JP2003216472A

JP2003216472A - 不正行為監視システム

Info

Publication number: JP2003216472A
Application number: JP2002018033A
Authority: JP
Inventors: Seiji Fujii; 誠司藤井
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2002-01-28
Filing date: 2002-01-28
Publication date: 2003-07-31
Anticipated expiration: 2022-01-28
Also published as: JP3985530B2

Abstract

(57)【要約】【課題】従来は、監視対象の計算機上でファイルへの
不正行為を検知するファイル監視プログラムを動作させ
ているために、不正行為を行う利用者から発見され易
く、その動作を停止させられ、不正行為を検知すること
ができなくなるという問題点があった。【解決手段】二次記憶装置（５）への不正行為を監視
する不正行為監視装置（３）と、計算機（２）から二次
記憶装置（５）へのアクセスおよび上記不正行為監視装
置（３）から上記二次記憶装置（５）へのアクセスをそ
れぞれ許容し、計算機（２）から不正行為監視装置
（３）へのアクセスを遮断するＩ／Ｏスケジュール装置
（４）を設けた。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、ネットワークに
接続した計算機に対する、ネットワークを経由した利用
者の不正行為（許可されないデータファイルへのアクセ
ス、許可されない読み出し、許可されない書き込み、許
可されないアクセス権設定の変更等）を検知する技術に
関するものである。

【０００２】

【従来の技術】図１７は、例えば、従来例として、「ネ
ットワーク侵入検知」（２０００年６月９日、ソフトバ
ンクパブリッシング株式会社発行）１７２〜１８５ペー
ジに示された警報システムの構成図である。図１７にお
いて、１００１は利用者端末、１００２は監視対象であ
る計算機、１００３は利用者の端末と監視対象の計算機
を接続するネットワーク、１０２０は上記監視対象であ
る計算機１００２に入出力インターフェース（I/O-I/
F）で接続しファイルを記録する二次記憶装置、１０２
１は監視設定ファイルに記述された監視対象のファイル
を監視するファイル監視プログラム、１０２２はどのフ
ァイルのどのような操作を監視するかを記述した監視設
定ファイル、１０２３は監視対象の計算機が二次記憶装
置に接続するための監視対象の計算機にあるI/O-I/F
（Ａ）、１０２４は二次記憶装置のI/O-I/Fである。

【０００３】次に動作について説明する。監視対象であ
る計算機１００２の利用者は、利用者端末１００１から
ネットワーク１００３を経由して、監視対象の計算機１
００２へログインを行う。利用者は、監視対象である計
算機１００２のリソース（ＣＰＵ、メモリ、二次記憶装
置）を使用して、作業を行う。不正行為を行うことを意
図する利用者は、利用者端末１００１から監視対象であ
る計算機１００２に接続された二次記憶装置１０２０上
にあるファイルに対して、禁止されている操作（読み出
し、書き込み、削除、アクセス権の変更のいずれかまた
はその組合せ）を行う。

【０００４】ファイル監視プログラム１０２１は、指定
された規則（たとえば、一定時間間隔やファイルがアク
セスされた時など）に基づいて、監視設定ファイル１０
２２に記述されたファイルとそのファイルへの操作を監
視する。ファイル監視プログラム１０２１は、ファイル
の属性を検査し、監視設定ファイル１０２２に記述され
たファイルに対して、監視設定ファイル１０２２に記述
された禁止された操作が行われたことを検知した場合
は、管理者へ通知を行う。

【０００５】

【発明が解決しようとする課題】従来の技術では、監視
対象の計算機１００２上で、ファイルへの不正行為を検
知するファイル監視プログラム１０２１を動作させてい
る。不正行為を検知する機能の処理は、監視対象の計算
機１００２のシステム資源（ＣＰＵ時間、メモリ、ＨＤ
Ｄなど）を必要としており、監視対象のファイルが増加
すれば、その数に比例して、監視対象の計算機１００２
のシステム資源を消費し、監視対象の計算機１００２の
本来の作業を阻害するという問題点があった。また、監
視対象の計算機１００２上で動作するために、不正行為
を行う利用者から、発見され易いため、その動作を停止
させられ、不正行為を検知することができなくなるとい
う問題点があった。

【０００６】この発明は上記のような問題点を解決する
ためになされたもので、利用者に知られることなく、利
用者のファイルへの不正行為を検知することを目的とす
る。

【０００７】

【課題を解決するための手段】この発明にかかる不正行
為監視システムは、計算機に付属する二次記憶装置への
不正行為を監視する不正行為監視システムであって、上
記二次記憶装置への不正行為を監視する不正行為監視装
置と、上記計算機から上記二次記憶装置へのアクセスお
よび上記不正行為監視装置から上記二次記憶装置へのア
クセスをそれぞれ許容し、上記計算機から上記不正行為
監視装置へのアクセスを遮断するＩ／Ｏスケジュール装
置とからなるものである。

【０００８】またこの発明にかかる不正行為監視システ
ムは、上記Ｉ／Ｏスケジュール装置は、上記計算機と上
記不正行為監視装置のいずれか一方のみを上記二次記憶
装置に接続する信号線切替手段を有するものである。

【０００９】またこの発明にかかる不正行為監視システ
ムは、上記Ｉ／Ｏスケジュール装置は、上記計算機の上
記二次記憶装置への接続要求を検出する計算機監視手段
と、上記不正行為監視装置の上記二次記憶装置への接続
要求を検出する監視装置監視手段と、上記信号線切替手
段を制御する切替制御手段とをさらに備え、上記計算機
監視手段および監視装置監視手段は接続要求を検出する
とそれぞれ上記切替制御手段に通知し、上記切替制御手
段は、上記通知の受信順に上記計算機と上記監視装置を
上記二次記憶装置に接続するように上記信号線切替手段
を制御するようにしたものである。

【００１０】またこの発明にかかる不正行為監視システ
ムは、上記二次記憶装置は、ファイルと、該ファイルが
アクセスされると該アクセス行為の種類に応じて少なく
とも一部が変化する属性情報とを対応付けて記憶し、上
記不正行為監視装置は、監視データ設定ファイル格納手
段と、ファイル監視手段を備え、上記監視データ設定フ
ァイル格納手段は、上記二次記憶装置が記憶しているフ
ァイルのファイル名と、該ファイルに対して禁止されて
いる禁止アクセス行為の種類と、第１の時刻において上
記二次記憶装置から獲得したファイルの属性情報である
初期属性情報とを記述した属性付き監視データ設定ファ
イルを保持し、上記ファイル監視手段は、上記第１の時
刻より後の第２の時刻に上記二次記憶装置から獲得した
ファイルの属性情報である監視用属性情報と、上記属性
付き監視データ設定ファイルの初期属性情報を比較し、
２つの属性情報の間に変化があり、該変化に対応するア
クセス行為が上記ファイルに対する禁止アクセス行為で
あった場合に、上記第１の時刻から第２の時刻の間に上
記ファイルに対して禁止アクセス行為があったと判定す
るようにしたものである。

【００１１】またこの発明にかかる不正行為監視システ
ムは、上記不正行為監視装置は不正行為通知手段をさら
に備え、該不正行為通知手段は、上記ファイル監視手段
があったと判定した禁止アクセス行為を記述した不正行
為通知を上記不正行為監視装置外部へ送信するようにし
たものである。

【００１２】またこの発明にかかる不正行為監視システ
ムは、上記不正行為監視装置は不正行為記録ファイル格
納手段をさらに備え、上記ファイル監視手段は、禁止ア
クセス行為があったと判定した場合、この禁止アクセス
行為を記述した不正行為記録ファイルを上記不正行為記
録ファイル格納手段に格納し、上記不正行為通知手段は
上記不正行為記録ファイルが更新されると上記不正行為
通知を上記不正行為監視装置外部へ送信するようにした
ものである。

【００１３】またこの発明にかかる不正行為監視システ
ムは、計算機に付属する二次記憶装置への不正行為を監
視する不正行為監視システムであって、上記二次記憶装
置への不正行為を監視する複数の不正行為監視装置と、
上記計算機から上記二次記憶装置へのアクセスおよび各
不正行為監視装置から上記二次記憶装置へのアクセスを
それぞれ許容し、上記計算機から上記不正行為監視装置
のいずれへのアクセスも遮断するＩ／Ｏスケジュール装
置とからなるものである。

【００１４】またこの発明にかかる不正行為監視システ
ムは、上記Ｉ／Ｏスケジュール装置は、上記複数の不正
行為監視装置と上記計算機の中のいずれか一つのみを上
記二次記憶装置に接続する信号線切替手段を有するもの
である。

【００１５】またこの発明にかかる不正行為監視システ
ムは、上記Ｉ／Ｏスケジュール装置は、上記計算機の上
記二次記憶装置への接続要求を検出する計算機監視手段
と、上記複数の不正行為監視装置の上記二次記憶装置へ
の接続要求をそれぞれ検出する複数の監視装置監視手段
と、上記信号線切替手段を制御する切替制御手段とをさ
らに備え、上記計算機監視手段および監視装置監視手段
は接続要求を検出するとそれぞれ上記切替制御手段に通
知し、上記切替制御手段は、上記通知の受信順に上記計
算機と上記監視装置を上記二次記憶装置に接続するよう
に上記信号線切替手段を制御するようにしたものであ
る。

【００１６】またこの発明にかかる不正行為監視システ
ムは、全体監視データ設定ファイル格納手段とファイル
監視管理手段を備えた監視管理装置をさらに備え、上記
二次記憶装置は、ファイルの名称と、該ファイルがアク
セスされると該アクセス行為の種類に応じて少なくとも
一部が変化する属性情報とを対応付けて記憶し、上記複
数の不正行為監視装置は、それぞれファイル監視手段を
備え、上記監視管理装置の全体監視データ設定ファイル
格納手段は上記二次記憶装置が記憶するファイルと、該
ファイルに対して禁止されている禁止アクセス行為の種
類とを記述した全体監視データ設定ファイルを保持し、
上記監視管理装置のファイル監視管理手段は上記全体監
視データ設定ファイルを分割して分割監視データ設定フ
ァイルとして上記複数の不正行為監視装置に送信し、上
記各不正行為監視装置のファイル監視手段は上記受信し
た分割監視データ設定ファイルに記述されている上記二
次記憶装置上のファイルの属性情報である初期属性情報
を獲得して分割監視データ設定ファイルに追記して属性
付き分割監視データ設定ファイルとし、上記初期属性情
報を獲得した時刻より後に分割監視データ設定ファイル
に記述されている上記二次記憶装置上のファイルの属性
情報を監視用属性情報として獲得し、上記属性付き分
割監視データ設定ファイルの初期属性情報と上記監視用
属性情報を比較し、２つの属性情報の間に変化があり、
該変化に対応するアクセス行為が上記ファイルに対する
禁止アクセス行為であった場合に、上記初期属性情報を
獲得した時刻から上記監視用属性情報を獲得した時刻の
間に上記ファイルに対して禁止アクセス行為があったと
判定するようにしたものである。

【００１７】またこの発明にかかる不正行為監視システ
ムは、上記各不正行為監視装置は不正行為通知手段をさ
らに備え、該不正行為通知手段は、上記ファイル監視手
段があったと判定した禁止アクセス行為を記述した不正
行為通知を上記監視管理装置に送信するようにしたもの
である。

【００１８】またこの発明にかかる不正行為監視システ
ムは、上記不正行為監視装置は不正行為記録ファイル格
納手段をさらに備え、上記ファイル監視手段は、禁止ア
クセス行為があったと判定した場合、この禁止アクセス
行為を記述した不正行為記録ファイルを上記不正行為記
録ファイル格納手段に格納し、上記不正行為通知手段は
上記不正行為記録ファイルが更新されると上記不正行為
通知を上記監視管理装置に送信し、上記管理管理装置は
上記不正行為通知を受信すると該不正行為を該監視管理
装置外部に通知するようにしたものである。

【００１９】

【発明の実施の形態】実施の形態１．図１から図７を用
いて実施の形態１を説明する。図１はこの実施の形態に
おける不正行為監視システムを含むシステム構成図であ
る。図１において、１は計算機２へネットワーク１０経
由でアクセスする利用者端末１、３は上記計算機２の二
次記憶装置５を監視する監視装置、４は計算機２または
監視装置３からの二次記憶装置５へのアクセスをスケジ
ュールするＩ／Ｏスケジュール装置４、５は計算機２の
二次記憶装置であり、磁気ディスク装置等からなる。６
は上記監視装置を管理する管理者である。Ｉ／Ｏスケジ
ュール装置４と二次記憶装置５間、計算機２とＩ／Ｏス
ケジュール装置４間、監視装置３とＩ／Ｏスケジュール
装置４間、はそれぞれＩＤＥ、ＳＣＳＩ、ＳＡＮなどの
Ｉ／Ｏインターフェースで接続されている。利用者の端
末１から計算機２へはネットワーク経由でアクセスが可
能である。また監視装置３は、利用者端末１からアクセ
スできるネットワークワークには接続されていない。上
記監視装置３とＩ／Ｏスケジュール装置５からこの発明
における不正行為監視システムが構成されている。また
監視装置３がこの発明における不正行為監視装置であ
る。

【００２０】図２はこの実施の形態における監視装置３
の構成図である。図２において、３１は監視対象に設定
されたファイルを監視するファイル監視手段、３２はフ
ァイル監視手段が検知した不正行為を管理者６に通知す
る不正行為通知手段、３３はＩ／Ｏスケジュール装置４
と接続する入出力インターフェースであるI/O-I/F
（Ｐ）、３４は監視対象であるファイルとその設定情報
を記録する監視データ設定ファイル格納手段、３５はフ
ァイル監視手段が検知した不正行為を記録するファイル
である不正行為記録ファイルを格納する不正行為記録フ
ァイル格納手段である。監視データ設定ファイル格納手
段３４と不正行為記録ファイル格納手段３５は磁気ディ
スク装置やメモリ等の情報記憶手段からなる。

【００２１】図３はＩ／Ｏスケジュール装置４の概略構
成図であり、図３において、４１は計算機２のI/O-I/F
と接続する入出力インターフェースであるI/O-I/F
（Ａ）、４２は監視装置３のI/O-I/F（Ｐ）３３と接続
する入出力インターフェースであるI/O-I/F（Ｂ）、４
３は二次記憶装置５のI/O-I/Fと接続する入出力インタ
ーフェースであるI/O-I/F（Ｃ）である。

【００２２】図４はこのＩ／Ｏスケジュール装置４の詳
細な構成図である。I/O-I/F（Ａ）４１は計算機２から
のデータを二次記憶装置５へ送信するための制御データ
を伝達する制御信号線（Ａ）４１１と計算機２から二次
記憶装置５へ送信するデータを伝達するデータ信号線
（Ａ）４１２とからなり、I/O-I/F（Ｂ）４２は監視装
置３からのデータを二次記憶装置５へ送信するための制
御データを伝達する制御信号線（Ｂ）４２１と監視装置
３から二次記憶装置５へ送信するデータを伝達するデー
タ信号線（Ｂ）４２２とからなる。また、I/O-I/F
（Ｃ）４３は二次記憶装置５へのデータを二次記憶装置
５へ送信するための制御データを伝達する制御信号線
（Ｃ）４３１と二次記憶装置５へのデータを伝達するデ
ータ信号線（Ｃ）４３２とからなる。

【００２３】４１３はI/O-I/F（Ａ）４１の制御信号線
（Ａ）４１１を監視し、後述のI/O-I/F切替制御手段４
４へ通知する制御信号線監視手段（Ａ）、４２３はI/O-
I/F（Ｂ）の制御信号線（Ｂ）４２１を監視し、I/O-I/F
切替制御手段４４へ通知する制御信号線監視手段（Ｂ）
である。

【００２４】４４は上記制御信号線監視手段（Ａ）４１
３または制御信号線監視手段（Ｂ）４２３からの通知お
よび現在の動作状況から判断して、I/O-I/F（Ａ）４１
とI/O-I/F（Ｂ）４２のどちらをI/O-I/F（Ｃ）４３に接
続するかを決定し、後述の信号線切替手段４５へ切替の
ための命令をする、すなわち信号線切替手段４５を制御
するI/O-I/F切替制御手段であり、４４１はI/O-I/F切替
制御手段４４に含まれ、I/O-I/F（Ｃ）４３に対して接
続されているI/O-I/FがI/O-I/F（Ａ）４１かI/O-I/F
（Ｂ）４２のいずれであるかを示す識別番号を保持する
処理状態保持バッファ、４４２はI/O-I/F切替制御手段
４４に含まれ、I/O-I/F（Ｃ）４３に対する接続を待機
しているI/O-I/Fの識別番号を保持する処理待機状態保
持バッファである。

【００２５】４５は上記I/O-I/F切替制御手段４４から
の命令により、I/O-I/F（Ｃ）４３が接続されるI/O-I/F
をI/O-I/F（Ａ）４１またはI/O-I/F（Ｂ）４２に切り替
える信号線切替手段であり、制御信号線（Ｃ）４３１の
接続先を制御信号線（Ａ）４１１または制御信号線
（Ｂ）４２１に切り替え、データ信号線（Ｃ）４３２の
接続先をデータ信号線（Ａ）４１２またはデータ信号線
（Ｂ）４２２にそれぞれ切り替える信号線切替手段であ
る。図４の信号線切替手段４５は模式的に表したもので
あり、複数のスイッチ４５１がすべて左に倒れてI/O-I/
F（Ｃ）４３とI/O-I/F（Ａ）４１の対応する信号線がそ
れぞれ接続されている。接続を切り替える際には複数の
スイッチ４５１が一斉に右に倒れることにより、I/O-I/
F（Ｃ）４３とI/O-I/F（Ｂ）４２の対応する信号線がそ
れぞれ接続される。スイッチ４５１は制御信号線（Ｃ）
４３１とデータ信号線（Ｃ）４３２の総数に等しい数だ
け備えられている。

【００２６】上記制御信号線監視手段（Ａ）４１３がこ
の発明における計算機監視手段、制御信号線監視（Ｂ）
４２３がこの発明における監視装置監視手段である。

【００２７】次に、I/O-I/Fスケジュール装置４の動作
について説明する。動作開始時、I/O-I/F（Ｃ）４３とI
/O-I/F（Ａ）４１との間でデータを送受信できるよう
に、信号線切替手段４５により制御信号線（Ａ）４１１
と制御信号線（Ｃ）４３１、データ信号線（Ａ）４１２
とデータ信号線（Ｃ）４３２が接続されている。この
時、I/O-I/F切替装置４４では、処理状態保持バッファ
４４１に現在の接続状況としてI/O-I/F（Ａ）４１を示
すＩ／Ｆ識別番号（例えば１）を記録する。

【００２８】I/O-I/F（Ｂ）４２から、二次記憶装置５
のデータを送信するように要求するデータ送信要求（接
続要求）があると、制御信号線（Ｂ）４２１の状態が変
化する。制御信号線監視手段（Ｂ）４２３は、制御信号
線（Ｂ）４２１の状態が変化したことを検出すると（す
なわ監視装置３の二次記憶装置５への接続要求を検出す
ると）、I/O-I/F切替制御手段４４へ接続要求を通知す
る。I/O-I/F切替制御手段４４は、処理状態保持保持バ
ッファ４４１のデータから制御信号線監視手段（Ａ）４
１３へ現在の制御信号線（Ａ）の使用状況を確認する。
制御信号線監視手段（Ａ）４１３からI/O-I/F（Ａ）４
１が信号線を使用していることが通知されれば、I/O-I/
F切替制御手段４４は処理待機状態保持バッファ４４２
に、I/O-I/F（Ｂ）４２を示すＩ／Ｆ識別番号（例えば
２）を記録し、I/O-I/F（Ｂ）４２が待機状態、すなわ
ち監視装置３が待機状態であることを記録する。

【００２９】計算機２が二次記憶装置５の使用を終了す
ると、制御信号線監視手段（Ａ）４１３は、使用が終了
したことをI/O-I/F切替制御手段４４へ使用終了通知と
して通知する。I/O-I/F切替制御手段４４は、制御信号
線監視手段（Ａ）４１３からI/O-I/F（Ａ）４１によるI
/O-I/F（Ｃ）４３の使用終了通知を受信し、処理待機状
態保持バッファ４４２を参照する。処理待機状態保持バ
ッファ４４２が２であるので、処理状態保持バッファ４
４１が保持する識別番号を２に変更し、信号線切替手段
４５に、I/O-I/F（Ｂ）４２の制御信号線（Ｂ）４２１
およびデータ信号線（Ｂ）４２２をI/O-I/F（Ｃ）４３
の制御信号線（Ｃ）４３１およびデータ信号線（Ｃ）４
３２にそれぞれ接続するように命令する。さらに処理待
機状態保持バッファ４４２に、処理を待機しているI/O-
I/Fがないことを示す例えば０を記録する。

【００３０】この後再度計算機２が二次記憶装置５への
アクセス要求（接続要求）をすると、制御信号線（Ａ）
４１１の状態が変化するので、制御信号線監視手段
（Ａ）４１３はこの接続要求を検出してI/O-I/F切替制
御手段４４に接続要求を通知し、I/O-I/F切替制御手段
４４は監視装置３が二次記憶装置５に接続中であれば処
理待機状態保持バッファ４４２にI/O-I/F（Ａ）４１を
示すＩ／Ｆ識別番号（例えば１）を記録する。監視装置
３が二次記憶装置５に接続中でなければ、I/O-I/F切替
制御手段４４は処理状態保持バッファ４４１にＩ／Ｆ識
別番号（例えば１）を記録し、I/O-I/F（Ａ）４１とI/O
-I/F（Ｃ）４３を接続するように信号線切替手段４５に
指示する。

【００３１】Ｉ／Ｏスケジュール装置４は上記のように
構成されているので、計算機２から二次記憶装置５への
アクセスと、監視装置３から二次記憶装置５へのアクセ
スは許容されるが、計算機２から監視装置３へのアクセ
スは行えず、遮断される。また信号線切替手段は、計算
機２と監視装置３のいずれか一方のみを二次記憶装置５
に接続することになる。またI/O-I/F切替制御手段４４
は制御信号線監視手段（Ａ）４１３と制御信号線監視手
段（Ｂ）４２３が接続要求を検出した際に出す通知を受
信した順に従って、各通知に対応する計算機２または監
視装置３を二次記憶装置５に接続する。

【００３２】上記の構成において、不正行為を行うこと
を意図する利用者は、利用者端末１により計算機２に接
続された二次記憶装置５上にあるファイルに対して、禁
止されている操作（読み出し、書き込み、削除、アクセ
ス権の変更のいずれかまたはその組合せ）を行う。その
操作は、I/O-I/Fの命令およびデータに変換され、計算
機２を経由して、Ｉ／Ｏスケジュール装置４に出力され
る。Ｉ／Ｏスケジュール装置４は、入力された命令およ
びデータを接続された二次記憶装置５に出力する。

【００３３】一方、監視装置３のファイル監視手段３１
は、指定された規則（たとえば、一定時間間隔やファイ
ルがアクセスされた時など）に基づいて、監視装置３の
I/O-I/F（Ｐ）３３から二次記憶装置５に対して、監視
対象であるファイルの属性情報の読み出しを行う。その
読み出しは、I/O-I/Fの命令およびデータに変換され
て、Ｉ／Ｏスケジュール装置４に出力される。Ｉ／Ｏス
ケジュール装置４は、入力された命令およびデータに基
づいて、接続された二次記憶装置５からデータを取得す
る。Ｉ／Ｏスケジュール装置４は、取得したデータを監
視装置３のI/O-I/F（Ｐ）３３へ入力し、監視装置３
は、I/O-I/Fから受け取ったデータをファイルの属性情
報としてファイル監視手段３１へ返す。

【００３４】計算機２が二次記憶装置５のファイルへア
クセスしている時、監視装置３が二次記憶装置５へアク
セス要求を行った場合は、監視装置３は監視装置３の要
求したアクセス要求の命令およびデータが実行されるま
で、Ｉ／Ｏスケジュール装置４からの応答を待つ。計算
機２の二次記憶装置５へのアクセスが終了した後、監視
装置３の命令およびデータが実行される。逆に、監視装
置３が二次記憶装置５のファイルへアクセスしている時
に、計算機２が二次記憶装置５へアクセス要求を行った
場合は、計算機２からの命令およびデータがＩ／Ｏスケ
ジュール装置４のバッファ（図示せず）の中に蓄積され
て、要求した命令およびデータが実行されるまで、Ｉ／
Ｏスケジュール装置４からの応答を待つ。

【００３５】次に、ファイルの監視に関する初期設定方
法について説明する。Ｉ／Ｏスケジュール装置４のI/O-
I/F（Ｃ）４３に、二次記憶装置５を接続し、次いで監
視対象である計算機２のI/O-I/Fに、Ｉ／Ｏスケジュー
ル装置４のI/O-I/F（Ａ）４１を接続する。さらに監視
装置３のI/O-I/F（Ｐ）３３に、Ｉ／Ｏスケジュール装
置４のI/O-I/F（Ｂ）４２を接続する。

【００３６】計算機２の電源を入れると、計算機２は保
有するソフトウェア（ＯＳおよびアプリケーション）か
ら二次記憶装置５の読み出し、書き込みができるよう
に、二次記憶装置５を初期化する。同時に計算機２は、
監視装置３上のソフトウェア（ＯＳおよびアプリケーシ
ョン）から読み出しができるように、二次記憶装置５を
初期化する。

【００３７】監視装置３の電源を入れると、監視装置３
は、二次記憶装置５内の監視対象とするファイルの名称
および監視対象とするそのファイルに対して禁止されて
いるアクセス行為（禁止アクセス行為）の種類を二次記
憶装置５から読み出し、監視データ設定ファイル格納手
段９に、例えば図５のようなデータ形式で監視データ設
定ファイル３４１として記録する。ファイル名は、監視
装置３からアクセスする時の絶対パス名（/target/etc/
passwd ）を監視対象パス名３４２として記録する。監
視対象とするファイルへの禁止されているアクセス行為
は、読み出し、書き込み、アクセス権の変更を意味する
アクセス行為コード３４３(読み出しは３、書き込みは
２、アクセス権の変更は１など)を指定する。アクセス
行為コード３４３は、１つの監視対象パス名に対して複
数個記述できる。

【００３８】次いで監視装置３上で、ファイル監視手段
３１を起動する。ファイル監視手段３１は、監視データ
設定ファイル３４１に監視対象パス名３４２が記録され
ている二次記憶装置５上のすべてのファイル（監視対象
ファイル）へアクセスし、監視対象ファイルに設定され
ているアクセス権、直近のアクセス時刻および更新時
刻、現状のファイルの大きさからなる属性情報を取得す
る。ファイル毎の取得した属性情報を、監視データ設定
ファイル３４１の該当するファイルのデータに、例えば
図６のようなデータ形式で記録し監視データ設定ファイ
ル格納手段３４に格納する。このデータを属性付き監視
データ設定ファイル３４１ａとする。以上で初期設定は
完了である。上記属性情報は、そのファイルがアクセル
されると、アクセス権、直近のアクセス時刻、更新時
刻、ファイルの大きさの少なくとも１つ（すなわち属性
情報の少なくとも一部）が変化する。

【００３９】この初期設定においてファイル監視手段３
１が二次記憶装置５から獲得した属性情報が、この発明
における初期属性情報、ファイル監視手段３１が二次記
憶装置５から属性情報を獲得した時刻がこの発明におけ
る第１の時刻である。

【００４０】次に、監視装置３上のファイル監視手段３
１による監視方法について説明する。ファイル監視手段
３１は、例えば周期的に、監視対象ファイルを検査す
る。この監視周期は、起動のパラメータとして、ファイ
ル監視手段３１に管理者６が入力する。まず、ファイル
監視手段３１は監視データ設定ファイル格納手段３４か
ら１つの監視対象ファイルの監視対象パス名を読み込
む。次に、その監視対象パス名に従ってその監視対象フ
ァイルへアクセスし、監視対象ファイルのアクセス権、
アクセス時刻、更新時刻、ファイルの大きさ等の属性情
報を監視用属性情報として取得する。そのファイルへの
アクセスできない場合は、不正行為があったと判定す
る。監視用属性情報を取得した時刻がこの発明における
第２の時刻である。

【００４１】監視対象ファイルへの禁止アクセス行為と
して読み出しが記録されている場合、すなわちこのファ
イルからの読出しが禁止され、アクセス行為コードに
「３」が記入されている場合、属性付き監視データ設定
ファイル３４１ａに記録されているアクセス時刻と、フ
ァイルから取得したアクセス時刻を比較し、異なってい
る場合は、ファイルから取得したアクセス時刻に読出し
が行われたとして、不正行為（禁止アクセス行為）があ
ったと判定する。監視対象ファイルへの禁止アクセス行
為として、書き込みが記録されている場合、すなわちこ
のファイルへの書きこみが禁止され、アクセス行為コー
ドに「２」が記入されている場合、監視対象設定ファイ
ルに記録されている更新時刻と、ファイルから取得した
更新時刻を比較し、異なっている場合は、ファイルから
取得した更新時刻に書きこみが行われたとして、不正行
為があったと判定する。

【００４２】また、ファイルサイズも比較し、異なって
いる場合は、不正行為があったと判定する。監視対象と
するファイルへの禁止アクセス行為として、アクセス権
が記録されている場合、監視対象設定ファイルに記録さ
れているアクセス権と、ファイルから取得したアクセス
権を比較し、異なっている場合は、不正行為があったと
判定する。

【００４３】以上のように、監視対象ファイルの属性情
報の取得処理と検査処理をファイル毎に実行すること
は、二次記憶装置５を頻繁にアクセスし、処理が遅くな
るので、すべてのファイル情報（監視対象パス名、アク
セス行為コード、属性情報）をファイル監視手段３１内
部のバッファ領域に取得した後に、ファイルの不正行為
の検査を行う。不正行為があったと判定した場合は、不
正行為記録ファイル格納手段３５内に格納された不正行
為記録ファイル３５１へ、ファイル名、検出日時、不正
なアクセス行為コード（ファイルへのアクセス行為のコ
ードと同じ）を例えば、図７のようなデータ形式で記録
する。監視データ設定ファイル３４１にあるすべてのフ
ァイルについて、検査が終了した時、指定された監視周
期で待機する。不正行為通知手段３２は、不正行為記録
ファイル３５１が更新されたか否かを周期的に監視す
る。不正行為記録ファイル３５１が更新されたことを検
出した場合は、追加された情報を、指定された方法で、
管理者へ不正行為通知として通知する。この指定された
方法としては、指定されたメールアドレスへ追加された
情報をメールで送信する方法がある。

【００４４】また、ネットワーク障害通知の通信プロト
コルでＳＮＭＰを使用して、イベントとして、ＳＮＭＰ
を受信するネットワーク管理ソフトウェアへ通知し、間
接的に管理者へ通知する方法もある。また、ネットワー
ク管理ソフトウェア固有の通知プロトコルを使用して、
ネットワーク管理ソフトウェアへ通知して、間接的に管
理者へ通知する方法もある。

【００４５】以上のように、Ｉ／Ｏスケジュール装置４
は計算機２から二次記憶装置５へのアクセスおよび監視
装置３から二次記憶装置５へのアクセスは許容するが、
計算機２から監視装置５へのアクセスは許容しないの
で、監視装置３の監視行為を利用者から発見されないの
で、信頼性の高い不正行為の監視を行うことができる。
また、計算機２二次記憶装置上のファイルを、この計算
機２とは異なる監視装置３で監視するため、監視対象で
ある計算機２のシステム資源を消費することなく、ファ
イルへの不正行為を監視することができる。

【００４６】なお以上の説明においては、ファイル監視
手段３１は周期的に監視対象ファイルを検査するとした
が、監視対象ファイルがアクセスされたときに検査する
ようにしてもよい。監視対象ファイルがアクセスされた
ことはＩ／Ｏスケジュール装置４に図示しないアクセス
検出装置を設け、このアクセス検出装置からファイル監
視手段３１に検査開始の指示が送信されるようにすれば
よい。またファイル監視手段３１が監視対象ファイルを
検査する周期は管理者６が入力するとしたが、予め設定
された固定値であってもよい。

【００４７】実施の形態２．図８から図１６を用いて実
施の形態２を説明する。実施の形態１は、計算機２の二
次記憶装置５上のファイルをＩ／Ｏスケジュール装置４
を介して接続された監視装置３によって監視するもので
あるが、この実施の形態では監視対象のファイルが膨大
で、監視対象であるすべてのファイルを監視装置３が監
視するためには時間がかかり、十分な監視を行えないよ
うな場合に、監視装置３の負荷を軽減することにより、
監視を行う例を示す。

【００４８】図８は、この実施の形態における不正行為
監視システムを含むシステム構成図であり、図８におい
て、実施の形態１と同一または相当部分には同一の符号
を付して説明を省略する。図８において、３００は実施
の形態１において図２に示した監視装置３と同様の構成
を有する複数の監視装置、１１は上記複数の監視装置３
００を集中的に管理する監視管理装置、１２は計算機２
または各監視装置３００の二次記憶装置５へのアクセス
をスケジュールするＩ／Ｏスケジュール装置、５００は
上記監視管理装置１１とすべての監視装置３００を接続
する管理ネットワークである。図２に示した実施の形態
１における監視装置３が通知を管理者６に送信するのに
対し、この実施の形態における監視装置３００は、通知
を監視管理装置１１に対して送信する点が異なる。

【００４９】図９は、監視管理装置１１の構成図であ
る。図９において、１１１は全体監視データ設定ファイ
ルを分割し、監視装置３００へ分割監視データ設定ファ
イルとして送信するファイル監視管理手段、１１２は監
視装置３００より通知される不正行為を取得し、管理者
へ通知する通知管理手段、１１３は監視対象である二次
記憶５上のファイルの情報を記録する全体監視データ設
定ファイル格納手段、１１４は各監視装置３００より通
知される不正行為を記録する不正行為通知ファイル格納
手段である。図９において監視管理装置１１と各監視装
置３００は管理ネットワーク５００により接続されてい
る。

【００５０】図１０は、Ｉ／Ｏスケジュール装置１２の
概略構成図である。図１０において、１２１は計算機２
の入出力インターフェース（I/O-I/F）と接続する入出
力インターフェースであるI/O-I/F（Ａ２）、I/O-I/F
（Ｂ２）、１２２はそれぞれが上記複数の監視装置３０
０のI/O-I/Fと接続する入出力インターフェースである
複数のI/O-I/F（Ｂ２）、１２３は二次記憶装置５のI/O
-I/Fと接続する入出力インターフェースであるI/O-I/F
（Ｃ２）、１３は二次記録装置５への命令およびデータ
の処理待ちをしているI/O-I/F（Ａ２）１２１の識別番
号及び複数のI/O-I/F（Ｂ２）１２２のそれぞれに付さ
れたＩ／Ｆ識別番号を記録するリングバッファである。

【００５１】図１１はI/O-I/Fスケジュール装置１２の
詳細な構成図である。I/O-I/F（Ａ２）１２１は計算機
２からのデータを二次記憶装置５へ送信するための制御
データを伝達する制御信号線（Ａ２）１２１１と計算機
２から二次記憶装置５へ送信するデータを伝達するデー
タ信号線（Ａ２）１２１２からなり、I/O-I/F（Ｂ２）
１２２はそれぞれ各監視装置３００からのデータを二次
記憶装置５へ送信するための制御データを伝達する制御
信号線（Ｂ２）１２２１と各監視装置３００から二次記
憶装置５へ送信するデータを伝達するデータ信号線（Ｂ
２）１２２２とからなる。また、I/O-I/F（Ｃ２）１２
Ｃはデータを二次記憶装置５へ送信するための制御デー
タを伝達する制御信号線（Ｃ２）１２３１、二次記憶装
置へのデータを伝達するデータ信号線１２３２（Ｃ２）
からなる。

【００５２】１２１３はI/O-I/F（Ａ２）１２１の制御
信号線（Ａ２）１２１１を監視し、後述のI/O-I/F切替
制御手段１２４へ通知する制御信号線監視手段（Ａ
１）、１２２３はそれぞれI/O-I/F（Ｂ２）１２２の制
御信号線（Ｂ２）１２２１を監視し、I/O-I/F切替制御
手段１２４へ通知する複数の制御信号線監視手段（Ｂ
２）である。

【００５３】１２４は上記制御信号監視装置（Ａ２）１
２１３または各制御信号線監視手段（Ｂ２）１２２３か
らの通知および現在の動作状況から判断して、I/O-I/F
（Ａ２）１２１１または複数のI/O-I/F（Ｂ２）１２２
のいずれの信号線をI/O-I/F（Ｃ２）１２３に接続する
かを決定し、後述の信号線切替手段１２５へ切替のため
の命令をする、すなわち信号線切替手段１２５を制御す
るI/O-I/F切替制御手段であり、リングバッファ１３は
このI/O-I/F切替制御手段に含まれる。

【００５４】１２５はI/O-I/F切替制御手段１２４から
の命令により、I/O-I/F（Ｃ２）１２３が接続されるI/O
-I/FをI/O-I/F（Ａ２）１２１またはI/O-I/F（Ｂ２）１
２２のいずれか１つに切り替える信号線切替手段であ
り、制御信号線（Ｃ２）１２３１の接続先を制御信号線
（Ａ２）１２１１またはいずれか１つの制御信号線（Ｂ
２）１２２１に切り替え、データ信号線（Ｃ２）１２３
２の接続先をデータ信号線（Ａ２）１２１２またはいず
れかのデータ信号線（Ｂ２）１２２２にそれぞれ切り替
える信号線切替手段である。図１１の信号線切替手段１
２５は模式的に表したものであり、複数のスイッチ１２
５１がすべて左から２番目の接点と接触し、I/O-I/F
（Ｃ）４３と複数のI/O-I/F（Ｂ２）１２２のうちの最
も左のI/O-I/F（Ｂ２）１２２の対応する信号線がそれ
ぞれ接続されている。接続を切り替える際には複数のス
イッチ１２５１が一斉に同じ動きをすることにより、I/
O-I/F（Ｃ２）１２３とI/O-I/F（Ａ２）１２１の対応す
る信号線、またはI/O-I/F（Ｃ２）１２３といずれか１
つのI/O-I/F（Ｂ２）１２２の対応する信号線がそれぞ
れ接続される。

【００５５】上記制御信号線監視手段（Ａ２）１２１３
がこの発明における計算機監視手段、制御信号線監視手
段（Ｂ２）１２２３がこの発明における監視装置監視手
段である。

【００５６】図１２はリングバッファ１３の内部構成図
である。図１２において、１３１は二次記録装置５への
命令およびデータの処理待ちしているI/O-I/Fの中で、
次に処理されるI/O-I/Fの識別番号を記録したバッファ
の位置を記録した読み出しポインタ、１３２は二次記録
装置５への命令およびデータの処理待ちするI/O-I/Fの
識別番号を記録する書き込みポインタ、１６は二次記録
装置５への命令およびデータの処理待ちしているI/O-I/
Fの識別番号を記録するバッファである。

【００５７】次に、I/O-I/Fスケジュール装置１２の動
作について説明する。動作開始時、I/O-I/F（Ｃ１）１
２３とI/O-I/F（Ａ２）１２１がデータを送受信できる
ように、信号線切替手段１２５により制御信号線（Ａ
２）１２１１と制御信号線（Ｃ２）１２３１、データ信
号線（Ａ２）１２１２とデータ信号線（Ｃ２）１２３２
が接続されている。

【００５８】いずれかのI/O-I/F（Ｂ２）１２２からデ
ータを送信するように要求するデータ送信要求（接続要
求）があると、このI/O-I/F（Ｂ２）１２２の制御信号
線（Ｂ２）１２２１の状態が変化する。このI/O-I/F
（Ｂ２）１２２の制御信号線監視手段（Ｂ２）１２２３
は、制御信号線（Ｂ２）１２２１の状態が変化したこと
を検出すると（すなわ監視装置３の二次記憶装置５への
接続要求を検出すると）をI/O-I/F切替制御手段１２４
へ接続要求を通知する。I/O-I/F切替制御手段１２４は
リングバッファ１３に、通知をして来たI/O-I/F（Ｂ
２）１２２を示すＩ／Ｆ識別番号（例えばＸとする）を
書き込みポインタ１３１の示すバッファ１３３へ記録
し、リングバッファ１３の書き込みポインタ１３２をイ
ンクリメントする。これによりＩ／Ｆ識別番号Ｘを有す
るI/O-I/F（Ｂ２）１２２は接続待ちの状態に入る。同
様に他の制御信号線監視手段（Ｂ２）１２２３は、対応
する制御信号線（Ｂ２）１２２１の状態が変化したこと
をI/O-I/F切替制御手段１２４へ通知し、I/O-I/F切替制
御手段１２４はリングバッファ１３に、通知があったI/
O-I/F（Ｂ２）１２２を示すＩ／Ｆ識別番号を記録し、
書き込みポインタ１３２をインクリメントする。これに
より通知した順に各I/O-I/F（Ｂ２）１２２は接続待ち
の状態に入る。

【００５９】計算機２が二次記憶装置５の使用を終了す
ると、制御信号監視装置（Ａ２）１２１３は、使用が終
了したことをI/O-I/F切替制御手段１２４へ使用終了通
知として通知する。I/O-I/F切替制御手段１２４は、制
御信号線監視手段（Ａ２）１２１３からI/O-I/F（Ａ
２）１２１によるI/O-I/F（Ｃ２１２３）の使用終了通
知を受信すると、リングバッファ１３を参照し、リング
バッファ１３の先頭を示す読み出しポインタ１３１の示
すバッファ１３３から接続待ちの最上位のI/O-I/Fを示
すＩ／Ｆ識別番号Ｘを取り出し、次の読み出しのため
に、読み出しポインタ１３１をインクリメントする。

【００６０】次いでI/O-I/F切替制御手段１２４は、信
号線切替手段１２５に、Ｉ／Ｆ識別番号Ｘを有するI/O-
I/F（Ｂ２）１２２の制御信号線（Ｂ２）１２２１およ
びデータ信号線（Ｂ２）１２２２をI/O-I/F（Ｃ２）の
制御信号線（Ｃ２）１２３１およびデータ信号線（Ｃ
２）１２３２に切り替えるように命令する。同様に、Ｉ
／Ｆ識別番号ＸのI/O-I/F（Ｂ２）１２２に接続されて
いる監視装置３００が二次記憶装置５の使用を終了する
と、Ｉ／Ｆ識別番号ＸのI/O-I/F（Ｂ２）１２２に対応
する制御信号監視装置（Ｂ２）１２２３は、使用が終了
したことをI/O-I/F切替制御手段１２４へ通知する。通
知を受けたI/O-I/F切替制御手段１２４はリングバッフ
ァ１３から次にI/O-I/F（Ｃ２）１２３と接続するI/O-I
/Fを示すＩ／Ｆ識別番号を取り出す。

【００６１】Ｉ／Ｏスケジュール装置１２は上記のよう
に構成されているので、計算機２から二次記憶装置５へ
のアクセスと、各監視装置３００から二次記憶装置５へ
のアクセスは許容されるが、計算機２から各監視装置３
００へのアクセスは行えず、遮断される。また信号線切
替手段は、計算機２と複数の監視装置３００の内のいず
れか一つのみを二次記憶装置５に接続することになる。

【００６２】上記の構成において、実施の形態１と同様
に、不正行為を行うことを意図する利用者は、利用者端
末１により計算機２に接続された二次記憶装置５上にあ
るファイルに対して、禁止されている操作（読み出し、
書き込み、削除、アクセス権の変更のいずれかまたはそ
の組合せ）を行う。その操作は、I/O-I/Fの命令および
データに変換され、計算機２を経由して、Ｉ／Ｏスケジ
ュール装置１２に出力される。Ｉ／Ｏスケジュール装置
１２は、入力された命令およびデータを接続された二次
記憶装置５に出力する。

【００６３】一方、実施の形態１と同様に各監視装置３
００のファイル監視手段３１は、指定された規則（たと
えば、一定時間間隔やファイルがアクセスされた時な
ど）に基づいて、監視装置３００のI/O-I/F（Ｐ）３３
から二次記憶装置５に対して、監視対象であるファイル
の属性情報の読み出しを行う。その読み出しは、I/O-I/
Fの命令およびデータに変換されて、Ｉ／Ｏスケジュー
ル装置１２に出力される。Ｉ／Ｏスケジュール装置１２
は、入力された命令およびデータに基づいて、接続され
た二次記憶装置５からデータを取得する。Ｉ／Ｏスケジ
ュール装置１２は、取得したデータを監視装置３００の
I/O-I/F（Ｐ）３３へ入力し、監視装置３００は、I/O-I
/Fから受け取ったデータをファイルの属性情報としてフ
ァイル監視手段３１へ返す。

【００６４】計算機２が二次記憶装置５のファイルへア
クセスしている時、監視装置３００のいずれか１つまた
は複数から同時に二次記憶装置５へのアクセス要求があ
った場合は、アクセス要求をした監視装置は、その監視
装置が要求したアクセス要求の命令およびデータが実行
されるまで、Ｉ／Ｏスケジュール装置１２からの応答を
待つ。

【００６５】計算機２または監視装置が要求した命令お
よびデータの実行はリングバッファ１３により、管理さ
れる。上記の通りI/O-I/F（Ａ２）１２１および各I/O-I
/F（Ｂ２）１２２にはそれぞれを識別するためのＩ／Ｆ
識別番号が付与されている。これらのうち接続待ちとな
ったI/O-I/Fは、書き込みポインタ１３１にあるバッフ
ァ１３３へＩ／Ｆ識別番号を記録され、書き込みポイン
タ１３２が１つインクリメントされる。

【００６６】Ｉ／Ｏスケジュール装置１２は、計算機２
または監視装置が要求した命令を受け付けた時、リング
バッファ１３へ要求元の計算機２または監視装置３００
に対応するI/O-I/Fの識別番号を書き込む。最後のバッ
ファ１３３へ識別番号を記録した時、書き込みポインタ
１３１は、バッファ１３３の先頭を指すように設定され
る。

【００６７】計算機２の二次記憶装置５へのファイルア
クセスが終了した時、Ｉ／Ｏスケジュール装置１２は、
リングバッファ１３の読み出しポインタ１３１の指すバ
ッファ１３３の中に蓄積されるＩ／Ｆ識別番号のI/O-I/
Fからの命令およびデータを実行し、読み出しポインタ
１３１を１インクリメントする。読み出しポインタ１３
１が書き込みポインタ１３２と同じバッファ１３３を指
している時、処理待ちしているI/O-I/Fは無いと判断
し、すべてのI/O-I/Fからの命令およびデータの待ち状
態となる。

【００６８】以上のようにI/O-I/F切替制御手段１２４
は制御信号線監視手段（Ａ２）１２１３と制御信号線監
視手段（Ｂ２）１２２３が接続要求を検出した際に出す
通知を受信した順に従って、各通知に対応する計算機２
または監視装置３００を二次記憶装置５に接続する。

【００６９】次に、ファイルの監視に関する初期設定方
法について説明する。Ｉ／Ｏスケジュール装置１２のI/
O-I/F（Ｃ２）１２３に二次記憶装置５を接続し、次い
で計算機２のI/O-I/Fに、Ｉ／Ｏスケジュール装置１２
のI/O-I/F（Ａ２）１２１を接続する。さらに各監視装
置のI/O-I/F（Ｐ）３３に、Ｉ／Ｏスケジュール装置１
２の各I/O-I/F（Ｂ２）１２２を接続する。

【００７０】計算機２の電源を入れると、計算機２は保
有するソフトウェア（ＯＳおよびアプリケーション）か
ら二次記憶装置５の読み出し、書き込みができるよう
に、二次記憶装置５を初期化する。同時に計算機２は、
各監視装置３００上のソフトウェア（ＯＳおよびアプリ
ケーション）から読み出しができるように、二次記憶装
置５を初期化する。

【００７１】監視管理装置１１と各監視装置３００の電
源を入れると、各監視装置３００は、保有するソフトウ
ェア（ＯＳおよびアプリケーション）から読み出しがで
きるように二次記憶装置５を初期化し、監視管理装置１
１は、二次記憶装置５内の監視対象とするファイルの名
称および監視対象とするそのファイルに対して禁止され
ているアクセス行為（禁止アクセス行為）の種類を二次
記憶装置５から読み出し、全体監視データ設定ファイル
格納手段１１３に、例えば図１３のようなデータ形式で
全体監視データ設定ファイル１１３ａとして記録する。
このように視管理装置１１が二次記憶装置５内の監視対
象とするファイルの名称および禁止アクセス行為を読み
出すには、いずれか１台の監視装置３００を経由しても
よいし、または管理ネットワーク５００を通じて直接Ｉ
／Ｏスケジュール装置１２の図示しないI/O-I/F経由で
二次記憶装置５にアクセスしてもよい。

【００７２】この全体監視データ設定ファイル１１３ａ
は実施の形態１における監視データ設定ファイル３４１
（図５）と同様の形式であり、ファイル名は、絶対パス
名（/target/etc/passwd ）を監視対象パス名１１３Ｂ
として記録する。監視対象とするファイルへの禁止され
ているアクセス行為は、読み出し、書き込み、アクセス
権の変更を意味するアクセス行為コード１１３ｃ(読み
出しは３、書き込みは２、アクセス権の変更は１など)
を指定する。アクセス行為コード１１３ｃは、１つの監
視対象パス名に対して複数個記述できる。

【００７３】監視管理装置１１上で、ファイル監視管理
手段１１１を起動し、さらに各監視装置３００上で、フ
ァイル監視手段３１を起動する。ファイル監視管理手段
１１１は図１３の全体監視データ設定ファイル１１３ａ
を、監視管理装置１１と管理ネットワーク５００を経由
して接続している監視装置３００の個数Ｎ個に分割し、
それぞれを図１４の形式の分割監視データ設定ファイル
１１３ｄとする。全体監視データ設定ファイル１１３ａ
のデータ数Ｍ個を監視装置の個数Ｎ個で割った商を分割
した分割監視データ設定ファイル９のデータ数をＱとす
る。図１４ではＱ＝２である。ＭをＮで割った時あまり
がある場合は、商に１を足した数を分割監視データ設定
ファイル１１３ｄのデータ数Ｑとする。ファイル監視管
理手段１１１は、データ数Ｑで、全体監視データ設定フ
ァイル１１３ａを分割し、分割監視データ設定ファイル
１１３ｄをそれぞれ、管理ネットワーク５００を経由し
て、各監視装置３００上のファイル監視手段３１へ送信
する。

【００７４】各監視装置３００上のファイル監視手段３
１は、分割監視データ設定ファイル１１３ｄを受信する
と、この受信した分割監視データ設定ファイル１１３ｄ
を監視データ設定ファイル格納手段３４に格納し、分割
監視データ設定ファイル１１３ｄに監視対象パス名１１
３ｂが記録されている二次記憶装置５上のすべてのファ
イル（監視対象ファイル）へアクセスし、監視対象ファ
イルに設定されているアクセス権、直近のアクセス時刻
および更新時刻、現状のファイルの大きさからなる属性
情報を取得する。ファイル毎の取得した属性情報を、分
割監視データ設定ファイル１１３ｄの該当するファイル
のデータに、例えば図１５のようなデータ形式で記録し
監視データ設定ファイル格納手段３４に格納する。この
データを属性付き分割監視データ設定ファイル１１３ｅ
とする。以上で初期設定は完了である。上記属性情報
は、そのファイルがアクセルされると、アクセス権、直
近のアクセス時刻、更新時刻、ファイルの大きさの少な
くとも１つ（すなわち属性情報の少なくとも一部）が変
化する。

【００７５】この初期設定においてファイル監視手段３
１が二次記憶装置５から獲得した属性情報が、この発明
における初期属性情報である。

【００７６】この後、各監視装置３００上のファイル監
視手段３１により監視が行われるが、この動作は実施の
形態１と同様である。ファイル監視手段３１が不正行為
があったと判定した場合は、不正行為記録ファイル格納
手段３５内に格納された不正行為記録ファイル３５１ａ
へ、ファイル名、検出日時、不正なアクセス行為コード
（ファイルへのアクセス行為のコードと同じ）を、例え
ば図１６のようなデータ形式で記録する。分割監視デー
タ設定ファイル１１３ｄにあるすべてのファイルについ
て、検査が終了した時、指定された監視周期で待機す
る。不正行為通知手段３２は、不正行為記録ファイル３
５１ａが更新されあらたな情報が追加されたか否かを周
期的に監視し、不正行為記録ファイル３５１ａが更新さ
れたことを検出した場合は、追加された情報を、監視監
視装置３上の通知管理手段１１２へ管理ネットワーク１
３を経由して送信する。

【００７７】次に、不正行為の検出後の処理について説
明する。監視管理装置１１の通知管理手段１１２は、各
監視装置３００から受信した追加された情報を管理者６
へ通知する。管理のポリシーとして、不正行為に関する
情報を速報する必要性がない場合は、各監視装置３００
から受信した情報を不正行為通知ファイル格納手段１１
４へ蓄積し、一定時間毎にデータまとめて、管理者６へ
通知する。通知方法は、実施例１と同様であり、例えば
指定されたメールアドレスへ追加された情報をメールで
送信する方法がある。

【００７８】以上のように、全体監視データ設定ファイ
ル１１３ａを分割し、複数個の監視装置で、監視対象の
ファイルを分担することで、一つの監視装置の担当する
監視対象のファイルを減らすことができることにより、
負荷を低減することができる。また、各監視装置が不正
行為監視を開始する際にはリングバッファ１３による待
ちが発生することがあるが、各ファイルの属性を二次記
憶装置５から読み出して不正行為を検知する作業に時間
を要するため、この検知作業を並行して実行できるの
で、監視処理の時間を短縮することができる。

【００７９】

【発明の効果】以上のように、この発明によれば、監視
装置による監視行為を利用者から発見されないので、信
頼性の高い不正行為の監視を行うことができるという効
果がある。

【００８０】また、この発明によれば、監視処理の時間
を短縮することができるという効果がある。

【図面の簡単な説明】

【図１】この発明における不正行為監視システムを含
むシステム構成図。

【図２】この発明における監視装置３の構成図。

【図３】この発明におけるＩ／Ｏスケジュール装置４
の概略構成図。

【図４】この発明におけるＩ／Ｏスケジュール装置４
の詳細構成図。

【図５】この発明における監視データ設定ファイル３
４１を示す図。

【図６】この発明における属性付き監視データ設定フ
ァイル３４１ａを示す図。

【図７】この発明における不正行為記録ファイル３５
１を示す図。

【図８】この発明における不正行為監視システムを含
むシステム構成図。

【図９】この発明における監視管理装置１１の構成
図。

【図１０】この発明におけるＩ／Ｏスケジュール装置
１２の概略構成図。

【図１１】この発明におけるI/O-I/Fスケジュール装
置１２の詳細構成図。

【図１２】この発明におけるリングバッファ１３の内
部構成図。

【図１３】この発明における全体監視データ設定ファ
イル１１３ａを示す図。

【図１４】この発明における分割監視データ設定ファ
イル１１３ｄを示す図。

【図１５】この発明における属性付き分割監視データ
設定ファイル１１３ｅを示す図。

【図１６】この発明における不正行為記録ファイル３５
１ａを示す図。

【図１７】従来の警報システムの構成図。

【符号の説明】

１利用者端末、２計算機、３監視装置、４
Ｉ／Ｏスケジュール装置、５二次記憶装置、６
管理者、１０ネットワーク、１１監視管理装
置、１２Ｉ／Ｏスケジュール装置、１２Ｃ I/O-
I/F（Ｃ２）、１３リングバッファ、１６バッフ
ァ、３１ファイル監視手段、３２不正行為通知手
段、３３ I/O-I/F（Ｐ）、３４監視データ設定
ファイル格納手段、３５不正行為記録ファイル格納
手段、４１ I/O-I/F（Ａ）、４２ I/O-I/F（Ｂ）、
４３ I/O-I/F（Ｃ）、４４ I/O-I/F切替制御手
段、４５信号線切替手段、１１１ファイル監視
管理手段、１１２通知管理手段、１１３全体監
視データ設定ファイル格納手段、１１３ａ全体監視
データ設定ファイル、１１３ｂ監視対象パス名、
１１３ｃアクセス行為コード、１１３ｄ分割監視
データ設定ファイル、１１３ｅ属性付き分割監視デ
ータ設定ファイル、１１４不正行為通知ファイル格
納手段、１２１ I/O-I/F（Ａ２）、１２２ I/O-I/F
（Ｂ２）、１２３ I/O-I/F（Ｃ２）、１２４ I/O-I
/F切替制御手段、１２５信号線切替手段、１３１
読み出しポインタ、１３２書き込みポインタ、３
００監視装置、３４１監視データ設定ファイル、
３４１ａ属性付き監視データ設定ファイル、３４
２監視対象パス名、３４３アクセス行為コード、
３５１ａ不正行為記録ファイル、４１１制御信号
線（Ａ）、４１２データ信号線（Ａ）、４１３
上記制御信号線監視手段（Ａ）、４２１制御信号線
（Ｂ）、４２２データ信号線（Ｂ）、４２３制御
信号線監視手段（Ｂ）、４３１制御信号線（Ｃ）、
４３２データ信号線（Ｃ）、４４１処理状態保
持バッファ、４４２処理待機状態保持バッファ、
４５１スイッチ、５００管理ネットワーク、１
００１利用者端末、１００２計算機、１００３
ネットワーク、１０２０二次記憶装置、１０２
１ファイル監視プログラム、１０２２監視設定フ
ァイル、１０２３ I/O-I/F（Ａ）、１０２４ I/O-I
/F 、１２１１制御信号線（Ａ２）、１２１２
データ信号線（Ａ２）、１２１３制御信号監視装置
（Ａ２）、１２２１制御信号線（Ｂ２）、１２２
２データ信号線（Ｂ２）、１２２３制御信号線監
視手段（Ｂ２）１２３１制御信号線（Ｃ２）、１
２３２データ信号線（Ｃ２）、１２５１スイッ
チ。

Claims

【特許請求の範囲】

【請求項１】計算機に付属する二次記憶装置への不正
行為を監視する不正行為監視システムであって、上記二次記憶装置への不正行為を監視する不正行為監視
装置と、上記計算機から上記二次記憶装置へのアクセスおよび上
記不正行為監視装置から上記二次記憶装置へのアクセス
をそれぞれ許容し、上記計算機から上記不正行為監視装
置へのアクセスを遮断するＩ／Ｏスケジュール装置とか
らなることを特徴とする不正行為監視システム。
【請求項２】上記Ｉ／Ｏスケジュール装置は、上記計算機と上記不正行為監視装置のいずれか一方のみ
を上記二次記憶装置に接続する信号線切替手段を有する
ことを特徴とする請求項１に記載の不正行為監視システ
ム。
【請求項３】上記Ｉ／Ｏスケジュール装置は、上記計算機の上記二次記憶装置への接続要求を検出する
計算機監視手段と、上記不正行為監視装置の上記二次記憶装置への接続要求
を検出する監視装置監視手段と、上記信号線切替手段を制御する切替制御手段とをさらに
備え、上記計算機監視手段および監視装置監視手段は接続要求
を検出するとそれぞれ上記切替制御手段に通知し、上記切替制御手段は、上記通知の受信順に上記計算機と
上記監視装置を上記二次記憶装置に接続するように上記
信号線切替手段を制御することを特徴とする請求項２に
記載の不正行為監視システム。
【請求項４】上記二次記憶装置は、ファイルと、該フ
ァイルがアクセスされると該アクセス行為の種類に応じ
て少なくとも一部が変化する属性情報とを対応付けて記
憶し、上記不正行為監視装置は、監視データ設定ファイル格納
手段と、ファイル監視手段を備え、上記監視データ設定ファイル格納手段は、上記二次記憶装置が記憶しているファイルのファイル名
と、該ファイルに対して禁止されている禁止アクセス行
為の種類と、第１の時刻において上記二次記憶装置から
獲得したファイルの属性情報である初期属性情報とを記
述した属性付き監視データ設定ファイルを保持し、上記ファイル監視手段は、上記第１の時刻より後の第２の時刻に上記二次記憶装置
から獲得したファイルの属性情報である監視用属性情報
と、上記属性付き監視データ設定ファイルの初期属性情
報を比較し、２つの属性情報の間に変化があり、該変化に対応するア
クセス行為が上記ファイルに対する禁止アクセス行為で
あった場合に、上記第１の時刻から第２の時刻の間に上記ファイルに対
して禁止アクセス行為があったと判定することを特徴と
する請求項３に記載の不正行為監視システム。
【請求項５】上記不正行為監視装置は不正行為通知手
段をさらに備え、該不正行為通知手段は、上記ファイル監視手段があったと判定した禁止アクセス
行為を記述した不正行為通知を上記不正行為監視装置外
部へ送信することを特徴とする請求項４記載の不正行為
監視システム。
【請求項６】上記不正行為監視装置は不正行為記録フ
ァイル格納手段をさらに備え、上記ファイル監視手段は、禁止アクセス行為があったと
判定した場合、この禁止アクセス行為を記述した不正行
為記録ファイルを上記不正行為記録ファイル格納手段に
格納し、上記不正行為通知手段は上記不正行為記録ファイルが更
新されると上記不正行為通知を上記不正行為監視装置外
部へ送信することを特徴とする請求項５に記載の不正行
為監視システム。
【請求項７】計算機に付属する二次記憶装置への不正
行為を監視する不正行為監視システムであって、上記二次記憶装置への不正行為を監視する複数の不正行
為監視装置と、上記計算機から上記二次記憶装置へのアクセスおよび各
不正行為監視装置から上記二次記憶装置へのアクセスを
それぞれ許容し、上記計算機から上記不正行為監視装置
のいずれへのアクセスも遮断するＩ／Ｏスケジュール装
置とからなることを特徴とする不正行為監視システム。
【請求項８】上記Ｉ／Ｏスケジュール装置は、上記複数の不正行為監視装置と上記計算機の中のいずれ
か一つのみを上記二次記憶装置に接続する信号線切替手
段を有することを特徴とする請求項７に記載の不正行為
監視システム。
【請求項９】上記Ｉ／Ｏスケジュール装置は、上記計算機の上記二次記憶装置への接続要求を検出する
計算機監視手段と、上記複数の不正行為監視装置の上記二次記憶装置への接
続要求をそれぞれ検出する複数の監視装置監視手段と、上記信号線切替手段を制御する切替制御手段とをさらに
備え、上記計算機監視手段および監視装置監視手段は接続要求
を検出するとそれぞれ上記切替制御手段に通知し、上記切替制御手段は、上記通知の受信順に上記計算機と
上記監視装置を上記二次記憶装置に接続するように上記
信号線切替手段を制御することを特徴とする請求項７に
記載の不正行為監視システム。
【請求項１０】全体監視データ設定ファイル格納手段
とファイル監視管理手段を備えた監視管理装置をさらに
備え、上記二次記憶装置は、ファイルの名称と、該ファイルが
アクセスされると該アクセス行為の種類に応じて少なく
とも一部が変化する属性情報とを対応付けて記憶し、上記複数の不正行為監視装置は、それぞれファイル監視
手段を備え、上記監視管理装置の全体監視データ設定ファイル格納手
段は上記二次記憶装置が記憶するファイルと、該ファイルに
対して禁止されている禁止アクセス行為の種類とを記述
した全体監視データ設定ファイルを保持し、上記監視管理装置のファイル監視管理手段は上記全体監
視データ設定ファイルを分割して分割監視データ設定フ
ァイルとして上記複数の不正行為監視装置に送信し、上記各不正行為監視装置のファイル監視手段は上記受信
した分割監視データ設定ファイルに記述されている上記
二次記憶装置上のファイルの属性情報である初期属性情
報を獲得して分割監視データ設定ファイルに追記して属
性付き分割監視データ設定ファイルとし、上記初期属性
情報を獲得した時刻より後に分割監視データ設定ファイ
ルに記述されている上記二次記憶装置上のファイルの属
性情報を監視用属性情報として獲得し、上記属性付き
分割監視データ設定ファイルの初期属性情報と上記監視
用属性情報を比較し、２つの属性情報の間に変化があり、該変化に対応するア
クセス行為が上記ファイルに対する禁止アクセス行為で
あった場合に、上記初期属性情報を獲得した時刻から上記監視用属性情
報を獲得した時刻の間に上記ファイルに対して禁止アク
セス行為があったと判定することを特徴とする請求項９
に記載の不正行為監視システム。
【請求項１１】上記各不正行為監視装置は不正行為通
知手段をさらに備え、該不正行為通知手段は、上記ファイル監視手段があったと判定した禁止アクセス
行為を記述した不正行為通知を上記監視管理装置に送信
することを特徴とする請求項１０に記載の不正行為監視
システム。
【請求項１２】上記不正行為監視装置は不正行為記録
ファイル格納手段をさらに備え、上記ファイル監視手段は、禁止アクセス行為があったと
判定した場合、この禁止アクセス行為を記述した不正行
為記録ファイルを上記不正行為記録ファイル格納手段に
格納し、上記不正行為通知手段は上記不正行為記録ファイルが更
新されると上記不正行為通知を上記監視管理装置に送信
し、上記管理管理装置は上記不正行為通知を受信すると該不
正行為を該監視管理装置外部に通知することを特徴とす
る請求項１１に記載の不正行為監視システム。