特許 6878068 識別情報付与システム及び識別情報付与方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6878068

(24)【登録日】2021年5月6日

(45)【発行日】2021年5月26日

(54)【発明の名称】識別情報付与システム及び識別情報付与方法

(51)【国際特許分類】

   G06F 11/34 20060101AFI20210517BHJP

   G06F 9/50 20060101ALI20210517BHJP

【ＦＩ】

   G06F11/34 104

   G06F9/50 150D

【請求項の数】10

【全頁数】27

(21)【出願番号】特願2017-54523(P2017-54523)

(22)【出願日】2017年3月21日

(65)【公開番号】特開2018-156553(P2018-156553A)

(43)【公開日】2018年10月4日

【審査請求日】2019年12月17日

(73)【特許権者】

【識別番号】000102728

【氏名又は名称】株式会社エヌ・ティ・ティ・データ

(74)【代理人】

【識別番号】110001634

【氏名又は名称】特許業務法人 志賀国際特許事務所

(72)【発明者】

【氏名】飯塚 智

【審査官】 石川 雄太郎

(56)【参考文献】

【文献】 特開２００３−２２８４９８（ＪＰ，Ａ）

【文献】 特開２００７−００４５９５（ＪＰ，Ａ）

【文献】 特開２００６−０７２７６０（ＪＰ，Ａ）

【文献】 特開２００７−０５２６６８（ＪＰ，Ａ）

【文献】 米国特許出願公開第２０１４／０１０９１０３（ＵＳ，Ａ１）

【文献】 国際公開第２０１３／０９４０３２（ＷＯ，Ａ１）

【文献】 国際公開第２００６／０４６２９７（ＷＯ，Ａ１）

【文献】 国際公開第２０１４／０７６９２７（ＷＯ，Ａ１）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｇ０６Ｆ ９／４５５−９／５４

Ｇ０６Ｆ １１／０７

Ｇ０６Ｆ １１／２８−１１／３６

(57)【特許請求の範囲】

【請求項1】

ウェブシステムを構成する、所定の業務処理を行なう業務用サーバにおいて送受信される、送信元であるクライアントから送信された通信データの各々の対応付けを行なうため、前記通信データに対して識別情報を付与する識別情報付与システムであり、
前記業務用サーバに入力される順番で、前記通信データを直列に供給するデータ供給部と、
前記送信元を識別する識別情報を、前記順番で前記通信データに対して付与する識別情報付与部と、を備え、
前記データ供給部が、前記識別情報の付加された前記通信データが、前段の他の業務用サーバから供給された際、当該通信データから識別情報を取り外し、前記業務用サーバに供給し、
前記データ供給部が、前記業務用サーバに対して前記通信データから外した前記識別情報を、前記識別情報付与部に対して出力し、
前記識別情報付与部が、前記業務用サーバから出力される前記識別情報を外した前記通信データに対し、当該通信データから前記業務用サーバに入力される際に取り外された前記識別情報を付加し、
前記ウェブシステムにおいて、前記業務用サーバの各々が直列に接続されており、
初段の業務用サーバの前記識別情報付与部が、前記通信データの送信元を示す送信元情報の各々に対応させて、前記通信データそれぞれの前記識別情報を生成する
ことを特徴とする識別情報付与システム。

【請求項2】

ウェブシステムを構成する、所定の業務処理を行なう業務用サーバにおいて送受信される、送信元であるクライアントから送信された通信データの各々の対応付けを行なうため、前記通信データに対して識別情報を付与する識別情報付与システムであり、
前記業務用サーバに入力される順番で、前記通信データを直列に供給するデータ供給部と、
前記送信元を識別する識別情報を、前記順番で前記通信データに対して付与する識別情報付与部と、を備え、
前記ウェブシステムにおいて、前記業務用サーバの各々が直列に接続されており、
初段の業務用サーバの前記識別情報付与部が、前記通信データの送信元と、前記識別情報との対応を示す対応テーブルを有する
ことを特徴とする識別情報付与システム。

【請求項3】

前記データ供給部が、前記識別情報の付加された前記通信データが、前段の他の業務用サーバから供給された際、当該通信データから識別情報を取り外し、前記業務用サーバに供給する
ことを特徴とする請求項２に記載の識別情報付与システム。

【請求項4】

前記データ供給部が、前記業務用サーバに対して前記通信データから外した前記識別情報を、前記識別情報付与部に対して出力し、
前記識別情報付与部が、前記業務用サーバから出力される前記識別情報を外した前記通信データに対し、当該通信データから前記業務用サーバに入力される際に取り外された前記識別情報を付加する
ことを特徴とする請求項３に記載の識別情報付与システム。

【請求項5】

前記ウェブシステムにおいて、前記業務用サーバの各々が直列に接続されており、
初段の業務用サーバの前記識別情報付与部が、前記通信データの送信元を示す送信元情報の各々に対応させて、前記通信データそれぞれの前記識別情報を生成する
ことを特徴とする請求項４に記載の識別情報付与システム。

【請求項6】

前記識別情報付与部が、前記業務用サーバから前記通信データを、次段の他の業務用サーバに対して出力する際に、当該通信データに対して前記識別情報を付加する
ことを特徴とする請求項１から請求項５のいずれか１項に記載の識別情報付与システム。

【請求項7】

前記データ供給部と前記識別情報付与部との各々が複数設けられ、
前記業務用サーバに供給される前記通信データを、前記データ供給部の各々に負荷分散して出力するロードバランス部をさらに備え、
前記データ供給部と前記識別情報付与部とがそれぞれ前記識別情報の取り外し及び付加する連携処理の組として設けられている
ことを特徴とする請求項１から請求項６のいずれか一項に記載の識別情報付与システム。

【請求項8】

前記業務用サーバが複数設けられており、
前記データ供給部から前記業務用サーバに供給される前記通信データを、前記業務用サーバの各々に負荷分散して出力するロードバランス部をさらに備え、
前記ロードバランス部が、前記データ供給部から出力される前記識別情報に対応する前記通信データを送信した業務用サーバのサーバ識別情報を、前記識別情報付与部に送信する
ことを特徴とする請求項１から請求項６のいずれか一項に記載の識別情報付与システム。

【請求項9】

前記ウェブシステムにおいて、前記業務用サーバの各々が直列に接続されており、
初段の業務用サーバの前記識別情報付与部が、前記通信データの送信元と、前記識別情報との対応を示す対応テーブルを有する
ことを特徴とする請求項１、請求項３から請求項８のいずれか一項に記載の識別情報付与システム。

【請求項10】

ウェブシステムを構成する、所定の業務処理を行なう業務用サーバにおいて送受信される、送信元であるクライアントから送信された通信データの各々の対応付けを行なうため、前記通信データに対して識別情報を付与する識別情報付与方法であり、
データ供給部が、前記業務用サーバに入力される順番で、前記通信データを直列に供給するデータ供給過程と、
識別情報付与部が、前記送信元を識別する識別情報を、前記順番で前記通信データに対して付与する識別情報付与過程とを含み、
前記データ供給部が、前記識別情報の付加された前記通信データが、前段の他の業務用サーバから供給された際、当該通信データから識別情報を取り外し、前記業務用サーバに供給し、
前記データ供給部が、前記業務用サーバに対して前記通信データから外した前記識別情報を、前記識別情報付与部に対して出力し、
前記識別情報付与部が、前記業務用サーバから出力される前記識別情報を外した前記通信データに対し、当該通信データから前記業務用サーバに入力される際に取り外された前記識別情報を付加し、
前記ウェブシステムにおいて、前記業務用サーバの各々が直列に接続されており、
初段の業務用サーバの前記識別情報付与部が、前記通信データの送信元を示す送信元情報の各々に対応させて、前記通信データそれぞれの前記識別情報を生成する
ことを特徴とする識別情報付与方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、情報システムの内部における通信データの各々の識別を行なう識別情報を付与する識別情報付与システム及び識別情報付与方法に関する。

【背景技術】

【0002】

近年、金融あるいは銀行などの会社において、インターネットによるオンラインバンキングを利用した金融取引が一般化している。
そして、オンラインバンキングを行なう商用のＷｅｂ（ウェブ）システムにおいて、インターネットなどを介して、金融取引の情報を取得、あるいはシステム障害を発生させようとする攻撃が悪意の有る第三者（攻撃者）から行なわれる場合がある。この攻撃とは、不正ログイン試行あるいはＳＱＬ（Structured Query Language）インジェクションである。このような攻撃があった場合には、これらの攻撃がセキュリティインシデントとして、上記オンラインバンキングを用いている会社のＷｅｂシステムにおいて発生している。

【0003】

会社としては、セキュリティインシデントレスポンスとして、自身と金融取引を行なっている顧客に対して通知する責務がある。このため、このような攻撃があった場合には、いつの時点で攻撃が行なわれたか、誰が攻撃したのか、その攻撃の結果として何が発生したか、データが流出したのであれば何件か、どのような種類のデータが流出したのか、現時点において全容を解明する必要があるかなどの被害の調査を行なう必要がある。
上述した調査を行なう際に必要なデータとして、ログ情報、すなわち三階層モデルにおけるＷｅｂ（ウェブ）サーバ、ＡＰ（Application）サーバ、ＤＢ（database server）サーバの各々におけるログ情報が必要となる。

【0004】

このログ情報としては、Ｗｅｂシステムを構成する機器、業務用サーバであるＷｅｂサーバ、ＡＰサーバ及びＤＢサーバの各々が出力するログ（ログＡ）と、各機器の間において送受信される通信データ（パケット）をキャプチャ（取得）して記憶した情報（ログＢ）とがある。
ここで、ログＡを用いた場合、Ｗｅｂシステムを構成する各機器において、処理結果を示すログを抽出する場合、Ｗｅｂシステムを作成する際の設計段階、あるいはシステムを変更する段階において、ログの抽出を考慮した構成とする必要がある。すなわち、ログのフォーマットあるいはログ項目の設定を行い、Ｗｅｂシステムの設計をして、ネットワークにおいて抽出が行なわれるように実装する必要がある。

【0005】

このため、各サーバの本来の処理以外の動作を考慮した設計作業を行なう負荷を、システム設計者に対して与え、ログ抽出のシミュレーション等を行なうことで開発工程も増加し、システムの開発コストが増加してしまう。
また、ログのフォーマットやログ項目を変更する場合、Ｗｅｂシステムを変更するために、Ｗｅｂシステムを停止、すなわちインターネットバンキングの業務を止める必要がある。
上述した理由から、Ｗｅｂシステム自体にログ抽出の機能を含ませずにログ抽出を行ない、Ｗｅｂシステムの開発コストの増加を抑制するため、ログＢを用いたセキュリティインシデントの調査が考えられる。

【0006】

一方、ログＢを利用する場合、Ｗｅｂシステムにおける各サーバ間を接続するＮＩＣ（network interface card）のミラーポートから、サーバ間で送受信されるパケットをキャプチャし、履歴データをログＢとして保存しておく。そして、攻撃が発生した際に、このログＢを参照して、攻撃における被害の調査を行なう。
ここで、パケットをキャプチャするポイントとしては、クライアントの端末、Ｗｅｂサーバ、ＡＰサーバ及びＤＢサーバの各々の接続点の三カ所が考えられる。

【0007】

しかし、トラフィック量の多いＷｅｂシステムの場合、クライアントの端末の各々からＷｅｂサーバに入力されるリクエスト（処理を依頼するパケット）の順番と、ＷｅｂサーバからＡＰサーバに出力されるリクエストの順番とが一致する保証がない。すなわち、Ｗｅｂサーバは、リクエストの負荷の大きさにより、ＡＰサーバに出力するリクエストの順番を調整する。これにより、クライアントの端末、Ｗｅｂサーバ、ＡＰサーバ及びＤＢサーバの間のパケットの対応付けが困難となる。
このため、調査の担当者が対応付けを行なうことが非常に手間を要するため、対応付けのための情報をパケットに含ませることにより、各サーバ間のパケットの対応付けを行なう（例えば、特許文献１及び特許文献２を参照）。

【先行技術文献】

【特許文献】

【0008】

【特許文献1】特開２０１１−１１８９５１号公報

【特許文献2】特開２００３−２２８４９８号公報

【発明の概要】

【発明が解決しようとする課題】

【0009】

上述したように、ログＢを用いた先行技術の場合は、ログを出力する機能を持たせる必要がないため、ログＡを用いた場合に比較して、開発コストを低くすることは可能である。しかしながら、先行技術においては、パケットに対して対応付けを行なう情報を埋め込む機能を、サーバに対して付加する必要があるため、ログの対応付けを行なう情報をパケットに埋め込む機能を付加しない場合に比較して、システム設計者の負荷が増加し、開発コストも増加してしまう。

【0010】

本発明は、このような事情に鑑みてなされたもので、システム設計者の負荷を増加させずに、クライアントである通信データの送信元に対応させ、この通信データの各々に識別情報を付与するため送信元、業務用サーバであるＷｅｂサーバ、ＡＰサーバ及びＤＢサーバの間の通信データの対応付けを行なうことができる識別情報付与システム及び識別情報付与方法を提供することを目的とする。

【課題を解決するための手段】

【0011】

この発明は上述した課題を解決するためになされたもので、本発明の識別情報付与システムは、ウェブシステムを構成する、所定の業務処理を行なう業務用サーバにおいて送受信される、送信元であるクライアントから送信された通信データの各々の対応付けを行なうため、前記通信データに対して識別情報を付与する識別情報付与システムであり、前記業務用サーバに入力される順番で、前記通信データを直列に供給するデータ供給部（実施形態における仮想マシン１１１、仮想マシン１１４、仮想マシン２１１、仮想マシン２１４、仮想マシン３１１）と、前記送信元を識別する識別情報を、前記順番で前記通信データに対して付与する識別情報付与部（実施形態における仮想マシン１１１、仮想マシン１１４、仮想マシン２１１、仮想マシン２１４、仮想マシン３１１）とを備え、前記データ供給部が、前記識別情報の付加された前記通信データが、前段の他の業務用サーバから供給された際、当該通信データから識別情報を取り外し、前記業務用サーバに供給し、前記データ供給部が、前記業務用サーバに対して前記通信データから外した前記識別情報を、前記識別情報付与部に対して出力し、前記識別情報付与部が、前記業務用サーバから出力される前記識別情報を外した前記通信データに対し、当該通信データから前記業務用サーバに入力される際に取り外された前記識別情報を付加し、前記ウェブシステムにおいて、前記業務用サーバの各々が直列に接続されており、初段の業務用サーバの前記識別情報付与部が、前記通信データの送信元を示す送信元情報の各々に対応させて、前記通信データそれぞれの前記識別情報を生成することを特徴とする。
また、本発明の識別情報付与システムの一態様は、ウェブシステムを構成する、所定の業務処理を行なう業務用サーバにおいて送受信される、送信元であるクライアントから送信された通信データの各々の対応付けを行なうため、前記通信データに対して識別情報を付与する識別情報付与システムであり、前記業務用サーバに入力される順番で、前記通信データを直列に供給するデータ供給部と、前記送信元を識別する識別情報を、前記順番で前記通信データに対して付与する識別情報付与部と、を備え、前記ウェブシステムにおいて、前記業務用サーバの各々が直列に接続されており、初段の業務用サーバの前記識別情報付与部が、前記通信データの送信元と、前記識別情報との対応を示す対応テーブルを有することを特徴とする。

【0012】

本発明の識別情報付与システムは、前記識別情報付与部が、前記業務用サーバから前記通信データを、次段の他の業務用サーバに対して出力する際に、当該通信データに対して前記識別情報を付加することを特徴とする。

【0013】

本発明の識別情報付与システムは、前記データ供給部が、前記識別情報の付加された前記通信データが、前段の他の業務用サーバから供給された際、当該通信データから識別情報を取り外し、前記業務用サーバに供給することを特徴とする。

【0014】

本発明の識別情報付与システムは、前記データ供給部が、前記業務用サーバに対して前記通信データから外した前記識別情報を、前記識別情報付与部に対して出力し、前記識別情報付与部が、前記業務用サーバから出力される前記識別情報を外した前記通信データに対し、当該通信データから前記業務用サーバに入力される際に取り外された前記識別情報を付加することを特徴とする。

【0015】

本発明の識別情報付与システムは、前記ウェブシステムにおいて、前記業務用サーバの各々が直列に接続されており、初段の業務用サーバの前記識別情報付与部が、前記通信データの送信元を示す送信元情報の各々に対応させて、前記通信データそれぞれの前記識別情報を生成することを特徴とする。

【0016】

本発明の識別情報付与システムは、前記データ供給部と前記識別情報付与部との各々が複数設けられ、前記業務用サーバに供給される前記通信データを、前記データ供給部の各々に負荷分散して出力するロードバランス部をさらに備え、前記データ供給部と前記識別情報付与部とがそれぞれ前記識別情報の取り外し及び付加する連携処理の組として設けられていることを特徴とする。

【0017】

本発明の識別情報付与システムは、前記業務用サーバが複数設けられており、前記データ供給部から前記業務用サーバに供給される前記通信データを、前記業務用サーバの各々に負荷分散して出力するロードバランス部をさらに備え、前記ロードバランス部が、前記データ供給部から出力される前記識別情報に対応する前記通信データを送信した業務用サーバのサーバ識別情報を、前記識別情報付与部に送信することを特徴とする。

【0018】

本発明の識別情報付与システムは、前記ウェブシステムにおいて、前記業務用サーバの各々が直列に接続されており、初段の業務用サーバの前記識別情報付与部が、前記通信データの送信元と、前記識別情報との対応を示す対応テーブルを有することを特徴とする。

【0020】

本発明の識別情報付与方法は、ウェブシステムを構成する、所定の業務処理を行なう業務用サーバにおいて送受信される、送信元であるクライアントから送信された通信データの各々の対応付けを行なうため、前記通信データに対して識別情報を付与する識別情報付与方法であり、データ供給部が、前記業務用サーバに入力される順番で、前記通信データを直列に供給するデータ供給過程と、識別情報付与部が、前記送信元を識別する識別情報を、前記順番で前記通信データに対して付与する識別情報付与過程とを含み、前記データ供給部が、前記識別情報の付加された前記通信データが、前段の他の業務用サーバから供給された際、当該通信データから識別情報を取り外し、前記業務用サーバに供給し、前記データ供給部が、前記業務用サーバに対して前記通信データから外した前記識別情報を、前記識別情報付与部に対して出力し、前記識別情報付与部が、前記業務用サーバから出力される前記識別情報を外した前記通信データに対し、当該通信データから前記業務用サーバに入力される際に取り外された前記識別情報を付加し、前記ウェブシステムにおいて、前記業務用サーバの各々が直列に接続されており、初段の業務用サーバの前記識別情報付与部が、前記通信データの送信元を示す送信元情報の各々に対応させて、前記通信データそれぞれの前記識別情報を生成することを特徴とする。

【発明の効果】

【0021】

この発明によれば、システム設計者の負荷を増加させずに、クライアントである通信データの送信元に対応させ、この通信データの各々に識別情報を付与するため送信元、業務用サーバであるＷｅｂサーバ、ＡＰサーバ及びＤＢサーバの間の通信データの対応付けを行なうことができる識別情報付与システム及び識別情報付与方法を提供することができる。

【図面の簡単な説明】

【0022】

【図1】図１は、本発明の第１の実施形態による識別情報付与システムを用いたウェブシステムの構成例を示す図である。

【図2】仮想マシン１１４内部に備えられた識別情報テーブルの構成例を示す図である。

【図3】リクエスト時におけるＷｅｂサーバ１００の識別情報付与システム１１０の識別情報Ｒの付加について説明するシーケンス図である。

【図4】リクエスト時におけるＡＰサーバ２００の識別情報付与システム２１０の識別情報Ｒの付加について説明するシーケンス図である。

【図5】ＤＢサーバ３００の識別情報付与システム３１０の識別情報Ｒの付加について説明するシーケンス図である。

【図6】レスポンス時におけるＡＰサーバ２００の識別情報付与システム２１０の識別情報Ｒの付加について説明するシーケンス図である。

【図7】レスポンス時におけるＷｅｂサーバ１００の識別情報付与システム１１０の識別情報Ｒの付加について説明するシーケンス図である。

【図8】仮想マシン１１４内部に備えられた識別情報テーブルの他の構成例を示す図である。

【図9】本発明の第２の実施形態による識別情報付与システムを用いたウェブシステムの構成例を示す図である。

【図10】本発明の第３の実施形態による識別情報付与システムを用いたウェブシステムの構成例を示す図である。

【図11】本発明の第４の実施形態による識別情報付与システムを用いたウェブシステムの構成例を示す図である。

【発明を実施するための形態】

【0023】

＜第１の実施形態＞
以下、図面を参照して、本発明の第１の実施形態について説明する。図１は、本発明の第１の実施形態による識別情報付与システムを用いたウェブシステムの構成例を示す図である。図１において、本実施形態におけるウェブシステム１は、Ｗｅｂサーバ１００、ＡＰサーバ２００、ＤＢサーバ３００、ログ収集サーバ７００及びログ収集データベース８００の各々を備えている。本実施形態においては、Ｗｅｂサーバ１００、ＡＰサーバ２００及びＤＢサーバ３００の各々は、物理マシンのサーバとして説明しているが、一つの物理マシンのＯＳ（operating system）上に仮想マシンのサーバとしてそれぞれの機能のプログラムがインストールされて構成しても良い。

【0024】

ウェブシステム１は、クライアント（クライアントサーバ）４００がリクエスト（通信データ（パケット）Ａ）を送信し、アクセスされた場合、Ｗｅｂサーバ１００、ＡＰサーバ２００及びＤＢサーバ３００の各々において、それぞれのリクエストに対応した所定の処理を行い、クライアント４００に対してレスポンス（通信データ（パケット）Ｂ）を返送する。
ログ収集サーバ７００は、収集ポイント６０１、収集ポイント６０２及び収集ポイント６０３の各々において、クライアント４００、Ｗｅｂサーバ１００、ＡＰサーバ２００及びＤＢサーバ３００の各々における通信データ（通信データＡ、通信データＢ）を、ウェブシステム１におけるセキュリティチェックのためのログとして抽出する。

【0025】

Ｗｅｂサーバ１００は、仮想マシンで構成された識別情報付与システム１１０（後述）、物理ＮＩＣ１３１、物理ＮＩＣ１３２、物理ＮＩＣ１３３、業務用仮想マシン１５１、仮想ＮＩＣの各々を備えている。業務用仮想マシン１５１は、所定の業務処理を行ない、Ｗｅｂサーバ１００のＯＳ上における仮想マシン（狭義のＷｅｂサーバ）であり、識別情報付与システム１１０から入力される通信データＡを、例えばインターネットのＨＴＴＰ（hypertext transfer protocol）のプロトコルから、Ｗｅｂサーバ１００とＡＰサーバ２００との間における通信のプロトコルに変換する処理を行なう。また、業務用仮想マシン１５１は、識別情報付与システム１１０から入力される通信データＢを、Ｗｅｂサーバ１００とＡＰサーバ２００との間における通信のプロトコルから、インターネットのＨＴＴＰ（hypertext transfer protocol）のプロトコルに変換する処理を行なう。

【0026】

識別情報付与システム１１０は、Ｗｅｂサーバ１００において入出力する通信データ（通信データＡ及び通信データＢ）に対し、識別情報の付加及び取り外しを行なう。識別情報付与システム１１０は、仮想マシン１１１、仮想ＮＩＣ１１２、仮想ＮＩＣ１１３、仮想マシン１１４、仮想ＮＩＣ１１５、仮想ＮＩＣ１１６、仮想ブリッジ１１７、仮想ブリッジ１１８を備えている。

【0027】

仮想マシン１１１は、Ｗｅｂサーバ１００のＯＳ上における仮想マシンであり、リクエスト処理時において、物理ＮＩＣ１３１から供給されるクライアント４００からの通信情報Ａを、順次、内部のキューに入れ、物理ＮＩＣ１３１から入力された順番に業務用仮想マシン１５１に対し、仮想ＮＩＣ１１２、仮想ブリッジ１１８及び仮想ＮＩＣ１５２を介して出力する。このとき、仮想マシン１１１は、仮想ブリッジ１１７を介して、仮想マシン１１６に対して通信データＡから抽出した送信元を識別する送信元識別情報を出力する。送信元識別情報は、通信データＡにおける送信元を識別する識別情報、例えばクライアントが用いているＩＰ（internet protocol）アドレス、ポート番号、ユーザエージェント等が用いられる。

【0028】

仮想マシン１１１は、レスポンス処理時において、業務用仮想マシン１５１から、仮想ＮＩＣ１５２、仮想ブリッジ１１８及び仮想ＮＩＣ１１２を介して入力される通信データＢに対し、仮想マシン１１４から供給される識別情報Ｒを付加し、物理ＮＩＣ１３３を介して、セキュリティインシデントの処理に用いるダミーのクライアントであるフェイククライアント５００に対して出力する。また、仮想マシン１１１は、識別情報Ｒを付加しない状態の通信データＢをレスポンスとして、物理ＮＩＣ１３１を介し、通信情報Ａにてアクセスしたクライアント４００に対して出力する。このとき、仮想マシン１１１は、クライアント４００に通信データＢを出力した後、仮想ＮＩＣ１１３、仮想ブリッジ１１７及び仮想ＮＩＣ１１６を介して、出力が終了したことを示す終了信号を、仮想マシン１１４に対して出力する。

【0029】

仮想マシン１１４は、Ｗｅｂサーバ１００のＯＳ上における仮想マシンであり、リクエスト処理時において、業務用仮想マシン１５１から出力される通信データＡに対して識別情報Ｒを付加する。ここで、仮想マシン１１４は、内部に識別情報テーブルを備えており、通信データＡの送信元の送信元識別情報に対して生成した識別情報Ｒの有無を検出する。仮想マシン１１４は、識別情報テーブルに送信元の送信元識別情報に対応する識別情報Ｒを検出した場合、検出した識別情報Ｒを通信データＡに付加する。一方、仮想マシン１１４は、識別情報テーブルに送信元の送信元識別情報対応する識別情報Ｒを検出できない場合、この通信データＲに付加する識別情報Ｒを乱数などにより生成し、通信データＡに付加する。そして、仮想マシン１１４は、識別情報Ｒを付加した通信データＡを、仮想ブリッジ１１８及び物理ＮＩＣ１３２を介して、ＡＰサーバ２００に対して出力する。このとき、仮想マシン１１４は、ＡＰサーバ２００に通信データＡを出力した後、仮想ＮＩＣ１１６、仮想ブリッジ１１７及び仮想ＮＩＣ１１３を介して、出力が終了したことを示す終了信号を、仮想マシン１１１に対して出力する。

【0030】

図２は、仮想マシン１１４内部に備えられた識別情報テーブルの構成例を示す図である。図２において、識別情報テーブルは、レコード毎に、送信元識別情報、識別情報Ｒ及び最終アクセス日時の各々の欄が設けられている。仮想マシン１１４は、通信データＡから送信元識別情報を抽出し、この抽出した送信元識別情報により、上記識別情報テーブルを検索し、同一の送信元識別情報の有無を検出する。このとき、仮想マシン１１４は、同一の送信元識別情報が検出された場合、すでにこの送信元に対する識別情報Ｒが生成済みであるとして、この送信元識別情報と組となっている（同一レコードの）識別情報Ｒを読み出し、読み出した通信情報Ｒを通信データＡに対して付加する。一方、仮想マシン１１４は、同一の送信元識別情報が検出されない場合、通信データＡの送信元が初めてアクセスしてきたとして、上述したように、乱数などを用いて新たな識別情報Ｒを生成する。そして、仮想マシン１１４は、生成した通信情報Ｒを通信データＡに付加するとともに、生成した通信情報Ｒを送信元識別情報と組にして、新たに識別情報テーブルに書き込んで記憶させる。

【0031】

図１に戻り、仮想マシン１１４は、レスポンス処理時において、物理ＮＩＣ１３２、仮想ブリッジ１１８及び仮想ＮＩＣ１１５を介して、ＡＰサーバ２００から入力される通信データＢを、順次、内部のキューに入れ、物理ＮＩＣ１３２から入力された順番に業務用仮想マシン１５１に対し、仮想ＮＩＣ１１５、仮想ブリッジ１１８及び仮想ＮＩＣ１５２を介して出力する。このとき、仮想マシン１１４は、内部のキューから通信データＢを取り出した際、この通信データＢに付加されている識別情報Ｒを取り外す。そして、仮想マシン１１４は、識別情報Ｒを取り外した通信データＢを、仮想ＮＩＣ１１５、仮想ブリッジ１１８及び仮想ＮＩＣ１５２を介して、業務用仮想マシン１５１に対して出力する。ここで、仮想マシン１１４は、仮想ＮＩＣ２１６、仮想ブリッジ１１７及び仮想ＮＩＣ１１３を介して、通信データＢから取り外した識別情報Ｒを、仮想マシン１１１に対して出力する。

【0032】

図１に戻り、ＡＰサーバ２００は、仮想マシンで構成された識別情報付与システム２１０（後述）、物理ＮＩＣ２３１、物理ＮＩＣ２３２、物理ＮＩＣ１３３、業務用仮想マシン２５１、仮想ＮＩＣ２５２の各々を備えている。業務用仮想マシン２５１は、ＡＰサーバ２００のＯＳ上における仮想マシン（狭義のＡＰサーバ）であり、所定の業務処理を実施し、識別情報付与システム２１０から入力される通信データＡを、例えばＷｅｂサーバ１００とＡＰサーバ２００との間における通信のプロトコルから、ＡＰサーバ２００とＤＢサーバ３００との間における通信のプロトコルに変換する処理を行なう。

【0033】

識別情報付与システム２１０は、ＡＰサーバ２００において入出力する通信データ（通信データＡ及び通信データＢ）に対し、識別情報の付加及び取り外しを行なう。識別情報付与システム２１０は、仮想マシン２１１、仮想ＮＩＣ２１２、仮想ＮＩＣ２１３、仮想マシン２１４、仮想ＮＩＣ２１５、仮想ＮＩＣ２１６、仮想ブリッジ２１７、仮想ブリッジ２１８を備えている。

【0034】

仮想マシン２１１は、ＡＰサーバ２００のＯＳ上における仮想マシンであり、リクエスト処理時において、物理ＮＩＣ２３１から供給されるＷｅｂサーバ１００からの通信情報Ａを、順次、内部のキューに入れ、物理ＮＩＣ２３１から入力された順番に業務用仮想マシン２５１に対し、仮想ＮＩＣ２１２、仮想ブリッジ２１８及び仮想ＮＩＣ２５２を介して出力する。ここで、仮想マシン２１１は、キューから物理データＡを読み出した際、この物理データＡから識別情報Ｒを取り外して、識別情報Ｒを取り外した物理データＡを、業務用仮想マシン２５１に対して出力する。また、仮想マシン２１１は、仮想ブリッジ２１７を介して、仮想マシン２１６に対して通信データＡから取り外した識別情報Ｒを出力する。

【0035】

また、仮想マシン２１１は、レスポンス処理時において、業務用仮想マシン２５１から、仮想ＮＩＣ２５２、仮想ブリッジ２１８及び仮想ＮＩＣ２１２を介して入力される通信データＢに対し、仮想マシン２１４から供給される識別情報Ｒを付加し、物理ＮＩＣ２３１を介してＷｅｂサーバ１００に対して出力する。このとき、仮想マシン２１１は、Ｗｅｂサーバ１００に通信データＢを出力した後、仮想ＮＩＣ２１３、仮想ブリッジ２１７及び仮想ＮＩＣ２１６を介して、出力が終了したことを示す終了信号を、仮想マシン２１４に対して出力する。

【0036】

仮想マシン２１４は、ＡＰサーバ２００のＯＳ上における仮想マシンであり、リクエスト処理時において、業務用仮想マシン２５１から出力される通信データＡに対して識別情報Ｒを付加する。このとき、仮想マシン２１４は、通信データＡに付加する識別情報Ｒとして、仮想マシン２１１から供給される識別情報Ｒを用いる。そして、仮想マシン２１４は、識別情報Ｒを付加した通信データＡを、仮想ＮＩＣ２１２、仮想ブリッジ２１８及び物理ＮＩＣ２３２を介して、ＤＢサーバ３００に対して出力する。このとき、仮想マシン２１４は、ＤＢサーバ３００に通信データＡを出力した後、仮想ＮＩＣ２１６、仮想ブリッジ２１７及び仮想ＮＩＣ２１３を介して、出力が終了したことを示す終了信号を、仮想マシン２１１に対して出力する。

【0037】

また、仮想マシン２１４は、レスポンス処理時において、物理ＮＩＣ２３２、仮想ブリッジ２１８及び仮想ＮＩＣ２１５を介して、ＤＢＰサーバ３００から入力される通信データＢを、順次、内部のキューに入れ、物理ＮＩＣ１３２から入力された順番に業務用仮想マシン２５１に対し、仮想ＮＩＣ２１５、仮想ブリッジ２１８及び仮想ＮＩＣ２５２を介して出力する。このとき、仮想マシン２１４は、内部のキューから通信データＢを取り出した際、この通信データＢに付加されている識別情報Ｒを取り外す。そして、仮想マシン２１４は、識別情報Ｒを取り外した通信データＢを、仮想ＮＩＣ２１５、仮想ブリッジ２１８及び仮想ＮＩＣ２５２を介して、業務用仮想マシン２５１に対して出力する。ここで、仮想マシン２１４は、仮想ＮＩＣ２１６、仮想ブリッジ２１７及び仮想ＮＩＣ２１３を介して、通信データＢから取り外した識別情報Ｒを、仮想マシン２１１に対して出力する。

【0038】

ＤＢサーバ３００は、仮想マシンで構成された識別情報付与システム３１０（後述）、物理ＮＩＣ３３１、業務用仮想マシン３５１、仮想ＮＩＣ３５２の各々を備えている。業務用仮想マシン３５１は、ＤＢサーバ３００のＯＳ上における仮想マシンであり、識別情報付与システム３１０から入力される通信データＡに基づき、データベース検索などの通常の処理を行ない、レスポンスとしての通信データＢを生成し、ＡＰサーバ２００に対して出力する。

【0039】

識別情報付与システム３１０は、ＤＰサーバ３００において入出力する通信データ（通信データＡ及び通信データＢ）に対し、識別情報の付加及び取り外しを行なう。識別情報付与システム３１０は、仮想マシン３１１、仮想ＮＩＣ３１２、仮想ブリッジ３１８を備えている。

【0040】

仮想マシン３１１は、ＤＢサーバ３００のＯＳ上における仮想マシン（狭義のＤＢサーバ）であり、所定の業務処理を行ない、リクエスト処理時において、物理ＮＩＣ３３１から供給されるＷｅｂサーバ１００からの通信情報Ａを、順次、内部のキューに入れ、物理ＮＩＣ３３１から入力された順番に業務用仮想マシン３５１に対し、仮想ＮＩＣ３１１、仮想ブリッジ３１８及び仮想ＮＩＣ３５２を介して出力する。ここで、仮想マシン３１１は、キューから物理データＡを読み出した際、この物理データＡから識別情報Ｒを取り外して、識別情報Ｒを取り外した物理データＡを、業務用仮想マシン３５１に対して出力する。また、仮想マシン３１１は、通信データＡから取り外した識別情報Ｒを内部に記憶しておく。

【0041】

また、仮想マシン３１１は、レスポンス処理時において、業務用仮想マシン３５１から、仮想ＮＩＣ３５２、仮想ブリッジ３１８及び仮想ＮＩＣ３１２を介して入力される通信データＢに対し、内部に記憶して置いた識別情報Ｒを付加し、物理ＮＩＣ３３１を介してＡＰサーバ２００に対して出力する。

【0042】

次に、図３から図７の各々を用いて、本実施形態の識別情報付与システム１１０、識別情報付与システム１２０、識別情報付与システム３１０を用いたウェブシステム１における識別情報Ｒの付加及び取り外しの動作を説明する。
図３は、リクエスト時におけるＷｅｂサーバ１００の識別情報付与システム１１０の識別情報Ｒの付加について説明するシーケンス図である。

【0043】

ステップＦ１０１：クライアント４００の各々は、ウェブシステム１に対してリクエストの通信データＡを送信する。
そして、仮想マシン１１１は、複数のクライアント４００の各々から送信される通信データＡを受信する。

【0044】

ステップＦ１０２：仮想マシン１１１は、物理ＮＩＣ１３１から供給される順番に、通信データＡを順次キューに対して蓄積していく。

【0045】

ステップＦ１０３：仮想マシン１１１は、供給された通信データＡが初回であるか否かの判定を行なう。ここで、仮想マシン１１１は、初回であるか否かを初回フラグが立っているか否かにより判定する。
すなわち、仮想マシン１１１は、初回フラグが立っていない場合、初回であると判定し、通信データＡをキューから一つ取り出す。
一方、仮想マシン１１１は、初回フラグが立っている場合、初回でないと判定し、直前にキューから取り出した通信データＡの処理が終了したことを示す終了信号が仮想マシン１１４から供給されるまで待機する。そして、仮想マシン１１１は、仮想マシン１１４から上記終了信号を受信した場合、キューから通信データＡを一つ取り出す。
上述したキューは、ＦＩＦＯの構成であり、Ｗｅｂサーバ１００が受信した順番に、通信データＡが取り出される構成となっている。

【0046】

ステップＦ１０４：仮想マシン１１１は、キューから取り出した通信データＡから、通信データＡの送信元の送信元識別情報を抽出する。

【0047】

ステップＦ１０５：仮想マシン１１１は、通信データＡから抽出した送信元識別情報を、仮想マシン１１４に対して出力する。

【0048】

ステップＦ１０６：仮想マシン１１１は、送信元識別情報を抽出した後、通信データＡを業務用仮想マシン１５１に対して出力する。

【0049】

ステップＦ１０７：業務用仮想マシン１５１は、ウェブシステム１の一部の機能の処理を実行する。ここで、業務用仮想マシン１５１は、例えば、通信データＡのパケットのフォーマットを、インターネットのＨＴＴＰのプロトコルから、Ｗｅｂサーバ１００とＡＰサーバ２００との間における通信のプロトコルのフォーマットに変換する処理を行なう。

【0050】

ステップＦ１０８：業務用仮想マシン１５１は、所定の処理が終了し、フォーマット変換後の通信データＡを、仮想マシン１１４に対して出力する。

【0051】

ステップＦ１０９：仮想マシン１１４は、自身内部に備えられた識別情報テーブルを参照し、仮想マシン１１１から供給された送信元識別情報と同一の送信元識別情報が存在するか否かを検索する。

【0052】

ステップＦ１１０：仮想マシン１１４は、識別情報テーブルにおいて、仮想マシン１１１から供給された送信元識別情報と同一の送信元識別情報が抽出された場合、この送信元識別情報に対応する識別情報Ｒを識別情報テーブルから読み出す。そして、仮想マシン１１４は、識別情報テーブルの最終アクセス日時を、読み出した時点の日時に書き換えて変更する。

【0053】

一方、仮想マシン１１４は、識別情報テーブルにおいて、仮想マシン１１１から供給された送信元識別情報と同一の送信元識別情報が抽出されない場合、この送信元識別情報に対する識別情報Ｒを生成する。そして、仮想マシン１１４は、送信元識別情報と生成した識別情報Ｒとを識別情報テーブルに書き込む。また、仮想マシン１１４は、識別情報テーブルの最終アクセス日時を、上記書き込み処理を行なった日時として書き込む。

【0054】

ステップＦ１１１：仮想マシン１１４は、通信データＡに対して、この通信データＡの送信元識別情報に対応する識別情報Ｒを付加する。

【0055】

ステップＦ１１２：仮想マシン１１４は、識別情報Ｒを付加した通信データＡを、ＡＰサーバ２００に対して出力する。

【0056】

ステップＦ１１３：仮想マシン１１４は、通信データＡをＡＰサーバ２００に対して出力した後、通信データＡに対する処理が終了したことを示す終了信号を仮想マシン１１１に対して出力する。

【0057】

図４は、リクエスト時におけるＡＰサーバ２００の識別情報付与システム２１０の識別情報Ｒの付加について説明するシーケンス図である。

【0058】

ステップＦ２０１：仮想マシン２１１は、Ｗｅｂサーバ１００から送信される通信データＡを受信する。

【0059】

ステップＦ２０２：仮想マシン２１１は、物理ＮＩＣ２３１から供給される順番に、通信データＡを順次キューに対して蓄積していく。

【0060】

ステップＦ２０３：仮想マシン２１１は、供給された通信データＡが初回であるか否かの判定を行なう。ここで、仮想マシン２１１は、初回であるか否かを初回フラグが立っているか否かにより判定する。
すなわち、仮想マシン２１１は、初回フラグが立っていない場合、初回であると判定し、通信データＡをキューから一つ取り出す。
一方、仮想マシン２１１は、初回フラグが立っている場合、初回でないと判定し、直前にキューから取り出した通信データＡの処理が終了したことを示す終了信号が仮想マシン２１４から供給されるまで待機する。そして、仮想マシン２１１は、仮想マシン２１４から上記終了信号を受信した場合、キューから通信データＡを一つ取り出す。
上述したキューは、仮想マシン１１１の構成と同様に、ＦＩＦＯの構成であり、ＡＰサーバ２００が受信した順番に、通信データＡが取り出される構成となっている。

【0061】

ステップＦ２０４：仮想マシン２１１は、キューから取り出した通信データＡから、識別情報付与システム１１０が付加した識別情報Ｒを取り外す。

【0062】

ステップＦ２０５：仮想マシン２１１は、通信データＡから取り外した識別情報Ｒを、仮想マシン２１４に対して出力する。

【0063】

ステップＦ２０６：仮想マシン２１１は、識別情報Ｒが取り外された通信データＡを、業務用仮想マシン２５１へ出力する。

【0064】

ステップＦ２０７：業務用仮想マシン２５１は、ウェブシステム１の一部の機能の処理を実行する。ここで、業務用仮想マシン２５１は、例えば、通信データＡのパケットのフォーマットを、Ｗｅｂサーバ１００とＡＰサーバ２００との間における通信のプロトコルから、ＡＰサーバ２００とＤＢサーバ３００との間における通信のプロトコルのフォーマットに変換する処理を行なう。

【0065】

ステップＦ２０８：業務用仮想マシン２５１は、所定の処理が終了し、フォーマット変換後の通信データＡを、仮想マシン２１４に対して出力する。

【0066】

ステップＦ２０９：仮想マシン２１４は、通信データＡに対して、仮想マシン２１１から供給された識別情報Ｒを付加する。

【0067】

ステップＦ２１０：仮想マシン２１４は、識別情報Ｒを付加した通信データＡを、ＤＢ３００に対して出力する。

【0068】

ステップＦ２１１：仮想マシン２１４は、通信データＡをＤＢサーバ３００に対して出力した後、通信データＡに対する処理が終了したことを示す終了信号を仮想マシン２１１に対して出力する。

【0069】

図５は、ＤＢサーバ３００の識別情報付与システム３１０の識別情報Ｒの付加について説明するシーケンス図である。図５（ａ）は、リクエスト時におけるＤＢサーバ３００の識別情報付与システム３１０の識別情報Ｒの取り外しを説明している。

【0070】

ステップＦ３０１：仮想マシン３１１は、ＡＰサーバ２００から送信される通信データＡを受信する。

【0071】

ステップＦ３０２：仮想マシン３１１は、物理ＮＩＣ３３１から供給される順番に、通信データＡを順次キューに対して蓄積していく。

【0072】

ステップＦ３０３：仮想マシン３１１は、供給された通信データＡが初回であるか否かの判定を行なう。ここで、仮想マシン３１１は、初回であるか否かを初回フラグが立っているか否かにより判定する。
すなわち、仮想マシン３１１は、初回フラグが立っていない場合、初回であると判定し、通信データＡをキューから一つ取り出す。
一方、仮想マシン３１１は、初回フラグが立っている場合、初回でないと判定し、直前にキューから取り出した通信データＡの応答である通信データＢが業務用仮想マシン３５１から供給され、この通信データをＡＰサーバ２００に対して出力したか否か、すなわち直前の通信データＡに対する処理が終了したか否かを判定し、直前の通信データＡに対する処理が終了するまで待機する。そして、仮想マシン３１１は、直前の通信データＡに対する処理が終了したことを検出した場合、キューから通信データＡを一つ取り出す。
上述したキューは、仮想マシン１１１の構成と同様に、ＦＩＦＯの構成であり、ＡＰサーバ２００が受信した順番に、通信データＡが取り出される構成となっている。

【0073】

ステップＦ３０４：仮想マシン３１１は、通信データＡから識別情報Ｒを取り外し、取り外した識別情報Ｒを内部に保持し、識別情報Ｒを取り外した通信データＡを、業務用仮想マシン３５１へ出力する。

【0074】

ステップＦ３０５：業務用仮想マシン２５１は、ウェブシステム１の一部の機能の処理を実行する。ここで、業務用仮想マシン２５１は、例えば、通信データＡにおけるデータベース（不図示）における検索依頼に対応する処理を実行する。

【0075】

図５（ｂ）は、レスポンス時におけるＤＢサーバ３００の識別情報付与システム３１０の識別情報Ｒの付加について説明している。

【0076】

ステップＦ３１０：業務用仮想マシン３５１は、通信データＡに対応した処理を実行した後、この通信データＡ対する応答である通信データＢを、仮想マシン３１１に対して出力する。

【0077】

ステップＦ３１１：仮想マシン３１１は、内部で記憶していた識別情報Ｒを、業務用仮想マシン３５１から供給される通信データＢに対して付加する。

【0078】

ステップＦ３１２：仮想マシン３１１は、識別情報Ｒを付加した通信データＢを、ＡＰサーバ２００に対して出力する。このとき、仮想マシン３１１は、この通信データＡに対する処理が終了したことを検出する。

【0079】

図６は、レスポンス時におけるＡＰサーバ２００の識別情報付与システム２１０の識別情報Ｒの付加について説明するシーケンス図である。

【0080】

ステップＦ２２１：仮想マシン２１４は、ＤＢサーバ３００から送信される通信データＢを受信する。

【0081】

ステップＦ２２２：仮想マシン２１４は、物理ＮＩＣ２３２から供給される順番に、通信データＢを順次キューに対して蓄積していく。

【0082】

ステップＦ２２３：仮想マシン２１４は、供給された通信データＢが初回であるか否かの判定を行なう。ここで、仮想マシン２１４は、初回であるか否かを初回フラグが立っているか否かにより判定する。
すなわち、仮想マシン２１４は、初回フラグが立っていない場合、初回であると判定し、通信データＢをキューから一つ取り出す。
一方、仮想マシン２１４は、初回フラグが立っている場合、初回でないと判定し、直前にキューから取り出した通信データＢの処理が終了したことを示す終了信号が仮想マシン２１１から供給されるまで待機する。そして、仮想マシン２１４は、仮想マシン２１１から上記終了信号を受信した場合、キューから通信データＢを一つ取り出す。
上述したキューは、仮想マシン１１１の構成と同様に、ＦＩＦＯの構成であり、ＡＰサーバ２００が受信した順番に、通信データＢが取り出される構成となっている。

【0083】

ステップＦ２２４：仮想マシン２１４は、キューから取り出した通信データＢから、識別情報付与システム３１０が付加した識別情報Ｒを取り外す。

【0084】

ステップＦ２２５：仮想マシン２１４は、識別情報Ｒが取り外された通信データＢを、業務用仮想マシン２５１へ出力する。

【0085】

ステップＦ２２６：仮想マシン２１４は、通信データＢから取り外した識別情報Ｒを、仮想マシン２１１に対して出力する。

【0086】

ステップＦ２２７：業務用仮想マシン２５１は、ウェブシステム１の一部の機能の処理を実行する。ここで、業務用仮想マシン２５１は、例えば、ＡＰサーバ２００とＤＢサーバ３００との間における通信のプロトコルから、通信データＢのパケットのフォーマットを、Ｗｅｂサーバ１００とＡＰサーバ２００との間における通信のプロトコルのフォーマットに変換する処理を行なう。

【0087】

ステップＦ２２８：業務用仮想マシン２５１は、所定の処理が終了し、フォーマット変換後の通信データＢを、仮想マシン２１１に対して出力する。

【0088】

ステップＦ２２９：仮想マシン２１１は、通信データＢに対して、仮想マシン２１４から供給された識別情報Ｒを付加する。

【0089】

ステップＦ２３０：仮想マシン２１１は、識別情報Ｒを付加した通信データＢを、Ｗｅｂサーバ１００に対して出力する。

【0090】

ステップＦ２３１：仮想マシン２１１は、通信データＢをＷｅｂサーバ１００に対して出力した後、通信データＢに対する処理が終了したことを示す終了信号を仮想マシン２１４に対して出力する。

【0091】

図７は、レスポンス時におけるＷｅｂサーバ１００の識別情報付与システム１１０の識別情報Ｒの付加について説明するシーケンス図である。

【0092】

ステップＦ１２１：仮想マシン１１４は、ＡＰサーバ２００のから送信される通信データＢを受信する。

【0093】

ステップＦ１２２：仮想マシン１１４は、物理ＮＩＣ１３２から供給される順番に、通信データＢを順次キューに対して蓄積していく。

【0094】

ステップＦ１２３：仮想マシン１１４は、供給された通信データＢが初回であるか否かの判定を行なう。ここで、仮想マシン１１４は、初回であるか否かを初回フラグが立っているか否かにより判定する。
すなわち、仮想マシン１１４は、初回フラグが立っていない場合、初回であると判定し、通信データＢをキューから一つ取り出す。
一方、仮想マシン１１４は、初回フラグが立っている場合、初回でないと判定し、直前にキューから取り出した通信データＢの処理が終了したことを示す終了信号が仮想マシン１１１から供給されるまで待機する。そして、仮想マシン１１４は、仮想マシン１１１から上記終了信号を受信した場合、キューから通信データＢを一つ取り出す。
上述したキューは、ＦＩＦＯの構成であり、Ｗｅｂサーバ１００が受信した順番に、通信データＢが取り出される構成となっている。

【0095】

ステップＦ１２４：仮想マシン１１４は、キューから取り出した通信データＢから、識別情報Ｂを取り外す。

【0096】

ステップＦ１２５：仮想マシン１１４は、識別情報Ｂを取り外した後、通信データＢを業務用仮想マシン１５１に対して出力する。

【0097】

ステップＦ１２６：仮想マシン１１４は、通信データＢから抽出した識別情報Ｒを、仮想マシン１１１に対して出力する。

【0098】

ステップＦ１２７：業務用仮想マシン１５１は、ウェブシステム１の一部の機能の処理を実行する。ここで、業務用仮想マシン１５１は、例えば、通信データＢのパケットのフォーマットを、Ｗｅｂサーバ１００とＡＰサーバ２００との間における通信のプロトコルから、インターネットのＨＴＴＰのプロトコルのフォーマットに変換する処理を行なう。

【0099】

ステップＦ１２８：業務用仮想マシン１５１は、所定の処理が終了し、フォーマット変換後の通信データＢを、仮想マシン１１１に対して出力する。

【0100】

ステップＦ１２９：仮想マシン１１１は、仮想マシン１１４から供給された識別情報Ｒを、業務用仮想マシン１５１から供給される通信データＢに対して付加する。

【0101】

ステップＦ１３０：仮想マシン１１１は、識別情報Ｒが付加された通信データＢを、物理ＮＩＣ１３３を介して、フェイククライアント５００に対して出力する。

【0102】

ステップＦ１３１：仮想マシン１１１は、識別情報Ｒが付加されていない通信データＢを、物理ＮＩＣ１３１を介して、クライアント４００に対して出力する。

【0103】

ステップＦ１３２：仮想マシン１１１は、識別情報Ｒを付加した通信データＢ（識別情報Ｒを取り外していない通信データＢ）を、ＡＰサーバ２００に対して出力する。

【0104】

ステップＦ１３３：仮想マシン１１１は、通信データＢをクライアント４００及びフェイククライアント５００の各々に対して出力した後、通信データＢに対する処理が終了したことを示す終了信号を仮想マシン１１４に対して出力する。

【0105】

上述した構成において、ログ収集サーバ７００は、収集ポイント６０１、収集ポイント６０２及び収集ポイント６０３の各々において、通信情報（通信情報Ａまたは通信情報Ｂ）を収集し、収集した日時に対応してログ収集データベース８００に蓄積する。
そして、ログ収集サーバ７００は、セキュリティインシデントの調査を行なう際、仮想マシン１１４の識別情報テーブルを参照し、ログ収集データベース８００に蓄積されている通信データの履歴において、問題のある通信データに付加されている識別情報Ｒから、通信データの対応付け及び送信元識別情報の検出処理を行なうことにより問題の解析を行なう。

【0106】

上述したように、本実施形態によれば、クライアント４００、Ｗｅｂサーバ１００、ＡＰサーバ２００及びＤＢサーバ３００の各々の間において送受信される通信データに対し、識別情報Ｒを付加することにより、ウェブシステム１において送受信される通信データの各々の対応付けをこの識別情報Ｒにより行なうことができ、通信データの各々をログ（ログＢ）とし、システムに対する攻撃に対して、容易にセキュリティインシデントの調査を行なうことができる。

【0107】

また、本実施形態によれば、クライアントからのリクエストに対するレスポンスにおいて、フェイククライアント５００を設け、Ｗｅｂサーバ１００からのクライアント４００に対するレスポンスの通信データＢに対しては識別情報Ｒを付加せず、フェイククライアント５００に対する通信データＢに対しては識別情報Ｒを付加しているため、攻撃者に気づかれることなく、クライアント４００に対する通信データＡ及び通信データＢの各サーバ間の送受信におけるログ収集のための対応付けを行なうことができる。

【0108】

また、本実施形態によれば、Ｗｅｂサーバ１００、ＡＰサーバ２００及びＤＢサーバ３００の各々において、識別情報付与システム１１０、識別情報付与システム２１０、識別情報付与システム３１０それぞれが、入力時に識別情報Ｒを取り外し、出力時に識別情報Ｒの付加を行なうため、業務用仮想マシン１５１、業務用仮想マシン２５１及び業務用仮想マシン３５１には従来と同様の通信データが供給され、識別情報Ｒを意識する必要が無い。このため、本実施形態によれば、業務用仮想マシン１５１、業務用仮想マシン２５１及び業務用仮想マシン３５１の各々の設計において、識別情報Ｒに対する対応を必要とせず、システム設計者が負担を増加させることなく、業務用仮想マシンの設計を行なうことができる。

【0109】

また、本実施形態において、所定の期間ごとに、送信元識別情報に対応する識別情報Ｒを変更する処理を行なってもよい。
送信元情報であるＩＰアドレスの使用者が変更となったり、なりすましでＩＰアドレスが使用されるなどの場合、識別情報Ｒを変更しないと、ＩＰアドレスがいずれの使用者であった期間にセキュリティの問題が発生したかを区別することができないため、所定の期間（例えば、一ヶ月）毎、あるいは最終アクセス日時から所定の期間（例えば、一ヶ月）が経過した時点において識別情報Ｒを変更する構成としても良い。

【0110】

図８は、仮想マシン１１４内部に備えられた識別情報テーブルの他の構成例を示す図である。図８において、他の構成例としての識別情報テーブルは、レコード毎に、送信元識別情報、識別情報Ｒ及び最終アクセス日時の各々の欄に加えて、有効フラグの欄が設けられている。有効フラグは、識別情報Ｒが有効か否かを示し、フラグが立っている（データ「１」が記載）場合に、識別情報Ｒが有効であることを示し、フラグが立っていない（データ「０」が記載）場合に、識別情報Ｒが有効でない（無効である）ことを示している。

【0111】

所定の期間で識別情報Ｒを変更する場合には、以下の処理が行なわれる。また、所定の期間で識別情報Ｒを変更する場合には、最終アクセス日時の欄を、識別情報Ｒ作成日時と変更した構成とする。識別情報Ｒ作成日時は、その識別情報Ｒを作成した日時を示している。
仮想マシン１１４は、リクエスト時において、仮想マシン１１１から送信元識別情報が供給された際、有効フラグが立っている識別情報Ｒのレコードから、この送信元識別情報を識別情報テーブルにおいて検索する。そして、仮想マシン１１４は、検索された送信元識別情報の識別情報Ｒ作成日時からの経過時間を求める。
このとき、仮想マシン１１４は、経過時間が所定の期間を超えていない場合、すでに説明した識別情報Ｒの付加の処理を行なう。

【0112】

一方、仮想マシン１１４は、経過時間が所定の期間を超えている場合、情報テーブルのこの識別情報Ｒの有効フラグを立っている状態（有効）から立っていない状態（無効）に変更する。そして、仮想マシン１１４は、有効でなくした識別情報Ｒの送信元識別情報に対し、新たな識別情報Ｒを作成する。仮想マシン１１４は、新たに作成した識別情報Ｒを送信元識別情報と対応させて、識別情報テーブルに書き込み、識別情報Ｒ作成日時に対して現在の日時を書き込み、有効フラグを有効な状態とする。これにより、仮想マシン１１４は、すでに説明した識別情報Ｒの付加の処理を行なう。

【0113】

最終アクセス日時から所定の所定の期間が経過下際に識別情報Ｒを変更する場合には、以下の処理が行なわれる。
仮想マシン１１４は、リクエスト時において、仮想マシン１１１から送信元識別情報が供給された際、有効フラグが立っている識別情報Ｒのレコードから、この送信元識別情報を識別情報テーブルにおいて検索する。そして、仮想マシン１１４は、検索された送信元識別情報の最終アクセス日時からの経過時間を求める。
このとき、仮想マシン１１４は、経過時間が所定の期間を超えていない場合、すでに説明した識別情報Ｒの付加の処理を行なう。

【0114】

一方、仮想マシン１１４は、経過時間が所定の期間を超えている場合、情報テーブルのこの識別情報Ｒの有効な状態から無効の状態に変更する。そして、仮想マシン１１４は、有効でなくした識別情報Ｒの送信元識別情報に対し、新たな識別情報Ｒを作成する。仮想マシン１１４は、新たに作成した識別情報Ｒを送信元識別情報と対応させて、識別情報テーブルに書き込み、最終アクセス日時に対して現在の日時を書き込み、有効フラグを有効な状態とする。これにより、仮想マシン１１４は、すでに説明した識別情報Ｒの付加の処理を行なう。

【0115】

上述した構成により、本実施形態によれば、送信元情報であるＩＰアドレスの使用者が変更となったり、なりすましでＩＰアドレスが使用されるなどの場合、識別情報Ｒを変更しないと、ＩＰアドレスがいずれの使用者であった期間にセキュリティの問題が発生したかを区別することができる。

【0116】

また、上述した識別情報付与システム１１０及び業務用仮想マシン１５１と、識別情報付与システム２１０及び業務用仮想マシン２５１と、識別情報付与システム３１０及び業務用仮想マシン３５１との各々を、Ｗｅｂサーバ１００、ＡＰサーバ２００、ＤＢサーバ３００それぞれにおいて複数個を並列に設ける構成としても良い。この構成の場合、Ｗｅｂサーバ１００、ＡＰサーバ２００、ＤＢサーバ３００の各々の物理ＮＩＣと、識別情報付与システム１１０、識別情報付与システム２１０、識別情報付与システム３１０それぞれとの間にロードバランス部（ロードバランサ）を設け、それぞれの識別情報付与システムと業務用仮想マシンとの組に対して負荷分散を行なう。
これにより、識別情報付与システムと業務用仮想マシンとの組の数に対応して、ウェブシステムにおける処理のスループットを向上させることができる。

【0117】

＜第２の実施形態＞
以下、図面を参照して、本発明の第２の実施形態について説明する。図９は、本発明の第２の実施形態による識別情報付与システムを用いたウェブシステムの構成例を示す図である。図９のウェブシステム１Ａにおいて、図１に示す第１の実施形態と同様の構成については同一の符号を付し、その説明を省略する。以下、第２の実施形態においては、第１の実施形態と異なる構成及び動作について説明する。

【0118】

第１の実施形態と異なる構成としては、Ｗｅｂサーバ１００Ａの識別情報付与システム１１０Ａにおいて、仮想マシン１１１と同様の構成である仮想マシン１１１＿１から仮想マシン１１１＿ｎが設けられ、仮想マシン１１４と同様の構成である仮想マシン１１４＿１から仮想マシン１１４＿ｎが設けられている。
仮想マシン１１１＿１から仮想マシン１１１＿ｎの各々には、ロードバランス部１６０が接続されている。ロードバランス部１６０は、クライアント４００の各々から供給される通信データＡの負荷分散を行い、均等な負荷として、通信データＡの各々を仮想マシン１１１＿１から仮想マシン１１１＿ｎそれぞれに供給する。

【0119】

ここで、仮想マシン１１１＿１から仮想マシン１１１＿ｎの各々は、仮想マシン１１４＿１、仮想マシン１１４＿２、…仮想マシン１１４＿ｎそれぞれと、第１の実施形態における仮想マシン１１１と仮想マシン１１４との処理の組合わせと同様な組を形成している。
また、第１の実施形態における仮想マシン１１４に備えられていた識別情報テーブルは、第２の実施形態において、仮想マシン１１４＿１から仮想マシン１１４＿ｎが共通に使用する一つの識別情報テーブルが、仮想マシン１１４＿１から仮想マシン１１４＿ｎのいずれかに備えられる。

【0120】

仮想マシン１１４＿１から仮想マシン１１４＿ｎの各々は、業務用仮想マシン１５１から出力される通信データＡが仮想マシン１１１＿１から仮想マシン１１１＿ｎのいずれから供給されたかを、仮想ＮＩＣ１１２＿１、仮想ＮＩＣ１１２＿２、仮想ＮＩＣ１１２＿ｎのＩＰアドレスにより判定する。同様に、仮想マシン１１１＿１から仮想マシン１１１＿ｎの各々は、業務用仮想マシン１５１から出力される通信データＢが仮想マシン１１４＿１から仮想マシン１１４＿ｎのいずれから供給されたかを、仮想ＮＩＣ１１５＿１、仮想ＮＩＣ１１５＿２、仮想ＮＩＣ１１５＿ｎのＩＰアドレスにより判定する。

【0121】

仮想マシン１１１＿１から仮想マシン１１１＿ｎの各々は、仮想ブリッジ１１７を介して、通信データＡから抽出した送信元識別情報に対し、仮想ＮＩＣ１１２＿１、仮想ＮＩＣ１１２＿２、仮想ＮＩＣ２＿ｎそれぞれのＩＰアドレスを付加し、仮想マシン１１４＿１から仮想マシン１１４＿ｎの全てに送信する。仮想マシン１１４＿１から仮想マシン１１４＿ｎの各々は、送信元識別情報とともに受信した仮想ＮＩＣのＩＰアドレスにより、仮想マシン１１１＿１から仮想マシン１１１＿ｎそれぞれが処理した通信データＡであるかを判定する。

【0122】

仮想マシン１１１＿１から仮想マシン１１１＿ｎの各々は、仮想ＮＩＣ１１３＿１、仮想ＮＩＣ１１３＿２、…、仮想ＮＩＣ１１３＿ｎ、仮想ブリッジ１１７、仮想ＮＩＣ１１６＿１、仮想ＮＩＣ１１６＿２、…、仮想ＮＩＣ１１６＿ｎそれぞれを介して、送信元識別情報の送信を行なう。同様に、仮想マシン１１４＿１から仮想マシン１１４＿ｎの各々は、仮想ＮＩＣ１１６＿１、仮想ＮＩＣ１１６＿２、…、仮想ＮＩＣ１１６＿ｎ、仮想ブリッジ１１７、仮想ＮＩＣ１１３＿１、仮想ＮＩＣ１１３＿２、…、仮想ＮＩＣ１１３＿ｎそれぞれを介して、識別情報Ｒの送信を行なう。
仮想マシン１１４＿１から仮想マシン１１４＿ｎの各々は、仮想ＮＩＣ１１５＿１、仮想ＮＩＣ１１５＿２、…、仮想ＮＩＣ１１５＿ｎそれぞれを介して、物理ＮＩＣ１３２に対する通信データＡの送信、通信データＢの受信のそれぞれを行なう。

【0123】

ＡＰサーバ２００Ａの識別情報付与システム２１０Ａにおいて、仮想マシン２１１と同様の構成である仮想マシン２１１＿１から仮想マシン２１１＿ｎが設けられ、仮想マシン２１４と同様の構成である仮想マシン２１４＿１から仮想マシン２１４＿ｎが設けられている。
仮想マシン２１１＿１から仮想マシン２１１＿ｎの各々には、ロードバランス部２６０が接続されている。ロードバランス部２６０は、Ｗｅｂサーバ１００から供給される通信データＡの負荷分散を行い、均等な負荷として、通信データＡの各々を仮想マシン２１１＿１から仮想マシン２１１＿ｎそれぞれに供給する。
他の構成については、Ｗｅｂサーバ１００Ａと同様である。

【0124】

また、ＤＢサーバ３００Ａの識別情報付与システム３１０Ａにおいて、仮想マシン３１１と同様の構成である仮想マシン３１１＿１から仮想マシン３１１＿ｎが設けられている。
仮想マシン３１１＿１から仮想マシン３１１＿ｎの各々には、ロードバランス部３６０が接続されている。ロードバランス部３６０は、ＡＰサーバ２００から供給される通信データＡの負荷分散を行い、均等な負荷として、通信データＡの各々を仮想マシン３１１＿１から仮想マシン３１１＿ｎそれぞれに供給する。
他の構成については、Ｗｅｂサーバ１００Ａと同様である。

【0125】

上述した構成により、本実施形態によれば、Ｗｅｂサーバ１００Ａ、ＡＰサーバ２００Ａ及びＤＢサーバ３００Ａの各々に入力される通信データＡの負荷分散をロードバランス部により行ない、仮想マシン１１１＿１から仮想マシン１１１＿ｎの各々と、仮想マシン２１１＿１から仮想マシン２１１＿ｎの各々と、仮想マシン３１１＿１から仮想マシン３１１＿ｎの各々とに対して行なうため、負荷分散を行なわずに、供給される全ての通信データを、一つの仮想マシン１１１、仮想マシン２１１、仮想マシン３１１において直列で処理する構成の第１の実施形態のウェブシステム１に比較して、ウェブシステム１Ａのスループットを向上させることができる。
また、上述した構成において、ログ収集サーバ（不図示）は、収集ポイント６０１、収集ポイント６０２及び収集ポイント６０３の各々において、通信情報（通信情報Ａまたは通信情報Ｂ）を収集し、収集した日時に対応してログ収集データベース（不図示）に蓄積する。

【0126】

＜第３の実施形態＞
以下、図面を参照して、本発明の第３の実施形態について説明する。図１０は、本発明の第３の実施形態による識別情報付与システムを用いたウェブシステムの構成例を示す図である。図１０のウェブシステム１Ｂにおいて、図１に示す第１の実施形態と同様の構成については同一の符号を付し、その説明を省略する。以下、第３の実施形態においては、第１の実施形態と異なる構成及び動作について説明する。

【0127】

第１の実施形態と異なる構成としては、Ｗｅｂサーバ１００Ｂの識別情報付与システム１１０Ｂにおいて、業務用仮想マシン１５１と同様の構成である業務用仮想マシン１５１＿１から業務用仮想マシン１５１＿ｎが設けられている。
業務用仮想マシン１５１＿１から業務用仮想マシン１５１＿ｎの各々には、ロードバランス部１６０が接続されている。ロードバランス部１６０は、仮想マシン１１１から供給される通信データＡの負荷分散を行い、均等な負荷として、通信データＡの各々を業務用仮想マシン１５１＿１から仮想マシン１５１＿ｎそれぞれに供給する。

【0128】

ここで、業務用仮想マシン１５１＿１から業務用仮想マシン１５１＿ｎの各々は、第１の実施形態における業務用仮想マシン１５１と同様の処理を行なう仮想マシンである。
業務用仮想マシン１５１＿１から業務用仮想マシン１５１＿ｎの各々は、それぞれ仮想ＮＩＣ１５２＿１、仮想ＮＩＣ１５２＿２、…、仮想ＮＩＣ１５２＿ｎを介して、ロードバランス部１６０及び仮想マシン１１４との通信データ（通信データＡ、通信データＢ）の送受信を行なう。

【0129】

仮想マシン１１１は、業務用仮想マシン１５１＿１から業務用仮想マシン１５１＿ｎのいずれに通信データＡを出力したかの情報として、ロードバランス部１６０から、通信データＡの出力先の業務用仮想マシンのＩＰアドレスを受信する。仮想マシン１１１は、通信データＡの送信元識別情報とともに、通信データＡの出力先である業務用仮想マシン１５１＿１から業務用仮想マシン１５１＿ｎのいずれかのＩＰアドレスを、仮想ブリッジ１１７を介して、仮想マシン１１４に対して供給する。
これにより、仮想マシン１１４は、業務用仮想マシン１５１＿１から業務用仮想マシン１５１＿ｎの各々から出力される通信データＡそれぞれが、いずれの送信元識別情報から供給されたかを特定することができる。すなわち、業務用仮想マシン１５１＿１から業務用仮想マシン１５１＿ｎの各々に入力された通信データＡと、それぞれから出力される通信データＡとの対応付けが可能となり、出力される通信データＡと送信元識別情報との対応関係を容易に得ることができる。

【0130】

また、ＡＰサーバ２００Ｂの識別情報付与システム２１０Ｂにおいて、業務用仮想マシン２５１と同様の構成である業務用仮想マシン２５１＿１から業務用仮想マシン２５１＿ｎが設けられている。
業務用仮想マシン２５１＿１から業務用仮想マシン２５１＿ｎの各々には、ロードバランス部２６０が接続されている。ロードバランス部２６０は、仮想マシン２１１から供給される通信データＡの負荷分散を行い、均等な負荷として、通信データＡの各々を業務用仮想マシン２５１＿１から仮想マシン２５１＿ｎそれぞれに供給する。

【0131】

ここで、業務用仮想マシン２５１＿１から業務用仮想マシン２５１＿ｎの各々は、第１の実施形態における業務用仮想マシン１５１と同様の処理を行なう仮想マシンである。
業務用仮想マシン２５１＿１から業務用仮想マシン２５１＿ｎの各々は、それぞれ仮想ＮＩＣ２５２＿１、仮想ＮＩＣ２５２＿２、…、仮想ＮＩＣ２５２＿ｎを介して、ロードバランス部２６０及び仮想マシン２１４との通信データ（通信データＡ、通信データＢ）の送受信を行なう。
他の構成については、Ｗｅｂサーバ１００Ｂと同様である。

【0132】

また、ＤＢサーバ３００Ｂの識別情報付与システム３１０Ｂにおいて、業務用仮想マシン３５１と同様の構成である業務用仮想マシン３５１＿１から業務用仮想マシン３５１＿ｎが設けられている。
業務用仮想マシン３５１＿１から業務用仮想マシン２５１＿ｎの各々には、ロードバランス部２６０が接続されている。ロードバランス部３６０は、仮想マシン３１１から供給される通信データＡの負荷分散を行い、均等な負荷として、通信データＡの各々を業務用仮想マシン３５１＿１から業務用仮想マシン３５１＿ｎそれぞれに供給する。

【0133】

ここで、業務用仮想マシン３５１＿１から業務用仮想マシン３５１＿ｎの各々は、第１の実施形態における業務用仮想マシン３５１と同様の処理を行なう仮想マシンである。
業務用仮想マシン３５１＿１から業務用仮想マシン３５１＿ｎの各々は、それぞれ仮想ＮＩＣ３５２＿１、仮想ＮＩＣ３５２＿２、…、仮想ＮＩＣ３５２＿ｎを介して、ロードバランス部３６０及び仮想マシン３１４との通信データ（通信データＡ、通信データＢ）の送受信を行なう。
他の構成については、Ｗｅｂサーバ１００Ｂと同様である。

【0134】

上述した構成により、本実施形態によれば、Ｗｅｂサーバ１００Ｂ、ＡＰサーバ２００Ｂ及びＤＢサーバ３００Ｂの各々に入力される通信データＡの各々を、仮想マシン１１１と仮想マシン２１１との間における業務用仮想マシン１５１＿１から業務用仮想マシン１５１＿ｎでロードバランス部により負荷分散を行なうため、負荷分散を行なわずに、供給される全ての通信データを、一つの仮想マシン１１１、仮想マシン２１１、仮想マシン３１１において直列で処理する構成の第１の実施形態のウェブシステム１に比較して、ウェブシステム１Ｂのスループットを向上させることができる。
また、上述した構成において、ログ収集サーバ（不図示）は、収集ポイント６０１、収集ポイント６０２及び収集ポイント６０３の各々において、通信情報（通信情報Ａまたは通信情報Ｂ）を収集し、収集した日時に対応してログ収集データベース（不図示）に蓄積する。

【0135】

また、本実施形態においては、Ｗｅｂサーバ１００Ｂ、ＡＰサーバ２００Ｂ及びＤＢサーバ３００Ｂの各々において、それぞれ業務用仮想マシン１５１＿１から業務用仮想マシン１５１＿ｎ、業務用仮想マシン２５１＿１から業務用仮想マシン２５１＿ｎ、業務用仮想マシン３５１から業務用仮想マシン２５１＿ｎを備え、各サーバが業務用仮想マシンを複数個設ける構成とした。しかしながら、すでに説明した、各サーバにおいて複数個の仮想マシンを備える第２の実施形態と、各サーバにおいて複数個の業務用仮想マシンを備える本実施形態とを組み合わせた構成としても良い。
すなわち、Ｗｅｂサーバ１００Ｂは、仮想マシン１１１＿１から仮想マシン１１１＿ｍと、業務用仮想マシン１５１＿１から業務用仮想マシン１５１＿ｎと、仮想マシン１１４＿１から仮想マシン１１４＿ｍとを備える構成としても良い。同様に、ＡＰサーバ２００Ｂは、仮想マシン２１１＿１から仮想マシン２１１＿ｍと、業務用仮想マシン２５１＿２から業務用仮想マシン２５１＿ｎ、仮想マシン２１４＿１から仮想マシン２１４＿ｍとを備える構成としても良い。また、ＤＢサーバ３００Ｂは、仮想マシン３１１＿１から仮想マシン３１１＿ｍと、業務用仮想マシン３５１＿２から業務用仮想マシン３５１＿ｎとを備える構成としても良い。このように、異なる、あるいは同一の個数で、仮想マシン及び業務用仮想マシンの各々を、各サーバにおいて並列に複数備える構成においても、ロードバランス部を設け、第２の実施形態あるいは第３の実施形態と同様に、仮想マシンあるいは業務用仮想マシンに対する通信データの負荷分散を行なう。

【0136】

＜第４の実施形態＞
以下、図面を参照して、本発明の第４の実施形態について説明する。図１１は、本発明の第４の実施形態による識別情報付与システムを用いたウェブシステムの構成例を示す図である。図１１のウェブシステム１Ｃにおいて、図１に示す第１の実施形態と同様の構成については同一の符号を付し、その説明を省略する。以下、第４の実施形態においては、第１の実施形態と異なる構成及び動作について説明する。

【0137】

第１の実施形態と異なる構成は、Ｗｅｂサーバ１００Ｃに対してのみ、識別情報付与システム１１０Ｃを設け、ＡＰサーバ２００Ｃ及びＤＢサーバ３００Ｃの各々に対して、それぞれ識別情報システムを設けない点にある。
識別情報付与システム１１０Ｃにおける仮想マシン１１４Ｃは、識別情報Ｒを通信情報Ａに対して付与するが、通信データであるパケットにおいて、業務用仮想マシン１５１、業務用仮想マシン２５１及び業務用仮想マシン３５１の各々における処理で、外されたりあるいは処理に対して影響を与えない所定の領域に、識別情報Ｒを埋め込む。この所定の領域は、例えば、ＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）のアプリケーションレイヤの拡張データ領域である。識別情報の生成などの他の処理は、第１の実施形態における仮想マシン１１４と同様である。
また、識別情報付与システム１１０Ｃにおける識別情報テーブルの構成は、第１の実施形態と同様である。

【0138】

仮想マシン１１１は、所定の領域に埋め込まれた識別情報Ｒを取りはずさない通信データＢをフェイククライアント５００に対して出力し、所定の領域に埋め込まれた識別情報Ｒを取り外した通信データＢをクライアント４００に対して出力する。
また、上述した構成において、ログ収集サーバ（不図示）は、収集ポイント６０１、収集ポイント６０２及び収集ポイント６０３の各々において、通信情報（通信情報Ａまたは通信情報Ｂ）を収集し、収集した日時に対応してログ収集データベース（不図示）に蓄積する。

【0139】

これにより、本実施形態によれば、ＡＰサーバ２００Ｃ及びＤＢサーバの各々においては、識別情報Ｒの付加及び取り外しの処理を行なう必要がないため、処理時間を短縮することができ、スループットを向上させることができる。
また、本実施形態によれば、識別情報付与システム１１０Ｃのみの設計及び実装を行なえばよいため、第１の実施形態から第３の実施形態の各々に比較して、作業時間及びコストを低減することができる。

【0140】

また、図１、図９、図１０及び図１１の各々における識別情報付与システムにおける識別情報Ｒの付加及び取り外しに関する機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより、識別情報Ｒの付加及び取り外しの処理を行ってもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。

【0141】

また、「コンピュータシステム」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、短時間の間、動的にプログラムを保持するもの、その場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含むものとする。また上記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであっても良い。

【0142】

以上、この発明の実施形態を図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

【符号の説明】

【0143】

１，１Ａ，１Ｂ，１Ｃ…ウェブシステム
１００，１００Ａ，１００Ｂ，１００Ｃ…Ｗｅｂサーバ
１１０，１１０Ａ，１１０Ｂ，１１０Ｃ，２１０Ａ，２１０Ｂ，３１０Ａ，３１０Ｂ…識別情報付与システム
１１１，１１１＿１，１１１＿１，１１１＿ｎ，１１４，１１４＿１，１１４＿１，１１４＿ｎ，１１４Ｃ，２１１，２１１＿１，２１１＿１，２１１＿ｎ，２１４，２１４＿１，２１４＿１，２１４＿ｎ，３１１，３１１＿１，３１１＿１，３１１＿ｎ，３１４，３１４＿１，３１４＿１，３１４＿ｎ…仮想マシン
１１２，１１３，１１５，１１６，１５２，２１２，２１３，２１５，２１６，１５２，３１２，３５２…仮想ＮＩＣ
１１７，１１８，２１７，２１８，３１８…仮想ブリッジ
１６０，２６０，３６０…ロードバランス部
１５１，１５１＿１，１５１＿１，１５１＿ｎ，２５１，２５１＿１，２５１＿１，２５１＿ｎ，３５１＿１，３５１＿１，３５１＿ｎ…業務用仮想マシン
２００，２００Ａ，２００Ｂ，２００Ｃ…ＡＰサーバ
３００，３００Ａ，３００Ｂ，３００Ｃ…ＤＢサーバ
４００…クライアント
５００…フェイククライアント
７００…ログ収集サーバ
８００…ログ収集データベース

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】