JP7300317B2 - ログ解析システム及びログ解析方法 - Google Patents

Description

本発明は、ログ解析システム及びログ解析方法に関する。

通信技術、情報処理技術の進展と共に、企業や政府機関等からネットワークを介して種々のサービスが提供されている。ユーザ（消費者）は、携帯電話、スマートフォン等の各種端末を操作して、上記サービスを利用する。例えば、所謂、Ｅコマースと称される、商品やサービスの売買を行う電子商取引の利用が日常的に行われている。

このような電子商取引ではユーザの行動を把握する目的で、ＷＥＢサイト等へのアクセス情報（ログ情報）が収集されることがある。例えば、特許文献１には、サービス提供者が提供するサービスにおいて、ユーザの属性や行動履歴などを含むユーザ情報が取得され、かかるユーザ情報に基づいて、ユーザに応じた広告やその他の情報が提供されている、と記載されている。

特開２０１９－４６４７３号公報

上記特許文献１に記載されたように、ユーザに対して的確な広告等を発信するためには、ユーザの行動履歴等が必要となる。

しかしながら、サービス提供者が真に必要とするログ情報が収集されていないのが現状である。例えば、ログ収集を目的として、スマートフォン等の端末にログ収集のための専用アプリケーションをインストールすることが考えられる。

しかし、このような専用アプリケーションを活用したログ収集では、ＯＳ（Operating System）ごとに上記アプリケーションを用意する必要があったり、端末とサーバ間の通信が暗号化されている場合には有用な情報が得ることができなかったりする。

本発明は、端末からネットワーク上のサーバにアクセスした際のログ情報を解析可能とする、ログ解析システム及びログ解析方法を提供することを主たる目的とする。

本発明の第１の視点によれば、端末とサーバ間の通信を暗号化しつつ仲介すると共に、前記端末とサーバ間の通信に関するログを収集する、ＶＰＮ（Virtual Private Network）装置と、前記収集されたログを解析する、解析装置と、を含む、ログ解析システムが提供される。

本発明の第２の視点によれば、端末とサーバ間の通信を暗号化しつつ仲介すると共に、前記端末とサーバ間の通信に関するログを収集するステップと、前記収集されたログを解析するステップと、を含むログ解析方法が提供される。

本発明の各視点によれば、端末からネットワーク上のサーバにアクセスした際のログ情報を解析可能とする、ログ解析システム及びログ解析方法が提供される。なお、本発明により、当該効果の代わりに、又は当該効果と共に、他の効果が奏されてもよい。

第１の実施形態に係るログ解析システムの概略構成の一例を示す図である。 第１の実施形態に係るＶＰＮ（Virtual Private Network）装置の処理構成の一例を示す図である。 設定情報取得部が生成するＧＵＩ（Graphical User Interface）の一例を示す図である。 第１の実施形態に係るＶＰＮ装置の処理構成の別の一例を示す図である。 ログ収集部が収集したログ情報の一例を示す図である。 第１の実施形態に係る解析装置の処理構成の一例を示す図である。 設定情報取得部が生成するＧＵＩの一例を示す図である。 第１の実施形態に係るログ解析部の動作を説明するための図である。 第１の実施形態に係るログ解析部の動作を説明するための図である。 第１の実施形態に係るログ解析部の動作を説明するための図である。 第１の実施形態に係るログ解析システムの動作の一例を示すシーケンス図である。 第１の実施形態に係るＶＰＮ装置のハードウェア構成の一例を示すである。

［第１の実施形態］
第１の実施形態について、図面を用いてより詳細に説明する。

図１は、第１の実施形態に係るログ解析システムの概略構成の一例を示す図である。図１を参照すると、ログ解析システムは、複数の端末１０－１～１０－Ｎ（Ｎは正の整数、以下同じ）と、複数のサーバ２０－１～２０－Ｍ（Ｍは正の整数、以下同じ）と、ＶＰＮ（Virtual Private Network）装置３０と、解析装置４０と、を含んで構成される。

なお、以降の説明において、端末１０－１～１０－Ｎを区別する特段の理由がない場合には単に「端末１０」と表記する。同様に、サーバ２０－１～２０－Ｍを区別する特段の理由がない場合には単に「サーバ２０」と表記する。

端末１０は、有線又は無線の通信手段によりネットワークにアクセスする。端末１０として、スマートフォン、携帯電話機、ゲーム機、タブレット等の携帯端末装置やコンピュータ（パーソナルコンピュータ、ノートパソコン）等が例示される。

サーバ２０は、インターネット等のネットワーク上に設置され、電子商取引や情報検索等の各種サービスを提供する。

ＶＰＮ装置３０は、端末１０とサーバ２０間の通信を暗号化しつつ仲介すると共に、端末１０とサーバ２０間の通信に関するログ（サーバ２０へのリクエスト、端末１０へのレスポンス）を収集する装置である。

ＶＰＮ装置３０は、端末１０とサーバ２０の間の通信を仲介する通信装置（プロキシサーバ）として動作する。ＶＰＮ装置３０は、端末１０からサーバ２０に向けて送信されるユーザデータ（パケット）を受信し、当該受信データをその宛先となるサーバ２０に転送する。ＶＰＮ装置３０は、サーバ２０から上記データの応答を受信すると、受信した応答を端末１０に転送する。

ＶＰＮ装置３０は、上記データ転送の際に、他の装置（端末１０、サーバ２０）との通信を暗号化する。具体的には、ＶＰＮ装置３０は、ＳＳＬ（Secure Sockets Layer）等のプロトコルを用いて端末１０、サーバ２０それぞれの間の通信を暗号化する。

ＶＰＮ装置３０は、端末１０とサーバ２０の間の通信ログ（アクセスログ）を収集する。その際、ＶＰＮ装置３０は、暗号化された状態のログを収集するのではなく、暗号が復号された状態のログ（平文のログ）を収集する。つまり、ＶＰＮ装置３０は、端末１０、サーバ２０から暗号化されたデータ（パケット）を受信し、当該暗号化されたデータを復号した後に、復号されたデータをログとして記憶する。

ＶＰＮ装置３０は、収集したログを定期的、又は所定のタイミングで解析装置４０に送信する。

解析装置４０は、受信したログ（ＶＰＮ装置３０により収集されたログ）を解析し、その結果（ログ解析結果）を出力する。

なお、本願開示では、ＶＰＮ装置３０がログを収集することに同意したユーザのアクセスログを収集することを前提とする。そのため、端末１０はＶＰＮ装置３０を経由してネットワークにアクセスするように設定される。

具体的には、端末１０にはパケットの送信先をＶＰＮ装置３０に設定するような簡単なアプリケーションがインストールされ、当該アプリケーションを動作させることで端末１０はＶＰＮ装置３０に向けてパケットを送信する。このように、端末１０のユーザはＶＰＮ装置３０がアクセスログを収集することに同意しているので、本願開示のログ解析システムではプライバシー等に関する問題は生じない。

図２は、第１の実施形態に係るＶＰＮ装置３０の処理構成（処理モジュール）の一例を示す図である。図２を参照すると、ＶＰＮ装置３０は、通信制御部３０１と、ログ収集部３０２と、設定情報取得部３０３と、を含んで構成される。

通信制御部３０１は、他の装置（端末１０、サーバ２０）との間の通信を制御する手段である。

通信制御部３０１は、自装置と端末１０の間の暗号化通信と、自装置とサーバ２０の間の暗号化通信と、が異なるようにする。具体的には、通信制御部３０１は、各装置との間でＳＳＬ通信を用いる場合には、端末１０との暗号化通信には第１の共通鍵、サーバ２０との暗号化通信には第２の共通鍵をそれぞれ用いるようにする。即ち、通信制御部３０１は、端末１０と自装置との間の暗号化通信と、サーバ２０と自装置との間の暗号化通信と、をそれぞれ終端する。

なお、通信制御部３０１は、端末１０とサーバ２０の間の通信を復号し、再暗号するのが原則であるが、端末１０とサーバ２０の間の通信によっては上記処理を実施すると通信が正常に行えない場合がある。具体的には、上記処理を実施すると、サーバ２０又は端末１０が正常に応答しない場合がある。そのような場合、通信制御部３０１は、端末１０とサーバ２０の間の通信に何らの処理を施さず、そのままパケットを転送する。例えば、通信制御部３０１は、暗号化されたパケットをサーバ２０から受信し、端末１０が当該サーバ２０からのパケットに応答しない場合には、サーバ２０から取得したデータをそのまま端末１０に転送する。

このように、ＶＰＮ装置３０は、特定のサーバ２０から暗号化されたデータを受信した際、端末１０が正常な動作をしない場合には、端末１０とサーバ２０の間の通信を復号しない。即ち、ＶＰＮ装置３０は、暗号化されていない通信はそのまま記録する。ＶＰＮ装置３０は、暗号化されている通信は、一度「復号」し、平文を記録して（ログを記録して）、再び「暗号化」する。さらに、ＶＰＮ装置３０は、上記処理（復号、再暗号）を行うと正しく通信が行えない場合には、「復号化」せずにスルーする（暗号化されているものをそのまま受信側に送信する）。その結果、特殊な仕様を有するサーバ２０と端末１０の間の通信もログとして記憶することができる。

通信制御部３０１は、他の装置から暗号化されたデータを取得すると、当該取得データの暗号を復号する。その後、通信制御部３０１は、復号したデータ（平文のデータ）をログ収集部３０２に引き渡す。

ログ収集部３０２は、端末１０とサーバ２０の間の通信のログ（アクセスログ）を収集する手段である。ログ収集部３０２は、通信制御部３０１から取得したデータを記憶部（図示せず）に格納する。その際、ログ収集部３０２は、システム管理者等が入力する「ログ収集動作設定情報」に応じたログ収集動作を行う。ログ収集動作設定情報は、ＶＰＮ装置３０がログを収集する際の動作を規定する情報である。

設定情報取得部３０３は、ログ収集動作設定情報を取得（入力）する手段である。例えば、設定情報取得部３０３は、システム管理者等が上記ログ収集動作設定情報を入力するためのＧＵＩ（Graphical User Interface）を生成する（例えば、図３参照）。あるいは、設定情報取得部３０３は、ログ収集動作設定情報が記載されたファイルを入力してもよいし、ネットワーク上のデータベースサーバ等からログ収集動作設定情報を取得してもよい。

ログ収集動作設定情報により定めることが可能な動作は多岐にわたる。例えば、ログを収集する際の端末１０とサーバ２０の間の通信方向に関する設定が可能である。より具体的には、端末１０とサーバ２０における双方向の通信をログとして残すのか、一方向（上り、下り）だけの通信をログとして残すのかといった設定が可能である。

例えば、上り方向の通信（端末１０からサーバ２０に向けた通信）に関するログを残す設定の場合には、ログ収集部３０２は、端末１０から取得したデータ（平文のデータ）だけをログとして記憶部に格納する。

あるいは、同一のサーバ２０（同一のドメイン）へのアクセスは最初のアクセス以外はログとして記憶しないといった設定も可能である。例えば、図１において、端末１０－２がサーバ２０－１にアクセスした場合を考える。この場合、端末１０－２がサーバ２０－１に最初にアクセスした際のログは記憶されるが、端末１０－２が当該サーバ２０－１に続けてアクセスした際のログは記憶されない。

なお、この場合であっても、端末１０－２がサーバ２０－１とは異なるサーバ（例えば、サーバ２０－２）にアクセスした後、再び、サーバ２０－１にアクセスした場合には、当該サーバ２０－１に関するログは記憶される。

ネットワーク上におけるユーザの行動を大局的に把握するという目的においては、同一のサーバ２０（同一のドメイン）にアクセスした際の情報はあまり重要ではない。このような重要ではないデータの記憶を省略することで、ＶＰＮ装置３０や解析装置４０が取り扱うログ情報のサイズを削減する。

同一のサーバ２０から端末１０に向けて送信されるデータに関して、最初のデータ（最初の応答）だけを記憶し、その後に続くログは記憶しないといった設定も可能である。

ログ収集動作設定情報に「時間」に関する設定が含まれていてもよい。例えば、端末１０がサーバ２０にアクセスしてから所定の時間が経過した後に、当該端末１０とサーバ２０の間のアクセスログが記憶されてもよい。

例えば、上記所定の時間に数秒を設定する。ユーザが上記数秒の間で別のサーバ２０にアクセスを移したのであれば、ユーザが操作を誤って意図しないサイトにアクセスしたことなどが考えられる。上記時刻の設定を設定情報に含めることで、このようなユーザの意図に反したログを排除できる。その結果、ログのサイズが削減されると共に、解析装置４０における解析精度を向上させることができる。

端末１０やサーバ２０から取得するデータの内容に応じたログ収集動作がログ収集動作設定情報に含まれてもよい。

例えば、端末１０からサーバ２０に送られるリクエストにリファラが含まれている場合に、ログとして残すと言った設定であってもよい。リファラはリンク元のＵＲＬ（Uniform Resource Locator）を示す情報であって、ログ解析時に重要な情報となる。従って、リファラを含むリクエスト（アクセスログ）だけを残すことで、ログのサイズを削減できる。

特定の属性を有するデータをログとして残すといった設定や、特定の属性を有するデータをログとして残さないといった設定も可能である。例えば、取得されたデータが「画像」であれば、当該画像に係るデータをログとして残さない設定が可能である。

あるいは、特定の種類の画像に限ってログとして残す設定も可能である。例えば、画像データのうち、特定の対象（例えば、スマートフォン等）に関する画像だけをログとして残すような設定も可能である。

この場合、図４に示すように、上記特定の対象を判別するための学習モデル３０４を使って取得した画像データがログに残す対象か否かが判定されてもよい。なお、学習モデル３０４は、画像にラベルが付与された教師データを用いた機械学習により生成される。学習モデル（分類モデル）の生成には、サポートベクタマシン、ブースティングやニューラルネットワーク等の任意のアルゴリズムを用いることができる。なお、上記サポートベクタマシン等のアルゴリズムは公知の技術を使用することができるので、その説明を省略する。

このように、ＶＰＮ装置３０は、受信データの特性（例えば、受信データが画像ファイル）に応じて受信データをログとして記憶するか否かを定めることができる。さらに、ＶＰＮ装置３０は、受信データが画像データであって、予め定めた対象を含む画像データである場合には当該予め定めた対象を含む画像データをログとして記憶してもよい。

具体的には、ログ収集部３０２は、取得したデータが画像ファイルか否かをファイル名や拡張子に基づき判断する。ログ収集部３０２は、取得したデータが「画像」であれば、当該画像データを学習モデル３０４に入力する。ログ収集部３０２は、学習モデル３０４の判定結果（特定の対象、非特定の対象）に応じたログ収集動作を行う。

例えば、スマートフォンに関する画像データをログとして記憶する設定がなされていれば、ログ収集部３０２は学習モデル３０４により「スマートフォン」と判定されたデータを記憶し、「非スマートフォン」と判定されたデータは破棄する。

図５は、ログ収集部３０２が収集したログ情報の一例を示す図である。図５に示すように、ログ収集部３０２は、ログを取得した日時、ログの送信元、アクセスログを対応付けて記憶する。なお、図５に記載した「備考」はログの内容に関する理解を容易にするためのものであり、実際のログ情報には含まれない。

図５には、上り方向（端末１０からサーバ２０に向けた通信）のアクセスログに限って記載している。図５には、送信元として端末１０の符号が記載されているが、送信元の識別子にはＩＰ（Internet Protocol）アドレス等を用いることができる。

図５では、ＶＰＮ装置３０が取得したログを順番に記載（時系列で記載）しているが、アクセスログは端末１０ごとに区分されて記憶されてもよい。即ち、ＶＰＮ装置３０は、端末１０とサーバ２０の間の通信ログを時系列に記憶していきログ情報を生成してもよいし、端末１０ごとに区分して通信ログを記憶してログ情報を生成してもよい。

図６は、第１の実施形態に係る解析装置４０の処理構成（処理モジュール）の一例を示す図である。図６を参照すると、解析装置４０は、通信制御部４０１と、ログ解析部４０２と、設定情報取得部４０３と、を含んで構成される。

通信制御部４０１は、他の装置（例えば、ＶＰＮ装置３０）との間の通信を制御する手段である。

ログ解析部４０２は、ＶＰＮ装置３０から取得したログ情報を解析する手段である。

設定情報取得部４０３は、ログ解析部４０２によるログ解析時の動作を定める設定情報（以下、ログ解析動作設定情報と表記する）を取得する手段である。例えば、設定情報取得部４０３は、システム管理者等がログ解析動作設定情報を入力するためのＧＵＩを生成する（例えば、図７参照）。

設定情報取得部４０３は、当該ＧＵＩにより設定された情報をログ解析部４０２に引き渡す。

ログ解析部４０２は、ログ解析動作設定情報に応じたログ解析を実行し、その結果を出力する。

ログ解析動作設定情報には、どのようなログ解析を実行するかに関する情報が含まれる。

例えば、ログ解析部４０２は、システム管理者から指定されたサイトを基準とし当該サイトへのアクセスに関する入出力を解析する。当該解析の指示がログ解析動作設定情報に含まれていた場合には、ログ解析部４０２は、図８に示すようなログ解析結果を出力する。

図８を参照すると、システム管理者は、アクセスフローの基準となるサイト（あるいは、ネットワークドメイン）を指定する。この場合、ログ解析部４０２は、ＶＰＮ装置３０から取得したログ情報のなかから上記基準サイトを探索する。その後、ログ解析部４０２は、当該探索した基準サイトの直前にアクセスされたサイトと基準サイトの直後にアクセスされたサイトをそれぞれ抽出し、サイトごとのその人数（端末数）を計数する。

ログ解析部４０２は、上記結果（サイトごとのアクセス人数）を含むログ解析結果を表示する。図８の例では、基準サイトを中心に当該サイトへのアクセスフロー（基準サイトへの入出力）が生成され、人数の多可がフローの向きを示す矢印の太さにより表現されている。

図８を参照すると、基準サイトへのアクセスはサイトＡよりもサイトＢからの方が多く、基準サイトから他のサイトに移る場合には、サイトＣの方がサイトＤよりも多いことが分かる。このように、解析装置４０は、ＶＰＮ装置３０により収集されたログに基づき、特定のサイトを基準とするアクセスフローを生成してもよい。

図８の例では、基準サイトを中心に１段の入出力をログ解析結果としているが、ユーザが当該段数を指定してもよい。例えば、アクセスフローを生成する際の段数を「２段」とすると、図９に示すようなログ解析結果が得られる。

図８や図９に示すようなログ解析結果に接したシステム管理者等は、ネットワーク上におけるユーザの行動を把握することができる。

なお、リファラを使用すれば、自社サイトに到達する経路を企業等は把握できる。例えば、図８の例では、基準サイトを運営する企業等は、サイトＡやサイトＢからのアクセスを把握することができる。しかし、ユーザが基準サイトを離れどのようなサイトに遷移するかに関しては、企業等は把握することができない。

一方、第１の実施形態に係る解析装置４０は、基準サイトからの出力（遷移先）も上記企業等に提供することができるため、基準サイトを運営する企業等に対して有益な情報を提供できる。図８の例では、基準サイトを運営する企業等は、サイトＣへの広告を増やすといったような対応が可能となる。

ログ解析部４０２は、サイトを予め複数の種類にカテゴライズし、カテゴライズされた種類ごとのアクセス状況を解析してもよい。例えば、ログ解析部４０２は、図１０に示すようなログ解析を行ってもよい。

具体的には、ログ解析部４０２は、ＶＰＮ装置３０から取得するログ情報に含まれ得るサイトを予め定めた種類（ジャンル）に分類する。例えば、図１０を参照すると、ログ情報に含まれるサイトは「ポータルサイト」、「ニュースサイト」、「ＥＣサイト」に分類される。

ログ解析部４０２は、ログ情報に含まれる各サイトを上記ジャンルのいずれかに分類し、時間帯ごとにアクセスの回数を計数する。図１０の例では、２０：００の時間帯にＥＣ（Electronic Commerce）サイトへのアクセスが急増することがわかる。

続いて、図面を参照しつつ、第１の実施形態に係るログ解析システムの動作について説明する。図１１は、第１の実施形態に係るログ解析システムの動作の一例を示すシーケンス図である。

ＶＰＮ装置３０は、端末１０とサーバ２０の間の通信を中継する（ステップＳ０１）。

ＶＰＮ装置３０は、端末１０及びサーバ２０間の通信ログ（アクセスログ）を収集する（ステップＳ０２）。

ＶＰＮ装置３０は、上記収集したログを定期的、又は所定のタイミングで解析装置４０に送信する（ステップＳ０３）。

解析装置４０は、取得したログ情報を解析する（ステップＳ０４）。

続いて、ログ解析システムを構成する各装置のハードウェアについて説明する。図１２は、ＶＰＮ装置３０のハードウェア構成の一例を示す図である。

ＶＰＮ装置３０は、情報処理装置（所謂、コンピュータ）により構成可能であり、図１２に例示する構成を備える。例えば、ＶＰＮ装置３０は、プロセッサ３１１、メモリ３１２、入出力インターフェイス３１３及び通信インターフェイス３１４等を備える。上記プロセッサ３１１等の構成要素は内部バス等により接続され、相互に通信可能に構成されている。

但し、図１２に示す構成は、ＶＰＮ装置３０のハードウェア構成を限定する趣旨ではない。ＶＰＮ装置３０は、図示しないハードウェアを含んでもよいし、必要に応じて入出力インターフェイス３１３を備えていなくともよい。また、ＶＰＮ装置３０に含まれるプロセッサ３１１等の数も図１２の例示に限定する趣旨ではなく、例えば、複数のプロセッサ３１１がＶＰＮ装置３０に含まれていてもよい。

プロセッサ３１１は、例えば、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）、ＤＳＰ（Digital Signal Processor）等のプログラマブルなデバイスである。あるいは、プロセッサ３１１は、ＦＰＧＡ（Field Programmable Gate Array）、ＡＳＩＣ（Application Specific Integrated Circuit）等のデバイスであってもよい。プロセッサ３１１は、オペレーティングシステム（ＯＳ；Operating System）を含む各種プログラムを実行する。

メモリ３１２は、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）等である。メモリ３１２は、ＯＳプログラム、アプリケーションプログラム、各種データを格納する。

入出力インターフェイス３１３は、図示しない表示装置や入力装置のインターフェイスである。表示装置は、例えば、液晶ディスプレイ等である。入力装置は、例えば、キーボードやマウス等のユーザ操作を受け付ける装置である。

通信インターフェイス３１４は、他の装置と通信を行う回路、モジュール等である。例えば、通信インターフェイス３１４は、ＮＩＣ（Network Interface Card）等を備える。

ＶＰＮ装置３０の機能は、各種処理モジュールにより実現される。当該処理モジュールは、例えば、メモリ３１２に格納されたプログラムをプロセッサ３１１が実行することで実現される。また、当該プログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（non-transitory）なものとすることができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。また、上記プログラムは、ネットワークを介してダウンロードするか、あるいは、プログラムを記憶した記憶媒体を用いて、更新することができる。さらに、上記処理モジュールは、半導体チップにより実現されてもよい。

なお、解析装置４０もＶＰＮ装置３０と同様に情報処理装置により構成可能であり、その基本的なハードウェア構成はＶＰＮ装置３０と相違する点はないので説明を省略する。

以上のように、第１の実施形態に係るログ収集システムは、端末１０とサーバ２０の間の通信に関するログをＶＰＮ装置３０が収集する。ＶＰＮ装置３０は、端末１０やサーバ２０と行う暗号化通信を終端するため、これらの装置から受信したデータを復号し平文のデータ（アクセスログ）を収集することができる。解析装置４０は、当該ＶＰＮ装置３０により収集されたデータを解析する。その結果、端末１０からネットワーク上のサーバ２０にアクセスした際のログ情報の解析を可能とするログ解析システムが実現できる。

［変形例］
なお、上記実施形態にて説明したログ解析システムの構成、動作等は例示であって、システムの構成等を限定する趣旨ではない。

例えば、ＶＰＮ装置３０の一部機能が解析装置４０に含まれていてもよいし、その逆であってもよい。例えば、ＶＰＮ装置３０の設定情報取得機能が解析装置４０に含まれていてもよい。この場合、解析装置４０が、ログ収集動作設定情報とログ解析動作設定情報の２つを入力し、ログ収集動作設定情報をＶＰＮ装置３０に送信してもよい。

あるいは、解析装置４０が、ログ解析動作設定情報に基づきログ収集動作設定情報を生成し、当該生成されたログ収集動作設定情報をＶＰＮ装置３０に送信してもよい。即ち、解析装置４０は、要求されたログ解析動作に適したログ情報を収集するようにＶＰＮ装置３０に指示をしてもよい。例えば、解析装置４０は、図８や図９に示すようなアクセスフローの生成を行う場合（当該フローの生成がログ解析動作設定情報に含まれる場合）、端末１０からサーバ２０へのアクセスに限り記憶するようなログ収集動作設定情報を生成し、ＶＰＮ装置３０に設定してもよい。

また、ＶＰＮ装置３０では端末１０からアクセスするユーザ又は端末を識別可能となっており、そのユーザＩＤ又は端末ＩＤを紐づけてログを保持しており、ＶＰＮ装置３０又は解析装置４０ではユーザＩＤで特定されるユーザの個人属性または端末ＩＤで特定される端末を使用するユーザの個人属性を保持し、個人属性とは例えば性別、年齢、住所エリア、職業等であり、ログとこれらの個人属性を結合（ＳＱＬ上のＪＯＩＮなど）することで、個人属性別の分析が可能となる。具体的には、男性のみのログを特定して分析することが可能となる。

さらに、ＶＰＮ装置３０では端末１０のどのアプリケーション（ブラウザ、各種ＳＮＳアプリなど）からのリクエストで外部にアクセスしているかも識別可能であり、アプリケーション名、アプリケーションＩＤ、アプリケーション種別も含めてログとして保持することも可能であり、このようなログを分析することでアプリケーション別の分析も可能となる。

さらに、解析装置４０は、ＶＰＮ装置３０から取得したログ情報に加え、他のデータ（例えば、ユーザによるアンケートデータ、ＩＤ－ＰＯＳ（ＩＤ付きのＰＯＳデータ）、ＶＰＮ装置３０とは異なる手段から取得したアクセスログ、各企業は保有するユーザ情報）を取得、保持し、ログ情報と当該他のデータを対応付けてログ情報の分析等を行ってもよい。

さらに、ＶＰＮ装置３０や解析装置４０は、取得したアクセスログに含まれるＵＲＬに対してＷＥＢクローリングを行い、上記アクセスログに含まれるＵＲＬのコンテンツの種別、種類（どのようなコンテンツのＷＥＢページ）を把握して保持してもよい。当該ＷＥＢクローリングにより収集された情報は、ログ解析に活用されてもよい。

さらに、ＶＰＮ装置３０や解析装置４０は、取得したアクセスログのＵＲＬのドメインに基づき、当該ドメインの所有企業やサービスを特定し、保持してもよい。解析装置４０は、当該情報をログ解析に活用してもよい。なお、ドメインの所有企業等の特定は、Ｗｈｏｉｓ検索等により可能である。

以上、本発明の実施形態を説明したが、本発明はこれらの実施形態に限定されるものではない。これらの実施形態は例示にすぎないということ、及び、本発明のスコープ及び精神から逸脱することなく様々な変形が可能であるということは、当業者に理解されるであろう。

１０、１０－１～１０－Ｎ 端末
２０、２０－１～２０－Ｍ サーバ
３０ ＶＰＮ装置
４０ 解析装置
３０１、４０１ 通信制御部
３０２ ログ収集部
３０３、４０３ 設定情報取得部
３０４ 学習モデル
３１１ プロセッサ
３１２ メモリ
３１３ 入出力インターフェイス
３１４ 通信インターフェイス
４０２ ログ解析部

Claims (11)

1. 端末とサーバ間の通信を暗号化しつつ仲介すると共に、前記端末とサーバ間の通信に関するログを収集する、ＶＰＮ（Virtual Private Network）装置と、
   前記収集されたログを解析する、解析装置と、
   を含み、
   前記ＶＰＮ装置は、暗号化されたデータを受信し、前記暗号化されたデータを復号した後に、前記復号されたデータをログとして記憶する
   ログ解析システム。
2. 端末とサーバ間の通信を暗号化しつつ仲介すると共に、前記端末とサーバ間の通信に関するログを収集する、ＶＰＮ装置と、
   前記収集されたログを解析する、解析装置と、
   を含み、
   前記ＶＰＮ装置は、受信データの特性に応じて前記受信データをログとして記憶するか否かを定める
   ログ解析システム。
3. 前記ＶＰＮ装置は、前記受信データが画像データであって、予め定めた対象を含む画像データである場合には前記予め定めた対象を含む画像データをログとして記憶する、請求項２に記載のログ解析システム。
4. 端末とサーバ間の通信を暗号化しつつ仲介すると共に、前記端末とサーバ間の通信に関するログを収集する、ＶＰＮ装置と、
   前記収集されたログを解析する、解析装置と、
   を含み、
   前記ＶＰＮ装置は、前記サーバから暗号化されたデータを受信した際、前記サーバから受信したデータに前記端末が正常な応答をしない場合には、前記端末とサーバ間の通信を復号しない
   ログ解析システム。
5. 前記解析装置は、前記収集されたログに基づき、特定のサイトを基準とするアクセスフローを生成する、請求項１乃至４のいずれか一項に記載のログ解析システム。
6. 前記解析装置は、前記アクセスフローを生成する際の段数を外部から取得する、請求項５に記載のログ解析システム。
7. 前記ＶＰＮ装置は、前記ログを収集する際の動作を定めたログ収集動作設定情報に基づきログを収集し、
   前記解析装置は、前記ログを解析する際の動作を定めたログ解析動作設定情報に基づき前記収集されたログを解析する、請求項１乃至６のいずれか一項に記載のログ解析システム。
8. 前記解析装置は、前記ログ解析動作設定情報に基づき前記ログ収集動作設定情報を生成し、前記生成されたログ収集動作設定情報を前記ＶＰＮ装置に送信する、請求項７に記載のログ解析システム。
9. ＶＰＮ装置のプロセッサによって、
   端末とサーバ間の通信を暗号化しつつ仲介すると共に、前記端末とサーバ間の通信に関するログを収集するステップと、
   解析装置のプロセッサによって、
   前記収集されたログを解析するステップと、
   を含み、さらに
   前記ＶＰＮ装置のプロセッサによって、
   暗号化されたデータを受信し、前記暗号化されたデータを復号した後に、前記復号されたデータをログとして記憶するステップを含む
   ログ解析方法。
10. ＶＰＮ装置のプロセッサによって、
    端末とサーバ間の通信を暗号化しつつ仲介すると共に、前記端末とサーバ間の通信に関するログを収集するステップと、
    解析装置のプロセッサによって、
    前記収集されたログを解析するステップと、
    を含み、さらに
    前記ＶＰＮ装置のプロセッサによって、
    受信データの特性に応じて前記受信データをログとして記憶するか否かを定めるステップを含む
    ログ解析方法。
11. ＶＰＮ装置のプロセッサによって、
    端末とサーバ間の通信を暗号化しつつ仲介すると共に、前記端末とサーバ間の通信に関するログを収集するステップと、
    解析装置のプロセッサによって、
    前記収集されたログを解析するステップと、
    を含み、さらに
    前記ＶＰＮ装置のプロセッサによって、
    前記サーバから暗号化されたデータを受信した際、前記サーバから受信したデータに前記端末が正常な応答をしない場合には、前記端末とサーバ間の通信を復号しないステップを含む
    ログ解析方法。

Images