JP2007241850A - 大規模ネットワークシステムにおけるログ収集方法 - Google Patents

Abstract

【課題】大規模ネットワークシステムにおいて、不測の事態が発生しても、アクセスログの消失や漏洩を防止し得るセキュリティ監視のためのログ収集方法を提供する。
【解決手段】各ネットワーク機器（１−１、１−２、・・・、１−Ｎ）とログサーバ（２）間をＳＳＨ(暗号通信方式)で接続し、各ネットワーク機器より出力されるアクセスログ情報をリアルタイムでログサーバに送信し、アクセスログデータベース（３）に、各ネットワーク機器の記憶領域（４−１，４−４、・・・、４−Ｎ）毎に、格納する。
【選択図】 図１

Description

この発明は、大規模ネットワークシステムにおけるセキュリティ監視のためのログ収集方法に関する。

ネットワークシステムにおけるセキュリティの監視方法として、アクセスログの解析、つまりシステムの利用状況や稼動状況などを記録したログの解析を行うことが一般的であり、そのためにアクセスログを収集することが不可欠である。

従来方式では、アクセスログは各ネットワーク機器のメモリまたはディスク領域に保存され、これを随時取り出して解析を行う。例えば図４に示すように、ブロードバンド用のル−タ等のネットワーク機器１０Ａ内のフラッシュＲＯＭ１１Ａにアクセスログを保存している。

つまり、機器上で収集されたアクセスログは各機器上に保存される為、基本的に機器の利用者しかそれを取り出すことができず、必然的にログ管理／解析も利用者が行うことになる。

しかしながら、大規模ネットワークシステムに関しては、これらのログを個別管理／解析することはセキュリティ上好ましくない為、一元管理／解析を行う必要がある。

ところで、コンピュータごとに記録されるアクセスログの適切な監視を支援するために、各監視装置でログ編集部がアクセスログを同一の形式に編集し、ログ送信部が編集された統一ログを統合監視装置に送信し、統合監視装置では、ログ収集部が各監視装置から送信された統一ログを受信してログ情報蓄積部に蓄積し、経路分析部が、ログ蓄積部から統一ログを読み出して、経路を分析するとともに、分析結果を統合ログとして生成するアクセスログの監視支援方法が開示されている(例えば特許文献１参照)
特開２００２−０８２８４９号公報

上記した従来方式のように、特定のタイミングでログを取り出す方法では、リアルタイムのアクセスログ収集が行えない。特に揮発性メモリにアクセスログを保存する機器の場合、不足の事態による機器ダウンによりアクセスログが消失する可能性がある。メモリ容量を超える大量のアクセスログが蓄積された場合、過去のアクセスログが消去される場合も考えられる。

また、アクセスログにはネットワークの接続経路等重要な情報が含まれる場合があり、これらを各機器内に保存しておくことはセキュリティ面で望ましくない。また、上記特許文献１に記載のアクセスログ監視支援方法では、特別に統一ログを蓄積する統合監視装置を、備えるものの、各監視装置にもログ蓄積部を備えるので、やはりセキュリティ面で望ましくない。

この発明は、上記問題点に着目してなされたものであって、不測の事態が発生しても、アクセスログの消失や漏洩を防止し得るセキュリティ監視のためのログ収集方法を提供することを目的とする。

この発明の、大規模ネットワークシステムにおけるセキュリティ監視のためのログ収集方法は、各ネットワーク機器とアクセスログ収集サーバ間をＳＳＨ(暗号通信方式)で接続し、各機器より出力されるアクセスログ情報をリアルタイムでアクセスログ収集サーバに送信し、データベース記憶手段に格納してデータベース化することにより、大規模ネットワークにおけるアクセスログ収集を一元化することを特徴とする。

この発明において、データベース記憶手段への、アクセスログ情報の格納は、ネットワーク機器毎に行うことが望ましい。

この発明によれば、アクセスログ収集サーバにアクセスログ情報を収集してデータベースを一元化するので、各機器にアクセスログを残さないため、機器ダウン、容量オーバなどの不測の事態によるアクセスログの消失や漏洩を防ぐことができる。

特に、ＳＳＨ方式で通信し、ログは暗号化して送られるので、ログサーバで一元管理されるため、漏洩の可能性が低い。

以下、実施の形態により、この発明をさらに詳細に説明する。図１は、この発明の一実施形態である大規模ネットワークシステムの概略機器構成を示すブロック図である。図１において、１−１，１−２、・・・、１−Ｎは、ネットワークに組み込まれるネットワーク機器であって、例えば、インターネット接続用のブロードバンド用ルータ、利用者のＰＣ（パーソナルコンピュータ）などである。２は、アクセスログ収集用のログサーバである。ネットワークに組み込まれた複数のネットワーク機器１−１，１−２、・・・、１−Ｎとログサーバ２とは、ＳＳＨ通信方式で接続され、各ネットワーク機器１−１，１−２、・・・、１−Ｎより出力されるアクセスログ情報をリアルタイムで、ログサーバ２に送信し、ログサーバ２より、アクセスログデータベース３にアクセスログ情報を格納し、テ゛ータベース化する。

ここで、各ネットワーク機器１−１，１−２、・・・、１−Ｎとログサーバ2間を接続するＳＳＨ通信方式は，ＳＳＨ（Ｓｅｃｕｒｅ Ｓｈｅｌｌ）を用いて、暗号化されたログデータの転送を行う。このＳＳＨは、共通鍵暗号方式と公開鍵暗号方式の暗号化方式を用いてデータの暗号化／復号化を行っているため、第三者が盗聴しても、復号化できない。

一般に、暗号化は、暗号鍵を用い解読不可能な情報(暗号文)に変換するものであり、これに対し、暗号化された情報をもとの情報に復元することを復号化という。暗号化に際し、暗号化と復号化で同じ鍵（キー）を使う共通鍵暗号方式と、別の鍵を使う公開鍵方式がある。

アクセスログは、システムの運用状況の把握や復旧、不正なアクセスの解明などに利用される記録であり、ここでは、アクセスログデータベース３で、アクセスログ収集を一元化するとともに、各ネットワーク機器１−１，１−２、・・・、１−Ｎにアクセスログを残さないため、不測の事態によるアクセスログの消失や漏洩を防止することができる。

アクセスロデータベース３は、図２に示すように、各ネットワーク機器用のデータベース記憶領域４−１，４−２、・・・、４−Ｎを備えている。このデータベース記憶領域４−１，４−２、・・・、４−Ｎのそれぞれに、接続者ＩＰアドレス、接続開始／終了時間、接続先ＩＰアドレス／ポート等を、アクセスログ情報として記憶している。

次に、この実施形態大規模ネットワークシステムにおけるアクセスログ情報の収集処理動作を図３に示すフロー図を参照して説明する。図３の（ａ）は、ネットワーク機器１−ｉの処理動作を示すフロー図、図３の（ｂ）は、ログサーバ２の処理動作を示すフロー図である。

ネットワーク１−ｉが起動すると、ネットワーク機器１−ｉは、図３の（ａ）のステップＳＴ１に示すように、ログサーバ２に対し，ＳＳＨ接続のため、送信を行う。ログサーバ２はステップＳＴ１１において、ネットワーク機器１−ｉからのＳＳＨによる暗号化されたログデータの転送を受けて、所定のネットワーク機器１−ｉの接続確認を行う。登録されたネットワーク機器１−ｉからのログサーバ接続のための送信であると、そのことを確認した旨の回答をネットワーク機器１−ｉに返送する。ここでの、ＳＳＨ接続がなされると、以後、そのネットワーク機器１−ｉとログサーバ２は永続的にＳＳＨ接続される。

ネットワーク機器１−ｉにおいては、ステップＳＴ２において、ログサーバ２との接続がＯＫであるか否か判定する。ここで、ログサーバ２から、ネットワーク機器１−ｉからの送信に対し、認証ＯＫの返答があった場合には、ステップＳＴ２の判定ＹＥＳで、次のステップＳＴ３へ移行する。

ステップＳＴ３においては、ネットワーク機器１−ｉにおいて、アクセスログが発生すると、次のステップＳＴ４へ移行する。ステップＳＴ４においては、このタイミングで、ログサーバ２に対し、アクセスログ情報を送信する。

ログサーバ２においては、ステップＳＴ１２において、ネットワーク機器１−ｉからのアクセスログ情報を受信する。次に、ステップＳＴ１３へ移行する。ステップＳＴ１３においては、フィルタ処理、つまり、送信されて来たアクセスログ情報から必要なログ情報のみを取得する。続いて、ステップＳＴ１４においては、フィルタ処理されたアクセスログ情報をアクセスログデータベース３のネットワーク機器１−ｉの記憶領域４−ｉに格納しログデータベース化処理を行う。

以後、ネットワーク機器１−ｉにおいて、ステップＳＴ３におけるアクセスログが発生する度に、ログサーバ２に対し、ステップＳＴ４のログ送信処理を実行し、これを受けて、ログサーバ２では、ステップＳＴ１２におけるログ受信処理、ステップＳＴ１３におけるフィルタ処理、ステップＳＴ１４におけるログデータベース化処理を繰り返す。

他のネットワーク機器においても、機器の起動、及びアクセスログが発生した場合、ログサーバ２との間で、上記ネットワーク機器１−ｉとログサーバ２との間の処理と同様の処理を行う。

この実施形態ネットワークシステムでは、各ネットワーク機器のアクセスログがログサーバで一括処理され、ログデータベースに一元的に収集されるので、アクセス管理が容易である。また、各ネットワーク機器でアクセスログ発生毎に、リアルタイムで送信されるため機器ダウン、容量オーバによるログ消失での恐れがない。

また、各ネットワーク機器から、ログサーバに、暗号化して送られ、ログサーバに暗号化して送られ、サーバで一元管理されるため漏洩の可能性が低い。

この発明の一実施形態である大規模ネットワークシステムの概略機器構成を示すブロック図である。 同実施形態大規模ネットワークシステムのアクセスログデータベースの格納データを説明する図である。 同実施形態大規模ネットワークシステムのネットワーク機器とログサーバ間における、アクセスログ情報の収集処理を説明するためのフロー図である。 従来のアクセスログ収集を説明する図である。

符号の説明

１−１，１−２、・・・、１−Ｎ ネットワーク機器
２ ログサーバ
３ アクセスログデータベース
４−１，４−２、・・・、４−Ｎ 各ネットワーク機器のデータベース記憶領域

Claims (2)

1. ネットワークを構成する各ネットワーク機器とアクセスログ収集サーバ間をＳＳＨ(暗号通信方式)で接続し、各ネットワーク機器より出力されるアクセスログ情報をリアルタイムでアクセスログ収集サーバに送信し、データベース用記憶手段に格納することを特徴とする大規模ネットワークシステムのログ収集方法。
2. 前記データベース用記憶手段は、前記ネットワーク機器毎に、アクセスログ情報を格納するものであることを特徴とする請求項１記載の大規模ネットワークシステムのログ収集方法。

Images