(57)【要約】  通信情報統合装置３は、収集した第一の通信情報を端末装置４ごとに分類し、分類した端末装置４に対応する通信情報を要約した要約情報を生成し、生成した要約情報を当該端末装置４へ送信し、端末装置４は、要約情報を受信した場合、端末装置４が収集した第二の通信情報と要約情報とを用いて、第一の通信情報と第二の通信情報との差分を抽出し、抽出した差分に基づいて差分通信情報を生成し、生成した差分通信情報を通信情報統合装置３へ送信し、通信情報統合装置３は、差分通信情報を端末装置４から受信した場合、第一の通信情報に差分通信情報を統合する、通信情報統合システム１である。
2020070811.tif 000002
【特許請求の範囲】
【請求項１】
複数の端末装置と通信情報統合装置とがネットワークを介して通信をする通信情報統合システムであって、
前記通信情報統合装置は、
収集した第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成し、生成した要約情報を当該端末装置へ送信し、
前記端末装置が収集した第二の通信情報と前記要約情報とに基づいて、前記端末装置が生成した差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、
前記端末装置は、
前記要約情報を受信した場合、前記端末装置が収集した第二の通信情報と前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を抽出し、抽出した前記差分に基づいて前記差分通信情報を生成し、生成した前記差分通信情報を前記通信情報統合装置へ送信する、
ことを特徴とする通信情報統合システム。
【請求項２】
複数の端末装置と通信情報統合装置とを有するネットワークにおける通信情報統合方法であって、
前記通信情報統合装置が、収集した第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成し、生成した要約情報を当該端末装置へ送信し、
前記端末装置が、前記要約情報を受信した場合、前記端末装置が収集した第二の通信情報と前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を抽出し、抽出した前記差分に基づいて差分通信情報を生成し、生成した前記差分通信情報を前記通信情報統合装置へ送信し、
前記通信情報統合装置が、前記端末装置が生成した前記差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、
ことを特徴とする通信情報統合方法。
【請求項３】
収集した第一の通信情報を、ネットワークを介して通信をする端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成する、要約情報生成手段と、
前記端末装置において生成した、前記端末装置が収集した第二の通信情報と、前記ネットワークを介して受信した前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、通信情報統合手段と、
を有することを特徴とする通信情報統合装置。
【請求項４】
請求項３に記載の通信情報統合装置であって、
要約情報生成手段は、前記端末装置を識別する端末識別情報を用いて、前記第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報のデータ構造を、確率的データ構造又はデータ圧縮表現構造に変換して前記要約情報を生成する
ことを特徴とする通信情報統合装置。
【請求項５】
コンピュータに、
（ａ）収集した第一の通信情報を、ネットワークを介して通信をする端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成する、ステップと、
（ｂ）前記端末装置において生成した、前記端末装置が収集した第二の通信情報と、前記ネットワークを介して受信した前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、ステップと、
を実行させる命令を含むプログラムを記録したコンピュータ読み取り可能な記録媒体。
【請求項６】
請求項５に記載のプログラムを記録したコンピュータ読み取り可能な記録媒体であって、
前記（ａ）のステップにおいて、前記端末装置を識別する端末識別情報を用いて、前記第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報のデータ構造を、確率的データ構造又はデータ圧縮表現構造に変換して圧縮して前記要約情報を生成する
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【請求項７】
ネットワークを介して通信をする通信情報統合装置が収集した第一の通信情報を、端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約して生成した要約情報を、前記通信情報統合装置から受信した場合、収集した第二の通信情報と前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を生成する、差分通信情報生成手段を有する
ことを特徴とする端末装置。
【請求項８】
請求項７に記載の端末装置であって、
前記差分通信情報生成手段は、前記要約情報と、前記第二の通信情報とに基づいて、前記第一の通信情報にない前記第二の通信情報を抽出し、抽出した前記第二の通信情報に基づいて差分通信情報を生成する
ことを特徴とする端末装置。
【請求項９】
コンピュータに、
（ａ）ネットワークを介して通信をする通信情報統合装置が収集した第一の通信情報を、端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約して生成した要約情報を、前記通信情報統合装置から受信した場合、収集した第二の通信情報と前記要約情報との差分を表す差分通信情報を生成する、ステップ
を実行させる命令を含むプログラムを記録したコンピュータ読み取り可能な記録媒体。
【請求項１０】
請求項９に記載のプログラムを記録したコンピュータ読み取り可能な記録媒体であって、
前記（ａ）のステップにおいて、前記要約情報と、前記第二の通信情報とに基づいて、前記第一の通信情報にない前記第二の通信情報を抽出し、抽出した前記第二の通信情報に基づいて差分通信情報を生成する
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信情報を統合する通信情報統合システム、通信情報統合方法、通信情報統合装置、端末装置に関し、更には、これらを実現するためのプログラムを記録したコンピュータ読み取り可能な記録媒体に関する。
【背景技術】
【０００２】
近年、組織内システムを標的としたサイバー攻撃により、情報漏洩、信用棄損などの被害が増加しており、サイバー攻撃対策の強化が求められている。サイバー攻撃対策を強化するためには、サイバー攻撃によるインシデント発生時の調査を行い、組織内システムより収集した通信情報（例えば、通信ログなど）から、攻撃、情報漏洩などの痕跡、証拠を得ることが必要である。【０００３】
また、サイバー攻撃への対策として、組織内システムなどの各種システムにおける、通信ログの収集指針、通信ログを収集する仕組み、通信ログの管理などについての重要性が、再認識されている。特に、組織内システムのデータの流れを監視する仕組みの重要性が指摘されている。【０００４】
関連する技術として特許文献１には、コンピュータシステムにおいて、ノード情報を効率よく収集し、蓄積し、容易に閲覧できるデータ収集システムが開示されている。そのデータ収集システムによれば、複数のデータ収集装置が、分担してネットワーク内の複数のノードから、該ノードが有する情報であるノード情報を収集し、データ収集装置が収集したノード情報を重複させることなく記憶装置に蓄積する。そして、データ収集装置は、ノード情報の要求により指定されたノード情報を、記憶装置から取得して提供する。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１０−１９８４３４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、対象システムが大規模なネットワークである場合、ネットワークすべての通信ログを一箇所に統合して記録することは、ネットワークを構築する機器の仕様などにより難しいことがある。【０００７】
具体的には、ＩＰ（Internet Protocol）ネットワークを採用したシステムでは、同一のネットワークハブの配下に接続された端末装置間のＩＰ通信は、当該ネットワークハブで折り返される。そのため、ＩＰネットワーク上流で通信ログを収集する装置（例えば、セキュリティアプライアンスなど）は、ネットワークすべての通信ログを一箇所に統合して記録できない。言い換えれば、上述したような多段に接続されたハブ、ルータなどを用いて構築されたネットワークでは、ネットワークすべての通信ログを一箇所に統合して記録することが難しい。【０００８】
それでも、ネットワークすべての通信ログを一箇所に統合して記録したい場合、現状では、例えば、ネットワークに設けられたすべてのネットワークスイッチにおいて、ネットワークスイッチのサブネットワークに応じたミラーポートを設定し、記憶装置にパケットを集めて記録するようにしている。しかし、ミラーポートの設定には、多大な労力と時間とを要する。【０００９】
また、他の方法として、端末装置からローカルで通信ログを抽出して記録する方法もあるが、端末装置からローカルで通信ログを抽出して記録する場合には、やはり多大な労力と時間とを要する。【００１０】
また、リモートフォレンジックツール、ＯＳ（Operating System）固有の管理ツールを利用してネットワーク経由で通信ログを取得して記録する方法も考えられる。しかし、端末装置に記録した通信ログをネットワーク経由で取得する場合、容量の大きな通信ログを多くの端末装置から収集するため、ネットワークに過剰な通信負荷がかかる。【００１１】
本発明の目的の一例は、対象システムにおいて用いた通信情報を効率よく統合する通信情報統合システム、通信情報統合方法、通信情報統合装置、端末装置、及びコンピュータ読み取り可能な記録媒体を提供することにある。
【課題を解決するための手段】
【００１２】
上記目的を達成するため、本発明の一側面における通信情報統合システムは、
複数の端末装置と通信情報統合装置とがネットワークを介して通信をする通信情報統合システムであって、
前記通信情報統合装置は、
収集した第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成し、生成した要約情報を当該端末装置へ送信し、
前記端末装置が収集した第二の通信情報と前記要約情報とに基づいて、前記端末装置が生成した差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、
前記端末装置は、
前記要約情報を受信した場合、前記端末装置が収集した第二の通信情報と前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を抽出し、抽出した前記差分に基づいて前記差分通信情報を生成し、生成した前記差分通信情報を前記通信情報統合装置へ送信する、
ことを特徴とする。【００１３】
また、上記目的を達成するため、本発明の一側面における通信情報統合方法は、
複数の端末装置と通信情報統合装置とを有するネットワークにおける通信情報統合方法であって、
前記通信情報統合装置が、収集した第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成し、生成した要約情報を当該端末装置へ送信し、
前記端末装置が、前記要約情報を受信した場合、前記端末装置が収集した第二の通信情報と前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を抽出し、抽出した前記差分に基づいて差分通信情報を生成し、生成した前記差分通信情報を前記通信情報統合装置へ送信し、
前記通信情報統合装置が、前記端末装置が生成した前記差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、
ことを特徴とする。【００１４】
また、上記目的を達成するため、本発明の一側面における通信情報統合装置は、
収集した第一の通信情報を、ネットワークを介して通信をする端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成する、要約情報生成部と、
前記端末装置において生成した、前記端末装置が収集した第二の通信情報と、前記ネットワークを介して受信した前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、通信情報統合部と、
を有することを特徴とする。【００１５】
また、上記目的を達成するため、本発明の一側面におけるプログラムを記録したコンピュータ読み取り可能な記録媒体は、
コンピュータに、
（ａ）収集した第一の通信情報を、ネットワークを介して通信をする端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成する、ステップと、
（ｂ）前記端末装置において生成した、前記端末装置が収集した第二の通信情報と、前記ネットワークを介して受信した前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、ステップと、
を実行させる命令を含むプログラムを記録していることを特徴とする。【００１６】
また、上記目的を達成するため、本発明の一側面における端末装置は、
ネットワークを介して通信をする通信情報統合装置が収集した第一の通信情報を、端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約して生成した要約情報を、前記通信情報統合装置から受信した場合、収集した第二の通信情報と前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を生成する、差分通信情報生成部を有する
ことを特徴とする。【００１７】
また、上記目的を達成するため、本発明の一側面におけるプログラムを記録したコンピュータ読み取り可能な記録媒体は、
コンピュータに、
（ａ）ネットワークを介して通信をする通信情報統合装置が収集した第一の通信情報を、端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約して生成した要約情報を、前記通信情報統合装置から受信した場合、収集した第二の通信情報と前記要約情報との差分を表す差分通信情報を生成する、ステップ
を実行させる命令を含むプログラムを記録していることを特徴とする。
【発明の効果】
【００１８】
以上のように本発明によれば、対象システムにおいて用いた通信情報を効率よく統合できる。
【図面の簡単な説明】
【００１９】
【図１】図１は、通信情報統合システムの一例を示す図である。
【図２】図２は、通信情報統合装置、端末装置の一例を示す図である。
【図３】図３は、端末情報、上流通信情報のデータ構造の一例を示す図である。
【図４】図４は、要約情報のデータ構造の一例を示す図である。
【図５】図５は、統合情報のデータ構造の一例を示す図である。
【図６】図６は、下流通信情報のデータ構造の一例を示す図である。
【図７】図７は、通信情報統合システムの動作の一例を示す図である。
【図８】図８は、通信情報統合装置の動作の一例を示す図である。
【図９】図９は、端末装置の動作の一例を示す図である。
【図１０】図１０は、通信情報統合装置又は端末装置を実現するコンピュータの一例を示す図である。
【発明を実施するための形態】
【００２０】
（実施の形態）
以下、本発明の実施の形態について、図１から図１０を参照しながら説明する。
【００２１】
［システム構成］
最初に、図１を用いて、本実施の形態における通信情報統合システムの構成について説明する。図１は、通信情報統合システムの一例を示す図である。
【００２２】
図１に示す通信情報統合システムは、対象システムにおいて用いた通信情報を効率よく統合するシステムである。また、図１に示すように、通信情報統合システム１は、ネットワーク２を介して接続され、互いに通信をする、通信情報統合装置３と、複数の端末装置４とを有する。
【００２３】
このうち、通信情報統合装置３は、収集した上流通信情報（第一の通信情報）を端末装置４ごとに分類し、分類した端末装置４に対応する通信情報を要約した要約情報を生成し、生成した要約情報を当該端末装置４へ送信する。また、通信情報統合装置３は、端末装置４が収集した下流通信情報（第二の通信情報）と要約情報とに基づいて、端末装置４が生成した差分通信情報を、端末装置４から受信した場合、上流通信情報に差分通信情報を統合する。
【００２４】
端末装置４は、要約情報を受信した場合、端末装置４が収集した下流通信情報と要約情報とを用いて、上流通信情報と下流通信情報との差分を抽出し、抽出した差分に基づいて差分通信情報を生成し、生成した差分通信情報を通信情報統合装置３へ送信する。
【００２５】
このように、本実施の形態によれば、対象システムにおいて、ネットワーク上流で収集した上流通信情報に含まれない、ネットワーク下流で収集した下流通信情報（差分通信情報）を、上流通信情報に統合するので、重複のない通信情報を一箇所に統合して収集できる。そのため、対象システムで用いた通信情報を効率よく統合できる。
【００２６】
［装置構成］
続いて、図２を用いて、本実施の形態における通信情報統合システム１の構成をより具体的に説明する。図２は、通信情報統合システムの具体例を示す図である。
【００２７】
ネットワーク２には、通信情報統合装置３と、複数の端末装置４とが接続されている。ネットワーク２は、例えば、ハブ、ルータ、ネットワークスイッチなどを用いて構築されたＩＰネットワークなどである。
【００２８】
通信情報統合装置３は、ネットワーク２の上流で収集した通信ログなどの上流通信情報を記録する。また、通信情報統合装置３は、上流通信情報に基づいて、端末装置４ごとに要約情報を作成し、対応する端末装置４に要約情報を送信する。また、通信情報統合装置３は、端末装置４が収集した通信ログなどの下流通信情報と要約情報との差分を表す差分通信情報を、端末装置４から受信する。その後、通信情報統合装置３は、上流通信情報に差分通信情報を統合して統合情報を生成し、記録する。なお、通信情報統合装置３は、例えば、サーバコンピュータ、パーソナルコンピュータなどの通信機能を備えた情報処理機器である。
【００２９】
通信情報統合装置３について具体的に説明する。通信情報統合装置３は、例えば、通信情報収集部２１と、要約情報生成部２２と、通信情報統合部２３と、記憶部２４などとを有する。
【００３０】
通信情報収集部２１は、ネットワーク２の上流において収集できる通信情報を、無線又は有線などの通信を用いて受信し、収集した通信情報を上流通信情報として記憶部２４に記憶する。なお、通信情報収集部２１は、通信情報統合装置３の外部に、別に設けてもよい。その場合、通信情報収集部２１は、通信情報統合装置３と複数の端末装置４との通信を、ネットワーク２を介して行う。
【００３１】
要約情報生成部２２は、まず、収集した上流通信情報を、ネットワーク２を介して通信をする端末装置４ごとに分類する。具体的には、要約情報生成部２２は、記憶部２４に記憶されている、端末情報と上流通信情報とを用いて、上流通信情報を端末装置４ごとに分類する。例えば、要約情報生成部２２は、図３に示すように、上流通信情報を端末装置４ごとに分類する。
【００３２】
図３は、端末情報、上流通信情報のデータ構造の一例を示す図である。図３に示す端末情報３１には、端末装置４を識別するための情報「端末識別子」と、当該端末装置４の送信元の端末装置４のＩＰアドレスを示す情報「端末ＩＰ」とが関連付けられて記憶されている。図３の例では、「端末識別子」には「0001」「0002」…「0104」などが記憶され、「端末ＩＰ」には「192.168.0.11」「192.168.0.12」…「192.168.0.127」などが記憶されている。
【００３３】
また、図３に示す上流通信情報３２は、端末識別子「0001」に相当する端末装置４に関して、端末ＩＰ「192.168.0.11」を用いて分類した上流通信情報である。また、図３に示す上流通信情報３２は、日付と時刻とを示す情報「日時」と、送信元と受信先とが接続されていた時間を示す情報「接続時間」と、送信元の端末装置４のＩＰアドレスを示す情報「送信元ＩＰ」と、送信ポート番号を示す情報「送信ポート」と、受信先の端末装置４のＩＰアドレスを示す情報「受信先ＩＰ」と、受信ポート番号を示す情報「受信ポート」とが関連付けられて記憶されている。更に、図３の例では、送信バイト数を示す情報「送信バイト」と、受信バイト数を示す情報「受信バイト」と、パケット数を示す情報「パケット数」とが関連付けられて記憶されている。
【００３４】
続いて、要約情報生成部２２は、端末装置４ごとに分類した上流通信情報を要約した要約情報を生成する。具体的には、要約情報生成部２２は、分類した上流通信情報の所定情報に対してマスク処理をし、分類してマスク処理をした上流通信情報のうち、キーとなる情報を要約して要約情報を生成する。
【００３５】
所定情報へのマスク処理について説明する。通信情報が端末装置４に到達する日時は、端末装置４がネットワーク２に接続される位置などによりずれることが頻繁に発生する。そのため、「日時」「接続時間」に記憶された日時をそのまま用いると、日時、接続時間の僅かなずれにより、同じ通信情報であるにもかかわらず異なる通信情報と判断されてしまう。そこで、「日時」「接続時間」に記憶された日時に対して、例えば、一秒以下の時刻を所定文字などで置き換える。そうすることで、同じ通信情報であるにもかかわらず異なる通信情報と判断することを軽減する。
【００３６】
図３に示す「日時」に記憶されている「2018-04-10T16:21+09:00」において、一秒以下の時刻を所定文字「×」で置き換えた場合、「日時」は「2018-04-10T16:2×+09:00」となる。また、図３に示す「接続時間」に記憶されている「1」「362」…「8」などの場合、「接続時間」は「×」「36×」…「×」となる。
【００３７】
キーとなる情報は、マスクした「日時」「接続時間」と、「送信元ＩＰ」「送信ポート」「受信先ＩＰ」「受信ポート」とを少なくとも含む情報とする。
【００３８】
要約情報は、キーとなる情報に対して、例えば、ブルームフィルタ（Bloom Filter）などの確率的データ構造、ＺＤＤ（Zero-suppressed Binary Decision Diagram）、ＢＤＤ（Binary Decision Diagram）などのデータ圧縮表現構造を適用して生成される。
【００３９】
要約情報の生成について、ブルームフィルタを用いた場合について説明する。要約情報生成部２２は、まず、キーとなる情報を順番に結合する。例えば、キーとなる情報が「2018-04-10T16:2×+09:00」「×」「192.168.0.11」「61747」「192.168.16.100」「88」「767」「316」「3」である場合、これらを結合して文字列「2018-04-10T16:2×+09:00×192.168.0.1161747192.168.16.100887673163」を生成する。その後、要約情報生成部２２は、結合した情報をバイト列に変換して、「323031382d30342d31305431363a32782b30393a3030783139322e3136382e302e313136313734373139322e3136382e31362e313030383837363733313633」（十六進数表記）を得る。
【００４０】
続いて、要約情報生成部２２は、あらかじめ設定した任意のビット列長ｍのブルームフィルタを生成するために、上述した変換したバイト列を、あらかじめ用意したｋ個の任意の種類のハッシュ関数群に入力する。続いて、要約情報生成部２２は、ハッシュ関数それぞれの出力が示す、ブルームフィルタのビットに「１」を設定して、ブルームフィルタを生成する。続いて、要約情報生成部２２は、対象日時と、ハッシュ関数のシード値と、ブルームフィルタとをペイロードとした要約情報を生成する。なお、対象日時は、統合情報を生成する期間を表す情報である。
【００４１】
続いて、要約情報生成部２２は、対象の端末装置４へ要約情報を送信する。例えば、要約情報生成部２２は、ＨＴＴＰＳプロトコルなどを用いて、要約情報を対象の端末装置４へ送信する。図４は、要約情報のデータ構造の一例を示す図である。図４に示す通信用情報４２は、例えば、端末装置４と通信をするために用いる情報である。また、ブルームフィルタにおいて使用するハッシュ関数の種類によっては、シード値が不要であるため、その場合にはペイロードにハッシュ関数シード値を含めなくてもよい。
【００４２】
通信情報統合部２３は、まず、端末装置４それぞれから、差分通信情報を受信する。すなわち、通信情報統合部２３は、端末装置４が収集した下流通信情報と要約情報とに基づいて、端末装置４それぞれが生成した後述する差分通信情報を、端末装置４それぞれから受信する。続いて、通信情報統合部２３は、上流通信情報に端末装置４それぞれから受信した差分通信情報を統合して統合情報を生成する。具体的には、通信情報統合部２３は、記憶部２４に記憶されている上流通信情報を取得し、取得した上流通信情報に、端末装置４それぞれから受信した差分通信情報を追加する。
【００４３】
例えば、通信情報統合部２３は、記憶部２４から取得した、図３に示した上流通信情報３２に、端末装置４から受信した上流通信情報３２に含まれていない差分通信情報を追加して、図５に示す統合情報５０を生成し、記憶部２４に記憶する。図５は、統合情報のデータ構造の一例を示す図である。図５に示す統合通信情報５１は、図３に示した端末識別子「0001」に対応する端末装置４の上流通信情報３２に、端末識別子「0001」に対応する端末装置４の差分通信情報５２（実線太線範囲）を追加した情報である。
【００４４】
記憶部２４は、通信情報収集部２１が収集した上流通信情報と、端末装置４から取得した差分通信情報とを記憶する。すなわち、記憶部２４は、統合情報を記憶する。なお、記憶部２４は、通信情報統合装置３に設けてもよいし、通信情報統合装置３の外部に設けてもよい。
【００４５】
端末装置４は、まず、ネットワーク２を介して通信をする通信情報統合装置３から要約情報を受信する。すなわち、通信情報統合装置３が、収集した上流通信情報を、端末装置４ごとに分類し、分類した端末装置４に対応する通信情報を要約して生成した要約情報を、端末装置４は通信情報統合装置３から受信する。続いて、端末装置４は、自身が収集した下流通信情報と要約情報とを用いて、上流通信情報と下流通信情報との差分を抽出し、抽出した差分に基づいて差分通信情報を生成する。なお、端末装置４は、例えば、サーバコンピュータ、パーソナルコンピュータ、スマートフォンなどの通信機能を備えた情報処理機器である。
【００４６】
端末装置４について具体的に説明する。端末装置４は、通信情報収集部２５と、差分通信情報生成部２６と、記憶部２７とを有する。
【００４７】
通信情報収集部２５は、ネットワーク２の下流において収集できる通信情報を、無線又は有線などの通信を用いて受信し、収集した通信情報を下流通信情報として記憶部２７に記憶する。具体的には、通信情報収集部２５は、図６に示すような下流通信情報６１を生成する。図６は、下流通信情報のデータ構造の一例を示す図である。図６に示す下流通信情報６１は、図３に示した端末識別子「0001」に対応する端末装置４が収集した下流通信情報である。
【００４８】
差分通信情報生成部２６は、通信情報統合装置３からネットワーク２を介して要約情報を取得し、下流通信情報と要約情報と用いて、上流通信情報と下流通信情報との差分を抽出し、抽出した差分に基づいて差分通信情報を生成する。具体的には、差分通信情報生成部２６は、下流通信情報の所定情報に対してマスク処理をし、マスク処理をした下流通信情報と要約情報とを用いて、上流通信情報にない下流通信情報を抽出し、抽出した下流通信情報に基づいて差分通信情報を生成する。
【００４９】
下流通信情報の所定情報に対して行うマスク処理は、上述したマスク処理であるので説明を省略する。なお、キーとなる情報は、マスクした「日時」「接続時間」と、「送信元ＩＰ」「送信ポート」「受信先ＩＰ」「受信ポート」とを少なくとも含む情報とする。
【００５０】
差分通信情報の生成について、ブルームフィルタを用いた場合について説明する。差分通信情報生成部２６は、まず、要約情報に含まれる対象日時に対応する対象の下流通信情報を取得し、上述したように、キーとなる情報を順番に結合し、結合した情報をバイト列に変換する。続いて、差分通信情報生成部２６は、あらかじめ設定したビット列長ｍのブルームフィルタのｋ個のハッシュ関数群へ、上述した変換したバイト列を入力し、ハッシュ関数それぞれの出力を取得する。
【００５１】
続いて、差分通信情報生成部２６は、上述したハッシュ関数それぞれの出力が示すビット位置と、要約情報に含まれるブルームフィルタのビットが「１」の位置とを照合する。その結果、全てのハッシュ関数それぞれが出力したビット位置と、ブルームフィルタの対応するビット位置が全て「１」である場合、差分通信情報生成部２６は、対象の下流通信情報が既に通信情報統合装置３に記憶されていると判定する。
【００５２】
対して、全てのハッシュ関数それぞれが出力したビット位置と、ブルームフィルタの対応するビット位置のビットが、一つでも「１」以外（「０」）であった場合、差分通信情報生成部２６は、対象の下流通信情報がまだ通信情報統合装置３に記憶されていないと判定する。なお、差分の判定では、ブルームフィルタを用いた確率的データ構造を用いた場合について説明したが、ＺＤＤ、ＢＤＤなどのデータ圧縮表現構造を適用してもよい。
【００５３】
続いて、差分通信情報生成部２６は、生成した差分通信情報を、通信情報統合装置３へ送信する。例えば、差分通信情報生成部２６は、ＨＴＴＰＳプロトコルなどを用いて、差分通信情報を通信情報統合装置３へ送信する。
【００５４】
記憶部２７は、通信情報収集部２５が収集した下流通信情報と、差分通信情報とを記憶する。なお、記憶部２７は、端末装置４に設けてもよいし、端末装置４の外部に設けてもよい。
【００５５】
［システム動作］
次に、本発明の実施の形態における通信情報統合システムの動作について、図７、図８、図９を用いて説明する。図７は、通信情報統合システムの動作の一例を示す図である。図８は、通信情報統合装置の動作の一例を示す図である。図９は、端末装置の動作の一例を示す図である。以下の説明においては、適宜図２から図６を参酌する。
【００５６】
また、本実施の形態では、通信情報統合システム１（通信情報統合装置３と端末装置４とを有するシステム）を動作させることによって、通信情報統合方法が実施される。よって、本実施の形態における通信情報統合方法の説明は、以下の通信情報統合システムの動作説明に代える。
【００５７】
図７に示すように、通信情報統合装置３は、ネットワーク２を介して上流通信情報を記憶部２４に記憶する（ステップＡ１）。また、端末装置４は、ネットワーク２を介して下流通信情報を記憶部２７に記憶する（ステップＡ２）。
【００５８】
続いて、通信情報統合装置３は、あらかじめ設定した所定日時になると、端末装置４それぞれに対して送信する要約情報を生成する（ステップＡ３）。その後、通信情報統合装置３は、端末装置４ごとに生成した要約情報を、対応する端末装置４それぞれに送信する（ステップＡ４）。
【００５９】
続いて、端末装置４は、通信情報統合装置３から送信された要約情報を受信する（ステップＡ５）。その後、端末装置４は、要約情報を参照して、下流通信情報を取得する（ステップＡ６）。例えば、ステップＡ６において、要約情報の「対象日時」を参照して、過去に収集した所定時間における下流通信情報を取得する。
【００６０】
続いて、端末装置４は、下流通信情報と要約情報とに基づいて差分を抽出する（ステップＡ７）。その後、端末装置４は、抽出した差分に基づいて差分通信情報を生成する（ステップＡ８）。具体的には、ステップＡ８において、端末装置４は、下流通信情報の所定情報に対してマスク処理をし、マスク処理をした下流通信情報と要約情報とを用いて、上流通信情報にない下流通信情報を抽出し、抽出した下流通信情報に基づいて差分通信情報を生成する。そして、端末装置４は、通信情報統合装置３に、差分通信情報を送信する（ステップＡ９）。
【００６１】
続いて、通信情報統合装置３は、端末装置４から差分通信情報を受信する（ステップＡ１０）。その後、通信情報統合装置３は、上流通信情報と差分通信情報とを用いて統合情報を生成する（ステップＡ１１）。
【００６２】
次に、通信情報統合装置３の動作について図８を用いて説明する。通信情報統合装置３の通信情報収集部２１は、ネットワーク２の上流において収集できる通信情報を、無線又は有線などの通信を用いて受信し、収集した通信情報を上流通信情報として記憶部２４に記憶する（ステップＢ１）。
【００６３】
続いて、あらかじめ設定した所定日時になると（ステップＢ２：Ｙｅｓ）、通信情報統合装置３の要約情報生成部２２は、対象日時に収集した、記憶部２４に記憶されている、上流通信情報を取得する（ステップＢ３）。対して、あらかじめ設定した所定日時でない場合には（ステップＢ２：Ｎｏ）、ステップＢ１の処理に移行する。
【００６４】
続いて、要約情報生成部２２は、端末情報（図３の３１を参照）と上流通信情報とを用いて、上流通信情報を端末装置４ごとに分類する（ステップＢ４）。続いて、要約情報生成部２２は、端末装置４ごとに分類した上流通信情報（図３の３２を参照）を要約した要約情報（図４の４１を参照）を生成する（ステップＢ５）。
【００６５】
具体的には、ステップＢ５において、要約情報生成部２２は、まず、分類した上流通信情報の所定情報に対してマスク処理をし、分類してマスク処理をした上流通信情報のうち、キーとなる情報を要約して要約情報を生成する。なお、要約情報は、キーとなる情報に対して、例えば、ブルームフィルタなどの確率的データ構造、ＺＤＤ、ＢＤＤなどのデータ圧縮表現構造を適用して生成する。
【００６６】
続いて、要約情報生成部２２は、対象の端末装置４へ要約情報を送信する（ステップＢ６）。その後、通信情報統合部２３が、端末装置４それぞれから、要約情報に対する応答となる差分通信情報を受信すると（ステップＢ７：Ｙｅｓ）、上流通信情報（図３の３２を参照）と差分通信情報（図６の６２を参照）とを統合して統合情報（図５の５０を参照）を生成する（ステップＢ８）。すなわち、通信情報統合部２３は、記憶部２４に記憶されている上流通信情報を取得し、取得した上流通信情報に、端末装置４それぞれから受信した差分通信情報を追加する。
【００６７】
次に、端末装置４の動作について図９を用いて説明する。端末装置４の通信情報収集部２５は、ネットワーク２の上流において収集できる通信情報を、無線又は有線などの通信を用いて受信し、収集した通信情報を下流通信情報（図６の６１を参照）として記憶部２７に記憶する（ステップＣ１）。
【００６８】
続いて、通信情報統合装置３から要約情報を受信すると（ステップＣ２：Ｙｅｓ）、端末装置４の差分通信情報生成部２６は、対象日時に収集した、記憶部２７に記憶されている、下流通信情報を取得する（ステップＣ３）。対して、あらかじめ設定した所定日時でない場合には（ステップＣ２：Ｎｏ）、ステップＣ１の処理に移行する。
【００６９】
続いて、差分通信情報生成部２６は、下流通信情報と要約情報との差分を抽出し、抽出した差分に基づいて差分通信情報を生成する（ステップＣ４）。具体的には、ステップＣ４において、差分通信情報生成部２６は、下流通信情報の所定情報に対してマスク処理をし、マスク処理をした下流通信情報と要約情報とを用いて、上流通信情報に含まれない下流通信情報との差分を抽出する。なお、差分の判定には、ブルームフィルタなどの確率的データ構造を適用してもよいし、ＺＤＤ、ＢＤＤなどのデータ圧縮表現構造を適用してもよい。
【００７０】
なお、下流通信情報の所定情報に対して行うマスク処理は、上述したマスク処理であるので説明を省略する。なお、キーとなる情報は、マスクした「日時」「接続時間」と、「送信元ＩＰ」「送信ポート」「受信先ＩＰ」「受信ポート」とを少なくとも含む情報とする。
【００７１】
続いて、差分通信情報生成部２６は、抽出した差分を用いて差分通信情報を生成する（ステップＣ５）。続いて、差分通信情報生成部２６は、通信情報統合装置３へ差分通信情報を送信する（ステップＣ６）。例えば、ステップＣ６において、差分通信情報生成部２６は、ＨＴＴＰＳプロトコルなどを用いて、差分通信情報を通信情報統合装置３へ送信する。
【００７２】
［本実施の形態の効果］
以上のように本実施の形態によれば、対象システムにおいて、ネットワーク上流で収集した上流通信情報に含まれない、ネットワーク下流で収集した下流通信情報（差分通信情報）を、上流通信情報に統合するので、重複のない通信情報を一箇所に統合して収集できる。そのため、対象システムで用いた通信情報を効率よく統合できる。
【００７３】
また、従来のようなＩＰネットワークを採用したシステムにおいては、多段にハブ、ルータなどが接続されているため、ネットワークすべてにおける通信情報を、一箇所に統合して収集することが難しい。しかし、本実施の形態においては、差分通信情報を用いて、上流通信情報に統合するので、ＩＰネットワークを採用したシステムにおいても、通信情報を一箇所に統合して収集できる。そのため、対象システムで用いた通信情報を効率よく統合できる。
【００７４】
また、従来のようなＩＰネットワークを採用したシステムにおいて、通信情報を一箇所に統合して収集する場合でも、本実施の形態においては、ネットワークに設けられたすべてのネットワークスイッチに対してミラーポートを設定する必要がない。そのため、対象システムで用いた通信情報を効率よく統合できる。
【００７５】
また、本実施の形態においては、従来のように端末装置４からローカルで下流通信情報を抽出して記録する場合と比べて、すくない通信量と時間とで、重複なく通信情報を一箇所に統合して収集できる。そのため、対象システムで用いた通信情報を効率よく統合できる。
【００７６】
また、従来のようにリモートフォレンジックツール、ＯＳ固有の管理ツールを利用してネットワーク経由で通信情報を取得して記録してもよいが、端末装置４に記録した通信情報をネットワーク経由で取得する場合において、容量の大きな通信情報を多くの端末装置４から収集した場合、ネットワークに過剰な通信負荷がかかる。しかし、本実施の形態においては、要約情報と差分通信情報とを用いることで、すくない通信量と時間とで、重複なく通信情報を一箇所に統合して収集できる。そのため、対象システムで用いた通信情報を効率よく統合できる。
【００７７】
［プログラム１］
本発明の実施の形態における通信情報統合装置のプログラムは、コンピュータに、図８に示すステップＢ１からＢ８を実行させるプログラムであればよい。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態における通信情報統合装置と通信情報統合方法とを実現することができる。この場合、コンピュータのプロセッサは、通信情報収集部２１、要約情報生成部２２、通信情報統合部２３として機能し、処理を行なう。
【００７８】
また、本実施の形態における通信情報統合装置のプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されてもよい。この場合は、例えば、各コンピュータが、それぞれ、通信情報収集部２１、要約情報生成部２２、通信情報統合部２３のいずれかとして機能してもよい。
【００７９】
［プログラム２］
本発明の実施の形態における端末装置のプログラムは、コンピュータに、図９に示すステップＣ１からＣ６を実行させるプログラムであればよい。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態における端末装置とその方法とを実現することができる。この場合、コンピュータのプロセッサは、通信情報収集部２５、差分通信情報生成部２６として機能し、処理を行なう。
【００８０】
また、本実施の形態における端末装置のプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されてもよい。この場合は、例えば、各コンピュータが、それぞれ、通信情報収集部２５、差分通信情報生成部２６のいずれかとして機能してもよい。
【００８１】
［物理構成］
ここで、実施の形態におけるプログラムを実行することによって、通信情報統合装置３、又は、端末装置４を実現するコンピュータについて図１０を用いて説明する。図１０は、本発明の実施の形態における通信情報統合装置又は端末装置を実現するコンピュータの一例を示すブロック図である。
【００８２】
図１０に示すように、コンピュータ１１０は、ＣＰＵ１１１と、メインメモリ１１２と、記憶装置１１３と、入力インターフェイス１１４と、表示コントローラ１１５と、データリーダ／ライタ１１６と、通信インターフェイス１１７とを備える。これらの各部は、バス１２１を介して、互いにデータ通信可能に接続される。なお、コンピュータ１１０は、ＣＰＵ１１１に加えて、又はＣＰＵ１１１に代えて、ＧＰＵ（Graphics Processing Unit）、又はＦＰＧＡ（Field-Programmable Gate Array）を備えていてもよい。
【００８３】
ＣＰＵ１１１は、記憶装置１１３に格納された、本実施の形態におけるプログラム（コード）をメインメモリ１１２に展開し、これらを所定順序で実行することにより、各種の演算を実施する。メインメモリ１１２は、典型的には、ＤＲＡＭ（Dynamic Random Access Memory）等の揮発性の記憶装置である。また、本実施の形態におけるプログラムは、コンピュータ読み取り可能な記録媒体１２０に格納された状態で提供される。なお、本実施の形態におけるプログラムは、通信インターフェイス１１７を介して接続されたインターネット上で流通するものであってもよい。
【００８４】
また、記憶装置１１３の具体例としては、ハードディスクドライブの他、フラッシュメモリ等の半導体記憶装置があげられる。入力インターフェイス１１４は、ＣＰＵ１１１と、キーボード及びマウスといった入力機器１１８との間のデータ伝送を仲介する。表示コントローラ１１５は、ディスプレイ装置１１９と接続され、ディスプレイ装置１１９での表示を制御する。
【００８５】
データリーダ／ライタ１１６は、ＣＰＵ１１１と記録媒体１２０との間のデータ伝送を仲介し、記録媒体１２０からのプログラムの読み出し、及びコンピュータ１１０における処理結果の記録媒体１２０への書き込みを実行する。通信インターフェイス１１７は、ＣＰＵ１１１と、他のコンピュータとの間のデータ伝送を仲介する。
【００８６】
また、記録媒体１２０の具体例としては、ＣＦ（Compact Flash（登録商標））及びＳＤ（Secure Digital）等の汎用的な半導体記憶デバイス、フレキシブルディスク（Flexible Disk）等の磁気記録媒体、又はＣＤ−ＲＯＭ（Compact Disk Read Only Memory）などの光学記録媒体があげられる。
【００８７】
なお、本実施の形態における通信情報統合装置３又は端末装置４は、プログラムがインストールされたコンピュータではなく、各部に対応したハードウェアを用いることによっても実現可能である。更に、通信情報統合装置３又は端末装置４は、一部がプログラムで実現され、残りの部分がハードウェアで実現されていてもよい。
【００８８】
［付記］
以上の実施の形態に関し、更に以下の付記を開示する。上述した実施の形態の一部又は全部は、以下に記載する（付記１）から（付記１０）により表現することができるが、以下の記載に限定されるものではない。
【００８９】
（付記１）
複数の端末装置と通信情報統合装置とがネットワークを介して通信をする通信情報統合システムであって、
前記通信情報統合装置は、
収集した第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成し、生成した要約情報を当該端末装置へ送信し、
前記端末装置が収集した第二の通信情報と前記要約情報とに基づいて、前記端末装置が生成した差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、
前記端末装置は、
前記要約情報を受信した場合、前記端末装置が収集した第二の通信情報と前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を抽出し、抽出した前記差分に基づいて前記差分通信情報を生成し、生成した前記差分通信情報を前記通信情報統合装置へ送信する、
ことを特徴とする通信情報統合システム。
【００９０】
（付記２）
複数の端末装置と通信情報統合装置とを有するネットワークにおける通信情報統合方法であって、
前記通信情報統合装置が、収集した第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成し、生成した要約情報を当該端末装置へ送信し、
前記端末装置が、前記要約情報を受信した場合、前記端末装置が収集した第二の通信情報と前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を抽出し、抽出した前記差分に基づいて差分通信情報を生成し、生成した前記差分通信情報を前記通信情報統合装置へ送信し、
前記通信情報統合装置が、前記端末装置が生成した前記差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、
ことを特徴とする通信情報統合方法。
【００９１】
（付記３）
収集した第一の通信情報を、ネットワークを介して通信をする端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成する、要約情報生成部と、
前記端末装置において生成した、前記端末装置が収集した第二の通信情報と、前記ネットワークを介して受信した前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、通信情報統合部と、
を有することを特徴とする通信情報統合装置。
【００９２】
（付記４）
付記３に記載の通信情報統合装置であって、
要約情報生成部は、前記端末装置を識別する端末識別情報を用いて、前記第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報のデータ構造を、確率的データ構造又はデータ圧縮表現構造に変換して前記要約情報を生成する
ことを特徴とする通信情報統合装置。
【００９３】
（付記５）
コンピュータに、
（ａ）収集した第一の通信情報を、ネットワークを介して通信をする端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成する、ステップと、
（ｂ）前記端末装置において生成した、前記端末装置が収集した第二の通信情報と、前記ネットワークを介して受信した前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、ステップと、
を実行させる命令を含むプログラムを記録したコンピュータ読み取り可能な記録媒体。
【００９４】
（付記６）
付記５に記載のプログラムを記録したコンピュータ読み取り可能な記録媒体であって、
前記（ａ）のステップにおいて、前記端末装置を識別する端末識別情報を用いて、前記第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報のデータ構造を、確率的データ構造又はデータ圧縮表現構造に変換して圧縮して前記要約情報を生成する
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【００９５】
（付記７）
ネットワークを介して通信をする通信情報統合装置が収集した第一の通信情報を、端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約して生成した要約情報を、前記通信情報統合装置から受信した場合、収集した第二の通信情報と前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を生成する、差分通信情報生成部を有する
ことを特徴とする端末装置。
【００９６】
（付記８）
付記７に記載の端末装置であって、
前記差分通信情報生成部は、前記要約情報と、前記第二の通信情報とに基づいて、前記第一の通信情報にない前記第二の通信情報を抽出し、抽出した前記第二の通信情報に基づいて差分通信情報を生成する
ことを特徴とする端末装置。
【００９７】
（付記９）
コンピュータに、
（ａ）ネットワークを介して通信をする通信情報統合装置が収集した第一の通信情報を、端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約して生成した要約情報を、前記通信情報統合装置から受信した場合、収集した第二の通信情報と前記要約情報との差分を表す差分通信情報を生成する、ステップ
を実行させる命令を含むプログラムを記録したコンピュータ読み取り可能な記録媒体。
【００９８】
（付記１０）
付記９に記載のプログラムを記録したコンピュータ読み取り可能な記録媒体であって、
前記（ａ）のステップにおいて、前記要約情報と、前記第二の通信情報とに基づいて、前記第一の通信情報にない前記第二の通信情報を抽出し、抽出した前記第二の通信情報に基づいて差分通信情報を生成する
ことを特徴とするコンピュータ読み取り可能な記録媒体。
【００９９】
以上、実施の形態を参照して本願発明を説明したが、本願発明は上記実施の形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
【産業上の利用可能性】
【０１００】
以上のように本発明によれば、対象システムで用いた通信情報を効率よく統合できる。本発明は、サイバーセキュリティにおいて、システム運用者、インシデント分析者らが、特にインシデントハンドリングのために通信ログを収集する際に有用である。
【符号の説明】
【０１０１】
１  通信情報統合システム
２  ネットワーク
３  通信情報統合装置
４  端末装置
２１  通信情報収集部
２２  要約情報生成部
２３  通信情報統合部
２４  記憶部
２５  通信情報収集部
２６  差分通信情報生成部
２７  記憶部
１１０  コンピュータ
１１１  ＣＰＵ
１１２  メインメモリ
１１３  記憶装置
１１４  入力インターフェイス
１１５  表示コントローラ
１１６  データリーダ／ライタ
１１７  通信インターフェイス
１１８  入力機器
１１９  ディスプレイ装置
１２０  記録媒体
１２１  バス
【図１】
2020070811.tif 000003
【図２】
2020070811.tif 000004
【図３】
2020070811.tif 000005
【図４】
2020070811.tif 000006
【図５】
2020070811.tif 000007
【図６】
2020070811.tif 000008
【図７】
2020070811.tif 000009
【図８】
2020070811.tif 000010
【図９】
2020070811.tif 000011
【図１０】
2020070811.tif 000012
【手続補正書】
【提出日】令和3年3月15日(2021.3.15)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
複数の端末装置と通信情報統合装置とがネットワークを介して通信をする通信情報統合システムであって、
前記通信情報統合装置は、
収集した第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成し、生成した要約情報を当該端末装置へ送信し、
前記端末装置が収集した第二の通信情報と前記要約情報とに基づいて、前記端末装置が生成した差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、
前記端末装置は、
前記要約情報を受信した場合、前記端末装置が収集した第二の通信情報と前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を抽出し、抽出した前記差分に基づいて前記差分通信情報を生成し、生成した前記差分通信情報を前記通信情報統合装置へ送信する、
ことを特徴とする通信情報統合システム。
【請求項２】
複数の端末装置と通信情報統合装置とを有するネットワークにおける通信情報統合方法であって、
前記通信情報統合装置が、収集した第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成し、生成した要約情報を当該端末装置へ送信し、
前記端末装置が、前記要約情報を受信した場合、前記端末装置が収集した第二の通信情報と前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を抽出し、抽出した前記差分に基づいて差分通信情報を生成し、生成した前記差分通信情報を前記通信情報統合装置へ送信し、
前記通信情報統合装置が、前記端末装置が生成した前記差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、
ことを特徴とする通信情報統合方法。
【請求項３】
収集した第一の通信情報を、ネットワークを介して通信をする端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成する、要約情報生成手段と、
前記端末装置において生成した、前記端末装置が収集した第二の通信情報と、前記ネットワークを介して受信した前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、通信情報統合手段と、
を有することを特徴とする通信情報統合装置。
【請求項４】
請求項３に記載の通信情報統合装置であって、
要約情報生成手段は、前記端末装置を識別する端末識別情報を用いて、前記第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報のデータ構造を、確率的データ構造又はデータ圧縮表現構造に変換して前記要約情報を生成する
ことを特徴とする通信情報統合装置。
【請求項５】
コンピュータに、
（ａ）収集した第一の通信情報を、ネットワークを介して通信をする端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成する、ステップと、
（ｂ）前記端末装置において生成した、前記端末装置が収集した第二の通信情報と、前記ネットワークを介して受信した前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、ステップと、
を実行させる命令を含むプログラム。
【請求項６】
請求項５に記載のプログラムであって、
前記（ａ）のステップにおいて、前記端末装置を識別する端末識別情報を用いて、前記第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報のデータ構造を、確率的データ構造又はデータ圧縮表現構造に変換して圧縮して前記要約情報を生成する
ことを特徴とするプログラム。
【請求項７】
ネットワークを介して通信をする通信情報統合装置が収集した第一の通信情報を、端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約して生成した要約情報を、前記通信情報統合装置から受信した場合、収集した第二の通信情報と前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を生成する、差分通信情報生成手段を有する
ことを特徴とする端末装置。
【請求項８】
請求項７に記載の端末装置であって、
前記差分通信情報生成手段は、前記要約情報と、前記第二の通信情報とに基づいて、前記第一の通信情報にない前記第二の通信情報を抽出し、抽出した前記第二の通信情報に基づいて差分通信情報を生成する
ことを特徴とする端末装置。
【請求項９】
コンピュータに、
（ａ）ネットワークを介して通信をする通信情報統合装置が収集した第一の通信情報を、端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約して生成した要約情報を、前記通信情報統合装置から受信した場合、収集した第二の通信情報と前記要約情報との差分を表す差分通信情報を生成する、ステップ
を実行させる命令を含むプログラム。
【請求項１０】
請求項９に記載のプログラムであって、
前記（ａ）のステップにおいて、前記要約情報と、前記第二の通信情報とに基づいて、前記第一の通信情報にない前記第二の通信情報を抽出し、抽出した前記第二の通信情報に基づいて差分通信情報を生成する
ことを特徴とするプログラム。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】０００１
【補正方法】変更
【補正の内容】
【０００１】
本発明は、通信情報を統合する通信情報統合システム、通信情報統合方法、通信情報統合装置、端末装置に関し、更には、これらを実現するためのプログラムに関する。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００１１
【補正方法】変更
【補正の内容】
【００１１】
本発明の目的の一例は、対象システムにおいて用いた通信情報を効率よく統合する通信情報統合システム、通信情報統合方法、通信情報統合装置、端末装置、及びプログラムを提供することにある。
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】００１５
【補正方法】変更
【補正の内容】
【００１５】
また、上記目的を達成するため、本発明の一側面におけるプログラムは、
コンピュータに、
（ａ）収集した第一の通信情報を、ネットワークを介して通信をする端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成する、ステップと、
（ｂ）前記端末装置において生成した、前記端末装置が収集した第二の通信情報と、前記ネットワークを介して受信した前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、ステップと、
を実行させることを特徴とする。
【手続補正６】
【補正対象書類名】明細書
【補正対象項目名】００１７
【補正方法】変更
【補正の内容】
【００１７】
また、上記目的を達成するため、本発明の一側面におけるプログラムは、
コンピュータに、
（ａ）ネットワークを介して通信をする通信情報統合装置が収集した第一の通信情報を、端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約して生成した要約情報を、前記通信情報統合装置から受信した場合、収集した第二の通信情報と前記要約情報との差分を表す差分通信情報を生成する、ステップ
を実行させることを特徴とする。
【手続補正７】
【補正対象書類名】明細書
【補正対象項目名】００９３
【補正方法】変更
【補正の内容】
【００９３】
（付記５）
コンピュータに、
（ａ）収集した第一の通信情報を、ネットワークを介して通信をする端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約した要約情報を生成する、ステップと、
（ｂ）前記端末装置において生成した、前記端末装置が収集した第二の通信情報と、前記ネットワークを介して受信した前記要約情報とを用いて、前記第一の通信情報と前記第二の通信情報との差分を表す差分通信情報を、前記端末装置から受信した場合、前記第一の通信情報に前記差分通信情報を統合する、ステップと、
を実行させる命令を含むプログラム。
【手続補正８】
【補正対象書類名】明細書
【補正対象項目名】００９４
【補正方法】変更
【補正の内容】
【００９４】
（付記６）
付記５に記載のプログラムであって、
前記（ａ）のステップにおいて、前記端末装置を識別する端末識別情報を用いて、前記第一の通信情報を前記端末装置ごとに分類し、分類した前記端末装置に対応する通信情報のデータ構造を、確率的データ構造又はデータ圧縮表現構造に変換して圧縮して前記要約情報を生成する
ことを特徴とするプログラム。
【手続補正９】
【補正対象書類名】明細書
【補正対象項目名】００９７
【補正方法】変更
【補正の内容】
【００９７】
（付記９）
コンピュータに、
（ａ）ネットワークを介して通信をする通信情報統合装置が収集した第一の通信情報を、端末装置ごとに分類し、分類した前記端末装置に対応する通信情報を要約して生成した要約情報を、前記通信情報統合装置から受信した場合、収集した第二の通信情報と前記要約情報との差分を表す差分通信情報を生成する、ステップ
を実行させる命令を含むプログラム。
【手続補正１０】
【補正対象書類名】明細書
【補正対象項目名】００９８
【補正方法】変更
【補正の内容】
【００９８】
（付記１０）
付記９に記載のプログラムであって、
前記（ａ）のステップにおいて、前記要約情報と、前記第二の通信情報とに基づいて、前記第一の通信情報にない前記第二の通信情報を抽出し、抽出した前記第二の通信情報に基づいて差分通信情報を生成する
ことを特徴とするプログラム。
【国際調査報告】
2020070811.tif 000013
2020070811.tif 000014