JP4686559B2 - 通信監視記録再生装置及び通信監視記録再生システム - Google Patents

Description

本発明は、端末及びサーバ間での通信の通信内容を再構築し、当該再構築された通信内容の通信を行った端末の当該通信中の画面を再現する通信監視記録再生装置及び通信監視記録再生システムに関する。

近年の情報漏洩防止のソリューションに対する関心の高まりとともに、例えば管理対象の端末及びＷｅｂサーバ間におけるネットワーク上の通信パケット（データ）を収集して記録し、記録された複数のパケットの解析を行う通信監視記録再生装置の需要が高まっている。

この通信監視記録再生装置は、監視対象となるネットワークセグメント上のパケットを傍受する。このパケットは、例えば端末及びＷｅｂサーバ間での通信の通信内容が分割されたデータのまとまりである。通信監視記録再生装置は、傍受された例えば１つまたは複数のパケットから例えばＨＴＴＰ（HyperText Transfer Protocol）リクエストまたはＨＴＴＰリプライ等の通信内容を復元（再構築）して記録する。また、通信監視記録再生装置は、記録された通信内容を例えばユーザによって指定された検索条件に応じて検索し、当該検索された通信内容を当該ユーザに対して表示する機能を有する。

このような通信監視記録再生装置において、対象となるネットワークを通る通信データを傍受し、当該傍受された通信データの種別に応じて分類すると共に、新たな検索データを付加して、解析結果データベースに格納する技術（以下、第１の先行技術と表記）が開示されている（例えば、特許文献１を参照）。この技術によれば、解析結果データベースに格納された解析結果データに基づいて対象となるネットワークを用いた通信の経過を容易かつ確実に確認することができる。

ところで、近年、ダイナミックＨＴＭＬ（Dynamic HyperText Markup Language）などを利用したＷｅｂページが増加している。このようなページにおいては、例えば端末において動作するブラウザ上でユーザがキーボードまたはマウス等を用いて操作を実行すると、当該ブラウザに表示されている画面イメージが動的に変化するという特徴がある。また、ユーザによるキー操作またはマウス操作とは非同期に、ブラウザとＷｅｂサーバ間で通信が行われるという特徴がある。

このようなダイナミックＨＴＭＬを利用したＷｅｂページを含む通信内容（コンテンツ）を再現しようとした場合には、例えば傍受されたパケットを利用しても当該Ｗｅｂページに対して実行されたキーボード操作またはマウス操作に関する操作情報なしでは動的に変化する画面イメージまでは再現することができず、当該Ｗｅｂページの初期画面（イメージ）しか再現することができない。

例えばＨＴＭＬ文書の解析結果に基づき、Ｗｅｂページが複数のフレームで構成されている場合に、各フレームについての画像データを取得することにより、フレーム毎のＷｅｂページの動的な変化を適切に把握させる技術（以下、第２の先行技術と表記）が開示されている（例えば、特許文献２を参照）。

また、利用者の操作に伴い操作対象（Ｗｅｂページ）上で発生するイベント情報をもとにマクロを生成すると共に、操作対象や操作状況（Ｗｅｂページの内容）に適応したマクロ操作の実行を実現する技術（以下、第３の先行技術と表記）が開示されている（例えば、特許文献３を参照）。

また、例えばダイナミックＨＴＭＬを利用したＷｅｂページの変化を解析する技術（以下、第４の先行技術と表記）が開示されている（例えば、特許文献４を参照）。
国際公開０２／２９５７９号パンフレット 特開２００５−２６６９５４号公報 特開２００６−１２７１１７号公報 特開２００７−１７２３７７号公報

しかしながら、上記した第２の先行技術においては、操作情報を記録する操作情報記録部がブラウザの外側にあるため、当該操作情報記録部の起動を回避してブラウザを単独で動作させた場合には、ブラウザに対する操作情報を記録（収集）できない。また、第２の先行技術においては、フレーム等の情報を取得するためには操作情報記録部がＨＴＭＬページを解析する必要があるため、未知のスクリプトに対しては操作情報を記録できない。

上記した第３の先行技術では、イベントの実行先であるオブジェクトの情報を得るために、イベント解析部がＨＴＭＬページを解析する必要があるため、未知のスクリプトに対してはイベント情報を記録できない。更に、第３の先行技術では、閲覧操作記録再生装置がブラウザを内蔵して一体化して構成されているため、異なるブラウザをインストールする際には既存のブラウザを変更する必要がある。

また、上記した第４の先行技術では、ＪＡＶＡＳＣＲＩＰＴ（登録商標）の変数または状態を得るため、当該ＪＡＶＡＳＣＲＩＰＴに特化した構成となっている。このため、ＪＡＶＡＳＣＲＩＰＴ以外の未知のスクリプトに対しては状態遷移を解析することができない。更に、第４の先行技術では、上記した第３の先行技術と同様に、ブラウザを内蔵して一体化して構成されているため、異なるブラウザをインストールする際には既存のブラウザを変更する必要がある。

本発明の目的は、ユーザの操作に伴って動的に変化するようなコンテンツが端末に表示された場合であっても、当該端末の画面を再現することができる通信監視記録再生装置及び通信監視記録再生システムを提供することにある。

本発明の１つの態様によれば、第１の端末及びサーバ間での通信内容が分割されたパケットを通信可能なネットワークに接続された通信監視記録再生装置が提供される。この通信監視記録再生装置は、前記ネットワーク上のパケットを収集するパケット収集手段と、前記第１の端末に表示された通信内容に対して当該第１の端末を利用してユーザが行った操作に関する操作情報を前記第１の端末から受信する操作情報受信手段と、前記パケット収集手段によって収集されたパケットから、前記通信内容を再構築するパケット解析手段と、前記パケット解析手段によって再構築された通信内容及び前記操作情報受信手段によって受信された操作情報を対応付けて格納する解析結果格納手段と、前記解析結果格納手段に格納されている前記再構築された通信内容及び当該再構築された通信内容に対応付けて前記解析結果格納手段に格納されている操作情報を、当該再構築された通信内容を表示する機能を有する第２の端末に送信する送信手段と、前記パケット収集手段によってパケットが収集された後、前記第１の端末から送信された操作情報が前記操作情報受信手段によって受信されたかを判定する判定手段と、前記操作情報受信手段によって操作情報が受信されていないと判定された場合、前記第１の端末及びサーバ間の通信を中継する中継装置に対して、当該第１の端末及びサーバ間の通信の遮断を指示する指示手段とを具備する。

本発明によれば、ユーザの操作に伴って動的に変化するようなコンテンツが端末に表示された場合であっても、当該端末の画面を再現することを可能とする。

以下、図面を参照して、本発明の各実施形態について説明する。

［第１の実施形態］
図１は、本発明の第１の実施形態に係る通信監視記録再生システムが接続されるネットワークシステムについて説明するための図である。

本実施形態に係る通信監視記録再生システムは、複数の端末（第１の端末）、通信監視記録再生装置２０及び管理サーバ（第２の端末）３０を備える。複数の端末は、端末１０を含む。なお、図１では便宜的に端末１０以外の端末については省略されている。

端末１０は、例えばインターネット４０を介してＷｅｂサーバ５０と接続されている。この端末１０及びＷｅｂサーバ５０間では、例えばＨＴＴＰ（HyperText Transfer Protocol）による通信が実行される。この場合、端末１０からＷｅｂサーバ５０に対してＨＴＴＰリクエストが送信され、Ｗｅｂサーバ５０から端末１０に対して当該ＨＴＴＰリクエストに対するレスポンス（応答）が返される。この一連の処理（の内容）を、１つの通信内容（１セッション）とする。このような通信により、端末１０は、Ｗｅｂサーバ５０から各種コンテンツを読み込むことができる。このＷｅｂサーバ５０から読み込まれる各種コンテンツには、当該コンテンツのネットワーク上での位置を示すＵＲＬ（Uniform Resource Locator）及び当該コンテンツのコンテンツタイプが含まれている。

端末１０には、例えばブラウザがインストールされており、Ｗｅｂサーバ５０から読み込まれたコンテンツは当該ブラウザにより表示される。

通信監視記録再生装置２０は、監視対象となるネットワーク（ネットワークセグメント）６０により端末１０と接続されている。通信監視記録再生装置２０は、端末１０を含む複数の端末及びＷｅｂサーバ５０間での通信内容が分割されたパケット（パケットデータ）を、監視対象となるネットワーク６０から収集する。このとき、通信監視記録再生装置２０は、スイッチ７０を介してパケットを収集する。通信監視記録再生装置２０は、収集されたパケットから端末１０及びＷｅｂサーバ５０間での通信内容を再構築して記録（格納）する。

管理サーバ３０には、例えばブラウザがインストールされている。管理サーバ３０は、当該管理サーバ３０を利用するユーザ（管理者）からの要求に応じて、通信監視記録再生装置２０によって再構築された通信内容（コンテンツ）をブラウザにより当該ユーザに対して表示する。これにより、例えば端末１０において表示されたコンテンツ（画面）が、管理サーバ３０において再現される。

図２は、図１に示す端末１０の主として機能構成を示すブロック図である。図２に示すように、端末１０は、操作情報収集条件テーブル１１、操作情報取得部１２、操作情報管理テーブル１３及び操作情報送信部１４を含む。

ここで、操作情報取得部１２及び操作情報送信部１４は、端末１０にインストールされているブラウザにプラグインとして動的に組み込まれる。つまり、端末１０にインストールされているブラウザは、特別に用意したものではなく既存のブラウザをそのまま使用できる。このプラグインは、例えば端末１０のブラウザを使用してＷｅｂページからダウンロードすることで、端末１０のユーザが容易にブラウザに組み込むことが可能である。

操作情報収集条件テーブル１１には、端末１０を利用してユーザが行った操作に関する操作情報を取得（収集）する対象となるコンテンツ（通信内容）の条件（を示す情報）が予め保持される。操作情報収集条件テーブル１１には、操作情報を取得する対象となるコンテンツの条件として、当該コンテンツのネットワーク上での位置を示すＵＲＬ及び当該コンテンツのコンテンツタイプが対応付けて保持される。この操作情報収集条件テーブル１１に保持される条件は、端末１０にインストールされているブラウザの起動時、ユーザによって指定された時刻または不定期に更新される。この操作情報収集条件テーブル１１の更新は、例えばユーザによって指定されたＵＲＬを読み込む、または管理サーバ３０を利用するユーザ（管理者）によって指定されたＵＲＬを通信監視記録再生装置２０から受信することにより実行される。

操作情報取得部１２は、端末１０にインストールされているブラウザがＷｅｂサーバ５０からＷｅｂページのようなコンテンツを読み込む際に、当該コンテンツに含まれるＵＲＬ及びコンテンツタイプを取得する。操作情報取得部１２は、取得されたＵＲＬ及びコンテンツタイプが操作情報収集条件テーブル１１に保持される条件に合致するか否かを判定する。

操作情報取得部１２は、ブラウザにより読み込まれたコンテンツに対して端末１０を利用してユーザが行う操作（イベント）が発生した場合、当該発生したイベントに関するイベント情報を取得する。操作情報取得部１２は、ブラウザＡＰＩ（Application Program Interface）を介してイベント情報を取得する。発生するイベント（端末１０を利用してユーザが行う操作）には例えばマウスイベント及びキーボードイベント等が含まれ、イベント情報には当該マウスイベント及びキーボードイベント等のイベント種別及びイベント発生時のマウスのカーソル位置等が含まれる。操作情報取得部１２は、取得されたイベント情報に応じて、当該イベント情報を含む操作情報取得する。操作情報取得部１２は、取得された操作情報を操作情報管理テーブル１３に登録する。

操作情報管理テーブル１３は、操作情報取得部１２によって取得された操作情報を保持する。操作情報管理テーブル１３に保持される操作情報には、イベント（操作）の発生時刻、イベント情報（イベント種別、カーソル位置）及びＤＯＭ（Document Object Model）オブジェクト（情報）等が含まれる。ＤＯＭとはコンテンツ（Ｗｅｂページ）の構造を木構造で表現したものであり、ＤＯＭオブジェクトは、当該Ｗｅｂページ内の位置を特定するものである。つまり、このＤＯＭオブジェクトにより、例えばユーザが端末１０（マウスまたはキーボード）に対して操作を行った箇所（位置）が特定される。

操作情報送信部１４は、操作情報管理テーブル１３に予め定められた数の操作情報が登録されると、当該操作情報管理テーブル１３に保持（登録）されている操作情報を、ネットワーク６０を介して通信監視記録再生装置２０に送信する。

図３は、図１に示す通信監視記録再生装置２０の主として機能構成を示すブロック図である。図３に示すように、通信監視記録再生装置２０は、操作情報受信部２１、パケット収集記録部２２、パケット格納部２３、パケット解析部２４、解析結果記録再生部２５及び解析結果格納部２６を含む。

操作情報受信部２１は、端末１０に含まれる操作情報送信部１４によって送信された操作情報を受信する。

パケット収集記録部２２は、通信監視記録再生装置２０の監視対象となるネットワーク６０上のパケットを収集する。パケット収集記録部２２は、スイッチ７０を介してパケットを収集する。この収集されたパケットは、端末１０及びＷｅｂサーバ５０間での通信の通信内容が分割されたデータのまとまりである。なお、１つの通信内容を構成するパケットの数は、例えば通信内容の容量により異なる。また、ネットワーク６０上から収集されたパケットには、当該パケットを送信または受信した端末１０に割り当てられたネットワークアドレス（ＩＰアドレス：Internet Protocolアドレス）が含まれている。このネットワークアドレスにより、ネットワーク上から収集されたパケットを送信または受信した端末を特定することができる。

パケット収集記録部２２は、操作情報受信部２１によって受信された操作情報と共に、収集されたパケットをパケット格納部２３に格納する。また、パケット収集記録部２２は、操作情報受信部２１によって受信された操作情報及び収集されたパケットをパケット解析部２４に送信する。

パケット解析部２４は、パケット収集記録部２２によって送信された１つ乃至複数のパケットを解析することによって、当該１つ乃至複数のパケットから１つの通信内容を再構築する。このとき、パケット解析部２４は、パケットの各々に含まれるポート番号に基づいて通信内容を再構築する。これにより、パケット解析部２４は、例えばＨＴＴＰリクエストまたはＨＴＴＰリプライ（コンテンツ）を取り出し、パケット収集記録部２２によって送信された操作情報と共に解析結果記録再生部２５に送信する。

解析結果記録再生部２５は、パケット解析部２４によって送信されたコンテンツ及び操作情報を対応付けて解析結果格納部２６に格納する。また、解析結果記録再生部２５は、例えばユーザによって指定された検索条件に応じて、当該検索条件に合致するコンテンツを解析結果格納部２６から検索する機能を有する。解析結果記録再生部２５は、検索結果となるコンテンツ及び当該コンテンツに対応付けられている操作情報を、当該コンテンツを表示する機能を有する管理サーバ３０に送信する。

図４は、図１に示す管理サーバ３０の主として機能構成を示すブロック図である。図４に示すように、管理サーバ３０は、コンテンツ受信部３１、操作情報受信部３２、イベント生成部３３及び通信内容再現部３４を含む。

ここで、コンテンツ受信部３１、操作情報受信部３２、イベント生成部３３及び通信内容再現部３４は、管理サーバ３０にインストールされているブラウザにプラグインとして動的に組み込まれる。つまり、管理サーバ３０にインストールされているブラウザは、特別に用意したものではなく既存のブラウザをそのまま使用できる。このプラグインは、例えば管理サーバ３０のブラウザを使用してＷｅｂページからダウンロードすることで、管理サーバ３０のユーザが容易にブラウザに組み込むことが可能である。

コンテンツ受信部３１は、通信監視記録再生装置２０に含まれる解析結果記録再生部２５によって送信されたコンテンツ（再構築された通信内容）を受信する。

操作情報受信部３２は、通信監視記録再生装置２０に含まれる解析結果記録再生部２５によって送信された操作情報を受信する。

イベント生成部３３は、操作情報受信部３２によって受信された操作情報に含まれるイベント種別に応じたイベントを生成する。

通信内容再現部３４は、コンテンツ受信部３１によって受信されたコンテンツから、管理サーバ３０にインストールされているブラウザに初期画面イメージを表示する。また、通信内容再現部３４は、操作情報受信部３２によって受信された操作情報に含まれるブラウザのＤＯＭオブジェクトに対して、ブラウザＡＰＩを介してイベント生成部３３によって生成されたイベントを送信する。これにより、通信内容再現部３４は、表示された初期画面イメージに対してユーザが端末１０を利用して実行された操作を発生させることで、当該端末１０に表示された画面を管理サーバ３０のブラウザに再現する。

図５は、図２に示す操作情報収集条件テーブル１１のデータ構造の一例を示す。図５に示すように、操作情報収集条件テーブル１１には、ＵＲＬ及びコンテンツタイプが保持されている。

図５に示す例では、操作情報収集条件テーブル１１には、ＵＲＬ「ｈｔｔｐ：／／ａａ．ｂｂ．ｃｃ」及びコンテンツタイプ「ａｐｐｌｉｃａｔｉｏｎ／ｊａｖａｓｃｒｉｐｔ」が保持されている。また、操作情報収集条件テーブル１１には、ＵＲＬ「ｈｔｔｐ：／／ｄｄ．ｅｅ．ｆｆ／ｘｘ／ｙｙ」及びコンテンツタイプ「ａｐｐｌｉｃａｔｉｏｎ／ｊａｖａｓｃｒｉｐｔ」が保持されている。

図６は、図２に示す操作情報管理テーブル１３に保持される操作情報のデータ構造の一例を示す。図６に示すように、操作情報には、時刻、イベント種別、カーソル位置、ＤＯＭオブジェクト、キーコードが含まれる。時刻は、イベントが発生した時刻を示す。イベント種別は、例えばキーボードイベントまたはマウスイベント等のイベントの種別を示す。カーソル位置は、イベント発生時のマウスカーソル位置を示す。ＤＯＭオブジェクトは、イベントが発生した箇所を特定するものである。キーコードは、発生したイベント種別がキーボードイベントである場合のキーコードを示す。

図６に示す例では、操作情報１３１には、時刻「２００７／０９／０３ ９：００：００．１２３４」、イベント種別「右マウスクリック」、カーソル位置「１００，２００」及びＤＯＭオブジェクト「ｄｉｖ ｔｅｓｔ」が含まれている。この場合、イベント種別が「右マウスクリック」であることから、発生したイベントはマウスイベントである。よって、操作情報１３１には、キーコードは含まれない。

また、操作情報１３２には、時刻「２００７／０９／０３ ９：００：０１．３４５６」、イベント種別「キープレス」、カーソル位置「１００，２００」、ＤＯＭオブジェクト「ｄｉｖ ｔｅｓｔ」及びキーコード「３２」が含まれている。

次に、図７のフローチャートを参照して、端末１０の処理手順について説明する。まず、操作情報取得部１２は、端末１０のブラウザがＷｅｂサーバ５０からコンテンツを読み込む際に、当該コンテンツに含まれるＵＲＬ及びコンテンツタイプを取得する（ステップＳ１）。

操作情報取得部１２は、取得されたＵＲＬ及びコンテンツタイプが操作情報収集条件テーブル１１に保持されているか否かを判定する（ステップＳ２）。

取得されたＵＲＬ及びコンテンツタイプが操作情報収集条件テーブル１１に保持されていると判定された場合（ステップＳ２のＹＥＳ）、操作情報取得部１２は、端末１０のブラウザにより読み込まれたコンテンツの操作情報収集選択フラグをＯＮに設定する（ステップＳ３）。

ここで、例えばユーザがブラウザ（に表示されているコンテンツ）に対して操作を行った場合、またはＷｅｂページの読み込みが完了した場合などに、ブラウザ内でイベントが発生する。イベントが発生すると、ブラウザＡＰＩを介して操作情報取得部１２に対してイベントの発生が通知される（ステップＳ４）。

操作情報取得部１２は、イベントの発生が通知されると、当該イベントが発生したコンテンツの操作情報収集選択フラグがＯＮであるか否かを判定する（ステップＳ５）。

操作情報収集選択フラグがＯＮであると判定された場合（ステップＳ５のＹＥＳ）、ブラウザからキーボードイベントまたはマウスイベント等のイベント情報を取得する。このイベント情報には、キーボードイベントまたはマウスイベント等を示すイベント種別及びカーソル位置が含まれる。

操作情報取得部１２は、取得されたイベント情報に応じて当該イベント情報を含む操作情報を取得する（ステップＳ６）。操作情報取得部１２は、操作情報をブラウザＡＰＩを介して取得する。操作情報取得部１２は、例えば取得されたイベント情報がキーボードイベントである場合、イベント発生時刻、キーボードのプレスまたはリリースイベント、キーコード情報、キーボードイベント発生時のマウスカーソル位置及びＤＯＭオブジェクトを操作情報として取得する。また、操作情報取得部１２は、例えば取得されたイベント情報がマウスイベントである場合、イベント発生時刻、マウスのクリック、移動イベント、マウスイベント発生時のマウスカーソル位置及びＤＯＭオブジェクトを操作情報として取得する。マウスのクリックには、例えばダブルクリックまたはリリース等が含まれる。また、操作情報取得部１２は、例えば取得されたイベント情報がキーボードイベント及びマウスイベント以外のイベントである場合には、例えばイベント発生時刻及びイベント種別等を操作情報として取得する。

操作情報取得部１２は、取得された操作情報を操作情報管理テーブル１３に登録する（ステップＳ７）。このとき、操作情報取得部１２は、操作情報に含まれるイベント種別によっては、全ての操作情報を登録するのではなく、一部の操作情報を登録する、または複数の操作情報を１つにまとめて登録するように選択する設定も可能である。例えば、マウス移動イベントの場合、移動を開始した始点と、移動を終了した終点のイベントから移動距離を計算し、複数の移動イベントをまとめて１つの操作情報として操作情報管理テーブル１３に登録する構成でも構わない。

次に、操作情報送信部１４は、操作情報管理テーブル１３の操作情報の登録数が閾値以上であるか否かを判定する（ステップＳ８）。

操作情報の登録数が閾値以上であると判定された場合（ステップＳ８のＹＥＳ）、操作情報送信部１４は、操作情報管理テーブル１３に登録（保持）されている操作情報を、ネットワーク６０経由で、通信監視記録再生装置２０に送信する（ステップＳ９）。操作情報の送信に際しては、トラフィック量を削減するために、当該操作情報を圧縮して送信することも可能である。また、通信監視記録再生装置２０への送信が失敗した場合には、一時的に端末１０のディスク等に保存し、後で再送する構成であっても構わない。

操作情報送信部１４は、操作情報が通信監視記録再生装置２０に送信されると、操作情報管理テーブル１３に保持されている操作情報を当該操作情報管理テーブル１３から削除（クリア）する（ステップＳ１０）。

一方、ステップＳ２においてＵＲＬ及びコンテンツタイプが操作情報収集条件テーブル１１に保持されていないと判定された場合、端末１０のブラウザにより読み込まれたコンテンツの操作情報収集選択フラグをＯＦＦに設定する（ステップＳ１１）。ステップＳ１１の処理が実行されると、ステップＳ４の処理が実行される。

また、ステップＳ５において操作情報収集選択フラグがＯＮでない、つまりＯＦＦであると判定された場合には処理が終了される。また、ステップＳ８において操作情報の登録数が閾値以上でないと判定された場合には処理が終了される。

次に、図８のフローチャートを参照して、通信監視記録再生装置２０の処理手順について説明する。

まず、パケット収集記録部２２は、ネットワーク６０上のパケットを収集する（ステップＳ２１）。

次に、操作情報受信部２１は、端末１０に含まれる操作情報送信部１４によって送信された操作情報を受信する（ステップＳ２２）。

パケット収集記録部２２は、収集されたパケットを、操作情報受信部２１によって受信された操作情報と共にパケット格納部２３に格納する（ステップＳ２３）。また、パケット収集記録部２２は、収集されたパケット及び操作情報受信部２１によって受信された操作情報をパケット解析部２４に送信する。

ここで、図９は、パケット格納部２３に格納されたパケット及び操作情報について説明するための図である。

図９に示すように、パケット格納部２３には、ＨＴＴＰパケット２３１、操作情報２３２〜２３４及びＨＴＴＰパケット２３５が格納されている。ＨＴＴＰパケット２３１及びＨＴＴＰパケット２３５は、ＨＴＴＰ通信によるパケットであり、パケット収集記録部２２によって収集されたパケットである。また、操作情報２３２〜２３４は、操作情報受信部２１によって受信された操作情報である。

図９に示すように、パケット収集記録部２２によって収集されたパケット（ＨＴＴＰパケット２３１及びＨＴＴＰパケット２３５）及び操作情報受信部２１によって受信された操作情報（操作情報２３２〜２３４）は、例えば収集または受信された順、つまり時系列的にパケット格納部２３に格納される。

再び図８に戻ると、パケット解析部２４は、パケット収集記録部２２によって送信された１つ乃至複数のパケットを解析することによって、当該１つ乃至複数のパケットから１つの通信内容（コンテンツ）の再構築を行う（ステップＳ２４）。このとき、パケット解析部２４は、再構築されたコンテンツからＨＴＴＰリクエストまたはＨＴＴＰリプライを取り出す。（ステップＳ２４）。パケット解析部２４は、再構築されたコンテンツ（ＨＴＴＰリクエストまたはＨＴＴＰリプライ）及びパケット収集記録部２２によって送信された操作情報を解析結果記録再生部２５に送信する。この操作情報は、再構築されたコンテンツに対して発生したイベント情報を含む操作情報である。

解析結果記録再生部２５は、パケット解析部２４によって送信されたコンテンツ及び操作情報を対応付けて解析結果格納部２６に格納する。

ここで、解析結果格納部２６に格納されているコンテンツを検索するために、ユーザによって検索条件が指定された場合を想定する。なお、この検索条件は、例えば管理サーバ３０を利用するユーザが当該管理サーバ３０を操作することによって指定される。この場合、解析結果記録再生部２５は、ユーザによって指定された検索条件に合致するコンテンツを解析結果格納部２６から検索する（ステップＳ２５）。また、解析結果記録再生部２５は、検索されたコンテンツに対応付けて解析結果格納部２６に格納されている操作情報を取得する。

解析結果記録再生部２５は、検索されたコンテンツ及び取得された操作情報を管理サーバ３０に送信する（ステップＳ２６）。

次に、図１０のフローチャートを参照して、管理サーバ３０の処理手順について説明する。

ここで、管理サーバ３０において通信内容（コンテンツ）を再生（再現）する場合には、上記したように管理サーバ３０を利用するユーザが通信監視記録再生装置２０に含まれる解析結果格納部２６に格納されているコンテンツを検索するための検索条件を指定する。この場合、ユーザによって指定された検索条件は通信監視記録再生装置２０に通知され、当該検索条件に対する応答として当該検索条件に合致するコンテンツ及び当該コンテンツに対応付けられている操作情報が送信される。管理サーバ３０では、通信監視記録再生装置２０によって送信されたコンテンツ及び操作情報に基づいて再生処理が実行される。

まず、コンテンツ受信部３１は、通信監視記録再生装置２０に含まれる解析結果記録再生部２５によって送信されたコンテンツを受信する（ステップＳ３１）。

次に、通信内容再現部３４は、コンテンツ受信部３１によって受信されたコンテンツから、管理サーバ３０のブラウザに初期画面イメージを表示する（ステップＳ３２）。

操作情報受信部３２は、通信監視記録再生装置２０に含まれる解析結果記録再生部２５によって送信された操作情報を受信する（ステップＳ３３）。

イベント生成部３３は、操作情報受信部３２によって受信された操作情報を読み込み、当該操作情報に含まれるイベント種別に応じたイベントを生成する（ステップＳ３４）。例えばイベント種別がキーボードイベントの場合、操作情報受信部３２によって受信された操作情報に含まれるキーボードのプレスまたはリリースイベント、及びキーコードに基づいてイベントを生成する。一方、例えばイベント種別がマウスイベントの場合、操作情報受信部３２によって受信された操作情報に含まれるマウスのクリック、移動イベント、マウスイベントが発生した時点でのマウスカーソル位置に基づいてイベントを生成する。また、キーボードイベント及びマウスイベント以外のイベントの場合には、操作情報受信部３２によって受信された操作情報に含まれるイベント種別に応じたイベントを生成する。

通信内容再現部３４は、操作情報受信部３２によって受信された操作情報に含まれるＤＯＭオブジェクトをもとに、ブラウザＡＰＩを介して対象のＤＯＭオブジェクトに対してイベント生成部３３によって生成されたイベントを送信する（ステップＳ３５）。イベントが送信されると、上記したステップＳ３２において表示された初期画面イメージ（コンテンツ）に対して端末１０を利用してユーザが行った操作（イベント）を発生させることができる。これにより、発生したイベントに応じて動的に変化する画面イメージを再現することができる。

通信内容再現部３４によってイベントが送信されると、操作情報受信部３２によって受信された操作情報に含まれる時刻に応じて、次のイベント発生までの時間間隔（イベント間隔）の後、次のイベントを送信する。これにより、端末１０において発生したイベントと同様の間隔でイベントを発生させることで、当該端末１０のブラウザに表示されていたコンテンツ（通信内容）と同様の速度で画面遷移を再現することができる。

なお、通信内容を再現する際には、必ずしも操作情報に含まれる時刻と同じ時刻（速度）で再現する必要はなく、例えば記録されている時間間隔の１／２の時間間隔でイベントを送信することにより、２倍の速度で画面遷移を再現することも可能である。

上記したように本実施形態においては、パケットと共にユーザが端末１０に対して実行した操作に関する操作情報が収集され、記録（格納）される。本実施形態においては、再構築された通信内容（コンテンツ）が再現される際には、当該コンテンツ及び操作情報が管理サーバ３０に送信される。これにより、管理サーバ３０においては、操作情報に基づいて生成されたイベントが当該操作情報に含まれるＤＯＭオブジェクトに送信されるので、コンテンツの再現時に当該ＤＯＭオブジェクトによって特定される箇所において発生したイベント（操作）を再現することができる。したがって、本実施形態においては、コンテンツまたはスクリプトを解析することなく、ユーザのキーボード操作またはマウス操作によってブラウザに表示される画面が動的に変化するダイナミックＨＴＭＬのようなコンテンツが端末１０において表示された場合であっても、当該端末１０のブラウザに表示された画面を再現することが可能となる。

［第２の実施形態］
次に、図１１〜図１３を参照して、本発明の第２の実施形態に係る通信監視記録再生システムについて説明する。

本実施形態に係る通信監視記録再生システムは、前述した第１の実施形態の端末１０、通信監視記録再生装置２０及び管理サーバ３０に代えて、端末（第１の端末）１００、通信監視記録再生装置２００及び管理サーバ（第２の端末）３０を備える。なお、本実施形態に係る通信監視記録再生システムが接続されるネットワークシステムについては、前述した第１の実施形態と同様であるため、図１を用いて説明する。

図１１は、本実施形態に係る通信監視記録再生システムを構成する端末１００の主として機能構成を示すブロック図である。なお、端末１００には、前述した第１の実施形態の端末１０と同様に、例えばブラウザがインストールされており、Ｗｅｂサーバ５０から読み込まれたコンテンツは当該ブラウザにより表示される。

図１１に示すように、端末１００は、イメージ収集条件テーブル１０１、イメージ取得部１０２、イメージ管理テーブル１０３及びイメージ送信部１０４を含む。

ここで、イメージ取得部１０２及びイメージ送信部１０４は、端末１００にインストールされているブラウザにプラグインとして動的に組み込まれている。

イメージ収集条件テーブル１０１には、端末１０（の画面）にコンテンツ（通信内容）が表示されている場合に、その画面イメージを取得（収集）する対象となるコンテンツの条件（を示す情報）が予め保持される。イメージ収集条件テーブル１０１には、画面イメージを取得する対象となるコンテンツの条件として、当該コンテンツのネットワーク上での位置を示すＵＲＬ及び当該コンテンツのコンテンツタイプが対応付けて保持される。つまり、イメージ収集条件テーブル１０１のデータ構造自体は、前述した第１の実施形態の操作情報収集条件テーブル１１と同様であるため、その詳しい説明は省略する。

イメージ取得部１０２は、端末１００にインストールされているブラウザがＷｅｂサーバ５０からコンテンツを読み込む際に、当該コンテンツに含まれるＵＲＬ及びコンテンツタイプを取得する。イメージ取得部１０２は、取得されたＵＲＬ及びコンテンツタイプがイメージ収集条件テーブル１０１に保持される条件に合致するか否かを判定する。

イメージ取得部１０２は、ブラウザにより読み込まれたコンテンツに対して端末１００を利用してユーザが行う操作（イベント）が発生した場合、当該発生したイベントに関するイベント情報を取得する。イメージ取得部１０２は、取得されたイベント情報に応じて、端末１００に表示されているコンテンツの画面イメージを示す画面イメージ情報を取得する。つまり、イメージ取得部１０２は、発生したイベントに応じて動的に変化した（更新された）画面イメージを示す画面イメージ情報を取得する。この画面イメージ情報には、コンテンツに対して発生したイベント情報を含む。イメージ取得部１０２は、ブラウザＡＰＩを介して画面イメージ情報を取得する。イメージ取得部１０２は、取得された画面イメージ情報をイメージ管理テーブル１０３に登録する。

イメージ管理テーブル１０３は、イメージ取得部１０２によって取得された画面イメージ情報を保持する。イメージ管理テーブル１０３に保持される画面イメージ情報には、イベントの発生時刻、イベント情報、画面イメージの座標、画面イメージのサイズ及び画面イメージを識別するための識別子が含まれる。

イメージ送信部１０４は、イメージ管理テーブル１０３に予め定められた数の画面イメージ情報が登録されると、当該イメージ管理テーブル１０３に保持されている画面イメージ情報を、ネットワーク６０を介して通信監視記録再生装置２００に送信する。

図１２は、本実施形態に係る通信監視記録再生システムを構成する通信監視記録再生装置２００の主として機能構成を示すブロック図である。図１２に示すように、通信監視記録再生装置２００は、イメージ受信部２０１、パケット収集記録部２０２、パケット格納部２０３、パケット解析部２０４、解析結果記録再生部２０５及び解析結果格納部２０６を含む。

イメージ受信部２０１は、端末１００に含まれるイメージ送信部１０４によって送信された画面イメージ情報を受信する。

パケット収集記録部２０２は、通信監視記録再生装置２００の監視対処となるネットワーク６０上のパケットを収集する。パケット収集記録部２０２は、スイッチ７０を介してパケットを収集する。パケット収集記録部２０２は、イメージ受信部２０１によって受信されたイメージ情報と共に、収集されたパケットをパケット格納部２０３に格納する。また、パケット収集記録部２０２は、イメージ受信部２０１によって受信された画面イメージ情報及び収集されたパケットをパケット解析部２０４に送信する。

パケット解析部２０４は、パケット収集記録部２０２によって送信された１つ乃至複数のパケットを解析することによって、当該１つ乃至複数のパケットから１つの通信内容を再構築する。これにより、パケット解析部２０４は、例えばＨＴＴＰリクエストまたはＨＴＴＰリプライ（コンテンツ）を取り出し、パケット収集記録部２０２によって送信された画面イメージ情報と共に解析結果記録再生部２０５に送信する。

解析結果記録再生部２０５は、パケット解析部２０４によって送信されたコンテンツ及び画面イメージ情報を対応付けて解析結果格納部２０６に格納する。また、解析結果記録再生部２０５は、例えば管理サーバ３００を利用するユーザによって指定された検索条件に応じて、当該検索条件に合致するコンテンツを解析結果格納部２０６から検索する機能を有する。解析結果記録再生部２０５は、検索結果となるコンテンツ及び当該コンテンツに対応付けられている画面イメージ情報を管理サーバ３００に送信する。

図１３は、本実施形態に係る通信監視記録再生システムを構成する管理サーバ３００の主として機能構成を示すブロック図である。なお、図４と同様の部分には同一参照符号を付してその詳しい説明を省略する。ここでは、図４と異なる部分について主に述べる。また、管理サーバ３００には、前述した第１の実施形態の管理サーバ３０と同様に、例えばブラウザがインストールされており、Ｗｅｂサーバ５０から読み込まれたコンテンツは当該ブラウザにより表示される。

図１３に示すように、管理サーバ３００は、イメージ受信部３０１、イメージ生成部３０２及び通信内容再現部３０３を含む。

ここで、イメージ受信部３０１、イメージ生成部３０２及び通信内容再現部３０３は、管理サーバ３００にインストールされているブラウザにプラグインとして動的に組み込まれている。

イメージ受信部３０１は、通信監視記録再生装置２００に含まれる解析結果記録再生部２０５によって送信された画面イメージ情報を受信する。

イメージ生成部３０２は、イメージ受信部３０１によって受信された画面イメージ情報に含まれる画面イメージの座標位置に、当該画面イメージ情報に含まれる画面イメージのサイズの画面イメージを生成する。

通信内容再現部３０３は、イメージ生成部３０２によって生成された画面イメージを、ブラウザＡＰＩを介して表示する。これにより、管理サーバ３００のブラウザに端末１００のブラウザに表示された画面が再現される。

図１４は、図１１に示すイメージ管理テーブル１０３に保持される画面イメージ情報のデータ構造の一例を示す。図１４に示すように、画面イメージ情報には、時刻、イベント種別、カーソル位置、画面イメージ座標、画面イメージサイズ及び画面イメージ識別子を含む。時刻は、イベントが発生した時刻を示す。イベント種別は、例えばキーボードイベントまたはマウスイベント等のイベント種別を示す。カーソル位置は、イベント発生時のマウスカーソル位置を示す。画面イメージ座標は、画面イメージの座標位置を示す。画面イメージサイズは、画面イメージの大きさを示す。画面イメージ識別子は、画面イメージを識別するために用いられる識別子である。

図１４に示す例では、画面イメージ情報１０３ａには、時刻「２００７／０９／０３ ９：００：００．１２３４」、イベント種別「右マウスクリック」、カーソル位置「１００，２００」、画面イメージ座標「５０，２００」、画面イメージサイズ「１００，１００」及び画面イメージ識別子「１」が含まれている。また、画面イメージ情報１０３ｂには、時刻「２００７／０９／０３ ９：００：０１．３４５６」、イベント種別「キープレス」、カーソル位置「１００，２００」、画面イメージ座標「５０，４００」、画面イメージサイズ「１００，１００」及び画面イメージ識別子「２」が含まれている。

次に、図１５のフローチャートを参照して、端末１００の処理手順について説明する。まず、イメージ取得部１０２は、端末１００のブラウザがＷｅｂサーバ５０からコンテンツを読み込む際に、当該コンテンツに含まれるＵＲＬ及びコンテンツタイプを取得する（ステップＳ４１）。

イメージ取得部１０２は、取得されたＵＲＬ及びコンテンツタイプがイメージ収集条件テーブル１に保持されているか否かを判定する（ステップＳ４２）。

取得されたＵＲＬ及びコンテンツタイプがイメージ収集条件テーブル１１に保持されていると判定された場合（ステップＳ４２のＹＥＳ）、イメージ取得部１０２は、端末１００のブラウザにより読み込まれたコンテンツのイメージ収集選択フラグをＯＮに設定する（ステップＳ４３）。

ここで、例えばユーザがブラウザ（に表示されているコンテンツ）に対して操作を行った場合、またはＷｅｂページの読み込みが完了した場合などに、ブラウザ内でイベントが発生する。イベントが発生すると、ブラウザＡＰＩを介してイメージ取得部１２に対してイベントの発生が通知される（ステップＳ４４）。

イメージ取得部１０２は、イベントの発生が通知されると、当該イベントが発生したコンテンツのイメージ収集選択フラグがＯＮであるか否かを判定する（ステップＳ４５）。

イメージ収集選択フラグがＯＮであると判定された場合（ステップＳ４５のＹＥＳ）、ブラウザからキーボードイベントまたはマウスイベント等のイベント情報を取得する。このイベント情報には、キーボードイベントまたはマウスイベント等を示すイベント種別及びカーソル位置が含まれる。

イメージ取得部１０２は、取得されたイベント情報に応じて、端末１００に表示されているコンテンツの画面イメージ（ブラウザの画面イメージ）を示す画面イメージ情報を取得する（ステップＳ４６）。イメージ取得部１０２は、画面イメージ情報をブラウザＡＰＩを介して取得する。

このとき、例えば発生したイベントによって端末１００のブラウザの画面イメージ全体が更新された場合には、イメージ取得部１０２は、当該ブラウザの全画面イメージを示す画面イメージ情報を取得する。一方、例えば発生したイベントによって端末１００のブラウザの画面イメージの一部のみが更新された場合、イメージ取得部１０２は、当該ブラウザの画面イメージの更新された一部のみ（差分）を示す画面イメージ情報を取得する。

この場合、更新前の画面イメージ情報を端末１００のディスク等に保存しておき、当該更新前の画面イメージ情報と更新後の画面イメージ情報を比較することにより、画面イメージの全体が更新されたか、または一部が更新されたかを判別することができる。

イメージ取得部１２は、取得された画面イメージ情報をイメージ管理テーブル１０３に登録する（ステップＳ４７）。

次に、イメージ送信部１０４は、イメージ管理テーブル１０３の画面イメージ情報の登録数が閾値以上であるか否かを判定する（ステップＳ４８）。

画面イメージ情報の登録数が閾値以上であると判定された場合（ステップＳ４８のＹＥＳ）、イメージ送信部１０４は、イメージ管理テーブル１０３に保持されている画面イメージ情報を、ネットワーク６０経由で通信監視記録再生装置２００に送信する（ステップＳ４９）。画面イメージ情報の送信に際しては、トラフィック量を削減するために、当該画面イメージ情報を圧縮して送信することも可能である。また、通信監視記録再生装置２００への送信が失敗した場合には、一時的に端末１００のディスク等に保存し、後で再送する構成であっても構わない。

イメージ送信部１０４は、画面イメージ情報が通信監視記録再生装置２００に送信されると、イメージ管理テーブル１０３に保持されている画面イメージ情報を当該イメージ管理テーブル１０３から削除（クリア）する（ステップＳ５０）。

一方、ステップＳ４２においてＵＲＬ及びコンテンツタイプがイメージ収集条件テーブル１０１に保持されていないと判定された場合、端末１００のブラウザにより読み込まれたコンテンツのイメージ収集選択フラグをＯＦＦに設定する（ステップＳ５１）。ステップＳ５１の処理が実行されると、ステップＳ４４の処理が実行される。

また、ステップＳ４５においてイメージ収集選択フラグがＯＮでない、つまりＯＦＦであると判定された場合には処理が終了される。また、ステップＳ４８において画面イメージ情報の登録数が閾値以上でないと判定された場合には処理が終了される。

次に、図１６のフローチャートを参照して、通信監視記録再生装置２００の処理手順について説明する。

まず、パケット収集記録部２０２は、ネットワーク６０上のパケットを収集する（ステップＳ６１）。

次に、イメージ受信部２０１は、端末１００に含まれるイメージ送信部１０４によって送信された画面イメージ情報を受信する（ステップＳ６２）。

パケット収集記録部２０２は、収集されたパケットを、イメージ受信部２０１によって受信された画面イメージ情報と共にパケット格納部２０３に格納する（ステップＳ６３）。また、パケット収集記録部２０２は、収集されたパケット及びイメージ受信部２０１によって受信された画面イメージ情報をパケット解析部２０４に送信する。

パケット解析部２０４は、パケット収集記録部２０２によって送信された１つ乃至複数のパケットを解析することによって、当該１つ乃至複数のパケットから１つの通信内容（コンテンツ）の再構築を行う（ステップＳ６４）。このとき、パケット解析部２０４は、再構築されたコンテンツからＨＴＴＰリクエストまたはＨＴＴＰリプライを取り出す（ステップＳ６４）。パケット解析部２０４は、再構築されたコンテンツ（ＨＴＴＰリクエストまたはＨＴＴＰリプライ）及びパケット収集記録部２０２によって送信された画面イメージ情報を解析結果記録再生部２０５に送信する。この画面イメージ情報は、再構築されたコンテンツに対して発生したイベント情報を含む画面イメージ情報である。

解析結果記録再生部２０５は、パケット解析部２０４によって送信されたコンテンツ及び画面イメージ情報を対応付けて解析結果格納部２０６に格納する。

ここで、解析結果格納部２０６に格納されているコンテンツを検索するために、ユーザによって検索条件が指定された場合を想定する。なお、この検索条件は、例えば管理サーバ３００を利用するユーザが、当該管理サーバ３００を操作することによって指定される。この場合、解析結果記録再生部２０５は、ユーザによって指定された検索条件に合致するコンテンツを解析結果格納部２０６から検索する（ステップＳ６５）。また、解析結果記録再生部２０５は、検索されたコンテンツに対応付けて解析結果格納部２０６に格納されている画面イメージ情報を取得する。

解析結果記録再生部２０５は、検索されたコンテンツ及び取得された画面イメージ情報を管理サーバ３００に送信する（ステップＳ６６）。

次に、図１７のフローチャートを参照して、管理サーバ３００の処理手順について説明する。

ここで、管理サーバ３００において通信内容（コンテンツ）を再生（再現）する場合には、上記したように管理サーバ３００を利用するユーザが通信監視記録再生装置２００に含まれる解析結果格納部２０６に格納されているコンテンツを検索するための検索条件を指定する。この場合、ユーザによって指定された検索条件は通信監視記録再生装置２００に通知され、当該検索条件に対する応答として当該検索条件に合致するコンテンツ及び当該コンテンツに対応付けられている画面イメージ情報が送信される。管理サーバ３００では、通信監視記録再生装置２００によって送信されたコンテンツ及び画面イメージ情報に基づいて再生処理が実行される。

まず、前述した図１０に示すステップＳ３１及びステップＳ３２に相当するステップＳ７１及びステップＳ７２の処理が実行される。

次に、イメージ受信部３０１は、通信監視記録再生装置２００に含まれる解析結果記録再生部２０５によって送信された画面イメージ情報を受信する（ステップＳ７３）。

イメージ生成部３０２は、イメージ受信部３０１によって受信された画面イメージ情報を読み込み、当該画面イメージ情報に含まれる画面イメージ座標及び画面イメージサイズに応じて画面イメージを生成する（ステップＳ７４）。つまり、イメージ生成部３０２は、イメージ受信部３０１によって受信された画面イメージ情報に含まれる画面イメージ座標の位置に、当該画面イメージ情報に含まれる画面イメージサイズの画面イメージ（更新された画面イメージ）を生成する。

通信内容再現部３０３は、イメージ生成部３０２によって生成された画面イメージを、ブラウザＡＰＩを介して表示する（ステップＳ７５）。これにより、上記したステップＳ７２において表示された初期画面イメージ（コンテンツ）に対して端末１０を利用してユーザが操作を行うことによって動的に変化した画面イメージ（更新された画面イメージ）を再現することができる。

通信内容再現部３０３は、イメージ受信部３０１によって受信された画面イメージ情報に含まれる時刻に応じて、次のイベント発生まで、つまり、次の画面イメージの更新までの時間間隔の後、次の画面イメージを表示する。これにより、端末１００において発生したイベントと同様の間隔で画面イメージを表示させることで、当該端末１００のブラウザに表示されていたコンテンツと同様の速度で画面遷移を再現することができる。

なお、通信内容を再現する際に、例えば画面イメージを時系列的にサムネイル形式で縮小して一覧表示し、ユーザに画面イメージを選択させ、選択された画面イメージを指定されたサイズで表示するようにすることも可能である。

上記したように本実施形態においては、パケット共にユーザが端末１００に対して実行した操作に応じて更新された画面イメージを示す画面イメージ情報が収集され、記録（格納）される。本実施形態においては、再構築された通信内容（コンテンツ）が再現される際には、当該コンテンツ及び画面イメージ情報が管理サーバ３００に送信される。これにより、管理サーバ３００においては、イベントの発生時刻に応じて画面イメージ情報に応じて更新された画面イメージが表示される。従って、本実施形態においては、コンテンツまたはスクリプトを解析することなく、ユーザの操作によってブラウザに表示されている画面が動的に変化するダイナミックＨＴＭＬのようなコンテンツが端末１００において表示された場合であっても、当該端末１００のブラウザに表示された画面を再現することが可能となる。

［第３の実施形態］
次に、図１８を参照して、本発明の第３の実施形態に係る通信監視記録再生システムについて説明する。

本実施形態に係る通信監視記録再生システムは、前述した第１の実施形態の端末１０に代えて、端末１１０を備える。

図１８は、本実施形態に係る通信監視記録再生システムを構成する端末１１０の主として機能構成を示すブロック図である。なお、前述した図２と同様の部分には同一参照符号を付してその詳しい説明を省略する。ここでは、図２と異なる部分について主に述べる。

図１８に示すように、端末１１０は、操作情報格納処理部１１１及び操作情報格納部１１２を含む。

ここで、操作情報格納処理部１１１は、端末１１０にインストールされているブラウザにプラグインとして動的に組み込まれる。

操作情報格納処理部１１１は、操作情報管理テーブル１３に予め定められた数の操作情報が登録されると、当該操作情報管理テーブル１３に保持されている操作情報を操作情報格納部１１２に格納（保存）する処理を実行する。操作情報格納部１１２は、例えばハードディスクドライブ（ＨＤＤ：Hard Disk Drive）のようなディスクである。

操作情報格納部１１２に操作情報が格納される際に、当該操作情報を圧縮して格納することが選択可能な構成であっても構わない。

操作情報格納処理部１１１によって操作情報管理テーブル１３に保持されている操作情報が操作情報格納部１１２に正常に格納されると、当該操作情報管理テーブル１３に保持されている操作情報は当該操作情報管理テーブル１３から削除（クリア）される。

つまり、本実施形態においては、通信監視記録再生装置２０では、操作情報は管理（格納）されない。管理サーバ３０において通信内容の再生処理が実行される際には、通信監視記録再生装置２０が当該再生されるコンテンツに対応する操作情報をネットワーク６０を介して操作情報格納処理部１１１から読み込み、管理サーバ３０に送信する。これにより、管理サーバ３０においては当該送信された操作情報に基づいて端末１０のブラウザに表示された画面が再現される。本実施形態においては、この点以外の動作については前述した第１の実施形態と同様であるためその詳しい説明は省略する。

前述した第１の実施形態では収集（取得）された操作情報が全てネットワーク６０を介して通信監視記録再生装置２０に送信されるが、上記したように本実施形態においては、管理サーバ３０において通信内容の再生処理が実行される際に、必要な操作情報のみがネットワーク６０を介して通信監視記録再生装置２０によって読み込まれるので、端末１０及び通信監視記録再生装置２０間の通信にかかるデータ量（トラフィック量）を削減することが可能となる。

［第４の実施形態］
次に、図１９を参照して、本発明の第４の実施形態に係る通信監視記録再生システムについて説明する。

図１９は、本実施形態に係る通信監視記録再生システムが接続されるネットワークシステムについて説明するための図である。なお、前述した図１と同様の部分については同一参照符号を付してその詳しい説明は省略する。ここでは、図１と異なる部分について主に述べる。

本実施形態に係る通信監視記録再生システムは、前述した第１の実施形態の通信監視記録再生装置２０に代えて、通信監視記録再生装置２１０を備える。この通信監視記録再生装置２１０は、ネットワーク６０を介してプロキシサーバ（中継装置）８０と接続されている。このプロシキサーバ８０は、端末１０及びＷｅｂサーバ間の通信を中継する機能を有する。

図２０は、図１９に示す通信監視記録再生装置２１０の主として機能構成を示すブロック図である。なお、前述した図３と同様の部分には同一参照符号を付してその詳しい説明は省略する。ここでは、図３と異なる部分について述べる。

通信監視記録再生装置２１０は、検出部２１１及び通信制御指示部２１２を含む。検出部２１１は、パケット収集記録部２２によって収集されたパケットが操作情報を収集する機能を有する端末１０から送信されたパケットであるか否かを判定する。つまり、検出部２１１は、パケット収集記録部２２によって収集されたパケットが操作情報取得部１２及び操作情報送信部１４がプラグインとしてブラウザに組み込まれている端末１０から送信されたパケットであるか否かを判定する。

具体的には、検出部２１１は、パケット収集記録部２２によって収集されたパケットから再構築される通信内容（コンテンツ）に対して発生したイベント情報を含む操作情報（以下、パケットに対応する操作情報と表記）が操作情報受信部２１によって受信されたか否かに基づいて判定する。

検出部２１１は、パケット収集記録部２２によって収集されたパケットに対応する操作情報が操作情報受信部２１によって受信されたか否かを通信制御指示部２１２に通知する。

通信制御指示部２１２は、検出部２１１によってパケット収集記録部２２によって収集されたパケットに対応する操作情報が操作情報受信部２１によって受信されていない旨が通知されると、例えば当該パケットに含まれるＩＰアドレスが割り当てられている端末１０とＷｅｂサーバ５０との通信を遮断するようにプロシキサーバ８０に対して指示する。この指示により、プロキシサーバ８０においては、例えばこの端末１０からのＨＴＴＰリクエストを受け取っても応答しないように設定される。これにより、端末１０とＷｅｂサーバ５０との通信は遮断される。

一方、通信制御指示部２１２は、検出部２１１によってパケット収集記録部２２によって収集されたパケットに対応する操作情報が操作情報受信部２１によって受信されている旨が通知されると、例えば当該パケットに含まれるＩＰアドレスが割り当てられている端末１０とＷｅｂサーバ５０との間で通信ができるようにプロシキサーバ８０に対して指示する。この指示により、プロキシサーバ８０においては、例えばこの端末１０からのＨＴＴＰリクエストを受け取った場合には当該リクエストに対して応答するように設定される。

上記したように本実施形態においては、操作情報を収集する機能を有しない端末１０から送信されたパケットがパケット収集記録部２２によって収集された場合、当該パケットを送信した端末１０とＷｅｂサーバ５０との間の通信を遮断するようにプロキシサーバ８０に指示され、プロキシサーバ８０において当該端末１０とＷｅｂサーバ５０との間の通信は遮断される。

このように、本実施形態においては、例えばユーザの操作によってブラウザに表示される画面が動的に変化するダイナミックＨＴＭＬのようなコンテンツを再現しようとした場合、操作情報を収集する機能を有しない端末１０からは操作情報を収集することができないため当該コンテンツを再現することはできない。したがって、本実施形態においては、通信内容（コンテンツ）を再現することができない端末１０からのＷｅｂサーバ５０に対する通信を遮断することができる。

なお、本願発明は、上記各実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記各実施形態に開示されている複数の構成要素の適宜な組合せにより種々の発明を形成できる。例えば、各実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に亘る構成要素を適宜組合せてもよい。

本発明の第１の実施形態に係る通信監視記録再生システムが接続されるネットワークシステムについて説明するための図。 図１に示す端末１０の主として機能構成を示すブロック図。 図１に示す通信監視記録再生装置２０の主として機能構成を示すブロック図。 図１に示す管理サーバ３０の主として機能構成を示すブロック図。 図２に示す操作情報収集条件テーブル１１のデータ構造の一例を示す図。 図２に示す操作情報管理テーブル１３に保持される操作情報のデータ構造の一例を示す図。 端末１０の処理手順を示すフローチャート。 通信監視記録再生装置２０の処理手順を示すフローチャート。 パケット格納部２３に格納されたパケット及び操作情報について説明するための図。 管理サーバ３０の処理手順を示すフローチャート。 本発明の第２の実施形態に係る通信監視記録再生システムを構成する端末１００の主として機能構成を示すブロック図。 本実施形態に係る通信監視記録再生システムを構成する通信監視記録再生装置２００の主として機能構成を示すブロック図。 本実施形態に係る通信監視記録再生システムを構成する管理サーバ３００の主として機能構成を示すブロック図。 図１１に示すイメージ管理テーブル１０３に保持される画面イメージ情報のデータ構造の一例を示す図。 端末１００の処理手順を示すフローチャート。 通信監視記録再生装置２００の処理手順を示すフローチャート。 管理サーバ３００の処理手順を示すフローチャート。 本発明の第３の実施液体に係る通信監視記録再生システムを構成する端末１１０の主として機能構成を示すブロック図。 本発明の第４の実施形態に係る通信監視記録再生システムが接続されるネットワークシステムについて説明するための図。 図１９に示す通信監視記録再生装置２１０の主として機能構成を示すブロック図。

符号の説明

１０，１００，１１０…端末（第１の端末）、１１…操作情報収集条件テーブル、１２…操作情報取得部、１３…操作情報管理テーブル、１４…操作情報送信部、２０，２００，２１０…通信監視記録再生装置、２１…操作情報受信部、２２，２０２…パケット収集記録部、２３，２０３…パケット格納部、２４，２０４…パケット解析部、２５，２０５…解析結果記録再生部、２６，２０６…解析結果格納部、３０，３００…管理サーバ（第２の端末）、３１…コンテンツ受信部、３２…操作情報受信部、３３…イベント生成部、３４，３０３…通信内容再現部、４０…インターネット、５０…Ｗｅｂサーバ、６０…ネットワーク、７０…スイッチ、８０…プロシキサーバ、１０１…イメージ収集条件テーブル、１０２…イメージ取得部、１０３…イメージ管理テーブル、１０４…イメージ送信部、１１１…操作情報格納処理部、１１２…操作情報格納部、２０１…イメージ受信部、２１１…検出部、２１２…通信制御指示部、３０１…イメージ受信部、３０２…イメージ生成部。

Claims (3)

1. 第１の端末及びサーバ間での通信内容が分割されたパケットを通信可能なネットワークに接続された通信監視記録再生装置において、
   前記ネットワーク上のパケットを収集するパケット収集手段と、
   前記第１の端末に表示された通信内容に対して当該第１の端末を利用してユーザが行った操作に関する操作情報を前記第１の端末から受信する操作情報受信手段と、
   前記パケット収集手段によって収集されたパケットから、前記通信内容を再構築するパケット解析手段と、
   前記パケット解析手段によって再構築された通信内容及び前記操作情報受信手段によって受信された操作情報を対応付けて格納する解析結果格納手段と、
   前記解析結果格納手段に格納されている前記再構築された通信内容及び当該再構築された通信内容に対応付けて前記解析結果格納手段に格納されている操作情報を、当該再構築された通信内容を表示する機能を有する第２の端末に送信する送信手段と、
   前記パケット収集手段によってパケットが収集された後、前記第１の端末から送信された操作情報が前記操作情報受信手段によって受信されたかを判定する判定手段と、
   前記操作情報受信手段によって操作情報が受信されていないと判定された場合、前記第１の端末及びサーバ間の通信を中継する中継装置に対して、当該第１の端末及びサーバ間の通信の遮断を指示する指示手段と
   を具備することを特徴とする通信監視記録再生装置。
2. ユーザによって指定された検索条件に応じて、当該検索条件に合致する前記再構築された通信内容を前記解析結果格納手段から検索する検索手段を更に具備し、
   前記送信手段は、前記検索手段によって検索された前記再構築された通信内容及び当該再構築された通信内容に対応付けて前記解析結果格納手段に格納されている操作情報を前記第２の端末に送信する
   ことを特徴とする請求項１記載の通信監視記録再生装置。
3. 第１の端末と、当該第１の端末及びサーバ間での通信内容が分割されたパケットを通信可能なネットワークに接続された通信監視記録再生装置と、当該通信監視記録再生装置と接続された第２の端末とを備える通信監視記録再生システムにおいて、
   前記第１の端末は、
   前記第１の端末に表示された通信内容に対して当該第１の端末を利用してユーザが行った操作に関する操作情報を収集する対象となる通信内容の条件を予め保持する操作情報収集条件テーブルと、
   前記第１の端末及びサーバ間での通信内容が、前記操作情報収集条件テーブルに保持されている条件に合致するかを判定する判定手段と、
   前記操作情報収集条件テーブルに保持されている条件に合致すると判定された場合に、前記第１の端末に表示された通信内容に対して当該第１の端末を利用してユーザが行った操作に関する操作情報を収集する操作情報収集手段と、
   前記操作情報収集手段によって収集された操作情報を保持する操作情報管理テーブルと、
   前記操作情報管理テーブルに保持されている操作情報を前記通信監視記録再生装置に送信する第１の送信手段と
   を含み、
   前記通信監視記録再生装置は、
   前記ネットワーク上のパケットを収集するパケット収集手段と、
   前記第１の送信手段によって送信された操作情報を受信する操作情報受信手段と、
   前記パケット収集手段によって収集されたパケットから、前記通信内容を再構築するパケット解析手段と、
   前記パケット解析手段によって再構築された通信内容及び前記操作情報受信手段によって受信された操作情報を対応付けて格納する解析結果格納手段と、
   前記解析結果格納手段に格納されている前記再構築された通信内容及び当該再構築された通信内容に対応付けて前記解析結果格納手段に格納されている操作情報を、前記第２の端末に送信する第２の送信手段と、
   前記パケット収集手段によってパケットが収集された後、前記第１の端末から送信された操作情報が前記操作情報受信手段によって受信されたかを判定する判定手段と、
   前記操作情報受信手段によって操作情報が受信されていないと判定された場合、前記第１の端末及びサーバ間の通信を中継する中継装置に対して、当該第１の端末及びサーバ間の通信の遮断を指示する指示手段と
   を含み、
   前記第２の端末は、前記第２の送信手段によって送信された通信内容を表示し、当該第２の送信手段によって送信された操作情報に基づいて当該表示された通信内容に対して実行された操作を発生させることによって前記第１の端末に表示された通信内容を再現する再現手段を含む
   ことを特徴とする通信監視記録再生システム。

Images