JP2007304853A

JP2007304853A - 情報追跡管理システム

Info

Publication number: JP2007304853A
Application number: JP2006132574A
Authority: JP
Inventors: Takashi Watabe; 剛史渡部
Original assignee: Hitachi Electronics Services Co Ltd
Current assignee: Hitachi Electronics Services Co Ltd
Priority date: 2006-05-11
Filing date: 2006-05-11
Publication date: 2007-11-22

Abstract

【課題】ネットワークレベルで情報の移動や複製を追跡し、ファイル作成、変更、削除操作を監視し、両者を関連付けることで、電子情報がいつどこで生成され、どこへコピーされていったかを追跡することができるシステムを提供する。
【解決手段】収集装置１と、分析装置２とを具備し、収集装置１がネットワーク４接続したクライアント３１及びサーバ３２のファイルの情報を追跡し管理するシステムであって、収集装置１は、クライアント３１又はサーバ３２がそれぞれ有するエージェント３３からファイル処理情報を収集し、監視するネットワーク４上でのファイル移動情報を収集し、分析装置２は、収集装置１が収集したファイル処理情報及びファイル移動情報を、文書ごとに整理し、処理発生時刻を元に、各サーバ３２やクライアント３１上でのファイル名変更及びファイル移動を関連付ける。
【選択図】図１

Description

本発明は、情報追跡管理システムであり、特にネットワークを流れる情報を直接解析し、ファイルの移動を把握することにより、ファイル操作イベントを収集し、電子情報がいつどこで生成され、どこへコピーされていったかを追跡するシステムに関する。

電子情報はコピーや移動が簡単にでき、管理が難しい。また、ネットワークでファイルを追跡する場合、サーバやクライアント上での変更も考慮しなければならない。しかし、法規制対応などで必要性は高い。

従来、サーバ上のファイルに対し、クライアント側でショートカットを作成している状況で、サーバ上のファイルが、他のサーバへ移動された場合でも、同じショートカットとしてアクセス可能とすることが提案されている（特許文献１参照）が、予め対象ファイルに対し、明示的なＩＤの割り当てが必要である。
特開２００３−２３３５１７号公報

本発明は、ネットワークレベルで情報の移動や複製を追跡し、ファイル作成、変更、削除操作を監視し、両者を関連付けることで、電子情報がいつどこで生成され、どこへコピーされていったかを追跡することができるシステムを提供することを目的とする。

本発明は、収集装置と、分析装置とを具備し、前記収集装置がネットワーク接続したクライアント及びサーバのファイルの情報を追跡し管理するシステムであって、前記収集装置は、前記クライアント又はサーバがそれぞれ有するエージェントからファイル処理情報を収集するとともに、監視するネットワーク上でのファイル移動情報を収集し、前記分析装置は、前記収集装置が収集したファイル処理情報及びファイル移動情報を、文書ごとに整理し、処理発生時刻を元に、各サーバやクライアント上でのファイル名変更及びファイル移動を関連付けるファイル情報追跡管理システムである。

また、本発明は、電子情報をネットワークレベルで追跡し、ネットワークを流れるファイルコピーデータと、各サーバ、クライアント上でのファイル作成、変更、削除操作を監視し、両者を関連付けることで、電子情報がいつどこで生成され、どこへコピーされていったかを追跡することができ、また、ネットワーク上のデータとＯＳ上のデータを関連付けることで、ファイルの内容が変わっても、情報の移動が追跡できる情報追跡管理システムである。

そして、本発明は、ワームの被害を受けた場合、影響を全て明らかにでき、ＯＳから再構築することなく復旧が可能である情報追跡管理システムである。

本発明によれば、ネットワーク上でコピーが追跡できるため、重要な情報をシステムから削除する場合、確実に行なえる情報追跡管理システムを提供することができる。

本発明を実施するための最良の形態を説明する。
本発明の情報追跡管理システムの実施例について、図面を用いて説明する。

実施例を説明する。本実施例の情報追跡管理システムは、図１に示すように、収集装置１と分析装置２とを備えている。収集装置１は、サーバ機能を有しており、エージェントを有するクライアント３１やサーバ３２を接続するネットワーク４上に置かれ、各クライアント３１やサーバ３２からの情報を収集する。収集する情報には、通信元、先のＩＰアドレス、ファイル名などが含まれる。また、収集装置１は、ネットワーク４に流れる通信を監視し、ファイルコピーの通信を記録する。収集装置１は、エージェント３３からの情報と、ファイルコピーの記録を分析装置２へ送信する。分析装置２は、収集装置１に接続し、収集装置１が収集したファイル情報を取得する。各エージェント３３が記録した情報と、収集装置１が記録したコピー記録を関連付けることで、ある情報（ファイル名は変わる可能性がある）がどこで作られ、どのようにネットワーク上へコピーされていったかを追跡する。例えば、現在手元にあるファイルが、いつどこで作られ、だれがコピーを持っているのか、といったような情報を得ることができる。

エージェント３３は、クライアント３１やサーバ３２のＯＳ上に常駐し、ファイルの作成、変更、削除を監視する。例えばＷｉｎｄｏｗｓ（登録商標）の場合、ＯＳのファイルシステムイベントを監視する。作成、変更、削除が行なわれたとき、ファイル名と時刻、処理内容を記録し、定期的に収集装置１へ送る。

実施例における情報追跡管理の手順の一例について、図２を用いて説明する。クライアント１（３１ａ）で作成された文書がサーバ３２を経由し、他のクライアントからダウンロードされた例である。（１）クライアント１（３１ａ）で文書が作成されると、クライアント１（３１ａ）のエージェント３３は、文書作成を収集装置に報告する。報告される情報は、文書名、時刻、内容、処理元ＩＰ、元ファイル名などである。（２）クライアント１（３１ａ）の文書がサーバ３２に移動し、文書名が変更されると、ネットワーク４を監視する収集装置１は、クライアント１（３１ａ）からサーバ３２へ文書の移動の情報を収集する。収集される情報は、文書名、時刻、内容、処理元ＩＰ、処理先ＩＰ、元ファイル名などである。サーバ３２のエージェント３３は、移動してきた文書名の変更の情報を、収集装置に報告する。報告される情報は、文書名、時刻、内容、処理元ＩＰ、元ファイル名、先ファイル名などである。（３）サーバ３２の文書がクライアント２（３１ｂ）にコピーされると、ネットワーク４を監視する収集装置は、サーバ３２からクライアント２（３１ｂ）へ文書のコピーの情報を収集する。収集される情報は、文書名、時刻、内容、処理元ＩＰ、処理先ＩＰ、元ファイル名、先ファイル名などである。（４）サーバ３２の文書がクライアント３（３１ｃ）にコピーされ、文書名が変更されると、ネットワーク４を監視する収集装置１は、サーバ３２からクライアント３（３１ｃ）へ文書のコピーの情報を収集する。収集される情報は、（３）と同様である。クライアント３（３１ｃ）のエージェント３３は、コピーしてきた文書名の変更の情報を、収集装置１に報告する。報告される情報は、文書名、時刻、内容、処理元ＩＰ、元ファイル名、先ファイル名などである。（５）クライアント２（３１ｂ）で文書が削除されると、クライアント２（３１ｂ）のエージェント３３は、文書削除を収集装置に報告する。報告される情報は、文書名、時刻、内容、処理元ＩＰ、元ファイル名などである。以上（１）から（５）で収集装置１に収集された情報は、ネットワーク５を介して分析装置２に送信され、蓄積される。蓄積された情報は、各文書ごとに整理され、時刻順にソートされ、内容、処理元ＩＰ、処理先ＩＰ、元ファイル名、先ファイル名を一覧表にされる。この一覧表を参照すると、クライアント１（３１ａ）で作成された文書は、クライアント１（３１ａ）には存在せず、サーバ３２に文書名が変更して存在し、クライアント２（３１ｂ）にはなく、クライアント３（３１ｃ）で変更した文書名で存在することがわかる。

以上実施例で説明したように、本発明によれば、電子情報をネットワークレベルで追跡し、ネットワークを流れるファイルコピーデータと、各サーバ、クライアント上でのファイル作成、変更、削除操作を監視し、両者を関連付けることで、電子情報がいつどこで生成され、どこへコピーされていったかを追跡することができる。また、ネットワーク上のデータとＯＳ上のデータを関連付けることで、ファイルの内容が変わっても、情報の移動が追跡できる。

なお、本発明のシステムの応用例として、ワームの被害を受けた場合、影響を全て明らかにできるため、ＯＳから再構築することなく復旧が可能であり、ＳＯＸ法対応情報監視システムなどに利用できる。関連技術として、ＳＩＭ（セキュリティ情報マネジメント）を利用することができる。

実施例の情報追跡管理システムの説明図。実施例の情報追跡管理システムにおける追跡管理処理の一例の説明図。

符号の説明

１収集装置
２分析装置
３１、３１ａ〜３１ｃクライアント
３２サーバ
３３エージェント
４、５ネットワーク

Claims

収集装置と、分析装置とを具備し、前記収集装置がネットワーク接続したクライアント及びサーバのファイルの情報を追跡し管理するシステムであって、
前記収集装置は、前記クライアント又はサーバがそれぞれ有するエージェントからファイル処理情報を収集するとともに、監視するネットワーク上でのファイル移動情報を収集し、前記分析装置は、前記収集装置が収集したファイル処理情報及びファイル移動情報を、文書ごとに整理し、処理発生時刻を元に、各サーバやクライアント上でのファイル名変更及びファイル移動を関連付けることを特徴とするファイル情報追跡管理システム。
請求項１記載の情報追跡管理システムにおいて、
電子情報をネットワークレベルで追跡し、ネットワークを流れるファイルコピーデータと、各サーバ、クライアント上でのファイル作成、変更、削除操作を監視し、両者を関連付けることで、電子情報がいつどこで生成され、どこへコピーされていったかを追跡するができ、また、ネットワーク上のデータとＯＳ上のデータを関連付けることで、ファイルの内容が変わっても、情報の移動が追跡できることを特徴とする情報追跡管理システム。
請求項１記載の情報追跡管理システムにおいて、
ワームの被害を受けた場合、影響を全て明らかにでき、ＯＳから再構築することなく復旧が可能であることを特徴とする情報追跡管理システム。