情報追跡管理システム
【課題】ネットワークレベルで情報の移動や複製を追跡し、ファイル作成、変更、削除操作を監視し、両者を関連付けることで、電子情報がいつどこで生成され、どこへコピーされていったかを追跡することができるシステムを提供する。
【解決手段】収集装置１と、分析装置２とを具備し、収集装置１がネットワーク４接続したクライアント３１及びサーバ３２のファイルの情報を追跡し管理するシステムであって、収集装置１は、クライアント３１又はサーバ３２がそれぞれ有するエージェント３３からファイル処理情報を収集し、監視するネットワーク４上でのファイル移動情報を収集し、分析装置２は、収集装置１が収集したファイル処理情報及びファイル移動情報を、文書ごとに整理し、処理発生時刻を元に、各サーバ３２やクライアント３１上でのファイル名変更及びファイル移動を関連付ける。
【解決手段】収集装置１と、分析装置２とを具備し、収集装置１がネットワーク４接続したクライアント３１及びサーバ３２のファイルの情報を追跡し管理するシステムであって、収集装置１は、クライアント３１又はサーバ３２がそれぞれ有するエージェント３３からファイル処理情報を収集し、監視するネットワーク４上でのファイル移動情報を収集し、分析装置２は、収集装置１が収集したファイル処理情報及びファイル移動情報を、文書ごとに整理し、処理発生時刻を元に、各サーバ３２やクライアント３１上でのファイル名変更及びファイル移動を関連付ける。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報追跡管理システムであり、特にネットワークを流れる情報を直接解析し、ファイルの移動を把握することにより、ファイル操作イベントを収集し、電子情報がいつどこで生成され、どこへコピーされていったかを追跡するシステムに関する。
【背景技術】
【０００２】
電子情報はコピーや移動が簡単にでき、管理が難しい。また、ネットワークでファイルを追跡する場合、サーバやクライアント上での変更も考慮しなければならない。しかし、法規制対応などで必要性は高い。
【０００３】
従来、サーバ上のファイルに対し、クライアント側でショートカットを作成している状況で、サーバ上のファイルが、他のサーバへ移動された場合でも、同じショートカットとしてアクセス可能とすることが提案されている（特許文献１参照）が、予め対象ファイルに対し、明示的なＩＤの割り当てが必要である。
【特許文献１】特開２００３−２３３５１７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
本発明は、ネットワークレベルで情報の移動や複製を追跡し、ファイル作成、変更、削除操作を監視し、両者を関連付けることで、電子情報がいつどこで生成され、どこへコピーされていったかを追跡することができるシステムを提供することを目的とする。
【課題を解決するための手段】
【０００５】
本発明は、収集装置と、分析装置とを具備し、前記収集装置がネットワーク接続したクライアント及びサーバのファイルの情報を追跡し管理するシステムであって、前記収集装置は、前記クライアント又はサーバがそれぞれ有するエージェントからファイル処理情報を収集するとともに、監視するネットワーク上でのファイル移動情報を収集し、前記分析装置は、前記収集装置が収集したファイル処理情報及びファイル移動情報を、文書ごとに整理し、処理発生時刻を元に、各サーバやクライアント上でのファイル名変更及びファイル移動を関連付けるファイル情報追跡管理システムである。
【０００６】
また、本発明は、電子情報をネットワークレベルで追跡し、ネットワークを流れるファイルコピーデータと、各サーバ、クライアント上でのファイル作成、変更、削除操作を監視し、両者を関連付けることで、電子情報がいつどこで生成され、どこへコピーされていったかを追跡することができ、また、ネットワーク上のデータとＯＳ上のデータを関連付けることで、ファイルの内容が変わっても、情報の移動が追跡できる情報追跡管理システムである。
【０００７】
そして、本発明は、ワームの被害を受けた場合、影響を全て明らかにでき、ＯＳから再構築することなく復旧が可能である情報追跡管理システムである。
【発明の効果】
【０００８】
本発明によれば、ネットワーク上でコピーが追跡できるため、重要な情報をシステムから削除する場合、確実に行なえる情報追跡管理システムを提供することができる。
【発明を実施するための最良の形態】
【０００９】
本発明を実施するための最良の形態を説明する。
本発明の情報追跡管理システムの実施例について、図面を用いて説明する。
【００１０】
実施例を説明する。本実施例の情報追跡管理システムは、図１に示すように、収集装置１と分析装置２とを備えている。収集装置１は、サーバ機能を有しており、エージェントを有するクライアント３１やサーバ３２を接続するネットワーク４上に置かれ、各クライアント３１やサーバ３２からの情報を収集する。収集する情報には、通信元、先のＩＰアドレス、ファイル名などが含まれる。また、収集装置１は、ネットワーク４に流れる通信を監視し、ファイルコピーの通信を記録する。収集装置１は、エージェント３３からの情報と、ファイルコピーの記録を分析装置２へ送信する。分析装置２は、収集装置１に接続し、収集装置１が収集したファイル情報を取得する。各エージェント３３が記録した情報と、収集装置１が記録したコピー記録を関連付けることで、ある情報（ファイル名は変わる可能性がある）がどこで作られ、どのようにネットワーク上へコピーされていったかを追跡する。例えば、現在手元にあるファイルが、いつどこで作られ、だれがコピーを持っているのか、といったような情報を得ることができる。
【００１１】
エージェント３３は、クライアント３１やサーバ３２のＯＳ上に常駐し、ファイルの作成、変更、削除を監視する。例えばＷｉｎｄｏｗｓ（登録商標）の場合、ＯＳのファイルシステムイベントを監視する。作成、変更、削除が行なわれたとき、ファイル名と時刻、処理内容を記録し、定期的に収集装置１へ送る。
【００１２】
実施例における情報追跡管理の手順の一例について、図２を用いて説明する。クライアント１（３１ａ）で作成された文書がサーバ３２を経由し、他のクライアントからダウンロードされた例である。（１）クライアント１（３１ａ）で文書が作成されると、クライアント１（３１ａ）のエージェント３３は、文書作成を収集装置に報告する。報告される情報は、文書名、時刻、内容、処理元ＩＰ、元ファイル名などである。（２）クライアント１（３１ａ）の文書がサーバ３２に移動し、文書名が変更されると、ネットワーク４を監視する収集装置１は、クライアント１（３１ａ）からサーバ３２へ文書の移動の情報を収集する。収集される情報は、文書名、時刻、内容、処理元ＩＰ、処理先ＩＰ、元ファイル名などである。サーバ３２のエージェント３３は、移動してきた文書名の変更の情報を、収集装置に報告する。報告される情報は、文書名、時刻、内容、処理元ＩＰ、元ファイル名、先ファイル名などである。（３）サーバ３２の文書がクライアント２（３１ｂ）にコピーされると、ネットワーク４を監視する収集装置は、サーバ３２からクライアント２（３１ｂ）へ文書のコピーの情報を収集する。収集される情報は、文書名、時刻、内容、処理元ＩＰ、処理先ＩＰ、元ファイル名、先ファイル名などである。（４）サーバ３２の文書がクライアント３（３１ｃ）にコピーされ、文書名が変更されると、ネットワーク４を監視する収集装置１は、サーバ３２からクライアント３（３１ｃ）へ文書のコピーの情報を収集する。収集される情報は、（３）と同様である。クライアント３（３１ｃ）のエージェント３３は、コピーしてきた文書名の変更の情報を、収集装置１に報告する。報告される情報は、文書名、時刻、内容、処理元ＩＰ、元ファイル名、先ファイル名などである。（５）クライアント２（３１ｂ）で文書が削除されると、クライアント２（３１ｂ）のエージェント３３は、文書削除を収集装置に報告する。報告される情報は、文書名、時刻、内容、処理元ＩＰ、元ファイル名などである。以上（１）から（５）で収集装置１に収集された情報は、ネットワーク５を介して分析装置２に送信され、蓄積される。蓄積された情報は、各文書ごとに整理され、時刻順にソートされ、内容、処理元ＩＰ、処理先ＩＰ、元ファイル名、先ファイル名を一覧表にされる。この一覧表を参照すると、クライアント１（３１ａ）で作成された文書は、クライアント１（３１ａ）には存在せず、サーバ３２に文書名が変更して存在し、クライアント２（３１ｂ）にはなく、クライアント３（３１ｃ）で変更した文書名で存在することがわかる。
【００１３】
以上実施例で説明したように、本発明によれば、電子情報をネットワークレベルで追跡し、ネットワークを流れるファイルコピーデータと、各サーバ、クライアント上でのファイル作成、変更、削除操作を監視し、両者を関連付けることで、電子情報がいつどこで生成され、どこへコピーされていったかを追跡することができる。また、ネットワーク上のデータとＯＳ上のデータを関連付けることで、ファイルの内容が変わっても、情報の移動が追跡できる。
【００１４】
なお、本発明のシステムの応用例として、ワームの被害を受けた場合、影響を全て明らかにできるため、ＯＳから再構築することなく復旧が可能であり、ＳＯＸ法対応情報監視システムなどに利用できる。関連技術として、ＳＩＭ（セキュリティ情報マネジメント）を利用することができる。
【図面の簡単な説明】
【００１５】
【図１】実施例の情報追跡管理システムの説明図。
【図２】実施例の情報追跡管理システムにおける追跡管理処理の一例の説明図。
【符号の説明】
【００１６】
１ 収集装置
２ 分析装置
３１、３１ａ〜３１ｃ クライアント
３２ サーバ
３３ エージェント
４、５ ネットワーク
【技術分野】
【０００１】
本発明は、情報追跡管理システムであり、特にネットワークを流れる情報を直接解析し、ファイルの移動を把握することにより、ファイル操作イベントを収集し、電子情報がいつどこで生成され、どこへコピーされていったかを追跡するシステムに関する。
【背景技術】
【０００２】
電子情報はコピーや移動が簡単にでき、管理が難しい。また、ネットワークでファイルを追跡する場合、サーバやクライアント上での変更も考慮しなければならない。しかし、法規制対応などで必要性は高い。
【０００３】
従来、サーバ上のファイルに対し、クライアント側でショートカットを作成している状況で、サーバ上のファイルが、他のサーバへ移動された場合でも、同じショートカットとしてアクセス可能とすることが提案されている（特許文献１参照）が、予め対象ファイルに対し、明示的なＩＤの割り当てが必要である。
【特許文献１】特開２００３−２３３５１７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
本発明は、ネットワークレベルで情報の移動や複製を追跡し、ファイル作成、変更、削除操作を監視し、両者を関連付けることで、電子情報がいつどこで生成され、どこへコピーされていったかを追跡することができるシステムを提供することを目的とする。
【課題を解決するための手段】
【０００５】
本発明は、収集装置と、分析装置とを具備し、前記収集装置がネットワーク接続したクライアント及びサーバのファイルの情報を追跡し管理するシステムであって、前記収集装置は、前記クライアント又はサーバがそれぞれ有するエージェントからファイル処理情報を収集するとともに、監視するネットワーク上でのファイル移動情報を収集し、前記分析装置は、前記収集装置が収集したファイル処理情報及びファイル移動情報を、文書ごとに整理し、処理発生時刻を元に、各サーバやクライアント上でのファイル名変更及びファイル移動を関連付けるファイル情報追跡管理システムである。
【０００６】
また、本発明は、電子情報をネットワークレベルで追跡し、ネットワークを流れるファイルコピーデータと、各サーバ、クライアント上でのファイル作成、変更、削除操作を監視し、両者を関連付けることで、電子情報がいつどこで生成され、どこへコピーされていったかを追跡することができ、また、ネットワーク上のデータとＯＳ上のデータを関連付けることで、ファイルの内容が変わっても、情報の移動が追跡できる情報追跡管理システムである。
【０００７】
そして、本発明は、ワームの被害を受けた場合、影響を全て明らかにでき、ＯＳから再構築することなく復旧が可能である情報追跡管理システムである。
【発明の効果】
【０００８】
本発明によれば、ネットワーク上でコピーが追跡できるため、重要な情報をシステムから削除する場合、確実に行なえる情報追跡管理システムを提供することができる。
【発明を実施するための最良の形態】
【０００９】
本発明を実施するための最良の形態を説明する。
本発明の情報追跡管理システムの実施例について、図面を用いて説明する。
【００１０】
実施例を説明する。本実施例の情報追跡管理システムは、図１に示すように、収集装置１と分析装置２とを備えている。収集装置１は、サーバ機能を有しており、エージェントを有するクライアント３１やサーバ３２を接続するネットワーク４上に置かれ、各クライアント３１やサーバ３２からの情報を収集する。収集する情報には、通信元、先のＩＰアドレス、ファイル名などが含まれる。また、収集装置１は、ネットワーク４に流れる通信を監視し、ファイルコピーの通信を記録する。収集装置１は、エージェント３３からの情報と、ファイルコピーの記録を分析装置２へ送信する。分析装置２は、収集装置１に接続し、収集装置１が収集したファイル情報を取得する。各エージェント３３が記録した情報と、収集装置１が記録したコピー記録を関連付けることで、ある情報（ファイル名は変わる可能性がある）がどこで作られ、どのようにネットワーク上へコピーされていったかを追跡する。例えば、現在手元にあるファイルが、いつどこで作られ、だれがコピーを持っているのか、といったような情報を得ることができる。
【００１１】
エージェント３３は、クライアント３１やサーバ３２のＯＳ上に常駐し、ファイルの作成、変更、削除を監視する。例えばＷｉｎｄｏｗｓ（登録商標）の場合、ＯＳのファイルシステムイベントを監視する。作成、変更、削除が行なわれたとき、ファイル名と時刻、処理内容を記録し、定期的に収集装置１へ送る。
【００１２】
実施例における情報追跡管理の手順の一例について、図２を用いて説明する。クライアント１（３１ａ）で作成された文書がサーバ３２を経由し、他のクライアントからダウンロードされた例である。（１）クライアント１（３１ａ）で文書が作成されると、クライアント１（３１ａ）のエージェント３３は、文書作成を収集装置に報告する。報告される情報は、文書名、時刻、内容、処理元ＩＰ、元ファイル名などである。（２）クライアント１（３１ａ）の文書がサーバ３２に移動し、文書名が変更されると、ネットワーク４を監視する収集装置１は、クライアント１（３１ａ）からサーバ３２へ文書の移動の情報を収集する。収集される情報は、文書名、時刻、内容、処理元ＩＰ、処理先ＩＰ、元ファイル名などである。サーバ３２のエージェント３３は、移動してきた文書名の変更の情報を、収集装置に報告する。報告される情報は、文書名、時刻、内容、処理元ＩＰ、元ファイル名、先ファイル名などである。（３）サーバ３２の文書がクライアント２（３１ｂ）にコピーされると、ネットワーク４を監視する収集装置は、サーバ３２からクライアント２（３１ｂ）へ文書のコピーの情報を収集する。収集される情報は、文書名、時刻、内容、処理元ＩＰ、処理先ＩＰ、元ファイル名、先ファイル名などである。（４）サーバ３２の文書がクライアント３（３１ｃ）にコピーされ、文書名が変更されると、ネットワーク４を監視する収集装置１は、サーバ３２からクライアント３（３１ｃ）へ文書のコピーの情報を収集する。収集される情報は、（３）と同様である。クライアント３（３１ｃ）のエージェント３３は、コピーしてきた文書名の変更の情報を、収集装置１に報告する。報告される情報は、文書名、時刻、内容、処理元ＩＰ、元ファイル名、先ファイル名などである。（５）クライアント２（３１ｂ）で文書が削除されると、クライアント２（３１ｂ）のエージェント３３は、文書削除を収集装置に報告する。報告される情報は、文書名、時刻、内容、処理元ＩＰ、元ファイル名などである。以上（１）から（５）で収集装置１に収集された情報は、ネットワーク５を介して分析装置２に送信され、蓄積される。蓄積された情報は、各文書ごとに整理され、時刻順にソートされ、内容、処理元ＩＰ、処理先ＩＰ、元ファイル名、先ファイル名を一覧表にされる。この一覧表を参照すると、クライアント１（３１ａ）で作成された文書は、クライアント１（３１ａ）には存在せず、サーバ３２に文書名が変更して存在し、クライアント２（３１ｂ）にはなく、クライアント３（３１ｃ）で変更した文書名で存在することがわかる。
【００１３】
以上実施例で説明したように、本発明によれば、電子情報をネットワークレベルで追跡し、ネットワークを流れるファイルコピーデータと、各サーバ、クライアント上でのファイル作成、変更、削除操作を監視し、両者を関連付けることで、電子情報がいつどこで生成され、どこへコピーされていったかを追跡することができる。また、ネットワーク上のデータとＯＳ上のデータを関連付けることで、ファイルの内容が変わっても、情報の移動が追跡できる。
【００１４】
なお、本発明のシステムの応用例として、ワームの被害を受けた場合、影響を全て明らかにできるため、ＯＳから再構築することなく復旧が可能であり、ＳＯＸ法対応情報監視システムなどに利用できる。関連技術として、ＳＩＭ（セキュリティ情報マネジメント）を利用することができる。
【図面の簡単な説明】
【００１５】
【図１】実施例の情報追跡管理システムの説明図。
【図２】実施例の情報追跡管理システムにおける追跡管理処理の一例の説明図。
【符号の説明】
【００１６】
１ 収集装置
２ 分析装置
３１、３１ａ〜３１ｃ クライアント
３２ サーバ
３３ エージェント
４、５ ネットワーク
【特許請求の範囲】
【請求項１】
収集装置と、分析装置とを具備し、前記収集装置がネットワーク接続したクライアント及びサーバのファイルの情報を追跡し管理するシステムであって、
前記収集装置は、前記クライアント又はサーバがそれぞれ有するエージェントからファイル処理情報を収集するとともに、監視するネットワーク上でのファイル移動情報を収集し、前記分析装置は、前記収集装置が収集したファイル処理情報及びファイル移動情報を、文書ごとに整理し、処理発生時刻を元に、各サーバやクライアント上でのファイル名変更及びファイル移動を関連付けることを特徴とするファイル情報追跡管理システム。
【請求項２】
請求項１記載の情報追跡管理システムにおいて、
電子情報をネットワークレベルで追跡し、ネットワークを流れるファイルコピーデータと、各サーバ、クライアント上でのファイル作成、変更、削除操作を監視し、両者を関連付けることで、電子情報がいつどこで生成され、どこへコピーされていったかを追跡するができ、また、ネットワーク上のデータとＯＳ上のデータを関連付けることで、ファイルの内容が変わっても、情報の移動が追跡できることを特徴とする情報追跡管理システム。
【請求項３】
請求項１記載の情報追跡管理システムにおいて、
ワームの被害を受けた場合、影響を全て明らかにでき、ＯＳから再構築することなく復旧が可能であることを特徴とする情報追跡管理システム。
【請求項１】
収集装置と、分析装置とを具備し、前記収集装置がネットワーク接続したクライアント及びサーバのファイルの情報を追跡し管理するシステムであって、
前記収集装置は、前記クライアント又はサーバがそれぞれ有するエージェントからファイル処理情報を収集するとともに、監視するネットワーク上でのファイル移動情報を収集し、前記分析装置は、前記収集装置が収集したファイル処理情報及びファイル移動情報を、文書ごとに整理し、処理発生時刻を元に、各サーバやクライアント上でのファイル名変更及びファイル移動を関連付けることを特徴とするファイル情報追跡管理システム。
【請求項２】
請求項１記載の情報追跡管理システムにおいて、
電子情報をネットワークレベルで追跡し、ネットワークを流れるファイルコピーデータと、各サーバ、クライアント上でのファイル作成、変更、削除操作を監視し、両者を関連付けることで、電子情報がいつどこで生成され、どこへコピーされていったかを追跡するができ、また、ネットワーク上のデータとＯＳ上のデータを関連付けることで、ファイルの内容が変わっても、情報の移動が追跡できることを特徴とする情報追跡管理システム。
【請求項３】
請求項１記載の情報追跡管理システムにおいて、
ワームの被害を受けた場合、影響を全て明らかにでき、ＯＳから再構築することなく復旧が可能であることを特徴とする情報追跡管理システム。
【図１】
【図２】
【図２】
【公開番号】特開２００７−３０４８５３（Ｐ２００７−３０４８５３Ａ）
【公開日】平成１９年１１月２２日（２００７．１１．２２）
【国際特許分類】
【出願番号】特願２００６−１３２５７４（Ｐ２００６−１３２５７４）
【出願日】平成１８年５月１１日（２００６．５．１１）
【出願人】（０００２３３４９１）日立電子サービス株式会社 (394)
【Ｆターム（参考）】
【公開日】平成１９年１１月２２日（２００７．１１．２２）
【国際特許分類】
【出願日】平成１８年５月１１日（２００６．５．１１）
【出願人】（０００２３３４９１）日立電子サービス株式会社 (394)
【Ｆターム（参考）】
[ Back to top ]