操作監視システム及び操作監視プログラム
【課題】予め監視する操作の内容を設定することなく端末における操作を監視する技術を提供する。
【解決手段】操作ログ情報取得部３１が、ネットワークＮにより接続された端末Ｃから操作ログ情報を取得する。操作対象情報生成部３２は、操作ログ情報取得部３１から端末Ｃの操作ログ情報を取得し、操作対象毎の操作対象情報を生成する。特異操作判定部３３は、特定端末の操作対象情報と、特定端末が属する集合に属する複数の端末Ｃの操作対象情報との比較結果に基づき、その集合おける特定端末の特異な操作対象情報を特異操作対象情報として判定する。
【解決手段】操作ログ情報取得部３１が、ネットワークＮにより接続された端末Ｃから操作ログ情報を取得する。操作対象情報生成部３２は、操作ログ情報取得部３１から端末Ｃの操作ログ情報を取得し、操作対象毎の操作対象情報を生成する。特異操作判定部３３は、特定端末の操作対象情報と、特定端末が属する集合に属する複数の端末Ｃの操作対象情報との比較結果に基づき、その集合おける特定端末の特異な操作対象情報を特異操作対象情報として判定する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信ネットワークに接続する複数の端末における操作状況を監視する技術に関し、特に集合に属する端末における操作を監視する技術に関する。
【背景技術】
【０００２】
近年の情報処理機器の発達に伴い、職場等で使用されるコンピュータ等の情報処理機器の利用台数が増大している。本来、このような情報処理機器は、業務効率の向上を図るためのものである。しかし、一方では、業務時間内における情報処理機器の私的利用等の不正操作の問題が生じている。
【０００３】
このような問題を解決するために、ネットワークで接続されたコンピュータの操作を監視する様々な技術が検討されている。例えば、特定のイベントが発生したことを検知した際に、そのイベントの前後に発生したイベントの系列と予め設定した不正操作等のイベントの系列とを比較することにより、不正イベントを検出するシステム監査装置が提案されている（特許文献１参照）。
【０００４】
この技術では、コンピュータにおける操作の系列と所定の操作系列とを比較することにより、不正操作を検出することができるものである。すなわち、コンピュータにおける操作を流れとして捉えることにより、各々の操作に基づく不正操作の判定に比べて的確な判定を行うことができる。
【０００５】
【特許文献１】特開２００５−２２２２１６号公報（段落番号０００６、０００８）
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、特許文献１の技術では、予め所定のイベント系列を設定しなければならない。また、不正操作等に係るイベント系列は、画一的ではなく、コンピュータの操作者の業務内容や所属部署等により異なることがある。このような場合に対応するためには、業務や状況に合わせて多数のイベント系列を設定する等の対応が必要となり、管理者の負担を増大させる問題が生じる。
【０００７】
本発明の目的は、上記実状に鑑み、予め監視する操作の内容を設定することなく端末における操作を監視する技術を提供することである。
【課題を解決するための手段】
【０００８】
前記課題を解決するために、複数の端末が接続された操作監視システムにおいて、前記端末における操作に係る操作対象を含む操作ログ情報を取得する操作ログ情報取得部と、前記端末の前記操作ログ情報から当該端末における前記操作対象の操作統計を表す操作対象情報を生成する操作対象情報生成部と、一の前記端末の操作対象情報と、所定の集合に属する複数の端末の操作対象情報との比較結果に基づき、当該集合に対する当該一の端末の特異な操作対象情報を特異操作対象情報として判定する特異操作判定部と、を備えている。
【０００９】
この構成では、一の端末の操作対象情報と、所定の集合に属する端末の操作対象情報とが比較され、その比較結果に基づき、一の端末の操作対象情報が、その集合に対して特異であるか否かが判定される。
【００１０】
また、本発明における操作監視システムの好適な実施形態の一つでは、前記特異操作判定部は、前記集合に対する前記一の端末の操作対象情報の特異の度合いを示す特異度を算出し、当該特異度に基づいて前記特異操作対象情報を判定する。
【００１１】
この構成では、判定対象の操作対象情報の特異の度合を示す特異度を算出し、その特異度に基づき特異操作対象情報を判定しているため、より的確に特異な操作対象情報を判定することができる。
【００１２】
また、本発明における操作監視システムの好適な実施形態の一つでは、前記特異操作判定部は、前記所定の集合に属する複数の端末の操作対象情報に基づいて集合操作対象情報を生成し、前記集合操作対象情報と前記一の端末の操作対象情報とを比較することにより特異操作対象情報を判定する。
【００１３】
この構成では、集合に属する端末全体における操作統計を表す情報を生成し、その情報と一の端末の操作対象情報とを比較することにより、効率的な情報処理が可能となる。
【００１４】
また、端末が属する集合は、端末を使用する人（ユーザ）により立場や作業内容が多様であるため、様々な側面から鑑みた集合を作成することができる。そのため、各端末は複数の集合に属する場合が生じる。このような場合には、一の端末の操作対象情報が、ある集合においては特異であると判定されるが、他の集合においては特異でないと判定される場合がある。
【００１５】
上述のような場合にも、的確な処理を実行するために、本発明における操作監視システムの好適な実施形態の一つでは、前記集合に前記一の端末を含み、前記一の端末を有する前記集合が複数存在する場合に、前記特異操作判定部は、当該集合毎の当該一の端末の特異操作対象情報を判定し、前記判定結果に基づき新たな特異操作対象情報を生成する。
【００１６】
また、本発明における操作監視システムの好適な実施形態の一つでは、前記端末の前記操作対象情報を表示する表示部を備え、前記表示部は、前記特異操作対象情報とそれ以外の操作対象情報とを識別可能に表示する。
【００１７】
この構成では、特異操作対象情報とそれ以外の操作対象情報とが識別可能に表示されるため、管理者は容易に特異操作対象情報を視認することができる。
【００１８】
上述のような操作監視システムの更なる目的の一つとして、不審な操作を行っている端末の検出がある。そのため、本発明における操作監視システムの好適な実施形態の一つでは、前記特異操作対象情報に基づき、前記端末が不審な操作を行っているか否かを判定する不審端末判定部を備えている。
【００１９】
この構成では、特異操作対象情報に基づき、端末が不審な操作を行っているか否かを判定できるため、予め不審な操作を定義することなく、不審な操作を行っている端末を検出することができる。
【００２０】
上述した本発明による操作監視システムの技術的特徴は、同様の操作監視プログラムにも適用可能である。例えば、複数の端末とサーバとが接続された操作監視システムのための操作監視プログラムにおいて、前記端末における操作に係る操作対象を含む操作ログ情報を取得する操作ログ情報取得機能と、前記端末の前記操作ログ情報から当該端末における前記操作対象毎の操作統計を表す操作対象情報を生成する操作対象情報生成機能と、一の前記端末の操作対象情報と、所定の集合に属する複数の端末の操作対象情報との比較結果に基づき、当該集合に対する当該一の端末の特異な操作対象情報を特異操作対象情報として判定する特異操作判定機能と、をコンピュータに実現する。当然ながら、このような操作監視プログラムも上述した操作監視システムで述べた作用効果を得ることができ、さらに上述した付加的技術を組み込むことも可能である。
【発明を実施するための最良の形態】
【００２１】
〔第１実施形態〕
〔システム構成〕
以下、図面を用いて本発明の第１実施形態を説明する。本実施形態における本発明の操作監視システムは、図１に示すように、汎用コンピュータでなるサーバＳと汎用コンピュータでなる端末ＣとがネットワークＮを介して接続されることにより構成されている。サーバＳおよび端末Ｃはそれぞれ、ディスプレイ２、５や入力機器３、６（キーボード３ａ、６ａやポインティングデバイス３ｂ、６ｂ等）を備えている。なお、ポインティングデバイスとは、画面上での入力位置や座標を指定する入力機器であり、マウス、ジョイスティック、タッチパッド、タッチパネル、トラックボール等を用いることができるが、これらに限定されるものではない。
【００２２】
図２は、本発明の操作監視システムを構成するサーバＳおよび端末Ｃの機能ブロック図を示している。端末Ｃは、端末における操作に係る操作内容や操作対象を表す操作情報を生成し、ネットワークＩ／Ｆ１０を介してサーバＳに送信する操作ログ情報生成部１１を備えている。
【００２３】
サーバＳは、ネットワークＩ／Ｆ２０を介して端末Ｃから送信される操作ログ情報を取得し、操作ログ情報保存部２４に保存する操作ログ情報取得部３１、操作ログ情報取得部３１が取得した操作ログ情報から各端末Ｃにおける操作対象毎の操作統計を表す操作対象情報を生成する操作対象情報生成部３２、一の端末Ｃの操作対象情報と、所定の集合に属する端末Ｃの操作対象情報との比較結果に基づき、この集合に対する一の端末の特異な操作対象情報を特異操作対象情報として判定する特異操作判定部３３、特異操作対象情報に基づき制御を行う制御部３４、およびディスプレイ２への出力制御、入力機器３ａ、３ｂからの入力制御を行うＧＵＩ部２１を備えている。
【００２４】
また、サーバＳは、各種情報を管理する情報管理部２５を備えており、情報管理部２５は、さらに、少なくとも端末Ｃの端末識別情報（後述）とその端末Ｃを使用するユーザのユーザ識別情報（後述）とを関連付けて管理する端末情報管理部２２、ユーザ識別情報とユーザの所属部署とを関連付けて管理するユーザ情報管理部２３を備えている。本実施形態では、端末情報管理部２２およびユーザ情報管理部２３が管理する情報を用いて各種処理を実行する構成としているが、当然ながら、必要とする処理に応じて、情報管理部２５において管理する情報の種類、形態は適宜変更可能である。
【００２５】
通常、操作ログ情報生成部１１、操作ログ情報取得部３１、操作対象情報生成部３２、特異操作判定部３３および制御部３４は、その処理を実行する手段（プログラムやモジュール等）がハードウェアに読み込まれることでその処理が実行されるが、これらをハードウェアとの組み合わせにより構成しても良いし、ロジック等を組み合わせたハードウェアのみで構成しても構わない。
【００２６】
各端末Ｃでは、ユーザがキーボード６ａやポインティングデバイス６ｂ等を操作することにより、端末Ｃに対して様々な操作を行っており、その操作に応じて操作ログ情報生成部１１が、その操作の内容（操作内容）や操作の対象（操作対象）を表す情報を含む操作ログ情報を生成し、ネットワークＩ／Ｆ１０からネットワークＮを介してサーバＳに送信している。
【００２７】
本実施形態における操作ログ情報には、操作内容、操作対象、操作が行われた端末Ｃを一意に特定可能な端末識別情報、端末Ｃにおいて操作が行われた日時を表す日時情報を含んでいる。すなわち、各々の操作ログ情報は（操作内容、操作対象、端末識別情報、日時情報）の組により構成されているが、これに限定されるものではなく、必要に応じて項目を限定または追加することができる。また、操作内容には、ユーザ（使用者）による入力機器６からの指示操作、アプリケーションの起動・終了動作、アプリケーションのアクティブ／非アクティブの切り替え動作、アプリケーションからＯＳに対する制御指示（ＡＰＩ（Application Program Interface）の呼び出し等）、ミドルウェアの動作、ネットワークドライバの送受信動作、ウィンドウマネージャによる画面制御など端末Ｃの動作に関する情報、キーボード６ａやポインティングデバイス６ｂの操作に関する情報を含めることができる。操作対象には、アプリケーション識別情報、ファイル識別情報、ＵＲＬ（Uniform Resource Locator）、外部記憶媒体の識別情報、サーバの識別情報等、ユーザの操作の対象となる情報を用いることができる。また、アプリケーション識別情報には、アプリケーション毎に排他的に割り振られた数値やアプリケーション名等、アプリケーションを一意に識別可能な情報を用いることができる。また、ファイル識別情報には、ファイル毎に排他的に割り振られた数値やファイル名（パスを含む）等、ファイルを一意に識別可能な情報を用いることができる。また、操作ログ情報には、操作内容や操作対象に付随するウィンドウ位置、サイズ、ポインティングデバイス６ｂのカーソル位置、表示物の表示座標情報、アクティブ状態等の付随情報を含めても構わない。なお、外部記憶媒体には、ＵＳＢメモリのような半導体メモリのほか、光ディスク、光磁気ディスク、磁気ディスクなどが含まれ、コンピュータ端末に接続し、データを記憶させる記憶媒体または記憶装置であれば如何なるものであっても良い。
【００２８】
なお、本実施形態では、端末識別情報として、端末Ｃの端末名を用いるが、これに限定されるものではなく、端末ＣのＩＰアドレス、ＭＡＣアドレス、端末毎に排他的に割り振られた数値等、端末Ｃを一意に特定可能な情報を用いることができる。また、日時情報は、年月日時分秒を表す文字列を用いるが、これに限定されるものではなく、特定日時（例えば、１９７０年１月１日午前０時）からの経過時間を示す数値等、日時を特定可能な情報を用いることができる。さらに、操作ログ情報には、端末Ｃを操作するユーザを特定可能なユーザ識別情報を含めても構わない。このユーザ識別情報は、端末Ｃにおけるユーザのログイン操作に基づき特定することが可能なユーザ名やユーザ毎に排他的に割り振られた数値等を用いることができる。
【００２９】
また、本実施形態において監視対象とする操作とは、ＷＥＢページの閲覧であり、その操作対象はＷＥＢページであるとして説明する。判定対象となる操作ログ情報の検出は、操作ログ情報に含まれる操作内容を用いて行う方法、操作ログ情報の操作対象を用いて行う方法等がある。
【００３０】
操作ログ情報の操作内容を用いる方法では、操作内容にＷＥＢページを閲覧するための操作を含む操作ログ情報を判定対象の操作ログ情報として検出する。具体的には、操作内容として、ＷＥＢブラウザにおけるリンク操作によるＷＥＢページ取得操作（リンクのクリック操作など）、ＵＲＬの入力によるＷＥＢページ取得操作（キーボード６ａ等による直接入力など）、ＷＥＢブラウザからネットワーク通信ソケットＡＰＩへの関数呼び出し、ＯＳのネットワークソフトウェア（具体的には、ネットワークドライバソフトウェアなど）によるＷＥＢページ取得のリクエスト実行、ＷＥＢブラウザがＷＥＢページを取得し描画完了、などが含まれる。これらの操作内容を含む操作ログ情報内の操作対象にＷＥＢページの情報（つまり、ＵＲＬ）が含まれている。
【００３１】
操作ログ情報の操作対象を用いる方法では、操作対象としてＷＥＢページを含む操作ログ情報を判定対象の操作ログ情報として検出する。この方法を用いる場合には、操作対象もしくは付随情報等にＷＥＢブラウザ等のアプリケーション情報（アプリケーション名等）を含むと好適である。
【００３２】
本実施形態では、操作ログ情報生成部１１は、監視対象となる操作（ＷＥＢページの閲覧）が行われた際に、操作ログ情報を生成するものとする。当然ながら、他の操作に関する操作ログ情報を生成しても構わないし、これ以外のタイミング、例えば一定時間間隔等で操作ログを生成しても構わない。また、本実施形態では、操作ログ情報生成部１１は操作ログ情報を生成する都度、サーバＳに対して操作ログ情報を送信する構成とするが、この送信タイミングは任意でよく、所定時間分の操作情報を一時記憶しておき、所定時間経過後送信する等、適宜変更が可能である。
【００３３】
操作ログ情報取得部３１は、上述のように各端末Ｃから送信される操作ログ情報を取得し、ハードディスク等により構成される操作ログ情報記録部２４に保存すると共に、保存している操作ログ情報から任意の抽出条件に基づく検索を行う。
【００３４】
操作対象情報生成部３２は、操作ログ情報取得部３１を介して各端末Ｃの操作ログ情報を取得し、取得した操作ログ情報の操作対象毎に操作統計を表す操作対象情報を生成する。本発明における操作統計とは、操作対象の操作状況を示したものであり、操作頻度、操作時間等に基づき算出される。操作対象情報には、操作対象と操作統計とが対応付けられて含まれている。なお、操作対象情報の生成方法の詳細は後述する。
【００３５】
特異操作判定部３３は、監視対象となる端末Ｃ（以下、特定端末と称する）の操作対象情報と、特定端末が属する集合（以下、特定集合と称する）に属する端末Ｃの操作対象情報との比較結果に基づき、特定集合における特定端末の特異な操作対象情報（以下、特異操作対象情報と称する）を判定する。本実施形態における特異とは、特定端末における操作対象情報の操作対象に対する操作統計が、特定集合における操作対象情報の操作対象に対する操作統計と著しく異なっている状態である。本実施形態では特定端末が特定集合に属する場合について記載しているが、特定端末は必ずしも特定集合に属している必要はない。なお、特異操作対象情報の判定方法の詳細は後述する。
【００３６】
特定端末と特定集合に含まれる端末の同一期間における操作ログ情報を取得し判定を行うと好適である。このようにすると、当該期間における特異な操作を行っている操作対象をより正確に把握することができる。
【００３７】
制御部３４は、特異操作判定部３３により特異操作対象情報として判定された結果に基づき所定の制御を行う。本実施形態では、制御部３４は、端末Ｃ毎に操作対象情報を一覧表示し、その際、特異操作対象情報とそれ以外の操作対象情報とを識別可能に表示を行う。これにより、制御部３４は、本発明における表示部を構成する。
【００３８】
〔操作対象情報の生成方法〕
図３は、本実施形態における操作対象情報の生成処理の流れを表すフローチャートである。なお、以下の処理は、明示がない限り操作対象情報生成部３２における処理である。
【００３９】
まず、操作ログ情報取得部３１を介して一の操作ログ情報を取得する（＃０１）。このとき、特定の期間を設定し、特定の期間内の日時情報を持つ操作ログ情報を抽出する構成としても構わない。なお、特定の期間は任意の期間であり、一日や業務時間内など、必要に応じて設定することができる。
【００４０】
取得した操作ログ情報から、端末識別情報、操作対象、操作内容を抽出する（＃０２）。
【００４１】
上述のように、本実施形態では、操作をＷＥＢページの閲覧としており、操作ログ情報から抽出される操作対象はＵＲＬである。本実施形態では、ＲＦＣ（Request For Comments）等の技術標準に基づいて、ＵＲＬからドメイン名を抽出し（＃０３）、ドメイン名を操作対象として操作対象情報を生成する。なお、上述ではドメイン名を操作対象として操作対象情報を生成しているが、ＵＲＬを操作対象として操作対象情報を生成してもよい。また、ＵＲＬを所定の範囲、長さに区切って抽出してもよく、操作対象を分類、区別する目的であれば、如何なる方法を用いてもかまわない。
【００４２】
一方、抽出された操作ログ情報から操作統計が求められる（＃０４）。本実施形態では、操作統計として、閲覧回数を用いる。すなわち、本実施形態における操作対象情報は、（端末識別情報、ドメイン名、閲覧回数）の組からなる情報であり、操作ログ情報が取得される毎に、その操作ログ情報に対応する端末識別情報、ドメイン名を持つ操作対象情報の閲覧回数がインクリメントされる（＃０５）。
【００４３】
次に、未処理の操作ログ情報の有無がチェックされ（＃０６）、未処理の操作ログ情報が存在する場合には（＃０６のYes分岐）、処理は＃０１に移行し、上述の処理が繰り返される。一方、未処理の操作ログ情報が存在しない場合には（＃０６のNo分岐）、操作対象情報の生成処理は終了する。
【００４４】
なお、操作統計は、単位時間における閲覧回数とすることもできる。この場合には、全操作ログ情報の処理が終了した後に、端末Ｃ毎に最も古い操作ログ情報の日時情報と最も新しい操作ログ情報の情報とから経過時間を算出し、各操作対象情報の閲覧回数を算出した経過時間で除することにより単位時間当たりの閲覧回数に変換する。また、直近の時間（例えば、１時間、１日、１週間等）における閲覧回数を用いてもよい。
【００４５】
また、操作統計として、操作時間を用いることもできる。本実施形態では、操作時間とは、（１）一のＷＥＢページがＷＥＢブラウザに表示されている時間、（２）一のＷＥＢページがＷＥＢブラウザに表示されており、ＷＥＢブラウザがアクティブになっている時間、（３）ＷＥＢブラウザ上にポインティングデバイス６ｂのカーソルが重畳している時間、により算出される時間、（４）ＷＥＢブラウザに対する操作回数から算出される時間のことをいうが、これらに限定されるものではなく、ＷＥＢブラウザを操作している時間を判断できる手段であれば如何なる方法を用いても構わない。各々の方法を用いた操作時間の算出方法は、以下の通りである。
【００４６】
（１）ＷＥＢページがＷＥＢブラウザに表示されている時間を算出するには、まず、一のＷＥＢページにアクセスしたことを示す操作内容を含む操作ログ情報の日時情報と、その日時情報の後、次の異なるＷＥＢページにアクセスしたことを示す操作内容を含む操作ログ情報の日時情報とをそれぞれ抽出する。そして、抽出した両者の時間の差を求め、算出された時間を、当該一のＷＥＢページにアクセスしていた時間（操作時間）とすることができる。
【００４７】
（２）一のＷＥＢページを表示しているブラウザがアクティブになっている時間を算出するには、まず、一のＷＥＢページを表示しているＷＥＢブラウザがアクティブになったことを示す操作内容を含む操作ログ情報の日時情報と、その日時情報の後、次に他のアプリケーションをアクティブに切り替える操作内容を有する操作ログ情報の日時情報とをそれぞれ抽出する。そして、抽出した両者の時間の差を求め、算出された時間を、当該一のＷＥＢページを表示しているブラウザがアクティブになっている時間（操作時間）とすることができる。さらに、その後、当該一のＷＥＢページを表示しているブラウザがアクティブに切り替わる操作ログ情報が取得された場合は、上記と同様の算出方法を繰り返し行い、既に算出した表示時間に新たに算出した表示時間を加算する。
【００４８】
（３）ＷＥＢブラウザ上にポインティングデバイス６ｂのカーソルが重畳している時間を算出するためには、まず、一のＷＥＢページにアクセスしたことを示す操作内容を含む操作ログ情報の表示座標情報及び日時情報を抽出する。さらに、ポインティングデバイスの操作を示す操作ログ情報の座標位置情報及び日時情報を抽出する。そして、抽出した両者の座標情報を比較し、両者が重畳していると判定された時点における日時情報をそれぞれ特定する。特定された日時情報から算出された時間を、ＷＥＢブラウザ上にポインティングデバイスが重畳している時間とする方法がある。なお、この方法を用いる場合には、操作ログ情報に操作画面上で表示される表示物の表示座標情報およびポインティングデバイス６ｂの座標位置情報も操作ログ情報として取得する。ここでいう表示物とは、端末Ｃで表示されているアイコンやアプリケーションのウィンドウ等を指し、表示座標情報とは、表示物の画面上の表示位置や形状、前面／背面を示す表示階層情報を含む情報である。
【００４９】
（４）ＷＥＢブラウザに対する操作回数から算出される時間を算出するためには、ＷＥＢブラウザに対する操作ログ情報の数を取得し、その数と所定の時間（例えば、１分、５分、１０分など）とを乗算した結果を、ＷＥＢブラウザを操作している時間（操作時間）とみなすことができる。さらに、操作ログ情報に含まれる操作内容の種類毎に所定の時間を変えることで、操作の内容に合わせてＷＥＢブラウザの操作時間を算出すると好適である。
【００５０】
このように、操作統計として操作時間を用いることにより、閲覧回数に基づいては把握が困難なユーザの動作を、より正確に把握することができるため、操作対象情報の精度を向上させることができる。
【００５１】
さらに、操作統計として、一のＷＥＢページを表示しているＷＥＢブラウザの表示面積を用いることもできる。ここでの表示面積とは、ＷＥＢブラウザのウィンドウのうち他のウィンドウ等で隠されていない部分の面積である。ＷＥＢブラウザの表示面積を算出する場合には、操作ログ情報に操作画面上で表示される表示物の表示座標情報を含める必要がある。この際、表示座標情報が必要となるのはＷＥＢブラウザに対する操作を示す操作ログ情報のみではなく、その他のアプリケーションやファイル等に関する操作ログ情報に対しても同様に、表示物の表示座標情報を含めておく。
【００５２】
ＷＥＢブラウザの表示面積を算出するためには、まず、一のＷＥＢページにアクセスした時点の操作ログ情報から表示座標情報を抽出し、その表示座標情報に含まれるＷＥＢブラウザの表示座標情報（ウィンドウの左上端と右下端の座標等）からＷＥＢブラウザのウィンドウの表示面積を求める。そして、取得した表示座標情報からＷＥＢブラウザのウィンドウの表示座標情報と表示階層情報を用いて、一のＷＥＢページを表示しているＷＥＢブラウザのウィンドウとそれ以外のアプリケーションのウィンドウで重畳しているものがないかを判定する。このとき、重畳するウィンドウがある場合には、そのウィンドウとＷＥＢブラウザのウィンドウの重畳する部分の面積を算出し、ＷＥＢブラウザの表示面積から重畳する部分の面積を差し引くことで実際に表示されている表示面積を算出することができる。上記の処理に基づき、操作ログ情報から各ウィンドウの面積とその重畳関係を判断することにより、操作画面に表示されているＷＥＢブラウザの表示面積を算出する。
【００５３】
このように、操作統計として表示面積を用いることにより、閲覧回数や操作時間に基づいては把握が困難な端末の操作画面上における表示形態も把握することができるため、操作対象情報の精度を向上させることができる。また、それぞれの方法を組み合わせて操作統計を算出してもよい。
【００５４】
〔特異操作対象情報の判定方法〕
図４は、本実施形態における特異操作の判定方法の処理の流れを表すフローチャートである。なお、明示した場合を除き、この処理の主体は特異操作判定部３３である。
【００５５】
まず、特異操作の判定対象となる特定端末を特定する（＃１１）。本実施形態では、ディスプレイ２に端末Ｃの一覧を表示し、管理者がポインティングデバイス３ｂ等を用いて一の端末Ｃを指定することにより特定端末を指定する。なお、本実施形態では、端末情報管理部２２から、全端末Ｃの端末識別情報を取得して、端末Ｃの一覧を生成する構成とするが、これに限定されるものではなく、操作ログ情報に含まれる端末識別情報に基づき生成する等、他の構成としても構わない。
【００５６】
次に、特定端末が属する特定集合を特定する（＃１２）。本実施形態では、特定集合は、特定端末を使用するユーザの所属部署と同一の所属部署のユーザが用いる端末Ｃにより構成される。そのため、本実施形態では、特定端末の端末識別情報をキーとして端末情報管理部２２からユーザ識別情報を取得し、取得したユーザ識別情報をキーとしてユーザ情報管理部２３から、所属部署を取得し、その所属部署と同一の所属部署に属するユーザ識別情報群を取得し、さらに端末情報管理部２２からそのユーザ識別情報に関連付けられている端末Ｃ群を取得し、それらから特定集合を構成する。なお、上述の説明では、ユーザ情報と端末情報とを用いて、特定端末が属する特定集合を特定する構成としているが、端末識別情報と端末Ｃの所属部署とを関連付けて管理することで、端末情報のみにより特定集合を特定する等、他の方法を用いて特定集合を特定する構成としても構わない。
【００５７】
なお、特定集合は、上述に限定されるものではなく、ネットワークＮに接続している全端末Ｃ、特定端末と類似する端末環境（ハードウェア構成、ソフトウェア構成等）を持つ端末Ｃ等により構成されても構わない。
【００５８】
特定端末と類似する端末環境を持つ端末をグループ化する方法は、まず、端末情報管理部２２において、ネットワーク内に接続されている端末Ｃと、その端末Ｃ内にインストールされているソフトウェア情報やその端末Ｃに接続されている外部機器情報、その端末Ｃ自体のハードウェアの仕様等の資産情報とを関連付けて保存しておく。次に、特異操作判定部３３は、端末情報管理部２２に保存された情報の中から、類似する端末環境を持つ端末識別情報を抽出し、当該端末識別情報を利用して特定集合を構成する。
【００５９】
また、類似する端末環境か否かを判定するには、例えば、インストールされているソフトウェア情報が、特定端末と所定割合以上一致している端末Ｃを、特定端末と類似する端末環境を持つ端末Ｃであるとしてグループ化する方法を用いることができる。その他、使用している外部機器が同一である場合や、端末Ｃのハードウェア情報やスペック情報が同一又は所定割合以上一致している端末Ｃを類似する端末環境であると判定することもできる。このような判定条件を用いることは、特定端末と類似するソフトウェアやハードウェア等のスペックを有する端末であれば、その使用用途も類似していると考えられるため、好適である。同様に、ハードウェアやソフトウェアの設定内容が類似するか否か等の情報を用いて特定集合を構成するようにしても構わない。なお、類似する端末環境の判定方法は、上述の方法に限定されるものではなく、端末の状態や構成の類似性が判定できるような方法であれば、他の方法を用いても構わない。
【００６０】
上記のように、特定集合は、予め定められたユーザ識別情報によって静的に決定されるものだけでなく、実際の端末の使われ方によって動的に決定される構成とすることができる。これにより、部署等のグループを予め定めておく必要がなくなり、実際に行っている作業の内容に応じて自動的に特定集合を構成することができる。例えば、端末の起動時刻やアプリケーションの起動時刻などの動的に変化する条件から特定集合を構成することができる。これにより、利用している時間帯が同じ端末を特定集合として構成することができ、また、勤務体系の違いによる特定集合の構成もできることとなる。
【００６１】
特定集合が特定されると、特定集合に属する端末Ｃの操作対象情報が操作対象情報生成部３２から取得され（＃１３）、それらに基づき特定集合における操作統計を表す集合操作対象情報が操作対象毎に生成される（＃１４）。特定集合における操作統計とは、特定集合に属する端末Ｃの操作対象に対する操作の傾向を示している。
【００６２】
本実施形態では、各々の操作対象情報の操作統計から算出される平均値、標準偏差に基づき、特定集合における操作統計を算出している。例えば、操作対象情報生成部３２から図５に示す操作対象情報が取得された場合には、操作対象は、「ドメインＡ」、「ドメインＢ」、「ドメインＣ」、「ドメインＤ」および「ドメインＥ」であり、「ドメインＡ」に係る操作対象情報（端末識別情報，ＷＥＢページ，操作統計）は、（ＰＣ０００１，ドメインＡ，５）および（ＰＣ０００２，ドメインＡ，１）の２つである。したがって、「ドメインＡ」に係る集合操作対象情報の操作統計は、各々の操作対象情報の操作統計である５、１、０および０から平均値、標準偏差値が算出され、集合操作対象情報（ドメインＡ、１．５、２．３８）が得られる。他のドメインに対する操作統計も同様に求められ、図６に示す集合操作対象情報が生成される。なお、特定端末の操作対象情報を除外して、集合操作対象情報を生成しても構わない。この場合には、特定端末の影響が除外された集合操作対象情報が生成でき、好適である。
【００６３】
次に、特定端末の操作対象情報と、上述の処理により生成された集合操作対象情報のうち同一の操作対象に対する集合操作対象情報とが比較され、その操作対象情報が特定集合において特異であるか否かが判定され、特異であると判定された操作対象情報が特異操作対象情報として抽出される（＃１５）。
【００６４】
特異であるか否かを判定する方法として、（１）操作対象情報の操作統計と集合操作対象情報の操作統計に対する平均値との比較による判定、（２）操作対象情報の操作統計と集合操作対象情報の操作統計に対する標準偏差値との比較による判定、（３）操作対象に対する操作有無による判定、（４）集合操作対象情報の操作統計による順位を用いる判定、（５）特定端末の操作対象情報の操作統計の順位と集合操作対象情報の操作統計の順位との比較による判定等を用いることができるが、特定端末の操作対象情報と集合操作対象情報を比較・対比することで特定端末の操作対象の操作状況が特異であるかを判定する目的を達する限りにおいて、さまざまな方法を用いることができる。さらに、複数の方法を組み合わせて判定を行うと、判定の精度を向上させることができ好適である。
【００６５】
〔特異操作対象情報の判定方法１〕
操作対象情報の操作統計と集合操作対象情報の操作統計に対する平均値との比較による判定方法を説明する。例えば、特定端末をＰＣ０００１とする。このとき、図５を参照すると、特定端末「ＰＣ０００１」の操作対象情報は「ドメインＡ」、「ドメインＢ」および「ドメインＤ」に対するものがある。ドメインＡに対する操作対象情報（ＰＣ０００１，ドメインＡ，５）が特異であるか否かを判定する際には、ドメインＡに対する集合操作対象情報（ドメインＡ，１．５，２．３８）との比較が行われる。すなわち、特定端末の操作対象情報の操作統計「５」と集合操作対象情報の平均値「１．５」との比較が行われ、特定端末の操作対象情報の操作統計が、集合操作対象情報の平均値から所定値ＴＨ１以上大きい場合に、その操作対象情報を特異であると判定する。例えば、ＴＨ１を２と設定した場合には、５＞１．５＋２であるので、操作対象情報（ＰＣ０００１，ドメインＡ，５）は特異であると判定される。なお、判定基準は、所定値以下小さい場合とすることも可能である。また、±２の範囲に含まれない場合を特異であると判断することも当然に可能である。
【００６６】
〔特異操作対象情報の判定方法２〕
操作対象情報の操作統計と集合操作対象情報の操作統計に対する標準偏差値との比較による判定方法を説明する。この場合には、特定端末の操作対象情報の操作統計「５」と集合操作対象情報の標準偏差「２．３８」とが比較される。例えば、特定集合に属する端末Ｃの操作対象情報の操作統計の分布が、集合操作対象情報の平均値μ、標準偏差σにより規定される正規分布Ｎ（μ、σ）に従うと仮定し、特定端末の操作対象情報の操作統計がμ＋σやμ＋２σ以上の場合に、その操作対象情報を特定であると判定する。このとき判定基準をμ＋σとすると、５＞１．５＋２．３８であり、操作対象情報（ＰＣ０００１，ドメインＡ，５）は特異であると判定され、判定基準をμ＋２σとすると、５＜１．５＋２．３８×２であり、この操作対象情報は特異でないと判定される。ここでは、判定基準μ＋σやμ＋２σ以上の場合としたがこれに限らず、たとえば判定基準μ−σやμ−２σ以下を特異であると判定するようにしてもよい。
【００６７】
〔特異操作対象情報の判定方法３〕
操作対象に対する操作有無による判定を説明する。図５の例では、特定集合はＰＣ０００１〜ＰＣ０００４の４台により構成され、このうち「ドメインＡ」を閲覧した端末ＣはＰＣ０００１、ＰＣ０００２である。つまり、「ドメインＡ」を閲覧した端末Ｃの特定集合における閲覧率は５０％となる。ここで所定値ＴＨ２を７５％とすると、特定集合における閲覧率（５０％）＜所定値ＴＨ３（７５％）となり、この操作対象は特異であると判定できる。
【００６８】
〔特異操作対象情報の判定方法４〕
集合操作対象情報の操作統計による順位を用いる判定について説明する。特定集合における操作対象の操作統計は、「ドメインＡ」が６、「ドメインＢ」が９３、「ドメインＣ」が３０、「ドメインＤ」が１、「ドメインＥ」が１６となり、降順に並べると「ドメインＢ」、「ドメインＣ」、「ドメインＥ」、「ドメインＡ」、「ドメインＤ」となる。このとき、所定値ＴＨ４を２位とし、２位以上に含まれる操作対象を特異でないとすると、特定端末の操作対象「ドメインＡ」は２位であるため、特異でないと判定される。ここでは、集合操作対象情報を操作統計の降順で整列する構成としたが、これに限定されるものではなく、昇順に並べて所定値以上（所定順位以上）を特異であると判断する構成としても構わない。さらに、所定値を上限値（上限順位）、下限値（下限順位）を設け、その範囲外の操作対象を特異であると判定する構成とすることもできる。
【００６９】
〔特異操作対象情報の判定方法５〕
特定端末の操作対象情報の操作統計の順位と集合操作対象情報の操作統計の順位との比較による判定方法について説明する。この判定方法は、特定端末の操作対象情報を操作統計の降順に整列した際の判定対象とする操作対象情報の順位と、特定集合における集合操作対象情報を操作統計の降順に整列した際の監視対象とする操作対象情報の順位とを比較し、その順位の差から特異であるか否かを判定する方法である。たとえば、特定端末「ＰＣ０００１」において操作対象情報を操作統計の降順に整列した場合、操作対象「ドメインＡ」の順位は、２位となる。これに対し、特定集合において集合操作対象情報を操作統計の降順に整列した場合、操作対象「ドメインＡ」の順位は、４位となる。したがって、順位の差は２となる。このとき、所定値ＴＨ５を３とすると、順位の差（２）＜所定値ＴＨ５（３）となり、特異でないと判断される。
【００７０】
さらに、それぞれの判定方法を組み合わせて判断しても構わない。例えば、判定方法１の結果が特異であり、判定方法２の結果が特異でなく、判定方法３の結果が特異であり、判定方法４の結果が特異でなく、判定方法５の結果が特異でないとすると、２つの判定方法において、特異であると判定されている。このとき、例えば特異とする判定基準を３であるとすると、２＜３であるため、最終の判定結果では操作対象は特異でないと判断される。また、各判定の結果に重みづけを行うことで、判定する構成としても構わない。
【００７１】
上述の説明では、各々の判定方法における判定結果は、「特異である」もしくは「特異でない」としたがこれに限定されるものではなく、各々の判定方法で算出される値を特異の度合いを示す値（特異度）として用いることも可能であり、例えば、判定対象の操作対象情報の操作統計と集合操作対象情報の平均値との差を所定の関数に代入する、正規分布における確率関数に代入する等により特異度を算出することができる。また、各々の判定方法から出力される特異の度合いを示す値を集計して合算値、平均値や関数による出力値などを求めることによって特異であるかを判定することもできる。
【００７２】
また、集合操作対象情報の平均値との差から特異度を取得することもできる。この場合、集合操作対象情報の平均値との差と特異度を関連付けて設定（図１５）し、平均値との差に対応する特異度を取得することができる。さらに、所定の値の範囲に区切り、その値の範囲ごとに集合操作対象情報の平均値との差と特異度の関連付けの設定を持たせることで、平均値に応じて特異度の関連付けの設定を選択し、適切な特異度を取得する構成としても構わない。
【００７３】
また、本実施形態では、特異操作抽出部２３は、集合操作対象情報を生成した後に、特異操作対象情報を判定する構成としたが、これに限定されるものではなく、特定端末の操作対象情報と特定集合に属する端末Ｃの操作対象情報とを比較し、それらの比較結果に基づき特異操作対象情報を判定する構成としても構わない。この場合には、上述の判定方法を適宜対応させて判定を行うことができる。
【００７４】
〔全体処理の流れ〕
次に、本実施形態における全体処理の流れを図７のフローチャートを用いて説明する。まず、管理者が、サーバＳの入力機器３を操作し、操作監視の開始をサーバＳに指示することにより、以下の処理が開始される。
【００７５】
操作監視の開始を指示されたサーバＳでは、操作対象情報生成部３２により、各端末Ｃの操作対象情報の生成が行われる（＃２１）。なお、操作対象情報の生成は、操作監視の開始が指示された時点で、初期状態から生成するのではなく、所定のタイミングで生成、または操作ログ情報が生成される毎に更新する構成とすると操作対象情報の生成が効率的に行えるため、好適である。また、管理者は、操作監視の開始の指示と共に、操作対象情報を生成する期間を指定することも可能である。この場合には、指定された期間に含まれる日時情報を持つ操作ログ情報を用いて、操作対象情報が生成される。
【００７６】
また、制御部３４により、ネットワークＮに接続されている端末Ｃのリストが端末情報管理部２２から取得され、端末Ｃの一覧がディスプレイ２に表示される（＃２２）。この一覧表示は、端末名のリスト表示、端末名を付したアイコン表示等、様々な表示態様を用いることができる。
【００７７】
管理者は、ポインティングデバイス３ｂ等を用いて、監視対象とする特定端末を指定すると、特定端末における特異操作対象情報の判定が行われる（＃２３）。このとき、特定端末の操作対象情報のうち、特異操作対象情報として判定されたものには、特異操作対象情報であることが判別可能な情報が付加され、制御部３４に送られる。特異操作対象情報であることが判別可能な情報としては、例えば、操作対象情報にフラグ領域を設け、特異操作対象情報である場合には１を、そうでない場合には０を設定することにより実現することができる。したがって、本実施形態における操作対象情報は、（端末識別情報、操作対象、操作統計、特異フラグ）の組から構成されることとなる。当然ながら、他の方法を用いて識別しても構わない。
【００７８】
特定端末の操作対象情報を取得した制御部３４は、操作対象情報を、特異操作対象情報とそれ以外の操作対象情報とを識別可能に一覧表示する（＃２４）。
【００７９】
例えば、図５および図６の例で、特定端末を「ＰＣ０００１」とし、特異操作対象情報の判定基準を正規分布Ｎ（μ、σ）におけるμ＋σとすると、操作対象情報（ＰＣ０００１，ドメインＡ，５）が特異操作対象情報として判定される。このとき、制御部３４は、図８のような一覧表示を行う。この表示例では、特定端末の操作対象情報の操作対象と操作統計とが、操作統計の降順で一覧表示されている。この際、特異操作対象情報のドメイン名を反転表示することにより、特異操作対象情報とそれ以外の操作対象情報とを識別可能にしている。当然ながら、表示態様はこれに限定されるものではなく、特異操作対象情報とそれ以外の操作対象情報との表示色を異ならせる等、本発明の目的を達する限りにおいて、他の表示態様を用いても構わない。
【００８０】
また、制御部３４による制御は、上述の一覧表示に限定されるものではなく、特異操作対象情報に関するメッセージを管理者やその特異操作対象情報に係る端末Ｃのユーザに送信する、特異操作対象情報に関する報告書の表示や印刷等、様々な態様を用いることができる。
【００８１】
なお、本実施形態では、管理者が特定端末を指定し、指定された特定端末における特異操作対象情報を判定する構成としたが、全端末Ｃを順次特定端末とし、端末Ｃ毎の特異操作対象情報を判定する構成としても構わない。
【００８２】
〔第２実施形態〕
次に、図を用いて、本発明の操作監視システムの第２実施形態を説明する。図９は、本実施形態における操作監視システムを構成するサーバＳおよび端末Ｃの機能ブロック図であり、第１実施形態と同様の機能部には、同一の符号を付している。
【００８３】
本実施形態における操作監視システムは、特異操作判定部３３により判定された特異操作対象情報に基づき、特定端末が不審な操作を行っているか否かを判定する不審端末判定部３５を備えている点において、第１実施形態と異なっている。また、制御部３４の制御態様が第１実施形態と異なっているが、他の機能部は第１実施形態と同様であるので、詳細な説明は省略する。
【００８４】
以下に、本実施形態における不審操作を行っている端末（以下、不審端末と称する）の判定方法を説明する。不審端末の判定は、単一の特異操作対象情報に基づくのではなく、二以上の特異操作対象情報に基づき行われる。例えば、（１）特定端末の特異操作対象情報の数、（２）特定端末の操作対象情報の数に対する特異操作対象情報の数の割合、（３）特定端末の特異操作対象情報の操作統計の総和（以下、これらを不審操作判定量と総称する）等を所定の閾値と比較することで、特定端末が不審な操作を行っている否かを判定する。なお、不審端末の判定方法は、本発明の目的を達する限りにおいて、他の方法を用いても構わない。
【００８５】
〔不審端末判定方法１〕
（１）の方法では、まず、特異操作判定部３３は、特定端末において特異な操作であると判定された特異操作対象情報を不審端末判定部３５に送信する。不審端末判定部３５は、取得した特異操作対象情報を計数し、その計数値を不審操作判定量とする。そして、不審端末判定部３５は、不審操作判定量と予め定めておいた所定値とを比較し、当該不審操作判定量が所定値を超えた場合に不審端末と判定する。
【００８６】
〔不審端末判定方法２〕
（２）の方法では、まず、特異操作判定部３３は、特定端末における操作対象情報と、特定端末において特異な操作であると判定された特異操作対象情報とを不審端末判定部３５に送信する。不審端末判定部３５は、取得した操作対象情報と特異操作対象情報とを計数し、操作対象情報の数に対する特異操作対象情報の数の割合を算出し、算出した値を不審操作判定量とする。そして、不審端末判定部３５は、不審操作判定量と予め定めておいた所定値とを比較し、当該不審操作判定量が所定値を超えた場合に不審端末と判定する。
【００８７】
〔不審端末判定方法３〕
（３）の方法では、まず、特異操作判定部３３は、特定端末において特異な操作であると判定された特異操作対象情報を不審端末判定部３５に送信する。不審端末判定部３５は取得した特異操作対象情報の操作統計を抽出する。この抽出処理を全ての特異操作対象情報に対して行い、抽出した操作統計の全てを合算し、合算した値を不審操作判定量とする。そして、不審端末判定部３５は、取得した不審操作判定量と予め定めておいた所定値とを比較し、当該不審操作判定量が所定値を超えた場合に不審端末と判定する。
【００８８】
なお、上記（１）から（３）の方法について、特異操作判定部３３において不審操作判定量を算出して不審端末判定部３５に送信し、不審端末判定部３５では、取得した不審操作判定量に基づいて不審端末の判定を行うという構成としてもよい。
【００８９】
以下に、図１０のフローチャートを用いて本実施形態における全体処理の流れを説明する。
【００９０】
まず、上述の方法により、操作対象情報生成部３１が、操作対象情報を生成する（＃３１）。特異操作判定部３３は、端末情報管理部２２から全端末Ｃの端末識別情報を取得し（＃３２）、その中から一の端末Ｃを特定端末として選択する（＃３３）。
【００９１】
次に、特異操作判定部３３は、上述の方法により特異操作対象情報を判定し、不審端末判定部３５に送る（＃３４）。
【００９２】
特異操作対象情報を取得した不審端末判定部３５は、上述の方法により特定端末が不審端末であるか否かを判定し、その判定結果を制御部３４に送る（＃３５）。
【００９３】
特定端末として選択されていない端末Ｃの有無が判定され（＃３６）、特定端末として選択されていない端末Ｃが存在する場合には（＃３６のYes分岐）、処理は＃３３に移行し、未選択の端末Ｃが特定端末として選択され、上述の処理が繰り返される。
【００９４】
一方、全端末Ｃが特定端末として選択されると（＃３６のNo分岐）、制御部３４は、不審端末を管理者等に知覚させるための制御を行う（＃３７）。例えば、図１１に示すように、ディスプレイ２には端末Ｃの一覧を表示し、この際、不審端末を反転表示し、それ以外の端末Ｃとを識別可能に表示している。この例では、ＰＣ０００２とＰＣ０００４とが不審端末と判定された端末Ｃであり、端末名と共に不審操作判定量を表示している。表示態様はこれに限定されるものでなく、不審端末とそれ以外の端末Ｃとを識別可能な表示態様であれば、他の表示態様を用いることができる。
【００９５】
また、制御部３４による制御は、上述のような表示を行うだけでなく、不審端末であると判定された端末Ｃを管理者や不審端末のユーザに通知する、不審端末に関する報告書の表示や印刷等を行うことができる。当然ながら、本発明の目的を達する限りにおいて、他の制御を行うこともできる。なお、所定のタイミング、または、監視対象となっている操作対象の操作ログ情報を検出する毎に不審端末の判定をすることで、不正端末をリアルタイムに検出することができる。
【００９６】
〔第３実施形態〕
上述の実施形態では、単一の集合操作対象情報に基づき、特異操作対象情報を判定していた。しかしながら、一般的には、集合の概念は様々に設定することが可能であり、特定端末は複数の集合に属する場合がある。そのため、本実施形態では、複数の集合操作対象情報に基づいた特異操作対象情報の判定を行う。なお、特異操作判定部３３以外の機能部は、上述の実施形態と同一であるので、ここでは、図１２のフローチャートに基づき、特異操作判定部３３の処理の流れのみを説明する。
【００９７】
まず、上述した実施形態と同様に、特定端末が特定されると（＃４１）、特定端末が属する集合が決定される（＃４２）。本実施形態では、上述したように、特定端末は複数の集合に属している。例えば、特定端末のユーザの所属部署に基づく集合、ユーザの職種に基づく集合、ユーザの役職に基づく集合等を用いることができる。このような集合を用いるためには、ユーザ情報管理部２２により管理されているユーザ情報に必要な情報を付加し、その情報に基づき第１実施形態と同様の方法により集合を構成することができる。
【００９８】
次に、上述の方法により決定された複数の集合から一の集合が特定集合として選択され（＃４３）、＃１３から＃１５と同様の処理により、選択された特定集合における特異操作対象情報が判定される（＃４４〜＃４６）。
【００９９】
その後、＃４２で決定された集合のうち、＃４３で選択されていない集合の有無が判定され（＃４７）、未選択集合が存在する場合には（＃４７のYes分岐）、処理は＃４３に移行し、未選択集合から一の集合が特定集合として選択され、上述の処理が繰り返される。
【０１００】
一方、未選択集合が存在しない場合には（＃４７のNo分岐）、処理は＃４８に移行し、＃４６の処理で抽出された複数の集合における特異操作対象情報を統合し、新たな特異操作対象情報が生成される（＃４８）。具体的には、各集合における特異操作対象情報の和集合が新たな特異操作対象情報となる。例えば、図１３の例では、特定端末は、集合１、集合２および集合３に属しており、各々の集合において特異操作対象情報が図のように抽出されている。これらの特異操作対象情報を統合すると、図１４に示す特異操作対象情報が生成される。すなわち、集合１における特異操作対象情報｛（ドメインＡ，２８），（ドメインＢ，２４），（ドメインＤ，１６）｝、集合２における特異操作対象情報｛（ドメインＡ，２８），（ドメインＥ，３５）｝、集合３における特異操作対象情報｛（ドメインＡ，２８），（ドメインＤ，１６）｝の和集合が、図１４の特異操作対象情報となる。この際、特異操作対象情報には、操作対象情報の特異の度合を表す特異度が算出され、付加される。すなわち、本実施形態における操作対象情報は、（端末識別情報、操作対象、操作統計、特異度）の組から構成される。なお、本実施形態における特異度とは、複数の集合にわたり、特異であると判定される度合を表している。すなわち、特異であると判定される集合が多いほど大きく、少ないほど小さくなる値である。図１４の例では、集合数に対する特異であると判定された集合数の割合を特異度としている。例えば、操作対象情報（ドメインＡ，２８）は全ての集合で特異であると判定されているため、特異度＝３／３＝１．０である。また、操作対象情報（ドメインＥ，３５）は、集合２においてのみ特異であると判定されているため、特異度＝１／３＝０．３３である。
【０１０１】
上述の説明の他、各集合の特異操作対象情報の特異の度合（以下、個別特異度と称する）を用いて算出する構成とすることもできる。この場合には、特異操作判定部３３は、操作対象情報が特異であるか否かを判定するのではなく、操作対象情報の個別特異度を算出する構成となる。
【０１０２】
また、和集合における操作対象情報の特異度の算出は、上述したものに限定されるものではなく、判定基準範囲Ｒ（例えば、μ―σ≦Ｒ≦μ＋σの範囲）を設定しておき、操作対象情報の操作統計と判定基準範囲Ｒとの差（判定基準範囲Ｒの下限値／上限値との差）を特異度と関連づけて設定しておき（図１５参照）、集合１〜３の集合操作対象情報が図１６である場合、次ようにして算出することができる。操作対象（ドメインＡ）については、集合１では判定基準範囲Ｒとの差が「１５」であるため個別特異度は「３」、集合２では判定基準範囲Ｒとの差が「２０」であるため個別特異度は「４」、集合１では判定基準範囲Ｒとの差が「８」であるため個別特異度は「２」となり、これら各集合の個別特異度を合計し、操作対象（ドメインＡ）の特異度「９」を得ることができる。また、操作対象情報の特異度を個別特異度の合計としたが、これに限定されるわけではなく、個別特異度の平均や最大、最小など、必要に応じて様々な演算を行うことで操作対象情報の特異度を算出する構成としても構わない。さらに、集合毎に重み付けを設定しておき、その重み付けを用いた演算をすることにより操作対象情報の特異度を算出する構成としても構わない。
【０１０３】
また、個別特異度から特異度を算出する場合において、各集合について共通の閾値や判定基準を用いたが、集合ごとに異なる基準を用いても構わない。
【０１０４】
なお、本実施形態では、特異操作対象情報に特異度を含めたが、単に複数の集合における特異操作対象情報を統合し、新たな特異操作対象情報を生成する構成としても構わない。また、特異操作対象情報を統合する際、各集合に重みを設定しておき、その重みに応じて統合する構成としても構わない。重みとは、集合の重要度や規模、職務範囲等の様々な要素から決定される情報であり、重みが大きいほど特異操作対象情報の統合における優先度が高いことを示すものである。例えば、各集合の重みが、集合１：「１」、集合２：「１」、集合３：「２」であり、集合１、集合２、集合３の特異操作対象情報のうち、集合３のみが操作対象（ドメインＡ）を含んでいないとする。このとき、集合１および集合２での特異度が、集合３の重み付けに応じた所定の閾値以下である場合、集合３の特異操作対象情報を優先し、操作対象（ドメインＡ）に対する操作対象情報は特異ではないと判定する。逆に、集合１および集合２の特異度が、集合３の重み付けに応じた所定の閾値を超える場合には、操作対象（ドメインＡ）に対する操作対象情報は特異であると判定する。
【０１０５】
〔別実施形態〕
（１）上述の実施形態では、端末Ｃにおける操作対象をＷＥＢページとして説明したが、上述したように、端末Ｃにおける操作対象をファイルやアプリケーションとすることもできる。このとき、前者の場合には、ファイル名、ファイルが保存されているフォルダ／ファイルサーバ等を単位として操作対象情報を生成し、後者の場合には、アプリケーション名、アプリケーション種別（文書作成アプリケーション、表計算アプリケーション、メーラ、ＷＥＢブラウザ等）等を単位として操作対象情報を生成する。
【０１０６】
（２）上述の実施形態では、特異操作判定部３３は、単一の尺度（アクセス回数）に基づく操作統計に基づき操作対象情報が特異であるか否かを判定したが、複数の尺度に基づく操作統計を用いて判定することもできる。例えば、操作統計として操作回数、操作時間を採用し、これらの操作統計に基づき判定する構成とすることもできる。例えば、操作回数と操作時間との関係を示す近似直線を求め、その近似直線を含む所定の範囲内に操作対象情報が含まれているかを判定することで、その操作対象情報が特異であるかを判定することができる。
【０１０７】
（３）上述の実施形態では、操作監視システムは、複数の端末ＣおよびサーバＳから構成されていたが、サーバＳの機能部の一部を備えた管理端末を設置し、負荷分散を図ることもできる。また、サーバＳの機能部を各端末Ｃに備え、各端末ＣをサーバＳとして機能させる構成とすることもできる。また、サーバＳの操作ログ情報取得部３１、操作ログ情報記憶部２４、操作対象情報生成部３２を各端末Ｃに備える構成とすることもできる。
【０１０８】
（４）上述の実施形態では、所定期間における不審操作判定量に基づき、不審操作を判定するものであるが、特異操作対象情報保存部（図示せず）に特異操作対象情報を保存しておき、時系列に沿った不審操作判定量の変化に基づき、不審操作を判定することもできる。例えば、過去における複数の期間を設定し、上述した方法により期間毎に特異操作対象情報を抽出し、抽出した特異操作対象情報に基づき、期間毎の不審操作判定量を算出する。このとき、時系列に沿って不審操作判定量の推移を観察し、変位が顕著となった期間があれば、不審な操作が行われたと判定することができる。なお、顕著な変位の検出は、不審操作判定量の時間微分値と所定の閾値とを比較する等により実現することができる。
【０１０９】
（５）上述の実施形態では、端末Ｃ毎に特異操作の判定を行ったが、操作ログ情報に含まれるユーザ識別情報を用いて、ユーザ毎に特異操作の判定行っても構わない。
【０１１０】
この場合には、複数の端末が接続された操作監視システムにおいて、前記端末を使用するユーザのユーザ識別情報を取得するとともに、前記端末におけるユーザの操作に係る操作対象を含む操作ログ情報を取得する操作ログ情報取得部と、前記操作ログ情報から当該ユーザにおける前記操作対象の操作統計を表す操作対象情報を生成する操作対象情報生成部と、一の前記ユーザの操作対象情報と、当該一のユーザが属する集合に属する複数のユーザの操作対象情報との比較結果に基づき、当該集合における当該一のユーザの特異な操作対象情報を特異操作対象情報として判定する特異操作判定部と、を備える構成となる。
【０１１１】
なお、特異操作判定部は、一のユーザが複数の集合に属する場合に、当該集合毎の一のユーザの特異操作対象情報を判定し、当該判定された特異操作対象情報に基づき新たな特異操作対象情報を生成する構成とすることもできる。
【０１１２】
この構成では、一のユーザの操作対象情報とその一のユーザの属する集合（たとえば、役職、所属などのユーザの属性情報によって判定される集合）に属するユーザの操作対象情報とが比較され、その比較結果に基づき、一のユーザの操作対象情報がその集合に対して特異であるか否かが判定される。この構成とすることで、ユーザに対して使用する端末が固定化されていない場合でもユーザの操作対象に対する操作が特異であるか否かを判定することができる。さらに、ユーザが複数の集合に属する場合においては、それぞれの集合において特異操作対象情報を抽出することで新たに特異操作対象情報を得ることができ、集団において特異か否かを総合的にかつ高い精度で判断することができる。
【０１１３】
（６）上述の実施形態では、操作対象に対する操作の特異性を判定したが、操作ログ情報に含まれる操作内容の特異性を判定することも可能である。
【０１１４】
この場合には、複数の端末が接続された操作監視システムにおいて、前記端末における操作に係る操作内容を含む操作ログ情報を取得する操作ログ情報取得部と、前記端末の前記操作ログ情報から当該端末における前記操作内容の操作統計を表す操作対象情報を生成する操作対象情報生成部と、一の前記端末の操作対象情報と、所定の集合に属する複数の端末の操作対象情報との比較結果に基づき、当該集合における当該一の端末の特異な操作対象情報を特異操作対象情報として判定する特異操作判定部と、を備える構成となる。
【０１１５】
この構成では、特定端末における操作内容の操作統計を表す操作対象情報と、所定の集合における操作対象情報とが比較され、その比較結果に基づき、特定端末の操作対象情報がその集合に対して特異であるか否かが判定される。この構成とすることで、特定端末における操作内容に対して特異であるかを判定することができる。
【０１１６】
例えば、特定端末における操作内容「ファイルのコピー」に対する操作対象情報の操作統計（この実施形態では、操作回数とする）が「３２」であり、集合１の操作内容「ファイルのコピー」に対する集合操作対象情報の操作統計が「２２」であるとする。ここでは、集合１の操作内容「ファイルのコピー」に対する集合操作対象情報の操作統計は、操作回数の平均値を用いるが、最大値や最小値、標準偏差など他の統計値等を用いてもかまわない。そして、特定端末の操作対象情報の操作統計「３２」と集合１の操作対象情報の操作統計「２２」を比較し、所定の閾値ＴＨを「８」とした場合、特定端末の操作対象情報の操作統計が、集合１の操作対象情報の操作統計を所定の閾値ＴＨ以上超えているため、特定端末における操作内容「ファイルのコピー」は、特異であると判定される。
【０１１７】
同様に、特定端末Ｃの操作内容「ファイルの削除」に対する操作対象情報の操作統計が「３」であり、集合１の操作内容「ファイルの削除」に対する操作対象情報の操作統計が「８」であるとすると、特定端末の操作統計が、集合１の集合操作対象情報の操作統計を超えていないため、特定端末における操作内容「ファイルの削除」は、特異でないと判定される。
【０１１８】
上述の説明では、操作内容を「ファイルのコピー」と「ファイルの削除」としたが、操作内容はこれに限定されるものではなく、「メールの送信」「ＵＳＢの挿入」「アプリケーションの起動」「アプリケーションの終了」「ＷＥＢページの閲覧」等、端末Ｃの操作を示す操作内容であれば、様々な操作内容を用いることができる。
【０１１９】
このような構成とすることにより、特定端末における操作内容が特異であるか否かを判定することができる。また、上述の説明では、特異操作の判定において操作回数用いたが、これに限定されるものではなく、これまでに述べてきた操作対象に対する特異の判定と同様、様々な情報を使用することができる。また、端末に変えてユーザにおける操作内容とすることも可能である。
【０１２０】
（７）上述の実施形態の操作統計の生成は、操作対象に対するキーボード６ａもしくはポインティングデバイス６ｂの操作を用いてもよい。つまり、キーボード６ａやポインティングデバイス６ｂ等の入力機器６の操作を取得し、操作対象に対して行われた操作であるかを判定する。操作対象に対して行われた操作であると判定した場合には、その操作の数を積算し操作統計に用いる。入力機器６の操作は、操作ログ情報として取得してもよいし、デバイス操作情報取得部（図示せず）を設け、操作対象生成部３２が入力機器６の操作をそのデバイス操作情報取得部から取得するようにしてもよい。
【０１２１】
また、キーボード６ａやポインティングデバイス６ｂの操作が操作対象に対して行われたかを判定する手段として、アプリケーションが起動中に行われた場合、アプリケーションがアクティブ状態に行われた場合、アプリケーションが入力機器６の操作に関する情報（イベントメッセージなど）を受信した場合などを用いることで判定する。
【０１２２】
（８）上述の実施形態の操作統計の生成は、操作対象に対する操作内容を用いることで、よりユーザの操作内容を反映した操作統計を取得するようにしてもよい。つまり、操作内容毎に操作レベル値をあらかじめ設定しておき、操作対象情報生成部３２は、操作対象に対する操作ログ情報を取得すると、操作ログ情報に含まれる操作内容を抽出し、その操作内容に対応する操作レベル値を取得する。この操作レベル値を累計した値を操作統計として生成する。例えば、図１７に示すような操作レベル値が操作内容に対して予め設定されている場合に、所定期間内に操作内容が「ＷＥＢページの閲覧」が３回、「ブラウザ起動」が６回、「ＷＥＢページに入力」が１回発生したとすると、操作統計として｛（３回×１０ｐｔ）＋（６回×１ｐｔ）＋（１回×１５ｐｔ）｝＝５１ｐｔが求められる。
【０１２３】
（９）上述の実施形態の制御部３４における表示部は、特異操作対象情報に含まれる操作対象情報の特異度の大きさに応じて色・文字サイズ等の操作対象情報の表示形態を変更するようにしてもよい。つまり、操作対象情報の特異度が大きい場合は、より識別性を高くし、特異度が小さい場合は、より識別性を低くすることができる。これによって、グループにおいてどの程度特異な操作を行っているかを容易に判断することができる。
【０１２４】
（１０）上述の実施形態において、動的に特定集合を構成することもできることを記載しているが、この場合に、いずれの特定集合にも含まれない端末Ｃを特定し、その端末Ｃをグループ化した特定集合を構成しても構わない。このようにして構成した特定集合において端末Ｃの特異操作対象情報を判定してもよいし、特定端末における不審端末を特定するようにしてもよい。
【０１２５】
（１１）上述の実施形態においては、制御部３４の表示部における制御のみを記載しているがこれに限定されるものではない。特異操作対象情報や不審端末の情報を一覧で表示したり、報告書形式で出力（印刷等を含む）など、適宜、必要に応じた制御を行ってもよい。
【０１２６】
（１２）上述の実施形態においては、操作された全ての操作対象を判定の対象としたがこれに限定されるものではない。特定集合における操作統計が所定の閾値を超える操作対象に対してのみ特異操作対象情報であるかを判定するようにしてもよい。これにより、当該システムにおける判定処理の軽減や判定結果の精度を向上させることができる。
【０１２７】
（１３）上述の実施形態においては、操作内容がＷＥＢページの閲覧である操作ログ情報に基づき操作対象情報を求めたが、さらに限定した操作内容の操作ログ情報のみを用いて操作対象情報を生成しても構わない。たとえば、ＷＥＢページに対する操作ログ情報であって、操作内容がＷＥＢページへの情報の書き込み操作やデータのアップロード操作などの所定の操作内容を持つ操作ログ情報のみを抽出し、その操作ログ情報から操作対象に対する操作対象情報を求めるようにする。これによって、より監視が必要な操作内容に限定して判定することができるため、監視の精度を向上させることができ、管理者の負担を軽減することができる。
【０１２８】
（１４）上述の実施形態において、ＷＥＢページへのアクセス方法に基づいて操作対象情報を生成しても構わない。ＷＥＢページのアクセス方法には、検索サイトからのアクセスやＵＲＬを直接入力してのアクセス、ブックマークからのアクセス等、様々な方法がある。そのため、操作ログ情報にＷＥＢページにどうやってアクセスしたかを示すアクセス元の情報を記録しておき、このアクセス元の情報に基づいて操作対象情報を生成する。つまり、操作ログ情報に含まれるアクセス元の情報から、ＷＥＢページに対するアクセスが所定のアクセス元からのものであると判定できる場合は、その操作ログ情報については、操作対象に対する操作統計の算出からは除外し、操作対象に対する操作対象情報を生成する。このようにすることで、所定のアクセス元からのアクセスであるかを判定でき、意図的に業務外のＷＥＢページへアクセスしている、危険なＷＥＢページへアクセスしているなど監視の対象とすべき操作に限定して判定ができるため、監視の精度を向上し、管理者の負担を軽減することができる。
【０１２９】
（１５）上述の実施形態において、操作対象に対する操作の時間帯に基づいて操作対象情報を生成しても構わない。この場合、操作の時間帯毎に評価ポイントを設けておき、操作毎に評価ポイントを算出する。そして、その評価値を操作対象毎に集計したものを操作統計として、操作対象情報を生成する。また、これに限らず、予め操作対象に対する操作が最も多い時間帯、最も少ない時間帯等を特定し、その時間帯から評価ポイントを決定したものを用いて、操作対象情報を生成してもよい。例えば、休日や操作対象に対するアクセスが少ない時間帯は、評価ポイントを高くするなどである。これにより、操作対象に対する操作の時間帯（業務時間内、業務時間外、早朝、深夜、平日、休日等）を加味して判定することができ、監視の精度を向上させることができる。
【図面の簡単な説明】
【０１３０】
【図１】本発明による操作監視システムのシステム構成図
【図２】本発明による操作監視システムの第１実施形態における機能ブロック図
【図３】本発明による操作監視システムの操作対象情報の生成処理の流れを表すフローチャート
【図４】本発明による操作監視システムの特異操作対象情報の抽出処理の流れを表すフローチャート
【図５】本発明による操作監視システムの実施形態における操作対象情報の例
【図６】本発明による操作監視システムの実施形態における集合操作対象情報の例
【図７】本発明による操作監視システムの全体処理の流れを表すフローチャート
【図８】本発明による操作監視システムの第１実施形態における表示例
【図９】本発明による操作監視システムの第２実施形態における機能ブロック図
【図１０】本発明による操作監視システムの第２実施形態における全体処理の流れを表すフローチャート
【図１１】本発明による操作監視システムの第２実施形態における表示例
【図１２】本発明による操作監視システムの第３実施形態における特異操作対象情報の判定処理の流れを表すフローチャート
【図１３】本発明による操作監視システムの第３実施形態における集合毎における特異操作対象情報の例
【図１４】本発明による操作監視システムの第３実施形態における統合された特異操作対象情報の例
【図１５】本発明による操作監視システムの実施形態における特異度を規定したテーブルの例
【図１６】本発明による操作監視システムの第３実施形態における集合操作対象情報の例
【図１７】本発明による操作監視システムの別実施形態における操作レベル値を規定したテーブルの例
【符号の説明】
【０１３１】
３１：操作ログ情報取得部
３２：操作対象情報生成部
３３：特異操作判定部
３４：制御部
【技術分野】
【０００１】
本発明は、通信ネットワークに接続する複数の端末における操作状況を監視する技術に関し、特に集合に属する端末における操作を監視する技術に関する。
【背景技術】
【０００２】
近年の情報処理機器の発達に伴い、職場等で使用されるコンピュータ等の情報処理機器の利用台数が増大している。本来、このような情報処理機器は、業務効率の向上を図るためのものである。しかし、一方では、業務時間内における情報処理機器の私的利用等の不正操作の問題が生じている。
【０００３】
このような問題を解決するために、ネットワークで接続されたコンピュータの操作を監視する様々な技術が検討されている。例えば、特定のイベントが発生したことを検知した際に、そのイベントの前後に発生したイベントの系列と予め設定した不正操作等のイベントの系列とを比較することにより、不正イベントを検出するシステム監査装置が提案されている（特許文献１参照）。
【０００４】
この技術では、コンピュータにおける操作の系列と所定の操作系列とを比較することにより、不正操作を検出することができるものである。すなわち、コンピュータにおける操作を流れとして捉えることにより、各々の操作に基づく不正操作の判定に比べて的確な判定を行うことができる。
【０００５】
【特許文献１】特開２００５−２２２２１６号公報（段落番号０００６、０００８）
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、特許文献１の技術では、予め所定のイベント系列を設定しなければならない。また、不正操作等に係るイベント系列は、画一的ではなく、コンピュータの操作者の業務内容や所属部署等により異なることがある。このような場合に対応するためには、業務や状況に合わせて多数のイベント系列を設定する等の対応が必要となり、管理者の負担を増大させる問題が生じる。
【０００７】
本発明の目的は、上記実状に鑑み、予め監視する操作の内容を設定することなく端末における操作を監視する技術を提供することである。
【課題を解決するための手段】
【０００８】
前記課題を解決するために、複数の端末が接続された操作監視システムにおいて、前記端末における操作に係る操作対象を含む操作ログ情報を取得する操作ログ情報取得部と、前記端末の前記操作ログ情報から当該端末における前記操作対象の操作統計を表す操作対象情報を生成する操作対象情報生成部と、一の前記端末の操作対象情報と、所定の集合に属する複数の端末の操作対象情報との比較結果に基づき、当該集合に対する当該一の端末の特異な操作対象情報を特異操作対象情報として判定する特異操作判定部と、を備えている。
【０００９】
この構成では、一の端末の操作対象情報と、所定の集合に属する端末の操作対象情報とが比較され、その比較結果に基づき、一の端末の操作対象情報が、その集合に対して特異であるか否かが判定される。
【００１０】
また、本発明における操作監視システムの好適な実施形態の一つでは、前記特異操作判定部は、前記集合に対する前記一の端末の操作対象情報の特異の度合いを示す特異度を算出し、当該特異度に基づいて前記特異操作対象情報を判定する。
【００１１】
この構成では、判定対象の操作対象情報の特異の度合を示す特異度を算出し、その特異度に基づき特異操作対象情報を判定しているため、より的確に特異な操作対象情報を判定することができる。
【００１２】
また、本発明における操作監視システムの好適な実施形態の一つでは、前記特異操作判定部は、前記所定の集合に属する複数の端末の操作対象情報に基づいて集合操作対象情報を生成し、前記集合操作対象情報と前記一の端末の操作対象情報とを比較することにより特異操作対象情報を判定する。
【００１３】
この構成では、集合に属する端末全体における操作統計を表す情報を生成し、その情報と一の端末の操作対象情報とを比較することにより、効率的な情報処理が可能となる。
【００１４】
また、端末が属する集合は、端末を使用する人（ユーザ）により立場や作業内容が多様であるため、様々な側面から鑑みた集合を作成することができる。そのため、各端末は複数の集合に属する場合が生じる。このような場合には、一の端末の操作対象情報が、ある集合においては特異であると判定されるが、他の集合においては特異でないと判定される場合がある。
【００１５】
上述のような場合にも、的確な処理を実行するために、本発明における操作監視システムの好適な実施形態の一つでは、前記集合に前記一の端末を含み、前記一の端末を有する前記集合が複数存在する場合に、前記特異操作判定部は、当該集合毎の当該一の端末の特異操作対象情報を判定し、前記判定結果に基づき新たな特異操作対象情報を生成する。
【００１６】
また、本発明における操作監視システムの好適な実施形態の一つでは、前記端末の前記操作対象情報を表示する表示部を備え、前記表示部は、前記特異操作対象情報とそれ以外の操作対象情報とを識別可能に表示する。
【００１７】
この構成では、特異操作対象情報とそれ以外の操作対象情報とが識別可能に表示されるため、管理者は容易に特異操作対象情報を視認することができる。
【００１８】
上述のような操作監視システムの更なる目的の一つとして、不審な操作を行っている端末の検出がある。そのため、本発明における操作監視システムの好適な実施形態の一つでは、前記特異操作対象情報に基づき、前記端末が不審な操作を行っているか否かを判定する不審端末判定部を備えている。
【００１９】
この構成では、特異操作対象情報に基づき、端末が不審な操作を行っているか否かを判定できるため、予め不審な操作を定義することなく、不審な操作を行っている端末を検出することができる。
【００２０】
上述した本発明による操作監視システムの技術的特徴は、同様の操作監視プログラムにも適用可能である。例えば、複数の端末とサーバとが接続された操作監視システムのための操作監視プログラムにおいて、前記端末における操作に係る操作対象を含む操作ログ情報を取得する操作ログ情報取得機能と、前記端末の前記操作ログ情報から当該端末における前記操作対象毎の操作統計を表す操作対象情報を生成する操作対象情報生成機能と、一の前記端末の操作対象情報と、所定の集合に属する複数の端末の操作対象情報との比較結果に基づき、当該集合に対する当該一の端末の特異な操作対象情報を特異操作対象情報として判定する特異操作判定機能と、をコンピュータに実現する。当然ながら、このような操作監視プログラムも上述した操作監視システムで述べた作用効果を得ることができ、さらに上述した付加的技術を組み込むことも可能である。
【発明を実施するための最良の形態】
【００２１】
〔第１実施形態〕
〔システム構成〕
以下、図面を用いて本発明の第１実施形態を説明する。本実施形態における本発明の操作監視システムは、図１に示すように、汎用コンピュータでなるサーバＳと汎用コンピュータでなる端末ＣとがネットワークＮを介して接続されることにより構成されている。サーバＳおよび端末Ｃはそれぞれ、ディスプレイ２、５や入力機器３、６（キーボード３ａ、６ａやポインティングデバイス３ｂ、６ｂ等）を備えている。なお、ポインティングデバイスとは、画面上での入力位置や座標を指定する入力機器であり、マウス、ジョイスティック、タッチパッド、タッチパネル、トラックボール等を用いることができるが、これらに限定されるものではない。
【００２２】
図２は、本発明の操作監視システムを構成するサーバＳおよび端末Ｃの機能ブロック図を示している。端末Ｃは、端末における操作に係る操作内容や操作対象を表す操作情報を生成し、ネットワークＩ／Ｆ１０を介してサーバＳに送信する操作ログ情報生成部１１を備えている。
【００２３】
サーバＳは、ネットワークＩ／Ｆ２０を介して端末Ｃから送信される操作ログ情報を取得し、操作ログ情報保存部２４に保存する操作ログ情報取得部３１、操作ログ情報取得部３１が取得した操作ログ情報から各端末Ｃにおける操作対象毎の操作統計を表す操作対象情報を生成する操作対象情報生成部３２、一の端末Ｃの操作対象情報と、所定の集合に属する端末Ｃの操作対象情報との比較結果に基づき、この集合に対する一の端末の特異な操作対象情報を特異操作対象情報として判定する特異操作判定部３３、特異操作対象情報に基づき制御を行う制御部３４、およびディスプレイ２への出力制御、入力機器３ａ、３ｂからの入力制御を行うＧＵＩ部２１を備えている。
【００２４】
また、サーバＳは、各種情報を管理する情報管理部２５を備えており、情報管理部２５は、さらに、少なくとも端末Ｃの端末識別情報（後述）とその端末Ｃを使用するユーザのユーザ識別情報（後述）とを関連付けて管理する端末情報管理部２２、ユーザ識別情報とユーザの所属部署とを関連付けて管理するユーザ情報管理部２３を備えている。本実施形態では、端末情報管理部２２およびユーザ情報管理部２３が管理する情報を用いて各種処理を実行する構成としているが、当然ながら、必要とする処理に応じて、情報管理部２５において管理する情報の種類、形態は適宜変更可能である。
【００２５】
通常、操作ログ情報生成部１１、操作ログ情報取得部３１、操作対象情報生成部３２、特異操作判定部３３および制御部３４は、その処理を実行する手段（プログラムやモジュール等）がハードウェアに読み込まれることでその処理が実行されるが、これらをハードウェアとの組み合わせにより構成しても良いし、ロジック等を組み合わせたハードウェアのみで構成しても構わない。
【００２６】
各端末Ｃでは、ユーザがキーボード６ａやポインティングデバイス６ｂ等を操作することにより、端末Ｃに対して様々な操作を行っており、その操作に応じて操作ログ情報生成部１１が、その操作の内容（操作内容）や操作の対象（操作対象）を表す情報を含む操作ログ情報を生成し、ネットワークＩ／Ｆ１０からネットワークＮを介してサーバＳに送信している。
【００２７】
本実施形態における操作ログ情報には、操作内容、操作対象、操作が行われた端末Ｃを一意に特定可能な端末識別情報、端末Ｃにおいて操作が行われた日時を表す日時情報を含んでいる。すなわち、各々の操作ログ情報は（操作内容、操作対象、端末識別情報、日時情報）の組により構成されているが、これに限定されるものではなく、必要に応じて項目を限定または追加することができる。また、操作内容には、ユーザ（使用者）による入力機器６からの指示操作、アプリケーションの起動・終了動作、アプリケーションのアクティブ／非アクティブの切り替え動作、アプリケーションからＯＳに対する制御指示（ＡＰＩ（Application Program Interface）の呼び出し等）、ミドルウェアの動作、ネットワークドライバの送受信動作、ウィンドウマネージャによる画面制御など端末Ｃの動作に関する情報、キーボード６ａやポインティングデバイス６ｂの操作に関する情報を含めることができる。操作対象には、アプリケーション識別情報、ファイル識別情報、ＵＲＬ（Uniform Resource Locator）、外部記憶媒体の識別情報、サーバの識別情報等、ユーザの操作の対象となる情報を用いることができる。また、アプリケーション識別情報には、アプリケーション毎に排他的に割り振られた数値やアプリケーション名等、アプリケーションを一意に識別可能な情報を用いることができる。また、ファイル識別情報には、ファイル毎に排他的に割り振られた数値やファイル名（パスを含む）等、ファイルを一意に識別可能な情報を用いることができる。また、操作ログ情報には、操作内容や操作対象に付随するウィンドウ位置、サイズ、ポインティングデバイス６ｂのカーソル位置、表示物の表示座標情報、アクティブ状態等の付随情報を含めても構わない。なお、外部記憶媒体には、ＵＳＢメモリのような半導体メモリのほか、光ディスク、光磁気ディスク、磁気ディスクなどが含まれ、コンピュータ端末に接続し、データを記憶させる記憶媒体または記憶装置であれば如何なるものであっても良い。
【００２８】
なお、本実施形態では、端末識別情報として、端末Ｃの端末名を用いるが、これに限定されるものではなく、端末ＣのＩＰアドレス、ＭＡＣアドレス、端末毎に排他的に割り振られた数値等、端末Ｃを一意に特定可能な情報を用いることができる。また、日時情報は、年月日時分秒を表す文字列を用いるが、これに限定されるものではなく、特定日時（例えば、１９７０年１月１日午前０時）からの経過時間を示す数値等、日時を特定可能な情報を用いることができる。さらに、操作ログ情報には、端末Ｃを操作するユーザを特定可能なユーザ識別情報を含めても構わない。このユーザ識別情報は、端末Ｃにおけるユーザのログイン操作に基づき特定することが可能なユーザ名やユーザ毎に排他的に割り振られた数値等を用いることができる。
【００２９】
また、本実施形態において監視対象とする操作とは、ＷＥＢページの閲覧であり、その操作対象はＷＥＢページであるとして説明する。判定対象となる操作ログ情報の検出は、操作ログ情報に含まれる操作内容を用いて行う方法、操作ログ情報の操作対象を用いて行う方法等がある。
【００３０】
操作ログ情報の操作内容を用いる方法では、操作内容にＷＥＢページを閲覧するための操作を含む操作ログ情報を判定対象の操作ログ情報として検出する。具体的には、操作内容として、ＷＥＢブラウザにおけるリンク操作によるＷＥＢページ取得操作（リンクのクリック操作など）、ＵＲＬの入力によるＷＥＢページ取得操作（キーボード６ａ等による直接入力など）、ＷＥＢブラウザからネットワーク通信ソケットＡＰＩへの関数呼び出し、ＯＳのネットワークソフトウェア（具体的には、ネットワークドライバソフトウェアなど）によるＷＥＢページ取得のリクエスト実行、ＷＥＢブラウザがＷＥＢページを取得し描画完了、などが含まれる。これらの操作内容を含む操作ログ情報内の操作対象にＷＥＢページの情報（つまり、ＵＲＬ）が含まれている。
【００３１】
操作ログ情報の操作対象を用いる方法では、操作対象としてＷＥＢページを含む操作ログ情報を判定対象の操作ログ情報として検出する。この方法を用いる場合には、操作対象もしくは付随情報等にＷＥＢブラウザ等のアプリケーション情報（アプリケーション名等）を含むと好適である。
【００３２】
本実施形態では、操作ログ情報生成部１１は、監視対象となる操作（ＷＥＢページの閲覧）が行われた際に、操作ログ情報を生成するものとする。当然ながら、他の操作に関する操作ログ情報を生成しても構わないし、これ以外のタイミング、例えば一定時間間隔等で操作ログを生成しても構わない。また、本実施形態では、操作ログ情報生成部１１は操作ログ情報を生成する都度、サーバＳに対して操作ログ情報を送信する構成とするが、この送信タイミングは任意でよく、所定時間分の操作情報を一時記憶しておき、所定時間経過後送信する等、適宜変更が可能である。
【００３３】
操作ログ情報取得部３１は、上述のように各端末Ｃから送信される操作ログ情報を取得し、ハードディスク等により構成される操作ログ情報記録部２４に保存すると共に、保存している操作ログ情報から任意の抽出条件に基づく検索を行う。
【００３４】
操作対象情報生成部３２は、操作ログ情報取得部３１を介して各端末Ｃの操作ログ情報を取得し、取得した操作ログ情報の操作対象毎に操作統計を表す操作対象情報を生成する。本発明における操作統計とは、操作対象の操作状況を示したものであり、操作頻度、操作時間等に基づき算出される。操作対象情報には、操作対象と操作統計とが対応付けられて含まれている。なお、操作対象情報の生成方法の詳細は後述する。
【００３５】
特異操作判定部３３は、監視対象となる端末Ｃ（以下、特定端末と称する）の操作対象情報と、特定端末が属する集合（以下、特定集合と称する）に属する端末Ｃの操作対象情報との比較結果に基づき、特定集合における特定端末の特異な操作対象情報（以下、特異操作対象情報と称する）を判定する。本実施形態における特異とは、特定端末における操作対象情報の操作対象に対する操作統計が、特定集合における操作対象情報の操作対象に対する操作統計と著しく異なっている状態である。本実施形態では特定端末が特定集合に属する場合について記載しているが、特定端末は必ずしも特定集合に属している必要はない。なお、特異操作対象情報の判定方法の詳細は後述する。
【００３６】
特定端末と特定集合に含まれる端末の同一期間における操作ログ情報を取得し判定を行うと好適である。このようにすると、当該期間における特異な操作を行っている操作対象をより正確に把握することができる。
【００３７】
制御部３４は、特異操作判定部３３により特異操作対象情報として判定された結果に基づき所定の制御を行う。本実施形態では、制御部３４は、端末Ｃ毎に操作対象情報を一覧表示し、その際、特異操作対象情報とそれ以外の操作対象情報とを識別可能に表示を行う。これにより、制御部３４は、本発明における表示部を構成する。
【００３８】
〔操作対象情報の生成方法〕
図３は、本実施形態における操作対象情報の生成処理の流れを表すフローチャートである。なお、以下の処理は、明示がない限り操作対象情報生成部３２における処理である。
【００３９】
まず、操作ログ情報取得部３１を介して一の操作ログ情報を取得する（＃０１）。このとき、特定の期間を設定し、特定の期間内の日時情報を持つ操作ログ情報を抽出する構成としても構わない。なお、特定の期間は任意の期間であり、一日や業務時間内など、必要に応じて設定することができる。
【００４０】
取得した操作ログ情報から、端末識別情報、操作対象、操作内容を抽出する（＃０２）。
【００４１】
上述のように、本実施形態では、操作をＷＥＢページの閲覧としており、操作ログ情報から抽出される操作対象はＵＲＬである。本実施形態では、ＲＦＣ（Request For Comments）等の技術標準に基づいて、ＵＲＬからドメイン名を抽出し（＃０３）、ドメイン名を操作対象として操作対象情報を生成する。なお、上述ではドメイン名を操作対象として操作対象情報を生成しているが、ＵＲＬを操作対象として操作対象情報を生成してもよい。また、ＵＲＬを所定の範囲、長さに区切って抽出してもよく、操作対象を分類、区別する目的であれば、如何なる方法を用いてもかまわない。
【００４２】
一方、抽出された操作ログ情報から操作統計が求められる（＃０４）。本実施形態では、操作統計として、閲覧回数を用いる。すなわち、本実施形態における操作対象情報は、（端末識別情報、ドメイン名、閲覧回数）の組からなる情報であり、操作ログ情報が取得される毎に、その操作ログ情報に対応する端末識別情報、ドメイン名を持つ操作対象情報の閲覧回数がインクリメントされる（＃０５）。
【００４３】
次に、未処理の操作ログ情報の有無がチェックされ（＃０６）、未処理の操作ログ情報が存在する場合には（＃０６のYes分岐）、処理は＃０１に移行し、上述の処理が繰り返される。一方、未処理の操作ログ情報が存在しない場合には（＃０６のNo分岐）、操作対象情報の生成処理は終了する。
【００４４】
なお、操作統計は、単位時間における閲覧回数とすることもできる。この場合には、全操作ログ情報の処理が終了した後に、端末Ｃ毎に最も古い操作ログ情報の日時情報と最も新しい操作ログ情報の情報とから経過時間を算出し、各操作対象情報の閲覧回数を算出した経過時間で除することにより単位時間当たりの閲覧回数に変換する。また、直近の時間（例えば、１時間、１日、１週間等）における閲覧回数を用いてもよい。
【００４５】
また、操作統計として、操作時間を用いることもできる。本実施形態では、操作時間とは、（１）一のＷＥＢページがＷＥＢブラウザに表示されている時間、（２）一のＷＥＢページがＷＥＢブラウザに表示されており、ＷＥＢブラウザがアクティブになっている時間、（３）ＷＥＢブラウザ上にポインティングデバイス６ｂのカーソルが重畳している時間、により算出される時間、（４）ＷＥＢブラウザに対する操作回数から算出される時間のことをいうが、これらに限定されるものではなく、ＷＥＢブラウザを操作している時間を判断できる手段であれば如何なる方法を用いても構わない。各々の方法を用いた操作時間の算出方法は、以下の通りである。
【００４６】
（１）ＷＥＢページがＷＥＢブラウザに表示されている時間を算出するには、まず、一のＷＥＢページにアクセスしたことを示す操作内容を含む操作ログ情報の日時情報と、その日時情報の後、次の異なるＷＥＢページにアクセスしたことを示す操作内容を含む操作ログ情報の日時情報とをそれぞれ抽出する。そして、抽出した両者の時間の差を求め、算出された時間を、当該一のＷＥＢページにアクセスしていた時間（操作時間）とすることができる。
【００４７】
（２）一のＷＥＢページを表示しているブラウザがアクティブになっている時間を算出するには、まず、一のＷＥＢページを表示しているＷＥＢブラウザがアクティブになったことを示す操作内容を含む操作ログ情報の日時情報と、その日時情報の後、次に他のアプリケーションをアクティブに切り替える操作内容を有する操作ログ情報の日時情報とをそれぞれ抽出する。そして、抽出した両者の時間の差を求め、算出された時間を、当該一のＷＥＢページを表示しているブラウザがアクティブになっている時間（操作時間）とすることができる。さらに、その後、当該一のＷＥＢページを表示しているブラウザがアクティブに切り替わる操作ログ情報が取得された場合は、上記と同様の算出方法を繰り返し行い、既に算出した表示時間に新たに算出した表示時間を加算する。
【００４８】
（３）ＷＥＢブラウザ上にポインティングデバイス６ｂのカーソルが重畳している時間を算出するためには、まず、一のＷＥＢページにアクセスしたことを示す操作内容を含む操作ログ情報の表示座標情報及び日時情報を抽出する。さらに、ポインティングデバイスの操作を示す操作ログ情報の座標位置情報及び日時情報を抽出する。そして、抽出した両者の座標情報を比較し、両者が重畳していると判定された時点における日時情報をそれぞれ特定する。特定された日時情報から算出された時間を、ＷＥＢブラウザ上にポインティングデバイスが重畳している時間とする方法がある。なお、この方法を用いる場合には、操作ログ情報に操作画面上で表示される表示物の表示座標情報およびポインティングデバイス６ｂの座標位置情報も操作ログ情報として取得する。ここでいう表示物とは、端末Ｃで表示されているアイコンやアプリケーションのウィンドウ等を指し、表示座標情報とは、表示物の画面上の表示位置や形状、前面／背面を示す表示階層情報を含む情報である。
【００４９】
（４）ＷＥＢブラウザに対する操作回数から算出される時間を算出するためには、ＷＥＢブラウザに対する操作ログ情報の数を取得し、その数と所定の時間（例えば、１分、５分、１０分など）とを乗算した結果を、ＷＥＢブラウザを操作している時間（操作時間）とみなすことができる。さらに、操作ログ情報に含まれる操作内容の種類毎に所定の時間を変えることで、操作の内容に合わせてＷＥＢブラウザの操作時間を算出すると好適である。
【００５０】
このように、操作統計として操作時間を用いることにより、閲覧回数に基づいては把握が困難なユーザの動作を、より正確に把握することができるため、操作対象情報の精度を向上させることができる。
【００５１】
さらに、操作統計として、一のＷＥＢページを表示しているＷＥＢブラウザの表示面積を用いることもできる。ここでの表示面積とは、ＷＥＢブラウザのウィンドウのうち他のウィンドウ等で隠されていない部分の面積である。ＷＥＢブラウザの表示面積を算出する場合には、操作ログ情報に操作画面上で表示される表示物の表示座標情報を含める必要がある。この際、表示座標情報が必要となるのはＷＥＢブラウザに対する操作を示す操作ログ情報のみではなく、その他のアプリケーションやファイル等に関する操作ログ情報に対しても同様に、表示物の表示座標情報を含めておく。
【００５２】
ＷＥＢブラウザの表示面積を算出するためには、まず、一のＷＥＢページにアクセスした時点の操作ログ情報から表示座標情報を抽出し、その表示座標情報に含まれるＷＥＢブラウザの表示座標情報（ウィンドウの左上端と右下端の座標等）からＷＥＢブラウザのウィンドウの表示面積を求める。そして、取得した表示座標情報からＷＥＢブラウザのウィンドウの表示座標情報と表示階層情報を用いて、一のＷＥＢページを表示しているＷＥＢブラウザのウィンドウとそれ以外のアプリケーションのウィンドウで重畳しているものがないかを判定する。このとき、重畳するウィンドウがある場合には、そのウィンドウとＷＥＢブラウザのウィンドウの重畳する部分の面積を算出し、ＷＥＢブラウザの表示面積から重畳する部分の面積を差し引くことで実際に表示されている表示面積を算出することができる。上記の処理に基づき、操作ログ情報から各ウィンドウの面積とその重畳関係を判断することにより、操作画面に表示されているＷＥＢブラウザの表示面積を算出する。
【００５３】
このように、操作統計として表示面積を用いることにより、閲覧回数や操作時間に基づいては把握が困難な端末の操作画面上における表示形態も把握することができるため、操作対象情報の精度を向上させることができる。また、それぞれの方法を組み合わせて操作統計を算出してもよい。
【００５４】
〔特異操作対象情報の判定方法〕
図４は、本実施形態における特異操作の判定方法の処理の流れを表すフローチャートである。なお、明示した場合を除き、この処理の主体は特異操作判定部３３である。
【００５５】
まず、特異操作の判定対象となる特定端末を特定する（＃１１）。本実施形態では、ディスプレイ２に端末Ｃの一覧を表示し、管理者がポインティングデバイス３ｂ等を用いて一の端末Ｃを指定することにより特定端末を指定する。なお、本実施形態では、端末情報管理部２２から、全端末Ｃの端末識別情報を取得して、端末Ｃの一覧を生成する構成とするが、これに限定されるものではなく、操作ログ情報に含まれる端末識別情報に基づき生成する等、他の構成としても構わない。
【００５６】
次に、特定端末が属する特定集合を特定する（＃１２）。本実施形態では、特定集合は、特定端末を使用するユーザの所属部署と同一の所属部署のユーザが用いる端末Ｃにより構成される。そのため、本実施形態では、特定端末の端末識別情報をキーとして端末情報管理部２２からユーザ識別情報を取得し、取得したユーザ識別情報をキーとしてユーザ情報管理部２３から、所属部署を取得し、その所属部署と同一の所属部署に属するユーザ識別情報群を取得し、さらに端末情報管理部２２からそのユーザ識別情報に関連付けられている端末Ｃ群を取得し、それらから特定集合を構成する。なお、上述の説明では、ユーザ情報と端末情報とを用いて、特定端末が属する特定集合を特定する構成としているが、端末識別情報と端末Ｃの所属部署とを関連付けて管理することで、端末情報のみにより特定集合を特定する等、他の方法を用いて特定集合を特定する構成としても構わない。
【００５７】
なお、特定集合は、上述に限定されるものではなく、ネットワークＮに接続している全端末Ｃ、特定端末と類似する端末環境（ハードウェア構成、ソフトウェア構成等）を持つ端末Ｃ等により構成されても構わない。
【００５８】
特定端末と類似する端末環境を持つ端末をグループ化する方法は、まず、端末情報管理部２２において、ネットワーク内に接続されている端末Ｃと、その端末Ｃ内にインストールされているソフトウェア情報やその端末Ｃに接続されている外部機器情報、その端末Ｃ自体のハードウェアの仕様等の資産情報とを関連付けて保存しておく。次に、特異操作判定部３３は、端末情報管理部２２に保存された情報の中から、類似する端末環境を持つ端末識別情報を抽出し、当該端末識別情報を利用して特定集合を構成する。
【００５９】
また、類似する端末環境か否かを判定するには、例えば、インストールされているソフトウェア情報が、特定端末と所定割合以上一致している端末Ｃを、特定端末と類似する端末環境を持つ端末Ｃであるとしてグループ化する方法を用いることができる。その他、使用している外部機器が同一である場合や、端末Ｃのハードウェア情報やスペック情報が同一又は所定割合以上一致している端末Ｃを類似する端末環境であると判定することもできる。このような判定条件を用いることは、特定端末と類似するソフトウェアやハードウェア等のスペックを有する端末であれば、その使用用途も類似していると考えられるため、好適である。同様に、ハードウェアやソフトウェアの設定内容が類似するか否か等の情報を用いて特定集合を構成するようにしても構わない。なお、類似する端末環境の判定方法は、上述の方法に限定されるものではなく、端末の状態や構成の類似性が判定できるような方法であれば、他の方法を用いても構わない。
【００６０】
上記のように、特定集合は、予め定められたユーザ識別情報によって静的に決定されるものだけでなく、実際の端末の使われ方によって動的に決定される構成とすることができる。これにより、部署等のグループを予め定めておく必要がなくなり、実際に行っている作業の内容に応じて自動的に特定集合を構成することができる。例えば、端末の起動時刻やアプリケーションの起動時刻などの動的に変化する条件から特定集合を構成することができる。これにより、利用している時間帯が同じ端末を特定集合として構成することができ、また、勤務体系の違いによる特定集合の構成もできることとなる。
【００６１】
特定集合が特定されると、特定集合に属する端末Ｃの操作対象情報が操作対象情報生成部３２から取得され（＃１３）、それらに基づき特定集合における操作統計を表す集合操作対象情報が操作対象毎に生成される（＃１４）。特定集合における操作統計とは、特定集合に属する端末Ｃの操作対象に対する操作の傾向を示している。
【００６２】
本実施形態では、各々の操作対象情報の操作統計から算出される平均値、標準偏差に基づき、特定集合における操作統計を算出している。例えば、操作対象情報生成部３２から図５に示す操作対象情報が取得された場合には、操作対象は、「ドメインＡ」、「ドメインＢ」、「ドメインＣ」、「ドメインＤ」および「ドメインＥ」であり、「ドメインＡ」に係る操作対象情報（端末識別情報，ＷＥＢページ，操作統計）は、（ＰＣ０００１，ドメインＡ，５）および（ＰＣ０００２，ドメインＡ，１）の２つである。したがって、「ドメインＡ」に係る集合操作対象情報の操作統計は、各々の操作対象情報の操作統計である５、１、０および０から平均値、標準偏差値が算出され、集合操作対象情報（ドメインＡ、１．５、２．３８）が得られる。他のドメインに対する操作統計も同様に求められ、図６に示す集合操作対象情報が生成される。なお、特定端末の操作対象情報を除外して、集合操作対象情報を生成しても構わない。この場合には、特定端末の影響が除外された集合操作対象情報が生成でき、好適である。
【００６３】
次に、特定端末の操作対象情報と、上述の処理により生成された集合操作対象情報のうち同一の操作対象に対する集合操作対象情報とが比較され、その操作対象情報が特定集合において特異であるか否かが判定され、特異であると判定された操作対象情報が特異操作対象情報として抽出される（＃１５）。
【００６４】
特異であるか否かを判定する方法として、（１）操作対象情報の操作統計と集合操作対象情報の操作統計に対する平均値との比較による判定、（２）操作対象情報の操作統計と集合操作対象情報の操作統計に対する標準偏差値との比較による判定、（３）操作対象に対する操作有無による判定、（４）集合操作対象情報の操作統計による順位を用いる判定、（５）特定端末の操作対象情報の操作統計の順位と集合操作対象情報の操作統計の順位との比較による判定等を用いることができるが、特定端末の操作対象情報と集合操作対象情報を比較・対比することで特定端末の操作対象の操作状況が特異であるかを判定する目的を達する限りにおいて、さまざまな方法を用いることができる。さらに、複数の方法を組み合わせて判定を行うと、判定の精度を向上させることができ好適である。
【００６５】
〔特異操作対象情報の判定方法１〕
操作対象情報の操作統計と集合操作対象情報の操作統計に対する平均値との比較による判定方法を説明する。例えば、特定端末をＰＣ０００１とする。このとき、図５を参照すると、特定端末「ＰＣ０００１」の操作対象情報は「ドメインＡ」、「ドメインＢ」および「ドメインＤ」に対するものがある。ドメインＡに対する操作対象情報（ＰＣ０００１，ドメインＡ，５）が特異であるか否かを判定する際には、ドメインＡに対する集合操作対象情報（ドメインＡ，１．５，２．３８）との比較が行われる。すなわち、特定端末の操作対象情報の操作統計「５」と集合操作対象情報の平均値「１．５」との比較が行われ、特定端末の操作対象情報の操作統計が、集合操作対象情報の平均値から所定値ＴＨ１以上大きい場合に、その操作対象情報を特異であると判定する。例えば、ＴＨ１を２と設定した場合には、５＞１．５＋２であるので、操作対象情報（ＰＣ０００１，ドメインＡ，５）は特異であると判定される。なお、判定基準は、所定値以下小さい場合とすることも可能である。また、±２の範囲に含まれない場合を特異であると判断することも当然に可能である。
【００６６】
〔特異操作対象情報の判定方法２〕
操作対象情報の操作統計と集合操作対象情報の操作統計に対する標準偏差値との比較による判定方法を説明する。この場合には、特定端末の操作対象情報の操作統計「５」と集合操作対象情報の標準偏差「２．３８」とが比較される。例えば、特定集合に属する端末Ｃの操作対象情報の操作統計の分布が、集合操作対象情報の平均値μ、標準偏差σにより規定される正規分布Ｎ（μ、σ）に従うと仮定し、特定端末の操作対象情報の操作統計がμ＋σやμ＋２σ以上の場合に、その操作対象情報を特定であると判定する。このとき判定基準をμ＋σとすると、５＞１．５＋２．３８であり、操作対象情報（ＰＣ０００１，ドメインＡ，５）は特異であると判定され、判定基準をμ＋２σとすると、５＜１．５＋２．３８×２であり、この操作対象情報は特異でないと判定される。ここでは、判定基準μ＋σやμ＋２σ以上の場合としたがこれに限らず、たとえば判定基準μ−σやμ−２σ以下を特異であると判定するようにしてもよい。
【００６７】
〔特異操作対象情報の判定方法３〕
操作対象に対する操作有無による判定を説明する。図５の例では、特定集合はＰＣ０００１〜ＰＣ０００４の４台により構成され、このうち「ドメインＡ」を閲覧した端末ＣはＰＣ０００１、ＰＣ０００２である。つまり、「ドメインＡ」を閲覧した端末Ｃの特定集合における閲覧率は５０％となる。ここで所定値ＴＨ２を７５％とすると、特定集合における閲覧率（５０％）＜所定値ＴＨ３（７５％）となり、この操作対象は特異であると判定できる。
【００６８】
〔特異操作対象情報の判定方法４〕
集合操作対象情報の操作統計による順位を用いる判定について説明する。特定集合における操作対象の操作統計は、「ドメインＡ」が６、「ドメインＢ」が９３、「ドメインＣ」が３０、「ドメインＤ」が１、「ドメインＥ」が１６となり、降順に並べると「ドメインＢ」、「ドメインＣ」、「ドメインＥ」、「ドメインＡ」、「ドメインＤ」となる。このとき、所定値ＴＨ４を２位とし、２位以上に含まれる操作対象を特異でないとすると、特定端末の操作対象「ドメインＡ」は２位であるため、特異でないと判定される。ここでは、集合操作対象情報を操作統計の降順で整列する構成としたが、これに限定されるものではなく、昇順に並べて所定値以上（所定順位以上）を特異であると判断する構成としても構わない。さらに、所定値を上限値（上限順位）、下限値（下限順位）を設け、その範囲外の操作対象を特異であると判定する構成とすることもできる。
【００６９】
〔特異操作対象情報の判定方法５〕
特定端末の操作対象情報の操作統計の順位と集合操作対象情報の操作統計の順位との比較による判定方法について説明する。この判定方法は、特定端末の操作対象情報を操作統計の降順に整列した際の判定対象とする操作対象情報の順位と、特定集合における集合操作対象情報を操作統計の降順に整列した際の監視対象とする操作対象情報の順位とを比較し、その順位の差から特異であるか否かを判定する方法である。たとえば、特定端末「ＰＣ０００１」において操作対象情報を操作統計の降順に整列した場合、操作対象「ドメインＡ」の順位は、２位となる。これに対し、特定集合において集合操作対象情報を操作統計の降順に整列した場合、操作対象「ドメインＡ」の順位は、４位となる。したがって、順位の差は２となる。このとき、所定値ＴＨ５を３とすると、順位の差（２）＜所定値ＴＨ５（３）となり、特異でないと判断される。
【００７０】
さらに、それぞれの判定方法を組み合わせて判断しても構わない。例えば、判定方法１の結果が特異であり、判定方法２の結果が特異でなく、判定方法３の結果が特異であり、判定方法４の結果が特異でなく、判定方法５の結果が特異でないとすると、２つの判定方法において、特異であると判定されている。このとき、例えば特異とする判定基準を３であるとすると、２＜３であるため、最終の判定結果では操作対象は特異でないと判断される。また、各判定の結果に重みづけを行うことで、判定する構成としても構わない。
【００７１】
上述の説明では、各々の判定方法における判定結果は、「特異である」もしくは「特異でない」としたがこれに限定されるものではなく、各々の判定方法で算出される値を特異の度合いを示す値（特異度）として用いることも可能であり、例えば、判定対象の操作対象情報の操作統計と集合操作対象情報の平均値との差を所定の関数に代入する、正規分布における確率関数に代入する等により特異度を算出することができる。また、各々の判定方法から出力される特異の度合いを示す値を集計して合算値、平均値や関数による出力値などを求めることによって特異であるかを判定することもできる。
【００７２】
また、集合操作対象情報の平均値との差から特異度を取得することもできる。この場合、集合操作対象情報の平均値との差と特異度を関連付けて設定（図１５）し、平均値との差に対応する特異度を取得することができる。さらに、所定の値の範囲に区切り、その値の範囲ごとに集合操作対象情報の平均値との差と特異度の関連付けの設定を持たせることで、平均値に応じて特異度の関連付けの設定を選択し、適切な特異度を取得する構成としても構わない。
【００７３】
また、本実施形態では、特異操作抽出部２３は、集合操作対象情報を生成した後に、特異操作対象情報を判定する構成としたが、これに限定されるものではなく、特定端末の操作対象情報と特定集合に属する端末Ｃの操作対象情報とを比較し、それらの比較結果に基づき特異操作対象情報を判定する構成としても構わない。この場合には、上述の判定方法を適宜対応させて判定を行うことができる。
【００７４】
〔全体処理の流れ〕
次に、本実施形態における全体処理の流れを図７のフローチャートを用いて説明する。まず、管理者が、サーバＳの入力機器３を操作し、操作監視の開始をサーバＳに指示することにより、以下の処理が開始される。
【００７５】
操作監視の開始を指示されたサーバＳでは、操作対象情報生成部３２により、各端末Ｃの操作対象情報の生成が行われる（＃２１）。なお、操作対象情報の生成は、操作監視の開始が指示された時点で、初期状態から生成するのではなく、所定のタイミングで生成、または操作ログ情報が生成される毎に更新する構成とすると操作対象情報の生成が効率的に行えるため、好適である。また、管理者は、操作監視の開始の指示と共に、操作対象情報を生成する期間を指定することも可能である。この場合には、指定された期間に含まれる日時情報を持つ操作ログ情報を用いて、操作対象情報が生成される。
【００７６】
また、制御部３４により、ネットワークＮに接続されている端末Ｃのリストが端末情報管理部２２から取得され、端末Ｃの一覧がディスプレイ２に表示される（＃２２）。この一覧表示は、端末名のリスト表示、端末名を付したアイコン表示等、様々な表示態様を用いることができる。
【００７７】
管理者は、ポインティングデバイス３ｂ等を用いて、監視対象とする特定端末を指定すると、特定端末における特異操作対象情報の判定が行われる（＃２３）。このとき、特定端末の操作対象情報のうち、特異操作対象情報として判定されたものには、特異操作対象情報であることが判別可能な情報が付加され、制御部３４に送られる。特異操作対象情報であることが判別可能な情報としては、例えば、操作対象情報にフラグ領域を設け、特異操作対象情報である場合には１を、そうでない場合には０を設定することにより実現することができる。したがって、本実施形態における操作対象情報は、（端末識別情報、操作対象、操作統計、特異フラグ）の組から構成されることとなる。当然ながら、他の方法を用いて識別しても構わない。
【００７８】
特定端末の操作対象情報を取得した制御部３４は、操作対象情報を、特異操作対象情報とそれ以外の操作対象情報とを識別可能に一覧表示する（＃２４）。
【００７９】
例えば、図５および図６の例で、特定端末を「ＰＣ０００１」とし、特異操作対象情報の判定基準を正規分布Ｎ（μ、σ）におけるμ＋σとすると、操作対象情報（ＰＣ０００１，ドメインＡ，５）が特異操作対象情報として判定される。このとき、制御部３４は、図８のような一覧表示を行う。この表示例では、特定端末の操作対象情報の操作対象と操作統計とが、操作統計の降順で一覧表示されている。この際、特異操作対象情報のドメイン名を反転表示することにより、特異操作対象情報とそれ以外の操作対象情報とを識別可能にしている。当然ながら、表示態様はこれに限定されるものではなく、特異操作対象情報とそれ以外の操作対象情報との表示色を異ならせる等、本発明の目的を達する限りにおいて、他の表示態様を用いても構わない。
【００８０】
また、制御部３４による制御は、上述の一覧表示に限定されるものではなく、特異操作対象情報に関するメッセージを管理者やその特異操作対象情報に係る端末Ｃのユーザに送信する、特異操作対象情報に関する報告書の表示や印刷等、様々な態様を用いることができる。
【００８１】
なお、本実施形態では、管理者が特定端末を指定し、指定された特定端末における特異操作対象情報を判定する構成としたが、全端末Ｃを順次特定端末とし、端末Ｃ毎の特異操作対象情報を判定する構成としても構わない。
【００８２】
〔第２実施形態〕
次に、図を用いて、本発明の操作監視システムの第２実施形態を説明する。図９は、本実施形態における操作監視システムを構成するサーバＳおよび端末Ｃの機能ブロック図であり、第１実施形態と同様の機能部には、同一の符号を付している。
【００８３】
本実施形態における操作監視システムは、特異操作判定部３３により判定された特異操作対象情報に基づき、特定端末が不審な操作を行っているか否かを判定する不審端末判定部３５を備えている点において、第１実施形態と異なっている。また、制御部３４の制御態様が第１実施形態と異なっているが、他の機能部は第１実施形態と同様であるので、詳細な説明は省略する。
【００８４】
以下に、本実施形態における不審操作を行っている端末（以下、不審端末と称する）の判定方法を説明する。不審端末の判定は、単一の特異操作対象情報に基づくのではなく、二以上の特異操作対象情報に基づき行われる。例えば、（１）特定端末の特異操作対象情報の数、（２）特定端末の操作対象情報の数に対する特異操作対象情報の数の割合、（３）特定端末の特異操作対象情報の操作統計の総和（以下、これらを不審操作判定量と総称する）等を所定の閾値と比較することで、特定端末が不審な操作を行っている否かを判定する。なお、不審端末の判定方法は、本発明の目的を達する限りにおいて、他の方法を用いても構わない。
【００８５】
〔不審端末判定方法１〕
（１）の方法では、まず、特異操作判定部３３は、特定端末において特異な操作であると判定された特異操作対象情報を不審端末判定部３５に送信する。不審端末判定部３５は、取得した特異操作対象情報を計数し、その計数値を不審操作判定量とする。そして、不審端末判定部３５は、不審操作判定量と予め定めておいた所定値とを比較し、当該不審操作判定量が所定値を超えた場合に不審端末と判定する。
【００８６】
〔不審端末判定方法２〕
（２）の方法では、まず、特異操作判定部３３は、特定端末における操作対象情報と、特定端末において特異な操作であると判定された特異操作対象情報とを不審端末判定部３５に送信する。不審端末判定部３５は、取得した操作対象情報と特異操作対象情報とを計数し、操作対象情報の数に対する特異操作対象情報の数の割合を算出し、算出した値を不審操作判定量とする。そして、不審端末判定部３５は、不審操作判定量と予め定めておいた所定値とを比較し、当該不審操作判定量が所定値を超えた場合に不審端末と判定する。
【００８７】
〔不審端末判定方法３〕
（３）の方法では、まず、特異操作判定部３３は、特定端末において特異な操作であると判定された特異操作対象情報を不審端末判定部３５に送信する。不審端末判定部３５は取得した特異操作対象情報の操作統計を抽出する。この抽出処理を全ての特異操作対象情報に対して行い、抽出した操作統計の全てを合算し、合算した値を不審操作判定量とする。そして、不審端末判定部３５は、取得した不審操作判定量と予め定めておいた所定値とを比較し、当該不審操作判定量が所定値を超えた場合に不審端末と判定する。
【００８８】
なお、上記（１）から（３）の方法について、特異操作判定部３３において不審操作判定量を算出して不審端末判定部３５に送信し、不審端末判定部３５では、取得した不審操作判定量に基づいて不審端末の判定を行うという構成としてもよい。
【００８９】
以下に、図１０のフローチャートを用いて本実施形態における全体処理の流れを説明する。
【００９０】
まず、上述の方法により、操作対象情報生成部３１が、操作対象情報を生成する（＃３１）。特異操作判定部３３は、端末情報管理部２２から全端末Ｃの端末識別情報を取得し（＃３２）、その中から一の端末Ｃを特定端末として選択する（＃３３）。
【００９１】
次に、特異操作判定部３３は、上述の方法により特異操作対象情報を判定し、不審端末判定部３５に送る（＃３４）。
【００９２】
特異操作対象情報を取得した不審端末判定部３５は、上述の方法により特定端末が不審端末であるか否かを判定し、その判定結果を制御部３４に送る（＃３５）。
【００９３】
特定端末として選択されていない端末Ｃの有無が判定され（＃３６）、特定端末として選択されていない端末Ｃが存在する場合には（＃３６のYes分岐）、処理は＃３３に移行し、未選択の端末Ｃが特定端末として選択され、上述の処理が繰り返される。
【００９４】
一方、全端末Ｃが特定端末として選択されると（＃３６のNo分岐）、制御部３４は、不審端末を管理者等に知覚させるための制御を行う（＃３７）。例えば、図１１に示すように、ディスプレイ２には端末Ｃの一覧を表示し、この際、不審端末を反転表示し、それ以外の端末Ｃとを識別可能に表示している。この例では、ＰＣ０００２とＰＣ０００４とが不審端末と判定された端末Ｃであり、端末名と共に不審操作判定量を表示している。表示態様はこれに限定されるものでなく、不審端末とそれ以外の端末Ｃとを識別可能な表示態様であれば、他の表示態様を用いることができる。
【００９５】
また、制御部３４による制御は、上述のような表示を行うだけでなく、不審端末であると判定された端末Ｃを管理者や不審端末のユーザに通知する、不審端末に関する報告書の表示や印刷等を行うことができる。当然ながら、本発明の目的を達する限りにおいて、他の制御を行うこともできる。なお、所定のタイミング、または、監視対象となっている操作対象の操作ログ情報を検出する毎に不審端末の判定をすることで、不正端末をリアルタイムに検出することができる。
【００９６】
〔第３実施形態〕
上述の実施形態では、単一の集合操作対象情報に基づき、特異操作対象情報を判定していた。しかしながら、一般的には、集合の概念は様々に設定することが可能であり、特定端末は複数の集合に属する場合がある。そのため、本実施形態では、複数の集合操作対象情報に基づいた特異操作対象情報の判定を行う。なお、特異操作判定部３３以外の機能部は、上述の実施形態と同一であるので、ここでは、図１２のフローチャートに基づき、特異操作判定部３３の処理の流れのみを説明する。
【００９７】
まず、上述した実施形態と同様に、特定端末が特定されると（＃４１）、特定端末が属する集合が決定される（＃４２）。本実施形態では、上述したように、特定端末は複数の集合に属している。例えば、特定端末のユーザの所属部署に基づく集合、ユーザの職種に基づく集合、ユーザの役職に基づく集合等を用いることができる。このような集合を用いるためには、ユーザ情報管理部２２により管理されているユーザ情報に必要な情報を付加し、その情報に基づき第１実施形態と同様の方法により集合を構成することができる。
【００９８】
次に、上述の方法により決定された複数の集合から一の集合が特定集合として選択され（＃４３）、＃１３から＃１５と同様の処理により、選択された特定集合における特異操作対象情報が判定される（＃４４〜＃４６）。
【００９９】
その後、＃４２で決定された集合のうち、＃４３で選択されていない集合の有無が判定され（＃４７）、未選択集合が存在する場合には（＃４７のYes分岐）、処理は＃４３に移行し、未選択集合から一の集合が特定集合として選択され、上述の処理が繰り返される。
【０１００】
一方、未選択集合が存在しない場合には（＃４７のNo分岐）、処理は＃４８に移行し、＃４６の処理で抽出された複数の集合における特異操作対象情報を統合し、新たな特異操作対象情報が生成される（＃４８）。具体的には、各集合における特異操作対象情報の和集合が新たな特異操作対象情報となる。例えば、図１３の例では、特定端末は、集合１、集合２および集合３に属しており、各々の集合において特異操作対象情報が図のように抽出されている。これらの特異操作対象情報を統合すると、図１４に示す特異操作対象情報が生成される。すなわち、集合１における特異操作対象情報｛（ドメインＡ，２８），（ドメインＢ，２４），（ドメインＤ，１６）｝、集合２における特異操作対象情報｛（ドメインＡ，２８），（ドメインＥ，３５）｝、集合３における特異操作対象情報｛（ドメインＡ，２８），（ドメインＤ，１６）｝の和集合が、図１４の特異操作対象情報となる。この際、特異操作対象情報には、操作対象情報の特異の度合を表す特異度が算出され、付加される。すなわち、本実施形態における操作対象情報は、（端末識別情報、操作対象、操作統計、特異度）の組から構成される。なお、本実施形態における特異度とは、複数の集合にわたり、特異であると判定される度合を表している。すなわち、特異であると判定される集合が多いほど大きく、少ないほど小さくなる値である。図１４の例では、集合数に対する特異であると判定された集合数の割合を特異度としている。例えば、操作対象情報（ドメインＡ，２８）は全ての集合で特異であると判定されているため、特異度＝３／３＝１．０である。また、操作対象情報（ドメインＥ，３５）は、集合２においてのみ特異であると判定されているため、特異度＝１／３＝０．３３である。
【０１０１】
上述の説明の他、各集合の特異操作対象情報の特異の度合（以下、個別特異度と称する）を用いて算出する構成とすることもできる。この場合には、特異操作判定部３３は、操作対象情報が特異であるか否かを判定するのではなく、操作対象情報の個別特異度を算出する構成となる。
【０１０２】
また、和集合における操作対象情報の特異度の算出は、上述したものに限定されるものではなく、判定基準範囲Ｒ（例えば、μ―σ≦Ｒ≦μ＋σの範囲）を設定しておき、操作対象情報の操作統計と判定基準範囲Ｒとの差（判定基準範囲Ｒの下限値／上限値との差）を特異度と関連づけて設定しておき（図１５参照）、集合１〜３の集合操作対象情報が図１６である場合、次ようにして算出することができる。操作対象（ドメインＡ）については、集合１では判定基準範囲Ｒとの差が「１５」であるため個別特異度は「３」、集合２では判定基準範囲Ｒとの差が「２０」であるため個別特異度は「４」、集合１では判定基準範囲Ｒとの差が「８」であるため個別特異度は「２」となり、これら各集合の個別特異度を合計し、操作対象（ドメインＡ）の特異度「９」を得ることができる。また、操作対象情報の特異度を個別特異度の合計としたが、これに限定されるわけではなく、個別特異度の平均や最大、最小など、必要に応じて様々な演算を行うことで操作対象情報の特異度を算出する構成としても構わない。さらに、集合毎に重み付けを設定しておき、その重み付けを用いた演算をすることにより操作対象情報の特異度を算出する構成としても構わない。
【０１０３】
また、個別特異度から特異度を算出する場合において、各集合について共通の閾値や判定基準を用いたが、集合ごとに異なる基準を用いても構わない。
【０１０４】
なお、本実施形態では、特異操作対象情報に特異度を含めたが、単に複数の集合における特異操作対象情報を統合し、新たな特異操作対象情報を生成する構成としても構わない。また、特異操作対象情報を統合する際、各集合に重みを設定しておき、その重みに応じて統合する構成としても構わない。重みとは、集合の重要度や規模、職務範囲等の様々な要素から決定される情報であり、重みが大きいほど特異操作対象情報の統合における優先度が高いことを示すものである。例えば、各集合の重みが、集合１：「１」、集合２：「１」、集合３：「２」であり、集合１、集合２、集合３の特異操作対象情報のうち、集合３のみが操作対象（ドメインＡ）を含んでいないとする。このとき、集合１および集合２での特異度が、集合３の重み付けに応じた所定の閾値以下である場合、集合３の特異操作対象情報を優先し、操作対象（ドメインＡ）に対する操作対象情報は特異ではないと判定する。逆に、集合１および集合２の特異度が、集合３の重み付けに応じた所定の閾値を超える場合には、操作対象（ドメインＡ）に対する操作対象情報は特異であると判定する。
【０１０５】
〔別実施形態〕
（１）上述の実施形態では、端末Ｃにおける操作対象をＷＥＢページとして説明したが、上述したように、端末Ｃにおける操作対象をファイルやアプリケーションとすることもできる。このとき、前者の場合には、ファイル名、ファイルが保存されているフォルダ／ファイルサーバ等を単位として操作対象情報を生成し、後者の場合には、アプリケーション名、アプリケーション種別（文書作成アプリケーション、表計算アプリケーション、メーラ、ＷＥＢブラウザ等）等を単位として操作対象情報を生成する。
【０１０６】
（２）上述の実施形態では、特異操作判定部３３は、単一の尺度（アクセス回数）に基づく操作統計に基づき操作対象情報が特異であるか否かを判定したが、複数の尺度に基づく操作統計を用いて判定することもできる。例えば、操作統計として操作回数、操作時間を採用し、これらの操作統計に基づき判定する構成とすることもできる。例えば、操作回数と操作時間との関係を示す近似直線を求め、その近似直線を含む所定の範囲内に操作対象情報が含まれているかを判定することで、その操作対象情報が特異であるかを判定することができる。
【０１０７】
（３）上述の実施形態では、操作監視システムは、複数の端末ＣおよびサーバＳから構成されていたが、サーバＳの機能部の一部を備えた管理端末を設置し、負荷分散を図ることもできる。また、サーバＳの機能部を各端末Ｃに備え、各端末ＣをサーバＳとして機能させる構成とすることもできる。また、サーバＳの操作ログ情報取得部３１、操作ログ情報記憶部２４、操作対象情報生成部３２を各端末Ｃに備える構成とすることもできる。
【０１０８】
（４）上述の実施形態では、所定期間における不審操作判定量に基づき、不審操作を判定するものであるが、特異操作対象情報保存部（図示せず）に特異操作対象情報を保存しておき、時系列に沿った不審操作判定量の変化に基づき、不審操作を判定することもできる。例えば、過去における複数の期間を設定し、上述した方法により期間毎に特異操作対象情報を抽出し、抽出した特異操作対象情報に基づき、期間毎の不審操作判定量を算出する。このとき、時系列に沿って不審操作判定量の推移を観察し、変位が顕著となった期間があれば、不審な操作が行われたと判定することができる。なお、顕著な変位の検出は、不審操作判定量の時間微分値と所定の閾値とを比較する等により実現することができる。
【０１０９】
（５）上述の実施形態では、端末Ｃ毎に特異操作の判定を行ったが、操作ログ情報に含まれるユーザ識別情報を用いて、ユーザ毎に特異操作の判定行っても構わない。
【０１１０】
この場合には、複数の端末が接続された操作監視システムにおいて、前記端末を使用するユーザのユーザ識別情報を取得するとともに、前記端末におけるユーザの操作に係る操作対象を含む操作ログ情報を取得する操作ログ情報取得部と、前記操作ログ情報から当該ユーザにおける前記操作対象の操作統計を表す操作対象情報を生成する操作対象情報生成部と、一の前記ユーザの操作対象情報と、当該一のユーザが属する集合に属する複数のユーザの操作対象情報との比較結果に基づき、当該集合における当該一のユーザの特異な操作対象情報を特異操作対象情報として判定する特異操作判定部と、を備える構成となる。
【０１１１】
なお、特異操作判定部は、一のユーザが複数の集合に属する場合に、当該集合毎の一のユーザの特異操作対象情報を判定し、当該判定された特異操作対象情報に基づき新たな特異操作対象情報を生成する構成とすることもできる。
【０１１２】
この構成では、一のユーザの操作対象情報とその一のユーザの属する集合（たとえば、役職、所属などのユーザの属性情報によって判定される集合）に属するユーザの操作対象情報とが比較され、その比較結果に基づき、一のユーザの操作対象情報がその集合に対して特異であるか否かが判定される。この構成とすることで、ユーザに対して使用する端末が固定化されていない場合でもユーザの操作対象に対する操作が特異であるか否かを判定することができる。さらに、ユーザが複数の集合に属する場合においては、それぞれの集合において特異操作対象情報を抽出することで新たに特異操作対象情報を得ることができ、集団において特異か否かを総合的にかつ高い精度で判断することができる。
【０１１３】
（６）上述の実施形態では、操作対象に対する操作の特異性を判定したが、操作ログ情報に含まれる操作内容の特異性を判定することも可能である。
【０１１４】
この場合には、複数の端末が接続された操作監視システムにおいて、前記端末における操作に係る操作内容を含む操作ログ情報を取得する操作ログ情報取得部と、前記端末の前記操作ログ情報から当該端末における前記操作内容の操作統計を表す操作対象情報を生成する操作対象情報生成部と、一の前記端末の操作対象情報と、所定の集合に属する複数の端末の操作対象情報との比較結果に基づき、当該集合における当該一の端末の特異な操作対象情報を特異操作対象情報として判定する特異操作判定部と、を備える構成となる。
【０１１５】
この構成では、特定端末における操作内容の操作統計を表す操作対象情報と、所定の集合における操作対象情報とが比較され、その比較結果に基づき、特定端末の操作対象情報がその集合に対して特異であるか否かが判定される。この構成とすることで、特定端末における操作内容に対して特異であるかを判定することができる。
【０１１６】
例えば、特定端末における操作内容「ファイルのコピー」に対する操作対象情報の操作統計（この実施形態では、操作回数とする）が「３２」であり、集合１の操作内容「ファイルのコピー」に対する集合操作対象情報の操作統計が「２２」であるとする。ここでは、集合１の操作内容「ファイルのコピー」に対する集合操作対象情報の操作統計は、操作回数の平均値を用いるが、最大値や最小値、標準偏差など他の統計値等を用いてもかまわない。そして、特定端末の操作対象情報の操作統計「３２」と集合１の操作対象情報の操作統計「２２」を比較し、所定の閾値ＴＨを「８」とした場合、特定端末の操作対象情報の操作統計が、集合１の操作対象情報の操作統計を所定の閾値ＴＨ以上超えているため、特定端末における操作内容「ファイルのコピー」は、特異であると判定される。
【０１１７】
同様に、特定端末Ｃの操作内容「ファイルの削除」に対する操作対象情報の操作統計が「３」であり、集合１の操作内容「ファイルの削除」に対する操作対象情報の操作統計が「８」であるとすると、特定端末の操作統計が、集合１の集合操作対象情報の操作統計を超えていないため、特定端末における操作内容「ファイルの削除」は、特異でないと判定される。
【０１１８】
上述の説明では、操作内容を「ファイルのコピー」と「ファイルの削除」としたが、操作内容はこれに限定されるものではなく、「メールの送信」「ＵＳＢの挿入」「アプリケーションの起動」「アプリケーションの終了」「ＷＥＢページの閲覧」等、端末Ｃの操作を示す操作内容であれば、様々な操作内容を用いることができる。
【０１１９】
このような構成とすることにより、特定端末における操作内容が特異であるか否かを判定することができる。また、上述の説明では、特異操作の判定において操作回数用いたが、これに限定されるものではなく、これまでに述べてきた操作対象に対する特異の判定と同様、様々な情報を使用することができる。また、端末に変えてユーザにおける操作内容とすることも可能である。
【０１２０】
（７）上述の実施形態の操作統計の生成は、操作対象に対するキーボード６ａもしくはポインティングデバイス６ｂの操作を用いてもよい。つまり、キーボード６ａやポインティングデバイス６ｂ等の入力機器６の操作を取得し、操作対象に対して行われた操作であるかを判定する。操作対象に対して行われた操作であると判定した場合には、その操作の数を積算し操作統計に用いる。入力機器６の操作は、操作ログ情報として取得してもよいし、デバイス操作情報取得部（図示せず）を設け、操作対象生成部３２が入力機器６の操作をそのデバイス操作情報取得部から取得するようにしてもよい。
【０１２１】
また、キーボード６ａやポインティングデバイス６ｂの操作が操作対象に対して行われたかを判定する手段として、アプリケーションが起動中に行われた場合、アプリケーションがアクティブ状態に行われた場合、アプリケーションが入力機器６の操作に関する情報（イベントメッセージなど）を受信した場合などを用いることで判定する。
【０１２２】
（８）上述の実施形態の操作統計の生成は、操作対象に対する操作内容を用いることで、よりユーザの操作内容を反映した操作統計を取得するようにしてもよい。つまり、操作内容毎に操作レベル値をあらかじめ設定しておき、操作対象情報生成部３２は、操作対象に対する操作ログ情報を取得すると、操作ログ情報に含まれる操作内容を抽出し、その操作内容に対応する操作レベル値を取得する。この操作レベル値を累計した値を操作統計として生成する。例えば、図１７に示すような操作レベル値が操作内容に対して予め設定されている場合に、所定期間内に操作内容が「ＷＥＢページの閲覧」が３回、「ブラウザ起動」が６回、「ＷＥＢページに入力」が１回発生したとすると、操作統計として｛（３回×１０ｐｔ）＋（６回×１ｐｔ）＋（１回×１５ｐｔ）｝＝５１ｐｔが求められる。
【０１２３】
（９）上述の実施形態の制御部３４における表示部は、特異操作対象情報に含まれる操作対象情報の特異度の大きさに応じて色・文字サイズ等の操作対象情報の表示形態を変更するようにしてもよい。つまり、操作対象情報の特異度が大きい場合は、より識別性を高くし、特異度が小さい場合は、より識別性を低くすることができる。これによって、グループにおいてどの程度特異な操作を行っているかを容易に判断することができる。
【０１２４】
（１０）上述の実施形態において、動的に特定集合を構成することもできることを記載しているが、この場合に、いずれの特定集合にも含まれない端末Ｃを特定し、その端末Ｃをグループ化した特定集合を構成しても構わない。このようにして構成した特定集合において端末Ｃの特異操作対象情報を判定してもよいし、特定端末における不審端末を特定するようにしてもよい。
【０１２５】
（１１）上述の実施形態においては、制御部３４の表示部における制御のみを記載しているがこれに限定されるものではない。特異操作対象情報や不審端末の情報を一覧で表示したり、報告書形式で出力（印刷等を含む）など、適宜、必要に応じた制御を行ってもよい。
【０１２６】
（１２）上述の実施形態においては、操作された全ての操作対象を判定の対象としたがこれに限定されるものではない。特定集合における操作統計が所定の閾値を超える操作対象に対してのみ特異操作対象情報であるかを判定するようにしてもよい。これにより、当該システムにおける判定処理の軽減や判定結果の精度を向上させることができる。
【０１２７】
（１３）上述の実施形態においては、操作内容がＷＥＢページの閲覧である操作ログ情報に基づき操作対象情報を求めたが、さらに限定した操作内容の操作ログ情報のみを用いて操作対象情報を生成しても構わない。たとえば、ＷＥＢページに対する操作ログ情報であって、操作内容がＷＥＢページへの情報の書き込み操作やデータのアップロード操作などの所定の操作内容を持つ操作ログ情報のみを抽出し、その操作ログ情報から操作対象に対する操作対象情報を求めるようにする。これによって、より監視が必要な操作内容に限定して判定することができるため、監視の精度を向上させることができ、管理者の負担を軽減することができる。
【０１２８】
（１４）上述の実施形態において、ＷＥＢページへのアクセス方法に基づいて操作対象情報を生成しても構わない。ＷＥＢページのアクセス方法には、検索サイトからのアクセスやＵＲＬを直接入力してのアクセス、ブックマークからのアクセス等、様々な方法がある。そのため、操作ログ情報にＷＥＢページにどうやってアクセスしたかを示すアクセス元の情報を記録しておき、このアクセス元の情報に基づいて操作対象情報を生成する。つまり、操作ログ情報に含まれるアクセス元の情報から、ＷＥＢページに対するアクセスが所定のアクセス元からのものであると判定できる場合は、その操作ログ情報については、操作対象に対する操作統計の算出からは除外し、操作対象に対する操作対象情報を生成する。このようにすることで、所定のアクセス元からのアクセスであるかを判定でき、意図的に業務外のＷＥＢページへアクセスしている、危険なＷＥＢページへアクセスしているなど監視の対象とすべき操作に限定して判定ができるため、監視の精度を向上し、管理者の負担を軽減することができる。
【０１２９】
（１５）上述の実施形態において、操作対象に対する操作の時間帯に基づいて操作対象情報を生成しても構わない。この場合、操作の時間帯毎に評価ポイントを設けておき、操作毎に評価ポイントを算出する。そして、その評価値を操作対象毎に集計したものを操作統計として、操作対象情報を生成する。また、これに限らず、予め操作対象に対する操作が最も多い時間帯、最も少ない時間帯等を特定し、その時間帯から評価ポイントを決定したものを用いて、操作対象情報を生成してもよい。例えば、休日や操作対象に対するアクセスが少ない時間帯は、評価ポイントを高くするなどである。これにより、操作対象に対する操作の時間帯（業務時間内、業務時間外、早朝、深夜、平日、休日等）を加味して判定することができ、監視の精度を向上させることができる。
【図面の簡単な説明】
【０１３０】
【図１】本発明による操作監視システムのシステム構成図
【図２】本発明による操作監視システムの第１実施形態における機能ブロック図
【図３】本発明による操作監視システムの操作対象情報の生成処理の流れを表すフローチャート
【図４】本発明による操作監視システムの特異操作対象情報の抽出処理の流れを表すフローチャート
【図５】本発明による操作監視システムの実施形態における操作対象情報の例
【図６】本発明による操作監視システムの実施形態における集合操作対象情報の例
【図７】本発明による操作監視システムの全体処理の流れを表すフローチャート
【図８】本発明による操作監視システムの第１実施形態における表示例
【図９】本発明による操作監視システムの第２実施形態における機能ブロック図
【図１０】本発明による操作監視システムの第２実施形態における全体処理の流れを表すフローチャート
【図１１】本発明による操作監視システムの第２実施形態における表示例
【図１２】本発明による操作監視システムの第３実施形態における特異操作対象情報の判定処理の流れを表すフローチャート
【図１３】本発明による操作監視システムの第３実施形態における集合毎における特異操作対象情報の例
【図１４】本発明による操作監視システムの第３実施形態における統合された特異操作対象情報の例
【図１５】本発明による操作監視システムの実施形態における特異度を規定したテーブルの例
【図１６】本発明による操作監視システムの第３実施形態における集合操作対象情報の例
【図１７】本発明による操作監視システムの別実施形態における操作レベル値を規定したテーブルの例
【符号の説明】
【０１３１】
３１：操作ログ情報取得部
３２：操作対象情報生成部
３３：特異操作判定部
３４：制御部
【特許請求の範囲】
【請求項１】
複数の端末が接続された操作監視システムにおいて、
前記端末における操作に係る操作対象を含む操作ログ情報を取得する操作ログ情報取得部と、
前記端末の前記操作ログ情報から当該端末における前記操作対象の操作統計を表す操作対象情報を生成する操作対象情報生成部と、
一の前記端末の操作対象情報と、所定の集合に属する複数の端末の操作対象情報との比較結果に基づき、当該集合に対する当該一の端末の特異な操作対象情報を特異操作対象情報として判定する特異操作判定部と、
を備えたことを特徴とする操作監視システム。
【請求項２】
前記特異操作判定部は、前記集合に対する前記一の端末の操作対象情報の特異の度合いを示す特異度を算出し、当該特異度に基づいて前記特異操作対象情報を判定することを特徴とする請求項１記載の操作監視システム。
【請求項３】
前記特異操作判定部は、前記所定の集合に属する複数の端末の操作対象情報に基づいて集合操作対象情報を生成し、前記集合操作対象情報と前記一の端末の操作対象情報とを比較することにより特異操作対象情報を判定することを特徴とする請求項１または２記載の操作監視システム。
【請求項４】
前記集合に前記一の端末を含み、前記一の端末を有する前記集合が複数存在する場合に、
前記特異操作判定部は、当該集合毎の当該一の端末の特異操作対象情報を判定し、前記判定結果に基づき新たな特異操作対象情報を生成することを特徴とする請求項１から３のいずれか一項に記載の操作監視システム。
【請求項５】
前記端末の前記操作対象情報を表示する表示部を備え、
前記表示部は、前記特異操作対象情報とそれ以外の操作対象情報とを識別可能に表示することを特徴とする請求項１から４のいずれか一項に記載の操作監視システム。
【請求項６】
前記特異操作対象情報に基づき、前記端末が不審な操作を行っているか否かを判定する不審端末判定部を備えたことを特徴とする請求項１から５のいずれか一項に記載の操作監視システム。
【請求項７】
複数の端末とサーバとが接続された端末監視システムのための操作監視プログラムにおいて、
前記端末における操作に係る操作対象を含む操作ログ情報を取得する操作ログ情報取得機能と、
前記端末の前記操作ログ情報から当該端末における前記操作対象毎の操作統計を表す操作対象情報を生成する操作対象情報生成機能と、
一の前記端末の操作対象情報と、所定の集合に属する複数の端末の操作対象情報との比較結果に基づき、当該集合に対する当該一の端末の特異な操作対象情報を特異操作対象情報として判定する特異操作判定機能と、
をコンピュータに実現する操作監視プログラム。
【請求項１】
複数の端末が接続された操作監視システムにおいて、
前記端末における操作に係る操作対象を含む操作ログ情報を取得する操作ログ情報取得部と、
前記端末の前記操作ログ情報から当該端末における前記操作対象の操作統計を表す操作対象情報を生成する操作対象情報生成部と、
一の前記端末の操作対象情報と、所定の集合に属する複数の端末の操作対象情報との比較結果に基づき、当該集合に対する当該一の端末の特異な操作対象情報を特異操作対象情報として判定する特異操作判定部と、
を備えたことを特徴とする操作監視システム。
【請求項２】
前記特異操作判定部は、前記集合に対する前記一の端末の操作対象情報の特異の度合いを示す特異度を算出し、当該特異度に基づいて前記特異操作対象情報を判定することを特徴とする請求項１記載の操作監視システム。
【請求項３】
前記特異操作判定部は、前記所定の集合に属する複数の端末の操作対象情報に基づいて集合操作対象情報を生成し、前記集合操作対象情報と前記一の端末の操作対象情報とを比較することにより特異操作対象情報を判定することを特徴とする請求項１または２記載の操作監視システム。
【請求項４】
前記集合に前記一の端末を含み、前記一の端末を有する前記集合が複数存在する場合に、
前記特異操作判定部は、当該集合毎の当該一の端末の特異操作対象情報を判定し、前記判定結果に基づき新たな特異操作対象情報を生成することを特徴とする請求項１から３のいずれか一項に記載の操作監視システム。
【請求項５】
前記端末の前記操作対象情報を表示する表示部を備え、
前記表示部は、前記特異操作対象情報とそれ以外の操作対象情報とを識別可能に表示することを特徴とする請求項１から４のいずれか一項に記載の操作監視システム。
【請求項６】
前記特異操作対象情報に基づき、前記端末が不審な操作を行っているか否かを判定する不審端末判定部を備えたことを特徴とする請求項１から５のいずれか一項に記載の操作監視システム。
【請求項７】
複数の端末とサーバとが接続された端末監視システムのための操作監視プログラムにおいて、
前記端末における操作に係る操作対象を含む操作ログ情報を取得する操作ログ情報取得機能と、
前記端末の前記操作ログ情報から当該端末における前記操作対象毎の操作統計を表す操作対象情報を生成する操作対象情報生成機能と、
一の前記端末の操作対象情報と、所定の集合に属する複数の端末の操作対象情報との比較結果に基づき、当該集合に対する当該一の端末の特異な操作対象情報を特異操作対象情報として判定する特異操作判定機能と、
をコンピュータに実現する操作監視プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【公開番号】特開２０１０−１０８４６９（Ｐ２０１０−１０８４６９Ａ）
【公開日】平成２２年５月１３日（２０１０．５．１３）
【国際特許分類】
【出願番号】特願２００８−３１２２１１（Ｐ２００８−３１２２１１）
【出願日】平成２０年１２月８日（２００８．１２．８）
【出願人】（５９９１０８２４２）Ｓｋｙ株式会社 (257)
【Ｆターム（参考）】
【公開日】平成２２年５月１３日（２０１０．５．１３）
【国際特許分類】
【出願日】平成２０年１２月８日（２００８．１２．８）
【出願人】（５９９１０８２４２）Ｓｋｙ株式会社 (257)
【Ｆターム（参考）】
[ Back to top ]