サーバの操作情報取得装置、方法及びコンピュータプログラム
【課題】 サーバ及びクライアントに負荷を掛けずに、またサーバなどの機種やＯＳにかかわらずにクライアントからの操作ログを取得することができる仕組みを提供する。
【解決手段】 クライアント端末からサーバに対する操作を表すメソッドと、メソッドに対応したコマンドを記憶する定義記憶部と、サーバとクラインアント端末との間で送受信されるパケットを取得する取得処理部と、取得したパケットのデータからプロトコルを判別して、予め決められたプロトコルに該当するパケットを選択するフィルタリング処理部と、選択されたパケットの中から、クライアントを特定する情報、定義情報記憶部を参照して、取得したパケットのコマンドに対応するメソッドを特定する解析処理部と、メソッドが発生した日時、クライアントを特定する情報、解析されたメソッドを含むログデータを記憶する解析結果記憶部とを有することとした。
【解決手段】 クライアント端末からサーバに対する操作を表すメソッドと、メソッドに対応したコマンドを記憶する定義記憶部と、サーバとクラインアント端末との間で送受信されるパケットを取得する取得処理部と、取得したパケットのデータからプロトコルを判別して、予め決められたプロトコルに該当するパケットを選択するフィルタリング処理部と、選択されたパケットの中から、クライアントを特定する情報、定義情報記憶部を参照して、取得したパケットのコマンドに対応するメソッドを特定する解析処理部と、メソッドが発生した日時、クライアントを特定する情報、解析されたメソッドを含むログデータを記憶する解析結果記憶部とを有することとした。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、クライアントサーバシステムにおいて、クライアントからサーバに対しておこなわれた操作のログデータを取得する技術であって、特に、サーバ側に負荷を掛けずに、またサーバやクライアント側に特別なコンピュータプログラムを搭載しなくとも、ネットワークに接続するだけでサーバ側のＯＳ(Operating System)なども気にせずにログデータを取得するための仕組みとして好適なものである。
【背景技術】
【０００２】
最近、企業などの組織内で、コンピュータ内に記録されているデータを勝手に外部に持ち出したり、アクセス権限のない従業員などが不正にコンピュータにアクセスして、データを取得し、これを外部に不正に流出させるという社会的な問題が発生している。
このような事態を防止するため、組織内のファイルを記憶し管理しているファイル管理サーバに対して、どのクライアントがいつアクセスしたのか、またファイル管理サーバ上のどのファイルを作成、変更、削除したかなどの操作ログデータを取得する仕組みが提供されている。
【０００３】
このような仕組みとしては、一般に、サーバ上にアクセス監視用のコンピュータプログラムを実行させておき、どのクライントからアクセスがあったのか、またクライアントがどのファイルに対してどのような操作を行ったのかといったログデータを取得する仕組みが提案されている。
また、ログを取得する仕組みの一例として、例えば、Ｗｅｂサーバにおいてログファイルを有するアクセス回数統計処理部により、各ユーザからのアクセス状態を前記ログファイルにそれぞれ記録し、前記ログファイルの記録内容に基づき各ユーザ毎のアクセス回数についての統計処理を行う技術が提案されている（例えば、特許文献１参照）。
【０００４】
【特許文献１】特開２００２−２８８０６９
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、上述のような従来の仕組みでは、サーバ上にアクセス監視のためのプログラムを実行させておく必要があったため、サーバのトラフィックがアクセス管理処理に取られてしまい、サーバの処理速度が低下してしまうという問題があった。
また、サーバ上で監視を行う場合、監視を行うファイルやクライアントなどの情報をサーバ側で設定する必要があるし、またサーバの機種やＯＳによって使用する管理プログラムを替える必要があるため、各サーバに応じた監視プログラムを用意しなければならないとう問題があった。
また、サーバ上で監視を行う場合には、監視できるクライアント数についても制限があるなどの問題もあった。
また、サーバ側で監視する場合、その監視ログデータはサーバ上に記録されるため、このログデータに不正にアクセスされたり、また改ざんされたりする恐れがあり、せっかくログデータを取得してもその信頼性に問題があった。
【０００６】
本発明は、上述のような課題を解決するためになされたものであって、サーバ及びクライアントに負荷を掛けずに、またサーバなどの機種やＯＳにかかわらずにクライアントからの操作ログを取得することができる仕組みを提供することを目的とする。
【課題を解決するための手段】
【０００７】
上記目的を達成するため、本発明の一の観点に係る操作情報記憶装置は、複数のファイルを記憶するファイル管理サーバと、当該ファイル管理サーバとネットワークを介して接続された複数のクライアント端末からなるシステムにおいて、上記ネットワークに接続され、上記ファイル管理サーバに対するクライアント端末からの操作に関するログデータを取得するための装置であって、上記クライアント端末からファイル管理サーバに対する操作を表すメソッドと、各メソッドに対応した必要なコマンドを記憶するコマンド定義記憶手段と、上記ファイル管理サーバと上記クラインアント端末との間で送受信されるパケットを取得するパケット取得処理手段と、上記取得したパケットのデータから通信プロトコルを判別して、予め決められたプロトコルに該当するパケットを選択するフィルタリング処理手段と、上記選択されたパケットの中から、クライアントを特定する情報を特定すると共に、上記コマンド定義情報記憶手段を参照して、上記取得したパケットに含まれているコマンドに対応するメソッドを特定する解析処理手段と、少なくとも、上記メソッドが発生した日時、上記クライアントを特定する情報、上記解析されたメソッドを含む情報をログデータとして記憶する解析結果記憶手段とを有することを特徴とする。
【０００８】
上記コマンド定義記憶手段には、メソッドを実行するために必要なコマンドシーケンスが記憶されており、上記解析処理手段は、要求パケットに対する応答のパケットの結合処理、応答パケットに対する要求パケットの結合処理を行うことで応答要求の結合処理を行い、上記コマンド定義記憶手段を参照して、結合したパケットのコマンドシーケンスに基づいて、該当するメソッドを特定するようにしてもよい。
【０００９】
また、応答待ち又は要求待ちコマンドを一時的に記憶する一時記憶手段をさらに有し、上記解析処理手段は、要求コマンド又は応答コマンドを取得すると、上記一時記憶手段を参照して、上記応答待ち又は要求待ちコマンドに対応するコマンドがあるか否か判別し、対応するコマンドが存在するときに要求−応答の結合処理を行うようにしてもよい。
【００１０】
上記取得したパケットに含まれるＩＤの種類と、上記ファイル管理サーバ上での管理項目の対応を表すＩＤ対応情報記憶手段をさらに有し、上記解析処理手段は、上記ＩＤ対応情報記憶手段を参照して、取得したパケット内のＩＤの種類から、ファイル管理サーバ上での対応する管理項目を特定して、上記解析結果記憶手段に記憶するようにしてもよい。
【００１１】
上記解析処理手段は、ＩＤとファイル名の情報を含むパケットが到着するごとに、上記ファイル管理手段に記憶されている当該ＩＤ及びファイル名に対応したデータを更新するようにしてもよい。
【００１２】
本発明の一の観点にかかるサーバの操作情報記憶方法は、複数のファイルを記憶するファイル管理サーバと、当該ファイル管理サーバとネットワークを介して接続された複数のクライアント端末からなるシステムにおいて、上記ネットワークに接続され、上記クライアント端末からファイル管理サーバに対する操作を表すメソッドと各メソッドに対応した必要なコマンドを記憶するコマンド定義記憶手段と、ログデータを記憶する解析結果記憶手段とを有する装置により行われる方法であって、上記ファイル管理サーバと上記クラインアント端末との間で送受信されるパケットを取得する処理と、上記取得したパケットのデータから通信プロトコルを判別して、予め決められたプロトコルに該当するパケットを選択する処理と、上記選択されたパケットの中から、クライアントを特定する情報を特定すると共に、上記コマンド定義情報記憶手段を参照して、上記取得したパケットに含まれているコマンドに対応するメソッドを特定する処理と、少なくとも、上記メソッドが発生した日時、上記クライアントを特定する情報、上記解析されたメソッドを含む情報をログデータとして解析結果記憶手段に記憶する処理とを有することを特徴とする。
【００１３】
本発明の一の観点にかかるコンピュータプログラムは、複数のファイルを記憶するファイル管理サーバと、当該ファイル管理サーバとネットワークを介して接続された複数のクライアント端末からなるシステムにおいて、上記ネットワークに接続され、上記クライアント端末からファイル管理サーバに対する操作を表すメソッドと各メソッドに対応した必要なコマンドを記憶するコマンド定義記憶手段と、ログデータを記憶する解析結果記憶手段とを有するコンピュータを操作情報記憶装置として機能させるためのコンピュータプログラムであって、上記コンピュータに対して、上記ファイル管理サーバと上記クラインアント端末との間で送受信されるパケットを取得する処理と、上記取得したパケットのデータから通信プロトコルを判別して、予め決められたプロトコルに該当するパケットを選択する処理と、上記選択されたパケットの中から、クライアントを特定する情報を特定すると共に、上記コマンド定義情報記憶手段を参照して、上記取得したパケットに含まれているコマンドに対応するメソッドを特定する処理と、少なくとも、上記メソッドが発生した日時、上記クライアントを特定する情報、上記解析されたメソッドを含む情報をログデータとして解析結果記憶手段に記憶する処理とを実行させることを特徴とする。
【発明の効果】
【００１４】
本発明によれば、サーバに蓄積された操作記録を、サーバに負荷を掛けることなく記憶することができ、サーバ上のファイルが外部へ流出したり、不正に改ざん、削除されたりしたことを監視できる。
また、サーバの機種やＯＳに依存しなくとも、サーバ上の全てのファイルを監視することができる。
また、装置をクライアント−サーバのネットワークに接続するだけで、監視を行うことができるから、クライアント数の増加等によってもサーバの設定変更の必要がなく、設定変更の手間を省くことができる。
さらに、操作ログデータは、監視対象サーバには記録されずに、ログを記憶する装置側に記憶されることから、操作ログデータに不正にアクセスされたり、改ざんされたりすることを防止できる。
【発明を実施するための最良の形態】
【００１５】
以下、本発明に係る一実施形態について、図面を参照して説明する。
本実施例に係るシステムの全体構成を図１に示す。
図１は、本発明にかかるサーバ操作情報記憶装置を利用したシステムの全体構成を示したものであって、監視対象となるサーバ１と、このサーバ１にＬＡＮ(Local Area Network)やＷＡＮ(Wide Area Network)などの所定のネットワークを介して接続可能に構成された複数のクライアント端末３と、サーバ１とクライアント端末３との間で通信データのスイッチングを行うスイッチ２と、このスイッチ２を介してネットワークに接続可能に構成されたアクセスログ取得装置４から構成されている。
【００１６】
サーバ１は、複数のクライアント端末３により利用可能なファイルを記憶することができるコンピュータである。
サーバ１は、所定のＯＳや、必要に応じて搭載しているアプリケーションプログラムを実行することで、各クライアント端末３との間でファイルを送受信したり、またクライアント端末３からの操作に応じて、フォルダやファイルなどを作成、変更、削除したりする処理を行うことができる。
なお、サーバ１は、クライアントごとにアクセス権限を管理するようにしてもよい。この場合、サーバ１は、クライアントごとにサーバ１へのアクセス権限があるか否か、アクセス権限が設定されているフォルダやファイルごとに、クライアントが新規作成、変更、削除などの処理を行う権限を持っているか否かという権限を管理する。
【００１７】
クライアント端末３は、サーバ１にアクセスして、サーバ１上のフォルダやファイルを作成、変更、削除、データの取得といった操作を行うことができるコンピュータである。
このクライアント端末３は、いわゆるパソコンなどにより構成され、スイッチ２を介してサーバ１に接続可能であればよく、当該クライアント端末３が搭載しているＯＳやアプリケーションプログラムは特に限定されるものではない。
そして、これらサーバ１とクライアント端末３との間では、パケットによりデータの送受信が行われるようになっている。
【００１８】
スイッチ２は、いわゆる集線装置であって、サーバ１とクライアント端末３との間でのデータをスイッチングして相互にデータ通信するための処理を行う。
このスイッチ２としては、スイッチの通常のポートを通過する全てのデータを複製して通過させるミラーポート方式、タップ方式、ブリッジ結線されたブリッジ方式であってもよい。
そして、スイッチ２により、クライアント−サーバ間で送受信されているパケットデータを複製して、この複製されたパケットデータをアクセスログ取得装置４が取得するようになっている。
【００１９】
アクセスログ取得装置４は、クライアント端末３からサーバ１へのアクセスログを取得する装置である。
このアクセスログ取得装置４は、ＣＰＵ(Central Processing Unit)及び、ＣＰＵが実行するコンピュータプログラム、コンピュータプログラムやその他のデータを記憶するＲＡＭ(Random Access Memory)などの記憶手段により構成されており、これによって図２に示す機能ブロックを実現する。
図２に示した機能ブロックは、ＩＤ対応情報記憶部４１、シーケンス処理情報記憶部４２、アクセス記録データベース４３、ネットワークインタフェース（Ｉ／Ｆ）４４、１次フィルタ４５、プロトコル解析処理部４６、データベース登録処理部４７、管理画面表示処理部４８から構成されている。
【００２０】
ＩＤ対応情報記憶部４１は、プロトコルの種別に応じて、パケット内に含まれるＩＤの種類と、サーバ１内の実際のボリューム、フォルダ、ファイルの名前との対応付けを記憶しておくテーブルである。
これは、例えば、ＡＦＰ（AppleTalk Filing Protocol）では、ボリューム・フォルダ・ファイルの指定は、セッションごとに設定される数値にＩＤにより指定されるが、監視ログを記録する際、ＩＤをそのままで記録してしまうとサーバ１のファイルシステム内のボリューム、フォルダ、ファイルとの対応関係が分からなくなることから、このＩＤ対応情報記憶部４１に予めＩＤと実際のボリューム・フォルダ・ファイルとの対応付けを予め定義したものである。
このＩＤ対応情報記憶部４１に記憶されるデータとしては、例えば、図３に示すように、ＡＦＰの場合、ＩＤの種類、対象ＡＦＰコマンドパケット、管理項目を対応付けて記憶する。一例として、ボリュームＩＤの場合、対象ＡＦＰコマンドパケットとしては「FPGetVolParms」、「FPGetFileDirParms」、「FPEnumerate」となり、管理項目としては、ＩＤと名称となる。
なお、このＩＤ対応情報記憶部４１に記憶されているデータは、ＩＤと名前の情報を含むＡＦＰパケットが到着するごとにこの表が更新され、実際のサーバ１上のファイルシステムのデータに対応するようになっている。
【００２１】
シーケンス処理情報記憶部４２は、プロトコルの種別に応じて、記憶しておくメソッドと抽出すべきコマンドの対応付けを記憶する記憶部である。
これは、例えば、ＡＦＰでは、ファイルの読み書きはファイルの２つのフォーク、すなわちデータフォークとリソースフォークに対する参照番号（ＲｅｆＮｏ）を使用して行われるが、このＲｅｆＮｏは、ＡＦＰのコマンドパケットのＦＰＯｐｅｎＦｏｒｋで取得され、取得したＲｅｆＮｏでＦＰＲｅａｄあるいはＦＰＷｒｉｔｅを行うことでファイルのアクセスが行われ、ＦＰＣｌｏｓｅＦｏｒｋでそのＲｅｆＮｏを解放するようになっている。
したがって、ファイルのアクセスを監視するには、ＦＰＯｐｅｎＦｏｒｋ、ＦＰＲｅａｄあるいはＦＰＷｒｉｔｅ、ＦＰＣｌｏｓｅＦｏｒｋのＡＦＰコマンドパッケージシーケンスをトレースする必要があるため、そのシーケンス処理を行う対象となるコマンドが定義されている。
一例として、ＡＦＰの場合を図４に示し、ＳＭＢプロトコルの場合を図５に示す。
例えば、図４に示すようにファイルの読み込みの場合、ＡＦＰではＦＰＯｐｅｎＦｏｒｋ、ＦＰＲｅａｄ、ＦＰＣｌｏｓｅＦｏｒｋの順でトレースすることにより、あるファイルに対して読み込み処理が行われたログとして記録することができる。
【００２２】
アクセス記録データベース４３は、アクセスログデータをデータベース化したものである。このアクセス記録データベース４３には、図６に示すように、項目名とその説明が対応付けて記憶できるようになっている。
項目名としては、日時、セッション、ユーザ、メソッド(メソッドの種類及び、付属情報、状態コード)がそれぞれ記憶できるようになっている。
日時は、年月日、時分秒、マイクロ秒が記憶できるようになっている。
セッションにはＭＡＣアドレス、ＩＰアドレスが記憶できるようになっている。
メソッドとしては、メソッド名と、付属情報としてフルパス名、リネーム時のターゲット名など、状態として状態コード（０＝ＯＫ、０以外＝ＮＧ）が記憶できるようになっている。
また、メソッド名としては、メソッド一覧にあるように、ファイルの新規作成、読み込み、書き込み、リネーム、移動、削除、フォルダの新規作成、リネーム、移動、削除、ログイン、ログアウトである。
【００２３】
ネットワークインタフェース４４は、アクセスログ監視装置４がネットワークに接続するためのインタフェースである。
このネットワークインタフェース４４は、所定のポートを介してスイッチング装置３に接続するとともに、所定のデータフォーマットに基づいた論理的インタフェースにより、ネットワーク内を流れているパケットを取得する処理を行う。
【００２４】
１次フィルタ４５は、取得したパケットの中から不要なパケットを破棄するための処理を行う。
１次フィルタ４５は、セッション情報（ＭＡＣアドレス、ＩＰアドレス）、プロトコル(ポート)、パケットサイズを判別して廃棄すべきパケットを判別したり、その他不要なパケットを廃棄する処理を行う。
これにより、不要なパケットを予めフィルタリングできることから、処理を効率化することができる。
【００２５】
プロトコル解析処理部４６は、プロトコルに応じて、パケットを解析してログを取得する処理を行う。
プロトコル解析処理部４６は、クライアントのログインからアクセスのログを取得したり、各クライアントがファイルへのアクセスしたログを取得する。
また、ファイルへのアクセスログをより分かりやすくするため、パケット内のＩＤとサーバのファイルシステム内のボリューム、フォルダ、ファイルとの対応付けなどの処理を行う。
【００２６】
データベース登録処理部４７は、プロトコル解析処理部４６により解析されたログデータを、アクセス記録データベース４３に記憶する処理を行う。
【００２７】
管理画面表示処理部４８は、アクセス記録データベース４３に記憶されているアクセスログデータに基づいて、管理画面上に表示する出力画面のデータを生成し、これを図示しないディスプレイ上に表示させる処理を行う。
【００２８】
次に、図７を参照してシステム全体の処理の流れを説明する。
図７において、まずクライアント端末３からサーバ１に対してファイルの取得要求を行う（Ｓ１）と、この取得要求がスイッチ２を介してサーバ１に送信される（Ｓ２）。
また同時に、スイッチ２のミラーリング機能により、ファイル取得要求のデータがアクセスログ取得装置４にも送信される（Ｓ３）。
これにより、アクセスログ取得装置４は、ネットワークインタフェース４４を介してパケットを取得し、一次フィルタ４５が取得したパケットをフィルタリングして、不要なパケットを廃棄するとともに、プロトコル解析処理部４６が、どのクライアントがアクセスし、どのファイル等に操作を行ったのかのログの解析を行い、データベース登録処理部４７が解析されたログデータをアクセス記録データベース４３に記憶する処理を行う。
【００２９】
サーバ１は、クライアント端末３からの取得要求に応じて、ファイルの取得応答をスイッチ２に送信する（Ｓ４）。クライント端末２はスイッチ２を介してファイルの取得応答を受信して、所定の処理を行う（Ｓ５）。
同時に、スイッチ２は、ミラーリング機能により、サーバ１からのファイルの取得応答をアクセスログ取得装置４へ送信する（Ｓ６）。
これにより、アクセスログ取得装置４は、ネットワークインタフェース４４を介してパケットを取得し、一次フィルタ４５が取得したパケットをフィルタリングして、不要なパケットを廃棄するとともに、プロトコル解析処理部４６が、どのクライアント端末３がサーバ１へアクセスし、どのファイル等に操作を行ったのかのログの解析を行い、データベース登録処理部４７が解析されたログデータをアクセス記録データベース４３に記憶する処理を行う。
そして、サーバ１のデータベース登録処理部４７は、解析したアクセスログをアクセス記録データベース４３に記録する（Ｓ７）。この時、少なくとも、メソッドが行われた日時、ユーザ、メソッドの内容等が記憶される。
【００３０】
これらＳ１からＳ７までの処理をサーバ１とクライアント端末３との間で繰り返し行うことでサーバ１へのアクセスログが記憶される。
【００３１】
一方、ある時点で、アクセスログ取得装置４に記録されているアクセスログを管理者が見る場合には、まず管理者がサーバ１又は図示しないネットワークに接続された管理者用端末等から管理画面表示要求を行う（Ｓ１１）。
これにより、アクセス記録データベース４３を参照して、指定された項目に該当するデータを検索する（Ｓ１２）。
検索が完了すると、サーバ１の管理画面表示処理部４８が、アクセス記録データベース４３から検索結果のデータを取得し（Ｓ１３）、図示しないディスプレイ上に管理画面表示を行う（Ｓ１４）。
【００３２】
なお、この画面表示としては、図８に示すように、所定期間（例えば、１ヶ月ごと）にクライアント端末３に対応するオペレータごとに作成したページ数を表示するようにしてもよい。この場合、週ごとの作成ページ数が分かるように分けて表示させてもよい。
また、図９に示すように、一つのファイルごとにいつ誰がアクセスして、どのような操作を行ったかを表示させても良い。この例では、「ファイルＡ」に対して、いつ（例えば、２００６年２月３日１６時３８分）、だれが（例えば、オペレータＡ）、どのような操作を行ったか（例えば、新規作成）を一覧表として表示してもよい。
さらに、図１０に示すように、特定のファイルの参照回数を、週ごとにグラフ化して表示してもよい。
【００３３】
次に、上述のＳ３、Ｓ６の処理における、アクセスログ取得装置４の１次フィルタ４５の詳細な処理の流れについて説明する。この時点では、ネットワークインタフェース４４がスイッチ２からパケットを取得した状態となっている。
図１１において、１次フィルタ４５は、まず取得したパケットの中からセッション情報があるか否か判別して、これらが含まれないパケットは廃棄パケットとする。（Ｓ１０１）。
この処理は、具体的には、パケットにＭＡＣアドレス、ＩＰアドレスが含まれているかを判別することで行う。
【００３４】
判別の結果、セッション情報が存在する場合には、１次フィルタ４５はプロトコルの判別を行い、該当しないものは廃棄パケットとする（Ｓ１０２）。
この処理では、パケットに含まれるポート番号を抽出して、そのポート番号が所定のポート番号と一致するかを判別することにより行う。なお、予め対応できるプロトコル（ポート）をメモリ等に記憶して定義しておくことで、当該プロトコルに対応するパケットのみを抽出する。
【００３５】
判別の結果、セッション情報の確認ができた場合には、１次フィルタ４５は、パケットサイズが一定サイズ以上か否か判別し、一定のサイズ以上のパケットは廃棄する（Ｓ１０３）。
これにより、例えば、ファイル操作のログを取得することとは直接関係がないデータファイルなど、比較的サイズが大きいパケットを廃棄する。
【００３６】
判別の結果、パケットサイズが一定の大きさ以下の場合には、１次フィルタ４５は、ＴＣＰのコントロールパケットか否かを判別し、ＴＣＰのコントロールパケットは廃棄する（Ｓ１０４）。
【００３７】
１次フィルタ４５は、プロトコル固有のパケットで、ログ解析に不要なパケットか否かを判別して廃棄する（Ｓ１０５）。
このログ解析に不要なパケットは、予め定義してメモリに記憶させておき、その定義されたパケットに該当するパケットを廃棄するようにする。
【００３８】
１次フィルタ４５は、断片化されたパケットがあるか否かを判別して、断片化されたパケットの２つ目以降のパケットは廃棄して（Ｓ１０６）、選択パケットのみをフィルタリングする処理を行う。これにより、断片化されている場合、先頭のパケットが取得できれば操作ログが取得できるため、２つ目以降のパケットは廃棄する。
このように、１次フィルタを通して、ログ解析に不要なパケットを廃棄することで、ログ解析を効率的に行うことができる。
【００３９】
次に、上述のＳ３、Ｓ６の処理におけるプロトコル解析処理部４６の処理の流れについて図１２を参照して説明する。
図１２において、まず、１次フィルタ４５により選択されたパケットのうち、プロトコル解析処理部４６がリクエスト(Request)と、応答(Reply)との結合処理を行う（Ｓ２０１）。
これによりリクエストと応答が結合されて、サーバ１に対してある一つの操作がなされたことを特定できるようになる。
そして、プロトコル解析処理部４６がプロトコルシーケンスの解析処理を行う（Ｓ２０２）。これによりサーバ１上のファイル等に対するメソッドを特定することができる。
最後に、データベース登録処理部４７が、ログの登録項目の生成を行い（Ｓ２０３）、処理を終了する。
【００４０】
次に、図１３の処理フローにおける、プロトコル解析処理部４６の詳細な処理について説明する。
まず図１３を参照して、プロトコル解析処理部４６がリクエストとリプライの結合処理を行う場合の詳細な処理の流れについて説明する。
図１３（ａ）は要求−結合処理の全体処理フローを示す。図１３（ａ）において、まずパケットに含まれるコマンドを参照して、要求パケットか否かを判別する（Ｓ３０）。
判別の結果、要求パケットである場合には応答の結合処理に移る（Ｓ３１）。
【００４１】
応答の結合処理としては、図１３（ｂ）に示すように、応答待ちキューを記憶したメモリを参照して、対応する応答があるか否かを判別する（Ｓ３１１）。
判別の結果、対応する応答がある場合には、応答の結合処理を行う（Ｓ３１２）。
また、判別の結果、対応する応答がない場合には、応答待ちキューとしてメモリに記憶して（Ｓ３１３）、処理を終了する。
【００４２】
また、上述のＳ３０の処理で要求パケットではないと判別された場合には、パケットに含まれるコマンドを参照して、当該パケットが応答パケットか否か判別する（Ｓ３２）。
判別の結果、応答パケットでない場合には、ログ取得に関係のないパケットとして廃棄するなどして処理終了する。
また、判別の結果応答パケットであると判別された場合には、要求の結合処理に移る（Ｓ３３）。
【００４３】
要求の結合処理としては、図１３（ｃ）に示すように、まず要求待ちキューを記憶したメモリを参照して、対応する要求があるか否かを判別する（Ｓ３３１）。
判別の結果、対応の要求がある場合には、要求の結合処理を行う（Ｓ３３２）。
また、判別の結果、対応の要求がない場合には、要求待ちキューに登録して（Ｓ３３３）、処理を終了する。
【００４４】
次に、プロトコル解析処理部４６が、プロトコルシーケンスの解析処理を行う場合の処理について図１４を参照して説明する。
図１４において、まずクライアント端末３のログインシーケンス処理を行い、どのクライアント端末３がログインしたのかを判別する（Ｓ４０１）。
例えば、ＡＦＰのプロトコルでは、ログインは２段階で行われ、使用されるＡＦＰコマンドパケットはＦＰＬｏｇｉｎとＦＰＣｏｕｎｔの２種類であるので、このコマンドを受信したか、またそのクライアントは誰かを判別することにより行う。これらはログインシーケンスとして解析して、アクセス記録データベース４３に記録される。
【００４５】
ログインシーケンスが完了すると、パケットが保持しているＩＤと名称の対応付けとを行い、この必要に応じて対応表の更新処理を行う（Ｓ４０２）。
この処理は、図３に示すＩＤ対応情報記憶部４１を参照して、パケット内のＩＤに基づいて、実際のサーバ１のファイルシステム内のボリューム、フォルダ、ファイルの名前を特定する処理を行う。
例えば、ＡＦＰコマンドＦＰＤｅｌｅｔｅでファイルが削除される場合、その対象ファイルは「ボリュームＩＤ」、「親フォルダＩＤ」、「ファイルＩＤ」で与えられる。これらのＩＤで対応表を引くことにより、サーバ１上のファイルシステムの完全パス名が取得でき、ログにはその完全パス名を記録することができる。
なお、日本語名の表示用に文字コードの変換処理を実施してもよい。
【００４６】
最後に、ファイルのアクセス・シーケンス処理を行って（Ｓ４０３）、アクセス解析処理を終了する。
このシーケンス処理では、図４又は図５に示すシーケンス処理情報記憶部４２を参照して、パケット中からメソッド一覧にあるコマンドを抽出し、どのメソッドに対応する処理かを特定する。
例えば、ＡＦＰにおけるファイルの読み込みであれば、ＦＰＯｐｅｎＦｏｒｋ、ＦＰＲｅａｄ、ＦＰＣｌｏｓｅＦｏｒｋのＡＦＰコマンドパッケージシーケンスとなっていれば、このファイルの読み込み処理が行われたことが特定される。
また、あわせパケット内の時間を抽出して、処理が行われた時間を特定する
なお、コマンドとログ記録メソッドの対応表は、プロトコルごとに保持してもよく、ＳＭＢの場合には、図５に示すような対応テーブルとして保持しておき、このテーブルを参照して該当するコマンドについてはシーケンス処理を実行する。
【００４７】
このように上述の実施形態によれば、サーバ１上でアクセス監視用のプログラムを実行しなくとも、サーバ１とは別装置のアクセスログ取得装置４により、サーバ１への操作ログデータを取得することができるから、サーバ１に負荷を掛けることなくログデータを取得することができ、サーバ１への不正アクセスや、ファイルの作成、変更、削除などのログを取得して監視することができる。
また、サーバ１上でプログラムを実行しないで、別装置のアクセスログ取得装置４によりネットワーク上のパケットを取得して、ログ解析を行うようにしたことから、サーバ１の機種やＯＳに依存しなくとも、アクセスログ取得装置４側で種々のプロトコルに応じたログ解析を行うことができる。これにより、サーバ１の機種やＯＳにかかわらず、通信プロトコルが対応できるものであれば操作ログを取得することができる。
【００４８】
アクセス取得装置４をネットワークに接続するだけで、監視を行うことができるから、サーバ１の設定変更の必要がなく、設定変更の手間を省くことができる。
さらに、取得したログデータは、アクセスログ取得装置４に記録されており、サーバ１にはこれらのデータは存在していないことから、サーバ１への不正アクセスにより、操作ログデータに不正にアクセスされたり、改ざんされたりすることを防止できる。
【００４９】
上述の実施形態は一例であって、本発明を逸脱しない範囲で適宜変更等が可能である。
【図面の簡単な説明】
【００５０】
【図１】本発明の一実施形態に係るシステムの全体構成を示した図である。
【図２】本実施形態にかかる機能ブロック図。
【図３】ＩＤ対応情報記憶部に記憶されるデータの一例を示した図。
【図４】シーケンス処理情報記憶部に記憶されるデータの一例を示した図。
【図５】シーケンス処理情報記憶部に記憶されるデータの一例を示した図。
【図６】アクセス記録データベースに記憶されるデータの一例を示した図。
【図７】システム全体の処理の流れを示した図。
【図８】ログデータの表示の一例を示した図。
【図９】ログデータの表示の別の例を示した図。
【図１０】ログデータの表示のさらに別の例を示した図。
【図１１】１次フィルタの詳細な処理を示した処理フロー。
【図１２】プロトコル解析処理部の処理を示した処理フロー。
【図１３】要求−応答結合処理のフローチャート。
【図１４】プロトコル解析処理部の詳細な処理フロー。
【符号の説明】
【００５１】
１・・・サーバ、 ２・・・スイッチ、 ３・・・クライアント端末、４・・・アクセスログ取得装置、４１・・・ＩＤ対応情報記憶部、４２・・・シーケンス処理情報記憶部、４３・・・アクセス記録データベース、４４・・・ネットワークインタフェース、４５・・・１次フィルタ、４６・・・プロトコル解析処理部、４７・・・データベース登録処理部、４８・・・管理画面表示処理部
【技術分野】
【０００１】
本発明は、クライアントサーバシステムにおいて、クライアントからサーバに対しておこなわれた操作のログデータを取得する技術であって、特に、サーバ側に負荷を掛けずに、またサーバやクライアント側に特別なコンピュータプログラムを搭載しなくとも、ネットワークに接続するだけでサーバ側のＯＳ(Operating System)なども気にせずにログデータを取得するための仕組みとして好適なものである。
【背景技術】
【０００２】
最近、企業などの組織内で、コンピュータ内に記録されているデータを勝手に外部に持ち出したり、アクセス権限のない従業員などが不正にコンピュータにアクセスして、データを取得し、これを外部に不正に流出させるという社会的な問題が発生している。
このような事態を防止するため、組織内のファイルを記憶し管理しているファイル管理サーバに対して、どのクライアントがいつアクセスしたのか、またファイル管理サーバ上のどのファイルを作成、変更、削除したかなどの操作ログデータを取得する仕組みが提供されている。
【０００３】
このような仕組みとしては、一般に、サーバ上にアクセス監視用のコンピュータプログラムを実行させておき、どのクライントからアクセスがあったのか、またクライアントがどのファイルに対してどのような操作を行ったのかといったログデータを取得する仕組みが提案されている。
また、ログを取得する仕組みの一例として、例えば、Ｗｅｂサーバにおいてログファイルを有するアクセス回数統計処理部により、各ユーザからのアクセス状態を前記ログファイルにそれぞれ記録し、前記ログファイルの記録内容に基づき各ユーザ毎のアクセス回数についての統計処理を行う技術が提案されている（例えば、特許文献１参照）。
【０００４】
【特許文献１】特開２００２−２８８０６９
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、上述のような従来の仕組みでは、サーバ上にアクセス監視のためのプログラムを実行させておく必要があったため、サーバのトラフィックがアクセス管理処理に取られてしまい、サーバの処理速度が低下してしまうという問題があった。
また、サーバ上で監視を行う場合、監視を行うファイルやクライアントなどの情報をサーバ側で設定する必要があるし、またサーバの機種やＯＳによって使用する管理プログラムを替える必要があるため、各サーバに応じた監視プログラムを用意しなければならないとう問題があった。
また、サーバ上で監視を行う場合には、監視できるクライアント数についても制限があるなどの問題もあった。
また、サーバ側で監視する場合、その監視ログデータはサーバ上に記録されるため、このログデータに不正にアクセスされたり、また改ざんされたりする恐れがあり、せっかくログデータを取得してもその信頼性に問題があった。
【０００６】
本発明は、上述のような課題を解決するためになされたものであって、サーバ及びクライアントに負荷を掛けずに、またサーバなどの機種やＯＳにかかわらずにクライアントからの操作ログを取得することができる仕組みを提供することを目的とする。
【課題を解決するための手段】
【０００７】
上記目的を達成するため、本発明の一の観点に係る操作情報記憶装置は、複数のファイルを記憶するファイル管理サーバと、当該ファイル管理サーバとネットワークを介して接続された複数のクライアント端末からなるシステムにおいて、上記ネットワークに接続され、上記ファイル管理サーバに対するクライアント端末からの操作に関するログデータを取得するための装置であって、上記クライアント端末からファイル管理サーバに対する操作を表すメソッドと、各メソッドに対応した必要なコマンドを記憶するコマンド定義記憶手段と、上記ファイル管理サーバと上記クラインアント端末との間で送受信されるパケットを取得するパケット取得処理手段と、上記取得したパケットのデータから通信プロトコルを判別して、予め決められたプロトコルに該当するパケットを選択するフィルタリング処理手段と、上記選択されたパケットの中から、クライアントを特定する情報を特定すると共に、上記コマンド定義情報記憶手段を参照して、上記取得したパケットに含まれているコマンドに対応するメソッドを特定する解析処理手段と、少なくとも、上記メソッドが発生した日時、上記クライアントを特定する情報、上記解析されたメソッドを含む情報をログデータとして記憶する解析結果記憶手段とを有することを特徴とする。
【０００８】
上記コマンド定義記憶手段には、メソッドを実行するために必要なコマンドシーケンスが記憶されており、上記解析処理手段は、要求パケットに対する応答のパケットの結合処理、応答パケットに対する要求パケットの結合処理を行うことで応答要求の結合処理を行い、上記コマンド定義記憶手段を参照して、結合したパケットのコマンドシーケンスに基づいて、該当するメソッドを特定するようにしてもよい。
【０００９】
また、応答待ち又は要求待ちコマンドを一時的に記憶する一時記憶手段をさらに有し、上記解析処理手段は、要求コマンド又は応答コマンドを取得すると、上記一時記憶手段を参照して、上記応答待ち又は要求待ちコマンドに対応するコマンドがあるか否か判別し、対応するコマンドが存在するときに要求−応答の結合処理を行うようにしてもよい。
【００１０】
上記取得したパケットに含まれるＩＤの種類と、上記ファイル管理サーバ上での管理項目の対応を表すＩＤ対応情報記憶手段をさらに有し、上記解析処理手段は、上記ＩＤ対応情報記憶手段を参照して、取得したパケット内のＩＤの種類から、ファイル管理サーバ上での対応する管理項目を特定して、上記解析結果記憶手段に記憶するようにしてもよい。
【００１１】
上記解析処理手段は、ＩＤとファイル名の情報を含むパケットが到着するごとに、上記ファイル管理手段に記憶されている当該ＩＤ及びファイル名に対応したデータを更新するようにしてもよい。
【００１２】
本発明の一の観点にかかるサーバの操作情報記憶方法は、複数のファイルを記憶するファイル管理サーバと、当該ファイル管理サーバとネットワークを介して接続された複数のクライアント端末からなるシステムにおいて、上記ネットワークに接続され、上記クライアント端末からファイル管理サーバに対する操作を表すメソッドと各メソッドに対応した必要なコマンドを記憶するコマンド定義記憶手段と、ログデータを記憶する解析結果記憶手段とを有する装置により行われる方法であって、上記ファイル管理サーバと上記クラインアント端末との間で送受信されるパケットを取得する処理と、上記取得したパケットのデータから通信プロトコルを判別して、予め決められたプロトコルに該当するパケットを選択する処理と、上記選択されたパケットの中から、クライアントを特定する情報を特定すると共に、上記コマンド定義情報記憶手段を参照して、上記取得したパケットに含まれているコマンドに対応するメソッドを特定する処理と、少なくとも、上記メソッドが発生した日時、上記クライアントを特定する情報、上記解析されたメソッドを含む情報をログデータとして解析結果記憶手段に記憶する処理とを有することを特徴とする。
【００１３】
本発明の一の観点にかかるコンピュータプログラムは、複数のファイルを記憶するファイル管理サーバと、当該ファイル管理サーバとネットワークを介して接続された複数のクライアント端末からなるシステムにおいて、上記ネットワークに接続され、上記クライアント端末からファイル管理サーバに対する操作を表すメソッドと各メソッドに対応した必要なコマンドを記憶するコマンド定義記憶手段と、ログデータを記憶する解析結果記憶手段とを有するコンピュータを操作情報記憶装置として機能させるためのコンピュータプログラムであって、上記コンピュータに対して、上記ファイル管理サーバと上記クラインアント端末との間で送受信されるパケットを取得する処理と、上記取得したパケットのデータから通信プロトコルを判別して、予め決められたプロトコルに該当するパケットを選択する処理と、上記選択されたパケットの中から、クライアントを特定する情報を特定すると共に、上記コマンド定義情報記憶手段を参照して、上記取得したパケットに含まれているコマンドに対応するメソッドを特定する処理と、少なくとも、上記メソッドが発生した日時、上記クライアントを特定する情報、上記解析されたメソッドを含む情報をログデータとして解析結果記憶手段に記憶する処理とを実行させることを特徴とする。
【発明の効果】
【００１４】
本発明によれば、サーバに蓄積された操作記録を、サーバに負荷を掛けることなく記憶することができ、サーバ上のファイルが外部へ流出したり、不正に改ざん、削除されたりしたことを監視できる。
また、サーバの機種やＯＳに依存しなくとも、サーバ上の全てのファイルを監視することができる。
また、装置をクライアント−サーバのネットワークに接続するだけで、監視を行うことができるから、クライアント数の増加等によってもサーバの設定変更の必要がなく、設定変更の手間を省くことができる。
さらに、操作ログデータは、監視対象サーバには記録されずに、ログを記憶する装置側に記憶されることから、操作ログデータに不正にアクセスされたり、改ざんされたりすることを防止できる。
【発明を実施するための最良の形態】
【００１５】
以下、本発明に係る一実施形態について、図面を参照して説明する。
本実施例に係るシステムの全体構成を図１に示す。
図１は、本発明にかかるサーバ操作情報記憶装置を利用したシステムの全体構成を示したものであって、監視対象となるサーバ１と、このサーバ１にＬＡＮ(Local Area Network)やＷＡＮ(Wide Area Network)などの所定のネットワークを介して接続可能に構成された複数のクライアント端末３と、サーバ１とクライアント端末３との間で通信データのスイッチングを行うスイッチ２と、このスイッチ２を介してネットワークに接続可能に構成されたアクセスログ取得装置４から構成されている。
【００１６】
サーバ１は、複数のクライアント端末３により利用可能なファイルを記憶することができるコンピュータである。
サーバ１は、所定のＯＳや、必要に応じて搭載しているアプリケーションプログラムを実行することで、各クライアント端末３との間でファイルを送受信したり、またクライアント端末３からの操作に応じて、フォルダやファイルなどを作成、変更、削除したりする処理を行うことができる。
なお、サーバ１は、クライアントごとにアクセス権限を管理するようにしてもよい。この場合、サーバ１は、クライアントごとにサーバ１へのアクセス権限があるか否か、アクセス権限が設定されているフォルダやファイルごとに、クライアントが新規作成、変更、削除などの処理を行う権限を持っているか否かという権限を管理する。
【００１７】
クライアント端末３は、サーバ１にアクセスして、サーバ１上のフォルダやファイルを作成、変更、削除、データの取得といった操作を行うことができるコンピュータである。
このクライアント端末３は、いわゆるパソコンなどにより構成され、スイッチ２を介してサーバ１に接続可能であればよく、当該クライアント端末３が搭載しているＯＳやアプリケーションプログラムは特に限定されるものではない。
そして、これらサーバ１とクライアント端末３との間では、パケットによりデータの送受信が行われるようになっている。
【００１８】
スイッチ２は、いわゆる集線装置であって、サーバ１とクライアント端末３との間でのデータをスイッチングして相互にデータ通信するための処理を行う。
このスイッチ２としては、スイッチの通常のポートを通過する全てのデータを複製して通過させるミラーポート方式、タップ方式、ブリッジ結線されたブリッジ方式であってもよい。
そして、スイッチ２により、クライアント−サーバ間で送受信されているパケットデータを複製して、この複製されたパケットデータをアクセスログ取得装置４が取得するようになっている。
【００１９】
アクセスログ取得装置４は、クライアント端末３からサーバ１へのアクセスログを取得する装置である。
このアクセスログ取得装置４は、ＣＰＵ(Central Processing Unit)及び、ＣＰＵが実行するコンピュータプログラム、コンピュータプログラムやその他のデータを記憶するＲＡＭ(Random Access Memory)などの記憶手段により構成されており、これによって図２に示す機能ブロックを実現する。
図２に示した機能ブロックは、ＩＤ対応情報記憶部４１、シーケンス処理情報記憶部４２、アクセス記録データベース４３、ネットワークインタフェース（Ｉ／Ｆ）４４、１次フィルタ４５、プロトコル解析処理部４６、データベース登録処理部４７、管理画面表示処理部４８から構成されている。
【００２０】
ＩＤ対応情報記憶部４１は、プロトコルの種別に応じて、パケット内に含まれるＩＤの種類と、サーバ１内の実際のボリューム、フォルダ、ファイルの名前との対応付けを記憶しておくテーブルである。
これは、例えば、ＡＦＰ（AppleTalk Filing Protocol）では、ボリューム・フォルダ・ファイルの指定は、セッションごとに設定される数値にＩＤにより指定されるが、監視ログを記録する際、ＩＤをそのままで記録してしまうとサーバ１のファイルシステム内のボリューム、フォルダ、ファイルとの対応関係が分からなくなることから、このＩＤ対応情報記憶部４１に予めＩＤと実際のボリューム・フォルダ・ファイルとの対応付けを予め定義したものである。
このＩＤ対応情報記憶部４１に記憶されるデータとしては、例えば、図３に示すように、ＡＦＰの場合、ＩＤの種類、対象ＡＦＰコマンドパケット、管理項目を対応付けて記憶する。一例として、ボリュームＩＤの場合、対象ＡＦＰコマンドパケットとしては「FPGetVolParms」、「FPGetFileDirParms」、「FPEnumerate」となり、管理項目としては、ＩＤと名称となる。
なお、このＩＤ対応情報記憶部４１に記憶されているデータは、ＩＤと名前の情報を含むＡＦＰパケットが到着するごとにこの表が更新され、実際のサーバ１上のファイルシステムのデータに対応するようになっている。
【００２１】
シーケンス処理情報記憶部４２は、プロトコルの種別に応じて、記憶しておくメソッドと抽出すべきコマンドの対応付けを記憶する記憶部である。
これは、例えば、ＡＦＰでは、ファイルの読み書きはファイルの２つのフォーク、すなわちデータフォークとリソースフォークに対する参照番号（ＲｅｆＮｏ）を使用して行われるが、このＲｅｆＮｏは、ＡＦＰのコマンドパケットのＦＰＯｐｅｎＦｏｒｋで取得され、取得したＲｅｆＮｏでＦＰＲｅａｄあるいはＦＰＷｒｉｔｅを行うことでファイルのアクセスが行われ、ＦＰＣｌｏｓｅＦｏｒｋでそのＲｅｆＮｏを解放するようになっている。
したがって、ファイルのアクセスを監視するには、ＦＰＯｐｅｎＦｏｒｋ、ＦＰＲｅａｄあるいはＦＰＷｒｉｔｅ、ＦＰＣｌｏｓｅＦｏｒｋのＡＦＰコマンドパッケージシーケンスをトレースする必要があるため、そのシーケンス処理を行う対象となるコマンドが定義されている。
一例として、ＡＦＰの場合を図４に示し、ＳＭＢプロトコルの場合を図５に示す。
例えば、図４に示すようにファイルの読み込みの場合、ＡＦＰではＦＰＯｐｅｎＦｏｒｋ、ＦＰＲｅａｄ、ＦＰＣｌｏｓｅＦｏｒｋの順でトレースすることにより、あるファイルに対して読み込み処理が行われたログとして記録することができる。
【００２２】
アクセス記録データベース４３は、アクセスログデータをデータベース化したものである。このアクセス記録データベース４３には、図６に示すように、項目名とその説明が対応付けて記憶できるようになっている。
項目名としては、日時、セッション、ユーザ、メソッド(メソッドの種類及び、付属情報、状態コード)がそれぞれ記憶できるようになっている。
日時は、年月日、時分秒、マイクロ秒が記憶できるようになっている。
セッションにはＭＡＣアドレス、ＩＰアドレスが記憶できるようになっている。
メソッドとしては、メソッド名と、付属情報としてフルパス名、リネーム時のターゲット名など、状態として状態コード（０＝ＯＫ、０以外＝ＮＧ）が記憶できるようになっている。
また、メソッド名としては、メソッド一覧にあるように、ファイルの新規作成、読み込み、書き込み、リネーム、移動、削除、フォルダの新規作成、リネーム、移動、削除、ログイン、ログアウトである。
【００２３】
ネットワークインタフェース４４は、アクセスログ監視装置４がネットワークに接続するためのインタフェースである。
このネットワークインタフェース４４は、所定のポートを介してスイッチング装置３に接続するとともに、所定のデータフォーマットに基づいた論理的インタフェースにより、ネットワーク内を流れているパケットを取得する処理を行う。
【００２４】
１次フィルタ４５は、取得したパケットの中から不要なパケットを破棄するための処理を行う。
１次フィルタ４５は、セッション情報（ＭＡＣアドレス、ＩＰアドレス）、プロトコル(ポート)、パケットサイズを判別して廃棄すべきパケットを判別したり、その他不要なパケットを廃棄する処理を行う。
これにより、不要なパケットを予めフィルタリングできることから、処理を効率化することができる。
【００２５】
プロトコル解析処理部４６は、プロトコルに応じて、パケットを解析してログを取得する処理を行う。
プロトコル解析処理部４６は、クライアントのログインからアクセスのログを取得したり、各クライアントがファイルへのアクセスしたログを取得する。
また、ファイルへのアクセスログをより分かりやすくするため、パケット内のＩＤとサーバのファイルシステム内のボリューム、フォルダ、ファイルとの対応付けなどの処理を行う。
【００２６】
データベース登録処理部４７は、プロトコル解析処理部４６により解析されたログデータを、アクセス記録データベース４３に記憶する処理を行う。
【００２７】
管理画面表示処理部４８は、アクセス記録データベース４３に記憶されているアクセスログデータに基づいて、管理画面上に表示する出力画面のデータを生成し、これを図示しないディスプレイ上に表示させる処理を行う。
【００２８】
次に、図７を参照してシステム全体の処理の流れを説明する。
図７において、まずクライアント端末３からサーバ１に対してファイルの取得要求を行う（Ｓ１）と、この取得要求がスイッチ２を介してサーバ１に送信される（Ｓ２）。
また同時に、スイッチ２のミラーリング機能により、ファイル取得要求のデータがアクセスログ取得装置４にも送信される（Ｓ３）。
これにより、アクセスログ取得装置４は、ネットワークインタフェース４４を介してパケットを取得し、一次フィルタ４５が取得したパケットをフィルタリングして、不要なパケットを廃棄するとともに、プロトコル解析処理部４６が、どのクライアントがアクセスし、どのファイル等に操作を行ったのかのログの解析を行い、データベース登録処理部４７が解析されたログデータをアクセス記録データベース４３に記憶する処理を行う。
【００２９】
サーバ１は、クライアント端末３からの取得要求に応じて、ファイルの取得応答をスイッチ２に送信する（Ｓ４）。クライント端末２はスイッチ２を介してファイルの取得応答を受信して、所定の処理を行う（Ｓ５）。
同時に、スイッチ２は、ミラーリング機能により、サーバ１からのファイルの取得応答をアクセスログ取得装置４へ送信する（Ｓ６）。
これにより、アクセスログ取得装置４は、ネットワークインタフェース４４を介してパケットを取得し、一次フィルタ４５が取得したパケットをフィルタリングして、不要なパケットを廃棄するとともに、プロトコル解析処理部４６が、どのクライアント端末３がサーバ１へアクセスし、どのファイル等に操作を行ったのかのログの解析を行い、データベース登録処理部４７が解析されたログデータをアクセス記録データベース４３に記憶する処理を行う。
そして、サーバ１のデータベース登録処理部４７は、解析したアクセスログをアクセス記録データベース４３に記録する（Ｓ７）。この時、少なくとも、メソッドが行われた日時、ユーザ、メソッドの内容等が記憶される。
【００３０】
これらＳ１からＳ７までの処理をサーバ１とクライアント端末３との間で繰り返し行うことでサーバ１へのアクセスログが記憶される。
【００３１】
一方、ある時点で、アクセスログ取得装置４に記録されているアクセスログを管理者が見る場合には、まず管理者がサーバ１又は図示しないネットワークに接続された管理者用端末等から管理画面表示要求を行う（Ｓ１１）。
これにより、アクセス記録データベース４３を参照して、指定された項目に該当するデータを検索する（Ｓ１２）。
検索が完了すると、サーバ１の管理画面表示処理部４８が、アクセス記録データベース４３から検索結果のデータを取得し（Ｓ１３）、図示しないディスプレイ上に管理画面表示を行う（Ｓ１４）。
【００３２】
なお、この画面表示としては、図８に示すように、所定期間（例えば、１ヶ月ごと）にクライアント端末３に対応するオペレータごとに作成したページ数を表示するようにしてもよい。この場合、週ごとの作成ページ数が分かるように分けて表示させてもよい。
また、図９に示すように、一つのファイルごとにいつ誰がアクセスして、どのような操作を行ったかを表示させても良い。この例では、「ファイルＡ」に対して、いつ（例えば、２００６年２月３日１６時３８分）、だれが（例えば、オペレータＡ）、どのような操作を行ったか（例えば、新規作成）を一覧表として表示してもよい。
さらに、図１０に示すように、特定のファイルの参照回数を、週ごとにグラフ化して表示してもよい。
【００３３】
次に、上述のＳ３、Ｓ６の処理における、アクセスログ取得装置４の１次フィルタ４５の詳細な処理の流れについて説明する。この時点では、ネットワークインタフェース４４がスイッチ２からパケットを取得した状態となっている。
図１１において、１次フィルタ４５は、まず取得したパケットの中からセッション情報があるか否か判別して、これらが含まれないパケットは廃棄パケットとする。（Ｓ１０１）。
この処理は、具体的には、パケットにＭＡＣアドレス、ＩＰアドレスが含まれているかを判別することで行う。
【００３４】
判別の結果、セッション情報が存在する場合には、１次フィルタ４５はプロトコルの判別を行い、該当しないものは廃棄パケットとする（Ｓ１０２）。
この処理では、パケットに含まれるポート番号を抽出して、そのポート番号が所定のポート番号と一致するかを判別することにより行う。なお、予め対応できるプロトコル（ポート）をメモリ等に記憶して定義しておくことで、当該プロトコルに対応するパケットのみを抽出する。
【００３５】
判別の結果、セッション情報の確認ができた場合には、１次フィルタ４５は、パケットサイズが一定サイズ以上か否か判別し、一定のサイズ以上のパケットは廃棄する（Ｓ１０３）。
これにより、例えば、ファイル操作のログを取得することとは直接関係がないデータファイルなど、比較的サイズが大きいパケットを廃棄する。
【００３６】
判別の結果、パケットサイズが一定の大きさ以下の場合には、１次フィルタ４５は、ＴＣＰのコントロールパケットか否かを判別し、ＴＣＰのコントロールパケットは廃棄する（Ｓ１０４）。
【００３７】
１次フィルタ４５は、プロトコル固有のパケットで、ログ解析に不要なパケットか否かを判別して廃棄する（Ｓ１０５）。
このログ解析に不要なパケットは、予め定義してメモリに記憶させておき、その定義されたパケットに該当するパケットを廃棄するようにする。
【００３８】
１次フィルタ４５は、断片化されたパケットがあるか否かを判別して、断片化されたパケットの２つ目以降のパケットは廃棄して（Ｓ１０６）、選択パケットのみをフィルタリングする処理を行う。これにより、断片化されている場合、先頭のパケットが取得できれば操作ログが取得できるため、２つ目以降のパケットは廃棄する。
このように、１次フィルタを通して、ログ解析に不要なパケットを廃棄することで、ログ解析を効率的に行うことができる。
【００３９】
次に、上述のＳ３、Ｓ６の処理におけるプロトコル解析処理部４６の処理の流れについて図１２を参照して説明する。
図１２において、まず、１次フィルタ４５により選択されたパケットのうち、プロトコル解析処理部４６がリクエスト(Request)と、応答(Reply)との結合処理を行う（Ｓ２０１）。
これによりリクエストと応答が結合されて、サーバ１に対してある一つの操作がなされたことを特定できるようになる。
そして、プロトコル解析処理部４６がプロトコルシーケンスの解析処理を行う（Ｓ２０２）。これによりサーバ１上のファイル等に対するメソッドを特定することができる。
最後に、データベース登録処理部４７が、ログの登録項目の生成を行い（Ｓ２０３）、処理を終了する。
【００４０】
次に、図１３の処理フローにおける、プロトコル解析処理部４６の詳細な処理について説明する。
まず図１３を参照して、プロトコル解析処理部４６がリクエストとリプライの結合処理を行う場合の詳細な処理の流れについて説明する。
図１３（ａ）は要求−結合処理の全体処理フローを示す。図１３（ａ）において、まずパケットに含まれるコマンドを参照して、要求パケットか否かを判別する（Ｓ３０）。
判別の結果、要求パケットである場合には応答の結合処理に移る（Ｓ３１）。
【００４１】
応答の結合処理としては、図１３（ｂ）に示すように、応答待ちキューを記憶したメモリを参照して、対応する応答があるか否かを判別する（Ｓ３１１）。
判別の結果、対応する応答がある場合には、応答の結合処理を行う（Ｓ３１２）。
また、判別の結果、対応する応答がない場合には、応答待ちキューとしてメモリに記憶して（Ｓ３１３）、処理を終了する。
【００４２】
また、上述のＳ３０の処理で要求パケットではないと判別された場合には、パケットに含まれるコマンドを参照して、当該パケットが応答パケットか否か判別する（Ｓ３２）。
判別の結果、応答パケットでない場合には、ログ取得に関係のないパケットとして廃棄するなどして処理終了する。
また、判別の結果応答パケットであると判別された場合には、要求の結合処理に移る（Ｓ３３）。
【００４３】
要求の結合処理としては、図１３（ｃ）に示すように、まず要求待ちキューを記憶したメモリを参照して、対応する要求があるか否かを判別する（Ｓ３３１）。
判別の結果、対応の要求がある場合には、要求の結合処理を行う（Ｓ３３２）。
また、判別の結果、対応の要求がない場合には、要求待ちキューに登録して（Ｓ３３３）、処理を終了する。
【００４４】
次に、プロトコル解析処理部４６が、プロトコルシーケンスの解析処理を行う場合の処理について図１４を参照して説明する。
図１４において、まずクライアント端末３のログインシーケンス処理を行い、どのクライアント端末３がログインしたのかを判別する（Ｓ４０１）。
例えば、ＡＦＰのプロトコルでは、ログインは２段階で行われ、使用されるＡＦＰコマンドパケットはＦＰＬｏｇｉｎとＦＰＣｏｕｎｔの２種類であるので、このコマンドを受信したか、またそのクライアントは誰かを判別することにより行う。これらはログインシーケンスとして解析して、アクセス記録データベース４３に記録される。
【００４５】
ログインシーケンスが完了すると、パケットが保持しているＩＤと名称の対応付けとを行い、この必要に応じて対応表の更新処理を行う（Ｓ４０２）。
この処理は、図３に示すＩＤ対応情報記憶部４１を参照して、パケット内のＩＤに基づいて、実際のサーバ１のファイルシステム内のボリューム、フォルダ、ファイルの名前を特定する処理を行う。
例えば、ＡＦＰコマンドＦＰＤｅｌｅｔｅでファイルが削除される場合、その対象ファイルは「ボリュームＩＤ」、「親フォルダＩＤ」、「ファイルＩＤ」で与えられる。これらのＩＤで対応表を引くことにより、サーバ１上のファイルシステムの完全パス名が取得でき、ログにはその完全パス名を記録することができる。
なお、日本語名の表示用に文字コードの変換処理を実施してもよい。
【００４６】
最後に、ファイルのアクセス・シーケンス処理を行って（Ｓ４０３）、アクセス解析処理を終了する。
このシーケンス処理では、図４又は図５に示すシーケンス処理情報記憶部４２を参照して、パケット中からメソッド一覧にあるコマンドを抽出し、どのメソッドに対応する処理かを特定する。
例えば、ＡＦＰにおけるファイルの読み込みであれば、ＦＰＯｐｅｎＦｏｒｋ、ＦＰＲｅａｄ、ＦＰＣｌｏｓｅＦｏｒｋのＡＦＰコマンドパッケージシーケンスとなっていれば、このファイルの読み込み処理が行われたことが特定される。
また、あわせパケット内の時間を抽出して、処理が行われた時間を特定する
なお、コマンドとログ記録メソッドの対応表は、プロトコルごとに保持してもよく、ＳＭＢの場合には、図５に示すような対応テーブルとして保持しておき、このテーブルを参照して該当するコマンドについてはシーケンス処理を実行する。
【００４７】
このように上述の実施形態によれば、サーバ１上でアクセス監視用のプログラムを実行しなくとも、サーバ１とは別装置のアクセスログ取得装置４により、サーバ１への操作ログデータを取得することができるから、サーバ１に負荷を掛けることなくログデータを取得することができ、サーバ１への不正アクセスや、ファイルの作成、変更、削除などのログを取得して監視することができる。
また、サーバ１上でプログラムを実行しないで、別装置のアクセスログ取得装置４によりネットワーク上のパケットを取得して、ログ解析を行うようにしたことから、サーバ１の機種やＯＳに依存しなくとも、アクセスログ取得装置４側で種々のプロトコルに応じたログ解析を行うことができる。これにより、サーバ１の機種やＯＳにかかわらず、通信プロトコルが対応できるものであれば操作ログを取得することができる。
【００４８】
アクセス取得装置４をネットワークに接続するだけで、監視を行うことができるから、サーバ１の設定変更の必要がなく、設定変更の手間を省くことができる。
さらに、取得したログデータは、アクセスログ取得装置４に記録されており、サーバ１にはこれらのデータは存在していないことから、サーバ１への不正アクセスにより、操作ログデータに不正にアクセスされたり、改ざんされたりすることを防止できる。
【００４９】
上述の実施形態は一例であって、本発明を逸脱しない範囲で適宜変更等が可能である。
【図面の簡単な説明】
【００５０】
【図１】本発明の一実施形態に係るシステムの全体構成を示した図である。
【図２】本実施形態にかかる機能ブロック図。
【図３】ＩＤ対応情報記憶部に記憶されるデータの一例を示した図。
【図４】シーケンス処理情報記憶部に記憶されるデータの一例を示した図。
【図５】シーケンス処理情報記憶部に記憶されるデータの一例を示した図。
【図６】アクセス記録データベースに記憶されるデータの一例を示した図。
【図７】システム全体の処理の流れを示した図。
【図８】ログデータの表示の一例を示した図。
【図９】ログデータの表示の別の例を示した図。
【図１０】ログデータの表示のさらに別の例を示した図。
【図１１】１次フィルタの詳細な処理を示した処理フロー。
【図１２】プロトコル解析処理部の処理を示した処理フロー。
【図１３】要求−応答結合処理のフローチャート。
【図１４】プロトコル解析処理部の詳細な処理フロー。
【符号の説明】
【００５１】
１・・・サーバ、 ２・・・スイッチ、 ３・・・クライアント端末、４・・・アクセスログ取得装置、４１・・・ＩＤ対応情報記憶部、４２・・・シーケンス処理情報記憶部、４３・・・アクセス記録データベース、４４・・・ネットワークインタフェース、４５・・・１次フィルタ、４６・・・プロトコル解析処理部、４７・・・データベース登録処理部、４８・・・管理画面表示処理部
【特許請求の範囲】
【請求項１】
複数のファイルを記憶するファイル管理サーバと、当該ファイル管理サーバとネットワークを介して接続された複数のクライアント端末からなるシステムにおいて、上記ネットワークに接続され、上記ファイル管理サーバに対するクライアント端末からの操作に関するログデータを取得するための装置であって、
上記クライアント端末からファイル管理サーバに対する操作を表すメソッドと、各メソッドに対応した必要なコマンドを記憶するコマンド定義記憶手段と、
上記ファイル管理サーバと上記クラインアント端末との間で送受信されるパケットを取得するパケット取得処理手段と、
上記取得したパケットのデータから通信プロトコルを判別して、予め決められたプロトコルに該当するパケットを選択するフィルタリング処理手段と、
上記選択されたパケットの中から、クライアントを特定する情報を特定すると共に、上記コマンド定義情報記憶手段を参照して、上記取得したパケットに含まれているコマンドに対応するメソッドを特定する解析処理手段と、
少なくとも、上記メソッドが発生した日時、上記クライアントを特定する情報、上記解析されたメソッドを含む情報をログデータとして記憶する解析結果記憶手段と、
を有することを特徴とするサーバの操作情報取得装置。
【請求項２】
上記コマンド定義記憶手段には、メソッドを実行するために必要なコマンドシーケンスが記憶されており、
上記解析処理手段は、要求パケットに対する応答のパケットの結合処理、応答パケットに対する要求パケットの結合処理を行うことで応答要求の結合処理を行い、上記コマンド定義記憶手段を参照して、結合したパケットのコマンドシーケンスに基づいて、該当するメソッドを特定する、
請求項１記載のサーバの操作情報取得装置。
【請求項３】
応答待ち又は要求待ちコマンドを一時的に記憶する一時記憶手段をさらに有し、
上記解析処理手段は、要求コマンド又は応答コマンドを取得すると、上記一時記憶手段を参照して、上記応答待ち又は要求待ちコマンドに対応するコマンドがあるか否か判別し、対応するコマンドが存在するときに要求−応答の結合処理を行う、
請求項２記載のサーバの操作情報取得装置。
【請求項４】
上記取得したパケットに含まれるＩＤの種類と、上記ファイル管理サーバ上での管理項目の対応を表すＩＤ対応情報記憶手段をさらに有し、
上記解析処理手段は、上記ＩＤ対応情報記憶手段を参照して、取得したパケット内のＩＤの種類から、ファイル管理サーバ上での対応する管理項目を特定して、上記解析結果記憶手段に記憶する、
請求項1〜３のいずれかの項に記載のサーバの操作情取得装置。
【請求項５】
上記解析処理手段は、ＩＤとファイル名の情報を含むパケットが到着するごとに、上記ファイル管理手段に記憶されている当該ＩＤ及びファイル名に対応したデータを更新する、
請求項４記載のサーバの操作情報取得装置。
【請求項６】
複数のファイルを記憶するファイル管理サーバと、当該ファイル管理サーバとネットワークを介して接続された複数のクライアント端末からなるシステムにおいて、上記ネットワークに接続され、上記クライアント端末からファイル管理サーバに対する操作を表すメソッドと各メソッドに対応した必要なコマンドを記憶するコマンド定義記憶手段と、ログデータを記憶する解析結果記憶手段とを有する装置により行われる方法であって、
上記ファイル管理サーバと上記クラインアント端末との間で送受信されるパケットを取得する処理と、
上記取得したパケットのデータから通信プロトコルを判別して、予め決められたプロトコルに該当するパケットを選択する処理と、
上記選択されたパケットの中から、クライアントを特定する情報を特定すると共に、上記コマンド定義情報記憶手段を参照して、上記取得したパケットに含まれているコマンドに対応するメソッドを特定する処理と、
少なくとも、上記メソッドが発生した日時、上記クライアントを特定する情報、上記解析されたメソッドを含む情報をログデータとして解析結果記憶手段に記憶する処理と、
を有することを特徴とするサーバの操作情報取得方法。
【請求項７】
複数のファイルを記憶するファイル管理サーバと、当該ファイル管理サーバとネットワークを介して接続された複数のクライアント端末からなるシステムにおいて、上記ネットワークに接続され、上記クライアント端末からファイル管理サーバに対する操作を表すメソッドと各メソッドに対応した必要なコマンドを記憶するコマンド定義記憶手段と、ログデータを記憶する解析結果記憶手段とを有するコンピュータを操作情報取得装置として機能させるためのコンピュータプログラムであって、
上記コンピュータに対して、
上記ファイル管理サーバと上記クラインアント端末との間で送受信されるパケットを取得する処理と、
上記取得したパケットのデータから通信プロトコルを判別して、予め決められたプロトコルに該当するパケットを選択する処理と、
上記選択されたパケットの中から、クライアントを特定する情報を特定すると共に、上記コマンド定義情報記憶手段を参照して、上記取得したパケットに含まれているコマンドに対応するメソッドを特定する処理と、
少なくとも、上記メソッドが発生した日時、上記クライアントを特定する情報、上記解析されたメソッドを含む情報をログデータとして解析結果記憶手段に記憶する処理と、
を実行させるコンピュータプログラム。
【請求項１】
複数のファイルを記憶するファイル管理サーバと、当該ファイル管理サーバとネットワークを介して接続された複数のクライアント端末からなるシステムにおいて、上記ネットワークに接続され、上記ファイル管理サーバに対するクライアント端末からの操作に関するログデータを取得するための装置であって、
上記クライアント端末からファイル管理サーバに対する操作を表すメソッドと、各メソッドに対応した必要なコマンドを記憶するコマンド定義記憶手段と、
上記ファイル管理サーバと上記クラインアント端末との間で送受信されるパケットを取得するパケット取得処理手段と、
上記取得したパケットのデータから通信プロトコルを判別して、予め決められたプロトコルに該当するパケットを選択するフィルタリング処理手段と、
上記選択されたパケットの中から、クライアントを特定する情報を特定すると共に、上記コマンド定義情報記憶手段を参照して、上記取得したパケットに含まれているコマンドに対応するメソッドを特定する解析処理手段と、
少なくとも、上記メソッドが発生した日時、上記クライアントを特定する情報、上記解析されたメソッドを含む情報をログデータとして記憶する解析結果記憶手段と、
を有することを特徴とするサーバの操作情報取得装置。
【請求項２】
上記コマンド定義記憶手段には、メソッドを実行するために必要なコマンドシーケンスが記憶されており、
上記解析処理手段は、要求パケットに対する応答のパケットの結合処理、応答パケットに対する要求パケットの結合処理を行うことで応答要求の結合処理を行い、上記コマンド定義記憶手段を参照して、結合したパケットのコマンドシーケンスに基づいて、該当するメソッドを特定する、
請求項１記載のサーバの操作情報取得装置。
【請求項３】
応答待ち又は要求待ちコマンドを一時的に記憶する一時記憶手段をさらに有し、
上記解析処理手段は、要求コマンド又は応答コマンドを取得すると、上記一時記憶手段を参照して、上記応答待ち又は要求待ちコマンドに対応するコマンドがあるか否か判別し、対応するコマンドが存在するときに要求−応答の結合処理を行う、
請求項２記載のサーバの操作情報取得装置。
【請求項４】
上記取得したパケットに含まれるＩＤの種類と、上記ファイル管理サーバ上での管理項目の対応を表すＩＤ対応情報記憶手段をさらに有し、
上記解析処理手段は、上記ＩＤ対応情報記憶手段を参照して、取得したパケット内のＩＤの種類から、ファイル管理サーバ上での対応する管理項目を特定して、上記解析結果記憶手段に記憶する、
請求項1〜３のいずれかの項に記載のサーバの操作情取得装置。
【請求項５】
上記解析処理手段は、ＩＤとファイル名の情報を含むパケットが到着するごとに、上記ファイル管理手段に記憶されている当該ＩＤ及びファイル名に対応したデータを更新する、
請求項４記載のサーバの操作情報取得装置。
【請求項６】
複数のファイルを記憶するファイル管理サーバと、当該ファイル管理サーバとネットワークを介して接続された複数のクライアント端末からなるシステムにおいて、上記ネットワークに接続され、上記クライアント端末からファイル管理サーバに対する操作を表すメソッドと各メソッドに対応した必要なコマンドを記憶するコマンド定義記憶手段と、ログデータを記憶する解析結果記憶手段とを有する装置により行われる方法であって、
上記ファイル管理サーバと上記クラインアント端末との間で送受信されるパケットを取得する処理と、
上記取得したパケットのデータから通信プロトコルを判別して、予め決められたプロトコルに該当するパケットを選択する処理と、
上記選択されたパケットの中から、クライアントを特定する情報を特定すると共に、上記コマンド定義情報記憶手段を参照して、上記取得したパケットに含まれているコマンドに対応するメソッドを特定する処理と、
少なくとも、上記メソッドが発生した日時、上記クライアントを特定する情報、上記解析されたメソッドを含む情報をログデータとして解析結果記憶手段に記憶する処理と、
を有することを特徴とするサーバの操作情報取得方法。
【請求項７】
複数のファイルを記憶するファイル管理サーバと、当該ファイル管理サーバとネットワークを介して接続された複数のクライアント端末からなるシステムにおいて、上記ネットワークに接続され、上記クライアント端末からファイル管理サーバに対する操作を表すメソッドと各メソッドに対応した必要なコマンドを記憶するコマンド定義記憶手段と、ログデータを記憶する解析結果記憶手段とを有するコンピュータを操作情報取得装置として機能させるためのコンピュータプログラムであって、
上記コンピュータに対して、
上記ファイル管理サーバと上記クラインアント端末との間で送受信されるパケットを取得する処理と、
上記取得したパケットのデータから通信プロトコルを判別して、予め決められたプロトコルに該当するパケットを選択する処理と、
上記選択されたパケットの中から、クライアントを特定する情報を特定すると共に、上記コマンド定義情報記憶手段を参照して、上記取得したパケットに含まれているコマンドに対応するメソッドを特定する処理と、
少なくとも、上記メソッドが発生した日時、上記クライアントを特定する情報、上記解析されたメソッドを含む情報をログデータとして解析結果記憶手段に記憶する処理と、
を実行させるコンピュータプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【公開番号】特開２００７−２７９８３５（Ｐ２００７−２７９８３５Ａ）
【公開日】平成１９年１０月２５日（２００７．１０．２５）
【国際特許分類】
【出願番号】特願２００６−１０２１４５（Ｐ２００６−１０２１４５）
【出願日】平成１８年４月３日（２００６．４．３）
【出願人】（５０６０４２５５３）株式会社インテリジェントワークス (1)
【Ｆターム（参考）】
【公開日】平成１９年１０月２５日（２００７．１０．２５）
【国際特許分類】
【出願日】平成１８年４月３日（２００６．４．３）
【出願人】（５０６０４２５５３）株式会社インテリジェントワークス (1)
【Ｆターム（参考）】
[ Back to top ]