JP5024394B2

JP5024394B2 - システム可視化プログラム、方法及び装置

Info

Publication number: JP5024394B2
Application number: JP2010014826A
Authority: JP
Inventors: 乾横山
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2010-01-26
Filing date: 2010-01-26
Publication date: 2012-09-12
Anticipated expiration: 2030-01-26
Also published as: US8965968B2; US20110185022A1; JP2011154489A

Description

本技術は、解析対象システムにおけるトランザクションの可視化技術に関する。

例えば図１に示すように、ファイアウォール１０００を介してクライアント端末（図示せず）と接続する解析対象システムが、１又は複数のスイッチ（図１ではスイッチＡ及びＢ）に接続されているウェブ（Ｗｅｂ）サーバ１００２とアプリケーションサーバ１００４とＤＢサーバ１００６とを含む場合を考える。このような解析対象システムでは、スイッチＡ及びＢのポートモニタリング機能によって当該スイッチを介して送受信されるメッセージ（例えばＨＴＴＰ（Hyper Text Transfer Protocol）メッセージ、ＩＩＯＰ（Internet Inter-ORB Protocol）メッセージ、ＳＱＬ（Structured Query Language）メッセージ）をコピーし、スイッチ１及び２に接続されているシステム可視化装置１１００に送信する。システム可視化装置１１００は、受信したメッセージを解析することによって、解析対象システムにおけるトランザクションを可視化する。

そうすると、解析対象システムにおいて、例えば図２に示すようなトランザクションが実施されていることが分かる。すなわち、クライアント端末からＨＴＴＰリスクエストがＷｅｂサーバ１００２に出力され、これに対してＷｅｂサーバ１００２からアプリケーションサーバ１００４に対してＩＩＯＰリクエストが出力される。アプリケーションサーバ１００４は、ＩＩＯＰリクエストを受信すると、３回に分けてＳＱＬリクエストをＤＢサーバ１００６に出力する。ＤＢサーバ１００６は、ＳＱＬリクエストを受け取る毎に処理を実施し、ＳＱＬレスポンスをアプリケーションサーバ１００４に返信する。３度目のレスポンスをＤＢサーバ１００６から受信すると、アプリケーションサーバ１００４は、ＩＩＯＰレスポンスをＷｅｂサーバ１００２に返信する。Ｗｅｂサーバ１００２は、ＩＩＯＰレスポンスを受信すると、ＨＴＴＰレスポンスをクライアント端末に返信する。

このようにファイアウォール１０００の内側のネットワークを、セキュリティレベルなどで複数のセグメントに分けていない場合には特に問題は生じない。しかしながら、図３に示すように、ＤＭＺ（DeMilitarized Zone）を導入して複数のセグメントに分割する場合には問題が生ずる。すなわち、図１と同様に、システム可視化装置１１００をスイッチＢに１台接続する場合には、セグメントをまたいだ形でスイッチＡをシステム可視化装置１１００に接続して、スイッチＡでコピーしたＨＴＴＰメッセージをシステム可視化装置１１００に送信しなければならなくなる。しかしながら、セキュリティレベルの異なるセグメント間をファイアウォールＢを介さずに接続するというのは、禁止される場合がある。そうすると、システム可視化装置１１００でキャプチャできるのは、ＩＩＯＰメッセージ及びＳＱＬメッセージだけになってしまい、正しくトランザクションを可視化できなくなる。

なお、スイッチＡでコピーしたＨＴＴＰメッセージをファイアウォールＢ越しにシステム可視化装置１１００に送信するような方法は、ファイアウォールＢの処理負荷を非常に増大させるため、システム全体のスループットが落ちるなどの影響が大きく好ましくない。また、システム可視化装置１１００では、メッセージの受信時刻を記録して、当該受信時刻を用いてメッセージをソートするといった処理を実施する。従って、Ｗｅｂサーバ１００２がＨＴＴＰメッセージを受信した時刻と大きなずれを生ずるような時刻を受信時刻として記録することは、システム可視化装置１１００における分析精度に大きな影響を及ぼすことになる。

特開２００６−１１６８３号公報

従って、本技術の目的は、解析対象システムが複数のセグメントに分離されており且つ一部のメッセージが１つのセグメント内でのみ送信される場合においても解析対象システムにおけるトランザクションを可視化できるようにするための技術を提供することである。

第１の態様に係るシステム可視化処理方法は、（Ａ）サーバにより送受信されるメッセージを、サーバに接続されている通信装置から受信する受信処理を実施し、受信処理を実施した時刻である受信時刻に対応付けてメッセージ格納部に格納するステップと、（Ｂ）メッセージ格納部から同期用メッセージを抽出し、当該同期用メッセージを個別に識別するための識別情報と当該同期用メッセージの受信時刻とを含むログデータを生成し、同期用メッセージ以外のメッセージについて当該メッセージの受信時刻を含むログデータを生成し、ログデータ格納部に格納するステップと、（Ｃ）ログデータ格納部に格納されているログデータを、通信装置に接続されているファイアウォールの反対側のネットワークに接続されているログデータ処理装置に対して送信するステップとを含む。

第２の態様に係るシステム可視化処理方法は、（Ａ）サーバにより送受信されるメッセージを、サーバに接続されている通信装置から受信する受信処理を実施し、受信処理を実施した時刻である受信時刻に対応付けてメッセージ格納部に格納するステップと、（Ｂ）メッセージ格納部から第１の同期用メッセージを抽出し、当該第１の同期用メッセージを個別に識別するための識別情報と当該同期用メッセージの受信時刻とを含む第１ログデータを生成し、第１の同期用メッセージ以外のメッセージについて当該メッセージの受信時刻を含む第１ログデータを生成し、第１ログデータ格納部に格納するステップと、（Ｃ）通信装置に接続されているファイアウォールの反対側のネットワークに接続されているログデータ処理装置から、第１の同期用メッセージと同一プロトコルのメッセージである第２の同期用メッセージについては上記識別情報と当該第２の同期用メッセージの受信時刻とを含み、第２の同期用メッセージ以外のメッセージについて当該メッセージの受信時刻を含む第２ログデータを受信し、第２ログデータ格納部に格納するステップと、（Ｄ）第１及び第２ログデータ格納部から同一の識別情報を含む第１及び第２ログデータを抽出し、抽出された第１及び第２ログデータに含まれる受信時刻の差から時刻補正値を算出する時刻補正値算出ステップと、（Ｅ）第１ログデータ格納部に格納されており且つ識別情報を含まない第１ログデータ又は第２ログデータ格納部に格納されており且つ識別情報を含まない第２ログデータの受信時刻を時刻補正値により補正する補正ステップと、（Ｆ）第１ログデータ格納部に格納されており且つ識別情報を含む第１ログデータ又は第２ログデータ格納部に格納されており且つ識別情報を含む第２ログデータを破棄する破棄ステップと、（Ｇ）補正ステップ及び破棄ステップの後に、第１ログデータ及び第２ログデータを、受信時刻でソートするステップとを含む。

解析対象システムが複数のセグメントに分離されており且つ一部のメッセージが１つのセグメント内でのみ送信される場合においても解析対象システムにおけるトランザクションを可視化できるようになる。

図１は、従来のシステムの一例を示す図である。図２は、トランザクションの例を示す図である。図３は、問題点を説明するための図である。図４は、本実施の形態のシステム概要図である。図５は、第２システム可視化装置の機能ブロック図である。図６は、第１システム可視化装置の機能ブロック図である。図７は、本実施の形態のメインの処理フローを示す図である。図８は、パケットのフォーマットの一例を示す図である。図９は、ＩＰヘッダのフォーマットを表す図である。図１０は、プロトコルログのフォーマットを説明するための図である。図１１は、第１システム可視化装置の第２プロトコルログ格納部及び第２システム可視化装置のプロトコルログ格納部に格納されるデータの一例を示す図である。図１２は、第１システム可視化装置の第１プロトコルログ格納部に格納されるデータの一例を示す図である。図１３は、第１及び第２プロトコルログによって把握されるメッセージのシーケンスの一例を表す図である。図１４は、第１プロトコルログを基準とした場合における時刻ずれと時刻補正を説明するための模式図である。図１５は、第２プロトコルログを基準とした場合における時刻ずれと時刻補正を説明するための模式図である。図１６は、本実施の形態のメインの処理フローを示す図である。図１７は、第１プロトコルログを基準とした場合において第２プロトコルログ格納部に格納される補正後のプロトコルログの一例を示す図である。図１８は、第２プロトコルログを基準とした場合において第１プロトコルログ格納部に格納される補正後のプロトコルログの一例を示す図である。図１９は、第１プロトコルログを基準とした場合の補正後プロトコルログ格納部に格納されるデータの一例を示す図である。図２０は、第２プロトコルログを基準とした場合の補正後プロトコルログ格納部に格納されるデータの一例を示す図である。図２１は、第１システム可視化装置と第２システム可視化装置の配置を入れ替えた例を示す図である。図２２は、コンピュータの機能ブロック図である。図２３は、１のセグメントの配置されるシステム可視化処理装置の機能ブロック図である。図２４は、他のセグメントに配置されるシステム可視化処理装置の機能ブロック図である。

本技術の実施の形態に係るシステム概要を図４を用いて説明する。図４に示すように、インターネットなどの外部ネットワークを介してクライアント端末と接続されるファイアウォールＡの内側のネットワークは、ＤＭＺと内部ネットワークとにファイアウォールＢによって分割されている。ＤＭＺ内において、ポートモニタリング機能を有するスイッチＡは、ファイアウォールＡ及びＢとＷｅｂサーバ１００２とに接続されている。さらにスイッチＡは、第２システム可視化装置２００にも接続されており、スイッチＡが送受信するメッセージ（例えばＨＴＴＰメッセージ及びＩＩＯＰメッセージ）についてはコピーして、第２システム可視化装置２００にも出力するようになっている。第２システム可視化装置２００の処理内容については後に詳細に述べる。

また、内部ネットワークにおいては、ポートモニタリング機能を有するスイッチＢは、ファイアウォールＢと、アプリケーションサーバ１００４及びＤＢサーバ１００６とに接続されている。さらに、スイッチＢは、第１システム可視化装置１００にも接続されており、スイッチＢが送受信するメッセージ（例えばＩＩＯＰメッセージ及びＳＱＬメッセージ）をコピーして、第１システム可視化装置１００に出力するようになっている。第１システム可視化装置１００の処理内容については後に詳細に述べる。

本実施の形態では、図４に示すように、ＤＭＺ内に第２システム可視化装置２００を設け、当該第２システム可視化装置２００においてプロトコルログを生成する。そして、第２システム可視化装置２００は、ＨＴＴＰ及びＩＩＯＰメッセージのプロトコルログをファイアウォールＢ越しに第１システム可視化装置１００に送信する。このように、第２システム可視化装置２００と第１システム可視化装置１００を直接結ぶわけではなく、さらにメッセージそれ自身をファイアウォールＢ越しに送信するわけではないので、セキュリティ上の問題はなくファイアウォールＢの処理負荷や通信負荷をあまり上げることなく必要なデータを第１システム可視化装置１００に集めることができるようになる。

さらに、ＩＩＯＰメッセージは、第２システム可視化装置２００でも第１システム可視化装置１００でもキャプチャされるので、ＩＩＯＰメッセージを同期用メッセージとして利用する。具体的には、第２システム可視化装置２００では、ＩＩＯＰメッセージをキャプチャすると、対応するプロトコルログに識別情報を付加した上で、当該プロトコルログを第１システム可視化装置１００に送信する。第１システム可視化装置１００も、ＩＩＯＰメッセージをキャプチャすると、対応するプロトコルログに識別情報を付加する。そして、第１システム可視化装置１００は、第２システム可視化装置２００から受信し且つ識別情報を含むプロトコルログと、当該プロトコルログに含まれる識別情報と同一の識別情報を含む生成プロトコルログとを抽出して、タイムスタンプ（すなわち受信時刻）の差を算出する。このようにして算出されたタイムスタンプの差で他のプロトコルログのタイムスタンプを補正することによって、第２システム可視化装置２００と第１システム可視化装置１００との時刻ずれを補正する。これによって、以後の処理において正確な解析処理を行うことができるので、実施されているトランザクションを正しく把握することができるようになる。

図５に、第２システム可視化装置２００の機能ブロック図を示す。第２システム可視化装置２００は、（Ａ）スイッチＡからパケットを受信するパケットキャプチャ部２０１と、（Ｂ）パケットキャプチャ部２０１により受信されたパケットのデータを格納するキャプチャデータ格納部２０２と、（Ｃ）キャプチャデータ格納部２０２に格納されているパケットから所定のデータを抽出するメッセージ解析部２０３と、（Ｄ）メッセージ解析部２０３の処理結果であるプロトコルログのデータを格納するプロトコルログ格納部２０４と、（Ｅ）プロトコルログ格納部２０４に格納されているプロトコルログを所定のタイミングでファイアウォールＢ及びスイッチＢを介して第１システム可視化装置１００に送信するプロトコルログ送信部２０５とを有する。なお、メッセージ解析部２０３は、識別情報付加部２０３１を含む。

また、図６に、第１システム可視化装置１００の機能ブロック図を示す。第１システム可視化装置１００は、（Ａ）スイッチＢからパケットを受信するパケットキャプチャ部１０１と、（Ｂ）パケットキャプチャ部１０１により受信されたパケットのデータを格納するキャプチャデータ格納部１０２と、（Ｃ）キャプチャデータ格納部１０２に格納されているパケットから所定のデータを抽出するメッセージ解析部１０３と、（Ｄ）メッセージ解析部１０３の処理結果であるプロトコルログのデータを格納する第１プロトコルログ格納部１０４とを有する。なお、メッセージ解析部１０３は、識別情報付加部１０３１を含む。ここまでは第２システム可視化装置２００と共通する。

また、第１システム可視化装置１００は、（Ｅ）第２システム可視化装置２００からプロトコルログのデータを受信するプロトコルログ受信部１０５と、（Ｆ）プロトコルログ受信部１０５により受信されたプロトコルログを格納する第２プロトコルログ格納部１０６と、（Ｇ）第１及び第２プロトコルログ格納部１０４及び１０６に格納されているプロトコルログから時刻補正値を算出する時刻補正値算出部１０７と、（Ｈ）時刻補正値算出部１０７の処理結果である時刻補正値を格納する時刻補正値格納部１０８と、（Ｉ）時刻補正値格納部１０８に格納されている時刻補正値に基づき第１及び第２プロトコルログ格納部１０４及び１０６に格納されているプロトコルログに対して時刻補正処理を実施し且つログマージ処理を実施するデータマージ部１０９と、（Ｊ）データマージ部１０９の処理結果を格納する補正後プロトコルログ格納部１１０と、（Ｋ）補正後プロトコルログ格納部１１０に格納されているデータを用いてログの分析処理を実施するログ分析部１１１と、（Ｌ）ログ分析部１１１の処理結果を格納するトランザクションデータ格納部１１２とをさらに有する。

なお、トランザクションデータ格納部１１２に格納されているデータは、管理者のユーザ端末からの要求に応じて出力される。

次に、図４に示したシステムの動作について図７乃至図２１を用いて説明する。第２システム可視化装置２００のパケットキャプチャ部２０１は、スイッチＡから当該スイッチＡを通過するパケットを受信し、受信時刻と共にキャプチャデータ格納部２０２に格納する（図７：ステップＳ１）。また、メッセージ解析部２０３は、キャプチャデータ格納部２０２に格納されているメッセージに対して、識別情報付加部２０３１による識別情報の付加を含むメッセージ解析処理を実施することにより、第２プロトコルログを生成し、プロトコルログ格納部２０４に格納する（ステップＳ３）。メッセージ解析処理の詳細は、特開２００６−１１６８３号公報に開示されているので、ここでは識別情報の付加に関連する部分を述べる。

メッセージ解析処理では、キャプチャデータ格納部２０２に格納されているパケットのデータから、当該パケットに係るメッセージについて、メッセージの識別番号、プロトコル名、メッセージ種別及びオブジェクトを抽出する。例えば、図８に示すように、パケットは、ＩＰヘッダと、ＴＣＰヘッダと、ＴＣＰペイロードとして上位階層プロトコル（例えばＨＴＴＰ、ＩＩＯＰ、ＳＱＬなど）のヘッダ及びペイロードとを含む。メッセージ解析処理では、上で述べたデータを、主にＩＰヘッダ、ＴＣＰヘッダ及び上位階層プロトコルのヘッダから抽出する。

さらに、識別情報付加部２０３１は、パケットから、例えば１分間など所定期間内において個別のメッセージを識別可能であることを保証できるような識別情報を抽出する。この識別情報を同期キーワードとも呼ぶ。例えばＩＰヘッダ（ＩＰｖ４の場合、図９に示すようなフォーマットを有する。）から送信元アドレスとＩＤとを抽出して、当該送信元アドレスとＩＤとの組み合わせで識別情報を生成する。この手法は、どのようなプロトコルのメッセージを同期用メッセージに採用しても問題ない。

例えば、識別情報であることを表す「ｓｙｎｃ＝」という文字列を送信元アドレスとＩＤとの組み合わせに連結したものを識別情報として採用した場合におけるプロトコルログの一例を図１０に示す。図１０の例では、受信時刻「００：００：００．１００」と、メッセージの識別番号「１−１」と、プロトコル名「ＩＩＯＰ」と、メッセージ種別「Ｒｅｑｕｅｓｔ」と、オブジェクト「Ｍｏｄｕｌｅ／Ｃｌａｓｓ／ＡＡＡＡ」と、識別情報「ｓｙｎｃ＝１９２．１６８．０．１＆１０００」とを含む。

但し、ＩＩＯＰメッセージが同期用メッセージであれば、メッセージの識別番号を識別情報に採用しても良い。この場合のメッセージの識別番号「１−１」は、セッションＩＤ（最初の「１」）とリクエストＩＤ（２番目の「１」）とを含み、識別情報として使用可能である。すなわち、ＩＩＯＰメッセージが同期用メッセージであることが事前に分かっていれば、識別情報付加部２０３１を動作させずに、従来からのメッセージ解析部２０３のメッセージ解析処理だけ実施する場合もある。

メッセージ解析部２０３によるメッセージ解析処理を行うと、例えば図１１に示すようなプロトコルログが、プロトコルログ格納部２０４に格納される。図１１は、ＨＴＴＰリクエスト、ＩＩＯＰリクエスト、ＩＩＯＰレスポンス、ＨＴＴＰレスポンスの順番でパケットがキャプチャされている例を示している。なお、オブジェクトについては所定のデータが含まれない場合にはプロトコルログにも含まれない。また、この例ではＩＩＯＰメッセージが同期用メッセージであるから、ＩＩＯＰメッセージ以外のプロトコルログには識別情報は含まれない。

図７の処理の説明に戻って、プロトコルログ送信部２０５は、プロトコルログ格納部２０４からプロトコルログを読み出し、第２プロトコルログとしてファイアウォールＢ及びスイッチＢを介して第１システム可視化装置１００に送信する（ステップＳ５）。

一方、第１システム可視化装置１００のパケットキャプチャ部１０１は、スイッチＢから当該スイッチＢを通過するパケットを受信し、受信時刻と共にキャプチャデータ格納部１０２に格納する（ステップＳ７）。キャプチャデータ格納部１０２に格納するパケットは、第１システム可視化装置１００宛のパケットを除くアプリケーションサーバ１００４及びＤＢサーバ１００６が送受信するパケットである。また、メッセージ解析部１０３は、キャプチャデータ格納部１０２に格納されているメッセージに対して、識別情報付加部１０３１による識別情報の付加を含むメッセージ解析処理を実施することにより、第１プロトコルログを生成し、第１プロトコルログ格納部１０４に格納する（ステップＳ９）。ステップＳ９は、ステップＳ３と同じ処理であるからここでは説明を省略する。

第１プロトコルログ格納部１０４には、例えば図１２に示すようなプロトロルログが格納されるものとする。図１２は、ＩＩＯＰリクエスト、ＳＱＬリクエスト、ＳＱＬレスポンス、ＩＩＯＰレスポンスの順番でパケットがキャプチャされている例を示している。

そして、第１システム可視化装置１００のプロトコルログ受信部１０５は、第２システム可視化装置２００から第２プロトコルログを受信し、第２プロトコルログ格納部１０６に格納する（ステップＳ１１）。第２プロトコルログ格納部１０６には、図１１に示したようなプロトコルログが格納される。

そうすると、時刻補正値算出部１０７は、第１プロトコルログ格納部１０４及び第２プロトコルログ格納部１０６から、受信時刻が所定時間（例えば現時刻から１分間前まで）内のプロトコルログのうち識別情報を含むプロトコルログを抽出する（ステップＳ１３）。図１１に示した第２プロトコルログの場合には、第２番目及び第３番目のログを読み出し、図１２に示した第１プロトコルログの場合には、第１番目及び第４番目のログを読み出す。

その後、時刻補正値算出部１０７は、識別情報が一致するプロトコルログの組み合わせを特定し、組み合わせ毎に時刻ずれを算出し、例えばメインメモリなどの記憶装置に格納する（ステップＳ１５）。第２プロトコルログの２番目のログと第１プロトコルログの１番目のログとは、識別情報「ｓｙｎｃ＝１９２．１６８．０．１＆１０００」で一致する。また、第２プロトコルログの３番目のログと第１プロトコルログの４番目のログとは、識別情報「ｓｙｎｃ＝１９２．１６８．０．２＆２０００」で一致する。

第２プロトコルログで特定されるメッセージのシーケンスは図１３左側のように表される。また、第１プロトコルログで特定されるメッセージのシーケンスは図１３右側のように表される。上で述べたように、同一識別情報のメッセージの組み合わせが特定され、図１３中央の点線で表される。図１３で示すように、第１プロトコルログの受信時刻の方が第２プロトコルログの受信時刻よりも遅くなっている。

よって、第１プロトコルログの方を基準に時刻差を算出すると、最初の組み合わせについては、受信時刻「００：００：００．０５０」と受信時刻「００：００：００．１００」とから、時刻差は「−５０」ｍｓｅｃであると算出される。また、２番目の組み合わせについては、受信時刻「００：００：００．１５０」と受信時刻「００：００：００．２００」とから、時刻差は「−５０」ｍｓｅｃであると算出される。

なお、第１プロトコルログを基準としている例を示しているが、第２プロトコルログを基準とするようにしても良い。第２プロトコルログを基準にする場合には、時刻差は「＋５０」ｍｓｅｃが２回算出される。

そして、時刻補正値算出部１０７は、ステップＳ１７で算出された時刻差から時刻補正値を算出し、時刻補正値格納部１０８に格納する（ステップＳ１７）。例えば、時刻差の平均値、最頻値、中央値などの統計量を時刻補正値に採用する。例えば平均値を採用し、第１プロトコルログを基準にする場合、上で述べた例では時刻補正値は「−５０」ｍｓｅｃとなる。なお、第２プロトコルログを基準にする場合、上で述べた例では時刻補正値は「＋５０」ｍｓｅｃとなる。

その後、データマージ部１０９は、所定期間内且つ基準以外のプロトコルログのうち識別情報を含まないログの受信時刻を、時刻補正値格納部１０８に格納されている時刻補正値で補正し、例えば格納元のログ格納部（第１プロトコルログ格納部１０４又は第２プロトコルログ格納部１０６）に格納する（ステップＳ１９）。第１プロトコルログを基準にする場合には、第２プロトコルログのうち、識別情報を含まない１番目及び４番目のログ（図１１）の受信時刻を補正する。具体的には、（ログの受信時刻−時刻補正値）を算出する。上で述べた例では、結果として受信時刻「００：００：００．０００」を「００：００：００．０５０」に補正し、さらに「００：００：００．２００」を「００：００：００．２５０」に補正する。

図１３の左右のシーケンス図を重ねると図１４に示すようなシーケンス図が得られる。ＩＩＯＰリクエスト（点線が第２プロトコルログを表し、実線が第１プロトコルログを表す。）についての時刻ずれｇ１及びＩＩＯＰレスポンス（点線が第２プロトコルログを表し、実線が第１プロトコルログを表す。）についての時刻ずれｇ２を算出し、時刻ずれｇ１及びｇ２から時刻補正値を算出する。第１プロトコルログが基準となる場合には、下方向矢印で示すように、第２プロトコルログに含まれる、点線矢印のＨＴＴＰメッセージの受信時刻を実線矢印のＨＴＴＰメッセージの受信時刻に、時刻補正値で補正する。

一方、第２プロトコルログを基準にする場合、第１プロトコルログのうち、識別情報を含まない２番目及び３番目のログ（図１２）の受信時刻を補正する。具体的には、ログの受信時刻−時刻補正値を算出する。上で述べた例では、結果として受信時刻「００：００：００．１２０」を「００：００：００．０７０」に補正し、さらに「００：００：００．１５０」を「００：００：００．１００」に補正する。

第２プロトコルログを基準にする場合、図１３の左右のシーケンス図を重ねると図１５に示すようなシーケンス図が得られる。時刻ずれｇ１及びｇ２から時刻補正値を算出するところは同じである。但し、基準が異なるので、時刻補正値の符号が異なる。そして、上方向矢印で示すように、第１プロトコルログに含まれる、点線矢印のＳＱＬメッセージの受信時刻を実線矢印のＳＱＬメッセージの受信時刻に、時刻補正値で補正する。

このように第１プロトコルログを基準にする場合と第２プロトコルログを基準とする場合では、受信時刻が異なってくるが、以下の処理では相対的な時刻差及び順番が重要であるから、特に問題ない。

処理は端子Ａを介して図１６の処理に移行する。データマージ部１０９は、さらに、所定期間且つ基準以外のプロトコルログのうち、同期用メッセージのログ（すなわち識別情報を含むログ）を破棄する（ステップＳ２１）。重複を排除するためである。第１プロトコルログが基準の場合には、第２プロトコルログのうち同期用メッセージのログであるＩＩＯＰメッセージのログを破棄する。図１４の例では、点線矢印で表されるＩＩＯＰメッセージのログが破棄される。一方、第２プロトコルログが基準の場合には、第１プロトコルログのうち同期用メッセージのログであるＩＩＯＰメッセージのログを破棄する。図１５の例でも同様に、点線矢印で表されるＩＩＯＰメッセージのログが破棄される。

第１プロトコルログが基準の場合には、第２プロトコルログ格納部１０６には図１７に示すようなデータが格納されている状態になる。ＨＴＴＰメッセージの受信時刻は補正後の値となっており、ＩＩＯＰメッセージのログは破棄されていてもはや含まれない。

第２プロトコルログが基準の場合には、第１プロトコルログ格納部１０６には図１８に示すようなデータが格納されている状態になる。ＳＱＬメッセージの受信時刻は補正後の値となっており、ＩＩＯＰメッセージのログは破棄されていてもはや含まれない。

なお、ステップＳ２１において、基準となるプロトコルログにおいて登録されている識別情報を削除する処理を行うようにしても良い。

そして、データマージ部１０９は、第１プロトコルログ格納部１０４に格納されている、所定期間内の第１プロトコルログと、第２プロトコルログ格納部１０６に格納されている、所定期間内の第２プロトコルログとを受信時刻でソートして、ソート結果を補正後プロトコルログ格納部１１０に格納する（ステップＳ２３）。第１プロトコルログを基準にする場合には、図１９に示すようなデータが補正後プロトコルログ格納部１１０に格納される。図２に示したようなメッセージの順番でメッセージが列挙されている。一方、第２プロトコルログを基準にする場合には、図２０に示すようなデータが補正後プロトコルログ格納部１１０に格納される。図１９と図２０とを比較すれば、受信時刻は異なっているが、メッセージの順番及びメッセージ間の時刻差は同じになっている。

その後、ログ分析部１１１は、補正後プロトコルログ格納部１１０に格納されているログデータを用いて、ログ分析処理を実施して、解析対象システムのトランザクションを特定し、当該トランザクションのデータをトランザクションデータ格納部１１２に格納する（ステップＳ２５）。ログ分析処理の具体的内容については、例えば特開２００６−１１６８３号公報に開示されているとおりであり、図２に示したようなデータを生成する処理については、ここでは詳しく述べない。

以上述べたような処理を実施することによって、解析対象システムが複数のセグメントに分割されているような場合において各セグメント内のメッセージを他のセグメントに直接送信できないような状況においても、解析対象システムにおけるトランザクションを正確に把握できるようになる。

なお、ステップＳ１３乃至Ｓ２３の処理については、所定期間毎（例えば１分毎）に繰り返し実施し、処理結果を補正後プロトコルログ格納部１１０に格納する。

また、上で述べた例では、ＤＭＺに第２システム可視化装置２００を設け、内部ネットワークに第１システム可視化装置１００を設ける例を示したが、図２１に示すように、ＤＭＺに第１システム可視化装置１００を設け、内部ネットワークに第２システム可視化装置２００を設けるようにしても良い。この場合、プロトコルログを内部ネットワークからＤＭＺ側に送信するようになるが、メッセージ自体を送信するのではなくプロトコルログを送信するのでセキュリティ上特に問題はない。

以上本技術の実施の形態を説明したが、本技術はこれに限定されるものではない。例えば、図５及び図６の機能ブロック図は一例であって、実際のプログラムモジュール構成と一致しない場合もある。また、処理フローについても例えばステップＳ２１とステップＳ１９は順番を入れ替えても処理結果は変わらないので、そのような場合には順番を入れ替えたり並列実施しても良い。

また、上で述べたシステム可視化装置１００及び２００は、コンピュータ装置であって、図２２に示すように、メモリ２５０１とＣＰＵ２５０３とハードディスク・ドライブ（ＨＤＤ）２５０５と表示装置２５０９に接続される表示制御部２５０７とリムーバブル・ディスク２５１１用のドライブ装置２５１３と入力装置２５１５とネットワークに接続するための通信制御部２５１７とがバス２５１９で接続されている。オペレーティング・システム（ＯＳ：Operating System）及び本実施例における処理を実施するためのアプリケーション・プログラムは、ＨＤＤ２５０５に格納されており、ＣＰＵ２５０３により実行される際にはＨＤＤ２５０５からメモリ２５０１に読み出される。必要に応じてＣＰＵ２５０３は、表示制御部２５０７、通信制御部２５１７、ドライブ装置２５１３を制御して、必要な動作を行わせる。また、処理途中のデータについては、メモリ２５０１に格納され、必要があればＨＤＤ２５０５に格納される。本技術の実施例では、上で述べた処理を実施するためのアプリケーション・プログラムはコンピュータ読み取り可能なリムーバブル・ディスク２５１１に格納されて頒布され、ドライブ装置２５１３からＨＤＤ２５０５にインストールされる。インターネットなどのネットワーク及び通信制御部２５１７を経由して、ＨＤＤ２５０５にインストールされる場合もある。このようなコンピュータ装置は、上で述べたＣＰＵ２５０３、メモリ２５０１などのハードウエアとＯＳ及び必要なアプリケーション・プログラムとが有機的に協働することにより、上で述べたような各種機能を実現する。

以上述べた本実施の形態をまとめると、以下のようになる。

第１の実施の形態に係るシステム可視化処理方法は、（Ａ）サーバにより送受信されるメッセージを、サーバに接続されている通信装置から受信する受信処理を実施し、受信処理を実施した時刻である受信時刻に対応付けてメッセージ格納部に格納するステップと、（Ｂ）メッセージ格納部から同期用メッセージを抽出し、当該同期用メッセージを個別に識別するための識別情報と当該同期用メッセージの受信時刻とを含むログデータを生成し、同期用メッセージ以外のメッセージについて当該メッセージの受信時刻を含むログデータを生成し、ログデータ格納部に格納するステップと、（Ｃ）ログデータ格納部に格納されているログデータを、通信装置に接続されているファイアウォールの反対側のネットワークに接続されているログデータ処理装置に対して送信するステップとを含む。

このようにすれば、ファイアウォールの反対側のネットワーク側に、メッセージそのものを送るのではないため、ファイアウォールの処理負荷を大きく増加させることはない。従って、解析対象システムに大きな負荷をかけずに、システム可視化を行うことができる。

複数の装置でログデータを生成する場合には、ログデータの受信時刻がずれて記録されてしまう。そのまま処理するとメッセージの順番が入れ替わった形で分析がなされる可能性もあるため、上で述べたような処理を実施することによって時刻ずれを補正して正確なトランザクションの分析を可能とする。

なお、上で述べた識別情報が、特定のプロトコルについてのメッセージ識別情報、又はメッセージの送信元アドレス及びパケット識別子である場合もある。このようにすれば、所定時間内において識別情報のユニーク性を担保することができる。

また、上で述べた時刻補正値算出ステップが、抽出された第１及び第２ログデータの複数のセットについて、抽出された第１及び第２ログデータに含まれる受信時刻の差を算出するステップと、受信時刻の差の統計量を時刻補正値として算出するステップとを含むようにしても良い。短い時間内でも時刻ずれは揺らぐ場合もあるので、例えば平均値、中央値、最頻値などの統計量を算出して補正を行う。

第３の態様に係るシステム可視化装置（図２３：３０００）は、（Ａ）サーバ（図２３：３００２）により送受信されるメッセージを、サーバに接続されている通信装置（図２３：３００１）から受信する受信処理を実施し、受信処理を実施した時刻である受信時刻に対応付けてメッセージ格納部（図２３：３３０２）に格納するキャプチャ部（図２３：３３０１）と、（Ｂ）メッセージ格納部から同期用メッセージを抽出し、当該同期用メッセージを個別に識別するための識別情報と当該同期用メッセージの受信時刻とを含むログデータを生成し、同期用メッセージ以外のメッセージについて当該メッセージの受信時刻を含むログデータを生成し、ログデータ格納部（図２３：３３０４）に格納する解析部（図２３：３３０３）と、（Ｃ）ログデータ格納部に格納されているログデータを、通信装置に接続されているファイアウォール（図２３：３００４）の反対側のネットワーク（図２３：３００５）に接続されているログデータ処理装置（図２３：３００３）に対して送信する送信部（図２３：３３０５）とを有する。

第４の態様に係るシステム可視化装置（図２４：４０００）は、（Ａ）サーバ（図２４：４００１）により送受信されるメッセージを、サーバに接続されている通信装置（図２４：４００２）から受信する受信処理を実施し、受信処理を実施した時刻である受信時刻に対応付けてメッセージ格納部（図２４：４４０２）に格納するキャプチャ部（図２４：４４０１）と、（Ｂ）メッセージ格納部から第１の同期用メッセージを抽出し、当該第１の同期用メッセージを個別に識別するための識別情報と当該同期用メッセージの受信時刻とを含む第１ログデータを生成し、第１の同期用メッセージ以外のメッセージについて当該メッセージの受信時刻を含む第１ログデータを生成し、第１ログデータ格納部（図２４：４４０４）に格納する解析部（図２４：４４０３）と、（Ｃ）通信装置に接続されているファイアウォール（図２４：４００３）の反対側のネットワーク（図２４：４００４）に接続されているログデータ処理装置（図２４：４００５）から、第１の同期用メッセージと同一プロトコルのメッセージである第２の同期用メッセージについては識別情報と当該第２の同期用メッセージの受信時刻とを含み、第２の同期用メッセージ以外のメッセージについて当該メッセージの受信時刻を含む第２ログデータを受信し、第２ログデータ格納部（図２４：４４０６）に格納するログデータ受信部（図２４：４４０５）と、（Ｄ）第１及び第２ログデータ格納部から同一の識別情報を含む第１及び第２ログデータを抽出し、抽出された第１及び第２ログデータに含まれる受信時刻の差から時刻補正値を算出する時刻補正値算出部（図２４：４４０７）と、（Ｅ）第１ログデータ格納部に格納されており且つ識別情報を含まない第１ログデータ又は第２ログデータ格納部に格納されており且つ識別情報を含まない第２ログデータの受信時刻を時刻補正値により補正し、第１ログデータ格納部に格納されており且つ識別情報を含む第１ログデータ又は第２ログデータ格納部に格納されており且つ識別情報を含む第２ログデータを破棄し、補正及び破棄の後の第１ログデータ及び第２ログデータを、受信時刻でソートするマージ部（図２４：４４０８）とを有する。

なお、上で述べたような処理をコンピュータに実施させるためのプログラムを作成することができ、当該プログラムは、例えばフレキシブル・ディスク、ＣＤ−ＲＯＭ、光磁気ディスク、半導体メモリ（例えばＲＯＭ）、ハードディスク等のコンピュータ読み取り可能な記憶媒体又は記憶装置に格納される。なお、処理途中のデータについては、ＲＡＭ等の記憶装置に一時保管される。

以上の実施例を含む実施形態に関し、さらに以下の付記を開示する。

（付記１）
サーバにより送受信されるメッセージを、前記サーバに接続されている通信装置から受信する受信処理を実施し、当該受信処理を実施した時刻である受信時刻に対応付けてメッセージ格納部に格納するステップと、
前記メッセージ格納部から同期用メッセージを抽出し、当該同期用メッセージを個別に識別するための識別情報と当該同期用メッセージの受信時刻とを含むログデータを生成し、前記同期用メッセージ以外のメッセージについて当該メッセージの受信時刻を含むログデータを生成し、ログデータ格納部に格納するステップと、
前記ログデータ格納部に格納されているログデータを、前記通信装置に接続されているファイアウォールの反対側のネットワークに接続されているログデータ処理装置に対して送信するステップと、
を、コンピュータに実行させるためのシステム可視化処理プログラム。

（付記２）
サーバにより送受信されるメッセージを、前記サーバに接続されている通信装置から受信する受信処理を実施し、当該受信処理を実施した時刻である受信時刻に対応付けてメッセージ格納部に格納するステップと、
前記メッセージ格納部から第１の同期用メッセージを抽出し、当該第１の同期用メッセージを個別に識別するための識別情報と当該同期用メッセージの受信時刻とを含む第１ログデータを生成し、前記第１の同期用メッセージ以外のメッセージについて当該メッセージの受信時刻を含む第１ログデータを生成し、第１ログデータ格納部に格納するステップと、
前記通信装置に接続されているファイアウォールの反対側のネットワークに接続されているログデータ処理装置から、前記第１の同期用メッセージと同一プロトコルのメッセージである第２の同期用メッセージについては前記識別情報と当該第２の同期用メッセージの受信時刻とを含み、前記第２の同期用メッセージ以外のメッセージについて当該メッセージの受信時刻を含む第２ログデータを受信し、第２ログデータ格納部に格納するステップと、
前記第１及び第２ログデータ格納部から同一の識別情報を含む第１及び第２ログデータを抽出し、抽出された前記第１及び第２ログデータに含まれる受信時刻の差から時刻補正値を算出する時刻補正値算出ステップと、
前記第１ログデータ格納部に格納されており且つ前記識別情報を含まない第１ログデータ又は前記第２ログデータ格納部に格納されており且つ前記識別情報を含まない第２ログデータの受信時刻を前記時刻補正値により補正する補正ステップと、
前記第１ログデータ格納部に格納されており且つ前記識別情報を含む第１ログデータ又は前記第２ログデータ格納部に格納されており且つ前記識別情報を含む第２ログデータを破棄する破棄ステップと、
前記補正ステップ及び破棄ステップの後に、前記第１ログデータ及び前記第２ログデータを、前記受信時刻でソートするステップと、
を、コンピュータに実行させるためのシステム可視化処理プログラム。

（付記３）
前記識別情報が、特定のプロトコルについてのメッセージ識別情報、又は前記メッセージの送信元アドレス及びパケット識別子である
付記１又は２記載のシステム可視化処理プログラム。

（付記４）
前記時刻補正値算出ステップが、
抽出された前記第１及び第２ログデータの複数のセットについて、抽出された前記第１及び第２ログデータに含まれる受信時刻の差を算出するステップと、
前記受信時刻の差の統計量を前記時刻補正値として算出するステップと、
を含む付記２記載のシステム可視化処理プログラム。

（付記５）
サーバにより送受信されるメッセージを、前記サーバに接続されている通信装置から受信する受信処理を実施し、当該受信処理を実施した時刻である受信時刻に対応付けてメッセージ格納部に格納するステップと、
前記メッセージ格納部から同期用メッセージを抽出し、当該同期用メッセージを個別に識別するための識別情報と当該同期用メッセージの受信時刻とを含むログデータを生成し、前記同期用メッセージ以外のメッセージについて当該メッセージの受信時刻を含むログデータを生成し、ログデータ格納部に格納するステップと、
前記ログデータ格納部に格納されているログデータを、前記通信装置に接続されているファイアウォールの反対側のネットワークに接続されているログデータ処理装置に対して送信するステップと、
を含み、コンピュータに実行されるシステム可視化処理方法。

（付記６）
サーバにより送受信されるメッセージを、前記サーバに接続されている通信装置から受信する受信処理を実施し、当該受信処理を実施した時刻である受信時刻に対応付けてメッセージ格納部に格納するステップと、
前記メッセージ格納部から第１の同期用メッセージを抽出し、当該第１の同期用メッセージを個別に識別するための識別情報と当該同期用メッセージの受信時刻とを含む第１ログデータを生成し、前記第１の同期用メッセージ以外のメッセージについて当該メッセージの受信時刻を含む第１ログデータを生成し、第１ログデータ格納部に格納するステップと、
前記通信装置に接続されているファイアウォールの反対側のネットワークに接続されているログデータ処理装置から、前記第１の同期用メッセージと同一プロトコルのメッセージである第２の同期用メッセージについては前記識別情報と当該第２の同期用メッセージの受信時刻とを含み、前記第２の同期用メッセージ以外のメッセージについて当該メッセージの受信時刻を含む第２ログデータを受信し、第２ログデータ格納部に格納するステップと、
前記第１及び第２ログデータ格納部から同一の識別情報を含む第１及び第２ログデータを抽出し、抽出された前記第１及び第２ログデータに含まれる受信時刻の差から時刻補正値を算出する時刻補正値算出ステップと、
前記第１ログデータ格納部に格納されており且つ前記識別情報を含まない第１ログデータ又は前記第２ログデータ格納部に格納されており且つ前記識別情報を含まない第２ログデータの受信時刻を前記時刻補正値により補正する補正ステップと、
前記第１ログデータ格納部に格納されており且つ前記識別情報を含む第１ログデータ又は前記第２ログデータ格納部に格納されており且つ前記識別情報を含む第２ログデータを破棄する破棄ステップと、
前記補正ステップ及び破棄ステップの後に、前記第１ログデータ及び前記第２ログデータを、前記受信時刻でソートするステップと、
を含み、コンピュータに実行されるシステム可視化処理方法。

（付記７）
サーバにより送受信されるメッセージを、前記サーバに接続されている通信装置から受信する受信処理を実施し、当該受信処理を実施した時刻である受信時刻に対応付けてメッセージ格納部に格納するキャプチャ部と、
前記メッセージ格納部から同期用メッセージを抽出し、当該同期用メッセージを個別に識別するための識別情報と当該同期用メッセージの受信時刻とを含むログデータを生成し、前記同期用メッセージ以外のメッセージについて当該メッセージの受信時刻を含むログデータを生成し、ログデータ格納部に格納する解析部と、
前記ログデータ格納部に格納されているログデータを、前記通信装置に接続されているファイアウォールの反対側のネットワークに接続されているログデータ処理装置に対して送信する送信部と、
を有するシステム可視化装置。

（付記８）
サーバにより送受信されるメッセージを、前記サーバに接続されている通信装置から受信する受信処理を実施し、当該受信処理を実施した時刻である受信時刻に対応付けてメッセージ格納部に格納するキャプチャ部と、
前記メッセージ格納部から第１の同期用メッセージを抽出し、当該第１の同期用メッセージを個別に識別するための識別情報と当該同期用メッセージの受信時刻とを含む第１ログデータを生成し、前記第１の同期用メッセージ以外のメッセージについて当該メッセージの受信時刻を含む第１ログデータを生成し、第１ログデータ格納部に格納する解析部と、
前記通信装置に接続されているファイアウォールの反対側のネットワークに接続されているログデータ処理装置から、前記第１の同期用メッセージと同一プロトコルのメッセージである第２の同期用メッセージについては前記識別情報と当該第２の同期用メッセージの受信時刻とを含み、前記第２の同期用メッセージ以外のメッセージについて当該メッセージの受信時刻を含む第２ログデータを受信し、第２ログデータ格納部に格納するログデータ受信部と、
前記第１及び第２ログデータ格納部から同一の識別情報を含む第１及び第２ログデータを抽出し、抽出された前記第１及び第２ログデータに含まれる受信時刻の差から時刻補正値を算出する時刻補正値算出部と、
前記第１ログデータ格納部に格納されており且つ前記識別情報を含まない第１ログデータ又は前記第２ログデータ格納部に格納されており且つ前記識別情報を含まない第２ログデータの受信時刻を前記時刻補正値により補正し、前記第１ログデータ格納部に格納されており且つ前記識別情報を含む第１ログデータ又は前記第２ログデータ格納部に格納されており且つ前記識別情報を含む第２ログデータを破棄し、前記補正及び破棄の後の前記第１ログデータ及び前記第２ログデータを、前記受信時刻でソートするマージ部と、
を有するシステム可視化装置。

１０１，２０１パケットキャプチャ部
１０２，２０２キャプチャデータ格納部
１０３，２０３メッセージ解析部
１０３１，２０３１識別情報付加部
１０４第１プロトコルログ格納部２０４プロトコルログ格納部
２０５プロトコルログ送信部１０５プロトコルログ受信部
１０６第２プロトコルログ格納部１０７時刻補正値算出部
１０８時刻補正値格納部１０９データマージ部
１１０補正後プロトコルログ格納部１１１ログ分析部
１１２トランザクションデータ格納部

Claims

サーバにより送受信されるメッセージを、前記サーバに接続されている通信装置から受信する受信処理を実施し、当該受信処理を実施した時刻である受信時刻に対応付けてメッセージ格納部に格納するステップと、
前記メッセージ格納部から第１の同期用メッセージを抽出し、当該第１の同期用メッセージを個別に識別するための識別情報と当該第１の同期用メッセージの受信時刻とを含む第１ログデータを生成し、前記第１の同期用メッセージ以外のメッセージについて当該メッセージの受信時刻を含む第１ログデータを生成し、第１ログデータ格納部に格納するステップと、
前記通信装置に接続されているファイアウォールの反対側のネットワークに接続されているログデータ処理装置から、前記第１の同期用メッセージと同一プロトコルのメッセージである第２の同期用メッセージについては前記識別情報と当該第２の同期用メッセージの受信時刻とを含み、前記第２の同期用メッセージ以外のメッセージについて当該メッセージの受信時刻を含む第２ログデータを受信し、第２ログデータ格納部に格納するステップと、
前記第１及び第２ログデータ格納部から同一の識別情報を含む第１及び第２ログデータを抽出し、抽出された前記第１及び第２ログデータに含まれる受信時刻の差から時刻補正値を算出する時刻補正値算出ステップと、
前記第１ログデータ格納部に格納されており且つ前記識別情報を含まない第１ログデータ又は前記第２ログデータ格納部に格納されており且つ前記識別情報を含まない第２ログデータの受信時刻を前記時刻補正値により補正する補正ステップと、
を、コンピュータに実行させるためのシステム可視化処理プログラム。
前記識別情報が、特定のプロトコルについてのメッセージ識別情報、又は前記メッセージの送信元アドレス及びパケット識別子である
請求項１記載のシステム可視化処理プログラム。
前記時刻補正値算出ステップが、
抽出された前記第１及び第２ログデータの複数のセットについて、抽出された前記第１及び第２ログデータに含まれる受信時刻の差を算出するステップと、
前記受信時刻の差の統計量を前記時刻補正値として算出するステップと、
を含む請求項１又は２記載のシステム可視化処理プログラム。
前記第１ログデータ格納部に格納されており且つ前記識別情報を含む第１ログデータ又は前記第２ログデータ格納部に格納されており且つ前記識別情報を含む第２ログデータを破棄する破棄ステップ
をさらに実行させる請求項１乃至３のいずれか１つ記載のシステム可視化処理プログラム。
前記補正ステップ及び破棄ステップの後に、前記第１ログデータ及び前記第２ログデータを、前記受信時刻でソートするステップ
をさらに実行させる請求項４記載のシステム可視化処理プログラム。
サーバにより送受信されるメッセージを、前記サーバに接続されている通信装置から受信する受信処理を実施し、当該受信処理を実施した時刻である受信時刻に対応付けてメッセージ格納部に格納するステップと、
前記メッセージ格納部から第１の同期用メッセージを抽出し、当該第１の同期用メッセージを個別に識別するための識別情報と当該第１の同期用メッセージの受信時刻とを含む第１ログデータを生成し、前記第１の同期用メッセージ以外のメッセージについて当該メッセージの受信時刻を含む第１ログデータを生成し、第１ログデータ格納部に格納するステップと、
前記通信装置に接続されているファイアウォールの反対側のネットワークに接続されているログデータ処理装置から、前記第１の同期用メッセージと同一プロトコルのメッセージである第２の同期用メッセージについては前記識別情報と当該第２の同期用メッセージの受信時刻とを含み、前記第２の同期用メッセージ以外のメッセージについて当該メッセージの受信時刻を含む第２ログデータを受信し、第２ログデータ格納部に格納するステップと、
前記第１及び第２ログデータ格納部から同一の識別情報を含む第１及び第２ログデータを抽出し、抽出された前記第１及び第２ログデータに含まれる受信時刻の差から時刻補正値を算出する時刻補正値算出ステップと、
前記第１ログデータ格納部に格納されており且つ前記識別情報を含まない第１ログデータ又は前記第２ログデータ格納部に格納されており且つ前記識別情報を含まない第２ログデータの受信時刻を前記時刻補正値により補正する補正ステップと、
を含み、コンピュータにより実行されるシステム可視化処理方法。
前記第１ログデータ格納部に格納されており且つ前記識別情報を含む第１ログデータ又は前記第２ログデータ格納部に格納されており且つ前記識別情報を含む第２ログデータを破棄する破棄ステップと、
前記補正ステップ及び破棄ステップの後に、前記第１ログデータ及び前記第２ログデータを、前記受信時刻でソートするステップと、
をさらに含む、請求項６記載のシステム可視化処理方法。
サーバにより送受信されるメッセージを、前記サーバに接続されている通信装置から受信する受信処理を実施し、当該受信処理を実施した時刻である受信時刻に対応付けてメッセージ格納部に格納するキャプチャ部と、
前記メッセージ格納部から第１の同期用メッセージを抽出し、当該第１の同期用メッセージを個別に識別するための識別情報と当該第１の同期用メッセージの受信時刻とを含む第１ログデータを生成し、前記第１の同期用メッセージ以外のメッセージについて当該メッセージの受信時刻を含む第１ログデータを生成し、第１ログデータ格納部に格納する解析部と、
前記通信装置に接続されているファイアウォールの反対側のネットワークに接続されているログデータ処理装置から、前記第１の同期用メッセージと同一プロトコルのメッセージである第２の同期用メッセージについては前記識別情報と当該第２の同期用メッセージの受信時刻とを含み、前記第２の同期用メッセージ以外のメッセージについて当該メッセージの受信時刻を含む第２ログデータを受信し、第２ログデータ格納部に格納するログデータ受信部と、
前記第１及び第２ログデータ格納部から同一の識別情報を含む第１及び第２ログデータを抽出し、抽出された前記第１及び第２ログデータに含まれる受信時刻の差から時刻補正値を算出する時刻補正値算出部と、
前記第１ログデータ格納部に格納されており且つ前記識別情報を含まない第１ログデータ又は前記第２ログデータ格納部に格納されており且つ前記識別情報を含まない第２ログデータの受信時刻を前記時刻補正値により補正するマージ部と、
を有するシステム可視化装置。