システムログ分析方法、情報処理端末およびシステムログ分析プログラム
【課題】ユーザの不正操作を管理可能なシステムログ分析方法を得ること。
【解決手段】システムログを蓄積するシステムに対してシステムログを出力させ、システムに応じた変換ルールにしたがって、出力されたシステムログを変換し、変換後のシステムログを登録することとし、変換後のシステムログを対象に、分析を実行するための条件である分析設定情報に合致するシステムログを検索することで、不正な操作とみなされるシステムログを抽出し、また、システムログ検索ステップにて抽出されたシステムログに示された不正な操作を行ったユーザのユーザ情報を、ディレクトリサービスシステムより取得する。
【解決手段】システムログを蓄積するシステムに対してシステムログを出力させ、システムに応じた変換ルールにしたがって、出力されたシステムログを変換し、変換後のシステムログを登録することとし、変換後のシステムログを対象に、分析を実行するための条件である分析設定情報に合致するシステムログを検索することで、不正な操作とみなされるシステムログを抽出し、また、システムログ検索ステップにて抽出されたシステムログに示された不正な操作を行ったユーザのユーザ情報を、ディレクトリサービスシステムより取得する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ディレクトリサービスと連携したシステムログ分析方法に関する。
【背景技術】
【０００２】
近年、企業の内部統制を適正に行うために、ＩＴシステムの監査が重要となっている。内部統制を実施する場合には、一般に、業務プロセスの実行・操作履歴（システムログなど）を記録し、セキュリティ事故発生時や障害対応時に当該システムログを分析することで情報漏洩対策などに役立てる。
【０００３】
このような場合には、従来、システム管理者がシステムログ分析を行い、不審または不正な操作がないかどうかを分析していた。さらに、不正操作と思われるシステムログを発見し、情報漏洩の発生が疑われる場合には、システム管理者は、当該不正操作を行ったユーザを具体的に特定するために、ユーザ情報（ユーザ名，組織名など）を調査する必要があった。
【０００４】
これに対し、ユーザ情報が一元的に格納されたディレクトリサービスと呼ばれるシステムと連携することで、システムログ分析を容易に実行可能とする方法が考案されている。たとえば、下記特許文献１には、Ｗｅｂコンテンツのログ分析にてディレクトリサービスを活用し、アクセスにかかるユーザおよび当該ユーザの所属組織を特定する、といった技術が開示されている。
【０００５】
また、下記特許文献２には、ユーザが印刷情報のログを参照する際にディレクトリサービスを活用することとし、各ユーザは、自身がアクセス権を有するログのみ閲覧可能とする、といった技術が開示されている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００６−１１３８０５号公報
【特許文献２】特開２００７−１２８３５９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、上記従来の技術では、ユーザおよびユーザの所属する組織を把握することは可能であるが、不正操作と思われる操作を行ったユーザに不正操作の旨を通知しないため、分析による効果が限定的である、という問題があった。
【０００８】
また、システムログ分析は、システム管理者が行うため、不正操作を行ったユーザが多数に上る場合にはシステム管理者の負担が増大する、という問題があった。
【０００９】
本発明は、上記に鑑みてなされたものであって、ユーザによる不正操作を管理可能なシステムログ分析方法を得ることを目的とする。
【課題を解決するための手段】
【００１０】
上述した課題を解決し、目的を達成するために、本発明は、ユーザによる操作の記録であるシステムログを蓄積するシステムに対して、当該システムログを出力させ、前記システムに応じた変換ルールにしたがって、出力されたシステムログを変換するシステムログ収集ステップと、変換後のシステムログを登録するシステムログ登録ステップと、変換後のシステムログを対象に、分析を実行するための条件である分析設定情報に合致するシステムログを検索することで、不正な操作とみなされるシステムログを抽出するシステムログ検索ステップと、前記システムログ検索ステップにて抽出されたシステムログに示された不正な操作を行ったユーザのユーザ情報を、ディレクトリサービスシステムより取得するユーザ情報取得ステップと、を含むことを特徴とする。
【発明の効果】
【００１１】
本発明によれば、システム管理者の負担を大幅に軽減でき、また、システム管理者が自身の裁量により不正操作を分析する場合と比べ、正確かつ漏れのない管理が可能となる、という効果を奏する。
【図面の簡単な説明】
【００１２】
【図１】図１は、本発明にかかるシステムログ分析システムの、実施の形態の構成例を示す図である。
【図２】図２は、ＩＴシステムにおけるシステムログのデータ形式の一例を示す図である。
【図３】図３は、ディレクトリサービスシステムが保持するユーザ情報のデータ例を示す図である。
【図４】図４は、システムログのデータ例を示す図である。
【図５】図５は、データ形式の変換前と後におけるシステムログの例を示す図である。
【図６】図６は、システムログの変換後のデータ例を示す図である。
【図７】図７は、システムログ分析処理を説明するためのフローチャートである。
【図８】図８は、不正なログを抽出する場合を説明する図である。
【図９】図９は、不正操作を行ったユーザが検索された状態を示す図である。
【図１０】図１０は、システムログ検索処理を説明するためのフローチャートである。
【発明を実施するための形態】
【００１３】
以下に、本発明にかかるシステムログ分析方法の実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態によりこの発明が限定されるものではない。
【００１４】
実施の形態．
図１は、本発明にかかるシステムログ分析システムの、実施の形態の構成例を示す図である。図１のシステムログ分析システムは、管理サーバ１と、ＩＴシステム２と、ディレクトリサービスシステム３と、メールサーバ４と、クライアント端末５−Ｍ（Ｍ＝１，２，…）と、ネットワーク６とを備える。
【００１５】
管理サーバ１は、システムログの収集および分析を実行する情報処理端末である。ＩＴシステム２は、既存の業務システムであって、たとえば、ファイル管理システム，会計システムといった１以上のシステムを備え、各システムにおけるユーザの操作履歴を記録したシステムログを保持する。ディレクトリサービスシステム３は、ユーザやネットワーク上のリソースを一元的に管理してこれらの情報を提供するシステムであって、ユーザ情報を保持する。ディレクトリサービスの提供には、たとえば、ＬＤＡＰ（Lightweight Directory Access Protocol）を用いる。メールサーバ４は、メールを配送するためのサーバである。クライアント端末５−Ｍは、情報処理端末であって、管理サーバ１にアクセスして定期分析または不定期分析の実行を要求できる。ネットワーク６は、ＬＡＮ（Local Area Network）などの社内ネットワークである。
【００１６】
また、管理サーバ１は、一例として、システムログ収集部１１と、システムログ分析部１２と、システムログ検索部１３と、システムログ変換ルールＤＢ１４と、システムログ管理ＤＢ１５と、定期分析設定情報管理ＤＢ１６とを備える。システムログ収集部１１は、ＩＴシステム２が蓄積するシステムログを出力させ、定期分析および不定期分析が行えるデータ形式に変換してシステムログ管理ＤＢ１５に登録する。システムログ分析部１２は、システムログを定期的に自動で分析する。システムログ検索部１３は、システムログをユーザのリクエストに応じて検索および表示させる。システムログ変換ルールＤＢ１４は、システムログのデータ形式を変換するための「変換ルール」を格納するデータベースである。システムログ管理ＤＢ１５は、データ形式が変換されたシステムログを格納するデータベースである。定期分析設定情報管理ＤＢ１６は、定期分析を実行するための条件であって、不正な操作を抽出するための条件である「分析設定情報」を格納するデータベースである。
【００１７】
つづいて、以上のように構成されたシステムログ分析システムの動作について説明する。以下では、一例として、ファイルに対するアクセスを制限するファイル管理システムに対して、システムログ分析を行う場合を説明する。
【００１８】
まず、ＩＴシステム２が蓄積するシステムログを説明する。図２は、ＩＴシステム２におけるシステムログのデータ形式の一例を示す図である。図２のデータ形式は、一例として、「日時」，「ユーザ名」，「イベントＩＤ」，「マシン名」，「監査」，「操作」，「パス」といったデータ項目を備える。「日時」は、操作がなされた際のシステム時刻である。「ユーザ名」は、操作を行ったユーザの名前である。「イベントＩＤ」は、操作にかかるイベントのＩＤであって、たとえば、ファイル管理システムに対する操作，会計システムに対する操作、などのイベントを識別する。イベントは、メニューなどに対応して細分化された情報もよい。「マシン名」は、操作がなされたサーバなどの名称である。「監査」は、操作が正当な操作であるかどうかを示す。「パス」は、操作がなされたファイルへのパスである。
【００１９】
また、図３は、ディレクトリサービスシステム３が保持するユーザ情報のデータ例を示す図である。図３のユーザ情報は、一例として、「ユーザＩＤ」，「氏名」，「メールアドレス」，「組織ＩＤ」，「上長フラグ」といったデータ項目を備える。「ユーザＩＤ」は、ユーザを一意に特定する識別子である。「氏名」は、ユーザＩＤに該当するユーザの氏名である。「メールアドレス」は、当該ユーザのメールアドレスである。「組織ＩＤ」は、当該ユーザの属する部署やグループである。「上長フラグ」は、当該ユーザが上長であるかどうかを示すフラグであって、上長の場合にＯＮ（“１”）である。
【００２０】
システムログは、図３のユーザ情報を用いて、図２の形式によって、出力され蓄積されている。図４は、システムログのデータ例を示す図である。図４にて、１件目のデータ例を参照すると、「日時」：“２００９／０１／３０，０９：１５：１２”に、「ユーザ」：“Ａ＿ｕｓｅｒ１”により「イベントＩＤ」：“５６０”（たとえば、ファイル管理システムへのアクセス、を意味するとする）が、「マシン名」：“Ｓｅｒｖｅｒ−１”に対してなされたこと、「監査」：“成功の監査”（正当な操作）であり、「操作」：“削除”であって、アクセスされた「パス」：“C:\WWW\temp”であったことがわかる。
【００２１】
以上のようなシステムログが蓄積されていることを前提として、システムログ分析を実行する場合について説明する。まず、システムログを収集する処理を説明する。
【００２２】
システムログ収集部１１は、定期的に起動し、ネットワーク６を介して、ＩＴシステム２に対してシステムログの出力を要求する。ＩＴシステム２では、予め自システムにて決定されたデータ形式にてシステムログを出力し、出力したシステムログを、ネットワーク６を介してシステムログ収集部１１へ送信する。出力はテキストデータのファイルとし、ＣＳＶのような、データベースへの格納が容易に行える形式とする。システムログのデータ形式は、どのようであってもよい。出力の要求は、システムログ収集部１１が、ＩＴシステム２内のサーバ等（図示せず）に対し、telnetやＦＴＰ（File Transfer Protocol）によりリモートで接続して行う。また、システムログ収集部１１は、システムログが保管されるフォルダパスを予め自身内に設定しておき、フォルダパスに対してログの差分、すなわち、前回収集したシステム時刻より後の日時を持つログを収集する。
【００２３】
システムログ収集部１１は、システムログを受信すると、システムログ変換ルールＤＢ１４が保持する変換ルールにしたがって当該システムログのデータ形式を変換する。
【００２４】
変換ルールは、ＩＴシステム２にて稼動するシステムごとに設定する。具体的には、各システムのシステムログにおける出力される項目の並びを、システムログ分析にて必要とする項目の並びに変換する。その際、一部データを補うこともできる。また、システムログにおける一部データのみを取捨選択してもよい。
【００２５】
図５は、データ形式の変換前と後におけるシステムログの例を示す図である。図５に示すように、変換前のデータ項目は、「日時」，「ユーザ名」，「イベントＩＤ」，「マシン名」，「監査」，「操作」，「パス」といった順に並んでいる。これをファイル管理システムに対して設定された変換ルールで変換する。変換後のデータ項目は、「ログの種類」，「イベントＩＤ」，「マシン名」，「ユーザ名」，「監査」，「操作」，「日時」，「パス」といった順に並んでいる。ここで、「ログの種類」は、新たに追加された項目であって、ここでは、ファイル管理システムからのログであることを示すために“ＦＩＬＥ”という文字列がセットされる。
【００２６】
図６は、システムログの変換後のデータ例を示す図である。図６のデータ例では、図４のデータ例を変換した場合を示す。システムログ収集部１１は、このようにして変換したデータを、システムログ管理ＤＢ１５に登録する。データベース登録にあたっては、変換後のログについて、ＳＱＬ（Structured Query Language）によりインサート文を作成し、登録を実行する。
【００２７】
つぎに、システムログを定期的に分析する処理を説明する。管理サーバ１のシステムログ分析部１２は、定期的に、システムログを分析する処理を起動する。起動タイミングは、たとえば、毎週月曜日６時に実行などと設定しておく。
【００２８】
図７は、システムログ分析処理（定期分析処理）を説明するためのフローチャートである。管理サーバ１のシステムログ分析部１２は、まず、定期分析設定情報管理ＤＢ１６から「分析設定情報」を読み出す（ステップＳ１１）。そして、分析設定情報にしたがって、システムログ管理ＤＢ１５が蓄積する変換後のシステムログを検索する（ステップＳ１２）。たとえば、変換後のシステムログが図６である場合に、分析設定情報が“ログの種類がＦＩＬＥ”かつ“失敗の監査”であった場合には、不正操作となるシステムログは、図８の点線で囲むログとなる。図８は、不正なログを抽出する場合を説明する図である。点線箇所のログは、「ログの種類」が“ＦＩＬＥ”であり、「監査」が“失敗の監査”となっている。
【００２９】
管理サーバ１のシステムログ分析部１２は、このようにして不正操作に該当するログを検索すると（ステップＳ１３）、検索結果に含まれるログのユーザＩＤについて、ディレクトリサービスシステム３に問合せ、ユーザ情報を要求する。ディレクトリサービスシステム３では、問合せを受けたユーザＩＤに合致するユーザ情報、および当該ユーザＩＤの上長に該当するユーザのユーザ情報を応答する（ステップＳ１４）。
【００３０】
図９は、図２のユーザ情報において、不正操作を行ったユーザが検索された状態を示す図である。図９では、上記ユーザＩＤに該当するユーザおよび上長のユーザ情報を、点線で囲んで示す。ここでは「ユーザＩＤ」：“A＿user2”であるので、ユーザ情報を参照すると「メールアドレス」は“A＿user2@test.com”である。したがって、システムログ分析部１２は、メールアドレス“A＿user2@test.com”を宛先として、不正操作を行ったことを通知または警告するメールを生成する。また、「ユーザＩＤ」：“A＿user2”の「組織ＩＤ」は“GroupA”であるため、当該ユーザの上長は、「上長フラグ」：“１”であるユーザである“A＿userBoss”であり、「メールアドレス」は“A＿userBoss@test.com”である。したがって、システムログ分析部１２は、メールアドレス“A＿userBoss@test.com”を宛先として、「ユーザＩＤ」：“A＿user2”のユーザを氏名により特定して、当該ユーザが不正操作を行ったことを通知または警告するメールを生成する（ステップＳ１５）。
【００３１】
管理サーバ１のシステムログ分析部１２は、メールを生成すると、メールサーバ４にこれらのメールを送信する（ステップＳ１６）。メールサーバ４は、宛先にしたがってこれらのメールを配信する。なお、メールの配送は、システム側からユーザに対してのみ行われ、その逆の経路（ユーザからシステム側）には配送できないとする。
【００３２】
つぎに、システムログを不定期に分析する処理を説明する。管理サーバ１のシステムログ検索部１３は、ユーザの要求によって、不定期に、ユーザがシステムログを分析するための処理であるシステムログ検索処理を起動する。利用者には、システム管理者または上長を想定する。
【００３３】
図１０は、システムログ検索処理（不定期分析処理）を説明するためのフローチャートである。たとえば、上長が、自身のクライアント端末を用いてシステムログ検索処理の起動要求を送信する。管理サーバ１のシステムログ検索部１３は、自身に対する当該要求を検知すると（ステップＳ２１）、表示部にログイン画面を表示させる（ステップＳ２２）。当該画面にて上長がログインを行うと（ステップＳ２３）、そのログイン情報（たとえば、ユーザＩＤおよびパスワード）を受信したシステムログ検索部１３は、ディレクトリサービスシステム３に対して、当該ユーザＩＤおよびパスワードを添えて、当該ユーザが上長であるかどうかを問合せる。ディレクトリサービスシステム３では、認証を行うためのユーザＩＤとパスワードとの対応関係を保持している。指定されたユーザＩＤおよびパスワードによりユーザを認証し、認証できた場合には、さらに、ユーザ情報から上長フラグを読み出す。そして、認証結果および上長フラグを含めた応答を返信する。
【００３４】
管理サーバ１のシステムログ検索部１３は、応答にてユーザを認証した旨が通知された場合には、さらに、応答に含まれる上長フラグを取得する。そして、上長フラグがＯＮ：“１”であるかどうかをチェックし（ステップＳ２４）、上長フラグがＯＮである場合には（ステップＳ２４：Ｙｅｓ）、ユーザがシステムログの分析を行うために参照するシステムログ分析画面へのログインを許可する（ステップＳ２５）。システムログ検索部１３は、この場合、システムログ管理ＤＢ１５から変換後のシステムログを取得し、システムログ分析画面に表示させる。
【００３５】
なお、表示させるシステムログは、当該上長の組織に属するユーザのみである。すなわち、たとえば、上長が組織ＩＤ“GroupA”に所属する場合には、組織ＩＤ“GroupA”に所属するユーザＩＤに合致するシステムログのみが表示される。上長は、さらに検索条件を適宜設定して、所望のシステムログを検索する。管理サーバ１のシステムログ検索部１３は、設定された検索条件を取得すると（ステップＳ２６）、組織ＩＤ“GroupA”のシステムログを、当該検索条件にて絞り込み、その実行結果を表示させる（ステップＳ２７）。なお、メールによる通知については、システムログ検索部１３は行わない。
【００３６】
一方、上長フラグがＯＮでない場合には（ステップＳ２４：Ｎｏ）、管理サーバ１のシステムログ検索部１３は、システムログ分析画面へのログインを許可しない。この場合には、上長以外はログイン不可である旨のメッセージを画面に表示させ（ステップＳ２８）、ステップＳ２２の処理に戻る。
【００３７】
以上のシステムログ検索処理は、ユーザがシステムログ分析画面またはログイン画面を閉じるまでの間、実行される。
【００３８】
なお、図１に示す上記管理サーバ１は、本実施の形態におけるシステムログ分析処理を実現可能な一般的な計算機システムであり、たとえば、システムログ収集部１１，システムログ分析部１２，システムログ検索部１３がＣＰＵを含む制御ユニットとして動作し、システムログ変換ルールＤＢ１４，システムログ管理ＤＢ１５，定期分析設定情報管理ＤＢ１６がＲＡＭ，ＲＯＭ等を含むメモリユニットの一部として動作する。また、この計算機システムは、上記制御ユニットおよびメモリユニットの他にさらに、たとえば、表示ユニット，入力ユニット，ＣＤ−ＲＯＭドライブユニット，ディスクユニット，外部Ｉ／Ｆユニット等を備え、これらすべてのユニットは、それぞれシステムバスを介して接続されている。
【００３９】
上記制御ユニットは、本実施の形態のファイル管理機能を実現するための処理を実行する。メモリユニットは、制御ユニットが実行すべきプログラム（実施の形態の定期分析処理および不定期分析処理を実現する専用ソフトウェア），処理の過程で得られたデータ等を記憶する。また、表示ユニットは、ＣＲＴやＬＣＤ（液晶表示パネル）等で構成され、計算機システムの使用者に対して各種画面を表示する。入力ユニットは、たとえば、キーボード，マウス等で構成され、計算機システムの使用者が各種情報の入力を行うために使用する。また、ここでは、一例として、本実施の形態のシステムログ分析処理およびシステムログ検索処理を実現するための処理を記述したプログラムが、ＣＤ−ＲＯＭに格納されて提供される。
【００４０】
以上の構成において、図１の計算機システムでは、まず、ＣＤ−ＲＯＭドライブユニットにセットされたＣＤ−ＲＯＭからプログラムがディスクユニットにインストールされる。そして、計算機システムを立ち上げるときにディスクユニットから読み出されたプログラムが、メモリユニットに格納される。この状態で、制御ユニットは、メモリユニットに格納されたプログラムにしたがって、本実施の形態に示す処理を実行する。このプログラムは、上記計算機システム内で常駐プログラムとして動作する。なお、上記では、ＣＤ−ＲＯＭにてプログラムを提供しているが、このプログラムを提供する記録媒体は、これに限定されることなく、システムを構成するコンピュータに応じて、ＤＶＤ等、どのようなメディアであってもよい。
【００４１】
以上説明したように、本実施の形態では、不正操作を特定するために予め設定された条件にしたがって定期的にシステムログを自動分析し、所定の条件に合致する操作を行ったとみられるシステムログを、不正操作によるシステムログとみなして抽出する構成とした。また、本実施の形態では、ディレクトリサービスシステムと連携して、システムログの分析を行う構成とした。これにより、システム管理者の負担を大幅に軽減でき、また、システム管理者が自身の裁量により不正操作を分析する場合と比べ、正確かつ漏れのない管理が可能となる。また、一元管理されるユーザ情報を用いるので、正確かつ漏れのない分析が可能となる。
【００４２】
また、抽出したシステムログが示すユーザに対して画一的にメール送信を行う構成とした。これにより、不正操作を行ったユーザは、自身の端末にて当該メールを受信するので、自身が不正操作を行ったことを認識でき、不正操作を抑止し、さらには、機密情報などの漏洩を抑止する効果がある。また、ユーザの上長に対してもメールを送信するので、上長は、配下のスタッフなどが不正操作を行ったことを認識でき、さらに情報漏洩を抑止する効果がある。また、上長にも通知することで、上長および配下ユーザの内部統制に対する意識を向上させる効果がある。
【００４３】
また、本実施の形態では、稼動する各システムにて蓄積されるシステムログに対して、管理サーバ側でシステムごとにログの変換ルールを管理し、分析に必要なデータに変換して用いる構成とした。これにより、既存システムに手を加えずに、必要なデータを取得でき、システムに対して影響を与えることを回避でき、メンテナンスも容易となる。
【００４４】
また、本実施の形態では、組織の上長によるリクエストベースのシステムログ検索を可能とする構成とした。これにより、上長による所望するタイミングでの不定期分析が可能となり、組織単位のユーザを対象に不正操作をチェックする体制を提供できる。
【００４５】
なお、上記実施の形態では、システムログ分析部１２は予め設定されたタイミングにより起動することとしたが、さらに、システム管理者などの指示により起動するとしてもよい。
【００４６】
また、上記実施の形態では、システムログ分析部１２による分析処理またはシステムログ検索部１３による検索処理を、リモートログインにて実行する場合を示したが、これらの機能をＷｅｂシステムにて提供されることとしてもよい。この場合には、クライアント端末は、ブラウザを備える必要がある。
【産業上の利用可能性】
【００４７】
以上のように、本発明にかかるシステムログ分析方法は、システムログを蓄積するシステムである場合に有用であり、特に、システムログを用いて不正操作を管理する場合に適している。
【符号の説明】
【００４８】
１ 管理サーバ
２ ＩＴシステム
３ ディレクトリサービスシステム
４ メールサーバ
５−Ｍ クライアント端末
１１ システムログ収集部
１２ システムログ分析部
１３ システムログ検索部
１４ システムログ変換ルールＤＢ
１５ システムログ管理ＤＢ
１６ 定期分析設定情報管理ＤＢ
【技術分野】
【０００１】
本発明は、ディレクトリサービスと連携したシステムログ分析方法に関する。
【背景技術】
【０００２】
近年、企業の内部統制を適正に行うために、ＩＴシステムの監査が重要となっている。内部統制を実施する場合には、一般に、業務プロセスの実行・操作履歴（システムログなど）を記録し、セキュリティ事故発生時や障害対応時に当該システムログを分析することで情報漏洩対策などに役立てる。
【０００３】
このような場合には、従来、システム管理者がシステムログ分析を行い、不審または不正な操作がないかどうかを分析していた。さらに、不正操作と思われるシステムログを発見し、情報漏洩の発生が疑われる場合には、システム管理者は、当該不正操作を行ったユーザを具体的に特定するために、ユーザ情報（ユーザ名，組織名など）を調査する必要があった。
【０００４】
これに対し、ユーザ情報が一元的に格納されたディレクトリサービスと呼ばれるシステムと連携することで、システムログ分析を容易に実行可能とする方法が考案されている。たとえば、下記特許文献１には、Ｗｅｂコンテンツのログ分析にてディレクトリサービスを活用し、アクセスにかかるユーザおよび当該ユーザの所属組織を特定する、といった技術が開示されている。
【０００５】
また、下記特許文献２には、ユーザが印刷情報のログを参照する際にディレクトリサービスを活用することとし、各ユーザは、自身がアクセス権を有するログのみ閲覧可能とする、といった技術が開示されている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００６−１１３８０５号公報
【特許文献２】特開２００７−１２８３５９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、上記従来の技術では、ユーザおよびユーザの所属する組織を把握することは可能であるが、不正操作と思われる操作を行ったユーザに不正操作の旨を通知しないため、分析による効果が限定的である、という問題があった。
【０００８】
また、システムログ分析は、システム管理者が行うため、不正操作を行ったユーザが多数に上る場合にはシステム管理者の負担が増大する、という問題があった。
【０００９】
本発明は、上記に鑑みてなされたものであって、ユーザによる不正操作を管理可能なシステムログ分析方法を得ることを目的とする。
【課題を解決するための手段】
【００１０】
上述した課題を解決し、目的を達成するために、本発明は、ユーザによる操作の記録であるシステムログを蓄積するシステムに対して、当該システムログを出力させ、前記システムに応じた変換ルールにしたがって、出力されたシステムログを変換するシステムログ収集ステップと、変換後のシステムログを登録するシステムログ登録ステップと、変換後のシステムログを対象に、分析を実行するための条件である分析設定情報に合致するシステムログを検索することで、不正な操作とみなされるシステムログを抽出するシステムログ検索ステップと、前記システムログ検索ステップにて抽出されたシステムログに示された不正な操作を行ったユーザのユーザ情報を、ディレクトリサービスシステムより取得するユーザ情報取得ステップと、を含むことを特徴とする。
【発明の効果】
【００１１】
本発明によれば、システム管理者の負担を大幅に軽減でき、また、システム管理者が自身の裁量により不正操作を分析する場合と比べ、正確かつ漏れのない管理が可能となる、という効果を奏する。
【図面の簡単な説明】
【００１２】
【図１】図１は、本発明にかかるシステムログ分析システムの、実施の形態の構成例を示す図である。
【図２】図２は、ＩＴシステムにおけるシステムログのデータ形式の一例を示す図である。
【図３】図３は、ディレクトリサービスシステムが保持するユーザ情報のデータ例を示す図である。
【図４】図４は、システムログのデータ例を示す図である。
【図５】図５は、データ形式の変換前と後におけるシステムログの例を示す図である。
【図６】図６は、システムログの変換後のデータ例を示す図である。
【図７】図７は、システムログ分析処理を説明するためのフローチャートである。
【図８】図８は、不正なログを抽出する場合を説明する図である。
【図９】図９は、不正操作を行ったユーザが検索された状態を示す図である。
【図１０】図１０は、システムログ検索処理を説明するためのフローチャートである。
【発明を実施するための形態】
【００１３】
以下に、本発明にかかるシステムログ分析方法の実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態によりこの発明が限定されるものではない。
【００１４】
実施の形態．
図１は、本発明にかかるシステムログ分析システムの、実施の形態の構成例を示す図である。図１のシステムログ分析システムは、管理サーバ１と、ＩＴシステム２と、ディレクトリサービスシステム３と、メールサーバ４と、クライアント端末５−Ｍ（Ｍ＝１，２，…）と、ネットワーク６とを備える。
【００１５】
管理サーバ１は、システムログの収集および分析を実行する情報処理端末である。ＩＴシステム２は、既存の業務システムであって、たとえば、ファイル管理システム，会計システムといった１以上のシステムを備え、各システムにおけるユーザの操作履歴を記録したシステムログを保持する。ディレクトリサービスシステム３は、ユーザやネットワーク上のリソースを一元的に管理してこれらの情報を提供するシステムであって、ユーザ情報を保持する。ディレクトリサービスの提供には、たとえば、ＬＤＡＰ（Lightweight Directory Access Protocol）を用いる。メールサーバ４は、メールを配送するためのサーバである。クライアント端末５−Ｍは、情報処理端末であって、管理サーバ１にアクセスして定期分析または不定期分析の実行を要求できる。ネットワーク６は、ＬＡＮ（Local Area Network）などの社内ネットワークである。
【００１６】
また、管理サーバ１は、一例として、システムログ収集部１１と、システムログ分析部１２と、システムログ検索部１３と、システムログ変換ルールＤＢ１４と、システムログ管理ＤＢ１５と、定期分析設定情報管理ＤＢ１６とを備える。システムログ収集部１１は、ＩＴシステム２が蓄積するシステムログを出力させ、定期分析および不定期分析が行えるデータ形式に変換してシステムログ管理ＤＢ１５に登録する。システムログ分析部１２は、システムログを定期的に自動で分析する。システムログ検索部１３は、システムログをユーザのリクエストに応じて検索および表示させる。システムログ変換ルールＤＢ１４は、システムログのデータ形式を変換するための「変換ルール」を格納するデータベースである。システムログ管理ＤＢ１５は、データ形式が変換されたシステムログを格納するデータベースである。定期分析設定情報管理ＤＢ１６は、定期分析を実行するための条件であって、不正な操作を抽出するための条件である「分析設定情報」を格納するデータベースである。
【００１７】
つづいて、以上のように構成されたシステムログ分析システムの動作について説明する。以下では、一例として、ファイルに対するアクセスを制限するファイル管理システムに対して、システムログ分析を行う場合を説明する。
【００１８】
まず、ＩＴシステム２が蓄積するシステムログを説明する。図２は、ＩＴシステム２におけるシステムログのデータ形式の一例を示す図である。図２のデータ形式は、一例として、「日時」，「ユーザ名」，「イベントＩＤ」，「マシン名」，「監査」，「操作」，「パス」といったデータ項目を備える。「日時」は、操作がなされた際のシステム時刻である。「ユーザ名」は、操作を行ったユーザの名前である。「イベントＩＤ」は、操作にかかるイベントのＩＤであって、たとえば、ファイル管理システムに対する操作，会計システムに対する操作、などのイベントを識別する。イベントは、メニューなどに対応して細分化された情報もよい。「マシン名」は、操作がなされたサーバなどの名称である。「監査」は、操作が正当な操作であるかどうかを示す。「パス」は、操作がなされたファイルへのパスである。
【００１９】
また、図３は、ディレクトリサービスシステム３が保持するユーザ情報のデータ例を示す図である。図３のユーザ情報は、一例として、「ユーザＩＤ」，「氏名」，「メールアドレス」，「組織ＩＤ」，「上長フラグ」といったデータ項目を備える。「ユーザＩＤ」は、ユーザを一意に特定する識別子である。「氏名」は、ユーザＩＤに該当するユーザの氏名である。「メールアドレス」は、当該ユーザのメールアドレスである。「組織ＩＤ」は、当該ユーザの属する部署やグループである。「上長フラグ」は、当該ユーザが上長であるかどうかを示すフラグであって、上長の場合にＯＮ（“１”）である。
【００２０】
システムログは、図３のユーザ情報を用いて、図２の形式によって、出力され蓄積されている。図４は、システムログのデータ例を示す図である。図４にて、１件目のデータ例を参照すると、「日時」：“２００９／０１／３０，０９：１５：１２”に、「ユーザ」：“Ａ＿ｕｓｅｒ１”により「イベントＩＤ」：“５６０”（たとえば、ファイル管理システムへのアクセス、を意味するとする）が、「マシン名」：“Ｓｅｒｖｅｒ−１”に対してなされたこと、「監査」：“成功の監査”（正当な操作）であり、「操作」：“削除”であって、アクセスされた「パス」：“C:\WWW\temp”であったことがわかる。
【００２１】
以上のようなシステムログが蓄積されていることを前提として、システムログ分析を実行する場合について説明する。まず、システムログを収集する処理を説明する。
【００２２】
システムログ収集部１１は、定期的に起動し、ネットワーク６を介して、ＩＴシステム２に対してシステムログの出力を要求する。ＩＴシステム２では、予め自システムにて決定されたデータ形式にてシステムログを出力し、出力したシステムログを、ネットワーク６を介してシステムログ収集部１１へ送信する。出力はテキストデータのファイルとし、ＣＳＶのような、データベースへの格納が容易に行える形式とする。システムログのデータ形式は、どのようであってもよい。出力の要求は、システムログ収集部１１が、ＩＴシステム２内のサーバ等（図示せず）に対し、telnetやＦＴＰ（File Transfer Protocol）によりリモートで接続して行う。また、システムログ収集部１１は、システムログが保管されるフォルダパスを予め自身内に設定しておき、フォルダパスに対してログの差分、すなわち、前回収集したシステム時刻より後の日時を持つログを収集する。
【００２３】
システムログ収集部１１は、システムログを受信すると、システムログ変換ルールＤＢ１４が保持する変換ルールにしたがって当該システムログのデータ形式を変換する。
【００２４】
変換ルールは、ＩＴシステム２にて稼動するシステムごとに設定する。具体的には、各システムのシステムログにおける出力される項目の並びを、システムログ分析にて必要とする項目の並びに変換する。その際、一部データを補うこともできる。また、システムログにおける一部データのみを取捨選択してもよい。
【００２５】
図５は、データ形式の変換前と後におけるシステムログの例を示す図である。図５に示すように、変換前のデータ項目は、「日時」，「ユーザ名」，「イベントＩＤ」，「マシン名」，「監査」，「操作」，「パス」といった順に並んでいる。これをファイル管理システムに対して設定された変換ルールで変換する。変換後のデータ項目は、「ログの種類」，「イベントＩＤ」，「マシン名」，「ユーザ名」，「監査」，「操作」，「日時」，「パス」といった順に並んでいる。ここで、「ログの種類」は、新たに追加された項目であって、ここでは、ファイル管理システムからのログであることを示すために“ＦＩＬＥ”という文字列がセットされる。
【００２６】
図６は、システムログの変換後のデータ例を示す図である。図６のデータ例では、図４のデータ例を変換した場合を示す。システムログ収集部１１は、このようにして変換したデータを、システムログ管理ＤＢ１５に登録する。データベース登録にあたっては、変換後のログについて、ＳＱＬ（Structured Query Language）によりインサート文を作成し、登録を実行する。
【００２７】
つぎに、システムログを定期的に分析する処理を説明する。管理サーバ１のシステムログ分析部１２は、定期的に、システムログを分析する処理を起動する。起動タイミングは、たとえば、毎週月曜日６時に実行などと設定しておく。
【００２８】
図７は、システムログ分析処理（定期分析処理）を説明するためのフローチャートである。管理サーバ１のシステムログ分析部１２は、まず、定期分析設定情報管理ＤＢ１６から「分析設定情報」を読み出す（ステップＳ１１）。そして、分析設定情報にしたがって、システムログ管理ＤＢ１５が蓄積する変換後のシステムログを検索する（ステップＳ１２）。たとえば、変換後のシステムログが図６である場合に、分析設定情報が“ログの種類がＦＩＬＥ”かつ“失敗の監査”であった場合には、不正操作となるシステムログは、図８の点線で囲むログとなる。図８は、不正なログを抽出する場合を説明する図である。点線箇所のログは、「ログの種類」が“ＦＩＬＥ”であり、「監査」が“失敗の監査”となっている。
【００２９】
管理サーバ１のシステムログ分析部１２は、このようにして不正操作に該当するログを検索すると（ステップＳ１３）、検索結果に含まれるログのユーザＩＤについて、ディレクトリサービスシステム３に問合せ、ユーザ情報を要求する。ディレクトリサービスシステム３では、問合せを受けたユーザＩＤに合致するユーザ情報、および当該ユーザＩＤの上長に該当するユーザのユーザ情報を応答する（ステップＳ１４）。
【００３０】
図９は、図２のユーザ情報において、不正操作を行ったユーザが検索された状態を示す図である。図９では、上記ユーザＩＤに該当するユーザおよび上長のユーザ情報を、点線で囲んで示す。ここでは「ユーザＩＤ」：“A＿user2”であるので、ユーザ情報を参照すると「メールアドレス」は“A＿user2@test.com”である。したがって、システムログ分析部１２は、メールアドレス“A＿user2@test.com”を宛先として、不正操作を行ったことを通知または警告するメールを生成する。また、「ユーザＩＤ」：“A＿user2”の「組織ＩＤ」は“GroupA”であるため、当該ユーザの上長は、「上長フラグ」：“１”であるユーザである“A＿userBoss”であり、「メールアドレス」は“A＿userBoss@test.com”である。したがって、システムログ分析部１２は、メールアドレス“A＿userBoss@test.com”を宛先として、「ユーザＩＤ」：“A＿user2”のユーザを氏名により特定して、当該ユーザが不正操作を行ったことを通知または警告するメールを生成する（ステップＳ１５）。
【００３１】
管理サーバ１のシステムログ分析部１２は、メールを生成すると、メールサーバ４にこれらのメールを送信する（ステップＳ１６）。メールサーバ４は、宛先にしたがってこれらのメールを配信する。なお、メールの配送は、システム側からユーザに対してのみ行われ、その逆の経路（ユーザからシステム側）には配送できないとする。
【００３２】
つぎに、システムログを不定期に分析する処理を説明する。管理サーバ１のシステムログ検索部１３は、ユーザの要求によって、不定期に、ユーザがシステムログを分析するための処理であるシステムログ検索処理を起動する。利用者には、システム管理者または上長を想定する。
【００３３】
図１０は、システムログ検索処理（不定期分析処理）を説明するためのフローチャートである。たとえば、上長が、自身のクライアント端末を用いてシステムログ検索処理の起動要求を送信する。管理サーバ１のシステムログ検索部１３は、自身に対する当該要求を検知すると（ステップＳ２１）、表示部にログイン画面を表示させる（ステップＳ２２）。当該画面にて上長がログインを行うと（ステップＳ２３）、そのログイン情報（たとえば、ユーザＩＤおよびパスワード）を受信したシステムログ検索部１３は、ディレクトリサービスシステム３に対して、当該ユーザＩＤおよびパスワードを添えて、当該ユーザが上長であるかどうかを問合せる。ディレクトリサービスシステム３では、認証を行うためのユーザＩＤとパスワードとの対応関係を保持している。指定されたユーザＩＤおよびパスワードによりユーザを認証し、認証できた場合には、さらに、ユーザ情報から上長フラグを読み出す。そして、認証結果および上長フラグを含めた応答を返信する。
【００３４】
管理サーバ１のシステムログ検索部１３は、応答にてユーザを認証した旨が通知された場合には、さらに、応答に含まれる上長フラグを取得する。そして、上長フラグがＯＮ：“１”であるかどうかをチェックし（ステップＳ２４）、上長フラグがＯＮである場合には（ステップＳ２４：Ｙｅｓ）、ユーザがシステムログの分析を行うために参照するシステムログ分析画面へのログインを許可する（ステップＳ２５）。システムログ検索部１３は、この場合、システムログ管理ＤＢ１５から変換後のシステムログを取得し、システムログ分析画面に表示させる。
【００３５】
なお、表示させるシステムログは、当該上長の組織に属するユーザのみである。すなわち、たとえば、上長が組織ＩＤ“GroupA”に所属する場合には、組織ＩＤ“GroupA”に所属するユーザＩＤに合致するシステムログのみが表示される。上長は、さらに検索条件を適宜設定して、所望のシステムログを検索する。管理サーバ１のシステムログ検索部１３は、設定された検索条件を取得すると（ステップＳ２６）、組織ＩＤ“GroupA”のシステムログを、当該検索条件にて絞り込み、その実行結果を表示させる（ステップＳ２７）。なお、メールによる通知については、システムログ検索部１３は行わない。
【００３６】
一方、上長フラグがＯＮでない場合には（ステップＳ２４：Ｎｏ）、管理サーバ１のシステムログ検索部１３は、システムログ分析画面へのログインを許可しない。この場合には、上長以外はログイン不可である旨のメッセージを画面に表示させ（ステップＳ２８）、ステップＳ２２の処理に戻る。
【００３７】
以上のシステムログ検索処理は、ユーザがシステムログ分析画面またはログイン画面を閉じるまでの間、実行される。
【００３８】
なお、図１に示す上記管理サーバ１は、本実施の形態におけるシステムログ分析処理を実現可能な一般的な計算機システムであり、たとえば、システムログ収集部１１，システムログ分析部１２，システムログ検索部１３がＣＰＵを含む制御ユニットとして動作し、システムログ変換ルールＤＢ１４，システムログ管理ＤＢ１５，定期分析設定情報管理ＤＢ１６がＲＡＭ，ＲＯＭ等を含むメモリユニットの一部として動作する。また、この計算機システムは、上記制御ユニットおよびメモリユニットの他にさらに、たとえば、表示ユニット，入力ユニット，ＣＤ−ＲＯＭドライブユニット，ディスクユニット，外部Ｉ／Ｆユニット等を備え、これらすべてのユニットは、それぞれシステムバスを介して接続されている。
【００３９】
上記制御ユニットは、本実施の形態のファイル管理機能を実現するための処理を実行する。メモリユニットは、制御ユニットが実行すべきプログラム（実施の形態の定期分析処理および不定期分析処理を実現する専用ソフトウェア），処理の過程で得られたデータ等を記憶する。また、表示ユニットは、ＣＲＴやＬＣＤ（液晶表示パネル）等で構成され、計算機システムの使用者に対して各種画面を表示する。入力ユニットは、たとえば、キーボード，マウス等で構成され、計算機システムの使用者が各種情報の入力を行うために使用する。また、ここでは、一例として、本実施の形態のシステムログ分析処理およびシステムログ検索処理を実現するための処理を記述したプログラムが、ＣＤ−ＲＯＭに格納されて提供される。
【００４０】
以上の構成において、図１の計算機システムでは、まず、ＣＤ−ＲＯＭドライブユニットにセットされたＣＤ−ＲＯＭからプログラムがディスクユニットにインストールされる。そして、計算機システムを立ち上げるときにディスクユニットから読み出されたプログラムが、メモリユニットに格納される。この状態で、制御ユニットは、メモリユニットに格納されたプログラムにしたがって、本実施の形態に示す処理を実行する。このプログラムは、上記計算機システム内で常駐プログラムとして動作する。なお、上記では、ＣＤ−ＲＯＭにてプログラムを提供しているが、このプログラムを提供する記録媒体は、これに限定されることなく、システムを構成するコンピュータに応じて、ＤＶＤ等、どのようなメディアであってもよい。
【００４１】
以上説明したように、本実施の形態では、不正操作を特定するために予め設定された条件にしたがって定期的にシステムログを自動分析し、所定の条件に合致する操作を行ったとみられるシステムログを、不正操作によるシステムログとみなして抽出する構成とした。また、本実施の形態では、ディレクトリサービスシステムと連携して、システムログの分析を行う構成とした。これにより、システム管理者の負担を大幅に軽減でき、また、システム管理者が自身の裁量により不正操作を分析する場合と比べ、正確かつ漏れのない管理が可能となる。また、一元管理されるユーザ情報を用いるので、正確かつ漏れのない分析が可能となる。
【００４２】
また、抽出したシステムログが示すユーザに対して画一的にメール送信を行う構成とした。これにより、不正操作を行ったユーザは、自身の端末にて当該メールを受信するので、自身が不正操作を行ったことを認識でき、不正操作を抑止し、さらには、機密情報などの漏洩を抑止する効果がある。また、ユーザの上長に対してもメールを送信するので、上長は、配下のスタッフなどが不正操作を行ったことを認識でき、さらに情報漏洩を抑止する効果がある。また、上長にも通知することで、上長および配下ユーザの内部統制に対する意識を向上させる効果がある。
【００４３】
また、本実施の形態では、稼動する各システムにて蓄積されるシステムログに対して、管理サーバ側でシステムごとにログの変換ルールを管理し、分析に必要なデータに変換して用いる構成とした。これにより、既存システムに手を加えずに、必要なデータを取得でき、システムに対して影響を与えることを回避でき、メンテナンスも容易となる。
【００４４】
また、本実施の形態では、組織の上長によるリクエストベースのシステムログ検索を可能とする構成とした。これにより、上長による所望するタイミングでの不定期分析が可能となり、組織単位のユーザを対象に不正操作をチェックする体制を提供できる。
【００４５】
なお、上記実施の形態では、システムログ分析部１２は予め設定されたタイミングにより起動することとしたが、さらに、システム管理者などの指示により起動するとしてもよい。
【００４６】
また、上記実施の形態では、システムログ分析部１２による分析処理またはシステムログ検索部１３による検索処理を、リモートログインにて実行する場合を示したが、これらの機能をＷｅｂシステムにて提供されることとしてもよい。この場合には、クライアント端末は、ブラウザを備える必要がある。
【産業上の利用可能性】
【００４７】
以上のように、本発明にかかるシステムログ分析方法は、システムログを蓄積するシステムである場合に有用であり、特に、システムログを用いて不正操作を管理する場合に適している。
【符号の説明】
【００４８】
１ 管理サーバ
２ ＩＴシステム
３ ディレクトリサービスシステム
４ メールサーバ
５−Ｍ クライアント端末
１１ システムログ収集部
１２ システムログ分析部
１３ システムログ検索部
１４ システムログ変換ルールＤＢ
１５ システムログ管理ＤＢ
１６ 定期分析設定情報管理ＤＢ
【特許請求の範囲】
【請求項１】
ユーザによる操作の記録であるシステムログを蓄積するシステムに対して、当該システムログを出力させ、前記システムに応じた変換ルールにしたがって、出力されたシステムログを変換するシステムログ収集ステップと、
変換後のシステムログを登録するシステムログ登録ステップと、
変換後のシステムログを対象に、分析を実行するための条件である分析設定情報に合致するシステムログを検索することで、不正な操作とみなされるシステムログを抽出するシステムログ検索ステップと、
前記システムログ検索ステップにて抽出されたシステムログに示された不正な操作を行ったユーザのユーザ情報を、ディレクトリサービスシステムより取得するユーザ情報取得ステップと、
を含むことを特徴とするシステムログ分析方法。
【請求項２】
前記ユーザ情報取得ステップでは、ユーザ情報として、ユーザ名およびメールアドレスを取得することとし、
さらに、
前記ユーザ情報取得ステップを実行して得られたユーザ名およびメールアドレスを用いて、不正な操作を行ったユーザに対し、不正な操作を行った旨を通知するためのメールを配信する通知メール配信ステップ、
を含むことを特徴とする請求項１に記載のシステムログ分析方法。
【請求項３】
前記ユーザ情報取得ステップでは、ユーザ情報として、さらに、不正な操作を行ったユーザの上長のユーザ名およびメールアドレスを取得することとし、
さらに、
前記ユーザ情報取得ステップを実行して得られた上長のユーザ名およびメールアドレスを用いて、当該上長に対し、配下のユーザが不正な操作を行った旨を通知するためのメールを配信する上長通知メール配信ステップ、
を含むことを特徴とする請求項２に記載のシステムログ分析方法。
【請求項４】
さらに、
ユーザよりシステムログ検索処理が要求されたことを検出した場合に、当該ユーザに対してログインを要求し、入力されたログイン情報を前記ディレクトリサービスシステムに送信してユーザ認証を要求する認証要求ステップと、
前記ディレクトリサービスシステムから応答されるユーザ認証の結果、当該ユーザが上長であることが応答された場合に、当該ユーザがシステムログの分析を行うために参照するシステムログ分析画面に対するログインを許可し、変換後のシステムログのなかから当該ユーザの所属する組織に関するシステムログを抽出して当該システムログ分析画面に表示させるシステムログ提示ステップと、
検索条件が入力された場合に、当該検索条件に合致するシステムログを絞り込んで表示させる検索結果表示ステップと、
を含むことを特徴とする請求項２または３に記載のシステムログ分析方法。
【請求項５】
システムごとに、ユーザによる操作の記録であるシステムログのデータ形式を変換するための変換ルールを格納するためのシステムログ変換ルール記憶手段と、
データ形式が変換されたシステムログを格納するためのシステムログ管理手段と、
分析を実行するための条件である分析設定情報を格納するための分析設定情報管理手段と、
システムログを蓄積するシステムに対して、当該システムログの出力を要求し、また、前記システムログ変換ルール記憶手段から変換ルールを読み出して、当該変換ルールにしたがって出力されたシステムログを変換し、変換後のシステムログを前記システムログ管理手段に登録するシステムログ収集手段と、
前記分析設定情報管理手段が保持する分析設定情報を読み出し、前記システムログ管理手段が格納するシステムログを対象に、当該分析設定情報に合致するシステムログを検索して、不正な操作とみなされるシステムログを抽出し、また、抽出したシステムログにて示されるユーザのユーザ情報を、ディレクトリサービスシステムより取得するシステムログ分析手段と、
を備えることを特徴とする情報処理端末。
【請求項６】
前記システムログ分析手段は、
前記ユーザ情報として、ユーザ名およびメールアドレスを取得することとし、
さらに、
取得したユーザ名およびメールアドレスを用いて、不正な操作を行ったユーザに対し、不正な操作を行った旨を通知するためのメールを配信する制御を行う、
ことを特徴とする請求項５に記載の情報処理端末。
【請求項７】
前記システムログ分析手段は、さらに、
前記ユーザ情報として、不正な操作を行ったユーザの上長のユーザ名およびメールアドレスを取得することとし、
取得した上長のユーザ名およびメールアドレスを用いて、当該上長に対し、配下のユーザが不正な操作を行った旨を通知するためのメールを配信する制御を行う、
ことを特徴とする請求項６に記載の情報処理端末。
【請求項８】
さらに、ユーザの要求に応じてシステムログを検索および表示させる制御を行うシステムログ検索手段、
を備え、
前記システムログ検索手段は、
ユーザよりシステムログ検索処理が要求されたことを検出した場合には、当該ユーザに対してログインを要求し、入力されたログイン情報を前記ディレクトリサービスシステムに送信してユーザ認証を要求し、当該ディレクトリサービスシステムから応答されるユーザ認証の結果、当該ユーザが上長である場合には、当該ユーザがシステムログの分析を行うために参照するシステムログ分析画面に対するログインを許可し、
前記システムログ管理手段から変換後のシステムログを読み出し、当該システムログのなかから当該ユーザの所属する組織に関するシステムログを抽出して、前記システムログ分析画面に表示させる制御を行い、また、ユーザにより検索条件が入力された場合には、当該検索条件に合致するシステムログを絞り込んで表示させる制御を行う、
ことを特徴とする請求項６または７に記載の情報処理端末。
【請求項９】
請求項１〜４のいずれか１つに記載のシステムログ分析方法を、コンピュータに実行させることを特徴とするシステムログ分析プログラム。
【請求項１】
ユーザによる操作の記録であるシステムログを蓄積するシステムに対して、当該システムログを出力させ、前記システムに応じた変換ルールにしたがって、出力されたシステムログを変換するシステムログ収集ステップと、
変換後のシステムログを登録するシステムログ登録ステップと、
変換後のシステムログを対象に、分析を実行するための条件である分析設定情報に合致するシステムログを検索することで、不正な操作とみなされるシステムログを抽出するシステムログ検索ステップと、
前記システムログ検索ステップにて抽出されたシステムログに示された不正な操作を行ったユーザのユーザ情報を、ディレクトリサービスシステムより取得するユーザ情報取得ステップと、
を含むことを特徴とするシステムログ分析方法。
【請求項２】
前記ユーザ情報取得ステップでは、ユーザ情報として、ユーザ名およびメールアドレスを取得することとし、
さらに、
前記ユーザ情報取得ステップを実行して得られたユーザ名およびメールアドレスを用いて、不正な操作を行ったユーザに対し、不正な操作を行った旨を通知するためのメールを配信する通知メール配信ステップ、
を含むことを特徴とする請求項１に記載のシステムログ分析方法。
【請求項３】
前記ユーザ情報取得ステップでは、ユーザ情報として、さらに、不正な操作を行ったユーザの上長のユーザ名およびメールアドレスを取得することとし、
さらに、
前記ユーザ情報取得ステップを実行して得られた上長のユーザ名およびメールアドレスを用いて、当該上長に対し、配下のユーザが不正な操作を行った旨を通知するためのメールを配信する上長通知メール配信ステップ、
を含むことを特徴とする請求項２に記載のシステムログ分析方法。
【請求項４】
さらに、
ユーザよりシステムログ検索処理が要求されたことを検出した場合に、当該ユーザに対してログインを要求し、入力されたログイン情報を前記ディレクトリサービスシステムに送信してユーザ認証を要求する認証要求ステップと、
前記ディレクトリサービスシステムから応答されるユーザ認証の結果、当該ユーザが上長であることが応答された場合に、当該ユーザがシステムログの分析を行うために参照するシステムログ分析画面に対するログインを許可し、変換後のシステムログのなかから当該ユーザの所属する組織に関するシステムログを抽出して当該システムログ分析画面に表示させるシステムログ提示ステップと、
検索条件が入力された場合に、当該検索条件に合致するシステムログを絞り込んで表示させる検索結果表示ステップと、
を含むことを特徴とする請求項２または３に記載のシステムログ分析方法。
【請求項５】
システムごとに、ユーザによる操作の記録であるシステムログのデータ形式を変換するための変換ルールを格納するためのシステムログ変換ルール記憶手段と、
データ形式が変換されたシステムログを格納するためのシステムログ管理手段と、
分析を実行するための条件である分析設定情報を格納するための分析設定情報管理手段と、
システムログを蓄積するシステムに対して、当該システムログの出力を要求し、また、前記システムログ変換ルール記憶手段から変換ルールを読み出して、当該変換ルールにしたがって出力されたシステムログを変換し、変換後のシステムログを前記システムログ管理手段に登録するシステムログ収集手段と、
前記分析設定情報管理手段が保持する分析設定情報を読み出し、前記システムログ管理手段が格納するシステムログを対象に、当該分析設定情報に合致するシステムログを検索して、不正な操作とみなされるシステムログを抽出し、また、抽出したシステムログにて示されるユーザのユーザ情報を、ディレクトリサービスシステムより取得するシステムログ分析手段と、
を備えることを特徴とする情報処理端末。
【請求項６】
前記システムログ分析手段は、
前記ユーザ情報として、ユーザ名およびメールアドレスを取得することとし、
さらに、
取得したユーザ名およびメールアドレスを用いて、不正な操作を行ったユーザに対し、不正な操作を行った旨を通知するためのメールを配信する制御を行う、
ことを特徴とする請求項５に記載の情報処理端末。
【請求項７】
前記システムログ分析手段は、さらに、
前記ユーザ情報として、不正な操作を行ったユーザの上長のユーザ名およびメールアドレスを取得することとし、
取得した上長のユーザ名およびメールアドレスを用いて、当該上長に対し、配下のユーザが不正な操作を行った旨を通知するためのメールを配信する制御を行う、
ことを特徴とする請求項６に記載の情報処理端末。
【請求項８】
さらに、ユーザの要求に応じてシステムログを検索および表示させる制御を行うシステムログ検索手段、
を備え、
前記システムログ検索手段は、
ユーザよりシステムログ検索処理が要求されたことを検出した場合には、当該ユーザに対してログインを要求し、入力されたログイン情報を前記ディレクトリサービスシステムに送信してユーザ認証を要求し、当該ディレクトリサービスシステムから応答されるユーザ認証の結果、当該ユーザが上長である場合には、当該ユーザがシステムログの分析を行うために参照するシステムログ分析画面に対するログインを許可し、
前記システムログ管理手段から変換後のシステムログを読み出し、当該システムログのなかから当該ユーザの所属する組織に関するシステムログを抽出して、前記システムログ分析画面に表示させる制御を行い、また、ユーザにより検索条件が入力された場合には、当該検索条件に合致するシステムログを絞り込んで表示させる制御を行う、
ことを特徴とする請求項６または７に記載の情報処理端末。
【請求項９】
請求項１〜４のいずれか１つに記載のシステムログ分析方法を、コンピュータに実行させることを特徴とするシステムログ分析プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【公開番号】特開２０１１−３０９０（Ｐ２０１１−３０９０Ａ）
【公開日】平成２３年１月６日（２０１１．１．６）
【国際特許分類】
【出願番号】特願２００９−１４６７６４（Ｐ２００９−１４６７６４）
【出願日】平成２１年６月１９日（２００９．６．１９）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
【公開日】平成２３年１月６日（２０１１．１．６）
【国際特許分類】
【出願日】平成２１年６月１９日（２００９．６．１９）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
[ Back to top ]