JP2002111667A - ログ保存装置 - Google Patents
ログ保存装置Info
- Publication number
- JP2002111667A JP2002111667A JP2000302014A JP2000302014A JP2002111667A JP 2002111667 A JP2002111667 A JP 2002111667A JP 2000302014 A JP2000302014 A JP 2000302014A JP 2000302014 A JP2000302014 A JP 2000302014A JP 2002111667 A JP2002111667 A JP 2002111667A
- Authority
- JP
- Japan
- Prior art keywords
- data
- recording
- network
- log storage
- storage device
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Landscapes
- Computer And Data Communications (AREA)
- Signal Processing For Digital Recording And Reproducing (AREA)
- Management Or Editing Of Information On Record Carriers (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
(57)【要約】
【課題】 インターネットやネットワーク上で得たデー
タを改竄されない状態で保存することができ、外部や内
部からの不正な使用や侵入の解析を可能にするログ保存
装置を提供する。 【解決手段】 ネットワーク３０に接続されるログ保存
装置３４は、ネットワーク３０上のＩＰパケット及びヘ
ッダを含むデータをその種類に拘わらず記録する一次高
速メモリ４３と、一次高速記憶媒体４３に記録されたデ
ータを一時的に格納し、所定の大きさにブロック化して
出力する二次ストレージ４５と、二次ストレージ４５か
ら出力されたブロック化データを書き換え不能に記録す
るデータ書込み器５１とを備えている。
タを改竄されない状態で保存することができ、外部や内
部からの不正な使用や侵入の解析を可能にするログ保存
装置を提供する。 【解決手段】 ネットワーク３０に接続されるログ保存
装置３４は、ネットワーク３０上のＩＰパケット及びヘ
ッダを含むデータをその種類に拘わらず記録する一次高
速メモリ４３と、一次高速記憶媒体４３に記録されたデ
ータを一時的に格納し、所定の大きさにブロック化して
出力する二次ストレージ４５と、二次ストレージ４５か
ら出力されたブロック化データを書き換え不能に記録す
るデータ書込み器５１とを備えている。
Description
【０００１】
【発明の属する技術分野】本発明は、インターネットや
ネットワークにおけるセキュリティに好適に使用できる
ログ保存装置に関わるものである。
ネットワークにおけるセキュリティに好適に使用できる
ログ保存装置に関わるものである。
【０００２】
【従来の技術】近年、インターネットや社内ネットワー
クは、外部からの攻撃や、内部からの不正アクセス等に
より、企業活動に影響を及ぼすほど重大な影響を受ける
基盤となってきた。ネットワーク・トラフィックの常時
監視とコンピュータの利用状況（ログ）の保存とは、上
記のような攻撃や不正アクセスに対するセキュリティを
確保するために欠くことができない要件となりつつあ
る。
クは、外部からの攻撃や、内部からの不正アクセス等に
より、企業活動に影響を及ぼすほど重大な影響を受ける
基盤となってきた。ネットワーク・トラフィックの常時
監視とコンピュータの利用状況（ログ）の保存とは、上
記のような攻撃や不正アクセスに対するセキュリティを
確保するために欠くことができない要件となりつつあ
る。
【０００３】例えば、ネットワークへの侵入やクラッキ
ングは、その手口が年々悪質かつ高度なものになってき
ており、発生した際の対応もさることながら、事後対策
を講じることが重要である。このため、ログを採取して
或る期間保存する等の処置が採られている。
ングは、その手口が年々悪質かつ高度なものになってき
ており、発生した際の対応もさることながら、事後対策
を講じることが重要である。このため、ログを採取して
或る期間保存する等の処置が採られている。
【０００４】図３に示すように、ネットワークのアクテ
ィビティでは、サーバ等のシステムロギングファイル
（以下Syslogという）を使ってどのようなＩＰパケット
の授受が行われたかを保存している。図３において、Ｏ
Ｓ・ソフトウェアシステム１１は、ＮＩＣ（Net Inter
face Card）１２を介してネットワーク１０に接続され
ている。ＮＩＣ１２、ＮＩＣ用ドライバ１３およびＴＣ
Ｐ／ＩＰ・プロトコル・スタック１５はＩＰアドレスや
ドメイン名を持ち、ＴＣＰ／ＩＰ・プロトコルの管理や
ネットワークに参画している。なお以下の説明ではＵＮ
ＩＸ（登録商標）の例を示すが、他のＯＳについても基
本的には同様である。
ィビティでは、サーバ等のシステムロギングファイル
（以下Syslogという）を使ってどのようなＩＰパケット
の授受が行われたかを保存している。図３において、Ｏ
Ｓ・ソフトウェアシステム１１は、ＮＩＣ（Net Inter
face Card）１２を介してネットワーク１０に接続され
ている。ＮＩＣ１２、ＮＩＣ用ドライバ１３およびＴＣ
Ｐ／ＩＰ・プロトコル・スタック１５はＩＰアドレスや
ドメイン名を持ち、ＴＣＰ／ＩＰ・プロトコルの管理や
ネットワークに参画している。なお以下の説明ではＵＮ
ＩＸ（登録商標）の例を示すが、他のＯＳについても基
本的には同様である。
【０００５】ＯＳ・ソフトウェアシステム１１は、ＮＩ
Ｃ用ドライバ１３と、ＴＣＰ／ＩＰ・プロトコル・スタ
ック１５と、ＴＣＰ／ＩＰ・プロトコル・スタック１５
に接続されたＯＳカーネル１７とを備えている。ＯＳカ
ーネル１７は、ＯＳの中核的部分であって、メモリー管
理、割込み管理、プロセス間通信といったシステムの基
本的な制御を行う。
Ｃ用ドライバ１３と、ＴＣＰ／ＩＰ・プロトコル・スタ
ック１５と、ＴＣＰ／ＩＰ・プロトコル・スタック１５
に接続されたＯＳカーネル１７とを備えている。ＯＳカ
ーネル１７は、ＯＳの中核的部分であって、メモリー管
理、割込み管理、プロセス間通信といったシステムの基
本的な制御を行う。
【０００６】また、ＯＳ・ソフトウェアシステム１１
は、ＴＣＰ／ＩＰ・プロトコル・スタック１５及びＯＳ
カーネル１７と連係するアプリケーション１６と、ＯＳ
カーネル１７に接続されたSyslog（ＵＮＩＸにおいてシ
ステムメッセージを書き込むコマンド（又はログファイ
ル））サービス１９と、Syslogサービス１９に接続され
たSyslogファイル２０とを備える。Syslogファイル２０
には、管理者権限により実行されるログ解析ツール２１
が接続されている。
は、ＴＣＰ／ＩＰ・プロトコル・スタック１５及びＯＳ
カーネル１７と連係するアプリケーション１６と、ＯＳ
カーネル１７に接続されたSyslog（ＵＮＩＸにおいてシ
ステムメッセージを書き込むコマンド（又はログファイ
ル））サービス１９と、Syslogサービス１９に接続され
たSyslogファイル２０とを備える。Syslogファイル２０
には、管理者権限により実行されるログ解析ツール２１
が接続されている。
【０００７】
【発明が解決しようとする課題】ところで、図３に示し
た従来のＯＳ・ソフトウェアシステム１１では、ログ解
析ツール２１において管理者権限が奪われた場合、Sysl
og自体が消去、改竄される可能性がある。ネットワーク
・トラフィックにおけるログの記録は、ファイア・ウォ
ールや専用のサーバで行われるが、そのデータが正し
い、或いは、改竄されていないとは必ずしも断言するこ
とはできない。特に外部からの侵入者には、ログを消去
して痕跡を残さない者もいる。そのような場合、ログか
ら足取りを追って対策を講じるようとしても、適切な処
置を採ることができない。
た従来のＯＳ・ソフトウェアシステム１１では、ログ解
析ツール２１において管理者権限が奪われた場合、Sysl
og自体が消去、改竄される可能性がある。ネットワーク
・トラフィックにおけるログの記録は、ファイア・ウォ
ールや専用のサーバで行われるが、そのデータが正し
い、或いは、改竄されていないとは必ずしも断言するこ
とはできない。特に外部からの侵入者には、ログを消去
して痕跡を残さない者もいる。そのような場合、ログか
ら足取りを追って対策を講じるようとしても、適切な処
置を採ることができない。
【０００８】また、記録媒体としてのハードディスク
（ＨＤＤ）が用いられている場合、ハードディスクは、
記録内容の書き換え、或いは、ファイルシステムの破壊
が比較的容易に行え、しかもシステム内部からの改竄の
可能性もある。このため、クラッキングから記録情報を
できる限り確実に保護するためには、書き替え不可能な
メディアを用意する処置が必要になる。因みに、ネット
ワークの不正行為は、８０％が内部犯行という調査記録
もある。
（ＨＤＤ）が用いられている場合、ハードディスクは、
記録内容の書き換え、或いは、ファイルシステムの破壊
が比較的容易に行え、しかもシステム内部からの改竄の
可能性もある。このため、クラッキングから記録情報を
できる限り確実に保護するためには、書き替え不可能な
メディアを用意する処置が必要になる。因みに、ネット
ワークの不正行為は、８０％が内部犯行という調査記録
もある。
【０００９】本発明は、上記したような従来の技術が有
する問題点を解決するためになされたものであり、イン
ターネットやネットワーク上で得たデータを改竄できな
い状態で保存することができ、外部や内部からの不正な
使用や侵入の解析を可能にするログ保存装置を提供する
ことを目的とする。
する問題点を解決するためになされたものであり、イン
ターネットやネットワーク上で得たデータを改竄できな
い状態で保存することができ、外部や内部からの不正な
使用や侵入の解析を可能にするログ保存装置を提供する
ことを目的とする。
【００１０】
【課題を解決するための手段】上記目的を達成するため
に、本発明のログ保存装置は、インターネット又はネッ
トワークに接続されるログ保存装置であって、インター
ネット又はネットワーク上のＩＰパケット及びヘッダを
含むデータをその種類に拘わらず記録する第１の記録手
段と、該第１の記録手段に記録されたデータを一時的に
格納し、所定の大きさにブロック化して出力する第２の
記録手段と、該第２の記録手段から出力されたブロック
化データを書き換え不能に記録する第３の記録手段とを
備えることを特徴とするログ保存装置を提供する。
に、本発明のログ保存装置は、インターネット又はネッ
トワークに接続されるログ保存装置であって、インター
ネット又はネットワーク上のＩＰパケット及びヘッダを
含むデータをその種類に拘わらず記録する第１の記録手
段と、該第１の記録手段に記録されたデータを一時的に
格納し、所定の大きさにブロック化して出力する第２の
記録手段と、該第２の記録手段から出力されたブロック
化データを書き換え不能に記録する第３の記録手段とを
備えることを特徴とするログ保存装置を提供する。
【００１１】本発明のログ保存装置では、インターネッ
ト又はネットワーク上で得られる全てのデータを第３の
記録手段に書き換え不能の状態で保存することにより、
保存した全てのデータの改竄を確実に阻止することがで
きる。
ト又はネットワーク上で得られる全てのデータを第３の
記録手段に書き換え不能の状態で保存することにより、
保存した全てのデータの改竄を確実に阻止することがで
きる。
【００１２】ここで、第３の記録手段は、１回の書込み
のみ可能なＣＤ−Ｒ(CD-Recordable)及び／又はＤＶＤ
−Ｒ(DVD-Recordable)から成る記録媒体と、書込み処理
が終了したＣＤ−Ｒ及び／又はＤＶＤ−Ｒを未使用のＣ
Ｄ−Ｒ及び／又はＤＶＤ−Ｒに交換するオートチェンジ
ャとを備えることが好ましい。この場合、データ解析の
ため全てのデータを記録する第３の記録手段を比較的廉
価に得ることができる。
のみ可能なＣＤ−Ｒ(CD-Recordable)及び／又はＤＶＤ
−Ｒ(DVD-Recordable)から成る記録媒体と、書込み処理
が終了したＣＤ−Ｒ及び／又はＤＶＤ−Ｒを未使用のＣ
Ｄ−Ｒ及び／又はＤＶＤ−Ｒに交換するオートチェンジ
ャとを備えることが好ましい。この場合、データ解析の
ため全てのデータを記録する第３の記録手段を比較的廉
価に得ることができる。
【００１３】また、第１、第２及び第３の記録手段を制
御する制御手段を更に備え、該制御手段は、オートチェ
ンジャを制御して、書き込み済みの読出しのみ可能な記
録媒体の順番を管理し、日付、時間、内容を検索するこ
とにより、問題発生時の前後のイベントを報知すること
も好ましい態様である。この場合、第３の記録手段に記
録されたデータを使用して、外部や内部からの不正な使
用や侵入の解析を円滑に行い、そのデータ解析に基づい
て、侵入に対する有効な対策を講じることができる。
御する制御手段を更に備え、該制御手段は、オートチェ
ンジャを制御して、書き込み済みの読出しのみ可能な記
録媒体の順番を管理し、日付、時間、内容を検索するこ
とにより、問題発生時の前後のイベントを報知すること
も好ましい態様である。この場合、第３の記録手段に記
録されたデータを使用して、外部や内部からの不正な使
用や侵入の解析を円滑に行い、そのデータ解析に基づい
て、侵入に対する有効な対策を講じることができる。
【００１４】
【発明の実施の形態】以下、図面を参照し、本発明の一
実施形態例に基づいて本発明を更に詳細に説明する。図
１は、本実施形態例に係るログ保存装置を示す図であ
る。
実施形態例に基づいて本発明を更に詳細に説明する。図
１は、本実施形態例に係るログ保存装置を示す図であ
る。
【００１５】図１において、ネットワーク３０には、Ｏ
Ｓ・ソフトウェアシステム３１と、ログ保存装置３４と
が接続されている。ＯＳ・ソフトウェアシステム３１
は、ＩＰアドレスを外部から特定できないように構成さ
れたＮＩＣ用ドライバ３２と、ＮＩＣ用ドライバ３２を
介してネットワーク３０に接続されたカーネル３３と、
カーネル３３に接続されたSyslog３５とを備えている。
Ｓ・ソフトウェアシステム３１と、ログ保存装置３４と
が接続されている。ＯＳ・ソフトウェアシステム３１
は、ＩＰアドレスを外部から特定できないように構成さ
れたＮＩＣ用ドライバ３２と、ＮＩＣ用ドライバ３２を
介してネットワーク３０に接続されたカーネル３３と、
カーネル３３に接続されたSyslog３５とを備えている。
【００１６】一方、ログ保存装置３４は、ネットワーク
３０に接続された物理層インターフェース（以下物理層
i/fという）３６（ＭＡＣ(Media Access Control)層
のうち送信機能を省いたもの）と、物理層i/f３６に接
続されたリンク層３７（受信のみ）とを備える。物理層
i/f３６は、パケットの種類を問わずにネットワーク３
０からデータ（トラフィック）を取り込み、ヘッダを解
析してネットワーク層のレベルで扱う形でデータ化す
る。物理層i/f３６は、IPアドレスが無い。また、リン
ク層３７は、ヘッダを先頭としたパケット化される部分
である。
３０に接続された物理層インターフェース（以下物理層
i/fという）３６（ＭＡＣ(Media Access Control)層
のうち送信機能を省いたもの）と、物理層i/f３６に接
続されたリンク層３７（受信のみ）とを備える。物理層
i/f３６は、パケットの種類を問わずにネットワーク３
０からデータ（トラフィック）を取り込み、ヘッダを解
析してネットワーク層のレベルで扱う形でデータ化す
る。物理層i/f３６は、IPアドレスが無い。また、リン
ク層３７は、ヘッダを先頭としたパケット化される部分
である。
【００１７】リンク層３７には、処理系（ＬＩＮＫ）３
９が接続され、処理系３９を介して処理系４０が接続さ
れている。処理系３９、４０は、Ethernet（登録商標）
STDに準ずるパケット処理系を構成している。処理系
３９は、ＴＣＰ／ＩＰ・プロトコル系のIP、ICP、UDP、
SNMP、ICPM、ARPを含み、処理系４０は、ＴＣＰ／ＩＰ
・プロトコル系のNFS、RPC、FTP、TELNET、SMTP、POP、
NNTP(rx)や、ＵＮＩＸ系のコマンドrlogin、rcp、finge
rを含む。
９が接続され、処理系３９を介して処理系４０が接続さ
れている。処理系３９、４０は、Ethernet（登録商標）
STDに準ずるパケット処理系を構成している。処理系
３９は、ＴＣＰ／ＩＰ・プロトコル系のIP、ICP、UDP、
SNMP、ICPM、ARPを含み、処理系４０は、ＴＣＰ／ＩＰ
・プロトコル系のNFS、RPC、FTP、TELNET、SMTP、POP、
NNTP(rx)や、ＵＮＩＸ系のコマンドrlogin、rcp、finge
rを含む。
【００１８】更に、処理系４０には、タイマ４２が接続
されたパケット・タイム・スタンプ４１が接続され、パ
ケット・タイム・スタンプ４１には、半導体メモリから
成る一次高速メモリ（ＲＡＭ）４３が接続されている。
一次高速メモリ４３には、ディスクアレイ４６、４７を
有する二次ストレージ４５が接続され、二次ストレージ
４５にはデータ書込み器５１が接続されている。これら
一次高速メモリ４３、二次ストレージ４５及びデータ書
込み器５１は、コンソール５０が接続された制御装置４
９によりそれぞれの動作が制御される。
されたパケット・タイム・スタンプ４１が接続され、パ
ケット・タイム・スタンプ４１には、半導体メモリから
成る一次高速メモリ（ＲＡＭ）４３が接続されている。
一次高速メモリ４３には、ディスクアレイ４６、４７を
有する二次ストレージ４５が接続され、二次ストレージ
４５にはデータ書込み器５１が接続されている。これら
一次高速メモリ４３、二次ストレージ４５及びデータ書
込み器５１は、コンソール５０が接続された制御装置４
９によりそれぞれの動作が制御される。
【００１９】一次高速メモリ４３は、ネットワーク上の
ＩＰパケット及びヘッダを含むデータをその種類に拘わ
らず記録する。
ＩＰパケット及びヘッダを含むデータをその種類に拘わ
らず記録する。
【００２０】二次ストレージ４５は、データを比較的低
速な記録デバイス（ＨＤＤ等）に記録するもので、一次
高速メモリ４３に記録されたデータを一時的に格納し、
所定の大きさにブロック化してデータ書込み器５１に出
力する。記録デバイスは、ＲＡＩＤ技術により複数台に
ディスクが分割されて書込み時間待ちが最小にされると
ともに、低速なデータ書込み器５１へのバッファの役目
をするために複数のグループ（ディスクアレイ４６、４
７）に分割されている。この構成により、或るグループ
への記録中、他のグループは低速書込み器であるデータ
書込み器５１のバッファとなる。
速な記録デバイス（ＨＤＤ等）に記録するもので、一次
高速メモリ４３に記録されたデータを一時的に格納し、
所定の大きさにブロック化してデータ書込み器５１に出
力する。記録デバイスは、ＲＡＩＤ技術により複数台に
ディスクが分割されて書込み時間待ちが最小にされると
ともに、低速なデータ書込み器５１へのバッファの役目
をするために複数のグループ（ディスクアレイ４６、４
７）に分割されている。この構成により、或るグループ
への記録中、他のグループは低速書込み器であるデータ
書込み器５１のバッファとなる。
【００２１】データ書込み器５１は、二次ストレージ４
５から出力されたブロック化データを書き換え不能に記
録するもので、複数設けられていてもよく、二次ストレ
ージ４５からのブロック化データを、１回の書込みのみ
可能なＣＤ−Ｒ及び／又はＤＶＤ−Ｒに書き換え不能に
書き込む。
５から出力されたブロック化データを書き換え不能に記
録するもので、複数設けられていてもよく、二次ストレ
ージ４５からのブロック化データを、１回の書込みのみ
可能なＣＤ−Ｒ及び／又はＤＶＤ−Ｒに書き換え不能に
書き込む。
【００２２】データ書込み器５１は、書込みが終了した
メディア（書込み済みのＣＤ−Ｒ、ＤＶＤ−Ｒ）とブラ
ンクメディア（未使用のＣＤ−Ｒ、ＤＶＤ−Ｒ）とを交
換するオートチェンジャ５２を有している。
メディア（書込み済みのＣＤ−Ｒ、ＤＶＤ−Ｒ）とブラ
ンクメディア（未使用のＣＤ−Ｒ、ＤＶＤ−Ｒ）とを交
換するオートチェンジャ５２を有している。
【００２３】制御装置４９はオートチェンジャ５２を制
御して、書込み済みのメディア（記録媒体）の順番を管
理し、日付、時間、内容を検索することにより、問題が
発生した時間の前後のイベントを、図示しない表示部に
表示する。これにより、データ書込み器５１でメディア
に記録されたデータを使用し、外部や内部からの不正な
使用や侵入の解析を円滑に行い、そのデータ解析に基づ
いて、侵入に対する有効な対策を講じることができる。
御して、書込み済みのメディア（記録媒体）の順番を管
理し、日付、時間、内容を検索することにより、問題が
発生した時間の前後のイベントを、図示しない表示部に
表示する。これにより、データ書込み器５１でメディア
に記録されたデータを使用し、外部や内部からの不正な
使用や侵入の解析を円滑に行い、そのデータ解析に基づ
いて、侵入に対する有効な対策を講じることができる。
【００２４】制御装置４９は、メディアへの記録を全て
時間に対してシーケンシャルに行うが、細分化されたＩ
Ｐパケットの再生と特定イベントの拾い出しとを、ヘッ
ダの解析によって行う。
時間に対してシーケンシャルに行うが、細分化されたＩ
Ｐパケットの再生と特定イベントの拾い出しとを、ヘッ
ダの解析によって行う。
【００２５】次に、本実施形態例に係るログ保存装置の
全体処理について説明する。まず、処理系３９により、
ＩＰパケットをパケット毎に切り出す（ＭＡＣ、ＬＩＮ
Ｋの動作）。この際、ＩＰパケットの内容は関知せず、
パケット単位のみで切り出す。次いで、処理系４０は、
フィルタリングを望む場合、例えばＳＭＴＰ、ＰＯＰの
み必要なe-mailのストレーンを行う場合にのみ動作す
る。
全体処理について説明する。まず、処理系３９により、
ＩＰパケットをパケット毎に切り出す（ＭＡＣ、ＬＩＮ
Ｋの動作）。この際、ＩＰパケットの内容は関知せず、
パケット単位のみで切り出す。次いで、処理系４０は、
フィルタリングを望む場合、例えばＳＭＴＰ、ＰＯＰの
み必要なe-mailのストレーンを行う場合にのみ動作す
る。
【００２６】引き続き、パケット・タイム・スタンプ４
１が、切り出されたＩＰパケットにタイム・スタンプを
付ける。この際、タイマ４２は絶対時間を付ける（yy,m
m,dd,hh,mm,sec,MS,ms）。そして、パケット毎に切り出
されたＩＰパケットは、一次高速メモリ４３に高速で記
録される。これにより、一次高速メモリ４３には、ＩＰ
パケット及びヘッダを含むデータがその種類に拘わらず
記録される。
１が、切り出されたＩＰパケットにタイム・スタンプを
付ける。この際、タイマ４２は絶対時間を付ける（yy,m
m,dd,hh,mm,sec,MS,ms）。そして、パケット毎に切り出
されたＩＰパケットは、一次高速メモリ４３に高速で記
録される。これにより、一次高速メモリ４３には、ＩＰ
パケット及びヘッダを含むデータがその種類に拘わらず
記録される。
【００２７】例えば、最少４６byteのデータを有するＩ
Ｐパケットが512バイト+プリアンブル64バイトの場合、
パケット間GAP0.96μsは「5.76+0.96μs =6.72μs/Pake
t」である。また、ＩＰパケットが1500Byteの場合、パ
ケット間GAP0.96μsは「122μs+0.96μs=122.96μs/Pak
et」である。よって、一次高速メモリ４３では、80ns/B
yte以上の書込み速度があれば良いことになる。
Ｐパケットが512バイト+プリアンブル64バイトの場合、
パケット間GAP0.96μsは「5.76+0.96μs =6.72μs/Pake
t」である。また、ＩＰパケットが1500Byteの場合、パ
ケット間GAP0.96μsは「122μs+0.96μs=122.96μs/Pak
et」である。よって、一次高速メモリ４３では、80ns/B
yte以上の書込み速度があれば良いことになる。
【００２８】一次高速メモリ４３に記録されたＩＰパケ
ットは、ディスクアレイの最大待ち時間、つまり、１ト
ラックの最大回転待ち時間＋シークタイムであり、通常
7200rpmのディスクで12.3ms (8.3ms+4ms)をバッファさ
れた後、二次ストレージ４５へ転送される。一次高速メ
モリ４３は、書込みと読出しとがバンク構成とされて、
双方の動作が同時に実行可能に構成される。
ットは、ディスクアレイの最大待ち時間、つまり、１ト
ラックの最大回転待ち時間＋シークタイムであり、通常
7200rpmのディスクで12.3ms (8.3ms+4ms)をバッファさ
れた後、二次ストレージ４５へ転送される。一次高速メ
モリ４３は、書込みと読出しとがバンク構成とされて、
双方の動作が同時に実行可能に構成される。
【００２９】二次ストレージ４５は、複数のディスクに
対して並列に読み書きを行うストライピングにより書込
み／読出しが高速化されている。二次ストレージ４５
は、１書込み毎にディスクの回転を待たされることのな
い構造、或いは、ディスク内に大容量のバッファを有す
る構造とすることができる。
対して並列に読み書きを行うストライピングにより書込
み／読出しが高速化されている。二次ストレージ４５
は、１書込み毎にディスクの回転を待たされることのな
い構造、或いは、ディスク内に大容量のバッファを有す
る構造とすることができる。
【００３０】二次ストレージ４５では、ディスクアレイ
４６、４７に蓄積されるＩＰパケット等のデータが、デ
ータ書込み器５１におけるメディアがＣＤ−Ｒの場合に
約６４０ＭＢ単位で切り出してブロック化され、また、
メディアがＤＶＤ−Ｒの場合に４．７ＧＢ単位でブロッ
ク化されて、データ書込み器５１へ転送される。つま
り、ＣＤ−Ｒの場合には、ＩＰパケットは、タイマ４２
で付与されるタイムスタンプを含む１単位が約６４０Ｍ
Ｂになるように切り出される。
４６、４７に蓄積されるＩＰパケット等のデータが、デ
ータ書込み器５１におけるメディアがＣＤ−Ｒの場合に
約６４０ＭＢ単位で切り出してブロック化され、また、
メディアがＤＶＤ−Ｒの場合に４．７ＧＢ単位でブロッ
ク化されて、データ書込み器５１へ転送される。つま
り、ＣＤ−Ｒの場合には、ＩＰパケットは、タイマ４２
で付与されるタイムスタンプを含む１単位が約６４０Ｍ
Ｂになるように切り出される。
【００３１】次いで、データ書込み器５１において、Ｃ
Ｄ−ＲＯＭ及び／又はＤＶＤ−Ｒが、オートチェンジャ
５２の自動チェンジャ機能により、１枚の書込みが終了
する毎にブランクメディアと交換される。
Ｄ−ＲＯＭ及び／又はＤＶＤ−Ｒが、オートチェンジャ
５２の自動チェンジャ機能により、１枚の書込みが終了
する毎にブランクメディアと交換される。
【００３２】一方、読出し時には、データ記録済みのメ
ディアは、データ先頭のタイムスタンプで管理される。
複数枚のＣＤ−ＲＯＭ及び／又はＤＶＤ−ＲＯＭは、オ
ートチェンジャ５２等で読み出され、ＩＰパケットの本
来の状態を復元され、これにより、必要な流れを追うこ
とが可能になる。処理は、物理層i/f３６、リンク層３
７、アプリケーションのレイヤに添って行う。検索は、
レイヤ毎、パケット種類、日時等で、ごく普通に行うデ
ータ検索が可能である。
ディアは、データ先頭のタイムスタンプで管理される。
複数枚のＣＤ−ＲＯＭ及び／又はＤＶＤ−ＲＯＭは、オ
ートチェンジャ５２等で読み出され、ＩＰパケットの本
来の状態を復元され、これにより、必要な流れを追うこ
とが可能になる。処理は、物理層i/f３６、リンク層３
７、アプリケーションのレイヤに添って行う。検索は、
レイヤ毎、パケット種類、日時等で、ごく普通に行うデ
ータ検索が可能である。
【００３３】次に、切り出しの対象となるＩＰパケット
等のレイヤ構造を説明する。図２に示すように、ＩＰパ
ケットの記録データＡは、８バイトのタイムスタンプ、
２バイトのタイプ、及び４バイトの番号から成る付加デ
ータと、所定バイト数のデータとを有している。
等のレイヤ構造を説明する。図２に示すように、ＩＰパ
ケットの記録データＡは、８バイトのタイムスタンプ、
２バイトのタイプ、及び４バイトの番号から成る付加デ
ータと、所定バイト数のデータとを有している。
【００３４】また、イーサネットデータＢは、記録デー
タＡにおける所定バイト数のデータを示すもので、８バ
イトのプリアンブルと、宛先ＭＡＣアドレスと、６バイ
トの送元ＭＡＣアドレスと、２バイトのタイプと、４６
〜１５００バイトのデータと、４バイトの誤り検出とを
有している。
タＡにおける所定バイト数のデータを示すもので、８バ
イトのプリアンブルと、宛先ＭＡＣアドレスと、６バイ
トの送元ＭＡＣアドレスと、２バイトのタイプと、４６
〜１５００バイトのデータと、４バイトの誤り検出とを
有している。
【００３５】ＩＰデータＣは、イーサネットＢにおける
４６〜１５００バイトのデータを示すもので、２バイト
のバージョンと、所定バイトの送元ＩＰアドレスと、所
定バイトの宛先ＩＰアドレスと、所定バイトのデータと
を有している。
４６〜１５００バイトのデータを示すもので、２バイト
のバージョンと、所定バイトの送元ＩＰアドレスと、所
定バイトの宛先ＩＰアドレスと、所定バイトのデータと
を有している。
【００３６】ＴＣＰデータＤは、ＩＰデータＣにおける
所定バイトのデータを示すもので、２バイトの送元ポー
ト、２バイトの宛先ポート、４バイトの画素、４バイト
の受理番号、１バイトのフラグ、及び所定バイトのデー
タを有している。各レイヤにおける長さは、パケット長
を示す。
所定バイトのデータを示すもので、２バイトの送元ポー
ト、２バイトの宛先ポート、４バイトの画素、４バイト
の受理番号、１バイトのフラグ、及び所定バイトのデー
タを有している。各レイヤにおける長さは、パケット長
を示す。
【００３７】ＩＰパケットは、パケット処理系の動作に
より、各レイヤにおけるａ、ｂ、ｃの選択が可能とされ
る。記録データＡにおける８バイトのタイムスタンプ
は、本ログ保存装置３４で付与するものであり、２バイ
トのタイプは、どのタイプの記録かを見るためのもの
で、最初の処理で設定しどのパケットに着目するかを指
定する。ＣＤ−Ｒには、シーケンシャルに書き込むた
め、先頭は必ずタイムスタンプとなる。
より、各レイヤにおけるａ、ｂ、ｃの選択が可能とされ
る。記録データＡにおける８バイトのタイムスタンプ
は、本ログ保存装置３４で付与するものであり、２バイ
トのタイプは、どのタイプの記録かを見るためのもの
で、最初の処理で設定しどのパケットに着目するかを指
定する。ＣＤ−Ｒには、シーケンシャルに書き込むた
め、先頭は必ずタイムスタンプとなる。
【００３８】本実施形態例に係るログ保存装置３４で
は、ネットワーク３０上で得られる全てのデータをデー
タ書込み器５１に書き換え不能の状態で保存することに
より、保存した全てのデータの改竄を確実に阻止するこ
とができる。また、制御装置４９が、オートチェンジャ
５２を制御して、書き込まれた読出しのみ可能な記録媒
体の順番の管理を行い、日付、時間、内容を検索するの
で、問題が発生した時間の前後のイベントを表示（報
知）することができる。これにより、データ書込み器５
１に記録されたデータを使用して、外部や内部からの不
正な使用や侵入の解析を円滑に行い、そのデータ解析に
基づいて、侵入に対する有効な対策を講じることができ
る。なお、ログ保存装置３４は、ネットワークに限ら
ず、インターネット上においても同様に使用できること
は勿論である。
は、ネットワーク３０上で得られる全てのデータをデー
タ書込み器５１に書き換え不能の状態で保存することに
より、保存した全てのデータの改竄を確実に阻止するこ
とができる。また、制御装置４９が、オートチェンジャ
５２を制御して、書き込まれた読出しのみ可能な記録媒
体の順番の管理を行い、日付、時間、内容を検索するの
で、問題が発生した時間の前後のイベントを表示（報
知）することができる。これにより、データ書込み器５
１に記録されたデータを使用して、外部や内部からの不
正な使用や侵入の解析を円滑に行い、そのデータ解析に
基づいて、侵入に対する有効な対策を講じることができ
る。なお、ログ保存装置３４は、ネットワークに限ら
ず、インターネット上においても同様に使用できること
は勿論である。
【００３９】以上、本発明をその好適な実施形態例に基
づいて説明したが、本発明のログ保存装置は、上記実施
形態例の構成にのみ限定されるものでなく、上記実施形
態例の構成から種々の修正及び変更を施したログ保存装
置も、本発明の範囲に含まれる。
づいて説明したが、本発明のログ保存装置は、上記実施
形態例の構成にのみ限定されるものでなく、上記実施形
態例の構成から種々の修正及び変更を施したログ保存装
置も、本発明の範囲に含まれる。
【００４０】
【発明の効果】以上のように、本発明のログ保存装置に
よれば、インターネットやネットワーク上で得たデータ
を改竄されない状態で保存することができ、外部や内部
からの不正な使用や侵入の解析が可能になる。
よれば、インターネットやネットワーク上で得たデータ
を改竄されない状態で保存することができ、外部や内部
からの不正な使用や侵入の解析が可能になる。
【図１】本発明の一実施形態例に係るログ保存装置を示
すブロック図である。
すブロック図である。
【図２】本実施形態例における各レイヤを模式的に示す
図である。
図である。
【図３】従来のネットワークシステムにおけるログ解析
を示すブロック図である。
を示すブロック図である。
３０ ネットワーク ３１ ＯＳ・ソフトウェアシステム ３２ ＮＩＣ用ドライバ ３３ カーネル ３４ ログ保存装置 ３５ Syslog ３６ 物理層i/f ３７ リンク層 ３９、４０ 処理系 ４１ パケット・タイム・スタンプ ４２ タイマ ４３ 一次高速メモリ ４５ 二次ストレージ ４９ 制御装置 ５０ コンソール ５１ データ書込み器 ５２ オートチェンジャ
───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.7 識別記号 ＦＩ テーマコート゛(参考） Ｇ１１Ｂ 20/10 ３１１ Ｈ０４Ｌ 11/08 27/00 11/26 Ｈ０４Ｌ 12/22
Claims (3)
- 【請求項１】インターネット又はネットワークに接続さ
れるログ保存装置であって、インターネット又はネット
ワーク上のＩＰパケット及びヘッダを含むデータをその
種類に拘わらず記録する第１の記録手段と、該第１の記
録手段に記録されたデータを一時的に格納し、所定の大
きさにブロック化して出力する第２の記録手段と、該第
２の記録手段から出力されたブロック化データを書き換
え不能に記録する第３の記録手段とを備えることを特徴
とするログ保存装置。 - 【請求項２】第３の記録手段は、１回の書込みのみ可能
なＣＤ−Ｒ及び／又はＤＶＤ−Ｒから成る記録媒体と、
書込み処理が終了したＣＤ−Ｒ及び／又はＤＶＤ−Ｒを
未使用のＣＤ−Ｒ及び／又はＤＶＤ−Ｒに交換するオー
トチェンジャとを備えることを特徴とする、請求項１に
記載のログ保存装置。 - 【請求項３】第１、第２及び第３の記録手段を制御する
制御手段を更に備え、該制御手段は、オートチェンジャ
を制御して、書き込み済みの読出しのみ可能な記録媒体
の順番を管理し、日付、時間、内容を検索することによ
り、問題発生時の前後のイベントを報知することを特徴
とする、請求項２に記載のログ保存装置。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2000302014A JP2002111667A (ja) | 2000-10-02 | 2000-10-02 | ログ保存装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2000302014A JP2002111667A (ja) | 2000-10-02 | 2000-10-02 | ログ保存装置 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2002111667A true JP2002111667A (ja) | 2002-04-12 |
Family
ID=18783454
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2000302014A Pending JP2002111667A (ja) | 2000-10-02 | 2000-10-02 | ログ保存装置 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2002111667A (ja) |
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2007058639A (ja) * | 2005-08-25 | 2007-03-08 | Hitachi Electronics Service Co Ltd | 不正アクセス検知システム |
| JP2007096413A (ja) * | 2005-09-27 | 2007-04-12 | Seiko Instruments Inc | パケット記録支援装置、パケット記録支援方法、及びパケット記録支援プログラム |
| JP2007173931A (ja) * | 2005-12-19 | 2007-07-05 | Mitsubishi Space Software Kk | パケット解析システム、パケット解析方法およびパケット解析プログラム |
| US8214333B2 (en) | 2005-10-18 | 2012-07-03 | Hitachi, Ltd. | Storage system for managing a log of access |
-
2000
- 2000-10-02 JP JP2000302014A patent/JP2002111667A/ja active Pending
Cited By (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2007058639A (ja) * | 2005-08-25 | 2007-03-08 | Hitachi Electronics Service Co Ltd | 不正アクセス検知システム |
| JP2007096413A (ja) * | 2005-09-27 | 2007-04-12 | Seiko Instruments Inc | パケット記録支援装置、パケット記録支援方法、及びパケット記録支援プログラム |
| US8214333B2 (en) | 2005-10-18 | 2012-07-03 | Hitachi, Ltd. | Storage system for managing a log of access |
| US8732129B2 (en) | 2005-10-18 | 2014-05-20 | Hitachi, Ltd. | Storage system for managing a log of access |
| JP2007173931A (ja) * | 2005-12-19 | 2007-07-05 | Mitsubishi Space Software Kk | パケット解析システム、パケット解析方法およびパケット解析プログラム |
| JP4699893B2 (ja) * | 2005-12-19 | 2011-06-15 | 三菱スペース・ソフトウエア株式会社 | パケット解析システム、パケット解析プログラム、パケット解析方法及びパケット取得装置 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US7561569B2 (en) | Packet flow monitoring tool and method | |
| US6453345B2 (en) | Network security and surveillance system | |
| EP3465987B1 (en) | Logging of traffic in a computer network | |
| US9143526B2 (en) | Content filtering of remote file-system access protocols | |
| US7051369B1 (en) | System for monitoring network for cracker attack | |
| EP2011013B1 (en) | Merging multi-line log entries | |
| US5778174A (en) | Method and system for providing secured access to a server connected to a private computer network | |
| US7552126B2 (en) | Access record gateway | |
| US7424735B2 (en) | System and method for computer security using multiple cages | |
| US7581136B2 (en) | Method and apparatus for data recovery | |
| TWI234707B (en) | Method and system for responding to a computer intrusion | |
| US8261349B2 (en) | Router for preventing port scans and method utilizing the same | |
| CN105005528B (zh) | 一种日志信息提取方法及装置 | |
| CN110505235B (zh) | 一种绕过云waf的恶意请求的检测系统及方法 | |
| JP4512179B2 (ja) | ストレージ装置及びそのアクセス管理方法 | |
| JP2001057554A (ja) | クラッカー監視システム | |
| JP2002111667A (ja) | ログ保存装置 | |
| US7565690B2 (en) | Intrusion detection | |
| JP2003208269A (ja) | セキュリティ機構を備えた二次記憶装置およびそのアクセス制御方法 | |
| JP2006246195A (ja) | ネットワーク情報収集システム、ネットワーク情報収集装置およびその制御方法 | |
| Grance et al. | Guide to computer and network data analysis: Applying forensic techniques to incident response | |
| JP4394806B2 (ja) | バックアップ装置 | |
| CN108566377A (zh) | 一种攻击事件取证方法、装置及存储介质 | |
| KR100868569B1 (ko) | 네트워크 패킷 저장 장치 및 그 방법 | |
| CN106790241A (zh) | 一种报文的处理方法及装置 |