JP2006277518A - ログ取得プログラムおよび方法 - Google Patents

Abstract

【課題】 リモートアクセスクライアントからリモートアクセスサーバにアクセスし、リモートアクセスサーバに接続されている運用対象機器を操作する際のログを取得可能にする。
【解決手段】 証跡ログを取得するためにコンピュータを、宛先アドレスが自アドレスでないパケットも採取するパケット採取モジュール３１１、パケットがログインパケット、ログアウトパケット又はＫＶＭ関連パケットかを判断する種別判断モジュール３１２、パケットがログインパケット、ログアウトパケット又はＫＶＭ関連パケットのいずれかである場合に、パケットを解析し、再構成に必要な情報及び対応付けに必要な情報を取得する解析モジュール３１４、複数のパケットに分割されたデータを再構成する再構成モジュール３１５、再構成されたデータを利用者情報に対応付ける対応付けモジュール３１６、利用者情報に対応付けられたデータをファイルとして出力するファイル出力モジュール３１７として機能させる。
【選択図】 図３

Description

本発明は、リモートアクセスクライアントからリモートアクセスサーバにアクセスし、リモートアクセスサーバに接続されている運用対象機器を操作する際にログを取得するための技術に関する。

遠隔地から操作対象サーバ機器を操作する技術として、シリアル接続の場合（例えば、特許文献１参照）やＧＵＩ(graphical user interface)を使用するＫＶＭ(keyboard video mouse)接続の場合（例えば、特許文献２参照）が知られている。
特開平１０−２８３３１６号公報 特表２００２−５２５７５０号公報

しかし、これらの技術では、データセンタ等、多数の操作端末や多数の対象サーバ機器を必要とする環境ではリモートアクセスサーバ単位の煩雑な利用者登録運用を行う必要があり、利用者の抹消漏れ等に起因する不正操作を防止できない。また、不正に操作された際、その不正利用者を追跡し、特定することができない。

本発明の第１の特徴は、ログを取得するためにコンピュータを、宛先アドレスが自アドレスでないパケットも採取するパケット採取手段、パケットがログインパケット、ログアウトパケット又はＫＶＭ関連パケットかを判断する種別判断手段、パケットがログインパケット、ログアウトパケット又はＫＶＭ関連パケットのいずれかである場合に、パケットを解析し、再構成に必要な情報及び対応付けに必要な情報を取得する解析手段、複数のパケットに分割されたデータを再構成する再構成手段、再構成されたデータを利用者情報に対応付ける対応付け手段、利用者情報に対応付けられたデータをファイルとして出力するファイル出力手段、として機能させることにある。

本発明の第２の特徴は、コンピュータを、採取されたパケットが暗号化されている場合に、パケットを復号化する復号化手段としてさらに機能させることにある。

本発明の第１の特徴によれば、ネットワークパケットを収集し、ログイン情報及びログアウト情報を再構成し、利用者と対応付けて証跡ログとして残すことができる。

また、本発明の第１の特徴によれば、ネットワークパケットを収集し、画面操作に関するビデオ情報を再構成し、利用者と対応付けて証跡ログとして残すことができる。

さらに、本発明の第２の特徴によれば、パケットが暗号化されている場合であっても、利用者と対応付けて証跡ログとして残すことができる。

以下に図面に基づいて、本発明を実施するための最良の形態を説明する。なお、以下の説明は、単なる例示に過ぎず、本発明の技術的範囲は以下の説明に限定されるものではない。

多数の操作端末や多数の対象サーバ機器を必要とする環境において、認証サーバと監査証跡サーバを配備することで、認証を受けた利用者だけに操作端末からのリモートアクセスサーバのエミュレーション操作を許可するとともに、証跡サーバで操作対象サーバに対する操作ログを収集して各認証ユーザの操作状況を再現可能とする。

図１にＭＳＰ(Management Services Provider)リモートアクセス基盤の概念図の一例を示す。図１に示すように、リモートアクセスクライアントとして使用する社内ＰＣ１０ａ〜１０ｃが、社内ＬＡＮ１２に接続されている。また、リモートアクセスクライアントとして使用するモバイルＰＣ１４ａ〜１４ｃはＦＷ(Fire Wall)によってＶＰＮ(Virtual Private Network)化されたインターネット１６を経由して、社内ＬＡＮ１２にアクセスすることができる。

社内ＬＡＮ１２は、ＦＷ２１を経由して、リモートアクセスサーバ２７ａ〜２７ｃにアクセスすることができる。リモートアクセスＬＡＮ２９には、リモートアクセスサーバ２７の他に認証サーバ２３、証跡サーバ２５が接続されている。リモートアクセスサーバ経由で行った操作（キー入力、画像出力、データ出力）は、証跡ログとして証跡サーバ２５に自動的に収集、蓄積される。

リモートアクセスサーバ２７ａは、顧客システム３０にアクセスすることができる。顧客システム３０は、例えばローカルコンソール３１、運用対象ネット機器３３、運用対象サーバ３５ａ、３５ｂ〜３５ｎ（ｎは任意の自然数）、ルータ３７、顧客側本番ネットワーク３９によって構成されている。リモートアクセスサーバ２７ａと運用対象ネット機器３３はシリアル接続され、リモートアクセスサーバ２７ａと運用対象サーバ３５ａ〜３５ｎはＫＶＭ接続されている。運用対象ネット機器３３、運用対象サーバ３５ａ〜３５ｎはルータ３７を経て、ネットワーク３９へ接続されている。運用対象サーバ３５としては、例えばＩＡ(Intel Architecture)サーバを使用する。

リモートアクセスサーバ２７ｂは、顧客システム４０にアクセスすることができる。顧客システム４０は、運用対象ネット機器４３、運用対象サーバ４５ａ、４５ｂ〜４５ｍ（ｍは任意の自然数）、ルータ４７、顧客側本番ネットワーク４９によって構成されている。リモートアクセスサーバ２７ｂと運用対象ネット機器４３、運用対象サーバ４５ａ〜４５ｍはシリアル接続されている。運用対象ネット機器４３、運用対象サーバ４５ａ〜４５ｍはルータ４７を経て、ネットワーク４９へ接続されている。運用対象サーバ４５としては、例えばＵＮＩＸサーバを使用する。

リモートアクセスサーバ２７ｃは、顧客システム５０にアクセスすることができる。顧客システム５０は、運用対象サーバ５３ａ、５３ｂ〜５３ｋ（ｋは任意の自然数）、ルータ５７、顧客側本番ネットワーク５９によって構成されている。リモートアクセスサーバ２７ｃと運用対象ネット機器５３ａ〜５３ｋはシリアル接続されている。運用対象ネット機器５３ａ〜５３ｋはルータ５７を経て、ネットワーク５９へ接続されている。

リモートアクセスクライアント１０ａ〜１０ｃ、１４ａ〜１４ｃから、運用対象ネット機器３３や運用対象サーバ３５ａ〜３５ｎ、４５ａ〜４５ｍ、５３ａ〜５３ｋを操作することができる。

＜機能ブロック図＞
図２に本発明の実施例における機能ブロック図を示す。図２に示すように、リモートアクセスクライアント１０は、クライアントプログラム１１、キーボード１７、マウス１８及びモニタ１９を備える。マウス１８はポインティングデバイスの一例に過ぎない。マウスの代わりに、トラックボール、タッチパッド、ポインティングスティックなどを使用することもできる。また、モニタ１９とは、例えば液晶ディスプレイ、ＣＲＴディスプレイなどである。

認証サーバ２３は、ユーザ認証機構２３１と、ユーザ情報ＤＢ２４とを備える。リモートアクセスサーバ２７ａ，ｂは操作機構２７１ａ，ｂをそれぞれ有する。証跡サーバ２５については後述する。

リモートアクセスクライアント１０は、インターネットなどの外部ネットワーク１２及び図示しないルータを介して、リモートアクセスＬＡＮ２９へアクセス可能である。また、認証サーバ２３と、証跡サーバ２５と、リモートアクセスサーバ２７は、ＬＡＮ２９へ接続されている。リモートアクセスサーバ２７ａは、運用対象サーバ３５ａ〜ｃとＫＶＭ接続され、リモートアクセスサーバ２７ｂは、運用対象サーバ４５ａ〜ｃとシリアル接続されている。

ユーザ認証機構２３１は、リモートアクセスクライアント１０からＩＤとパスワードを受け取り、受け取ったＩＤとパスワードが、ユーザ情報ＤＢ２４に予め対応付けて記憶されているＩＤとパスワードと一致すれば、リモートアクセスクライアント１０からのアクセスを正規なアクセスとして認証する。

より具体的には、ユーザ認証機構２３１は、（１）リモートアクセスクライアント１０から、クライアント１０を操作しているユーザのユーザＩＤ、パスワードや、クライアント１０に割り当てられているＩＰアドレス等とアクセス先情報を受け取り、（２―１）後述するリモートクライアントＤＢ、ユーザアカウントＤＢ、アクセス権限ＤＢ、リモートサーバＤＢをチェックし、（２−２）正当なアクセス権を持つユーザからのアクセスであると判断したならば、（２−３）セッションＩＤ、セッションキーを生成しセッション情報として記録するとともに、（２−４）リモートアクセスクライアント１０に渡す。（３）リモートアクセスクライアント１０は、認証サーバ２３から得たセッションＩＤをリモートアクセスサーバ２７へ伝え、リモート操作セッションの開始を要求する。（４）セッション開始要求を受け取ったリモートアクセスサーバ２７は、セッションＩＤに基づきクライアント１０のセッション情報を認証サーバ２３へ問い合わせ、セッションキー情報を取得する。（５）クライアント１０とリモートアクセスサーバ２７は、セッションキー情報を使用して暗号化されたセキュアなリモート操作セッションを開始する。

＜証跡サーバ＞
図３は、本発明の実施例における証跡サーバの構成を示すブロック図である。図３に示すように、証跡サーバ２５は、全体を制御するＣＰＵ３０１と、ＢＩＯＳなどを記憶するＲＯＭ３０３と、プログラムのワークエリアとして機能するＲＡＭ３０５と、サーバ用プログラムやＯＳなどを記憶するＨＤＤ３０７とを備える。

ＨＤＤ３０７に記憶されている認証サーバ用プログラム３１０は、パケット採取モジュール３１１と、種別判断モジュール３１２と、復号化モジュール３１３と、解析モジュール３１４と、再構成モジュール３１５と、対応付けモジュール３１６と、ファイル出力モジュール３１７とを含む。

パケット採取モジュール３１１は、ＭＡＣアドレスが自アドレスでないEthernet(登録商標)フレーム（ＭＡＣフレーム）も採取する。採取されたEthernet(登録商標)フレームからＩＰパケットが取り出され、そのＩＰパケットからＴＣＰ又はＵＤＰパケットが取り出され、そのＴＣＰ又はＵＤＰパケットからデータが取り出され、そのデータは種別判断モジュール３１２へ渡される。

種別判断モジュール３１２は、各パケットのアプリケーションデータヘッダ部から取得できる情報に基づいて、パケット採取モジュール３１１が採取したEthernet(登録商標)フレームに含まれていたＩＰパケットがログインパケットか、ＫＶＭ関連パケットか、ログアウトパケットかを判断する。なお、ログインパケット、ログアウトパケット、ＫＶＭ関連パケットは複数パケットから構成される場合もある。

ログインパケットとは、ログインした時刻、ログインしたユーザのユーザＩＤ、ログインしたリモートアクセスクライアントのＩＰアドレス、ログインされたリモートアクセスサーバのＩＰアドレスとポート番号などを含むパケットを意味する。

ＫＶＭ関連パケットとは、キーイベント情報、キーシーケンス情報、ビデオ情報、画面遷移情報、マウスイベント情報、マウス操作情報などのＫＶＭ情報を含むパケットを意味する。

ログアウトパケットとは、ログアウトした時刻、ログアウトしたユーザのユーザＩＤ、ログアウトしたリモートアクセスクライアントのＩＰアドレス、ログアウトされたリモートアクセスサーバのＩＰアドレスとポート番号などを含むパケットを意味する。

復号化モジュール３１３は、ＫＶＭ関連パケットに含まれる暗号化データを復号化するためのモジュールである。暗号化技術としては、例えばプロダクト毎に利用する秘密鍵方式のDES(Data Encryption Standard)、公開鍵方式のRSAなどの一般的な暗号化方式を使用することができる。

解析モジュール３１４は、ＫＶＭ関連パケットに含まれるデータを解析して、キーイベント情報、キーシーケンス情報、ビデオ情報、画面遷移情報、マウスイベント情報、マウス操作情報などのＫＶＭ情報を抽出する。

「キーイベント情報」は、キーコードという個々のキーをあらわすコードと押す／離すの情報であり、「キーシーケンス情報」は、連続して押されたキー文字列を表す情報である。

「ビデオ情報」は、いわゆるアナログビデオ信号であり、「画面遷移情報」は、アナログビデオ信号をデジタルデータにキャプチャした、動画もしくは静止画の情報である。

「マウスイベント情報」は、マウスの動きに連動して画面上に表示されるポインタのＸ座標及びＹ座標、マウスのホイールの移動量、マウスのボタンの押す／離すなどの情報であり、「マウス操作情報」は、一定時間のマウスイベント情報をまとめた情報である。例えば、「L-B:Press」はマウスの左(Left)ボタンが押されたことを示す「マウスイベント情報」である。

再構成モジュール３１５は、分割されたパケットを再構成する。分割されたパケットか否かはＴＣＰ又はＵＤＰヘッダーのフラグフィールドにより判断できる。分割されてできた複数のパケットはＩＤ情報フィールドの値が同じになる。分割されてできた各パケットが元のパケットのどの位置にあったかはフラグメントオフセットフィールドにより判断できる。よって、フラグフィールド、ＩＤ情報フィールド、フラグメントオフセットフィールドの情報に基づいて、再構成が可能である。

対応付けモジュール３１６は、ＫＶＭ情報を対応するログイン情報に関連付け、またログアウト情報を対応するログイン情報に関連付ける。複数のセッションが存在する場合（例えば、２以上のリモートアクセスクライアントがリモートアクセスサーバへアクセスしている場合）に、ログイン情報、ログアウト情報、キーシーケンス情報、マウス操作情報、画面遷移情報などと各セッションとの対応関係を明確にする必要があるからである。

例えば、時刻情報やキー情報と共にセッション毎に一意になるセッション識別子を追加し、”Time: xxxxxxxx Session: xxxxxxxx Key: xxxxxx”のように監査ログに記録しても良い。また、時刻情報にセッションが一意に特定できるユーザID,リモートアクセスサーバのIPアドレス、運用対象サーバの接続ポート番号の組を追加して記録するとしても良い。

ファイル出力モジュール３１７は、図示しない内部時計から現在時刻を示す時刻情報を受け取る。そして、ファイル出力モジュール３１７は、ＫＶＭ情報に時刻情報を付加して、ログファイル３２０として出力する。

＜全体的な処理の流れ＞
図４は、本発明の実施例におけるログ取得処理の流れを示すフローチャートである。図４に示すように、ログ取得プログラム３１０のパケット採取モジュール３１１がＬＡＮ２９のケーブルを流れるパケットを採取する（ステップＳ４０１）。採取（キャプチャ）されるパケットは、ログ取得プログラム３１０がインストールされている証跡サーバ２５に向けて送信されているユニキャスト及びブロードキャストのパケットに限定されない。つまり、採取されるパケットの宛先ＭＡＣアドレスは、ログ取得プログラム３１０がインストールされている証跡サーバ２５が有するＭＡＣアドレスとは限らない。ＬＡＮ２９のケーブルを流れる他のホスト向けのパケットも採取される。

種別判断モジュール３１２は、採取されたパケットを受け取り、採取されたパケットが、ログインパケット、ログアウトパケット、ＫＶＭ関連パケットのいずれかに該当するかを調べ（ステップＳ４０３）、いずれにも該当しない場合はそのパケットを廃棄する（ステップＳ４０４）。採取されたパケットが、ログインパケット、ログアウトパケット、ＫＶＭ関連パケットのいずれかに該当するかは、各パケットのアプリケーションデータヘッダ部から取得できる情報に基づいて判断される。

ログインパケット、ログアウトパケット、ＫＶＭ関連パケットのいずれかに該当する場合は、さらに暗号化されているかを調べ（ステップＳ４０５）、暗号化されている場合は復号化する（ステップＳ４０６）。暗号化されているか否かは、各パケットのアプリケーションデータヘッダ部から取得できる情報に基づいて判断される。

暗号化されていない場合はそのまま、暗号化されていた場合は復号化された後に、パケットを解析する（ステップＳ４０７）。解析方法はプロトコルによって異なる。例えば、UDPの場合はアプリケーションデータは開始点と終点が明確なデータグラムであり、意味あるパケット列の一番先頭のデータヘッダ部分から暗号化の有無と方式を判断できる。一連の全パケットを取得した時点で、暗号化されていた場合は、当該データグラム全体の複合化をデータヘッダ部分から取得できる暗号化方式に従って復号化を行う。また、例えば、TCPの場合は、データ部全体（＝データヘッダ＋データ本体）がHTTPS等のTCP上の一般的な暗号化方式によってカプセル化されたものを、同方式で復号化する。

次に、解析によって得られたデータを関連する他のデータと対応付けする（ステップＳ４０９）。例えば、パケットの送信元ＩＰアドレス、宛先ＩＰアドレス及び宛先ポート番号とに基づいて、既に記憶されているログイン情報と対応付けする。

ユーザ名、ユーザ端末のＩＰアドレスなどと対応付けられたデータは、ログファイル３２０としてＨＤＤ３０７に記憶される（ステップＳ４１１）。

図５に、本発明の実施例におけるモニタ画面とアクセスログと監査ログの一例を示す。図５に示すように、リモートアクセスクライアント１０からユーザ認証を試みると、ユーザＩＤ欄及びパスワード欄を有するログイン画面５００を描画するための描画情報が、認証サーバ２３から、ビデオ出力としてモニタ１９へ出力され、ログイン画面５００がモニタ１９の表示画面に表示される。

例えば、ユーザＩＤ及びパスワードが入力され、ログインボタンがクリックされると、図５のアクセスログ内容５１１に示すように、２００４年５月１日の２０時３４分にログインが認証され、ログインが認証されたユーザのＩＤはａ９４７２であり、ログインに使用されたクライアントＰＣのＩＰアドレスは192.176.144.31であり、ログインの対象となっているリモートアクセスサーバのＩＰアドレスは192.176.106.10であり、ログインの対象となっている運用対象サーバが接続されているリモートアクセスサーバのポート番号は2であるという内容のログイン情報がログファイル３２０に記憶される。

また、図５の監査ログ内容５２１に示すように、２００４年５月１日の２０時３４分１６秒にキーボード１７のCtrlキー、Altキー、”D”キーが押され、次いで”a”, ”d”, ”m”, ”i”, ”n”, ”i”, ”s”, ”t”, ”r”, ”a”, ”t”, ”o”, ”r”の各キーが押されかつCRキーが押され、さらに”p”, ”a”, ”s”, ”s”, ”w”, ”o”, ”r”, ”d”の各キーが押されかつCRキーが押されたという内容の監査ログがログファイル３２０に記憶される。

また、図５に示すように、２００４年５月１日の２０時３４分４２秒にマウスの左(Left)ボタンが押されたという内容の監査ログがログファイル３２０に記憶される。

さらに、図５に示すように、２００４年５月１日の２０時４５分０９秒のビデオ情報として20040501204509.mpgという名前の証跡ファイルが生成されたという内容の監査ログがログファイル３２０に記憶される。

図５は、ユーザが１名の例である。ユーザが複数の場合は、各監査ログがどのセッションに関するキーシーケンス情報、マウス操作情報、画面遷移情報かがわかるようにする必要がある。例えば、時刻情報やキー情報と共にセッション毎に一意になるセッション識別子を追加し、”Time: xxxxxxxx Session: xxxxxxxx Key: xxxxxx”のように監査ログに記録する方法や、時刻情報にセッションが一意に特定できるユーザID,リモートアクセスサーバのIPアドレス、運用対象サーバの接続ポート番号の組を追加して記録する等の方法がある。

図６に、本発明の実施例におけるネットワークパケットの一例を示す。パケット６１０は第１のベンダー社製品の上り電文、パケット６２０は第１のベンダー社製品の下り電文、パケット６３０は第２のベンダー社製品の上り電文、パケット６４０は第２のベンダー社製品の下り電文を示す。パケット６１０にはキーシーケンス情報、マウス操作情報が含まれ、文字列などが数バイト単位で送出される。パケット６２０には、画面遷移情報などが含まれる。原則として、画面データの差分情報のみが含まれる。また、パケット不達時に再送処理はされないものとする。パケット６３０にはキーイベント情報、マウスイベント情報が含まれ、文字などが１バイト単位で送出される。パケット６４０には、画面遷移情報などが含まれる。原則として、画面データの差分情報のみが含まれるが、パケット不達時に再送処理がなされるものとする。ＩＰヘッダから送信元ＩＰアドレス及び宛先ＩＰアドレスが取得され、ＴＣＰ又はＵＤＰヘッダから宛先ポート番号が取得される。

図７に、本発明の実施例における証跡データの一例を示す。図７に示すように、「証跡データ」とは、例えばアクセス開始時刻、終了時刻、利用時間、ユーザ名、ユーザ端末のＩＰアドレス、対象サーバ名、ポート番号、証跡ファイルのサイズを含む。また、ＫＶＭセッションＩＤ、プロダクト名称、プロダクトバージョンなどを含むとしても良い。ＫＶＭセッションＩＤとは、キーボード・ビデオ・マウス信号による一連の接続を識別するためのＩＤを意味する。証跡データは、ログファイル３２０としてＨＤＤ３０７に記憶される。

前記の如く、本発明の実施例によれば、証跡サーバをネットワークへ接続することによってネットワークパケットを採取し、証跡ログを取得することができる。その場合に、リモートアクセスのためにリモートアクセスクライアントやリモートアクセスサーバにインストールされる既存のプロダクト（ソフトウェア）及び認証のために認証サーバにインストールされる既存のプロダクトのいずれについても変更不要である。

また、リモートアクセスクライアントとリモートアクセスサーバとの間でやり取りされるパケットを単に採取しているだけであって、リモートアクセスクライアント等に証跡ログ取得のためのパケット生成を要求しない。つまり、リモートアクセスクライアント等に証跡ログ取得のための負荷をかけない。よって、リモートアクセスクライアント等のパフォーマンスに影響を与えない。

さらに、複数のディジタルKVMスイッチ関連プロダクトが混在する環境においても、各プロダクトの個別のログの他に、KVMセッションのビデオ証跡を含むログを標準的な書式（ファイルフォーマット）で残すことができ、運用上も統一的な取り扱いが可能となる。

ＭＳＰ(Management Services Provider)リモートアクセス基盤の概念図の一例である。 本発明の実施例における機能ブロック図である。 本発明の実施例における証跡サーバの構成を示すブロック図である。 本発明の実施例におけるログ取得処理の流れを示すフローチャートである。 本発明の実施例におけるモニタ画面とアクセスログと監査ログの一例を示す図である。 本発明の実施例におけるネットワークパケットの一例を示す図である。 本発明の実施例における証跡データの一例を示す図である。

符号の説明

１０、１４…リモートアクセスクライアント １２…ＬＡＮ
１６…インターネット ２１…ファイヤーウォール
２３…認証サーバ ２５…証跡サーバ
２７…リモートアクセスサーバ ３１…ローカルコンソール
３３、４３…運用対象ネット機器 ３５、４５、５３…運用対象サーバ
３７、４７、５７…ルータ
３０１…ＣＰＵ ３０３…ＲＯＭ ３０５…ＲＡＭ ３０７…ＨＤＤ
３１０…認証サーバ用プログラム ３１１…パケット採取モジュール
３１２…種別判断モジュール ３１３…復号化モジュール
３１４…解析モジュール ３１５…再構成モジュール
３１６…対応付けモジュール ３１７…ファイル出力モジュール

Claims (4)

1. ログを取得するためにコンピュータを、
   宛先アドレスが自アドレスでないパケットも採取するパケット採取手段、
   前記パケットがログインパケット、ログアウトパケット又はＫＶＭ関連パケットかを判断する種別判断手段、
   前記パケットがログインパケット、ログアウトパケット又はＫＶＭ関連パケットのいずれかである場合に、前記パケットを解析し、再構成に必要な情報及び対応付けに必要な情報を取得する解析手段、
   複数のパケットに分割されたデータを再構成する再構成手段、
   再構成された前記データを利用者情報に対応付ける対応付け手段、
   前記利用者情報に対応付けられた前記データをファイルとして出力するファイル出力手段、として機能させることを特徴とするログ取得プログラム。
2. 前記コンピュータを、採取された前記パケットが暗号化されている場合に、前記パケットを復号化する復号化手段としてさらに機能させることを特徴とする請求項１に記載のログ取得プログラム。
3. 宛先アドレスが自アドレスでないパケットも採取するステップ、
   前記パケットがログインパケット、ログアウトパケット又はＫＶＭ関連パケットかを判断するステップ、
   前記パケットがログインパケット、ログアウトパケット又はＫＶＭ関連パケットのいずれかである場合に、前記パケットを解析し、再構成に必要な情報及び対応付けに必要な情報を取得するステップ、
   複数のパケットに分割されたデータを再構成するステップ、
   再構成された前記データを利用者情報に対応付けるステップ、
   前記利用者情報に対応付けられた前記データをファイルとして出力するステップ、を含むことを特徴とするログ取得方法。
4. 採取された前記パケットが暗号化されている場合に、前記パケットを復号化する復号化ステップをさらに含むことを特徴とする請求項３に記載のログ取得方法。
   
   
   

Images