JP4516816B2 - 記録媒体への書込みログ取得装置、方法およびそのためのプログラム - Google Patents

Description

本発明は、記録媒体への書込みログ取得装置、方法およびそのためのプログラムに関し、特に、コンピュータ内のファイルをＣＤ−Ｒなどの光ディスク記録媒体に書込む時にログを取得する記録媒体への書込みログ取得装置、方法およびそのためのプログラムに関する。

コンピュータ内のファイルをフレキシブルディスク（ＦＤ）やＵＳＢメモリにコピーして外部に持ち出したときのログを取得する方法として、指定フォルダの状態変化を監視しておき、状態が変化したときにそのイベントを取得し、コピーされたファイルの情報を取得する方法がある（特許文献１参照）。
また、プリンタから印刷された情報、日時、出力者などの履歴を蓄積しておき、蓄積された情報を検索可能とし、情報が漏洩したとき履歴を追跡可能とする手段を設け、情報の漏洩を抑止力とする機密漏洩防止のためのネットワーク印刷システムが開示されている（特許文献２参照）。

特開２００２−０４１３５９号公報 特開２００４−１１８２４３号公報の段落［００１３］

一般に特許文献１に記載されているような従来技術によるログ取得方法は、オペレーティングシステム（ＯＳ）のファイルシステムを介した操作に対しては有効である。しかしながら、ＣＤ−Ｒなど（ＣＤ−ＲＷ、ＤＶＤ−Ｒ、ＤＶＤ−ＲＷを含む）の光ディスク記録媒体への書込みは、ＯＳのファイルシステムを介さず、アプリケーションプログラムとして動作するライティングソフト独自のドライバを介して、記録媒体へ直接書込みを行うため、光ディスク記録媒体への書込み時にイベントを取得できず、コピーされたファイルの情報を取得することはできない。それゆえ、情報の漏洩に対する厳重な管理ができない。端的に言えば、誰がそのファイルをコンピュータから外部に持ち出したかを、後で特定することができない。

本発明は、上記従来技術のログ取得方法がもつ問題点を解決するためになされたものであり、コンピュータ内の情報をＯＳのファイルシステムを介さず、ライティングソフトなどの独自のドライバを介して、勝手に外部の記録媒体に直接書込むことを抑止することで、コンピュータ内の情報の外部への漏洩を厳重に管理することを目的とする。具体的には、コンピュータ内のファイルを光ディスク記録媒体へ書込む時にログを取得する記録媒体への書込みログ取得装置、方法およびそのためのプログラムを提供することを目的とする。

上記目的を達成する本発明によるログ取得装置は、コンピュータ内のファイルが記録媒体に書込まれたログを取得する記録媒体への書込みログ取得装置であって、ファイルアクセスのイベントを検出するイベント検出手段と、前記イベント検出手段が前記ファイルアクセスを検出したとき、リード・ライトの情報およびリードされたファイルサイズを含む前記ファイルの情報を読込む読込手段と、前記イベント検出手段により前記ファイルアクセスがクローズであることを検出したとき、前記読込まれたファイルの情報に基づいて、前記ファイルをオープンしクローズするまでの間にリードだけが行われ、かつ前記リードされたファイルサイズがオペレーティングシステムにより管理されるファイルサイズに等しいと判定される場合に、前記読込手段が読込んだ前記ファイルの情報をログとして記憶部に出力するログ取得手段と、を備える。

上記ログ取得装置において、前記リードが複数回実行された場合、前記リードされたファイルサイズは前記複数回のリードでリードされたファイルサイズの合計となるようにすることができる。

上記目的を達成する本発明によるログ取得方法は、ファイルアクセスのイベントを検出するイベント検出手段と、ファイルの情報を読込む読込手段と、前記読み込まれたファイルの情報をログとして出力するログ取得手段とを備え、コンピュータ内のファイルが記録媒体に書込まれたログを取得する、記録媒体への書込みログ取得装置におけるログ取得方法であって、前記イベント検出手段によりファイルアクセスのイベントを検出するステップと、前記イベント検出ステップで前記ファイルアクセスを検出したとき、前記読込手段がリード・ライトの情報およびリードされたファイルサイズを含む前記ファイルの情報を読込むステップと、前記イベント検出ステップで前記ファイルアクセスがクローズであることを検出したとき、前記ログ取得手段が、前記読込まれたファイル情報に基づいて、前記ファイルをオープンしクローズするまでの間にリードだけが行われ、かつ前記リードされたファイルサイズがオペレーティングシステムにより管理されるファイルサイズに等しいと判定する場合に、前記読込ステップで読込まれた前記ファイルの情報をログとして記憶部に出力するステップと、を有する。

上記目的を達成する本発明によるプログラムは、コンピュータ内のファイルが記録媒体に書込まれたログを取得するために用いられるプログラムであって、前記コンピュータを、ファイルアクセスのイベントを検出するイベント検出手段、前記イベント検出手段が前記ファイルアクセスを検出したとき、リード・ライトの情報およびリードされたファイルサイズを含む前記ファイルの情報を読込む読込手段、前記イベント検出手段により前記ファイルアクセスがクローズであることを検出したとき、前記読込まれたファイル情報に基づいて、前記ファイルをオープンしクローズするまでの間にリードだけが行われ、かつ前記リードされたファイルサイズがオペレーティングシステムにより管理されるファイルサイズに等しいと判定される場合に、前記読込手段が読込んだ前記ファイルの情報をログとして記憶部に出力するログ取得手段、として機能させる。

本発明によれば、ライティングソフト独自の方法により、ＣＤ−Ｒなどの光ディスク記録媒体へデータを書込んだ場合にも、書込んだファイルの情報をログとして取得することができ、ひいてはコンピュータ内のファイルを勝手に外部の記録媒体に直接書込むことを抑止することで、コンピュータ内の情報の外部への漏洩を厳重に管理できる。
また、本発明によれば、コンピュータ内のデータの漏洩で一番よくあるパターンがファイルを全部コピーして持ち出すものなので、このような場合のログを取得しておくことで、コンピュータ内の情報の外部への漏洩を厳重に管理できる。

以下、添付図面を参照しつつ本発明の実施形態を詳細に説明する。
図１は本発明によるログ取得装置の一実施形態を示す図である。図１に示すログ取得装置１は、例えばパーソナルコンピュータからなり、コンピュータ本体、キーボードやマウス等の入力装置、表示ユニットやプリンタ等の出力装置およびコンピュータ本体とＬＡＮやインターネットを介した外部のコンピュータとの間でプログラムやデータを送受信する通信装置を有する（図示せず）。

上記コンピュータ本体は、ＣＰＵ、ＣＰＵが実行するプログラムやデータの一時記憶エリアおよびＣＰＵのワークエリアに用いられる主記憶装置としてのＲＡＭ、固定のプログラムやデータを記憶するＲＯＭ、必要に応じてＲＡＭに書込まれるプログラムやデータを格納する、例えば磁気ディスク１５からなる補助記憶装置、フレキシブルディスクＦＤやコンパクトディスクＣＤ等のようなプログラムやデータの記録媒体の読取装置および書込み可能な、例えば光ディスク（ＣＤ−Ｒ）２にデータを書込むための書込専用装置等を有する。ＣＰＵ、ＲＡＭ、ＲＯＭ、補助記憶装置、読取装置および書込専用装置は、バスラインを介して互いに通信可能に接続されている。また、ＣＰＵまたは固定のプログラムには、入出力機能や磁気ディスクやメモリの管理など、多くのアプリケーションソフトから共通して利用される基本的な機能を提供するオペレーティングシステム（ＯＳ）が含まれる。

従来のパーソナルコンピュータでは、磁気ディスク１５内に格納されているファイル１５１を光ディスク（ＣＤ−Ｒ）２に書込む場合、先ず磁気ディスク１５からファイル１５１をＯＳのファイルシステム１１を介して読込む。その後、ファイル１５１をＣＤ−Ｒ２に書込む時には、光ディスクへのデータ書込み専用ソフトウェアであるライティングソフト１３がライティングソフト専用ドライバ１４をドライブしてＣＤ−Ｒ２にファイル１５１をＯＳのファイルシステム１１を介さず直接書込んでいた。すなわち、ＯＳのファイルシステム１１を介さず、ライティングソフト独自のドライバ１４を介して、直接ＣＤ−Ｒ２に書込みを行うため、光ディスク記録媒体への書込み時にイベントを取得できず、コピーされたファイルの情報を取得することができなかった。

本発明は、光ディスク記録媒体への書込み時は、ライティングソフト１３独自のライティングソフト専用ドライバ１４を介して書込むため、ファイル情報を取得する事はできないが、読込み時は通常のファイルアクセス同様、ＯＳのファイルシステム１１を介して読込むので、ファイル情報を取得する事ができる点に着目した。すなわち、ライティングソフト１３が起動している間、アプリケーションプログラムがＯＳのファイルシステム１１を介して行うファイルアクセスを監視し、読込んだファイルの情報から光ディスク記録媒体ＣＤ−Ｒ２へファイルをコピーしたか否かを判定し、ＣＤ−Ｒ２へのファイルのコピーを行った可能性があるものについてログとして取得する。

よって、本発明によるログ取得装置の実施形態では、ファイル１５１をＣＤ−Ｒ２に書込む際に、ライティングソフト１３がＯＳのファイルシステム１１およびログ取得プログラム１２を介してファイル１５１を読込んだ後にライティングソフト専用ドライバ１４をドライブしてＣＤ−Ｒ２に書込むように構成されている。ログ取得プログラム１２は、アプリケーションプログラムからＯＳのファイルシステム１１の呼び出しのタイミングで実行される。具体的には、ログ取得プログラムをファイルシステム１１の呼び出しをフックするよう事前に登録しておく。以下に、ログ取得プログラム１２の処理ルーチンをフローチャートを用いて説明する。

図２は図１に示すログ取得装置に用いられるログ取得プログラムのフローチャートである。
ステップＳ２００では、アプリケーションプログラムからＯＳのファイルシステム１１の呼び出しがファイルアクセスがオープンの要求か否かを判定し、判定結果がＹＥＳのときはステップＳ２０１に進み、ＮＯのときはステップＳ２１０に進む。
ステップＳ２０１では、ファイルアクセスルーチン（ＯＳのファイルシステム１１）を呼び出しファイルをオープンし、次いでステップＳ２０２に進み、ファイル名、ＲＥＡＤサイズおよびＷＲＩＴＥの有無等の情報をメモリに一時記憶されるテーブルに登録する。この時点ではＷＲＩＴＥの有無は無である。

図３は図１に示すログ取得装置内に格納されるログファイルの作成時に用いられるテーブルの具体例を示す図である。ステップＳ２０２では、図３の第１行目に示されているように、上記登録時にファイル名：ｆｉｌｅ１、ＲＥＡＤサイズ：１０２４バイトおよびＷＲＩＴＥの有無：無をテーブルに登録し、ステップＳ２５０に進む。このステップＳ２０２の処理は，図３の第２、３行目に示されているように、ファイルがオープンされクローズされるまでの間に複数回繰り返される。
ステップＳ２１０では、ファイルアクセスがライトの要求か否かを判定し、判定結果がＹＥＳのときはステップＳ２１１に進み、ＮＯのときはステップＳ２２０に進む。
ステップＳ２１１では、指定されたファイル名に対応するエントリのＷＲＩＴＥの有無が有りとしてテーブルに登録し、次いでステップＳ２１２に進み、フィルアクセスルーチンを呼び出してライト処理を実行する。

ところで、リードされた全てのファイルがＣＤ−Ｒ２にコピーされるわけではないため、単純に読込んだ全てのファイルの情報を取得すると、実際に書込んだファイル以外の余分な情報まで取得してしまうので、これらの情報を除く必要がある。このため、ファイルアクセス時に以下の条件１、２を満たす読込みを行ったファイルを、ＣＤ−Ｒ２へ書込んだファイルと判断し、そのファイルの情報だけをログとして取得するようにする。

＜条件１＞：ファイルをオープンしクローズするまでの間にリードだけが行われ、ライトなどが行われていない。
何故ならば、コピーしようとしているファイルを更新することは有り得ないので、＜条件１＞を満たさない場合はＣＤ−Ｒ２へ書込むことを目的としたファイルアクセスではないと見なす。
＜条件２＞：読込まれたデータサイズが、ファイルの実サイズ（オペレーティングシステムで管理しているファイルサイズ）と一致する。
何故ならば、一般にファイルをコピーしようとする場合、ファイル全体をコピーすることが殆どであるため、ファイルの一部分のみを読み込んだ場合はファイルのコピーを行っていないと見なすことができる。よって、＜条件２＞を満たさない場合、ＣＤ−Ｒ２へ書込むことを目的としたファイルアクセスではないものと見なす。以下に、条件１、２を満たすファイルをログに記録するためのステップを記す。

また、以下に記すように、ファイルのリードは１回のリードで全て読込まれるとは言えず、ファイルをオープンした後何回かのリードで全てを読込みファイルをクローズすることが多い。
ステップＳ２２０では、ファイルアクセスがリードの要求か否かを判定し、判定結果がＹＥＳのときはステップＳ２２１に進み、ＮＯのときはステップＳ２３０に進む。
ステップＳ２２１では、フィルアクセスルーチンを呼び出し、次いでステップＳ２２２に進み、ファイルアクセスルーチンから返却されたＲＥＡＤサイズをファイル名（例えばｆｉｌｅ２）に対応するエントリのＲＥＡＤサイズに加算する。

ステップＳ２３０では、ファイルアクセスがクローズの要求か否かを判定し、判定結果がＹＥＳのときはステップＳ２３１に進み、ＮＯのときはステップＳ２４０に進む。
ステップＳ２３１では、ファイルアクセスルーチンを呼び出しファイルのクローズ処理を行う。ステップＳ２３２ではステップＳ２３１でクローズしたファイルが上で示した条件１及び条件２を満足するものであるか否かの判定を行い両条件を満足する場合にのみログファイルへの出力を行う。ログファイルへの出力の形式については後述する。続いて、ステップＳ２２３に進み、クローズしたファイルのエントリをテーブルから削除する。この関連情報がログファイルとしてコンピュータ内に格納され、コンピュータ内の情報の外部への漏洩の管理に利用される。
ステップＳ２４０では、ファイルアクセスルーチンを呼び出す。
ステップＳ２５０では、アプリケーションプログラムへ処理を戻す。

図４は光ディスク記録媒体へ書込む時に取得されるログファイルの一覧表を示す図であり、図２に示すフローチャートにおけるステップＳ２３２で取得されたログファイルの一具体例を示している。図３に示すテーブル内のファイル名、ｆｉｌｅ１、ｆｉｌｅ２およびｆｉｌｅ３に対応して図４に示す表では、ファイル名、Ｅ：￥００００００１．ｔｅｘ、Ｅ：￥００００００２．ｔｅｘおよびＥ：￥００００００３．ｔｅｘが示されている。この一覧表には、オペレーティングシステム（ＯＳ）が自身のコンピュータの情報を問合せて得る出力年月日、出力時分秒、マシン名、ＩＰアドレスおよびユーザ名が表示され、さらにファイル名も表示される。ログ取得装置１の操作者は、必要に応じて何時でもこの一覧表を画面表示したりプリントアウトしたりすることができる。

図５は本発明による複数のログ取得装置からの情報漏洩をサーバが監視する一形態を示す図である。複数のクライアント１０１、１０２、…、１０ｎは上述した本発明のログ取得装置であり、各クライアントは、それぞれ内臓の磁気ディスク１０５１、１０５２、…、１０５ｎを有し、それぞれの光ディスク（ＣＤ−Ｒ）２０１、２０２、…、２０ｎに各クライアントに格納されたファイルを書込むことができる。サーバ５００は、一般的な大型コンピュータであり、記憶容量の大きい磁気ディスク５０１を有し、各クライアントにインターネットまたはＬＡＮを介して接続されている。
各クライアントは、図１〜４を用いて説明したようにログファイルを独立に格納しているが、ログファイルが生成される毎にサーバ５００に生成されたログファイルをサーバ５００に転送する。サーバ５００はこれを受けて磁気ディスク５０１に各クライアントに格納されたログファイルを格納し、複数のクライアントからの情報の流出を監視する。

本発明によるログ取得装置の一実施形態を示す図である。 図１に示すログ取得装置に用いられるログ取得プログラムのフローチャートである。 図１に示すログ取得装置内に格納されるログファイルの作成時に用いられるテーブルの具体例を示す図である。 光ディスク記録媒体へ書込む時に取得されるログファイルの一覧表を示す図である。 本発明による複数のログ取得装置からの情報漏洩をサーバが監視する一形態を示す図である。

符号の説明

１ ログ取得装置
２ 光ディスク（ＣＤ−Ｒ）
１１ ＯＳファイルシステム
１２ ログ取得プログラム
１３ ライティングソフト
１４ ライティングソフト専用ドライバ
１５、５０１ 磁気ディスク
１０１、１０２、…、１０ｎ クライアント
５００ サーバ（監視装置）

Claims (5)

1. コンピュータ内のファイルが記録媒体に書込まれたログを取得する記録媒体への書込みログ取得装置であって、
   ファイルアクセスのイベントを検出するイベント検出手段と、
   前記イベント検出手段が前記ファイルアクセスを検出したとき、リード・ライトの情報およびリードされたファイルサイズを含む前記ファイルの情報を読込む読込手段と、
   前記イベント検出手段により前記ファイルアクセスがクローズであることを検出したとき、前記読込まれたファイルの情報に基づいて、前記ファイルをオープンしクローズするまでの間にリードだけが行われ、かつ前記リードされたファイルサイズがオペレーティングシステムにより管理されるファイルサイズに等しいと判定される場合に、前記読込手段が読込んだ前記ファイルの情報をログとして記憶部に出力するログ取得手段と、
   を備えることを特徴とするログ取得装置。
2. 前記リードが複数回実行された場合、前記リードされたファイルサイズは前記複数回のリードでリードされたファイルサイズの合計となる請求項１に記載のログ取得装置。
3. ファイルアクセスのイベントを検出するイベント検出手段と、ファイルの情報を読込む読込手段と、前記読み込まれたファイルの情報をログとして出力するログ取得手段とを備え、コンピュータ内のファイルが記録媒体に書込まれたログを取得する、記録媒体への書込みログ取得装置におけるログ取得方法であって、
   前記イベント検出手段によりファイルアクセスのイベントを検出するステップと、
   前記イベント検出ステップで前記ファイルアクセスを検出したとき、前記読込手段がリード・ライトの情報およびリードされたファイルサイズを含む前記ファイルの情報を読込むステップと、
   前記イベント検出ステップで前記ファイルアクセスがクローズであることを検出したとき、前記ログ取得手段が、前記読込まれたファイルの情報に基づいて、前記ファイルをオープンしクローズするまでの間にリードだけが行われ、かつ前記リードされたファイルサイズがオペレーティングシステムにより管理されるファイルサイズに等しいと判定する場合に、前記読込ステップで読込まれた前記ファイルの情報をログとして記憶部に出力するステップと、
   を有することを特徴とするログ取得方法。
4. 前記リードが複数回実行された場合、前記リードされたファイルサイズは前記複数回のリードでリードされたファイルサイズの合計となる請求項３に記載のログ取得方法。
5. コンピュータ内のファイルが記録媒体に書込まれたログを取得するために用いられるプログラムであって、
   前記コンピュータを、
   ファイルアクセスのイベントを検出するイベント検出手段、
   前記イベント検出手段が前記ファイルアクセスを検出したとき、リード・ライトの情報およびリードされたファイルサイズを含む前記ファイルの情報を読込む読込手段、
   前記イベント検出手段により前記ファイルアクセスがクローズであることを検出したとき、前記読込まれたファイルの情報に基づいて、前記ファイルをオープンしクローズするまでの間にリードだけが行われ、かつ前記リードされたファイルサイズがオペレーティングシステムにより管理されるファイルサイズに等しいと判定される場合に、前記読込手段が読込んだ前記ファイルの情報をログとして記憶部に出力するログ取得手段、
   として機能させることを特徴とするプログラム。

Images