JP6148023B2 - システム、情報処理装置、履歴情報サーバ、履歴情報を取得もしくは収集する方法、処理方法およびプログラム - Google Patents

Description

本発明は、ログ（履歴情報）収集に関するものである。

企業、学校および行政機関においてコンピュータは広く普及し、そのコンピュータがインターネットに接続されていることも今や普通である。インターネットに接続されたコンピュータが普及したことで、会社員、教師、生徒および公務員などのユーザが、それぞれに課せられた業務とは関係ない操作を行ってしまうことが問題となっている。そこで、これらのユーザが業務外でコンピュータを使用することを減らすために、コンピュータ操作ログ（業務履歴）を収集するアプリケーションが提案されている。取得された業務履歴は、コンピュータを使用するユーザがどのような業務を行っているかを分析するために役立つ（業務分析）。

特許文献１によれば、ＷｅｂブラウザでのＷｅｂサイトへのアクセス（Ｗｅｂサイトの閲覧、ＦＴＰサーバへのファイルアップロード等）を検出する発明が提案されている。通常、Ｗｅｂサイトとのアクセスを検出するには、特許文献１のように、ネットワークを通過するパケットをキャプチャして解析するネットワーク監視装置や、Ｗｉｒｅｓｈａｒｋ （登録商標） 等のスニッフィング用のアプリケーションが利用される。また、そのようなアプリケーションを開発するにはパケットキャプチャドライバが必要となる。パケットキャプチャドライバとしては、オープンソースのＷｉｎｐｃａｐ というパケットキャプチャドライバが公開されている。サードパーティは、このパケットキャプチャドライバからパケット情報を取得して分析するアプリケーションを開発すれば、いつ、どのようなＷｅｂサイトとアクセスしたかを記録した業務履歴を作成できる。

特開２００５−２１７８５１号公報

しかし、従来技術では、パケットキャプチャドライバから取得したパケット情報がＳＳＬ等により暗号化されていると、業務を分析することができないという課題があった。具体的には、ＨＴＴＰＳやＦＴＰＳ等のプロトコルでアクセスしたＷｅｂサイトのＵＲＬすら、パケット情報から分析することができない。

一方で、Ｗｅｂブラウザなどのウインドウにはアドレス情報を表示するためのアドレスバーが設けられている。よって、アドレスバーからアドレス情報を取得することで、パケットが暗号化されているかどうかとは無関係に、ユーザがアクセスしたＷｅｂサイトのアドレスを記録できるようになる。

しかし、アドレスバーから取得したアドレス情報だけでは、掲示板のアドレスやＷｅｂメールを提供するＷｅｂサイトのアドレスしかわからない。すなわち、掲示板への投稿内容やＷｅｂメールの内容までを業務履歴として記録することができない。

そこで、本発明は、ユーザがアクセスしたサーバのアドレス情報だけでなく、そのサーバに対して送信したパケットについても業務履歴として記録することを目的とする。

本発明によれば、
複数の情報処理装置と、当該複数の情報処理装置から履歴情報を収集する履歴情報サーバとを備えたシステムであって、
前記複数の情報処理装置のそれぞれは、
ウインドウに表示されているアドレス情報であって、当該ウインドウのテキストボックスに表示されているアドレス情報を、定期的にまたは当該アドレス情報が変更されるたびに、ユーザの識別情報とともに第一の情報として取得するアドレス情報取得手段と、
Ｗｅｂサーバに対して送信されたパケットを、ユーザの識別情報とともに取得するパケット取得手段と
前記アドレス情報取得手段により取得された前記第一の情報と前記パケット取得手段により取得されたパケットとを前記履歴情報サーバに送信する送信手段と
を備え、
前記履歴情報サーバは、
前記複数の情報処理装置のそれぞれから送信された前記第一の情報と前記パケットとを受信する受信手段と、
前記受信手段が受信した前記第一の情報と前記パケットとを記録する履歴記録手段
と、
前記履歴記録手段にて記録された前記第一の情報と前記パケットとのユーザの識別情報に基づいて、前記アドレス情報と前記パケットとを関連付けた分析結果を出力する出力手段と、
を備えたことを特徴とするシステムが提供される。

本発明によれば、ウインドウに表示されているアドレス情報を取得するとともに、Ｗｅｂサーバに対して送信されたパケットを取得して履歴として記録する。そのため、たとえば、掲示板への投稿内容やＷｅｂメールの内容などを含むパケットについてもアドレス情報とともに履歴として記録できるようになる。

実施形態における情報処理装置と履歴情報を収集するサーバ装置とを含むシステムのハードウェア構成を示す図である。 ＯＳとスレッド間のウインドウメッセージの流れを示す図である。 グローバルフックがウインドウメッセージをインターセプトしていることを示す図である。 Ｗｅｂブラウザのユーザインタフェースを示す図である。 業務履歴データの取得方法を示すフローチャートである。 業務履歴データの一例を示す図である。 業務履歴データの取得方法を示すフローチャートである。 業務履歴データの一例を示す図である。 パケットの一例を示す図である。

図１は、情報処理装置と履歴情報を収集するサーバ装置とを含む業務履歴取得システムの一例を示す図である。情報処理装置１０は、たとえば、企業、学校、行政機関または家庭などに設置され、ユーザの業務履歴（操作履歴ないしは閲覧履歴）を取得するコンピュータの一例である。サーバ装置４０は、複数の情報処理装置１０から業務履歴データ１９を取得して、データベース化したり、業務分析したりするコンピュータである。なお、サーバ装置４０は、オプションであり、必ずしも必要ではない。情報処理装置１０は、インターネットやイントラネットなどのネットワーク１００を介してサーバ装置４０やＷｅｂサーバ、ＦＴＰサーバなどと接続されている。なお、情報処理装置１０とサーバ装置４０は簡潔化のために１台ずつ示されているが、実際には複数であってもよい。

なお、業務履歴取得システムは、シンクライアント（例えば、ターミナルサービスなど）を利用した構成でもよい。シンクライアントとは、情報処理装置がサーバ装置にリモート接続し、サーバ装置上に生成された仮想デスクトップ環境を利用してサーバ装置上でアプリケーションプログラムを実行できるようにするシステムである。

情報処理装置１０は、オフィス（企業、学校および行政機関）や家庭などに配置されるパーソナルコンピュータなどの情報処理装置である。情報処理装置１０では、記憶装置１５に記憶されているソフトウエアにしたがってＣＰＵ１１が各種手段として機能する。記憶装置１５は、ハードディスクドライブ（ＨＤＤ）やＳＳＤなどである。ＣＰＵ１１は、Ｗｅｂブラウザ１７におけるＷｅｂページの表示時間に基づいて操作者（閲覧者）による情報の閲覧時間を推定する推定手段として機能する。また、ＣＰＵ１１は、推定手段により推定された各閲覧時間を合計して合計閲覧時間を算出する合計手段として機能する。閲覧時間は、閲覧者ごとにページ単位で推定される。メモリ１３は、ＲＡＭやＲＯＭなどを含む。ＲＯＭには、ＢＩＯＳなどのブートプログラムが記憶されている。ブートプログラムにしたがって、オペレーティングシステム（ＯＳ）が起動され、さらにＯＳにしたがって、各種の常駐プログラム（履歴記録プログラム１８など）が起動される。ＲＡＭは、ワークエリアとして機能する。ネットワークインターフェース１４は、ネットワーク１００を通じて他のコンピュータと通信するための通信回路である。ＣＰＵ１１およびネットワークインターフェース１４は、情報をサーバ装置から受信する受信手段や情報をサーバ装置に送信する送信手段として機能する。記憶装置１５は、Ｗｅｂブラウザ１７だけでなく、ＯＳや、インターネットの閲覧履歴（業務履歴）を記録する履歴記録プログラム１８、業務履歴である業務履歴データ１９などを記憶する。履歴記録プログラム１８は、たとえば、グローバルフックを用いてウインドウメッセージを監視し、ウインドウメッセージに含まれているアドレス情報を抽出して、業務履歴データ１９として記憶装置１５に書き込むコンピュータプログラムである。なお、履歴記録プログラム１８は、業務履歴データ１９をサーバ装置４０に送信してもよい。ＯＳとしては、一例として、Ｗｉｎｄｏｗｓ（登録商標）について説明するが、ＭａｃＯＳ、Ｌｉｎｕｘ（登録商標）、ｉＯＳ、Ａｎｄｒｏｉｄなどであってもよい。これらのＯＳでも、システムフック、動的バインド、イベントのディスパッチなど、グローバルフックと呼べるような機能をサポートしているからである。記憶装置１５には、ブラウザプロセス名リストも記憶されている。ブラウザプロセス名リストは、閲覧履歴（ログ）の取得対象となるプロセスの名称を掲載したリストである。このプロセスとしては、たとえば、Ｉｎｔｅｒｎｅｔ Ｅｘｐｌｏｒｅｒ、Ｇｏｏｇｌｅ Ｃｈｒｏｍｅ、Ｓａｆａｒｉなど、Ｗｅｂブラウザを示すプロセスの名称が登録されている。ＣＰＵ１１は、ブラウザプロセス名リストに登録されているプロセスの動作を監視する。入力部１６は、ポインティングデバイス（マウスやタッチパネル）やキーボードなどである。キーボードはソフトウエアキーボードであってもよい。また、入力部１６は、入力された操作者の音声を音声認識機能により認識してＣＰＵ１１へ指示を入力する音声認識入力部であってもよい。表示装置１２は、情報を表示するためのユーザインタフェースである。ＣＰＵ１１および表示装置１２は、受信手段により受信された情報を表示する表示手段として機能する。

履歴記録プログラム１８は、ＣＰＵ１１に各種の手段として機能させる。たとえば、ＣＰＵ１１は、Ｗｅｂサーバに対して送信されるＷｅｂリクエストを取得するＷｅｂリクエスト取得手段、Ｗｅｂリクエストにより指定されたメソッドを判別するメソッド判別手段、および、メソッド判別手段により判別されたメソッドに応じて、アドレス情報を記録するか、または、パケットを記録するかを切り替える記録制御手段として機能する。たとえば、ＣＰＵ１１は、メソッド判別手段により判別されたメソッドがＧＥＴメソッドであれば、アドレス情報を履歴記録手段に記録させてもよい。また、ＣＰＵ１１は、メソッド判別手段により判別されたメソッドがＰＯＳＴメソッドであれば、パケットを履歴記録手段に記録させてもよい。

パケットキャプチャプログラム２０は、ＣＰＵ１１を、Ｗｅｂサーバに対して送信されたパケットを取得するパケット取得手段として機能させる。パケットキャプチャプログラム２０は、たとえば、ＷｉｎＰｃａｐなどである。パケットキャプチャプログラム２０は、ＯＳＩ参照モデルのレイヤー２におけるパケットを取得できる。レイヤー２のパケットには、レイヤー３のパケットが内包されているため、レイヤー３パケットの送信先であるＷｅｂサーバのアドレスも含まれている。つまり、電子掲示板やＷｅｂメールを提供するサーバのアドレスや、それらに送信されるテキストデータなども当該パケットには含まれている。

サーバ装置４０の記憶装置４５は、ハードディスクドライブ（ＨＤＤ）やＳＳＤなどであり、サーバプログラム４７を記憶している。メモリ４３は、ＲＡＭやＲＯＭなどを含む。ＣＰＵ４１は、サーバプログラム４７をＲＡＭにロードし、複数の情報処理装置１０から業務履歴データ１９を取得して、データベース化したり、業務分析したりする履歴情報サーバとして機能する。ＣＰＵ４１は、複数の情報処理装置１０から業務履歴データ１９を業務履歴データ４８として記憶装置４５に記憶する。ネットワークインターフェース４４は、ネットワーク１００を通じて他のコンピュータと通信するための通信回路である。

Ｗｅｂブラウザのウインドウに表示されているページのアドレス情報（例：ＵＲＬやパス名を含むファイル名など）は、Ｗｅｂブラウザのテキストボックス（アドレスバー）に表示される。したがって、ＣＰＵ１１は、履歴記録プログラム１８にしたがって、テキストボックスに表示されているアドレス情報を、定期的にまたはアドレス情報が変更されるたびに、取得する。アドレス情報を取得する方法としては、たとえば、アドレス情報が変更されるたびに発行されるウインドウメッセージをグローバルフックによって取得し、ウインドウメッセージからアドレス情報を抽出する方法や、定期的にＷｅｂブラウザのテキストボックスからアドレス情報を取得する方法などがある。ここでは、グローバルフックを利用する方法を中心に説明する。

図２は、ＯＳとスレッド間におけるウインドウメッセージの一般的な流れを示す図である。オペレーティングシステム２１は、任意のプロセスのＷｉｎｄｏｗＰｒｏｃｅｄｕｒｅを持つ任意のスレッドに対して、ウインドウメッセージ２３を発行することができる。

図３は、グローバルフックが起動した場合のＯＳとスレッドとの関係を示している。ユーザからの入力が入力部１６にあると、オペレーティングシステム２１は、ウインドウメッセージ２３をスレッド２２へ発行する。グローバルフック２４は、オペレーティングシステム２１からスレッド２２へ発行されるウインドウメッセージ２３をインターセプトできる機能である。ここではＯＳからスレッド方向への命令をインターセプトしているが、スレッドからＯＳへの返答もインターセプト可能である。Ｗｅｂブラウザ１７が備える複数のタブのうち、ユーザによって任意のタブがアクティブに切り替えられると、このタブを表示するためにウインドウメッセージ２３をＷｅｂブラウザ１７がオペレーティングシステム２１に発行する。オペレーティングシステム２１は、ウインドウメッセージ２３に含まれるＷｅｂページのアドレス情報をアドレスバーに設定し、アクティブなタブを切り替える。これにより、Ｗｅｂブラウザ１７は、アクティブなタブが表示しているＷｅｂページのアドレス情報をアドレスバーに表示する。ウインドウメッセージ２３には、このＷｅｂページのアドレス情報が含まれている。そこで、ＣＰＵ１１は、グローバルフック２４によって、Ｗｅｂページのアドレス情報を含んでいるウインドウメッセージ２３をインターセプトすることで、アクティブタブのアドレス情報を取得できる。

図４（Ａ）および図４（Ｂ）は、Ｗｅｂブラウザのユーザインタフェースの一例を示す図である。Ｗｅｂブラウザ１７のウインドウ３０には、複数のタブ３１と、アクティブタブが表示しているページのアドレス情報を表示するアドレスバー３２と、ページを表示する表示領域３３とが設けられている。図４（Ａ）では、３つあるタブ３１のうち一番右に配置されているタブ３１がアクティブになっている。よって、一番右に配置されているタブ３１に対応したページのＵＲＬがアドレスバー３２に表示されている。図４（Ｂ）は、ユーザが入力部１６のポインティングデバイスを操作して、中央のタブ３１を選択したときのＷｅｂブラウザのユーザインタフェースを示している。中央のタブ３１がアクティブに変更されたため、Ｗｅｂブラウザ１７（ＣＰＵ１１）は、中央のタブ３１に対応するページのＵＲＬをアドレスバー３２に表示する。このタブの切り替えの際に発行されるウインドウメッセージ２３には、ＵＲＬが含まれている。なお、オペレーティングシステム２１は、入力部１６のキーボードを通じてアドレスバー３２に対して、アクティブなタブ３１についてのＵＲＬの入力を受け付け、ＵＲＬを含むウインドウメッセージ２３をＷｅｂブラウザ１７に送信することもある。この際のウインドウメッセージ２３も、グローバルフックによって履歴記録プログラム１８（ＣＰＵ１１）がインターセプトできる。

図５は、本実施形態にかかる業務履歴情報を記録する方法を示すフローチャートである。ここでは、履歴記録プログラム１８にしたがって、ＣＰＵ１１が業務履歴記録方法を実行する。ここでは、アドレス情報として、ＵＲＬを一例として説明するが、閲覧したページを構成するファイルが格納されている場所（パスを含むファイル名など）を示す情報でもよい。

Ｓ５０１で、ＣＰＵ１１は、グローバルフックにより、ウインドウメッセージをインターセプトする。Ｗｅｂブラウザ１７は、ＵＲＬの示すＷｅｂページの閲覧を開始するために、確定したＵＲＬを示す文字列を含む、「ＷＭ＿ＳＥＴＴＥＸＴ」というウインドウメッセージ２３をアドレスバー３２に送信することで、アドレスバー３２にＵＲＬをセットする。グローバルフック２４はいかなるウインドウメッセージ２３でもインターセプトできる。そこで、Ｗｅｂブラウザ１７に対してグローバルフック２４を設定する。ＣＰＵ１１は、Ｗｅｂブラウザ１７が備えるすべてのテキストボックスに対するＷＭ＿ＳＥＴＴＥＸＴをインターセプトする。なお、テキストボックス情報の取得は、ＷＭ＿ＳＥＴＴＥＸＴの受信をインターセプトすることに限定されず、ブラウザのテキストボックスに対して分析プログラムが定期的に文字列の確認を行い、変化に気づく等の手段でもよい。すなわち、ＯＳに限定されるものではない。

Ｓ５０２で、ＣＰＵ１１は、ウインドウメッセージ２３からテキストボックスの情報を取得する。テキストボックスの情報には、ウインドウメッセージ２３を発行したプロセスの名称（プロセス名）、テキストボックスに表示されている文字列、各テキストボックスを区別するためにプロセスが割り当てた識別情報（ＩＤ）およびオブジェクトのクラス名などが含まれている。

Ｓ５０３で、ＣＰＵ１１は、テキストボックスの情報からプロセス名を取得する。なお、記憶装置１５には、あらかじめそれぞれ異なるＷｅｂブラウザ１７のプロセス名が登録されたブラウザプロセス名リストを記憶している。Ｗｅｂブラウザ１７のプロセス名としては、一般的に普及しているものを対象とすればよいが、管理者によって、追加されてもよい。

Ｓ５０４で、ＣＰＵ１１は、取得したプロセス名が、ブラウザプロセス名リストに登録されているプロセス名と一致するかどうかを判定する。一致しなければ、インターセプトしたＷＭ＿ＳＥＴＴＥＸＴは、Ｗｅｂブラウザ１７とは異なる他のプロセスが発行したＷＭ＿ＳＥＴＴＥＸＴである。よって、業務履歴として記録せずに、本処理を終了する（履歴記録プログラム１８が実行されているかぎり、Ｓ５０１ないしＳ５０７は繰り返し実行される）。一方で、取得したプロセス名が、ブラウザプロセス名リストに登録されているプロセス名と一致すれば、Ｓ５０５に進む。

Ｓ５０５で、ＣＰＵ１１は、取得したテキストボックス情報に、テキストボックス（アドレスバー）に設定されるアドレス情報（ＵＲＬ）が記述されているかどうかを判定する。Ｗｅｂブラウザ１７は複数のテキストボックスを備えていることがあるため、アドレスバー３２以外のテキストボックス（例：検索バー）も存在する。よって、すべてのテキストボックスに対するＷＭ＿ＳＥＴＴＥＸＴをインターセプトしてしまうと、業務履歴のノイズが増加してしまう。そこで、ＣＰＵ１１は、空でないＷＭ＿ＳＥＴＴＥＸＴであり、かつ、文字列の先頭がｈｔｔｐやｆｔｐで始まる等の条件を満たすＷＭ＿ＳＥＴＴＥＸＴを識別することで、ＵＲＬが記述されているＷＭ＿ＳＥＴＴＥＸＴを抽出する。取得したテキストボックス情報にアドレス情報が含まれていなければ、本処理を終了する。一方、取得したテキストボックス情報にアドレス情報が含まれていれば、Ｓ５０６に進む。

なお、アドレスバー３２あてのＷＭ＿ＳＥＴＴＥＸＴを識別する方法としては、たとえば、各プロセスによってテキストボックスごとに付与されているＩＤを用いて識別することも可能である。具体的には、あらかじめアドレスバー３２を示すＩＤをプロセスごとに記憶装置１５に記憶しておき、取得したテキストボックスの情報に含まれているＩＤと、記憶装置１５に記憶されているＩＤが一致するか否かをＣＰＵ１１が判定することで、アドレスバー３２あてのＷＭ＿ＳＥＴＴＥＸＴを識別してもよい。

また、ウインドウ３０内におけるアドレスバー３２の位置情報をあらかじめ記憶装置１５に記憶しておき、ＷＭ＿ＳＥＴＴＥＸＴが発行されたテキストボックスの位置情報と、記憶装置１５に記憶されている位置情報とが一致するかどうかをＣＰＵ１１が判定することで、アドレスバー３２あてのＷＭ＿ＳＥＴＴＥＸＴを識別してもよい。

Ｓ５０６で、ＣＰＵ１１は、テキストボックスの情報からアドレス情報に相当する文字列を抽出する。このように、ＣＰＵ１１は、Ｗｅｂブラウザのウインドウに表示されているページのアドレス情報であって、当該Ｗｅｂブラウザのテキストボックスに表示されているアドレス情報を取得するアドレス情報取得手段として機能する（Ｓ５０１〜Ｓ５０６）。アドレス情報が変更されるたびに、アドレスバー３２あてのＷＭ＿ＳＥＴＴＥＸＴが発行されるため、ＣＰＵ１１は、アドレス情報が変更されるたびにアドレス情報を取得することになる。また、グローバルフックを利用せずに、アドレスバー３２のアドレス情報を定期的に監視して、アドレス情報を取得してもよい。

Ｓ５０７で、ＣＰＵ１１は、ユーザ名やＰＣ名をオペレーティングシステムから取得するとともに、現在日時を閲覧開始日時として取得し、抽出したアドレス情報とともに業務履歴データ１９を作成し、記憶装置１５に記憶する。ユーザ名は、たとえば、オペレーティングシステムに対するユーザＩＤなどである。ＰＣ名は、たとえば、各情報処理装置に付与されているコンピュータ名である。このように、ＣＰＵ１１は、情報処理装置を操作しているユーザの識別情報または当該情報処理装置の識別情報をオペレーティングシステムから取得する識別情報取得手段として機能する。また、ＣＰＵ１１は、アドレス情報取得手段により取得されたアドレス情報と、識別情報取得手段により取得された識別情報とを関連付けてユーザの業務履歴として記録する履歴記録手段として機能する。さらに、ＣＰＵ１１は、アドレス情報取得手段により取得されたアドレス情報と、識別情報取得手段により取得された識別情報とを関連付けてユーザの業務履歴を作成する業務履歴作成手段として機能する。

図６は、業務履歴データ１９の一例を示している。ユーザ名は、情報処理装置を操作しているユーザの識別情報である。情報処理装置の識別情報であるＰＣ名が業務履歴データ１９に記録されてもよい。閲覧開始日時は、ＷＭ＿ＳＥＴＴＥＸＴまたはアドレスバー３２から抽出されたアドレス情報に対応したＷｅｂページの閲覧を開始した日時のデータである。ＵＲＬは、ＷＭ＿ＳＥＴＴＥＸＴまたはアドレスバー３２から抽出されたアドレス情報である。閲覧時間は、Ｗｅｂページの閲覧時間である。

なお、ＣＰＵ１１は、業務履歴データ１９をサーバ装置４０に送信してもよい。なお、ＣＰＵ１１は、各アドレス情報ごとのＷｅｂページの閲覧時間を継続し、業務履歴データ１９に記録してもよい。たとえば、ＣＰＵ１１は、これまで閲覧していたアドレス情報から別のアドレス情報に切り替わったかどうかを判定する。ＣＰＵ１１は、アドレス情報の切り替わりを検知すると、これまでの閲覧していたＷｅｂページの閲覧開始日時と、別のアドレス情報のＷｅｂページの閲覧開始日時との差分から閲覧開始時間を算出してもよい。

なお、ＣＰＵ１１は、ネットワーク上のサーバ装置４０に業務履歴データを送信して記録してもよい。この場合、ＣＰＵ１１やネットワークインターフェース１４は、業務履歴作成手段が作成した業務履歴をサーバに送信する送信手段として機能する。サーバ装置４０のＣＰＵ４１やネットワークインターフェース４４は、複数の情報処理装置のそれぞれから送信された業務履歴を受信する受信手段として機能する。また、ＣＰＵ４１や記憶装置４５は、受信手段が受信した業務履歴を記録する履歴記録手段として機能する。

本実施形態によれば、ＣＰＵ１１は、履歴記録プログラム１８を実行することで、Ｗｅｂブラウザ１７のウインドウ３０に表示されているＷｅｂページのアドレス情報であって、Ｗｅｂブラウザ１７のテキストボックスに表示されているアドレス情報を取得してユーザの業務履歴として記録する。Ｗｅｂブラウザ１７のテキストボックスであるアドレスバー３２に表示されているアドレス情報は暗号化されていない文字列であり、かつ、パケットキャプチャを使用しなくてもＣＰＵ１１が取得できる。つまり、ＨＴＴＰＳやＦＴＰＳ等のプロトコルを介してアクセスしたＷｅｂサイトのＵＲＬであっても、本実施形態であれば、取得することができる。そのため、本実施形態では、従来よりも正確に業務履歴を取得することが可能となる。また、Ｗｅｂブラウザ１７のアドレスバー３２には、ユーザがその時点で閲覧しているアクティブなタブ３１のＷｅｂページのアドレス情報が含まれている。よって、Ｗｅｂブラウザ１７がタブブラウザであっても、ＣＰＵ１１は、従来よりも正確に業務履歴を取得できるようになる。また、Ｗｅｂブラウザ１７のテキストボックスには、広告などのアドレス情報は表示されない。つまり、ＣＰＵ１１は、広告などのアドレス情報を業務履歴に記録しないため、業務履歴に含まれるノイズを削減できる。

アドレス情報を取得する方法としては、Ｗｅｂブラウザ１７が発行するウインドウメッセージ２３からＣＰＵ１１がグローバルフックによってアドレス情報を取得する方法がある。グローバルフックは、すべてのウインドウメッセージをインターセプトできるため、アドレス情報を含むウインドウメッセージを漏らさず取得できる。また、ＣＰＵ１１は、Ｗｅｂブラウザ１７が発行するウインドウメッセージ２３のうち、文字列としてｈｔｔｐまたはｆｔｐを含むウインドウメッセージを抽出することで、アドレス情報を含むウインドウメッセージのみを効率よく抽出できる。また、これにより、ノイズとなるような情報が業務履歴に記録されてしまうことを抑制できる。なお、ノイズとなるような情報を減らせれば、記憶装置１５、４５の記憶容量を無駄なく使用できる。

ＣＰＵ１１は、グローバルフックを使用せずに、アドレス情報を取得してもよい。たとえば、ＣＰＵ１１は、Ｗｅｂブラウザ１７のウインドウ３０に含まれるテキストボックスに表示されているアドレス情報を定期的に監視することで、アドレス情報を取得してもよい。アドレスバー３２には、アクティブなタブに表示されているＷｅｂページのアドレス情報が表示されるからである。なお、アドレス情報を取得する方法としては、たとえば、ＣＰＵ１１が、ＦｉｎｄＷｉｎｄｏｗでＨＷＮＤを取得し、取得したＨＷＮＤからＧｅｔＷｉｎｄｏｗＴｅｘｔを用いる方法が考えられる。また、ＣＰＵ１１は、アドレスバー３２の表示位置情報（メインウインドウの左上からアドレスバー３２の左上までのベクトル）を予めメモリに記憶させておき、表示位置情報をメモリから読み出すことで、アドレスバー３２を特定し、アドレスバー３２に表示されているアドレス情報を取得してもよい。

＜その他＞
業務履歴は、グローバルフックから直接的に記憶装置１５に書き出さなくてもよい。たとえば、別のスレッドや別のプロセス等にアドレス情報を転送し、そこから記憶装置１５に書き込んでもよい。

履歴記録プログラム１８やサーバプログラム４７は、業務履歴データ１９、４８を分析してもよい。たとえば、ＣＰＵ１１やＣＰＵ４１は、ＵＲＬごとの閲覧時間の合計を算出することで、ユーザにとって閲覧されやすいＷｅｂサイトを特定できる。あらかじめ複数のＵＲＬをカテゴリーごとに分類してリストを作成しておいてもよい。つまり、記憶装置１５、４５には、各カテゴリー別にＵＲＬを登録したリストが記憶されている。ＣＰＵ１１は、このリストを参照し、カテゴリーごとの閲覧時間の合計を算出してもよい。

＜変形例＞
上記の実施例によれば、Ｗｅｂブラウザのテキストボックスに表示されているアドレス情報を取得することで、クライアントとサーバとの間が暗号化されていたとしても、アドレス情報を取得することが可能となる。もちろん、上記の実施例は、クライアントとサーバとの間が暗号化されていなくても、適用できる。

一方で、アドレス情報からはどのＷｅｂサーバにアクセスしたかは判明するものの、どのような情報をＷｅｂサーバに対して送信したかはわからない場合がある。たとえば、Ｗｅｂサーバが電子掲示板であれば、ユーザがその電子掲示板に書き込んだ投稿内容については、アドレス情報からはわからない。同様に、ＷｅｂサーバがＷｅｂメールサーバであれば、ユーザがそのＷｅｂメールサーバから送信したＷｅｂメールの内容については、アドレス情報だけではわからない。

そこで、本実施例では、Ｗｅｂブラウザのテキストボックスに表示されているアドレス情報を取得するとともに、Ｗｅｂサーバに送信した情報をパケットキャプチャプログラム２０（例：Ｗｉｎｐｃａｐ）により取得し、これらを操作履歴（業務履歴、閲覧履歴）として記録することを提案する。

パケットキャプチャプログラム２０は、パケットキャプチャドライバと呼ばれることもある。履歴記録プログラム１８は、パケットキャプチャプログラム２０と連携することで、ブラウザとサーバとの間で送受信された通信内容を取得して、業務履歴データ１９を作成して記録する。このように、本実施例では、テキストボックスに表示されているアドレス情報からでは取得できない通信内容（例：掲示板への投稿内容や、Ｗｅｂメールの内容等）も業務履歴データ１９の一部として記録できるようになる。

ところで、パケットキャプチャプログラム２０は、ネットワークインターフェース１４から送信されるパケットやネットワークインターフェース１４により受信されるパケットを取得できる。つまり、同一のネットワークセグメントに所属している他のコンピュータからのパケットも傍受できてしまう。したがって、履歴記録プログラム１８は、パケットキャプチャプログラム２０が取得したパケットのうち、Ｗｅｂブラウザのテキストボックスに表示されているアドレス情報に関連したパケットのみを抽出して、業務履歴データ１９に記録してもよい。あるいは、履歴記録プログラム１８が、パケットの生データからＵＲＬ、メソッドを示す情報、および、通信内容のみを抽出して、業務履歴データ１９を作成してもよい。

図７は、パケットキャプチャプログラム２０を利用した業務履歴データの取得方法を示すフローチャートである。当該フローチャートは、履歴記録プログラム１８にしたがってＣＰＵ１１が実行する代表的な工程を示している。
なお、図７に示したフローチャートは、図５に示したフローチャートと並列に実行される。つまり、それぞれのフローチャートによって別々に独立して履歴データが取得される。それぞれ別々の履歴データであっても、履歴データにおいて共通する項目（時刻データ、ＵＲＬ、ユーザ名など）を用いて、双方の履歴データから相互に関連するもののみを検索して抽出できる。よって、アドレスバーから取得したアドレス情報を含む履歴データと、パケットキャプチャプログラム２０によって取得したパケットのデータを含む履歴データとは、それぞれ独立して取得可能である。もちろん、履歴記録プログラム１８は、相互に関連する履歴データを１つにマージしてもよい。このマージは、サーバ装置４０が実行してもよい。

Ｓ７０１で、ＣＰＵ１１は、ＷｅｂリクエストがＷｅｂブラウザ１７によって発行されたかどうかを判定する。ＣＰＵ１１は、パケットキャプチャプログラム２０にパケットを取得させ、取得したパケットにＷｅｂリクエスト（ＨＴＴＰリクエスト）が含まれているかどうかを判定する。なお、パケットには、ＵＲＬや、リファラ、検索キーワード、メソッド、などのＷｅｂページを表示するための情報が含まれている。

図９（Ａ）は、ＰＯＳＴメソッドを含むパケットの一部の一例を示す図である。この例では、メソッドがＰＯＳＴであり、ＵＲＬがhttp://www.aaa.htmlであり、ホストはaaaであり、リファラがhttp://www.aaa.bbb.comである。さらに、投稿タイトルはＣｏｎｔｒｏｌ Ｂｅａｒであり、投稿の本体は「Ｃｏｎｔｒｏｌ Ｂｅａｒ大好き！」である。図９（Ｂ）は、ＧＥＴメソッドを含むパケットの一部の一例を示す図である。この例では、ＵＲＬがhttp://www.bbb.htmlであり、ホストはbbbであり、リファラがhttp://www.aaa.bbb.comである。なお、ＨＴＴＰリクエストは、たとえば、ＧＥＴ ／ｉｎｄｅｘ．ｈｔｍｌ ＨＴＴＰ／１．１ などである。ＣＰＵ１１がＷｅｂリクエストを検出すると、Ｓ７０２に進む。

Ｓ７０２で、ＣＰＵ１１は、履歴記録プログラム１８がＷｅｂブラウザ１７のテキストボックス（アドレスバー）に表示されているアドレス情報を監視しているか否かを判定する。履歴記録プログラム１８は、アドレス情報を監視する監視モードとアドレス情報を監視しない非監視モードとを有しており、どちらのモードを実行するかは設定ファイルによって指定したり、サーバ装置４０からモードを指定されたりする。後者の場合、サーバ装置４０は、予めユーザごとにどちらのモードを指定するかを管理者等により設定されている。よって、ＣＰＵ１１は、設定ファイルを参照したり、サーバ装置４０に問い合わせたりすることで、アドレス情報を監視しているか否かを確認できる。なお、監視モードが実行されている場合、ＣＰＵ１１は、図５に示したフローチャートを図７に示したフローチャートと並列に実行していることになる。アドレス情報を監視していない場合、Ｓ７０３に進む。なお、アドレス情報を監視していない場合には、監視する設定になっていなかった場合に加え、監視する設定になっていたとしても何らかの障害で監視できていない場合が含まれてもよい。

Ｓ７０３で、ＣＰＵ１１は、パケットキャプチャプログラム２０によって取得したパケットを業務履歴データ１９として記憶装置１５に記録する。この際に、ＣＰＵ１１は、ログインしているユーザ名をＯＳから取得するとともに、ＲＴＣ（リアルタイムクロック）から時刻データを取得し、パケットの生データとともに関連付けて業務履歴データ１９を作成し記憶装置１５に記録してもよい。また、ＣＰＵ１１は、パケットの生データからメソッドと実際にメソッドにしたがって送信された内容を取得して、業務履歴データ１９にそれらを含めてもよい。パケットの生データに含まれている様々なデータのうち、業務履歴の分析に必要のないデータはＣＰＵ１１が削除してもよい。業務分析に必要なデータとしては、Ｗｅｂページを表示する際に含まれる情報（例：リファラ、検索キーワードおよびメソッド）などがある。

パケットキャプチャプログラム２０が取得するパケットには、Ｗｅｂブラウザ１７だけでなく、同時に通信を行っている様々なプロセスにより生成されたパケットが存在することがある。ＣＰＵ１１は、パケットキャプチャプログラム２０が取得したパケットのうち、プロトコルがＨＴＴＰになっているパケットや、ポート番号によって、Ｗｅｂブラウザ１７に関するパケットを選別してもよい。

一方で、履歴記録プログラム１８がアドレスバーを監視している場合、Ｓ７０４に進む。

Ｓ７０４で、ＣＰＵ１１は、Ｓ７０１で取得したＷｅｂリクエストに含まれていたメソッドを判別する。たとえば、ＣＰＵ１１は、Ｗｅｂリクエストから抽出したメソッドがＧＥＴメソッドであるか否かを判定してもよい。ＧＥＴメソッドでなかった場合は、Ｓ７０３に進む。ＧＥＴメソッドでなかった場合とは、たとえば、通信内容が含まれるＰＯＳＴメソッド、ＣＯＮＥＮＥＣＴメソッドなどである。Ｓ７０３で、ＣＰＵ１１は、パケットキャプチャプログラム２０によって取得したパケットを業務履歴データ１９として記憶装置１５に記録する。この詳細はすでに説明したとおりである。一方で、ＧＥＴメソッドであった場合は、業務履歴データ１９の記録は行わずに本フローチャートに係る処理を終了する。

図７のフローチャートにおいて、ＧＥＴメソッドであった場合に、業務履歴データ１９の記録は行わない理由は、図５のフローチャートにおいて、アドレス情報を業務履歴データ１９として記憶装置１５に記録しているからである。
つまり、ＧＥＴメソッドを取得した場合、ＣＰＵ１１は、履歴記録プログラム１８にしたがって、Ｗｅｂブラウザ１７のテキストボックスに表示されているアドレス情報を取得し、それを業務履歴データ１９として記憶装置１５に記録している。つまり、この場合は、図７のフローチャートにおいては業務履歴データ１９を記録しないものの、図５のフローチャートにおいては業務履歴データ１９を記録するのである。

図８（Ａ）および図８（Ｂ）は、業務履歴データ１９の一例を示す図である。とりわけ、図８（Ａ）は、図５に示したフローチャートにしたがってＷｅｂブラウザ１７のテキストボックスに表示されているアドレス情報を取得し、業務履歴データ１９として記録したものである。図８（Ｂ）は、図７に示したフローチャートにしたがってパケット情報を業務履歴データ１９として記録したものである。

情報分析装置として機能するサーバ装置４０のＣＰＵ４１は、ユーザ名と時刻データとから、関連する業務履歴データを抽出する。ここでは、ユーザ名が“ａｋａｓａｋａ”であり、時刻が２０１３／０１／３１ １３：００から２０１３／０１／３１ １３：１０までの業務履歴データが抽出されている。さらに、情報分析装置として機能するサーバ装置４０のＣＰＵ４１は、図８（Ｂ）に示した業務履歴データ１９のパケット取得日時と、図８（Ａ）に示したＷｅｂページの閲覧開始日時とを比較する。図８（Ｂ）に示した業務履歴データ１９によれば、ユーザ名“ａｋａｓａｋａ”が”Ｃｏｎｔｒｏｌ Ｂｅａｒ大好き！”というテキストを投稿（ＰＯＳＴ）した時刻は２０１３／０１／３１ １３：０１である。また、図８（Ａ）に示した業務履歴データ１９によれば、ユーザ名“ａｋａｓａｋａ”は、２０１３／０１／３１ １３：００（閲覧開始時刻）から２０１３／０１／３１ １３：０５（閲覧終了時刻／閲覧切り替え時刻）まで、ｈｔｔｐ：／／ｗｗｗ．ａａａ．ｔｈｍｌにアクセスしていた。よって、情報分析装置として機能するサーバ装置４０のＣＰＵ４１は、ｈｔｔｐ：／／ｗｗｗ．ａａａ．ｔｈｍｌに対して、ユーザ名“ａｋａｓａｋａ”が”Ｃｏｎｔｒｏｌ Ｂｅａｒ大好き！”というテキストを投稿（ＰＯＳＴ）したと認識する。その結果、ＣＰＵ４１は、次のような分析結果を出力してもよい。
ユーザ名 ：ａｋｓａａｋａ
履歴取得日時：２０１３／０１／３１ １３：０１
メソッド ：ＰＯＳＴ
ＵＲＬ ：ｈｔｔｐ：／／ｗｗｗ．ａａａ．ｔｈｍｌ
内容 ：Ｃｏｎｔｒｏｌ Ｂｅａｒ大好き！
このように、ＣＰＵ４１は、アドレスバーから取得したアドレス情報を記録した履歴データと、パケットから取得したメソッドや送信内容を記録した履歴データとを分析し、分析結果を出力（印刷、メール送信、表示など）したり、両者を関連付けて新たな業務履歴データを作成したりしてもよい。なお、以上の処理を、ＣＰＵ１１が実行してもよい。

以上説明したように、本実施例によれば、ユーザがアクセスしたサーバのアドレス情報をアドレスバーから取得して業務履歴として記録するのと並行して、そのサーバに対して送信したパケットについても業務履歴として記録する。つまり、本実施例によれば、ウインドウに表示されているアドレス情報を取得するとともに、Ｗｅｂサーバに対して送信されたパケットを取得して履歴として記録する。そのため、たとえば、掲示板への投稿内容やＷｅｂメールの内容などを含むパケットについてもアドレス情報とともに履歴として記録できるようになる。

さらに、本実施例によれば、Ｗｅｂサーバに対して送信されるＷｅｂリクエストを取得し、Ｗｅｂリクエストにより指定されたメソッドを判別し、判別されたメソッドに応じて、アドレス情報を記録するか、または、パケットを記録するかを切り替えることができる。つまり、メソッドに応じて、アドレスバーから取得したアドレス情報だけを業務履歴として記録したり、それに加えてパケットから取得した投稿内容なども記録したりすることが可能となる。

たとえば、ＣＰＵ１１は、判別されたメソッドがＧＥＴメソッドであればアドレス情報を記録し、判別されたメソッドがＰＯＳＴメソッドであればパケットを記録してもよい。これにより、業務分析に有用な履歴を漏れなく取得することができるだろう。

また、Ｗｅｂサーバに対して送信されるＷｅｂリクエストには、ユーザが閲覧したいＷｅｂサイトの画像以外に、広告などの画像リクエストも含まれる。ユーザが閲覧したいＷｅｂサイトのＵＲＬはアドレスバーから取得されるが、広告などの画像リクエストに関するＵＲＬは、通常、アドレスバーから取得されるＵＲＬとは異なる。仮に、パケットに含まれていたＵＲＬをすべて記録してしまえば、記録されたＵＲＬには、ユーザが本当にアクセスを希望したＷｅｂサイトのＵＲＬだけでなく、意図せずにアクセスした広告画像のＵＲＬも含まれてしまう。よって、パケットから取得したＵＲＬでは、ユーザが意図してアクセスしたＵＲＬが何であるかを分析することが困難となってしまうだろう。したがって、パケットから取得したＷｅｂリクエストに含まれていたメソッドがＧＥＴメソッドであった場合は、そのパケットの記録を行わずにアドレスバーから取得したアドレス情報を記録することにより、広告など業務分析に不要な履歴を削減することができるだろう。なお、ＰＯＳＴメソッドであれば、パケットから取得されるＵＲＬとアドレスバーから取得されるＵＲＬとは一致している。よって、この場合はパケットを記録すれば、業務分析に役に立つユーザの操作履歴を取得できることになる。

さらに、Ｓ７０２、Ｓ７０３で説明したように、アドレスバーの監視を行っていないときは、パケットを取得して業務履歴として記録することで、業務履歴の取得の漏れを抑制することができるだろう。この場合、ＣＰＵ１１は、アドレス情報取得手段が機能しているかどうかを判定する判定手段として機能する。履歴記録手段として機能するＣＰＵ１１は、アドレス情報取得手段が機能していない場合であっても、パケット取得手段が取得したパケットを記録してもよい。ユーザや管理者によってアドレスバーの監視を実行しない場合や、何らかのエラーによってアドレスバーの監視が機能していない場合がある。本実施例では、このような場合には、パケットを業務履歴として記録するため、情報分析の役に立つであろう。

Claims (7)

1. 複数の情報処理装置と、当該複数の情報処理装置から履歴情報を収集する履歴情報サーバとを備えたシステムであって、
   前記複数の情報処理装置のそれぞれは、
   ウインドウに表示されているアドレス情報であって、当該ウインドウのテキストボックスに表示されているアドレス情報を、定期的にまたは当該アドレス情報が変更されるたびに、ユーザの識別情報とともに第一の情報として取得するアドレス情報取得手段と、
   Ｗｅｂサーバに対して送信されたパケットを、ユーザの識別情報とともに取得するパケット取得手段と
   前記アドレス情報取得手段により取得された前記第一の情報と前記パケット取得手段により取得されたパケットとを前記履歴情報サーバに送信する送信手段と
   を備え、
   前記履歴情報サーバは、
   前記複数の情報処理装置のそれぞれから送信された前記第一の情報と前記パケットとを受信する受信手段と、
   前記受信手段が受信した前記第一の情報と前記パケットとを記録する履歴記録手段と、
   前記履歴記録手段にて記録された前記第一の情報と前記パケットとのユーザの識別情報に基づいて、前記アドレス情報と前記パケットとを関連付けた分析結果を出力する出力手段と、
   を備えたことを特徴とするシステム。
2. 情報処理装置であって、
   ウインドウに表示されているアドレス情報であって、当該ウインドウのテキストボックスに表示されているアドレス情報を、定期的にまたは当該アドレス情報が変更されるたびに、ユーザの識別情報とともに第一の情報として取得するアドレス情報取得手段と、
   Ｗｅｂサーバに対して送信されたパケットを、ユーザの識別情報とともに取得するパケット取得手段と、
   前記アドレス情報取得手段により取得された前記第一の情報と前記パケット取得手段により取得されたパケットとを記録する履歴記録手段と、
   前記履歴記録手段にて記録された前記第一の情報と前記パケットとのユーザの識別情報に基づいて、前記アドレス情報と前記パケットとを関連付けた分析結果を出力するために出力する出力手段と、を備えたことを特徴とする情報処理装置。
3. 情報処理装置の履歴情報を収集する履歴情報サーバであって、
   前記情報処理装置のウインドウのテキストボックスに表示されているアドレス情報と、ユーザの識別情報とを第一の情報として入力する第一の入力手段と、
   前記情報処理装置からＷｅｂサーバに対して送信されたパケットと、ユーザの識別情報とを入力する第二の入力手段と、
   前記第一の入力手段により入力された前記第一の情報と、前記第二の入力手段にて入力された前記パケットとを記録する履歴記録手段と、
   前記履歴記録手段にて記録された前記第一の情報と前記パケットとのユーザの識別情報に基づいて、前記アドレス情報と前記パケットとを関連付けた分析結果を出力する出力手段とを備えたことを特徴とする履歴情報サーバ。
4. 複数の情報処理装置と、当該複数の情報処理装置から履歴情報を収集する履歴情報サーバとを備えたシステムにおける処理方法であって、
   前記複数の情報処理装置のそれぞれで実行される工程として、
   ウインドウに表示されているアドレス情報であって、当該ウインドウのテキストボックスに表示されているアドレス情報を、定期的にまたは当該アドレス情報が変更されるたびに、ユーザの識別情報とともに第一の情報として取得するアドレス情報取得工程と、
   Ｗｅｂサーバに対して送信されたパケットを、ユーザの識別情報とともに取得するパケット取得工程と、
   前記アドレス情報取得工程により取得された前記第一の情報と前記パケット取得工程により取得されたパケットとを前記履歴情報サーバに送信する送信工程と
   を有し、
   前記履歴情報サーバにより実行される工程として、
   前記複数の情報処理装置のそれぞれから送信された前記第一の情報と前記パケットとを受信する受信工程と、
   前記受信工程が受信した前記第一の情報と前記パケットとを記録する履歴記録工程と、
   前記履歴記録工程にて記録された前記第一の情報と前記パケットとのユーザの識別情報に基づいて、前記アドレス情報と前記パケットとを関連付けた分析結果を出力する出力工程と、
   を有することを特徴とする処理方法。
5. 情報処理装置において履歴情報を取得する方法であって、
   ウインドウに表示されているアドレス情報であって、当該ウインドウのテキストボックスに表示されているアドレス情報を、ユーザの識別情報とともに第一の情報として定期的にまたは当該アドレス情報が変更されるたびに、取得するアドレス情報取得工程と、
   Ｗｅｂサーバに対して送信されたパケットを、ユーザの識別情報とともに取得するパケット取得工程と、
   前記アドレス情報取得工程において取得された第一の情報と前記パケット取得工程において取得されたパケットとを記録する履歴記録工程と、
   前記履歴記録工程にて記録された前記第一の情報と前記パケットとのユーザの識別情報に基づいて、前記アドレス情報と前記パケットとを関連付けた分析結果を出力するために出力する出力工程と、
   を有することを特徴とする方法。
6. 履歴情報サーバにおいて情報処理装置の履歴情報を収集する方法であって、
   前記情報処理装置のウインドウのテキストボックスに表示されているアドレス情報と、ユーザの識別情報とを第一の情報として入力する第一の入力工程と、
   前記情報処理装置からＷｅｂサーバに対して送信されたパケットと、ユーザの識別情報とを入力する第二の入力工程と、
   前記第一の入力工程にて入力された前記第一の情報と、前記第二の入力工程にて入力された前記パケットとを記録する履歴記録工程と、
   前記履歴記録工程にて記録された前記第一の情報と前記パケットとのユーザの識別情報に基づいて、前記アドレス情報と前記パケットとを関連付けた分析結果を出力する出力工程と
   を有することを特徴とする方法。
7. コンピュータを、請求項２に記載の情報処理装置、または、請求項３に記載の履歴情報サーバとして機能させるためのプログラム。