情報漏えいを防止するログの収集及び参照方法、その装置及びそのプログラム
【課題】システム管理者の管理グループの権限に応じた範囲でのみログの参照可能とした階層型の管理グループ構成であっても、暗号化による鍵の管理工数が増大せず、安全にかつ効率よくログを管理する。
【解決手段】暗号化サーバが、前記ログファイルを収集する。前記ログファイル内の或るラインがどの管理グループに対応しているか判定するための条件である判定条件と、前記管理グループに対応している鍵ＩＤと、の組付けを示す判定条件テーブルを用意する。前記判定条件テーブルを参照することにより、暗号化の対象とする前記ラインに組付けられている暗号鍵を判定する。判定された前記暗号鍵を用いて前記ラインを暗号化することにより暗号ログファイルを生成し、前記暗号ログファイルと当該ログファイルを暗号化するために用いた前記暗号鍵の鍵ＩＤとの組を用いて鍵マップファイルを生成する。
【解決手段】暗号化サーバが、前記ログファイルを収集する。前記ログファイル内の或るラインがどの管理グループに対応しているか判定するための条件である判定条件と、前記管理グループに対応している鍵ＩＤと、の組付けを示す判定条件テーブルを用意する。前記判定条件テーブルを参照することにより、暗号化の対象とする前記ラインに組付けられている暗号鍵を判定する。判定された前記暗号鍵を用いて前記ラインを暗号化することにより暗号ログファイルを生成し、前記暗号ログファイルと当該ログファイルを暗号化するために用いた前記暗号鍵の鍵ＩＤとの組を用いて鍵マップファイルを生成する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はコンピュータシステムにおける情報漏洩の防止に関する。
【背景技術】
【０００２】
近年、例えばＡＳＰ（Application Service Provider）サービスのように、複数のユーザのシステムを管理し、各ユーザのシステム管理者にログ情報を提供するといった環境が増加している。
【０００３】
このような環境下で、各システムの管理者が障害解析や監査のためにログを使用する場合、ログ管理の業務負荷を軽減するため、ある程度一括でログを収集し、管理する必要がある。もっとも、ログ情報には、ＩＰアドレスやユーザＩＤ等の情報、システム固有の情報等が含まれるため全てのログ情報をシステム管理者に参照させることは好ましくない。そのため、システム管理者の管理範囲または権限に応じて参照できる情報の範囲を限定し、不要な情報漏洩を防止する必要がある。
【０００４】
例えば上述で示したＡＳＰサービスにおいては、ＡＳＰサービス事業者は障害解析や監査のため、管理するシステムの全てのログ情報を参照できる必要がある。一方、各ユーザのシステム管理者は、お互いのログを見えないようにする必要がある。もしも、誤って他ユーザのログが見えてしまった場合、個人情報や機密情報の漏洩にもつながる恐れがあり、サービス提供者にとっての信用失墜につながる恐れもある。特に、ＳａａＳ（Software as a Service）のように、さらに管理組織が多段になるケースにおいても同様の問題がある。
【０００５】
ここで、ＳａａＳについて説明する。近年、システムの多様化、複雑化に伴い、企業で利用するサービスをアウトソーシングすることが増えている。
【０００６】
ＳａａＳにおいては、ＳａａＳの基盤を提供するＳａａＳ基盤サービス事業者、ＳａａＳ基盤サービス事業者の基盤を利用しサービスを提供するＳａａＳ事業者、ＳａａＳ事業者のサービスを利用するテナント（ＳａａＳサービス利用企業）、テナント（ＳａａＳサービス利用企業）が提供するサービスを利用する利用者というように、従来のアウトソーシングの形態に比べ、システムをさらに多段の階層で管理するケースも出てきている。
【０００７】
ＳａａＳ基盤では、サーバやデータベースを複数のユーザで共有可能となっており、そこで採取されるログは一括して管理される。そして、この一括して管理ログの参照権限は階層別の管理範囲に従い限定されなければならない。
【０００８】
例えば、ＳａａＳ基盤サービス事業者は、自らより階層の低いＳａａＳ事業者のシステムログをすべて参照できる。また、ＳａａＳ事業者は、自らより階層の低いテナントのログを参照できるが、ＳａａＳ事業者間ではお互いのログは参照できてはいけない。また、テナントは、自テナントより階層の低いユーザのログは参照できるが、他のテナントの情報は参照できてはいけない。つまり、階層構成を保った状態で、ログの参照を安全に行なう必要がある。
【０００９】
また、上述したようなシステムにおいてはログの情報漏えいを防止するためにログを暗号化する必要がある。そして、暗号化の方法としては、ログを一括で暗号化しシステム管理者に送付する方法（下述の（１））や、システム管理者毎に対応する鍵で暗号化し送付する方法（下述の（２））がある。
【００１０】
（１）ログを一括で暗号化しシステム管理者に送付する方法の例が特許文献１に記載されている。
【００１１】
具体的には、ログ隠遁機能を持つサーバでログを一括で暗号化後に隠遁し、ログ管理者がログ復号化装置で復号する方法が記載されている。
【００１２】
このように、ログを一括で暗号化し、システム管理者に送付する場合、システム管理者以外の一般利用者への情報漏洩は防止できる。
【００１３】
（２）システム管理者毎に異なる鍵で各ログファイルを暗号化する方法の例が特許文献２に記載されている。
【００１４】
具体的には、ログを参照するログ解析者にログ参照の役割に応じた権限をもたせ、その権限を持った管理者にしか参照を行えなくすることにより、機密の漏洩を防止するログ収集参照方法が記載されている。
【００１５】
このように、システム管理者毎に異なる鍵で各ログファイルを暗号化する場合、暗号化されたログファイルに該当するシステムの担当者のみが復号鍵を利用しログを参照できる。
【特許文献１】特開２００６−２５２０３３号公報
【特許文献２】特開２００７−２０００５９号公報
【発明の開示】
【発明が解決しようとする課題】
【００１６】
しかしながら、特許文献１に記載の技術では、ログを一括で暗号化し隠遁するため、管理者以外の一般利用者への情報漏えいは防止できるが、本来、他の管理者のみが参照すべきログ情報も合わせて配布されてしまう。すなわち、管理者はその管理範囲に関係なくすべてのログが参照できてしまうという問題がある。
【００１７】
また、復号鍵が盗まれると、全ての情報が参照可能になってしまうというセキュリティ上の問題もある。
【００１８】
この点、特許文献２に記載の技術ならば管理範囲に関係するログのみを参照させることができる。しかし、ネットワークログやアプリケーションログなどの役割の単位でログが暗号化され、その役割に応じた復号鍵が１対１の関係で必要となる。そのため、管理範囲が異なる管理者が階層構成で存在する場合、複数の役割権限を持つ上位の管理者は、複数の暗号鍵が必要になり、管理者の運用性を低下させ、操作ミスによる情報漏えいの危険が増大する恐れがあるという問題がある。
【００１９】
例えば、上述したＳａａＳのようなシステムにおいては、システム管理者が階層化された管理グループで構成されており、最上位の管理者は全てログを参照できる必要がある。そのため、最上位の管理者が、下位の管理者の持つすべての復号鍵を持つ、もしくは同じログファイルを別の鍵で暗号化しておかなければならない。
【００２０】
同様に２番目の階層の管理者は、その階層の管理下のログを参照するため、３番目の階層以下に属する全てのログの復号鍵を持つ、もしくは異なる鍵で暗号化しておく必要がある。従って、システム管理者の組織階層が多段になるほど、上位管理者が必要とする鍵の数が増え、管理工数の増大とセキュリティリスクの増大を招く恐れがある。
【００２１】
そこで、本発明はシステム管理者の管理グループの権限に応じた範囲でのみログの参照可能とした階層型の管理グループ構成であっても、暗号化による鍵の管理工数が増大せず、安全にかつ効率よくログを管理することが可能な、情報漏えいを防止するログの収集及び参照方法、その装置及びそのプログラムを提供することを目的とする。
【課題を解決するための手段】
【００２２】
本発明の第１の観点によれば、ログファイルを暗号化するための暗号化サーバであって、前記ログファイルを収集するログ収集手段と、前記ログファイル内の或るラインがどの管理グループに対応しているか判定するための条件である判定条件と、前記管理グループに対応している鍵ＩＤと、の組付けを示す判定条件テーブルと、前記判定条件テーブルを参照することにより、暗号化の対象とする前記ラインに組付けられている暗号鍵を判定する暗号鍵判定手段と、前記暗号鍵判定手段により判定された前記暗号鍵を用いて前記ラインを暗号化することにより暗号ログファイルを生成し、前記暗号ログファイルと当該ログファイルを暗号化するために用いた前記暗号鍵の鍵ＩＤとの組を用いて鍵マップファイルを生成する暗号化手段と、を備えることを特徴とする暗号化サーバが提供される。
【００２３】
本発明の第２の観点によれば、暗号化されたログファイルを復号するためのログ参照端末であって、自らが管理するグループのログファイルを復号するための復号鍵が格納されている管理者用鍵格納部と、前記暗号化されたログファイルと、前記ログファイルの各ラインをどの暗号鍵を用いて暗号化したのかを示す鍵マップファイルと、を収集する、ログ参照手段と、前記鍵マップファイルを参照することにより前記暗号化されたログファイルの前記各ラインの中から前記復号鍵で復号可能なラインを判別し、前記判別の結果復号可能と判断された前記ラインを復号化する復号化手段と、を備えることを特徴とするログ参照端末が提供される。
【００２４】
本発明の第３の観点によれば、上述の第１の観点により提供される暗号化サーバと、ログ参照端末とを備え、ログの暗号化及び復号を行うログファイル管理システムであって、前記ログ参照端末が、自らが管理するグループのログファイルを復号するための復号鍵が格納されている管理者用鍵格納部と、前記暗号化されたログファイルと、前記ログファイルの各ラインをどの暗号鍵を用いて暗号化したのかを示す鍵マップファイルと、を前記暗号化サーバから収集する、ログ参照手段と、前記鍵マップファイルを参照することにより前記暗号化されたログファイルの前記各ラインの中から前記復号鍵で復号可能なラインを判別し、前記判別の結果復号可能と判断された前記ラインを復号化する復号化手段と、を備えることを特徴とするログファイル管理システムが提供される。
【００２５】
本発明の第４の観点によれば、ログファイルを管理するためのログファイル管理方法であって、前記ログファイルを収集するログ収集ステップと、前記ログファイル内の或るラインがどの管理グループに対応しているか判定するための条件である判定条件と、前記管理グループに対応している鍵ＩＤと、の組付けを示す判定条件テーブルを用意する第１のステップと、前記判定条件テーブルを参照することにより、暗号化の対象とする前記ラインに組付けられている暗号鍵を判定する暗号鍵判定ステップと、前記暗号鍵判定ステップにより判定された前記暗号鍵を用いて前記ラインを暗号化することにより暗号ログファイルを生成し、前記暗号ログファイルと当該ログファイルを暗号化するために用いた前記暗号鍵の鍵ＩＤとの組を用いて鍵マップファイルを生成する暗号化ステップと、を備えることを特徴とするログファイル管理方法が提供される。
【００２６】
本発明の第５の観点によれば、ログファイルを管理するためのログファイル管理プログラムであって、前記ログファイルを収集するログ収集手段と、前記ログファイル内の或るラインがどの管理グループに対応しているか判定するための条件である判定条件と、前記管理グループに対応している鍵ＩＤと、の組付けを示す判定条件テーブルと、前記判定条件テーブルを参照することにより、暗号化の対象とする前記ラインに組付けられている暗号鍵を判定する暗号鍵判定手段と、前記暗号鍵判定手段により判定された前記暗号鍵を用いて前記ラインを暗号化することにより暗号ログファイルを生成し、前記暗号ログファイルと当該ログファイルを暗号化するために用いた前記暗号鍵の鍵ＩＤとの組を用いて鍵マップファイルを生成する暗号化手段と、を備える暗号化サーバとしてコンピュータを機能させることを特徴とするログファイル管理プログラムが提供される。
【発明の効果】
【００２７】
本発明によれば、管理グループに対応する暗号鍵を特定するための判定基準を管理する条件判定テーブルを利用し、出力されたログの内容をライン毎に判定し該当する管理グループの鍵で暗号化することにより、管理グループの管理者は自分の持つ鍵と同じ鍵で暗号化されたラインのみ復号することができることから一括管理されたログに対し、管理者の管理範囲に応じて参照範囲を限定することが可能となる。
【発明を実施するための最良の形態】
【００２８】
本発明の概略は、ログに対し、階層化した管理グループの権限別に参照可能範囲を設定し、管理者が与えられた権限の範囲でのみ参照可能になるように、ログを暗号化し、不正アクセスや不必要な情報の漏洩を防止することを可能とするというものである。
【００２９】
次に、本発明の実施例の構成について図面を参照して詳細に説明する。
【００３０】
図１は、本発明の実施の形態の構成の一例を示すブロック図である。
【００３１】
図１に示すように、本実施形態は、ログ収集対象サーバ１００、ログ暗号化サーバ２００及びログ参照端末３００を有する。ログ収集対象サーバ１００、ログ暗号化サーバ２００及びログ参照端末３００は、ネットワーク４００を介して相互に接続されている。
【００３２】
ログ収集対象サーバ１００は、ログを出力するサーバである。ログ暗号化サーバ２００は、ログ収集対象サーバ１００からログを収集し暗号化するサーバである。ログ参照端末３００はログ暗号化サーバ２００が暗号化したログを復号し表示する端末である。
【００３３】
ログ収集対象サーバ１００は、ログを格納するための領域であるログ格納領域１１０を有している。そしてログ格納領域１１０にはログファイル１２０が格納されている。
【００３４】
ログ暗号化サーバ２００は、ログ収集部２１０、暗号鍵判定部２２０、暗号化部２３０、判定条件テーブル２４０、暗号ログ出力部２５０、暗号ログ格納領域２６０及び鍵格納領域２７０を有する。
【００３５】
ログ収集部２１０は、ログ収集対象サーバ１００のログ格納領域１１０からログファイル１２０を収集する。
【００３６】
暗号鍵判定部２２０は、ログ収集部２１０が収集したログをライン毎に読みこみ、判定条件テーブル２４０の判定条件をチェックし、その読み込んだラインに対応している管理グループを判定し、その管理グループに対応する鍵ＩＤを決定する。
【００３７】
暗号化部２３０は、暗号鍵判定部２２０で決定した鍵ＩＤに対応している暗号鍵を鍵格納領域２７０から取得する。そして、暗号化部２３０はその取得した暗号鍵を用いてログファイルの該当ラインを暗号化する。
【００３８】
判定条件テーブル２４０は、鍵ＩＤを特定するための判定条件を示すテーブルである。ここで、判定条件テーブル２４０の構成例としては、管理グループを決定するＩＰ（Internet Protocol）アドレスやユーザＩＤ等の判定条件と、その判定条件に対応する鍵ＩＤとを組にしておくこと等が考えられる。なお、判定条件は管理グループを決定することができればどのような内容でも良く、必ずしも上述したＩＰアドレスやユーザＩＤに限定されるものではない。また、上述の判定条件に加えてその管理グループが判定不可であるため再判定する場合の条件なども判定条件として示すようにしてもよい。判定条件テーブル２４０の具体例は後述する。
【００３９】
暗号ログ出力部２５０は、暗号化部２３０で暗号化した暗号ログファイル２６１と鍵マップファイル２６２を暗号ログ格納領域２６０に出力する。
【００４０】
暗号ログ格納領域２６０は、ログ参照端末からアクセス可能な領域であり、暗号済みの暗号ログファイルである暗号ログファイル２６１と、暗号鍵とその暗号鍵で暗号化されたログファイル内の場所の対応を示す鍵マップファイル２６２を格納する。
【００４１】
鍵格納領域２７０は、図５の例に示す管理グループの構成ツリーに従い生成された、暗号用の鍵を格納する。図５に示す管理グループの構成ツリーについては後述する。
【００４２】
ログ参照端末３００は、ログ参照部３１０、復号部３２０、表示部３３０及び管理者用鍵格納領域３４０を有する。
【００４３】
ログ参照部３１０は、ログ暗号化サーバ２００の暗号ログ格納領域２６０から暗号ログファイル２６１と鍵マップファイル２６２を取得し、ログ参照端末３００の管理者用鍵格納領域３４０に格納された管理者用鍵で復号可能な箇所を鍵マップファイル２６２から検出する。検出した箇所に対し、復号部３２０は管理者用鍵格納領域３４０に格納された管理者用鍵で復号する。
【００４４】
表示部３３０は、復号した結果を、ログを利用する管理者の端末の画面へ表示する。
【００４５】
次に、図５乃至１０を参照して、管理グループの構成ツリーや判定条件テーブル２４０等の構成について説明する。
【００４６】
図５は、図１に示した判定条件テーブル２４０で判定する管理グループの構成ツリーの一例を示す模式図である。
【００４７】
この例の場合、階層１のＭグループが最上位である。よって、管理グループＭに属していれば下位のログ情報（階層２及び３のログ情報）は全て参照できる権限がある。
【００４８】
階層２の管理グループは、自らの管理グループのログ及び自分の下位のログ情報の参照権限があるが、階層２の管理グループが相互にログを参照することはできない。
【００４９】
同様に最下位の階層３の管理グループは自らの管理グループのログは参照することはできるが階層３の管理グループが相互にログを参照することはできない。
【００５０】
図６に示すのは、図１に示した判定条件テーブル２４０の一例である。各階層の管理グループの判定条件、および管理グループの鍵ＩＤの対応がわかるようになっている。なお、判定条件とは、上述したように、或るログファイルの或るラインがどの管理グループに属しているのかを判定するための条件である。
【００５１】
図７に示すのは、図１に示した判定条件テーブル２４０の一例で、図６の条件判定では判定できなかったラインの鍵ＩＤを判定するための条件を登録している。図６では、判定Ｎｏ１として１つ前のラインと同じ鍵ＩＤをセットすることを示している。Ｎｏ２として前後１０ライン以内に同じ鍵ＩＤがセットされていれば、当該鍵ＩＤをセットすることを示している。
【００５２】
図８に示すのは、ログ収集対象サーバ１００のログ格納領域１１０に出力された、暗号化前のログのイメージである。管理グループを特定する判定条件が含まれているログの各ラインのイメージである。
【００５３】
図９に示すのは、暗号化部２３０により暗号化された暗号ログのイメージである。暗号鍵判定部２２０により各ライン毎に対応すると判定された暗号鍵により、暗号化されている。なお、図９では説明のために、「どの暗号鍵により暗号化されたか。」という情報を括弧内に示しているが、実際の暗号ログは、どの暗号鍵により暗号化されたかということは分からないようになっている。
【００５４】
図１０に示すのは、鍵マップファイルのイメージである。ログファイルのライン番号と、各ラインに対応する暗号鍵のマッピングが示されている。
【００５５】
［実施例の動作の説明］
次に、図２、図３及び図４のフローチャートを参照して本発明の実施例の動作について詳細に説明する。
【００５６】
図２は、図１に示すログ暗号化サーバ２００のログ収集部２１０、暗号鍵判定部２２０、暗号化部２３０、および暗号ログ出力部２５０におけるログ暗号化処理手順を示すフローチャートである。
【００５７】
まず、ログ暗号化サーバ２００のログ収集部２１０によりログ収集が開始される（ステップＳ１１）。
【００５８】
ログ収集部２１０は、ネットワークを介して、ログ収集対象サーバ１００のログ格納領域１０２に格納されているログファイル１２０を取得する（ステップＳ１２）。
【００５９】
ログ収集部２１０により取得したログファイルは、暗号鍵判定部２１０により、判定条件テーブル２４０を使い各ラインに対する鍵判定を行い、各ラインの鍵ＩＤが決定される。暗号鍵判定部２１０は、各ラインの鍵ＩＤが決定すると、鍵マップファイル２６２を生成し、鍵マップファイル２６２に鍵ＩＤと該当するラインを登録する（ステップＳ１３）。なお、ステップＳ１３の詳細な内容は後述する。
【００６０】
暗号鍵判定部２１０によりログファイルの全てのラインに対する鍵ＩＤが決定すると、暗号化部２１０は、作成された鍵マップファイル２６２を参照し、鍵格納領域２７０から鍵ＩＤに対応する暗号鍵を取得する（ステップＳ１４）。
【００６１】
そして暗号化部２１０は、取得した暗号鍵を用いて、各暗号鍵に対応するラインを暗号化する（ステップＳ１５）。
【００６２】
暗号化されたログファイル及び鍵マップファイル２６２は、暗号ログ出力部２２０により、ログ参照端末から参照可能な暗号ログ格納領域２６０に出力する（ステップＳ１６）。
【００６３】
図３は、図２に示すステップＳ１３における鍵判定と鍵マップファイル生成の処理手順を示すフローチャートである。
【００６４】
まず、暗号鍵判定部２２０は、図７のログイメージに示すログファイルのｎラインを取得する（ステップＳ２１）。
【００６５】
次に、暗号鍵判定部２２０は、図６に示す判定条件テーブル２４０を参照し、階層２の管理グループを識別するための判定条件１であるＩＰアドレスまたは事業者ＩＤが含まれているかどうかを判定する（ステップＳ２２）。
【００６６】
管理グループＡに対応するＩＰアドレスｙｙ．ｙｙ．ｙｙ．ｙｙ、または事業者ＩＤのｊｉｇｙｏＡが含まれている場合は（ステップＳ２２においてＹｅｓ）、階層２のＡグループに属すると見なし、鍵ＩＤにＡグループに対応する鍵ＩＤであるＫｅｙＡをセットし、鍵マップファイル２６２にｎラインの鍵ＩＤとしてＫｅｙＡを登録する（ステップＳ２３）。
【００６７】
判定条件１が含まれていない場合は（ステップＳ２２においてＮｏ）、再判定フラグをｏｎにし（ステップＳ２４）、判定対象のラインが最終かどうかをチェックし（ステップＳ２５）、最終ラインでない場合は（ステップＳ２５においてＮｏ）次のラインを取得する（ステップＳ２１）。
【００６８】
判定条件１の判定により階層２のＡグループの鍵ＩＤがセットされた（ステップＳ２３）後、図６に示す判定条件テーブル２４０を参照し、下位の階層ｎの管理グループを識別するための判定条件１であるＩＰアドレスまたは事業者ＩＤが含まれているかどうかを判定する（ステップＳ２６）。
【００６９】
管理グループａ１に対応するアプリケーションＩＤのｓｅｒｖｉｃｅａ１またはユーザＩＤのＵｓｅｒ１１が含まれている場合は（ステップＳ２６においてＹｅｓ）、階層３のａ１グループに属すると見なし、ＫｅｙＡがセットされている鍵ＩＤをａ１グループに対応する鍵ＩＤであるＫｅｙａ１に変更し、鍵マップファイル２６２にｎラインの鍵ＩＤとしてＫｅｙａ１を登録する（ステップＳ２７）。
【００７０】
このように、１ラインに対し、全ての階層Ｎ（例の場合は階層３）の条件判定を行い、鍵ＩＤを決定する。判定条件Ｎが含まれていない場合は（ステップＳ２６においてＮｏ）、再判定フラグをｏｎにし（ステップＳ２４）、判定対象のラインが最終かどうかをチェックし（ステップＳ２５）、最終ラインでない場合は（ステップＳ２５においてＮｏ）次のラインを取得する（ステップＳ２１）。
【００７１】
最終ラインの場合は（ステップＳ２５においてＹｅｓ）、鍵ＩＤの決定を再度判定する、再判定ラインが有るかどうかをチェックし（ステップＳ２８）、再判定フラグがｏｎとなっているラインがある場合は（ステップＳ２８においてＹｅｓ）、再判定対象ラインを取得し、図７の例に示す判定条件テーブル２４０の再判定条件による判定を行なう（ステップＳ２９）。
【００７２】
再判定条件に該当する場合は（ステップＳ３０においてＹｅｓ）、判定条件に従い、対象ラインに該当する鍵ＩＤをセットし、鍵マップファイル２６２にラインと鍵ＩＤの対応を登録し（ステップＳ３１）、終了する。再判定においても判定条件に該当しない場合は（ステップＳ３０においてＮｏ）、鍵ＩＤの再セットを行わず終了する。
【００７３】
図４は、図１に示すログ参照端末３００のログ参照部３１０、復号部３２０及び表示部３３０におけるログ参照処理手順を示すフローチャートである。
【００７４】
ログ参照端末３００のログ参照部３１０により、ログ暗号化サーバ２００の暗号ログ格納領域２６０から、暗号ログファイル２６１と鍵マップファイル２６２を取得する（ステップＳ４１）。復号部３２０において、管理者用鍵格納領域３４０より、管理者の持つ鍵ＩＤを取得する（ステップＳ４２）。
【００７５】
そして、その鍵ＩＤに対応する鍵で暗号化された箇所を鍵マップファイル２６２により検出し、該当ラインを取得し（ステップＳ４３）、管理者の鍵で復号する（ステップＳ４４）。復号したラインの情報は、表示部３３０により、ログ参照端末３００の画面に表示する（ステップＳ４５）。
【００７６】
以上説明した本発明の実施形態は以下のような効果を奏する。
【００７７】
第一の効果は、各システムまたはサービスが複数存在し、ログを利用する管理者の管理範囲が異なる場合、一括管理されたログに対し、管理者の管理範囲に応じて参照範囲を限定することを可能とすることにある。
【００７８】
その理由は、管理グループに対応する暗号鍵を特定するための判定基準を管理する条件判定テーブルを利用し、出力されたログの内容をライン毎に判定し該当する管理グループの鍵で暗号化することにより、管理グループの管理者は自分の持つ鍵と同じ鍵で暗号化されたラインのみ復号することができ、参照範囲を限定することができるためである。
【００７９】
第二の効果は、階層的な管理組織において、上位管理者であっても、下位組織の管理グループの暗号化されたログを参照でき、かつそのために鍵を複数持つ必要がなく、単一の鍵で運用することを可能とすることにある。
【００８０】
その理由は、各管理グループに応じた鍵を対応づける条件判定テーブルにより、階層型の管理組織に従い鍵を割り当て、階層的暗号化技術を使い、ログを暗号化することにより、階層に関係なくすべての管理者に単一の鍵を割り当て、必要な範囲でログを参照することができるためである。
【００８１】
また、第三の効果は、ユーザの認証番号や、活動履歴といった情報を用いなくとも上記第一及び第二の効果を得ることができる点である。
【００８２】
その理由は、管理者の管理範囲に応じて参照範囲を限定できるからである。
【００８３】
なお、本発明の実施形態であるログ収集対象サーバ、ログ暗号化サーバ及びログ参照端末は、ハードウェア、ソフトウェア又はこれらの組合せにより実現することができる。
【図面の簡単な説明】
【００８４】
【図１】本発明の実施形態である、ログの情報漏えいを防止するログ暗号化および参照方式を実現するための基本的構成を示すブロック図である。
【図２】図１に示す本発明の実施形態である、ログ暗号化サーバの暗号化処理手順を示すフローチャートである。
【図３】図２に示す鍵判定の処理手順を示すフローチャートである。
【図４】図１に示す本発明の実施形態である、ログ参照端末のログ参照処理手順を示すフローチャートである。
【図５】本発明の実施形態における、ログ管理者の管理グループの構成ツリーの一例を示す図である。
【図６】本発明の実施形態における、図１に示す判定条件テーブルの構造の一例を示す図である。
【図７】本発明の実施形態における、図１に示す判定条件テーブル（再判定）の構造の一例を示す図である。
【図８】本発明の実施形態における、図１に示すログ収集対象サーバの暗号前のログのイメージを示す図である。
【図９】本発明の実施形態における、図１に示すログ暗号化サーバの暗号ログのイメージを示す図である。
【図１０】本発明の実施形態における、鍵マップファイルのイメージを示す図である。
【符号の説明】
【００８５】
１００ ログ収集対象サーバ
１１０ ログ格納領域
１２０ ログファイル
２００ ログ暗号化サーバ
２１０ ログ収集部
２２０ 暗号鍵判定部
２３０ 暗号化部
２４０ 判定条件テーブル
２５０ 暗号ログ出力部
２６０ 暗号ログ格納領域
２６１ 暗号ログファイル
２６２ 鍵マップファイル
２７０ 鍵格納領域
３００ ログ参照端末
３１０ ログ参照部
３２０ 復号部
３３０ 表示部
３４０ 管理者用鍵格納領域
４００ ネットワーク
【技術分野】
【０００１】
本発明はコンピュータシステムにおける情報漏洩の防止に関する。
【背景技術】
【０００２】
近年、例えばＡＳＰ（Application Service Provider）サービスのように、複数のユーザのシステムを管理し、各ユーザのシステム管理者にログ情報を提供するといった環境が増加している。
【０００３】
このような環境下で、各システムの管理者が障害解析や監査のためにログを使用する場合、ログ管理の業務負荷を軽減するため、ある程度一括でログを収集し、管理する必要がある。もっとも、ログ情報には、ＩＰアドレスやユーザＩＤ等の情報、システム固有の情報等が含まれるため全てのログ情報をシステム管理者に参照させることは好ましくない。そのため、システム管理者の管理範囲または権限に応じて参照できる情報の範囲を限定し、不要な情報漏洩を防止する必要がある。
【０００４】
例えば上述で示したＡＳＰサービスにおいては、ＡＳＰサービス事業者は障害解析や監査のため、管理するシステムの全てのログ情報を参照できる必要がある。一方、各ユーザのシステム管理者は、お互いのログを見えないようにする必要がある。もしも、誤って他ユーザのログが見えてしまった場合、個人情報や機密情報の漏洩にもつながる恐れがあり、サービス提供者にとっての信用失墜につながる恐れもある。特に、ＳａａＳ（Software as a Service）のように、さらに管理組織が多段になるケースにおいても同様の問題がある。
【０００５】
ここで、ＳａａＳについて説明する。近年、システムの多様化、複雑化に伴い、企業で利用するサービスをアウトソーシングすることが増えている。
【０００６】
ＳａａＳにおいては、ＳａａＳの基盤を提供するＳａａＳ基盤サービス事業者、ＳａａＳ基盤サービス事業者の基盤を利用しサービスを提供するＳａａＳ事業者、ＳａａＳ事業者のサービスを利用するテナント（ＳａａＳサービス利用企業）、テナント（ＳａａＳサービス利用企業）が提供するサービスを利用する利用者というように、従来のアウトソーシングの形態に比べ、システムをさらに多段の階層で管理するケースも出てきている。
【０００７】
ＳａａＳ基盤では、サーバやデータベースを複数のユーザで共有可能となっており、そこで採取されるログは一括して管理される。そして、この一括して管理ログの参照権限は階層別の管理範囲に従い限定されなければならない。
【０００８】
例えば、ＳａａＳ基盤サービス事業者は、自らより階層の低いＳａａＳ事業者のシステムログをすべて参照できる。また、ＳａａＳ事業者は、自らより階層の低いテナントのログを参照できるが、ＳａａＳ事業者間ではお互いのログは参照できてはいけない。また、テナントは、自テナントより階層の低いユーザのログは参照できるが、他のテナントの情報は参照できてはいけない。つまり、階層構成を保った状態で、ログの参照を安全に行なう必要がある。
【０００９】
また、上述したようなシステムにおいてはログの情報漏えいを防止するためにログを暗号化する必要がある。そして、暗号化の方法としては、ログを一括で暗号化しシステム管理者に送付する方法（下述の（１））や、システム管理者毎に対応する鍵で暗号化し送付する方法（下述の（２））がある。
【００１０】
（１）ログを一括で暗号化しシステム管理者に送付する方法の例が特許文献１に記載されている。
【００１１】
具体的には、ログ隠遁機能を持つサーバでログを一括で暗号化後に隠遁し、ログ管理者がログ復号化装置で復号する方法が記載されている。
【００１２】
このように、ログを一括で暗号化し、システム管理者に送付する場合、システム管理者以外の一般利用者への情報漏洩は防止できる。
【００１３】
（２）システム管理者毎に異なる鍵で各ログファイルを暗号化する方法の例が特許文献２に記載されている。
【００１４】
具体的には、ログを参照するログ解析者にログ参照の役割に応じた権限をもたせ、その権限を持った管理者にしか参照を行えなくすることにより、機密の漏洩を防止するログ収集参照方法が記載されている。
【００１５】
このように、システム管理者毎に異なる鍵で各ログファイルを暗号化する場合、暗号化されたログファイルに該当するシステムの担当者のみが復号鍵を利用しログを参照できる。
【特許文献１】特開２００６−２５２０３３号公報
【特許文献２】特開２００７−２０００５９号公報
【発明の開示】
【発明が解決しようとする課題】
【００１６】
しかしながら、特許文献１に記載の技術では、ログを一括で暗号化し隠遁するため、管理者以外の一般利用者への情報漏えいは防止できるが、本来、他の管理者のみが参照すべきログ情報も合わせて配布されてしまう。すなわち、管理者はその管理範囲に関係なくすべてのログが参照できてしまうという問題がある。
【００１７】
また、復号鍵が盗まれると、全ての情報が参照可能になってしまうというセキュリティ上の問題もある。
【００１８】
この点、特許文献２に記載の技術ならば管理範囲に関係するログのみを参照させることができる。しかし、ネットワークログやアプリケーションログなどの役割の単位でログが暗号化され、その役割に応じた復号鍵が１対１の関係で必要となる。そのため、管理範囲が異なる管理者が階層構成で存在する場合、複数の役割権限を持つ上位の管理者は、複数の暗号鍵が必要になり、管理者の運用性を低下させ、操作ミスによる情報漏えいの危険が増大する恐れがあるという問題がある。
【００１９】
例えば、上述したＳａａＳのようなシステムにおいては、システム管理者が階層化された管理グループで構成されており、最上位の管理者は全てログを参照できる必要がある。そのため、最上位の管理者が、下位の管理者の持つすべての復号鍵を持つ、もしくは同じログファイルを別の鍵で暗号化しておかなければならない。
【００２０】
同様に２番目の階層の管理者は、その階層の管理下のログを参照するため、３番目の階層以下に属する全てのログの復号鍵を持つ、もしくは異なる鍵で暗号化しておく必要がある。従って、システム管理者の組織階層が多段になるほど、上位管理者が必要とする鍵の数が増え、管理工数の増大とセキュリティリスクの増大を招く恐れがある。
【００２１】
そこで、本発明はシステム管理者の管理グループの権限に応じた範囲でのみログの参照可能とした階層型の管理グループ構成であっても、暗号化による鍵の管理工数が増大せず、安全にかつ効率よくログを管理することが可能な、情報漏えいを防止するログの収集及び参照方法、その装置及びそのプログラムを提供することを目的とする。
【課題を解決するための手段】
【００２２】
本発明の第１の観点によれば、ログファイルを暗号化するための暗号化サーバであって、前記ログファイルを収集するログ収集手段と、前記ログファイル内の或るラインがどの管理グループに対応しているか判定するための条件である判定条件と、前記管理グループに対応している鍵ＩＤと、の組付けを示す判定条件テーブルと、前記判定条件テーブルを参照することにより、暗号化の対象とする前記ラインに組付けられている暗号鍵を判定する暗号鍵判定手段と、前記暗号鍵判定手段により判定された前記暗号鍵を用いて前記ラインを暗号化することにより暗号ログファイルを生成し、前記暗号ログファイルと当該ログファイルを暗号化するために用いた前記暗号鍵の鍵ＩＤとの組を用いて鍵マップファイルを生成する暗号化手段と、を備えることを特徴とする暗号化サーバが提供される。
【００２３】
本発明の第２の観点によれば、暗号化されたログファイルを復号するためのログ参照端末であって、自らが管理するグループのログファイルを復号するための復号鍵が格納されている管理者用鍵格納部と、前記暗号化されたログファイルと、前記ログファイルの各ラインをどの暗号鍵を用いて暗号化したのかを示す鍵マップファイルと、を収集する、ログ参照手段と、前記鍵マップファイルを参照することにより前記暗号化されたログファイルの前記各ラインの中から前記復号鍵で復号可能なラインを判別し、前記判別の結果復号可能と判断された前記ラインを復号化する復号化手段と、を備えることを特徴とするログ参照端末が提供される。
【００２４】
本発明の第３の観点によれば、上述の第１の観点により提供される暗号化サーバと、ログ参照端末とを備え、ログの暗号化及び復号を行うログファイル管理システムであって、前記ログ参照端末が、自らが管理するグループのログファイルを復号するための復号鍵が格納されている管理者用鍵格納部と、前記暗号化されたログファイルと、前記ログファイルの各ラインをどの暗号鍵を用いて暗号化したのかを示す鍵マップファイルと、を前記暗号化サーバから収集する、ログ参照手段と、前記鍵マップファイルを参照することにより前記暗号化されたログファイルの前記各ラインの中から前記復号鍵で復号可能なラインを判別し、前記判別の結果復号可能と判断された前記ラインを復号化する復号化手段と、を備えることを特徴とするログファイル管理システムが提供される。
【００２５】
本発明の第４の観点によれば、ログファイルを管理するためのログファイル管理方法であって、前記ログファイルを収集するログ収集ステップと、前記ログファイル内の或るラインがどの管理グループに対応しているか判定するための条件である判定条件と、前記管理グループに対応している鍵ＩＤと、の組付けを示す判定条件テーブルを用意する第１のステップと、前記判定条件テーブルを参照することにより、暗号化の対象とする前記ラインに組付けられている暗号鍵を判定する暗号鍵判定ステップと、前記暗号鍵判定ステップにより判定された前記暗号鍵を用いて前記ラインを暗号化することにより暗号ログファイルを生成し、前記暗号ログファイルと当該ログファイルを暗号化するために用いた前記暗号鍵の鍵ＩＤとの組を用いて鍵マップファイルを生成する暗号化ステップと、を備えることを特徴とするログファイル管理方法が提供される。
【００２６】
本発明の第５の観点によれば、ログファイルを管理するためのログファイル管理プログラムであって、前記ログファイルを収集するログ収集手段と、前記ログファイル内の或るラインがどの管理グループに対応しているか判定するための条件である判定条件と、前記管理グループに対応している鍵ＩＤと、の組付けを示す判定条件テーブルと、前記判定条件テーブルを参照することにより、暗号化の対象とする前記ラインに組付けられている暗号鍵を判定する暗号鍵判定手段と、前記暗号鍵判定手段により判定された前記暗号鍵を用いて前記ラインを暗号化することにより暗号ログファイルを生成し、前記暗号ログファイルと当該ログファイルを暗号化するために用いた前記暗号鍵の鍵ＩＤとの組を用いて鍵マップファイルを生成する暗号化手段と、を備える暗号化サーバとしてコンピュータを機能させることを特徴とするログファイル管理プログラムが提供される。
【発明の効果】
【００２７】
本発明によれば、管理グループに対応する暗号鍵を特定するための判定基準を管理する条件判定テーブルを利用し、出力されたログの内容をライン毎に判定し該当する管理グループの鍵で暗号化することにより、管理グループの管理者は自分の持つ鍵と同じ鍵で暗号化されたラインのみ復号することができることから一括管理されたログに対し、管理者の管理範囲に応じて参照範囲を限定することが可能となる。
【発明を実施するための最良の形態】
【００２８】
本発明の概略は、ログに対し、階層化した管理グループの権限別に参照可能範囲を設定し、管理者が与えられた権限の範囲でのみ参照可能になるように、ログを暗号化し、不正アクセスや不必要な情報の漏洩を防止することを可能とするというものである。
【００２９】
次に、本発明の実施例の構成について図面を参照して詳細に説明する。
【００３０】
図１は、本発明の実施の形態の構成の一例を示すブロック図である。
【００３１】
図１に示すように、本実施形態は、ログ収集対象サーバ１００、ログ暗号化サーバ２００及びログ参照端末３００を有する。ログ収集対象サーバ１００、ログ暗号化サーバ２００及びログ参照端末３００は、ネットワーク４００を介して相互に接続されている。
【００３２】
ログ収集対象サーバ１００は、ログを出力するサーバである。ログ暗号化サーバ２００は、ログ収集対象サーバ１００からログを収集し暗号化するサーバである。ログ参照端末３００はログ暗号化サーバ２００が暗号化したログを復号し表示する端末である。
【００３３】
ログ収集対象サーバ１００は、ログを格納するための領域であるログ格納領域１１０を有している。そしてログ格納領域１１０にはログファイル１２０が格納されている。
【００３４】
ログ暗号化サーバ２００は、ログ収集部２１０、暗号鍵判定部２２０、暗号化部２３０、判定条件テーブル２４０、暗号ログ出力部２５０、暗号ログ格納領域２６０及び鍵格納領域２７０を有する。
【００３５】
ログ収集部２１０は、ログ収集対象サーバ１００のログ格納領域１１０からログファイル１２０を収集する。
【００３６】
暗号鍵判定部２２０は、ログ収集部２１０が収集したログをライン毎に読みこみ、判定条件テーブル２４０の判定条件をチェックし、その読み込んだラインに対応している管理グループを判定し、その管理グループに対応する鍵ＩＤを決定する。
【００３７】
暗号化部２３０は、暗号鍵判定部２２０で決定した鍵ＩＤに対応している暗号鍵を鍵格納領域２７０から取得する。そして、暗号化部２３０はその取得した暗号鍵を用いてログファイルの該当ラインを暗号化する。
【００３８】
判定条件テーブル２４０は、鍵ＩＤを特定するための判定条件を示すテーブルである。ここで、判定条件テーブル２４０の構成例としては、管理グループを決定するＩＰ（Internet Protocol）アドレスやユーザＩＤ等の判定条件と、その判定条件に対応する鍵ＩＤとを組にしておくこと等が考えられる。なお、判定条件は管理グループを決定することができればどのような内容でも良く、必ずしも上述したＩＰアドレスやユーザＩＤに限定されるものではない。また、上述の判定条件に加えてその管理グループが判定不可であるため再判定する場合の条件なども判定条件として示すようにしてもよい。判定条件テーブル２４０の具体例は後述する。
【００３９】
暗号ログ出力部２５０は、暗号化部２３０で暗号化した暗号ログファイル２６１と鍵マップファイル２６２を暗号ログ格納領域２６０に出力する。
【００４０】
暗号ログ格納領域２６０は、ログ参照端末からアクセス可能な領域であり、暗号済みの暗号ログファイルである暗号ログファイル２６１と、暗号鍵とその暗号鍵で暗号化されたログファイル内の場所の対応を示す鍵マップファイル２６２を格納する。
【００４１】
鍵格納領域２７０は、図５の例に示す管理グループの構成ツリーに従い生成された、暗号用の鍵を格納する。図５に示す管理グループの構成ツリーについては後述する。
【００４２】
ログ参照端末３００は、ログ参照部３１０、復号部３２０、表示部３３０及び管理者用鍵格納領域３４０を有する。
【００４３】
ログ参照部３１０は、ログ暗号化サーバ２００の暗号ログ格納領域２６０から暗号ログファイル２６１と鍵マップファイル２６２を取得し、ログ参照端末３００の管理者用鍵格納領域３４０に格納された管理者用鍵で復号可能な箇所を鍵マップファイル２６２から検出する。検出した箇所に対し、復号部３２０は管理者用鍵格納領域３４０に格納された管理者用鍵で復号する。
【００４４】
表示部３３０は、復号した結果を、ログを利用する管理者の端末の画面へ表示する。
【００４５】
次に、図５乃至１０を参照して、管理グループの構成ツリーや判定条件テーブル２４０等の構成について説明する。
【００４６】
図５は、図１に示した判定条件テーブル２４０で判定する管理グループの構成ツリーの一例を示す模式図である。
【００４７】
この例の場合、階層１のＭグループが最上位である。よって、管理グループＭに属していれば下位のログ情報（階層２及び３のログ情報）は全て参照できる権限がある。
【００４８】
階層２の管理グループは、自らの管理グループのログ及び自分の下位のログ情報の参照権限があるが、階層２の管理グループが相互にログを参照することはできない。
【００４９】
同様に最下位の階層３の管理グループは自らの管理グループのログは参照することはできるが階層３の管理グループが相互にログを参照することはできない。
【００５０】
図６に示すのは、図１に示した判定条件テーブル２４０の一例である。各階層の管理グループの判定条件、および管理グループの鍵ＩＤの対応がわかるようになっている。なお、判定条件とは、上述したように、或るログファイルの或るラインがどの管理グループに属しているのかを判定するための条件である。
【００５１】
図７に示すのは、図１に示した判定条件テーブル２４０の一例で、図６の条件判定では判定できなかったラインの鍵ＩＤを判定するための条件を登録している。図６では、判定Ｎｏ１として１つ前のラインと同じ鍵ＩＤをセットすることを示している。Ｎｏ２として前後１０ライン以内に同じ鍵ＩＤがセットされていれば、当該鍵ＩＤをセットすることを示している。
【００５２】
図８に示すのは、ログ収集対象サーバ１００のログ格納領域１１０に出力された、暗号化前のログのイメージである。管理グループを特定する判定条件が含まれているログの各ラインのイメージである。
【００５３】
図９に示すのは、暗号化部２３０により暗号化された暗号ログのイメージである。暗号鍵判定部２２０により各ライン毎に対応すると判定された暗号鍵により、暗号化されている。なお、図９では説明のために、「どの暗号鍵により暗号化されたか。」という情報を括弧内に示しているが、実際の暗号ログは、どの暗号鍵により暗号化されたかということは分からないようになっている。
【００５４】
図１０に示すのは、鍵マップファイルのイメージである。ログファイルのライン番号と、各ラインに対応する暗号鍵のマッピングが示されている。
【００５５】
［実施例の動作の説明］
次に、図２、図３及び図４のフローチャートを参照して本発明の実施例の動作について詳細に説明する。
【００５６】
図２は、図１に示すログ暗号化サーバ２００のログ収集部２１０、暗号鍵判定部２２０、暗号化部２３０、および暗号ログ出力部２５０におけるログ暗号化処理手順を示すフローチャートである。
【００５７】
まず、ログ暗号化サーバ２００のログ収集部２１０によりログ収集が開始される（ステップＳ１１）。
【００５８】
ログ収集部２１０は、ネットワークを介して、ログ収集対象サーバ１００のログ格納領域１０２に格納されているログファイル１２０を取得する（ステップＳ１２）。
【００５９】
ログ収集部２１０により取得したログファイルは、暗号鍵判定部２１０により、判定条件テーブル２４０を使い各ラインに対する鍵判定を行い、各ラインの鍵ＩＤが決定される。暗号鍵判定部２１０は、各ラインの鍵ＩＤが決定すると、鍵マップファイル２６２を生成し、鍵マップファイル２６２に鍵ＩＤと該当するラインを登録する（ステップＳ１３）。なお、ステップＳ１３の詳細な内容は後述する。
【００６０】
暗号鍵判定部２１０によりログファイルの全てのラインに対する鍵ＩＤが決定すると、暗号化部２１０は、作成された鍵マップファイル２６２を参照し、鍵格納領域２７０から鍵ＩＤに対応する暗号鍵を取得する（ステップＳ１４）。
【００６１】
そして暗号化部２１０は、取得した暗号鍵を用いて、各暗号鍵に対応するラインを暗号化する（ステップＳ１５）。
【００６２】
暗号化されたログファイル及び鍵マップファイル２６２は、暗号ログ出力部２２０により、ログ参照端末から参照可能な暗号ログ格納領域２６０に出力する（ステップＳ１６）。
【００６３】
図３は、図２に示すステップＳ１３における鍵判定と鍵マップファイル生成の処理手順を示すフローチャートである。
【００６４】
まず、暗号鍵判定部２２０は、図７のログイメージに示すログファイルのｎラインを取得する（ステップＳ２１）。
【００６５】
次に、暗号鍵判定部２２０は、図６に示す判定条件テーブル２４０を参照し、階層２の管理グループを識別するための判定条件１であるＩＰアドレスまたは事業者ＩＤが含まれているかどうかを判定する（ステップＳ２２）。
【００６６】
管理グループＡに対応するＩＰアドレスｙｙ．ｙｙ．ｙｙ．ｙｙ、または事業者ＩＤのｊｉｇｙｏＡが含まれている場合は（ステップＳ２２においてＹｅｓ）、階層２のＡグループに属すると見なし、鍵ＩＤにＡグループに対応する鍵ＩＤであるＫｅｙＡをセットし、鍵マップファイル２６２にｎラインの鍵ＩＤとしてＫｅｙＡを登録する（ステップＳ２３）。
【００６７】
判定条件１が含まれていない場合は（ステップＳ２２においてＮｏ）、再判定フラグをｏｎにし（ステップＳ２４）、判定対象のラインが最終かどうかをチェックし（ステップＳ２５）、最終ラインでない場合は（ステップＳ２５においてＮｏ）次のラインを取得する（ステップＳ２１）。
【００６８】
判定条件１の判定により階層２のＡグループの鍵ＩＤがセットされた（ステップＳ２３）後、図６に示す判定条件テーブル２４０を参照し、下位の階層ｎの管理グループを識別するための判定条件１であるＩＰアドレスまたは事業者ＩＤが含まれているかどうかを判定する（ステップＳ２６）。
【００６９】
管理グループａ１に対応するアプリケーションＩＤのｓｅｒｖｉｃｅａ１またはユーザＩＤのＵｓｅｒ１１が含まれている場合は（ステップＳ２６においてＹｅｓ）、階層３のａ１グループに属すると見なし、ＫｅｙＡがセットされている鍵ＩＤをａ１グループに対応する鍵ＩＤであるＫｅｙａ１に変更し、鍵マップファイル２６２にｎラインの鍵ＩＤとしてＫｅｙａ１を登録する（ステップＳ２７）。
【００７０】
このように、１ラインに対し、全ての階層Ｎ（例の場合は階層３）の条件判定を行い、鍵ＩＤを決定する。判定条件Ｎが含まれていない場合は（ステップＳ２６においてＮｏ）、再判定フラグをｏｎにし（ステップＳ２４）、判定対象のラインが最終かどうかをチェックし（ステップＳ２５）、最終ラインでない場合は（ステップＳ２５においてＮｏ）次のラインを取得する（ステップＳ２１）。
【００７１】
最終ラインの場合は（ステップＳ２５においてＹｅｓ）、鍵ＩＤの決定を再度判定する、再判定ラインが有るかどうかをチェックし（ステップＳ２８）、再判定フラグがｏｎとなっているラインがある場合は（ステップＳ２８においてＹｅｓ）、再判定対象ラインを取得し、図７の例に示す判定条件テーブル２４０の再判定条件による判定を行なう（ステップＳ２９）。
【００７２】
再判定条件に該当する場合は（ステップＳ３０においてＹｅｓ）、判定条件に従い、対象ラインに該当する鍵ＩＤをセットし、鍵マップファイル２６２にラインと鍵ＩＤの対応を登録し（ステップＳ３１）、終了する。再判定においても判定条件に該当しない場合は（ステップＳ３０においてＮｏ）、鍵ＩＤの再セットを行わず終了する。
【００７３】
図４は、図１に示すログ参照端末３００のログ参照部３１０、復号部３２０及び表示部３３０におけるログ参照処理手順を示すフローチャートである。
【００７４】
ログ参照端末３００のログ参照部３１０により、ログ暗号化サーバ２００の暗号ログ格納領域２６０から、暗号ログファイル２６１と鍵マップファイル２６２を取得する（ステップＳ４１）。復号部３２０において、管理者用鍵格納領域３４０より、管理者の持つ鍵ＩＤを取得する（ステップＳ４２）。
【００７５】
そして、その鍵ＩＤに対応する鍵で暗号化された箇所を鍵マップファイル２６２により検出し、該当ラインを取得し（ステップＳ４３）、管理者の鍵で復号する（ステップＳ４４）。復号したラインの情報は、表示部３３０により、ログ参照端末３００の画面に表示する（ステップＳ４５）。
【００７６】
以上説明した本発明の実施形態は以下のような効果を奏する。
【００７７】
第一の効果は、各システムまたはサービスが複数存在し、ログを利用する管理者の管理範囲が異なる場合、一括管理されたログに対し、管理者の管理範囲に応じて参照範囲を限定することを可能とすることにある。
【００７８】
その理由は、管理グループに対応する暗号鍵を特定するための判定基準を管理する条件判定テーブルを利用し、出力されたログの内容をライン毎に判定し該当する管理グループの鍵で暗号化することにより、管理グループの管理者は自分の持つ鍵と同じ鍵で暗号化されたラインのみ復号することができ、参照範囲を限定することができるためである。
【００７９】
第二の効果は、階層的な管理組織において、上位管理者であっても、下位組織の管理グループの暗号化されたログを参照でき、かつそのために鍵を複数持つ必要がなく、単一の鍵で運用することを可能とすることにある。
【００８０】
その理由は、各管理グループに応じた鍵を対応づける条件判定テーブルにより、階層型の管理組織に従い鍵を割り当て、階層的暗号化技術を使い、ログを暗号化することにより、階層に関係なくすべての管理者に単一の鍵を割り当て、必要な範囲でログを参照することができるためである。
【００８１】
また、第三の効果は、ユーザの認証番号や、活動履歴といった情報を用いなくとも上記第一及び第二の効果を得ることができる点である。
【００８２】
その理由は、管理者の管理範囲に応じて参照範囲を限定できるからである。
【００８３】
なお、本発明の実施形態であるログ収集対象サーバ、ログ暗号化サーバ及びログ参照端末は、ハードウェア、ソフトウェア又はこれらの組合せにより実現することができる。
【図面の簡単な説明】
【００８４】
【図１】本発明の実施形態である、ログの情報漏えいを防止するログ暗号化および参照方式を実現するための基本的構成を示すブロック図である。
【図２】図１に示す本発明の実施形態である、ログ暗号化サーバの暗号化処理手順を示すフローチャートである。
【図３】図２に示す鍵判定の処理手順を示すフローチャートである。
【図４】図１に示す本発明の実施形態である、ログ参照端末のログ参照処理手順を示すフローチャートである。
【図５】本発明の実施形態における、ログ管理者の管理グループの構成ツリーの一例を示す図である。
【図６】本発明の実施形態における、図１に示す判定条件テーブルの構造の一例を示す図である。
【図７】本発明の実施形態における、図１に示す判定条件テーブル（再判定）の構造の一例を示す図である。
【図８】本発明の実施形態における、図１に示すログ収集対象サーバの暗号前のログのイメージを示す図である。
【図９】本発明の実施形態における、図１に示すログ暗号化サーバの暗号ログのイメージを示す図である。
【図１０】本発明の実施形態における、鍵マップファイルのイメージを示す図である。
【符号の説明】
【００８５】
１００ ログ収集対象サーバ
１１０ ログ格納領域
１２０ ログファイル
２００ ログ暗号化サーバ
２１０ ログ収集部
２２０ 暗号鍵判定部
２３０ 暗号化部
２４０ 判定条件テーブル
２５０ 暗号ログ出力部
２６０ 暗号ログ格納領域
２６１ 暗号ログファイル
２６２ 鍵マップファイル
２７０ 鍵格納領域
３００ ログ参照端末
３１０ ログ参照部
３２０ 復号部
３３０ 表示部
３４０ 管理者用鍵格納領域
４００ ネットワーク
【特許請求の範囲】
【請求項１】
ログファイルを暗号化するための暗号化サーバであって、
前記ログファイルを収集するログ収集手段と、
前記ログファイル内の或るラインがどの管理グループに対応しているか判定するための条件である判定条件と、前記管理グループに対応している鍵ＩＤと、の組付けを示す判定条件テーブルと、
前記判定条件テーブルを参照することにより、暗号化の対象とする前記ラインに組付けられている暗号鍵を判定する暗号鍵判定手段と、
前記暗号鍵判定手段により判定された前記暗号鍵を用いて前記ラインを暗号化することにより暗号ログファイルを生成し、前記暗号ログファイルと当該ログファイルを暗号化するために用いた前記暗号鍵の鍵ＩＤとの組を用いて鍵マップファイルを生成する暗号化手段と、
を備えることを特徴とする暗号化サーバ。
【請求項２】
前記判定条件テーブルが、再判定を行う際に鍵ＩＤを決定するための条件である再判定条件を更に有し、
前記暗号鍵判定手段が前記判定条件を用いても判定ができなかった前記ラインに対して、前記再判定条件を用いて再判定を行うことにより前記暗号鍵を決定することを特徴とする請求項１に記載の暗号化サーバ。
【請求項３】
前記管理グループは、階層型のツリー構造をしており、自らの管理グループ及び自身より下位の階層の管理グループの管理するログが暗号化できるように前記判定条件テーブルにおいて前記暗号鍵が組付けられていることを特徴とする請求項１又は２に記載の暗号化サーバ。
【請求項４】
暗号化されたログファイルを復号するためのログ参照端末であって、
自らが管理するグループのログファイルを復号するための復号鍵が格納されている管理者用鍵格納部と、
前記暗号化されたログファイルと、前記ログファイルの各ラインをどの暗号鍵を用いて暗号化したのかを示す鍵マップファイルと、を収集する、ログ参照手段と、
前記鍵マップファイルを参照することにより前記暗号化されたログファイルの前記各ラインの中から前記復号鍵で復号可能なラインを判別し、前記判別の結果復号可能と判断された前記ラインを復号化する復号化手段と、
を備えることを特徴とするログ参照端末。
【請求項５】
請求項１乃至３の何れか１項に記載の暗号化サーバと、ログ参照端末とを備え、ログの暗号化及び復号を行うログファイル管理システムであって、
前記ログ参照端末が、
自らが管理するグループのログファイルを復号するための復号鍵が格納されている管理者用鍵格納部と、
前記暗号化されたログファイルと、前記ログファイルの各ラインをどの暗号鍵を用いて暗号化したのかを示す鍵マップファイルと、を前記暗号化サーバから収集する、ログ参照手段と、
前記鍵マップファイルを参照することにより前記暗号化されたログファイルの前記各ラインの中から前記復号鍵で復号可能なラインを判別し、前記判別の結果復号可能と判断された前記ラインを復号化する復号化手段と、
を備えることを特徴とするログファイル管理システム。
【請求項６】
ログファイルを管理するためのログファイル管理方法であって、
前記ログファイルを収集するログ収集ステップと、
前記ログファイル内の或るラインがどの管理グループに対応しているか判定するための条件である判定条件と、前記管理グループに対応している鍵ＩＤと、の組付けを示す判定条件テーブルを用意する第１のステップと、
前記判定条件テーブルを参照することにより、暗号化の対象とする前記ラインに組付けられている暗号鍵を判定する暗号鍵判定ステップと、
前記暗号鍵判定ステップにより判定された前記暗号鍵を用いて前記ラインを暗号化することにより暗号ログファイルを生成し、前記暗号ログファイルと当該ログファイルを暗号化するために用いた前記暗号鍵の鍵ＩＤとの組を用いて鍵マップファイルを生成する暗号化ステップと、
を備えることを特徴とするログファイル管理方法。
【請求項７】
前記判定条件テーブルが、再判定を行う際に鍵ＩＤを決定するための条件である再判定条件を更に有し、
前記暗号鍵判定ステップにおいて前記判定条件を用いても判定ができなかった前記ラインに対して、前記再判定条件を用いて再判定を行うことにより前記暗号鍵を決定することを特徴とする請求項６に記載のログファイル管理方法。
【請求項８】
前記管理グループは、階層型のツリー構造をしており、自らの管理グループ及び自身より下位の階層の管理グループの管理するログが暗号化できるように前記判定条件テーブルにおいて前記暗号鍵が組付けられていることを特徴とする請求項６又は７に記載のログファイル管理方法。
【請求項９】
ログファイルを管理するためのログファイル管理方法であって、
ログ参照端末が、自らが管理するグループのログファイルを復号するための復号鍵が格納されている管理者用鍵格納部を用意するステップと、
前記暗号化されたログファイルと、前記ログファイルの各ラインをどの暗号鍵を用いて暗号化したのかを示す鍵マップファイルと、を収集する、ログ参照ステップと、
前記鍵マップファイルを参照することにより前記暗号化されたログファイルの前記各ラインの中から前記復号鍵で復号可能なラインを判別し、前記判別の結果復号可能と判断された前記ラインを復号化する復号化ステップと、
を備えることを特徴とするログファイル管理方法。
【請求項１０】
暗号化サーバと、ログ参照端末とを備え、ログの暗号化及び復号を行うログファイル管理方法であって、
前記暗号化サーバが、請求項６乃至８の何れか１項に記載の各ステップを行い、
前記ログ参照端末が、自らが管理するグループのログファイルを復号するための復号鍵が格納されている管理者用鍵格納部を用意する第２のステップと、
前記ログ参照端末が、前記暗号化されたログファイルと、前記ログファイルの各ラインをどの暗号鍵を用いて暗号化したのかを示す鍵マップファイルと、を前記暗号化サーバから収集する、ログ参照ステップと、
前記ログ参照端末が、前記鍵マップファイルを参照することにより前記暗号化されたログファイルの前記各ラインの中から前記復号鍵で復号可能なラインを判別し、前記判別の結果復号可能と判断された前記ラインを復号化する復号化ステップと、
を備えることを特徴とするログファイル管理方法。
【請求項１１】
ログファイルを管理するためのログファイル管理プログラムであって、
前記ログファイルを収集するログ収集手段と、
前記ログファイル内の或るラインがどの管理グループに対応しているか判定するための条件である判定条件と、前記管理グループに対応している鍵ＩＤと、の組付けを示す判定条件テーブルと、
前記判定条件テーブルを参照することにより、暗号化の対象とする前記ラインに組付けられている暗号鍵を判定する暗号鍵判定手段と、
前記暗号鍵判定手段により判定された前記暗号鍵を用いて前記ラインを暗号化することにより暗号ログファイルを生成し、前記暗号ログファイルと当該ログファイルを暗号化するために用いた前記暗号鍵の鍵ＩＤとの組を用いて鍵マップファイルを生成する暗号化手段と、
を備える暗号化サーバとしてコンピュータを機能させることを特徴とするログファイル管理プログラム。
【請求項１２】
請求項１１に記載のログファイル管理プログラムであって、
前記判定条件テーブルが、再判定を行う際に鍵ＩＤを決定するための条件である再判定条件を更に有し、
前記暗号鍵判定手段が前記判定条件を用いても判定ができなかった前記ラインに対して、前記再判定条件を用いて再判定を行うことにより前記暗号鍵を決定することを特徴とするログファイル管理プログラム。
【請求項１３】
請求項１１又は１２に記載のログファイル管理プログラムであって、
前記管理グループは、階層型のツリー構造をしており、自らの管理グループ及び自身より下位の階層の管理グループの管理するログが暗号化できるように前記判定条件テーブルにおいて前記暗号鍵が組付けられていることを特徴とするログファイル管理プログラム。
【請求項１４】
ログファイルを管理するためのログファイル管理プログラムであって、
自らが管理するグループのログファイルを復号するための復号鍵が格納されている管理者用鍵格納部と、
前記暗号化されたログファイルと、前記ログファイルの各ラインをどの暗号鍵を用いて暗号化したのかを示す鍵マップファイルと、を収集する、ログ参照手段と、
前記鍵マップファイルを参照することにより前記暗号化されたログファイルの前記各ラインの中から前記復号鍵で復号可能なラインを判別し、前記判別の結果復号可能と判断された前記ラインを復号化する復号化手段と、
を備えるログ参照端末としてコンピュータを機能させることを特徴とするログファイル管理プログラム。
【請求項１】
ログファイルを暗号化するための暗号化サーバであって、
前記ログファイルを収集するログ収集手段と、
前記ログファイル内の或るラインがどの管理グループに対応しているか判定するための条件である判定条件と、前記管理グループに対応している鍵ＩＤと、の組付けを示す判定条件テーブルと、
前記判定条件テーブルを参照することにより、暗号化の対象とする前記ラインに組付けられている暗号鍵を判定する暗号鍵判定手段と、
前記暗号鍵判定手段により判定された前記暗号鍵を用いて前記ラインを暗号化することにより暗号ログファイルを生成し、前記暗号ログファイルと当該ログファイルを暗号化するために用いた前記暗号鍵の鍵ＩＤとの組を用いて鍵マップファイルを生成する暗号化手段と、
を備えることを特徴とする暗号化サーバ。
【請求項２】
前記判定条件テーブルが、再判定を行う際に鍵ＩＤを決定するための条件である再判定条件を更に有し、
前記暗号鍵判定手段が前記判定条件を用いても判定ができなかった前記ラインに対して、前記再判定条件を用いて再判定を行うことにより前記暗号鍵を決定することを特徴とする請求項１に記載の暗号化サーバ。
【請求項３】
前記管理グループは、階層型のツリー構造をしており、自らの管理グループ及び自身より下位の階層の管理グループの管理するログが暗号化できるように前記判定条件テーブルにおいて前記暗号鍵が組付けられていることを特徴とする請求項１又は２に記載の暗号化サーバ。
【請求項４】
暗号化されたログファイルを復号するためのログ参照端末であって、
自らが管理するグループのログファイルを復号するための復号鍵が格納されている管理者用鍵格納部と、
前記暗号化されたログファイルと、前記ログファイルの各ラインをどの暗号鍵を用いて暗号化したのかを示す鍵マップファイルと、を収集する、ログ参照手段と、
前記鍵マップファイルを参照することにより前記暗号化されたログファイルの前記各ラインの中から前記復号鍵で復号可能なラインを判別し、前記判別の結果復号可能と判断された前記ラインを復号化する復号化手段と、
を備えることを特徴とするログ参照端末。
【請求項５】
請求項１乃至３の何れか１項に記載の暗号化サーバと、ログ参照端末とを備え、ログの暗号化及び復号を行うログファイル管理システムであって、
前記ログ参照端末が、
自らが管理するグループのログファイルを復号するための復号鍵が格納されている管理者用鍵格納部と、
前記暗号化されたログファイルと、前記ログファイルの各ラインをどの暗号鍵を用いて暗号化したのかを示す鍵マップファイルと、を前記暗号化サーバから収集する、ログ参照手段と、
前記鍵マップファイルを参照することにより前記暗号化されたログファイルの前記各ラインの中から前記復号鍵で復号可能なラインを判別し、前記判別の結果復号可能と判断された前記ラインを復号化する復号化手段と、
を備えることを特徴とするログファイル管理システム。
【請求項６】
ログファイルを管理するためのログファイル管理方法であって、
前記ログファイルを収集するログ収集ステップと、
前記ログファイル内の或るラインがどの管理グループに対応しているか判定するための条件である判定条件と、前記管理グループに対応している鍵ＩＤと、の組付けを示す判定条件テーブルを用意する第１のステップと、
前記判定条件テーブルを参照することにより、暗号化の対象とする前記ラインに組付けられている暗号鍵を判定する暗号鍵判定ステップと、
前記暗号鍵判定ステップにより判定された前記暗号鍵を用いて前記ラインを暗号化することにより暗号ログファイルを生成し、前記暗号ログファイルと当該ログファイルを暗号化するために用いた前記暗号鍵の鍵ＩＤとの組を用いて鍵マップファイルを生成する暗号化ステップと、
を備えることを特徴とするログファイル管理方法。
【請求項７】
前記判定条件テーブルが、再判定を行う際に鍵ＩＤを決定するための条件である再判定条件を更に有し、
前記暗号鍵判定ステップにおいて前記判定条件を用いても判定ができなかった前記ラインに対して、前記再判定条件を用いて再判定を行うことにより前記暗号鍵を決定することを特徴とする請求項６に記載のログファイル管理方法。
【請求項８】
前記管理グループは、階層型のツリー構造をしており、自らの管理グループ及び自身より下位の階層の管理グループの管理するログが暗号化できるように前記判定条件テーブルにおいて前記暗号鍵が組付けられていることを特徴とする請求項６又は７に記載のログファイル管理方法。
【請求項９】
ログファイルを管理するためのログファイル管理方法であって、
ログ参照端末が、自らが管理するグループのログファイルを復号するための復号鍵が格納されている管理者用鍵格納部を用意するステップと、
前記暗号化されたログファイルと、前記ログファイルの各ラインをどの暗号鍵を用いて暗号化したのかを示す鍵マップファイルと、を収集する、ログ参照ステップと、
前記鍵マップファイルを参照することにより前記暗号化されたログファイルの前記各ラインの中から前記復号鍵で復号可能なラインを判別し、前記判別の結果復号可能と判断された前記ラインを復号化する復号化ステップと、
を備えることを特徴とするログファイル管理方法。
【請求項１０】
暗号化サーバと、ログ参照端末とを備え、ログの暗号化及び復号を行うログファイル管理方法であって、
前記暗号化サーバが、請求項６乃至８の何れか１項に記載の各ステップを行い、
前記ログ参照端末が、自らが管理するグループのログファイルを復号するための復号鍵が格納されている管理者用鍵格納部を用意する第２のステップと、
前記ログ参照端末が、前記暗号化されたログファイルと、前記ログファイルの各ラインをどの暗号鍵を用いて暗号化したのかを示す鍵マップファイルと、を前記暗号化サーバから収集する、ログ参照ステップと、
前記ログ参照端末が、前記鍵マップファイルを参照することにより前記暗号化されたログファイルの前記各ラインの中から前記復号鍵で復号可能なラインを判別し、前記判別の結果復号可能と判断された前記ラインを復号化する復号化ステップと、
を備えることを特徴とするログファイル管理方法。
【請求項１１】
ログファイルを管理するためのログファイル管理プログラムであって、
前記ログファイルを収集するログ収集手段と、
前記ログファイル内の或るラインがどの管理グループに対応しているか判定するための条件である判定条件と、前記管理グループに対応している鍵ＩＤと、の組付けを示す判定条件テーブルと、
前記判定条件テーブルを参照することにより、暗号化の対象とする前記ラインに組付けられている暗号鍵を判定する暗号鍵判定手段と、
前記暗号鍵判定手段により判定された前記暗号鍵を用いて前記ラインを暗号化することにより暗号ログファイルを生成し、前記暗号ログファイルと当該ログファイルを暗号化するために用いた前記暗号鍵の鍵ＩＤとの組を用いて鍵マップファイルを生成する暗号化手段と、
を備える暗号化サーバとしてコンピュータを機能させることを特徴とするログファイル管理プログラム。
【請求項１２】
請求項１１に記載のログファイル管理プログラムであって、
前記判定条件テーブルが、再判定を行う際に鍵ＩＤを決定するための条件である再判定条件を更に有し、
前記暗号鍵判定手段が前記判定条件を用いても判定ができなかった前記ラインに対して、前記再判定条件を用いて再判定を行うことにより前記暗号鍵を決定することを特徴とするログファイル管理プログラム。
【請求項１３】
請求項１１又は１２に記載のログファイル管理プログラムであって、
前記管理グループは、階層型のツリー構造をしており、自らの管理グループ及び自身より下位の階層の管理グループの管理するログが暗号化できるように前記判定条件テーブルにおいて前記暗号鍵が組付けられていることを特徴とするログファイル管理プログラム。
【請求項１４】
ログファイルを管理するためのログファイル管理プログラムであって、
自らが管理するグループのログファイルを復号するための復号鍵が格納されている管理者用鍵格納部と、
前記暗号化されたログファイルと、前記ログファイルの各ラインをどの暗号鍵を用いて暗号化したのかを示す鍵マップファイルと、を収集する、ログ参照手段と、
前記鍵マップファイルを参照することにより前記暗号化されたログファイルの前記各ラインの中から前記復号鍵で復号可能なラインを判別し、前記判別の結果復号可能と判断された前記ラインを復号化する復号化手段と、
を備えるログ参照端末としてコンピュータを機能させることを特徴とするログファイル管理プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【公開番号】特開２０１０−１２８９０１（Ｐ２０１０−１２８９０１Ａ）
【公開日】平成２２年６月１０日（２０１０．６．１０）
【国際特許分類】
【出願番号】特願２００８−３０４４０１（Ｐ２００８−３０４４０１）
【出願日】平成２０年１１月２８日（２００８．１１．２８）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
【公開日】平成２２年６月１０日（２０１０．６．１０）
【国際特許分類】
【出願日】平成２０年１１月２８日（２００８．１１．２８）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
[ Back to top ]