特許7656193 | 知財ポータル「IP Force」

知財求人 - 知財ポータルサイト「IP Force」

▶ 株式会社富士通エフサスの特許一覧

特許7656193データ抽出プログラム、データ抽出方法、および情報処理装置

書誌要約請求の範囲詳細な説明課題実施例実施するための形態図面の説明

目に優しい文字サイズ小中大 PDF Top

< >

1
2
3
4
5
6
7
8
9A
9B
9C
10A
10B
10C
10D
11A
11B
11C
11D
11E
12A
12B
12C
12D
12E
12F
12G
12H
13A
13B
13C
13D
14A
14B
14C
14D
14E
14F
14G
14H
15
16
17
18
19
20
21
22
23
24
25

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2025-03-26

(45)【発行日】2025-04-03

(54)【発明の名称】データ抽出プログラム、データ抽出方法、および情報処理装置

(51)【国際特許分類】

H04L 67/1396 20220101AFI20250327BHJP

G06F 11/34 20060101ALI20250327BHJP

【ＦＩ】

H04L67/1396

G06F11/34 176

【請求項の数】 8

(21)【出願番号】P 2021136690

(22)【出願日】2021-08-24

(65)【公開番号】P2023031161

(43)【公開日】2023-03-08

【審査請求日】2024-05-09

(73)【特許権者】

【識別番号】598057291

【氏名又は名称】エフサステクノロジーズ株式会社

(74)【代理人】

【識別番号】110003889

【氏名又は名称】弁理士法人酒井総合特許事務所

(72)【発明者】

【氏名】松田隆

(72)【発明者】

【氏名】松下明裕

【審査官】小林義晴

(56)【参考文献】

【文献】特開２０１２－７３８７８（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１７／０２３５７４３（ＵＳ，Ａ１）

【文献】特開２０２０－１６１０５０（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ６７／００

Ｇ０６Ｆ１１／３４

(57)【特許請求の範囲】

【請求項1】

特定のユーザに対応するネットワーク網を識別する識別子を取得し、
複数の通信データを含むネットワークログのうち、取得した前記識別子を含む通信データに含まれる、前記特定のユーザに対応するＩＰアドレスを特定し、
前記ネットワークログから、特定した前記ＩＰアドレスを含む通信データを検索し、
前記ネットワークログから、暗号化通信確立情報およびクッキー関連情報の少なくともいずれかの情報を検索し、
検索した前記情報が前記識別子に関係する場合、前記情報に基づいて、検索した前記通信データから抽出対象の通信データを決定する、
処理をコンピュータに実行させることを特徴とするデータ抽出プログラム。

【請求項2】

前記暗号化通信確立情報は、ＩＫＥフェーズ１のネゴシエーション通信の開始を示すプロトコルメッセージと、前記ＩＫＥフェーズ１のネゴシエーション通信の終了を示すプロトコルメッセージとを含み、
前記検索する処理は、
前記ネットワークログから、前記ＩＫＥフェーズ１のネゴシエーション通信の開始を示すプロトコルメッセージを含む第１通信データと、前記ＩＫＥフェーズ１のネゴシエーション通信の終了を示すプロトコルメッセージを含む第２通信データとを検索し、
前記決定する処理は、
検索した前記第２通信データに前記識別子が含まれる場合、検索した前記通信データのうち、前記第１通信データから前記第２通信データまでの第１時間範囲に含まれる通信データを、前記抽出対象の通信データに決定する、
処理を前記コンピュータに実行させることを特徴とする請求項１に記載のデータ抽出プログラム。

【請求項3】

前記暗号化通信確立情報は、ＩＫＥフェーズ２のネゴシエーション通信の開始を示すプロトコルメッセージと、前記ＩＫＥフェーズ２の受信方向のネゴシエーション通信の終了を示すプロトコルメッセージと、前記ＩＫＥフェーズ２の送信方向のネゴシエーション通信の終了を示すプロトコルメッセージとを含み、
前記検索する処理は、
前記ネットワークログから、前記ＩＫＥフェーズ２のネゴシエーション通信の開始を示すプロトコルメッセージを含む第３通信データと、前記ＩＫＥフェーズ２の受信方向のネゴシエーション通信の終了を示すプロトコルメッセージを含む第４通信データと、前記ＩＫＥフェーズ２の送信方向のネゴシエーション通信の終了を示すプロトコルメッセージを含む第５通信データとを検索し、
前記決定する処理は、
検索した前記第４通信データおよび前記第５通信データに前記識別子が含まれる場合、検索した前記通信データのうち、前記第３通信データから、前記第４通信データおよび前記第５通信データのうち記録時刻が遅い通信データまでの第２時間範囲に含まれる通信データを、前記抽出対象の通信データに決定する、
処理を前記コンピュータに実行させることを特徴とする請求項１または２に記載のデータ抽出プログラム。

【請求項4】

前記クッキー関連情報を検索し、クッキー値を含み、
前記検索する処理は、
前記ネットワークログから、同一のクッキー値を含む通信データ群を検索し、
前記決定する処理は、
検索した前記通信データ群の中に前記識別子を含む通信データが含まれる場合、検索した前記通信データのうち、前記通信データ群の先頭の通信データから最終の通信データまでの第３時間範囲に含まれる通信データを、前記抽出対象の通信データに決定する、
処理を前記コンピュータに実行させることを特徴とする請求項１～３のいずれか一つに記載のデータ抽出プログラム。

【請求項5】

取得した前記識別子を含む通信データを、前記抽出対象の通信データに決定する、
処理を前記コンピュータに実行させることを特徴とする請求項１～４のいずれか一つに記載のデータ抽出プログラム。

【請求項6】

決定した前記抽出対象の通信データを前記ネットワークログから抽出し、
抽出した前記通信データを出力する、
処理を前記コンピュータに実行させることを特徴とする請求項１～５のいずれか一つに記載のデータ抽出プログラム。

【請求項7】

特定のユーザに対応するネットワーク網を識別する識別子を取得し、
複数の通信データを含むネットワークログのうち、取得した前記識別子を含む通信データに含まれる、前記特定のユーザに対応するＩＰアドレスを特定し、
前記ネットワークログから、特定した前記ＩＰアドレスを含む通信データを検索し、
前記ネットワークログから、暗号化通信確立情報およびクッキー関連情報の少なくともいずれかの情報を検索し、
検索した前記情報が前記識別子に関係する場合、前記情報に基づいて、検索した前記通信データから抽出対象の通信データを決定する、
処理をコンピュータが実行することを特徴とするデータ抽出方法。

【請求項8】

特定のユーザに対応するネットワーク網を識別する識別子を取得し、
複数の通信データを含むネットワークログのうち、取得した前記識別子を含む通信データに含まれる、前記特定のユーザに対応するＩＰアドレスを特定し、
前記ネットワークログから、特定した前記ＩＰアドレスを含む通信データを検索し、
前記ネットワークログから、暗号化通信確立情報およびクッキー関連情報の少なくともいずれかの情報を検索し、
検索した前記情報が前記識別子に関係する場合、前記情報に基づいて、検索した前記通信データから抽出対象の通信データを決定する、
処理を実行する制御部を有することを特徴とする情報処理装置。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、データ抽出プログラム、データ抽出方法、および情報処理装置に関する。

【背景技術】

【0002】

近年、ルータ、ファイアーウォール、負荷分散、帯域制御などのＩＴ（ＩｎｆｏｒｍａｔｉｏｎＴｅｃｈｎｏｌｏｇｙ）システムに要求される機能を集約したネットワーク装置がある。また、ネットワーク装置に記録されるネットワークログを解析して、顧客の通信状況を確認したり、障害の発生箇所を特定したりする場合がある。ネットワークログには、例えば、複数の顧客の情報が含まれる場合がある。

【0003】

先行技術としては、特定種類の通信が既知であるログ情報を収集し、収集されたログ情報から抽出条件に適合する通信を抽出し、抽出された通信に対する特定種類の通信の割合が閾値以上である場合に、当該抽出条件を採用することを決定するものがある。また、監視対象とするネットワーク上で繰り返し行われる通信を把握するための技術がある。

【先行技術文献】

【特許文献】

【0004】

【文献】国際公開第２０１５／１４１６４０号

【文献】特開２０１７－５７４６号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

しかしながら、従来技術では、複数の顧客の通信データが含まれたネットワークログから、特定の顧客の通信データを漏れのないように抽出することが難しい。

【0006】

一つの側面では、本発明は、特定のユーザの通信データを抽出する際の抽出漏れを防ぐことを目的とする。

【課題を解決するための手段】

【0007】

１つの実施態様では、特定のユーザに対応するネットワーク網を識別する識別子を取得し、複数の通信データを含むネットワークログのうち、取得した前記識別子を含む通信データに含まれる、前記特定のユーザに対応するＩＰアドレスを特定し、前記ネットワークログから、特定した前記ＩＰアドレスを含む通信データを検索し、前記ネットワークログから、暗号化通信確立情報およびクッキー関連情報の少なくともいずれかの情報を検索し、検索した前記情報が前記識別子に関係する場合、前記情報に基づいて、検索した前記通信データから抽出対象の通信データを決定する、データ抽出プログラムが提供される。

【発明の効果】

【0008】

本発明の一側面によれば、特定のユーザの通信データを抽出する際の抽出漏れを防ぐことができるという効果を奏する。

【図面の簡単な説明】

【0009】

【図1】図１は、実施の形態にかかるデータ抽出方法の一実施例を示す説明図である。

【図2】図２は、情報処理システム２００のシステム構成例を示す説明図である。

【図3】図３は、ログ解析装置２０１のハードウェア構成例を示すブロック図である。

【図4】図４は、顧客情報ＤＢ２２０の記憶内容の一例を示す説明図である。

【図5】図５は、ネットワークログＬの第１の具体例を示す説明図である。

【図6】図６は、ログ解析装置２０１の機能的構成例を示すブロック図である。

【図7】図７は、ログ解析結果の具体例を示す説明図である。

【図8】図８は、抽出管理テーブル８００を示す説明図である。

【図9A】図９Ａは、ネットワークログＬの第２の具体例を示す説明図（その１）である。

【図9B】図９Ｂは、ネットワークログＬの第２の具体例を示す説明図（その２）である。

【図9C】図９Ｃは、ネットワークログＬの第２の具体例を示す説明図（その３）である。

【図10A】図１０Ａは、抽出管理テーブル８００の記憶内容の第１の変遷例を示す説明図（その１）である。

【図10B】図１０Ｂは、抽出管理テーブル８００の記憶内容の第１の変遷例を示す説明図（その２）である。

【図10C】図１０Ｃは、抽出管理テーブル８００の記憶内容の第１の変遷例を示す説明図（その３）である。

【図10D】図１０Ｄは、抽出管理テーブル８００の記憶内容の第１の変遷例を示す説明図（その４）である。

【図11A】図１１Ａは、ネットワークログＬの第３の具体例を示す説明図（その１）である。

【図11B】図１１Ｂは、ネットワークログＬの第３の具体例を示す説明図（その２）である。

【図11C】図１１Ｃは、ネットワークログＬの第３の具体例を示す説明図（その３）である。

【図11D】図１１Ｄは、ネットワークログＬの第３の具体例を示す説明図（その４）である。

【図11E】図１１Ｅは、ネットワークログＬの第３の具体例を示す説明図（その５）である。

【図12A】図１２Ａは、抽出管理テーブル８００の記憶内容の第２の変遷例を示す説明図（その１）である。

【図12B】図１２Ｂは、抽出管理テーブル８００の記憶内容の第２の変遷例を示す説明図（その２）である。

【図12C】図１２Ｃは、抽出管理テーブル８００の記憶内容の第２の変遷例を示す説明図（その３）である。

【図12D】図１２Ｄは、抽出管理テーブル８００の記憶内容の第２の変遷例を示す説明図（その４）である。

【図12E】図１２Ｅは、抽出管理テーブル８００の記憶内容の第２の変遷例を示す説明図（その５）である。

【図12F】図１２Ｆは、抽出管理テーブル８００の記憶内容の第２の変遷例を示す説明図（その６）である。

【図12G】図１２Ｇは、抽出管理テーブル８００の記憶内容の第２の変遷例を示す説明図（その７）である。

【図12H】図１２Ｈは、抽出管理テーブル８００の記憶内容の第２の変遷例を示す説明図（その８）である。

【図13A】図１３Ａは、ネットワークログＬの第４の具体例を示す説明図（その１）である。

【図13B】図１３Ｂは、ネットワークログＬの第４の具体例を示す説明図（その２）である。

【図13C】図１３Ｃは、ネットワークログＬの第４の具体例を示す説明図（その３）である。

【図13D】図１３Ｄは、ネットワークログＬの第４の具体例を示す説明図（その４）である。

【図14A】図１４Ａは、抽出管理テーブル８００の記憶内容の第３の変遷例を示す説明図（その１）である。

【図14B】図１４Ｂは、抽出管理テーブル８００の記憶内容の第３の変遷例を示す説明図（その２）である。

【図14C】図１４Ｃは、抽出管理テーブル８００の記憶内容の第３の変遷例を示す説明図（その３）である。

【図14D】図１４Ｄは、抽出管理テーブル８００の記憶内容の第３の変遷例を示す説明図（その４）である。

【図14E】図１４Ｅは、抽出管理テーブル８００の記憶内容の第３の変遷例を示す説明図（その５）である。

【図14F】図１４Ｆは、抽出管理テーブル８００の記憶内容の第３の変遷例を示す説明図（その６）である。

【図14G】図１４Ｇは、抽出管理テーブル８００の記憶内容の第３の変遷例を示す説明図（その７）である。

【図14H】図１４Ｈは、抽出管理テーブル８００の記憶内容の第３の変遷例を示す説明図（その８）である。

【図15】図１５は、ログ解析装置２０１のログ解析処理手順の一例を示すフローチャートである。

【図16】図１６は、一次抽出処理の具体的処理手順の一例を示すフローチャート（その１）である。

【図17】図１７は、一次抽出処理の具体的処理手順の一例を示すフローチャート（その２）である。

【図18】図１８は、一次抽出処理の具体的処理手順の一例を示すフローチャート（その３）である。

【図19】図１９は、一次抽出処理の具体的処理手順の一例を示すフローチャート（その４）である。

【図20】図２０は、第１のネゴシエーション解析処理の具体的処理手順の一例を示すフローチャート（その１）である。

【図21】図２１は、第１のネゴシエーション解析処理の具体的処理手順の一例を示すフローチャート（その２）である。

【図22】図２２は、第２のネゴシエーション解析処理の具体的処理手順の一例を示すフローチャート（その１）である。

【図23】図２３は、第２のネゴシエーション解析処理の具体的処理手順の一例を示すフローチャート（その２）である。

【図24】図２４は、クッキー解析処理の具体的処理手順の一例を示すフローチャート（その１）である。

【図25】図２５は、クッキー解析処理の具体的処理手順の一例を示すフローチャート（その２）である。

【発明を実施するための形態】

【0010】

以下に図面を参照して、本発明にかかるデータ抽出プログラム、データ抽出方法、および情報処理装置の実施の形態を詳細に説明する。

【0011】

（実施の形態）
図１は、実施の形態にかかるデータ抽出方法の一実施例を示す説明図である。図１において、情報処理装置１０１は、ネットワークログから特定のユーザの通信データを抽出するコンピュータである。ネットワークログは、ネットワーク装置によって記録されるログであり、複数の通信データを含む。

【0012】

通信データは、インターネットなどのネットワークを介した各ユーザの通信履歴（例えば、サーバへの操作履歴など）を示す。ネットワーク装置は、例えば、ルータ、ファイアーウォール、負荷分散、帯域制御などの機能を有する。ネットワークログは、例えば、セキュリティ上の問題解決や業務改善などに使用される。

【0013】

ここで、ある顧客にネットワークトラブルなどが発生した際に、トラブル対応のために、ネットワークログから、その顧客の通信データを抽出したい場合がある。一方、ネットワークログには、複数の顧客の通信データが含まれる場合がある。このため、例えば、ネットワークログから、特定の顧客を示すＶＬＡＮ＿ＩＤ（ＶｉｒｔｕａｌＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ－ＩＤｅｎｔｉｆｉｅｒ）が記載された通信データを抽出することが考えられる。

【0014】

ＶＬＡＮは、顧客が使用する論理ネットワーク（仮想的なネットワーク）の一例であり、物理的な一つのＬＡＮを複数の仮想的なＬＡＮに分割したものである。ＶＬＡＮ＿ＩＤは、ＶＬＡＮを一意に識別する識別子である。顧客とＶＬＡＮ＿ＩＤは、１対１で対応している。しかしながら、全ての通信データにＶＬＡＮ＿ＩＤが記載されているとは限らず、ＶＬＡＮ＿ＩＤだけでは、ネットワークログから特定の顧客に関する通信データを漏れなく抽出することができない。

【0015】

このため、従来は、人手により特定の顧客に関する通信データを抽出することが行われていた。しかし、人手による抽出作業には、手間や時間がかかる。また、特定の顧客に関する通信データのみを漏れなく抽出するには、ノウハウや熟練度が必要であるという問題がある。また、人手による作業では、抽出漏れが生じるおそれがある。

【0016】

そこで、本実施の形態では、複数のユーザの通信データを含むネットワークログから特定のユーザの通信データを抽出する際の抽出漏れを防ぐデータ抽出方法について説明する。以下、情報処理装置１０１の処理例について説明する。

【0017】

（１）情報処理装置１０１は、特定のユーザに対応するネットワーク網を識別する識別子を取得する。特定のユーザは、例えば、ネットワークトラブルなどが発生した顧客である。特定のユーザに対応するネットワーク網は、特定のユーザが使用する論理ネットワークであり、例えば、特定のユーザに固有のＶＬＡＮである。

【0018】

図１の例では、特定のユーザを「顧客Ａ」とし、顧客Ａに対応するＶＬＡＮ＿ＩＤ「ＡＡ」が取得された場合を想定する。

【0019】

（２）情報処理装置１０１は、複数の通信データを含むネットワークログのうち、取得した識別子を含む通信データに含まれる、特定のユーザに対応するＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）アドレスを特定する。特定のユーザに対応するＩＰアドレスは、特定のユーザが使用するクライアントＩＰアドレス（例えば、接続元のＩＰアドレス）である。

【0020】

具体的には、例えば、情報処理装置１０１は、ネットワークログ１１０から、顧客Ａに対応するＶＬＡＮ＿ＩＤ「ＡＡ」を含む通信データ１１１を特定する。ネットワークログ１１０は、解析対象となるネットワークログの一例である。そして、情報処理装置１０１は、特定した通信データ１１１に含まれるクライアントＩＰアドレスを特定する。

【0021】

図１の例では、ネットワークログ１１０のうちの顧客Ａに対応するＶＬＡＮ＿ＩＤ「ＡＡ」を含む通信データ１１１から、顧客Ａに対応するクライアントＩＰアドレス「ＢＢ」が特定された場合を想定する。

【0022】

（３）情報処理装置１０１は、ネットワークログから、特定したＩＰアドレスを含む通信データを検索する。具体的には、例えば、情報処理装置１０１は、ネットワークログ１１０から、顧客Ａに対応するクライアントＩＰアドレス「ＢＢ」を含む通信データを検索する。

【0023】

図１の例では、ネットワークログ１１０から、顧客Ａに対応するクライアントＩＰアドレス「ＢＢ」を含む通信データ１１２～１１４が見つかった場合を想定する。ただし、ＩＰアドレスは、同じユーザが使い続けるとは限らない。したがって、この時点では、クライアントＩＰアドレス「ＢＢ」を含む通信データ１１２～１１４が、顧客Ａに対応する通信データであるとは限らない。

【0024】

（４）情報処理装置１０１は、ネットワークログから、暗号化通信確立情報およびクッキー関連情報の少なくともいずれかの情報を検索する。ここで、暗号化通信確立情報は、暗号化通信が確立したことを特定する情報である。暗号化通信確立情報は、例えば、ＩＫＥ（ＩｎｔｅｒｎｅｔＫｅｙＥｘｃｈａｎｇｅ）フェーズ１のネゴシエーション通信の開始を示すプロトコルメッセージを含む。

【0025】

また、暗号化通信確立情報は、例えば、ＩＫＥフェーズ１のネゴシエーション通信の終了を示すプロトコルメッセージを含む。ＩＫＥは、ネットワーク上のデバイス間で暗号鍵の交換・管理を行うためのプロトコルであり、ＩＰｓｅｃ（ＳｅｃｕｒｉｔｙＡｒｃｈｉｔｅｃｔｕｒｅｆｏｒＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）を形成するプロトコルの一つである。

【0026】

ＩＰｓｅｃは、相互接続性のある、高品質な暗号に基づくセキュリティサービスを提供するためのプロトコルである。ＩＫＥフェーズ１は、通信装置に設定された、暗号化アルゴリズム、暗号鍵、メッセージ認証方式をもとに暗号化通信を行って、ＩＫＥフェーズ２のための「暗号化通信を行うための情報」を交換する処理である。ＩＫＥフェーズ２は、実際のデータの転送を行うための暗号化通信をするために必要な情報の交換を行う処理である。

【0027】

また、クッキー関連情報は、ユーザを識別したり、セッションを管理したりするための情報である。クッキー関連情報は、例えば、クッキー値を含む。ここでは、暗号化通信確立情報およびクッキー関連情報のうちの暗号化通信確立情報を検索する場合を例に挙げて説明する。

【0028】

具体的には、例えば、情報処理装置１０１は、ネットワークログ１１０から、ＩＫＥフェーズ１のネゴシエーション通信の開始を示すプロトコルメッセージを含む第１通信データと、ＩＫＥフェーズ１のネゴシエーション通信の終了を示すプロトコルメッセージを含む第２通信データとを検索する。

【0029】

図１の例では、ネットワークログ１１０から、ＩＫＥフェーズ１のネゴシエーション通信の開始を示すプロトコルメッセージを含む第１通信データ１１５が見つかった場合を想定する。また、ネットワークログ１１０から、ＩＫＥフェーズ１のネゴシエーション通信の終了を示すプロトコルメッセージを含む第２通信データ１１６が見つかった場合を想定する。

【0030】

（５）情報処理装置１０１は、検索した暗号化通信確立情報が識別子に関係する場合、暗号化通信確立情報に基づいて、検索した通信データから抽出対象の通信データを決定する。ＩＫＥフェーズ１のネゴシエーション通信の終了を示すプロトコルメッセージを含む通信データには、例えば、ユーザに対応するＶＬＡＮ＿ＩＤが含まれる。

【0031】

このため、情報処理装置１０１は、例えば、検索した第２通信データ１１６に、顧客Ａに対応するＶＬＡＮ＿ＩＤ「ＡＡ」が含まれるか否かを判断する。ここで、ＶＬＡＮ＿ＩＤ「ＡＡ」が含まれない場合、情報処理装置１０１は、暗号化通信確立情報がＶＬＡＮ＿ＩＤ「ＡＡ」に関係しないと判断する。

【0032】

一方、ＶＬＡＮ＿ＩＤ「ＡＡ」が含まれる場合、情報処理装置１０１は、暗号化通信確立情報がＶＬＡＮ＿ＩＤ「ＡＡ」に関係すると判断する。そして、情報処理装置１０１は、第２通信データ１１６にＶＬＡＮ＿ＩＤ「ＡＡ」が含まれる場合、検索した通信データ１１２～１１４のうち、第１通信データ１１５から第２通信データ１１６までの時間範囲に含まれる通信データを、抽出対象の通信データに決定する。

【0033】

ここで、第１通信データ１１５から第２通信データ１１６までの時間範囲とは、ＩＫＥフェーズ１のネゴシエーションが開始された時刻から、ＩＫＥフェーズ１のネゴシエーションが終了した時刻までの時間範囲である。第２通信データ１１６にＶＬＡＮ＿ＩＤ「ＡＡ」が含まれる場合、第１通信データ１１５、第２通信データ１１６は、顧客ＡのＩＫＥフェーズ１の確立成功を示す。

【0034】

第１通信データ１１５から第２通信データ１１６までの時間範囲に含まれるクライアントＩＰアドレス「ＢＢ」は、顧客Ａであると特定することができる。すなわち、通信データ１１２～１１４のうち、第１通信データ１１５から第２通信データ１１６までの時間範囲に含まれる通信データは、顧客Ａに関する通信データであるといえる。

【0035】

なお、ＩＫＥフェーズ１のネゴシエーションが開始された時刻は、例えば、第１通信データ１１５が記録された時刻であり、第１通信データ１１５に含まれる。ＩＫＥフェーズ１のネゴシエーションが終了した時刻は、例えば、第２通信データ１１６が記録された時刻であり、第２通信データ１１６に含まれる。

【0036】

図１の例では、通信データ１１２～１１４のうちの通信データ１１２，１１３が、第１通信データ１１５から第２通信データ１１６までの時間範囲に含まれる。このため、情報処理装置１０１は、通信データ１１２～１１４のうちの通信データ１１２，１１３を、抽出対象の通信データに決定する。

【0037】

このように、情報処理装置１０１によれば、特定のユーザの暗号化通信が確立したことを特定する情報を利用して、特定のユーザのＩＰアドレスと同一のＩＰアドレスを含む通信データから、抽出対象の通信データを決定することができる。これにより、複数のユーザの通信データを含むネットワークログから特定のユーザの通信データを抽出する際の抽出漏れを防ぐことができる。

【0038】

図１の例では、情報処理装置１０１は、顧客ＡのＩＫＥフェーズ１のネゴシエーション通信が行われた範囲を利用して、ネットワークログ１１０のうち、顧客ＡのＩＰアドレスと同一のＩＰアドレスを含む通信データ１１２～１１４から、顧客Ａの通信データ１１２，１１３を抽出することができる。

【0039】

これにより、ネットワークログ１１０から顧客Ａの通信データを抽出する際の抽出漏れを防ぐことができる。また、顧客ＡのＩＰアドレスと同一のＩＰアドレスが割り当てられた他の顧客の通信データが誤って抽出されるのを防ぐことができる。なお、ネットワークログからクッキー関連情報を検索する場合については、図６を用いて後述する。

【0040】

（情報処理システム２００のシステム構成例）
つぎに、実施の形態にかかる情報処理システム２００のシステム構成例について説明する。以下の説明では、図１に示した情報処理装置１０１を、情報処理システム２００内のログ解析装置２０１に適用する場合を例に挙げて説明する。情報処理システム２００は、例えば、複数の顧客が利用するＩＴシステムに適用される。

【0041】

図２は、情報処理システム２００のシステム構成例を示す説明図である。図２において、情報処理システム２００は、ログ解析装置２０１と、ネットワーク装置２０２と、複数の顧客サーバ２０３と、クライアント端末２０４と、を含む。情報処理システム２００において、ログ解析装置２０１、ネットワーク装置２０２、顧客サーバ２０３およびクライアント端末２０４は、有線または無線のネットワーク２１０を介して接続される。

【0042】

ネットワーク２１０は、例えば、インターネット、ＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）、ＷＡＮ（ＷｉｄｅＡｒｅａＮｅｔｗｏｒｋ）などである。具体的には、例えば、顧客サーバ２０３が属する顧客側ネットワークは、インターネットを介してネットワーク装置２０２に接続される。顧客側ネットワークは、例えば、ＶＬＡＮである。ログ解析装置２０１、ネットワーク装置２０２およびクライアント端末２０４は、ＬＡＮを介して接続される。

【0043】

ここで、ログ解析装置２０１は、顧客情報ＤＢ（Ｄａｔａｂａｓｅ）２２０を有し、ネットワークログを解析することによって、特定のユーザの通信データを抽出する。ログ解析装置２０１は、例えば、サーバである。顧客情報ＤＢ２２０の記憶内容については、図４を用いて後述する。

【0044】

なお、顧客情報ＤＢ２２０は、ログ解析装置２０１がアクセス可能な他のコンピュータが有していてもよい。他のコンピュータは、例えば、サービス管理システムを実現するサーバである。この場合、ログ解析装置２０１は、他のコンピュータにアクセスすることによって、顧客情報ＤＢ２２０を参照することができる。

【0045】

以下の説明では、ネットワーク装置２０２によって記録されるネットワークログを「ネットワークログＬ」と表記する場合がある。

【0046】

ネットワーク装置２０２は、ネットワークログＬを記録するコンピュータである。ネットワーク装置２０２は、例えば、ルータ、ファイアーウォール、負荷分散、帯域制御などの機能を集約した機器である。ネットワークログＬは、ネットワーク２１０を介したユーザ（顧客）の通信履歴を表す情報である。ネットワークログＬは、例えば、複数の顧客の通信データを含む。ネットワークログＬの具体例については、例えば、図５を用いて後述する。

【0047】

顧客サーバ２０３は、ユーザ（顧客）が使用するコンピュータである。ユーザは、例えば、個人であってもよく、また、企業や企業内の部署などであってもよい。ネットワークログＬに含まれる通信データは、例えば、インターネットを介した顧客（顧客サーバ２０３）の通信履歴を示す。

【0048】

クライアント端末２０４は、オペレータが使用するコンピュータである。オペレータは、例えば、顧客のネットワークトラブルに対処する者である。クライアント端末２０４は、例えば、Ｗｅｂブラウザを有し、ネットワークログＬの解析結果を表示可能である。クライアント端末２０４は、例えば、ＰＣ（ＰｅｒｓｏｎａｌＣｏｍｐｕｔｅｒ）、タブレットＰＣなどである。

【0049】

なお、ここでは、ログ解析装置２０１とクライアント端末２０４とを別体に設けることにしたが、これに限らない。例えば、ログ解析装置２０１は、クライアント端末２０４により実現されることにしてもよい。また、情報処理システム２００には、複数のネットワーク装置２０２が含まれていてもよい。また、ログ解析装置２０１、ネットワーク装置２０２、顧客サーバ２０３は、例えば、仮想マシンにより実現されることにしてもよい。

【0050】

（ログ解析装置２０１のハードウェア構成例）
つぎに、ログ解析装置２０１のハードウェア構成例について説明する。

【0051】

図３は、ログ解析装置２０１のハードウェア構成例を示すブロック図である。図３において、ログ解析装置２０１は、ＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）３０１と、メモリ３０２と、ディスクドライブ３０３と、ディスク３０４と、通信Ｉ／Ｆ（Ｉｎｔｅｒｆａｃｅ）３０５と、可搬型記録媒体Ｉ／Ｆ３０６と、可搬型記録媒体３０７と、を有する。また、各構成部は、バス３００によってそれぞれ接続される。

【0052】

ここで、ＣＰＵ３０１は、ログ解析装置２０１の全体の制御を司る。ＣＰＵ３０１は、複数のコアを有していてもよい。メモリ３０２は、例えば、ＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）、ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）およびフラッシュＲＯＭなどを有する。具体的には、例えば、フラッシュＲＯＭがＯＳのプログラムを記憶し、ＲＯＭがアプリケーションプログラムを記憶し、ＲＡＭがＣＰＵ３０１のワークエリアとして使用される。メモリ３０２に記憶されるプログラムは、ＣＰＵ３０１にロードされることで、コーディングされている処理をＣＰＵ３０１に実行させる。

【0053】

ディスクドライブ３０３は、ＣＰＵ３０１の制御に従ってディスク３０４に対するデータのリード／ライトを制御する。ディスク３０４は、ディスクドライブ３０３の制御で書き込まれたデータを記憶する。ディスク３０４としては、例えば、磁気ディスク、光ディスクなどが挙げられる。

【0054】

通信Ｉ／Ｆ３０５は、通信回線を通じてネットワーク２１０に接続され、ネットワーク２１０を介して外部のコンピュータ（例えば、図２に示したネットワーク装置２０２、クライアント端末２０４）に接続される。そして、通信Ｉ／Ｆ３０５は、ネットワーク２１０と装置内部とのインターフェースを司り、外部のコンピュータからのデータの入出力を制御する。通信Ｉ／Ｆ３０５には、例えば、モデムやＬＡＮアダプタなどを採用することができる。

【0055】

可搬型記録媒体Ｉ／Ｆ３０６は、ＣＰＵ３０１の制御に従って可搬型記録媒体３０７に対するデータのリード／ライトを制御する。可搬型記録媒体３０７は、可搬型記録媒体Ｉ／Ｆ３０６の制御で書き込まれたデータを記憶する。可搬型記録媒体３０７としては、例えば、ＣＤ（ＣｏｍｐａｃｔＤｉｓｃ）－ＲＯＭ、ＤＶＤ（ＤｉｇｉｔａｌＶｅｒｓａｔｉｌｅＤｉｓｋ）、ＵＳＢ（ＵｎｉｖｅｒｓａｌＳｅｒｉａｌＢｕｓ）メモリなどが挙げられる。

【0056】

なお、ログ解析装置２０１は、上述した構成部のほかに、例えば、入力装置、ディスプレイなどを有することにしてもよい。また、図２に示したネットワーク装置２０２、顧客サーバ２０３、クライアント端末２０４についても、ログ解析装置２０１と同様のハードウェア構成により実現することができる。ただし、クライアント端末２０４は、上述した構成部のほかに、例えば、入力装置、ディスプレイなどを有する。

【0057】

（顧客情報ＤＢ２２０の記憶内容）
つぎに、ログ解析装置２０１が有する顧客情報ＤＢ２２０の記憶内容について説明する。顧客情報ＤＢ２２０は、例えば、図３に示したログ解析装置２０１のメモリ３０２、ディスク３０４等の記憶装置により実現される。

【0058】

図４は、顧客情報ＤＢ２２０の記憶内容の一例を示す説明図である。図４において、顧客情報ＤＢ２２０は、顧客ＩＤ、顧客名およびＶＬＡＮ＿ＩＤのフィールドを有し、各フィールドに情報を設定することで、顧客情報（例えば、顧客情報４００－１，４００－２）をレコードとして記憶する。

【0059】

ここで、顧客ＩＤは、顧客を一意に識別する識別子である。顧客名は、顧客の名称である。ＶＬＡＮ＿ＩＤは、顧客に対応するＶＬＡＮを一意に識別する識別子である。例えば、顧客情報４００－１は、ユーザ（顧客）の顧客ＩＤ「Ｃ１」、顧客名「顧客Ａ」およびＶＬＡＮ＿ＩＤ「３３」を示す。

【0060】

なお、顧客情報には、例えば、ＶＬＡＮ名、管理ＬＡＮ接続元ＩＰ、ＶＰＮ（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ）アダプタ装置名などが含まれていてもよい。

【0061】

（ネットワークログＬの具体例）
つぎに、ネットワークログＬの具体例について説明する。

【0062】

図５は、ネットワークログＬの第１の具体例を示す説明図である。図５において、ネットワークログＬ１は、図２に示したネットワーク装置２０２により記録されたログの一例であり、複数の通信データ（例えば、通信データ５００－１，５００－２）を含む。通信データは、インターネットなどのネットワーク２１０を介したユーザ（顧客）の通信履歴を示す。

【0063】

図５中、日時（年月日時刻）から次の日時の直前までが一つの通信データを示すものとする。また、図５では、一つの通信データが複数行で記載されているが、通信データ単位で行番号が切り替わるものとする。例えば、通信データ５００－２は、２０２０Ｊｕｎ１２０７：５４：１９からｐｅｅｒ：２８８００（ｓｅｃ）までのデータである（図５中、点線枠）。また、通信データ５００－２は、行番号「２」の通信データである。

【0064】

ネットワークログＬ１には、複数の顧客（ユーザ）の通信データが含まれる。通信データには、例えば、時刻情報、メッセージが含まれる。時刻情報は、通信データが記録された日時を示す。メッセージは、図２に示した顧客サーバ２０３が送受信するパケットに含まれるメッセージである。ネットワークログＬ１には、例えば、ネットワーク装置２０２により検出されるエラー等の情報が含まれていてもよい。ネットワークログＬ１において、複数の通信データは時系列に並んでいる。

【0065】

なお、図５では、説明の都合上、ネットワークログＬ１内の顧客Ｂの通信データに含まれるメッセージを「顧客Ｂ情報」と表記し、顧客Ｃの通信データに含まれるメッセージを「顧客Ｃ情報」と表記し、顧客Ｄの通信データに含まれるメッセージを「顧客Ｄ情報」と表記している。

【0066】

（ログ解析装置２０１の機能的構成例）
図６は、ログ解析装置２０１の機能的構成例を示すブロック図である。図６において、ログ解析装置２０１は、受付部６０１と、取得部６０２と、収集部６０３と、解析部６０４と、出力部６０５と、を含む。受付部６０１～出力部６０５は制御部となる機能であり、具体的には、例えば、図３に示したメモリ３０２、ディスク３０４、可搬型記録媒体３０７などの記憶装置に記憶されたプログラムをＣＰＵ３０１に実行させることにより、または、通信Ｉ／Ｆ３０５により、その機能を実現する。各機能部の処理結果は、例えば、メモリ３０２、ディスク３０４などの記憶装置に記憶される。

【0067】

受付部６０１は、抽出条件を受け付ける。ここで、抽出条件は、抽出対象となる通信データを指定するための条件である。抽出条件としては、例えば、顧客ＩＤや顧客名などが指定される。抽出条件には、例えば、解析対象となるネットワークログＬを指定する情報が含まれていてもよい。具体的には、例えば、受付部６０１は、図２に示したクライアント端末２０４から抽出条件を受信することにより、受信した抽出条件を受け付ける。

【0068】

取得部６０２は、特定のユーザに対応するネットワーク網を識別する識別子を取得する。ネットワーク網は、例えば、ＶＬＡＮである。以下の説明では、特定のユーザに対応するネットワーク網を「ＶＬＡＮ」と表記し、ネットワーク網を識別する識別子を「ＶＬＡＮ＿ＩＤ」と表記する場合がある。

【0069】

具体的には、例えば、取得部６０２は、図４に示した顧客情報ＤＢ２２０を参照して、受け付けた抽出条件に含まれる顧客ＩＤ、顧客名に対応するＶＬＡＮ＿ＩＤを取得する。例えば、抽出条件に顧客ＩＤ「Ｃ１」が含まれる場合、顧客ＩＤ「Ｃ１」に対応するＶＬＡＮ＿ＩＤ「３３」が取得される。

【0070】

収集部６０３は、ネットワークログＬを収集する。具体的には、例えば、収集部６０３は、図２に示したネットワーク装置２０２からネットワークログＬ１（図５参照）を収集する。また、収集部６０３は、例えば、不図示の入力装置を用いた操作入力により、ネットワークログＬ１を収集することにしてもよい。

【0071】

解析部６０４は、収集部６０３によって収集されたネットワークログＬを解析することによって、特定のユーザの通信データを抽出する。具体的には、例えば、解析部６０４は、特定部６１１と、第１の検索部６１２と、第２の検索部６１３と、第３の検索部６１４と、抽出部６１５とを含む。

【0072】

特定部６１１は、ネットワークログＬのうち、取得されたＶＬＡＮ＿ＩＤを含む通信データに含まれる、特定のユーザに対応するＩＰアドレスを特定する。取得されたＶＬＡＮ＿ＩＤを含む通信データは、例えば、取得されたＶＬＡＮ＿ＩＤを含むホスト名が含まれた通信データである。

【0073】

また、取得されたＶＬＡＮ＿ＩＤを含む通信データは、例えば、取得されたＶＬＡＮ＿ＩＤを含むプロトコルメッセージが含まれた通信データであってもよい。特定のユーザに対応するＩＰアドレスは、特定のユーザが使用するクライアントＩＰアドレスである。ここで、ＶＬＡＮ＿ＩＤを含む通信データには、クライアントＩＰアドレスのほかに、サーバＩＰアドレスが含まれる場合がある。

【0074】

サーバＩＰアドレスは、ネットワーク装置２０２のＩＰアドレスであり、例えば、既知のＩＰアドレス（固定）である。このため、特定部６１１は、例えば、通信データに含まれるＩＰアドレスのうち、ネットワーク装置２０２のＩＰアドレス（サーバＩＰアドレス）とは異なるＩＰアドレスを、特定のユーザに対応するＩＰアドレス（クライアントＩＰアドレス）として特定する。

【0075】

以下の説明では、特定のユーザを「該当顧客」と表記し、特定のユーザに対応するＩＰアドレスを「該当顧客のクライアントＩＰアドレス」と表記する場合がある。また、取得されたＶＬＡＮ＿ＩＤを「該当顧客のＶＬＡＮ＿ＩＤ」と表記する場合がある。

【0076】

具体的には、例えば、特定部６１１は、ネットワークログＬ１から、「ｈｏｓｔ００ｘｘ」を含む通信データを検索する。ｈｏｓｔ００ｘｘは、ホスト名である。ただし、ｘｘは、該当顧客のＶＬＡＮ＿ＩＤに対応する。そして、特定部６１１は、検索した通信データに含まれるクライアントＩＰアドレスを特定する。

【0077】

また、特定部６１１は、ネットワークログＬ１から、「ｉｐｓｅｃ－ｄｙｎａｍｉｃ－ｒｕｌｅ（ｘｘ）」を含む通信データを検索することにしてもよい。ｉｐｓｅｃ－ｄｙｎａｍｉｃ－ｒｕｌｅ（ｘｘ）は、暗号化通信のプロトコルを判別するメッセージである。ただし、ｘｘは、該当顧客のＶＬＡＮ＿ＩＤに対応する。そして、特定部６１１は、検索した通信データに含まれるクライアントＩＰアドレスを特定する。

【0078】

第１の検索部６１２は、ネットワークログＬから、特定されたクライアントＩＰアドレスを含む通信データを検索する。以下の説明では、第１の検索部６１２によって検索された、特定されたクライアントＩＰアドレス（該当顧客のクライアントＩＰアドレス）を含む通信データを「候補通信データ」と表記する場合がある。

【0079】

第２の検索部６１３は、ネットワークログＬから、暗号化通信確立情報を検索する。暗号化通信確立情報は、暗号化通信が確立したことを特定する情報である。暗号化通信確立情報は、例えば、第１のプロトコルメッセージと第２のプロトコルメッセージとを含む。

【0080】

第１のプロトコルメッセージは、ＩＫＥフェーズ１のネゴシエーション通信の開始を示すメッセージであり、例えば、「ＰＨＡＳＥ１ｎｅｇｏｔｉａｔｉｏｎｂｅｇｉｎｓ」である。また、第２のプロトコルメッセージは、ＩＫＥフェーズ１のネゴシエーション通信の終了を示すメッセージであり、例えば、「ＩＳＡＫＭＰ－ＳＡｈａｓｂｅｅｎｅｓｔａｂｌｉｓｈｅｄ」である。

【0081】

具体的には、例えば、第２の検索部６１３は、ネットワークログＬ１から、第１のプロトコルメッセージ「ＰＨＡＳＥ１ｎｅｇｏｔｉａｔｉｏｎｂｅｇｉｎｓ」を含む第１通信データを検索する。また、第２の検索部６１３は、第２のプロトコルメッセージ「ＩＳＡＫＭＰ－ＳＡｈａｓｂｅｅｎｅｓｔａｂｌｉｓｈｅｄ」を含む第２通信データを検索する。

【0082】

抽出部６１５は、該当顧客のＶＬＡＮ＿ＩＤを含む通信データを、抽出対象の通信データに決定する。該当顧客のＶＬＡＮ＿ＩＤを含む通信データは、例えば、「ｈｏｓｔ００ｘｘ」を含む通信データや、「ｉｐｓｅｃ－ｄｙｎａｍｉｃ－ｒｕｌｅ（ｘｘ）」を含む通信データである。ただし、ｘｘは、該当顧客のＶＬＡＮ＿ＩＤに対応する。

【0083】

また、抽出部６１５は、検索された暗号化通信確立情報が、該当顧客のＶＬＡＮ＿ＩＤに関係する場合、暗号化通信確立情報に基づいて、検索された候補通信データから抽出対象の通信データを決定する。ここで、ＩＫＥフェーズ１のネゴシエーション通信の終了を示すプロトコルメッセージを含む通信データには、例えば、ユーザに対応するＶＬＡＮ＿ＩＤを含むホスト名が含まれる。

【0084】

このため、抽出部６１５は、例えば、検索された第２通信データに該当顧客のＶＬＡＮ＿ＩＤ（該当顧客のＶＬＡＮ＿ＩＤを含むホスト名）が含まれない場合、暗号化通信確立情報が該当顧客のＶＬＡＮ＿ＩＤに関係しないと判断する。一方、第２通信データに該当顧客のＶＬＡＮ＿ＩＤが含まれる場合、抽出部６１５は、暗号化通信確立情報が該当顧客のＶＬＡＮ＿ＩＤに関係すると判断する。

【0085】

そして、抽出部６１５は、暗号化通信確立情報が該当顧客のＶＬＡＮ＿ＩＤに関係する場合に、検索された候補通信データのうち、第１通信データから第２通信データまでの第１時間範囲に含まれる候補通信データを、抽出対象の通信データに決定する。第１時間範囲は、ＩＫＥフェーズ１のネゴシエーションが開始された時刻から、そのネゴシエーションが終了した時刻までの時間範囲である。

【0086】

また、暗号化通信確立情報は、例えば、第３のプロトコルメッセージと、第４のプロトコルメッセージと、第５のプロトコルメッセージとを含むものであってもよい。第３のプロトコルメッセージは、ＩＫＥフェーズ２のネゴシエーション通信の開始を示すメッセージであり、例えば、「ＰＨＡＳＥ２ｎｅｇｏｔｉａｔｉｏｎｂｅｇｉｎｓ」である。

【0087】

第４のプロトコルメッセージは、ＩＫＥフェーズ２の受信方向のネゴシエーション通信の終了を示すメッセージであり、例えば、「ＩＰｓｅｃ－ＳＡｈａｓｂｅｅｎｅｓｔａｂｌｉｓｈｅｄ：（ＩＮＢＯＵＮＤ）」である。第５のプロトコルメッセージは、ＩＫＥフェーズ２の送信方向のネゴシエーション通信の終了を示すメッセージであり、例えば、「ＩＰｓｅｃ－ＳＡｈａｓｂｅｅｎｅｓｔａｂｌｉｓｈｅｄ：（ＯＵＴＢＯＵＮＤ）」である。

【0088】

具体的には、例えば、第２の検索部６１３は、ネットワークログＬ１から、第３のプロトコルメッセージ「ＰＨＡＳＥ２ｎｅｇｏｔｉａｔｉｏｎｂｅｇｉｎｓ」を含む第３通信データを検索する。また、第２の検索部６１３は、第４のプロトコルメッセージ「ＩＰｓｅｃ－ＳＡｈａｓｂｅｅｎｅｓｔａｂｌｉｓｈｅｄ：（ＩＮＢＯＵＮＤ）」を含む第４通信データを検索する。また、第２の検索部６１３は、第５のプロトコルメッセージ「ＩＰｓｅｃ－ＳＡｈａｓｂｅｅｎｅｓｔａｂｌｉｓｈｅｄ：（ＯＵＴＢＯＵＮＤ）」を含む第５通信データを検索する。

【0089】

ここで、ＩＫＥフェーズ２のネゴシエーション通信（受信方向、送信方向）の終了を示すプロトコルメッセージを含む通信データには、例えば、ユーザに対応するＶＬＡＮ＿ＩＤを含むプロトコルメッセージが含まれる。このため、抽出部６１５は、例えば、検索された第４通信データおよび第５通信データに該当顧客のＶＬＡＮ＿ＩＤ（該当顧客のＶＬＡＮ＿ＩＤを含むプロトコルメッセージ）が含まれない場合、暗号化通信確立情報が該当顧客のＶＬＡＮ＿ＩＤに関係しないと判断する。

【0090】

一方、第４通信データおよび第５通信データに該当顧客のＶＬＡＮ＿ＩＤが含まれる場合、抽出部６１５は、暗号化通信確立情報が該当顧客のＶＬＡＮ＿ＩＤに関係すると判断する。なお、第４通信データおよび第５通信データの少なくともいずれか一方のみが見つかった場合には、抽出部６１５は、暗号化通信確立情報が該当顧客のＶＬＡＮ＿ＩＤに関係しないと判断する。

【0091】

そして、抽出部６１５は、暗号化通信確立情報が該当顧客のＶＬＡＮ＿ＩＤに関係する場合に、検索された候補通信データのうち、第３通信データから、第４通信データおよび第５通信データのうち記録時刻が遅い通信データまでの第２時間範囲に含まれる候補通信データを、抽出対象の通信データに決定する。

【0092】

ここで、第２時間範囲は、ＩＫＥフェーズ２のネゴシエーションが開始された時刻から、ＩＫＥフェーズ２の受信方向および送信方向の双方のネゴシエーションが終了した時刻までの時間範囲である。

【0093】

第３の検索部６１４は、ネットワークログＬから、クッキー関連情報を検索する。クッキー関連情報は、ユーザを識別したり、セッションを管理したりするための情報であり、例えば、クッキー値を含む。具体的には、例えば、第３の検索部６１４は、ネットワークログＬ１から、同一のクッキー値を含む通信データ群を検索する。

【0094】

また、抽出部６１５は、第３の検索部６１４によって検索されたクッキー関連情報が、該当顧客のＶＬＡＮ＿ＩＤに関係する場合、クッキー関連情報に基づいて、第１の検索部６１２によって検索された候補通信データから抽出対象の通信データを決定する。

【0095】

具体的には、例えば、抽出部６１５は、検索された通信データ群の中に、該当顧客のＶＬＡＮ＿ＩＤを含む通信データが含まれるか否かを判断する。該当顧客のＶＬＡＮ＿ＩＤを含む通信データは、例えば、「ｈｏｓｔ００ｘｘ」を含む通信データである。ただし、ｘｘは、該当顧客のＶＬＡＮ＿ＩＤに対応する。

【0096】

ここで、該当顧客のＶＬＡＮ＿ＩＤを含む通信データが含まれない場合、抽出部６１５は、クッキー関連情報が該当顧客のＶＬＡＮ＿ＩＤに関係しないと判断する。一方、該当顧客のＶＬＡＮ＿ＩＤを含む通信データが含まれる場合、抽出部６１５は、クッキー関連情報が該当顧客のＶＬＡＮ＿ＩＤに関係すると判断する。

【0097】

そして、抽出部６１５は、クッキー関連情報が該当顧客のＶＬＡＮ＿ＩＤに関係する場合に、検索された候補通信データのうち、第３時間範囲に含まれる候補通信データを、抽出対象の通信データに決定する。ここで、第３時間範囲は、同一のクッキー値を含む通信データ群の先頭の通信データから最終の通信データまでの時間範囲である。

【0098】

例えば、該当顧客のＶＬＡＮ＿ＩＤ（ｈｏｓｔ００ｘｘ）を含む通信データに含まれるクライアントＩＰアドレスは、該当顧客のＩＰアドレスと特定することができる。同一セッションでは、同じクライアントＩＰアドレスが使用される。したがって、第３時間範囲において、該当顧客のクライアントＩＰアドレスと同一のＩＰアドレスを含む通信データは、該当顧客の通信データであるといえる。

【0099】

そして、抽出部６１５は、決定した抽出対象の通信データをネットワークログＬから抽出する。これにより、ネットワークログＬから、該当顧客の通信データのみを抽出することができる。

【0100】

出力部６０５は、抽出された通信データを出力する。出力部６０５の出力形式としては、例えば、メモリ３０２、ディスク３０４などの記憶装置への記憶、通信Ｉ／Ｆ３０５による他のコンピュータへの送信、不図示のディスプレイへの表示、不図示のプリンタへの印刷出力などがある。

【0101】

具体的には、例えば、出力部６０５は、クライアント端末２０４にログ解析結果を送信する。ログ解析結果は、抽出された該当顧客の通信データである。クライアント端末２０４は、例えば、抽出条件の送信元のコンピュータである。この結果、クライアント端末２０４において、ログ解析結果を画面表示したり、メモリ等に記録したりすることができる。ログ解析結果の具体例については、図７を用いて後述する。

【0102】

なお、上述したログ解析装置２０１の機能部は、情報処理システム２００内の複数のコンピュータ（例えば、ログ解析装置２０１とクライアント端末２０４）により実現されることにしてもよい。また、ログ解析装置２０１は、上述した解析部６０４のうち、第１の検索部６１２、第２の検索部６１３および第３の検索部６１４のいずれかを有さないことにしてもよい。例えば、ログ解析装置２０１は、第１の検索部６１２および第２の検索部６１３のみを有することにしてもよく、また、第３の検索部６１４のみを有することにしてもよい。

【0103】

（ログ解析結果の具体例）
ここで、図７を用いて、ログ解析結果の具体例について説明する。

【0104】

図７は、ログ解析結果の具体例を示す説明図である。図７において、ログ解析結果７００は、ネットワークログＬ１から該当顧客の通信データのみを抽出した結果を示す。ここでは、該当顧客を「顧客Ａ」とする。図５に示したネットワークログＬ１とログ解析結果７００を比較すると、顧客Ｂ情報、顧客Ｃ情報、顧客Ｄ情報等が除外されて、該当顧客Ａの通信データ（例えば、通信データ５００－１，５００－２）のみが抽出されていることがわかる。なお、図５と同様に、図７中、日時（年月日時刻）から次の日時の直前までが一つの通信データを示するものとする。

【0105】

（ネットワークログＬの解析例）
つぎに、ネットワークログＬの解析例について説明する。まず、ログ解析装置２０１が用いる抽出管理テーブル８００について説明する。抽出管理テーブル８００は、例えば、図３に示したメモリ３０２、ディスク３０４などの記憶装置により実現される。

【0106】

図８は、抽出管理テーブル８００を示す説明図である。図８において、抽出管理テーブル８００は、行番号、確定メモ、一次メモ、フェーズ１メモ、フェーズ２メモおよびｃｏｏｋｉｅメモのフィールドを有する。各フィールドに情報を設定することで、ネットワークログＬに含まれる通信データごとの抽出管理情報がレコードとして記憶される。初期状態では、各フィールドは、空である。

【0107】

ここで、行番号は、ネットワークログＬにおける行番号であり、ネットワークログＬに含まれる通信データを識別する。確定メモは、抽出対象に決定された通信データを判別するための情報である。抽出対象に決定された通信データに対応する確定メモには、ＯＮが設定される。

【0108】

一次メモ、フェーズ１メモ、フェーズ２メモおよびｃｏｏｋｉｅメモは、抽出対象の通信データを決定するための情報である。一次メモ、フェーズ１メモ、フェーズ２メモおよびｃｏｏｋｉｅメモについての詳細な説明は後述する。

【0109】

以下、図９Ａ～図９Ｃ、図１０Ａ～図１０Ｄを用いて、ネットワークログＬの第１の解析例について説明する。

【0110】

図９Ａ～図９Ｃは、ネットワークログＬの第２の具体例を示す説明図である。図９Ａおよび図９Ｂにおいて、ネットワークログＬ２は、ネットワーク装置２０２により記録されたログの一例であり、複数の通信データを含む。なお、図９Ａ～図９Ｃでは、説明の都合上、行番号を表示している。

【0111】

ここでは、ネットワークログＬ２を解析対象のネットワークログＬとする。また、抽出条件として、顧客ＩＤ「Ｃ１」を含む抽出条件を受け付けた場合を想定する。この場合、該当顧客は「顧客Ａ」である。

【0112】

図１０Ａ～図１０Ｄは、抽出管理テーブル８００の記憶内容の第１の変遷例を示す説明図である。以下、図１０Ａ～図１０Ｄを用いて、ネットワークログＬ１に含まれる通信データごとの抽出管理情報を抽出管理テーブル８００に記憶する場合について説明する。

【0113】

・一次抽出処理
まず、ログ解析装置２０１は、顧客情報ＤＢ２２０（図４参照）を参照して、抽出条件に含まれる該当顧客の顧客ＩＤ「Ｃ１」に対応するＶＬＡＮ＿ＩＤ「３３」を取得する。

【0114】

つぎに、ログ解析装置２０１は、ネットワークログＬ２から、「ｈｏｓｔ００３３」を含む通信データを検索する。そして、ログ解析装置２０１は、抽出管理テーブル８００内の検索した通信データに対応する一次メモに「Ａ」を書き込む（図１０Ａ参照）。

【0115】

ＶＬＡＮ＿ＩＤは、顧客に一意の値である。したがって、「ｈｏｓｔ００３３」を含む通信データは、該当顧客の通信データであるといえる。このため、ログ解析装置２０１は、抽出管理テーブル８００内の検索した通信データに対応する確定メモに「ＯＮ」を書き込む（図１０Ａ参照）。

【0116】

例えば、ネットワークログＬ２の９行目の通信データには、「ｈｏｓｔ００３３」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「９」に対応する一次メモに「Ａ」を書き込むとともに、行番号「９」に対応する確定メモに「ＯＮ」を書き込む（図１０Ａ参照）。

【0117】

また、ログ解析装置２０１は、検索した「ｈｏｓｔ００３３」を含む通信データに含まれるクライアントＩＰアドレスを特定する。例えば、ネットワークログＬ２の９行目の通信データには、ＩＰアドレス「ＩｐＡｄｄ１５３，ＩｐＡｄｄ１８６」が含まれる。ここで、「ＩｐＡｄｄ１５３」は、ネットワーク装置２０２のＩＰアドレスとする。この場合、ログ解析装置２０１は、クライアントＩＰアドレスとして、「ＩｐＡｄｄ１８６」を特定する。このクライアントＩＰアドレスは、該当顧客のＩＰアドレスであるといえる。

【0118】

つぎに、ログ解析装置２０１は、ネットワークログＬ２から、特定したクライアントＩＰアドレス「ＩｐＡｄｄ１８６」を含む通信データを検索する。そして、ログ解析装置２０１は、抽出管理テーブル８００内の検索した通信データに対応する一次メモに「Ｂ」を書き込む（図１０Ａ参照）。

【0119】

例えば、ネットワークログＬ２の８行目の通信データには、「ＩｐＡｄｄ１８６」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「８」に対応する一次メモに「Ｂ」を書き込む（図１０Ａ参照）。

【0120】

また、ログ解析装置２０１は、ネットワークログＬ２から、「ｉｐｓｅｃ－ｄｙｎａｍｉｃ－ｒｕｌｅ（３３）」を含む通信データを検索する。そして、ログ解析装置２０１は、抽出管理テーブル８００内の検索した通信データに対応する一次メモに「Ｃ」を書き込む（図１０Ａ参照）。なお、一次メモに「Ｂ」が書き込まれている場合、ログ解析装置２０１は、「Ｃ」で上書きする。

【0121】

また、ＶＬＡＮ＿ＩＤは、顧客に一意の値である。したがって、「ｉｐｓｅｃ－ｄｙｎａｍｉｃ－ｒｕｌｅ（３３）」を含む通信データは、該当顧客の通信データであるといえる。このため、ログ解析装置２０１は、抽出管理テーブル８００内の検索した通信データに対応する確定メモに「ＯＮ」を書き込む（図１０Ａ参照）。

【0122】

例えば、ネットワークログＬ２の２行目の通信データには、「ｉｐｓｅｃ－ｄｙｎａｍｉｃ－ｒｕｌｅ（３３）」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「２」に対応する一次メモに「Ｃ」を書き込むとともに、行番号「２」に対応する確定メモに「ＯＮ」を書き込む（図１０Ａ参照）。

【0123】

また、ログ解析装置２０１は、検索した「ｉｐｓｅｃ－ｄｙｎａｍｉｃ－ｒｕｌｅ（３３）」を含む通信データに含まれるクライアントＩＰアドレスを特定する。例えば、ネットワークログＬ２の２行目の通信データには、ＩＰアドレス「ＩｐＡｄｄ１５３，ＩｐＡｄｄ１４７」が含まれる。「ＩｐＡｄｄ１５３」は、ネットワーク装置２０２のＩＰアドレスである。このため、ログ解析装置２０１は、クライアントＩＰアドレスとして、「ＩｐＡｄｄ１４７」を特定する。このクライアントＩＰアドレスは、該当顧客のＩＰアドレスであるといえる。

【0124】

つぎに、ログ解析装置２０１は、ネットワークログＬ２から、特定したクライアントＩＰアドレス「ＩｐＡｄｄ１４７」を含む通信データを検索する。そして、ログ解析装置２０１は、抽出管理テーブル８００内の検索した通信データに対応する一次メモに「Ｄ」を書き込む（図１０Ａ参照）。

【0125】

例えば、ネットワークログＬ２の１行目の通信データには、「ＩｐＡｄｄ１４７」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「１」に対応する一次メモに「Ｄ」を書き込む（図１０Ａ参照）。

【0126】

以下、ネットワークログＬ２内の一次メモにＡ，Ｂ，Ｃ，Ｄのいずれかが書き込まれた行の通信データを検索対象とする。検索対象を限定することにより、処理効率を向上させることができる。

【0127】

・ＩＫＥフェーズ１のネゴシエーションの解析
つぎに、ログ解析装置２０１は、検索対象から、第１のプロトコルメッセージ「ＰＨＡＳＥ１ｎｅｇｏｔｉａｔｉｏｎｂｅｇｉｎｓ」を含む通信データ（第１通信データ）を検索する。そして、ログ解析装置２０１は、ネゴシエーションの開始として、抽出管理テーブル８００内の検索した通信データに対応するフェーズ１メモに「Ｅ」を書き込む（図１０Ｂ参照）。

【0128】

例えば、ネットワークログＬ２の８行目の通信データには、「ＰＨＡＳＥ１ｎｅｇｏｔｉａｔｉｏｎｂｅｇｉｎｓ」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「８」に対応するフェーズ１メモに「Ｅ」を書き込む（図１０Ｂ参照）。

【0129】

つぎに、ログ解析装置２０１は、検索対象から、第２のプロトコルメッセージ「ＩＳＡＫＭＰ－ＳＡｈａｓｂｅｅｎｅｓｔａｂｌｉｓｈｅｄ」を含む通信データ（第２通信データ）を検索する。そして、ログ解析装置２０１は、ネゴシエーションの終了として、抽出管理テーブル８００内の検索した通信データに対応するフェーズ１メモに「Ｆ」を書き込む（図１０Ｂ参照）。

【0130】

例えば、ネットワークログＬ２の１０行目の通信データには、「ＩＳＡＫＭＰ－ＳＡｈａｓｂｅｅｎｅｓｔａｂｌｉｓｈｅｄ」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「１０」に対応するフェーズ１メモに「Ｆ」を書き込む（図１０Ｂ参照）。

【0131】

つぎに、ログ解析装置２０１は、検索した通信データ（第２通信データ）に、「ｈｏｓｔ００３３」が含まれるか否かを判断する。例えば、ネットワークログＬ２の１０行目の通信データには、「ｈｏｓｔ００３３」が含まれる。

【0132】

ここで、「ｈｏｓｔ００３３」が含まれる場合、該当顧客のＩＫＥフェーズ１の確立成功であり、フェーズ１メモ「Ｅ」からフェーズ１メモ「Ｆ」までの間の行のクライアントＩＰアドレスは、該当顧客のＩＰアドレスであると特定できる。このため、ログ解析装置２０１は、フェーズ１メモ「Ｅ」からフェーズ１メモ「Ｆ」までの間の通信データに対応する確定メモに「ＯＮ」を書き込む（図１０Ｂ参照）。ただし、空白行（例えば、ネットワークログＬ２の７行目）は除外する。

【0133】

例えば、ネットワークログＬ２の８行目の通信データは、フェーズ１メモ「Ｅ」からフェーズ１メモ「Ｆ」までの範囲に含まれる行である。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「８」に対応する確定メモに「ＯＮ」を書き込む（図１０Ｂ参照）。

【0134】

・ＩＫＥフェーズ２のネゴシエーションの解析
つぎに、ログ解析装置２０１は、検索対象から、第３のプロトコルメッセージ「ＰＨＡＳＥ２ｎｅｇｏｔｉａｔｉｏｎｂｅｇｉｎｓ」を含む通信データ（第３通信データ）を検索する。そして、ログ解析装置２０１は、ネゴシエーションの開始として、抽出管理テーブル８００内の検索した通信データに対応するフェーズ２メモに「Ｇ」を書き込む（図１０Ｃ参照）。

【0135】

例えば、ネットワークログＬ２の１行目の通信データには、「ＰＨＡＳＥ２ｎｅｇｏｔｉａｔｉｏｎｂｅｇｉｎｓ」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「１」に対応するフェーズ２メモに「Ｇ」を書き込む（図１０Ｃ参照）。

【0136】

つぎに、ログ解析装置２０１は、検索対象から、第４のプロトコルメッセージ「ＩＰｓｅｃ－ＳＡｈａｓｂｅｅｎｅｓｔａｂｌｉｓｈｅｄ：（ＩＮＢＯＵＮＤ）」を含む通信データ（第４通信データ）を検索する。そして、ログ解析装置２０１は、ネゴシエーションの終了として、抽出管理テーブル８００内の検索した通信データに対応するフェーズ２メモに「Ｈ」を書き込む（図１０Ｃ参照）。

【0137】

例えば、ネットワークログＬ２の３行目の通信データには、「ＩＰｓｅｃ－ＳＡｈａｓｂｅｅｎｅｓｔａｂｌｉｓｈｅｄ：（ＩＮＢＯＵＮＤ）」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「３」に対応するフェーズ２メモに「Ｈ」を書き込む（図１０Ｃ参照）。

【0138】

また、ログ解析装置２０１は、検索対象から、第５のプロトコルメッセージ「ＩＰｓｅｃ－ＳＡｈａｓｂｅｅｎｅｓｔａｂｌｉｓｈｅｄ：（ＯＵＴＢＯＵＮＤ）」を含む通信データ（第５通信データ）を検索する。そして、ログ解析装置２０１は、ネゴシエーションの終了として、抽出管理テーブル８００内の検索した通信データに対応するフェーズ２メモに「Ｉ」を書き込む（図１０Ｃ参照）。

【0139】

例えば、ネットワークログＬ２の５行目の通信データには、「ＩＰｓｅｃ－ＳＡｈａｓｂｅｅｎｅｓｔａｂｌｉｓｈｅｄ：（ＯＵＴＢＯＵＮＤ）」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「５」に対応するフェーズ２メモに「Ｉ」を書き込む（図１０Ｃ参照）。

【0140】

つぎに、ログ解析装置２０１は、検索した通信データ（第４通信データ、第５通信データ）に、「ｉｐｓｅｃ－ｄｙｎａｍｉｃ－ｒｕｌｅ（３３）」が含まれるか否かを判断する。例えば、ネットワークログＬ２の３，５行目の通信データには、「ｉｐｓｅｃ－ｄｙｎａｍｉｃ－ｒｕｌｅ（３３）」が含まれる。

【0141】

ここで、「ｉｐｓｅｃ－ｄｙｎａｍｉｃ－ｒｕｌｅ（３３）」が含まれる場合、該当顧客のＩＫＥフェーズ２の確立成功であり、フェーズ２メモ「Ｇ」からフェーズ２メモ「Ｉ」までの間（Ｇ～Ｈ～Ｉ）の行のクライアントＩＰアドレスは、該当顧客のＩＰアドレスであると特定できる。このため、ログ解析装置２０１は、フェーズ２メモ「Ｇ」からフェーズ２メモ「Ｉ」までの間（Ｇ～Ｈ～Ｉ）の通信データに対応する確定メモに「ＯＮ」を書き込む（図１０Ｃ参照）。ただし、空白行は除外する。

【0142】

例えば、ネットワークログＬ２の１行目の通信データは、フェーズ２メモ「Ｇ」からフェーズ２メモ「Ｉ」までの範囲（Ｇ～Ｈ～Ｉ）に含まれる行である。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「１」に対応する確定メモに「ＯＮ」を書き込む（図１０Ｃ参照）。

【0143】

・クッキー値による有効範囲の解析
つぎに、ログ解析装置２０１は、検索対象から、同一のクッキー値を含む通信データ群を検索する。そして、ログ解析装置２０１は、抽出管理テーブル８００内の検索した通信データに対応するｃｏｏｋｉｅメモに「クッキーＩＤ」を書き込む（図１０Ｄ参照）。クッキーＩＤは、同一のクッキー値を含む通信データ群を識別する識別子（例えば、Ｊ，Ｋ）である。

【0144】

例えば、ネットワークログＬ２の９，１０，１４，１６，１７行目の通信データには、同一のクッキー値「６２７８ｂｃ６８ｄ３４４ｆ１１２」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「９，１０，１４，１６，１７」に対応するｃｏｏｋｉｅメモに「Ｊ」を書き込む（図１０Ｄ参照）。

【0145】

つぎに、ログ解析装置２０１は、検索した通信データ群に「ｈｏｓｔ００３３」を含む通信データが含まれるか否かを判断する。「ｈｏｓｔ００３３」を含む通信データのクライアントＩＰアドレスは、該当顧客のＩＰアドレスである。例えば、ネットワークログＬ２の９行目の通信データには、「ｈｏｓｔ００３３」が含まれる。このため、９行目の通信データのクライアントＩＰアドレス「ＩｐＡｄｄ１８６」は、該当顧客のＩＰアドレスであるといえる。

【0146】

このため、ログ解析装置２０１は、同一のクッキーＩＤの先頭の通信データから最終の通信データまでの間で、クライアントＩＰアドレスと同一のＩＰアドレスを含む通信データに対応する確定メモに「ＯＮ」を書き込む（図１０Ｄ参照）。

【0147】

例えば、ネットワークログＬ２の１１行目の通信データは、クッキーＩＤ「Ｊ」の先頭の通信データ（９行目）から最終の通信データ（１７行目）までの間で、クライアントＩＰアドレス「ＩｐＡｄｄ１８６」と同一のＩＰアドレスを含む。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「１１」に対応する確定メモに「ＯＮ」を書き込む（図１０Ｄ参照）。

【0148】

以上により、ネットワークログＬ２のうちの抽出対象となる通信データを決定することができる。ログ解析装置２０１は、図１０Ｄに示した抽出管理テーブル８００を参照して、確定メモ「ＯＮ」の通信データをネットワークログＬ２から抽出することにより、該当顧客（顧客Ａ）の通信データのみを抽出することができる。

【0149】

つぎに、図１１Ａ～図１１Ｅ、図１２Ａ～図１２Ｈを用いて、ネットワークログＬの第２の解析例について説明する。

【0150】

図１１Ａ～図１１Ｅは、ネットワークログＬの第３の具体例を示す説明図である。図１１Ａ～図１１Ｅにおいて、ネットワークログＬ３は、ネットワーク装置２０２により記録されたログの一例であり、複数の通信データを含む。なお、図１１Ａ～図１１Ｅでは、説明の都合上、行番号を表示している。

【0151】

ネットワークログＬ３において、例えば、１～６行目の通信データは、旧アドレスの鍵交換のために行われた通信履歴を示す。７～１６行目の通信データは、新アドレスでの接続要求のために行われた通信履歴を示す。以降１７～２５行目のような通信データが繰り返し記録されている。また、１１４行目の通信データで、旧アドレスでのＩＰｓｅｃ－ＳＡがＬｉｆｅｔｉｍｅ（２４時間）満了で削除されている。また、１１７行目の通信データで、新アドレスでのＩＰｓｅｃ－ＳＡが確立されて、ＶＰＮ（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ）通信再開可能になっている。

【0152】

ここでは、ネットワークログＬ３を解析対象のネットワークログＬとする。また、抽出条件として、顧客ＩＤ「Ｃ２」を含む抽出条件を受け付けた場合を想定する。この場合、該当顧客は「顧客Ｂ」である。

【0153】

図１２Ａ～図１２Ｈは、抽出管理テーブル８００の記憶内容の第２の変遷例を示す説明図である。以下、図１２Ａ～図１２Ｈを用いて、ネットワークログＬ３に含まれる通信データごとの抽出管理情報を抽出管理テーブル８００に記憶する場合について説明する。

【0154】

・一次抽出処理
まず、ログ解析装置２０１は、顧客情報ＤＢ２２０（図４参照）を参照して、抽出条件に含まれる該当顧客の顧客ＩＤ「Ｃ２」に対応するＶＬＡＮ＿ＩＤ「２２３」を取得する。つぎに、ログ解析装置２０１は、ネットワークログＬ３から、「ｈｏｓｔ０２２３」を含む通信データを検索する。

【0155】

そして、ログ解析装置２０１は、抽出管理テーブル８００内の検索した通信データに対応する一次メモに「Ａ」を書き込む（図１２Ａ，１２Ｂ参照）。ＶＬＡＮ＿ＩＤは、顧客に一意の値である。したがって、「ｈｏｓｔ０２２３」を含む通信データは、該当顧客の通信データであるといえる。このため、ログ解析装置２０１は、抽出管理テーブル８００内の検索した通信データに対応する確定メモに「ＯＮ」を書き込む（図１２Ａ，１２Ｂ参照）。

【0156】

例えば、ネットワークログＬ３の８行目の通信データには、「ｈｏｓｔ０２２３」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「８」に対応する一次メモに「Ａ」を書き込むとともに、行番号「８」に対応する確定メモに「ＯＮ」を書き込む（図１２Ａ参照）。

【0157】

また、ログ解析装置２０１は、検索した「ｈｏｓｔ０２２３」を含む通信データに含まれるクライアントＩＰアドレスを特定する。例えば、ネットワークログＬ３の８行目の通信データには、ＩＰアドレス「ＩｐＡｄｄ１５３，ＩｐＡｄｄ１６」が含まれる。「ＩｐＡｄｄ１５３」は、ネットワーク装置２０２のＩＰアドレスである。この場合、ログ解析装置２０１は、クライアントＩＰアドレスとして、「ＩｐＡｄｄ１６」を特定する。このクライアントＩＰアドレスは、該当顧客のＩＰアドレスであるといえる。

【0158】

つぎに、ログ解析装置２０１は、ネットワークログＬ３から、特定したクライアントＩＰアドレス「ＩｐＡｄｄ１６」を含む通信データを検索する。そして、ログ解析装置２０１は、抽出管理テーブル８００内の検索した通信データに対応する一次メモに「Ｂ」を書き込む（図１２Ａ，１２Ｂ参照）。

【0159】

例えば、ネットワークログＬ３の７行目の通信データには、「ＩｐＡｄｄ１６」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「７」に対応する一次メモに「Ｂ」を書き込む（図１２Ａ参照）。

【0160】

また、ログ解析装置２０１は、ネットワークログＬ３から、「ｉｐｓｅｃ－ｄｙｎａｍｉｃ－ｒｕｌｅ（２２３）」を含む通信データを検索する。そして、ログ解析装置２０１は、抽出管理テーブル８００内の検索した通信データに対応する一次メモに「Ｃ」を書き込む（図１２Ａ，１２Ｂ参照）。なお、一次メモに「Ｂ」が書き込まれている場合、ログ解析装置２０１は、「Ｃ」で上書きする。

【0161】

また、ＶＬＡＮ＿ＩＤは、顧客に一意の値である。したがって、「ｉｐｓｅｃ－ｄｙｎａｍｉｃ－ｒｕｌｅ（２２３）」を含む通信データは、該当顧客の通信データであるといえる。このため、ログ解析装置２０１は、抽出管理テーブル８００内の検索した通信データに対応する確定メモに「ＯＮ」を書き込む（図１２Ａ，１２Ｂ参照）。

【0162】

例えば、ネットワークログＬ３の２行目の通信データには、「ｉｐｓｅｃ－ｄｙｎａｍｉｃ－ｒｕｌｅ（２２３）」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「２」に対応する一次メモに「Ｃ」を書き込むとともに、行番号「２」に対応する確定メモに「ＯＮ」を書き込む（図１２Ａ参照）。

【0163】

また、ログ解析装置２０１は、検索した「ｉｐｓｅｃ－ｄｙｎａｍｉｃ－ｒｕｌｅ（２２３）」を含む通信データに含まれるクライアントＩＰアドレスを特定する。例えば、ネットワークログＬ３の２行目の通信データには、ＩＰアドレス「ＩｐＡｄｄ１５３，ＩｐＡｄｄ６７」が含まれる。「ＩｐＡｄｄ１５３」は、ネットワーク装置２０２のＩＰアドレスである。このため、ログ解析装置２０１は、クライアントＩＰアドレスとして、「ＩｐＡｄｄ６７」を特定する。このクライアントＩＰアドレスは、該当顧客のＩＰアドレスであるといえる。

【0164】

つぎに、ログ解析装置２０１は、ネットワークログＬ３から、特定したクライアントＩＰアドレス「ＩｐＡｄｄ６７」を含む通信データを検索する。そして、ログ解析装置２０１は、抽出管理テーブル８００内の検索した通信データに対応する一次メモに「Ｄ」を書き込む（図１２Ａ，１２Ｂ参照）。

【0165】

例えば、ネットワークログＬ２の１行目の通信データには、「ＩｐＡｄｄ６７」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「１」に対応する一次メモに「Ｄ」を書き込む（図１２Ａ参照）。

【0166】

以下、ネットワークログＬ３内の一次メモにＡ，Ｂ，Ｃ，Ｄのいずれかが書き込まれた行の通信データを検索対象とする。

【0167】

【0168】

例えば、ネットワークログＬ３の７行目の通信データには、「ＰＨＡＳＥ１ｎｅｇｏｔｉａｔｉｏｎｂｅｇｉｎｓ」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「７」に対応するフェーズ１メモに「Ｅ」を書き込む（図１２Ｃ参照）。

【0169】

【0170】

例えば、ネットワークログＬ３の９行目の通信データには、「ＩＳＡＫＭＰ－ＳＡｈａｓｂｅｅｎｅｓｔａｂｌｉｓｈｅｄ」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「９」に対応するフェーズ１メモに「Ｆ」を書き込む（図１２Ｃ参照）。

【0171】

つぎに、ログ解析装置２０１は、検索した通信データ（第２通信データ）に、「ｈｏｓｔ０２２３」が含まれるか否かを判断する。例えば、ネットワークログＬ３の９行目の通信データには、「ｈｏｓｔ０２２３」が含まれる。

【0172】

ここで、「ｈｏｓｔ０２２３」が含まれる場合、該当顧客のＩＫＥフェーズ１の確立成功であり、フェーズ１メモ「Ｅ」からフェーズ１メモ「Ｆ」までの間の行のクライアントＩＰアドレスは、該当顧客のＩＰアドレスであると特定できる。このため、ログ解析装置２０１は、フェーズ１メモ「Ｅ」からフェーズ１メモ「Ｆ」までの間の通信データに対応する確定メモに「ＯＮ」を書き込む（図１２Ｃ，１２Ｄ参照）。ただし、空白行は除外する。

【0173】

例えば、ネットワークログＬ３の７行目の通信データは、フェーズ１メモ「Ｅ」からフェーズ１メモ「Ｆ」までの範囲に含まれる行である。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「７」に対応する確定メモに「ＯＮ」を書き込む（図１２Ｃ参照）。

【0174】

【0175】

例えば、ネットワークログＬ３の１行目の通信データには、「ＰＨＡＳＥ２ｎｅｇｏｔｉａｔｉｏｎｂｅｇｉｎｓ」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「１」に対応するフェーズ２メモに「Ｇ」を書き込む（図１２Ｅ参照）。

【0176】

【0177】

例えば、ネットワークログＬ３の３行目の通信データには、「ＩＰｓｅｃ－ＳＡｈａｓｂｅｅｎｅｓｔａｂｌｉｓｈｅｄ：（ＩＮＢＯＵＮＤ）」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「３」に対応するフェーズ２メモに「Ｈ」を書き込む（図１２Ｅ参照）。

【0178】

【0179】

例えば、ネットワークログＬ３の５行目の通信データには、「ＩＰｓｅｃ－ＳＡｈａｓｂｅｅｎｅｓｔａｂｌｉｓｈｅｄ：（ＯＵＴＢＯＵＮＤ）」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「５」に対応するフェーズ２メモに「Ｉ」を書き込む（図１２Ｅ参照）。

【0180】

つぎに、ログ解析装置２０１は、検索した通信データ（第４通信データ、第５通信データ）に、「ｉｐｓｅｃ－ｄｙｎａｍｉｃ－ｒｕｌｅ（２２３）」が含まれるか否かを判断する。例えば、ネットワークログＬ３の３，５行目の通信データには、「ｉｐｓｅｃ－ｄｙｎａｍｉｃ－ｒｕｌｅ（２２３）」が含まれる。

【0181】

ここで、「ｉｐｓｅｃ－ｄｙｎａｍｉｃ－ｒｕｌｅ（２２３）」が含まれる場合、該当顧客のＩＫＥフェーズ２の確立成功であり、フェーズ２メモ「Ｇ」からフェーズ２メモ「Ｉ」までの間（Ｇ～Ｈ～Ｉ）の行のクライアントＩＰアドレスは、該当顧客のＩＰアドレスであると特定できる。このため、ログ解析装置２０１は、フェーズ２メモ「Ｇ」からフェーズ２メモ「Ｉ」までの間（Ｇ～Ｈ～Ｉ）の通信データに対応する確定メモに「ＯＮ」を書き込む（図１２Ｅ，１２Ｆ参照）。ただし、空白行は除外する。

【0182】

例えば、ネットワークログＬ３の１行目の通信データは、フェーズ２メモ「Ｇ」からフェーズ２メモ「Ｉ」までの範囲（Ｇ～Ｈ～Ｉ）に含まれる行である。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「１」に対応する確定メモに「ＯＮ」を書き込む（図１２Ｅ参照）。

【0183】

・クッキー値による有効範囲の解析
つぎに、ログ解析装置２０１は、検索対象から、同一のクッキー値を含む通信データ群を検索する。そして、ログ解析装置２０１は、抽出管理テーブル８００内の検索した通信データに対応するｃｏｏｋｉｅメモに「クッキーＩＤ」を書き込む（図１２Ｇ，１２Ｈ参照）。

【0184】

例えば、ネットワークログＬ３の８，９，１３，１５，１６行目の通信データには、同一のクッキー値「９２ｂ７２ｄｆ３ｅ３８ｆｃ２ｃ０」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「８，９，１３，１５，１６」に対応するｃｏｏｋｉｅメモに「Ｊ」を書き込む（図１２Ｇ参照）。

【0185】

つぎに、ログ解析装置２０１は、検索した通信データ群に「ｈｏｓｔ０２２３」を含む通信データが含まれるか否かを判断する。「ｈｏｓｔ０２２３」を含む通信データのクライアントＩＰアドレスは、該当顧客のＩＰアドレスである。例えば、ネットワークログＬ３の８行目の通信データには、「ｈｏｓｔ０２２３」が含まれる。このため、８行目の通信データのクライアントＩＰアドレス「ＩｐＡｄｄ１６」は、該当顧客のＩＰアドレスであるといえる。

【0186】

このため、ログ解析装置２０１は、同一のクッキーＩＤの先頭の通信データから最終の通信データまでの間で、該当顧客のクライアントＩＰアドレスと同一のＩＰアドレスを含む通信データに対応する確定メモに「ＯＮ」を書き込む（図１２Ｇ，１２Ｈ参照）。

【0187】

例えば、ネットワークログＬ３の１０行目の通信データは、クッキーＩＤ「Ｊ」の先頭の通信データ（８行目）から最終の通信データ（１６行目）までの間で、クライアントＩＰアドレス「ＩｐＡｄｄ１６」と同一のＩＰアドレスを含む。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「１０」に対応する確定メモに「ＯＮ」を書き込む（図１２Ｇ参照）。

【0188】

以上により、ネットワークログＬ３のうちの抽出対象となる通信データを決定することができる。ログ解析装置２０１は、図１２Ｇ，１２Ｈに示した抽出管理テーブル８００を参照して、確定メモ「ＯＮ」の通信データをネットワークログＬ３から抽出することにより、該当顧客（顧客Ｂ）の通信データのみを抽出することができる。

【0189】

つぎに、図１３Ａ～図１３Ｄ、図１４Ａ～図１４Ｈを用いて、ネットワークログＬの第３の解析例について説明する。

【0190】

図１３Ａ～図１３Ｄは、ネットワークログＬの第４の具体例を示す説明図である。図１３Ａ～図１３Ｄにおいて、ネットワークログＬ４は、ネットワーク装置２０２により記録されたログの一例であり、複数の通信データを含む。なお、図１３Ａ～図１３Ｄでは、説明の都合上、行番号を表示している。

【0191】

ここでは、ネットワークログＬ４を解析対象のネットワークログＬとする。また、抽出条件として、顧客ＩＤ「Ｃ１」を含む抽出条件を受け付けた場合を想定する。この場合、該当顧客は「顧客Ａ」である。

【0192】

図１４Ａ～図１４Ｈは、抽出管理テーブル８００の記憶内容の第３の変遷例を示す説明図である。以下、図１４Ａ～図１４Ｈを用いて、ネットワークログＬ４に含まれる通信データごとの抽出管理情報を抽出管理テーブル８００に記憶する場合について説明する。

【0193】

・一次抽出処理
まず、ログ解析装置２０１は、顧客情報ＤＢ２２０（図４参照）を参照して、抽出条件に含まれる該当顧客の顧客ＩＤ「Ｃ１」に対応するＶＬＡＮ＿ＩＤ「３３」を取得する。つぎに、ログ解析装置２０１は、ネットワークログＬ４から、「ｈｏｓｔ００３３」を含む通信データを検索する。

【0194】

そして、ログ解析装置２０１は、抽出管理テーブル８００内の検索した通信データに対応する一次メモに「Ａ」を書き込む（図１４Ａ，１４Ｂ参照）。ＶＬＡＮ＿ＩＤは、顧客に一意の値である。したがって、「ｈｏｓｔ００３３」を含む通信データは、該当顧客の通信データであるといえる。このため、ログ解析装置２０１は、抽出管理テーブル８００内の検索した通信データに対応する確定メモに「ＯＮ」を書き込む（図１４Ａ，１４Ｂ参照）。

【0195】

例えば、ネットワークログＬ４の９行目の通信データには、「ｈｏｓｔ００３３」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「９」に対応する一次メモに「Ａ」を書き込むとともに、行番号「９」に対応する確定メモに「ＯＮ」を書き込む（図１４Ａ参照）。

【0196】

また、ログ解析装置２０１は、検索した「ｈｏｓｔ００３３」を含む通信データに含まれるクライアントＩＰアドレスを特定する。例えば、ネットワークログＬ４の８行目の通信データには、ＩＰアドレス「ＩｐＡｄｄ１５３，ＩｐＡｄｄ１８６」が含まれる。「ＩｐＡｄｄ１５３」は、ネットワーク装置２０２のＩＰアドレスである。この場合、ログ解析装置２０１は、クライアントＩＰアドレスとして、「ＩｐＡｄｄ１８６」を特定する。このクライアントＩＰアドレスは、該当顧客のＩＰアドレスであるといえる。

【0197】

つぎに、ログ解析装置２０１は、ネットワークログＬ４から、特定したクライアントＩＰアドレス「ＩｐＡｄｄ１８６」を含む通信データを検索する。そして、ログ解析装置２０１は、抽出管理テーブル８００内の検索した通信データに対応する一次メモに「Ｂ」を書き込む（図１４Ａ，１４Ｂ参照）。

【0198】

例えば、ネットワークログＬ４の８行目の通信データには、「ＩｐＡｄｄ１８６」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「８」に対応する一次メモに「Ｂ」を書き込む（図１４Ａ参照）。

【0199】

また、ログ解析装置２０１は、ネットワークログＬ４から、「ｉｐｓｅｃ－ｄｙｎａｍｉｃ－ｒｕｌｅ（３３）」を含む通信データを検索する。そして、ログ解析装置２０１は、抽出管理テーブル８００内の検索した通信データに対応する一次メモに「Ｃ」を書き込む（図１４Ａ，１４Ｂ参照）。なお、一次メモに「Ｂ」が書き込まれている場合、ログ解析装置２０１は、「Ｃ」で上書きする。

【0200】

また、ＶＬＡＮ＿ＩＤは、顧客に一意の値である。したがって、「ｉｐｓｅｃ－ｄｙｎａｍｉｃ－ｒｕｌｅ（３３）」を含む通信データは、該当顧客の通信データであるといえる。このため、ログ解析装置２０１は、抽出管理テーブル８００内の検索した通信データに対応する確定メモに「ＯＮ」を書き込む（図１４Ａ，１４Ｂ参照）。

【0201】

例えば、ネットワークログＬ４の２行目の通信データには、「ｉｐｓｅｃ－ｄｙｎａｍｉｃ－ｒｕｌｅ（３３）」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「２」に対応する一次メモに「Ｃ」を書き込むとともに、行番号「２」に対応する確定メモに「ＯＮ」を書き込む（図１４Ａ参照）。

【0202】

また、ログ解析装置２０１は、検索した「ｉｐｓｅｃ－ｄｙｎａｍｉｃ－ｒｕｌｅ（３３）」を含む通信データに含まれるクライアントＩＰアドレスを特定する。例えば、ネットワークログＬ４の２行目の通信データには、ＩＰアドレス「ＩｐＡｄｄ１５３，ＩｐＡｄｄ１４７」が含まれる。「ＩｐＡｄｄ１５３」は、ネットワーク装置２０２のＩＰアドレスである。このため、ログ解析装置２０１は、クライアントＩＰアドレスとして、「ＩｐＡｄｄ１４７」を特定する。このクライアントＩＰアドレスは、該当顧客のＩＰアドレスであるといえる。

【0203】

つぎに、ログ解析装置２０１は、ネットワークログＬ４から、特定したクライアントＩＰアドレス「ＩｐＡｄｄ１４７」を含む通信データを検索する。そして、ログ解析装置２０１は、抽出管理テーブル８００内の検索した通信データに対応する一次メモに「Ｄ」を書き込む（図１４Ａ，１４Ｂ参照）。

【0204】

例えば、ネットワークログＬ２の１行目の通信データには、「ＩｐＡｄｄ１４７」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「１」に対応する一次メモに「Ｄ」を書き込む（図１４Ａ参照）。

【0205】

以下、ネットワークログＬ４内の一次メモにＡ，Ｂ，Ｃ，Ｄのいずれかが書き込まれた行の通信データを検索対象とする。

【0206】

【0207】

例えば、ネットワークログＬ４の８行目の通信データには、「ＰＨＡＳＥ１ｎｅｇｏｔｉａｔｉｏｎｂｅｇｉｎｓ」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「８」に対応するフェーズ１メモに「Ｅ」を書き込む（図１４Ｃ参照）。

【0208】

【0209】

例えば、ネットワークログＬ４の１０行目の通信データには、「ＩＳＡＫＭＰ－ＳＡｈａｓｂｅｅｎｅｓｔａｂｌｉｓｈｅｄ」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「１０」に対応するフェーズ１メモに「Ｆ」を書き込む（図１４Ｃ参照）。

【0210】

つぎに、ログ解析装置２０１は、検索した通信データ（第２通信データ）に、「ｈｏｓｔ００３３」が含まれるか否かを判断する。例えば、ネットワークログＬ４の１０行目の通信データには、「ｈｏｓｔ００３３」が含まれる。

【0211】

ここで、「ｈｏｓｔ００３３」が含まれる場合、該当顧客のＩＫＥフェーズ１の確立成功であり、フェーズ１メモ「Ｅ」からフェーズ１メモ「Ｆ」までの間の行のクライアントＩＰアドレスは、該当顧客のＩＰアドレスであると特定できる。このため、ログ解析装置２０１は、フェーズ１メモ「Ｅ」からフェーズ１メモ「Ｆ」までの間の通信データに対応する確定メモに「ＯＮ」を書き込む（図１４Ｃ，１４Ｄ参照）。ただし、空白行は除外する。

【0212】

例えば、ネットワークログＬ４の３３行目の通信データは、フェーズ１メモ「Ｅ」からフェーズ１メモ「Ｆ」までの範囲に含まれる行である。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「３３」に対応する確定メモに「ＯＮ」を書き込む（図１４Ｄ参照）。

【0213】

なお、ネットワークログＬ４の２２～２４行目にも、フェーズ１メモ「Ｅ」からフェーズ１メモ「Ｆ」までの範囲がある。しかしながら、２４行目のフェーズ１メモ「Ｆ」の通信データには、「ｈｏｓｔ００３３」が含まれない。このため、この範囲の確定メモは「ＯＮ」とならない。

【0214】

【0215】

例えば、ネットワークログＬ４の１行目の通信データには、「ＰＨＡＳＥ２ｎｅｇｏｔｉａｔｉｏｎｂｅｇｉｎｓ」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「１」に対応するフェーズ２メモに「Ｇ」を書き込む（図１４Ｅ参照）。

【0216】

【0217】

例えば、ネットワークログＬ４の３行目の通信データには、「ＩＰｓｅｃ－ＳＡｈａｓｂｅｅｎｅｓｔａｂｌｉｓｈｅｄ：（ＩＮＢＯＵＮＤ）」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「３」に対応するフェーズ２メモに「Ｈ」を書き込む（図１４Ｅ参照）。

【0218】

【0219】

例えば、ネットワークログＬ４の５行目の通信データには、「ＩＰｓｅｃ－ＳＡｈａｓｂｅｅｎｅｓｔａｂｌｉｓｈｅｄ：（ＯＵＴＢＯＵＮＤ）」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「５」に対応するフェーズ２メモに「Ｉ」を書き込む（図１４Ｅ参照）。

【0220】

つぎに、ログ解析装置２０１は、検索した通信データ（第４通信データ、第５通信データ）に、「ｉｐｓｅｃ－ｄｙｎａｍｉｃ－ｒｕｌｅ（３３）」が含まれるか否かを判断する。例えば、ネットワークログＬ４の３，５行目の通信データには、「ｉｐｓｅｃ－ｄｙｎａｍｉｃ－ｒｕｌｅ（３３）」が含まれる。

【0221】

ここで、「ｉｐｓｅｃ－ｄｙｎａｍｉｃ－ｒｕｌｅ（３３）」が含まれる場合、該当顧客のＩＫＥフェーズ２の確立成功であり、フェーズ２メモ「Ｇ」からフェーズ２メモ「Ｉ」までの間（Ｇ～Ｈ～Ｉ）の行のクライアントＩＰアドレスは、該当顧客のＩＰアドレスであると特定できる。このため、ログ解析装置２０１は、フェーズ２メモ「Ｇ」からフェーズ２メモ「Ｉ」までの間（Ｇ～Ｈ～Ｉ）の通信データに対応する確定メモに「ＯＮ」を書き込む（図１４Ｅ，１４Ｆ参照）。ただし、空白行は除外する。

【0222】

例えば、ネットワークログＬ４の１行目の通信データは、フェーズ２メモ「Ｇ」からフェーズ２メモ「Ｉ」までの範囲（Ｇ～Ｈ～Ｉ）に含まれる行である。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「１」に対応する確定メモに「ＯＮ」を書き込む（図１４Ｅ参照）。

【0223】

・クッキー値による有効範囲の解析
つぎに、ログ解析装置２０１は、検索対象から、同一のクッキー値を含む通信データ群を検索する。そして、ログ解析装置２０１は、抽出管理テーブル８００内の検索した通信データに対応するｃｏｏｋｉｅメモに「クッキーＩＤ」を書き込む（図１４Ｇ，１４Ｈ参照）。

【0224】

例えば、ネットワークログＬ４の９，１０，１４，１６，１７行目の通信データには、同一のクッキー値「６２７８ｂｃ６８ｄ３４４ｆ１１２」が含まれる。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「９，１０，１４，１６，１７」に対応するｃｏｏｋｉｅメモに「Ｊ」を書き込む（図１４Ｇ参照）。

【0225】

つぎに、ログ解析装置２０１は、検索した通信データ群に「ｈｏｓｔ００３３」を含む通信データが含まれるか否かを判断する。「ｈｏｓｔ００３３」を含む通信データのクライアントＩＰアドレスは、該当顧客のＩＰアドレスである。例えば、ネットワークログＬ４の９行目の通信データには、「ｈｏｓｔ００３３」が含まれる。このため、９行目の通信データのクライアントＩＰアドレス「ＩｐＡｄｄ１８６」は、該当顧客のＩＰアドレスであるといえる。

【0226】

このため、ログ解析装置２０１は、同一のクッキーＩＤの先頭の通信データから最終の通信データまでの間で、クライアントＩＰアドレスと同一のＩＰアドレスを含む通信データに対応する確定メモに「ＯＮ」を書き込む（図１４Ｇ，１４Ｈ参照）。

【0227】

例えば、ネットワークログＬ４の１１行目の通信データは、クッキーＩＤ「Ｊ」の先頭の通信データ（９行目）から最終の通信データ（１７行目）までの間で、クライアントＩＰアドレス「ＩｐＡｄｄ１８６」と同一のＩＰアドレスを含む。この場合、ログ解析装置２０１は、抽出管理テーブル８００の行番号「９」に対応する確定メモに「ＯＮ」を書き込む（図１４Ｇ参照）。

【0228】

以上により、ネットワークログＬ４のうちの抽出対象となる通信データを決定することができる。ログ解析装置２０１は、図１４Ｇ，１４Ｈに示した抽出管理テーブル８００を参照して、確定メモ「ＯＮ」の通信データをネットワークログＬ４から抽出することにより、該当顧客（顧客Ａ）の通信データのみを抽出することができる。

【0229】

また、ネットワークログＬ４の２２～３１行目の通信データは、該当顧客とは異なる他の顧客が一時的に、同じクライアントＩＰアドレス「ＩｐＡｄｄ１４７」を使用した例である。ここでは、同じクライアントＩＰアドレス「ＩｐＡｄｄ１４７」を含む通信データであっても、確定メモがＯＮにならず、抽出対象から排除することができている。

【0230】

（ログ解析装置２０１のログ解析処理手順）
つぎに、図１５を用いて、ログ解析装置２０１のログ解析処理手順について説明する。

【0231】

図１５は、ログ解析装置２０１のログ解析処理手順の一例を示すフローチャートである。図１５のフローチャートにおいて、まず、ログ解析装置２０１は、抽出条件を受け付けたか否かを判断する（ステップＳ１５０１）。抽出条件には、例えば、顧客ＩＤ、顧客名などが含まれる。

【0232】

ここで、ログ解析装置２０１は、抽出条件を受け付けるのを待つ（ステップＳ１５０１：Ｎｏ）。ログ解析装置２０１は、抽出条件を受け付けた場合（ステップＳ１５０１：Ｙｅｓ）、一次抽出処理を実行する（ステップＳ１５０２）。一次抽出処理の具体的な処理手順については、図１６～図１９を用いて後述する。

【0233】

そして、ログ解析装置２０１は、第１のネゴシエーション解析処理を実行する（ステップＳ１５０３）。第１のネゴシエーション解析処理の具体的な処理手順については、図２０および図２１を用いて後述する。

【0234】

つぎに、ログ解析装置２０１は、第２のネゴシエーション解析処理を実行する（ステップＳ１５０４）。第２のネゴシエーション解析処理の具体的な処理手順については、図２２および図２３を用いて後述する。

【0235】

そして、ログ解析装置２０１は、クッキー解析処理を実行する（ステップＳ１５０５）。クッキー解析処理の具体的な処理手順については、図２４および図２５を用いて後述する。

【0236】

つぎに、ログ解析装置２０１は、抽出管理テーブル８００を参照して、確定メモ「ＯＮ」の通信データをネットワークログＬから抽出する（ステップＳ１５０６）。そして、ログ解析装置２０１は、抽出した通信データを含むログ解析結果を出力して（ステップＳ１５０７）、本フローチャートによる一連の処理を終了する。

【0237】

これにより、ログ解析装置２０１は、ネットワークログＬから、該当顧客の通信データのみを抽出することができる。なお、ログ解析装置２０１は、ステップＳ１５０３～Ｓ１５０５のいずれかの処理を実行しないことにしてもよい。

【0238】

つぎに、図１６～図１９を用いて、ステップＳ１５０２の一次抽出処理の具体的な処理手順について説明する。

【0239】

図１６～図１９は、一次抽出処理の具体的処理手順の一例を示すフローチャートである。図１６のフローチャートにおいて、まず、ログ解析装置２０１は、顧客情報ＤＢ２２０を参照して、受け付けた抽出条件に含まれる顧客ＩＤ等に対応するＶＬＡＮ＿ＩＤを取得する（ステップＳ１６０１）。

【0240】

つぎに、ログ解析装置２０１は、ネットワークログＬから、「ｈｏｓｔ００ｘｘ」を含む行（通信データ）を検索する（ステップＳ１６０２）。ただし、ｘｘは、ステップＳ１６０１において取得されたＶＬＡＮ＿ＩＤ（該当顧客のＶＬＡＮ＿ＩＤ）に対応する。そして、ログ解析装置２０１は、行（通信データ）が見つかったか否かを判断する（ステップＳ１６０３）。

【0241】

ここで、行（通信データ）が見つからなかった場合（ステップＳ１６０３：Ｎｏ）、ログ解析装置２０１は、ステップＳ１６０６に移行する。一方、行（通信データ）が見つかった場合（ステップＳ１６０３：Ｙｅｓ）、ログ解析装置２０１は、抽出管理テーブル８００内の見つかった行（通信データ）に対応する一次メモに「Ａ」を書き込む（ステップＳ１６０４）。

【0242】

そして、ログ解析装置２０１は、抽出管理テーブル８００内の見つかった行（通信データ）に対応する確定メモに「ＯＮ」を書き込む（ステップＳ１６０５）。つぎに、ログ解析装置２０１は、ネットワークログＬを全て検索したか否かを判断する（ステップＳ１６０６）。

【0243】

ここで、ネットワークログＬを全て検索していない場合（ステップＳ１６０６：Ｎｏ）、ログ解析装置２０１は、ステップＳ１６０２に戻る。一方、ネットワークログＬを全て検索した場合（ステップＳ１６０６：Ｙｅｓ）、ログ解析装置２０１は、図１７に示すステップＳ１７０１に移行する。

【0244】

図１７のフローチャートにおいて、まず、ログ解析装置２０１は、一次メモに「Ａ」が書かれた行（通信データ）のクライアントＩＰアドレスを特定する（ステップＳ１７０１）。そして、ログ解析装置２０１は、特定したクライアントＩＰアドレスのうち選択されていない未選択のクライアントＩＰアドレスを選択する（ステップＳ１７０２）。

【0245】

つぎに、ログ解析装置２０１は、ネットワークログＬから、選択したクライアントＩＰアドレスを含む行（通信データ）を検索する（ステップＳ１７０３）。そして、ログ解析装置２０１は、行（通信データ）が見つかったか否かを判断する（ステップＳ１７０４）。

【0246】

ここで、行（通信データ）が見つからなかった場合（ステップＳ１７０４：Ｎｏ）、ログ解析装置２０１は、ステップＳ１７０７に移行する。一方、行（通信データ）が見つかった場合（ステップＳ１７０４：Ｙｅｓ）、ログ解析装置２０１は、抽出管理テーブル８００内の見つかった行（通信データ）に対応する一次メモに「Ａ」が書かれているか否かを判断する（ステップＳ１７０５）。

【0247】

ここで、一次メモに「Ａ」が書かれている場合（ステップＳ１７０５：Ｙｅｓ）、ログ解析装置２０１は、ステップＳ１７０７に移行する。一方、一次メモに「Ａ」が書かれていない場合（ステップＳ１７０５：Ｎｏ）、ログ解析装置２０１は、抽出管理テーブル８００内の見つかった行（通信データ）に対応する一次メモに「Ｂ」を書き込む（ステップＳ１７０６）。

【0248】

そして、ログ解析装置２０１は、ネットワークログＬを全て検索したか否かを判断する（ステップＳ１７０７）。ここで、ネットワークログＬを全て検索していない場合（ステップＳ１７０７：Ｎｏ）、ログ解析装置２０１は、ステップＳ１７０３に戻る。

【0249】

一方、ネットワークログＬを全て検索した場合（ステップＳ１７０７：Ｙｅｓ）、ログ解析装置２０１は、特定したクライアントＩＰアドレスのうち選択されていない未選択のクライアントＩＰアドレスがあるか否かを判断する（ステップＳ１７０８）。

【0250】

ここで、未選択のクライアントＩＰアドレスがある場合（ステップＳ１７０８：Ｙｅｓ）、ログ解析装置２０１は、ステップＳ１７０２に戻る。一方、未選択のクライアントＩＰアドレスがない場合（ステップＳ１７０８：Ｎｏ）、ログ解析装置２０１は、図１８に示すステップＳ１８０１に移行する。

【0251】

図１８のフローチャートにおいて、まず、ログ解析装置２０１は、ネットワークログＬから、「ｉｐｓｅｃ－ｄｙｎａｍｉｃ－ｒｕｌｅ（ｘｘ）」を含む行（通信データ）を検索する（ステップＳ１８０１）。そして、ログ解析装置２０１は、行（通信データ）が見つかったか否かを判断する（ステップＳ１８０２）。

【0252】

ここで、行（通信データ）が見つからなかった場合（ステップＳ１８０２：Ｎｏ）、ログ解析装置２０１は、ステップＳ１８０５に移行する。一方、行（通信データ）が見つかった場合（ステップＳ１８０２：Ｙｅｓ）、ログ解析装置２０１は、抽出管理テーブル８００内の見つかった行（通信データ）に対応する一次メモに「Ｃ」を書き込む（ステップＳ１８０３）。なお、一次メモに「Ｂ」が書き込まれている場合、ログ解析装置２０１は、「Ｃ」で上書きする。

【0253】

つぎに、ログ解析装置２０１は、抽出管理テーブル８００内の見つかった行（通信データ）に対応する確定メモに「ＯＫ」を書き込む（ステップＳ１８０４）。そして、ログ解析装置２０１は、ネットワークログＬを全て検索したか否かを判断する（ステップＳ１８０５）。

【0254】

ここで、ネットワークログＬを全て検索していない場合（ステップＳ１８０５：Ｎｏ）、ログ解析装置２０１は、ステップＳ１８０１に戻る。一方、ネットワークログＬを全て検索した場合（ステップＳ１８０５：Ｙｅｓ）、ログ解析装置２０１は、図１９に示すステップＳ１９０１に移行する。

【0255】

図１９のフローチャートにおいて、まず、ログ解析装置２０１は、一次メモに「Ｃ」が書かれた行（通信データ）のクライアントＩＰアドレスを特定する（ステップＳ１９０１）。そして、ログ解析装置２０１は、特定したクライアントＩＰアドレスのうち選択されていない未選択のクライアントＩＰアドレスを選択する（ステップＳ１９０２）。

【0256】

つぎに、ログ解析装置２０１は、ネットワークログＬから、選択したクライアントＩＰアドレスを含む行（通信データ）を検索する（ステップＳ１９０３）。そして、ログ解析装置２０１は、行（通信データ）が見つかったか否かを判断する（ステップＳ１９０４）。

【0257】

ここで、行（通信データ）が見つからなかった場合（ステップＳ１９０４：Ｎｏ）、ログ解析装置２０１は、ステップＳ１９０７に移行する。一方、行（通信データ）が見つかった場合（ステップＳ１９０４：Ｙｅｓ）、ログ解析装置２０１は、抽出管理テーブル８００内の見つかった行（通信データ）に対応する一次メモに「Ｃ」が書かれているか否かを判断する（ステップＳ１９０５）。

【0258】

ここで、一次メモに「Ｃ」が書かれている場合（ステップＳ１９０５：Ｙｅｓ）、ログ解析装置２０１は、ステップＳ１９０７に移行する。一方、一次メモに「Ｃ」が書かれていない場合（ステップＳ１９０５：Ｎｏ）、ログ解析装置２０１は、抽出管理テーブル８００内の見つかった行（通信データ）に対応する一次メモに「Ｄ」を書き込む（ステップＳ１９０６）。

【0259】

そして、ログ解析装置２０１は、ネットワークログＬを全て検索したか否かを判断する（ステップＳ１９０７）。ここで、ネットワークログＬを全て検索していない場合（ステップＳ１９０７：Ｎｏ）、ログ解析装置２０１は、ステップＳ１９０３に戻る。

【0260】

一方、ネットワークログＬを全て検索した場合（ステップＳ１９０７：Ｙｅｓ）、ログ解析装置２０１は、特定したクライアントＩＰアドレスのうち選択されていない未選択のクライアントＩＰアドレスがあるか否かを判断する（ステップＳ１９０８）。

【0261】

ここで、未選択のクライアントＩＰアドレスがある場合（ステップＳ１９０８：Ｙｅｓ）、ログ解析装置２０１は、ステップＳ１９０２に戻る。一方、未選択のクライアントＩＰアドレスがない場合（ステップＳ１９０８：Ｎｏ）、ログ解析装置２０１は、一次抽出処理を呼び出したステップに戻る。

【0262】

これにより、ログ解析装置２０１は、該当顧客のＶＬＡＮ＿ＩＤを含むホスト名やプロトコルメッセージを手がかりにして、抽出対象の通信データ（確定メモ「ＯＮ」の通信データ）を決定することができる。また、ログ解析装置２０１は、該当顧客のクライアントＩＰアドレスと同一のＩＰアドレスを含む通信データを、該当顧客の通信データの候補として検索することができる。

【0263】

つぎに、図２０および図２１を用いて、ステップＳ１５０３の第１のネゴシエーション解析処理の具体的な処理手順について説明する。

【0264】

図２０および図２１は、第１のネゴシエーション解析処理の具体的処理手順の一例を示すフローチャートである。図２０のフローチャートにおいて、まず、ログ解析装置２０１は、ネットワークログＬのうち一次メモにＡ，Ｂ，Ｃ，Ｄが書かれている行（通信データ）を検索対象とする（ステップＳ２００１）。

【0265】

つぎに、ログ解析装置２０１は、検索対象から、「ＰＨＡＳＥ１ｎｅｇｏｔｉａｔｉｏｎｂｅｇｉｎｓ」を含む行（通信データ）を検索する（ステップＳ２００２）。そして、ログ解析装置２０１は、行（通信データ）が見つかったか否かを判断する（ステップＳ２００３）。

【0266】

ここで、行（通信データ）が見つからなかった場合（ステップＳ２００３：Ｎｏ）、ログ解析装置２０１は、ステップＳ２００５に移行する。一方、行（通信データ）が見つかった場合（ステップＳ２００３：Ｙｅｓ）、ログ解析装置２０１は、抽出管理テーブル８００内の見つかった行（通信データ）に対応するフェーズ１メモに「Ｅ」を書き込む（ステップＳ２００４）。

【0267】

そして、ログ解析装置２０１は、検索対象を全て検索したか否かを判断する（ステップＳ２００５）。ここで、検索対象を全て検索していない場合（ステップＳ２００５：Ｎｏ）、ログ解析装置２０１は、ステップＳ２００２に戻る。

【0268】

一方、検索対象を全て検索した場合（ステップＳ２００５：Ｙｅｓ）、ログ解析装置２０１は、検索対象から、「ＩＳＡＫＭＰ－ＳＡｈａｓｂｅｅｎｅｓｔａｂｌｉｓｈｅｄ」を含む行（通信データ）を検索する（ステップＳ２００６）。そして、ログ解析装置２０１は、行（通信データ）が見つかったか否かを判断する（ステップＳ２００７）。

【0269】

ここで、行（通信データ）が見つからなかった場合（ステップＳ２００７：Ｎｏ）、ログ解析装置２０１は、ステップＳ２００９に移行する。一方、行（通信データ）が見つかった場合（ステップＳ２００７：Ｙｅｓ）、ログ解析装置２０１は、抽出管理テーブル８００内の見つかった行（通信データ）に対応するフェーズ１メモに「Ｆ」を書き込む（ステップＳ２００８）。

【0270】

そして、ログ解析装置２０１は、検索対象を全て検索したか否かを判断する（ステップＳ２００９）。ここで、検索対象を全て検索していない場合（ステップＳ２００９：Ｎｏ）、ログ解析装置２０１は、ステップＳ２００６に戻る。一方、検索対象を全て検索した場合（ステップＳ２００９：Ｙｅｓ）、ログ解析装置２０１は、図２１に示すステップＳ２１０１に移行する。

【0271】

図２１のフローチャートにおいて、まず、ログ解析装置２０１は、フェーズ１メモに「Ｆ」が書かれた行のｈｏｓｔｘｘを特定する（ステップＳ２１０１）。そして、ログ解析装置２０１は、特定したｈｏｓｔｘｘが該当顧客と同じか否かを判断する（ステップＳ２１０２）。

【0272】

なお、ｈｏｓｔｘｘが該当顧客と同じとは、ｘｘの部分が、該当顧客のＶＬＡＮ＿ＩＤ（図１６に示したステップＳ１６０２において取得されたＶＬＡＮ＿ＩＤ）と同一であることを示す。

【0273】

ここで、該当顧客と異なる場合（ステップＳ２１０２：Ｎｏ）、ログ解析装置２０１は、第１のネゴシエーション解析処理を呼び出したステップに戻る。一方、該当顧客と同じ場合（ステップＳ２１０２：Ｙｅｓ）、ログ解析装置２０１は、抽出管理テーブル８００内のフェーズ１メモに「Ｅ」が書かれた行から「Ｆ」が書かれた行までの各行の確定メモに「ＯＮ」を書き込んで（ステップＳ２１０３）、第１のネゴシエーション解析処理を呼び出したステップに戻る。

【0274】

これにより、ログ解析装置２０１は、該当顧客によるＩＫＥフェーズ１のネゴシエーション通信が行われた範囲を利用して、抽出対象の通信データ（確定メモ「ＯＮ」の通信データ）を決定することができる。

【0275】

つぎに、図２２および図２３を用いて、ステップＳ１５０４の第２のネゴシエーション解析処理の具体的な処理手順について説明する。

【0276】

図２２および図２３は、第２のネゴシエーション解析処理の具体的処理手順の一例を示すフローチャートである。図２２のフローチャートにおいて、まず、ログ解析装置２０１は、検索対象から、「ＰＨＡＳＥ２ｎｅｇｏｔｉａｔｉｏｎｂｅｇｉｎｓ」を含む行（通信データ）を検索する（ステップＳ２２０１）。

【0277】

そして、ログ解析装置２０１は、行（通信データ）が見つかったか否かを判断する（ステップＳ２２０２）。ここで、行（通信データ）が見つからなかった場合（ステップＳ２２０２：Ｎｏ）、ログ解析装置２０１は、ステップＳ２２０４に移行する。

【0278】

一方、行（通信データ）が見つかった場合（ステップＳ２２０２：Ｙｅｓ）、ログ解析装置２０１は、抽出管理テーブル８００内の見つかった行（通信データ）に対応するフェーズ２メモに「Ｇ」を書き込む（ステップＳ２２０３）。そして、ログ解析装置２０１は、検索対象を全て検索したか否かを判断する（ステップＳ２２０４）。

【0279】

ここで、検索対象を全て検索していない場合（ステップＳ２２０４：Ｎｏ）、ログ解析装置２０１は、ステップＳ２２０１に戻る。一方、検索対象を全て検索した場合（ステップＳ２２０４：Ｙｅｓ）、ログ解析装置２０１は、検索対象から、「ＩＰｓｅｃ－ＳＡｈａｓｂｅｅｎｅｓｔａｂｌｉｓｈｅｄ：（ＩＮＢＯＵＮＤ）」を含む行（通信データ）を検索する（ステップＳ２２０５）。

【0280】

そして、ログ解析装置２０１は、行（通信データ）が見つかったか否かを判断する（ステップＳ２２０６）。ここで、行（通信データ）が見つからなかった場合（ステップＳ２２０６：Ｎｏ）、ログ解析装置２０１は、ステップＳ２２０８に移行する。

【0281】

一方、行（通信データ）が見つかった場合（ステップＳ２２０６：Ｙｅｓ）、ログ解析装置２０１は、抽出管理テーブル８００内の見つかった行（通信データ）に対応するフェーズ２メモに「Ｈ」を書き込む（ステップＳ２２０７）。

【0282】

そして、ログ解析装置２０１は、検索対象を全て検索したか否かを判断する（ステップＳ２２０８）。ここで、検索対象を全て検索していない場合（ステップＳ２２０８：Ｎｏ）、ログ解析装置２０１は、ステップＳ２２０５に戻る。一方、検索対象を全て検索した場合（ステップＳ２２０８：Ｙｅｓ）、ログ解析装置２０１は、図２３に示すステップＳ２３０１に移行する。

【0283】

図２３のフローチャートにおいて、まず、ログ解析装置２０１は、検索対象から、「ＩＰｓｅｃ－ＳＡｈａｓｂｅｅｎｅｓｔａｂｌｉｓｈｅｄ：（ＯＵＴＢＯＵＮＤ）」を含む行（通信データ）を検索する（ステップＳ２３０１）。

【0284】

そして、ログ解析装置２０１は、行（通信データ）が見つかったか否かを判断する（ステップＳ２３０２）。ここで、行（通信データ）が見つからなかった場合（ステップＳ２３０２：Ｎｏ）、ログ解析装置２０１は、ステップＳ２３０４に移行する。

【0285】

一方、行（通信データ）が見つかった場合（ステップＳ２３０２：Ｙｅｓ）、ログ解析装置２０１は、抽出管理テーブル８００内の見つかった行（通信データ）に対応するフェーズ２メモに「Ｉ」を書き込む（ステップＳ２３０３）。そして、ログ解析装置２０１は、検索対象を全て検索したか否かを判断する（ステップＳ２３０４）。

【0286】

ここで、検索対象を全て検索していない場合（ステップＳ２３０４：Ｎｏ）、ログ解析装置２０１は、ステップＳ２３０１に戻る。一方、検索対象を全て検索した場合（ステップＳ２３０４：Ｙｅｓ）、ログ解析装置２０１は、抽出管理テーブル８００内のフェーズ２メモに「Ｈ」、「Ｉ」が書かれた行（通信データ）のｉｐｓｅｃ－ｄｙｎａｍｉｃ－ｒｕｌｅ（ｘｘ）を特定する（ステップＳ２３０５）。

【0287】

そして、ログ解析装置２０１は、特定したｉｐｓｅｃ－ｄｙｎａｍｉｃ－ｒｕｌｅ（ｘｘ）が該当顧客と同じか否かを判断する（ステップＳ２３０６）。なお、ｉｐｓｅｃ－ｄｙｎａｍｉｃ－ｒｕｌｅ（ｘｘ）が該当顧客と同じとは、ｘｘの部分が、該当顧客のＶＬＡＮ＿ＩＤ（図１６に示したステップＳ１６０２において取得されたＶＬＡＮ＿ＩＤ）と同一であることを示す。

【0288】

ここで、該当顧客と異なる場合（ステップＳ２３０６：Ｎｏ）、ログ解析装置２０１は、第２のネゴシエーション解析処理を呼び出したステップに戻る。一方、該当顧客と同じ場合（ステップＳ２３０６：Ｙｅｓ）、ログ解析装置２０１は、抽出管理テーブル８００内のフェーズ２メモに「Ｇ」が書かれた行から、「Ｈ」および「Ｉ」のうち出現順序が遅い方が書かれた行までの各行の確定メモに「ＯＮ」を書き込んで（ステップＳ２３０７）、第２のネゴシエーション解析処理を呼び出したステップに戻る。

【0289】

これにより、ログ解析装置２０１は、該当顧客によるＩＫＥフェーズ２のネゴシエーション通信が行われた範囲を利用して、抽出対象の通信データ（確定メモ「ＯＮ」の通信データ）を決定することができる。

【0290】

つぎに、図２４および図２５を用いて、ステップＳ１５０５のクッキー解析処理の具体的な処理手順について説明する。

【0291】

図２４および図２５は、クッキー解析処理の具体的処理手順の一例を示すフローチャートである。図２４のフローチャートにおいて、まず、ログ解析装置２０１は、検索対象から、クッキー値を含む行（通信データ）を検索する（ステップＳ２４０１）。そして、ログ解析装置２０１は、行（通信データ）が見つかったか否かを判断する（ステップＳ２４０２）。

【0292】

ここで、行（通信データ）が見つからなかった場合（ステップＳ２４０２：Ｎｏ）、ログ解析装置２０１は、クッキー解析処理を呼び出したステップに戻る。一方、行（通信データ）が見つかった場合（ステップＳ２４０２：Ｙｅｓ）、ログ解析装置２０１は、抽出管理テーブル８００内の見つかった行（通信データ）に対応するｃｏｏｋｉｅメモに「クッキーＩＤ」を書き込む（ステップＳ２４０３）。

【0293】

つぎに、ログ解析装置２０１は、検索対象から、同一のクッキー値を含む行（通信データ）を検索する（ステップＳ２４０４）。そして、ログ解析装置２０１は、行（通信データ）が見つかったか否かを判断する（ステップＳ２４０５）。ここで、行（通信データ）が見つからなかった場合（ステップＳ２４０５：Ｎｏ）、ログ解析装置２０１は、ステップＳ２４０７に移行する。

【0294】

一方、行（通信データ）が見つかった場合（ステップＳ２４０５：Ｙｅｓ）、ログ解析装置２０１は、抽出管理テーブル８００内の見つかった行（通信データ）に対応するｃｏｏｋｉｅメモに「同じクッキーＩＤ」を書き込む（ステップＳ２４０６）。同じクッキーＩＤとは、ステップＳ２４０３において書き込まれたクッキーＩＤと同一のクッキーＩＤである。

【0295】

そして、ログ解析装置２０１は、検索対象を全て検索したか否かを判断する（ステップＳ２４０７）。ここで、検索対象を全て検索していない場合（ステップＳ２４０７：Ｎｏ）、ログ解析装置２０１は、ステップＳ２４０４に戻る。一方、検索対象を全て検索した場合（ステップＳ２４０７：Ｙｅｓ）、ログ解析装置２０１は、図２５に示すステップＳ２５０１に移行する。

【0296】

図２５のフローチャートにおいて、まず、ログ解析装置２０１は、抽出管理テーブル８００内のｃｏｏｋｉｅメモに「当該クッキーＩＤ」が書かれた行（通信データ）のｈｏｓｔｘｘを特定する（ステップＳ２５０１）。当該クッキーＩＤは、ステップＳ２４０３において書き込まれたクッキーＩＤである。

【0297】

そして、ログ解析装置２０１は、特定したｈｏｓｔｘｘが該当顧客と同じか否かを判断する（ステップＳ２５０２）。ここで、該当顧客と異なる場合（ステップＳ２５０２：Ｎｏ）、ログ解析装置２０１は、ステップＳ２５０５に移行する。

【0298】

一方、該当顧客と同じ場合（ステップＳ２５０２：Ｙｅｓ）、ログ解析装置２０１は、抽出管理テーブル８００内のｃｏｏｋｉｅメモに「当該クッキーＩＤ」が書かれた行の先頭から最終までの区間を特定する（ステップＳ２５０３）。そして、ログ解析装置２０１は、特定した区間内で、該当顧客と同一のクライアントＩＰアドレスを含む行（通信データ）の確定メモに「ＯＮ」を書き込む（ステップＳ２５０４）。

【0299】

そして、ログ解析装置２０１は、検索対象を全て検索したか否かを判断する（ステップＳ２５０５）。ここで、検索対象を全て検索していない場合（ステップＳ２５０５：Ｎｏ）、ログ解析装置２０１は、図２４に示したステップＳ２４０１に戻る。一方、検索対象を全て検索した場合（ステップＳ２５０５：Ｙｅｓ）、ログ解析装置２０１は、クッキー解析処理を呼び出したステップに戻る。

【0300】

これにより、ログ解析装置２０１は、該当顧客を識別するクッキー値により管理されたセッションの範囲を利用して、抽出対象の通信データ（確定メモ「ＯＮ」の通信データ）を決定することができる。

【0301】

以上説明したように、実施の形態にかかるログ解析装置２０１によれば、該当顧客のＶＬＡＮ＿ＩＤを取得し、ネットワークログＬのうち、取得した該当顧客のＶＬＡＮ＿ＩＤを含む通信データに含まれるクライアントＩＰアドレスを特定することができる。また、ログ解析装置２０１によれば、ネットワークログＬから、特定したクライアントＩＰアドレスを含む候補通信データを検索し、ネットワークログＬから、暗号化通信確立情報を検索することができる。また、ログ解析装置２０１によれば、検索した暗号化通信確立情報が該当顧客のＶＬＡＮ＿ＩＤに関係する場合、暗号化通信確立情報に基づいて、検索した候補通信データから抽出対象の通信データを決定することができる。そして、ログ解析装置２０１によれば、決定した抽出対象の通信データをネットワークログＬから抽出し、抽出した通信データを出力することができる。

【0302】

これにより、ログ解析装置２０１は、該当顧客の暗号化通信が確立したことを特定する情報を利用して、該当顧客のクライアントＩＰアドレスと同一のＩＰアドレスを含む候補通信データから、該当顧客の通信データを精度よく抽出することができる。例えば、該当顧客による暗号化通信を行うための情報をやり取りする通信が行われた範囲を利用して、該当顧客の通信データであることを判定して誤抽出を防ぐことができる。

【0303】

また、ログ解析装置２０１によれば、ネットワークログＬから、クッキー関連情報を検索し、検索したクッキー関連情報が該当顧客のＶＬＡＮ＿ＩＤに関係する場合、クッキー関連情報に基づいて、検索した候補通信データから抽出対象の通信データを決定することができる。

【0304】

これにより、ログ解析装置２０１は、該当顧客のセッションを管理する情報を利用して、該当顧客のクライアントＩＰアドレスと同一のＩＰアドレスを含む候補通信データから、該当顧客の通信データを精度よく抽出することができる。

【0305】

また、ログ解析装置２０１によれば、ネットワークログＬから、第１通信データと第２通信データとを検索することができる。第１通信データは、ＩＫＥフェーズ１のネゴシエーション通信の開始を示すプロトコルメッセージを含む。第２通信データは、ＩＫＥフェーズ１のネゴシエーション通信の終了を示すプロトコルメッセージを含む。そして、ログ解析装置２０１によれば、検索した第２通信データに該当顧客のＶＬＡＮ＿ＩＤ（例えば、該当顧客のＶＬＡＮ＿ＩＤを含むホスト名）が含まれる場合、検索した候補通信データのうち、第１通信データから第２通信データまでの第１時間範囲に含まれる候補通信データを、抽出対象の通信データに決定することができる。

【0306】

これにより、ログ解析装置２０１は、該当顧客によるＩＫＥフェーズ１のネゴシエーション通信が行われた範囲を利用して、候補通信データから、該当顧客の通信データを精度よく抽出することができる。

【0307】

また、ログ解析装置２０１によれば、ネットワークログＬから、第３通信データと第４通信データと第５通信データとを検索することができる。第３通信データは、ＩＫＥフェーズ２のネゴシエーション通信の開始を示すプロトコルメッセージを含む。第４通信データは、ＩＫＥフェーズ２の受信方向のネゴシエーション通信の終了を示すプロトコルメッセージを含む。第５通信データは、ＩＫＥフェーズ２の送信方向のネゴシエーション通信の終了を示すプロトコルメッセージを含む。そして、ログ解析装置２０１によれば、第４通信データおよび第５通信データに該当顧客のＶＬＡＮ＿ＩＤ（例えば、該当顧客のＶＬＡＮ＿ＩＤを含むプロトコルメッセージ）が含まれる場合、検索した候補通信データのうち、第３通信データから、第４通信データおよび第５通信データのうち記録時刻が遅い通信データまでの第２時間範囲に含まれる候補通信データを、抽出対象の通信データに決定することができる。

【0308】

これにより、ログ解析装置２０１は、該当顧客によるＩＫＥフェーズ２のネゴシエーション通信が行われた範囲を利用して、候補通信データから、該当顧客の通信データを精度よく抽出することができる。

【0309】

また、ログ解析装置２０１によれば、ネットワークログＬから、同一のクッキー値を含む通信データ群を検索し、検索した通信データ群の中に該当顧客のＶＬＡＮ＿ＩＤ（例えば、該当顧客のＶＬＡＮ＿ＩＤを含むホスト名）を含む通信データが含まれる場合、検索した候補通信データのうち、通信データ群の先頭の通信データから最終の通信データまでの第３時間範囲に含まれる候補通信データを、抽出対象の通信データに決定することができる。

【0310】

これにより、ログ解析装置２０１は、該当顧客を識別するクッキー値により管理されたセッションの範囲を利用して、候補通信データから、該当顧客の通信データを精度よく抽出することができる。

【0311】

また、ログ解析装置２０１によれば、取得した該当顧客のＶＬＡＮ＿ＩＤを含む通信データを、抽出対象の通信データに決定することができる。

【0312】

これにより、ログ解析装置２０１は、該当顧客のＶＬＡＮ＿ＩＤを手がかりにして、該当顧客の通信データを精度よく抽出することができる。

【0313】

また、ログ解析装置２０１によれば、ネットワークログＬから、該当顧客のＶＬＡＮ＿ＩＤを含むホスト名が含まれた通信データを検索し、検索した通信データに含まれるクライアントＩＰアドレスを特定することができる。

【0314】

これにより、ログ解析装置２０１は、ホスト名を手がかりにして、該当顧客のクライアントＩＰアドレスを特定することができる。

【0315】

また、ログ解析装置２０１によれば、ネットワークログＬから、ネットワークログＬから、該当顧客のＶＬＡＮ＿ＩＤを含むプロトコルメッセージが含まれた通信データを検索し、検索した通信データに含まれるクライアントＩＰアドレスを特定することができる。

【0316】

これにより、ログ解析装置２０１は、プロトコルメッセージ（例えば、暗号化通信のプロトコルを判別するメッセージ）を手がかりにして、該当顧客のクライアントＩＰアドレスを特定することができる。

【0317】

これらのことから、実施の形態にかかるログ解析装置２０１によれば、複数のユーザの通信データを含むネットワークログＬから特定のユーザ（例えば、該当顧客）の通信データを抽出する際の抽出漏れを防ぐことができる。例えば、オペレータが該当顧客の情報（例えば、顧客ＩＤ、顧客名など）を抽出条件として指定するだけで、複数の条件・レイヤによる抽出、およびプロトコルを考慮した有効な範囲抽出が行われて、漏れなく必要な情報を抽出可能となる。

【0318】

なお、本実施の形態で説明したデータ抽出方法は、予め用意されたプログラムをパーソナル・コンピュータやワークステーション等のコンピュータで実行することにより実現することができる。本データ抽出プログラムは、ハードディスク、フレキシブルディスク、ＣＤ－ＲＯＭ、ＤＶＤ、ＵＳＢメモリ等のコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行される。また、本データ抽出プログラムは、インターネット等のネットワークを介して配布してもよい。

【0319】

また、本実施の形態で説明したログ解析装置２０１（情報処理装置１０１）は、スタンダードセルやストラクチャードＡＳＩＣ（ＡｐｐｌｉｃａｔｉｏｎＳｐｅｃｉｆｉｃＩｎｔｅｇｒａｔｅｄＣｉｒｃｕｉｔ）などの特定用途向けＩＣやＦＰＧＡなどのＰＬＤ（ＰｒｏｇｒａｍｍａｂｌｅＬｏｇｉｃＤｅｖｉｃｅ）によっても実現することができる。

【0320】

上述した実施の形態に関し、さらに以下の付記を開示する。

【0321】

（付記１）特定のユーザに対応するネットワーク網を識別する識別子を取得し、
複数の通信データを含むネットワークログのうち、取得した前記識別子を含む通信データに含まれる、前記特定のユーザに対応するＩＰアドレスを特定し、
前記ネットワークログから、特定した前記ＩＰアドレスを含む通信データを検索し、
前記ネットワークログから、暗号化通信確立情報およびクッキー関連情報の少なくともいずれかの情報を検索し、
検索した前記情報が前記識別子に関係する場合、前記情報に基づいて、検索した前記通信データから抽出対象の通信データを決定する、
処理をコンピュータに実行させることを特徴とするデータ抽出プログラム。

【0322】

（付記２）前記暗号化通信確立情報は、ＩＫＥフェーズ１のネゴシエーション通信の開始を示すプロトコルメッセージと、前記ＩＫＥフェーズ１のネゴシエーション通信の終了を示すプロトコルメッセージとを含み、
前記検索する処理は、
前記ネットワークログから、前記ＩＫＥフェーズ１のネゴシエーション通信の開始を示すプロトコルメッセージを含む第１通信データと、前記ＩＫＥフェーズ１のネゴシエーション通信の終了を示すプロトコルメッセージを含む第２通信データとを検索し、
前記決定する処理は、
検索した前記第２通信データに前記識別子が含まれる場合、検索した前記通信データのうち、前記第１通信データから前記第２通信データまでの第１時間範囲に含まれる通信データを、前記抽出対象の通信データに決定する、
処理を前記コンピュータに実行させることを特徴とする付記１に記載のデータ抽出プログラム。

【0323】

（付記３）前記暗号化通信確立情報は、ＩＫＥフェーズ２のネゴシエーション通信の開始を示すプロトコルメッセージと、前記ＩＫＥフェーズ２の受信方向のネゴシエーション通信の終了を示すプロトコルメッセージと、前記ＩＫＥフェーズ２の送信方向のネゴシエーション通信の終了を示すプロトコルメッセージとを含み、
前記検索する処理は、
前記ネットワークログから、前記ＩＫＥフェーズ２のネゴシエーション通信の開始を示すプロトコルメッセージを含む第３通信データと、前記ＩＫＥフェーズ２の受信方向のネゴシエーション通信の終了を示すプロトコルメッセージを含む第４通信データと、前記ＩＫＥフェーズ２の送信方向のネゴシエーション通信の終了を示すプロトコルメッセージを含む第５通信データとを検索し、
前記決定する処理は、
検索した前記第４通信データおよび前記第５通信データに前記識別子が含まれる場合、検索した前記通信データのうち、前記第３通信データから、前記第４通信データおよび前記第５通信データのうち記録時刻が遅い通信データまでの第２時間範囲に含まれる通信データを、前記抽出対象の通信データに決定する、
処理を前記コンピュータに実行させることを特徴とする付記１または２に記載のデータ抽出プログラム。

【0324】

（付記４）前記クッキー関連情報を検索し、クッキー値を含み、
前記検索する処理は、
前記ネットワークログから、同一のクッキー値を含む通信データ群を検索し、
前記決定する処理は、
検索した前記通信データ群の中に前記識別子を含む通信データが含まれる場合、検索した前記通信データのうち、前記通信データ群の先頭の通信データから最終の通信データまでの第３時間範囲に含まれる通信データを、前記抽出対象の通信データに決定する、
処理を前記コンピュータに実行させることを特徴とする付記１～３のいずれか一つに記載のデータ抽出プログラム。

【0325】

（付記５）取得した前記識別子を含む通信データを、前記抽出対象の通信データに決定する、
処理を前記コンピュータに実行させることを特徴とする付記１～４のいずれか一つに記載のデータ抽出プログラム。

【0326】

（付記６）決定した前記抽出対象の通信データを前記ネットワークログから抽出し、
抽出した前記通信データを出力する、
処理を前記コンピュータに実行させることを特徴とする付記１～５のいずれか一つに記載のデータ抽出プログラム。

【0327】

（付記７）前記ネットワーク網は、ＶＬＡＮである、ことを特徴とする付記１～６のいずれか一つに記載のデータ抽出プログラム。

【0328】

（付記８）前記識別子を含む通信データは、前記識別子を含むホスト名が含まれた通信データである、ことを特徴とする付記１～７のいずれか一つに記載のデータ抽出プログラム。

【0329】

（付記９）前記識別子を含む通信データは、前記識別子を含むプロトコルメッセージが含まれた通信データである、ことを特徴とする付記１～８のいずれか一つに記載のデータ抽出プログラム。

【0330】

（付記１０）前記決定する処理は、
前記第２通信データに前記識別子を含むホスト名が含まれる場合、検索した前記通信データのうち、前記第１時間範囲に含まれる通信データを、前記抽出対象の通信データに決定する、ことを特徴とする付記２に記載のデータ抽出プログラム。

【0331】

（付記１１）前記決定する処理は、
前記第４通信データおよび前記第５通信データに前記識別子を含むプロトコルメッセージが含まれる場合、検索した前記通信データのうち、前記第２時間範囲に含まれる通信データを、前記抽出対象の通信データに決定する、ことを特徴とする付記３に記載のデータ抽出プログラム。

【0332】

（付記１２）前記決定する処理は、
前記通信データ群の中に前記識別子を含むホスト名が含まれた通信データが含まれる場合、検索した前記通信データのうち、前記第３時間範囲に含まれる通信データを、前記抽出対象の通信データに決定する、ことを特徴とする付記４に記載のデータ抽出プログラム。

【0333】

（付記１３）特定のユーザに対応するネットワーク網を識別する識別子を取得し、
複数の通信データを含むネットワークログのうち、取得した前記識別子を含む通信データに含まれる、前記特定のユーザに対応するＩＰアドレスを特定し、
前記ネットワークログから、特定した前記ＩＰアドレスを含む通信データを検索し、
前記ネットワークログから、暗号化通信確立情報およびクッキー関連情報の少なくともいずれかの情報を検索し、
検索した前記情報が前記識別子に関係する場合、前記情報に基づいて、検索した前記通信データから抽出対象の通信データを決定する、
処理をコンピュータが実行することを特徴とするデータ抽出方法。

【0334】

（付記１４）特定のユーザに対応するネットワーク網を識別する識別子を取得し、
複数の通信データを含むネットワークログのうち、取得した前記識別子を含む通信データに含まれる、前記特定のユーザに対応するＩＰアドレスを特定し、
前記ネットワークログから、特定した前記ＩＰアドレスを含む通信データを検索し、
前記ネットワークログから、暗号化通信確立情報およびクッキー関連情報の少なくともいずれかの情報を検索し、
検索した前記情報が前記識別子に関係する場合、前記情報に基づいて、検索した前記通信データから抽出対象の通信データを決定する、
処理を実行する制御部を有することを特徴とする情報処理装置。

【符号の説明】

【0335】

１０１情報処理装置
１１０，Ｌ，Ｌ１，Ｌ２，Ｌ３，Ｌ４ネットワークログ
１１１，１１２，１１３，１１４通信データ
１１５第１通信データ
１１６第２通信データ
２００情報処理システム
２０１ログ解析装置
２０２ネットワーク装置
２０３顧客サーバ
２０４クライアント端末
２１０ネットワーク
２２０顧客情報ＤＢ
３００バス
３０１ＣＰＵ
３０２メモリ
３０３ディスクドライブ
３０４ディスク
３０５通信Ｉ／Ｆ
３０６可搬型記録媒体Ｉ／Ｆ
３０７可搬型記録媒体
６０１受付部
６０２取得部
６０３収集部
６０４解析部
６０５出力部
６１１特定部
６１２第１の検索部
６１３第２の検索部
６１４第３の検索部
６１５抽出部
７００ログ解析結果
８００抽出管理テーブル

【図1】