１の処理において受信したタイムスタンプパケットのヘッダからヘッダ情報を抽出する（Ｓ１８１）。また、情報抽出部２１３は、この場合、Ｓ１５１の処理において受信したタイムスタンプパケットからタイムスタンプ情報を抽出する（Ｓ１８１）。
【０１４５】
その後、情報特定部２１４は、Ｓ１８１の処理において抽出したヘッダ情報が管理情報２３１に存在するか否かを判定する（Ｓ１８２）。そして、ヘッダ情報が管理情報２３１に存在した場合（Ｓ１８２のＹＥＳ）、情報特定部２１４は、Ｓ１８２の処理において存在したヘッダ情報に対応するタイムスタンプ情報が存在するか否かを判定する（Ｓ１８４）。
【０１４６】
その結果、タイムスタンプ情報が存在しない場合（Ｓ１８４のＹＥＳ）、情報管理部２１５は、Ｓ１５１の処理において受信したタイムスタンプパケットに含まれるタイムスタンプ情報を、管理情報２３１のうち、Ｓ１８２の処理において存在したヘッダ情報に対応するタイムスタンプ情報として記憶する（Ｓ１８５）。
【０１４７】
一方、タイムスタンプ情報が存在する場合（Ｓ１８４のＮＯ）、エラー通知部２１６は、例えば、事業者または利用者の操作端末（図示しない）に対してエラーの発生を通知する。
【０１４８】
また、Ｓ１８２の処理において、Ｓ１８１の処理において抽出したヘッダ情報が管理情報２３１に存在しない場合（Ｓ１８２のＮＯ）、情報管理部２１５は、Ｓ１８１の処理において抽出したヘッダ情報と、Ｓ１５１の処理において受信したタイムスタンプパケットに含まれる情報と、現在の時刻とを関連付けた情報を、管理情報２３１の一部として情報格納領域２３０に記憶する（Ｓ１８３）。
【０１４９】
そして、Ｓ１８３、Ｓ１８５またはＳ１８６の処理の後、パケット受信部２１１は、Ｓ１５１以降の処理を再度行う。
【０１５０】
すなわち、キャプチャ装置２は、スイッチ装置１から受信したミラーパケットのトランスポート層のプロトコルがＵＤＰである場合、第１の実施の形態の場合と同じ内容の処理を行う。また、キャプチャ装置２は、スイッチ装置１から受信したミラーパケットのトランスポート層のプロトコルがＴＣＰであっても、ＴＣＰヘッダにタイムスタンプフィールドが存在しない場合、第１の実施の形態の場合と同じ内容の処理を行う。
【０１５１】
このように、本実施の形態におけるスイッチ装置１は、ネットワークを流れるシステムパケットに対してミラーリングを行うことによりミラーパケットを生成する。そして、スイッチ装置１は、生成したミラーパケットを一意に識別するヘッダ情報と、ミラーリングが行われた時刻とを含むタイムスタンプパケットを生成する。その後、スイッチ装置１は、生成したタイムスタンプパケットとミラーパケットとをキャプチャ装置２に転送する。
【０１５２】
また、キャプチャ装置２は、スイッチ装置から受信したパケットから、同一のヘッダ情報を含むミラーパケットとタイムスタンプパケットとをそれぞれ特定し、特定したタイムスタンプパケットに含まれる時刻と、特定したミラーパケットとを関連付けて情報格納領域２３０に記憶する。
【０１５３】
これにより、スイッチ装置１及びキャプチャ装置２は、ＭＴＵの設定の変更等やミラーパケットのフラグメンテーションを行うことなく、ミラーパケットと、そのミラーパケットが生成された時刻（ミラーリングが行われた時刻）とを対応付けて情報格納領域２３０に記憶することが可能になる。そして、キャプチャ装置２は、ミラーパケットが生成された時刻を参照しながら、ミラーパケットの解析を行うことが可能になる。
【０１５４】
以上の実施の形態をまとめると、以下の付記のとおりである。
【０１５５】
（付記１）
スイッチ装置が、
ネットワークを流れるパケットに対してミラーリングを行うことによりミラーパケットを生成し、
前記ミラーパケットを一意に識別する識別情報と、前記ミラーリングが行われた時刻とを含むタイムスタンプパケットを生成し、
前記タイムスタンプパケットと前記ミラーパケットとを蓄積装置に転送し、
蓄積装置が、
前記スイッチ装置から受信したパケットから、同一の前記識別情報を含む前記ミラーパケットと前記タイムスタンプパケットとをそれぞれ特定し、
特定した前記タイムスタンプパケットに含まれる前記時刻と、特定した前記ミラーパケットとを関連付けて記憶装置に記憶する、
ことを特徴とするパケットキャプチャ方法。
【０１５６】
（付記２）
付記１において、
前記識別情報は、前記ミラーパケットと前記タイムスタンプパケットとがそれぞれ含むヘッダに含まれる情報である、
ことを特徴とするパケットキャプチャ方法。
【０１５７】
（付記３）
付記２において、
前記ヘッダは、ＴＣＰパケットまたはＵＤＰパケットである、
ことを特徴とするパケットキャプチャ方法。
【０１５８】
（付記４）
付記１において、さらに、
前記蓄積装置が、前記スイッチ装置によって転送された前記ミラーパケットを受信した場合、受信した前記ミラーパケットに含まれる所定の情報と、受信した前記ミラーパケットに含まれる前記識別情報とを対応付けた情報を管理情報の一部として記憶装置に記憶し、前記スイッチ装置によって転送された前記タイムスタンプパケットを受信した場合、受信した前記タイムスタンプパケットに含まれる前記時刻と、受信した前記タイムスタンプパケットに含まれる前記識別情報とを対応付けた情報を前記管理情報の一部として記憶装置に記憶し、
前記特定する工程では、前記管理情報を参照し、前記ミラーパケットに含まれる所定の情報及び前記時刻に対応付けられた前記識別情報を特定し、
前記ミラーパケットを記憶する工程では、特定した前記識別情報に対応付けられた前記ミラーパケットに含まれる所定の情報と、特定した前記識別情報に対応付けられた前記時刻とを関連付けて記憶する、
ことを特徴とするパケットキャプチャ方法。
【０１５９】
（付記５）
付記４において、さらに、
前記蓄積装置が、前記ミラーパケットに含まれる所定の情報と前記時刻とを関連付けて記憶装置に記憶した場合、記憶した前記所定の情報と記憶した前記時刻とを含む情報を前記管理情報から削除する、
ことを特徴とするパケットキャプチャ方法。
【０１６０】
（付記６）
付記４において、
前記ミラーパケットを記憶する工程では、特定した前記識別情報に対応付けられた前記時刻が、前記記憶装置に記憶済の前記時刻のいずれかよりも前である場合、特定した前記識別情報に対応付けられた前記ミラーパケットに含まれる所定の情報と、特定した前記識別情報に対応付けられた前記時刻との記憶を行わない、
ことを特徴とするパケットキャプチャ方法。
【０１６１】
（付記７）
付記４において、さらに、
前記蓄積装置が、同一の前記識別情報を有する前記ミラーパケットと前記タイムスタンプパケットとのうちの一方のパケットを受信した後、所定時間を経過しても他方のパケットを受信しない場合、前記一方のパケットに対応する情報を前記管理情報から削除する、
ことを特徴とするパケットキャプチャ方法。
【０１６２】
（付記８）
付記４において、さらに、
前記蓄積装置が、前記ミラーパケットを受信した後、所定時間が経過するまでに、受信した前記ミラーパケットと同一の前記識別情報を含む前記タイムスタンプパケットを受信しない場合、受信した前記ミラーパケットに含まれる前記所定の情報と、前記タイムスタンプパケットを受信しなかったことを示す情報とを関連付けて記憶装置に記憶する、
ことを特徴とするパケットキャプチャ方法。
【０１６３】
（付記９）
付記４において、さらに、
前記蓄積装置が、前記タイムスタンプパケットを受信した後、所定時間が経過するまでに、受信した前記タイムスタンプパケットと同一の前記識別情報を含む前記ミラーパケットを受信しない場合、受信した前記タイムスタンプパケットに含まれる前記時刻と、前記ミラーパケットを受信しなかったことを示す情報とを関連付けて記憶装置に記憶する、
ことを特徴とするパケットキャプチャ方法。
【０１６４】
（付記１０）
スイッチ装置が、
ネットワークを流れるパケットに対してミラーリングを行うことにより生成されたミラーパケットのヘッダに、前記ミラーリングが行われた時刻を設定し、
前記時刻が設定された前記ミラーパケットを蓄積装置に転送し、
蓄積装置が、
前記スイッチ装置から受信した前記ミラーパケットのヘッダから前記時刻を特定し、
特定した前記時刻と前記ミラーパケットとを関連付けて記憶装置に記憶する、
ことを特徴とするパケットキャプチャ方法。
【０１６５】
（付記１１）
付記１０において、
前記設定する処理では、前記ミラーパケットのヘッダにタイムスタンプフィールドが含まれている場合、前記タイムスタンプフィールドに、前記ミラーリングが行われた時刻を設定する、
ことを特徴とするパケットキャプチャ方法。
【０１６６】
（付記１２）
ネットワークを流れるパケットに対してミラーリングを行うことによりミラーパケットを生成するミラーリング処理部と、
前記ミラーパケットを一意に識別する識別情報と、前記ミラーリングが行われた時刻とを含むタイムスタンプパケットを生成するタイムスタンプパケット生成部と、
前記タイムスタンプパケットと前記ミラーパケットとを蓄積装置に転送するパケット転送部と、
を有するスイッチ装置と、
前記スイッチ装置から受信したパケットから、同一の前記識別情報を含む前記ミラーパケットと前記タイムスタンプパケットとをそれぞれ特定する情報特定部と、
特定した前記タイムスタンプパケットに含まれる前記時刻と、特定した前記ミラーパケットとを関連付けて記憶装置に記憶する情報管理部と、
を有する蓄積装置と、を有する
ことを特徴とするパケットキャプチャシステム。
【０１６７】
（付記１３）
付記１２において、
前記情報管理部は、前記スイッチ装置によって転送された前記ミラーパケットを受信した場合、受信した前記ミラーパケットに含まれる所定の情報と、受信した前記ミラーパケットに含まれる前記識別情報とを対応付けた情報を管理情報の一部として記憶装置に記憶し、前記スイッチ装置によって転送された前記タイムスタンプパケットを受信した場合、受信した前記タイムスタンプパケットに含まれる前記時刻と、受信した前記タイムスタンプパケットに含まれる前記識別情報とを対応付けた情報を前記管理情報の一部として記憶装置に記憶し、
前記情報特定部は、前記管理情報を参照し、前記ミラーパケットに含まれる所定の情報及び前記時刻に対応付けられた前記識別情報を特定し、
前記情報管理部は、特定した前記識別情報に対応付けられた前記ミラーパケットに含まれる所定の情報と、特定した前記識別情報に対応付けられた前記時刻とを関連付けて記憶する、
ことを特徴とするパケットキャプチャシステム。
【符号の説明】
【０１６８】
１：スイッチ装置            ２：キャプチャ装置
３：サーバ装置              ４：サーバ装置
【図１】
2018074511.tif 000003
【図２】
2018074511.tif 000004
【図３】
2018074511.tif 000005
【図４】
2018074511.tif 000006
【図５】
2018074511.tif 000007
【図６】
2018074511.tif 000008
【図７】
2018074511.tif 000009
【図８】
2018074511.tif 000010
【図９】
2018074511.tif 000011
【図１０】
2018074511.tif 000012
【図１１】
2018074511.tif 000013
【図１２】
2018074511.tif 000014
【図１３】
2018074511.tif 000015
【図１４】
2018074511.tif 000016
【図１５】
2018074511.tif 000017
【図１６】
2018074511.tif 000018
【図１７】
2018074511.tif 000019
【図１８】
2018074511.tif 000020
【図１９】
2018074511.tif 000021
【図２０】
2018074511.tif 000022
【図２１】
2018074511.tif 000023
【図２２】
2018074511.tif 000024
【図２３】
2018074511.tif 000025
【図２４】
2018074511.tif 000026
【図２５】
2018074511.tif 000027
【図２６】
2018074511.tif 000028
【図２７】
2018074511.tif 000029
【図２８】
2018074511.tif 000030
【図２９】
2018074511.tif 000031
【図３０】
2018074511.tif 000032