JP4333723B2 - 通信ログ管理システム - Google Patents

Description

本発明は，通信元装置と通信先装置との通信における，通信ログの管理方法およびシステムに関する。

ネットワークを介して通信端末と通信端末が通信する場合に，通信端末の通信状態等を管理するために，通信状態を管理する装置（以下，通信状態管理装置という）を設置し，端末の通信状態の変化を，この通信状態管理装置に通知するシステムがある（たとえば特許文献１）。

このシステムでは，端末が別の端末やサービスを提供するサーバと通信する場合に，その通信ログが通信状態管理装置に通知される。

このシステムにおいて，通信元端末と通信先端末それぞれが，通信状態の変化を通信状態管理装置に通知することにより，通信状態管理装置は，通信元端末と通信先端末との通信状態の変化のログを記録することができる。

米国特許公報第6128657号

通信元端末と通信先端末がそれぞれ通信状態の変化を通信状態管理装置に通知する場合に，通信元端末や通信先端末と，通信状態管理装置と，の間の通信路の状態によっては，必ずしも通信状態の変化を通信状態管理サーバに伝達できるとは限らない。

また，通信元端末と通信先端末双方が，通信状態の変化を意図的に通信状態管理装置に通知しなかった場合，通信状態管理サーバは，端末の正確な通信状態の変化を検知することができない。

別の視点では，通信端末の数が多い場合には，端末から通信状態管理装置に通信状態の変化の通知が大量に行われ，通信状態管理装置に負荷がかかるとともに，端末と通信状態管理装置の間の通信路に負荷がかかる。

また，通信元端末と通信先端末の通信状態の変化を通信状態管理装置で管理している場合に，通信元端末と通信先端末のそれぞれが通知する通信状態の変化の内容が整合していないと，その通知内容は信頼性にかけるものとなってしまう。

近年頻発する不正アクセスや情報漏洩をいち早く検出し，これらを防ぐ技術が望まれているが，上記従来技術を用いても，不十分であった。

また，通信元端末と通信先端末だけでなく，それらの間で行われる通信をセッション管理サーバが管理するシステムにおいては，通信元端末と通信先端末による通知内容だけでは不十分であった。

また，通信端末が或るアプリケーションを使って，サービスを提供するサーバと通信する場合には，サービスを提供するサーバのアプリケーションプログラムが通信状態の変化のログを記録する場合が多い。この場合，通信状態の変化のログは，それぞれのサービスを提供するサーバに保管される。したがって，不正アクセス発生が検知された場合などに，ある特定のユーザの通信ログを検証するためには，サーバごとに別々に保管された通信ログをそれぞれ参照する必要がある。

本発明は，上記事情に鑑みてなされたものであり，本発明は，通信元装置，通信先装置だけでなく，通信元装置と通信先装置の間の通信セッションを管理するセッション管理サーバも，通信開始や通信終了などの通信状態の変化を含む通信ログを記録し，ログ管理サーバに通知する技術を提供する。

なお，本明細書において，通信ログとは，ある通信元装置からある通信先装置に対して，いつからいつまで通信が行われたという事実の一部または全部を知ることができる情報，のことをいう。

また，本明細書におけるセッションとは，２台の装置間で行なわれる通信の単位を指し，例えば２台の装置の一方が通信開始要求を送信してから，これら２台の装置が通信を行い，通信終了時にいずれか一方の装置がもう一方の装置から通信終了応答を受け取るまで，を指す。

さらに，本発明は，通信を行うネットワークが単一のネットワークドメインから構成される場合には，そのネットワークドメイン上に，通信を管理するセッション管理サーバと，通信ログを管理するログ管理サーバを設置する。

なお，本明細書において，ネットワークドメインとは，ネットワークに存在する装置を，或る基準に従ったグループとして管理するための概念である。複数の装置が同じネットワークドメインに属するとは，例えば，それぞれのＩＰアドレスまたはＩＰアドレスを表すドメイン名が，上記基準に従う範囲で前方または上位が一致する場合を指す。また，以下では，ネットワークドメインを単にドメインということがある。

通信元装置が通信先装置と通信する際には，通信の開始（セッション確立）や終了（セッション削除）の処理を，セッション管理サーバを介して行う。セッション管理サーバは，通信開始や通信終了の処理を仲介する際に，通信開始や通信終了の通信ログを記録する。

ネットワークが複数のネットワークドメインから構成される場合には，それぞれのネットワークドメインにセッション管理サーバと，ログ管理サーバを設置する。セッション管理サーバは，自装置の所属するドメインの通信装置の通信を管理し，ログ管理サーバは，自装置の所属するドメインの通信装置が作成する通信ログと，自装置の所属するドメインのセッション管理サーバが作成する通信ログを管理する。

ネットワークが複数のネットワークドメインから構成され，異なるドメインに所属している通信元装置と通信先装置とが通信を行う場合には，通信元装置が所属するドメインのセッション管理サーバと通信先装置が所属するドメインのセッション管理サーバの両方が連携して，通信開始や通信終了の処理を仲介する。それぞれのドメインのセッション管理サーバは，通信開始や通信終了の通信ログを作成する。

同一のドメインに所属している通信元装置が通信先装置と通信する場合には，通信の開始や終了の処理を，通信元装置と通信先装置とが所属するドメインのセッション管理サーバを介して行う。通信元装置と通信先装置とが所属するドメインのセッション管理サーバは，通信開始や通信終了の処理を仲介すると，通信開始や通信終了の通信ログを記録する。

いずれの場合も，通信元装置と通信先装置が通信を行うと，一つの通信セッションに対して，通信元装置や通信先装置は通信開始や通信終了や通信中の通信ログを作成し，，セッション管理サーバは通信開始や通信終了の通信ログを作成する。

通信元装置や通信先装置は，作成した通信開始や通信終了や通信中の通信ログを自装置の所属するドメインのログ管理サーバに送信する。また，セッション管理サーバは通信の開始や終了の通信ログを自装置の所属するドメインのログ管理サーバに送信する。

ログ管理サーバは，自装置の所属するドメインの通信元装置や通信先装置やセッション管理サーバから通信ログを受信し，受信した通信ログを管理する。

本発明によれば，通信元装置や通信先装置の数が多い場合であっても，ネットワークを複数のドメインに分割して，それぞれのドメインに分散して通信元装置や通信先装置を接続し，それぞれのネットワークドメインにそれぞれセッション管理サーバとログ管理サーバを設置することができる。

このように，通信元装置と通信先装置が通信を行うと，一つの通信セッションに対して，複数の装置による複数の通信ログが作成され，ログ管理サーバで管理される。すなわち，ネットワークが単一のネットワークドメインから構成される場合，通信元装置と，通信先装置と，通信元装置と通信先装置が所属しているネットワークドメインのセッション管理サーバと，が通信ログを作成する。また，ネットワークが複数のネットワークドメインから構成される場合，通信元装置と，通信先装置と，通信元装置が所属しているネットワークドメインのセッション管理サーバと，通信先装置が所属しているネットワークドメインのセッション管理サーバと，が通信ログを作成する。

上述のように，通信元装置と通信先装置が行った一つの通信セッションに対して複数の装置による通信ログが作成されるため，通信ログから行われた通信について正確な情報を得るために，本発明では，さらに，作成された複数の通信ログの整合性を検証する。

ネットワークが単一のネットワークドメインから構成される場合，当該ネットワークドメインのログ管理サーバに保管された，通信元装置と，通信先装置と，当該ネットワークドメインのセッション管理サーバと，が作成した通信ログの整合性を検証することにより，通信についての正確な情報を得ることが可能になる。

また，ネットワークが複数のネットワークドメインから構成される場合，２つのログ管理サーバの通信ログの整合性を検証することにより，通信についての正確な情報を得る。すなわち，通信元装置が所属するネットワークドメインのログ管理サーバが保管している，通信元装置が生成した通信ログと，通信元装置が所属しているネットワークドメインのセッション管理サーバが生成した通信ログと，通信先装置が所属するネットワークドメインのログ管理サーバが保管している，通信先装置生成した通信ログと，通信先装置が所属しているネットワークドメインのセッション管理サーバが作成した通信ログと，の整合性を検証することにより，通信についての正確な情報を得ることが可能になる。

また，通信元装置と通信先装置間の通信ログは，ログ管理サーバで一元管理されているので，これらの通信ログの整合性を検証するためには，ログ管理サーバの通信ログを参照すればよい。

本発明による通信ログ管理システムのより具体的な態様は，複数のネットワークドメインから構成され，ネットワークドメイン１に，通信元装置と，当該ネットワークドメイン１内で行われる通信を管理するセッション管理サーバ１と，が所属し，ネットワークドメイン２に，通信先装置と，当該ネットワークドメイン２内で行われる通信を管理するセッション管理サーバ２と，が所属するネットワークにおける通信ログ管理システムであって，通信元装置が所属するネットワークドメイン１のセッション管理サーバ１と，通信先装置が所属するネットワークドメイン２のセッション管理サーバ２は，通信元装置と通信先装置とが通信を行う場合に，当該通信の通信開始および／または通信終了の処理を仲介し，仲介する通信の通信開始および／または通信終了の処理に係わるセッション管理ログを記録することを特徴とする。

さらに，上記通信ログシステムにおいて，ネットワークドメイン毎に，当該ネットワークドメイン内で行われる通信を管理するログ管理サーバが所属し，各々のセッション管理サーバは，記録したセッション管理ログを，同一ネットワークドメインに所属するログ管理サーバに送信し，ログ管理サーバは，送信されたセッション管理ログを受信し，管理するものであってもよい。

さらに，上記通信ログシステムにおいて，ネットワークドメイン１とネットワークドメイン２が同一のネットワークドメインであって，セッション管理サーバ１とセッション管理サーバ２が同一のセッション管理サーバであって，ネットワークドメイン毎に所属するログ管理サーバは，同一のログ管理サーバであるものであってもよい。

さらに，上記通信ログシステムにおいて，通信元装置と通信先装置は，通信開始時の処理，通信終了時の処理，通信中の，いずれか一種類以上からなる通信装置ログを作成し，作成した通信装置ログを自通信装置が所属するネットワークドメインのログ管理サーバに送信し，ログ管理サーバは，送信された通信装置ログを受信し，管理するものであってもよい。

さらに，上記通信ログシステムにおいて，いずれかのログ管理サーバは，通信元装置が所属しているネットワークドメイン１のログ管理サーバ１が，ネットワークドメイン１のセッション管理サーバ１から受信し，管理しているセッション管理ログと，通信先装置が所属しているネットワークドメイン２のログ管理サーバ２が，ネットワークドメイン２のセッション管理サーバ２から受信し，管理しているセッション管理ログと，の整合性を検証するものであってもよい。

さらに，上記通信ログシステムにおいて，いずれかのログ管理サーバは，通信元装置が所属しているネットワークドメイン１のログ管理サーバ１が，セッション管理サーバ１から受信し，管理しているセッション管理ログと，通信元装置から受信し，管理している通信装置ログと，通信先装置が所属しているネットワークドメイン２のログ管理サーバ２が管理している，セッション管理サーバ２から受信したセッション管理ログと，通信先装置から受信し，管理している通信装置ログと，の整合性を検証するものであってもよい。

さらに，上記通信ログシステムにおいて，ログ管理サーバは，整合性の検証において，通信元装置のアドレスとポート番号と，通信先装置のアドレスとポート番号と，または，通信先URLを，整合性の，通信開始時および／または通信終了時に係わる検証対象とするものであってもよい。

さらに，上記通信ログシステムにおいて，ログ管理サーバは，整合性の検証において，さらに，所定時間内の通信バイト数または通信データの内容を，整合性の，通信中に係わる検証対象とするものであってもよい。

さらに，上記通信ログシステムにおいて，ネットワークドメイン１のログ管理サーバ１は，ネットワークドメイン１の通信元装置から，当該ログ管理サーバ１が管理するセッションログおよび／または通信装置ログと，ネットワークドメイン２のログ管理サーバ２が管理する，セッションログおよび／または通信装置ログと，の整合性の検証を要求された場合に，ログ管理サーバ２との間に暗号化通信路を確立し，ログ管理サーバ１は，暗号化通信路を介して，要求されたセッションログおよび／または通信装置ログの取得要求を，ログ管理サーバ２に送信し，ログ管理サーバ２は，暗号化通信路を介して，要求されたセッションログおよび／または通信装置ログを，ログ管理サーバ１へ送信し，ログ管理サーバ１は，受信したセッションログおよび／または通信装置ログと，自装置が管理するセッションログおよび／または通信装置ログとに基づいて，要求された整合性の検証を行うものであってもよい。

さらに，上記通信ログシステムにおいて，ネットワークドメイン１のログ管理サーバ１は，ネットワークドメイン１のセッション管理サーバ１から，当該ログ管理サーバ１が管理するセッションログおよび／または通信装置ログと，ネットワークドメイン２のログ管理サーバ２が管理する，セッションログおよび／または通信装置ログと，の整合性の検証要求を受信した場合に，ログ管理サーバ２が管理するセッションログおよび／または通信装置ログの取得要求を，セッション管理サーバ１に送信し，セッション管理サーバ１は，セッション管理サーバ２に，取得要求を送信し，セッション管理サーバ２は，受信した取得要求に基づいて，ログ管理サーバ２から，要求されたセッションログおよび／または通信装置ログを取得して，ネットワークドメイン１のセッション管理サーバ１へ送信し，セッション管理サーバ１は，受信したセッションログおよび／または通信装置ログを，ログ管理サーバ１に送信し，ログ管理サーバ１は，受信したセッションログおよび／または通信装置ログと，自装置が管理するセッションログおよび／または通信装置ログとに基づいて，要求された整合性の検証を行うものであってもよい。

上記態様によれば，通信元装置と通信先装置以外の第三者の装置，すなわちセッション管理サーバが通信ログを作成するため，より信頼性の高い通信ログを作成できる。

また，通信元装置や通信先装置が通信ログをログ管理サーバに送信できなかった場合，あるいは意図的にログ管理サーバに送信しなかった場合であっても，セッション管理サーバが作成した通信ログにより，送信されていないという事実が検知できるため，システム全体の動作をより正確に把握できる。

さらに，本システムに接続する通信元装置や通信先装置の数が多い場合，複数のネットワークドメインに通信元装置や通信先装置を分散して配置することにより，通信ログをログ管理サーバに通知する通信トラフィックを分散させることができ，また，通信ログをそれぞれのネットワークドメインのログ管理サーバにおいて，分散して管理することができる。

通信ログを分散して管理することにより，それぞれのログ管理サーバの負荷を軽減することができ，また，あるログ管理サーバに障害が発生した場合でも，他のログ管理サーバは，影響を受けないので，システム全体の信頼性をより高くすることができる。

また，通信元装置，通信先装置，セッション管理サーバ，が作成した通信ログの整合性を検証することにより，通信元装置と通信先装置間の通信について，より正確な情報を得ることができる。

また，ログ管理サーバが通信ログを一元管理するため，通信ログの保管，参照，などの管理業務を容易に行うことができる。

また，通信ログを一元的に管理するログ管理サーバを第３者が管理することができるため，通信ログの信頼性を高くすることができる。なぜなら，ログ管理とセッション管理を異なる組織が行うと，例えば，セッション管理側は，一度保管したログの修正はできないし，また，セッション管理側が偽りのログをログ管理サーバに送信しても，通信装置からのログとの整合性がとれなくなるため，偽りが明らかになるからである。

なお，上記態様における通信元装置，通信先装置とは，セッション管理サーバが管理するネットワークでの通信を終端する通信装置であっても良い。たとえば，通信元装置，通信先装置のすくなくとも一方が他のネットワークとの境界に位置するゲートウェイ装置であって，当該ゲートウェイ装置を介して，上記セッション管理サーバが管理するネットワークと他のネットワークとが接続されている構成であっても良い。

本発明によれば，高い信頼性を備えた，通信ログの作成と作成したログに基づいた整合性の検証が，可能になる。

以下に，本発明の実施の形態について説明する。

図１は本発明の一実施形態が適用された通信システムのネットワーク構成図である。図示するように，本実施形態の通信システムは，ドメインＡのネットワーク１１や，ドメインＢのネットワーク１２を介して，通信元装置に相当するクライアント端末（以下，クライアントという）２０と，通信先装置に相当するアプリケーションサーバ３０と，セッション管理サーバ４０と，ログ管理サーバ５０とが，相互に接続し，ドメインＡのネットワーク１１とドメインＢのネットワーク１２は，インターネット１０を介して接続している。

なお，ドメインＡ，Ｂとインターネット１０との境界には，ファイアウォール装置があっても良い。また，クライアント２０が通信先装置となり，アプリケーションサーバ３０が通信元装置となっても良い。また，クライアント２０，アプリケーションサーバ３０が各ドメインに一つづつあるが，これらは複数あっても良い。

また，以下の説明では，装置間で行われる通信は暗号化通信である，として説明しているが，暗号化されていない通信であってもよい。

まず，クライアント２０について説明する。クライアント２０は，自装置が所属するドメインや他のドメインのアプリケーションサーバ３０に，自ドメイン内のセッション管理サーバ４０を介して接続処理を行い，その後，クライアント２０とアプリケーションサーバ３０の間で通信路（通信セッション）を確立し，暗号化通信を行う。

例えば，クライアント２０−１はログ管理サーバ５０−１を介してアプリケーションサーバ３０−１に接続し，アプリケーションサーバ３０−１との間で暗号化通信を行ったり，クライアント２０−１がログ管理サーバ５０−１とログ管理サーバ５０−２を介して，アプリケーションサーバ３０−２に接続し，アプリケーションサーバ３０−２との間で暗号化通信を行ったり，クライアント２０−２がログ管理サーバ５０−２を介してアプリケーションサーバ３０−２に接続し，アプリケーションサーバ３０−２との間で暗号化通信を行ったり，クライアント２０−２がログ管理サーバ５０−２とログ管理サーバ５０−１を介して，アプリケーションサーバ３０−１に接続し，アプリケーションサーバ３０−１との間で暗号化通信を行ったりすることができる。

図２は，クライアント２０の概略の機能構成図である。

図示するように，クライアント２０は，セッション管理サーバ４０とのセキュア通信部２１と，ログ管理サーバ５０やアプリケーションサーバ３０やクライアント２０との間でセキュア通信を行うセキュア通信部２２と，通信開始・終了処理部２３と，通信ログ記録部２４と，通信ログ送信部２５と，通信ログ参照要求部２６と，整合性検証要求部２７と，を有する。

セキュア通信部２１は，セッション管理サーバ４０との間でセキュア通信路（暗号化通信路）を確立しセキュア通信を行う機能を有する。

セキュア通信部２２は，セッション管理サーバ４０を介して確立した，セッション管理サーバ４０を介さないセキュア通信路を用いて，アプリケーションサーバ３０やログ管理サーバ５０とセキュア通信を行う機能を有する。セキュアに通信を行う，とは，通信相手装置と，互いに認証を行い，通信用の暗号鍵を共有して暗号化通信路を確立し，共有した暗号鍵を用いた暗号化通信を行うことを指し，周知の技術を用いて行うことが可能である。

通信開始・終了処理部２３は，セキュア通信部２１を介して，セッション管理サーバ４０に，アプリケーションサーバ３０やログ管理サーバ５０などの他の装置との通信開始や終了を要求する機能と，他の装置から要求された通信開始や終了を判断して，これらに対して応答する機能を有する。

通信ログ記録部２４は，セキュア通信部２２の処理を監視して，通信先であるアプリケーションサーバ３０との通信開始や通信終了や通信中の通信ログを記録する機能を有する。

通信ログ送信部２５は，通信ログ記録部２４が記録した通信ログを，セキュア通信部２２を介してログ管理サーバ５０へ送信する機能を有する。

通信ログ参照要求部２６は，ログ管理サーバ５０に対して，ログ管理サーバ５０に保管されている，自装置（クライアント２０）が作成した通信ログの参照を要求する機能を有する。

整合性検証要求部２７は，ログ管理サーバ５０に対して，ログ管理サーバ５０に保管されている，自装置（クライアント２０）が作成した通信ログと，通信相手（例えばアプリケーションサーバ３０）が作成した通信ログと，通信を仲介したセッション管理サーバ４０が生成した通信ログとの，整合性の検証を要求する機能を有する。

なお，アプリケーションサーバ３０も，上述のクライアント２０と同様，図２に示す構成を備える。ただし，アプリケーションサーバ３０における，セキュア通信部２２は，セッション管理サーバ４０を介して確立したセキュア通信路を用いて，クライアント２０やログ管理サーバ５０とセキュア通信を行う機能を有する。

図３は，図１に示すセッション管理サーバ４０の概略機能構成図である。

図示するように，セッション管理サーバ４０は，通信開始・終了転送処理部４１と，通信ログ記録部４２と，通信ログ送信部４３と，転送処理部４４と，セキュア通信部４５と，を有する。

通信開始・終了転送処理部４１は，次の機能を有する。通信開始や終了の要求をセキュア通信部４５を介して受信すると，要求元装置の認証を行い，認証に成功すると，その要求を要求先へ転送するようセキュア通信部４５へ要求する。また，通信開始や終了の要求に対する応答をセキュア通信部４５を介して受信すると，その応答を応答先（要求元）へ転送するようセキュア通信部４５へ要求する。

セキュア通信部４５は，上記要求に従った転送を行う。

また，通信開始・終了転送処理部４１は，通信開始や終了の要求やその応答を処理する際の通信ログを記録する。

通信ログ記録部４２は，通信開始・終了転送処理部４１が通信開始や終了の要求やその応答を処理する時に出力する通信開始・通信終了の通信ログを記録し，通信ログ送信部４３に対して，記録した通信ログをログ管理サーバ５０へ送信するよう要求する機能を有する。送信要求は，通信ログ記録の毎に行うこともできるし，予め定めた量の通信ログが通信ログ記録部４２に蓄積されてから，まとめて通信ログ送信部４３に送信を要求することもできる。

通信ログ送信部４３は，通信ログの送信を要求されると，ログ管理サーバ５０への通信ログ送信を，セキュア通信部４５に要求する機能を有する。

セキュア通信部４５は通信ログ送信の要求を受けると，通信ログをログ管理サーバ５０に送信する機能を有する。なお，セッション管理サーバ４０から要求される通信ログの送信は，自ドメイン内のログ管理サーバ５０に対して行う。例えば，セッション管理サーバ４０−１は，通信ログをログ管理サーバ５０−１に送信し，セッション管理サーバ４０−２は，通信ログをログ管理サーバ５０−２に送信する。

転送処理部４４は，セキュア通信部４５を介して，通信ログ送信や，通信ログ記録や，通信ログ記録設定や，通信ログ参照や，整合性検証や，通信ログ取得の，要求やその応答を受信すると，受信した要求やその応答を，要求先や応答先（要求元）へ転送するよう，セキュア通信部４５へ要求する機能を有する。セキュア通信部４５は，要求に従った転送を行う。

セキュア通信部４５は，通信開始・終了転送処理部４１や通信ログ送信部４３や転送処理部４４から通信の要求を受けると，クライアント２０やアプリケーションサーバ３０やログ管理サーバ５０または他のセッション管理サーバ４０との間でセキュアに通信を行う。セキュアに通信を行う，とは，通信相手装置と，互いに認証を行い，通信用の暗号鍵を共有して暗号化通信路を確立し，共有した暗号鍵を用いた暗号化通信を行うことを指し，周知の技術を用いて行うことが可能である。 図４は，ログ管理サーバ５０の概略構成図である。

図示するように，ログ管理サーバ５０は，セキュア通信部５１と，セキュア通信部５２と，通信ログ記録設定要求部５３と，通信ログ記録要求部５４と，通信開始・終了処理部５５と，通信ログ管理部５６と，通信ログ５７と，通信ログ５８と，を有する。

セキュア通信部５１は，ログ管理サーバ５０の各機能部からセッション管理サーバ４０への通信の要求を受けた場合に，セッション管理サーバ４０との間でセキュア通信路（暗号化通信路）を確立し，通信データを暗号化してセッション管理サーバ４０へセキュアに送信する機能を有する。また，セッション管理サーバ４０から暗号化データを受信した場合には，暗号化データを復号し，ログ管理サーバ５０の各機能部へデータを渡す機能を有する。

セキュア通信部５２は，セッション管理サーバ４０を介して確立したセキュア通信路を用いてクライアント２０やアプリケーションサーバ３０とセキュア通信を行う機能を有する。セキュアに通信を行う，とは，通信相手装置と，互いに認証を行い，通信用の暗号鍵を共有して暗号化通信路を確立し，共有した暗号鍵を用いた暗号化通信を行うことを指し，周知の技術を用いて行うことが可能である。

通信ログ記録設定要求部５３は，クライアント２０やアプリケーションサーバ３０に対して通信ログ記録のための設定を要求する機能を有する。設定とは，例えばある特定のIPアドレスへの通信ログを記録するという設定や，通信ログの詳細度の設定（特定のIPアドレスへの通信に対して，通信データ情報５８６の通信データの内容を記録するか否か）などである。

通信ログ記録要求部５４は，任意のタイミングで，ログ管理サーバ５０がクライアント２０やアプリケーションサーバ３０に対して通信ログの記録を指示するための機能である。例えば，クライアント２０やアプリケーションサーバ３０は，通信ログの記録の指示がなければ通信ログを記録せず，通信ログ記録要求部５４による通信ログ記録指示をトリガとして通信ログを記録するように構成しても良い。

この機能により，他のシステムが，クライアント２０とアプリケーションサーバ３０との間の通信ログが必要と判断し，通信ログ記録要求部５４に通信ログの記録を要求すると，通信ログ記録要求部５４は，クライアント２０やアプリケーションサーバ３０にログ記録の要求を出すことができる。

また，例えば，ログ管理サーバ５０またはその管理者が，ネットワーク上で許可されていない通信を行っている可能性があることを検知した場合に，通信ログ記録要求部５４による指示により，実際に行われている通信ログを記録することができる。

通信開始・終了処理部５５は，セキュア通信部５２がクライアント２０やアプリケーションサーバ３０との間で暗号化通信を行うための，セキュア通信路の確立や終了の処理をセッション管理サーバ４０に対して行う機能を有する。

通信ログ管理部５６は，クライアント２０やアプリケーションサーバ３０やセッション管理サーバ４０から受信した通信ログを，通信ログ５７や通信ログ５８に格納したり，検索の要求を受けて通信ログ５７や通信ログ５８を検索し，その結果を応答したり，通信ログ５７や通信ログ５８に格納されたログの整合性があるか確認する機能を有する。

また，通信ログ管理部５６は，セッション管理サーバ４０から受信した通信ログを通信ログ５７に保管し，クライアント２０やアプリケーションサーバ３０から受信した通信ログを通信ログ５８に保管する。

クライアント２０とアプリケーションサーバ３０の間でセキュア通信が行われると，クライアント２０とアプリケーションサーバ３０からログ管理サーバ５０に通信ログが送信され，ログ管理サーバ５０は，通信ログ５８にその通信ログを格納する。また，セッション管理サーバ４０からログ管理サーバ５０に通信ログが送信され，ログ管理サーバ５０は通信ログ５７にその通信ログを格納する。すなわち，クライアント２０とアプリケーションサーバ３０の間のセキュア通信における一つのセッションに関して，クライアント２０とアプリケーションサーバ３０とセッション管理サーバ４０それぞれが作成した３種類の通信ログが，ログ管理サーバ５０に格納される。

なお，図２〜図４に示すクライアント２０，アプリケーションサーバ３０，セッション管理サーバ４０，ログ管理サーバ５０の各装置と，これらの装置が備える各機能は，ハードウェアで実現されても良いし，または，図２０に例示する，ＣＰＵ６１と，メモリ６２と，ハードディスク等の外部記憶装置６３と，ネットワーク１１または１２を介して他の装置と通信を行うための通信装置６４と，キーボードやマウス等の入力装置６５と，モニタやプリンタ等の出力装置６６と，可搬性を有する記憶媒体６８から情報を読み取る読取装置６７と，これらの各装置６１〜６７を接続するバス等の内部通信線６９とを備えたコンピュータ６０において，ＣＰＵ６１が，外部記憶装置６３からメモリ６２上にロードされた所定のプログラムを実行することによっても実現できる。

上記プログラムは，あらかじめ，上記メモリ６２または外部記憶装置６３に格納されていても良いし，必要なときに，上記コンピュータ６０が利用可能な，記憶媒体６８または通信媒体（ネットワーク１１，ネットワーク１２やインターネット１０。またはこれらを伝搬する搬送波やデジタル信号など）を介して，他の装置から導入されてもよい。

図５は通信開始時または終了時の通信ログを模式的に表した図である。

通信開始時には，例えばクライアント２０からアプリケーションサーバ３０に対してセッション管理サーバ４０を介して通信開始要求が送信され，セキュア通信セッションが確立する際の通信ログが，クライアント２０とアプリケーションサーバ３０とセッション管理サーバ４０とにより生成される。

また，通信終了時には，例えば，クライアント２０からアプリケーションサーバ３０に対してセッション管理サーバ４０を介して通信終了要求が送信され，セキュア通信セッション終了処理が行われる際の通信ログが，クライアント２０とアプリケーションサーバ３０とセッション管理サーバ４０とにより生成される。

図５に示すように，通信開始・終了の通信ログは，セッション番号５７１と，通信元・通信先ＩＤ５７２と通信元・通信先情報５７３と，通信先ＵＲＬ５７４と，通信開始or終了識別情報５７５と，開始or終了時刻５７６と，を有する。

セッション番号５７１は，クライアント２０とアプリケーションサーバ３０の間でセッション管理サーバ４０を介して通信セッションが確立される毎に付与される番号で，同じクライアント２０とアプリケーションサーバ３０の組み合わせの通信であっても，通信セッションが確立される毎に，異なる番号が付与される。

通信元・通信先ＩＤ５７２は，通信元と通信先を特定するＩＤで，通信元アドレスや通信先アドレスと関連付けされる。例えば，通信元ＩＤや通信先ＩＤとしてとしてＳＩＰ−ＵＲＩや，ユーザやサービス提供者を特定するＩＤを用いることができる。

通信元・通信先情報５７３は，ネットワークにおける通信元と通信先を特定する情報である。例えば，通信元アドレスや通信先アドレスにＩＰアドレスを指定すれば，ＩＰネットワークにおける通信元と通信先を特定することができる。

通信先ＵＲＬ５７４は，例えば，ＨＴＴＰなどのように通信相手先としてＵＲＬを指定した通信を行う場合の通信相手先情報である。この情報は，通信相手先としてＵＲＬを指定しない通信の場合や，セッション管理サーバにＵＲＬの情報が送られない場合があるため，必須ではない。

通信開始or終了識別情報５７５は，セッション番号５７１で識別されるセッションが確立または，削除されるタイミングで，クライアント２０とアプリケーションサーバ３０とセッション管理サーバ４０が作成する通信ログが，セッション確立時（すなわち通信開始時）の通信ログなのか，セッション削除時（すなわち通信終了時）の通信ログなのかを識別する情報である。

開始or終了時刻５７６は，セッション番号５７１で識別されるセッションの確立処理（通信開始処理）あるいは，セッションの削除時（通信終了時）の処理が行われた時刻を格納する。作成した通信ログの正当性を保証するには，セッション管理サーバ４０が保持する時計の時刻は正確である必要がある。正確な時刻は，例えば，時刻情報を管理するサーバを別に設置し，ntp(Network Time Protocol)と呼ばれる，装置の内部時計を，ネットワークを介して正しく調整するプロトコルで，そのサーバにアクセスすることにより，正確な時刻を得ることができる。

図５の情報には，さらに他の情報を含めることもできる。クライアント２０とアプリケーションサーバ３０の間で通信を行うアプリケーションを特定する情報（ＷＥＢ，メール，ファイル転送方法，など）や，インターネット上に存在する情報資源（リソース）の場所を指し示す情報（ＵＲＩなど）を含めることもできる。

また，図５の通信元・通信先情報５７３は，ＭＡＣアドレスのような，通信元と通信先のネットワーク機器を特定する情報であってもよい。さらに，通信元・通信先情報５７３には，「無線ＬＡＮ」や「有線ＬＡＮ」や「赤外線通信」などの，ネットワーク機器自身の種別を特定する情報を含めてもよい。

図６はクライアント２０やアプリケーションサーバ３０が作成する通信中の通信ログを模式的に表した図である。この通信ログは，クライアント２０とアプリケーションサーバ３０とが通信を行っている間に，クライアント２０とアプリケーションサーバ３０がそれぞれ生成する。

図６に示すように，クライアント２０やアプリケーションサーバ３０が作成する通信中の通信ログは，セッション番号５８１と，通信元・通信先ＩＤ５８２と通信元・通信先情報５８３と，通信先ＵＲＬ５８４と，暗号化通信か否かのフラグ５８５と，通信データ情報５８６と，ログ記録開始・終了時刻５８７とを有する。

セッション番号５８１は，クライアント２０とアプリケーションサーバ３０の間でセッション管理サーバ４０を介して通信セッションが確立される毎に付与される番号で，同じクライアント２０とアプリケーションサーバ３０の組み合わせの通信であっても，通信セッションが確立される毎に，異なる番号が付与される。

通信元・通信先ＩＤ５８２は，通信元と通信先を特定するＩＤで，通信元アドレスや通信先アドレスと関連付けされる。例えば，通信元ＩＤや通信先ＩＤとしてとしてＳＩＰ−ＵＲＩや，ユーザやサービス提供者を特定するＩＤを用いることができる。

通信元・通信先情報５８３は，ネットワークにおける通信元と通信先を特定する情報である。例えば，通信元アドレスや通信先アドレスにＩＰアドレスを指定すれば，ＩＰネットワークにおける通信元と通信先を特定することができる。

通信先ＵＲＬ５８４は，例えば，ＨＴＴＰなどのように通信相手先としてＵＲＬを指定した通信を行う場合の通信相手先情報である。例えば，アプリケーションサーバ３０で動作するＨＴＴＰサーバにクライアント２０が接続する場合，クライアント２０が作成する通信中の通信ログの通信先ＵＲＬ５８４は，クライアント２０がアクセスするアプリケーションサーバ３０のＨＴＴＰサーバ上の情報を特定するＵＲＬ情報であり，また，アプリケーションサーバ３０が作成する通信中の通信ログの通信先ＵＲＬ５８４は，クライアント２０からのアクセス要求に含まれるアプリケーションサーバ３０のＨＴＴＰサーバ上の情報を特定するＵＲＬ情報である。通信先ＵＲＬ５８４は，通信相手先としてＵＲＬを指定しない通信の場合があるため，必須ではない。

暗号化通信か否かのフラグ５８５は，クライアント２０からアプリケーションサーバ３０への通信が，セッション管理サーバ４０を介して確立されたセキュア通信路を使って行われたか否かを識別する識別子である。この識別子により，この通信ログに対応する通信セッションが，セッション管理サーバ４０を介して確立したのか，セッション管理サーバ４０を介さないでクライアント２０とアプリケーションサーバ３０の間で直接セッションを確立したのかがわかる。セッション管理サーバ４０を介さないでクライアント２０とアプリケーションサーバ３０の間で直接セッションを確立した場合，セッション管理サーバ４０はその通信の事実を知ることができないので，セッション管理サーバ４０は図５に示す通信ログを作成しない。

通信データ情報５８６は，セッション番号５８１で識別されるクライアント２０とアプリケーションサーバ３０との通信セッションで通信されるバイト数，通信データの内容である。これにより，クライアント２０とアプリケーションサーバ３０との間で通信したデータの大きさを通信中の通信ログに残すことができる。また，通信のパケット自身をログに残すことができる。クライアント２０とアプリケーションサーバ３０ではそれぞれ通信中の通信ログを作成するため，クライアント２０とアプリケーションサーバ３０の間の通信路の途中で通信パケットが失われなければ，クライアント２０とアプリケーションサーバ３０が作成する通信中の通信ログは同じ内容となるはずである。クライアント２０とアプリケーションサーバ３０が作成した通信ログが異なっていた場合，ネットワーク上で障害が起こったか，または，どちらかあるいは両方の通信ログが間違っている可能性がある。

通信データ情報５８６の，通信データの内容，の項目には，クライアント２０とアプリケーションサーバ３０間の通信データの内容を記載することができる。通信データの内容を通信中の通信ログに残すことにより，クライアント２０やアプリケーションサーバ３０は，通信内容を含めた通信の証拠を残すことができる。けれども，全ての通信データの内容を通信ログとして記録すると，膨大な通信ログが発生するので，指定した一部の通信データの内容を記録するのが現実的である。例えば，ある特定の通信先アドレスへの通信データの内容を記録する場合が考えられる。

ログ記録開始・終了時刻５８７は，通信ログの記録開始時刻，記録終了時刻を格納する。例えば，クライアント２０とアプリケーションサーバ３０の間でセッション管理サーバ４０を介して通信を開始した時刻を通信ログの記録開始時刻とし，セッション管理サーバ４０を介して通信を終了した時刻を通信ログの記録終了時刻としてもよい。

また，例えば，クライアント２０とアプリケーションサーバ３０の間でなんらかのパケットの交換が行われる毎に，通信ログを記録してもよい（その場合，ログ記録開始時刻とログ記録終了時刻はほぼ同時刻となる）。

また，例えば，あらかじめ定めたある一定時間おきに通信ログを作成してもよい（その場合，ログ記録開始時刻とログ記録終了時刻の間が一定時間の通信ログが定期的に作成される）。なお，ログ記録開始・終了時刻５８７が正確でないと，通信ログの正当性が保証できない。正確な通信ログを作成するには，クライアント２０やアプリケーションサーバ３０が所有する時計の時刻は正確である必要がある。

図６の情報には，さらに他の情報を含めることもできる。クライアント２０とアプリケーションサーバ３０の間で通信を行うアプリケーションを特定する情報（ＷＥＢ，メール，ファイル転送方法，など）や，インターネット上に存在する情報資源（リソース）の場所を指し示す情報（ＵＲＩなど）を含めることもできる。

また，図６の通信元・通信先情報５８３は，ＭＡＣアドレスのような，通信元と通信先のネットワーク機器を特定する情報であってもよい。さらに，通信元・通信先情報５８３には，「無線ＬＡＮ」や「有線ＬＡＮ」や「赤外線通信」などの，ネットワーク機器自身の種別を特定する情報を含めてもよい。

なお，通信ログの種類を区別するために，クライアント２０とアプリケーションサーバ３０−２が記録する通信ログを通信装置ログと呼び，セッション管理サーバが記録するログをセッション管理ログと呼ぶことがある。
次に，上記構成のログ管理システムの動作について説明する。

図７，図８では，セッション管理サーバ４０を介したクライアント２０とアプリケーションサーバ３０の間のセキュア通信路確立（通信開始処理）と，通信路削除（通信終了処理）と，クライアント２０とアプリケーションサーバ３０とセッション管理サーバ４０における通信ログの作成，について説明する。

図７に示すように，まず，クライアント２０−１はアプリケーションサーバ３０−２との間でセッション管理サーバ４０−1，４０−２を介して認証を行い，セッション管理サーバ４０−1，４０−２を介さないセキュア通信路を確立する。

クライアント２０の通信開始・終了処理部２３は，セッション管理サーバとのセキュア通信部２１を介して，通信開始要求をセッション管理サーバ４０−１に送信し，セッション管理サーバ４０−１の通信開始・終了転送処理部４１は，セキュア通信部４５を介してこれを受信する（Ｓ１００）。

セッション管理サーバ４０−１の通信開始・終了転送処理部４１は，セキュア通信部４５から受信した通信開始要求をセッション管理サーバ４０−２に転送し，セッション管理サーバ４０−２の通信開始・終了転送処理部４１は，セキュア通信部４５を介してこれを受信する（Ｓ１０１）。

セッション管理サーバ４０−２の通信開始・終了転送処理部４１は，セキュア通信部４５を介して，受信した通信開始要求をアプリケーションサーバ３０−２に転送し，アプリケーションサーバ３０−２の通信開始・終了処理部２３は，セッション管理サーバとのセキュア通信部２１を介してこれを受信する（Ｓ１０２）。

アプリケーションサーバ３０−２の通信開始・終了処理部２３は，通信開始要求を受け付けると，その可否を判断して，判断結果である通信開始応答をセッション管理サーバとのセキュア通信部２１を介してセッション管理サーバ４０−２へ送信し，セッション管理サーバ４０−２の通信開始・終了転送処理部４１は，セキュア通信部４５を介してこれを受信する（Ｓ１０３）。

セッション管理サーバ４０−２の通信開始・終了転送処理部４１は，セキュア通信部４５から，受信した通信開始応答をセッション管理サーバ４０−１に転送し，セッション管理サーバ４０−１の通信開始・終了転送処理部４１は，セキュア通信部４５を介してこれを受信する（Ｓ１０４）。

セッション管理サーバ４０−１の通信開始・終了転送処理部４１は，セキュア通信部４５を介して，受信した通信開始応答をクライアント２０−１に転送し，クライアント２０−１の通信開始・終了処理部２３は，セッション管理サーバとのセキュア通信部２１を介してこれを受信する（Ｓ１０５）。

なお，Ｓ１００からＳ１０５を利用して，クライアント２０−１とアプリケーションサーバ３０−２は，クライアント２０−１とアプリケーションサーバ３０−２の間の，セキュア通信のための設定情報や鍵を共有し，それぞれのセキュア通信部２２に設定情報や鍵を格納する。

セキュア通信のための設定情報や鍵は，例えば，クライアント２０−１が作成して，アプリケーションサーバ３０−２がそれを受け入れる方法でも良いし，セッション管理サーバが作成して，クライアント２０−１とアプリケーションサーバ３０−２に与える方法でも良い。

クライアント２０−１の通信ログ記録部２４は，Ｓ１０５において受信した通信開始応答が，通信開始要求を受け入れるものであって，セキュア通信セッションが確立すると，通信開始の通信ログ（図５）を作成し，さらに，セキュア通信部２２を通過する通信データを監視を開始することで，セキュア通信セッションを介した通信中の通信ログの記録を開始する（Ｓ１０６）。

セッション管理サーバ４０−１の通信ログ記録部４２は，通信開始・終了転送処理部４１の処理を監視しており，Ｓ１０１とＳ１０５の処理が行われると，図５に示す通信開始時の通信ログ（通信開始or終了識別情報５７５に，通信開始，と記載された通信ログ）を作成する（Ｓ１０７）。その後，セッション管理サーバ４０−１の通信ログ送信部４３は，図９に示す処理により，セキュア通信部４５を介して，通信開始の通信ログをログ管理サーバ５０−１へ送信する。

セッション管理サーバ４０−２の通信ログ記録部４２も同様に，通信開始・終了転送処理部４１の処理を監視しており，Ｓ１０２とＳ１０４の処理が行われると，図５に示す通信開始時の通信ログ（通信開始or終了識別情報５７５に，通信開始，と記載された通信ログ）を作成する（Ｓ１０８）。その後，セッション管理サーバ４０−２の通信ログ送信部４３は，図９に示す処理により，セキュア通信部４５を介して，通信開始の通信ログをログ管理サーバ５０−２へ送信する。

アプリケーションサーバ３０−２の通信ログ記録部２４は，Ｓ１０３において，セキュア通信セッションを確立させる通信開始応答を送信したら，通信開始の通信ログ（図５）を作成し，さらに，セキュア通信部２２を通過する通信データを監視を開始することで，セキュア通信セッションを介した通信中の通信ログの記録を開始する（Ｓ１０９）。

その後，クライアント２０−１とアプリケーションサーバ３０−２の通信ログ記録部２４は，その間で確立されたセキュア通信の通信ログ（図６）をそれぞれ記録する。

図８に示すように，クライアント２０−１とアプリケーションサーバ３０−２は，セキュア通信が終了する際に，セッション管理サーバ４０−１とセッション管理サーバ４０−２とを介して通信の終了処理を行う。

クライアント２０の通信開始・終了処理部２３は，セッション管理サーバとのセキュア通信部２１を介して，通信終了要求をセッション管理サーバ４０−１に送信し，セッション管理サーバ４０−１の通信開始・終了転送処理部４１は，セキュア通信部４５を介してこれを受信する（Ｓ１１０）。

セッション管理サーバ４０−１の通信開始・終了転送処理部４１は，受信した通信終了要求をセキュア通信部４５を介して，セッション管理サーバ４０−２に転送し，セッション管理サーバ４０−２の通信開始・終了転送処理部４１は，セキュア通信部４５を介してこれを受信する（Ｓ１１１）。

セッション管理サーバ４０−２の通信開始・終了転送処理部４１は，受信した通信終了要求をセキュア通信部４５を介して，アプリケーションサーバ３０−２に転送し，アプリケーションサーバ３０−２の通信開始・終了処理部２３は，セッション管理サーバとのセキュア通信部２１を介してこれを受信する（Ｓ１１２）。

アプリケーションサーバ３０−２の通信開始・終了処理部２３は，通信の終了を受け付けると，通信終了応答をセッション管理サーバとのセキュア通信部２１を介してセッション管理サーバ４０−２へ送信し，セッション管理サーバ４０−２の通信開始・終了転送処理部４１は，セキュア通信部４５を介してこれを受信する（Ｓ１１３）。

セッション管理サーバ４０−２の通信開始・終了転送処理部４１は，受信した通信開始応答をセキュア通信部４５を介して，セッション管理サーバ４０−１に転送し，セッション管理サーバ４０−１の通信開始・終了転送処理部４１は，セキュア通信部４５を介してこれを受信する（Ｓ１１４）。

セッション管理サーバ４０−１の通信開始・終了転送処理部４１は，受信した通信開始要求をセキュア通信部４５を介して，クライアント２０−１に転送し，クライアント２０−１の通信開始・終了処理部２３は，セッション管理サーバとのセキュア通信部２１を介してこれを受信する（Ｓ１１５）。

アプリケーションサーバ３０−２は，Ｓ１１３において通信終了応答の送信後，セキュア通信部２２に保管しているクライアント２０−１とアプリケーションサーバ３０−２の間のセキュア通信ための設定情報や鍵を削除する。クライアント２０−１は，Ｓ１１５において通信終了応答を受信すると，セキュア通信部２２に保管しているクライアント２０−１とアプリケーションサーバ３０−２の間のセキュア通信ための設定情報や鍵を削除する。これらの処理により，クライアント２０−１とアプリケーションサーバ３０−２の間で確立したセキュア通信路が削除（セキュア通信セッションが終了）される。

クライアント２０−１の通信ログ記録部２４は，Ｓ１１５において通信終了応答を受信すると，Ｓ１０６に開始した通信中の通信ログの記録を終了し，さらに，通信終了時の通信ログ（通信開始or終了識別情報５７５欄に，通信終了と記載された）を作成する（Ｓ１１６）。クライアント２０−１の通信ログ記録部２４は，この段階で，通信中の通信ログと通信終了時の通信ログを一時保管している状態となる。

また，アプリケーションサーバ３０−２の通信ログ記録部２４は，Ｓ１１３において通信終了応答を送信すると，Ｓ１０９に開始した通信中の通信ログの記録を終了し，さらに，通信終了時の通信ログ（通信開始or終了識別情報５７５欄に，通信終了と記載された）を作成する（Ｓ１１９）。クライアント２０−１の通信ログ記録部２４は，この段階で，通信中の通信ログと通信終了の通信ログを一時保管している状態となる。

セッション管理サーバ４０−１の通信ログ記録部４２は，Ｓ１１５において通信終了応答を送信すると，Ｓ１０７に対応する通信終了時の通信ログ（通信開始or終了識別情報５７５欄に，通信終了と記載された）を作成する（Ｓ１１７）。この段階で，セッション管理サーバ４０−１の通信ログ記録部４２は，図７と図８に示したセキュア通信セッションに対する通信終了時の通信ログを一時保管している状態となる。

また，セッション管理サーバ４０−２の通信ログ記録部４２は，Ｓ１１４において通信終了応答を送信すると，Ｓ１０８に対応する通信終了時の通信ログ（通信開始or終了識別情報５７５欄に，通信終了と記載された）を作成する（Ｓ１１８）。この段階で，セッション管理サーバ４０−２の通信ログ記録部４２は，図７と図８に示したセキュア通信セッションに対する通信終了の通信ログを一時保管している状態となる。

なお，クライアント２０−１の通信ログ記録部２４は，通信開始処理から通信終了処理までの間の通信中の通信ログの記録開始と終了を，Ｓ１０６とＳ１１６をきっかけとして行っているが，別の方法もある。

例えば，クライアント２０−１は，Ｓ１０６とＳ１１６を行わずに，繰り返し（たとえば，ある一定期間毎に定期的に）通信中の通信ログを生成することもできる。その場合，クライアント２０−１の通信ログ記録部２４は，ある一定期間の間に，セキュア通信が行われれば，その通信に対する通信中の通信ログを記録し，セキュア通信が行われなければ，空の通信中の通信ログを記録する（あるいは通信ログを記録しない）。アプリケーションサーバ３０−２も同様の処理を行うことができる。

また，クライアント２０−１の通信ログ記録部２４やアプリケーションサーバ３０−２の通信ログ記録部２４は，図７の処理により確立された通信セッション以外の通信路を介した通信ログを記録してもよい。

例えば，クライアント２０−１は，Ｓ１００からの一連の処理を行わずに，セッション管理サーバ４０を介さずに確立したアプリケーションサーバ３０−１との通信に対する通信中の通信ログを定期的な通信ログ記録により記録してもよい。この場合，図７の処理により確立したセキュア通信路を利用した通信か，それ以外のセッション管理サーバ４０を介さない通信か，を識別する情報を暗号化通信か否かのフラグ５８５に記載すればよい。

図９は，セッション管理サーバ４０が，Ｓ１０７やＳ１１７で作成した通信開始・終了の通信ログをログ管理サーバ５０−１に送信するシーケンス図である。

セッション管理サーバ４０−１の通信ログ送信部４３は，Ｓ１０７で図５の通信開始時の通信ログ（通信開始or終了識別情報５７５欄に，通信開始と記載された）を作成すると，セキュア通信部４５を介してログ管理サーバ５０−１へ送信し，ログ管理サーバ５０−１の通信ログ管理部５６は，セキュア通信部５１を介してこれを受信する（Ｓ２００）。

ログ管理サーバ５０−１の通信ログ管理部５６は，通信ログ５７に受信した通信開始の通信ログを保管し（Ｓ２０１），セキュア通信部５１を介して保管完了をセッション管理サーバ４０−１に通知し，セッション管理サーバ４０−１の通信ログ送信部４３は，セキュア通信部４５を介してこれを受信する（Ｓ２０３）。

セッション管理サーバ４０−１の通信ログ送信部４３は，Ｓ１１５で図５の通信終了ログ（通信開始or終了識別情報５７５欄に，通信終了と記載された）を作成すると，セキュア通信部４５を介してログ管理サーバ５０−１へ送信し，ログ管理サーバ５０−１の通信ログ管理部５６は，セキュア通信部５１を介してこれを受信する（Ｓ２１０）。

ログ管理サーバ５０−１の通信ログ管理部５６は，通信ログ５７に受信した通信終了の通信ログを保管し（Ｓ２１１），セキュア通信部５１を介して保管完了をセッション管理サーバ４０−１に通知し，セッション管理サーバ４０−１の通信ログ送信部４３は，セキュア通信部４５を介してこれを受信する（Ｓ２１３）。

なお，上記説明において，図９におけるセッション管理サーバ４０−１は，Ｓ１０７やＳ１１７により通信開始や終了の通信ログが作成される毎に通信ログを送信すると説明したが，別のタイミング，例えば，定期的にまとめて，通信開始や終了の通信ログをログ管理サーバ５０−１に送信してもよい。

また，セッション管理サーバ４０−２がログ管理サーバ５０−２に通信開始や終了の通信ログを送信する場合にも同様の処理を行う。

図１０は，クライアント２０−１の通信ログ記録部２４が記録した通信開始や通信終了や通信中の通信ログをログ管理サーバ５０−１に送信する処理シーケンスを示した図である。

クライアント２０−１は，Ｓ１１６で通信ログの記録を終了すると，Ｓ１２０からＳ１２３の処理を行うことで，ログ管理サーバ５０−１との間で，セッション管理サーバ４０−１を介して認証を行い，セッション管理サーバ４０−１を介さないセキュア通信路を確立し，確立した通信路を介して通信ログを送信する。

すなわち，クライアント２０−１は，セッション管理サーバ４０−１を介してログ管理サーバ５０−１に，通信開始要求を行い（Ｓ１２０，Ｓ１２１），ログ管理サーバ５０−１は，セッション管理サーバ４０−１を介して，クライアント２０−１に応答する（Ｓ１２２，Ｓ１２３）。これらの処理は，図７の通信開始処理と同様の処理である。クライアント２０−１とログ管理サーバ５０−１は，必要に応じてセッション管理サーバ４０−１との間で認証を行う。

クライアント２０−１の通信ログ送信部２５は，通信ログ記録部２４が一時保管している通信ログをセキュア通信部２２を介して，Ｓ１２０からＳ１２３で確立したセキュア通信路を利用して，ログ管理サーバ５０−１に送信し，ログ管理サーバ５０−１の通信ログ管理部５６は，セキュア通信部５２を介してこれを受信する（Ｓ３０１）。

ログ管理サーバ５０−１の通信ログ管理部５６は，通信ログ５８に受信した通信開始や通信終了や通信中の通信ログを保管し（Ｓ３０２），セキュア通信部５１を介して保管完了をクライアント２０−１に通知し，クライアント２０−１の通信ログ送信部２５は，セキュア通信部２２を介してこれを受信する（Ｓ３０３）。

なお，図１０の処理では，Ｓ１２０からＳ１２３の処理により，セキュア通信路を確立し，確立したセキュア通信路を利用して通信ログを送信しているが，すでにクライアント２０−１とログ管理サーバ５０−１の間でセキュア通信路が確立している場合には，Ｓ１２０からＳ１２３までの処理を省略してもよい。

また，アプリケーションサーバ３０−１がログ管理サーバ５０−１に通信ログを送信する場合や，クライアント２０−２がログ管理サーバ５０−２に通信ログを送信する場合や，アプリケーションサーバ３０−２がログ管理サーバ５０−２に通信ログを送信する場合も，同様の処理を行う。

図１１は，図１０に代わる別の通信ログ送信方法について示すシーケンス図であり，クライアント２０−１が，セッション管理サーバ４０−１を介してログ管理サーバ５０−１に通信ログを送信するシーケンスを示す。

クライアント２０−１の通信ログ送信部２５は，セキュア通信部２１を介して，通信ログをセッション管理サーバ４０−１に送信し，セッション管理サーバ４０−１の転送処理部４４は，セキュア通信部４５を介してこれを受信する（Ｓ３１０）。

セッション管理サーバ４０−１の転送処理部４４は，受信した通信終了要求をセキュア通信部４５を介して，ログ管理サーバ５０−１に転送し，ログ管理サーバ５０−１の通信ログ管理部５６は，セキュア通信部５１を介してこれを受信する（Ｓ３１１）。

ログ管理サーバ５０−１の通信ログ管理部５６は，通信ログ５８に受信した通信開始や通信終了や通信中の通信ログを保管し（Ｓ３１２），セキュア通信部５１を介して保管完了をセッション管理サーバ４０−１に通知し，セッション管理サーバ４０−１の転送処理部４４は，セキュア通信部４５を介してこれを受信する（Ｓ３１３）。

セッション管理サーバ４０−１の転送処理部４４は，受信した保管完了通知をセキュア通信部４５を介して，クライアント２０−１に転送し，クライアント２０−１の通信ログ送信部２５は，セッション管理サーバとのセキュア通信部２１を介してこれを受信する（Ｓ３１４）。

なお，図１１における各装置間のやり取りは，以下の，（１）と（２）の箇所に確立されたセキュア通信路（暗号化通信路）を利用して（具体的には，すでにセキュア通信路が確立されている場合はそれを利用し，未だ確立されていない場合は新たに確立して），メッセージとして送受信する。
（１）クライアント２０−１とセッション管理サーバ４０−１との間
（２）セッション管理サーバ４０−１とログ管理サーバ５０−１との間
また，図１１の例における，各装置間の以下の，ａ），ｂ）のやり取りは，例えば上記セキュア通信路を利用したSIP(Session Initiation Protocol)のメッセージの一部として送ることができる。
（ａ）通信ログ送信（Ｓ３１０，Ｓ３１１）
（ｂ）保管完了通知（Ｓ３１３，Ｓ３１４）
また，アプリケーションサーバ３０−１がログ管理サーバ５０−１に通信ログを送信する場合や，クライアント２０−２がログ管理サーバ５０−２に通信ログを送信する場合や，アプリケーションサーバ３０−２がログ管理サーバ５０−２に通信ログを送信する場合も，同様の処理を行う。

図７と図８，また，図１０や図１１のシーケンスでは，クライアント２０−１が通信セッションの確立をきっかけとして通信ログを記録してログ管理サーバに送信しているが，別の方法として，図１２や図１３のシーケンス図に示すように，ログ管理サーバ５０の通信ログ記録要求の指示により，クライアント２０−１やアプリケーションサーバ３０−１やクライアント２０−２やアプリケーションサーバ３０−２は，通信ログを記録し，ログ管理サーバに通信ログを送信してもよい。

ログ管理サーバ５０は，図１２の通信ログ記録要求（Ｓ４０１）において，通信ログ記録の詳細な内容を指定できる。例えば，確立している通信セッションの通信元・通信先情報５８３や通信先ＵＲＬ５８４の内容を指定することにより，ある特定の通信先に対する通信ログの記録を指示することができる。

また，例えば，ログ記録開始・終了時刻５８７の内容を指定することにより，通信中の通信ログを記録したい期間を指定することができる。

また，例えば，通信データ情報５８６の通信データ内容の記録を指定することにより，実際の通信データまでも記録することができる。

このような，図１２や図１３に示す通信ログ記録要求と通信ログ送信の処理により，ログ管理サーバは，必要な通信中の通信ログの記録をクライアント２０やアプリケーションサーバ３０に，任意のタイミングで指示することができる。

例えば，通信を監視している別の装置が，有る特定の通信元と有る特定の通信先の通信について，その詳細を調査する必要がある旨を，ログ管理サーバ５０−１に伝えた場合に，ログ管理サーバ５０−１は，その時点からの詳細な通信ログの記録を，図１２あるいは図１３の処理により，クライアント２０あるいはアプリケーションサーバ３０に指示することで，ログ管理サーバは，その通信の詳細な通信ログを取得することができる。

ログ管理サーバ５０がクライアント２０やアプリケーションサーバ３０に通信ログの記録を要求する場合には，本システムでは，図１２あるいは図１３のいずれかの処理を行う。以下，それぞれの処理について説明する。

図１２は，ログ管理サーバ５０−１がクライアント２０−１に通信中の通信ログの記録を要求するシーケンスを示している。

ログ管理サーバ５０−１は，Ｓ１３０からＳ１３３の処理を行うことで，クライアント２０−１との間で，セッション管理サーバ４０−１を介して認証を行って，セッション管理サーバ４０−１を介さないセキュア通信路を確立し，クライアント２０−１に，確立したセキュア通信路を介して通信中の通信ログの記録を要求する。

ログ管理サーバ５０−１は，セッション管理サーバ４０−１を介してクライアント２０−１に，通信開始要求を行い（Ｓ１３０，Ｓ１３１），クライアント２０−１は，セッション管理サーバ４０−１を介して，ログ管理サーバ５０−１に応答する（Ｓ１３２，Ｓ１３３）。これらの処理は，図７の通信開始処理と同様の処理である。

ログ管理サーバ５０−１の通信ログ記録要求部５４は，通信ログ記録要求を，セキュア通信部５２を介して，Ｓ１３０からＳ１３３で確立したセキュア通信路を利用して，クライアント２０−１に送信し，クライアント２０−１の通信ログ記録部２４は，セキュア通信部２２を介してこれを受信する（Ｓ４０１）。

クライアント２０−１の通信ログ記録部２４は，Ｓ４０１の通信ログ記録要求に応じて通信中の通信ログの記録を開始し（Ｓ４０１），通信セッションが終了すると，図１０と同様の処理により，クライアント２０−１はログ管理サーバ５０−１に通信ログを送信し，ログ管理サーバ５０−１は受信した通信ログを保管する（Ｓ３０１からＳ３０３）。

図１３は，ログ管理サーバ５０−１がクライアント２０−１に通信中の通信ログの記録を要求する別のシーケンスを示している。

ログ管理サーバ５０−１の通信ログ記録要求部５４は，通信中の通信ログ記録要求を，セキュア通信部５２を介して，セッション管理サーバ４０−１に送信し，セッション管理サーバ４０−１の転送処理部４４は，セキュア通信部４５を介してこれを受信する（Ｓ４１０）。

セッション管理サーバ４０−１の転送処理部４４は，受信した通信ログ記録要求を，セキュア通信部４５を介して，クライアント２０−１に転送し，クライアント２０−１の通信ログ記録部２４は，セッション管理サーバとのセキュア通信部２１を介してこれを受信する。

クライアント２０−１の通信ログ記録部２４は，Ｓ４１０，Ｓ４１１の通信ログ記録要求に応じた通信中の通信ログの記録を開始し（Ｓ４１２），通信セッションが終了すると，図１１と同様の処理により，クライアント２０−１はログ管理サーバ５０−１に通信ログを送信し，ログ管理サーバ５０−１は受信した通信ログを保管する（Ｓ３１０からＳ３１４）。

なお，図１３における各装置間のやり取りは，以下の，（１）と（２）の箇所に確立されたセキュア通信路（暗号化通信路）を利用して（具体的には，すでにセキュア通信路が確立されている場合はそれを利用し，未だ確立されていない場合は新たに確立して），メッセージとして送受信する。
（１）クライアント２０−１とセッション管理サーバ４０−１との間
（２）セッション管理サーバ４０−１とログ管理サーバ５０−１との間
また，図１３の例における，各装置間の以下の，ａ）からｃ）のやり取りは，例えば上記セキュア通信路を利用したSIP(Session Initiation Protocol)のメッセージの一部として送ることができる。
（ａ）通信ログ記録要求（Ｓ４１０，Ｓ４１１）
（ｂ）通信ログ送信（Ｓ３１０，Ｓ３１１）
（ｃ）保管完了通知（Ｓ３１３，Ｓ３１４）
図１４と図１５は，ログ管理サーバ５０−１がクライアント２０−１に通信ログの記録設定を行うためのシーケンスを示している。通信ログの記録設定とは，図５，図６に示す通信ログの記録に関して，一部の通信を記録の対象とするように設定したり，通信データ情報５８６の通信データの内容までも記録するか否かを設定したりするものである。

以下，通信ログの記録設定の具体例について説明する。

例えば，通信元・通信先情報５７３，５８３や通信先ＵＲＬ５７４，５８４に，特定の通信元や通信先に対する通信ログを記録する，と設定することにより，ログ管理サーバ５０は，ある特定の通信元や通信先に対する通信ログを記録することができる。すなわち，不必要な通信ログを記録，送信しないため，メモリや通信トラフィックを節約できる。

また，例えば，通信元・通信先情報５７３，５８３や通信先ＵＲＬ５７４，５８４に関して，特定の通信元や通信先に対する通信ログを記録しないと設定することにより，ログ管理サーバ５０は，ある特定の通信元や通信先に対する通信ログ記録を除外することができる。一例としては，DNSサーバに対する通信ログや，ウィルス定義ファイル提供サーバへの通信ログは記録しない，といった，メモリや通信トラフィックを節約する使い方が考えられる。

さらに，例えば通信ログを記録したい期間を指定しておくこともできる。一例としては，毎日同じ時刻に行われるはずの通信を監視するために，その期間を指定することができる。

また，例えば，特定の通信元と特定の通信先の一方あるいは両方を指定し，その通信に関して，通信データ情報５８６の通信データ内容を記録するか否かを指定することもできる。その場合，特定の通信に対して，より詳細な通信ログ（通信内容を含んだ通信ログ）を記録するように指定することができる。

以下，図１４，図１５の処理について説明する。

図１４は，ログ管理サーバ５０−１が，クライアント２０−１と暗号化通信路を確立し，クライアント２０−１に通信ログの記録設定をさせるシーケンスを示している。

ログ管理サーバ５０−１は，セッション管理サーバ４０−１を介してクライアント２０−１に，通信開始要求を行い（Ｓ１３０，Ｓ１３１），クライアント２０−１は，セッション管理サーバ４０−１を介して，ログ管理サーバ５０−１に応答する（Ｓ１３２，Ｓ１３３）。これらの処理は，図１２と同様の処理である。

ログ管理サーバ５０−１の通信ログ記録設定要求部５３は，通信ログ記録設定要求を，セキュア通信部５２を介して，Ｓ１３０からＳ１３３で確立したセキュア通信路を利用して，クライアント２０−１に送信し，クライアント２０−１の通信ログ記録部２４は，セキュア通信部２２を介してこれを受信する（Ｓ５００）。

クライアント２０−１の通信ログ記録部２４は，Ｓ５００の通信ログ記録要求に応じた通信ログ記録の設定を行う（Ｓ５０１）。なお，Ｓ５０１の通信ログ記録設定の設定に関する詳細は，上述したとおりである。

クライアント２０−１の通信ログ記録部２４は，セキュア通信部２２を介して，設定完了通知をログ管理サーバ５０−１に送信し，ログ管理サーバ５０−１の通信ログ記録設定要求部５３がこれを受信する（Ｓ５０２）。

この処理の後に行われるセキュア通信については（本ステップの後に図７，図８の処理が行われた場合には），クライアント２０−１は，Ｓ５０１の設定にしたがって，通信ログを記録する。

図１５は，ログ管理サーバ５０−１が，クライアント２０−１に通信ログの記録設定をさせる別のシーケンスを示している。

ログ管理サーバ５０−１の通信ログ記録設定要求部５３は，通信ログ記録設定要求を，セキュア通信部５１を介して，セッション管理サーバ４０−１に送信し，セッション管理サーバ４０−１の転送処理部４４は，セキュア通信部４５を介してこれを受信する（Ｓ５１０）。

セッション管理サーバ４０−１の転送処理部４４は，受信した通信ログ記録設定要求を，セキュア通信部４５を介して，クライアント２０−１に転送し，クライアント２０−１の通信ログ記録部２４は，セッション管理サーバとのセキュア通信部２１を介してこれを受信する。

クライアント２０−１の通信ログ記録部２４は，Ｓ５１０の通信ログ記録要求に記載された通信ログの記録設定を行う（Ｓ５１２）。なお，Ｓ５０１の通信ログ記録設定の設定に関する詳細は，上述したとおりである。

クライアント２０−１の通信ログ記録部２４は，セッション管理サーバとのセキュア通信部２１を介して，設定完了通知をセッション管理サーバ４０−１に送信し，セッション管理サーバ４０−１の転送処理部４４がこれを受信する（Ｓ５１３）。

セッション管理サーバ４０−１の転送処理部４４は，セキュア通信部４５を介して，設定完了通知をログ管理サーバ５０−１に転送し，ログ管理サーバ５０−１の通信ログ記録設定要求部５３がこれを受信する（Ｓ５１４）。

なお，図１５における各装置間のやり取りは，以下の，（１）と（２）の箇所に確立されたセキュア通信路（暗号化通信路）を利用して（具体的には，すでにセキュア通信路が確立されている場合はそれを利用し，未だ確立されていない場合は新たに確立して），メッセージとして送受信する。
（１）クライアント２０−１とセッション管理サーバ４０−１との間
（２）セッション管理サーバ４０−１とログ管理サーバ５０−１との間
また，図１５の例における，各装置間の以下の，ａ），ｂ）のやり取りは，例えば上記セキュア通信路を利用したSIP(Session Initiation Protocol)のメッセージの一部として送ることができる。
（ａ）通信ログ記録設定要求（Ｓ５１０，Ｓ５１１）
（ｂ）設定完了通知（Ｓ５１３，Ｓ５１４）
この処理の後に行われるセキュア通信については（本ステップの後に図７，図８の処理が行われた場合には），クライアント２０−１は，Ｓ５１２の設定にしたがって，通信ログを記録する。

図１６と図１７は，クライアント２０−１がログ管理サーバ５０−１に問い合わせて，自装置の通信ログを参照するシーケンスを示している。クライアント２０−１は，作成した自身の通信ログを，ログ管理サーバ５０に送信した後は保存しておらず，ログ管理サーバ５０−１が長期的に保存している。

図１６，１７に示すシーケンスにより，クライアント２０−１は，自装置の過去の通信履歴を参照できる。

また，セッション管理サーバ４０が作成した通信ログもログ管理サーバ５０−１に保管されており，クライアント２０−１はこれも参照できる。

なお，ログ管理サーバ５０−１において，通信ログ５７や通信ログ５８に対して適切な権限設定を行うことにより，クライアント２０−１は，ログ管理サーバ５０−１に保管された他のクライアント２０が作成した通信ログや他のログ管理サーバ５０が作成した通信ログを参照できるようにしてもよい。

以下，図１６，図１７の処理について説明する。

図１６は，クライアント２０−１が，ログ管理サーバ５０−１と暗号化通信路を確立し，ログ管理サーバ５０−１に保管された通信ログを参照するシーケンスを示している。

クライアント２０−１は，セッション管理サーバ４０−１を介してログ管理サーバ５０−１に，通信開始要求を行い（Ｓ１２０，Ｓ１２１），ログ管理サーバ５０−１は，セッション管理サーバ４０−１を介して，クライアント２０−１に応答する（Ｓ１２２，Ｓ１２３）。これらの処理は，図１０と同様の処理である。
クライアント２０−１の通信ログ参照要求部２６は，通信ログ参照要求を，セキュア通信部５２を介して，Ｓ１３０からＳ１３３で確立したセキュア通信路を利用して，ログ管理サーバ５０−１に送信し，ログ管理サーバ５０−１の通信ログ管理部５６は，セキュア通信部５２を介してこれを受信する（Ｓ６００）。

ログ管理サーバ５０−１の通信ログ管理部５６は，Ｓ６００の通信ログ参照要求に応じた通信ログを通信ログ５７や通信ログ５８から抽出する（Ｓ６０１）。

ログ管理サーバ５０−１の通信ログ管理部５６は，セキュア通信部５２を介して，抽出した通信ログをクライアント２０−１に送信し，クライアント２０−１の通信ログ参照要求部２６がこれを受信する（Ｓ６０２）。

図１７は，クライアント２０−１が，ログ管理サーバ５０−１に保管された通信ログを参照する別のシーケンスを示している。

クライアント２０−１の通信ログ参照要求部２６は，通信ログ参照要求を，セッション管理サーバとのセキュア通信部２１を介して，セッション管理サーバ４０−１に送信し，セッション管理サーバ４０−１の転送処理部４４は，セキュア通信部４５を介してこれを受信する（Ｓ６１０）。

セッション管理サーバ４０−１の転送処理部４４は，受信した通信ログ参照要求を，セキュア通信部４５を介して，クライアント２０−１に転送し，ログ管理サーバ５０−１の通信ログ管理部５６は，セッション管理サーバとのセキュア通信部２１を介してこれを受信する。

ログ管理サーバ５０−１の通信ログ管理部５６は，Ｓ６００の通信ログ参照要求に応じた通信ログを通信ログ５７や通信ログ５８から抽出する（Ｓ６１２）。

ログ管理サーバ５０−１の通信ログ管理部５６は，セキュア通信部５１を介して，抽出した通信ログをセッション管理サーバ４０−１に送信し，セッション管理サーバ４０−１の転送処理部４４がこれを受信する（Ｓ６１３）。

セッション管理サーバ４０−１の転送処理部４４は，セキュア通信部４５を介して，受信した通信ログをクライアント２０−１に転送し，クライアント２０−１の通信ログ参照要求部２６がこれを受信する（Ｓ６１４）。

なお，図１７における各装置間のやり取りは，以下の，（１）と（２）の箇所に確立されたセキュア通信路（暗号化通信路）を利用して（具体的には，すでにセキュア通信路が確立されている場合はそれを利用し，未だ確立されていない場合は新たに確立して），メッセージとして送受信する。
（１）クライアント２０−１とセッション管理サーバ４０−１との間
（２）セッション管理サーバ４０−１とログ管理サーバ５０−１との間
また，図１７の例における，各装置間の以下の，ａ），ｂ）のやり取りは，例えば上記セキュア通信路を利用したSIP(Session Initiation Protocol)のメッセージを利用して送ることができる。
（ａ）通信ログ参照要求（Ｓ６１０，Ｓ６１１）
（ｂ）通信ログ応答（Ｓ６１３，Ｓ６１４）
次に，図１８，図１９の処理について説明する。

図７，図８に示すようにクライアント２０−１がアプリケーションサーバ３０−２と通信すると，クライアント２０−１とアプリケーションサーバ３０−２でそれぞれ通信中の通信ログが記録され（Ｓ１１６，Ｓ１１９），セッション管理サーバ４０−１とセッション管理サーバ４０−２で通信開始の通信ログと通信終了の通信ログがそれぞれ記録される（Ｓ１０７，Ｓ１０８，Ｓ１１７，Ｓ１１８）。

セッション管理サーバ４０−１で記録された通信ログは，図９の処理により，セッション管理サーバ４０−１からログ管理サーバ５０−１に送られる。また，セッション管理サーバ４０−２で記録された通信ログは，図９と同様の処理により，セッション管理サーバ４０−２からログ管理サーバ５０−２に送られる。

また，クライアント２０−１で記録された通信ログは，図１０あるいは図１１の処理により，ログ管理サーバ５０−１に送られる。また，アプリケーションサーバ３０−２で記録された通信ログは，図１０あるいは図１１と同様の処理（図１０，図１１のクライアント２０−１をアプリケーションサーバ３０−２に読み換え，ログ管理サーバ５０−１をログ管理サーバ５０−２に読み換えた処理）により，ログ管理サーバ５０−２に送られる。

このように，クライアント２０−１からアプリケーションサーバ３０−２に対する通信に関して，ログ管理サーバ５０−１には，クライアント２０−１とセッション管理サーバ４０−１から得られた通信ログが保管され，ログ管理サーバ５０−２には，アプリケーションサーバ３０−２とセッション管理サーバ４０−２から得られた通信ログが保管される。つまり，複数のドメインをまたがる通信においては，クライアント２０とアプリケーションサーバ３０間の通信に関して，それぞれのドメインのログ管理サーバに通信ログが分散して保管されている。これらの分散している通信ログの整合性があることを確認できれば，通信ログ全体として信頼できることが確認できる。

図１８は，ログ管理サーバ５０−１とログ管理サーバ５０−２に保管された通信ログの整合性を検証する処理を示したシーケンスであり，図１９には，図１８に代わる別のシーケンスを示す。

図１８，図１９は，クライアント２０−１とアプリケーションサーバ３０−２の間の通信に関して，クライアント２０−１がその通信ログの整合性検証を，自ドメインＡのログ管理サーバ５０−１に要求すると，ログ管理サーバ５０−１が必要な通信ログを他のドメインＢのログ管理サーバ５０−２から取得し，比較検証（Ｓ７１３あるいはＳ７２９）することにより整合性を検証し，クライアント２０−１に応答するシーケンスを示している。

なお，ここでは，クライアント２０−１が通信ログの整合性検証を，自ドメインＡのログ管理サーバ５０−１に要求する場合を例示しているが，クライアント２０−１の代わりに，他の通信装置が通信ログの整合性検証を要求してもよい。その場合は，図１８，図１９における，クライアント２０−１を他の通信装置に置き換えた処理を行えばよい。

以下，図１８のシーケンスについて説明する。

図１８では，次の処理について示している。
（１）クライアント２０−１が，ログ管理サーバ５０−１の間でセッション管理サーバ４０−１を介してセキュア通信路を確立（Ｓ１２０からＳ１２３）。
（２）クライアント２０−１は，（１）で確立したセキュア通信路を用いて，ログ管理サーバ５０−１に整合性検証を要求（Ｓ７００）。
（３）ログ管理サーバ５０−１が，セッション管理サーバ４０−１とセッション管理サーバ４０−２を介してログ管理サーバ５０−２との間でセキュア通信路を確立（Ｓ１４０からＳ１４５）。
（４）ログ管理サーバ５０−１が，（３）で確立したセキュア通信路を用いて，５０２から通信ログ取得（Ｓ７１０からＳ７１２）。
（５）ログ管理サーバ５０−１は，自装置が保管している通信ログと，（４）で取得したログ管理サーバ５０−２が保管している通信ログを比較検証し（Ｓ７１３），検証結果をクライアント２０−１に応答（Ｓ７１４）。

Ｓ７１３における整合性の確認とは，別々に生成された，複数のログの内容が整合しているか否かを判定すること，であり，整合していることが確認できれば，通信ログがより正確であることを示すことができる。例えば企業において，通信に関する事実確認を，企業外の第三者から要求された場合に，通信を行った（あるいは行っていない）という事実を証明するために，「整合性のある通信ログ」を使うことができる。

次に，上記（１）から（５）の処理の詳細について示す。
（１）図１０のＳ１２０からＳ１２３と同様の処理により，クライアント２０−１とログ管理サーバ５０−１の間でセキュア通信路を確立する。
（２）クライアント２０−１の整合性検証要求部２７は，セキュア通信部２２を介して，ログ管理サーバ５０−１に整合性検証要求を行う（Ｓ７００）。
（３）ログ管理サーバ５０−１は，セッション管理サーバ４０−１，セッション管理サーバ４０−２を介してログ管理サーバ５０−２に通信開始要求を行い（Ｓ１４０，Ｓ１４１，Ｓ１４２），ログ管理サーバ５０−２は，セッション管理サーバ４０−２，セッション管理サーバ４０−１を介して，ログ管理サーバ５０−１に応答する（Ｓ１４３，Ｓ１４４，Ｓ１４５）。この処理により，ログ管理サーバ５０−１とログ管理サーバ５０−２の間でセキュア通信路を確立する。
（４）ログ管理サーバ５０−１は，（２）の整合性検証要求の応答に必要なクライアント２０−１とアプリケーションサーバ３０−２間の通信ログをログ管理サーバ５０−２に要求し（Ｓ７１０），ログ管理サーバ５０−２は要求された通信ログを抽出すると（Ｓ７１１），ログ管理サーバ５０−１にこれを応答する（Ｓ７１２）。
（５）ログ管理サーバ５０−１は，整合性検証に必要な，ログ管理サーバ５０−２から受信した通信ログと，自装置が保管している通信ログを比較検証（Ｓ７１３）する。

比較検証処理（Ｓ７１３）は，具体的には，クライアント２０−１とアプリケーションサーバ３０−２間の通信ログ（図５や図６に示される内容）の整合性があるか否かを判定する。比較検証処理（Ｓ７１３）の結果は，整合性の高さを値で示してもよいし，また，不整合がある場合には不整合箇所を抽出してもよい。

ログ管理サーバ５０−１は，比較検証処理（Ｓ７１３）の結果を，Ｓ１２０からＳ１２３で確立したセキュア通信路を介して，クライアント２０−１に送信する（Ｓ７１４）。

通信の開始時あるいは終了時の通信ログの比較検証処理（Ｓ７１３）では，例えば，クライアント２０−１からアプリケーションサーバ３０−２への通信の開始あるいは終了時に作成される図５に示す形式の４つの通信ログ，すなわち，
（１）クライアント２０−１が作成した通信ログ(通信元ＩＤがクライアント２０−１のＩＤで，通信先ＩＤがアプリケーションサーバ３０−２のＩＤ)と，
（２）セッション管理サーバ４０−１が作成した通信ログ(通信元ＩＤがクライアント２０−１のＩＤで，通信先ＩＤがアプリケーションサーバ３０−２のＩＤ)と，
（３）セッション管理サーバ４０−２が作成した通信ログ(通信元ＩＤがクライアント２０−１のＩＤで，通信先ＩＤがアプリケーションサーバ３０−２のＩＤ)と，
（４）アプリケーションサーバ３０−２が作成した通信ログ(通信元ＩＤがアプリケーションサーバ３０−２のＩＤで，通信先ＩＤがクライアント２０−１のＩＤ)とが，存在し，通信元アドレスと通信元ポート番号と，通信先アドレスと通信先ポート番号とが同じであり，通信先URLが同じであり（通信先URL情報が存在する場合），通信ログの時刻情報が同じ（あるいはある一定時刻以内の誤差）である場合に，整合しているとすることができる。

また，通信中の通信ログの比較検証処理（Ｓ７１３）では，例えば，クライアント２０−１からアプリケーションサーバ３０−２への通信中に作成される図６に示す形式の２種類の通信ログ，すなわち，
（１）クライアント２０−１が作成した通信ログ(通信元ＩＤがクライアント２０−１のＩＤで，通信先ＩＤがアプリケーションサーバ３０−２のＩＤ)と，
（２）アプリケーションサーバ３０−２が作成した通信ログ(通信元ＩＤがアプリケーションサーバ３０−２のＩＤで，通信先ＩＤがクライアント２０−１のＩＤ)と
が，存在し，通信元アドレスと通信元ポート番号と，通信先アドレスと通信先ポート番号とが同じであり，または，通信先URLが同じ（通信先URL情報が存在する場合）である場合に，a）２種類の通信ログにおける，ある時刻からある時刻までの通信バイト数の合計が同じ（あるいは，ある一定値以内の誤差）である場合に，整合していると判断しても良い。
また，b）２種類の通信ログにおける，通信データの内容を比較し，同一である場合に，整合していると判断しても良い。

また，クライアント２０−１やアプリケーションサーバ３０−２が定期的に図６に示す形式の通信ログを作成する場合に，クライアント２０−１とアプリケーションサーバ３０−２が生成した定期的な通信ログが存在しする場合に，整合しているとすることもできる。

図１９では，整合性検証に関して，図１８に代わる他の処理を例示している。
（１）クライアント２０−１は，セッション管理サーバ４０−１を介して，ログ管理サーバ５０−１に整合性検証を要求（Ｓ７２０，Ｓ７２１）する。
（２）ログ管理サーバ５０−１が，セッション管理サーバ４０−１，セッション管理サーバ４０−２を介して，ログ管理サーバ５０−２からログ管理サーバ５０−２が保管している通信ログを取得（Ｓ７２２からＳ７２８）する。
（３）ログ管理サーバ５０−１は，自装置が保管している通信ログと，（２）で取得したログ管理サーバ５０−２が保管している通信ログを比較検証し（Ｓ７２９），整合性の検証結果を，セッション管理サーバ４０−１経由でクライアント２０−１に応答する（Ｓ７３０，Ｓ７３１）。

図１９に例示する場合においても，比較検証処理（Ｓ７２９）は，図１８の例と同様の基準を用いても良い。

なお，図１９における各装置間のやり取りは，以下の，（１）から（４）の箇所に確立されたセキュア通信路（暗号化通信路）を利用して（具体的には，すでにセキュア通信路が確立されている場合はそれを利用し，未だ確立されていない場合は新たに確立して），メッセージとして送受信する。
（１）クライアント２０−１とセッション管理サーバ４０−１との間
（２）セッション管理サーバ４０−１とログ管理サーバ５０−１との間
（３）セッション管理サーバ４０−１とセッション管理サーバ４０−２との間
（４）セッション管理サーバ４０−１とログ管理サーバ５０−２との間
また，図１９の例における，各装置間の以下の，ａ）からｄ）のやり取りは，例えば上記セキュア通信路を利用したSIP(Session Initiation Protocol)のメッセージを利用して送ることができる。
（ａ）整合性検証要求（Ｓ７２０，Ｓ７２１）
（ｂ）通信ログ取得要求（Ｓ７２２，Ｓ７２３，Ｓ７２４）
（ｃ）通信ログ取得応答（Ｓ７２６，Ｓ７２７，Ｓ７２８）
（ｄ）整合性検証応答（Ｓ７３０，Ｓ７３１）
図１８の例では，セキュア通信通信路を新たに２つ（クライアント２０−１とログ管理サーバ５０−１の間と，ログ管理サーバ５０−１とログ管理サーバ５０−２の間）確立し，これらのセキュア通信通信路を利用して，整合性検証（Ｓ７００，Ｓ７１４）や通信ログ取得（Ｓ７１０，Ｓ７１２）のメッセージを送受信しているが，図１９の例では，新たにこれらのセキュア通信セッションを確立しなくても，上述のセキュア通信路がすでに確立している場合はこれらを利用できるため，通信セッションの数を削減できる。

上記各実施形態においては，通信元装置や通信先装置として，端末装置やサーバ装置を例示したが，これらに限定されることなく，異なるネットワークの境界にありこれらを接続するゲートウェイ装置などにも，上記実施形態を適用可能である。

また，上記各実施形態においては，通信元装置と通信先装置とが異なるネットワークドメインに属する場合を説明したが，これらに限定されることなく，同一ネットワークドメインに属していても良い。その場合は，一つのセッション管理サーバと一つのログ管理サーバが，それぞれ，上記実施形態における二つのセッション管理サーバと，二つのログ管理サーバの機能を備え，それらの処理を行う。

また，上記実施形態では，図１に示すような，ネットワークドメイン毎にログ管理サーバが備わっている構成における処理を例示したが，これに限定されるものではない。たとえば，ドメインＡとドメインＢとがイントラネットで接続される，企業内ネットワークのような，構成において，ログ管理サーバが，どちらのドメインにも所属しない構成であっても，各ドメイン内の装置からログを取得し，管理することによって本発明は適用可能である。

本発明の一実施形態に係る暗号通信システムの概略構成を例示する。 クライアント２０あるいはアプリケーションサーバ３０の詳細な機能構成を例示する。 セッション管理サーバ４０の詳細な機能構成を例示する。 ログ管理サーバ５０の詳細な機能構成を例示する。 通信開始・終了の通信ログのデータ構成を例示する。 クライアント２０やアプリケーションサーバ３０が作成する，通信中の通信ログのデータ構成を例示する。 クライアント２０がアプリケーションサーバ３０との間で通信開始処理を行い，通信ログを作成する処理シーケンスを例示する。 クライアント２０がアプリケーションサーバ３０との間で通信終了処理を行い，通信ログを作成する処理シーケンスを例示する。 セッション管理サーバ４０が，自装置が作成した通信開始と通信終了，それぞれの通信ログをログ管理サーバに送信する処理シーケンスを例示する。 クライアント２０が，作成した通信ログをログ管理サーバに送信する処理シーケンスを例示する。 クライアント２０が，作成した通信ログをログ管理サーバに送信する，他の処理シーケンスを例示する。 クライアント２０がログ管理サーバ５０から指示された通信ログを記録し，ログ管理サーバ５０に送信する処理シーケンスを例示する。 クライアント２０がログ管理サーバ５０から指示された通信ログを記録し，ログ管理サーバ５０に送信する他の処理シーケンスを例示する。 ログ管理サーバ５０が，クライアント２０に通信ログ記録の設定を行わせる処理シーケンスを例示する。 ログ管理サーバ５０が，クライアント２０に通信ログ記録の設定を行わせる，他の処理シーケンスを例示する。 クライアント２０が，ログ管理サーバ５０の通信ログを参照する処理シーケンスを例示する。 クライアント２０が，ログ管理サーバ５０の通信ログを参照する他の処理シーケンスを例示する。 ログ管理サーバ５０−１が，通信ログの整合性を検証する処理シーケンスを例示する。 ログ管理サーバ５０−１が，通信ログの整合性を検証する他の処理シーケンスを例示する。 クライアント２０，アプリケーションサーバ３０，セッション管理サーバ４０，ログ管理サーバ５０を実現するコンピュータのハードウェア構成を例示する。

符号の説明

１０：インターネット，１１：ドメインＡ，１２：ドメインＢ，２０：クライアント２１：セッション管理サーバ４０とのセキュア通信部２２：ログ管理サーバ５０，アプリケーションサーバ３０あるいはクライアント２０とのセキュア通信部２３：通信開始・終了処理部２４：通信ログ記録部２５：通信ログ送信部２６：通信ログ参照要求部２７：整合性検証要求部３０：アプリケーションサーバ４０：セッション管理サーバ４１：通信開始・終了転送処理部４２：通信ログ記録部４３：通信ログ送信部４４：通信ログ送信，通信ログ記録，通信ログ記録設定，通信ログ参照，整合性検証や通信ログ取得の，要求や応答の転送処理部４５：セキュア通信部５０：ログ管理サーバ５１：セッション管理サーバ４０とのセキュア通信部５２：クライアント２０，アプリケーションサーバ３０とのセキュア通信部５３：通信ログ記録設定要求部５４：通信ログ記録要求部５５：通信開始・終了処理部５６：通信ログ管理部５７：セッション管理サーバ４０の通信ログ５８：クライアント２０，アプリケーションサーバ３０の通信ログ。

Claims (6)

1. 複数のネットワークドメインから構成され，ネットワークドメイン１に，通信元装置と，当該ネットワークドメイン１内で行われる通信を管理するセッション管理サーバ１と，当該ネットワークドメイン１内で行われる通信を管理するログ管理サーバ１と，が所属し，ネットワークドメイン２に，通信先装置と，当該ネットワークドメイン２内で行われる通信を管理するセッション管理サーバ２と，当該ネットワークドメイン２内で行われる通信を管理するログ管理サーバ２と，が所属するネットワークにおける通信ログ管理システムであって，
   前記通信元装置が所属するネットワークドメイン１の前記セッション管理サーバ１と，前記通信先装置が所属するネットワークドメイン２の前記セッション管理サーバ２は，前記通信元装置と前記通信先装置とが通信を行う場合に，当該通信の通信開始および／または通信終了の処理を仲介し，
   前記セッション管理サーバ１は、仲介する前記通信の通信開始および／または通信終了の処理に係わるセッション管理ログ１を記録し，記録した前記セッション管理ログ１を，前記ログ管理サーバ１に送信し，
   前記セッション管理サーバ２は、仲介する前記通信の通信開始および／または通信終了の処理に係わるセッション管理ログ２を記録し，記録した前記セッション管理ログ２を，前記ログ管理サーバ２に送信し，
   前記通信元装置は，通信開始時の処理，通信終了時の処理，通信中の，いずれか一種類以上からなる通信元装置ログを記録し，記録した前記通信元装置ログを前記ログ管理サーバ１に送信し，
   前記通信先装置は，通信開始時の処理，通信終了時の処理，通信中の，いずれか一種類以上からなる通信先装置ログを記録し，記録した前記通信先装置ログを前記ログ管理サーバ２に送信し，
   前記ログ管理サーバ１は，送信された前記セッション管理ログ１と、送信された前記通信元装置ログと、を受信して管理し，
   前記ログ管理サーバ２は，送信された前記セッション管理ログ２と、送信された前記通信先装置ログと、を受信して管理し，
   前記ログ管理サーバ１または前記ログ管理サーバ２は，前記ログ管理サーバ１が管理している前記セッション管理ログ１と前記通信元装置ログと，前記ログ管理サーバ２が管理している前記セッション管理ログ２と前記通信先装置ログと，の整合性を検証し、前記セッション管理ログ１と，前記通信元装置ログと，前記セッション管理ログ２と，前記通信先装置ログと，が整合し正確であるか否かを判定し，不整合がある場合には不整合箇所を抽出する
   ことを特徴とする通信ログ管理システム。
2. 請求項１に記載の通信ログ管理システムにおいて，
   前記ログ管理サーバ１または前記ログ管理サーバ２は，前記整合性の検証において，
   前記通信元装置のアドレスとポート番号と，前記通信先装置のアドレスとポート番号と，または，通信先URLを，前記整合性の，通信開始時および／または通信終了時に係わる検証対象とする
   ことを特徴とする通信ログ管理システム。
3. 請求項１または２に記載の通信ログ管理システムにおいて，
   前記ログ管理サーバ１または前記ログ管理サーバ２は，前記整合性の検証において，
   所定時間内の通信バイト数または通信データの内容を，前記整合性の，通信中に係わる検証対象とする
   ことを特徴とする通信ログ管理システム。
4. 請求項１ないし３いずれか一に記載の通信ログ管理システムにおいて，
   前記ネットワークドメイン１と前記ネットワークドメイン２が同一のネットワークドメインであって，
   前記セッション管理サーバ１と前記セッション管理サーバ２が同一のセッション管理サーバであって，
   前記ログ管理サーバ１と前記ログ管理サーバ２は，同一のログ管理サーバである
   ことを特徴とする通信ログ管理システム。
5. 請求項１ないし３いずれか一に記載の通信ログ管理システムにおいて，
   前記ネットワークドメイン１の前記ログ管理サーバ１は，前記通信元装置から，当該ログ管理サーバ１が管理する前記セッションログ１および前記通信元装置ログと，前記ネットワークドメイン２の前記ログ管理サーバ２が管理する前記セッションログ２および前記通信先装置ログと，の整合性の検証を要求された場合に，前記ネットワークドメイン２の前記ログ管理サーバ２との間に暗号化通信路を確立し，
   前記ログ管理サーバ１は，前記暗号化通信路を介して，要求された前記セッションログ２および／または前記通信先装置ログの取得要求を，前記ログ管理サーバ２に送信し，
   前記ログ管理サーバ２は，前記暗号化通信路を介して，要求された前記セッションログ２および／または前記通信先装置ログを，前記ログ管理サーバ１へ送信する
   ことを特徴とする通信ログ管理システム。
6. 請求項１ないし３いずれか一に記載の通信ログ管理システムにおいて，
   前記ネットワークドメイン１の前記ログ管理サーバ１は，当該ログ管理サーバ１が管理する前記セッションログ１および前記通信元装置ログと，前記ネットワークドメイン２の前記ログ管理サーバ２が管理する前記セッションログ２および前記通信先装置ログと，の整合性の検証要求を受信した場合に，前記ネットワークドメイン２の前記ログ管理サーバ２が管理する前記セッションログ２および前記通信先装置ログの取得要求を，前記セッション管理サーバ１に送信し，
   前記セッション管理サーバ１は，前記ネットワークドメイン２の前記セッション管理サーバ２に，前記取得要求を送信し，
   前記セッション管理サーバ２は，受信した前記取得要求に基づいて，前記ログ管理サーバ２から，要求された前記セッションログ２および前記通信先装置ログを取得して，前記ネットワークドメイン１の前記セッション管理サーバ１へ送信し，
   前記セッション管理サーバ１は，受信した前記前記セッションログ２および前記通信先装置ログを，前記ログ管理サーバ１に送信する
   ことを特徴とする通信ログ管理システム。

Images