ログ取得管理システム及び方法
【課題】 効率的且つ効果的に必要なログを取得することができるログ取得管理システム及び方法を提供する。
【解決手段】 ログ取得管理システムのログ生成部２１は、イベントの発生に応答して、ログ生成除外条件データベース（ＤＢ）３１に登録されているログ生成除外条件データのいずれかに該当するかを判別し、いずれかに該当すると判別した場合、イベントに対応するログを生成せず、また、いずれにも該当しないと判別し場合、イベントに対応するログを生成してログＤＢ３２に記憶する。ログ生成除外条件解析部２２は、ログ生成除外条件ＤＢ３１に記憶されている各ログ生成除外条件データが適正か否かを判定し、不適正なログ生成除外条件データを検出した場合、当該ログ生成除外条件データをログ生成除外条件ＤＢ３１から削除する。
【解決手段】 ログ取得管理システムのログ生成部２１は、イベントの発生に応答して、ログ生成除外条件データベース（ＤＢ）３１に登録されているログ生成除外条件データのいずれかに該当するかを判別し、いずれかに該当すると判別した場合、イベントに対応するログを生成せず、また、いずれにも該当しないと判別し場合、イベントに対応するログを生成してログＤＢ３２に記憶する。ログ生成除外条件解析部２２は、ログ生成除外条件ＤＢ３１に記憶されている各ログ生成除外条件データが適正か否かを判定し、不適正なログ生成除外条件データを検出した場合、当該ログ生成除外条件データをログ生成除外条件ＤＢ３１から削除する。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ログの収集において、取得するログを削減するためにログ生成除外条件を設定・管理するログ取得管理システム等に関する。
【背景技術】
【０００２】
従来、クライアントサーバシステムにおいて、システム障害や、データの改竄、漏洩等の不正が発生した場合、その原因等を調査する方法として、システムを構成するコンピュータで生成されたログを集約し、集約したログを用いて原因を解明する方法がある。しかし、上記方法では、原因解明に必要な情報が集約したログのうちの少数だとしても、原因解明に必要のないログを含む膨大なログを記録しなければならず、非効率的であった。このような問題の対策として、原因解明に不要と判断されたログについてはフィルタリングを行うことで記録しないという方法がある。
【０００３】
例えば、アクセスログから不当アクセスを検出する際に、全てのアクセスログを解析対象とするのではなく、予め設定した不当アクセス対象外リストに合致しないもののみを解析対象として抽出するようなシステムもある（特許文献１）。
【特許文献１】特開２００３−２８０９４５号公報（第４頁、第３図）
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかし、上記のようなシステムでは、フィルタリング条件の追加設定は手動で可能であるものの、設定したフィルタリング条件の有効性を判断し、設定内容を調整することは不可能である。上記のようなフィルタリング条件は、設定時は適正であっても、アクセス状況やイベント発生状況等の変化によりその後不適正なものとなることも多い。このため、より正確なログ解析結果を得るためには、ログの生成に関する条件はアクセス状況やイベント発生状況等に応じて適宜調整されることが望ましい。
【０００５】
本発明は、上記実状に鑑みてなされたものであり、効率的且つ効果的に必要なログを取得することができるログ取得管理システム及び方法を提供することを目的とする。
また、本発明は、状況に応じてログの生成に関する条件を自動的に調整することができるログ取得管理システム及び方法を提供することを他の目的とする。
また、本発明は、設定されたログの生成に関する条件の適正性を判定し、判定結果に基づいてログの生成に関する条件を調整することができるログ取得管理システム及び方法を提供することを他の目的とする。
【課題を解決するための手段】
【０００６】
上記目的を達成するため、この発明の第１の観点に係るログ取得管理システムは、
イベントの発生に応答して、当該イベントが、条件データベースに記憶されているログ生成の除外条件を示すログ生成除外条件データのいずれかに該当するかを判別する判別手段と、
前記イベントが前記条件データベースに記憶されているログ生成除外条件データのいずれかに該当すると判別された場合、当該イベントに対応するログを生成せず、前記イベントが前記条件データベースに記憶されているログ生成除外条件データのいずれにも該当しないと判別された場合、当該イベントに対応するログを生成してログデータベースに記憶するログ生成手段と、
前記条件データベースに記憶されている各ログ生成除外条件データが適正か否かを判定し、不適正なログ生成除外条件データを検出した場合、当該ログ生成除外条件データを前記条件データベースから削除する条件削除手段と、
を備えることを特徴とする。
【０００７】
前記判別手段により前記イベントが前記条件データベースに記憶されているログ生成除外条件データのいずれかに該当すると判別された場合、各ログ生成除外条件データの使用回数データが記憶されている使用状況データベースにおいて、前記イベントが該当すると判別されたログ生成除外条件データの使用回数データの値を更新する手段をさらに備えてもよく、
前記条件削除手段は、前記使用状況データベースに記憶されている各ログ生成除外条件データの使用回数データが所定の条件を満たすログ生成除外条件データを検出し、当該検出したログ生成除外条件データを不適正なログ生成除外条件と判定してもよい。
【０００８】
また、前記判別手段により前記イベントが前記条件データベースに記憶されているログ生成除外条件データのいずれかに該当すると判別された場合、各ログ生成除外条件データの使用回数データが所定時間毎に記憶されている使用状況データベースにおいて、前記イベントが該当すると判別されたログ生成除外条件データの使用回数データの値を更新する手段をさらに備えてもよく、
前記条件削除手段は、前記使用状況データベースに記憶されている各ログ生成除外条件データの使用回数データに基づいて、使用回数の変化量が所定の基準を超えるログ生成除外条件データを検出し、当該検出したログ生成除外条件データを不適正なログ生成除外条件と判定してもよい。
【０００９】
前記ログデータベースに記憶されているログについて、ログを構成する項目のうち出現度の高いデータ値を有する項目の組み合わせを特定する手段と、
前記特定した項目の組み合わせに基づいて、ログ生成除外条件データを生成する手段と、
前記生成されたログ生成除外条件データを、前記条件データベースに追加登録する手段と、
をさらに備えてもよい。
【００１０】
また、この発明の第２の観点に係るログ取得管理方法は、
イベントの発生に応答して、当該イベントが、条件データベースに記憶されているログ生成の除外条件を示すログ生成除外条件データのいずれかに該当するかを判別する判別ステップと、
前記イベントが前記条件データベースに記憶されているログ生成除外条件データのいずれかに該当すると判別された場合、当該イベントに対応するログを生成せず、前記イベントが前記条件データベースに記憶されているログ生成除外条件データのいずれにも該当しないと判別された場合、当該イベントに対応するログを生成してログデータベースに記憶するログ生成ステップと、
前記条件データベースに記憶されている各ログ生成除外条件データが適正か否かを判定し、不適正なログ生成除外条件データを検出した場合、当該ログ生成除外条件データを前記条件データベースから削除する条件削除ステップと、
を備えることを特徴とする。
【発明の効果】
【００１１】
効率的且つ効果的に必要なログを取得することができる。
【発明を実施するための最良の形態】
【００１２】
以下、本発明の実施の形態に係るログ取得管理システムについて図面を参照して説明する。
本実施形態に係るログ取得管理システム１のハードウェア構成図を図１に、機能構成図を図２に例示する。
ログ取得管理システム１は、制御部１１と、記憶部１２と、通信制御部１３と、を備えるコンピュータから構成される。ログ取得管理システム１は、ネットワーク１０を介して他のコンピュータと接続可能に構成される。ネットワーク１０は、例えば、ＬＡＮ、インターネット等の各種ネットワークを含む。
【００１３】
制御部１１は、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）等から構成され、記憶部１２に予め記憶された動作プログラム等を読み出して実行することにより、ログ生成部２１、ログ生成除外条件解析部２２、ログ解析部２３、ログ生成除外条件管理部２４等を論理的に実現する。
【００１４】
ログ生成部２１は、ログ取得対象のコンピュータシステムにおけるイベントの発生等に応答して、記憶部１２のログ生成除外条件ＤＢ（データベース）３１に記憶されているログ生成除外条件データに基づいて、ログを生成するかどうかを判別する。ログ生成除外条件データは、ログを生成しない条件（ルール）を示すものであり、例えば図３に示すように、条件ＩＤと、各種項目（ＩＰアドレス、ＩＤ、時間、実行コマンド等）と、のデータを含む。ログ生成部２１は、発生したイベントがログ生成除外条件ＤＢ３１に登録されているログ生成除外条件のいずれかに該当する場合にログを生成せず、また、イベントがいずれのログ生成除外条件にも該当しない場合にはイベントに対応するログを生成して、記憶部１２のログＤＢ３２に記録する。
【００１５】
また、ログ生成部２１は、ログ生成除外条件ＤＢ３１に登録されている各ログ生成除外条件データの使用回数を所定時間毎に計数する。具体的には、あるログ生成除外条件に基づいてログを生成しないと判別した場合、記憶部１２の条件使用状況ＤＢ３３に記憶されている各ログ生成除外条件の使用回数データのうち、当該判別に使用したログ生成除外条件に対応する使用回数データを特定し、例えばイベントに含まれている時間データに対応する使用回数の値に１だけ加算して更新する。条件使用状況ＤＢ３３に記憶されている使用回数データは、例えば図４に示すように、ログ生成除外条件を特定する条件ＩＤ、使用回数等のデータから構成され、各ログ生成除外条件の使用回数を所定の時間帯毎（例えば、数時間毎、日毎、週毎等）に示す。
【００１６】
ログ生成除外条件解析部２２は、条件使用状況ＤＢ３３を参照して、ログ生成除外条件ＤＢ３１に登録されているログ生成除外条件の適正性について解析し、不適正であると判定した条件については、ログ生成除外条件管理部２４にその条件ＩＤ等を削除要求とともに受け渡す。ログ生成除外条件の適正性の解析では、使用回数に著しい変化があったログ生成除外条件、即ち、使用回数の変化量が一定の基準を超えたログ生成除外条件を不適正なログ生成除外条件と判断する。具体的な判断方法は任意である。例えば、条件使用状況ＤＢ３３に記憶されている使用回数データを用いて、使用回数の平均値をログ生成除外条件毎に算出し、各ログ生成除外条件について、各時間の使用回数と、先に算出した使用回数の平均値と、の差を求め、差が予め設定された閾値（例えば、１００等）以下であれば適正なログ生成除外条件と判定し、その差が閾値より大きい場合には不適正なログ生成除外条件と判定してもよい。例えば、図４に示す使用回数データを例に説明すると、例えば条件ＩＤ”００００２”について、時期”２００４／１０／１０”の使用回数が”２”と設定されている。この条件ＩＤ”００００２”のログ生成除外条件の使用回数の平均値が”１５０”であり、予め設定されている閾値が”１００”である場合、時期”２００４／１０／１０”の使用回数”２”と平均値”１５０”の差が、閾値”１００”より大きいため、条件ＩＤ”００００２”のログ生成除外条件は不適正であると判定される。
また、不適正とする条件は、上記のものに限るものではなく、条件使用状況ＤＢ３３における使用回数が所定の条件を満たした場合に不適正なログ生成除外条件であるとする範囲において、任意の方法を用いることができる。
【００１７】
ログ解析部２３は、ログ生成部２１により生成されたログをログＤＢ３２から読み出し、読み出したログを用いて、ログを構成する項目の組み合わせのうち出現度の高い組み合わせ（相関ルール）を生成し、生成日時のデータとともに記憶部１２に記憶する。具体的には、記憶部１２に設定されている所定の抽出ルールを用いて、ログＤＢ３２から読み出したログから、ＩＰアドレス、ＩＤ、時間、実行コマンド等の所定項目について情報を抽出し、抽出した情報をログ解析情報として記憶部１２に一時的に記憶する。抽出ルールは、各種ログにおけるＩＰアドレス、ＩＤ、時間、実行コマンド等の各項目の情報の位置を示すものであり、例えば、アクセスログ、ログインログ、イベントログ、アプリケーションログ等の各種ログの書式に基づいてログの種別毎に予め生成・記憶される。そして、各ログから生成されたログ解析情報について、ＩＤ、対象ファイル、実行コマンド等の各項目ごとに各データの構成比率等を算出する。なお、算出対象項目に時間を含める場合には、例えば、時間帯（XX時台）毎の構成比率を算出してもよい。そして、最も高い構成比率を有する項目を第１の項目として特定し、第１の項目について構成比率が最も高いデータ値が設定されているログ解析情報を抽出する。そして、抽出したログ解析情報について、各項目ごとに各データの構成比率等を算出し、第１の項目の次に、最も高い構成比率を有する項目を第２の項目として特定する。このような手順を繰り返すことで、第ｎ（ｎ＝１，２，・・・）の項目を特定し、特定した項目について構成比率が最も高いデータ値を複数組み合わせることにより、相関ルールを生成する。
【００１８】
例えば、図５（Ａ）に示すようなログ解析情報が取得され、これについて図５（Ｂ）に示すような、各項目のデータの構成比率が取得された場合、最も高い構成比率（この例では、”ms_word.exe”の４０％）を有する項目は”実行コマンド”であるため、これを第１の項目として特定する。そして、”実行コマンド”に、構成比率が最も高いデータ値”ms_word.exe”が設定されているログ解析情報を抽出する。ここで例えば図６（Ａ）に示すようなログ解析情報が抽出され、これについて図６（Ｂ）に示すような、各項目のデータの構成比率が取得された場合、最も高い構成比率（この例では、”報告書.doc”の７５％）を有する項目は”対象ファイル”であるため、これを第２の項目として特定する。例えば、相関ルールを第１の項目と第２の項目を組み合わせて生成する旨が設定されている場合、例えば図６（Ｃ）に示すような、”実行コマンド：ms_word.exe、対象ファイル：報告書.doc”が設定された相関ルールが生成される。
なお、組み合わせる項目数等は任意に設定可能であり、例えば、組み合わせる項目数を３（即ち、第１、第２、第３の項目の組み合わせ）としてもよい。
【００１９】
また、ログ解析部２３は、生成した相関ルールのうち所定の基準を満たすものを選出し、選出した相関ルールを追加要求とともにログ生成除外条件管理部２４に通知する。具体的には、所定期間単位（例えば、１０日単位）等で出現率が閾値（例えば、７５％）を超える相関ルールを選出する。
この相関ルールの選出処理を具体的に説明する。例えば１０月１０日にその日までの各日に生成された相関ルールのデータが記憶部１２に記憶されていることとする。この時点において、過去１０日（即ち、１日〜１０日）に生成された各相関ルールの出現率を算出する。例えば、ある相関ルールＡ”ID:user001、ファイル：、コマンド”が１日〜１０日の間で７回生成されている場合、出現率は７０％となり、閾値７５％を下回るため選出されない。そして、翌日の１０月１１日に、過去１０日（即ち、２日〜１１日）に生成された相関ルールの出現率を算出したところ、上記の相関ルールＡが８回出現している場合、出現率は８０％となり、閾値７５％を上回るため選出されることとなる。
【００２０】
ログ生成除外条件管理部２４は、ログ生成除外条件解析部２２とログ解析部２３から通知されるデータに基づいて、ログ生成除外条件ＤＢ３１に登録されているログ生成除外条件データの更新処理を行う。具体的には、条件ＩＤを削除要求とともにログ生成除外条件解析部２２から受け取った場合、ログ生成除外条件ＤＢ３１に登録されているログ生成除外条件データのうち、受け取った条件ＩＤに対応するログ生成除外条件データを削除する。また、相関ルールを追加要求とともにログ生成除外条件解析部２２から受け取った場合、受信した相関ルールに条件ＩＤを付与し、新たなログ生成除外条件データとしてログ生成除外条件ＤＢ３１に追加登録する。このとき、追加後のログ生成除外条件について必要な集約処理を行っても良い。この集約処理について具体的に説明すると、例えば、ログ取得対象のコンピュータシステムに４人のユーザが登録されていることとする。そして、図７に示すように、現状のログ生成除外条件データＢに、ログ生成除外条件データＣを追加したとき、追加後のログ生成除外条件データＤに、ユーザ名のみが異なるログ生成除外条件データがシステムに登録されている全ユーザについて作成された場合には、それら４つのログ生成除外条件データを、”ユーザ名”については値を設定しない１つのログ生成除外条件データに集約して、新たなログ生成除外条件データＥとする。これは項目”ユーザ名”に限定されず、他の項目（対象ファイル、実行コマンド等）についても同様に処理できる。
【００２１】
記憶部１２は、例えば、ハードディスク装置等から構成され、制御部１１が実行するための動作プログラム及び処理に必要な各種データ等が記憶される。また、記憶部１２は、ログ生成除外条件ＤＢ３１、ログＤＢ３２、条件使用状況ＤＢ３３等を備える。ログ生成除外条件ＤＢ３１には、ログ生成除外条件データ（図３参照）が記憶される。ログＤＢ３２には、ログ生成部２１により生成されたログが記憶される。条件使用状況ＤＢ３３は、ログ生成除外条件ＤＢ３１に登録されている各ログ生成除外条件データの条件ＩＤと使用回数を示す使用回数データ（図４参照）が記憶される。
通信制御部１３は、ネットワーク１０を介して他のコンピュータとのデータ通信を制御する。
【００２２】
次に、本実施形態に係るログ取得管理システム１のシステム動作について説明する。
まず、ログ生成除外条件ＤＢ３１に登録されているログ生成除外条件に基づいてログを生成するログ生成処理について図８のフローチャートを参照して説明する。なお、制御部１１は、前処理として、所定のタイミングでログ生成除外条件ＤＢ３１に登録されているログ生成除外条件データを読込んでおく。この読み込みタイミングは任意であり、例えば、システム起動時とログ生成除外条件ＤＢ３１の更新後等でもよい。
【００２３】
制御部１１は、ログ取得対象のコンピュータシステムにおいて、アクセス要求、ログイン要求、アプリケーションの起動要求等のイベントの発生に応答して、予めログ生成除外条件ＤＢ３１から読み込んだログ生成除外条件データを参照し、発生したイベントがログ生成除外条件のいずれかに該当するか否かを判別する（ステップＳ１）。
ステップＳ１において、イベントがログ生成除外条件のいずれにも該当しないと判別した場合（ステップＳ１：ＮＯ）、制御部１１は、イベントに対応するログを生成してログＤＢ３２に記憶して（ステップＳ２）、本処理を終了する。
また、ステップＳ１において、イベントがログ生成除外条件のいずれかに該当すると判別した場合（ステップＳ１：ＹＥＳ）、ログは生成せず、ステップＳ１の判別に使用されたログ生成除外条件（イベントが該当すると判別されたログ生成除外条件）の条件ＩＤを特定し、条件使用状況ＤＢ３３において、先に特定した条件ＩＤに対応する使用回数の値に１だけ加算して（ステップＳ３）、本処理を終了する。
【００２４】
次に、ログ生成除外条件ＤＢ３１に登録されているログ生成除外条件データについて適正性を判定し、不適正なログ生成除外条件を検出して削除するログ生成除外条件削除処理について図９のフローチャートを参照して説明する。なお本処理は例えば、所定時間毎（例えば、１日毎等）に実行される。
【００２５】
制御部１１は、条件使用状況ＤＢ３３から使用回数データを読み込み（ステップＳ１１）、読み込んだデータに基づいて、各ログ生成除外条件の適正性を解析する処理を行う（ステップＳ１２）。具体的には、各ログ生成除外条件データについて、使用回数に著しい変化があるかについて解析する。例えば、使用回数の平均値をログ生成除外条件毎に算出し、各ログ生成除外条件について、各時間の使用回数と、先に算出した使用回数の平均値と、の差を求め、差が予め設定された閾値（例えば、１００等）以下であれば適正なログ生成除外条件と判定し、その差が閾値より大きい場合には不適正なログ生成除外条件と判定し、各ログ生成除外条件についての判定結果を記憶部１２に記憶する。
【００２６】
全てのログ生成除外条件について解析が終了すると、不適正と判定されたログ生成除外条件が存在するかを判別し（ステップＳ１３）、存在する場合には（ステップＳ１３：ＹＥＳ）、その条件ＩＤに対応するログ生成除外条件データをログ生成除外条件ＤＢ３１から削除する（ステップＳ１４）。不適正と判定されたログ生成除外条件が存在しない場合（ステップＳ１３：ＮＯ）、そのまま本処理を終了する。
これにより、不適正となったログ生成除外条件についてはログ生成除外条件ＤＢ３１から削除することができる。
【００２７】
次に、生成されたログに基づいて新たに追加すべきログ生成除外条件を検出し、ログ生成除外条件ＤＢ３１に追加登録するログ生成除外条件追加処理について図１０を参照して説明する。なお本処理は例えば、所定時間毎（例えば、１日毎等）に実行される。
【００２８】
制御部１１は、ログＤＢ３２に記憶されているログを読み込み（ステップＳ２１）、読み込んだログを解析して、ログを構成する項目の組み合わせのうち出現度の高い組み合わせである相関ルールを生成し、生成日時とともに記憶部１２に記憶する（ステップＳ２２）。
次に、制御部１１は、例えば１０日等の所定期間等において生成された各相関ルールの出現率を算出し（ステップＳ２３）、算出された出現率が閾値を超える相関ルールが存在するかを判別する（ステップＳ２４）。
出現率が閾値を超える相関ルールが存在する場合（ステップＳ２４：ＹＥＳ）、該当する相関ルールに条件ＩＤを付与する等してログ生成除外条件データを生成し、ログ生成除外条件ＤＢ３１に追加登録する（ステップＳ２５）。
また、出現率が閾値を超える相関ルールが存在しない場合（ステップＳ２４：ＮＯ）、そのまま本処理を終了する。
これにより、頻繁に出現するログを取得対象から除外し、ログ取得の効率を高めることができる。
【００２９】
以上説明したように、本発明によれば、ログ生成に関する条件（ログ生成除外条件）に基づいてログを取得するシステムにおいて、生成されたログに基づいて新たなログ生成除外条件を追加登録し、また、設定したログ生成除外条件について適正性を判定し、不適正と判定したものについては、登録から削除することにより、適正なログ生成除外条件を保持することができるため、効率的に効果的に必要なログを取得することができる。
【００３０】
なお、本発明は種々の変形や応用が適用可能である。
例えば、相関ルールの生成処理において、Aprioriアルゴリズム等の既存の手法を用いてもよい。
また、上記実施形態では、ログ取得管理システムを１台のコンピュータにより実現した場合について説明しているが、システム構成はこれに限定されず、例えば、ログ生成部２１を一のコンピュータで実現し、ログ生成除外条件解析部２２とログ解析部２３とログ生成除外条件管理部２４を他のコンピュータで実現し、これらのコンピュータをネットワークにより接続する構成としてもよい。この場合、各ＤＢ３１、３２、３３は、いずれのコンピュータに設けても良い。
【００３１】
なお、この発明のシステムは、専用のシステムによらず、通常のコンピュータシステムを用いて実現可能である。例えば、上述の動作を実行するためのプログラムをコンピュータ読み取り可能な記録媒体（ＦＤ、ＣＤ−ＲＯＭ、ＤＶＤ等）に格納して配布し、該プログラムをコンピュータにインストールすることにより、ログ取得管理システム１を構成してもよい。また、インターネット等のネットワーク１０上のサーバ装置が有するディスク装置に格納しておき、例えばコンピュータにダウンロード等するようにしてもよい。
また、上述の機能を、ＯＳが分担又はＯＳとアプリケーションの共同により実現する場合等には、ＯＳ以外の部分のみを媒体に格納して配布してもよく、また、コンピュータにダウンロード等してもよい。
【図面の簡単な説明】
【００３２】
【図１】本発明の実施形態に係るログ取得管理システムのハードウェア構成を例示する図である。
【図２】図１のログ取得管理システムの機能構成を例示する図である。
【図３】ログ生成除外条件データのデータ構造の一例を示す図である。
【図４】使用回数データのデータ構造の一例を示す図である。
【図５】相関ルールの生成処理を具体的に説明するための図である。
【図６】相関ルールの生成処理を具体的に説明するための図である。
【図７】ログ生成除外条件の集約処理を説明するための図である。
【図８】ログ生成処理を説明するためのフローチャートである。
【図９】ログ生成除外条件削除処理を説明するためのフローチャートである。
【図１０】ログ生成除外条件追加処理を説明するためのフローチャートである。
【符号の説明】
【００３３】
１ ログ取得管理システム
１０ ネットワーク
１１ 制御部
１２ 記憶部
１３ 通信制御部
２１ ログ生成部
２２ ログ生成除外条件解析部
２３ ログ解析部
２４ ログ生成除外条件管理部
３１ ログ生成除外条件ＤＢ
３２ ログＤＢ
３３ 条件使用状況ＤＢ
【技術分野】
【０００１】
この発明は、ログの収集において、取得するログを削減するためにログ生成除外条件を設定・管理するログ取得管理システム等に関する。
【背景技術】
【０００２】
従来、クライアントサーバシステムにおいて、システム障害や、データの改竄、漏洩等の不正が発生した場合、その原因等を調査する方法として、システムを構成するコンピュータで生成されたログを集約し、集約したログを用いて原因を解明する方法がある。しかし、上記方法では、原因解明に必要な情報が集約したログのうちの少数だとしても、原因解明に必要のないログを含む膨大なログを記録しなければならず、非効率的であった。このような問題の対策として、原因解明に不要と判断されたログについてはフィルタリングを行うことで記録しないという方法がある。
【０００３】
例えば、アクセスログから不当アクセスを検出する際に、全てのアクセスログを解析対象とするのではなく、予め設定した不当アクセス対象外リストに合致しないもののみを解析対象として抽出するようなシステムもある（特許文献１）。
【特許文献１】特開２００３−２８０９４５号公報（第４頁、第３図）
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかし、上記のようなシステムでは、フィルタリング条件の追加設定は手動で可能であるものの、設定したフィルタリング条件の有効性を判断し、設定内容を調整することは不可能である。上記のようなフィルタリング条件は、設定時は適正であっても、アクセス状況やイベント発生状況等の変化によりその後不適正なものとなることも多い。このため、より正確なログ解析結果を得るためには、ログの生成に関する条件はアクセス状況やイベント発生状況等に応じて適宜調整されることが望ましい。
【０００５】
本発明は、上記実状に鑑みてなされたものであり、効率的且つ効果的に必要なログを取得することができるログ取得管理システム及び方法を提供することを目的とする。
また、本発明は、状況に応じてログの生成に関する条件を自動的に調整することができるログ取得管理システム及び方法を提供することを他の目的とする。
また、本発明は、設定されたログの生成に関する条件の適正性を判定し、判定結果に基づいてログの生成に関する条件を調整することができるログ取得管理システム及び方法を提供することを他の目的とする。
【課題を解決するための手段】
【０００６】
上記目的を達成するため、この発明の第１の観点に係るログ取得管理システムは、
イベントの発生に応答して、当該イベントが、条件データベースに記憶されているログ生成の除外条件を示すログ生成除外条件データのいずれかに該当するかを判別する判別手段と、
前記イベントが前記条件データベースに記憶されているログ生成除外条件データのいずれかに該当すると判別された場合、当該イベントに対応するログを生成せず、前記イベントが前記条件データベースに記憶されているログ生成除外条件データのいずれにも該当しないと判別された場合、当該イベントに対応するログを生成してログデータベースに記憶するログ生成手段と、
前記条件データベースに記憶されている各ログ生成除外条件データが適正か否かを判定し、不適正なログ生成除外条件データを検出した場合、当該ログ生成除外条件データを前記条件データベースから削除する条件削除手段と、
を備えることを特徴とする。
【０００７】
前記判別手段により前記イベントが前記条件データベースに記憶されているログ生成除外条件データのいずれかに該当すると判別された場合、各ログ生成除外条件データの使用回数データが記憶されている使用状況データベースにおいて、前記イベントが該当すると判別されたログ生成除外条件データの使用回数データの値を更新する手段をさらに備えてもよく、
前記条件削除手段は、前記使用状況データベースに記憶されている各ログ生成除外条件データの使用回数データが所定の条件を満たすログ生成除外条件データを検出し、当該検出したログ生成除外条件データを不適正なログ生成除外条件と判定してもよい。
【０００８】
また、前記判別手段により前記イベントが前記条件データベースに記憶されているログ生成除外条件データのいずれかに該当すると判別された場合、各ログ生成除外条件データの使用回数データが所定時間毎に記憶されている使用状況データベースにおいて、前記イベントが該当すると判別されたログ生成除外条件データの使用回数データの値を更新する手段をさらに備えてもよく、
前記条件削除手段は、前記使用状況データベースに記憶されている各ログ生成除外条件データの使用回数データに基づいて、使用回数の変化量が所定の基準を超えるログ生成除外条件データを検出し、当該検出したログ生成除外条件データを不適正なログ生成除外条件と判定してもよい。
【０００９】
前記ログデータベースに記憶されているログについて、ログを構成する項目のうち出現度の高いデータ値を有する項目の組み合わせを特定する手段と、
前記特定した項目の組み合わせに基づいて、ログ生成除外条件データを生成する手段と、
前記生成されたログ生成除外条件データを、前記条件データベースに追加登録する手段と、
をさらに備えてもよい。
【００１０】
また、この発明の第２の観点に係るログ取得管理方法は、
イベントの発生に応答して、当該イベントが、条件データベースに記憶されているログ生成の除外条件を示すログ生成除外条件データのいずれかに該当するかを判別する判別ステップと、
前記イベントが前記条件データベースに記憶されているログ生成除外条件データのいずれかに該当すると判別された場合、当該イベントに対応するログを生成せず、前記イベントが前記条件データベースに記憶されているログ生成除外条件データのいずれにも該当しないと判別された場合、当該イベントに対応するログを生成してログデータベースに記憶するログ生成ステップと、
前記条件データベースに記憶されている各ログ生成除外条件データが適正か否かを判定し、不適正なログ生成除外条件データを検出した場合、当該ログ生成除外条件データを前記条件データベースから削除する条件削除ステップと、
を備えることを特徴とする。
【発明の効果】
【００１１】
効率的且つ効果的に必要なログを取得することができる。
【発明を実施するための最良の形態】
【００１２】
以下、本発明の実施の形態に係るログ取得管理システムについて図面を参照して説明する。
本実施形態に係るログ取得管理システム１のハードウェア構成図を図１に、機能構成図を図２に例示する。
ログ取得管理システム１は、制御部１１と、記憶部１２と、通信制御部１３と、を備えるコンピュータから構成される。ログ取得管理システム１は、ネットワーク１０を介して他のコンピュータと接続可能に構成される。ネットワーク１０は、例えば、ＬＡＮ、インターネット等の各種ネットワークを含む。
【００１３】
制御部１１は、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）等から構成され、記憶部１２に予め記憶された動作プログラム等を読み出して実行することにより、ログ生成部２１、ログ生成除外条件解析部２２、ログ解析部２３、ログ生成除外条件管理部２４等を論理的に実現する。
【００１４】
ログ生成部２１は、ログ取得対象のコンピュータシステムにおけるイベントの発生等に応答して、記憶部１２のログ生成除外条件ＤＢ（データベース）３１に記憶されているログ生成除外条件データに基づいて、ログを生成するかどうかを判別する。ログ生成除外条件データは、ログを生成しない条件（ルール）を示すものであり、例えば図３に示すように、条件ＩＤと、各種項目（ＩＰアドレス、ＩＤ、時間、実行コマンド等）と、のデータを含む。ログ生成部２１は、発生したイベントがログ生成除外条件ＤＢ３１に登録されているログ生成除外条件のいずれかに該当する場合にログを生成せず、また、イベントがいずれのログ生成除外条件にも該当しない場合にはイベントに対応するログを生成して、記憶部１２のログＤＢ３２に記録する。
【００１５】
また、ログ生成部２１は、ログ生成除外条件ＤＢ３１に登録されている各ログ生成除外条件データの使用回数を所定時間毎に計数する。具体的には、あるログ生成除外条件に基づいてログを生成しないと判別した場合、記憶部１２の条件使用状況ＤＢ３３に記憶されている各ログ生成除外条件の使用回数データのうち、当該判別に使用したログ生成除外条件に対応する使用回数データを特定し、例えばイベントに含まれている時間データに対応する使用回数の値に１だけ加算して更新する。条件使用状況ＤＢ３３に記憶されている使用回数データは、例えば図４に示すように、ログ生成除外条件を特定する条件ＩＤ、使用回数等のデータから構成され、各ログ生成除外条件の使用回数を所定の時間帯毎（例えば、数時間毎、日毎、週毎等）に示す。
【００１６】
ログ生成除外条件解析部２２は、条件使用状況ＤＢ３３を参照して、ログ生成除外条件ＤＢ３１に登録されているログ生成除外条件の適正性について解析し、不適正であると判定した条件については、ログ生成除外条件管理部２４にその条件ＩＤ等を削除要求とともに受け渡す。ログ生成除外条件の適正性の解析では、使用回数に著しい変化があったログ生成除外条件、即ち、使用回数の変化量が一定の基準を超えたログ生成除外条件を不適正なログ生成除外条件と判断する。具体的な判断方法は任意である。例えば、条件使用状況ＤＢ３３に記憶されている使用回数データを用いて、使用回数の平均値をログ生成除外条件毎に算出し、各ログ生成除外条件について、各時間の使用回数と、先に算出した使用回数の平均値と、の差を求め、差が予め設定された閾値（例えば、１００等）以下であれば適正なログ生成除外条件と判定し、その差が閾値より大きい場合には不適正なログ生成除外条件と判定してもよい。例えば、図４に示す使用回数データを例に説明すると、例えば条件ＩＤ”００００２”について、時期”２００４／１０／１０”の使用回数が”２”と設定されている。この条件ＩＤ”００００２”のログ生成除外条件の使用回数の平均値が”１５０”であり、予め設定されている閾値が”１００”である場合、時期”２００４／１０／１０”の使用回数”２”と平均値”１５０”の差が、閾値”１００”より大きいため、条件ＩＤ”００００２”のログ生成除外条件は不適正であると判定される。
また、不適正とする条件は、上記のものに限るものではなく、条件使用状況ＤＢ３３における使用回数が所定の条件を満たした場合に不適正なログ生成除外条件であるとする範囲において、任意の方法を用いることができる。
【００１７】
ログ解析部２３は、ログ生成部２１により生成されたログをログＤＢ３２から読み出し、読み出したログを用いて、ログを構成する項目の組み合わせのうち出現度の高い組み合わせ（相関ルール）を生成し、生成日時のデータとともに記憶部１２に記憶する。具体的には、記憶部１２に設定されている所定の抽出ルールを用いて、ログＤＢ３２から読み出したログから、ＩＰアドレス、ＩＤ、時間、実行コマンド等の所定項目について情報を抽出し、抽出した情報をログ解析情報として記憶部１２に一時的に記憶する。抽出ルールは、各種ログにおけるＩＰアドレス、ＩＤ、時間、実行コマンド等の各項目の情報の位置を示すものであり、例えば、アクセスログ、ログインログ、イベントログ、アプリケーションログ等の各種ログの書式に基づいてログの種別毎に予め生成・記憶される。そして、各ログから生成されたログ解析情報について、ＩＤ、対象ファイル、実行コマンド等の各項目ごとに各データの構成比率等を算出する。なお、算出対象項目に時間を含める場合には、例えば、時間帯（XX時台）毎の構成比率を算出してもよい。そして、最も高い構成比率を有する項目を第１の項目として特定し、第１の項目について構成比率が最も高いデータ値が設定されているログ解析情報を抽出する。そして、抽出したログ解析情報について、各項目ごとに各データの構成比率等を算出し、第１の項目の次に、最も高い構成比率を有する項目を第２の項目として特定する。このような手順を繰り返すことで、第ｎ（ｎ＝１，２，・・・）の項目を特定し、特定した項目について構成比率が最も高いデータ値を複数組み合わせることにより、相関ルールを生成する。
【００１８】
例えば、図５（Ａ）に示すようなログ解析情報が取得され、これについて図５（Ｂ）に示すような、各項目のデータの構成比率が取得された場合、最も高い構成比率（この例では、”ms_word.exe”の４０％）を有する項目は”実行コマンド”であるため、これを第１の項目として特定する。そして、”実行コマンド”に、構成比率が最も高いデータ値”ms_word.exe”が設定されているログ解析情報を抽出する。ここで例えば図６（Ａ）に示すようなログ解析情報が抽出され、これについて図６（Ｂ）に示すような、各項目のデータの構成比率が取得された場合、最も高い構成比率（この例では、”報告書.doc”の７５％）を有する項目は”対象ファイル”であるため、これを第２の項目として特定する。例えば、相関ルールを第１の項目と第２の項目を組み合わせて生成する旨が設定されている場合、例えば図６（Ｃ）に示すような、”実行コマンド：ms_word.exe、対象ファイル：報告書.doc”が設定された相関ルールが生成される。
なお、組み合わせる項目数等は任意に設定可能であり、例えば、組み合わせる項目数を３（即ち、第１、第２、第３の項目の組み合わせ）としてもよい。
【００１９】
また、ログ解析部２３は、生成した相関ルールのうち所定の基準を満たすものを選出し、選出した相関ルールを追加要求とともにログ生成除外条件管理部２４に通知する。具体的には、所定期間単位（例えば、１０日単位）等で出現率が閾値（例えば、７５％）を超える相関ルールを選出する。
この相関ルールの選出処理を具体的に説明する。例えば１０月１０日にその日までの各日に生成された相関ルールのデータが記憶部１２に記憶されていることとする。この時点において、過去１０日（即ち、１日〜１０日）に生成された各相関ルールの出現率を算出する。例えば、ある相関ルールＡ”ID:user001、ファイル：、コマンド”が１日〜１０日の間で７回生成されている場合、出現率は７０％となり、閾値７５％を下回るため選出されない。そして、翌日の１０月１１日に、過去１０日（即ち、２日〜１１日）に生成された相関ルールの出現率を算出したところ、上記の相関ルールＡが８回出現している場合、出現率は８０％となり、閾値７５％を上回るため選出されることとなる。
【００２０】
ログ生成除外条件管理部２４は、ログ生成除外条件解析部２２とログ解析部２３から通知されるデータに基づいて、ログ生成除外条件ＤＢ３１に登録されているログ生成除外条件データの更新処理を行う。具体的には、条件ＩＤを削除要求とともにログ生成除外条件解析部２２から受け取った場合、ログ生成除外条件ＤＢ３１に登録されているログ生成除外条件データのうち、受け取った条件ＩＤに対応するログ生成除外条件データを削除する。また、相関ルールを追加要求とともにログ生成除外条件解析部２２から受け取った場合、受信した相関ルールに条件ＩＤを付与し、新たなログ生成除外条件データとしてログ生成除外条件ＤＢ３１に追加登録する。このとき、追加後のログ生成除外条件について必要な集約処理を行っても良い。この集約処理について具体的に説明すると、例えば、ログ取得対象のコンピュータシステムに４人のユーザが登録されていることとする。そして、図７に示すように、現状のログ生成除外条件データＢに、ログ生成除外条件データＣを追加したとき、追加後のログ生成除外条件データＤに、ユーザ名のみが異なるログ生成除外条件データがシステムに登録されている全ユーザについて作成された場合には、それら４つのログ生成除外条件データを、”ユーザ名”については値を設定しない１つのログ生成除外条件データに集約して、新たなログ生成除外条件データＥとする。これは項目”ユーザ名”に限定されず、他の項目（対象ファイル、実行コマンド等）についても同様に処理できる。
【００２１】
記憶部１２は、例えば、ハードディスク装置等から構成され、制御部１１が実行するための動作プログラム及び処理に必要な各種データ等が記憶される。また、記憶部１２は、ログ生成除外条件ＤＢ３１、ログＤＢ３２、条件使用状況ＤＢ３３等を備える。ログ生成除外条件ＤＢ３１には、ログ生成除外条件データ（図３参照）が記憶される。ログＤＢ３２には、ログ生成部２１により生成されたログが記憶される。条件使用状況ＤＢ３３は、ログ生成除外条件ＤＢ３１に登録されている各ログ生成除外条件データの条件ＩＤと使用回数を示す使用回数データ（図４参照）が記憶される。
通信制御部１３は、ネットワーク１０を介して他のコンピュータとのデータ通信を制御する。
【００２２】
次に、本実施形態に係るログ取得管理システム１のシステム動作について説明する。
まず、ログ生成除外条件ＤＢ３１に登録されているログ生成除外条件に基づいてログを生成するログ生成処理について図８のフローチャートを参照して説明する。なお、制御部１１は、前処理として、所定のタイミングでログ生成除外条件ＤＢ３１に登録されているログ生成除外条件データを読込んでおく。この読み込みタイミングは任意であり、例えば、システム起動時とログ生成除外条件ＤＢ３１の更新後等でもよい。
【００２３】
制御部１１は、ログ取得対象のコンピュータシステムにおいて、アクセス要求、ログイン要求、アプリケーションの起動要求等のイベントの発生に応答して、予めログ生成除外条件ＤＢ３１から読み込んだログ生成除外条件データを参照し、発生したイベントがログ生成除外条件のいずれかに該当するか否かを判別する（ステップＳ１）。
ステップＳ１において、イベントがログ生成除外条件のいずれにも該当しないと判別した場合（ステップＳ１：ＮＯ）、制御部１１は、イベントに対応するログを生成してログＤＢ３２に記憶して（ステップＳ２）、本処理を終了する。
また、ステップＳ１において、イベントがログ生成除外条件のいずれかに該当すると判別した場合（ステップＳ１：ＹＥＳ）、ログは生成せず、ステップＳ１の判別に使用されたログ生成除外条件（イベントが該当すると判別されたログ生成除外条件）の条件ＩＤを特定し、条件使用状況ＤＢ３３において、先に特定した条件ＩＤに対応する使用回数の値に１だけ加算して（ステップＳ３）、本処理を終了する。
【００２４】
次に、ログ生成除外条件ＤＢ３１に登録されているログ生成除外条件データについて適正性を判定し、不適正なログ生成除外条件を検出して削除するログ生成除外条件削除処理について図９のフローチャートを参照して説明する。なお本処理は例えば、所定時間毎（例えば、１日毎等）に実行される。
【００２５】
制御部１１は、条件使用状況ＤＢ３３から使用回数データを読み込み（ステップＳ１１）、読み込んだデータに基づいて、各ログ生成除外条件の適正性を解析する処理を行う（ステップＳ１２）。具体的には、各ログ生成除外条件データについて、使用回数に著しい変化があるかについて解析する。例えば、使用回数の平均値をログ生成除外条件毎に算出し、各ログ生成除外条件について、各時間の使用回数と、先に算出した使用回数の平均値と、の差を求め、差が予め設定された閾値（例えば、１００等）以下であれば適正なログ生成除外条件と判定し、その差が閾値より大きい場合には不適正なログ生成除外条件と判定し、各ログ生成除外条件についての判定結果を記憶部１２に記憶する。
【００２６】
全てのログ生成除外条件について解析が終了すると、不適正と判定されたログ生成除外条件が存在するかを判別し（ステップＳ１３）、存在する場合には（ステップＳ１３：ＹＥＳ）、その条件ＩＤに対応するログ生成除外条件データをログ生成除外条件ＤＢ３１から削除する（ステップＳ１４）。不適正と判定されたログ生成除外条件が存在しない場合（ステップＳ１３：ＮＯ）、そのまま本処理を終了する。
これにより、不適正となったログ生成除外条件についてはログ生成除外条件ＤＢ３１から削除することができる。
【００２７】
次に、生成されたログに基づいて新たに追加すべきログ生成除外条件を検出し、ログ生成除外条件ＤＢ３１に追加登録するログ生成除外条件追加処理について図１０を参照して説明する。なお本処理は例えば、所定時間毎（例えば、１日毎等）に実行される。
【００２８】
制御部１１は、ログＤＢ３２に記憶されているログを読み込み（ステップＳ２１）、読み込んだログを解析して、ログを構成する項目の組み合わせのうち出現度の高い組み合わせである相関ルールを生成し、生成日時とともに記憶部１２に記憶する（ステップＳ２２）。
次に、制御部１１は、例えば１０日等の所定期間等において生成された各相関ルールの出現率を算出し（ステップＳ２３）、算出された出現率が閾値を超える相関ルールが存在するかを判別する（ステップＳ２４）。
出現率が閾値を超える相関ルールが存在する場合（ステップＳ２４：ＹＥＳ）、該当する相関ルールに条件ＩＤを付与する等してログ生成除外条件データを生成し、ログ生成除外条件ＤＢ３１に追加登録する（ステップＳ２５）。
また、出現率が閾値を超える相関ルールが存在しない場合（ステップＳ２４：ＮＯ）、そのまま本処理を終了する。
これにより、頻繁に出現するログを取得対象から除外し、ログ取得の効率を高めることができる。
【００２９】
以上説明したように、本発明によれば、ログ生成に関する条件（ログ生成除外条件）に基づいてログを取得するシステムにおいて、生成されたログに基づいて新たなログ生成除外条件を追加登録し、また、設定したログ生成除外条件について適正性を判定し、不適正と判定したものについては、登録から削除することにより、適正なログ生成除外条件を保持することができるため、効率的に効果的に必要なログを取得することができる。
【００３０】
なお、本発明は種々の変形や応用が適用可能である。
例えば、相関ルールの生成処理において、Aprioriアルゴリズム等の既存の手法を用いてもよい。
また、上記実施形態では、ログ取得管理システムを１台のコンピュータにより実現した場合について説明しているが、システム構成はこれに限定されず、例えば、ログ生成部２１を一のコンピュータで実現し、ログ生成除外条件解析部２２とログ解析部２３とログ生成除外条件管理部２４を他のコンピュータで実現し、これらのコンピュータをネットワークにより接続する構成としてもよい。この場合、各ＤＢ３１、３２、３３は、いずれのコンピュータに設けても良い。
【００３１】
なお、この発明のシステムは、専用のシステムによらず、通常のコンピュータシステムを用いて実現可能である。例えば、上述の動作を実行するためのプログラムをコンピュータ読み取り可能な記録媒体（ＦＤ、ＣＤ−ＲＯＭ、ＤＶＤ等）に格納して配布し、該プログラムをコンピュータにインストールすることにより、ログ取得管理システム１を構成してもよい。また、インターネット等のネットワーク１０上のサーバ装置が有するディスク装置に格納しておき、例えばコンピュータにダウンロード等するようにしてもよい。
また、上述の機能を、ＯＳが分担又はＯＳとアプリケーションの共同により実現する場合等には、ＯＳ以外の部分のみを媒体に格納して配布してもよく、また、コンピュータにダウンロード等してもよい。
【図面の簡単な説明】
【００３２】
【図１】本発明の実施形態に係るログ取得管理システムのハードウェア構成を例示する図である。
【図２】図１のログ取得管理システムの機能構成を例示する図である。
【図３】ログ生成除外条件データのデータ構造の一例を示す図である。
【図４】使用回数データのデータ構造の一例を示す図である。
【図５】相関ルールの生成処理を具体的に説明するための図である。
【図６】相関ルールの生成処理を具体的に説明するための図である。
【図７】ログ生成除外条件の集約処理を説明するための図である。
【図８】ログ生成処理を説明するためのフローチャートである。
【図９】ログ生成除外条件削除処理を説明するためのフローチャートである。
【図１０】ログ生成除外条件追加処理を説明するためのフローチャートである。
【符号の説明】
【００３３】
１ ログ取得管理システム
１０ ネットワーク
１１ 制御部
１２ 記憶部
１３ 通信制御部
２１ ログ生成部
２２ ログ生成除外条件解析部
２３ ログ解析部
２４ ログ生成除外条件管理部
３１ ログ生成除外条件ＤＢ
３２ ログＤＢ
３３ 条件使用状況ＤＢ
【特許請求の範囲】
【請求項１】
イベントの発生に応答して、当該イベントが、条件データベースに記憶されているログ生成の除外条件を示すログ生成除外条件データのいずれかに該当するかを判別する判別手段と、
前記イベントが前記条件データベースに記憶されているログ生成除外条件データのいずれかに該当すると判別された場合、当該イベントに対応するログを生成せず、前記イベントが前記条件データベースに記憶されているログ生成除外条件データのいずれにも該当しないと判別された場合、当該イベントに対応するログを生成してログデータベースに記憶するログ生成手段と、
前記条件データベースに記憶されている各ログ生成除外条件データが適正か否かを判定し、不適正なログ生成除外条件データを検出した場合、当該ログ生成除外条件データを前記条件データベースから削除する条件削除手段と、
を備えることを特徴とするログ取得管理システム。
【請求項２】
前記判別手段により前記イベントが前記条件データベースに記憶されているログ生成除外条件データのいずれかに該当すると判別された場合、各ログ生成除外条件データの使用回数データが記憶されている使用状況データベースにおいて、前記イベントが該当すると判別されたログ生成除外条件データの使用回数データの値を更新する手段をさらに備え、
前記条件削除手段は、前記使用状況データベースに記憶されている各ログ生成除外条件データの使用回数データが所定の条件を満たすログ生成除外条件データを検出し、当該検出したログ生成除外条件データを不適正なログ生成除外条件と判定する、
ことを特徴とする請求項１に記載のログ取得管理システム。
【請求項３】
前記判別手段により前記イベントが前記条件データベースに記憶されているログ生成除外条件データのいずれかに該当すると判別された場合、各ログ生成除外条件データの使用回数データが所定時間毎に記憶されている使用状況データベースにおいて、前記イベントが該当すると判別されたログ生成除外条件データの使用回数データの値を更新する手段をさらに備え、
前記条件削除手段は、前記使用状況データベースに記憶されている各ログ生成除外条件データの使用回数データに基づいて、使用回数の変化量が所定の基準を超えるログ生成除外条件データを検出し、当該検出したログ生成除外条件データを不適正なログ生成除外条件と判定する、
ことを特徴とする請求項１又は２に記載のログ取得管理システム。
【請求項４】
前記ログデータベースに記憶されているログについて、ログを構成する項目のうち出現度の高いデータ値を有する項目の組み合わせを特定する手段と、
前記特定した項目の組み合わせに基づいて、ログ生成除外条件データを生成する手段と、
前記生成されたログ生成除外条件データを、前記条件データベースに追加登録する手段と、
をさらに備えることを特徴とする請求項１乃至３のいずれか１項に記載のログ取得管理システム。
【請求項５】
イベントの発生に応答して、当該イベントが、条件データベースに記憶されているログ生成の除外条件を示すログ生成除外条件データのいずれかに該当するかを判別する判別ステップと、
前記イベントが前記条件データベースに記憶されているログ生成除外条件データのいずれかに該当すると判別された場合、当該イベントに対応するログを生成せず、前記イベントが前記条件データベースに記憶されているログ生成除外条件データのいずれにも該当しないと判別された場合、当該イベントに対応するログを生成してログデータベースに記憶するログ生成ステップと、
前記条件データベースに記憶されている各ログ生成除外条件データが適正か否かを判定し、不適正なログ生成除外条件データを検出した場合、当該ログ生成除外条件データを前記条件データベースから削除する条件削除ステップと、
を備えることを特徴とするログ取得管理方法。
【請求項１】
イベントの発生に応答して、当該イベントが、条件データベースに記憶されているログ生成の除外条件を示すログ生成除外条件データのいずれかに該当するかを判別する判別手段と、
前記イベントが前記条件データベースに記憶されているログ生成除外条件データのいずれかに該当すると判別された場合、当該イベントに対応するログを生成せず、前記イベントが前記条件データベースに記憶されているログ生成除外条件データのいずれにも該当しないと判別された場合、当該イベントに対応するログを生成してログデータベースに記憶するログ生成手段と、
前記条件データベースに記憶されている各ログ生成除外条件データが適正か否かを判定し、不適正なログ生成除外条件データを検出した場合、当該ログ生成除外条件データを前記条件データベースから削除する条件削除手段と、
を備えることを特徴とするログ取得管理システム。
【請求項２】
前記判別手段により前記イベントが前記条件データベースに記憶されているログ生成除外条件データのいずれかに該当すると判別された場合、各ログ生成除外条件データの使用回数データが記憶されている使用状況データベースにおいて、前記イベントが該当すると判別されたログ生成除外条件データの使用回数データの値を更新する手段をさらに備え、
前記条件削除手段は、前記使用状況データベースに記憶されている各ログ生成除外条件データの使用回数データが所定の条件を満たすログ生成除外条件データを検出し、当該検出したログ生成除外条件データを不適正なログ生成除外条件と判定する、
ことを特徴とする請求項１に記載のログ取得管理システム。
【請求項３】
前記判別手段により前記イベントが前記条件データベースに記憶されているログ生成除外条件データのいずれかに該当すると判別された場合、各ログ生成除外条件データの使用回数データが所定時間毎に記憶されている使用状況データベースにおいて、前記イベントが該当すると判別されたログ生成除外条件データの使用回数データの値を更新する手段をさらに備え、
前記条件削除手段は、前記使用状況データベースに記憶されている各ログ生成除外条件データの使用回数データに基づいて、使用回数の変化量が所定の基準を超えるログ生成除外条件データを検出し、当該検出したログ生成除外条件データを不適正なログ生成除外条件と判定する、
ことを特徴とする請求項１又は２に記載のログ取得管理システム。
【請求項４】
前記ログデータベースに記憶されているログについて、ログを構成する項目のうち出現度の高いデータ値を有する項目の組み合わせを特定する手段と、
前記特定した項目の組み合わせに基づいて、ログ生成除外条件データを生成する手段と、
前記生成されたログ生成除外条件データを、前記条件データベースに追加登録する手段と、
をさらに備えることを特徴とする請求項１乃至３のいずれか１項に記載のログ取得管理システム。
【請求項５】
イベントの発生に応答して、当該イベントが、条件データベースに記憶されているログ生成の除外条件を示すログ生成除外条件データのいずれかに該当するかを判別する判別ステップと、
前記イベントが前記条件データベースに記憶されているログ生成除外条件データのいずれかに該当すると判別された場合、当該イベントに対応するログを生成せず、前記イベントが前記条件データベースに記憶されているログ生成除外条件データのいずれにも該当しないと判別された場合、当該イベントに対応するログを生成してログデータベースに記憶するログ生成ステップと、
前記条件データベースに記憶されている各ログ生成除外条件データが適正か否かを判定し、不適正なログ生成除外条件データを検出した場合、当該ログ生成除外条件データを前記条件データベースから削除する条件削除ステップと、
を備えることを特徴とするログ取得管理方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【公開番号】特開２００６−１６３９３１（Ｐ２００６−１６３９３１Ａ）
【公開日】平成１８年６月２２日（２００６．６．２２）
【国際特許分類】
【出願番号】特願２００４−３５５６２６（Ｐ２００４−３５５６２６）
【出願日】平成１６年１２月８日（２００４．１２．８）
【出願人】（０００１０２７２８）株式会社エヌ・ティ・ティ・データ (438)
【Ｆターム（参考）】
【公開日】平成１８年６月２２日（２００６．６．２２）
【国際特許分類】
【出願日】平成１６年１２月８日（２００４．１２．８）
【出願人】（０００１０２７２８）株式会社エヌ・ティ・ティ・データ (438)
【Ｆターム（参考）】
[ Back to top ]