JP2006120130A - アクセスログの管理システム及び管理方法 - Google Patents

Abstract

【課題】
汎用性を維持しつつ、システム運用に際し、不正なアクセス者を特定し、情報の漏洩の原因を的確に追求可能とし、ひいては、情報の漏洩を未然に防止する。
【解決手段】
本発明は、監視プログラム３１により、Webサーバ３を介して送受される要求データ及び応答データを取得し、監視プログラム３１により、要求データ及び応答データから所定の情報を抽出し、抽出された情報をアクセスログとしてアクセスログデータベース７に蓄積し、ログ分析部９４によってアクセスログの分析を行う。
【選択図】 図１

Description

本発明は、ネットワークを介したシステムを利用する際、ユーザーとサーバ間における通信データをアクセスログとして取得し、正確なシステム監査を可能とするセキュリティソリューションアクセスログにおける管理システム及び管理方法に関する。

近年、多くの企業において、回線の高速化やＰＣの普及などにより、ネットワークを通じて、様々な情報を扱うWebシステムが構築されている。その情報には、顧客、契約情報などを含む重要なデータが多く含まれ、外部への漏洩を完全に防止する必要があるものもある。

従来、情報へのアクセスを管理する技術として、情報へのアクセス情報をアクセスログとして蓄積し、これを解析するものがある。このアクセスログの解析については、例えば、特許文献１に開示されたような、システム毎に独自で開発したり、Webページに情報を取得するプログラムを埋め込んだりという形態が採られていた。

この特許文献に開示された技術では、Webサーバに近接させてパケットキャプチャー装置を設置し、このパケットキャプチャー装置にてWebサーバへのパケットを取得し、その取得履歴を、HTTPの「GET」や「POST」等のパラメータを含めたアクセスログとして保存する。パケットキャプチャー装置は、HTML等のブラウザが受信した信号もキャプチャーすることができ、ジャーナルログを作成することで、ユーザーがHTMLデータを受け取ったことも確認することができる。
特開２００３−１４０９９０号公報

しかしながら、上述した特許文献１に開示された技術は、パケットデータの収集を行うのみに止まるものであることから、パケットデータを送受したアクセス者を特定することが困難であるという問題があった。

上述した情報の漏洩にあっては、ローカルネットワーク内部からの漏洩である場合が多いことから、ローカルネットワークにおいて、システム運用中に内部の誰がどのデータを利用したかを把握し、システムの運用中に誰が不正なアクセスをしたかを追跡することが必要となる。

ところが、上記特許文献１に開示された形態では、情報漏洩が発覚した際、不正なアクセスを実行した本人を完全に特定したり、流出したデータを容易に把握することができないという問題があった。

そこで、本発明は以上の点に鑑みてなされたもので、汎用性を維持しつつ、システム運用に際し、不正なアクセス者を特定し、情報の漏洩の原因を的確に追求可能とし、ひいては、情報の漏洩を未然に防止することができるアクセスログの管理システム及び管理方法を提供することをその課題とする。

上記課題を解決するために、本発明は、通信回線を相互に接続して構築される通信ネットワーク上に設置される配信サーバに対するアクセスログを収集するアクセスログ管理システム及び方法であって、配信サーバ上で動作される監視プログラムにより、配信サーバを介して送受される要求データ及び応答データを取得するとともに、要求データ及び応答データから所定の情報（特定のアクセス者を識別するユーザー識別情報を含む）を抽出し、抽出された情報をアクセスログとしてアクセスログデータベースに蓄積し、この蓄積されたアクセスログを用いてログ分析部によりアクセスログの分析を行う。

上記発明において、ユーザー識別情報は、アクセス先を特定するためのサイト名やURL等のアドレス情報、及びアクセスに際して使用されるユーザー名やユーザーID等のユーザー識別子であることが好ましい。

上記発明において、要求データ及び応答データは、ヘッダー部及び実データ部から構成され、監視プログラムは、ヘッダー部又は実データ部に含まれるデータ（例えば、POSTデータやGETデータ）を選択的に抽出可能であることが好ましい。また、上記発明において、圧縮処理部により、アクセスログを圧縮し、アクセスログデータベースに対して蓄積することが好ましい。

上記発明において、要求データ及び応答データを取得する処理、及び所定の情報を抽出する処理は、前記配信サーバ上の監視プログラムで実行することができる。

また、上記発明において、要求データ及び応答データを取得する処理は、前記通信ネットワークと前記配信サーバとの間に配置され、これら通信ネットワーク及び配信サーバ間で送受されるパケットデータを取得するパケットキャプチャー部で実行し、前記所定の情報を抽出する処理は、前記配信サーバ上で実行することができる。

さらに、要求データ及び応答データを取得する処理、及び所定の情報を抽出する処理は、前記通信ネットワークと前記配信サーバとの間に配置され、これら通信ネットワーク及び配信サーバ間で送受されるデータの交換を行うゲートウェイ装置上で実行することができる。

以上説明したように本発明のアクセスログの管理システム及び管理方法によれば、監視プログラムを組み込むことによって、アクセスログとして必要な情報を収集でき、ログ分析部によって、システムを利用していたユーザーとサーバ間の情報を正確に把握することができる。

さらに、内部からの情報漏洩が発生した際に、誰がどのようにしてデータを入できたかを容易に調査することが可能となり、裁判等で使用する状況証拠として採用することができる。また、分析結果によっては、事前に情報漏洩を防止するための対策などを講じることができる。

［第１実施形態］
本発明の第１実施形態について、図面を参照しつつ説明する。図１は、本実施形態に係るアクセスログ管理システムの概略構成を示す説明図である。

（システムの全体構成）
同図に示すように、通信ネットワーク２を介して接続されたユーザー端末１及びWebサーバ３と、Webサーバ３に接続されたアプリケーションサーバ４，データベースサーバ５，ログ管理サーバ６と、ログ管理サーバ６に接続されたアクセスログデータベース７及び運用端末８とを備えている。

通信ネットワーク２は、通信プロトコルTCP/IPを用いて種々の通信回線（電話回線やISDN回線、ADSL回線などの公衆回線、専用回線、無線通信網）を相互に接続して構築される分散型のIP網であり、10BASE-Tや100BASE-TX等によるイントラネット（企業内ネットワーク）や家庭内ネットワークなどのLANなども含まれる。

ユーザー端末１は、ＣＰＵを備えた演算処理装置であり、パーソナルコンピュータ等の汎用コンピュータや、機能を特化させた専用装置により実現することができ、モバイルコンピュータやＰＤＡ（Personal Digital Assistance）、携帯電話機も含まれる。

Webサーバ３は、WWW（World Wide Web）等のドキュメントシステムにおいて、HTML（HyperText Markup Language）ファイルや画像ファイル、音楽ファイルなどの情報送信を行うサーバコンピュータ或いはその機能を持ったソフトウェアであり、HTML文書や画像などのWebコンテンツ３２の配信や、アプリケーションサーバ４によるアプリケーションサービス、データベースサーバ５によるデータベースサービスを、ユーザー端末１で実行されるWebブラウザなどのクライアントソフトウェアの要求に応じて提供する。

また、Webサーバ３上では、監視プログラム３１が実行されており、この監視プログラム３１は、Webサーバ３を介して送受される要求データ及び応答データを取得するデータ取得部の機能と、これらの要求データ及び応答データから所定の情報を抽出するフィルタ部の機能とを兼ね備えるモジュールである。

この監視プログラム３１は、ユーザーからのアクセスが、監視対象であるか否かを判断する判断部としての機能も備えており、監視対象でない場合には通常のアクセスとして通信を継続させ、監視対象である場合に、要求データ及び応答データを取得し、ログインプロセスページ３２ａを通じてユーザーが入力するデータや、デジタル証明書、ＩＣカードや携帯端末等の識別情報（端末番号，電話番号，MACアドレス）など、ユーザーが直接入力しないで送受されるデータから、必要な情報を抽出し、ログ管理サーバ６に送出する。

ログインプロセスページ３２ａは、Webコンテンツ３２に含まれ、ユーザーがアクセスをする際に通過するWebページであり、アクセスしてきたユーザーに対してユーザーIDやパスワード等の入力を要求し、その認証等のログイン処理を行う。なお、このログインプロセスページ３２ａは、単一のページで構成してもよく、階層構造をなす複数のページで構成することもできる。そして、全てのページにおいて、後述するセッション毎に付与されるセッションIDを発行し、これを後述するHTTP-Cookieによりユーザー端末側に保持させ、複数ページ間を遷移する際に、ユーザー端末に対してセッションIDの照合を行い、同一ユーザーの一連のセクション識別する。

詳述すると、監視プログラム３１は、ユーザーからのアクセスがあった際に、ユーザーのアクセス先をチェックし、アクセス先が監視範囲であった場合、ログインプロセスページ３２ａに対するアクセスか否かをチェックする。このチェックの結果、ログインプロセスページ３２ａに対するアクセスであって、且つ要求データ内にユーザーIDが含まれていたとき、これをユーザー識別処理部５３により、取得したユーザーIDデータを、例えば、HTTP-Cookieに追加するなどしてブラウザ側の記憶領域に記憶させる機能も備えている。なお、監視プログラム３１には、抽出されなかった不要なデータを削除する機能を設けてもよい。

データを取得する際の具体的な処理は、取得するデータが「要求データ」であるか、「応答データ」であるかに応じて、以下のように実行される。

○要求データ時
（１）アクセス範囲（アクセス先が監視範囲であるか否か）をチェック
（２）初回の通信のみ独自のセッションIDをHTTP-Cookieに追加
（３）必要な要求データを取得
（４）ユーザー識別処理を実施（要求データから抽出）
（５）ユーザー識別処理の結果データをHTTP-Cookieに追加
（６）ログ管理サーバへアクセスログを送信
○応答データ時
（１）必要な応答データを取得（ログ管理サーバへ取得するデータの選別）
（２）ログ管理サーバへ送信
なお、上記アクセス範囲の設定・ユーザー識別処理の設定・応答データの選別の設定については、接続インターフェース５４及び８１を通じて、分析・運用・管理ツール９の監視プログラム設定部９０から行うことができる。

また、監視プログラム３１は、上記実データ部に含まれ、タグにより区分されるデータ（POSTデータ）を選択的に抽出する機能も果たす。このタグの設定は、監視プログラム設定部９０により設定することが可能であり、例えば、HTML内のPOSTデータに記述されるINPUTタグ内のNAME、INPUT TYPE=text NAME=useridの「userid」等を抽出する。

特に、本実施形態において、要求データ及び応答データは、ヘッダー部及び実データ部から構成されたパケットデータであり、前記監視プログラム３１は、これらのヘッダー部や実データ、Webサーバ３の環境変数に含まれる下表のような抽出条件により各種情報を抽出する。

このような抽出条件によって、以下のような情報を取得することができる。

（監視プログラム，ログ管理サーバ及び運用端末の構成）
次いで、監視プログラム３１，ログ管理サーバ６及び運用端末８の具体的な内部構成について、説明する。図２は、これらの内部構成を示すブロック図である。

上記監視プログラム３１は、通信ネットワーク２を通じてユーザー端末１に接続するための接続インターフェース５０と、データを取得する要求データ取得部５１及び応答データ取得部５２と、ユーザーを識別するユーザー識別処理部５３と、ログ管理サーバ６と接続するための接続インターフェース５４とを備えている。

接続インターフェース５０は、Webサーバ３上で送受されるデータを、要求データと応答データとに分離して、それぞれ要求データ取得部５１又は応答データ取得部５２に出力するモジュールである。

要求データ取得部５１は、ユーザー端末１からWebサーバ３に対して送信されたデータ（要求データ）を取得するモジュールであり、応答データ取得部５２は、Webサーバ３からユーザー端末１に対して送信されたデータ（応答データ）を取得するモジュールである。これら要求データ取得部５１で取得されたデータはユーザー識別処理部５３を経て接続インターフェース５４に入力され、応答データ取得部５２から出力されたデータは直接、接続インターフェース５４に入力される。接続インターフェース５４は、これらの入力されたデータをログ管理サーバ６に送出する。

ユーザー識別処理部５３は、上述した抽出条件を含むユーザー識別情報により特定のユーザーを識別するための情報を抽出し、アクセスログとして出力するモジュールである。

上記ログ管理サーバ６は、Webサーバ３に接続するための接続インターフェース６１と、圧縮処理部６６と、アクセスログデータベース７、及びデータベース管理部６７とを備えている。

接続インターフェース６１は、Webサーバ３上の監視プログラム３１から送出されたデータを、要求データと応答データとに分離し、要求データと応答データとに区分されたうえで圧縮処理部６６に入力するモジュールである。

アクセスログデータベース７は、監視プログラム３１によって抽出されたアクセスログを時系列のリストとして蓄積するデータベース装置であり、下表に示すようなデータをリレーション機能によって相互に関連付けて蓄積する。

圧縮処理部６６は、アクセスログを圧縮し、サイズを縮小するモジュールである。なお、本実施形態における圧縮処理部６６は、要求データについては、圧縮することなく保存し、応答データのみ、セッション単位で圧縮する。データベース管理部６７は、アクセスログデータベース７に対するデータの入出力を管理するモジュールであり、運用端末８からの要求に応じて、蓄積されたアクセスログを送出する。

一方、運用端末８は、ログ管理サーバ６に接続するためにログ管理サーバ６側の接続インターフェース６８と通信を行う接続インターフェース８１と、分析・運用・管理ツール９を実行する機能を備えている。

分析・運用・管理ツール９は、主として、監視プログラム３１やログ管理サーバ６、分析条件の設定を行う機能と、ログ分析機能と、分析結果の出力機能とを備えている。

具体的に、監視プログラムの設定機能は、監視プログラム設定部９０により実現され、この監視プログラム設定部９０による設定は、接続インターフェース８１及び５４を通じて、監視プログラム３１に送信される。ここで、監視プログラムの設定としては、以下に掲げるように、
・ログインプロセスページのURL（例えば、http://www.xxx.co.jp/logincheck.jspなど）
・ユーザーIDタグ名称（例えば、HTMLに記述されるINPUTタグ内のNAME、INPUT TYPE=text NAME=useridの「userid」）
・ユーザーIDを送信する方法（POSTかGETか）
・認証タイプ（フォーム認証・クライアント認証・基本認証のいずれか）
・デバイス識別子
等が含まれる。

また、ログ管理サーバ６の設定としては、監視プログラムから送出されるデータを受信するためのポート（要求データ用、応答データ用）、アクセスログデータベースの設定（サービスポート、データソースネームの設定など）、圧縮モジュールの設定等が含まれる。

シングルサインオン連携設定部９１は、ユーザー識別情報の入力を支援するモジュールであり、具体的には、既にシングルサインオンを導入しているシステムを利用する場合、既に認証処理が済んでいるとログインプロセスページにアクセスしないことがあるので、このシングルサインオン連携で、シングルサインオン製品と連携が取れるように対応する必要があり、このシングルサインオン連携設定部９１を通じて、シングルサインオン製品に応じたユーザー識別子がユーザー識別情報の設定として監視プログラムに入力される。

デバイス認証設定部９３は、デバイス識別子を取得するモジュールであり、この取得したデバイス識別子をユーザー識別情報の設定として監視プログラム設定部９０に入力する。なお、このデバイス識別子は、認証機能を持つ製品名であって、このデバイス識別子によりユーザー識別子を特定する（例えば、電子証明書の場合、CERT_ISSUSERからユーザーIDを取得するなど）。

また、ログ分析機能としては、ログ分析部９４と、分析条件設定部９８とを備え、出力機能としては、ログ閲覧部９５と、レポート出力部９７と、利用履歴送信部９９とを備えている。

ログ分析部９４は、管理者の設定に応じてアクセスログの抽出やソート等を行うモジュールである。分析条件設定部９８は、ログ分析部９４における分析条件を設定するモジュールであり、テンプレート式のユーザーインターフェースを備え、分析対象とするログを絞り込むための条件（期間、ユーザー名、アクセス先等）を入力させ、入力された条件をログ分析部９４に渡す。

ログ閲覧部９５は、ログ分析部９４で分析（抽出やソート等の加工を含む。）された結果をディスプレイ等に表示するモジュールである。また、レポート出力部９７は、上記分析結果の印刷やファイル出力を行うモジュールである。さらに、利用履歴送信部９９は、管理者による分析結果や、分析の履歴（管理者セキュリティ）を所定のアドレスに送信したり、管理者グループの同報配信したりするモジュールである。

また、運用端末８は、他のサービスを提供するモジュールとして負荷テスト部８２を備えている。この負荷テスト部８２は、ユーザー端末からの要求に対するWebサーバ３の応答速度を測定するモジュールであり、この測定結果により各Webサーバの負荷を推定し、ユーザー端末側に通知する。

（アクセスログ管理方法）
以上の構成を有するアクセスログ管理システムを動作させることによって、本発明のアクセスログ管理方法を実施することができる。

（１）アクセスログ収集
上述したシステムにおいて、ユーザー端末１とWebサーバ３間で発生したアクセス（要求データ及び応答データ）を、Webサーバ３に組み込まれた監視プログラム３１により選択的に取得・保存する。

具体的には、図３に示すように、監視範囲であるアクセスＡ２に対しては、監視プログラム３１において、ログインプロセスページのアドレス、IDタグ名称、Methodタイプ、認証タイプ（基本認証orクライアント認証など）、デバイス識別子等に基づいてフィルタリングを行い、情報を抽出する。なお、監視範囲外のアクセスＡ１に対しては、ログ取得しないで通信を継続させる。

（２）アクセスログ分析
監視プログラム３１において取得・保存されたアクセスログを用い、有事の際には、分析・運用・管理ツール９のログ分析部９４によって、データベースの分析を行う。

（３）ユーザー識別処理
特に、上述した監視プログラム３１におけるユーザー識別処理は、監視プログラム設定部９０を通じて管理者にシステム毎の情報を入力させ、ユーザー識別情報を設定することよって行う。

具体的には、図４に示すように、先ず、ユーザーからのアクセスがあった際、ステップＳ１０１において、必要データ（要求データ及び応答データ）を取得し、セッションIDのチェックを行う（Ｓ１０１）。このセッションIDのチェックでは、HTTP_Cookie内に記述されているSessionID項目をチェックし（Ｓ１０２）、SessionIDが無かった場合は、初回アクセスであるとして、HTTP_Cookie内にSessionID（任意のID）を付与し、一方、SessionIDが有る場合は、継続アクセスであるとしてID付与の処理をせずにステップＳ１０４に移行する。

ステップＳ１０４では、アクセス先が監視対象であるかをチェックする。監視対象であれば、ステップＳ１０５に移行してユーザー識別処理を実施し、対象外であれば、なにも処理せずに終了する。

ステップＳ１０５では、ログインプロセスページ（認証ページ）に対するアクセスか否かを判断し、認証ページでなかった場合には、ログ取得しないで通信を継続し、認証ページである場合には、ユーザーIDを取得する方法である認証タイプを判断する（Ｓ１０６）。この変更例としては、認証タイプとして基本認証、クライアント認証及びフォーム認証がある。

基本認証は、AUTH_USERからユーザーIDを取得し、HTTP_Cookieにセットする（Ｓ１１１及びＳ１１２）。クライアント認証は、CERT_ISSUERからユーザーIDを取得し、HTTP_Cookieにセットする（Ｓ１１０及びＳ１１２）。

フォーム認証では、メソッドがPOSTかGETかのチェックを行い（Ｓ１０７）、POSTである場合には、設定しているユーザーIDタグ名称に基づいて実データ内からユーザーIDを取得し（Ｓ１０９）、GETである場合には、設定しているユーザーIDタグ名称に基づいて、ヘッダー情報（URL）からユーザーIDを取得する（Ｓ１０８）。これらステップＳ１０８及びＳ１０９の後、ユーザーIDをHTTP_Cookieにセットする（Ｓ１１２）。

（本実施形態による作用・効果）
以上説明したように本実施形態のアクセスログの管理システム及び管理方法によれば、監視プログラム３１をWebサーバ３に組み込むことによって、アクセスログとして必要な情報を収集でき、ログ分析部によって、システムを利用していたユーザーとサーバ間の情報を正確に把握することができる。特に、本実施形態では、監視プログラムの機能を、Webサーバ３上に集約したため、単一の装置により、上記ログ分析を実行することができ、設備費を軽減しつつ、セキュリティの向上を図ることができる。

［第２実施形態］
次いで、本発明の第２実施形態について説明する。本実施形態では、上述した第１実施形態において、Webサーバ３上で実行していた、監視プログラム３１のアクセスログ収集処理及びユーザー識別処理を、複数の装置に分散させることを特徴とする。図５は、本実施形態にかかるアクセスログ管理システムの概略構成を示す説明図である。なお、本実施形態において、上述した第１実施形態と同一の構成要素には同一の符号を付し、その機能等は特に言及しない限り同一であり、その説明は省略する。

同図に示すように、本実施形態では、通信ネットワーク２とWebサーバ３との間に配置されたＨＵＢ１０ａを介して、パケットキャプチャー装置１０が設けられている。このパケットキャプチャー装置１０は、ＨＵＢ１０ａを介して、通信ネットワーク２及びWebサーバ３間で送受されるパケットデータを取得する装置であり、このパケットキャプチャー装置１０の後段に上述したログ管理サーバ６やアクセスログデータベース７、運用端末８が接続されている。

ＨＵＢ１０ａは、ネットワーク上の集線装置であり、ネットワーク上を流れるデータを他のネットワーク又は装置に中継する。本実施形態においてこのＨＵＢ１０ａは、通信ネットワーク２とWebサーバ３との間で送受されるデータを複製し、複製したデータを全てパケットキャプチャー装置１０に転送する機能を備えている。これにより、パケットキャプチャー装置１０は、Webサーバ３に対して送受されるデータの全てを監視することが可能となっている。

本実施形態において、監視プログラムは、Webサーバ３上の監視プログラム３１と、パケットキャプチャー装置１０上の監視プログラム１０１とに機能が分散されている。図６は、本実施形態に係る各装置の内部構成を示すブロック図である。

同図に示すように、ユーザー識別処理を行うユーザー識別処理部３３は、上述した第１実施形態と同様に、Webサーバ３上の監視プログラム３１により実行される。このユーザー識別処理部３３で抽出されたユーザー識別情報は、接続インターフェース３４を通じて、パケットキャプチャー装置１０に送出され、このパケットキャプチャー装置１０を介して、ログ管理サーバ６のアクセスログデータベース７に蓄積される。

一方、パケットキャプチャー装置１０側の監視プログラム１０１では、要求データ取得部１０２及び応答データ取得部１０３が実行され、Webサーバ３に対して入出力されるパケットデータを接続インターフェース１０５を介して取得し、この取得されたデータをインターフェース１０４及び６１を介して、ログ管理サーバ６のアクセスログデータベース７に蓄積する。

また、各監視プログラム３１及び１０１の動作に必要な設定は、運用端末８の接続インターフェース８１からＨＵＢ１０ａを通じて行うことができるようになっている。

（アクセスログ管理方法）
本実施形態においても、以上の構成を有するアクセスログ管理システムを動作させることによって、本発明のアクセスログ管理方法を実施することができる。

（１）アクセスログ収集
上述したシステムにおいて、ユーザー端末１とWebサーバ３間で発生したアクセス（要求データ及び応答データ）を、パケットキャプチャー装置１０の要求データ取得部１０２及び応答データ取得部１０３により取得し、アクセスログデータベース７に保存する。

また、Webサーバ３上のユーザー識別処理部３３により、ユーザー識別情報の抽出を行い、抽出した情報を、パケットキャプチャー装置１０を介して、アクセスログデータベース７に蓄積する。具体的には、第１実施形態と同様、図３に示すように、監視範囲であるアクセスＡ２に対しては、監視プログラム３１において、ログインプロセスページのアドレス、IDタグ名称、Methodタイプ、認証タイプ（基本認証orクライアント認証など）、デバイス識別子等に基づいてフィルタリングを行い、情報を抽出する。なお、監視範囲外のアクセスＡ１に対しては、ログ取得しないで通信を継続させる。

（２）アクセスログ分析
監視プログラム３１及び１０１において取得・保存されたアクセスログを用い、有事の際には、分析・運用・管理ツール９のログ分析部９４によって、データベースの分析を行う。

（３）ユーザー識別処理
特に、上述した監視プログラム３１におけるユーザー識別処理は、監視プログラム設定部９０を通じて管理者にシステム毎の情報を入力させ、ユーザー識別情報を設定することよって行う。

具体的な動作は、上述した第１実施形態と同様である。図４に示すように、先ず、ユーザーからのアクセスがあった際、ステップＳ１０１において、必要データ（要求データ及び応答データ）を取得し、セッションIDのチェックを行う（Ｓ１０１）。このセッションIDのチェックでは、HTTP_Cookie内に記述されているSessionID項目をチェックし（Ｓ１０２）、SessionIDが無かった場合は、初回アクセスであるとして、HTTP_Cookie内にSessionID（任意のID）を付与し、一方、SessionIDが有る場合は、継続アクセスであるとしてID付与の処理をせずにステップＳ１０４に移行する。ステップＳ１０４では、アクセス先が監視対象であるかをチェックする。監視対象であれば、ステップＳ１０５に移行してユーザー識別処理を実施し、対象外であれば、なにも処理せずに終了する。

ステップＳ１０５では、ログインプロセスページ（認証ページ）に対するアクセスか否かを判断し、認証ページでなかった場合には、ログ取得しないで通信を継続し、認証ページである場合には、ユーザーIDを取得する方法である認証タイプを判断する（Ｓ１０６）。この変更例としては、認証タイプとして基本認証、クライアント認証及びフォーム認証がある。

基本認証は、AUTH_USERからユーザーIDを取得し、HTTP_Cookieにセットする（Ｓ１１１及びＳ１１２）。クライアント認証は、CERT_ISSUERからユーザーIDを取得し、HTTP_Cookieにセットする（Ｓ１１０及びＳ１１２）。

フォーム認証では、メソッドがPOSTかGETかのチェックを行い（Ｓ１０７）、POSTである場合には、設定しているユーザーIDタグ名称に基づいて実データ内からユーザーIDを取得し（Ｓ１０９）、GETである場合には、設定しているユーザーIDタグ名称に基づいて、ヘッダー情報（URL）からユーザーIDを取得する（Ｓ１０８）。これらステップＳ１０８及びＳ１０９の後、ユーザーIDをHTTP_Cookieにセットする（Ｓ１１２）。

（本実施形態による作用・効果）
以上説明したように本実施形態のアクセスログの管理システム及び管理方法によれば、監視プログラム３１及び１０１をWebサーバ３及びパケットキャプチャー装置１０に分散させて組み込むことによって、Webサーバ３に過大な改良を加えることなく、アクセスログとして必要な情報を収集でき、ログ分析部によって、システムを利用していたユーザーとサーバ間の情報を正確に把握することができる。

［第３実施形態］
次いで、本発明の第３実施形態について説明する。本実施形態では、上述した第１実施形態において、Webサーバ３上で実行していた、監視プログラム３１のアクセスログ収集処理及びユーザー識別処理を、ゲートウェイ装置１１で実行することを特徴とする。図７は、本実施形態にかかるアクセスログ管理システムの概略構成を示す説明図である。なお、本実施形態において、上述した第１実施形態と同一の構成要素には同一の符号を付し、その機能等は特に言及しない限り同一であり、その説明は省略する。

同図に示すように、本実施形態では、通信ネットワーク２とWebサーバ３との間にゲートウェイ装置１１が配置されており、このゲートウェイ装置１１の後段に、上述したログ管理サーバ６やアクセスログデータベース７、運用端末８が接続されている。

ゲートウェイ装置１１は、ネットワーク上で、媒体やプロトコルが異なるデータを相互に変換して通信を可能にする機器であり、OSI参照モデルの全階層を認識し、通信媒体や伝送方式の違いを吸収して異機種間の接続を可能とする中継装置である。そして、本実施形態にかかるゲートウェイ装置１１は、第１実施形態における監視プログラム３１と同様の機能を備えた監視プログラム１１１が実行されており、このゲートウェイ装置１１上において、アクセスログ収集処理及びユーザー識別処理が行われる。図８は、本実施形態に係る各装置の内部構成を示すブロック図である。

上記ゲートウェイ装置１１は、通信ネットワーク２を通じてユーザー端末１に接続するための接続インターフェース１１６と、データを取得する要求データ取得部１１２及び応答データ取得部１１４と、ユーザーを識別するユーザー識別処理部１１３と、ログ管理サーバ６及びWebサーバ３と接続するための接続インターフェース１１５とを備えている。

接続インターフェース１１６は、Webサーバ３上で送受されるデータを、要求データと応答データとに分離して、それぞれ要求データ取得部１１２又は応答データ取得部１１４に出力するモジュールである。

要求データ取得部１１２は、ユーザー端末１からWebサーバ３に対して送信されたデータ（要求データ）を取得するモジュールであり、応答データ取得部１１４は、Webサーバ３からユーザー端末１に対して送信されたデータ（応答データ）を取得するモジュールである。これら要求データ取得部１１２で取得されたデータはユーザー識別処理部１１３を経て接続インターフェース１１５に入力され、応答データ取得部１１４から出力されたデータは直接、接続インターフェース１１５に入力される。接続インターフェース１１５は、これらの入力されたデータ又は情報をログ管理サーバ６に送出するとともに、通信ネットワーク２に対して送受されるデータをそのままWebサーバ３に中継する。ユーザー識別処理部５３は、ユーザーを識別するための情報を抽出し、アクセスログとしてアクセスログデータベース７に送出し蓄積させるモジュールである。

（アクセスログ管理方法）
本実施形態においても、以上の構成を有するアクセスログ管理システムを動作させることによって、本発明のアクセスログ管理方法を実施することができる。

（１）アクセスログ収集
上述したシステムにおいて、ユーザー端末１とWebサーバ３間で発生したアクセス（要求データ及び応答データ）を、ゲートウェイ装置１１の要求データ取得部１０２及び応答データ取得部１０３により取得し、アクセスログデータベース７に保存する。これと併せて、ゲートウェイ装置１１では、ユーザー識別処理部１１３により、ユーザー識別情報の抽出を行い、抽出した情報をアクセスログデータベース７に蓄積する。具体的には、第１実施形態と同様、図３に示すように、監視範囲であるアクセスＡ２に対しては、監視プログラム１１１において、ログインプロセスページのアドレス、IDタグ名称、Methodタイプ、認証タイプ（基本認証orクライアント認証など）、デバイス識別子等に基づいてフィルタリングを行い、情報を抽出する。なお、監視範囲外のアクセスＡ１に対しては、ログ取得しないで通信を継続させる。

（２）アクセスログ分析
監視プログラム１１１において取得・保存されたアクセスログを用い、有事の際には、分析・運用・管理ツール９のログ分析部９４によって、データベースの分析を行う。

（３）ユーザー識別処理
特に、上述した監視プログラム１１１におけるユーザー識別処理は、監視プログラム設定部９０を通じて管理者にシステム毎の情報を入力させ、ユーザー識別情報を設定することよって行う。

具体的な動作は、上述した第１実施形態と同様である。図４に示すように、先ず、ユーザーからのアクセスがあった際、ステップＳ１０１において、必要データ（要求データ及び応答データ）を取得し、セッションIDのチェックを行う（Ｓ１０１）。このセッションIDのチェックでは、HTTP_Cookie内に記述されているSessionID項目をチェックし（Ｓ１０２）、SessionIDが無かった場合は、初回アクセスであるとして、HTTP_Cookie内にSessionID（任意のID）を付与し、一方、SessionIDが有る場合は、継続アクセスであるとしてID付与の処理をせずにステップＳ１０４に移行する。ステップＳ１０４では、アクセス先が監視対象であるかをチェックする。監視対象であれば、ステップＳ１０５に移行してユーザー識別処理を実施し、対象外であれば、なにも処理せずに終了する。

ステップＳ１０５では、ログインプロセスページ（認証ページ）に対するアクセスか否かを判断し、認証ページでなかった場合には、ログ取得しないで通信を継続し、認証ページである場合には、ユーザーIDを取得する方法である認証タイプを判断する（Ｓ１０６）。この変更例としては、認証タイプとして基本認証、クライアント認証及びフォーム認証がある。

基本認証は、AUTH_USERからユーザーIDを取得し、HTTP_Cookieにセットする（Ｓ１１１及びＳ１１２）。クライアント認証は、CERT_ISSUERからユーザーIDを取得し、HTTP_Cookieにセットする（Ｓ１１０及びＳ１１２）。

フォーム認証では、メソッドがPOSTかGETかのチェックを行い（Ｓ１０７）、POSTである場合には、設定しているユーザーIDタグ名称に基づいて実データ内からユーザーIDを取得し（Ｓ１０９）、GETである場合には、設定しているユーザーIDタグ名称に基づいて、ヘッダー情報（URL）からユーザーIDを取得する（Ｓ１０８）。これらステップＳ１０８及びＳ１０９の後、ユーザーIDをHTTP_Cookieにセットする（Ｓ１１２）。

（本実施形態による作用・効果）
以上説明したように本実施形態のアクセスログの管理システム及び管理方法によれば、監視プログラム１１１をゲートウェイ装置１１に組み込むことによって、アクセスログとして必要な情報を収集でき、ログ分析部によって、システムを利用していたユーザーとサーバ間の情報を正確に把握することができる。特に、本実施形態では、監視プログラムの機能を、ゲートウェイ装置１１上に集約したため、Webサーバ３の運用に影響を及ぼすことなく、上記ログ分析を実行することができ、設備費を軽減しつつ、セキュリティの向上を図ることができる。

第１実施形態に係るアクセスログ管理システムの全体構成を示すブロック図である。 第１実施形態に係るログ管理サーバ及び運用端末の構成を示すブロック図である。 第１実施形態に係る監視プログラムにおける監視を模式的に示す説明図である。 第１実施形態に係るユーザー識別処理を示すフローチャート図である。 第２実施形態に係るアクセスログ管理システムの全体構成を示すブロック図である。 第２実施形態に係るログ管理サーバ及び運用端末の構成を示すブロック図である。 第３実施形態に係るアクセスログ管理システムの全体構成を示すブロック図である。 第３実施形態に係るログ管理サーバ及び運用端末の構成を示すブロック図である。

符号の説明

Ａ１，Ａ２…アクセス
１…ユーザー端末
２…通信ネットワーク
３…Webサーバ
４…アプリケーションサーバ
５…データベースサーバ
６…ログ管理サーバ
７…アクセスログデータベース
８…運用端末
９…分析・運用・管理ツール
１０…パケットキャプチャー装置
１０ａ…ＨＵＢ
１１…ゲートウェイ装置
３１，１０１，１１１…監視プログラム
３２…Webコンテンツ
３２ａ…ログインプロセスページ
３３，５３，１１３…ユーザー識別処理部
５１，１０２，１１２…要求データ取得部
５２，１０３，１１４…応答データ取得部
６６…圧縮処理部
６７…データベース管理部
８２…負荷テスト部
９０…監視プログラム設定部
９１…シングルサインオン連携設定部
９３…デバイス認証設定部
９４…ログ分析部
９５…ログ閲覧部
９７…レポート出力部
９８…分析条件設定部
９９…利用履歴送信部

Claims (14)

1. 通信回線を相互に接続して構築される通信ネットワーク上に設置される配信サーバに対するアクセスログを収集するアクセスログ管理システムであって、
   前記配信サーバで受信される要求データを取得する要求データ取得部と、
   前記配信サーバから送信される応答データを取得する応答データ取得部と、
   前記要求データ及び応答データから所定の情報（特定のアクセス者を識別するユーザー識別情報を含む）を抽出するユーザー識別処理部と、
   前記要求データ取得部、応答データ取得部及びユーザー識別処理部で得られたデータ又は情報をアクセスログとして蓄積するアクセスログデータベースと、
   ユーザー操作に基づいて、前記ユーザー識別情報を設定する監視プログラム設定部と、
   前記アクセスログの分析を行うログ分析部と
   を有することを特徴とするアクセスログ管理システム。
2. 前記ユーザー識別情報は、アクセス先を特定するアドレス情報、及びアクセスに際して使用されるユーザー識別子であることを特徴とする請求項１に記載のアクセスログ管理システム。
3. 前記要求データ及び応答データは、ヘッダー部及び実データ部から構成され、
   前記監視プログラムは、ヘッダー部又は実データ部に含まれるデータを選択的に抽出可能であることを特徴とする請求項１に記載のアクセスログ管理システム。
4. 前記アクセスログを圧縮し、前記アクセスログデータベースに対して蓄積させる圧縮処理部を有することを特徴とする請求項１に記載のアクセスログ管理システム。
5. 前記要求データ取得部、前記応答データ取得部、及び前記ユーザー識別処理部は、前記配信サーバ上で実行される監視プログラムであることを特徴とする請求項１に記載のアクセスログ管理システム。
6. 前記通信ネットワークと前記配信サーバとの間に配置され、これら通信ネットワーク及び配信サーバ間で送受されるパケットデータを取得するパケットキャプチャー部をさらに備え、
   前記要求データ取得部及び前記応答データ取得部は、前記パケットキャプチャー装置上で実行され、
   前記ユーザー識別処理部は、前記配信サーバ上で実行される
   ことを特徴とする請求項１に記載のアクセスログ管理システム。
7. 前記通信ネットワークと前記配信サーバとの間に配置され、これら通信ネットワーク及び配信サーバ間で送受されるデータの交換を行うゲートウェイ装置をさらに備え、
   前記要求データ取得部、前記応答データ取得部、及び前記ユーザー識別処理部は、前記ゲートウェイ装置上で実行されることを特徴とする請求項１に記載のアクセスログ管理システム。
8. 通信回線を相互に接続して構築される通信ネットワーク上に設置される配信サーバに対するアクセスログを収集するアクセスログ管理方法であって、
   要求データ取得部及び応答データ取得部によって、前記配信サーバに対して送受信される要求データ及び応答データを取得するステップ（１）と、
   前記ユーザー識別処理部により、前記要求データ及び応答データから所定の情報（特定のアクセス者を識別するユーザー識別情報を含む）を抽出するステップ（２）と、
   前記ステップ（１）及び（２）で得られたデータ又は情報をアクセスログとしてアクセスログデータベースに蓄積するステップ（３）と、
   蓄積されたアクセスログを用いてログ分析部により前記アクセスログの分析を行うステップ（４）と
   を有することを特徴とするアクセスログ管理方法。
9. 前記ステップ（２）において、前記ユーザー識別情報は、アクセス先を特定するアドレス情報、及びアクセスに際して使用されるユーザー識別子であることを特徴とする請求項８に記載のアクセスログ管理方法。
10. 前記要求データ及び応答データは、ヘッダー部及び実データ部から構成され、
    前記ステップ（２）において、ユーザー識別処理部は、ヘッダー部又は実データ部に含まれるデータを選択的に抽出可能であることを特徴とする請求項８に記載のアクセスログ管理方法。
11. 前記ステップ（３）において、圧縮処理部により、アクセスログを圧縮し、前記アクセスログデータベースに対して蓄積させることを特徴とする請求項８に記載のアクセスログ管理方法。
12. 前記ステップ（１）及びステップ（２）は、前記配信サーバ上の監視プログラムにより実行されることを特徴とする請求項８に記載のアクセスログ管理方法。
13. 前記ステップ（１）は、前記通信ネットワークと前記配信サーバとの間に配置され、これら通信ネットワーク及び配信サーバ間で送受されるパケットデータを取得するパケットキャプチャー部で実行され、
    前記前記ステップ（２）は、前記配信サーバ上で実行される
    ことを特徴とする請求項８に記載のアクセスログ管理方法。
14. 前記ステップ（１）及びステップ（２）は、通信ネットワークと前記配信サーバとの間に配置され、これら通信ネットワーク及び配信サーバ間で送受されるデータの交換を行うゲートウェイ装置上で実行されることを特徴とする請求項８に記載のアクセスログ管理方法。

Images