JP2009169507A - アーカイブシステムおよびアーカイブシステム用プログラム - Google Patents

Abstract

【課題】
接続履歴の検索時間を短縮させ、アーカイブデータをそのまま検索する場合と比べて、小さな検索範囲で効果的な検索結果を得ることのできるアーカイブシステムを提供する。
【解決手段】
アーカイブシステム１０は、アーカイブデータ１２および接続ログ１３が記録される記憶装置１１と、ＬＡＮ２０内を通過する特定のプロトコルによるパケットデータを読み込んで、そのパケットデータを含んだ情報をアーカイブデータ１２として記憶装置１１に記憶させるアーカイブ記録処理１８１と、記憶装置１１からアーカイブデータ１２を読み込んで、ＬＡＮ２０内に接続されたノード２３毎に該ノードの接続先をまとめて、その接続先を含んだ情報を接続ログ１３として記憶装置１１に記憶させる接続ログ記録処理１８２と、記憶装置１１から接続ログ１３を読み込んで、管理者が指定した検索条件に応じて、接続ログ１３を検索する検索処理１８３を備える。
【選択図】図１

Description

本発明は、ローカルエリアネットワーク（ＬＡＮ）上の通信内容を収集して、その通信内容をアーカイブとして取得・記録するアーカイブシステムおよびそのアーカイブシステム用プログラムに関する。特に、本発明はアーカイブしたデータを効果的に検索し、あるいはその検索結果を効果的に表示させるための技術に関する。

近年の情報セキュリティへの対策として、メールデータや、ウェブアクセス履歴を保存するシステムが普及しつつある。

特許文献１では、通信回線に接続されている電子メールサーバの電子メール受信装置から電子メールデータを取り込む第１データ入力手段と、該第１データ入力手段によって取り込まれた電子メールデータを汎用データベースに入力するアプリケーションインターフェイス（ＡＰＩ）とを備えることを特徴とする電子メール・アーカイブシステムが開示されている。このシステムでは、データ入力手段によって読み込まれた電子メールデータに添付ファイルが添付されている場合には、汎用データベースとは別のファイルシステムに入力する添付ファイル保存手段を更に備えることで、汎用データベースの利用効率を向上させている。

特許文献２では、企業等の組織内において、物理的な行動も含めた構成員単位の行動や操作の履歴を時系列に沿って管理し、主として内部統制に有益な情報を提供することを目的として、可能オフィスの入退出(第１のログデータ)と、コンピュータの操作(第２のログデータ)と、ネットワーク上の操作(第３のログデータ)を統合ログとして格納するログ統合管理システム及びログ統合管理方法に関する技術が開示されている。

特開２００１−３４４１７８公報（明細書０００７、００１１項、図１） 特開２００７−２３３６６１公報（明細書００１０、００１１項、図１０）

しかし、特許文献１に記載された電子メール・アーカイブシステムでは、メールの履歴を検索するために、汎用データベースおよび添付ファイル保存手段によって保存された汎用データベースとは別のファイルシステムから全文検索を行う必要がある。したがって、メールデータの検索に時間を要するといった問題がある。
また、特許文献２に記載されたログ統合管理システム及びログ統合管理方法では、可能オフィスの入退出をログとして別途取得・保存する必要があり、システムの構成が複雑となるといった問題がある。

例えば、情報漏えいなどの事案が発生した場合には、複数のログファイルを時系列で辿ってゆき、整理・統合させることが有益となる場合がある。すなわち、複数の無関係と思われるイベントを、操作者を絞り込んだ上で解析することで、これらの原因や被害状況等を特定できる場合が少なくない。
そこで、本発明では、接続履歴の検索時間を短縮させ、アーカイブデータをそのまま検索する場合と比べて、小さな検索範囲で効果的な検索結果を得ることのできるアーカイブシステムおよびそのアーカイブシステム用プログラムを提供とすることを目的とする。

前述した課題を解決するため、本発明第１の構成によるアーカイブシステムは、アーカイブデータおよび接続ログが記録される記憶装置と、ローカルエリアネットワーク内を通過する特定のプロトコルによるパケットデータを読み込んで、そのパケットデータを含んだ情報を前記アーカイブデータとして前記記憶装置に記憶させるアーカイブ記録処理部と、前記記憶装置から前記アーカイブデータを読み込んで、前記ローカルエリアネットワーク内に接続されたノード毎に該ノードの接続先をまとめて、その接続先を含んだ情報を接続ログとして前記記憶装置に記憶させる接続ログ記録処理部と、前記記憶装置から前記接続ログを読み込んで、管理者が指定した検索条件に応じて、前記接続ログを検索する検索処理部と、を備えた構成としている。
また、本発明第７の構成によるアーカイブシステム用プログラムは、記憶装置と、ローカルエリアネットワーク内を通過するパケットデータを収集するパケット情報取得部を備えたアーカイブシステムで用いられ、前記パケット情報取得部から、特定のプロトコルによる前記パケットデータを読み込んで、そのパケットデータを含んだ情報をアーカイブデータとして前記記憶装置に記憶させるアーカイブ記録処理ステップと、前記記憶装置から前記アーカイブデータを読み込んで、前記ローカルエリアネットワーク内に接続されたノード毎に該ノードの接続先をまとめて、その接続先を含んだ情報を接続ログとして前記記憶装置に記憶させる接続ログ記録処理ステップと、前記記憶装置から前記接続ログを読み込んで、管理者が指定した検索条件に応じて、前記接続ログを検索する検索処理ステップと、からなる各処理を実行する構成としている。

また、本発明第２の構成によるアーカイブシステムは、第１の発明の構成に加え、前記アーカイブ記録処理部は、ウェブアプリケーション用プロトコルによるパケットデータを読み込んで、そのパケットデータを含んだ情報を前記アーカイブデータとして前記記憶装置に記憶させ、前記接続ログ記録処理部は、前記ウェブアプリケーション用プロトコルによるパケットデータが記録された前記アーカイブデータから、該ノードがリクエストした統一資源識別子を抽出して、前記統一資源識別子を含んだ情報を前記接続ログとしてまとめる、ことを特徴とした構成としている。
また、本発明第８の構成によるアーカイブシステム用プログラムは、第７の発明の構成に加え、前記アーカイブ記録処理ステップは、ウェブアプリケーション用プロトコルによるパケットデータを読み込んで、そのパケットデータを含んだ情報をアーカイブデータとして前記記憶装置に記憶させ、前記接続ログ記録処理ステップは、前記ウェブアプリケーション用プロトコルによるパケットデータが記録された前記アーカイブデータから、該ノードがリクエストした統一資源識別子を抽出して、前記統一資源識別子を含んだ情報を前記接続ログとしてまとめる、各処理を実行することを特徴とした構成としている。

また、本発明第３の構成によるアーカイブシステムは、第２の発明の構成に加え、前記アーカイブ記録処理部は、さらにメール用プロトコルによるパケットデータを読み込んで、そのパケットデータを含んだ情報を前記アーカイブデータとして前記記憶装置に記憶させ、前記接続ログ記録処理部は、前記ウェブアプリケーション用プロトコルによるパケットデータが記録された前記アーカイブデータから、該ノードがリクエストした統一資源識別子を抽出し、かつ、該ノードの接続先として、ウェブメールに関連するメソッドを含んでいる場合には、該メソッドに対応する、前記統一資源識別子、時刻情報および前記ノードの識別子を前記ウェブアプリケーション用プロトコルによるパケットデータが記録された前記アーカイブデータから抽出し、これらの情報をインデックス情報として前記接続ログの該レコードに付加する、ことを特徴とした構成としている。
また、本発明第９の構成によるアーカイブシステム用プログラムは、第８の発明の構成に加え、前記アーカイブ記録処理ステップは、さらにメール用プロトコルによるパケットデータを読み込んで、そのパケットデータを含んだ情報を前記アーカイブデータとして前記記憶装置に記憶させ、前記接続ログ記録処理ステップは、前記ウェブアプリケーション用プロトコルによるパケットデータが記録された前記アーカイブデータから、該ノードがリクエストした統一資源識別子を抽出し、かつ、該ノードの接続先として、ウェブメールに関連するメソッドを含んでいる場合には、該メソッドに対応する、前記統一資源識別子、時刻情報および前記ノードの識別子を前記ウェブアプリケーション用プロトコルによるパケットデータが記録された前記アーカイブデータから抽出し、これらの情報をインデックス情報として前記接続ログの該レコードに付加する、各処理を実行することを特徴とした構成としている。

また、本発明第４の構成によるアーカイブシステムは、第２の発明の構成に加え、前記アーカイブ記録処理部は、さらにメール用プロトコルによるパケットデータを読み込んで、そのパケットデータを含んだ情報を前記アーカイブデータとして前記記憶装置に記憶させ、前記接続ログ記録処理部は、前記ウェブアプリケーション用プロトコルによるパケットデータが記録された前記アーカイブデータから、該ノードがリクエストした統一資源識別子を抽出し、かつ、該ノードの接続先として、ウェブメールに関連するメソッドを含んでいる場合には、該メソッドに対応する、前記メール用プロトコルのアーカイブデータを前記記憶媒体から検索し、その検索でヒットした前記アーカイブデータのインデックス情報を前記接続ログの該レコードに付加する、ことを特徴とした構成としている。
また、本発明第１０の構成によるアーカイブシステム用プログラムは、第８の発明の構成に加え、前記アーカイブ記録処理ステップは、さらにメール用プロトコルによるパケットデータを読み込んで、そのパケットデータを含んだ情報を前記アーカイブデータとして前記記憶装置に記憶させ、前記接続ログ記録処理ステップは、前記ウェブアプリケーション用プロトコルによるパケットデータが記録された前記アーカイブデータから、該ノードがリクエストした統一資源識別子を抽出し、かつ、該ノードの接続先として、ウェブメールに関連するメソッドを含んでいる場合には、該メソッドに対応する、前記メール用プロトコルのアーカイブデータを前記記憶媒体から検索し、その検索でヒットした前記アーカイブデータのインデックス情報を前記接続ログの該レコードに付加する、各処理を実行することを特徴とした構成としている。

また、本発明第５の構成によるアーカイブシステムは、第３または第４の発明の構成に加え、前記検索処理部は、前記検索条件に従って抽出した前記接続ログを画面表示させるとともに、前記管理者が、前記ウェブメールに関連するメソッドを含む前記接続ログのレコードを指定した場合には、前記インデックス情報に対応する、前記メール用プロトコルのアーカイブデータを前記記憶装置から検索して、その検索でヒットした前記アーカイブデータを画面表示させることを特徴とした構成としている。
また、本発明第１１の構成によるアーカイブシステム用プログラムは、第９または第１０の発明の構成に加え、前記検索処理ステップは、前記検索条件に従って抽出した前記接続ログを画面表示させるとともに、前記管理者が、前記ウェブメールに関連するメソッドを含む前記接続ログのレコードを指定した場合には、前記インデックス情報に対応する、前記メール用プロトコルのアーカイブデータを前記記憶装置から検索して、その検索でヒットした前記アーカイブデータを画面表示させる処理を実行することを特徴とした構成としている。

また、本発明第６の構成によるアーカイブシステムは、第２ないし第５の発明の構成に加え、前記接続ログ記録処理部は、前記接続ログを前記記憶媒体に記録させる前に、記録すべきデータを前記メール用プロトコルのアーカイブデータと同じフォーマットに変換して、その変換された情報を前記接続ログとして前記記憶装置に記憶させることを特徴とした構成としている。
また、本発明第１２の構成によるアーカイブシステム用プログラムは、第８ないし第１１の発明の構成に加え、前記接続ログ記録処理ステップは、前記接続ログを前記記憶媒体に記録させる前に、記録すべきデータを前記メール用プロトコルのアーカイブデータと同じフォーマットに変換して、その変換された情報を前記接続ログとして前記記憶装置に記憶させる処理を実行することを特徴とした構成としている。

本発明第１の構成によるアーカイブシステムまたは第７の構成によるアーカイブシステム用プログラムによれば、パケットデータをそのまま記録したアーカイブデータとは別に、ＬＡＮ内で接続されているノード毎に接続先をまとめた接続ログを記録させておき、接続履歴を探索するときには、その接続ログを検索するようにしておくことで、接続履歴の探索時における検索時間を短縮することができる。特に、接続ログには、ログ検索時で頻繁に用いられる重要なアクセス情報がまとめられており、アーカイブデータをそのまま検索する場合と比べて、小さな検索範囲で効果的な検索結果を得ることができる。
また、端末毎にアクセス履歴を時系列データとして保存することができるほか、特定の端末のアクセス履歴だけを長期的に保存させるといった要請にもこたえることができる。

本発明第２の構成によるアーカイブシステムまたは第８の構成によるアーカイブシステム用プログラムによれば、アーカイブデータとして、ＨＴＭＬ言語などで代表されるウェブアプリケーション用プロトコルのデータを記憶させるとともに、接続ログとして各ノードがリクエストした統一資源識別子（ＵＲＬ等）を記録させるので、前述した効果に加えて、ウェブ等のアクセス履歴を各ノード単位やユーザ単位で把握することができる。

本発明第３の構成によるアーカイブシステムまたは第９の構成によるアーカイブシステム用プログラムによれば、接続ログのなかに、ウェブメールに関連するメソッドが含まれている場合に、そのメソッドに対応する、ＵＲＬ、時刻情報およびノードの識別子をインデックス情報として付加したことで、前述した効果に加えて、ウェブメールに関連するメソッドから、対応するメールアーカイブを容易に探索することができる。特に、接続ログに含まれていないメールの本文を容易に追跡することができ、ウェブアクセス履歴とメール送受信との関係を簡単に把握することができるようになる。

本発明第４の構成によるアーカイブシステムまたは第１０の構成によるアーカイブシステム用プログラムによれば、接続ログのなかに、ウェブメールに関連するメソッドが含まれている場合に、そのメソッドに対応する、ウェブメールのアーカイブデータのインデックス情報を付加したことで、前述した効果に加えて、ウェブメールに関連するメソッドから、対応するメールアーカイブを容易に探索することができる。特に、接続ログに含まれていないメールの本文を容易に追跡することができ、ウェブアクセス履歴とメール送受信との関係を簡単に把握することができるようになる。

本発明第５の構成によるアーカイブシステムまたは第１１の構成によるアーカイブシステム用プログラムによれば、インデックス情報に対応するメールアーカイブを検索して、その結果を画面表示させることができるため、前述した効果に加えて、ウェブメールに関連するメソッドから、対応するウェブメールの本文を容易に確認することができる。

本発明第６の構成によるアーカイブシステムまたは第１２の構成によるアーカイブシステム用プログラムによれば、接続ログを、メール用プロトコルのアーカイブデータと同じフォーマットで記録させているため、前述した効果に加えて、メール用アーカイブシステムとして従来搭載されているメール表示機能やメール検索機能を、そのままウェブアクセス履歴の表示や検索で応用することができる。
また、メール以外のログについても、その内容を通常用いられるメール閲覧用ソフトウエア等で容易に確認することができる。

本発明の実施形態を実施例１ないし実施例３にて説明する。

実施例１を図１〜図６に基づいて説明する。
図１は、本発明にかかるアーカイブシステムの構成を示す説明図である。
ローカルエリアネットワーク（ＬＡＮ２０）は、インターネット３０とファイヤーウォール（ＦＷ２１）を介して接続されており、各ノード２３ａ、２３ｂ、…、２３ｚ（以後、各ノードをまとめて「ノード２３」として表すことがある）を含んだ構成となっている。
さらに、ＬＡＮ２０内を通過するパケットデータを取得するために、ＦＷ２１の手前にＴＡＰ装置２２を設けた構成となっている。ＴＡＰ装置２２はＬＡＮ２０を通過するパケットデータをモニタリング・複製して、その複製した信号をアーカイブ装置１０に送信する。このように、ＴＡＰ装置２２により通信内容をモニタリングさせることにより、ＬＡＮ２０の構成を変えずして、アーカイブの取得が可能となる。

アーカイブ装置１０は、その内部に記憶装置１１と、パケットデータを取得するパケット情報取得部１４と、プログラム記憶装置１８を備えるほか、所定の情報処理を実現すべく、中央演算処理装置（ＣＰＵ１５）、クロック１６、メモリ１７、グラフィックカード１９などを備える。グラフィックカード１９から出力された映像信号はディスプレイ４０で表示される。

記憶装置１１には、アーカイブデータ１２を記憶する記憶領域と、接続ログ１３を記憶する記憶領域が確保されており、プログラム記憶装置１８には、アーカイブ記録処理１８１と接続ログ記録処理１８２と検索処理１８３をそれぞれ実行させるためのプログラムがインストールされており、これらのプログラムが実行されるときには、これらのプログラムが呼び出されて所定の情報処理が実行される。

なお、記憶装置１１は、必ずしも、アーカイブ装置１０の内部に設置させる必要はなく、アーカイブ装置１０の外部機器として設けられたもので構成させてもよい。
また、アーカイブ記録処理１８１と接続ログ記録処理１８２と検索処理１８３を１台の計算機で行わせる必要もなく、複数の計算機が記憶装置１１にアクセス可能な状態とさせながら、これらの各処理を複数の計算機で分担して行わせるようにしても差し支えないし、記憶装置１１とプログラム記憶装置１８は一つの記憶装置で構成されていても差し支えない。

アーカイブ記録処理１８１は、パケット情報取得部１４から、特定のプロトコルによるパケットデータを読み込んで、そのパケットデータを含んだ情報をアーカイブデータ１２として記憶装置１１に記憶させる処理を実行するプログラムによって構成されている。
また、接続ログ記録処理１８２は、記憶装置１１からアーカイブデータ１２を読み込んで、ＬＡＮ２０内に接続されたノード２３毎に該ノードの接続先をまとめて、その接続先を含んだ情報を接続ログ１３ａ、１３ｂ、…１３ｚ（以後、各接続ログをまとめて「接続ログ１３」として表すことがある）として記憶装置１１に記憶させる処理を実行するプログラムによって構成されている。
また、検索処理１８３は、記憶装置１１から接続ログ１３を読み込んで、管理者が指定した検索条件に応じて、接続ログ１３を検索する処理を実行するプログラムによって構成されている。

すなわち、図１では、パケット情報取得部１４と、アーカイブデータ１２の記憶領域が確保された記憶装置１１と、アーカイブ記録処理１８１のプログラムを記憶したプログラム記憶装置１８と、そのプログラムを実際に処理するＣＰＵ１５やメモリ１７などの構成により、アーカイブ記録処理部が構成される。
また、アーカイブデータ１２および接続ログ１３の記憶領域が確保された記憶装置１１と、接続ログ記録処理１８２のプログラムを記憶したプログラム記憶装置１８と、そのプログラムを実際に処理するＣＰＵ１５やメモリ１７などの構成により、接続ログ記録処理部が構成される。
また、接続ログ１３の記憶領域が確保された記憶装置１１と、検索処理１８３のプログラムを記憶したプログラム記憶装置１８と、そのプログラムを実際に処理するＣＰＵ１５やメモリ１７と、検索結果をディスプレイ４０で表示させるために映像信号を出力するグラフィックカード１９などの構成により、検索処理部が構成される。

続いて、アーカイブ記録処理１８１の流れを図２のフローチャートに従って説明する。アーカイブ記録処理１８１は、アーカイブ装置１０において常時起動しており、所定時間（たとえば１時間）ごとにファイル名を変えながら、アーカイブデータ１２を作成する。
すなわち、ステップＳ１１では、アーカイブデータとして記録するファイルを開き、ステップＳ１２では、パケット情報取得部１４で受信したパケットデータを取得する。そして、取得したパケットデータがアーカイブ対象のデータであるか否かを判断し（ステップＳ１３）、アーカイブ対象でないパケットの場合には、ステップＳ１２に戻って、パケットデータの取得を継続する。そして、取得したパケットデータがアーカイブ対象となるパケットである場合には、そのパケットをアーカイブデータ１２に記録し（ステップＳ１４）、ステップＳ１５にて所定時間が経過していなければ、ステップＳ１２に戻って、パケットデータの取得を継続する。一方、ステップＳ１５にて、所定時間が経過したときには、記録を行ったアーカイブデータ１２のファイルをクローズして（ステップＳ１６）、再びステップＳ１１に戻って、異なるファイル名でファイルを開き、アーカイブデータ１２の取得を継続する。
なお、アーカイブ記録処理１８１は、ステップＳ１１で開くファイル名を変えることにかえて、ステップＳ１６でファイルを閉じた後で、その閉じたファイルのファイル名をリネームすることで、所定時間毎に作成されるファイルを構成させるようにしても差し支えない。

ここで、アーカイブ対象となるパケットは、メールの送受信等で用いられるメール用プロトコルのほか、ＨＴＴＰ言語などに代表されるウェブアプリケーション用プロトコルや、ＳＱＬなどに代表されるデータベース用プロトコルなどが考えられる。
例えば、メール転送プロトコルによるパケットデータを一通分のメールデータとして結合させると、その構成は図３に示す通りであり、一通分のメールデータは、イーサヘッダ３１、ＩＰヘッダ３２、ＴＣＰヘッダ３３、メールデータ３４によって構成されている。ＩＰヘッダ３２の中には、送信元ＩＰアドレス３２ａや、宛先ＩＰアドレス３２ｂの情報が含まれており、ＴＣＰヘッダ３３の中には、送信元ポート番号３３ａや、宛先ポート番号３３ｂの情報が含まれており、メールデータ３４の中には、送信元メールアドレス３４ａや、宛先メールアドレス３４ｂや、送信日時３４ｃや、メールタイトル３４ｄの情報が含まれている。

図３では、このほか、イーサヘッダ３１の前に、拡張ヘッダ３５を付加するようにして、その情報として、アーカイブ装置１０がそのパケットを受け取った時刻を受信日時３５ａで記載させるなどしてもよい。そのようにすることで、送信元がデータに付加した送信日時３４ｃだけでなく、アーカイブ装置１０が実際に受信した受信時刻での管理が可能となる。

ステップＳ１３において取得したパケットデータの判断について、図３をもとに説明すると、プロトコルの種類は、宛先ポート番号３３ｂなどにより判別することができる。具体的にいうと、メール用プロトコルは、ポート番号として、２５番（ｓｍｔｐ）や、１１０番（ｐｏｐ３）や、１４３番（ｉｍａｐ）などが一般的によく用いられる。
ステップＳ１４でアーカイブデータを保存する場合には、図３のようなデータ構造となっているメールデータを、アーカイブデータ１２の中にあるメールアーカイブ１２２にそのまま保存させることが好ましい。
また、後で説明するウェブアプリケーション用プロトコルの場合には、アーカイブデータ１２の中のウェブアーカイブ１２１に保存させることが好ましい。このように、プロトコルの種類に応じて、アーカイブを分けて保存させる形態にしてもよい。

続いて、接続ログ記録処理１８２の流れを図４のフローチャートに従って説明する。接続ログ記憶処理１８２は、アーカイブ記録処理１８１のステップＳ１６にて、アーカイブデータ１２のファイルが閉じられるたびに、あるいは、その閉じられた後の指定したタイミングで起動し、所定時間毎に作成されたアーカイブデータ１２の内容から、後に通信内容を追跡するために必要なデータを抽出して、これらをノード２３毎に整理したものを接続ログ１３として別途保存するものである。
図４において、接続ログ記録処理１８２が起動すると、ステップＳ２１でアーカイブデータ１２に記録されたアーカイブを読み込む。ステップＳ２２では、問題が発生した際に通信内容を追跡するために必要なデータを抽出する。図３のメールデータでいえば、送信先ＩＰアドレス３２ａ、宛先ＩＰアドレス３２ｂ、送信元ポート番号３３ａ、宛先ポート番号３３ｂ、送信元メールアドレス３４ａ、宛先メールアドレス３４ｂ、送信日時３４ｃ、メールタイトル３４ｄなどといった、通信履歴を追跡するために必要なデータが対象となる。そして、これら抽出されたデータを、メモリ１７などといった記憶装置に一時的に記憶させる（ステップＳ２６）。なお、拡張ヘッダ３５による管理が行われている場合には、あわせて、受信日時３５ａについても抽出・記憶させてもよい。

続いて、ステップＳ２７では、アーカイブデータ１２に次のパケットデータが残っているか否かを判断し、次のパケットデータが残っている場合には、ステップＳ２１に戻って、アーカイブデータ１２に記録されたパケットデータの読み込みを再開する。次のパケットデータが残っていない場合には、ステップＳ２８に進み、メモリ１７などに記録された抽出データについて、各ノード２３と同じＩＰアドレスとなる送信元ＩＰアドレス３２ａや、宛先ＩＰアドレス３２ｂをキーとしてデータをソートする。

図５は、実施例１における抽出データをノードごとにソートした結果であり、ステップＳ２２で抽出した各データが、メール番号５１、日時５２、対象ＩＰアドレス５３、相手ＩＰアドレス５４、メソッド５５、送信元メールアドレス５６、宛先メールアドレス５７、…などのように整理され、対象ＩＰアドレス５３として記載された各ノード２３のＩＰアドレス順にデータがソートされている。

そして、ソートされた抽出データは、接続ログ１３ａ、１３ｂ、…、１３ｚのように、各ノードを単位として記録させ（ステップＳ２９）、接続ログ記録処理が終了する。なお、ステップＳ２９では、前の接続ログ記録処理で作成された接続ログ１３に新たなデータを追記する形で接続ログ１３を記録させることが望ましい。また、接続ログ１３ａ、１３ｂ、…、１３ｚは必ずしも一つ一つのファイルとして分割されている必要はなく、これらをまとめたものを一つのファイルとして保存する形態としても差し支えない。

続いて、検索処理部１８３について説明する。図６は、実施例１における検索処理部で検索を行うためのユーザインターフェースの一例を示したものである。図６において、検索画面６１は、対象となるノード２３のＩＰアドレス６２を入力し、検索期間６３を指定する。その他、フリーワード６４の指定が行えるようになっている。検索実行ボタン６５をクリックすると、記憶装置１１から指定したＩＰアドレスに対応する検索ログ１３を読み込んで、管理者が指定した検索条件に応じて検索結果６６をディスプレイ４０に表示させる。

このように、実施例１によれば、パケットデータをそのまま記録したアーカイブデータとは別に、ＬＡＮ内で接続されているノード毎に接続先をまとめた接続ログを記録させておき、接続履歴を探索するときには、その接続ログを検索するようにしておくことで、接続履歴の探索時における検索時間を短縮することができる。特に、接続ログには、ログ検索時で頻繁に用いられる重要なアクセス情報がまとめられており、アーカイブデータをそのまま検索する場合と比べて、小さな検索範囲で効果的な検索結果を得ることができる。
また、端末毎にアクセス履歴を時系列データとして保存することができるほか、特定の端末のアクセス履歴だけを長期的に保存させるといった要請にもこたえることができる。

実施例２を図７〜図１２に基づいて説明する。なお、実施例１と同じ機能・構成となるものについては、同一の符号を付すこととし、詳細な説明は省略する。

アーカイブ記録処理１８１は、ＬＡＮ２０を通過するウェブアプリケーション用プロトコル（ＨＴＭＬ等）によるパケットデータを読み込んで、そのパケットデータを含んだ情報をウェブアーカイブ１２１として記憶装置１１に記憶させ、接続ログ記録処理１８２は、ウェブアプリケーション用プロトコルによるパケットデータが記録されたウェブアーカイブ１２１から、該ノード２３がリクエストした統一資源識別子（ＵＲＬ）を抽出して、そのＵＲＬを含んだ情報を接続ログ１３としてまとめるものである。

このように、アーカイブデータとして、ＨＴＭＬ言語などで代表されるウェブアプリケーション用プロトコルのデータを記憶させるとともに、接続ログとして各ノードがリクエストした統一資源識別子（ＵＲＬ等）を記録させるので、前述した効果に加えて、ウェブ等のアクセス履歴を各ノード単位やユーザ単位で把握することができる。

すなわち、実施例２では、メールの送受信等で用いられるメール用プロトコルなどのほか、ＨＴＴＰ言語などで代表されるウェブアプリケーション用プロトコルをアーカイブ対象としている。
ウェブアプリケーション用プロトコルによるパケットデータを一件分のアーカイブとして結合させると、その構成は図７に示す通りであり、一件分のＨＴＭＬデータは、イーサヘッダ７１、ＩＰヘッダ７２、ＴＣＰヘッダ７３、ＨＴＴＰコマンド７４によって構成されている。イーサヘッダ７１の中には、宛先ＭＡＣアドレス７１や、送信先ＭＡＣアドレス７１ｂの情報が含まれており、ＩＰヘッダ７２の中には、送信元ＩＰアドレス７２ａや、宛先ＩＰアドレス７２ｂの情報が含まれており、ＴＣＰヘッダ７３の中には、送信元ポート番号７３ａや、宛先ポート番号７３ｂの情報が含まれており、ＨＴＴＰコマンド７４の中には、開始行７４ａや、バージョン情報７４ｂの情報が含まれている。

図７では、このほか、実施例１と同様に、イーサヘッダ７１の前に、拡張ヘッダ７５を付加するようにして、その情報として、アーカイブ装置１０がそのパケットを受け取った時刻を受信日時７５ａで記載させるなどしてもよい。そのようにすることで、アーカイブ装置１０が実際に受信した受信時刻での管理が可能となる。

続いて、アーカイブ記録処理１８１の流れを図８のフローチャートに従って説明する。アーカイブ起動処理１８１は実施例１と同様に、アーカイブ装置１０において常時起動している。ステップＳ１１’では、アーカイブデータとして記録するファイルをウェブアーカイブ１２１、メールアーカイブ１２２として開き、ステップＳ１２では、パケット情報取得部１４で受信したパケットデータを取得する。そして、取得したパケットデータがアーカイブ対象のデータであるか否かを判断し（ステップＳ１３’）、アーカイブ対象でないパケットの場合には、ステップＳ１２に戻って、パケットデータの取得を継続する。そして、取得したパケットデータがアーカイブ対象となるウェブアプリケーション用プロトコルまたはメール用プロトコルである場合には、そのパケットをウェブアーカイブ１２１またはメールアーカイブ１２２としてそれぞれ記録し、（ステップＳ１４’）、ステップＳ１５にて所定時間が経過していなければ、ステップＳ１２に戻って、パケットデータの取得を継続する。一方、ステップＳ１５にて、所定時間が経過したときには、記録を行ったウェブアーカイブ１２１、メールアーカイブ１２２のファイルをそれぞれクローズして（ステップＳ１６’）、再びステップＳ１１’に戻って、異なるファイル名でファイルを開き、アーカイブデータ１２の取得を継続する。

ステップＳ１３’において取得したウェブアプリケーション用パケットデータの判断について、図７をもとに説明すると、メール用プロトコルと同様、そのプロトコルの種類は、宛先ポート番号７３ｂなどにより判別することができる。具体的にいうと、ウェブアプリケーション用プロトコルは、ポート番号として、８０番（ｈｔｔｐ）や、４４３番（ｈｔｔｐｓ）などが一般的によく用いられる。
ステップＳ１４’でウェブアプリケーションのアーカイブを保存する場合には、図７のようなデータ構造となっているＨＴＭＬデータを、アーカイブデータ１２の中にあるウェブアーカイブ１２１にそのまま保存させることが好ましい。

続いて、接続ログ記録処理１８２の流れを図９のフローチャートに従って説明する。接続ログ記憶処理１８２は、実施例１のときと同様に、アーカイブ記録処理１８１のステップＳ１６’にて、アーカイブデータ１２のファイルが閉じられるたびに起動する。
図９において、接続ログ記録処理１８２が起動すると、ステップＳ２１’でウェブアーカイブ１２１やメールアーカイブ１２２に記録されたアーカイブを読み込む。ステップＳ２２’では、実施例１と同様に、問題が発生した際に通信内容を追跡するために必要なデータを抽出する。図７のＨＴＭＬデータでいえば、宛先ＭＡＣアドレス７１ａ、送信元ＭＡＣアドレス７１ｂ、送信先ＩＰアドレス７２ａ、宛先ＩＰアドレス７２ｂ、送信元ポート番号７３ａ、宛先ポート番号７３ｂ、開始行７４ａ、バージョン情報７４ｂなどといった、通信内容を追跡するために必要なデータが対象となる。そして、これら抽出されたデータを、メモリ１７などといった記憶装置に一時的に記憶させる（ステップＳ２６’）。なお、拡張ヘッダ７５による管理が行われている場合には、あわせて、受信日時７５ａを抽出・記録させてもよい。

また、アーカイブ記録処理１８１は、メール用プロトコルによるパケットデータをパケット情報取得部１４から読み込んで、そのパケットデータを含んだ情報をメールアーカイブ１２２として記憶装置１１に記憶させるとともに、接続ログ記録処理１８２は、ウェブアプリケーション用プロトコルによるパケットデータが記録されたウェブアーカイブ１２１から、該ノード２３がリクエストした統一資源識別子（ＵＲＬ）を抽出し、かつ、該ノード２３の接続先として、ウェブメールに関連するメソッドを含んでいる場合には、該メソッドに対応する、メールアーカイブ１２２を記憶媒体１１から検索し、その検索でヒットしたメールアーカイブ１２２のインデックス情報を接続ログ１３の該レコードに付加するようにするとよい。
すなわち、ステップＳ２３では、抽出されたウェブアプリケーション用パケットのデータの中に、ウェブメールに関連するメソッドを含むか否かを、開始行７４ａの記載内容から判断し、ウェブメールに関連するメソッドを含まない場合には、後述するステップＳ２６’にジャンプする一方で、ウェブメールに関連するメソッドを含む場合には、開始行７４ａの記載内容をキーとして、メールアーカイブ１２２の中から該当するメールデータを検索して（ステップＳ２４）、該当するメールデータのインデックスを抽出する（ステップＳ２５）。
なお、実施例２では、ステップＳ２３において、開始行７４ａがＰＯＳＴメソッドであるときに、ウェブメールに関連するメソッドが含まれているものと判断している。また、ステップＳ２５のインデックス抽出では、送信元ＩＰアドレス７２ａ、宛先ＩＰアドレス７２ｂ、開始行７４ａ、受信日時７５ａなどの情報から、該当するメールデータを検索するようにしている。

続いて、ステップＳ２７では、アーカイブデータ１２に次のパケットデータが残っているか否かを判断し、次のパケットデータが残っている場合には、ステップＳ２１’に戻って、アーカイブデータ１２に記録されたパケットデータの読み込みを再開する。次のパケットデータが残っていない場合には、ステップＳ２８に進み、メモリ１７等に記録された抽出データについて、各ノード２３と同じＩＰアドレスとなる送信元ＩＰアドレス７２ａや、宛先ＩＰアドレス７２ｂをキーとしてデータをソートする。

図１０は、実施例２における抽出データをノードごとにソートした結果であり、ステップＳ２２’で抽出した各データやステップＳ２５で抽出したメールデータのインデックスが、ウェブ番号１０１、日時１０２、対象ＩＰアドレス１０３、相手ＩＰアドレス１０４、メソッド１０５、ＵＲＬ１０６、メール番号１０７、…などのように整理され、対象ＩＰアドレス１０３として記載された各ノード２３のＩＰアドレス順にデータがソートされている。また、ステップＳ２５にてウェブメールが抽出された場合には、そのレコードとして、インデックス情報１０８があわせて記録される。

そして、ソートされた抽出データは、接続ログ１３ａ、１３ｂ、…、１３ｚのように、各ノードを単位として記録させ（ステップＳ２９）、接続ログ記録処理が終了する。

このように、接続ログのなかに、ウェブメールに関連するメソッドが含まれる場合に、そのメソッドに対応する、ウェブメールのアーカイブデータのインデックス情報を付加したことで、前述した効果に加えて、ウェブメールに関連するメソッドから、対応するメールアーカイブを容易に探索することができる。特に、接続ログに含まれていないメールの本文を容易に追跡することができ、ウェブアクセス履歴とメール送受信との関係を簡単に把握することができるようになる。

続いて、検索処理部１８３について説明する。図１１は、実施例２における検索処理部で検索を行うためのユーザインターフェースの一例を示したものである。図１１において、検索画面１１１は、対象となるノード２３のＩＰアドレス１１２を入力し、検索期間１１３を指定する。その他、フリーワード１１４の指定が行えるようになっている。検索実行ボタン１１５をクリックすると、記憶装置１１から指定したＩＰアドレスに対応する検索ログ１３を読み込んで、管理者が指定した検索条件に応じて検索結果１１６をディスプレイ４０に表示させる。
なお、検索結果１１６でＵＲＬを表示させる場合には、該ＵＲＬの拡張子に応じて色分けを行うことが好ましい。

また、検索処理１８３は、検索条件に従って抽出した接続ログ１３を画面表示させるとともに、管理者が、ウェブメールに関連するメソッドを含む接続ログ１３を指定した場合には、インデックス情報１０８に対応する、メールアーカイブ１２２を記憶装置１１から検索して、その検索でヒットしたメールアーカイブ１２２を画面表示させるようにするとよい。
すなわち、ウェブメールのインデックス情報１０８が含まれる場合には、図１１において、検索結果１１６のなかにリンク１１７を表示させ、管理者がそのリンク１１７をクリックした場合には、メールアーカイブ１２２からそのインデックス情報１０８についてのメールデータを検索し、その内容をディスプレイ４０にて別途表示させるようにするとより好ましい。

このように、インデックス情報に対応するメールアーカイブを検索して、その結果を画面表示させることができるため、前述した効果に加えて、ウェブメールに関連するメソッドから、対応するウェブメールの本文を容易に確認することができる。

こういった構成にかわる別の形態としては、接続ログ記録処理１８２において、接続ログ１３を記憶媒体１１に記録させる前に、記録すべきデータをメール用プロトコルのアーカイブデータと同じフォーマットに変換して、その変換された情報を接続ログ１３として記憶装置１１に記憶させるようにするとより好ましい。

図１２は、接続ログ１３をメールフォーマットに変換した一例を示した説明図である。図１２に示すように、抽出データに含まれるウェブ番号１２３、日時１２４、相手ＩＰアドレス１２６、メソッド１２７、ＵＲＬ１２８、インデックス情報１２９などをメール本文に記載し、また、対象ＩＰアドレス１２５をメールのＦｒｏｍとして記載し、これらをメール形式として置き換えたデータを接続ログ１３ａ、１３ｂ、…１３ｚとして記録させるようにするとよい。

このように、接続ログを、メール用プロトコルのアーカイブデータと同じフォーマットで記録させているため、前述した効果に加えて、メール用アーカイブシステムとして従来搭載されているメール表示機能やメール検索機能を、そのままウェブアクセス履歴の表示や検索で応用することができる。
また、メール以外のログについても、その内容を通常用いられるメール閲覧用ソフトウエア等で容易に確認することができる。

実施例３を図１３および図１４に基づいて説明する。実施例３は、実施例２における接続ログ記録処理１８２および検索処理１８３を別の形態で実現するものである。

すなわち、アーカイブ記録処理１８１は、実施例２と同様、メール用プロトコルによるパケットデータをパケット情報取得部１４から読み込んで、そのパケットデータを含んだ情報をメールアーカイブ１２２として記憶装置１１に記憶させるとともに、接続ログ記録処理１８２は、ウェブアプリケーション用プロトコルによるパケットデータが記録されたウェブアーカイブ１２１から、該ノード２３がリクエストした統一資源識別子（ＵＲＬ）を抽出し、かつ、該ノード２３の接続先として、ウェブメールに関連するメソッドを含んでいる場合には、該メソッドに対応する、ＵＲＬ、時刻情報およびノード２３の識別子（ＩＰアドレス等）をウェブアーカイブ１２１から抽出し、これらの情報をインデックス情報として接続ログ１３の該レコードに付加するようにしたものである。

図１３は、実施例３における接続ログ記録処理１８２の流れを示すフロチャートであり、図９のステップＳ２５の実施形態が異なっている。
すなわち、ステップＳ２３でウェブメールに関連するメソッドを含むか否かを判断した後は、ステップＳ２４（図９）を省略し、ステップＳ２５（図９）に変えて、ステップＳ２５’に進む。ステップＳ２５’では、メールアーカイブ１２２の中から該当するメールデータのインデックスを抽出するのではなく、ウェブアーカイブ１２１から該メソッドに対応する、ＵＲＬ、時刻情報およびノード２３の識別子（ＩＰアドレス等）を抽出する。なお、ＵＲＬ、時刻情報およびノード２３の識別子は、送信元ＩＰアドレス７２ａ、宛先ＩＰアドレス７２ｂ、開始行７４ａ、受信日時７５ａなどの情報から抽出すればよい。

図１４は、実施例３における抽出データをノードごとにソートした結果を示す説明図である。図１４では、図１０のインデックス情報１０８にかえて、日時１０２、対象ＩＰアドレス１０３、ＵＲＬ１０６をまとめたものをインデックス情報１４１としている。

また、検索処理１８３では、管理者がウェブメールに関連するメソッドを含む接続ログ１３を指定した場合に、インデックス情報１４１に対応する、メールアーカイブ１２２を記憶装置１１から検索して、その検索でヒットしたメールアーカイブ１２２を画面表示させるようにするとよい。

このように、接続ログのなかに、ウェブメールに関連するメソッドが含まれている場合に、そのメソッドに対応する、ＵＲＬ、時刻情報およびノードの識別子をインデックス情報として付加したことで、前述した効果に加えて、ウェブメールに関連するメソッドから、対応するメールアーカイブを容易に探索することができる。特に、接続ログに含まれていないメールの本文を容易に追跡することができ、ウェブアクセス履歴とメール送受信との関係を簡単に把握することができるようになる。

本発明は、ネットワークを通過するデータを収集して保存しておき、情報漏洩やウイルス感染といった事象が発生した場合には、保存されたデータを解析して、その原因分析や被害範囲を特定するために用いることができる。また、アーカイブデータを保存するに際して、そのデータにタイムスタンプを付加することで、その時にそのデータが確かに存在したことを証明するといったアーカイブシステムとしても活用することもできる。

本発明にかかるアーカイブシステムの構成を示す説明図 実施例１におけるアーカイブ記録処理の流れを示すフローチャート メール転送プロトコルによるパケットデータの構成を示す説明図 実施例１における接続ログ記録処理の流れを示すフローチャート 実施例１における抽出データをノードごとにソートした結果を示す説明図 実施例１における検索処理部のユーザインターフェースの一例を示す説明図 ウェブアプリケーション用プロトコルによるパケットデータの構成を示す説明図 実施例２におけるアーカイブ記録処理の流れを示すフローチャート 実施例２における接続ログ記録処理の流れを示すフローチャート 実施例２における抽出データをノードごとにソートした結果を示す説明図 実施例２における検索処理部のユーザインターフェースの一例を示す説明図 接続ログをメールフォーマットに変換した一例を示した説明図 実施例３における接続ログ記録処理の流れを示すフローチャート 実施例３における抽出データをノードごとにソートした結果を示す説明図

符号の説明

１０ アーカイブ装置
１１ 記憶装置
１２ アーカイブデータ
１３、１３ａ、１３ｂ、…、１３ｚ 接続ログ
１４ パケット情報取得部
１５ ＣＰＵ
１６ クロック
１７ メモリ
１８ プログラム記憶装置
１９ グラフィックカード
２０ ＬＡＮ
２１ ファイアウォール
２２ ＴＡＰ装置
２３、２３ａ、２３ｂ、…、２３ｚ ノード
３０ インターネット
３１、７１ イーサヘッダ
３２、７２ ＩＰヘッダ
３２ａ、７２ａ 送信元ＩＰアドレス
３２ｂ、７２ｂ 宛先ＩＰアドレス
３３、７３ ＴＣＰヘッダ
３３ａ、７３ａ 送信元ポート番号
３３ｂ、７３ｂ 宛先ポート番号
３４ メールデータ
３４ａ、５６ 送信元メールアドレス
３４ｂ、５７ 宛先メールアドレス
３４ｃ 送信日時
３４ｄ メールタイトル
３５、７５ 拡張ヘッダ
３５ａ、７５ａ 受信日時
４０ ディスプレイ
５１、１０７ メール番号
５２、１０２、１２４ 日時
５３、１０３、１２５ 対象ＩＰアドレス
５４、１０４、１２６ 相手ＩＰアドレス
５５、１０５、１２７ メソッド
６１、１１１ 検索画面
６２、１１２ ＩＰアドレス
６３、１１３ 検索期間
６４、１１４ フリーワード
６５、１１５ 検索実行ボタン
６６、１１６ 検索結果
７１ａ 宛先ＭＡＣアドレス
７１ｂ 送信元ＭＡＣアドレス
７４ ＨＴＴＰコマンド
７４ａ 開始行
７４ｂ バージョン情報
１０１、１２３ ウェブ番号
１０６、１２８ ＵＲＬ
１０８、１２９、１４１ インデックス情報
１１７ リンク
１２１ ウェブアーカイブ
１２２ メールアーカイブ
１８１ アーカイブ記録処理
１８２ 接続ログ記録処理
１８３ 検索処理

Claims (12)

1. アーカイブデータおよび接続ログが記録される記憶装置と、
   ローカルエリアネットワーク内を通過する特定のプロトコルによるパケットデータを読み込んで、そのパケットデータを含んだ情報を前記アーカイブデータとして前記記憶装置に記憶させるアーカイブ記録処理部と、
   前記記憶装置から前記アーカイブデータを読み込んで、前記ローカルエリアネットワーク内に接続されたノード毎に該ノードの接続先をまとめて、その接続先を含んだ情報を接続ログとして前記記憶装置に記憶させる接続ログ記録処理部と、
   前記記憶装置から前記接続ログを読み込んで、管理者が指定した検索条件に応じて、前記接続ログを検索する検索処理部と、
   を備えるアーカイブシステム。
2. 前記アーカイブ記録処理部は、ウェブアプリケーション用プロトコルによるパケットデータを読み込んで、そのパケットデータを含んだ情報を前記アーカイブデータとして前記記憶装置に記憶させ、
   前記接続ログ記録処理部は、前記ウェブアプリケーション用プロトコルによるパケットデータが記録された前記アーカイブデータから、該ノードがリクエストした統一資源識別子を抽出して、前記統一資源識別子を含んだ情報を前記接続ログとしてまとめる、
   ことを特徴とする請求項１に記載のアーカイブシステム。
3. 前記アーカイブ記録処理部は、さらにメール用プロトコルによるパケットデータを読み込んで、そのパケットデータを含んだ情報を前記アーカイブデータとして前記記憶装置に記憶させ、
   前記接続ログ記録処理部は、前記ウェブアプリケーション用プロトコルによるパケットデータが記録された前記アーカイブデータから、該ノードがリクエストした統一資源識別子を抽出し、かつ、該ノードの接続先として、ウェブメールに関連するメソッドを含んでいる場合には、該メソッドに対応する、前記統一資源識別子、時刻情報および前記ノードの識別子を前記ウェブアプリケーション用プロトコルによるパケットデータが記録された前記アーカイブデータから抽出し、これらの情報をインデックス情報として前記接続ログの該レコードに付加する、
   ことを特徴とする請求項２に記載のアーカイブシステム。
4. 前記アーカイブ記録処理部は、さらにメール用プロトコルによるパケットデータを読み込んで、そのパケットデータを含んだ情報を前記アーカイブデータとして前記記憶装置に記憶させ、
   前記接続ログ記録処理部は、前記ウェブアプリケーション用プロトコルによるパケットデータが記録された前記アーカイブデータから、該ノードがリクエストした統一資源識別子を抽出し、かつ、該ノードの接続先として、ウェブメールに関連するメソッドを含んでいる場合には、該メソッドに対応する、前記メール用プロトコルのアーカイブデータを前記記憶媒体から検索し、その検索でヒットした前記アーカイブデータのインデックス情報を前記接続ログの該レコードに付加する、
   ことを特徴とする請求項２に記載のアーカイブシステム。
5. 前記検索処理部は、前記検索条件に従って抽出した前記接続ログを画面表示させるとともに、前記管理者が、前記ウェブメールに関連するメソッドを含む前記接続ログのレコードを指定した場合には、前記インデックス情報に対応する、前記メール用プロトコルのアーカイブデータを前記記憶装置から検索して、その検索でヒットした前記アーカイブデータを画面表示させることを特徴とする請求項３または請求項４に記載のアーカイブシステム。
6. 前記接続ログ記録処理部は、前記接続ログを前記記憶媒体に記録させる前に、記録すべきデータを前記メール用プロトコルのアーカイブデータと同じフォーマットに変換して、その変換された情報を前記接続ログとして前記記憶装置に記憶させることを特徴とする請求項２ないし請求項５のいずれかに記載のアーカイブシステム。
7. 記憶装置と、ローカルエリアネットワーク内を通過するパケットデータを収集するパケット情報取得部を備えたアーカイブシステムで用いられ、
   前記パケット情報取得部から、特定のプロトコルによる前記パケットデータを読み込んで、そのパケットデータを含んだ情報をアーカイブデータとして前記記憶装置に記憶させるアーカイブ記録処理ステップと、
   前記記憶装置から前記アーカイブデータを読み込んで、前記ローカルエリアネットワーク内に接続されたノード毎に該ノードの接続先をまとめて、その接続先を含んだ情報を接続ログとして前記記憶装置に記憶させる接続ログ記録処理ステップと、
   前記記憶装置から前記接続ログを読み込んで、管理者が指定した検索条件に応じて、前記接続ログを検索する検索処理ステップと、
   からなる各処理を実行するアーカイブシステム用プログラム。
8. 前記アーカイブ記録処理ステップは、ウェブアプリケーション用プロトコルによるパケットデータを読み込んで、そのパケットデータを含んだ情報をアーカイブデータとして前記記憶装置に記憶させ、
   前記接続ログ記録処理ステップは、前記ウェブアプリケーション用プロトコルによるパケットデータが記録された前記アーカイブデータから、該ノードがリクエストした統一資源識別子を抽出して、前記統一資源識別子を含んだ情報を前記接続ログとしてまとめる、
   各処理を実行することを特徴とする請求項７に記載のアーカイブシステム用プログラム。
9. 前記アーカイブ記録処理ステップは、さらにメール用プロトコルによるパケットデータを読み込んで、そのパケットデータを含んだ情報を前記アーカイブデータとして前記記憶装置に記憶させ、
   前記接続ログ記録処理ステップは、前記ウェブアプリケーション用プロトコルによるパケットデータが記録された前記アーカイブデータから、該ノードがリクエストした統一資源識別子を抽出し、かつ、該ノードの接続先として、ウェブメールに関連するメソッドを含んでいる場合には、該メソッドに対応する、前記統一資源識別子、時刻情報および前記ノードの識別子を前記ウェブアプリケーション用プロトコルによるパケットデータが記録された前記アーカイブデータから抽出し、これらの情報をインデックス情報として前記接続ログの該レコードに付加する、
   各処理を実行することを特徴とする請求項８に記載のアーカイブシステム用プログラム。
10. 前記アーカイブ記録処理ステップは、さらにメール用プロトコルによるパケットデータを読み込んで、そのパケットデータを含んだ情報を前記アーカイブデータとして前記記憶装置に記憶させ、
    前記接続ログ記録処理ステップは、前記ウェブアプリケーション用プロトコルによるパケットデータが記録された前記アーカイブデータから、該ノードがリクエストした統一資源識別子を抽出し、かつ、該ノードの接続先として、ウェブメールに関連するメソッドを含んでいる場合には、該メソッドに対応する、前記メール用プロトコルのアーカイブデータを前記記憶媒体から検索し、その検索でヒットした前記アーカイブデータのインデックス情報を前記接続ログの該レコードに付加する、
    各処理を実行することを特徴とする請求項８に記載のアーカイブシステム用プログラム。
11. 前記検索処理ステップは、前記検索条件に従って抽出した前記接続ログを画面表示させるとともに、前記管理者が、前記ウェブメールに関連するメソッドを含む前記接続ログのレコードを指定した場合には、前記インデックス情報に対応する、前記メール用プロトコルのアーカイブデータを前記記憶装置から検索して、その検索でヒットした前記アーカイブデータを画面表示させる処理を実行することを特徴とする請求項９または請求項１０に記載のアーカイブシステム用プログラム。
12. 前記接続ログ記録処理ステップは、前記接続ログを前記記憶媒体に記録させる前に、記録すべきデータを前記メール用プロトコルのアーカイブデータと同じフォーマットに変換して、その変換された情報を前記接続ログとして前記記憶装置に記憶させる処理を実行することを特徴とする請求項８ないし請求項１１のいずれかに記載のアーカイブシステム用プログラム。