ログ監視システムおよびログ監視方法
【課題】ログを多重化する際に必要なリソースを低減するとともに、管理者によるログの改ざんに対応することができるようにする。
【解決手段】業務サーバ１０と、業務監視サーバ２０とは管理者が異なる。業務サーバ１０は、業務ログ記憶部１５１を監視し、条件を満たす業務ログが登録された場合、業務ログを監視ログとして監視ログ記憶部１５２に登録し、監視ログを業務監視サーバ２０に送信する。業務監視サーバ２０は、業務サーバ１０から送信される監視ログを受信し、監視ログを監視ログ記憶部２５３に登録し、業務サーバ１０の監視ログ記憶部１５２に記録されている監視ログと、業務監視サーバ２０の監視ログ記憶部２５３に記憶されている監視ログとが一致するかどうかにより、監視ログに対する改ざんの有無を判定する。
【解決手段】業務サーバ１０と、業務監視サーバ２０とは管理者が異なる。業務サーバ１０は、業務ログ記憶部１５１を監視し、条件を満たす業務ログが登録された場合、業務ログを監視ログとして監視ログ記憶部１５２に登録し、監視ログを業務監視サーバ２０に送信する。業務監視サーバ２０は、業務サーバ１０から送信される監視ログを受信し、監視ログを監視ログ記憶部２５３に登録し、業務サーバ１０の監視ログ記憶部１５２に記録されている監視ログと、業務監視サーバ２０の監視ログ記憶部２５３に記憶されている監視ログとが一致するかどうかにより、監視ログに対する改ざんの有無を判定する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ログ監視システムおよびログ監視方法に関する。
【背景技術】
【０００２】
コンピュータシステムの不正使用などの使用状況を事後的に監査するべく、システムの動作をログとして記録することが行われている。ログが改ざんされると適切な監査を行うことができないため、ログの改ざんを防止するための各種の技術が提案されている。例えば、特許文献１には、ログを多重化し、あるログが改ざんされた場合に、他のログから改ざんされたログを復元するシステムが提案されている。また、特許文献２には、主ログファイルのハッシュ値と、副ログファイルのハッシュ値とを照合することにより、ログの改ざんを検知するシステムが開示されている。
【特許文献１】特開２００１−１４２７６４号公報
【特許文献２】特開２０００−２８５０７６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
特許文献１に記載のシステムでは、ログは全て多重化されるので、多重化される個数分のリソースが追加的に必要になる。特許文献２には、主ログの一部の項目のみを副ログとして記録することは記載されているものの、全ての主ログに対応する副ログも生成されることになる。
しかしながら、一般にログの数は膨大であるので、ログを多重化する際に必要なリソースを低減したいというニーズがある。
また、上記従来技術では、システムの管理者によりログが改ざんされることを想定していない。
【０００４】
本発明は、このような背景を鑑みてなされたものであり、ログを多重化する際に必要なリソースを低減するとともに、管理者によるログの改ざんに対応することのできるログ監視システムおよびログ監視方法を提供することを目的とする。
【課題を解決するための手段】
【０００５】
上記課題を解決するための本発明のうち、第１サーバと、前記第１サーバに通信可能に接続される、前記第１サーバを管理する管理者とは異なる管理者により管理される第２サーバと、を含んで構成され、前記第１サーバは、当該第１サーバによる処理の実行履歴を表す実行ログを記憶する実行ログ記憶部と、監視対象となる前記実行ログを特定するための条件を記憶する条件記憶部と、前記実行ログ記憶部を監視し、前記条件を満たす前記実行ログが登録された場合に、当該実行ログを監視ログとして決定する監視ログ決定部と、前記監視ログを記憶する第１監視ログ記憶部と、前記監視ログを前記第２サーバに送信する監視ログ送信部と、を備え、前記第２サーバは、前記第１サーバから送信される監視ログを受信する監視ログ受信部と、前記監視ログを記憶する第２監視ログ記憶部と、前記第１サーバの前記第１監視ログ記憶部に記録されている前記監視ログと当該第２サーバの前記第２監視ログ記憶部に記憶されている前記監視ログとが一致するかどうかにより、前記監視ログに対する改ざんの有無を判定する改ざん判定部と、を備えることとする。
【０００６】
本発明のログ監視システムによれば、第１サーバに記録される実行ログのうち条件に見合うもののみが、第１サーバにおいて監視ログとして二重化されるとともに、第１サーバの管理者とは異なる管理者が管理する第２サーバにも記録される。したがって、監視対象の実行ログが改ざんされた場合にも、第１サーバにおいて、監視ログと比較することにより改ざんを検出することが可能であり、監視ログから実行ログを復旧することもできる。また、第２サーバは、第１サーバとは異なる管理者により管理されるので、第１サーバの管理者が実行ログとともに監視ログも改ざんしたような場合であっても、第２サーバに記録される監視ログと比較することにより改ざんを検出し、第２サーバの監視ログから実行ログを復旧することができる。
【０００７】
また、本発明のうち請求項２に記載の発明は、請求項１に記載のログ監視システムであって、前記第２サーバは、前記改ざん判定部により前記改ざんが無いと判定された場合に、前記監視ログを削除するように指示するコマンドである監視ログ削除要求を送信する監視ログ削除要求送信部を備え、前記第１サーバは、前記第２サーバから送信される、前記監視ログ削除要求を受信する監視ログ削除要求受信部と、前記監視ログ削除要求に応じて前記監視ログ記憶部に記憶されている前記監視ログを削除する監視ログ削除部と、を備えることとする。
この場合、改ざんが無いと判定された監視ログについては、第１サーバから削除して、第２サーバのみで管理することにより、第１サーバにおけるログの二重化にかかるリソースの消費量を低減することができる。
【０００８】
また、本発明のうち請求項３に記載の発明は、請求項１に記載のログ監視システムであって、前記第１サーバは、前記第１監視ログ記憶部に記憶されている前記監視ログ全体に所定のハッシュ関数を適用して第１のハッシュ値を算出する第１ハッシュ値算出部と、前記第１のハッシュ値を前記第２サーバに送信するハッシュ値送信部と、を備え、前記第２サーバは、前記第１のハッシュ値を受信するハッシュ値受信部と、前記第２監視ログ記憶部に記憶されている前記監視ログ全体に前記所定のハッシュ関数を適用して第２のハッシュ値を算出する第２ハッシュ値算出部と、を備え、前記改ざん判定部は、前記第１および第２のハッシュ値を比較して、前記改ざんの有無を判定することとする。
この場合、第１サーバに記録される監視ログを第２サーバに送信することなく、ハッシュ値のみを送信すればよいので、データの通信量を低減し、迅速な比較処理を行うことができる。
【０００９】
また、本発明のうち請求項４に記載の発明は、請求項３に記載のログ監視システムであって、前記実行ログには、前記コマンドが実行された日時が含まれており、前記第１サーバは、前記管理者が前記第１サーバにログインした日時であるログイン日時、および前記管理者が前記第１サーバからログオフした日時であるログオフ日時を取得するログイン監視部と、前記第１ハッシュ値算出部は、前記第１監視ログ記憶部に記憶されている前記監視ログのうち、前記日時が前記ログイン日時以後であり、かつ、前記日時が前記ログオフ日時以前のものについて前記第１のハッシュ値を算出し、前記ハッシュ値送信部は、前記第１のハッシュ値に前記ログイン日時および前記ログオフ日時を付帯させて送信し、前記第２ハッシュ値算出部は、前記第２監視ログ記憶部に記憶されている前記監視ログのうち、前記日時が前記第１のハッシュ値に付帯されている前記ログイン日時以後であり、かつ、前記日時が前記第１のハッシュ値に付帯されている前記ログオフ日時以前である前記監視ログについて前記第２のハッシュ値を算出することとする。
この場合、第１サーバに管理者がログインしている間の操作のみを監視対象とすることができる。したがって、大量の実行ログが発生する場合にも、全てのログを検査の対象としなくてもよいので、処理効率を向上することができる。
【００１０】
また、本発明のうち請求項５に記載の発明は、請求項１に記載のログ監視システムであって、前記第１サーバは、ＣＰＵと監視プログラムを記憶するメモリとを備え、前記監視ログ決定部および前記監視ログ送信部は、前記ＣＰＵが前記監視プログラムを実行することにより実現され、前記第２サーバは、前記第１サーバにおいて前記監視プログラムが動作しているかどうかを問い合わせるコマンドである動作確認要求を前記第１サーバに送信する動作確認要求送信部を備え、前記第１サーバは、前記動作確認要求を受信する動作確認要求受信部と、前記監視プログラムが実行されているか否かを示す動作状態情報を前記第２サーバに送信する動作状態送信部と、を備え、前記第２サーバは、前記第１サーバから送信される前記動作状態情報を受信する動作状態受信部と、前記動作状態情報が、前記監視プログラムが実行されていないことを示している場合に、その旨を示すメッセージを含む前記監視ログを生成して前記第２監視ログ記憶部に登録する動作監視部と、を備えることとする。
この場合、第１サーバにおいて監視プログラムが実行されているかどうかを、第２サーバから監視することができる。したがって、第１サーバにおいて、管理者が、監視プログラムの実行を停止し、第２サーバに監視ログが送信されないようにした場合でも、それを検知することができる。よって、監視ログが確実に第１サーバから第２サーバに送信されるようにすることができる。
【００１１】
また、本発明のうち請求項６に記載の発明は、請求項１に記載のログ監視システムであって、前記第１サーバは、前記第１監視ログ記憶部に記憶されている前記監視ログと、前記実行ログ記憶部に記憶されている、前記監視ログに対応する前記実行ログとの間に相違があるか否かにより前記実行ログに対する改ざんの有無を判定する改ざん判定部と、前記改ざん判定部により前記改ざんが有ると判定された場合に、その旨を報知する改ざん報知部と、を備えることとする。
この場合、実行ログと監視ログとの比較により、監視対象となる実行ログに改ざんがなされたかどうかを、第１サーバが判定し、報知することができる。したがって、第２サーバのみならず、第１サーバにおいても改ざんを検知することで、より改ざんの検出を確実に行うことができる。
【００１２】
また、本発明のうち請求項７に記載の発明は、請求項１に記載のログ監視システムであって、前記第１サーバおよび前記第２サーバのそれぞれと通信可能に接続される第３サーバを含み、前記第１サーバの前記監視ログ送信部は、前記監視ログを前記第２サーバに送信するとともに、前記第３サーバにも送信し、前記第３サーバは、前記第１サーバから送信される前記監視ログを受信する監視ログ受信部と、前記監視ログを記憶する第３監視ログ記憶部と、を備えることとする。
この場合、監視ログを第１サーバ、第２サーバ、および第３サーバの３箇所に多重化することができる。したがって、第１サーバの管理者と、第２サーバの管理者とが結託して監視ログを改ざんしたような場合でも、第３サーバに記録される監視ログを用いて実行ログの監査を行うことができる。
【００１３】
また、本発明のうち請求項８に記載の発明は、請求項１に記載のログ監視システムであって、前記第１サーバおよび前記第２サーバのそれぞれと通信可能に接続される第３サーバを含み、前記第２サーバは、前記条件を含む設定データの入力を受け付ける設定データ入力部と、前記設定データを、前記第１サーバおよび前記第３サーバのそれぞれに送信する設定データ送信部と、を備え、前記第３サーバは、前記第２サーバから送信される前記設定データを受信する設定データ受信部と、前記第１サーバにおいて記憶されている前記条件を取得するためのコマンドである条件取得要求を前記第１サーバに送信する条件取得要求送信部と、を備え、前記第１サーバは、前記第２サーバから送信される前記設定データを受信する設定データ受信部と、前記設定データに含まれている前記条件を前記条件記憶部に登録する条件登録部と、前記第３サーバから送信される前記条件取得要求を受信する条件取得要求受信部と、前記条件取得要求に応じて、前記条件記憶部に記憶されている前記条件を前記第３サーバに送信する条件送信部と、を備え、前記第３サーバは、前記条件取得要求に応じて前記第１サーバから送信される前記条件を受信する条件受信部と、前記第２サーバから受信した前記設定データに含まれている前記条件と、前記第１サーバから受信した前記条件とを比較して、前記条件に対する改ざんの有無を判定する条件改ざん判定部と、を備えることとする。
この場合、第１サーバにおいて、第２サーバに入力された条件と同じ条件を用いて監視ログの抽出が行われているかどうかを確認することができる。したがって、第１サーバの管理者が、不正操作に係る実行ログが監視ログとして抽出されないように、条件を改ざんしたような場合にも、それを検知することができる。よって、監視対象となる実行ログを確実に監視ログとして抽出するようにし、信頼性の高い監視ログを記録することができる。
【００１４】
その他本願が開示する課題やその解決方法については、発明の実施形態の欄及び図面により明らかにされる。
【発明の効果】
【００１５】
本発明によれば、ログを多重化する際に必要なリソースを低減するとともに、管理者によるログの改ざんに対応することができる。
【発明を実施するための最良の形態】
【００１６】
＝＝システム構成＝＝
以下、本発明の一実施形態に係る不正監視システムについて説明する。
図１は、本実施形態の不正監視システムの全体構成を示す図である。本実施形態の不正監視システムは、業務サーバ１０、業務監視サーバ２０、操作監視サーバ３０を含んで構成されている。本実施形態では、業務サーバ１０の管理者と、業務監視サーバ２０の管理者と、操作監視サーバ３０の管理者とは、それぞれ異なるものとする。
【００１７】
業務サーバ１０（本発明の第１サーバに該当する。）は、アプリケーションプログラムを実行することにより各種の業務に係る情報処理サービスを提供する、例えば、パーソナルコンピュータやワークステーションなどのコンピュータである。業務サーバ１０では、アプリケーションプログラム（以下、業務プログラムという。）の実行経過や実行結果を示す情報（以下、業務ログという。本発明の実行ログに該当する。）が記憶される。
【００１８】
本実施形態の不正監視システムは、業務サーバ１０の管理者による不正な操作を監視するものであり、業務サーバ１０において記録されている業務ログの改ざんや、適切な業務ログが記録されないような不正な設定などを防止するものである。
【００１９】
業務監視サーバ２０（本発明の第２サーバに該当する。）は、業務サーバ１０において実行される、業務ログを監視するためのアプリケーションプログラム（以下、監視プログラムという。）の設定を行い、業務サーバ１０において監視プログラムが動作していることを監視するとともに、業務サーバ１０から送信される、業務ログや、管理者のログインに関するログ、管理者が行った情報へのアクセスに関するログなど（以下、監視ログという。詳細に付いては後述する。）を受信して記録する。
【００２０】
このように、本実施形態では、業務サーバ１０および業務監視サーバ２０の両方に業務ログが記録されることにより、業務サーバ１０に記録された業務ログと、業務監視サーバ２０に記録された業務ログとを比較することにより、業務サーバ１０において業務ログが改ざんされたことを検出することができるようにしている。
【００２１】
本実施形態の不正監視システムでは、業務サーバ１０と業務監視サーバ２０とは、異なる管理者により管理されるものとする。これにより、業務サーバ１０の管理者が業務ログを改ざんしたとしても、業務監視サーバ２０にも業務ログが記録されるので、これらを照合することにより改ざんを検知することができる。よって、業務ログの改ざんの危険性を低減することができる。
【００２２】
業務監視サーバ２０はまた、業務サーバ１０に対して監視プログラムの設定を行うごとに、監視プログラムの設定内容を記述したデータ（以下、設定データという。）を記録するとともに、操作監視サーバ３０に送信する。
【００２３】
操作監視サーバ３０（本発明の第３サーバに該当する。）は、業務監視サーバ２０から送信される設定データを受信して記録するとともに、業務サーバ１０にアクセスして設定データを取得し、業務サーバ１０から取得した設定データと、業務監視サーバ２０から受信して記録した設定データとを比較する。
【００２４】
このように、本実施形態では、業務監視サーバ２０が送信した設定データと、業務サーバ１０において実際に使用されている設定データとを比較することにより、業務サーバ１０において業務ログを監視するための監視プログラムの設定データが改ざんされたことを検出することができるようにしている。
【００２５】
業務サーバ１０では、監視プログラムが実行され、後述するように、業務ログが記録されるごとに、記録された業務ログなどを含む監視ログを業務監視サーバ２０に送信する。
以下、詳細について説明する。
【００２６】
＝＝業務サーバ１０＝＝
図２は、業務サーバ１０のハードウェア構成を示す図である。
業務サーバ１０は、ＣＰＵ１０１、メモリ１０２、記憶装置１０３、通信インタフェース１０４、入力装置１０５、出力装置１０６を備えている。
【００２７】
記憶装置１０３には、業務プログラム１１や監視プログラム１２などの、各種のプログラムやデータを記憶する。記憶装置１０３は、例えば、ハードディスクドライブやフラッシュメモリ、ＣＤ−ＲＯＭドライブなどである。
ＣＰＵ１０１は、記憶装置１０３に記憶されている業務プログラム１１や監視プログラム１２などのプログラムをメモリ１０２に読み出して実行することにより各種の機能を実現する。
【００２８】
通信インタフェース１０４は、通信ネットワーク４０に接続するためのインタフェースである。通信インタフェース１０４は、例えば、イーサネット（登録商標）やフレームリレー網などに接続するためのアダプタや、電話回線網に接続するためのモデム、無線通信を行うための無線通信器などである。
【００２９】
入力装置１０５は、利用者からデータの入力を受け付ける、例えばキーボードやマウス、タッチパネル、マイクロフォンなどである。出力装置１０６は、データを出力する、例えばディスプレイやプリンタなどである。
【００３０】
図３は、業務サーバ１０の機能ブロック図である。
業務サーバ１０は、業務処理部１１１、設定データ受信部１１２、業務ログ監視部１１３、アクセス監視部１１４、監視ログ送信部１１５、ログ比較部１１６、ログハッシュ値送信部１１７、監視ログ削除要求受信部１１８、アラート通知受信部１１９、アラート表示部１２０、動作確認要求受信部１２１、動作状態送信部１２２、設定データ取得要求受信部１２３、設定データ送信部１２４、業務ログ記憶部１５１、監視ログ記憶部１５２、設定データ記憶部１５３を備えている。
【００３１】
なお、上記業務処理部１１１は、業務サーバ１０のＣＰＵ１０１が記憶装置１０３に記憶されている業務プログラム１１をメモリ１０２に読み出して実行することにより実現され、設定データ受信部１１２、業務ログ監視部１１３、アクセス監視部１１４、監視ログ送信部１１５、ログ比較部１１６、ログハッシュ値送信部１１７、監視ログ削除要求受信部１１８、アラート通知受信部１１９、アラート表示部１２０、動作確認要求受信部１２１、動作状態送信部１２２、設定データ取得要求受信部１２３、および設定データ送信部１２４は、ＣＰＵ１０１が記憶装置１０３に記憶されている監視プログラム１２をメモリ１０２に読み出して実行することにより実現される。また、業務ログ記憶部１５１、監視ログ記憶部１５２、および設定データ記憶部１５３は、メモリ１０２や記憶装置１０３の記憶領域として実現される。
【００３２】
業務処理部１１１は、各種の業務に関する情報処理を行う。また業務処理部１１１は、情報処理の結果を業務ログとして業務ログ記憶部１５１（本発明の実行ログ記憶部に該当する。）に登録する。なお、本実施形態では、管理者の業務サーバ１０へのログインやログオフに関する処理（ログイン監視部）も業務処理部１１１により実現されるものとするが、ログインやログオフを監視するログイン監視部を別途設けるようにしてもよい。この場合、ログイン監視部は、例えば、オペレーティングシステムからのシグナルを受けて、あるいは、オペレーティングシステムが管理している、ログイン中のユーザの一覧表を監視して、管理者のログインやログオフを検出するようにすることができる。
【００３３】
図４は、業務ログ記憶部１５１が記憶する業務ログの一例を示す図である。
業務ログ記憶部１５１に記憶される業務ログは、日時、ログレベル、プログラム、ユーザ、およびメッセージを含んでいる。なお、ログレベルは、業務ログの重要度を示し、プログラムは、業務ログを生成した業務プログラム１１などのプログラムの名称を示し、ユーザは、プログラムを実行した管理者や一般ユーザのユーザ名である。本実施形態では、管理者のユーザ名は「ｒｏｏｔ」であるものとする。
【００３４】
監視ログ記憶部１５２は、業務ログのうち後述する条件にマッチするもの（以下、監視ログという。）を記憶する。図５は、監視ログ記憶部１５２に記憶される監視ログの構成例を示す図である。
監視ログ記憶部１５２に記憶される監視ログの構成は業務ログと同様であり、監視ログも、日時、ログレベル、プログラム、ユーザ、およびメッセージを含んでいる。
【００３５】
設定データ記憶部１５３（本発明の条件記憶部に該当する。）は、監視プログラム１２の設定が記述された設定データを記憶する。
図６は、設定データ記憶部１５３に記憶される設定データの一例を示す図である。同図に示すように、設定データは、監視ログ判定条件、機密情報判定条件、および監視プログラム用エリアを含んでいる。
【００３６】
監視ログ判定条件は、監視ログとして選択すべき業務ログの条件である。後述するように、監視ログ判定条件を満たす業務ログは、監視ログとして監視ログ記憶部１５２に記憶されるとともに、業務監視サーバ２０に送信される。
【００３７】
機密情報判定条件は、個人情報や営業秘密情報などの機密情報が格納されているファイルのパスにマッチする条件である。後述するように、機密情報判定条件にマッチする文字列が業務ログに含まれている場合、機密情報に対するアクセスがあったとものして、その旨を示す監視ログが登録される。
【００３８】
監視プログラム用エリアは、監視プログラム１２や設定データなど、監視プログラム１２の実行に必要なデータが格納されている場所を示す情報である。後述するように、監視プログラム用エリアに対するデータの書き込みがあった場合には、その旨を示す監視ログが登録される。
【００３９】
なお、上述した業務ログ記憶部１５１、監視ログ記憶部１５２、および設定データ記憶部１５３は、業務サーバ１０が備える記憶装置１０３やメモリ１０２の記憶領域として実現される。
【００４０】
設定データ受信部１１２（本発明の設定データ受信部および条件登録部に該当する。）は、業務監視サーバ２０から送信される設定データを受信し、受信した設定データを設定データ記憶部１５３に登録する。
【００４１】
業務ログ監視部１１３（本発明の監視ログ決定部に該当する。）は、業務ログ記憶部１５１を監視し、新たな業務ログが追加されると、その業務ログを監視ログとして監視ログ記憶部１５２に登録する。図７は、業務ログ監視部１１３の処理の流れを示す図である。
【００４２】
業務ログ監視部１１３は、業務ログ記憶部１５１に新たな業務ログが追加されると（Ｓ４０１）、追加された操作ログが、設定データの監視ログ判定条件にマッチするかどうかを判定する（Ｓ４０２）。
業務ログ監視部１１３は、追加された業務ログが監視ログ判定条件にマッチした場合（Ｓ４０２：ＹＥＳ）、その業務ログを監視ログとして監視ログ記憶部１５２に登録する（Ｓ４０３）。
また、業務ログ監視部１１３は、追加された業務ログに、設定データの情報判定条件にマッチする文字列が含まれている場合には（Ｓ４０４：ＹＥＳ）、現在日時、所定のログレベル（本実施形態では「ＷＡＲＮ」とする。）、監視プログラム１２の名称（本実施形態では「ｌｏｇｍｏｎｉｔｏｒ」とする。）、監視プログラムを実行しているユーザ（本実施形態では「ｌｏｇ」とする。）、および、機密情報へのアクセスがあった旨を示すメッセージ（本実施形態では、マッチした文字列に「へのアクセス」を連結した文字列とする。）を含む監視ログを生成し（Ｓ４０５）、生成した監視ログを監視ログ記憶部１５２に登録する。
【００４３】
以上のようにして、業務ログ監視部１１３は、業務ログ記憶部１５１に記憶された業務ログのうち、設定データの監視ログ判定条件にマッチするもののみを抽出して、監視ログとして監視ログ記憶部１５２に登録することができる。
【００４４】
業務ログには、例えば、ファイルのリスト表示やメモリの使用状況の表示を行うコマンドなど、監視対象とならないコマンドの実行結果に係るものも多く含まれるので、業務ログの全てを複製しなくても、不正操作となりうる可能性のあるもののみを監視ログとして複製することにより、管理者の不正操作を事後的に監査することが可能である。したがって、本実施形態の不正監視システムによれば、設定データとして、監視対象となる業務ログの条件を指定しておくことで、必要な業務ログのみを、改ざん検知のために二重化することができる。よって、ログの複製によるリソースの消費量を抑制し、効率的に不正操作の監視を行うことが可能となる。
【００４５】
アクセス監視部１１４は、設定データの監視プログラム用エリアに対するデータの読み書きを監視する。アクセス監視部１１４は、例えば、オペレーティングシステムに対して監視プログラム用エリアが示す記憶領域へのアクセスの有無を問い合わせたり、オペレーティングシステムから、監視プログラム用エリアへのアクセスがあった旨のシグナルの通知を受けたりすることができる。アクセス監視部１１４は、監視プログラム用エリアに対して書き込みがあった場合、現在日時、「ＷＡＲＮ」、「ｌｏｇｍｏｎｉｔｏｒ」、「ｌｏｇ」、および、監視プログラム用エリアへのアクセスがあった旨のメッセージ（例えば、「/opt/logmonitorへのアクセスがありました。」などである。）を含む監視ログを生成して、監視ログ記憶部１５２に登録する。これにより、監視プログラム１２の設定に変更が加えられる可能性のあるアクセスに係る監視ログを監視ログ記憶部１５２に登録することができる。
【００４６】
監視ログ送信部１１５は、監視ログ記憶部１５２に監視ログが追加された場合に、追加された監視ログを業務監視サーバ２０および操作監視サーバ３０に送信する。
ログ比較部１１６（本発明の、第１サーバが備える改ざん判定部に該当する。）は、業務ログ記憶部１５１に記録されている業務ログのうち、設定データの監視ログ判定条件を満たすものと、各業務ログに対応する監視ログとを比較して、相違がないか否かを判定する。
【００４７】
ログハッシュ値送信部１１７（本発明の第１ハッシュ値算出部およびハッシュ値送信部に該当する。）は、管理者がログインしてからログオフするまでの監視ログを取得し、取得した監視ログに基づくハッシュ値（以下、ログハッシュ値という。）を算出し、算出したログハッシュ値を業務監視サーバ２０に送信する。後述するように、業務監視サーバ２０では、ログハッシュ値を用いて、業務サーバ１０に記録された監視ログと、業務監視サーバ２０に記録された監視ログとの整合性を検査する。
【００４８】
具体的には、ログハッシュ値送信部１１７は、プログラムが「logoff」であり、ユーザが「root」であり、かつ、メッセージが「root logged off」である監視ログ（以下、ログオフログという。）が監視ログ記憶部１５２に登録されたことを契機として、監視ログ記憶部１５２に記憶されている監視ログのうち、ログオフログの日時（以下、ログオフ日時という。）よりも前の日時であり、プログラムが「login」であり、ユーザが「root」であり、かつ、メッセージが「root logged in」である監視ログのうち日時が最も新しいもの（以下、ログインログという。）を取得する。ログハッシュ値送信部１１７は、ログインログの日時（以下、ログイン日時という。）以後の日時であり、かつ、ログオフ日時以前の日時である監視ログを監視ログ記憶部１５２から取得し、取得した監視ログを日時順にソートして、ソートした監視ログに、例えば、ＭＤ５（Message Digest Algorithm 5）などの所定のハッシュ関数を適用してログハッシュ値を算出する。ログハッシュ値送信部１１７は、算出したログハッシュ値に、ログイン日時およびログオフ日時を付帯させて業務監視サーバ２０に送信する。
【００４９】
監視ログ削除要求受信部１１８（本発明の監視ログ削除要求受信部および監視ログ削除部に該当する。）は、監視ログを削除するように指示するコマンド（以下、監視ログ削除要求という。）を業務監視サーバ２０から受信する。監視ログ削除要求には、開始日時および終了日時が含まれる。監視ログ削除要求受信部１１８は、監視ログ削除要求に含まれている開始日時から終了日時までの間の日時に対応する監視ログを監視ログ記憶部１５２から削除する。
【００５０】
アラート通知受信部１１９は、業務監視サーバ２０から送信される警告メッセージ（（以下、アラート通知という。）を受信する。アラート通知は、不正な監視ログが発見された場合などに業務監視サーバ２０から送信される。
アラート表示部１２０（本発明の改ざん報知部に該当する。）は、ログ比較部１１６が比較した業務ログと監視ログとに相違があった場合や、アラート通知受信部１１９がアラート通知を受信した場合に、警告メッセージを出力装置１０６に出力する。
動作確認要求受信部１２１は、業務監視サーバ２０から送信される、監視プログラム１２が実行されているかどうかを問合わせる要求（以下、動作確認要求という。）を受信する。
【００５１】
動作状態送信部１２２は、動作確認要求に応じて、監視プログラム１２の実行状況を取得し、監視プログラム１２が実行されているかどうかを示す情報（以下、動作状態情報という。）を業務監視サーバ２０に送信する。動作状態送信部１２２は、例えば、業務サーバ１０で動作しているオペレーティングシステムに対して、監視プログラム１２の実行状況を問い合わせることにより、監視プログラム１２の実行状況を取得する。
【００５２】
設定データ取得要求受信部１２３（本発明の条件取得要求送信部に該当する。）は、操作監視サーバ３０から送信される、設定データを取得するためのコマンド（以下、設定データ取得要求という。本発明の条件取得要求に該当する。）を受信する。
設定データ送信部１２４（本発明の条件送信部に該当する。）は、設定データ取得要求に応じて、設定データ記憶部１５３に記憶されている設定データを読み出して、操作監視サーバ３０に送信する。
【００５３】
なお、上述した設定データ受信部１１２、業務ログ監視部１１３、アクセス監視部１１４、監視ログ送信部１１５、ログ比較部１１６、ログハッシュ値送信部１１７、監視ログ削除要求受信部１１８、アラート通知受信部１１９、アラート表示部１２０、動作確認要求受信部１２１、動作状態送信部１２２、設定データ取得要求受信部１２３、および設定データ送信部１２４は、業務サーバ１０のＣＰＵ１０１が記憶装置１０３に記憶されている監視プログラム１２をメモリ１０２に読み出して実行することにより実現される。上記各機能部は、上述した機能を実現する回路などのハードウェアにより実現されるようにしてもよい。
【００５４】
＝＝業務監視サーバ２０＝＝
図８は、業務監視サーバ２０のハードウェア構成を示す図である。
業務監視サーバ２０は、ＣＰＵ２０１、メモリ２０２、記憶装置２０３、通信インタフェース２０４、入力装置２０５、出力装置２０６、ディスクインタフェース２０７、改ざん防止ハードディスク２０８を備えている。
【００５５】
記憶装置２０３は、各種のプログラムやデータを記憶する、例えばハードディスクドライブやフラッシュメモリ、ＣＤ−ＲＯＭドライブなどである。記憶装置２０３には、監視制御プログラム２１が記憶されている。監視制御プログラム２１は、業務サーバ１０の監視を行うためのプログラムである。ＣＰＵ２０１は、記憶装置２０３に記憶されている監視制御プログラム２１などのプログラムをメモリ２０２に読み出して実行することにより各種の機能を実現する。
【００５６】
通信インタフェース２０４は、通信ネットワーク４０に接続するためのインタフェースである。通信インタフェース２０４は、例えば、イーサネット（登録商標）やフレームリレー網などに接続するためのアダプタや、電話回線網に接続するためのモデム、無線通信を行うための無線通信器などである。
入力装置２０５は、利用者からデータの入力を受け付ける、例えばキーボードやマウス、タッチパネル、マイクロフォンなどである。出力装置２０６は、データを出力する、例えばディスプレイやプリンタなどである。
【００５７】
改ざん防止ハードディスク２０８は、データを記憶する記憶装置であって、記憶するデータの改ざんを防止する機能を有するものである。改ざん防止ハードディスク２０８は、例えば、データの更新を行う代わりに、既存のデータとは異なる記憶領域にデータを追記し、データへのインデックスのみを更新することにより、記憶している全てのデータの更新履歴を記録するものである。なお、改ざん防止機能を有するハードディスクには、公知のものを利用することができる。
ディスクインタフェース２０７は、改ざん防止ハードディスク２０８に接続するためのインタフェースであり、例えば、ＳＣＳＩ、ＩＤＥなどの規約に従って、改ざん防止ハードディスク２０８に対するデータの読み書きを行う。
【００５８】
図９は、業務監視サーバ２０の機能ブロック図である。
業務監視サーバ２０は、設定データ入力部２１１、設定データ送信部２１２、操作監視部２１３、操作ログ送信部２１４、監視ログ受信部２１５、ログハッシュ値受信部２１６、ログ改ざん判定部２１７、監視ログ削除要求送信部２１８、不正作業検出部２１９、動作確認要求送信部２２０、動作状態受信部２２１、アラート通知送信部２２２、アラート出力部２２３、動作確認要求受信部２２４、動作状態送信部２２５、操作ログ記憶部２５１、監視エリア記憶部２５２、監視ログ記憶部２５３、作業計画記憶部２５４を備えている。
【００５９】
上記設定データ入力部２１１、設定データ送信部２１２、操作監視部２１３、操作ログ送信部２１４、監視ログ受信部２１５、ログハッシュ値受信部２１６、ログ改ざん判定部２１７、監視ログ削除要求送信部２１８、不正作業検出部２１９、動作確認要求送信部２２０、動作状態受信部２２１、アラート通知送信部２２２、アラート出力部２２３、動作確認要求受信部２２４、および動作状態送信部２２５は、業務監視サーバ２０のＣＰＵ２０１が、記憶装置２０３に記憶されている監視制御プログラム２１をメモリ２０２に読み出して実行することにより実現される。
【００６０】
上記操作ログ記憶部２５１および監視ログ記憶部２５３は、改ざん防止ハードディスク２０８の記憶領域として実現される。
上記監視エリア記憶部２５２および作業計画記憶部２５４は、記憶装置２０３およびメモリ２０２の記憶領域として実現される。なお、監視エリア記憶部２５２および作業計画記憶部２５４は、改ざん防止ハードディスク２０８の記憶領域として実現するようにしてもよい。
操作ログ記憶部２５１は、業務監視サーバ２０の操作に関するログ（以下、操作ログという。）を記憶する。
【００６１】
図１０は、操作ログ記憶部２５１に記憶される操作ログの構成例を示す図である。
操作ログは、操作が行われた日時、行われた操作の名称、および操作の内容を含んでいる。操作の内容は、操作により異なる。例えば、操作が「設定情報更新」である場合、内容は設定データの内容であり、操作ログの操作が「アクセス」である場合、操作ログの内容はアクセスされたファイルのファイル名である。
【００６２】
設定データ入力部２１１は、業務サーバ１０において実行される監視プログラムの設定データの入力を受け付ける。設定データ入力部２１１は、例えば、キーボードやマウスなどの入力装置２０５から設定データの内容の入力を受け付けるようにしてもよいし、他のコンピュータから設定データを受信するようにしてもよい。
設定データ送信部２１２は、設定データ入力部２１１が受け付けた設定データを業務サーバ１０に送信するとともに、現在の日時、「設定情報更新」、設定データの内容を含む操作ログを生成して、操作ログ記憶部２５１に登録する。
【００６３】
監視エリア記憶部２５２は、操作ログ記憶部２５１が実現される記憶領域を示す情報（以下、監視先情報という。）を記憶する。監視先情報は、例えば、操作ログを含むファイルが格納されるディレクトリを示すパスなどである。
【００６４】
操作監視部２１３は、管理者の業務監視サーバ２０へのログインおよびログアウト、並びに、監視エリア記憶部２５２が記憶している監視先情報が示す記憶領域（以下、操作監視領域という。）に対するアクセスを監視する。操作監視部２１３は、管理者のログインがあった場合、現在日時および「ログイン」を含む操作ログを生成して、操作ログ記憶部２５１に登録し、管理者のログアウトがあった場合、現在日時および「ログアウト」を含む操作ログを生成して操作ログ記憶部２５１に登録する。操作監視部２１３は、操作監視領域にアクセスがあった場合、現在日時、「アクセス」、およびアクセスされたファイルを示すファイル名を含む操作ログを生成して操作ログ記憶部２５１に登録する。
【００６５】
操作ログ送信部２１４は、操作ログ記憶部２５１に操作ログが登録されると、登録された操作ログを操作監視サーバ３０に送信する。
監視ログ受信部２１５は、業務サーバ１０から送信される監視ログを受信する。監視ログ受信部２１５は、受信した監視ログを監視ログ記憶部２５３に記憶する。監視ログ記憶部２５３は、上述した業務サーバ１０の監視ログ記憶部１５２と同様の構成である。
ログハッシュ値受信部２１６は、業務サーバ１０から送信されるログハッシュ値を受信する。上述したように、ログハッシュ値には、ログイン日時とログオフ日時とが付帯される。
【００６６】
ログ改ざん判定部２１７（本発明の改ざん判定部、および第２ハッシュ値算出部に該当する。）は、監視ログ記憶部２５３から、日時がログハッシュ値に付帯されているログイン日時以後であり、かつ、日時がログハッシュ値に付帯されているログオフ日時以前である監視ログを、後述する動作状態受信部２２１が登録したものを除いて取得し、取得した監視ログを日時順にソートして、ソートした監視ログに所定のハッシュ関数を適用してハッシュ値を算出する。ログ改ざん判定部２１７は、算出したハッシュ値と、ログハッシュ値受信部２１６が受信したログハッシュ値とを比較して、監視ログに改ざんがあるかどうか判定する。また、ログ改ざん判定部２１７は、判定結果を監視ログとして監視ログ記憶部２５３も登録する。具体的には、現在日時、「ＩＮＦＯ」、「ｌｏｇｍｏｎｉｔｏｒ」、「ｒｏｏｔ」、判定結果を表す「監査ログの改ざんあり」または「監査ログの改ざんなし」のメッセージを含む監視ログを生成して監視ログ記憶部２５３に登録する。
【００６７】
監視ログ削除要求送信部２１８は、監視ログに改ざんがないと判定された場合に、ログイン日時およびログオフ日時を設定した管理ログ削除要求を業務サーバ１０に送信することにより、業務サーバ１０において、ログイン日時からログオフ日時までの監視ログが削除されるようにする。これにより、業務サーバ１０において監視ログの記憶リソースを節約することができる。なお、監視ログ削除要求に応じて業務サーバ１０から削除の結果を応答するようにしてもよい。この場合、監視ログ削除要求送信部２１８は、業務サーバ１０からの応答をメッセージとした監視ログを生成して監視ログ記憶部２５３に登録する。
【００６８】
作業計画記憶部２５４は、業務サーバ１０において管理者が実行することが予定されている作業に関する情報（以下、作業計画という。）を記憶する。管理者は、例えば、サーバのディスク取替に伴うデータ移行作業において、（１）現行ディスクのシステム情報バックアップ、（２）新ディスクの環境整備（ボリュームグループの作成など）、（３）現行ディスクのファイルリスト作成、（４）データ移行（現行ディスクから新ディスク）、（５）新ディスクのファイルリスト作成、（６）現行・新ディスクのファイルシステム情報比較、（７）新ディスクのシステム情報バックアップなどの作業を行う。業務サーバ１０では、これらの作業それぞれに係るプログラムが実行される。作業計画記憶部２５４には、業務サーバ１０において実行されうるプログラムが予め登録される。
【００６９】
図１１は、作業計画記憶部２５４に記憶される作業計画の構成例を示す図である。同図に示すように、作業計画は、作業計画の識別情報（以下、計画ＩＤという。）に対応付けて、管理者により実行される予定のプログラムを含む。後述するように、作業計画記憶部２５４に登録されるプログラム以外のプログラムが実行された場合、計画外のプログラムが実行された旨を示す警告が出力される。
不正作業検出部２１９は、作業計画記憶部２５４に記憶されている作業計画に沿わないプログラムに関する監視ログが記録されているかどうかにより、管理者による不正な作業が行われたかどうかを判定する。
【００７０】
図１２は、不正作業検出部２１９による不正作業の検出処理の流れを示す図である。
不正作業検出部２１９は、監視ログ記憶部２５３から、ログハッシュ値に付帯されているログイン日時からログオフ日時までの日時に対応する監視ログのうち、ユーザが「ｒｏｏｔ」であり、ログレベルが所定値（本実施形態では「ＷＡＲＮ」または「ＥＲＲＯＲ」とする。）であるものを監視ログ記憶部２５３から読み出し（Ｓ５０１）、読み出した監視ログを日時順にソートして監視ログリストとする（Ｓ５０２）。
【００７１】
不正作業検出部２１９は、カウンタ変数Ｌに１を設定する（Ｓ５０４）。
不正作業検出部２１９は、監視ログリストにＬ番目の監視ログが存在する間以下の処理を行う。
不正作業検出部２１９は、監視ログリストのＬ番目の監視ログを、作業対象の監視ログ（以下、対象ログという。）とする（Ｓ５０５）。不正作業検出部２１９は、作業計画記憶部２５４から、プログラムが対象ログのプログラムに一致する作業計画を検索する（Ｓ５０６）。
不正作業検出部２１９は、上記検索において作業計画が見つからなかった場合には（Ｓ５０７：ＮＯ）、不正作業があったものと判定して（Ｓ５０８）、処理を終了する。
【００７２】
一方、不正作業検出部２１９は、プログラムが対象ログのプログラムに一致する作業計画が見つかった場合には（Ｓ５０７：ＹＥＳ）、Ｌをインクリメントし（Ｓ５１０）、Ｓ５０５からの処理を繰り返す。
不正作業検出部２１９は、監視ログリストの全ての監視ログについて上記の処理を繰り返した後、すなわち全ての監視ログに対応する作業計画が存在した場合、不正な作業がなかったと判定する（Ｓ５１１）。
以上のようにして、不正作業検出部２１９は不正作業があったかどうかを判定する。
【００７３】
動作確認要求送信部２２０は、定期的に、業務サーバ１０に対して、動作確認要求を送信する。
動作状態受信部２２１（本発明の動作状態受信部および動作監視部に該当する。）は、動作確認要求に応じて業務サーバ１０から送信される動作状態情報を受信する。また、動作状態受信部２２１は、監視プログラム１２が実行されていないことを示す動作状態情報を受信した場合には、その旨を示すメッセージを含む監視ログを生成して監視ログ記憶部２５３に登録する。例えば、動作状態受信部２２１は、監視プログラム１２が実行されていない場合、現在日時、「ＷＡＲＮ」、「ｌｏｇｍｏｎｉｔｏｒ」、「ｒｏｏｔ」、「プログラムが実行されていません。」が含まれる監視ログを監視ログ記憶部２５３に登録する。
【００７４】
アラート通知送信部２２２は、ログ改ざん判定部２１７により監視ログに改ざんがあると判定された場合、不正作業検出部２１９により不正な作業があったと判定された場合、および、動作確認要求送信部２２０が動作確認要求を送信してから所定の時間内に動作状態受信部２２１が動作状態情報を受信できなかった場合などに、その旨を示すアラート通知を業務サーバ１０に送信する。なお、アラート通知送信部２２２がアラート通知を業務サーバ１０に送信する場合は、管理者が設定できるものとする。
【００７５】
アラート出力部２２３は、上記アラート通知に応じた警告メッセージを出力装置２０６に出力する。なお、所定の電子メールアドレスをメモリ２０２や記憶装置２０３、改ざん防止ハードディスク２０８などに記憶しておき、警告メッセージを電子メールとして上記所定の電子メールアドレスに送信するようにしてもよい。なお、業務監視サーバ２０が他のシステムと通信可能に接続されている場合、アラート出力部２２３は、接続された他のシステムに対してアラート通知を送信するようにしてもよい。
【００７６】
動作確認要求受信部２２４は、操作監視サーバ３０から送信される、監視制御プログラム２１が実行されているかどうかを問い合わせる動作確認要求を受信する。
動作状態送信部２２５は、動作確認要求に応じて、監視制御プログラム２１の実行状況を取得し、監視制御プログラム２１が実行されているかどうかを示す動作状態情報を操作監視サーバ３０に応答する。動作状態送信部２２５は、例えば、業務監視サーバ２０で動作しているオペレーティングシステムに対して、監視制御プログラム２１の実行状況を問い合わせることにより、監視制御プログラム２１の実行状況を取得する。
【００７７】
＝＝操作監視サーバ３０＝＝
図１３は、操作監視サーバ３０のハードウェア構成を示す図である。
操作監視サーバ３０は、上述した業務監視サーバ２０と同様の構成であり、ＣＰＵ３０１、メモリ３０２、記憶装置３０３、通信インタフェース３０４、入力装置３０５、出力装置３０６、ディスクインタフェース３０７、改ざん防止ハードディスク３０８を備えている。
【００７８】
記憶装置３０３は、各種のプログラムやデータを記憶する、例えばハードディスクドライブやフラッシュメモリ、ＣＤ−ＲＯＭドライブなどである。記憶装置３０３には、操作監視制御プログラム３１が記憶されている。操作監視制御プログラム３１は、業務監視サーバ２０における操作を監視するためのプログラムである。ＣＰＵ３０１は、記憶装置３０３に記憶されている操作監視制御プログラム３１などのプログラムをメモリ３０２に読み出して実行することにより各種の機能を実現する。
【００７９】
通信インタフェース３０４は、通信ネットワーク４０に接続するためのインタフェースである。通信インタフェース３０４は、例えば、イーサネット（登録商標）やフレームリレー網などに接続するためのアダプタや、電話回線網に接続するためのモデム、無線通信を行うための無線通信器などである。
【００８０】
入力装置３０５は、利用者からデータの入力を受け付ける、例えばキーボードやマウス、タッチパネル、マイクロフォンなどである。出力装置３０６は、データを出力する、例えばディスプレイやプリンタなどである。
【００８１】
改ざん防止ハードディスク３０８は、データを記憶する記憶装置であって、記憶するデータの改ざんを防止する機能を有するものである。改ざん防止ハードディスク３０８には、上述の業務監視サーバ２０と同様に、公知のものを利用することができる。
【００８２】
ディスクインタフェース３０７は、改ざん防止ハードディスク３０８に接続するためのインタフェースであり、例えば、ＳＣＳＩ、ＩＤＥなどの規約に従って、改ざん防止ハードディスク３０８に対するデータの読み書きを行う。
【００８３】
図１４は、操作監視サーバ３０の機能ブロック図である。
操作監視サーバ３０は、操作ログ受信部３１１、設定データ取得要求送信部３１２、設定データ受信部３１３、操作ログ登録部３１４、監視ログ受信部３１５、動作確認要求送信部３１６、動作状態受信部３１７、アラート出力部３１８、操作ログ記憶部３５１、監視ログ記憶部３５２を備えている。
【００８４】
上記操作ログ受信部３１１、設定データ取得要求送信部３１２、設定データ受信部３１３、操作ログ登録部３１４、監視ログ受信部３１５、動作確認要求送信部３１６、動作状態受信部３１７、およびアラート出力部３１８は、操作監視サーバ３０が備えるＣＰＵ３０１が記憶装置３０３に記憶されている操作監視制御プログラム３１を実行することにより実現される。また、操作ログ記憶部３５１は、改ざん防止ハードディスク３０８の記憶領域として実現される。
【００８５】
操作ログ記憶部３５１は、上述の業務監視サーバ２０の操作ログ記憶部２５１と同様の構成であり、監視ログ記憶部３５２は、上述の業務サーバ１０の監視ログ記憶部１５２および業務監視サーバ２０の監視ログ記憶部２５３と同様の構成である。
【００８６】
操作ログ受信部３１１は、業務監視サーバ２０から送信される操作ログを受信する。
設定データ取得要求送信部３１２（本発明の条件取得要求送信部に該当する。）は、操作ログ受信部３１１が受信した操作ログの操作欄に「設定情報更新」が設定されている場合、設定データ取得要求を業務サーバ１０に送信する。なお、設定データ取得要求送信部３１２は、定期的に設定データ取得要求を業務サーバ１０に送信する。
設定データ受信部３１３（本発明の条件受信部に該当する。）は、設定データ取得要求に応じて業務サーバ１０から送信される設定データを受信する。
操作ログ登録部３１４は、操作ログ受信部３１１が受信した操作ログを操作ログ記憶部３５１に登録する。
【００８７】
また、操作ログ登録部３１４は、設定データ受信部３１３が業務サーバ１０から設定データを受信した場合、操作欄が「設定情報更新」である操作ログのうち最も日時が新しいものを操作ログ記憶部３５１から読み出し、読み出した操作ログの内容欄に設定されているデータと、受信した設定データとを比較して、業務サーバ１０における設定データへの改ざんの有無を判定する。操作ログ登録部３１４は、改ざんが有ると判定した場合には、現在日時、不正な設定情報を検出した旨を示す文字列（例えば、「不正な設定情報の更新」）、受信した設定データを含む操作ログを生成して操作ログ記憶部３５１に登録する。これにより、業務サーバ１０において監視制御プログラム２１の設定に用いられている設定データと、業務監視サーバ２０において入力した設定データとが異なることを記録しておくことができる。したがって、例えば業務サーバ１０の管理者が設定データを不正に書き換えるような不正な操作を操作ログとして記録しておくことができる。
【００８８】
監視ログ受信部３１５は、業務サーバ１０から送信される監視ログを監視ログ記憶部３５２に登録する。これにより、監視ログは、業務サーバ１０、業務監視サーバ２０、および操作監視サーバ３０の３箇所に記録されることになる。したがって、より多くの場所に監視ログの複製を格納することができるので、監視ログが改ざんされることをより困難にすることができる。よって、例えば、業務サーバ１０の管理者と業務監視サーバ２０の管理者とが結託して監視ログを改ざんした場合でも、操作監視サーバ３０の監視ログとの比較により改ざんを検出することができる。
【００８９】
動作確認要求送信部３１６は、定期的に、業務監視サーバ２０に対して動作確認要求を送信する。
動作状態受信部３１７は、動作確認要求に応じて業務監視サーバ２０から送信される動作状態情報を受信する。動作状態受信部３１７は、監視制御プログラム２１が実行されていないことを示す動作状態情報を受信した場合には、その旨を示す内容を含む操作ログを生成して操作ログ記憶部３５１に登録する。例えば、動作状態受信部３１７は、現在日時、「プログラムの監視」、「プログラムが実行されていません。」を含む操作ログを操作ログ記憶部３５１に登録する。
【００９０】
アラート出力部３１８は、操作ログ受信部３１１が業務監視サーバ２０から受信した操作ログの内容欄に設定されたデータと、設定データ受信部３１３が業務サーバ１０から受信した設定データとが一致しない場合や、動作確認要求送信部３１６が業務監視サーバ２０に動作確認要求を送信してから、所定の時間内に動作状態受信部３１７が動作状態情報を受信できなかった場合などに、その旨を示す警告メッセージを出力装置３０６に出力する。なお、例えば、予め所定の電子メールアドレスをメモリ３０２や記憶装置３０３などに記憶しておき、アラート出力部３１８は、警告メッセージを電子メールとして、上記所定の電子メールアドレスに対して送信するようにしてもよい。
【００９１】
＝＝システムの処理＝＝
図１５は、本実施形態の不正監視システムにおける処理の概略を示す図である。
業務監視サーバ２０は、設定データの入力を受け付けると（Ｓ７０１）、設定データを業務サーバ１０に送信する（Ｓ７０２）とともに、操作監視サーバ３０にも操作ログとして設定データを送信する（Ｓ７０３）。
【００９２】
操作監視サーバ３０は、業務監視サーバ２０から設定データを含む操作ログを受信すると、設定データ取得要求を業務サーバ１０に送信する（Ｓ７０４）。操作監視サーバ３０は、業務サーバ１０から応答される設定データを受信し（Ｓ７０５）、業務サーバ１０から受信した設定データと、業務監視サーバ２０から受信した操作ログに含まれる設定データとが一致するかどうかにより、業務サーバ１０において設定データが改ざんされていないかどうかを判定する（Ｓ７０６）。また、操作監視サーバ３０は、定期的に設定データ取得要求を業務サーバ１０に送信して、設定データの改ざんの有無を判定する（Ｓ７０４〜Ｓ７０６）。
【００９３】
管理者が業務サーバ１０にログインすると（Ｓ７１１）、業務サーバ１０は、管理者の操作に応じて記録される業務ログから監視ログを抽出し、抽出した監視ログを業務監視サーバ２０に送信するとともに（Ｓ７１２）、操作監視サーバ３０にも送信する（Ｓ７１３）。
【００９４】
業務監視サーバ２０は、業務サーバ１０において監視プログラム１２が実行されているかどうかを確認する。業務監視サーバ２０は、定期的に動作確認要求を業務サーバ１０に送信し（Ｓ７２１）、業務サーバ１０から動作確認要求に対して応答される動作状態情報を受信する（Ｓ７２２）。業務監視サーバ２０は、動作状態情報に基づいて、業務サーバ１０で監視プログラム１２が実行されているかどうかを判定する（Ｓ７２３）。監視プログラム１２が実行されていない場合には、その旨を示すメッセージを含む監視ログが監視ログ記憶部２５３に登録される。
【００９５】
監視プログラム１２が実行されていない場合には、業務ログや監視ログなどが改ざんされても業務監視サーバ２０に監視ログが送信されない。したがって、業務監視サーバ２０は、監視プログラム１２が実行されていない場合には、業務サーバ１０において業務ログや監視ログの改ざんの可能性があると判断することができる。
【００９６】
一方、操作監視サーバ３０も、業務監視サーバ２０において監視制御プログラム２１が実行されているかどうかを確認する。操作監視サーバ３０は、定期的に動作確認要求を業務監視サーバ２０に送信し（Ｓ７３１）、動作確認要求に応じて業務監視サーバ２０から応答される動作状態情報を受信する（Ｓ７３２）。操作監視サーバ３０は、動作状態情報に基づいて、業務監視サーバ２０で監視制御プログラム２１が実行されているかどうかを判定する（Ｓ７３３）。監視制御プログラム２１が実行されていない場合には、その旨の内容を含む操作ログが操作ログ記憶部３５１に登録される。
【００９７】
業務サーバ１０から管理者がログオフをすると（Ｓ７４１）、業務サーバ１０は、監視ログを業務監視サーバ２０に送信するとともに（Ｓ７４２）、操作監視サーバ３０にも送信する（Ｓ７４３）。業務サーバ１０は、ログイン日時からログオフ日時までの監視ログについてのハッシュ値（ログハッシュ値）を算出して、算出したログハッシュ値にログイン日時およびログオフ日時を付帯させて業務監視サーバ２０に送信する（Ｓ７４４）。
【００９８】
業務監視サーバ２０は、業務サーバ１０から送信されるログハッシュ値を受信すると、監視ログ記憶部２５３に登録されている監視ログのうち、ログハッシュ値に付帯されているログイン日時からログオフ日時までの日時に対応するもののハッシュ値を算出して、算出したハッシュ値と、業務サーバ１０から受信したログハッシュ値とを比較して、業務サーバ１０において監視ログに対する改ざんがなかったかどうかを判定する（Ｓ７４５）。
【００９９】
業務監視サーバ２０は、監視ログに対する改ざんがなかったと判定した場合には、ログイン日時およびログオフ日時を付帯させた監視ログ削除要求を業務サーバ１０に送信する（Ｓ７４６）。業務サーバ１０は、監視ログ削除要求に応じて、ログイン日時からログオフ日時までの監視ログを監視ログ記憶部１５２から削除する（Ｓ７４７）。
一方、業務監視サーバ２０は、作業計画に基づいて、不正な作業の有無を判定する（Ｓ７４８）。
【０１００】
以上説明したように、本実施形態の不正監視システムによれば、業務サーバ１０に記録される業務ログのうち条件に見合うもののみが、業務サーバ１０において監視ログとして二重化されるとともに、業務サーバ１０の管理者とは異なる管理者が管理する業務監視サーバ２０にも記録される。したがって、監視対象の業務ログが改ざんされた場合にも、業務サーバ１０において監視ログと比較することにより改ざんを検出することが可能であり、監視ログから業務ログを復旧することもできる。また、業務監視サーバ２０は、業務サーバ１０とは異なる管理者により管理されるので、業務サーバ１０の管理者が業務ログと監視ログとの両方を改ざんした場合でも、業務監視サーバ２０に記録される監視ログと比較することにより改ざんを検出し、業務監視サーバ２０の監視ログから業務ログを復旧することができる。このように、本実施形態の不正監視システムによれば、業務サーバ１０の業務ログを確実に監査することができる。
【０１０１】
また、本実施形態の不正監視システムでは、改ざんが無いと判定された監視ログについては、業務サーバ１０の監視ログ記憶部１５２から削除される。したがって、監視ログは業務監視サーバ２０のみで管理されることになり、監視ログの記録に係るリソースを抑制することができる。
【０１０２】
また、本実施形態では、業務サーバ１０に記録されている監視ログと、業務監視サーバ２０に記録されている監視ログとが一致するかどうかは、ログハッシュ値の比較により行われる。したがって、業務サーバ１０から監視ログを業務監視サーバ２０に送信することなく、監視ログの同一性を判定することができるので、大量の監視ログを送信するために係る時間を低減し、通信ネットワーク４０の通信負荷を低減することができるとともに、迅速な比較処理を実現することができる。
【０１０３】
また、本実施形態の不正監視システムでは、ログイン日時からログオフ日時までの監視ログのみを監視対象としている。これにより、管理者の操作に関する業務ログのみを検査することができるので、全てのログを検査の対象としなくてもよく、処理効率を向上することができる。
【０１０４】
また、本実施形態の不正監視システムでは、業務サーバ１０において監視プログラム１２が実行されていることを、業務監視サーバ２０が監視している。したがって、業務サーバ１０において、管理者が、監視プログラム１２の実行を停止し、業務監視サーバ２０に監視ログが送信されないようにした場合にも、それを検知することができる。よって、監視ログが確実に業務サーバ１０から業務監視サーバ２０に送信されるようにすることができる。
【０１０５】
また、管理者が業務サーバ１０からログオフした後、業務サーバ１０においても、監視ログと、対応する業務ログとの比較により、業務ログに改ざんがなされていないかどうかを判定している。したがって、業務監視サーバ２０のみならず、業務サーバ１０においても改ざんを検知することで、より改ざんの検出を確実に行うことができる。
【０１０６】
また、本実施形態の不正監視システムでは、監視ログは、業務サーバ１０、業務監視サーバ２０、および操作監視サーバ３０の３箇所に多重化される。したがって、業務サーバ１０の管理者と、業務監視サーバ２０の管理者とが結託して監視ログを改ざんした場合でも、操作監視サーバ３０に記録される監視ログを用いて業務ログの監査を行うことができる。
【０１０７】
また、本実施形態の不正監視システムでは、操作監視サーバ３０が、業務監視サーバ２０が業務サーバ１０に送信した設定データと、業務サーバ１０が使用している設定データとの整合性を検査している。したがって、業務サーバ１０において、業務監視サーバ２０に入力された条件と同じ条件を用いて監視ログの抽出が行われているかどうかを確認することができる。したがって、業務サーバ１０の管理者が、設定データを改ざんして、不正操作に係る業務ログが監視ログとして抽出されないような設定を行った場合にも、それを検知することができる。よって、監視対象となる業務ログを確実に監視ログとして抽出するようにすることができる。これにより信頼性の高い監視ログを記録することができる。
【０１０８】
なお、本実施形態では、業務サーバ１０は１台であるものとしたが、複数の業務サーバ１０を含んだ構成としてもよい。また、業務サーバ１０および業務監視サーバ２０のみで不正監視システムを構成するようにしてもよい。
【０１０９】
また、本実施形態では、業務ログが業務サーバ１０に記録されていることを前提としたが、例えば、シスログなどにより、他のコンピュータで業務ログを記録するようにしてもよい。この場合、業務ログを記録しているコンピュータが、設定データに基づいて監視ログも記録するとともに、監視ログを業務監視サーバ２０および操作監視サーバ３０に送信するようにする。
【０１１０】
また、本実施形態では、設定データに対する改ざんの検出は、操作監視サーバ３０が行うものとしたが、業務監視サーバ２０が行うようにしてもよいし、業務監視サーバ２０および操作監視サーバ３０の両方で行うようにしてもよい。この場合、業務監視サーバ２０が設定データ取得要求を業務サーバ１０に送信し、業務サーバ１０から応答される設定データと、業務監視サーバ２０に入力された設定データとを比較するようにする。
【０１１１】
また、本実施形態では、業務サーバ１０に記録されている監視ログと、業務監視サーバ２０に記録されている監視ログとを比較するために、ログハッシュ値を用いるものとしたが、これに限らず、例えば、業務サーバ１０に記録されている監視ログを業務サーバ１０から業務監視サーバ２０に送信するようにして、業務監視サーバ２０が、業務サーバ１０から受信した監視ログと、監視ログ記憶部２５３に記憶している監視ログとを比較して、改ざんの有無を検知するようにしてもよい。
【０１１２】
また、業務サーバ１０、業務監視サーバ２０、および操作監視サーバ３０において記録される業務ログ、監視ログおよび操作ログは、管理者が指定する日時やプログラム名、実行されたサーバの名称など各種の条件に基づいて検索可能である。業務サーバ１０、業務監視サーバ２０および操作監視サーバ３０は、検索した業務ログ、監視ログおよび操作ログは、出力装置に出力し、またＣＳＶ（Comma Separated Values）ファイルやテキストファイルなどの形式で、記憶装置に格納するようにすることができる。
【０１１３】
以上、本実施形態について説明したが、上記実施形態は本発明の理解を容易にするためのものであり、本発明を限定して解釈するためのものではない。本発明は、その趣旨を逸脱することなく、変更、改良され得ると共に、本発明にはその等価物も含まれる。
【図面の簡単な説明】
【０１１４】
【図１】本実施形態の不正監視システムの全体構成を示す図である。
【図２】業務サーバ１０のハードウェア構成を示す図である。
【図３】業務サーバ１０の機能ブロック図である。
【図４】業務ログ記憶部１５１が記憶する業務ログの一例を示す図である。
【図５】監視ログ記憶部１５２に記憶される監視ログの構成例を示す図である。
【図６】設定データ記憶部１５３に記憶される設定データの一例を示す図である。
【図７】業務ログ監視部１１３の処理の流れを示す図である。
【図８】業務監視サーバ２０のハードウェア構成を示す図である。
【図９】業務監視サーバ２０の機能ブロック図である。
【図１０】操作ログ記憶部２５１に記憶される操作ログの構成例を示す図である。
【図１１】作業計画記憶部２５４に記憶される作業計画の構成例を示す図である。
【図１２】不正作業検出部２１９による不正作業の検出処理の流れを示す図である。
【図１３】操作監視サーバ３０のハードウェア構成を示す図である。
【図１４】操作監視サーバ３０の機能ブロック図である。
【図１５】本実施形態の不正監視システムにおける処理の概略を示す図である。
【符号の説明】
【０１１５】
１０ 業務サーバ １１ 業務プログラム
１２ 監視プログラム ２０ 業務監視サーバ
２１ 監視制御プログラム ３０ 操作監視サーバ
３１ 操作監視制御プログラム ４０ 通信ネットワーク
１０１ ＣＰＵ １０２ メモリ
１０３ 記憶装置 １０４ 通信インタフェース
１０５ 入力装置 １０６ 出力装置
１１１ 業務処理部 １１２ 設定データ受信部
１１３ 業務ログ監視部 １１４ アクセス監視部
１１５ 監視ログ送信部 １１６ ログ比較部
１１７ ログハッシュ値送信部 １１８ 監視ログ削除要求受信部
１１９ アラート通知受信部 １２０ アラート表示部
１２１ 動作確認要求受信部 １２２ 動作状態送信部
１２３ 設定データ取得要求受信部 １２４ 設定データ送信部
１５１ 業務ログ記憶部 １５２ 監視ログ記憶部
１５３ 設定データ記憶部 ２０１ ＣＰＵ
２０２ メモリ ２０３ 記憶装置
２０４ 通信インタフェース ２０５ 入力装置
２０６ 出力装置 ２０７ ディスクインタフェース
２０８ 改ざん防止ハードディスク ２１１ 設定データ入力部
２１２ 設定データ送信部 ２１３ 操作監視部
２１４ 操作ログ送信部 ２１５ 監視ログ受信部
２１６ ログハッシュ値受信部 ２１７ ログ改ざん判定部
２１８ 監視ログ削除要求送信部 ２１９ 不正作業検出部
２２０ 動作確認要求送信部 ２２１ 動作状態受信部
２２２ アラート通知送信部 ２２３ アラート出力部
２２４ 動作確認要求受信部 ２２５ 動作状態送信部
２５１ 操作ログ記憶部 ２５２ 監視エリア記憶部
２５３ 監視ログ記憶部 ２５４ 作業計画記憶部
３０１ ＣＰＵ ３０２ メモリ
３０３ 記憶装置 ３０４ 通信インタフェース
３０５ 入力装置 ３０６ 出力装置
３０７ ディスクインタフェース ３０８ 改ざん防止ハードディスク
３１１ 操作ログ受信部 ３１２ 設定データ取得要求送信部
３１３ 設定データ受信部 ３１４ 操作ログ登録部
３１５ 監視ログ受信部 ３１６ 動作確認要求送信部
３１７ 動作状態受信部 ３１８ アラート出力部
３５１ 操作ログ記憶部 ３５２ 監視ログ記憶部
【技術分野】
【０００１】
本発明は、ログ監視システムおよびログ監視方法に関する。
【背景技術】
【０００２】
コンピュータシステムの不正使用などの使用状況を事後的に監査するべく、システムの動作をログとして記録することが行われている。ログが改ざんされると適切な監査を行うことができないため、ログの改ざんを防止するための各種の技術が提案されている。例えば、特許文献１には、ログを多重化し、あるログが改ざんされた場合に、他のログから改ざんされたログを復元するシステムが提案されている。また、特許文献２には、主ログファイルのハッシュ値と、副ログファイルのハッシュ値とを照合することにより、ログの改ざんを検知するシステムが開示されている。
【特許文献１】特開２００１−１４２７６４号公報
【特許文献２】特開２０００−２８５０７６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
特許文献１に記載のシステムでは、ログは全て多重化されるので、多重化される個数分のリソースが追加的に必要になる。特許文献２には、主ログの一部の項目のみを副ログとして記録することは記載されているものの、全ての主ログに対応する副ログも生成されることになる。
しかしながら、一般にログの数は膨大であるので、ログを多重化する際に必要なリソースを低減したいというニーズがある。
また、上記従来技術では、システムの管理者によりログが改ざんされることを想定していない。
【０００４】
本発明は、このような背景を鑑みてなされたものであり、ログを多重化する際に必要なリソースを低減するとともに、管理者によるログの改ざんに対応することのできるログ監視システムおよびログ監視方法を提供することを目的とする。
【課題を解決するための手段】
【０００５】
上記課題を解決するための本発明のうち、第１サーバと、前記第１サーバに通信可能に接続される、前記第１サーバを管理する管理者とは異なる管理者により管理される第２サーバと、を含んで構成され、前記第１サーバは、当該第１サーバによる処理の実行履歴を表す実行ログを記憶する実行ログ記憶部と、監視対象となる前記実行ログを特定するための条件を記憶する条件記憶部と、前記実行ログ記憶部を監視し、前記条件を満たす前記実行ログが登録された場合に、当該実行ログを監視ログとして決定する監視ログ決定部と、前記監視ログを記憶する第１監視ログ記憶部と、前記監視ログを前記第２サーバに送信する監視ログ送信部と、を備え、前記第２サーバは、前記第１サーバから送信される監視ログを受信する監視ログ受信部と、前記監視ログを記憶する第２監視ログ記憶部と、前記第１サーバの前記第１監視ログ記憶部に記録されている前記監視ログと当該第２サーバの前記第２監視ログ記憶部に記憶されている前記監視ログとが一致するかどうかにより、前記監視ログに対する改ざんの有無を判定する改ざん判定部と、を備えることとする。
【０００６】
本発明のログ監視システムによれば、第１サーバに記録される実行ログのうち条件に見合うもののみが、第１サーバにおいて監視ログとして二重化されるとともに、第１サーバの管理者とは異なる管理者が管理する第２サーバにも記録される。したがって、監視対象の実行ログが改ざんされた場合にも、第１サーバにおいて、監視ログと比較することにより改ざんを検出することが可能であり、監視ログから実行ログを復旧することもできる。また、第２サーバは、第１サーバとは異なる管理者により管理されるので、第１サーバの管理者が実行ログとともに監視ログも改ざんしたような場合であっても、第２サーバに記録される監視ログと比較することにより改ざんを検出し、第２サーバの監視ログから実行ログを復旧することができる。
【０００７】
また、本発明のうち請求項２に記載の発明は、請求項１に記載のログ監視システムであって、前記第２サーバは、前記改ざん判定部により前記改ざんが無いと判定された場合に、前記監視ログを削除するように指示するコマンドである監視ログ削除要求を送信する監視ログ削除要求送信部を備え、前記第１サーバは、前記第２サーバから送信される、前記監視ログ削除要求を受信する監視ログ削除要求受信部と、前記監視ログ削除要求に応じて前記監視ログ記憶部に記憶されている前記監視ログを削除する監視ログ削除部と、を備えることとする。
この場合、改ざんが無いと判定された監視ログについては、第１サーバから削除して、第２サーバのみで管理することにより、第１サーバにおけるログの二重化にかかるリソースの消費量を低減することができる。
【０００８】
また、本発明のうち請求項３に記載の発明は、請求項１に記載のログ監視システムであって、前記第１サーバは、前記第１監視ログ記憶部に記憶されている前記監視ログ全体に所定のハッシュ関数を適用して第１のハッシュ値を算出する第１ハッシュ値算出部と、前記第１のハッシュ値を前記第２サーバに送信するハッシュ値送信部と、を備え、前記第２サーバは、前記第１のハッシュ値を受信するハッシュ値受信部と、前記第２監視ログ記憶部に記憶されている前記監視ログ全体に前記所定のハッシュ関数を適用して第２のハッシュ値を算出する第２ハッシュ値算出部と、を備え、前記改ざん判定部は、前記第１および第２のハッシュ値を比較して、前記改ざんの有無を判定することとする。
この場合、第１サーバに記録される監視ログを第２サーバに送信することなく、ハッシュ値のみを送信すればよいので、データの通信量を低減し、迅速な比較処理を行うことができる。
【０００９】
また、本発明のうち請求項４に記載の発明は、請求項３に記載のログ監視システムであって、前記実行ログには、前記コマンドが実行された日時が含まれており、前記第１サーバは、前記管理者が前記第１サーバにログインした日時であるログイン日時、および前記管理者が前記第１サーバからログオフした日時であるログオフ日時を取得するログイン監視部と、前記第１ハッシュ値算出部は、前記第１監視ログ記憶部に記憶されている前記監視ログのうち、前記日時が前記ログイン日時以後であり、かつ、前記日時が前記ログオフ日時以前のものについて前記第１のハッシュ値を算出し、前記ハッシュ値送信部は、前記第１のハッシュ値に前記ログイン日時および前記ログオフ日時を付帯させて送信し、前記第２ハッシュ値算出部は、前記第２監視ログ記憶部に記憶されている前記監視ログのうち、前記日時が前記第１のハッシュ値に付帯されている前記ログイン日時以後であり、かつ、前記日時が前記第１のハッシュ値に付帯されている前記ログオフ日時以前である前記監視ログについて前記第２のハッシュ値を算出することとする。
この場合、第１サーバに管理者がログインしている間の操作のみを監視対象とすることができる。したがって、大量の実行ログが発生する場合にも、全てのログを検査の対象としなくてもよいので、処理効率を向上することができる。
【００１０】
また、本発明のうち請求項５に記載の発明は、請求項１に記載のログ監視システムであって、前記第１サーバは、ＣＰＵと監視プログラムを記憶するメモリとを備え、前記監視ログ決定部および前記監視ログ送信部は、前記ＣＰＵが前記監視プログラムを実行することにより実現され、前記第２サーバは、前記第１サーバにおいて前記監視プログラムが動作しているかどうかを問い合わせるコマンドである動作確認要求を前記第１サーバに送信する動作確認要求送信部を備え、前記第１サーバは、前記動作確認要求を受信する動作確認要求受信部と、前記監視プログラムが実行されているか否かを示す動作状態情報を前記第２サーバに送信する動作状態送信部と、を備え、前記第２サーバは、前記第１サーバから送信される前記動作状態情報を受信する動作状態受信部と、前記動作状態情報が、前記監視プログラムが実行されていないことを示している場合に、その旨を示すメッセージを含む前記監視ログを生成して前記第２監視ログ記憶部に登録する動作監視部と、を備えることとする。
この場合、第１サーバにおいて監視プログラムが実行されているかどうかを、第２サーバから監視することができる。したがって、第１サーバにおいて、管理者が、監視プログラムの実行を停止し、第２サーバに監視ログが送信されないようにした場合でも、それを検知することができる。よって、監視ログが確実に第１サーバから第２サーバに送信されるようにすることができる。
【００１１】
また、本発明のうち請求項６に記載の発明は、請求項１に記載のログ監視システムであって、前記第１サーバは、前記第１監視ログ記憶部に記憶されている前記監視ログと、前記実行ログ記憶部に記憶されている、前記監視ログに対応する前記実行ログとの間に相違があるか否かにより前記実行ログに対する改ざんの有無を判定する改ざん判定部と、前記改ざん判定部により前記改ざんが有ると判定された場合に、その旨を報知する改ざん報知部と、を備えることとする。
この場合、実行ログと監視ログとの比較により、監視対象となる実行ログに改ざんがなされたかどうかを、第１サーバが判定し、報知することができる。したがって、第２サーバのみならず、第１サーバにおいても改ざんを検知することで、より改ざんの検出を確実に行うことができる。
【００１２】
また、本発明のうち請求項７に記載の発明は、請求項１に記載のログ監視システムであって、前記第１サーバおよび前記第２サーバのそれぞれと通信可能に接続される第３サーバを含み、前記第１サーバの前記監視ログ送信部は、前記監視ログを前記第２サーバに送信するとともに、前記第３サーバにも送信し、前記第３サーバは、前記第１サーバから送信される前記監視ログを受信する監視ログ受信部と、前記監視ログを記憶する第３監視ログ記憶部と、を備えることとする。
この場合、監視ログを第１サーバ、第２サーバ、および第３サーバの３箇所に多重化することができる。したがって、第１サーバの管理者と、第２サーバの管理者とが結託して監視ログを改ざんしたような場合でも、第３サーバに記録される監視ログを用いて実行ログの監査を行うことができる。
【００１３】
また、本発明のうち請求項８に記載の発明は、請求項１に記載のログ監視システムであって、前記第１サーバおよび前記第２サーバのそれぞれと通信可能に接続される第３サーバを含み、前記第２サーバは、前記条件を含む設定データの入力を受け付ける設定データ入力部と、前記設定データを、前記第１サーバおよび前記第３サーバのそれぞれに送信する設定データ送信部と、を備え、前記第３サーバは、前記第２サーバから送信される前記設定データを受信する設定データ受信部と、前記第１サーバにおいて記憶されている前記条件を取得するためのコマンドである条件取得要求を前記第１サーバに送信する条件取得要求送信部と、を備え、前記第１サーバは、前記第２サーバから送信される前記設定データを受信する設定データ受信部と、前記設定データに含まれている前記条件を前記条件記憶部に登録する条件登録部と、前記第３サーバから送信される前記条件取得要求を受信する条件取得要求受信部と、前記条件取得要求に応じて、前記条件記憶部に記憶されている前記条件を前記第３サーバに送信する条件送信部と、を備え、前記第３サーバは、前記条件取得要求に応じて前記第１サーバから送信される前記条件を受信する条件受信部と、前記第２サーバから受信した前記設定データに含まれている前記条件と、前記第１サーバから受信した前記条件とを比較して、前記条件に対する改ざんの有無を判定する条件改ざん判定部と、を備えることとする。
この場合、第１サーバにおいて、第２サーバに入力された条件と同じ条件を用いて監視ログの抽出が行われているかどうかを確認することができる。したがって、第１サーバの管理者が、不正操作に係る実行ログが監視ログとして抽出されないように、条件を改ざんしたような場合にも、それを検知することができる。よって、監視対象となる実行ログを確実に監視ログとして抽出するようにし、信頼性の高い監視ログを記録することができる。
【００１４】
その他本願が開示する課題やその解決方法については、発明の実施形態の欄及び図面により明らかにされる。
【発明の効果】
【００１５】
本発明によれば、ログを多重化する際に必要なリソースを低減するとともに、管理者によるログの改ざんに対応することができる。
【発明を実施するための最良の形態】
【００１６】
＝＝システム構成＝＝
以下、本発明の一実施形態に係る不正監視システムについて説明する。
図１は、本実施形態の不正監視システムの全体構成を示す図である。本実施形態の不正監視システムは、業務サーバ１０、業務監視サーバ２０、操作監視サーバ３０を含んで構成されている。本実施形態では、業務サーバ１０の管理者と、業務監視サーバ２０の管理者と、操作監視サーバ３０の管理者とは、それぞれ異なるものとする。
【００１７】
業務サーバ１０（本発明の第１サーバに該当する。）は、アプリケーションプログラムを実行することにより各種の業務に係る情報処理サービスを提供する、例えば、パーソナルコンピュータやワークステーションなどのコンピュータである。業務サーバ１０では、アプリケーションプログラム（以下、業務プログラムという。）の実行経過や実行結果を示す情報（以下、業務ログという。本発明の実行ログに該当する。）が記憶される。
【００１８】
本実施形態の不正監視システムは、業務サーバ１０の管理者による不正な操作を監視するものであり、業務サーバ１０において記録されている業務ログの改ざんや、適切な業務ログが記録されないような不正な設定などを防止するものである。
【００１９】
業務監視サーバ２０（本発明の第２サーバに該当する。）は、業務サーバ１０において実行される、業務ログを監視するためのアプリケーションプログラム（以下、監視プログラムという。）の設定を行い、業務サーバ１０において監視プログラムが動作していることを監視するとともに、業務サーバ１０から送信される、業務ログや、管理者のログインに関するログ、管理者が行った情報へのアクセスに関するログなど（以下、監視ログという。詳細に付いては後述する。）を受信して記録する。
【００２０】
このように、本実施形態では、業務サーバ１０および業務監視サーバ２０の両方に業務ログが記録されることにより、業務サーバ１０に記録された業務ログと、業務監視サーバ２０に記録された業務ログとを比較することにより、業務サーバ１０において業務ログが改ざんされたことを検出することができるようにしている。
【００２１】
本実施形態の不正監視システムでは、業務サーバ１０と業務監視サーバ２０とは、異なる管理者により管理されるものとする。これにより、業務サーバ１０の管理者が業務ログを改ざんしたとしても、業務監視サーバ２０にも業務ログが記録されるので、これらを照合することにより改ざんを検知することができる。よって、業務ログの改ざんの危険性を低減することができる。
【００２２】
業務監視サーバ２０はまた、業務サーバ１０に対して監視プログラムの設定を行うごとに、監視プログラムの設定内容を記述したデータ（以下、設定データという。）を記録するとともに、操作監視サーバ３０に送信する。
【００２３】
操作監視サーバ３０（本発明の第３サーバに該当する。）は、業務監視サーバ２０から送信される設定データを受信して記録するとともに、業務サーバ１０にアクセスして設定データを取得し、業務サーバ１０から取得した設定データと、業務監視サーバ２０から受信して記録した設定データとを比較する。
【００２４】
このように、本実施形態では、業務監視サーバ２０が送信した設定データと、業務サーバ１０において実際に使用されている設定データとを比較することにより、業務サーバ１０において業務ログを監視するための監視プログラムの設定データが改ざんされたことを検出することができるようにしている。
【００２５】
業務サーバ１０では、監視プログラムが実行され、後述するように、業務ログが記録されるごとに、記録された業務ログなどを含む監視ログを業務監視サーバ２０に送信する。
以下、詳細について説明する。
【００２６】
＝＝業務サーバ１０＝＝
図２は、業務サーバ１０のハードウェア構成を示す図である。
業務サーバ１０は、ＣＰＵ１０１、メモリ１０２、記憶装置１０３、通信インタフェース１０４、入力装置１０５、出力装置１０６を備えている。
【００２７】
記憶装置１０３には、業務プログラム１１や監視プログラム１２などの、各種のプログラムやデータを記憶する。記憶装置１０３は、例えば、ハードディスクドライブやフラッシュメモリ、ＣＤ−ＲＯＭドライブなどである。
ＣＰＵ１０１は、記憶装置１０３に記憶されている業務プログラム１１や監視プログラム１２などのプログラムをメモリ１０２に読み出して実行することにより各種の機能を実現する。
【００２８】
通信インタフェース１０４は、通信ネットワーク４０に接続するためのインタフェースである。通信インタフェース１０４は、例えば、イーサネット（登録商標）やフレームリレー網などに接続するためのアダプタや、電話回線網に接続するためのモデム、無線通信を行うための無線通信器などである。
【００２９】
入力装置１０５は、利用者からデータの入力を受け付ける、例えばキーボードやマウス、タッチパネル、マイクロフォンなどである。出力装置１０６は、データを出力する、例えばディスプレイやプリンタなどである。
【００３０】
図３は、業務サーバ１０の機能ブロック図である。
業務サーバ１０は、業務処理部１１１、設定データ受信部１１２、業務ログ監視部１１３、アクセス監視部１１４、監視ログ送信部１１５、ログ比較部１１６、ログハッシュ値送信部１１７、監視ログ削除要求受信部１１８、アラート通知受信部１１９、アラート表示部１２０、動作確認要求受信部１２１、動作状態送信部１２２、設定データ取得要求受信部１２３、設定データ送信部１２４、業務ログ記憶部１５１、監視ログ記憶部１５２、設定データ記憶部１５３を備えている。
【００３１】
なお、上記業務処理部１１１は、業務サーバ１０のＣＰＵ１０１が記憶装置１０３に記憶されている業務プログラム１１をメモリ１０２に読み出して実行することにより実現され、設定データ受信部１１２、業務ログ監視部１１３、アクセス監視部１１４、監視ログ送信部１１５、ログ比較部１１６、ログハッシュ値送信部１１７、監視ログ削除要求受信部１１８、アラート通知受信部１１９、アラート表示部１２０、動作確認要求受信部１２１、動作状態送信部１２２、設定データ取得要求受信部１２３、および設定データ送信部１２４は、ＣＰＵ１０１が記憶装置１０３に記憶されている監視プログラム１２をメモリ１０２に読み出して実行することにより実現される。また、業務ログ記憶部１５１、監視ログ記憶部１５２、および設定データ記憶部１５３は、メモリ１０２や記憶装置１０３の記憶領域として実現される。
【００３２】
業務処理部１１１は、各種の業務に関する情報処理を行う。また業務処理部１１１は、情報処理の結果を業務ログとして業務ログ記憶部１５１（本発明の実行ログ記憶部に該当する。）に登録する。なお、本実施形態では、管理者の業務サーバ１０へのログインやログオフに関する処理（ログイン監視部）も業務処理部１１１により実現されるものとするが、ログインやログオフを監視するログイン監視部を別途設けるようにしてもよい。この場合、ログイン監視部は、例えば、オペレーティングシステムからのシグナルを受けて、あるいは、オペレーティングシステムが管理している、ログイン中のユーザの一覧表を監視して、管理者のログインやログオフを検出するようにすることができる。
【００３３】
図４は、業務ログ記憶部１５１が記憶する業務ログの一例を示す図である。
業務ログ記憶部１５１に記憶される業務ログは、日時、ログレベル、プログラム、ユーザ、およびメッセージを含んでいる。なお、ログレベルは、業務ログの重要度を示し、プログラムは、業務ログを生成した業務プログラム１１などのプログラムの名称を示し、ユーザは、プログラムを実行した管理者や一般ユーザのユーザ名である。本実施形態では、管理者のユーザ名は「ｒｏｏｔ」であるものとする。
【００３４】
監視ログ記憶部１５２は、業務ログのうち後述する条件にマッチするもの（以下、監視ログという。）を記憶する。図５は、監視ログ記憶部１５２に記憶される監視ログの構成例を示す図である。
監視ログ記憶部１５２に記憶される監視ログの構成は業務ログと同様であり、監視ログも、日時、ログレベル、プログラム、ユーザ、およびメッセージを含んでいる。
【００３５】
設定データ記憶部１５３（本発明の条件記憶部に該当する。）は、監視プログラム１２の設定が記述された設定データを記憶する。
図６は、設定データ記憶部１５３に記憶される設定データの一例を示す図である。同図に示すように、設定データは、監視ログ判定条件、機密情報判定条件、および監視プログラム用エリアを含んでいる。
【００３６】
監視ログ判定条件は、監視ログとして選択すべき業務ログの条件である。後述するように、監視ログ判定条件を満たす業務ログは、監視ログとして監視ログ記憶部１５２に記憶されるとともに、業務監視サーバ２０に送信される。
【００３７】
機密情報判定条件は、個人情報や営業秘密情報などの機密情報が格納されているファイルのパスにマッチする条件である。後述するように、機密情報判定条件にマッチする文字列が業務ログに含まれている場合、機密情報に対するアクセスがあったとものして、その旨を示す監視ログが登録される。
【００３８】
監視プログラム用エリアは、監視プログラム１２や設定データなど、監視プログラム１２の実行に必要なデータが格納されている場所を示す情報である。後述するように、監視プログラム用エリアに対するデータの書き込みがあった場合には、その旨を示す監視ログが登録される。
【００３９】
なお、上述した業務ログ記憶部１５１、監視ログ記憶部１５２、および設定データ記憶部１５３は、業務サーバ１０が備える記憶装置１０３やメモリ１０２の記憶領域として実現される。
【００４０】
設定データ受信部１１２（本発明の設定データ受信部および条件登録部に該当する。）は、業務監視サーバ２０から送信される設定データを受信し、受信した設定データを設定データ記憶部１５３に登録する。
【００４１】
業務ログ監視部１１３（本発明の監視ログ決定部に該当する。）は、業務ログ記憶部１５１を監視し、新たな業務ログが追加されると、その業務ログを監視ログとして監視ログ記憶部１５２に登録する。図７は、業務ログ監視部１１３の処理の流れを示す図である。
【００４２】
業務ログ監視部１１３は、業務ログ記憶部１５１に新たな業務ログが追加されると（Ｓ４０１）、追加された操作ログが、設定データの監視ログ判定条件にマッチするかどうかを判定する（Ｓ４０２）。
業務ログ監視部１１３は、追加された業務ログが監視ログ判定条件にマッチした場合（Ｓ４０２：ＹＥＳ）、その業務ログを監視ログとして監視ログ記憶部１５２に登録する（Ｓ４０３）。
また、業務ログ監視部１１３は、追加された業務ログに、設定データの情報判定条件にマッチする文字列が含まれている場合には（Ｓ４０４：ＹＥＳ）、現在日時、所定のログレベル（本実施形態では「ＷＡＲＮ」とする。）、監視プログラム１２の名称（本実施形態では「ｌｏｇｍｏｎｉｔｏｒ」とする。）、監視プログラムを実行しているユーザ（本実施形態では「ｌｏｇ」とする。）、および、機密情報へのアクセスがあった旨を示すメッセージ（本実施形態では、マッチした文字列に「へのアクセス」を連結した文字列とする。）を含む監視ログを生成し（Ｓ４０５）、生成した監視ログを監視ログ記憶部１５２に登録する。
【００４３】
以上のようにして、業務ログ監視部１１３は、業務ログ記憶部１５１に記憶された業務ログのうち、設定データの監視ログ判定条件にマッチするもののみを抽出して、監視ログとして監視ログ記憶部１５２に登録することができる。
【００４４】
業務ログには、例えば、ファイルのリスト表示やメモリの使用状況の表示を行うコマンドなど、監視対象とならないコマンドの実行結果に係るものも多く含まれるので、業務ログの全てを複製しなくても、不正操作となりうる可能性のあるもののみを監視ログとして複製することにより、管理者の不正操作を事後的に監査することが可能である。したがって、本実施形態の不正監視システムによれば、設定データとして、監視対象となる業務ログの条件を指定しておくことで、必要な業務ログのみを、改ざん検知のために二重化することができる。よって、ログの複製によるリソースの消費量を抑制し、効率的に不正操作の監視を行うことが可能となる。
【００４５】
アクセス監視部１１４は、設定データの監視プログラム用エリアに対するデータの読み書きを監視する。アクセス監視部１１４は、例えば、オペレーティングシステムに対して監視プログラム用エリアが示す記憶領域へのアクセスの有無を問い合わせたり、オペレーティングシステムから、監視プログラム用エリアへのアクセスがあった旨のシグナルの通知を受けたりすることができる。アクセス監視部１１４は、監視プログラム用エリアに対して書き込みがあった場合、現在日時、「ＷＡＲＮ」、「ｌｏｇｍｏｎｉｔｏｒ」、「ｌｏｇ」、および、監視プログラム用エリアへのアクセスがあった旨のメッセージ（例えば、「/opt/logmonitorへのアクセスがありました。」などである。）を含む監視ログを生成して、監視ログ記憶部１５２に登録する。これにより、監視プログラム１２の設定に変更が加えられる可能性のあるアクセスに係る監視ログを監視ログ記憶部１５２に登録することができる。
【００４６】
監視ログ送信部１１５は、監視ログ記憶部１５２に監視ログが追加された場合に、追加された監視ログを業務監視サーバ２０および操作監視サーバ３０に送信する。
ログ比較部１１６（本発明の、第１サーバが備える改ざん判定部に該当する。）は、業務ログ記憶部１５１に記録されている業務ログのうち、設定データの監視ログ判定条件を満たすものと、各業務ログに対応する監視ログとを比較して、相違がないか否かを判定する。
【００４７】
ログハッシュ値送信部１１７（本発明の第１ハッシュ値算出部およびハッシュ値送信部に該当する。）は、管理者がログインしてからログオフするまでの監視ログを取得し、取得した監視ログに基づくハッシュ値（以下、ログハッシュ値という。）を算出し、算出したログハッシュ値を業務監視サーバ２０に送信する。後述するように、業務監視サーバ２０では、ログハッシュ値を用いて、業務サーバ１０に記録された監視ログと、業務監視サーバ２０に記録された監視ログとの整合性を検査する。
【００４８】
具体的には、ログハッシュ値送信部１１７は、プログラムが「logoff」であり、ユーザが「root」であり、かつ、メッセージが「root logged off」である監視ログ（以下、ログオフログという。）が監視ログ記憶部１５２に登録されたことを契機として、監視ログ記憶部１５２に記憶されている監視ログのうち、ログオフログの日時（以下、ログオフ日時という。）よりも前の日時であり、プログラムが「login」であり、ユーザが「root」であり、かつ、メッセージが「root logged in」である監視ログのうち日時が最も新しいもの（以下、ログインログという。）を取得する。ログハッシュ値送信部１１７は、ログインログの日時（以下、ログイン日時という。）以後の日時であり、かつ、ログオフ日時以前の日時である監視ログを監視ログ記憶部１５２から取得し、取得した監視ログを日時順にソートして、ソートした監視ログに、例えば、ＭＤ５（Message Digest Algorithm 5）などの所定のハッシュ関数を適用してログハッシュ値を算出する。ログハッシュ値送信部１１７は、算出したログハッシュ値に、ログイン日時およびログオフ日時を付帯させて業務監視サーバ２０に送信する。
【００４９】
監視ログ削除要求受信部１１８（本発明の監視ログ削除要求受信部および監視ログ削除部に該当する。）は、監視ログを削除するように指示するコマンド（以下、監視ログ削除要求という。）を業務監視サーバ２０から受信する。監視ログ削除要求には、開始日時および終了日時が含まれる。監視ログ削除要求受信部１１８は、監視ログ削除要求に含まれている開始日時から終了日時までの間の日時に対応する監視ログを監視ログ記憶部１５２から削除する。
【００５０】
アラート通知受信部１１９は、業務監視サーバ２０から送信される警告メッセージ（（以下、アラート通知という。）を受信する。アラート通知は、不正な監視ログが発見された場合などに業務監視サーバ２０から送信される。
アラート表示部１２０（本発明の改ざん報知部に該当する。）は、ログ比較部１１６が比較した業務ログと監視ログとに相違があった場合や、アラート通知受信部１１９がアラート通知を受信した場合に、警告メッセージを出力装置１０６に出力する。
動作確認要求受信部１２１は、業務監視サーバ２０から送信される、監視プログラム１２が実行されているかどうかを問合わせる要求（以下、動作確認要求という。）を受信する。
【００５１】
動作状態送信部１２２は、動作確認要求に応じて、監視プログラム１２の実行状況を取得し、監視プログラム１２が実行されているかどうかを示す情報（以下、動作状態情報という。）を業務監視サーバ２０に送信する。動作状態送信部１２２は、例えば、業務サーバ１０で動作しているオペレーティングシステムに対して、監視プログラム１２の実行状況を問い合わせることにより、監視プログラム１２の実行状況を取得する。
【００５２】
設定データ取得要求受信部１２３（本発明の条件取得要求送信部に該当する。）は、操作監視サーバ３０から送信される、設定データを取得するためのコマンド（以下、設定データ取得要求という。本発明の条件取得要求に該当する。）を受信する。
設定データ送信部１２４（本発明の条件送信部に該当する。）は、設定データ取得要求に応じて、設定データ記憶部１５３に記憶されている設定データを読み出して、操作監視サーバ３０に送信する。
【００５３】
なお、上述した設定データ受信部１１２、業務ログ監視部１１３、アクセス監視部１１４、監視ログ送信部１１５、ログ比較部１１６、ログハッシュ値送信部１１７、監視ログ削除要求受信部１１８、アラート通知受信部１１９、アラート表示部１２０、動作確認要求受信部１２１、動作状態送信部１２２、設定データ取得要求受信部１２３、および設定データ送信部１２４は、業務サーバ１０のＣＰＵ１０１が記憶装置１０３に記憶されている監視プログラム１２をメモリ１０２に読み出して実行することにより実現される。上記各機能部は、上述した機能を実現する回路などのハードウェアにより実現されるようにしてもよい。
【００５４】
＝＝業務監視サーバ２０＝＝
図８は、業務監視サーバ２０のハードウェア構成を示す図である。
業務監視サーバ２０は、ＣＰＵ２０１、メモリ２０２、記憶装置２０３、通信インタフェース２０４、入力装置２０５、出力装置２０６、ディスクインタフェース２０７、改ざん防止ハードディスク２０８を備えている。
【００５５】
記憶装置２０３は、各種のプログラムやデータを記憶する、例えばハードディスクドライブやフラッシュメモリ、ＣＤ−ＲＯＭドライブなどである。記憶装置２０３には、監視制御プログラム２１が記憶されている。監視制御プログラム２１は、業務サーバ１０の監視を行うためのプログラムである。ＣＰＵ２０１は、記憶装置２０３に記憶されている監視制御プログラム２１などのプログラムをメモリ２０２に読み出して実行することにより各種の機能を実現する。
【００５６】
通信インタフェース２０４は、通信ネットワーク４０に接続するためのインタフェースである。通信インタフェース２０４は、例えば、イーサネット（登録商標）やフレームリレー網などに接続するためのアダプタや、電話回線網に接続するためのモデム、無線通信を行うための無線通信器などである。
入力装置２０５は、利用者からデータの入力を受け付ける、例えばキーボードやマウス、タッチパネル、マイクロフォンなどである。出力装置２０６は、データを出力する、例えばディスプレイやプリンタなどである。
【００５７】
改ざん防止ハードディスク２０８は、データを記憶する記憶装置であって、記憶するデータの改ざんを防止する機能を有するものである。改ざん防止ハードディスク２０８は、例えば、データの更新を行う代わりに、既存のデータとは異なる記憶領域にデータを追記し、データへのインデックスのみを更新することにより、記憶している全てのデータの更新履歴を記録するものである。なお、改ざん防止機能を有するハードディスクには、公知のものを利用することができる。
ディスクインタフェース２０７は、改ざん防止ハードディスク２０８に接続するためのインタフェースであり、例えば、ＳＣＳＩ、ＩＤＥなどの規約に従って、改ざん防止ハードディスク２０８に対するデータの読み書きを行う。
【００５８】
図９は、業務監視サーバ２０の機能ブロック図である。
業務監視サーバ２０は、設定データ入力部２１１、設定データ送信部２１２、操作監視部２１３、操作ログ送信部２１４、監視ログ受信部２１５、ログハッシュ値受信部２１６、ログ改ざん判定部２１７、監視ログ削除要求送信部２１８、不正作業検出部２１９、動作確認要求送信部２２０、動作状態受信部２２１、アラート通知送信部２２２、アラート出力部２２３、動作確認要求受信部２２４、動作状態送信部２２５、操作ログ記憶部２５１、監視エリア記憶部２５２、監視ログ記憶部２５３、作業計画記憶部２５４を備えている。
【００５９】
上記設定データ入力部２１１、設定データ送信部２１２、操作監視部２１３、操作ログ送信部２１４、監視ログ受信部２１５、ログハッシュ値受信部２１６、ログ改ざん判定部２１７、監視ログ削除要求送信部２１８、不正作業検出部２１９、動作確認要求送信部２２０、動作状態受信部２２１、アラート通知送信部２２２、アラート出力部２２３、動作確認要求受信部２２４、および動作状態送信部２２５は、業務監視サーバ２０のＣＰＵ２０１が、記憶装置２０３に記憶されている監視制御プログラム２１をメモリ２０２に読み出して実行することにより実現される。
【００６０】
上記操作ログ記憶部２５１および監視ログ記憶部２５３は、改ざん防止ハードディスク２０８の記憶領域として実現される。
上記監視エリア記憶部２５２および作業計画記憶部２５４は、記憶装置２０３およびメモリ２０２の記憶領域として実現される。なお、監視エリア記憶部２５２および作業計画記憶部２５４は、改ざん防止ハードディスク２０８の記憶領域として実現するようにしてもよい。
操作ログ記憶部２５１は、業務監視サーバ２０の操作に関するログ（以下、操作ログという。）を記憶する。
【００６１】
図１０は、操作ログ記憶部２５１に記憶される操作ログの構成例を示す図である。
操作ログは、操作が行われた日時、行われた操作の名称、および操作の内容を含んでいる。操作の内容は、操作により異なる。例えば、操作が「設定情報更新」である場合、内容は設定データの内容であり、操作ログの操作が「アクセス」である場合、操作ログの内容はアクセスされたファイルのファイル名である。
【００６２】
設定データ入力部２１１は、業務サーバ１０において実行される監視プログラムの設定データの入力を受け付ける。設定データ入力部２１１は、例えば、キーボードやマウスなどの入力装置２０５から設定データの内容の入力を受け付けるようにしてもよいし、他のコンピュータから設定データを受信するようにしてもよい。
設定データ送信部２１２は、設定データ入力部２１１が受け付けた設定データを業務サーバ１０に送信するとともに、現在の日時、「設定情報更新」、設定データの内容を含む操作ログを生成して、操作ログ記憶部２５１に登録する。
【００６３】
監視エリア記憶部２５２は、操作ログ記憶部２５１が実現される記憶領域を示す情報（以下、監視先情報という。）を記憶する。監視先情報は、例えば、操作ログを含むファイルが格納されるディレクトリを示すパスなどである。
【００６４】
操作監視部２１３は、管理者の業務監視サーバ２０へのログインおよびログアウト、並びに、監視エリア記憶部２５２が記憶している監視先情報が示す記憶領域（以下、操作監視領域という。）に対するアクセスを監視する。操作監視部２１３は、管理者のログインがあった場合、現在日時および「ログイン」を含む操作ログを生成して、操作ログ記憶部２５１に登録し、管理者のログアウトがあった場合、現在日時および「ログアウト」を含む操作ログを生成して操作ログ記憶部２５１に登録する。操作監視部２１３は、操作監視領域にアクセスがあった場合、現在日時、「アクセス」、およびアクセスされたファイルを示すファイル名を含む操作ログを生成して操作ログ記憶部２５１に登録する。
【００６５】
操作ログ送信部２１４は、操作ログ記憶部２５１に操作ログが登録されると、登録された操作ログを操作監視サーバ３０に送信する。
監視ログ受信部２１５は、業務サーバ１０から送信される監視ログを受信する。監視ログ受信部２１５は、受信した監視ログを監視ログ記憶部２５３に記憶する。監視ログ記憶部２５３は、上述した業務サーバ１０の監視ログ記憶部１５２と同様の構成である。
ログハッシュ値受信部２１６は、業務サーバ１０から送信されるログハッシュ値を受信する。上述したように、ログハッシュ値には、ログイン日時とログオフ日時とが付帯される。
【００６６】
ログ改ざん判定部２１７（本発明の改ざん判定部、および第２ハッシュ値算出部に該当する。）は、監視ログ記憶部２５３から、日時がログハッシュ値に付帯されているログイン日時以後であり、かつ、日時がログハッシュ値に付帯されているログオフ日時以前である監視ログを、後述する動作状態受信部２２１が登録したものを除いて取得し、取得した監視ログを日時順にソートして、ソートした監視ログに所定のハッシュ関数を適用してハッシュ値を算出する。ログ改ざん判定部２１７は、算出したハッシュ値と、ログハッシュ値受信部２１６が受信したログハッシュ値とを比較して、監視ログに改ざんがあるかどうか判定する。また、ログ改ざん判定部２１７は、判定結果を監視ログとして監視ログ記憶部２５３も登録する。具体的には、現在日時、「ＩＮＦＯ」、「ｌｏｇｍｏｎｉｔｏｒ」、「ｒｏｏｔ」、判定結果を表す「監査ログの改ざんあり」または「監査ログの改ざんなし」のメッセージを含む監視ログを生成して監視ログ記憶部２５３に登録する。
【００６７】
監視ログ削除要求送信部２１８は、監視ログに改ざんがないと判定された場合に、ログイン日時およびログオフ日時を設定した管理ログ削除要求を業務サーバ１０に送信することにより、業務サーバ１０において、ログイン日時からログオフ日時までの監視ログが削除されるようにする。これにより、業務サーバ１０において監視ログの記憶リソースを節約することができる。なお、監視ログ削除要求に応じて業務サーバ１０から削除の結果を応答するようにしてもよい。この場合、監視ログ削除要求送信部２１８は、業務サーバ１０からの応答をメッセージとした監視ログを生成して監視ログ記憶部２５３に登録する。
【００６８】
作業計画記憶部２５４は、業務サーバ１０において管理者が実行することが予定されている作業に関する情報（以下、作業計画という。）を記憶する。管理者は、例えば、サーバのディスク取替に伴うデータ移行作業において、（１）現行ディスクのシステム情報バックアップ、（２）新ディスクの環境整備（ボリュームグループの作成など）、（３）現行ディスクのファイルリスト作成、（４）データ移行（現行ディスクから新ディスク）、（５）新ディスクのファイルリスト作成、（６）現行・新ディスクのファイルシステム情報比較、（７）新ディスクのシステム情報バックアップなどの作業を行う。業務サーバ１０では、これらの作業それぞれに係るプログラムが実行される。作業計画記憶部２５４には、業務サーバ１０において実行されうるプログラムが予め登録される。
【００６９】
図１１は、作業計画記憶部２５４に記憶される作業計画の構成例を示す図である。同図に示すように、作業計画は、作業計画の識別情報（以下、計画ＩＤという。）に対応付けて、管理者により実行される予定のプログラムを含む。後述するように、作業計画記憶部２５４に登録されるプログラム以外のプログラムが実行された場合、計画外のプログラムが実行された旨を示す警告が出力される。
不正作業検出部２１９は、作業計画記憶部２５４に記憶されている作業計画に沿わないプログラムに関する監視ログが記録されているかどうかにより、管理者による不正な作業が行われたかどうかを判定する。
【００７０】
図１２は、不正作業検出部２１９による不正作業の検出処理の流れを示す図である。
不正作業検出部２１９は、監視ログ記憶部２５３から、ログハッシュ値に付帯されているログイン日時からログオフ日時までの日時に対応する監視ログのうち、ユーザが「ｒｏｏｔ」であり、ログレベルが所定値（本実施形態では「ＷＡＲＮ」または「ＥＲＲＯＲ」とする。）であるものを監視ログ記憶部２５３から読み出し（Ｓ５０１）、読み出した監視ログを日時順にソートして監視ログリストとする（Ｓ５０２）。
【００７１】
不正作業検出部２１９は、カウンタ変数Ｌに１を設定する（Ｓ５０４）。
不正作業検出部２１９は、監視ログリストにＬ番目の監視ログが存在する間以下の処理を行う。
不正作業検出部２１９は、監視ログリストのＬ番目の監視ログを、作業対象の監視ログ（以下、対象ログという。）とする（Ｓ５０５）。不正作業検出部２１９は、作業計画記憶部２５４から、プログラムが対象ログのプログラムに一致する作業計画を検索する（Ｓ５０６）。
不正作業検出部２１９は、上記検索において作業計画が見つからなかった場合には（Ｓ５０７：ＮＯ）、不正作業があったものと判定して（Ｓ５０８）、処理を終了する。
【００７２】
一方、不正作業検出部２１９は、プログラムが対象ログのプログラムに一致する作業計画が見つかった場合には（Ｓ５０７：ＹＥＳ）、Ｌをインクリメントし（Ｓ５１０）、Ｓ５０５からの処理を繰り返す。
不正作業検出部２１９は、監視ログリストの全ての監視ログについて上記の処理を繰り返した後、すなわち全ての監視ログに対応する作業計画が存在した場合、不正な作業がなかったと判定する（Ｓ５１１）。
以上のようにして、不正作業検出部２１９は不正作業があったかどうかを判定する。
【００７３】
動作確認要求送信部２２０は、定期的に、業務サーバ１０に対して、動作確認要求を送信する。
動作状態受信部２２１（本発明の動作状態受信部および動作監視部に該当する。）は、動作確認要求に応じて業務サーバ１０から送信される動作状態情報を受信する。また、動作状態受信部２２１は、監視プログラム１２が実行されていないことを示す動作状態情報を受信した場合には、その旨を示すメッセージを含む監視ログを生成して監視ログ記憶部２５３に登録する。例えば、動作状態受信部２２１は、監視プログラム１２が実行されていない場合、現在日時、「ＷＡＲＮ」、「ｌｏｇｍｏｎｉｔｏｒ」、「ｒｏｏｔ」、「プログラムが実行されていません。」が含まれる監視ログを監視ログ記憶部２５３に登録する。
【００７４】
アラート通知送信部２２２は、ログ改ざん判定部２１７により監視ログに改ざんがあると判定された場合、不正作業検出部２１９により不正な作業があったと判定された場合、および、動作確認要求送信部２２０が動作確認要求を送信してから所定の時間内に動作状態受信部２２１が動作状態情報を受信できなかった場合などに、その旨を示すアラート通知を業務サーバ１０に送信する。なお、アラート通知送信部２２２がアラート通知を業務サーバ１０に送信する場合は、管理者が設定できるものとする。
【００７５】
アラート出力部２２３は、上記アラート通知に応じた警告メッセージを出力装置２０６に出力する。なお、所定の電子メールアドレスをメモリ２０２や記憶装置２０３、改ざん防止ハードディスク２０８などに記憶しておき、警告メッセージを電子メールとして上記所定の電子メールアドレスに送信するようにしてもよい。なお、業務監視サーバ２０が他のシステムと通信可能に接続されている場合、アラート出力部２２３は、接続された他のシステムに対してアラート通知を送信するようにしてもよい。
【００７６】
動作確認要求受信部２２４は、操作監視サーバ３０から送信される、監視制御プログラム２１が実行されているかどうかを問い合わせる動作確認要求を受信する。
動作状態送信部２２５は、動作確認要求に応じて、監視制御プログラム２１の実行状況を取得し、監視制御プログラム２１が実行されているかどうかを示す動作状態情報を操作監視サーバ３０に応答する。動作状態送信部２２５は、例えば、業務監視サーバ２０で動作しているオペレーティングシステムに対して、監視制御プログラム２１の実行状況を問い合わせることにより、監視制御プログラム２１の実行状況を取得する。
【００７７】
＝＝操作監視サーバ３０＝＝
図１３は、操作監視サーバ３０のハードウェア構成を示す図である。
操作監視サーバ３０は、上述した業務監視サーバ２０と同様の構成であり、ＣＰＵ３０１、メモリ３０２、記憶装置３０３、通信インタフェース３０４、入力装置３０５、出力装置３０６、ディスクインタフェース３０７、改ざん防止ハードディスク３０８を備えている。
【００７８】
記憶装置３０３は、各種のプログラムやデータを記憶する、例えばハードディスクドライブやフラッシュメモリ、ＣＤ−ＲＯＭドライブなどである。記憶装置３０３には、操作監視制御プログラム３１が記憶されている。操作監視制御プログラム３１は、業務監視サーバ２０における操作を監視するためのプログラムである。ＣＰＵ３０１は、記憶装置３０３に記憶されている操作監視制御プログラム３１などのプログラムをメモリ３０２に読み出して実行することにより各種の機能を実現する。
【００７９】
通信インタフェース３０４は、通信ネットワーク４０に接続するためのインタフェースである。通信インタフェース３０４は、例えば、イーサネット（登録商標）やフレームリレー網などに接続するためのアダプタや、電話回線網に接続するためのモデム、無線通信を行うための無線通信器などである。
【００８０】
入力装置３０５は、利用者からデータの入力を受け付ける、例えばキーボードやマウス、タッチパネル、マイクロフォンなどである。出力装置３０６は、データを出力する、例えばディスプレイやプリンタなどである。
【００８１】
改ざん防止ハードディスク３０８は、データを記憶する記憶装置であって、記憶するデータの改ざんを防止する機能を有するものである。改ざん防止ハードディスク３０８には、上述の業務監視サーバ２０と同様に、公知のものを利用することができる。
【００８２】
ディスクインタフェース３０７は、改ざん防止ハードディスク３０８に接続するためのインタフェースであり、例えば、ＳＣＳＩ、ＩＤＥなどの規約に従って、改ざん防止ハードディスク３０８に対するデータの読み書きを行う。
【００８３】
図１４は、操作監視サーバ３０の機能ブロック図である。
操作監視サーバ３０は、操作ログ受信部３１１、設定データ取得要求送信部３１２、設定データ受信部３１３、操作ログ登録部３１４、監視ログ受信部３１５、動作確認要求送信部３１６、動作状態受信部３１７、アラート出力部３１８、操作ログ記憶部３５１、監視ログ記憶部３５２を備えている。
【００８４】
上記操作ログ受信部３１１、設定データ取得要求送信部３１２、設定データ受信部３１３、操作ログ登録部３１４、監視ログ受信部３１５、動作確認要求送信部３１６、動作状態受信部３１７、およびアラート出力部３１８は、操作監視サーバ３０が備えるＣＰＵ３０１が記憶装置３０３に記憶されている操作監視制御プログラム３１を実行することにより実現される。また、操作ログ記憶部３５１は、改ざん防止ハードディスク３０８の記憶領域として実現される。
【００８５】
操作ログ記憶部３５１は、上述の業務監視サーバ２０の操作ログ記憶部２５１と同様の構成であり、監視ログ記憶部３５２は、上述の業務サーバ１０の監視ログ記憶部１５２および業務監視サーバ２０の監視ログ記憶部２５３と同様の構成である。
【００８６】
操作ログ受信部３１１は、業務監視サーバ２０から送信される操作ログを受信する。
設定データ取得要求送信部３１２（本発明の条件取得要求送信部に該当する。）は、操作ログ受信部３１１が受信した操作ログの操作欄に「設定情報更新」が設定されている場合、設定データ取得要求を業務サーバ１０に送信する。なお、設定データ取得要求送信部３１２は、定期的に設定データ取得要求を業務サーバ１０に送信する。
設定データ受信部３１３（本発明の条件受信部に該当する。）は、設定データ取得要求に応じて業務サーバ１０から送信される設定データを受信する。
操作ログ登録部３１４は、操作ログ受信部３１１が受信した操作ログを操作ログ記憶部３５１に登録する。
【００８７】
また、操作ログ登録部３１４は、設定データ受信部３１３が業務サーバ１０から設定データを受信した場合、操作欄が「設定情報更新」である操作ログのうち最も日時が新しいものを操作ログ記憶部３５１から読み出し、読み出した操作ログの内容欄に設定されているデータと、受信した設定データとを比較して、業務サーバ１０における設定データへの改ざんの有無を判定する。操作ログ登録部３１４は、改ざんが有ると判定した場合には、現在日時、不正な設定情報を検出した旨を示す文字列（例えば、「不正な設定情報の更新」）、受信した設定データを含む操作ログを生成して操作ログ記憶部３５１に登録する。これにより、業務サーバ１０において監視制御プログラム２１の設定に用いられている設定データと、業務監視サーバ２０において入力した設定データとが異なることを記録しておくことができる。したがって、例えば業務サーバ１０の管理者が設定データを不正に書き換えるような不正な操作を操作ログとして記録しておくことができる。
【００８８】
監視ログ受信部３１５は、業務サーバ１０から送信される監視ログを監視ログ記憶部３５２に登録する。これにより、監視ログは、業務サーバ１０、業務監視サーバ２０、および操作監視サーバ３０の３箇所に記録されることになる。したがって、より多くの場所に監視ログの複製を格納することができるので、監視ログが改ざんされることをより困難にすることができる。よって、例えば、業務サーバ１０の管理者と業務監視サーバ２０の管理者とが結託して監視ログを改ざんした場合でも、操作監視サーバ３０の監視ログとの比較により改ざんを検出することができる。
【００８９】
動作確認要求送信部３１６は、定期的に、業務監視サーバ２０に対して動作確認要求を送信する。
動作状態受信部３１７は、動作確認要求に応じて業務監視サーバ２０から送信される動作状態情報を受信する。動作状態受信部３１７は、監視制御プログラム２１が実行されていないことを示す動作状態情報を受信した場合には、その旨を示す内容を含む操作ログを生成して操作ログ記憶部３５１に登録する。例えば、動作状態受信部３１７は、現在日時、「プログラムの監視」、「プログラムが実行されていません。」を含む操作ログを操作ログ記憶部３５１に登録する。
【００９０】
アラート出力部３１８は、操作ログ受信部３１１が業務監視サーバ２０から受信した操作ログの内容欄に設定されたデータと、設定データ受信部３１３が業務サーバ１０から受信した設定データとが一致しない場合や、動作確認要求送信部３１６が業務監視サーバ２０に動作確認要求を送信してから、所定の時間内に動作状態受信部３１７が動作状態情報を受信できなかった場合などに、その旨を示す警告メッセージを出力装置３０６に出力する。なお、例えば、予め所定の電子メールアドレスをメモリ３０２や記憶装置３０３などに記憶しておき、アラート出力部３１８は、警告メッセージを電子メールとして、上記所定の電子メールアドレスに対して送信するようにしてもよい。
【００９１】
＝＝システムの処理＝＝
図１５は、本実施形態の不正監視システムにおける処理の概略を示す図である。
業務監視サーバ２０は、設定データの入力を受け付けると（Ｓ７０１）、設定データを業務サーバ１０に送信する（Ｓ７０２）とともに、操作監視サーバ３０にも操作ログとして設定データを送信する（Ｓ７０３）。
【００９２】
操作監視サーバ３０は、業務監視サーバ２０から設定データを含む操作ログを受信すると、設定データ取得要求を業務サーバ１０に送信する（Ｓ７０４）。操作監視サーバ３０は、業務サーバ１０から応答される設定データを受信し（Ｓ７０５）、業務サーバ１０から受信した設定データと、業務監視サーバ２０から受信した操作ログに含まれる設定データとが一致するかどうかにより、業務サーバ１０において設定データが改ざんされていないかどうかを判定する（Ｓ７０６）。また、操作監視サーバ３０は、定期的に設定データ取得要求を業務サーバ１０に送信して、設定データの改ざんの有無を判定する（Ｓ７０４〜Ｓ７０６）。
【００９３】
管理者が業務サーバ１０にログインすると（Ｓ７１１）、業務サーバ１０は、管理者の操作に応じて記録される業務ログから監視ログを抽出し、抽出した監視ログを業務監視サーバ２０に送信するとともに（Ｓ７１２）、操作監視サーバ３０にも送信する（Ｓ７１３）。
【００９４】
業務監視サーバ２０は、業務サーバ１０において監視プログラム１２が実行されているかどうかを確認する。業務監視サーバ２０は、定期的に動作確認要求を業務サーバ１０に送信し（Ｓ７２１）、業務サーバ１０から動作確認要求に対して応答される動作状態情報を受信する（Ｓ７２２）。業務監視サーバ２０は、動作状態情報に基づいて、業務サーバ１０で監視プログラム１２が実行されているかどうかを判定する（Ｓ７２３）。監視プログラム１２が実行されていない場合には、その旨を示すメッセージを含む監視ログが監視ログ記憶部２５３に登録される。
【００９５】
監視プログラム１２が実行されていない場合には、業務ログや監視ログなどが改ざんされても業務監視サーバ２０に監視ログが送信されない。したがって、業務監視サーバ２０は、監視プログラム１２が実行されていない場合には、業務サーバ１０において業務ログや監視ログの改ざんの可能性があると判断することができる。
【００９６】
一方、操作監視サーバ３０も、業務監視サーバ２０において監視制御プログラム２１が実行されているかどうかを確認する。操作監視サーバ３０は、定期的に動作確認要求を業務監視サーバ２０に送信し（Ｓ７３１）、動作確認要求に応じて業務監視サーバ２０から応答される動作状態情報を受信する（Ｓ７３２）。操作監視サーバ３０は、動作状態情報に基づいて、業務監視サーバ２０で監視制御プログラム２１が実行されているかどうかを判定する（Ｓ７３３）。監視制御プログラム２１が実行されていない場合には、その旨の内容を含む操作ログが操作ログ記憶部３５１に登録される。
【００９７】
業務サーバ１０から管理者がログオフをすると（Ｓ７４１）、業務サーバ１０は、監視ログを業務監視サーバ２０に送信するとともに（Ｓ７４２）、操作監視サーバ３０にも送信する（Ｓ７４３）。業務サーバ１０は、ログイン日時からログオフ日時までの監視ログについてのハッシュ値（ログハッシュ値）を算出して、算出したログハッシュ値にログイン日時およびログオフ日時を付帯させて業務監視サーバ２０に送信する（Ｓ７４４）。
【００９８】
業務監視サーバ２０は、業務サーバ１０から送信されるログハッシュ値を受信すると、監視ログ記憶部２５３に登録されている監視ログのうち、ログハッシュ値に付帯されているログイン日時からログオフ日時までの日時に対応するもののハッシュ値を算出して、算出したハッシュ値と、業務サーバ１０から受信したログハッシュ値とを比較して、業務サーバ１０において監視ログに対する改ざんがなかったかどうかを判定する（Ｓ７４５）。
【００９９】
業務監視サーバ２０は、監視ログに対する改ざんがなかったと判定した場合には、ログイン日時およびログオフ日時を付帯させた監視ログ削除要求を業務サーバ１０に送信する（Ｓ７４６）。業務サーバ１０は、監視ログ削除要求に応じて、ログイン日時からログオフ日時までの監視ログを監視ログ記憶部１５２から削除する（Ｓ７４７）。
一方、業務監視サーバ２０は、作業計画に基づいて、不正な作業の有無を判定する（Ｓ７４８）。
【０１００】
以上説明したように、本実施形態の不正監視システムによれば、業務サーバ１０に記録される業務ログのうち条件に見合うもののみが、業務サーバ１０において監視ログとして二重化されるとともに、業務サーバ１０の管理者とは異なる管理者が管理する業務監視サーバ２０にも記録される。したがって、監視対象の業務ログが改ざんされた場合にも、業務サーバ１０において監視ログと比較することにより改ざんを検出することが可能であり、監視ログから業務ログを復旧することもできる。また、業務監視サーバ２０は、業務サーバ１０とは異なる管理者により管理されるので、業務サーバ１０の管理者が業務ログと監視ログとの両方を改ざんした場合でも、業務監視サーバ２０に記録される監視ログと比較することにより改ざんを検出し、業務監視サーバ２０の監視ログから業務ログを復旧することができる。このように、本実施形態の不正監視システムによれば、業務サーバ１０の業務ログを確実に監査することができる。
【０１０１】
また、本実施形態の不正監視システムでは、改ざんが無いと判定された監視ログについては、業務サーバ１０の監視ログ記憶部１５２から削除される。したがって、監視ログは業務監視サーバ２０のみで管理されることになり、監視ログの記録に係るリソースを抑制することができる。
【０１０２】
また、本実施形態では、業務サーバ１０に記録されている監視ログと、業務監視サーバ２０に記録されている監視ログとが一致するかどうかは、ログハッシュ値の比較により行われる。したがって、業務サーバ１０から監視ログを業務監視サーバ２０に送信することなく、監視ログの同一性を判定することができるので、大量の監視ログを送信するために係る時間を低減し、通信ネットワーク４０の通信負荷を低減することができるとともに、迅速な比較処理を実現することができる。
【０１０３】
また、本実施形態の不正監視システムでは、ログイン日時からログオフ日時までの監視ログのみを監視対象としている。これにより、管理者の操作に関する業務ログのみを検査することができるので、全てのログを検査の対象としなくてもよく、処理効率を向上することができる。
【０１０４】
また、本実施形態の不正監視システムでは、業務サーバ１０において監視プログラム１２が実行されていることを、業務監視サーバ２０が監視している。したがって、業務サーバ１０において、管理者が、監視プログラム１２の実行を停止し、業務監視サーバ２０に監視ログが送信されないようにした場合にも、それを検知することができる。よって、監視ログが確実に業務サーバ１０から業務監視サーバ２０に送信されるようにすることができる。
【０１０５】
また、管理者が業務サーバ１０からログオフした後、業務サーバ１０においても、監視ログと、対応する業務ログとの比較により、業務ログに改ざんがなされていないかどうかを判定している。したがって、業務監視サーバ２０のみならず、業務サーバ１０においても改ざんを検知することで、より改ざんの検出を確実に行うことができる。
【０１０６】
また、本実施形態の不正監視システムでは、監視ログは、業務サーバ１０、業務監視サーバ２０、および操作監視サーバ３０の３箇所に多重化される。したがって、業務サーバ１０の管理者と、業務監視サーバ２０の管理者とが結託して監視ログを改ざんした場合でも、操作監視サーバ３０に記録される監視ログを用いて業務ログの監査を行うことができる。
【０１０７】
また、本実施形態の不正監視システムでは、操作監視サーバ３０が、業務監視サーバ２０が業務サーバ１０に送信した設定データと、業務サーバ１０が使用している設定データとの整合性を検査している。したがって、業務サーバ１０において、業務監視サーバ２０に入力された条件と同じ条件を用いて監視ログの抽出が行われているかどうかを確認することができる。したがって、業務サーバ１０の管理者が、設定データを改ざんして、不正操作に係る業務ログが監視ログとして抽出されないような設定を行った場合にも、それを検知することができる。よって、監視対象となる業務ログを確実に監視ログとして抽出するようにすることができる。これにより信頼性の高い監視ログを記録することができる。
【０１０８】
なお、本実施形態では、業務サーバ１０は１台であるものとしたが、複数の業務サーバ１０を含んだ構成としてもよい。また、業務サーバ１０および業務監視サーバ２０のみで不正監視システムを構成するようにしてもよい。
【０１０９】
また、本実施形態では、業務ログが業務サーバ１０に記録されていることを前提としたが、例えば、シスログなどにより、他のコンピュータで業務ログを記録するようにしてもよい。この場合、業務ログを記録しているコンピュータが、設定データに基づいて監視ログも記録するとともに、監視ログを業務監視サーバ２０および操作監視サーバ３０に送信するようにする。
【０１１０】
また、本実施形態では、設定データに対する改ざんの検出は、操作監視サーバ３０が行うものとしたが、業務監視サーバ２０が行うようにしてもよいし、業務監視サーバ２０および操作監視サーバ３０の両方で行うようにしてもよい。この場合、業務監視サーバ２０が設定データ取得要求を業務サーバ１０に送信し、業務サーバ１０から応答される設定データと、業務監視サーバ２０に入力された設定データとを比較するようにする。
【０１１１】
また、本実施形態では、業務サーバ１０に記録されている監視ログと、業務監視サーバ２０に記録されている監視ログとを比較するために、ログハッシュ値を用いるものとしたが、これに限らず、例えば、業務サーバ１０に記録されている監視ログを業務サーバ１０から業務監視サーバ２０に送信するようにして、業務監視サーバ２０が、業務サーバ１０から受信した監視ログと、監視ログ記憶部２５３に記憶している監視ログとを比較して、改ざんの有無を検知するようにしてもよい。
【０１１２】
また、業務サーバ１０、業務監視サーバ２０、および操作監視サーバ３０において記録される業務ログ、監視ログおよび操作ログは、管理者が指定する日時やプログラム名、実行されたサーバの名称など各種の条件に基づいて検索可能である。業務サーバ１０、業務監視サーバ２０および操作監視サーバ３０は、検索した業務ログ、監視ログおよび操作ログは、出力装置に出力し、またＣＳＶ（Comma Separated Values）ファイルやテキストファイルなどの形式で、記憶装置に格納するようにすることができる。
【０１１３】
以上、本実施形態について説明したが、上記実施形態は本発明の理解を容易にするためのものであり、本発明を限定して解釈するためのものではない。本発明は、その趣旨を逸脱することなく、変更、改良され得ると共に、本発明にはその等価物も含まれる。
【図面の簡単な説明】
【０１１４】
【図１】本実施形態の不正監視システムの全体構成を示す図である。
【図２】業務サーバ１０のハードウェア構成を示す図である。
【図３】業務サーバ１０の機能ブロック図である。
【図４】業務ログ記憶部１５１が記憶する業務ログの一例を示す図である。
【図５】監視ログ記憶部１５２に記憶される監視ログの構成例を示す図である。
【図６】設定データ記憶部１５３に記憶される設定データの一例を示す図である。
【図７】業務ログ監視部１１３の処理の流れを示す図である。
【図８】業務監視サーバ２０のハードウェア構成を示す図である。
【図９】業務監視サーバ２０の機能ブロック図である。
【図１０】操作ログ記憶部２５１に記憶される操作ログの構成例を示す図である。
【図１１】作業計画記憶部２５４に記憶される作業計画の構成例を示す図である。
【図１２】不正作業検出部２１９による不正作業の検出処理の流れを示す図である。
【図１３】操作監視サーバ３０のハードウェア構成を示す図である。
【図１４】操作監視サーバ３０の機能ブロック図である。
【図１５】本実施形態の不正監視システムにおける処理の概略を示す図である。
【符号の説明】
【０１１５】
１０ 業務サーバ １１ 業務プログラム
１２ 監視プログラム ２０ 業務監視サーバ
２１ 監視制御プログラム ３０ 操作監視サーバ
３１ 操作監視制御プログラム ４０ 通信ネットワーク
１０１ ＣＰＵ １０２ メモリ
１０３ 記憶装置 １０４ 通信インタフェース
１０５ 入力装置 １０６ 出力装置
１１１ 業務処理部 １１２ 設定データ受信部
１１３ 業務ログ監視部 １１４ アクセス監視部
１１５ 監視ログ送信部 １１６ ログ比較部
１１７ ログハッシュ値送信部 １１８ 監視ログ削除要求受信部
１１９ アラート通知受信部 １２０ アラート表示部
１２１ 動作確認要求受信部 １２２ 動作状態送信部
１２３ 設定データ取得要求受信部 １２４ 設定データ送信部
１５１ 業務ログ記憶部 １５２ 監視ログ記憶部
１５３ 設定データ記憶部 ２０１ ＣＰＵ
２０２ メモリ ２０３ 記憶装置
２０４ 通信インタフェース ２０５ 入力装置
２０６ 出力装置 ２０７ ディスクインタフェース
２０８ 改ざん防止ハードディスク ２１１ 設定データ入力部
２１２ 設定データ送信部 ２１３ 操作監視部
２１４ 操作ログ送信部 ２１５ 監視ログ受信部
２１６ ログハッシュ値受信部 ２１７ ログ改ざん判定部
２１８ 監視ログ削除要求送信部 ２１９ 不正作業検出部
２２０ 動作確認要求送信部 ２２１ 動作状態受信部
２２２ アラート通知送信部 ２２３ アラート出力部
２２４ 動作確認要求受信部 ２２５ 動作状態送信部
２５１ 操作ログ記憶部 ２５２ 監視エリア記憶部
２５３ 監視ログ記憶部 ２５４ 作業計画記憶部
３０１ ＣＰＵ ３０２ メモリ
３０３ 記憶装置 ３０４ 通信インタフェース
３０５ 入力装置 ３０６ 出力装置
３０７ ディスクインタフェース ３０８ 改ざん防止ハードディスク
３１１ 操作ログ受信部 ３１２ 設定データ取得要求送信部
３１３ 設定データ受信部 ３１４ 操作ログ登録部
３１５ 監視ログ受信部 ３１６ 動作確認要求送信部
３１７ 動作状態受信部 ３１８ アラート出力部
３５１ 操作ログ記憶部 ３５２ 監視ログ記憶部
【特許請求の範囲】
【請求項１】
第１サーバと、前記第１サーバに通信可能に接続される、前記第１サーバを管理する管理者とは異なる管理者により管理される第２サーバと、を含んで構成され、
前記第１サーバは、
当該第１サーバによる処理の実行履歴を表す実行ログを記憶する実行ログ記憶部と、
監視対象となる前記実行ログを特定するための条件を記憶する条件記憶部と、
前記実行ログ記憶部を監視し、前記条件を満たす前記実行ログが登録された場合に、当該実行ログを監視ログとして決定する監視ログ決定部と、
前記監視ログを記憶する第１監視ログ記憶部と、
前記監視ログを前記第２サーバに送信する監視ログ送信部と、
を備え、
前記第２サーバは、
前記第１サーバから送信される監視ログを受信する監視ログ受信部と、
前記監視ログを記憶する第２監視ログ記憶部と、
前記第１サーバの前記第１監視ログ記憶部に記録されている前記監視ログと当該第２サーバの前記第２監視ログ記憶部に記憶されている前記監視ログとが一致するかどうかにより、前記監視ログに対する改ざんの有無を判定する改ざん判定部と、
を備えることを特徴とするログ監視システム。
【請求項２】
請求項１に記載のログ監視システムであって、
前記第２サーバは、前記改ざん判定部により前記改ざんが無いと判定された場合に、前記監視ログを削除するように指示するコマンドである監視ログ削除要求を送信する監視ログ削除要求送信部を備え、
前記第１サーバは、
前記第２サーバから送信される、前記監視ログ削除要求を受信する監視ログ削除要求受信部と、
前記監視ログ削除要求に応じて前記監視ログ記憶部に記憶されている前記監視ログを削除する監視ログ削除部と、
を備えることを特徴とするログ監視システム。
【請求項３】
請求項１に記載のログ監視システムであって、
前記第１サーバは、
前記第１監視ログ記憶部に記憶されている前記監視ログ全体に所定のハッシュ関数を適用して第１のハッシュ値を算出する第１ハッシュ値算出部と、
前記第１のハッシュ値を前記第２サーバに送信するハッシュ値送信部と、
を備え、
前記第２サーバは、
前記第１のハッシュ値を受信するハッシュ値受信部と、
前記第２監視ログ記憶部に記憶されている前記監視ログ全体に前記所定のハッシュ関数を適用して第２のハッシュ値を算出する第２ハッシュ値算出部と、
を備え、
前記改ざん判定部は、前記第１および第２のハッシュ値を比較して、前記改ざんの有無を判定すること、
を特徴とするログ監視システム。
【請求項４】
請求項３に記載のログ監視システムであって、
前記実行ログには、前記コマンドが実行された日時が含まれており、
前記第１サーバは、
前記管理者が前記第１サーバにログインした日時であるログイン日時、および前記管理者が前記第１サーバからログオフした日時であるログオフ日時を取得するログイン監視部と、
前記第１ハッシュ値算出部は、前記第１監視ログ記憶部に記憶されている前記監視ログのうち、前記日時が前記ログイン日時以後であり、かつ、前記日時が前記ログオフ日時以前のものについて前記第１のハッシュ値を算出し、
前記ハッシュ値送信部は、前記第１のハッシュ値に前記ログイン日時および前記ログオフ日時を付帯させて送信し、
前記第２ハッシュ値算出部は、前記第２監視ログ記憶部に記憶されている前記監視ログのうち、前記日時が前記第１のハッシュ値に付帯されている前記ログイン日時以後であり、かつ、前記日時が前記第１のハッシュ値に付帯されている前記ログオフ日時以前である前記監視ログについて前記第２のハッシュ値を算出すること、
を特徴とするログ監視システム。
【請求項５】
請求項１に記載のログ監視システムであって、
前記第１サーバは、ＣＰＵと監視プログラムを記憶するメモリとを備え、
前記監視ログ決定部および前記監視ログ送信部は、前記ＣＰＵが前記監視プログラムを実行することにより実現され、
前記第２サーバは、前記第１サーバにおいて前記監視プログラムが動作しているかどうかを問い合わせるコマンドである動作確認要求を前記第１サーバに送信する動作確認要求送信部を備え、
前記第１サーバは、
前記動作確認要求を受信する動作確認要求受信部と、
前記監視プログラムが実行されているか否かを示す動作状態情報を前記第２サーバに送信する動作状態送信部と、
を備え、
前記第２サーバは、
前記第１サーバから送信される前記動作状態情報を受信する動作状態受信部と、
前記動作状態情報が、前記監視プログラムが実行されていないことを示している場合に、その旨を示すメッセージを含む前記監視ログを生成して前記第２監視ログ記憶部に登録する動作監視部と、
を備えることを特徴とするログ監視システム。
【請求項６】
請求項１に記載のログ監視システムであって、
前記第１サーバは、
前記第１監視ログ記憶部に記憶されている前記監視ログと、前記実行ログ記憶部に記憶されている、前記監視ログに対応する前記実行ログとの間に相違があるか否かにより前記実行ログに対する改ざんの有無を判定する改ざん判定部と、
前記改ざん判定部により前記改ざんが有ると判定された場合に、その旨を報知する改ざん報知部と、
を備えることを特徴とするログ監視システム。
【請求項７】
請求項１に記載のログ監視システムであって、
前記第１サーバおよび前記第２サーバのそれぞれと通信可能に接続される第３サーバを含み、
前記第１サーバの前記監視ログ送信部は、前記監視ログを前記第２サーバに送信するとともに、前記第３サーバにも送信し、
前記第３サーバは、
前記第１サーバから送信される前記監視ログを受信する監視ログ受信部と、
前記監視ログを記憶する第３監視ログ記憶部と、
を備えることを特徴とするログ監視システム。
【請求項８】
請求項１に記載のログ監視システムであって、
前記第１サーバおよび前記第２サーバのそれぞれと通信可能に接続される第３サーバを含み、
前記第２サーバは、
前記条件を含む設定データの入力を受け付ける設定データ入力部と、
前記設定データを、前記第１サーバおよび前記第３サーバのそれぞれに送信する設定データ送信部と、
を備え、
前記第３サーバは、
前記第２サーバから送信される前記設定データを受信する設定データ受信部と、
前記第１サーバにおいて記憶されている前記条件を取得するためのコマンドである条件取得要求を前記第１サーバに送信する条件取得要求送信部と、
を備え、
前記第１サーバは、
前記第２サーバから送信される前記設定データを受信する設定データ受信部と、
前記設定データに含まれている前記条件を前記条件記憶部に登録する条件登録部と、
前記第３サーバから送信される前記条件取得要求を受信する条件取得要求受信部と、
前記条件取得要求に応じて、前記条件記憶部に記憶されている前記条件を前記第３サーバに送信する条件送信部と、
を備え、
前記第３サーバは、
前記条件取得要求に応じて前記第１サーバから送信される前記条件を受信する条件受信部と、
前記第２サーバから受信した前記設定データに含まれている前記条件と、前記第１サーバから受信した前記条件とを比較して、前記条件に対する改ざんの有無を判定する条件改ざん判定部と、
を備えることを特徴とするログ監視システム。
【請求項９】
第１サーバと、前記第１サーバに通信可能に接続される、前記第１サーバを管理する管理者とは異なる管理者により管理される第２サーバと、を含んで構成されるコンピュータシステムにおいて、前記第１サーバが記録する、前記第１サーバによる処理の実行履歴を表す実行ログを監視する方法であって、
前記第１サーバが、監視対象となる前記実行ログを特定するための条件をメモリに記憶し、前記条件を満たす前記実行ログが記録された場合に、当該実行ログを監視ログとして決定し、前記監視ログをメモリに記憶し、前記監視ログを前記第２サーバに送信し、
前記第２サーバが、前記第１サーバから送信される監視ログを受信し、前記監視ログをメモリに記憶し、前記第１サーバに記憶されている前記監視ログと、当該第２サーバに記憶されている前記監視ログとが一致するかどうかにより、前記監視ログに対する改ざんの有無を判定すること、
を特徴とするログ監視方法。
【請求項１０】
請求項９に記載のログ監視方法であって、
前記第１サーバは、監視プログラムをメモリに記憶し、
前記第１サーバは、前記監視プログラムを実行することにより、前記条件を満たす前記実行ログを前記監視ログとして前記メモリに記憶し、前記監視ログを前記第２サーバに送信しており、
前記第２サーバが、前記監視プログラムが実行されているかどうかを問い合わせる動作確認要求を前記第１サーバに送信し、
前記第１サーバが、前記動作確認要求に応じて、前記監視プログラムが実行されているかどうかを示す動作状態情報を前記第２サーバに送信し、
前記第２サーバが、前記動作状態情報を受信し、前記動作状態情報が、前記監視プログラムが実行されていないことを示している場合に、その旨を示すメッセージを含む前記監視ログを生成して前記メモリに記憶すること、
を特徴とするログ監視方法。
【請求項１１】
請求項９に記載のログ監視方法であって、
前記コンピュータシステムには、前記第１サーバと前記第２サーバとのそれぞれに通信可能に接続される第３サーバが含まれ、
前記第２サーバは、前記条件を含む設定データの入力を受け付け、前記設定データを前記第１サーバおよび前記第３サーバのそれぞれに送信し、
前記第３サーバは、前記第２サーバから送信される前記設定データを受信し、前記条件を取得するためのコマンドである条件取得要求を前記第１サーバに送信し、
前記第１サーバは、前記第２サーバから送信される前記設定データを受信し、前記設定データに含まれている前記条件を前記メモリに記憶し、前記第３サーバから送信される前記条件取得要求を受信し、前記条件取得要求に応じて、前記メモリに記憶されている前記条件を前記第３サーバに送信し、
前記第３サーバは、前記第１サーバから送信される前記条件を受信し、前記第２サーバから受信した前記設定データに含まれている前記条件と、前記第１サーバから受信した前記条件とを比較して、前記条件に対する改ざんの有無を判定すること、
を特徴とするログ監視方法。
【請求項１】
第１サーバと、前記第１サーバに通信可能に接続される、前記第１サーバを管理する管理者とは異なる管理者により管理される第２サーバと、を含んで構成され、
前記第１サーバは、
当該第１サーバによる処理の実行履歴を表す実行ログを記憶する実行ログ記憶部と、
監視対象となる前記実行ログを特定するための条件を記憶する条件記憶部と、
前記実行ログ記憶部を監視し、前記条件を満たす前記実行ログが登録された場合に、当該実行ログを監視ログとして決定する監視ログ決定部と、
前記監視ログを記憶する第１監視ログ記憶部と、
前記監視ログを前記第２サーバに送信する監視ログ送信部と、
を備え、
前記第２サーバは、
前記第１サーバから送信される監視ログを受信する監視ログ受信部と、
前記監視ログを記憶する第２監視ログ記憶部と、
前記第１サーバの前記第１監視ログ記憶部に記録されている前記監視ログと当該第２サーバの前記第２監視ログ記憶部に記憶されている前記監視ログとが一致するかどうかにより、前記監視ログに対する改ざんの有無を判定する改ざん判定部と、
を備えることを特徴とするログ監視システム。
【請求項２】
請求項１に記載のログ監視システムであって、
前記第２サーバは、前記改ざん判定部により前記改ざんが無いと判定された場合に、前記監視ログを削除するように指示するコマンドである監視ログ削除要求を送信する監視ログ削除要求送信部を備え、
前記第１サーバは、
前記第２サーバから送信される、前記監視ログ削除要求を受信する監視ログ削除要求受信部と、
前記監視ログ削除要求に応じて前記監視ログ記憶部に記憶されている前記監視ログを削除する監視ログ削除部と、
を備えることを特徴とするログ監視システム。
【請求項３】
請求項１に記載のログ監視システムであって、
前記第１サーバは、
前記第１監視ログ記憶部に記憶されている前記監視ログ全体に所定のハッシュ関数を適用して第１のハッシュ値を算出する第１ハッシュ値算出部と、
前記第１のハッシュ値を前記第２サーバに送信するハッシュ値送信部と、
を備え、
前記第２サーバは、
前記第１のハッシュ値を受信するハッシュ値受信部と、
前記第２監視ログ記憶部に記憶されている前記監視ログ全体に前記所定のハッシュ関数を適用して第２のハッシュ値を算出する第２ハッシュ値算出部と、
を備え、
前記改ざん判定部は、前記第１および第２のハッシュ値を比較して、前記改ざんの有無を判定すること、
を特徴とするログ監視システム。
【請求項４】
請求項３に記載のログ監視システムであって、
前記実行ログには、前記コマンドが実行された日時が含まれており、
前記第１サーバは、
前記管理者が前記第１サーバにログインした日時であるログイン日時、および前記管理者が前記第１サーバからログオフした日時であるログオフ日時を取得するログイン監視部と、
前記第１ハッシュ値算出部は、前記第１監視ログ記憶部に記憶されている前記監視ログのうち、前記日時が前記ログイン日時以後であり、かつ、前記日時が前記ログオフ日時以前のものについて前記第１のハッシュ値を算出し、
前記ハッシュ値送信部は、前記第１のハッシュ値に前記ログイン日時および前記ログオフ日時を付帯させて送信し、
前記第２ハッシュ値算出部は、前記第２監視ログ記憶部に記憶されている前記監視ログのうち、前記日時が前記第１のハッシュ値に付帯されている前記ログイン日時以後であり、かつ、前記日時が前記第１のハッシュ値に付帯されている前記ログオフ日時以前である前記監視ログについて前記第２のハッシュ値を算出すること、
を特徴とするログ監視システム。
【請求項５】
請求項１に記載のログ監視システムであって、
前記第１サーバは、ＣＰＵと監視プログラムを記憶するメモリとを備え、
前記監視ログ決定部および前記監視ログ送信部は、前記ＣＰＵが前記監視プログラムを実行することにより実現され、
前記第２サーバは、前記第１サーバにおいて前記監視プログラムが動作しているかどうかを問い合わせるコマンドである動作確認要求を前記第１サーバに送信する動作確認要求送信部を備え、
前記第１サーバは、
前記動作確認要求を受信する動作確認要求受信部と、
前記監視プログラムが実行されているか否かを示す動作状態情報を前記第２サーバに送信する動作状態送信部と、
を備え、
前記第２サーバは、
前記第１サーバから送信される前記動作状態情報を受信する動作状態受信部と、
前記動作状態情報が、前記監視プログラムが実行されていないことを示している場合に、その旨を示すメッセージを含む前記監視ログを生成して前記第２監視ログ記憶部に登録する動作監視部と、
を備えることを特徴とするログ監視システム。
【請求項６】
請求項１に記載のログ監視システムであって、
前記第１サーバは、
前記第１監視ログ記憶部に記憶されている前記監視ログと、前記実行ログ記憶部に記憶されている、前記監視ログに対応する前記実行ログとの間に相違があるか否かにより前記実行ログに対する改ざんの有無を判定する改ざん判定部と、
前記改ざん判定部により前記改ざんが有ると判定された場合に、その旨を報知する改ざん報知部と、
を備えることを特徴とするログ監視システム。
【請求項７】
請求項１に記載のログ監視システムであって、
前記第１サーバおよび前記第２サーバのそれぞれと通信可能に接続される第３サーバを含み、
前記第１サーバの前記監視ログ送信部は、前記監視ログを前記第２サーバに送信するとともに、前記第３サーバにも送信し、
前記第３サーバは、
前記第１サーバから送信される前記監視ログを受信する監視ログ受信部と、
前記監視ログを記憶する第３監視ログ記憶部と、
を備えることを特徴とするログ監視システム。
【請求項８】
請求項１に記載のログ監視システムであって、
前記第１サーバおよび前記第２サーバのそれぞれと通信可能に接続される第３サーバを含み、
前記第２サーバは、
前記条件を含む設定データの入力を受け付ける設定データ入力部と、
前記設定データを、前記第１サーバおよび前記第３サーバのそれぞれに送信する設定データ送信部と、
を備え、
前記第３サーバは、
前記第２サーバから送信される前記設定データを受信する設定データ受信部と、
前記第１サーバにおいて記憶されている前記条件を取得するためのコマンドである条件取得要求を前記第１サーバに送信する条件取得要求送信部と、
を備え、
前記第１サーバは、
前記第２サーバから送信される前記設定データを受信する設定データ受信部と、
前記設定データに含まれている前記条件を前記条件記憶部に登録する条件登録部と、
前記第３サーバから送信される前記条件取得要求を受信する条件取得要求受信部と、
前記条件取得要求に応じて、前記条件記憶部に記憶されている前記条件を前記第３サーバに送信する条件送信部と、
を備え、
前記第３サーバは、
前記条件取得要求に応じて前記第１サーバから送信される前記条件を受信する条件受信部と、
前記第２サーバから受信した前記設定データに含まれている前記条件と、前記第１サーバから受信した前記条件とを比較して、前記条件に対する改ざんの有無を判定する条件改ざん判定部と、
を備えることを特徴とするログ監視システム。
【請求項９】
第１サーバと、前記第１サーバに通信可能に接続される、前記第１サーバを管理する管理者とは異なる管理者により管理される第２サーバと、を含んで構成されるコンピュータシステムにおいて、前記第１サーバが記録する、前記第１サーバによる処理の実行履歴を表す実行ログを監視する方法であって、
前記第１サーバが、監視対象となる前記実行ログを特定するための条件をメモリに記憶し、前記条件を満たす前記実行ログが記録された場合に、当該実行ログを監視ログとして決定し、前記監視ログをメモリに記憶し、前記監視ログを前記第２サーバに送信し、
前記第２サーバが、前記第１サーバから送信される監視ログを受信し、前記監視ログをメモリに記憶し、前記第１サーバに記憶されている前記監視ログと、当該第２サーバに記憶されている前記監視ログとが一致するかどうかにより、前記監視ログに対する改ざんの有無を判定すること、
を特徴とするログ監視方法。
【請求項１０】
請求項９に記載のログ監視方法であって、
前記第１サーバは、監視プログラムをメモリに記憶し、
前記第１サーバは、前記監視プログラムを実行することにより、前記条件を満たす前記実行ログを前記監視ログとして前記メモリに記憶し、前記監視ログを前記第２サーバに送信しており、
前記第２サーバが、前記監視プログラムが実行されているかどうかを問い合わせる動作確認要求を前記第１サーバに送信し、
前記第１サーバが、前記動作確認要求に応じて、前記監視プログラムが実行されているかどうかを示す動作状態情報を前記第２サーバに送信し、
前記第２サーバが、前記動作状態情報を受信し、前記動作状態情報が、前記監視プログラムが実行されていないことを示している場合に、その旨を示すメッセージを含む前記監視ログを生成して前記メモリに記憶すること、
を特徴とするログ監視方法。
【請求項１１】
請求項９に記載のログ監視方法であって、
前記コンピュータシステムには、前記第１サーバと前記第２サーバとのそれぞれに通信可能に接続される第３サーバが含まれ、
前記第２サーバは、前記条件を含む設定データの入力を受け付け、前記設定データを前記第１サーバおよび前記第３サーバのそれぞれに送信し、
前記第３サーバは、前記第２サーバから送信される前記設定データを受信し、前記条件を取得するためのコマンドである条件取得要求を前記第１サーバに送信し、
前記第１サーバは、前記第２サーバから送信される前記設定データを受信し、前記設定データに含まれている前記条件を前記メモリに記憶し、前記第３サーバから送信される前記条件取得要求を受信し、前記条件取得要求に応じて、前記メモリに記憶されている前記条件を前記第３サーバに送信し、
前記第３サーバは、前記第１サーバから送信される前記条件を受信し、前記第２サーバから受信した前記設定データに含まれている前記条件と、前記第１サーバから受信した前記条件とを比較して、前記条件に対する改ざんの有無を判定すること、
を特徴とするログ監視方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【公開番号】特開２００９−１１０１０２（Ｐ２００９−１１０１０２Ａ）
【公開日】平成２１年５月２１日（２００９．５．２１）
【国際特許分類】
【出願番号】特願２００７−２７９３０１（Ｐ２００７−２７９３０１）
【出願日】平成１９年１０月２６日（２００７．１０．２６）
【出願人】（０００２１１３０７）中国電力株式会社 (6,505)
【Ｆターム（参考）】
【公開日】平成２１年５月２１日（２００９．５．２１）
【国際特許分類】
【出願日】平成１９年１０月２６日（２００７．１０．２６）
【出願人】（０００２１１３０７）中国電力株式会社 (6,505)
【Ｆターム（参考）】
[ Back to top ]