JP2006107348A - ログ記録装置及びログ記録方法 - Google Patents

Abstract

【課題】 記録容量が制限されているシステムにおいて、イベントよりも細かい単位で、ログとして記録する対象を制限する。
【解決手段】 本発明に係るログ記録装置１０は、所定のイベントの発生を観測し、イベントに係る情報及び関連オブジェクトに係る情報を取得する観測部１１と、イベントに係る情報から取得された少なくとも１つのサブ識別子によって構成されるイベント識別子を生成し、関連オブジェクトに係る情報から取得された少なくとも１つのサブ識別子によって構成されるオブジェクト識別子を生成する識別子生成部１２と、イベント識別子及びオブジェクト識別子によってログを構成して蓄積するログ蓄積部１３と、サブ識別子に対するマスク条件を含む更新規則に基づいて、サブ識別子をマスクしてログを更新するログ更新部１４とを具備する。
【選択図】 図１

Description

本発明は、観測対象の動作状態のログを記録するログ記録装置及びログ記録方法に関する。

従来から、装置やソフトウェア等の観測対象の管理者は、観測対象を管理・解析するための重要な情報源として、観測対象の動作状態の記録である「ログ」を利用している。

例えば、システムの管理者は、ＵＮＩＸ（登録商標） ＯＳのシステムログ（シスログ）によって記録されたログを解析することにより、システムの異常動作の原因解析や、不正侵入の検知・追跡等を行っている。

なお、ＵＮＩＸ（登録商標） ＯＳのシステムログ（シスログ）は、ＵＮＩＸ（登録商標） ＯＳによって管理されるシステムのログを一元的に収集する機構である。そして、ＵＮＩＸ（登録商標） ＯＳのシステムログ（シスログ）は、認証関連の情報を記録したり、ＵＮＩＸ（登録商標） ＯＳ（カーネル）や認証機構やサーバプログラムやユーザアプリケーション等の動作状態を記録したりすることができる。

また、ウェブサーバ等のサーバプログラムの管理者は、サーバプログラムへのアクセスログを利用して、ウェブサイトへのアクセス傾向を分析したり、ウェブサイトの構成の改善にフィードバックしたりしている。
Ｋｉｎｇ、Ｃｈｅｎ、「Ｂａｃｋｔｒａｃｋｉｎｇ Ｉｎｔｒｕｓｉｏｎ」、ＡＣＭ ＳＯＳＰ ２００３年

上述のように、ログを利用して観測対象を解析することは、観測対象における管理や動作改善のためには有用であるが、ログの記録頻度やログの保管期間や各ログに含まれる情報量によっては、記録すべきログのサイズが膨大となるという問題点があった。

かかる問題点を解決するために、下記のような対策が知られている。

（対策１） ログとして記録する対象を制限する。

（対策２） ログを記録するための専用装置を設ける。

（対策３） 定期的に大容量メディアにログをバックアップする。

（対策１）を実現するために、ＵＮＩＸ（登録商標） ＯＳのシステムログを用いることが知られている。

かかるＵＮＩＸ（登録商標） ＯＳのシステムログは、システムで発生するイベントに対して「重要度（ｐｒｉｏｒｉｔｙ）」及び「種別（ｆａｃｉｌｉｔｙ）」を割り当て、所定の重要度以上のイベント又は特定の種別のイベントに係るログのみを記録するように設定することができる。

しかしながら、ＵＮＩＸ（登録商標） ＯＳのシステムログは、イベント単位で、種別及び重要度を割り当てるように構成されているため、イベント単位でしか、ログとして記録する対象を制限することができないという問題点があった。

例えば、システムの管理者が、不正侵入の追跡のためにログを使用する場合、攻撃者の行動を重要度の低いイベントも含めて解析し、証拠として残す必要があるが、上述のように、ＵＮＩＸ（登録商標） ＯＳのシステムログが、イベント単位で、ログとして記録する対象を制限してしまった場合、不正侵入の追跡パスを分断してしまう危険性があるという問題点があった。

また、（対策２）及び（対策３）は、記録容量が制限されており接続可能なデバイスが制限されているシステム（例えば、携帯電話端末）では、実現困難であるという問題点があった。

そこで、本発明は、以上の点に鑑みてなされたもので、記録容量が制限されているシステムにおいて、イベントよりも細かい単位で、ログとして記録する対象を制限することが可能なログ記録装置及びログ記録方法を提供することを目的とする。

本発明の第１の特徴は、観測対象の動作状態のログを記録するログ記録装置であって、所定のイベントの発生を観測し、該イベントに係る情報及び該イベントに関連するオブジェクトに係る情報を取得する観測部と、前記イベントに係る情報から取得された少なくとも１つのサブ識別子によって構成されるイベント識別子を生成し、前記オブジェクトに係る情報から取得された少なくとも１つのサブ識別子によって構成されるオブジェクト識別子を生成する識別子生成部と、前記イベント識別子及び前記オブジェクト識別子によって前記ログを構成して蓄積するログ蓄積部と、前記サブ識別子に対する更新規則に基づいて、前記ログを構成する前記サブ識別子に対して所定の更新処理を施して該ログを更新するログ更新部とを具備することを要旨とする。

本発明の第１の特徴において、フラグ設定規則に基づいて、前記イベント識別子又は前記オブジェクト識別子の少なくとも１つにフラグを設定するフラグ設定部を具備し、前記ログ更新部が、前記フラグの種別を含む前記更新規則に基づいて前記ログを更新するように構成されていてもよい。

本発明の第１の特徴において、フラグ設定規則に基づいて、前記イベントに係る情報又は前記オブジェクトに係る情報の少なくとも１つにフラグを対応付け、対応付けられた前記フラグの種別に基づいて前記識別子生成部に送信する前記イベントに係る情報又は前記オブジェクトに係る情報を選別する選別部をさらに具備するように構成されていてもよい。

本発明の第１の特徴において、前記観測対象におけるオブジェクトの状態に応じて前記フラグ設定規則を更新するフラグ設定規則更新部をさらに具備するように構成されていてもよい。

本発明の第１の特徴において、前記フラグ設定規則更新部が、前記オブジェクトが正常状態に変化したことを検知した場合、前記フラグとして正常フラグを設定するように前記フラグ設定規則を更新するように構成されていてもよい。

本発明の第１の特徴において、前記観測部が、前記観測対象システムに格納されているオブジェクト記述子を取得し、前記フラグ設定部が、前記フラグ設定規則及び前記オブジェクト記述子に基づいて前記フラグを設定するように構成されていてもよい。

本発明の第１の特徴において、前記更新規則の改竄を検知する改竄検知部を具備し、前記ログ更新部が、前記更新規則の改竄が検知されない場合にのみ、前記ログを更新するように構成されていてもよい。

本発明の第１の特徴において、前記フラグ設定規則の改竄を検知する改竄検知部を具備し、前記フラグ設定部が、前記フラグ設定規則の改竄が検知されない場合にのみ、前記フラグを設定するように構成されていてもよい。

本発明の第１の特徴において、前記イベント識別子又は前記オブジェクト識別子の少なくとも１つは、前記サブ識別子の数量を特定するための数量特定情報を含み、前記ログ更新部が、前記ログを構成する前記サブ識別子をマスクした場合に、前記数量特定情報を更新するように構成されていてもよい。

本発明の第２の特徴は、観測対象の動作状態のログを記録するログ記録方法であって、所定のイベントの発生を観測し、該イベントに係る情報及び該イベントに関連するオブジェクトに係る情報を取得する工程と、前記イベントに係る情報から取得された少なくとも１つのサブ識別子によって構成されるイベント識別子を生成し、前記オブジェクトに係る情報から取得された少なくとも１つのサブ識別子によって構成されるオブジェクト識別子を生成する工程と、前記イベント識別子及び前記オブジェクト識別子によって前記ログを構成して蓄積する工程と、前記サブ識別子に対する更新規則に基づいて、前記ログを構成する前記サブ識別子に対して所定の更新処理を施して該ログを更新する工程とを有することを要旨とする。

以上説明したように、本発明によれば、記録容量が制限されているシステムにおいて、イベントよりも細かい単位で、ログとして記録する対象を制限することが可能なログ記録装置及びログ記録方法を提供することができる。

（本発明の第１の実施形態に係るログ記録装置の構成）
図１乃至図６を参照して、本発明の第１の実施形態に係るログ記録装置１０の構成について説明する。本実施形態に係るログ記録装置１０は、観測対象システム１の動作状態のログを記録する、すなわち、観測対象システム１で発生したイベントに係るログを記録・更新する装置である。

観測部１１は、観測対象システム１で発生した所定のイベントの発生を観測し、当該イベントに係る情報（イベント情報）及び当該イベントに関連するオブジェクト（関連オブジェクト）に係る情報（オブジェクト情報）を取得するものである。また、観測部１１は、取得したイベント情報及びオブジェクト情報を識別子生成部１２に送信する。

ここで、イベントには、例えば、観測対象システム１のＯＳに対して発行されたシステムコールや、ＯＳによって生成されるシグナル等が含まれる。また、イベント情報には、システムコールの種別（システムコール名）や、シグナルの種別（シグナル名）や、システムコール又はシグナルの発生時間等が含まれる。

一方、オブジェクトには、例えば、プロセスやファイルやファイル名等が含まれる。また、オブジェクト情報には、オブジェクトの識別情報や、プロセスの開始時刻や、ファイルの書込時刻や、ファイル名の修正時刻等が含まれる。すなわち、オブジェクト情報には、ＯＳが当該オブジェクトを管理する際に参照する情報等が含まれる。

なお、図１は、ログ記録装置１０は、観測対象システム１とは別の装置である構成を示しているが、本発明は、かかる構成に限定されるものではなく、観測対象システム１と同じ装置上にログ記録機能１０を実装する構成にも適用可能である。

例えば、本発明は、図１におけるログ記録装置１０に含まれる機能要素１１乃至１４をＯＳ内のモジュールとして実装し、ＯＳで観測可能なイベントに係るログを記録するといった構成にも適用可能である。

識別子生成部１２は、イベント情報から取得された少なくとも１つのサブ識別子によって構成されるイベント識別子を生成し、オブジェクト情報から取得された少なくとも１つのサブ識別子によって構成されるオブジェクト識別子を生成するものである。

具体的には、識別子生成部１２は、観測部１１から入力されたイベント情報及びオブジェクト情報に基づいて、観測部１１によって観測されたイベントに対してイベント識別子構成情報で規定される構成を有するイベント識別子を生成し、観測部１１によって観測された関連オブジェクトに対してオブジェクト識別子構成情報で規定される構成を有するオブジェクト識別子を生成する。
図２に、イベント識別子構成情報の一例を示す。例えば、識別子生成部１２は、図２に示すイベント識別子構成情報を参照した場合、システムコール（イベント種別：０Ｘ０１）に対して、サブ識別子「システムコール名」とサブ識別子「発生時刻」とによって構成されるイベント識別子を生成し、シグナル（イベント種別：０ｘ０２）に対して、サブ識別子「シグナル名」とサブ識別子「発生時刻」とによって構成されるイベント識別子を生成する。

また、図３に、オブジェクト識別子構成情報の一例を示す。例えば、識別子生成部１２は、図３に示すオブジェクト識別子構成情報を参照した場合、プロセス（オブジェクト種別：０Ｘ０１）に対して、サブ識別子「プログラムパス名」とサブ識別子「親プロセス」とサブ識別子「プロセスＩＤ（ｐｉｄ）」と「サブ識別子「開始時刻」とによって構成されるオブジェクト識別子を生成し、ファイル（オブジェクト種別：０Ｘ０２）に対して、サブ識別子「ｉノード番号」とサブ識別子「デバイス番号」とサブ識別子「書込時刻」とサブ識別子「バージョン」とによって構成されるオブジェクト識別子を生成し、ファイル名（オブジェクト種別：０Ｘ０３）に対して、サブ識別子「パス名」とサブ識別子「修正時刻」とによって構成されるオブジェクト識別子を生成する。

識別子生成部１２は、生成したイベント識別子及びオブジェクト識別子を対応付けてログ蓄積部１３に送信する。

ログ蓄積部１３は、識別子生成部１２によって生成されたイベント識別子及びオブジェクト識別子によってログを構成して蓄積するものである。

例えば、ログ蓄積部１３は、図４に示すように、イベント識別子と複数のオブジェクト識別子＃１、＃２…とを対応付けた形式のログを蓄積して管理する。

ログ更新部１４は、サブ識別子に対する更新規則に基づいて、ログを構成するサブ識別子に対して所定の更新処理を施して当該ログを更新するものである。

例えば、ログ更新部１４は、サブ識別子に対する更新規則に含まれるマスク条件に基づいて、ログを構成するサブ識別子をマスクして当該ログを更新するように構成されている。

図５に、更新規則の一例を示す。図５に示す更新規則には、オブジェクト識別子を構成するサブ識別子に対するマスク条件が含まれている。

例えば、ログ更新部１４は、図５に示す更新規則を参照した場合、プロセスが開始されてから閾値１以上の時間が経過した際に、プロセスに係るオブジェクト識別子を構成するサブ識別子「親プロセス」と「プロセスＩＤ（ｐｉｄ）」と「開始時刻」とをマスクする。

また、ログ更新部１４は、図５に示す更新規則を参照した場合、観測対象システム１のリブート時に、プロセスに係るオブジェクト識別子を構成するサブ識別子「プロセスＩＤ（ｐｉｄ）」と「開始時刻」とをマスクする。

なお、ログ更新部１４は、図５に示す更新規則を参照した場合、プロセスに係るオブジェクト識別子を構成するサブ識別子「プログラムパス名」をマスクすることができない。

例えば、ログ更新部１４は、該当するサブ識別子に対して「０」を上書きすることで、上述のマスク処理を実現することができる。

また、ログ更新部１４は、マスク処理の結果、ログを構成する識別子（イベント識別子及びオブジェクト識別子）が一致する複数のログを、１つのログにまとめることができる。

また、イベント識別子又はオブジェクト識別子の少なくとも１つが、サブ識別子の数量を特定するための数量特定情報を含むように構成されていてもよい。図６に、かかる数量特定情報を含むオブジェクト識別子構成情報の一例を示す。

ログ更新部１４は、かかる数量特定情報に基づいて、マスク可能なサブ識別子を削除して、オブジェクト識別子（又は、イベント識別子）のビット長を削減することができる。

また、ログ更新部は、サブ識別子を削除した後も正しくログを読み取ることができるように、かかる数量特定情報を更新する。

なお、イベント識別子又はオブジェクト識別子の少なくとも１つに数量特定情報を追加する以外にも、各サブ識別子に後続のサブ識別子が存在するかどうかを示すマーカーを付与することで、同等の機能を実現可能である。

（本発明の第１の実施形態に係るログ記録装置の動作）
図７を参照して、本発明の第１の実施形態に係るログ記録装置１０の動作（ログ記録方法）について説明する。

図７に示すように、ステップＳ１００１において、ログ記録装置１０は、観測対象システム１において所定のイベントの発生を観測した場合に、観測対象システム１からイベント情報及びオブジェクト情報を取得する。

ステップＳ１００２において、ログ記録装置１０は、取得したイベント情報及びオブジェクト情報に基づいて、イベント識別子及びオブジェクト識別子を生成する。図８に、生成された様々なイベント識別子及びオブジェクト識別子の例を示す。

ステップＳ１００３において、ログ記録装置１０は、生成したイベント識別子及びオブジェクト識別子を対応付けることによって、上述のイベントに係るログを生成して蓄積する。

ステップＳ１００４において、更新規則に基づいて、ログ（イベント識別子及びオブジェクト識別子）を構成するサブ識別子をマスクすることによって、当該ログを更新する。

図９を参照して、かかるログの更新方法について説明する。図９（ａ）は、更新前のログを示し、図９（ｂ）は、更新後のログを示す。図９（ａ）において、ログ＃１は、時刻「５」に生成されたものであり、ログ＃２は、時刻「１０」に生成されたものである。

ログ更新部１４は、ログ記録装置１０は、更新規則に基づいて、特定のサブ識別子をマスクした結果、ログ＃１とログ＃２を構成する識別子（イベント識別子及びオブジェクト識別子）が一致した場合、２つのログのうち、新しく生成されたログ＃２のみを残してログ＃１を削減する。

（本発明の第１の実施形態に係るログ記録装置の作用・効果）
本発明の第１の実施形態に係るログ記録装置１０によれば、イベント単位のイベント情報（及び、オブジェクト情報）から取得した重要度や種別の異なる情報をサブ識別子として連接したイベント識別子（及び、オブジェクト識別子）によって、イベントに係るログを構成するため、イベントよりも細かい単位で柔軟にログとして記録する対象を設定することができる。

本発明の第１の実施形態に係るログ記録装置１０によれば、所定時間の経過やリブート等といった各種イベントに対応するマスク条件を設定することができ、ログ解析上、不要となった情報を順次削除することが可能となる。

例えば、ログ解析上、リブート前のプロセスＩＤ（ｐｉｄ）が不要である場合、当該サブ識別子をマスクすることにより、ログの情報量を削減することができる。

また、本発明の第１の実施形態に係るログ記録装置１０によれば、ログの更新時に、詳細な情報が不要となったログのサブ識別子をマスクし後、識別子（イベント識別子及びオブジェクト識別子）が同一のログを１つのログとしてまとめることができる。

この結果、詳細な情報が不要なログのサイズを削減することが可能となり、記録容量の限られたシステム（例えば、携帯電話端末）に好適なログ記録機能を実現できる。

また、本発明の第１の実施形態に係るログ記録装置１０によれば、イベント識別子やオブジェクト識別子が数量特定情報を含むため、ログ解析上、重要度の低い情報を含むサブ識別子を削除することが可能となり、ログの情報量を削減する効果を得ることができる。

（本発明の第２の実施形態に係るログ記録装置）
図１０乃至図１４を参照して、本発明の第２の実施形態に係るログ記録装置１０について説明する。以下、本実施形態に係るログ記録装置１０について、上述の第１の実施形態に係るログ記録装置１０との相違点を主として説明する。

図１０に示すように、本実施形態に係るログ記録装置１０は、上述の第１の実施形態に係るログ記録装置１０の構成に加えて、フラグ設定部２１を具備している。

フラグ設定部２１は、フラグ設定規則に基づいて、イベント識別子又はオブジェクト識別子の少なくとも１つにフラグを設定するものである。

図１１に、フラグ設定部２１によって設定されるフラグの一例を示す。例えば、共有メモリ等の一時的なオブジェクトに係るオブジェクト識別子には、「ｔｅｍｐｏｒａｌフラグ」が設定され、システムファイルの変更等の重要度の高いイベントに係るイベント識別子には、消去不可能であることを示す「ｅｔｅｒｎａｌフラグ」が設定される。

図１２に、フラグ設定規則の一例を示す。図１２に示すように、例えば、フラグ設定規則は、識別子（イベント識別子及びオブジェクト識別子）又はサブ識別子とフラグとの対応表により実現可能である。

ログ蓄積部１３は、図１３に示すように、フラグ設定部２１によってフラグが設定されたイベント識別子及びオブジェクト識別子によってログを構成して蓄積するものである。

本実施形態において、更新規則は、フラグに応じた更新処理を定義可能である。例えば、更新規則は、以下のように、フラグに応じた更新処理を定義する。

-「ｔｅｍｐｏｒａｌフラグ」が設定されたオブジェクト識別子について、リブート時に削除する。

-「ｃｌｅａｎフラグ」が設定されたイベント識別子又はオブジェクト識別子について、一定時間が経過した後に削除する。

-「ｅｔｅｒｎａｌフラグ」が設定されたイベント識別子又はオブジェクト識別子については削除を禁止する。

すなわち、ログ更新部１４は、更新規則に含まれるマスク条件及びフラグの種別（例えば、「ｔｅｍｐｏｒａｌフラグ」や「ｃｌｅａｎフラグ」や「ｅｔｅｒｎａｌフラグ」等）に基づいてログを更新するように構成されている。

また、本実施形態において、観測部１１が、観測対象システム１に格納されているオブジェクト記述子を取得するように構成されており、フラグ設定部２１が、フラグ設定規則及びオブジェクト記述子に基づいてフラグを設定するように構成されていてもよい。

次に、図１４を参照して、本発明の第２の実施形態に係るログ記録装置１０の動作（ログ記録方法）について説明する。

図１４に示すように、ステップＳ２００１において、ログ記録装置１０は、観測対象システム１において所定のイベントの発生を観測した場合に、観測対象システム１からイベント情報及びオブジェクト情報を取得する。かかる場合、ログ記録装置１０は、観測対象システム１に格納されているオブジェクト記述子を取得するように構成されていてもよい。

ステップＳ２００２において、ログ記録装置１０は、取得したイベント情報及びオブジェクト情報に基づいて、イベント識別子及びオブジェクト識別子を生成する。

ステップＳ２００３において、ログ記録装置１０は、フラグ設定規則に基づいて、所定の識別子（イベント識別子及びオブジェクト識別子）又はサブ識別子に対してフラグを設定する。

ステップＳ２００４において、ログ記録装置１０は、フラグが設定されたイベント識別子及びオブジェクト識別子を対応付けることによって、上述のイベントに係るログを生成して蓄積する。

ステップＳ２００５において、ログ記録装置１０は、更新規則に基づいて、ログ（イベント識別子及びオブジェクト識別子）を構成するサブ識別子をマスクすることによって、かつ、更新規則によって定義されている更新処理を施すことによって、当該ログを更新する。

本発明の第２の実施形態に係るログ記録装置１０によれば、フラグ設定部２１が、イベント識別子及びオブジェクト識別子に対応付けてフラグを設定し、ログ更新部１４が、設定したフラグの種別に応じて更新処理を行うことができる。

ここで、フラグ設定部２１は、イベントの種別やオブジェクトの種別に応じてフラグを設定することができるため、一時的なオブジェクトや正常動作であることが確認済みのオブジェクトやイベント等、ログ解析上、重要度が低いログを更新時又は観測時に削除することができる。

この結果、本実施形態に係るログ記録装置１０によれば、記録すべきログのサイズを低減する効果や、ログの記録に伴うオーバーヘッドを軽減する効果を得ることができる。

本発明の第２の実施形態に係るログ記録装置１０によれば、フラグによって、施されるべき更新処理（イベント又はオブジェクトの属性）を表現することができるため、同一の更新処理が施されるべき識別子（サブ識別子）に対して同一のフラグを割り当てればよく、容易に更新規則を記述することができる。

また、本発明の第２の実施形態に係るログ記録装置１０によれば、オブジェクト記述子（プロセス記述子やファイル記述子）中に、フラグ設定に係る情報を埋め込むことにより、観測対象システム１側から、フラグ設定を制御することが可能となる。この結果、本発明の第２の実施形態に係るログ記録装置１０によれば、オブジェクトの状態変化を、より迅速に更新処理に反映することができる。

（本発明の第３の実施形態に係るログ記録装置）
図１５乃至図１７を参照して、本発明の第３の実施形態に係るログ記録装置１０について説明する。以下、本実施形態に係るログ記録装置１０について、上述の第１及び第２の実施形態に係るログ記録装置１０との相違点を主として説明する。

本実施形態に係るログ記録装置１０は、上述の第１及び第２の実施形態に係るログ記録装置１０の構成に加えて、選別部２２を具備している。

選別部２２は、フラグ設定規則（図１６参照）に基づいて、観測部１１から取得したイベント情報又はオブジェクト情報の少なくとも１つにフラグを対応付け、対応付けられたフラグの種別に基づいて、識別子生成部１２に送信するイベント情報又はオブジェクト情報を選別するものである。

次に、図１７を参照して、本発明の第３の実施形態に係るログ記録装置１０の動作（ログ記録方法）について説明する。

図１７に示すように、ステップＳ３００１において、ログ記録装置１０は、観測対象システム１において所定のイベントの発生を観測した場合に、観測対象システム１からイベント情報及びオブジェクト情報を取得する。

ステップＳ３００２において、ログ記録装置１０は、フラグ設定規則（図１６参照）に基づいて、イベント情報及びオブジェクト情報の各々にフラグを設定する。

ステップＳ３００３において、ログ記録装置１０は、設定されたフラグに基づいて、識別子生成部１２に出力するイベント情報及びオブジェクト情報を選別する。

ステップＳ３００４において、ログ記録装置１０は、取得したイベント情報及びオブジェクト情報に基づいて、イベント識別子及びオブジェクト識別子を生成する。

ステップＳ３００５において、ログ記録装置１０は、生成されたイベント識別子及びオブジェクト識別子を対応付けることによって、上述のイベントに係るログを生成して蓄積する。

ステップＳ３００６において、ログ記録装置１０は、更新規則に基づいて、ログ（イベント識別子及びオブジェクト識別子）を構成するサブ識別子をマスクすることによって、かつ、更新規則によって定義されている更新処理を施すことによって、当該ログを更新する。

本発明の第３の実施形態に係るログ記録装置１０によれば、ログを更新する際にフラグを利用する代わりに、観測したイベントを選別するためにフラグを利用するため、識別子を生成する対象（イベント又はオブジェクト）及びログとして記録する対象を減らすことができ、必要な処理量が軽減され、処理能力の限られたシステム（例えば、携帯電話端末）に好適なログ記録機能を実現できる。

（本発明の第４の実施形態に係るログ記録装置）
図１８を参照して、本発明の第４の実施形態に係るログ記録装置１０について説明する。以下、本実施形態に係るログ記録装置１０について、上述の第１乃至第３の実施形態に係るログ記録装置１０との相違点を主として説明する。

本実施形態に係るログ記録装置１０は、上述の第２の実施形態に係るログ記録装置１０の構成に加えて、フラグ設定規則更新部３１を具備している。

フラグ設定規則更新部３１は、観測対象システム１におけるオブジェクトの状態に応じて、フラグ設定規則を更新するものである。

例えば、フラグ設定規則更新部３１は、観測対象システム１におけるオブジェクトの状態変化を検出する機能と、変化後のオブジェクトの状態に基づいてフラグ設定規則を更新する機能とを備える。

フラグ設定規則更新部３１は、観測対象システム１からの状態変化通知を利用する方法や、オブジェクトの状態情報を定期的に観測対象システム１に要求する方法等を用いて、オブジェクトの状態変化を検出することができる。

例えば、フラグ設定規則更新部３１は、オブジェクトが正常状態に変化したことを検知した場合、フラグとして正常フラグを設定するように、フラグ設定規則を更新する。

すなわち、フラグ設定規則更新部３１は、観測対象システム１において動作中のプロセスが正常に動作していることを検証した時点で、記録されている識別子に「ｃｌｅａｎフラグ」を設定するように、フラグ設定規則を更新する。

なお、プロセスの正常動作の検証は、例えば、ＯＳが、プロセスの実行系列を監査して正常動作時の実行系列と比較することによって実現可能である。

上述のように、フラグ設定規則更新部３１が、フラグ設定規則を更新することにより、プロセスの正常動作の確認以後に記録された識別子は、一定時間経過後に削除可能となる。

一方、同一のプロセスであっても、かかるプロセスの正常動作の確認以前に記録された識別子に対しては、異なる更新処理を適用することが可能となる。

また、本実施形態では、フラグ設定規則更新部３１は、フラグ設定部２１によって参照されるフラグ設定規則を更新するように構成されているが、上述の第３の実施形態に係る選別部２２によって参照されるフラグ設定規則を更新するように構成されていてもよい。

本発明の第４の実施形態に係るログ記録装置１０によれば、観測対象システム１におけるオブジェクトの状態変化に応じて、適切な更新規則を割り当てることが可能になるため、より適切なログの更新処理を行うことが可能となる。

例えば、プロセスの正常動作が確認できた時点で、ログ更新時に削除可能とするフラグを、記録されている識別子に割り当てることにより、正常動作の確認以降のログを削除可能とする。

（本発明の第５の実施形態に係るログ記録装置）
図１９を参照して、本発明の第５の実施形態に係るログ記録装置１０について説明する。以下、本実施形態に係るログ記録装置１０について、上述の第１乃至第４の実施形態に係るログ記録装置１０との相違点を主として説明する。

本実施形態に係るログ記録装置１０は、上述の第４の実施形態に係るログ記録装置１０の構成に加えて、改竄検知部４１を具備している。

改竄検知部４１は、フラグ設定部２１やフラグ設定規則更新部３１やログ更新部１４からの要求に応じて、更新規則及びフラグ設定規則の改竄を検知するものである。

具体的には、改竄検知部４１は、検証対象の更新規則及びフラグ設定規則に対して電子署名を施す機能と、検証対象の更新規則及びフラグ設定規則に付された電子署名を検証して改竄の有無を検証する機能とを備える。なお、電子署名は、公開鍵署名アルゴリズム等を利用することで実現可能である。この場合、ログ記録装置１０の署名鍵によって署名を施して、ログ記録装置１０の公開鍵によって署名検証を行うことで、上述の機能を実現できる。

フラグ設定部２１は、フラグ設定規則の改竄が検知されない場合にのみ、上述のようなフラグ設定処理を行う。一方、フラグ設定規則の改竄が検知された場合、フラグ設定部２１は、フラグ設定処理を中止して、ログ記録装置１０の管理者等にその旨を通知する。

フラグ設定規則更新部３１は、フラグ設定規則の改竄が検知されない場合にのみ、上述のようなフラグ設定規則更新処理を行う。一方、フラグ設定規則の改竄が検知された場合、フラグ設定規則更新部３１は、フラグ設定規則更新処理を中止して、ログ記録装置１０の管理者等にその旨を通知する。なお、フラグ設定規則更新処理が正常に完了した場合、フラグ設定規則更新部３１は、更新済みのフラグ設定規則に対する電子書名を改竄検知部に要求し、電子署名が付されたフラグ設定規則を記録する。

ログ更新部１４は、更新規則の改竄が検知されない場合にのみ、上述のようなログ更新処理を行う。一方、更新規則の改竄が検知された場合、ログ更新部１４は、ログ更新処理を中止して、ログ記録装置１０の管理者等にその旨を通知する。

本発明の第５の実施形態に係るログ記録装置１０によれば、更新規則及びフラグ設定規則の改竄によって、ログ更新処理やフラグ設定処理やフラグ設定規則更新処理を不正に操作するという攻撃を防止することができ、より安全なログ記録装置１０を実現可能となる。

本発明の第１の実施形態に係るログ記録装置の機能ブロック図である。 本発明の第１の実施形態に係るログ記録装置の識別子生成部で参照されるイベント識別子構成情報の一例である。 本発明の第１の実施形態に係るログ記録装置の識別子生成部で参照されるオブジェクト識別子構成情報の一例である。 本発明の第１の実施形態に係るログ記録装置のログ蓄積部に蓄積されるログの一例である。 本発明の第１の実施形態に係るログ記録装置のログ更新部によって参照される更新規則の一例である。 本発明の第１の実施形態に係るログ記録装置の識別子生成部で生成されるオブジェクト識別子の構成の一例である。 本発明の第１の実施形態に係るログ記録装置の動作を示すフローチャートである。 本発明の第１の実施形態に係るログ記録装置の動作を説明するための図である。 本発明の第１の実施形態に係るログ記録装置の動作を説明するための図である。 本発明の第２の実施形態に係るログ記録装置の機能ブロック図である。 本発明の第２の実施形態に係るログ記録装置のフラグ設定部によって設定されるフラグの一例である。 本発明の第２の実施形態に係るログ記録装置のフラグ設定部によって参照されるフラグ設定規則の一例である。 本発明の第２の実施形態に係るログ記録装置のログ蓄積部に蓄積されるログの一例である。 本発明の第２の実施形態に係るログ記録装置の動作を示すフローチャートである。 本発明の第３の実施形態に係るログ記録装置の機能ブロック図である。 本発明の第３の実施形態に係るログ記録装置の選別部によって参照されるフラグ設定規則の一例である。 本発明の第３の実施形態に係るログ記録装置の動作を示すフローチャートである。 本発明の第４の実施形態に係るログ記録装置の機能ブロック図である。 本発明の第５の実施形態に係るログ記録装置の機能ブロック図である。

符号の説明

１…観測対象システム
１０…ログ記録装置
１１…観測部
１２…識別子生成部
１３…ログ蓄積部
１４…ログ更新部
２１…フラグ設定部
２２…選別部
３１…フラグ設定規則更新部
４１…改竄検知部

Claims (10)

1. 観測対象の動作状態のログを記録するログ記録装置であって、
   所定のイベントの発生を観測し、該イベントに係る情報及び該イベントに関連するオブジェクトに係る情報を取得する観測部と、
   前記イベントに係る情報から取得された少なくとも１つのサブ識別子によって構成されるイベント識別子を生成し、前記オブジェクトに係る情報から取得された少なくとも１つのサブ識別子によって構成されるオブジェクト識別子を生成する識別子生成部と、
   前記イベント識別子及び前記オブジェクト識別子によって前記ログを構成して蓄積するログ蓄積部と、
   前記サブ識別子に対する更新規則に基づいて、前記ログを構成する前記サブ識別子に対して所定の更新処理を施して該ログを更新するログ更新部とを具備することを特徴とするログ記録装置。
2. フラグ設定規則に基づいて、前記イベント識別子又は前記オブジェクト識別子の少なくとも１つにフラグを設定するフラグ設定部を具備し、
   前記ログ更新部は、前記フラグの種別を含む前記更新規則に基づいて前記ログを更新することを特徴とする請求項１に記載のログ記録装置。
3. フラグ設定規則に基づいて、前記イベントに係る情報又は前記オブジェクトに係る情報の少なくとも１つにフラグを対応付け、対応付けられた前記フラグの種別に基づいて前記識別子生成部に送信する前記イベントに係る情報又は前記オブジェクトに係る情報を選別する選別部をさらに具備することを特徴とする請求項１に記載のログ記録装置。
4. 前記観測対象におけるオブジェクトの状態に応じて前記フラグ設定規則を更新するフラグ設定規則更新部をさらに具備することを特徴とする請求項２又は３に記載のログ記録装置。
5. 前記フラグ設定規則更新部は、前記オブジェクトが正常状態に変化したことを検知した場合、前記フラグとして正常フラグを設定するように前記フラグ設定規則を更新することを特徴とする請求項４に記載のログ記録装置。
6. 前記観測部は、前記観測対象システムに格納されているオブジェクト記述子を取得し、
   前記フラグ設定部は、前記フラグ設定規則及び前記オブジェクト記述子に基づいて前記フラグを設定することを特徴とする請求項２に記載のログ記録装置。
7. 前記更新規則の改竄を検知する改竄検知部を具備し、
   前記ログ更新部は、前記更新規則の改竄が検知されない場合にのみ、前記ログを更新することを特徴とする請求項１に記載のログ記録装置。
8. 前記フラグ設定規則の改竄を検知する改竄検知部を具備し、
   前記フラグ設定部は、前記フラグ設定規則の改竄が検知されない場合にのみ、前記フラグを設定することを特徴とする請求項２に記載のログ記録装置。
9. 前記イベント識別子又は前記オブジェクト識別子の少なくとも１つは、前記サブ識別子の数量を特定するための数量特定情報を含み、
   前記ログ更新部は、前記ログを構成する前記サブ識別子をマスクした場合に、前記数量特定情報を更新することを特徴とする請求項１に記載のログ記録装置。
10. 観測対象の動作状態のログを記録するログ記録方法であって、
    所定のイベントの発生を観測し、該イベントに係る情報及び該イベントに関連するオブジェクトに係る情報を取得する工程と、
    前記イベントに係る情報から取得された少なくとも１つのサブ識別子によって構成されるイベント識別子を生成し、前記オブジェクトに係る情報から取得された少なくとも１つのサブ識別子によって構成されるオブジェクト識別子を生成する工程と、
    前記イベント識別子及び前記オブジェクト識別子によって前記ログを構成して蓄積する工程と、
    前記サブ識別子に対する更新規則に基づいて、前記ログを構成する前記サブ識別子に対して所定の更新処理を施して該ログを更新する工程とを有することを特徴とするログ記録方法。
    
    

Images