(57)【要約】【課題】  ネットワーク上のログの蓄積、および解析に関する従来技術は、一般のPCで構築されたネットワーク上において実現性が困難であり、実用上の実現手段に乏しかった。このような一般のネットワークに適用できる、より効率的なログ情報の蓄積・解析技術が求められている。【解決手段】  ネットワーク上の複数箇所にログ情報の取り込みを行うログ取込装置を接続し、ログ情報を取り込むと共に、取り込んだログ情報をログ蓄積装置に蓄積し、ネットワーク上に接続されたログ解析装置によるログ解析を行うことで、効率的なログ情報の蓄積および解析を実現する。【選択図】  図１
2005323322.tif 000002
【特許請求の範囲】
【請求項１】
特定コンテンツの通信経路や配信元を特定するためのネットワーク上のログ情報の蓄積および解析システムであって、
複数のログ取込装置と複数のログ蓄積装置と1つ以上のログ解析装置をネットワークを介して接続し、
当該ログ取込装置は、ネットワーク上を流れる全てのログ情報、または特定条件に合致したログ情報を取り込むログ取り込み手段と、
特定コンテンツに関する解析要求指示を複数のログ蓄積装置に配信する解析要求配信手段と、
複数のログ蓄積装置から受信した特定コンテンツに関する探索結果をログ解析装置に送信する送信手段と、
取り込んだログ情報を加工した後にログ蓄積装置に送信するログ送信手段と、を有し、
当該ログ蓄積装置は、ログ取込装置から受信したログ情報を改変困難な状態で蓄積するログ蓄積手段と、
当該装置内の蓄積ログ情報を参照して、当該解析要求に合致するログ情報の探索を行うログ探索手段と、
特定コンテンツに関するログ情報の探索結果をログ取込装置に送信する送信手段と、を有し、
当該ログ解析装置は、特定コンテンツに関するログ情報の解析要求を複数のログ取り込み装置に指示する解析要求指示手段と、
複数のログ取込装置から受信した探索結果に基づいて、特定コンテンツの通信経路や配信元を特定する、解析手段を有する
ことを特徴とするログ情報の蓄積および解析システム。
【請求項２】
請求項１に記載されたログ情報の蓄積および解析システムであって、
前記ログ読み出し手段における特定条件とは、ログの送付先や、ログの送付元や送付データ長や、送付データ内容や、パケットのデータパターン及びトラフィックパターンに関するものであることを特徴とするログ情報の蓄積および解析システム。
【請求項３】
請求項１に記載されたネットワーク上のログ情報の蓄積および解析システムであって、
前記ログ解析装置が受信する特定コンテンツに関するログ情報は、少なくとも1つ以上のログ取込装置から受信した特定コンテンツのIPパケットヘッダ内の送信元IPアドレスや、送信先IPアドレスや、生存時間を含む情報であることを特徴とするログ情報の蓄積および解析システム。
【請求項４】
請求項１に記載されたネットワーク上のログ情報の蓄積および解析システムであって、
前記ログ取込装置と前記ログ蓄積装置は、前記ログ解析装置から特定コンテンツに関する解析要求指示があった場合にログ取込処理とログ蓄積処理を一時停止し、当該解析要求に関する処理を優先させることを特徴とするログ情報の蓄積および解析システム。
【請求項５】
請求項１に記載されたネットワーク上のログ情報の蓄積および解析システムであって、
前記ログ蓄積装置は、一定期間、蓄積したログ情報を保持し、当該ログ情報の改変処理を許さないことを特徴とするログ情報の蓄積および解析システム。
【請求項６】
請求項５に記載されたネットワーク上のログ情報の蓄積および解析システムであって、
ログ情報の書き込み先アドレスが増加する方向にのみ書き込みを許可し、書き込み先アドレスがアドレス終端まで達した際に、始点アドレスに移すことで、一定期間、蓄積したログ情報を保持し、当該ログ情報の改変処理を許さないことを特徴とするログ情報の蓄積および解析システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はネットワーク上のログの蓄積、および解析を効率的に行うネットワークシステムに関し、特に、一般のコンピュータ（Personal Computer、PCという）で構成されたネットワーク上における、特定データの通信経路や配信元の特定を可能にする技術に関する。
【背景技術】
【０００２】
従来、ネットワーク上を遷移する情報を監視、解析するためには、ネットワークを構成する不特定多数のクライアントPCや、Proxyサーバ内のログ情報を入手可能な状態にし、当該ログを解析する必要があった。ところが、クライアントPCやProxyサーバ内のログ情報は一般的に入手可能な状態ではなく、仮に入手可能な状態にあったとしても、個々のPCやサーバに渡って必要なログ情報を抽出し、抽出したログ情報からネットワーク上の情報の遷移を解析する必要があった。上記問題の対策手段として特許文献１に記載の技術がある。
【０００３】
特許文献１は、PC毎に記録されるアクセスログの適切な監視を支援するアクセスログの監視技術であり、具体的には、監視対象装置において記録される当該監視装置のアクセスログから、ネットワーク上のアドレスを含め、あらかじめ定めた項目を取り出して統合監視用の形式で編集させた編集後ログを、当該監視対象装置から定期的に取り寄せ、上記ネットワーク上のアドレスを基に求めたアクセス毎の通信経路を表示することを特徴とする技術を開示する。
【０００４】
一方、ネットワーク上の通信路監視システムに関して特許文献２に記載の技術がある。
【０００５】
この技術は、監視装置が、通信路の属性情報（障害の有無などの障害情報、使用している資源のリストなどの構成情報、通過あるいは、処理したパケットやコンテンツ流量などの会計情報、通過するのに要した時間や損失率などの性能情報など）を取り込む属性情報取込装置に対して、取得要求を指示する際の管理トラフィックを軽減することを特徴とする。具体的には、データ転送装置間でやり取りされる通信路確立制御情報を、監視取込装置があらかじめ取得し、これに基づいて属性情報の監視設定を行うことを特徴とする。
【０００６】
【特許文献１】特開２００２−８２８４９号公報
【特許文献２】特開２００３−２５８９０３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
特許文献１に記載の技術は、監視対象となるPC内にログ記憶部を実装する必要があり、かつ、当該機器は、記憶したログを統合監視装置へ送信する必要がある。従って、ログ記憶部を装備しない一般のPCで構築されたネットワーク上において、ログの蓄積・解析は困難であり、実用化が難しい。
【０００８】
特許文献２に記載の技術は、通信ネットワーク上に確立された通信路における効率的な監視情報の収集に関する技術であり、通信経路の解析、複数の取込装置から収集した複数の情報に基づいた解析や、監視情報の蓄積について述べていない。
【０００９】
上述のように、ネットワーク上のログの蓄積、および解析に関する従来技術を用いて特定データの通信経路や配信元を特定することは、一般のPCで構築されたネットワーク上において実現が困難であった。
【００１０】
したがって、このような一般のネットワークに適用できる、より効率的なログ情報の蓄積・解析技術が求められている。
【課題を解決するための手段】
【００１１】
本発明は、ネットワーク上におけるログ蓄積および解析を行うネットワークシステムに関するものであり、一般のネットワークに適用できる、特定データの通信経路や配信元の特定を可能とする、効率的なログ情報の蓄積・解析技術を提供する。
【００１２】
本発明の態様は、ログ情報の蓄積方法と、解析方法に大別される。
【００１３】
ログ情報の蓄積方法における本発明の態様においては、ネットワーク上の複数箇所にログ情報の取り込みを行うログ取込装置を接続し、ネットワーク上を流れる全てのログ情報、または特定条件に合致したログ情報を記録することを特徴とする。
【００１４】
ここで述べた特定条件とは、例えば、送付先または送付元アドレスが特定アドレスであることや、ヘッダ長が特定条件を満たすことや、パケットが特定のデータパターンや特定のトラフィックパターンを持つことや、ＴＣＰのセグメントのハッシュ値などが特定条件を満たすことなどである。
【００１５】
例えば、ネットワーク上を流れるピアツーピア（Ｐ２Ｐ）トラフィックに関するログ情報を蓄積する場合、特定文字列を含むコントロールパケットや、特定のトラフィックパターンを持つコントロールトラフィックを持つログ情報を記録することなどが考えられる。
【００１６】
また、当該ログ取込装置は、取り込んだログ情報を蓄積する１つ以上のログ蓄積装置と接続されており、当該ログ取込装置が正規の取込装置か否かの手続きを経た後、取り込んだログ情報を蓄積する。また、当該ログ蓄積装置は、一定期間の間、蓄積したログ情報を保持し、改ざん、削除といった改変処理を困難にする。
【００１７】
ログ情報の解析方法における本発明の態様においては、ネットワーク上に接続されたログ解析装置が、ログ情報の解析要求内容を複数のログ取り込み装置に指示し、当該ログ取り込み装置は、上記解析要求内容を当該装置に接続された１つ以上のログ蓄積装置内の蓄積ログ情報を参照して、当該要求に合致するログ情報の探索を行い、当該探索結果と当該ログ取込装置の情報を当該ログ解析装置に送信することを特徴とする。
【００１８】
この探索・送信の際に、ログ取込装置およびログ蓄積装置は、処理量の軽減のため、ログの取込・蓄積を一時的に停止、または、取込頻度を減少してもよい。すなわち、ログ取込装置とログ蓄積装置は、ログ解析装置から特定コンテンツに関する解析要求指示があった場合にログ取込処理とログ蓄積処理を一時停止し、当該解析要求に関する処理を優先させてもよい。当該ログ解析装置は、複数のログ取込装置から受信した解析結果と取込装置の情報に基づき、特定パケット情報のネットワーク上の経路や、特定IPアドレス間の送受信情報を解析する。
【発明の効果】
【００１９】
本発明により、一般のネットワーク上におけるログ蓄積および解析を行うネットワークシステムの構築と、より効率的なログ情報の蓄積・解析が可能になる。
【発明を実施するための最良の形態】
【００２０】
以下、本発明の実施形態について、詳細に述べる。
【００２１】
図１は本実施形態の概略構成を示す図である。図１が示すように、本実施例の適用形態は、ネットワーク上にログ取込装置２００、ログ蓄積装置３００、およびログ解析装置４００を有している。
【００２２】
ログ取込装置２００は、ネットワーク上を流れる全てのログ情報、または特定条件に合致したログ情報を取り込むことを特徴とする。ログ取込装置２００は、ネットワーク上のルータなどに実装されることが考えられる。ログ蓄積装置３００は、ログ取込装置２００が正規の取込装置か否かの手続きを経た後、ログ取込装置２００が取り込んだログ情報を蓄積することを特徴とする。また、ログ蓄積装置３００は、一定期間の間、蓄積したログ情報を保持し、改ざん、削除といった改変処理を困難にすることを特徴とする。ログ取込装置２００とログ蓄積装置３００の接続形態は、図１の上部に示すように、ログ取込装置２００に１つ以上のログ蓄積装置３００が直接接続される場合と、図１の中部に示すように、一般のネットワークを経由して接続される場合と、図１の下部に示すように、複数のログ取込装置２００とログ蓄積装置３００から構成されるローカルエリアネットワーク上で接続される場合などが考えられる。ログ解析装置４００は、ログ情報の解析要求内容を複数のログ取り込み装置２００に指示することを特徴とする。ログ解析装置４００から解析要求を受けたログ取り込み装置２００は、上記解析要求内容を当該装置に接続された１つ以上のログ蓄積装置３００内の蓄積ログ情報を参照して、ログ情報の解析を行い、解析結果とログ取込装置２００の情報をログ解析装置４００に送信することを特徴とする。
【００２３】
図２は本実施形態のログ取込装置２００の概略構成を示す図である。図２に示す様に本実施形態のログ取込装置２００は、ＣＰＵ２０１と、メモリ２０２と、入力装置２０３と、出力装置２０４と、通信装置２０５とを有する情報処理装置を用いて構成することができる。
【００２４】
ＣＰＵ２０１は、ログ取込装置２００全体の動作を実現するプログラムを実行する装置である。メモリ２０２は、ログ取込装置２００全体の動作を実現する為の各種処理プログラムやデータを格納する記憶装置である。入力装置２０３は、ログ情報を入力する為の各種入力を行う装置である。出力装置２０４は、ログ情報の出力に伴う各種出力を行う装置である。通信装置２０５は、ＳＣＳＩやＲＳ４２２やＩＥＥＥ１３９４などの専用インタフェースを介して、他の処理装置との通信および制御を行う各種装置である。
【００２５】
またメモリ２０２は、ＣＰＵ２０１が実行することにより、ログ読み出し処理部２０６と、ログ加工部２０７と、署名生成・付加部２０８と、ログ送信処理部２０９とを実現するプログラムを有している。
【００２６】
ログ読み出し処理部２０６は、入力装置２０３やログ一時格納領域２１０からネットワーク上を流れる全てのログ情報、または特定条件に合致したログ情報を読み出す処理部である。読み出すログ情報の例として、IPパケットやTCPセグメント情報の全体または一部などが挙げられる。
【００２７】
ログ加工部２０７は、上記読み出したログ情報から必要情報を抽出または加工する処理部である。例としてIPパケットからの送信元IPアドレス、送信先アドレス、生存時間情報の抽出、TCPセグメント内の実データ部分のハッシュ値の抽出などが挙げられる。
【００２８】
署名生成・付加部２０８は、加工した当該ログ情報に対して必要であれば、当該ログ取込装置２００の署名や取込時刻情報（タイムスタンプ）を付加する処理部である。
【００２９】
ログ送信処理部２０９は、上記署名生成・付加部２０８で上記付加情報を追加した加工済みログ情報や、ログ解析装置から指示されたログ解析要求や、ログ蓄積装置３００が行ったログ情報の解析結果を出力装置２０３へ送信する処理部である。また、ログ送信処理部２０９は、送信情報を暗号化してからコンテンツを出力装置３０４に送信する場合もある。
【００３０】
図３は本実施形態のログ蓄積装置３００の概略構成を示す図である。図３に示す様に本実施形態のログ蓄積装置３００は、ＣＰＵ３０１と、メモリ３０２と、入力装置２０３と、出力装置３０４と、通信装置３０５と、磁気ディスク装置３１１とを有する情報処理装置を用いて構成することができる。
【００３１】
ＣＰＵ３０１は、ログ蓄積装置３００全体の動作を実現するプログラムを実行する装置である。メモリ３０２は、ログ蓄積装置３００全体の動作を実現する為の各種処理プログラムやデータを格納する記憶装置である。入力装置３０３は、ログ情報を入力する為の各種入力を行う装置である。出力装置３０４は、ログ情報の解析結果の出力に伴う各種出力を行う装置である。通信装置３０５は、ＳＣＳＩやＲＳ４２２やＩＥＥＥ１３９４などの専用インタフェースを介して、他の処理装置との通信および制御を行う各種装置である。磁気ディスク装置３１１は、ログ情報の書き込み・保管を行う装置であり、不正なログ情報の改ざん、削除などの改変を防ぐため、耐タンパ処理が施された装置である。
【００３２】
またメモリ３０２は、ＣＰＵ３０１が実行することにより、ログ読み出し処理部３０６と、署名検証部３０７と、ログ蓄積処理部３０８と、ログ解析処理部３０９とを実現するプログラムを有している。
【００３３】
ログ読み出し処理部３０６は、入力装置３０３からログ取込装置２００から送信されたログ情報を読み出す処理部である。
【００３４】
署名検証部３０７は、必要であれば上記読み出したログ情報から当該情報に付加された署名情報やタイムスタンプを検証し、正当なログ取込装置から送信されたログ情報か否かを検証する処理部である。
【００３５】
ログ蓄積処理部３０８は、当該ログ情報を磁気ディスク装置３１１内のログ蓄積部３１０に書き込む処理部である。ログ蓄積処理部３０８は、当該情報に暗号化や改ざん検知情報を付加した後に、ログ蓄積部３１０に書き込む場合がある。ログ蓄積部３１０へのログ情報の書き込み方法としては、当該情報の書き込み後の改変を防ぐため、一定期間の間、蓄積したログ情報を保持し、改ざん、削除といった改変処理を困難にすることを特徴とする。例えば、磁気ディスク内の書き込みアドレスが増加する方向（順方向）にのみ書き込みを許可し、減少する方向（逆方向）への書き込みは許可せず、書き込みが終端アドレスまで達した際に、始点アドレスに移すといった実現方法が考えられる。
【００３６】
ログ解析処理部３０９は、ログ取込装置２００から受信した解析要求内容に基づいて、ログ蓄積部３１０内のログ情報を検索し、特定パケット情報の存在や、特定IPアドレス間の送受信情報の存在可否を判定し、存在した場合には、出力装置３０４を経由して当該情報をログ取込装置２００へ送信することを特徴とする。
【００３７】
図４は本実施形態のログ解析装置４００の概略構成を示す図である。図４に示す様に本実施形態のログ解析装置４００は、ＣＰＵ４０１と、メモリ４０２と、入力装置４０３と、出力装置４０４と、通信装置４０５と、磁気ディスク装置４１１とを有する情報処理装置を用いて構成することができる。
【００３８】
ＣＰＵ４０１は、ログ解析装置４００全体の動作を実現するプログラムを実行する装置である。メモリ４０２は、ログ解析装置４００全体の動作を実現する為の各種処理プログラムやデータを格納する記憶装置である。入力装置４０３は、ユーザからの解析要求指示や、ログ情報の解析結果を入力する為の各種入力を行う装置である。出力装置４０４は、ログ情報の解析要求の出力に伴う各種出力を行う装置である。通信装置４０５は、ＳＣＳＩやＲＳ４２２やＩＥＥＥ１３９４などの専用インタフェースを介して、他の処理装置との通信および制御を行う各種装置である。磁気ディスク装置４１１は、ログ情報の解析結果の書き込み・保管を行う装置である。
【００３９】
またメモリ４０２は、ＣＰＵ４０１が実行することにより、ログ解析指示部４０６と、署名付加・検証部４０７と、ログ解析結果処理部４０８と、解析結果表示部４０９とを実現するプログラムを有している。
【００４０】
ログ解析指示部４０６は、特定パケット情報のネットワーク上の経路情報や、特定IPアドレス間の送受信情報の取得要求などの解析指示をネットワーク上に接続された複数のログ取り込み装置２００に指示する処理部である。
【００４１】
署名付加・検証部４０８では、ログ解析指示部４０６による解析指示の際に、必要であれば当該指示内容の情報にログ解析指示部４０６の署名を付加し、当該指示内容が正当な解析装置による指示であることを保証することを特徴とする。
【００４２】
ログ解析結果処理部４０８は、複数のログ取込装置２００から受信した複数のログ情報の解析結果（特定パケット情報の生存時間TTL(Time To Live)情報の差異や、特定IPアドレス間の送受信情報など）に基づいて、特定パケット情報のネットワーク上の経路や、特定IPアドレス間の送受信情報を解析する処理部である。また、ログ解析結果処理部４０８は、必要であれば、上記解析結果を解析結果格納部４１０に格納する。
【００４３】
解析結果表示部４０９は、ログ解析結果処理部４０８が解析したログ情報の解析結果を出力装置４０４に送信する。上記解析結果は、出力装置４０４を経由してユーザのモニタなどに表示される。
【００４４】
図５は本実施形態によるログ情報の蓄積手順を示すフローチャートである。ステップＳ５０１からステップＳ５０７の処理は繰り返し実行される。
【００４５】
ステップＳ５０１でログ取込装置２００のログ読み出し処理部２０６は、入力装置２０３やログ一時格納領域２１０からネットワーク上を流れる全てのログ情報、または特定条件に合致したログ情報を読み出す。読み出すログ情報の例として、IPパケットやTCPセグメント情報の全体または一部などが挙げられる。
【００４６】
ここで述べた特定条件とは、例えば、送付先（送付元）アドレスが特定アドレスであることや、ヘッダ長が特定条件を満たすことや、パケットが特定のデータパターンや特定のトラフィックパターンを持つことや、ＴＣＰのセグメントのハッシュ値などが特定条件を満たすことなどである。例えば、特定条件として、ネットワーク上を流れるP2Pトラフィックに関するログ情報のみを取り込むような場合、特定文字列を含むコントロールパケットや、特定のトラフィックパターンを持つコントロールトラフィックを持つログ情報のみを取り込むことなどが考えられる。
【００４７】
ステップＳ５０２でログ取込装置２００のログ加工部２０７は、上記読み出したログ情報から必要情報を抽出または加工する。例としてIPパケットからの送信元IPアドレス、送信先アドレス、生存時間情報の抽出、TCPセグメント内の実データ部分のハッシュ値の抽出などが挙げられる。
【００４８】
ステップＳ５０３でログ取込装置２００の署名生成・付加部２０８は、加工した当該ログ情報に対して必要であれば、当該ログ取込装置２００の署名や取込時刻情報（タイムスタンプ）を付加する。
【００４９】
ステップＳ５０４でログ取込装置２００のログ送信処理部２０９は、上記署名生成・付加部２０８で上記付加情報を追加した加工済みログ情報をログ蓄積装置３００へ送信する。ログ送信処理部２０９は、送信情報を暗号化してからコンテンツを出力装置３０４に送信する場合もある。
【００５０】
ステップＳ５０５でログ蓄積装置３００のログ読み出し処理部３０６は、入力装置３０３からログ取込装置２００から送信されたログ情報を読み出す。
【００５１】
ステップＳ５０６でログ蓄積装置３００の署名検証部３０７は、必要であれば上記読み出したログ情報から当該情報に付加された署名情報やタイムスタンプを検証し、正当なログ取込装置から送信されたログ情報か否かを検証する。
【００５２】
ステップＳ５０７でログ蓄積装置３００のログ蓄積処理部３０８は、当該ログ情報を磁気ディスク装置３１１内のログ蓄積部３１０に書き込む。ログ蓄積処理部３０８は、当該情報に暗号化や改ざん検知情報を付加した後に、ログ蓄積部３１０に書き込む場合がある。ログ蓄積部３１０へのログ情報の書き込み方法としては、当該情報の書き込み後の改変を防ぐため、一定期間の間、蓄積したログ情報を保持し、改ざん、削除といった改変処理を禁止する。
【００５３】
図６は本実施形態によるログ情報の解析手順を示すフローチャートである。
【００５４】
ステップＳ６０１でログ解析装置４００のログ解析指示部４０６は、特定パケット情報のネットワーク上の経路情報や、特定IPアドレス間の送受信情報の取得要求などの解析指示をネットワーク上に接続された複数のログ取り込み装置２００に指示する。解析指示の例としては、ネットワーク上のサーバから不正コピーコンテンツが発見された場合、当該コンテンツが発見された近傍のネットワーク機器に対して、ログ解析装置が当該コンテンツに関するログ情報を収集するように指示するといったことが考えられる。
【００５５】
本ステップにおいて、ログ解析装置４００の署名付加・検証部４０８では、ログ解析指示部４０６による解析指示の際に、必要であれば当該指示内容の情報にログ解析指示部４０６の署名を付加し、当該指示内容が正当な解析装置による指示であることを保証する。
【００５６】
ステップＳ６０２でログ取込装置２００は、ログ解析装置４００からログ解析指示情報を受信し、当該装置に接続された１つ以上のログ蓄積装置３００にログ解析指示情報を配信する。
【００５７】
ステップＳ６０３でログ蓄積装置３００のログ解析処理部３０９は、ログ取込装置２００から受信した解析要求内容に基づいて、ログ蓄積部３１０内のログ情報を検索し、特定パケット情報の存在や、特定IPアドレス間の送受信情報の存在可否を判定し、存在した場合には、出力装置３０４を経由して該当するIPパケットのヘッダ情報などをログ取込装置２００へ送信する。この探索・送信の際に、ログ取込装置およびログ蓄積装置は、処理量の軽減のため、ログの取込・蓄積を一時的に停止、または、取込頻度を減少することが考えられる。
【００５８】
ステップＳ６０４でログ取込装置２００は、ログ蓄積装置３００が行ったログ情報の解析結果を出力装置２０３へ送信する。
【００５９】
ステップＳ６０５でログ解析装置４００のログ解析結果処理部４０８は、複数のログ取込装置２００から受信した複数のログ情報の解析結果（特定パケット情報のIPパケットヘッダ内の送信元／送信先IPアドレスや、生存時間TTL(Time To Live)情報の差異や、特定IPアドレス間の送受信情報など）に基づいて、特定パケット情報のネットワーク上の経路や、特定IPアドレス間の送受信情報（送信元／送信先）などを解析する。ログ解析結果処理部４０８は、必要であれば、上記解析結果を解析結果格納部４１０に格納する。
【００６０】
ステップＳ６０６でログ解析装置４００の解析結果表示部４０９は、ログ解析結果処理部４０８が解析したログ情報の解析結果を出力装置４０４に送信する。上記解析結果は、出力装置４０４を経由してユーザのモニタなどに表示される。
【００６１】
本実施形態により、特定データの通信経路や配信元の特定を目的とした一般のネットワーク上におけるログ蓄積および解析を行うネットワークシステムの構築を可能とし、複数のログ取込装置およびログ蓄積装置を用いたより効率的なログ情報の蓄積・解析技術を提供できる。
【００６２】
図７に複数のISP(Internet Service Provider)で構成されたネットワーク上に本発明を適用した一例を示す。
【００６３】
図７が示すように、各ISP内のルータやリモートログインサーバにログ取込機能、及びログ蓄積機能を実装し、機器認証結果の記録や、端末PCによるデータのやり取りやユーザ認証結果などを蓄積する。
【００６４】
また、インターネットカフェのような共有スペースでは、端末PCにログ取り込み機能、および蓄積機能を実装し、ユーザのログ情報を直接蓄積してもよい。一方、ログ解析時には、ネットワークに接続したログ解析端末が複数のルータ、サーバ、端末PCに対して、ログ解析要求を指示し、当該ルータ、サーバ、端末PCは、当該指示に基づいて、蓄積されたログ情報を解析し、解析結果を当該ログ解析端末に送信する。
【００６５】
ログ解析の一例として、ネットワーク上のサーバから不正コピーコンテンツが発見された場合、ログ解析端末は、当該コンテンツが発見された近傍のネットワーク機器に対して、当該コンテンツに関するログ情報を収集するように指示する。指示を受けたネットワーク機器は、蓄積されたログ情報の中に当該コンテンツに関するログ情報があれば、該当するIPパケットヘッダなどのヘッダ情報のみを、ログ解析端末に送信する。ログ解析端末は、各ネットワーク機器から送信されたヘッダ情報（例えば、IPパケットヘッダ内の送信元／送信先IPアドレスや、生存時間）に基づいて、不正コピーコンテンツの送信元／送信先、送信経路などを特定する。
【００６６】
送信元IPアドレスがISPのIPアドレスであれば、ログ解析端末は、当該ISPに対し、当該コンテンツに関するログ情報を収集するように指示する。指示を受けたISPは、ISP内のサーバおよびルータから蓄積されたログ情報の中に当該コンテンツに関するログ情報があれば、該当するIPパケットヘッダなどのヘッダ情報のみを、ログ解析端末に送信する。ログ解析端末は、当該ヘッダ情報に基づいて、不正コピーコンテンツの送信元／送信先、送信経路などを特定する。
【００６７】
このようにして、ISPサーバや各種ネットワーク機器から蓄積されたログ情報に基づいて、不正コピーコンテンツの流通経路を特定することが可能である。
【図面の簡単な説明】
【００６８】
【図１】本実施形態を適用したシステムの概略構成を示す図である。
【図２】本実施形態のログ取込装置の概略構成を示す図である。
【図３】本実施形態のログ蓄積装置の概略構成を示す図である。
【図４】本実施形態のログ解析装置の概略構成を示す図である。
【図５】本実施形態のログ蓄積手順の一例を示すフローチャートである。
【図６】本実施形態のログ解析手順の一例を示すフローチャートである。
【図７】本実施形態を複数のISPで構成されたネットワークに適用した一例を示す図である。
【符号の説明】
【００６９】
２００：ログ取込装置、３００：ログ蓄積装置、４００：ログ解析装置。
【図１】
2005323322.tif 000003
【図２】
2005323322.tif 000004
【図３】
2005323322.tif 000005
【図４】
2005323322.tif 000006
【図５】
2005323322.tif 000007
【図６】
2005323322.tif 000008
【図７】
2005323322.tif 000009